CN107908186A - 用于控制无人驾驶车辆运行的方法及系统 - Google Patents

Abstract

本申请公开一种用于控制无人驾驶车辆运行的方法及系统。涉及车辆智能驾驶领域，该方法包括：实时监控车辆的运行状态；在所述车辆处于无人驾驶状态时，判断所述车辆的行驶状态，所述车辆的行驶状态包括正常行驶状态与非正常行驶状态；以及根据判断结果换所述车辆到对应的控制状态；其中，在正常行驶状态下，通过主驾驶系统控制所述车辆运行；以及在非正常行驶状态下，通过备用驾驶系统控制所述车辆运行。本申请公开的用于控制无人驾驶车辆运行的方法及系统，能够简化无人驾驶车辆系统的设计，在保证无人驾驶系统安全的同时，减少系统设计成本和运行功耗增高。

Description

用于控制无人驾驶车辆运行的方法及系统

技术领域

本发明涉及车辆智能驾驶领域，具体而言，涉及一种用于控制无人驾驶车辆运行的方法及系统。

背景技术

自动驾驶与无人驾驶汽车在本申请中统一称为无人驾驶汽车，他是智能汽车的一种，其主要依靠车内的以计算机系统为主的智能驾驶仪来实现无人驾驶的目标。无人驾驶汽车综合利用自动控制、计算机科学、人工智能、电子信息和车辆工程等多门学科相关技术，利用车载传感器(摄像头、激光雷达、超声波传感器、微波雷达、GPS、里程计、磁罗盘等)感知车辆周围环境，并根据感知到的道路、车辆姿态和障碍物信息，控制车辆的转向和速度，从而使得车辆能够自主、安全、可靠地在道路上行驶。无人驾驶汽车需要高可靠的运行，最大程度保证乘客的人身安全。特别在无人驾驶主系统失效的情况下，如何最大程度保证车辆和乘客的安全是现有技术中需要攻克的主要问题。

目前，无人驾驶系统大部分保证车辆的可靠性运行的方案有以下几种：1.通过上位机(比如工控机)和下位机(比如单片机)联合控制无人驾驶系统。正常情况下工控机执行完整的定位、感知和规划；下位机负责下发控制命令，并在上位机失效的情况下采取紧急制动或提示驾驶员接管。这种方案的缺点在于下位机采用的紧急制动等策略太过于简单，并不能保证足够的安全，比如在弯道处，或者前方有障碍物的情况下。2.通过一层控制器(比如采用单片机或工控机)控制无人驾驶系统，在这一层控制器中采用双备份冗余设计，当主控制器发生故障时，切换到副控制器接管。这时副控制器转换为主控制器。这种设计的问题在于主副控制器是完全相同的，两者的硬件完全冗余，而且为了保证切换的实时性，两者需要同时运行相同的逻辑，成本和功耗增高，并涉及较为复杂的同步问题。3.通过一个控制器控制无人驾驶系统，但在软件层面同时运行多份操作系统、或多份无人驾驶系统。当一个软件系统(操作系统、或无人驾驶系统)发生故障时，切换到备用的系统上。这种方案的缺点在于：硬件层面缺乏冗余设计，软件的冗余会要求有更高的硬件能力支持，而且备用软件系统始终运行带来成本和功耗的增加。

因此，需要一种新的用于控制无人驾驶车辆运行的方法及系统。

在所述背景技术部分公开的上述信息仅用于加强对本发明的背景的理解，因此它可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

有鉴于此，本发明提供一种用于控制无人驾驶车辆运行的方法及系统，能够简化无人驾驶车辆系统的设计，在保证无人驾驶系统安全的同时，减少系统设计成本和运行功耗增高。

本发明的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本发明的实践而习得。

根据本发明的一方面，提出一种用于控制无人驾驶车辆运行的方法，该方法包括：实时监控车辆的运行状态；在所述车辆处于无人驾驶状态时，判断所述车辆的行驶状态，所述车辆的行驶状态包括正常行驶状态与非正常行驶状态；以及根据判断结果换所述车辆到对应的控制状态；其中，在正常行驶状态下，通过主驾驶系统控制所述车辆运行；以及在非正常行驶状态下，通过备用驾驶系统控制所述车辆运行，其中，在所述主驾驶系统的硬件和/或软件脱离正常工作状态时所述车辆的状态为所述非正常行驶状态。

在本公开的一种示例性实施例中，在所述主驾驶系统的控制状态下，通过第一控制器控制所述车辆运行；在所述备用驾驶系统的控制状态下，通过第二控制器控制所述车辆运行；以及其中，所述第一控制器的设计策略高于所述第二控制器的设计策略；其中，所述设计策略包括硬件设计策略与软件设计策略。

在本公开的一种示例性实施例中，在所述第二控制器上运行的第二软件逻辑比在所述第一控制器平台上运行的第一软件逻辑简单；所述第二控制器运行中需要的第二参数精度低于所述第一控制器运行中需要的第一参数精度，所述参数精度包括传感器参数精度，算法精度；所述第二控制器运行中需要的第二容错参数高于所述第一控制器运行中需要的第一容错参数。

