CN115723783A - 用于自动驾驶的安全控制器 - Google Patents

Abstract

用于自动驾驶系统的安全控制框架的系统和方法，其中第二控制器——具有与第一控制器不同/多样的硬件和/或软件——验证由第一控制器产生的路径规划是否满足一定的安全条件并响应于确定路径规划不满足安全条件而抢占第一控制器对本车辆的自动驾驶的控制。在一些实现方式中，第二控制器被配置为通过使用由第二控制器产生的安全路径规划在自动控制下操作车辆来抢占第一控制器。

Description

用于自动驾驶的安全控制器

技术领域

本发明涉及用于全自动和/或半自动驾驶的系统和方法。

发明内容

本文描述的实施例中的一些实施例提供一种用于高度自动驾驶 （HAD）的基于多控制器的系统。在一些实现方式中，系统包括被配置为做出自动驾驶路径规划决定的第一控制器。例如，基于来自一个或多个传感器（例如，摄像头、接近传感器等）的输入，第一控制器决定如何在自动驾驶期间操作车辆（例如，调整速度、改变车道等）。第二控制器是专用的“安全”控制器。不是提供冗余功能（即，与第一控制器相同的硬件和软件），而是，第二控制器被配置为确定安全条件（例如，允许哪些驾驶路径/决定）。如果第一控制器做出落入由第二控制器确定的“允许路径”内的驾驶决定，则允许第一控制器继续自主地操作车辆。然而，如果第一控制器做出将违反由第二控制器确定的安全约束的驾驶决定，则第二控制器将（a）将系统恢复为手动驾驶模式或（b）应用“失效操作”驾驶控制功能，其中第二控制器接管车辆的自动操作以使车辆安全停止。

在一些实现方式中，第二控制器被配置为应用比第一控制器更高的ASIL（“汽车安全完整性等级”），且因此，第二控制器被配置为优先考虑安全，而不是效率。拥有两个独立的控制器（每个控制器都用多样化的软件（例如，不同软件）来编程）也使系统能够解决第一控制器的硬件/软件中的潜在故障，该第一控制器可做出不同决定，从而导致路径规划内的歧义。

在一个实施例中，本发明提供自动驾驶系统，其包括第一控制器和第二控制器。第一控制器被配置为至少部分地基于指示一个或多个检测的物体的车辆传感器数据来确定本车辆相对于一个或多个检测的物体的位置；至少部分地基于本车辆的相对位置确定本车辆的路径规划；向第二控制器传输指示本车辆的路径规划的数据；并且传输控制信号到至少一个车辆系统，从而使至少一个车辆系统根据路径规划操作本车辆的移动。第二控制器被配置为从第一控制器接收指示本车辆的路径规划的数据；至少部分地基于指示一个或多个检测的物体的车辆传感器数据，根据一个或多个安全条件确定路径规划是否是允许路径；并且响应于确定路径规划不是允许路径，抢占控制信号从第一控制器到至少一个车辆系统的传输。

通过考虑详细描述和附图，本发明的其他方面将变得显而易见。

附图说明

图1是在一些实现方式中用于车辆自动操作的系统的示意框图。

图2是图1的系统的框图，该系统包括双控制器车辆运动协调系统。

图3是使用图2的系统提供车辆的自动化操作的方法的流程图，该系统具有由两个相同的冗余控制器提供的失效-安全系统。

图4是在路面上操作的本车辆和目标车辆的俯视图。

图5是使用图2的系统提供车辆的自动化操作的方法的流程图，该系统具有由两个不同控制器提供的失效操作系统。

具体实施方式

在详细解释本发明的任何实施例之前，应理解本发明的应用不限于在以下描述中阐述或在以下附图中示出的构造和部件布置的详细情况。本发明能够具有其他实施例并且能够以各种方式实践或执行。

