自动驾驶辅助系统的安全评估

统计方法结合软件在环(SiL)仿真有助于分析高级驾驶辅助系统(ADAS)的可靠性。

场景化驾驶仿真

通过基于场景的仿真，对先进驾驶辅助系统进行了验证。在这种情况下，仿真意味着运行ADAS的控制设备作为仿真工具，运行真正的ECU代码，从而执行软件在环仿真。仿真控制器的所有输入都由仿真环境生成。这些数据包括传感器、车辆数据以及安装在车辆上的其他ECU的数据。为了生成可信的输入数据，模拟了一个虚拟环境，其中系统车辆移动，传感器模型检测其他道路用户(物体)。因此，虚拟世界被处理和捕获，由此计算出的控制量被传递回车辆模型。

这些场景来源于系统需求、研究项目PEGASUS(开发验证和测试ADAS新方法的联合项目)以及实地观测。逻辑场景通常是特定的交通状况。

例如，如图1所示，其他物体的机动切割或高速公路上的堵塞情况。为了描述这样一个逻辑场景，可以使用六层模型[Bock]。出于演示目的，只有道路层(1)和移动对象层(4)用于描述。在相应参数的帮助下，这些逻辑场景的特征可以有所不同。因此，有可能改变车辆的速度，距离物体或变道机动的动态。

模拟这些由不同参数组合产生的所谓特定场景，并评估ADS的系统反应。这是通过反映特定场景的重要性的评估标准来完成的。例如，碰撞时间(TTC)或两辆车之间的距离可以用作评估标准。

随机分析

要满足设计要求，就必须确保由几何、材料或环境变异性波动引起的所有重要响应的散射在可接受的设计极限之内。借助鲁棒性分析，可以估计这种散点。在这个框架内，响应的散点可以用其平均值和标准偏差或其相对于指定故障极限的安全裕度来描述。安全裕度可以是基于方差的(指定故障与平均值之间的裕度)，也可以是基于概率的(使用超过故障极限的概率)。图2显示了这一原理。

在可靠性方法中，达到失效极限的概率是由失效域内不确定性的概率密度积分得到的。

采样，其中采样密度是适应，以充分覆盖故障域，并获得更准确的概率估计与更少的求解器调用。

其他方法，如一阶或二阶可靠性方法(FORM & SORM)通过逼近安全域和失效域之间的边界，即所谓的极限状态，仍然比采样方法更有效。

相对于整个响应的全局低阶近似，最可能失效点(MPP)附近极限状态的近似更准确。对这些“经典”方法给出了一个很好的概述。

在我们的研究中，我们研究了几种方法。对于我们的应用来说，一种可靠且稳健的方法是自适应重要性抽样策略。该方法通过对修正后的抽样密度进行迭代调整，得到重要抽样密度。

随着随机变量数量的增加，这种方法的效率越来越低，因为密度统计量的估计不准确。因此，建议将此方法应用于包含多达20个随机变量的问题。

此外，它只能分析一个主要失效区域。在我们的研究中，离散分布类型与连续随机变量一起使用，我们观察到额外的数值努力，以获得与纯连续问题中相似的故障概率估计精度。

这是由图3(见前页)所示的标准正态空间中极限状态函数的人为不连续引起的。即使是连续的极限状态函数，由于离散分布也会出现这种不连续。这种现象会导致多个最可能的故障点，这使得正常的采样密度效率较低。

为了克服一个主要失效区域的限制，我们根据[Geyer]扩展了使用设计点(ISPUD)的多模态密度的重要性采样。修改后的采样密度可以由高斯空间中任意数量的具有不同中心点和单位协方差的个体采样密度组成。图4显示了四个独立失效区域的抽样。

在检测到最重要的失效区域后，将相应的最可能失效点作为多模态ISPUD方法的采样密度中心。由于失效概率不是由beta-distance类似FORM估计的，而是由更准确的重要性抽样估计的，即使是非线性的极限状态函数也可以准确地评估。此外，局部优化器在估计局部最可能的故障点时不需要非常准确。

