CN103661378B - 具有图形微处理器的车辆的主动安全系统 - Google Patents

Abstract

本发明涉及具有图形微处理器的车辆的主动安全系统。车辆的系统包括发动机控制模块（ECM）、第一处理器模块、传感器、第二处理器模块和第三处理器模块。ECM基于输入至转向轮、加速器踏板、制动器踏板和巡航控制系统的驾驶员输入来控制发动机致动器。第一处理器模块包括第一微处理器并且基于被处理数据选择性地致动电力转向马达、摩擦制动器和节气门中的至少一者。传感器感测车辆外部的特征。第二处理器模块包括第二微处理器并且基于来自传感器的数据来生成被处理数据。第二微处理器是图形微处理器。第三处理器模块包括第三微处理器并且生成第二处理器模块中是否存在故障的指示。

Description

具有图形微处理器的车辆的主动安全系统

相关申请的交叉引用

本申请涉及2012年8月28日提交的美国专利申请号13/596,250。上述申请的公开内容全部并入本文以供参考。

技术领域

本公开涉及车辆控制系统并且更具体地涉及车辆的主动安全系统。

背景技术

这里提供的背景描述是用于大体呈现本公开背景的目的。本发明人在这个背景技术部分中所描述的工作以及在申请时没有作为现有技术被描述的各方面既不明确地也不暗示地被认为是抵触本公开内容的现有技术。

车辆包括多个系统，例如动力传动系统、制动器系统、燃料系统等等。每个系统包括多个硬件部件和安全机构。安全机构可以是物理安全机构或者用作安全机构的被处理器执行的一份软件。硬件部件的安全机构可以执行补救措施以便在硬件部件失效时提供一定的安全水平。

需要车辆的电气部件的系统符合一个或更多个机动车硬件整体性要求，例如国际标准化组织（ISO）的标准26262。仅作为示例，当系统的一个或更多个元件失效时会发生的危险需要具有比预定可能性更小的发生可能性以便符合ISO 26262标准。

发明内容

车辆的系统包括发动机控制模块（ECM）、第一处理器模块、传感器、第二处理器模块和第三处理器模块。ECM基于输入至转向轮、加速器踏板、制动器踏板和巡航控制系统的驾驶员输入来控制发动机致动器。第一处理器模块包括第一微处理器并且基于被处理数据选择性地致动电力转向马达、摩擦制动器和节气门中的至少一者。传感器感测车辆外部的特征。第二处理器模块包括第二微处理器并且基于来自传感器的数据来生成被处理数据。第二微处理器是图形微处理器。第三处理器模块包括第三微处理器并且生成第二处理器模块中是否存在故障的指示。

在其他特征中，第一微处理器包括至少两个处理器核芯，并且第二微处理器包括至少四个处理器核芯。

在又一些特征中，第二微处理器以至少1千兆赫（GHz）的速度运转。

在又一些特征中，第二微处理器包括至少9600 Dhrystone百万条指令/秒（DMIPS）的等级。

在又一些特征中，第三处理器模块基于第二处理器模块是否以预定次序调用功能/函数来确定故障是否存在于第二处理器模块中。

在又一些特征中，当第二处理器模块以不同于预定次序的次序调用功能时，第三处理器模块确定故障存在于第二处理器模块中。

在又一些特征中，第三处理器模块基于第二处理器模块是否在预定时段内完成功能的执行来确定故障是否存在于第二处理器模块中。

在又一些特征中，当第二处理器模块在比预定时段更长的时段内完成功能的执行或没有完成功能的执行时，第三处理器模块确定故障存在于第二处理器模块中。

在又一些特征中，第三处理器模块输出质询至第二处理器模块并且基于第二处理器模块是否产生对该质询的预定响应来确定故障是否存在于第二处理器模块中。

在又一些特征中，当第三处理器模块产生不同于预定响应的响应时，第三处理器模块确定故障存在于第二处理器模块中。

在又一些特征中，第二微处理器包括至少四个处理器核芯，并且当所述至少四个处理器核芯不同步时第三处理器模块确定故障存在于第二处理器模块中。

在进一步特征中，第三处理器模块生成质询，第二微处理器包括至少四个处理器核芯，所述至少四个处理器核芯中的第一处理器核芯基于该质询生成第一结果，所述至少四个处理器核芯中的第二处理器核芯基于该质询生成第二结果，并且所述至少四个处理器核芯中的第三处理器核芯比较所述第一和第二结果。第一、第二和第三处理器核芯是不同的核芯。