在本公开的一种示例性实施例中，所述第二控制器硬件的第二可靠性指标高于所述第一控制器硬件的第一可靠性指标；其中，可靠性指标包括：环境可靠性指标与电磁兼容可靠性指标。

在本公开的一种示例性实施例中，所述判断所述车辆的行驶状态，包括以下情况至少一者：根据所述车辆的传感器信号判断所述车辆的行驶状态；根据所述车辆的主驾驶系统错误信号判断所述车辆的行驶状态；以及根据所述车辆的主驾驶系统心跳信号判断所述车辆的行驶状态。

在本公开的一种示例性实施例中，所述根据判断结果切换所述车辆到对应的控制状态，包括：通过控制器将所述车辆由所述主驾驶系统的控制状态切换到所述备用驾驶系统的控制状态；以及通过控制器将所述车辆由所述备用驾驶系统的控制状态切换到所述主驾驶系统的控制状态。

在本公开的一种示例性实施例中，所述根据判断结果换所述车辆到对应的控制状态，包括：通过第一唤醒信号将所述车辆由所述主驾驶系统的控制状态切换到所述备用驾驶系统的控制状态；以及通过第二唤醒信号将所述车辆由所述备用驾驶系统的控制状态切换到所述主驾驶系统的控制状态。

在本公开的一种示例性实施例中，还包括：实时接收来自用户的指令；根据所述用户的指令，切换所述车辆由无人驾驶状态到用户行驶状态。

根据本发明的一方面，提出一种用于控制无人驾驶车辆运行的系统，该系统包括：监控系统，用于实时监控车辆运行状态；判断系统，用于在所述车辆处于无人驾驶状态时，判断所述车辆的行驶状态，所述车辆的行驶状态包括正常行驶状态与非正常行驶状态；主驾驶系统，用于在正常行驶状态下，控制所述车辆运行；以及备用驾驶系统，用于在非正常行驶状态下，控制所述车辆运行；其中，所述主驾驶系统所使用的算法的精度高于所述备用驾驶系统对应所使用的算法的精度。

在本公开的一种示例性实施例中，还包括：控制器模块，用于将所述车辆由所述主驾驶系统控制状态切换到所述备用驾驶系统控制状态；以及用于将所述车辆由所述备用驾驶系统控制状态切换到所述主驾驶系统控制状态。

在本公开的一种示例性实施例中，所述主驾驶系统的第一控制器与所述备用驾驶系统的第二控制器独立；其中，所述第一控制器的硬件独立与所述第二控制器的硬件；

所述第一控制器的软件独立与所述第二控制器的软件。在本公开的一种示例性实施例中，备用驾驶系统的控制器的体积小于所述主驾驶系统的控制器。

在本公开的一种示例性实施例中，在所述第二控制器上运行的第二软件逻辑比在所述第一控制器上运行的第一软件逻辑简单；所述第二控制器运行中需要的第二参数精度低于所述第一控制器运行中需要的第一参数精度，所述参数精度包括传感器参数精度，算法参数精度；所述第二控制器运行中需要的第二容错参数高于所述第一控制器运行中需要的第一容错参数。

在本公开的一种示例性实施例中，所述第二控制器硬件的第二可靠性指标高于所述第一控制器硬件的第一可靠性指标；其中，可靠性指标包括：环境可靠性指标与电磁兼容可靠性指标。

在本公开的一种示例性实施例中，所述判断系统，包括：传感器判断模块，用于根据所述车辆的传感器信号判断所述车辆的行驶状态；错误信号判断模块，用于根据所述车辆的主驾驶系统错误信号判断所述车辆的行驶状态；以及心跳信号判断模块，用于根据实时监控所述车辆的主驾驶系统心跳信号判断所述车辆的行驶状态。

在本公开的一种示例性实施例中，所述备用驾驶系统与所述主驾驶系统处于物理隔离状态。

根据本发明的用于控制无人驾驶车辆运行的方法及系统，能够简化无人驾驶车辆系统的设计，在保证无人驾驶系统安全的同时，减少系统设计成本和运行功耗增高。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本发明。

附图说明

通过参照附图详细描述其示例实施例，本发明的上述和其它目标、特征及优点将变得更加显而易见。下面描述的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是根据一示例性实施例示出的一种用于控制无人驾驶车辆运行的方法的流程图。

图2是根据另一示例性实施例示出的一种用于控制无人驾驶车辆运行的方法的流程图。

图3是根据一示例性实施例示出的一种用于控制无人驾驶车辆运行的系统的框图。

图4是根据另一示例性实施例示出的一种用于控制无人驾驶车辆运行的系统的框图。

图5是根据另一示例性实施例示出的一种用于控制无人驾驶车辆运行的系统的框图。

具体实施例

现在将参考附图更全面地描述示例实施例。然而，示例实施例能够以多种形式实施，且不应被理解为限于在此阐述的实施例；相反，提供这些实施例使得本发明将全面和完整，并将示例实施例的构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。

