隨著自動(dòng)駕駛系統(tǒng)在汽車世界的不斷普及，針對其功能在真實(shí)世界是否具備魯棒性的話題一直不絕于耳。其中最重要的就是涉及對測試場景的規(guī)模構(gòu)建和真實(shí)還原，這需要需要進(jìn)行大量的驗(yàn)證和確認(rèn)。最大化場景覆蓋率的常見驗(yàn)證和確認(rèn)策略，是在虛擬仿真中驗(yàn)證，并模擬大量生成的場景樣本。自動(dòng)駕駛車技術(shù)研發(fā)，一直側(cè)重于技術(shù)挑戰(zhàn)和實(shí)施的各個(gè)方面，如感知、決策、車輛控制、人機(jī)交互的執(zhí)行方式，還有一些涉及自動(dòng)駕駛車安全測驗(yàn)問題。

當(dāng)前自動(dòng)駕駛的研發(fā)量產(chǎn)上市過程中，通常對于其功能的測試驗(yàn)證要求實(shí)現(xiàn)在于通過指定足夠安全完備的場景運(yùn)行覆蓋范圍ODD，通過傳統(tǒng)的現(xiàn)場操作測試，來驗(yàn)證當(dāng)前自動(dòng)駕駛的功能覆蓋度和性能指標(biāo)是否達(dá)標(biāo)。

而在所有安全認(rèn)證中，最為關(guān)鍵的是包括以下三點(diǎn)：

• 特定場景下，確定不可避免的碰撞；

• 碰撞發(fā)生時(shí)，明確主要責(zé)任；

• 擴(kuò)大場景覆蓋度后可能承擔(dān)的設(shè)計(jì)驗(yàn)證成本。

然而，在真正準(zhǔn)入過程中，由于法規(guī)要求相對較弱，只需要檢查一些關(guān)鍵場景就可以。從某種意義上說，為了更加真實(shí)的還原道路場景，通常會進(jìn)行真實(shí)世界的道路測試或現(xiàn)場操作測試，這是唯一的驗(yàn)證方式，也是自動(dòng)駕駛車驗(yàn)證和確認(rèn)（V&V）的最后一步策略。當(dāng)然由于所有都是真實(shí)搭建的場景和設(shè)備，這一過程也是昂貴的方法。同時(shí)，真實(shí)現(xiàn)場測試的缺點(diǎn)也很明顯：因?yàn)閮H靠在車上安裝一些自動(dòng)駕駛控制器、傳感器再加上一些可預(yù)知的周邊場景人工設(shè)置，是缺乏足夠的場景覆蓋能力的（比如一些極端場景或根本就是偶發(fā)場景時(shí)，也無法估量）。這也就為一些非關(guān)鍵的未知場景可能出現(xiàn)不可預(yù)知的問題埋下隱患。

通常，功能安全設(shè)計(jì)中廣泛使用的安全指南標(biāo)準(zhǔn)ISO 26262可以適用于緩解與已知部件故障（即已知不安全情況）相關(guān)的已知不合理風(fēng)險(xiǎn)，但并未解決復(fù)雜環(huán)境變量導(dǎo)致的自動(dòng)駕駛風(fēng)險(xiǎn)。同時(shí)，也沒有指明當(dāng)車上沒有出現(xiàn)安全標(biāo)準(zhǔn)設(shè)計(jì)中所指向的任何硬件、軟件等技術(shù)故障時(shí)，系統(tǒng)如何應(yīng)對這些風(fēng)險(xiǎn)。后來，業(yè)內(nèi)為了更好地定性應(yīng)對安全挑戰(zhàn)。提出了以ISO 21448為標(biāo)準(zhǔn)的預(yù)期功能安全策略。與功能安全結(jié)合后，其設(shè)計(jì)目標(biāo)定義為將自動(dòng)駕駛功能設(shè)計(jì)的已知和未知不安全場景結(jié)果進(jìn)行最小化。

這里需要說明的是，對于碰撞是否可以避免不僅是學(xué)術(shù)問題，也是涉及法律法規(guī)等相關(guān)問題。因此涉及很多特定場景，甚至連真實(shí)的人都無法判定哪種策略更優(yōu)，更何況是機(jī)器。因此，配備自動(dòng)駕駛功能的機(jī)動(dòng)車輛必須具有能夠獨(dú)立遵守車輛駕駛交通法規(guī)的技術(shù)設(shè)備，并具有事故預(yù)防（accident prevention）系統(tǒng)，應(yīng)該同時(shí)滿足如下幾條約束：

