AD-23 — Senaryo Tabanlı Test Metodolojisi ve Güvenlik Metrikleri

FACT — Otoyolda kat edilen kilometrelerin ezici çoğunluğu (%99’un üzerinde) olaysızdır: düz şerit, sabit hız, öngörülebilir trafik. Klasik otomotiv testi (“şu belirli parkuru sür, şu belirli kontrolleri yap”) bu yüzden otonom sürüş için yetersizdir — sistemin gerçekten sınandığı yer, o %99’un dışında kalan az sayıda ama kritik durumdur. Bu ders, o kritik durumları sistematik olarak tanımlayan senaryo tabanlı test metodolojisini ve bir senaryonun ne kadar “kritik” veya “güvenli” geçtiğini sayısal olarak ölçen güvenlik metriklerini ele alır.

Bu derste şunları öğreneceksin:

1. Neden Sabit Test Prosedürleri Yetersiz Kalır — sonsuz durum uzayı problemi.
2. Senaryo Hiyerarşisi — fonksiyonel, mantıksal ve somut senaryolar; tek şablondan çok sayıda varyasyon.
3. ASAM OpenDRIVE ve OpenSCENARIO — senaryoları simülatörler arasında taşınabilir kılan standartlar.
4. Güvenlik Metrikleri — TTC, ETTC, PET, DRAC; AD-12’deki AEB eşikleriyle bağlantı.
5. RSS (Responsibility-Sensitive Safety) — matematiksel/kanıtlanabilir bir güvenlik zarfı.
6. Euro NCAP Test Protokolleri — standartlaştırılmış gerçek dünya senaryoları.
7. Uygulamalı Örnek — bir yaya geçiş senaryosunun uçtan uca parametrelendirilmesi.

---

1. Neden Sabit Test Prosedürleri Yetersiz Kalır

Geleneksel otomotiv testi (örneğin “şu frenleme mesafesini şu hızda ölç”, “şu virajı şu yarıçapta al”) sonlu, önceden tanımlanmış bir kontrol listesine dayanır — çünkü klasik bir aracın davranışı büyük ölçüde deterministik mekanik/elektronik alt sistemlerden ibarettir ve sonlu sayıda test bu sistemleri kapsamaya yeter.

Otonom sürüş sistemi ise sürekli olarak etkin biçimde sonsuz çeşitlilikteki gerçek dünya durumlarını yorumlamak ve tepki vermek zorundadır: farklı hız kombinasyonlarında farklı davranan farklı yol kullanıcıları, farklı ışık/hava koşulları, farklı yol geometrileri. Bu durum uzayını sabit bir kontrol listesiyle kapsamak imkansızdır.

CRITICAL — Sabit test prosedürünün başarısızlık nedeni bir sayı problemidir: eğer bir “kesişme” senaryosunda yalnızca 4 parametre (ego hızı, hedef hızı, hedefin yanal hızı, başlangıç mesafesi) her biri 10 farklı değer alabiliyorsa, bu tek senaryo ailesi zaten $10^4 = 10.000$ farklı somut test durumu üretir. Gerçek dünyada onlarca böyle senaryo ailesi ve çok daha fazla parametre vardır. Sabit bir “şunu şu şekilde test et” listesi bu kombinatoryal patlamayı asla kapsayamaz — bu yüzden endüstri senaryo tabanlı test (scenario-based testing) metodolojisine geçmiştir: sabit test durumları yerine, parametrelendirilmiş şablonlar tanımlanır ve bu şablonlar sistematik olarak taranır.

Bu şablonlar üç kaynaktan türetilir: (1) gerçek kaza ve ramak-kala (near-miss) verileri, (2) alan uzmanı bilgisi (trafik mühendisleri, test sürücüleri), (3) sistematik kombinatoryal/uç-parametre taraması (parametre uzayının sınır bölgelerinin bilinçli olarak hedeflenmesi). Üretilen senaryo kütüphanesi, AD-22 — Doğrulama ve Onaylama: MIL, SIL, HIL, VIL, Pist ve Simülasyon’de anlatılan piramidin özellikle MIL/SIL katmanlarında bütünüyle koşulur, çünkü ancak bulut ölçeğinde binlerce paralel koşum bu kütüphaneyi ekonomik biçimde taramaya izin verir.

