用于控制自动驾驶的方法和装置
1.相关申请的交叉引用
2.本技术要求于2020年6月30日提交的韩国专利申请no.10-2020-0080429的优先权和权益，其全部内容通过引用合并于此。
技术领域
3.本发明涉及自动驾驶车辆控制。
背景技术：
4.本部分中的陈述仅提供与本发明相关的背景信息并且可以不构成现有技术。
5.自动驾驶车辆需要具有适应性地应对行驶期间实时变化的周围环境的能力。
6.为了批量生产和启用自动驾驶车辆，需要可靠的确定控制功能。
7.在目前正在批量生产的2级自动驾驶系统中，需要驾驶员保持向前看。因此，当驾驶员没有握住方向盘时，输出预定的手离开警告，并且根据基于驾驶员的方向盘操纵的转向扭矩值的变化来确定驾驶员是否干预了转向。
8.当发生系统故障情况时，当前的2级自动驾驶系统立即停用自动驾驶模式。当系统故障情况发生时，3级自动驾驶系统输出警告(转换需求，transition demand，td)，请求将控制权从系统转移给驾驶员，然后切换到最小风险策略(minimum risk manoeuvre，mrm)模式并促使安全停车。
9.即，不管系统故障的类型和车辆行驶环境如何，常规的3级自动驾驶系统总是以相同的策略进行响应。
技术实现要素：
10.本发明提供了一种用于控制自动驾驶的装置和方法。
11.本发明的一个实施方案提供了一种用于控制自动驾驶的方法和装置，其能够基于在自动驾驶期间感测到的故障类型和车辆周围的行驶情况来动态地提供故障安全策略。
12.本发明的另一个实施方案提供了一种用于控制自动驾驶的方法和装置，该方法和装置能够在自动驾驶过程中感测到系统故障时，通过基于故障类型和风险度来区分故障安全策略，从而能够实现安全停车引导以及向驾驶员安全转移控制权。
13.根据本发明的一个实施方案，一种用于在能够进行自动驾驶的车辆中控制自动驾驶的方法包括：在自动驾驶期间采集车辆行驶状态信息和系统状态信息；基于系统状态信息感测故障；当感测到故障时识别能够正常控制的致动器；基于能够正常控制的致动器信息和车辆行驶状态信息来确定与感测到的故障相对应的风险度；基于能够正常控制的致动器信息和风险度来确定安全状态；确定与安全状态相对应的故障安全策略。
14.在一些实施方案中，确定风险度可以包括：基于能够正常控制的致动器信息来识别故障类型和故障数量；基于故障类型来确定初始风险度；基于故障数量来确定第一权重值；基于车辆行驶状态信息来确定第二权重值；通过将第一权重值或第二权重值应用于初
始风险度来确定最终风险度。
15.在一些实施方案中，确定与安全状态相对应的故障安全策略可以包括：在识别出的能够正常控制的致动器中，确定与确定出的安全状态相对应的要使用的致动器；基于确定出的要使用的致动器和最终风险度来确定与确定出的安全状态相对应的最大允许时间；通过确定出的要在确定出的安全状态下使用的致动器来确定最佳故障安全方案。
16.在一些实施方案中，最大允许时间可以确定为与最终风险度成反比。
17.在一些实施方案中，车辆行驶状态信息可以包括定位信号信息、车辆外部信息、车辆内部信息或精确地图信息中的至少一项，车辆外部信息可以包括雷达感测信息、激光雷达感测信息或外部摄像机捕获信息中的至少一项，车辆内部信息可以包括车内摄像机捕获信息或驾驶员生物感测信息中的至少一项。
18.在一些实施方案中，所述方法可以进一步包括：基于车辆内部信息来确定驾驶员状态，并且可以进一步基于驾驶员状态确定来确定风险度。
19.在一些实施方案中，系统状态信息可以包括如下中的至少一项：制动系统信息、稳定性控制系统信息、转向系统信息、换挡系统信息、驱动系统信息、摄像机系统信息、轮胎压力测量系统信息、燃料箱感测系统信息、电池管理系统信息、雨量感测系统信息、用于感测车辆前方区域的传感器的系统信息或自动驾驶控制器状态信息。
20.在一些实施方案中，所述致动器可以包括电动驻车制动器、电子稳定性控制、电动助力转向系统、变速器控制单元或发动机管理系统中的至少一种。
21.在一些实施方案中，随着风险度的增高，可以确定以大减速度量进行减速控制的故障安全策略。
22.在一些实施方案中，所述故障类型可以包括如下中的至少一种：驾驶员状态和意图确定传感器故障、用于天气确定的雨量传感器故障、自动驾驶控制器故障、全球定位系统(gps)接收器故障、轮胎气压快速下降故障、用于感测车辆前方区域的传感器故障、与转向相关的致动器故障、与制动相关的致动器故障、与驾驶相关的致动器故障、与换挡相关的致动器故障或与稳定性控制相关的致动器故障。
23.根据本发明的另一个实施方案，一种用于自动驾驶车辆的控制自动驾驶的装置包括：状态信息采集器，其配置为在自动驾驶期间采集车辆行驶状态信息和系统状态信息；系统故障确定装置，其配置为基于系统状态信息感测故障；致动器状态识别装置，其配置为当感测到故障时识别能够正常控制的致动器；风险度计算器，其配置为基于能够正常控制的致动器信息和车辆行驶状态信息来确定与感测到的故障相对应的风险度；以及故障安全策略确定装置，其配置为基于能够正常控制的致动器信息和风险度来确定安全状态，并确定与安全状态相对应的故障安全策略。
