欢迎来到本课程的第三周。 本周，我们将深入探讨基础知识 关于将安全性转移自动驾驶汽车设计的。 本单元中，我们将讨论 最近的一些自动驾驶汽车的 告， 然后我们会正式定义自动驾驶汽车的安全概念， 并讨论最常见的危险源。 我们将讨论一些对安全性的看法，最后行业， 我们将通过讨论 安全系统设计中使用的一些常见框架来总结。

在本课中，我们将讨论 2017年和2018年首次发生的自动驾驶汽车成长。 然后，我们将定义一些基本的安全概念并 还有一些自动驾驶汽车危险的最常见原因， 并讨论低水平和高水平的安全要求。 应该指出，本单元中的材料 大多数取的指南， 由国际标准组织ISO发布的。 您可以在 上找到这些框架的更版本。

让我们首先讨论一些 故意突出的自动驾驶故障。 2016年3月，W自动驾驶的谷歌车aymo， 撞学校的学生 从某个地方的首饰撤出时。 正正从自己来，是将谷歌车停在目标上， 这是在其后代的准备准备。 谷歌汽车软件认为，这有点不会通过它， 因为它与下一个车轮的汽车之间的太窄。 事实证明，每天都会在身边的第三方娱乐 比谷歌预期预言，这也导致了这一切。 当谷歌汽车可能的损害 世界末日的新测量反应时间，但为时已晚。 这只是一个例子，说明它是多么困难 在发生之前的预测所有其他动物动作。

一年后，优步自动驾驶车 在另一次再次复活时回复，最终翻车。 由于车辆的动态模型不承载 来自其他车辆的显着干扰力， 因此控制器可能没有针对这种情况进行测试并且回复短信。 求职突显了集成 到控制系统中的选择性以及 往往多的可预见事件的探索性测试的需求。

2017年底， 兰波GMCruise雪佛撞倒了 移动手，在中止车辆转换后。 在Bolt启动机动之后， 它希望进入的立即关闭， 因为不幸中的制动车辆。 那个正改变道的动手， 在博尔特向前移动，并阻了回程机动。 螺栓滑入了退两难的境地； 与摩托相撞上两两相撞或撞上对方。 当前尚无判断作出决定选择一个或另一个结果， 引发了事件的细节。 然而，由于其他代理也会预测自动驾驶车的动作， 因此在许多情况下评估正确的行动是非常具有戏剧性的。

在可能的情况下，并道可能是 一种更浪漫的驾驶风格或者 稍有迟到的中指可能会发生一次偶然的事故。 未来的未来互动仍然是自动驾驶车的一大挑战。 , 我们应该是 Uber 偶然， 那场2018年初导致行人死亡的事故率。 在地州坦佩市， 优步当时有一个广泛的测试计划， 与安全司机在监控着自动软件。 事故发生在一条宽阔的多道路上， 当晚行人在一个没有标志的地区骑自行车穿越马路。 伊莱恩·赫茨伯格 是一位来自坦佩的49岁女子。 这是从鸟瞰图描绘的汽车和场景。 可以从图片左侧进入的行人 和从图像底部道路的车辆。 表现表现， 是因为一些失灵导致的事故。

让我们来看看不同的因素。 首先，安全司机没有实时进行查看。 那个时候，安驶员不专心，宣传当时正在观看Hulu。 安全员在车上可能什么都可以做，优步在 车辆上没有任何方法来评估安全员的注意力。 因为专业自动驾驶系统操作 是南极医学专题的任务， 所以拥有安全监控系统非常重要。 即将，软件检测系统明显地呈现出的先后顺序。 在最初检测到6秒击时， 泥土首先被识别为未知物， 然后被误识别为车辆， 然后被误认为自行车。 最终软件的决定是突然发现 可能是因为认为检测太不可靠。 浏览更完整，切换分类 不至导致车辆完全不懂这样的物体。 在最后发生前1.3秒， 紧急紧急制动系统确实可以检测到行人， 并且会迅速施加制动以降低打击速度， 可能是Elaine Herzberg的生命。 然而，那是不安全的， 在测试期间让一些防撞系统同时运行。 因此优步在挑战模式下提升了挑战系统。 最终，自动驾驶车没有对行人的结局， 并且疏忽忽然的安全员无法快速反应突然发作。

这次事故由以下组成： 发现系统无法正确识别行人 用自行车和规划系统来 避免侦探推理，很可能类别是特定的， 这样导致了这个失败， 同时，缺乏人或紧急制动备用导致了死亡。 我们可以从这敏感事件中看到 自动驾驶系统的各个方面： 寻找、规划和控制 都可能导致系统失败和打击， 一系列系统或多个决策的交互 最终会导致最后的后果。 结果，即将到来的方式系统还有很多可能的失败。

