隨著自動駕駛系統(tǒng)在汽車世界的不斷普及，針對其功能在真實世界是否具備魯棒性的話題一直不絕于耳。其中最重要的就是涉及對測試場景的規(guī)模構(gòu)建和真實還原，這需要需要進行大量的驗證和確認。最大化場景覆蓋率的常見驗證和確認策略，是在虛擬仿真中驗證，并模擬大量生成的場景樣本。自動駕駛車技術(shù)研發(fā)，一直側(cè)重于技術(shù)挑戰(zhàn)和實施的各個方面，如感知、決策、車輛控制、人機交互的執(zhí)行方式，還有一些涉及自動駕駛車安全測驗問題。

當前自動駕駛的研發(fā)量產(chǎn)上市過程中，通常對于其功能的測試驗證要求實現(xiàn)在于通過指定足夠安全完備的場景運行覆蓋范圍ODD，通過傳統(tǒng)的現(xiàn)場操作測試，來驗證當前自動駕駛的功能覆蓋度和性能指標是否達標。

而在所有安全認證中，最為關(guān)鍵的是包括以下三點：

• 特定場景下，確定不可避免的碰撞；

• 碰撞發(fā)生時，明確主要責任；

• 擴大場景覆蓋度后可能承擔的設計驗證成本。

然而，在真正準入過程中，由于法規(guī)要求相對較弱，只需要檢查一些關(guān)鍵場景就可以。從某種意義上說，為了更加真實的還原道路場景，通常會進行真實世界的道路測試或現(xiàn)場操作測試，這是唯一的驗證方式，也是自動駕駛車驗證和確認（V&V）的最后一步策略。當然由于所有都是真實搭建的場景和設備，這一過程也是昂貴的方法。同時，真實現(xiàn)場測試的缺點也很明顯：因為僅靠在車上安裝一些自動駕駛控制器、傳感器再加上一些可預知的周邊場景人工設置，是缺乏足夠的場景覆蓋能力的（比如一些極端場景或根本就是偶發(fā)場景時，也無法估量）。這也就為一些非關(guān)鍵的未知場景可能出現(xiàn)不可預知的問題埋下隱患。

通常，功能安全設計中廣泛使用的安全指南標準ISO 26262可以適用于緩解與已知部件故障（即已知不安全情況）相關(guān)的已知不合理風險，但并未解決復雜環(huán)境變量導致的自動駕駛風險。同時，也沒有指明當車上沒有出現(xiàn)安全標準設計中所指向的任何硬件、軟件等技術(shù)故障時，系統(tǒng)如何應對這些風險。后來，業(yè)內(nèi)為了更好地定性應對安全挑戰(zhàn)。提出了以ISO 21448為標準的預期功能安全策略。與功能安全結(jié)合后，其設計目標定義為將自動駕駛功能設計的已知和未知不安全場景結(jié)果進行最小化。

這里需要說明的是，對于碰撞是否可以避免不僅是學術(shù)問題，也是涉及法律法規(guī)等相關(guān)問題。因此涉及很多特定場景，甚至連真實的人都無法判定哪種策略更優(yōu)，更何況是機器。因此，配備自動駕駛功能的機動車輛必須具有能夠獨立遵守車輛駕駛交通法規(guī)的技術(shù)設備，并具有事故預防（accident prevention）系統(tǒng)，應該同時滿足如下幾條約束：

（a） 系統(tǒng)運行過程中應盡量避免和減少損壞，（b） 碰撞不可避免的發(fā)生時，所有利益相關(guān)者的優(yōu)先級以最大限度的減少人員傷亡；（c） 如果存在不可避免人生命的選擇風險，則無需根據(jù)個人特性提供進一步加權(quán)。

自動駕駛測運行能力測驗系統(tǒng)

責任確定是自動駕駛中的一個比較重要的課題，以在研系統(tǒng)為例，從L1-L3-L4的整個系統(tǒng)過渡過程，呈現(xiàn)出不同的責任劃分狀態(tài)，當L2及其以下系統(tǒng)時，任何碰撞責任都在于駕駛?cè)说牟患皶r接管（當然系統(tǒng)有一定的提示義務）；當L3時，最主要的工作就是限定其是否只在系統(tǒng)設計運行范圍內(nèi)部還是外部，如果一旦判定為系統(tǒng)內(nèi)部，那么就無需在考慮人為駕駛所造成碰撞風險的可能性，所有的責任都應該轉(zhuǎn)嫁給系統(tǒng)。即使系統(tǒng)無法在持續(xù)處理整個控制過程，也不能指望通過報警讓駕駛員接管來避責，而是必須以自己最大能力的控制冗余停車，開啟危險報警燈等方式規(guī)避碰撞。當然，這里就有一個值得深省的問題，如果系統(tǒng)判定ODD本身就出現(xiàn)了失誤（此時，系統(tǒng)記錄的數(shù)據(jù)并未反應系統(tǒng)已處于ODD之外，只是事后通過后臺數(shù)據(jù)分析得出系統(tǒng)已處于ODD之外），那么責任又有誰來承擔呢？至少當時無法及時給出答案。

