本研究的貢獻

DriveFI的Bayesian FI框架能夠通過對ADS在故障下的行為進行因果推理和反事實推理，從而發(fā)現(xiàn)關(guān)鍵安全情況和故障。

它通過(a)以車輛運動學和AV架構(gòu)的形式整合領(lǐng)域知識，(b)基于橫向和縱向停車距離的安全建模，(c)使用真實的故障模型來模擬軟件錯誤，從而做到這一點。(a)、(b)和(c)被集成到一個貝葉斯網(wǎng)絡(luò)(BN)中。

BN提供了一種有利的形式化方法，即用可解釋的模型來對故障在AV系統(tǒng)組件之間的傳播進行建模。該模型與故障注入結(jié)果可用于設(shè)計和評估AV的安全性。

此外，BN支持快速概率推理，這使得DriveFI能夠快速找到對安全關(guān)鍵的故障。

Bayesian FI框架可以擴展到其他安全關(guān)鍵系統(tǒng)(如手術(shù)機器人)。該框架要求對安全約束條件和系統(tǒng)軟件架構(gòu)進行規(guī)范，以建模系統(tǒng)子組件之間的因果關(guān)系。

自動駕駛汽車的自主系統(tǒng)和機械系統(tǒng)，及其與DriveFI的交互作用。

研究小組在兩個工業(yè)級的4級ADS上演示了這種方法的能力和通用性，分別是DriveAV(NVIDIA的專有ADS)和Apollo 3.0(百度的開源ADS)。

結(jié)果

研究團隊使用三種故障模型：(a)非ECC保護的處理器結(jié)構(gòu)中的隨機故障和一致故障；(b) ADS軟件模塊輸出中的隨機故障和一致故障；(c) ADS模塊輸出中被Bayesian FI損壞的故障。

主要結(jié)果包括：

使用錯誤模型(b)，我們編制了一個包含98,400個錯誤的列表。在模擬的駕駛場景中，如果要對所有98,400個故障進行徹底的評估需要615天。相比之下，Bayesian FI能夠在不到4小時的時間內(nèi)找到561個對AV安全性影響最大的故障。也就是說，Bayesian FI比傳統(tǒng)方法快了3690倍。

Bayesian FI能夠發(fā)現(xiàn)導致安全隱患的關(guān)鍵故障和場景。(a)在561個已確定的故障中，460個顯示為安全隱患。(b)這460個故障與68個安全關(guān)鍵場景有關(guān)(總共7200個場景)。

通過對挖掘出的關(guān)鍵故障進行檢測，發(fā)現(xiàn)最容易發(fā)生車輛碰撞事故的ADS模塊輸出前3位分別是節(jié)氣門值(561個關(guān)鍵故障中的24%)、PID控制器輸入(18%)和傳感器融合障礙類值(15%)。Bayesian FI用于創(chuàng)建違反車道的目標的ADS模塊輸出是：(a)車道類型值(2%)、(b)油門(1.4%)、(c)轉(zhuǎn)向(1.4%)。56%的故障類型從未被Bayesian FI使用過；例如Bayesian FI從未注入到相機傳感器對象分類模塊的輸出中。

使用FI 獲得的故障/錯誤影響表征

相比之下，在5000次random FI試驗的幾周內(nèi)，沒有發(fā)現(xiàn)一個安全隱患。只有1.93%的單比特注入導致了靜態(tài)數(shù)據(jù)損壞(SDC)，從而導致啟動錯誤。ADS從所有這些錯誤中恢復了，沒有任何安全違規(guī)。在7.35%的FIs中，發(fā)生了內(nèi)核恐慌和死機。預期可以通過AV中現(xiàn)有的備份/冗余系統(tǒng)從這些故障中恢復。

作者表示，Bayesian FI方法挖掘關(guān)鍵情況將具有比故障注入法更廣泛的適用性。結(jié)合一系列故障注入實驗的結(jié)果來創(chuàng)建一個情況庫，將有助于制造商制定AV測試和安全駕駛的規(guī)則和條件。

自動駕駛問題多，離真正上路還有多遠？

這項新研究表明，即使像百度、英偉達這些大廠的自動駕駛技術(shù)也存在不少問題，而且自動駕駛技術(shù)還有很多不能妥善處理情況，往往要依靠人類駕駛員來接管。

對于自動駕駛這一新生事物，安全性是最受關(guān)注的，以至于一旦無人車發(fā)生事故立刻就會成爆炸新聞。自2016年初以來，加州共報告了111起涉及自動駕駛汽車的撞車事故（這還不包括可能造成的事故風險）。根據(jù)對DMV報告的分析，其中71起事故發(fā)生時，車輛處于自動駕駛模式。其中，有接近70%涉及自動駕駛車輛被追尾事故。

最典型的是Uber去年3月的“全球首起無人駕駛致死”事故：一輛處于自動駕駛模式的Uber無人車在道路測試時發(fā)生致死車禍。

事件發(fā)生于鳳凰城以東11英里的Tempe鎮(zhèn)。當時，Uber無人車正在向北行駛，一名女子在人行橫道外穿，被車輛撞倒，被送往醫(yī)院后，由于傷勢過重死亡。

盡管經(jīng)過近一年的調(diào)查后證明，Uber在這起事故中不擔刑責，但事故直接導致Uber自動駕駛業(yè)務(wù)元氣大傷。

對自動駕駛技術(shù)頗為激進的特斯拉，其Autopilot自動駕駛儀也頻頻發(fā)生事故，包括一起“一輛Model X在自動駕駛模式下撞上高速公路護欄”的致死事故，裝上卡車、追尾消防車等等，每一起事故都沖擊著大眾對自動駕駛的信任度。

特斯拉自動駕駛致死車禍

這樣看來，在無人車上路前就檢測到可能存在的自動駕駛系統(tǒng)的故障顯得尤為重要。對于伊利諾伊大學香檳分校的研究團隊在4小時內(nèi)發(fā)現(xiàn)了百度Apollo 3.0、英偉達DriveAV系統(tǒng)存在561個故障，你怎么看？你覺得自動駕駛什么時候才能真正上路呢？

參考鏈接：

https://www.sciencedaily.com/releases/2019/10/191025170813.htm

https://arxiv.org/pdf/1907.01051.pdf