此外，所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施例中。在下面的描述中，提供许多具体细节从而给出对本发明的实施例的充分理解。然而，本领域技术人员将意识到，可以实践本发明的技术方案而没有特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知方法、装置、实现或者操作以避免模糊本发明的各方面。

附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和操作/步骤，也不是必须按所描述的顺序执行。例如，有的操作/步骤还可以分解，而有的操作/步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。

应理解，虽然本文中可能使用术语第一、第二、第三等来描述各种组件，但这些组件不应受这些术语限制。这些术语乃用以区分一组件与另一组件。因此，下文论述的第一组件可称为第二组件而不偏离本公开概念的教示。如本文中所使用，术语“及/或”包括相关联的列出项目中的任一个及一或多者的所有组合。

本领域技术人员可以理解，附图只是示例实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的，因此不能用于限制本发明的保护范围。

下面结合附图对本公开示例实施方式进行详细说明。

图1是根据一示例性实施例示出的一种用于控制无人驾驶车辆运行的方法的流程图。

如图1所示，在S102中，实时监控车辆的运行状态。

在一些实施例中，通过车载传感器(摄像头、激光雷达、超声波传感器、微波雷达、GPS、里程计、磁罗盘等)感知车辆周围环境，监控车辆的运行状态。还可例如，通过车辆控制系统中的总线监控所述车辆的运行状态。汽车总线包括但不限于，面向传感器或执行器管理的低速网络总线，例如LIN总线；面向独立控制模块间信息共享的中速网络总线，例如CAN总线；面向闭环实时控制的多路传输高速网络，例如高速CAN总线；面向多媒体设备、高速数据流传输的高性能网络，例如网络通信总线、蓝牙网络总线等等，本申请不以此为限。

车辆的运行状态可例如包括，车辆的行驶信息，有人驾驶状态或无人驾驶状态。车辆的运行状态还可例如包括，车辆周围环境的状态，车辆速度信息，以及车身周围安全距离相关信息，本申请不以此为限。在车辆的运行中，通过上述总线网络或者传感器信号获取的车辆相关信息均属于车辆的运行状态信息。

在S104中，在所述车辆处于无人驾驶状态时，判断所述车辆的行驶状态，所述车辆的行驶状态包括正常行驶状态与非正常行驶状态。根据上文监控获得的车辆运行状态信息，判断所述车辆是否处于无人驾驶状态。在一些实施例中，可通过预定的信号判断所述车辆处于无人驾驶状态，还可通过预定的信号交互位置以及信号交互模式判断所述车辆是否处于无人驾驶状态。在本申请的实施例中，在主驾驶系统的硬件和/或软件脱离正常工作状态时车辆的状态为非正常行驶状态。

在所述车辆处于无人驾驶状态时，根据上文获取的车辆运行状态相关信号，判断车辆当前的行驶状态。车辆的行驶状态包括正常行驶状态与非正常行驶状态。在车辆正常行驶情况下，可默认为车辆处于正常行驶状态。正常行驶状态下，车辆中所有的传感器均正常运行，接收发送信号在预定的冗余范围内，主驾驶系统在预定的时间间隔发送的状态信号正常，心跳信息正常。还可例如，在正常行驶状态下，允许某些传感器信号存在信号冗余误差，在判断上述信号误差不会影响主驾驶系统做出驾驶决策的情况下，仍旧维持车辆处于主驾驶控制状态。

可例如，根据预定的信号判断车辆是否处于非正常行驶状态，由于正常行驶状态下，车辆中所有的传感器均正常运行，接收发送信号在预定的冗余范围内，主驾驶系统在预定的时间间隔发送的状态信号正常，心跳信息正常。在一些实施例中，在部分硬件设备失效、主驾驶系统硬件和/或软件受损等情况下判断车辆是否处于非正常行驶状态。在另外一些实施例中，预设某些信号(例如，主驾驶系统的心跳信息或者状态信号)为关键信号，当关键信号中的某一个或者某几个出现了错误信息，即可判断车辆处于非正常行驶状态。

其中，还可例如根据不同的信号设置不同的安全等级，当主驾驶系统出现严重错误时，或者主驾驶系统心跳信息丢失时，可认为车辆处于非正常行驶状态。而当车载传感器出现了错误的时候，可首先判断传感器错误的原因，尝试恢复传感器功能，再判断车辆的行驶状态。可例如，在摄像装置的传感器报错的时候，可例如先判断激光雷达或者超声波传感器是否正常工作，如果其他传感器正常工作，而且摄像装置的传感器错误并不会影响无人驾驶车辆运行时，可例如仍旧判断为所述车辆处于正常行驶状态。还可例如，在这种情况下对备用系统进行预唤醒操作，以节约后续调用备用驾驶系统的时间。

