具体实施方式

现将在下文中参照附图更全面地描述本发明，其中本发明的某些方面示出在附图中。然而，本发明可以按许多不同形式来体现，并且不应被解释为限于本文所阐述的实施例和方面；实际上，这些实施例是以示例方式提供的，以使得本公开将详尽且完整，并将向本领域的技术人员全面传达本发明的范围。贯穿说明书中相同附图标记表示相同元件。

应理解，本发明不限于本文所描述且附图所图示的实施例；实际上，本领域的技术人员应认识到可以在随附权利要求书的范围内进行许多改变和修改。

图1示出了示意性铰接式车辆组合1，该铰接式车辆组合1包括拖曳车辆2和两个被拖曳车辆3、4。拖曳车辆可以是适于商业高速公路使用的常见卡车或具有转盘的牵引车，但也可以是越野卡车、公共汽车或休闲车。在所示出的示例中，第一被拖曳车或挂车3是具有连接到卡车的挂车联结器的牵引杆的小车。小车设置有两个轮轴7。第二被拖曳车或挂车4是设置有连接到小车的转盘的主销8的半挂车。此示例示出了普通类型的较长车辆组合，但也可以使用具有其它类型的拖曳车和其它类型和数量的被拖曳车的其它类型的车辆组合。不同车辆组合可以包含具有常见挂车的卡车、具有中轴挂车的卡车、具有小车和半挂车的卡车、具有半挂车的牵引车、具有B连杆和半挂车的牵引车、具有半挂车和常见挂车的牵引车或具有半挂车小车和半挂车的牵引车。

在所示出的车辆组合中，拖曳车——即，卡车——的有效轴距Leq1是从卡车的前轴12到假想轴13的长度。第一被拖曳车——即，小车——的有效轴距Leq2是从小车的牵引杆接头到假想轴6的长度。第二被拖曳挂车的有效轴距Leq3从主销8延伸到挂车4的假想后轴9。

拖曳车可以设置有各种自主或半自主驾驶功能，包括处理电路和传感器系统。例如，车辆可以包括下文将结合图12更详细地论述的控制单元1200。

车辆可以连接15到处理装置14，该处理装置14被布置成执行离线计算以辅助车辆控制系统。连接15优选是无线的，但是也可以是有线连接或者经由诸如硬盘驱动器等某一存储模块进行的连接。

车辆1的车辆动力学取决于车辆的速度。例如，对于恒定转弯半径R，横向或向心加速度ay按照ay＝vx2/R取决于车辆纵向速度vx和转弯半径R。并且，挂车在不同速度下表现不同。对于缓慢移动的铰接式车辆1，如US 9,862,413 B2所讨论的，挂车3、4针对恒定半径转弯将向内切入，从而将扫过的区域向内——即，朝向表示转弯的圆段的中心——扩展。对于较快移动的铰接式车辆，横向加速度ay可能足够强以导致挂车的一些打滑，这种效应然后替代地将扫过的区域向外——即，背离表示转弯的圆段的中心——扩展。对于不执行转弯或者R极大的铰接式车辆1(并且其中车辆不会遭受折裂事件)，因为挂车将遵循与拖曳车相同的车辙，所以扫过的区域将不会扩展到牵引车所覆盖的区域之外。因此，铰接式车辆1扫过的区域通常在低速下增大，即，缓慢移动的铰接式车辆与以较高速度移动的同一铰接式车辆相比实际上可以扫过较大区域。对于某一“理想”或“最佳”速度，扫过的区域最小，并且然后对于由于增大的向心加速度而发生打滑的足够高的速度，扫过的区域再次增大。

本文中，可驾驶区域是车辆可以位于其中而没有车辆损坏或驾驶员受伤风险的区域。道路本身当然是可驾驶区域，只要道路上不存在障碍物。然而，取决于情形，路肩可以被包括在可驾驶区域中，并且取决于情形和车辆类型，路边的区域也可以被包括在可驾驶区域中。例如，如果相对平坦的田野延伸到路边而中间没有沟渠，那么平坦田野可以被认为是可驾驶区域，因为铰接式车辆可以临时行驶到田野上，而没有损坏车辆或伤害车辆乘员的显著风险。如自卸卡车等越野车可能相比普通货物运输车辆与较大可驾驶区域相关联。可驾驶区域可以由控制单元1200确定，该确定将在下文更详细地论述。

