CN102233877A - 确保有限能力自动驾驶车辆的运行的方法和系统 - Google Patents

Abstract

一种确保启用了有限能力自动驾驶的车辆的运行的方法，该方法包括：监测优选且可靠地使用有限能力自动驾驶所需要的多个特定条件，以及当至少一个特定条件被违反或将要被违反时，启动故障处理和降级策略，该故障处理和降级策略配置成：如果驾驶员不能手动控制车辆，则操纵车辆进入优选状态。

Description

确保有限能力自动驾驶车辆的运行的方法和系统

相关申请的交叉引用

本申请要求2010年03月30日提交的美国临时申请NO.61/319197的权益，该临时申请通过引用结合于此。

技术领域

本发明涉及道路车辆的有限能力自动驾驶。

背景技术

这部分的内容仅提供有关本发明的背景信息，且可能不构成现有技术。

自动驾驶系统和有限能力自动驾驶系统利用关于道路、环境和其它驾驶条件的输入以自动控制节气门、制动和转向机构。对于成功将人的思维代替为车辆操作的控制机构而言，精确估计和识别机动车在其上运行的顺畅路径是十分关键的。

道路情况可能是复杂的。在车辆正常运行的情况下，人类操作者每分钟要进行成百上千次的观察并且基于观测到的道路情况来调节车辆的运行。观测道路情况的一个方面是对处于道路上和道路周围的物体环境中的道路的观测以及对经过所有物体的顺畅路径进行导航。通过技术代替人类观测优选地包括精确地观测物体且继续有效地在这些物体周围导航。

用于观测物体的技术方法包括来自可视摄像机和雷达成像的数据。摄像机将辐射形式的可视图像-如光图案或红外线信号转换为可读数据格式。另外，摄像机可用于监测车辆行驶于其上的道路上的车道标志。一种此类数据格式包括像素图像，其中观测到的场景被分成一系列像素。雷达成像利用由发送器生成的无线电波来估计在发送器前方存在的形状和物体。反射这些形状和物体的波的图案可被分析且物体的位置可被估计。另外，GPS和无线技术可确定即将来临的十字路口、车道终点和交通拥堵区域。

在任一自动驾驶系统中，关键的是车辆操作者保持充分的情况认知度，以便操作者在交通情况和外部情况需要时准备干预。另外，自动驾驶系统的物理故障必须被监测以防止自动驾驶系统发生故障。

已知的方法检测操作者的注意程度且如果检测到内部故障则警告操作者需要作出响应。然而，当操作者的注意程度不能被重新获得时，这些已知的方法便不能自动地操作车辆且机动地操纵车辆至优选状态。

1、一种确保启用了有限能力自动驾驶的车辆的运行的方法，包括：

监测优选且可靠地使用有限能力自动驾驶所需要的多个特定条件；和

当优选且可靠地使用有限能力自动驾驶所需要的至少一个特定条件被违反或将要被违反时，启动故障处理和降级策略，所述故障处理和降级策略配置成：如果驾驶员不能手动控制车辆，则操纵车辆进入优选状态。

2、根据方案1所述的方法，其中监测优选且可靠地使用有限能力自动驾驶所需要的多个特定条件包括：

监测操作者注意程度标准；

监测没有内部故障的诊断条件，所述内部故障阻止优选且可靠地使用有限能力自动驾驶的可用性；以及

监测允许优选且可靠地使用有限能力自动驾驶的外部条件。

3、根据方案1所述的方法，其中当优选且可靠地使用有限能力自动驾驶所需要的至少一个特定条件被违反或将要被违反时启动故障处理和降级策略包括：

监测操作者注意程度标准；

基于对操作者注意程度标准的监测来确定操作者是不专心的；

启动配置成重新获得操作者的注意的警告；以及

如果配置成重新获得操作者的注意的警告是不成功的，则确定为不专心的驾驶员，或者如果配置成重新获得操作者的注意的警告是成功的，则确定为专心的驾驶员。

4、根据方案3所述的方法，其中响应于如果配置成重新获得操作者的注意的警告是不成功的则确定为不专心的驾驶员，该方法进一步包括：

计划未来的操纵以使车辆达到优选状态，该操作包括：

启动加强的警告；以及下述各项之一

利用未受损害的有限能力自动驾驶来操纵车辆达到优选状态；和

当检测到优选且可靠的有限能力自动驾驶所需要的外部条件将在一时间段内到期时，利用有限能力自动驾驶的受时间约束的使用来开始操纵车辆进入优选状态。

5、根据方案1所述的方法，其中当优选且可靠地使用有限能力自动驾驶所需要的至少一个特定条件被违反或将要被违反时启动故障处理和降级策略包括：

监测允许优选且可靠地使用有限能力自动驾驶的外部条件；

基于监测到的外部条件确定允许优选且可靠地使用有限能力自动驾驶的外部条件将在一段时间内到期；

启动配置成获得操作者的注意的警告；以及确定下述各项之一

如果配置成获得操作者的注意的警告是不成功的，则确定有即将来临的危险，该危险是：有限能力自动驾驶所需要的外部条件从启动警告开始将要到期，以及

如果配置成获得操作者的注意的警告是成功的，则确定为专心的驾驶员。

6、根据方案5所述的方法，其中响应于确定有即将来临的危险-即有限能力自动驾驶所需要的外部条件从启动警告开始将到期，该方法进一步包括：

计划未来的操纵以使车辆达到优选状态，该操作包括：

启动加强的警告；以及下述各项之一

利用未受损害的有限能力自动驾驶以操纵车辆达到优选状态，和

当检测到优选且可靠的有限能力自动驾驶所需要的外部条件将在一时间段内到期时，利用有限能力自动驾驶的受时间约束的使用来开始操纵车辆进入优选状态。

7、根据方案1所述的方法，其中当优选且可靠地使用有限能力自动驾驶所需要的至少一个特定条件被违反或将要被违反时启动故障处理和降级策略包括：

监测无内部故障的诊断条件，所述内部故障阻止优选且可靠地使用有限能力自动驾驶的可用性；

基于监测到的诊断条件，确定危险故障、紧急故障、重大故障或到期的有限能力自动驾驶能力之一；以及

基于确定的危险故障、紧急故障、重大故障或到期的有限能力自动驾驶能力之一，启动故障处理和降级策略。

8、根据方案7所述的方法，其中基于确定的危险故障、紧急故障、重大故障或到期的有限能力自动驾驶能力之一来启动故障处理和降级策略包括：

在有限能力自动驾驶仍然能控制车辆时，确定危险故障，仅在后续故障存在时危险故障才影响系统执行有限能力自动驾驶的能力；

基于确定的危险故障，启动配置成重新获得操作者注意的警告；

确定下述各项之一

当从启动重新获得操作者注意的警告开始一段时间已经过去且紧急故障被检测到时，降级的有限能力自动驾驶操作导致优选且可靠的有限能力自动驾驶的性能降级，以及

取消有限能力自动驾驶；以及

基于确定的降级的有限能力自动驾驶操作，操纵车辆进入优选状态。

9、根据方案7所述的方法，其中基于确定的危险故障、紧急故障、重大故障或到期的有限能力自动驾驶能力之一启动故障处理和降级策略包括：

确定会立即降低继续进行有限能力自动驾驶的能力的紧急故障；

基于确定的紧急故障，确定降级的有限能力自动驾驶操作，该操作导致优选且可靠的有限能力自动驾驶的性能降级；以及

基于确定的降级的有限能力自动驾驶操作，操纵车辆进入优选状态。

10、根据方案7所述的方法，其中基于确定的危险故障、紧急故障、重大故障或到期的有限能力自动驾驶能力之一启动故障处理和降级策略包括：

确定会立即对系统继续在有限能力自动驾驶下操作的能力产生不利影响的重大故障；

基于确定的重大故障，确定后退位置；

基于确定的后退位置，操纵车辆进入优选状态且禁用有限能力自动驾驶。

11、根据方案1所述的方法，其中启用了有限能力自动驾驶的车辆包括具有不依赖于操作者输入来控制转向、制动和节气门的能力的车辆。

12、一种确保有限能力自动驾驶车辆在多个运行模式下的运行的方法，包括：

当车辆操作者要求有限能力自动驾驶并且优选且可靠地使用有限能力自动驾驶所需要的多个特定条件都被满足时，启用全自动驾驶模式；以及

当优选且可靠地使用有限能力自动驾驶所需要的至少一个特定条件被违反或将要被违反时，禁用全自动驾驶模式。

13、根据方案12所述的方法，进一步包括：

在所述多个运行模式的每个中监测前瞻信息，以便预测是否有一个特定条件将要被违反以及这种违反何时将会发生。

14、根据方案12所述的方法，进一步包括：

在所述多个运行模式的每个中监测计划未来的信息，以便当一个特定条件被违反或者可能被违反时，计划替代的优选操纵并评估立即应用的可行性。

15、根据方案12所述的方法，其中多个特定条件的满足包括：

操作者满足预定的注意程度标准；

不存在阻止优选且可靠地使用有限能力自动驾驶的可用性的内部故障；

没有阻止优选且可靠地使用有限能力自动驾驶的可用性的初期内部故障；以及

优选且可靠地使用有限能力自动驾驶所需要的外部条件被满足。

16、根据方案12所述的方法，其中当优选且可靠地使用有限能力自动驾驶所需要的至少一个特定条件被违反或将要被违反时禁用全自动驾驶模式包括：

当被违反或将要被违反的所述至少一个特定条件包括不会立即对系统继续在有限能力自动驾驶中操作的能力产生不利影响的条件时，转换至配置成获得操作者注意的警告模式。

17、根据方案16所述的方法，进一步包括：

如果在从转换至警告模式时起的一时间段后操作者的注意力没有被重新获得，则转换至加强的警告模式，该模式配置成加强警告以便获得操作者的注意并且评估前瞻和计划未来信息以便立即使用；以及转换到下述各项之一

