安全检测方法、安全检测模块、安全系统和自动驾驶系统

摘要

本公开至少一种实施例提供了一种安全检测方法，属于自动驾驶技术领域，该安全检测方法包括：响应于用于检测所述自动驾驶系统安全性的至少一个回调函数中的一个第一回调函数被回调，将当前时刻记录为第一回调时刻；计算所述第一回调时刻与所述第一回调函数上一次被回调时所对应的第二回调时刻的时间差，将所述时间差作为回调间隔；判断所述回调间隔是否大于第一预定间隔阈值；如果判断出所述回调间隔大于所述第一预定间隔阈值，则确定所述自动驾驶系统的通信处于异常状态。本公开至少一种实施例还提供了一种安全检测模块、安全系统和自动驾驶系统和计算机可读介质。

说明书

技术领域

本公开实施例涉及自动驾驶技术领域，特别涉及一种安全检测方法、安全检测模块、安全系统、自动驾驶系统和计算机可读介质。

背景技术

自动驾驶系统通常包含了多个工作模块和用于工作模块之间通信的自动驾驶通信框架。自动驾驶通信框架的运行状态，对整个自动驾驶系统的稳定性和安全性都起着至关重要的作用。

发明内容

本发明旨在至少解决现有技术中无法对自动驾驶通信框架的运行状态进行及时检测的技术问题，提出了一种安全检测方法、安全检测模块、安全系统和自动驾驶系统。

第一方面，本公开实施例提供了一种用于自动驾驶系统的安全检测方法，所述方法包括:

