Dance of the ADS: Orchestrating Failures through Historically-Informed Scenario Fuzzing

Cet article présente ScenarioFuzz, une méthode de fuzzing basée sur des scénarios qui utilise des données historiques et des réseaux de neurones pour orchestrer la découverte de vulnérabilités dans les systèmes de conduite autonome, réduisant ainsi les coûts de temps de 60,3 % tout en augmentant de 103 % la découverte de scénarios d'erreurs.

L'essentiel

Voici une explication simple et imagée de l'article de recherche, imaginée comme une pièce de théâtre où l'on cherche à faire trébucher les acteurs pour les rendre plus forts.

🎭 La Danse des Voitures Autonomes : Comment faire trébucher le système ?

Imaginez que les voitures autonomes (ADS) sont de jeunes acteurs très talentueux qui doivent jouer une pièce de théâtre complexe : conduire dans une ville. Le problème, c'est qu'ils répètent toujours les mêmes scènes parfaites. Ils ne savent pas comment réagir si un imprévu survient, comme un enfant qui traverse soudainement ou s'il pleut des cordes.

Les chercheurs de cet article (venant de l'Académie des Sciences Militaires de Chine) ont inventé une nouvelle méthode, qu'ils appellent ScenarioFuzz, pour tester ces voitures. Au lieu de leur donner un script parfait, ils veulent créer le chaos de manière intelligente pour voir où ils trébuchent.

Voici comment ils procèdent, étape par étape, avec des analogies simples :

1. Le Problème : Trop de scripts, pas assez de vrai

Habituellement, pour tester une voiture, les ingénieurs écrivent des scénarios précis : "La voiture tourne à gauche, un piéton passe à droite". C'est comme répéter toujours la même scène de théâtre. Si l'acteur (la voiture) n'a jamais vu un chien courir sur la route, il ne saura pas quoi faire. De plus, écrire tous ces scénarios prend une éternité.

2. La Solution : Le "Chorégraphe" qui regarde l'histoire

Les chercheurs ont créé un chorégraphe numérique (leur outil) qui ne se contente pas de donner des ordres. Il regarde le passé pour prédire le futur.

• L'Étude du Plan de la Ville (Le Corpus) :
  Imaginez que vous voulez tester un acteur sur une scène. Au lieu de poser des meubles au hasard (ce qui pourrait bloquer la scène), le chorégraphe prend le plan de la ville (les cartes numériques comme OPENDRIVE) et identifie tous les endroits logiques où une voiture peut rouler, où les feux tricolores sont, et où les piétons peuvent marcher.

  • Analogie : C'est comme si le metteur en scène prenait le plan de la ville et disait : "Ok, on va tester la voiture ici, à cet carrefour précis, parce que c'est là que ça se passe vraiment." Cela évite de créer des situations impossibles (comme une voiture coincée dans un mur).

• Le "Fuzzing" (Le Chaos Contrôlé) :
  Une fois qu'ils ont un point de départ logique, ils commencent à "muter" (modifier) la scène.

  • Ils changent la météo (il pleut, il y a du brouillard).
  • Ils ajoutent des objets (des flaques d'eau, des piétons, d'autres voitures).
  • Ils changent la mission de la voiture (tourner à gauche au lieu d'aller tout droit).
  • Analogie : C'est comme si le metteur en scène lançait des imprévus sur scène : "Maintenant, il pleut !", "Un chien traverse !", "Le feu est rouge !".

3. Le Filtrage Intelligent : Le "Cristal de Prédiction"

Le problème avec le chaos, c'est qu'il y a beaucoup de scénarios inutiles (ex: une voiture qui roule dans un champ vide). Tester tout cela prend trop de temps.

C'est là qu'intervient leur modèle d'intelligence artificielle (un réseau de neurones graphiques).

• Analogie : Imaginez un critique de théâtre très expérimenté qui regarde le scénario avant la répétition. Il dit : "Attends, avec cette pluie et ce piéton à cet endroit précis, il y a 90% de chances que la voiture ait un accident. On teste ça !" Mais il dit aussi : "Ce scénario avec un nuage au loin ? Inutile, ça ne va rien changer."
• Grâce à cela, ils ne gaspillent pas de temps à tester des scénarios ennuyeux. Ils se concentrent uniquement sur les moments où la voiture risque de faire une erreur.

