CN113093754A - 自动驾驶装置和自动驾驶系统 - Google Patents

Abstract

本发明提供了一种自动驾驶装置和自动驾驶系统，装置包括相互分离设置的功能模块和安全模块；功能模块和安全模块通信连接；功能模块用于将功能模块的运行数据发送至安全模块；安全模块用于基于运行数据，调整功能模块的工作模式。该装置将功能模块和安全模块分离设置，在功能模块异常时，不会影响安全模块的正常运行，从而可以有效保证自动驾驶装置的安全性。

Description

自动驾驶装置和自动驾驶系统

技术领域

本发明涉及自动驾驶技术领域，尤其是涉及一种自动驾驶装置和自动驾驶系统。

背景技术

安全是自动驾驶装置最基础也是最重要的方面，自动驾驶装置涉及大量传感器、各种复杂算法模块，如果某部分功能失效可能造成严重的安全事故，因此，需要对自动驾驶装置的各部分功能进行监控；相关技术中，通常是将功能相关的逻辑代码和安全监控相关的逻辑代码编写在一起，即，将两种逻辑代码之间相互穿插编写，这种编写方式使功能和安全监控集成在一起，在功能失效的情况下，可能会引起安全监控的失效，进而导致整个自动驾驶装置的监控失效，无法保证自动驾驶装置的安全性。

发明内容

本发明的目的在于提供一种自动驾驶装置和自动驾驶系统，以保证自动驾驶装置的安全性。

本发明提供的一种自动驾驶装置，所述装置包括：相互分离设置的功能模块和安全模块；所述功能模块和所述安全模块通信连接；所述功能模块用于将所述功能模块的运行数据发送至所述安全模块；所述安全模块用于基于所述运行数据，调整所述功能模块的工作模式。

进一步的，所述安全模块中包括依次连接的监控单元、系统状态综合单元、故障识别单元和功能降级管理单元；所述功能降级管理单元还与所述监控单元连接；所述监控单元用于接收所述功能模块发送的所述运行数据，将所述运行数据发送至所述系统状态综合单元；所述系统状态综合单元用于分析所述运行数据，输出针对所述运行数据的运行标识信息，将所述运行标识信息发送至所述故障识别单元；所述故障识别单元用于基于所述运行标识信息，识别出所述系统的故障信息，将所述故障信息发送至所述功能降级管理单元；所述功能降级管理单元用于基于所述故障信息，通过所述监控单元，调整所述功能模块的工作模式。

进一步的，所述监控单元还用于存储所述运行数据。

进一步的，所述功能模块中包括多个功能单元，每个所述功能单元设置有对应的监控接口。

进一步的，所述监控单元包括多个；所述功能单元通过所述功能单元对应的监控接口，与所述监控单元一一对应连接。

进一步的，多个所述功能单元预先划分为第一优先级的功能单元、第二优先级的功能单元和第三优先级的功能单元；从所述第一优先级的功能单元到所述第三优先级的功能单元，所述功能单元的处理优先级依次降低。

进一步的，所述系统状态综合单元包括第一状态子单元、第二状态子单元和第三状态子单元；所述第一状态子单元的输出端与所述第二状态子单元的输入端连接，所述第二状态子单元的输入端与所述第三状态子单元的输入端连接；所述第一状态子单元用于接收所述第一优先级的功能单元的第一运行数据，输出第一运行标识信息，将所述第一运行标识信息发送至所述故障识别单元和所述第二状态子单元；所述第二状态子单元用于接收所述第二优先级的功能单元的第二运行数据，基于所述第二运行数据和所述第一运行标识信息，输出第二运行标识信息，将所述第二运行标识信息发送至所述故障识别单元和所述第三状态子单元；所述第三状态子单元用于接收所述第三优先级的功能单元的第三运行数据，基于所述第三运行数据和所述第二运行标识信息，输出第三运行标识信息，将所述第三运行标识信息发送至所述故障识别单元。