响应于用于检测所述自动驾驶系统安全性的至少一个回调函数中的一个第一回调函数被回调，将当前时刻记录为第一回调时刻；

计算所述第一回调时刻与所述第一回调函数上一次被回调时所对应的第二回调时刻的时间差，将所述时间差作为回调间隔；

判断所述回调间隔是否大于第一预定间隔阈值；

如果判断出所述回调间隔大于所述第一预定间隔阈值，则确定所述自动驾驶系统中的自动驾驶通信框架处于异常状态。

在一些实施例中，所述安全检测方法还包括：每隔预定周期执行下述步骤：

获取当前系统时刻以及与所述当前系统时刻时间上最临近的所述第一回调函数被回调的第三回调时刻；

计算所述当前系统时刻与所述第三回调时刻的时间差，将所述时间差作为监控间隔；

判断所述监控间隔是否大于第二预定间隔阈值；

如果判断出所述监控间隔大于所述第二预定间隔阈值，则确定所述自动驾驶通信框架处于异常状态。

在一些实施例中，所述第二预定间隔阈值大于所述第一预定间隔阈值。

在一些实施例中，所述安全检测方法还包括：

接收所述自动驾驶系统中的目标工作模块发送的第一心跳信息；

基于所述第一心跳信息，确定所述目标工作模块是否处于异常状态。

在一些实施例中，所述安全检测方法还包括：

向所述目标工作模块发送第二心跳信息。

第二方面，本公开的实施例还提供了一种用于自动驾驶系统的安全检测模块，包括：

时间记录子模块，响应于用于检测所述自动驾驶系统安全性的至少一个回调函数中的一个第一回调函数被回调，将当前时刻记录为第一回调时刻；

第一计算子模块，用于计算所述第一回调时刻与所述第一回调函数上一次被回调时所对应的第二回调时刻的时间差，并将所述时间差作为回调间隔；

第一判断子模块，用于判断所述回调间隔是否大于第一预定间隔阈值；

第一确定子模块，用于在所述第一判断子模块判断出所述回调间隔大于第一预定间隔阈值时，则确定所述自动驾驶通信框架处于异常状态。

在一些实施例中，所述安全检测模块还包括：

获取子模块，用于获取当前系统时刻以及与所述当前系统时刻时间上最临近的所述第一回调函数被回调的第三回调时刻；

第二计算子模块，用于计算所述当前系统时刻与所述第三回调时刻的差，作为监控间隔；

第二判断子模块，用于判断所述监控间隔是否大于第二预定间隔阈值；

第二确定子模块，用于在所述第二判断子模块判断出所述监控间隔大于所述第二预定间隔阈值时，则确定所述自动驾驶通信框架处于异常状态。

在一些实施例中，所述第二预定间隔阈值大于所述第一预定间隔阈值。

在一些实施例中，所述安全检测模块还包括：

接收子模块，用于接收所述自动驾驶系统中的目标工作模块发送的第一心跳信息；

检测子模块，用于基于所述第一心跳信息，确定所述目标工作模块是否处于异常状态。

在一些实施例中，所述安全检测模块还包括：

发送子模块，用于向所述目标工作模块发送的第二心跳信息。

第三方面，本公开实施例还提供了一种安全系统，包括至少一个安全检测模块，其中，所述安全检测模块采用上述实施例所提供的安全检测模块。

第四方面，本公开实施例还提供了一种自动驾驶系统，包括安全系统，其中，所述安全系统采用上述实施例提供的安全系统。

第五方面，本公开实施例还提供了一种计算机可读介质，其上存储有计算机程序，其中，所述程序被处理器执行时实现如上述实施例提供的安全检测方法。

本公开的技术方案可及时、有效地检测自动驾驶通信框架处于正常状态或异常状态，有利于维护自动驾驶系统的稳定性和安全性。

附图说明

图1为相关技术涉及的一种自动驾驶系统的结构框图；

图2为本公开实施例提供的一种安全检测方法的流程图；

图3为本公开实施例提供的另一种安全检测方法的流程图；

图4为本公开实施例提供的又一种安全检测方法的流程图；

图5为本公开实施例提供的一种安全检测模块的结构框图；

图6为本公开实施例提供的另一种安全检测模块的结构框图；

图7为本公开实施例提供的又一种安全检测模块的结构框图。

具体实施方式

为使本领域的技术人员更好地理解本发明的技术方案，下面结合附图对本发明提供的一种安全检测方法、安全检测模块、安全系统、自动驾驶系统和计算机可读介质进行详细描述。

在下文中将参考附图更充分地描述示例实施例，但是所述示例实施例可以以不同形式来体现且不应当被解释为限于本文阐述的实施例。反之，提供这些实施例的目的在于使本公开透彻和完整，并将使本领域技术人员充分理解本公开的范围。

本文所使用的术语仅用于描述特定实施例，且不意欲限制本公开。如本文所使用的，单数形式“一个”和“该”也意欲包括复数形式，除非上下文另外清楚指出。还将理解的是，当本说明书中使用术语“包括”和/或“由……制成”时，指定存在所述特征、整体、步骤、操作、元件和/或组件，但不排除存在或添加一个或多个其他特征、整体、步骤、操作、元件、组件和/或其群组。

将理解的是，虽然本文可以使用术语第一、第二等来描述各种元件，但这些元件不应当受限于这些术语，这些术语仅用于区分一个对象和另一对象。

除非另外限定，否则本文所用的所有术语(包括技术和科学术语)

的含义与本领域普通技术人员通常理解的含义相同。还将理解，诸如那些在常用字典中限定的那些术语应当被解释为具有与其在相关技术以及本公开的背景下的含义一致的含义，且将不解释为具有理想化或过度形式上的含义，除非本文明确如此限定。

为便于本领域技术人员更好的理解本公开的技术方案，现对相关技术进行描述。

图1为相关技术涉及的一种自动驾驶系统的结构框图，如图1所示，自动驾驶系统包括多个工作模块和自动驾驶通信框架，其中自动驾驶通信框架是基于一定的硬件和软件所构成，自动驾驶通信框架用于为各工作模块提供接口，每个工作模块在收到消息和发出消息时均调用相应的接口。工作模块用于实现相应功能，例如工作模块具体可以为感知模块、预处理模块、策略模块、控制模块等，感知模块用于感知周围环境并生成相应感知数据，预处理模块用于对感知数据进行预处理(例如降噪)，策略模块(又称为决策规划模块)用于根据感知数据或其他数据生成决策信息，控制模块用于根据决策信息生成并发出控制指令，以控制车辆操作系统执行相应操作。

