CN116867696A - 交通工具的安全和关键信息记录机制 - Google Patents

Abstract

描述了用于交通工具中的安全记录的方法、系统和用例的各个方面。在示例中，一种用于交通工具中的数据记录的方法包括对于在自主交通工具运行期间所提供的数据使用记录触发器、公共和私有数据桶以及定义的数据格式。可响应于诸如检测到由于交通工具未能遵守交通工具运行安全模型的安全准则的危险情况之类的安全状况而触发数据记录操作。数据记录操作可包括响应于检测到危险情况而记录数据，包括：将数据的第一部分存储在公共数据存储部件中，并将隐私敏感数据的第二部分存储在私有数据存储部件中，其中，存储在私有数据存储部件中的数据经加密，并且其中，对私有数据存储部件的访问受到控制。

Description

交通工具的安全和关键信息记录机制

优先权主张

本申请要求于2020年11月19日提交的、编号为PCT/CN2020/130242的国际申请的优先权的权益，该国际申请通过引用以其整体并入本文中。

背景技术

交通工具运行记录(vehicle operation logging)和数据捕获的现有方法已经遇到了各种各样的限制。例如，一些自主交通工具(autonomous vehicle)(例如，使用“TeslaLog”的特斯拉交通工具)使用日志机制来从交通工具捕获实时数据，并且然后可以将记录的数据上传到远程云系统以供后期分析。另外，一些自主驾驶公司和研究机构使用配备有机载数据采集系统(on-board data acquisition system)的特定交通工具来在日常驾驶期间收集高精度的交通工具运动学。

然而，正如在计算机软件的许多记录系统中也遇到的，这些方法捕获并且通常以文本(以及非结构化的、不安全的)格式输出大量相关的系统输入和输出加上内部状态。因此，此类现有的方法产生了大量的数据，这些数据对于分析和回顾许多现实生活中的事件并不完全有用。

附图说明

在不一定按比例绘制的附图中，相似的数字可在不同的视图中描述类似的组件。具有不同字母后缀的相似数字可表示类似组件的不同实例。在附图的各图中通过示例而不是限制的方式示出一些实施例，附图中：

图1示出了根据示例的用于提供交通工具数据记录的系统。

图2示出了根据示例的交通工具数据记录格式。

图3示出了根据示例的交通工具数据记录方法的流程图。

图4示出了根据示例的用于收集和操作交通工具的数据记录的方法的流程图。

图5示出了在交通工具处执行的用于记录自主交通工具运行数据值的方法的流程图。

图6示出了根据示例的用于执行本文所讨论的方法中的任一方法的计算机系统的示例形式的机器。

具体实施方式

以下实施例一般涉及用于从交通工具运行中建立记录数据的机制和技术。具体来说，可使用本技术来以安全且私有的方式记录来自各种交通工具传感器和子系统的安全信息和其它关键信息。

在各种场景中，包括在合规性测试场景中，或者在正常的日常使用中当需要证明或验证交通工具运行时(例如，在合规性测试验证期间、或在事故中牵涉到交通工具时)，都要求交通工具性能和内部运行数据的记录。为了实现这一目标，必须提供良好分辨率的任何重要信息的适当可用性。另外，此类信息必须得到保护，具有以良好的完整性、不可否认性并消除非必要信息，以保护客户隐私。

下面提供用于提供定义的记录操作和数据捕获特性的结构化记录系统的概述。此类结构化记录的结果更容易跨交通工具系统和制造商进行比较，同时确保保护和完整性，并且对实时在线记录友好，而仍然有隐私意识和不可否认。

除了调试之外，以下结构化记录操作还可以为安全相关的关键信息记录提供基线，以供监管机构、行业联盟等使用。以下结构化记录操作利用隐私意识方法在适当保护信息完整性的情况下建立。另外，这提供了对有意或无意修改的抵抗。

利用现有的方法，自主交通工具运行的记录是以非常临时且不完整的方式执行的。有时，会记录太多的信息，而其它时候，则会丢失用于改进整个系统的关键信息。自主交通工具记录的现有方法经常捕获随意的且非结构化的数据。然后，需要额外的工作(例如，日志分析软件)来比较来自同一交通工具、或来自不同交通工具或不同供应商的不同版本的软件的不同日志。另外，经常缺乏比较基线，因此，对于合规性测试可能缺少一些所需的日志信息，而其它日志信息可能不是必需的，从而导致额外的隐私暴露风险。同样地，可以用不同的分辨率(例如，数据捕获的频率或计时)来执行记录。

另外，现有的方法还缺乏诸如完整性保护和确认之类的重要特征，并且可能很容易修改，并且可能会使记录的整体价值降级。现有的方法在针对不同保护等级处置不同信息敏感性(例如，天气状况相对于交通工具的地理位置)方面也总体缺乏区分。同样地，缺乏诸如通过无线通信进行同时在线记录之类的能力。通过利用车载数据处理示例介绍的以下数据记录平台和数据记录操作致力于解决这些和其它限制。

图1是示出根据实施例的用于提供交通工具数据记录的系统100的示意图。图1包括并入到交通工具104中的自动数据记录系统102。自动数据记录系统102包括传感器阵列接口106、处理电路系统(processing circuitry)108、数据分类电路系统110和交通工具数据接口112。系统100的图示提供了交通工具104和交通工具运行的简化描绘；将理解，为了简单起见，没有示出许多交通工具子系统。在其它示例中，自动数据记录系统是供交通工具104中使用的独立装置，而不是直接在交通工具104中。

还可称为“自我交通工具(ego vehicle)”、“主体交通工具”或“主机交通工具”的交通工具104可以是任何类型的交通工具，诸如商用交通工具、消费者交通工具、休闲车、汽车、卡车、摩托车、轮船、无人机、机器人、飞机、气垫船或能够至少部分地以自主模式运行的任何移动艇(mobile craft)。交通工具104可在某些时间在手动模式下运行，在手动模式，驾驶员照惯例使用脚踏板、方向盘或其它控制装置来操作交通工具104。在其它时间，交通工具104可在全自主模式下运行，在全自主模式，交通工具104在没有用户干预的情况下运行。另外，交通工具104可在半自主模式下运行，在半自主模式，交通工具104控制驾驶的许多方面，但是驾驶员可使用常规(例如，方向盘)和非常规输入(例如，语音控制)来干预或影响运行。以这种方式，交通工具可在相同或不同的时间在任何数量的驾驶自动化等级之中运行，驾驶自动化等级定义为从1级到5级(例如，如由SAE国际J3016定义：1级，驾驶员辅助；2级，部分驾驶自动化；3级，有条件的驾驶自动化；4级，高驾驶自动化；5级，全驾驶自动化)。

传感器阵列接口106可用于向自动数据记录系统102提供输入或输出信令，以从安装在交通工具104上(例如，内部)的传感器阵列的一个或多个传感器接收或获得数据。传感器的示例包括但不限于：前向(forward facing)、侧向或后向摄像机；雷达；激光雷达；超声波测距传感器；或其它传感器。在该文档中，前向或前置(front-facing)用于指主要的行进方向、座椅布置成面向的方向、变速器设置为驱动时的行进方向等。然后，照惯例，后置(rear-facing)或后向用于描述指向与前向或前置的那些传感器相比大致相反的方向的传感器。要理解，一些前置摄像机可具有相对较宽的视场，甚至多达180度。类似地，以一角度(可能偏离中心60度)定向的用于检测相邻交通车道中的交通的后置摄像机也可具有相对较宽的视场，其可与前置摄像机的视场重叠。侧向传感器是从交通工具104的侧面向外定向的那些传感器。传感器阵列中的摄像机可包括红外或可见光摄像机，它们能够以窄视场或大视场在远距离或短距离聚焦。交通工具104还可包括各种其它传感器，诸如驾驶员识别传感器(例如，座椅传感器、眼动跟踪和识别传感器、指纹扫描仪、语音识别模块等)、乘员传感器、或用于检测风速、室外温度、气压计压力、雨水/湿度等的各种环境传感器。

传感器数据用于确定交通工具的运行环境、环境信息、道路状况、行进状况等。传感器阵列接口106可与交通工具104的诸如机载导航系统之类的另一接口通信，以提供或获得传感器数据。自动数据记录系统102的组件可使用网络与位于自动数据记录系统102内部的组件或位于系统102外部的组件进行通信，网络可包括局域网(LAN)、广域网(WAN)、无线网络(例如，IEEE 802.11(Wi-Fi)或蜂窝网络)、自组织网络、个人区域网络(例如，蓝牙)、基于交通工具的网络(例如，控制器区域网络(CAN)总线)、或网络协议和网络类型的其它组合或排列。网络可包括单个局域网(LAN)或广域网(WAN)、或LAN或WAN的组合，诸如因特网。耦合到网络的各种装置可经由一个或多个有线或无线连接耦合到网络。

