英语原文共 7 页

无人驾驶地面车辆的可实现安全性

摘要： 安全是无人驾驶汽车的重要问题。 然而，即使在完全知情的情况下，大多数现有方法也未能确保安全。本文说明当机器人使用其板载传感器在充满静态和移动障碍物的环境中进化时，应用安全标准。 传感器只能提供对周围环境的部分和不确定的认知。 我们表明，通常的安全概念不适用于此相关案例，并讨论可以给出哪些安全保障以及如何实现这些保障。

关键词：运动计划，安全，感知，车辆，ICS，不确定性，不完整性

一：介绍

无人驾驶汽车是一个有趣的机器人应用程序。 从机器人的角度来看，主要目标是为机器人化的车提供从城市的A点到B点单独移动的能力。 在城市中移动车辆时确保安全是需要解决的核心问题。 由于大多数机器人系统在无人居住的区域或高度受控的环境中演变，因此这个问题似乎是一个将要解决的新问题。

城市试点问题可分为两类：路线规划和轨迹规划。 路线规划担心定义A点和B点之间的路线。轨迹规划定义精确的运动，允许遍历由路线规划者定义的街道序列。 考虑到市场上可用的各种汽车导航系统，可以考虑解决单个车辆的路线规划（和重新规划）问题1。 本文关注的是人口稠密城市等环境中轨迹规划的安全性。

之前的工作讨论了对车辆周围环境进行广泛可靠的感知覆盖的需求，以便提供足够的信息以避免碰撞[1]，[2]。 在[3]，[4]中讨论了典型道路操纵所需的探测范围（U形转弯，超车，十字路口会车）.最后的工作如[5]，[6]，[7]提出了不同的方法，将无人驾驶的感知，计划和控制整合在一起应用于城市环境中的车辆。

在本文中，我们认为大多数现有工作都没有为在城市等环境中发展的无人驾驶地面车辆提供足够的安全保障。 我们将证明，当车辆基于其传感器输入计划时，基于不可避免的碰撞状态的通常的安全概念不适用。 我们认为，在这种相关的情况下，它只是考虑到当前的道路网状况来确定一大群车辆的路线。考虑到可能的未来，这仍然是一个有趣的开放问题，可以保证机器人不会因行动而受到伤害，我们无法保证通过无所作为而无害。

第二节我们提供了安全性和评估方法是否安全所需的标准。 第三节定义了不确定和不完整的世界模型的概念。 第四节解释了不确定性对安全规划及其管理的影响。 在第五部分，我们分析了一个不完整的世界观的车辆规划的安全性。 在第六部分，我们提出了一种在不确定和不完整的世界中提供安全保障的方法。 第七节讨论额外感官数据对安全保障的影响。 最后，第八节提供了一些结论。

二：安全性

移动机器人，尤其是无人驾驶的地面车辆，能够伤害自己及其周围环境（行人，动物，其他车辆，街道基础设施等......）。运动安全可以减缓，如果可能，可避免与环境的有害接触。

定义1 :(安全运动）如果可以保证机器人的运动不会伤害自己或周围环境，那么机器人就被认为是安全的。

对于地面车辆，这种伤害可以通过三种不同的方式产生：

bull;以不适当的速度穿越地形可能会损害车辆本身（遇到水，洞，路缘，不平或太倾斜的地面等）

bull;与物体碰撞 在地面上（行人，动物，其他车辆，墙壁，电线杆，垃圾桶等......）

bull;将车辆推出其动态稳定范围（翻车）。

在任何情况下，在给定时间将车辆设置在错误的状态（位置，速度等），都会引起伤害。 为了避免伤害，我们需要及时确定车辆的状态。

定义2 :(车辆运动规划问题）给定初始状态x（t0），在任何轨迹pi;和世界模型w上的成本测量c（pi;），定义将在时间pi;中产生安全的可行状态。它将在最小化成本c（pi;）下产生安全的移动。

车辆运动规划问题是具有约束的优化问题。 在我们的应用中，成本函数c（pi;）将衡量我们在路线规划期间定义的路径上的进度。 世界模型是根据机器人可用的输入数据（传感器，先验信息，通信等）构建的世界的代表。 由于规划涉及确定车辆的未来状态，因此世界模型需要提供有关未来世界状况的信息。 时间序列被称为轨迹。 如果轨迹存在允许机器人及时到达这些状态的一系列命令，则说该轨迹是可行的。