进一步的，所述安全模块中还包括：适配单元；所述适配单元与所述故障识别单元连接；所述适配单元用于基于所述故障信息输出适配结果。

本发明提供的一种自动驾驶系统，包括：控制模块，以及上述任一项所述的自动驾驶装置；所述控制模块与所述自动驾驶装置连接；所述控制模块用于调整所述自动驾驶装置的工作模式。

进一步的，所述控制模块与所述自动驾驶装置中的故障识别单元连接；所述控制模块用于基于所述故障识别单元输出的适配结果，调整所述自动驾驶装置的工作模式。

本发明提供的自动驾驶装置和自动驾驶系统，装置包括相互分离设置的功能模块和安全模块；功能模块和安全模块通信连接；功能模块用于将功能模块的运行数据发送至安全模块；安全模块用于基于运行数据，调整功能模块的工作模式。该装置将功能模块和安全模块分离设置，在功能模块异常时，不会影响安全模块的正常运行，从而可以有效保证自动驾驶装置的安全性。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种自动驾驶装置的结构示意图；

图2为本发明实施例提供的一种自动驾驶系统的结构示意图；

图3为本发明实施例提供的一种监控软件系统架构示意图；

图4为本发明实施例提供的一种系统状态综合单元的架构示意图。

具体实施方式

下面将结合实施例对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

安全是自动驾驶装置最基础也是最重要的方面，需要对自动驾驶装置的各部分功能进行监控；相关技术中通常将功能逻辑代码和安全监控代码混合在一起，如果发生功能的失效可能引起安全监控的失效，从而整个系统失效。基于此，本发明实施例提供了一种自动驾驶装置和自动驾驶系统，该技术可以应用于自动驾驶车辆中。

为便于对本实施例进行理解，首先对本发明实施例所公开的一种自动驾驶装置进行详细介绍；如图1所示，该装置包括：相互分离设置的功能模块10和安全模块11；功能模块10和安全模块11通信连接；功能模块10用于将功能模块10的运行数据发送至安全模块11；安全模块11用于基于运行数据，调整功能模块10的工作模式。

上述功能模块10可以理解为在自动驾驶装置中，能实现相关功能的模块，如采集模块、融合模块或感知模块等；上述安全模块11可以理解为在发生异常时，能保证自动驾驶装置安全运行的模块；功能模块10可以将自身的运行数据，即自身的状态发送至安全模块11，安全模块11根据接收到的运行数据，确定功能模块10所匹配的工作模式，如果需要调整，则控制功能模块10调整至所匹配的工作模式；比如，如果安全模块11检测到功能模块10的当前状态有异常，该安全模块11可以识别出所存在的故障，并采取相应级别的反应，以将功能模块10调整到合适的状态，使该功能模块10进入相适应的工作模式。

本发明提供的自动驾驶装置，包括相互分离设置的功能模块和安全模块；功能模块和安全模块通信连接；功能模块用于将功能模块的运行数据发送至安全模块；安全模块用于基于运行数据，调整功能模块的工作模式。该装置将功能模块和安全模块分离设置，在功能模块异常时，不会影响安全模块的正常运行，从而可以有效保证自动驾驶装置的安全性。

进一步的，安全模块11中包括依次连接的监控单元、系统状态综合单元、故障识别单元和功能降级管理单元；功能降级管理单元还与监控单元连接；监控单元用于接收功能模块10发送的运行数据，将运行数据发送至系统状态综合单元；系统状态综合单元用于分析运行数据，输出针对运行数据的运行标识信息，将运行标识信息发送至故障识别单元；故障识别单元用于基于运行标识信息，识别出系统的故障信息，将故障信息发送至功能降级管理单元；功能降级管理单元用于基于故障信息，通过监控单元，调整功能模块10的工作模式。

