CN110276985A

CN110276985A - 自动驾驶安全评估方法、装置和系统

Info

Publication number: CN110276985A
Application number: CN201810220891.XA
Authority: CN
Inventors: 佘晓丽; 蔡建永; 沈骏强; 陈奇
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2018-03-16
Filing date: 2018-03-16
Publication date: 2019-09-24
Anticipated expiration: 2038-03-16
Also published as: US11872999B2; WO2019174397A1; BR112020017519A2; CN110276985B; JP7227267B2; EP3745378A1; US20200406911A1; KR102574105B1; EP3745378A4; EP3745378B1; KR20200118882A; JP2021516816A

Abstract

本申请提供了一种自动驾驶安全评估方法，包括：获取r_b和r_c，其中，r_b为第一计量单位内车辆的影子驾驶模式的风险值，r_c为第一计量单位内车辆基于预设路线的自动驾驶模式的风险值，影子驾驶模式为车辆基于实时路线的自动驾驶模式，所述实时路线为根据处于人工驾驶模式的车辆的位置和运动参数预测的路线，第一计量单位为时间段或路程；根据r_b确定R_B，R_B为车辆在多个计量单位内的影子驾驶模式的风险值，多个计量单位包括第一计量单位；根据r_c确定R_C，R_C为车辆在多个计量单位内的基于预设路线的自动驾驶模式的风险值；其中，R_B和R_C用于确定所述车辆的自动驾驶模式的安全性是否符合要求。上述方法能够更加真实地评估自动驾驶的安全性。

Description

自动驾驶安全评估方法、装置和系统

技术领域

本申请涉及自动驾驶领域，尤其涉及一种自动驾驶安全评估方法、装置和系统。

背景技术

自动驾驶汽车又称为无人驾驶汽车，其能够通过雷达等传感器获取环境信息，并根据环境信息控制车辆行驶，减少了司机控车的时间。自动驾驶汽车具有减少交通违章等优势，然而，由于司机在自动驾驶模式中控车的时间小于司机在传统的人工驾驶模式中控车的时间，自动驾驶汽车还存在很多不确定性，为了减小乘客使用自动驾驶汽车的风险，需要在销售自动驾驶汽车之前对其安全性进行严格评估。

为了评估自动驾驶汽车的安全性，需要收集大量自动驾驶汽车的行驶数据，例如，自动驾驶汽车行驶500-600万公里产生的数据，这对于汽车制造商来说是一项非常昂贵的成本。

现有的一种自动驾驶安全评估方法是将人工驾驶路线输入模拟自动驾驶系统，分别计算人工驾驶模式和自动驾驶模式中与安全相关的因素，获得人工驾驶模式与自动驾驶模式的量化值。上述方法可以使用人工驾驶模式下的数据评估自动驾驶模式的安全性，减小了自动驾驶汽车量产的成本的周期，然而，基于模拟自动驾驶系统进行安全评估无法还原真实的司机控车场景，从而导致基于模拟自动驾驶系统得到的安全评估结果与真实的自动驾驶安全性存在较大的偏差。

发明内容

本申请提供了一种自动驾驶安全评估的方法和装置，能够减小安全评估结果与真实的自动驾驶安全性的偏差。

第一方面，提供了一种自动驾驶安全评估方法，包括：获取r_b和r_c，其中，r_b为第一计量单位内车辆的影子驾驶模式的风险值，r_c为第一计量单位内车辆基于预设路线的自动驾驶模式的风险值，影子驾驶模式为车辆基于实时路线的自动驾驶模式，所述实时路线为根据处于人工驾驶模式的车辆的位置和运动参数预测的路线，第一计量单位为时间段或路程；根据r_b确定R_B，R_B为车辆在多个计量单位内的影子驾驶模式的风险值，多个计量单位包括第一计量单位；根据r_c确定R_C，R_C为车辆在多个计量单位内的基于预设路线的自动驾驶模式的风险值；其中，R_B和R_C用于确定所述车辆的自动驾驶模式的安全性是否符合要求。

r_b和r_c反映了风险转化为事故的概率，本申请提供的自动驾驶安全评估方法除了收集基于预设路线的自动驾驶模式产生的风险数据外，还收集基于实时路线的自动驾驶模式产生的风险数据，该实时路线为根据处于人工驾驶模式的车辆的位置和运动参数预测的路线，例如，当司机控车改变预设路线时，车载安全评估装置可以根据司机控车路线重新规划自动驾驶路线，并基于重新规划的自动驾驶路线确定自动驾驶的安全性，从而能够更加真实地评估自动驾驶的安全性。

作为一个可选的实施方式，所述方法还包括：计算R_B与R_C之和；当R_B与R_C之和小于或等于自动驾驶风险阈值时，确定车辆的自动驾驶模式的安全性符合要求。

上述实施例可以由确定R_B和R_C的装置实施，无需将R_B和R_C发送至其它设备以及通过其它设备评估车辆的自动驾驶模式的安全性，从而可以提高自动驾驶模式安全评估的实时性。

作为一个可选的实施方式，所述自动驾驶风险阈值为a(R_A+R′_A)，其中，a为风险容忍系数，R_A为车辆在多个计量单位内的人工驾驶的模式的风险值，车辆在多个计量单位内通过的路段为第一路段，R′_A为车辆在多个计量单位之外基于人工驾驶模式通过第一路段的风险值。

可以将自动驾驶的风险值与人工驾驶的风险值做对比，并设定自动驾驶的风险值能够被接受的容忍系数，从而可以判断自动驾驶的安全性是否满足要求。

作为一个可选的实施方式，根据r_b确定R_B，以及根据r_c确定R_C，包括：根据确定R_B或R_C，其中，event表示风险场景，s_event表示该风险场景中事故的严重程度的系数，X表示所述多个计量单位，当r_i表示r_b时，R_i表示R_B，当r_i表示r_c时，R_i表示R_C。

s_event反映了不同的风险场景中事故的严重程度，例如，在碰撞场景中，撞人的严重程度远高于撞其它物体的严重程度，因此，可以将撞人的严重程度设置为1，撞其它物体的严重程度例如可以根据物体的性质从0.1-0.9中选择；r_i反映了风险转化为事故的概率，∑则反映了多个计量单位的风险的累计，R_i则反映了平均每个计量单位内风险转化为事故的概率。上述公式可以客观地反映自动驾驶的风险。

作为一个可选的实施方式，获取r_b和r_c，包括：当风险场景为碰撞场景时，根据下列参数中的至少一个确定r_b和r_c：车辆相对于碰撞物的速度Δv、基于碰撞物的运动轨迹预估的车辆与碰撞物发生碰撞所需的时间(time to collision，TTC)、基于车辆与碰撞物之间的距离预估的车辆的刹车时间(time to headway，THW)、以及车辆与碰撞物之间的距离，其中，Δv与r_b或r_c正相关，TTC与r_b或r_c负相关，THW与r_b或r_c负相关，车辆与碰撞物之间的距离与r_b或r_c负相关。

在碰撞场景中，相对运动速度越大，风险转化为事故的概率越大，即，Δv与r_b或r_c正相关；距离碰撞的时间越长，车辆调整行驶路线避免碰撞的可能性越大，碰撞发生的概率越小，因此，TTC与r_b或r_c负相关；刹车可用时间越长，碰撞发生的概率越小，因此，THW与r_b或r_c负相关；车辆与碰撞物的距离越远，车辆调整行驶路线避免碰撞的可能性越大，碰撞发生的概率越小，因此，车辆与所述碰撞物之间的距离与r_b或r_c负相关。

作为一个可选的实施方式，根据下列参数中的至少一个确定r_b和r_c：车辆相对于碰撞物的速度Δv、基于碰撞物的运动轨迹预估的车辆与碰撞物发生碰撞所需的时间TTC、基于车辆与碰撞物之间的距离预估的车辆的刹车时间THW、以及车辆与碰撞物之间的距离，包括：根据r_SG1＝f(t)_max确定r_b和r_c，r_SG1为碰撞场景中的r_b或r_c，其中，t∈{t_event,h(t_event,obj)＝1}，f(t)＝Δv(t)·exp(-min{r₀TTC(t),r₁THW(t),r₂s})，{t_event,h(t_event,obj)＝1}表示发生碰撞风险的时间段，TTC(t)表示t时刻的TTC，THW(t)表示t时刻的THW，r₀、r₁和r₂分别为归一化参数，v为t时刻车辆的速度，Δv(t)为t时刻的Δv，exp为以自然常数为底的指数，s表示车辆与碰撞物之间的距离。

作为一个可选的实施方式，获取r_b和r_c，包括：当风险场景为交通信号灯场景时，根据车辆的速度以及车辆到交通信号灯的距离确定r_b和r_c，其中，车辆的速度与r_b或r_c正相关，车辆到交通信号灯的距离与r_b或r_c负相关。

在交通信号灯场景中，车辆的速度越高，违反交通信号灯(例如闯红灯)的概率越大，因此，车辆的速度与r_b或r_c正相关；车辆到交通信号灯的距离越远，用于车辆改变行驶状态的时间越长，违反交通信号灯的概率越小，因此，车辆到交通信号灯的距离与r_b或r_c负相关。

作为一个可选的实施方式，根据车辆的速度以及车辆与交通信号灯的距离确定r_b和r_c，包括：根据r_SG2＝f(t)_max确定r_b和r_c，r_SG2为交通信号灯场景中的r_b或r_c，其中，t∈{t_event,h(t_event,Light)＝1}，r₃为归一化参数，{t_event,h(t_event,Light)＝1}表示交发生违反交通信号灯风险的时间段，v(t)表示车辆在t时刻的速度，g为重力加速度常数，s(t)表示t时刻车辆到交通信号灯的距离。

作为一个可选的实施方式，获取r_b和r_c，包括：当风险场景为冲出道路边界场景时，根据预估的车辆冲出车道时间确定r_b和r_c，其中，预估的车辆冲出车道时间与r_b或r_c负相关。

在冲出道路边界场景中，预估的车辆冲出车道的时间越长，用于车辆调整行驶状态的时间越长，车辆冲出道路的概率也就越小，因此，预估的车辆冲出车道时间与r_b或r_c负相关。

作为一个可选的实施方式，根据预估的车辆冲出车道时间确定r_b和r_c，包括：根据确定r_b和r_c，r_SG3为冲出道路边界场景中的r_b或r_c，其中，TLC_threshold表示车辆冲出道路所需时间的临界值，e为自然常数，t_lc为预估的车辆冲出车道时间，y为车辆在道路边界的横向偏移量，W_road为道路的宽度，v_long为车辆的纵向速度，v_lat为车辆的横向速度，φ-φ_d表示车辆的航向与道路切线方向的夹角，r₄为归一化参数。