运动的安全性不仅取决于轨迹的定义方式，还取决于世界模型的构建和使用方式，以及车辆在现实世界中如何执行轨迹。 机器人的安全运动是感知、计划、控制三重奏的属性。

图1：观察和未观察区域的插图

A：安全标准

为了分析机器人系统的安全性，已经提出了三个标准[8]：

1）考虑机器人的运动

2）考虑周围环境的运动

3）考虑有限的时间范围

第一个标准表明在运动规划中需要考虑机器人运动的限制（最大加速/减速，最大速度，遵守约束等）。

第二个标准表明必须考虑车辆周围存在移动和静止障碍物。 需要考虑周围物体的未来位置，以便预测可用的自由空间。

最后一个标准表明，由于机器人可能在不可避免的碰撞过程中的任何时间点，机器人的相对运动不能随意地改变（不确定性）。 在现实世界中没有任何特定的假设，在有限的时间范围内检查碰撞并不能保证机器人不会处于这种不可避免的碰撞状态[9]。 然而，应该注意的是，在许多情况下，可以定义一组有限的验证（计算），这些验证将保证无限时间范围内的无害行为[10]，[11]，[12]。

当在静止和移动障碍物的环境中进化时，所有传统的机器人运动方法（最近的图，动态窗，速度障碍物）都不能遵守这些标准，因此无法确保无害的运动[8]。 即使在假设对世界的现在和未来有完美的了解时，也会发生这种情况。

作为一个例子，我们可以分析[13]中提出的系统。他们认为用他们的传感器建造的世界模型是完整的，并且它正确地分类静态障碍物和行人。随着每个新的传感器测量，世界模型被更​​新并且车辆更新其计划的轨迹。轨迹由一组预定的动力学可行的控制命令序列产生。对于该组的每个元素，检查与世界模型的碰撞，并测量最终状态和期望的未来状态之间的距离。导致碰撞的轨迹被忽略，并且选择最接近期望状态（目标）的命令序列。虽然宣布作为“在动态环境中安全驾驶”的方法，但该方法未能考虑行人的未来运动，并且不能保证在下一次迭代中至少存在无碰撞的原理。由于无法保证不会发生冲突，因此无法遵守定义1，应视为不安全。

三：从传感器构建世界模型

A.世界模式，伤害和可穿越性

为了解决机器人运动问题（参见定义2），我们需要能够评估两个值。 设x（t）表示车辆的状态，pi;是从初始状态x（t0）开始的候选轨迹。 然后c（pi;）是表示pi;允许我们达到期望目标的程度的值，运动规划器使用它来搜索最理想的轨迹。 第二值h（x（t），w（t））isin;[0,1]评估在给定对时间t处的世界状态的预测时将车辆设置在状态x（t）中所引起的危害。 伤害的概念及其与功能h（x（t），w（t））的映射是高度依赖于应用的，例如，通过汽车对于坦克可能是无害的，但对于另一辆汽车而言是致命的。 第二个值允许运动规划器搜索安全轨迹。

基于定义1，我们期望能够保证计划的轨迹pi;= {（x（t1），t1），（x（t2），t2），...，（x（infin;），infin;）} h（x（ti），w（ti））=0forall;（x（ti），ti）isin;pi;。

定义3 :(时间上的可穿越空间）如果对于覆盖点p的任何车辆状态x（t），空间中的点p被认为是在时间t可穿越的，则伤害值h（x（t），w（t））是 零。

当点p落入对应于该状态的边界框多边形内时，它被状态x（t）覆盖。 因此，感知模块的主要关注点之一是及时估计和预测可穿越空间。 在关注安全轨迹规划时使用的通常概念是不可避免的碰撞状态（ICS）的概念。

定义4 :(不可避免的碰撞状态）如果由于应用任何可能的命令序列到此状态而导致的所有轨迹导致碰撞，则在不可避免的碰撞中考虑状态。

在我们的案例中，由于我们也关注车辆本身的福利，如果“必然存在损害状态”，我们就应该说话。我们将使用不可改变的范围。 严格来说，我们关注的是避免到达h（x（t），w（t））= 0的状态（根据应用，可能包括更多的恰当状态）。在轨道规划人员应该至少只产生轨迹的安全性是免费的 不可避免的损害状态。

B．不完整性

当使用板载传感器时，机器人基本上仅限于访问不完整且不确定的世界表示。 这意味着一些周围区域将被忽略（由于感应范围或遮挡，见图1），障碍物的相对位置不一定精确地知道（空间碰撞概率的分布）和不确定性 在预测移动障碍的未来位置将单调增长（因为我们不知道他们未来的状态）。在未来的某个点上，没有任何关于可穿越空间的信息。

