CN114194209A

CN114194209A - 自动驾驶环境中的风险评估

Info

Publication number: CN114194209A
Application number: CN202111111271.0A
Authority: CN
Inventors: 芒努斯·于伦哈马尔; 哈坎·西文克罗纳
Original assignee: Zheneti
Current assignee: Zheneti
Priority date: 2020-09-18
Filing date: 2021-09-18
Publication date: 2022-03-18
Also published as: EP3971864A1; US20220089192A1

Abstract

本发明涉及自动驾驶环境中的风险评估，提供了一种用于评估车辆的自动驾驶系统(ADS)的风险暴露的控制系统和方法。该方法包括：获得车辆的驱动能力，其中所获得的驱动能力包括驱动能力的不确定性评估。该方法进一步包括获得车辆周围环境中的自由空间区域的位置，其中所获得的自由空间区域的位置包括所评估的自由空间区域的位置的不确定性评估。此外，该方法包括基于所获得的驱动能力和所获得的自由空间区域的位置形成车辆的周围环境的风险地图，其中风险地图包括针对在车辆的周围环境中包括的多个区域段中的每个区域段的风险参数。该方法进一步包括基于与ADS的至少一条计划路径相交的区域段的集合的风险参数确定ADS的总风险值。

Description

自动驾驶环境中的风险评估

相关申请的交叉引用

本专利申请要求已转让给其受让人的2020年9月18日提交的申请号为20196794、名称为“自动驾驶环境中的风险评估”的欧洲专利申请的优先权，并通过引用明确并入本文。

技术领域

本发明涉及自动驾驶系统，并且具体涉及装备有自动驾驶系统的车辆的风险评估。

背景技术

在过去几年期间，自动驾驶车辆的开发呈爆炸式增长，并且正在探索许多不同的解决方案。越来越多的现代车辆具有先进的驾驶员辅助系统(ADAS)，以提高车辆的安全性以及更普遍地提高道路安全性。ADAS(例如可以由自适应巡航控制、ACC、防撞系统、前方碰撞预警等体现)是可以在驾驶时帮助车辆驾驶员的电子系统。今天，ADAS以及自动驾驶(AD)的开发都在这些领域内的许多不同技术区域内进行。在本文中，ADAS和AD将涉及与由例如驾驶自动的SAE J3016级别(0-5)定义的自动的所有不同级别相对应的通用术语自动驾驶系统(ADS)。

因此，在不久的将来，ADS解决方案将在更大程度上进入现代汽车。ADS可以被理解为可以被定义为系统的各种部件的复杂组合，在该系统中，车辆的感知、制定决策和操作被电子和机械而非人类驾驶员执行，并将自动化引入道路交通。这包括对车辆的处理、目的地以及对周围的认识。虽然自动系统控制车辆，但自动系统允许人类操作员将全部或至少部分责任留给系统。ADS通常组合多种传感器来感知车辆的周围，诸如例如雷达、LIDAR、声纳、照相机、例如GPS的导航系统、里程表和/或惯性测量单元(IMU)，基于这些传感器，先进的控制系统可以理解感测(sensory)信息以识别适当的导航路径以及障碍物和/或相关标志。

然而，如上所述的ADS特征必然需要以高完整性运行，以为车辆乘员及其周围环境提供足够低的风险。确保风险足够低可能需要难以处理的数量的数据来进行统计证明，并且根据示例将花费例如大约一百辆车辆连续驾驶五个世纪。在将ADS特征投放到公共道路之前，存在多种将ADS特征的风险最小化的方法。然而，除此之外，一般认为ADS特征应在现场监控一次，以确保它们符合要求的安全级别。

确保自动驾驶系统(ADS)的安全性是将这种系统推向市场的主要挑战之一。安全可以被视为不存在风险，并且这也是最容易处理的观察方式之一。不可能证明将存在零事故(即100％安全)，但是在对这些评估有一定的信心的情况下，可以证明事故的风险小于，比如说，10^-6(即事故的可能性小于驾驶10⁶小时一次)。虽然如此，为了获得这样的数目，需要来自大量行驶公里数的大量数据。然后，可以使用这数据推断碰撞的风险。

然而，这里的隐患之一是很难在数据中获得细微差别。或者发生了事故，或者没有，至少如果这是唯一被记录的事情。然而，使用更详细的数据，可以获得更精确的性能测量。这方面的一个示例是计算所有收集到的数据的制动威胁数(brake threat number，BTN)。通过这种方式，可以使用更少量的数据来推断碰撞(或BTN过高)的风险。然而，使用这些参数的缺点之一是很难让它们包罗万象。例如，BTN不考虑来自自己车辆(自我车辆)的横向操控以避免可能的碰撞。因此，即使不可能制动，也可以很容易地避免碰撞。相反，如果BTN包括横向位移，则它不处理可能很危急的情况。利用更精细的数据，可以更好地了解ADS在操作时面临的实际风险，但是很难确保这包括针对ADS的全部挑战。

因此，本领域需要新的和改进的解决方案，或者甚至是新的框架，用于量化ADS在驾驶期间暴露至和已经暴露至的风险。更具体地，需要计算高效且可靠的解决方案，以提供可以促进各种ADS功能或特征的进一步开发的细微数据。

发明内容

因此，本发明的目的是提供减轻目前已知系统和方法的以上讨论的缺点中的全部或至少一些的方法和控制系统。

进一步，本发明的目的是提供一种提供新框架的方法和控制系统，用于量化ADS在驾驶期间暴露至和已经暴露至的风险。更具体地，目的是提供计算高效的方法和控制系统，以及提供可以促进各种ADS功能或特征的进一步开发的细微数据的可靠的解决方案。

