自动驾驶测试场景库的构建及评价方法（二）丨场景生成方法研究

智能网联汽车面临多维度安全挑战，其中预期功能安全是重要组成部分。在当前阶段，智能网联汽车产业正处于前所未有的高速发展阶段。众多车企与科研机构投入巨资，致力于技术创新和产品升级。尽管如此，伴随技术进步的同时，安全问题频频出现，不同等级的智能网联汽车产品，在道路测试、示范应用以及正式上路阶段仍然发生了多起事故，事故发生的原因多数是由于自动驾驶系统相关的零部件或者子系统的预期功能没有实现。

场景对于自动驾驶汽车的开发和测试至关重要。由于自动驾驶系统的复杂性，传统的基于规则和基于里程的测试方法已经不适用，需要向基于场景的测试方法转变。据美国兰德公司研究，从统计学角度出发，自动驾驶汽车需要在真实或者虚拟环境中至少进行110亿英里的里程测试[1]，才能证明自动驾驶系统比人类驾驶员更可靠。测试场景来源广泛，预期功能安全场景是其中重要的一类。通过预期功能安全分析获取尽可能多的相关场景，这些场景一方面可作为输入指导系统开发，另一方面也是测试验证的重要依据 。参考国内外场景架构设计方法，结合赛目已有的工程实践经验，提出一种基于关键要素分析的场景搭建框架，主要包含四类关键特征，基于上述方法生成的场景既能够体现触发条件，同时也能够更好的通过模拟仿真软件搭建，便于高效地进行自动驾驶系统的测试和验证。

二、研究内容

基于标准ISO 21448和GB/T 43267-2023中第4章预期功能安全活动概述和组织，以及第6章的危害识别和评估，危害是伤害的潜在来源，由整车层面的危害行为导致，场景是伤害发生的助推因素。参考危害事件模型，如图1所示，

图 1标准中的SOTIF危害事件模型

在进行危害行为和危害分析之后，需要构建场景与危害进行“匹配”，进而形成可能导致伤害的危害事件，这里构建场景的目标是为已经分析出的危害找到合适的发生环境，该环境包含使危害可导致伤害的条件，该环境也是推导伤害发生的助推因素。预期功能安全场景生成的过程，也是从未知场景中发现已知危害场景的过程。

2.1研究方法

预期功能安全场景的生成方法主要可分为3个关键执行步骤（见图2），第一步，建立从危害行为到危害的映射关系表达，得到关联规则，形成映射关联表；第二步，对场景要素进行特征分析，进行场景要素分类及标注，形成一个基于关键场景特征的场景要素标注集；第三步，基于第一步建立的关联表，进行触发条件关联，形成带触发条件的危害映射表，然后，匹配危害映射表与场景要素标注集，形成危害场景集，该危害场景集也就是预期功能安全场景。

图 2研究方法总体框图

（1）从危害行为到危害的映射关系表达

首先建立从危害行为到危害事件的映射关系表达，得到关联规则，形成映射关联表。

图 3 危害行为映射关系表达

危害行为列表基于整车控制输出与引导词，共计定义18个基本的潜在危害行为，见表1.

表1 基于引导词的危害行为表

危害的三个最底层来源需要考虑对交通的危害、对车内人员的危害、对道路边界保持的情况，因此，构建六类危害：车内人员感到不适、与前车保持的安全距离过小、与后车保持的安全距离过小、与侧面车辆的安全距离过小、与道路边界过近。

理论上，像场景一样，危害依据不同的考虑范围，能被定义出无穷无尽的类型。但本文所定义的危害与危害行为，一个面向最底层来源，一个面向整车输出，因此具备与其他不同危害类型直接或间接映射的能力，其他各类不同危害也都能被纳入本文提供的危害列表之中。比如考虑道路覆盖情况时可以有车辆打滑的危害等，该危害可以映射至表1中的加速度/减速度过小的危害行为，以及与前车/后车保持的安全距离过小（当有前后车时），或与道路边界过近（当道路为弯道、或打滑导致车辆侧移时）。

