CN104044632B - 用于系统误差保护的交叉校验策略 - Google Patents

Abstract

本发明涉及用于系统误差保护的交叉校验策略。提供了一种用于产生和验证在动力转向系统中使用的输出命令的方法。该方法通过具有至少主处理路径和与该主处理路径并行的辅处理路径的模块接收一组输入信号。在主处理路径中，该方法基于该组输入信号产生主输出命令，并将主输出命令从该模块中发送出。在辅处理路径中，该方法基于该组输入信号产生命令值的第一范围，确定该主输出命令是否落在命令值的该范围内，并基于确定主输出命令未落在命令值的第一范围内产生故障信号。

Description

用于系统误差保护的交叉校验策略

相关申请的交叉引用

本专利申请要求2013年3月11日提交的序列号为61/776,141的美国临时专利申请的优先权，在此通过参考将其全部内容合并。

技术领域

本发明涉及用于系统误差保护的交叉校验策略。

背景技术

国际标准化组织(ISO)26262功能安全标准推荐了多样的软件设计，以利于检测和减轻软件系统误差，该误差可能导致电动助力转向(EPS)系统的异常辅助扭矩输出。在先的软件设计利用软件防火墙(通常是饱和限幅器)来减轻可能造成异常辅助扭矩输出的误差。然而，辅助扭矩计算路径中的这些饱和限幅器还可能降低转向系统性能，以及与辅助扭矩输出计算发生干扰。还使用了其他软件设计手段，诸如冗余记忆存储和对安全关键软件变量的比较。然而，这些设计手段通常被最佳地应用以减轻影响软件计算的误差的硬件源。相应地，期望提供可在不太多地影响转向系统性能和辅助扭矩计算的情况下减轻误差的方法和系统。

发明内容

在本发明的一个实施例中，提供了一种用于产生和验证在动力转向系统中使用的输出命令的方法。该方法通过具有至少主处理路径和与该主处理路径并行的辅处理路径的模块接收一组输入信号。在主处理路径中，该方法基于该组输入信号产生主输出命令，并将主输出命令从该模块中发送出。在该辅处理路径中，该方法基于该组输入信号产生命令值的第一范围，确定该主输出命令是否落在命令值的该范围内，以及基于确定主输出命令未落在命令值的第一范围内，产生故障信号。

在本发明的另一个实施例中，提供了一种用于控制动力转向系统的控制系统。该控制系统包括主处理路径和与该主处理路径并行的辅处理路径。该控制系统进一步包括处于该主处理路径中的第一模块。该第一模块配置成基于一组输入信号产生主输出命令，以及输出主输出命令。该控制系统进一步包括处于该辅处理路径中的第二模块。该第二模块配置成基于该组输入信号产生命令值的第一范围，确定主输出命令是否落在命令值的该范围内，以及基于确定主输出命令未落在命令值的第一范围内，产生故障信号。

