⚡ electrical engineering

Risk Assessments for Evasive Emergency Maneuvers in Autonomous Vehicles

Ce papier présente un cadre novateur et traçable de vérification et de validation qui intègre la HARA, la STPA et la modélisation par machines à états finis pour évaluer systématiquement les manœuvres d'évitement à risque minimal dans les véhicules autonomes, démontrant par une étude de cas sur un carrefour en T que cette approche unifiée atteint une couverture à 100 % des dangers et de l'espace des paramètres tout en améliorant significativement les taux d'évitement de collision par rapport aux méthodes traditionnelles.

Auteurs originaux : Aliasghar Arab, Milad Khaleghi, Koorosh Aslansefat

Publié 2026-04-30

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Aliasghar Arab, Milad Khaleghi, Koorosh Aslansefat

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous enseigniez à un conducteur robot comment gérer une urgence soudaine et terrifiante : un énorme camion vient de bloquer la route devant vous, et vous foncez vers lui à grande vitesse. Que devrait faire le robot ? Freiner brusquement ? Virer de manière erratique ? Ou existe-t-il un « Plan B » si le virage échoue ?

Ce document traite de la création d'une liste de contrôle de sécurité ultra-intelligente pour s'assurer que les véhicules autonomes (voitures à conduite automatique) peuvent répondre correctement à ces questions, en particulier dans les situations les plus dangereuses, les « cas limites », où les règles normales pourraient échouer.

Voici la décomposition de leur nouvelle méthode, expliquée simplement :

Le Problème : Trois Pièces Manquantes

Les auteurs affirment que les contrôles de sécurité actuels pour les voitures autonomes sont comparables à essayer de construire une maison avec seulement un marteau, seulement une scie, ou seulement un plan. Vous avez besoin des trois fonctionnant ensemble. Ils ont identifié trois lacunes dans la façon dont nous testons actuellement ces véhicules :

Le fossé « Outil Double » : Les ingénieurs utilisent généralement deux méthodes de sécurité différentes (appelées HARA et STPA) séparément. C'est comme avoir une carte et une boussole mais ne jamais les utiliser ensemble pour naviguer. Le document crée un flux de travail unique qui les force à travailler en équipe.
Le fossé « Scène de Film » : Les contrôles de sécurité examinent souvent un instantané dans le temps (un danger existe) ou le résultat final (un accident s'est produit). Ils manquent le film intermédiaire — les moments d'une fraction de seconde où la voiture tente d'esquiver, échoue, puis doit passer en mode « contrôle des dégâts ». Le document ajoute une Machine à États Finis (FSM), qui est comme un organigramme cartographiant chaque « scène » possible que la voiture peut traverser, de « Oh non ! » à « Je l'ai évitée ! » ou « D'accord, minimisons l'accident ».
Le fossé « Jeu de Devinettes » : Traditionnellement, les ingénieurs choisissent des scénarios de test en devinant ce qui pourrait mal tourner (par exemple, « Testons-le par temps de pluie »). Ce document remplace les devinettes par un générateur systématique qui garantit mathématiquement qu'ils testent toutes les combinaisons possibles de vitesse, d'adhérence de la route et de synchronisation, ne laissant aucune pierre non retournée.

La Solution : Un Pipeline de Sécurité Unifié

Les auteurs ont combiné ces trois outils en un seul pipeline fluide :

Étape 1 (HARA) : Identifie ce qui pourrait mal tourner (par exemple, « Le camion bloque la route »).
Étape 2 (STPA) : Identifie comment le cerveau de la voiture pourrait faire une erreur (par exemple, « La voiture vire trop tard » ou « La voiture vire alors qu'elle ne devrait pas »).
Étape 3 (FSM) : Cartographie l'histoire de l'événement. Si la voiture vire et réussit, elle passe à « Sécurisé ». Si elle vire et échoue, elle bascule immédiatement vers « Atténuation » (tenter de percuter le camion de biais plutôt que de front) ou « Arrêt d'urgence ».

Le Test Réel : Le Camion à l'Intersection en T

Pour prouver que cela fonctionne, ils ont testé un scénario spécifique : une voiture autonome approchant d'une intersection en T où un gros camion a soudainement bloqué le passage.

Ils ont exécuté 1 880 simulations informatiques (un nombre massif comparé à la poignée habituelle) couvrant chaque vitesse possible, chaque condition de route (sec, humide, glacial) et chaque synchronisation.

Voici la découverte surprenante qu'ils ont faite :
En raison de la géométrie spécifique d'une intersection en T, la voiture se trouve presque toujours dans une situation « binaire ». Soit :

Évitement complet : Il y a assez de temps et d'espace pour virer ou s'arrêter complètement.
Accident inévitable : Il n'y a absolument aucun temps pour s'arrêter ou virer ; un accident est inévitable.

