CN111874001B - 自动驾驶汽车的安全控制方法、电子设备及存储介质 - Google Patents

Abstract

本申请公开了一种自动驾驶汽车的安全控制方法、电子设备及存储介质，涉及自动驾驶技术领域。具体实现方案为：若检测到自动驾驶汽车在行驶中出现故障时，获取当前故障信息；确定所述当前故障信息对应的故障等级；根据所述故障等级对应的控制方案，控制车辆进行安全停止。本申请可以在车辆出现故障时，智能化地控制车辆的安全停止，与现有技术的方案相比，降低了无人驾驶汽车对人的依赖性，能够实现基于不同故障等级的控制方案，控制车辆进行安全停止，有效地提高了无人驾驶汽车的智能性。

Description

自动驾驶汽车的安全控制方法、电子设备及存储介质

技术领域

本申请涉及计算机技术，尤其涉及自动驾驶技术，具体涉及一种自动驾驶汽车的安全控制方法、电子设备及存储介质。

背景技术

自动驾驶汽车(Autonomous vehicles；Self-driving automobile)又称无人驾驶汽车、电脑驾驶汽车、或轮式移动机器人，是一种通过电脑系统实现无人驾驶的智能汽车。

自动驾驶汽车的车载控制设备依靠人工智能、视觉计算、雷达、监控装置和全球定位系统协同合作，可以在没有任何人类主动的操作下，自动安全地操作机动车辆。但是，车辆在行驶过程中，自动驾驶汽车的硬件、软件或者车载各部件之间的通信网络难免会出现故障，直接影响车辆的安全行驶，此时现有技术的方案中，由车载控制设备报给车上的安全员，由安全员接管车辆。

但是，上述由安全员接管车辆的行驶，导致无人驾驶汽车对安全员的依赖程度较大，降低了无人驾驶汽车的智能性。

发明内容

为了解决上述技术问题，本申请提供了一种用于自动驾驶汽车的安全控制方法、电子设备及存储介质。

根据第一方面，提供了一种自动驾驶汽车的安全控制方法，包括：

若检测到自动驾驶汽车在行驶中出现故障时，获取当前故障信息；

确定所述当前故障信息对应的故障等级；

根据所述故障等级对应的控制方案，控制车辆进行安全停止。…。

根据第二方面，提供了一种自动驾驶汽车的安全控制装置，包括：

故障信息获取单元，用于若检测到自动驾驶汽车在行驶中出现故障时，获取当前故障信息；

确定单元，用于确定所述当前故障信息对应的故障等级；

控制单元，用于根据所述故障等级对应的控制方案，控制车辆进行安全停止。

根据第三方面，提供了自动驾驶汽车的车载控制设备，其中，所述自动驾驶汽车的车载控制设备包括主设备和冗余设备，通过心跳消息互相监控对侧的故障；

所述主设备和所述冗余设备中分别设置有第一安全控制装置和第二安全控制装置；

所述第一安全控制装置和/或第二安全控制装置，用于：

若检测到自动驾驶汽车在行驶中出现故障时，获取当前故障信息；

确定所述当前故障信息对应的故障等级；

根据所述故障等级对应的控制方案，控制车辆进行安全停止。

根据第四方面，提供了一种电子设备，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行如上所述的方法。

根据第五方面，提供了一种存储有计算机指令的非瞬时计算机可读存储介质，所述计算机指令用于使所述计算机执行如上所述的方法。

根据第六方面，提供了一种计算机程序产品，包括计算机程序，所述计算机程序在被处理器执行时实现如上所述的方法。

根据本申请的技术，可以在车辆出现故障时，智能化地控制车辆的安全停止，与现有技术的方案相比，降低了无人驾驶汽车对人的依赖性，能够实现基于不同故障等级的控制方案，控制车辆进行安全停止，有效地提高了无人驾驶汽车的智能性。

应当理解，本部分所描述的内容并非旨在标识本公开的实施例的关键或重要特征，也不用于限制本公开的范围。本公开的其它特征将通过以下的说明书而变得容易理解。

附图说明

附图用于更好地理解本方案，不构成对本申请的限定。其中：

图1是根据本申请第一实施例的示意图；

图2是根据本申请第二实施例的示意图；

图3是本申请的自动驾驶汽车的安全控制方法的应用架构图。

图4是根据本申请第三实施例的示意图；

图5是根据本申请第四实施例的示意图；

图6是用来实现本申请实施例的自动驾驶汽车的安全控制方法的电子设备的框图。

具体实施方式

以下结合附图对本申请的示范性实施例做出说明，其中包括本申请实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本申请的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

图1是根据本申请第一实施例的示意图；如图1所示，本实施例提供一种自动驾驶汽车的安全控制方法，用于实现在自动驾驶汽车出现故障时，控制车辆的安全停止，具体可以包括如下步骤：

