CN111356625A - 对用于转向辅助功能和安全功能的车辆速度指示符参数进行优化的方法 - Google Patents

Abstract

本发明涉及一种用于管理车辆的辅助转向系统(1)的方法，所述辅助转向系统包括：至少一个辅助功能(F1)，其旨在帮助驾驶员驾驶车辆；以及至少一个安全功能(F2)，其旨在向所述辅助功能给出通过ISO‑26262标准所定义的预先定义的ASIL等级，所述辅助功能和所述安全功能每个使用车辆速度指示符参数(V_param)；所述方法包括：步骤(a)，估计功能速度(V_func)，其表示车辆的实际纵向速度，在默认情况下用作车辆速度指示符参数(V_param)；估计速度上边界(V_upper)的步骤(b)；步骤(c)，计算低估速度(V_under)，其从将根据还原法则(LR)推导出的降低值(V_reduc)应用于速度上边界(V_upper)中得出，并且如果功能速度(V_func)比低估速度(V_func)更低，则进行切换的步骤(e)，在其中用低估速度(V_under)替代功能速度(V_func)作为车辆速度指示符参数(V_param)。

Description

对用于转向辅助功能和安全功能的车辆速度指示符参数进行 优化的方法

本发明涉及用于管理车辆的动力转向系统的方法。

已知在此类转向系统中：一方面嵌入了辅助功能，其旨在通过提供用于辅助手动驾驶的力或者通过经由对所述车辆的轨迹的伺服控制(例如用于“停车辅助”或用于“车道保持”)确保车辆的真正自动驾驶来辅助驾驶员驾驶车辆；以及另一方面嵌入了安全功能，旨在赋予系统、并且尤其是赋予辅助功能足够的安全性和可靠性等级。

为此，ISO-26262安全标准建议根据风险分析定义“ASIL”(代表“汽车安全完整性等级”)的安全等级，从最低等级到最高需求等级，记为“QM”(代表“质量管理”，也就是说与安全无关)、然后是“A”、“B”、“C”以及最后是“D”，并且其由以下三个参数通过表征每种可能的危险情况(或“可怕事件”)来确定：

-其严重度，也就是说可能对车辆乘员造成的伤害的严重程度(从无伤害的S0到重伤或危及生命的伤害的S3)；

-其暴露率，也就是说可能发生伤害的操作条件的可预见的出现频率(从几乎为零的概率E0或非常低的E1(据此仅在罕见的操作条件下发生伤害)到高概率E4(几乎可以确定，在大多数操作条件下会发生伤害))，以及

-其可控性，也就是说，驾驶员或系统可以行动(或作出反应)来控制情况并且避免伤害的可能性(从一般可控情况C0到难以控制甚至完全不可控的情况C3)。

ASIL等级取决于这三个参数的组合(乘积)。

因此，例如，具有很高的出现概率E4和不可控C3的导致重伤S3的危险事件将属于ASIL等级D(最高等级)。

然而，为不可控C3、并且导致重伤S3、但具有较低出现概率、比最大程度低一个或多个度数的相同事件的ASIL等级将相应地降低一个或多个度数。在此示例中，ASIL等级将因此在E3暴露率的情况下被置为C，并且在E1暴露率的情况下甚至被置为A。

实际上，辅助功能和安全功能通常在其输入数据中使用对车辆的瞬时纵向速度的估计。

然而，在车辆的纵向加速或纵向减速(制动)的所谓“动态”阶段，速度有时可能会暂时被高估或低估。

特别地，情况可能是这样，当根据测量出的车轮的平均旋转速度估计速度时并且如果一些车轮在这种突然加速或突然制动阶段被阻塞或相反地打滑并且失控，则该估计可能会因此被伪造。

例如，加速器踏板上的强压力可能会导致驱动轮失去附着力，驱动轮开始打滑并且因此遭受其旋转速度的显著增大，而车辆的实际速度仍未显著增大。车辆的实际速度然后将比根据车轮的旋转速度估计的车轮的速度要低得多。

相反，如果车轮强烈减速或在紧急制动情况下被阻塞并且失去附着力，则车辆可能以比根据所述车轮的旋转速度估计的实际速度高得多的实际速度在路面上打滑。

当然，通过使所述安全功能能够以更严格的方式控制车辆，并且特别是操作更敏感的转向校正，或者限制在高速下比在低速下可能更危险的转向操纵的幅度，高估车辆的速度可以有利于安全功能。

但是，过高地估计速度也可能导致常规驾驶辅助的不适当降低、或者限制用于在转动后将方向盘返回到中心位置的由动力转向产生的返回力(称为“街角返回”功能)，而车辆仍以较低的实际速度(通常在城镇中)行驶，并且将因此降低这种辅助和方向盘返回功能的实用性。这将导致对驾驶员的不便，该驾驶员会感到方向盘和转向系统的某种沉重。