Le « Juste Milieu » est presque inexistant. Le document a constaté que l'option « intermédiaire » — où la voiture tente de virer mais échoue, obligeant à passer en mode « contrôle des dégâts » — n'existe que dans 1,9 % des situations possibles. Autrement dit, à une intersection en T, soit vous y arrivez, soit non ; il y a rarement une zone de « peut-être ». C'est une réalité physique que seul leur test haute résolution pouvait révéler.

Les Résultats : Pourquoi Cela Compte

Lorsqu'ils ont comparé leur nouvelle « Manœuvre d'Évitement Agile » (virer) à l'ancien « Arrêt d'Urgence » (freinage uniquement) :

Taux de Succès : La stratégie de virage a évité les collisions dans 81 % des cas, contre seulement 45 % pour le freinage seul.
Vitesse d'Impact : Lorsqu'un accident était inévitable, la stratégie de virage a réduit la vitesse d'impact de 18,9 km/h à 9,0 km/h. Pensez-y comme la différence entre percuter un mur à vitesse autoroutière et un jogging lent ; cela réduit considérablement les dégâts.
Couverture : Leur méthode a testé 100 % des dangers et scénarios possibles. Les méthodes traditionnelles n'ont testé qu'environ 1 % (laissant 99 % des dangers inexplorés).

La Conclusion

Ce document ne se contente pas de dire « les voitures autonomes sont sûres ». Il fournit une preuve mathématique traçable qu'une fonctionnalité de sécurité spécifique (virer pour éviter un accident) fonctionne mieux que le simple freinage, et ce en cartographiant chaque façon possible pour le système d'échouer ou de réussir.

Ils ont prouvé qu'en combinant l'analyse des dangers, la théorie du contrôle et la cartographie des flux d'états, nous pouvons enfin tester les voitures autonomes avec la même rigueur qu'un pilote s'entraînant pour une panne moteur, garantissant que lorsque l'imprévu se produit, la voiture sait exactement quelle « scène » jouer ensuite.

1. Énoncé du problème

L'article comble une lacune critique dans la vérification et la validation (V&V) de la sécurité des Manœuvres Évasives à Risque Minimisé (EMRM) pour les véhicules autonomes (VA). Bien que les fonctionnalités de sécurité traditionnelles comme le Freinage d'Urgence Automatique (AEB) soient bien étudiées, les manœuvres évasives agiles (direction, dérapage) présentent des défis uniques que les cadres de sécurité actuels ne parviennent pas à aborder adéquatement.

Les auteurs identifient trois limitations spécifiques dans les méthodes existantes :

Absence d'intégration formelle : L'Analyse des Dangers et de la Sécurité (HARA) et l'Analyse des Processus Systémiques Théoriques (STPA) sont généralement utilisées de manière isolée. Il n'existe pas de cadre standardisé pour mapper les dangers du système vers les actions de contrôle non sécurisées (UCAs) et ensuite vers les scénarios de perte.
Modélisation inadéquate des transitions d'état : Ni la HARA ni la STPA ne modélisent efficacement les transitions dynamiques entre les états dangereux et les états de perte. Ceci est critique pour les EMRM, qui doivent s'adapter en temps réel alors qu'une situation évolue d'un danger vers une collision inévitable.
Génération de scénarios médiocre : Les méthodes existantes manquent d'approches structurées pour générer des scénarios de test avec une couverture mesurable de l'espace des paramètres, s'appuyant souvent sur des tests ad hoc qui manquent les cas limites.

2. Méthodologie : Le cadre intégré HARA-STPA-MEA

Les auteurs proposent un pipeline de V&V novateur et de bout en bout qui unifie trois méthodologies distinctes en un seul flux de travail traçable :

A. Intégration formelle de la HARA et de la STPA

HARA (HARA améliorée) :* Utilisée pour identifier les états dangereux ( $H$ ) et évaluer les pertes potentielles ( $L$ ), en distinguant les pertes réversibles (par exemple, dommages mineurs) des pertes irréversibles (par exemple, blessures, décès).
STPA : Utilisée pour identifier les Actions de Contrôle Non Sécurisées (UCAs) au sein de l'architecture du système qui pourraient conduire à des états dangereux.
Cartographie ( $M_{HARA-STPA}$ ) : Une fonction de cartographie structurée relie les contextes du système et les UCAs à des dangers spécifiques, des pertes et des mesures de risque, créant une chaîne traçable allant de la défaillance du système à la conséquence physique.