S101、若检测到自动驾驶汽车在行驶中出现故障时，获取当前故障信息；

S102、确定当前故障信息对应的故障等级；

S103、根据故障等级对应的控制方案，控制车辆进行安全停止。

本实施例的自动驾驶汽车的安全控制方法的执行主体可以为自动驾驶汽车的安全控制装置，该安全控制装置具体可以设置在无人驾驶汽车中的车载控制设备中，以控制车辆的安全行驶。

例如，本实施例的车载控制设备可以包括定位模块、感知模块、预测模块、决策模块、控制模块、控制器局域网络(Controller Area Network；CAN)驱动模块以及安全模块。例如，该安全控制装置具体可以设置在安全模块内，通过安全模块来实现其功能。

本实施例的自动驾驶汽车的安全控制装置可以实时检测自动驾驶汽车在行驶中是否出现故障，若检测到出现故障时，获取故障信息。例如本实施例的故障信息，具体指的是哪个部件的故障，或者是什么原因的故障。不同的故障，严重程度不同，应对的控制方案也必然不相同。例如，不严重的故障，例如不影响车辆的行驶的故障，可以控制车辆进行缓刹，以保证车辆上的乘客的乘坐体验。而对于影响到车辆行驶的故障，存在非常大的安全性隐患，这种故障非常严重，此时车辆以及道路上的行人及车辆的安全性为首要考虑的，需要立即控制车辆进行急刹。因此，本实施例中获取到故障信息之后，可以确定该故障信息对应故障等级；并进一步基于故障等级对应的控制方案，控制车辆进行安全停止。也就是说，本实施例中，可以基于不同的故障等级，采用不同的控制方案，控制车辆的安全停止，能够最大可能保证车辆及行人的安全，且还可以在车辆没有较大安全故障的情况下，也能够最大可能地保证车辆上的乘客的乘坐体验。

本实施例的自动驾驶汽车的安全控制方法，若检测到自动驾驶汽车在行驶中出现故障时，通过获取当前故障信息；确定当前故障信息对应的故障等级；根据故障等级对应的控制方案，控制车辆进行安全停止，可以在车辆出现故障时，智能化地控制车辆的安全停止，与现有技术的方案相比，降低了无人驾驶汽车对人的依赖性，能够实现基于不同故障等级的控制方案，控制车辆进行安全停止，有效地提高了无人驾驶汽车的智能性，更加符合无人驾驶汽车的L4界别的要求。

图2是根据本申请第二实施例的示意图；如图2所示，本实施例自动驾驶汽车的安全控制方法，在上述图1所示实施例的技术方案的基础上，进一步更加详细地介绍本申请的技术方案。本实施例自动驾驶汽车的安全控制方法，具体可以包括如下步骤：

S201、车载控制设备中的主设备的安全模块和冗余设备的安全模块同时检测自动驾驶汽车在行驶中是否出现故障；若检测到，执行步骤S202；否则继续检测；

本实施例中以上述图1所示实施例的自动驾驶汽车的安全控制装置集成分别集成在车载控制设备中的主设备的安全模块和冗余设备的安全模块中为例，来描述本申请的技术方案。

本实施例中以车载控制设备同时包括主设备和冗余设备为例，且主设备和冗余设备的结构可以完全相同。该主设备的安全模块和冗余设备的安全模块通过心跳消息互相监控对侧的故障。这样，冗余设备的安全模块可以通过主设备的心跳消息，监控到主设备中各模块是否都正常。同理，主设备的安全模块也可以通过冗余设备的心跳消息，监控到冗余设备中各模块是否都正常。

例如，图3是本申请的自动驾驶汽车的安全控制方法的应用架构图。下面以图3中的主设备为例，介绍车载控制设备中包括的主要功能模块。

例如，如图3所示，该主设备中可以包括定位模块、感知模块、预测模块、决策模块、控制模块、控制器局域网络(Controller Area Network；CAN)驱动模块以及安全模块。

其中，定位模块可以基于全球定位系统实现对车辆的当前位置进行定位。感知模块可以通过雷达和各种传感器对周围的环境进行检测，感知车辆周围的环境信息，包括周围的道路信息以及障碍物信息等等。预测模块可以基于感知到车辆周围的环境信息以及车辆的定位信息，对障碍物(如车辆或者行人)等进行运动轨迹预测。决策模块，在整个无人驾驶系统中，扮演者“驾驶员大脑”的角色，根据定位、感知及预测的信息，决定无人驾驶汽车的行驶策略，包括：选取哪条车道、是否换道、是否跟车行驶、是否绕行、是否停车等。控制模块包括转向、驱动、制动三方面的控制，执行决策模块下发的决策策略，包括期望速度和期望转向角度，也包括转向灯、喇叭、门窗等的控制。CAN驱动模块用于保证车载控制设备与车辆之间的正常通信。该主设备中还包括安全模块，该安全模块可以进行故障和风险的检测，并在发生故障和存在风险的情况下，发出报警等操作。例如，现有技术中，安全模块可以将故障通过短消息等方式将故障报给车上的安全员，由安全员接管车辆。

