自动驾驶功能的前瞻性有效性评估——从方法到结果

自动驾驶功能的前瞻性有效性评估-从方法到结果

原文：PROSPECTIVE SAFETY EFFECTIVENESS ASSESSMENT OF AUTOMATED DRIVING FUNCTIONS ——FROM THE METHODS TO THE RESULTS

翻译：卢萍、代超

译文审核：朱旭光

近年来，传感器和电子领域的发展使汽车行业越来越接近自动驾驶。市场上已经出现了需要驾驶员持续监控的自动化功能。高度自动驾驶功能（HAD）将在不久的将来进入市场。负责自动驾驶和联网驾驶的德国伦理委员会（German Ethics Commission）在其报告中表示，“除非与人类驾驶相比，自动驾驶至少能减少伤害，换句话说，达到风险的积极平衡，否则给自动驾驶功能颁发许可证是不合理的。”这就引出了一个问题，如何评估自动驾驶功能对交通安全的影响，同时考虑到可能的积极和消极方面?

本文全面介绍了宝马公司采用虚拟实验方法对HAD进行前瞻性安全评估的方法。除其他外，该方法是HAD评价和安全保证活动的一部分。描述了该方法从场景选择到仿真，再到确认和验证。与该领域主要使用事故再模拟的其他模拟方法相比，该方法使用蒙特卡罗技术，其中模拟驾驶场景的初始启动条件以及所涉及的驾驶员的参数是从分布中随机选择的。这些分布既基于事故数据，也基于自然驾驶数据。该方法的一个核心方面是随机认知驾驶员行为模型，用于描述场景中单独不同的交通参与者的行为。与基于事故再模拟的方法相比，这种方法允许分析时间方向上更大的驾驶场景，这对HAD来说很重要，因为这些功能在操作设计领域的整个驾驶过程中发挥作用，而不仅仅是在关键情况下。

将该方法应用于示范性HAD的安全性能评估。结果涵盖了积极的影响，主要是在今天已知的事故场景中实现的，以及与人工交通相比可能发生潜在新风险的场景。这方面的一个例子是最小风险策略，讨论了不同实现的后果。与所有其他方法（事故分析、驾驶模拟器或测试轨道研究、现场操作试验）一样，基于仿真的方法有其优点和缺点。主要的批评是评估是虚拟的，这就提出了模拟有效性的问题。为了解决这方面的问题，方法和工具的确认和验证是一个关键方面。因此，本文描述了我们目前关于确认和验证的概念考虑。

01  介绍

自20世纪60年代以来，为了提高交通安全，汽车工业引入了不同的技术，见图1。第一类技术是被动安全系统（安全带、安全气囊等）。这些技术的主要目的是减少事故的后果。下一步是主动尝试防止事故的系统，或者至少在不可避免的事故发生的情况下，在第一次接触之前试图减少其后果。这些系统被称为主动安全技术。它们的发展始于上世纪80年代主要关注车辆动力学的系统（例如ABS和ESC）。从2000年开始，更多的主动安全系统进入市场。该系统利用有关环境和周围交通的信息来检测迫在眉睫的风险并启动对策（例如AEB，盲点检测）。综合交通安全方法中的第三类系统是旨在事先预防关键驾驶情况发生的系统。这类系统通常在纵向、横向或两个方向上接管车辆的控制。这些系统可以按照SAE自动驾驶分类。这类系统包括高级驾驶辅助系统（ADAS），如ACC，以及高度自动驾驶功能（HAD）。特别是后者是目前汽车工业发展的一个重大课题。

