⚡ electrical engineering

Risk Assessments for Evasive Emergency Maneuvers in Autonomous Vehicles

Dit artikel introduceert een nieuw, traceerbaar verificatie- en valideringskader dat HARA, STPA en Finite State Machine-modellering integreert om systematisch Uitwijkmanoeuvres met minimaal risico in autonome voertuigen te beoordelen, en toont aan middels een T-kruising-casestudy dat deze geünificeerde aanpak 100% dekking van gevaren en parameter-ruimte bereikt terwijl het de botsingsvermijdingspercentages aanzienlijk verbetert ten opzichte van traditionele methoden.

Oorspronkelijke auteurs: Aliasghar Arab, Milad Khaleghi, Koorosh Aslansefat

Gepubliceerd 2026-04-30

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Aliasghar Arab, Milad Khaleghi, Koorosh Aslansefat

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een robotbestuurder leert omgaan met een plotselinge, angstaanjagende noodsituatie: een gigantische vrachtwagen heeft zojuist de weg voor je geblokkeerd en je raast met hoge snelheid op hem af. Wat moet de robot doen? Voluit remmen? Wild uitwijken? Of is er een "Plan B" als het uitwijken mislukt?

Dit artikel gaat over het bouwen van een super-slimme veiligheidschecklist om ervoor te zorgen dat autonome voertuigen (zelfrijdende auto's) die vragen correct kunnen beantwoorden, vooral in de meest gevaarlijke, "edge-case" situaties waar normale regels kunnen falen.

Hier is de uiteenzetting van hun nieuwe methode, simpel uitgelegd:

Het Probleem: Drie Ontbrekende Delen

De auteurs stellen dat huidige veiligheidscontroles voor zelfrijdende auto's lijken op het proberen een huis te bouwen met alleen een hamer, alleen een zaag, of alleen een blauwdruk. Je hebt alle drie nodig die samenwerken. Ze hebben drie gaten geïdentificeerd in hoe we deze auto's momenteel testen:

Het "Twee-Werktuigen"-Gat: Ingenieurs gebruiken meestal twee verschillende veiligheidsmethoden (genaamd HARA en STPA) afzonderlijk. Het is alsof je een kaart en een kompas hebt, maar ze nooit samen gebruikt om te navigeren. Het artikel creëert één enkele workflow die ze dwingt als team te werken.
Het "Filmscène"-Gat: Veiligheidscontroles kijken vaak naar een momentopname in de tijd (een gevaar bestaat) of het eindresultaat (een crash is gebeurd). Ze missen de film ertussenin – de split-second momenten waarin de auto probeert uit te wijken, faalt, en vervolgens moet overschakelen naar een "schadebeperking"-modus. Het artikel voegt een Finite State Machine (FSM) toe, wat een stroomschema is dat elke mogelijke "scène" in kaart brengt die de auto kan doorlopen, van "Oh nee!" tot "Ik heb het ontweken!" of "Oké, laten we de crash minimaliseren".
Het "Gokspel"-Gat: Traditioneel kiezen ingenieurs testscenario's door te gokken wat er mis kan gaan (bijvoorbeeld: "Laten we het testen op een regenachtige dag"). Dit artikel vervangt gokken door een systematische generator die wiskundig garandeert dat ze elke mogelijke combinatie van snelheid, weg grip en timing testen, zodat er niets onontdekt blijft.

De Oplossing: Een Gecombineerde Veiligheidspijplijn

De auteurs hebben deze drie tools gecombineerd tot één naadloze pijplijn:

Stap 1 (HARA): Identificeert wat er mis kan gaan (bijvoorbeeld: "De vrachtwagen blokkeert de weg").
Stap 2 (STPA): Identificeert hoe het brein van de auto een fout zou kunnen maken (bijvoorbeeld: "De auto wijst te laat uit" of "De auto wijst uit wanneer hij dat niet zou moeten").
Stap 3 (FSM): Kaart het verhaal van het gebeurtenis in kaart. Als de auto uitwijkt en slaagt, gaat het naar "Veilig". Als het uitwijken mislukt, schakelt het direct over naar "Mitigatie" (proberen de vrachtwagen in een schuine hoek te raken in plaats van frontaal) of "Noodstop".

De Realiteitstest: De T-Splitsing Vrachtwagen

Om te bewijzen dat dit werkt, testten ze een specifiek scenario: een zelfrijdende auto die een T-splitsing nadert waar een grote vrachtwagen plotseling het pad heeft geblokkeerd.

Ze draaiden 1.880 computersimulaties (een enorm aantal vergeleken met de gebruikelijke handvol) die elke mogelijke snelheid, wegomstandigheid (droog, nat, ijs) en timing dekten.

Hier is de verrassende ontdekking die ze deden:
Vanwege de specifieke geometrie van een T-splitsing bevindt de auto zich bijna altijd in een "binair" situatie. Het is óf:

Volledige Ontwijking: Er is genoeg tijd en ruimte om uit te wijken of volledig te stoppen.
Onvermijdelijke Crash: Er is absoluut geen tijd om te stoppen of uit te wijken; een crash is onvermijdelijk.