24.在一些实施方案中，风险度计算器可以包括：故障类型和数量识别装置，其配置为基于能够正常控制的致动器信息来识别故障类型和故障数量；初始风险度确定装置，其配置为基于故障类型来确定初始风险度；第一权重值确定装置，其配置为基于故障数量来确定第一权重值；第二权重值确定装置，其配置为基于车辆行驶状态信息来确定第二权重值；最终风险度确定装置，其配置为通过将第一权重值或第二权重值应用于初始风险度来确定最终风险度。
25.在一些实施方案中，故障安全策略确定装置可以包括：致动器确定装置，其配置为
在识别出的能够正常控制的致动器中，确定与确定出的安全状态相对应的要使用的致动器；最大允许时间确定装置，其配置为基于确定出的要使用的致动器和最终风险度来确定与确定出的安全状态相对应的最大允许时间；以及方案确定装置，其配置为通过确定出的要在确定出的安全状态下使用的致动器来确定最佳故障安全方案。
26.在一些实施方案中，最大允许时间可以确定为与最终风险度成反比。
27.在一些实施方案中，所述车辆行驶状态信息可以包括定位信号信息、车辆外部信息、车辆内部信息或精确地图信息中的至少一项，车辆外部信息可以包括雷达感测信息、激光雷达感测信息或外部摄像机捕获信息中的至少一项，其中，车辆内部信息可以包括车内摄像机捕获信息或驾驶员生物感测信息中的至少一项。
28.在一些实施方案中，所述装置可以进一步包括：驾驶员状态确定装置，其配置为基于车辆内部信息来确定驾驶员状态，所述风险度计算器可以基于驾驶员状态确定来确定风险度。
29.在一些实施方案中，系统状态信息可以包括如下中的至少一项：制动系统信息、稳定性控制系统信息、转向系统信息、换挡系统信息、驱动系统信息、摄像机系统信息、轮胎压力测量系统信息、燃料箱感测系统信息、电池管理系统信息、雨量感测系统信息、用于感测车辆前方区域的传感器的系统信息或自动驾驶控制器状态信息。
30.在一些实施方案中，致动器可以包括电动驻车制动器(epb)、电子稳定性控制(esc)、电动助力转向系统(mdps)、变速器控制单元(tcu)或发动机管理系统(ems)中的至少一种。
31.在一些实施方案中，随着风险度增高，故障安全策略确定装置可以确定以大减速度量进行减速控制的故障安全策略。
32.在一些实施方案中，故障类型可以包括如下中的至少一项：驾驶员状态和意图确定传感器故障、用于天气确定的雨量传感器故障、自动驾驶控制器故障、全球定位系统(gps)接收器故障、轮胎气压快速下降故障、用于感测车辆前方区域的传感器故障、与转向有关的致动器故障、与制动有关的致动器故障、与驾驶有关的致动器故障、与变速有关的致动器故障或与稳定性控制相关的致动器故障。
33.通过本文提供的描述，进一步的应用领域将变得明显。应当理解，描述和具体示例仅是旨在用于说明的目的，并非旨在限制本发明的保护范围。
附图说明
34.为了可以更好地理解本发明，将参照附图、通过给出示例的方式来描述本发明的各种实施方式，在附图中：
35.通过结合所附附图呈现的如下具体描述，将更清楚地理解本发明的以上和其它目的、特征以及优点：
36.图1是定义自动驾驶车辆的自动化等级的图表；
37.图2是用于示出自动驾驶期间基于td生成的车辆控制过程的示意图；
38.图3是用于示出根据本发明的一个实施方案的自动驾驶控制装置的结构的框图；
39.图4是用于示出设置在上述图3的装置中的故障处理模块的详细结构的框图；
40.图5是用于示出根据本发明的一个实施方案的风险度计算器的结构的框图；
41.图6是示出根据本发明的一个实施方案的故障安全策略确定装置的结构的框图；
42.图7是用于示出根据本发明的一个实施方案的故障安全模块中的自动驾驶控制方法的流程图；
43.图8是用于示出根据本发明的一个实施方案的风险度计算器中的自动驾驶控制方法的流程图；
44.图9是用于示出根据本发明的一个实施方案的故障安全策略确定装置中的自动驾驶控制方法的流程图；
45.图10是用于示出根据本发明的一个实施方案的针对每种故障情况的故障安全策略的示意图。
46.本文中所描述的附图仅出于说明的目的，并非旨在以任何方式来限制本发明的范围。
具体实施方式
47.下面的说明在本质上仅仅是示例性的，并非旨在限制本发明、应用或用途。应当理解的是，在所有附图中，相应的附图标记表示相同或相应的部件和特征。
48.下文将参考示例性附图对本发明的各种实施方案进行详细描述。在将附图标记添加到每个图的组件时，应该注意的是，即使相同或等同的组件在其它图上显示时，也是由相同的附图标记指定的。此外，在描述本发明的各种实施方案时，当确定相关的已知配置或功能妨碍对本发明的理解时，将省略对其的详细描述。
49.在描述本发明的实施方案的组件时，可以使用诸如第一、第二、a、b、(a)、(b)等的术语。这些术语仅旨在将组件与其他组件区分开，并且这些术语不限制组件的性质、顺序或次序。除非另有定义，本文使用的术语，包括技术术语和科学术语，具有与本发明所属技术领域相关的普通技术人员通常理解的含义相同的含义。将进一步理解的是，诸如在常用词典中定义的那些术语应该被解释为具有与其在相关领域的语境中的含义一致的含义，并且将不被解释为理想化的或过于正式的意义，除非在本文中明确这样定义。
50.在下文中，将参照图1至图10详细描述本发明的各个实施方案。
51.图1是定义自动驾驶车辆的自动化等级的图表。
52.自动驾驶车辆是指这样车辆：其通过自行识别行驶环境来确定风险并控制行驶路径，同时减少驾驶员的行驶操纵的自行行驶的车辆。