车辆状态是一起描述车辆当前处于什么状态的变量的集合。本文中，车辆状态包括与车辆位置(坐标)和取向(诸如例如，行驶方向、转向角和铰接角)相关联的变量。车辆状态还包括与车辆动态状态相关联的信息，即，车辆速度、加速度、转弯速率等。车辆状态通常被表示为状态变量x的向量。如下文将更详细论述的，容许车辆状态空间通常可以包括状态变量——诸如，操纵期间的横向位置——的上限与下限两者。

本文中，“安全”被给予广义解释。安全车辆状态可以是车辆和/或车辆乘员和/或其它道路用户不遭受受伤或损坏风险的状态。

可以给出安全状况和不安全状况的一些示例。

根据一些方面，碰撞风险不可能的形势可以被认为是安全状态。

根据一些其它方面，取决于物体，碰撞风险不是不可能的形势仍然可以被认为是安全状态。也就是说，与小灌木或树碰撞可以被认为是安全的，而与另一车辆或如砖墙等较大物体碰撞可以被认为是不安全的。

根据一些其它方面，与另一车辆碰撞可以被认为是安全的，其中例如经由车辆间(V2V)通信，已预先确定碰撞可以以低风险被容忍。

根据各方面，车辆有离开可驾驶区域的风险的形势被认为是不安全的。

根据其它方面，如上文所论述，取决于可驾驶区域之外的地面的特性，离开可驾驶区域可以被认为是安全的。

状态空间是表示车辆状态范围的N维空间。物理学总是取决于车辆的类型——例如，通过可达到的最大速度和加速度——来限制状态空间。控制单元1200可以对状态空间施加其它约束，从而将车辆状态空间限制在一些值范围内。

自主和半自主铰接式车辆依赖于传感器信号输入以便控制车辆，无论是否有驾驶员。布置在车辆上的用于支持自主功能的传感器系统可以包括以下的任一者：无线电探测和测距(雷达)传感器、光探测和测距(激光雷达)传感器、诸如相机的基于视觉的传感器以及全球定位系统(GPS)接收器。这些传感器监控车辆周围环境，以便检测障碍物并确定例如车辆前方的可驾驶区域的几何形状。车辆还可以包括许多车载传感器，诸如，转向角传感器、铰接角传感器——即测量拖曳车与挂车之间的角度的传感器、车轮速度传感器和惯性测量单元(IMU)。

如果车辆丢失来自一个或多个传感器系统的传感器输入，可能导致严重形势。例如，雷达和激光雷达数据传感器可能崩溃，或者负责处理传感器信号数据的处理单元可能遭受断电。如果关键传感器信号丢失或者一些关键操作以其它方式受到阻碍，那么可能需要自动操纵，诸如，安全停止操纵。此操纵然后可以基于使用车载传感器系统的控制来执行。即，使用车轮速度以及可能使用方向盘角度传感器进行的航位推算。

本文中，最低风险操纵(MRM)是将车辆转变到安全状态中的操纵。安全停止操纵是MRM的示例。然而，MRM还可以包括在给定车道上维持恒定速度或执行障碍物回避操纵。

MRM是形势回避操纵(SAM)的示例。形势回避操纵的类别包括可以被执行以回避不期望的形势——诸如，检测到的风险形势——的所有操纵。SAM还可以与例如困难泊车形势等相关。

在例如车辆速度过高或者车辆相对于道路边界位于不合适的横向位置的情况下，SAM可能不是始终可能以安全方式执行。如果SAM对于可能在操纵期间发生的所有干扰效应都是可能的，那么SAM被认为是可在具有成功前景的情况下初始化的。另一方面，如果存在无法由相应控制命令补偿的至少一个干扰事件，那么不能保证SAM成功。然而，这并不意味着MRM不可能对所有可能的干扰而是只对一些干扰执行。换句话说，在任何给定时间，可以执行的单一安全操纵的存在是安全性的充分条件。然而，如果操纵无法在下一决策点在具有成功前景的情况下初始化，那么它必须立即被初始化。立即执行始终是可能的，因为在此决策点执行安全操纵的能力是在前一决策点不执行安全操纵的准则。

