加强自主驾驶车辆的性能诱发风险的早期检测的系统和方法与流程

本公开的实施例一般涉及操作自主车辆。更特别地，本公开的实施例涉及加强自主驾驶车辆(autonomousdrivingvehicle，adv)的性能诱发风险的早期检测的系统和方法。

背景技术：

以自主模式(例如，无人驾驶)操作的车辆可以减轻乘坐者，尤其是驾驶员的一些驾驶相关责任。当以自主模式操作时，车辆可以使用车载传感器导航到各种位置，从而允许车辆以最少的人机交互或者在没有任何乘客的一些情况下行进。

运动规划和控制是自主驾驶中的关键操作。随着公司竞相在地理围栏运行设计域(odd)内部署sae(societyofautomotiveengineers，车工程师学会)4级(l4)自主车辆(例如，robotaxi)，所涉及的挑战之一是对于给定地理围栏odd限定传感器系统关于相关风险的能力，使得可以在可接受的风险的情况下规划自主车辆操作。在此，l4自主车辆是指全自主车辆。l4车辆旨在执行所有对安全至关重要的驾驶功能，并在整个行程中监控道路状况。但是，重要的是要注意，这仅限于车辆的odd，这意味着它不能涵盖所有驾驶情况。

关于限定传感器系统关于相关风险的能力，一种常见的方法是使用仿真、验证和确认以确保自主车辆在odd内的大多数情况下具有足够的处理能力。但是，自主车辆的传感器系统的动态性能仍有待解决。

也就是说，当前的用于l4自主车辆的工业方法集中于利用冗余和多样化的传感器、硬件和算法来提高性能。不幸的是，关于用以限定传感器系统能力的传感器系统的动态性能和相关风险分布的报道很少。

技术实现要素：

本公开提供了一种计算机实现的调整由实时操作的自主驾驶车辆adv的一个或多个传感器覆盖的覆盖区域的区域相关风险的计算机实现的方法、一种非暂时性机器可读介质、一种数据处理系统以及一种计算机程序产品。

根据本公开的一方面，提供了一种计算机实现的调整由实时操作的自主驾驶车辆adv的一个或多个传感器覆盖的覆盖区域的区域相关风险的计算机实现的方法，包括：基于第一传感器的平均故障间隔时间mtbf下限和第一传感器的mtbf上限，限定与第一传感器相关联的性能极限检测窗口；确定在自主驾驶ad模式下操作的adv的操作时间是否在与第一传感器相关联的性能极限检测窗口内；以及响应于确定在ad模式下操作的adv的操作时间在第一传感器的性能极限检测窗口内，将覆盖区域的区域相关风险调整为第二传感器的性能风险。

根据本公开的另一方面，提供了一种非暂时性机器可读介质，具有存储在其中的指令，指令在由处理器执行时使处理器执行如上所述的方法。

根据本公开的另一方面，提供了一种数据处理系统，包括：处理器；以及与处理器耦接的存储器，用于存储指令，指令在由处理器执行时使处理器执行如上所述的方法。

根据本公开的另一方面，提供了一种计算机程序产品，包括计算机程序，程序在由处理器执行时使处理器执行如上所述的方法。

附图说明

本公开的实施例通过示例的方式示出并且不限于附图中的图，在附图中相同的附图标记表示相似的元件。

图1是示出根据一个实施例的联网系统的框图。

图2是示出根据一个实施例的自主车辆的示例的框图。

图3a-3b是示出根据一个实施例的与自主车辆一起使用的感知和规划系统的示例的框图。

图4是示出根据一个实施例的示例地理围栏odd内的自主车辆的框图。

图5是示出根据实施例的基于平均故障间隔时间(mtbf)的传感器性能极限检测窗口的示例的图。

图6是示出了根据一个实施例的，针对给定传感器覆盖区域的作为操作时间的函数的动态风险更新的示例的图。

图7是示出根据一个实施例的限定传感器性能极限检测窗口的示例方法的流程图。

图8是示出了根据一个实施例的实时地调整覆盖区域的区域相关风险的示例方法的流程图。

图9是示出了根据一个实施例的实时地调整覆盖区域的区域相关风险的另一示例方法的流程图。

图10是示出根据一个实施例的数据处理系统的框图。

具体实施方式

将参考以下讨论的细节描述本公开的各个实施例和方面，并且附图将示出各个实施例。以下描述和附图是本公开的说明并且不应被解释为限制本公开。描述了许多具体细节以提供对本公开的各个实施例的全面理解。然而，在某些情况下，为了提供对本公开的实施例的简要讨论，没有描述公知或常规的细节。

说明书中对“一个实施例”或“实施例”的引用意味着结合实施例描述的特定特征、结构或特性可包括在本公开的至少一个实施例中。在说明书中的各个地方出现的短语“在一个实施例中”不一定都指同一实施例。

根据一些实施例，基于平均故障间隔时间(mtbf)的传感器系统性能被用于得出传感器性能相关风险。mtbf是指在传感器或传感器系统的操作期间，传感器或传感器系统发生故障之间的经过时间。此类故障可能是由于暂时或永久性的性能损失而导致的，例如可能会导致假阳性或假阴性障碍物检测。此外，可以基于传感器系统的mtbf分布曲线中的传感器系统的最差性能来限定性能极限检测窗口。例如，传感器系统的最差性能可以表示分布曲线的下限，而传感器系统的标称性能可以表示分布曲线的上限。基于上下限，可以限定性能极限检测窗口，以及使用检测窗口可以实时调整传感器系统的性能极限诱发风险。