自动数据记录系统102可使用交通工具数据接口112与交通工具控制平台118通信，以接收和获得交通工具数据。交通工具控制平台118可以是控制交通工具运行的各个方面的较大架构的组件。交通工具控制平台118可具有到以下项的接口：自主驾驶控制系统(例如，转向、刹车、加速等)，舒适系统(例如，加热、空调、座椅定位等)，导航接口(例如，地图和路线系统、定位系统等)，防撞系统，通信系统，安全系统，交通工具状态监测器(例如，胎压监测器、油位传感器、电池电量传感器、速度计等)，等等。交通工具控制平台118可控制或监测一个或多个子系统，并将来自此类子系统的数据传递到自动数据记录系统102。在一些示例中，将传感器阵列接口106和交通工具数据接口112的特征件集成到相同或协调式数据收集接口中，以接收来自交通工具的至少一个感测组件的数据。此类数据可在交通工具的自主操作期间经由(一个或多个)接口提供，并且可使用本文所讨论的方法自动记录此类数据。

在示例中，可将诸如刹车、油门(throttle)、速度数据信号以及其它数据信号类型之类的传感器数据提供给数据分类电路系统110，数据分类电路系统110可对输入信号进行预处理。数据分类电路系统110可包括各种规则、算法或逻辑，包括几种类型的机器学习中的一种，诸如人工神经网络(ANN)、支持向量机(SVM)、高斯混合模型(GMM)、深度学习等。基于可能的分类，处理电路系统108可发起一个或多个响应性数据处理、记录或通信活动。取决于利用自动数据记录系统102所检测到的事件的类型、严重程度、位置或其它方面，可监测、协调或发起其它自主交通工具和数据处理动作。

在示例中，可在各种设置中激活或触发自动数据记录系统102。例如，“始终打开(Always On)”触发器可能会导致在所有场景中打开并运行所有记录操作；“正常使用”触发器可能会导致不进行记录，直到受到一些内部状态触发，诸如当安全运行最小距离(例如，主机交通工具和目标交通工具之间的最小纵向或最小横向距离、使用由诸如来自Mobileye的责任敏感安全(RSS)之类的交通工具运行安全模型所定义的距离)不能维持时，直到没有内部触发器开启加上某些分钟(例如，2分钟)的延迟。还可提供其它形式的数据触发和激活。

同样，在示例中，自动数据记录系统102提供了两个记录数据存储部件(loggingdata store)(“桶(bucket)”)来收集交通工具的数据：“通用”或“公共”桶和“私有”桶。此类桶可在相同或不同的存储装置(例如，非易失性存储器)中实现。这些日志桶同步操作(在事件并行发生时使用相同的时间戳)。提供公共日志桶以记录没有特殊访问控制限制的事件，而提供私有日志桶以记录有访问控制限制的事件。例如，私有日志桶可维持特权或隐私敏感信息，诸如：地理位置、驾驶员信息、摄像机数据或由开发人员、用户、制造商等定义的要求额外保护的其它信息。也可为用户(例如，人类驾驶员)提供在系统配置中选择或禁用私有日志桶或受保护的数据类型的选择权。例如，用户可在“隐私保护开启”或“隐私保护禁用”的选择项之中进行选择；在交通工具中使用的默认选项可以是“隐私保护开启”。

如果手动打开(激活)数据记录触发器，则该触发器覆写其它设置，并打开所有数据桶的记录，直到手动关闭数据记录触发器。此类激活可与在线记录模式相关联。当配置了在线记录时，在数据块(或一组缓冲的数据块)准备好时，将每个日志块立即发送到后端系统(例如，云服务)。

可使用各种形式的安全和加密来使记录信息保持机密。例如，可以通过使用在线日志服务提供商的公共密钥来对在线日志进行加密。例如，服务提供商可以是监管机构、交通工具的保险提供商、交通工具供应商、运营商或某一受信任的第三方。也可对涉及记录信息的通信应用其它形式的安全和加密。

可以通过“虚拟日志”来提供虚拟记录，以在事件日志开始时提供简洁的上下文。为了记录必要的上下文信息，系统还将需要日志提供在激活内部触发器之前的短时期(例如，2分钟)内的数据，这可以通过虚拟日志来辅助。例如，可将所有系统数据自动缓冲并记录到一个或多个虚拟日志中，而不管触发器的状态如何。在示例中，自动截断虚拟日志，以只包含最近设定时间段的日志数据(例如，2分钟的数据)。

优选地在具有适当保护(例如，加密)的情况下将虚拟日志维持在存储器中。当日志触发器开启时，对于最近的数据收集周期(例如，最近2分钟的数据)维持数据的虚拟日志，并在触发记录之前自动将其归类到某些日志桶或类别中。还可并入其它触发和数据捕获可能性。

为了使得能够对从不同类型和制造商的交通工具所提供的AV运行数据进行比较，可如下在多个交通工具之中定义共同的记录方法和数据结构。首先，根据数据的隐私性或个人识别特性，在每个交通工具处在公共数据桶(例如，图2的公共数据存储部件212)或私有数据桶(例如，图2的私有数据存储部件214)中存储数据。其次，以加密的方式将私有数据桶的相关数据存储在每个交通工具处，并对访问进行控制。例如，可由交通工具制造商选择或实现用于私有数据桶的加密算法以保护私有数据。

在示例中，可将以下记录格式(数据结构)用于收集AV运行数据。在每个指定的间隔(例如，10毫秒)内，交通工具将以下信息记录到两个数据桶中：在表1中所定义的使用第一数据结构的“公共”或“通用”数据桶，以及在表2中所定义的使用第二数据结构的“私有”数据桶。

表1

表2

有了此类详细的记录信息，就可以在数据日志中提供完整的上下文，以重建发生了什么以及是什么导致了事件(例如，事故或侥幸脱险)，特别是在安全模型触发器的情况下。将理解，可提供记录信息的许多下游用途，包括与软件版本的测试、发布和确认、确认交通工具是否通过测试、以及重构事故数据并识别发生了什么相关的用途。

在示例中，安全模型触发器与来自特定安全决策参数的值或阈值(例如，小于或大于)相关联。此类安全决策参数可由特定的交通工具运行安全模型(诸如RSS)定义(或要求)。因此，确定是否已经激活安全模型触发器可包括执行主机交通工具的运行与交通工具运行安全模型所指定的至少一个要求或评估准则(例如，和安全决策参数值)的比较。在各种示例中，此类安全决策参数可与最小安全纵向距离、最小横向安全距离以及从以下参数所确定的其它值有关：自我交通工具的纵向或横向响应时间；自我交通工具的最大纵向或横向加速度；自我交通工具的最小纵向或横向刹车减速度；目标交通工具的最大纵向减速度；等等。

图2描绘了供本文所讨论的交通工具数据记录操作使用的交通工具数据记录格式200的进一步示例。除了数据条目的完整性和不可否认性之外，这种数据记录格式200还提供标准化的格式。交通工具数据记录格式200提供了用于公共数据和私有数据两者的数据块的定义。这里，多个数据块202、204、206、208与摘要值链接在一起。此类数据块可用于在公共数据存储部件212和私有数据存储部件214中存储记录数据，以便实现上文所讨论的公共数据桶和私有数据桶。例如，记录数据的存储可包括：将传感器数据的第一部分(例如，非隐私敏感数据值)存储在公共数据存储部件212中，以及将传感器数据的第二部分(例如，隐私敏感数据值)存储在私有数据存储部件214中。可将各种安全技术应用于托管在私有数据存储部件214中的传感器数据的第二部分。例如，可对存储在私有数据存储部件214中的数据进行加密，并且可提供访问控制措施以防止对私有数据存储部件214中的数据进行意外或未经授权的访问。

可将各种技术应用于数据以确保数据完整性并防止篡改。例如，可以将每n个数据记录项(例如，每100个数据记录项)组织为数据块，该数据块对应于1024位的MD5摘要信息(例如，在计算当前数据块时需要包括前一数据块的MD5摘要值)。每个数据块是128字节的整数倍，否则需要用填充(padding,“FF”)来填补它，并且最后一个字节是填充的长度。第一个块的初始MD5输入是128字节，包括当前时间(64位)、交通工具的根证书(由制造商定义)和填充(‘FF’)。

在特定示例中，当在5秒内没有写入新数据时，数据块自动结束。还可使用将数据组织成块或组块(chunk)的其它方法。

用于公共数据记录和私有数据记录(例如，在公共数据桶和私有数据桶中)两者的格式定义可如下实现：

块M-1
	……
块M-1MD5摘要(128字节)
	块M
日志项1(“ITEM”+日志的序列号……)
	日志项2(“ITEM”+日志的序列号……)
……
	日志项100或n(对应于超时)+(填充)+(串的长度)
块MMD5摘要(128字节)