图1 综合交通安全方法

高度自动化的驾驶功能有望通过避免与人为错误相关的事故，在交通安全方面带来重大改善。但是，必须考虑到事故是非常罕见的事件。2017年，德国高速公路上总共发生了20.928起事故，其中人类受到轻微、严重或致命的伤害。据统计，在德国高速公路上，每年大约2430亿公里的驾驶距离，大约每1160万公里就会发生一次造成人员受伤的事故。一旦证明事故频率低于人类驾驶，自动驾驶带来的交通安全改善将成为现实。因此，德国伦理委员会关于自动驾驶和网联驾驶的第3条要求“……指导原则是避免事故，尽管如果风险平衡从根本上是积极的，技术上不可避免的剩余风险并不妨碍自动驾驶的引入”。这就提出了一个问题，如何才能实现自动驾驶的积极风险平衡在真实世界的事故数据可用之前，已经进行了调查和证明。研究自动驾驶这种风险平衡的一种方法是前瞻性安全有效性评估方法。

在本文中，提出了不同的前瞻性安全有效性评估方法，包括宝马基于仿真的自动驾驶方法。该方法随后被应用于不同的驾驶场景。最后，本文最后描述了该方法所采用的确认和验证方法。

02  前瞻性安全有效性评估方法

有不同的方法和工具来确定一项技术对交通安全的有效性。一般来说，安全有效性评估是对没有被评估技术的情况（基线）与在交通安全方面提供技术的情况进行比较。

在这一点上，有必要区分回顾性和前瞻性评估方法。回顾性评估是在该技术上市后进行的。评估通常是通过真实世界的事故数据来完成的。这种方法的优点是，它能够提供技术在现实世界中的影响。但是这种方法有两个方面的挑战。第一，混杂因素难以控制；第二方面是要求该技术有一定的渗透率，也就是说，一项技术在市场上推出之前或推出后不久就不能使用。然而，如果证明积极的风险平衡是市场引入自动驾驶的先决条件，那么该方法在开发中的应用是基本要求。

采用前瞻性评价方法，对该技术在上市前的安全有效性进行评价。基本上，已知有四种不同的评估方法。这些是:现场操作测试（FOT），在受控环境（驾驶模拟器或测试轨道）中的用户研究，事故分析和计算机模拟。每种方法都有其优点和缺点。例如，在euroFOT项目中应用的FOT方法分析了一项技术在现实世界条件下的影响。然而，该方法需要相当高的资源，并且只有在技术成熟后才能应用，这样才能在公共道路上进行测试。此外，由于事故发生的可能性很低，因此在FOT中检测到统计上相关的事故数量是相当不同的。出于这个原因，通常会在评估中应用替代措施（例如关键驾驶情况）。在测试轨道或驾驶模拟器上对用户进行的研究提供了有关用户在受控条件下与技术交互的详细信息，并且不会给用户带来任何风险。这种方法已在不同的研究中使用，然而，这些研究也需要付出很大的努力——特别是如果要在大量的驾驶场景中分析技术的影响。相比之下，前瞻性事故分析，例如已在中应用，允许以相对较低的努力调查潜在的应用领域。该方法的缺点在于，由于无法将驾驶场景中的特定影响考虑在内，因此在计算技术有效性的精确程度上受到了限制。

剩下的方法是计算机模拟，已在不同的研究中使用。这种方法能够以合理的努力来研究一项技术在各种驾驶场景中的安全效果。这种方法的挑战之处在于它完全是虚拟的，这对所应用的仿真模型提出了很高的要求。同样清楚的是，设置模拟需要来自其他工具的输入数据，例如事故数据、驾驶模拟器数据、FOT数据或自然驾驶研究（NDS）的数据。在通过模拟进行的前瞻性安全有效性评估中，已知有两种不同的方法，见图2。

图2 基于模拟的前瞻性安全有效性评估方法

第一种方法是基于事故的方法。对于这种方法，考虑到要评估的技术，对已经重建的现实世界事故进行模拟。模拟的交通主体（驾驶员和车辆的组合）的轨迹来源于原始事故案例。这种方法的先决条件是可以获得详细的事故重构。在这里，必须注意的是，重构中的不确定性随着事故案例重构时间的延长而增加。此外，这种方法只允许调查危急情况。为了覆盖更广泛的情况，可以通过稍微改变原始事故案例的参数来完成对这种方法的修改，以便调查技术在变化的条件下如何反应。