如果操作者的注意被重新获得或者特定条件不再被违反或将不会被违反，则转换到全自动驾驶模式；以及

当操作者的注意没有被重新获得时，则转换至配置成操纵车辆进入优选状态的降级的自动驾驶模式。

18、根据方案12所述的方法，其中当优选且可靠地使用有限能力自动驾驶所需要的至少一个特定条件被违反或将要被违反时禁用全自动驾驶模式包括：

当被违反或将要被违反的所述至少一个特定条件包括会立即对系统继续在有限能力自动驾驶中操作的能力产生不利影响的条件时，转换至配置成操纵车辆进入优选状态的降级的自动驾驶模式。

19、根据方案18所述的方法，其中配置成操纵车辆进入优选状态的降级的自动驾驶模式包括：

基于连续监测到的前瞻和计划未来信息，评估要立即使用的操纵方案；以及

在所述被评估的操纵方案中选出一个最可行的。

20、一种确保启用了有限能力自动驾驶的车辆的运行的装置，包括：

控制器，该控制器执行下列操作：

监测优选且可靠地使用有限能力自动驾驶所需要的多个特定条件；

当优选且可靠地使用有限能力自动驾驶所需要的至少一个特定条件被违反或将要被违反时，启动故障处理和降级策略，该故障处理和降级策略配置成：如果驾驶员不能手动控制车辆，则操纵车辆进入优选状态。

发明内容

一种确保启用了有限能力自动驾驶的车辆的运行的方法包括监测优选且可靠地利用有限能力自动驾驶所需的多个特定条件，以及当至少一个特定条件被违反或将被违反时，如果驾驶员不能手动控制车辆，则启动配置成操纵车辆进入优选状态的故障处理和降级策略。

附图说明

接下来将通过举例并参考附图描述一个或多个实施例，附图中：

图1是根据本发明的、包括系统状态和可能的状态转换的有限能力自动驾驶系统的示例性状态流程图；

图2示意性地示出了根据本发明的集成在图1的状态流程图中的示例性控制器；

图3示出了根据本发明的、在具有操作考虑因素以及没有操作考虑因素的情况下的驾驶模式系统的示例性流程图，其中该驾驶模式系统包括自动驾驶禁用模式和自动驾驶模式且所述操作考虑因素与图1的状态流程图以及图2的示例性控制器相关且一致地使用；以及

图4示出了根据本发明的用于运行在有限能力自动驾驶模式下的车辆的示例性评估流程图，该流程图描绘了对下列情况的评估：操作车辆变换车道至路侧，或者如果变换车道操作不可行或不可能则停在当前车道。

具体实施方式

接下来参照附图，其中所述附图只是用来图示某些示例性实施例，而不是用于限制本发明，图1示出了根据本发明的示例性实施例的系统100，该系统100采用有限能力自动驾驶(limited-ability autonomous driving，下文中称为“LAAD”)并且当用于LAAD所需的一个或多个特定条件不再存在或将不再存在时，其通过启动用于有限能力自动驾驶的故障处理和降级来确保优选操作。用于LAAD所需的特定条件包括：满足操作者的注意程度标准，系统100提供优选且可靠的LAAD的可能性，以及允许LAAD优选使用的外部条件。系统100提供优选且可靠的LAAD使用的可能性是通过不检测任何指示系统故障/内部故障的诊断条件来确定的，所述故障阻止优选且可靠的LAAD的使用。允许LAAD优选且可靠使用的外部条件可包括能阻止优选且可靠的LAAD使用的路面和环境条件。LAAD对应于系统100，其具有独立于操作者的输入而控制转向、制动和车辆节气门的能力；然而，车辆操作者可具有在若干不同的LAAD模式之间进行选择的能力，这些模式包括但不限于，自适应巡航控制(ACC)、车道保持或居中、和车道变换之间的任何组合。故障处理和降级对应于LAAD被使用但用于优选且可靠的LAAD所需的一个或多个特定条件不再存在或将不再存在(如被违反)的情形，其中作出警告操作者控制车辆的尝试，但这些尝试是不成功的，因此，如果驾驶员注意程度不能重新获得，则故障处理和降级策略将操纵车辆至“优选的”状态。所述术语“操作者”和“驾驶员”在本文中可互换。

如果系统100确定操作者注意程度标准不被满足，则诊断条件指示阻止优选且可靠使用LAAD的可能性的系统故障/内部故障，或者允许优选且可靠使用LAAD的外部条件将不再存在，降级的LAAD使用是明显的，且系统100通过故障处理和降级策略确保优选的LAAD操作，以警告驾驶员，并且如果需要，则操纵车辆进入“优选的”状态。

提供表1作为图1的入门信息，其中数字标记框及相应的功能被列举如下。

表1

在本发明的示例性实施例中，系统100的状态流程图包括多个基本状态、多个超级状态和多个从基本状态的状态转换1-22。多个基本状态包括理想状态和非理想状态。多个超级状态可包括在基本状态的理想状态和非理想状态之间的变化。从基本状态的多个状态转换1-22将在下面进行更详细的描述。

在理想环境下，系统100的操作被限于理想状态，其分别包括“熄火”、“禁用”、“启用”和“常规”状态110、112、114和116。在“熄火”状态110，车辆的点火被关闭。在“禁用”状态112，表示任何系统故障/内部故障的诊断条件-其可影响系统提供优选且可靠的LAAD的能力，如果有的话，必须在退出该状态且进入“启用”状态114之前被消除。在“启用”状态114，系统100准备好提供LAAD，因为诊断条件没有表示有任何系统故障/内部故障。在“常规”状态116，系统100提供LAAD且没有任何特定的诊断条件存在。例如，如果驾驶员注意程度标准被满足且没有LAAD的外部条件将在预定时间段(即TBD2 102秒)内到期的指示。

在非理想环境中，为了精确地说明系统100的动作，系统100的状态流程图分别包括非理想的“警告1”、“警告2”、“警告3”、“不专心驾驶员”，“条件到期”、“降级的LAAD”和“后退位置”状态142、144、146、122、124、126和128。非理想状态说明表示系统100的动作，从而识别需要故障处理和降级的一个或多个特定诊断条件的存在或即将存在。当系统操作在“警告1”状态142时，系统100尝试重新获得车辆操作者的注意程度。例如，操作者的注意程度可通过车辆娱乐系统的响铃谐音、语音告知、操作者座位的振动或其它一些合适的告知机构而被重新获得。在这期间，系统100继续提供LAAD。另外，“警告1”状态142可采取积极步骤以针对操作者永远不专心的可能性做好准备。例如，在预料操作者可能永远不专心的情况下，系统100可使车辆减速和/或增加车辆的间距。

当系统100在“不专心驾驶员”状态122运行时，系统100已经确定车辆操作者是不专心的，或者它已经确定继续等待驾驶员变得专心是不可取的。然而，系统100提供LAAD的能力没有被破坏。在进入“不专心驾驶员”状态122时，如果不专心的标准保持不被满足达到TBD6 106秒(自进入“不专心驾驶员”状态122时起)，或者如果在TBD5 105秒内检测到LAAD条件即将到期，系统100便准备开始操纵车辆进入优选状态，从而通过状态转换10转换至“条件到期”状态124。例如，车辆可被操纵进入优选状态且停止在道路旁。因为系统100提供LAAD的能力还没有被破坏，所以“不专心驾驶员”状态122可被优化以利用系统100执行LAAD的能力。在这期间，系统100可继续采取积极措施以重新获得操作者的注意程度。另外，系统100应当保持在“不专心驾驶员”状态122直至状态转换退出“应用”超级状态130和应用操作(即状态转换4或20)、直至TBD6 106秒已经过去(状态转换22)、直至LAAD条件到期(即状态转换16)、或者直至出现危险故障(即状态转换18)、发生紧急故障(即状态转换14)或发生重大故障(即状态转换17)。危险的、紧急的和重大的故障将在下文中分别参考状态转换14、17和18被进一步详细描述。

当系统100运行在“警告2”状态144下时，系统100已经确定LAAD所需的外部条件即将到期。例如，车辆可能正接近十字路口，车道标志将要消失，不利的天气条件，事故现场，交通拥堵，或在紧急响应车辆的附近。“警告2”状态144告知驾驶员必须采取车辆控制措施。另外，“警告2”状态144可采取积极步骤以应对LAAD即将失去的可能性。

