CN105612089A - 确认汽车的安全功能 - Google Patents

Abstract

确认车辆安全功能的方法和系统。在一个实施方式中，开发了多个车辆安全功能软件程序。软件程序中的第一个安装在车辆控制器的存储器中。该程序在控制器上运行而不传送由于运行程序而生成的控制器的至少一个车辆致动器输出。记录用于安全功能的激活数据，并重复用所述多个车辆安全功能软件程序中的第二个进行的安装、运行以及记录的步骤。

Description

确认汽车的安全功能

背景技术

本发明的实施例涉及用于确认汽车和类似车辆上的安全特征的系统和技术。

现代汽车、特别是小客车包括许多安全特征。示例性安全特征包括防抱死制动系统（“ABS”）、电子稳定性控制（“ESC”）、自适应巡航控制（“ACC”）等。在这些安全特征结合到出售给公众的车辆中之前，对其进行测试或确认。这些测试常常要求在延长的时段内或在很多英里内驾驶预发布或预产车辆。根据功能，英里数可以超过几十万英里。要求很大确认英里数的一个汽车安全功能或系统是具有制动干预的前方碰撞缓解，尤其是如果该制动干预包括车辆的所有制动。其它示例包括碰撞规避辅助以及与完全自主制动的相反的碰撞缓解。

发明内容

车辆安全系统以及更特别地此系统内的控制功能的开发和确认要求记录大量的数据，使得可以在记录数据之后进行对控制功能的改变，并且模拟（例如，当此功能被激活时的车辆行为的计算机模拟）给出有代表性的结果。此特征和系统是计算机控制的且依赖于设计和选择成虑及车辆可能遇到的许多条件的软件和参数。可改变控制软件，并且记录大量数据允许稍后进行模拟，如同改变的控制软件在数据记录时在车辆上一样。由于开发和确认车辆安全功能的当前实践包括记录整体或所有的数据以用于确认，所以必须记录用于该功能将被用于的实际车辆的数据（与在另一车辆上开发该数据或使用来自一般化或样本车辆的数据并尝试将该数据应用于特定车辆相对）。然而，当前实践具有缺点，即典型车辆必须在安全功能开发的早期可用，或者大量的车辆必须在开发的后期可用，使得仍可以收集数据。一般地，确认通常所需的大量英里数要花费很长时间来驾驶，并且需要覆盖的驾驶情形的类型很大，例如许多不同的城市、公路以及乡村道路、山丘、十字路口以及道路和驾驶基础设施中的其它差异。另外，必须存储大量的数据，并且足够的计算能力必须可用以模拟用最近的软件收集的数据以确认功能，特别是调谐功能，使得错误激活率尤其足够低。

记录大量数据的原因是用于安全功能的错误激活率需要在可容忍风险以下，这允许功能本身以适当的汽车安全完整性水平（ASIL）评级。重新模拟所有记录数据以确保投入生产的软件实现此目标是最有效的。不那么高效的方法将是针对每次发布来驾驶统计可靠性所需的距离。

通过考虑详细描述和附图，本发明的其它方面将变得明显。

附图说明

图1是具有安全系统和控制器（其可包括处理器、存储器以及I/O设备）的车辆（例如，汽车）的示意图。

图2是与数据记录器和连接单元或接口（其与服务器通信）通信的车辆系统的示意图。

具体实施方式

在详细地解释本发明的任何实施例之前，应理解的是本发明在其应用方面不限于在以下描述中阐述或在附图中示出的部件的构造细节和部件布置。本发明能够有其它实施例并以各种方式实施或执行。

图1示出包括四个车轮12、14、16和18以及在每个车轮处的相应制动器20、22、24和26的车辆10。在所示实施例中，制动器与控制器30通信并由控制器30控制。车辆控制器可采取例如电子控制单元（ECU）、微处理器、微控制器或类似装置的形式，并包括处理器，该处理器执行存储在诸如ROM且更特别地控制器的EEPROM的存储器中的软件。宽泛地，制动器是致动器。在其它车辆安全系统中，致动器可以包括使得方向盘转动并使得底盘部件运转（例如，有效悬挂中的弹簧率或减震器坚固度的变化）的部件。制动器可以是其它系统的一部分，诸如防抱死制动系统和/或电子稳定性控制系统。在所示实施例中，控制器30控制并且还连接到雷达传感器35和前向传感器37（诸如照相机、超声传感器或其它传感器或传感器阵列）和后向传感器39（诸如照相机、超声传感器或其它传感器或传感器阵列）。雷达传感器35、前向传感器37、制动器和ESC50以及/或者其它部件可以是通过制动使前方碰撞缓解系统。虽然示出单个控制器，但应理解的是车辆10可以包括多个控制器，并且它们的每一个可以构造成控制特定车辆系统或安全功能，并且每一个可以执行适用软件以执行此控制并相互通信。另外，虽然在中央位置上示出了控制器30，但本发明的实施例可以使用本地定位于适用传感器和致动器（例如传感器35、37和39以及致动器20、22、24和26）的控制器和系统。控制器30与传感器35、37和39以及制动器20、22、24和26之间的连接示为直接链路。然而，车辆可以装配有总线或网络，诸如控制器局域网（“CAN”），并且控制器30与其它控制器和设备之间的通信可以通过在CAN上发送消息来实现。例如，车辆系统可包括从转向系统45中的传感器和设备接收数据的转向控制43。