在一个方面，公开了一种调整由实时操作的自主驾驶车辆(adv)的一个或多个传感器覆盖的覆盖区域的区域相关风险的方法。方法可以包括基于第一传感器的平均故障间隔时间(mtbf)下限和第一传感器的mtbf上限限定与第一传感器相关联的性能极限检测窗口。方法可以进一步包括确定以自主驾驶(ad)模式操作的adv的操作时间是否在与第一传感器相关联的性能极限检测窗口内。方法可以进一步包括：响应于确定在ad模式下操作的adv的操作时间在第一传感器的性能极限检测窗口内，将覆盖区域的与区域相关风险调整为第二传感器的性能风险。

在一个实施例中，方法可以进一步包括基于与第一传感器相关联的mtbf分布来确定第一传感器的mtbf下限，以及基于与第一传感器相关联的mtbf分布来确定第一传感器的mtbf上限。第一传感器的mtbf下限可以是第一传感器的最差情况的mtbf，以及第一传感器的mtbf上限可以是第一传感器的标称性能的mtbf。

在一个实施例中，方法可以进一步包括：响应于确定在ad模式下操作的adv的操作时间在第一传感器的性能极限检测窗口内，确定是否确认第一传感器的性能限制。方法可以进一步包括：响应于确定确认第一传感器的性能限制，确定覆盖区域仅被第二传感器覆盖，以及确定第一传感器的性能限制是否是暂时的。方法可以进一步包括：响应于确定第一传感器的性能限制是暂时的，将覆盖区域的与区域相关风险调整为第二传感器的性能风险。

在一个实施例中，方法可以进一步包括：响应于确定第一传感器的性能限制不是暂时的，确定区域是否被第二传感器覆盖。方法可以进一步包括：响应于确定区域未被第二传感器覆盖，将区域声明为无覆盖区域。方法可以进一步包括基于第二传感器的mtbf下限和第二传感器的mtbf上限限定与第二传感器相关联的性能极限检测窗口。方法还可以进一步包括在将覆盖区域的区域相关风险调整为第二传感器的性能风险之后，将覆盖区域的区域相关风险调整为第一传感器和第二传感器的组合性能风险。

在一个实施例中，方法还可以包括确定在ad模式下操作的adv的操作时间是否在与第二传感器相关联的性能极限检测窗口内。方法可以进一步包括：响应于确定在ad模式下操作的adv的操作时间在第二传感器的性能极限检测窗口内，基于附加诊断确保第二传感器按预期操作，并且确定覆盖区域仅被第一传感器覆盖。

图1是示出根据本公开的一个实施例的自主车辆网络配置的框图。参照图1，网络配置100包括可以通过网络102通信耦接到一个或多个服务器103-104的自主车辆101。尽管示出了一个自主车辆，但是可以将多个自主车辆通过网络102彼此耦接和/或耦接到服务器103-104。网络102可以是任何类型的网络，例如局域网(lan)、广域网(wan)(例如internet、蜂窝网络、卫星网络或其组合)、有线或无线的。服务器103-104可以是任何种类的服务器或服务器集群，例如web或云服务器、应用程序服务器、后端服务器或其组合。服务器103-104可以是数据分析服务器、内容服务器、交通信息服务器、地图和兴趣点(mpoi)服务器或位置服务器等。

自主车辆是指可以配置为处于自主模式的车辆，在这种模式下，车辆在驾驶员很少或没有输入的情况下导航通过环境。这种自主车辆可以包括具有一个或多个传感器的传感器系统，传感器被配置为检测关于车辆在其中操作的环境的信息。车辆及其关联的控制器使用检测到的信息导航通过环境。自主车辆101可以在手动模式、完全自主模式或部分自主模式下操作。

在一个实施例中，自主车辆101包括但不限于感知和规划系统110、车辆控制系统111、无线通信系统112、用户接口系统113和传感器系统115。自主车辆101还可包括在普通车辆中的某些通用部件，例如发动机、车轮、方向盘、变速器等，可以由车辆控制系统111和/或感知和规划系统110使用各种通信信号和/或命令控制这些部件，例如加速信号或命令、减速信号或命令、转向信号或命令、制动信号或命令等。

组件110-115可以经由互连、总线、网络或其组合在通信上彼此耦接。例如，组件110-115可以经由控制器局域网(can)总线彼此通信耦接。can总线是一种车辆总线标准，旨在被设计为允许微控制器和设备在没有主机的应用程序中相互通信。它是基于消息的协议，最初设计用于车辆内的多路电气布线，但也用于许多其他情况。

现在参考图2，在一个实施例中，传感器系统115包括但不限于一个或多个相机211、全球定位系统(gps)单元212、惯性测量单元(imu)213、雷达单元214和激光雷达(lidar)单元215。gps系统212可以包括可操作以提供关于自主车辆的位置信息的收发器。imu单元213可以基于惯性加速度来感测自主车辆的位置和朝向改变。雷达单元214可以作为利用无线电信号来感测在自主车辆的局部环境内的对象的系统。在一些实施例中，除了感测对象之外，雷达单元214还可以感测对象的速度和/或前进方向。lidar单元215可以利用激光感测自主车辆所位于的环境中的对象。lidar单元215可以包括一个或多个激光源、激光扫描仪以及一个或多个检测器、以及其他系统组件。相机211可以包括一个或多个设备以捕获自主车辆周围环境的图像。相机211可以是静物相机和/或摄影机。相机可以通过例如将相机安装在旋转和/或倾斜的平台上而机械可移动的。

