自動駕駛測試場景庫的構建及評價方法（二）

場景生成方法研究

一、研究背景

智能網聯汽車面臨多維度安全挑戰，其中預期功能安全是重要組成部分。在當前階段，智能網聯汽車產業正處于前所未有的高速發展階段。眾多車企與科研機構投入巨資，致力于技術創新和產品升級。盡管如此，伴隨技術進步的同時，安全問題頻頻出現，不同等級的智能網聯汽車產品，在道路測試、示范應用以及正式上路階段仍然發生了多起事故，事故發生的原因多數是由于自動駕駛系統相關的零部件或者子系統的預期功能沒有實現。

場景對于自動駕駛汽車的開發和測試至關重要。由于自動駕駛系統的復雜性，傳統的基于規則和基于里程的測試方法已經不適用，需要向基于場景的測試方法轉變。據美國蘭德公司研究，從統計學角度出發，自動駕駛汽車需要在真實或者虛擬環境中至少進行110億英里的里程測試[1]，才能證明自動駕駛系統比人類駕駛員更可靠。測試場景來源廣泛，預期功能安全場景是其中重要的一類。通過預期功能安全分析獲取盡可能多的相關場景，這些場景一方面可作為輸入指導系統開發，另一方面也是測試驗證的重要依據 。參考國內外場景架構設計方法，結合賽目已有的工程實踐經驗，提出一種基于關鍵要素分析的場景搭建框架，主要包含四類關鍵特征，基于上述方法生成的場景既能夠體現觸發條件，同時也能夠更好的通過模擬仿真軟件搭建，便于高效地進行自動駕駛系統的測試和驗證。

二、研究內容

基于標準ISO 21448和GB/T 43267-2023中第4章預期功能安全活動概述和組織，以及第6章的危害識別和評估，危害是傷害的潛在來源，由整車層面的危害行為導致，場景是傷害發生的助推因素。參考危害事件模型，如圖1所示，

圖 1標準中的SOTIF危害事件模型

在進行危害行為和危害分析之后，需要構建場景與危害進行“匹配”，進而形成可能導致傷害的危害事件，這里構建場景的目標是為已經分析出的危害找到合適的發生環境，該環境包含使危害可導致傷害的條件，該環境也是推導傷害發生的助推因素。預期功能安全場景生成的過程，也是從未知場景中發現已知危害場景的過程。

2.1研究方法

預期功能安全場景的生成方法主要可分為3個關鍵執行步驟（見圖2），第一步，建立從危害行為到危害的映射關系表達，得到關聯規則，形成映射關聯表；第二步，對場景要素進行特征分析，進行場景要素分類及標注，形成一個基于關鍵場景特征的場景要素標注集；第三步，基于第一步建立的關聯表，進行觸發條件關聯，形成帶觸發條件的危害映射表，然后，匹配危害映射表與場景要素標注集，形成危害場景集，該危害場景集也就是預期功能安全場景。

圖 2研究方法總體框圖

（1）從危害行為到危害的映射關系表達

首先建立從危害行為到危害事件的映射關系表達，得到關聯規則，形成映射關聯表。

圖 3危害行為映射關系表達

危害行為列表基于整車控制輸出與引導詞，共計定義18個基本的潛在危害行為，見表1.

表1基于引導詞的危害行為表

危害的三個最底層來源需要考慮對交通的危害、對車內人員的危害、對道路邊界保持的情況，因此，構建六類危害：車內人員感到不適、與前車保持的安全距離過小、與后車保持的安全距離過小、與側面車輛的安全距離過小、與道路邊界過近。

理論上，像場景一樣，危害依據不同的考慮范圍，能被定義出無窮無盡的類型。但本文所定義的危害與危害行為，一個面向最底層來源，一個面向整車輸出，因此具備與其他不同危害類型直接或間接映射的能力，其他各類不同危害也都能被納入本文提供的危害列表之中。比如考慮道路覆蓋情況時可以有車輛打滑的危害等，該危害可以映射至表1中的加速度/減速度過小的危害行為，以及與前車/后車保持的安全距離過小（當有前后車時），或與道路邊界過近（當道路為彎道、或打滑導致車輛側移時）。