根据一些方面，在具有成功前景的情况下初始化意味着操纵可以以高概率成功完成。根据一些方面，此概率可以被认为接近100％，即，接近保证操纵的成功。根据其它一些方面，该概率低于100％。换句话说，可以配置阈值，该阈值确定了以便操纵被称为可在具有成功前景的情况下初始化所需的概率或可能性。

图2示出了示例SAM 23。车辆1正在具有两个车道的道路21上行驶。很有可能的是，左侧车道可能包括相反方向上的车辆并且因此应予以回避。车辆1例如由于某种类型的系统故障确定在位置(A)需要SAM。SAM车辙23被确定为在可以在路边22完全停止的位置(B)将车辆1转变到安全状态中。SAM 23由描述车辆应沿着车辙在不同点处制动有多重的加速度分布图以及描述车辆应如何转弯以便在位置(B)安全转变到安全状态中的横向控制律确定。

为了确保车辆安全，可以在车辆控制功能中包含“安全网”。安全网的任务是监控车辆控制命令，以确保车辆不以从其例如无法保证安全盲停的状态结束。从概念上说，这个监控问题可以被视为前向可达性问题。前向可达性分析通常是必须在线执行以考虑各种初始状况和不同类型的干扰的高计算需求的操作。

这个安全网概念中的监控问题可以通过以下问题来概括：如果我们应用当前的控制动作，那么我们是否可以确保或预测可以在下一决策时刻以某种合理概率执行成功盲停？

如果我们具有保证了成功盲停的状态集合——在下文中被称为安全集合，那么我们可以使用候选控制输入和系统的模型以预测这些状态在下一采样时刻是否属于安全集合。如果我们可以确认状态向量的鲁棒集合成员，那么控制输入通过监控而被核准。如果控制输入未被核准，那么可以初始化SAM——诸如，盲停。

根据各方面，可以仅根据模型的状态来表达安全状态集合，即，对于某一安全集合S，车辆的安全行为可以被表达为x∈S。

直观地说，如果操作设计域(ODD)足够简单(例如，如果仅限于高速公路驾驶)，那么可以根据车辆的横向位置来表达安全状态。

执行安全操纵明确地阻止了执行运输任务，直到可以恢复安全的标称控制为止。然而，安全操纵通常不是唯一的；在任何操作点，都有回避事故的若干方式，并且知晓一种以上方式使系统对交通状况的改变较鲁棒。

现将给出可以如何确定安全集合的一些细节。

多面体被定义为有限数量的线性不等式的解集。如果可以在不改变解集的情况下将不等式从多面体的描述移除，那么该不等式是多余的。同样，如果不等式不是多余的，那么它是必要的(或非多余的)。如果描述多面体的所有不等式都是必要的，那么这些不等式构成多面体的最小表示。

多面体线性系统是x(k+1)＝A(k)x(k)+B(k)w(k)形式的离散时间线性系统，其中x和w分别表示状态变量和外生干扰。根据一些方面，外生干扰可以被假设为有界的。根据一些其它方面，外源干扰可以被假设在给定概率下——例如，5个9或99.999％——在某一范围内。多面体线性系统通常是已知的，并且本文中将不更详细地论述。

参考图3，对于给定目标集合X，一步长鲁棒可控集合(或原像集合)S＝Pre(X,W,Δ)被定义为通过x(k+1)＝A(k)x(k)+B(k)w(k)鲁棒地映射到X的状态集合，其中Δ表示矩阵对(A,B)和w∈W的凸包。原像集合由例如F.Borrelli、A.Bemporad和M.Morari在2015年剑桥大学出版社出版的“Predictive Control for linear and hybrid systems(线性和混合系统的预测控制)”中论述，并且因此本文中将不更详细地论述。

对于所有w∈W，原像集合S是存在将车辆状态转变到目标状态集合X中所包括的状态中的控制信号u(示出在图3中)的车辆状态集合。干扰集合可以被假设为有界的，或者可以被假设为表示固定发生概率的某一集合。

如果可以使用线性不等式集合来定义X，也就是说，如果对于某一矩阵H和某一向量h，那么可以将一步长鲁棒可控集合Pre(X，W，Δ)作为评估，其中的元素j由给出，其中我们为矩阵H的第j行引入了表示符号H_j，：并且为向量h的第j元素引入了h_j。因此，如果集合W是多面体，那么可以通过对许多线性规划(LP)求解来计算一步长鲁棒可控集合。