传感器系统115可以进一步包括其他传感器，例如，声纳传感器、红外传感器、转向传感器、油门传感器、制动传感器和音频传感器(例如，麦克风)。音频传感器可以被配置为从自主车辆周围的环境捕获声音。转向传感器可以被配置为感测方向盘、车辆的车轮或其组合的转向角。油门传感器和制动传感器分别感测车辆的油门位置和制动位置。在某些情况下，油门传感器和制动传感器可以被集成为集成的油门/制动传感器。

在一个实施例中，车辆控制系统111包括但不限于转向单元201、油门单元202(也称为加速单元)和制动单元203。转向单元201用于调节车辆的方向或前进方向。油门单元202用于控制电动机或发动机的速度，进而控制车辆的速度和加速度。制动单元203用于通过提供摩擦以使车辆的车轮或轮胎减速来使车辆减速。注意，图2中所示的组件可以以硬件、软件或其组合来实现。

再次参考图1，无线通信系统112用于允许自主车辆101与外部系统(例如设备、传感器、其他车辆等)之间的通信。例如，无线通信系统112可以直接或者经由通信网络与一个或多个设备(例如网络102上的服务器103-104)进行无线通信。无线通信系统112可以使用任何蜂窝通信网络或无线局域网(wlan)，例如使用wi-fi与另一个组件或系统通信。无线通信系统112可以例如使用红外链路、蓝牙等与设备(例如，乘客的移动设备、车辆101中的显示设备、扬声器)直接通信。用户接口系统113可以是在车辆101内实现的外围设备的示例的一部分，包括例如键盘、触摸屏显示设备、麦克风和扬声器等。

自主车辆101的某些或全部功能可以由感知和规划系统110控制或管理，特别是在以自主驾驶模式操作时。感知和规划系统110包括必要的硬件(例如，处理器、存储器、存储装置)和软件(例如，操作系统、规划和路由程序)，以从传感器系统115、控制系统111、无线通信系统112和/或用户接口系统113接收信息，处理接收到的信息，规划从起点到目的地点的路线或路径，然后基于规划和控制信息驾驶车辆101。可替代地，感知和规划系统110可以与车辆控制系统111集成在一起。

例如，作为乘客的用户可以例如经由用户接口指定行程的起始位置和目的地。感知和规划系统110获得行程相关数据。例如，感知和规划系统110可以从mpoi服务器获得位置和路线信息，mpoi服务器可以是服务器103-104的一部分。位置服务器提供位置服务，mpoi服务器提供地图服务和某些位置的poi。可替代地，这样的位置和mpoi信息可以在感知和规划系统110的永久存储设备中本地缓存。

当自主车辆101沿着路线移动时，感知和规划系统110还可以从交通信息系统或服务器(tis)获得实时交通信息。注意，服务器103-104可以由第三方实体操作。可替代地，服务器103-104的功能可以与感知和规划系统110集成。基于实时交通信息、mpoi信息和位置信息以及由传感器系统115检测或感测的实时本地环境数据(例如，障碍物、对象、附近的车辆)，感知和规划系统110可以规划最佳路线，并根据规划的路线(例如，通过控制系统111)，驾驶车辆101安全有效地到达指定目的地。

图3a和3b是示出根据一个实施例的与自主车辆一起使用的感知和规划系统的示例的框图。系统300可以被实现为图1的自主车辆101的一部分，包括但不限于感知和规划系统110、控制系统111和传感器系统115。参考图3a-3b，感知和规划系统110包括但不限于定位模块301、感知模块302、预测模块303、决策模块304、规划模块305、控制模块306、路由模块307、传感器性能极限检测模块308和区域相关风险调整模块309。

模块301-309中的一些或全部可以以软件、硬件或其组合来实现。例如，这些模块可以被安装在永久存储设备352中，被加载到存储器351中，并且由一个或多个处理器(未示出)执行。注意，这些模块中的一些或全部可以通信耦接到图2的车辆控制系统111的一些模块或全部或与之集成。模块301-309中的一些可以集成为集成模块。

定位模块301确定自主车辆300的当前位置(例如，利用gps单元212)，并管理与用户的行程或路线有关的任何数据。定位模块301(也称为地图和路线模块)管理与用户的行程或路线有关的任何数据。用户可以例如通过用户接口登录并指定行程的开始位置和目的地。定位模块301与自主车辆300的其他组件交流，例如地图和路线信息311，以获得与行程相关的数据。例如，定位模块301可以从位置服务器以及地图和poi(mpoi)服务器获得位置和路线信息。位置服务器提供位置服务，mpoi服务器提供地图服务和某些位置的poi，可以将其缓存为地图和路线信息311的一部分。当自主车辆300沿路线移动时，定位模块301还可获取来自交通信息系统或服务器的实时交通信息。

基于传感器系统115提供的传感器数据和定位模块301获得的定位信息，感知模块302确定对周围环境的感知。感知信息可以表示与普通驾驶员将感知到的在驾驶员正在驾驶的车辆周围的情况。所述感知可包括例如车道配置、交通灯信号、例如以对象形式的另一车辆、行人、建筑物、人行横道或其他与交通有关的标志(例如禁止通行标志、让路标志)等的相对位置。车道配置包括描述一个或多个车道的信息，例如，车道的形状(例如笔直或弯曲)、车道的宽度、道路中有多少个车道、单向或双向车道、合并或拆分车道、出口车道等。

