CN117962931A - 基于自动驾驶的能力边界处理方法、设备及介质 - Google Patents

Abstract

本申请提供一种基于自动驾驶的能力边界处理方法、设备及介质，涉及自动驾驶系统安全技术领域。该方法基于实时获取到的自主移动设备周围环境数据以及性能指标数据，能够确定自主移动设备是否违反预设的至少一个能力边界。在自主移动设备违反目标能力边界时，该方法能够根据目标能力边界对应的降级策略，控制自主移动设备进行降级操作。其中，能力边界包括自主移动设备安全行驶的至少一个性能边界和/或环境安全边界。通过应用该方法，可以确保自主移动设备在安全范围内行驶，从而有效保障行驶安全。

Description

基于自动驾驶的能力边界处理方法、设备及介质

技术领域

本申请涉及自动驾驶系统安全技术领域，尤其涉及一种基于自动驾驶的能力边界处理方法、设备及介质。

背景技术

随着自动驾驶技术的快速发展，各种自动驾驶系统被广泛研究和开发，旨在通过感知、决策和控制技术，实现自主移动设备的自主行驶。

在当前的自动驾驶技术架构中，这些系统依托于精密算法和传感器技术，以准确地捕捉环境信息，识别道路标志、其他物体和行人，并能预测行驶路线。

然而，在现行的自动驾驶系统中，当自动驾驶系统检测到其能力边界时，它会直接退出自动驾驶模式，用户无法及时接管操作，从而容易引发安全问题。

发明内容

本申请提供一种基于自动驾驶的能力边界处理方法、设备及介质，可以有效保障自主移动设备在行驶过程中的安全性。

第一方面，本申请实施例提供一种基于自动驾驶的能力边界处理方法，应用于自主移动设备，所述方法包括：

根据实时获取到的所述自主移动设备的周围环境数据以及性能指标数据，确定所述自主移动设备是否违反预设的至少一个能力边界，所述至少一个能力边界包括自主移动设备安全行驶的至少一个性能边界和/或环境安全边界；

若所述自主移动设备违反目标能力边界，则根据所述目标能力边界对应的降级策略，控制所述自主移动设备进行降级操作。

在第一方面的一种可能设计中，所述方法还包括：

若在执行所述降级策略对应的降级操作后的第一预设时间段内，确定所述自主移动设备持续违反所述目标能力边界，则根据当前的性能指标数据和/或周围环境数据对所述降级策略进行调整，得到更新后的降级策略；

根据所述更新后的降级策略控制所述自主移动设备进行降级操作。

在第一方面的一种可能设计中，所述方法还包括：

若在执行所述更新后的降级策略后的第二预设时间段内，确定所述自主移动设备持续违反所述目标能力边界，则控制所述自主移动设备执行所述目标能力边界对应的最小风险操作。

在第一方面的一种可能设计中，所述能力边界包括：

至少一个性能边界和/或环境安全边界，其中，

所述性能边界包括自主移动设备位置的帧间一致性阈值、自主移动设备速度的帧间一致性阈值、规划轨迹与道路中心线的偏离程度阈值、以及自主移动设备的纵向位置控制误差阈值；

所述环境安全边界包括雨量阈值、雪量阈值、温度阈值、光照强度阈值、以及弯道曲率半径阈值。

在第一方面的一种可能设计中，所述降级策略包括以下控制方案中的至少一个：

通过限速控制降级；

通过抑制自主移动设备变道控制降级；

通过限制横向轨迹规划控制降级；

推送安全提示，以使用户控制自主移动设备降级。

在第一方面的一种可能设计中，所述最小风险操作包括以下至少一种操作：

限制自主移动设备加速；

限制变换移动方向；

控制自主移动设备滑行至停止状态；

控制自主移动设备匀减速至停止状态；

控制自主移动设备靠边停止状态。

在第一方面的一种可能设计中，所述根据实时获取到的所述自主移动设备的周围环境数据以及性能指标数据，确定所述自主移动设备是否违反预设的至少一个能力边界之前，所述方法还包括：

响应于用户的预期功能安全配置操作，获取自主移动设备行驶过程中的至少一个能力边界，每个能力边界对应的降级策略以及最小风险操作，所述至少一个能力边界是基于安全分析方法以及自主移动设备测试实验确定的；

根据所述至少一个能力边界，每个能力边界对应的降级策略以及最小风险操作，配置所述自主移动设备在自动驾驶过程中进行能力边界检测和处理。

在第一方面的一种可能设计中，所述响应于用户的预期功能安全配置操作，获取自主移动设备行驶过程中的至少一个能力边界之前，所述方法还包括：

基于预先定义的测试场景集合中的每个测试场景，对所述自主移动设备进行仿真测试和/或实际测试，记录每个时刻的性能指标数据、周围环境数据、以及发生横向危害和/或纵向危害时用户接管控制的时间戳；

根据每个时刻的性能指标数据、周围环境数据、以及发生横向危害和/或纵向危害时用户接管控制的时间戳进行统计分析，确定出所述至少一个能力边界。

第二方面，本申请实施例提供一种基于自动驾驶的能力边界处理装置，所述装置包括：

第一处理模块，用于根据实时获取到的自主移动设备的周围环境数据以及性能指标数据，确定所述自主移动设备是否违反预设的至少一个能力边界，所述至少一个能力边界包括自主移动设备安全行驶的至少一个性能边界和/或环境安全边界；

第二处理模块，用于若所述自主移动设备违反目标能力边界，则根据所述目标能力边界对应的降级策略，控制所述自主移动设备进行降级操作。

第三方面，本申请实施例提供一种自主移动设备，包括：处理器，以及与所述处理器通信连接的存储器；

所述存储器存储计算机执行指令；

所述处理器执行所述存储器存储的计算机执行指令，以实现如第一方面任一项所述的基于自动驾驶的能力边界处理方法。

第四方面，本申请实施例提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机执行指令，当所述计算机执行指令被处理器执行时用于实现如第一方面任一项所述的基于自动驾驶的能力边界处理方法。

第五方面，本申请实施例提供一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现如第一方面任一项所述的基于自动驾驶的能力边界处理方法。

本申请提供的基于自动驾驶的能力边界处理方法、设备及介质，涉及自动驾驶系统安全技术领域。其中，该基于自动驾驶的能力边界处理方法应用于自主移动设备中。具体的，该方法通过结合安全分析及测试验证，确定了自主移动设备的能力边界，以避免仅依赖专家经验可能导致的能力边界分析不完善的问题。同时，通过在线检测方案实时监测自主移动设备是否超出能力边界，在超过目标能力边界时，则根据对应的降级策略，控制设备进行降级操作或者最小风险操作，避免了仅依赖单一触发条件检测可能导致某些性能局限被忽略的情况。在此基础上，该方法运用风险再平衡原则，可以在线调整自主移动设备的行驶状态，以确保行驶安全。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本申请的实施例，并与说明书一起用于解释本申请的原理。