53.最终，自动驾驶车辆是指可以在没有人为影响的情况下行驶、操纵和驻车的车辆，其专注于处于自动驾驶技术状态的车辆。即，作为自动驾驶车辆的核心基础，无需驾驶员的主动控制或监测的驾驶车辆的能力已经发展到最高水平。
54.然而，当前自动驾驶车辆的概念可以包括如图1所示的中间自动化等级，其发展到全自动驾驶车辆，并且对应于以全自动驾驶车辆的批量生产和商业化为前提的目标导向的概念。
55.根据本发明的自动驾驶控制方法可以应用于与图1中所示的自动驾驶的自动化等级中的3级(有条件的自动驾驶)相对应的自动驾驶车辆。然而，该方法可以不必限于此，并且可以应用于需要基于自动驾驶期间的系统故障来进行控制权转移和车辆控制的所有等级的自动驾驶车辆。
56.上述基于美国汽车工程师协会(society of automotive engineers，sae)的自动驾驶车辆的自动化等级可以如以上图1的图表所示进行分类。
57.图2是用于示出在自动驾驶期间基于td生成的自动驾驶车辆控制过程的示意图。
58.在下文中，为了便于描述，将自动驾驶车辆简称为“车辆”。
59.参考图2，当响应于驾驶员的自动驾驶选择按钮输入而激活自动驾驶功能时，车辆可以进行自动驾驶控制。
60.车辆可以在自动驾驶正常工作状态下考虑到方向盘扭矩值、方向盘扭矩保持时间等来确定驾驶员是否进行了干预。
61.当在自动驾驶正常工作状态下感测到驾驶员干预时，车辆可以激活手动行驶模式。
62.当在自动驾驶期间由于系统故障、碰撞风险感测等而发生转移需求(td)情况时，在输出请求从系统向驾驶员转移控制权的警告消息后，车辆可以激活风险最小化策略行驶模式。
63.就此而言，td情况是指不再能够维持自动驾驶的情况，其可以包括诸如另一辆车的干扰、行人或野生动物出现在车辆前方的位置、感测到车辆前方的障碍物、车辆前方的车辆突然停车、恶劣天气等情况，但可以不限于此。td情况可以包括系统灾难和故障的情况，诸如车辆控制器故障、车辆通信故障、燃料短缺等。
64.当激活风险最小化策略行驶模式时，车辆可以进行车道维持减速控制，直到车辆完全停车为止。
65.车辆可以考虑驾驶员的视线方向、方向盘扭矩值、方向盘扭矩保持时间、控制权转移按钮输入等来确定在风险最小化策略行驶模式下驾驶员是否进行了干预。
66.当在风险最小化策略行驶模式下感测到驾驶员干预时，车辆可以停用风险最小化策略行驶模式并激活手动行驶模式。
67.当在风险最小化策略行驶模式下响应于驾驶员干预而正常完成控制权转移时，车辆可以停止输出请求从系统向驾驶员转移控制权的警告消息。
68.图3是用于示出根据本发明的一个实施方案的自动驾驶控制装置的结构的框图。
69.根据图3的自动驾驶控制装置可以安装在高于或等于3级等级的自动驾驶车辆上。
70.为了便于以下描述，通过将自动驾驶控制装置300简称为装置300来对其进行描述。
71.参考图3，装置300可以包括：全球定位系统(gps)接收器301、车辆外部信息采集器302、车辆内部信息采集器305、精确地图提供器308、自动驾驶控制器310、警告装置321、人机接口(human machine interface，hmi)322、方向指示器323、危险闪光器324、制动系统325、稳定性控制系统326、转向系统327、换挡系统328、驱动系统329和附加系统330。
72.与自动驾驶控制器310相关联的每个系统可以配备有各个控制器，以监测系统是否发生了故障，并将监测结果发送到自动驾驶控制器310的故障安全模块318。
73.gps接收器301可以从定位卫星接收定位信号。就此而言，定位信号可以用于生成车辆的地理位置信息。
74.车辆外部信息采集器302可以采集车辆的周围环境信息和行驶状态信息。车辆外部信息采集器302可以包括雷达和激光雷达303以及外部摄像机304。
75.雷达/激光雷达303可以感测车辆周围的物体。
76.雷达/激光雷达303可以感测车辆的前方、侧面和后方的物体，并计算与感测到的物体的距离。
77.另外，雷达/激光雷达303可以确定感测到的物体是静态物体还是动态物体，测量感测到的动态物体的移动速度，并确定感测到的动态物体是行人还是车辆。
78.此外，雷达/激光雷达303可以用于通过高分辨率地形扫描来识别行驶道路和设施的状况的目的。
79.外部摄像机304可以安装在车辆的外部，以捕获车辆的前方、侧面和后方的区域的影像。为此，车辆可以具有多个外部摄像机。
80.外部摄像机304捕获到的影像可以用于诸如车道区分、车辆周围物体的识别、增强现实实施等目的。
81.车辆内部信息采集器305可以采集各种车辆内部状态信息。
82.车辆内部信息采集器305可以包括车内摄像机306和生物识别传感器307。
83.车内摄像机306可以安装在车辆内部的一侧，以捕获驾驶员和乘客。
84.车内摄像机306捕获到的影像可以用于监测驾驶员的视线方向和驾驶员的状态(例如，驾驶员的注意力分散、疲倦、疲劳驾驶等)。
85.生物识别传感器307可以安装在车辆的一侧，以采集驾驶员的各种生物识别信息。
86.生物识别传感器307可以与驾驶员的可穿戴装置相关联地采集驾驶员的各种生物识别信息。
87.举例来说，生物识别信息可以包括：脉搏信息、心率监测信息、体温信息、血液酒精浓度信息、脑电波信息、指纹识别信息、虹膜识别信息等，但可以不限于此。
88.生物识别信息可以用于确定无法驾驶状态、酒后驾驶状态、疲劳驾驶状态等的目的。
