CN113935143A - 通过自主车辆的增加的严重性等级估计碰撞概率 - Google Patents

Abstract

本公开涉及通过自主车辆的增加的严重性等级估计碰撞概率，具体涉及用于在虚拟测试环境中针对自动驾驶系统(ADS)功能的不同严重性等级估计故障概率的计算机实现的方法和处理系统。更详细地，本公开的实施方式通过利用在相撞之后(例如当TTC＝0或PET＝0时)获得越来越负或越来越正的值的极限状态函数(LSF)来实现不同严重性的相撞的概率的估计。这可例如通过定义对于更严重的相撞严重性更负的函数来实现。LSF可以例如包括碰撞时的增量速度(即，碰撞时的负增量速度)的函数。对于给定ADS功能，能够针对不同的严重性级别产生故障概率可以有利于将发展和验证活动聚焦到测试中的系统的最需要的区域/方面(测试中的ADS功能)。

Description

通过自主车辆的增加的严重性等级估计碰撞概率

技术领域

本公开涉及车辆的自动驾驶系统(ADS)，且更特别地，本公开涉及通过自主车辆的增加的严重性等级估计碰撞概率的方法和系统。

背景技术

在过去的这几年期间，自主车辆的发展迅猛且正在开发许多不同的方案。越来越多的现代车辆具有高级驾驶员辅助系统(ADAS)以增加车辆安全性和更广泛地道路安全性。ADAS——其例如可以由自适应巡航控制ACC、碰撞避免系统、前部碰撞警示等表示——是可在驾驶时帮助车辆驾驶员的电子系统。为了如预期的运行，ADAS可依赖于来自诸如汽车成像、LIDAR、雷达、图像处理、计算机视觉和/或车载网络的多个数据源的输入。

今天，ADAS以及自主驾驶(AD)的开发在这些领域内的多个不同的技术领域中均在进行中。ADAS和AD在本文中将指的是通用术语自动驾驶系统(ADS)，对应于例如由驾驶自动化的SAE J3016等级(0-5)所定义的所有不同等级的自动化。

因此，在不太远的将来，ADS方案将在更大程度上应用于现代车辆。ADS可被解释为各种部件的复杂组合，作为可被定义为其中由电子装置和机械装置代替驾驶人员来执行车辆的感知、决策和操作并作为自动化到道路交通内的引入的系统。这包括对车辆、目的地的处理以及周围环境的认识。虽然自动化系统具有对车辆的控制，但它允许人类操作者将所有责任留给系统。ADS通常组合用于感知车辆的周围环境的各种传感器，例如，雷达、LIDAR、声纳、摄像机、诸如GPS的导航系统、里程表和/或惯性测量单元(IMU)，据此高级控制系统可解译感测信息以识别适当的导航路径以及障碍物和/或相关标志。

然而，如上所述的ADS功能必须需要以高整体性运行以为车辆乘员及其周围环境提供足够低的风险。确保风险足够低可能需要难以处理的大量数据用于统计证明，且根据示例将需要例如大约一百辆车辆来持续地驾驶五个世纪来获取。而且，自主功能的验证的关键方面是用于提供ADS功能符合可接受的安全规范的证据。安全规范是一种统计目标，其大体上规定导致具有给定严重性等级的事故的最高可接受的故障频率。在汽车工业中，该规范可基于故障的严重性、暴露和可控性的估计来转换为使用ISO26262标准的安全目标的汽车安全完整性等级(ASIL)。

作为示例，针对常见(暴露等级E4)、难以控制(可控性等级C3)的情况下的并可能致使导致严重伤害或死亡(严重性等级S3)的事故的故障而寻求最高完整性(ASIL D)。为了确保这种故障不会发生而制定的安全目标(即，要求)因此根据ISO26262被分配有ASIL D。这实际上意味着安全目标应具有小于10^-9故障/小时的估计故障率。对于与严重性等级S2(参与者可能存活)或S1(轻/中等伤害)相关联的故障，在给定相同的暴露等级(E4)和可控性等级(C3)的情况下，导致可被分别转换成可接受故障率为10^-8和10^-7故障/小时的ASIL C和ASIL B。

针对不同的严重性等级估计复杂的自主功能是否符合安全规范并不是简单的任务，且蛮力方法可以说是被证明为不可行的(Kalra&Padock，2016)。因此本领域中存在对验证和开发汽车工业中的自主功能的改进的需要，且特别是存在对提供比目前已知的更详细的结果用于进一步分析的同时可靠且有效的新方案的需要。

发明内容

因此本公开的目的是提供用于针对车辆的ADS功能的不同严重性等级估计故障概率的计算机实现的方法和对应的计算机可读存储介质，以减轻目前已知的方案的所有或至少一些缺点。

