自主驾驶期间的车辆异常状况响应的制作方法

1.本公开总体上涉及自主车辆控制系统。


背景技术：

2.车辆的自主模式为其中车辆的推进装置、制动系统和转向系统中的每一者由车辆计算机控制的模式；在半自主模式中，所述车辆计算机控制推进、制动和转向中的一者或两者。借助于上下文，汽车工程师协会(sae)已经定义多级自主车辆操作。在级别0
‑
2下，人类驾驶员常常在没有车辆的帮助下监测或控制大部分驾驶任务。举例来说，在级别0(“无自动化”)下，人类驾驶员负责所有车辆操作。在级别1(“驾驶员辅助”)下，车辆有时辅助转向、加速或制动，但驾驶员仍然负责绝大部分的车辆控制。在级别2(“部分自动化”)下，车辆可在某些情形下在没有人类交互的情况下控制转向、加速和制动。在级别3
‑
5下，车辆承担更多的驾驶相关任务。在级别3(“条件性自动化”)下，车辆可在某些情况下处置转向、加速和制动，以及对驾驶环境的监测。然而，级别3偶尔需要驾驶员干预。在级别4(“高度自动化”)下，车辆可处置与在级别3下相同的任务，但不依赖于驾驶员在特定驾驶模式下进行接管。在级别5(“完全自动化”)下，车辆可处置几乎所有任务而不需要任何驾驶员干预。
3.在某些情况下，例如，在sae级别3中，在某些状况出现时(诸如，离开地理围栏区域、离开高速公路、进入施工区等)，车辆计算机可能需要将控制移交给人类驾驶员。如果人类驾驶员不能足够快地控制车辆，则车辆计算机将需要执行某种方式的响应。此外，可能出现异常状况，其中车辆计算机没有足够的时间将控制移交给人类驾驶员，这也需要响应。


技术实现要素：

4.本文所述的系统提供对自主或半自主车辆中的异常状况或移交失败的响应，其与将车辆停在当前行驶车道上的现有策略相比可能更安全和/或更好地适应车辆的当前状况。车辆计算机可以基于异常状况的性质以及异常状况的紧急性，从多种最低风险策略(minimal risk maneuver)中进行选择以对异常状况做出响应。因此，系统可以在某些情况下选择较慢但可能更安全的最低风险策略，或在其他情况下选择较快的最低风险策略。通过考虑是否存在特定危险并可能与选择的最低风险策略互动，响应也更加个性化。因此，该系统可以使某些车辆操作(诸如根据sae级别3自主性)更加可行和/或扩大车辆可以执行此类操作(例如在级别3自主模式下)的情况范围。
5.一种计算机包括处理器和存储器，该存储器存储可由处理器执行的指令以：通过预期风险得分对车辆的最低风险策略的列表进行排名；对于每个最低风险策略，更新从所述车辆的当前位置到相应的终点位置的距离，其中每个终点位置满足与相应的最低风险策略相对应的最低风险状况；响应于从一组异常状况中选择的第一异常状况，基于所述第一异常状况确定距离限制；然后从所述相应距离低于所述距离限制的所述最低风险策略中选择所述预期风险得分排名最佳的所述最低风险策略；以及然后指示所述车辆执行所选择的最低风险策略。
6.所述一组异常状况可包括驾驶员未能在时间限制内从自主模式重新参与对所述车辆的控制。所述指令还可包括以所述自主模式操作所述车辆，并且在确定所述车辆将进入不能满足针对所述自主模式的至少一个工况的区域时，提示所述驾驶员重新参与对所述车辆的控制。至少一个工况可以是道路类型。道路类型可以是受控通道(controlled
‑
access road)。
7.工况可为没有施工区。
8.所述指令还可包括：对于所述最低风险策略中的至少一个，基于从所述车辆的所述当前位置到所述终点位置的距离并基于所述终点位置处没有来自危险列表的危险来选择所述终点位置。所述指令还可包括接收地图数据，该地图数据包括对来自危险列表的危险的指示。所述指令还可包括根据地图数据选择终点位置。
9.所述指令还可包括基于没有来自所述危险列表的危险来确定至少一个终点位置的合格区域。
10.所述最低风险策略的列表上的第一最低风险策略可为从所述车辆当前正在其上行驶的受控通道行驶到第一终点位置，并且所述指令还可包括选择所述第一终点位置，使得所述第一终点位置与所述受控通道分开。所述第一终点位置可为指定用于停车的区域或不同于所述受控通道的道路的路肩中的一者。
11.所述指令还可包括：基于从所述车辆的所述当前位置到所述第一终点位置的距离并基于所述第一终点位置处没有来自危险列表的危险来选择所述第一终点位置。危险列表可包括存在施工区。