表3

图3描绘了供本文所讨论的数据记录操作使用的交通工具数据记录方法的流程图300。该流程图300通过获得日志项(操作302)开始。每个日志块应该是某个定义的值(例如，128字节)的倍数。如果不是，则在日志块的末尾添加填充(操作304)。在示例中，填充的最后一个字节是所填充的字节数，并且最后一个字节算作填充。流程图通过用摘要对每n个日志项签名(操作306)而继续。例如，可以用1024-位MD5摘要来对要产生到相应日志块中的每100个日志项进行签名。如在数据记录格式200中所描绘，在计算新摘要时，可将前一日志块的MD5摘要放在数据条目的头部。还如在数据记录格式200中所描绘，可将该签名附加在块的末尾。

在示例中，可以根据某个已知值生成日志块0的MD5摘要，诸如当引擎启动时使用MD5_digest(当前时间64位+交通工具根证书)。每次交通工具启动时，总是将日志块1保存到桶中。另外，当桶中没有日志项可用于形成日志块时，可能存在超时(例如，5秒超时)。还可实现格式和安全特征的其它变型。

与纵向或横向距离、刹车或减速状况、加速或速度状况等相关的特定安全模型参数的记录和验证可有助于验证交通工具或其它实体在驾驶场景中是否遵守(或违反)安全模型规则和过程。如将理解的，每个制造商可根据交通工具的物理特性为交通工具设计、定义或计算相应的安全决策参数，并根据交通工具所处的不同环境设计、定义或计算不同参数的选择或规范。参数表可以由制造商提供，根据交通工具的实际性能对参数表进行设置或定义，并且可以有一个或多个参数集。

下表4提供了安全决策的参数的示例，诸如，所述参数可由交通工具运行安全模型提供或并入其中，并用于评估或触发记录条件。将理解，实时值(诸如加速度)可以是插入到相关安全建模公式中的无符号值。

表4

图4描绘了根据本技术的用于收集和操作交通工具的数据记录的方法的流程图400。

操作402包括从自主交通工具的多个传感器和子系统收集数据。该数据可包括参考上表1和表2所识别的数据值以及上文所讨论的其它数据值。

操作404包括在交通工具处使用所收集的数据建立虚拟日志(例如，缓冲区)，其中虚拟日志提供在定义的窗口或时间段所收集的数据(例如，前两分钟的数据)的持续日志。可使用上文所讨论的其它方面和方法来操作和维护虚拟日志。

操作406包括从交通工具的运行中识别记录触发器。这可包括上文所讨论的触发器，诸如基于安全模型触发器(例如，检测到低于到另一交通工具的最小纵向安全距离或低于到另一交通工具的最小横向安全距离的距离)，事故的发生、测试或确认事件等。作为该操作的一部分，可考虑和计算交通工具或交通工具类型(或道路上的其它交通工具或实体)的各种安全模型参数、准则和要求。

操作408包括：响应于识别到记录触发器，将数据存储在第一日志桶中。存储在第一日志桶中的数据可以是如参考上表1所讨论的“通用”或“公共”桶的数据。可从交通工具的传感器或运行数据提供该第一日志桶的数据，包括在定义的时间段内在虚拟日志中建立的数据(例如，前两分钟的数据)。可根据定义的结构化数据格式(诸如参考图2和图3所讨论的格式)存储该第一日志桶的数据。也可对于公共数据使用其它方法，诸如匿名化或模糊。

操作410包括：响应于识别到记录触发器，将数据存储在第二日志桶中。存储在第二日志桶中的数据可以是“私有”桶的数据，并且被标识为如参考上表2所讨论的私有或敏感数据。可从交通工具的传感器或运行数据提供该第二日志桶的数据，包括在定义的时间段内在虚拟日志中建立的数据(例如，前两分钟的数据)。也可根据定义的结构化数据格式(诸如参考图2和图3所讨论的格式)存储该第二日志桶的数据。可对于第一日志桶和第二日志桶两者使用相同的数据格式或类似的格式。还可提供用于私有数据的其它隐私或安全方法或格式。

如将理解的，前面的技术可在各种测试场景中实现。这可包括在用于道路测试的自主交通工具中、在配备有自动数据记录装置的自主交通工具中的实现。此类自动数据记录装置可以配置成在测试期间记录和存储自主交通工具的状态。

在进一步的示例中，(例如，集成在交通工具内或耦合到交通工具的)自动数据记录装置可以自动记录和存储在诸如碰撞、事故或发生非自动驾驶或故障状态之类的事件之前至少90秒和之后至少30秒的交通工具记录数据。例如，自动数据记录装置可配置成在长时间段(诸如1年、2年或3年)内存储和维持(持久)数据。

另外，可收集和记录与交通工具状况和交通工具运行有关的更大数据集。可从基于上文所讨论的状况(例如，违反交通工具安全模型所定义的安全驾驶要求)或其它更特定的状况(诸如碰撞、事故或系统故障)触发或记录的监督数据记录操作中提供此类数据。在示例中，交通工具状况数据可包括在下表中所定义的以下监督数据值中的一个或多个。

表5

例如，AV可配备有记录系统，以记录在封闭轨道测试或开放道路测试期间的决策相关的数据或用于事故分析和决策安全分析。可以按至少10Hz的采样率从触发危险情况之前的至少90秒和之后的至少30秒自动记录和存储所有数据。

可结合监管平台和监管装置来协调数据操作。例如，可以配备监管装置，以将实时数据(例如，在表5中所指示的数据值)上传到监管平台。监管装置可以接受第三方授权代理的日常监管。

因此，作为检测到“危险情况”(例如，响应于触发危险情况的事件或状况)和其它违反安全模型准则或安全模型要求的结果，可触发或控制前述记录操作中的任何记录操作。将理解，当两个交通工具之间的纵向和横向距离不满足最小安全距离的要求时，可能会检测到危险情况。更准确地说，危险情况是指当主机和目标交通工具之间的距离不满足最小纵向安全距离和最小横向安全距离(例如，根据交通工具安全运行模型的规范定义或计算)的要求而允许碰撞可能性时触发的状态。也可能检测到其它情况和场景。

图5示出了在交通工具处执行的用于记录自主交通工具运行数据值的方法的流程图500。该方法的操作可在独立装置中执行、在集成在主机或主体交通工具内或作为其一部分的装置中执行、作为自动数据记录平台的一部分执行、作为另一个监测或感测装置的一部分执行、或作为来自计算机器可读存储介质或装置可读存储介质的指令的一部分执行，这些指令由计算机器或装置的电路系统执行。

在502，执行操作以从交通工具(例如，自我或主机交通工具)的至少一个感测组件接收和获得数据。例如，可使用到交通工具的一个或多个感测组件的接口(例如，传感器阵列接口或交通工具数据接口)来接收或捕获此类数据，以用于在交通工具自主操作期间提供的数据。在示例中，来自至少一个感测组件的数据用于由规划系统对交通工具的自主操作做出安全决策。并且，在示例中，可以用至少10Hz的采样频率(例如，每秒10个数据样本)捕获(或记录)数据。

在504，可选地执行操作以自动将数据记录在存储器或存储设备中、虚拟日志中，如本文所讨论的那样。例如，可使用缓冲器或高速缓存来自动记录从至少一个感测组件获得的数据，以提供可用数据的持续数据流以用于进一步监测和处理。此外，从交通工具的至少一个感测组件获得的数据可在危险情况开始之前(包括在检测到危险情况之前)的至少第一时间段期间自动记录，并在危险情况开始之后的至少第二时间段期间(包括在检测到危险情况之后)自动记录。在特定示例中，(危险情况开始之前的)第一时间段为至少90秒，而(危险情况开始之后的)第二时间段为至少30秒。可执行其它自动数据记录和捕获操作。

在506，执行操作以基于数据检测危险情况。例如，这种危险情况可能由于交通工具未能遵守交通工具运行安全模型的至少一个安全准则(例如，如由RSS或类似的安全模型所定义的最小安全距离)而发生。在示例中，根据对至少一个安全决策参数的评估来确定交通工具未能遵守交通工具运行安全模型的安全准则。例如，至少一个安全决策参数可包括以下项中的至少一项：交通工具的纵向响应时间；交通工具的横向响应时间；交通工具的最大纵向加速度；交通工具的最大横向加速度；或交通工具的最小纵向刹车减速度(例如，如参考上表3所定义)。在进一步的示例中，由交通工具的制造商提供至少一个安全决策参数中的每一个的相应值。

