Formal rule-based scenarios for the design of safe autonomous vehicles - TEL - Thèses en ligne Accéder directement au contenu
Thèse Année : 2022

Formal rule-based scenarios for the design of safe autonomous vehicles

Scénarios formels basés sur des règles pour la conception de véhicules autonomes sûrs

Résumé

The automotive industry is preparing to deploy fleets of Autonomous Vehicles (AVs), which raises both technical and social challenges.Indeed, acceptance of AVs from both users and public authorities requires proof of the safety, reliability, and security of the proposed solutions.Major errors from AVs cannot be tolerated by society who expects a close-to-zero accident policy. Considering the wide uncertainty in the AV's environment, we cannot use the otherwise successful, systematic, and exhaustive verification techniques. Therefore, we need to rely on the assume-guarantee approach in which we can enforce some guarantees on the vehicle's safety under a set of assumptions on the environment.This work addresses this topic by considering a scenario-based approach for known unsafe scenarios.Here safety is restricted to the acceptance of the Safety Of The Intended Functionality (SOTIF) standard, recently defined by ISO/PAS 21448. One proposal to assess safety is to test AVs in real traffic and observe their behavior.As logical as it may sound, it is neither feasible nor sufficient because it poses significant risks to the environment and requires a lot of testing, which makes it non-scalable and that does not guarantee to cover 100% of the possible, however unlikely, scenarios.What we propose is to precisely define scenarios in which we describe the environmental conditions, and we provide the risks and the measures to be taken when a hazard is identified.In this thesis, we design a process based on formal modeling and verification to give sufficient guarantees and build concrete evidence to ensure the safety of AV. We propose a formal language, called Extensible Platform for Safety Analysis of AVs (EPSAAV), to bridge the gap between safety requirements, usually expressed in a natural language, and the actual code embedded inside the vehicle. We use EPSAAV in the fashion of Model-Based System Engineering (MBSE) in a model-centric approach where artefacts and analyses are automatically derived from the model. We propose three instantiations of this language.First, we generate a safety report that can be used as a reference at the corporate level to disseminate the safety policy to be enforced in the company. Secondly, we generate a dedicated monitor to be interfaced with a chosen simulator. The operational semantics of this monitor are exploited in simulation to debug and identify ambiguities in scenarios.Typically this can be used by other teams to validate their work with regard to the global safety policy of the corporation.Third, we rely on the formal semantics of this language to detect inconsistencies that may arise from the safety requirements.For this purpose, we build a dedicated verification engine.Finally, to illustrate the feasibility of the proposed framework, we apply it to Renault-Nissan safety policy in full integration with the operational teams of Renault.
Les constructeurs automobiles se préparent à déployer des flottes de Véhicules Autonomes (VAs). Cela soulève des défis à la fois techniques et sociaux. En effet, l'acceptation tant par les usagers que par les pouvoirs publics nécessite de convaincre de la sûreté, de la fiabilité, et de la sécurité des solutions proposées. Les erreurs majeures commises par les AV ne peuvent être tolérées par la société, qui attend une politique proche du zéro accident. Compte tenu de la grande incertitude dans l'environnement des VAs, nous ne pouvons pas nous contenter d'utiliser uniquement les techniques de vérification systématiques et exhaustives. Par conséquent, nous devons nous appuyer sur l'approche hypothèse-garantie dans laquelle nous pouvons appliquer certaines garanties sur la sûreté de fonctionnement du véhicule à partir d'un ensemble d'hypothèses sur l'environnement. Ce travail aborde ce sujet en considérant une approche basée sur des scénarios pour les cas dangereux connus. La sûreté de fonctionnement se limite à l'acceptation de la norme Safety Of The Intended Functionality (SOTIF), récemment définie par la norme ISO/PAS 21448. Une proposition pour évaluer la sûreté de fonctionnement consiste à tester des VAs en circulation réelle et à observer leur comportement. Aussi logique que cela puisse paraître, cette méthode est difficilement réalisable et largement insuffisante car elle présente des risques importants pour l'environnement et nécessite de nombreux tests. Cette méthode est donc non évolutive et non exhaustive car il n'est pas possible de couvrir tous les scénarios possibles, et notamment ceux très peu probables, avec une occurrence très faible. Ce que nous proposons, c'est de définir précisément des scénarios dans lesquels nous décrivons les conditions de l'environnement ainsi que les risques et les mesures à prendre lorsqu'un danger est identifié. Dans cette thèse, nous concevons un processus basé sur la modélisation formelle et la vérification pour donner des garanties suffisantes et construire des preuves concrètes pour assurer la sûreté de fonctionnement du VA. Nous proposons un langage formel, appelé Extensible Platform for Safety Analysis of AVs (EPSAAV), pour combler l'écart entre les exigences de sûreté de fonctionnement, généralement exprimées en langage naturel, et le code réel intégré à l'intérieur du véhicule. Nous utilisons EPSAAV comme Model-Based System Engineering (MBSE) dans une approche centrée sur des modèles où les artefacts et les analyses sont automatiquement dérivés du modèle. Nous proposons trois instanciations de ce langage. Dans un premier temps, nous générons un rapport de sûreté de fonctionnement qui peut servir de référence au niveau de l'entreprise pour diffuser la politique de sûreté de fonctionnement à appliquer dans l'entreprise. Dans un second temps, nous générons un moniteur dédié pour s'interfacer avec un simulateur choisi. La sémantique opérationnelle de ce moniteur est exploitée en simulation pour déboguer et identifier les ambiguïtés dans les scénarios. Typiquement, cela peut être utilisé par d'autres équipes pour valider leur travail par rapport à la politique de sûreté de fonctionnement globale de l'entreprise. Troisièmement, nous nous appuyons sur la sémantique formelle de ce langage pour détecter les incohérences pouvant découler des exigences de sûreté de fonctionnement. À cette fin, nous construisons un moteur de vérification dédié. Enfin, pour illustrer la faisabilité de l'approche proposée, nous l'appliquons à la politique de sûreté de fonctionnement Renault-Nissan pleinement intégrée aux équipes opérationnelles du groupe Renault.
Fichier principal
Vignette du fichier
2022COAZ4031.pdf (8.83 Mo) Télécharger le fichier
Origine : Version validée par le jury (STAR)

Dates et versions

tel-03814686 , version 1 (14-10-2022)

Identifiants

  • HAL Id : tel-03814686 , version 1

Citer

Joelle Abou Faysal. Formal rule-based scenarios for the design of safe autonomous vehicles. Modeling and Simulation. Université Côte d'Azur, 2022. English. ⟨NNT : 2022COAZ4031⟩. ⟨tel-03814686⟩
152 Consultations
169 Téléchargements

Partager

Gmail Facebook X LinkedIn More