当系统100运行在“条件到期”状态124下时，系统100已经确定即将存在危险-即LAAD所需的外部条件将到期。进入“条件到期”状态124时，系统100启用LAAD以立即开始操纵车辆进入优选状态。例如，车辆可被操纵进入优选状态且停止在道路旁。尽管，“条件到期”状态124具有与“不专心驾驶员”状态122相同的、使车辆进入优选状态(如停止在道路旁)的目的，“条件到期”状态124可采用不同策略以操纵车辆达到优选状态。例如，所述操纵应当被优化以利用系统100执行LAAD的能力，然而，操纵车辆的策略必须考虑到和识别到，LAAD的优选操作条件即将结束。在这期间，系统100继续采取措施以获得操作者的注意以便控制车辆。另外，系统100应当保持在“不专心驾驶员”状态124，直至状态转换退出“应用”超级状态130和应用操作(即状态转换4或20)、直至LAAD条件到期(即状态转换16)，或者直至出现危险故障(即状态转换18)、发生紧急故障(即状态转换14)或发生重大故障(即状态转换17)。

当系统100运行在“警告3”状态146下时，通过状态转换18系统100已经确定发生了危险故障，从而允许操作者有时间来反应和控制车辆。此时不需要或不期望立即开始操纵车辆进入优选状态，因为LAAD仍可以控制车辆且操作者有时间反应和控制车辆。当在没有驾驶员介入的情况下系统100已经在“警告3”状态146下运行了预定时间段(即TBD7 107秒)时，系统应当转换(即状态转换19)至“降级的LAAD”状态126。另外，如果在警告3状态146(即状态转换19)时发生了紧急故障，则系统应当立即转换至“降级的LAAD”状态126。

当系统100运行在“降级的LAAD”状态126下时，系统100已经确定系统100已发生紧急故障(即状态转换14)，其严重破坏了系统100执行LAAD的能力。另外，如果系统100已经确定紧急故障后已经发生危险故障(即状态转换18)，或者在危险故障后的预定时间段(即TBD7 107秒)之后操作者没有响应或介入(即状态转换19)，则系统100可运行在“降级的LAAD”状态126下。进一步，系统100应当保持在“降级的LAAD”状态126，直至达到优选状态(即状态转换15)，状态转换退出“应用”超级状态(即状态转换4或20)，直至LAAD条件到期(即，状态转换16)或者确定发生了重大故障(即，状态转换17)。

当系统100运行在“后退位置”状态128下时，系统100已经确定发生了重大故障(即，状态转换17)，LAAD条件已到期(即，状态转换16)或者自系统100已经在LAAD被应用的同时在“不专心驾驶员”状态122(即，状态转换22)下已经过了TBD6 106秒。

仍参考图1，上述多个超级状态可分别包括“熄火”，“点火”，“应用”，“无主要故障”和“全自动驾驶”超级状态110，120，130，140和150。“点火”超级状态120，也是理想状态之一，其包括当车辆点火时系统的每个基本状态。“应用”超级状态130包括“常规”状态116，分别为142，144，和146的“警告1”-“警告3”状态，以及分别为122，124和126的“不专心驾驶员”，“条件到期”和“降级的LAAD”状态，其中LAAD的操作被应用。“无主要故障”超级状态140包括“常规”状态116，分别为142和144的“警告1”和“警告2”状态，以及分别为122，124的“不专心驾驶员”和“条件到期”状态。“无主要故障”超级状态140通常表示没有发生危险的、紧急的或重大的故障。“全自动驾驶”超级状态150包括“常规”状态116和分别为142和144的“警告1”和“警告2”状态，并且表示既没有发生故障也没有发生需要注意的相对小且短时间的偏差，其中某些级别的故障处理和降级被使用但系统100继续使用LAAD。

如上所述，系统100的示例性状态流程包括从基本状态的多个状态转换1-22。状态转换01表示点火被打开。状态02表示一整套的系统诊断检查已经被执行而且没有诊断条件指示任何内部故障可能影响系统100提供优选且可靠的LAAD的能力。另外，操作者已经表明期望启用LAAD且没有故障要求将特性保持在禁用状态112。状态转换03表示车辆操作者已经请求LAAD且优选和可靠的LAAD条件存在，而状态转换04表示当存在无主要故障时车辆操作者已经取消LAAD。主要故障可包括接下来将更详细描述的紧急的、危险的或重大的故障。状态转换04可能发生在，当操作者通过一些方法表示期望取消LAAD时，所述方法包括但不限于在人机交互界面(HMI)上按压按钮，声音命令，或通过一些其它合适的动作表明取消LAAD，例如对操作者制动踏板输入的响应。状态转换05表示点火被关闭。

状态转换06表示系统100已经确定操作者不满足注意程度标准。操作者不满足注意程度标准的确定可通过多种方法来实现，这些方法包括但不限于确定操作者眼睛的注视，操作者的座位位置或操作者头的方向。状态转换07表示系统100已经确定驾驶员在“警告1”状态142期间被警告后集中了注意力。状态转换08表示系统100已经确定操作者不满足注意程度标准已达一时间段(即，TBD1 101秒)。例如，操作者从进入“警告1”状态142开始不满足注意程度标准已达TBD1 101秒。状态转换09表示，重大故障(状态转换17)、LAAD条件到期(状态转换16)、或者从进入“不专心驾驶员”状态122(状态转换22)开始驾驶员不满足注意程度标准已达TBD6 106秒之后，优选状态已达到或者驾驶员已取消LAAD。当在“不专心驾驶员”状态122期间由于驾驶员不满足注意程度标准而使车辆试图操纵进入优选状态时，状态转换10表示系统100已确定使用LAAD需要的外部条件即将在TBD5105秒内到期。因此，状态转换10将系统100的操作从“不专心驾驶员”状态122转换至“条件到期”状态124以利用系统100使用LAAD的能力，从而减轻驾驶员不满足注意程度标准和到期条件的潜在后果，同时考虑并识别到，系统100使用LAAD的能力即将到期。状态转换11表示系统100已确定使用LAAD需要的外部条件即将到期(即，在TBD2 102秒内)。状态转换12表示系统100已经确定使用LAAD需要的外部条件没有即将到期。系统100可配置状态转换12以避免立即转换返回至“警告2”状态144，这通过表示外部条件将持续至少预定时间段(即，TBD2 102秒)来实现。状态转换13表示系统100已经确定存在即将发生的危险-即使用LAAD需要的外部条件即将在预定时间段(即，TBD3 103秒)内到期或者驾驶员在处于“警告2”状态144的同时不满足注意程度标准已达一时间段(即，TBD4 104秒)。

状态转换14表示系统100已经确定紧急故障即将发生或者已经发生，从而使得LAAD不能全功能地继续且需要操作在降级能力下。系统100从“无主要故障”超级状态140转换至“降级的LAAD”状态126。如果预期紧急故障在专心的驾驶员可能采取控制之前发生，则紧急故障即将发生。紧急故障并不破坏系统计划和执行操纵来达到优选状态的能力。否则，故障将被归类为重大故障。状态转换15表示在遇到紧急故障(即，状态转换14)、紧急故障之前的危险故障(即，状态转换19)、或处于“警告3”状态146达TBD7 107秒之前的危险故障之后，系统100已经完成操纵以达到优选状态。在“降级的LAAD”状态126，系统100要求操作者对车辆采取控制，并且在达到优选状态后，LAAD由于紧急故障或者上述降低使用LAAD的全部操作的能力的故障或事件序列而被中断。状态转换16表示在系统提供LAAD的同时系统100已经确定使用LAAD需要的外部条件已到期。因而系统100从“应用”超级状态130转换至“后退位置”状态128并且随后通过状态转换9被禁用。状态转换17表示重大故障已发生，其中系统100仅具有有限的能力以继续操作。操作者被警告且被要求对车辆采取控制。状态转换18表示危险故障已经发生；然而，专心的驾驶员仍具有足够时间对车辆采取控制。状态转换19表示系统100已经确定紧急故障已发生，或者从驾驶员在“警告3”状态146被警告已经过去一时间段(即，TBD7 107秒)。状态转换20表示系统已确定在主要故障-例如危险故障或紧急故障或LAAD条件到期发生之后操作者已取消了LAAD。状态转换20可能发生在当操作者通过一些方法表示期望取消LAAD时，这些方法包括但不限于在人机交互界面(HMI)上按压按钮，声音命令，或通过一些其它合适的指示取消LAAD的动作，例如对操作者制动踏板输入作出响应。在主要故障(紧急的或危险的)发生后，状态转换20发生，这与状态转换04相反，其在没有主要故障(即，“无主要故障”状态140)时发生。状态转换21是从“启用”状态114至“禁用”状态112的转换，这是由于系统100设定了诊断故障代码，其影响执行LAAD的能力。状态转换22是从“不专心驾驶员”状态122至“后退位置”状态128的转换，并且在从处于“不专心驾驶员”状态122下的同时驾驶员已被确定不满足注意程度标准时起已经过去TBD6 106秒时发生。