在508，执行操作以响应于检测到或识别到危险情况而记录数据。这包括：使用用于将数据的第一部分存储在公共数据存储部件中的子操作510，以及使用用于将数据的第二部分存储在私有数据存储部件中的子操作512，如上文所讨论的那样。在示例中，根据第一数据结构将数据记录在公共数据存储部件中，并根据第二数据结构将数据记录在私有数据存储部件中(例如，在上表1和表2中所提供)，并且数据结构包括至少一些公共数据字段。例如，第一和第二数据结构可各自包括用于时间戳和交通工具标识符的公共数据字段。

在510，在特定示例中，将数据(来自感测组件的数据的第一部分)存储在公共数据存储部件中包括来自以下项中的至少一项的数据值：交通工具的纵向速度；交通工具的横向速度；交通工具的车道位置；交通工具的油门状态；交通工具的刹车状态；交通工具的转向状态；或交通工具的姿态状态。在512，在特定示例中，将数据(来自感测组件的数据的第二部分)存储在私有数据存储部件中包括以下项中的至少一项：交通工具的地理位置数据；或由交通工具的至少一个摄像机收集的摄像机数据。

在514，执行操作以传递记录的数据以用于进一步的评估或处理(包括创建模拟和测试验证/确认操作)。此类操作可包括将记录的数据传递到远程服务器或系统，包括安全操作或过程以使得能够保护记录在私有数据存储部件中的隐私敏感数据。因此，将理解，记录的数据可用于评估各种封闭轨道测试和开放道路测试，包括用于执行事故分析和决策安全分析。

将理解，可评估与安全距离或其它安全准则有关的各种危险(或潜在危险)情况。例如，在进一步的示例中，危险情况可与交通工具和目标交通工具之间的最小安全距离要求有关，使得存储在公共数据存储部件中的数据的第一部分包括以下项中的至少一项的值：目标交通工具的纵向速度；目标交通工具的横向速度；从交通工具到目标交通工具的纵向距离；或从交通工具到目标交通工具的横向距离。可评估和记录来自主机交通工具的与道路、其它交通工具、被感测的物体或人等有关的环境的其它感测的数据值。

虽然从交通工具(客户端)的角度描述了流程图500，但是用于接收和分析数据记录的结果的对应数据处理操作可在服务器平台上执行。此类操作可在独立计算装置中执行、在集成在数据处理云、边缘计算平台或数据中心内或作为其一部分的监测系统中执行、作为自动数据处理系统的一部分执行、或作为来自计算机器可读存储介质或装置可读存储介质的指令的一部分执行，这些指令由计算机器或装置的电路系统执行。

实施例可在硬件、固件和软件之一或其组合中实现。实施例还可实现为存储在机器可读存储装置上的指令，指令可由至少一个处理器读取和执行以执行本文所描述的操作。机器可读存储装置可包括用于以机器(例如，计算机)可读的形式存储信息的任何非暂时性机构或介质。例如，机器可读存储装置可包括只读存储器(ROM)、随机存取存储器(RAM)、磁盘存储介质、光存储介质、闪速存储器装置和其它存储装置和介质。

诸如处理器子系统之类的电路系统可用于执行在机器可读介质上所提供的指令。处理器子系统可包括一个或多个处理器，每个处理器具有一个或多个核。另外，处理器子系统可部署在一个或多个物理装置上。处理器子系统可包括一个或多个专门的处理器，诸如图形处理单元(GPU)、数字信号处理器(DSP)、现场可编程门阵列(FPGA)或固定功能处理器。

如本文所描述的示例可包括逻辑或多个组件、模块或机构或可在其上操作。模块可以是通信地耦合到一个或多个处理器以便执行本文所描述的操作的硬件、软件或固件。模块可以是硬件模块，并且因此，模块可视为是能够执行指定的操作的有形实体，并且可以用某种方式配置或布置。在示例中，电路可以按指定的方式作为模块布置(例如，在内部或相对于诸如其它电路之类的外部实体)。在示例中，可通过固件或软件(例如，指令、应用部分或应用)将一个或多个计算机系统(例如，独立、客户端或服务器计算机系统)或一个或多个硬件处理器的全部或部分配置为进行操作以执行指定的操作的模块。在示例中，软件可驻留在机器可读介质上。在示例中，软件在由模块的底层硬件执行时使硬件执行指定的操作。因此，术语硬件模块被理解为涵盖有形实体，即，在物理上构造、特别配置(例如，硬连线)或临时

(例如，暂时)配置(例如，经编程)以按指定的方式操作或执行本文所描述的任何操作的部分或全部的实体。考虑其中临时配置模块的示例，模块中的每个模块不需要在任何一个时刻被实例化。例如，在模块包括使用软件配置的通用硬件处理器的情况下，通用硬件处理器可在不同时间配置为相应的不同模块。软件可相应地配置硬件处理器，以例如在一个时间实例构成特定模块，而在不同的时间实例构成不同的模块。模块也可以是软件或固件模块，它们进行操作以执行本文所描述的方法。

如本文档中所使用，电路系统或电路可例如单独或按任何组合包括硬连线电路系统、可编程电路系统(诸如包括一个或多个单独指令处理核的计算机处理器)、状态机电路系统、和/或存储由可编程电路系统执行的指令的固件。电路、电路系统或模块可共同或单独地体现为形成较大系统的一部分的电路系统，较大系统例如集成电路(IC)、片上系统(SoC)、桌上型计算机、膝上型计算机、平板计算机、服务器、智能电话等。

如在本文的任何实施例中所使用，术语“逻辑”可以指配置成执行上述操作中的任何操作的固件和/或电路系统。固件可体现为在存储器装置和/或电路系统中硬编码(例如，非易失性)的代码、指令或指令集和/或数据。

如在本文的任何实施例中所使用，“电路系统”可例如单独或按任何组合包括硬连线电路系统、可编程电路系统、状态机电路系统、逻辑和/或存储由可编程电路系统执行的指令的固件。电路系统可体现为集成电路，诸如集成电路芯片。在一些实施例中，电路系统可至少部分地由执行与本文所描述的功能性相对应的代码和/或指令集(例如，软件、固件等)的处理器电路系统形成，从而将通用处理器变换到专用处理环境中以执行本文所描述的操作中的一个或多个操作。在一些实施例中，处理器电路系统可体现为独立集成电路，或者可并入为集成电路上的几个组件之一。在一些实施例中，节点或其它系统的各种组件和电路系统可以组合在片上系统(SoC)架构中。在其它示例中，处理电路系统可由数据处理单元(DPU)、基础设施处理单元(IPU)、加速电路系统、或经编程的FPGA或图形处理单元(GPU)的组合体现或提供。

图6是示出根据实施例的计算机系统600的示例形式的机器的框图，在计算机系统600内可执行指令集或序列以使该机器执行本文所讨论的方法中的任何一种方法。在备选实施例中，机器作为独立装置操作，或者可连接(例如，联网)到其它机器。在联网部署中，机器可在服务器-客户端网络环境中以服务器或客户端机器的资格操作，或者它可在点对点(或分布式)网络环境中充当对等机器。机器可以是交通工具子系统或交通工具的机载计算机、个人计算机(PC)、平板PC、混合平板、个人数字助理(PDA)、移动电话或智能电话、或能够(依顺序或以其它方式)执行指令的任何机器，这些指令指定该机器要采取的动作。此外，虽然仅仅示出单个机器，但是术语“机器”还应视为包括单独或联合执行一个(或多个)指令集以执行本文所讨论的方法中的任何一种或多种方法的机器的任何合集。类似地，术语“基于处理器的系统”应视为包括由处理器(例如，计算机)控制或操作以单独或联合执行指令以执行本文所讨论的方法中的任何一种或多种方法的一个或多个机器的任何集合。

示例计算机系统600包括至少一个处理器602(例如，中央处理单元(CPU)、图形处理单元(GPU)或两者、处理器核、计算节点等)、主存储器604和静态存储器606，它们经由链路608(例如，总线)彼此通信。计算机系统600可进一步包括视频显示单元610、字母数字输入装置612(例如，键盘)和用户界面(UI)导航装置614(例如，鼠标)。在一个实施例中，视频显示单元610、输入装置612和UI导航装置614并入到触摸屏显示器中。计算机系统600可另外包括存储装置616(例如，驱动单元)、信号发生装置618(例如，扬声器)、网络接口装置620和一个或多个传感器(未示出)，诸如全球定位系统(GPS)传感器、罗盘、加速度计、陀螺仪、磁力计或其它传感器。

存储装置616包括机器可读介质622，在所述机器可读介质622上存储体现本文所描述的方法或功能中的任何一个或多个方法或功能或由本文所描述的方法或功能中的任何一个或多个方法或功能利用的数据结构和指令624(例如，软件)的一个或多个集合。指令624还可完全或至少部分地驻留在主存储器604、静态存储器606内和/或在由计算机系统600执行它期间驻留在处理器602内，其中主存储器604、静态存储器606和处理器602也构成机器可读介质。