图4图示了车辆1执行SAM 23，这在车辆状态x(T0)中在时间T0开始。期望在时段T1到T0中将车辆状态x转变到状态集合X中所包括的状态中。

对于在时间T0开始的、期望车辆状态应在某一时刻T1处于其中的给定目标集合X，可以将系统x(k+1)＝A(k)x(k)+B(k)w(k)的N步长鲁棒可控集合Pre^N(X，W，Δ)递归地定义为

Ω₀＝X、Ω_i+1＝Pre(Ω_i，W，Δ)∩X、Pre^N(X，W，)＝Ω_N。

图5示出了曲线图500，该曲线图500图示了车辆1在图4所示的SAM 23期间遵循的速度分布图510。根据各方面，假设此速度分布图对于任何给定SAM是已知的。因此，为了确定SAM，仅需要基于所假设的速度分布图510而确定合适的横向控制律。

对于某一t_s，N步长鲁棒可控集合是系统x(k+1)＝A(k)x(k)+B(k)w(k)以N＝(T1-T0)/t_s个时间步长鲁棒地映射到X上的状态集合。N步长鲁棒可控集合也由F.Borrelli、A.Bemporad和M.Morari在2015年剑桥大学出版社出版的“Predictive Control forlinear and hybrid systems(线性和混合系统的预测控制)”中论述，并且因此本文中将不更详细地论述。

现将提供计算N步长鲁棒可控集合的示例算法。应注意，该算法由高计算需求的操作(即，原像集合的评估和最小表示的计算)构成。如果干扰集合仅由简单边界暗示，那么评估原像集合的成本可以显著降低。

可以将用于计算N步长鲁棒可控集合的算法给出如下：

Ω₀＝X，

对于k＝1,…,N，进行

-Ω_k＝Pre(Ω_k-1，W，Δ)∩X，并且

-找到Ω_k的最小表示。

N步长鲁棒可控集合然后由Pre^N(X，W，Δ)＝Ω_N给出。

现将给出安全集合可以在实践中如何由车辆1确定的示例。应了解，本公开不限于这种确定安全集合的确切方式。相反，本领域的技术人员应认识到，可以使用数学分析、计算机实验或者甚至特别调查和实际实验以许多不同方式确定安全集合。

对于此示例，假设关于道路或关于某一所估计的可驾驶区域，描述车辆1的横向动力学的线性模型可用于给定纵向速度510。进一步假设在时间k的车辆状态由状态变量x(k)给出。然后；

x(k+1)＝A(k)x(k)+B(k)u(k)+D(k)w(k)，

y(k)＝C(k)x(k)+E(k)w(k)，

z(k)＝F(k)w(k)，

其中A对车辆动力学建模，B对控制命令u对车辆状态x的影响建模，D对干扰w对车辆状态x的影响建模，y表示经由C对车辆状态x的测量并且E对干扰w经由E对测量y的影响建模。变量z表示经由F进行的干扰测量，这是可选的。

图6图示了从位置(A)处的初始状态x(T0)到位置(B)处的目标状态的SAM车辙23。此处，示例车辆状态x包括三维的位置向量x、速度向量v和加速度向量a。在时间Ti，车辆真实状态是由三角形表示的x(Ti)，这与由星形表示的在时间Ti的SAM车辙相差了量e(Ti)。SAM控制系统的目标是将误差e或者误差e的某些函数减到最小。根据一些方面，速度v与加速度a两者的目标值由SAM预定。因此，仅需要横向控制律以便完全定义SAM车辙23。因此，参考图6，可以预定义SAM期间的纵向速度分布图，并且使用线性状态反馈来控制盲停期间的横向运动，即，u(k)＝L(k)(y_r-y(k))+L_ff(k)z(k)，其中L是可能随时间变化的反馈增益矩阵，y_r是输出参考向量并且L_ff是与干扰测量z相关联的前馈增益向量。