系统100的状态流程图进一步分别图示了多个标记值TBD1-TBD7101-107。当系统在使用LAAD期间确定操作者不满足注意程度标准后(即，“警告1”状态142)，TBD1 101表示秒数，即在系统100决定驾驶员是不专心的且转换至“不专心驾驶员”状态122之前系统100用于重新获得操作者注意所花费的时间。在非限制的例子中，TBD1 101是5秒。TBD2 102表示在使用LAAD需要的外部条件将到期之前的秒数。在非限制的例子中，TBD2 102等于15秒。TBD3 103表示在进入“警告2”状态144后LAAD需要的外部条件到期前采取措施需要的总时间。如果LAAD需要的外部条件在TBD3 103秒内到期，则系统100应当放弃等待操作者重新获得注意，并且独立于操作者进行控制和开始操作以达到优选状态。在非限制的例子中，TBD3 103是5秒。TBD4 104是系统100在放弃尝试重新获得操作者注意且开始操纵以达到优选状态之前应当给驾驶员警告以对车辆采取控制的时间量。如果TBD4 104的值小，则响应于LAAD需要的外部条件的暂时中断，系统100可开始执行操作以达到优选状态。在非限制的例子中，TBD4 104是2秒。在已确定操作者永远不专心(即，“不专心驾驶员”状态122)后，如果LAAD的条件将要在TBD5 105秒内到期，则系统100应立即转换至“条件到期”状态124。因此，TBD5 105表示在外部条件到期之前采取动作需要的时间量。TBD6 106是在进入“不专心驾驶员”状态122后、在开始操作以达到优选状态之前，从驾驶员已被确定不满足注意程度标准起允许的秒数。TBD6 106表示在采取动作之前系统100应当操作在“不专心驾驶员”状态122下的时间量。在非限制的例子中，TBD6 106是15秒。TBD7 107是系统100应当给驾驶员以响应于危险故障的发生的警告的被允许秒数。TBD7 107表示系统100应当操作在“警告3”状态146下被允许的时间量，前提是紧急故障没有发生。在非限制的例子中，TBD7 107是2秒。

预想的情境包括在多个车辆运行情境中利用系统100，多个车辆运行情境包括基本点火循环，临时不专心驾驶员，永远不专心驾驶员，LAAD需要的条件消失，以及重大故障之前的紧急故障。将变得明显的是，当一个或可能多个LAAD操作需要的特定条件不再存在时，系统100确保LAAD的优选操作。

在非限制的示例性情境中，系统100在基本点火循环期间被使用。当操作者启动车辆时点火是处于“熄火”状态110。系统100通过状态转换01转换至“禁用”状态112，其中系统100检查将影响操作车辆在LAAD下的能力的诊断条件。当系统100没有检测到排除LAAD的使用的任何诊断条件且当驾驶员要求启用LAAD时，系统100通过状态转换02从“禁用”状态112转换至“启用”状态114。在“启用”状态114，操作者要求使用LAAD，其中，优选且可靠地使用LAAD需要的所有特定条件都存在。例如，如果驾驶员期望，操作者可按压位于HMI或方向盘上的按钮以要求使用LAAD，或者他们可给出声音命令，或其它适合的指令以启动LAAD。当LAAD被驾驶员要求时，通过状态转换03，系统100从“启用”状态114转换至“常规”状态116。在“常规”状态116，系统100使用全自动驾驶。在“常规”状态116，车辆操作者能够通过HM I上的按钮、通过声音命令、通过下压制动踏板、或者通过一些其它合适的指令来取消LAAD。当操作者取消使用LAAD时，通过状态转换04，系统100从“常规”状态116转换返回至“启用”状态114。在经过一段时间后，驾驶员到达他/她的目的地且手动地驻车且熄火。当操作者关闭点火时，通过状态转换05，系统100从“启用”状态114转换至“熄火”状态110。

在另外的非限制的示例性情境中，在操作于“全自动驾驶”状态150时，不满足注意程度标准的车辆操作者通过系统100被检测到。当系统100在“常规”状态116时，系统100提供LAAD的使用。在一时间段(例如10分钟)后，系统100检测到操作者不满足注意程度标准。当系统100确定操作者不满足注意程度标准时，通过状态转换06，系统100立即从“常规”状态116转换至“警告1”状态142。在“警告1”状态142，系统100试图重新获得操作者的注意。例如，可通过车辆娱乐系统发出响声，操作者的座位可振动，在仪表板上可闪光，或一些其它合适的方法可用于重新获得操作者的注意。在处于“警告1”状态142的同时，系统100继续使用LAAD。在一个短时间段(如TBD1 101秒或5秒)后，系统100检测到操作者回到专心状态。通过状态转换07，系统100转换返回至“常规”状态116且继续使用LAAD。

在另外的非限制的示例性情境中，当操作在“全自动驾驶”状态150时，永远不专心的车辆操作者通过系统100被检测到。当系统100在“常规”状态116时，系统100提供LAAD的使用。在一时间段(如10分钟)后，系统100检测到操作者不满足注意程度标准。当系统100确定操作者不满足注意程度标准时，通过状态转换06，系统100立即从“常规”状态116转换至“警告1”状态142。在“警告1”状态142，系统100试图重新获得操作者的注意。例如，可通过车辆娱乐系统发出响声，操作者的座位可振动，在仪表板上可闪光，或其它一些合适的方法可用于重新获得操作者的注意。在处于“警告1”状态142的同时，系统100继续使用LAAD。在一时间段(即，TBD1 101或例如5秒)后，系统100继续确定驾驶员不满足注意程度标准。作为操作者继续不专心的结果，尽管进行了一段时间的警告，系统100决定通过状态转换08开始从“警告1”状态142转换至“不专心驾驶员”状态122。在“不专心驾驶员”状态122，系统继续试图重新获得操作者的注意，并且计划操纵以达到优选状态。如果操作者的注意程度在TBD6 106秒-如15秒内没有被重新获得，则LAAD执行计划的操纵以达到优选状态。例如，所述操纵驾驶车辆至道路旁，并且将车辆停在路肩。车辆达到优选状态且系统100禁用LAAD以保持车辆在优选状态。

在又一非限制的示例性情境中，在操作于LAAD时，涉及永远不专心的车辆操作者的变型情境通过系统100被检测到。当系统100在“常规”状态116时，系统100提供LAAD的使用。在一时间段(如10分钟)后，系统100检测到操作者不满足注意程度标准。当系统100确定操作者不满足注意程度标准时，通过状态转换06，系统100立即从“常规”状态116转换至“警告1”状态142。在“警告1”状态142，系统100试图重新获得操作者的注意。例如，可通过车辆娱乐系统发出响声，声音可试图提醒操作者，操作者的座位可振动，在仪表板上可闪光，或其它一些合适的方法可用于重新获得操作者的注意。在处于“警告1”状态142的同时，系统100继续使用LAAD。在一短时间段(如TBD1 101秒或5秒)后，操作者取消LAAD(如，按压按钮，下压制动踏板，或用其它一些合适的指令)。当在处于“警告1”状态142的同时操作者取消LAAD时，通过状态转换04，系统转换至“启用”状态114。当在“启用”状态114时，如果期望操作者可重新要求使用LAAD，或者继续手动操作车辆直到行程结束。

在另外的非限制的示例性情境中，在操作于LAAD的同时，LAAD需要的条件消失被系统100检测到。当系统100在“常规”状态116时，系统100提供LAAD的使用。在一时间段(如10分钟)后，系统100检测到LAAD需要的外部条件将在TBD2102秒内到期。通过状态转换11，系统立即从“常规”状态116转换至“警告2”状态144。在“警告2”状态144，系统100立即开始警示操作者对车辆采取控制。系统将继续提供LAAD，因为LAAD需要的外部条件还没到期。当时间进行至还剩下TBD3 103秒这些条件就要到期时，系统决定开始启动补救控制动作且通过状态转换13转换至“条件到期”状态124。在启动补救动作后，操作者通过上述方法之一或通过其它一些方法取消LAAD的使用。在操作者取消LAAD的使用后，通过状态转换04，系统100从“条件到期”状态124转换至“启用”状态114，其中如果期望操作者可重新要求使用LAAD，或者继续手动操作车辆直到行程结束。

在另外的非限制的示例性情境中，在操作于LAAD时，LAAD需要的条件消失的变型情境通过系统100被检测到。当系统100在“常规”状态116时，系统100提供LAAD的使用。在一时间段(如10分钟)后，系统100检测到LAAD需要的外部条件将在TBD2 102秒内到期。通过状态转换11，系统立即从“常规”状态116转换至“警告2”状态144。在“警告2”状态144，系统100立即开始警示操作者对车辆采取控制。系统将继续提供LAAD，因为LAAD需要的外部条件还没到期。然而，就在进入“警告2”状态144时，系统100确定LAAD需要的外部条件将不会到期。例如，即将发生的交通拥堵已消除或足够的车道标志重新出现。系统100通过状态转换12转换返回至“常规”状态116。在操作于“常规”状态116下的同时，系统100突然检测到使用LAAD需要的外部条件没有任何警示地到期。应当理解，此时进行受控制的操纵已经太晚，例如由系统分别在“不专心驾驶员”或“条件到期”状态122，124中可提供的操纵。因此，系统必须立即通过状态转换16从“常规”状态116转换至“后退位置”状态128，其中系统要求操作者控制车辆且一旦优选状态达到则禁止LAAD的使用。