在又一些特征中，第三处理器核芯指示出所述第一和第二结果是否相同，并且第三处理器模块基于对所述第一和第二结果是否相同的所述指示来确定故障是否存在于第二处理器模块中。

在又一些特征中，当第三处理器核芯指示出第一和第二结果不同时，第三处理器模块确定故障存在于第二处理器模块中。

在又一些特征中，系统进一步包括外部目标计算模块，其包括：第四处理器模块，其包括第四微处理器并且基于第二被处理数据选择性地致动电力转向马达、摩擦制动器和节气门中的至少一者；第五处理器模块，其包括第五微处理器并且基于来自传感器的数据生成所述第二被处理数据；以及第六处理器模块，其包括第六微处理器并且生成故障是否存在于第五处理器模块中的指示。第五微处理器与所述图形微处理器相同。

在其他特征中，第四微处理器包括至少两个处理器核芯，并且第五微处理器包括至少四个处理器核芯。

在又一些特征中，第五微处理器以至少1千兆赫（GHz）的速度运转。

在又一些特征中，第五微处理器包括至少9600 Dhrystone百万条指令/秒（DMIPS）的等级。

在又一些特征中，当故障存在于第二处理器模块中时，第三处理器模块防止第一处理器模块致动电力转向马达、摩擦制动器和节气门。

在又一些特征中，仅响应于故障存在于第一处理器模块中的指示，第四处理器模块基于所述第二被处理数据来致动电力转向马达、摩擦制动器和节气门中的至少一者。

从这里提供的具体说明将显而易见到本公开的应用的其他方面。应该理解的是，详细描述和特定示例旨在仅用于描述目的并且不试图限制本公开的范围。

附图说明

从详细描述和附图将更加全面地理解本公开，附图中：

图1是示出根据本申请的示例性车辆系统的功能框图；

图2是示出根据本申请的示例性外部目标计算模块的功能框图；以及

图3是示出根据本申请的外部目标计算模块的示例性处理器模块的功能框图。

具体实施方式

车辆可以包括一个或更多个主动安全系统，其选择性地控制车辆的一个或更多个致动器。主动安全系统包括调节车辆转向、车辆制动和车辆加速/减速中的一个或更多个的系统。通常基于来自驾驶员的输入来控制车辆转向、车辆制动器和车辆加速/减速。主动安全系统是选择性调节车辆转向、车辆制动和/或车辆加速/减速以补充驾驶员输入、抵消驾驶员输入或者独立于驾驶员输入的系统。主动安全系统也可以被称为安全关键嵌入控制（SCEC（safety critical embedded control））系统和半自主驾驶系统。

例如，车辆可以包括主动安全系统，其选择性地调节车辆转向，例如，将车辆定位（例如居中）在车道中，改变车道、躲避物体，和/或出于一个或更多个其他原因。车辆可以另外或者替代性地包括主动安全系统，其选择性地调节车辆制动和/或车辆加速/减速，例如，用于避免碰撞、适应性巡航控制、碰撞准备和/或一个或更多个其他原因。

车辆制造商在车辆被制造成可用于销售给公众之前作出车辆的初步报告。初步报告可以指示出当车辆的系统的一个或更多个元件失效时会发生的危险。可以通过机动车硬件完整性标准，例如国际标准化组织（ISO）规定的标准26262，来限定系统的分类。例如，主动安全系统可以被分类到ISO 26262标准的机动车安全完整性水平（ASIL）D。

机动车级微处理器（automotive grade microprocessor）已经被特定地设计成符合ISO 26262标准的一个或更多个ASIL分类。主动安全系统可以包括一个机动车级微处理器，其执行用于主动安全系统的处理及其操作。不过，所述一个机动车级微处理器不能单独实现ASIL D分类的一个或更多个要求。另外，机动车级微处理器是昂贵的且大型的，并且实现多个（例如三个）机动车级微处理器以及相关联主动安全系统的功能会是复杂的从而难以符合ASIL D分类。