应注意，盲停期间的闭环系统可以被表达为x(k+1)＝A’(k)x(k)+B’(k)w(k)，其中A’(k)＝A(k)-B(k)L(k)C(k)、B’(k)＝B(k)L_ff(k)F(k)-B(k)L(k)E(k)+D(k)B(k)L(k)并且w’(k)＝[w(k)^T y(k)^T]^T。因此，对于此示例，可以将这些算法应用于确定上文所论述的N步长鲁棒可控集合。

图7图示了所公开的方法背后的一般想法。车辆1在某一时间T0-t_s与车辆状态x(k|k)相关联，其中t_s与车辆1中的自主驾驶系统或ADAS系统的某些更新周期相关。

稍微简化的符号表示x(k|k)在本文中被广义地解释为在时间k的给定数据直到时间k的车辆状态x。为了便于符号表示，给定数据直到时间k的车辆状态的预测然后只是被表示为x(k+1|k)。

假设车辆1中的控制系统输出控制命令u¹。然后可以基于控制命令u¹和车辆动力学模型而预测车辆1在时间k+1的状态。此预测在图7中被图示为x(k+1|x(k),u¹)，即，给定关于在时间k的车辆状态x和关于控制命令u¹的信息的在时间k+1的车辆状态。所预测的车辆状态x(k+1|x(k),u¹)被包括在安全集合S中，这意味着对于所有可能干扰w∈W，可以成功地执行用于将车辆1转变到安全状态中的SAM。因此，可以承认控制命令u¹，并且可以继续车辆控制。然而，对于控制命令u²，预测x(k+1|x(k),u²)没有被包括在安全集合S中。这意味着存在没有可以用于将车辆转变到安全状态中的控制序列的干扰w∈W的至少一个实现。这意味着在时间k+1的SAM将由于接受控制命令u²而被妨碍。然而，这并不意味着不可能将车辆转变到X中，因为可能存在可以进行转变的w∈W的许多实现。

因此，应了解，“妨碍”在本文中未必意味着不可能将车辆1转变到目标状态集合X中(例如，在u²被承认的情况下)。这仅仅意味着存在无法制定将车辆转变到目标状态集合X中的控制律的干扰w∈W的潜在实现。

图8示意性地图示了预测车辆状态x的一些方面。在时间k，车辆状态x(k|k)与车辆状态不确定性度量810相关联，该车辆状态不确定性度量描述了车辆状态估计的准确性。完美的状态估计与“真实”车辆状态完全一致，而根据某一误差分布，与真实状态相比，较现实的车辆状态估计将有所不同。表示车辆状态不确定性的常用方式是通过表示预期误差变化的协方差矩阵或者通过不确定性椭圆。不确定性也可以由多面体或某一更一般的边界构造表示。

在时间k发布控制命令u 820，该控制命令将影响车辆状态，并且在时间k+1发布车辆状态不确定性840。不确定性度量可以与在时间k+1的安全状态集合830进行比较。以这种方式，可以获得较鲁棒的系统，因为当确定控制命令是否妨碍未来SAM时，可以考虑车辆状态不确定性。

现考虑车辆如图9所图示具有两个安全停止的示例。在此示例中，车辆到这两个安全停止中的转变充当SAM的示例。每个安全停止由围绕标称安全停止位置的车辆状态集合定义。在纵向上，可以使用预定义的加速度分布图而达到安全停止位置。在横向上，使用预定义的控制律而达到安全停止位置。因此，SAM由纵向加速度分布图和横向控制律隐含地定义。

图10图示了已被修改为经调整的安全集合S'的标称安全集合S。对于某一向量γ＞0假设干扰集合W可以被表达为W＝{w＝[α^Tβ^T]^T|-γ≤α≤γ，Qβ≤r}。当根据上文的论述评估原像集合时，我们将符号表示μ_i，j≥0和π_i，j≥0分别用于对应于不等式α-γ≤0和-α-γ≤0的拉格朗日对偶变量。应注意，由于互补松弛性，拉格朗日对偶变量无法同时(元素式)非零。现在我们介绍符号表示λ_i，j＝max(μ_i，j，π_i，j)，其中max(a，b)是含有其变元的元素式最大值的向量，并且应注意然后可以直接将原像集合表达为其中Δ_γ表示与用于原像集合的评估的γ的值的可能偏差。以类似方式，灵敏度接着可以通过上文论述的递归过程传播，以便将经调整的安全集合表达为

