CN103998315B - 多级车辆完整性和质量控制机制 - Google Patents

Abstract

处理器实施的用于机动车的控制系统，对于每个受控的运动方向分别地分配主控功能。在每个主控内实施多层控制的体系结构。在控制级0处，与受控运动方向关联的多个局部化的致动器被监视以确保完整性，但在其它方面被允许靠它们自己操作。在控制级1处，所述主控起监督作用，协调多个致动器的动作。在级2和级3处，所述主控评估驾驶员的可信赖性，并且将此可信赖性因子分解成控制公式。

Description

多级车辆完整性和质量控制机制

相关申请的交叉引用

本申请要求2012年3月14日提交的美国临时申请No.61/610639的权益。上述申请的全部内容通过引用并入本文。

技术领域

本公开一般涉及车辆控制系统，更准确地说涉及一种计算机或处理器实施的控制系统，其实施多级次体系结构，可变通地增强系统完整性，并且使基于驾驶员的可信赖性实现不同的车辆控制工况。

背景技术

如今车辆通常采用多个局部化的控制系统，每个局部化的控制系统包括多个不同的传感器和致动器。这些局部化的控制系统独立地或协同地工作，以控制车辆的工况。例如，车辆推进系统和制动系统可以协同地操作，以在面对多样情况时对车辆的操纵实施复杂的控制。由于这些局部化的控制系统能够独立地或组合地操作，所以可能有许多方式达到相同的最终结果。由于这个原因，在任意时间点哪个控制对车辆工况负主要责任，可能经常是不清楚的。

已经随时间演变的对于这种模糊性的传统解决方案，仅是使用供汽车工程师遵循的一批设计规则。例如，在车辆偏转控制的情况下，转向系统和制动系统二者都可能影响车辆中的偏转以及偏转变化。因此，已经演变出标准，该标准将制动系统置于偏转主控(yawmaster)的主要角色，而使转向系统处于从属角色。

使用将一个控制系统相对于也对受控车辆工况负责的其它系统处于更高角色的标准，本质上没有错误。然而，车辆正变得更加复杂，而且过去的固定规则可能不再是最优的或合适的。例如，混合动力汽车近来变得普及。在这样的车辆中，存在多个推进源：车轮既可以由内燃机也可以由电动机驱动。在一些情况下，每个车轮可以由其自己的专用马达独立地驱动。因此，在任意给定的时间点对车辆输送的扭矩可能是由内燃机和电动机或多个电动机产生的复杂混合。过去的刚性标准经常不具备处理这些情况的能力。

为使问题更具挑战性，关于哪个系统处于控制中的模糊性可能动态地变化。取决于驱动条件，控制的最佳分配可以从一个推进系统切换至另一个。因此通过设计规则简单地建立让一个系统总是先于其它占优先地位，可能不是合适的，因为用来先于其它而选择一个系统的原因在不同的驱动条件下可能变化。因此，优选的解决方案会是根据实际的车辆操作条件具有可变通的控制，以允许相对于控制级别作出智能决策。

发明内容

本公开提供一种计算机实现的或处理器实现的控制系统及控制方法，其使用一种控制体系结构解决上面的问题，所述控制体系结构为每个受控的运动自由度(例如，推进、偏转等)分配主控器角色，并且在被设计为满足完整性等级要求(例如机动车安全完整性等级-ASIL)的多级控制策略中这样做，同时处理此前不可能的宽范围车辆操作和驾驶员可信赖性条件。这些主控器角色通过计算机实现的或处理器实现的多级控制系统进行管理，所述多级控制系统以监督的角色操作来对与其控制的运动自由度关联的局部控制系统动态地分配控制功能。所述主控器考虑到车辆操作条件、外部驾驶条件(如天气条件和路况)以及还有驾驶员的可信赖性条件，来实施动态控制。

关于驾驶员的可信赖性，存在驾驶员未能以最佳敏锐性起作用的多种人的生理原因。驾驶员可能分散注意力或昏昏欲睡、酒醉或医学上生病、执行不合逻辑的操作或在其它方面丧失能力。所公开的多级控制系统处理所有这些情况。