（a） 系統(tǒng)運(yùn)行過程中應(yīng)盡量避免和減少損壞，（b） 碰撞不可避免的發(fā)生時(shí)，所有利益相關(guān)者的優(yōu)先級以最大限度的減少人員傷亡；（c） 如果存在不可避免人生命的選擇風(fēng)險(xiǎn)，則無需根據(jù)個(gè)人特性提供進(jìn)一步加權(quán)。

自動(dòng)駕駛測運(yùn)行能力測驗(yàn)系統(tǒng)

責(zé)任確定是自動(dòng)駕駛中的一個(gè)比較重要的課題，以在研系統(tǒng)為例，從L1-L3-L4的整個(gè)系統(tǒng)過渡過程，呈現(xiàn)出不同的責(zé)任劃分狀態(tài)，當(dāng)L2及其以下系統(tǒng)時(shí)，任何碰撞責(zé)任都在于駕駛?cè)说牟患皶r(shí)接管（當(dāng)然系統(tǒng)有一定的提示義務(wù)）；當(dāng)L3時(shí)，最主要的工作就是限定其是否只在系統(tǒng)設(shè)計(jì)運(yùn)行范圍內(nèi)部還是外部，如果一旦判定為系統(tǒng)內(nèi)部，那么就無需在考慮人為駕駛所造成碰撞風(fēng)險(xiǎn)的可能性，所有的責(zé)任都應(yīng)該轉(zhuǎn)嫁給系統(tǒng)。即使系統(tǒng)無法在持續(xù)處理整個(gè)控制過程，也不能指望通過報(bào)警讓駕駛員接管來避責(zé)，而是必須以自己最大能力的控制冗余停車，開啟危險(xiǎn)報(bào)警燈等方式規(guī)避碰撞。當(dāng)然，這里就有一個(gè)值得深省的問題，如果系統(tǒng)判定ODD本身就出現(xiàn)了失誤（此時(shí)，系統(tǒng)記錄的數(shù)據(jù)并未反應(yīng)系統(tǒng)已處于ODD之外，只是事后通過后臺數(shù)據(jù)分析得出系統(tǒng)已處于ODD之外），那么責(zé)任又有誰來承擔(dān)呢？至少當(dāng)時(shí)無法及時(shí)給出答案。

另一方面，當(dāng)L4級或在其以上的自動(dòng)駕駛車配備安全驗(yàn)證時(shí)，其需要測試驗(yàn)證的場景將更加復(fù)雜多變，這時(shí)可根據(jù)基于樣本的方法最大限度的擴(kuò)大場景測試覆蓋率，同時(shí)可以基于形式邏輯（formal logic）的方法簡化責(zé)任確定，最終最大限度的將測試驗(yàn)證場景投射到真實(shí)駕駛中。

這里解釋一下什么叫基于樣本的方法和基于形式化方法（formal method）。

基于樣本的方法創(chuàng)建場景覆蓋度，顧名思義，基于樣本方法實(shí)際就是參照已有樣本的隨機(jī)生成過程，將各分散樣本進(jìn)行模擬學(xué)習(xí)，在學(xué)習(xí)過程中尋找規(guī)律，生成規(guī)律函數(shù)，從規(guī)律中直接或間接的覆蓋實(shí)際道路測試案例。

基于形式化方法，實(shí)際上它就是引用抽象的安全規(guī)范，盡可能的在場景空間中創(chuàng)造更多更大邊緣場景，提升場景覆蓋量的過程，整個(gè)過程將形式化規(guī)范集成到控制合成和監(jiān)控過程，利用純數(shù)學(xué)概念進(jìn)行控制能力解析。力求在域控制器中利用安全規(guī)范，達(dá)到對真實(shí)環(huán)境的最大逼真度模擬。由此，對于自動(dòng)駕駛的測試驗(yàn)證可能發(fā)生碰撞責(zé)任則會順利轉(zhuǎn)移到對于模型的在線驗(yàn)證上?；究梢哉J(rèn)為，只要模型驗(yàn)證為正確的，控制器按照綜合安全規(guī)范執(zhí)行，那么系統(tǒng)就可以證明是安全的。