汽车的安全系统或功能的显著成本是确定汽车的安全功能的最佳或期望受益与错误激活比（benefit-to-false-activationratio）。本发明的各方面包括用于确定汽车的安全功能是否应当激活的许多技术或过程。在某些实施例中，这些过程并行地运行，每个具有不同的实施方式或参数调谐。最初，在这些过程（例如，软件程序、软件模块或软件算法）运行但过程并未命令致动器（例如，制动器、悬挂或转向部件）起作用的情况下（除了可能最新起作用的过程之外，其可能有效的动用于致动器的确认）收集数据。在开发项目的稍后阶段，选择最佳地适合受益（与其它程序相比较）和错误警报要求的过程或软件程序，并且车辆控制器或ECU（诸如控制器30）构造成使得所选软件输出触发致动器。

除非上下文另外指明，如本文所使用的“激活”指代软件程序报告激活，并且这意味着如果要使用软件程序的输出，则将致动某些致动器或部件（例如，使用车辆制动器）。只有当期望软件程序选择成并编程为有效的时，致动才实际上发生。

在本发明的某些方面，不同的软件程序设计成或构造成使得激活发生时的灵敏度对于每个软件程序而言不同。优选地（但不一定）存在许多不同的软件程序，并且这些由不同的人开发和实现。另一方法是将软件程序逻辑固定，但是针对不同的灵敏度加载不同的参数（其可有利于降低开发成本，但并未提供相同数量的种类或改变软件本身）。

每个软件程序在车辆中的控制器上运行（上文相对于图1讨论了其示例），使得可以记录结果（例如，在数据记录器110（下面描述）上），并且使得一旦已选择了最终的软件程序，则处理时间和闪存文件都未改变。每个软件程序产生的激活的数目被记录（在存储器中）（与关于激活的附加数据一起）。在某些实施例中，可使用诊断工具来读取关于激活的数据，并且在开发期间，优选的是数据可容易地访问，诸如通过诸如CAN的车辆网络而使得其可用。通过收集激活数据，可以针对每个不同的软件程序导出关于受益与错误激活比的统计。

某些功能激活是受益或期望的，而其它的是错误激活。因此，在某些实施例中，在控制器上实施分类器，使得控制器可以在两者之间进行区别。确定错误致动的一个方式是计算或记录在特定GPS坐标或坐标的邻点处或者以使用里程表信息确定的某个预定距离发生的致动的数目。因此，例如如果相同激活数目在例如25英尺的预定区域内超过例如5的阈值，则可以认为已发生错误激活。优选地，分类器构造成作为后评估运行以评定驾驶员对每个软件程序的每次激活的反应。在通过制动使前方碰撞缓解的示例中，受益情况不同于错误激活情况，因为以下各项中的至少一个将发生：（a）驾驶员将强力地进行制动，（b）驾驶员将执行规避策略，或者（c）碰撞将发生。在某些实施例中，开发了用于（a）和（b）的阈值以确定这些策略是否发生，并且这可以使用驾驶模拟器或来自真实世界接近事故情形的数据来完成。存在这样的某些受益情况，其中目标车辆将转弯离开或者驾驶员将错误地对错误激活做出反应。假设这些情况少到足以在统计上忽略。还假设分类并未预测性地工作（像功能本身一样），而是作为关于驾驶员在软件程序已经触发激活之后如何做出反应的后分析。为此，假设未检测到的传感器或情况分析错误的数目是极小的。