上述监控单元也可以称为运行状态监控模块，该监控单元与上述功能模块10通信连接，可以接收功能模块10发送的运行数据，并将其发送至系统状态综合单元，系统状态综合单元对收集到的运行数据进行分析，输出相应的运行标识信息，该运行标识信息可以是打分值的形式，也可以是等级评定的形式，如“良好”“中等”或者“较差”等，当然也可以采用其他形式，具体可以根据实际需求进行设置，在此不作限定；系统状态综合单元可以将分析得到的运行标识信息发送至故障识别单元，故障识别单元可以基于该运行标识信息分析出当前装置中存在的异常，即可以识别出具体的故障信息等；如果故障识别单元识别出自动驾驶装置中存在故障或其他相关错误，功能降级管理单元可以根据这些故障信息进行判断，并通过监控单元，将判断结果反馈给功能模块10，以使功能模块10进入相应的工作模式；例如，如果前向感知失效，可能会采取紧急停车措施等。

进一步的，监控单元还用于存储运行数据。在实际实现时，监控单元通常还具有缓存功能，监控单元可以将从功能模块10接收到的运行数据进行缓存，当系统状态综合单元需要获取运行数据时，再从该监控单元中获取即可。

进一步的，功能模块10中包括多个功能单元，每个功能单元设置有对应的监控接口。

在实际实现时，功能模块10中通常包括多个功能单元，如，传感器采集单元、融合单元、感知单元等，每个功能单元通常都设置有一个具有监控功能的接口，该接口可以理解为一个通信接口，通过该具有监控功能的接口可以对该功能单元中所关注的数据进行监控，并将监控到的数据传输给相应的监控单元，比如，监控该功能单元占用的内存大小、数据是否有异常、该功能单元运行是否正常等；再比如，某个功能单元的所设置的频率参数为10Hz，而当前实际运行时监测到的频率参数为5Hz，该具有监控功能的接口可以监测到该数据，并发送给与该功能单元相对应的监控单元。

进一步的，监控单元包括多个；功能单元通过功能单元对应的监控接口，与监控单元一一对应连接。

在实际实现时，如果功能模块10中包括多个功能单元，则监控单元的数量通常也包括多个，并且监控单元的数量与功能单元的数量通常相同，功能单元与监控单元一一对应连接；比如，如果有一个功能单元为感知单元，则多个监控单元中也存在一个监控单元为感知单元，并且，作为感知单元的功能单元与作为感知单元的监控单元对应通信连接；即作为感知单元的功能单元可以将相关状态信息发送至作为感知单元的监控单元，作为感知单元的监控单元也可以根据接收到的相关状态信息控制作为感知单元的功能单元的行为。

进一步的，多个功能单元预先划分为第一优先级的功能单元、第二优先级的功能单元和第三优先级的功能单元；从第一优先级的功能单元到第三优先级的功能单元，功能单元的处理优先级依次降低。

在实际实现时，可以根据功能单元的时间属性进行分类管理，为方便说明，以功能单元包括多个为例，比如，多个功能单元包括传感器采集单元、控制单元、决策规划单元和routing单元，则传感器采集单元和控制单元通常属于实时功能单元，是需要及时处理的第一优先级的功能单元，决策规划单元属于短期功能单元，处理优先级可以低一级，属于第二优先级的功能单元，routing单元属于长期功能模块，处理优先级可以再低一级，属于第三优先级的功能单元。

进一步的，系统状态综合单元包括第一状态子单元、第二状态子单元和第三状态子单元；第一状态子单元的输出端与第二状态子单元的输入端连接，第二状态子单元的输入端与第三状态子单元的输入端连接；第一状态子单元用于接收第一优先级的功能单元的第一运行数据，输出第一运行标识信息，将第一运行标识信息发送至故障识别单元和第二状态子单元；第二状态子单元用于接收第二优先级的功能单元的第二运行数据，基于第二运行数据和第一运行标识信息，输出第二运行标识信息，将第二运行标识信息发送至故障识别单元和第三状态子单元；第三状态子单元用于接收第三优先级的功能单元的第三运行数据，基于第三运行数据和第二运行标识信息，输出第三运行标识信息，将第三运行标识信息发送至故障识别单元。

