⚡ electrical engineering

Risk Assessments for Evasive Emergency Maneuvers in Autonomous Vehicles

Questo articolo introduce un nuovo framework di verifica e validazione tracciabile che integra HARA, STPA e la modellazione a Macchina a Stati Finiti per valutare sistematicamente le Manovre di Rischio Minimo Evasive nei veicoli autonomi, dimostrando attraverso un caso di studio su un incrocio a T che questo approccio unificato raggiunge una copertura del 100% dei pericoli e dello spazio dei parametri, migliorando significativamente i tassi di evitamento delle collisioni rispetto ai metodi tradizionali.

Autori originali: Aliasghar Arab, Milad Khaleghi, Koorosh Aslansefat

Pubblicato 2026-04-30

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Aliasghar Arab, Milad Khaleghi, Koorosh Aslansefat

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di insegnare a un autista robot come gestire un'emergenza improvvisa e terrificante: un gigantesco camion ha appena bloccato la strada davanti, e tu stai correndo verso di esso ad alta velocità. Cosa dovrebbe fare il robot? Frenare di colpo? Sterzare in modo selvaggio? O esiste un "Piano B" se lo sterzo fallisce?

Questo articolo riguarda la creazione di una lista di controllo di sicurezza super-intelligente per garantire che i veicoli autonomi (auto a guida autonoma) possano rispondere correttamente a queste domande, specialmente nelle situazioni più pericolose e di "caso limite" in cui le regole normali potrebbero fallire.

Ecco la spiegazione del loro nuovo metodo, illustrata in modo semplice:

Il Problema: Tre Pezzi Mancanti

Gli autori affermano che i controlli di sicurezza attuali per le auto a guida autonoma sono come cercare di costruire una casa con solo un martello, solo una sega o solo un progetto. Hai bisogno di tutti e tre che lavorino insieme. Hanno identificato tre lacune nel modo in cui attualmente testiamo queste auto:

Il "Vuoto a Due Strumenti": Gli ingegneri solitamente utilizzano due diversi metodi di sicurezza (chiamati HARA e STPA) separatamente. È come avere una mappa e una bussola ma non usarli mai insieme per navigare. L'articolo crea un unico flusso di lavoro che li costringe a lavorare come una squadra.
Il "Vuoto della Scena Cinematografica": I controlli di sicurezza spesso esaminano un istante nel tempo (esiste un pericolo) o il risultato finale (è avvenuto un incidente). Perdono di vista il film intermedio: i momenti di frazione di secondo in cui l'auto tenta di schivare, fallisce e poi deve passare a una modalità di "controllo dei danni". L'articolo aggiunge una Macchina a Stati Finiti (FSM), che è come un organigramma che mappa ogni possibile "scena" attraverso cui l'auto può passare, da "Oh no!" a "L'ho schivata!" o "Ok, minimizziamo l'incidente".
Il "Vuoto del Gioco delle Congetture": Tradizionalmente, gli ingegneri scelgono gli scenari di test indovinando cosa potrebbe andare storto (ad esempio, "Testiamolo in una giornata piovosa"). Questo articolo sostituisce l'indovinare con un generatore sistematico che garantisce matematicamente di testare ogni possibile combinazione di velocità, aderenza della strada e tempistica, non lasciando nulla al caso.

La Soluzione: Una Pipeline di Sicurezza Unificata

Gli autori hanno combinato questi tre strumenti in un'unica pipeline senza soluzione di continuità:

Passaggio 1 (HARA): Identifica cosa potrebbe andare storto (ad esempio, "Il camion blocca la strada").
Passaggio 2 (STPA): Identifica come il cervello dell'auto potrebbe commettere un errore (ad esempio, "L'auto sterza troppo tardi" o "L'auto sterza quando non dovrebbe").
Passaggio 3 (FSM): Mappa la storia dell'evento. Se l'auto sterza e riesce, passa a "Sicuro". Se sterza e fallisce, transita immediatamente a "Mitigazione" (tentando di colpire il camion di striscio invece che frontalmente) o a "Fermata di Emergenza".

Il Test nel Mondo Reale: Il Camion all'Incrocio a T

Per dimostrare che questo funziona, hanno testato uno scenario specifico: un'auto a guida autonoma che si avvicina a un incrocio a T dove un grande camion ha improvvisamente bloccato il percorso.

Hanno eseguito 1.880 simulazioni al computer (un numero enorme rispetto alla solita manciata) coprendo ogni possibile velocità, condizione stradale (asciutta, bagnata, ghiacciata) e tempistica.

Ecco la scoperta sorprendente che hanno fatto:
A causa della geometria specifica di un incrocio a T, l'auto si trova quasi sempre in una situazione "binaria". O è:

Evitamento Completo: C'è abbastanza tempo e spazio per sterzare o fermarsi completamente.
Incidente Inevitabile: Non c'è assolutamente tempo per fermarsi o sterzare; un incidente è inevitabile.

