CN112581786A - 用于将事故避免信息提供给自主车辆的乘客的方法和设备 - Google Patents

Abstract

公开了将事故避免信息提供给自主车辆的乘客的方法和设备。一种示例设备包括安全性分析器，该安全性分析器用于确定自主控制的车辆在第一时间点处于安全情况，并且在第二时间点处于危险情况。示例设备还包括用户界面生成器，该用户界面生成器用于生成用户界面数据以定义要经由屏幕显示的用户界面的内容，该用户界面用于包括车辆的图形表示，该用户界面用于以图形方式指示车辆在第一时间点处于安全情况；并且修改用户界面数据，使得用户界面以图形方式指示车辆在第二时间点处于危险情况。

Description

用于将事故避免信息提供给自主车辆的乘客的方法和设备

相关申请

本专利要求于2019年10月8日提交的美国临时专利申请序列第62/907,181号的优先权，并且该申请通过引用整体结合于此。

技术领域

本公开总体上涉及自主车辆，并且更具体地涉及将事故避免信息提供给自主车辆的乘客的方法和设备。

背景技术

近年来，在自主控制车辆领域中，技术已经有了相当大的进步。全自主车辆现在能够在没有来自人类的任何输入的情况下控制车辆的所有操作，以安全地从一个位置导航到另一个位置。

附图说明

图1是根据本文公开的教导的实现示例控制器的示例自主车辆的示意图。

图2是图示图1的示例控制器的示例实现方式的框图。

图3和图4图示了根据本文公开的教导生成的两个示例用户界面。

图5是图示点在曲面的切面上的二阶投影的示图。

图6是表示可以被执行以实现图1和/或2的示例控制器的机器可读指令的流程图。

图7是被构造用于执行图6中的指令以实现图1和/或图2中的示例控制器的示例处理平台700的框图。

图8是示例软件分发平台的框图，该示例性软件分发平台用于将软件(例如，与图6的示例计算机可读指令相对应的软件)分发给诸如消费者(例如，用于许可、销售和/或使用)、零售商(例如，用于销售、转售、许可和/或分许可)、和/或原始设备制造商(OEM)(例如，包括在要分发给例如零售商和/或直接购买客户的产品中)之类的客户端设备。

这些图并未按比例绘制。一般来说，贯穿(多个)附图和所附书面说明书，相同的附图标记将用于表示相同或相似的部分。如在本专利中所使用，记载任何部件(例如，层、膜、区域或板)以任何方式在(例如，定位在、位于、设置在或形成在等)另一部件上指示被引用部件与该另一部件接触，或者被引用部件在该另一部件上方并且一个或多个中间部件位于该被引用部件与该另一部件之间。除非另有指示，否则连接参考(例如，附连的、耦合的、连接的、以及结合的)应被广义地解释并且可包括元件集合之间的中间构件以及元件之间的相对移动。由此，连接参考不必推断两个元件直接地连接并彼此处于固定的关系。记载任何部件与另一部件“接触”意味着在这两个部件之间没有中间部件。

当标识多个要素或组件时，本文使用描述符“第一”、“第二”、“第三”等。除非基于它们的使用上下文另有规定或理解，否则此类描述符并非旨在赋予优先级、物理次序或列表中的布置、或者时间顺序的任何含义，而仅仅是为了便于理解所公开的示例而用作分别指代多个要素或组件的标签。在一些示例中，描述符“第一”可以用于指代详细描述中的要素，而在权利要求中可以使用诸如“第二”或“第三”之类的不同描述符来指代相同的要素。在此类情况下，应当理解，此类描述符仅用于易于引用多个要素或组件。

具体实施方式

全自主车辆已被表明能够在没有人为干预的情况下基于来自车辆上的监测周围环境的多个传感器的反馈并结合导航系统(例如，全球定位系统)安全地进行导航。然而，研究表明，许多人仍然对此类车辆的能力感到担忧，并且在作为自主控制的车辆内乘客而乘坐时可能会感到一定程度的焦虑。一些自主控制的车辆包括提供指示自主控制系统的操作状态的信息的一个或多个人机界面(例如，(多个)显示屏)。此类车载显示屏有时被称为“置信度屏幕”，因为它们旨在向(多个)乘客灌输车辆知晓周围环境并且完全能够在其中进行导航的信心。

通常，在置信度屏幕上提供的信息包括乘客乘坐的自主车辆的图形表示(通常称为自我车辆)以及周围环境的图形表示。如本文所使用的，图形表示包括任何类型的视觉表示(诸如，例如照片般真实的表示、虚拟表示、通用和/或抽象图标等)。通常，周围环境的表示包括自我车辆的自主控制系统检测到的真实世界的一些方面或全部方面。例如，显示器可以提供对以下对象的图形表示：检测到的静止对象(例如，道路标志、交通灯、道路上的线、路缘、交通中间带、人行道、路灯柱、树木、建筑物、道路施工工人和/或装备、静止的危险(例如坑洼、报废的车辆、静止的碎屑等)；检测到的移动对象(例如其他车辆、行人、骑自行车者、道路施工工人和/或装备、移动的危险(例如移动的碎屑等)；以及基于地图的导航细节(例如，道路、车道划分、入口匝道、出口匝道、交叉路口、要遵循的预期路线等)。图形表示可能是相对真实的(例如，显示检测到的汽车、行人以及其他检测到的对象的形状)或是抽象的(例如，提供框和/或其他基本几何形状来代替真实世界中的对象)。在置信度屏幕上以图形方式表示此类信息使(多个)乘客能够快速将屏幕上的内容与他们从车辆的窗户外看到的内容进行比较，以确认自主车辆知晓安全地导航通过周围环境的所有相关信息。

除了提供周围环境以及该环境内的自主车辆的关系的图形表示之外，置信度屏幕还可以提供与车辆的操作有关的信息。例如，置信度屏幕可以提供指示行进方向、行进速度、行进距离、油箱液位、车辆当前加速度、车轮/方向盘角度、转向信号的启动的图形和/或文本信息。更进一步，在一些示例中，置信度屏幕可以提供为什么正在发生某些操作的解释。例如，如果行人在自主车辆旨在转向的交叉路口处穿过街道，则置信度屏幕可以包括文本“让步于行人”，以解释车辆为何在交叉路口停车。置信度屏幕还可基于要遵循的预期的导航路线来提供与将来操作有关的细节。例如，置信度屏幕可能包含文本“在300码内向右转”，以解释即将到来的右转操作。

尽管自主车辆的置信度屏幕可以提供车辆对周围环境(例如，附近其他车辆的接近度)的实时感知和当前计划状态(例如，到目的地的路线中的下一个计划的转向)的上述各方面的一些或全部，但是现有的置信度屏幕无法提供对自主车辆检测到的危险情况以及车辆为避免危险情况而采取的后续动作的实时解释。此外，将在置信度屏幕上表示的信息限制为自主车辆当前(例如，基本上实时)正在做的内容的缺点在于，此类信息不能传达：在复杂和/或危险的驾驶情况下，车辆如何主动地保持(多个)乘客安全、车辆能够做什么来保持(多个)乘客安全、或者自主车辆为什么要采取某些行动。结果，这使(多个)乘客疑惑在旅途期间的任何给定时刻车辆可能会做什么，从而增加了(多个)乘客在自主车辆中时的焦虑和/或忧虑。本文所公开的示例以乘客可以快速且容易地理解的方式在置信度屏幕上提供了对自主车辆检测到的危险情况的基本实时(例如，小于1秒的延迟)通知。附加地或可替代地，本文公开的示例提供了预期的将来危险情况的高级通知。如本文所使用的，危险情况被定义为可以确定性地被确定违反与由自主车辆实现的安全性模型相关联的一个或多个数学上定义的安全驾驶规则的情况。安全性模型可以定义多个安全驾驶规则。由此，如果违反了这些规则中的任何一个规则(例如，鉴于由安全驾驶规则定义的特定条件，满足了阈值速度、距离、加速度、和/或其他参数)，则根据定义自主车辆处于危险情况。另一方面，如果车辆的当前情形使得确定性分析的安全驾驶规则中的全部规则都被满足，则车辆不处于危险情况(例如，安全或非危险情况)。本文所公开的示例经由置信度屏幕提供图形表示，该置信度屏幕直观地传达自主车辆何时已经检测到危险情况以及车辆如何(例如，通过(多个)规避动作(诸如强力制动、向左或向右转向等)对该情况做出响应和/或(多个)其他动作。结果，(多个)乘客能够理解该车辆在做什么、以及为什么这么做，在任何时刻都使他们对车辆的能力更加地放心。

研究表明，自主车辆中的(多个)乘客通常不会花费他们的时间观看置信度屏幕，而是看窗户外面真实的世界和/或从事某些其他活动(例如，使用电话或其他便携式设备、睡觉、与其他(多个)乘客交谈等)。由此，(多个)乘客可能不会感知到与危险情况(在本文中可替代地简称为危险风险或风险情况)有关的基本上实时的上下文信息以及由车辆实现的所产生的安全动作。也就是说，在一些示例中，(多个)乘客可能没有看着置信度屏幕或没有注意道路，并且因此可能不知晓危险情况，直到他们感觉到用力施加制动或车辆突然向左或向右转弯的效果。此类突然的和非预期的移动可能会引起(多个)乘客的焦虑，并对关于自主车辆正在做什么产生疑问。在一些示例中，一旦检测到危险情况以向(多个)乘客发出警报，就可以触发光和/或声音。然而，在车辆实现突然的规避动作以保持(多个)乘客安全之前，此类警报可能仅会发出片刻的通知。对于人来说，这可能不是足以通过看着窗外或参考置信度屏幕来评估情况的时间。此外，如果仅基本上实时地表示危险情况，则当(多个)乘客充分意识到他们的情况时，事件可能已经过去，使得他们将无法通过参考置信屏幕来理解发生了什么。此外，在事发之后，危险情况对于看着窗外的(多个)乘客可能不是显而易见的。在此类情形下，(多个)乘客的焦虑感可能会在经历之后继续，因为他们无法容易地向自己保证自主车辆的行为符合安全驾驶的期望。实际上，它们可能给人留下相反的印象。因此，在一些示例中，置信度屏幕可以在事件已经发生之后一次或多次自动地重放检测到的危险情况以及对应的响应的图形表示，以使(多个)乘客有机会回顾发生了什么并使自己确信车辆以适当的方式对该情况做出了响应。这不仅能使(多个)乘客在车内发生突然的和意外的动作后放心，还可以增加(多个)乘客对自主车辆处理可能非预期地发生的其他危险情况的能力的总体信心。