12.所述最低风险策略的列表上的第一最低风险策略可为行驶到第一终点位置，并且所述指令还可包括选择所述第一终点位置，使得所述第一终点位置在所述车辆当前正在其上行驶的道路的路肩上。所述指令还可包括：基于从所述车辆的所述当前位置到所述第一终点位置的距离并基于所述第一终点位置处没有来自危险列表的危险来选择所述第一终点位置。危险列表可以包括在预选位置处存在行人或停止的车辆中的至少一者。
13.所述最低风险策略的列表上的第一最低风险策略可为将所述车辆停在当前行驶车道上。
14.所述一组异常状况可包括所述车辆的一个或多个部件的故障。
15.一种方法包括：通过预期风险得分对车辆的最低风险策略的列表进行排名；对于每个最低风险策略，更新从所述车辆的当前位置到终点位置的距离，其中每个终点位置满足与相应的最低风险策略相对应的最低风险状况；响应于来自一组异常状况中的第一异常状况，基于所述第一异常状况确定距离限制；然后从所述相应距离低于所述距离限制的所述最低风险策略中选择所述预期风险得分排名最佳的所述最低风险策略；以及然后指示所述车辆执行所选择的最低风险策略。
附图说明
16.图1是示例车辆的框图。
17.图2是最低风险策略的列表的图示。
18.图3是示出了危险和最低风险策略的终点位置的合格区域的地图的图示。
19.图4是用于选择最低风险策略之一的示例性过程的过程流程图。
具体实施方式
20.参考图1和图2，计算机32包括处理器和存储器，所述存储器存储可由所述处理器执行的指令。所述指令包括：通过预期风险得分46对车辆30的最低风险策略36、38、40、42、44的列表34进行排名；对于每个最低风险策略36、38、40、42、44，更新从车辆30的当前位置50到相应的终点位置52、54、56、58、60的距离48，其中每个终点位置52、54、56、58、60满足与相应的最低风险策略36、38、40、42、44相对应的最低风险状况；响应于从一组异常状况中选择的第一异常状况，基于所述第一异常状况确定距离限制；然后从相应距离48低于距离限制的最低风险策略36、38、40、42、44中选择预期风险得分46排名最佳的最低风险策略36、38、40、42、44；并然后指示车辆30执行所选择的最低风险策略36、38、40、42、44。
21.参考图1，车辆30可以是任何乘用或商用汽车，诸如轿车、卡车、运动型多功能车、跨界车、货车、小型货车、出租车、公共汽车等。
22.车辆30是自主或半自主车辆。计算机32被编程为完全地或在较小程度上独立于人类驾驶员的干预来操作车辆30。计算机32可被编程为基于从传感器68接收的数据而操作推进装置62、转向系统64、制动系统66和/或其他车辆系统。出于本公开的目的，自主模式意味着计算机32在没有来自人类驾驶员的输入的情况下控制推进装置62、转向系统64和制动系统66；半自主模式意味着计算机32控制推进装置62、转向系统64和制动系统66中的一者或两者，而人类驾驶员控制其余部分；且非自主模式意味着人类驾驶员控制推进装置62、转向系统64和制动系统66。特别地，计算机32被编程为在级别3自主模式下操作车辆30，这意味着计算机32可以在某些环境(例如诸如州际公路之类的受控通道80)中而不是在其他环境(例如，地面道路82)中在自主模式下操作车辆30。
23.计算机32是基于微处理器的计算装置，例如，电子控制器等。计算机32可包括处理器、存储器等。计算机32的存储器包括介质，所述介质用于存储可由处理器执行的指令并且用于电子地存储数据和/或数据库。计算机32可以是耦接在一起的多台计算机和/或可包括一个或多个车辆控制器，例如电子控制单元(ecu)等。替代地或另外，计算机32可以执行在硬件中实现的程序指令，所述硬件例如是诸如现场可编程门阵列(fpga)、专用集成电路(asic)、片上系统(soc)等。通常，在电子设计自动化中使用诸如vhdl(超高速集成电路硬件描述语言)之类的硬件描述语言来描述诸如fpga和asic之类的数字和混合信号系统。例如，asic是基于制造前提供的vhdl编程而制造的，而fpga内部的逻辑部件可以基于例如存储在电连接到fpga电路的存储器中的vhdl编程来配置。在一些示例中，处理器、asic电路和/或fpga电路的组合可以包括在芯片封装内部。
24.计算机32可以通过通信网络70(诸如控制器局域网(can)总线、以太网、wifi、局域互连网(lin)、车载诊断连接器(obd
‑
ii))和/或通过任何其他有线或无线通信网络传输和接收数据。计算机32可经由通信网络70通信地耦接到推进装置62、转向系统64、制动系统66、传感器68、收发器72和其他部件。
