自動駕駛車輛失效保護系統(tǒng)的應(yīng)急控制算法開發(fā)

原文 : DEVELOPMENT OF AN EMERGENCY ConTROL ALGORITHM FOR A FAIL-SAFE SYSTEM IN AUTOMATED DRIVING VEHICLES

翻譯：盧萍

譯文審核：張志闖

?本文主要內(nèi)容分為4個部分（約5200字，22分鐘閱讀）

本文提出了自動駕駛車輛失效保護系統(tǒng)結(jié)構(gòu)的概念。它包含了自動駕駛車輛失效保護系統(tǒng)的車輛硬件和軟件結(jié)構(gòu)設(shè)計。此外，它還處理了內(nèi)容故障檢測，容錯控制，以及在自動駕駛車輛失效時沒有駕駛員干預(yù)的情況下的緊急制動策略。根據(jù)NHTSA發(fā)布的2017年“自動駕駛系統(tǒng)2.0：安全愿景”報告，它指出，在自動駕駛汽車出現(xiàn)問題時，部署防撞系統(tǒng)對于切換到最低危險狀況來說至關(guān)重要，否則系統(tǒng)不能安全運行。

首先，構(gòu)建車輛硬件和軟件的方法是基于NHTSA發(fā)布的“自動駕駛系統(tǒng)2.0:第1節(jié)回退(最小風險條件)”報告產(chǎn)生的。其次，提出一種基于滑?？刂扑惴ǖ娜蒎e控制和緊急減速方法，針對SAE國際標準J3016自動駕駛階段4:即使人類駕駛員沒有對干預(yù)請求做出適當?shù)捻憫?yīng)，自動駕駛系統(tǒng)應(yīng)執(zhí)行動態(tài)駕駛?cè)蝿?wù)的所有方面。

為了滿足SAE標準J3016第4階段提出的自動駕駛要求和NHTSA安全標準，本論文創(chuàng)建了硬件配置，能確保自動駕駛車輛可以在沒有適當駕駛員干預(yù)的情況下執(zhí)行給定的任務(wù)。在檢測部分，提出了診斷失效的硬件(執(zhí)行器，傳感器，CAN信號，上位和下位控制器)和基于模型的失效保護診斷方法和算法。在決策和控制部分，當自動駕駛車輛被診斷出故障時，并且沒有檢測到駕駛員的干預(yù)，自動駕駛車輛的失效保護階段是轉(zhuǎn)移至系統(tǒng)錯誤。在系統(tǒng)錯誤階段(下位控制器)，采用提出的方法。自動駕駛車輛實驗已經(jīng)證明了前面提到的算法和失效保護結(jié)構(gòu)。首先，關(guān)于自動駕駛汽車的失效保護系統(tǒng)的論文和研究確實不多。NHTSA關(guān)于自動駕駛汽車的安全報告只包含了“這樣做是件好事”的“建議”，尚未制定規(guī)則。這篇論文提出的自動駕駛車輛失效保護系統(tǒng)雖尚未商業(yè)化，但已配置為滿足NHTSA的安全要求。本文提出的失效保護系統(tǒng)已應(yīng)用于自動駕駛車輛，并通過整車試驗，驗證了所提出的算法。本文提出的系統(tǒng)應(yīng)該是非常契合技術(shù)會議主題的，本文推薦了一個滿足NHTSA針對自動駕駛汽車第4階段的系統(tǒng)和控制和應(yīng)急測試方法。

01介紹

自動駕駛汽車失效保護與回退系統(tǒng)研究是非常必要和重要的。自動駕駛車輛由各種傳感器、計算機、執(zhí)行器和其他類型的設(shè)備組成，并且這些設(shè)備被配置在一起通信。在故障診斷方面，每臺設(shè)備需要實時監(jiān)控，也需要在發(fā)生故障時能配置的策略。本文提出的算法是控制部分的一種算法，能在故障診斷系統(tǒng)確認到故障且沒有駕駛員干預(yù)的情況下緊急停車。控制類型分為兩種，縱向控制和橫向控制。即使發(fā)生了錯誤，車輛不能從上位機的自動駕駛系統(tǒng)的感知和決策組件接收正常數(shù)據(jù)，所提出的算法也能只使用車輛的底盤信息為自動駕駛車輛提供安全地響應(yīng)的辦法。車輛硬件配置分為負責感知與決策的上位控制器和負責控制車輛的下位控制器。下位控制器由魯棒性非常高的硬件組成，在上位控制器出錯時，能安全地控制縱向和橫向。因此，在SAE國際提出的自動駕駛階段，level 4建議:即使人類駕駛員沒有對干預(yù)請求作出適當?shù)姆磻?yīng)，在特定駕駛模式下自動駕駛系統(tǒng)也能完成駕駛?cè)蝿?wù)。