---

2. Senaryo Hiyerarşisi: Fonksiyonel, Mantıksal, Somut

ISO 21448 (SOTIF) ve Alman PEGASUS araştırma konsorsiyumu kapsamında senaryolar üç soyutlama katmanında tanımlanır:

+--------------------------------------------------------------------------+
| 1. FONKSİYONEL SENARYO — İnsan Diliyle Tanım                             |
|    "Otoyolda sol şeritten bir araç aniden önümüze kırıyor (cut-in)."     |
+--------------------------------------------------------------------------+
                                    |
                                    v
+--------------------------------------------------------------------------+
| 2. MANTIKSAL SENARYO — Parametre Aralıkları                              |
|    - Ego hızı:           v_ego   in [80, 130] km/h                       |
|    - Hedef aracın hızı:  v_hedef in [60, 110] km/h                       |
|    - Yanal geçiş hızı:   v_yanal in [0.5, 3.5] m/s                       |
|    - Başlangıç mesafesi: d_rel   in [5, 40] m                            |
+--------------------------------------------------------------------------+
                                    |
                                    v
+--------------------------------------------------------------------------+
| 3. SOMUT SENARYO — Tek Bir Deterministik Test Koşumu                     |
|    v_ego = 100 km/h, v_hedef = 80 km/h, v_yanal = 2.0 m/s, d_rel = 15 m  |
+--------------------------------------------------------------------------+

Mantıksal senaryodaki her parametre sürekli bir aralık tanımladığından, tek bir mantıksal senaryo teorik olarak sonsuz sayıda somut senaryo üretebilir. Pratikte mühendisler iki teknikle bu uzayı yönetilebilir hale getirir:

• Kombinatoryal Test Tasarımı: Parametreler ızgara (grid) veya Latin hiperküp örnekleme ile sistematik olarak taranır; her parametrenin uç değerleri (minimum, maksimum, sınır) özellikle hedeflenir çünkü kritik davranış genellikle sınırlarda ortaya çıkar.
• Kritiklik Tabanlı Örnekleme (Criticality-Based Sampling): Rastgele tarama yerine, önceki koşumlarda çarpışmaya veya düşük güvenlik marjına (bkz. §4) yakın sonuçlar üreten parametre bölgelerine arama algoritması (ör. Bayes optimizasyonu, evrimsel algoritma) yoğunlaştırılır — amaç “en kritik” somut senaryoları rastgele aramaktan çok daha az koşumla bulmaktır.

---

3. ASAM OpenDRIVE ve OpenSCENARIO

Farklı simülatörler (CARLA, dSPACE, IPG CarMaker, VIRES VTD gibi), farklı OEM’ler ve farklı test tesisleri arasında senaryoları taşınabilir kılmak için endüstri ASAM açık standartlarını kullanır:

• ASAM OpenDRIVE: Yol ağının statik geometrisini — şerit genişlikleri, eğim/kavis profilleri, kavşak bağlantıları, trafik işaretleri, yol yüzeyi özellikleri — yapılandırılmış XML formatında tanımlar.
• ASAM OpenSCENARIO: Yol üzerindeki dinamik aktörlerin hareketlerini, tetikleyicileri (triggers), manevraları ve çevresel koşulları (hava durumu, ışık) tanımlar. OpenSCENARIO 2.0, kural tabanlı ve olasılıksal kısıtları destekleyen bir alana özgü dil (DSL) içerir — böylece “araç X, araç Y’ye 15-25 metre yaklaştığında %80 olasılıkla şerit değiştirir” gibi olasılıksal davranışlar da tanımlanabilir.