以两个工作模块基于自动驾驶通信框架进行消息传递过程为例；两个工作模块中的一个工作模块作为消息写入模块，另一个作为消息读取模块，该消息读取模块订阅该消息写入模块。在进行端对端数据通信时，消息写入模块以一定频率向自动驾驶通信框架写入数据信息，自动驾驶通信框架将该写入数据进行广播，在自动驾驶通信框架处于正常状态的情况下，订阅过该消息写入模块的消息读取模块会以相同频率从自动驾驶通信框架中读取到数据信息。

在相关技术中，为提高自动驾驶系统的安全性，会采用一定的技术手段来对工作模块向自动驾驶通信框架所写入的数据信息的合法性进行验证。具体地，在自动驾驶系统中增设安全系统，安全系统中设置有多个安全检测模块(checker)，每个安全检测模块对应一个工作模块。

安全检测模块中存储有回调函数，在该安全检测模块进行初始化时，将自身所存储的回调函数的函数指针注册给自动驾驶通信框架，且定义自动驾驶通信框架执行回调该安全检测模块中的回调函数的触发条件为：该安全检测模块所对应的工作模块向自动驾驶通信框架写入预定类型数据；其中，数据类型由工作模块自身决定，自动驾驶通信框架可通过数据的主题(topic)来确定出数据类型；原则上来说，不同工作模块写入至自动驾驶通信框架的数据的数据类型不同。在该安全检测模块中的回调函数被自动驾驶通信框架进行回调时，会执行对对应的工作模块所写入至自动驾驶通信框架的预定类型数据的合法性进行验证(预先在回调函数中定义了相应的合法性验证规则)的处理，且在验证出预定类型数据为不合法数据时，向策略模块反馈数据异常信息；策略模块根据异常信息制定出对应的决策信息，并发送至控制模块；控制模块根据决策信息生成并发出控制指令，以控制车辆操作系统(例如方向盘、刹车、油门等)执行相应操作，从而对自动驾驶的行车路径进行修正。

现有的安全系统虽能对工作模块所写入数据的合法性进行检验，但是无法实现对自动驾驶通信框架的工作状态进行检测。此时，若工作模块写入异常数据，且自动驾驶通信框架正好处于异常状态(例如，自动驾驶通信框架存在数据阻塞或自动驾驶通讯框架无法回调安全检测模块中回调函数)，此时与该工作模块相对应的安全检测模块无法及时检测出该异常数据未非法数据，从而会导致自动驾驶处于极度危险状态。

为实现检测自动驾驶通信框架处于正常状态或异常状态，本公开提供了相应技术方案，下面将结合具体实施例进行示例性描述。

其中，本公开所提供安全检测方法基于安全检测模块，安全检测模块中存储有预先定义的至少一个回调函数，在至少一个回调函数中至少包括一个第一回调函数，第一回调函数响应于在自动驾驶通信框架被写入预定类型数据(对应的工作模块所写入)时被自动驾驶通信框架进行回调。具体地，自动驾驶通信框架内存储有第一回调函数对应的函数指针，当预定类型数据写入至自动驾驶通信框架时，触发该回调函数的函数指针被调用。

需要说明的是，在一些实施例中，上述至少一个回调函数中还可以包括用于实现其他功能的回调函数(按照需要进行设计)，对于其他功能的回调函数，本公开不作限定。在本公开中，仅需保证安全检测模块中至少存储有上述第一回调函数即可。

图2为本公开实施例提供的一种安全检测方法的流程图，如图2所示，该安全检测方法包括：

步骤S1、响应于用于检测所述自动驾驶系统安全性的至少一个回调函数中的一个第一回调函数被回调，将当前时刻记录为第一回调时刻。

在一些实施例中，第一回调函数配置为在被自动驾驶通信框架通过函数指针进行回调时，执行对预定类型数据的合法性进行验证的处理，且在验证出预定类型数据为不合法数据时向策略模块反馈数据异常信息。回调函数被回调的具体过程属于本领域的常规技术，此处不进行详细描述。

在回调函数被回调时，安全检测模块获取系统的当前时刻，以作为第一回调时刻，并进行存储。

步骤S2、计算第一时刻与第一回调函数上一次被回调时所对应的第二回调时刻的时间差，并将该时间差作为回调间隔。

首先，以第一回调时刻为基准，安全检测模块从自身数据库内查询出第一回调函数在上一次被回调时所对应回调时刻，以作为第二回调时刻；接着，安全检测模块计算第一回调时刻与第二回调时刻之间的时间差，以得到回调间隔。

