I veicoli autonomi (AV) dipendono da una sofisticata suite di sensori elettronici per percepire il loro ambiente, prendere decisioni in tempo reale e operare in modo sicuro. Questi sensori – lidar (rilevamento e ampiezza della luce), radar, telecamere e trasduttori ultrasonici – formano gli occhi e le orecchie del veicolo.

La Società degli ingegneri automobilistici (SAE) definisce sei livelli di automazione di guida, dal Livello 0 (senza automazione) al Livello 5 (completa automazione in tutte le condizioni).A livelli più elevati, il sistema di percezione del veicolo deve essere difettoso-tollerante e resiliente. Un singolo guasto del sensore, sia a causa di degradazione dell'hardware, interferenza ambientale, o errore del software, può cascata in interpretazioni di scena errate, portando a comportamenti non sicuri.

Modalità di guasto comuni dei sensori elettronici

I guasti dei sensori nei veicoli autonomi possono essere ampiamente classificati in in guasti intrinseci (difetti hardware o software), interferenze ambientali, errori di calibrazione, blocco fisico e attacchi esterni.

Malfunzionamento del sensore

Il malfunzionamento del sensore si riferisce alla perdita completa o parziale della funzione a causa di guasti hardware o anomalie software.

guasti hardware

I malfunzionamenti hardware possono derivare da difetti di fabbricazione, come i giunti di saldatura poveri, i microcrack in semiconduttori, o la sigillatura ermetica insufficiente. Nel tempo, l'età dei componenti: i laser in degrado di lidar, i fotodetectori perdono la sensibilità, e i trasmettitori radar possono derivare dalla loro frequenza di funzionamento nominale.

I sensori a ultrasuoni utilizzati per il rilevamento a distanza ravvicinata possono fallire a causa della corrosione di elementi piezoelettrici quando esposti al sale stradale e all'umidità. Le telecamere possono soffrire di pixel bloccati, artefatti a scatto rotabile o rumore di lettura del sensore.

Errori software

Un esempio comune è un fallimento nel software di elaborazione del punto-cloud del lidar che non riesce a filtrare correttamente i ritorni, generando centinaia di punti positivi falsi. Allo stesso modo, le pipeline di immagine della fotocamera possono incontrare clip di gamma dinamica a causa di un controllo di esposizione improprio, che porta la diagnosi a cornici saturate o nere in illuminazione impegnativa.

Interferenza ambientale

L'ambiente operativo influenza fortemente le prestazioni dei sensori, ogni tipo di sensore affronta sfide uniche da condizioni meteo, illuminazione e ambiente.

Lidar

Il lidar misura le distanze emettendo impulsi laser e misurando il loro tempo-di-flight.La nebbia, la pioggia, la neve e la polvere si disperdono e assorbiscono questi impulsi, riducendo la portata massima di rilevamento e aumentando il rumore. Una banca fitta nebbia può spargere quasi tutta l'energia laser, causando al lidro di restituire non validi punti a distanze oltre pochi metri.

Radar

Radar utilizza onde radio ed è generalmente più robusto di lidar in condizioni meteorologiche avverse. Tuttavia, la pioggia pesante o la slitta possono attenuare i segnali di onde millimetriche (ad esempio, 77 GHz), riducendo la gamma di rilevamento del 30-40%. Le riflessioni multipath da superfici stradali lisce o grandi strutture metalliche possono produrre obiettivi fantasma o causare misurazioni di velocità errate.

Fotocamere

Le telecamere sono sensori passivi che si basano sulla luce ambientale. La bassa luce, l'abbagliamento dai fari in arrivo, la luce diretta e la gamma dinamica che superano la capacità del sensore possono produrre immagini sottoesposte o sovraesposte, causando rilevazioni mancate. L'ostruzione di Lens da getti di pioggia, fango, neve o insetti crea punti ciechi.

Sensori a ultrasuoni

I sensori a ultrasuoni emettono onde sonore e misurano il tempo dell'eco, fortemente influenzati dalla temperatura e dall'umidità, che cambiano la velocità del suono. Il forte vento o turbolenza possono deviare il fascio del suono, riducendo l'accuratezza. Il cross-talk tra i sensori a ultrasuoni multipli che operano sulla stessa frequenza può produrre echi falsi, soprattutto in scenari di parcheggio stretti.

Errori di calibrazione

La calibrazione definisce la precisa relazione geometrica e ottica tra i componenti interni di ciascun sensore e il telaio coordinato del veicolo. La calibrazione intrinseca copre i parametri interni (lunghezza focale, distorsione delle lenti, allineamento laser).

Disinsetti di calibrazione iniziale

Se un sensore non viene correttamente calibrato durante la produzione o dopo la sostituzione, il modulo di fusione sarà un errore di registrazione dei dati. Ad esempio, un coppia di telecamere lidar con un disallineamento rotazionale di 1 grado causerà ostacoli rilevati da lidar per mappare una posizione diversa nell'immagine della fotocamera, portando a false associazioni o rilevazioni perse.