在另外的非限制情境中，紧急故障在重大故障之前被系统100被检测到。当系统100操作在“常规”状态116因而系统100提供LAAD的使用时，检测到突然的紧急故障。当紧急故障被检测到时，系统通过状态转换14从“常规”状态116转换至“降级的LAAD”状态126。通过紧急故障的定义，系统仍具有能力来计划和执行受控制的补救操纵。计划的操纵在进入“降级的LAAD”状态126时被执行。在几秒后，在完全结束受控制的补救操纵前，紧急故障扩大为重大故障。通过状态转换17，系统100转换至“后退位置”状态128，其中“后退位置”状态128要求操作者控制车辆且一旦达到优选状态则禁用LAAD。从而，通过状态转换09，系统100转换至“禁用”状态112且在剩下的点火循环中保持在“禁用”状态112。

基于确保LAAD的优选操作的系统100的状态流程图及上述非限制情境，应当理解，在常规驾驶条件下，在LAAD使用期间，相对于这些状态的被期望度，状态之间的大体行进是明显的。状态的被期望度是基于操作者控制车辆的能力和方便性两者来考虑的。

如上所述，包括分别为110，112，114和116的“熄火”，“禁用”，“启用”和“常规”状态的理想状态是最期望的状态。这四种理想状态总括地表示正常的LAAD使用(即，优选且可靠的LAAD使用所需的所有条件都存在)。

分别为142，144的“警告1”和“警告2”状态是相对小且短时间的从正常LAAD使用的偏离，因此其与正常的LAAD使用相比仅稍微不理想。在单一行程期间，很有可能遇到这些状态中的一种或两种，其中LAAD被用于延长的时间段(如，每次多于5分钟)。如果有的话，分别为142，144的“警告1”或“警告2”状态的发生应当仅导致LAAD操作的小幅降级。

“警告3”状态146是从正常LAAD使用的较严重偏离。系统100的设计旨在确保在单一行程期间不可能或极不可能遇到“警告3”状态146，前提是车辆被很好地保养。然而，继续使用LAAD的能力没有被破坏，但存在重大故障的增加的风险。因此，该状态的任务是实现使驾驶员进行控制的平顺移交。

分别为122，124，126和128的“不专心驾驶员”，“条件到期”，“降级的LAAD”和“后退位置”状态，表示比“警告3”状态146更大的从正常LAAD使用的偏离。系统的设计旨在使得极不可能，在单一行程期间这些状态将被遇到，其中LAAD被使用，前提是驾驶员不是残疾的，没有受伤且不是故意地试图证明或验证LAAD的功能。在分别为122，124的“不专心驾驶员”和“条件到期”状态，系统已停止试图重新获得操作者的注意且已开始受控的补救操纵来使车辆达到优选状态。作为进入这四种状态之一的结果，LAAD的操作将明显降级，直至操作者介入以手动控制车辆。这是因为进入这四种状态之一改变了LAAD的任务，其中新的任务是在不增加风险的情况下尽可能快地达到优选状态。分别为122，124，126和128的“不专心驾驶员”，“条件到期”，“降级的LAAD”和“后退位置”状态，表示LAAD操作的层进式降级形式，其中在“不专心驾驶员”状态122时系统100具有最大能力，而在“后退位置”状态128时具有最小能力。

上述危险、紧急和重大故障将在下面被更详细地描述。状态转换14，17，18和19根据故障类型定义，其可分别包括紧急，重大，危险，危险故障后的紧急，或者危险故障后在“警告3”状态146中达TBD7 107秒。在发生时故障的类型通过系统100动态地确定。图1示出的状态图中的“无主要故障”超级状态140表示没有故障发生，无重大故障发生，或者仅小故障(下面定义)发生。因此，术语“主要故障”总括性地意在包括紧急，重大，危险，危险故障后的紧急，或者危险故障后在状态“警告3”中达TBD7秒。

“小故障”不影响系统100继续LAAD的能力。系统100没有理由预期到“小”故障会演变成重大故障的高度可能性。一个例子是存储在RAM中的恶化数据值，当检测到故障时，其被设定为优选默认值。更普遍地，小故障包括但不限于，不需要任何进一步的动作就可局部维修的故障。这些故障的无害本质可能是某些故障容许机构的结果，或者可能是故障非常不重要以致可被忽略至少直至LAAD期间结束之前可被忽略的情形。

危险故障是仅在接下来的故障存在时影响系统100执行LAAD的能力的故障。例如，相比于当LAAD被转换至“应用”超级状态130时发生重大故障的可能性，第一故障增加发生重大故障的可能性。接下来的故障的可能性或紧急性都是不可知的。危险故障的一个例子可以是仅具有一个冗余替代品的主要传感器的故障。在危险故障发生时，如果系统100是在“无主要故障”超级状态140中，则系统100将通过状态转换18转换至“警告3”状态146。术语“危险”是用于描述下述类型的故障，即表明这些故障不一定具有立即的作用。因此，根据紧急性，危险故障没有紧急故障危急。然而，当意识到其影响时，危险故障的后果并不一定比紧急故障的潜在影响小。

紧急故障包括两种可能性之一。第一种可能性包括故障立即使系统100在“常规”状态116继续LAAD的能力降级；然而，这种故障不影响系统在“降级的LAAD”状态126执行受控制的补救操纵的能力。例如，紧急故障的这种第一可能性可包括车道改变所需的传感器功能的完全消失。另外，假设针对这种故障选择的在“降级的LAAD”状态126中执行的受控操纵是降级至没有车道改变能力的状态且停止在当前车道，即没有改变车道。因此，车道改变所需的传感器功能的消失不影响“降级的LAAD”状态126的操作。紧急故障的第二种可能性包括故障立即使系统100在“常规”状态116继续LAAD的能力降级。这种类型的紧急故障也影响系统100执行受控的补救操纵的能力；然而，存在足以执行受控的补救操纵的替代方案。例如，系统100已完全失去车道标记的可视性，但是之前10秒的视频数据历史与感应前面车辆的位置的雷达数据的结合足够在短时间内继续估计车辆在车道上的位置以执行受控的补救操纵。如果在紧急故障发生时系统100在“无主要故障”超级状态140，通过状态转换14系统100可转换至“降级的LAAD”状态126。同样，如果在当前行程期间紧急故障没有发生，但危险故障已发生，那么系统通过状态转换18转换至“警告3”状态146。

重大故障不是小故障、危险故障或紧急故障。通常，重大故障立即会对系统100继续LAAD的常规操作产生不利影响。该故障是不能检测的或不能通过LAAD进行控制，而且如果被检测到，系统100便警告驾驶员这种情况，并且在操作者对车辆采取控制后释放LAAD的能力。

如上所述，在故障发生时，即当故障被第一次检测到时，通过系统100动态地确定故障的类型。故障的类型可以是下列各项的函数：(1)对于LAAD的“常规”状态116操作的故障危险程度；(2)对于系统分别在“降级的LAAD”和“后退位置”状态126，128中执行受控补救操纵的能力的故障危险程度；以及(3)系统的冗余或短期替代方案的当前可用性。项(1)和(2)可静态地确定(即，当系统100被设计时)，项(3)是必须在故障发生时进行确定的动态性能。因为项(3)仅能动态确定，所以作为设计的一部分，不可以简单地将每种故障(如，左前中范围雷达的故障)指定为小的，危险的，紧急的，或重大的之一。代替地，当故障被检测到时，软件功能可用于确定已发生的故障类型。这可基于已确定的冗余、替代操纵等的可用性。软件功能可读取所有当前诊断信号以作出确定。换句话说，软件功能必须精确地实现下述形式的功能。如果(......)则当前故障类型为“小”

否则如果(...)则当前故障类型是“危险”

否则如果(...)则当前故障类型是“紧急”

否则当前故障类型是“重大”

进一步，系统100可提供预期软件功能，其可确定何时紧急故障可通过诊断信号被预期到。例如，如果由用于检测车道标记的摄像机系统提供的“置信值”稳定地减少，则这种“前瞻”信息可被用于预期紧急故障，而不是等待紧急故障发生。利用系统100预期紧急故障的发生创造了更平顺地从LAA转换出来的机会。在优选实施例中，用于故障类型的确定的软件功能应当包括所有可检测的诊断条件的列表，其构成故障或在当前行程期间可能发生的故障。在该示例性实施例中，软件功能应进一步被配置以衍生出等式，该等式可被系统100利用以基于系统100的详细设计分析而动态地计算故障类型。例如，下述等式表示三个传感器之间的关系，从而使得如果传感器2或传感器3有问题则传感器1的故障只能是重大的。

传感器1的故障类型为紧急＝((传感器1正常)且((传感器2正常)或(传感器3正常)))                  [1]

在该示例性实施例中，软件功能可进一步被配置以基于衍生等式的结果复查所述设计从而识别出对设计的修改，通常所述修改将最小化故障的紧急程度。对设计可能的改变可包括附加诊断信号和附加冗余功能。