虽然在示例实施例中将机器可读介质622示为是单个介质，但是术语“机器可读介质”可包括存储一个或多个指令624的单个介质或多个介质(例如，集中式或分布式数据库、和/或相关联的高速缓存和服务器)。术语“机器可读介质”还应视为包括能够存储、编码或携带供机器执行并使机器执行本公开的方法中的任何一种或多种方法的指令的任何有形介质，或能够存储、编码或携带由此类指令使用或与此类指令相关联的数据结构的任何有形介质。因此，术语“机器可读介质”应视为包括但不限于固态存储器以及光和磁介质。机器可读介质的具体示例包括非易失性存储器，举例来说，包括但不限于：半导体存储器装置(例如，电可编程只读存储器(EPROM)、电可擦除可编程只读存储器(EEPROM))和闪速存储器装置；磁盘，诸如内部硬盘和可移动盘；磁光盘；以及CD-ROM和DVD-ROM盘。

指令624可进一步利用多个众所周知的传输协议(例如，HTTP)中的任何一种经由网络接口装置620使用传输介质通过通信网络626传送或接收。通信网络的示例包括局域网(LAN)、广域网(WAN)、因特网、移动电话网络、普通老式电话(POTS)网络和无线数据网络(例如，蓝牙、Wi-Fi、3G和4G LTE/LTE-A、5G、DSRC或类似网络)。术语“传输介质”应视为包括能够存储、编码或携带供机器执行的指令的任何无形介质，并且包括便于此类软件的通信的数字或模拟通信信号或其它无形介质。

在示例中，在机器可读介质上存储或以其它方式提供的信息可代表指令，诸如指令本身或可从中导出指令的格式。可从中导出指令的这种格式可包括源代码、经编码指令(例如，以压缩或加密形式)、打包指令(例如，拆分成多个包)等。代表机器可读介质中的指令的信息可由处理电路系统处理成实现本文所讨论的操作中的任何操作的指令。例如，从信息中导出指令(例如，由处理电路系统进行处理)可包括：将信息编译(例如，从源代码、目标代码等)、解译、加载、组织(例如，动态或静态链接)、编码、解码、加密、解密(unencrypting)、打包、解包(unpackaging)、或以其它方式操纵成指令。

在示例中，指令的导出可包括(例如，通过处理电路系统)对信息进行汇编、编译或解译，以从由机器可读介质所提供的某种中间或预处理格式创建指令。信息在以多个部分提供时可以组合、拆包和修改以创建指令。例如，信息可在一个或若干个远程服务器上的多个压缩源代码包(或目标代码、或二进制可执行代码等)中。源代码包在通过网络运输时可以被加密，并且在必要时被解密、解压缩、汇编(例如，链接)，并在本地机器上进行编译或解译(例如，成库、独立可执行代码等)，并由本地机器执行。

应该理解，可能已经将在本说明书中所描述的功能单元或能力称为或标记为组件或模块，以便更特别地强调它们的实现独立性。此类组件可由任何数量的软件或硬件形式体现。例如，组件或模块可实现为硬件电路，包括定制的超大规模集成(VLSI)电路或门阵列、现成的半导体(诸如逻辑芯片)、晶体管或其它分立组件。组件或模块也可在诸如现场可编程门阵列、可编程阵列逻辑、可编程逻辑装置等的可编程硬件装置中实现。组件或模块也可在软件中实现，以便由各种类型的处理器执行。可执行代码的识别的组件或模块可例如包括计算机指令的一个或多个物理或逻辑块，它们可例如组织为对象、过程或函数。然而，识别的组件或模块的可执行代码不需要物理地位于一起，而是可包括存储在不同位置中的不同指令，这些指令当在逻辑上接合在一起时包括组件或模块并实现组件或模块的规定目的。

实际上，可执行代码的组件或模块可以是单个指令或多个指令，并且甚至可分布在若干个不同的代码段上，分布在不同的程序之中，以及跨越若干个存储器装置或处理系统分布。特别地，所描述的过程的一些方面(诸如代码重写和代码分析)可发生在与部署代码的处理系统(例如，在嵌入在传感器或机器人中的计算机中)不同的处理系统(例如，在数据中心的计算机中)上。类似地，在本文中，运行数据可在组件或模块中被识别和说明，并且可以用任何合适的形式体现，并被组织在任何合适类型的数据结构内。运行数据可被收集为单个数据集，或者可分布在不同的位置上，包括分布在不同的存储装置上，并且可至少部分地仅仅作为电子信号存在于系统或网络上。组件或模块可以是无源的或有源的，包括可操作以执行期望功能的代理。

鉴于以上公开，下面阐述了实施例的各种示例的清单。应当注意，孤立地或组合地采取的示例的一个或多个特征应视为在本申请的公开内。

示例1是一种在交通工具中执行的用于自动数据记录的方法，它包括：从交通工具的至少一个感测组件获得数据，数据是在交通工具的自主操作期间提供的；基于数据检测危险情况，危险情况由于交通工具未能遵守交通工具运行安全模型的安全准则而发生；以及响应于检测到危险情况，记录数据，包括：将数据的第一部分存储在公共数据存储部件中，以及将数据的第二部分存储在私有数据存储部件中，数据的第二部分具有隐私敏感数据，其中，存储在私有数据存储部件中的数据经加密，并且其中，对私有数据存储部件的访问受到控制。

在示例2中，示例1的主题可选地包括这样的主题，其中，来自至少一个感测组件的数据用于由规划系统对交通工具的自主操作做出安全决策。

在示例3中，示例1-2中的任何一个或多个示例的主题可选地包括这样的主题，其中，存储在公共数据存储部件中的数据的第一部分包括以下项中的至少一项的值：交通工具的纵向速度；交通工具的横向速度；交通工具的车道位置；交通工具的油门状态；交通工具的刹车状态；交通工具的转向状态；或交通工具的姿态状态。

在示例4中，示例3的主题可选地包括这样的主题，其中，危险情况与交通工具和目标交通工具之间的最小安全距离要求有关，并且其中，存储在公共数据存储部件中的数据的第一部分包括以下项中的至少一项的值：目标交通工具的纵向速度；目标交通工具的横向速度；从交通工具到目标交通工具的纵向距离；或从交通工具到目标交通工具的横向距离。

在示例5中，示例1-4中的任何一个或多个示例的主题可选地包括这样的主题，其中，存储在私有数据存储部件中的数据的第二部分包括以下项中的至少一项：交通工具的地理位置数据；或由交通工具的至少一个摄像机收集的摄像机数据。

在示例6中，示例1-5中的任何一个或多个示例的主题可选地包括这样的主题，其中，根据第一数据结构将数据记录在公共数据存储部件中，并根据第二数据结构将数据记录在私有数据存储部件中，并且其中，第一和第二数据结构各自包括用于时间戳和交通工具标识符的数据字段。

在示例7中，示例6的主题可选地包括这样的主题，其中，将公共数据存储部件和私有数据存储部件中的多个数据记录组织成相应的数据块，并且其中，相应的数据块对应于从前一个数据块计算的摘要。

在示例8中，示例1-7中的任何一个或多个示例的主题可选地包括这样的主题，其中，根据至少一个安全决策参数来确定交通工具未能遵守交通工具运行安全模型的安全准则，至少一个安全决策参数包括以下项中的至少一项：交通工具的纵向响应时间；交通工具的横向响应时间；交通工具的最大纵向加速度；交通工具的最大横向加速度；或交通工具的最小纵向刹车减速度。

在示例9中，示例8的主题可选地包括这样的主题，其中，所述至少一个安全决策参数中的每一个的相应值由交通工具的制造商提供。

在示例10中，示例1-9中的任何一个或多个示例的主题可选地包括记录从交通工具的至少一个感测组件获得的数据；其中，响应于检测到危险情况而要记录的数据包括在危险情况开始之前的至少第一时间段期间所记录的数据以及在危险情况开始之后的至少第二时间段期间所记录的数据。

在示例11中，示例10的主题可选地包括这样的主题，其中，第一时间段为至少90秒，并且其中，第二时间段为至少30秒。

在示例12中，示例10-11中的任何一个或多个示例的主题可选地包括这样的主题，其中，以至少10Hz的采样频率记录数据。

示例13是至少一种包括指令的机器可读存储介质，所述指令在由至少一个处理器执行时致使所述至少一个处理器执行示例1至12中的任何示例的方法。

示例14是一种用于交通工具的自动数据记录系统，该系统包括：用于提供来自交通工具的至少一个感测组件的数据的接口，数据是在交通工具的自主操作期间提供的；以及配置成执行示例1至12中的任何示例的方法的至少一个处理装置。