这些目的通过用于评估车辆的ADS的风险暴露的方法、计算机可读存储介质、控制系统以及包括如所附权利要求中限定的控制系统的车辆来实现。在当前背景中，术语“示例性”应理解为用作实例、示例或例示。

根据本发明的第一方面，提供一种用于评估车辆的自动驾驶系统(ADS)的风险暴露的方法。该方法包括获得车辆的驱动能力，其中所获得的驱动能力包括驱动能力的不确定性评估。该方法进一步包括获得车辆的周围环境中的自由空间区域的位置，其中所获得的自由空间区域的位置包括所评估的自由空间区域的位置的不确定性评估。此外，该方法包括基于所获得的驱动能力和所获得的自由空间区域的位置形成车辆的周围环境的风险地图，其中风险地图包括针对在车辆的周围环境中包括的多个区域段中的每个区域段的风险参数。该方法进一步包括基于与ADS的至少一条计划路径相交的区域段的集合的风险参数确定ADS的总风险值。

根据本发明的第二方面，提供了一种(非暂时性)计算机可读存储介质，存储被配置为由车载处理系统的一个或多个处理器执行的一个或多个程序，该一个或多个程序包括用于执行本文中公开的实施例中的任一个的方法的指令。对于本发明的这一方面，存在与本发明的先前讨论的第一方面类似的优点和优选的特征。

如本文中所使用的，术语“非暂时性”旨在描述排除传播电磁信号的计算机可读存储介质(或“存储器”)，但不旨在另外限制被短语计算机可读介质或存储器涵盖的物理的计算机可读存储设备的类型。例如，术语“非暂时性计算机可读介质”或“有形存储器”旨在涵盖不一定永久地存储信息的存储设备的类型，包括例如随机存取存储器(RAM)。以非暂时形式存储在有形计算机可访问存储介质上的程序指令可以进一步通过传输介质或者可以经由诸如网络和/或无线链路的通信介质传送的、诸如电、电磁、或数字信号的信号传输。因此，与对数据存储持久性的限制(例如，RAM对ROM)相反，本文所使用的术语“非暂时性”是对介质本身的限制(即，有形，不是信号)。

根据本发明的第三方面，提供一种用于评估车辆的自动驾驶系统(ADS)的风险暴露的控制系统。控制系统包括被配置为获得车辆的驱动能力的控制电路，其中所获得的驱动能力包括驱动能力的不确定性评估。控制电路进一步被配置为获得车辆的周围环境中的自由空间区域的位置，其中所获得的自由空间区域的位置包括所评估的自由空间区域的位置的不确定性评估。此外，控制电路被配置为基于所获得的驱动能力和所获得的自由空间区域的位置形成车辆的周围环境的风险地图，其中风险地图包括针对在车辆的周围环境中包括的多个区域段中的每个区域段的风险参数。控制电路进一步被配置为基于与ADS的至少一条计划路径相交的区域段的集合的风险参数确定ADS的总风险值。对于本发明的这一方面，存在与本发明的先前讨论的第一方面类似的优点和优选的特征。

根据本发明的第四方面，提供一种车辆，该车辆包括自动驾驶系统、包括被配置为监控车辆的周围环境的至少一个传感器的感知系统、包括被配置为监控车辆的驱动能力的至少一个传感器的车辆控制系统、被配置为监控车辆的地理地图位置的定位系统、以及根据本文中公开的实施例中的任一个的控制系统。对于本发明的这一方面，存在与本发明的先前讨论的第一方面类似的优点和优选的特征。

本发明的进一步的实施例被限定在从属权利要求中。应强调的是，当在本说明书中使用时，术语“包括/包含”用来指定所述特征、整体、步骤或部件的存在。术语“包括/包含”不排除一个或多个其他特征、整体、步骤、部件或其组的存在或附加。

参考下文中描述的实施例，以下将进一步阐明本发明的这些和其他特征以及优点。

附图说明

参考附图，本发明的实施例的进一步的目的、特征和优点将从下面的详细描述显而易见，在附图中：

图1是根据本发明的实施例的用于评估车辆的自动驾驶系统(ADS)的风险暴露的方法的示意性流程图表现形式。

图2是根据本发明的实施例的用于评估车辆的ADS的风险暴露的控制系统的示意性框图表现形式。

图3是根据本发明的实施例的风险地图的示意性俯视图，其中一些不同部件对风险地图有贡献。

图4是在后续时间步长下来自图3的风险地图的示意性俯视图。

图5是在后续时间步长下来自图4的风险地图的示意性俯视图。

图6是根据本发明实施例的来自具有以网格形式指示的区域段的图5的风险地图的示意性俯视图。

图7是根据本发明的实施例的包括用于评估ADS的风险暴露的控制系统的车辆的示意性侧视图。

具体实施方式

本领域技术人员将认识到，本文中解释的步骤、服务和功能可以使用单独的硬件线路、使用结合编程的微处理器或通用计算机而运行的软件、使用一个或多个专用集成电路(ASIC)和/或使用一个或多个数字信号处理器(DSP)来实现。还将理解，当根据方法描述本发明时，本发明也可以以一个或多个处理器以及联接至一个或多个处理器的一个或多个存储器来体现，其中一个或多个存储器存储在由一个或多个处理器执行时执行本文中公开的步骤、服务和功能的一个或多个程序。

在示例性实施例的以下描述中，相同的附图标记指代相同或类似的部件。

在本上下文中，风险地图评估并量化跨越ADS的周围(即自我车辆的周围)的“风险”的视图，并且优选地包括传感器能力、检测和预测的不确定性以及车辆平台可用能力的不确定性。