图1示出用于提供车辆、诸如在道路上操作的客车的完全和/或部分自动驾驶的系统框架的示例。相机系统101捕获本车辆周围区域的图像数据，并且在一些实现方式中，被配置为输出信息，例如包括物体的标识，诸如道路标志。其他传感器系统103（包括一个或多个单独的传感器系统，例如接近感测系统、雷达系统、激光雷达系统、GPS等）在一些实现方式中被配置为捕获关于本车辆周围区域的数据。在一些实现方式中，其他传感器系统103可以包括传感器融合系统，其被配置为收集由一个或多个传感器捕获的数据，分析收集到的数据，并输出关于本车辆周围区域中物体的位置和/或本车辆与一个或多个物体之间的距离的信息。

在图1的示例中，来自相机系统101和其他传感器系统103的信息作为输入提供到被配置为确定车辆相对于建模环境的位置的定位层105。然后，路径规划层107使用该信息来确定车辆在建模环境中行驶的适当路径。然后，协调层109确定将使车辆根据定义的路径规划而适当地移动的特定车辆操作参数（例如，加速度参数、转向参数、制动参数等）。然后，控制层111确定将使车辆实施确定的操作参数的特定致动器信号/命令。致动层113包括多个车辆致动器，其接收来自控制层111的控制信号并相应地操作。

图2是被配置为实现图1的框架的系统的框图。车辆运动协调系统201包括两个单独的控制器——初级自动驾驶控制器203和次级自动驾驶控制器205。初级自动驾驶控制器203包括电子处理器（即，“初级AD电子处理器207”）和非暂时性计算机可读存储器（即，“初级AD存储器209”）。类似地，次级自动驾驶控制器205还包括电子处理器（即，“次级AD电子处理器211”）和非暂时性计算机可读存储器（即，“次级AD存储器213”）。存储器209、213各自通信地联接到各自的电子处理器207、211并且各自存储数据和计算机可执行指令，当由各自的电子处理器207、211执行时，该数据和计算机可执行指令提供各自控制器203、205的功能，包括例如如下文所述的功能。

车辆运动协调系统201通信联接到传感器堆栈215，该传感器堆栈215包括一个或多个摄像头系统217、雷达和/或激光雷达系统219、GPS系统221和一个或多个其他系统223。在此示例中，车辆运动协调系统201被配置为作为定位层105、路径规划层107和协调层109来操作。因此，如下文另外详细描述的，车辆运动协调系统201被配置为接收来自传感器堆栈215的环境模型和/或根据从传感器堆栈215接收的数据产生环境模型，以确定相对于环境模型的车辆位置（即，定位层105），以确定用于在环境模型内操作车辆的路径规划（即，路径规划层107），并确定各种车辆系统的适当操作参数以实施路径规划（即，协调层109）。

然后，车辆运动协调系统201将确定的操作参数传输到一个或多个车辆系统。在图2的示例中，对应于图1的控制层111的车辆系统包括制动系统225、转向系统227、电子驱动系统229和一个或多个其他车辆系统231。制动系统225从车辆运动协调系统201接收一个或多个制动参数并且被配置为确定相应的控制信号并将其传输到为本车辆提供适当制动力的液压致动器233。转向系统227从车辆运动协调系统201接收一个或多个转向参数并被配置为确定相应的控制信号并将其传输到被配置为调整本车辆的转向的一个或多个转向致动器235。电子驱动系统231从车辆运动协调系统201接收一个或多个动力传动参数（例如，加速度参数）并被配置为确定相应的控制信号并将其传输到一个或多个动力传动致动器（即，用于电动或混合动力车辆的电动机的电子机器致动器）。其他车辆系统231类似地配置为从车辆运动协调系统201接收一个或多个操作参数并配置为确定相应的控制信号并将其传输到一个或多个其他车辆致动器237。在图2的示例中，图1的致动层113包括液压致动器233、转向致动器235、电子机器致动器237和其他应用车辆致动器237。

在图2的示例中，车辆运动协调系统201还以通信方式联接到主电子控制单元（“ECU”）239。在一些实现方式中，ECU 239被配置为提供显示给本车辆的操作员的信息且通过本车辆的手动车辆控制件和界面241来接收用户输入。例如，在一些实现方式中，手动车辆控制件/界面241可以包括触敏显示器并且ECU 239可以被配置为使触敏显示器向用户显示导航地图并通过触敏显示器接收指示用户操作偏好（例如，首选速度、效率与安全性等）的输入。