相反，对车辆的速度的任意低估将有利于辅助而不是方向盘的操纵，但可能会对可靠性和安全功能的响应能力有害，并且因此可能存在对车辆的乘客的风险。

一种解决方案可以包括使用来自不同来源的对车辆的速度的两个不同评估，即针对辅助功能的第一评估以及针对安全功能的可能故意高估的另一评估，以保证在令人满意的ASIL等级下的转向系统的不同功能的辅助的舒适性以及安全性。

尽管如此，这样的解决方案将需要冗余设备，特别是传感器和处理单元，这将增加转向系统的成本和体积。

此外，并且主要地，如果高估误差或低估误差影响了两个速度信号中的一个并且不影响另一个，则使用彼此没有任何相关的不同速度信号可以特别是引起相应的辅助功能和安全功能的矛盾行为，称为“干扰”。

因此，被分配给本发明的目的旨在克服上述缺点并且提出一种用于管理动力转向系统的新方法，该方法允许以简单并且可靠的方式管理瞬时速度信息以及取决于该瞬时速度信息的辅助功能和安全功能的同时执行。

被分配给本发明的目的借助于一种用于管理车辆的动力转向系统的方法来实现，所述动力转向系统包括多个功能，所述功能包括：至少一个辅助功能，其旨在辅助驾驶员驾驶车辆；以及至少一个安全功能，其旨在向所述辅助功能赋予在ISO-26262标准的含义内的预先确定的ASIL等级，所述辅助功能和所述安全功能中的每个均使用相同的被视为表示车辆的纵向速度的车辆的速度的指示参数；所述方法的特征在于，其包括：估计功能速度的步骤(a)，在步骤(a)中估计被称为“功能速度”的第一速度值，其表示在所考虑时间处的车辆的实际纵向速度，并且其根据被称为“正常操作模式”的第一操作模式在默认情况下被用作车辆的速度的指示参数；估计速度上限的步骤(b)，在步骤(b)中，估计被称为“速度上限”的第二速度值，其大于功能速度并且表示在所述所考虑时刻处的车辆的实际纵向速度的上限；计算低估速度的步骤(c)，在步骤(c)中，预先确定的还原法则被应用于速度上限以获得低估速度值，其比速度上限低出由所述还原法则设置的预先确定的降低值；比较步骤(d)，在步骤(d)中，将以绝对值计的功能速度值与以绝对值计的低估速度值进行比较，并且如果所述功能速度的绝对值低于低估速度的绝对值，则进行切换步骤(e)，在步骤(e)中，我们通过用低估速度替代功能速度作为在辅助功能和安全功能的每个的输入处使用的车辆的速度的指示参数来从正常操作模式切换到被称为“安全模式”的第二操作模式。

有利地，这种方法允许有利于将表示非常接近车辆在正常条状况的实际速度的估计的功能速度作为车辆的速度的指示参数的使用，并且以便优化一个或多个辅助功能的行为并且因此以便优化驾驶舒适性，但前提是功能速度的值仍保持可接受以确保安全功能的正确操作。

否则，也就是说，如果功能速度信号降到可接受阈值以下，并且因此变得与安全功能的正确操作不兼容，则该方法会提供替代信号(即低估速度信号)，其根据速度上限来确定，自然地高于车辆的实际速度并且因此有益于所述安全功能。

换句话说，该方法始终允许实时定义并且重新计算以下“安全间隔”(并且无论车辆的实际速度如何)，其介于对应于速度上限的较高值和对应于低估速度的较低值，并且确保了为应用辅助功能和安全功能而保留的车辆的速度的指示参数永久地在所述安全间隔内以便确保安全功能的可靠操作。

因此，只要通常提供对车辆的实际瞬时速度的精确估计但由于估计操作的复杂性本质上很难保证的功能速度信号保持在该安全间隔内，所述功能速度信号被用作车辆的速度的指示参数以便有利于辅助功能的精确性和舒适度，却不影响安全功能的可靠性。

然而，如果错误影响了所述功能速度信号使得所述功能速度信号(由底部)离开由安全间隔界定的可接受范围，则该功能速度信号被由对应于安全功能的适用性的可接受下限的低估速度构成的安全信号代替。以这种方式，确保了所述安全功能的服务连续性。

因此，根据本发明的方法允许在所考虑时刻处自动选择最适合该情况的车辆的速度的指示信号，同时系统地保证安全功能的可靠操作。

此外，唯一并且相同的低估速度信息(也就是说辅助功能和安全功能共用的唯一速度信号)作为车辆的速度的指示参数的使用有利地允许减轻转向系统的结构(硬件和软件两者)，并且降低所述系统的成本。