从本文提供的描述中，进一步的应用领域将变得显而易见。本发明内容中的描述和具体示例仅用于说明目的，而不旨在限制本公开的范围。

附图说明

本文描述的附图仅用于所选实施例而非全部可能实现方式的说明性目的，并不旨在限制本公开的范围。

图1示出具有被布置在示例性混合动力汽车配置中的内燃机和电动机的示例性车辆；

图2是以三层(外部监视层、监视层和应用层)图示的多层次(multi-tiered)概念的功能框图；

图3是描绘在实现该多层次控制系统中可用的微控制器的电子电路图；

图4是高级次的控制系统的体系结构图，其描绘用于操作微控制器的可执行指令如何可以针对每个受控维被组织成分开的主控结构；

图5是更详细的软件体系结构图，其描绘图4的主控结构(在该情况下为推进主控)如何在功能上被细分为与彼此通信和控制彼此的层次化级；

图6是在确定存在不可信赖的驾驶员条件时可用的神经网络；

图7是描绘在一示例性实施例中使用的多级控制系统的框图。

全部附图的数个视图中，对应的附图标记表示对应的部分。

具体实施方式

现在将参照附图更充分地描述示例实施例。

参见图1，示例性的车辆20包括：通过传动装置24联接至车轮26a的内燃机22，以及通过传动装置30联接至车轮26b的电动机28。该车辆装备有用于分别控制内燃机22和电动机28的分开的发动机控制单元(ECU)。这些以32和34示出。内燃机ECU 32和电动机ECU 34共同地构成推进控制系统36。如果需要，该车辆可以包括电动机集群，术语“集群”被定义为一个或多个扭矩提供者，其中扭矩提供者可以是但不限于内燃机或电动机。因此，该车辆可以采用例如包括多个内燃机的内燃机集群，或包括多个电动机的电动机集群，或包括内燃机和/或电动机的一个或多个集群的组合集群。

该车辆进一步包括制动系统，该制动系统包括用于每个车轮的制动器38以及向制动器38发送电控信号的制动器ECU 40，以导致它们在驾驶员应用制动踏板时以及还有自动地在特定车辆运动控制条件下选择性地操作单独的制动器或多组制动器。

依照本公开，推进控制系统36(内燃机ECU 32以及电动机ECU 34)以及制动器ECU本身由多级控制系统42控制，现在将描述多级控制系统42的细节。

优选的多级控制系统42是通过在合适的处理器(如微控制器)上执行程序指令(软件)而由计算机实现的或处理器实现的。在大规模生产中，如果需要，还可使用专用集成电路(ASIC)实现该多级控制系统。此外，虽然在这里描述的实施例中已说明了专用的微控制器50，但是应该理解，在车辆内可以使用现有处理器来实现由微控制器50提供的功能。

图2以42图示优选的多级控制系统的软件体系结构包括三个软件层。在本公开中，术语“层(layer)”和“级(level)”是不可互换的。除非要不然从上下文中显而易见的，术语“层”指软件体系结构，也就是说，如何在体系结构上组织计算机或处理器指令。术语“级”指控制体系结构，也就是说，所公开的控制系统如何根据具有不同控制等级或控制级的不同控制方案处理不同的车辆控制场景。

在图2中，这三个软件层主要是在以50示意性表示的微控制器上实现的。如果需要，利用冗余硬件，如以52示意图示的分开的微控制器形式的监视模块，可以实现下层监视功能中的一些。

该软件体系结构的最下层是外部监视层54。微控制器的存储器测试功能56和附加命令测试功能58被分配给此层，而且微控制器的存储器测试功能56和附加命令测试功能58执行内部测试，以监视在微控制器50上运行的过程的健康状况。外部监视层54还实现被称为ADC监视功能60的核心传感器监视功能。

实质上，在车辆各处设置的多个传感器经过车辆的通信总线传递信息，并且信号被馈送至多级控制系统42，在这里，它们被微控制器50的ADC监视功能60选择性地监视。该通信总线数据还作为输入信号74被馈送至更高的软件层，这将在下面介绍。适合的通信总线的示例包括CAN总线(控制器区域网络总线，也称为CANbus)以及通信和联网技术，如FlexRay、LIN、MOST、以太网以及其它联网和通信技术。