手动车辆控制件/界面231还包括传统的车辆控制件，例如方向盘、加速踏板和制动踏板。在一些此类实现方式中，ECU 239可以被配置为通过接收手动车辆控制件/界面231的用户输入并将相应的操作参数作为输入提供到各种车辆系统（例如，制动系统225、转向系统227、电子驱动系统229和一个或多个其他车辆系统231）在“手动”驾驶模式下操作车辆。

在一些实现方式中，车辆运动协调系统201被配置为通过包括两个相同控制器来提供对称功能，其中初级自动驾驶控制器203的硬件和软件由次级自动驾驶控制器205复制以实现冗余。在一些此类实现方式中，使用相同的冗余控制器提供“失效-安全”系统，其中当由冗余控制器确定的输出不匹配时（这可指示错误情况），驾驶员（drive）需要接管本车辆的部分或全部操作。

图3示出用于使用一对相同冗余控制器203、205来提供车辆失效-安全操作的方法的示例。初级自动驾驶控制器203从传感器系统接收环境模型（步骤301）（或者，在一些实现方式中，基于从传感器堆栈215的传感器接收的数据产生环境模型），且然后确定本车辆在环境模型中的位置（步骤303）（例如，使用GPS位置数据，存储的地图和/或由传感器堆栈215的传感器捕获的数据）。类似地，次级自动驾驶控制器205从传感器系统接收环境模型（步骤305）（或者，在一些实现方式中，基于从传感器堆栈215的传感器接收的数据产生环境模型），且然后确定本车辆在环境模型中的位置（步骤307）（例如，使用GPS位置数据、存储的地图和/或由传感器堆栈215的传感器捕获的数据）。

然后，每个控制器203、205将确定的车辆位置信息传输到另一个控制器并确定所确定的车辆位置是否匹配（步骤309）。如果是，则初级自动驾驶控制器203继续确定适当的路径规划（步骤311）并且次级自动驾驶控制器205也确定适当的路径规划（步骤313）。然后，控制器203、205将所确定的路径规划传输到彼此并且确定路径规划是否匹配（步骤315）。如果是，则初级自动驾驶控制器203和次级自动驾驶控制器205各自继续基于确定的路径规划来确定适当的协调参数（分别为步骤317和步骤319）。然后，控制器203、205将这组协调参数传输到彼此并确定协调参数是否匹配（步骤321），且如果匹配，则初级自动驾驶控制器203和/或次级自动驾驶控制器205传输协调参数到适当车辆系统（步骤323）。

在图3的示例中，两个相同的控制器203、205做出的每个确定通过将该确定与由另一个控制器做出的确定进行比较来验证。因此，如果由两个控制器203、205做出的所有确定都匹配，则车辆运动协调系统201仅到达将协调参数传输到车辆系统的步骤（步骤321）。否则，如果所述确定在任何点不匹配，则初级自动驾驶控制器203和/或次级自动驾驶控制器205将信号发送到ECU 239以将提示提供到本车辆的用户并从自动驾驶模式转换为手动驾驶模式。

在图3的示例中，控制器203、205在前进到下一步骤之前分别检查确定的车辆位置、确定的路径规划和确定的协调参数是否匹配。然而，在一些实现方式中，初级自动驾驶控制器203和次级自动驾驶控制器205可以替代地被配置为检查单个确定的匹配。例如，车辆运动协调系统201可以被配置为在将协调参数传输到车辆系统之前仅确定由两个单独的控制器203、205确定的协调参数是否匹配（步骤323）。另外，虽然图3的示例示出每个控制器203、205分别向另一个控制器发送信息并确定该信息是否匹配，但是在一些实现方式中，控制器203、205可以被配置为接收和/或确定哪个控制器被分配为“初级”和哪个控制器被分配为“次级”的指示。在一些此类实现方式中，只有次级控制器205将确定的信息（例如，协调参数）传输到初级控制器203并且只有初级控制器203确定由单独的控制器确定的信息是否匹配。最后，在一些实现方式中，匹配不一定需要由单独的控制器确定的数据的完全相同的匹配。相反，在一些实现方式中，如果由初级控制器203确定的信息在由次级控制器205确定的信息的限定容差内，则确定所确定的信息“匹配”。