上述定位模块、感知模块、预测模块、决策模块、控制模块、CAN驱动模块依次通信连接，实现车载控制设备对车辆的控制。

本实施例的车载控制设备，在现有的基础上，将现有的上述主要功能模块都设置在主设备里，并同时设置一个与主设备具有相同结构的冗余设备。如图3所示的冗余设备仅示出安全模块，而未示出其他相关模块，其他模块的结构与主设备中相关模块的结构相同，可以参考主设备中的相关模块。

基于上述主设备中功能模块的介绍，可以知道，该步骤由冗余设备的安全模块与主设备的安全模块通过对自身设备的分析，或者对对方的心跳消息的分析，检测自动驾驶汽车在行驶中是否出现故障。

S202、主设备的安全模块和/或冗余设备的安全模块获取当前故障信息；

S203、主设备的安全模块和/或冗余设备的安全模块检测当前故障信息对应的故障是否包括主设备中的车载通信连接故障、车载驱动故障、安全模块故障和硬件故障中的至少一种；若是，执行步骤S204、否则，执行步骤S206；

具体地，主设备的安全模块可以检测到主设备中的车载通信连接故障、车载驱动连接故障和/或硬件故障。而若主设备的安全模块自身的故障，自身无法检测到，此时可以由冗余设备的安全模块通过主设备的心跳消息监控到。而且，主设备中的车载通信连接故障、车载驱动连接故障或者硬件故障也可以由冗余设备的安全模块通过主设备的心跳消息监控到。

本实施例的车载通信连接指的是车载控制设备与车辆之间的通信，也可以称之为CAN连接。本实施例的车载驱动即指的是CAN驱动。本实施例的硬件故障指的是车辆上的传感器、摄像机、雷达等硬件的故障。

S204、主设备的安全模块和/或冗余设备的安全模块确定当前故障信息对应的故障为等级一的故障；执行步骤S205；

具体地，若故障为主设备的安全模块的故障，可以由冗余设备的安全模块确定当前故障信息对应的故障为等级一故障。

若故障为主设备中的车载通信连接故障、车载驱动连接故障或者硬件故障，可以由主设备的安全模块和/或冗余设备的安全模块确定故障信息对应的故障为等级一故障。

S205、冗余设备的安全模块根据等级一故障对应的控制方案，控制车辆进行急刹，结束。

具体地，若是冗余设备的安全模块确定故障为等级一的故障时，冗余设备的安全模块可以直接根据等级一故障对应的控制方案，控制车辆进行急刹。

若是主设备的安全模块确定故障为等级一故障时，冗余设备的安全模块可以通过与主设备的安全模块之间的心跳消息，确定当前故障为等级一故障，然后冗余设备的安全模块根据等级一故障对应的控制方案，控制车辆进行急刹，以实现从冗余设备侧控制车辆进行急刹。例如本实施例的急刹对应的加速度最大可以达到-4m/s²，实际应用中可以恒定为-4m/s²，也可以控制加速度的值有小到大，快速加速到-4m/s²，以控制车辆及时停止。

基于以上所述，等级一故障对应车载通信连接故障、车载驱动故障、安全模块故障和/或硬件故障，这些故障较为严重，直接影响车辆的安全行驶。例如，车载通信连接故障或者车载驱动故障时，车载控制设备均无法控制车辆。安全模块故障时，无法检测车辆是否安全。如雷达、传感器等硬件故障时，相当于车辆无法感知周围的环境信息，无法安全行驶。这些故障均为较严重的故障，所以在车辆出现故障时，优先检测故障是否属于等级一对应的故障。并在确定为等级一对应的故障时，冗余设备接管车辆的控制权，由冗余设备的安全模块控制车辆急刹，以保证车辆自身、以及周围的车辆及行人等的安全。

S206、主设备的安全模块和/或冗余设备的安全模块检测当前故障信息对应的故障是否为主设备中的定位模块故障、感知模块故障、预测模块故障、决策模块故障、和控制模块故障中至少一种；若是，执行步骤S207；否则，执行步骤S209；

具体地，冗余设备的安全模块检测时，也是通过主设备的心跳消息来检测的。主设备的安全模块在正常的时候，可以来检测主设备中的定位模块、感知模块、预测模块、决策模块、或者控制模块是否出现故障。但是，在实际应用场景中，主设备的安全模块并不知道自己是正常的还是故障的，所以优选地，主设备的安全模块和冗余设备的安全模块同时来进行检测，并通过心跳消息确定具体的故障信息。