图1为本申请提供的基于自动驾驶的能力边界处理方法的应用场景示意图；

图2为本申请提供的基于自动驾驶的能力边界处理方法实施例一的流程示意图；

图3为本申请提供的基于自动驾驶的能力边界处理方法实施例二的流程示意图；

图4为本申请提供的基于自动驾驶的能力边界处理方法实施例三的流程示意图；

图5为本申请提供的基于自动驾驶的能力边界处理方法实施例四的流程示意图；

图6为本申请提供的基于因果决策树识别车辆性能局限和触发条件示意图；

图7为本申请提供的基于自动驾驶的能力边界处理方法实施例五的流程示意图；

图8为本申请提供的一种基于自动驾驶的能力边界处理方法整体流程示意图；

图9为本申请提供的一种基于自动驾驶的能力边界处理装置实施例一的结构示意图；

图10为本申请提供的一种基于自动驾驶的能力边界处理装置实施例二的结构示意图；

图11为本申请提供的基于自动驾驶的能力边界处理自主移动设备的结构示意图。

通过上述附图，已示出本申请明确的实施例，后文中将有更详细的描述。这些附图和文字描述并不是为了通过任何方式限制本申请构思的范围，而是通过参考特定实施例为本领域技术人员说明本申请的概念。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

随着自动驾驶技术的不断进步，各种自动驾驶系统正受到广泛关注和深入研究。基于该趋势，越来越多的设备通过配置自动驾驶系统实现了自主移动。

在当前的自动驾驶技术框架中，自动驾驶系统借助智能算法和传感器技术，不仅能够实时捕捉周围环境的信息，还能准确识别道路标志和交通信号。通过对这些数据的分析和处理，自动驾驶系统能够预测较佳的行驶路径，包括车道选择、转弯判断和速度调整，以实现移动设备的完全自主行驶。

然而，在面对复杂且未预料到的交通情况时，目前的自动驾驶系统仍存在一定的局限性。尤其是当自动驾驶系统检测到超出其能力边界时，它会自动退出自动驾驶模式，要求用户立即接管控制权，以确保安全。然而，在某些情况下，用户无法及时响应和执行接管操作，这会带来一定的安全隐患。

针对上述问题，发明人在对自动驾驶系统的研究过程中发现，自动驾驶系统在实时运行过程中，一旦检测到当前行驶场景超出其能力边界，便会直接退出自动驾驶模式，且未输出应对能力边界所需的控制信号和逻辑清晰的用户接管提示，此时安全问题难以有效保证。据此发明人考虑是否可以从处理自动驾驶的能力边界角度出发，在自主移动设备实时行驶过程中，利用在线检测手段实时检测自主移动设备的能力边界，并基于预定义的应对能力边界的降级和最小风险操作，确保自主移动设备动态调整行驶状态，从而保障行驶安全。

图1为本申请提供的基于自动驾驶的能力边界处理方法的应用场景示意图。如图1所示，本申请提供方案的应用场景中包括自主移动设备100。其中，自主移动设备100包括检测系统101和处理系统102，检测系统101和处理系统102实时交互。自主移动设备100可以是配置有自动驾驶系统的自动驾驶车辆，也可以是配置有自动控制装置的机器人，在此不做限定。

当自主移动设备100在实际行驶过程中，配置在自主移动设备100中的检测系统101实时获取自主移动设备100周围的环境信息，并获取自主移动设备100的性能指标信息，确定当前情况下自主移动设备100是否违反预设的至少一个能力边界。其中，能力边界包括自主移动设备100安全行驶的至少一个性能边界和/或环境安全边界。

基于检测系统101的实时检测结果，若当前情况下自主移动设备100违反预设的至少一个能力边界，则配置在自主移动设备100中的处理系统102根据目标能力边界对应的降级策略，控制自主移动设备100进行降级操作或者最小风险操作，从而保障自主移动设备100的行驶安全。

尽管图1中仅示出一个自主移动设备100，但是应理解可以存在两个或更多的自主移动设备100。

下面，通过具体实施例对本申请所示的技术方案进行详细说明。需要说明的是，下面几个实施例可以单独存在，也可以相互结合，对于相同或相似的内容，在不同的实施例中不再重复说明。

图2为本申请提供的基于自动驾驶的能力边界处理方法实施例一的流程示意图。如图2所示，该基于自动驾驶的能力边界处理方法的流程可以包括：

S201：根据实时获取到的自主移动设备的周围环境数据以及性能指标数据，确定自主移动设备是否违反预设的至少一个能力边界，至少一个能力边界包括自主移动设备安全行驶的至少一个性能边界和/或环境安全边界。

在本步骤中，为了确保自主移动设备在实时行驶过程中的安全性，需要预先在自主移动设备内部配置相关的控制系统。其中，该控制系统能够实时获取自主移动设备的周围环境数据以及性能指标数据，确定自主移动设备是否违反预设的至少一个能力边界，从而确保自主移动设备能够满足各种行驶条件，保证行驶过程的安全性。比如，自主移动设备可以是自动驾驶汽车，其对应的控制系统即为自动驾驶系统，自主移动设备也可以是机器人，其对应的控制系统则为机器人控制系统。

具体的，周围环境数据指的是自主移动设备在实时行驶过程中，周围环境的各种信息，这些数据可以通过自主移动设备内部配置的各种传感器实时获取。其中，周围环境数据包括视觉数据、声音数据、距离数据、位置数据以及环境参数数据等。比如，视觉数据包括通过摄像头或激光雷达等传感器获取的图像和深度信息，可用于检测和识别自主移动设备周围的物体、障碍物以及道路标志等。声音数据包括通过麦克风或声纳传感器等声音获取装置获取的声音信号，用于声音识别、环境噪音检测等。距离数据包括通过超声波传感器或激光测距仪等距离检测装置获取的物体距离信息，用于避障和导航。位置数据包括通过全球定位系统、惯性导航设备等传感器获取的自主移动设备当前位置和方向信息等。环境参数数据包括温度、湿度、气压等环境参数的测量结果，可通过环境传感器检测获得环境参数数据，用于环境监测和适应性控制。

通过获取和分析这些周围环境数据，自主移动设备可以对周围环境进行感知和理解，以便做出相应的决策和行动，从而实现安全、高效的自主导航和交互。

性能指标数据指的是自主移动设备在实时行驶过程中，各项性能表现的数据，这些数据能够实时反映自主移动设备的性能状态。比如，常见的性能指标数据包括速度、能耗、稳定性以及故障诊断数据等。其中，速度包括当前自主移动设备行驶的速度和加速度等，用于控制自主移动设备的运行状态。能耗包括当前自主移动设备行驶过程中的能量消耗和电池电量等信息，用于优化能源管理和延长自主移动设备的运行时间。稳定性包括自主移动设备在行驶过程中的行驶姿态和震动等信息，主要用于判断自主移动设备的稳定性和控制精度。故障诊断数据包括自主移动设备在行驶过程中产生的故障代码、传感器异常等信息，用于监测自主移动设备的运行状态。

能力边界包括自主移动设备安全行驶的至少一个性能边界和/或环境安全边界。这些能力边界可以基于自主移动设备的硬件和软件能力、环境条件以及安全考虑确定。

性能边界指的是自主移动设备在特定条件下能够处理和执行任务、功能的限制。比如，性能边界包括自主移动设备在行驶过程中的最大允许行驶速度、最大可承受负载以及可持续操作时间等。

环境安全边界指的是自主移动设备在特定环境中能够安全行驶的限制范围。比如，环境安全边界包括障碍物最小安全距离、温度可承受阈值、光照允许阈值等。

基于预设的能力边界，自主移动设备内置的控制系统能够实时获取当前行驶状态下周围环境数据和性能指标数据，并对其进行分析和处理，与预设的能力边界实时进行对比，根据不同的对比结果，自主移动设备内置的控制系统则执行不同的控制功能，以保障行驶安全。