从下面结合附图作出的描述，这些及其他优点和特征将变得更加显而易见。

附图说明

在说明书结尾处的权利要求书中特别地指出和清楚地要求保护被视为本发明的主题。本发明的前述及其他特征和优点从下面结合附图作出的详细描述中显而易见，在附图中：

附图1是根据示范性实施例的转向系统的功能方框图，该转向系统包括用于控制该转向系统的控制系统；

附图2图示了根据本发明示范性实施例的控制模块的方框图，该控制模块控制转向系统；

附图2a图示了根据本发明示范性实施例的控制转向系统的控制模块的方框图；

附图3是图示了根据示范性实施例的用于控制转向系统的控制方法的流程图；

附图4图示了根据本发明示范性实施例的控制转向系统的控制模块的方框图；

附图5是图示了根据示范性实施例的用于控制转向系统的控制方法的流程图；

附图6图示了根据本发明示范性实施例的控制转向系统的控制模块的方框图；

附图7图示了根据本发明示范性实施例的控制转向系统的控制模块的方框图；

附图8图示了根据本发明示范性实施例的控制转向系统的控制模块的方框图；以及

附图9图示了根据本发明示范性实施例的控制转向系统的控制模块的方框图。

具体实施方式

下面的描述实质上仅是示范性的，而不意图限制本公开、应用或使用。应当理解，贯穿附图，对应的附图标记指示相似或对应的部分和特征。

现在参照附图1，其中将参照特定实施例来描述本发明，而不限制该特定实施例，包括转向系统12的车辆10的示范性实施例被图示。在各个实施例中，转向系统12包括耦合到转向轴16的方向盘14。在一个示范性实施例中，转向系统12是电动助力转向(EPS)系统，其进一步包括与转向系统12的转向轴16和车辆10的拉杆20、22耦合的转向辅助单元18。转向辅助单元18包括例如齿条和齿轮转向机构(未示出)，其可以通过转向轴16耦合到转向促动电动机和传动装置(下文称作转向促动器)。在操作期间，随着方向盘14被车辆操作者转动，转向辅助单元18的电动机(未示出)提供辅助以移动拉杆20、22，这进而分别移动分别与车辆10的道路轮28、30耦合的转向节24、26。虽然在附图1中图示且在此描述了EPS系统，但是应当理解，本公开的转向系统12可以包括各种受控转向系统，该受控转向系统包括但不限于具有液压配置且通过线配置而转向的转向系统。

如图1中所示，车辆10进一步包括各种传感器31*33，其检测和测量转向系统12和/或车辆10的可观察状况。传感器31-33基于该可观察状况产生传感器信号。在各个实施例中，传感器31-33包括例如方向盘位置传感器、方向盘扭矩传感器、车辆速度传感器、电动机位置传感器等。这些传感器将信号发送到控制模块40。

在各个实施例中，控制模块40基于一个或多个传感器信号以及进一步基于本公开的交叉校验系统和方法来控制转向系统12和/或车辆10的操作。一般地说，本发明各个实施例的控制模块40保持至少主信号路径和辅信号路径(未示出)。在主信号路径中，控制模块40具有一组逻辑，其配置成计算主输出命令(例如，辅助扭矩命令)。在辅信号路径中，控制模块40具有一组逻辑，其配置成针对主信号路径中的误差验证或交叉校验来自主信号路径的主输出命令。通过保持分离的主和辅信号路径，控制模块40可以在不影响输出命令产生过程的情况下使输出命令生效。

在一个实施例中，辅信号路径中的该组逻辑确定来自主信号路径的输出是否处于命令值的范围外。基于确定来自主信号路径的输出处于该范围外，辅信号路径中的该组逻辑产生故障信号，该故障信号指示主信号路径中存在误差并且输出命令是行故障的。在一个实施例中，辅路径中的该组逻辑在确定了故障时在控制模块40中或在转向系统12中发起一组故障响应动作。在实施例中，故障响应动作是由转向系统12的组件(例如，控制模块40及其子模块、转向辅助单元18等)出于补救或减轻的目的、响应于故障而采取的动作。

在一个实施例中，辅路径中的该组逻辑验证或交叉校验默认输出命令，例如通过确定来自主信号路径的默认输出命令是否处于命令值的范围外。基于确定来自主信号路径的默认输出命令处于该范围外，辅信号路径中的该组逻辑产生故障信号，该故障信号指示故障输出命令是有故障的。在一个实施例中，辅路径中的该组逻辑在确定了故障时在控制模块40中或在转向系统12中发起一组故障响应动作。

附图2图示了根据本发明示范性实施例的控制模块40的方框图，该控制模块40控制附图1的转向系统12和/或车辆10。控制模块40可以包括一个或多个子模块和数据存储器。如在此使用的，术语模块和子模块指的是专用集成电路(ASIC)、电子电路、执行一个或多个软件或固件程序的存储器和处理器(共用的、专用的或组)、组合逻辑电路和/或提供所描述功能的其他适当组件。可以理解，附图2中所示的子模块可以被组合和/或进一步划分。

如所示的那样，在一个实施例中，控制模块40取得输入信号105并产生输出命令115和/或故障信号125。从车辆10(附图1)的传感器产生至控制模块40的输入信号105，在一个实施例中，该传感器可以是在控制模块40内(例如，通过其他子模块(未示出))建模的。也可以从车辆10(附图1)的其他控制模块接收输入信号105。输出命令115是被输出到转向系统12的另一个部件(例如，转向辅助单元18)的命令信号。例如，输出命令115是辅助扭矩命令，该辅助扭矩命令被发送到转向辅助单元18，并使转向辅助单元18的电动机产生指定量的辅助扭矩，以帮助车辆的操作者转向。