具体地，本公开的目的是提供用于使用统计信息来评估ADS功能对安全规范的符合性的方法或工具，以节省对验证和/或开发活动所需的资源和时间。

这些和其他目的借助于用于针对车辆的ADS功能的不同严重性等级估计故障概率的计算机实现的方法和对应的计算机可读存储介质以及如在所附权利要求中限定的控制系统来实现。术语“示例性”在本上下文中应被理解为用作实例、示例或例示。

根据本公开的第一方面，提供了用于在虚拟测试环境中针对自动驾驶系统(ADS)功能的不同严重性等级估计故障概率的计算机实现的方法。该方法包括获得指示关于真实世界环境中的多个场景在待测试的ADS功能的运行设计域(ODD)中的统计分布的参数化统计模型。该方法进一步包括基于参数化统计模型和极限状态函数(LSF)通过运行结构可靠性方法(例如，子集模拟)来估计ADS功能在虚拟测试环境中随时间的故障概率，其中LSF指示ADS功能的性能。更详细地，LSF g_i(θ)是场景参数集θ＝[θ₁,θ₂,…,θ_n]的函数。LSF g_i(θ)包括第一函数g_F(θ)和第二函数g_S(θ)。第一函数g_F(θ)是指示发生故障场景的至少一个场景参数的函数。第二函数g_S(θ)是指示故障场景的严重性等级的至少一个场景参数的函数，使得所估计的ADS功能的故障概率进一步指示针对至少两个不同严重性等级的估计故障概率。

所得到的估计故障概率可被使用，以便评估ADS功能对安全规范的符合性，从而在减少用于验证活动的时间和资源方面的优点是容易地可实现的。而且，上面提出的方法可用作用于为开发产生重要测试情况的方法，进而提供在减少用于开发的时间和资源方面的优点。

根据本公开的第二方面，提供了存储有被配置为由处理系统的一个或多个处理器执行的一个或多个程序的(非瞬态)计算机可读存储介质，一个或多个程序包括用于执行根据本文公开的实施方式中的任何一个的方法的指令。通过本公开的这个方面，存在与前面讨论的本公开的第一方面中的类似的优点和优选的功能。

如在本文使用的术语“非瞬态”意为描述不包括传播电磁信号的计算机可读存储介质(或“存储器”)，但并不意为另外限制由短语“计算机可读介质或存储器”包括的物理计算机可读存储装置的类型。例如，术语“非瞬态计算机可读介质”或“有形存储器”意为包括不必要永久地存储信息的存储装置的类型，包括例如随机存取存储器(RAM)。以非瞬态形式存储在有形计算机可访问存储介质上的程序指令和数据可进一步由传输介质或可经由诸如网络和/或无线链路的通信介质传送的诸如电、电磁或数字信号的信号来传输。因此，相对于对数据存储持久性的限制，如在本文使用的术语“非瞬态”是介质本身(即，有形的，不是信号)的限制(例如，RAM相对于ROM)。

根据本公开的第三方面，提供了用于在虚拟测试环境中针对自动驾驶系统(ADS)功能的不同严重性等级估计故障概率的控制系统。控制电路被配置为获得指示关于真实世界环境中的多个场景在ADS功能的运行设计域(ODD)中的统计分布的参数化统计模型。进一步，控制电路被配置为基于参数化统计模型和极限状态函数(LSF)通过运行结构可靠性方法来估计ADS功能在虚拟测试环境中随时间的故障概率，LSF指示ADS功能的性能。更详细地，LSF g_i(θ)是场景参数集θ＝[θ₁,θ₂,…,θ_n]的函数，指示ADS功能的运行环境。而且，LSFg_i(θ)包括：

·第一函数g_F(θ)，其是指示发生故障场景的至少一个场景参数的函数。

·第二函数g_S(θ)，其是指示故障场景的严重性等级的至少一个场景参数的函数，使得所估计的ADS功能的故障概率进一步指示针对至少两个不同严重性等级的估计故障概率。

通过本公开的这个方面，存在与前面讨论的本公开的第一方面中的类似的优点和优选的功能。

本公开的进一步实施方式在从属权利要求中被限定。应强调的是，术语“comprises/comprising(包括/包括)”当在这个说明书中使用时用于列举所规定的功能、整数、步骤或部件的存在。这并不排除一个或多个其他功能、整数、步骤、部件或其组合的存在或添加。