S202：若自主移动设备违反目标能力边界，则根据目标能力边界对应的降级策略，控制自主移动设备进行降级操作。

在本步骤中，基于步骤S201，当自主移动设备实时获取周围环境数据和性能指标数据后，将对这些数据进行分析和处理，并与对应的能力边界进行实时对比。若自主移动设备违反了目标能力边界，则根据相应的降级策略来控制设备执行降级操作。

需要注意的是，能力边界可能有多个，只要检测到自主移动设备违反了至少一个能力边界，就会采取相应的降级策略。比如，针对自主移动设备A，预设的能力边界有3个，分别为能力边界1、能力边界2和能力边界3。在自主移动设备A实时行驶过程中，所获取的周围环境数据和性能指标数据经过分析和计算处理后，发现违反能力边界1，则自主移动设备A内置的控制系统则基于能力边界1对应的降级策略控制自主移动设备A进行降级操作。

可选的，自主移动设备内置的控制系统预先设置了不同的行驶策略等级，不同等级对应不同的自主移动设备行驶控制策略，这些策略包括各种参数和指令。在自主移动设备的行驶过程中，若违反了某个性能边界，则从当前高等级向下降级。其中，高等级的策略相比低等级的策略具有更高的决策能力，例如具有更高的速度、更强的自主变道能力以及更灵活的超车功能等。该种设置能够确保自主移动设备在各种行驶场景下都能够比较安全稳定地运行，并且根据具体情况做出最为合适的行驶决策。比如，当前车辆正以高级别自动驾驶模式行驶，需要变道以避开前方障碍物。自动驾驶系统会在检测周围交通状况后控制车辆进行自主变道操作。此时突然出现的快速接近车辆将导致变道操作存在风险。在这种情况下，自主驾驶系统会判断当前的自主变道能力是否超出了预设的性能边界。若超出了性能边界，自动驾驶系统则切换至低级模式，并通过声音警报或显示屏提示驾驶员自主变道存在风险，建议驾驶员接管控制。

具体的，降级策略指的是在自主移动设备违反目标能力边界时采取的控制措施，旨在减少潜在的行驶风险，确保自主行驶过程的安全性。比如，降级策略可以是降低自主移动设备的行驶速度、改变自主移动设备的行驶路线等。通过执行对应的降级策略，可以及时应对自主移动设备的异常情况，保障自主移动设备和周围环境的安全。

本实施例提供的基于自动驾驶的能力边界处理方法，能够根据实时获取的自主移动设备周围环境数据和性能指标数据，确定自主移动设备是否符合预先设定的安全行驶标准。其中，这些安全行驶标准是基于目标能力边界设定的。若自主移动设备未达标，即违反任一目标能力边界，则按照设定的降级策略对其进行控制操作。该处理方法能够及时检测和处理自主移动设备违反能力边界的行为，提高自主移动设备行驶过程的安全性，降低潜在事故发生。

图3为本申请提供的基于自动驾驶的能力边界处理方法实施例二的流程示意图。如图3所示，在上述实施例的基础上，该基于自动驾驶的能力边界处理方法的流程还包括：

S301：若在执行降级策略对应的降级操作后的第一预设时间段内，确定自主移动设备持续违反目标能力边界，则根据当前的性能指标数据和/或周围环境数据对降级策略进行调整，得到更新后的降级策略。

在本步骤中，基于步骤S202，在自主移动设备违反目标能力边界，根据目标能力边界对应的降级策略，控制自主移动设备进行降级操作后的第一预设时间段内，自主移动设备仍然持续违反目标能力边界，则需要根据当前的性能指标数据和/或周围环境数据对降级策略进行调整，得到更新后的降级策略。

其中，自主移动设备持续违反的程度分为时间维度和空间维度。时间维度指的是对应目标能力边界持续违反的时间长短，空间维度指的是自主移动设备在特定空间范围内持续违反目标能力边界的程度。比如，自主移动设备偏离指定的规划道路的次数、越过限定的区域的距离、无法正确识别交通信号的频率或次数、超过预设速度的范围等。

具体的，为了避免错误判断自主移动设备持续违反目标能力边界，需要设定一个具体的时间段。即在执行降级策略后的第一预设时间段内，只有当自主移动设备持续违反目标能力边界时，才能准确判断其需要调整降级策略。

在自主移动设备违反目标能力边界时，自主移动设备内置的控制系统在控制自主移动设备进行降级操作的同时，也实时获取和分析处理当前自主移动设备的性能指标数据和周围环境数据，继续检测当前自主移动设备是否违反至少一个能力边界。

若在执行降级策略对应的降级操作后的第一预设时间段内，自主移动设备未持续违反目标能力边界，则自主移动设备内置的控制系统无需做其他控制操作，只需继续检测当前自主移动设备是否违反至少一个能力边界。

若在执行降级策略对应的降级操作后的第一预设时间段内，确定自主移动设备还在持续违反目标能力边界，则根据当前的性能指标数据和/或周围环境数据对降级策略进行调整，得到更新后的降级策略。其中，自主移动设备内置的控制系统对降级策略进行调整时，将考虑最新的性能指标数据和/或周围环境数据，以更新降级策略，从而确保自主移动设备适应当前的行驶情况。在这一过程中，控制系统仅允许调整操作的限制值，而不会改变操作类型，从而保证自主移动设备在异常情况下稳定运行。

比如，当前自主移动设备超速行驶，原始的降级策略是在自主移动设备超速行驶时限制最大行驶速度为120公里每小时，在执行该降级策略后的一段时间段内，自主移动设备仍然持续超速，此时自主移动设备内置的控制系统则会根据最新的性能指标数据和周围环境数据对降级策略进行调整。比如，自主移动设备内置的控制系统会分析当前的道路条件、天气状况等因素，结合自动移动设备自身的状态（如偏离车道中心线程度等），决定是否需要进一步限制自主移动设备的行驶速度。例如，根据实时行驶情况，自主移动设备内置的控制系统可能会动态调整降级策略，将最大速度限制调整为适应当前行驶状况的数值，比如根据道路拥堵程度将行驶速度调整为80公里每小时，以确保自主移动设备安全行驶，避免发生安全事故。

S302：根据更新后的降级策略控制自主移动设备进行降级操作。

在本步骤中，基于步骤S301，根据当前的性能指标数据和/或周围环境数据对降级策略进行调整，得到更新后的降级策略后，则根据更新后的降级策略控制自主移动设备进行降级操作。

具体的，在执行更新后的降级策略时，自主移动设备内置的控制系统可能会通过控制自主移动设备的动力系统、制动系统或转向系统来实现降级策略的要求。比如，对于限制最大行驶速度的情况，自主移动设备内置的控制系统可能会调整引擎输出功率或制动力度，以确保自主移动设备按照更新后的降级策略规定的速度行驶。

对于限制转向和限制变道的情况，自主移动设备内置的控制系统通过调节转向系统来满足新的降级策略。它可以限制最大转向角度或转向速度，以降低转向幅度或速度，以确保自主移动设备符合更新后的降级策略对转向和变道的要求。

自主移动设备通过不断监测和分析最新数据，实时调整降级策略，以应对不同的情况并保障行驶安全。这种实时的降级策略调整能够提高自主移动设备的智能性和适应性，使其能够在各种情况下安全行驶。