示例15是一种交通工具，它包括配置成执行示例1至12中的任何示例的方法的自动数据记录系统。

示例16是一种用于交通工具的自动数据记录系统，该系统包括：用于接收来自交通工具的至少一个感测组件的数据的接口，数据是在交通工具的自主操作期间提供的；以及至少一个处理装置，其配置成：经由接口从交通工具的至少一个感测组件获得数据；基于数据检测危险情况，危险情况由于交通工具未能遵守交通工具运行安全模型的安全准则而发生；以及响应于检测到危险情况而记录数据，包括：将数据的第一部分存储在公共数据存储部件中，并将数据的第二部分存储在私有数据存储部件中，数据的第二部分具有隐私敏感数据，其中，存储在私有数据存储部件中的数据经加密，并且其中，对私有数据存储部件的访问受到控制。

在示例17中，示例16的主题可选地包括这样的主题，其中，来自至少一个感测组件的数据用于由规划系统对交通工具的自主操作做出安全决策。

在示例18中，示例16-17中的任何一个或多个示例的主题可选地包括这样的主题，其中，存储在公共数据存储部件中的数据的第一部分包括以下项中的至少一项的值：交通工具的纵向速度；交通工具的横向速度；交通工具的车道位置；交通工具的油门状态；交通工具的刹车状态；交通工具的转向状态；或交通工具的姿态状态。

在示例19中，示例18的主题可选地包括这样的主题，其中，危险情况与交通工具和目标交通工具之间的最小安全距离要求有关，并且其中，存储在公共数据存储部件中的数据的第一部分包括以下项中的至少一项的值：目标交通工具的纵向速度；目标交通工具的横向速度；从交通工具到目标交通工具的纵向距离；或从交通工具到目标交通工具的横向距离。

在示例20中，示例16-19中的任何一个或多个示例的主题可选地包括这样的主题，其中，存储在私有数据存储部件中的数据的第二部分包括以下项中的至少一项：交通工具的地理位置数据；或由交通工具的至少一个摄像机收集的摄像机数据。

在示例21中，示例16-20中的任何一个或多个示例的主题可选地包括这样的主题，其中，根据第一数据结构将数据记录在公共数据存储部件中，并根据第二数据结构将数据记录在私有数据存储部件中，并且其中，第一和第二数据结构各自包括用于时间戳和交通工具标识符的数据字段。

在示例22中，示例21的主题可选地包括这样的主题，其中，将公共数据存储部件和私有数据存储部件中的多个数据记录组织成相应的数据块，并且其中，相应的数据块对应于从前一个数据块计算的摘要。

在示例23中，示例16-22中的任何一个或多个示例的主题可选地包括这样的主题，其中，根据至少一个安全决策参数来确定交通工具未能遵守交通工具运行安全模型的安全准则，至少一个安全决策参数包括以下项中的至少一项：交通工具的纵向响应时间；交通工具的横向响应时间；交通工具的最大纵向加速度；交通工具的最大横向加速度；或交通工具的最小纵向刹车减速度。

在示例24中，示例23的主题可选地包括这样的主题，其中，所述至少一个安全决策参数中的每一个的相应值由交通工具的制造商提供。

在示例25中，示例16-24中的任何一个或多个示例的主题可选地包括，所述至少一个处理装置进一步配置成：记录从交通工具的至少一个感测组件获得的数据；其中，响应于检测到危险情况而要记录的数据包括在危险情况开始之前的至少第一时间段期间所记录的数据以及在危险情况开始之后的至少第二时间段期间所记录的数据。

在示例26中，示例25的主题可选地包括这样的主题，其中，第一时间段为至少90秒，并且其中，第二时间段为至少30秒。

在示例27中，示例16-26中的任何一个或多个示例的主题可选地包括这样的主题，其中，以至少10Hz的采样频率记录数据。

示例28是至少一种包括指令的装置可读存储介质，所述指令在由自动数据记录装置的电路系统执行时致使装置：从交通工具的至少一个感测组件获得数据，数据是在交通工具的自主操作期间提供的；基于数据检测危险情况，危险情况由于交通工具未能遵守交通工具运行安全模型的安全准则而发生；以及响应于检测到危险情况，记录数据，包括：将数据的第一部分存储在公共数据存储部件中，并将数据的第二部分存储在私有数据存储部件中，数据的第二部分具有隐私敏感数据，其中，存储在私有数据存储部件中的数据经加密，并且其中，对私有数据存储部件的访问受到控制。

在示例29中，示例28的主题可选地包括这样的主题，其中，来自至少一个感测组件的数据用于由规划系统对交通工具的自主操作做出安全决策。

在示例30中，示例28-29中的任何一个或多个示例的主题可选地包括这样的主题，其中，存储在公共数据存储部件中的数据的第一部分包括以下项中的至少一项的值：交通工具的纵向速度；交通工具的横向速度；交通工具的车道位置；交通工具的油门状态；交通工具的刹车状态；交通工具的转向状态；或交通工具的姿态状态。

在示例31中，示例30的主题可选地包括这样的主题，其中，危险情况与交通工具和目标交通工具之间的最小安全距离要求有关，并且其中，存储在公共数据存储部件中的数据的第一部分包括以下项中的至少一项的值：目标交通工具的纵向速度；目标交通工具的横向速度；从交通工具到目标交通工具的纵向距离；或从交通工具到目标交通工具的横向距离。

在示例32中，示例28-31中的任何一个或多个示例的主题可选地包括这样的主题，其中，存储在私有数据存储部件中的数据的第二部分包括以下项中的至少一项：交通工具的地理位置数据；或由交通工具的至少一个摄像机收集的摄像机数据。

在示例33中，示例28-32中的任何一个或多个示例的主题可选地包括这样的主题，其中，根据第一数据结构将数据记录在公共数据存储部件中，并根据第二数据结构将数据记录在私有数据存储部件中，并且其中，第一和第二数据结构各自包括用于时间戳和交通工具标识符的数据字段。

在示例34中，示例33的主题可选地包括这样的主题，其中，将公共数据存储部件和私有数据存储部件中的多个数据记录组织成相应的数据块，并且其中，相应的数据块对应于从前一个数据块计算的摘要。

在示例35中，示例28-34中的任何一个或多个示例的主题可选地包括这样的主题，其中，根据至少一个安全决策参数来确定交通工具未能遵守交通工具运行安全模型的安全准则，至少一个安全决策参数包括以下项中的至少一项：交通工具的纵向响应时间；交通工具的横向响应时间；交通工具的最大纵向加速度；交通工具的最大横向加速度；或交通工具的最小纵向刹车减速度。

在示例36中，示例35的主题可选地包括这样的主题，其中，所述至少一个安全决策参数中的每一个的相应值由交通工具的制造商提供。

在示例37中，示例28-36中的任何一个或多个示例的主题可选地包括，指令进一步使电路系统：记录从交通工具的至少一个感测组件获得的数据；其中，响应于检测到危险情况而要记录的数据包括在危险情况开始之前的至少第一时间段期间所记录的数据以及在危险情况开始之后的至少第二时间段期间所记录的数据。

在示例38中，示例37的主题可选地包括这样的主题，其中，第一时间段为至少90秒，并且其中，第二时间段为至少30秒。

在示例39中，示例37-38中的任何一个或多个示例的主题可选地包括这样的主题，其中，以至少10Hz的采样频率记录数据。

示例40是一种系统，它包括：用于从交通工具的至少一个感测组件获得数据的部件，数据是在交通工具的自主操作期间提供的；用于基于数据检测危险情况的部件，危险情况由于交通工具未能遵守交通工具运行安全模型的安全准则而发生；以及用于响应于检测到危险情况而记录数据以致使以下动作的部件：将数据的第一部分存储在公共数据存储部件中，并将数据的第二部分存储在私有数据存储部件中，数据的第二部分具有隐私敏感数据，其中，存储在私有数据存储部件中的数据经加密，并且其中，对私有数据存储部件的访问受到控制。

在示例41中，示例40的主题可选地包括用于评估来自至少一个感测组件的数据以用于交通工具的自主操作的安全决策的部件。

在示例42中，示例40-41中的任何一个或多个示例的主题可选地包括用于识别存储在公共数据存储部件中的数据的第一部分的部件，数据的第一部分包括以下项中的至少一项的值：交通工具的纵向速度；交通工具的横向速度；交通工具的车道位置；交通工具的油门状态；交通工具的刹车状态；交通工具的转向状态；或交通工具的姿态状态。

在示例43中，示例42的主题可选地包括：用于识别与交通工具和目标交通工具之间的最小安全距离要求有关的危险情况的部件；以及用于识别存储在公共数据存储部件中的数据的第一部分的部件，数据的第一部分包括以下项中的至少一项的值：目标交通工具的纵向速度，目标交通工具的横向速度，从交通工具到目标交通工具的纵向距离，或从交通工具到目标交通工具的横向距离。