在S106中，根据判断结果换所述车辆到对应的控制状态。其中，在正常行驶状态下，通过主驾驶系统控制所述车辆运行；以及在非正常行驶状态下，通过备用驾驶系统控制所述车辆运行。

在本发明实施例中，所述主驾驶系统与所述备用驾驶系统是完全不同的两个驾驶系统。在所述主驾驶系统的控制状态下，通过第一控制器控制所述车辆运行；在所述备用驾驶系统的控制状态下，通过第二控制器控制所述车辆运行；其中，所述第一控制器的设计策略高于所述第二控制器的设计策略；其中，所述设计策略包括硬件设计策略与软件设计策略。例如，在软件层面上，在备用驾驶系统的第二控制器平台上运行的第二软件逻辑比在主驾驶系统第一控制平台上运行的第一软件逻辑简单；所述第二控制器平台运行中需要的第二参数精度低于所述第一控制平台运行中需要的第一参数精度，所述参数精度包括传感器参数精度，算法精度；所述第二控制器平台运行中需要的第二容错参数高于所述第一控制平台运行中需要的第一容错参数。还例如，在系统的硬件层面上，所述第二控制器硬件的第二可靠性指标高于所述第一控制器硬件的第一可靠性指标；其中，可靠性指标包括：环境可靠性指标与电磁兼容可靠性指标，具体可例如在备用驾驶系统中，硬件产品可以在更高的湿度下、更高的温度范围内工作，硬件产品被设计成可以经受更大的撞击。

更进一步的，可例如主驾驶系统和备用驾驶系统是完全独立的两个控制器，硬件和软件均为独立设计。还可例如，硬件和软件的设计需求不同。备用驾驶系统的硬件和软件逻辑更简单、精度相对较低、可靠性要求更高、体积更小、对设备和传感器数据的不完整性的容错性更高，对环境的容忍度更高(可例如包括：温度、湿度、碰撞等)。还可例如，备用驾驶系统可以处理车辆被撞击的情况下的驾驶状况，可例如：部分设备失效、主系统硬件或软件受损，在这种情况下，备用驾驶系统可以继续控制车辆安全停车，或者等待驾驶员接管(有驾驶员的辅助驾驶场景下)。

根据本发明的用于控制无人驾驶车辆运行的方法，通过基于不同的策略设计的主驾驶系统与备用驾驶系统，在不同的驾驶状态下分别控制无人驾驶车辆行驶的方式，能够简化无人驾驶车辆系统的设计，在保证无人驾驶系统安全的同时，减少系统设计成本和运行功耗增高。

应清楚地理解，本发明描述了如何形成和使用特定示例，但本发明的原理不限于这些示例的任何细节。相反，基于本发明公开的内容的教导，这些原理能够应用于许多其它实施例。

在本公开的一种示例性实施例中，主驾驶系统是计算密集的、全功能的、高精度的无人驾驶/自动驾驶系统，是目前的无人驾驶/自动驾驶系统的主流方案。主驾驶系统在安全的前提下，能够进行正常行驶。主驾驶系统的软件部分可例如包括高精度地图模块、定位、感知、决策、规划和控制等模块。

定位模块可例如包括差分GPS(Global Positioning System，全球定位系统)，视觉SLAM(simultaneous localization and mapping，即时定位与地图构建)激光雷达SLAM(simultaneous localization and mapping，即时定位与地图构建)，IMU(Inertialmeasurement unit，惯性测量单元)等定位设备，以及融合定位等。

感知模块可例如包括基于激光雷达的障碍物感知，基于视觉的障碍物感知，对行人、自行车、汽车等目标的识别及跟踪，红绿灯识别，交通标志识别等。

决策、规划和控制模块基于定位和感知模块得到的完整信息，执行符合场景最佳的决策、规划和控制。尽管整个系统具有一定的容错处理，但要求所有模块都是正常工作，例如，高精度定位是基础条件。在一些实施例中，如果因为系统的硬件或软件故障导致不满足这个基础条件，整个驾驶系统会宕机或者进入到错误处理。

在本公开的一种示例性实施例中，备用驾驶系统是轻量级的、低精度的、以保障人身安全为最重要目标的、用于紧急状态的无人驾驶系统，能够执行简单的感知、规划和控制任务。从软件系统的架构和主驾驶系统类似，通过具有定位、感知、决策、规划和控制等模块，其差别在于两点：1)每个模块所包含的算法是具有低精度的、高容错的、低计算量的。2)整体系统具有高容错性，即可以容忍一个或多个设备或模块失效的状态下继续运行。

备用驾驶系统可例如在主驾驶系统失效的情况下，接管车辆，可以保证紧急情况下、短时间内的行驶安全，直到车辆安全停靠成功、或者主系统恢复、或者驾驶员接管车辆。在车辆的行驶状态中，在主驾驶系统控制车辆运行的情况下，备用驾驶系统始终正常运行，但并不发送控制命令到车辆线控系统；备用驾驶系统可以接收来自主驾驶系统的一些感知和控制信息，作为其可选的参考。备用驾驶系统的可靠性更高，因为它依赖于更少的传感器、更简单、更高可靠性的计算设备、更简单的算法逻辑，也可以进行更充分的测试。比如当主驾驶系统硬件或软件失效时，而且摄像头失效时，备用驾驶系统仍然可以利用激光雷达设备，并使用轻量级算法进行低精度感知，最大程度保证安全性。

