arXiv在2021年10月16日上傳論文“Finding Critical Scenarios for Automated Driving Systems: A Systematic Literature Review“，作者來自瑞典和奧地利的幾個研究機構(gòu)和高校。

基于場景的方法在自動駕駛系統(tǒng)研究和工程中受到了極大的關(guān)注。由于駕駛環(huán)境的復雜性和不確定性，以及駕駛?cè)蝿毡旧淼膹碗s性，自動駕駛系統(tǒng)（ADS）或高級駕駛輔助系統(tǒng)（ADAS）可能遇到的駕駛場景數(shù)量幾乎是無限的。因此，必須做場景識別，特別是那些不考慮則有無法接受風險的關(guān)鍵場景。關(guān)鍵場景對于設計、確認和驗證（V&V，verification and validation）工作以及安全基礎(chǔ)等尤為重要。本文對此做了一個文獻綜述，主要包括：(i) 一個關(guān)鍵場景識別方法的分類；(ii) 基于分類法的最新研究，2017 年至 2020 年的 86 篇論文；(iii) 確定未解決的問題和進一步研究的方向。該分類法的三個主要觀點，是問題定義（原因）、解決方案（派生場景的方法）以及已建立場景的評估。此外，討論一些開放研究問題，即覆蓋范圍、實用性和場景空間探索等。這里安全作為特定的操作設計域 (ODD) 、功能安全 (FuSa) 和預期功能安全 (SOTIF) 的組合。如圖所示是潛在危害之源

：

功能不足會導致該功能在某種觸發(fā)條件（例如眩光）下出現(xiàn)意外行為（例如對前方車輛的錯誤檢測）。如果下游功能（例如目標跟蹤和傳感器融合）的容錯不能解決這種意外行為，則可能會傳播到車輛級危險（例如未能檢測到行人造成未及時啟動制動 ）。對場景和景象做定義：“場景（scenario）描述了一系列場景中幾個景象之間的時間發(fā)展。每個場景都從一個初始景象開始?？梢灾付ㄐ袆雍褪录约澳繕撕蛢r值來表征場景的這種時間發(fā)展。不是一個景象，一個場景跨越一定的時間?！?如上圖所示，可以通過一組影響因素來描述場景。“景象（scene）描述了環(huán)境的快照，包括景色（scenery）和可移動目標，以及所有行動者和觀察者的自我表現(xiàn)，以及這些實體之間的關(guān)系。只有模擬世界中的景象表示才能包羅萬象（客觀景象、真值）。現(xiàn)實世界中這是不完整不正確不確定的，是從一個或多個觀察者的角度來看（主觀景象）?！彼蟹舷嗤枋龅南嚓P(guān)場景，組成一個場景空間。一個重要場景空間，是操作設計域（ODD），其中要求自車應該安全行駛。ODD定義：“給定駕駛自動化系統(tǒng)或其功能，專門用于運行的操作條件，包括但不限于環(huán)境、地理和時間限制，和/或某些必要的存在或不存在的交通或道路特征”。ODD 本質(zhì)上定義了操作環(huán)境，而ADS 就是針對該環(huán)境設計的。德國Pegasus項目定義一個6-層場景描述模型，如下表所示：

場景表示包含三層抽象，即功能場景、邏輯場景和具體場景。功能場景和邏輯場景在兩個不同的抽象層次上描述場景空間，而具體場景描述特定場景。根據(jù)一個具體場景，采用OpenX（OpenDRIVE, OpenSCENARIO），可以構(gòu)建一個可執(zhí)行的場景?？梢允欠抡婺Ｐ?，也可以是真實的測試?？蓤?zhí)行場景是指來自相機的圖像或來自 LiDAR 的點云。如圖描繪了三個抽象層次之間的轉(zhuǎn)換：支持功能場景形式化的是邏輯 ODD，即一個參數(shù)化的ODD描述；來自 ODD 定義的輸入，功能場景被形式化和參數(shù)化為有所有參數(shù)定義及值范圍的邏輯場景；即使形式化的邏輯場景比功能場景包含更多的信息，其代表的場景空間更小一些，因為并非所有影響因素都可能被識別和考慮。