第二种方法是基于交通的方法，在这种方法中模拟了人工驾驶场景。驾驶场景的起始条件是从事故数据或NDS/FOT数据的分布中随机选择的。因此，通过分布确保了模拟案例与现实世界之间的联系。与基于事故的方法相比，无法预先计算轨迹。因此，需要在模拟中确定交通参与者行为的模型。为了进行有效的模拟，必须确保这些模型的质量。一方面，基于事故的方法在场景的持续时间和复杂性（道路长度、涉及的交通参与者、进行的机动等）方面没有限制。通过这种方法，驾驶情况也可以被分析，这不是最重要的，这允许分析，是否检测到任何假阳性反应的技术。

由于在合理的努力下可以分析广泛的场景，宝马在广泛的不同分析中使用了基于交通的模拟方法来预测ADAS的预期安全有效性。然而，HAD对前瞻性安全有效性评价提出了新的挑战。以下章节将讨论这些挑战以及为解决这些挑战所采取的措施。

03  自动驾驶前瞻性安全有效性评估方法

通过仿真将前瞻性安全有效性评估方法应用于自动驾驶功能所需的适应性可以从主动安全功能的差异中推导出来。首先，一般来说，每种技术对交通安全既有积极影响，也有消极影响。技术运行的时间越长，受技术影响的情况就越多。主动安全系统，如AEB，只有在检测到紧急情况时才会分别对驾驶动态进行干预。这些情况——当然取决于个人的驾驶风格——是罕见和短暂的驾驶情况。此外，系统活跃的情况也有明确的定义。这样，情境空间就可以缩小到几类情境。由于干预在即将发生的碰撞发生前几秒钟才开始，因此模拟的时间范围可能相当短。此外，在评估潜在的负面后果时，它可以集中在短时间内的情况下。

对于HAD系统来说，技术的性质导致了不同的需求。在这里，只要车辆处于操作设计域（ODD），该功能就可以通过驾驶持续运行。HAD较长的运行时间意味着模拟需要覆盖更大、更长的驾驶场景。由于驾驶期间不同操作发生时，仅仅关注单一的操作是不够的，而是需要模拟从正常驾驶到紧急情况直到碰撞时刻的整个范围。

此外，与主动安全系统相比，HAD的挑战性驾驶场景可能会对交通安全产生负面影响，因此必须得到更多的关注。首先，HAD的运行时间越长，对交通的干扰越大，就会增加执行不适合特定情况的行动的风险。第二个原因是，HAD带来了新的驾驶场景，而这些场景不是今天手动驾驶的一部分，最主要的例子是驾驶员必须从该功能手中接管车辆的控制。

评估自动驾驶的最后一个重要方面是，该功能不仅会像主动安全系统那样改变情况的严重程度，而且还会影响某些驾驶场景的频率。其中一个例子就是被动切入机动。在公共道路上的首次体验已经表明，与人工驾驶[30]相比，自动驾驶时这种操作的发生频率有所增加。由于一项技术的安全效果是通过相关驾驶场景中严重程度和频率的变化来描述的，因此在评估自动驾驶时也必须考虑到这种影响。

这些要求导致了前瞻性安全有效性评估的结论，这只是整个HAD测试和安全保证活动的一部分，即只有通过基于交通的模拟方法才能对自动驾驶进行评估。基于事故的模拟方法在场景持续时间和场景选择方面过于有限，无法保证全面的评估。当然，必须注意的是，模拟方法需要不同的输入数据。输入数据必须来自其他来源，如事故数据、驾驶模拟器数据（例如描述人类驾驶员的超车能力）以及FOT和NDS数据。在以下相关方面的交通为基础的模拟方法，因为它在BMW的应用是突出的。

