CN111665849B - 一种自动驾驶系统 - Google Patents

Abstract

本发明提供了一种自动驾驶系统，包括：第一处理单元，获取当前位置信息和第一障碍物信息，生成第一决策结果信息，并且获取状态信息；第二处理单元，获取第二障碍物信息、转向信息和速度信息，生成第二决策结果信息；将每个状态信息与预设机制进行比较，当任一状态信息与预设机制中的全部信息均不同，且当第一决策结果信息和第二决策结果信息的差值在预设阈值内时，将第一决策结果信息标记为第一可信信息并存储；当第一决策结果信息和第二决策结果信息的差值不在预设阈值内时，根据已存储的第二可信信息和第二决策结果信息进行规划停车，提高了自动驾驶系统的安全性。

Description

一种自动驾驶系统

技术领域

本发明涉及自动驾驶系统设计领域，尤其涉及一种自动驾驶系统。

背景技术

随着无人车算法、理论及信息技术的快速发展，自动驾驶已经逐渐从实验室走向产业界。感知、定位、决策、控制、软件架构等自动驾驶的核心技术领域不断有新方法被提出。新的软件算法与架构拓展了能力边界的同时，对自动驾驶安全提出重大挑战。

传统的汽车电子电气系统通过功能安全体系，比如ISO26262确保安全。该体系要求设计者针对系统软硬件的所有潜在失效情况进行分析，并且提出相应的处理机制。然而，L3及更高级自动驾驶系统由于如下原因无法应用功能安全设计体系。

首先，由于算法原理，难以对深度学习等算法的潜在失效点进行有效分析和约束，而这些算法往往是L3及更高等级自动驾驶系统的关键算法。

其次，自动驾驶系统必须能够应对复杂路况，目前很难按照功能安全体系对所有自动驾驶系统需要应对的场景进行穷举与失效分析。

再次，为了适配复杂算法，高等级自动驾驶系统通常采用支持多核的计算平台、操作系统及支持层软件，进一步增加了系统复杂度，导致无法对所有潜在问题进行分析与处理。

最后，高等级自动驾驶算法代码量远高于传统汽车电子软件，对其进行功能安全认证的成本也相应增加。

因此，传统的功能安全体系难以应用于L3及更高等级的自动驾驶系统。

为了解决传统的功能安全体系所存在的问题，现有技术中,一般主要有以下几个类型。

冗余系统方案，主要指采用两套或者多套自动驾驶系统同时进行计算，通过比较计算结果来判断是否具有计算错误并做出决策。该方案需要车端部署一套主自动驾驶系统；在云端或者车端再部署一套或多套从系统。如果主从系统的计算结果差值在阈值之内，则按照主系统计算结果控制车辆；如果在阈值之外，则控制车辆停车或者尽快驶离驾驶环境，进入安全环境后停车。

决策与控制系统互相监督方案，主要指将自动驾驶系统分为感知与决策子系统和控制子系统，并分别部署于不同的域控制器。两者之间通过控制器局域网络CAN总线或者以太网总线进行通信，并且两者互相进行监督。具体到监督手段，一般通过心跳信息进行：如果本地系统运行正常，则向对方发送心跳。如果感知与决策子系统出现问题，则控制子系统立即停车；如果控制子系统出现问题，则感知与决策系统通过声光进行警告。

但是，现有技术中的方案存在如下问题：

针对冗余系统方案，首先，如果主从系统采用相同的算法，则无法避免算法失效问题；其次，如果主从系统采用不同算法，则要求两套系统、不同算法始终保证较小的误差，如何在多系统计算差值与避免算法失效之间权衡为系统设计提出挑战；再次，主从算法如果采用相同的传感器方案，则可能受到传感器单点失效的影响，同时对传感器安全没有提出要求。最后，如果冗余系统部署在云端，每次系统计算需要等待云端结果返回，增加了处理延迟和依赖。此外，该方法没有针对功能安全的实施提出解决思路。

决策与控制系统互相监督方案有如下问题。首先，感知与决策子系统是否正常工作由自身判断，只要其正常发送心跳则会被执行，导致整个系统安全性受限于感知与决策子系统，无法达到功能安全标准；其次，控制子系统可以通过毫米波和超声波识别一些风险，但是其无法针对感知与决策子系统的每个可能失效点提供措施。再次，由于毫米波和超声波的感知能力有限，一旦感知与决策子系统失效，仅凭控制系统无法在复杂的环境实现安全停车；最后，即使后续技术得到突破，感知与决策子系统可以达到功能安全，其认证成本也较高。

