自主车辆引导权限框架的制作方法

相关申请

本pct国际申请要求于2018年11月8日提交的第16/184,958号的美国专利申请的优先权的权益，其通过援引并入本文。

背景技术：

自主车辆依赖于各种系统和方法来安全且有效地对世界进行导航。然而有时，自主车辆可能会收到来自该自主车辆的系统以外的引导。例如，远程操作者可向自主车辆提供新路线，使自主车辆改变路线经过尚未反应在全局地图上的事故，或者乘客可识别路人是自主车辆应接上的个体。然而，如果自主车辆收到冲突的引导，例如来自两个不同的行为人的同时引导，那么自主车辆的安全性和效率可能会受到影响。

附图说明

详细说明参照所附附图来描述。在附图中，附图标记的最左边的(多个)数字表示附图标记首次出现的附图。不同附图中的相同附图标记表示相似或相同的对象。

图1示出描绘了自主车辆和两个示例行为人的示例场景，其中，向自主车辆提供引导的权限可被限制在一个或多个行为人。

图2示出示例系统的框图，系统用于确保向行为人授予权限和/或用于限制提供给自主车辆的引导。

图3示出示例流程的图解流程图，流程用于确保向行为人授予权限、在行为人之间转移权限和/或追踪具有权限的行为人。

图4a和图4b示出示例场景的框图，在示例场景中，当车辆当前具有权限时，行为人传送接管消息。

图4c示出在被授予权限的情况下用于向自主车辆提供引导的示例用户界面。

图5a和图5b示出示例场景的框图，在示例场景中，参与行为人传送让渡/放手(relinquish)消息。

图6a和图6b示出示例场景的框图，在示例场景中，当另一行为人当前具有权限时，行为人传送接管消息。

图7a和图7d示出示例移交和/或升级程序的框图。

图7b示出用于使计算装置传送移交和/或升级消息的示例用户界面。

图7c示出用于使计算装置响应移交和/或升级通知的示例用户界面。

具体实施方式

如上所述，如果自主车辆收到冲突的引导，例如来自两个不同的行为人的同时引导，那么自主车辆的安全性和效率可能会受到影响。本申请描述避免来自多个不同行为人的冲突的引导的技术。例如，本申请描述用于向行为人授予权限以向自主车辆提供引导的技术、在行为人之间转移权限的技术和追踪具有权限的行为人的技术。引导可包括命令(例如待由自主车辆执行的一组或多组指令)、协作指令(例如通过指令，向自主车辆提供一些信息并且自主车辆能够使用这些信息来自行控制)、确认(例如表示应执行的由自主车辆确定的建议命令的一个或多个信号)和/或行驶控制指令。在一些实施例中，这些技术可包括在一时间将权限限制至单一行为人。

在一些实施例中，自主车辆可追踪谁具有向自主车辆提供引导的权限，并且自主车辆可禁止当前具有权限的行为人(本文中称为“参与行为人”)以外的行为人向自主车辆提供引导。在另外的或替代的示例中，另一计算装置、例如基于云的服务可追踪谁具有权限。在一些情况下，参与行为人可以是人类和/或人工智能(ai)组件。尽管可设想行为人可包括多于一个行为人，然而一次仅能有一个行为人向自主车辆的一个组件提供引导。

例如，如果两个行为人具有向自主车辆提供引导的权限，那么这两个行为人可被排除向自主车辆的同一组件提供引导，但是可以向自主车辆的两个不同组件提供引导。举例说明，第一行为人可具有向自主车辆的规划组件提供引导的权限(例如，提供在施工区导航的建议路线)，而第二行为人可具有提供用于乘客舒适度的内部温度控制的权限。无论如何，如本文所说地，在权限追踪器未将权限首次从第一行为人转移至第二行为人的情况下，第一行为人具有由权限追踪器允许的向自主车辆的至少一个组件提供引导的“权限”，而第二行为人(和/或任何其他行为人)被权限追踪器排除向同一组件提供引导。例如，从被排除的行为人处收到的任何引导会被忽略和/或从被排除的行为人处收到的用于自主车辆执行操作的请求会被否决。在一些情况下，除非从自主车辆的广播的状态指示行为人具有权限，在与行为人关联的装置上运行的应用程序不会在用户界面中填充用于向自主车辆传送引导的选项和/或该装置可以不向自主车辆传送引导。

在一些情况下，引导可包括经由自主车辆的一个或多个传感器的、否则自主车辆无法获得的数据(例如对乘客的认知或乘客的方向，例如接上额外乘客的指令或从许多路人中识别所述额外乘客)、自主车辆的组件的输出的确认、协作指令或命令。

在一些情况下，自主车辆(和/或追踪谁具有权限的任何装置)可包括权限追踪器，其构造为具有指定一个或多个条件的策略，响应于所述一个或多个条件，权限可从一个行为人转移至另一行为人。例如，策略可包括状态机，其指定至少一个角色(例如远程操作者、行驶操作者、监督者、超级用户)、状态或权限可从一个行为人转移至另一个行为人的活动。例如，远程操作者可提供关于自主车辆的动作和/或外部发射器活动(例如开灯、经由扬声器发声)的引导，行驶操作可向自主车辆的不同的(多个)组件提供与乘客和车辆互动(例如打开自主车辆的门、识别与自主车辆相关的乘客、改变自主车辆的内部温度)有关的引导，监督者可与其他(多个)行为人关联，和/或超级用户可以是针对自主车辆的封闭道路测试的特殊行为人并且可包括例如越权策略的试车驾驶员。权限追踪器可在存储器中存储状态，所述状态识别谁当前具有向自主车辆提供引导的权限(“参与行为人”)、该行为人具有权限的自主车辆和/或自主车辆的组件的标识、可获得权限的第二行为人的身份标识和/或状况(例如成功、失败、超时、等待移交、升级(escalating))。在一些情况下，权限追踪器可通过“状态”通道向订阅该状态通道的一个或多个装置周期性地传送(公布)当前存储在存储器中的状态。

状态可保持不修改直至权限追踪器授权转移权限。当权限追踪器授权第二行为人获得权限时(即，权限从第一行为人转移至第二行为人)，权限追踪器可将存储在存储器中的认定第一行为人具有权限的第一状态替换为认定第二行为人具有权限的第二状态。

在一些情况下，为了接收将权限转移至不同行为人的请求，权限追踪器可订阅“控制”通道并且可触发对策略的评估，至少部分地基于确定从控制通道发送的请求包括自主车辆(和/或其组件)的身份标识。在一些情况下，从控制通道接收的请求(例如控制消息)可包括活动、目标身份标识(例如消息针对的是哪个自主车辆和/或哪个组件)、来源身份标识(例如与行为人关联的身份标识)和/或第二目标身份标识(例如当第一行为人寻求将权限转移给第二行为人时)中的至少一个。

活动例如可包括接管消息、让渡消息、移交消息、升级消息和/或拒绝消息。接管消息可表示发出接管消息的行为人请求将权限从参与行为人转移至请求行为人。让渡消息可表示当前具有权限的行为人放弃权限，导致权限被归还给权限的先前持有者(其可通过第二身份标识被识别)、权限的默认持有者(例如自主车辆)和/或自主车辆。移交消息可表示参与行为人请求将权限转移至不同的行为人。升级消息可表示参与行为人请求将权限转移至监督行为人。

在一些情况下，权限追踪器可与公布和/或提供用户信息的目录服务通信关联，例如与被授权获得权限的行为人相关的身份标识(例如用户名)、与行为人相关的角色、主机名(例如与行为人相关的计算装置的标识)、在计算装置上运行的引导应用程序的流程名称(例如行驶经验流程、协作指令流程、驾驶包线修改流程、路线修改流程、城市事件通知流程)和/或其散列(hash)。在一些情况下，控制消息可包括行为人的用户信息，所述行为人生成控制消息，并且权限追踪器可在确定是否向所述行为人授予权限之前验证行为人被目录服务验证。

本文所述的技术可改进自主车辆的安全性和效率。在多个行为人试图向自主车辆提供引导的情况下，本文所述的技术可减少自主车辆继续运行或正常运行所需的时间并且可减少用于确定实施哪个引导和/或改正由试图实施冲突引导所导致的错误的计算周期。

示例场景

图1示出示例场景100，包括自主车辆102和行为人104(1)-(x)。虽然行为人104(1)-(x)被描绘为代表人类，但行为人104(x)可包括人类、ai组件和/或任何其他装置。尽管本文所做讨论主要使用车辆或自主车辆作为示例，但可设想本文所讨论的技术可应用于其他场景，在所述其他场景中可以有两个或更多行为人向机器提供引导和/或指令，和/或在所述其他场景中同时发生的覆盖输入可引起机器运行的降级。

在一些情况下，自主车辆102可以是构造为根据美国国家公路交通安全管理局颁布的5级分类运行的自主车辆，其描述了能够执行对于整个旅程来说所有安全性关键功能的车辆，其中，不期待驾驶员(或乘员)在任何时候控制车辆。然而，在其他示例中，自主车辆102可以是具有任何其他级别分类的完全或部分的自主车辆。而且，在一些情况下，本文描述的引导隔离技术也可被非自主车辆使用。

根据本文所述的技术，自主车辆102可接收来自自主车辆102的(多个)传感器106的数据。例如，传感器数据可包括位置信号(例如gps信号)、惯性信号(例如加速度计信号、陀螺仪信号等)、磁力计信号、车轮编码器信号、速度计信号、累积的激光雷达(lidar)和/或雷达(radar)点的点云、图像(或多个图像)、音频信号和/或减重或其他环境信号等。自主车辆102可使用接收自这样的(多个)传感器106的传感器数据来确定控制自主车辆102的动作的轨迹和/或确定与所述轨迹相关的置信级，所述轨迹表明自主车辆102安全和/或有效运行的可能性。

