由配备ADS的车辆感知到的周围对象的验证

技术领域

本公开涉及验证感知到的周围对象以支持对车辆车载的ADS的应急操纵进行管理的安全关键威胁评估。

背景技术

在汽车领域内，多年来一直在开发自主车辆。越来越多的现代车辆具有高级驾驶员辅助系统ADAS，以提高车辆安全并且更普遍地提高道路安全。ADAS(其例如可以由防撞系统、前方碰撞警告等表示)是可以在驾驶时帮助车辆驾驶员的电子系统。此外，在不远的将来，自主驾驶(AD)将在更大程度上进入现代车辆。本文将在与例如如由SAE J3016驾驶自动化级别(0-5)定义的所有不同自动化级别相对应的常见术语自动驾驶系统ADS下，提及AD以及ADAS。可以将ADS解释为各种组件的复杂组合，这些组件能够被定义为系统，其中车辆的感知、决策和操作(至少部分地)由电子装置和机械、而不是人类驾驶员执行。这可以包括对车辆的处理、目的地以及对环境的了解。虽然自动系统可以控制车辆，但是它允许人类操作者将所有或至少一些责任留给系统。为了感知其环境，ADS通常组合各种传感器，诸如例如雷达、LIDAR、声纳、相机、导航和/或定位系统(例如GNSS，诸如GPS)、里程表和/或惯性测量单元，据此高级控制系统可以解释感觉信息以标识适当的导航路径以及障碍物和/或相关标志。

配备有ADS的车辆必须拥有对于计划驾驶方向内的对象或障碍物执行紧急规避应急操纵的能力。这样的操作的执行是安全关键的，并且判定是否应该发起紧急停止或紧急转向的紧急规避操纵逻辑由此需要输入安全分类。另外地，优选地此输入使得它不会导致不必要的制动，这潜在地可能导致碰撞，例如，本车被追尾。所涉及的输入由已使用一个或若干传感器系统检测和在时间上跟踪的对象或障碍物构成。然后，感知模块处理输入传感器数据以产生周围环境相对于所述对象和障碍物的环境描述。本质上，用于获得高准确度和可信赖的对象的解决方案既在计算上和在算法上复杂、又在程序上复杂，并且除此之外，感知算法可以是既概率性的、又递归的，这使对这样的模块的安全分类变为一项错综任务。

此外，对于任何感知模块(和/或与其相关联的传感器融合或目标/对象跟踪模块)总是存在假负与假正之间的权衡，并且此权衡是特征相关的。对于紧急制动，因为可能导致追尾碰撞因此假正是安全关键的。然而，对于其他特征，情况可能相反。例如，自主驾驶车辆的特征必须不能撞到对象，这对假负提出严格的要求。另一方面，因为自主功能将谨慎地驾驶因此假正可能没有问题。然后，假正的影响可能是本车的缓慢移动，这从安全视角来看是没有问题的，但是从舒适视角来看是有问题的。因此，提供既能检测到大部分对象的同时、又确保无错误制动的感知模块是有挑战性的。

规避操纵通常是对意外事件(例如行人跑到道路上或领航车辆突然制动)的响应。因此，期望快速地对情形做出响应。然而，因为可能对其他道路用户造成风险，所以除非规避动作是绝对必要的，否则最好不应该执行此类动作。因此存在矛盾要求；一发生危险情形，就最好快速地触发规避动作，同时非常确定不会触发无动机的规避动作。幸运的是，非常短的规避动作通常不危险，因此在能够及早中止无动机的规避动作的情况下被认为是安全的。错误干预的主要原因可能是来自感知模块的不正确数据，并且尽管它们在不频繁的情况下可以是可接受的，但是因为对车辆乘客例如驾驶员而言可能是不舒适的因此最好避免这些短干预。因此需要这样的方法，即，可以基于具有足够高质量的轨迹/对象来触发规避动作以限制不愉快的短干预的数量，但是如果所报告的对象未达到所述更高质量，则可以中止规避动作，从而避免潜在危险的无动机的规避动作。

发明内容

因此本文实施例的目的是提供一种方法，其用于以改进和/或替代方式验证感知到的周围对象以支持对配备ADS的车辆的应急操纵进行管理的安全关键威胁评估。

所公开的主题涉及一种由对象验证系统执行的方法，该对象验证系统用于验证感知到的周围对象以支持对车辆车载的ADS的应急操纵进行管理的安全关键威胁评估。对象验证系统在相应传感器/模态特定数据缓冲器中，存储至少在可预先确定的时间间隔期间从一个或多个车载环境检测传感器连续地和/或间歇地获得的相应传感器/模态特定传感器数据。对象验证系统在来自被配置为基于来自一个或多个车载环境检测传感器的传感器数据来生成感知数据的感知模块的支持下，进一步确定感知到的对象的在所述时间间隔内有效的对象数据。此外，对象验证系统鉴于对象数据，单独评价相应传感器/模态特定数据缓冲器中的一个或多个。此外，当对象数据根据可预先确定的匹配准则与一个或多个相应传感器/模态特定数据缓冲器中的感测到的对象匹配时，对象验证系统确定感知到的对象是经验证的对象，否则是未经验证的对象。