La "Via di Mezzo" è quasi inesistente. L'articolo ha rilevato che l'opzione "intermedia" — in cui l'auto tenta di sterzare ma fallisce, quindi deve passare a una modalità di "controllo dei danni" — esiste solo nel 1,9% delle situazioni possibili. In altre parole, in un incrocio a T, o ce la fai o non ce la fai; c'è raramente una zona del "forse". Questa è una realtà fisica che solo il loro test ad alta risoluzione ha potuto rivelare.

I Risultati: Perché Questo È Importante

Quando hanno confrontato il loro nuovo "Manovra Evasiva Agile" (sterzata) con il vecchio "Fermata di Emergenza" (solo frenata):

Tasso di Successo: La strategia di sterzata ha evitato collisioni nell'81% dei casi, rispetto al solo 45% per la frenata da sola.
Velocità d'Impatto: Quando un incidente era inevitabile, la strategia di sterzata ha ridotto la velocità d'impatto da 18,9 km/h a 9,0 km/h. Pensa a questo come alla differenza tra colpire un muro a velocità autostradale rispetto a una lenta corsa; riduce drasticamente i danni.
Copertura: Il loro metodo ha testato il 100% dei possibili pericoli e scenari. I metodi tradizionali hanno testato solo circa l'1% (lasciando il 99% dei pericoli inesplorati).

La Conclusione

Questo articolo non si limita a dire "le auto a guida autonoma sono sicure". Fornisce una prova matematica tracciabile che una specifica funzione di sicurezza (sterzare per evitare un incidente) funziona meglio della semplice frenata, e lo fa mappando ogni singolo modo possibile in cui il sistema potrebbe fallire o avere successo.

Hanno dimostrato che combinando l'analisi dei pericoli, la teoria del controllo e la mappatura del flusso degli stati, possiamo finalmente testare le auto a guida autonoma con lo stesso rigore di un pilota che si allena per un guasto al motore, garantendo che quando accade l'imprevisto, l'auto sappia esattamente quale "scena" riprodurre dopo.

1. Enunciato del Problema

Il documento affronta una lacuna critica nella verifica e validazione (V&V) della sicurezza delle Manovre di Rischio Minimo Evasive (EMRM) per i veicoli autonomi (AV). Sebbene le funzionalità di sicurezza tradizionali come la Frenata di Emergenza Avanzata (AEB) siano ampiamente studiate, le manovre evasive agili (sterzata, sbandata) presentano sfide uniche che i quadri di sicurezza attuali non riescono ad affrontare adeguatamente.

Gli autori identificano tre limitazioni specifiche nei metodi esistenti:

Mancanza di Integrazione Formale: L'Analisi dei Pericoli e la Valutazione del Rischio (HARA) e l'Analisi dei Processi Basata sulla Teoria dei Sistemi (STPA) sono tipicamente utilizzate in isolamento. Non esiste un quadro standardizzato per mappare i pericoli di sistema alle azioni di controllo non sicure (UCA) e successivamente agli scenari di perdita.
Modellazione Inadeguata delle Transizioni di Stato: Né HARA né STPA modellano efficacemente le transizioni dinamiche tra stati pericolosi e stati di perdita. Questo è fondamentale per le EMRM, che devono adattarsi in tempo reale mentre una situazione evolve da un pericolo a una collisione inevitabile.
Scarsa Generazione di Scenari: I metodi esistenti mancano di approcci strutturati per generare scenari di test con una copertura misurabile dello spazio dei parametri, affidandosi spesso a test ad hoc che trascurano i casi limite.

2. Metodologia: Il Quadro Integrato HARA-STPA-FSM

Gli autori propongono una nuova pipeline di V&V end-to-end che unifica tre metodologie distinte in un unico flusso di lavoro tracciabile:

A. Integrazione Formale di HARA e STPA

HARA (HARA Potenziato):* Utilizzato per identificare gli stati pericolosi ( $H$ ) e valutare le potenziali perdite ( $L$ ), distinguendo tra perdite reversibili (es. danni minori) e irreversibili (es. lesioni, decesso).
STPA: Utilizzato per identificare le Azioni di Controllo Non Sicure (UCA) all'interno dell'architettura di sistema che potrebbero portare a stati pericolosi.
Mappatura ( $M_{HARA-STPA}$ ): Una funzione di mappatura strutturata collega i contesti di sistema e le UCA a specifici pericoli, perdite e misure di rischio, creando una catena tracciabile dal guasto del sistema alla conseguenza fisica.