作为一个可选的实施方式，获取r_b和r_c，包括：当风险场景为非常规行驶场景时，根据下列参数中的至少一个确定r_b和r_c：车辆的纵向加速度、车辆的横向加速度以及车辆的速度，其中，车辆的纵向加速度与r_b或r_c正相关，车辆的横向加速度与r_b或r_c正相关，车辆的速度与r_b或r_c正相关。

非常规形式场景例如是车辆具有横向加速度的行驶场景。纵向加速度越大，车辆超速或者急刹车的概率越大，因此，车辆的纵向加速度与r_b或r_c正相关；横向加速度越大，车辆急转弯的概率越大，因此，车辆的横向加速度与r_b或r_c正相关；车辆的速度越大，出现超速等非常规行驶的概率越大，因此，车辆的速度与r_b或r_c正相关。

作为一个可选的实施方式，根据下列参数中的至少一个确定r_b和r_c：车辆的纵向加速度、车辆的横向加速度以及车辆的速度，包括：根据r_SG4＝r₅确定r_b和r_c，r_SG4为非常规行驶场景中的r_b或r_c，其中，(|a_long|>a_threshold1)||(a_lat|>a_threshold2)||(v≥v_safe)，a_long表示所述车辆的纵向加速度，a_lat表示所述车辆的横向加速度，a_threshold1表示安全行驶状态下横向加速度的阈值，a_threshold2表示安全行驶状态下纵向加速度的阈值，v表示所述车辆的速度，v_safe表示安全行驶状态下的速度阈值，r₅为归一化参数。

作为一个可选的实施方式，获取r_b和r_c，包括：确定一个时间段内车辆的驾驶模式和风险场景，该时间段的起始点为第一时刻，该时间段的终点为第二时刻，所述驾驶模式包括自动驾驶模式和/或人工驾驶模式；在当前时刻根据风险场景对应的风险识别方式确定所述时间段内驾驶模式的风险值，其中，当前时刻位于第一时刻之后，且当前时刻位于第二时刻之前。

上述一个时间段可以是一个计量单位，所述时间段内驾驶模式的风险值例如是r_b和r_c。车辆在行驶一段路程所需的多个时间段中选取一个时间段，并在该时间段内的一个时刻(即，当前时刻)利用已知的行驶信息和预测的行驶信息确定该时间段内相应的驾驶模式的风险值，例如，确定的时间段为1秒，当前时刻为0.4秒，若已过去的0.4秒内出现了超速行驶的状况，则车辆可以确定该时间段内的驾驶模式的非常规驾驶风险值为1，即，发生超速的概率为100％；若已过去的0.4秒内未出现超速行驶的状况，且车辆根据当前车辆的速度以及加速度确定未来0.6秒内车速将保持在法定行驶速度内，则车辆可以确定该时间段内的非常规驾驶风险值为一个小于1的数值，即，发生超速的概率小于100％。本实施例将行驶一段路程所需的时间段分割为多个时间段，并根据每个时间段中的交通上下文确定每个时间段内的驾驶模式的风险值，从而能够更加客观地识别风险。

作为一个可选的实施方式，在当前时刻根据风险场景对应的风险识别方式确定所述时间段内驾驶模式的风险值之前，所述方法还包括：确定车辆在第一时刻的位置和运动参数，其中，车辆在第一时刻基于人工驾驶模式行驶；根据车辆在第一时刻的位置和运动参数预测车辆在第三时刻的位置，第三时刻晚于第一时刻；根据第一时刻的位置和第三时刻的位置预测车辆从第一时刻的位置到第三时刻的位置的影子驾驶模式，影子驾驶模式为基于车辆处于人工驾驶模式下的位置和运动参数预测的车辆的自动驾驶模式；在当前时刻根据风险场景对应的风险识别方式确定所述时间段内驾驶模式的风险值，包括：在当前时刻根据风险场景对应的风险识别方式确定r_a、r_b和r_c，其中，r_a为所述时间段内人工驾驶模式的风险值，r_b为所述时间段内影子驾驶模式的风险值，r_c为所述时间段内基于预设路线的自动驾驶模式的风险值。

车辆可以根据该车辆在第一时刻的位置和运动参数预测未来一段时间后车辆的位置，即，预测车辆在第三时刻的位置，其中，车辆在第一时刻处于人工驾驶状态，随后，车辆预测该车辆从第一时刻的位置到第三时刻的位置的影子驾驶模式。上述实施例根据人工驾驶模式下的位置和运动参数不断修正自动驾驶的路线，使得自动驾驶模式的路线更加接近人工驾驶模式的路线，从而可以获取更加客观地自动驾驶风险数据。

第二方面，本申请还提供了一种确定车辆的驾驶风险的方法，该方法应用于具有自动驾驶模式和人工驾驶模式的车辆，该方法包括：确定一个时间段内车辆的驾驶模式和风险场景，该时间段的起始点为第一时刻，该时间段的终点为第二时刻，所述驾驶模式包括自动驾驶模式和/或人工驾驶模式；在当前时刻根据风险场景对应的风险识别方式确定所述时间段内驾驶模式的风险值，其中，当前时刻位于第一时刻之后，且当前时刻位于第二时刻之前。

车辆在行驶一段路程所需的多个时间段中选取一个时间段，并在该时间段内的一个时刻(即，当前时刻)利用已知的行驶信息和预测的行驶信息确定该时间段内相应的驾驶模式的风险值，例如，确定的时间段为1秒，当前时刻为0.4秒，若已过去的0.4秒内出现了超速行驶的状况，则车辆可以确定该时间段内的驾驶模式的非常规驾驶风险值为1，即，发生超速的概率为100％；若已过去的0.4秒内未出现超速行驶的状况，且车辆根据当前车辆的速度以及加速度确定未来0.6秒内车速将保持在法定行驶速度内，则车辆可以确定该时间段内的非常规驾驶风险值为一个小于1的数值，即，发生超速的概率小于100％。本实施例将行驶一段路程所需的时间段分割为多个时间段，并根据每个时间段中的交通上下文确定每个时间段内的驾驶模式的风险值，从而能够更加客观地识别风险。

作为一个可选的实施方式，在当前时刻根据风险场景对应的风险识别方式确定r_a、r_b和r_c，包括：当风险场景为碰撞场景时，根据下列参数中的至少一个确定r_a、r_b和r_c：车辆相对于碰撞物的速度Δv、基于碰撞物的运动轨迹预估的车辆与碰撞物发生碰撞所需的时间TTC、基于车辆与碰撞物之间的距离预估的车辆的刹车时间THW、以及车辆与碰撞物之间的距离，其中，Δv与r_a、r_b或r_c正相关，TTC与r_a、r_b或r_c负相关，THW与r_a、r_b或r_c负相关，车辆与碰撞物之间的距离与r_a、r_b或r_c负相关。

在碰撞场景中，相对运动速度越大，风险转化为事故的概率越大，即，Δv与r_a、r_b或r_c正相关；距离碰撞的时间越长，车辆调整行驶路线避免碰撞的可能性越大，碰撞发生的概率越小，因此，TTC与r_a、r_b或r_c负相关；刹车可用时间越长，碰撞发生的概率越小，因此，THW与r_a、r_b或r_c负相关；车辆与碰撞物的距离越远，车辆调整行驶路线避免碰撞的可能性越大，碰撞发生的概率越小，因此，车辆与碰撞物之间的距离与r_a、r_b或r_c负相关。

作为一个可选的实施方式，根据下列参数中的至少一个确定r_a、r_b和r_c：车辆相对于碰撞物的速度Δv、基于碰撞物的运动轨迹预估的车辆与所述碰撞物发生碰撞所需的时间TTC、基于车辆与碰撞物之间的距离预估的车辆的刹车时间THW、以及车辆与碰撞物之间的距离，包括：根据r_SG1＝f(t)_max确定r_a、r_b和r_c，r_SG1为碰撞场景中的r_a、r_b或r_c，其中，t∈{t_event,h(t_event,obj)＝1}，f(t)＝Δv(t)·exp(-min{r₀TTC(t),r₁THW(t),r₂s})，{t_event,h(t_event,obj)＝1}表示发生碰撞风险的时间段，TTC(t)表示t时刻的TTC，THW(t)表示t时刻的THW，r₀、r₁和r₂分别为归一化参数，v为t时刻车辆的速度，Δv(t)为t时刻的Δv，exp为以自然常数为底的指数，s表示车辆与碰撞物之间的距离。

作为一个可选的实施方式，在当前时刻根据风险场景对应的风险识别方式确定r_a、r_b和r_c，包括：当风险场景为交通信号灯场景时，根据车辆的速度以及车辆到交通信号灯的距离确定r_a、r_b和r_c，其中，车辆的速度与r_a、r_b或r_c正相关，车辆到交通信号灯的距离与r_a、r_b或r_c负相关。

在交通信号灯场景中，车辆的速度越高，违反交通信号灯(例如闯红灯)的概率越大，因此，车辆的速度与r_a、r_b和r_c正相关；车辆到交通信号灯的距离越远，用于车辆改变行驶状态的时间越长，违反交通信号灯的概率越小，因此，车辆到交通信号灯的距离与r_a、r_b和r_c负相关。

作为一个可选的实施方式，所述根据所述车辆的速度以及所述车辆与交通信号灯的距离确定r_a、r_b和r_c，包括：根据r_SG2＝f(t)_max确定r_a、r_b和r_c，r_SG2为交通信号灯场景中的r_a、r_b或r_c，其中，t∈{t_event,h(t_event,Light)＝1}，r₃为归一化参数，{t_event,h(t_event,Light)＝1}表示交发生违反交通信号灯风险的时间段，v(t)表示所述车辆在t时刻的速度，g为重力加速度常数，s(t)表示t时刻所述车辆到交通信号灯的距离。

作为一个可选的实施方式，在当前时刻根据风险场景对应的风险识别方式确定r_a、r_b和r_c，包括：当风险场景为冲出道路边界场景时，根据预估的车辆冲出车道时间确定r_a、r_b和r_c，其中，所述预估的所述车辆冲出车道时间与r_a、r_b或r_c负相关。

作为一个可选的实施方式，所述根据预估的所述车辆冲出车道时间确定r_a、r_b和r_c，包括：根据确定r_a、r_b和r_c，r_SG3为冲出道路边界场景中的r_a、r_b或r_c，其中，TLC_threshold表示所述车辆冲出道路所需时间的临界值，e为自然常数，t_lc为所述预估的所述车辆冲出车道时间，y为所述车辆在道路边界的横向偏移量，W_road为道路的宽度，v_long为所述车辆的纵向速度，v_lat为所述车辆的横向速度，φ-φ_d表示所述车辆的航向与道路切线方向的夹角，r₄为归一化参数。

作为一个可选的实施方式，在当前时刻根据风险场景对应的风险识别方式确定r_a、r_b和r_c，包括：当风险场景为非常规行驶场景时，根据下列参数中的至少一个确定r_a、r_b和r_c：车辆的纵向加速度、车辆的横向加速度以及车辆的速度，其中，车辆的纵向加速度与r_a、r_b或r_c正相关，车辆的横向加速度与r_a、r_b或r_c正相关，车辆的速度与r_a、r_b或r_c正相关。