圖1 Waymo車輛關(guān)鍵安全冗余系統(tǒng)

硬件配置進行了這樣的配置，以便自動駕駛車輛可以在沒有駕駛員適當干預(yù)的情況下執(zhí)行失效保護系統(tǒng)任務(wù)。然而目前對自動駕駛故障診斷系統(tǒng)的研究并不多，非自動駕駛車輛故障診斷系統(tǒng)已經(jīng)以失效保護系統(tǒng)的名義展開。YH.J開發(fā)了車輛傳感器故障診斷和接受算法，執(zhí)行了殘差和沒有額外硬件的自適應(yīng)閾值故障診斷。KS.O對基于滑模的故障診斷預(yù)測算法進行了研究。國外汽車OEM咨詢了失效保護和系統(tǒng)構(gòu)建方法方面的先進研究。谷歌Waymo自動駕駛汽車已經(jīng)應(yīng)用了回退系統(tǒng)。圖1是Waymo車輛關(guān)鍵安全冗余的描述。Waymo車輛的冗余系統(tǒng)由備份計算、備份制動、備份轉(zhuǎn)向和備份電源系統(tǒng)組成。與谷歌Waymo類似，CRUISE也有一臺備份計算機、備份執(zhí)行器、信號通信冗余和數(shù)據(jù)積累系統(tǒng)。

02 基于硬件的故障探測分類

本章主要介紹基于了模型的自動駕駛車輛故障檢測與處理系統(tǒng)分類。硬件分為執(zhí)行器、傳感器、上位控制器、CAN網(wǎng)絡(luò)和下位控制器。執(zhí)行器分為轉(zhuǎn)向和油門/剎車。傳感器部分由激光雷達、雷達和視覺(單通道攝像機)組成。上位控制器包含整個自動駕駛算法的感知和判決邏輯，定期進行計算，并通過實時通信將計算值傳輸給下位控制器。CAN通信是指車輛的整體通信，包含許多傳感器和執(zhí)行器，車輛內(nèi)部通信，并使用一個方法對它們的值進行實時監(jiān)控。下位控制器包括計算整體配置的重要子控制器的算法，路徑跟蹤的算法，或者在發(fā)生故障時進入縱向控制的控制輸入。

傳感器故障探測

傳感器硬件故障檢測方法如圖2所示。傳感器自身發(fā)生故障時，制造商發(fā)送相應(yīng)的故障信號。德爾福雷達的信號可以發(fā)現(xiàn)許多故障，如傳感器通信錯誤、傳感器狀態(tài)失敗、阻塞狀態(tài)和過溫狀態(tài)等。通訊配置允許用戶讀取相應(yīng)的信息。圖2.b)是關(guān)于Ibeo LUX雷達錯誤和警告信息，錯誤內(nèi)容包括內(nèi)部錯誤，電機錯誤，溫度上升、數(shù)據(jù)丟失、內(nèi)部通訊錯誤、掃描數(shù)據(jù)不正確等。發(fā)送給用戶的警告信號，可以接收內(nèi)部通訊、溫度升高等錯誤信息。

圖2.a) 德爾福雷達錯誤信息 b)Ibeo LUX雷達錯誤信息

通信&控制器故障探測

在車輛內(nèi)部，通信是通過CAN總線(控制器局域網(wǎng))通信協(xié)議進行的，這是一種標準的通信規(guī)范，旨在使多個設(shè)備能夠無需主節(jié)點地相互通信。為了檢測CAN信號中的錯誤，識別CAN信號的特性是非常重要的。利用CAN發(fā)生故障時最后一個值由主控制器維持的特點，利用PC機LabVIEW信號處理程序，一種更高層次的自主車輛的控制器，可以識別有關(guān)CAN的錯誤，當收到相同的值時判斷為CAN錯誤。LabVIEW程序本身也可以使用檢測CAN錯誤的虛擬儀器(VI)檢測CAN信號上的錯誤。VI可以發(fā)現(xiàn)內(nèi)部CAN狀態(tài)值固定的錯誤。上層控制器是指一臺PC機，下位控制器(微型自動箱)負責控制。當PC對自動盒系統(tǒng)通過CAN實時發(fā)送和接收數(shù)據(jù)，故障查找系統(tǒng)能識別是不是有一方故障。

03 失效保護控制

本章主要介紹失效保護控制的概念和研究原因。這部分的主要目的是滿足如圖3所示的SAE國際 level 4的要求。在算法確定的故障發(fā)生后，在沒有駕駛員干預(yù)的情況下進行緊急停車的控制部分。