25.车辆30的推进装置62产生能量并且将能量转换成车辆30的运动。推进装置62可为常规的车辆推进子系统，例如，常规的动力传动系统，其包括耦接到将旋转运动传递到车轮的变速器的内燃发动机；电动动力传动系统，其包括电池、电动马达和将旋转运动传递到车轮的变速器；混合动力传动系统，其包括常规的动力传动系统和电动动力传动系统的元件；或任何其他类型的推进装置。推进装置62可包括与计算机32和/或人类驾驶员通信并从其
接收输入的电子控制单元(ecu)等。人类驾驶员可经由例如加速踏板和/或变速杆来控制推进装置62。
26.转向系统64通常是常规的车辆转向子系统并且控制车轮的转弯。转向系统64可以是具有电动助力转向的齿条与小齿轮系统、线控转向系统(这两者是已知的)，或者任何其他合适的系统。转向系统64可包括与计算机32和/或人类驾驶员通信并从计算机32和/或人类驾驶员接收输入的电子控制单元(ecu)等。人类驾驶员可经由例如方向盘来控制转向系统64。
27.制动系统66通常是常规的车辆制动子系统并且抵抗车辆30的运动，由此使车辆30减慢和/或停止。制动系统66可包括摩擦制动器，诸如盘式制动器、鼓式制动器、带式制动器等；再生制动器；任何其他合适类型的制动器；或者它们的组合。制动系统66可包括与计算机32和/或人类驾驶员通信并从其接收输入的电子控制单元(ecu)等。人类驾驶员可经由例如制动踏板控制制动系统66。
28.传感器68可提供与车辆30的操作有关的数据，例如车轮速度、车轮取向以及发动机和变速器数据(例如，温度、燃料消耗等)。传感器68可检测车辆30的位置和/或取向。例如，传感器68可包括全球定位系统(gps)传感器；加速度计，诸如压电或微机电系统(mems)；陀螺仪，诸如速率陀螺仪、环形激光陀螺仪或光纤陀螺仪；惯性测量单元(imu)；以及磁力计。传感器68可检测外部世界，例如，车辆30的周围环境的对象和/或特性，诸如其他车辆、道路车道标记、交通灯和/或标志、行人等。例如，传感器68可以包括雷达传感器、扫描激光测距仪、光探测和测距(lidar)装置以及图像处理传感器(诸如相机)。
29.收发器72可适用于通过任何合适的无线通信协议(诸如wifi、ieee 802.11a/b/g、其他rf(射频)通信等)无线地发射信号。收发器72可适于与远程服务器90(即，与车辆30不同且间隔开的服务器)通信。远程服务器90可位于车辆30的外部。例如，远程服务器90可与一种类型的数据诸如地图数据的提供者相关联，与另一个车辆相关联(例如，v2v通信)，与基础设施部件相关联(例如，经由专用短程通信(dsrc)等进行的v2i通信)，与第一响应者相关联，与同车辆30的所有者相关联的移动装置相关联等。收发器72可以是一个装置或可包括单独的发射器和接收器。
30.参考图2，列表34包括多个最低风险策略36、38、40、42、44。每个最低风险策略36、38、40、42、44具有对应的最低风险状况和对应的终点位置52、54、56、58、60，在所述终点位置处最低风险状况得到满足(如图3所示)。出于本公开的目的，“最低风险状况”具有由国家公路交通安全管理局(national highway traffic safety administration，nhtsa)和汽车工程师协会(society of automotive engineers，sae)赋予的含义：
“‘
最低风险状况’意指当系统发生故障时或者当人类驾驶员未能对接管动态驾驶任务的请求做出适当响应时自动驾驶系统自动采取的低风险工况。”(美国交通部和nhtsa，自主驾驶系统2.0：安全愿景(automated driving systems 2.0:a vision for safety)，第26页(引用国际汽车工程师协会j3016标准(sae international j3016)，道路机动车辆驾驶自动化系统相关术语的国际分类和定义(j3016：2016年9月))。)出于本公开的目的，“最低风险策略”是目标为将车辆30置于最低风险状况的驾驶操作。每个最低风险策略36、38、40、42、44在对应的终点位置52、54、56、58、60处结束。
31.图3是示出了多个最低风险策略36、38、40、42、44以及相应的终点位置52、54、56、