发明内容

本发明实施例的目的是提供一种自动驾驶系统，该自动驾驶系统包括第一处理单元和第二处理单元。第一处理单元实现自动驾驶功能，第二处理单元对第一处理单元进行故障监测，并在第一处理单元运行状态正常时，进行可信标记，在第一处理单元故障时，第二处理单元可以进行规划停车，以使自动驾驶系统实现功能安全。

为解决上述问题，本发明提供了一种自动驾驶系统，所述自动驾驶系统包括：

第一处理单元，包括第一定位模块、第一感知模块、第一决策模块和第一状态监控模块；所述第一定位模块与定位传感器相连接，用于获取当前位置信息；所述第一感知模块与第一类型传感器相连接，用于获取第一类型传感器测量的第一感知信息，并对所述第一感知信息进行处理，得到第一障碍物信息；所述第一决策模块对所述第一障碍物信息和所述当前位置信息进行处理，生成第一决策结果信息；所述第一状态监控模块，用于获取所述第一感知模块、第一定位模块和第一决策模块的状态信息；

第二处理单元，所述第二处理单元和所述第一处理单元相连接，包括第二感知模块、安全控制模块、第二决策模块和安全监控模块；所述第二感知模块和第二类型传感器相连接，用于获取第二类型传感器测量的第二感知信息，并对所述第二感知信息进行处理，得到第二障碍物信息；所述安全控制模块与底层执行器相连接，用于获取底层执行器反馈的转向信息和速度信息；所述第二决策模块对所述第二障碍物信息、所述转向信息和所述速度信息进行处理，生成第二决策结果信息；所述安全监控模块，用于将每个所述状态信息与预设机制进行比较，当任一所述状态信息与所述预设机制中的全部信息均不同，且当所述第二决策模块确定所述第一决策结果信息和所述第二决策结果信息的差值在预设阈值内时，所述第二决策模块将所述第一决策结果信息标记为第一可信信息并存储；当所述第一决策结果信息和所述第二决策结果信息的差值不在预设阈值内时，根据已存储的第二可信信息和所述第二决策结果信息进行规划停车；所述第二可信信息为所述第二处理单元存储的所述第一可信信息的之前的可信信息。

优选的，所述安全监控模块还用于，当所述第一感知模块、第一定位模块和第一决策模块中的任一状态信息与预设机制中的任一信息相同时，所述第二决策模块根据已存储的第二可信信息和所述第二决策结果信息进行规划停车。

优选的，所述第二决策模块将所述第一决策结果信息和所述第二决策结果信息进行比较之后，将比较结果发送给所述第一决策模块，所述第一决策模块将所述比较结果发送给所述第一定位模块，所述第一定位模块将所述比较结果发送给所述第一感知模块，所述第一定位模块和所述第一感知模块分别根据所述比较结果，进行故障判断。

优选的，所述状态信息包括所述第一感知模块、所述第一定位模块和所述第一决策模块的信息流和进程，所述第一处理单元的内存。

优选的，其特征在于，所述第一决策结果信息包括根据所述第一障碍物信息和当前位置信息规划出的规划路径信息中每个路点的转向控制信息和扭矩控制信息。

优选的，所述第一可信信息包括当前位置信息、第一障碍物信息和第一决策结果信息中的规划路径信息。

优选的，所述第一类型传感器包括激光雷达、视觉模块、超声波雷达和毫米波雷达。

优选的，所述第二类型传感器包括毫米波雷达。

优选的，所述第一处理单元和第二处理单元通过高速串行计算机扩展总线PCIE或以太网总线或控制器局域网络CAN总线连接。

本发明实施例提供的自动驾驶系统，该自动驾驶系统包括第一处理单元和第二处理单元。第一处理单元实现自动驾驶功能，第二处理单元对第一处理单元进行故障监测，并在第一处理单元运行状态正常时，进行可信标记，在第一处理单元故障时，第二处理单元可以进行规划停车，以使自动驾驶系统实现功能安全。

附图说明

图1为本发明实施例提供的自动驾驶系统结构示意图。

具体实施方式

下面结合附图和实施例对本申请作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为便于描述，附图中仅示出了与有关发明相关的部分。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