B. Modélisation par Machine à États Finis (MEA)

Pour combler le vide dans la modélisation des transitions d'état, les auteurs introduisent une MEA Danger-Perte.
Ce modèle définit explicitement le cycle de vie du système pendant une urgence :
- $S_1$ : Fonctionnement normal.
- $S_2$ : Détection du danger.
- $S_3$ : État à haut risque nécessitant une manœuvre agressive (phase centrale d'exécution de l'EMRM).
- $S_4$ : Récupération réussie (évitement).
- $S_5$ : Échec de l'atténuation (transition vers un impact contrôlé/dommages minimisés).
- $S_6$ : Réponse post-incident.
La MEA garantit que la logique du système privilégie l'évitement, mais se dégrade gracieusement vers l'atténuation des dommages si l'évitement est physiquement impossible.

C. Génération automatisée de scénarios

Le cadre unifié pilote un générateur de scénarios automatisé.
Il utilise les transitions de la MEA et les espaces de paramètres (par exemple, vitesse, temps jusqu'à la collision, adhérence) pour générer des cas de test garantissant la couverture de dangers spécifiques, d'UCAs et de transitions d'état.

3. Étude de cas : Scénario d'obstacle à un carrefour en T

Le cadre a été validé à l'aide d'un scénario spécifique de cas limite : un véhicule autonome approchant d'un carrefour en T où un grand camion bloque soudainement la route principale.

Paramètres balayés : Vitesse du véhicule égo, Temps jusqu'à la collision (TTC), adhérence de la chaussée et largeur de passage.
Simulation : 1 880 simulations basées sur l'arbre aléatoire à exploration rapide (RRT) ont été exécutées pour cartographier la « région d'atténuation » (où le système peut éviter ou atténuer avec succès la collision).

4. Résultats clés

L'application du cadre a produit des insights quantitatifs et qualitatifs significatifs :

Insight physique sur la géométrie du carrefour en T : Les simulations ont révélé un résultat physique contre-intuitif : dans un scénario de blocage à un carrefour en T, la géométrie rend l'arrêt et la navigation également difficiles. Par conséquent, le « mode d'atténuation intermédiaire » (où l'évitement échoue mais l'impact est réduit) n'occupe que 1,9 % de l'espace des paramètres réalisables. Le résultat est principalement binaire : soit un évitement complet, soit une collision à haute énergie inévitable.
Amélioration des performances : Par rapport à une stratégie de base « Arrêt d'urgence uniquement » :
- Taux d'évitement de collision (CAR) : Passé de 45 % à 81 %.
- Vitesse d'impact résiduelle : Réduite de 18,9 km/h à 9,0 km/h (une réduction d'environ 75 % de l'énergie cinétique).
- Réduction des pertes : La réduction du niveau moyen de perte ( $\Delta Loss$ ) est passée de 3,29 à 4,73–4,75 niveaux.
Supériorité de la couverture :
- Le cadre proposé a atteint 100 % de couverture des dangers, des UCAs et des cellules de l'espace des paramètres.
- Les méthodes traditionnelles (tests manuels épars ou HARA/STPA isolés) ont atteint ≤1 % de couverture dans le même espace de paramètres.

5. Contributions clés

Première unification formelle : Il s'agit du premier travail à intégrer formellement la HARA, la STPA et la modélisation MEA dans un pipeline de V&V unique et traçable pour les fonctionnalités de sécurité active autonomes.
MEA pour les transitions Danger-Perte : Introduction d'une couche de modélisation spécifique capturant l'escalade dynamique du danger vers la perte, permettant une analyse rigoureuse de la façon dont les fonctionnalités EMRM doivent se dégrader gracieusement lorsque l'évitement échoue.
Génération systématique de scénarios : Remplacement des tests ad hoc par une méthode fondée sur des principes garantissant une couverture mesurable de l'espace des paramètres, permettant la découverte de limites physiques (comme la zone intermédiaire de 1,9 %) que les tests épars auraient manquées.

6. Importance

Cet article démontre que les fonctionnalités de sécurité autonomes complexes ne peuvent pas être validées à l'aide de méthodes de sécurité isolées. L'intégration de la HARA (pour le contexte des risques), de la STPA (pour les défaillances de la logique de contrôle) et de la MEA (pour les transitions d'état dynamiques) est essentielle pour une validation haute résolution.

Les découvertes ont des implications profondes pour l'industrie :

Efficacité de la validation : Cela prouve que des tests automatisés à haute densité sont nécessaires pour révéler les véritables limites physiques des manœuvres des VA.
Assurance de la sécurité : Le cadre fournit une voie rigoureuse et auditable pour prouver qu'un VA peut non seulement éviter les accidents, mais aussi minimiser les dommages lorsque les accidents sont inévitables, une exigence critique pour l'approbation réglementaire de l'autonomie de niveau 4/5.
Guidage de la conception : La découverte que les géométries de carrefour en T éliminent souvent le « terrain intermédiaire » pour l'atténuation suggère que les stratégies de contrôle des VA doivent être binaires (évitement agressif ou freinage d'urgence immédiat) plutôt que de s'appuyer sur des manœuvres intermédiaires complexes dans de tels scénarios spécifiques.