图4为本申请提供的基于自动驾驶的能力边界处理方法实施例三的流程示意图。如图4所示，在上述任意一个实施例的基础上，该基于自动驾驶的能力边界处理方法的流程还包括：

S401：若在执行更新后的降级策略后的第二预设时间段内，确定自主移动设备持续违反目标能力边界，则控制自主移动设备执行目标能力边界对应的最小风险操作。

在本步骤中，基于步骤S302，若在执行更新后的降级策略后的第二预设时间段内，自主移动设备依旧持续违反目标能力边界，则控制自主移动设备执行目标能力边界对应的最小风险操作。

为避免错误判断自主移动设备在执行更新后的降级策略后持续违反目标能力边界，需要设定另一个具体的时间段。即在执行更新后的降级策略后的第二预设时间段内，只有当自主移动设备持续违反目标能力边界时，才能准确判断其需要执行最小风险操作。

可选的，为及时避免潜在危险，自主移动设备在执行更新后的降级策略时，其违反目标能力边界的时间应短于第一预设时间段，即第一预设时间段大于第二预设时间段。

其中，最小风险操作是指在自主移动设备持续违反目标能力边界后，进行的最安全的操作方式。最小风险操作包括减速行驶至停止状态、人工介入调整行驶方向、触发紧急制动系统等。

可选的，在设置最小风险操作时，可以为每个目标能力边界指定一个对应的最小风险操作，也可以为所有目标能力边界指定一个对应的最小风险操作。

具体的，当自主移动设备持续违反目标能力边界，自主移动设备内置的控制系统执行更新后的降级策略后依然没有改善的情况下，将控制自主移动设备执行目标能力边界对应的最小风险操作。其中，该措施的目的在于最大程度地减少潜在安全问题，确保自主移动设备和周围环境的安全。

比如，自主移动设备为一辆自动驾驶卡车，该自动驾驶卡车在山区道路上持续出现导航系统故障，无法准确识别道路状况和周围环境。在经过内置控制系统多次尝试更新和调整后，问题依然存在，此时控制系统将启动最小风险操作，如限制卡车的行驶速度至最低安全速度，并通过实时监测自动驾驶卡车的位置、行驶速度和方向，调整转向角度，控制卡车沿着事先规划好的最安全路线前进，避开急转弯或者窄小通道等危险区域，以确保自动驾驶卡车在安全范围内行驶。

再比如，自主移动设备是一架自主飞行器，该自主飞行器在执行任务过程中持续出现高温警报，内置的控制系统无法稳定控制飞行器温度。若在更新后的降级策略后依然未见改善，内置的控制系统可能会控制飞行器执行目标能力边界对应的最小风险操作，例如减少飞行高度、调整飞行速度或寻找最近的安全着陆点等。

若在经过一定时间的更新后的降级策略后，内置的控制系统仍发现自主移动设备持续违反目标能力边界，则将控制自主移动设备执行目标能力边界对应的最小风险操作。通过执行最小风险操作，内置的控制系统可以在自主移动设备出现持续问题时快速响应，确保自主移动设备以及周围环境的安全。

可选的，在上述任意一个实施例的基础上，根据实时获取到的自主移动设备的周围环境数据以及性能指标数据，确定自主移动设备是否违反预设的至少一个能力边界过程中，该能力边界包括至少一个性能边界和/或环境安全边界，其中，性能边界包括但不限于自主移动设备位置的帧间一致性阈值、自主移动设备速度的帧间一致性阈值、规划轨迹与道路中心线的偏离程度阈值、以及自主移动设备的纵向位置控制误差阈值；

环境安全边界包括但不限于雨量阈值、雪量阈值、温度阈值、光照强度阈值、以及弯道曲率半径阈值。

具体的，性能边界所包括的自主移动设备位置的帧间一致性阈值以及速度的帧间一致性阈值指的是在自主移动设备的行驶过程中，用于确保自主移动设备位置、速度变化的连贯性和逻辑性的一个预设标准，即在自主移动设备一系列连续的时间帧中，自主移动设备的位置变化、速度变化均需要保持在一个合理的范围内，以保证其行驶的连续性和准确性。其中，自主移动设备位置的帧间一致性一般通过方向变化速率、位置变化速率等参数来限定，即自主移动设备在相邻时间点之间行驶方向的变化速率和位置坐标的变化速率。基于方向变化率和位置变化速率可以确保自主移动设备在行驶过程中保持平稳，从而维持位置的帧间一致性。比如，自主移动设备位置的帧间一致性阈值设置为2米，那么自主移动设备在行驶过程中，相邻时间点的位置坐标之间的距离变化应该控制在2米以内。

自主移动设备的帧间一致性一般通过速度变化率、加速度变化率等参数来限定，即自主移动设备在相邻时间点之间速度的变化速率和加速度的变化速率等。比如，自主移动设备速度的帧间一致性阈值设置为0.5米/秒，那么在自主移动设备行驶过程中，相邻时间点的速度变化应该保持在0.5米/秒以内。

比如，一辆自动驾驶汽车正在行驶，它通过不断地感知和计算周围环境数据来确定自身位置，并作出相应的驾驶决策。在这个过程中，自动驾驶车辆位置的帧间一致性阈值以及速度的帧间一致性阈值保证了车辆位置以及速度的准确性。若自动驾驶车辆位置的帧间一致性以及速度的帧间一致性得不到保证，该车辆可能会在不同时间帧产生位置跳变或者速度跳变，导致行驶路径的不稳定性，影响驾驶安全。

规划轨迹与道路中心线的偏离程度阈值指的是在自主移动设备中，规划的行驶路线与道路中心线之间的距离差异程度。该性能边界用于衡量自主移动设备在实际运动过程中能否按照预先定义的轨迹准确行驶。通过监测规划轨迹与道路中心线的偏离程度，可以及时发现自主移动设备行驶过程中的偏差，并采取相应的校正措施，以确保自主移动设备安全、稳定地行驶。

自主移动设备的纵向位置控制误差阈值指的是自主移动设备在沿着行驶方向移动时，实际位置与预先定义的位置之间的误差量需要小于预设的阈值。该性能边界用于衡量自主移动设备纵向位置的控制精度和准确性。在车辆自动驾驶领域，该控制误差分为稳定跟车情况下的纵向位置控制误差和跟车距离较小、不稳定情况下的纵向位置控制误差两种。其中，跟车情况的确定基于跟车车辆之间的相对速度和加速度。一般情况下，当跟车车辆与前方车辆的速度和加速度接近时，被认为是稳定跟车。而当跟车车辆与前方车辆的速度和加速度相差较大，且跟车距离较小时，则可能存在不稳定情况。比如，在稳定跟车情况下，纵向位置控制误差为0.5米至1米范围内，以确保车辆与前车保持适当的安全距离。再比如，在跟车距离较小、不稳定情况下，纵向位置控制误差为0.2米至0.5米范围内，以避免车辆间发生碰撞。

环境安全边界所包括的雨量阈值、雪量阈值、温度阈值、光照强度阈值、以及弯道曲率半径阈值均为预先设定，用来界定行驶环境的安全范围。其中，对于雨量值和雪量值，预先设定了特定的阈值，一旦检测到当前环境中对应指标值超过这些阈值，则表示环境中的降水或降雪量已经达到了一定程度，可能会影响道路的湿滑程度或积雪深度，从而影响自主移动设备的行驶安全性。