与人类不同，自主车辆基于由特定数学原理和事故避免的形式逻辑所定义的复杂安全性模型，对危险情况进行标识和响应。在一些示例中，管理由自主车辆采取的安全性动作的特定数学定义规则是基于由

(英特尔)公司

开发的责任敏感安全性(RSS)模型。也可以使用其它模型。一般乘客不太可能能够理解与自主车辆实现的安全性模型相关联的复杂数学和/或不太可能对应用理解与自主车辆实现的安全性模型相关联的复杂数学所必要的努力感兴趣。因此，在一些示例中，自主车辆的复杂决策使用一般乘客可快速而容易地理解的直观图形表示在置信度屏幕上。

图1是根据本文公开的教导的实现示例控制器102的示例自主车辆100的示意图。在该示例中，车辆100能够是完全自主的。如本文中所使用，完全自主的车辆被定义为能够在没有人为干预的情况下控制车辆的操作以将车辆导航至目的地的车辆。在该示例中，车辆100的完全自主操作由控制器102控制。尽管能够在没有人为干预的情况下操作，但是完全自主车辆仍可以接收来自人类(例如，驾驶员或其他乘客)的影响控制车辆和/或实现特定操作的方式的输入。进一步地，尽管能够是完全自主的，但是在一些示例中，自主车辆100也可以能够以半自主和/或非自主方式操作，其中车辆的操作中的一些或全部操作取决于人为干预。进一步地，尽管图1所示的车辆是乘用车辆，但是可以采用任何其他类型的车辆(例如，卡车、飞机、公共汽车、船只等)。

在所图示的示例中，控制器102通信地耦合到传感器104。传感器104将输入提供给控制器102，以使控制器102能够做出如何以安全的方式控制车辆并导航通过周围环境的决策。在一些示例中，传感器104包括在自主车辆100的系统中使用的传感器。例如，传感器104可以包括车轮速度传感器、行驶高度传感器、方向盘传感器、和/或车轮角度传感器、温度传感器、座椅占用传感器等。附加地或替代地，在一些示例中，传感器104包括用于检测自主车辆100周围的环境的情形的传感器。例如，传感器104可以包括：可见光相机、红外相机、雷达传感器、激光雷达传感器、超声传感器。进一步地，在一些示例中，传感器包括用于检测自主车辆100的定位、位置和移动的传感器。例如，传感器104可以包括惯性测量单元、加速度计、陀螺仪、磁力计、全球定位系统(GPS)传感器等。

在图1所图示的示例中，控制器102经由网络108通信地耦合到远程服务器106。在一些示例中，远程服务器106提供信息以辅助控制器102导航车辆100。例如，远程服务器106可以提供地图、路线信息、当前交通状况等。附加地或可替代地，在一些示例中，远程服务器106从控制器102收集与车辆的操作、导航和/或周围环境有关的信息。在一些示例中，远程服务器106与多个车辆通信。在一些此类的示例中，车辆100的控制器102可以经由远程服务器106与其他车辆通信。在其他示例中，控制器102可以(例如，经由网络108和/或短距离无线电通信)直接地与其他附近的车辆通信以获得和/或提供与车辆100周围环境有关的附加细节。

在图1所图示的示例中，控制器102通信地耦合到乘客接口系统110。在一些示例中，乘客接口系统110包括用于将警报、通知和/或其他信息提供给车辆内的(多个)乘客的显示屏112。更具体地，在一些示例中，如上文所描述，显示屏112用作置信度屏幕，以将与车辆保持(多个)乘客安全的能力和/或操作有关的信息提供给车辆100内的(多个)乘客。在一些示例中，乘客接口系统110包括用于将可听警报、通知、消息和/或信息提供给(多个)乘客的扬声器114。在一些示例中，乘客接口系统110包括多个显示屏112和/或多个扬声器114，该多个显示屏112和/或多个扬声器114位于车辆100内的不同位置(例如，在车辆100的前部和后部和/或在车辆100的左侧和右侧)。在一些此类示例中，不同的显示屏显示相同的信息。在其他示例中，不同的显示屏可以提供不同的信息。在一些示例中，经由(多个)显示屏112呈现和/或由(多个)扬声器114输出的信息由控制器102生成和/或提供，这些信息包括例如车辆100附近的其他车辆(例如，接近交叉路口、经由入口匝道并入等的车辆)的行进方向、速度、预期路径等。

在一些示例中，乘客接口系统110被结合和/或内置到车辆100中。例如，(多个)显示屏112(和相关联的扬声器和/或其他相关的组件)可以在车辆的前控制台中、可以是固定到车辆天花板上的下拉式显示器、和/或可以被安装在车辆中的座位中的一个或多个座位的背面(例如，可由位于此类座位后面的乘客查看)。在其他示例中，乘客接口系统110在物理上独立于车辆100和/或与车辆100分离但与其通信。例如，乘客接口系统110的功能中一些或全部功能可以由可从车辆100移除和/或由乘客携带的智能电话或其他便携式计算设备(例如，膝上型计算机、平板设备等)实现。在一些此类示例中，控制器102使用任何合适的无线通信技术(例如，Wi-Fi、蓝牙等)与乘客接口系统110通信。在一些示例中，乘客接口系统110既包括集成在和/或内置在车辆100中的显示屏112，又包括与可由乘客携带的便携式电子设备相关联的显示屏112。在一些示例中，乘客可以在使用(多个)集成显示屏112和使用(多个)便携式显示屏112之间切换和/或同时使用两种类型的显示屏112。在一些示例中，控制器102可以提供信息以用于显示在远离车辆100定位的显示屏(例如，与远程服务器106和/或经由网络108与控制器102通信的另一计算设备相关联的显示屏)上。

在一些示例中，乘客接口系统110包括用于从(多个)乘客接收输入的装置。例如，在一些示例中，显示屏112是用于使(多个)乘客能够与在屏幕上呈现的内容进行交互的触摸屏。附加地或替代地，乘客接口系统110包括用于使(多个)乘客能够将输入提供给车辆的键盘、按钮、拨号等。在一些示例中，乘客接口系统110包括用于从(多个)乘客接收语音命令的麦克风。在一些示例中，乘客输入被提供给控制器102以控制车辆的操作。在一些示例中，乘客输入使(多个)乘客能够控制经由显示屏112呈现的内容(例如，以请求呈现特定信息)。

可以在显示屏112上表示许多不同类型的信息。在一些示例中，在显示屏112上表示的信息包括指示车辆的位置和/或计划路线的导航信息(例如，具有布置的路线的地图、该路线的过去和/或即将到来的转弯的列表、到目标目的地的估计到达时间等)。在一些示例中，在显示屏112上表示的信息包括车辆的当前操作状态和/或状况的通知和/或指示和/或(多个)乘客可能感兴趣的其他信息(例如，当前速度、胎压、车内温度、加热和/或空调设置、室外温度、车辆的总里程、当前行程的里程等)。在一些示例中，显示屏112上表示的信息标识由传感器104检测到的周围环境中的对象和/或此类对象的状态、存在、接近度和/或相对位置(例如，行人、其他车辆、交通信号、街道标志、车道划分、道路施工工人和/或装备、危险(例如坑洼、碎屑等)等)。

在一些示例中，结合表示周围环境的信息，显示屏112呈现指示由检测到的环境呈现的危险情况的内容。通常，当检测到危险情况时，自主车辆100可能需要快速响应以避免事故和/或以其他方式保持周围环境中的(多个)乘客和/或其他人安全。对危险情况的突然响应可能涉及车辆100的突然的操纵(例如，施加急刹车、转向侧边、执行突然地改变车道等)，突然的操纵可能会使(多个)乘客感到恐惧，尤其是当他们不知道危险时。一些危险情况可能不需要突然的响应，但是仍可能涉及车辆100的一个或多个动作(例如，减速、逐渐改变车道、保持停车达延长的时间段等)，这导致(多个)乘客疑惑车辆在做什么。因此，在一些示例中，除了表示何时已经检测到危险情况之外，在显示屏幕112上表示的信息还提供了对自主车辆100如何和/或为何响应于该情况执行其动作的解释。

在一些示例中，关于危险情况和由自主车辆100实现的(多个)相关联的响应的信息基本上实时地在显示屏112上表示。在许多情形下，当检测到危险情况时，(多个)乘客可能不在观看显示屏112。因此，在一些示例中，乘客接口系统110可以提供可听警报以向(多个)乘客通知检测到的情况。附加地或可替代地，在一些示例中，可以在显示屏112上重放一次或多次危险情况的标识和随后的响应，以使(多个)乘客有机会理解发生了什么以及为什么发生。以此方式，在突然地且潜在地令人惊慌的时刻之后，乘客可以放心。此外，提供何时已检测到危险情况以及自主车辆如何对这种情况做出响应的表示，可以使(多个)乘客对车辆在将来检测和避免危险情况的能力有更多的置信度。在一些示例中，在事件发生之后，在显示屏112上自动重放危险状况的标识和由自主车辆100采取的对应的响应。在其他示例中，重放可以由(多个)乘客手动选择。在一些示例中，(多个)乘客可以消除重放的事件，而不是允许其重复。

图2是图示图1的示例控制器102的示例实现方式的框图。在所图示的示例中，控制器102包括示例传感器通信接口202、示例远程通信接口204、示例乘客通信接口206、示例环境分析器208、示例导航分析器210、示例车辆系统分析器212、示例安全性分析器214、示例存储器216、示例操作控制器218、和示例用户界面生成器220。