De "Middenweg" is bijna niet-existent. Het artikel vond dat de "intermediaire" optie – waarbij de auto probeert uit te wijken maar faalt, waardoor het moet overschakelen naar een "schadebeperking"-modus – slechts bestaat in 1,9% van de mogelijke situaties. Met andere woorden: op een T-splitsing maak je het óf wel óf je maakt het niet; er is zelden een "misschien"-zone. Dit is een fysieke realiteit die alleen hun hoog-resolutie testen konden onthullen.

De Resultaten: Waarom Dit Belangrijk Is

Toen ze hun nieuwe "Agile Evasive Maneuver" (uitwijken) vergeleken met de oude "Emergency Stop" (alleen remmen):

Succespercentage: De uitwijkstrategie voorkwam botsingen in 81% van de gevallen, vergeleken met slechts 45% voor alleen remmen.
Impact-snelheid: Wanneer een crash onvermijdelijk was, verlaagde de uitwijkstrategie de impact-snelheid van 18,9 km/u naar 9,0 km/u. Denk hierbij aan het verschil tussen tegen een muur slaan op autosnelheid versus een langzame jog; dit vermindert de schade drastisch.
Dekking: Hun methode testte 100% van de mogelijke gevaren en scenario's. Traditionele methoden testten slechts ongeveer 1% (waardoor 99% van de gevaren onontdekt bleef).

De Conclusie

Dit artikel zegt niet zomaar "zelfrijdende auto's zijn veilig". Het biedt een traceerbaar, wiskundig bewijs dat een specifieke veiligheidsfunctie (uitwijken om een crash te voorkomen) beter werkt dan alleen remmen, en doet dit door elke mogelijke manier waarop het systeem kan falen of slagen in kaart te brengen.

Ze bewezen dat door gevarenanalyse, controletheorie en stroom-volgorde mapping te combineren, we zelfrijdende auto's eindelijk kunnen testen met dezelfde strenge maatstaven als een piloot die traint voor een motorstoring, zodat wanneer het onverwachte gebeurt, de auto precies weet welke "scène" hij als volgende moet spelen.

1. Probleemstelling

Het artikel adresseert een kritieke lacune in de veiligheidsverificatie en -validatie (V&V) van Ontwijkende Minimale Risicomanoeuvres (EMRM) voor autonome voertuigen (AV's). Waar traditionele veiligheidsfuncties zoals geavanceerde noodremming (AEB) goed onderzocht zijn, vormen wendbare ontwijkende manoeuvres (sturen, drijven) unieke uitdagingen die huidige veiligheidskaders ontoereikend aanpakken.

De auteurs identificeren drie specifieke beperkingen in bestaande methoden:

Gebrek aan Formele Integratie: Gevarenanalyse en Risicobeoordeling (HARA) en System-Theoretic Process Analysis (STPA) worden doorgaans geïsoleerd gebruikt. Er bestaat geen gestandaardiseerd kader om systeemgevaren af te beelden op onveilige besturingsacties (UCAs) en vervolgens op verliesscenario's.
Onvoldoende Modellering van Toestandsovergangen: Noch HARA noch STPA modelleren effectief de dynamische overgangen tussen gevaarlijke toestanden en verliestoestanden. Dit is cruciaal voor EMRM, die zich in real-time moet aanpassen naarmate een situatie escaleert van een gevaar naar een onvermijdelijke botsing.
Slechte Scenario-Generatie: Bestaande methoden missen gestructureerde benaderingen voor het genereren van testscenario's met meetbare dekking van de parameter-ruimte, en vertrouwen vaak op ad-hoc testen die randgevallen mist.

2. Methodologie: Het Geïntegreerde HARA-STPA-FSM Kader

De auteurs stellen een nieuw, end-to-end V&V-pipeline voor die drie distincte methodologieën verenigt in één traceerbare workflow:

A. Formele Integratie van HARA en STPA

HARA (Verbeterde HARA):* Wordt gebruikt om gevaarlijke toestanden ( $H$ ) te identificeren en potentiële verliezen ( $L$ ) te beoordelen, met onderscheid tussen reversibele (bijv. lichte schade) en irreversibele (bijv. letsel, overlijden) verliezen.
STPA: Wordt gebruikt om Onveilige Besturingsacties (UCAs) binnen de systeemarchitectuur te identificeren die kunnen leiden tot gevaarlijke toestanden.
Mapping ( $M_{HARA-STPA}$ ): Een gestructureerde mappingfunctie koppelt systeemcontexten en UCAs aan specifieke gevaren, verliezen en risicomaatstaven, waardoor een traceerbare keten van systeemfalen tot fysiek gevolg ontstaat.

B. Finite State Machine (FSM) Modellering

Om de lacune in het modelleren van toestandsovergangen aan te pakken, introduceren de auteurs een Gevaar-Verlies FSM.
Dit model definieert expliciet de levenscyclus van het systeem tijdens een noodsituatie:
- $S_1$ : Normale werking.
- $S_2$ : Gevaardetectie.
- $S_3$ : Hoog-risico toestand die agressief manoeuvreren vereist (de kern-uitvoeringsfase van EMRM).
- $S_4$ : Succesvol herstel (ontwijken).
- $S_5$ : Falen van mitigatie (overgang naar gecontroleerde impact/minimalisatie van schade).
- $S_6$ : Reactie na incident.
De FSM zorgt ervoor dat de systeemlogica prioriteit geeft aan ontwijken, maar op een elegante manier degradeert naar schademitigatie als ontwijken fysiek onmogelijk is.