所公开的主题还涉及一种对象验证系统，其用于验证感知到的周围对象以支持对车辆车载的ADS的应急操纵进行管理的安全关键威胁评估。该对象验证系统包括传感器数据存储单元，该传感器数据存储单元用于在相应传感器/模态特定数据缓冲器中，存储至少在可预先确定的时间间隔期间从一个或多个车载环境检测传感器连续地和/或间歇地获得的相应传感器/模态特定传感器数据。该对象验证系统还包括对象数据确定单元，该对象数据确定单元用于在来自被配置为基于来自一个或多个车载环境检测传感器的传感器数据来生成感知数据的感知模块的支持下，确定感知到的对象的在所述时间间隔内有效的对象数据。此外，该对象验证系统包括评价单元，该评价单元用于鉴于对象数据单独评价相应传感器/模态特定数据缓冲器中的一个或多个。此外，该对象验证系统包括验证确定单元，该验证确定单元用于当对象数据根据可预先确定的匹配准则与一个或多个相应传感器/模态特定数据缓冲器中的感测到的对象匹配时，确定感知到的对象是经验证的对象，否则是未经验证的对象。

此外，所公开的主题涉及一种包括如本文所描述的对象验证系统的车辆。

此外，所公开的主题涉及一种计算机程序产品，该计算机程序产品包括存储在计算机可读介质或载波上的计算机程序，该计算机程序包含被布置为使计算机或处理器运行本文描述的对象验证系统的步骤的计算机程序代码手段。

所公开的主题还涉及一种在其上存储有所述计算机程序产品的非易失性计算机可读存储介质。

因此，引入了一种方法，根据该方法，通过使得能够从感知模块例如向威胁评估模块和/或防撞系统提供经验证的(诸如安全地分类的)对象信息，以改进和/或替代方式支持安全关键威胁评估。也就是说，由于在相应传感器/模态特定数据缓冲器中，存储了至少在可预先确定的时间间隔期间从一个或多个车载环境检测传感器连续地和/或间歇地获得的相应传感器/模态特定传感器数据，所以随着车辆正在行驶，获得并随后在用于分开的环境检测传感器或分开的传感器模态的分开的数据缓冲器中存储了至少在特定时间段期间聚集的车辆的环境的相应传感器数据。因此，例如对于第一环境检测传感器(或者对于诸如例如相机等第一类型或模态的环境检测传感器)，至少在所述时间段期间收集的(一个或多个)所述第一环境检测传感器的传感器数据被存储在第一传感器/模态特定数据缓冲器中，然而对于第n环境检测传感器(或者对于诸如雷达等第n类型或模态的环境检测传感器)，至少在所述时间段期间收集的所述第n环境检测传感器的传感器数据被存储在第n传感器/模态特定数据缓冲器中。因此，相应分开的传感器/模态特定缓冲器中的传感器/模态特定传感器数据可能针对一个传感器/模态特定数据缓冲器与另一传感器/模态特定数据缓冲器是不同，并且在所述时间段期间在车辆环境中的感测到的对象和/或其检测方面，可以至少在某种程度上进一步揭示差异和/或轻微变化。此外，也就是说，由于在来自被配置为基于来自一个或多个车载环境检测传感器的传感器数据来生成感知数据的感知模块的支持下，确定了感知到的对象在所述时间间隔内有效的对象数据，所以估计和/或计算出了由感知模块感知到的对象的性质、属性、特征和/或信息(和/或与由感知模块感知到的对象相关联的性质、属性、特征和/或信息)，从而适用于和/或关于可预先确定的时间间隔。因此，在至少获得并随后在用于分开的环境检测传感器或传感器模态的分开的数据缓冲器中存储了相应传感器/模态特定传感器数据的相同或基本上相同的时间段内，确定了适用于所述时间段的在车辆环境中感知到的对象的对象数据(诸如对象轨迹和/或径迹，例如包括对象类、对象运动学状态和/或对象不确定性区域；对象运动模型；(一个或多个)传感器关联和/或传感器数据关联等)。此外，也就是说，由于一个或多个相应传感器/模态特定数据缓冲器是鉴于对象数据单独评价的，所以传感器/模态特定数据缓冲器可以一个接一个地与所感知到的对象的对象数据匹配，并且/或者在考虑所感知到的对象的对象数据时进行评估。因此，传感器/模态特定传感器数据(例如对在可预先确定的时间间隔内获得的车辆环境中的一个和/或多个对象的检测)，可以针对相应环境检测传感器或传感器模态，鉴于所感知到的对象的性质、属性、特征和/或其信息(或与其关联的信息，例如，在对应时间间隔内估计的对象轨迹)被单独评价。因此，由于在相应分开的传感器/模态特定缓冲器中，传感器/模态特定传感器数据(以及随后对车辆环境中的一个和/或多个对象的潜在检测)针对一个传感器/模态特定缓冲器和另一传感器/模态特定数据缓冲器不同，所以鉴于对象数据的相应评估可以不同。此外，也就是说，由于当对象数据根据可预先确定的匹配准则与一个或多个相应传感器/模态特定数据缓冲器中的感测到的对象匹配时，确定了所感知到的对象是经验证的对象，否则是未经验证的对象；因此，作为评价过程的结果，如果所感知到的对象(确切地说诸如其轨迹的其对象数据)在可预先确定的程度上符合(例如重叠)包括在可预先确定数量(和/或可预先确定的一系列)的已评价的传感器/模态特定数据缓冲器中的一个或多个感测到的对象，则所述感知到的对象被确定为经验证的从而被认为不是假正，然而如果情况相反则所述感知到的对象被确定为未经验证的从而被视为假正。换句话说，来自感知模块的输出(这里由所感知到的对象表示)的可行性可以通过将所感知到的对象(确切地说其对象数据)与在最近来自一个或多个环境检测传感器的对象(这里由被包括在一个或多个传感器/模态特定数据缓冲器中的所述对象表示)的证据和/或观察结果进行比较来评价。对于存在足够一致的对象或障碍物，验证是可能的，这暗示那些对象或障碍物可以用在安全关键威胁评估中(诸如通过安全关键威胁评估模块)并且成为诸如紧急制动和/或转向操作的应急操纵的来源。随后，可以满足安全要求，例如由ISO 26262标准规定。也就是说，给定对象数据(例如来自感知模块的感知到的对象的轨迹和/或在来自感知模块的支持下)以及来自每个环境检测传感器和/或传感器模态的给定传感器/模态特定传感器数据或其子集，推理传感器/模态特定传感器数据是否为对象的存在给出足够的支持。如果情况是那样的，则该对象被标记为经验证的，这意味着它可以用在安全关键威胁评估中，诸如包括在ADS的威胁评估模块的安全关键部分中。

