1.本发明涉及自动驾驶技术领域，特别涉及一种自动驾驶决策系统性能局限的预期功能安全优化方法。
背景技术：2.随着自动驾驶决策算法面向综合化、智能化和模块化的方向发展，自动驾驶决策系统算法的复杂程度程指数型增长，会导致因决策算法功能不足，周围环境评估，定位，目标物行为预测，功能逻辑、决策算法不合理等，导致决策系统无法正确响应，从而输出决策算法期望路径与期望速度出现偏差发生交通事故。为了降低因自动驾驶决策系统局限性造成的危害，需要制定一套方法对决策系统局限性的预期功能安全问题进行分析，以明确决策系统的局限性问题，并针对分析的结果进行相应的功能改进措施，完善自动驾驶决策系统的安全性。
3.以上背景技术内容的公开仅用于辅助理解本发明的发明构思及技术方案，其并不必然属于本专利申请的现有技术，也不必然会给出技术教导；在没有明确的证据表明上述内容在本专利申请的申请日之前已经公开的情况下，上述背景技术不应当用于评价本技术的新颖性和创造性。
技术实现要素：4.为了克服现有技术存在的不足，本发明提供了一种自动驾驶决策系统性能局限的预期功能安全优化方法，所述技术方案如下：
5.本发明提供了一种自动驾驶决策系统性能局限的预期功能安全优化方法，包括以下步骤：
6.s1、建立决策系统控制结构，定义整车系统级别损失；
7.s2、构建决策系统局限性仿真危险场景，进行决策系统局限性虚拟仿真测试；
8.s3、判断仿真测试结果是否存在整车系统级别损失，若存在整车系统级别损失，则根据仿真测试整车表现分析不安全控制行为和不安全控制行为产生的原因，以相应对该决策系统进行功能改进，重复步骤s1-s3；若不存在整车系统级别损失，则判定该决策系统局限性满足功能需求。
9.进一步地，所述决策系统包括环境信息预测模块、路径规划模块、运动规划模块，将自动驾驶中感知系统感知到的环境信息输入到决策系统中，所述环境信息在决策系统中被分别传送到所述路径规划模块和环境信息预测模块，经所述环境信息预测模块生成车辆运行域内其它交通参与者的环境预测信息，经所述路径规划模块生成目标汽车在当前场景下初步的期望路径和期望速度，所述环境预测信息以及初步的期望路径和期望速度输入至所述运动规划模块，所述运动规划模块通过行车安全的代价函数和车辆自身的动力学模型约束对初步的期望路径和期望速度进行优化，并输出给控制系统。
10.进一步地，所述整车系统级别损失为车辆碰撞。
11.进一步地，所述决策系统局限性仿真危险场景需要组合场景的静态要素和动态要素，所述决策系统局限性触发条件基于经验库，所述危险场景结合局限性触发条件形成sotif场景库。
12.进一步地，依据决策系统局限性测试需求和经验库，确定决策系统局限性测试用例，将测试用例用vtd仿真软件生成对应场景，通过udp通讯，将vtd中的场景信息导入simulink模块进行处理，提供给决策算法处理并实时对预设的测试指标进行计算，从而评估性能结果。
13.进一步地，决策算法综合环境信息和感知结果，输出控制命令，转化为相应车辆模型的相应输出，实时控制vtd测试场景中目标汽车的运动。
14.进一步地，基于系统理论过程分析方法，所述不安全控制行为包括未提供控制行为、提供系统不需要的控制行为而具有风险、提供系统需要的控制行为但提供的时间节点过早或过晚、提供系统需要的控制行为但控制行为持续过久或停止过早、提供系统需要的控制行为但提供的控制行为真值偏大或者偏小。
15.进一步地，在确定不安全控制行为类型的基础上，分析所述不安全控制行为产生的原因，所述不安全控制行为产生原因包括决策系统自身性能局限、输入信息有误、输出信息有误；所述决策系统自身性能局限包括环境信息预测模块、路径规划模块和运动规划模块数据处理出错，所述输入信息有误包括所述决策系统从所述感知系统获取到的环境信息和定位信息错误，所述输出信息有误包括所述决策系统传递给所述控制系统的行驶轨迹和行驶车速信息错误。
16.进一步地，对于发生整车系统级别损失的决策系统，依据性能局限来源提升系统自身的能力，修复自身错误，使该决策系统在原本的危险场景中不出现整车系统级别损失。