本公开的这些和其他功能和优点将在下面参考下文中描述的实施方式被进一步阐明。

附图说明

本公开的实施方式的进一步目的、功能和优点将通过下面的详细描述、所作出的对附图的参考而呈现，其中：

图1是表示根据本公开的实施方式的用于在虚拟测试环境中针对自动驾驶系统(ADS)功能的不同严重性等级估计故障概率的方法的示意性流程图。

图2是描绘借助于根据本公开的实施方式的方法而产生的ADS功能的估计故障概率的示意性曲线图。

图3是表示根据本公开的实施方式的用于在虚拟测试环境中针对自动驾驶系统(ADS)功能的不同严重性等级估计故障概率的方法的处理系统的示意性框图。

具体实施方式

本领域技术人员将领会的是，可使用单独的硬件电路、使用结合编程微处理器或通用计算机而运行的软件、使用一个或多个专用集成电路(ASIC)和/或使用一个或多个数字信号处理器(DSP)来实现本文中解释的步骤、服务和功能。还将领会的是，当从方法方面描述本公开时，它也可体现在一个或多个处理器和耦合到一个或多个处理器的一个或多个存储器中，其中一个或多个存储器存储一个或多个程序，一个或多个程序当由一个或多个处理器执行时执行本文公开的步骤、服务和功能。

在示例性实施方式的下面的描述中，相同的附图标记表示相同或相似的部件。

如在前文中提到的，针对不同的严重性等级来估计复杂的ADS功能是否符合安全规范不是简单的任务，且蛮力方法可以说是被证明为不可行。而且，由于关于测试中的场景的统计模型的高维参数空间和成熟AD功能的低故障概率，执行网格搜索或蒙特卡罗(Monte-Carlo)模拟也可以说是无效的。因此，本发明人认识到诸如子集模拟(可以被缩写为SuS或SS)方法的结构可靠性方法可被使用，以便解决这个复杂的任务。结构可靠性方法可被理解为用于估计罕见故障事件的概率的高级随机方法，且最初是在工程机械的领域内开发的。

由于它们能够在高维参数空间中有效地将场景模拟过渡到故障区域(其为对ADS功能模拟的情况)，本发明人认识到它可以有利地用在ADS功能的软件开发和验证中。此外，假定模拟工具(软件工具)和环境的多维统计模型，结构可靠性方法模拟允许有效地估计ADS功能的故障概率。因为故障率估计基于统计模型，统计模型又基于真实交通数据，因此故障率估计与ADS功能的开发和验证高度相关。

诸如SuS的结构可靠性方法使用所谓的极限状态函数(LSF)来在场景空间中搜索故障区域，极限状态函数可被理解为描述系统(即，测试中的ADS功能)的性能的连续函数。因此，对于自主驾驶域，LSF可以例如基于碰撞时间(TTC)或后侵入时间(PET)，二者在情况接近相撞时都接近0。

更详细地，子集模拟基于将罕见事件δ分解成更常见的事件δ_i的序列的概念构想，使得

如果发生事件δ的概率

非常低，比如处于10^-9的量级，则直接估计

也变得非常难，即使对单个事件抽样也需要大量计算资源。然而，使用子集模拟，

的估计可分解成针对更频繁的事件δ_i中的每个评估一系列条件概率，

其中

表示在给定δ_i-1发生的情况下事件δ_i的条件概率。而且，在SuS方法中，可借助于马尔科夫链蒙特卡罗算法来估计条件故障概率。在上面的公式中，故障域由致使不可接受的系统性能的场景参数θ的值的集合表示：

δ＝{θ：g(θ)＜y^*} (3)

在这里，y＝g(θ)表示系统性能LSF。如所提到的，LSF可以是例如碰撞时间(TTC)或离车道中心的偏差的函数。更详细地，LSF可以是下面的变量的函数：

1)测试中的ADS功能的行为。例如，它可被定义为碰撞时间或离车道中心的偏差。

2)描述环境的场景参数θ＝[θ₁，θ₂，...，θ_n]，其中AD系统执行例如目标车辆场景轨迹、目标车辆相对于主机的起始位置、自我车辆的初始状态、ADS功能的初始状态、场景持续时间等。因此，“描述环境的场景参数θ”应被广义地解释，并且不仅与描述外部状态的参数有关，并与其中ADS功能的性能将被测试的完整情况/场景有关。

系统性能y(例如，TTC)与指定的临界值y^*(例如，TTC＝0)的比较定义故障域，即，如果≥y^*，则系统可被推断为“安全的”，并且如果y＜y^*，则系统已出故障。换言之，故障域是参数(场景轨迹、起始位置、持续时间、道路曲率等)的集合，其中ADS功能的模拟致使碰撞(TTC＝0)。

然而，只使用TTC或PET作为LSF的基础，我们可有效地估计相撞故障率，但估计几乎没有细微差别，且不同严重性等级的相撞不能被区分。应注意的是，即使该讨论主要与子集模拟(SuS)有关，技术人员容易认识到如何使本文的构思适合于其他结构可靠性方法，且因此应该不必要被解释为限制性的，而是仅作为示例用于阐明本文公开的构思。

因此，本发明人认识到，我们可提供“扩展”LSF，且接着运行具有“扩展”LSF的结构可靠性方法，且进而能够针对不同的严重性等级估计故障概率。更具体地，扩展LSF允许结构可靠性方法模拟来探索“故障情况”之外的参数空间。