在本公开的一种示例性实施例中，主驾驶系统和备用驾驶系统可以是物理隔开的，备用驾驶系统相对主驾驶系统而言，更加底层并更加安全。主驾驶系统与备用驾驶系统可例如为两个硬件板子，还可例如为两个控制器盒子，以便实现物理隔离。防水、防尘等防护等级也可例如不同。

图2是根据另一示例性实施例示出的一种用于控制无人驾驶车辆运行的方法的流程图。图2是对图1中S104中，在所述车辆处于无人驾驶状态时，判断所述车辆的行驶状态的示例性描述。

如图2所示，在本公开的一种示例性实施例中，所述判断所述车辆的行驶状态，包括以下情况至少一者：

在S202中，根据所述车辆的传感器信号判断所述车辆的行驶状态。

在S204中，根据所述车辆的主驾驶系统错误信号判断所述车辆的行驶状态。

在S206中，根据所述车辆的主驾驶系统心跳信号判断所述车辆的行驶状态。

在本公开的一种示例性实施例中，根据上述判断结果，后续处理方式例如：通过控制器将所述车辆由所述主驾驶系统的控制状态切换到所述备用驾驶系统的控制状态；以及通过控制器将所述车辆由所述备用驾驶系统的控制状态切换到所述主驾驶系统的控制状态。例如，备用驾驶系统在主驾驶系统工作的同时工作，但控制器在主驾驶系统无异常的情况下，选择主驾驶系统的行驶决策，主驾驶系统如出现重大异常(可判断当前的决策是绝对错误的，例如传感器失灵、主系统致命错误、主系统心跳丢失)，则可例如通过控制器选择备用驾驶系统进行行驶决策。还可例如，在底层控制器中增加一个仲裁模块，当不满足主驾驶系统正常工作条件时，切换到备用驾驶系统；当满足主驾驶系统正常工作条件时，切换回主系统。根据上述判断结果，后续处理方式还例如：当主驾驶系统出现异常时，可自动切换到备用驾驶系统。

主驾驶系统与备用驾驶系统可通过控制器自动进行切换，例如，主驾驶系统恢复工作时，通过控制器将所述车辆由所述备用驾驶系统的控制状态切换到所述主驾驶系统的控制状态，通过控制器选择主驾驶系统进行行驶决策。

主驾驶系统与备用驾驶系统可通过唤醒信号自动进行切换，主驾驶系统和从驾驶系统可例如为分别单独工作，当主驾驶系统出现重大异常时，通过预定的唤醒信号瞬间唤醒备用驾驶系统，以便备用驾驶系统接管车辆继续进行无人驾驶。

在本公开的一种示例性实施例中，还可例如，在主驾驶系统由非正常运行状态恢复正常运行状态时，发送第二信号以便备用驾驶系统进入休眠状态。还可例如，在主驾驶系统恢复正常运行时，原有的唤醒信号由使能状态转变为无效状态，以使得备用驾驶系统进行休眠状态。本发明不以此为限。

在本公开的一种示例性实施例中，还包括：实时接收来自用户的指令；根据所述用户的指令，切换所述车辆由无人驾驶状态到用户行驶状态。

以上实施例示例性的对主驾驶系统与备用驾驶系统的运行进行描述，其中，主驾驶系统与备用驾驶系统可为分别的两个控制器，被分别的设计与实现。然而，在一些实施例中，例如通过在车辆系统的上位机和下位机之间增加一个更低计算资源、低功耗、高可靠性的计算机运行备用驾驶系统。在一些实施例中，还可例如，直接在下位机上运行从驾驶系统。综上，不论备用驾驶系统位于整个车辆系统的何种位置与系统层级上，只要备用驾驶系统的设计策略与主驾驶系统不同，且备用驾驶系统的软件和/或硬件实现相较于主驾驶系统简单，则都落在本申请的权利要求保护范围之内。

本领域技术人员可以理解实现上述实施例的全部或部分步骤被实现为由CPU执行的计算机程序。在该计算机程序被CPU执行时，执行本发明提供的上述方法所限定的上述功能。所述的程序可以存储于一种计算机可读存储介质中，该存储介质可以是只读存储器，磁盘或光盘等。

此外，需要注意的是，上述附图仅是根据本发明示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。为了易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也为了易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

下述为本发明装置实施例，可以用于执行本发明方法实施例。对于本发明装置实施例中未披露的细节，请参照本发明方法实施例。

图3是根据一示例性实施例示出的一种用于控制无人驾驶车辆运行的系统的框图。在图3中，无人驾驶车辆系统包括：主驾驶系统302，备用驾驶系统304，通信接口306，存储器308，I/O端310。