诸如图2所示的系统（包括与初级自动驾驶控制器203（在硬件和软件方面）相同的次级自动驾驶控制器205且该次级自动驾驶控制器被配置为执行图3的示例中所示的方法）能够检测车辆控制系统中的故障条件，包括例如控制器203、205中的一个控制器的损坏或故障和/或传感器堆栈215与控制器203、205之间的连接性的损坏。然而，由于控制器的配置（例如，硬件和/或软件）引起的潜在故障不能通过图3的方法检测，因为控制器203、205都将经历相同潜在故障并且来自两个控制器203、205的所确定输出仍将匹配。

此外，当车辆驾驶场景呈现多个不同“正确”路径规划选项时，图3的方法中的对称功能可使初级自动驾驶控制器203达到与次级自动驾驶控制器205不同的路径规划决定。例如，图4示出驾驶场景，其中本车辆401正在具有三个单独车道（左车道403、中心车道405和右车道407）的道路上操作。本车辆401当前在同样在中心车道405中操作的另一车辆409后面正在中心车道405中上操作。在此情况下，本车辆401具有至少三个不同路径规划选项。首先，本车辆401可以从中心车道405移动到左车道403并通过沿着“轨迹A”到第一目标位置411而超越另一车辆409。第二，本车辆401可以降低其自身速度并继续按照“轨迹B”在另一车辆409后面在中心车道405中操作。第三，本车辆401可以从中心车道405移动到右车道407并通过遵循“轨迹C”到第二目标位置413来超越另一车辆409。这三个路径规划中的任一个都可为“正确的”，因为它们使本车辆401能够继续在路面上操作，同时避免与另一车辆409发生碰撞。然而，如果初级自动驾驶控制器203和次级自动驾驶控制器205各自决定不同路径规划，则差异将引起两个控制器的输出之间的歧义，这可被控制器203、205解释为“故障”并将迫使本车辆401进入手动驾驶模式。

在一些其他实现方式中，次级自动驾驶控制器205被配置为包括与初级自动驾驶控制器203不同/多样的硬件和/或软件并且被配置为作为抢先安全控制器来操作。在一些实现方式中，不是基于传感器数据和环境模型来确定路径规划，次级自动驾驶控制器205被配置为识别驾驶表面上对应于“允许路径”的区域并且确定由初级自动驾驶控制器203识别的路径规划是否将保持本车辆在允许路径区域内。

图5示出由车辆运动协调系统201执行的方法的一个示例，该车辆运动协调系统201包括被配置为作为用于初级自动驾驶控制器203的抢先安全控制器来操作的次级自动驾驶控制器205。初级自动驾驶控制器203接收传感器数据（或者，在一些实现方式中，环境模型）（步骤501）并且确定本车辆相对于道路和在道路的区域中检测的其他物体的当前位置（步骤503）。基于此信息，初级自动驾驶控制器203确定用于本车辆的路径规划（步骤505）。同时，次级自动驾驶控制器205还接收传感器数据（或者，在一些实现方式中，环境模型）（步骤507）并且还确定本车辆相对于道路和在道路区域中检测的其他物体的当前位置（步骤509）。然而，不是也确定路径规划，次级自动驾驶控制器205确定道路表面上与允许路径区域相对应的一组区域（步骤511）。