进一步预想的实施例包括定义至少五个可能的方案，用于将系统100的行为转换到“优选状态”。换句话说，系统100能确定采取什么措施来达到这些状态(从分别为122，124，126和128的“不专心驾驶员”、“条件到期”、“降级的LAAD”、和“后退位置”状态)。系统100可选择启发策略，而不是选择用于特定情形的单一方案，其中该策略能根据故障本质和环境条件动态地选择最佳方案。此外，“前瞻”和“提前计划”分析(见图3中的前瞻和提前计划模块，分别为324，322)能这样的执行，即如果并且当故障发生时的能瞬间作出决定。根据故障本质及车辆和与其相关的系统100的环境条件，必须针对每个可能的方案评估各种优势和劣势，以便使系统100的行为转换到“优选状态”。系统100不局限于下面列出的5个方案，且可以配置成根据故障的本质和环境条件确定出将车辆的行为转换到“优选状态”的其他方案。

在第一方案中，如果操作者依然专心，LAAD被继续；然而，积极地提醒操作者手动控制车辆。第一方案是有利的，因为它可简单地执行到系统中。如果并且当由于故障或者LAAD条件到期而使LAAD不能继续时，第一方案必须考虑当操作者非常不可能采取控制时车辆继续LAAD操作的情形。

除了车辆被操纵进入可利用的道路出口且试图停止车辆，并且打开危险指示灯外，第二方案同第一方案相同。第二方案可优于第一方案，因为它限制暴露到系统100的风险持续时间，前提是沿着道路的出口不久便出现。其也提供相对于其它一些方案的优点，即车辆可停止在比高速路中间或高速路旁稍安全点的地方。第二方案必须配置成不导致其它交通情况，其可能比停留在高速路上更危险(例如，另一条高速路的入口)。

在第三方案中，要求车辆停留在车道上但要减速，增加与前车的间距且打开危险指示灯。第三方案是有利的，因为它容易执行且不要求危险的操纵(例如改变车道)。第三方案必须考虑道路上行驶在车辆后面的其它车辆以避免来自后车的碰撞。

在第四方案中，车辆被要求尽可能快地操纵到路边(例如路肩)，开启危险指示灯，减速停车，及应用驻车制动。第四方案是有利的，如果完成车辆转换到路边的操纵需要的基本性能是可用的且路边可能是比停在当前车道更优选的位置。相比尝试利用下一个出口，第四方案可能具有更可预见的结果。第四方案必须考虑到，位于路边的路肩可能是不可用的且可能需要不确定量的时间去寻找合适的地方停靠。在拥堵的交通中频繁的变换车道操纵也是希望考虑的因素。

在第五方案中，要求车辆通过例如安吉星的系统开启危险指示灯、鸣叫喇叭、停车后打开引擎罩、以及请求路旁援助。第五方案容易执行且限制了要求LAAD操作的时间量。另外，没有存在危险倾向的操作，例如在驾驶员不满足注意程度标准的情况下变换车道。第五方案必须考虑到行驶在车辆后面的其它车辆以便当车辆停止时避免发生危险。

如上所述，期望开发一种根据故障本质和环境条件启发性地选择最佳方案的方法。例如，在“不专心驾驶员”状态，如果交通不太堵或者较慢地移动，则移动至路肩的第四方案可以是最好的选择，前提是沿道路边的路肩是可用的。如果在路旁的路肩不存在，可选择利用下一个出口的第二方案。另一方面，如果交通拥堵且较慢地移动，则停在当前车道上的第五方案可能是最好的选择方案。否则，系统100可首先选择第三方案，即降速，增加间距，且打开危险指示灯一分钟或两分钟，然后重新估计条件以决定是否其它方案是合适的。如果没有其它合适方案，则停留在第三方案且保持定期地重新估计。

如上所述，当在分别为126，128的“降级的LAAD”和/或“后退位置”状态时，系统100具有最小能力。因此，系统100的设计目标是最小化遇到使分别为126，128的“降级的LAAD”和/或“后退位置”状态的LAAD操作被触发的条件的可能性。例如，设计应当最小化系统100对下述任何条件的依赖，所述条件可能在系统100没有一些能力去“前瞻”或预测这些条件到期的情况下突然变得错误。设计应当进一步使用诸如冗余的措施以最小化这些条件的到期。该设计应当最大化对前瞻或预测这些条件的到期的机会的利用。系统100应当进一步被设计以采取保守方法确定是否这些条件将继续下一个TBD秒，所述条件可要求车辆操作在分别为126，128的“降级的LAAD”和/或“后退位置”状态。例如，系统可配置成确定是否存在车道标记在120秒内可能不再可视的指示且开始警告驾驶员在这点采取控制。当首次检测到优选且可靠的LAAD需要的条件即将到期时，系统100可进一步采取积极措施来促使操作者尽快对车辆采取控制，且另外采用积极措施来说服操作者不要故意使系统100达到分别为126，128的“降级的LAAD”和/或“后退位置”状态。当故障发生时，系统可配置成使遇到分别为126，128的“降级的LAAD”和/或“后退位置”状态的可能性最小化，这通过使用一些替代的临时短期方法以克服故障-而不是立即跳到紧急或重大故障状态来实现。例如，如果遇到用于使车道居中的摄像机数据突然且完全丢失，系统100可利用历史数据(即，如之前10秒的数据)或前车的运动轨迹，以在足够长的时间段提供丢失摄像机数据的一些替代源从而给操作者提供对车辆采取控制的机会。例如，系统100可转换至分别为144，124的“警告2”和/或“条件到期”状态。

另外，系统100在“后退位置”状态128遇到LAAD操作的可能性可通过确保系统100的设计而被最小化，即确保系统的设计使故障的可能性最小化且避免单独的点故障。进一步，系统可限制于“降级的LAAD”状态126的设计，其具有非常高的能力容忍故障。这种设计可包括最小的依赖性和足够的容错性。当发生紧急故障并且在紧急故障上升为重大故障之前，系统100的设计应当进一步采取积极措施以促使操作者手动控制车辆。

图2示意性地示出根据本发明结合在图1的系统100内的示例性控制器200。示例性控制器200可确定车辆运行在哪个状态(见图1的系统100)和车辆运行在哪个驾驶模式(见图3的系统300)。示例性控制器200可监测和分析使用LAAD需要的特定条件而且当一个或多个使用LAAD需要的特定条件不再存在或在未来的某个确定点可能不再存在时确保故障处理和降级。示例性控制器200包括示例性管理器210，其具有对监测和警告系统212的管理控制，监测和警告系统212进一步包括分别为220，230的第一和第二子系统，人机交互系统(HMIS)240，驾驶员监测系统250和自动驾驶监测系统260。监测和警告系统212的状态被传送至管理器210，而且基于监测到的相互之间传送的信息，管理器210可生成动作指令给监测和警告系统212。如上所述，使用LAAD需要的特定条件包括操作者注意程度标准，提供优选且可靠的LAAD的可能性以及允许优选使用LAAD的外部条件。分别为220，230的第一和第二子系统可监测指示系统故障/内部故障的诊断条件，这些故障可阻止优选且可靠的LAAD的使用，其中可要求使用故障处理以操纵车辆进入优选状态。监测到的诊断条件可持续传送至管理器210，其中管理器210可确定小的，危险的，紧急的或重大的故障的发生(或发生的可能性)。管理器210可配置成直接将检测到的故障固定在分别为220，230的子系统之一中，前提是这样做是可行的。例如，小故障的发生在不需要任何进一步动作的情况下即可局部修复。分别为220，230的第一和第二子系统可另外地监测车辆的状况，包括但不限于制动踏板输入，操作者扭矩要求，方向盘输入，以及燃油消耗，其可能影响车辆的可控性，而且/或者限制操作车辆在LAAD中的使用。示例性的监测和警告系统212不限于分别为220，230的第一和第二子系统，且可包括所需要的任何数量的子系统以充分地监测与以优选方式使用LAAD运行车辆相关的诊断条件或其它方面。如上所述，HMIS 240可包含多个机构，包括但不限于按钮，声控等，以便当操作者期望时由操作者启动和取消系统的操作。例如，所述HMIS 240可集成在信息系统中，其中HMIS 240可包括按钮或其它合适且可行的装置以启用LAAD，以及按钮或其它合适且可行的装置以取消LAAD。另外，HMIS 240可包括按钮或其它合适且可行的装置以控制操作者期望的LAAD的功能级别。例如，操作者可期望LAAD来控制转向，制动和车辆节气门，而不依赖于操作者输入；然而，车辆操作者可具有能力在若干不同的LAAD模式之间选择，其包括但不限于自适应巡航控制(ACC)，车道保持或居中，以及车道变换之间的任何组合。驾驶员监测系统250包括监测驾驶员的注意程度。驾驶员监测系统250可包括但不限于，用于监测操作者眼睛的注视和/或头的方向以指示驾驶员是否专心和/或清醒的内部摄像机。驾驶员监测系统250可另外地监测操作者的座位位置。自动驾驶监测系统260主要检测LAAD的优选使用需要的外部条件。例如，自动驾驶监测系统260可监测和分析关于车道标记可视性的摄像机信息以确定车辆正行驶中的车道以及是否需要变换车道。另外，自动驾驶监测系统260可与GPS监测联合操作以确定接近的十字路口，要求的车道合并和期望的车辆路径转向，其中来自动驾驶监测系统260的这些信息可传送至管理器210以“前瞻”和“提前计划”车辆操作状态和与其相关的自动驾驶模式。示例性监测和警告系统212与管理器210进行通信，其中管理器210分析从监测和警告系统212来的监测信息，并且可确定是否优选且可靠的LAAD操作的特定外部条件之一不再存在或有到期的危险。示例性控制器200与图1的系统100结合操作，其中系统100确定超级状态之一，更具体地，确定在使用LAAD的情况下用于操作车辆的基本状态之一。如上所述，示例性管理器210可基于监测到的信息发出动作命令。例如，当LAAD的使用马上不是优选方案时，示例性管理器210可警告驾驶员其不满足注意程度标准(即，“警告1”-“警告3”状态)以便对车辆采取控制，这通过下述操作来实现：在内部点亮HMIS 240或者通过驾驶员监测系统250振动驾驶员的座位，或者通过其它一些合适的方法。