上述第一状态子单元也可以称为实时模块状态，第二状态子单元也可以称为短期模块状态，第三状态子单元也可以称为长期模块状态；在实际实现时，可以根据功能单元的时间属性对状态分类，比如，仍以多个功能单元包括传感器采集单元、控制单元、决策规划单元和routing单元为例，对于传感器采集单元和控制单元等第一优先级的功能单元，其各自对应的传感器采集单元的状态和控制单元的状态属于实时模块状态；对于决策规划单元等第二优先级的功能单元，其对应的决策规划单元的状态属于短期模块状态；对于routing单元等第三优先级的功能单元，其对应的routing单元的状态属于长期模块状态。

实时模块状态更直接明了，而短期和长期经过感知决策的处理更加抽象，通过分类可以给不同的模块状态设置不同的权重，在做安全方面的决策时更合理。例如，如果实时模块状态发现前向传感器失效或相关进程崩溃，系统需要快速响应，比如采取本车道停车等；如果发现长期模块状态出现问题，但是短期模块状态和实时模块状态有效，则可能采取的措施为靠边停车等。对于三种类型模块的状态，更优先处理实时模块相关状态，需要及时响应；而长期模块相关状态可以最后处理。

在实际实现时，第一优先级的功能单元的第一运行数据输入至第一状态子单元；第二优先级的功能单元的第二运行数据输入至第二状态子单元；第三优先级的功能单元的第三运行数据输入至第三状态子单元。考虑到状态之间的关联和依赖关系，通常需要将第一运行标识信息发送至第二状态子单元，第二运行标识信息发送至第三状态子单元，通过综合分析，可以保证决策结果更加准确。

进一步的，安全模块11中还包括：适配单元；适配单元与故障识别单元连接；适配单元用于基于故障信息输出适配结果。

上述适配单元也可以称为安全状态适配模块，该适配单元可以与故障识别单元连接，由于故障识别单元可以识别出自动驾驶装置所存在的故障信息，并且该故障信息可能包含较为丰富数据，如果发生自动驾驶装置无法处理的严重故障，适配单元可以对包含丰富数据的故障信息进行适配处理，以得到满足指定需求的故障信息。

上述自动驾驶装置，将功能模块和安全模块划分到两个域中运行，如划分到不同的虚拟机或容器等，保证了在功能模块发生异常时，不会导致安全模块监控失效；并且基于长期、短期、实时的特性对模块消息进行划分，使得不同性质的信号能够得到及时响应和处理。

本发明实施例公开了一种自动驾驶系统，如图2所示，该系统包括：控制模块20，以及上述任一项的自动驾驶装置21；控制模块20与自动驾驶装置21连接；控制模块20用于调整自动驾驶装置21的工作模式。

进一步的，控制模块20与自动驾驶装置21中的适配单元连接；控制模块20用于基于适配单元输出的适配结果，调整自动驾驶装置21的工作模式。

上述控制模块20也可以称为MCU(Micro Controller Unit，微控制器)，在实际实现时，控制模块20与上述自动驾驶装置21通信连接，具体可以与自动驾驶装置21中的适配单元连接，由于MCU可能只需要简单的几个状态相关数据，如只需要监控状态1和状态2，通过该适配单元可以对故障识别单元所识别出的故障信息进行处理，以适配出MCU所需要的信息，即适配结果，然后将该适配结果发送到MCU的安全模块，使得MCU可以监控到自动驾驶装置内部的状态，如果发生自动驾驶装置无法处理的情况，MCU可以及时进行安全降级；比如，如果故障识别单元识别出2个故障，如果故障不严重，就不会给MCU发信号，如果故障严重，且自动驾驶装置无法处理，这时就会给MCU发信号，以采取紧急措施。例如，如果融合单元损坏，会导致无法识别周围的障碍物或行人，可能需要紧急靠边停车，这时会发送给MCU相关信号，以通过MCU采取紧急靠边停车的策略，相应的自动驾驶装置也被调整为相匹配的工作模式。