58、60的图示。列表34可以包括第一最低风险策略36、第二最低风险策略38、第三最低风险策略40、第四最低风险策略42和第五最低风险策略44。对于每个最低风险策略36、38、40、42、44，列表34包括相应的预期风险得分46和从车辆30的当前位置50到相应的终点位置52、54、56、58、60的距离48，这两个都将在下面针对过程400进行描述。
32.第一最低风险策略36可为使车辆30在车辆30当前正在其上行驶的道路80、82上的当前行驶车道74中逐渐停止。对应于第一最低风险策略36的最低风险状况是车辆30在车道74、76中停止。第一终点位置52是当前行驶车道74中与当前位置50相距由第一预设制动力确定的距离的位置。
33.第二最低风险策略38可为使车辆30在当前行驶车道74中快速停止。在第二最低风险策略38中由制动系统66施加的制动力可以是第二预设制动力，该第二预设制动力大于第一预设制动力，例如是第一预设致动力的大约三倍。对应于第二最低风险策略38的最低风险状况是车辆30在车道74、76中停止。第二终点位置54是当前行驶车道74中与当前位置50相距由第二预设制动力确定的距离的位置。
34.第三最低风险策略40可为改变车道并且在与当前行驶车道74相邻的车道76中停止。对应于第三最低风险策略40的最低风险状况是在车道74、76中停止。第三终点位置56是在与当前行驶车道74相邻的车道76中沿道路80、82距当前位置50一定距离的位置，该距离由车辆30改变车道然后制动到停止时将行驶的距离来确定。
35.第四最低风险策略42可为停在车辆30当前正在其上行驶的道路80、82的路肩78上。对应于第四最低风险策略42的最低风险状况是停在路肩78上。第四终点位置58是道路80、82的路肩78上的位置。
36.第五最低风险策略44可为从车辆30当前正在其上行驶的受控通道80行驶到第五终点位置60。自主模式可以被限制在受控通道80上，因此车辆30处于自主模式的事实意味着车辆30正在受控通道80上行驶。对应于第五最低风险策略44的最低风险状况为停在与受控通道80分开的位置处。第五终点位置60为指定用于停车的区域88或不同于受控通道80的道路82的路肩78中的一者。
37.列表34上的第一至第五最低风险策略36、38、40、42、44是示例性的，并且列表34可以排除第一至第五最低风险策略36、38、40、42、44中的一些或全部；包括其他最低风险策略；和/或包括不同数量的最低风险策略。其他可能的最低风险策略包括：以基于跟随车辆30的车辆的估计停车距离选择的制动力停止在当前行驶车道74上、行驶并停在中间交叉口处、行驶并停在行程开始之前选择的最终目的地处、行驶到特定类型的位置，诸如车辆服务站或医院等。
38.图4是示出了用于选择最低风险策略36、38、40、42、44中的一个的示例性过程400的过程流程图。计算机32的存储器存储用于执行过程400的步骤的可执行指令。当计算机32以自主模式操作车辆30时，运行过程400。如果车辆30非自主地或半自主地操作，则不运行过程400。作为过程400的总体概述，计算机32接收包括危险的地图数据；从传感器68接收数据；识别第四终点位置58和第五终点位置60的合格区域84；根据地图数据选择终点位置52、54、56、58、60；更新最低风险策略36、38、40、42、44的列表34上的至终点位置52、54、56、58、60的距离48；通过预期风险得分46对最低风险策略36、38、40、42、44进行排名；如果不满足自主模式的工况，则发起将对车辆30的控制移交给驾驶员；以及响应于在时间限制内未能
发生移交或发生另一异常状况，则基于异常的类型来确定距离限制，然后从相应距离48低于距离限制的最低风险策略36、38、40、42、44中选择预期风险得分46排名最佳的最低风险策略36、38、40、42、44，并且然后执行所选择的最低风险策略36、38、40、42、44。
39.过程400在框405中开始，其中计算机32例如经由收发器72从远程服务器90接收地图数据。地图数据可以采用已经存储在计算机32的存储器中的地图数据的更新的形式。地图数据包括对来自危险列表的危险的指示。危险列表可以包括施工区86的存在、路肩78上有行人或停止的车辆30、路肩78的封闭、道路80、82的封闭等。
40.接下来，在框410中，计算机32接收来自传感器68的数据。来自传感器68的数据包括图像数据、lidar数据等。