每当任何软件程序将激活功能时收集的数据可以为例如：

a）引起该激活的软件程序；

b）驾驶员是否正在制动、规避、碰撞发生还是未做出反应的后评估结果；

c）GPS信息或坐标（如果可用的话），以允许检查基础设施；

d）反应的里程表值；

e）主体车辆状态：速度、偏航速率、地面上加速度、加速度传感器等。理想地，这应可在多个间隔（例如，每200毫秒）内从激活点至激活之后的几（例如，2）秒获得。

f）目标车辆状态：速度、横向和纵向距离等。优选地，这应当以多个间隔（例如，每200毫秒）从激活点至激活之后的几（例如，2）秒获得。

g）驾驶员反应信息：制动踏板和加速度踏板位置。优选地，这应当在多个间隔（例如，每200毫秒）中从激活点至激活之后的几（例如，2）秒获得。

h）在计算经后确定并写入车辆制造厂中的安全系统的存储器（例如，EEPROM）中的阈值（连同选择软件程序一起）时使用的任何数据。优选地，存储从略微在激活之前至激活之后的某个时间的每个计算循环。这是帮助确保其它计算循环在对安全特征进行后调谐时将会或将不会导致激活所需要的。

根据本发明的某些方面，建立或构造诊断，使得激活数据立即写入到存储器。其原因是在传感器中将存在激活的记录，如果例如碰撞确实发生并损坏车辆、使得数据不能在事件（例如，ECU失去电力）之后的某个时间写入。

一般地，车辆制造商（例如，OEM）具有在开始生产（SOP）之前约两个月的系列代表性的车辆。这些车辆是根据最终或接近最终规格构建的，并且是根据最终或接近最终工厂过程构建的。然后通常仅存在对这些车辆的少数微小变化。在此阶段可用的车辆的数目通常约为几百个，并且一般地这些由许多不同的驾驶员在公用道路上驾驶。另外，车辆的每个变体或模型是在此阶段构建的。来自这些车辆的数据是理想的（与来自原型或一般车辆的数据相比），因为大范围的情形由这些车辆覆盖，并且只需要收集数据（而不修改以虑及生产车辆的特定特征）。一般地，在此阶段必须关掉汽车安全功能，使得该功能不影响数据收集，或者最基本的最近起作用的软件程序应是有效的。

在测试跑道上使用某些车辆来执行对汽车安全功能、电子稳定性控制（ESC）的测试或类似测试。此测试跑道事件可导致激活，并且一般地，分类为受益情况。为了不篡改在现实世界中发生的受益情况的数目，测试跑道检测可以通过（a）评估GPS坐标或（b）如果GPS坐标不可用、如果激活的数目在没有驾驶很大距离的情况下特别高则可以将这评估为是测试跑道情形的高可能性而发生。

一旦已收集并评估了数据，则选择将满足错误激活目标的具有最多受益（与其它程序相比）的软件程序。由于汽车传感器很可能在这时是在生产中，所以期望的软件程序应可使用诊断命令来选择。可以在工厂处（例如，在其中传感器从工厂模式带出或者发生任何其它诊断的同一地点处）向每个传感器给出告知传感器应使用哪个功能的诊断命令。为了防止误用，诸如某个人激活不同的软件程序，在某些实施例中，诊断命令具有仅仅对装配厂给定的激活代码，以用于在服务中的零件替换或必要时的其它用途。

还可以构造软件程序，使得能够在安全系统开发的后期设定阈值参数，并经由诊断（在总装配厂中）来传送这些以便将其存储到存储器（例如，EEPROM）。因此，可以增加可后设定选项的数目，但是这使得软件更加麻烦。其中阈值在存储器中可后调谐的每个参数的值随着每次功能激活而存储在数据中。由于随着每次功能激活而存储的数据可能并非每个计算循环都显示，并且可被截短以节省其被存储的空间，所以应注意准确地定义此阈值。由于这些阈值还必须设定在装配厂中，所以可以将此数据编码以防止数据的操纵，并且在一个实施例中，利用检查和特征来确保完整的数据集已写入到传感器的存储器。

在一个实施例中，如前所述，例如开发或确定九个不同的程序。通过写入诊断命令来选择九个程序中的一个。如在前一段中所述，可以设定用于许多参数的阈值，诸如在以下情况下：用于激活的横向偏移＝1.4m，存在概率阈值85%，在方向盘上具有小于20度/秒的驾驶员转向等。这些阈值全部经由诊断命令单独地发射到控制器并记录在传感器中以设定最终程序的参数。

虽然本文所述的技术和实施例示出如何可以在不记录完全的控制器或ECU数据的情况下确认汽车安全功能的技术和实施例，但仍期望记录完全控制器数据的一部分用于任何新功能的开发（或任何软件程序的改变），并用于确认后分析和经由诊断收集的数据是正确的。虽然在现实世界中存在受益情况，但可预期的是在测试跑道上确认大多数受益情况，并且对所有不同的软件程序执行评估以比较受益率。

本发明的实施例和各方面帮助减少需要收集以确认汽车安全功能所需的完全数据的英里数。另外，各方面和实施例使得能够在其它（甚至不是这么相似）的车辆上开发安全功能（因为目标车辆在早期可能不可用，尤其是由于存在减少开发时间的趋势）。因此，可以许多方式来实现降低的成本，其可包括：