更详细地，如本文所述的“扩展”LSF可被理解为包括两个子函数(即如在本文表示的第一函数和第二函数)的分段函数或混合函数。第一函数是指示发生故障场景的参数的函数(例如，TTC的函数)，而第二函数是指示故障场景的严重性等级的场景参数的函数(例如，碰撞时的增量速度的函数)。因此，假设第二函数被配置为例如通过在碰撞时使用负增量速度来获得针对更严重相撞的更负的值，则区分模拟结果的不同严重性级别是可能的。能够针对不同的严重性级别产生故障概率可以有利于将开发和验证活动聚焦到测试中的系统(测试中的ADS功能)的最需要的区域/方面。

在例示示例中，假设ADS功能在特定场景中的“真实”故障率对于严重性级别S1(轻或中等伤害)的事故是10^-7故障/小时且对于严重性级别S3(危及生命或致命的伤害)的事故是10^-9故障/小时。进一步假设场景是低可控性(C3)和高暴露场景(E4)。

然后，在没有扩展LSF的情况下，常规模拟可表明针对低可控性(C3)和高暴露场景(E4)，ADS功能的故障概率为10^-7故障/小时。现在，在不能够区分不同严重性等级的情况下，我们将必须假设它是最高严重性级别(S3)，这转换成ASIL D要求可以转换成可接受的10^-9故障/小时的故障率。因此，模拟在这种情况下将指示ADS功能未充分地执行。

然而，通过使用扩展LSF，如本文所提议的，模拟可表明故障概率为10^-7故障/小时时是针对严重性级别S1，这转换成对其中可接受的故障率是10^-7故障/小时的ASIL B要求(S1，C3，E4)的满足。而且，结果可进一步表明针对严重性级别S3的事故，ADS功能以10^-9故障/小时的故障率执行，这将指示系统实际上满足ASIL D要求。因此，通过允许结构可靠性方法模拟来探索简单“故障情况”之外的参数空间，更多的信息可从模拟获得，且验证/开发活动可正确地聚焦到需要的地方。应注意的是，即使本公开主要属于使用ISO26262标准的安全目标，这不应被解释为对本公开的限制，而是仅用于阐明和阐释本文的教导。因此，在本文提议的方案可连同与汽车领域内的“量化风险规范”有关的其他已知或目前未知的未来标准一起使用。

因此，根据如本文公开的用于在虚拟测试环境中针对ADS功能的不同严重性等级估计故障概率的方法的实施方式，我们给出用于使用真实世界统计信息来评估对安全规范的符合性的有效工具，这可急剧减少验证活动所需的时间和资源。而且，来自本文提议的方法的结果可用于产生用于开发的重要的测试情况，这可急剧减少开发活动所需的时间和资源。

图1是表示用于在虚拟测试环境中针对ADS功能的不同严重性等级估计故障概率的方法的示意性流程图。ADS功能优选地、但不必要是根据驾驶自动化的SAE J3016等级具有等级3或更高等级的ADS功能，例如高速公路驾驶员功能、交通堵塞驾驶员功能等。在本文中，术语“ADS功能”或“自主驾驶功能”可以指的是任意ADS、ADAS或自主驾驶功能，例如，如已经在本领域中已知的和/或还没有开发的。术语“获得”在本文应被广义地解释并包括接收、检索、收集、获取等。

方法100包括获得(101)指示关于真实世界环境中的多个场景在待测试的ADS功能的运行设计域(ODD)中的统计分布的参数化统计模型3。运行设计域(ODD)应被理解为对自动或半自动驾驶系统(即，AD或ADAS)被设计为在其中运行的操作条件的描述，包括但不限于地理、道路(例如，类型、地面、几何形状、边缘和标记)、环境参数、连接性、周围物体、交通参数和速度限制。

作为先决条件，可从现实交通场景收集数据1，以便聚集交通场景动态(即，在驾驶期间发生的各种情况的概率)的统计信息。进一步，多变量统计模型拟合(106)到所聚集的参数化记录场景1。多变量统计模型可以例如是以高斯混合模型的形式。然后，可获得(101)感兴趣的场景在ADS功能的给定ODD中的参数化统计模型3。

关于术语“统计模型”，其可被理解为对ADS可以从其运行环境统计地预期的事物的描述。更详细地，从一开始，我们可通过不同的分割和量化方法(可以被称为“场景识别”)对现场数据集建模。换言之，场景识别过程的结果是场景参数集，且统计模型通过对在现场数据中识别的场景建模来获得。因此，统计模型可被理解为统计分布的数学表示。更详细地，环境的统计模型以统计方式量化ADS可从其周围环境预期的事物。换言之，统计模型提供对在环境内可能发生的至少一个场景(例如，超车、行人穿过、动物穿过、其他道路用户的行为等)的概率度量。因此，为了统计地描述环境，与所有场景对应的统计分布可以汇聚在一起，以便形成“全局”统计分布。关于统计建模和参数化统计模型可如何产生的进一步细节例如在同一申请人的当前共同未决的第20169897.4号欧洲专利申请中公开，并通过引用被并入本文。