稍有趣的是，注意γ的选择不影响线性不等式的取向，而是只影响它们与原点的距离。

应注意，如果γ被更新，那么多余不等式可能变得必要。因此，应仔细计算最小表示，并且可以必须将名义上多余的一些不等式保持在集合的描述中。

对于形式的安全集合，当驾驶状况激发γ的不同选择时，调整安全集合的大小原则上是简单的。然而，当集合的大小减小时，应确保在安全集合中仍然含有车辆动力学的当前一步长预测，如图10所描绘。下文中，我们提供了对如果α是标量，那么可以如何在线计算最大Δ_γ的描述。假设系统动力学的一步长预测由点集合的凸包表示，即，x(k+1)∈Co(x₁，...，x_p)。

我们计算针对每个这样的点定义安全集合的不等式的残差，∈_j＝Qx_j-r，j＝1，...，p。对于∈_j的元素i，我们可以既而计算出将导致(∈_j)_i＝0的Δ_γ。既而，将最大允许Δ_γ作为这些结果中的最小值获得。

图11示出了流程图，该流程图图示了概述上文论述的方面的方法。示出了一种用于确定与当前车辆状态x_k|k相关联的用于控制车辆1的车辆控制命令u_k是否妨碍车辆1的未来形势回避操纵(SAM)23的方法。该方法包括：

获得S1一个或多个安全集合S₁、S₂……S_K，其中每个安全集合表示可以在具有成功前景的情况下初始化未来SAM 23的车辆状态范围，

获得S2当前车辆状态x_k|k和控制命令u_k，

基于当前车辆状态x_k|k和控制命令u_k而预测S3未来车辆状态x_k+1|k，以及

将所预测的未来车辆状态x_k+1|k与一个或多个安全集合S₁、S₂……S_K进行比较S4，并且如果所预测的未来车辆状态x_k+1|k没有被包括在一个或多个安全集合S₁、S₂……S_K中的任一个中，那么确定控制命令u_k妨碍未来SAM 23。

如上文所解释，所公开的方法可以用于监控控制命令，以检查是否可以在任何给定时间在具有成功前景的情况下执行SAM。因此，可以允许“任何人”在由系统提供的界限内驾驶车辆，这是优点。这允许放宽对车辆的驾驶控制系统的要求，这是优点。

所公开的方法还使自主驾驶系统(ADS)能够不需要在每次驾驶系统提出不知道是否安全的轨迹时求助于SAM。可以存在“中间地带”，在该“中间地带”中，系统可以推迟要执行SAM的决策，并且仍然是安全的，因此为标称驾驶系统提供了重新获得对车辆的控制的机会。这有助于提高运输效率，这是优点。

根据一些方面，未来SAM 23是要在预定数量N个离散时间更新周期t_s内初始化的SAM。因此，SAM可以是要在下一次更新操作或未来某时初始化的SAM。根据示例，N＝1。

可选地，SAM 23可以至少部分由预定纵向加速度分布图510和相关联的横向控制律定义。通过固定加速度分布图，可以基于已知车辆动力学来确定横向控制律，这简化了横向控制律的确定。

SAM 23也可以至少部分由SAM要达到的目标车辆状态范围X定义。

根据一些方面，在存在无法被对应控制律补偿以达到目标车辆状态范围X的至少一个干扰序列的情况下，SAM 23被妨碍。因此，SAM被妨碍未必意味着不存在将车辆转变到例如目标车辆状态范围中的控制律，因为它取决于干扰序列w的实现。根据一些方面，被妨碍意味着存在没有将车辆带入目标车辆状态范围中的对应控制序列的干扰序列w。因此，即使SAM被妨碍，也可能存在将车辆转变到目标状态范围中的控制序列。

根据一些方面，一个或多个安全集合S₁、S₂……S_K是基于被递归地修改为N步长鲁棒可控集合的相应一步长鲁棒可控集合而确定的。上面论述了一步长鲁棒可控集合。这些类型的集合也由F.Borrelli、A.Bemporad和M.Morari在2015年剑桥大学出版社出版的“Predictive Control for linear and hybrid systems(线性和混合系统的预测控制)”中论述。