纵向加速度越大，车辆超速或者急刹车的概率越大，因此，车辆的纵向加速度与r_a、r_b或r_c正相关；横向加速度越大，车辆急转弯的概率越大，因此，车辆的横向加速度与r_a、r_b或r_c正相关；车辆的速度越大，出现超速等非常规行驶的概率越大，因此，车辆的速度与r_a、r_b或r_c正相关。

作为一个可选的实施方式，根据下列参数中的至少一个确定r_a、r_b和r_c：车辆的纵向加速度、车辆的横向加速度以及车辆的速度，包括：根据r_SG4＝r₅确定r_a、r_b和r_c，r_SG4为非常规行驶场景中的r_a、r_b或r_c，其中，(|a_long|>a_threshold1)||(|a_lat|>a_threshold2)||(v≥v_safe)，a_long表示车辆的纵向加速度，a_lat表示车辆的横向加速度，a_threshold1表示安全行驶状态下横向加速度的阈值，a_threshold2表示安全行驶状态下纵向加速度的阈值，v表示车辆的速度，v_safe表示安全行驶状态下的速度阈值，r₅为归一化参数。

作为一个可选的实施方式，所述方法还包括：向安全中心发送r_a、r_b和r_c，r_a、r_b和r_c用于评估人工驾驶模式和影子驾驶模式的安全性。

车辆获取r_a、r_b或r_c后可以向安全中心发送上述风险数据或者上述风险数据对应的原始数据(例如，传感器测得的车辆的速度值)，用于安全中心评估人工驾驶模式和影子驾驶模式的安全性，减小了车载处理器的工作负担。

作为一个可选的实施方式，所述方法还包括：接收安全中心发送的安全场景信息，所述安全场景信息用于指示自动驾驶模式的安全驾驶交通场景集合；根据安全场景信息确定自动驾驶模式的安全驾驶交通场景集合；若当前交通场景不属于安全驾驶交通场景集合，车辆播放和/或显示提示司机进行人工驾驶的提示信息，和/或，车辆执行安全停靠处理。

安全中心可以根据车辆上报的风险数据识别风险场景，通过向车辆发送安全场景信息更新车辆的风险识别机制和风险控制策略，例如，若风险是由自动驾驶系统的隐患导致的，则安全场景信息可以指示车辆将风险场景排除在安全驾驶交通场景集合之外，车辆接收到安全场景信息后更新安全驾驶交通场景集合，若当前交通场景不属于更新后的安全驾驶交通场景集合，则车辆采取安全措施，例如，播放和/或显示提示司机进行人工驾驶的提示信息，和/或，执行安全停靠处理。

第三方面，提供了一种自动驾驶安全评估装置，该装置可以实现上述第一方面所涉及的方法中所述的功能，上述功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。所述硬件或软件包括与一个或多个上述功能相应的单元或模块。

在一种可能的设计中，上述装置包括收发器和处理器，该处理器被配置为支持该装置执行上述第一方面所涉及的方法中所述的功能。该收发器用于支持该装置与其它装置之间的通信。该装置还可以包括存储器，该存储器用于与处理器耦合，其保存该装置必要的程序指令和数据。

第四方面，提供了一种计算机可读存储介质，该计算机可读存储介质中存储了计算机程序代码，该计算机程序代码被处理单元或处理器执行时，使得自动驾驶安全评估装置执行第一方面所述的方法。

第五方面，提供了一种芯片，其中存储有指令，当其在自动驾驶安全评估装置上运行时，使得该芯片执行第一方面所述的方法。

第六方面，提供了一种计算机程序产品，该计算机程序产品包括：计算机程序代码，当该计算机程序代码被自动驾驶安全评估装置的通信单元或收发器、以及处理单元或处理器运行时，使得自动驾驶安全评估装置执行上述第一方面的方法。

第七方面，提供了一种确定车辆的驾驶风险的装置，该装置可以实现上述第二方面的方法中所涉及的功能，上述功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。所述硬件或软件包括与一个或多个上述功能相应的单元或模块。

第八方面，提供了一种计算机可读存储介质，该计算机可读存储介质中存储了计算机程序代码，该计算机程序代码被处理单元或处理器执行时，使得确定车辆的驾驶风险的装置执行第二方面所述的方法。

第九方面，提供了一种芯片，其中存储有指令，当其在确定车辆的驾驶风险的装置上运行时，使得该芯片执行第二方面所述的方法。

第十方面，提供了一种计算机程序产品，该计算机程序产品包括：计算机程序代码，当该计算机程序代码被确定车辆的驾驶风险的装置的通信单元或收发器、以及处理单元或处理器运行时，使得确定车辆的驾驶风险的装置执行上述第二方面的方法。

第十一方面，提供了一种自动驾驶安全评估系统，该系统包括风险控制模块、风险策略模块和安全评估模块，风险控制模块用于执行第一方面的任一可选的实施方式中的方法，以确定自动驾驶模式的风险；该风险策略模块用于根据风险控制模块确定的自动驾驶模式的风险确定风险控制策略，风险控制策略用于减小或消除自动驾驶模式的风险；该安全评估策略用于根据所述风险控制模块确定的所述自动驾驶模式的风险评估所述自动驾驶模式的安全性。

第十二方面，提供了一种自动驾驶安全评估系统，该系统包括风险控制模块、风险策略模块和安全评估模块，风险控制模块用于执行第二方面的任一可选的实施方式中的方法，以确定自动驾驶模式的风险；该风险策略模块用于根据风险控制模块确定的自动驾驶模式的风险确定风险控制策略，风险控制策略用于减小或消除自动驾驶模式的风险；该安全评估策略用于根据所述风险控制模块确定的所述自动驾驶模式的风险评估所述自动驾驶模式的安全性。

附图说明

图1是传统的汽车产品发布流程图；

图2是各种人工驾驶的风险和自动驾驶的风险的示意图；

图3是自动驾驶汽车量产路线示意图；

图4是本申请提供的自动驾驶安全评估系统的示意图；

图5是本申请提供的评估自动驾驶安全性的方法的示意性流程图；

图6是本申请提供的一种自动驾驶安全评估方法的示意图；

图7是本申请提供的一种碰撞场景中的风险示意图；

图8是本申请提供的一种交通信号灯场景中的风险示意图；

图9是本申请提供的一种确定车辆的驾驶风险的方法的示意图；

图10是本申请提供的一种自动驾驶控车轨迹的示意图；

图11是本申请提供的一种影子驾驶模式的示意性流程图；

图12是本申请提供的一种识别司机驾驶意图的方法的示意性流程图；

图13是本申请提供的一种基于影子驾驶模式预测影子轨迹的示意图；

图14是本申请提供的一种影子驾驶模式风险和人工驾驶模式风险的对比示意图；

图15是本申请提供的一种风险控制方法的示意性流程图；

图16是本申请提供的一种安全驾驶场景围栏的示意图；

图17是本申请提供的一种车端装置的示意图；

图18是本申请提供的另一种车端装置的示意图；

图19是本申请提供的一种云端装置的示意图；

图20是本申请提供的另一种云端装置的示意图。

具体实施方式

下面将结合附图，对本申请中的技术方案进行描述。

传统的汽车产品发布流程如图1所示，包括：产品规划、开发、验证、发布、是否暴露缺陷以及结束(即，停产)。自动驾驶系统的安全等级要求和传统汽车电子领域要求类似，但由于自动驾驶引入的未知隐患、驾驶场景复杂性引入的累计路测里程(百万公里级)要求，导致其难以实施图1所示的传统发布流程。

图2示出了自动驾驶引入的未知隐患，最外层的圆表示所有驾驶场景，其中无关紧要的场景(A区)占据驾驶场景的绝大部分比例，现有知识仅能通过对已发生交通事故(C区)的分析，识别人工驾驶的风险场景(B区)，以及自动驾驶可防护的人工驾驶的风险(E区)，对自动驾驶引入的新型未知隐患(F区)没有积累足够充分的认识，因此在自动驾驶系统真正投入使用前，难以对其进行客观的安全评估。

为了促进自动驾驶汽车尽早量产以及自动驾驶汽车行业的发展，一些组织提出了自动驾驶汽车量产路线图。如图3所示，自动驾驶汽车量产路线包括两种路线。

路线1：小批量生产安装自动驾驶系统的汽车，通过安全评估方法评估其安全性，验证自动驾驶系统的安全性，当自动驾驶系统的安全性能符合要求时，确定能否进入大批量生产阶段。

路线2：大批量生产安装高级辅助驾驶系统的汽车，通过安全评估方法评估其安全性，当高级辅助驾驶系统的功能达到可靠的安全等级时，安装有高级辅助驾驶系统的汽车可以升级为自动驾驶汽车。

路线1和路线2分别代表了大批量生产自动驾驶汽车的两种路线。在自动驾驶汽车行驶的过程中，车辆通过风险识别方法识别自动驾驶系统缺陷导致的风险，及时更新风险控制策略，在风险还未转化为事故前采取风险控制措施，降低事故发生的概率。

下面，将描述本申请提供的评估自动驾驶安全性的方法、装置和系统。

图4示出了本申请提供的一种自动驾驶安全评估系统。该系统400包括车端装置410和云端装置420。

车端装置410包括传感器411、实时环境感知模块412、自动驾驶模块413、影子驾驶模块414、风险识别模块415和风险控制模块416。

云端装置420包括风险策略模块421和安全评估模块422。

传感器411用于采集环境信息，传感器411例如可以是摄像机和雷达。

实时环境感知模块412用于对传感器411采集到的环境信息进行处理，以便于后续模块使用。例如，摄像机检测到车辆正前方有一个障碍物，雷达也检测到车辆正前方有一个障碍物，实际上，摄像机和雷达检测到的障碍物可能是同一个障碍物，实时环境感知模块412需要根据摄像机和雷达采集到的信息确定前方实际有几个障碍物。

自动驾驶模块413用于根据实时环境感知模块412输出的数据(即，感知结果)控制车辆行驶，输出自动驾驶控车轨迹。

影子驾驶模块414用于在人工驾驶汽车时根据实时环境感知模块412输出的数据模拟自动驾驶，生成影子轨迹，下文将详细介绍影子驾驶模块414的工作流程。

风险识别模块415用于识别人工驾驶、自动驾驶、影子驾驶的风险场景，生成风险数据，其中，风险识别模块415根据事实环境感知模块412输出的感知结果识别人工驾驶的风险，根据自动驾驶模块413输出的自动驾驶控车轨迹识别自动驾驶的风险，根据影子驾驶模块414输出的影子轨迹识别影子驾驶的风险。