在根据示例场景100运行的过程中，自主车辆102遇到了被描绘为倒下的垃圾桶的障碍物108。在一些情况下，至少部分地基于确定与控制自主车辆102不达到临界置信度的轨迹相关的置信级，自主车辆102可生成远程操作请求。自主车辆102可经由网络110将远程操作请求传输至与(多个)行为人104(1)-(x)关联的计算装置112(1)-(x)。这个远程操作请求可以是自主车辆102寻求引导的表示。然而可设想的是，自主车辆102不需要寻求引导以接收引导和/或为行为人104(x)寻求获得权限以向自主车辆102提供引导。例如，乘客可提供引导，附近的遥控操作者可提供引导和/或直接控制，路人可提供引导，远程操作者可提供引导等。在乘客或路人向自主车辆102提供引导的情况下，乘客或路人可能不知道在经由与乘客或路人关联的计算装置向自主车辆102提供引导时，如本文所述地，运行在计算装置上的应用程序可生成获得权限的请求。

在一些情况下，计算装置112(x)可包括引导应用程序114。引导应用程序114可被构造为生成并通过控制通道传输控制消息和/或通过状态通道接收状态消息。例如，网络110可被构造为按路线发送(route)来自(多个)自主车辆和/或(多个)行为人的控制消息，所述自主车辆和/或行为人将控制消息发布给控制通道的订阅者，和/或按路线发送来自(多个)自主车辆的状态消息，所述自主车辆将状态消息发布给状态通道的订阅者。当被计算装置112(x)执行时，引导应用程序114可额外地或替代地引起用户界面116的显示。用户界面116可包括可选择的元素，在启动的情况下，可选择的元素可生成包括计算机可执行的指令和/或逻辑的引导。用户界面116的另一组件可被选择，以使计算装置112(x)将计算机可执行的指令经由网络110传输至自主车辆102。

在一些情况下，引导可包括额外的数据(例如乘客/路人对个体的识别)、自主车辆102可能不知道的紧急情况的标识(例如卡在轮胎或底盘中的物体)、命令、协作指令和/或确认。例如，所述引导的计算机可执行的指令包括：

·命令(例如待由自主车辆102执行的一组或多组指令)，包括下述项中的一个或多个：

o自主车辆102的轨迹，

o启动自主车辆102的喇叭，

o对自主车辆102的传动系的修改，

o打开自主车辆102的警示灯，

o使自主车辆102的灯闪光，

o使自主车辆102保持就位，

o使自主车辆102向前缓动，

o使自主车辆102靠边停车，

o使用外部和/或内部扬声器，

o打开车辆的一个或多个门，或

o反向和/或向前微移；

·协作指令(例如通过指令，向自主车辆102提供一些信息并且自主车辆102能够使用这些信息来自行控制)包括下述项中的一个或多个：

o修改自主车辆102的路线，

o修改对象分类，

o修改对象踪迹，

o路径点，

o修改事件和/或其他分类数据(例如改变和/或添加对象标签或事件标签)，

o提供额外的分类和/或情境(contextual)信息(例如创建新标签，暂时放松对相关的不可预测性的指示，例如，当“狗在路上”事件可能与不可预测的标签相关时，远程操作者可能认为狗只是坐在路边并可向自主车辆102提供可预测性增加的指示)，

o修改由自主车辆102生成的预测(例如自主车辆102可能预测足球运动员由于他们当前的轨迹可能跑入街道，但因为远程操作者对足球场及其与道路的近距的感知，对预测的修改可降低这种可能性)，

o创建与由自主车辆102识别的数据相关的新规则(例如将新状态存储在自主车辆102的有限状态机中，使自主车辆102构造为将组合输入分类为新关联的分类和/或执行操作)，

o对区域进行分类(例如认定区域为30分钟事故现场，这可能导致车队的其他车辆改变路线)，或

o扩大自主车辆102的驾驶通道，以便自主车辆102可计划无碰撞的轨迹；

·对自主车辆102确定的轨迹、分类、预测、使用喇叭和/或灯光、放松规则(例如，驾驶通道扩大)、参数变更(例如因学校区域而降低限速、因乘客健康状况不佳而提高限速)和/或区域分类的确认(例如，指示由自主车辆102确定的建议命令应被执行的一个或多个信号)；和/或

·行驶控制指令，所述指令修改对乘客产生影响的条件，包括下述项中的一个或多个：

o调节车辆内部的温度，

o调节车辆的悬架系统的阻尼，

o经由车辆内部的(多个)输入/输出(i/o)装置呈现图像、音频和或视频，和/或

o切换内部-内部和/或外部-内部的降噪功能。

在所示示例中，行为人104(x)可经由引导应用程序114在网络110上的控制通道传输控制消息、传输可包括识别自主车辆102和/或识别行为人104(x)的接管消息的请求。自主车辆102可包括运行有权限追踪器120的(多个)计算装置118。尽管在图1中为便于说明描绘了权限追踪器在自主车辆102中，这种权限追踪器120可从那里遥控(例如像基于云的服务那样)。

权限追踪器可追踪哪个行为人当前具有向自主车辆102提供引导的权限(即“参与行为人”)和/或权限追踪器120可至少部分地基于策略确定何时将权限从一行为人转移至另一行为人。例如，权限追踪器120可接收来自行为人104(x)的请求，至少部分地基于策略可决定批准所述请求。在一些情况下，权限追踪器120可通过将状态122存储在自主车辆102的存储器中来追踪哪个行为人具有权限。在决定批准所述请求的情况下，权限追踪器可修改存储在存储器中的状态122，以指示(124)行为人104(x)具有向自主车辆102提供引导的权限。

应注意，自主车辆102自身可以是行为人之一，并且在一些情况下，自主车辆102可以是默认行为人，即为权限归还的行为人和权限发源的行为人。例如，状态122描述了行为人104(1)-(x)和自主车辆102是可拥有控制权的潜在行为人，以及对积极掌握权限的行为人的指示(124)，如下所述，在这种情况下是行为人104(x)。

在一些情况下，权限是排他的(即，没有其他行为人可同时具有向相同自主车辆102和/或自主车辆102的组件提供引导的权限)。然而，当权限追踪器120将权限授予自主车辆102以外的行为人时，所授予的权限可被限制为向自主车辆的(多个)特定组件提供引导。换言之，自主车辆102可通过持续生成自主车辆102的运动进行控制的轨迹和/或其他这样的安全性关键特征来保留对自主车辆102的终极控制权。在一些情况下，自主车辆102可将接收自具有权限的行为人的引导用作确定控制自主车辆102的指令的部分(例如，所述引导可修改驾驶包线和/或路线，但自主车辆102保留对生成受制于驾驶包线和/或新路线的轨迹的控制权)。

然而，在一些情况下，例如在自主车辆的试驾期间、在封闭道路上进行试验性驾驶期间，与超级用户角色关联的行为人可传送接管消息，接管消息允许行为人甚至控制轨迹生成，例如通过将自主车辆102恢复至半自主模式。

一旦行为人104(x)已被权限追踪器120授予权限，正如通过修改状态122识别行为人104(x)拥有权限所表明(和规范化)地，自主车辆102就可针对确定控制自主车辆102的指令至少部分地使用接收自行为人104(x)、现在是参与行为人的引导。在一些情况下，接收自行为人104(x)的引导可从计算装置112(x)和/或引导应用程序114经由网络110接收。

由权限追踪器120存储的策略可确定权限如何转回至自主车辆102(“归还”)和/或转移至另一行为人。在一些情况下，权限可至少部分地基于下述情况归还给自主车辆，即，接收来自参与行为人的让渡消息、确定参与行为人与自主车辆102之间的连接超时(例如引导应用程序114可周期性传输保活消息并且在特定时间段内对保活消息接收失败的情况下，权限可归还给自主车辆102)、和/或在接收来自超级用户(例如在封闭道路测试期间操作自主车辆102的试车驾驶员)的解除消息的情况下。在一些示例中，这种解除消息可基于下述情况自动生成，例如，自主车辆102超过一些障碍、生成具有某些临界置信度的轨迹或者以其他方式不再需要依赖于外部引导。在一些情况下，权限可至少部分地基于接收移交消息和/或升级消息和/或在确定与参与行为人的连接超时的情况下转移至另一行为人。

示例架构

图2描绘了用于实施本文所述的技术的示例系统200的框图。在一些情况下，示例系统200可包括计算装置202。在所示示例中，计算装置202包括自主车辆；然而，计算装置202可以是任何其他类型的计算装置和/或半自主车辆或非自主车辆。例如，计算装置202可包括自主车辆102。

计算装置202可包括(多个)传感器204、(多个)发射器206、(多个)网络接口208和/或一个或多个驾驶模块210。在一些情况下，(多个)传感器204可包括光检测和测距(lidar)传感器、radar传感器、超声换能器、声纳传感器、位置传感器(例如全球定位系统(gps)、罗盘等)、惯性传感器(例如惯性测量单元(imu)、加速计、磁力计、陀螺仪等)、相机(例如红-绿-蓝(rgb)、红外(ir)、强度、深度、飞行时间等)、麦克风、车轮编码器、环境传感器(例如温度传感器、湿度传感器、光传感器、压力传感器等)等。(多个)传感器204可以包括这些或其他类型的传感器中的每一个的多个实例。例如，lidar传感器可包括位于计算装置202的拐角部、正面、背面、侧面和/或顶部的单独的lidar传感器。作为另一示例，相机传感器可包括放置在计算装置202的外部和/或内部周围的各个位置的多个相机。(多个)传感器204可向计算装置202提供输入。