根据一些方面，一个或多个安全集合S₁、S₂……S_K是基于线性差分包含模型而确定的。

根据一些方面，一个或多个安全集合S₁、S₂……S_K是至少部分从被布置成离线生成安全集合的处理装置14获得的。此处理装置14示出在图1中。优点是，可以离线进行所需计算的一部分，因为车辆计算资源在处理能力或关于处理时间的约束方面可能有限。并且，减少实时或在线计算的次数导致较容易评估性能。

根据一些方面，一个或多个离线生成的安全集合是基于预定加速度分布图510和最大操纵车辙曲率而生成的标称安全集合。上文给出了安全集合生成的示例。应了解，所公开的方法不限于上文给出的确切示例。

根据一些方面，该方法包括基于与当前驾驶场景相关联的最大车辙曲率值，而调整S11一个或多个安全集合S₁、S₂……S_K以生成相应的经调整的安全集合S'₁、S'₂……S'_K。上文结合图10论述了安全集合的调整。

根据一些方面，预测包括基于与车辆1相关联的车辆动力学模型而预测S31未来车辆状态x_k+1|k。车辆动力学模型可能依赖于车辆速度，这就是为什么在确定SAM时假设已知的加速度分布图是优点。换句话说，对于给定SAM 23，车辆动力学模型至少部分由车辆1的预定加速度分布图510确定。

根据一些方面，车辆动力学模型是至少部分作为线性化单车辙模型而确定的，其中加性噪声用于考虑未建模的车辆动力学。

根据一些方面，预测包括基于有界干扰模型而预测S32未来车辆状态x_k+1|k。如上所述，根据一些方面，外源干扰w可以被假设在给定概率下——例如，5个9或99.999％——在某一范围内。根据一些其它方面，干扰w可以由线性不等式集合定界。

根据一些方面，预测包括预测S33与未来车辆状态x_k+1|k相关联的不确定性。

上文结合图7和图8论述了车辆状态预测。

根据一些方面，预测包括预测S34与未来车辆状态x_k+1|k相关联的可驾驶区域。

为了确保安全，不仅可以预测车辆状态x，而且可以预测可驾驶区域。非常类似于用于车辆的模型，可驾驶区域模型也是动态的，并且包含状态。车辆和可驾驶区域状态可以组合以确定车辆是否在可驾驶区域内。可以同时使用多个可驾驶区域模型以近似真实可驾驶区域，例如，车道、路肩、一般路径。

可行驶区域的示例模型由沿着道路中心线曲率的恒定宽度走廊构成。动态模型包含关于曲率及其改变速率的界限。接着可以关于道路坐标来设定车辆模型，并且可以使用道路与车辆之间的距离以定义安全状态。除了道路中心线曲率之外，较复杂的可驾驶区域模型还可以包含相对于道路的安全车辆取向(包含铰接角)(这将利用卡车的已知几何形状)。

根据一些方面，该方法包括在控制命令u_k妨碍未来SAM 23的情况下，通过中间驾驶系统控制命令u'_k来调整S5控制命令u_k。下文将结合图14论述与中间驾驶系统控制相关的方面。

根据一些方面，该方法包括在控制命令u_k妨碍未来SAM 23的情况下触发S6 SAM23。

图12在许多功能单元方面示意性地图示了根据本文的论述的实施例的控制单元1200的部件。此控制单元1200可以被包括在铰接式车辆1中。处理电路1210是使用以下中的一个或更多个的任一组合来提供：能够执行存储在计算机程序产品——例如，呈存储介质1230的形式——中的软件指令的合适中央处理单元CPU、多处理器、微控制器、数字信号处理器DSP等。处理电路1210可以进一步作为至少一个专用集成电路ASIC或现场可编程门阵列FPGA来提供。

特别地，处理电路1210被配置成使控制单元1200执行操作或步骤的集合，诸如结合图10所论述的方法。例如，存储介质1230可以存储该操作集合，并且处理电路1210可以被配置成从存储介质1230检索该操作集合，以使控制单元1200执行该操作集合。该操作集合可作为可执行指令集合来提供。因此，处理电路1210因而被布置成执行如本文所公开的方法。

存储介质1230还可以包括永久存储装置，该永久存储装置例如可以是磁性存储器、光学存储器、固态存储器或甚至远程安装的存储器中的任何单一个或组合。

控制单元1200可以进一步包括用于与至少一个外部装置——诸如，被布置成离线生成安全集合的外部处理装置——通信的接口1220。因此，接口1220可以包括一个或多个发射机和接收机，包括模拟和数字部件以及用于有线或无线通信的合适数量的端口。