进一步，方法100包括基于参数化统计模型和限制状态函数(LSF)通过运行(105)诸如SuS的结构可靠性方法来估计(102)ADS功能在虚拟测试环境中随时间的故障概率，其中LSF指示ADS功能的性能。更详细地，LSF g_i(θ)是以场景参数集θ＝[θ₁,θ₂,…,θ_n]的分段函数的形式的“扩展”LSF。LSF g_i(θ)包括第一函数g_F(θ)和第二函数g_S(θ)，其中第一函数中的F表示“故障”，并且第二函数中的S表示“严重性”。更详细地，第一函数g_F(θ)是指示发生故障场景的至少一个场景参数的函数，而第二函数g_S(θ)是指示故障场景的严重性等级的至少一个场景参数的函数。因此，所估计(102)的ADS功能的故障概率进一步指示针对至少两个不同严重性等级的估计故障概率4。

在本公开的上下文中，统计模型可以具体地指示针对ADS功能的测试中的场景。例如，如果ADS功能相对于切入(cut-ins)进行测试，则统计模型包括关于切入的统计分布的信息。因此，用于ADS功能的故障概率的估计102的统计模型可通过将模型拟合到所有切入来获得，或该统计模型可以从指示ADS功能的完整ODD的多个场景的统计分布的“全局”统计模型提取。因此，为了检查与针对ADS功能处理切入的能力的一组预定义安全规范的符合性，指示关于切入的一个或多个统计分布的统计模型用作结构可靠性方法模拟的输入。然而，在一些实施方式中，用于ADS功能的故障概率的估计102的统计模型可指示在ADS功能的ODD中的多个场景。因此，我们可估计ADS功能在其整个ODD中的故障概率，或至少针对ADS被配置为来处理的多于一个的特定场景的故障概率。

此外，测试中的ADS功能的故障概率的估计102可包括子步骤，例如，从统计模型(迭代地)产生参数集θ_i，在虚拟测试环境中模拟(103)与θ_i对应的场景，以及基于虚拟模拟环境的输出来评价(104)ADS在场景θ_i中的性能。迭代过程由与子集模拟方法相关联的反馈回路105指示。具体地，SuS渐进地探索测试中的场景的统计模拟的参数空间以有效地产生ADS功能的故障区域中的场景(如在框105’中指示的)。这通过将故障区域自动分解成更频繁事件的集合来完成，见方程(1)。因此，故障概率

的估计分解成如在方程(2)中所示的更大概率的估计，其中每个条件故障概率可借助于马尔科夫链蒙特卡罗算法(例如，修正的Metropolis算法(MMA))来被估计。MMA是适合于从条件分布产生样本的高级采样技术。具体地，MMA通过采取下面的子步骤来执行采样：从测试中的场景的统计模型(迭代地)产生参数集θ_i3，在虚拟测试环境中模拟(103)与θ_i对应的场景，以及基于虚拟模拟环境的输出来评价(104)场景θ_i中的ADS功能的性能y_i＝g(θ_i)。如果y_i满足方程(3)中的条件，则它被接受，否则它被拒绝并丢弃。MMA迭代地重复(105)这个过程以在测试中的ADS功能的故障域(如在框7中指示的)中产生足够的样本以能够可靠地估计故障概率

而且，来自表示方法100的流程图中的特定步骤的“输出”在框3、7和105’中指示，以便进一步阐明本文公开的构思。如有技能的读者容易理解的，即使图2的图示实施方式主要表示子集模拟，诸如重要性采样的其他结构可靠性方法的利用同样是可应用的。然而为了简洁和简明起见，这些可替代的实施方式将不在附图中描绘。

根据本文公开的实施方式的模拟的效果在图2中图示，图2示出故障估计概率关于碰撞时间(TTC)的曲线图。具体地，由本文公开的实施方式提供的效果在虚线框20中指示。更详细地，提供了超过刚刚“相撞”(即，在TTC＝0处的事件)到“不同严重性的相撞”的继续探索的可能性。可在直线图21、22的虚线部分22中看到“扩展”LSF的效果，该虚线部分22在超过“故障”场景(即，TTC＝0)后继续，由此我们可获得针对不同严重性等级S0、S1、S2和S3的故障概率的估计。

