LiDAR目标检测SOTIF分析：不确定性阈值跨触发条件迁移评估

在自动驾驶感知系统中，基于机器学习的LiDAR目标检测器被广泛使用，其安全性评估需遵循ISO 21448预期功能安全（SOTIF）标准。该标准要求分析覆盖所有可能的触发条件（triggering conditions），而非仅测试数据所代表的单一场景。近期一篇论文针对此问题，提出了一种不确定性评估方法，用于判断在某一条件下设定的性能目标能否迁移至其他触发条件。本文基于该研究，梳理其核心方法与关键发现。

问题背景：阈值设定的统计保证局限

SOTIF分析要求确保ML检测器在各类触发条件下均满足性能目标。一种常见做法是设定不确定性阈值，拒绝高于该阈值的检测结果，从而控制错误检测在已接受检测中的平均每帧占比（即性能目标）。然而，论文指出：在某一条件数据上选定的阈值，其统计保证仅对与选择数据同分布的数据有效。当SOTIF分析需覆盖所有触发条件时，这种保证无法直接延伸。因此，需要一套方法评估阈值迁移后的有效性。

ISO 21448（SOTIF） 是ISO为道路车辆预期功能安全发布的国际标准，专门针对无电子/电气系统故障情况下，由功能不足或可合理预见的人员误用引发的危害。与ISO 26262关注系统性故障和随机硬件故障不同，SOTIF聚焦于感知、决策等功能的性能局限与场景覆盖不足。对于基于机器学习的LiDAR目标检测器，SOTIF要求识别所有可能引发危害的触发条件（triggering conditions），并证明在这些条件下系统仍能满足安全目标。因此，仅在某一数据集上验证性能并不充分，必须考虑条件迁移后的统计有效性。

触发条件（triggering condition） 在SOTIF语境下指能够触发或暴露系统功能不足的具体运行场景或环境因素，例如降雨、远距离、低光照、传感器污染等。这些条件可能导致感知性能下降，若未充分评估，便可能遗漏安全隐患。本文讨论的阈值迁移评估，正是为了判断在某一触发条件下设定的不确定性阈值能否在其他触发条件下继续满足性能目标。

评估方法：迁移、测试与独立单元计数

论文提出的不确定性评估包含三个核心环节。第一，将阈值迁移至目标触发条件；第二，设计统计测试，在给定错误概率下判断性能目标在该条件下是“适用”、“不适用”还是“未确定”；第三，计算“适用”结论所需的独立单元数量下界。其中，独立单元计数以记录序列（recorded sequences）为单位，而非帧，因为帧间存在依赖关系，必须按依赖结构计数。

独立单元（independent unit） 指统计上相互独立、可视为独立同分布样本的最小观测单位。在时间序列或连续帧数据中，相邻帧往往高度相关，不能简单视为独立样本。若按帧计数，会高估有效样本量，导致统计检验过于乐观。论文以记录序列（recorded sequences） 为独立单元，即假定不同序列之间相互独立，而序列内部帧间允许存在依赖。这样得到的样本量更保守，统计结论也更可靠。计算“适用”结论所需的独立单元数量下界，是为了确保有足够统计功效来支持性能目标，避免因样本不足而误判。

实验设置：PointPillars集成模型与两个数据集

研究采用PointPillars集成模型，在KITTI和nuScenes两个公开数据集上进行实验。评估覆盖多种触发条件迁移场景，包括远距离迁移、降雨条件迁移，以及两个独立训练的检测器之间的迁移。实验同时对比了按帧计数与按记录序列计数的差异。

PointPillars 是一种基于点云的3D目标检测网络，它将点云划分为垂直柱体（pillars），用PointNet提取柱体特征，再通过2D卷积网络生成检测框。其结构简单、推理速度快，常被用作LiDAR检测的基线模型。论文采用集成模型（多个PointPillars模型组合），以降低单一模型的不确定性，并评估集成不确定性在阈值迁移中的表现。

KITTI 和 nuScenes 是自动驾驶领域两个广泛使用的公开数据集。KITTI以城市道路场景为主，包含相机、LiDAR和GPS/IMU数据，标注为3D边界框；nuScenes覆盖城市复杂场景，包含多传感器数据、更多类别和更丰富的天气/光照条件。两者在数据规模、场景分布和标注规范上存在差异，因此跨数据集或跨条件的阈值迁移评估具有实际意义。

关键发现：独立单元不足与迁移后的性能退化

按记录序列计数时，两个数据集均未提供足够的独立单元来支撑任何性能目标限值，且没有任何迁移得到“不适用”的结果。这表明，在严格的依赖计数下，现有数据规模不足以得出明确结论。

按帧计数时，同一数据在预先固定的限值下，于远距离迁移、降雨迁移以及两个独立训练检测器之间的迁移中均出现“不适用”结果。此外，在满足目标限值的迁移后，阈值会拒绝大部分正确检测；在降雨条件下，接收者操作特征曲线下面积（AUC）并未下降。这些结果揭示了阈值迁移可能带来的性能退化风险：表面满足目标，实则牺牲了召回率。

结论与启示：条件性证据需经本地测试

论文强调，在某一条件下满足的性能目标，只有在目标触发条件下经过统计测试，并同时报告其接受正确检测的份额与独立记录序列的数量，才能作为该条件下的证据。这意味着，SOTIF分析不能简单假设阈值可跨条件通用，而必须对每个触发条件进行独立评估。该方法为ML感知系统的安全论证提供了更严谨的统计框架，也指出了当前数据集在独立单元数量上的不足。

对于从事自动驾驶安全评估的工程师，这项研究提示：不确定性阈值的选择与迁移需谨慎对待，性能目标的达成需结合具体触发条件验证，并充分考虑数据依赖性对统计结论的影响。