风险策略模块421用于针对已识别的自动驾驶系统的潜在风险制定风险控制策略，风险控制模块416则用于根据云端发布的风险控制策略采取措施减小或消除风险。

安全评估模块422用于利用累积的风险数据对自动驾驶系统的安全性进行评估。

图4是从功能划分的角度上对系统400进行了示例性描述，各个模块的功能在实现时可能以软件形式实现，也可能以硬件形式实现，还可能以软硬结合的形式实现，具体通过哪种形式实现系统400的各个模块的功能可根据实际情况确定，本申请对此不作限定。

不失一般性地，图4将系统400划分为车端装置和云端装置，但系统400的架构不限于此，例如，风险识别模块415可以部署在云端装置420，车端装置410无需执行风险识别处理，这样可以减轻车端装置410的处理器的负担；又例如，车端装置410可以部署风险策略模块和安全评估模块，这样，即使车端装置410处于离线状态，车端装置410也可以根据已识别的自动驾驶系统导致的风险制定风险策略，并评估自动驾驶系统的安全性。

基于系统400，图5示出了本申请提供一种评估自动驾驶安全性的方法的示意性流程图。

该方法500中，S501可以由传感器411执行，传感器411采集实时信息，重建静态和动态环境数据，以及传感器411所在车辆(也可称为“自车”)的轨迹数据。

S502可以由风险识别模块415执行，识别不同控车模式下的风险，其中，若自车处于自动驾驶模式，则风险识别模块415根据自动驾驶控车轨迹计算自动驾驶的风险特征；若车辆处于人工驾驶模式，则风险识别模块415根据司机控车轨迹计算人工驾驶的风险特征，以及根据影子轨迹计算影子驾驶的风险特征。

S503可以由风险控制模块416执行，风险控制模块416根据风险识别模块415计算得到的自动驾驶模式的风险特征和影子驾驶模式的风险特征识别自动驾驶系统的潜在缺陷，并更新风险控制策略。

S504可以由安全评估模块422执行，安全评估模块422根据累积的各种驾驶模式的风险特征评估自动驾驶模式的安全性，评估的结果作为安全验证和量产发布的依据。

下面将基于方法500的流程进一步详细阐述本申请提供的自动驾驶安全评估方案。

图6示出了本申请提供的一种自动驾驶安全评估方法。该方法600包括：

S610，获取r_b和r_c，其中，r_b为第一计量单位内车辆的影子驾驶模式的风险值，r_c为第一计量单位内车辆基于预设路线的自动驾驶模式的风险值，影子驾驶模式为车辆基于实时路线的自动驾驶模式，所述实时路线为根据处于人工驾驶模式的车辆的位置和运动参数预测的路线，第一计量单位为时间段或路程。

S620，根据r_b确定R_B，R_B为车辆在多个计量单位内的影子驾驶模式的风险值，多个计量单位包括第一计量单位。

S630，根据r_c确定R_C，R_C为车辆在多个计量单位内的基于预设路线的自动驾驶模式的风险值；其中，R_B和R_C用于确定车辆的自动驾驶模式的安全性是否符合要求。

方法600可以由云端装置420执行，也可以由配置了安全评估模块的车端装置执行。

S610中，r_b和r_c反映了风险转化为事故的概率，可以是风险转化为事故的概率值，也可以是其它类型的能够量化自动驾驶风险的数值。r_b和r_c的计量单位可以是时间段，也可以是路程。

可以将风险行为定义为显性的或隐性的违背安全目标的驾驶行为(包括人工驾驶、自动驾驶和影子驾驶)，其中，显性表示驾驶行为已转化为事故，隐性表示驾驶行为可能转化为事故。因此，对风险行为的识别包括：

显性风险的识别，例如，碰撞和违反红绿灯规则；

隐性风险的识别，例如，未与前车预留足够的安全距离、即将达到安全行驶速度的最大值仍持续加速、以及十字路口未及时减速；隐性风险还包括异常的行车行为，这些行车行为可能导致他车不能及时反应而造成被动事故，例如，异常的加减速、以及未按道路方向行驶。

通过定义和计算这些风险行为在相应的场景中的特征，可以达到自动识别风险场景的目的。

上述安全目标(safety goal，SG)包括但不限于如下定义：

SG1：避免撞击人或其它物体；

SG2：遵循交通信号灯规则；

SG3：避免冲出道路边界；

SG4：避免非常规行驶(包括超速、异常的加减速以及转向)

针对每一个安全目标，当出现显性风险时，可以定义风险值为1；当无风险时，可以定义风险值为0；隐性风险的风险值为大于0且小于1的数值。下文将详细介绍各个场景中计算风险值的方法。

第一计量单位为任意一个计量单位。基于预设路线的自动驾驶模式即图5所示的自动驾驶模式，该模式为自动驾驶模块413控制车辆的驾驶模式，自动驾驶模块413获取一段路程的起点和终点(即，预设路线)后控制车辆行驶该段路程，司机不参与驾驶。基于实时路线的驾驶模式为司机控制车辆行驶的过程中影子驾驶模块414模拟的自动驾驶模式，影子驾驶模块414根据司机控车时车辆的位置和运动参数不断修正影子轨迹，避免出现司机控车的路线通过A街道，自动驾驶的路线却通过B街道的情况，使得自动驾驶的安全性评估更加客观。

S620和S630中，R_B例如可以是多个计量单位的r_b的和除以多个计量单位后得到的平均值，也可以是每个计量单位的r_b乘以一个加权系数之后的和再除以多个计量单位后得到的平均值；同理，R_C例如可以是多个计量单位的r_c的和除以多个计量单位后得到的平均值，也可以是每个计量单位的r_c乘以一个加权系数之后的和之后再除以多个计量单位得到的平均值。R_B和R_C也可以是通过其它方法计算得到的值，本申请对计算R_B和R_C的方法不作限定。

综上，本申请提供的自动驾驶安全评估方法除了收集基于预设路线的自动驾驶模式产生的风险数据外，还收集基于实时路线的自动驾驶模式产生的风险数据，该实时路线为根据处于人工驾驶模式的车辆的位置和运动参数预测的自动驾驶路线(即，影子轨迹)，例如，当司机控车改变路线时，影子驾驶模块414可以根据司机控车路线重新规划自动驾驶路线，并基于重新规划的自动驾驶路线确定自动驾驶的安全性，从而能够更加真实地评估自动驾驶的安全性。

可选地，方法600还包括：

S640，计算R_B与R_C之和。

S641，当R_B与R_C之和小于或等于自动驾驶风险阈值时，确定车辆的自动驾驶模式的安全性符合要求。

S641中，自动驾驶风险阈值表示每个计量单位内自动驾驶模式的风险值的阈值。自动驾驶风险阈值可以是依据统计结果设定的值，例如，车辆行驶的一百万公里的里程中平均每公里的自动驾驶风险值的最大值，若车辆行驶一百万公里后R_B+R_C的值小于或等于该最大值，则车辆的自动驾驶功能符合安全性要求，可以大批量生产；若车辆行驶一百万公里后R_B+R_C的值大于该最大值，则车辆的自动驾驶功能不符合安全性要求，不能大批量生产，需要进行改进。

还可以设定每百万公里的R_B+R_C中R_B和R_C分别对应的里程，例如，可以设定每百万公里的R_B+R_C中R_C对应的里程不少于10万公里，从而可以更加客观真实地评估自动驾驶的安全性。

作为一个可选的实施方式，所述自动驾驶风险阈值为a(R_A+R′_A)，其中，a为风险容忍系数，R_A例如是车辆在多个计量单位内的人工驾驶的模式的风险值的平均值，车辆在多个计量单位内通过的路段为第一路段，R′_A例如是车辆在多个计量单位之外基于人工驾驶模式通过第一路段的风险值的平均值。

例如，R_A为人工驾驶模式下车辆行驶五十万公里后得到的风险值，该五十万公里通过的路段为第一路段，R′_A为人工驾驶模式下车辆再次通过该第一路段后得到的风险值；R_B+R_C为自动驾驶行驶一百万公里后得到的风险值，a表示行驶相同长度的路程的情况下，自动驾驶的风险值需要小于人工驾驶的风险值与a的乘积，才可以认定自动驾驶模式的安全性符合要求，a通常为大于0且小于1的常数。

作为一个可选的实施方式，根据r_b确定R_B，以及根据r_c确定R_C，包括：

S650，根据确定R_B或R_C，其中，event表示风险场景，s_event表示该风险场景中事故的严重程度的系数，X表示所述多个计量单位，当r_i表示r_b时，R_i表示R_B，当r_i表示r_c时，R_i表示R_C。

s_event反映了不同的风险场景中事故的严重程度，r_i反映了风险转化为事故的概率，∑则反映了多个计量单位的风险的累计。

例如，在碰撞场景中，撞人的严重程度远高于撞其它物体的严重程度，因此，可以将撞人的s_event设置为1，将撞其它物体的s_event可以根据物体的性质从0.1-0.9中选择。

又例如，违反交通规则、偏离道路范围或方向行驶、超速、违反驾驶常规等行为是构成事故的几个主要因素，因此，在一种方案中，s_event可以依据事故统计数据进行定义，当车辆出现上述几种行为中的任意一种行为时，相应的s_event等于0.01。

X可以是与R_i对应的车辆行驶的里程或时间，R_i则反映了平均每个计量单位(例如，每公里或每小时)内风险转化为事故的概率。上述公式可以客观地反映自动驾驶的风险。

作为一个可选的实施方式，获取r_b和r_c，包括：

S611，当风险场景为碰撞场景时，根据下列参数中的至少一个确定r_b和r_c：车辆相对于碰撞物的速度Δv、基于碰撞物的运动轨迹预估的车辆与碰撞物发生碰撞所需的时间TTC、基于车辆与碰撞物之间的距离预估的车辆的刹车时间THW、以及车辆与碰撞物之间的距离，其中，Δv与r_b或r_c正相关，TTC与r_b或r_c负相关，THW与r_b或r_c负相关，车辆与碰撞物之间的距离与r_b或r_c负相关。

图7示出了本申请提供的一种碰撞场景中的风险示意图。

图7中自车的轨迹是从状态(t2，s2，v2，a2)到状态(t0，s0，v0，a0)之间的线段，他车的轨迹是从状态(t1，s1，v1，a1)到状态(t’0，s’0，v’0，a’0)之间的线段，两车相向而行，在图中所示的两条线的交叉点相撞。

上述两条轨迹均为自车预测的轨迹，自车根据传感器的感知结果识别未来一段时间(例如5秒)内与自车轨迹有交集的对象，未来一段时间内的碰撞风险值取自车与上述对象的之间的碰撞风险值中的最大值。