初级自动驾驶控制器203将其路径规划传输到次级自动驾驶控制器205并且次级自动驾驶控制器205确定路径规划是否将在允许路径区域内操作本车辆（步骤513）。如果路径规划在一个或多个允许路径区域内，则次级自动驾驶控制器205允许初级自动驾驶控制器203继续控制本车辆的操作。初级自动驾驶控制器203基于确定的路径规划来确定一组协调参数（步骤515）并将协调参数传输到车辆系统（步骤517），该车辆系统进而控制各种车辆致动器以使本车辆根据路径规划来操作。

然而，如果次级自动驾驶控制器205确定路径规划不会将本车辆保持在允许路径区域内（步骤513），则针对本车辆，次级自动驾驶控制器205确定其自身的安全路径规划（步骤519），根据安全路径规划确定适当的协调参数（步骤521），并将协调参数传输到车辆系统（步骤523），该车辆系统进而控制各种车辆执行器以使本车辆根据安全路径规划来操作。

结果，其中多个不同路径规划将是可接受性的驾驶场景不太可能触发故障条件。再次参考图4的示例，次级自动驾驶控制器205可以被配置为确定在本车辆将在限制区域601中操作的情况下会违反安全条件，该限制区域包括在另一车辆409后方小于阈值距离的在中心车道504内的任何地方。因此，次级自动驾驶控制器205将确定允许路径区域603包括在由另一车辆409占据的限制区域601之外的道路表面的剩余部分。在此情况下，初级自动驾驶控制器203可以选择上面讨论的三个可能的路径规划（即，“轨迹A”、“轨迹B”或“轨迹C”）中的任一个并且次级自动驾驶控制器205将允许初级自动驾驶控制器203继续控制本车辆的操作。然而，例如，如果初级自动驾驶控制器203要输出遵循“轨迹B”并且采用将使本车辆401进入限制区域601的速度的路径规划，则次级自动驾驶控制器205将检测故障条件并根据由次级自动驾驶控制器205确定的安全路径规划来接管本车辆401的操作。

在图5的示例中，次级自动驾驶控制器205被配置为从初级自动驾驶控制器203接收确定的路径规划并确定路径规划是否将车辆保持在允许路径区域503内。然而，在一些实现方式中，次级自动驾驶控制器205被配置为接收由初级自动驾驶控制器203确定的其他信息。例如，在一些实现方式中，初级自动驾驶控制器203被配置为基于确定的路径规划来确定一组协调参数并将这一组协调参数传输到次级自动驾驶控制器205。然后，次级自动驾驶控制器205被配置为根据一组协调参数确定操作本车辆401是否会引起本车辆401离开允许路径区域603并进入限制区域601。因此，在此类实现方式中，次级自动驾驶控制器205被配置为通过基于协调参数重新创建规划的驾驶路径来检测初级自动驾驶控制器203的故障条件，并且响应于检测到故障条件来防止初级自动驾驶控制器203将协调参数发送到车辆系统。在又一些实现方式中，不是限定允许路径区域，次级自动驾驶控制器205可以被配置为从初级自动驾驶控制器203接收路径规划并且评估路径规划（与接收的传感器数据和/或环境模型相比较）以确定由初级自动驾驶控制器203提出的路径规划是否会违反任何定义的安全参数——换句话说，次级自动驾驶控制器205可以被配置为直接评估由初级自动驾驶控制器203提出的路径规划是否本身就是“允许的规划”。

另外，在图5的示例中，次级自动驾驶控制器205被配置为响应于检测到初级自动驾驶控制器203中的故障来确定安全路径规划。在一些实现方式中，次级自动驾驶控制器205被配置为确定安全路径规划，与由初级自动驾驶控制器203使用的路径规划确定相比，该安全路径规划相对于效率将更高的优先级放在安全上。例如，次级自动驾驶控制器205可以配置为使用比初级自动驾驶控制器203更高的ASIL（即，“Automotive Safety IntegrityLevel”，“汽车安全完整性等级”）。在一些实现方式中，与由初级自动驾驶控制器203在确定路径规划时使用的本车辆速度和最小物体距离相比，次级自动驾驶控制器205被配置为使用较低的本车辆运行速度和在本车辆与其他检测到的物体之间的较宽距离来确定安全路径规划。