89.精确地图提供器308可以响应于自动驾驶控制器310的请求来提供精确地图信息。
90.自动驾驶控制器310可以包括：精确定位装置311、识别装置312、控制命令装置313、驾驶员状态确定装置314、用户输入装置315、控制权转移确定装置316、照明控制器317以及故障安全模块318。
91.精确定位装置311可以利用从gps接收器301接收到的定位信号信息和从精确地图提供器308获得的精确地图信息来确定车辆的当前位置，并将确定出的车辆的当前位置映射到精确地图上。
92.另外，精确定位装置311可以识别车辆的行驶道路的状态信息，例如坡度、道路类型、车道数量、限速等。
93.识别装置312可以基于来自雷达/激光雷达303的感测信息和由外部摄像机304捕获到的影像信息来识别车道、车辆周围的车辆、障碍物、行人等。
94.控制命令装置313可以基于识别装置312的识别结果来计算请求命令值，并通过将计算出的请求命令值发送到相应的自动驾驶系统来进行行驶控制。
95.驾驶员状态确定装置314可以基于从车辆内部信息采集器305获得的车辆内部状态信息来确定驾驶员状态。
96.就此而言，驾驶员状态可以包括：注意力分散状态、无法驾驶状态、酒后驾驶状态、
疲劳驾驶状态、疲惫等，但可以不限于此。
97.用户输入装置315可以基于从hmi 322接收到的控制信号来感测用户输入。
98.就此而言，用户输入可以包括用于接受从系统向驾驶员转移控制权的预定按钮输入信号、预定手势输入信号等。
99.驾驶员状态确定装置314可以基于从识别装置312获得的各种识别信息、从车辆内部信息采集器305获得的车辆内部状态信息、或从用户输入装置315获得的驾驶员输入信息中的至少一项来确定是否需要从系统向驾驶员转移控制权。
100.作为确定的结果，当需要转移控制权时，控制权转移确定装置316可以将预定的控制信号发送到警告装置321，从而输出请求向驾驶员转移控制权的预定警告消息。
101.照明控制器317可以控制方向指示器323和危险闪光器324的照明。
102.故障安全模块318可以基于在自动驾驶期间感测到的故障类型和车辆周围的行驶情况来确定最佳故障安全策略。
103.举例来说，所述故障类型可以包括如下中的至少一种：驾驶员状态和意图确定传感器故障、用于天气确定的雨量传感器故障、自动驾驶控制器故障、全球定位系统(gps)接收器故障、轮胎气压快速下降故障、用于感测车辆前方区域的传感器故障、与转向相关的致动器故障、与制动相关的致动器故障、与驾驶相关的致动器故障、与换挡相关的致动器故障、或与稳定性控制相关的致动器故障。
104.故障安全模块318可以基于确定出的故障安全策略来请求控制命令装置313进行车辆控制。
105.通过下文将描述的附图的描述，故障安全模块318的详细配置和详细操作将更加明显。
106.制动系统325可以控制与制动相关的致动器的工作并监测其状况。
107.举例来说，制动系统325可以包括电动驻车制动器(electric parking brake，epb)，其以电动方式而不是通过人的身体力量来产生制动力。
108.稳定性控制系统326可以控制致动器的工作以稳定地保持车身的稳定性。
109.作为示例，稳定性控制系统326可以包括电子稳定性控制(electronic stability control，esc)，其是先进的电子制动装置。
110.esc是通过对车辆的制动力和牵引力的协同控制来控制车辆的稳定性的装置。esc可以一起提供防抱死制动系统(anti-lock brake system，abs)和牵引力控制系统(traction control system，tcs)功能。
111.电子稳定性控制(esc)可以这样方式进行操作，即将从转向角、横向加速度、横摆率和车轮转速传感器测量出的信息进行综合，以确定车身的稳定性是否得到稳定维持，并基于这些信息分别控制四个车轮的制动力。
112.转向系统327可以对用于控制车辆的横向行为的致动器的工作进行控制。
113.举例来说，转向系统327可以包括电动助力转向系统(motor driven power steering，mdps)。mdps是一种利用电动电机而不是液压电机来辅助驾驶员操作的装置，其可以包括冗余电力输入结构和多个信号通道，用于稳定的供电以及信号发送和接收。
114.换挡系统328可以对用于自动换挡的致动器的工作进行控制。
115.作为示例，换挡系统328可以包括变速器控制单元(transmission control unit，
tcu)。
116.变速器控制单元(tcu)可以通过基于tps、车速、发动机每分钟转数、制动开关输入等来确定挡位数和正时，从而控制自动换挡。
117.驱动系统329可以对用于控制车辆的纵向行为(即，行驶速度)的致动器的工作进行控制。例如，用于控制纵向行为的致动器可以包括节气门、加速器等。
118.例如，驱动系统329可以包括发动机管理系统(engine management system，ems)。
119.ems可以包括进行电子节气门控制、汽油直接喷射以及怠速启停功能的致动器。
120.附加系统330可以包括感测轮胎气压的轮胎压力测量系统，例如，轮胎气压监测系统(tpms)、燃料箱感测系统、用于混合动力车辆和电动车辆的电池管理系统等，但可以不限于此。
