[論文レビュー] Sensors, Safety Models and A System-Level Approach to Safe and Scalable Automated Vehicles

Jack Weast|arXiv (Cornell University)|Sep 4, 2020

Autonomous Vehicle Technology and Safety参考文献 6被引用数 4

ひとこと要約

本論文は、自動運転車（AV）の安全確保のためのシステムレベルのアプローチを提案する。このアプローチでは、カメラ、レーダー、ライダーといった独立したセンシングサブシステムを冗長に組み合わせ、妥当で検証可能な安全モデル（例：合理的かつ責任ある安全基準：RSS）を採用する。安全モデルへの準拠不能を引き起こす可能性があるセンシング障害にのみ注目することで、人間ドライバー比で10,000倍も優れた故障率を達成でき、個々のセンサの精度に依存せず、アーキテクチャ設計によるスケーラブルで信頼できる安全確保が可能であると主張する。

ABSTRACT

When considering the accuracy of sensors in an automated vehicle (AV), it is not sufficient to evaluate the performance of any given sensor in isolation. Rather, the performance of any individual sensor must be considered in the context of the overall system design. Techniques like redundancy and different sensing modalities can reduce the chances of a sensing failure. Additionally, the use of safety models is essential to understanding whether any particular sensing failure is relevant. Only when the entire system design is taken into account can one properly understand the meaning of safety-relevant sensing failures in an AV. In this paper, we will consider what should actually constitute a sensing failure, how safety models play an important role in mitigating potential failures, how a system-level approach to safety will deliver a safe and scalable AV, and what an acceptable sensing failure rate should be considering the full picture of an AV's architecture.

研究の動機と目的

• 自動運転車における安全関連センシング障害の定義を、個々のセンサ性能の範囲を越えて再定義すること。
• 複数のセンシングモダリティにわたるシステムレベルの冗長性と独立性が、AVの安全性とスケーラビリティを著しく向上させることを示すこと。
• 意味のあるセンシング障害と無害な障害を区別できる検証可能な安全モデル（RSS）を確立すること。
• MTBFを基準として用い、人間ドライバーを上回る許容可能なセンシング障害率を定義すること。
• 独立したサブシステムを用いることで、10^8時間のMTBFを達成可能な設計が可能であり、不切実な検証期間を回避できることを示すこと。

提案手法

• 複数の独立したセンシングサブシステム（例：カメラオンリー、レーダー＋ライダー）を並列に運用するシステムレベル設計を採用し、1つのサブシステムが故障しても継続運用が可能となるようにする。
• 安全準拠を定義するための合理的かつ責任ある安全基準（RSS）モデルを用い、RSS準拠に影響を与える障害のみを重要視する。
• 確率的モデリングを適用して、独立したサブシステムの結合故障率を計算し、p²が総合的な故障確率を顕著に低減することを示す。
• AV全体のMTBFを10^7時間に設定し、各独立サブシステムがより現実的なMTBF（10^4時間）を達成すれば実現可能であることを示す。
• 100台のAVを並列で運用することで、検証を独立したチャネルに分散させ、数か月で検証が可能となり、検証負荷を著しく軽減する。
• 意思決定に安全余裕（例：バッファ距離の追加）を導入することで、一時的または軽微なセンシング誤差に対しても安全を維持できる。

実験結果

リサーチクエスチョン

• RQ1 自動運転車における安全関連センシング障害とは何か。また、何時から障害が無関係と見なせるのか。
• RQ2 複数のセンシングモダリティにわたるシステムレベルの冗長性と独立性は、安全に深刻な障害の発生確率をどのように低減できるか。
• RQ3 RSSのような検証可能な安全モデルは、無害な障害と危険な障害をどの程度正確に区別できるか。
• RQ4 人間ドライバーを著しく上回る安全性を実現するためには、AVにどのMTBF目標が必要か。また、システム設計によって達成可能か。
• RQ5 単一の高信頼性チャネルに依存するのではなく、独立したサブシステムを用いることで、超信頼性AVセンシングの検証負荷を軽減できるか。

主な発見

• MTBFが10^4時間の独立した2つのセンシングサブシステムを備えたシステムは、全体としてMTBFが10^8時間に達し、人間ドライバーのMTBF（50,000時間）と比較して10,000倍も優れた信頼性を達成する。
• RSS安全基準への準拠不能を引き起こす障害のみが意味のある障害とみなされ、誤検出や遠距離の誤検出は安全障害としてカウントされない。
• 単一のセンシングチャネルでMTBFを10^8時間に達成するには、1日2時間の走行を10,000年間継続する必要があり、実際には検証が不可能である。
• 100台のAVが並列で運用される場合、各独立サブシステムのMTBFを10^4時間に達成する検証は数か月で可能となり、検証負荷が著しく軽減される。
• RSSの使用により、最悪ケースの仮定を意思決定に組み込む限り、一時的な分類誤差が生じても安全な運行が可能である。
• 独立したセンシングチャネルを備えたシステムレベル設計により、個々のセンサがほぼゼロ障害率を達成する必要がなく、人間の性能を上回るスケーラブルで信頼できるAV安全フレームワークを実現できる。