基于仿真方法进行ADAS危害分析与风险评估

高级驾驶员辅助系统（ADAS）日益增长的复杂性使得进行危害分析和风险评估（HARA）变得更加困难。这些项目需要高性能的电子控制单元（ECU）以及广泛的软件功能。为了正确运行，它们通过高速车载网络以及各种传感器和执行器与驾驶员、环境和其他车辆功能进行交互。因此，它们实现的复杂行为在出现故障时的结果并不容易识别和分类，而这正是最新功能安全标准所包含的概念阶段的要求。在本文中，我们提出了一种基于仿真的方法来对车辆功能进行 HARA，该方法将基于设计师知识的常规工业方法与利用车辆级仿真器的方法相结合。这种基于仿真的方法提供了一种自动且系统的方法，用于评估所分析的项目在可能复杂的运行情况下与其他车辆功能的复杂交互，从而使危害预测更加容易。我们选择通过将其应用于一个著名的汽车行业案例研究来展示该方法：高级紧急制动系统（AEBS）。通过这种方式，可以分析该项目所提供功能的效果，同时考虑仿真结果，并将其与文献中类似情况的分析进行比较。由于获得了基于仿真的结果，安全工程师可以提出更客观的假设，特别是在危害分类子阶段。

电气和电子（E/E）设备在道路车辆中起着核心作用。它们现在负责几乎所有车辆级别的功能。这一趋势始于 20 世纪 90 年代，当时电子燃油喷射、电动助力转向系统和防抱死制动系统成为标准配置。这些功能与安全相关，因此它们需要在出现故障时保证其性能（故障运行），或者至少以有保证的方式将系统置于安全状态（故障安全）。

ISO 26262 标准是 IEC 61508 的改编版，旨在满足安装在道路车辆中的 E/E 系统的特定需求。其第一版于 2011 年发布，仅限于轻型乘用车，而 2018 年 12 月发布的第二版则涵盖了所有批量生产的道路车辆，但不包括轻便摩托车。自动驾驶和半自动驾驶车辆可以被视为自主和智能系统（A/IS）的一个子集，因此它们的测试比普通汽车更具挑战性。一方面，我们必须测试传感器系统是否能够以足够的精度和情境感知能力感知外部世界。另一方面，计算可以采用并非完全确定性的方法，例如用于计算机视觉应用的神经网络。测试没有单一的正确结果，而是一系列略有不同的结果。如果所选择的行为使汽车处于安全状况，则测试通过。为了帮助设计师应对这些情况，另一项标准 ISO/PAS 21448 “预期功能安全”（SOTIF）已经制定。与 ISO 26262 不同，SOTIF 不涉及如何避免由于硬件故障、设计错误和软件漏洞导致的随机或系统性不正确行为，而是涉及由于传感器老化、基于人工智能的处理阶段、车辆处于需求起草时未预见的情况、不正确的人机界面或未预见的用户误用导致的系统非确定性结果所引起的行为。

如今，汽车中嵌入了各种 E/E 项目（在定义为 “应用 ISO 26262 的系统或系统组合，用于实现车辆级别的功能或部分功能”），能够提供复杂的安全相关功能，例如电子稳定控制（ESC）和车道偏离警告系统，在过去十年中，这些系统已集成到高级驾驶员辅助系统（ADAS）中。未来，随着当前技术改进趋势的发展，这类设备在保证道路安全方面将变得越来越重要：这些系统的更结构化集成将使汽车制造商能够销售全自动驾驶汽车。

保证自动驾驶和半自动驾驶（配备 ADAS）车辆的安全是一项非常跨学科的活动，涉及安全工程、硬件可靠性、软件验证、人机交互、社会接受度和可行的法律框架。

ISO 26262的关键点是 “安全生命周期” 概念。它 “包括概念阶段、产品开发期间和生产开始后的主要安全活动”。

ADAS 由复杂的传感器和机电执行器组成，需要由运行大型软件的电子控制单元（ECU）进行运行。这些设备的验证（车辆级道路测试）至关重要，但由于此类设备必须安装在数百万辆车辆中，它们可能会遇到大量的运行条件，而这些条件在受控道路测试中可能无法重现，因此需要车辆级仿真器来模拟这些条件。ISO/PAS 21448（SOTIF）根据车辆可能面临的运行情况是否已知 / 未知或安全 / 不安全进行细分。其目的是帮助设计师尽可能减少未知和不安全的情况数量，至少将它们转移到已知和不安全的子集。这一点至关重要，因为在了解不安全情况后，可以找到减轻其严重性或暴露程度的方法，降低相关风险。