C. Geautomatiseerde Scenario-Generatie

Het geünificeerde kader stuurt een geautomatiseerde scenario-generator aan.
Het gebruikt de FSM-overgangen en parameter-ruimten (bijv. snelheid, tijd tot botsing, wrijving) om testgevallen te genereren die dekking garanderen van specifieke gevaren, UCAs en toestandsovergangen.

3. Case Study: T-kruising Obstakel Scenario

Het kader werd gevalideerd met een specifiek randgeval-scenario: Een autonoom voertuig dat een T-kruising nadert waar een grote vrachtwagen plotseling de hoofdweg blokkeert.

Gesweepde Parameters: Snelheid van het eigen voertuig, Tijd tot Botsing (TTC), wegoppervlakwrijving en doorgaansbreedte.
Simulatie: 1.880 Rapidly-exploring Random Tree (RRT) gebaseerde simulaties werden uitgevoerd om het "mitigeerbaarheidsgebied" in kaart te brengen (waar het systeem het ongeval succesvol kan voorkomen of mitigeren).

4. Belangrijkste Resultaten

De toepassing van het kader leverde significante kwantitatieve en kwalitatieve inzichten op:

Fysisch Inzicht in T-kruising Geometrie: De simulaties onthulden een tegen-intuïtief fysiek resultaat: In een T-kruising-blokkagescenario maakt de geometrie stoppen en navigeren even moeilijk. Bijgevolg neemt de "intermediaire mitigatiemodus" (waar ontwijken faalt maar impact wordt gereduceerd) slechts 1,9% van de realiseerbare parameter-ruimte in. De uitkomst is voornamelijk binair: óf volledige ontwijken óf een onvermijdelijke botsing met hoge energie.
Prestatieverbetering: In vergelijking met een basislijn "Alleen Noodstop" strategie:
- Botsingsontwijkingspercentage (CAR): Toegenomen van 45% naar 81%.
- Restant Impact Snelheid: Gereduceerd van 18,9 km/u naar 9,0 km/u (een ~75% reductie in kinetische energie).
- Verliesreductie: De gemiddelde verliesniveaureductie ( $\Delta Loss$ ) verbeterde van 3,29 naar 4,73–4,75 niveaus.
Dekking Superieuriteit:
- Het voorgestelde kader bereikte 100% dekking van gevaren, UCAs en parameter-ruimte cellen.
- Traditionele methoden (spaarzame handmatige testen of geïsoleerde HARA/STPA) bereikten ≤1% dekking in dezelfde parameter-ruimte.

5. Belangrijkste Bijdragen

Eerste Formele Unificatie: Dit is het eerste werk dat HARA, STPA en FSM-modellering formeel integreert in één traceerbare V&V-pipeline voor autonome actieve veiligheidsfuncties.
FSM voor Gevaar-naar-Verlies Overgangen: Introduceert een specifieke modelleringslaag die de dynamische escalatie van gevaar naar verlies vastlegt, waardoor een rigoureuze analyse mogelijk wordt van hoe EMRM-functies elegant moeten degraderen wanneer ontwijken faalt.
Systematische Scenario-Generatie: Vervangt ad-hoc testen door een principiële methode die meetbare parameter-ruimte dekking garandeert, waardoor de ontdekking van fysieke grenzen (zoals de 1,9% intermediaire zone) mogelijk wordt die spaarzame testen zouden missen.

6. Betekenis

Dit artikel demonstreert dat complexe autonome veiligheidsfuncties niet kunnen worden gevalideerd met geïsoleerde veiligheidsmethodes. De integratie van HARA (voor risiccontext), STPA (voor besturingslogica-fouten) en FSM (voor dynamische toestandsovergangen) is essentieel voor validatie met hoge resolutie.

De bevindingen hebben ingrijpende implicaties voor de industrie:

Validatie-efficiëntie: Het bewijst dat hoge-dichtheid, geautomatiseerd testen noodzakelijk is om de ware fysieke beperkingen van AV-manoeuvres aan het licht te brengen.
Veiligheidszekerheid: Het kader biedt een rigoureuze, controleerbare weg om aan te tonen dat een AV niet alleen ongevallen kan voorkomen, maar ook schade kan minimaliseren wanneer ongevallen onvermijdelijk zijn, een kritieke vereiste voor de reguliere goedkeuring van autonomie van niveau 4/5.
Ontwerpgids: De ontdekking dat T-kruising-geometrieën vaak de "middenweg" voor mitigatie elimineert, suggereert dat AV-besturingsstrategieën binair moeten zijn (agressief ontwijken of direct hard remmen) in plaats van te vertrouwen op complexe intermediaire manoeuvres in dergelijke specifieke scenario's.