圖3  車輛自動化水平，SAE 國際標準J3016

失效保護控制描述

控制部分分為縱向和橫向兩部分，為自動駕駛車輛提供一種即使沒有上層控制部分的感知與決策信息等，也可以只使用車輛的底盤信息做安全響應(yīng)的方式。本文中系統(tǒng)錯誤被定義為網(wǎng)絡(luò)通信被阻塞。在這種情況下，CAN網(wǎng)絡(luò)中的最后一個值才是有用的信息。本文提出了一種失效保護模型，利用系統(tǒng)錯誤的獨特現(xiàn)象，并利用該有用信息進行預(yù)測和控制。系統(tǒng)誤差監(jiān)控器部分包含預(yù)測內(nèi)容?？v向控制采用的方法是實時地計算安全行駛距離并傳輸給參考減速模型，而參考模型計算參考距離和基于滑?？刂频臏p速和停止算法參考速度模型。有可能通過上述方法在安全距離內(nèi)停車。橫向控制由一個只使用車輛底盤信息的算法組成。該算法利用上層控制器的最后信息(期望路徑)，利用DR跟蹤到橫向控制算法的路徑。

整個模塊由查找所有模塊故障的故障檢測部分，即對故障進行分類的故障檢測部分，以及負責用有限信息控制減速的控制模型組成。

圖4是自動駕駛汽車的硬件概念，包括故障安全模塊。考慮到自動駕駛車輛的硬件結(jié)構(gòu)，故障安全模塊在正常情況下配置，感知、決策和控制算法算法在上控制器中運行。為了準備故障情況，故障安全模塊中的信息利用上控制器的預(yù)測算法實時計算預(yù)測算法。如果錯誤診斷模塊檢測到錯誤，且沒有確定駕駛員干預(yù)，則使用最終信息進行預(yù)測和控制。從上控制器接收到的最后一個安全距離（在正常情況信息中）以兩種方式使用。在橫向方向，采用航跡推算算法驅(qū)動安全路徑，在縱向方向，采用基于滑模控制的減速和停止算法。

圖4  失效保護硬件概念圖

方法論

在本節(jié)的方法論中，本節(jié)主要描述使用算法的系統(tǒng)錯誤情況。一種是定義參考減速模型，另一種是基于滑模控制的減速和停止算法。參考減速模型由考慮駕駛員安全和乘坐舒適性的一般駕駛員減速數(shù)據(jù)確定。采用第一次集成速度模型和第二次集成站點模型構(gòu)建安全距離停車算法?？v向加速度模型、縱向速度模型，以及縱向距離模型的圖片和公式。Vx是初速度，am是減速度最大值，θ(θ=t/td )是時間比，td是減速時間，m是模型變參數(shù)，是模型參數(shù)。通過標量方程S(x;t)=0定義時變滑動曲面S(t)，其中和λ是嚴格正常數(shù)。

在這個控制器中n=2和保持在0處的標量s(t) 的問題可以通過選擇適當?shù)目刂戚斎雞，s(t) 的外部來實現(xiàn)，和使s(x;t)=0。

式(1)中e(t)為參考站與車輛站之間的誤差，(3)為Lyapunov函數(shù)，（4）區(qū)分李雅普諾夫函數(shù)。

對于一個穩(wěn)定系統(tǒng)，李雅普諾夫函數(shù)的導(dǎo)數(shù)應(yīng)該是負的。

設(shè)計(2)滑動面。設(shè)計滑動面，計算控制輸入(8)跟蹤滑動面，控制輸入ueq是車輛SCC模塊的縱向加速度。

車輛SCC(智能巡航控制)模塊說明

SCC(智能巡航控制)模塊是ADAS現(xiàn)代汽車公司的系統(tǒng)。通過通信操作，將縱向加速度，即控制輸入輸入到SCC模塊中。SCC模塊是考慮駕駛員安全性和乘坐舒適性的模塊。如果在模塊中插入縱向加速或減速，則實際輸入值和車輛反應(yīng)具有時間延遲。為分析延遲特性，進行了SCC模塊延遲試驗。測試方法驗證在車輛加速和巡航過程中，通過將減速值作為輸入輸入到SCC模塊中，從而獲得SCC模塊的特性。

如果將“方法學”一章中提到的參考模型直接插入車輛SCC模塊，則無需使用其他控制方法，即可在簡單配置的指定距離內(nèi)安全停車。因此，利用參考站的輸出和參考速度作為控制輸入，就會產(chǎn)生SCC模塊擴展時間的延遲問題導(dǎo)致車輛輸出值與參考模型值不同的結(jié)果。下一章是多次實驗和測試數(shù)據(jù)的結(jié)果，表明SCC模塊具有非線性特性。

