💻 computer science

Compositionally Safe Construction of Autonomous Driving Systems

该论文提出了一种基于驾驶操作协调执行的组合式安全自动驾驶系统构建方法，通过为不同驾驶场景配置独立的控制策略并严格验证状态转换条件，实现了在数学上可证明的安全保障。

原作者： Marius Bozga, Joseph Sifakis

发布于 2026-02-24

📖 1 分钟阅读☕ 轻松阅读

原作者： Marius Bozga, Joseph Sifakis

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文提出了一种让自动驾驶汽车**“天生安全”**（Safe by Construction）的新方法。

想象一下，现在的自动驾驶主要有两种流派：

AI 黑盒派：像教小孩子一样，给神经网络看几百万张图，让它“感觉”怎么开。优点是学得快，但缺点是不可解释，我们不知道它为什么突然急刹车，也不敢保证它永远不犯错。
传统规则派：像写一本厚厚的交通法规手册，给车定死规矩。优点是逻辑清晰，但缺点是太复杂，现实路况千变万化，规则手册根本写不完，一遇到没写过的情况就死机。

这篇论文的作者（来自法国格勒诺布尔的研究团队）提出了**“第三条路”：把开车这件事拆解成一个个“乐高积木”**，只要保证每一块积木是安全的，把它们拼起来就是安全的。

核心思想：把开车变成“搭积木”

作者认为，自动驾驶不需要一个超级大脑去处理所有情况，而是应该把复杂的驾驶任务拆解成几种基本的“驾驶配置”。

这就好比你在玩一个**“交通拼图游戏”**。无论路况多复杂，你的车遇到的情况无非就是以下三种“拼图块”：

直路模式（Road Configuration）：
- 场景：前面没有路口，只有直路。
- 任务：就像在跑道上跑步，只要盯着前面的车（或限速牌），保持安全距离，别撞上去就行。
- 比喻：就像在单行道上排队，你只需要跟着前面的人走，保持步调一致。
汇入模式（Merging Configuration）：
- 场景：你要从辅路并入主路，或者要变道超车。
- 任务：这时候你有“路权”问题。如果主路有车，你得等；如果主路没车，你得加速插进去。
- 比喻：就像在舞池里插队跳舞。你不能硬挤，得看主舞池（主路）里的人有没有空档。如果有空档，你就加速滑进去；如果没空档，你就在门口（汇入点前）减速等待，直到安全。
穿越模式（Crossing Configuration）：
- 场景：你要穿过十字路口。
- 任务：这里有红绿灯，或者停车标志。你需要判断能不能过。
- 比喻：就像过独木桥。桥很窄（路口），对面可能有人来。
  - 如果是红绿灯：绿灯亮且时间够你过桥，你就冲；红灯或黄灯快变红，你就停。
  - 如果是停车标志：你得先停稳，看看四周没人，且你是第一个到的，才能走。

关键创新：两个“安全阶段”

对于上面这三种情况，作者设计了一套**“两步走”**的策略，让车既安全又不死板：

第一阶段：谨慎模式（Caution Phase）
- 动作：减速、观察、等待。
- 比喻：就像在门口敲门。在没确定安全之前，车会慢慢靠近路口，甚至停下来，确保自己随时能刹住车，不会冲进别人的地盘。
第二阶段：通行模式（Progress Phase）
- 动作：加速、通过。
- 比喻：就像确认没人后推门进屋。一旦系统计算出“现在冲过去，别人绝对撞不到我”，车就会果断加速通过，避免在路口堵死。

怎么保证绝对安全？（数学魔法）

作者没有依赖复杂的 AI 预测，而是用了两个简单的**“物理函数”**：

刹车函数：以现在的速度，踩死刹车需要跑多远才能停下？
加速函数：在限速下，我能加速多快？

“自由空间”理论：
作者给每辆车定义了一个**“安全气泡”（Free Space）**。

这个气泡的大小，取决于前面的障碍物（车或红绿灯）以及你的刹车能力。
核心规则：只要每辆车都老老实实待在自己的“安全气泡”里，气泡之间永远不会重叠。
比喻：想象每个人手里都拿着一把**“魔法雨伞”**。雨伞的大小是根据你的速度和刹车性能自动调整的。只要大家都不走出自己的雨伞范围，雨伞和雨伞之间就不会打架（碰撞）。