如上所述，车辆202也可包括(多个)发射器206，用于发射光和/或声音。(多个)发射器206在本示例中包括(多个)内部音频和视觉发射器，以与计算装置202的乘客通信。通过示例但非限制性地，(多个)内部发射器可包括扬声器、灯、标志、显示屏、触摸屏、触觉发射器(例如振动和/或力反馈)、机械致动器(例如安全带张紧器、座椅定位器、头枕定位器等)以及诸如此类。(多个)发射器206在本示例中也包括(多个)外部发射器。通过示例但非限制性地，(多个)外部发射器在本示例中包括发出行驶方向信号或其他指示车辆活动的灯(例如指示灯、标志、灯光阵列等)，以及一个或多个音频发射器(例如扬声器、扬声器阵列、喇叭等)，用于与行人或其他附近车辆进行声音通信，其中一个或多个外部发射器包括声束转向技术。

计算装置202也可包括(多个)网络接口208，所述网络接口能在计算装置202与一个或多个其他本地计算装置或远程计算装置之间进行通信。例如，(多个)网络接口208可有利于与计算装置202和/或(多个)驾驶模块210上的(多个)其他本地计算装置的通信。而且，(多个)网络接口208可允许车辆与(多个)其他附近计算装置(例如其他附近的车辆、交通信号等)通信。(多个)网络接口208也使车辆202能和与行为人关联的计算装置212通信，和/或能和与目录服务关联的计算装置(目录装置)214通信。

(多个)网络接口208可包括物理接口和/或逻辑接口，用于将计算装置202连接至另一计算装置或网络、比如(多个)网络216。例如，(多个)网络接口208可实现基于wi-fi的通信，例如通过由ieee800.11标准限定的频率、短距离无线频率比如蓝牙、蜂窝通信(例如2g、3g、4g、4glte、5g等)或任何合适的有线或无线通信协议，所述通信协议能实现相应计算装置与(多个)其他计算装置通过接口连接。

在一些情况下，计算装置202可包括一个或多个驾驶模块210。在一些情况下，计算装置202可具有单一驾驶模块210。在一些情况下，(多个)驾驶模块210可包括一个或多个传感器，以检测(多个)驾驶模块210的工况和/或计算装置202的环境。通过示例但非限制性地，(多个)驾驶模块210的(多个)传感器可包括一个或多个车轮编码器(例如旋转编码器)以感测驾驶模块的车轮的旋转、惯性传感器(例如惯性测量单元、加速计、磁力计、陀螺仪等)以测量驾驶模块的取向和加速度、相机或其他图像传感器、超声传感器用于以声学方式检测驾驶模块周围的物体、lidar传感器、radar传感器等。一些传感器、例如车轮编码器可能是(多个)驾驶模块210所特有的。在一些情况下，(多个)驾驶模块210的(多个)传感器可与计算装置202(例如(多个)传感器204)的对应系统重叠或互为补充。

(多个)驾驶模块210可包括车辆系统中的许多，包括高压电池、推动车辆的马达、将电池的直流电转换为交流电供其他车辆系统使用的逆变器、包括转向马达和转向架(可以是电动的)的转向系统、包括液压或电动致动器的制动系统、包括液压和/或气动组件的悬挂系统、用于分散制动力以降低牵引力损失并保持控制的稳定性控制系统、hvac(高压交流电)系统、照明(例如用于照亮车辆外部环境的头/尾灯的照明)以及一个或多个其他系统(例如冷却系统、安全系统、车载充电系统、其他电气组件比如dc/dc转换器、高压结点、高压电缆、充电系统、充电端口等)。此外，(多个)驾驶模块210可包括驾驶模块控制器，其可接收和预处理来自(多个)传感器的数据以控制各种车辆系统的操作。在一些情况下，驾驶模块控制器可包括一个或多个处理器以及与一个或多个处理器通信耦接的存储器。存储器可存储一个或多个模块，以执行(多个)驾驶模块210的各种功能。进一步地，(多个)驾驶模块210也可包括一个或多个通信连接，所述通信连接能实现各驾驶模块与一个或多个其他本地或远程计算装置的通信。

计算装置202可包括一个或多个处理器218和与一个或多个处理器218通信耦接的存储器220。(多个)计算装置212和/或214也可分别包括(多个)处理器222和224、(多个)网络接口226和228、和/或存储器230和232。(多个)处理器218、222和/或224可以是任何合适的处理器，所述处理器能够执行指令以处理数据并且执行如本文所述的操作。通过实例但非限制性地，(多个)处理器218、222和/或224可包括一个或多个中央处理单元(cpu)、图形处理单元(gpu)、集成电路(例如特定用途集成电路(asic)等)、门阵列(例如现场可编程门阵列(fpga)等)和/或任何其他装置或装置的一部分，该装置处理电子数据以将该电子数据转化为可存储在寄存器和/或存储器中的其他电子数据。

存储器220、230和/或232可以是非暂时性计算机可读介质的示例。存储器220、230和/或232可存储操作系统和一个或多个软件应用、指令、程序和/或数据，以实现本文所述的方法和归属于各种系统的功能。在各种实施方案中，存储器可以使用任何合适的存储器技术来实现，如静态随机存取存储器(sram)、同步动态ram(sdram)、非易失性/闪存型存储器、或任何其他能够存储信息的存储器类型。本文所描述的架构、系统和个别要素可以包括许多其他的逻辑、程序和物理组件，其中附图中所示的组件只是与本文讨论有关的示例。

在一些情况下，计算装置202的存储器220可以存储(多个)组件234，例如感知组件、定位组件、规划组件和/或类似组件，所述组件在由一个或多个处理器218执行时，可以执行各种操作以操作计算装置202。

例如，感知组件可包括执行物体检测、分割和/或分类的功能。在一些情况下，感知组件可以提供经过处理的传感器数据，所述数据指示靠近计算装置202的实体的存在和/或该实体的分类为实体类型(例如汽车、行人、骑手、动物、建筑物、树、路面、路缘、人行道、未知物等)。在额外的和/或替代的情况下，感知组件可以提供经过处理的传感器数据，所述数据表明与检测到的实体和/或与该实体所处/所取向的环境相关的一个或多个特征。在一些情况下，与实体相关的特征可以包括但不限于x-位置/取向(全局位置/取向)、y-位置/取向(全局位置/取向)、z-位置/取向(全局位置/取向)、取向、实体类型(例如分类)、实体的速度、实体的范围(尺寸)、传感器信号质量和/或其他特征、信号中存在的特征量的指示、与传感器信号相关的清晰度分数等。与环境相关的特征可以包括但不限于环境中另一实体的存在、环境中另一实体的状态、一天中的某个时间、一周中的某一天、季节、天气状况、黑暗/光线的指示等。在一些情况下，引导可以指定感知组件的输出(例如实体的分类、环境的特征、计算装置202所在区域发生的事件)。

在一些情况下，定位组件可包括接收来自(多个)传感器204的数据的功能，以确定计算装置202的地图和/或位置或取向。例如，定位组件可包括和/或请求/接收环境的地图并且可持续确定所述地图内的自主车辆的定位。在一些情况下，定位组件可以利用同时定位和/或地图构建(slam)和/或同时校准、定位和/或地图构建(clams)，以接收图像数据、lidar数据、radar数据、imu数据、gps数据、车轮编码器数据等，以准确确定自主车辆的定位。在一些情况下，定位组件可向计算装置202的各种组件提供数据以确定自主车辆的初始位置/取向，用于如本文所述生成候选轨迹。

通常，规划组件可确定计算装置202在环境中穿行所要遵循的路径。例如，规划组件可确定各种路线和轨迹以及各种级别的细节。例如，规划组件可确定从第一定位(例如当前定位)行进至第二定位(例如目标定位)的路线。为了本文讨论的目的，路线可以是在两个定位之间行进的一系列路径点。作为非限制性示例，路径点包括街道、交叉口、坐标(例如由定位和/或地图构建组件和/或gps确定)等。进一步地，规划组件可生成用于引导计算装置202沿着从第一定位到第二定位的至少一部分路线的指令。在一些情况下，规划组件可确定如何将自主车辆从所述一系列路径点中的第一路径点引导至所述一系列路径点中的第二路径点。在一些情况下，指令可以是轨迹或部分轨迹。在一些情况下，多个轨迹可根据滚动时域技术基本上同时生成(例如在技术容差内)。在一些情况下，并且如本文所述地，规划组件可从定位组件接收地图和/或位置/取向，和/或可接收各种数据，比如物体、事件的标识和/或分类，和/或可从感知组件接收环境的特征。

在一些情况下，一个或多个组件234可以整体或部分实施为神经网络。如本文所述，示例性神经网络是受生物启发的算法，它将输入数据通过一系列的连接层来产生输出。神经网络的每层也可包括另一神经网络，或可包括任何数量的层(无论是否为卷积的)。正如在本公开内容的上下文中可以理解的那样，神经网络可以利用机器学习，这可以指广泛的此类算法，在所述算法中输出是基于学习的参数生成的。

虽然是在神经网络的背景下进行讨论，但任何类型的机器学习都可以用于符合本公开内容。例如，机器学习算法可以包括但不限于回归算法、基于实例的算法、贝叶斯算法、关联规则学习算法、深度学习算法等。神经网络架构的其他或替代示例可以包括神经网络，如resnet20、resnetlol、vgg、densenet、pointnet等。

在一些情况下，(多个)组件234可以处理传感器数据，如上所述，并且可以通过(多个)网络216将它们各自的输出发送到一个或多个计算装置212。在一些情况下，(多个)组件234能以特定的频率、在经过预定的时间段之后、以接近实时的方式等将它们各自的输出发送到一个或多个计算装置212。

在一些情况下，计算装置202可以通过(多个)网络216将传感器数据发送到一个或多个计算装置212。(多个)计算装置212可以代表计算装置112(1)-(x)。在一些情况下，车辆202可以将原始传感器数据发送到(多个)计算装置212。在其他示例中，计算装置202可以向(多个)计算装置212发送经过处理的传感器数据和/或传感器数据的表示。