Calibrazione aritmetica sopra il tempo

Gli urti meccanici da guida su urti di velocità, impatti del marciapiede o vibrazioni normali possono lentamente spostare i montaggi del sensore. I cambiamenti di temperatura causano l'espansione e la contrazione dei materiali, alterando la geometria precisa. I sistemi di lidar che si basano sugli elementi rotanti possono sviluppare offset angolari a causa dell'usura del cuscinetto. Le staffe radar possono ruotare sotto carico sostenuto.

Alcuni moderni AV impiegano algoritmi online o “auto-calibrazione” che valutano e correggono continuamente per piccoli spostamenti confrontando i dati dei sensori contro le caratteristiche statiche (ad esempio, marcature a corsia, segni) o utilizzando tecniche di localizzazione e mappatura simultanee (SLAM).

Blocco fisico e contaminazione

La superficie attiva del sensore può essere parzialmente o completamente coperta da un sensore, il fango, la neve, il ghiaccio e i detriti. Una lente per la fotocamera coperta da uno spray stradale può produrre immagini sfocate o o occluse. Le finestre di Lidar possono essere oscurate da un insetto di spruzzo o ghiaccio spesso, causando una riduzione del campo di vista o una perdita completa del segnale.

Per contrastare questo, molti veicoli autonomi incorporano sistemi di pulizia dei sensori: riscaldatori per lenti della fotocamera e finestre di lidar, piccoli tergicristalli o getti d'aria per le telecamere, e coperture dei sensori ultrasonici che possono essere sgomberate manualmente.

Interferenza elettromagnetica (EMI) e cross-Talk

I motori ad alta corrente, gli alimentatori di commutazione e le antenne di comunicazione wireless possono interferire con i segnali dei sensori. I sensori radar che operano a frequenze simili (ad esempio 77 GHz) possono interferire tra loro quando più AV sono in prossimità, causando obiettivi falsi o pavimenti a rumore alzato.

Attacco cyber-pisico

Mentre non una modalità di fallimento nel senso tradizionale, manipolazione avversaria intenzionale è una preoccupazione crescente. Un attaccante può spoof un segnale GPS per inviare il veicolo fuori corso, iniettare falsi lidar restituisce utilizzando un diodo laser per creare un ostacolo “fantomo”, o progetti schemi avversario su un segno di arresto per ingannare una rete di segmentazione semantica della fotocamera (come dimostrato da ricercatori con piccoli adesivi).

Impatto di guasti del sensore

Le conseguenze dei guasti dei sensori vanno da inconvenienti minori a incidenti catastrofici. Un singolo rilevamento mancante o falso positivo può innescare una catena di eventi che compromettono la sicurezza, il flusso di traffico e la fiducia pubblica.

Falsi negativi (rilevamenti non risolti)

Quando un sensore non riesce a percepire un oggetto, ad esempio, un pedone oscurato da un basso sole, il sistema di percezione può decidere che non esiste alcun ostacolo, portando il veicolo a continuare il suo percorso in pericolo.

Falsi Positivi (Phantom Braking)

Falsi positivi si verificano quando un sensore rileva erroneamente un ostacolo, ad esempio un superamento o un pezzo di detriti soffiati dal vento, causando il veicolo per eseguire una manovra evasiva non necessaria, come la frenata dura o l'improvvisa sterzatura.

Prestazioni degradate

Anche quando un guasto non provoca un incidente diretto, il degrado dei sensori può costringere il veicolo a operare in modalità limitata. Ad esempio, un lidar coperto dalla neve può causare l'AV a ridurre la velocità a 15 mph e contare sul solo radar, rallentando il traffico dietro di esso.

Rischio di affidabilità sistemica

In una flotta di migliaia di veicoli autonomi, anche una bassa probabilità di guasto del sensore per miglio può portare a centinaia di incidenti all'anno. La rarità statistica dei gravi crash AV rende ogni evento altamente visibile, erodendo l'accettazione pubblica e invitando il controllo normativo. Di conseguenza, i costruttori di auto e le aziende tecnologiche devono dimostrare non solo che i sensori sono affidabili individualmente, ma che l'intero sistema può gestire con grazia qualsiasi combinazione di guasti.

Strategie per le modalità di guasto Mitigate

Nessun singolo sensore è perfetto, ma attraverso un'attenta progettazione del sistema, ridondanza e miglioramento continuo, i rischi possono essere ridotti a livelli accettabili.

Diversità del sensore e ridondanza

La mitigazione più fondamentale è quella di utilizzare sensori multipli eterogenei che coprono lo stesso campo visivo. In questo modo, se un sensore non riesce, ad esempio, il lidar è accecato dalla nebbia, il radar e la fotocamera possono ancora fornire dati significativi.