41.接下来，在框415中，计算机32确定针对终点位置52、54、56、58、60中的至少一个的合格区域84。例如，计算机32可以确定第四终点位置58和第五终点位置60的合格区域84。计算机32使用地图数据和传感器数据来确定合格区域84。计算机32基于(1)满足各个最低风险状况和(2)没有来自危险列表的危险来确定合格区域84。对于第四终点位置58，合格区域84是车辆30当前正在其上行驶的受控通道80的路肩78，从而满足最低风险状况。对于第五终点位置60，合格区域84为指定用于停车的区域88或不同于受控通道80的道路82的路肩78，从而满足最低风险状况。没有来自危险列表的危险可为没有来自危险列表的危险的子集，并且对于每个终点位置58,60，该子集可不同。对于第四终点位置58，危险列表的子集可以包括施工区86的存在、路肩78上有行人或停止的车辆、路肩78的封闭和道路80、82的封闭。在图3所示的示例中，车辆30当前正在行驶通过施工区86，因此合格区域84沿着道路80、82比施工区86更远。对于第五终点位置60，危险列表的子集可以包括施工区86的存在、路肩78的封闭和道路80、82的封闭。
42.接下来，在框420中，计算机32根据地图数据选择终点位置52、54、56、58、60。每个终点位置52、54、56、58、60满足对应于相应的最低风险策略36、38、40、42、44的最低风险状况。计算机32基于执行相应的最低风险策略36,38,40所需的距离来选择第一终点位置52、第二终点位置54和第三终点位置56。计算机32基于从车辆30的当前位置50到相应的终点位置58,60的距离并且基于在相应的终点位置58,60处没有来自危险列表的危险(即基于处于在框415中确定的合格区域84处)来选择第四终点位置58和第五终点位置60。例如，计算机32选择第四终点位置58以最小化从车辆30的当前位置50到合格区域84之一的行进距离，即，第四终点位置58是合格区域84的最近部分。对于另一个示例，计算机32选择第五终点位置60以最小化从车辆30的当前位置50到(如果可用的话)为指定用于停车的区域88的合格区域84或另外为与受控通道80分开的道路82的路肩78的合格区域84的行进距离。
43.接下来，在框425中，计算机32更新从车辆30的当前位置50到终点位置52、54、56、58、60的距离48。每个距离48是车辆30在执行相应的最低风险策略36、38、40、42、44时将从当前位置50行驶到相应的终点位置52、54、56、58、60的路径长度。
44.接下来，在框430中，计算机32通过预期风险得分46对最低风险策略36、38、40、42、44的列表34进行排名。为了本公开的目的，“预期风险得分”是对车辆30的乘员的风险的评级或评估。每个最低风险策略36、38、40、42、44的预期风险得分46指定执行最低风险策略36、38、40、42、44的风险以及停在终点位置52、54、56、58、60处的风险。可以通过使用功能风险评估(即事故概率度量和事故严重性度量的组合)来确定预期风险得分46。最低风险策略
36、38、40、42、44从最佳(最低风险)到最差(最高风险)排名。
45.例如，预期风险得分46可以基于概率和严重性，所述概率和严重性来自针对车辆30正在其上行驶的受控通道80或相同类型的道路(例如具有中央分隔带的四车道受控通道、具有屏障但没有中央分隔带的六车道受控通道等)的精算数据。如果沿着最低风险策略36、38、40、42、44存在危险列表中的危险，则精算数据可以用于具有这种危险的相同类型的道路，例如，具有中央分隔带并且右路肩被施工区86封闭的四车道受控通道。预期风险得分46可以是来自精算数据的概率乘以来自精算数据的严重性的得分的乘积。然后，可以从最低得分到最高得分对最低风险策略36、38、40、42、44进行排名。
46.对于另一个示例，预期风险得分46可以是汽车安全完整性等级(asil)的一种版本，对其进行修改以应用于车辆30的操作和停止位置，而不是应用于车辆30的部件。预期风险得分46可以是以下三个评级的组合：等级从c0(总体上可控制)到c3(难以控制或不可控制)的可控性、从e0(极低的可能性)到e4(高可能性)的暴露程度以及从s0(无伤害)至s3(危及生命的伤害)的严重性。计算机32可以对沿每种类型的道路80、82(例如，具有中央分隔带的四车道受控通道、具有屏障且没有中央分隔带的六车道受控通道等)进行操纵的可控性评级、暴露程度评级和严重性评级进行评分，以及对针对危险列表上的每种危险的修改进行评分，例如，针对存在施工区86，将可控性评级提高一级(c1至c2、c2至c3等)。