很多情況下，極端場景（corner case ）和邊緣場景（edge case）是相關(guān)的術(shù)語，通常用作同義詞。發(fā)生的概率是二者之間最顯著的差異。corner case是正常操作參數(shù)和罕見/異常情況的組合。并非所有edge case都是corner case，反之亦然。只有罕見和新的條件下特殊組合的corner case才被視為edge case。關(guān)鍵場景（Critical scenario）定義為系統(tǒng)設計、安全分析、驗證或確認的相關(guān)場景，具有潛在的危害風險。觸發(fā)條件和安全-緊要操作情況是 ODD 中關(guān)鍵場景的兩個主要組成部分。因此，未知的關(guān)鍵場景可能源于這兩個部分，如圖所示：

標準ISO/PAS 21448的一個主要目標是識別未知的關(guān)鍵場景，然后使其安全。此外，標準ISO/PAS 21448的附錄 B2 進一步假設場景條件/情況可以建模為幾個有影響情景因素的組合（例如，大雨、眩光、路面濕滑、另一輛車突然切入、等等）。在這個假設下，未知的關(guān)鍵情景可以歸因于未知的場景因素或已知場景因素的未知組合。為此，關(guān)鍵場景識別 (CSI，Critical Scenario Identification) 方法被定義為查找觸發(fā)條件、安全-緊要操作情況或?qū)е聜Φ膬烧呓M合方法。ODD 定義被認為是 CSI 方法的輸入來劃定場景空間。一個保證預功能安全的迭代過程如圖所示：識別出的關(guān)鍵場景將支持自動駕駛功能的細化，使ADS 更安全。

它們還可能有助于ODD 定義的完整，尤其當確定的關(guān)鍵場景指向 ODD 定義中未考慮的方面。同時，功能細化也可能導致 ODD 變化，在下一次迭代中啟動新的 CSI 過程。

如圖是關(guān)鍵場景識別（CSI）方法分級的類別結(jié)構(gòu)：

采用以下三個基本類來構(gòu)建CSI 方法：下面的子類見上圖（左、中、右）

• 問題定義：識別什么樣的場景？為什么這些場景很重要？
• 解決方案：應用哪些技術(shù)來識別關(guān)鍵場景？需要什么外部信息/數(shù)據(jù)？
• 評估：如何評估方法和關(guān)鍵場景的有效性？

開發(fā)中V-模型每個階段的關(guān)鍵場景如圖所示：圖中的灰色框列出了識別出的關(guān)鍵場景在相應開發(fā)階段可以支持的內(nèi)容。

需求分析：在 ISO 26262 中，危害分析和風險評估 (HARA，Hazard Analysis and Risk Assessment ) 是識別所有潛在危害事件的重要步驟。如圖所示，每個危險事件都是危險和操作條件的組合。確定的撞前功能場景可以用作HARA 的所有操作條件集。系統(tǒng)設計：決定系統(tǒng)配置和分解車輛級別需求到組件級別。組件設計：由于不同的自動駕駛功能可能對不同的環(huán)境因素敏感，因此通常在組件層而非車輛層分析影響因素。組件和系統(tǒng)驗證：生成的測試用例用于驗證整個自動駕駛系統(tǒng)或特定的功能。系統(tǒng)確認：一種常見的驗證（validation）方法是通過蒙特卡羅模擬來估計事故率或故障率。由于關(guān)鍵場景相對較少，小樣本量的蒙特卡羅模擬可能會導致關(guān)鍵場景的覆蓋率較差，增加估計誤差。作為蒙特卡羅模擬的一種變型，重要采樣（IS）為關(guān)鍵但相對罕見的場景分配更多樣本來減少估計誤差。因此，重要抽樣（IS）方法意味著識別的關(guān)鍵場景或關(guān)鍵區(qū)域作為輸入。根據(jù)問題定義和解決方案，CSI方法分成5個類群（clusters）：

• C1 探索沒有參數(shù)軌跡的邏輯場景；
• C2 探索有參數(shù)軌跡的邏輯場景；
• C3 歸納推理；
• C4 演繹推理；
• C5 基于計算機視覺（CV）的函數(shù)找到關(guān)鍵景象。

下面先說C1群。

假設參數(shù)對于所有實例（即具體場景）具有固定值，例如場景中的車輛數(shù)量和車道數(shù)量；感興趣的參數(shù)構(gòu)建要探索的場景空間，這些參數(shù)包括隨時間恒定的參數(shù)（例如天氣狀況或道路上靜止障礙物的位置）和隨時間變化的參數(shù)（例如周圍車輛的速度或感知誤差）。如果參數(shù)隨時間變化，則可以將其表示為參數(shù)軌跡。參數(shù)值可以是分類的（例如天氣、顏色和車輛模型）或數(shù)字的。數(shù)值可以是連續(xù)的（例如速度、航向和傳感器噪聲）或離散的（例如其他車輛的數(shù)量、車道數(shù)量和速度限制）。在C1類，具體關(guān)鍵具體場景的確認看成是設計空間探索（DSE）或基于搜索的測試（SBT）問題，其流程圖如圖所示：

