场景化验证工程深度 — 三层场景 / ASAM 栈 / corner-case / sim-to-road

要统计显著地证明"自动驾驶致命事故率低于人类基线",罕见事件 + 高置信要求让 naive 路测里程飙到天文数字,且每改一版软件就得重跑——这就是 approval trap。场景化把"穷举里程"换成"针对性造关键场景":

• 纯里程:覆盖靠运气,罕见场景出现概率极低,证不动尾部,且不可复现、改版重来
• 场景化:把驾驶世界结构化成可枚举/可采样的场景空间,针对性造关键与边界场景,可复现、可规模化、改版可回归

场景按抽象度分三层(Menzel/PEGASUS),从语言到可执行逐级具体:

ASAM 标准栈让这三层可交换、可复现、可规模化:

• OpenSCENARIO(动态层) — 描述演员、机动动作、触发条件、时序(1.x XML / 2.0 DSL);一条具体场景就是一份 OpenSCENARIO
• OpenODD(运行设计域) — 形式化 ODD(道路类型/天气/光照/速度域等),界定"系统该在什么条件里工作",是场景空间的边界
• OpenDRIVE(静态层) — 道路网络几何 + 车道 + 标志,场景的"地图底座"
• OpenLABEL(标注) — 给传感数据/场景打标签,喂场景库与回归

逻辑场景的参数范围张成一个高维参数空间,具体场景是其中的点。怎么从范围取点决定覆盖效率:

• 全网格 — 每维等分穷举,维度一高就组合爆炸(维度灾难),只适合低维
• 拉丁超立方 / 准蒙特卡洛 — 均匀铺满空间,比网格省样本,适合先扫整体响应面
• 重要性采样 / 自适应 — 把样本集中到关键/边界区(criticality 高的参数组合),用响应面/代理模型引导,挖尾部最高效
• 基于覆盖的停止 — 以参数空间覆盖度 + criticality 覆盖为停止判据,而非固定样本数

关键:不是随机撒点,而是往危险区聚焦——这与 FMEDA 的 fault list 完整性 同理:覆盖的代表性比样本数重要。

Area 3 的本质是"还没想到的危险场景"。挖它有四条互补路:

• criticality 度量 — 用 TTC(碰撞时间,纵向接近/跟车)/ PET(后侵入时间,交叉冲突点如路口横穿)/ THW(车头时距) 等指标给场景打危险分,低 TTC = 高危;注意 TTC 与 PET 适用拓扑不同
• 别忘 ODD 边界场景 — ODD exit → DDT fallback → MRC(最小风险状态) 是一类必验场景(WP.29 NATM 要求验 ODD 边界行为),不只验 ODD 内
• 搜索式测试(SBT / falsification) — 把"找反例"建成优化问题:在参数空间里用进化/梯度搜索主动逼系统失效,比随机高效几个数量级
• 重要性采样 — §3 的自适应采样,统计上加权挖尾部
• fleet / 影子模式(shadow mode) — 量产车上 AD 算法只算不控,与人类驾驶/真值比对,自动捞出分歧场景回灌场景库——这是把真实世界的"未知"源源不断翻成"已知"的最强引擎

挖到的 corner-case → 转 Area 2(已知不安全)→ 设计改进消除,这正是 SOTIF "把 Area 2/3 翻译到 Area 1" 的执行层。

验证不能全靠路测,也不能全靠仿真,而是分层金字塔:仿真量大廉价跑覆盖,试车场可控复现危险工况,路测/影子模式抓长尾真值。

• X-in-the-loop 仿真(MiL/SiL/HiL/ViL) — 量最大、最廉价、可批量跑场景库 + 搜索式;但保真度有限(传感器/物理建模误差)
• 试车场(proving ground) — 真车真传感,可控复现危险场景(假人/气球车);成本高、量有限
• 公开路测 / 影子模式 — 真实长尾 + 真值来源;但危险场景不可主动造、不可复现