感知模块302可以包括计算机视觉系统或计算机视觉系统的功能，以处理和分析由一个或多个相机捕获的图像，以便识别自主车辆的环境中的对象和/或特征。对象可以包括交通信号、车行道边界、其他车辆、行人和/或障碍物等。计算机视觉系统可以使用对象识别算法、视频跟踪和其他计算机视觉技术。在一些实施例中，计算机视觉系统可以映射环境，跟踪对象并估计对象的速度等。感知模块302还可以基于由诸如雷达和/或lidar的其他传感器提供的其他传感器数据来检测对象。

对于每个对象，预测模块303预测在当前情况下对象将表现的行为。根据一组地图/路线信息311和交通规则312，基于感知在该时间点的驾驶环境的感知数据进行预测。例如，如果对象是在相反方向的车辆且当前驾驶环境包括交叉路口，则预测模块303将预测车辆是可能直行向前移动还是转弯。如果感知数据指示交叉路口没有交通灯，则预测模块303可以预测车辆可能必须在进入交叉路口之前完全停止。如果感知数据指示车辆在仅左转车道或仅右转车道，则预测模块303可预测车辆将更可能分别左转或右转。

对于每个对象，决策模块304做出关于如何处理对象的决策。例如，对于特定对象(例如在交叉路线中的另一辆车辆)及描述对象的元数据(例如速度、方向、转弯角度)，决策模块304决定如何遇到对象(例如超车、让路、停止、通过)。决策模块304可以根据可以存储在永久存储设备352中的一组规则(诸如交通规则或驾驶规则312)做出这样的决策。

路由模块307被配置为提供从起点到目的地点的一条或多条路线或路径。对于例如从用户接收到的从起始位置到目的地位置的给定行程，路由模块307获得路线和地图信息311，并确定从起始位置到达目的地位置的所有可能的路线或路径。路由模块307可以为它所确定的从起始位置到达目的地位置的每条路线生成地形图形式的参考线。参考线是指理想的路线或路径，不受诸如其他车辆、障碍物或交通状况等其他因素的干扰。也就是说，如果道路上没有其他车辆、行人或障碍物，则adv应准确或紧密跟随参考线。然后将地形图提供给决策模块304和/或规划模块305。根据由其他模块提供的其他数据(诸如来自定位模块301的交通状况、由感知模块302感知的驾驶环境以及由预测模块303预测的交通状况)，决策模块304和/或规划模块305检查所有可能的路线以选择和修改最佳路线中的一条。取决于在时间点上的特定驾驶环境，用于控制adv的实际路径或路线可以接近或不同于由路由模块307提供的参考线。

基于针对感知到的每个对象的决策，规划模块305利用路由模块307提供的参考线作为基础，规划用于自主车辆的路径或路线以及驾驶参数(例如距离、速度和/或转弯角度)。也就是说，对于给定对象，决策模块304决定对该对象做什么，而规划模块305确定如何做。例如，对于给定对象，决策模块304可以决定通过该对象，而规划模块305可以确定是在对象的左侧还是右侧通过。规划和控制数据由规划模块305生成，规划和控制数据包括描述车辆300将如何在下一移动周期(例如下一路线或路径段)中移动的信息。例如，规划和控制数据可以指示车辆300以每小时30英里(mph)的速度移动10米，然后以25mph的速度改变到右车道。

基于规划和控制数据，控制模块306通过根据由规划和控制数据限定的路线或路径，向车辆控制系统111发送适当的命令或信号来控制和驾驶自主车辆。规划和控制数据包括足够的信息，以便沿路径或路线在不同时间点使用适当的车辆设置或驾驶参数(例如油门、制动、转向命令)将车辆从路线或路径的第一点驾驶到第二点。

在一个实施例中，在多个规划周期(也称为驾驶周期)中执行规划阶段，例如在每个100毫秒(ms)的时间间隔中。对于每个规划周期或驾驶周期，将基于规划和控制数据发出一个或多个控制命令。即，对于每100毫秒，规划模块305规划下一路线段或路径段，例如包括目标位置和adv到达目标位置所需的时间。可替代地，规划模块305可以进一步指定具体速度、方向和/或转向角等。在一个实施例中，规划模块305规划下一预定时间段(例如5秒)的路线段或路径段。对于每个规划周期，规划模块305基于在先前周期中规划的目标位置来规划当前周期的目标位置(例如，接下来的5秒)。然后，控制模块306基于当前周期的规划和控制数据来生成一个或多个控制命令(例如油门、制动、转向控制命令)。

注意，决策模块304和规划模块305可以被集成为一个集成模块。决策模块304/规划模块305可以包括导航系统或导航系统的功能，以确定用于自主车辆的驾驶路径。例如，导航系统可以确定一系列速度和定向前进方向，以影响自主车辆沿着基本上避开所感知的障碍物的路径的移动，同时大体使自主车辆沿着通往最终目的地的基于车行道的路径前进。可以根据经由用户接口系统113的用户输入来设置目的地。导航系统可以在自主车辆操作时动态地更新驾驶路径。导航系统可以合并来自gps系统和一个或多个地图的数据，以便确定自主车辆的驾驶路径。

在一个实施例中，传感器性能极限检测模块308用于为由自主车辆101上的特定传感器(例如，相机211、雷达单元214、lidar215、声纳传感器、红外传感器等)覆盖的区域限定传感器性能极限检测窗口(也称为早期检测窗口)。作为示例，现在参考图4，图4是示出根据一个实施例的示例地理围栏odd内的自主车辆的示意图，自主车辆101可以被部署在由地理围栏410限定的odd400内。地理围栏odd400可以是自主车辆101被设计为在其中适当操作的特定操作域，包括但不限于地理区域、车行道类型、速度范围、环境状况(天气、白天/夜晚等)以及其他域限制。