下文中的第一、第二仅是进行区分，并无其他含义。

图1为本发明实施例提供的自动驾驶系统结构示意图。该自动驾驶系统可以应用于自动驾驶车辆中。如图1所示，该自动驾驶系统包括：第一处理单元100和第二处理单元200。

第一处理单元100，包括第一定位模块101、第一感知模块102、第一决策模块103和第一状态监控模块104。第一定位模块101与定位传感器相连接，用于获取当前位置信息；第一感知模块102与第一类型传感器相连接，用于获取第一类型传感器测量的第一感知信息，并对第一感知信息进行处理，得到第一障碍物信息；第一决策模块103对第一障碍物信息和当前位置信息进行处理，生成第一决策结果信息；第一状态监控模块104，用于获取第一定位模块101、第一感知模块102和第一决策模块103的状态信息。

其中，定位传感器可以是全球定位系统(Global Positioning System，GPS)。第一类型传感器包括激光雷达、视觉模块、超声波雷达和毫米波雷达。

第二处理单元200，第二处理单元200和第一处理单元100相连接，包括第二感知模块201、安全控制模块202、第二决策模块203和安全监控模块204；第二感知模块201和第二类型传感器相连接，用于获取第二类型传感器测量的第二感知信息，并对第二感知信息进行处理，得到第二障碍物信息；安全控制模块202与底层执行器相连接，用于获取底层执行器反馈的转向信息和速度信息；第二决策模块203对第二障碍物信息、转向信息和速度信息进行处理，生成第二决策结果信息；安全监控模块204，用于将每个状态信息与预设机制进行比较，当任一状态信息与预设机制中的全部信息均不同，且当第二决策模块203确定第一决策结果信息和第二决策结果信息的差值在预设阈值内时，第二决策模块203将第一决策结果信息标记为第一可信信息并存储；当第一决策结果信息和第二决策结果信息的差值不在预设阈值内时，根据已存储的第二可信信息和第二决策结果信息进行规划停车；第二可信信息为第二处理单元200存储的第一可信信息的之前的可信信息。

其中，第二类型传感器可以是毫米波雷达。底层执行器可以是自动驾驶底层车辆控制器，主要用于对自动驾驶车辆的转向系统、制动系统和动力系统进行控制，底层执行器还可以和轮速计相连接，以获取车辆的速度信息，同时，还可以获取转向系统反馈的转向信息。

具体的，第一处理单元100可以理解为功能核，第二处理单元200可以理解为安全核。其中，功能核主要用于实现自动驾驶功能，安全核主要用于保障。

由于功能核主要对自动驾驶的功能负责，因此，功能核可以采用深度学习算法、启发式算法等复杂算法来进行决策处理，与自动驾驶系统整体能够达到的安全性不直接相关。但是，上述算法通常难以通过穷举、过程控制等途径达到功能安全标准。以深度学习算法为例，由于理论体系尚不完善，无法对计算中存在的失效点进行分析与保障。因此，可以通过与功能核物理隔离的安全核，进行功能核的算法的失效节点的检测。

其中，可以分别将功能核和安全核部署在不同硬件计算平台中，以保证功能核和安全核独立工作、互不干扰。功能核和安全核之间可以通过高速串行计算机扩展总线(Peripheral Component Interconnect Express,PCIE)、以太网总线和控制器局域网络(Controller Area Network,CAN)总线中的任意一种总线相连接。

下面以第一处理单元100是功能核，第二处理单元200是安全核为例进行说明。

首先，第一定位模块101将GPS的感知信号转化成自动驾驶车辆当前的位置信息发送给第一感知模块102。

第一感知模块102，获取第一类型传感器中每个传感器的感知信息，这些感知信息统称为第一感知信息，随后，将第一感知信息进行处理，得到第一障碍物信息，再将第一障碍物信息和当前位置信息发送给第一决策模块103。

第一决策模块103对自动驾驶车辆当前的位置信息和第一障碍物信息进行计算，从而得出第一决策结果信息，并且将第一决策结果信息发送给第二决策模块203。其中，第一决策结果信息可以为第一决策模块103根据第一障碍物信息和当前位置信息规划出的规划路径信息中每个路点的转向控制信息和扭矩控制信息。

其中，第一决策结果信息是具有时效性的。在一个具体的实施例中，比如功能核每次规划超过100m的路径信息，该路径信息能够支撑未来一段时间车辆的控制。需要说明的是，支撑的时间的长短与自动驾驶车辆的速度和环境复杂度有关。