Bu ikili standart sayesinde bir mühendis Almanya’da tanımladığı bir “cut-in” senaryosunu, hiçbir yeniden kodlama yapmadan başka bir ülkedeki başka bir simülatörde veya HIL test kabininde koşabilir.

---

4. Güvenlik Metrikleri

Bir senaryonun ne kadar “kritik” geçtiğini — çarpışma olmasa bile ne kadar “yakın” olduğunu — ölçmek için deterministik, matematiksel metrikler kullanılır.

A. Time-to-Collision (TTC)

Öndeki aracın ego araçtan daha yavaş olduğu ($v_{ego} > v_{lead}$) doğrusal takip durumunda, mevcut hız farkı sabit kalırsa çarpışmaya kalan süre:

$TTC = \frac{d_{rel}}{v_{rel}} = \frac{x_{lead} - x_{ego}}{v_{ego} - v_{lead}}$

INTERPRETATION — TTC yalnızca bir çarpışma göstergesi değildir, aynı zamanda bir “ramak kala” (close call) göstergesidir. AD-12 — Temel ADAS Özellikleri: AEB, ACC, LKA, LCA, BSD, RCTA ve TSR’de gördüğümüz gibi üretim AEB sistemleri kademeli TTC eşikleri kullanır (~2.7 s’de uyarı, ~2.0 s’de ön basınç, ~1.6 s’de kısmi frenleme, ~1.2 s’de tam acil fren). Bir senaryo testinde sistem çarpışmayı engellese bile, koşum boyunca ölçülen minimum TTC değeri düşükse (ör. 0.9 s’ye kadar düşüp sonra toparlanmışsa), bu senaryo yine de “işaretlenmeye” değer bir yakın-ıskalama olarak kaydedilir — çünkü gerçek dünyada birkaç santimetrelik veya birkaç milisaniyelik bir fark sonucu tersine çevirebilirdi. Bu yüzden senaryo kütüphaneleri yalnızca “çarptı mı / çarpmadı mı” ikili sonucunu değil, minimum TTC dağılımını da izler.

• $TTC < 1.5 \text{ s}$: Standart uyarı/aktif frenleme eşiği.
• $TTC < 0.8 \text{ s}$: Fiziksel olarak kaçınılması giderek zorlaşan kritik sınır (maksimum ivme gerektirir).

B. Enhanced TTC (ETTC)

Araçların ivmelerini de ($a_{ego}, a_{lead}$) hesaba katan, ikinci dereceden bir denklemin en küçük pozitif kökü:

$\Delta x(t) = d_{rel} - (v_{ego} - v_{lead})\,t - \frac{1}{2}(a_{ego} - a_{lead})\,t^2 = 0$

Sabit hız varsayan TTC’nin aksine ETTC, öndeki aracın fren yaptığı veya ego aracın hızlandığı dinamik senaryolarda daha gerçekçi bir tahmin verir.

C. Post-Encroachment Time (PET)

Kavşak ve kesişme senaryolarında — araçların yön vektörleri doğrusal olmadığından TTC’nin tanımsız kaldığı durumlarda — birinci aracın çatışma noktasını (conflict point) terk ettiği an ile ikinci aracın aynı noktaya ulaştığı an arasındaki zaman farkıdır:

$PET = t_{giris,2} - t_{cikis,1}$

• $PET < 1.0 \text{ s}$: Çok yüksek çarpışma riski taşıyan kritik kavşak geçişi.