继续参考图4，在进入地理围栏odd400时，自主车辆101上的一个或多个传感器415-416可以检测到一个或多个障碍物401-402(例如，其他车辆、行人、建筑物、结构等)，这取决于障碍物401-402是否分别在传感器415-416覆盖的覆盖区域(或覆盖区)425-426内。即使传感器415和/或传感器416检测到障碍物，但是由于传感器在经过时间上失去其性能，因此检测可能是假阳性(即重影障碍物)或假阴性(即失踪障碍物)，从而导致传感器性能风险并引起涉及覆盖区域425-426的区域相关风险。当自主车辆101被部署在地理围栏odd400内时，这种传感器失去其性能的故障可以是永久性的或者也可以是暂时的。为了减少或消除这种故障，可以使用两个mtbf来限定性能极限检测窗口，如在下文中更详细地论述的。

图5是示出根据实施例的基于mtbf的传感器性能极限检测窗口的示例的图。在图5中，图500示出了针对由特定传感器(例如，传感器415/416)覆盖的区域(例如，覆盖区域425/426)的作为操作时间(x轴)的函数的性能风险(y轴)。在一个实施例中，图500的“时间”轴(x轴)可以表示以自主驾驶模式操作的自主车辆101的操作时间。图500的“时间”轴可以以小时为单位进行测量(但是也可以以分钟、秒或任何适合的度量单位进行测量)，以及性能风险轴(在y轴上标记为“风险”)可以被测量为时间的逆或倒数(例如1/小时)。

仍然参考图5，虚线510可以表示在从相应传感器的标称mtbf得出的时间段内特定传感器(例如，传感器415/416)的传感器性能风险。当自主车辆101操作接近或超过第一经过时间520时，由于传感器的性能限制，在第二经过时间530中单点故障风险开始增大。风险越高，障碍物检测为假阳性或假阴性的可能性也会增加。

在图5中，第一经过时间520可以是传感器的最坏情况mtbf(或传感器mtbf下限)，第二经过时间530可以是传感器的标称性能mtbf(或传感器mtbf上限)。在一个实施例中，传感器mtbf上下限可以从mtbf分布曲线505获得，例如，在自主车辆101的现场测试期间或在车辆101以阴影模式(shademode)操作时，它们可以作为图3a的传感器mtbf313一部分存储。如图5所示，传感器mtbf下限(即，经过时间520)可以对应于mtbf分布曲线505的下限mtbf550，传感器mtbf上限(即，经过时间530)可以对应于mtbf分布曲线505的标称mtbf(或上限mtbf)560。因此，在图5中，可以基于传感器mtbf下限和上限限定性能极限检测窗口540。即，检测窗口540可以表示传感器mtbf下限和上限之间的时间段，在该时间段中可以检测传感器性能极限。

再次参考图3a，区域相关风险调整模块309可基于mtbf313(即限定性能极限检测窗口的传感器的mtbf下限和上限)来计算或得出一段时间内每个传感器的性能风险(存储为传感器性能风险314的一部分)，并根据得出的传感器性能风险实时调整与区域相关风险。例如，现在参考图6(示出了根据一个实施例的对于给定传感器覆盖区域的作为操作时间的函数的动态风险更新的示例的图)，图600示出了针对由两个传感器(传感器a和传感器b)覆盖的覆盖区域，作为操作时间(x轴)的函数的性能风险(y轴)。注意，图6仅示出两个传感器作为示例，并且可以利用任何数量的传感器。在一个实施例中，图600的“时间”轴(x轴)可以表示以自主驾驶(ad)模式操作的自主车辆101的操作时间。图600的“时间”轴可以以小时为单位进行测量(但是也可以以分钟、秒或任何合适的度量单位进行测量)，并且性能风险轴(在y轴上标记为“风险”)可被测量作为时间的逆或倒数(例如1/小时)。

在图6中，虚线601表示第一传感器(称为传感器a)的性能风险，虚线602表示第二传感器(称为传感器b)的性能风险，以及虚线603表示在一段时间内传感器a和b覆盖的区域的区域相关风险。假定传感器a和b在mtbf(a，b)之前没有同时经历性能限制。在一些实施例中，可以在设计阶段考虑或确定mtbf(a，b)，并且在测试阶段对其进行验证。

继续参考图6，经过时间610表示传感器a的mtbf下限(称为“mtbf(a)@下限”)，经过时间620表示传感器a的mtbf上限(称为“mtbf(a)@上限”)，经过时间630表示传感器b的mtbf下限(称为“mtbf(b)@下限”)，以及经过时间640表示传感器b的mtbf上限(称为“mtbf(b)@上限”)。另外，经过时间650表示组合传感器即传感器a和传感器b的组合的mtbf下限(称为“mtbf(a@下限，b@下限)”)，以及经过时间660表示组合传感器的mtbf上限(称为“mtbf(a@上限，b@上限)”)。因此，性能极限检测窗口680可以表示传感器a的mtbf下限和上限之间的时间段，在该时间段中可以检测传感器a性能极限，性能极限检测窗口685可以表示传感器b的mtbf下限和上限之间的时间段，在该时间段中可以检测传感器b性能极限，以及性能极限检测窗口690可以表示组合传感器的mtbf下限和上限之间的时间段，在该时间段中可以检测组合传感器性能极限。检测窗口690可以表示没有覆盖的时间段，或者需要附加的诊断。在一些实施例中，mtbf(a)@下限、mtbf(a)@上限、mtbf(b)@下限、mtbf(b)@上限、mtbf(a@下限、b@下限)和mtbf(a@上限、b@上限)可以被存储为图3a的传感器mtbf313的一部分。