例如，可以根据r_SG1＝f(t)_max确定r_b和r_c，r_SG1为碰撞场景中的r_b或r_c，其中，t∈{t_event,h(t_event,obj)＝1}，f(t)＝Δv(t)·exp(-min{r₀TTC(t),r₁THW(t),r₂s})，{t_event,h(t_event,obj)＝1}表示发生碰撞风险的时间段，TTC(t)表示t时刻的TTC，THW(t)表示t时刻的THW，r₀、r₁和r₂分别为归一化参数，v为t时刻车辆的速度，Δv(t)为t时刻的Δv，exp为以自然常数为底的指数，s表示车辆与碰撞物之间的距离。

上述公式中，t∈{t_event,h(t_event,obj)＝1}表示已识别的产生碰撞风险的时间段，h(t_event,obj)表示碰撞风险事件(obj)在一段时间(t_event)内引发了潜在的冲突事件，或者可以理解为，h(t_event,obj)表示碰撞风险事件(obj)的出现导致在一段时间(t_event)内发生碰撞的概率增加，h(t_event,obj)＝1表示发生了碰撞风险事件(obj)，h(t_event,obj)＝0表示未发生碰撞风险事件。由于风险事件从出现到消失通常会持续一段时间，因此，当车端装置410或云端装置420识别到碰撞风险事件发生(即，h(t_event,obj)＝1)时，可以选取识别到该风险事件的时刻附近的一段时间t_event，计算该段时间内的风险值，该段时间包括识别到该碰撞风险事件的时刻。各个归一化参数用于表示各个参数的权重，例如，各个归一化参数可以取大于或等于0且小于或等于1的值。

例如，当两辆车的相对速度大于40km/h时，如果发生碰撞，有极大概率造成人员伤亡；若两辆车预期碰撞时间(即TTC)小于1s，则有极大概率无法避免辆车相撞；当THW小于1s时，若他车制动，则自车有极大概率无法避免辆车碰撞。

上述“相对速度大于40km/h”、“TTC小于1s”和“THW小于1s”均为碰撞风险事件(obj)，可以预测碰撞发生时刻，并在预测的碰撞发生时刻附近选取一段时间(t_event)计算该段时间内的碰撞风险值(发生碰撞的概率)，取该段时间内多个碰撞风险值中最大的值(即，f(t)_max)作为该段时间的碰撞风险值。

作为一个可选的实施方式，获取r_b和r_c，包括：

S612，当风险场景为交通信号灯场景时，根据车辆的速度以及车辆到交通信号灯的距离确定r_b和r_c，其中，车辆的速度与r_b或r_c正相关，车辆到交通信号灯的距离与r_b或r_c负相关。

图8示出了本申请提供的一种交通信号灯场景中的风险示意图。

交通信号灯场景的风险主要是违反交通信号灯所指示的规则，相应的风险值可以根据自车的速度得到。如图8所示，自车距离交通信号灯50m，车辆距离路口停止线的距离s、自车的速度v以及车辆的加速度a构成当前车辆状态。右图为自车的距离-速度曲线，当交通信号灯为禁止通行信号时，自车需减速，在停止线前将速度降为0。不同的加速度形成不同的速度-距离曲线。

当预计采用普通加速度即可在停止线前停下时，则确定自车当前的状态无违反交通信号灯的风险，其中，普通加速度指的是绝对值小于预设加速度的绝对值的加速度，例如，预设加速度的值为0.4g，若自车采用-0.3g的加速度即可在停止线前停下，则自车的r_b或r_c等于0。

当预计采用最大加速度仍不能在停止线前停下时，则确定自车当前的状态必然导致违反交通信号灯的事故，即，此时的风险为显性风险，自车的r_b或r_c等于1。

当自车的数据-距离曲线位于图8所示的曲线1和曲线2之间时，自车存在违反交通信号灯的隐性风险，此时，自车在停止线前将速度降为0所需的加速度的绝对值越大，r_b或r_c的取值越大。

例如，可以根据r_SG2＝f(t)_max确定r_b和r_c，r_SG2为交通信号灯场景中的r_b或r_c，其中，t∈{t_event,h(t_event,Light)＝1}，r₃为归一化参数，v(t)表示车辆在t时刻的速度，g为重力加速度常数，s(t)表示t时刻车辆到交通信号灯的距离。

上述公式中，t∈{t_event,h(t_event,Light)＝1}表示已识别的产生交通信号灯场景风险的时间段，h(t_event,Light)表示交通信号灯风险事件(Light)的出现导致在一段时间(t_event)内发生违反交通信号灯的概率增加，h(t_event,Light)＝1表示发生了交通信号灯风险事件(Light)，h(t_event,Light)＝0表示未发生交通信号灯风险事件。由于风险事件从出现到消失通常会持续一段时间，因此，当车端装置410或云端装置420识别到交通信号灯场景的风险事件发生(即，h(t_event,Light)＝1)时，可以选取识别到该风险事件的时刻附近的一段时间t_event，计算该段时间内的风险值，该段时间包括识别到该碰撞风险事件的时刻。归一化参数用于表示参数的权重，例如，各个归一化参数可以取大于或等于0且小于或等于1的值。

例如，车辆距离路口50m，该路口的交通信号灯显示禁行信号，该车辆的速度为100km/h，则有极大的概率发生违法交通信号灯(例如闯红灯)的风险，上述“车辆距离路口50m，该路口的交通信号灯显示禁行信号，该车辆的速度为100km/h”即为交通信号灯风险事件(Light)，可以预测闯红灯时刻，并在预测的闯红灯时刻附近选取一段时间(t_event)计算该段时间内的闯红灯风险值(发生闯红灯的概率)，取该段时间内多个闯红灯风险值中最大的值(即，f(t)_max)作为该段时间的闯红灯风险值。

作为一个可选的实施方式，获取r_b和r_c，包括：

S613，当风险场景为冲出道路边界场景时，根据预估的车辆冲出车道时间确定r_b和r_c，其中，预估的车辆冲出车道时间与r_b或r_c负相关。

例如，可以根据确定r_b和r_c，r_SG3为冲出道路边界场景中的r_b或r_c，其中，TLC_threshold表示车辆冲出道路所需时间的临界值，e为自然常数，t_lc为预估的车辆冲出车道时间，y为车辆在道路边界的横向偏移量，W_road为道路的宽度，v_long为车辆的纵向速度，v_lat为车辆的横向速度，φ-φ_d表示车辆的航向与道路切线方向的夹角，r₄为归一化参数，归一化参数用于表示参数的权重。

作为一个可选的实施方式，获取r_b和r_c，包括：

S614，当风险场景为非常规行驶场景(例如，车辆当前具有横向加速度的行驶场景)时，根据下列参数中的至少一个确定r_b和r_c：车辆的纵向加速度、车辆的横向加速度以及车辆的速度，其中，车辆的纵向加速度与r_b或r_c正相关，车辆的横向加速度与r_b或r_c正相关，车辆的速度与r_b或r_c正相关。上述纵向加速度指的是加速度方向与速度方向相同或相反的加速度(例如，直线行驶时踩油门或踩刹车获得的加速度)，上述横向加速度指的是加速度方向与速度方向具有不为0的夹角的加速度(例如，转弯时导致车辆发生漂移的加速度)。

纵向加速度越大，车辆超速或者急刹车的概率越大，因此，车辆的纵向加速度与r_b或r_c正相关；横向加速度越大，车辆急转弯的概率越大，因此，车辆的横向加速度与r_b或r_c正相关；车辆的速度越大，出现超速等非常规行驶的概率越大，因此，车辆的速度与r_b或r_c正相关。

例如，可以根据r_SG4＝r₅确定r_b和r_c，r_SG4为非常规行驶场景中的r_b或r_c，其中，(|a_long|>a_threshold1)||(|a_lat|>a_threshold2)||(v≥v_safe)，|a_long|表示所述车辆的纵向加速度的绝对值，|a_lat|表示所述车辆的横向加速度的绝对值，a_threshold1表示安全行驶状态下横向加速度的阈值，例如可以为0.5g，a_threshold2表示安全行驶状态下纵向加速度的阈值，例如可以为0.7g，v表示所述车辆的速度，v_safe表示安全行驶状态下的速度阈值，可以参考道路限速确定，r₅为归一化参数。

上述公式中，(|a_long|>a_threshold1)||(|a_lat|>a_threshold2)||(v≥v_safe)表示车辆的横向加速度、纵向加速度和速度中的至少一个超过了相应的阈值。

上文详细介绍了本申请提供的自动驾驶安全评估方法，若云端装置420从车端装置410接收的信息为r_b或r_c，则云端装置420无需再执行S611～S614，若云端装置420从车端装置410接收的信息为传感器感知的数据，则云端装置420还需要执行S611～S614以获取r_b和r_c。

应理解，上述实施例仅描述了生成r_b或r_c的方案，S611～S614同样适用于计算人工驾驶的风险值r_a。

由方法600可知，影响自动驾驶安全评估方法的技术效果的一个重要因素是风险值是否能够反映真实的风险水平，下面，将详细描述本申请提供的确定车辆的驾驶风险的方法。

图9示出了本申请提供的一种确定车辆的驾驶风险的方法。该方法900应用于具有自动驾驶模式和人工驾驶模式的车辆，方法900包括：

S910，确定一个时间段内车辆的驾驶模式和风险场景，该时间段的起始点为第一时刻，该时间段的终点为第二时刻，所述驾驶模式包括自动驾驶模式和/或人工驾驶模式。

S920，在当前时刻根据风险场景对应的风险识别方式确定所述时间段内驾驶模式的风险值，其中，当前时刻位于第一时刻之后，且当前时刻位于第二时刻之前。

方法900例如可以由车端装置410执行，车端装置410在车辆行驶一段路程所需的多个时间段中选取一个时间段，并在该时间段内的一个时刻(即，当前时刻)利用已知的行驶信息和预测的行驶信息确定该时间段内相应的驾驶模式的风险值，例如，确定的时间段为1秒，当前时刻为0.4秒，若已过去的0.4秒内出现了超速行驶的状况，则车辆可以确定该时间段内的驾驶模式的非常规驾驶风险值为1，即，发生超速的概率为100％；若已过去的0.4秒内未出现超速行驶的状况，且车辆根据当前车辆的速度以及加速度确定未来0.6秒内车速将保持在法定行驶速度内，则车辆可以确定该时间段内的非常规驾驶风险值为一个小于1的数值，即，发生超速的概率小于100％。本实施例将行驶一段路程所需的时间段分割为多个时间段，并根据每个时间段中的交通上下文(即，在当前时刻之前和在当前时候之后的与交通环境相关的信息)确定每个时间段内的驾驶模式的风险值，从而能够更加客观地识别风险。

上述确定一个时间段的方式仅是举例说明，车端装置410还可以通过其它方法确定一个时间段，例如，根据路程和速度确定行驶一段距离所需的时间，该段时间即为S910所述的“一个时间段”；再例如，在当前时刻确定第一时刻和第二时刻，从而确定了S910所述的“一个时间段”。