Redundancy funzionale

Oltre alla diversità hardware, la ridondanza funzionale utilizza diversi algoritmi o percorsi di elaborazione per verificare lo stesso evento. Un oggetto potrebbe essere rilevato indipendentemente da una rete di telecamere a deep-learning e da un algoritmo classico di lidar-clustering. Se i due non sono d'accordo, il sistema può contrassegnare l'osservazione e richiedere la conferma o entrare in uno stato più sicuro.

Taratura regolare e autodiagnostica

I veicoli autonome devono eseguire controlli autonome ogni volta che sono alimentati e continuamente durante il funzionamento. La calibrazione intrinseca può essere verificata confrontando le caratteristiche note (ad esempio, il modello di marcature del parcheggio) contro l'uscita del sensore previsto. La calibrazione estensiva viene monitorata utilizzando errori residui tra i dati dei sensori fusi; se l'errore supera una soglia, il veicolo può avviare un'unità di calibrazione o avvisare un tecnico.

Molte flotte impiegano aggiornamenti software over-the-air per affinare i parametri di calibrazione basati sulla telemetria da tutta la flotta, catturando i sensori di derivazione prima di causare problemi. Inoltre, i grafici di controllo del processo statistico (SPC) del rumore del sensore, della gamma o dei tassi di rilevamento possono rilevare la degradazione graduale.

Adattamento ambientale

I sistemi AV devono adattarsi a ambienti in tempo reale.

  • Pulizie attive:[] Elementi riscaldati su lidar e copri telecamera impediscono l'accumulo di ghiaccio; piccoli tergicristalli o getti d'aria compressi lenti chiare e finestre di acqua o fango.
  • Impostazioni del sensore adattivo:[ L'esposizione della fotocamera può essere regolata dinamicamente a livello di luce. L'energia dell'impulso di Lidar può essere aumentata nella nebbia (entro limiti di sicurezza degli occhi) per perforare attraverso la precipitazione della luce.
  • Compensazione algoritmica:[ Modelli di apprendimento automatico formati su dati provenienti da condizioni nebbiose, piovose o nevose possono imparare a ignorare artefatti dei sensori.

Robusto Hardware Design

I sensori di progettazione dei produttori per resistere a ambienti automobilistici difficili. Le custodie sono sigillate agli standard IP67 o IP69K per mantenere l'acqua, la polvere e le sostanze chimiche. I supporti di smorzamento della vibrazione impediscono il disallineamento ottico. I circuiti compensati dalla temperatura mantengono la calibrazione su estremi da -40 °C a +105 °C. I radar sulle unità radar sono modellati per ridurre la perdita del segnale e l'accumulo di ghiaccio.

Software e Architettura di Sistema di Fault-Tolerant

Se un sensore non riesce, il sistema dovrebbe evitare brusche transizioni. Ad esempio, se una fotocamera frontale è bloccata, il veicolo può ridurre senza problemi la velocità e fare affidamento su telecamere radar e laterali, piuttosto che slamming dei freni. Uno strato di controllo della sicurezza (come un modulo “guardiano”) può superare il principale pianificatore di guida se la fiducia del sensore scende sotto una soglia, causando al veicolo di tirare sopra.

ISO 26262 (sicurezza funzionale per l'elettronica automobilistica) e il prossimo [[ISO/PAS 21448 “sicurezza della funzionalità intensa” (SOTIF)] forniscono strutture per l'analisi e la mitigazione dei rischi di guasto dei sensori.

Misure di sicurezza informatica

Per combattere gli attacchi avversari, i dati dei sensori possono essere autenticati o crittografati. Le tecniche anti-spoofing, ad esempio, verificando i ritorni di lidar contro i rilevamenti radar, o utilizzando la profondità basata su lidar per controllare le previsioni della fotocamera, possono esporre i dati falsi iniettati. I ricercatori stanno sviluppando reti neurali che sono robuste perturbazioni avversarie, e alcuni veicoli impiegano sistemi di backup solo radar che sono meno suscettibili di attacchi ottici.

Conclusioni

I sensori elettronici sono la spina dorsale della percezione autonoma del veicolo, ma sono intrinsecamente fallibili. I guasti possono provenire da difetti hardware, interferenza ambientale, deriva della calibrazione, blocco fisico o attacchi dannosi. Le conseguenze, che vanno dalla frenata fantasma alle collisioni fatali, sottolineano la necessità di un'ingegneria completa e di livello di affidabilità.

Le attenuazioni più efficaci combinano ridondanza dei sensori, autodiagnosi continua, adattamento algoritmico, hardware robusto e tolleranza multistrato nel software. Gli standard industriali come ISO 26262 e SOTIF forniscono una metodologia strutturata per identificare e affrontare le modalità di guasto.

In definitiva, la distribuzione sicura dei veicoli autonomi dipende non da sensori perfetti, ma da un sistema che comprende i propri limiti e può agire con saggezza quando qualcosa va storto.