在一些情况下，存储器220可以进一步存储一个或多个系统控制器236，所述系统控制器可以被配置为控制计算装置202的转向、推进、制动、安全、(多个)发射器、通信和其他系统，例如通过向(多个)驾驶模块210传达指令、和/或控制(多个)驾驶模块210的对应系统和/或计算装置202的其他组件。

在一些情况下，存储器220可以额外地或替代地存储权限追踪器238，所述权限追踪器在被一个或多个处理器218执行时可以使计算装置202执行本文讨论的各种活动。权限追踪器238可以在存储器220中存储状态240，以追踪当前具有向计算装置202提供引导的权限的行为人。在一些情况下，权限追踪器238可以至少部分地基于存储在存储器220中的策略242来确定将权限从第一行为人转移至第二行为人。

在一些情况下，策略242可以包括状态机。状态机可以指定一个或多个条件，并且单个条件可以与转移相关联。例如，如果条件被满足，例如通过接收来自行为人的请求，该请求指定了满足该条件的数据(例如鉴于行为人的角色、情况等，提出请求的行为人能够获取控制)，那么通过更新状态240以反映提出请求的行为人是参与行为人并将状态消息244传送到(多个)计算装置212，权限追踪器238可将权限从第一行为人转移给提出请求的行为人。随后从与参与行为人相关的(多个)计算装置212收到的引导可以由权限追踪器238按路线发送到由状态240识别的和/或与引导相关的适当的(多个)组件234。

如果请求不满足条件，权限追踪器238可以保持当前状态240，并且可选地，将当前状态作为状态消息244传输，从而表明权限没有发生变化。尽管权限追踪器238可以额外地或替代地传送拒绝消息，传送当前状态(而不是传送更新的状态)也可以作为拒绝消息。接收自计算装置212的、不与被状态240识别为参与行为人的行为人相对应的任何引导可以被权限追踪器238忽略。换言之，状态240可以保持不被修改，直至权限追踪器238授权转移权限。

在一些情况下，尽管任何其他数据都是可设想的，策略242的条件可以包括活动、角色或状态中的至少一个。例如，策略242可以规定，当状态240将计算装置202识别为具有权限时，策略242的条件可以要求，对于行为人从计算装置202取得权限，必须收到接管消息，并且任何角色都适合取得权限(例如，任何行为人都可以出于任何原因取得权限)。然而，策略242可以规定，当状态240识别计算装置202以外的行为人拥有权限，其中该行为人不与监督者角色相关联时，策略242的条件可以要求，对于提出请求的行为人从参与行为人那里获得权限，必须已经从参与行为人那里收到让渡消息、移交/交接消息和/或升级消息，和/或该请求必须识别提出请求的行为人是监督者。在一些示例中，当车辆持有权限时，(多个)行为人可以完全被阻止获得权限和/或除了在狭义条件下(例如，在车辆上检测到安全性关键事件，车辆产生远程操作请求)。在一些情况下，权限追踪器238可以在授权行为人获得权限之前验证请求行为人的身份(例如通过开放授权(oauth)交换、通过使用公钥验证签名消息、联系目录服务等等)。下面将讨论更多限制权限转移的条件的示例。

在一些情况下，至少部分地基于接收控制消息246、基于另一事件等，权限追踪器238可以通过(多个)网络接口208在(多个)网络216上向(多个)计算装置212周期性地传送状态消息244。状态消息244可以包括存储在存储器220中的状态240的至少一部分。

在一些情况下，传输状态消息244可以包括在状态通道上传输(广播)状态消息244，这可以包括发布-订阅(pub/sub)服务，其中与至少一个行为人相关的(多个)计算装置212是订阅者。类似地，(多个)计算装置212可以通过控制通道传输控制消息246，控制通道包括发布/订阅服务，其中计算装置202可以是订阅者。此外，计算装置202和/或(多个)计算装置212可以订阅用户信息通道，以便从与目录服务250相关的(多个)目录装置214接收用户信息248。

在一些情况下，状态240和/或状态消息244可以包括下述项中至少一个，即参与行为人的身份标识、计算装置202和/或其组件的身份标识(例如车辆号码、车辆号码和被提供引导的(多个)组件234之一的标识)；状况(例如成功、失败、超时、等待移交、升级)；和/或第二身份标识(例如移交/升级所针对的角色，移交/升级所针对的行为人)。在一些情况下，“成功”可以表示权限追踪器238授权行为人获得权限，而“失败”可以表示权限追踪器238否决行为人获得权限。

在一些情况下，控制消息246可以包括关于权限的请求。例如，控制消息246可以包括下述活动，比如接管消息、让渡消息、移交消息、升级消息和/或拒绝消息。在一些情况下，无论所述消息是什么，其可以进一步包括目标车辆身份标识(例如将计算装置202与其他车辆区分开来的身份标识)、来源身份标识/身份认证标识(例如与属于其的主机发送控制消息246的行为人相关的用户名)和/或第二身份标识(例如，比如在移交和/或升级消息中用于识别另一行为人和/或角色)。在一些情况下，来源身份标识/身份认证标识可以包括用户名(例如在整个系统中是唯一的并且与目录记录252相匹配的用户名)、主机名称(例如行为人使用的特定计算装置的标识，比如媒体访问控制(mac)地址和/或互联网协议(ip)地址)、识别在(多个)计算装置212上运行的引导应用程序254的流程身份标识和/或流程名称、和/或上述数据的任何部分的散列。唯一身份标识可与系统已知的每个行为人相关联(并记录在目录记录252中)。

接管消息可表示发出接管消息的行为人请求将权限从参与行为人转移至请求行为人。在一些情况下，接管消息可作用为对远程操作者支持、移交消息、升级消息等的请求的接受。

让渡消息可以表明当前拥有权限的行为人(“参与行为人”)正在放弃权限，导致权限回归至权限的先前持有者(可通过第二标识来识别)、权限的默认持有者(例如计算装置202)、计算装置202和/或任何当前等待的提出请求的行为人。

移交消息可表示参与行为人请求将权限转移至不同的行为人。在一些情况下，移交消息可以包括参与行为人请求转移权限的特定行为人的第二身份标识，或者第二身份标识可以识别参与行为人请求转移权限的角色(例如任何“对等”行为人——与参与行为人具有相同角色的行为人、任何在线行为人)。在一些情况下，参与行为人可以保留权限，直到由移交消息识别的特定行为人和/或与移交消息识别的角色相关的行为人收到接管消息(例如，由对等行为人收到接管消息)。在一些示例中，同时要求移交和接管确保与移交相关的行为人准备好、愿意并能够向车辆提供所需的引导。在一些情况下，这种请求转移权限的过程可能会导致延迟，直到权限被实际转移。在一些情况下，当权限追踪器收到移交消息时，权限追踪器可以修改状态240，以反映接受行为人的身份标识、指定角色的标识和/或“等待移交”。

升级消息可以表明参与行为人请求将权限转移给监督行为人(例如，与目录记录252中的“监督者”角色相关联的行为人)。同样，在一些情况下，这可能包括与监督角色相关联的特定行为人的身份标识，和/或这可能包括指示监督角色。在一些情况下，参与行为人可以保留权限，直到由升级信息所识别的特定监督行为人和/或与升级信息所识别的角色(例如监督者角色)相关联的行为人收到接管消息。在一些情况下，当权限追踪器收到升级消息时，权限追踪器可以修改状态240，以反映接受监督行为人的身份标识、指定角色的标识和/或“升级”。

例如，当参与行为人无法解决问题、策略规定参与行为人不具有向车辆发送某种类型的引导和/或查看来自车辆的传感器数据的特权、和/或参与行为人不与车辆的某种类型的组件相关联(例如，当出现乘客驾驶问题时参与行为人正在处理轨迹问题，参与行为人可能没有处理该问题的权限和/或应用程序)时，那么参与行为人可以生成升级消息。

在一些情况下，引导应用程序254可以使(多个)计算装置212显示用于接收来自行为人的输入的用户界面。基于该输入，(多个)计算装置212可以生成包括计算机可执行的指令和/或逻辑的引导，该引导可以通过(多个)网络接口226传送到计算装置202。在一些情况下，用户界面可以包括可选择的元素，所述元素根据行为人的输入生成和/或传输控制消息246。在一些情况下，引导应用程序254可以不在用户界面上填充/充斥(populate)向自主车辆传送引导的选项、可以不呈现可选择的元素、和/或可以不允许行为人使(多个)计算装置212产生引导以传送给自主车辆，直到从计算装置202广播的状态消息244表明行为人有权限。

在一些情况下，状态消息244可以包括与行为人相关联的身份标识和/或主机身份标识。因此，(多个)计算装置212可以通过(多个)网络接口226接收状态消息244，并且引导应用程序254可以确定主机和/或行为人在状态消息244中被识别。作为响应，引导应用程序254可以用可选择的元素填充用户界面和/或以其他方式允许从(多个)计算装置212向计算装置202生成和/或传输引导。在一些情况下，引导应用程序254可以从状态消息244中检索车辆身份标识，以填充(多个)控制消息246和/或与传输到计算装置202的引导相关联。

在一些情况下，行为人可以用记录在目录记录252中的用户名登录(多个)计算装置212，并且在成功登录后，(多个)计算装置212可以周期性地传送“在线”信号，该信号向(多个)网络216上的一个或多个其他装置指示行为人在线。例如，在(多个)计算装置212包括与多个行为人相关联的多个装置的情况下，(多个)计算装置212可以向其他装置传送在线信号。至少部分地基于从其他装置收到的在线信号，(多个)计算装置212可以额外地或替代地在存储器230中存储(多个)活跃用户256的记录。