步骤S3、判断回调间隔是否大于第一预定间隔阈值。

当自动驾驶通信框架存在数据阻塞异常时，虽然安全检测模块中的第一回调函数可以被自动驾驶通信框架进行回调，但是相邻两次回调的回调间隔会大于工作模块连续两次向自动驾驶通信框架写入预定类型数据的时间间隔。基于该原理，本公开中可以根据该安全检测模块所对应的工作模块向自动驾驶通信框架写入预定类型数据的频率来设定第一预定间隔阈值；其中，假定工作模块向自动驾驶通信框架写入预定类型数据的频率为f，则第一预定间隔阈值可设置为

如果步骤S3判断出回调间隔大于第一预定间隔阈值，则执行步骤S4；如果步骤S3判断出回调间隔小于或等于第一预定间隔阈值，则执行步骤S5。

步骤S4、确定自动驾驶通信框架处于异常状态。

在步骤S4中，可以确定自动驾驶通信框架处于异常状态，且可以确定出该异常具体为数据阻塞异常，第一回调函数无法及时被回调。

步骤S5、确定自动驾驶通信框架处于正常状态。

在步骤S5中，可以检测出自动驾驶通信框架处于正常状态。

基于上述步骤S1～步骤S5，本公开的技术方案可实现对自动驾驶通信框架处于正常状态或异常状态进行检测，有利于提升自动驾驶系统的安全性和稳定性。

图3为本公开实施例提供的另一种安全检测方法的流程图，如图3所示，图3所示安全检测方法不但包括上述步骤S1～步骤S5，还包括下述步骤S6～步骤S10；其中，下述步骤S6～步骤S10每隔预定周期执行一次，下面仅对步骤S6～步骤S10进行详细描述。

步骤S6、获取当前系统时刻以及以及与当前系统时刻时间上最临近的第一回调函数被回调的第三回调时刻。

安全检测模块每隔预定周期执行一次步骤S6，获取当前系统时刻，并以当前系统时刻为基准，从自身数据库内获取在当前系统时刻之前第一回调函数最近一次被回调时所对应的回调时刻，以作为第三回调时刻。

步骤S7、计算当前系统时刻与第三回调时刻的时间，作为监控间隔。

步骤S8、判断监控间隔是否大于第二预定间隔阈值。

考虑到自动驾驶通信框架可能存在数据无法传输异常(自动驾驶通信框架完全失效)，此时安全检测模块中的第一回调函数无法被回调，从而导致无法及时检测出自动驾驶通信框架异常。

为此，本公开中每隔预定周期检测计算一次当前系统时刻与第一回调函数最近一次被回调的第三回调时刻的时间差，以作为监控间隔，并判断该监控间隔是否大于第二预定间隔阈值。

其中，第二预定间隔阈值可根据实际需要进行设定；假定工作模块向自动驾驶通信框架写入预定类型数据的频率为f，则第一预定间隔阈值可设置为

如果判断出时间间隔大于第二预定间隔阈值，则表明安全检测模块中的第一回调函数在很长一段时间内未被调用，自动驾驶通信框架处于异常状态，此后执行步骤S9；如果判断出时间间隔小于或等于第二预定间隔阈值时，则表明安全检测模块中的第一回调函数有被及时回调，此后执行步骤S10。

步骤S9、确定自动驾驶通信框架处于异常状态。

在步骤S9中，可以确定自动驾驶通信框架处于异常状态，且可以确定出该异常具体为数据无法传输异常，第一回调函数无法被回调。

步骤S10、确定自动驾驶通信框架处于正常状态。

在步骤S10中，可以确定自动驾驶通信框架处于正常状态。

需要说明的是，本公开的技术方案对步骤S1～步骤S5与步骤S6～步骤S10的执行顺序不作限定，附图中仅示例性给出步骤S6～步骤S10在步骤S5之后执行的情况。

基于上述步骤S1～步骤S10，本公开的技术方案可实现对自动驾驶通信框架处于正常状态或异常状态进行检测，有利于提升自动驾驶系统的安全性和稳定性。

图4为本公开实施例提供的又一种安全检测方法的流程图，如图4所示，图4所示安全检测方法不但包括上述步骤S1～步骤S5，还包括下述步骤S11～步骤S13，下面仅对步骤S6～步骤S10进行详细描述。