本发明提出了一种在驾驶期间在每个时间实例中在风险地图上评价车辆的计划路径(即ADS决定根据其驾驶的路径)的手段。因此，可以获得在整个驾驶或驾驶工作段中对ADS自身暴露至的风险的综合测量。因此，风险的测量基于当前计划的用于执行的路径以及ADS的先前执行路径。更详细地，与先前已知的解决方案相比，根据本发明获得的风险评估不依赖于任何中间威胁测量或类似物(例如制动威胁数)。相反，根据本发明获得的风险评估可以被理解为基于支撑ADS的世界图景(worldview)的多个模型(即，使用传感器数据、地图数据等的感知的ADS的真实性)的风险的直接评估以及其自身能力的评估。进一步，与评价自动化/自动车辆性能的其他现有方法相比，这种方法提供了在无风险和碰撞之间的连续测量。如本文所述，对总风险的评估导致ADS已经暴露至的风险的细粒度的测量。不仅可以添加没有事故的小时数，还可以比较单独的驾驶小时数。这种方法的优点是可以测试新的ADS软件并将其与以前的版本进行更可靠的比较，并且可以使用更少的公里或更小的(测试)车队。换句话说，由于改进了验证过程，ADS软件的更新版本可以以更快的速度和更低的成本发布。

图1图示了根据本发明的实施例的用于评估车辆的自动驾驶系统(ADS)的风险暴露的方法100的示意性流程图表现形式。方法100包括获得101车辆的驱动能力，其中所获得的驱动能力包括驱动能力的不确定性评估。驱动能力可以从例如可以从车载传感器或内部控制单元等获得的传感器数据得到。在本文中，术语“获得”被广义地解释，并且涵盖接收、检索、收集和获取等。

车辆的驱动能力可以例如包括诸如制动能力、最大转向角、最大加速能力等的一个或多个驱动参数，包括每个参数的不确定性评估。驱动能力和关联的不确定性评估可以基于被给定一个或多个实时变量(诸如，如本领域技术人员容易理解的，例如当前速度、车辆特性(车辆尺寸、车辆重量等)和路面特性等)的预定义模型而实时确定。不确定性评估可以从与每个驱动参数关联的预定统计模型中得到，其中驱动能力通过平均值或模式值给定，并且不确定性评估通过例如在平均值上方或下方的一个或两个标准偏差给定。

进一步，方法100包括获得103车辆的周围环境中的自由空间区域的位置，其中所获得的自由空间区域的位置包括所评估的自由空间区域的位置的不确定性评估。自由空间区域可以例如从被配置为监测车辆的周围环境的一个或多个车载传感器的传感器数据得到。然而，传感器数据也可以源自车辆附近的其他传感器，例如，安装在其他车辆或基础设施元件上的传感器，并且经由V2V或V2X通信网络获得。

在本上下文中，自由空间区域可以被理解为自我车辆的周围环境中没有物体(例如其他车辆、行人、障碍物、动物、自行车、静态物体等)的区域。因此，获得103自由空间区域的位置可以被理解为评估不存在外部物体(静态和动态物体)的区域以及评估该确定的不确定性，即所确定的自由空间区域的位置实际是真实的可能性。

此外，在一些实施例中，自由空间区域的位置包括位于自我车辆的周围环境中的外部物体的位置。所评估的外部物体的位置可以包括外部物体的位置的不确定性、外部物体中的任何动态物体的评估轨迹以及动态物体的评估轨迹的不确定性。然而，在一些实施例中，自由空间区域的位置由车辆的专用模块确定，其中专用模块被配置为获得指示车辆的周围环境的传感器数据，并且基于传感器数据得到自由空间区域相对于车辆的位置。因此，在获得自由空间区域的位置之前不必存在检测物体的中间步骤或层，即可以直接获得“自由空间区域”。例如，Lidar发射的信号可以在被一些表面反射之前在空间中传播一定距离，那么Lidar和表面之间的这个区域可以定义为“自由空间区域”，没有任何操作或步骤来定义信号从其被反射的表面。

更进一步地，方法100包括基于获得101的驱动能力和获得103的自由空间区域的位置来形成104自我车辆的周围环境的风险地图。风险地图包括针对在自我车辆的周围环境中包括的多个区域段中的每个区域段的风险参数。因此，可以利用ADS的评估自我车辆的周围区域中的“自由空间”的现成功能以及评估车辆平台的操作能力的功能(两者一般用于制定决策和控制车辆)，并且然后使用此功能以便产生风险地图。

风险地图的示例如图3至图6所示，其中风险地图是基于ADS的世界图景形成的，该ADS的世界图景包括来自感知系统的检测和预测的不确定性、地图内的定位、以及车辆平台的能力和能力的不确定性。

如果车辆要占据关联的区域段或者更具体地针对车辆与该区域段相交的计划路径，则每个风险参数可以例如指示事故事件的概率或者违反任何预定义的安全余量或阈值的概率。在简化示例中，如果第一区域段完全在外部车辆占据的区域内，则该第一区域段可以具有指示第一区域段是“高风险”段的风险参数。这至少部分基于这样的逻辑推理，即如果车辆的计划路径与该段相交，可以假定存在相对较高的与外部车辆碰撞的概率。类似地，如果第二区域段完全在没有任何外部物体的可驾驶道路段内，则该第二区域段可以具有指示第二区域段是“低风险”段的风险参数。

术语“违反预定义的安全余量或阈值的概率”可以例如是违反与其他车辆的预定义的最小距离的概率的评估。更详细地，当车辆的计划路径涉及接管操纵或者与在空旷的高速公路上驾驶相比在密集交通中操纵时，可以假定违反这种安全阈值的概率增加。因此，考虑到指示发生在车辆的操作设计域(ODD)中的某些场景的一些统计模型，可以评估外部车辆执行将导致违反与领先车辆的预定义最小距离的意外操控的概率，并且还评估在各种场景下发生该特定操作的概率。如前所述，可以假定在密集的城市交通中比在空旷的高速公路上暴露至这种“意外操控”的风险更高。换句话说，风险参数不一定必须指示事故事件的概率，而是可以以诸如以上示例的其他指标来定义。其他示例包括其他质量指标，诸如到道路边缘的距离和急动(jerk)幅度(例如横向加速度)等。