出于该原因，提供了一种以改进和/或替代方式验证感知到的周围对象以支持对配备ADS的车辆的应急操纵进行管理的安全关键威胁评估的方法。

附图说明

根据以下详细描述和附图，将容易地理解非限制性实施例的各个方面(包括特定特征和优点)，在附图中：

图1图示了涉及根据本公开的实施例的示例性对象验证系统的示例性场景的示意图；

图2是图示了根据本公开的实施例的示例性对象验证系统的示意框图；

图3是描绘了由根据本公开的实施例的对象验证系统执行的示例性方法的流程图；

图4是图示了根据本公开的实施例的对象验证系统的例示验证过程的示意框图；以及

图5是图示了根据本公开的实施例的对象验证系统的另一示例性验证过程的示意框图。

具体实施方式

现在将在下文中参考附图更充分地描述本公开的非限制性实施例，在附图中示出了本公开的当前优选的实施例。然而，本公开可以被以许多不同形式体现，而不应该被解释为限于本文阐述的实施方式。相似的附图标记自始至终指代相似的元件。各图中的一些框的虚线指示这些单元或动作是可选的而不是强制的。

在下文中，根据本文涉及验证感知到的周围对象以支持对车辆车载的ADS的应急操纵进行管理的安全关键威胁评估的实施例，将公开一种方法，根据该方法，通过使得能够从感知模块例如向威胁评估模块和/或防撞系统提供经验证的(诸如安全地分类的)对象信息以改进和/或替代方式支持安全关键威胁评估。

现在参考图，在图1中描绘了涉及根据本公开的实施例的示例性对象验证系统1的示例性场景的示意图，并且在图2中描绘了根据本公开的实施例的示例性对象验证系统1的示意框图。对象验证系统1被适配用于验证感知到的周围对象以支持对车辆2车载的ADS 21的应急操纵进行管理的安全关键威胁评估。

车辆2(其可以被称为本车或主车)可以由任何任意的，例如已知的有人驾驶或无人驾驶车辆表示，所述车辆例如发动机推进或电力供电的车辆，诸如汽车、卡车、手车、货车、公共汽车和/或拖拉机。此外，术语“车辆”可以指代“自主车辆和/或至少部分自主车辆”、“无人驾驶车辆和/或至少部分无人驾驶车辆”和/或“自我驾驶车辆和/或至少部分自我驾驶车辆”。此外，车辆2车载的ADS 21可以由例如本领域中已知和/或仍待开发的任何任意的ADAS或AD系统表示。此外，如在图1-2中以示例性方式描绘的，车辆2和/或ADS21包括、设有和/或在车上具有感知模块22(其还可以被称为环境感知模块、传感器融合模块和/或感知系统)，所述感知模块22被适配为估计车辆2的环境并且随后被适配为例如在来自(例如公知的)数字地图例如高清晰度、HD、地图和/或其等同物和/或后续者的支持下估计环境的感知数据220，其还可以被称为世界视图数据。感知模块22可以指代例如包括在车辆2和/或ADS 21的一个或多个电子控制模块、ECU和/或节点中的任何公知系统和/或功能性，所述任何公知系统和/或功能性被适配和/或配置为解释感觉信息—对车辆2的驾驶来说相关，以标识例如对象、障碍物、车辆车道、相关标志、适当的导航路径等。因此，感知模块22(其可以被适配为支持例如传感器融合、跟踪、定位等)可以被适配为依靠感觉信息。这种示例性感觉信息可以例如来自包括在车辆2中和/或设置在车辆2上的一个或多个(例如公知)传感器，在本文中还被称为车载传感器，所述传感器被适配为感测和/或感知车辆2的行踪和/或环境，例如由以下项中的一个或多个中的一个或组合表示：诸如图像捕获装置例如相机、LIDAR、RADAR、超声传感器等的环境检测传感器23，和/或定位系统、里程计、惯性测量单元等。换句话说，因此，感知模块22在本上下文中将被理解为负责从车上传感器获取原始传感器数据并且将此原始数据转换成场景理解的模块和/或系统。如在图2中以示例性方式描绘的，对配备ADS的车辆2的应急操纵进行管理的安全关键威胁评估之后可以例如由可选的威胁评估模块24、威胁评估器和/或防撞系统执行。短语“对象验证系统”可以指代“对象评估系统”、“对象比较系统”和/或“感知轨迹评估系统”，然而“由对象验证系统执行的方法”可以指代“由对象验证系统执行的至少部分地计算机实现的方法”。此外，“用于验证感知到的周围对象”可以指代“用于验证感知到的周围对象的存在”和/或“用于验证感知到的外部对象”。另一方面，短语“用于验证感知到的周围对象以支持对车辆车载的ADS的应急操纵进行管理的安全关键威胁评估”可以指代“用于验证感知到的周围对象以支持对车辆车载的ADS的紧急制动和/或转向操作进行管理的安全关键威胁评估”、“用于验证感知到的周围对象以支持对车辆上的ADS的应急操纵进行管理的威胁评估模块、威胁评估器和/或防撞系统的安全关键威胁评估”和/或仅仅“用于验证感知到的周围对象以在车辆上的ADS中支持安全关键威胁评估”，并且根据实施例进一步指代“用于向车辆上的ADS的应急操纵进行管理的威胁评估模块、威胁评估器和/或防撞系统提供安全地分类的对象信息”、“用于在车辆上的ADS中支持安全关键威胁评估”和/或“用于支持车辆上的ADS的自主应急操纵”。