作为其监视功能的一部分，外部监视层54包括问-答通信模块62，问-答通信模块62包括所存储的一组命令，该组命令周期性向ADC监视功能60发出问题(对信息的请求)并随后接收和处理答复。问-答通信模块62的一个作用是确保多级控制系统42和车辆传感器及致动器之间的通信保持可靠。如果ADC监视功能60不能对问-答通信模块62的质询做出正确响应，那么系统的完整性变得可疑，于是可能命令进行纠正动作或关闭。

问-答通信模块62还与命令测试功能58(如所示的)链接，使得命令测试功能58可以周期性被运行，以测试问-答通信模块62的健康状况。

问-答通信模块62还与监视模块52通信，监视模块52优选地在像分开的微控制器或微处理器这样的冗余硬件上运行。监视模块用作看门狗电路，其周期性向问-答通信模块62发送健康检查消息。如果模块62不对该消息做出答复，则监视模块52得出微控制器50中出现错误的结论，于是，监视模块52撤回线64上的使能信号，禁用输出级66，由此允许受控系统(例如，内燃机ECU 32、电动机ECU 34等等)自主地且在不依赖于来自多级控制系统42的信号的情况下操作。

多级控制系统42的中间层是监视层70。监视层70包括程序序列控制模块72，程序序列控制模块72操作基本控制环路，由此连续地执行一系列系统监视功能。为了确保监视层70的健康，程序序列控制模块72与问-答通信模块62通信。如果模块72未对问-答通信模块62的质询正确地做出响应，则如上面讨论的那样撤回64上的使能信号。

监视层70的核心功能是连续扭矩监视功能75。此扭矩监视功能将由获取自通信总线的输入信号74确定的实际推进扭矩与被请求的推进扭矩(由应用层80计算的)作对比，以确定是否检测到大偏差。实际推进扭矩和被请求的推进扭矩之间的大偏差可能表明多级控制系统42未正常地工作。在这样的情况下，监视层70撤回其在线76上的使能信号，以禁用输出级66并允许受控系统(例如，内燃机ECU 32、电动机ECU 34等等)自主地且在不依赖来自多级控制系统42的信号的情况下操作。

多级控制系统的顶层是应用层80。该层优选地通过车辆通信总线接收输入信号74。其提供两种核心功能，即组件监视功能82和驾驶功能84。应用层80向线86上的输出级66提供控制信号。利用组件监视功能82，该应用层对输入信号74以及所计算的驾驶功能84进行解释，以生成被发送至输出级的控制信号并且最终控制与受控系统或多个受控系统关联的致动器。例如，如果被监视的组件表明该车辆当前正在摆尾，则控制信号被自动地生成并且被发送至适合的输出级，以引起受控系统自动地进行补偿。

图2中图示的体系结构可将功能分布在外部监视层54、监视层70以及应用层80之中，以获得安全的且完整性受保护的系统。监视层70使来自应用层80的输出安全。因此，如果应用层80计算被请求的推进扭矩，则监视层70将被请求的推进扭矩与实际推进扭矩进行核对，以检测是否存在可能不合适的大偏差。在这种情况下，监视层70通过撤回其在线76上的使能信号来禁用输出级66。

以类似的方式，外部监视层54使其上方的两个层的性能安全，并且如果检测到微控制器50内的处理错误或其它系统功能错误，则通过撤回其在线64上的使能信号来禁用输出级66。

在优选的实施例中，该分层的多层体系结构被设计为支持且符合在ISO 26262中规定的“汽车安全完整性等级(ASIL)”标准。在所说明的实施例中，应用层被设计为符合该ASIL(ISO 26262)标准的QM(B)完整性标准。其余两层被设计为满足ASIL(B)标准。

现在参见3，示出了微控制器50的电子电路细节。应该理解，图3旨在仅示出微控制器50的基本组件。在特定实施例中，微控制器可以具有不同的配置。微控制器50包括具有与系统时钟92关联的处理器或微处理器90。该处理器通过内部总线结构94联接至系统存储器96。存储器96可以被实现为包括非易失性存储器以及随机存取存储器(RAM)，非易失性存储器用来存储程序指令，处理器90对该程序指令进行操作来实现本文描述的功能，随机存取存储器(RAM)被处理器90用来存储输入和输出数据以及中间计算结果。