下表显示了可控性评级、暴露程度评级和严重性评级的每种组合如何提供qm(最低风险)、a、b、c或d(最高风险)的预期风险得分46。例如，第一最低风险策略36对于为b的预期风险得分46可以具有为(c3、e3、s2)的评级，第二最低风险策略38对于为c的预期风险得分46可具有为(c3、e4、s2)的评级，第三最低风险策略40对于为b的预期风险得分46可具有为(c3、e3、s2)的评级，第四最低风险策略42对于为a的预期风险得分46可具有为(c3、e2、s2)的评级，并且第五最低风险策略44对于为qm的预期风险得分46可具有为(c3、e1、s0)的评级。然后，可以从最低风险到最高风险对最低风险策略36、38、40、42、44进行排名。如果两个最低风险策略36、38、40、42、44具有相同的预期风险得分46，则平局可以被相应的最低距离48打破。
47.表1
48.49.接下来，在决策框435中，计算机32确定是否已经发生了用于将对车辆30的控制移交给人类驾驶员的触发。为了本公开的目的，“触发”是存储在计算机32的存储器中的情况，其指示应当执行一些动作，在这种情况下为将对车辆30的控制移交给人类驾驶员。例如，触发可以是车辆30将进入不满足用于自主模式的至少一个工况的区域。为了本公开的目的，将用于某一模式的“工况”定义为车辆30以该模式操作的环境的必要状况。例如，针对自主模式的工况可以包括在特定道路类型(诸如，受控通道80)上行驶、没有危险(诸如，没有施工区86)等。触发可以是到达无法满足所有工况的区域的距离阈值或行驶时间阈值。可以基于实验地测试驾驶员通常花费多长时间来重新建立对车辆30的控制来选择阈值。例如，计算机32在车辆30处于受控通道80的计划出口的距离阈值之内或在施工区86的距离阈值之内时确定触发已经发生。如果触发已经发生，则过程400前进到框440。如果没发生触发，则过程400前进到决策框450。
50.在框440中，计算机32提示驾驶员重新参与对车辆30的控制。例如，计算机32可以在车辆30的屏幕或仪表板上显示消息或视觉指示，生成警告音(诸如重复蜂鸣)，通过振动驾驶员的座椅来提供触觉反馈等。
51.作为决策框445和450的概述，计算机32确定是否已经发生了来自一组异常状况中的异常状况。所述一组异常状况包括驾驶员未能在时间限制内从自主模式重新获得对车辆30的控制，其在决策框445中进行评估。所述一组异常状况还包括与移交到驾驶员无关的其他异常状况，其在决策框450中进行评估。
52.在决策框445中，计算机32确定驾驶员是否在时间限制内未能从自主模式重新参与对车辆30的控制。基于实验地确定驾驶员响应和重新参与对车辆30的控制的时间分布来选择时间限制。如果驾驶员在该时限内重新参与对车辆30的控制，则过程400结束。如果驾驶员在该时间限制内未能重新参与对车辆30的控制，则过程400前进到框455。
53.在决策框450中，计算机32确定是否已经发生了所述一组异常状况中的任一者。所述一组异常状况包括车辆30的一个或多个部件的故障、对车辆30的即将来临的碰撞、对车辆30的碰撞等。如果没有发生异常状况，则过程400返回到框405以继续接收地图和传感器数据。如果已经发生至少一种异常状况，则过程400前进到框455。
54.在框455中，计算机32基于异常状况的类型来确定距离限制，并且如果异常状况是驾驶员未能重新参与，则距离限制另外基于移交的原因。计算机32的存储器可以存储具有异常状况与相应的距离限制配对的查找表，例如，如下面的表2中所示。可以基于相应的异常状况在多大程度上允许车辆30以自主模式操作来选择表中的每个距离限制。例如，如果车辆30是电动车辆，则基于车辆30的备用电池的容量来选择与车辆30的主电池的故障相对应的距离限制。对于另一个示例，基于用于积垢使传感器不可靠的最短预期距离来选择与传感器清洁设备故障相对应的距离限制。
55.表2
56.接下来，在框460中，计算机32从相应距离48低于在框455中确定的距离限制的最低风险策略36、38、40、42、44中选择预期风险得分46排名最佳的最低风险策略。例如，如果框450中的异常状况是传感器清洁设备的故障，则距离限制是10km。列表34上的所有最低风险策略36、38、40、42、44的相应距离48低于距离限制，因此计算机32选择第五最低风险策略44，因为预期风险得分46总体最低(最佳)。对于另一个示例，如果异常状况是主电池的故障，则距离限制为400m，这不包括第五最低风险策略44。计算机32从第一最低风险策略36至第四最低风险策略42中选择第四最低风险策略42，因为为a的预期风险得分46优于第一至第三最低风险策略36、38、40的为b、c和b的预期风险得分46。