危害行為是對主車的異常輸出的描述，危害是對主車在場景中可能面臨潛在風險的描述，所以從危害行為到危害的映射需要加入對場景關鍵點的考慮。與危害匹配過程中需要考慮的場景關鍵點：分別是主車與他車、主車與道路以及觸發條件。因此，定義危害行為、危害、場景關鍵點，以確定三者之間的對應和映射關系。映射關系可由下式表示：

其中，表示第i個危害行為(來自表1)。表示第j個場景中可關聯危害的場景關鍵點,表示由第i個危害行為與第j個場景要素組合產生的第1個危害。具體，考慮18個基本的危害行為，以及場景中交通參與者與主車的相對位置關系，以及場景的道路是否彎曲兩類關鍵要素，構造危害行為與導致危害場景關鍵點的關聯表，見圖4。

圖 4危害行為與導致危害場景關鍵點的關聯表

該表描述了危害行為與危害的關聯，在關聯過程中考慮了必要的場景要素。這種關聯是定性式的，并且以相對有限的危害行為與危害的組合，關聯到了數量龐大的場景，關聯介質為場景中的他車和道路這兩類要素。該關聯方式可用于構建危害的場景集。

（2）基于四類場景特征進行場景關鍵要素標注

根據預期功能安全場景建立的目標需求，為已經分析出的危害找到合適的發生環境，將關鍵場景特征分為四類，即四層級的場景架構。

· 第一類是道路特征，主要包括場景中的物理基礎設施，是場景限定范圍內的道路結構和道路設施等要素的合集。

· 第二類是環境特征，是感知行為的重要來源，環境特征的要素范圍包含天氣、降水量、風力、時段等。

· 第三類是主車特征，規定了場景中車輛的行為，主車特征的要素范圍包含縱向初速度，位置等。

·第四類是交通參與物特征，規定了參與物的行為與交互關系，交通參與物特征的要素范圍包含與主車的交互行為、相對位置、相對速度等。

對上述四類場景特征進行細化和拆解后，可得到場景關鍵要素集以及要素的標簽。四類場景特征作為一級標簽，可繼續拆分為35個二級標簽，二級標簽可繼續拆分為140個場景要素，如圖5所示。

圖 5基于場景四層架構的場景關鍵要素集

由上圖可見，其中，第三列的場景要素是場景要素集的最基本組成，要素根據自身的特征可分為語義要素和數值要素，語義要素在場景中的描述為有或無，數值要素在場景中的描述為具體的參數取值，也是邏輯場景進行泛化的待采樣參數。

圖 6場景關鍵要素標注集

（3）SOTIF危害場景庫的構建方法

GB/T 43267所提供的鏈路的主要節點為危害行為、危害、場景，三者存在一定的關聯關系。對此，前文提出的關聯場景和危害的具體流程，可根據危害行為映射關聯表和場景關鍵要素標注集構造以危害為導向的測試場景集，實現以數量有限的危害關聯匹配出數量級較大的危害場景庫，該場景庫也就是預期功能安全場景庫。

圖 7危害場景庫生成示意圖

首先，基于已經生成的關聯表（圖 4），進一步將觸發條件與整車危害行為的引導詞進行關聯。該階段的關聯旨在細化危害行為的發生條件，確保測試場景集能夠全面覆蓋各種可能的觸發條件。且通過與觸發條件的關聯可以以更小的顆粒度匹配邏輯場景中的主要觸發要素。

場景中的觸發條件即場景危害關聯要素，包括合理可預見的人為誤用，可以通過FMEA/FTA/STPA等分析方法得到，這里不展開描述。具體觸發條件要素詳見下表。

圖 8觸發條件分類體系

然后，基于場景關鍵要素標注集，通過要素集笛卡爾積的方式進行組合生成測試場景庫。根據文章：自動駕駛測試場景庫的構建及評價方法（一），“定義場景要素集為S，則有，其中為一級標簽下的場景要素子集,為二級標簽下的場景要素子集。定義危害關聯要素為。進而，一個關聯危害的場景庫Sces可以表示為：

其中，“X”表示笛卡爾積。”在對場景要素集進行組合時，同時對場景要素進行標注，包括要素的頻率、風險性、復雜性標注，并將對要素標注的結果繼承至由其組合成的場景中。最終，形成一個基于關鍵場景特征分析的場景庫。

