Risk Assessments for Evasive Emergency Maneuvers in Autonomous Vehicles

1. Declaração do Problema

O artigo aborda uma lacuna crítica na verificação e validação (V&V) de segurança para Manobras de Risco Mínimo Evasivas (EMRM) em veículos autônomos (AVs). Embora recursos de segurança tradicionais como Frenagem Automática de Emergência (AEB) sejam bem estudados, manobras evasivas ágeis (direção, derrapagem) apresentam desafios únicos que as estruturas de segurança atuais não conseguem abordar adequadamente.

Os autores identificam três limitações específicas nos métodos existentes:

• Falta de Integração Formal: Análise de Perigos e Avaliação de Riscos (HARA) e Análise de Processos Teórico-Sistêmicos (STPA) são tipicamente utilizadas de forma isolada. Não há um quadro padronizado para mapear perigos do sistema para ações de controle inseguras (UCAs) e, subsequentemente, para cenários de perda.
• Modelagem Insuficiente de Transição de Estados: Nem a HARA nem a STPA modelam efetivamente as transições dinâmicas entre estados perigosos e estados de perda. Isso é crítico para a EMRM, que deve adaptar-se em tempo real conforme uma situação escala de um perigo para uma colisão inevitável.
• Geração Pobre de Cenários: Os métodos existentes carecem de abordagens estruturadas para gerar cenários de teste com cobertura mensurável do espaço de parâmetros, frequentemente dependendo de testes ad hoc que deixam passar casos extremos.

2. Metodologia: O Quadro Integrado HARA-STPA-MSF

Os autores propõem um pipeline de V&V de ponta a ponta, inovador, que unifica três metodologias distintas em um único fluxo de trabalho rastreável:

A. Integração Formal de HARA e STPA

• HARA (HARA Aprimorada):* Utilizada para identificar estados perigosos ($H$) e avaliar perdas potenciais ($L$), distinguindo entre perdas reversíveis (ex.: danos menores) e irreversíveis (ex.: lesões, fatalidades).
• STPA: Utilizada para identificar Ações de Controle Inseguras (UCAs) dentro da arquitetura do sistema que poderiam levar a estados perigosos.
• Mapeamento ($M_{HARA-STPA}$): Uma função de mapeamento estruturada liga contextos do sistema e UCAs a perigos específicos, perdas e medidas de risco, criando uma cadeia rastreável desde a falha do sistema até a consequência física.

B. Modelagem de Máquina de Estados Finitos (MSF)

• Para abordar a lacuna na modelagem de transições de estado, os autores introduzem uma MSF Perigo-Perda.
• Este modelo define explicitamente o ciclo de vida do sistema durante uma emergência:
  • $S_1$: Operação normal.
  • $S_2$: Detecção de perigo.
  • $S_3$: Estado de alto risco exigindo manobras agressivas (fase central de execução da EMRM).
  • $S_4$: Recuperação bem-sucedida (evitação).
  • $S_5$: Falha de mitigação (transição para impacto controlado/danos minimizados).
  • $S_6$: Resposta pós-incidente.
• A MSF garante que a lógica do sistema priorize a evitação, mas degrade graciosamente para mitigação de danos se a evitação for fisicamente impossível.

C. Geração Automatizada de Cenários

• O quadro unificado impulsiona um gerador de cenários automatizado.
• Utiliza as transições da MSF e espaços de parâmetros (ex.: velocidade, tempo até colisão, atrito) para gerar casos de teste que garantem a cobertura de perigos específicos, UCAs e transições de estado.

3. Estudo de Caso: Cenário de Obstáculo em Cruzamento em T

O quadro foi validado usando um cenário específico de caso extremo: Um veículo autônomo aproximando-se de um cruzamento em T onde um grande caminhão bloqueia repentinamente a via principal.

• Parâmetros Varredura: Velocidade do veículo ego, Tempo até Colisão (TTC), atrito da superfície da estrada e largura da passagem.
• Simulação: 1.880 simulações baseadas em Árvore Aleatória de Exploração Rápida (RRT) foram executadas para mapear a "região de mitigabilidade" (onde o sistema pode evitar ou mitigar com sucesso a colisão).

4. Resultados Principais

A aplicação do quadro produziu insights quantitativos e qualitativos significativos:

• Insight Físico sobre a Geometria do Cruzamento em T: As simulações revelaram um resultado físico contra-intuitivo: Em um cenário de bloqueio em cruzamento em T, a geometria torna parar e navegar igualmente difíceis. Consequentemente, o "modo de mitigação intermediário" (onde a evitação falha, mas o impacto é reduzido) ocupa apenas 1,9% do espaço de parâmetros viável. O resultado é predominantemente binário: ou evitação total ou uma colisão de alta energia inevitável.
• Melhoria de Desempenho: Comparado a uma estratégia de base "Apenas Parada de Emergência":
  • Taxa de Evitação de Colisão (CAR): Aumentou de 45% para 81%.
  • Velocidade de Impacto Residual: Reduzida de 18,9 km/h para 9,0 km/h (uma redução de ~75% na energia cinética).
  • Redução de Perdas: A redução no nível médio de perda ($\Delta Loss$) melhorou de 3,29 para níveis de 4,73–4,75.
• Superioridade de Cobertura:
  • O quadro proposto alcançou 100% de cobertura de perigos, UCAs e células do espaço de parâmetros.
  • Métodos tradicionais (testes manuais esparsos ou HARA/STPA isolados) alcançaram ≤1% de cobertura no mesmo espaço de parâmetros.

5. Contribuições Principais

1. Primeira Unificação Formal: Este é o primeiro trabalho a integrar formalmente HARA, STPA e modelagem de MSF em um único pipeline de V&V rastreável para recursos de segurança ativa autônoma.
2. MSF para Transições de Perigo-para-Perda: Introduz uma camada de modelagem específica que captura a escalada dinâmica de perigo para perda, permitindo uma análise rigorosa de como os recursos de EMRM devem degradar graciosamente quando a evitação falha.
3. Geração Sistemática de Cenários: Substitui testes ad hoc por um método principiado que garante cobertura mensurável do espaço de parâmetros, permitindo a descoberta de limites físicos (como a zona intermediária de 1,9%) que testes esparsos ignorariam.

6. Significado

Este artigo demonstra que recursos de segurança autônoma complexos não podem ser validados usando métodos de segurança isolados. A integração de HARA (para contexto de risco), STPA (para falhas de lógica de controle) e MSF (para transições de estado dinâmicas) é essencial para validação de alta resolução.

As descobertas têm implicações profundas para a indústria:

• Eficiência de Validação: Prova que testes automatizados de alta densidade são necessários para descobrir as verdadeiras limitações físicas das manobras de AVs.
• Garantia de Segurança: O quadro fornece um caminho rigoroso e auditável para provar que um AV não apenas pode evitar acidentes, mas também minimizar danos quando os acidentes são inevitáveis, um requisito crítico para a aprovação regulatória da autonomia de Nível 4/5.
• Orientação de Design: A descoberta de que geometrias de cruzamentos em T frequentemente eliminam o "meio-termo" para mitigação sugere que as estratégias de controle de AVs devem ser binárias (evitação agressiva ou frenagem forte imediata) em vez de dependerem de manobras intermediárias complexas em cenários tão específicos.