温度值的阈值预先设定用来指示环境的温度范围。高温或低温的环境都可能对自主移动设备的运行和性能产生影响，因此设定温度值的阈值有助于提前预警可能出现的问题。

光照强度的阈值设定帮助判断环境的光照条件，以便自主移动设备能够根据不同的光照情况做出相应的调整，保证视觉传感器的正常工作以及安全行驶。比如，连续20秒的环境光照强度均低于50勒克斯。

弯道曲率半径的阈值设定则用来判断道路的曲率情况，不同的曲率半径可能需要不同的车速或转向操作，因此预先设定阈值有助于自主移动设备在行驶过程中更好地适应道路情况。

本实施例中，主要对能力边界所包括的性能边界和环境安全边界进行详细说明。该能力边界涵盖了对自主移动设备操作的限制和安全范围，旨在确保自主移动设备在各种情况下能够有效运行并保持安全性，从而降低事故发生的可能性。

可选的，在上述任意一个实施例的基础上，自主移动设备在违反目标能力边界后，根据目标能力边界对应的降级策略，控制自主移动设备进行降级操作。其中，该降级策略包括以下控制方案中的至少一个：

通过限速控制降级；通过抑制自主移动设备变道控制降级；通过限制横向轨迹规划控制降级；推送安全提示，以使用户控制自主移动设备降级。

具体的，通过限速控制降级指的是在检测到当前自主移动设备的行驶速度超过预先设定的性能边界时，通过减慢自主移动设备的行驶速度确保行驶安全的降级策略。其中，执行限速的方法可以包括调整控制参数、限制功率输出、使用减速装置、改变转动比等。

通过抑制自主移动设备变道控制降级指的是阻止自主移动设备在道路上进行变道操作。比如，在临近路口、过弯处或者施工区域时，自主移动设备需要执行抑制变道操作，避免造成危险。

通过限制横向轨迹规划控制降级指的是对自主移动设备横向移动轨迹的规划进行限制或者调整。该控制可以用于避免碰撞、维持自主移动设备稳定性等。比如，一辆自动驾驶汽车需要通过狭窄的道路时，控制系统可能会实施限制横向轨迹规划控制，以确保车辆不会偏离道路或与路边障碍物相撞。比如，当车辆偏离道路中心线时，控制系统可以通过调整转向角度或者施加侧向力来使车辆重新回到正确的行驶轨迹上。

推送安全提示，以使用户控制自主移动设备降级指的是控制系统告知驾驶员当前系统的状态，请驾驶员集中注意力，控制自主移动设备。比如，当前方的障碍物或其他自主移动设备与本自主移动设备距离过近时，控制系统可以通过声音、震动或者显示屏上的警告信息来提醒驾驶员注意保持安全距离或者采取避让行动。本实施例中，主要详细介绍降级操作的具体内容。在自主移动设备违反目标能力边界后，控制系统则基于目标能力边界对应的至少一个降级策略，实施降级操作，从而增强自主移动设备的稳定性，有效规避潜在的危险区域和复杂交通状况。

可选的，在上述任意一个实施例的基础上，若在执行更新后的降级策略后的第二预设时间段内，确定自主移动设备持续违反目标能力边界，则控制自主移动设备执行目标能力边界对应的最小风险操作过程中，该最小风险操作包括以下至少一种操作：

限制自主移动设备加速；限制变换移动方向；控制自主移动设备滑行至停止状态；控制自主移动设备匀减速至停止状态；控制自主移动设备靠边停止状态。

具体的，限制自主移动设备加速指的是在自主移动设备持续违反目标能力边界时，控制系统则基于实际情况限制自主移动设备执行加速操作，从而保证自主移动设备的行驶安全。

限制变换移动方向指的是在自主移动设备违反目标能力边界时，控制系统阻止其随意改变行驶方向，以确保安全行驶和避免事故发生。比如，一架无人机正在执行任务，在飞行过程中需要绕过一个高楼大厦，为了最小化碰撞风险，飞行控制系统会限制无人机变换移动方向的范围，以确保其不会靠近该建筑物。又例如，自动驾驶车辆在车流较大或路况不好的情况下，自动驾驶系统可以限制车辆变道，以降低碰撞风险。

控制自主移动设备滑行至停止状态指的是在自主移动设备持续违反目标能力边界时，控制系统基于实际情况限制自主移动设备执行加速或者其他操作，控制自主移动设备滑行至停止状态。比如，一个自主移动小车在行驶过程中突然检测到前方有障碍物，但由于某种原因导致其持续加速而无法及时停下来。在这种情况下，控制系统会介入，限制小车的加速操作，同时引导小车逐渐减速直至完全停止，以避免与障碍物碰撞造成损坏或者安全问题。

控制自主移动设备匀减速至停止状态指的是控制系统控制自主移动设备在一定时间内以相对均匀的速率逐渐减慢运动直至完全停止的过程。假设一辆自动驾驶汽车在道路上行驶，在检测到前方有红灯或者障碍物需要停车时，控制系统会启动匀减速至停止状态的程序。汽车会以相对均匀的速率逐渐减慢速度，直到完全停止在合适的位置上。该方式可以确保车辆停车过程稳定平滑，避免急刹车导致车辆失控。

控制自主移动设备靠边停止状态指的是控制系统控制自主移动设备在运行过程中，将自身移动到道路或者区域的一侧，确保自身停放在安全合适的位置上。该方式主要用于道路紧急情况、停车等待或者临时停靠的场景中，旨在保障行车安全。

应理解，以上最小风险操作之间可以进行叠加。比如，在限制自主移动设备加速的同时限制变换移动方向。

本实施例中，主要介绍最小风险操作的具体内容。在自主移动设备持续违反目标能力边界时，执行最小风险操作，能够保障行车安全，提高用户体验感。

图5为本申请提供的基于自动驾驶的能力边界处理方法实施例四的流程示意图。如图5所示，在上述任意一个实施例的基础上，根据实时获取到的自主移动设备的周围环境数据以及性能指标数据，确定自主移动设备是否违反预设的至少一个能力边界之前，该基于自动驾驶的能力边界处理方法的流程还包括：

S501：响应于用户的预期功能安全配置操作，获取自主移动设备行驶过程中的至少一个能力边界，每个能力边界对应的降级策略以及最小风险操作，至少一个能力边界是基于安全分析方法以及自主移动设备测试实验确定的。

在本步骤中，当基于实时获取到的自主移动设备的周围环境数据以及性能指标数据，确定自主移动设备是否违反预设的至少一个能力边界之前，自主移动设备内置的控制系统需要预先响应用户的预期功能安全配置操作，实时获取自主移动设备行驶过程中的至少一个能力边界，以及每个能力边界对应的降级策略以及最小风险操作。

具体的，至少一个能力边界是基于安全分析方法以及自主移动设备测试实验确定的。其中，安全分析方法可以包括威胁建模和攻击路径分析等。通过这些方法，可以识别出自主移动设备在不同场景下可能面临的各种威胁和攻击路径，从而确定其能力边界。比如，采用因果决策树分析方法，识别出性能局限和触发条件。其中，性能局限和触发条件是确定能力边界的前提。具体的，性能局限是指自主移动设备在特定条件下所存在的功能上的限制或者不足，而触发条件是指导致性能局限发生的特定情况。