最后，將上述形成的場景庫中的場景與危害、危害行為進行匹配，從形成的場景庫中篩選出與特定危害或危害行為相匹配的場景，進而構建出一個面向某個特定危害的測試場景集。該測試場景集可以包含特定的潛在危害行為與危害，也能夠反映出這些危害在不同條件下可能發生的具體場景，最終得到SOTIF危害場景庫。

2.2.研究方法的優勢

以上的研究方法不僅能夠充分地描述場景，還涵蓋了觸發條件，并且便于搭建。

首先，四大類特征的提取能夠充分的描述場景。4大類特征的提取可以全面地描述車輛所處的場景，能夠表達自動駕駛車輛在多種路況下應對的多變的環境條件和交通狀況；自動駕駛算法需要處理大量的環境數據，以確保自動駕駛車輛能夠安全、高效地行駛，以及在行駛過程中，車輛可能會遇到的情況：如不同道路類型，變化的交通狀況，多樣的天氣條件以及各種潛在的障礙物。有效的特征提取能夠從原始數據中提煉關鍵信息。

其次，四大類特征的提取能夠涵蓋觸發條件。特征的提取對于理解和預測觸發條件至關重要，這些提取的特征是一個多層次、多維度的信息處理過程，是分析觸發機制的重要參考。

最后，四大類特征的提取易于模擬仿真的實現。道路特征可以通過滿足OpenDRIVE格式來實現，通過特征提取，可以構建出精確的道路模型，并在仿真環境中加載這些模型來模擬真實的道路情況。交通參與物特征及主車特征可以通過OpenSCENARIO來實現，可以設置不同類型交通參與物的速度、加速度、路線、交互規則等參數，例如，可以創建一個場景，其中包含多個車輛在不同車道上行駛，并且根據交通燈信號或其他車輛的存在進行加速或減速。同時，可以定義主車的傳感器配置、感知范圍、決策邏輯等，例如，可以模擬主車識別前方的障礙物并執行換道操作，或者根據交通信號調整速度。環境特征可以使用工具進行更豐富的環境模擬，例如，可以設置不同的天氣情況，觀察其對傳感器性能和車輛行為的影響。

三、典型案例

該章節提供了一種在給定危害行為下的潛在危害與危害場景集生成的執行案例。

根據上述方法的執行步驟，如下：

（1）從危害行為到危害的映射關系表達

根據引導詞“過小”，結合整車輸出的“減速度”，得出當給定危害行為為減速度過小時，系統遍歷危害行為映射關聯表，該危害行為可關聯危害為“與前車保持的安全距離過小”；對應的危害匹配過程中需要考慮的場景關鍵點是“自車前方存在他車或其他交通參與物”。

（2）基于四類場景特征進行場景關鍵要素標注

基于四類場景特征篩選場景要素進行笛卡爾積，得到組合后的場景關鍵要素標注集。例如：

（3）SOTIF危害場景庫的構建方法

關聯觸發條件：引導詞“過小”代表自車的實際輸出由于場景中的抑制條件，使得其比預期輸出要小，場景抑制條件可以是摩擦系數變小的抑制，比如“道路濕滑”、“降雨”、“降雪”等場景要素。這些要素在場景要素集中已被預先標記為潛在的觸發條件要素；根據觸發條件分類表進行生成帶觸發條件的危害映射表，如下：

將上面形成的表格中的內容與場景關鍵要素標注集進行匹配，構建該危害對應的危害場景庫，場景庫見圖9。

圖 9危害場景庫（部分）

由上圖可見，所構建的危害場景庫涵蓋了對危害行為“減速度過小”及其關聯的危害“與前車保持的安全距離過小”的致傷條件和潛在觸發要素，即在該場景集中，有較大概率會使得自動駕駛汽車出現該危害行為并引發所對應的危害。

通過Sim Pro仿真工具，將上述步驟分析得出的場景進行仿真驗證。

參考資料

[1]https://www.rand.org/pubs/articles/2016.html

[2] GB/T 43267-2023 道路車輛—預期功能安全 [S]

[3]ASAM.OpenSCENARIO[EB/OL].https://www.asam.net/standards/detail/openscenario/, [日期: 2024-08-01].

[4] 中國智能網聯汽車產業創新聯盟. 智能網聯汽車預期功能安全場景要素及管理要求: T/CSAE 336-2023[S]. 北京: 中國汽車工程學會, 2023.

[5]ISO21448-2022SOTIF,Safetyof The Intended Functionality [S]