方法100进一步包括基于与ADS的至少一条计划路径相交的区域段的集合的风险参数来确定105ADS的总风险值或ADS暴露/已暴露至的总风险值。在本上下文中，计划路径被理解为“被计划和被选择”路径，即已被选择用于执行的路径。因此，计划路径可以是被执行的路径，也可以是将要被执行的路径。因此，基于ADS已经被计划并选择用于执行的计划路径的集合来确定102总风险。因此，方法100可以进一步包括获得ADS的计划路径。

更具体地，对于每个时间实例/样本，ADS的总风险通过例如将与计划路径相交的部分(区域段)的风险参数添加在一起并将其与在之前的时间实例中得到的总风险值组合来评估/确定。在本文中，术语“组合”被广义地解释并且可以覆盖多个数学操作以“正确地”将值组合，如将举例说明。此外，总风险值可以进一步基于至少一条计划路径的持续时间确定。从而可以估计每时间单位的ADS的风险暴露。

风险值的确定105可以例如通过使用网格框架来简化，如图6中描绘的。因此，在一些实施例中，确定105总风险值的步骤包括聚集与至少一条计划路径中的每条计划路径相交的区域段的集合的风险参数。因此，总风险值取决于当前尚未执行的路径和先前计划并执行的路径。总风险值基于所聚集的风险参数和用于产生所聚集的风险参数的样本的总数来确定。下面参考图2提供关于总风险的计算的进一步细节。

在一些实施例中，方法100进一步包括获得102包括周围环境的HD地图信息和车辆的地理位置的地图数据，其中所评估的地理位置包括车辆的所评估的地理位置的不确定性评估。因此，进一步基于所获得的地图数据形成风险地图。

此外，在一些实施例中，ADS与指示与自我车辆的周围环境中的多个场景有关的统计分布的统计模型相关联。因此，方法100可以进一步包括获得在车辆的周围环境中出现的至少一个场景的概率，使得风险地图进一步基于所获得的在车辆的周围环境中出现的至少一个场景的概率。与在车辆的周围环境中的场景的统计建模有关的更多细节可以在同一申请人来自瑞典哥德堡的Zenuity AB的欧洲专利申请EP20169897.4中获取，通过引用合并与此，并且为简洁起见，将不再进一步阐述。

用于执行这些功能的可执行指令被选择性地包括在非暂时性计算机可读存储介质或被配置为由一个或多个处理器执行的其他计算机程序产品中。

图2是根据本发明的实施例的用于评估车辆的自动驾驶系统(ADS)的风险暴露的控制系统10的示意性框图表现形式。控制系统10包括可以被实现为软件控制的处理器的控制电路。然而，可替代地，控制电路可以全部或部分地以硬件实现。在图2描绘的实施例中，控制电路包括模块的集合，然而，这些并不一定被解释为对本发明的限制，而是用于进一步阐明本发明。本领域技术人员容易理解，存在几种方法来实际实现本文中公开的发明概念，例如在不脱离本发明的范围的情况下，通过不同于图2中图示的示例实施例的其他类型的软件/硬件架构来实现本文中公开的发明概念。这种变化可以取决于预期应用或系统规格。

接着，控制系统10包括风险评价模块21，风险评价模块21被配置为编制风险地图并且评价已被提供/选择用于执行的路径的风险。更详细地，风险地图由ADS 30的世界图景建立，ADS 30的世界图景包括来自感知系统31的检测和预测的不确定性(即，自由空间区域的评估位置)，地图内的定位以及车辆平台33的能力的不确定性。在本文中，ADS 30被描述为包括用于决策和控制的子模块32的模块，其中来自感知系统31和车辆平台33的信息被用于产生用于由车辆平台33执行的路径。与该路径关联的风险随后由另一模块23基于编制的风险地图来计算/量化。

因此，风险地图编制器24例如从与车辆平台33关联的子系统获得车辆的驱动能力。此外，所获得的驱动能力进一步包括对驱动能力的不确定性评估。驱动能力可以由控制电路基于从车辆平台33的子系统提供的原始传感器数据来评估，或者驱动能力可以作为处理后的传感器数据直接获得(即原始传感器数据可以被预处理，并且然后发送至风险地图编制模块24)。

在说明性示例中，所获得的驱动能力可以包括制动能力和所获得的制动能力的不确定性评估或“误差幅度”的类型。例如，如果所获得的制动能力是车辆能够在150米的距离内完全停止(假设紧急制动启动)，则该评估的不确定性评估可以包括±15米的误差幅度(即±10％)。如前述中提到的，驱动能力可以从一个或多个驱动参数的统计模型给出，其中针对每个驱动参数的不确定性评估可以由那些统计模型中的标准偏差来定义。

进一步，风险地图编制器24获得车辆的周围环境中的自由空间区域的位置(例如从车辆的感知系统31获得车辆的周围环境中的自由空间区域的位置)，其中所获得的自由空间区域的位置包括所评估的自由空间区域的位置的不确定性评估。在图2中，这在ADS模块30中被指示为“世界图景+不确定性”。如前述中提到的，在本上下文中，自由空间区域可以被理解为自我车辆的周围环境中没有物体(例如其他车辆、行人、障碍物、动物、自行车、静态物体等)的区域。因此，获得自由空间区域的位置可以包括所确定的外部物体(静态和动态物体)的位置、所确定的动态物体的轨迹、以及确定的不确定性的评估，即所确定的自由空间区域的位置实际是真实的可能性。