如在例示图2中以示例性方式图示的，对象验证系统1被(例如借助于传感器数据存储单元101)适配和/或配置用于在相应传感器/模态特定数据缓冲器中存储至少在可预先确定的时间间隔期间连续地和/或间歇性地从一个或多个车载环境检测传感器23获得的相应传感器/模态特定传感器数据3。因此，随着车辆2正在行驶，获得并随后在用于分开的环境检测传感器23或分开的传感器模态的分开的数据缓冲器中存储了车辆2的至少在特定时间段期间获取的环境的相应传感器数据3。因此，如在图1-2中以示例性方式描绘的，对于第一环境检测传感器231(或者对于诸如相机等第一类型或模态的环境检测传感器231)，至少在所述时间段期间收集的(一个或多个)所述第一环境检测传感器231的传感器数据31被存储在第一传感器/模态特定数据缓冲器中，然而对于第n环境检测传感器23n(或者对于诸如例如雷达的第n类型或模态的环境检测传感器23n)，至少在所述时间段期间收集的所述第n环境检测传感器23n的传感器数据3n被存储在第n传感器/模态特定数据缓冲器中。因此，相应分开的传感器/模态特定缓冲器中的传感器/模态特定传感器数据3、31、3n可以针对一个传感器/模态特定缓冲器和另一传感器/模态特定缓冲器是不同，并且在所述时间间隔期间在车辆环境中的感测到的对象和/或其检测方面，可以至少在某种程度上进一步揭示差异和/或轻微变化。

可以从任何可行数量的车载环境检测传感器23获取相应传感器/模态特定数据3，并且相应地，相应传感器/模态特定数据缓冲器的可预先确定的时间间隔和随后大小可以具有任何可行的尺寸，诸如范围从几毫秒直至几秒或甚至几分钟的时间间隔和/或例如范围从单个数据缓冲器直至几个或甚至几十个数据缓冲器的分开的传感器/模态特定数据缓冲器的数量。此外，获取的相应传感器/模态特定数据3的持续时间可以针对一个传感器23和/或模态和另一传感器23和/或模态不同。根据将进一步结合图4-5更详细地描述的实施例，可以进一步存储和/或确定(并且/或者相应传感器/模态特定数据缓冲器可以包括)从对应传感器231、23n的潜在传感器测量误差推导出的相应误差区域和/或不确定性。短语“存储在相应传感器/模态特定数据缓冲器中”可以指代“随着所述车辆正在移动和/或行驶而存储在相应传感器/模态特定数据缓冲器中”、“分开地存储”、“存储在相应分开的传感器/模态特定数据缓冲器中”、“以数字方式和/或用电子学方法存储在相应传感器/模态特定数据缓冲器中”和/或“保存在相应传感器/模态特定数据缓冲器中”，并且根据实施例进一步指代“存储在所述对象验证系统和/或所述ADS的相应传感器/模态特定数据缓冲器中”和/或“存储在其中在分开的CPU上包含所述传感器/模态特定缓冲器中的两个或更多个的相应传感器/模态特定数据缓冲器中”。对于后者，因此降低了与硬件相关的常见故障的风险。此外，“相应传感器/模态特定传感器数据”可以指代“相应分开的传感器/模态特定传感器数据”、“车辆环境的相应传感器/模态特定传感器数据”和/或“相应传感器特定和/或模态特定传感器数据”。

如在示例性图1-2中以示例性方式图示的，对象验证系统1被进一步(例如借助对象数据确定单元102)适配和/或配置用于在来自被配置为基于来自一个或多个车载环境检测传感器23的传感器数据来生成感知数据220的感知模块22的支持下，确定感知到的对象4的在所述时间间隔内有效的对象数据40。因此，估计和/或计算出了由感知模块22感知到的对象4的、和/或与其相关联的性质、属性、特征和/或信息40，从而适用于和/或关于可预先确定的时间间隔。因此，如在其中所感知到的对象4由即将跨越本车2的预定和/或假定路径的另一车辆表示的图1中以例示方式描绘的；在如以上讨论的至少获得并随后在用于分开的环境检测传感器23或分开的传感器模态的分开的数据缓冲器中存储了相应传感器/模态特定传感器数据3的相同或基本上相同的时间段内，确定了适用于所述时间段的在车辆环境中感知到的对象4的对象数据40，诸如对象轨迹和/或径迹，例如包括对象类、对象运动学状态和/或对象不确定性区域；对象运动模型；传感器关联和/或传感器数据关联等。