步骤S11、接收目标工作模块发送的第一心跳信息。

步骤S12、根据第一心跳信息检测目标工作模块处于正常状态或异常状态。

心跳消息Heartbeat Message是一种发送方发送到接收方的消息，这种消息可以让接收方确定发送方是否以及何时出现故障或终止。通常，心跳消息从发送方启动时开始发送，直到发送方关闭，期间发送方可以不间断的发送周期性或重复消息。当接收方在某个消息接收周期内未收到消息，接收方可能会认为发送方已经关闭、出现故障、或者当前不可用。

在本公开中，目标工作模块可以为该安全检测模块所对应的工作模块，也可是其他的工作模块。通过接收目标工作模块发送的第一心跳信息，并基于第一心跳信息可检测出目标工作模块处于正常状态或异常状态。

需要说明的是，根据被监控对象的心跳信息检测被监控对象处于正常状态或异常状态的具体处理过程，其属于本领域的常规技术，此处不进行详细描述。

步骤S13、向目标工作模块发送第二心跳信息。

在步骤S13中，安全检测模块向目标工作模块发送第二心跳信息，以供目标工作模块根据第二心跳信息检测安全检测模块处于正常状态或异常状态。

此时，安全检测模块与目标工作模块之间建立了心跳检测机制，互相检测对方的处于正常状态或异常状态(存活性检测)，从而能进一步的提升自动驾驶系统的安全性和稳定性。

在一些实施例中，目标工作模块为策略模块，其为无热车系统中的核心模块，因此监控策略模块的存活性，对维护自动驾驶系统的安全性，具有重大的意义。另外，策略模块具有较强的数据处理能力，利用策略模块来对安全检测模块的存活性进行监控，不会造成系统压力。

需要说明的是，本公开的技术方案对步骤S1～步骤S5与步骤S11～步骤S13的执行顺序不作限定，附图中仅示例性给出步骤S11～步骤S13在步骤S5之后执行的情况。

此外，在一些实施例中，步骤S1～步骤S5、步骤S6～步骤S10以及步骤S11～步骤S13进行组合以得到的新技术方案，该新技术方案可实现对整个无热车系统进行全面的监控，该新技术方案也应属于本公开的保护范围。

图5为本公开实施例提供的一种安全检测模块的结构框图，如图5所示，该安全检测模块可用于实现前述实施例提供的安全检测方法，该安全检测模块包括：时间记录子模块1、第一计算子模块2、第一判断子模块3和第一检测子模块4。

其中，时间记录子模块1响应于用于检测自动驾驶系统安全性的至少一个回调函数中的一个第一回调函数被回调，用于将当前时刻记录为第一回调时刻。

第一计算子模块2用于计算第一回调时刻与第一回调函数上一次被回调时所对应的第二回调时刻的时间差，作为回调间隔。

第一判断子模块3用于判断回调间隔是否大于预定间隔阈值。

第一确定子模块4用于当第一判断子模块3判断出回调间隔大于预定间隔阈值时，确定自动驾驶通信框架处于异常状态；以及，当第一判断子模块3判断出回调间隔小于或等于预定间隔阈值时，确定出自动驾驶通信框架处于正常状态。

在一些实施例中，第一回调函数配置为在被自动驾驶通信框架进行回调时执行对预定类型数据的合法性进行验证的处理，且在验证出预定类型数据为不合法数据时向策略模块反馈数据异常信息。

在一些实施例中，安全检测模块还包括函数存储子模块5，函数存储子模块5存储有预先定义的第一回调函数。

图6为本公开实施例提供的另一种安全检测模块的结构框图，如图6所示，在一些实施例中，安全检测模块不但包括上述时间记录子模块1、第一计算子模块2、第一判断子模块3、第一确定子模块4和函数存储子模块5，还包括获取子模块6、第二计算子模块7、第二判断子模块8和第二确定子模块9。