为什么这个方法厉害？

可证明的安全：这不是靠“试错”或“运气”。作者用数学证明了：只要每辆车在每种“拼图块”（直路、汇入、穿越）里都遵守规则，那么无论它们怎么组合（比如先直路，再汇入，再穿越），整个系统永远是安全的。
简单高效：不需要超级计算机去算几亿种可能，只需要算算“刹车距离”和“时间差”。
可解释：如果车停下来了，你可以清楚地知道：“哦，因为它发现前面的气泡重叠了，所以它进入了‘谨慎模式’在等。”

总结

这篇论文就像是在说：

别试图教 AI 像人类一样“直觉”开车，那太危险了。
我们要把开车变成**“按部就班的乐高游戏”。
只要保证每一块积木（直路、变道、过路口）都符合物理定律（刹车距离、时间差），并且给每辆车划定一个“互不侵犯的安全气泡”，那么无论路况多复杂，这辆车都能天生安全**地开完全程。

这是一种**“由内而外”**的安全设计，不依赖运气，只依赖严密的逻辑和数学。

论文技术总结：自动驾驶系统的组合式安全构建

论文标题：Compositionally Safe Construction of Autonomous Driving Systems (自动驾驶系统的组合式安全构建)
作者：Marius Bozga, Joseph Sifakis
机构：法国格勒诺布尔阿尔卑斯大学 (Univ. Grenoble Alpes), VERIMAG

1. 研究背景与问题 (Problem)

自动驾驶系统 (ADS) 的开发面临着巨大的科学和技术挑战，核心在于如何在保证安全性的同时处理系统的复杂性。目前的解决方案主要分为两类，但都存在明显缺陷：

基于 AI 的端到端方案：虽然开发成本较低且结构简单，但缺乏必要的可解释性和形式化安全保证，存在不可预测的异常行为。
传统系统工程方案：通常采用多模块架构（感知、预测、规划、控制），虽然具有可解释性，但由于模块间复杂的交互和级联错误，难以验证整体系统的安全性，且难以处理现实世界中复杂的组合场景。

核心问题：如何构建一种既具有数学严谨性（可验证），又能适应复杂动态环境的自动驾驶系统，确保在任意场景下都能满足安全约束（如避免碰撞、遵守交通规则）。

2. 方法论 (Methodology)

本文提出了一种**“由构造保证正确性” (Correct-by-Construction)** 的方法，基于组合性 (Compositionality) 原理构建自动驾驶系统。其核心思想是将复杂的驾驶行为分解为有限数量的基本“驾驶配置” (Driving Configurations)，并为每种配置设计独立的控制策略，最后证明这些策略的组合能保障整体系统的安全。

2.1 核心假设与分解原则

作者将自动驾驶能力的构建分解为三个维度：

上下文局部性 (Locality of Context)：将交通环境视为有限数量的基本模式（如道路、路口、汇合点）的组合。车辆的安全策略是这些基本模式对应策略的组合。
知识局部性 (Locality of Knowledge)：车辆仅依赖局部可见范围内的信息（可见区域）进行决策。系统行为可视为基于邻近性和可见性准则分组的小规模车辆集合的组合。
基于权利的责任 (Rights-based Responsibility)：每个车辆负责管理其根据交通规则分配的“自由空间” (Free Space)。只要每辆车在其自由空间内安全行驶，整个系统就是安全的。

2.2 驾驶配置 (Driving Configurations)

系统根据感知输入将环境状态抽象为三种基本类型的驾驶配置：

道路配置 (Road Configurations)：视野内无路口，仅需处理前方障碍物（车辆或限速标志）。
汇合配置 (Merging Configurations)：车辆路线汇入主路或变道，需让行优先级更高的车辆。
穿越配置 (Crossing Configurations)：车辆路线穿过路口（受红绿灯或停车标志控制），需遵守通行规则。