危害行为是对主车的异常输出的描述，危害是对主车在场景中可能面临潜在风险的描述，所以从危害行为到危害的映射需要加入对场景关键点的考虑。与危害匹配过程中需要考虑的场景关键点：分别是主车与他车、主车与道路以及触发条件。因此，定义危害行为、危害、场景关键点，以确定三者之间的对应和映射关系。映射关系可由下式表示：

其中，表示第i个危害行为(来自表1)。表示第j个场景中可关联危害的场景关键点,表示由第i个危害行为与第j个场景要素组合产生的第1个危害。具体，考虑18个基本的危害行为，以及场景中交通参与者与主车的相对位置关系，以及场景的道路是否弯曲两类关键要素，构造危害行为与导致危害场景关键点的关联表，见图4。

图 4危害行为与导致危害场景关键点的关联表

该表描述了危害行为与危害的关联，在关联过程中考虑了必要的场景要素。这种关联是定性式的，并且以相对有限的危害行为与危害的组合，关联到了数量庞大的场景，关联介质为场景中的他车和道路这两类要素。该关联方式可用于构建危害的场景集。

（2）基于四类场景特征进行场景关键要素标注

根据预期功能安全场景建立的目标需求，为已经分析出的危害找到合适的发生环境，将关键场景特征分为四类，即四层级的场景架构。

· 第一类是道路特征，主要包括场景中的物理基础设施，是场景限定范围内的道路结构和道路设施等要素的合集。

· 第二类是环境特征，是感知行为的重要来源，环境特征的要素范围包含天气、降水量、风力、时段等。

· 第三类是主车特征，规定了场景中车辆的行为，主车特征的要素范围包含纵向初速度，位置等。

·第四类是交通参与物特征，规定了参与物的行为与交互关系，交通参与物特征的要素范围包含与主车的交互行为、相对位置、相对速度等。

对上述四类场景特征进行细化和拆解后，可得到场景关键要素集以及要素的标签。四类场景特征作为一级标签，可继续拆分为35个二级标签，二级标签可继续拆分为140个场景要素，如图5所示。

图 5基于场景四层架构的场景关键要素集

由上图可见，其中，第三列的场景要素是场景要素集的最基本组成，要素根据自身的特征可分为语义要素和数值要素，语义要素在场景中的描述为有或无，数值要素在场景中的描述为具体的参数取值，也是逻辑场景进行泛化的待采样参数。

图 6 场景关键要素标注集

（3）SOTIF危害场景库的构建方法

GB/T 43267所提供的链路的主要节点为危害行为、危害、场景，三者存在一定的关联关系。对此，前文提出的关联场景和危害的具体流程，可根据危害行为映射关联表和场景关键要素标注集构造以危害为导向的测试场景集，实现以数量有限的危害关联匹配出数量级较大的危害场景库，该场景库也就是预期功能安全场景库。

图 7 危害场景库生成示意图

首先，基于已经生成的关联表（图 4），进一步将触发条件与整车危害行为的引导词进行关联。该阶段的关联旨在细化危害行为的发生条件，确保测试场景集能够全面覆盖各种可能的触发条件。且通过与触发条件的关联可以以更小的颗粒度匹配逻辑场景中的主要触发要素。

场景中的触发条件即场景危害关联要素，包括合理可预见的人为误用，可以通过FMEA/FTA/STPA等分析方法得到，这里不展开描述。具体触发条件要素详见下表。

图 8 触发条件分类体系

然后，基于场景关键要素标注集，通过要素集笛卡尔积的方式进行组合生成测试场景库。根据文章：自动驾驶测试场景库的构建及评价方法（一），“定义场景要素集为S，则有，其中为一级标签下的场景要素子集,为二级标签下的场景要素子集。定义危害关联要素为。进而，一个关联危害的场景库Sces可以表示为：

其中，“X”表示笛卡尔积。”在对场景要素集进行组合时，同时对场景要素进行标注，包括要素的频率、风险性、复杂性标注，并将对要素标注的结果继承至由其组合成的场景中。最终，形成一个基于关键场景特征分析的场景库。