示例传感器通信接口202启用控制器102与传感器104之间的通信。示例远程通信接口204经由网络108启用控制器102与远程服务器106之间的通信。附加地或替代地，远程通信接口204实现控制器102与其他附近的车辆和/或独立于网络的其他通信设备之间的通信(例如，直接无线电通信)。示例乘客通信接口206实现控制器102与乘客接口系统110之间的通信。在一些示例中，传感器通信接口202、远程通信接口204、和乘客通信接口206中的每一个彼此独立地实现。在其他示例中，传感器通信接口202、远程通信接口204、和乘客通信接口206中的两个或更多个可以被集成在一起作为单个通信接口的一部分。在一些示例中，传感器通信接口202、远程通信接口204、和乘客通信接口206中的一个或多个可以由一个或多个便携式计算设备(例如，智能电话、平板设备、膝上型计算机等)和/或其部分来实现。

示例环境分析器208处理和/或分析来自传感器104的反馈以确定自主车辆100周围的环境的情形。附加地或可替代地，示例环境分析器208可以基于来自远程服务器106、来自其他附近的车辆和/或来自与车辆100通信的其他设备(例如，由地方政府和/或其他实体在道路下方建造的和/或并入道路基础设施的传感器系统)的通信来确定车辆100周围环境的情形。示例环境分析器208基于来自传感器104和/或来自远程源的此类数据来标识附近车辆的存在、相对位置、接近度、和/或速度。进一步地，环境分析器208可以基于传感器反馈和/或从远程源报告的其他数据来标识周围环境的其他对象和/或特性(例如，标识行人、街道标志、交通信号、道路标记等)。在一些示例中，对周围环境的特性和/或周围环境中的对象的标识是基于一个或多个人工智能模型的实现(例如，此类(多个)模型可以是本地的(例如，包括在示例存储器216中)或远程的(例如，存在于云中并可以经由无线网络访问))。

示例导航分析器210处理和/或分析来自传感器104的反馈以确定自主车辆100的位置。例如，导航分析器210可以将来自GPS传感器的反馈与地图数据相关联，以确定车辆的当前位置，并且开发和/或更新路线以用于使自主车辆100朝向指定的目的地进行导航。在一些示例中，地图数据可以被本地存储在示例存储器216中。在其他示例中，导航分析器210可以与远程服务器106通信以获得地图数据和/或为车辆100开发计划的路线。

示例车辆系统分析器212处理和/或分析来自传感器104的反馈以确定车辆各系统的操作状态和/或(多种)状况。例如，车辆系统分析器212可以确定车轮的旋转速度、车轮指向的角度、车辆的纵向(前到后)加速度和/或横向(左到右)加速度等。

示例安全性分析器214处理来自传感器104的反馈、来自远程源(例如，远程服务器106、其他附近的车辆、附近的基础设施等)的信息、和/或环境分析器208、导航分析器210、和/或车辆系统分析器212中的一个或多个的输出以检测危险的驾驶情况和/或确定车辆100当前处于安全情形下。在一些示例中，安全性分析器214通过相对于安全驾驶定义或规则分析与周围环境和车辆的当前操作状态有关的可用数据来标识危险情况。在一些示例中，每当与车辆100相关联的情形违反安全驾驶规则时，安全性分析器214就确定存在危险情况。在一些示例中，安全驾驶规则与同示例存储器216中存储的安全性模型相关联的确定性数学公式相对应。在一些示例中，安全性模型是由

(英特尔)公司开发的责任敏感安全性(RSS)模型。也可以使用其它模型。

RSS模型是以人类驾驶员中通常实践的基本驾驶规则(通过法律授权或通过基于常识和/或合理性原理的隐式采用)为前提。RSS模型在Shalev-Shwartz等人的“关于安全和可伸缩的自动驾驶汽车的正式模型(On a Formal Model of Safe and Scalable Self-driving Cars)”中进行了描述，Mobileye，2017年，最新修订于2018年10月27日，37页，并且该申请通过引用整体结合于此。在较高的水平上，RSS模型包括五个基本规则，该五个基本规则按如下方式表征：(1)不要从后面撞到人，(2)不要鲁莽地切入，(3)通行权是给予的，不是取得的，(4)注意能见度有限的区域，以及(5)在可能的情况下避免事故而不造成另一事故。

从以上概述的基本规则中，RSS模型定义了特定的安全驾驶规则，可以在数学上表达该特定的安全驾驶规则，以供安全性分析器214进行分析。例如，第一基本规则是不要从后面撞到人。为了满足该基本规则，当两个车辆沿相同方向行进时，车辆有必要在另一车辆的后面保持安全的纵向距离。显然，构成安全的纵向距离的内容取决于多种情形，包括车辆的速度以及车辆能够以多快的速度减速直到停车。在等式1中，在数学上表达了对于沿相同方向行驶的第一(后方)车辆跟随第二(前方)车辆是安全的最小纵向距离(例如，提供了足够的时间和空间来避免碰撞)：

其中ν_r是后方车辆的速度，ν_f是前方车辆的速度，ρ是后方车辆的响应时间，α_max是后方车辆在响应时间期间的最大加速度，β_min是由于响应时间之后发起的制动而引起的后方车辆的最小减速度，β_max是前方车辆的最大减速度，并且其中符号[x]₊∶＝max{x,0}。等式1被宽泛地写出以构想不同车辆的不同响应时间，并列入此类车辆的不同加速速率和减速速率。在一些示例中，安全性分析器214将响应时间确定为收集来自传感器104的反馈所花费的时间加上分析此类数据以确定是否存在危险状况所花费的时间以及确定和实现适当的响应的时间。

在一些示例中，安全性分析器214基于来自传感器104的反馈(例如，反馈可以指示潮湿和/或湿滑的道路，该潮湿和/或湿滑的道路指示减速度将慢于干燥道路)和/或基于从传感器反馈中标识的特定类型车辆的列表值(例如，大型半卡车比较小型车辆需要更长的时间来加速和减速)来确定等式1中的速度参数、加速度参数、和减速度参数的值。此类列表值可以被本地地存储在存储器216中和/或从远程服务器106获得。在一些示例中，可以根据一个或多个标准来预先定义列表值。附加地或替代地，在一些示例中，等式1中的参数中的一个或多个参数的值可以由车辆100附近区域中的其他车辆和/或其他基础设施提供。例如，如果车辆100跟随在卡车后面，则卡车可以将关于其在当前情形下(例如，经由与控制器102的远程通信接口204的无线电通信)的速度、加速度、和减速度的值提供给车辆100的控制器102。进一步地，在一些示例中，由当地城市政府和/或其他实体在固定位置(例如，地下、交通杆上、路灯柱上等)维护的传感器可以确定参数中的一个或多个参数的值并且(例如，经由与控制器102的远程通信接口204的无线电通信)将相同值提供给车辆100。一旦定义和/或确定了等式1的参数，安全性分析器214就可以分析该等式以确定在这种情形下的安全纵向距离。如果(如由环境分析器208分析的)传感器反馈指示自主车辆100前方的车辆在安全纵向距离之内，则已违反了由等式1定义的安全驾驶规则，并且安全性分析器214确定存在危险情况。然后，此类确定触发适当响应的发起(例如，施加制动、在前方车辆周围转向等)，直到自主车辆100与另一车辆之间的距离再次等于或大于安全纵向距离。

在一些示例中，还可以通过示例存储器216中存储的安全性模型中包括的安全驾驶规则来定义用于适当响应的参数。例如，如上文关于等式1所定义的安全纵向距离所解释的，存在假定的车辆的最大加速速率和最小减速速率。因此，在一些示例中，对危险的纵向距离情况(例如，当违反等式1时)的适当响应包括在与响应时间ρ相关联的相关时间段期间将车辆的加速度维持在α_max或维持在α_max以下或维持在β_min或维持在β_min以上。遵循该规则将使自主车辆100能通过恢复其自身与其前方车辆之间的安全纵向距离来安全地解决危险情况。显然，自主车辆100不具有对前方车辆的减速度的任何控制。因此，在一些示例中，β_max的值被保守地假定。

虽然保持安全的纵向距离可以减少(例如避免)后端碰撞，但从侧面也可能发生碰撞。因此，可以通过等式2在数学上表达另一安全驾驶规则，该另一安全驾驶规则定义与第二辆车左侧的第一辆车之间的安全横向距离。

其中μ是两个车辆之间的基线横向距离，ν₁是第一辆车(例如，应用等式2的自主车辆100)的速度，β_1,lat,min是响应时间后第一车辆的最小横向减速度，β_2,lat,min是响应时间后第二车辆的最小横向减速度，并且ν_1,ρ被定义为ν₁-ρα_lat,max，并且ν_2,ρ被定义为ν₂-ρα_lat,max(其中α_lat,max是两个车辆在响应时间期间朝向彼此的最大横向加速度)。

与等式1一样，安全性分析器214可以确定等式2的参数的值，并且然后对该等式求值以确定安全横向距离(d_min,lat)。更具体地，如上文结合等式1所描述，安全性分析器214可基于来自传感器的反馈、基于可被远程地或本地地存储的列表值、和/或基于从车辆100附近区域(例如，在其直接无线电通信范围内)的其他车辆、设备、和/或基础设施提供的数据来确定等式2中的参数的值。如果针对等式2中的参数所定义的值和/或所确定的值指示车辆在安全的横向距离内，则安全性分析器214确定存在危险情况。此类确定可以触发适当响应的发起(例如，转向远离横向侵占的车辆、改变车道、施加制动、加速等)，直到自主车辆100与另一车辆之间的横向距离再次等于或大于安全纵向距离。在一些示例中，还通过存储在存储器216中的特定安全驾驶规则来定义对危险横向距离情况的适当响应。

纵向安全距离驾驶规则(在数学上以等式1表达)和横向安全距离驾驶规则(在数学上以等式2表达)以及每个规则对应的适当响应规则只是可以被包括在存储在存储器216中的安全性模型中的一些示例安全驾驶规则。其他示例规则可以定义对其他情形的约束和/或要求，包括避免事故(例如碰撞)而不造成另一事故、两个被交叉和/或组合的交通流之间的通行权(例如，在交叉路口、当一条车道并入另一条车道时，等等)、存在能见度降低的情况(例如，在有雾的状况下、在沿着道路一侧的可能会阻挡试图穿过道路的行人的建筑物或物体后面等)、没有标记车道的情况(例如停车场、非结构化道路等)，等等。如上文所描述，在数学上定义了安全性模型中的安全驾驶规则，使得可以确定性地分析此类规则的违反或遵守。进一步地，在一些示例中，定义了安全驾驶规则，使得如果所有车辆都遵守规则，则在此类车辆之间不应发生事故。当然，不遵循安全性模型的安全驾驶规则的不同车辆导致事故是可能的。也就是说，尽管安全驾驶规则以大多数驾驶员可能会遵守的基本常识规则为前提，但可能存在特定车辆(例如，特定驾驶员)以与安全性模型的安全驾驶规则不一致的方式表现且该方式可能导致事故的情形。因此，在一些示例中，为了减少由此类驾驶员导致的事故的可能性，安全性模型可以定义附加的安全驾驶规则，该附加的安全驾驶规则定义了响应于以上情况做出的规避操纵的约束和/或要求以避免事故，同时减少了导致另一事故的可能性。