控制模块40基于例如来自方向盘扭矩传感器的方向盘扭矩信号产生输出命令115。该故障信号125也是命令信号，该命令信号在转向系统12中发起故障响应动作。例如，转向系统12在使自身停机之前以受限的方式产生辅助扭矩。在一个实施例中，还将故障信号125发送到控制模块40的另一个子模块(未示出)。该另一个子模块基于故障信号125产生诊断码，并根据各种报告方法来报告诊断码，该报告方法包括但不限于使用车内通信报告消息和/或车外报告消息。

在一个实施例中，控制模块40保持至少两个并行的信号路径130和135，以便将验证过程与输出命令产生过程分离。例如，控制模块40包括输出命令发生器110，其在主信号路径130中产生输出命令115。产生故障信号125的输出命令监视器120处于辅信号路径135中。由于不处于主信号路径中，输出命令监视器120可以验证输出命令，并产生故障信号125，而不会延迟或干扰由输出命令发生器110执行的输出命令产生过程。

应当注意到，控制模块40可以包括许多子模块，即使输出命令发生器110和输出命令监视器120是附图2中所示的控制模块40的仅有子模块。此外，输出命令发生器110和输出命令监视器120不必是直接将到控制模块40的输入当作输入或产生从控制模块40中发送出的输出命令和故障信号的模块。也就是说，在一个实施例中，输出命令发生器110和输出命令监视器120与控制模块40的其他子模块交互，使得输入信号105是控制模块40的其他子模块的输出，并且输出命令115和故障信号125被发送到控制模块40的其他子模块。因此，接下来，将验证过程和输出命令产生过程分离成两个并行的信号路径适用于控制模块40的任何子模块。

附图2a图示了控制模块40的这种示例。具体地，附图2a图示了控制模块40包括五对150-170输出命令发生器和输出命令监视器。对150和170将到控制模块40的输入信号175当作输入，并将其输出命令和/或故障信号发送到(一个或多个)其他于模块(即，对155和160)。对155和160中的每一个将(一个或多个)其他子模块(即，对150)的输出当作输入，并将其输出命令和/或故障信号发送到(一个或多个)其他子模块(即，对165)。该对165将(一个或多个)其他子模块(即，对155和160)的输出当作输入，并发送其输出命令和/或故障信号作为控制模块40的输出命令180。对170将控制模块40的输入信号175当作输入，并发送其输出命令和/或故障信号作为控制模块40的输出命令180。

现在，回到附图2并且参照附图1和3，将描述各个实施例中的控制模块40的示例操作。附图3图示了可由控制模块40的输出命令发生器110和输出命令监视器120执行的控制方法的流程图。根据本公开可以理解，该方法内的操作顺序不限于如附图3中所示的顺序执行，而是可以在适用时且根据本公开按一个或多个变化的顺序执行。

在一个示例中，在方框310，输出命令发生器110和输出命令监视器120接收一组输入信号105，该组输入信号105是从一个或多个产生这些信号的传感器31-33接收的或从控制模块40的一个或多个产生这些输入信号的子模块接收的。输入信号150可以包括方向盘位置信号、方向盘扭矩信号、电动机速度信号等。

在方框320，输出命令发生器110基于一个或多个输入信号105产生输出命令。例如，输出命令发生器110从方向盘位置和/或方向盘速度信号产生方向盘扭矩信号。作为另一个示例，输出命令发生器110产生辅助扭矩命令，用于命令转向辅助单元18产生指定量的辅助扭矩。然后，在方框330，输出命令发生器110将该输出命令115发送到控制模块40的另一个子模块或转向系统12的另一个部件(例如，转向辅助单元18的电动机)。应当注意到，输出命令115在被输出之前未在主信号路径130中被验证或交叉校验。

在方框340，输出命令监视器120基于一个或多个输入信号105产生命令值的范围。例如，输出命令监视器120产生辅助扭矩命令值的范围，以确定输出命令115是否有故障。输出命令监视器120可以基于输入信号105计算该范围，或者在由输入信号105的值编索引的查找表中找到该范围。

在方框350，输出命令监视器120确定输出命令115是否落在该范围内。基于在方框350确定输出命令115落在该范围内，该方法循环回到方框310，使得控制模块40基于更新的输入信号重复方框310-350处的操作。

基于在方框350确定输出命令115未落在该范围内，在方框360，输出命令监视器120产生故障信号和/或发起一组故障响应动作(例如，补救或减轻动作)。例如，输出命令监视器120可以将故障信号发送到控制模块40的其他子模块，使得接收子模块可以忽略输出命令115并将备用命令用作输入。接收子模块还可以使转向系统12以受限的方式执行其功能(例如，产生辅助扭矩)或者开始停机。接收子模块还可以是将输入信号115提供到输出命令发生器110的模块。在这种情况下，接收子模块可以通过例如设旁路绕过输出命令发生器110来隔离输出命令发生器110。