S207、主设备的安全模块和/或冗余设备的安全模块确定当前故障信息对应的故障为等级二故障；执行步骤S208；

S208、主设备的安全模块根据等级二故障对应的控制方案，控制车辆进行急刹，结束。

具体地，若是主设备的安全模块确定故障为等级二的故障时，主设备的安全模块可以直接根据等级二故障对应的控制方案，控制车辆进行急刹。

若是冗余设备的安全模块确定故障为等级二故障时，主设备的安全模块可以通过与冗余设备的安全模块之间的心跳消息，确定当前故障为等级二故障，然后主设备的安全模块根据等级二故障对应的控制方案，控制车辆进行急刹，以实现从主设备侧控制车辆进行急刹。

等级二故障与等级一故障的确定过程类似。具体地，主设备中的定位模块、感知模块、预测模块、决策模块、或者控制模块出现故障时，也无法控制车辆的安全行驶，也属于较为严重的故障，此时优选地，不用切换冗余设备的安全模块来控制车辆，可以直接由主设备的安全模块来控制车辆进行急刹。具体地，由于此时车载驱动模块即CAN驱动是正常的，可以由主设备的安全模块直接通过控制车载确定模块，以控制控制车辆进行急刹。当然，可选地，也可以切换至冗余设备控制车辆，由冗余设备的安全模块来控制车辆进行急刹。

S209、主设备的安全模块和/或冗余设备的安全模块确定当前故障信息对应的故障为等级三的故障；执行步骤S210；

若当前的故障即不属于等级一故障，也不属于等级二故障，那么本实施例中将当前故障划分至等级三故障。本实施例中可以认为等级三故障等级一故障和等级二故障之外的所有故障。例如可以包括冗余计算单元的硬件故障、冗余计算单元的其他功能故障、其他设备如黑匣子、人机接口(Human Machine Interface；HMI)的故障等等。

S210、主设备的安全模块根据等级三对应的控制方案，控制车辆进行缓刹，结束。

由于等级三故障发生时，主设备能够安全工作，此时可以不用切换至冗余设备控制车辆，而是由主设备的安全模块控制车辆进行缓刹。具体地，由于此时决策模块也是正常的，可以直接由主设备的安全模块控制决策模块制定的行驶策略，以控制车辆进行缓刹，以实现从主设备侧控制车辆进行缓刹。

且上述等级一故障和等级二故障的急刹相比，缓刹的加速度最大可以为-1m/s²，可以设置为恒定的-1m/s²，也可以设定加速度的值由小到大，最大到-1m/s²，缓慢控制车辆停止，极大地保护了车辆上乘客的乘车体验，不会让乘客感到剧烈晃动、不舒服。因此，该方案可以在保证车辆安全性的同时，提高安全处理时用户的体验，增强无人驾驶汽车的智能性。

本实施例的自动驾驶汽车的安全控制方法，通过采用上述方案，可以对无人驾驶汽车的车辆的当前故障信息的故障等级进行分类，并基于各故障等级的故障的严重性，采用不同的控制策略，控制车辆进行安全停止，在保证车辆安全性的同时，能够有效地提高无人驾驶汽车的智能性。

例如，在确定等级一故障时，由于故障的严重性，在不确定主设备的安全模块能够正常工作的情况下，冗余设备接管车辆的控制权，由冗余设备的安全模块控制车辆急刹，以保证车辆自身、以及周围的车辆及行人等的安全。

在确定等级二故障时，故障也较为严重，此时主设备能够正常工作，由主设备的安全模块直接控制车辆急刹，以保证车辆自身、以及周围的车辆及行人等的安全。

在确定等级三故障时，相对于等级一故障和等级二故障，故障相对较轻，且此时主设备能够正常工作，由主设备的安全模块控制车辆进行缓刹，可以在保证车辆安全性的同时，提高安全处理时用户的体验，增强无人驾驶汽车的智能性。

图4是根据本申请第三实施例的示意图；如图4所示，本实施例提供一种自动驾驶汽车的安全控制装置400，包括：

获取单元401，用于若检测到自动驾驶汽车在行驶中出现故障时，获取当前故障信息；

确定单元402，用于确定当前故障信息对应的故障等级；

控制单元403，用于根据故障等级对应的控制方案，控制车辆进行安全停止。

例如，本实施例的自动驾驶汽车的安全控制装置400可以设置在上述图3所示实施例的车载控制设备中的主设备的安全模块或者冗余设备的安全模块中。

本实施例的自动驾驶汽车的安全控制装置400，通过采用上述单元实现自动驾驶汽车的安全控制的实现方案，与上述相关方法实施例的实现原理以及技术效果相同，详细可以参考上述相关方法实施例的记载，在此不再赘述。