自动驾驶场景分析

对自动驾驶的评估需要考虑驾驶情况，这可能会对交通安全产生积极和消极的影响。为了评估这些影响，必须识别相关的驾驶场景。然而，如前所述，由于HAD驾驶场景的持续运行并不意味着该场景的时间限制在几秒钟内，并且只涉及少数交通参与者。这里的驾驶场景意味着一个更大的路段-例如两公里-根据预先定义的交通流量计算出的交通参与者的数量来模拟其中的某种驾驶操作或某种冲突发生。

BMW确定要分析的场景的方法基于三个支柱，参见图3。第一个支柱侧重于预计HAD将产生积极影响的驾驶情景。这些可以从人类驾驶员表现不佳的驾驶场景中推导出来。通常这些都是事故情况。在德国高速公路上发生的主要事故类型是与（被动）插队、交通堵塞结束时的追尾冲突、一般的追尾冲突和单一驾驶事故有关的事故，其中一辆车离开道路，不直接涉及任何其他道路使用者。

图3 确定评估HAD的最佳方案

第二个支柱考虑了HAD具有挑战性的驾驶场景。这种场景可能有积极的影响，也可能有消极的影响。通过分析功能本身来识别这些驾驶场景。相对于人工驾驶中的事故频率，这些场景的相关性通常较低。由于HAD行为的不确定性，它们需要更深入的分析。例如，需要与其他道路使用者进行交互的驾驶场景（如高速公路入口、车道尽头）、HAD需要做出复杂决策的场景（如车道上的障碍物），以及前面提到的驾驶员（突然）必须从该功能手中接管车辆控制权的控制场景。

模拟工具openPASS

当然，基于模拟的前瞻性安全评估方法需要一个模拟工具来进行模拟。市场上有多种商业工具，不过，这些工具大多是专有软件工具，在所需的调整方面存在局限性。因此，宝马在其方法中使用了开源模拟工具openPASS，该工具目前由宝马、戴姆勒、大众、丰田、博世、TÜV南德意志集团和ITK-Engineering在eclipse基金会下联合开发。openPASS的模块化框架允许不同模块采用不同的模型，而开源的方法则提供了一定的透明度。此外，在openPASS中还可以使用openDRIVE、open-SCENARIO、OSI和FMI等开源接口。对于常用的HAD评估方法而言，openPASS最重要的一点是可以通过多种随机变化来模拟场景，这些随机变化可能会影响环境、车辆、传感器参数和交通。最后一个重要方面是驾驶员行为模型，该模型将在下一节详细介绍。在这里，通过将宝马的驾驶员行为模型集成到模拟框架中，openPASS的灵活性得到了充分发挥。

驾驶员行为模型

对于基于交通的模拟方法来说，驾驶员行为模型是必不可少的组成部分。评估HAD所需的驾驶员行为有两个目的：第一个目的是模拟驾驶员在自动驾驶车辆中的行为，在这种情况下，驾驶员必须从自动驾驶功能中接管驾驶任务。第二个目的是在考虑所有相关交通参与者之间互动的情况下，描述不同交通参与者的行为。在基线模拟中，所有交通参与者都由驾驶员行为模型控制。在处理模拟中，该模型只与非自动驾驶代理相关。由于在评估中要对基线模拟和处理模拟进行比较，因此基线模拟中的风险应与现实世界相当。因此，驾驶员行为模型应涵盖各种驾驶员的驾驶能力，包括事故预防策略以及人类驾驶员的错误行为。

根据这一要求，宝马公司从2014年起开始开发随机认知驾驶员模型（SCM）。该驾驶员行为模型主要针对高速公路交通而设计。SCM 的功能概念将人类认知过程与随机过程建模相结合。SCM由五个不同的子模块组成，分别代表不同驾驶员的行为（信息获取、心理模型、决策过程、行动模式、行动实施）。通过这些模型，可以表示从信息获取到驾驶员转向、制动或加速的过程。由于SCM的随机特性，可以保证代理在某些驾驶情况下会有不同的行为。甚至有可能同一个驾驶员在相同的情况下做出不同的反应。这样，就能确保评估涵盖广泛的驾驶员行为。