其中，主驾驶系统302用于在正常行驶状态下，控制所述车辆运行。主驾驶系统302可例如为计算密集的、全功能的、高精度的无人驾驶/自动驾驶系统。是目前的无人驾驶/自动驾驶系统的主流方案。主驾驶系统302即为在安全的前提下，能够进行正常行驶的系统。

备用驾驶系统304用于在非正常行驶状态下，控制所述车辆运行。备用驾驶系统308可例如为轻量级的、低精度的、以保障人身安全为最重要目标的、用于紧急状态的无人驾驶系统，能够执行简单的感知、规划和控制任务。

通信接口306用于无人驾驶系统与其他系统进行通信。

存储器308用于存储各类数据。

I/O端310用于输入/输出各类数据。

传感器组(图中未示出)用于检测周围环境信息，并将周围环境信息发送给主驾驶系统和从驾驶系统用于做行驶决策。

以上信号与数据通过BUS总线进行传输。

图4是根据另一示例性实施例示出的一种用于控制无人驾驶车辆运行的系统的框图。图4是对图3中的无人驾驶系统的进一步描述。在图4中，无人驾驶车辆系统包括：监控系统402，判断系统404，主驾驶系统406，备用驾驶系统408。

其中，监控系统402用于实时监控车辆运行状态。监控系统402还可例如用于检测主驾驶系统的情况，当主驾驶系统发生重大异常时，可通知从驾驶系统工作或者通知控制器选择从驾驶系统的行驶决策。其中监控系统402可以位于主驾驶系统406中，或位于备用驾驶系统408中，还可例如监控系统402独立于主驾驶系统406和备用驾驶系统408。

在一些实施例中，监控系统402通过车载传感器(摄像头、激光雷达、超声波传感器、微波雷达、GPS、里程计、磁罗盘等)感知车辆周围环境，监控车辆的运行状态。还可例如，监控系统402通过车辆控制系统中的总线监控所述车辆的运行状态。本申请不以此为限。

判断系统404用于在所述车辆处于无人驾驶状态时，判断所述车辆的行驶状态，所述车辆的行驶状态包括正常行驶状态与非正常行驶状态。一般情况下，判断系统404的决策是主系统的驾驶决策，只有在监控系统402发送主系统出现重大异常的情况下，才会采用备用驾驶系统的控制决策。其中，在主驾驶系统的硬件和/或软件脱离正常工作状态时车辆的状态为非正常行驶状态。

在一些实施例中，在所述车辆处于无人驾驶状态时，判断系统404根据上文获取的车辆运行状态相关信号，判断车辆当前的行驶状态。车辆的行驶状态包括正常行驶状态与非正常行驶状态。在车辆正常行驶情况下，可默认为车辆处于正常行驶状态。正常行驶状态下，车辆中所有的传感器均正常运行，接收发送信号在预定的冗余范围内，主驾驶系统在预定的时间间隔发送的状态信号正常，心跳信息正常。还可例如，在正常行驶状态下，允许某些传感器信号存在信号冗余误差，判断系统404在判断上述信号误差不会影响主驾驶系统做出驾驶决策的情况下，仍旧维持车辆处于主驾驶控制状态。

主驾驶系统406用于在正常行驶状态下，控制所述车辆运行。主驾驶系统406可例如为计算密集的、全功能的、高精度的无人驾驶/自动驾驶系统。是目前的无人驾驶/自动驾驶系统的主流方案。主驾驶系统406即为在安全的前提下，能够进行正常行驶的系统。主驾驶系统406中包括：定位模块，如差分GPS(Global Positioning System，全球定位系统)，视觉SLAM(simultaneous localization and mapping，即时定位与地图构建)激光雷达SLAM(simultaneous localization and mapping，即时定位与地图构建)，IMU(Inertialmeasurement unit，惯性测量单元)等定位设备，以及融合定位等。主驾驶系统406中还包括：感知模块，如包括基于激光雷达的障碍物感知，基于视觉的障碍物感知，对行人、自行车、汽车等目标的识别及跟踪，红绿灯识别，交通标志识别等。主驾驶系统406中还包括：决策、规划和控制等相关模块，这些模块基于定位和感知模块得到的完整信息，执行符合场景最佳的决策、规划和控制。

备用驾驶系统408用于在非正常行驶状态下，控制所述车辆运行。备用驾驶系统408可例如为轻量级的、低精度的、以保障人身安全为最重要目标的、用于紧急状态的无人驾驶系统，能够执行简单的感知、规划和控制任务。