进一步可选地，上述自动驾驶汽车的安全控制装置400中，确定单元402，用于：

检测当前故障信息对应的故障是否为车载控制设备的主设备中的车载通信连接故障、车载驱动故障、安全模块故障和硬件故障中的至少一种；车载控制设备包括主设备和冗余设备，且冗余设备与主设备通过心跳消息互相监控；

若是，确定故障信息对应的故障为等级一故障。

对应地，控制单元403，用于：

根据等级一故障对应的控制方案，从冗余设备侧控制车辆进行急刹。

进一步可选地，上述自动驾驶汽车的安全控制装置400中，确定单元402，还用于：

检测当前故障信息对应的故障是否为主设备中的定位模块故障、感知模块故障、预测模块故障、决策模块故障和控制模块故障中的至少一种；

若是，确定故障信息对应的故障为等级二故障。

对应地，控制单元403，用于：

根据等级二故障对应的控制方案，从主设备侧控制车辆进行急刹。

进一步可选地，上述自动驾驶汽车的安全控制装置400中，确定单元402，还用于：

若故障信息对应的故障不是上述等级的故障，确定故障信息对应的故障为等级三故障。

对应地，控制单元403，用于根据等级三故障对应的控制方案，从主设备侧控制车辆进行缓刹。

上述实施例的自动驾驶汽车的安全控制装置400，通过采用上述单元实现自动驾驶汽车的安全控制的实现方案，与上述相关方法实施例的实现原理以及技术效果相同，详细可以参考上述相关方法实施例的记载，在此不再赘述。

图5是根据本申请第四实施例的示意图；如图5所示，本实施例提供一种自动驾驶汽车的车载控制设备500，其中，自动驾驶汽车的车载控制设备500包括主设备501和冗余设备502，主设备501和冗余设备502通过心跳消息互相监控，以发现对侧的故障。

本实施例的主设备501和冗余设备502中分别设置有第一安全控制装置501A和第二安全控制装置502B；例如，本实施例的第一安全控制装置501A和第二安全控制装置502B可以采用如上图4所示实施例所述的自动驾驶汽车的安全控制装置400，并采用上述相关的自动驾驶汽车的安全控制方法实现对自动驾驶汽车的安全控制。可选地，第一安全控制装置501A和第二安全控制装置502B分别设置在主设备501和冗余设备502的安全模块内。

例如：第一安全控制装置501A和/或第二安全控制装置502B，用于：

若检测到自动驾驶汽车在行驶中出现故障时，获取当前故障信息；

确定当前故障信息对应的故障等级；

根据故障等级对应的控制方案，控制车辆进行安全停止。

例如：第一安全控制装置501A和/或第二安全控制装置502B，用于检测当前故障信息对应的故障是否为主设备中的车载通信连接故障、车载驱动故障、安全模块故障和硬件故障中的至少一种；若是，确定故障信息对应的故障为等级一故障。

此时对应地，第二安全控制装置502B用于根据等级一故障对应的控制方案，从冗余设备侧控制车辆进行急刹。

具体地，图2所示实施例中，是以第一安全控制装置501A和第二安全控制装置502B分别集成在主设备的安全模块和冗余设备的安全模型中为例。即本实施例的第一安全控制装置501A可以执行图2所示实施例的主设备的安全模块执行的步骤，而本实施例的第二安全控制装置502B可以执行图2所示实施例的冗余设备的安全模块执行的步骤。

参考上述图2所示实施例的步骤S206的具体实施方式，可以知道：第一安全控制装置501A可以用于检测主设备中的车载通信连接故障、车载驱动连接故障和/或硬件故障。而第一安全控制装置501A由于设置在主设备的安全模块内，无法检测到主设备的安全模块自身的故障，此时可以由冗余设备的第二安全控制装置502B通过主设备的心跳消息监控到。而且，主设备中的车载通信连接故障、车载驱动连接故障或者硬件故障也可以由冗余设备的第二安全控制装置502B通过主设备的心跳消息监控到。

需要说明的是，若是冗余设备的第二安全控制装置502B确定故障为等级一的故障时，第二安全控制装置502B可以直接根据等级一故障对应的控制方案，控制车辆进行急刹。

若是主设备的第一安全控制装置501A确定故障为等级一故障时，冗余设备的第二安全控制装置502B可以通过与主设备之间的心跳消息，确定当前故障为等级一故障，然后由第二安全控制装置502B根据等级一故障对应的控制方案，控制车辆进行急刹，

再例如：第一安全控制装置501A和/或第二安全控制装置502B，用于检测当前故障信息对应的故障是否为主设备中的定位模块故障、感知模块故障、预测模块故障、决策模块故障和控制模块故障中的至少一种；若是，确定故障信息对应的故障为等级二故障。