近年来，SCM的进一步发展涉及两个方面。第一个方面是改进了模型的预测和预期能力，以确保更好的交通流量，降低被动切入机动的事故率。第二个方面是驾驶员特征模块，该子模块将驾驶员参数（年龄、行驶里程）和状态（如疲劳和压力）与SCM的驾驶员参数联系起来。它涵盖了驾驶员的个体差异和个体间差异及其对驾驶员行为的影响。在单向随机过程中，交通代理可获得一系列驾驶员个体特征，这些特征可改变、扩大或缩小SCM所有子模块中随机参数的基线分布。这样，就可以模拟更广泛的整体驾驶员群体，并尽可能逼真地运行虚拟交通模拟。为了用有效数据填充该子模块，进行了一项驾驶模拟器研究。在讨论了总体背景之后，下一章将举例说明该方法在HAD中的应用。

04  自动驾驶方法的应用

在介绍了该方法之后，本章将重点介绍其示范应用。为此，本章分析了八种不同驾驶场景下的示例HAD效果。这八个不同的驾驶场景是：

1. 切入；

2.交通堵塞；

3.追尾事故；

4.单车事故；

5.车道尽头；

6.车道上的障碍物；

7.高速公路入口；

8.驾驶转换后的最小风险机动。

控制权转换后的最小风险机动，分析是在欧洲资助的AdaptIVe研究项目和德国资助的Ko-HAF研究项目的背景下进行的。前四种情景在事故情景部分进行了报告，其余四种情景在挑战情景部分进行了报告。

必须指出的是，分析的HAD只是一个示例功能，并不代表宝马公司的实际执行情况。

分析的高度自动驾驶功能

下文中模拟的示例HAD是根据表1实施的。对于在驾驶员未接管功能的情况下启动的最低风险操作，分析了两种实施方案。第一个实施方案考虑了适当减速（约2 m/s²），第二个实施方案考虑了强减速（约5 m/s²）。

表1 分析人工自动驾驶功能的规范

HAD在交通事故相关场景中的安全性能

首先，根据所描述的方法对驾驶场景进行模拟，在这些场景中，HAD预计会产生积极影响。与手动驾驶车辆相比，自动驾驶车辆的事故风险变化见表2。正如预期的那样，所有场景都显示出降低事故风险的潜力。

表2 模拟事故相关交通场景的结果

模拟方法唯一没有涵盖的情况是"单次驾驶事故"。在这种情况下，车辆会意外离开车道或道路。预计只要弯道位于ODD中，且未出现功能问题，该功能就能将车辆保持在车道上，从而防止相关事故的发生。

然而，驾驶场景中的效果只是潜在安全效果的一部分，因为这意味着该功能可以在所有条件下运行，并且始终处于激活状态。这当然不符合实际情况，因为如表1所述，HAD在ODD方面受到限制。为了考虑到这一局限性，表3的第三列提供了符合ODD的GIDAS事故的比例信息。

关于ODD所包含的事故比例，在HAD运行速度之外发生的事故存在不确定性。在这种情况下，要么是开启了该功能，驾驶员按照计算结果获益；要么是驾驶员打算开得更快，这意味着操作者关闭了该功能。这样就不会有任何好处。在某种程度上，这是一个因国而异的问题，由于德国高速公路的限速不受限制，这一点在德国比在其他国家更为重要。不过，这个原则问题适用于所有高于HAD运行速度的事故。关于HAD的使用，在市场推出之前几乎不可能有任何说法，因为实际使用情况将取决于人机界面的设计和用户对该功能的态度。