121.图4是用于示出设置在上述图3的装置中的故障处理模块的详细结构的框图。
122.参考图4，故障安全模块318可以包括：状态信息采集器410、系统故障确定装置420、致动器状态识别装置430、风险度计算器440和故障安全策略确定装置450。
123.状态信息采集器410可以采集车辆的行驶状态信息和车辆周围状态信息。
124.就此而言，车辆的行驶状态信息可以包括：行驶速度信息、行驶车道信息、关于行驶道路的车道数量信息、行驶道路的坡度信息、路面状态信息、天气信息等，但可以不限于此。
125.车辆周围状态信息可以包括：关于到周围车辆的距离的信息、关于周围车辆的数量的信息、除了车辆之外的动态物体的感测信息、静态物体感测信息等，但可以不限于此。
126.系统故障确定装置420可以确定在自动驾驶期间是否发生了系统故障。例如，系统故障可以包括致动器故障、车载通信故障等，但可以不限于此，并且可以包括轮胎气压异常等。
127.当响应于由自动驾驶控制器310发送到特定系统的控制请求命令而未进行正常工作时，系统故障确定装置420可以确定出相应的系统发生了故障。
128.另外，当在一定时间内没有接收到计划从系统接收的信号时，系统故障确定装置420可以确定出自动行驶控制器310未能与相应的系统通信。
129.系统故障确定装置420可以识别故障类型并计算故障的系统、控制器和致动器的数量。
130.致动器状态识别装置430可以从每个系统的控制器采集控制器状态信息和/或致动器状态信息，以识别可控致动器状态。
131.风险度计算器440可以基于故障类型、故障数量、车辆行驶状态信息等来计算车辆的风险度。
132.作为示例，风险度计算器440可以如下面的数学等式1所示计算与故障类型相对应的初始风险度r1，并基于故障数量和车辆行驶状态信息将权重值分配给初始风险度来计算最终风险度r2。
133.<数学等式1>
134.r2＝r1
×
w1
×
w2
135.就此而言，w1是基于故障数量的权重值，w2是基于车辆行驶状态信息的权重。
136.在一个实施方案中，每种故障类型的风险度可以分为低风险、中风险和高风险三
个等级，但可以不限于此，并且可以基于本领域技术人员的设计来定义更多细分的风险度。
137.低风险可以对应于这样的情况，其中车辆行为没有被直接影响，并且发生了影响识别系统状态或驾驶员意图的系统故障。
138.中风险可以对应于这样的情况，其中车辆行为受到间接影响，或者发生了导致系统性能下降的系统故障。
139.高风险可以对应于这样的情况，其中车辆的横向/纵向控制受到直接影响，或者感测位于车辆前方的车辆、障碍物等的系统发生了故障。
140.作为示例，即使当发生相同类型的故障时，风险度计算器440也可以确定出在车辆周围感测到多个周围车辆的状态具有比在车辆周围没有车辆的状态更高的风险度。
141.故障安全策略确定装置450可以基于由风险度计算器440确定出的风险度和由致动器状态识别装置430识别出的能够正常控制的致动器信息来确定安全状态，并确定用于进入确定出的安全状态的最佳故障安全策略。
142.另外，故障安全策略确定装置450可以基于能够正常控制的致动器信息来确定直到进入安全状态为止的最大允许时间。
143.通常，可以确定风险度越高，直到进入安全状态为止的最大允许时间越短。
144.然而，当制动系统发生故障时，尽管风险度很高，但最大允许时间可以基于车速和坡度而动态变化。
145.在一些实施方案中，即使在相同风险度的故障的情况下，也可以基于故障类型来应用不同的故障安全策略。
146.例如，mdps故障和esc故障可以评估为具有相同的风险度。
147.在mdps故障的情况下，故障安全策略确定装置450可以确定用于进行紧急停车、换挡(n和p)、epb紧固等的故障安全策略，用于快速终止自动驾驶系统的目的。
148.在ecs故障的情况下，故障安全策略确定装置450可以确定在通过换挡(n)和横向控制使车辆速度下降到等于或低于特定速度的速度之后进行epb紧固的故障安全策略。
149.在一些实施方案中，由系统故障确定装置420识别出的故障类型可以包括：用于确定驾驶员状态和意图的传感器(例如，车内摄像机306和生物识别传感器307)的故障、用于天气确定的雨量传感器的故障、自动驾驶控制器310的故障、gps接收器301的故障、轮胎气压快速下降故障、制动系统故障、感测车辆前方区域的传感器故障、转向系统故障、加速/减速系统故障等，但可以不限于此。
150.在一些实施方案中，被识别为是否能够由致动器状态识别装置430正常控制的致动器可以包括mdps、esc、epb、tcu和ems。
151.在一些实施方案中，风险度计算器440可以识别周围情况信息，确定可操作致动器是否是故障安全措施的重要因素，并且确定是否能够通过感测车辆前方区域的传感器来感测车辆前方区域，以确定最终风险度。
152.针对每个风险度的故障安全措施的示例如下。
153.<低风险故障安全措施的示例>
[0154]-感测驾驶员状态/意图确定传感器的故障
→
识别出所有可控致动器均处于正常状况
→
由风险度确定装置识别周围情况和致动器状态来确定严重程度
→
在执行小减速度量的减速控制或匀速控制时通过警告向驾驶员警示识别故障状态。
[0155]-感测雨量传感器的故障
→
识别出所有可控致动器均处于正常状况