仍然参考图6，在自主车辆101的实时odd操作期间，从点1到点2(如虚线603所示)，传感器覆盖区域被两个传感器(传感器a和b)覆盖。区域相关风险调整模块309可以确定区域相关风险为风险(a，b)。随着经过时间接近或经过点2，传感器a经受性能限制的可能性增大。因此，在确认传感器a经受性能限制的期间，模块309可以考虑或确定覆盖区域仅被传感器b覆盖，并且将区域相关风险调整为风险(b)。在点3处，如果检测到传感器a性能限制(在检测窗口680期间)，则这种性能限制可以是永久的或暂时的。对于暂时性能限制，例如，模块309可以将区域相关风险从点3(风险(b))调整到点7(风险(a，b))以及到点8(风险(a，b))。另一方面，对于永久或持久性能限制(传感器a)，模块309可以将区域相关风险从点3(风险(b))调整到点4(风险(b))，仅由传感器b覆盖。由于点4接近或超过经过时间630(即，传感器b的mtbf下限)，因此可以调用或触发检测窗口685。在此点处(在图600上的670处显示)，需要进行附加诊断以确保传感器b性能按预期操作，并继续进行到(或调整到)点6，仅来自传感器a的覆盖。否则，区域相关风险可以从点4调整或进行到点5(这是无覆盖区)。在一些实施例中，可以使用以下等式来计算上述mtbf和风险：

传感器a：mtbf(a)＝10^a(时间)

传感器b：mtbf(b)＝10^b(时间)

组合mtbf(a，b)＝10^(a+b)(时间)

风险(a)＝10^-a(1/时间)

风险(b)＝10^-b(1/时间)

风险(a，b)＝10^-(a+b)(1/时间)，

其中，a和b是大于或等于0的整数值，并且时间可以以小时、分钟、秒或任何合适的度量单位来测量。

作为示例，如果时间以小时为单位测量，并且在odd内操作时，传感器a和b中的每个每1000小时发生一次故障(例如，假阳性或假阴性)，则a和b均等于3。

图7是示出根据一个实施例的限定传感器性能极限检测窗口的示例方法的流程图。方法700可以由硬件、软件或两者的组合来执行。例如，方法700可以由图3a的传感器性能极限检测模块308执行。

参照图7，在框710，基于与传感器相关联的mtbf分布来确定传感器的mtbf下限。在框720，基于与传感器相关联的mtbf分布来确定传感器的mtbf上限。在框730处，基于mtbf下限和mtbf上限限定与传感器相关联的性能极限检测窗口。

图8是示出根据一个实施例的实时地调整覆盖区域的区域相关风险的示例方法的流程图。方法800可以由硬件、软件或两者的组合来执行。例如，方法800可以由图3a的区域相关风险调整模块309执行。

参照图8，在框810中，对于由自主驾驶车辆(adv)的一个或多个传感器覆盖的每个区域，确定在ad模式下操作的adv的操作时间是否在第一传感器的性能极限检测窗口内。在框820处，响应于确定在ad模式下操作的adv的操作时间在第一传感器的性能极限检测窗口内，将区域的区域相关风险调整为第二传感器的性能风险。

图9是示出了根据一个实施例的实时调整覆盖区域的区域相关风险的另一示例方法的流程图。方法900可以通过硬件、软件或两者的组合来执行。例如，方法900可以由图3a的传感器性能极限检测模块308和/或与区域相关风险调整模块309执行。

参照图9，在框901中，加载传感器覆盖范围数据(例如，航空图像、陆地覆盖数据、数字高程模型等)。在一些实施例中，传感器覆盖范围数据可以是规则或不规则网格、点云和/或网格的形式。在框902，加载用于标称性能和最坏情况的各个传感器的mtbf(例如，图3a的传感器mtbf313)。在框903，将传感器的mtbf与相应的传感器覆盖范围相关联。在框904，确定自主车辆(例如，图1的车辆101)是否以ad模式操作。如果是，则在框905，启动或更新ad模式计时器。否则，方法900返回到框901。在框906，针对传感器覆盖范围内的每个区域，针对ad模式计时器检查与传感器覆盖范围相关联的第一传感器(例如，主要传感器)的mtbf。在框907，确定ad模式计时器是否大于第一传感器的mtbf@下限(即在第一传感器的性能极限检测窗口内)。如果是，则在框908，基于所涉及的传感器风险(例如，第二传感器的传感器性能风险)来调整区域相关风险。即，可以确定区域被第二传感器(例如，二级传感器或备用传感器)覆盖。否则，方法900进行到框916，以确定路线是否完成。在框909，可以确定是否确认了第一传感器的性能限制。如果是，则方法900进行到框910。否则，方法900进行到框916。在框910，确定所确认的传感器性能限制是否是暂时的。如果是，则方法900进行到框912，以将区域相关风险调整为例如第二传感器的性能风险或第一和第二传感器的组合性能风险，然后进行到框914以加载第二传感器的下一个mtbf(例如，mtbf@下限和/或mtbf@上限。否则，方法900进行到方框911，确定区域是否被第二传感器覆盖。如果是，则方法900进行到方框916。否则，方法900进行到方框913，将区域声明为无覆盖区域。在框915，更新传感器覆盖范围边界，然后方法900进行到框916。在框916，如果路线完成，则方法900结束。否则，方法900返回到框901。