附图4图示了根据本发明各个实施例的控制模块40的方框图。具体地，附图4图示了控制模块40以两种不同的操作模式(正常模式和默认模式)执行输出命令产生过程。在正常模式下，控制模块40如所设计的那样执行输出命令产生过程。也就是说，控制模块40通过例如如所设计的那样使用所有输入信号、参数和/或算法来产生输出命令。然而，在默认模式下，控制模块40以降级的方式执行输出命令产生过程。例如，在默认模式下操作的控制模块40仅使用这些输入信号的子集、参数和/或在正常模式下操作的控制模块40将使用的更简单的算法来产生输出命令。

如图4中所示，输出命令发生器110包括主输出命令发生器410、默认输出命令发生器420和输出命令选择器430。主输出命令发生器410产生在控制模块40处于正常模式下时输出的主输出命令440。默认输出命令发生器420产生在控制模块40处于默认模式下时输出的默认输出命令450。当控制模块40以正常模式操作时，输出命令选择器430选择和输出主输出命令440作为输出命令115。当控制模块40以默认模式操作时，输出命令选择器430选择和输出默认输出命令450作为输出命令115。

在一个实施例中，输出命令监视器120基于确定主输出命令是否处于命令值的范围内触发控制模块40的两个操作模式之间的切换。例如，基于确定主输出命令440处于该范围外，输出命令监视器120产生故障信号460，在一个实施例中，故障信号460指示控制模块40应当进入默认操作模式。

在一个实施例中，输出命令监视器120将故障信号460发送到输出命令发生器110。当接收到故障信号460时，输出命令发生器110进入默认模式，并且默认输出命令发生器开始产生默认输出命令450。在一个实施例中，一个实施例中的输出命令监视器120将故障信号460发送到输出命令选择器430，输出命令选择器430选择由默认输出命令发生器420产生的默认输出命令450，并将默认输出命令450发送到转向辅助单元18(附图1)。

现在，将参照附图1、4和5来描述各个实施例中的控制模块40的示例操作。附图5图示了可由控制模块40的输出命令发生器110(包括主输出命令发生器410、默认输出命令发生器420和输出命令选择器430)和输出命令监视器120执行的控制方法的流程图。根据本公开可以理解，该方法内的操作顺序不限于如附图3中所示的顺序执行，而是可以在适用时且根据本公开按一个或多个变化的顺序执行。

在一个示例中，在方框505，主输出命令发生器410和输出命令监视器120从一个或多个产生信号的传感器31-33接收一组输入信号105。在方框510，主输出命令发生器410基于一个或多个输入信号105且使用一组算法来产生主输出命令440。在方框515，输出命令选择器430输出主输出命令440。也就是说，输出命令选择器430将主输出命令440作为输出命令115发送到转向辅助单元18。

在方框520，以在上面参照附图3描述的方框340处输出命令监视器产生范围的类似方式，输出命令监视器120基于一个或多个输入信号105产生命令值的范围。在方框525，输出命令监视器120通过确定主输出命令440是否落在该范围内确定主输出命令440是否是有故障的。

基于在方框525确定主输出命令440落在该范围内，控制模块40循环回到方框505，使得控制模块40基于更新的输入信号重复方框505-525处的操作。

基于在方框525确定主输出命令440未落在该范围内，控制模块40在方框530进入默认操作模式。输出命令监视器120产生故障信号460。该故障信号460指示控制模块40应当进入默认操作模式。在一个实施例中，输出命令监视器120在方框540将故障信号460发送到输出命令发生器110。更具体地，在一个实施例中，输出命令监视器120将故障信号460发送到输出命令选择器430。然而，在一个实施例中，控制模块40不立即进入默认操作模式。在这种实施例中，在输出命令115处于该范围外达比预定义持续时间更长的时间之后，输出命令监视器120将故障信号460发送到输出命令发生器110。

在方框535，默认输出命令发生器420基于一个或多个输入信号105产生默认输出命令450。在一个实施例中，默认输出命令发生器420以降级的方式产生默认输出命令450。例如，默认输出命令发生器420仅使用主输出命令发生器410所使用的参数以及输入信号的子集。此外，默认输出命令发生器420可以使用比主输出命令发生器410所使用的算法更简单的算法。