定义5 :(不完全世界模型）如果没有为每个可能的对（t，x（t））定义h（x（t），w（t）），则认为世界模型w是不完整的。

由于h并未在任何地方定义，因此不完整的世界模型可能导致不完整或次优的计划。

已知 最可能的 可能的 保守的

图2：按时间预测不可穿越的空间。 观察平面下方的区域，预测顶部区域

C不确定性

传感器被噪声破坏，因此对静态障碍物的相对距离测量将是不确定的。此外，状态估计移动障碍物将是嘈杂的。 即使存在移动障碍物的确定性模型，当前状态估计的初始不确定性也将随时间传播。 在许多应用中，随机模型用于预测移动障碍物的运动（例如行人或驾驶员的运动），因此位置不确定性随时间增长。 在不确定的世界模型中，时刻t处的点p的可遍历性变为概率值。

定义6 :(不确定世界模型）当h（x（t），w（t））不可用但概率分布P（h（x（t），w（t））可用时，世界模型w被认为是不确定的。

四．不确定的世界

让我们假设现在我们可以访问一个完整但不确定的世界模型。 如前所述，这意味着给定的车辆状态与危险值P的概率分布（h（x（t），w（t）））相关联。 由于我们寻求无害运动（其中h（x（t），w（t））= 0）我们特别感兴趣的是值P（h（x（t），w（t））= 0）。

如果世界上存在任何移动障碍，未来的位置不确定性将随着时间单调增长。 假设移动的障碍物具有覆盖我们的可达空间（考虑行人和人类驾驶员），未来的某些点将使整个世界模型变得无法提供信息：任何可穿越的区域都可能变得不可穿越。 那么它能够确定在没有碰撞的情况下会发生什么样的碰撞？ 我们能否在不确定的世界中定义不可避免的碰撞状态？

A.成本函数

通常的安全方法包括将其作为成本函数c（pi;）的一部分。 在不确定的世界模型中，可以使用车辆轨迹的积分超过概率分布（在类似于[14]的精神中）来定义这样的成本分量，如等式1中所述。

safety_cost =Sigma;_{（x（ti），ti）isin;pi;}（P（h（x（ti），w（ti））= 0）-0.5）（1）

由于将无碰撞轨迹定义为无效轨迹是没有意义的，因此让我们以最低的碰撞概率搜索具有最小碰撞概率的轨迹。 这种方法不适用于多种原因。 首先，我们应该记住，规划的主要目标是达到一个具体的目标。 成本函数将在接近目标时抵消碰撞风险，如果确保安全是必须的，则这是不合需要的。 另一方面，如果碰撞风险与达到目标相比具有非常重要的高度，则生成的轨迹将不令人满意。 观察空区时，最安全的轨迹是尽快停止。 直接使用成本函数既不能提供令人满意的安全性，也不能提供满意的轨迹来达到目的。

B概率阈值

为了提供安全保证，需要对概率分布进行阈值处理，以便在空间时间内定义二元函数（例如，类似于[15]的精神）。 这样做相当于提供了对可穿越空间的保守估计（见图2）。 我们希望确保如果某个时空区域被预测为可穿越，那么它将是真实的。在确定车辆将始终在区域内进化的过程中，碰撞被认为是非常不可能的，并且可能发生碰撞的区域将被忽视。

定义 7 :(保守世界模型）世界模型w^，被认为是w的保守近似，当且仅当h(x(t),w^，(t))=0rArr;h(x(t),w(t))=0 forall;x(t)forall;t。

阈值P（h（x（t），w（t））= 0）允许通过使用方程中描述的函数h将不确定世界模型转换为某个世界模型

H^，(h((x(t),w(t)))=h(x(t),w^，(t))=

0, if P(h(x(t),w(t))=0)lt; pthreshold,

argmax P(h(x(t),w(t))), otherwise. (2)

我们期望h（因此，所选择的阈值）提供现实世界的保守近似（通过传感器不可访问）。
当对不完整和不确定的世界模型使用阈值时，随着时间的推移，预测的世界可能会崩溃成一个完全不可穿越的区域。 在这种情况下，不可避免的碰撞状态的概念不适用。 这个问题将在第五节讨论。

图5. 由车辆的一些停止命令产生的轨迹。 点在时间上是等距的

五．不完整的世界

由于机器人只知道世界的一小部分，因此可能没有足够的信息来定义从当前状态到目标的单个定义计划。 即使这样做，随着新信息的获得，也可以产生更好的计划。 这导致了部分运动规划的概念[16]，[17]。 面额“部分”表示，与其他方法[14]，[5]不同，该计划未达到目标（但希望能够实现目标）。 使用尽力而为的方法，

机器人最初计算到达目标的部分计划。 随着机器人移动，计算新计划以扩展或

资料编号：[4808]