上述实施例可以确定自动驾驶模式和/或人工驾驶模式的风险值，其中，自动驾驶模式包括影子驾驶模式，基于影子驾驶模式的风险值评估自动驾驶系统的安全性是本申请提供的自动驾驶安全评估方法能够取得相比于现有技术更好的技术效果的一个重要因素。

影子驾驶模式的目的是在人工驾驶模式下，通过系统后台运行的软件和硬件生成模拟的自动驾驶控车轨迹，识别自动驾驶系统潜在的风险，从而进一步识别自动驾驶系统的隐患，并累计安全评估所需数据。

要达到以上目的，一大难点在于车辆在人工驾驶模式下，自动驾驶模块并不能真正控制车辆，影子轨迹如何逼近自动驾驶系统的真实风险水平。

直接基于传感器的感知数据生成的自动驾驶控车轨迹无法代表自动驾驶系统的真实风险水平，会造成自动驾驶安全评估结果失真。

图10示出了一种自动驾驶控车轨迹的示意图。虚线箭头表示人工驾驶模式下车辆的实际轨迹，实线箭头表示根据传感器的感知数据模拟的自动驾驶轨迹，由于感知数据指示左侧车道有车，因此自动驾驶系统会模拟出继续沿原车道前行的轨迹，实际上，车辆并未沿原车道行驶，而是进行了变道，上述根据传感器的感知数据模拟的自动驾驶轨迹不能反映真实的驾驶情况，导致基于轨迹的自动驾驶安全评估结果失真。

下面将详细介绍本申请提供的影子驾驶模式如何解决上述结果失真的问题。

作为一个可选的实施方式，在S920之前，方法900还包括：

S901，确定车辆在第一时刻的位置和运动参数，其中，车辆在第一时刻基于人工驾驶模式行驶。

S902，根据车辆在第一时刻的位置和运动参数预测车辆在第三时刻的位置，第三时刻晚于第一时刻。

S903，根据第一时刻的位置和第三时刻的位置预测车辆从第一时刻的位置到第三时刻的位置的影子驾驶模式，影子驾驶模式为基于车辆处于人工驾驶模式下的位置和运动参数预测的车辆的自动驾驶模式。

其中，S920包括：

S921，在当前时刻根据风险场景对应的风险识别方式确定r_a、r_b和r_c，其中，r_a为所述时间段内人工驾驶模式的风险，r_b为所述时间段内影子驾驶模式的风险，r_c为所述时间段内基于预设路线的自动驾驶模式的风险。

车辆可以根据该车辆在第一时刻的位置和运动参数预测未来一段时间后车辆的位置，即，预测车辆在第三时刻的位置，其中，车辆在第一时刻处于人工驾驶状态，随后，车辆预测该车辆从第一时刻的位置到第三时刻的位置的影子驾驶模式。上述实施例根据人工驾驶模式下的位置和运动参数不断修正自动驾驶的路线，使得自动驾驶模式的路线更加接近人工驾驶模式的路线，从而可以获取更加客观的自动驾驶风险数据。

上述第三时刻可以是S920所述的当前时刻，也可以是第二时刻，还可以是第二时刻之后的一个时刻。

图11示出了本申请提供的一种影子驾驶模式的流程图。

在司机驾驶汽车时，影子驾驶模块414在第一时刻根据车辆的运动参数(例如，速度和加速度)识别司机的驾驶意图，即，S901～S903所述的内容，随后将识别到的司机驾驶意图作为影子驾驶模式414的输入信息生成影子轨迹，从而提高了影子轨迹与司机控车轨迹的重合度。

上述司机的驾驶意图包括但不限于：沿当前车道行驶、转弯和换道中的至少一种。

图12示出了本申请提供的一种识别司机意图的方法的流程图。

从T时刻(相当于第一时刻)开始，至T+1时刻(相当于第三时刻)为止，若自车轨迹完整跨越车道线，则判定司机的驾驶意图为换道。

从T时刻开始，至T+1时刻为止，若自车轨迹沿左拐或右拐车道，完成转弯轨迹；或者，在T时刻之前与T时刻相邻的一段时间内偏航角速度(YawRate)持续大于角速度阈值，则判定司机的驾驶意图为转弯。

从T时刻开始，至T+1时刻为止，若自车轨迹未完整跨越当前车道，则判定司机的驾驶意图为沿当前车道行驶，其中，道内避障、让行前车以及跟随前车等行为均属于沿当前车道行驶。

上述实施例利用当前信息预测未来时刻的信息，并利用预测的未来时刻的信息判定当前司机的驾驶意图，由此消除了根据传感器的感知数据判定司机意图导致的偏差。

图13示出了本申请提供的基于影子驾驶模式预测影子轨迹的示意图。

图13所示的影子轨迹与司机控车轨迹大致相同，但略有差异，根据司机控车轨迹与影子轨迹分别得到不同的风险值，通过该风险值的差异可评估人工驾驶模式与自动驾驶模式哪个更加安全。

例如，当司机驾驶意图为风险意图(例如，侵略性的切入)时，若此时影子驾驶模块414正确识别到风险，则不产生符合司机驾驶意图的影子轨迹，而选择更安全的决策(例如，保持车道内顺行)生成影子轨迹。通过对影子轨迹与真实控车结果的风险识别，可以得到司机的危险意图场景，以及此时影子轨迹做出的更安全的决策(或相反)。

在较短的时间片段内，例如3s内，由于司机驾驶和影子轨迹大致相同，可近似为自动驾驶系统闭环控制，此时影子轨迹造成的风险场景，与真实系统控车时可能造成的风险场景类似。图11所示的计算影子轨迹步骤计算出的影子轨迹风险值的示意图如图14所示。

图14中，实线表示按照S611～S614计算的司机控车轨迹得到的风险值，虚线为按照S611～S614计算的每一个时间片段(例如，第一时刻至第三时刻的时间段)对应的影子轨迹的风险值。

示例1中，司机控车轨迹未产生风险(r_a等于0)，而影子轨迹产生了新的风险(r_b大于0)，导致风险指标从安全区域(r＝0)落入风险区域(0<r<1)，由此可识别出引起风险的自动驾驶系统的隐患，即，识别出图2的F区所示的“未知隐患”(斜线部分)。

示例2中，司机控车轨迹持续落入风险区域，而影子轨迹从风险区域回到安全区域，说明通过系统的模拟控车，降低了行车风险，该数据可作为自动驾驶系统安全性能优于司机控车的一个证据。

示例3中，司机控车轨迹和影子控车轨迹均持续落入风险区域，但影子轨迹的风险值小于司机控车，说明通过自动驾驶系统的模拟控车降低了驾驶风险，该数据可作为自动驾驶系统安全性能优于司机控车的一个证据。

上述三个示例中的数据均可作为方法600进行自动驾驶安全评估所使用的数据。

由图12至图14所示的内容可知，由于影子轨迹生成方法与自动驾驶控车算法一致；影子轨迹的风险计算方法和自动驾驶/司机驾驶轨迹风险计算方法一致，从而可以保证影子轨迹的风险代表自动驾驶系统的风险。

在评估自动驾驶系统的安全性时，作为一个可选的实施方式，方法900还包括：

S930，向安全中心发送r_a、r_b和r_c，r_a、r_b和r_c用于评估人工驾驶模式和影子驾驶模式的安全性。

车辆获取r_a、r_b或r_c后可以向安全中心发送上述风险数据，用于安全中心评估人工驾驶模式和影子驾驶模式的安全性，减小了车载处理器的工作负担。上述安全中心例如是云端装置420。

对于自动驾驶汽车来说，评估其自动驾驶模式的安全性是一个长期的过程，即使自动驾驶模式的安全性评估通过，也不意味着自动驾驶模式百分之百安全，因此，有必要设计一种即时控制风险的方案，即，通过风险控制模块416减小或者消除风险。

图15示出了本申请提供的一种风险控制的方法的示意性流程图。

如图15所示，风险场景数据包括但不限于传感器411获取的感知数据、自动驾驶模块413生成的轨迹和影子驾驶模块414生成的轨迹中的至少一个，风险识别模块415根据上述风险场景数据确认当前场景是否为风险场景，若风险识别模块415确认当前场景为非风险场景，且事后发现该当前场景实际为风险场景，则可以调整风险识别机制，例如，调整风险识别阈值参数，修改风险识别算法等。若风险识别模块415确认当前场景为风险场景，且判断该风险场景是否为自动驾驶系统的隐患导致，则风险识别模块415向风险策略模块421上报风险场景，风险策略模块421向风险控制模块416发送策略更新信息，更新车端装置410的风险控制策略，将风险场景排除在安全场景围栏之外。

作为一个可选的实施方式，方法900还包括：

S940，接收安全中心发送的安全场景信息，所述安全场景信息用于指示自动驾驶模式的安全驾驶交通场景集合。

S950，根据安全场景信息确定自动驾驶模式的安全驾驶交通场景集合。

S960，若当前交通场景不属于安全驾驶交通场景集合，车辆播放和/或显示提示司机进行人工驾驶的提示信息，和/或，车辆执行安全停靠处理。

上述安全驾驶交通场景集合也可称为安全驾驶场景围栏，由环境、静态场景、动态场景、自车行为构成。在一种技术方案中，场景围栏的定义如图16所示。

图16中，圆括号内的内容为自动驾驶系统的安全驾驶场景围栏所包含的内容。云端装置420根据识别的自动驾驶系统隐患及时发送安全场景信息，更新安全驾驶场景围栏的内容。在车端装置410，风险控制模块416根据地图输入、实时感知结果获得场景围栏各要素的识别结果，并根据云端装置420发送的安全场景信息更新安全驾驶场景围栏的围内容，在自动驾驶模块413控车行驶过程中，若风险控制模块416确定当前场景超出安全驾驶场景围栏范围，则提醒司机接管，或将车辆控制至安全地带停车。

在图16所示的一个示例(方括号中的内容)中，一个风险事件是由于路口宽度大于20m，导致系统无法准确识别某一类型的红绿灯，造成潜在风险，则在更新的安全驾驶场景围栏中，路口宽度小于20m。当车辆行驶再次行驶至路口宽度大于或等于20m的路口时，则自动驾驶系统采取保守的控制策略(例如，提示司机或靠边停车)。

在图16所示的另一个示例(方括号中的内容)中，一个风险事件是由于自动驾驶系统无法及时测量低速车辆的速度，造成潜在风险，则在更新的安全驾驶场景围栏中，动态场景的车流速度适用值为10～50千米每小时(kph)。当自动驾驶系统检测到当前车流小于10kph时，则自动驾驶系统提示司机接管汽车，或平缓靠边停车。

此外，还可调整司机在环策略，例如调整提醒间隔等。

上文详细介绍了本申请提供的评估自动驾驶安全性和确定车辆的驾驶风险的方法的示例。可以理解的是，车端装置和云端装置为了实现上述功能，其包含了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，本申请能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

本申请可以根据上述方法示例对车端装置和云端装置进行功能单元的划分，例如，可以对应各个功能划分各个功能单元，也可以将两个或两个以上的功能集成在一个处理单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。需要说明的是，本申请中对单元的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。

