⚡ electrical engineering

Risk Assessments for Evasive Emergency Maneuvers in Autonomous Vehicles

本文提出了一种新颖且可追溯的验证与确认框架，该框架整合了危害分析与风险评估（HARA）、系统理论过程分析（STPA）和有限状态机建模，以系统评估自动驾驶汽车中的紧急避险最小风险机动，并通过T型路口案例研究证明，这种统一方法在实现100%危害与参数空间覆盖的同时，相较于传统方法显著提升了碰撞规避率。

原作者： Aliasghar Arab, Milad Khaleghi, Koorosh Aslansefat

发布于 2026-04-30

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Aliasghar Arab, Milad Khaleghi, Koorosh Aslansefat

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正在教导一个机器人驾驶员如何应对突发且令人恐惧的紧急情况：一辆巨型卡车刚刚挡住了前方的道路，而你正高速冲向它。机器人应该怎么做？猛踩刹车？疯狂变道？或者，如果变道失败，是否有“B 计划”？

本文旨在构建一个超智能安全检查清单，以确保自动驾驶车辆（无人驾驶汽车）能够正确回答这些问题，尤其是在那些最危险、常规规则可能失效的“边缘案例”情境中。

以下是他们新方法的简要解析：

问题所在：缺失的三个环节

作者指出，目前针对自动驾驶汽车的安全检查，就像试图只用一把锤子、一把锯子或一张蓝图来建造房屋。你需要这三者协同工作。他们指出了当前测试这些汽车时存在的三个缺口：

“双工具”缺口：工程师通常将两种不同的安全方法（称为 HARA 和 STPA）分开使用。这就像拥有一张地图和一个指南针，却从未将它们结合使用来导航。本文创建了一个单一的工作流程，迫使它们作为一个团队协同工作。
“电影场景”缺口：安全检查通常只关注时间快照（存在危险）或最终结果（发生了碰撞）。它们忽略了中间的“电影”——即汽车试图躲避、失败，然后不得不切换到“损害控制”模式的瞬息万变时刻。本文引入了一个有限状态机（FSM），这就像一张流程图，描绘了汽车可能经历的所有“场景”，从“哦不！”到“我躲过去了！”再到“好吧，让我们尽量减少碰撞”。
“猜谜游戏”缺口：传统上，工程师通过猜测可能出现的问题来选择测试场景（例如，“让我们在下雨天测试它”）。本文用系统化生成器取代了猜测，该生成器通过数学方法确保测试速度、路面抓地力和时间的每一种可能组合，不遗漏任何细节。

解决方案：统一的安全流程

作者将这三种工具整合为一个无缝流程：

步骤 1（HARA）：识别什么可能出错（例如，“卡车挡住了道路”）。
步骤 2（STPA）：识别汽车的“大脑”可能如何犯错（例如，“汽车变道太晚”或“汽车在不该变道时变道”）。
步骤 3（FSM）：描绘事件的故事。如果汽车变道成功，则进入“安全”状态；如果变道失败，则立即过渡到“缓解”（尝试以擦碰角度撞击卡车，而不是正面相撞）或“紧急停车”。

现实世界测试：T 型路口的卡车

为了证明该方法有效，他们测试了一个具体场景：一辆自动驾驶汽车接近 T 型路口，此时一辆大卡车突然挡住了路径。

他们运行了1,880 次计算机模拟（与通常的寥寥数次相比，这是一个巨大的数字），涵盖了所有可能的速度、路况（干燥、潮湿、结冰）和时间。

以下是他们发现的惊人之处：
由于 T 型路口的特定几何结构，汽车几乎总是处于一种“二元”情境中。它要么处于：

完全规避：有足够的时间和空间进行变道或完全停车。
不可避免的事故：完全没有时间停车或变道；碰撞不可避免。

“中间地带”几乎不存在。 研究发现，那种“汽车试图变道但失败，因此不得不切换到‘损害控制’模式”的“中间”选项，仅存在于**1.9%**的可能情况中。换句话说，在 T 型路口，你要么成功，要么失败；很少存在“也许”的区域。这是一个物理现实，只有通过他们的高分辨率测试才能揭示出来。

结果：为何这很重要

当他们比较新的“敏捷规避机动”（变道）与旧的“紧急停车”（仅刹车）时：

成功率：变道策略避免了81%的碰撞，而仅靠刹车仅为45%。
撞击速度：当碰撞不可避免时，变道策略将撞击速度从18.9 公里/小时降低到9.0 公里/小时。这就像以高速公路速度撞墙与慢跑撞墙之间的区别；它极大地减少了损害。
覆盖率：他们的方法测试了100%的潜在危险和场景。传统方法仅测试了约1%（留下了 99% 的危险未被探索）。

核心结论

本文不仅仅声称“自动驾驶汽车是安全的”。它提供了一个可追溯的数学证明，证明特定的安全功能（变道以避免碰撞）优于仅靠刹车，并且通过描绘系统可能失败或成功的每一种方式来实现这一目标。

他们证明，通过结合危险分析、控制理论和状态流映射，我们终于可以像为引擎故障受训的飞行员那样，以同样的严谨性测试自动驾驶汽车，确保当意外发生时，汽车确切知道接下来应该上演哪一幕“场景”。

以下是论文《自动驾驶汽车规避性紧急机动风险评估》的详细技术摘要。

1. 问题陈述

本文解决了自动驾驶汽车（AV）在**规避性最低风险机动（EMRM）**的安全验证与确认（V&V）中存在的关键缺口。虽然像自动紧急制动（AEB）这样的传统安全功能已得到充分研究，但敏捷的规避机动（转向、漂移）带来了独特的挑战，而当前的安全框架未能充分解决这些问题。