本文扩展提出了一种从概念阶段就开始使用车辆级仿真器的方法，此时需要定义项目的安全目标。这个阶段至关重要，因为它识别了项目在运行过程中可能面临的危害，并对每个危害的临界程度进行了评估。更详细地说，指出 “危害分类方案包括确定与所考虑项目危害相关的严重性（S）、暴露度（E）和可控性（C）。对于特定危害，这种 [汽车安全完整性等级（ASIL）] 分类将产生一个或多个 S、E 和 C 类别的组合”。这种分类在复杂性和开发时间方面都会影响整个开发过程。

HARA 是 ISO 26262 安全生命周期要求的关键活动之一。在我们的工作中，我们提议借助车辆级仿真器来改进 HARA。事实上，如今 HARA 主要是一项人为活动，基于头脑风暴，并可能得到系统失效模式和影响分析（System FMEA）等过程的支持。然而，这些方法在很大程度上依赖于相关工程师的经验，并且在可重复性和客观性方面存在不足。

本文旨在实现以下目标：

· 借助评估表（当前提高 HARA 客观性的最新技术）和仿真结果，提高风险评估过程的可靠性；

· 提高整个 HARA 过程的可重复性，因为车辆级仿真器使其对安全工程师知识的依赖性降低，从而更具可重复性；

· 通过使用与项目道路测试验证相同的测试进行仿真，在一个著名的工业案例研究中展示该方法。

我们将通过一个基准案例，即高级紧急制动系统（AEBS）来描述所提出的方法。我们选择将其应用于一个著名案例，以便将我们的方法获得的结果与其他研究小组在文献中获得的结果进行比较。

本文的结构如下。第 2 节介绍背景材料。第 3 节描述所提出的方法。第 4 节描述实验设置和考虑 AEBS 基准应用程序获得的结果。最后，第 5 节得出一些结论。

ISO 26262 标准指出，“其 [HARA] 目标是识别和分类项目的潜在危害，并制定与预防或减轻这些危害相关的安全目标，以实现可接受的残余风险。为此，需要评估项目的安全影响”。

HARA 应分三个阶段进行：

· 情境分析和危害识别（SA/HI）

· 危害分类（HC）；

· ASIL 确定。”

如前所述，HARA 的主要问题在于其有效性（可重复性）和可靠性（客观性）。文献中提出了提高 HARA 分析质量的结构化方法。尽管这些工作提出了不同的方法，但它们有一个共同目标，即通过尽可能减少对参与过程的安全工程师知识背景的依赖，使该阶段更具可重复性和客观性。

从 SA/HI 的角度来看，研究表明，无论导致失效的阶段如何，分析执行器级别的可能不当行为是获得项目合适危害列表的好方法，因为只有执行器才能对环境产生作用。可以找到一种类似的方法，但这种方法基于高级别的项目描述。这一理论结果使得在仅对项目进行功能级定义时就可以进行仿真。

另一方面，从 HC 的角度来看，现有技术部分中介绍的所有工作都使用分类表，这些分类表从标准中高度抽象描述的严重性、可控性和暴露度级别出发，使其适合特定应用。从这个角度来看，在这项工作中我们采用了相同的方式：分类标准表的准备将在实验设置部分讨论。

在开始描述有关 HARA 过程的文献之前，简要介绍一下 ADAS 设备可能会有所帮助。

这些系统包括：

· 传感器；

· “数据融合”（DF）算法，将来自所有传感器的信息合并为对周围环境的独特且连贯的虚拟表示；

· 根据虚拟表示采取适当响应的 “逻辑” 算法；

· 执行器，用于在物理环境中实际执行响应。

ADAS 项目的典型结构如图 1 所示。

图1:ADAS项目的结构

典型的传感器有雷达、激光雷达、惯性测量单元、摄像头和全球定位系统。典型的执行器有发动机（正负扭矩请求）、动力转向（方向轮的角位置）单元和制动器（制动扭矩）。传感器和数据融合算法负责为我们的半自动驾驶功能提供情境感知。