感知数据220可以基于来自任何可行数量的车载环境检测传感器23(例如范围从单个传感器23直至几个或甚至几十个传感器23)的传感器数据，并且可以等于、或者可能不等于为其存储传感器模态特定数据缓冲器的先前讨论的传感器23。另一方面，感知模块22可以由先前讨论的感知模块22表示，并且相应地动作。此外，在车辆2的环境中感知到的对象4可以通过由感知模块22在车辆环境中感知到的任何可行的至少第一对象和或障碍物来表示，并且例如通过诸如例如另一车辆、脆弱道路用户、障碍物等的动态或静态对象来表示。另一方面，所感知到的对象4的在可预先确定的时间间隔内有效的对象数据40可以是例如基于至少在所述时间间隔期间连续地和/或间歇地生成的感知数据220(诸如为其子集)而确定的和/或从其中提取的。另外地或替换地，在可预先确定的时间间隔内有效的对象数据40可以是例如基于追溯而确定的，诸如使用所感知到的对象4的当前状态估计来计算出适用于所述时间间隔的对象轨迹和/或径迹400。对象数据40可以通过由感知模块22感知到的对象4的任何可行的性质、属性、特征和/或信息40来表示和/或与由感知模块22感知到的对象4的任何可行的性质、属性、特征和/或信息40相关联，并且例如包括例如包括类和/或状态、运动模型等的所述对象4的径迹和/或轨迹中的一个或多个和/或通过其来表示。因此，由于车辆2(以及潜在地所感知到的对象4)可能正在可预先确定的时间间隔期间移动，所感知到的对象4可以等于通过所感知到的对象4在所述时间间隔期间的物理范围表征的对象轨迹和/或径迹400和/或通过其来表示，所述物理范围例如感知到的类和/或感知到的运动学状态的历史、以及潜在地进一步不确定性的历史。根据实施例(将进一步结合图4-5对其进行更详细的描述)对象数据40可以包括从与所感知到的对象4的状态相关联的安全要求推断出的误差区域和/或不确定性。此外，根据实施例(将进一步结合图4对其进行更详细的描述)对象数据40可以包括传感器关联和/或传感器数据关联，意味着可以至少在可预先确定的时间间隔期间连续地和/或间歇地(例如在诸如感知对象数据缓冲器的数据缓冲器中)确定、存储和/或缓冲相应环境检测传感器23、231、23n传感器数据3、31、3n与对象轨迹400之间的连接，从而指示相应环境检测传感器23、231、23n传感器数据3、31、3n(其还可以被称为检测)中的哪些有助于在时间间隔期间更新所感知到的对象400的状态。除了确定所感知到的对象4的适用于时间间隔的对象数据40之外，车辆2自己的运动和/或状态20例如在所述时间间隔期间的速度、加速度、偏航率等(例如通过示例性一个或多个本车传感器和/或本车状态估计模块25来确定)可以另外地被确定和/或被存储，例如与对象数据40关联地或分开地。短语“确定[…]感知到的对象的在所述时间间隔内有效的对象数据”可以指代“估计、推导和/或例如在例如所述对象验证系统和/或所述ADS的感知对象数据缓冲器中存储[…]感知到的对象的在所述时间间隔内有效的对象数据”、“确定[…]感知到的对象的在所述时间间隔内有效的对象信息”、“确定[…]至少第一感知到的对象的在所述时间间隔内有效的对象数据”、“确定[…]感知到的对象的在所述时间间隔内有效的对象数据和/或与感知到的对象相关联的对象数据”、“确定[…]感知到的包括在所述感知数据中的对象的在所述时间间隔内有效的对象数据”和/或“确定[…]感知到的对象的反映、适用于、在所述时间间隔内估计和/或相关的对象数据”。此外，“在所述时间间隔内有效”可以指代“在基本上所述时间间隔内有效”和/或“在所述时间间隔的至少一部分和/或特定部分内有效”。另一方面，短语“被配置为生成感知数据的感知模块”可以指代“被适配为生成和/或提供感知数据的感知模块”，然而“基于传感器数据”可以指代“使用传感器数据作为输入”。

如在例示图2中以示例性方式图示的，对象验证系统1被进一步(例如借助于评价单元103)适配和/或配置用于鉴于对象数据40单独评价相应传感器/模态特定数据缓冲器中的一个或多个。因此，传感器/模态特定数据缓冲器(分别专用于不同的环境检测传感器23、231、23n和/或不同的传感器模态，诸如第一传感器/模态特定数据缓冲器专用于例如由相机表示的至少第一环境检测传感器231并且第n传感器/模态特定数据缓冲器专用于例如由雷达表示的至少第n环境检测传感器)可以一个接一个地与所感知到的对象4的对象数据40匹配并且/或者在考虑所感知到的对象4的对象数据40时被评估。因此，传感器/模态特定传感器数据3，例如对在可预先确定的时间间隔内获得的车辆环境中的一个和/或多个对象的检测，可以针对相应环境检测传感器或传感器模态31、3n鉴于所感知到的对象4的、和/或与其关联的性质、属性、特征和/或信息40被单独评价，所述感知到的对象4诸如在对应时间间隔内估计的对象轨迹400，例如包括对象类、对象运动学状态和/或对象不确定性区域；对象运动模型；传感器关联和/或传感器数据关联等。因此，由于在相应分开的传感器/模态特定缓冲器中传感器/模态特定传感器数据31、3n(以及随后对车辆环境中的一个和/或多个对象的潜在检测)可以从一个传感器/模态特定缓冲器到另一传感器/模态特定缓冲器不同，所以鉴于对象数据40的相应评价可以不同。

可以针对整个可预先确定的时间间隔或所述时间间隔的至少一部分(或相应部分)，鉴于对象数据40单独评价相应传感器/模态特定数据缓冲器。此外，评价过程可以涉及沿着时间间隔的任何可行数量的时间戳，诸如与所感知到的对象4和/或所感知到的对象4的轨迹400的状态更新相关的时间戳。此外，由于感知模块22在性质上可以是统计的，并且此外，由于传感器信息可能包括统计噪声，所以既在传感器/模态特定传感器数据3中又在传感器融合输出(诸如感知到的对象4)中的不确定性可能被考虑到。因此，可选地，并且如将进一步结合图4-5更详细地说明的，鉴于对象数据40单独评价相应传感器/模态特定数据缓冲器中的一个或多个可以包括从潜在传感器测量误差推断出的误差区域(其可以被称为不确定性)和从与感知到的对象4的状态相关联的安全要求推断出的误差区域(其类似地可以被称为不确定性)之间的比较。短语“单独评价所述相应传感器/模态特定数据缓冲器中的一个或多个”可以指代“单独评估、匹配、验证和/或比较所述相应传感器/模态特定数据缓冲器中的一个或多个”和/或“一个接一个地评价所述相应传感器/模态特定数据缓冲器中的一个或多个”，并且根据实施例进一步指代“针对所述传感器/模态特定数据缓冲器中的至少两个在分开的CPU上单独评价所述相应传感器/模态特定数据缓冲器中的一个或多个”。对于后者，因此降低了与硬件相关的常见故障的风险。此外，“鉴于所述对象数据”可以指代“参考所述对象数据”。