在一些情况下，(多个)计算装置212可以存储与(多个)活跃用户256相关联的从(多个)目录装置214收到的用户信息248。例如，第一行为人可以操作第一计算装置212，并且第一计算装置212可以收到第二行为人登录第二计算装置212的通知。第一计算装置212可以访问存储在存储器230中的用户信息248、从(多个)目录装置214请求用户信息248、和/或以其他方式获得用户信息248。在一些情况下，第一计算装置212可以在(多个)活跃用户256的记录中存储第二行为人在线的指示和/或可以存储与第二行为人相关的(例如从用户信息248中识别的)角色。

在一些情况下，(多个)计算装置212可以向其他(多个)计算装置212传输额外的信号，所述额外的信号指示(多个)计算装置212的活动。例如，在线信号可以额外地或替代性地指示行为人在线，但不是参与行为人(例如，行为人没有收到来自车辆的远程操作支持的通知，行为人没有积极地向车辆提供远程操作支持，状态通道不包括指示行为人有权限的任何状态消息)；在线信号可以额外地或替代性地指示行为人在线、但参与(例如，状态消息指示行为人是计算装置202的参与行为人，引导应用程序254作出这种指示)，等等。在一些情况下，(多个)计算装置212可以接收信号并将与信号相关的指示存储在(多个)活跃用户256的记录中。

引导应用程序254可以确定(多个)活跃用户256的子集(例如未被占用的在线用户、与“监督者”角色相关联的在线用户)，并且引导应用程序254可以使用该子集来填充用户界面和/或确定第二装置，从计算装置202收到的远程操作支持的请求、移交消息和/或升级消息传送到所述第二装置。例如，参与行为人可以请求将权限转移至监督行为人(例如，与目录记录252中的“监督者”角色相关联的行为人)。引导应用程序254可以使用户界面显示可选择的元素，在收到行为人的输入后，使用户界面显示下述元素，即，识别在线的监督者和/或将升级消息传送到在线并与“监督者”角色相关联的(多个)活跃用户256的一个或多个子集的(多个)装置。

在一些情况下，目录服务250可以包括开放授权(oauth)应用程序、数据分发服务(dds)系统和/或活动目录服务器。目录服务250可以向计算装置202和/或(多个)计算装置212提供用户信息248，和/或可以验证与控制消息246相关的身份标识。例如，在收到控制消息246时，权限追踪器238可以向目录服务250发送验证请求，以确保与控制消息246相关的身份标识与在目录记录252中登记的行为人相对应，和/或该身份标识与权限转移至行为人所需的角色相关联(例如，控制消息246指定活动、例如升级，该活动需要与“监督者”角色相关联)。目录服务250可提供关于角色变化和/或授权用户的最新信息，可以追踪哪些用户是在线的，和/或可以存储和推送配置数据，例如保活消息间隔、超时期、车辆特定设置等。在额外的或替代的示例中，目录服务250可以将地理区域与行为人相关联，从而该行为人只能控制所述地理区域内的车辆，和/或与内部协议(ip)地址限制相关联，所述限制只允许特定(多个)ip地址和/或ip地址范围和/或子网被目录服务250验证。在一些情况下，车辆可以被硬编码为只响应与地理区域相关的ip地址范围和/或相关的(多个)行为人。目录服务250可以向行为人和/或车辆发放公钥/私钥对和/或(多个)证书，以便车辆验证行为人的身份。在一些情况下，目录服务250和/或目录记录252可以被存储在存储器230中。例如，引导应用程序254可以使用目录服务250用与行为人相关联的证书(该证书可以包括在用户信息248中)对控制消息246进行加密签名，并且权限追踪器238可以在确定是否授权由控制消息246指定的活动之前(使用在用户信息248中收到的证书)验证该签名和/或将控制消息246与用户名关联。

在一些情况下，本文讨论的一些或全部组件的方面可以包括任何模型、算法和/或机器学习算法。

应该注意的是，虽然图2被示出为分布式系统，但在替代性示例中，计算装置202的组件可以与(多个)计算装置212和/或214相关联，和/或(多个)计算装置212和/或214的组件可以与计算装置202相关联和/或彼此相关联。也就是说，计算装置202可以执行与(多个)计算装置212和/或214相关的一个或多个功能，反之亦然。

示例流程

图3示出示例流程300的图解流程图，流程用于确保向行为人授予权限、在行为人之间转移权限和/或追踪哪个行为人具有权限。示例流程300可由诸如(多个)车辆计算装置204和/或(多个)计算装置214的(多个)计算装置执行。

在操作302，根据本文讨论的任何技术，示例流程300可以包括将识别(306)第一行为人(例如，图中的人“x”和/或与之相关的计算装置)的第一状态304存储为具有向自主车辆提供引导的权限。在一些情况下，这可包括将第一状态304存储在自主车辆的存储器中。自主车辆可以周期性和/或根据请求提供第一状态304的至少一部分作为在状态通道上广播的状态消息。

在操作308，根据本文讨论的任何技术，示例流程300可以包括存储指定一个或多个条件的策略，在满足一个或多个条件时，所述策略可能导致权限转移至除第一行为人之外的另一行为人。图3描绘了示例策略310的代表，其可以包括状态机。示例策略310将状态描绘为圆圈、将转移描绘为箭头，并将条件描绘为六边形。策略的加粗状态表示与第一状态304相关的当前状态312的示例。示例策略310是非限制性的，且为了清楚起见已被简化。在一些情况下，一个条件可能与一个转移相关，并且可能有一个以上的转移与每个状态相关。

例如，在示例策略310中，当前状态312识别参与行为人是车辆以外的行为人，并且基于先前收到的来自参与行为人的请求，转移至该参与行为人是成功的(即，为简单起见，在图中识别为“行为人，成功”)。如果收到来自参与行为人的移交消息316，当前状态312可以转移至“行为人，等待移交”状态314，这可以是所述转移的条件。一旦进入状态314，如果收到来自移交消息316中确定的行为人的接管消息318，状态314可以转移回状态312。应注意，如果发生这种情况，在恢复到状态312时，该状态将用新参与行为人的身份标识替换以前参与行为人的身份标识，为了清楚起见未将此描绘出。

作为备选方案，如果从参与行为人收到升级消息322，则当前状态312可以转移至“行为人，升级”状态320，并且如果从与“监督者”角色相关的行为人收到接管消息(326)，则该状态可以从“行为人，升级”状态320转移至“监督者，成功”状态324。如下面更详细地描述的，至少部分地基于在目录服务中可用的数据，“行为人，升级”状态320可能与搜索一个或多个在线和/或以其他方式可到职的监督者(和/或与参与行为人相关联的监督者)相关联。在一些示例中，移交消息316可以与搜索具有与参与行为人相同角色和/或特权的(多个)行为人相关联。

备选地，如果从参与行为人(330)收到让渡消息，则当前状态可以恢复到指定车辆具有权限(328)的默认状态。应注意，为了清楚起见，策略310只是示例策略，并且未示出所有可能的连接。例如，当监督者让渡权限时，权限可能回归到以前的行为人或车辆。此外，在一些情况下，监督者可以从与监督者相关联的行为人那里获得权限，并且权限可以在没有收到在先的升级消息的情况下转移至该监督者。换言之，在一些情况下，当监督者所监督的(多个)行为人之一目前拥有权限时，监督者可在任何时候从这些(多个)行为人那里获得权限。这可以为无行为能力的、反常的或其他不期望的行为人的行为提供备用方案。

在一些情况下，在策略310中可以包括状态、转移和/或条件的更多排列组合，并且实际的状态、转移和/或条件可以在实践中变化。条件可以指定角色、状态(例如起始状态和/或目的状态)、由控制消息(例如接管消息、移交消息)指定的活动、验证策略(例如提出请求的行为人的身份必须由目录服务验证)等中的至少一个。

在操作332，根据本文讨论的任何技术，示例流程300可以包括接收将权限转移给第二行为人的请求。例如，请求可以包括控制消息。图3描绘了示例控制消息334的代表，示例控制消息包括由移交消息、目标车辆身份标识、来源身份标识和目标身份标识组成的活动。这个示例控制消息334可以传达行为人“x”请求将权限转移至行为人“1”，以向“车辆1”提供引导。

在操作336，根据本文讨论的任何技术，示例流程300可以包括确定策略的条件是否被满足和/或是否批准或否决请求。操作336可以包括确定当前状态(例如从存储器检索当前存储的状态)以及从策略中识别与该状态相关的一个或多个条件。在所描述的示例中，这可包括确定当前状态是状态312，并且条件316、322和330与该状态相关联(例如，这些条件是与在示例中给出的脱离当前状态312的转移相关联的所有条件，因此由示例策略310允许的任何转移将必须满足这些状态之一以获得转移权限)。确定是否满足条件可以额外地或替代地包括确定与请求相关的角色是否与发出请求和/或给予某种类型的引导的足够特权相关。例如，监督者角色可能与甚至在车辆移动时(例如，如果在车辆上检测到紧急事件)使车辆的门打开的特权相关联。

在操作338，根据本文讨论的任何技术，示例流程300可以包括至少部分地基于策略来确定批准请求。在所描绘的示例中，这可以包括确定行为人1和/或行为人x由目录服务认证/验证，和/或确定移交消息与有效转移相关。在确定批准该请求时，操作338可以进一步包括存储将第二行为人识别(342)为具有权限的第二状态340。在一些情况下，第二状态可以取代存储器中的第一状态。操作338可以额外地或替代地包括通过状态通道传输第二状态，而不是第一状态。

响应于接收授权和/或第二状态340，与行为人相关联的引导应用程序可以允许第二行为人向自主车辆提供引导。除此以外或替代地，响应于存储第二状态340，自主车辆可以至少部分地基于从第二行为人接收的引导来生成用于控制自主车辆的动作的轨迹。

在操作344，根据本文讨论的任何技术，示例流程300可以包括至少部分地基于策略来确定否决请求。例如，在图示的示例中，这可以包括确定行为人1和/或行为人x未被目录服务认证/验证，和/或当前状态与移交消息不相关(例如，当前状态不允许从其进行移交)。基于确定否决该请求，第一状态304可以在存储它的存储器中保持不修改，将行为人x识别(306)为具有权限。