在方框540，输出命令选择器430输出默认输出命令450。也就是说，输出命令选择器430将默认输出命令450作为控制模块40的输出命令115发送到转向辅助单元18。

在方框545，在一个实施例中，输出命令监视器120基于一个或多个输入信号105产生命令值的另一个范围。命令值的该范围用于在方框550确定默认输出命令是否是有故障的。在一个实施例中，为了产生该范围，输出命令监视器120使用输出命令监视器120在方框520使用以产生用于确定主输出命令是否有故障的范围的输入信号的子集。在方框550，输出命令监视器120通过确定默认输出命令是否落到在方框545产生的命令值的范围内确定默认输出命令是否是有故障的。

基于在方框550确定默认输出命令450落在该范围内，控制模块40循环回到方框535，使得控制模块40基于更新的输入信号、以默认模式重复方框535-555处的操作。

基于在方框550确定默认输出命令450未落在该范围内，控制模块40在方框555在控制模块40中或在转向系统12中发起一组故障响应动作。例如，输出命令监视器120可以产生故障信号470。在一个实施例中，故障信号470被发送到控制模块40的其他子模块，使得接收子模块可以忽略输出命令115并将备用命令用作输入。

附图6图示了根据本发明示范性实施例的控制模块40的方框图。具体地，附图6图示了输出命令115包括静态内容620和动态内容625，并且在输出命令监视器120确定输出命令115是否是有故障的之前去掉输出命令115的动态内容。

在一个实施例中，基于输入信号的幅度特性产生输出命令的静态内容。一般地，对输入信号的幅度特性执行简单的操作(例如加法、减法、增益计算、表格查找等)，以便产生输出命令的静态内容。另一方面，在一个实施例中，基于输入信号的频率和幅度特性产生输出命令的动态内容。一般地，对输入信号的频率和幅度特性执行复杂的操作(例如，使用状态变量和滤波时间常数的滤波)。

在一个实施例中，输出命令发生器110包括静态处理模块605和动态处理模块610。在一个实施例中，静态处理模块605和动态处理模块610并行地处理输入信号105。也就是说，模块605或610的输出不被馈送到其他模块作为输入。如所示的那样，静态处理模块605基于输入信号105产生静态内容620。动态处理模块610基于输入信号105产生动态内容625。求和方框615将静态内容620和动态内容625加起来，并且该和被输出作为输出命令115。

在一些情况下，计算输出命令的动态内容的命令值的范围在输出命令监视器120上强加了性能负担，以致输出命令监视器120可能未有效地验证输出命令115。因此，在一个实施例中，控制监视器120配置成在辅信号路径135中具有另一个动态处理模块635，以便在输出命令监视器120验证输出命令115之前从输出命令115去掉动态内容。如所示的那样，动态处理模块635基于输入信号105产生动态内容630。求和方框640从动态处理模块635接收动态内容630，并从输出命令发生器110接收具有动态内容625的输出命令115。求和方框640从输出命令115减去(如由求和方框640描绘的负号所指示的那样)动态内容630。然后，输出命令监视器120确定具有静态内容的结果输出命令是否是有故障的，并产生故障信号125。

在一个实施例中，辅信号路径135中的动态处理模块635是主信号路径130中的动态处理模块610的复制。然而，动态处理模块635可以与动态处理模块610有一些差异。例如，动态处理模块635可以实现用于处理输入信号的不同算法。或者，动态处理模块635可以通过使用不同水平的计算精度(例如数值精度*固定点、浮点等)同时使用动态处理模块610所使用的(一个或多个)相同算法来实现该差异。

附图7图示了根据本发明示范性实施例的控制模块40的方框图。具体地，附图7图示了输出命令发生器110包括在主信号路径130中串联的静态处理模块605和动态处理模块705。控制模块40包括在辅信号路径135中串联的动态处理模块710和输出命令监视器120。

动态处理模块705类似于上面参照附图6描述的动态处理模块610，其中动态处理模块705对输入的频率和幅度特性执行复杂操作(例如，使用静态变量和滤波时间常数的滤波)。然而，动态处理模块705与静态处理模块605串联。在一个实施例中，到动态处理模块705的输入是静态处理模块605的输出。因此，结果输出命令115是静态内容和动态内容的相乘。相比之下，由如附图6中所示的并联的动态处理模块610和静态处理模块605产生的输出命令115是静态内容和动态内容的相加。