在图2的所图示的示例中，环境分析器208、导航分析器210、车辆系统分析器212、和安全分析器214被示为控制器102的单独的元件。然而，在一些示例中，这些元件中的一个或多个元件可以被组合和/或被集成到执行单独描述的元件中的一部分或全部功能的公共分析器中。

示例操作控制器218基于环境分析器208、导航分析器210、车辆系统分析器212、和/或安全性分析器214的输出来控制车辆100的操作。例如，在一些示例中，操作控制器218可以控制车辆100的各个系统(由车辆系统分析器212监测)以对在周围环境中检测到的对象和情形(如由环境分析器208检测到对象和情形)做出响应以使车辆(基于导航分析器210提供的路线)朝向所期望的目的地进行导航。进一步地，操作控制器218执行与由安全性分析器214检测到的特定危险情况相关联的适当响应。

示例用户界面生成器220生成可用于在乘客接口系统110的显示屏112上呈现和/或显示用户界面的用户界面数据。在一些示例中，用户界面生成器220可呈现用户界面供显示。在其他示例中，用户界面生成器220可以将用户界面数据传递给可以由控制器和/或单独的设备实现的渲染器。例如，在显示屏112与便携式计算设备(例如，智能电话、平板设备、膝上型计算机等)相关联的示例中，用户界面生成器220生成用户界面数据，该用户界面数据(例如，经由乘客通信接口206)被提供给便携式计算设备，以被进一步处理以用于经由便携式计算设备的显示屏呈现。进一步地，尽管所图示的示例将用户界面生成器220示出为与控制器102相关联，但是在一些示例中，用户界面生成器220的功能中的一些或全部功能可以由与控制器102通信的单独设备来执行和/或复制。例如，在显示屏112与车辆100中乘客携带的便携式计算设备相关联的示例中，便携式计算设备可以包括其自己的用户界面生成器，以基于由控制器102的用户界面生成器220生成的和提供的数据和/或基于来自控制器102的其它组件的一个或多个组件的数据来生成用于呈现和/或显示用户界面以用于显示的用户界面数据。

在一些示例中，由用户界面生成器220针对用户界面生成的用户界面数据是基于环境分析器208、导航分析器210、车辆系统分析器212、和/或安全性分析器214的输出和/或基于操作控制器218实现的动作。在一些示例中，在用户界面中显示(多个)乘客可能特别感兴趣的信息的有限集合。在图3和图4的所图示的示例中分别示出了示例用户界面300、400。在一些示例中，由用户界面生成器220生成的用户界面数据还可以定义由乘客接口系统110结合经由显示屏112呈现的内容而产生的可听输出。在一些示例中，可听输出可以是铃声或其他声音，以向乘客发出警报：存在危险情况和/或其他情形。在一些示例中，可听输出包括描述危险情况和/或描述车辆100正在做什么以解决危险情况的自然语言。此外，在一些示例中，用户界面生成器220可以定义其他类型的输出和/或反馈，以向(多个)乘客发出警报和/或吸引(多个)乘客的注意力(例如，物理输出、触感输出和/或触觉输出、中断音乐、视频和/或其他在车辆100中播放的媒体等)。在一些示例中，此类输出可以独立于显示屏112。例如，可以通过振动车辆100中的座椅来产生触感/触觉输出。在一些示例中，将输出和/或反馈传达给乘客的方式与残疾人(例如，听力障碍、视力障碍等)的典型的通信机制相对应，以使此类人能意识到危险情况和/或他们因其残疾而无法意识到的其他情形。

图3的示例用户界面300被分为两个部分，包括导航面板302和当前情形面板304。尽管在单个用户界面300中并排示出了导航面板302和当前情形面板304，但是在一些示例中，分开的面板302、304可以被划分成单独地显示。例如，在一些示例中，用户可以在一个时间点的导航面板302的显示与在不同时间点的当前情形面板304的显示之间切换。在一些示例中，导航面板302经由乘客接口系统110的第一显示屏112提供，而当前情形面板304经由乘客接口系统110的第二显示屏112提供。在一些示例中，第一显示屏或第二显示屏与车辆100中的多个乘客中的一个乘客的便携式计算设备(例如，智能电话、平板设备、膝上型计算机等)上的屏幕相对应，而另一个显示屏被集成和/或内置在车辆100中。在一些示例中，来自多个不同的便携式计算设备的屏幕可以用于显示图3的用户界面300的内容中的一些或全部内容。

导航面板302表示基于导航的信息，该基于导航的信息可以包括以下各项中的一项或多项：目标目的地306、到目标目的地的距离308、到达目的地的估计时间310、示出目的地位置314和/或当前车辆位置316的地图312。当前情形面板304包括自主车辆100的操作的当前(例如，基本上实时的)情形的表示。例如，在所图示的示例中，当前情形面板304提供当前速度指示318和当前驾驶操作指示320(例如，经由自然语言文本提供)。附加地或可替代地，在一些示例中，当前情形面板304包括在自主车辆100的周围环境中检测到的当前情形的图形表示。在一些示例中，由自主车辆100检测到的周围环境的所有方面在用户界面300的当前情形面板304中表示。然而，这可能会为乘客提供太多信息，以使其无法快速且容易地理解。因此，在所图示的示例中，周围环境的图形表示包括少于由车辆100检测到的所有细节。除其他之外，当前情形面板304可以包括表示自主车辆100的自我车辆图形322，该自我车辆图形322位于与车辆100在其上行驶的真实世界中的道路相对应的车道标记324内。在一些示例中，在周围环境中检测到的其他对象(诸如其他附近的车辆以及它们与车辆100的相对位置)也可以由适当的图标326在当前情形面板304中表示。提供自我车辆图形322使(多个)乘客能够理解周围环境的各个方面如何与车辆100相关。

在一些示例中，当前情形面板304包括周围情形是否安全和/或与存储在存储器216中的安全性模型(例如RSS模型)相关联的安全驾驶规则所定义的当前危险驾驶情况的表示。在一些示例中，经由安全性边界图形328在当前情形面板304内表示安全和/或危险情况。在一些示例中，当未检测到危险情况(例如，车辆100当前处于安全情形下)时，安全边界图形328具有第一外观或状态(例如，第一颜色、第一强度、第一透明度、第一形状等)，而当检测到一个或多个危险情况时，安全性边界图形328变为第二外观或状态(例如，不同的第二颜色、不同的第二强度、不同的第二透明度、不同的第二形状、闪烁等)。在一些示例中，安全性边界图形328中只有与引起危险情况的(多个)对象的方向相对应的一部分才改变外观，而安全性边界图形328的其余部分保持与安全情形相对应的外观。

作为具体示例，在图3所图示的示例中示出了由于另一辆车辆326侵占自我车辆322占据的车道而导致的危险情况。安全性分析器214基于两个车辆322、326之间的距离下降到低于由上文概述的等式2所定义的安全横向距离来确定该危险情况。因此，在该示例中，在检测到危险情况时(例如，当违反了安全横向距离规则时)，用户界面生成器220更新安全性边界图形328，以改变与侵占车辆326的位置相关联的区域中的图形的外观(例如颜色)。在一些示例中，如图3所示，用户界面生成器220还可以改变侵占车辆326图标中一些或全部图标的外观(例如，颜色)以突出显示由安全性边界图形328的外观改变所表示的危险情况的来源。另外，响应于检测到危险情况并将其表示在用户界面300上，操作控制器218实现与对危险情况的适当响应相对应的操作。如上文所述，适当的响应也可以由存储在存储器216中的安全性模型中的规则来定义。在所图示的示例中，在车辆从左侧侵占并且右侧存在开放车道的情况下，适当的响应可以是向右侧改变车道。由于该原因，在所图示的示例中，当前驾驶操作指示320指定向右侧的车道改变。

提供响应于安全性分析器214检测到如上文所概述的危险情况而改变外观的安全性边界图形328，使乘客能够快速地并且容易地理解车辆100是处于危险情况还是处于当前安全。进一步地，当存在危险情况时，用户界面300上表示的信息还使乘客能够理解车辆100能够如何避免危险情况和/或理解为什么车辆100可能会进行突然的操纵(例如，突然车道改变)。当然，仅当乘客在危险情况发生时刻正在观看用户界面300时，该乘客才受益于该危险情况和后续响应的图形表示，因为图形表示是与事件发生基本上实时地提供的。但是，如上文所提及，人们通常不会在自主车辆中花费他们的时间盯着置信度屏幕(诸如用户界面300)。相反，乘客可能会看着窗外、看书、与另一位乘客交谈、睡觉、和/或从事任何其他活动。因此，在一些示例中，可以在事件之后在用户界面300上将危险情况和随后的响应动作重放一次或多次。

具体而言，图4图示了与图3的用户界面300基本上类似的示例用户界面400，区别在于，用户界面400表示稍晚的时间点并且包括覆盖和/或设置在主当前情形面板304旁边的重放窗口402。如图4所图示的示例所示，重放窗口402包括与图3的用户界面300中提供的危险情况相同的图形表示。在该示例中，图4的用户界面400基于当前情形面板304的主要部分中的自我车辆图形322和相关联的安全性边界图形328来继续示出自主车辆100的当前(例如，基本实时的)情形。在图4所图示的示例中表示的特定时间点处，正如整个安全性边界图形328是与安全情况相对应的相同外观(例如，颜色)这一事实所反映的，(由自我车辆图形322表示的)自主车辆100已经返回到中心车道，而另一车辆326现在在后方的安全距离处。