此时对应地，第一安全控制装置501A用于根据等级二故障对应的控制方案，从主设备侧控制车辆进行急刹。

具体地，参考上述图2所示实施例的步骤S206的记载，可以知道，冗余设备的第二安全控制装置502B检测等级二故障时，也是通过主设备的心跳消息来检测的。主设备的第一安全控制装置501A在正常的时候，可以来检测主设备中的定位模块、感知模块、预测模块、决策模块、或者控制模块是否出现故障。但是，在实际应用场景中，主设备的第一安全控制装置501A并不知道自己是正常的还是故障的，所以优选地，主设备的第一安全控制装置501A和冗余设备的第二安全控制装置502B同时来进行检测，并通过心跳消息确定具体的故障信息。

若是主设备的第一安全控制装置501A确定故障为等级二的故障时，主设备的第一安全控制装置501A可以直接根据等级二故障对应的控制方案，控制车辆进行急刹。

若是冗余设备的第二安全控制装置502B确定故障为等级二故障时，主设备的第一安全控制装置501A可以通过与冗余设备之间的心跳消息，确定当前故障为等级二故障，然后主设备的第一安全控制装置501A根据等级二故障对应的控制方案，控制车辆进行急刹，以实现从主设备侧控制车辆进行急刹。

又例如：第一安全控制装置501A和/或第二安全控制装置502B，用于若检测到故障信息对应的故障不是上述等级的故障，确定故障信息对应的故障为等级三故障。

此时对应地，第一安全控制装置501A用于根据等级三故障对应的控制方案，从主设备侧控制车辆进行缓刹。

同理，等级三故障的检测也可以由第一安全控制装置501A和/或第二安全控制装置502B检测。详细可以参考上述图2所示实施例的步骤S209。

由于等级三故障发生时，主设备能够安全工作，此时可以不用切换至冗余设备控制车辆，而是由主设备的第一安全控制装置501A控制车辆进行缓刹。具体地，由于此时决策模块也是正常的，可以直接由主设备的第一安全控制装置501A控制决策模块制定的行驶策略，以控制车辆进行缓刹，以实现从主设备侧控制车辆进行缓刹。

进一步可选地，本实施例的主设备501和冗余设备502构成的自动驾驶汽车的车载控制设备500也可以参考上述图3所示实施例的车载控制设备。其中，第一安全控制装置501A具体可以设置在主设备501的安全模块中，第二安全控制模块502B具体可以设置在冗余设备502的安全模块中。且主设备501和冗余设备502具体还可以包括定位模块、感知模块、预测模块、决策模块、控制模块以及车载驱动模块即CAN驱动模块，详细参考上述图3所示实施例的相关记载，在此不再赘述。

根据本申请的实施例，本申请还提供了一种电子设备和一种可读存储介质。

如图6所示，是根据本申请实施例的实现自动驾驶汽车的安全控制方法的电子设备的框图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本申请的实现。

如图6所示，该电子设备包括：一个或多个处理器601、存储器602，以及用于连接各部件的接口，包括高速接口和低速接口。各个部件利用不同的总线互相连接，并且可以被安装在公共主板上或者根据需要以其它方式安装。处理器可以对在电子设备内执行的指令进行处理，包括存储在存储器中或者存储器上以在外部输入/输出装置(诸如，耦合至接口的显示设备)上显示GUI的图形信息的指令。在其它实施方式中，若需要，可以将多个处理器和/或多条总线与多个存储器和多个存储器一起使用。同样，可以连接多个电子设备，各个设备提供部分必要的操作(例如，作为服务器阵列、一组刀片式服务器、或者多处理器系统)。图6中以一个处理器601为例。

存储器602即为本申请所提供的非瞬时计算机可读存储介质。其中，所述存储器存储有可由至少一个处理器执行的指令，以使所述至少一个处理器执行本申请所提供的自动驾驶汽车的安全控制方法。本申请的非瞬时计算机可读存储介质存储计算机指令，该计算机指令用于使计算机执行本申请所提供的自动驾驶汽车的安全控制方法。

存储器602作为一种非瞬时计算机可读存储介质，可用于存储非瞬时软件程序、非瞬时计算机可执行程序以及模块，如本申请实施例中的自动驾驶汽车的安全控制方法对应的程序指令/模块(例如，附图4所示的相关单元)。处理器601通过运行存储在存储器602中的非瞬时软件程序、指令以及模块，从而执行服务器的各种功能应用以及数据处理，即实现上述方法实施例中的自动驾驶汽车的安全控制方法。