17.进一步地，当所述不安全控制行为产生原因为决策系统自身性能局限时，采用以下一种或者多种改进措施：
18.1)在决策系统中添加环境漏检率校验模块；
19.2)在决策系统中添加环境预测信息校验模块；
20.3)在决策系统中添加期望路径和期望速度信息校验模块；
21.4)在决策系统中添加处理相关危险场景的模块；
22.5)在运动规划模块中添加备用动力学约束模块；
23.6)在运动规划模块中添加代价函数校验模块；
24.7)在路径规划算法中，设置安全距离，并在行车过程中，随时检测安全距离是否得到保持；
25.8)在车辆运行时，运动规划模块在期望速度输出通道上添加一个限制器；
26.9)在车辆泊车时，运动规划模块在期望速度输出通道上添加一个限制器；
27.10)在运动规划模块中添加紧急制动模块。
28.本发明提供的技术方案带来的有益效果如下：通过反馈分析不安全控制行为及其产生原因，对决策系统进行对应改进，以提高自动驾驶的预期安全性。
附图说明
29.为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使
用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
30.图1是本发明实施例提供的预期功能安全优化方法的流程示意图；
31.图2是本发明实施例提供的预期功能安全优化方法中决策系统控制结构示意图；
32.图3是本发明实施例提供的预期功能安全优化方法中决策系统局限性虚拟仿真测试流程示意图；
33.图4是本发明实施例提供的预期功能安全优化方法中vtd-carsim联合仿真通讯解析流程示意图。
具体实施方式
34.为了使本技术领域的人员更好地理解本发明方案，更清楚地了解本发明的目的、技术方案及其优点，以下结合具体实施例并参照附图对本发明实施例中的技术方案进行清楚、完整地描述。需要说明的是，附图中未绘示或描述的实现方式，为所属技术领域中普通技术人员所知的形式。另外，虽然本文可提供包含特定值的参数的示范，但应了解，参数无需确切等于相应的值，而是可在可接受的误差容限或设计约束内近似于相应的值。显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。除此，本发明的说明书和权利要求书中的术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、装置、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
35.在本发明的一个实施例中，提供了一种自动驾驶决策系统性能局限的预期功能安全优化方法，参见图1，包括以下步骤：
36.s1、建立决策系统控制结构，定义整车系统级别损失；
37.s2、构建决策系统局限性仿真危险场景，进行决策系统局限性虚拟仿真测试；
38.s3、判断仿真测试结果是否存在整车系统级别损失，若存在整车系统级别损失，则根据仿真测试整车表现分析不安全控制行为和不安全控制行为产生的原因，以相应对该决策系统进行功能改进，重复步骤s1-s3；若不存在整车系统级别损失，则判定该决策系统局限性满足功能需求。
39.具体地，在步骤s1中，根据实际情况建立决策系统控制结构，参见图2，所述决策系统包括环境信息预测模块、路径规划模块、运动规划模块，当系统正常运行时，将自动驾驶中感知系统感知到的环境信息输入到决策系统中，所述环境信息在决策系统中被分别传送到所述路径规划模块和环境信息预测模块，经所述环境信息预测模块生成车辆运行域内其它交通参与者的环境预测信息，经所述路径规划模块生成目标汽车(即自车)在当前场景下初步的期望路径和期望速度，上述生成信息都被传递到决策系统的运行规划模块中，所述运动规划模块通过行车安全的代价函数和车辆自身的动力学模型约束对初步的期望路径和期望速度进行优化，并输出给控制系统。
40.整车系统级危险指在特定的不利条件下，可能导致损失的一种状态。在识别需要