金字塔成立的前提是仿真可信度(credibility)+ 可复现性(determinism):仿真要替代部分里程,必须有 credibility assessment(模型校准 + 真实数据验证 + 不确定度量化,对标 NASA-STD-7009 / ISO 仿真可信度框架),且同一具体场景多次运行结果一致(确定性),否则"仿真过了"不可采信、不可回归。

场景化把"多少里程"换成"哪些场景 + 多少置信",验收落到统计与接受准则:

• 统计置信 — 在目标 ODD 内,关键场景集 + 采样使残余风险的统计上界低于可接受阈,给定置信度(而非穷举)
• 接受准则(接 SOTIF):GAMAB(整体至少和现有一样好)/ ALARP(风险降到合理可行的最低)/ PRB(正向风险平衡,比人类驾驶净更安全)——任选一作为"残余风险足够低"的论证框架
• 监管对接 — UNECE WP.29 的 ADS 框架要求场景库 + 仿真可信度 + 统计论证的完整证据链(中国首批 L3 准入亦要 SOTIF case 证据链)

核心:验证目标不是"零风险",而是"残余风险论证到可接受 + 有证据链"。

场景化验证失败几乎都集中在以下七类模式,每类都有真实项目的前车之鉴:

G1 拿里程当覆盖 — 里程多不等于尾部覆盖。某项目跑了 300 万公里声称 SOTIF 验证完成,但 criticality 分析显示切入场景 TTC<1.5 s 的参数覆盖率不足 2%——里程积累的都是常规场景,危险尾部仍是盲区。覆盖度量必须基于参数空间 + criticality 分布,而非里程数。

G2 随机撒点采样 — 6 维以上参数空间均匀随机撒 N=10,000 点,落在 TTC<1.5 s 高危区的期望数≈概率密度×N;若高危区占参数空间 0.5%,期望仅 50 点,尾部覆盖严重不足。用重要性采样 / 搜索式 falsification 把样本集中到危险区,挖掘效率可提升 2–3 个数量级。

G3 仿真无可信度评估 — "仿真全部通过"若无 credibility assessment(模型校准 + 真实数据验证 + 不确定度量化)则不可采信。某雷达感知模型在湿路工况的探测距离误差达 +18%,仿真感知不到差距,路测时全军覆没。应对标 NASA-STD-7009 / ASAM SIM-F 仿真可信度框架,先建 credibility case 再用仿真替代里程。

G4 场景库不闭环 — fleet/影子模式每天捞出分歧场景,但缺乏自动入库流程,Area 3 永远挖不干。某量产 L2 项目影子模式运行 18 个月,识别出 2,700 个分歧场景,却未回灌场景库,下一版本回归仍遗漏同类失效。必须建 corner-case → 场景库 → 回归的自动闭环流水线。

G5 ODD 不形式化 — ODD 只写"高速公路白天晴天",边界未用 OpenODD 形式化:120 km/h 以上算不算?能见度 200 m 算不算?边界含糊 → 场景空间边界含糊 → 覆盖论证站不住。WP.29 NATM 要求 ODD 边界行为必须可查,用 OpenODD 形式化是论证前提。

G6 单用 TTC 评 criticality — TTC 在纵向跟车场景有效,但路口横穿(行人/车辆侧向切入)的碰撞点不在当前轨迹延长线上,TTC 无法计算或无意义。此时需用 PET(Post-Encroachment Time)衡量交叉冲突严重度,THW 用于跟车间距预警。单一 criticality 指标导致拓扑不同的场景严重度系统性低估,漏判交叉路口 corner case。

G7 验证截止于仿真通过 — 仿真全通过后直接宣布验证完成,跳过试车场 + fleet 影子模式,结果路测时雨天探测失效率比仿真高 35%。仿真 credibility 再高也有建模误差,试车场(真车真传感可控复现)和影子模式(真实分布长尾)是验证金字塔必要的上层封顶,缺一不可。