存储器602可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储实现自动驾驶汽车的安全控制方法的电子设备的使用所创建的数据等。此外，存储器602可以包括高速随机存取存储器，还可以包括非瞬时存储器，例如至少一个磁盘存储器件、闪存器件、或其他非瞬时固态存储器件。在一些实施例中，存储器602可选包括相对于处理器601远程设置的存储器，这些远程存储器可以通过网络连接至实现自动驾驶汽车的安全控制方法的电子设备。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

实现自动驾驶汽车的安全控制方法的电子设备还可以包括：输入装置603和输出装置604。处理器601、存储器602、输入装置603和输出装置604可以通过总线或者其他方式连接，图6中以通过总线连接为例。

输入装置603可接收输入的数字或字符信息，以及产生与实现自动驾驶汽车的安全控制方法的电子设备的用户设置以及功能控制有关的键信号输入，例如触摸屏、小键盘、鼠标、轨迹板、触摸板、指示杆、一个或者多个鼠标按钮、轨迹球、操纵杆等输入装置。输出装置604可以包括显示设备、辅助照明装置(例如，LED)和触觉反馈装置(例如，振动电机)等。该显示设备可以包括但不限于，液晶显示器(LCD)、发光二极管(LED)显示器和等离子体显示器。在一些实施方式中，显示设备可以是触摸屏。

此处描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、专用ASIC(专用集成电路)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

这些计算程序(也称作程序、软件、软件应用、或者代码)包括可编程处理器的机器指令，并且可以利用高级过程和/或面向对象的编程语言、和/或汇编/机器语言来实施这些计算程序。如本文使用的，术语“机器可读介质”和“计算机可读介质”指的是用于将机器指令和/或数据提供给可编程处理器的任何计算机程序产品、设备、和/或装置(例如，磁盘、光盘、存储器、可编程逻辑装置(PLD))，包括，接收作为机器可读信号的机器指令的机器可读介质。术语“机器可读信号”指的是用于将机器指令和/或数据提供给可编程处理器的任何信号。

为了提供与用户的交互，可以在计算机上实施此处描述的系统和技术，该计算机具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给计算机。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)、互联网以及区块链网络。

计算机系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。

根据本申请实施例的技术方案，若检测到自动驾驶汽车在行驶中出现故障时，通过获取当前故障信息；确定当前故障信息对应的故障等级；根据故障等级对应的控制方案，控制车辆进行安全停止，可以在车辆出现故障时，智能化地控制车辆的安全停止，与现有技术的方案相比，降低了无人驾驶汽车对人的依赖性，能够实现基于不同故障等级的控制方案，控制车辆进行安全停止，有效地提高了无人驾驶汽车的智能性。

根据本申请实施例的技术方案，可以对无人驾驶汽车的车辆的当前故障信息的故障等级进行分类，并基于各故障等级的故障的严重性，采用不同的控制策略，控制车辆进行安全停止，在保证车辆安全性的同时，能够有效地提高无人驾驶汽车的智能性。

例如，在确定等级一故障时，由于故障的严重性，在不确定主设备的安全模块能够正常工作的情况下，冗余设备接管车辆的控制权，由冗余设备的安全模块控制车辆急刹，以保证车辆自身、以及周围的车辆及行人等的安全。

在确定等级二故障时，故障也较为严重，此时主设备能够正常工作，由主设备的安全模块直接控制车辆急刹，以保证车辆自身、以及周围的车辆及行人等的安全。

在确定等级三故障时，相对于等级一故障和等级二故障，故障相对较轻，且此时主设备能够正常工作，由主设备的安全模块控制车辆进行缓刹，可以在保证车辆安全性的同时，提高安全处理时用户的体验，增强无人驾驶汽车的智能性。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本申请中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本申请公开的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本申请保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本申请的精神和原则之内所作的修改、等同替换和改进等，均应包含在本申请保护范围之内。

Claims (20)

1.一种自动驾驶汽车的安全控制方法，其特征在于，包括：

若检测到自动驾驶汽车在行驶中出现故障时，获取当前故障信息；

确定所述当前故障信息对应的故障等级；

根据所述故障等级对应的控制方案，控制车辆进行安全停止；

确定所述故障信息对应的故障等级，包括：

检测所述当前故障信息对应的故障是否为车载控制设备的主设备中的车载通信连接故障、车载驱动故障、安全模块故障和硬件故障中的至少一种；所述车载控制设备包括所述主设备和冗余设备，且所述冗余设备与所述主设备通过心跳消息互相监控对侧的故障；