57.接下来，在框470中，计算机32指示车辆30执行所选择的最低风险策略36、38、40、42、44。具体地，计算机32指示推进装置62、转向系统64和制动系统66自主地操作车辆30以执行所选择的最低风险策略36、38、40、42、44。另外，计算机32可以激活车辆30的外部警告灯。在框470之后，过程400结束。
58.通常，所描述的计算系统和/或装置可采用多个计算机操作系统中的任一者，包括但绝不限于以下版本和/或变型：ford应用程序、applink/smart device link中间件、微软操作系统、微软操作系统、unix操作系统(例如，由加州红杉海岸的oracle公司发布的操作系统)、由纽约阿蒙克市的international business machines公司发布的aix unix操作系统、linux操作系统、由加州库比蒂诺的苹果公司发布的mac osx和ios操作系统、由加拿大滑铁卢的黑莓有限公司发布的blackberry os以及由谷歌公司和开放手机联盟开发的android操作系统、或由qnx software systems供应的car信息娱乐平台。计算装置的示例包括但不限于车载计算机、计算机工作站、服务器、台式机、笔记本、膝上型计算机或手持计算机、或一些其他计算系统和/或装置。
59.计算装置通常包括计算机可执行指令，其中指令可能够由诸如以上列出的那些的一个或多个计算装置执行。可以由使用多种编程语言和/或技术创建的计算机程序编译或解译计算机可执行指令，所述编程语言和/或技术单独地或者组合地包括但不限于java
tm
、c、c 、matlab、simulink、stateflow、visual basic、java script、python、perl、html等。这些应用中的一些可以在虚拟机(诸如java虚拟机、dalvik虚拟机等)上编译和执行。一般来说，处理器(例如，微处理器)例如从存储器、计算机可读介质等接收指令，并且执行这些指令，由此执行一个或多个过程，包括本文所描述的过程中的一者或多者。此类指令和其他数据可以使用各种计算机可读介质来存储和传输。计算装置中的文件通常是存储在诸如存储介质、随机存取存储器等计算机可读介质上的数据的集合。
60.计算机可读介质(又被称为处理器可读介质)包括参与提供可以由计算机(例如，由计算机的处理器)读取的数据(例如，指令)的任何非暂时性(例如，有形)介质。此类介质可以采取许多形式，包括但不限于非易失性介质和易失性介质。非易失性介质可以包括例如光盘或磁盘以及其他持久性存储器。易失性介质可以包括例如通常构成主存储器的动态随机存取存储器(dram)。此类指令可以由一种或多种传输介质(包括同轴电缆、铜线和光纤(包括具有耦接到ecu的处理器的系统总线的导线))传输。计算机可读介质的常见形式包括例如软盘、软磁盘、硬盘、磁带、任何其他磁性介质、cd
‑
rom、dvd、任何其他光学介质、穿孔卡片、纸带、任何其他具有孔图案的物理介质、ram、prom、eprom、快闪eeprom、任何其他存储器芯片或盒式磁带，或计算机可从中读取的任何其他介质。
61.本文所述的数据库、数据存储库或其他数据存储可包括用于存储、存取/访问和检索各种数据的各种机制，包括分层数据库、文件系统中的文件集、专用格式的应用程序数据库、关系型数据库管理系统(rdbms)、非关系数据库(nosql)、图形数据库(gdb)等。每个这样的数据存储通常被包括在采用诸如以上提及中的一种的计算机操作系统的计算装置内，并且以各种方式中的任何一种或多种来经由网络进行访问。文件系统可以从计算机操作系统访问，并且可以包括以各种格式存储的文件。除了用于创建、存储、编辑和执行已存储的程序的语言(例如上述pl/sql语言)之外，rdbms还通常采用结构化查询语言(sql)。
62.在一些示例中，系统元件可被实施为一个或多个计算装置(例如，服务器、个人计算机等)上、存储在与其相关联的计算机可读介质(例如，磁盘、存储器等)上的计算机可读指令(例如，软件)。计算机程序产品可以包括存储在计算机可读介质上的用于执行本文所描述功能的此类指令。