2.3 系统架构

自动驾驶仪 (Autopilot) 被设计为两个阶段的串联组件：

配置管理器 (Configuration Manager)：接收感知数据，识别当前配置类型，提取关键参数（如保护信号、交汇点位置）。
控制策略管理器 (Control Policy Manager)：根据配置类型执行相应的控制策略。策略分为两个阶段：
- 谨慎阶段 (Caution Phase)：虚拟减速，确保在遇到风险前能安全停止。
- 进展阶段 (Progress Phase)：在确认无碰撞风险后，加速通过或完成操作。

2.4 动力学模型与函数

为了简化控制设计，不依赖复杂的车辆动力学模型，而是定义了两个关键函数来表征车辆的制动和加速能力：

制动函数 $B(v)$ ：从速度 $v$ 减速到 0 所需的距离。
速度控制函数 $C(v, V_L)$ ：在满足速度限制 $V_L$ 和动力学约束的前提下，计算最大可行的速度变化 $\Delta v$ 和行驶距离 $\Delta d$ 。

3. 关键贡献 (Key Contributions)

组合式安全证明框架：
提出了一个形式化框架，证明如果针对每种基本驾驶配置的控制策略是安全的，并且配置之间的转换满足特定的时序条件，那么整个自动驾驶系统的行为就是安全的。这解决了传统方法中模块组合导致安全属性丢失的问题。
基于“自由空间”的无碰撞保证：
定义了每辆车的自由空间 (Free Space)，即从当前位置到“限制位置” ( $\pi_e$ ) 的路径段。限制位置由前方障碍物位置、速度限制约束或制动距离决定。
- 核心定理：如果所有车辆的自由空间在任意时刻都是不相交的，则系统无碰撞。
- 通过“假设 - 保证” (Assume-Guarantee) 契约，证明了在满足特定不变式（Invariant）的情况下，自由空间始终保持不相交。
具体的控制策略设计：
针对三种配置类型设计了具体的控制策略（如 merge-yield, cross-traffic-light, cross-stop 等）。这些策略通过布尔标志 cl (clearance) 在“谨慎”和“进展”阶段之间切换，切换条件基于对到达车辆和前方车辆的预测时间计算。
形式化验证：
利用归纳不变式 (Inductive Invariant) 证明了系统的安全性保持性 (Preservation of Safety)。即：如果初始状态是安全的，且每一步执行都遵循控制策略，那么后续所有状态都是安全的（无碰撞且遵守限速）。

4. 主要结果 (Results)

理论正确性：论文通过一系列引理（Lemma 1-7）和定理（Theorem 1）严格证明了：只要初始状态安全，且车辆遵循提出的控制策略，系统在任意时间步长 $\Delta t$ 的演化都将保持安全（无碰撞、遵守交通规则）。
覆盖主要驾驶操作：该方法涵盖了进入主路、超车、通过红绿灯路口、通过停车标志路口以及在高速公路上行驶等主要驾驶操作。
计算效率：控制策略仅依赖于简单的数学函数（制动距离、速度限制序列），避免了复杂的优化求解，适合实时计算。
鲁棒性：通过引入“虚构车辆”（在视野边界处假设存在车辆）和保守的清除条件，确保了即使在感知受限或环境动态变化时，系统也能保持安全。

5. 意义与影响 (Significance)

第三条道路：本文提出了一种介于“黑盒 AI"和“过度简化的传统控制”之间的第三条路径。它结合了模块化设计的可解释性和形式化方法的数学严谨性。
由构造保证安全 (Safe by Construction)：不同于事后验证，该方法在系统构建阶段就通过数学逻辑保证了安全性，为自动驾驶系统的部署提供了更高的可信度。
可扩展性：基于组合性的方法使得系统易于扩展。新的驾驶场景可以被视为现有基本配置的变体或组合，只需验证新配置的策略即可，无需重新验证整个系统。
未来方向：作者指出该方法需要在仿真环境中进一步验证，并扩展到更复杂的操作（如掉头、停车），同时需要结合更精细的二维地图和轨迹控制模块。

总结：
这篇论文通过引入“驾驶配置”和“自由空间”的概念，利用组合性原理和假设 - 保证契约，成功构建了一个理论上可证明安全的自动驾驶系统框架。它证明了将复杂的驾驶任务分解为有限的基本操作，并分别为其设计安全策略，是实现高安全性自动驾驶的一条可行且严谨的技术路线。