智能駕駛是一個(gè)交叉學(xué)科，既需要車(chē)輛工程，控制工程，計(jì)算機(jī)科學(xué)等工程學(xué)科的知識(shí)，也需要數(shù)學(xué)，物理學(xué)等基礎(chǔ)科學(xué)支撐。智能駕駛汽車(chē)通過(guò)搭載先進(jìn)的車(chē)載傳感器、控制器和數(shù)據(jù)處理器、執(zhí)行機(jī)構(gòu)等裝置，從而具備在復(fù)雜行駛環(huán)境下的傳感感知、決策規(guī)劃、控制執(zhí)行等功能，以實(shí)現(xiàn)安全、高效、舒適和節(jié)能的智能行駛。那么無(wú)論是物理意義上的傳感器，控制器和執(zhí)行機(jī)構(gòu)，還是算法層面的傳感感知，決策規(guī)劃和控制執(zhí)行，其實(shí)都是一種控制系統(tǒng)。本文就從控制理論與控制工程的角度跟大家聊聊控制系統(tǒng)與自動(dòng)駕駛安全設(shè)計(jì)的關(guān)系。

1. 控制系統(tǒng)概述20世紀(jì)40年代是自動(dòng)化技術(shù)和理論形成的關(guān)鍵時(shí)期，一批科學(xué)家為了解決軍事上提出的火炮控制、魚(yú)雷導(dǎo)航、飛機(jī)導(dǎo)航等技術(shù)問(wèn)題，逐步形成了以分析和設(shè)計(jì)單變量控制系統(tǒng)為主要內(nèi)容的經(jīng)典控制理論與方法。例如，最早期的定速巡航系統(tǒng)就是使用經(jīng)典控制理論的PID控制系統(tǒng)設(shè)計(jì)。50年代末到60年代初，大量的工程實(shí)踐，尤其是航天技術(shù)的發(fā)展，涉及大量的多輸入多輸出系統(tǒng)的最優(yōu)控制問(wèn)題，用經(jīng)典的控制理論已難于解決，于是產(chǎn)生了以極大值原理、動(dòng)態(tài)規(guī)劃和狀態(tài)空間法等為核心的現(xiàn)代控制理論。汽車(chē)防抱死制動(dòng)系統(tǒng)（ABS）就是一個(gè)使用現(xiàn)代控制理論的典型的最優(yōu)控制系統(tǒng)設(shè)計(jì)。智能控制的思想出現(xiàn)于20世紀(jì)60年代，智能控制是具有智能信息處理、智能信息反饋和智能控制決策的控制方式，是控制理論發(fā)展的高級(jí)階段，主要用來(lái)解決那些用傳統(tǒng)方法難以解決的復(fù)雜系統(tǒng)的控制問(wèn)題。智能控制研究對(duì)象的主要特點(diǎn)是具有不確定性的數(shù)學(xué)模型、高度的非線性和復(fù)雜的任務(wù)要求，它適用于對(duì)環(huán)境和任務(wù)的變化具有快速應(yīng)變能力并需要運(yùn)用知識(shí)進(jìn)行控制的復(fù)雜系統(tǒng)的控制問(wèn)題。大多數(shù)復(fù)雜的汽車(chē)控制系統(tǒng)，例如汽車(chē)動(dòng)力系統(tǒng)，輔助駕駛系統(tǒng)和自動(dòng)駕駛系統(tǒng)都屬于這一類。

1971年智能控制奠基人傅京孫教授提出智能控制概念，并且歸納了三種類型的智能控制系統(tǒng)：1） 人作為控制器的控制系統(tǒng)；2） 人–機(jī)結(jié)合作為控制器的控制系統(tǒng)；3） 無(wú)人參與的智能控制系統(tǒng)?？粗遣皇呛苁煜?？SAE J3016中定義的自動(dòng)駕駛等級(jí)與以上三種類型的智能控制系統(tǒng)也有著千絲萬(wàn)縷的關(guān)系。如果把整車(chē)看作被控對(duì)象，L0與L1基本還是第一種，即人作為控制器的控制系統(tǒng)；L2與L3應(yīng)該是屬于第二種，即人-機(jī)結(jié)合作為控制器的控制系統(tǒng)；L4與L5就是最后一種，無(wú)人參與的智能控制系統(tǒng)了。

2. 控制系統(tǒng)與自動(dòng)駕駛自動(dòng)控制系統(tǒng)是指為了實(shí)現(xiàn)各種復(fù)雜的控制任務(wù)，將被控對(duì)象和控制裝置按照一定方式連接起來(lái)，組成的一個(gè)有機(jī)整體。一般的針對(duì)控制系統(tǒng)都可以用類似于以下的方框圖的形式來(lái)表示。