作者指出了现有方法的三个具体局限性：

缺乏形式化整合： 危害分析与风险评估（HARA）和基于系统理论的过程分析（STPA）通常是孤立使用的。缺乏一个标准化的框架，将系统危害映射到不安全控制动作（UCA），进而映射到损失场景。
状态转换建模不足： HARA 和 STPA 均未能有效建模从危害状态到损失状态之间的动态转换。这对于 EMRM 至关重要，因为 EMRM 必须在情况从危害升级为不可避免碰撞时进行实时调整。
场景生成能力薄弱： 现有方法缺乏生成具有可测量参数空间覆盖率的测试场景的结构化方法，往往依赖临时的测试，从而遗漏边缘案例。

2. 方法论：集成 HARA-STPA-FSM 框架

作者提出了一种新颖的端到端 V&V 流程，将三种不同的方法统一为一个可追溯的工作流：

A. HARA 与 STPA 的形式化整合

HARA（增强型 HARA）：* 用于识别危害状态（ $H$ ）并评估潜在损失（ $L$ ），区分可逆损失（如轻微损坏）和不可逆损失（如受伤、死亡）。
STPA： 用于识别系统架构中可能导致危害状态的不安全控制动作（UCA）。
映射（ $M_{HARA-STPA}$ ）： 一个结构化的映射函数将系统上下文和 UCA 链接到特定的危害、损失和风险度量，从而建立从系统故障到物理后果的可追溯链条。

B. 有限状态机（FSM）建模

为了解决状态转换建模的缺口，作者引入了危害 - 损失 FSM。
该模型明确定义了紧急期间的系统生命周期：
- $S_1$ ： 正常运行。
- $S_2$ ： 危害检测。
- $S_3$ ： 需要激进机动的高风险状态（EMRM 核心执行阶段）。
- $S_4$ ： 成功恢复（避免碰撞）。
- $S_5$ ： 缓解失败（过渡到受控撞击/最小化损坏）。
- $S_6$ ： 事后响应。
FSM 确保系统逻辑优先选择规避，但如果物理上无法规避，则优雅地降级为损害缓解。

C. 自动化场景生成

统一框架驱动自动化场景生成器。
它利用 FSM 转换和参数空间（如速度、碰撞时间、摩擦系数）生成测试用例，确保覆盖特定的危害、UCA 和状态转换。

3. 案例研究：T 型路口障碍物场景

该框架使用一个特定的边缘案例场景进行了验证：一辆自动驾驶汽车接近 T 型路口，此时一辆大卡车突然阻挡了主路。

扫掠参数： 自车速度、碰撞时间（TTC）、路面摩擦系数和通行宽度。
仿真： 执行了 1,880 次基于快速探索随机树（RRT）的仿真，以绘制“可缓解区域”（系统能够成功避免或缓解碰撞的区域）。

4. 关键结果

该框架的应用产生了显著的定量和定性见解：

T 型路口几何结构的物理洞察： 仿真揭示了一个反直觉的物理结果：在 T 型路口阻挡场景中，几何结构使得停车和转向同样困难。因此，“中间缓解模式”（即规避失败但撞击减轻）仅占可行参数空间的1.9%。结果主要是二元的：要么完全规避，要么发生不可避免的高能碰撞。
性能提升： 与仅“紧急停车”的基线策略相比：
- 碰撞避免率（CAR）： 从45%提升至81%。
- 残余撞击速度： 从18.9 km/h降低至9.0 km/h（动能减少约 75%）。
- 损失降低： 平均损失水平降低（ $\Delta Loss$ ）从 3.29 提升至 4.73–4.75 级。
覆盖优势：
- 所提出的框架实现了对危害、UCA 和参数空间单元格的100% 覆盖。
- 传统方法（稀疏的手动测试或孤立的 HARA/STPA）在相同的参数空间中仅实现了**≤1%**的覆盖。

5. 主要贡献

首次形式化统一： 这是首项将 HARA、STPA 和 FSM 建模正式整合到单一、可追溯的自动驾驶主动安全功能 V&V 流程中的工作。
用于危害到损失转换的 FSM： 引入了一种特定的建模层，捕捉从危害到损失的动态升级，从而能够严格分析当规避失败时 EMRM 功能必须如何优雅降级。
系统化场景生成： 用一种原则性的方法取代了临时的测试，该方法保证可测量的参数空间覆盖率，从而能够发现稀疏测试会遗漏的物理边界（如 1.9% 的中间区域）。

6. 意义

本文证明，复杂的自动驾驶安全功能无法使用孤立的安全方法进行验证。整合HARA（用于风险背景）、STPA（用于控制逻辑故障）和FSM（用于动态状态转换）对于高分辨率验证至关重要。

这些发现对行业具有深远影响：

验证效率： 它证明了高密度、自动化测试对于揭示 AV 机动真实物理局限性是必要的。
安全保证： 该框架提供了一条严格、可审计的路径，以证明 AV 不仅能够避免事故，还能在事故不可避免时将伤害降至最低，这是 Level 4/5 自动驾驶获得监管批准的关键要求。
设计指导： 发现 T 型路口几何结构往往消除了缓解的“中间地带”，这表明 AV 控制策略必须是二元的（激进规避或立即紧急制动），而不是依赖此类特定场景中的复杂中间机动。