图3示意性地示出了在具有操作考虑因素以及没有操作考虑因素的情况下的自动驾驶模式的驾驶模式系统300，其中所述操作考虑因素与图1的系统100以及图2的示例性控制器200相关且一致地使用。

提供表2作为图3的入门信息，其中数字标记框及相应功能分述如下。

表2

自动驾驶模式包括自动驾驶禁用模式310，全自动驾驶模式，警告模式，加强的警告模式，降级的自动驾驶模式和自动驾驶关闭模式，其分别为310，320，330，340，350和360。图3进一步包括前瞻和提前计划模块，其分别为324和322。全自动驾驶模式320包括不依赖于操作者输入且具有能力以控制转向、制动和车辆节气门的LAAD的使用；然而，车辆操作者可具有能力在LAAD的若干不同模式之间选择，其包括但不限于自适应巡航控制(ACC)、车道保持或居中、以及车道改变之间的任何组合。分别为330，340，350和360的警告模式，加强的警告模式，降级的自动驾驶模式和自动驾驶关闭模式，包括下列情形：即LAAD被应用，但一个或多个优选且可靠地使用LAAD所需要的特定条件不再存在或被确定将在TBD秒内到期，因此存在某些级别的故障处理。同样，分别为330，340，350和360的警告模式，加强的警告模式，降级的自动驾驶模式和自动驾驶关闭模式，对应于在图1的“应用”超级状态130中或“后退位置”基本状态128内的、分别为142，144，146，122，124或126的“警告1”，“警告2”或“警告3”，“不专心驾驶员”，“条件到期”，或“降级的LAAD”基本状态中的一个或多个。同样，当车辆运行在自动驾驶禁用模式310时，系统100操作在图1的“禁用”状态112，其中操作者已手动禁止了LAAD的使用。

当车辆操作者要求自动驾驶并且优选且可靠地使用LAAD的多个特定条件全部满足时，通过转换312，车辆的运行可从自动驾驶禁用模式310进入全自动驾驶模式320(如，启用全自动驾驶模式)。该要求可通过操作者以多种合适方式执行，包括但不限于打开位于图2所示的HMIS 240上的启动按钮。同样，当操作者要求不使用自动驾驶(如，通过转换314)时或者当至少一个优选且可靠地使用LAAD的特定条件被违反或将被违反时(如，通过转换316或318)，车辆可退出全自动驾驶模式320(如，禁用全自动驾驶模式)。禁用要求可通过操作者以多种合适方式执行，包括但不限于打开位于HMIS 240上的解除按钮。可选择地，车辆操作者可通过例如加压于制动踏板或者通过其它一些合适方法使自动驾驶禁用。通过转换314执行退出全自动驾驶模式320进入自动驾驶禁用模式310。

当车辆运行在全自动驾驶模式320时，车辆在没有任何特定条件被违反的情况下在LAAD下运行。当车辆运行在全自动驾驶模式320时，驾驶员监测390持续监测驾驶员注意程度。如果驾驶员监测390确定驾驶员不满足注意程度标准，则操作模式可转换为警告模式330。自动驾驶监测器392监测优选且可靠的LAAD使用需要的多个条件，包括系统诊断，以及保持优选且可靠的LAAD使用的所需条件。

当至少一个不会对系统继续操作在LAAD下的能力立即产生不利影响的特定条件被违反或将要被违反时，操作模式可转换为警告模式330，警告模式330配置成获得操作者的注意，基于驾驶员反应或缺乏反应来评估方案、调节警告方案，以及例如升级或停止警告。例如，如果驾驶员监测390确定操作者不满足注意程度标准，则通过转换316，操作模式可转换为警告模式330。如果自动驾驶监测器392通过系统诊断确定没有主要故障存在，但需要操作者注意的小故障或偏差已发生，通过转换316操作模式可转换为警告模式330。如果确定需要关闭自动驾驶的主要故障发生，则通过转换318，车辆操作模式转换为降级的自动驾驶模式350。如果自动驾驶监测器392确定自动驾驶的条件到期，则通过转换316操作模式可转换为警告模式330。如果操作者使自动驾驶禁用，则通过转换314操作模式可转换为自动驾驶禁用模式310。

当车辆运行在全自动驾驶模式320时，系统300可利用来自驾驶员监测390和通过连接332与前瞻模块324关联的自动驾驶监测器392的连续监测信息，以识别是否将来任何特定条件将被违反，且如果是这样，确定何时会被违反。如果特定条件被违反，或者在未来将被违反，前瞻模块324可识别需要转换为“优选状态”，其中该状态通过连接334被传送至全自动驾驶模块320。例如，自动驾驶监测器392利用例如摄像机，或者其它一些合适的方法，以检测车道标志，自动驾驶监测器392也可与前瞻模块324联合使用来确定例如车道标志在一时间段后由于增加的降雪量可能是不可见的，其中如果在未来要求转换为“优选状态”则这种信息可被利用。

进一步，当车辆运行在全自动驾驶模式320时，系统300能利用来自驾驶员监测390和自动驾驶监视器392的连续监测的信息以及来自与提前计划模块322相关联的前瞻模块324的信息，以便当任一特定条件被违反或在未来某个时间点将被违反时，计划可替换的优选操纵并评估它们被立即应用的可行性。提前计划模块322与图1的系统100结合操作，且能评估将车辆行为转换至“优选状态”的任何可用方案。换句话说，如果通过转换318，车辆运行模式被转换到降级的自动驾驶模式350(即，图1的优选状态之一)，提前计划模块322可基于评估可用方案来确定未来可采用的措施。提前计划模块322的操作能独立于操作者的注意程度或者输入而执行。全自动驾驶模式320连续地通过连接333监测提前计划模块322并且提前计划模块322通过连接336将状态通信地反馈至全自动驾驶模块320。提前计划模块322通过连接352将状态通讯给降级的自动驾驶模块350。

当车辆运行在警告模式330时，系统300能试图获得操作者的注意，评估在分别为324、322的前瞻和提前计划模块中估计的方案，基于操作者的反应(或缺乏反应)调节警告方案或加强(或停止)给操作者的警告。如果操作者变得专心，则操作者能通过上面提到的一种方法或者通过其他一些合适的方法通过转换326取消自动驾驶。同样，如果操作者注意程度恢复、外部条件不再到期或小故障已经排除，系统330便能通过转换338转换回到全自动驾驶模式320。如果从转换至警告模块330时起经过一段时间后操作者没有变得专心，则车辆的操作模式通过转换341转换至加强的警告模式自动驾驶340。加强的警告模式340配置成增强警告以重新获得操作者的注意且根据需要采取另外的动作。

当车辆运行在加强的警告模式340时，系统300能进一步增强警告以重新获得操作者的注意并采取进一步的行动，如为了紧急使用而评估在分别为324、322的前瞻和提前计划模块中估计的方案。如果操作者变得专心，操作者能通过以上提及的一种方法或者通过其他一些合适的方法通过转换346取消自动驾驶。如果操作者在经过了预定时间段后没有变得专心，车辆运行模式就转换至降级的自动驾驶模式350。加强的警告模式340能代表下述方案，其中车辆继续在LAAD下运行就好像操作者是专心的一样，区别在于车辆的操作者被积极地提醒要求控制车辆。

当车辆运行在降级的自动驾驶模式350时，因为驾驶员的注意力在分别为330，340的警告或加强的警告模式中还没有被重获，或发生了需要关闭自动驾驶的实体故障，系统300评估通过连接352来自提前计划模块322的合适方案，以供紧急使用。由于一个或多个特定条件被违反而且操作者不能手动操纵车辆进入“优选状态”，所以系统300开始退出LAAD。基于提前计划模块322中评估的最优方案，降级的自动驾驶模式350中的故障处理和降级策略，例如作为一个方案，可用来使车辆减速和操纵车辆停止在路边。同样，如果操纵车辆到路边不可行，则车辆可减速并停止在车道中。一旦车辆通过利用可用方案之一达到“优选状态”，自动驾驶则被关闭且车辆运行模式通过转换356被转换到自动驾驶关闭模式360。另外，如果在降级的自动驾驶模式350中，且驾驶员使自动驾驶禁用(如，取消)，则发生到自动驾驶禁用模式的转换354，并且自动驾驶被禁用。