另一方面，當L4級或在其以上的自動駕駛車配備安全驗證時，其需要測試驗證的場景將更加復雜多變，這時可根據(jù)基于樣本的方法最大限度的擴大場景測試覆蓋率，同時可以基于形式邏輯（formal logic）的方法簡化責任確定，最終最大限度的將測試驗證場景投射到真實駕駛中。

這里解釋一下什么叫基于樣本的方法和基于形式化方法（formal method）。

基于樣本的方法創(chuàng)建場景覆蓋度，顧名思義，基于樣本方法實際就是參照已有樣本的隨機生成過程，將各分散樣本進行模擬學習，在學習過程中尋找規(guī)律，生成規(guī)律函數(shù)，從規(guī)律中直接或間接的覆蓋實際道路測試案例。

基于形式化方法，實際上它就是引用抽象的安全規(guī)范，盡可能的在場景空間中創(chuàng)造更多更大邊緣場景，提升場景覆蓋量的過程，整個過程將形式化規(guī)范集成到控制合成和監(jiān)控過程，利用純數(shù)學概念進行控制能力解析。力求在域控制器中利用安全規(guī)范，達到對真實環(huán)境的最大逼真度模擬。由此，對于自動駕駛的測試驗證可能發(fā)生碰撞責任則會順利轉(zhuǎn)移到對于模型的在線驗證上?；究梢哉J為，只要模型驗證為正確的，控制器按照綜合安全規(guī)范執(zhí)行，那么系統(tǒng)就可以證明是安全的。

以上兩種對于場景還原的方法都是期望將驗證場景投射到真實駕駛中，與當前簡單的基于測試的方法來保障行駛安全相比，以上兩種方法由于建立了一定的數(shù)學模型或者純粹利用了數(shù)學仿真分析的方法將現(xiàn)實場景轉(zhuǎn)化為系統(tǒng)可預期達成的控制算法/程序，這樣，受控的系統(tǒng)行為就可以滿足測試規(guī)范中的所有測試條件。比如一些無法現(xiàn)場模擬的危險場景，接近-碰撞或已經(jīng)碰撞的場景。
其實，這里的形式化方法和樣本方法所在意的核心思想就是信號處理中的觀測值-預測值的概念。這一概念實際也是數(shù)字信號處理中常用的方法和概念。
以當前時間點作為t時刻點，向前向后預測一定時間內(nèi)系統(tǒng)的表現(xiàn)，預測過程是通過之前的函數(shù)觀測值所統(tǒng)計的函數(shù)規(guī)律。
比如，通過對之前車輛駕駛場景有一組觀測值為.....Xt-2,Xt-1, Xt, Xt+1,Xt+2......
那么下一時刻的估計值可以為：

，其中u代表控制參量，是從t-N時刻開始到t-1時刻所觀測出來的參量控制值，f(u,t)是前面樣本觀測時間內(nèi)通過一定的函數(shù)算法形成的估計函數(shù)。那么下一時刻的估計參數(shù)值就應該是當前時刻的觀測值與之前時刻的觀測趨勢所形成的預測參數(shù)，這里就是x(t+1)。

以此類推，可以形成一個比較完備的向前觀測體系：

從如上公式可以看出，基于樣本的方法實際是基于采樣的方法，填充大量場景樣本來驗證場景變化。這種純理論的方法通過大量實驗應用于實際的邊緣場景樣本驗證是十分有效的。
如下圖顯示了基于樣本的安全驗證開發(fā)的自動駕駛系統(tǒng)流程圖：

自動駕駛系統(tǒng)運行能力測驗的仲裁標準

研究自動駕駛時，無法避開的話題我們可以說最核心最關(guān)鍵的是設計運行范圍ODD這個概念。因為在當前的自動駕駛來說，無論做的多高大上，仍舊只能運行在所限定的區(qū)域范圍之內(nèi)，超過該范圍，將無法在主動退出或意外退出。我們在本文中有必要對自動駕駛的設計運行范圍進行有效分析。為什么呢？因為ODD往往是自動駕駛中經(jīng)常會用于對場景有效性分析的一個設定范圍。即通過對ODD所有可能場景變化進行安全驗證和確認。其中，ODD中的所有場景變化包括靜態(tài)元素（如道路、路標、指示牌、路邊靜止物體等）和動態(tài)元素（包括車輛、駕駛員、行人、變化到的天氣、環(huán)境溫度、濕度等）兩個方面。而這兩方面的變化涉及初始場景變化，以及自初始場景以來時域發(fā)展的變化。