在情境分析和危害识别（SA/HI）阶段，“有必要识别可能导致危害事件的潜在非预期行为”。有必要分析项目可能引发危害的所有运行情况和运行模式。这种分析必须针对项目正确使用、驾驶员可预见的不正确使用以及项目子模块发生故障的所有情况进行。在这个过程中，设计师必须获得：

· 一份运行情况列表和相关的待评估失效模式；这份列表的完整性对于减少 ISO/PAS 21448（SOTIF）定义的不安全和未知情况的数量至关重要。

· 项目失效模式和相关危害的详细描述。当然，由于我们处于概念阶段，这些描述必须在功能级别提供，因为在这个阶段还没有制定实施策略。

由于执行这些运行需要对项目有充分的了解，因此自动化这个阶段非常困难。

在称为 “危害分类” 的第二阶段结束时，所有已识别的危害都必须使用三个参数进行分类：严重性（S）、暴露度（E）和可控性（C）。感兴趣的读者可以找到一项提议，旨在通过使用协同仿真技术，甚至在产品开发的早期阶段就帮助开发和验证合适的控制器。

考虑到 AEBS 案例，关于严重性评估，描述了一套很好的规则。本文还描述了低速自动驾驶车辆的完整 HARA 过程。用于正式确定严重程度的表格基于提出的表格，该表格描述了如何通过碰撞时的速度和碰撞方向来参数化严重性。其他参数来自简明损伤等级。在实验结果部分报告了为我们的案例改编的这些规则的子集。

关于可控性，合适的标准可以是碰撞时间（TTC）。该参数通常通过在测试电路中对真实车辆可能出现的故障进行仿真来评估（验证阶段）。

关于暴露度，我们使用了提供的定义，如实验结果部分所述。

汽车行业采用车辆级仿真器进行软件验证。有各种现成的工具能够在开发的概念阶段帮助设计师，如 IPG™CarMaker™（本文选择的工具）、AVL 车辆仿真（VSM™）和 FEV VirtualDynamics。

这种方法还可以扩展到辅助失效模式和影响分析（FMEA）以及失效模式、影响和诊断分析（FMEDA）。从 FMEA 的角度来看，考虑到 AIAG&VDA 于 2019 年 6 月联合发布的手册中描述的7步过程的第 6 阶段（优化），为 HARA 准备的场景可以借助检测和缓解策略的高级抽象模型来确定它们提供缓解的能力。同样，通过对项目及其嵌入式软件进行 spice 级仿真，可以再次使用这些场景来计算 ISO 26262 标准第 5 部分要求的随机硬件故障指标（如所做的那样，以及评估嵌入式软件缓解能力）。

我们声称，借助仿真结果，并采用本文后面描述的方法，安全工程师可以减少证明的 HARA 的可重复性问题，提高其客观性。

为了描述所提出的方法，将其与 HARA 过程的三个阶段相匹配是很有用的。

关于第一阶段 SA/HI，SA 子阶段可以通过在仿真环境中表示各种场景来执行。这些场景是为描述我们要分类的设备类别的标准测试而准备的。在仿真环境中考虑车辆在正常（无故障）条件下的行为有助于情境分析。

HI 子阶段通过结合使用车辆级仿真器和项目的功能模型来辅助：一般来说，可以通过改变项目的正常性能或禁用安全相关功能来仿真不当行为。由于我们处于概念阶段，无法知道项目可能发生失效的确切方式，因此也无法知道失效情况下的实际行为（特别是关于硬件随机失效）。

借助项目的功能模型和车辆级仿真器，可以评估故障的最坏情况后果，从而评估其严重性。同时，通过分析故障对车辆速度或轨迹的影响，可以评估普通人类驾驶员减轻失效影响的能力，从而能够确定可控性。提出了一种类似的方法，其中描述了如何在电动转向装置的基准案例上评估可控性。在 HC 阶段，将仿真结果与提供碰撞情况下可控性和严重性指标的表格（分类规则）进行比较，用于对危害进行分类。

ASIL 分类是通过所谓的 ASIL 确定表，结合三个参数 S、C 和 E 获得的。这种分类可以分为五个不同的级别，从 QM 开始，QM 指的是不会影响安全的车辆功能，然后是 A、B、C 和 D，代表其失效会逐渐造成更大损害的功能。