D. Deceleration Rate to Avoid Collision (DRAC)

Çarpışmayı önlemek için ego aracın uygulaması gereken asgari sabit yavaşlama ivmesidir:

$DRAC = \frac{(v_{ego} - v_{lead})^2}{2 \cdot d_{rel}}$

FACT — Kuru asfaltta binek araçlar için acil durumda ulaşılabilecek maksimum fren ivmesi yaklaşık $8.5-9.5 \text{ m/s}^2$ ($\approx 0.9g$)‘dir. Islak zeminde bu sınır $5-6 \text{ m/s}^2$‘ye, karlı/buzlu zeminde $1.5-2 \text{ m/s}^2$‘ye düşer. Hesaplanan DRAC, zeminin sürtünme sınırını ($\mu \cdot g$) aştığında kaza fiziksel olarak önlenemez — bu, bir senaryonun “sistem hatası” mı yoksa “fiziğin izin vermediği” bir durum mu olduğunu ayırt etmek için kullanılan nesnel bir eşiktir.

---

5. RSS (Responsibility-Sensitive Safety) Modeli

Buraya kadar anlatılan metrikler (TTC, PET, DRAC) istatistiksel/simülasyon tabanlı güven üretir: sistemi binlerce/milyonlarca senaryo varyasyonuna karşı koşturup sonuçları toplarsınız — ama bu hiçbir zaman “bu sistem asla kaza yapmayacak” biçiminde matematiksel bir kanıt vermez, yalnızca “test edilen senaryo uzayında güvenli davrandı” der.

RSS (Responsibility-Sensitive Safety), 2017’de Mobileye tarafından önerilen, bunun yerine matematiksel olarak kanıtlanabilir bir güvenlik zarfı tanımlamayı amaçlayan formel bir modeldir. RSS’in temel değer önerisi şudur: fizik kurallarından (tepki süresi + her iki aracın frenleme kapasitesi) türetilmiş bir minimum takip/yanal mesafe tanımlanır ve eğer araç her zaman bu mesafeyi koruyorsa, model matematiksel olarak aracın “kusurlu taraf” olmayacağını garanti eder — bu, milyonlarca simülasyon koşumunun toplamından çıkan istatistiksel bir güvenden temelde farklı, denetlenebilir/kanıtlanabilir bir garantidir.

INTERPRETATION — RSS, otomotiv endüstrisinde kullanılan bu tür formel güvenlik zarfı çerçevelerinden yalnızca biridir, evrensel bir standart değildir — başka üreticiler ve araştırma grupları benzer amaçla farklı formel modeller (ör. “Safety Force Field” gibi) geliştirmiştir. RSS’in katkısı, senaryo tabanlı istatistiksel testin tamamlayıcısı olarak, “bu spesifik matematiksel kural her zaman uygulanırsa, sorumluluk asla ego araca ait olmaz” biçiminde denetlenebilir bir iddia sunmasıdır — istatistiksel test kapsamı ne kadar geniş olursa olsun asla test edilmemiş bir senaryoyla karşılaşma riskini sıfırlamaz, RSS gibi bir formel model ise (varsayımları doğruysa) o riski tanım gereği kapatır.

RSS beş temel kurala dayanır:

1. Arkadan gelen araç öndeki araca çarpmamalıdır (boyuna emniyet mesafesi).
2. Yan şeritten dikkatsizce önüne geçilmemelidir (yanal emniyet mesafesi).
3. Geçiş önceliği (right-of-way) verilir, zorla alınmaz.
4. Görüşün kısıtlı olduğu alanlarda temkinli davranılır.
5. Bir kazadan başka bir kazaya yol açmadan kaçınılabiliyorsa, kaçınılmalıdır.

Boyuna minimum emniyet mesafesi ($d_{min}$), kural 1’in matematiksel karşılığıdır:

$d_{min} = \left[ v_{ego}\,\rho + \frac{1}{2} a_{max,accel}\,\rho^2 + \frac{(v_{ego} + \rho\, a_{max,accel})^2}{2\, a_{min,brake}} \right] - \frac{v_{lead}^2}{2\, a_{max,brake}}$

Burada:

• $\rho$: Sistemin algılama ve eyleyici tepki süresi (ör. 0.3-0.5 s bir tasarım varsayımı olarak alınır).
• $a_{max,accel}$: Ego aracın tepki süresi boyunca yapabileceği en kötü durum ivmelenme.
• $a_{min,brake}$: Ego aracın garanti edilen minimum frenleme kapasitesi.
• $a_{max,brake}$: Öndeki aracın uygulayabileceği en sert fiziksel fren ivmesi (en kötü durum varsayımı).