→
由风险度确定装置识别周围情况和致动器状态来确定严重程度
→
在执行小减速度量的减速控制或匀速控制时通过警告向驾驶员警示识别故障状态。
[0156]
<中风险故障安全措施的示例>
[0157]
雨量传感器的故障
→
识别出所有可控致动器均处于正常状况
→
由风险度确定装置识别周围情况和致动器状态来确定严重程度
→
由于车辆行为不稳定(发生大的滑移)而预计会发生碰撞，并且周围有很多车辆
→
以大减速度量进行控制。
[0158]
<高风险故障安全措施的示例>
[0159]
由于用于感测车辆前方区域的所有传感器的故障而无法识别车辆前方区域的状态
→
识别出所有可控致动器均处于正常状况
→
由于无法感测到车辆前方的区域而由风险度确定装置将风险度确定为最高等级
→
以最大减速度量进行减速控制，从而尽快终止自动驾驶模式并促使车辆安全停车。
[0160]
图5是用于示出根据本发明的一个实施方案的风险度计算器的结构的框图。
[0161]
参考图5，风险度计算器440可以包括：故障类型和数量识别装置510、初始风险度确定装置520、第一权重值确定装置530、第二权重值确定装置540和最终风险度确定装置550。
[0162]
当发生自动驾驶故障时，故障类型和数量识别装置510可以识别发生的故障的类型和数量。
[0163]
就此而言，可以为自动驾驶控制系统和/或致动器和/或传感器计算出故障数量。
[0164]
初始风险度确定装置520可以基于故障类型来计算初始风险度。
[0165]
第一权重值确定装置530可以基于故障数量来确定第一权重值。
[0166]
第二权重值确定装置540可以基于车辆行驶状态信息来确定第二权重值。
[0167]
最终风险度确定装置550可以通过将第一权重值或第二权重值应用于初始风险度来确定最终风险度。
[0168]
图6是示出根据本发明的一个实施方案的故障安全策略确定装置的结构的框图。
[0169]
参考图6，故障安全策略确定装置450可以包括：安全状态确定装置610、致动器确定装置620、最大允许时间确定装置630和方案确定装置640。
[0170]
安全状态确定装置610可以基于正常控制的可控致动器信息和确定的风险度来确定安全状态。
[0171]
致动器确定装置620可以在能够正常控制的致动器中，确定与确定出的安全状态相对应的要使用的致动器；
[0172]
最大允许时间确定装置630可以基于确定出的要使用的致动器和风险度来确定与相应的安全状态相对应的最大允许时间。
[0173]
方案确定装置640可以确定经由确定出的与当前安全状态相对应的要使用的致动器可控的最佳故障安全方案。
[0174]
控制命令装置313可以基于确定出的故障安全方案来控制车辆以安全地促使车辆停车。
[0175]
图7是用于示出根据本发明的一个实施方案的故障安全模块中的自动驾驶控制方法的流程图。
[0176]
参考图7，故障安全模块318可以在自动驾驶模式下采集车辆行驶状态信息和系统状态信息(s710)。
[0177]
例如，系统状态信息可以包括如下中的至少一种：制动系统信息、稳定性控制系统信息、转向系统信息、换挡系统信息、驱动系统信息、摄像机系统信息、轮胎压力测量系统信息、燃料箱感测系统信息、电池管理系统信息、雨量感测系统信息、用于感测车辆前方区域的传感器的系统信息或自动驾驶控制器状态信息。
[0178]
故障安全模块318可以基于车辆行驶状态信息和系统状态信息来确定是否发生了系统故障(s720)。
[0179]
作为确定的结果，当感测到系统故障时，故障安全模块318可以识别能够正常控制的致动器(s730)。
[0180]
故障安全模块318可以基于能够正常控制的致动器信息和车辆行驶状态信息来确定与感测到的故障相对应的风险度(s740)。
[0181]
故障安全模块318可以基于能够正常控制的致动器信息和确定出的风险度来确定安全状态(s750)。
[0182]
故障安全模块318可以确定与确定出的安全状态相对应的最佳故障安全策略(s760)。
[0183]
自动驾驶控制器310的控制命令装置313可以通过进行基于确定出的故障安全策略而区分的致动器操作控制和减速控制来安全地促使车辆停车。
[0184]
图8是用于示出根据本发明的一个实施方案的风险度计算器中的自动驾驶控制方法的流程图。
[0185]
参考图8，当发生自动驾驶故障时，风险度计算器440可以识别发生的故障类型和数量(s810)。
[0186]
就此而言，可以为自动驾驶控制系统和/或致动器和/或传感器计算故障数量。
[0187]
风险度计算器440可以基于故障类型来计算初始风险度(s820)。
[0188]
风险度计算器440可以基于故障数量来确定第一权重值(s830)。
[0189]
风险度计算器440可以基于车辆行驶状态信息来确定第二权重值(s840)。
[0190]
风险度计算器440可以通过将第一权重值或第二权重值应用于初始风险度来确定最终风险度(s850)。
[0191]
图9是用于示出根据本发明的一个实施方案的故障安全策略确定装置中的自动驾驶控制方法的流程图。
[0192]
故障安全策略确定装置450可以基于能够正常控制的致动器信息和风险度来确定安全状态(s910)。
[0193]
故障安全策略确定装置450可以在能够正常控制的致动器中确定与确定出的安全状态相对应的要使用的致动器(s920)。