示例授权转移和/或隔离

图4a、图4b、图5a至图7a和7d示出了可能发生各种权限转移和/或权限隔离的示例场景的框图，而图4c、图7b和图7c示出了可响应于计算装置接收状态消息而生成的和/或可能导致控制消息的生成和/或传输的示例用户界面。图4a、图4b、图5a至图7a和图7d描绘了自主车辆102和(多个)行为人214(1)-(x)以及与其相关的计算装置214(1)-(x)。应注意，自主车辆102本身也可以是“行为人”。

在一些情况下，尽管设想了从行为人装置向自主车辆102传输消息的任何其他方法，计算装置(214(1)-(x)中的任何一个)可以根据pub/sub配置在控制通道400上传输控制消息，并且控制通道400的任何订阅者可以接收控制消息。在一些情况下，自主车辆102和/或自主车辆102的权限追踪器240可以是控制通道400的订阅者(如源自控制通道400到权限追踪器240的箭头所示)。在一些情况下，尽管设想了从自主车辆102到(多个)计算装置214(1)-(x)传输消息的任何其他方法，自主车辆102可以根据pub/sub配置周期性地响应于收到的请求和/或在任何其他时间，经由状态通道402传输状态消息、且状态通道402的任何订阅者可以接收该状态消息。在一些情况下，(多个)计算装置214(1)-(x)订阅状态通道402，从而接收通过状态通道402广播的消息。

图4a描绘了示例场景404，其中行为人104(1)通过控制通道400传输接管消息406。在示例场景404中，存储在自主车辆102处的状态408将自主车辆102识别为具有权限。在一些情况下，至少部分地基于接收接管消息406，权限追踪器240可以在至少部分地基于状态408的策略中识别一个或多个条件和与之相关的(多个)转移。在一些情况下，策略可以允许任何行为人在车辆被识别为具有权限时进行接管。在其他情况下，策略可以要求，对于待被授予权限的行为人，自主车辆102必须事先传送引导请求。在额外的或备用的示例中，策略可以指定行为人可以被批准获得权限的(多个)事件、(多个)角色等。例如，监督者角色可以在任何时候获得权限，(多个)车辆可以被指定给特定的(多个)行为人和/或(多个)监督者，以便只有这些(多个)行为人和/或(多个)监督者可以接管，除非所有被指定的(多个)行为人和(多个)监督者都被占用，(多个)行为人可以被阻止获得权限，除非车辆检测到安全性关键事件和/或生成远程操作请求等等。

图4b描绘了示例场景404的延续。权限追踪器240可以至少部分地基于策略来确定批准(410)接管消息。在一些情况下，权限追踪器240可以确定与策略中的转移相关的条件已经由接管消息406满足。然后，权限追踪器240可以使状态408被更新，以将行为人104(1)识别为具有向自主车辆102提供引导的权限。这种更新可以包括在自主车辆102的存储器中用状态410替换状态408。至少部分地基于批准接管消息406，权限追踪器240可以使状态消息412在状态通道402上被广播，其中包括存储在状态410中的至少部分信息。例如，状态消息412可以将行为人104(1)识别为具有向自主车辆102提供引导的权限。

在一些情况下，至少部分地基于经由状态通道402接收状态消息412，计算装置214(1)可以确定状态消息412识别了行为人104(1)和/或计算装置214(1)，并且作为响应，可以请求和/或接收来自自主车辆102的传感器数据。在接收到状态消息412后，计算装置214(1)可以开始向自主车辆102传送保活消息，并且自主车辆102可以保持状态410，直到通过控制通道400接收到导致权限转移至另一行为人的控制消息(例如，接收到移交消息后由另一行为人接管的消息，接收到升级消息后由监督者接管的消息，接收到来自行为人104(1)的让渡消息)或直到连接超时(例如自主车辆102确定在超时期内没有收到保活消息)。如果连接超时，权限追踪器240可以将权限归还给权限的先前持有者和/或权限的默认持有者(例如自主车辆102)。在一些情况下，至少部分地基于接收状态消息412，计算装置214(1)可以额外地或替代地使用户界面由计算装置214(1)显示和/或使用户界面的组件从不可选择(例如变灰、不显示)变为可选择。在额外的或替代的示例中，至少部分地基于接收状态消息412，计算装置214(1)可以在计算装置214(1)上实例化流程。该流程可以允许行为人向自主车辆提供引导，并且可以使用户界面由与计算装置214(1)相关联的显示器显示。

图4c描绘了计算装置214(1)可以至少部分地基于接收状态消息412而生成并导致被显示的示例用户界面414。在一些情况下，计算装置214(1)可能已经使用户界面414至少部分地基于接收来自自主车辆102的引导请求而显示通知416。通知416可能已经包括两个可选择的元素，“接收”和/或“排队”。在一些情况下，对应于可选择元素“接受”的对计算装置214(1)的输入可能已经导致计算装置214(1)通过控制通道400传输接管消息406。对应于可选择元素“排队”的输入可能导致计算装置214(1)不采取关于引导请求的活动，或者可能导致计算装置214(1)将引导请求传送到与在线的行为人相关联的另一计算装置。然而，通知416可以同时和/或在从车辆102接收传感器数据之前显示，以使用户界面414的至少一部分得以显示。

行为人104(1)可以使用用户界面414向计算装置214(1)提供输入，计算装置214(1)将其转译为引导，所述引导可以包括计算机可执行指令和/或逻辑，所述指令和/或逻辑包括可被自主车辆102用作引导的命令、协作指令和/或确认。例如，示例用户界面414可以包括传感器数据和/或引导的鸟瞰表示418、相机馈送420(例如图像、视频)和/或传感器数据和/或引导的俯视表示422。在所描述的示例用户界面414中，引导包括经修改的驾驶边界424。在一些示例中，行为人可能已经提供了足以创建经修改的驾驶边界424的形状的输入。经修改的驾驶边界424是协作指令的示例，并不是为了限制可以使用用户界面414提供的引导的类型。额外的或替代的引导和/或远程操作的示例可以在2017年7月7日提交的美国专利申请第15/644,267号、第15/644,310号、第15/644,349号和第15/644,390号中找到，这些专利申请的全部内容并入本文中。

在接收到与引导相对应的输入时，引导应用程序可以使确认和/或一些其他可选择的元素(426)通过用户界面414显示，对所述确认和/或一些其他可选择的元素进行的选择导致引导被传送到自主车辆102。在一些情况下，引导应用程序可以将与行为人104(1)相关的身份标识附加到引导中。至少部分地基于确定所述身份标识对应于状态410(例如，状态410包括身份标识，从而表明行为人104(1)有提供引导的权限)，权限追踪器240可以将从行为人104(1)的计算装置214(1)收到的引导传送到自主车辆102的适当组件。例如，至少部分地基于接收对应于经修改的驾驶边界424的指令，权限追踪器240可以将对应于经修改的驾驶边界424的指令传送给自主车辆102的规划者。规划者可以转而为自主车辆102生成轨迹，该轨迹可以使自主车辆102在经修改的驾驶边界424内运行。

在一些示例中，经由用户界面414可用的元素可以进一步至少部分地基于与行为人相关的角色。例如，监督者角色可以与显示车辆的传感器数据的用户界面相关联，即使当车辆被另一行为人控制时，但用户界面可使至少或所有引导控制不可用。在额外或替代的示例中，与监督者相关的用户界面可以使与参与行为人的角色相关的引导控制不可用(例如驾驶边界修改、轨迹确认、路线修改)，但可以使与监督者的角色相关但与参与行为人的角色无关的引导控制可用(例如，在移动中打开门、在高速公路上停止车辆)。

在一些情况下，至少部分地基于(多个)活跃用户的记录，计算装置214(1)可以额外地或替代地使用户界面414显示在线的其他(多个)行为人(428)和/或在线的监督者(例如与角色监督者相关的行为人)的指示(430)。在一些情况下，在线的(多个)行为人和/或(多个)监督者可以被一般地识别(例如，通过识别在线的(多个)行为人和/或(多个)监督者的数量，如在示例用户界面414中描绘的那样)，和/或在线的(多个)行为人和/或(多个)监督者中的一个或多个可以被具体地指示(例如通过用户名、通过行为人的图片或其他表示)。在计算装置214(1)处收到的对应于428的输入(无论是一般地选择在线用户还是选择特定用户)可以导致启动移交程序，和/或对应于430的输入(无论是一般地选择在线监督者指示还是选择特定监督者)可以导致启动升级程序。

图5a描绘了示例场景500，其中状态410仍然存储在存储器中，表明行为人104(1)具有向自主车辆102提供引导的权限。在示例场景500中，行为人104(1)通过控制通道400传输让渡消息502。

图5b描绘了示例场景500的延续。至少部分地基于确定让渡消息502满足策略的条件，权限追踪器240可以批准504让渡消息502。权限追踪器240可以通过将权限归还给之前的权限持有者和/或归还给默认的权限持有者(例如自主车辆102)来转移权限。这可能包括将状态506存储在自主车辆102的存储器中。状态506可以代表状态408，尽管状态506可以另外指示归还成功(例如“车辆，成功”)。在一些情况下，权限追踪器240可以通过状态通道402传输指示新的权限持有者(即，在所描绘的示例中的自主车辆102)的状态消息508。状态通道402的任何订阅者可以接收状态消息508(例如计算装置214(l)-(x))。在一些情况下，在接收到状态消息508时，计算装置214(1)可以终止允许行为人104(1)提供引导的流程，和/或可以导致用户界面的(多个)组件不可用于选择。