在一些示例中，可以在当前情形面板304的主要部分中提供危险情况的重放的图形表示，其中在较小的覆盖窗口中表示实时情形。在一些示例中，乘客可以选择在用户界面400的主要部分和覆盖窗口内的实时视图与重放视图之间切换。在一些示例中，危险情况的重放可以(自动地或响应于用户选择)填充当前情形面板304的全部，而当前实时视图被暂时禁止显示。在一些示例中，一旦危险情况的重放已经完成阈值次数，则重放窗口402可以被自动地移除以再次显示当前情形的实时视图。在一些示例中，除了提供危险情况和相应响应的图形表示的重放之外，用户界面400还可以提供对车辆100做了什么以及为什么这样做的基于文本的解释，如附图标记404中所标识的文本所示。进一步地，在一些示例中，还可以在危险情况的重放期间生成音频输出(例如声音、音频消息等)。

在一些示例中，危险情况的重放可以包括从实际检测到危险情况之前开始、并且一直持续到车辆已经恢复至安全情况之后的时间窗。因此，在一些示例中，示例存储器216将来自传感器104的收集到的反馈存储到循环缓冲区中，以能够重构导致危险情况、包括危险情况、以及危险情况之后的事件的顺序。在一些示例中，危险情况的所生成的重放可以(例如，在将循环缓冲区已替换为后续数据之后)被分开存储以用于长期检索。在一些示例中，可以在检测到并解决危险情况之后自动地生成重放。附加地或可替代地，可以响应于用户输入选择重放来提供重放。在一些示例中，用户界面可以包括用于重放的回放控制选项(例如，播放、暂停、倒带、调节速度、使全屏等)。

某些危险情况可能会暂时持续和/或很少涉及或没有涉及会被乘客感知为不寻常情况的突然的操纵。在一些此类示例中，可能不需要专门向(多个)乘客发出警报使他们注意情况和/或自动地提供事件的答复。因此，在一些示例中，危险情况的可听通知和/或危险情况的重放的呈现可限于满足一个或多个阈值的某些情形。在一些示例中，阈值可以基于以下各项中的一项或多项：检测到的危险情况的持续时间、重复危险情况的频率(例如，在繁忙的交通中反复停车和启动)、危险情况的性质(例如，是普遍发生还是罕见情形)、响应于危险情况而实施的车辆动力学的改变的性质(例如，惯性动量、速度、加速度/减速度、车轮方向等的值、变化和/或变化率)。在一些示例中，该阈值可以由终端用户定制和/或取决于环境因素(例如，外部温度、潮湿道路相比于干燥道路等)而变化。

如上文所描述，自主车辆100当前是处于安全情况中还是面临危险情况(如由相关安全性模型规则所定义)由围绕自我车辆图形322的安全性边界图形328来以图形方式表示。在所图示的示例中，安全性边界图形328与围绕自我车辆图形322的环相对应。在其他示例中，安全性边界图形328是另一种形状(例如，圆柱体、圆顶、矩形、盒子等)。在一些示例中，安全性边界图形328(或其一部分)可能仅在检测到危险情况时出现。也就是说，在一些示例中，在用户界面300、400上没有安全性边界图形328指示车辆100被确定当前处于安全情况。在一些示例中，自我车辆图形322(或其一部分)的外观可以改变外观(例如，改变颜色)以指示检测到危险情况，而不是改变围绕自我车辆图形322的安全性边界图形328的外观。

如上文所描述，在一些示例中，危险情况的确定是基于对与存储在存储器216中的RSS模型相关联的安全性规则的分析。RSS模型在从笛卡尔坐标系转换的基于情况的坐标系中操作，笛卡尔坐标系不直接与所图示示例中所示的环形的安全性边界图形328相对应。因此，在一些示例中，为了通过修改安全性边界图形的相关部分以在环上适当地呈现危险情况的位置，用户界面生成器220标识在周围环境中检测到的引起危险情况的对象(例如，小于由RSS模型规则定义的安全距离的其他车辆)，并执行对象位置到安全性边界图形328上的二阶投影。二阶投影使得能够在安全性边界图形328的环上指定检测到的对象(例如，附近的车辆)的横向距离和纵向距离，以标识图形328的要改变外观(例如，改变颜色)的(多个)部分。这在图5中示意性地表示。用于计算该二阶投影的示例方法在Hu等人概述的“一种用于正交投影到曲线和曲面的二阶算法(A second order algorithm for orthogonalprojection onto curves and surfaces)”爱思唯尔科学杂志(Elsevier Science)，2005年2月14日，共11页，并且该申请通过引用整体结合于此。

图5是图示基于等式3的点(p)在点p₀处的曲面的切面上的二阶投影的示图：

q-p₀＝s₁.Au¹+s₂.Δu² 等式3

其中，Δu¹和Δu²可被计算为常规线性方程组的解。等式3可以以任何合适的精度求解。在一些示例中，计算的准确性和/或粒度可能相对较低以减少计算复杂度，因为此类计算的目的并不影响车辆的操作和/或安全性，而仅仅是将可以快速且容易理解的危险情况的视觉表示提供给(多个)乘客。尽管可以对等式3进行求值以确定二阶投影，但是可以替代的使用任何其他合适的方法来完成该变换。

在一些示例中，由用户界面生成器220呈现的用户界面(经由乘客通信接口206)被提供给乘客接口系统110以用于在相关联的显示屏112上显示。尽管用户界面生成器220被示出并描述为示例控制器102的一部分，但在一些示例中，用户界面生成器220和/或其功能中的一些功能可以附加地或替代地由乘客接口系统110实现。

在一些示例中，控制器102与乘客接口系统110结合。在一些此类示例中，控制器102和乘客接口系统110两者都被集成和/或内置在车辆100中。在其他示例中，控制器102和乘客接口系统110两者都由与车辆100分开的便携式计算设备(例如，智能电话、平板设备、膝上型计算机等)实现。在一些示例中，图2中所示的控制器102的元件中的一个或多个元件由与车辆分开的便携式计算设备实现，而控制器102的其他元件被集成到车辆100中。进一步地，在一些示例中，控制器102的元件中的一些或全部元件和/或其相关联功能可以在车辆100和分开的便携式计算设备(例如，智能电话、平板设备、膝上计算机等)两者中复制。

虽然图2图示了实现图1的示例控制器102的示例方式，但图2所图示的元件、过程和/或设备中的一个或多个可以被组合、被拆分、被重新设置、被省略、被消除和/或以任何其他方式被实现。进一步地，示例传感器通信接口202、示例远程通信接口204、示例乘客通信接口206、示例环境分析器208、示例导航分析器210、示例车辆系统分析器212、示例安全性分析器214、示例存储器216、示例操作控制器218、示例用户界面生成器220、和/或图1的示例控制器102可由硬件、软件、固件、和/或硬件、软件和/或固件的任何组合来实现。因此，例如，示例传感器通信接口202、示例远程通信接口204、示例乘客通信接口206、示例环境分析器208、示例导航分析器210、示例车辆系统分析器212、示例安全性分析器214、示例存储器216、示例操作控制器218、示例用户界面生成器220、和/或示例控制器102中的任何一个可以由一个或多个模拟或数字电路、逻辑电路、(多个)可编程处理器、(多个)可编程控制器、(多个)图形处理单元(GPU)、(多个)数字信号处理器(DSP)、(多个)专用集成电路(ASIC)、(多个)可编程逻辑器件(PLD)和/或(多个)现场可编程逻辑器件(FPLD)实现。当阅读到本专利的装置或系统权利要求中的任一项涵盖纯软件和/或固件实现时，示例传感器通信接口202、示例远程通信接口204、示例乘客通信接口206、示例环境分析器208、示例导航分析器210、示例车辆系统分析器212、示例安全性分析器214、示例存储器216、示例操作控制器218、和/或示例用户界面生成器220中的至少一个由此被明确地限定为包括包含该软件和/或固件的非暂态计算机可读存储设备或存储盘(诸如，存储器、数字多功能盘(DVD)、紧凑盘(CD)、蓝光盘等等)。更进一步地，图1的示例控制器102可以包括附加于或替代于图2中所示的那些元件、过程和/或设备的一个或多个元件、过程和/或设备，和/或可以包括所图示的元件、过程和设备中任何或所有元件、过程和设备中的多于一个元件、过程和设备。如本文使用的，短语“通信”包括其各种变体，包含直接通信和/或通过一个或多个中间组件的间接通信，并且不需要直接物理(例如，有线)通信和/或持续通信，而是附加地包括以周期性间隔、预定间隔、非周期性间隔、和/或一次性事件来进行的选择性通信。

在图6中示出了表示用于实现图1和/或图2的控制器102的示例硬件逻辑、机器可读指令、硬件实现的状态机和/或其任何组合的流程图。机器可读指令可以是用于由计算机处理器和/或处理器电路执行的一个或多个可执行程序或可执行程序的(多个)部分，计算机处理器和/或处理器电路诸如下文结合图7所讨论的示例处理器平台700中示出的处理器712。虽然程序能具体化在存储于与处理器712关联的诸如CD-ROM、软盘、硬驱动器、DVD、蓝光盘或存储器之类的非暂态计算机可读存储介质上的软件中，但是全部程序和/或其部分可替代地由除处理器712之外的设备执行，和/或具体化在固件或专用硬件中。进一步地，虽然参考图6所图示的流程图描述示例程序，但是可替代地使用实现示例控制器102的许多其他方法。例如，可改变框的执行次序，和/或可改变、消除或组合所描述的框中的一些框。附加地或替代地，任何或所有框可以由被构造成在不执行软件或固件的情况下执行相应的操作的一个或多个硬件电路(例如，分立的和/或集成的模拟和/或数字电路、FPGA、ASIC、比较器、运算放大器(op-amp)、逻辑电路等)来实现。处理器电路可以分布在不同的网络位置和/或位于一个或多个设备的本地(例如，单个机器中的多核处理器、跨服务器机架分布的多个处理器等)。