如上所述，在幾種情況下應(yīng)用控制輸入來測試SCC模塊的非線性特性。測試場景設(shè)置如下，1.20km/h(負一到負五)減速至停車點2，40km/h(-1到-3)減速至停車點3，60km/h(-1至-3)減速至停車點4。

加速測試

K5車輛減速試驗檢查SCC模塊延遲，試驗內(nèi)容包含當車速接近20km/h和接近60km/h時恒減速接近從-1m/s2至-3m/s2。從試驗中得出SCC模塊延遲的結(jié)論如下。首先，模塊存在0.1s到0.5s左右的時間延遲。第二，模塊減速控制輸入不嚴重，無法達到命令輸入。綜上所述，SCC模塊存在時滯和非線性模型特性。

基于滑?？刂频臏p速車輛試驗

對于失效保護控制減速停車車輛試驗，采用以下方法進行試驗。整車試驗在自主狀態(tài)模式下進行，自始至終的實驗場景都是在20km/h和30公里/小時的低速區(qū)域進行規(guī)劃和進行的。圖7顯示了車輛在自動模式下從停車→加速→停車的測試。

圖7中的第一個圖顯示了車輛加速至30 km/h時的ACC模式，以及故障發(fā)生時基于滑?？刂频乃惴ㄟ\行情況。第二個圖是車輛的縱向加速度和車輛SCC模塊的控制輸入(縱向加速度)的比較。

圖7 整車試驗場景-加速至停車

04 整車試驗結(jié)果

圖8展示的是如上章所述的應(yīng)用于自動駕駛汽車的失效保護模塊。如圖8所示，許多算法和方法已經(jīng)應(yīng)用于實際的自動駕駛汽車。已經(jīng)構(gòu)建了報警系統(tǒng)，使駕駛員能夠識別自動駕駛車輛中的警告情況。在感知部分，1)車輛內(nèi)部CAN通信錯誤，2)CAN值保持錯誤(多個CAN通道)，3)傳感器硬件錯誤。這些錯誤報警系統(tǒng)已經(jīng)被構(gòu)建來提醒駕駛員。通過計算機車輛試驗對所提出的自動駕駛控制算法進行了評價。為了在真實的測試車輛上評估所提出的算法，現(xiàn)代起亞汽車K5被用做了測試車輛平臺。圖5顯示了測試車輛的整車配置。所提出的算法已經(jīng)在“dSPACE Autobox”上實現(xiàn)，用于實時應(yīng)用，并配備了處理器樣板。上述硬件組件通過CAN總線進行通信。

圖8 自動駕駛車輛硬件配置

圖9為30km/h附近的車輛試驗結(jié)果。(a)、(b)、(c)分別為車輛縱向速度和參考模型速度剖面圖、車輛工位和參考模型工位、車輛加速度和控制輸入，實驗結(jié)果表明，通過控制輸入，滑動面跟隨良好。黃色部分解決了SCC模塊上的過載問題，而不是算法停止，由常數(shù)停止組成速度降低時的減速，以保證模塊的安全。

圖9 整車試驗結(jié)果-

(a)車速(b)參考站（c）整車輸入和控制輸入

05 結(jié)論

本文為滿足SAE International提出的自動駕駛階段要求，對硬件進行配置，確保駕駛員能夠執(zhí)行自動駕駛車輛任務(wù)而無需駕駛員的適當干預(yù)。在檢測部分，基于硬件(執(zhí)行器、傳感器、CAN信號、上位控制器，下位控制器)和模組(轉(zhuǎn)向、油門/剎車、激光雷達、雷達、GPS、CAN信號、CAN狀態(tài)、底盤CAN)提出檢測故障狀況的失效保護診斷方法和算法。在決策與控制部分，當自動駕駛汽車的故障被診斷出來且沒有檢測到駕駛員的干預(yù)時，自動駕駛車輛失效保護階段是轉(zhuǎn)移至圖4所示的系統(tǒng)錯誤，在系統(tǒng)錯誤階段(下位控制器)參考站模型和參考速度模型被實時計算?；诨？刂破鞯臏p速停止算法跟蹤設(shè)計了滑動面。通過基于測試數(shù)據(jù)的仿真測試和整車測試，所提出的自動駕駛故障情況減速算法的有效性得到評估。從結(jié)果來看，所提出的算法可以在低速(20,30kph)條件下提供具有魯棒性的表現(xiàn)。