具有串联的静态处理模块605和动态处理模块705，附图7中的输出命令发生器110耗费比输出命令监视器120更多的时间以基于输入信号105产生输出命令115，以便基于同时接收的输入信号105产生命令值的范围。也就是说，由输出命令发生器110产生的输出命令115可以相对于命令值的范围的产生在时间上滞后。该滞后可能造成输出命令115的不正确验证，这是因为随着输入信号105的值可能随时间变化，输出命令监视器120所产生和使用的命令值的范围可能不是正确的范围。

在一个实施例中，控制模块40配置成具有与输出命令监视器120串联的动态处理模块710。具体地，动态处理模块710处理输入信号105，并将处理后的信号715馈送到输出命令监视器120中。在一个实施例中，动态处理模块710还将输入信号105发送到输出命令监视器120，该输入信号105被延迟了动态处理模块710花费在产生处理后的信号715上的时间量。通过该延迟，输出命令监视器120所产生和使用的命令值的范围对于验证输出命令115来说在时间上正确。在一个实施例中，输出命令监视器120还使用处理后的信号715来产生命令值的范围。

在一个实施例中，辅信号路径135中的动态处理模块710是主信号路径130中的动态处理模块705的复制。然而，动态处理模块710可以与动态处理模块705具有一些差异。例如，动态处理模块710可以实现用于处理输入信号的不同算法。或者，动态处理模块710可以通过使用不同水平的精度(例如，固定点相对于浮点)同时使用与动态处理模块705所使用的算法相同的算法来实现该差异。

在一些情况下，串联的静态处理模块605和动态处理模块705可能提出关于控制模块40的稳定性的问题。例如，当静态处理模块605的输出信号是有故障的时，将该有故障信号馈送到动态处理模块705中。来自动态处理模块705的结果输出命令115将是有故障的，即使动态处理模块705不是该有故障信号的原因亦如此。

附图8图示了根据本发明示范性实施例的控制模块40的方框图。这些实施例的控制模块40限制了静态处理模块605的输出，以防止静态处理模块605的输出有故障。附图8图示了除在主信号路径130中串联的静态处理模块605和动态处理模块705外，输出命令发生器110还包括范围发生器805和限幅器810。此外，控制模块40包括在辅信号路径135中串联的动态处理模块705和输出命令监视器120。

在一个实施例中，范围发生器805是输出命令监视器120的复制，但是范围发生器805仅基于输入信号105产生命令值815的范围，而不产生故障信号。范围发生器805将所产生的命令值范围发送到限幅器810，该限幅器810将来自静态处理模块605的输出限制到该范围。然后，将限幅器810的限幅输出传递到动态处理模块705，该动态处理模块705产生输出命令115。在一个实施例中，范围815与由输出命令监视器120产生和使用以验证输出命令115的范围(未示出)基本上相同。

在一些情况下，控制模块40将叠加和比例因子当作输入。在一个实施例中，该叠加和比例因子是当转向系统12从控制模块40接收到输出命令115时出于增强转向系统12(附图1)的性能的目的从控制模块40外部的源提供的命令偏移和增益。也就是说，基于叠加和比例因子产生的输出命令115可以命令转向系统12产生比在没有叠加和比例因子的情况下产生的输出命令115将已命令产生的输出更多或更少的输出(例如，辅助扭矩)。

附图9图示了根据本发明示范性实施例的控制模块40的方框图。在一个实施例中，控制模块40的输出命令发生器110在主信号路径130中除范围发生器805、限幅器810以及串联的静态处理模块605和动态处理模块705外还包括求和方框920和930以及乘法方框925。此外，控制模块40包括在辅信号路径135中串联的动态处理模块705和输出命令监视器120。除输入信号105外，控制模块40还将输入叠加905、输出因子910、输出叠加915当作输入。

在一个实施例中，求和方框920将输入叠加905与一个或多个输入信号105相加。静态处理模块605处理信号105和905之和。然后，在乘法方框925处，静态处理模块605的输出乘以输出因子910。求和方框930将来自乘法方框925的结果乘积和输出叠加915相加。然后，限幅器将来自求和方框930的结果和限制到范围发生器805所产生的命令值的范围。控制模块40执行以产生输出命令115和/或故障信号125的其余操作类似于附图7和8的描述。