备用驾驶系统408可例如在主驾驶系统406失效的情况下，接管车辆，可以保证紧急情况下、短时间内的行驶安全，直到车辆安全停靠成功、或者主系统恢复、或者驾驶员接管车辆。在车辆的行驶状态中，在主驾驶系统406控制车辆运行的情况下，备用驾驶系统408始终正常运行，但并不发送控制命令到车辆线控系统；备用驾驶系统408可以接收来自主驾驶系统406的一些感知和控制信息，作为其可选的参考。备用驾驶系统406的可靠性更高，因为它依赖于更少的传感器、更简单、更高可靠性的计算设备、更简单的算法逻辑，也可以进行更充分的测试。比如当主驾驶系统406硬件或软件失效时，而且摄像头失效时，备用驾驶系统408仍然可以利用激光雷达设备，并使用轻量级算法进行低精度感知，最大程度保证安全性。

在一些实施例中，所述主驾驶系统406和备用驾驶系统408在硬件和软件上都是相互独立的，备用驾驶系统408与主驾驶系统406处于物理隔离状态。所述主驾驶系统406和备用驾驶系统408对于硬件和软件的要求也不同。例如，相对主驾驶系统406，所述备用驾驶系统308的硬件和软件逻辑结构更简单、精度相对较低、可靠性要求更高、体积更小等，并且所述备用驾驶系统408对于设备和传感器数据的不完整性的容错性更高，对环境(例如，温度，湿度，碰撞等)的容忍度更高。

在一些实施例中，在主驾驶系统406车辆出现硬件和/或软件异常、部分设备失效的情况下，由备用驾驶系统408对车辆进行控制。备用驾驶系统408可以继续控制车辆安全停车，或者在有驾驶员的情况下等待驾驶员接管。

根据本发明的用于控制无人驾驶车辆运行的系统，通过基于不同的策略设计的主驾驶系统与备用驾驶系统，在不同的驾驶状态下分别控制无人驾驶车辆行驶的方式，能够简化无人驾驶车辆系统的设计，在保证无人驾驶系统安全的同时，减少系统设计成本和运行功耗增高。

图5是根据另一示例性实施例示出的一种用于控制无人驾驶车辆运行的系统的框图。图5是对图4中的无人驾驶系统的进一步描述。

其中，除与图4所述的监控系统402，判断系统404，主驾驶系统406，备用驾驶系统408之外，用于控制无人驾驶车辆运行的系统还可例如包括：

控制器模块502用于将所述车辆由所述主驾驶系统控制状态切换到所述备用驾驶系统控制状态；以及用于将所述车辆由所述备用驾驶系统控制状态切换到所述主驾驶系统控制状态。

在一些实施例中，控制器模块502中包括控制器，例如通过控制器将所述车辆由所述主驾驶系统的控制状态切换到所述备用驾驶系统的控制状态；以及通过控制器将所述车辆由所述备用驾驶系统的控制状态切换到所述主驾驶系统的控制状态。例如，备用驾驶系统408在主驾驶系统406工作的同时工作，但控制器模块502在主驾驶系统406无异常的情况下，选择主驾驶系统406的行驶决策，主驾驶系统406如出现重大异常(可判断当前的决策是绝对错误的，例如传感器失灵、主系统致命错误、主系统心跳丢失)，控制器模块502选择备用驾驶系统408进行行驶决策。

在一些实时例中，控制器模块502中包括仲裁模块，例如在底层控制器中增加一个仲裁模块，当不满足主驾驶系统406正常工作条件时，切换到备用驾驶系统408；当满足主驾驶系统406正常工作条件时，切换回主驾驶系统406。

判断系统404还可例如包括：传感器判断模块4042，用于根据所述车辆的传感器信号判断所述车辆的行驶状态；错误信号判断模块4044用于根据所述车辆的主驾驶系统错误信号判断所述车辆的行驶状态；以及心跳信号判断模块4046用于根据实时监控所述车辆的主驾驶系统心跳信号判断所述车辆的行驶状态。

判断系统404中的错误信号判断模块4044根据预定的信号判断车辆是否处于非正常行驶状态，由于正常行驶状态下，车辆中所有的传感器均正常运行，接收发送信号在预定的冗余范围内，主驾驶系统406在预定的时间间隔发送的状态信号正常，心跳信息正常。在一些实施例中，在部分硬件设备失效、主驾驶系统406的硬件和/或软件受损等情况下判断车辆是否处于非正常行驶状态。

在另外一些实施例中，预设某些信号(例如，通过心跳信号判断模块4046判断主驾驶系统406的心跳信息或者状态信号)为关键信号，当关键信号中的某一个或者某几个出现了错误信息，心跳信号判断模块4046即可判断车辆处于非正常行驶状态。其中，还可例如根据不同的信号设置不同的安全等级，当主驾驶系统406出现严重错误时，或者主驾驶系统406心跳信息丢失时，可认为车辆处于非正常行驶状态。

而当车载传感器出现了错误的时候，传感器判断模块4042首先判断传感器错误的原因，尝试恢复传感器功能，再判断车辆的行驶状态。可例如，在摄像装置的传感器报错的时候，可例如先判断激光雷达或者超声波传感器是否正常工作，如果其他传感器正常工作，而且摄像装置的传感器错误并不会影响无人驾驶车辆运行时，可例如仍旧判断为所述车辆处于正常行驶状态。还可例如，在这种情况下对备用系统408进行预唤醒操作，以节约后续调用备用驾驶系统408的时间。