這里著重講一下反饋信號(hào)，它是由系統(tǒng)（或元件）輸出端取出并反向送回系統(tǒng)（或元件）輸入端的信號(hào)稱為反饋信號(hào)，反饋有主反饋和局部反饋之分。它是實(shí)現(xiàn)控制系統(tǒng)三大性能指標(biāo)（快速性，穩(wěn)定性和準(zhǔn)確性）的最重要和基礎(chǔ)的要素之一。只有有了反饋信號(hào)才能形成一個(gè)閉環(huán)系統(tǒng)，從而讓系統(tǒng)擁有減小和消除由于擾動(dòng)所形成的偏差值，以提高控制精度和抗干擾能力。

如果把整個(gè)駕駛控制系統(tǒng)看作是一個(gè)控制系統(tǒng)，分為傳感感知，規(guī)劃決策和控制執(zhí)行等環(huán)節(jié)的話，我們來(lái)看看傅京孫教授提出的三種類型的智能控制系統(tǒng)映射到各種駕駛控制系統(tǒng)中是怎么樣的構(gòu)成。

輸入信號(hào)有環(huán)境信息，車(chē)輛信息等，控制對(duì)象可以宏觀的理解為就是車(chē)輛本身，輸出的是橫向和縱向控制等。在人類駕駛控制系統(tǒng)，駕駛員在整個(gè)控制系統(tǒng)中還是扮演主要的角色，車(chē)基本上只在執(zhí)行環(huán)節(jié)起到相關(guān)作用。在半自動(dòng)駕駛控制系統(tǒng)，駕駛員雖然在一些情況下允許“脫手或者脫眼”，但是駕駛員在整個(gè)控制系統(tǒng)依然扮演著重要角色。例如，駕駛員會(huì)被要求識(shí)別一些車(chē)輛無(wú)法識(shí)別的邊界場(chǎng)景，駕駛員可以按照需求接管車(chē)輛，駕駛員需要在車(chē)輛控制系統(tǒng)出現(xiàn)故障時(shí)作為備份（Fall-back）執(zhí)行完整的動(dòng)態(tài)駕駛?cè)蝿?wù)（Dynamic Driving Task）。由此可以看出，人類駕駛員的參與還是貫穿整個(gè)控制系統(tǒng)的。再看全自動(dòng)駕駛控制系統(tǒng)，車(chē)輛被要求執(zhí)行完整的動(dòng)態(tài)駕駛?cè)蝿?wù)和備份，人類駕駛員不再參與控制系統(tǒng)回路任何環(huán)節(jié)。車(chē)輛要獨(dú)立運(yùn)行并且繼續(xù)實(shí)現(xiàn)快速性，穩(wěn)定性和準(zhǔn)確性這三大控制系統(tǒng)目標(biāo)可見(jiàn)將是非常大的挑戰(zhàn)，這不只是任何一個(gè)環(huán)節(jié)的提升能夠?qū)崿F(xiàn)的目標(biāo)，而是整個(gè)控制系統(tǒng)的一次“大躍進(jìn)”，傳感器性能，處理器運(yùn)算能力，執(zhí)行器可靠性的要求都需要大大提升。

3. 控制系統(tǒng)與自動(dòng)駕駛安全汽車(chē)功能安全標(biāo)準(zhǔn)ISO 26262中對(duì)于功能安全的定義是什么，不存在由電子電氣系統(tǒng)的功能異常表現(xiàn)引起的危害而導(dǎo)致不合理的風(fēng)險(xiǎn)。所以核心還是功能，任何功能特別是電子電氣相關(guān)的功能都是由輸入，邏輯和輸出等模塊組成的控制系統(tǒng)。功能安全開(kāi)發(fā)始于相關(guān)項(xiàng)定義，其目的也是為了定義清楚相關(guān)項(xiàng)的功能，接口和邊界，這也是一種復(fù)雜控制系統(tǒng)。從而為下一階段的風(fēng)險(xiǎn)評(píng)估與危害分析中的功能故障定義和整車(chē)表現(xiàn)做好準(zhǔn)備。再來(lái)看安全需求，無(wú)論是哪個(gè)層級(jí)的需求，功能安全需求，技術(shù)安全需求還是軟硬件安全需求。導(dǎo)出這些需求的關(guān)鍵輸入除了上階段的需求，相關(guān)的技術(shù)設(shè)計(jì)框圖也是非常重要的，例如系統(tǒng)設(shè)計(jì)框圖，軟件架構(gòu)設(shè)計(jì)圖等。所有的需求其實(shí)也都是可以將整個(gè)控制系統(tǒng)分為輸入，邏輯和輸出模塊分別導(dǎo)出相關(guān)的需求，再分配給相應(yīng)的ECU，系統(tǒng)部件或者軟硬件模塊。安全機(jī)制，由電子電氣系統(tǒng)的功能、要素或其他技術(shù)來(lái)實(shí)施的技術(shù)解決方案，以探測(cè)故障，控制失效。如何探測(cè)故障呢？無(wú)論是多復(fù)雜的控制系統(tǒng)，都可以按照功能和需求把它打散成多個(gè)簡(jiǎn)單的控制回路。如果整個(gè)控制回路是個(gè)白盒，控制系統(tǒng)的輸入是可預(yù)見(jiàn)的，傳遞函數(shù)是已知的，即已知的輸入必定會(huì)有已知的輸出，這樣的系統(tǒng)通常都可以利用簡(jiǎn)單的反饋被監(jiān)控。