63.在附图中，相同的附图标记指示相同的元件。另外，可以改变这些元件中的一些或全部。关于本文描述的介质、过程、系统、方法、启发等，应当理解，虽然此类过程等的步骤已被描述为按照某一有序序列发生，但是可在以与本文所描述顺序不同的顺序执行所描述步骤的情况下来实践此类过程。还应当理解，可以同时执行某些步骤，可以添加其他步骤，或者可以省略本文描述的某些步骤。
64.除非本文作出相反的明确指示，否则权利要求中使用的所有术语意图给出如本领域技术人员所理解的普通和通常的含义。具体地，除非权利要求叙述相反的明确限制，否则使用诸如“一个”、“该”、“所述”等单数形式冠词应被解读为叙述指示的要素中的一个或多个。形容词“第一”、“第二”、“第三”、“第四”和“第五”贯穿本文献用作标识符，而不是意在表示重要性、次序或数量。
65.已经以说明性方式描述了本公开，并且将理解，已经使用的术语旨在本质上是描述性而不是限制性词语。鉴于以上教导，本公开的许多修改和变化是可能的，并且本公开可以不同于具体描述的其他方式来实践。
66.根据本发明，提供了一种计算机，其具有处理器和存储器，该存储器存储可由处理器执行的指令以：通过预期风险得分对车辆的最低风险策略的列表进行排名；对于每个最低风险策略，更新从所述车辆的当前位置到相应的终点位置的距离，其中每个终点位置满足与相应的最低风险策略相对应的最低风险状况；响应于从一组异常状况中选择的第一异常状况，基于所述第一异常状况确定距离限制；然后从所述相应距离低于所述距离限制的所述最低风险策略中选择所述预期风险得分排名最佳的所述最低风险策略；以及然后指示
所述车辆执行所选择的最低风险策略。
67.根据一个实施例，所述一组异常状况包括驾驶员未能在时间限制内从自主模式重新参与对所述车辆的控制。
68.根据一个实施例，所述指令还包括以所述自主模式操作所述车辆，并且在确定所述车辆将进入不能满足针对所述自主模式的至少一个工况的区域时，提示所述驾驶员重新参与对所述车辆的控制。
69.根据一个实施例，至少一个工况是道路类型。
70.根据一个实施例，道路类型是受控通道。
71.根据一个实施例，工况是没有施工区。
72.根据一个实施例，所述指令还包括：对于所述最低风险策略中的至少一个，基于从所述车辆的所述当前位置到所述终点位置的距离并基于所述终点位置处没有来自危险列表的危险来选择所述终点位置。
73.根据一个实施例，所述指令还包括接收地图数据，该地图数据包括对来自危险列表的危险的指示。
74.根据一个实施例，所述指令还包括根据地图数据选择终点位置。
75.根据一个实施例，所述指令还包括基于没有来自所述危险列表的危险来确定至少一个终点位置的合格区域。
76.根据一个实施例，所述最低风险策略的列表上的第一最低风险策略为从所述车辆当前正在其上行驶的受控通道行驶到第一终点位置，并且所述指令还包括选择所述第一终点位置，使得所述第一终点位置与所述受控通道分开。
77.根据一个实施例，所述第一终点位置为指定用于停车的区域或不同于所述受控通道的道路的路肩中的一者。
78.根据一个实施例，所述指令还包括：基于从所述车辆的所述当前位置到所述第一终点位置的距离并基于所述第一终点位置处没有来自危险列表的危险来选择所述第一终点位置。
79.根据一个实施例，危险列表包括存在施工区。
80.根据一个实施例，所述最低风险策略的列表上的第一最低风险策略为行驶到第一终点位置，并且所述指令还包括选择所述第一终点位置，使得所述第一终点位置在所述车辆当前正在其上行驶的道路的路肩上。
81.根据一个实施例，所述指令还包括：基于从所述车辆的所述当前位置到所述第一终点位置的距离并基于所述第一终点位置处没有来自危险列表的危险来选择所述第一终点位置。
82.根据一个实施例，危险列表包括在预选位置处存在行人或停止的车辆中的至少一者。
83.根据一个实施例，所述最低风险策略的列表上的第一最低风险策略为将所述车辆停在当前行驶车道上。
84.根据一个实施例，所述一组异常状况包括所述车辆的一个或多个部件的故障。
85.根据本发明，一种方法包括：通过预期风险得分对车辆的最低风险策略的列表进行排名；对于每个最低风险策略，更新从所述车辆的当前位置到终点位置的距离，其中每个
终点位置满足与相应的最低风险策略相对应的最低风险状况；响应于来自一组异常状况中的第一异常状况，基于所述第一异常状况确定距离限制；然后从所述相应距离低于所述距离限制的所述最低风险策略中选择所述预期风险得分排名最佳的所述最低风险策略；以及然后指示所述车辆执行所选择的最低风险策略。