此外，如上所述，在实施图5的方法的系统中，次级自动驾驶控制器205的硬件可以不同于初级自动驾驶控制器203的硬件。因为次级自动驾驶控制器205被配置确认由初级自动驾驶控制器203提出的路径规划的安全性，并且如果需要，为了确定使用更高ASIL要求的安全路径规划，初级自动驾驶控制器203可以使用相对较低的ASIL要求来实现。因为在较低的ASIL要求下可需要较少的计算能力来确定适当的路径规划，所以在一些实现方式中，相比于针对次级自动驾驶控制器205，针对初级自动驾驶控制器203，可以使用更便宜的硬件。

此外，在图5的示例中，安全路径规划允许本车辆继续以自动驾驶模式操作。在一些实现方式中，次级自动驾驶控制器205可以被配置为使用安全路径规划机制来继续将本车辆操作到其当前目的地（可能以较低速度并且本车辆与其他物体/车辆之间的间距更大）。然而，在其他实现方式中，次级自动驾驶控制器205被配置为确定将安全地将本车辆从道路上移开并尽快使车辆停止的安全路径规划。例如，在一些实现方式中，次级自动驾驶控制器205被配置为确定将使本车辆停止在当前道路的一侧处的安全路径规划。在一些实现方式中，次级自动驾驶控制器205被配置为确定将引起本车辆在停止之前导航到不太繁忙的道路（例如，采用下一个可用的出口匝道）的安全路径规划。

在一些实现方式中，次级自动驾驶控制器205被配置为确定将本车辆导航到最近的可用服务设施（例如，车辆经销商或维修店）的安全路径规划。例如，在一些实现方式中，次级自动驾驶控制器205被配置为确定本车辆的当前位置（例如，使用GPS），并且响应于检测到初级自动驾驶控制器203中的故障条件，与远程系统进行通信（例如，经由本车辆的LTE收发器来搜索互联网或特定服务器）以识别最接近本车辆当前位置的可用服务设施。然后，次级自动驾驶控制器205将继续提供本车辆的自主操作以从本车辆的当前位置导航到所识别的服务设施的位置。在一些实现方式中，次级自动驾驶控制器205可以被配置为将“可用”服务设施识别为针对车辆的所批准服务设施的预定义列表中的多个服务设施中的一个。在一些实现方式中，次级自动驾驶控制器205可以被配置为至少部分地基于当前是周几、到服务设施的估计行进持续时间以及服务设施的运行时间来识别“可用的”服务设施（例如，“可用”服务设施是指在本车辆到达时开放营业的服务设施）。

最后，虽然图5的示例示出次级自动驾驶控制器205响应于检测到初级自动驾驶控制器203的故障条件（即，当确定的路径规划不是在允许路径区域内）而接管车辆的自动驾驶，但是在一些实现方式中，次级自动驾驶控制器205可以替代地被配置为响应于检测到故障条件从当前自动驾驶模式转变为手动驾驶模式或部分自动驾驶模式。另外，在一些实现方式中，次级自动驾驶控制器205可以被配置为向用户输出提示，询问用户他们是否想要转换到手动驾驶模式（例如，在位于车辆的操作员舱内的触敏显示屏上）。如果用户以肯定的输入（即批准从自动驾驶到手动驾驶的转换）对提示做出响应，则车辆将转换到手动驾驶模式并且车辆系统基于通过手动用户控制件接收的输入（例如，方向盘、油门踏板和制动踏板）来操作。然而，如果用户提供否定响应（即，拒绝转换到手动驾驶），或者在一些实现方式中，如果用户没有对提示提供任何响应，则次级自动驾驶控制器205将继续根据安全路径规划在自动驾驶模式下操作本车辆。

因此，本文描述的系统和方法提供用于自动驾驶系统的安全控制框架，其中第二控制器（具有与第一控制器不同/多样的硬件和/或软件）验证由第一控制器产生的路径规划是否满足一定的安全条件并响应于确定路径规划不满足安全条件而抢占第一控制器对本车辆的自动驾驶的控制。在一些实现方式中，第二控制器被配置为通过使用由第二控制器产生的安全路径规划在自动控制下操作车辆来抢占第一控制器。在以下权利要求中阐述另外的特征和优点。