注意，如上所示和所述的一些或所有组件可以用软件、硬件或其组合实现。例如，这些组件可以被实现为安装并存储在永久存储设备中的软件，软件可以由处理器(未示出)加载并执行在存储器中以执行贯穿本申请所述的过程或操作。可替换地，这些组件可被实现为被编程或嵌入到专用硬件中的可执行代码，专用硬件诸如集成电路(例如，专用ic或asic)、数字信号处理器(dsp)或现场可编程门阵列(fpga)，可执行代码可经由对应驱动器和/或操作系统从应用访问。此外，这些组件可以被实现为处理器或处理器内核中的特定硬件逻辑，作为经由一个或多个特定指令软件组件可访问的指令集的一部分。

图10是示出可与本发明的一个实施例一起使用的数据处理系统的示例的框图。例如，系统1500可以表示执行上述任何过程或方法的上述任何数据处理系统，例如感知和规划系统110或图1的服务器103-104中的任何一个。

系统1500可以包括：许多不同的组件。这些组件可以实现为集成电路(ic)，其部分，分立电子设备或适合于电路板的其他模块，例如计算机系统的主板或附加卡，或实现为以其他方式并入计算机机箱中的其他组件。

还应注意，系统1500旨在示出计算机系统的许多组件的高级视图。然而，应当理解，在某些实施方式中可以存在附加组件，此外，在其他实施方式中可以出现所示组件的不同布置。系统1500可以表示台式机、笔记本电脑、平板电脑、服务器、移动电话或图1的系统110-115中的任何一个。此外，虽然仅示出了单个机器或系统，但是术语“机器”或“系统”也应视为包括任何机器或系统的集合，单独或共同执行一组(或多组)指令，以执行此处讨论的任何一种或多种方法。

在一个实施例中，系统1500包括经由总线或互连1510连接的处理器1501、存储器1503和设备1505-1508。处理器1501可以表示具有单个处理器核心或多个处理器核心的单个处理器或多个处理器。处理器1501可以表示一个或多个通用处理器，诸如微处理器、中央处理单元(cpu)，或类似的。更具体地，处理器1501可以是复杂指令集计算(cisc)微处理器、精简指令集计算(risc)微处理器、超长指令字(vliw)微处理器、或实现其他指令集的处理器、或实现指令集组合的处理器。处理器1501也可以是一个或多个专用处理器，例如专用集成电路(asic)、蜂窝或基带处理器、现场可编程门阵列(fpga)、数字信号处理器(dsp)、网络处理器、图形处理器、通信处理器、密码处理器、协处理器、嵌入式处理器或能够处理指令的任何其他类型的逻辑。

处理器1501可以是低功率多核处理器插座，例如超低压处理器，它可以充当主处理单元和中央集线器，用于与系统的各个组件进行通信。可以将这种处理器实现为片上系统(soc)。处理器1501被配置为执行用于执行本文讨论的操作和步骤的指令。系统1500可以进一步包括与可选图形子系统1504通信的图形界面，可选图形子系统1504可以包括显示控制器、图形处理器和/或显示设备。

处理器1501可以与存储器1503通信，在一个实施例中，存储器可以经由多个存储器设备来实现，以提供给定数量的系统存储器。存储器1503可以包括一个或多个易失性存储(或存储器)设备，诸如随机存取存储器(ram)、动态ram(dram)、同步dram(sdram)、静态ram(sram)或其他类型的存储设备。存储器1503可以存储包括由处理器1501或任何其他设备执行的指令序列的信息。例如，各种操作系统、设备驱动器、固件(例如，输入输出基本系统或bios)和/或应用程序的可执行代码和/或数据可以被加载到存储器1503中并由处理器1501执行。可以是任何种类的操作系统，例如，机器人操作系统(ros)、的操作系统、apple的mac的linux、unix或其他实时或嵌入式操作系统。

系统1500可以进一步包括诸如设备1505-1508之类的io设备，包括(一个或多个)网络接口设备1505、(一个或多个)可选输入设备1506和(一个或多个)其他可选io设备1507。网络接口设备1505可以包括无线收发器和/或网络接口卡(nic)。无线收发器可以是wifi收发器、红外收发器、蓝牙收发器、wimax收发器、无线蜂窝电话收发器、卫星收发器(例如，全球定位系统(gps)收发器)或其他射频(rf)收发器、或其组合。nic可以是以太网卡。

(一个或多个)输入设备1506可以包括鼠标、触摸板、触敏屏幕(可以与显示设备1504集成)、诸如触笔的指示设备和/或键盘(例如，物理键盘或作为触敏屏幕的一部分显示的虚拟键盘)。例如，输入设备1506可以包括耦接到触摸屏的触摸屏控制器。触摸屏和触摸屏控制器可以例如使用多种触摸敏感技术中的任何一种来检测其接触以及其移动或中断，包括但不限于电容、电阻、红外和表面声波技术、以及其他接近传感器阵列或其他元件，用于确定与触摸屏的一个或多个接触点。

io设备1507可以包括音频设备。音频设备可以包括扬声器和/或麦克风，以启用语音的功能，例如语音识别、语音复制、数字记录和/或电话功能。其他io设备1507可以进一步包括(一个或多个)通用串行总线(usb)端口、(一个或多个)并行端口、(一个或多个)串行端口、打印机、网络接口、总线桥(例如，pci-pci桥)、(一个或多个)传感器(例如，运动传感器，如加速计、陀螺仪、磁力计、光传感器、指南针、近距离传感器等)或其组合。设备1507可以进一步包括成像处理子系统(例如，相机)，其可以包括光学传感器，例如，电荷耦接器件(ccd)或互补金属氧化物半导体(cmos)光学传感器，用于促进相机功能，例如记录照片和视频剪辑。取决于系统1500的特定配置或设计，某些传感器可以经由传感器集线器(未示出)耦接到互连1510，而诸如键盘或热传感器之类的其他设备可以由嵌入式控制器(未示出)控制。