WARNING — RSS gibi formel modeller yalnızca kendi varsayımları doğru olduğu sürece garanti sağlar — örneğin $a_{max,brake}$ olarak varsayılan değerden daha sert frenleyen fiziksel olarak anormal bir araç, ya da $\rho$‘dan daha uzun süren bir algılama gecikmesi modelin garantisini geçersiz kılar. Bu yüzden RSS, senaryo tabanlı istatistiksel testin yerine değil, yanında kullanılan bir katmandır.

---

6. Euro NCAP Test Protokolleri

Euro NCAP, aktif güvenlik testlerinde yukarıdaki metriklerin uygulandığı standartlaştırılmış somut senaryolar tanımlar:

Protokol	Tanım	Tipik Hız Aralığı
CCRs (Car-to-Car Rear Stationary)	Ego araç duran bir araca yaklaşır	$10-50 \text{ km/h}$
CCRm (Car-to-Car Rear Moving)	Ego araç sabit hızda ilerleyen bir araca yaklaşır	Ego $30-80$, hedef $20 \text{ km/h}$
CCRb (Car-to-Car Rear Braking)	Her iki araç seyir halindeyken öndeki araç sert fren yapar	$50 \text{ km/h}$, öndeki $-4 \text{ m/s}^2$
CPNA/CPFA (Car-to-Pedestrian Nearside/Farside Adult)	Park halindeki araçlar arasından yola çıkan yayaya karşı AEB	Değişken

---

7. Uygulamalı Örnek: Bir Yaya Geçiş Senaryosu

Yukarıdaki hiyerarşiyi uçtan uca somutlaştıralım — bir yayanın ego aracın önüne belirli bir mesafeden, belirli bir hızla çıktığı senaryo:

Fonksiyonel senaryo: “Park halindeki araçların arasından bir yaya, ego aracın X metre önünden, Y yürüme hızıyla geçiyor; ego araç Z hızıyla ilerliyor.”

Mantıksal senaryo — parametre aralıkları:

Parametre	Sembol	Aralık
Yayanın çıkış mesafesi	$X$	$[10, 40]$ m
Yayanın yürüme hızı	$Y$	$[1.0, 2.5]$ m/s
Ego araç hızı	$Z$	$[20, 60]$ km/h
Görüş engeli (park araç yüksekliği)	$h$	$[0, 1.8]$ m

Bu tek şablon, dört parametrenin her biri yalnızca 5 ayrık değer alsa bile $5^4 = 625$ farklı somut senaryo üretir; kritiklik tabanlı örnekleme, bu 625 içinden minimum TTC’nin en düşük çıktığı — yani AEB’nin en zor karar vereceği — kombinasyonları önceliklendirerek MIL/SIL ölçeğinde taranmasını sağlar.

Somut senaryo örneği: $X = 15\text{ m}$, $Y = 1.5\text{ m/s}$, $Z = 40\text{ km/h}$, $h = 1.5\text{ m}$ — bu tek deterministik koşum, sistemin gerçek zaman adımı bazında ($10-50\text{ ms}$ çözünürlükte) simüle edilir ve minimum TTC, PET (yaya ile ego aracın çatışma noktasına göre) ve varsa DRAC değeri kaydedilir.

---

Sıkça Sorulan Sorular (FAQ)

S: TTC neden dönel kavşaklarda tek başına yetersiz kalır? C: TTC doğrusal, aynı şeritte hareket varsayar. Dönel kavşaklarda veya çapraz kesişimlerde araçların yön vektörleri farklıdır ve ortak bir "$d_{rel}/v_{rel}$" tanımı yoktur. Bu tür senaryolarda §4.C’de tanımlanan PET (Post-Encroachment Time) kullanılır.