如在示例性图1-2中以例示方式图示的，对象验证系统1被进一步(例如借助于验证确定单元104)适配和/或配置用于当对象数据40根据可预先确定的匹配准则与一个或多个相应传感器/模态特定数据缓冲器中的感测到的对象匹配时，确定所感知到的对象4是经验证的对象，否则是未经验证的对象。因此，作为上述评价过程的结果，如果所感知到的对象4(确切地说诸如其轨迹400的其对象数据40)在可预先确定的程度上符合(例如重叠)包括在可预先确定数量(和/或可预先确定的一系列)的已评价的传感器/模态特定数据缓冲中的一个或多个感测到的对象，则所述感知到的对象4被确定为经验证的从而被认为不是假正，然而如果情况相反则所述感知到的对象4被确定为未经验证的从而被视为假正。换句话说，来自感知模块22的输出(这里由所感知到的对象4表示)的可行性可以通过将所感知到的对象4确切地说其对象数据40与在最近来自一个或多个环境检测传感器23的对象(这里由被包括在一个或多个传感器/模态特定数据缓冲器中的所述对象表示)的证据和/或观察结果进行比较来评价。对于存在足够一致的对象或障碍物，验证是可能的，这暗示那些对象或障碍物可以用在安全关键威胁评估中(诸如通过安全关键威胁评估模块24)并且成为诸如紧急制动和/或转向操作的应急操纵的来源，这在其中所感知到的对象4由即将跨越自我车辆2的预定和/或假定路径从而暗示安全关键情形的另一车辆表示的例示图1中是相关的。随后，然后可以满足安全要求，例如由ISO 26262标准规定。也就是说，给定对象数据40(例如来自感知模块22的感知到的对象4的轨迹400和/或在来自感知模块22的支持下)，并且给定来自每个环境检测传感器23和/或传感器模态的传感器/模态特定传感器数据3或其子集，推理传感器/模态特定传感器数据3是否为对象的存在给出足够的支持。如果情况是那样的，则该对象被标记为经验证的，这意味着它可以用在安全关键威胁评估中，诸如包括在ADS 21的威胁评估模块和/或系统24的安全关键部分中。因此，对象验证系统1可以进一步(例如借助于启用单元106)被适配和/或配置用于当所述感知到的对象4被确定为经验证的对象时，启用所感知到的对象4以在安全关键威胁评估中被考虑。另外地或替换地，对象验证系统1可以进一步(例如借助于禁用单元105)被适配和/或配置用于当所述感知到的对象4被确定为未经验证的对象时，禁用所感知到的对象4以免在安全关键威胁评估中被考虑。因此，当所述感知到的对象4被确定为经验证的对象、随后确定不是误报时，对象验证系统1可以指示潜在威胁评估模块24和/或防撞系统在安全关键评估中承认、包括和/或允许所感知到的对象4(并且/或者承认和/或允许应急操纵基于所感知到的对象4被激活)，并且/或者当所述感知到的对象4被确定为未经验证的对象、随后被确定是误报时，指示其丢弃、阻止、防止和/或忽视所感知到的对象4，和/或从安全关键评估中排除所感知到的对象4和/或不基于所感知到的对象4来激活应急操纵。

可预先确定的匹配准则可以通过任何可行的一个或多个准则和/或阈值来表示，所述准则和/或阈值为以下项规定条件和/或限制：何时被认为是合规，例如所感知到的对象4、更确切地说诸如其轨迹400的其对象数据40与在评价的传感器/模态特定数据缓冲器中的感测到的对象之间的重叠，以及进一步对于多少数量(和/或多少系列对于)的评价的传感器/模态特定数据缓冲器应该满足这种合规和/或重叠以让所感知到的对象4被认为是经验证的对象。可以将这种合规和/或重叠条件和/或限制设置为例如考虑到安全要求被视为相关的，并且相应地，可以将评价的传感器/模态特定数据缓冲器的这种数量和/或一系列类似地设置为例如考虑到安全要求被视为相关的，例如范围从单个到几个再到所有评价的传感器模态特定数据缓冲器。因此，可选地，匹配准则可以包括满足可预先确定的重叠准则，例如为诸如与类型和/或物理范围相关的对象类重叠、对象区域重叠和/或诸如与位置、速度、加速度、偏航率等相关的对象状态重叠规定条件。此外，可选地，匹配准则因此可以包括针对一个或多个相应传感器/模态特定数据缓冲器的可预先确定的数量和/或可预先确定的组合找到匹配。用于在还可以被称为验证过程的评价过程中潜在地不使用所有环境检测传感器23、随后所有传感器/模态特定缓冲器的原因可以是为了使所述评价过程的复杂性保持在低水平，和/或为了并非所有环境检测传感器23都被预期足够可靠以用在对象存在验证方案中。短语“确定[…]对象数据何时匹配”可以指代“确定[…]应该和/或对象数据是否匹配”和/或“确定[…]对象数据何时一致、重叠和/或符合”，然而“经验证的对象”可以指代“不是假正”。相应地，“未经验证的对象”可以指代“假正”。另一方面，短语“与所述一个或多个相应传感器/模态特定数据缓冲器中的感测到的对象匹配”可以指代“与包括在所述一个或多个相应传感器/模态特定数据缓冲器中的一个或多个对象匹配”，然而“根据可预先确定的匹配准则”可以指代“根据可预先确定的对象验证准则”。此外，根据实施例，短语“确定当对象数据根据可预先确定的匹配准则与所述一个或多个相应传感器/模态特定数据缓冲器中的感测到的对象匹配时所述感知到的对象是经验证的对象”可以指代“对于传感器/模态特定数据缓冲器的可预先确定的数量和/或对于传感器/模态特定数据缓冲器的可预先确定的星座，确定当所述对象数据(40)在可预先确定的程度上遵守所述一个或多个相应传感器/模态特定数据缓冲器中的相应感测到的对象、与之一致和/或重叠时确定所述感知到的对象是经验证的对象”。