在一些情况下，在传送让渡消息502之后，计算装置214(1)可以保持与自主车辆102的连接开放，直到计算装置214(1)收到表明权限转移已经成功发生的状态消息，即使这是由于超时。在一些情况下，行为人104(1)可以保留权限，直到状态消息508被计算装置214(l)-(x)中的至少一个收到和/或直到发生超时(并且权限追踪器240从而导致由于超时而发生的权限转移)。

在当前状态指示监督者具有权限并且已经收到让渡消息的情况下，权限追踪器240可以确定将权限归还给默认的权限持有者和/或之前的权限持有者(例如，将权限升级提交到监督者的行为人)。

图6a描绘了示例场景600，其中状态410仍然存储在存储器中，表明行为人104(1)具有向自主车辆102提供引导的权限。在示例场景600中，行为人104(x)通过控制通道400传输接管消息602。

图6b描绘了示例场景600的延续。至少部分地基于确定接管消息602不满足策略的条件，权限追踪器240可以否决604接管消息602。例如，权限追踪器240可以至少部分地基于读取状态410和确定行为人104(1)当前具有权限来确定否决接管消息602。然而根据策略配置，如果接管消息602识别行为人104(x)是监督者，那么根据一些策略配置，权限追踪器240可以批准接管消息602并将状态410转换为识别行为人104(x)是权限持有者的状态。在其他策略配置中，除非权限被从默认的权限持有者转移或者收到通知权限追踪器240请求转移的消息(例如移交消息、升级消息)，否则接管消息永远不会被批准。

在一些情况下，监督者可以通过从计算装置214(x)向计算装置214(1)传送请求来引起接管，在行为人104(1)的认可和/或授权(例如，诸如通过提供与通过引导应用程序的用户界面显示的请求的通知相对应的输入)的情况下，计算装置214(1)可以(通过控制通道400)向权限追踪器240传送升级消息和/或将认可消息传回到计算装置214(x)。计算装置214(x)可响应于收到认可消息或在规定的时间段过后，发送接管消息602。

权限追踪器240可以至少部分地基于否决604所述请求和/或以常规的状态传输间隔导致状态消息606在状态通道402上被传输。状态消息606可以包括状态410的至少一部分，从而继续将行为人104(1)识别为具有权限。状态消息606可以被状态通道402的(多个)订阅者接收，包括计算装置214(1)和/或计算装置214(x)。

一些情况下，至少部分地基于接收状态消息606，计算装置214(x)可以导致用于通过用户界面提供引导的可选择元素保持不可用。在一些情况下，计算装置214(x)仍可导致通过用户界面显示从自主车辆102接收的传感器数据，尽管在其他情况下，计算装置214(x)可阻止这一点。

图7a描绘了示例场景700，其中状态410仍然存储在存储器中，表明行为人104(1)具有向自主车辆102提供引导的权限。在示例场景700中，行为人104(1)通过控制通道400传输移交消息和/或升级消息702。在一些情况下，移交消息和/或升级消息可以包括来源身份标识(例如发端行为人的用户名或其他身份标识)和目标身份标识(例如特定行为人的身份标识和/或请求向其转移权限的角色)。目标身份标识例如可以包括特定行为人的用户名和/或角色。

在一些情况下，计算装置214(1)可以在将移交消息和/或升级消息702传送给与目标身份标识相关联的(多个)计算装置基本上同时或之前传送移交/升级通知704。

在一些情况下，计算装置214(1)可以在不接收用户输入的情况下生成和/或传输移交消息和/或升级消息702。例如，如果计算装置214(1)没有在收到识别行为人104(1)具有权限的状态消息的时间段内收到输入，则计算装置214(1)可以生成和/或传输将行为人104(1)的对等行为人(例如与行为人104(1)具有相同角色的另一行为人)、与行为人104(1)相同的角色等等作为目标来识别的移交消息和/或升级消息702。

在一些情况下，计算装置214(1)可以用与一个或多个在线行为人(针对移交)或监督者(针对升级)和/或其预先规定数量相关的(多个)身份标识自动填充目标身份标识。

图7b描绘了用于生成和/或传输移交消息和/或升级消息的示例用户界面706。示例用户界面706可以包括可选择的元素708(“交接”)以启动移交。应理解的是，该元素可以被替换为类似于启动升级的元素。响应于计算装置214(1)接收的对应于可选择元素708的输入，引导应用程序可以识别在线、并且在升级的情况下与监督者角色相关的行为人的至少一个子集。在一些情况下，计算装置214(1)可以使用户界面706显示对应于(多个)对等人710(在移交的情况下)和/或(多个)监督者712(在升级的情况下)的可选择元素的列表，其对应于由引导应用程序识别的行为人的子集。对应于可选择元素710和/或712中的一个或多个的输入可以使计算装置214(1)传送移交消息和/或升级消息702，移交消息和/或升级消息包括识别所选的(多个)行为人的目标身份标识。计算装置214(1)可以另外将移交/升级通知704传送到与由移交消息和/或升级消息702的目标身份标识识别的(多个)行为人相关的(多个)计算装置。

在额外的或替代的示例中，响应于计算装置214(1)接收的对应于可选择元素708的输入，引导应用程序可以识别在线、并且在升级的情况下与监督者角色相关的行为人的至少一个子集，并且引导应用程序可以自动导致移交消息和/或升级消息702和/或移交/升级通知704被传输，而无需行为人的进一步输入。例如，引导应用程序可以用与一个或多个在线行为人(针对移交)或监督者(针对升级)和/或其预先规定数量相关的(多个)身份标识自动填充移交消息和/或升级消息702的目标身份标识。在一些情况下，引导应用程序可以识别与行为人104(1)相关的(多个)监督者，并且如果与行为人104(1)相关的(多个)监督者未被指示为可用的，引导应用程序可以将对可用监督者的搜索扩展到与行为人104(1)无关的(多个)监督者。

图7c描绘了由接收移交/升级通知704的计算装置引起显示的示例用户界面714。示例用户界面714可使通知716显示在现有显示(例如表示在城市中运行的自主车辆车队的鸟瞰图)的至少一部分上。在一些情况下，通知716可以包括可选择的元素(例如，在示例用户界面714中由“接受”和“排队”表示)。计算装置收到的表示接受移交和/或升级权限的请求的输入可以使计算装置通过控制通道400(在图7d中描绘)传输接管消息718。响应于接收接管消息718，权限追踪器240可以将权限转移给与计算装置相关的行为人。响应于传输接管消息718和/或响应于接收未更新的状态消息，计算装置可以实例化流程和/或使用户界面的组件可供选择。计算装置收到的表示请求排队的输入可以将计算装置通过控制通道400传送拒绝消息，和/或可以允许用户选择将请求传送到的另一行为人，和/或可以将请求传送到额外的(多个)行为人。响应于接收接管消息718，权限追踪器240可以转换状态以识别“失败”并继续识别行为人104(1)具有权限，或者在一些情况下，将权限归还给默认的权限持有者。

在目标身份标识识别多个行为人的示例中，权限追踪器可以将权限转移至与首先收到的接管消息相关的行为人，并且如果收到拒绝消息，可以保持“等待移交”或“升级”状态，直到发生转移或直到从目标身份标识识别的所有行为人收到拒绝。

示例条款

a.一种自主车辆，包括：一个或多个处理器；网络接口；以及存储可由所述一个或多个处理器执行的指令的存储器，其中，所述指令在被执行时使该自主车辆：存储第一状态，该第一状态将该自主车辆的计算装置识别为具有向该自主车辆的组件提供引导的权限；存储策略，该策略指定与向行为人转移权限相关的一个或多个条件，所述一个或多个条件包括活动、角色或状态中的至少一个；通过所述网络接口并从与第一行为人相关的第一装置接收向该第一行为人转移权限的请求，该请求包括指定该第一行为人的身份或第一角色的身份标识中的至少一个；至少部分地基于确定所述身份或角色中的至少一个满足存储在所述存储器中的策略所指定的条件，将该第一状态更新为将该第一行为人识别为具有权限的第二状态；以及通过所述网络接口和至少向该第一装置传输该第二状态；以及至少部分地基于通过所述网络接口从该第一装置收到的引导并确定所述引导与所述角色相对应，控制该自主车辆的组件。

b.如段落a所述的自主车辆，其中：确定所述身份或角色中的至少一个满足所述条件，包括评估状态机；以及所述条件限定所述活动、角色或状态中的至少一个，对于所述活动、角色或状态中的至少一个，权限将在不同的行为人之间转移，其中，所述活动包括下述项中的至少一个，即，由不同的行为人接管、从当前具有权限的行为人移交给不同的行为人、或从当前的行为人升级到与监督者角色相关的行为人；其中，所述角色包括远程操作者、行驶操作者、监督者或超级用户中的至少一个；以及其中，所述状态识别当前具有权限的行为人或待定活动中的至少一个。

c.如段落a或段落b所述的自主车辆，其中：所述引导包括确认、协作指令或命令中的至少一个；以及控制所述组件包括下述项中的至少一个：生成用于控制该自主车辆的动作的轨迹；控制该自主车辆的发射器；或修改该车辆的内部条件。

d.如段落a至段落c中任一段所述的自主车辆，其中，所述指令进一步导致该自主车辆：通过所述网络接口并从第二行为人接收引导；至少部分地基于评估状态机确定与所述第二状态相关联的第二条件因如下原因而未被满足，即所述原因至少部分地为确定与所述第二行为人相关联的角色未与同所述引导相关联的足够特权相关联、所述引导未与同所述第二条件相关联的第二活动相关联、或所述第二状态未识别所述第二行为人中的至少之一；以及至少部分地基于确定该第二条件未得到满足而维持该第二状态。

e.如段落a至段落d中任一段所述的自主车辆，其中，所述指令进一步导致该自主车辆：通过所述网络接口并从该第一行为人接收让渡消息、移交消息或升级消息中的至少一个；通过所述网络接口接收向第二行为人转移提供引导的权限的第二请求；以及至少部分地基于确定存储在存储器中的策略所指定的第二条件得到满足以及让渡消息、移交消息或升级消息中的至少一个，将该第二状态更新为将该第二行为人识别为具有权限的第三状态。