以上兩種對于場景還原的方法都是期望將驗(yàn)證場景投射到真實(shí)駕駛中，與當(dāng)前簡單的基于測試的方法來保障行駛安全相比，以上兩種方法由于建立了一定的數(shù)學(xué)模型或者純粹利用了數(shù)學(xué)仿真分析的方法將現(xiàn)實(shí)場景轉(zhuǎn)化為系統(tǒng)可預(yù)期達(dá)成的控制算法/程序，這樣，受控的系統(tǒng)行為就可以滿足測試規(guī)范中的所有測試條件。比如一些無法現(xiàn)場模擬的危險(xiǎn)場景，接近-碰撞或已經(jīng)碰撞的場景。
其實(shí)，這里的形式化方法和樣本方法所在意的核心思想就是信號處理中的觀測值-預(yù)測值的概念。這一概念實(shí)際也是數(shù)字信號處理中常用的方法和概念。
以當(dāng)前時(shí)間點(diǎn)作為t時(shí)刻點(diǎn)，向前向后預(yù)測一定時(shí)間內(nèi)系統(tǒng)的表現(xiàn)，預(yù)測過程是通過之前的函數(shù)觀測值所統(tǒng)計(jì)的函數(shù)規(guī)律。
比如，通過對之前車輛駕駛場景有一組觀測值為.....Xt-2,Xt-1, Xt, Xt+1,Xt+2......
那么下一時(shí)刻的估計(jì)值可以為：

，其中u代表控制參量，是從t-N時(shí)刻開始到t-1時(shí)刻所觀測出來的參量控制值，f(u,t)是前面樣本觀測時(shí)間內(nèi)通過一定的函數(shù)算法形成的估計(jì)函數(shù)。那么下一時(shí)刻的估計(jì)參數(shù)值就應(yīng)該是當(dāng)前時(shí)刻的觀測值與之前時(shí)刻的觀測趨勢所形成的預(yù)測參數(shù)，這里就是x(t+1)。

以此類推，可以形成一個(gè)比較完備的向前觀測體系：

從如上公式可以看出，基于樣本的方法實(shí)際是基于采樣的方法，填充大量場景樣本來驗(yàn)證場景變化。這種純理論的方法通過大量實(shí)驗(yàn)應(yīng)用于實(shí)際的邊緣場景樣本驗(yàn)證是十分有效的。
如下圖顯示了基于樣本的安全驗(yàn)證開發(fā)的自動(dòng)駕駛系統(tǒng)流程圖：

自動(dòng)駕駛系統(tǒng)運(yùn)行能力測驗(yàn)的仲裁標(biāo)準(zhǔn)

研究自動(dòng)駕駛時(shí)，無法避開的話題我們可以說最核心最關(guān)鍵的是設(shè)計(jì)運(yùn)行范圍ODD這個(gè)概念。因?yàn)樵诋?dāng)前的自動(dòng)駕駛來說，無論做的多高大上，仍舊只能運(yùn)行在所限定的區(qū)域范圍之內(nèi)，超過該范圍，將無法在主動(dòng)退出或意外退出。我們在本文中有必要對自動(dòng)駕駛的設(shè)計(jì)運(yùn)行范圍進(jìn)行有效分析。為什么呢？因?yàn)镺DD往往是自動(dòng)駕駛中經(jīng)常會用于對場景有效性分析的一個(gè)設(shè)定范圍。即通過對ODD所有可能場景變化進(jìn)行安全驗(yàn)證和確認(rèn)。其中，ODD中的所有場景變化包括靜態(tài)元素（如道路、路標(biāo)、指示牌、路邊靜止物體等）和動(dòng)態(tài)元素（包括車輛、駕駛員、行人、變化到的天氣、環(huán)境溫度、濕度等）兩個(gè)方面。而這兩方面的變化涉及初始場景變化，以及自初始場景以來時(shí)域發(fā)展的變化。

當(dāng)然這里在自動(dòng)駕駛測量中需要關(guān)注兩方面問題：其一，自動(dòng)駕駛系統(tǒng)本身是否完全具備自測ODD的能力；其二，系統(tǒng)如何關(guān)注當(dāng)前駕駛狀態(tài)緊要性信息，并將該信息用于制定一定的“仲裁標(biāo)準(zhǔn)”，以確定是否需要不同的控制方案。

這里我們所提到的“仲裁標(biāo)準(zhǔn)”有類似mobileye較早提出的安全責(zé)任模型RSS，雖然在很多系統(tǒng)功能設(shè)計(jì)研發(fā)中，很多工程師都考慮到了這一點(diǎn)，但是實(shí)際強(qiáng)制說來這也是一種非官方承認(rèn)的“偽標(biāo)準(zhǔn)”。當(dāng)然對于像ISO26262這種功能安全標(biāo)準(zhǔn)所確定的安全完整性期水平關(guān)鍵量則是需要重點(diǎn)關(guān)注的。這類標(biāo)準(zhǔn)實(shí)際指明車輛是否能夠判斷自身環(huán)境是否處于自身可運(yùn)行的設(shè)計(jì)范圍內(nèi)，如果處于不可避免碰撞（inevitable collision state，ICS）的狀態(tài)，如何根據(jù)對應(yīng)可用的仲裁標(biāo)準(zhǔn)最大化的減少碰撞后果（如通過主動(dòng)制動(dòng)減速或遵循非故障軌跡避障等）。當(dāng)移動(dòng)障礙物的預(yù)測在動(dòng)態(tài)交通場景中至關(guān)重要時(shí)，則需要?jiǎng)?chuàng)建與ICS概率等價(jià)的概率框架。這種概率模型有助于在研究某些半自動(dòng)駕駛或ADAS功能時(shí)，確定系統(tǒng)是否處于不可避免碰撞狀態(tài)（ICS），確定此時(shí)的場景下，其ADAS干預(yù)是否遺漏亦或是本身并不必要。

