Режимы отказа электронных датчиков в автономных транспортных средствах

Автономные транспортные средства (АВ) зависят от сложного набора электронных датчиков для восприятия окружающей среды, принятия решений в режиме реального времени и безопасной работы. Эти датчики - лидар (обнаружение и дальность света), радар, камеры и ультразвуковые преобразователи - формируют глаза и уши транспортного средства. Каждый тип датчиков имеет уникальные сильные и слабые стороны, и вместе они обеспечивают взаимодополняющий вид мира. Однако ни один электронный компонент не является непогрешимым. Понимание режимов отказа этих датчиков имеет решающее значение для создания надежных, пригодных для дорожного движения автономных систем.

Общество автомобильных инженеров (SAE) определяет шесть уровней автоматизации вождения, от уровня 0 (без автоматизации) до уровня 5 (полная автоматизация при любых условиях). На более высоких уровнях система восприятия транспортного средства должна быть отказоустойчивой и устойчивой. Один отказ датчика - будь то из-за деградации оборудования, помех окружающей среде или ошибки программного обеспечения - может каскадировать в неправильную интерпретацию сцены, что приводит к небезопасному поведению. Эта статья обеспечивает углубленное изучение режимов отказа датчика, их воздействия на безопасность и производительность и стратегии, используемые для их смягчения.

Общие режимы отказа электронных датчиков

Сбои датчиков в автономных транспортных средствах можно в целом классифицировать на внутренние сбои (дефекты оборудования или программного обеспечения), помехи окружающей среде, ошибки калибровки, физическую блокировку и внешние атаки.

Сенсорная неисправность

Неисправность датчика относится к полной или частичной потере функции из-за аппаратных сбоев или аномалий программного обеспечения.

Сбои в работе аппаратуры

Неисправности оборудования могут возникать из-за производственных дефектов, таких как плохие припои, микротрещины в полупроводниках или недостаточная герметизация. Со временем компоненты стареют: лазеры в лидаре ухудшаются, фотоприемники теряют чувствительность, а радиолокационные передатчики могут дрейфовать от их номинальной рабочей частоты. Механические напряжения — вибрация от шероховатых дорог, тепловой цикл и удар от выбоин или незначительных столкновений — могут вытеснять оптические элементы, разрывать проводные связи или ослаблять разъемы. Например, лидарные блоки с вращающимися зеркалами или вращающимися сборками подвергаются износу подшипников, в конечном итоге вызывая дрожь или полный захват.

Ультразвуковые датчики, используемые для обнаружения ближнего радиуса действия, могут выходить из строя из-за коррозии пьезоэлектрических элементов при воздействии дорожной соли и влаги. Камеры могут страдать от застрявших пикселей, артефактов затвора или шума считывания датчика. В каждом случае датчик может не выводить данные, непостоянные данные или данные с систематическим смещением.

Ошибки программного обеспечения

Ошибки в программном обеспечении, переполнение буфера или ошибки синхронизации в конвейерах обработки датчиков могут привести к сбою датчика или к повреждению выходного сигнала. Общим примером является сбой в программном обеспечении обработки точек лидара, которое не фильтрует возвраты правильно, создавая сотни ложноположительных точек. Аналогичным образом, конвейеры изображений камеры могут столкнуться с обрезанием динамического диапазона из-за неправильного контроля экспозиции, что приводит к насыщенным или черным кадрам при сложном освещении. Сбои программного обеспечения особенно опасны, потому что они могут быть прерывистыми, что затрудняет диагностику.

Экологическое вмешательство

Рабочая среда сильно влияет на производительность датчиков. Каждый тип датчиков сталкивается с уникальными проблемами погоды, освещения и условий окружающей среды.

Лидар

Лидар измеряет расстояния, излучая лазерные импульсы и измеряя их время полета. Туман, дождь, снег и пыль рассеивают и поглощают эти импульсы, уменьшая максимальный диапазон обнаружения и увеличивая шум. Толстый туманный берег может рассеивать почти всю лазерную энергию, заставляя лидар не возвращать действительные точки на расстояниях за несколько метров. Капли воды на окне лидара создают ложное обратное рассеяние, ошибочно предполагая препятствия ближнего действия. Яркий солнечный свет также может насыщать лавинные фотодиоды, что приводит к снижению чувствительности или цветению.