同时，自动驾驶系统实现的关键环节可以设置有监控点，从而通过对监控点进行实时监控以实现对关键环节的监控。关键环节可以覆盖操作系统、支持层、自动驾驶系统中的第一处理单元100的内存使用情况及第一处理单元100中各模块的运行状态。第一状态监控模块104获取上述关键环节中的监控点监测到的内存使用情况、信息流和进程等状态信息，比如可以获取第一定位模块101、第一感知模块102和第一决策模块103等关键环节的信息流和进程以及第一处理单元100的内存使用情况。

安全监控模块204接收第一状态监控模块104发送的状态信息之后，将状态信息与预设机制进行比较，判断第一处理单元100各个模块的运行状态是否正常。预设机制可以是预先设定的黑名单机制，黑名单机制中包括信息流异常、进程异常和内存异常的信息。

示例而非限定，针对信息流，安全监控模块204首先可以对各主要模块的计算结果是否出错进行判断。其次，对主要模块计算结果的逻辑判断，例如第一定位模块101获取到的当前位置信息是否发生跳变、第一感知模块102获取到的障碍物是否频繁闪现、信息流是否断流，比如信息流延迟过长或者信息流时间过短等。其中定点是否发生跳变指的是，位置信息是有一定规律的，理论上跳动在一定数值范围内，如果发生了超出一定范围的数值跳动时，就认为跳变。如果短时间的大范围跳动就说明信息流存在异常。

针对进程，安全监控模块204可以判断是否存在进程异常，比如进程卡死，或者进程中断。

针对内存，安全监控模块204可以判断内存是否不足，比如，内存占用率是否超过预设阈值，此处的预设阈值为经验值，比如85％。

在一个具体的实施例中，一台自动驾驶车辆在A点，突然在1秒钟内跳到10米以外，根据当前速度推算是不可能发生的，即认为该计算结果逻辑有问题。即说明信息流存在异常。

在另一个具体的实施例中，当前位置信息对应的车速信息超出一个物理可达的数值，或者车速信息的时间戳是若干个处理周期之前的数值，则安全监控模块204确定信息流存在异常。

综上，如果安全监控模块204经过处理，确定监控点的任一状态信息与黑名单机制中的全部信息不一致，则继续进行后续的审计，此时，安全监控模块204可以向第二决策模块203发送用于指示进行审计的通知消息，以指示第二决策模块203进行审计。安全核在审计通过后，才能确定功能核为正常状态。其中，本申请的审计是指对第一决策结果信息的审计。

在一个具体的实施例中，安全核的第二决策模块203可以根据第二障碍物信息、转向信息和速度信息进行计算得到第二决策结果信息，并将其与第一决策结果信息相比较，如果差值在预设阈值内，第二决策模块203将第一决策结果信息标记为可信信息进行储存；如果差值在不预设阈值内，第二决策模块203将上一个时刻获取的可信信息并结合第二决策结果信息作为安全停车的主要依据。第二决策结果信息可以为自动驾驶车辆的转向控制信息和扭矩控制信息。可信信息可以包括当前位置信息、障碍物信息和路径信息。

其中，可以对第一决策结果信息添加可信标记，并将添加可信标记的第一决策结果信息称为可信信息，可信标记可以是字符标识，比如二进制“1”。

通过预设机制和审计相结合的方式，主要是为了获得可信信息进行储存。在下一时刻第一处理单元100功能异常的情况下，此可信信息可作为下一时刻规划停车的重要依据之一。

进一步的，安全监控模块204还用于，当第一感知模块102、第一定位模块101和第一决策模块103中的任一状态信息与预设机制中的任一信息相同时，第二决策模块203根据已存储的第二可信信息和第二决策结果信息进行规划停车。从而保证了在功能核存在异常的情况下，安全核可以独自进行应急停车处理，保证了整个自动驾驶系统的安全。

第一状态监控模块104获取的状态信息会实时发送给安全监控模块204，目的是当功能核出现问题时，安全监控模块204会停止接收功能核的计算结果并反馈至第二决策模块203，以防错误的结果被第二决策模块203标记为可信信息，提高了自动驾驶车辆的安全性。

此时，如果安全监控模块204获取第一感知模块102、第一定位模块101和第一决策模块103中的任一状态信息与预设机制中的任一信息相同时，则安全监控模块204可以向第二决策模块203发送用于指示不能进行审计的通知消息，从而第二决策模块203在接收到该通知消息后，进行规划停车。