本领域技术人员可以理解上述各模块可以按照实施例的描述分布于装置中，也可以进行相应变化唯一不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

通过以上的实施例的描述，本领域的技术人员易于理解，这里描述的示例实施例可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本发明实施例的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、移动终端、或者网络设备等)执行根据本发明实施例的方法。

以上具体地示出和描述了本发明的示例性实施例。应可理解的是，本发明不限于这里描述的详细结构、设置方式或实现方法；相反，本发明意图涵盖包含在所附权利要求的精神和范围内的各种修改和等效设置。

此外，本说明书说明书附图所示出的结构、比例、大小等，均仅用以配合说明书所公开的内容，以供本领域技术人员了解与阅读，并非用以限定本公开可实施的限定条件，故不具技术上的实质意义，任何结构的修饰、比例关系的改变或大小的调整，在不影响本公开所能产生的技术效果及所能实现的目的下，均应仍落在本公开所公开的技术内容得能涵盖的范围内。同时，本说明书中所引用的如“上”、“第一”、“第二”及“一”等的用语，也仅为便于叙述的明了，而非用以限定本公开可实施的范围，其相对关系的改变或调整，在无实质变更技术内容下，当也视为本发明可实施的范畴。

Claims (10)

1.一种用于控制无人驾驶车辆运行的方法，其特征在于，包括：

实时监控车辆的运行状态；

在所述车辆处于无人驾驶状态时，判断所述车辆的行驶状态，所述车辆的行驶状态包括正常行驶状态与非正常行驶状态；以及

根据判断结果换所述车辆到对应的控制状态；

其中，在正常行驶状态下，通过主驾驶系统控制所述车辆运行；以及

在非正常行驶状态下，通过备用驾驶系统控制所述车辆运行；

其中，在所述主驾驶系统的硬件和/或软件脱离正常工作状态时所述车辆的状态为所述非正常行驶状态。

2.如权利要求1所述的方法，其特征在于，

在所述主驾驶系统的控制状态下，通过第一控制器控制所述车辆运行；

在所述备用驾驶系统的控制状态下，通过第二控制器控制所述车辆运行；以及

其中，所述第一控制器的设计策略高于所述第二控制器的设计策略；

其中，所述设计策略包括硬件设计策略与软件设计策略。

3.如权利要求2所述的方法，其特征在于，

在所述第二控制器上运行的第二软件逻辑比在所述第一控制器上运行的第一软件逻辑简单；

所述第二控制器运行中需要的第二参数精度低于所述第一控制器运行中需要的第一参数精度，所述参数精度包括传感器参数精度，算法参数精度；

所述第二控制器运行中需要的第二容错参数高于所述第一控制器运行中需要的第一容错参数。

4.如权利要求2所述的方法，其特征在于，

所述第二控制器硬件的第二可靠性指标高于所述第一控制器硬件的第一可靠性指标；

其中，可靠性指标包括：环境可靠性指标与电磁兼容可靠性指标。

5.如权利要求1所述的方法，其特征在于，所述判断所述车辆的行驶状态，包括以下情况至少一者：

根据所述车辆的传感器信号判断所述车辆的行驶状态；

根据所述车辆的主驾驶系统错误信号判断所述车辆的行驶状态；以及

根据所述车辆的主驾驶系统心跳信号判断所述车辆的行驶状态。

6.一种用于控制无人驾驶车辆运行的系统，其特征在于，包括：

监控系统，用于实时监控车辆运行状态；

判断系统，用于在所述车辆处于无人驾驶状态时，判断所述车辆的行驶状态，所述车辆的行驶状态包括正常行驶状态与非正常行驶状态；

主驾驶系统，用于在正常行驶状态下，控制所述车辆运行；以及

备用驾驶系统，用于在非正常行驶状态下，控制所述车辆运行；

其中，在所述主驾驶系统的硬件和/或软件脱离正常工作状态时所述车辆的状态为所述非正常行驶状态。

7.如权利要求6所述的系统，其特征在于，还包括：

控制器模块，用于将所述车辆由所述主驾驶系统控制状态切换到所述备用驾驶系统控制状态；以及用于将所述车辆由所述备用驾驶系统控制状态切换到所述主驾驶系统控制状态。

8.如权利要求6所述的系统，其特征在于，

所述主驾驶系统的第一控制器与所述备用驾驶系统的第二控制器独立；

其中，所述第一控制器的硬件独立与所述第二控制器的硬件；

所述第一控制器的软件独立与所述第二控制器的软件。

9.如权利要求8所述的系统，其特征在于，

所述第二控制器硬件的第二可靠性指标高于所述第一控制器硬件的第一可靠性指标；

其中，可靠性指标包括：环境可靠性指标与电磁兼容可靠性指标。

10.如权利要求9所述的系统，其特征在于，

所述第二控制器的体积小于第一控制器。