处理器90被联接至与车辆通信总线100通信的输入/输出电路98。所述通信总线接收来自在车辆各处布置的传感器102的信号，并且向与受控功能关联的致动器104发出控制信号。因此，当将图3和图2相比较时，输入信号74(图2)从传感器102(图3)接收，而输出级66(图2)最终控制致动器104(图4)。可选的外部输入可以包括在传感器102之中，以允许多级控制系统自愿地进入控制级，由此车辆的控制至少部分地被外部信息或引导源控制。

当前优选实施例的多级控制系统42，对于每个受控维分别地分配控制功能。更具体地说，所述控制体系结构对于每个受控维分配主控(Master)。每个主控对在车辆各处分布的、用于那个维的单独的控制系统维持控制。因此，如图4中所图示，偏转主控110对局部偏转控制-A 112和局部偏转控制-B 114维持控制。作为示例，局部偏转控制-A可以是车辆制动系统；局部偏转控制-B可以是电动机系统，等等。虽然已说明了两个局部偏转控制系统，但是应该理解，偏转主控110可以对能够影响偏转维中的运动变化的任意数量的局部控制系统维持控制。

以类似的方式，车辆运动主控116对局部推进控制118、120以及该车辆上的任何其它局部推进控制维持控制。虽然推进和偏转是对车辆控制的当前两个最普遍的维，但是本发明的原理可以扩展至其它维(如滚动维和纵摇维)。因此，为了说明目的，图4包括对其它维控制124维持控制的“其它”维主控122。

单独的主控主要彼此独立地起作用，以对它们关联的局部控制维持控制。然而，如果需要，该系统可以跨多个维集成功能。因此，在图4中，如果需要，偏转主控110、车辆运动主控116以及其它维主控122如由线126示意性图示的那样互连，以允许它们之间的通信。车辆运动主控116可以评估诸如偏转和推进之类的运动属性的组合。例如，如果该车辆具有带不期望工况(满扭矩)的电动机的后轴集成，那么这可能导致诸如偏转和纵向加速之类的几个运动属性的同时偏差。车辆运动主控在这些属性之间区分优先级(prioritize)以实行控制。

每个主控被实现为实行多级控制体系结构。为了说明目的，图5中已描绘推进主控体系结构。相同的多级体系结构会被用于其它主控，因此未在此说明。

图5中图示的多级体系结构优选地采用四级，以根据机械系统的完整性和驾驶员的可信赖性允许不同的规则生效。被表示为130的级0对应于传统的致动器监视功能。微控制器50(未示出)监视来自致动器104以及可选地还有来自传感器102的健康状况指示，但不执行与该主控关联的多个局部化的控制系统之间的协调。因此，当系统在级0操作时，局部控制机制自主地且在没有来自多级控制系统42的指导的情况下操作。

上面紧邻的层是以132表示的级1。当系统在级1操作时，微控制器50监视传感器102并协调与该主控关联的局部化控制系统之间的控制。当在级1操作时，控制系统假设驾驶员的条件是可信赖的，因此来自传感器102的与驾驶员动作相关的任意输入是可信赖的，并且来自传感器102的相应输入信号在不修改的情况下被使用。

上面紧邻的级是以134表示的级2。当系统在级2操作时，驾驶员已经被确定为不可信赖。下面介绍用于检测不可信赖的驾驶员条件的技术。如果检测到驾驶员昏昏欲睡、醉酒、身体不适、做出不合逻辑的动作、晕倒等，则可以认为驾驶员不可信赖。这些不同的不可信赖条件可以对应于不同的不可信赖程度。因此，所说明的实施例设置布尔是-否不可信赖标记(flag)并且还指定数值水平，允许系统根据驾驶员不可信赖性的水平不同地执行。在此方面，应该理解，驾驶员已变得短暂地昏昏欲睡的条件应与驾驶员正癫痫发作或已晕倒的条件不同地对待。

当系统在级2操作时，驾驶员已被认为不可信赖，但是不可信赖程度低于预定的警戒阈值。在这样的情况下，级2控制在支持模式下操作，在这种场合下，与驾驶员动作相关的来自传感器102的选择输入被控制算法改变或忽略。在级2控制下，仍使用驾驶员的输入，但自动地做出适当修改来补偿驾驶员的疏忽或不良反应时间。