若是，确定所述故障信息对应的故障为等级一故障。

2.根据权利要求1所述的方法，其特征在于，根据所述故障等级对应的控制方案，控制车辆进行安全停止，包括：

根据所述等级一故障对应的控制方案，从所述冗余设备侧控制车辆进行急刹。

3.根据权利要求1或2所述的方法，其特征在于，确定所述故障信息对应的故障等级，还包括：

检测所述当前故障信息对应的故障是否为所述主设备中的定位模块故障、感知模块故障、预测模块故障、决策模块故障和控制模块故障中的至少一种；

若是，确定所述故障信息对应的故障为等级二故障。

4.根据权利要求3所述的方法，其特征在于，根据所述故障等级对应的控制方案，控制车辆进行安全停止，包括：

根据所述等级二故障对应的控制方案，从所述主设备侧控制车辆进行急刹。

5.根据权利要求3所述的方法，其特征在于，确定所述故障信息对应的故障等级，还包括：

若所述故障信息对应的故障不是上述等级的故障，确定所述故障信息对应的故障为等级三故障。

6.根据权利要求5所述的方法，其特征在于，根据所述故障等级对应的控制方案，控制车辆进行安全停止，包括：

根据等级三故障对应的控制方案，从所述主设备侧控制车辆进行缓刹。

7.一种自动驾驶汽车的安全控制装置，其特征在于，包括：

获取单元，用于若检测到自动驾驶汽车在行驶中出现故障时，获取当前故障信息；

确定单元，用于确定所述当前故障信息对应的故障等级；

控制单元，用于根据所述故障等级对应的控制方案，控制车辆进行安全停止；

所述确定单元，用于：

检测所述当前故障信息对应的故障是否为车载控制设备的主设备中的车载通信连接故障、车载驱动故障、安全模块故障和硬件故障中的至少一种；所述车载控制设备包括所述主设备和冗余设备，且所述冗余设备与所述主设备通过心跳消息互相监控；

若是，确定所述故障信息对应的故障为等级一故障。

8.根据权利要求7所述的装置，其特征在于，所述控制单元，用于：

根据所述等级一故障对应的控制方案，从所述冗余设备侧控制车辆进行急刹。

9.根据权利要求7或8所述的装置，其特征在于，所述确定单元，还用于：

检测所述当前故障信息对应的故障是否为所述主设备中的定位模块故障、感知模块故障、预测模块故障、决策模块故障和控制模块故障中的至少一种；

若是，确定所述故障信息对应的故障为等级二故障。

10.根据权利要求9所述的装置，其特征在于，所述控制单元，用于：

根据所述等级二故障对应的控制方案，从所述主设备侧控制车辆进行急刹。

11.根据权利要求9所述的装置，其特征在于，所述确定单元，还用于：

若所述故障信息对应的故障不是上述等级的故障，确定所述故障信息对应的故障为等级三故障。

12.根据权利要求11所述的装置，其特征在于，所述控制单元，用于：

根据等级三故障对应的控制方案，从所述主设备侧控制车辆进行缓刹。

13.一种自动驾驶汽车的车载控制设备，其中，所述自动驾驶汽车的车载控制设备包括主设备和冗余设备，通过心跳消息互相监控对侧的故障；

所述主设备和所述冗余设备中分别设置有第一安全控制装置和第二安全控制装置；

所述第一安全控制装置和/或第二安全控制装置，用于：

若检测到自动驾驶汽车在行驶中出现故障时，获取当前故障信息；

确定所述当前故障信息对应的故障等级；

根据所述故障等级对应的控制方案，控制车辆进行安全停止；

所述第一安全控制装置和/或第二安全控制装置，用于检测所述当前故障信息对应的故障是否为所述主设备中的车载通信连接故障、车载驱动故障、安全模块故障和硬件故障中的至少一种；若是，确定所述故障信息对应的故障为等级一故障。

14.根据权利要求13所述的设备，其中，所述第二安全控制装置用于根据所述等级一故障对应的控制方案，从所述冗余设备侧控制车辆进行急刹。

15.根据权利要求13或14所述的设备，其中，所述第一安全控制装置和/或第二安全控制装置，用于检测所述当前故障信息对应的故障是否为所述主设备中的定位模块故障、感知模块故障、预测模块故障、决策模块故障和控制模块故障中的至少一种；若是，确定所述故障信息对应的故障为等级二故障。

16.根据权利要求15所述的设备，其中，所述第一安全控制装置用于根据所述等级二故障对应的控制方案，从所述主设备侧控制车辆进行急刹。

17.根据权利要求15所述的设备，其中，所述第一安全控制装置和/或第二安全控制装置，用于若检测到所述故障信息对应的故障不是上述等级的故障，确定所述故障信息对应的故障为等级三故障。

18.根据权利要求17所述的设备，其中，所述第一安全控制装置用于根据等级三故障对应的控制方案，从所述主设备侧控制车辆进行缓刹。

19.一种电子设备，其特征在于，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-6中任一项所述的方法。

20.一种存储有计算机指令的非瞬时计算机可读存储介质，其特征在于，所述计算机指令用于使所述计算机执行权利要求1-6中任一项所述的方法。

Images