比如，一台自动化机器人用于在室外运送货物。为了确定该自动化机器人在负载方面的能力边界，通过设置不同重量的物体对其进行测试。经过测试和验证，该自动化机器人所能承受的最大重量为10千克，即性能局限。而当超过10千克时，该自动化机器人的部分零部件可能会出现变形，从而对其结构完整性和稳定性造成损害。因此，该自动化机器人在负载方面的能力边界是最大可承受重量为10千克。同理，为了确定该自动化机器人在温度方面的能力边界，则在不同温度条件下对其进行测试。经过测试和验证，该自动化机器人可承受的最高温度为40摄氏度。而当超过40摄氏度时，该自动化机器人内部的电子元件会出现过热问题，进而引发电路故障。因此，该自动化机器人在温度方面的能力边界是最高可承受温度为40摄氏度。图6为本申请提供的基于因果决策树识别车辆性能局限和触发条件示意图。如图6所示，该因果决策树中所识别出的性能局限包括感知漏检前方车辆601、感知前方车辆速度不准602。触发条件包括恶劣天气603和前方车辆停止604。产生的危害为丢失制动605。

其中，在恶劣天气603条件下，无法准确地察觉或检测到前方的车辆。这可能是因为能见度不佳、雨雪等恶劣天气影响了控制系统对前方道路情况的感知，导致无法及时发现或识别前方的车辆，即感知漏检前方车辆601。

在前方车辆停止604条件下，控制系统难以准确感知前方车辆的速度。因为前方车辆没有运动，缺乏速度变化的参考，可能导致控制系统难以准确判断前方车辆的运行速度，即感知前方车辆速度不准602。

基于恶劣天气603条件或者前方车辆停止604条件，可能导致控制系统在必要时未能及时采取制动措施，即丢失制动605，从而发生潜在安全问题。

自主移动设备测试实验主要是基于实际行驶场景，通过预定义的测试场景来收集与能力边界相关的实验数据，并对自主移动设备在正常和异常情况下的数据进行统计分析，从而确定其正常和异常状态下的能力边界。

在确定了能力边界后，需要为每个能力边界制定相应的降级策略。降级策略是指在自主移动设备超出其能力边界时，采取的相应措施以减少潜在的风险。这些措施可以包括限制自主移动设备的功能或性能，切换到备用系统，或者启动紧急停车等。

此外，在确定降级策略时，还需要考虑最小风险操作。最小风险操作是指在自主移动设备超出能力边界后，进行的最安全的操作方式。通过最小风险操作，可以最大程度地减少潜在的危险和损失。例如，在自动驾驶汽车超出其能力边界时，最小风险操作可能是尽快将控制权交还给驾驶员或者停车在安全地点等。

S502：根据至少一个能力边界，每个能力边界对应的降级策略以及最小风险操作，配置自主移动设备在自动驾驶过程中进行能力边界检测和处理。

在本步骤中，基于步骤S501，响应于用户的预期功能安全配置操作，获取自主移动设备行驶过程中的至少一个能力边界，以及每个能力边界对应的降级策略以及最小风险操作后，则根据至少一个能力边界，每个能力边界对应的降级策略以及最小风险操作，配置自主移动设备在自动驾驶过程中进行能力边界检测和处理。

具体的，自主移动设备在自动驾驶过程中，可以根据预先配置的代码模块进行能力边界的检测和处理，以确保行驶安全。当正在行驶过程中的自主移动设备内置的控制系统基于实时检测的周围环境数据和性能指标数据，并借助代码模块计算得出性能数据后，一旦发现该数据接近或者触及某个能力边界，控制系统则立即采取相应的措施，比如降低自主移动设备的行驶速度、调整行驶路线、改变行驶模式或者发出警告信号等。具体采取措施的类型需要基于触及的目标能力边界对应的降级策略和最小风险操作。

举例来说，自主移动设备为自动驾驶汽车。当该自动驾驶汽车在行驶过程中检测到路面突然结冰时，自动驾驶汽车的控制系统则会识别该情况作为一个违反能力边界的场景，并根据预先设定的降级策略和最小风险操作来处理。比如，自动驾驶汽车配置的控制系统可能会立即降低车速，调整车辆的操控方式以确保更好地抓地力，或者甚至触发紧急制动系统以尽快减速停车。这些操作都是为了应对突发的路况并确保车辆在能力边界内安全行驶。

本实施例提供的基于自动驾驶的能力边界处理方法，通过及时识别和处理各种能力边界，可以帮助自主移动设备在各种复杂环境下安全地运行，这体现了预期功能安全配置操作的重要性，保证自主移动设备在各种行驶状况时都能够做出正确的响应。

图7为本申请提供的基于自动驾驶的能力边界处理方法实施例五的流程示意图。如图7所示，在上述任意一个实施例的基础上，响应于用户的预期功能安全配置操作，获取自主移动设备行驶过程中的至少一个能力边界之前，该基于自动驾驶的能力边界处理方法的流程还包括：

S701：基于预先定义的测试场景集合中的每个测试场景，对自主移动设备进行仿真测试和/或实际测试，记录每个时刻的性能指标数据、周围环境数据、以及发生横向危害和/或纵向危害时用户接管控制的时间戳。

在本步骤中，基于步骤S501，响应于用户的预期功能安全配置操作，获取自主移动设备行驶过程中的至少一个能力边界之前，需要基于预先定义的测试场景集合中的每个测试场景，对自主移动设备进行仿真测试和/或实际测试，记录每个时刻的性能指标数据、周围环境数据、以及发生横向危害和/或纵向危害时用户接管控制的时间戳。

具体的，自主移动设备的预期功能安全配置操作需要有实际的数据支撑，故在对自主移动设备进行预期功能安全配置操作之前，根据不同的测试场景，可以选择进行仿真测试和实际测试中的任意一种，或者二者结合进行。其中，测试场景为包含触发各种能力边界的测试场景集合。在进行仿真测试和/或实际测试之前，需要将性能指标计算的代码预先部署至自主移动设备配置的控制系统中，保证在测试开始后能够进行性能指标的实时计算和统计。

仿真测试方法便捷高效，便于复现实际测试较为危险的场景，但仿真测试结果的置信度低于实际测试。实际测试结果的置信度较高，但测试成本较高，测试效率较低。因此，本申请将仿真测试和实际测试进行关联，即先基于仿真测试进行大量测试收敛出“近似的性能边界”，再基于实际测试对仿真测试结果进行验证，并明确最终性能边界。

在仿真测试中，基于虚拟现实技术，模拟自主移动设备各种复杂的行驶情境，如高速公路、城市道路、恶劣天气等，以判断自主移动设备在虚拟环境中的表现。同时，利用实际测试，在真实道路交通环境中对自主移动设备进行测试，以获取真实世界的数据和性能指标。

在测试的过程中，每个时刻的性能指标数据、周围环境数据以及发生横向危害和/或纵向危害时用户接管控制的时间戳将被实时记录，以全面判断自主移动设备在各种场景下的运行表现。其中，横向危害行为包括偏离行驶道路，压线行驶和道路内画龙等。纵向危害行为包括丢失制动、制动不足和制动过晚等。通过对不同测试场景下的仿真测试和实际测试，可以获取详细的数据支持，为预期功能安全配置操作提供可靠依据。

比如，假设要测试一辆自动驾驶汽车在城市道路上的行驶性能。首先，测试场景需要预先定义，例如测试场景为日间行驶、夜间行驶、雨天行驶、晴天行驶、交通拥堵以及交通稀少等。接着，基于预先定义的测试场景，对自动驾驶汽车进行仿真测试和实际测试。

