我们无法通过对计算机编程来处理每种可能的驾驶情景，因此，当今的自动驾驶系统配备了像人类一样学习和思考的智能程序，以针对几乎每种情况做出正确决策。但是，如何验证这些程序的安全性呢？

答案是精心设计一款具有最大化安全性的嵌入式软件架构，以及一个可以通过数十亿种复杂驾驶情况来测试自动驾驶软件、以快速发现其缺点的平台。

交付一个既能够掌握每种想象得到的驾驶情况、又能够做出判断以确保车内乘员和行人安全的自动驾驶系统，是一项复杂而且艰巨的任务。例如，试想一下，为了研发相关规则以识别任何一个可能在城市街道上出现的行人、车辆或其他物体，工程师需要面临的挑战有多大。传统的需求-驱动编程法已经无法处理当今道路和公路上可能出现的大量潜在状况。

传统软件已经无法满足该需求，因此机器学习和深度学习成为了最新自动驾驶软件的核心组成部分

省去人工操作的自动驾驶系统依赖于深度学习算法，这些算法经过训练能够像人类一样具备识别能力，无需面对（例如去杂货店的路上）可能出现的每种情况即可自动识别该情景模式。 这些系统缺少用于验证传统安全关键型软件的详细预定义需求和架构。道路测试这种验证方法不切实际，因为它需要行驶数十亿英里来证明安全性和可靠性。Ansys SCADE 自动驾驶汽车开放式仿真平台集成了物理、电子、嵌入式系统和软件仿真，能够精确仿真整个自动驾驶系统。

通过将Ansys仿真平台、Ansys SCADE模型化研发工具与Edge Case Research（ECR）的Switchboard™自动化鲁棒性测试技术链接在一起，并结合 Ansys medini 功能安全性分析，工程师就能够在自动驾驶系统（包括使用深度学习的系统）中实现端到端的安全性。

从ADAS到自动驾驶

高级辅助驾驶系统（ADAS）被越来越多地用于当今的汽车中，以提醒驾驶员注意潜在问题，有时甚至能够控制车辆以避免碰撞。这些安全系统通常采用ISO 26262中定义的系统与嵌入式软件生命周期模型进行验证。利用V-模型，研发人员能够精心定义系统的详细需求和架构，然后有条不紊地验证系统能否满足每一项需求。 Ansys SCADE Suite 完整端到端模型化系统工程（MBSE）解决方案可帮助行业领先的汽车制造商研发安全系统。

完全自动驾驶系统的研发过程更加复杂，而且它必须基于机器学习/深度学习和控制逻辑的组合，以实现全自动汽车控制回路。控制回路由感知（汽车观察到什么情况）、动作计划（汽车计划采取什么行动）和动作执行（汽车如何完成计划）构成。该控制回路以循环方式执行，因此汽车可以根据环境的不断变化做出响应。但是，对于以机器学习为基础的自动驾驶系统而言，只有在研发人员证明它们能够实现高度安全性之后，才能向公众发布。

道路测试无疑是汽车研发过程中的重要环节，但却无法解决安全性验证问题。问题在于，道路测试主要包含一些常规事件，这对于人类或自动驾驶系统来说并不难。需要通过数十亿英里的道路测试来验证安全性，而且尽管这样，发生一次故障或更改一次代码就可能需要从零开始。

"省去人工操作的自动驾驶系统依赖于深度学习算法，这些算法经过训练能够具备识别能力，无需面对可能出现的每种情况即可自动识别该情景模式。"