HAD在具有挑战性的交通场景中的安全性能

在预期产生积极影响的驾驶场景之后，对具有挑战性的场景进行了评估。表3提供了驾驶场景中事故率的预期平均变化结果以及ODD中的事故比例。

表3 模拟挑战性交通场景的结果

模拟结果表明，在具有挑战性的情景下，结果差异很大。对于车道上的障碍物和高速公路入口的驾驶情景，与基准情景相比，发现降低事故风险的潜力很大。而在风险最小的情况下，情况则有所不同。这并不奇怪，因为与正常驾驶相比，额外的和适当的制动操作会让其他交通参与者感到意外。对于中等-最小风险机动，事故风险大约在手动驾驶的范围内。与手动驾驶相比，强烈减速的最低风险操作会显著增加事故风险。因此，从交通安全的角度来看，最小风险操作中的减速幅度应该相当低。不过，需要注意的是，本研究并未考虑采用最小风险机动的技术可行性。很明显，适度减速的实施难度明显高于强减速，因为机动所需的时间更长。

05  确认和验证流程

由于目前的前瞻性效果评估方法依赖于虚拟计算机模拟，因此验证和确认对于确保模拟提供可信和可靠的结果至关重要。在确认和验证过程中，要检查单个模型或整个模拟的结果是否在预定范围内符合参考结果。仿真验证和确认的挑战在于确保仿真的正确性，同时将这项工作的工作量控制在合理的水平。

由于宝马公司认为验证和确认是前瞻性安全有效性评估方法的一个重要方面，因此为其模拟确定了验证和确认流程。宝马公司确认和验证流程的主要要求如下：

◆ 该流程必须涵盖整个方法和模拟方法中的所有相关（子）模块；

◆ 每个模型和整个方法至少要进行一次验证；

◆ 根据仿真方法或仿真工具的变化，需要重复进行该过程。为此，可根据变化的影响程度将其分为小变化和大变化；

◆ 如果使用的是已经验证过的模型，则无需再对该模型进行验证或确认；

◆ 应根据待验证模型和参考数据的质量来选择参考。

表4列出了可通过不同参照物进行验证和确认的模型概览。无论采用哪种方法，最终都必须确定验证模型的输出结果是否足够接近参考值。对于标准的定义，评估目的和参考数据的质量都很重要。如果有明确的标准（如最大误差），则应证明这些阈值已经达到。如果定义了一定的目标范围，这一点也同样适用。在这种情况下，有必要对每个模型的允许误差进行细分。在没有明确标准的情况下，可采用以下方法之一对模块质量进行量化：

1) 计算质量指标（最大误差）；

2) 量化分布间的技术偏差（如效应大小）；

3) 敏感性分析；

4) 明确宣布置信区间。

表4 在确认和验证仿真模型时，不同模型的参考数据

06  结论和讨论

本文对HAD的前瞻性安全评估方法进行了全面综述。HAD的引入为该技术的前瞻性安全评估带来了不同的挑战。原则上，可以采用不同的工具进行安全评估。不过，考虑到其优缺点，基于模拟的评估方法是最有前途的方法，因为它能够以合理的成本涵盖各种各样的驾驶和交通场景。不过，其他工具的输入可以也应该用于正确定义模拟应用模型。从这个意义上说，模拟是评估工具所获知识的综合。

最后，描述的方法被应用于一个典型的HAD。结果表明，在ODD的特定场景中，HAD可以显著降低事故风险。对于具有挑战性的情况，情况就不那么明朗了。在这种情况下，交通安全方面也会出现新的风险。然而，两种最低风险操作在事故风险方面的结果差异突出表明，需要进行详细分析，考虑确切的技术行为，并在这一领域进行详细模拟。

最后一个挑战是证明得出的结果是可靠和可信的。因此，对包括所有模型在内的方法和模拟工具进行验证和确认至关重要。本文报告了宝马公司为前瞻性安全评估所采取的验证和核查方法。