在示例44中，示例40-43中的任何一个或多个示例的主题可选地包括用于识别存储在私有数据存储部件中的数据的第二部分的部件，数据的第二部分包括以下项中的至少一项：交通工具的地理位置数据；或由交通工具的至少一个摄像机收集的摄像机数据。

在示例45中，示例40-44中的任何一个或多个示例的主题可选地包括用于根据第一数据结构将数据记录在公共数据存储部件中并根据第二数据结构将数据记录在私有数据存储部件中的部件，其中，第一和第二数据结构各自包括用于时间戳和交通工具标识符的数据字段。

在示例46中，示例45的主题可选地包括用于将公共数据存储部件和私有数据存储部件中的多个数据记录组织成相应的数据块的部件，其中，相应数据块中的每一个对应于从相应前一个数据块计算的摘要。

在示例47中，示例40-46中的任何一个或多个示例的主题可选地包括用于使用至少一个安全决策参数来确定交通工具未能遵守交通工具运行安全模型的安全准则的部件，至少一个安全决策参数包括以下项中的至少一项：交通工具的纵向响应时间；交通工具的横向响应时间；交通工具的最大纵向加速度；交通工具的最大横向加速度；或交通工具的最小纵向刹车减速度。

在示例48中，示例47的主题可选地包括用于访问至少一个安全决策参数中的每一个的相应值的部件，其中，每个相应值由交通工具的制造商提供。

在示例49中，示例40-48中的任何一个或多个示例的主题可选地包括用于记录从交通工具的至少一个感测组件获得的数据的部件；其中，响应于检测到危险情况而要记录的数据包括在危险情况开始之前的至少第一时间段期间所记录的数据以及在危险情况开始之后的至少第二时间段期间所记录的数据。

在示例50中，示例49的主题可选地包括用于以至少10Hz的采样频率对数据进行采样的部件，其中，第一时间段为至少90秒，并且其中，第二时间段为至少30秒。

虽然已经参考具体的示例性方面描述了这些实现，但是很明显，可对这些方面进行各种修改和改变而不脱离本公开的更广泛范围。

Claims (50)

1.一种在交通工具中执行的用于自动数据记录的方法，包括：

从所述交通工具的至少一个感测组件获得数据，所述数据是在所述交通工具的自主操作期间提供的；

基于所述数据检测危险情况，所述危险情况由于所述交通工具未能遵守交通工具运行安全模型的安全准则而发生；以及

响应于检测到所述危险情况，记录所述数据，包括：

将所述数据的第一部分存储在公共数据存储部件中；以及

将所述数据的第二部分存储在私有数据存储部件中，所述数据的所述第二部分具有隐私敏感数据，其中，存储在所述私有数据存储部件中的所述数据经加密，并且其中，对所述私有数据存储部件的访问受到控制。

2.如权利要求1所述的方法，其中，来自所述至少一个感测组件的所述数据用于由规划系统对所述交通工具的所述自主操作做出安全决策。

3.如权利要求1所述的方法，其中，存储在所述公共数据存储部件中的所述数据的所述第一部分包括以下项中的至少一项的值：

所述交通工具的纵向速度；

所述交通工具的横向速度；

所述交通工具的车道位置；

所述交通工具的油门状态；

所述交通工具的刹车状态；

所述交通工具的转向状态；或

所述交通工具的姿态状态。

4.如权利要求3所述的方法，其中，所述危险情况与所述交通工具和目标交通工具之间的最小安全距离要求有关，并且其中，存储在所述公共数据存储部件中的所述数据的所述第一部分包括以下项中的至少一项的值：

所述目标交通工具的纵向速度；

所述目标交通工具的横向速度；

从所述交通工具到所述目标交通工具的纵向距离；或

从所述交通工具到所述目标交通工具的横向距离。

5.如权利要求1所述的方法，其中，存储在所述私有数据存储部件中的所述数据的所述第二部分包括以下项中的至少一项：

所述交通工具的地理位置数据；或

由所述交通工具的至少一个摄像机收集的摄像机数据。

6.如权利要求1所述的方法，其中，根据第一数据结构将所述数据记录在所述公共数据存储部件中，并根据第二数据结构将所述数据记录在所述私有数据存储部件中，并且其中，所述第一和第二数据结构各自包括用于时间戳和交通工具标识符的数据字段。

7.如权利要求6所述的方法，其中，将所述公共数据存储部件和所述私有数据存储部件中的多个数据记录组织成相应的数据块，并且其中，所述相应的数据块对应于从前一个数据块计算的摘要。

8.如权利要求1所述的方法，其中，根据至少一个安全决策参数来确定所述交通工具未能遵守所述交通工具运行安全模型的所述安全准则，所述至少一个安全决策参数包括以下项中的至少一项：

所述交通工具的纵向响应时间；

所述交通工具的横向响应时间；

所述交通工具的最大纵向加速度；

所述交通工具的最大横向加速度；或

所述交通工具的最小纵向刹车减速度。

9.如权利要求8所述的方法，其中，所述至少一个安全决策参数中的每一个的相应值由所述交通工具的制造商提供。

10.如权利要求1所述的方法，进一步包括：

记录从所述交通工具的所述至少一个感测组件获得的所述数据；

其中，响应于检测到所述危险情况而要记录的所述数据包括在所述危险情况开始之前的至少第一时间段期间所记录的数据以及在所述危险情况开始之后的至少第二时间段期间所记录的数据。

11.如权利要求10所述的方法，其中，所述第一时间段为至少90秒，并且其中，所述第二时间段为至少30秒。

12.如权利要求10所述的方法，其中，以至少10Hz的采样频率记录所述数据。

13.至少一种包括指令的机器可读存储介质，所述指令在由至少一个处理器执行时致使所述至少一个处理器执行如权利要求1至12中的任一权利要求所述的方法。

14.一种用于交通工具的自动数据记录系统，所述系统包括：

用于提供来自所述交通工具的至少一个感测组件的数据的接口，所述数据是在所述交通工具的自主操作期间提供的；以及

配置成执行如权利要求1至12中的任一权利要求所述的方法的至少一个处理装置。

15.一种交通工具，包括配置成执行如权利要求1至12中的任一权利要求所述的方法的自动数据记录系统。

16.一种用于交通工具的自动数据记录系统，所述系统包括：

用于接收来自所述交通工具的至少一个感测组件的数据的接口，所述数据是在所述交通工具的自主操作期间提供的；以及

至少一个处理装置，其配置成：

经由所述接口从所述交通工具的所述至少一个感测组件获得所述数据；

基于所述数据检测危险情况，所述危险情况由于所述交通工具未能遵守交通工具运行安全模型的安全准则而发生；以及

响应于检测到所述危险情况，记录所述数据，包括：

将所述数据的第一部分存储在公共数据存储部件中；以及

将所述数据的第二部分存储在私有数据存储部件中，所述数据的所述第二部分具有隐私敏感数据，其中，存储在所述私有数据存储部件中的所述数据经加密，并且其中，对所述私有数据存储部件的访问受到控制。

17.如权利要求16所述的自动数据记录系统，其中，来自所述至少一个感测组件的所述数据用于由规划系统对所述交通工具的所述自主操作做出安全决策。

18.如权利要求16所述的自动数据记录系统，其中，存储在所述公共数据存储部件中的所述数据的所述第一部分包括以下项中的至少一项的值：

所述交通工具的纵向速度；

所述交通工具的横向速度；

所述交通工具的车道位置；

所述交通工具的油门状态；

所述交通工具的刹车状态；

所述交通工具的转向状态；或

所述交通工具的姿态状态。

19.如权利要求18所述的自动数据记录系统，其中，所述危险情况与所述交通工具和目标交通工具之间的最小安全距离要求有关，并且其中，存储在所述公共数据存储部件中的所述数据的所述第一部分包括以下项中的至少一项的值：

所述目标交通工具的纵向速度；

所述目标交通工具的横向速度；

从所述交通工具到所述目标交通工具的纵向距离；或

从所述交通工具到所述目标交通工具的横向距离。

20.如权利要求16所述的自动数据记录系统，其中，存储在所述私有数据存储部件中的所述数据的所述第二部分包括以下项中的至少一项：

所述交通工具的地理位置数据；或

由所述交通工具的至少一个摄像机收集的摄像机数据。

21.如权利要求16所述的自动数据记录系统，其中，根据第一数据结构将所述数据记录在所述公共数据存储部件中，并根据第二数据结构将所述数据记录在所述私有数据存储部件中，并且其中，所述第一和第二数据结构各自包括用于时间戳和交通工具标识符的数据字段。

22.如权利要求21所述的自动数据记录系统，其中，将所述公共数据存储部件和所述私有数据存储部件中的多个数据记录组织成相应的数据块，并且其中，所述相应的数据块对应于从前一个数据块计算的摘要。