本文中描述的机器可读指令可以以压缩格式、加密格式、片段格式、编译格式、可执行格式、封装格式等中的一种或多种来存储。本文描述的机器可读指令可以作为可用于创建、制造和/或产生机器可执行指令的数据或数据结构(例如，指令的部分、代码、代码表示等)来存储。例如，机器可读指令可以被分段并被存储在位于网络或网络集合(例如，在云中、在边缘设备中等)中的相同或不同位置的一个或多个存储设备和/或计算设备(例如，服务器)上。机器可读指令可能需要安装、修改、适配、更新、组合、补充、配置、解密、解压缩、拆包、分发、重新分配、编译等中的一项或多项，以使得它们由计算设备和/或其他机器直接可读取、可解释、和/或可执行。例如，机器可读指令可以存储在多个部分中，这些部分被单独压缩、加密并存储在单独的计算设备上，其中，这些部分在被解密、解压缩和组合时形成实现如本文所述的实现可以一起形成程序的一个或多个功能的指令的一组可执行指令。

在另一示例中，机器可读指令可以以它们可被处理器电路读取的状态存储，但是需要添加库(例如，动态链接库(DLL))、软件开发工具包(SDK)、应用编程接口(API)等，以便在特定的计算设备或其他设备上执行指令。在另一个示例中，在可整体或部分地执行机器可读指令和/或对应的(多个)程序之前，可能需要配置机器可读指令(例如，存储的设置、数据输入、记录的网络地址等)。因此，如本文所使用，机器可读介质可以包括机器可读指令和/或(多个)程序，而不管机器可读指令和/或(多个)程序在存储时或以其他方式处于静态或在传输中时的特定格式或状态如何。

本文所描述的机器可读指令可以由任何过去、现在或将来的指令语言、脚本语言、编程语言等表示。例如，机器可读指令可以用以下中任何一种语言来表示：C、C++语言、Java、C#、Perl、Python、JavaScript、超文本标记语言(HTML)、结构化查询语言(SQL)、SWIFT等。

如上文所提及，可使用存储于非暂态计算机和/或机器可读介质上的可执行指令(例如，计算机和/或机器可读指令)实现图6的示例过程，非暂态计算机和/或机器可读介质诸如，硬盘驱动器、闪存、只读存储器、紧凑盘、数字多功能盘、高速缓存、随机存取存储器和/或在其中存储信息达任何持续时间(例如，扩展的时间段、永久地、简短的情况、用于临时缓冲和/或用于对信息进行高速缓存)的任何其他存储设备或存储盘。如本文中所使用，术语非暂态计算机可读介质被明确地限定为包括任何类型的计算机可读存储设备和/或存储盘，并且排除传播信号并排除传输介质。

“包含”和“包括”(及其所有形式和时态)在本文中用作开放式术语。因此，每当权利要求将任何形式的“包含”或“包括”(例如，包括、包含、包括有、包含有、具有等)用作前言或用于任何种类的权利要求叙述内时，要理解的是，附加的要素、项等可以存在而不超出对应权利要求或叙述的范围。如本文中所使用，当短语“至少”被用作例如权利要求的前序部分中的过渡术语时，它以与术语“包含”和“包括”是开放式的相同的方式是开放式的。当例如以诸如A、B和/或C之类的形式使用术语“和/或”时，指的是A、B、C的任何组合或子集，诸如(1)单独的A、(2)单独的B、(3)单独的C、(4)A与B、(5)A与C、(6)B与C、以及(7)A与B与C。如本文中在描述结构、组件、项、对象和/或事物的上下文中所使用，短语揂和B中的至少一个旨在是指包括(_1)至少一个A、(2)至少一个B和(3)至少一个A和至少一个B中的任何一个的实现。类似地，如本文中在描述结构、组件、项、对象和/或事物的上下文中所使用，短语揂或B中的至少一个旨在是指包括(_1)至少一个A、(2)至少一个B、和(3)至少一个A和至少一个B中的任何一个的实现。如本文中在描述过程、指令、动作、活动和/或步骤的处理或执行的上下文中所使用，短语揂和B中的至少一个旨在是指包括(_1)至少一个A、(2)至少一个B、和(3)至少一个A和至少一个B中的任何一个的实现。类似地，如本文中在描述过程、指令、动作、活动和/或步骤的处理或执行的上下文中所使用，短语"A或B中的至少一个"旨在是指包括(1)至少一个A、(2)至少一个B、和(3)至少一个A和至少一个B中的任何一个的实现。

如本文所用，单数引用(例如，“一个(a)”、“一个(an)”、“第一”、“第二”等)不排除复数。本文所使用的术语“一个(a或an)”实体是指该实体中的一个或多个。术语“一个(a)”(或“一个(an)”)、“一个或多个”和“至少一个”可以在本文中互换使用。进一步地，尽管单独列出，但多个装置、元件或方法动作可由例如单个单元或处理器来实现。另外，虽然各个特征可以被包括在不同的示例或权利要求中，但是这些特征可能被组合，并且在不同的示例或权利要求中的包含并不意味着特征的组合是不可行和/或不是有利的。

图6的程序开始于框602处，其中示例操作控制器218在安全情形下自主地控制车辆100。也就是说，在未检测到危险情况的情形下，操作控制器218控制自主车辆的操作以导航通过周围环境而到达目标目的地。在框604处，示例安全性分析器214确定是否已经检测到危险情况。如上文所描述，安全性分析器214基于违反由安全性模型(例如，RSS模型)数学定义的安全驾驶规则，来检测危险情况。如果未检测到危险情况，则控制前进至框606，其中示例用户界面生成器220呈现车辆100的当前情形的表示，该当前情形的表示包括自我车辆图形322和指示安全情形的安全性边界图形328。此后，控制返回到框602。

返回至框604，如果示例安全性分析器214检测到危险情况，则控制前进至框608，其中操作控制器218自主地控制车辆100以对该危险情况做出响应。在一些示例中，由操作控制器218实现的特定响应是基于由安全性模型定义的一个或多个安全驾驶规则，该安全性模型也定义了危险情况。在框610处，示例用户界面生成器220利用被修改以指示危险情况的安全性边界图形328的一部分来呈现车辆100的当前情形的表示。在一些示例中，基于颜色的改变(例如，从蓝色到红色)来修改所述安全性边界图形328的部分。在一些示例中，安全性边界图形328的经修改的部分的位置基于被违反而引起危险情况的安全横向和/或纵向距离来确定。在一些示例中，通过将相关横向距离和/或纵向距离的坐标转换为安全性边界图形328的形状来确定安全性边界图形328的经修改的部分的特定位置。尽管框610被示出并描述为发生在框608之后，但在一些示例中，可以并行地执行块608和610的实现。

在框612处，示例安全性分析器214确定是否已经避免危险情况。即，安全性分析器214确定不再存在危险情况，并且自主车辆100的情形已经返回到安全情况。如果尚未避免危险情况(例如，仍然存在)，则控制返回至框608。如果已经避免危险情况(例如，车辆已返回至安全情况)，则控制进行至框614，其中示例用户界面生成器220利用指示安全情形的安全性边界图形328来呈现车辆100的当前情形的表示。

在框616处，示例用户界面生成器220确定是否重放危险情况和/或相关联的响应。在一些示例中，用户界面生成器220基于是否已经满足一个或多个阈值来做出该确定。例如，危险情况的持续时间是否超过阈值时间段、自从先前检测到危险情况以来是否经过了阈值时间段、车辆的响应是否包括与满足对应的阈值的车辆动力学相关的操纵(例如，突然制动、突然加速、大偏差转动方向盘等)，等等。如果示例用户界面生成器220确定不重放危险情况和/或相关联的响应(例如，不满足相关阈值)，则控制返回到框602。如果示例用户界面生成器220确定重放危险情况和/或相关联的响应，则控制前进到框618。

在框618处，示例用户界面生成器220选择历史数据的时间窗口以用于重放。在一些示例中，时间窗口可以包括在检测到危险情况之前的第一阈值时间段和/或在危险情况结束之后延长第二阈值时间段。在框620处，用户界面生成器220呈现危险情况和/或相关联的响应的重放。此后，控制返回到框602。尽管在图6中将重放示出并描述为在已经避免(例如已经结束)了对应的危险情况之后发生，但是在一些示例中，用户界面生成器220可以在危险情况持续进行的同时发起重放。

图7是被构造用于执行图6中的指令以实现图1和/或图2中的控制器102的示例处理器平台700的框图。处理器平台700可以是例如服务器、个人计算机、工作站、自学习机(例如，神经网络)、移动设备(例如，蜂窝电话、智能电话、诸如iPad^TM之类的平板设备)、个人数字助理(PDA)或任何其他类型的计算设备。

所图示示例的处理器平台700包括处理器712。所图示示例的处理器712是硬件。例如，处理器712可以由来自任何所需要的系列或制造商的一个或多个集成电路、逻辑电路、微处理器、GPU、DSP或控制器实现。硬件处理器可以是基于半导体的(例如，硅基)器件。在该示例中，处理器实现示例环境分析器208、示例导航分析器210、示例车辆系统分析器212、示例安全性分析器214、示例操作控制器218、和示例用户界面生成器220。

所图示示例的处理器712包括本地存储器713(例如，高速缓存)。所图示示例的处理器712经由总线718与包括易失性存储器714和非易失性存储器716的主存储器进行通信。易失性存储器714可由同步动态随机存取存储器(SDRAM)、动态随机存取存储器(DRAM)、

动态随机存取存储器

和/或任何其他类型的随机存取存储器设备实现。非易失性存储器716可由闪存和/或任何其他所期望类型的存储器设备实现。由存储器控制器控制对主存储器714、主存储器716的访问。

所图示示例的处理器平台700还包括接口电路720。接口电路720可由任何类型的接口标准实现，诸如以太网接口、通用串行总线(USB)、

接口、近场通信(NFC)接口和/或PCI快速接口。在该示例中，接口电路实现示例传感器通信接口202、示例远程通信接口204、和示例乘客通信接口206。

在所图示示例中，一个或多个输入设备722被连接至接口电路720。(多个)输入设备722准许用户将数据和/或命令输入至处理器712中。(多个)输入设备可以通过例如音频传感器、麦克风、光相机(静止或视频)、红外相机、雷达传感器、激光雷达传感器、超声波传感器、惯性测量单元、加速计、陀螺仪、磁力计、全球定位系统(GPS)传感器、键盘、按钮、鼠标，触摸屏、轨迹板、轨迹球、等点鼠标(isopoint)和//或语音识别系统实现。