以高速公路 AEB 功能"前车急刹-主车未制动"为最高 criticality 功能场景,用 PEGASUS 三层方法从功能场景到 GAMAB 验收全链打通,展示 G1-G7 陷阱的工程实操节奏。

Step 1 — 逻辑场景参数化

功能场景(自然语言):前车以 aobj 减速,主车以 Vego 跟行,初始车间距 dini,AEB 应在 FTTI=1.5 s 前施加制动。逻辑场景提取 6 参数:

均匀全网格需 50×5×4×7×3×3=63,000 条(G1 陷阱:里程≠覆盖);改用拉丁超立方采样 N=2,000 条,K-S 检验覆盖率相当(p>0.95),压缩 97%(G2 修正:聚焦采样)。

Step 2 — TTC 筛 critical scenarios

TTC 阈值 2.5 s:N=2,000 → 341 条 critical scenarios(17.1%)送搜索式测试;其余 1,659 条批量仿真通过,归 Area 1。

Step 3 — 搜索式测试 / falsification

遗传算法在 341 条参数邻域内最大化"TTC 亏缺"(触发时 TTC−FTTI),300 代迭代。发现失效族群:Vego=115–120 km/h × night × wet × dini<25 m × aobj<−7 m/s²。

代表失效用例:Vego=118 km/h、Δv=32 km/h、dini=22 m、aobj=−7.8 m/s²、night+wet。雷达在 wet+night 工况探测时延+100 ms(0.25 s→0.35 s);加处理 0.15 s+致动 0.15 s,反应链=0.65 s;TTCreact=22/(32 km/h=8.9 m/s)=2.47 s,但系统反应后可用制动距离<所需距离 → AEB 未能有效介入 → Area 2 失效场景已知化。

Step 4 — 根因修复与回验

根因:感知算法缺乏 CFAR 自适应阈值,湿路强反射引发虚警抑制致探测时延+100 ms。修复后探测时延恢复 0.25 s,反应链=0.55 s,TTCreact=2.47 s ≫ 0.55 s → Area 1 通过。

Step 5 — GAMAB 验收

人类驾驶基线反应时间 1.5 s;修复后 AEB 反应链 0.55 s → 提前 0.95 s 响应。5,000 仿真+40 PG+12,000 fleet shadow 在 95% 置信下统计上界:残余碰撞率<5% 人类基线 → GAMAB pass,证据链归档供 WP.29 NATM 准入提交。

三类边界工况在工程上最难处理,是真实项目延期或验证返工的常见来源:

C1 超宽 ODD 导致参数空间指数爆炸 — ODD 每新增一个维度(如加入 5 级天气×3 级能见度),LHS 所需采样量线性增大,而 SBT falsification 的搜索空间指数增长,收敛代数随维度数乘增。实践策略:先在 ODD 核心子域(高速+晴天+清晰车道线)跑满并通过,再按 criticality 排序逐步拓展边界子域(雨天→夜间→施工路段),避免一次性全 ODD 搜索发散不收敛。

C2 影子模式存在生存偏差 — fleet 日志只记录"司机未紧急干预"的场景:TTC<1.5 s 时司机先踩刹车/转向,AD 算法的潜在失误被掩盖。最危险的 corner case 在常规影子模式下系统性缺失。需主动建激进影子模式:同步记录司机操作与 AD 算法影子决策,专项检索"司机干预+AD 决策分歧"子集——这才是真正的 Area 3 挖掘源,而非常规 shadow log 的直接回灌。

C3 非确定性仿真破坏增量回归 — GPU 并行浮点非确定性(不同 seed 产生±0.3%浮点偏差)在传感器渲染模块中积累,同一具体场景两次运行结果不一致,增量回归无意义:改一个感知参数后无法区分真变化与噪声。确定性要求:渲染引擎必须锁定 seed+单线程浮点路径(代价:速度降 3–5×),或切到确定性 CPU-path 渲染。非确定性仿真只能用于探索性搜索,不可用作回归基线。