本公开描述了一种主动安全系统，其包括机动车级微处理器和至少一个图形微处理器。图形微处理器通常被用于具有一个或更多个显示器的处理密集型嵌入式系统，所述显示器例如智能电话、平板计算机、导航系统等等。图形微处理器不被用于主动安全系统，这是因为其不符合ASIL分类。

现在参考图1，示出了包括主动安全系统的车辆系统100的功能框图。发动机控制模块（ECM）104基于一个或更多个驾驶员输入108来控制发动机致动器。驾驶员输入108可以包括加速器踏板位置（APP）、制动器踏板位置（BPP）、转向轮位置（也被称为转向角）、巡航控制输入和其他的驾驶员输入。

ECM 104可以例如基于一个或更多个驾驶员输入108来确定节气门112的所需开度。节气门致动器模块116可以基于所需开度来致动节气门112。虽然未示出，但是其他的发动机致动器包括但不限于燃料喷射器、火花塞、排气再循环（EGR）阀、增压装置、气门致动器和/或移相器等。

ECM 104也可以基于一个或更多个驾驶员输入108（例如动力转向马达120和（摩擦）制动器124）来控制一个或更多个其他的致动器。ECM 104可以例如基于转向轮位置来确定所需转向角并且基于BPP来确定所需制动力。转向致动器模块128可以基于所需转向角来致动动力转向马达120。制动器致动器模块132可以基于所需制动力来致动制动器124。

作为驾驶员输入108的补充或替代，ECM 104可以基于由传感器136测量的一个或更多个参数来控制一个或更多个致动器。传感器136可以包括例如进气空气温度传感器、质量空气流速（MAF）传感器、歧管压力传感器、油和冷却剂温度传感器、轮速传感器和各种其他的温度、位置、压力和速度传感器。

车辆的ECM 104和其他模块可以经由一个或更多个车辆局域网（CAN）总线（例如CAN总线140）来传送和接收数据。车辆的ECM 104和其他模块可以经由一个或更多个数据总线（例如FlexRay总线144）来额外地或替代性地传送和接收数据。FlexRay总线144是根据FlexRay通信协议来实现通信的数据总线。

可以经由FlexRay总线144来接收来自传感器148的数据，其中该传感器148能够被用于确定车辆和车辆外部特征之间关系。也可以经由FlexRay总线144或者另一合适的总线来接收来自诸如全球定位系统（GPS）150的其他事物的数据。GPS 150确定车辆的地点。传感器148可以包括例如一个或更多个激光雷达（光探测及测距）传感器、一个或更多个基于雷达的传感器、一个或更多个基于激光的传感器、光学传感器、一个或更多个相机和/或一个或更多个能够被用于确定车辆和该车辆外部（即位于车辆外部）特征（例如，车道、物体等）之间的关系的其他传感器。

车辆可以包括一个或更多个主动安全系统，其基于一个或更多个测量参数来选择性地控制车辆转向、车辆制动和车辆加速/减速中的一个或更多个以便补充驾驶员输入108、抵消驾驶员输入108或者独立于驾驶员输入108。一种示例性主动安全系统经由动力转向马达120选择性地调节车辆转向，例如以便将车辆定位（例如居中）在车道中，改变车道、躲避物体，和/或出于一个或更多个其他原因。另一种示例性主动安全系统经由制动器124选择性地调节车辆制动和/或经由节气门112选择性地调节车辆加速/减速，例如，为了避免碰撞、自适应巡航控制、碰撞准备和/或出于一个或更多个其他原因。

主动安全系统是选择性地致动节气门112、动力转向马达120和/或制动器124以便补充驾驶员输入108、抵消驾驶员输入108或独立于驾驶员输入108的系统。示例性主动安全系统包括主外部目标计算模块（EOCM）152。主EOCM 152（也参见图2）选择性地致动节气门112、动力转向马达120和/或制动器124以便补充驾驶员输入108、抵消驾驶员输入108或独立于驾驶员输入108。