一个或多个输出设备724也被连接至所图示示例的接口电路720。输出设备724可例如由显示设备(例如，发光二极管(LED)、有机发光二极管(OLED)、液晶显示器(LCD)、阴极射线管显示器(CRT)、面内切换(IPS)显示器、触摸屏等)、触觉输出设备、打印机和/或扬声器实现。因此，所图示示例的接口电路720典型地包括图形驱动器卡、图形驱动器芯片和/或图形驱动器处理器。

所图示的示例的接口电路720还包括诸如发射机、接收机、收发机、调制解调器、住宅网关、无线接入点、和/或网络接口之类的通信设备，以促进经由网络726与外部机器(例如，任何种类的计算设备)交换数据。通信可经由例如以太网连接、数字订户线路(DSL)连接、电话线连接、同轴电缆系统、卫星系统、直线对传式无线系统、蜂窝电话系统等。

所图示示例的处理器平台700还包括用于存储软件和/或数据的一个或多个大容量存储设备728。此类大容量存储设备728的示例包括软盘驱动器、硬驱动器盘、紧凑盘驱动器、蓝光盘驱动器、独立磁盘冗余阵列(RAID)系统和数字多功能盘(DVD)驱动器。在该示例中，大容量存储设备728包括示例存储器216。

图6的机器可执行指令732可以被存储在大容量存储设备728中，存储在易失性存储器714中，存储在非易失性存储器716中，和/或存储在诸如CD或DVD的可移除非暂态计算机可读存储介质上。

图8图示了图示将诸如图7的示例计算机可读指令732之类的软件分发给第三方的示例软件分发平台805的框图。示例软件分发平台805可以由能够存储软件并将软件传送到其他计算设备的任何计算机服务器、数据设施、云服务等来实现。第三方可以是拥有和/或操作软件分发平台的实体的客户。例如，拥有和/或操作软件分发平台的实体可以是软件(诸如图7的示例计算机可读指令732)的开发者、销售者、和/或许可者。第三方可以是消费者、用户、零售商、OEM等，他们购买和/或许可软件以用于使用和/或转售和/或分许可。在所图示的示例中，软件分发平台805包括一个或多个服务器和一个或多个存储设备。存储设备存储计算机可读指令732，该计算机可读指令732可以与由图6的流程图表示的示例计算机可读指令相对应，如上文所描述。示例软件分发平台805的一个或多个服务器与网络810通信，该网络810可以与互联网和/或上文所述示例网络108、726中的任一个的任何一个或多个相对应。在一些示例中，作为商业交易的一部分，一个或多个服务器响应于将软件传送到请求方的请求。可以由软件分发平台的一个或多个服务器和/或经由第三方支付实体来处理用于软件的交付、销售、和/或许可的支付。服务器使购买者和/或许可者能够从软件分发平台805下载计算机可读指令732。例如，可以与图6的流程图中表示的示例计算机可读指令相对应的软件可以被下载到示例处理器平台700，该处理器平台700用于执行计算机可读指令以实现示例控制器102。在一些示例中，软件分发平台805的一个或多个服务器周期性地提供、传送和/或强制进行软件(例如，示例计算机可读指令732)更新以确保改善、补丁、更新等被分发并应用于终端用户设备处的软件。

根据前述内容，将会领悟，已经公开了能够以逐渐向(多个)乘客灌输对车辆保证(多个)乘客安全的能力增加的信心的方式来控制自主车辆的示例方法、设备、和制品。具体而言，本文公开的示例基于对安全性模型中包括的数学上定义的安全驾驶规则的评估来监测和检测车辆何时处于安全情况或危险情况。当车辆处于安全情况中时，经由一个或多个显示屏以图形的方式向(多个)乘客表示。同样，当检测到危险情况时，呈现在显示屏上的内容被更新以指示危险情况的性质，从而向(多个)乘客展示车辆能够标识的危险类型。进一步地，在一些示例中，车辆自动地实现对危险情况的(多个)适当响应，直到车辆恢复到安全情况。由于(多个)此类响应可能突然地并且在没有警告(多个)乘客的情况下发生，因此在一些示例中，可以经由显示屏将检测到的危险情况和车辆的(多个)对应响应的重放提供给(多个)乘客，以使(多个)乘客能够理解发生了什么并在他们了解车辆为什么要执行其所做的动作时，使他们放心。

本文公开了将事故避免信息提供给自主车辆的乘客的示例方法、设备、系统、和制品。进一步的示例及其组合包括以下内容：

示例1包括一种设备，该设备包括：安全性分析器，该安全性分析器用于确定自主控制的车辆在第一时间点处于安全情况，并且在第二时间点处于危险情况，该危险情况在违反安全性模型的确定性评估的安全驾驶规则时被确定，该安全情况在没有违反安全性模型的确定性评估的安全驾驶规则时被确定；以及用户界面生成器，该用户界面生成器用于生成用户界面数据以定义要经由屏幕显示的用户界面的内容，该用户界面用于包括车辆的图形表示，该用户界面用于以图形方式指示车辆在第一时间点处于安全情况，并修改用户界面数据，使得用户界面以图形方式指示车辆在第二时间点处于危险情况。

示例2包括示例1的设备，其中用户界面数据用于在第二时间点定义用于在用户界面中显示的安全性边界图形，该安全性边界图形用于围绕车辆的图形表示，该安全性边界图形用于指示危险情况。

示例3包括示例2的设备，其中用户界面用于包括在第一时间点围绕车辆的图形表示的安全性边界图形，安全性边界图形用于在第一时间点具有第一外观，并且用于在第二时间点具有第二外观，第一外观用于指示安全情况，并且第二外观用于指示危险情况。

示例4包括示例2的设备，其中安全性边界图形的第一部分是第一颜色，并且安全性边界图形的第二部分是第二颜色，第一部分的位置与导致确定危险情况的对象相对于车辆的方向相对应。

示例5包括示例4的设备，其中，用户界面数据用于定义用于在用户界面中显示的对象的图形表示，该对象的图形表示基于真实世界中的对象与车辆的相对位置来相对于车辆的图形表示而定位。

示例6包括示例5的设备，其中对象的图形表示在第一时间点具有第一外观，并且在第二时间点具有第二外观。

示例7包括示例1的设备，其中用户界面生成器用于在确定车辆在第一时间点处于危险情况时基本上实时地修改用户界面数据。

示例8包括示例1的设备，进一步包括：存储器，该存储器用于存储指示危险情况以及由车辆为避免危险情况而实现的响应的数据，该用户界面生成器用于生成用户界面数据，使得用户界面包括危险情况以及在第二时间点之后的第三时间点的响应的图形表示的重放，该重放基于所存储的数据。

示例9包括示例8的设备，其中用户界面用于超过一次地显示重放。

示例10包括示例1的设备，其中用户界面数据用于定义要与屏幕上显示的内容分开生成的可听输出、视觉输出、或触觉输出中的至少一种，可听输出、视觉输出或触觉输出中的至少一种在安全性分析器确定车辆处于危险情况时被生成。

示例11包括示例1的设备，其中屏幕被集成到车辆中。

示例12包括示例1的设备，其中屏幕与车辆中乘客的便携式计算设备相关联。

示例13包括示例1的设备，其中，屏幕在车辆外部远程地定位。

示例14包括一种非暂态计算机可读介质，包括指令，当指令被执行时使机器至少用于：确定自主控制的车辆在第一时间点处于安全情况，并且在第二时间点处于危险情况，该危险情况在违反安全性模型的确定性评估的安全驾驶规则时被确定，该安全情况在没有违反安全性模型的确定性评估的安全驾驶规则时被确定，并且生成用户界面数据以定义要经由屏幕显示的用户界面的内容，该用户界面包括车辆的图形表示，该用户界面用于以图形方式指示车辆在第一时间点处于安全情况，并修改用户界面数据，使得用户界面以图形方式指示车辆在第二时间点处于危险情况。

示例15包括示例14的非暂态计算机可读介质，其中用户界面数据用于在第二时间点定义用于在用户界面中显示的安全性边界图形，该安全性边界图形用于围绕车辆的图形表示，该安全性边界图形用于指示危险情况。

示例16包括示例15的非暂态计算机可读介质，其中用户界面用于包括在第一时间点围绕车辆的图形表示的安全性边界图形，安全性边界图形用于在第一时间点具有第一外观，并且用于在第二时间点具有第二外观，第一外观用于指示安全情况，并且第二外观用于指示危险情况。

示例17包括示例15的非暂态计算机可读介质，其中安全性边界图形的第一部分是第一颜色，并且安全性边界图形的第二部分是第二颜色，第一部分的位置与导致确定危险情况的对象相对于车辆的方向相对应。

示例18包括示例17的非暂态计算机可读介质，其中，用户界面数据用于定义用于在用户界面中显示的对象的图形表示，该对象的图形表示基于真实世界中的对象与车辆的相对位置来相对于车辆的图形表示而定位。

示例19包括示例18的非暂态计算机可读介质，其中对象的图形表示在第一时间点具有第一外观，并且在第二时间点具有第二外观。

示例20包括示例14的非暂态计算机可读介质，其中指令进一步使机器用于在确定车辆在第一时间点处于危险情况时基本上实时地修改用户界面数据。

示例21包括示例14的非暂态计算机可读介质，其中指令进一步使机器用于存储指示危险情况以及由车辆为避免危险情况而实现的响应的数据，并且生成用户界面数据，使得用户界面包括危险情况以及在第二时间点之后的第三时间点的响应的图形表示的重放，该重放基于所存储的数据。

示例22包括示例21的非暂态计算机可读介质，其中用户界面用于超过一次地显示重放。

示例23包括示例14的非暂态计算机可读介质，其中用户界面数据用于定义要与屏幕上显示的内容分开生成的可听输出、视觉输出、或触觉输出中的至少一种，可听输出、视觉输出或触觉输出中的至少一种响应于车辆处于危险情况的确定而被生成。