以136示出的级3对应于两种情况：(1)驾驶员被认为不可信赖且不可信赖的程度超过预定的警戒阈值的状态，这表示驾驶员的输入完全不应当被信赖，或(2)系统已自愿地控制车辆的状态。当在级3操作时，控制系统在自主模式下操作，除了不使用来自所选择的传感器信号的驾驶员输入之外，该自主模式应用与级2中所用的同样的基本控制算法。这并不意味着忽略与驾驶员输入关联的所有信号，而只在这些情况下适当地忽略一些信号。例如，当在级3操作时，系统在评估驾驶员是无意识时可以忽略驾驶员加速车辆的信号。然而，假设车辆在驾驶员晕倒之前正沿正确的方向被转向，则仍可以使用转向角信号。可替代地，车辆可以在级3操作，因为另一源已自愿地控制车辆操作，如在另一车辆正控制该级3车辆(车辆对车辆的控制)的场合中，或在另一外部信息或引导源在控制的场合中。例如，控制可以通过沿道路布置的外部源提供。

如图5中所示的，该主控体系结构被构造为支持各级之间的车辆安全性和完整性控制消息的分级通信(hierarchical communication)。因此，存在级0和级1之间、级1和级2之间以及级2和级3之间的双向通信。这种互通信支持车辆安全性和完整性控制消息在各级之间的传递。不同的级被指派为在不同的抽象层次上对车辆安全性和完整性进行监视和实施控制，级0关注最基础的车辆问题，级1-3关注依次更高级的车-人完整性问题。

当级0检测完整性问题时，其朝上向级1报告，并且级1做出是否禁用所选择的致动器的决定。如果级0和级1之间的通信丢失，那么级0被配置为依靠其自己作用以做出该致动器关闭决定。级0和级1的不同在于它们对不同类别的信息进行操作。级0根据通过监视传感器观测到的本地物理参数做出完整性决定。

基于从接收自级0的本地数据中获取的计算参数，级1做出完整性决定。因此，级1在比级0更高的抽象层次上物理值进行操作。作为示例，级0可以监视实际扭矩和被请求的扭矩是否在关于内燃机的以及分开地关于电动机的可接受地接近的范围内。换句话说，由于内燃机和电动机是分开的系统，所以在级0时分开地评估系统以确定各自的完整性。

相比之下，级1能够做出关于内燃机和电动机的组合操作的完整性确定。因此，在级1，对于整个车辆(内燃机加电动机)的实际扭矩被计算，并且将该值与所计算的被请求的扭矩值进行比较，以确定整体车辆推进完整性。

级2和级3在比级1更高或更复杂的抽象层次上操作。鉴于级1关注于车辆系统的完整性，级2和级3将人的因素引入公式中。因此，级2和级3关注于有关组合车-人系统的完整性问题。从完整性监视观点看，级2和级3是级1的扩展，不同之处在于，在级2驾驶员输入不是必须被信赖的，在级3驾驶员输入真正是不被信赖的。

级3是级2的扩展。级3上的完整性机制以与级2上同样的方式被触发。不同之处在于，在级3，当与级2相比时，通过考虑多个系统外部因素来对适合的安全状态进行动态识别，并且相应地控制致动器，车辆被自动地操作以达到安全状态。因此在级3对系统完整性的控制，确认驾驶员作为被动组件而非主动组件是控制系统的一部分。如所说明的，如果需要，通过经由传感器102之一发送的外部命令信号，如经由由授权的远程控制操作的开关，可以控制系统自愿地进入级3。当自愿地进入级3时，车辆可以由外部信息或引导源控制。该能力具有许多用处。例如，当车辆进入给定的一段道路时，则可以自动地控制该车辆。类似地，在半拖车货车应用中，当拖车或联接的一串拖车被附接至牵引车时，可以从驾驶室自动地控制拖车或联接的一串拖车。