23.如权利要求16所述的自动数据记录系统，其中，根据至少一个安全决策参数来确定所述交通工具未能遵守所述交通工具运行安全模型的所述安全准则，所述至少一个安全决策参数包括以下项中的至少一项：

所述交通工具的纵向响应时间；

所述交通工具的横向响应时间；

所述交通工具的最大纵向加速度；

所述交通工具的最大横向加速度；或

所述交通工具的最小纵向刹车减速度。

24.如权利要求23所述的自动数据记录系统，其中，所述至少一个安全决策参数中的每一个的相应值由所述交通工具的制造商提供。

25.如权利要求16所述的自动数据记录系统，所述至少一个处理装置进一步配置成：

记录从所述交通工具的所述至少一个感测组件获得的所述数据；

其中，响应于检测到所述危险情况而要记录的所述数据包括在所述危险情况开始之前的至少第一时间段期间所记录的数据以及在所述危险情况开始之后的至少第二时间段期间所记录的数据。

26.如权利要求25所述的自动数据记录系统，其中，所述第一时间段为至少90秒，并且其中，所述第二时间段为至少30秒。

27.如权利要求16所述的自动数据记录系统，其中，以至少10Hz的采样频率记录所述数据。

28.至少一种包括指令的装置可读存储介质，所述指令在由自动数据记录装置的电路系统执行时致使所述装置：

从交通工具的至少一个感测组件获得数据，所述数据是在所述交通工具的自主操作期间提供的；

基于所述数据检测危险情况，所述危险情况由于所述交通工具未能遵守交通工具运行安全模型的安全准则而发生；以及

响应于检测到所述危险情况，记录所述数据，包括：

将所述数据的第一部分存储在公共数据存储部件中；以及

将所述数据的第二部分存储在私有数据存储部件中，所述数据的所述第二部分具有隐私敏感数据，其中，存储在所述私有数据存储部件中的所述数据经加密，并且其中，对所述私有数据存储部件的访问受到控制。

29.如权利要求28所述的装置可读存储介质，其中，来自所述至少一个感测组件的所述数据用于由规划系统对所述交通工具的所述自主操作做出安全决策。

30.如权利要求28所述的装置可读存储介质，其中，存储在所述公共数据存储部件中的所述数据的所述第一部分包括以下项中的至少一项的值：

所述交通工具的纵向速度；

所述交通工具的横向速度；

所述交通工具的车道位置；

所述交通工具的油门状态；

所述交通工具的刹车状态；

所述交通工具的转向状态；或

所述交通工具的姿态状态。

31.如权利要求30所述的装置可读存储介质，其中，所述危险情况与所述交通工具和目标交通工具之间的最小安全距离要求有关，并且其中，存储在所述公共数据存储部件中的所述数据的所述第一部分包括以下项中的至少一项的值：

所述目标交通工具的纵向速度；

所述目标交通工具的横向速度；

从所述交通工具到所述目标交通工具的纵向距离；或

从所述交通工具到所述目标交通工具的横向距离。

32.如权利要求28所述的装置可读存储介质，其中，存储在所述私有数据存储部件中的所述数据的所述第二部分包括以下项中的至少一项：

所述交通工具的地理位置数据；或

由所述交通工具的至少一个摄像机收集的摄像机数据。

33.如权利要求28所述的装置可读存储介质，其中，根据第一数据结构将所述数据记录在所述公共数据存储部件中，并根据第二数据结构将所述数据记录在所述私有数据存储部件中，并且其中，所述第一和第二数据结构各自包括用于时间戳和交通工具标识符的数据字段。

34.如权利要求33所述的装置可读存储介质，其中，将所述公共数据存储部件和所述私有数据存储部件中的多个数据记录组织成相应的数据块，并且其中，所述相应的数据块对应于从前一个数据块计算的摘要。

35.如权利要求28所述的装置可读存储介质，其中，根据至少一个安全决策参数来确定所述交通工具未能遵守所述交通工具运行安全模型的所述安全准则，所述至少一个安全决策参数包括以下项中的至少一项：

所述交通工具的纵向响应时间；

所述交通工具的横向响应时间；

所述交通工具的最大纵向加速度；

所述交通工具的最大横向加速度；或

所述交通工具的最小纵向刹车减速度。

36.如权利要求35所述的装置可读存储介质，其中，所述至少一个安全决策参数中的每一个的相应值由所述交通工具的制造商提供。

37.如权利要求28所述的装置可读存储介质，所述指令进一步使所述电路系统：

记录从所述交通工具的所述至少一个感测组件获得的所述数据；

其中，响应于检测到所述危险情况而要记录的所述数据包括在所述危险情况开始之前的至少第一时间段期间所记录的数据以及在所述危险情况开始之后的至少第二时间段期间所记录的数据。

38.如权利要求37所述的装置可读存储介质，其中，所述第一时间段为至少90秒，并且其中，所述第二时间段为至少30秒。

39.如权利要求37所述的装置可读存储介质，其中，以至少10Hz的采样频率记录所述数据。

40.一种系统，包括：

用于从交通工具的至少一个感测组件获得数据的部件，所述数据是在所述交通工具的自主操作期间提供的；

用于基于所述数据检测危险情况的部件，所述危险情况由于所述交通工具未能遵守交通工具运行安全模型的安全准则而发生；以及

用于响应于检测到所述危险情况而记录所述数据以致使以下动作的部件：

将所述数据的第一部分存储在公共数据存储部件中；以及

将所述数据的第二部分存储在私有数据存储部件中，所述数据的所述第二部分具有隐私敏感数据，其中，存储在所述私有数据存储部件中的所述数据经加密，并且其中，对所述私有数据存储部件的访问受到控制。

41.如权利要求40所述的系统，进一步包括：

用于评估来自所述至少一个感测组件的所述数据以用于所述交通工具的所述自主操作的安全决策的部件。

42.如权利要求40所述的系统，进一步包括：

用于识别存储在所述公共数据存储部件中的所述数据的所述第一部分的部件，所述数据的所述第一部分包括以下项中的至少一项的值：

所述交通工具的纵向速度；

所述交通工具的横向速度；

所述交通工具的车道位置；

所述交通工具的油门状态；

所述交通工具的刹车状态；

所述交通工具的转向状态；或

所述交通工具的姿态状态。

43.如权利要求42所述的系统，进一步包括：

用于识别与所述交通工具和目标交通工具之间的最小安全距离要求有关的所述危险情况的部件，以及

用于识别存储在所述公共数据存储部件中的所述数据的所述第一部分的部件，所述数据的所述第一部分包括以下项中的至少一项的值：

所述目标交通工具的纵向速度；

所述目标交通工具的横向速度；

从所述交通工具到所述目标交通工具的纵向距离；或

从所述交通工具到所述目标交通工具的横向距离。

44.如权利要求40所述的系统，进一步包括：

用于识别存储在所述私有数据存储部件中的所述数据的所述第二部分的部件，所述数据的所述第二部分包括以下项中的至少一项：

所述交通工具的地理位置数据；或

由所述交通工具的至少一个摄像机收集的摄像机数据。

45.如权利要求40的系统，进一步包括：

用于根据第一数据结构将所述数据记录在所述公共数据存储部件中并根据第二数据结构将所述数据记录在所述私有数据存储部件中的部件，其中，所述第一和第二数据结构各自包括用于时间戳和交通工具标识符的数据字段。

46.如权利要求45所述的系统，进一步包括：

用于将所述公共数据存储部件和所述私有数据存储部件中的多个数据记录组织成相应的数据块的部件，其中，所述相应的数据块中的每一个对应于从相应前一个数据块计算的摘要。

47.如权利要求40所述的系统，进一步包括：

用于使用至少一个安全决策参数来确定所述交通工具未能遵守所述交通工具运行安全模型的所述安全准则的部件，所述至少一个安全决策参数包括以下项中的至少一项：

所述交通工具的纵向响应时间；

所述交通工具的横向响应时间；

所述交通工具的最大纵向加速度；

所述交通工具的最大横向加速度；或

所述交通工具的最小纵向刹车减速度。

48.如权利要求47所述的系统，进一步包括：

用于访问所述至少一个安全决策参数中的每一个的相应值的部件，其中，每个相应值由所述交通工具的制造商提供。

49.如权利要求40所述的系统，进一步包括：

用于记录从所述交通工具的所述至少一个感测组件获得的所述数据的部件；

其中，响应于检测到所述危险情况而要记录的所述数据包括在所述危险情况开始之前的至少第一时间段期间所记录的数据以及在所述危险情况开始之后的至少第二时间段期间所记录的数据。

50.如权利要求49所述的系统，进一步包括：

用于以至少10Hz的采样频率对所述数据进行采样的部件，其中，所述第一时间段为至少90秒，并且其中，所述第二时间段为至少30秒。