应当注意到，附图4和6-8中所示的实施例可以以不同的组合和排列而组合。例如，参照附图6描述的实施例可以将输入叠加905、输出因子910和/或输出叠加915当作输入。此外，可以在参照附图4或6描述的实施例中使用范围发生器和限幅器810。

虽然仅结合有限数量的实施例详细地描述了本发明，但是应当容易理解，本发明不限于这种所公开的实施例。相反，本发明可以被修改为结合任何数量的此前未描述但与本发明的精神和范围相当的变型、更改、替换或等同布置。此外，虽然描述了本发明的各个实施例，但是应当理解，本发明的方面可以仅包括所描述的实施例中的一些。相应地，本发明不应看作受前面的描述限制。

Claims (6)

1.一种用于产生和验证在动力转向系统中使用的输出命令的方法，所述方法包括：

通过具有至少主处理路径和与所述主处理路径并行的辅处理路径的模块接收一组输入信号；

在所述主处理路径中：

基于该组输入信号产生主输出命令；以及

将所述主输出命令从该模块中发送出；以及

在所述辅处理路径中：

基于该组输入信号产生命令值的第一范围；

确定所述主输出命令是否落在命令值的所述范围内；以及

基于确定所述主输出命令未落在命令值的所述第一范围内，产生故障信号，

其中：

在所述主处理路径中：

响应于所述故障信号，基于所述输入信号的子集产生默认输出命令；以及

将所述默认输出命令从该模块中发送出，并且

在所述辅处理路径中：

基于所述输入信号的子集产生命令值的第二范围；

确定所述默认输出命令是否落在命令值的所述第二范围内；以及

基于确定所述默认输出命令未落在命令值的所述第二范围内，发起所述动力转向系统中的故障响应动作。

2.一种用于产生和验证在动力转向系统中使用的输出命令的方法，所述方法包括：

通过具有至少主处理路径和与所述主处理路径并行的辅处理路径的模块接收一组输入信号；

在所述主处理路径中：

基于该组输入信号产生主输出命令；以及

将所述主输出命令从该模块中发送出；以及

在所述辅处理路径中：

基于该组输入信号产生命令值的第一范围；

确定所述主输出命令是否落在命令值的所述范围内；以及

基于确定所述主输出命令未落在命令值的所述第一范围内，产生故障信号，

其中产生所述主输出命令包括：

基于该组输入信号产生静态内容和第一动态内容；以及

将所述静态内容和所述第一动态内容相加以产生所述主输出命令，

其中所述方法进一步包括，在所述辅处理路径中：

基于该组输入信号产生第二动态内容；以及

从所述主输出命令减去所述第二动态内容。

3.如权利要求2所述的方法，进一步包括：在所述辅处理路径中，发起所述动力转向系统中的故障响应动作。

4.一种用于控制动力转向系统的控制系统，所述控制系统包括：

主处理路径；

与所述主处理路径并行的辅处理路径；

所述主处理路径中的第一模块，所述第一模块配置成：

基于一组输入信号产生主输出命令；以及

输出所述主输出命令；以及

所述辅处理路径中的第二模块，所述第二模块配置成：

基于该组输入信号产生命令值的第一范围；

确定所述主输出命令是否落在命令值的所述范围内；以及

基于确定所述主输出命令未落在命令值的所述第一范围内，产生故障信号，

其中所述第一模块配置成通过下述操作来产生所述主输出命令：

基于该组输入信号产生静态内容；以及

对所述静态内容执行第一动态处理以产生所述主输出命令，

其中所述第二模块进一步配置成在产生命令值的所述第一范围之前对该组输入信号执行第二动态处理；并且

其中所述第一模块进一步配置成：

接收输入叠加信号、输出因子信号和输出叠加信号中的至少一个；

响应于接收到所述输入叠加信号将所述输入叠加信号与该组输入信号相加；

响应于接收到所述输出因子信号将所述静态内容乘以所述输出因子信号；以及

响应于接收到所述输出叠加信号将所述输出叠加信号与所述静态内容相加。

5.如权利要求4所述的控制系统，其中所述第一模块进一步配置成：

基于该组输入信号产生命令值的第三范围，所述第三范围与所述第一范围基本上相同；以及

将所述静态内容限制到命令值的所述第三范围。

6.如权利要求4所述的控制系统，其中所述第一动态处理基于第一算法，并且所述第二动态处理基于第二算法。