最后，将上述形成的场景库中的场景与危害、危害行为进行匹配，从形成的场景库中筛选出与特定危害或危害行为相匹配的场景，进而构建出一个面向某个特定危害的测试场景集。该测试场景集可以包含特定的潜在危害行为与危害，也能够反映出这些危害在不同条件下可能发生的具体场景，最终得到SOTIF危害场景库。

2.2.研究方法的优势

以上的研究方法不仅能够充分地描述场景，还涵盖了触发条件，并且便于搭建。

首先，四大类特征的提取能够充分的描述场景。4大类特征的提取可以全面地描述车辆所处的场景，能够表达自动驾驶车辆在多种路况下应对的多变的环境条件和交通状况；自动驾驶算法需要处理大量的环境数据，以确保自动驾驶车辆能够安全、高效地行驶，以及在行驶过程中，车辆可能会遇到的情况：如不同道路类型，变化的交通状况，多样的天气条件以及各种潜在的障碍物。有效的特征提取能够从原始数据中提炼关键信息。

其次，四大类特征的提取能够涵盖触发条件。特征的提取对于理解和预测触发条件至关重要，这些提取的特征是一个多层次、多维度的信息处理过程，是分析触发机制的重要参考。

最后，四大类特征的提取易于模拟仿真的实现。道路特征可以通过满足OpenDRIVE格式来实现，通过特征提取，可以构建出精确的道路模型，并在仿真环境中加载这些模型来模拟真实的道路情况。交通参与物特征及主车特征可以通过OpenSCENARIO来实现，可以设置不同类型交通参与物的速度、加速度、路线、交互规则等参数，例如，可以创建一个场景，其中包含多个车辆在不同车道上行驶，并且根据交通灯信号或其他车辆的存在进行加速或减速。同时，可以定义主车的传感器配置、感知范围、决策逻辑等，例如，可以模拟主车识别前方的障碍物并执行换道操作，或者根据交通信号调整速度。环境特征可以使用工具进行更丰富的环境模拟，例如，可以设置不同的天气情况，观察其对传感器性能和车辆行为的影响。

三、典型案例

该章节提供了一种在给定危害行为下的潜在危害与危害场景集生成的执行案例。

根据上述方法的执行步骤，如下：

（1）从危害行为到危害的映射关系表达

根据引导词“过小”，结合整车输出的“减速度”，得出当给定危害行为为减速度过小时，系统遍历危害行为映射关联表，该危害行为可关联危害为“与前车保持的安全距离过小”；对应的危害匹配过程中需要考虑的场景关键点是“自车前方存在他车或其他交通参与物”。

（2）基于四类场景特征进行场景关键要素标注

基于四类场景特征筛选场景要素进行笛卡尔积，得到组合后的场景关键要素标注集。例如：

（3）SOTIF危害场景库的构建方法

关联触发条件：引导词“过小”代表自车的实际输出由于场景中的抑制条件，使得其比预期输出要小，场景抑制条件可以是摩擦系数变小的抑制，比如“道路湿滑”、“降雨”、“降雪”等场景要素。这些要素在场景要素集中已被预先标记为潜在的触发条件要素；根据触发条件分类表进行生成带触发条件的危害映射表，如下：

将上面形成的表格中的内容与场景关键要素标注集进行匹配，构建该危害对应的危害场景库，场景库见图9。

图 9 危害场景库（部分）

由上图可见，所构建的危害场景库涵盖了对危害行为“减速度过小”及其关联的危害“与前车保持的安全距离过小”的致伤条件和潜在触发要素，即在该场景集中，有较大概率会使得自动驾驶汽车出现该危害行为并引发所对应的危害。

通过Sim Pro仿真工具，将上述步骤分析得出的场景进行仿真验证。

参考资料

[1]https://www.rand.org/pubs/articles/2016.html

[2] GB/T 43267-2023 道路车辆—预期功能安全 [S]

[3]ASAM.OpenSCENARIO[EB/OL].https://www.asam.net/standards/detail/openscenario/, [日期: 2024-08-01].

[4] 中国智能网联汽车产业创新联盟. 智能网联汽车预期功能安全场景要素及管理要求: T/CSAE 336-2023[S]. 北京: 中国汽车工程学会, 2023.

[5]ISO21448-2022SOTIF,Safetyof The Intended Functionality [S]