为了提供诸如数据、应用程序、一个或多个操作系统等信息的永久存储，大容量存储(未示出)也可以耦接至处理器1501。在各种实施例中，以实现更薄更轻的系统设计，并改善系统响应能力方面，可以通过固态设备(ssd)来实现这种大容量存储。然而，在其他实施例中，主要可以使用具有较少数量的ssd存储装置的硬盘驱动器(hdd)来实现大容量存储，以用作ssd高速缓存，以在断电期间实现上下文状态和其他此类信息的非易失性存储，以便在重新启动系统活动时可以快速上电。闪存设备也可以例如经由串行外围接口(spi)耦接到处理器1501。闪存设备可以提供系统软件的非易失性存储，包括bios以及系统的其他固件。

存储设备1508可以包括计算机可访问存储介质1509(也称为机器可读存储介质或计算机可读介质)，其上存储了一组或多组指令或软件(例如，模块、单元、和/或逻辑1528)体现本文所述的任何一种或多种方法或功能。处理模块/单元/逻辑1528可以表示上述任何组件，例如规划模块305、控制模块306、传感器性能极限检测模块308和区域相关风险调整模块309。处理模块/单元/逻辑1528可以在由数据处理系统1500执行时，它们也完全或至少部分地驻留在存储器1503内和/或处理器1501内，存储器1503和处理器1501也构成机器可访问的存储介质。处理模块/单元/逻辑1528还可以经由网络接口设备1505在网络上发送或接收。

计算机可读存储介质1509也可以用于永久地存储上述一些软件功能。尽管在示例性实施例中将计算机可读存储介质1509示为单个介质，但是术语“计算机可读存储介质”应理解为包括单个介质或多个介质(例如，集中式或分布式数据库，和/或关联的缓存和服务器)来存储一组或多组指令。术语“计算机可读存储介质”也应被认为包括任何介质，能够存储或编码一组指令，以由机器执行并且使机器执行本发明的任何一个或多个方法。因此，术语“计算机可读存储介质”应被认为包括但不限于固态存储器、光学和磁性介质、或任何其他非暂时性机器可读介质。

本文描述的处理模块/单元/逻辑1528、组件和其他特征可以被实现为分立的硬件组件，或者被集成在诸如asics、fpga、dsp或类似设备的硬件组件的功能中。另外，处理模块/单元/逻辑1528可以被实现为硬件设备内的固件或功能电路。此外，处理模块/单元/逻辑1528可以以任何组合的硬件设备和软件组件来实现。

注意，尽管系统1500示出了具有数据处理系统的各种组件，但是其并不旨在表示互连这些组件的任何特定架构或方式；因为这样的细节与本公开的实施例没有关系。还应当理解，具有更少的组件或者也许更多的组件的网络计算机、手持式计算机、移动电话、服务器和/或其他数据处理系统也可以与本公开的实施例一起使用。

已经关于对计算机存储器内的数据位的操作的算法和符号表示呈现了前述详细描述的一些部分。这些算法描述和表示是数据处理领域的技术人员用来最有效地将他们的工作实质传达给本领域的其他技术人员的方式。算法在这里并且通常被认为是导致期望结果的自洽操作序列。这些操作是需要对物理量进行物理操纵的那些操作。

然而，应当记住的是，所有这些和类似的术语都与适当的物理量相关联，并且仅仅是应用于这些量的方便的标记。除非特别声明，否则从以上讨论中显而易见的是，应当理解的是，在整个说明书中，使用诸如所附权利要求书中所阐述的术语的讨论指的是计算机系统或类似电子计算设备的动作和过程，所述计算机系统或类似电子计算设备将计算机系统的寄存器和存储器内的表示为物理(电子)量的数据操纵和变换成计算机系统存储器或寄存器或其它这样的信息存储、传输或显示设备内的类似地表示为物理量的其它数据。

本公开的实施例还涉及用于执行本文的操作的装置。这种计算机程序存储在非瞬态计算机可读介质中。机器可读介质包括用于以机器(例如，计算机)可读的形式存储信息的任何机制。例如，机器可读(例如，计算机可读)介质包括机器(例如，计算机)可读存储介质(例如，只读存储器(“rom”)、随机存取存储器(“ram”)、磁盘存储介质、光存储介质、闪存设备)。

在前述附图中描述的过程或方法可以由包括硬件(例如，电路、专用逻辑等)、软件(例如，体现在非暂时性计算机可读介质上)或两者的组合的处理逻辑来执行。尽管以上根据一些顺序操作描述了过程或方法，但是应当理解的是，可以以不同的顺序执行所述的一些操作。此外，一些操作可以并行地而不是顺序地执行。

本公开的实施例不是参考任何特别编程语言描述的。将了解，可使用各种编程语言实施如本文所述的本公开的实施例的教示。

在前述说明书中，已经参考本公开的具体示例性实施例描述了本公开的实施例。显然，在不背离如所附权利要求书中所阐述的本公开的更宽的精神和范围的情况下，可以对其进行各种修改。因此，说明书和附图应被认为是说明性的而不是限制性的。