在仿真测试中，使用计算机模拟软件模拟各种道路和环境条件，让自动驾驶汽车在虚拟环境中进行行驶，以判断其在不同情况下的表现。同时，自动驾驶汽车在虚拟环境中进行行驶时，将实时记录每个时刻的性能指标数据和周围环境数据。

在实际测试中，自动驾驶汽车被放置在真实道路上，让其在实际交通环境中进行行驶。在行驶过程中，则实时记录汽车在不同测试场景下的性能表现，并在发生横向或纵向危害时记录用户接管控制的时间戳，以便分析和改进系统的安全性能。

通过这些仿真测试和实际测试，便可获得自动驾驶汽车在各种情况下的运行情况，为确保其安全运行提供数据支持，并为制定预期功能安全配置操作提供依据。

S702：根据每个时刻的性能指标数据、周围环境数据、以及发生横向危害和/或纵向危害时用户接管控制的时间戳进行统计分析，确定出至少一个能力边界。

在本步骤中，基于步骤S701，根据预先定义的测试场景集合中的每个测试场景，对自主移动设备进行仿真测试和实际测试后，则对每个时刻的性能指标数据、周围环境数据、以及发生横向危害和/或纵向危害时用户接管控制的时间戳进行统计分析，确定出至少一个能力边界。

具体的，结合是否发生危害行为和用户接管，将性能指标统计值分为无危害行为及接管下的指标计算值和有危害行为或接管下的指标计算值，并去除明显不合理的离群点统计值。其中，明显不合理的离群点统计值的去除可以基于先验经验，预先定义数据的合理区间，并去除超出合理区间的异常数据。

基于无危害行为及接管下的指标计算值，计算其均值和标准差，并基于高斯分布的“2sigma原则”得出置信度为95.44%的初始能力边界，然后基于有危害行为或接管下的指标计算值对初始边界进行修正，进而得出自主移动设备在触发条件下的能力边界。

可选的，在确定能力边界时，还可以预先采用数据可视化分析工具对每个时刻的性能指标数据、周围环境数据、以及发生横向危害和/或纵向危害时用户接管控制的时间戳数据进行可视化，观察数据的分布和异常情况。针对异常数据的处理，根据其类型选择相应的方法。比如，对于明显的错误或异常情况导致的异常数据，执行删除操作。对于轻微或可修复的异常数据，使用插值或修复技术替代异常值。对于无法修复或需要特殊处理的异常数据，将其标记为异常值。接着将经过预处理的数据输入深度神经网络模型，初步确定自主移动设备的能力边界。然后，使用确定的能力边界进行验证测试，检验自主移动设备在能力边界情景下的表现。根据验证结果对模型进行优化，不断完善和调整能力边界的定义，从而确定自主移动设备的能力边界。

本实施例提供的基于自动驾驶的能力边界处理方法，主要说明如何确认和量化触发条件下的自主移动设备的能力边界。具体的，通过对每个预定义的测试场景进行仿真测试和实际测试，可以确定至少一个能力边界。该方法可以提前识别出潜在的安全风险和控制系统局限，并为制定相应的安全策略和改进措施提供重要依据。同时，安全分析及测试验证相结合的方式，详细梳理性能局限及性能边界，避免仅通过专家经验，导致性能局限分析不完备，从而可以更好地规划和管理自主移动设备的运行范围，确保其在实际应用中能够安全可靠地运行。

在一种可能的实现方式中，图8为本申请提供的一种基于自动驾驶的能力边界处理方法整体流程示意图。如图8所示，该基于自动驾驶的能力边界处理方法整体流程如下：

S801：开始；

S802：预定义性能局限的降级和最小风险操作；

具体的，性能局限的降级和最小风险操作是基于风险再平衡原则预定义的。其中，风险再平衡原则指的是在自主移动设备面临风险时，通过重新评估和调整策略，以最小化负面影响并确保自主移动设备能够继续正常运行的原则。该原则强调在风险情况下灵活应对，及时采取措施重新平衡风险，以确保最小化潜在的负面影响。

在应用风险再平衡原则时，控制系统会评估性能边界和触发条件的违反程度，违反程度越大，风险越高。同时，还会预估事故的严重度以及驾驶员的可控性（预计偏离车道的时间，即时碰撞时间）。碰撞严重度越大，风险也越高。而驾驶员的可控性时间越短，表示驾驶员越不可控，风险也随之升高。根据风险水平，控制系统会执行相应的降级策略和最小风险操作。比如，控制系统可能会调整某些功能的性能边界或增强安全措施，以确保系统稳定性和用户安全。而在面对高风险时，控制系统会选择最小风险操作，最大程度地减少潜在损失，并确保系统在极端情况下仍然有效运行。

举例来说，在正常行驶中，自主移动设备A遇到紧急变道的自主移动设备B。此时自主移动设备A的控制系统需要在避免与自主移动设备B相撞和保证用户安全之间进行权衡。根据风险再平衡原则，控制系统将综合考虑事故严重度以及驾驶员可控性。具体的，在事故严重度方面，若与自主移动设备B相撞可能导致严重事故，包括人员伤亡或设备损坏，控制系统将其视为高风险事件。在驾驶员可控性方面，控制系统判断自主移动设备A是否有足够时间和资源来避免与自主移动设备B相撞。综合以上因素，控制系统可能会指示自主移动设备A立即采取紧急避让措施，以减少事故的发生可能性。

S803：性能边界或触发条件违反；

具体的，自主移动设备在行驶过程中，在线检测预定义的自动驾驶系统性能指标及触发条件是否违反。若未违反，则执行步骤S809；若违反，则执行步骤S804。

S804：实施离线预定义的性能局限的降级或最小风险操作；

S805：性能边界或触发条件持续违反且系统正实施降级操作；

具体的，在系统实施降级操作的过程中，持续检测对应的性能边界或触发条件是否在持续违反。若持续违反，则执行步骤S806；若未违反，则执行步骤S809。

S806：在线调整降级策略；

S807：性能边界或触发条件持续违反；

具体的，在执行在线调整策略后，需要继续检测性能边界或触发条件是否持续违反。若违反，则执行步骤S808；若未违反，则执行步骤S809。

S808：实施最小风险操作；

S809：结束。

通过基于性能指标在线调整降级策略的具体措施，能够在保证安全的前提下，尽可能的实现风险和能力的再平衡，从而提高自动驾驶的可用性，真正使自动驾驶系统达到“性能边界以内放心用”，“性能边界附近谨慎用”，“性能边界之外不能用”的效果。

图9为本申请提供的一种基于自动驾驶的能力边界处理装置实施例一的结构示意图。如图9所示，该基于自动驾驶的能力边界处理装置900包括：

第一处理模块901，用于根据实时获取到的自主移动设备的周围环境数据以及性能指标数据，确定自主移动设备是否违反预设的至少一个能力边界，至少一个能力边界包括自主移动设备安全行驶的至少一个性能边界和/或环境安全边界；

第二处理模块902，用于若自主移动设备违反目标能力边界，则根据目标能力边界对应的降级策略，控制自主移动设备进行降级操作。

可选的，第二处理模块902还用于：

若在执行降级策略对应的降级操作后的第一预设时间段内，确定自主移动设备持续违反目标能力边界，则根据当前的性能指标数据和/或周围环境数据对降级策略进行调整，得到更新后的降级策略；