然后，风险地图由风险地图编制模块24基于所获得的驱动能力和所获得的自由空间的位置而产生或形成。风险地图包括针对在车辆的周围环境中包括的多个区域段中的每个区域段的风险参数。风险地图可以被理解为具有多个被限定的区域段的、车辆的周围环境的虚拟地图，每个区域段与对应的风险参数关联。

进一步，ADS的总风险值基于与ADS的一条或多条计划路径相交的区域段的集合的风险参数来确定。更详细地，路径风险评价模块23提供对当前时间步长/样本的风险值的评估，并将该评估发送到被配置为计算ADS的总风险值的总风险计算模块22。

在一些实施例中，针对每个时间实例，计划路径的总风险通过将与计划路径相交的区域段的风险添加在一起来评估。在一些实施例中，这通过使用网格来简化，如图6中描绘的。因此，然后可以仅添加针对路径穿过的“框”中的每个的风险参数以得出路径的风险的评估。然而，在一些实施例中，计算总风险的过程可以稍微更复杂一些，以还考虑跨越地图和计划路径两者的时间演变，如以下讨论的。

因此，驾驶的总风险可以通过添加每个计划和执行的单独路径的风险并且用驾驶时间进行归一化来获得。可替代地，如果在整个驾驶中使用等距时间步长，则计划路径的聚集的风险可以由计划路径的数量归一化。因此，总风险可以示意性地被描述为：

其中T是在被考虑的驾驶(到目前为止)期间的驾驶总时间，并且积分被用于更精确地计算每条计划路径的风险，而不是仅仅将相交的网格框的风险参数求和，如上面的示例提及。此外，通过考虑在风险计算本身中包括的样本的数量，系统可以提供(例如，每个时间单位)系统已暴露至的总风险的连续评估。在图2中，这个反馈回路在总风险计算模块22的输出处被指示。

因此，在一些实施例中，控制系统10的控制电路被配置为对于每个时间样本通过以下方式确定总风险值：

基于与自之前时间样本以来当前计划路径相交的区域段的集合，来确定ADS30的当前风险值；

通过将所确定的当前风险值与针对之前时间样本的先前计算的复合风险值求和，来确定当前复合风险值。因此，先前的复合风险值可以被理解为与已经执行的路径相交的区域段的风险参数的聚集；

通过将当前复合风险值除以直到当前时间样本并包括当前时间样本而使用的样本的总数，来确定总风险值。

因此，总风险根据图2中所示的流程被编制，其中总风险以及之前的计算中使用的样本数被反馈以在下一次迭代中使用，以获得总风险。

换句话说，针对每个时间样本(在选择了用于执行的路径之后)，根据在这个时间实例处的风险地图，通过聚集与这条计划路径相交的区域段的风险参数，来计算这个时间实例的风险(即，当前风险值)。然后，将这个“当前风险值”与先前计算出的被执行的每条路径的风险值求和，以获得“当前复合风险值”。应当注意，那些先前计算出的风险值是根据在那些时间样本处的风险地图确定的。然后，总风险值通过将“当前复合风险值”除以直到当前时间样本并包括当前时间样本而使用的样本的总数来计算。

然而，即使可以是隐含的，因为反馈到总风险计算模块22的是总风险，所以在将新的“当前风险值”添加到用于计算该总风险的样本的数量之前，存在将先前计算的总风险与用于计算该总风险的样本的数量相乘的附加步骤。这在下面的等式(2)和(3)中更正式地呈现。

这里，TR_t表示在时间实例t处的总风险值，CR_t表示当前复合风险值，即，直到时间实例t并包括时间实例T的ADS“已被暴露至”的风险参数的聚集和，并且T_t表示用于计算直到时间实例t并包括时间实例t的当前复合风险值的样本的总数。等式(3)描述了先前提到的过程，其中在将先前的时间实例的总风险(即反馈的总风险)添加到“当前风险值”(PR_t+1)之前，先前的时间实例的总风险乘以用于计算该总风险的样本的数量。PR_t+1表示在时间实例t+1处的计划路径的风险值。

因此，当车辆操控通过所形成的风险地图时，可以获得车辆在那些操控期间已经暴露至的风险的周期性地/连续更新地且定量的评估。通过在整个驾驶中连续地/周期性地评估总风险，可以进一步判断ADS 30是否违反任何安全要求。因为当ADS被激活时或在ADS被激活的地方，在所有情况下驾驶车辆是ADS的责任，因为4级4或更高(根据SAE J3016驾驶自动化等级)的ADS必须适应要被执行的(意外的)“高风险”路径的需求，所以这对于4级或更高的ADS特别有利。然而，如果风险级别持续高于可接受的级别，则应承认这一点并应采取适当的动作，诸如要求驾驶员收回或中止行程，以避免发生事故。

因此，在一些实施例中，控制系统进一步包括风险值判定模块25，其中将当前风险值和总风险值分别与第一风险阈值26和第二风险阈值27进行比较。更具体地，如果当前风险值超过第一风险阈值，则控制电路可以被配置为执行至少一个第一动作。

一个或多个第一动作可以是对车辆的乘员/驾驶员产生切换请求、启动最低风险条件(MRC)操控和在车辆的人机界面(HMI)处产生指示超过第一风险阈值的警报中的一个或多个。更实际的说，如果第一风险阈值26被超过，则可以指示ADS的计划路径与升高的风险关联。因此，系统也可以将指示第一风险阈值26已被超过的多个实例的计数器包括在内，并且如果计数器达到计数器阈值，则控制电路可以被配置为执行至少一个第三动作(对车辆的乘员/驾驶员产生切换请求、至少暂时地禁止ADS的未来激活、或在车辆的人机界面(HMI)处产生指示超过第二风险阈值的警报)。