从模拟中，我们可接着提取所估计的结果23、24并将其与例如指示针对不同的严重性等级的最大故障率的安全规范进行比较，如下面在表1中指示的。

表1：基于来自图2的结果评价对安全规范(ASIL)的符合性的示例，假设暴露等级(E)是E4且可控性等级(C)是C3。

应注意的是，ISO标准不将任何ASIL要求分配给是S0的事件，且该事件被称为质量管理(QM)。这意味着ISO对QM的故障率没有建议任何上限，并将这留给公司以设计可满足消费者需要的产品。因此，设计ADS的公司对S0事件的故障率设置上限。不过，本文提议的方法仍然可用于检查ADS功能的性能是否满足这样的条件。

返回到关于扩展限制状态函数(LSF)的讨论，对于给定的ADS功能，现在可以计算遇到具有严重性级别S_i(i∈0，1，2，3)的场景的概率Pr(S_i)。更详细地，本发明人认识到，严重性仅被分配给导致故障(碰撞)的场景，这等于Pr(S_i，δ)，即，遇到具有严重性级别S_i的碰撞的概率。使用条件概率的定义，这可被重写为：

Pr(S_i，δ)＝Pr(δ)·Pr(S_i|δ) (4)

可借助于诸如SuS的结构可靠性方法来近似地计算方程(4)中的概率。为此目的，LSF可被定义为：

g_i(θ)＝g_F(θ)-g_S(θ)+c_i (5)

方程(5)中的LSF因此包括三个“部分”，即，第一函数g_F(θ)、第二函数g_S(θ)以及定义故障场景的严重性等级的阈值的级别参数c_i。

根据一些实施方式，第一函数

是连续函数，其被定义为使得g_F(θ)＝0对应于碰撞且g_F(θ)≥0对应于非碰撞事件。容易满足此的通常用在汽车的领域中的度量是例如碰撞时间(TTC)和后侵入时间(PET)。然而，可通过使用适当的变换来使用单调增加的诸如制动威胁数量(BTN)的其他威胁度量，使得上面的条件被满足。可被使用的另一示例威胁度量是制动时间(TTB)。换言之，根据一些实施方式，第一函数g_F(θ)被定义为对于故障场景具有零值且对于非故障场景具有非零值。

根据一些实施方式，第二函数

是连续函数，其表示碰撞的严重性，使得g_S(θ)的更高值对应于更严重的碰撞。对于非碰撞场景，第二函数可被定义为g_S(θ)＝0。在一些实施方式中，可使用碰撞期间的绝对增量速度|Δv_col(θ)|来将g_S(θ)定义为：

因此，在一些实施方式中，第二函数g_S(θ)被定义为对于非故障场景具有零值且对于故障场景具有非零值。而且，根据一些实施方式，第二函数g_S(θ)是碰撞时的增量速度、车辆的重量、碰撞物体的重量、碰撞时的车辆的绝对速度、碰撞时的车辆的角度、恢复因子和碰撞时的撞击点中的至少一个的函数。换言之，第二函数gS(θ)可以是指示故障场景(例如，碰撞、从道路离开等)的严重性的至少一个变量的函数。进一步，第二函数可以是指示对乘员的伤害的严重性的子函数的函数，该子函数可以是乘员的年龄、座舱安全带的使用等的函数。可基于来自事故数据库的历史数据来估计子函数(也可被称为伤害严重性风险函数)。

而且，可使用阈值c_i(i∈0，...，n+1)基于g_S(θ)来定义严重性级别S_i，即，当且仅当c_i＜g_S(θ_j)≤c_i+1时，碰撞场景θ_j∈δ被认为具有严重性级别S_i。严重性级别S₀的下阈值c₁＝0且严重性级别S_n的上阈值c_n+1＝∞。根据感兴趣场景级别，对应的阈值c_i在方程(5)中被用作常数c_i。以这种方式，对应于例如具有严重性级别S₃的碰撞的故障域可分解成更频繁的事件为：

这意味着在单次运行中，SuS连续地形成更频繁的域以能够朝着期望故障域、即碰撞场景

前进。

用于执行这些函数的可执行指令可选地被包括在被配置为用于由一个或多个处理器执行的非瞬态计算机可读存储介质或其他计算机程序产品中。

图3是表示用于在虚拟测试环境中针对ADS功能的不同严重性等级估计故障概率的处理系统10的示意性框图。处理系统10包括控制电路11(也可被称为控制单元、控制器、一个或多个处理器)、存储器12、通信接口13和用于执行根据本文公开的实施方式中的任何一个的方法所需的任何其他常规部件/功能。换言之，用于执行这些功能的可执行指令14可选地被包括在非瞬态计算机可读存储介质12或配置为用于由一个或多个处理器11执行的其他计算机程序产品中。

