基于仿真的运行时验证：自动驾驶系统安全分析新框架及其在Autoware中的应用

本研究针对自动驾驶系统（ADS）在仿真测试中面临的交通参与者行为建模难、实时数据采集不全、安全要求验证不足等问题，提出了集成AWSIM-Script场景描述语言、Runtime Monitor运行时监控器和AW-Checker属性检查器的仿真验证框架。通过日本汽车制造商协会（JAMA）安全标准系统评估Autoware在切入/切出/减速等交通扰动场景下的表现，发现其高速工况下碰撞避免能力未达到谨慎人类驾驶员基准水平。该研究为ADS的标准化安全验证提供了可复现的技术路径。

随着自动驾驶技术的快速发展，如何确保自动驾驶系统（Autonomous Driving Systems, ADS）在复杂交通环境下的安全性成为行业核心挑战。真实道路测试不仅成本高昂，更存在巨大安全风险，而仿真测试虽能规避实际风险，却面临三大技术瓶颈：难以精准模拟多样化交通参与者行为、缺乏全链路实时数据采集机制、以及安全属性验证手段不足。针对这些痛点，日本先进科学技术研究所的研究团队在《IEEE Transactions on Reliability》发表最新研究，提出了基于仿真的运行时验证框架，并对开源自动驾驶平台Autoware进行了系统性安全评估。

为构建完整验证体系，研究团队开发了三项核心技术：AWSIM-Script场景描述语言支持通过脚本精准定义交通参与者轨迹与行为，有效提升了JAMA标准中236种场景的可复现性；Runtime Monitor以40Hz频率同步记录仿真环境 ground truth 数据与Autoware各模块（感知、规划等）内部状态，生成可用于离线验证的轨迹文件；AW-Checker则基于Maude LTL模型检查器，将安全要求形式化为线性时序逻辑（Linear Temporal Logic, LTL）公式进行自动化验证，同时支持系统级（如防碰撞）和组件级（如感知精度）属性验证。

实验设计与场景构建

研究聚焦JAMA标准定义的非交叉路口几何道路，重点评估三类交通扰动场景：车辆切入（Cut-in）、切出（Cut-out）和紧急减速（Deceleration）。团队通过AWSIM-Labs仿真器构建精细化测试环境，并针对Autoware默认配置的不足，将紧急制动减速度提升至8.33m/s²（0.85G）， jerk值调整为83.3m/s³，使其具备超越人类驾驶员的紧急响应能力。测试涵盖20-50km/h速度区间，横向速度梯度设置为0.6-1.6m/s，全面覆盖实际驾驶中的典型风险参数。

切入场景验证结果

在241组切入测试中，Autoware在高速（50km/h）与高横向速度（1.6m/s）组合场景下出现多次碰撞。对比JAMA谨慎驾驶员模型（Collision-preventable boundary）的安全边界，Autoware的路径预测算法存在系统性偏差——其感知模块始终假设周边车辆采用渐进式变道，而实际高速切入行为往往具有突发性，导致制动决策延迟。值得注意的是，激光雷达单独感知模式的表现优于摄像头-激光雷达融合模式，后者因机器学习检测算法的边界框交并比（IoU）低于0.3的比例达71%，反而引入感知噪声。

切出与减速场景分析

切出场景中，当自车以50km/h行驶时，Autoware对突然出现的障碍物检测距离仅19米，最大制动力仅达到5.0m/s²，无法满足20米制动距离需求。减速场景同样暴露感知延迟问题：在50km/h测试中，系统直到障碍物距离15米时才触发制动，远低于安全阈值。通过AW-Checker的时序属性验证（如ttc("npc1")>=2）发现，Time-to-Collision（TTC）预警机制在高速场景下普遍失效。

讨论与意义

本研究首次将JAMA安全标准转化为可执行的自动化验证流程，揭示了Autoware在高速动态场景下的性能局限。其核心价值在于建立了ADS安全评估的标准化基准——以谨慎人类驾驶员模型为最低安全要求，通过形式化验证手段量化系统风险。研究结果已反馈至Autoware开发团队，为其改进感知预测算法和紧急制动策略提供数据支撑。未来工作将扩展至交叉路口、行人交互等复杂场景，并探索恶劣天气等车辆扰动因素的建模方法。

该研究的创新性体现在三方面：方法论上开创了标准驱动（Standard-driven）的ADS验证范式，技术上实现仿真-监控-验证工具链闭环，工程上提供开源可复现的测试框架（https://github.com/duongtd23/AW-Runtime-Verification）。这套体系不仅适用于Autoware，更可扩展至其他自动驾驶平台，为行业建立统一的安全验证基准提供重要技术支撑。