评估驾驶员可信赖性

存在专用传感器，如对于驾驶员眼睛训练的视频摄像机，该专用传感器可被用来获取表示不可信赖的驾驶员条件的信息。尽管可以使用这样的传感器，但是还可以使用从通信总线接收的传感器数据的训练统计模型分析或神经网络分析来计算不可信赖的驾驶员条件。在图6中已经图示出神经网络实施例，其中以150示出示例性神经网络结构。

如所图示，每个相关的通信总线数据信号被供给多个输入节点152中的一个。然后这些输入节点经由突触(表示为线)被联接至中间神经元154，中间神经元154的输出经由突触被供给进一步的神经元156并最终被供给神经元158，而由神经元158提供表示是否存在不可信赖的驾驶员条件的输出信号。每个神经元包括组合功能，如将从进入突触接收的输入组合成组合数据值的加法器功能。每个神经元还包括阈值激活功能，由其测试或操纵该组合数据值来确定该神经元的输出会是什么。阈值激活功能优选为非线性函数，如简单的阶跃函数或S形函数(如果需要模拟工况)。假若使用阶跃函数，如果该组合数据值超过预定的阈值，则该神经元将产生逻辑“1”输出。假若使用S形函数，则该神经元将产生根据该组合数据值改变的模拟输出值。

该神经网络的关键特征是，每个突触与对该输入值施加的加权值(数值权重)关联，如通过乘以对具有该关联权重的突触的输入值。这些加权值随着神经网络被训练而经历改变。通过提供足够的训练数据，经过连续的训练迭代对与单独的突触关联的加权值进行调整，直至神经网络已经被训练为在被提供未知输入数据时认识其被训练的条件。

起初，在训练之前，与单独的突触关联的所有权重被设置为初始值，如随机值。随后通过被称为“训练”的学习过程改变这些权重。优选地，以监督的方式执行训练，其中向神经网络150一次一个地提供代表一类不可信赖的驾驶员示例的、被监督的训练数据的数据集160，同时迭代地调整单独突触的权重，直至从最后的神经元158输出不可信赖的驾驶员条件。然后对训练数据的每个剩余示例重复该过程，进一步提炼单独突触的权重，以使神经网络将重复地将每个被监督的训练示例识别为不可信赖的驾驶员条件的似然性最大化。

如因此已被训练，神经网络150能够对系统使用期间从通信总线向输入152供应的已知数据起作用。每当由输入数据值表示的条件与所学习的不可信赖的驾驶员条件对应时，输出神经元158产生正输出。

使用训练模型(如神经网络150)的一种好处是，对不同类别的不可信赖的驾驶员可以提供不同的训练数据集。对这些类别中的每个可以训练分开的神经网络，然后分开的神经网络全部会被并行使用，以不仅评估存在不可信赖的驾驶员条件，而且评估该条件更具体的属性。因此，例如一个被监督的训练数据集可以表示昏昏欲睡的驾驶员，另一被监督的训练数据集可以表示酒醉的驾驶员，等等。以此方式，全部使用从通信总线接收的相同原始输入数据，一组神经网络被训练成识别不同的不可信赖的驾驶员条件中的每个。

虽然这里已经介绍了神经网络的示例，但是还可以使用其它类型的人工智能系统。因此，神经网络150可以被训练的统计建模系统或被决策树专家系统等替代。

车辆运动(例如，推进)主控示例

图7给出多级控制系统的示例，其用来对由图1表征的混合动力汽车中的推进维维持控制。尽管可以依赖多种不同的输入信号，但是本示例性实施例限定由以170示出的控制算法使用的一组输入。车辆运动主控116(图4)将该组输入的子集172限定为与驾驶员相关的输入信号，即与推进装置连接的驾驶员输入。第二子集174被限定为车辆状态信息，而第三子集176被限定为来自致动器的状态信息。

这些输入由推进主控的处理算法178处理。该处理算法可以被实现为一组完整性规则，每个规则检查预限定条件的存在。例如，如图7所示，规则1测试超过预定的加速度‘x’的加速度是否存在超过‘y’毫秒。该处理算法重复地循环通过其完整性规则组中的每个(如由程序序列控制模块72(图2)所控制)。当所测试的条件存在时，向纠正动作算法180发送消息。