Claims (18)

1. 一种自动驾驶系统，其包括：

第一控制器，其被配置为

至少部分地基于指示一个或多个检测的物体的车辆传感器数据来确定本车辆相对于所述一个或多个检测的物体的位置，

至少部分地基于所述本车辆的相对位置确定用于所述本车辆的路径规划，

向第二控制器传输指示用于所述本车辆的路径规划的数据，以及

将控制信号传输到选自一由转向系统、制动系统和动力传动系统组成的组中的至少一个车辆系统，其中所述控制信号使所述至少一个车辆系统根据所述路径规划来操作所述本车辆的移动；以及

所述第二控制器，其被配置为

从所述第一控制器接收指示用于所述本车辆的路径规划的数据，

至少部分地基于指示一个或多个检测的物体的车辆传感器数据根据一个或多个安全条件确定所述路径规划是否是允许路径，以及

响应于确定所述路径规划不是允许路径，抢占所述控制信号从所述第一控制器到所述至少一个车辆系统的传输。

2. 根据权利要求1所述的自动驾驶系统，其中，所述第二控制器被配置为通过将抢占信号传输到所述第一控制器来抢占所述控制信号从所述第一控制器向所述至少一个车辆系统的传输，并且其中，所述第一控制器被配置为仅在不存在来自所述第二控制器的抢占信号的情况下通过将所述控制信号传输到所述至少一个车辆系统来将所述控制信号传输到所述至少一个车辆系统。

3.根据权利要求1所述的自动驾驶系统，其中，所述第二控制器还被配置为

至少部分地基于指示所述一个或多个检测的物体的所述车辆传感器数据来确定所述本车辆相对于所述一个或多个检测的物体的位置，

响应于抢占所述控制信号从所述第一控制器到所述至少一个车辆系统的传输，确定安全路径规划，以及

将替代控制信号传输到所述至少一个车辆系统，其中所述替代控制信号使所述至少一个车辆系统根据所述安全路径规划来操作所述本车辆的移动，其中所述安全路径规划不同于所述路径规划。

4.根据权利要求3所述的自动驾驶系统，其中，所述第二控制器被配置为通过根据比由所述第一控制器确定的路径规划更高的ASIL要求确定所述安全路径规划来确定所述安全路径规划。

5.根据权利要求3所述的自动驾驶系统，其中，所述第一控制器被配置为确定在所述本车辆与所述一个或多个检测的物体之间保持第一最小距离的用于所述本车辆的所述路径规划，其中，所述第二控制器被配置为确定在所述本车辆与所述一个或多个检测的物体之间保持第二最小距离的用于所述本车辆的所述安全路径规划，其中所述第二最小距离大于所述第一最小距离。

6.根据权利要求3所述的自动驾驶系统，其中，所述第二控制器被配置为通过确定使所述本车辆从其当前位置移动到选自一由道路的一侧和出口匝道组成的组中的至少一者的安全路径规划来确定所述安全路径规划。

7.根据权利要求3所述的自动驾驶系统，其中，所述第二控制器被配置为通过识别服务设施的位置并确定将所述本车辆从所述本车辆的当前位置移动到所述服务设施的位置的安全路径规划来确定所述安全路径规划。