处理电路1210例如通过以下方式来控制控制单元1200的总体操作：将数据和控制信号发送到接口1220和存储介质1230；从接口1220接收数据和报告；以及从存储介质1230检索数据和指令。控制节点的其它部件以及相关功能被省略，以免模糊本文所呈现的概念。

图13图示了计算机可读介质1310，该计算机可读介质1310承载计算机程序，该计算机程序包括程序代码装置1320，该程序代码装置用于当所述程序产品在计算机上运行时，执行图10所图示的方法。计算机可读介质和代码装置可以一起形成计算机程序产品1300。

图14示出了用于控制车辆1的系统1400，该系统包括：

标称驾驶系统单元1410或单元A，被配置成生成车辆控制命令u_k，

形势回避操纵SAM 23生成器单元1420或单元B，被配置成生成一个或多个SAM，以及

安全集合检查和选择单元1440或单元D，被布置成确定车辆控制命令u_k是否妨碍车辆1的未来形势回避操纵SAM 23。此单元根据上文结合图1到图11论述的原理操作。

根据一些方面，系统1400还包括：中间驾驶系统单元1430或单元C，其被布置成生成控制命令u'_k，该控制命令控制车辆1以使得在控制命令u_k妨碍未来SAM 23的情况下，车辆1可以初始化未来SAM 23。

现将详细论述不同单元；

1410，单元A：标称驾驶系统(NDS)是针对运输任务而开发的，并且负责“正常驾驶”，即，车道保持、车道改变、启动和停止等。在当前设置中，使用广泛范围的车辆动态能力，以高可用性，NDS不受可用性或正确性要求的约束，同时仍然有机会驾驶车辆，这是新颖特征。它的输出是控制信号u_k，诸如例如，[曲率，加速度]。

1420，单元B：也被称为安全操纵生成(SMG)功能的SAM生成器单元负责计算若干安全轨迹，即，形势回避操纵，这些形势回避操纵各自都是安全的(相对于交通状况)以执行开始下一决策点。轨迹由状态空间中随时间而变的位置定义，并且所有这些轨迹都被包含在SAM输出中。

1430，C单元：中间驾驶系统(IDS)是通过回避到形势回避操纵的不必要的转变来提高运输效率的可选部件。它的唯一职责是提出在对当前操作模式的动态改变最小的情况下控制车辆以使得车辆可以在下一决策点初始化形势回避操纵的轨迹。例如，这可以对应于以恒定速度遵循车道。

1440，D单元：安全集合检查和选择(SSCS)负责选择安全控制信号并将此传输到单元E。此外，如果u_k安全，那么SSCS应相比u'_k优先选择控制u_k，并且如果u'_k安全，那么相比任何SAM优先选择u'_k。如果u_k和u'_k都不安全，那么应挑选所有SAM中在前一决策点被评判为安全的SAM，并将对应控制信号发送到单元E。

根据示例，在线执行以下动作：

-标称驾驶系统(以及可选地还有中间驾驶系统)将控制信号发送到安全集合检查和选择。

-SAM生成器单元监控交通状况，并将对应于预定义的纵向加速度分布图和离线计算的安全集合的有效安全停止发送到安全集合检查和选择。

-安全集合检查和选择使用车辆动力学模型以及从标称驾驶系统获得的控制信号以执行状态向量的鲁棒一步长前向预测。如果对应于安全集合检查和选择已从SAM生成器单元获得的有效安全停止的安全集合中的任一个中含有预测，那么从标称驾驶系统获得的控制信号被发送到运动控制1450。如果任何安全集合中都不含有预测，那么使用从中间驾驶系统获得的控制信号来执行类似预测。如果安全集合中的任一个中含有预测，那么从单元C获得的控制信号被发送到运动控制。如果任何安全集合中都不含有预测，那么初始化SAM(在最近决策点被单元B和单元D验证为安全的)。此外，如果B未能建议有效安全停止，那么初始化SAM(在最近决策点被验证为安全的)。

单元A到E中的一些或全部可以被包括在控制单元1200中。单元A到E中的一些或全部可以连接15到上文论述的处理单元14。