радар

Радар использует радиоволны и обычно более надежен, чем лидар в неблагоприятную погоду. Однако сильный дождь или мокрый снег может ослабить сигналы миллиметровой волны (например, 77 ГГц), уменьшая диапазон обнаружения на 30-40%. Многолучевые отражения от гладких дорожных поверхностей или крупных металлических конструкций могут создавать призрачные цели или вызывать ошибочные измерения скорости. Наземный беспорядок — возвраты с поверхности дороги, ограждения или растительность — может маскировать подлинные препятствия. На близких расстояниях радар может страдать от угловой двусмысленности из-за широких ширин луча, ограничивая его способность различать соседние объекты.

Камеры

Камеры - это пассивные датчики, которые полагаются на окружающий свет. Низкий свет, блики от встречных фар, прямой солнечный свет и динамический диапазон, превышающий возможности датчика, могут производить недоэкспонированные или переэкспонированные изображения, вызывая пропущенные обнаружения. Препятствие объектива каплями дождя, грязью, снегом или насекомыми создает слепые пятна. Вспышка объектива от ярких источников света может создавать ложные шаблоны, которые модели глубокого обучения могут неправильно интерпретировать как препятствия. Быстрые изменения освещения (например, вход в туннель) требуют автоматического контроля усиления, который может отставать, временно ослепляя систему камеры.

Ультразвуковые датчики

Ультразвуковые датчики излучают звуковые волны и измеряют эхо-время. На них сильно влияют температура и влажность, которые изменяют скорость звука. Сильный ветер или турбулентность могут отклонять звуковой луч, снижая точность. Перекрестные разговоры между несколькими ультразвуковыми датчиками, работающими на одной частоте, могут производить ложные эхо, особенно в плотных сценариях парковки. Наращивание снега или льда на лице датчика может полностью заглушить преобразователь.

Калибровочные ошибки

Калибровка определяет точную геометрическую и оптическую связь между внутренними компонентами каждого датчика и координатной рамкой транспортного средства. Внутренняя калибровка охватывает внутренние параметры (фокальное расстояние, искажение линз, выравнивание лазера). Внешняя калибровка помещает каждый датчик относительно шасси транспортного средства.

Начальные калибровочные сбросы

Если датчик не правильно откалиброван во время производства или после замены, модуль синтеза неправильно регистрирует данные. Например, пара лидар-камера с 1-градусным несоответствием вращения вызовет обнаруженные лидаром препятствия для отображения в другом месте на изображении камеры, что приведет к ложным ассоциациям или пропущенным обнаружениям.

Калибровочный дрейф с течением времени

Механические удары от вождения над скоростными шипами, удары ободка или нормальная вибрация могут медленно смещать датчики. Изменения температуры вызывают расширение и сжатие материалов, изменяя точную геометрию. Лидарные системы, которые полагаются на вращающиеся элементы, могут развивать угловые смещения из-за износа подшипника. Радарные скобки могут скручиваться при устойчивой нагрузке. Без периодической перекалибровки точность всей системы восприятия ухудшается, увеличивая риск неправильного позиционирования полосы или ошибок локализации препятствия.

Некоторые современные AV используют онлайн-алгоритмы или алгоритмы «самокалибровки», которые непрерывно оценивают и корректируют небольшие сдвиги, сравнивая данные датчиков со статическими особенностями (например, разметкой полосы движения, знаками) или используя методы одновременной локализации и отображения (SLAM).

Физическая блокада и загрязнение

Грязь, грязь, снег, лед и мусор могут частично или полностью покрывать активную область датчика. Объектив камеры, покрытый дорожным спреем, может создавать размытые или окклюзированные изображения. Лидарные окна могут быть затемнены брызгами насекомых или толстым льдом, вызывая снижение поля зрения или полную потерю сигнала. Ультразвуковые датчики могут быть заблокированы накопленной грязью или снегом. Блокировка является особенно коварным сбоем, потому что это может происходить постепенно, и датчик может продолжать выводить данные, которые кажутся действительными, пока препятствие не станет критическим.

Чтобы противостоять этому, многие автономные транспортные средства включают системы очистки датчиков: нагреватели для объективов камеры и лидарных окон, небольшие стеклоочистители или воздушные струи для камер и ультразвуковые крышки датчиков, которые могут быть очищены вручную. Тем не менее, эти системы не всегда эффективны в тяжелую или постоянную погоду.