示例24包括一种方法，该方法包括：通过利用处理器执行指令来确定自主控制的车辆在第一时间点处于安全情况，并且在第二时间点处于危险情况，该危险情况在违反安全性模型的确定性评估的安全驾驶规则时被确定，该安全情况在没有违反安全性模型的确定性评估的安全驾驶规则时被确定；以及通过利用处理器执行指令来生成用户界面数据以定义要经由屏幕显示的用户界面的内容，该用户界面包括车辆的图形表示，该用户界面用于以图形方式指示车辆在第一时间点处于安全情况，以及通过利用处理器执行指令来修改用户界面数据，使得用户界面以图形方式指示车辆在第二时间点处于危险情况。

示例25包括示例24的方法，其中用户界面数据用于在第二时间点定义用于在用户界面中显示的安全性边界图形，该安全性边界图形用于围绕车辆的图形表示，该安全性边界图形用于指示危险情况。

示例26包括示例25的方法，其中用户界面用于包括在第一时间点围绕车辆的图形表示的安全性边界图形，安全性边界图形用于在第一时间点具有第一外观，并且用于在第二时间点具有第二外观，第一外观用于指示安全情况，并且第二外观用于指示危险情况。

示例27包括示例25的方法，其中安全性边界图形的第一部分是第一颜色，并且安全性边界图形的第二部分是第二颜色，第一部分的位置与导致确定危险情况的对象相对于车辆的方向相对应。

示例28包括示例27的方法，其中，用户界面数据用于定义用于在用户界面中显示的对象的图形表示，该对象的图形表示基于真实世界中的对象与车辆的相对位置来相对于车辆的图形表示而定位。

示例29包括示例28的方法，其中对象的图形表示在第一时间点具有第一外观，并且在第二时间点具有第二外观。

示例30包括示例24的方法，进一步包括在确定车辆在第一时间点处于危险情况时基本上实时地修改用户界面数据。

示例31包括示例24的方法，进一步包括：存储指示危险情况以及由车辆为避免危险情况而实现的响应的数据，以及生成用户界面数据，使得用户界面包括危险情况以及在第二时间点之后的第三时间点的响应的图形表示的重放，该重放基于所存储的数据。

示例32包括示例31的方法，其中用户界面用于超过一次地显示重放。

示例33包括示例24的方法，其中用户界面数据用于定义要与屏幕上显示的内容分开生成的可听输出、视觉输出、或触觉输出中的至少一种，可听输出、视觉输出或触觉输出中的至少一种响应于车辆处于危险情况的确定而被生成。

尽管本文中已公开了某些示例方法、设备和制品，但本专利涵盖的范围并不限于此。相反，本专利涵盖落入本专利权利要求范围内的全部方法、设备和制品。

所附的权利要求由此通过本参考被并入到具体实施方式中，其中每一项权利要求其本身作为本公开的单独的实施例。

Claims (24)

1.一种设备，所述设备包括：

安全性分析器，所述安全性分析器用于确定自主控制的车辆在第一时间点处于安全情况并且在第二时间点处于危险情况，所述危险情况在违反安全性模型的评估的安全驾驶规则时被确定，所述安全情况在不违反所述安全性模型的评估的安全驾驶规则时被确定；以及

用户界面生成器，所述用户界面生成器用于：

生成用户界面数据以定义要经由屏幕显示的用户界面的内容，所述用户界面用于包括所述车辆的图形表示，所述用户界面用于以图形方式指示所述车辆在所述第一时间点处于所述安全情况；并且

修改所述用户界面数据，使得所述用户界面以图形方式指示所述车辆在所述第二时间点处于所述危险情况。

2.如权利要求1所述设备，其特征在于，所述用户界面数据用于在所述第二时间点定义用于在所述用户界面中显示的安全性边界图形，所述安全性边界图形用于围绕所述车辆的所述图形表示，所述安全性边界图形用于指示所述危险情况。

3.如权利要求2所述的设备，其特征在于，所述用户界面用于包括在所述第一时间点围绕所述车辆的所述图形表示的所述安全性边界图形，所述安全性边界图形用于在所述第一时间点具有第一外观，并且用于在所述第二时间点具有第二外观，所述第一外观用于指示所述安全情况，并且所述第二外观用于指示所述危险情况。

4.如权利要求2所述的设备，其特征在于，所述安全性边界图形的第一部分是第一颜色，并且所述安全性边界图形的第二部分是第二颜色，所述第一部分的位置与导致确定所述危险情况的对象相对于所述车辆的方向相对应。

5.如权利要求4所述的设备，其特征在于，所述用户界面数据用于定义用于在所述用户界面中显示的所述对象的图形表示，所述对象的所述图形表示基于真实世界中的所述对象与所述车辆的相对位置来相对于所述车辆的所述图形表示而定位。

6.如权利要求5所述的设备，其特征在于，所述对象的所述图形表示在所述第一时间点具有第一外观，并且在所述第二时间点具有第二外观。

7.如权利要求1-6中任一项所述的设备，其特征在于，所述用户界面生成器用于在确定所述车辆在所述第一时间点处于所述危险情况时基本上实时地修改所述用户界面数据。

8.如权利要求1-6中任一项所述的设备，进一步包括：存储器，所述存储器用于存储指示所述危险情况以及由所述车辆为避免所述危险情况而实现的响应的数据，所述用户界面生成器用于生成所述用户界面数据，使得所述用户界面包括所述危险情况以及在所述第二时间点之后的第三时间点的响应的图形表示的重放，所述重放基于所存储的数据。

9.如权利要求8所述的设备，其特征在于，所述用户界面用于超过一次地显示所述重放。

10.如权利要求1-6中任一项所述的设备，其特征在于，所述用户界面数据用于定义要与所述屏幕上显示的所述内容分开生成的可听输出、视觉输出、或触觉输出中的至少一种，所述可听输出、视觉输出或触觉输出中的至少一种在所述安全性分析器确定所述车辆处于所述危险情况时被生成。

11.如权利要求1-6中任一项所述的设备，其特征在于，所述屏幕被集成到所述车辆中。

12.如权利要求1-6中任一项所述的设备，其特征在于，所述屏幕与所述车辆中乘客的便携式计算设备相关联。

13.如权利要求1-6中任一项所述的设备，其特征在于，所述屏幕在所述车辆的外部远程地定位。

14.一种包括指令的计算机可读介质，所述指令在被执行时使机器至少进行以下操作：

确定自主控制的车辆在第一时间点处于安全情况并且在第二时间点处于危险情况，所述危险情况在违反安全性模型的评估的安全驾驶规则时被确定，所述安全情况在不违反所述安全性模型的评估的安全驾驶规则时被确定；并且

生成用户界面数据以定义要经由屏幕显示的用户界面的内容，所述用户界面包括所述车辆的图形表示，所述用户界面用于以图形方式指示所述车辆在所述第一时间点处于所述安全情况；并且

修改所述用户界面数据，使得所述用户界面以图形方式指示所述车辆在所述第二时间点处于所述危险情况。

15.如权利要求14所述的计算机可读介质，其特征在于，所述用户界面数据用于在所述第二时间点定义用于在所述用户界面中显示的安全性边界图形，所述安全性边界图形用于围绕所述车辆的所述图形表示，所述安全性边界图形用于指示所述危险情况。

16.如权利要求15所述的计算机可读介质，其特征在于，所述用户界面用于包括在所述第一时间点围绕所述车辆的所述图形表示的所述安全性边界图形，所述安全性边界图形用于在所述第一时间点具有第一外观，并且用于在所述第二时间点具有第二外观，所述第一外观用于指示所述安全情况，并且所述第二外观用于指示所述危险情况。

17.如权利要求15或16中任一项所述的计算机可读介质，其特征在于，所述安全性边界图形的第一部分是第一颜色，并且所述安全性边界图形的第二部分是第二颜色，所述第一部分的位置与导致确定所述危险情况的对象相对于所述车辆的方向相对应。

18.如权利要求17所述的计算机可读介质，其特征在于，所述用户界面数据用于定义用于在所述用户界面中显示的所述对象的图形表示，所述对象的所述图形表示基于真实世界中的所述对象与所述车辆的相对位置来相对于所述车辆的所述图形表示而定位。

19.如权利要求18所述的计算机可读介质，其特征在于，所述对象的所述图形表示在所述第一时间点具有第一外观，并且在所述第二时间点具有第二外观。

20.如权利要求14-16中任一项所述的计算机可读介质，其特征在于，所述指令进一步使所述机器用于在确定所述车辆在第所述一时间点处于所述危险情况时基本上实时地修改所述用户界面数据。

21.如权利要求14-16中的任一项所述的计算机可读介质，其特征在于，所述指令进一步使所述机器用于：

存储指示所述危险情况以及所述车辆为避免所述危险情况而真实的响应的数据；并且

生成所述用户界面数据，使得所述用户界面包括所述危险情况以及在所述第二时间点之后的第三时间点的响应的图形表示的重放，所述重放基于所存储的数据。

22.一种方法，包括：

通过利用处理器执行指令来确定自主控制的车辆在第一时间点处于安全情况并且在第二时间点处于危险情况，所述危险情况在违反安全性模型的评估的安全驾驶规则时被确定，所述安全情况在不违反所述安全性模型的评估的安全驾驶规则时被确定；

通过利用所述处理器执行指令来生成用户界面数据以定义要经由屏幕显示的用户界面的内容，所述用户界面包括所述车辆的图形表示，所述用户界面用于以图形方式指示所述车辆在所述第一时间点处于所述安全情况；并且

通过利用所述处理器执行指令来修改所述用户界面数据，使得所述用户界面以图形方式指示所述车辆在所述第二时间点处于所述危险情况。

23.如权利要求22所述方法，其特征在于，所述用户界面数据用于在所述第二时间点定义用于在所述用户界面中显示的安全性边界图形，所述安全性边界图形用于围绕所述车辆的所述图形表示，所述安全性边界图形用于指示所述危险情况。

24.如权利要求22或23中的任一项所述的方法，进一步包括：

存储指示所述危险情况以及所述车辆为避免所述危险情况而真实的响应的数据；以及

生成所述用户界面数据，使得所述用户界面包括所述危险情况以及在所述第二时间点之后的第三时间点的响应的图形表示的重放，所述重放基于所存储的数据。

Images