在下文中，描述了根据本公开的实施例的对象验证系统1的示例性验证过程。可以首先按环境检测传感器23和/或按其模态做被跟踪对象的验证，诸如例如由相机表示的第一环境检测传感器231和例如由雷达表示的第n环境检测传感器23n被分开地验证，以从而作为引入冗余的方式具有不太复杂的解决方案，和/或以限制环境检测传感器23之间的依赖。在安全方面中，因此可以依照ISO26262标准的第9部分来执行ASIL分解。每个传感器特定和/或模态特定验证的输出可以是轨迹400的列表，其中可以以适当方式选择和/或标记或归因于由特定传感器231、23n正在验证的轨迹。此后，可以组合相应传感器特定和/或模态特定验证输出以形成融合验证输出。这样的验证融合能够范围从简单计数或逻辑与和逻辑或作到使用来自相应传感器特定和/或模态特定验证的关于对象的存在的软信息，这些软信息能够被组合以为对象产生一个验证信号。这提供了在高频率经验证的轨迹的意义上的可用性与误报之间具有权衡的可能性。在逻辑门的实施例中，最保守设置将是具有逻辑与门，这需要相应环境检测传感器或传感器模态231、23n、随后相应传感器/模态特定数据缓冲器各自验证轨迹，然而最不保守设置将是逻辑或门。在这些之间，所有可能的组合都是可能的。

如图2进一步示出的，对象验证系统1包括传感器数据存储单元101、对象数据确定单元102、评价单元103、验证确定单元104、可选禁用单元105和可选启用单元106，已经在上面对所有这些进行了更详细的描述。此外，本文用于验证感知到的周围对象以支持管控车辆2上的ADS 21的应急操纵的安全关键威胁评估的实施方式可以通过一个或多个处理器以及用于执行本文的实施方式的功能和动作的计算机程序代码来实现，所述处理器诸如处理器107，例如由至少第一中央处理单元CPU和/或至少第一图形处理单元GPU表示。所述程序代码还可以作为计算机程序产品被提供，例如形式为承载用于在被加载到对象验证系统1中时执行本文的实施方式的计算机程序代码的数据载体。一个这种载体可以形式为CD/DVDROM盘和/或硬盘驱动器，然而它在其他数据载体情况下是可行的。计算机程序代码此外可以在服务器上作为纯程序代码被提供并且下载到对象验证系统1。对象验证系统1可以进一步包括存储器108，该存储器108包括一个或多个存储器单元。存储器108可选地包括高速随机存取存储器，诸如DRAM、SRAM、DDR RAM或其他随机存取固态存储器装置，并且进一步可选地包括非易失性存储器，诸如一个或多个磁盘存储装置、光盘存储装置、闪速存储器装置或其他非易失性固态存储装置。此外，存储器108可以被布置为用于存储例如信息，并且进一步存储数据、配置、调度和应用程序，以当在对象验证系统1中运行时执行本文的方法。例如，计算机程序代码可以被实现在嵌入式处理器107的存储在闪速存储器108中的固件中，和/或例如从板外服务器以无线方式下载。此外，单元101-106、可选处理器107和/或可选存储器108可以至少部分地被包括在车辆2的一个或多个节点109例如ECU中，例如在ADS 21中和/或与ADS 21关联。本领域技术人员还将领会，上述所述单元101-106以及本文描述的任何其他单元、接口、系统、控制器、模块、装置、元件、特征等可以指代、包括、包含模拟和数字电路和/或被配置有例如存储在诸如存储器108的存储器中的软件和/或固件的一个或多个处理器的组合，并且/或者被实现在模拟和数字电路和/或被配置有软件和/或固件的一个或多个处理器的组合中或者由其实现，所述软件和/或固件当由诸如处理器107的一个或多个处理器运行时如本文所描述的那样执行。这些处理器中的一个或多个以及其他数字硬件可以被包括在单个专用集成电路ASIC或几个处理器中，并且各种数字硬件可以分布在几个分开的组件当中，而无论被单独地封装还是组装到片上系统SoC中。

图3是描绘了由根据本公开的实施方式的对象验证系统1执行的例示方法的流程图。所述方法用于验证感知到的周围对象以支持管控车辆2上的ADS 21的应急操纵的安全关键威胁评估。可以连续地重复的例示方法包括在来自图1-2的支持下讨论的以下动作中的一个或多个。此外，可以以任何合适的次序采取动作并且/或者可以同时地和/或酌情以交替次序执行一个或多个动作。例如，可以以交替次序和/或同时地执行可选动作1005和1006。