Электромагнитная интерференция (EMI) и Cross-Talk

АВ содержат многочисленные электронные системы, которые могут генерировать электромагнитный шум. Моторы высокого тока, коммутационные источники питания и антенны беспроводной связи могут мешать сигналам датчиков. Радарные датчики, работающие на аналогичных частотах (например, 77 ГГц), могут мешать друг другу, когда несколько АВ находятся в непосредственной близости, вызывая ложные цели или повышенные шумовые полы. Лидарные блоки также могут быть восприимчивы к прямому лазерному помеху от других источников лидара, хотя современные системы используют временный или кодовый мультиплексинг для смягчения этого.

Кибер-физические атаки

Хотя это и не режим отказа в традиционном смысле, преднамеренные враждебные манипуляции вызывают растущую обеспокоенность. Злоумышленник может подделать сигнал GPS, чтобы отправить транспортное средство в негодность, ввести поддельный лидар, используя лазерный диод, чтобы создать «фантомное» препятствие, или проецировать враждебные шаблоны на знак остановки, чтобы обмануть семантические сегментационные сети камеры (как это продемонстрировали исследователи с небольшими наклейками). Радарный спуфинг также возможен с использованием чирп-глушения или повторных атак. Эти векторы атаки размывают грань между отказом и злобой, но они должны быть решены надежными протоколами безопасности.

Влияние сбоев сенсора

Последствия отказов датчиков варьируются от незначительных неудобств до катастрофических аварий.Одно пропущенное обнаружение или ложноположительный результат могут спровоцировать цепочку событий, которые ставят под угрозу безопасность, поток трафика и доверие общественности.

Ложные отрицательные (недостающие)

Когда датчик не воспринимает объект — например, пешеход, затененный бликами от низкого солнца, — система восприятия может решить, что нет препятствий, что приводит к тому, что транспортное средство продолжает свой путь в опасность. Смертность автомобиля с автоматическим управлением в Темпе, Аризона (2018) частично была связана с лидарной и радиолокационной системой, которая неправильно классифицировала пешехода, идущего по стыку из-за ограничений программного обеспечения и ненадежности датчика.

Ложные положительные (призрачное торможение)

Ложные положительные эффекты возникают, когда датчик ошибочно обнаруживает препятствие, например, эстакаду или кусок мусора, взорванный ветром, заставляя транспортное средство выполнять ненужный маневр уклонения, такой как жесткое торможение или внезапное отклонение. Это может испугать водителей, привести к столкновениям сзади или вызвать остановку AV в небезопасном месте. Несколько автомобилей Tesla на автопилоте имеют фантомные тормоза для теней или надземных знаков, действий, которые происходят из-за неправильной интерпретации камеры или ложных возвратов радара.

Уничтоженная производительность

Даже когда отказ не вызывает прямой аварии, деградация датчика может заставить транспортное средство работать в ограниченном режиме. Например, заснеженный лидар может привести к тому, что AV снизит скорость до 15 миль в час и будет полагаться только на радар, замедляя движение за ним. Частые замедления из-за помех окружающей среде могут расстроить водителей-людей и подорвать доверие к автономным технологиям.

Системный риск надежности

В парке из тысяч автономных транспортных средств даже низкая вероятность отказа датчика на милю может привести к сотням инцидентов в год. Статистическая редкость серьезных АВ-катастроф делает каждое событие очень заметным, подрывая общественное признание и привлекая внимание регулирующих органов. Следовательно, автопроизводители и технологические фирмы должны продемонстрировать не только то, что датчики индивидуально надежны, но и то, что вся система может изящно справиться с любой комбинацией отказов.

Стратегии для смягчения режимов неудач

Ни один датчик не идеален, но благодаря тщательному проектированию системы, избыточности и постоянному совершенствованию риски могут быть снижены до приемлемых уровней.

Разнообразие сенсоров и избыточность

Наиболее фундаментальным смягчением является использование нескольких гетерогенных датчиков, которые покрывают одно и то же поле зрения. Таким образом, если один датчик выходит из строя - например, лидар ослеплен туманом - радар и камера все еще могут предоставлять значимые данные. Алгоритмы синтеза датчиков объединяют выходы в единое представление, часто взвешивая уверенность каждого датчика на основе текущих условий окружающей среды. Например, при сильном дожде система может сбрасывать со счетов возвраты лидара и больше полагаться на радары и камеры с высоким лучом. Физическое дублирование одного и того же типа датчика (например, две камеры, обращенные вперед) также может защитить от одной аппаратной ошибки.

Функциональная избыточность

Помимо аппаратного разнообразия, функциональная избыточность использует различные алгоритмы или пути обработки для проверки одного и того же события. Объект может быть обнаружен независимо сетью глубокой обучающей камеры и классическим алгоритмом кластеризации лидара. Если эти два не согласны, система может пометить наблюдение и запросить подтверждение или войти в более безопасное состояние.