其中，获取子模块6用于每隔预定周期获取当前系统时刻以及与当前系统时刻时间上最临近的第一回调函数被回调的第三回调时刻。

第二计算子模块7用于计算当前系统时刻与第三回调时刻的时间差，作为监控间隔。

第二判断子模块8用于判断监控间隔是否大于第二预定间隔阈值。

第二确定子模块9用于在第二判断子模块8判断出回调间隔大于第二预定间隔阈值时，则确定自动驾驶通信框架处于异常状态。以及，在第二判断子模块8判断出回调间隔小于或等于第二预定间隔阈值时，则确定自动驾驶通信框架处于正常状态。

在一些实施例中，第二预定间隔阈值大于第一预定间隔阈值。

图7为本公开实施例提供的又一种安全检测模块的结构框图，如图7所示，在一些实施例中，安全检测模块不但包括上述的时间记录子模块1、第一计算子模块2、第一判断子模块3、第一检测子模块4和函数存储子模块5，还包括：接收子模块10和检测子模块11。

其中，接收子模块10用于接收自动驾驶系统中的目标工作模块发送的第一心跳信息。

检测子模块11用于基于第一心跳信息确定目标工作模块是否处于异常状态。

继续参见图7所示，在一些实施例中安全检测模块还包括：发送子模块12，送子模块12用于向目标工作模块发送安全检测模块的第二心跳信息，以供目标工作模块根据第二心跳信息检测安全检测模块处于正常状态或异常状态。

进一步可选地，目标工作模块为策略模块。

对于本实施例中各模块和子模块的具体描述，可参见前述实施例中对相应步骤的描述内容，此处不再赘述。

需要说明的是，在本公开实施例中，安全检测模块还可以同时包括图6中的上述获取子模块6、第二计算子模块7、第二判断子模块8和第二确定子模块9，以及图7中的接收子模块10、检测子模块11和发送子模块12，其也应属于本公开的保护范围。

本公开实施例还提供了一种安全系统，其包括至少一个安全检测模块，其中，安全检测模块采用上述实施例提供的安全检测模块。

本公开实施例还提供了一种自动驾驶系统，包括安全系统，其中，该安全系统采用上述实施例提供的安全系统。

本公开实施例还提供了一种计算机可读介质，其上存储有计算机程序，其中，程序被处理器执行时实现如前述实施例提供的安全检测方法。

本领域普通技术人员可以理解，上文中所公开方法中的全部或某些步骤、装置中的功能模块可以被实施为软件、固件、硬件及其适当的组合。在硬件实施方式中，在以上描述中提及的功能模块之间的划分不一定对应于物理组件的划分；例如，一个物理组件可以具有多个功能，或者一个功能或步骤可以由若干物理组件合作执行。某些物理组件或所有物理组件可以被实施为由处理器，如中央处理器、数字信号处理器或微处理器执行的软件，或者被实施为硬件，或者被实施为集成电路，如专用集成电路。这样的软件可以分布在计算机可读介质上，计算机可读介质可以包括计算机存储介质(或非暂时性介质)和通信介质(或暂时性介质)。如本领域普通技术人员公知的，术语计算机存储介质包括在用于存储信息(诸如计算机可读指令、数据结构、程序模块或其他数据)的任何方法或技术中实施的易失性和非易失性、可移除和不可移除介质。计算机存储介质包括但不限于RAM、ROM、EEPROM、闪存或其他存储器技术、CD-ROM、数字多功能盘(DVD)或其他光盘存储、磁盒、磁带、磁盘存储或其他磁存储装置、或者可以用于存储期望的信息并且可以被计算机访问的任何其他的介质。此外，本领域普通技术人员公知的是，通信介质通常包含计算机可读指令、数据结构、程序模块或者诸如载波或其他传输机制之类的调制数据信号中的其他数据，并且可包括任何信息递送介质。

本文已经公开了示例实施例，并且虽然采用了具体术语，但它们仅用于并仅应当被解释为一般说明性含义，并且不用于限制的目的。在一些实例中，对本领域技术人员显而易见的是，除非另外明确指出，否则可单独使用与特定实施例相结合描述的特征、特性和/或元素，或可与其他实施例相结合描述的特征、特性和/或元件组合使用。因此，本领域技术人员将理解，在不脱离由所附的权利要求阐明的本公开的范围的情况下，可进行各种形式和细节上的改变。