纠正动作算法180对从处理算法发送的消息进行解释，该消息可以包括提供所获得的各输入170的值的嵌入数据值或者对那些值被存储在哪里的指针。不仅考虑到触发条件，还考虑到驾驶员可信赖性水平，纠正动作算法180确定什么纠正动作是合适的。换句话说，纠正动作算法180意识到该推进主控正操作的当前安全性-完整性级在(级0、级1、级2、级3)。纠正动作算法对所有这些条件进行解释，确定要采取的纠正动作，并且通知每个局部推进控制(图4中的118、120)如何响应。

在一些情况下，纠正动作算法可能确定应关闭一个或多个推进系统。因此，纠正动作算法包括既用于内燃机又用于电动机的预限定的一组关闭路径，其可以从中进行选择以实施在当前情况下最合适的系统关闭。应当注意，该纠正动作算法控制一个以上的致动器，并且具有用于每个致动器的一个以上的关闭路径。该纠正动作路径被设计为尽可能地独立。这给予该纠正动作算法更大的灵活性，以对包括致动器中的一些本身可能不正常地起作用的那些在内的多种情况做出响应。

从前文中将会理解多级控制系统提供许多好处。该控制体系结构在不同的抽象级次上提供多个关闭路径，在保证系统完整性的同时给予更大的整体控制。级1的车辆安全性和完整性机制访问影响被主控的车辆运动的所有致动器。级2和级3的安全性和完整性机制，应对如今在车辆中未被处理的情况，如驾驶员受损害或丧失能力的情况。该多级控制系统的体系结构使在车辆中产生一些新分解成为可能，这降低了对如今存在的机制(级0)的功能安全性和完整性要求。级1的安全性和完整性机制提供比常规实践更大的灵活性。例如，在传统实施的级0安全性和完整性机制可能要求关闭致动器的情况中，级1安全性和完整性机制可以允许致动器在特定条件下继续操作。

已经为说明和描述目的提供了实施例的前面描述。其并非旨在穷举或限制本公开。即使没有特别地示出或描述，特定实施例的单独要素或特征通常也不限于该特定实施例，而在适用的情况下可互换的且可以用在所选择的实施例中。上述情况还可以以许多方式变化。这样的变化不应被视为脱离本公开，而且全部这样的修改旨在包括在本公开的范围内。

Claims (28)

1.一种多级控制系统，用于控制与机动车内的至少一个运动方向关联的多个致动器，所述机动车具有用于实现在所述至少一个运动方向上的车辆运动变化的多个传感器和致动器，其中所述传感器中的至少一些提供与驾驶员相关的对应于所述驾驶员执行的动作的输入信号，所述多级控制系统包括：

主控电路，被联接为从所述传感器接收输入信号，并且被联接为监视所述致动器的状态；

所述主控电路被配置为对所述至少一个运动方向上的车辆运动提供多级控制；

所述多级包括：

(a)致动器监视级，在所述致动器监视级中所述致动器的完整性被评估；

(b)第一致动器控制级，其解释包括与驾驶员相关的输入信号在内的来自所述传感器的输入信号，并且对所述致动器提供监督控制；

(c)第二致动器控制级，其通过解释所述输入信号对驾驶员的可信赖性的水平进行评估，并且在驾驶员的可信赖性低于预定水平时，以与由所述第一致动器控制级实现的不同方式对所述致动器提供监督控制。