[0194]
故障安全策略确定装置450可以基于确定出的要使用的致动器和风险度来确定与对应的安全状态相对应的最大允许时间(s930)。
[0195]
故障安全策略确定装置450可以确定最佳故障安全方案，所述最佳故障方案与通过确定出的要使用的致动器而确定出的安全状态相对应(s940)。
[0196]
在一个实施方案中，参考附图标记950，与安全状态相对应的最大允许时间可以随
着风险度(严重程度)的增加而变短，也就是说，可以与风险度成反比。然而，这仅是示例，可以通过进一步考虑故障类型、能够正常控制的致动器信息等来确定最大允许时间。
[0197]
在下文中，将参照图3至图6描述针对各种故障情况中的每一种的示例性故障安全策略。
[0198]
图10是用于示出根据实施方案的针对每种故障情况的故障安全策略的示意图。
[0199]
附图标记1010是用于示出在由于车内摄像机故障而不能确定驾驶员是否在困倦时驾驶的情况(情况1)下的示例性故障安全策略的示意图。
[0200]
参考附图标记1010，系统故障确定装置420可以接收从车内摄像机306的控制器发送的预定警告信号，以识别车内摄像机故障信息。
[0201]
致动器状态识别装置430可以确定诸如mdps/esc/epb/tcu/ems的致动器是否正常工作，以确定所有致动器处于能够正常工作的状态。
[0202]
风险度计算器440可以基于故障类型、故障数量和车辆行驶状态信息(即，车辆周围情况和行驶情况信息)来计算风险度。
[0203]
例如，针对情况1，风险度计算器440可以确定当前故障的风险度(严重程度)＝0.5(低)、基于多个故障的权重值＝1(无)、基于周围/行驶情况的权重值＝0.7(正常)，以将最终风险度确定为0.35(0.5
×1×
0.7)(非常低)。
[0204]
当最终风险度非常低并且可以通过能够正常控制的致动器进行所有控制操作时，故障安全策略确定装置450可以通过分析由前方摄像机捕获的影像来识别车道，以进行如下面的表1所示的致动器控制。
[0205]
[表1]
[0206]
mdpstcuemsescepb保持控制(保持车道)保持控制保持控制进行低减速控制非紧固控制
[0207]
附图标记1020是用于示出在由于gps接收器故障而无法接收车辆的位置信息的情况(情况2)下的示例性故障安全策略的示意图。
[0208]
参考附图标记1020，系统故障确定装置420可以从精确定位装置311接收通知gps接收器301的故障的预定控制信号。
[0209]
致动器状态识别装置430可以确定诸如mdps/esc/epb/tcu/ems的致动器是否正常工作，以确定所有致动器处于能够正常工作的状态。
[0210]
风险度计算器440可以基于故障类型、故障数量和车辆行驶状态信息(即，车辆周围情况和行驶情况信息)来计算风险度。
[0211]
例如，针对情况2，风险度计算器440可以确定当前故障的风险度(严重程度)＝1.0(正常)、基于多个故障的权重值＝1(无)、基于周围/行驶情况的权重值＝0.5(低)，以将最终风险度确定为0.5(1
×1×
0.5)(低)。
[0212]
当最终风险度低并且可以通过能够正常控制的致动器进行所有控制操作时，故障安全策略确定装置450可以通过分析由前方摄像机捕获的影像来识别车道，以进行如下面的表2所示的致动器控制。
[0213]
[表2]
[0214]
mdpstcuemsescepb保持控制(保持车道)保持控制保持控制进行低减速控制非紧固控制
[0215]
附图标记1030是用于示出在非常拥堵的道路上轮胎气压快速下降的情况(情况3)下的示例性故障安全策略的示意图。
[0216]
参照附图标记1030，系统故障确定装置420可以从tpms接收轮胎气压感测信息，以识别轮胎气压的快速下降。
[0217]
致动器状态识别装置430可以确定诸如mdps/esc/epb/tcu/ems的致动器是否正常工作，以确定所有致动器处于能够正常工作的状态。
[0218]
风险度计算器440可以基于故障类型、故障数量和车辆行驶状态信息(即，车辆周围情况和行驶情况信息)来计算风险度。
[0219]
例如，针对情况3，风险度计算器440可以确定当前故障的风险度(严重程度)＝1(正常)、基于多个故障的权重值＝1(无)、基于周围/行驶情况的权重值＝1.5(高)，以将最终风险度确定为1.5(1
×1×
1.5)(高)。
[0220]
当最终风险度高并且可以通过能够正常控制的致动器进行所有控制操作时，故障安全策略确定装置450可以进行如下面的表3所示的致动器控制。
[0221]
[表3]
[0222]
mdpstcuemsescepb保持控制(保持车道)保持控制保持控制进行快速减速控制非紧固控制
[0223]
附图标记1040是用于示出在不拥堵的道路上轮胎气压快速下降的情况(情况4)下的示例性故障安全策略的示意图。
[0224]
参照附图标记1040，系统故障确定装置420可以从tpms接收轮胎气压感测信息以识别轮胎气压的快速下降。
[0225]
致动器状态识别装置430可以确定诸如mdps/esc/epb/tcu/ems的致动器是否正常工作，以确定所有致动器处于能够正常工作的状态。
[0226]