4. Le Résultat : Des accidents virtuels pour éviter les vrais

En utilisant cette méthode, ils ont pu :

• Gagner du temps : Ils ont réduit le temps de test de 60%. C'est comme passer de 10 heures de répétition à 4 heures pour trouver les mêmes erreurs.
• Trouver plus d'erreurs : Ils ont découvert 103% de scénarios d'erreur en plus par rapport aux méthodes précédentes.
• Déceler des bugs cachés : Ils ont trouvé 58 bugs (défauts) dans 6 systèmes différents.
  • Exemple trouvé : Certaines voitures ne voyaient pas les enfants qui sont petits (problème de détection).
  • Exemple trouvé : D'autres paniquaient la nuit ou confondaient les couleurs.
  • Exemple trouvé : Certaines ne savaient pas céder le passage aux intersections.

En résumé

Au lieu de dire aux voitures autonomes : "Répète cette scène parfaite", les chercheurs disent : "Voici la carte de la ville. Maintenant, improvisons le pire chaos possible, mais de manière intelligente, pour voir où vous trébuchez."

Grâce à leur "chorégraphe" qui utilise l'histoire des tests précédents pour prédire les dangers, ils rendent les voitures autonomes plus sûres, plus vite, et sans avoir besoin d'écrire des milliers de scénarios à la main. C'est une danse entre le chaos et l'intelligence pour garantir que la voiture ne fera pas de mal aux passagers.

Résumé technique

Voici un résumé technique détaillé de l'article "Dance of the ADS: Orchestrating Failures through Historically-Informed Scenario Fuzzing", présenté en français.

1. Problématique

Les systèmes de conduite autonome (ADS) évoluent vers des niveaux d'autonomie plus élevés (de 1 à 5), intégrant des technologies complexes comme les réseaux de neurones profonds. Cette complexité, combinée à la multiplicité des modules (perception, planification, contrôle) et à la variabilité des environnements externes, rend la vérification de sécurité extrêmement difficile.

Les défis majeurs identifiés sont :

• Coût et difficulté de construction des scénarios : Créer manuellement une diversité de scénarios réalistes est coûteux et limité en portée.
• Limites des méthodes existantes : Les approches actuelles reposent souvent sur des bases de scénarios prédéfinis (limitant la découverte de nouveaux bugs) ou sur des mutations aléatoires pures (comme Drivefuzz), qui génèrent des scénarios irréalistes (ex: véhicules placés dans des zones non navigables) et inefficaces.
• Manque d'efficacité : L'exploration aveugle de l'espace des paramètres entraîne un temps de calcul élevé pour découvrir peu de scénarios d'erreur critiques.

L'objectif est donc de développer une méthode de fuzzing (test par mutation aléatoire) capable de découvrir automatiquement des scénarios d'erreur sans dépendre d'un script ou d'un scénario initial prédéfini, tout en garantissant la réalisme et l'efficacité.

2. Méthodologie : ScenarioFuzz

Les auteurs proposent ScenarioFuzz, une méthodologie de test par fuzzing basée sur des scénarios, orchestrée comme un "choregraphe" qui utilise l'historique pour guider la découverte de vulnérabilités. L'architecture se décompose en quatre étapes clés :

A. Construction du Corpus par "Map Crawling" (Ramassage de carte)

Au lieu de partir de zéro, le système extrait des données d'un réseau routier (fichier OPENDRIVE) pour construire un corpus de graines de scénarios.

• Technique : Utilisation d'un algorithme de ramassage de carte pour générer des graphes topologiques à partir des points de passage (waypoints).
• Extraction : Identification des feux de signalisation, classification des types de routes, et extraction de chemins de mouvement valides et de positions centrales.
• Résultat : Un corpus enrichi de graines contenant des informations géographiques, des types de routes, des infrastructures et des chemins réalisables, servant de base pour le fuzzing sans scénario de départ prédéfini.

B. Stratégie de Mutation à Deux Étages

Une fois une graine sélectionnée, elle subit des mutations via plusieurs mutators (modificateurs) :

• Mutators : Modification de la mission du véhicule, ajout de flaques d'eau (puddles), génération d'objets (piétons, véhicules avec différentes apparences et comportements), et ajustement des conditions météorologiques.
• Stratégie :
  1. Mutation Aléatoire (Random) : Exploration globale de l'espace des paramètres.
  2. Mutation Voisine Aléatoire (Random Neighbor) : Exploration locale autour des valeurs de la graine ayant produit le score de conduite le plus bas (le plus proche d'un échec), permettant une recherche intensive des zones à risque.