进行分析的系统是什么系统以及该系统的边界后，就能确定一组系统级危险。自动驾驶车辆处于一个人车交互的环境中，因此在识别其系统级危险时，不仅要考虑车辆本身的不利环境，还需要考虑车辆与外部环境之间的相互影响。定义需要被严格避免的系统级别损失，在本实施例中，针对自动驾驶决策系统，定义整车系统级别损失为车辆碰撞，碰撞相对速度不考虑在内。
41.在步骤s2中，所述决策系统局限性仿真危险场景需要组合场景的静态要素和动态要素，所述决策系统局限性触发条件基于经验库，所述危险场景结合局限性触发条件形成sotif场景库。
42.具体地，由于周围环境评估、定位、目标物行为预测、功能逻辑、决策算法不合理等，导致决系统性能局限无法正确响应而引起交通事故。预期功能安全场景以结构化、规范化的形式构建预期功能安全场景。预期功能安全场景各要素之间存在相关性，并进一步形成逻辑关联和层次架构。场景要素分为静态场景要素和动态场景要素。静态场景要素按照七层架构依次记录道路结构、交通设施、道路临时事件、交通参与者、自然环境、数字信息、以及自车内部实体信息。自动驾驶车辆决策系统局限性仿真危险场景，需要组合场景的静态要素和动态要素，决策系统局限性触发条件基于专家经验，危险场景结合局限性触发条件形成高合理性、高完整度、高多样性的sotif场景库。vtd能够进行道路环境建模、交通场景建模、天气和环境模拟、简单和物理真实的传感器仿真以及高精度的实时画面渲染等工作，可用于构建复杂交通仿真场景，仿真软件基于vtd进行决策系统局限性sotif场景搭建。
43.决策系统局限性虚拟仿真测试方案如图3所示，依据决策系统局限性测试需求基于专家经验确定决策系统局限性测试用例，将测试用例用vtd仿真软件生成对应场景，场景信息包括环境、他车和自车信息，通过udp通讯，将vtd中的场景信息导入simulink模块进行处理，一方面提供给决策算法，另一方面实时对预设的测试指标进行计算，从而评估性能结果。决策算法综合环境信息和感知结果，输出控制命令，转化为相应的车辆模型的相应输出，实时控制vtd测试场景自车的运动。基于matlab的simulink模块，对vtd传输数据进行打包、解包、解析、输出，对获取环境和自车信息进行数据处理，carsim软件对自车动力学进行仿真，输出统一可靠的位置、姿态、轮胎转速等自车控制信息。在硬件在环仿真方案中，simulink主要执行通讯和测试指标计算两大功能。simulink中的通讯解析模块如图4所示，能够对vtd传输报文根据udp报文格式进行解包、打包、提取、设置端口等。图4中右侧模块为解析模块，进行触发解析，能够通过simulink同步启动仿真场景，图4中左侧四个模块，依次进行他车信息提取、自车信息提取、自车控制报文、路面触点信息。通过报文可以提取道路参数、自车姿态、他车位置等多种信息，也可以控制自车姿态、触点、速度、位置等参数，完整信息可参考vtd自带rdb模块。
44.在步骤s3中，不安全控制行为表示决策系统规划与预期功能安全相关的不安全期望车速与不安全期望轨迹的危险控制行为。在特定情境及最坏环境下可能导致危险的控制行为都叫不安全的控制行为。基于系统理论过程分析方法(stpa)，根据stpa六个引导词得出以下五种可能存在安全隐患的情况：1)未提供控制行为；2)提供系统不需要的控制行为而具有风险；3)提供系统需要的控制行为但提供的时间节点过早或过晚；4)提供系统需要的控制行为但控制行为持续过久或停止过早；5)提供系统需要的控制行为但提供的控制行为真值偏大或者偏小。决策系统的不安全控制行为其具体分类如表1所示。
45.表1决策系统的不安全控制行为
[0046][0047]
在确定不安全控制行为类型的基础上，分析所述不安全控制行为产生的原因，即分析决策系统局限性来源。辨识决策系统中不安全控制行为发生的原因，并据此创建对应场景解释；从反馈不正确、需求不充分、设计失误、组件失效以及导致非安全控制行为等方面导致安全损失的原因；正常输入安全的控制行为，执行系统未执行或正确的执行而导致安全损失的原因。不安全控制行为产生原因通常从两个方面考虑：1)出现不安全控制行为的原因是什么；2)为什么控制行为会出现未执行或执行不当的情境，进而导致危险的发生。对于第一种情况，这类致因场景从不安全的控制行为出发，涉及控制器相关的故障、不充分的控制算法、不安全的控制输入以及不充分的过程模型等。而对于识别控制行为执行不当或未被执行的致因场景，需要考虑会影响控制路径和受控过程的因素。