类似地，在一些实施例中，如果总风险值超过第二风险阈值27，则控制电路可以被配置为执行至少一个第二动作。至少一个第二动作可以是对车辆的乘员/驾驶员产生切换请求、启动最低风险条件(MRC)操控、至少暂时地禁止ADS的未来激活和在车辆的人机界面(HMI)处产生指示超过第二风险阈值的警报中的一个或多个。

图3是根据本发明的实施例的风险地图40的示意性俯视图，一些示例部件41至46”对风险地图有贡献。此外，在地图40中指示自我车辆的用于执行的计划路径47a-c。

更详细地，风险地图40包括指示所评估的车辆43的制动能力的信息，该信息包括所评估的车辆43的制动能力的不确定性估计43'、43”。进一步，风险地图40包括地图中的自我车辆的地理位置41、地理位置41的不确定性评估42、外部物体44、46的位置、外部物体的位置的不确定性44'、44”、46'、动态对象44的轨迹45和轨迹45的不确定性45'、45”。评估的不确定性可以例如基于模型(预定义或自学习/机器学习)来计算，该模型限定从车辆的传感器(例如，照相机、雷达、LiDAR、超声波传感器等)提供的测量中的容限或误差余量。因此，所形成的风险地图40也考虑由这种例如传感器制造容限和噪声等引起的自我车辆的世界图景的这种测量中的固有不确定性。因此，整个风险评估变得更加准确和可靠，更准确地反映车辆的ADS的实际风险暴露。

图4至图5用于图示风险地图如何在两个随后并连续的时间实例/样本中随时间演变。

图6是根据本发明实施例的具有以网格50的形式指示的区域段51的、来自图5的风险地图的示意性俯视图。如上述中描述的，为了确定被计划用于执行的路径47的总风险，可以将与计划路径47相交的区域段52关联的风险值添加在一起。

因此，回到图3至图5的系列，根据本发明的实施例，以下用作可以如何确定总风险值的示例，以及风险值如何随时间改变的示例。图3表示在第一时间实例t处的风险地图40。因此，为了计算总风险，车辆的控制系统被配置为基于与当前的计划路径47a相交的区域段组来计算ADS的当前风险值。在本示例中，基于与当前的计划路径47a相交的区域段的集合，ADS的当前风险值被假设为10^-8。由于不存在先前计算的总风险值或复合风险值，当前风险值形成在时间t处的总风险值。

接着看图4，图4表示在后续第二时间实例t+1处的风险地图40。这里，新路径47b已被计划并选择用于执行。类似地，ADS的当前风险值基于与当前的计划路径47b相交的区域段的集合确定。在该时间实例处，假设当前风险值为10^-7。因此，当前复合风险值通过将当前风险值与针对之前时间样本的先前计算的复合风险值求和而确定的，从而在时间t+1处的总风险值通过将当前复合风险值除以直到当前时间样本并包括当前时间样本而使用的样本的总数来确定。因此，在时间t+1处的总风险值由下面的等式(4)给出。

进一步，图5表示在后续第三时间实例t+2处的风险地图40。按照与以上相同的过程，假设10^-7的当前风险值并利用等式(3)，在时间t+2处的总风险值由以下等式(5)给出。

因此，如前述所示例的，通过本文中提出的发明，可以在整个驾驶中获得对ADS的风险暴露的或多或少连续的评估以及此外风险暴露如何随时间演变。如前述中提到的，与其他现有的评价自动/自主车辆性能的方法相比，这种方法提供了在无风险和碰撞之间的连续测量。如本文中所述，对总风险的评估带来ADS已暴露至的风险的细粒度的测量。不仅可以添加没有事故的小时数，还可以比较单独的驾驶小时数。

图7描述根据本发明的实施例的车辆1的示意性侧视图，车辆1包括用于评估ADS的风险暴露的控制系统10。车辆1进一步包括ADS、感知系统6和定位系统5。在当前上下文中，感知系统6被理解为负责从诸如照相机、LIDAR和RADAR、超声传感器的车载传感器6a、6b、6c上获取原始传感器数据，并将该原始数据转换为场景理解的系统。定位系统5被配置为监视车辆的地理位置和前进方向(heading)，并且可以以诸如GPS的全球导航卫星系统(GNSS)的形式。然而，定位系统可以可替代地被实现为实时运动学(RTK)GPS，以提高精度。

更详细地，感知系统6可以指任何公知的系统和/或功能，例如，包括在车辆1的一个或多个电子控制模块和/或节点中，被设置和/或被配置成解释感测信息(与车辆1的驾驶相关的感测信息)，以识别例如障碍物、车道、相关标志、适当的导航路径等。因此，示例性的感知系统6可以被设置为依赖并获得与感测信息结合的来自多个数据源(诸如汽车成像、图像处理、计算机视觉和/或车载网络等)的输入。这种示例的感测信息可以例如从包括在车辆1中和/或提供在车辆1上的一个或多个可选的周围检测传感器6a至6c得到。周围检测传感器6a至6c可以由被设置为感测和/或感知车辆1的周围和/或行踪的任何任意传感器体现，并且可以例如指雷达、LIDAR、声纳、照相机、例如GPS的导航系统、里程表和惯性测量单元中的一个或多个中的一个或组合。

系统10包括一个或多个处理器11、存储器12、传感器接口13和通信接口14。处理器11也可以被称为控制线路11和控制电路11。控制电路11被配置为执行存储在存储器12中的指令，以执行根据本文中公开的实施例中的任何一个的用于评估车辆1的ADS的风险暴露的方法。换句话说，控制设备10的存储器12可以包括用于存储计算机可执行指令的一个或多个(非暂时性)计算机可读存储介质，当由一个或多个计算机处理器11执行时，该计算机可执行指令例如可以使计算机处理器11执行本文中描述的技术。存储器12可选地包括高速随机存取存储器，诸如DRAM、SRAM、DDR RAM或其他随机存取固态存储设备；并且可选地包括非易失性存储器，诸如一个或多个磁盘存储设备、光盘存储设备、闪存设备或其他非易失性固态存储设备。控制系统10进一步被提供有通信接口14和传感器接口13。