其實(shí)很多功能安全設(shè)計(jì)，就是由很多這樣的一個(gè)個(gè)小模塊組成的。一旦控制系統(tǒng)出現(xiàn)任何問(wèn)題或者故障，監(jiān)控模塊就可以通過(guò)控制系統(tǒng)已知的特性和模型去判斷識(shí)別。那如果由于控制系統(tǒng)的局限性導(dǎo)致輸入是未知的，傳遞函數(shù)和模型也是未知的或者不精確的，該如何保證控制系統(tǒng)的準(zhǔn)確性？如果控制系統(tǒng)是安全相關(guān)的，又如何保證其安全性？這就是預(yù)期功能安全要解決的問(wèn)題。

那么對(duì)于輸入信號(hào)不確定，數(shù)學(xué)模型復(fù)雜且不確定的控制系統(tǒng)，如何進(jìn)行相關(guān)設(shè)計(jì)呢？在智能化程度比較高的系統(tǒng)中可以采用分級(jí)遞階的智能控制方法進(jìn)行設(shè)計(jì)。分級(jí)遞階智能控制（Hierachical Intelligent Control）是在人工智能、自適應(yīng)控制以及運(yùn)籌學(xué)等理論的基礎(chǔ)上逐漸發(fā)展形成的，是智能控制最早的理論之一。當(dāng)系統(tǒng)由若干個(gè)可分的相互關(guān)聯(lián)的子系統(tǒng)構(gòu)成時(shí)，可將系統(tǒng)所有決策單元按照一定優(yōu)先級(jí)和從屬關(guān)系遞階排列，同一級(jí)各單元受到上一級(jí)的干預(yù)，同時(shí)又對(duì)下一級(jí)單元施加影響。若同一級(jí)各單元目標(biāo)相互沖突，則由上一級(jí)單元協(xié)調(diào)。這是一種多級(jí)多目標(biāo)的結(jié)構(gòu)，各單元在不同級(jí)間遞階排列，形成金字塔形結(jié)構(gòu)。