更详细地，控制电路11配置为获得指示关于真实世界环境中的多个场景在ADS功能的运行设计域(ODD)中的统计分布的参数化统计模型。进一步，控制电路11被配置为基于参数化统计模型和极限状态函数(LSF)通过运行结构可靠性方法来估计ADS功能在虚拟测试环境中随时间的故障概率，LSF指示ADS功能的性能。更详细地，LSF g_i(θ)是指示ADS功能的运行环境的场景参数集θ＝[θ₁,θ₂,…,θ_n]的函数。而且，LSF g_i(θ)包括：

·第一函数g_F(θ)，其是指示发生故障场景的至少一个场景参数的函数。

·第二函数g_S(θ)，其是指示故障场景的严重性等级的至少一个场景参数的函数，使得所估计ADS功能的故障概率进一步指示针对至少两个不同严重性等级的估计故障概率。

总之，本文提议的方案通过利用极限状态函数(LSF)来实现不同严重性的相撞的概率的估计，该LSF在相撞之后(例如，当TTC＝0或PET＝0时)获得越来越负或越来越正的值。这可例如通过定义对于更严重的相撞严重性更负的函数来实现。根据示例实施方式，LSF包括碰撞时的增量速度(即，碰撞时的负增量速度)的函数。以这种方式，碰撞时的较高增量速度获得更负的值，这可转换成更高严重性相撞。例如存在不同的研究表明如何映射严重性与增量速度(例如，对于ΔV>35kph是S1，对于ΔV>70是S2，等等)。

然而，可能需要定义更详细的严重性函数(即，LSF的子函数)，该严重性函数进一步考虑例如碰撞时的绝对速度、撞击的角度和点、碰撞车辆特性(重量、高度、特征)等。而且，借助于本文提议的构思，严重性也可针对主机和其他车辆/参与者进行估计。这可能例如对其中针对相同严重性等级的速度通常较低的涉及摩托车的场景是有利的。

上面参考特定实施方式提出了本公开。然而，除了上面所述的以外的其他实施方式是可能的并在本公开的范围内。可在本公开的范围内提供通过硬件或软件执行方法的与上面所述的方法步骤不同的方法步骤。因此，根据示例性实施方式，提供存储有被配置为由车辆控制系统的一个或多个处理器执行的一个或多个程序的非瞬态计算机可读存储介质，一个或多个程序包括用于执行根据上面讨论的实施方式中的任何一个的方法的指令。可替代地，根据另一示例性实施方式，云计算系统可被配置为执行本文提出的方法中的任何一个。云计算系统可包括在一个或多个计算机程序产品的控制下联合地执行本文提出的方法的分布式云计算资源。

一般来说，计算机可访问介质可包括任何有形或非瞬态存储介质或存储器介质，例如电子、磁性或光学介质，例如经由总线耦合到计算机系统的磁盘或CD/DVD-ROM。如本文使用的术语“有形”和“非瞬态”意为描述不包括传播电磁信号的计算机可读存储介质(或“存储器”)，但并不意为另外对由短语“计算机可读介质或存储器”包含的物理计算机可读存储装置的类型的限制。例如，术语“非瞬态计算机可读介质”或“有形存储器”意为包含不必要永久地存储信息的存储装置的类型，包括例如随机存取存储器(RAM)。以非瞬态形式存储在有形计算机可访问存储介质上的程序指令和数据可进一步由传输介质或诸如电气、电磁或数字信号的信号传输，这些信号可经由诸如网络和/或无线链路的通信介质被传送。

处理器11(与控制系统10相关联)可以是或包括用于进行数据或信号处理或用于执行存储在存储器12中的计算机代码14的任何数量的硬件部件。装置10具有关联存储器12，且存储器12可以是用于存储用于完成或促进本说明书中所述的各种方法的数据和/或计算机代码的一个或多个装置。存储器可包括易失性存储器或非易失性存储器。存储器12可包括数据库部件、对象代码部件、脚本部件或用于支持本说明书的各种活动的任何其他类型的信息结构。根据示例性实施方式，任何分布式或本地存储器装置可以与该说明书的系统和方法一起使用。根据示例性实施方式，存储器12通信地连接到处理器11(例如，经由电路或任何其他有线、无线或网络连接)，并包括用于执行本文所述的一个或多个过程的计算机代码。

应注意的是，词语“包括”并不排除除了所列出的那些元件或步骤以外的其他元件或步骤的存在，并且在元件前面的词语“一个”或“一种”并不排除多个这样的元件的存在。应进一步注意的是，任何附图标记并不限制权利要求的范围，本公开可以既借助于硬件和软件二者来至少部分地实现，以及几个“装置”或“单元”可由同一件硬件表示。还将理解的是，虽然术语“第一”、“第二”等可用在本文中以描述各种元件，这些元件不应由这些术语限制。这些术语只用于区分一个元件与另一个。例如，第一函数可被称为第二函数，以及类似地，第二函数还可被称为第一函数，而不偏离实施方式的范围。第一函数和第二函数都是函数，但它们不是同一函数。