风险度计算器440可以基于故障类型、故障数量和车辆行驶状态信息(即，车辆周围情况和行驶情况信息)来计算风险度。
[0227]
例如，针对情况4，风险度计算器440可以确定当前故障的风险度(严重程度)＝1.0(正常)、基于多个故障的权重值＝1(无)、基于周围/行驶情况的权重值＝0.5(低)，以将最终风险度确定为0.5(1
×1×
0.5)(低)。
[0228]
当最终风险度低并且通过能够正常控制的致动器可以进行所有控制操作时，故障安全策略确定装置450可以进行如下面的表4所示的致动器控制。
[0229]
[表4]
[0230]
mdpstcuemsescepb保持控制(保持车道)保持控制保持控制进行低减速控制非紧固控制
[0231]
附图标记1050是用于示出在由于mdps故障而无法进行横向控制的情况(情况5)下的示例性故障安全策略的视图。
[0232]
参考附图标记1050，系统故障确定装置420可以从转向系统327接收mdps致动器故障信息。
[0233]
致动器状态识别装置430可以确定诸如mdps/esc/epb/tcu/ems的致动器是否正常工作，以确定所有致动器处于能够正常工作的状态。
[0234]
风险度计算器440可以基于故障类型、故障数量和车辆行驶状态信息(即，车辆周
围情况和行驶情况信息)来计算风险度。
[0235]
例如，针对情况5，风险度计算器440可以确定当前故障的风险度(严重程度)＝2.0(高)、基于多个故障的权重值＝1(无)、基于周围/行驶情况的权重值＝2.0(非常高)，以将最终风险度确定为4.0(2.0
×1×
2.0)(非常高)。
[0236]
当最终风险度非常高并且无法通过mdps致动器进行正常控制时，故障安全策略确定装置450可以进行如下面的表5所示的致动器控制。
[0237]
[表5]
[0238]
mdpstcuemsescepb无法控制保持控制保持控制进行最大减速控制非紧固控制
[0239]
附图标记1060是用于示出在由于制动系统故障而无法进行纵向控制的情况(情况6)下的示例性故障安全策略的示意图。
[0240]
参考附图标记1060，系统故障确定装置420可以从制动系统325接收esc致动器故障信息。
[0241]
致动器状态识别装置430可以确定诸如mdps/esc/epb/tcu/ems的致动器是否正常工作，以确定所有致动器处于能够正常工作的状态。
[0242]
风险度计算器440可以基于故障类型、故障数量和车辆行驶状态信息(即，车辆周围情况和行驶情况信息)来计算风险度。
[0243]
例如，针对情况6，风险度计算器440可以确定当前故障的风险度(严重程度)＝3.0(非常高)，基于多个故障的权重值＝1(无)，基于周围/行驶情况的权重值＝1.0(正常)，以将最终风险度确定为3.0(3.0
×1×
1.0)(非常高)。
[0244]
当最终风险度非常高并且无法通过ecs致动器进行正常控制时，故障安全策略确定装置450可以进行如下面的表6所示的致动器控制。
[0245]
[表6]
[0246]
mdpstcuemsescepb控制以保持控制n挡换挡控制输出限制控制无法控制紧固控制
[0247]
结合本文公开的示例描述的方法或算法的操作可以直接实现在硬件或由处理器执行的软件模块中，或者以其组合形式实现。软件模块可以驻留在存储介质上(也就是存储器和/或存储装置)，例如ram、闪存、rom、eprom、eeprom、寄存器、硬盘、可移动硬盘以及cd-rom。
[0248]
示例性存储介质可以联接到处理器，所述处理器能够从存储介质读取信息，或者将信息写入存储介质。在另一种方法中，存储介质可以与处理器集成在一起。处理器和存储介质可以驻留在专用集成电路(asic)中。asic可以驻留在用户终端内。在另一种方法中，处理器和存储介质可以作为单独的组件驻留在用户终端中。
[0249]
以上描述仅说明本发明的技术思想，本领域的技术人员可以在不偏离本发明的基本特征的情况下进行各种修改和更改。因此，本发明中公开的各种实施方案并非旨在限制本发明的技术思想，而是用于说明本发明，并且本发明的技术思想的范围不受这些实施方案的限制。本发明的范围应被解释为被所附权利要求的范围覆盖，并且落入权利要求的范围内的所有技术思想都应解释为包括在本发明的范围内。
[0250]
本发明具有提供用于控制自动驾驶的装置和方法的优点。
[0251]
另外，本发明的优点在于提供了这样一种用于控制自动驾驶的方法和装置，其能够基于在自动驾驶期间感测到的故障类型和车辆周围的行驶情况来动态地提供故障安全策略。
[0252]
另外，本发明的优点在于提供了这样一种用于控制自动驾驶的方法和装置，其能够通过在自动驾驶过程中感测到系统故障时，基于故障类型和风险度来区分故障安全策略，从而能够实现安全停车引导以及向驾驶员安全转移控制权。
[0253]
另外，本发明的优点在于提供了这样的一种用于控制自动驾驶的方法和装置，其能够通过针对每种故障类型进行区分的控制策略来增加行驶安全性，并使驾驶员的差异感最小化。
[0254]
另外，可以提供可以通过本文直接或间接识别出的各种效果。
[0255]
在上文中，尽管已经参考示例性实施方案和所附附图描述了本发明，但是本发明并不限于此，本发明所属领域的技术人员可以进行各种改变和修改，而不会脱离由所附权利要求所要求保护的本发明的精神和范围。