[0048]
通常来讲，性能局限性主要因为1)决策系统算法运行出错；2)决策系统算法不合理；3)决策系统算法不实用性等。因此，基于决策算法控制结构，溯源控制结构内引起不安全控制行为的决策算法自身性能局限。结合决策系统结构框图，定义决策系统性能局限来源，所述不安全控制行为产生原因包括决策系统自身性能局限、输入信息有误、输出信息有误；所述决策系统自身性能局限包括环境信息预测模块、路径规划模块和运动规划模块数据处理出错，所述输入信息有误包括所述决策系统从所述感知系统获取到的环境信息和定位信息错误，所述输出信息有误包括所述决策系统传递给所述控制系统的行驶轨迹和行驶车速信息错误，具体如表2所示。
[0049]
表2决策系统性能局限来源
[0050][0051][0052]
对于发生整车系统级别损失的决策系统，依据性能局限来源提升系统自身的能力，修复自身错误，使该决策系统在原本的危险场景中不出现整车系统级别损失。当所述不安全控制行为产生原因为决策系统自身性能局限时，采用以下一种或者多种改进措施：
[0053]
1)在决策系统中添加环境漏检率校验模块；
[0054]
2)在决策系统中添加环境预测信息校验模块；
[0055]
3)在决策系统中添加期望路径和期望速度信息校验模块；
[0056]
4)在决策系统中添加处理相关危险场景的模块；
[0057]
5)在运动规划模块中添加备用动力学约束模块；
[0058]
6)在运动规划模块中添加代价函数校验模块；
[0059]
7)在路径规划算法中，设置安全距离，并在行车过程中，随时检测安全距离是否得到保持；
[0060]
8)在车辆运行时，运动规划模块在期望速度输出通道上添加一个软件限制器；
[0061]
9)在车辆泊车时，运动规划模块在期望速度输出通道上添加一个软件限制器；
[0062]
10)在运动规划模块中添加紧急制动模块。
[0063]
对改进后的决策系统重复步骤s1～s3，查验采取功能改进措施后决策系统的局限性是否得到有效的改善。
[0064]
本发明提供的预期功能安全优化方法提高了自动驾驶决策系统的安全性，极大地确保整车安全。本发明依据系统理论和控制理论(stpa)的决策系统局限性分析，建立复杂决策系统的控制反馈结果和理论过程模型，以设置系统安全约束的形式而保持复杂系统的
安全性。在进行决策系统局限性危险仿真场景搭建和虚拟仿真测试过程中，基于虚拟仿真软件vtd和动力学模型carsim联合仿真的形式，场景还原度较高，更好的对实际交通场景进行了还原，动力学仿真模型尽可能的复现了实车动力学，对自动驾驶决策系统的测试更加准确。决策系统功能改进措施依据性能局限来源分析，做到有据可依，对决策系统进行点对点的功能改进，达到了预期的决策系统局限性分析目标。
[0065]
以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。
技术特征：1.一种自动驾驶决策系统性能局限的预期功能安全优化方法，其特征在于，包括以下步骤：s1、建立决策系统控制结构，定义整车系统级别损失；s2、构建决策系统局限性仿真危险场景，进行决策系统局限性虚拟仿真测试；s3、判断仿真测试结果是否存在整车系统级别损失，若存在整车系统级别损失，则根据仿真测试整车表现分析不安全控制行为和不安全控制行为产生的原因，以相应对该决策系统进行功能改进，重复步骤s1-s3；若不存在整车系统级别损失，则判定该决策系统局限性满足功能需求。2.