如何按照 要求确定暴露度将在实验验证部分讨论。

所提出方法的关键点是：

· 借助车辆级仿真器，基于仿真场景进行危害分析；

· 能够将安全工程师的知识与最终评估分离开来，提高结果的客观性；

· 由于风险评估阶段基于仿真结果，特别是涉及碰撞车辆之间的速度差异以及从危害状况开始时的 TTC（在以下标准场景中考虑为车辆之间的距离小于推荐安全距离），因此提高了评估的可重复性。

从实现的角度来看，为了建立适合这种方法的环境，需要以下软件组件（见图 2）：

图2:拟议方法的架构

· 被评估 ADAS 项目的功能模型；

· 车辆级仿真器；

· 能够实现 ADAS 模型和车辆级仿真器之间通信的软件层；

· 场景，即运行情况的正式描述。通常，车辆级仿真器内置有设计场景的工具。

· 所评估项目可能故障的半正式功能描述；

· 关于项目功能严重性和可控性的分类规则。

在考虑的案例中，车辆级仿真器生成最近物体距离测量值，并接收 ADAS 项目模型所需的制动力。驾驶员行为是场景文件的一部分。车辆的所有物理仿真都由车辆级仿真器负责。

基准系统的实际实现将在实验验证部分描述。

4.1 仿真环境

为了演示该方法，我们对 AEBS 进行了 HARA。

AEBS 的功能基于能够测量车辆与前方最近物体之间距离的传感器，从而检测碰撞风险。仿真驾驶员在任何情况下都不会刹车，因此只有 AEBS 可以避免碰撞。他 / 她的行为，在速度和轨迹方面，在测试案例中定义。

有不同类型的巡航功能：常规巡航控制，也称为巡航控制系统（CCS），可以维持驾驶员选择的恒定速度，而无需干预油门踏板。当驾驶员踩下制动踏板或离合器踏板时，CCS 暂停，系统不提供扭矩请求。另一种巡航功能是自适应巡航控制，也称为自适应巡航控制系统（ACCS）。它类似于 CCS，但还能够通过自动调整设定速度来与前车保持安全距离。ACCS 的制动能力在 ISO 15622中定义，因此不能保证安全状况。CCS 和 ACCS 是舒适功能。另一方面，当 AEBS 以独立模式工作时，它会向驾驶员发出视觉和声音警告，如果驾驶员没有反应，它会执行紧急制动。

在这种情况下，通过在不向驾驶员发出任何警告的情况下禁用项目来仿真项目的不当行为。在概念阶段，这可以作为故障的良好半形式描述。当然，在接下来的开发阶段，由于我们将不当行为的影响从项目级别传播到车辆级别，项目的不当行为模型越详细，仿真结果就越与道路验证观察结果一致。这保证了该方法的良好可扩展性，可以辅助所有项目开发阶段。

作为该方法的第一阶段（对应于 ISO 26262 HARA 的 SA/HI 阶段），我们结合使用仿真器本身和具有高级紧急制动系统功能的自适应巡航控制（ACC/AEBS）的高级半形式模型，以获得一些用于 HC 阶段的实验数据。

对于这类项目，欧洲新车评估计划（EuroNCAP）、美国国家公路交通安全管理局（NHTSA）和欧盟委员会提供了相关文件，其中描述了重要的驾驶情况，即运行情况。

我们从引用的文件中实现了一些虚拟验证环境（场景）来表示重要的驾驶条件。借助这些场景，可以执行 SA，并且通过在高级项目模型上注入故障，获得将用于 HC 的数据。所有场景都涉及安全目标 “当前方有障碍物时，AEBS 进行制动”。未考虑 AEBS 导致意外制动的情况。重要的是要注意，ASIL 级别必须分配给安全目标，而不是整个项目 / 车辆级功能。

在第二阶段，借助从仿真中获得的车辆行为（请注意，按照 ISO 26262标准的规定，在此阶段的仿真中不能包含故障检测或缓解机制），可以执行 HC，评估严重性（最大速度、碰撞方向和车辆周围障碍物的类型）和可控性（故障对车辆行为的影响）。