B. Modellazione a Macchina a Stati Finiti (FSM)

Per colmare la lacuna nella modellazione delle transizioni di stato, gli autori introducono una FSM Pericolo-Perdita.
Questo modello definisce esplicitamente il ciclo di vita del sistema durante un'emergenza:
- $S_1$ : Operazione normale.
- $S_2$ : Rilevamento del pericolo.
- $S_3$ : Stato ad alto rischio che richiede manovre aggressive (fase centrale di esecuzione EMRM).
- $S_4$ : Recupero riuscito (evitamento).
- $S_5$ : Fallimento della mitigazione (transizione all'impatto controllato/danni minimizzati).
- $S_6$ : Risposta post-incidente.
La FSM garantisce che la logica di sistema privilegi l'evitamento, ma degradi elegantemente alla mitigazione dei danni se l'evitamento è fisicamente impossibile.

C. Generazione Automatica di Scenari

Il quadro unificato guida un generatore automatico di scenari.
Utilizza le transizioni FSM e gli spazi dei parametri (es. velocità, tempo fino alla collisione, attrito) per generare casi di test che garantiscono la copertura di specifici pericoli, UCA e transizioni di stato.

3. Caso di Studio: Scenario di Ostacolo all'Incrocio a T

Il quadro è stato validato utilizzando uno scenario specifico di caso limite: un veicolo autonomo che si avvicina a un incrocio a T dove un grande camion blocca improvvisamente la strada principale.

Parametri Variati: Velocità del veicolo ego, Tempo fino alla Collisione (TTC), attrito della superficie stradale e larghezza del passaggio.
Simulazione: Sono state eseguite 1.880 simulazioni basate sull'albero casuale a esplorazione rapida (RRT) per mappare la "regione di mitigabilità" (dove il sistema può evitare con successo o mitigare l'incidente).

4. Risultati Chiave

L'applicazione del quadro ha prodotto approfondimenti quantitativi e qualitativi significativi:

Approfondimento Fisico sulla Geometria dell'Incrocio a T: Le simulazioni hanno rivelato un risultato fisico controintuitivo: in uno scenario di blocco all'incrocio a T, la geometria rende fermarsi e navigare ugualmente difficili. Di conseguenza, la "modalità di mitigazione intermedia" (dove l'evitamento fallisce ma l'impatto è ridotto) occupa solo l'1,9% dello spazio dei parametri fattibile. L'esito è prevalentemente binario: o evitamento completo o una collisione ad alta energia inevitabile.
Miglioramento delle Prestazioni: Rispetto a una strategia di base "Solo Arresto di Emergenza":
- Tasso di Evitamento delle Collisioni (CAR): Aumentato dal 45% all'81%.
- Velocità d'Impatto Residua: Ridotta da 18,9 km/h a 9,0 km/h (una riduzione di circa il 75% dell'energia cinetica).
- Riduzione della Perdita: La riduzione del livello medio di perdita ( $\Delta Loss$ ) è migliorata da 3,29 a livelli 4,73–4,75.
Superiorità della Copertura:
- Il quadro proposto ha raggiunto il 100% di copertura di pericoli, UCA e celle dello spazio dei parametri.
- I metodi tradizionali (test manuali sparsi o HARA/STPA isolati) hanno raggiunto una copertura ≤1% nello stesso spazio dei parametri.

5. Contributi Chiave

Prima Unificazione Formale: Questo è il primo lavoro a integrare formalmente HARA, STPA e modellazione FSM in un'unica pipeline di V&V tracciabile per le funzionalità di sicurezza attiva autonome.
FSM per le Transizioni Pericolo-Perdita: Introduce un livello di modellazione specifico che cattura l'escalation dinamica da pericolo a perdita, consentendo un'analisi rigorosa di come le funzionalità EMRM devono degradare elegantemente quando l'evitamento fallisce.
Generazione Sistematica di Scenari: Sostituisce i test ad hoc con un metodo fondato che garantisce una copertura misurabile dello spazio dei parametri, permettendo la scoperta di confini fisici (come la zona intermedia dell'1,9%) che i test sparsi mancherebbero.

6. Significato

Questo documento dimostra che le complesse funzionalità di sicurezza autonome non possono essere validate utilizzando metodi di sicurezza isolati. L'integrazione di HARA (per il contesto del rischio), STPA (per i guasti della logica di controllo) e FSM (per le transizioni dinamiche di stato) è essenziale per una validazione ad alta risoluzione.

Le scoperte hanno implicazioni profonde per il settore:

Efficienza di Validazione: Dimostra che è necessario un test automatizzato ad alta densità per scoprire i veri limiti fisici delle manovre AV.
Assicurazione della Sicurezza: Il quadro fornisce un percorso rigoroso e auditabile per dimostrare che un AV può non solo evitare incidenti, ma anche minimizzare i danni quando gli incidenti sono inevitabili, un requisito critico per l'approvazione normativa dell'autonomia di Livello 4/5.
Guida alla Progettazione: La scoperta che le geometrie degli incroci a T spesso eliminano la "zona di mezzo" per la mitigazione suggerisce che le strategie di controllo AV devono essere binarie (evitamento aggressivo o frenata immediata forte) piuttosto che basarsi su manovre intermedie complesse in tali scenari specifici.