Регулярная калибровка и самодиагностика

Автономные транспортные средства должны выполнять самопроверку каждый раз, когда они включены и непрерывно во время работы. Внутренняя калибровка может быть проверена путем сравнения известных функций (например, шаблона разметки стоянки) с ожидаемым выходом датчика. Внешняя калибровка контролируется с использованием остаточных ошибок между данными слитых датчиков; если ошибка превышает порог, транспортное средство может инициировать калибровочный привод или предупредить техника.

Многие флоты используют обновления программного обеспечения для уточнения параметров калибровки на основе телеметрии всего флота, ловя дрейфующие датчики, прежде чем они вызовут проблемы. Кроме того, статистические схемы управления процессами (SPC) датчиков шума, дальности или скорости обнаружения могут обнаруживать постепенное ухудшение.

Экологическая адаптация

АВ-системы должны адаптироваться к изменяющимся условиям в режиме реального времени.

Robust Hardware Design

Производители проектируют датчики, чтобы выдерживать суровые автомобильные условия. Ограждения герметичны по стандартам IP67 или IP69K, чтобы не допускать воды, пыли и химических веществ. Вибрационные демпфирующие установки предотвращают оптическое несоответствие. Компенсированные температурой схемы поддерживают калибровку в экстремальных значениях от -40 °C до +105 °C. Радомы над радарными блоками формируются таким образом, чтобы минимизировать потерю сигнала и накопление льда. Тенденция к твердотельному лидару (без движущихся частей) уменьшает механические точки отказа.

Недопустимая программная и системная архитектура

Весь стек восприятия должен быть спроектирован так, чтобы изящно деградировать. Если датчик выходит из строя, система должна избегать резких переходов. Например, если передняя камера заблокирована, транспортное средство может плавно снижать скорость и полагаться на радары и боковые камеры, а не хлопать тормозами. Слой контроля безопасности (например, модуль «хранитель») может переопределить основной планировщик движения, если уверенность датчика падает ниже порога, в результате чего транспортное средство безопасно тянет.

ISO 26262 (функциональная безопасность для автомобильной электроники) и предстоящий ISO/PAS 21448 «Безопасность предполагаемой функциональности» (SOTIF) обеспечивают основу для анализа и снижения опасности отказов датчиков. Следуя этим стандартам, обеспечивает систематическую идентификацию режимов отказов и внедрение соответствующих механизмов безопасности.

Меры кибербезопасности

Для борьбы с атаками противника данные датчиков могут быть аутентифицированы или зашифрованы. Методы антиспуфинга, например, проверка возвратов лидаров против радарных обнаружений или использование глубины на основе лидара для проверки прогнозов камеры, могут подвергать вводимым ложным данным. Исследователи разрабатывают нейронные сети, которые устойчивы к враждебным возмущениям, а некоторые транспортные средства используют только радарные резервные системы, которые менее восприимчивы к оптическим атакам.

Заключение

Электронные датчики являются основой восприятия автономного транспортного средства, но они по своей сути ошибочны. Неисправности могут возникать из-за дефектов оборудования, помех окружающей среде, дрейфа калибровки, физической блокировки или вредоносных атак. Последствия, начиная от фантомного торможения до смертельных столкновений, подчеркивают необходимость комплексного проектирования надежности на системном уровне.

Наиболее эффективные меры по смягчению последствий сочетают в себе разнообразную избыточность датчиков, непрерывную самодиагностику, алгоритмическую адаптацию, надежное оборудование и многослойную отказоустойчивость в программном обеспечении. Отраслевые стандарты, такие как ISO 26262 и SOTIF, обеспечивают структурированную методологию для выявления и устранения режимов отказа. По мере развития сенсорной технологии - твердотельный лидар, 4D-радар визуализации и камеры на основе событий - все это обещает улучшенную устойчивость - отрасль движется к будущему, где отказы датчиков становятся редкими и, когда они происходят, обрабатываются изящно.

В конечном счете, безопасное развертывание автономных транспортных средств зависит не от совершенных датчиков, а от системы, которая понимает свои собственные ограничения и может действовать мудро, когда что-то идет не так. Продолжающиеся исследования, реальные испытания и сотрудничество между автопроизводителями, поставщиками и регулирующими органами будут продолжать совершенствовать эти критически важные для безопасности системы.