示例性主动安全系统还包括备用EOCM156。备用EOCM 156与主EOCM 152相同。在主EOCM 152中探测到故障的情况下，控制从主EOCM 152转移到备用EOCM 156，并且备用EOCM 156选择性地致动节气门112、动力转向马达120和/或制动器124。因为主EOCM 152和备用EOCM 156是相同的，所以将仅讨论主要EOCM 152。

现在参考图2，示出了主EOCM 152的功能框图。主EOCM 152包括第一处理器模块204、第二处理器模块208、第三处理器模块212、CAN总线禁用模块216、FlexRay总线禁用模块220、CAN收发器224和FlexRay收发器228。图3包括第一处理器模块204、第二处理器模块208和第三处理器模块212的功能框图。

现在参考图2和图3，第一处理器模块204包括处理器304、存储器308，公共资源312、第一串行包接口（SPI）316和第二SPI 320。第一处理器模块204还包括CAN收发器324、FlexRay收发器328和以太网收发器332。存储器308可以包括例如外部随机存取存储器（RAM）、外部电可擦除可编程只读存储器（EEPROM）和/或其他合适类型的存储器。

第一处理器模块204是机动车级处理器模块，例如Freescale制造的Kimodo。第一处理器模块204满足下列最小特性中的每一个：

双核180兆赫（MHz）微处理器；

900 Dhrystone百万条指令/秒（DMIPS）；

1 兆字节（MB）的快闪存储器/闪存；和

0.5 MB的RAM。

第一处理器模块204从传感器136经由CAN收发器324接收数据。第一处理器模块204传送数据至CAN总线并且经由CAN收发器324从CAN总线接收数据。第一处理器模块204传送数据至FlexRay总线144 并且经由FlexRay收发器328从FlexRay总线144接收数据。第一处理器模块204可以经由FlexRay收发器328从一个或更多个传感器148接收数据。

第一处理器模块204可以经由以太网收发器332从一个或更多个传感器148接收数据。第一处理器模块204可以经由CAN收发器324、FlexRay收发器328、以太网收发器332或者以另一合适的方式接收车辆的地点。第一处理器模块204传送数据至第二处理器模块208并且经由以太网收发器332从第二处理器模块208接收数据。例如，第一处理器模块204可以经由以太网收发器332将从传感器（例如，传感器136和/或传感器148）和/或GPS 150接收的数据传送到第二处理器模块208。第一处理器模块204也经由第二SPI 320传送数据至第二处理器模块208并且从第二处理器模块208接收数据。例如，第一处理器模块204可以经由第二SPI 320将从传感器（例如，传感器136和/或传感器148）和/或GPS 150接收的数据传送到第二处理器模块208。第一处理器模块204经由第一SPI 316传送数据至第三处理器模块212并且从第三处理器模块212接收数据。

第二处理器模块208包括处理器340、存储器344、公共资源348、SPI 352和以太网收发器356。存储器344可以包括例如RAM、闪存和/或其他合适类型的存储器。第二处理器模块208包括图形微处理器，例如ARM制造的Cortex-A9或者Nvidia制造的Integra 4。第二处理器模块208满足下列最小特性中的每一个：

四核1千兆赫（GHz）微处理器；

9600 DMIPS；

10 MB快闪存储器和ROM；

0.5 千兆字节（GB）RAM；

温度监视器；

看门狗；和

时钟和重置。

第二处理器模块208被轻度嵌入主动安全系统。轻度嵌入（lightly embedded）可以意味着第二处理器模块208不用于硬时间（hard-time）系统并且可接受一秒或更长的响应时间。相比之下，第一处理器模块204是被嵌入的，这意味着不能接受大于一秒的响应时间并且甚至不能接受小于一秒的响应时间。

第二处理器模块208可以经由以太网收发器356从一个或更多个传感器148接收数据。第二处理器模块208经由以太网收发器356传送数据至第一处理器模块204并且从第一处理器模块204接收数据。第二处理器模块208也经由SPI 352传送数据至第一处理器模块204并且从第一处理器模块204接收数据。第二处理器模块经由SPI 352传送数据至第三处理器模块212并且从第三处理器模块212接收数据。

第三处理器模块212包括处理器370、存储器374、公共资源378、SPI 382、CAN总线收发器386 和FlexRay收发器390。第三处理器模块212经由SPI 382传送数据至第一处理器模块204并且从第一处理器模块204接收数据。第三处理器模块212经由SPI 382传送数据至第二处理器模块208并且从第二处理器模块208接收数据。