1）需要较少的原型车辆以执行确认英里的收集。

2）需要收集较少的“完全内部控制器或ECU数据”。

3）来自其它无关车辆的遗留大体上是可能的。这方面对于小批量的车辆而言以及在其中有代表性的原型在非常晚的阶段可用的项目中有帮助。

4）可执行与实际必需的相比更多的确认英里，导致更可靠的统计。还存在所有类型的驾驶情形的更好覆盖。

5）在当车辆已出售时发现质量问题的情况下，可以立即在代理权内重构造汽车安全功能的调谐而不进行进一步开发（除开/关开关之外，并且除了将控制器或ECU的存储器重闪存（reflashing）之外）。

6）如果要求重新确认，例如由于硬件改变、软件错误或可能影响安全系统的传感器的其它部分（例如，其中安装有超声传感器的汽车仪表板），则此确认可以快速地且以低成本发生。

7）在配对控制器（partnercontroller）或ECU改变或者仅具有在车辆SOP之前的短时间段可用的代表性零件，则本发明的实施方式使得确认仍能够发生。特别地，由于零件一般地是在车辆SOP之前六至十个星期制造的，所以可将重闪存所生产的所有单元延迟至SOP。

图2示出可在其上面和用其实施本发明的各方面的系统100。系统100包括所述形式的计算机或与车辆部件通信的服务器105，所述车辆部件诸如传感器35、37以及39、诸如电子稳定性控制50的制动及其它系统、转向系统控制43以及控制器30。车辆部件与被连接到车辆CAN的数据记录器110通信。数据记录器记录如上文所讨论的数据和激活事件。连接性单元或通信接口115提供数据记录器110与服务器105之间的通信链路。服务器105存储程序以用于由控制器30和/或车辆系统（例如，电子稳定性控制50、通过制动使前方碰撞缓解等）执行。可将诊断工具120连接到通信接口115以执行上述诊断过程，包括段落13、15、19和20。

在以下权利要求中阐述了本发明的附加特征和优点。

Claims (10)

1.一种确认具有至少一个计算机实施的安全功能、车辆控制器以及一个或多个车辆致动器的车辆的车辆安全系统的车辆安全功能的方法，该方法包括：

开发多个计算机可执行的车辆安全功能软件程序；

将所述多个计算机可执行的车辆安全功能软件程序中的第一个安装在车辆控制器的存储器中；

在车辆控制器上运行所述多个计算机可执行的车辆安全功能软件程序中的所述第一个，而不传送由于运行所述多个计算机可执行的车辆安全功能软件程序中的所述第一个而生成的控制器的至少一个车辆致动器输出；

如果控制器的所述至少一个车辆致动器输出将已传送到所述一个或多个车辆致动器，则在数据记录器中记录所述至少一个计算机控制的安全功能将在何处激活车辆致动器；以及

用所述多个计算机可执行的车辆安全功能软件程序中的第二个来重复安装、运行以及记录的步骤。

2.如权利要求1所述的方法，其中，所述多个计算机可执行的车辆安全功能软件程序中的每一个包括可调谐参数，该方法还包括使用来自诊断工具的诊断命令来设定可调谐参数。

3.如权利要求2所述的方法，还包括将诊断命令编码。

4.如权利要求1所述的方法，还包括选择所述多个计算机可执行的车辆安全功能软件程序中的第一个或第二个以供在车辆安全系统中使用。

5.如权利要求4所述的方法，还包括使用诊断命令来选择计算机可执行的车辆安全功能软件程序以供在传感器中使用。

6.一种确认车辆安全系统的方法，该方法包括：

在数据记录器中记录

多个计算机可用的车辆安全功能软件程序的激活数据，

用于所述多个计算机可执行的车辆安全功能软件程序中的每一个的后评估结果，

用于所述多个计算机可执行的车辆安全功能软件程序中的每一个的激活的车辆信息，以及

驾驶员反应信息。

7.如权利要求6所述的方法，还包括基于激活数据来确定错误激活的数目。

8.如权利要求7所述的方法，其中，使用GPS坐标信息、里程表信息或两者来确定错误激活的数目。

9.如权利要求7所述的方法，还包括基于所述错误激活的数目来选择所述多个计算机可执行的车辆安全功能软件程序中的一个以供在车辆安全系统中使用。

10.一种执行车辆安全系统的传感器的后评估的方法，该方法包括：

将车辆安全系统的激活数据记录在存储器中；

确定错误激活是否已发生；

在车辆安全系统的激活之后测量驾驶员反应；

基于错误激活是否发生而生成评估；以及

将评估与激活数据一起存储。