功能安全——可控性（Controllability）

对于危害事件的分析和评估，之前已经讲解了暴露度（Exposure）和严重度（Severity），今天我们讲解一下最后一个指标可控性（Controllability），以下我们简称C。

关于C的定义：对于每一个危害事件，应基于一个确定的理由预估驾驶员或其他潜在处于风险的人员对该危害事件的可控性。

关于C的分级，共分为4个等级，C0，C1，C2，C3；从C0到C3可控性逐渐降低，也就是越来越不可控。

可控性等级划分

关于C的评估注意事项：

1.两个相邻的C等级之间差异是一个数量级；

2.可控性评估指预估驾驶员或其他潜在处于风险的人员能够充分控制危害事件以避免特定伤害的概率。因此假设驾驶员在正常的条件下驾驶（例如驾驶员不疲劳），经过相应的驾驶员培训（有驾照），并遵守所有适用的法律法规，包括应有的谨慎以避免为其他交通参与者带来风险，考虑合理地可预见的误操作；（后面会举例子）

3.当危害事件与车辆方向和速度的控制无关时，例如肢体卡在运动部件中，该可控性是对涉险人员能够移出自身，或被该危害场景中的其他人员移出的概率的预估。当考虑可控性时，注意涉险人员可能不熟悉相关项的运行。或被其他人员移出危害场景概率的预估。

4.当可控性涉及多个交通参与者的行为时，可控性的评估可基于带有故障相关项的车辆的可控性，以及其他参与者的可能的行为。（评估目标车辆与车辆周围的交通参与者，主要关注人员伤害）

5.如果相关项失效的危害不影响车辆的安全运行（例如一些驾驶员辅助系统），可控性等级可为C0。如果已经有专门法规规定了针对一个既定危害的功能表现，则该危害的可控性等级可为 C0，但是，通过应用现有的经验认为达到了充分的可控性，通过讨论而定义为C0等级。如果一个危害的可控性等级为C0，则无需分配ASIL等级。

关于可控性的示例和解释：

确定一个给定危害的可控性等级，需要预估如果这个给定的危害将要发生，具有代表性的驾驶员能够保持或者重新控制车辆的可能性。

这种可能性预估包括：如果这个给定的危害将要发生，具有代表性的驾驶员能够保持或者重新控制车辆的可能性，或者在这个危害发生范围内的个体能够通过他们的行动来避免危害的可能性。这种考量基于这样的假设，即危害场景中的个体为保持或者重新控制当前情况采取的必要控制行为，以及所涉及的驾驶员采取有代表性的驾驶行为。（这可能与目标市场、个体年龄、手眼配合、驾驶经验、文化背景等有关）。

为了有助于这些评估，下面这些示例给出了故障发生后，对应的能够避免伤害的控制行为的假设。这些场景对应到可控性的分级，明确了用于判断参与者控制能力水平90%和99%的分隔点。

驾驶员或者潜在涉险人员可能控制的危害事件示例

对于C1:通过一个测试去提供一个 99%的驾驶员都能够在特定的驾驶环境下“通过”这个测试的理由是不可行的，因为必须要有大量的测试项目作为这个理由的适当的证据。

对于C2：需要通过实际的测试经验，如果能够证明 85%的可控性水平（达到一个通常能被人为因素测试接受的 95%的置信度）。这为 C2 预估的合理性提供了适当的证据。

对于C3：由于 C3 等级假定为没有可控性，所以对于这个分类理由不需要提供相关的适当证据。

通过以上的描述，大家应该能够感觉到，关于可控性的评价没有绝对统一的标准，这也是它的难点所在，相比暴露度和严重度而言，拥有更多的主观性，所以我们在实际评估可控性时，可以稍微偏向保守。

下面还是举一个例子：

危害事件：阴雨天，车辆在城市道路上加速向前行驶（50km/h），路边和人行道有很多行人，此时车辆刹车功能丢失。

那这里的可控性直接为C3，就是不可控。暴露度为E3，严重度为E4，那么此时功能安全等级是多少呢？

我们明天继续分享，谢谢各位！