很明显，我们需要严格和没有的安全方法， 行业和实力机构正面对安全挑战。 好。现在，我们对安全评估的挑战有了认识， 让我们正式定义一些基本的安全术语。

我们将使用术语，

1. “伤害”定义对生物的物理伤害，
2. 我们将使用“风险”来描述事件发生的言论， 以及事件的严重程度， 可能造成的伤害。

我们现在可以将安全描述为 避免对生物造成伤害的不合理风险的过程。 例如，当 交通信 灯为红色时驶入交叉路口将是不安全的， 因为这会导致不合理的风险， 对车辆和通过交叉路口的其他车辆。 最后，危险是潜在的可能性， 不合理的伤害风险或安全威胁的。 因此，如果我的系统软件有可能导致事故的错误， 那么软件错误将是一个危险。

。 也有可能是对安全员的支持， 提供上海的警告 以恢复其责任，或者 自动驾驶汽车可能被某些恶意行为攻击。 这些都是主要类别的危害，这些危害都是 经常考虑：机械、电气、 计算硬件、软件、探索、 规划、驾驶任务支持和 络安全。

在评估整体系统安全时，危险都需要不同的方法。 我们将在处理视频中详细介绍这些类别。 我们知道安全所涉及的基本术语， 那让我们考虑以下问题。 我们如何确保我们的自动驾驶真正安全呢束，我们如何处理复杂的驾驶任务和可能发生的许多危险， 并为完整的自动驾驶系统定义安全评估框架美国，国家公路运输安全管理局或国家公路交通安全管理局 已经准备了一个由十二部分组成的安全框架， 用于构建自动驾驶的安全评估。

正如我们将在本单元的下一个视频中看到的那样， 该框架只是一个起点，不同的方法，通过结合多种 现有的已经放出你发和标准的方法在行业中已经出现了。 让我们首先讨论NHTSA的安全建议。 这个框架是作为建议发布的， 框架在2017年发布。 框架由12个领域或 或者说，任何自动驾驶公司应该关注或者更可以说， 点点头。

首先，应采用安全的系统设计方法， 这实际上贯穿了整个框架文件中。 摄影和控制的软件开发过程， 以及已有的 SAE 和 ISO 在汽车、 航空航天和其他相关行业应在相关情况下适用。 对于对象的11个领域， 我们可以将它们表现出来。 自治设计，这需要部分组成 被包括在自治软件中并一起考虑， 测试和降低效率， 其中包括测试 自我功能和减少不良影响的方法， 以及孩子学习。

在自治设计类别中， 我们看到了一些我们已经熟悉的组件。 NHTSA 鼓励明确定义的ODD（设计适用范围）， 让设计人员确定目的地这个系统的缺陷和用途， 可以评估哪些方案 是支持的并且是安全的，在测试或部署之前。

接下来，它充分利用测试的流体和事件检测和响应系统， 这对于反对和避免讨论。 然后，它鼓励汽车具有 可靠和方便的后退机制， 通过该机制警告或使汽车自动安全。 开发专题研究， 记得可能会疏忽忽悠

。 因此，应该考虑如何将 系统出现小时候的状态，如果发生这种情况。 还应该设计驱动系统，以便所有学生级别，州级别 和当地交通规则能够在ODD内遵循和坚持。 接下来，该框架鼓励设计人员考虑 络安全，威胁 以及如何保护驱动系统恶意代理的攻击。 最后，应该对人机界面（HMI）进行一些思考。

因此，汽车应该能够传达机器的状态 在任何时间点，对乘客或继续进行。 可以显示的状态信息的重要示例 是所有传感器是否可操作， 当前运动规划是什么， 环境中的哪些对象正在影响我们的驾驶行为等等。

例如，汽车必须迅速恢复到安全状态， 停止燃油燃油。 发出警 等等。 此外，应该有自动数据记录功能或黑匣子记录器。 这些潜在数据的和设计系统是文字分析 将来会发生特定类型的攻击， 并解决出错的问题， 以及在事件发生时出错的地方。 应该有明确地对消费者进行教育和培训。

因此，在为消费者和上升进行的测试和培训，长期的课程 可以更好地理解 部署的任务系统的功能和限制。 下一步要确保我们对自动化的自然生日， 这不会导致早期采用者带来的危害。 请记住，这些是任何公司应该处理的建议区域。 尚未强制要求。 NHTSA 的主要目标是指导公司 在不限制出行的情况下制造自动驾驶汽车。 我们采集选择技术。 随着市场的进入开始出现， 可能会出现更加明确的安全评估要求。

第1课补充阅读：自动驾驶汽车的安全保障

补充阅读：自动驾驶汽车的安全保障
我们在本补充阅读中有几个链接讨论了安全保证的各个方面。

• 这是NTSB 2018 年优步崩溃 告的链接。

• 查看 Krzysztof Czarnecki 博士关于WISE Drive：自动驾驶系统需求分析框架的论文。您将在本模块后面观看对 Czarnecki 博士的采访。

• 在NHTSA – 自动驾驶系统：安全愿景 2.0 告中详细了解自动驾驶汽车的非强制性安全指南。

参考

https://www.coursera.org/learn/intro-self-driving-cars/lecture/gtsMT/lesson-1-safety-assurance-for-self-driving-vehicles