第二处理器模块208处理来自传感器（例如传感器136和148）的数据。例如，基于从传感器148和GPS 150接收到的数据，第二处理器模块208可以执行处理密集型的功能，例如识别车道线、确定车辆和车道线之间的关系（例如，车辆在车道线之间的位置）、识别车辆外部的物体、确定车辆和被识别物体之间的关系、确定物体的形状和尺寸、确定车辆的目标路径、确定车辆的实际路径、确定车辆路径中的障碍物等等。

第一处理器模块204 基于源自第二处理器模块208所执行的处理的数据来确定是否致动节气门112、动力转向马达120和/或制动器124。当决定应该致动节气门112、动力转向马达120和/或制动器124时，第一处理器模块204确定致动的程度、致动应该被执行的速率、致动的时长（时段）等等。第一处理器模块204相应地向致动器模块输出命令。第一处理器模块204可以分别输出命令至致动器模块，以便补充基于驾驶员输入108所确定的所需值，抵消基于驾驶员输入108所确定的所需值，或者独立于驾驶员输入108。以此方式，第一处理器模块204可以提供半自主式驾驶。

第三处理器模块212执行各种功能以便使得第二处理器模块208的安全完整性水平符合ASIL B标准 。基于第二处理器模块208的安全完整性水平（ASIL B）和第一处理器模块204的安全完整性水平，主EOCM 152将具有安全完整性水平ASIL D。

例如，第三处理器模块212 验证第二处理器模块208以预定次序调用函数/功能并验证第二处理器模块208在预定时段内完成每个函数/功能。第三处理器模块212也确保来自传感器的正被第二处理器模块208处理的数据与正被或可能正被一个或更多个其他模块使用的数据相同。这可以被称为计帧法。

第三处理器模块212也验证第二处理器模块208是健全的。验证第二处理器模块208是健全的可以包括发送质询（例如，种子（seed）或者记号）至第二处理器模块208并且验证由该质询确定的第二处理器模块208的响应与预期响应相同。验证第二处理器模块208是健全的也可以包括提示第二处理器模块208报告其是健全的。第三处理器模块212也可以验证第一处理器模块204是健全的，第一处理器模块204也可以验证第三处理器模块212是健全的，和/或第二处理器模块208可以验证第三处理器模块212是健全的。

第三处理器模块212也可以响应来自第三处理器模块212的提示来验证第二处理器模块208比预定时段更短地结束。第三处理器模块212也可以验证第二处理器模块208的处理器核芯是同步的。

第三处理器模块212也可以验证第二处理器模块208的核芯中的两个正在执行被存储在存储器344的独立块内的冗余/相同函数/功能。可以例如通过在第三核芯处比较核芯中的两个所确定的结果并且验证第三核芯报告所述结果的比较表明所述结果是相同的来执行这种验证。

第三处理器模块212也可以验证第二处理器模块208满足如在ASIL B分类下所规定的串行数据完整性的串行数据传输要求。第三处理器模块212可以验证基于第二处理器模块208的非易失存储器（NVM）的存储器块内存储的数据所计算的校验和值（checksum value）等于预期校验和值。第三处理器模块212也可以执行在ASIL B分类下所规定的一个或更多个验证。当一个或更多个上述情况没有被验证时第三处理器模块212可以确定故障存在于主EOCM 152内。

当第三处理器模块212识别出在主EOCM 152内（例如，在第一处理器模块204或者第二处理器模块208内）的故障时，第三处理器模块212将第一和第二禁用信号400和404设定成活动状态/有效状态。当在主EOCM 152内没有被第三处理器模块212识别出故障时，第三处理器模块212可以将第一和第二禁用信号400和404设定成非活动状态/无效状态。

当第一处理器模块204识别出在主EOCM 152内（例如，在第二处理器模块208或者第三处理器模块212内）的故障时，第一处理器模块将第三和第四禁用信号408和412设定成活动状态。当在主EOCM 152内没有被第一处理器模块204识别出故障时，第一处理器模块204可将第三和第四禁用信号408和412设定成非活动状态。