动作1001

在动作1001中，对象验证系统1(例如在来自传感器数据存储单元101的支持下)在相应传感器/模态特定数据缓冲器中，存储至少在可预先确定的时间间隔期间从一个或多个车载环境检测传感器23连续地和/或间歇地获得的相应传感器/模态特定传感器数据3。

动作1002

在动作1002中，对象验证系统1(例如在来自对象数据确定单元102的支持下)在来自被配置为基于来自一个或多个车载环境检测传感器23的传感器数据来生成感知数据220的感知模块22的支持下，确定感知到的对象4的在所述时间间隔内有效的对象数据40；

动作1003

在动作1003中，对象验证系统1(例如在来自评价单元103的支持下)鉴于对象数据40，单独评价相应传感器/模态特定数据缓冲器中的一个或多个。

可选地，评价的步骤1003可以包括、和/或评价单元103可以被适配和/或配置用于从潜在传感器测量误差推断出的误差区域以及从与感知到的对象4的状态相关联的安全要求推断出的误差区域之间的比较。

动作1004

在动作1004中，对象验证系统1(例如在来自验证确定单元104的支持下)当对象数据40根据可预先确定的匹配准则与一个或多个相应传感器/模态特定数据缓冲器中的感测到的对象匹配时，确定所感知到的对象4是经验证的对象，否则是未经验证的对象。

可选地，匹配准则可以包括针对一个或多个相应传感器/模态特定数据缓冲器的可预先确定的数量和/或组合找到匹配。

进一步可选地，匹配准则可以包括满足可预先确定的重叠准则，例如为对象类重叠、对象区域重叠和/或对象状态重叠规定条件。

动作1005

在可选动作1005中，对象验证系统1可以(例如在来自可选禁用单元105的支持下)在所感知到的对象4被确定为未经验证的对象时，禁用所感知到的对象4以免在安全关键威胁评估中被考虑。

动作1006

在可选动作1006中，对象验证系统1可以(例如在来自可选启用单元106的支持下)在所感知到的对象4被确定为经验证的对象时，启用所感知到的对象4以在安全关键威胁评估中被考虑。

如以上讨论的，可以在评价过程中考虑到环境检测传感器23和感知模块22中的不确定性，如将在下面在来自图4-5的支持下示例性的。因此，在下文中，结合图4描述了根据本公开的实施例的对象验证系统1的示例性验证过程，其中引入了使用目标跟踪关联信息的反向交叉检查。这里，使用正在从感知模块22输出的不同种类的信息，诸如所感知到的对象4的轨迹的状态和类、与特定轨迹相关联的运动模型、以及关于传感器数据(其可以被称为检测)与对应轨迹之间关联的信息。每一个轨迹的状态具有来自特征的安全要求的某些预定义最大误差值。给定轨迹的估计位置的最大误差允许计算S1正在从感知模块22输出的轨迹的初始误差区域。初始误差区域将被传播到来自过去的某些时间戳—这可以被称为追溯—在使用与轨迹相对应的运动模型情况下。考虑到运动模型中使用的轨迹的状态的不确定性追溯S2误差区域的每个顶点。存在存储关于与轨迹相关联的传感器数据的信息的缓冲器B1，换句话说关联信息确定来自环境检测传感器23的哪些检测用于更新正在从感知模块22输出的轨迹的状态。对于每个轨迹，历史取自缓冲器B2。来自历史的每个检测包含具有特定检测的轨迹的状态更新的时间戳和检测的唯一id。来自环境检测传感器23的检测的历史被存储在分开的传感器数据缓冲器B3中，该分开的传感器数据缓冲器B3可以由先前讨论的传感器/模态特定数据缓冲器表示。然后使用关于正在考虑的轨迹的特定时间戳的检测的id的信息(在B2中)，从传感器数据缓冲器B3中检索相应传感器检测信息。传感器数据—诸如位置，还可以包含基于传感器23的性能推断出的不确定性，即传感器测量误差。从传感器数据缓冲器B3中检索的每个检测的误差区域是以与在轨迹的初始误差区域(S1)的情况下类似的方式创建S3的。然后将轨迹的初始误差区域追溯到S3中使用的连续时间戳以从缓冲器中检索检测。除了追溯之外，还需要针对自我车辆运动20的补偿S4，输出轨迹的位置在受移动自我车辆束缚的参考系中给出。为了确认S5轨迹的存在，N个追溯轨迹的误差区域中的M个应该与传感器检测误差区域重叠。两个误差区域的重叠率应该高于某个预定义阈值T1。只有当轨迹存在确认计数器超过了预定义阈值T1时轨迹才被视为经验证的S6。

在图5中演示了何时在评价过程中考虑到环境检测传感器23和感知模块22中的不确定性的另一示例，图5描绘了根据本公开的实施方式的对象验证系统1的例示验证过程，其中在不使用目标跟踪关联信息的情况下引入了反向交叉检查。图5中图示的块对应于图4中的块。然而，这里—与结合图4描述的实施例相反—来自感知模块22的输出轨迹仅使用存储在传感器数据缓冲器B3中的传感器数据来验证。在针对自我车辆运动补偿的追溯轨迹误差区域与针对来自特定时间戳的传感器数据计算出的所有可能的候选误差区域之间计算出重叠率。

本领域技术人员认识到，本公开决不限于上述优选的实施方式。相反，在所附权利要求的范围内，许多修改和变化是可能的。此外应该注意，附图不一定按比例绘制并且为了清楚起见，某些特征的尺寸可能已被放大。重点被替代地放置在图示本文的实施方式的原理上。另外地，在权利要求中，单词“包括”不排除其他元件或步骤，并且不定冠词“一”或“一个”不排除多个。