此類結(jié)構(gòu)的優(yōu)點(diǎn)是全局與局部控制性能都較高，靈活性與可靠性好，任何子過(guò)程的變化對(duì)決策的影響都是局部性的。從最低級(jí)執(zhí)行級(jí)開(kāi)始，智能要求逐步提高，越高的層次越需要高的智能，而精度則遞減，此類結(jié)構(gòu)具有以下特點(diǎn)：1）越是處于高層的控制器，對(duì)系統(tǒng)的影響也越大；2）越是處于高層，就有越多的不確定性信息，使問(wèn)題的描述難于量化。可見(jiàn)，遞階智能控制的智能主要體現(xiàn)在高層次上，在高層次遇到的問(wèn)題往往具有不確定性。映射到自動(dòng)駕駛控制系統(tǒng)：第三級(jí)執(zhí)行級(jí)對(duì)應(yīng)反應(yīng)層（或功能層）：它負(fù)責(zé)執(zhí)行上層要求的基本任務(wù)，執(zhí)行較低級(jí)的操作和控制硬件執(zhí)行器。該層的處理頻率較高，可以滿足實(shí)時(shí)性操作和反應(yīng)的要求。第二級(jí)協(xié)調(diào)級(jí)對(duì)應(yīng)實(shí)施情況分類的主管層和反應(yīng)導(dǎo)航：該層用來(lái)監(jiān)督功能層，并使用從傳感器派生的數(shù)據(jù)來(lái)識(shí)別車(chē)輛的情況，并產(chǎn)生軌跡，此層的處理頻率居中。第一級(jí)組織級(jí)對(duì)應(yīng)規(guī)劃層：此層生成高級(jí)計(jì)劃（道路和交叉路口的預(yù)估），車(chē)輛從當(dāng)前位置到目的地將遵循的路徑等。此層的頻率相對(duì)較低，不需要滿足實(shí)時(shí)性的要求。通過(guò)這樣的分層設(shè)計(jì)，對(duì)于安全的設(shè)計(jì)也可以按照同樣的邏輯，對(duì)于不同層級(jí)的特性和屬性設(shè)計(jì)相應(yīng)的安全機(jī)制。Conrad J. Pace和Derek W. Seward就在一個(gè)自動(dòng)挖掘機(jī)的應(yīng)用中使用了這種設(shè)計(jì)方法。對(duì)于最底層的功能層來(lái)說(shuō)，由于時(shí)間響應(yīng)實(shí)時(shí)性的要求和硬件架構(gòu)的原因，通常功能和安全機(jī)制是不需要進(jìn)行隔離設(shè)計(jì)的。那對(duì)于第一和第二層級(jí)，由于采用非確定性算法，機(jī)器學(xué)習(xí)等算法，其本身無(wú)法滿足安全設(shè)計(jì)的要求，則需要單獨(dú)設(shè)計(jì)相應(yīng)的安全機(jī)制來(lái)滿足其高安全等級(jí)的要求。這兩層的安全設(shè)計(jì)與Phillip Koopman在2016年提出的“Checker/Doer”是一樣的機(jī)制，這里的“Doer”就是采用復(fù)雜算法的功能，“Checker”則是更傳統(tǒng)的軟件技術(shù)，用于執(zhí)行安全要求?！癈hecker”只檢查“Doer”做出的決策是否違法相應(yīng)的安全規(guī)則和假設(shè)。例如，以路徑規(guī)劃舉例，“Checker”則始終只檢查被選擇的規(guī)劃方案是否會(huì)撞上任何已知的障礙物。通過(guò)通訊獲取的反饋信號(hào)和信息交互是實(shí)現(xiàn)此方法的核心要素之一。

預(yù)期功能安全標(biāo)準(zhǔn)ISO/PAS 21448中對(duì)于預(yù)期功能安全的定義為，不存在由于預(yù)期功能的性能不足引起的危害而導(dǎo)致不合理的風(fēng)險(xiǎn)。預(yù)期功能安全流程的最重要的目的之一就是不斷地降低未知場(chǎng)景的可能性，而這些場(chǎng)景就是整個(gè)自動(dòng)駕駛控制系統(tǒng)的重要輸入之一。所以這個(gè)過(guò)程就是不斷的讓輸入變成可預(yù)見(jiàn)的。

標(biāo)準(zhǔn)還通過(guò)一系列的方法和流程定義導(dǎo)致危害事件的起因，包括系統(tǒng)功能和需求的不足和局限，特別是傳感器的感知和控制器的規(guī)劃算法。這一過(guò)程就是不斷地優(yōu)化算法，讓模型不斷地完善。UL 4600自動(dòng)駕駛安全評(píng)估標(biāo)準(zhǔn)將自動(dòng)駕駛系統(tǒng)的安全要求分為ODD，傳感器，感知，機(jī)器學(xué)習(xí)和人工智能，規(guī)劃，預(yù)測(cè)，決策，控制等環(huán)節(jié)，其實(shí)也是對(duì)控制系統(tǒng)的解耦，化繁為簡(jiǎn)，為安全設(shè)計(jì)提供指導(dǎo)。UL 4600還利用一種快速迭代的方法，利用現(xiàn)場(chǎng)數(shù)據(jù)的反饋不斷地完善標(biāo)準(zhǔn)的要求，這也是利用反饋手動(dòng)的優(yōu)化輸入信息去完善模型。

4.結(jié)語(yǔ)此文旨在從控制系統(tǒng)的角度看自動(dòng)駕駛及其安全設(shè)計(jì)，文中依然有許多不完整和不完善的地方，希望通過(guò)此文可以讓更多的負(fù)責(zé)功能開(kāi)發(fā)的朋友關(guān)注安全，也希望更多的負(fù)責(zé)安全開(kāi)發(fā)工作的朋友關(guān)注功能和控制。其實(shí)，大家都有一個(gè)共同的目標(biāo)，就是設(shè)計(jì)一個(gè)穩(wěn)定、快速、準(zhǔn)確的自動(dòng)駕駛控制系統(tǒng)。