当第一禁用信号400和/或第三禁用信号408处于活动状态时CAN总线禁用模块216选择性地禁用从主EOCM 152向CAN总线140的通信。当第一禁用信号400和/或第三禁用信号408处于活动状态时CAN总线禁用模块216可以例如禁用CAN收发器224。当第一禁用信号400和第三禁用信号408均处于非活动状态时CAN总线禁用模块216可以启用CAN收发器224。CAN总线禁用模块216可以经由启用/禁用信号416来启用和禁用CAN收发器224。

当第二禁用信号404和/或第四禁用信号412处于活动状态时FlexRay总线禁用模块220禁用从主EOCM 152向FlexRay总线144的通信。当第二禁用信号404和/或第四禁用信号412处于活动状态时FlexRay总线禁用模块220可以例如禁用FlexRay收发器228。当第二禁用信号404和第四禁用信号412均处于非活动状态时FlexRay总线禁用模块220可以启用FlexRay收发器228。FlexRay总线禁用模块220可以经由启用/禁用信号420来启用和禁用FlexRay收发器228。

以此方式，防止主EOCM 152致动动力转向马达120、节气门112和/或制动器124。当主EOCM 152内存在故障时，备用EOCM 156可以接管对主动安全系统的控制并且选择性地致动动力转向马达120、节气门112 和/或制动器124，以便补充驾驶员输入108、抵消驾驶员输入108或独立于驾驶员输入108。

前文描述实质上仅是说明性的并且决不试图限制本公开、其应用或使用。能够以各种形式来实施本公开的广泛教导。因此，虽然本公开包括具体示例，但是不应该将本公开的真实范围限制于此，这是因为一旦学习了附图、说明书以及所附权利要求，则将显而易见到其他改型。为了清楚的目的，在附图中将使用相同附图标记指代类似元件。如这里所述，短语“A、B和C中的至少一个”应被解释为使用非排他性逻辑“或”的逻辑（A或B或C）。应理解的是，方法中的一个或更多个步骤可以按不同次数（或同时）被执行而不改变本公开的原理。

如本文使用的，术语“模块”可以指以下器件的一部分或包含以下器件：专用集成电路（ASIC）；电子电路；组合逻辑电路；现场可编程门阵列（FPGA）；执行代码的处理器（共享、专用或成组）；提供描述的功能的其他合适的硬件部件；或上述器件的一些或全部的组合，诸如在片上系统中。术语“模块”可以包含存储由处理器执行的代码的存储器（共享、专用或成组）。

上面使用的术语“代码”可以包含软件、固件和/或微代码，并且可以涉及程序、例程、函数、类和/或对象。上面使用的术语“共享”表示来自多个模块的一些或全部代码可以使用单个（共享）处理器来执行。此外，来自多个模块的一些或全部代码可以由单个（共享）存储器存储。上面使用的术语“成组”表示来自单个模块的一些或全部代码可以采用一组处理器来执行。此外，来自单个模块的一些或全部代码可以使用一组存储器来存储。

本文描述的设备和方法可以通过由一个或更多个处理器执行的一个或更多个计算机程序来实现。计算机程序包含存储在非暂时性有形计算机可读介质上的处理器可执行指令。计算机程序还可以包含存储的数据。非暂时性有形计算机可读介质的非限制性示例是非易失性存储器、磁存储装置和光学存储装置。

Claims (20)