當然這里在自動駕駛測量中需要關(guān)注兩方面問題：其一，自動駕駛系統(tǒng)本身是否完全具備自測ODD的能力；其二，系統(tǒng)如何關(guān)注當前駕駛狀態(tài)緊要性信息，并將該信息用于制定一定的“仲裁標準”，以確定是否需要不同的控制方案。

這里我們所提到的“仲裁標準”有類似mobileye較早提出的安全責任模型RSS，雖然在很多系統(tǒng)功能設計研發(fā)中，很多工程師都考慮到了這一點，但是實際強制說來這也是一種非官方承認的“偽標準”。當然對于像ISO26262這種功能安全標準所確定的安全完整性期水平關(guān)鍵量則是需要重點關(guān)注的。這類標準實際指明車輛是否能夠判斷自身環(huán)境是否處于自身可運行的設計范圍內(nèi)，如果處于不可避免碰撞（inevitable collision state，ICS）的狀態(tài)，如何根據(jù)對應可用的仲裁標準最大化的減少碰撞后果（如通過主動制動減速或遵循非故障軌跡避障等）。當移動障礙物的預測在動態(tài)交通場景中至關(guān)重要時，則需要創(chuàng)建與ICS概率等價的概率框架。這種概率模型有助于在研究某些半自動駕駛或ADAS功能時，確定系統(tǒng)是否處于不可避免碰撞狀態(tài)（ICS），確定此時的場景下，其ADAS干預是否遺漏亦或是本身并不必要。

另一種仲裁標準則是直接通過觀測系統(tǒng)在當前運行模式下，能否達到所設定的目標狀態(tài)，即系統(tǒng)的可達性分析。而達到所設定的目標狀態(tài)本身就是一種車輛運動仲裁分析。分析的過程包括對車輛實際執(zhí)行的運動軌跡、決策控制和運動模式進行分門別類。即在特定的運動模式下，通過從大型復雜動態(tài)模式庫中選擇模式需要的計算，并利用基于學習的方法（如強化學習、模型預測控制MPC從復雜的動態(tài)模式庫中選擇適當?shù)哪Ｊ剑囕v得軌跡優(yōu)化、提升決策能力、提高控制執(zhí)行能力，保證車輛運動所需的恒定輸入，以實現(xiàn)完成更高等級的任務執(zhí)行。

舉個例子，對于諸如自動換道、緊急轉(zhuǎn)向控制這類軌跡預測要求較高的功能場景里，通常需要提前采用可達性分析進行持續(xù)預測，這里的可達性是指在限定的時間、空間范圍內(nèi)，是否可以將車輛安全的規(guī)劃移動至目標車道中。為了實現(xiàn)這個過程，就需要提前將多條換道預測軌跡集成到控制系統(tǒng)中，為當前的控制系統(tǒng)提供持續(xù)的指導力和傾向性分析，“指導力”是指按照當前的環(huán)境，要采用所計算的那條軌跡線才能風險最小的運行至目標車道。“傾向性”是指如果其中多條路徑均可保證運行至目標車道，那么哪一條是代價最小的，則會成為最終選擇的運行軌跡。當然如上每條預測的軌跡曲線都是我們做預測過程中的實際樣本曲線。每條曲線都匯集了真實城市駕駛的真實情況，可綜合反應其真實的交通行為周圍的環(huán)境情況。

總結(jié)
基于場景采樣的測驗，其面臨的挑戰(zhàn)是，量化能保證合理覆蓋所需的樣本量，從而約束自動駕駛不當驅(qū)動造成的風險。當然，當前如火如荼的預期功能安全能力建設確實能起到一定的作用，但是實現(xiàn)這一SOTIF目標的挑戰(zhàn)在于，傳統(tǒng)方法如現(xiàn)場操作測試，難以涵蓋測試期間自動駕駛的所有可能場景。盡管存在挑戰(zhàn)，但在安全分析方面仍有一些很有前途的方法和方向，可以朝著ISO 21448的目標前進，除了在仿真測試能力方面做出必要到的努力外，如何在模擬測試中最大限度地擴大場景覆蓋率，通過一些惡優(yōu)質(zhì)的場景預測和構(gòu)建方法（包括基于樣本的方法、基于形式化方法）來創(chuàng)建（可達性場景分析）以提供安全保證則是本文研究的重點話題。