[논문 리뷰] Sensors, Safety Models and A System-Level Approach to Safe and Scalable Automated Vehicles

Jack Weast|arXiv (Cornell University)|2020. 09. 04.

Autonomous Vehicle Technology and Safety참고 문헌 6인용 수 4

한 줄 요약

이 논문은 자율주행차(AV)의 안전성에 대해 시스템 수준의 접근 방식을 제안하며, 카메라, 레이더, 라이다와 같은 상호보완적이고 독립적인 센서 서브시스템을 우선시하고, Reasonable and Responsible Safety(RSS)와 같은 검증 가능한 안전 모델을 결합한다. 안전 모델 준수에 영향을 주는 센서 장애만을 고려함으로써, 인간 운전자보다 10,000배 이상 높은 장애율을 달성할 수 있으며, 이는 고립된 센서 정확도가 아닌 아키텍처 설계를 통해 안전성의 확장성과 신뢰성을 확보하는 데 기여한다.

ABSTRACT

When considering the accuracy of sensors in an automated vehicle (AV), it is not sufficient to evaluate the performance of any given sensor in isolation. Rather, the performance of any individual sensor must be considered in the context of the overall system design. Techniques like redundancy and different sensing modalities can reduce the chances of a sensing failure. Additionally, the use of safety models is essential to understanding whether any particular sensing failure is relevant. Only when the entire system design is taken into account can one properly understand the meaning of safety-relevant sensing failures in an AV. In this paper, we will consider what should actually constitute a sensing failure, how safety models play an important role in mitigating potential failures, how a system-level approach to safety will deliver a safe and scalable AV, and what an acceptable sensing failure rate should be considering the full picture of an AV's architecture.

연구 동기 및 목표

• 자기차의 안전 관련 센서 장애를 고립된 센서 성능을 넘어서 정의하는 것.
• 다양한 센서 모odalities 간의 시스템 수준의 冗잔성과 독립성이 자율주행차의 안전성과 확장성에 크게 기여함을 보여주는 것.
• 의미 있는 센서 장애와 무해한 장애를 구분할 수 있는 검증 가능한 안전 모델(RSS)을 수립하는 것.
• MTBF를 기준으로 인간 성능을 초월하는 수용 가능한 센서 장애율을 정의하는 것.
• 독립된 서브시스템을 통해 초고신뢰성(예: MTBF 10^8시간)을 달성할 수 있으며, 이는 실현 불가능한 검증 기간을 피할 수 있음을 보여주는 것.

제안 방법

• 다양한 독립된 센서 서브시스템(예: 카메라 전용 및 레이더+라이다)이 병렬로 작동하도록 시스템 수준의 설계를 채택하여, 한 서브시스템이 고장 나도 계속 작동할 수 있도록 하는 것.
• Reasonable and Responsible Safety(RSS) 모델을 사용해 안전 준수 조건을 정의함으로써, RSS 준수에 영향을 주는 장애만을 핵심 장애로 간주하는 것.
• 독립된 서브시스템의 결합 장애율을 계산하기 위해 확률 모델링을 적용하여, p²가 전체 장애 확률을 크게 감소시킴을 보여주는 것.
• 전체 AV 시스템의 목표 MTBF를 10^7시간으로 설정하며, 이를 위해 각 독립 서브시스템이 실현 가능한 MTBF 10^4시간을 달성하도록 요구하는 것.
• 100台의 차량을 활용한 플릿 규모 테스트를 통해, 독립 채널에 검증을 분산시켜 수세기 분의 일정한 시간이 아닌 몇 개월 내에 검증을 완료하는 것.
• 결정 과정에 안전 여유를 도입함(예: 보조 거리 추가)으로써, 일시적 또는 경미한 센서 정확도 오류를 보완하면서도 안전성을 유지하는 것.

실험 결과

연구 질문

• RQ1 자율주행차에서 어떤 장애가 안전 관련 센서 장애로 간주되며, 언제 장애가 무의미하게 간주될 수 있는가?
• RQ2 다양한 센서 모달리티 간의 시스템 수준의 冗잔성과 독립성이 안전 핵심 장애의 확률을 어떻게 감소시킬 수 있는가?
• RQ3 RSS와 같은 검증 가능한 안전 모델이 무해한 장애와 위험한 장애를 얼마나 잘 구분할 수 있는가?
• RQ4 인간 운전자보다 훨씬 안전한 자율주행차를 확보하기 위해 필요한 MTBF 목표는 무엇이며, 이는 시스템 설계를 통해 실현 가능한가?
• RQ5 초고신뢰성 자율주행 센서의 검증 부담을 단일 고신뢰성 채널 대신 독립된 서브시스템을 사용함으로써 줄일 수 있는가?

주요 결과

• MTBF가 각각 10^4시간인 두 개의 독립된 센서 서브시스템을 갖춘 시스템은 총합 MTBF가 10^8시간을 달성하며, 이는 인간 운전자의 MTBF 50,000시간보다 10,000배 높은 수준이다.
• RSS 안전 모델 준수를 방해하는 장애만이 의미 있는 것으로 간주되며, 잘못된 경고나 먼 곳의 잘못된 부정성은 안전 장애로 간주되지 않는다.
• 단일 센서 채널을 통해 MTBF 10^8시간을 달성하려면 하루 2시간씩 매일 운전을 10,000년 동안 해야 하므로, 실제로 검증하기에는 실현 불가능하다.
• 100台의 AV가 병행 운영될 경우, 각 독립 서브시스템의 MTBF 10^4시간을 몇 개월 내에 검증할 수 있으며, 이는 검증 부담을 크게 줄이는 데 기여한다.
• RSS의 사용 덕분에, 최악의 가정을 결론 도출 과정에서 고려한다면 일시적인 분류 오류가 발생하더라도 안전한 운영이 가능하다.
• 독립된 센서 채널을 갖춘 시스템 수준의 설계를 통해, 개별 센서의 거의 0에 가까운 장애율을 요구하지 않더라도 인간 성능을 초월하는 확장성 있고 신뢰할 수 있는 자율주행차 안전 프레임워크를 확보할 수 있다.