1.一种车辆的系统，所述系统包括：

发动机控制模块（ECM），所述发动机控制模块基于输入至方向盘、加速器踏板、制动器踏板和巡航控制系统的驾驶员输入来控制发动机致动器；

第一处理器模块，所述第一处理器模块包括第一微处理器并且基于被处理数据选择性地致动电力转向马达、摩擦制动器和节气门中的至少一者；

传感器，所述传感器感测所述车辆外部的特征；

第二处理器模块，所述第二处理器模块包括第二微处理器并且基于来自所述传感器的数据来生成所述被处理数据，

其中所述第二微处理器是图形微处理器；以及

第三处理器模块，所述第三处理器模块包括第三微处理器并且生成所述第二处理器模块中是否存在故障的指示。

2.根据权利要求1所述的系统，其中：

所述第一微处理器包括至少两个处理器核芯；和

所述第二微处理器包括至少四个处理器核芯。

3.根据权利要求1所述的系统，其中所述第二微处理器以至少1千兆赫（GHz）的速度运转。

4.根据权利要求1所述的系统，其中所述第二微处理器包括至少9600 Dhrystone百万条指令/秒（DMIPS）的等级。

5.根据权利要求1所述的系统，其中所述第三处理器模块基于所述第二处理器模块是否以预定次序调用功能来确定所述故障是否存在于所述第二处理器模块中。

6.根据权利要求5所述的系统，其中当所述第二处理器模块以不同于所述预定次序的次序调用功能时，所述第三处理器模块确定所述故障存在于所述第二处理器模块中。

7.根据权利要求1所述的系统，其中所述第三处理器模块基于所述第二处理器模块是否在预定时段内完成对功能的执行来确定所述故障是否存在于所述第二处理器模块中。

8.根据权利要求7所述的系统，其中当所述第二处理器模块在比所述预定时段更长的时段内完成对所述功能的执行或者没有完成对所述功能的执行时，所述第三处理器模块确定所述故障存在于所述第二处理器模块中。

9.根据权利要求1所述的系统，其中所述第三处理器模块输出质询至所述第二处理器模块并且基于所述第二处理器模块是否产生对所述质询的预定响应来确定所述故障是否存在于所述第二处理器模块中。

10.根据权利要求9所述的系统，其中当所述第三处理器模块产生不同于所述预定响应的响应时，所述第三处理器模块确定所述故障存在于所述第二处理器模块中。

11.根据权利要求1所述的系统，其中：

所述第二微处理器包括至少四个处理器核芯；和

当所述至少四个处理器核芯不同步时所述第三处理器模块确定所述故障存于所述第二处理器模块中。

12.根据权利要求1所述的系统，其中：

所述第三处理器模块生成质询；

所述第二微处理器包括至少四个处理器核芯；

所述至少四个处理器核芯中的第一处理器核芯基于所述质询生成第一结果；

所述至少四个处理器核芯中的第二处理器核芯基于所述质询生成第二结果；

所述至少四个处理器核芯中的第三处理器核芯比较所述第一和第二结果；以及

所述第一、第二和第三处理器核芯是不同的核芯。

13.根据权利要求12所述的系统，其中：

所述第三处理器核芯指示出所述第一和第二结果是否相同；以及

所述第三处理器模块基于所述第一和第二结果是否相同的指示来确定所述故障是否存在于所述第二处理器模块中。

14.根据权利要求13所述的系统，其中当所述第三处理器核芯指示出所述第一和第二结果不同时，所述第三处理器模块确定所述故障存在于所述第二处理器模块中。

15.根据权利要求1所述的系统，还包括：

外部目标计算模块，所述外部目标计算模块包括：

第四处理器模块，所述第四处理器模块包括第四微处理器并且基于第二被处理数据选择性地致动所述电力转向马达、所述摩擦制动器和所述节气门中的至少一者；

第五处理器模块，所述第五处理器模块包括第五微处理器并且基于来自所述传感器的数据来生成所述第二被处理数据，

其中所述第五微处理器是图形微处理器；和

第六处理器模块，所述第六处理器模块包括第六微处理器并且生成所述第五处理器模块中是否存在故障的指示。

16.根据权利要求15所述的系统，其中：

所述第四微处理器包括至少两个处理器核芯；和

所述第五微处理器包括至少四个处理器核芯。

17.根据权利要求15所述的系统，其中所述第五微处理器以至少1千兆赫（GHz）的速度运转。

18.根据权利要求15所述的系统，其中所述第五微处理器包括至少9600 Dhrystone百万条指令/秒（DMIPS）的等级。

19.根据权利要求15所述的系统，其中当所述故障存在于所述第二处理器模块中时，所述第三处理器模块阻止所述第一处理器模块致动所述电力转向马达、所述摩擦制动器和所述节气门。

20.根据权利要求15所述的系统，其中仅响应于所述故障存在于所述第一处理器模块中的指示，所述第四处理器模块基于所述第二被处理数据来致动所述电力转向马达、所述摩擦制动器和所述节气门中的至少一者。