在采用集成的单元的情况下，图17示出了上述实施例中所涉及的车端装置的一种可能的结构示意图。车端装置1700包括：处理单元1702和通信单元1703。处理单元1702用于对车端装置1700的动作进行控制管理，例如，处理单元1702用于支持车端装置1700执行S620和/或用于本文所描述的技术的其它过程。通信单元1703用于支持车端装置1700与云端装置的通信。车端装置1700还可以包括存储单元1701，用于存储车端装置1700的程序代码和数据。

在一个可选的实施例中，处理单元1702用于执行S610～S630，其中，当处理单元1702执行S610时，处理单元1702也可称为获取单元1702。存储单元1701需要存储处理单元1702在执行上述步骤的过程中产生的中间数据，中间数据例如是r_b和r_c，以便于处理单元1702根据多个计量单位内的影子驾驶模式的风险值和基于预设路线的自动驾驶模式的风险值确定车辆的自动驾驶模式的安全性是否符合要求。

在另一个可选的实施例中，处理单元1702用于执行S610，并控制通信单元1703向云端设备发送r_b和r_c，以便于云端设备执行S620～S630。

在第三个可选的实施例中，处理单元1702用于控制通信单元1703向云端设备发送用于计算r_b和r_c的原始数据(例如，传感器数据)，以便于云端设备执行S610～S630。

在第四个可选的实施例中，处理单元1702用于执行S910和S920，可选地，处理单元1702用于控制通信单元1703执行S930。

处理单元1702可以是处理器或控制器，例如可以是中央处理器(centralprocessing unit，CPU)，通用处理器，数字信号处理器(digital signal processor，DSP)，专用集成电路(application-specific integrated circuit，ASIC)，现场可编程门阵列(field programmable gate array，FPGA)或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。所述处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等等。通信单元1703可以是收发器等。存储单元1701可以是存储器。

当处理单元1702为处理器，通信单元1703为收发器，存储单元1701为存储器时，本申请所涉及的车端装置可以为图18所示的车端装置1800。

参阅图18所示，该车端装置1800包括：处理器1802、收发器1803、存储器1801。其中，收发器1803、处理器1802以及存储器1801可以通过内部连接通路相互通信，传递控制和/或数据信号。

本领域的技术人员可以清楚地了解到，为了描述的方便和简洁，上述描述的装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在采用集成的单元的情况下，图19示出了上述实施例中所涉及的云端装置的一种可能的结构示意图。云端装置1900包括：处理单元1902和通信单元1903。处理单元1902用于对云端装置1900的动作进行控制管理，例如，处理单元1902用于支持云端装置1900执行S620和/或用于本文所描述的技术的其它过程。通信单元1903用于支持云端装置1900与车端装置的通信。云端装置1900还可以包括存储单元1901，用于存储云端装置1900的程序代码和数据。

在一个可选的实施例中，处理单元1902用于控制通信单元1903执行S610，即，从车端装置接收r_b和r_c，此时，通信单元1903也可称为获取单元1903，处理单元1902还用于执行S620～S641。存储单元1901需要存储处理单元1902在执行上述步骤的过程中产生的中间数据，中间数据例如是r_b和r_c，以便于处理单元1902根据多个计量单位内的影子驾驶模式的风险值和基于预设路线的自动驾驶模式的风险值确定车辆的自动驾驶模式的安全性是否符合要求。

在另一个可选的实施例中，处理单元1902用于控制通信单元1903从车端装置接收用于计算r_b和r_c的原始数据(例如，传感器数据)，处理单元1902还用于根据通信单元1903接收的原始数据得到r_b和r_c，此时，处理单元1902也可以称为获取单元1902，处理单元1902还用于执行S620～S641，存储单元1901需要存储处理单元1902在执行上述步骤的过程中产生的中间数据，中间数据例如是r_b和r_c，以便于处理单元1902根据多个计量单位内的影子驾驶模式的风险值和基于预设路线的自动驾驶模式的风险值确定车辆的自动驾驶模式的安全性是否符合要求。

在第三个可选的实施例中，处理单元1902用于执行S910和S920，可选地，处理单元1902用于控制通信单元1903执行S930。

处理单元1902可以是处理器或控制器，例如可以是CPU，通用处理器，DSP，ASIC，FPGA或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。所述处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等等。通信单元1903可以是收发器等。存储单元1901可以是存储器。

当处理单元1902为处理器，通信单元1903为收发器，存储单元1901为存储器时，本申请所涉及的云端装置可以为图20所示的云端装置2000。

参阅图20所示，该云端装置2000包括：处理器2002、收发器2003、存储器2001。其中，收发器2003、处理器2002以及存储器2001可以通过内部连接通路相互通信，传递控制和/或数据信号。

本申请还提供一种评估自动驾驶安全性的系统，其包括前述的一个或多个车端装置，和，一个或多个云端装置。

应理解，本申请中的处理器可以是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法实施例的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器、数字信号处理器(digital signalprocessor，DSP)、专用集成电路(application specific integrated circuit，ASIC)、现场可编程门阵列(field programmable gate array，FPGA)或者其它可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本申请各实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。

可以理解，本申请实施例中的存储器可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(read-only memory，ROM)、可编程只读存储器(programmable ROM，PROM)、可擦除可编程只读存储器(erasable PROM，EPROM)、电可擦除可编程只读存储器(electrically EPROM，EEPROM)或闪存。易失性存储器可以是随机存取存储器(random access memory，RAM)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(static RAM，SRAM)、动态随机存取存储器(dynamic RAM，DRAM)、同步动态随机存取存储器(synchronous DRAM，SDRAM)、双倍数据速率同步动态随机存取存储器(double data rateSDRAM，DDR SDRAM)、增强型同步动态随机存取存储器(enhanced SDRAM，ESDRAM)、同步连接动态随机存取存储器(synchlink DRAM，SLDRAM)和直接内存总线随机存取存储器(directrambus RAM，DR RAM)。应注意，本文描述的系统和方法的存储器旨在包括但不限于这些和任意其它适合类型的存储器。

本申请还提供了一种计算机可读介质，其上存储有计算机程序，该计算机程序被计算机执行时实现上述任一方法实施例的功能。

本申请还提供了一种计算机程序产品，该计算机程序产品被计算机执行时实现上述任一方法实施例的功能。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(digital subscriber line，DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质(例如，软盘、硬盘、磁带)、光介质(例如，高密度数字视频光盘(digital video disc，DVD))、或者半导体介质(例如，固态硬盘(solid state disk，SSD))等。

本申请还提供了一种处理装置，包括处理器和接口；所述处理器，用于执行上述任一方法实施例所描述的步骤。

应理解，上述处理装置可以是一个芯片，所述处理器可以通过硬件来实现也可以通过软件来实现，当通过硬件实现时，该处理器可以是逻辑电路、集成电路等；当通过软件来实现时，该处理器可以是一个通用处理器，通过读取存储器中存储的软件代码来实现，改存储器可以集成在处理器中，可以位于所述处理器之外，独立存在。

应理解，说明书通篇中提到的“实施例”意味着与实施例有关的特定特征、结构或特性包括在本申请的至少一个实施例中。因此，在整个说明书各个实施例未必一定指相同的实施例。此外，这些特定的特征、结构或特性可以任意适合的方式结合在一个或多个实施例中。应理解，在本申请的各种实施例中，上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。

另外，本文中术语“系统”和“网络”在本文中常被可互换使用。本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

应理解，在本申请实施例中，“与A相应的B”表示B与A相关联，根据A可以确定B。但还应理解，根据A确定B并不意味着仅仅根据A确定B，还可以根据A和/或其它信息确定B。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口、装置或单元的间接耦合或通信连接，也可以是电的，机械的或其它的形式连接。

作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本申请实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以是两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到本申请可以用硬件实现，或固件实现，或它们的组合方式来实现。当使用软件实现时，可以将上述功能存储在计算机可读介质中或作为计算机可读介质上的一个或多个指令或代码进行传输。计算机可读介质包括计算机存储介质和通信介质，其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是计算机能够存取的任何可用介质。以此为例但不限于：计算机可读介质可以包括RAM、ROM、EEPROM、CD-ROM或其他光盘存储、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质。此外。任何连接可以适当的成为计算机可读介质。例如，如果软件是使用同轴电缆、光纤光缆、双绞线、数字用户线(DSL)或者诸如红外线、无线电和微波之类的无线技术从网站、服务器或者其他远程源传输的，那么同轴电缆、光纤光缆、双绞线、DSL或者诸如红外线、无线和微波之类的无线技术包括在所属介质的定影中。如本申请所使用的，盘(Disk)和碟(disc)包括压缩光碟(CD)、激光碟、光碟、数字通用光碟(DVD)、软盘和蓝光光碟，其中盘通常磁性的复制数据，而碟则用激光来光学的复制数据。上面的组合也应当包括在计算机可读介质的保护范围之内。

总之，以上所述仅为本申请技术方案的实施例而已，并非用于限定本申请的保护范围。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims

1.一种自动驾驶安全评估的方法，其特征在于，包括：

获取r_b和r_c，其中，r_b为第一计量单位内车辆的影子驾驶模式的风险值，r_c为所述第一计量单位内所述车辆基于预设路线的自动驾驶模式的风险值，所述影子驾驶模式为所述车辆基于实时路线的自动驾驶模式，所述实时路线为根据处于人工驾驶模式的所述车辆的位置和运动参数预测的路线，所述第一计量单位为时间段或路程；

根据r_b确定R_B，R_B为所述车辆在多个计量单位内的影子驾驶模式的风险值，所述多个计量单位包括所述第一计量单位；

根据r_c确定R_C，R_C为所述车辆在所述多个计量单位内的基于预设路线的自动驾驶模式的风险值；

其中，R_B和R_C用于确定所述车辆的自动驾驶模式的安全性是否符合要求。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

计算R_B与R_C之和；

当所述R_B与R_C之和小于或等于自动驾驶风险阈值时，确定所述车辆的自动驾驶模式的安全性符合要求。

3.根据权利要求2所述的方法，其特征在于，所述自动驾驶风险阈值为a(R_A+R′_A)，其中，a为风险容忍系数，R_A为所述车辆在所述多个计量单位内的人工驾驶的模式的风险值，所述车辆在所述多个计量单位内通过的路段为第一路段，R′_A为所述车辆在所述多个计量单位之外基于人工驾驶模式通过所述第一路段的风险值。

4.根据权利要求1至3中任一项所述的方法，其特征在于，所述根据r_b确定R_B，以及所述根据r_c确定R_C，包括：

根据确定R_B或R_C，其中，event表示风险场景，s_event表示所述风险场景中事故的严重程度的系数，X表示所述多个计量单位，当r_i表示r_b时，R_i表示R_B，当r_i表示r_c时，R_i表示R_C。