8. 根据权利要求2所述的自动驾驶系统，其中，所述第二控制器还被配置为，响应于根据一个或多个安全条件确定所述路径规划不是允许路径，提示用户启动手动驾驶模式。

9. 根据权利要求1所述的自动驾驶系统，其中，所述第二控制器还被配置为根据一个或多个安全条件确定所述路径规划是否是允许路径，包括

基于所述检测的一个或多个物体确定道路表面的允许路径区域，其中在所述允许路径区域中操作的所述本车辆不违反所述一个或多个安全条件，以及

确定所述路径规划是否包含在所述允许路径区域内。

10.一种控制自动驾驶系统的方法，所述方法包括：

通过第一控制器至少部分地基于指示一个或多个检测的物体的车辆传感器数据来确定本车辆相对于所述一个或多个检测的物体的位置；

通过第一控制器至少部分基于所述本车辆的相对位置确定用于所述本车辆的路径规划；

从所述第一控制器到第二控制器传输指示用于所述本车辆的路径规划的数据；

通过所述第二控制器来从所述第一控制器接收指示用于所述本车辆的路径规划的数据；

通过所述第二控制器至少部分地基于指示所述一个或多个检测的物体的所述车辆传感器数据，根据一个或多个安全条件确定所述路径规划是否是允许路径；

将来自所述第一控制器的控制信号传输到选自一由转向系统、制动系统和动力传动系统组成的组中的至少一个车辆系统，其中所述控制信号使所述至少一个车辆系统根据所述路径规划来操作所述本车辆的移动；并且

响应于确定所述路径规划不是允许路径，通过所述第二控制器抢占所述控制信号从所述第一控制器到所述至少一个车辆系统的传输。

11.根据权利要求10所述的方法，其中，通过所述第二控制器抢占所述控制信号从所述第一控制器到所述至少一个车辆系统的所述传输的操作包括将抢占信号从所述第二控制器传输到所述第一控制器，并且

其中将所述控制信号从所述第一控制器传输到所述至少一个车辆系统的操作包括仅在不存在来自所述第二控制器的所述抢占信号的情况下将所述控制信号从所述第一控制器传输到所述至少一个车辆系统。

12.根据权利要求10所述的方法，所述方法还包括：

通过所述第二控制器至少部分地基于指示所述一个或多个检测的物体的所述车辆传感器数据来确定所述本车辆相对于所述一个或多个检测的物体的位置；

响应于抢占所述控制信号从所述第一控制器到所述至少一个车辆系统的所述传输，通过所述第二控制器确定安全路径规划，以及

通过所述第二控制器将替代控制信号传输到所述至少一个车辆系统，其中所述替代控制信号使所述至少一个车辆系统根据所述安全路径规划来操作所述本车辆的移动，其中所述安全路径规划不同于所述路径规划。

13.根据权利要求12所述的方法，其中，通过所述第二控制器确定所述安全路径规划的操作包括根据比由所述第一控制器确定的所述路径规划更高的ASIL要求来确定所述安全路径规划。

14.根据权利要求12所述的方法，其中，通过所述第一控制器确定用于所述本车辆的所述路径规划的操作包括确定所述本车辆与所述一个或多个检测的物体之间保持第一最小距离的路径规划，其中通过所述第二控制器确定所述安全路径规划的操作包括确定在所述本车辆和所述一个或多个检测的物体之间保持第二最小距离的用于所述本车辆的安全路径规划，其中所述第二最小距离大于所述第一最小距离。

15.根据权利要求12所述的方法，其中，通过所述第二控制器确定所述安全路径规划的操作包括确定将所述本车辆从其当前位置移动到从由道路的一侧和出口匝道组成的组中所选择的至少一者的安全路径规划。

16.根据权利要求12所述的方法，其中，通过所述第二控制器确定所述安全路径规划的操作包括识别服务设施的位置和确定将所述本车辆从所述本车辆的所述当前位置移动到所述服务设施的位置的安全路径规划。

17. 根据权利要求10所述的方法，所述方法还包括：响应于根据所述一个或多个安全条件确定所述路径规划不是允许路径，通过所述第二控制器向用户产生提示以启动手动驾驶模式。

18. 根据权利要求10所述的方法，其中，通过所述第二控制器根据所述一个或多个安全条件确定所述路径规划是否是允许路径的操作包括

通过所述第二控制器基于所述检测的一个或多个物体确定道路表面的允许路径区域，其中在所述允许路径区域中操作的所述本车辆不违反所述一个或多个安全条件，以及

通过所述第二控制器确定所述路径规划是否包含在所述允许路径区域内。

Images