根据更新后的降级策略控制自主移动设备进行降级操作。

可选的，第二处理模块902还用于：

若在执行更新后的降级策略后的第二预设时间段内，确定自主移动设备持续违反目标能力边界，则控制自主移动设备执行目标能力边界对应的最小风险操作。

可选的，能力边界包括：

至少一个性能边界和/或环境安全边界，其中，性能边界包括自主移动设备位置的帧间一致性阈值、自主移动设备速度的帧间一致性阈值、规划轨迹与道路中心线的偏离程度阈值、以及自主移动设备的纵向位置控制误差阈值；

环境安全边界包括雨量阈值、雪量阈值、温度阈值、光照强度阈值、以及弯道曲率半径阈值。

可选的，降级策略包括以下控制方案中的至少一个：

通过限速控制降级；

通过抑制自主移动设备变道控制降级；

通过限制横向轨迹规划控制降级；

推送安全提示，以使用户控制自主移动设备降级。

可选的，最小风险操作包括以下至少一种操作：

限制自主移动设备加速；

限制变换移动方向；

控制自主移动设备滑行至停止状态；

控制自主移动设备匀减速至停止状态；

控制自主移动设备靠边停止状态。

本实施例提供的基于自动驾驶的能力边界处理装置，可以用于执行前述任一方法实施例中基于自动驾驶的能力边界处理方法，其实现原理和技术效果类似，在此不再赘述。

图10为本申请提供的一种基于自动驾驶的能力边界处理装置实施例二的结构示意图。如图所示，该基于自动驾驶的能力边界处理装置900还包括：

获取模块903，用于响应于用户的预期功能安全配置操作，获取自主移动设备行驶过程中的至少一个能力边界，每个能力边界对应的降级策略以及最小风险操作，至少一个能力边界是基于安全分析方法以及自主移动设备测试实验确定的。

配置模块904，用于根据至少一个能力边界，每个能力边界对应的降级策略以及最小风险操作，配置自主移动设备在自动驾驶过程中进行能力边界检测和处理。

第三处理模块905，用于基于预先定义的测试场景集合中的每个测试场景，对自主移动设备进行仿真测试和/或实际测试，记录每个时刻的性能指标数据、周围环境数据、以及发生横向危害和/或纵向危害时用户接管控制的时间戳；

根据每个时刻的性能指标数据、周围环境数据、以及发生横向危害和/或纵向危害时用户接管控制的时间戳进行统计分析，确定出至少一个能力边界。

本实施例提供的基于自动驾驶的能力边界处理装置，可以用于执行前述任一方法实施例中基于自动驾驶的能力边界处理方法，其实现原理和技术效果类似，在此不再赘述。

图11为本申请提供的基于自动驾驶的能力边界处理自主移动设备的结构示意图。如图11所示，该自主移动设备具体可以包括接收器1100、发送器1101、处理器1102以及存储器1103。其中，上述接收器1100和发送器1101用于实现自主移动设备与控制系统之间的数据传输，上述存储器1103存储计算机执行指令；上述处理器1102执行上述存储器1103存储的计算机执行指令，以实现上述实施例中的基于自动驾驶的能力边界处理方法。

本实施例提供一种计算机可读存储介质，计算机可读存储介质中存储有计算机执行指令，计算机执行指令被处理器执行时用于实现上述实施例中的基于自动驾驶的能力边界处理方法。

本实施例还提供一种计算机程序产品，包括计算机程序，计算机程序被处理器执行时实现上述任意一个实施例提供的基于自动驾驶的能力边界处理方法。

最后应说明的是：以上各实施例仅用以说明本申请的技术方案，而非对其限制；尽管参照前述各实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本申请各实施例技术方案的范围。

Claims (11)

1.一种基于自动驾驶的能力边界处理方法，其特征在于，应用于自主移动设备，所述方法包括：

根据实时获取到的所述自主移动设备的周围环境数据以及性能指标数据，确定所述自主移动设备是否违反预设的至少一个能力边界，所述至少一个能力边界包括自主移动设备安全行驶的至少一个性能边界和/或环境安全边界；

若所述自主移动设备违反目标能力边界，则根据所述目标能力边界对应的降级策略，控制所述自主移动设备进行降级操作。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若在执行所述降级策略对应的降级操作后的第一预设时间段内，确定所述自主移动设备持续违反所述目标能力边界，则根据当前的性能指标数据和/或周围环境数据对所述降级策略进行调整，得到更新后的降级策略；

根据所述更新后的降级策略控制所述自主移动设备进行降级操作。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

若在执行所述更新后的降级策略后的第二预设时间段内，确定所述自主移动设备持续违反所述目标能力边界，则控制所述自主移动设备执行所述目标能力边界对应的最小风险操作。

4.根据权利要求1至3任一项所述的方法，其特征在于，所述能力边界包括：

至少一个性能边界和/或环境安全边界，其中，

所述性能边界包括自主移动设备位置的帧间一致性阈值、自主移动设备速度的帧间一致性阈值、规划轨迹与道路中心线的偏离程度阈值、以及自主移动设备的纵向位置控制误差阈值；

所述环境安全边界包括雨量阈值、雪量阈值、温度阈值、光照强度阈值、以及弯道曲率半径阈值。

5.根据权利要求1至3任一项所述的方法，其特征在于，所述降级策略包括以下控制方案中的至少一个：

通过限速控制降级；

通过抑制自主移动设备变道控制降级；

通过限制横向轨迹规划控制降级；

推送安全提示，以使用户控制自主移动设备降级。

6.根据权利要求3所述的方法，其特征在于，所述最小风险操作包括以下至少一种操作：

限制自主移动设备加速；

限制变换移动方向；

控制自主移动设备滑行至停止状态；

控制自主移动设备匀减速至停止状态；

控制自主移动设备靠边停止状态。

7.根据权利要求1至3任一项所述的方法，其特征在于，所述根据实时获取到的所述自主移动设备的周围环境数据以及性能指标数据，确定所述自主移动设备是否违反预设的至少一个能力边界之前，所述方法还包括：

响应于用户的预期功能安全配置操作，获取自主移动设备行驶过程中的至少一个能力边界，每个能力边界对应的降级策略以及最小风险操作，所述至少一个能力边界是基于安全分析方法以及自主移动设备测试实验确定的；

根据所述至少一个能力边界，每个能力边界对应的降级策略以及最小风险操作，配置所述自主移动设备在自动驾驶过程中进行能力边界检测和处理。

8.根据权利要求7所述的方法，其特征在于，所述响应于用户的预期功能安全配置操作，获取自主移动设备行驶过程中的至少一个能力边界之前，所述方法还包括：

基于预先定义的测试场景集合中的每个测试场景，对所述自主移动设备进行仿真测试和/或实际测试，记录每个时刻的性能指标数据、周围环境数据、以及发生横向危害和/或纵向危害时用户接管控制的时间戳；

根据每个时刻的性能指标数据、周围环境数据、以及发生横向危害和/或纵向危害时用户接管控制的时间戳进行统计分析，确定出所述至少一个能力边界。

9.一种自主移动设备，其特征在于，包括：处理器，以及与所述处理器通信连接的存储器；

所述存储器存储计算机执行指令；

所述处理器执行所述存储器存储的计算机执行指令，以实现如权利要求1至8任一项所述的基于自动驾驶的能力边界处理方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机执行指令，当所述计算机执行指令被处理器执行时用于实现如权利要求1至8任一项所述的基于自动驾驶的能力边界处理方法。

11.一种计算机程序产品，其特征在于，包括计算机程序，该计算机程序被处理器执行时实现如权利要求1至8任一项所述的基于自动驾驶的能力边界处理方法。