Page 171 - 《软件学报》2026年第1期

168 软件学报 2026 年第 37 卷第 1 期

为带标记的 Petri 网, 分析交汇处的道路拓扑关系并进行聚类. 针对每一种道路结构, 该方法逐步添加静态障碍物,
测试自动驾驶系统的路径规划能力. ATLAS [69] 根据地图拓扑中形状、交通灯、车道数量将交汇处分类, 并从每类
中选择出代表性路段, 减小了地图中的测试范围. 与 CROUTE 不同, ATLAS 使用遗传算法生成多个动态 NPC, 使
测试场景更加复杂和多样. 实验结果表明, 与随机采样相比, ATLAS 减少了 29.1% 的测试用例.
另一些研究人员考虑环境中各种输入对象的组合. 例如, ComOpT [70] 对天气、道路和自车行为这 3 类输入进
行组合测试, 覆盖所有的抽象场景, 进而实例化参数生成具体场景, 在潜在碰撞位置生成特定运动轨迹的代理, 扰
动自动驾驶系统的行为. 该方法比随机生成方法多检测到 105 个违规行为. 部分研究不仅考虑环境中的对象, 还关
注车辆行为对系统工作状态的影响. PhysCov [71] 通过可达性分析确定了车辆的物理交互区域, 并用向量集抽象表
达该区域. 通过已知向量与潜在全部向量的比值计算环境状态覆盖率, 指导生成具有不同特征的测试场景.
4.2.3 小 结
为了测试自动驾驶系统, 研究人员迁移应用了软件测试的覆盖率思想. 由于自动驾驶软件代码结构和数据交
互复杂, 研究人员放弃使用代码覆盖率. 直观上, 通过构建更完善的场景库可以满足充分测试的要求. 但现实中场
景是长尾分布的, 伴随着突发情况或新元素的排列组合, 不断出现新的未知场景. 因此, 直接验证场景覆盖率的难
度很高, 当前研究通过覆盖驾驶决策或环境要素侧面证明测试充分性. 由于自动驾驶系统内部丰富的状态信息能
够帮助研究人员理解任务实现逻辑, 所以最近的工作也将车辆状态和参数纳入考量 [67,71] .

4.3 对抗样本生成
由于自动驾驶系统逐渐应用更多人工智能算法, 部分研究生成对抗样本测试其安全性. 由图 3 可知, 自动驾驶
系统的感知环节接收来自相机的图片数据和激光雷达的点云数据, 进行数据处理、融合和分析, 提供对外部环境
的理解. 对抗性测试会生成对抗性的图片和点云, 并注入仿真环境中, 破坏 AI 模型的输出结果. 因此, 当前存在大
量欺骗感知模块的工作. 然而, 这些工作可能无法在现实环境中对自动驾驶系统造成严重危害. Wang 等人 [72] 通过
理论分析和实验证明得出结论, 大部分针对感知模块的对抗攻击工作在闭环测试中效果很差, 无法导致整车系统
的状态发生偏移, 组件级攻击在系统层面通常无效. 因此, 本文主要关注能够引起系统级行为偏差的对抗样本生成
工作, 即以感知环节为攻击入口, 破坏自动驾驶系统整体的安全性. 为此, 需要将感知下游的规控组件、被控车辆
模型和驾驶环境都纳入考虑, 在仿真环境中部署扰动, 衡量驾驶模型对攻击的鲁棒性.
基于攻击针对的任务类型, 本节将对抗样本生成工作分为两类, 分类问题 [72–77] 和回归问题 [78–83] . 分类问题负
责为对象建立离散的标签, 回归问题用于预测未来趋势和走向. 例如, 在目标检测模型中, 目标识别属于分类任务,
目标跟踪属于回归任务. 表 3 对比了不同工作的攻击入口、对抗样本生成方法和对系统层面的影响.

表 3 对抗样本生成分类下的工作对比

文献 分类 攻击入口 对抗样本生成方法 对系统层面影响 ADS
[72] 相机 系统模型和优化算法 碰撞或违反交通规则 ①
[73] 相机 网格搜索 闯红灯或紧急制动 Apollo
[74] 激光雷达 优化算法和全局抽样 紧急制动或永久静止 Apollo
分类问题
[75] 激光雷达 优化算法和遗传算法 紧急制动或不规则变道 Apollo
[76] 多传感器融合 优化算法 碰撞 Apollo
[77] 多传感器融合 在视锥体范围生成欺骗点 碰撞或紧急制动 Apollo
[78] 相机 网格搜索和贝叶斯优化 车道违规行为或碰撞 ②
[79] 相机 优化算法 转向错误或碰撞 DriveNet [84]
[80] 相机 优化算法 偏离车道或碰撞 DAVE-2
回归问题
[81] 相机 神经网络和优化算法 碰撞或紧急制动 Apollo
[82] 相机 优化算法 沿攻击轨迹行驶 ②
[83] 相机 状态自适应和优化算法 偏离预期轨迹或碰撞 DAVE-2
注: ① 代表自动驾驶系统由多个部分组合, 包括传统目标检测器、基于卡尔曼滤波的多目标跟踪器、Apollo的规划模块、PID控
制器和Stanley控制器; ② 代表基于条件模仿学习的深度学习导航模型 [85]