上述自动驾驶系统提供了可靠的监控机制，可以实时监测当前状态，一旦有异常情况发生，能够准确识别故障，并采取相应级别的响应，反馈控制各个部分调整到合适的状态。

为进一步理解上述实施例，下面提供如图3所示的一种监控软件系统架构示意图，图3中包括相互通信连接的ADU(Auto Drive Unit，自动驱动装置)(对应上述自动驾驶装置)和MCU安全模块(对应上述控制模块)，其中，ADU存在两个Hypervisor(虚拟机监视器)，图3中以Hyper1和Hyper2表示，通过两个Hypervisor对环境、资源进行隔离划分。

Hyper1中运行着多个功能模块(对应上述功能单元)，如SensorA、SensorB(传感器采集)、Fusion(融合)、Prediction(感知)等，这些功能模块中都存在一个“监控”功能(对应上述监控接口)，用于发送自身的状态以及接收外部对该功能模块的控制命令。

Hyper2中运行有多个状态监控模块(对应上述监控单元)，分别对应Hyper1中的功能模块，并且与Hyper1中功能模块的“监控”进行通信。例如，Hyper1中的感知“监控”发送状态信息到Hyper2中的感知，Hyper2中的感知反过来可以根据发来的信息控制Hyper1感知功能的行为。hyper2中各个状态监控模块中存储的状态会随着hyper中的状态更新，可以将hyper2中的各个状态监控模块理解为一个缓存，不会处理所缓存的状态数据，具体的处理过程是在系统状态评估模块中进行。

系统状态评估模块中包括相互通信连接的系统状态综合单元、故障识别单元和功能降级管理单元，系统状态综合单元可以根据需求收集相应的功能模块的状态信息，并发送给故障识别单元，以分析当前系统存在的问题，如果存在故障或者其他相关错误，功能降级管理模块经过判断后，会通过Hyper2中的相关状态监控模块反馈到Hyper1中的相关功能模块，使这些功能模块进入相应的工作模式。具体的，hyper1中各个功能模块的状态发送到hyper2中对应的状态监控模块中，系统状态评估模块需要哪一部分功能模块的状态，就可以从相应的状态监控模块中获取到。

安全状态适配模块(对应上述适配单元)与系统状态评估模块通信连接，具体可以与该系统状态评估模块中的故障识别单元连接，安全状态适配模块还与MCU安全模块连接，安全状态适配模块用于适配ADU安全状态信息，然后将适配结果发送到MCU安全模块，使MCU能够监控到ADU内部的状态。如果发生ADU无法处理的情况，MCU可以及时进行安全降级；比如，在无故障情况下，通常会处于自动驾驶级别，不需要人工干预，如果有故障，可能需要人工干预，会降低驾驶级别，以进入安全状态。

下面对系统状态综合单元进行详细介绍，参见图4所示的一种系统状态综合单元的架构示意图，根据功能模块的时间属性分为实时模块状态(对应上述第一状态子单元)、短期模块状态(对应上述第二状态子单元)和长期模块状态(对应上述第三状态子单元)，在这三种类型模块的状态中，实时模块状态的处理优先级最高，需要及时响应，短期模块状态的处理优先级次之，长期模块状态的处理优先级最低。

图4中的4、5、6代表了功能模块的各种状态数据，分别进入了实时模块状态、短期模块状态、长期模块状态。1、2、3这三个状态是分别经过实时模块状态、短期模块状态和长期模块状态综合后给出的消息。例如，前向毫米波失效或者侧向毫米波失效时，实时模块状态给出的1的信号不同，比如，打分不同或评定等级不同等，即不再采用原始状态，量化了故障的严重程度，这样就形成了一种故障的抽象层次，需要说明的是，实时模块状态中可能包括多个实时功能模块的状态数据，对于每个状态通常都会有该状态对应的信号，如打分值或评定等级等。