另一種仲裁標(biāo)準(zhǔn)則是直接通過觀測系統(tǒng)在當(dāng)前運(yùn)行模式下，能否達(dá)到所設(shè)定的目標(biāo)狀態(tài)，即系統(tǒng)的可達(dá)性分析。而達(dá)到所設(shè)定的目標(biāo)狀態(tài)本身就是一種車輛運(yùn)動(dòng)仲裁分析。分析的過程包括對車輛實(shí)際執(zhí)行的運(yùn)動(dòng)軌跡、決策控制和運(yùn)動(dòng)模式進(jìn)行分門別類。即在特定的運(yùn)動(dòng)模式下，通過從大型復(fù)雜動(dòng)態(tài)模式庫中選擇模式需要的計(jì)算，并利用基于學(xué)習(xí)的方法（如強(qiáng)化學(xué)習(xí)、模型預(yù)測控制MPC從復(fù)雜的動(dòng)態(tài)模式庫中選擇適當(dāng)?shù)哪Ｊ剑囕v得軌跡優(yōu)化、提升決策能力、提高控制執(zhí)行能力，保證車輛運(yùn)動(dòng)所需的恒定輸入，以實(shí)現(xiàn)完成更高等級的任務(wù)執(zhí)行。

舉個(gè)例子，對于諸如自動(dòng)換道、緊急轉(zhuǎn)向控制這類軌跡預(yù)測要求較高的功能場景里，通常需要提前采用可達(dá)性分析進(jìn)行持續(xù)預(yù)測，這里的可達(dá)性是指在限定的時(shí)間、空間范圍內(nèi)，是否可以將車輛安全的規(guī)劃移動(dòng)至目標(biāo)車道中。為了實(shí)現(xiàn)這個(gè)過程，就需要提前將多條換道預(yù)測軌跡集成到控制系統(tǒng)中，為當(dāng)前的控制系統(tǒng)提供持續(xù)的指導(dǎo)力和傾向性分析，“指導(dǎo)力”是指按照當(dāng)前的環(huán)境，要采用所計(jì)算的那條軌跡線才能風(fēng)險(xiǎn)最小的運(yùn)行至目標(biāo)車道?！皟A向性”是指如果其中多條路徑均可保證運(yùn)行至目標(biāo)車道，那么哪一條是代價(jià)最小的，則會成為最終選擇的運(yùn)行軌跡。當(dāng)然如上每條預(yù)測的軌跡曲線都是我們做預(yù)測過程中的實(shí)際樣本曲線。每條曲線都匯集了真實(shí)城市駕駛的真實(shí)情況，可綜合反應(yīng)其真實(shí)的交通行為周圍的環(huán)境情況。

總結(jié)
基于場景采樣的測驗(yàn)，其面臨的挑戰(zhàn)是，量化能保證合理覆蓋所需的樣本量，從而約束自動(dòng)駕駛不當(dāng)驅(qū)動(dòng)造成的風(fēng)險(xiǎn)。當(dāng)然，當(dāng)前如火如荼的預(yù)期功能安全能力建設(shè)確實(shí)能起到一定的作用，但是實(shí)現(xiàn)這一SOTIF目標(biāo)的挑戰(zhàn)在于，傳統(tǒng)方法如現(xiàn)場操作測試，難以涵蓋測試期間自動(dòng)駕駛的所有可能場景。盡管存在挑戰(zhàn)，但在安全分析方面仍有一些很有前途的方法和方向，可以朝著ISO 21448的目標(biāo)前進(jìn)，除了在仿真測試能力方面做出必要到的努力外，如何在模擬測試中最大限度地?cái)U(kuò)大場景覆蓋率，通過一些惡優(yōu)質(zhì)的場景預(yù)測和構(gòu)建方法（包括基于樣本的方法、基于形式化方法）來創(chuàng)建（可達(dá)性場景分析）以提供安全保證則是本文研究的重點(diǎn)話題。