虽然附图可显示方法步骤的特定顺序，步骤的顺序可不同于所描述的顺序。此外，两个或更多个步骤可同时地或部分同时地执行。这样的变形将取决于所选择的软件和硬件系统以及设计者选择。所有这样的变形在本公开的范围内。同样，软件实现可以用具有基于规则的逻辑和其他逻辑的标准编程技术来完成以完成各种连接步骤、处理步骤、比较步骤和判决步骤。上面提到的和所述的实施方式只作为示例给出且不应该是对本公开的限制。如在所附的权利要求中主张的本公开的范围内的其他方案、使用、目标和功能对本领域技术人员应该是明显的。

Claims (10)

1.一种用于在虚拟测试环境中针对自动驾驶系统ADS功能的不同严重性等级估计故障概率的计算机实现的方法，所述方法包括：

获得指示关于真实世界环境中的至少一个场景在所述ADS功能的运行设计域ODD中的统计分布的参数化统计模型；

基于所述参数化统计模型和极限状态函数LSF通过运行结构可靠性方法来估计所述ADS功能在所述虚拟测试环境中随时间的故障概率，所述LSF指示所述ADS功能的性能；

其中所述LSF g_i(θ)是指示所述ADS功能的运行环境的场景参数集θ＝[θ₁,θ₂,…,θ_n]的函数，所述LSF g_i(θ)包括：

第一函数g_F(θ)，其是指示发生故障场景的至少一个场景参数的函数；

第二函数g_S(θ)，其是指示故障场景的严重性等级的至少一个场景参数的函数，使得所估计的所述ADS功能的故障概率进一步指示针对至少两个不同严重性等级的估计故障概率。

2.如权利要求1所述的计算机实现的方法，其中所述第一函数g_F(θ)被定义为对于故障场景具有零值且对于非故障场景具有非零值；以及

其中所述第二函数g_S(θ)被定义为对于非故障场景具有零值且对于故障场景具有非零值。

3.如权利要求1所述的计算机实现的方法，其中所述结构可靠性方法是子集模拟方法。

4.如权利要求1-3中的任何一项所述的计算机实现的方法，其中所述LSF g_i(θ)进一步包括定义所述故障场景的严重性等级的阈值的级别参数c_i。

5.如权利要求1-3中的任何一项所述的计算机实现的方法，其中所述第一函数g_F(θ)是碰撞时间TTC、后侵入时间PET和制动威胁数量BTN中的至少一个的函数；以及

其中所述第二函数g_S(θ)是碰撞时的增量速度、车辆的重量、碰撞物体的重量、碰撞时的车辆的绝对速度、碰撞时的车辆的角度、恢复因子和碰撞时的撞击点中的至少一个的函数。

6.一种存储有被配置为由处理系统的一个或多个处理器执行的一个或多个程序的计算机可读存储介质，所述一个或多个程序包括用于执行根据前述权利要求中的任何一项所述的方法的指令。

7.一种用于在虚拟测试环境中针对自动驾驶系统ADS功能的不同严重性等级估计故障概率的处理系统，所述处理系统包括：

控制电路，被配置为：

获得指示关于真实世界环境中的至少一个场景在所述ADS功能的运行设计域ODD中的统计分布的参数化统计模型；

基于所述参数化统计模型和极限状态函数LSF通过运行结构可靠性方法来估计所述ADS功能在所述虚拟测试环境中随时间的故障概率，所述LSF指示所述ADS功能的性能；

其中所述LSF g_i(θ)是指示所述ADS功能的运行环境的场景参数集θ＝[θ₁,θ₂,…,θ_n]的函数，所述LSF g_i(θ)包括：

第一函数g_F(θ)，其是指示发生故障场景的至少一个场景参数的函数；

第二函数g_S(θ)，其是指示所述故障场景的严重性等级的至少一个场景参数的函数，使得所估计的所述ADS功能的故障概率进一步指示针对至少两个不同严重性等级的估计故障概率。

8.如权利要求7所述的处理系统，其中所述第一函数g_F(θ)被定义为对于故障场景具有零值且对于非故障场景具有非零值；以及

其中所述第二函数g_S(θ)被定义为对于非故障场景具有零值以及对于故障场景具有非零值。

9.如权利要求7所述的处理系统，其中所述结构可靠性方法是子集模拟方法。

10.如权利要求7-9中的任何一项所述的处理系统，其中所述第一函数g_F(θ)是碰撞时间TTC、后侵入时间PET和制动威胁数量BTN中的至少一个的函数；以及

其中所述第二函数g_S(θ)是碰撞时的增量速度、车辆的重量、碰撞物体的重量、碰撞时的车辆的绝对速度、碰撞时的车辆的角度、恢复因子和碰撞时的撞击点中的至少一个的函数。

Images