基准系统包括：

· 车辆级仿真器（IPG™CarMaker™）；

· ACC/AEBS 半形式模型（以 MathWorks™Simulink™模型提供）；

· 分类器，能够从仿真日志中提取碰撞时车辆之间的相对速度和碰撞时间（TTC），并根据先前定义的分类规则应用正确的标签，即严重性和可控性标签。

无需开发能够实现 MathWorks Simulink™与 IPG Automotive CarMaker™之间通信的软件层，因为它提供了现成的合适库。

在所有定义的场景中，在无故障条件下，基准 AEBS 能够避免碰撞。对于所有测试，都报告了碰撞时车辆的相对速度、从测试中描述的危害状况开始经过的时间以及 TTC。我们处理的是功能的半形式描述，而不是可能的实现。在这种情况下，无故障条件由符合定义要求的可运行模型表示。

4.2 EuroNCAP 测试

EuroNCAP AEBS 测试协议于 2017 年修订，规定了两种不同的测试程序：

· AEB 城市模式，在成人乘员保护评估中考虑。

· AEB 城际模式，在安全辅助评估中考虑。

有三种不同的场景：

· 车对车静止（CCRs）
测试车辆（VUT）与目标车辆（TV）相距 120 米。目标车辆处于静止状态。仿真开始时，测试车辆在一种情况下以 80 公里 / 小时的速度行驶，在另一种情况下以 50 公里 / 小时的速度行驶。

· 车对车移动（CCRm）
测试车辆和目标车辆的速度在 50 至 80 公里 / 小时的范围内：测试从 50 公里 / 小时开始，以 5 公里 / 小时的速度逐步增加，达到 80 公里 / 小时。
在这项工作中，仿真仅在 50 公里 / 小时的速度下进行。

· 车对车制动（CCRb）
测试车辆和目标车辆的速度相同，均为 50 公里 / 小时。测试在目标车辆 2 m/s² 和 6 m/s² 减速度的所有组合下进行，与目标车辆的初始距离分别为 12 米和 40 米。图 3 和图 4 显示了目标车辆以 6 m/s² 减速度时测试车辆和目标车辆之间的相对距离情况。本文中介绍的所有情况的行为都相似（当然，初始距离和碰撞时间除外）。

图3：在CCRb的情况下，VUT和电视之间的相对距离随时间变化的图（12m，6 m/s²）

图4:对于CCRb（40 m，6 m/s²）的情况，VUT和电视之间的相对距离随时间变化的图

该测试协议还解释了如何检查前向碰撞预警（FCW）系统是否正常工作，但本文未考虑此功能。

所得结果如表 1 所示。

表1：EuroNCAP情景模拟结果

4.3 NHTSA 测试

这些测试用于测试原型 ACC 系统。它们的主要目的是表征整个原型系统，包括传感器、数据融合和控制算法以及车辆平台。

这些测试涉及以下运行情况：

· 测试 1（车距控制模式）：从远距离接近前车。测试车辆速度为 112.7 公里 / 小时，目标车辆速度为 96.5 公里 / 小时。

· 测试 2（中止超车操作）：对接近前车做出响应。在这种情况下，测试车辆的初始速度为 96.7 公里 / 小时。目标车辆的速度在整个测试过程中保持 96.7 公里 / 小时。当测试车辆和目标车辆之间的距离为 37.5 米时，驾驶员手动加速至 112.7 公里 / 小时。在达到原始距离的 2/3 时，驾驶员松开油门踏板。测试继续进行，直到重新建立稳态跟车。

所得结果如表 2 所示。

表2:NHTSA测试结果

4.4 欧盟法规测试

这三项测试来自欧盟委员会法规 347/2012。它们是欧盟对高级紧急制动系统（AEBS）的强制性 homologation 测试。

该法规可追溯至 2012 年，其中为所有 N3 类和 M3 类车辆（必须应用指令第 1 级）定义了标准，但尚未为配备液压制动器和非气动后悬架的 N2 类和 M2 类车辆（必须应用第 2 级）建立国际测试标准。

在第一项测试场景中，如法规第 2.4 段所述，测试车辆以 80±2 公里 / 小时的速度朝向代表另一辆车的静止目标行驶。当测试车辆和目标车辆之间的距离为 120 米时，测试开始。

在第二项和第三项测试中，目标分别以 32±2 公里 / 小时（用于第 1 级 homologation）和 12±2 公里 / 小时（用于第 2 级 homologation）的速度移动。