控制电路11被配置为基于传感器数据获得车辆的驱动能力，其中所获得的驱动能力包括驱动能力的不确定性评估。此外，控制线路11被配置为基于传感器数据获得车辆的周围环境中的自由空间区域的位置。所获得的自由空间区域的位置包括所评估的自由空间区域的位置的不确性评估。控制电路11进一步被配置为基于所获得的驱动能力和所获得的自由空间区域的位置形成车辆1的周围环境的风险地图。因此，风险地图包括针对在车辆的周围环境中包括的多个区域段中的每个区域段的风险参数。然后，通过形成的风险地图，控制电路11被配置为基于与ADS的至少一条计划路径相交的区域段的集合的风险参数来确定ADS的总风险值。

进一步，车辆1可以经由例如无线链路(例如，用于获取HD地图数据)连接至外部网络2。相同的或一些其他的无线链路可以被用于与车辆附近的其他车辆或与本地基础设施元件进行通信。蜂窝通信技术可以被用于诸如与外部网络的远程通信，并且如果所使用的蜂窝通信技术具有低延迟，则它也可以被用于车辆之间、车辆至车辆(V2V)和/或车辆至基础设施(V2X)之间的通信。蜂窝无线技术的示例是GSM、GPRS、EDGE、LTE、5G和5G NR等，还包括未来的蜂窝解决方案。然而，在一些解决方案中，使用了中短距离通信技术被使用，诸如无线局域网(LAN)，例如基于IEEE 802.11的解决方案。ETSI正在制定用于车辆通信的蜂窝标准，并且例如，由于低延迟以及对高带宽和通信信道的高效处理，5G被认为是合适的解决方案。

本发明已经参考特定实施例呈现了本发明。然而，除了以上描述的实施例之外的其他实施例是可能的，并且在本发明的范围内。在本发明的范围内，可以提供与以上描述的方法不同的、通过硬件或软件执行方法的方法步骤。因此，根据示例性实施例，提供了一种非暂时性计算机可读存储介质，该非暂时性计算机可读存储介质存储被配置为由车辆控制系统的一个或多个处理器执行的一个或多个程序，一个或多个程序包括用于执行根据上面讨论的实施例中的任一个的方法的指令。可替代地，根据另一示例性实施例，云计算系统可以被配置为执行本文中呈现的方法中任何一种方法。云计算系统可以包括在一个或多个计算机程序产品的控制下联合执行本文中呈现的方法的分布式云计算资源。

一般而言，计算机可访问介质可以包括任何有形或非暂时性存储介质或存储器介质，诸如电子、磁性或光学介质，例如，通过总线联接至计算机系统的磁盘或CD/DVD-ROM。如本文中使用的，术语“有形”和“非暂时性”旨在描述排除传播电磁信号的计算机可读存储介质(或“存储器”)，但不旨在另外限制被短语计算机可读介质或存储器涵盖的物理的计算机可读存储设备的类型。例如，术语“非暂时性计算机可读介质”或“有形存储器”旨在涵盖不一定永久地存储信息的存储设备的类型，包括例如随机存取存储器(RAM)。以非暂时形式存储在有形计算机可访问存储介质上的程序指令可以进一步通过传输介质或可以经由诸如网络和/或无线链路的通信介质传送的诸如电、电磁、或数字信号的信号传输。

处理器11可以是或包括用于传导数据或信号处理或者用于执行存储在存储器12中的计算机代码的任何数量的硬件部件。控制系统10具有关联的存储器12，并且存储器12可以是用于存储数据和/或计算机代码的一个或多个设备，以完成或促进本说明书中描述的各种方法。存储器可以包括易失性存储器或非易失性存储器。存储器12可以包括数据库部件、目标代码部件，脚本部件或用于支持本说明书的各种活动的任何其他类型的信息结构。根据示例性实施例，任何分布式或本地存储设备可以与本说明书的系统和方法一起使用。根据示例性实施例，存储器12可以通信地连接至处理器11(例如，经由电路或任何其他有线、无线或网络连接)，并且包括用于执行本文中描述的一个或多个处理的计算机代码。

应当理解，传感器接口13还可以提供直接或经由车辆中的专用传感器控制电路6获取传感器数据的可能性。通信/天线接口14可以进一步提供利用天线8将输出发送至远程位置(例如，远程操作员或控制中心)的可能性。另外，车辆中的一些传感器可以使用诸如CAN总线、I2C、以太网、光纤等的本地网络设置与控制设备10通信。通信接口14可以被布置为与车辆的其他控制功能通信，并且因此也可以被视为控制接口；然而，可以提供单独的控制接口(未示出)。车辆内的本地通信也可以是具有诸如WiFi、LoRa、Zigbee、蓝牙或类似中/短程技术的协议的无线类型。

因此，应当理解，所描述的解决方案的部分可以在车辆中、在位于车辆外部的系统中、或者在车辆的内部和外部的组合中实现；例如，在与车辆通信的服务器中，所谓的云解决方案。例如，传感器数据可以被发送到外部系统，并且该系统执行编制或提供风险地图的步骤。实施例的不同特征和步骤可以以与所描述的那些不同的其他组合方式组合。

应注意，词语“包括”不排除存在除所列出之外的其他元件或步骤，并且元件之前的词语“一”不排除存在多个这样的元件。进一步应注意，任何附图标记不限制权利要求的范围，本发明可以至少部分通过硬件和软件两者的方式来实现，并且若干“手段”或“单元”可以由相同的硬件项目体现。