解决安全性验证挑战

Ansys ADAS/自动驾驶汽车开放仿真平台通过将以下功能集成到一起，可以测试更多情景，并且所需的时间和成本仅为道路测试的几分之一：

驾驶情景仿真，包括利用精确传感器仿真（雷达、激光雷达、摄像头、GPS等）以及车辆动力学对自动驾驶汽车运行所在的虚拟世界和虚拟车辆本身进行建模。

经过ISO 26262标准认证的模型化研发工具，用于研发控制软件和人机接口（HMI）软件。

针对半导体和电子系统的信号完整性、热、结构和电磁可靠性进行优化。

所有物理场、嵌入式系统、软件仿真和代码生成功能的充分集成，可帮助自动驾驶系统的研发人员在统一平台上精确仿真完整的自动驾驶控制回路。驾驶情景模型利用动画来演示试驾中待测车辆以及其他车辆和物体的运动。传感器模型能够观察虚拟世界中的周围环境，并且输出传感器信号。信号处理模型和深度学习可从传感器数据中识别物体和驾驶条件。控制算法负责制定控制决策，生成致动器输入，并为乘客/操作人员显示信息和决策。车辆组件模型使用致动器输入，并计算车辆子系统（例如转向和制动）的响应。车辆动力学模型计算待测车辆的位置、速度和方向。

自动驾驶控制回路的仿真

Ansys自动驾驶车辆仿真架构

安全车辆的安全架构

尽管仿真比道路测试更快速、更高效，但仿真本身无法对感知、动作计划和动作执行等功能所用的复杂自动算法的安全性进行验证。

为此，工程师首先必须将自动驾驶汽车的整个软件架构根据感知、计划和执行功能分成多个组件。然后，他们必须设计一个架构，以确保每个组件的安全性。该架构基于DOER-CHECKER原则。

详细架构由基本算法（DOER）构成，该算法可能非常复杂，需要经常更新，而且难以进行验证。基本算法搭配相应的安全门（CHECKER），可用来验证基本算法的输出是否正确。如果安全门检测到问题，则由安全通道算法接管。这可以作为ECR团队成员在卡内基梅隆大学期间研发的双通道架构的基础（参见图表）。该架构包含一个负责生成长周期任务的主通道和一个负责生成短周期任务（例如将汽车停在路边）的安全通道。

利用该架构，在计划阶段即可检查计划的安全性。基本算法不需要满足最高级别（ISO 26262中的ASIL D）的安全目标；而是将这个职责分配给安全门。具体做法是为安全门建立详细的安全要求，使其实现方案满足ISO 26262中的ASIL D目标要求。以下示例对此进行了描述，由于检测到并排停放的车辆，图中汽车将会停止前行。

主通道生成一个没有定义结束状态的长周期任务，而安全通道则生成一个以安全状态结束的短周期任务

计划阶段的安全算法

"Ansys/ECR的合作可交付一系列完整的解决方案，以帮助验证和确认大多数高级自动驾驶系统的安全性。"

自动化鲁棒性测试可识别并诊断感知故障

确保感知的安全性则更为复杂；工程师不可能为检查感知输出是否正确与安全而创建一个安全门。因此，必须使用不同的技术来验证感知的安全性。ECR Switchboard通过自动化鲁棒性测试寻找故障，从而解决了该挑战（及其它挑战）

为证明感知安全性，需要多次接触那些对自动驾驶系统（和驾驶人员）具有挑战性的复杂状况。ECR Switchboard采用一种新颖的算法，它能够在无数种可能的测试中快速找出导致软件故障的测试案例，并理解故障发生的原因。它通过高维输入空间进行筛选，从而识别能够为模型测试提供信息的异常查询。它向自动驾驶系统发送大量混合的标称和异常输入，直到故障发生。然后，诊断故障的方法是通过归纳一个单一的故障触发输入生成一组输入，这些输入在涉及触发故障的字段值分配时起提示作用。该方法能够非常有效地找出导致系统故障的极端案例。

或许，大规模部署自动驾驶系统的最大挑战在于测试和调试机器学习和深度学习算法，因为这些算法没有明确的需求，并且需要确保其鲁棒性和安全性。Ansys利用其在多物理场仿真和安全关键型嵌入式软件仿真方面的丰富经验，提供了一种完整、自动化、并且包含世界唯一一款ISO 26262合规性代码生成器的驾驶仿真平台。现在，该平台又集成了ECR Switchboard鲁棒性测试平台，能够运行海量的仿真情景，同时侧重于研究复杂情景，以降低遗留的安全性验证风险。这种无缝的合作可提供一系列完整的解决方案，以帮助验证和确认大多数高级自动驾驶系统的安全性。

ECR Switchboard能识别感知故障