給定一個邏輯場景，用參數(shù)空間探索方法生成一組具體場景。在這些生成的具體場景中，用預定義的關(guān)鍵性評估方法識別關(guān)鍵場景。 關(guān)鍵性評估可以看作是將場景空間一個點映射到評分空間中一個點的函數(shù)。評分空間是對具體場景的關(guān)鍵性定量評估。評估是通過替代測量來實現(xiàn)的，因為關(guān)鍵性很難直接測量。如圖列出C1類中關(guān)鍵場景識別（CSI）中所有場景空間探索方法：可以分為兩種類型，即（1）天真型搜索（即采樣和組合測試）和（2）指導型搜索（即基于優(yōu)化和學習的測試）。

場景探索的一種天真方法是在場景空間中隨機或系統(tǒng)地搜索。換句話說，樣本是相互獨立的。因此，這些方法可以并行實施以減少探索時間。然而，如果關(guān)鍵場景很少見，這些方法可能效率低下，因為采樣到關(guān)鍵場景的概率很低。另一方面，指導搜索方法具有更高效的潛力，因為每次迭代的搜索方向根據(jù)前一次迭代的搜索結(jié)果進行調(diào)整，將探索收斂到關(guān)鍵區(qū)域。采樣方法在邏輯場景空間隨機分配每個參數(shù)值來實例化具體場景。根據(jù)參數(shù)的概率分布統(tǒng)計抽取預定數(shù)的樣本，其抽樣大小由模擬所需的覆蓋范圍和計算時間決定。使用的采樣方法總結(jié)如圖所示：根據(jù)邏輯場景的參數(shù)描述，根據(jù)是否考慮參數(shù)分布，對采樣方法進行分類；如果沒有提到參數(shù)分布，假設采用均勻分布。

組合測試（CT）是一種常用的軟件測試方法，專注于識別僅由特定輸入組合觸發(fā)的故障。CT 的核心是生成滿足 N-wise 覆蓋（注：給定一個感興趣系統(tǒng)模型，包含參數(shù)列表、取值和約束來定義參數(shù)交互，那么N-wise 覆蓋表明所有參數(shù)值的 N 元組必須至少測試一次）的最小測試用例集（即覆蓋數(shù)組）。在 自動駕駛的CSI 的背景下，CT 可用于發(fā)現(xiàn)可能使自動駕駛或特定 自動駕駛功能失效的影響因素未知組合。CSI 方法也可表述為優(yōu)化問題，通常包含四個部分，即設計變量、約束、目標函數(shù)和優(yōu)化器（即求解器）。基于學習的測試方法旨在將模型檢查算法與有效的模型推理算法相結(jié)合，并將兩者與感興趣系統(tǒng)集成在一個迭代循環(huán)中，自動生成大量高質(zhì)量的測試用例。它會訓練代理模型在優(yōu)化過程中學習系統(tǒng)的屬性。可以通過最大化場景空間或評分空間中樣本之間距離來優(yōu)化多樣性。從上述 CSI 方法獲得具體場景后，基于測試的方法可以驗證派生場景的關(guān)鍵性，如圖所示：

在關(guān)鍵性評估階段，大多數(shù)研究利用 X-in-loop仿真來估計具體場景的關(guān)鍵性，其中 X 將系統(tǒng) 的模型、軟件或硬件表示為黑盒。也可以不在X-in-loop模擬的情況下評估關(guān)鍵性。驗證可以通過現(xiàn)實世界的測試來實現(xiàn)，以分析探索方法的性能。對于安全論證，在探索邏輯場景時必須考慮覆蓋范圍。然而，并非所有主要研究都明確討論了覆蓋范圍。對覆蓋范圍的考慮，以及增加該類方法群已識別關(guān)鍵場景多樣性的機制，總結(jié)如圖所示：