2.根据权利要求1所述的控制系统，其中所述多级进一步包括：

(d)第三致动器控制级，其在忽略至少一些与驾驶员相关的输入信号的场合下，以与由所述第二致动器控制级实现的不同方式对所述致动器提供监督控制。

3.根据权利要求1所述的控制系统，其中所述多级进一步包括：

(d)第三致动器控制级，其基于与所述驾驶员不同的引导源对所述致动器提供监督控制。

4.根据权利要求1所述的控制系统，其中所述车辆运动被控制在多个不同方向上，并且其中所述主控电路被配置为对所述多个不同方向中的每个方向提供所述多级控制。

5.根据权利要求1所述的控制系统，其中所述车辆运动被控制在多个不同方向上，并且其中所述主控电路包括用于所述多个不同方向中的每个方向的分开的单独的主控电路。

6.根据权利要求5所述的控制系统，其中所述单独的主控电路彼此独立地操作。

7.根据权利要求1所述的控制系统，进一步包括用于评估驾驶员的可信赖性的至少一个传感器。

8.根据权利要求1所述的控制系统，进一步包括用于评估驾驶员的可信赖性的训练统计模型。

9.根据权利要求8所述的控制系统，其中所述训练统计模型包括神经网络。

10.根据权利要求1所述的控制系统，其中所述主控电路包括至少一个被编程的处理器或专用集成电路。

11.根据权利要求1所述的控制系统，其中所述主控电路包括根据分层的软件体系结构编程的至少一个处理器。

12.根据权利要求11所述的控制系统，其中所述车辆具有至少一个发动机，并且其中所述分层的软件体系结构包括：

(1)下层，其监视在所述至少一个处理器上运行的过程的健康状况；

(2)中间层，其监视所述发动机；以及

(3)上层，其监视与控制所述车辆关联的驾驶功能。

13.根据权利要求12所述的控制系统，进一步包括监视模块，所述监视模块与所述下层通信，以评估在所述下层中运行的过程的健康状况。

14.根据权利要求12所述的控制系统，其中所述至少一个处理器在实现所述下层时向在所述中间层中运行的软件提交问题，并且监视所接收的响应，以由此评估在所述中间层中运行的过程的健康状况。

15.根据权利要求12所述的控制系统，其中所述上层与输出级电路通信，所述输出级电路提供控制信号以操作所述车辆内的组件。

16.根据权利要求12所述的控制系统，其中所述下层和中间层中至少一个提供使能信号，以选择性地禁止所述车辆内的组件的操作。

17.根据权利要求12所述的控制系统，其中所述中间层执行扭矩监视。

18.根据权利要求12所述的控制系统，其中所述中间层执行连续的扭矩监视，从而将实际的推进扭矩与通过在所述上层中运行的过程提供的被请求的推进扭矩进行比较。

19.根据权利要求12所述的控制系统，其中所述上层进一步包括监视所述多个传感器和致动器的完整性的过程。

20.根据权利要求1所述的控制系统，其中所述主控电路通过输出级电路联接至所述车辆，所述输出级电路能够选择性地被禁用，以允许所述多个致动器自主地且在不依赖于来自所述主控电路的信号的条件下操作。

21.一种控制与机动车内的至少一个运动方向关联的多个致动器的方法，所述机动车具有用于实施在所述至少一个运动方向上的车辆运动变化的多个传感器和致动器，其中所述传感器中的至少一些提供与驾驶员相关的对应于所述驾驶员执行的动作的输入信号，所述方法包括：

使用对所述至少一个运动方向上的车辆运动提供多级控制的至少一个主控电路，以

(a)在所述多级控制的第一级控制中，监视所述致动器的完整性；

(b)在所述多级控制的第二级控制中，解释包括与驾驶员相关的输入信号在内的来自所述传感器的输入信号，并且对所述致动器提供监督控制；以及

(c)在所述多级控制的第三级控制中，通过解释所述输入信号对驾驶员的可信赖性进行评估，并且在驾驶员的可信赖性低于预定水平时，以与在步骤(b)中提供的不同方式对所述致动器提供监督控制。

22.根据权利要求21所述的方法，进一步包括使用所述至少一个主控电路，以

(d)在忽略至少一些与驾驶员相关的输入信号的场合下，以与在步骤(b)和(c)中提供的不同方式对所述致动器提供监督控制。

23.根据权利要求21所述的方法，进一步包括使用所述至少一个主控电路，以

(d)基于与所述驾驶员不同的引导源对所述致动器提供监督控制。

24.根据权利要求21所述的方法，其中车辆运动被控制在多个不同方向上，并且其中步骤(a)、(b)和(c)对所述多个不同方向中的每个方向分开地执行。

25.根据权利要求21所述的方法，其中使用至少一个传感器确定驾驶员的可信赖性。

26.根据权利要求21所述的方法，其中使用训练统计模型确定驾驶员的可信赖性。

27.根据权利要求26所述的方法，其中所述统计模型包括神经网络。

28.根据权利要求21所述的方法，进一步包括使用所述至少一个主控电路，以

(d)基于位于所述车辆外部的信息源对所述致动器提供监督控制。