f.如段落a至段落e中任一段所述的自主车辆，其中：该第二请求包括与所述升级消息相关联的接管消息；以及确定该第二条件得到满足是至少部分地基于确定与该第二请求相关联的第二角色指示该第二行为人是监督者。

g.如段落a至段落f中任一段所述的自主车辆，其中，所述指令进一步导致该自主车辆：通过所述网络接口接收向第二行为人转移提供引导的权限的第二请求；以及至少部分地因如下原因而确定拒绝所述第二请求，所述原因即至少部分地基于确定所述第二请求并不满足与所述第二状态相关联的策略的第二条件而确定所述第二请求是根据所述策略的无效转移，其中，确定该第二请求不满足该第二条件是至少部分地基于确定下述项中的至少一个：没有从该第一行为人收到移交消息、升级消息或让渡消息，或者与该第二行为人相关的第二角色不包括监督者角色的标识。

h.如段落a至段落g中任一段所述的自主车辆，其中，所述指令进一步导致该自主车辆：用该第一状态替换该第二状态，该第一状态至少部分地基于下述项中的至少一个将该自主车辆识别为具有权限：通过所述网络接口并从该第一装置接收让渡消息、或确定自通过所述网络接口从该第一装置接收最后的保活消息以来已经过了一段时间。

i.一种存储处理器可执行指令的非暂时性计算机可读介质，所述指令在由一个或多个处理器执行时，使所述一个或多个处理器：存储与状态、角色或活动中的至少一个相关联的策略；存储将默认行为人识别为具有向自主车辆提供引导的权限的状态；通过网络接口并向与第一行为人相关联的第一计算装置传输第一状态；通过所述网络接口并从该第一装置接收向该第一行为人转移权限的请求，该请求指定该第一行为人的身份标识、活动或角色中的至少一个；将所述状态更新至将该第一行为人识别为具有权限，至少部分地基于下述项中的至少一个，即，确定所述身份标识被验证或者确定所述活动或角色满足该策略所指定的条件；通过所述网络接口向该第一装置传输第二状态；以及至少部分地基于通过所述网络接口从与该第一行为人相关的第一计算装置接收引导并至少部分地基于将该第一行为人识别为具有权限的状态来控制与所述非暂时性计算机可读介质相关的装置。

j.如段落i所述的非暂时性计算机可读介质，其中：所述活动包括该第一行为人的接管、从该默认行为人向该第一行为人的移交、或从该默认行为人向该第一行为人的升级中的至少一个；以及所述角色包括远程操作者、行驶操作者、监督者、或超级用户中的至少一个。

k.如段落i或段落j任一所述的非暂时性计算机可读介质，其中，确定所述活动或角色满足该策略所指定的条件包括确定状态机转移有效，有效转移包括：当第一次从行为人收到移交消息时，从该行为人到另一行为人的第一转移；当第一次从该行为人收到升级消息和从监督者收到接管消息时，从该行为人到该监督者的第二转移，该监督者是该第二行为人；当第一次收到紧急事件指示时，从该行为人到该监督者的第三转移，该监督者是该第二行为人；当与该行为人相关的计算装置不活动时，从该行为人到该监督者的第四转移；当该监督者至少部分地基于指示在与该行为人相关的该计算装置处存在异常行为而推翻该策略时，从该行为人到该监督者的第五转移；至少部分地基于确定在一段时间内没有收到保活消息而从该行为人到另一行为人的第六转移；或者当已从该行为人收到让渡消息时从该行为人到装置的第七转移。

l.如段落i至段落k中任一段所述的非暂时性计算机可读介质，其中，所述指令进一步导致所述一个或多个处理器：通过所述网络接口并从该第一计算装置接收来自该第一计算装置的让渡消息、移交消息或升级消息中的至少一个；通过所述网络接口接收向第二行为人转移提供引导的权限的第二请求；以及至少部分地基于所述让渡消息、移交消息或升级消息中的至少一个，而至少部分地基于确定第二身份标识、第二角色或与该第二请求相关联的第二与由该策略的第二条件所指定的有效转移相关联，从而将所述状态更新为将该第二行为人识别为具有提供引导的权限。

m.如段落i至段落l中任一段所述的非暂时性计算机可读介质，其中：所述引导包括确认、协作指令或命令中的至少一个；以及控制所述装置包括下述项中的至少一个：生成用于控制该自主车辆的动作的轨迹；控制该自主车辆的发射器；或修改该车辆的内部条件。

n.一种方法，包括：存储第一状态，该第一状态将第一行为人识别为具有向自主车辆提供引导的权限；存储策略，该策略指定与在行为人之间转移权限相关的一个或多个条件，所述一个或多个条件包括活动、角色或状态中的至少一个；通过网络接口并从第二行为人接收向该第二行为人转移权限的第一请求，以及下述项中的至少一个：至少部分地基于确定与该第二请求相关的第二活动或第二角色满足该策略的第一条件，从而将第一状态更新为将该第二行为人识别为具有权限；或者至少部分地基于确定所述第二活动或第二角色中的至少一个不满足该第一条件的至少一部分，从而维持该第一状态，以将该第一行为人识别为具有权限。

o.如段落n所述的方法，其中该方法进一步包括：从与该第一行为人相关联的第一计算装置接收第一引导；从与第二行为人相关联的第二计算装置接收第二引导；以及至少部分地基于确定该第一状态将该第二行为人识别为具有权限，并且至少部分地基于确定该第二角色与同自主车辆的组件相关联的特权相关联，从而确定控制该自主车辆的组件。

p.如段落n或段落o中任一所述的方法，其中，更新该第一状态以将该第二行为人识别为具有权限至少部分地基于下述项中的至少一个：确定与该第二行为人的身份相关联的身份标识被批准获得权限；确定与该第二行为人相关联的第二角色是由该第一条件所指定的；确定该第二活动是由该第一条件所指定的；确定该第二行为人和该第一请求与从该第一行为人接收的移交消息或升级消息中的至少一个相关联；或者确定从该第一行为人接收让渡消息。

q.如段落n至段落p中任一段所述的方法，其中，所述存储器与第一装置相关联，并且所述方法进一步包括：通过状态通道向订阅该第一装置的发布内容的一个或多个装置传输所述状态。

r.如段落n至段落q中任一段所述的方法，其中，将第一状态更新至第二行为人是通过评估状态机而至少部分地确定从第一行为人至第二行为人的转移是有效的，其中有效转移包括：当第一次从行为人收到移交消息时，从该行为人到另一行为人的第一转移；当第一次从该行为人收到升级消息和从监督者收到接管消息时，从该行为人到该监督者的第二转移，该监督者是该第二行为人；当第一次收到紧急事件指示时，从该行为人到该监督者的第三转移，该监督者是该第二行为人；当与该行为人相关的计算装置不活动时，从该行为人到该监督者的第四转移；当该监督者至少部分地基于指示在与该行为人相关的该计算装置处存在异常行为而推翻该策略时，从该行为人到该监督者的第五转移；至少部分地基于确定在一段时间内没有收到保活消息而从该行为人到另一行为人的第六转移；或者当已从该行为人收到让渡消息时从该行为人到装置的第七转移。

s.如段落n至段落r中任一段所述的方法，其中将该第一状态更新为将该第二行为人识别为具有所述权限包括存储与该第二行为人相关的身份标识、该第二角色或转移状况中的至少一个；以及向一个或多个计算装置发布该第一状态。

t.如段落n至段落s中任一段所述的方法，其中，将该第一状态更新为将该第二行为人识别为具有所述权限还包括确定与该第二行为人相关联的身份标识由目录服务验证或与由该自主车辆生成的引导请求相关联中的至少一种。

尽管已经用针对结构特征和/或方法行为的语言描述了主题，但应当理解，在所附权利要求书所限定的主题不必受限于所描述的具体特征或行为。相反，具体特征和行为以实施权利要求的形式被公开。

本文描述的模块代表可被存储在任何类型的计算机可读介质中的指令，并可在软件和/或硬件中实施。上述所有的方法和过程可以体现在软件代码模块中和/或由一台或多台计算机或处理器、硬件或其某种组合执行的计算机可执行指令中，并通过所述软件代码模块和/或指令实现完全自动化。一些或所有的方法也可替代地体现在专门的计算机硬件中。

条件性语言，尤其例如“可能”、“可以”、“可”或“也许”，除非另有特别说明，否则在上下文中应被理解为表示某些示例包括、而其他示例不包括某些特征、元素和/或步骤。因此，这种条件性语言一般不意味着某些特征、元素和/或步骤是以任何方式被一个或多个示例所要求的，或一个或多个示例必须包括下述逻辑，其用于决定在有或没有用户输入或提示的情况下，某些特征、元素和/或步骤是否包括或在任何特定示例中或在任何特定示例中被执行。

诸如“x、y或z中的至少一个”这样的连接性语言，除非另有特别说明，否则应理解为表示对象、术语等，可以是x、y或z，或者其任何组合，包括每个元素的倍数。除非明确描述为单数，否则“一个”指单数和复数。

本文描述的流程图和/或附图中描绘的任何例行描述、元素或块应被理解为可能代表代码的模块、部段或部分，代码包括用于实现例程中特定逻辑功能或元素的一个或多个计算机可执行指令。在本文描述的示例的范围内包括替代的实施方式，其中元素或功能可以被删除，或不按所示或讨论的顺序执行，包括基本同步、相反的顺序、额外的操作或省略操作，这取决于所涉及的功能，正如会被本领域的技术人员所理解的。

可对上述示例进行各种变型和修改，其要素应理解为属于其他可接受的示例。所有这样的修改和变型都意图被包括在本公开的范围内，并受以下权利要求书的保护。