C1群沒有考慮運動軌跡，會有不少限制。在C2群，這個參數(shù)軌跡會作為場景參數(shù)來探索。

如圖是C2群中各種邏輯場景實例方法一覽：

場景模型包括一組參數(shù)。其中一些具有預定義值（假設的參數(shù)），而其他（感興趣的參數(shù)）應優(yōu)化以找到關(guān)鍵具體場景，如圖所示。假設參數(shù)的例子比如，其他參與者的數(shù)量（運動交通參與者）、車道數(shù)和人行橫道的位置等。探索的方法基本分成優(yōu)化、路徑規(guī)劃和強化學習等。關(guān)鍵性評估定義系統(tǒng)是否能滿足其要求。該評估可以根據(jù)確定故障的替代措施以及分析故障的避免性進行分類。比如：基于碰撞、基于規(guī)定、考慮避障和不考慮避障等。

在C3群（歸納推理）中主要數(shù)據(jù)來源歸納為兩種類型：

• 1) 僅基于事故場景，
• 2）基于各種類型的數(shù)據(jù)和場景。

前者依賴于事故數(shù)據(jù)庫，包括原始事故數(shù)據(jù)、事故報告或記錄，后者是指現(xiàn)有的邏輯或具體場景、自然駕駛數(shù)據(jù)、交通數(shù)據(jù)或傳感器數(shù)據(jù)。C3群的 CSI 方法總結(jié)如圖所示：

C4群（演繹推理）基于各種知識源尋找功能或者邏輯場景。

這里列出的是方法，通過系統(tǒng)考慮一組預定義假設下的所有可能性來尋找碰撞前場景。確定的預碰撞場景可用作安全-緊要的操作情況。

最后，C5群（基于計算機視覺功能）的方法總結(jié)如圖所示：

C5分成景象表征和關(guān)鍵景象生成或者探索兩個主要思路。在C5群的評估圖像關(guān)鍵性方法，大多數(shù)將被評估的圖像提供給系統(tǒng)（即被驗證的函數(shù)）作為評估性能的輸入。因此，評估的關(guān)鍵性針對實現(xiàn)而言。評估方法的分類：

• C1: 幾乎所有研究都將案例研究作為評估方法來驗證方法和關(guān)鍵場景。大多數(shù)案例研究都是通過模擬實現(xiàn)的。
• C2: 類似C1
• C3：最常用的評估方法是將識別場景與法規(guī)場景進行比較。通過來自真實數(shù)據(jù)的聚類生成功能或邏輯預碰撞場景，直接與法規(guī)或測試組織的測試場景進行比較，例如 Euro NCAP。
• C4：不是都做評估。
• C5：幾乎都使用案例研究作為評估方法。與 C1 和 C2 類似，也沒有進行驗證確定模擬識別的關(guān)鍵場景對于計算機視覺系統(tǒng)在現(xiàn)實世界是否也很關(guān)鍵。覆蓋率主要取決于使用的數(shù)據(jù)集，但對覆蓋結(jié)果沒有驗證。

相關(guān)研究方向有：

1. 在線風險評估
2. 基于場景的功能評估
3. 基于場景的系統(tǒng)設計
4. 故障注入
5. ontology設計和影響因子分析
6. 形式方法
7. 計算機視覺中未知的未知物檢測
8. 數(shù)據(jù)增強

幾個討論點：覆蓋范圍：覆蓋范圍可以通過 3 種方式定義（類型）：1) 針對給定場景空間探索的覆蓋范圍；2) 給定場景空間內(nèi)所有關(guān)鍵場景的覆蓋率（即在給定場景空間內(nèi)所有關(guān)鍵場景中識別關(guān)鍵場景的比例）；3) 在給定的功能場景或 ODD 下，所有關(guān)鍵功能不足及其觸發(fā)條件的覆蓋范圍。ALARP (”As Low As Reasonably Practicable”)原理：確保傷害風險最小。場景空間探索：場景空間分成兩個角度，一是分解ODD成各種應用用例，二是分成不同的感興趣系統(tǒng)。要進行完整的安全分析，需要明確分析系統(tǒng)的容錯（即識別上游功能意外行為所無法解決的場景），特別是分析目標跟蹤和傳感器融合的容錯。此外，還需要一個系統(tǒng)的觀點來確保劃分到感興趣系統(tǒng)中以及隨后的“證據(jù)”組成是完整的，例如關(guān)于共同原因故障。討論了一些研究空白，例如覆蓋度量、關(guān)鍵性度量、影響因素的識別和分類，以及缺乏一個方法框架將不同 CSI 方法組合起來并把它們與其他安全分析過程相結(jié)合。?