当车辆运行在自动驾驶关闭模式360时，车辆保持在该模式，直至达到“优选状态”，且然后通过转换358转换到自动驾驶禁用模式310。

图4是根据本发明的示例性实施例的示例性评估流程图400，其描绘了对运行在故障处理和降级模式中的车辆的变道至路边的操纵的评估。该评估能通过图3的提前计划模块322与前瞻模块324结合在一起以及图1的系统100来执行，其中所述评估包括估计从提前计划模块322接收到的可用方案。例如，为了使故障处理和降级策略能将车辆操纵至路边的路肩上，即将来临的十字路口和车辆的外部环境必须通过提前计划模块322被仔细地估计。此外，当故障处理和降级被采用时，内部故障(或者其可能性)必须通过诊断条件的监测而被评估以确定执行这些操纵的可行性。

提供表3作为图4的入门信息，其中数字标记框及相应的功能被分述如下。

表3

评估流程图400从开始框410转换到框412(即“受限的自动驾驶开启”)，表示LAAD被使用。框412表示车辆正运行在LAAD的某个级别之下且也可能正采用故障处理和降级策略。判定框414表示是否要求“需要转换至优选状态”。如果判定框是“0”表示“否”，流程图返回到框412。如果判定框414是“1”表示“是”(即“要求转换到优选状态”)，流程图在判定框416中评估交通状况(即“是否轻负荷交通？”)。当判定框414是“1”表示“是”时，系统100进入优选状态之一，其中多个方案正通过图3的分别为324、322的前瞻和提前计划模块而被连续估计和规划。如果判定框416(即“轻负荷交通”)是“0”表示“否”，流程图转换到框420。如果判定框416是“1”表示“是”，流程图400转换到判定框422。判定框422表示，例如操纵到公路的路肩上的操纵是否可行。例如，摄像机或者具有地图数据的GPS可显示车辆正行驶的路上没有路肩，或雷达可显示尽管有路肩存在，但相邻车道的车辆暂时阻碍操纵。如果判定框422是“1”表示“是”，则操纵是可行的且在框426中完成(即“完成操纵”)。如果决策框416是“0”表示“否”(例如“交通负荷不是轻度的”)或者决策框422是“0”表示“否”(例如“变换车道操纵到路肩是不可行的”)，则评估流程图400转换到框420(即“减速并打开危险指示灯”)。因此，框420描述由于重负荷交通和/或执行车道变换操纵的不可行性，例如，最可行的优选方案是现在减速和打开危险指示灯以表示车辆正在减速和即将停止。判定框424(即“操纵-例如车道变换到路肩的计时器到期”)评估一阈值，以确定操纵-例如变换车道到路肩的可用性或可操作性何时到期。例如，判定框422可能已经确定路肩存在于下一个四分之一英里，但是相邻的车辆现在阻碍到公路路肩的任何操纵。在另一个例子中，判定框424可能已经确定，由于内部故障，故障处理和降级仅具有在预定时间段过后在LAAD完全关闭之前执行操纵的可能性。因此，如果判定框424是“0”表示“否”，则仍然有潜在的时间去操纵，例如变换车道到公路的路肩，流程能返回到框422并重新评估变换车道操纵的可能性。然而，如果判定框424是“1”表示“是”，则在框428中车辆停止在当前车道。无论车辆是已经停止在当前车道(即框428)或者已经完成了到路边的操纵(即框426)，流程图都结束在框430(即“结束”)，在此处车辆达到“优选状态”。因此，评估流程图示例性地描绘了，当一个或多个特定条件已被违反或者有被违反的危险时，运行在故障处理和降级模式的车辆能被操纵进入“优选状态”。

本发明描述了一些优选实施例和它们的变型。通过阅读和理解申请文件，人们可做出进一步的变型和改型。因此，本发明将不局限于作为实施本发明的最佳模式而公开的特定实施例；相反，本发明将包含落入所附权利要求的范围内的所有实施例。

Claims (10)

1.一种确保启用了有限能力自动驾驶的车辆的运行的方法，包括：

监测优选且可靠地使用有限能力自动驾驶所需要的多个特定条件；和

当优选且可靠地使用有限能力自动驾驶所需要的至少一个特定条件被违反或将要被违反时，启动故障处理和降级策略，所述故障处理和降级策略配置成：如果驾驶员不能手动控制车辆，则操纵车辆进入优选状态。

2.根据权利要求1所述的方法，其中监测优选且可靠地使用有限能力自动驾驶所需要的多个特定条件包括：

监测操作者注意程度标准；

监测没有内部故障的诊断条件，所述内部故障阻止优选且可靠地使用有限能力自动驾驶的可用性；以及

监测允许优选且可靠地使用有限能力自动驾驶的外部条件。

3.根据权利要求1所述的方法，其中当优选且可靠地使用有限能力自动驾驶所需要的至少一个特定条件被违反或将要被违反时启动故障处理和降级策略包括：

监测操作者注意程度标准；

基于对操作者注意程度标准的监测来确定操作者是不专心的；

启动配置成重新获得操作者的注意的警告；以及

如果配置成重新获得操作者的注意的警告是不成功的，则确定为不专心的驾驶员，或者如果配置成重新获得操作者的注意的警告是成功的，则确定为专心的驾驶员。

4.根据权利要求3所述的方法，其中响应于如果配置成重新获得操作者的注意的警告是不成功的则确定为不专心的驾驶员，该方法进一步包括：

计划未来的操纵以使车辆达到优选状态，该操作包括：

启动加强的警告；以及下述各项之一

利用未受损害的有限能力自动驾驶来操纵车辆达到优选状态；和

当检测到优选且可靠的有限能力自动驾驶所需要的外部条件将在一时间段内到期时，利用有限能力自动驾驶的受时间约束的使用来开始操纵车辆进入优选状态。

5.根据权利要求1所述的方法，其中当优选且可靠地使用有限能力自动驾驶所需要的至少一个特定条件被违反或将要被违反时启动故障处理和降级策略包括：

监测允许优选且可靠地使用有限能力自动驾驶的外部条件；

基于监测到的外部条件确定允许优选且可靠地使用有限能力自动驾驶的外部条件将在一段时间内到期；

启动配置成获得操作者的注意的警告；以及确定下述各项之一

如果配置成获得操作者的注意的警告是不成功的，则确定有即将来临的危险，该危险是：有限能力自动驾驶所需要的外部条件从启动警告开始将要到期，以及

如果配置成获得操作者的注意的警告是成功的，则确定为专心的驾驶员。

6.根据权利要求5所述的方法，其中响应于确定有即将来临的危险-即有限能力自动驾驶所需要的外部条件从启动警告开始将到期，该方法进一步包括：

计划未来的操纵以使车辆达到优选状态，该操作包括：

启动加强的警告；以及下述各项之一

利用未受损害的有限能力自动驾驶以操纵车辆达到优选状态，和

当检测到优选且可靠的有限能力自动驾驶所需要的外部条件将在一时间段内到期时，利用有限能力自动驾驶的受时间约束的使用来开始操纵车辆进入优选状态。

7.根据权利要求1所述的方法，其中当优选且可靠地使用有限能力自动驾驶所需要的至少一个特定条件被违反或将要被违反时启动故障处理和降级策略包括：

监测无内部故障的诊断条件，所述内部故障阻止优选且可靠地使用有限能力自动驾驶的可用性；

基于监测到的诊断条件，确定危险故障、紧急故障、重大故障或到期的有限能力自动驾驶能力之一；以及

基于确定的危险故障、紧急故障、重大故障或到期的有限能力自动驾驶能力之一，启动故障处理和降级策略。

8.根据权利要求7所述的方法，其中基于确定的危险故障、紧急故障、重大故障或到期的有限能力自动驾驶能力之一来启动故障处理和降级策略包括：

在有限能力自动驾驶仍然能控制车辆时，确定危险故障，仅在后续故障存在时危险故障才影响系统执行有限能力自动驾驶的能力；

基于确定的危险故障，启动配置成重新获得操作者注意的警告；

确定下述各项之一

当从启动重新获得操作者注意的警告开始一段时间已经过去且紧急故障被检测到时，降级的有限能力自动驾驶操作导致优选且可靠的有限能力自动驾驶的性能降级，以及

取消有限能力自动驾驶；以及

基于确定的降级的有限能力自动驾驶操作，操纵车辆进入优选状态。

9.一种确保有限能力自动驾驶车辆在多个运行模式下的运行的方法，包括：

当车辆操作者要求有限能力自动驾驶并且优选且可靠地使用有限能力自动驾驶所需要的多个特定条件都被满足时，启用全自动驾驶模式；以及

当优选且可靠地使用有限能力自动驾驶所需要的至少一个特定条件被违反或将要被违反时，禁用全自动驾驶模式。

10.一种确保启用了有限能力自动驾驶的车辆的运行的装置，包括：

控制器，该控制器执行下列操作：

监测优选且可靠地使用有限能力自动驾驶所需要的多个特定条件；

当优选且可靠地使用有限能力自动驾驶所需要的至少一个特定条件被违反或将要被违反时，启动故障处理和降级策略，该故障处理和降级策略配置成：如果驾驶员不能手动控制车辆，则操纵车辆进入优选状态。

Images