5.根据权利要求1至4中任一项所述的方法，其特征在于，所述获取r_b和r_c，包括：

当风险场景为碰撞场景时，根据下列参数中的至少一个确定r_b和r_c：所述车辆相对于碰撞物的速度Δv、基于所述碰撞物的运动轨迹预估的所述车辆与所述碰撞物发生碰撞所需的时间TTC、基于所述车辆与所述碰撞物之间的距离预估的所述车辆的刹车时间THW、以及所述车辆与所述碰撞物之间的距离，其中，Δv与r_b或r_c正相关，TTC与r_b或r_c负相关，THW与r_b或r_c负相关，所述车辆与所述碰撞物之间的距离与r_b或r_c负相关。

6.根据权利要求5所述的方法，其特征在于，

所述根据下列参数中的至少一个确定r_b和r_c：所述车辆相对于碰撞物的速度Δv、基于所述碰撞物的运动轨迹预估的所述车辆与所述碰撞物发生碰撞所需的时间TTC、基于所述车辆与所述碰撞物之间的距离预估的所述车辆的刹车时间THW、以及所述车辆与所述碰撞物之间的距离，包括：

根据r_SG1＝f(t)_max确定r_b和r_c，r_SG1为碰撞场景中的r_b或r_c，其中，t∈{t_event,h(t_event,obj)＝1}，f(t)＝Δv(t)·exp(-min{r₀TTC(t),r₁THW(t),r₂s})，{t_event,h(t_event,obj)＝1}表示发生碰撞风险的时间段，TTC(t)表示t时刻的TTC，THW(t)表示t时刻的THW，r₀、r₁和r₂分别为归一化参数，v为t时刻所述车辆的速度，Δv(t)为t时刻的Δv，exp为以自然常数为底的指数，s表示所述车辆与所述碰撞物之间的距离。

7.根据权利要求1至4中任一项所述的方法，其特征在于，所述获取r_b和r_c，包括：

当风险场景为交通信号灯场景时，根据所述车辆的速度以及所述车辆到交通信号灯的距离确定r_b和r_c，其中，所述车辆的速度与r_b或r_c正相关，所述车辆到交通信号灯的距离与r_b或r_c负相关。

8.根据权利要求7所述的方法，其特征在于，

所述根据所述车辆的速度以及所述车辆与交通信号灯的距离确定r_b和r_c，包括：

根据r_SG2＝f(t)_max确定r_b和r_c，r_SG2为交通信号灯场景中的r_b或r_c，其中，t∈{t_event,h(t_event,Light)＝1}，r₃为归一化参数，{t_event,h(t_event,Light)＝1}表示交发生违反交通信号灯风险的时间段，v(t)表示所述车辆在t时刻的速度，g为重力加速度常数，s(t)表示t时刻所述车辆到交通信号灯的距离。

9.根据权利要求1至4中任一项所述的方法，其特征在于，所述获取r_b和r_c，包括：

当风险场景为冲出道路边界场景时，根据预估的所述车辆冲出车道时间确定r_b和r_c，其中，所述预估的所述车辆冲出车道时间与r_b或r_c负相关。

10.根据权利要求9所述的方法，其特征在于，所述根据预估的所述车辆冲出车道时间确定r_b和r_c，包括：

根据确定r_b和r_c，r_SG3为冲出道路边界场景中的r_b或r_c，其中，TLC_threshold表示所述车辆冲出道路所需时间的临界值，e为自然常数，t_lc为所述预估的所述车辆冲出车道时间，y为所述车辆在道路边界的横向偏移量，W_road为道路的宽度，v_long为所述车辆的纵向速度，v_lat为所述车辆的横向速度，φ-φ_d表示所述车辆的航向与道路切线方向的夹角，r₄为归一化参数。

11.根据权利要求1至4中任一项所述的方法，其特征在于，所述获取r_b和r_c，包括：

当风险场景为横向加速度行驶场景时，根据下列参数中的至少一个确定r_b和r_c：所述车辆的纵向加速度、所述车辆的横向加速度以及所述车辆的速度，其中，所述车辆的纵向加速度与r_b或r_c正相关，所述车辆的横向加速度与r_b或r_c正相关，所述车辆的速度与r_b或r_c正相关。

12.根据权利要求11所述的方法，其特征在于，所述根据下列参数中的至少一个确定r_b和r_c：所述车辆的纵向加速度、所述车辆的横向加速度以及所述车辆的速度，包括：

根据r_SG4＝r₅确定r_b和r_c，r_SG4为非常规行驶场景中的r_b或r_c，其中，(|a_lo_ng|>a_threshold1)||(|a_lat|>a_threshold2)||(v≥v_safe)，a_long表示所述车辆的纵向加速度，a_lat表示所述车辆的横向加速度，a_threshold1表示安全行驶状态下横向加速度的阈值，a_threshold2表示安全行驶状态下纵向加速度的阈值，v表示所述车辆的速度，v_safe表示安全行驶状态下的速度阈值，r₅为归一化参数。

13.一种自动驾驶安全评估的装置，其特征在于，包括处理单元和获取单元，

所述获取单元用于获取r_b和r_c，其中，r_b为第一计量单位内车辆的影子驾驶模式的风险值，r_c为所述第一计量单位内所述车辆基于预设路线的自动驾驶模式的风险值，所述影子驾驶模式为所述车辆基于实时路线的自动驾驶模式，所述实时路线为根据处于人工驾驶模式的所述车辆的位置和运动参数预测的路线，所述第一计量单位为时间段或路程；

所述处理单元用于根据所述获取单元获取的r_b确定R_B，R_B为所述车辆在多个计量单位内的影子驾驶模式的风险值，所述多个计量单位包括所述第一计量单位；

所述处理单元还用于根据所述获取单元获取的根据r_c确定R_C，R_C为所述车辆在所述多个计量单位内的基于预设路线的自动驾驶模式的风险值；

14.根据权利要求13所述的装置，其特征在于，所述处理单元还用于：

计算R_B与R_C之和；

15.根据权利要求14所述的装置，其特征在于，所述自动驾驶风险阈值为a(R_A+R′_A)，其中，a为风险容忍系数，R_A为所述车辆在所述多个计量单位内的人工驾驶的模式的风险值，所述车辆在所述多个计量单位内通过的路段为第一路段，R′_A为所述车辆在所述多个计量单位之外基于人工驾驶模式通过所述第一路段的风险值。

16.根据权利要求13至15中任一项所述的装置，其特征在于，所述处理单元具体用于：

17.根据权利要求13至16中任一项所述的装置，其特征在于，所述获取单元具体用于：

18.根据权利要求17所述的装置，其特征在于，所述获取单元具体还用于：

19.根据权利要求13至16中任一项所述的装置，其特征在于，所述获取单元具体用于：

20.根据权利要求19所述的装置，其特征在于，所述获取单元具体还用于：

21.根据权利要求13至16中任一项所述的装置，其特征在于，所述获取单元具体用于：

22.根据权利要求21所述的装置，其特征在于，所述获取单元具体还用于：

23.根据权利要求13至16中任一项所述的装置，其特征在于，所述获取单元具体用于：

24.根据权利要求23所述的装置，其特征在于，所述获取单元具体还用于：

根据r_SG4＝r₅确定r_b和r_c，r_SG4为非常规行驶场景中的r_b或r_c，其中，(|a_long|>a_threshold1)||(|a_lat|>a_threshold2)||(v≥v_safe)，a_long表示所述车辆的纵向加速度，a_lat表示所述车辆的横向加速度，a_threshold1表示安全行驶状态下横向加速度的阈值，a_threshold2表示安全行驶状态下纵向加速度的阈值，v表示所述车辆的速度，v_safe表示安全行驶状态下的速度阈值，r₅为归一化参数。

25.一种确定车辆驾驶风险的方法，其特征在于，所述方法包括：

确定一个时间段内车辆的驾驶模式和风险场景，所述时间段的起始点为第一时刻，所述时间段的终点为第二时刻，所述驾驶模式包括自动驾驶模式和/或人工驾驶模式；

在当前时刻根据风险场景对应的风险识别方式确定所述时间段内所述驾驶模式的风险值，其中，所述当前时刻位于所述第一时刻之后，且所述当前时刻位于所述第二时刻之前。

26.根据权利要求25所述的方法，其特征在于，

所述在当前时刻根据风险场景对应的风险识别方式确定所述时间段内所述驾驶模式的风险值之前，所述方法还包括：

确定所述车辆在所述第一时刻的位置和运动参数，其中，车辆在所述第一时刻基于人工驾驶模式行驶；

根据所述车辆在第一时刻的位置和运动参数预测车辆在第三时刻的位置，所述第三时刻晚于所述第一时刻；

根据所述第一时刻的位置和所述第三时刻的位置预测所述车辆从所述第一时刻的位置到所述第三时刻的位置的影子驾驶模式，所述影子驾驶模式为基于所述车辆处于人工驾驶模式下的位置和运动参数预测的所述车辆的自动驾驶模式；

所述在当前时刻根据所述风险场景对应的风险识别方式确定所述时间段内所述驾驶模式的风险值，包括：

在所述当前时刻根据所述风险场景对应的风险识别方式确定r_a、r_b和r_c，其中，r_a为所述时间段内所述人工驾驶模式的风险值，r_b为所述时间段内所述影子驾驶模式的风险值，r_c为所述时间段内基于预设路线的自动驾驶模式的风险值。

27.一种确定车辆驾驶风险的装置，其特征在于，所述装置包括处理单元和存储单元，所述存储单元存储了计算机程序代码，当所述计算机程序代码被所述处理单元或执行时，所述处理单元用于：

28.根据权利要求27所述的装置，其特征在于，

所述在当前时刻根据风险场景对应的风险识别方式确定所述时间段内所述驾驶模式的风险值之前，所述处理单元还用于：

所述处理单元具体用于：

29.一种自动驾驶安全评估系统，其特征在于，包括风险控制模块、风险策略模块和安全评估模块，

所述风险控制模块用于执行权利要求1至12中任一项所述的方法，确定自动驾驶模式的风险；

所述风险策略模块用于根据所述风险控制模块确定的所述自动驾驶模式的风险确定风险控制策略，所述风险控制策略用于减小或消除所述自动驾驶模式的风险；

所述安全评估策略用于根据所述风险控制模块确定的所述自动驾驶模式的风险评估所述自动驾驶模式的安全性。

30.一种自动驾驶安全评估系统，其特征在于，包括风险控制模块、风险策略模块和安全评估模块，

所述风险控制模块用于执行权利要求25或26所述的方法，确定自动驾驶模式的风险；

31.一种可读存储介质，包括程序或指令，当所述程序或指令在计算机上运行时，如权利要求1至12中任意一项所述的方法被执行。

32.一种可读存储介质，包括程序或指令，当所述程序或指令在计算机上运行时，如权利要求25或26所述的方法被执行。