C. Filtrage par Modèle d'Évaluation de Scénario (SEM)

Pour éviter de simuler des milliers de scénarios inutiles, un modèle d'évaluation filtre les graines mutées.

• Modèle : Un Réseau de Neurones à Graphes (GNN) spécifique, utilisant des mécanismes d'attention (GAT).
• Entrée : Les scénarios sont convertis en graphes où les nœuds représentent les entités (véhicules, feux, points de départ/fin) et les arêtes représentent les chemins et distances. Les données dynamiques (trajectoires) et statiques (infrastructure) sont intégrées.
• Fonctionnement : Le modèle, entraîné sur des données historiques de tests, prédit la probabilité qu'une graine mutée devienne un scénario d'erreur. Seules les graines ayant une confiance élevée (> 0,5) sont simulées.
• Apprentissage continu : Le modèle se réentraîne en temps réel à mesure que de nouvelles données de test sont collectées.

D. Détection d'Erreurs et Clustering

• Détection : Un détecteur surveille en temps réel les comportements anormaux (collisions, franchissement de feux rouges, excès de vitesse, invasions de voie, immobilisation).
• Analyse : Une méthode de clustering auto-supervisé est utilisée pour regrouper les trajectoires de collision, permettant d'identifier et de catégoriser des types de scénarios à haut risque (54 catégories identifiées).

3. Contributions Clés

1. ScenarioFuzz : Une nouvelle approche de fuzzing pour les ADS qui ne nécessite aucun scénario initial prédéfini, utilisant un corpus extrait automatiquement des cartes routières.
2. Corpus de Graines Dynamique : Une méthode pour extraire et structurer des données de réseaux routiers (OPENDRIVE) afin de créer une base de graines de scénarios réaliste et bornée.
3. Modèle d'Évaluation (SEM) basé sur GNN : Un modèle prédictif qui utilise l'historique des tests pour filtrer les graines, optimisant ainsi le processus de fuzzing et réduisant les coûts de calcul.
4. Découverte de Bugs et Catégorisation : Identification de 58 bugs dans six systèmes différents et catégorisation de 54 types de scénarios à haut risque susceptibles de provoquer des collisions.

4. Résultats Expérimentaux

Les expériences ont été menées sur six systèmes ADS (Autoware, LAV, Transfuser, NEAT, et deux agents logiques) dans le simulateur CARLA.

• Efficacité Temporelle : La méthode réduit le coût temps moyen de 60,3 % par rapport aux méthodes de référence (notamment Drivefuzz).
• Découverte d'Erreurs : Le nombre de scénarios d'erreur découverts par unité de temps augmente de 103 %.
• Performance du Modèle (SEM) : Le modèle GNN surpasse les modèles de régression traditionnels (comme RBFN utilisés dans SAMOTA) en termes de corrélation avec les résultats réels et de capacité à filtrer les faux positifs/négatifs.
• Couverture de Code : ScenarioFuzz a démontré une meilleure couverture des modules de planification et de contrôle, évitant les boucles locales où les méthodes aléatoires pures stagnent.
• Comparaison avec Drivefuzz : Contrairement à Drivefuzz qui place aléatoirement les objets (créant des positions irréalistes), ScenarioFuzz utilise des chemins valides extraits de la carte, générant des interactions plus réalistes et une diversité de collisions accrue (ex: collisions avec des piétons, des vélos, et non seulement des bâtiments statiques).

5. Signification et Impact

Ce travail marque une avancée significative dans le domaine de la vérification des systèmes autonomes :

• Passage du "Scripté" à l'Autonome : Il démontre qu'il est possible de tester efficacement les ADS sans dépendre de bases de scénarios manuelles et coûteuses.
• Optimisation par l'Histoire : L'utilisation de l'apprentissage automatique (GNN) sur les données de test passées pour guider les tests futurs crée un cycle vertueux d'amélioration continue de la sécurité.
• Sécurité Réelle : La découverte de 58 bugs, y compris des problèmes critiques liés à la détection Lidar (piétons au sol), à la reconnaissance des feux de signalisation et aux stratégies de planification conservatrices, souligne l'importance de méthodes de test plus rigoureuses et diversifiées avant le déploiement massif des véhicules autonomes.

En résumé, ScenarioFuzz offre une orchestration intelligente des échecs, transformant la complexité des environnements de conduite en un avantage pour la découverte proactive de vulnérabilités.