根据权利要求1所述的预期功能安全优化方法，其特征在于，所述决策系统包括环境信息预测模块、路径规划模块、运动规划模块，将自动驾驶中感知系统感知到的环境信息输入到决策系统中，所述环境信息在决策系统中被分别传送到所述路径规划模块和环境信息预测模块，经所述环境信息预测模块生成车辆运行域内其它交通参与者的环境预测信息，经所述路径规划模块生成目标汽车在当前场景下初步的期望路径和期望速度，所述环境预测信息以及初步的期望路径和期望速度输入至所述运动规划模块，所述运动规划模块通过行车安全的代价函数和车辆自身的动力学模型约束对初步的期望路径和期望速度进行优化，并输出给控制系统。3.根据权利要求1所述的预期功能安全优化方法，其特征在于，所述整车系统级别损失为车辆碰撞。4.根据权利要求1所述的预期功能安全优化方法，其特征在于，所述决策系统局限性仿真危险场景需要组合场景的静态要素和动态要素，所述决策系统局限性触发条件基于经验库，所述危险场景结合局限性触发条件形成sotif场景库。5.根据权利要求4所述的预期功能安全优化方法，其特征在于，依据决策系统局限性测试需求和经验库，确定决策系统局限性测试用例，将测试用例用vtd仿真软件生成对应场景，通过udp通讯，将vtd中的场景信息导入simulink模块进行处理，提供给决策算法处理并实时对预设的测试指标进行计算，从而评估性能结果。6.根据权利要求5所述的预期功能安全优化方法，其特征在于，决策算法综合环境信息和感知结果，输出控制命令，转化为相应车辆模型的相应输出，实时控制vtd测试场景中目标汽车的运动。7.根据权利要求2所述的预期功能安全优化方法，其特征在于，基于系统理论过程分析方法，所述不安全控制行为包括未提供控制行为、提供系统不需要的控制行为而具有风险、提供系统需要的控制行为但提供的时间节点过早或过晚、提供系统需要的控制行为但控制行为持续过久或停止过早、提供系统需要的控制行为但提供的控制行为真值偏大或者偏小。8.根据权利要求7所述的预期功能安全优化方法，其特征在于，在确定不安全控制行为类型的基础上，分析所述不安全控制行为产生的原因，所述不安全控制行为产生原因包括决策系统自身性能局限、输入信息有误、输出信息有误；所述决策系统自身性能局限包括环境信息预测模块、路径规划模块和运动规划模块数据处理出错，所述输入信息有误包括所述决策系统从所述感知系统获取到的环境信息和定位信息错误，所述输出信息有误包括所述决策系统传递给所述控制系统的行驶轨迹和行驶车速信息错误。
9.根据权利要求8所述的预期功能安全优化方法，其特征在于，对于发生整车系统级别损失的决策系统，依据性能局限来源提升系统自身的能力，修复自身错误，使该决策系统在原本的危险场景中不出现整车系统级别损失。10.根据权利要求8所述的预期功能安全优化方法，其特征在于，当所述不安全控制行为产生原因为决策系统自身性能局限时，采用以下一种或者多种改进措施：1)在决策系统中添加环境漏检率校验模块；2)在决策系统中添加环境预测信息校验模块；3)在决策系统中添加期望路径和期望速度信息校验模块；4)在决策系统中添加处理相关危险场景的模块；5)在运动规划模块中添加备用动力学约束模块；6)在运动规划模块中添加代价函数校验模块；7)在路径规划算法中，设置安全距离，并在行车过程中，随时检测安全距离是否得到保持；8)在车辆运行时，运动规划模块在期望速度输出通道上添加一个限制器；9)在车辆泊车时，运动规划模块在期望速度输出通道上添加一个限制器；10)在运动规划模块中添加紧急制动模块。
技术总结本发明公开了一种自动驾驶决策系统性能局限的预期功能安全优化方法，包括建立决策系统控制结构，定义整车系统级别损失；构建决策系统局限性仿真危险场景，进行决策系统局限性虚拟仿真测试；判断仿真测试结果是否存在整车系统级别损失，若存在整车系统级别损失，则根据仿真测试整车表现分析不安全控制行为和不安全控制行为产生的原因，以相应对该决策系统进行功能改进，重复步骤；若不存在整车系统级别损失，则判定该决策系统局限性满足功能需求。本发明提供的预期功能安全优化方法提高了自动驾驶决策系统的安全性，极大地确保整车安全。全。全。
技术研发人员：董浩 牟康伟 吴昊天
受保护的技术使用者：华研优策（苏州）电子科技有限公司
技术研发日：2022.07.20
技术公布日：2022/11/1