还将理解，尽管在本文中可以使用术语“第一”、“第二”等描述各种元件，但是这些元件不应当受这些术语的限制。这些术语仅用于将一个元件与另一元件区分开来。例如，在不脱离实施例的范围的情况下，第一动作可以被称为第二动作，并且类似地，第二动作可以被称为第一动作。

虽然附图可以示出方法步骤的特定顺序，但是步骤的顺序可以与所描绘的顺序不同。另外，两个或更多个步骤可以同时执行或部分同时执行。例如，获取驱动能力的步骤和获取自由空间区域的位置的步骤可以基于具体实现互换。这种修改例将取决于所选择的软件和硬件系统以及设计者的选择。所有这些修改都在本发明的范围内。同样，可以使用具有基于规则的逻辑和其他逻辑的标准编程技术来完成软件实施，以完成各种连接步骤、处理步骤、比较步骤和决策步骤。上面提到和描述的实施例仅作为示例给出，并且不应限制本发明。在所附专利实施例中要求保护的本发明范围内的其他解决方案、使用、目的和功能对于本领域技术人员而言应是显而易见的。

Claims

1.一种用于评估车辆的自动驾驶系统ADS的风险暴露的方法，所述方法包括：

获得所述车辆的驱动能力，其中所获得的驱动能力包括所述驱动能力的不确定性评估；

获得所述车辆的周围环境中的自由空间区域的位置，其中所获得的自由空间区域的位置包括所评估的自由空间区域的位置的不确定性评估；

基于所获得的驱动能力和所获得的自由空间区域的位置，形成所述车辆的所述周围环境的风险地图，其中所述风险地图包括针对在所述车辆的所述周围环境中包括的多个区域段中的每个区域段的风险参数；并且

基于与所述ADS的至少一条计划路径相交的区域段的集合的所述风险参数，确定所述ADS的总风险值。

2.根据权利要求1所述的方法，进一步包括：

获得包括所述周围环境的HD地图信息和所述车辆的地理位置的地图数据，所述地理位置包括所述车辆的所述地理位置的不确定性评估；

其中所述风险地图进一步基于所获得的地图数据形成。

3.根据权利要求1或2所述的方法，其中所述自由空间区域的位置包括：

位于所述车辆的所述周围环境中的外部物体的位置，并且其中所述外部物体的所述位置包括所述外部物体的所述位置的不确定性、所述外部物体的任意动态物体的轨迹以及所述动态物体的所述轨迹的不确定性。

4.根据权利要求1所述的方法，其中所述ADS与指示与所述车辆的所述周围环境中的多个场景有关的统计分布的统计模型相关联，所述方法进一步包括：

获得在所述车辆的所述周围环境中出现的至少一个场景的概率；

其中所述风险地图进一步基于所获得的在所述车辆的所述周围环境中出现的所述至少一个场景的概率形成。

5.根据权利要求1所述的方法，其中确定所述总风险值的步骤包括：

聚集与所述至少一条计划路径中的每条计划路径相交的所述区域段的集合的所述风险参数；并且

基于所聚集的风险参数和用于产生所聚集的风险参数的样本的总数，确定所述总风险值。

6.根据权利要求1所述的方法，其中确定所述总风险值的步骤包括：

针对每个时间样本：

基于与自之前时间样本以来最近计划路径相交的所述区域段的集合，确定所述ADS的当前风险值；

通过将所述当前风险值与针对所述之前时间样本的先前计算的复合风险值求和，确定当前复合风险值；并且

通过将所述当前复合风险值除以直到当前时间样本并包括所述当前时间样本而使用的样本的总数，来确定所述总风险值。

7.根据权利要求6所述的方法，进一步包括：

将所述当前风险值与第一风险阈值比较；并且

如果所述当前风险值超过所述第一风险阈值，则执行至少一个第一动作。

8.根据权利要求7所述的方法，其中所述至少一个第一动作包括以下中的至少一个：

对所述车辆的乘员产生切换请求；

启动最低风险条件MRC操控；以及

在具有显示器的电子装置处：

在所述显示器上显示用户界面，所述用户界面包括指示所超过的第一风险阈值的图示。

9.根据权利要求8所述的方法，进一步包括：

将所述总风险值与第二风险阈值比较；并且

如果所述总风险值超过所述第二风险阈值，则执行至少一个第二动作。

10.根据权利要求7至9中任一项所述的方法，其中所述至少一个第二动作包括以下中的至少一个：

对所述车辆的乘员产生切换请求；

停用所述ADS特征；

至少暂时地禁止所述ADS特征的未来激活；

在具有显示器的电子装置处：

在所述显示器上显示用户界面，所述用户界面包括指示所超过的第二风险阈值的图示。

11.根据权利要求1所述的方法，其中所述总风险值进一步基于所述至少一条计划路径的持续时间确定。

12.根据权利要求1所述的方法，其中每个风险参数指示在所述车辆要占据关联的区域段的情况下事故事件的概率和违反预定义的安全阈值的概率中的至少一个。

13.一种计算机可读存储介质，存储被配置为由车载处理系统的一个或多个处理器执行的一个或多个程序，所述一个或多个程序包括用于执行根据前述权利要求中的任一项所述的方法的指令。

14.一种用于评估车辆的自动驾驶系统ADS的风险暴露的控制系统，所述控制系统包括：

控制电路，被配置为：

15.一种车辆，包括：

自动驾驶系统ADS；

感知系统，包括被配置为监控所述车辆的周围环境的至少一个传感器；

车辆控制系统，包括被配置为监控所述车辆的驱动能力的至少一个传感器；

定位系统，被配置为监控所述车辆的地理地图位置；以及

根据权利要求14所述的控制系统。