所有测试在测试车辆和目标车辆之间的距离至少为 120 米时开始。

所得结果如表 3 所示。

表3：欧盟法规测试结果

4.5 ASIL 级别确定

按照 ISO 26262 标准的规定，ASIL 级别必须通过获得的严重性、可控性和暴露度级别的组合来确定。

如何从获得的（S、C、E）组合确定 ASIL 级别在标准第 3 部分的 ASIL 确定表中有规定。

4.5.1 分类规则定义

将“严重性规则集” 表中的值调整到我们的案例中（由于我们考虑的是 AEBS，仅考虑涉及两辆同向行驶车辆的情况），可以获得两车之间的速度差与严重性之间的关联。这些规则汇总在表 4 中。

表4：严重性分类规则

从可控性角度来看，我们将碰撞时间（TTC）视为分类参数，考虑驾驶员误用项目的情况：驾驶员依赖 AEBS 而不观察后续车辆的行为。这些规则汇总在表 5 中。

表5：可控性分类规则

4.5.2 ASIL 分配

至此，可以将所有获得的结果汇总在表 6 中。

表6:各种测试的ASIL分类

在此过程结束时，我们可以说，在大多数情况下，我们获得了 ASIL B 级别，除了 “EuroNCAP CCRb 测试车辆与目标车辆之间的距离为 12 米” 的情况，在表 3 中表示为 “CCRb（12 米，6 m/s² ）”，这种情况涉及前车突然减速且安全距离仅为 12 米。这种情况可以被视为系统的可预见误用，因为驾驶员通过故意踩油门迫使车辆不遵守安全距离。正常的 AEBS 功能不会施加任何减速，因为该项目仅旨在辅助驾驶员，不能否决驾驶员的决定。为了避免这种误用，可以通过人机界面（HMI）实施一些策略，例如当驾驶员的行为阻止系统遵守安全距离时触发声音警告，以促使驾驶员停止这种危害行为。基于这些前提，我们可以将 ASIL B 级别分配给安全目标 “当前方有障碍物时，AEBS 进行制动”。

基于仿真的方法无法定义暴露度评估。一般来说，为了降低概率级别，需要提供统计证据表明所考虑的情况并不常见。对于这个基准应用程序，由于所有这些场景都具有高概率级别，我们选择了最高暴露度级别，因此不需要实验或统计证据。

ISO 26262 安全生命周期的 HARA 阶段在可重复性和客观性方面存在一些问题。一项新的标准，即 ISO/PAS 21448（SOTIF），也参与此类系统的开发，以帮助设计师实施能够确保系统在车辆可能遇到的所有情况下都具有足够情境感知能力的系统。在文献中，许多作者试图提出解决方案来减少这些问题。所提出的方法有一个共同点，即使过程更具结构性，减少对工程师先前知识的依赖，因为工程师的先前知识可能会影响所考虑车辆功能安全目标的 ASIL 分类。有研究表明，不同的工程师团队在没有这些技术的情况下，对相同的安全目标给出了不同的分类，有时还会改变他们对先前评估的看法。本文朝着相同的方向前进，提出了一种基于使用车辆级仿真器的方法。借助仿真结果，可以获得客观数据，有助于对影响车辆功能的故障情况下的可控性和严重性提出假设。

采用这种方法需要：描述运行情况的场景；所评估车辆功能的高级功能描述；严重性和可控性方面的分类规则。

提出了该方法的案例研究，其中对 AEBS 进行了分析。场景来自 NHTSA、EuroNCAP 和欧盟委员会关于此类项目 homologation 的文件。严重性和可控性的分类规则改编自文献，定义为碰撞发生时测试车辆和目标车辆之间的相对速度阈值（用于严重性）和碰撞时间阈值（用于可控性）。暴露度是手动分类的。当然，如果我们要评估一种新的车辆功能，就必须在没有任何外部帮助的情况下定义这类场景。无论如何，为了演示该方法，我们认为一个著名的案例更为可取。

通过这个基准测试，该方法被证明能够帮助工程师确定 ASIL 级别。借助仿真器提供的数据和客观分类规则的存在，HARA 结果更加客观和可重复。作为未来的工作，作者希望分析一个可以通过基于仿真的方法评估暴露度级别的案例，如果可能的话，将其应用于一个全新的车辆功能（例如由公司提出的功能），以便能够将手动获得的结果与基于仿真的结果进行比较。这对于评估场景生成过程的可靠性可能很有用。