应用实例

在这个例子中，我们研究了拥堵结束的场景，在高速公路上，一辆自我车辆，包括一辆领先车辆，行驶到交通堵塞的尽头。在某一时刻，前导车辆将改变车道，而前导车辆必须检测到最后一辆堵塞的车辆，以便进行安全制动。

在仿真软件中，根据给定的输入参数估计碰撞时间(TTC)。我们将此TTC视为极限状态，并利用可靠性算法研究了几种极限。

作为输入散点，我们假设9个连续的散点参数分别为前导车辆和拥堵车辆的结束速度、拉出时间、前导车辆制动减速以及拥堵车辆和前导车辆的车道偏移。采用离散随机分布对道路车道数、领头车辆类别和拉出方向进行建模。

为了更有效地进行分析和验证，第一步基于1000个样本创建了全局元模型。为了获得更多的样本，从而在相关区域获得更高的精度，使用了局部适应策略(自适应元模型的最佳预后，[Ansys Dynardo, Most])。万博基于此快速元模型，我们研究了多模态抽样和自适应抽样的重要性抽样，并与蛮力蒙特卡罗模拟进行了比较。

在图5(参见前页)中显示了12维元模型的一个子空间。如图所示，在这种情况下，前车速度和堵塞结束速度是最重要的。此外，碰撞时间与输入参数之间的关系几乎是单调的。因此，主要由于离散参数的不同组合，我们期望得到不同的失效区域。

在图6中，针对一个特定的故障限制显示了多个FORM的收敛。可以看出，优化器收敛到不同的可靠性指标值，这些指标值对应不同的最可能故障点。共检测到20个故障点，作为重要抽样的抽样中心。

综上所述，多模态ISPUD算法是最有效的算法，尤其适用于小故障概率，是预期的应用领域。图7显示了原始参数空间中最重要的三个参数的重要性抽样密度。然后，利用交通仿真软件直接应用多模态和自适应重要性抽样。蒙特卡罗模拟由于大量的数值工作而不能应用。表2对结果进行了比较。同样，两种方法的结果非常一致，而ISPUD方法需要的样本更少。

由于FORM方法只应用在元模型上，所以元模型总共需要1000个样本加上5000个样本。然而，实际求解器的估计表明，使用元模型估计的失败概率要大得多。

我们总是使用直接求解器应用ISPUD方法。如果最可能的故障点没有被非常准确地估计出来，我们仍然可以得到有效的结果，因为ISPUD算法一直在运行采样，直到估计的故障概率得到一定的准确性。

最后，我们研究了获得的最可能故障点的准确性的影响。为此，我们考虑碰撞时间的失效限制为0.5s，再次使用元模型。我们通过在FORM搜索中修改极限状态来启动错误的故障点，同时在ISPUD采样中保留原始状态。图8显示了结果。可以看出，如果破坏区域内的密度中心点发生移位，不安全样本的数量就会增加，从而提高了估计破坏概率的准确性。

因此，需要较少的样本才能获得所需的10%的精度。另一种情况是，当估计的失效点和重要采样密度的中心点位于安全区域太远时，不安全区域的样本数量会减少，从而ISPUD中所需的样本总数会增加。然而，在这三种情况下，对失败概率的估计是相当准确的。

结论

在本文中，我们提出了一种用于高级驾驶辅助系统验证的特定交通场景可靠性评估的自动方法。在这个分析中，控制装置被表示为一个仿真模型，使用软件在环技术。

在随机分析中，该模拟控制器的特定输入被建模为随机输入。基于失效准则的定义，可以应用众所周知的可靠性算法。在我们的研究中，我们只使用经典的蒙特卡罗模拟来验证，因为它在证明小事件概率方面付出了巨大的数值努力。为了减少必要的模拟运行次数，采用方差降低重要性抽样。为此，我们使用了多设计点搜索方法来检测重要的故障区域。

基于一个可靠的误差估计，我们可以确保采样循环继续，直到获得所需的概率估计精度。本文提出的方法可以实现高级驾驶辅助系统在特定场景下的自动可靠性证明，并且只需最少的人工输入。然而，非常重要的一点是对所调查情景的输入不确定性的量化。这些假设极大地影响最终估计的故障率，因此，应注意从现实世界的观测中得出关于分布类型、散点和事件相关性的适当假设。