进一步的，如果第二决策模块203要进行规划停车，此时，第二决策模块203还可以将第一决策结果信息和第二决策结果信息进行比较之后，并将比较结果发送给第一决策模块103，第一决策模块103将比较结果发送给第一定位模块101，第一定位模块101将比较结果发送给第一感知模块102，第一定位模块101和第一感知模块102分别根据比较结果，进行故障判断，从而，有利于功能核中的第一定位模块101和/或第一感知模块102，分别进行与其连接的各种传感器的故障的判断，以确定与其连接的传感器是否发生故障，从而促进自动驾驶系统安全性的改进。

本发明实施例提供的自动驾驶系统，该自动驾驶系统包括第一处理单元和第二处理单元。第一处理单元实现自动驾驶功能，第二处理单元对第一处理单元进行故障监测，并在第一处理单元运行状态正常时，进行可信标记，在第一处理单元故障时，第二处理单元根据上一个时刻的可信信息和第决策结果信息可以进行规划停车，而无需依赖第一处理单元，第二处理单元可以独自进行应急停车处理，保证了整个自动驾驶系统的安全。

专业人员应该还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种自动驾驶系统，其特征在于，所述自动驾驶系统包括：

第一处理单元，包括第一定位模块、第一感知模块、第一决策模块和第一状态监控模块；所述第一定位模块与定位传感器相连接，用于获取当前位置信息；所述第一感知模块与第一类型传感器相连接，用于获取第一类型传感器测量的第一感知信息，并对所述第一感知信息进行处理，得到第一障碍物信息；所述第一决策模块对所述第一障碍物信息和所述当前位置信息进行处理，生成第一决策结果信息；所述第一状态监控模块，用于获取所述第一感知模块、第一定位模块和第一决策模块的状态信息；

第二处理单元，所述第二处理单元和所述第一处理单元相连接，包括第二感知模块、安全控制模块、第二决策模块和安全监控模块；所述第二感知模块和第二类型传感器相连接，用于获取第二类型传感器测量的第二感知信息，并对所述第二感知信息进行处理，得到第二障碍物信息；所述安全控制模块与底层执行器相连接，用于获取底层执行器反馈的转向信息和速度信息；所述第二决策模块对所述第二障碍物信息、所述转向信息和所述速度信息进行处理，生成第二决策结果信息；所述安全监控模块，用于将每个所述状态信息与预设机制进行比较，当任一所述状态信息与所述预设机制中的全部信息均不同，且当所述第二决策模块确定所述第一决策结果信息和所述第二决策结果信息的差值在预设阈值内时，所述第二决策模块将所述第一决策结果信息标记为第一可信信息并存储；当所述第一决策结果信息和所述第二决策结果信息的差值不在预设阈值内时，根据已存储的第二可信信息和所述第二决策结果信息进行规划停车；所述第二可信信息为所述第二处理单元存储的所述第一可信信息的之前的可信信息。

2.根据权利要求1所述的自动驾驶系统，其特征在于，所述安全监控模块还用于，当所述第一感知模块、第一定位模块和第一决策模块中的任一状态信息与预设机制中的任一信息相同时，所述第二决策模块根据已存储的第二可信信息和所述第二决策结果信息进行规划停车。

3.根据权利要求1所述的自动驾驶系统，其特征在于，所述第二决策模块将所述第一决策结果信息和所述第二决策结果信息进行比较之后，将比较结果发送给所述第一决策模块，所述第一决策模块将所述比较结果发送给所述第一定位模块，所述第一定位模块将所述比较结果发送给所述第一感知模块，所述第一定位模块和所述第一感知模块分别根据所述比较结果，进行故障判断。

4.根据权利要求1所述的自动驾驶系统，其特征在于，所述状态信息包括所述第一感知模块、所述第一定位模块和所述第一决策模块的信息流和进程，所述第一处理单元的内存。

5.根据权利要求1所述的自动驾驶系统，其特征在于，所述第一决策结果信息包括根据所述第一障碍物信息和当前位置信息规划出的规划路径信息中每个路点的转向控制信息和扭矩控制信息。

6.根据权利要求1所述的自动驾驶系统，其特征在于，所述第一可信信息包括当前位置信息、第一障碍物信息和第一决策结果信息中的规划路径信息。

7.根据权利要求1所述的自动驾驶系统，其特征在于，所述第一类型传感器包括激光雷达、视觉模块、超声波雷达和毫米波雷达。

8.根据权利要求1所述的自动驾驶系统，其特征在于，所述第二类型传感器包括毫米波雷达。

9.根据权利要求1所述的自动驾驶系统，其特征在于，所述第一处理单元和第二处理单元通过高速串行计算机扩展总线PCIE或以太网总线或控制器局域网络CAN总线连接。