7、8两个信号分别是不同模块状态之间的通信，主要考虑到的是模块状态之间的关联和依赖关系，例如，如果相机传感器帧率不稳定，会导致感知融合跟踪的不稳定，进一步可能影响到决策规划模块的表现状态，但是决策规划模块本身可能并没有意识到这一点，所以对于短期模块状态的输出8，除了需要分析原本的输入5，还需要综合考虑上游的模块状态输出7。

上述系统架构中，对自动驾驶功能模块和安全模块在运行环境上进行了划分。安全模块处理功能模块的各个状态时，会基于模块是实时、短期、长期类型进行综合分析并决策，当有异常发生时，可以采取相应级别的响应，保证了自动驾驶的安全性。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (10)

1.一种自动驾驶装置，其特征在于，所述装置包括：相互分离设置的功能模块和安全模块；所述功能模块和所述安全模块通信连接；

所述功能模块用于将所述功能模块的运行数据发送至所述安全模块；

所述安全模块用于基于所述运行数据，调整所述功能模块的工作模式。

2.根据权利要求1所述的装置，其特征在于，所述安全模块中包括依次连接的监控单元、系统状态综合单元、故障识别单元和功能降级管理单元；所述功能降级管理单元还与所述监控单元连接；

所述监控单元用于接收所述功能模块发送的所述运行数据，将所述运行数据发送至所述系统状态综合单元；

所述系统状态综合单元用于分析所述运行数据，输出针对所述运行数据的运行标识信息，将所述运行标识信息发送至所述故障识别单元；

所述故障识别单元用于基于所述运行标识信息，识别出所述系统的故障信息，将所述故障信息发送至所述功能降级管理单元；

所述功能降级管理单元用于基于所述故障信息，通过所述监控单元，调整所述功能模块的工作模式。

3.根据权利要求2所述的装置，其特征在于，所述监控单元还用于存储所述运行数据。

4.根据权利要求2所述的装置，其特征在于，所述功能模块中包括多个功能单元，每个所述功能单元设置有对应的监控接口。

5.根据权利要求4所述的装置，其特征在于，所述监控单元包括多个；

所述功能单元通过所述功能单元对应的监控接口，与所述监控单元一一对应连接。

6.根据权利要求4所述的装置，其特征在于，多个所述功能单元预先划分为第一优先级的功能单元、第二优先级的功能单元和第三优先级的功能单元；从所述第一优先级的功能单元到所述第三优先级的功能单元，所述功能单元的处理优先级依次降低。

7.根据权利要求6所述的装置，其特征在于，所述系统状态综合单元包括第一状态子单元、第二状态子单元和第三状态子单元；所述第一状态子单元的输出端与所述第二状态子单元的输入端连接，所述第二状态子单元的输入端与所述第三状态子单元的输入端连接；

所述第一状态子单元用于接收所述第一优先级的功能单元的第一运行数据，输出第一运行标识信息，将所述第一运行标识信息发送至所述故障识别单元和所述第二状态子单元；

所述第二状态子单元用于接收所述第二优先级的功能单元的第二运行数据，基于所述第二运行数据和所述第一运行标识信息，输出第二运行标识信息，将所述第二运行标识信息发送至所述故障识别单元和所述第三状态子单元；

所述第三状态子单元用于接收所述第三优先级的功能单元的第三运行数据，基于所述第三运行数据和所述第二运行标识信息，输出第三运行标识信息，将所述第三运行标识信息发送至所述故障识别单元。

8.根据权利要求2所述的装置，其特征在于，所述安全模块中还包括：适配单元；所述适配单元与所述故障识别单元连接；

所述适配单元用于基于所述故障信息输出适配结果。

9.一种自动驾驶系统，其特征在于，包括：控制模块，以及权利要求1-8任一项所述的自动驾驶装置；

所述控制模块与所述自动驾驶装置连接；

所述控制模块用于调整所述自动驾驶装置的工作模式。

10.根据权利要求9所述的系统，其特征在于，所述控制模块与所述自动驾驶装置中的故障识别单元连接；

所述控制模块用于基于所述故障识别单元输出的适配结果，调整所述自动驾驶装置的工作模式。

Images