S: Neden otonom araç senaryolarına sadece frenleme değil, kaçınma manevrası (evasive steering) da dahil edilir? C: Yüksek hızlarda (ör. $120 \text{ km/h}$ otoyolda), kısa bir mesafede yalnızca frenleyerek durmak fiziksel olarak imkansız olabilir ($DRAC > 30 \text{ m/s}^2$, §4.D’deki sürtünme sınırını aşar). Ancak boş bir emniyet şeridine yalnızca $0.3g$ yanal ivmeyle direksiyon kırmak kazayı tamamen önleyebilir — bu yüzden senaryo kütüphaneleri hem boyuna hem yanal kaçış manevralarını içerir.

S: RSS her üreticinin kullandığı zorunlu bir standart mıdır?

INTERPRETATION — Hayır. RSS, Mobileye’nin 2017’de önerdiği ve açık biçimde yayımladığı bir formel modeldir; bazı üreticiler benimsemiş, bazıları kendi benzer çerçevelerini geliştirmiştir. Herhangi bir düzenleyici kurum tarafından zorunlu kılınan tek bir evrensel matematiksel model yoktur — ama “matematiksel olarak kanıtlanabilir bir güvenlik zarfı tanımlama” fikri, sadece istatistiksel simülasyon testine güvenmenin ötesine geçmek isteyen çoğu ciddi AV geliştiricisinin yol haritasında yer alır.

---

Özet

• Sabit test prosedürleri, otonom sürüşün kombinatoryal olarak patlayan durum uzayını kapsayamaz; bunun yerine senaryo tabanlı test — fonksiyonel → mantıksal → somut hiyerarşisi — kullanılır.
• ASAM OpenDRIVE (statik yol geometrisi) ve OpenSCENARIO (dinamik aktörler/tetikleyiciler), senaryoları simülatörler ve OEM’ler arasında taşınabilir kılar.
• TTC/ETTC, PET ve DRAC, bir senaryonun çarpışma olmasa bile ne kadar “yakın” (kritik) geçtiğini nesnel olarak ölçer; minimum TTC değeri AD-12’deki AEB eşikleriyle doğrudan ilişkilidir.
• RSS gibi formel modeller, istatistiksel simülasyon güveninin ötesinde, fizik tabanlı ve matematiksel olarak kanıtlanabilir bir güvenlik zarfı sunar — ancak endüstride tek/evrensel bir standart değildir.
• Tek bir parametrelendirilmiş senaryo şablonu (ör. yaya geçişi), kritiklik tabanlı örneklemeyle yüzlerce/binlerce somut test varyasyonuna sistematik olarak dönüştürülebilir.

Kaynaklar ve Doğrulama Notu

Senaryo hiyerarşisi ISO 21448 (SOTIF) ve PEGASUS araştırma konsorsiyumunun soyutlama yapısına dayanır; ASAM OpenSCENARIO/OpenDRIVE bu dersin standart veri modeli referanslarıdır. Güvenlik metrikleri ve hız/ivme eşikleri Euro NCAP test protokollerinden alınmıştır. RSS modeli Shalev-Shwartz, Shammah ve Shashua’nın (Mobileye) 2017 tarihli “On a Formal Model of Safe and Scalable Self-Driving Cars” önerisine dayanır; bu modelin diğer OEM’lerce benimsenme derecesi değişkendir ve ASSUMPTION niteliğindedir.

Sıradaki Ders

• AD-24 — Uç Senaryolar (Edge Cases) ve Otonom Sürüşte Nadir Olaylar: Senaryo kütüphaneleri ne kadar geniş tutulursa tutulsun, gerçek dünyanın “uzun kuyruğunda” kalan — kütüphaneye hiç girmemiş — durumları nasıl sistematik olarak keşfedip yönettiğimizi inceleyeceğiz.