在阅读以下说明以及使用附图时，本发明的其他目的、特征和优点将更详细地出现，附图是出于纯粹的说明性和非限制性的目的而提供的，在附图中：

图1示出了根据本发明的还原法则。

图2根据框图示出了动力转向系统内的根据本发明的方法的操作原理。

图3借助于表示该方法所使用的不同速度信号随时间的发展的曲线图示出了从正常操作模式到安全模式的瞬时切换。

图4借助于表示该方法所使用的不同速度信号随时间的发展的曲线图示出了从正常操作模式到安全模式的延时切换。

图5A和图5B借助于表示该方法所使用的不同速度信号随时间的发展的曲线图示出了分别在根据图3的第一瞬时切换之后和在根据图4的第一延时切换之后，从安全模式切换到增强型安全模式的实施方式。

本发明涉及一种用于管理车辆的动力转向系统1的方法。

优选地，此类动力转向系统1以本身公知的方式包括方向盘，其旨在由车辆的驾驶员操纵，并且优选地借助于被提供有小齿轮的转向柱来控制转向机构的位移，从而允许改变一个或多个转向轮2的取向。

优选地，所述转向机构包括齿条，其被可平移移动地安装在被紧固到车架的转向箱内，小齿轮在车架上啮合并且在其端部处被紧固有允许改变偏航取向(也就是说承载车轮2的转向节的转向角)的转向横拉杆。

辅助发动机(优选地是电动的)也被耦合到转向机构以供应辅助力(通常为辅助扭矩)，其有助于操纵所述转向机构并且因此改变转向角。

此外，动力转向系统1包括多个功能F1、F2，包括：至少一个辅助功能F1，其旨在辅助驾驶员驾驶车辆；以及至少一个安全功能F2，其旨在向所述辅助功能赋予在ISO-26262标准的含义内的预先确定的ASIL等级。

优选地，辅助功能F1从以下中选择：

-手动驾驶辅助功能，旨在借助于辅助发动机供应有助于移位转向机构和/或方向盘的辅助力；所述手动驾驶辅助功能可以特别是传统的辅助功能，旨在供应放大由驾驶员供应的手动力的辅助力以帮助驾驶员转动方向盘；或者返回功能，其目的在于在转动后将方向盘返回到其对应于直线轨迹的中心位置。

-自动驾驶功能，执行对车辆的轨迹的自动伺服控制，例如车道保持功能、自动避障功能或停车辅助功能。

例如，与辅助功能F1不同的安全功能F2可以被设计为在车辆的纵向速度增大和/或超过特定阈值时限制由辅助功能F1确定的辅助力的强度，并且以便避免辅助功能F1特别是在车辆以高速(通常超过50km/h、90km/h或120km/h)行驶时引起突然的转向运动，这将有可能导致车辆以此速度突然转弯。

优选地，安全功能F2在ISO-26262标准的含义内保证ASIL等级至少等于B，优选地至少等于C，并且甚至等于D。

因此，有可能满足由ISO-26262标准的生效所施加的甚至更严格的要求，此后禁止缺乏ASIL安全，也就是说，其排除了“质量管理”等级并且施加了更高的ASIL等级。

辅助功能F1和安全功能F2中的每个都使用相同的车辆的速度的指示参数V_param，其被视为表示车辆的纵向速度，如图2所示。

换句话说，所述功能F1、F2中的每个需要针对其自身执行的表示车辆的纵向速度的速度信息的知识，所述速度信息在本文中以称为“速度指示参数”V_param的形式被供应在所述功能F1、F2的每个的输入处。

根据本发明，该方法因此包括估计功能速度的步骤(a)，在其期间估计被称为“功能速度”V_func的第一速度值，其表示在所考虑时刻车辆的实际纵向速度。

根据被称为“正常操作模式”的第一操作模式，该功能速度V_func默认被用作车辆的速度的指示参数V_param。

实际上，该功能速度V_func将处于正常操作下，(也就是说处于没有车轮打滑的情况下并且处于没有传感器或负责估计所述功能速度V_func的计算器的任何硬件故障的情况下)等于车辆的实际速度+/-10％内，甚至+/-5％内，也就是说其将具有非常好的精度。

因此，该功能速度信号V_func对于辅助功能F1的应用将是理想的。

然而，功能速度信号V_func可能对影响车辆或所述信号的计算的干扰或故障相对敏感，使得其(保证的)ASIL等级可能较低。

特别地，该功能速度V_func可以具有将被略低估的趋势，其在一些情况下对于安全功能F2是无法接受的。

根据可能的实施方式，功能速度信息V_func可以源自被嵌入在车辆上但是与动力转向系统1不同的第三方系统(诸如例如电子稳定程序)或者源自抗封锁系统。功能速度V_func将然后作为在CAN(“控制器局域网络”)或FlexRay(计算机总线)型的车载网络20上可用的信息的一部分并且可以由动力转向系统1在步骤(a)中进行获取。

根据另一种可能的实施方式，功能速度V_func的估计可以由动力转向系统1本身例如根据车辆的一个或多个车轮2的旋转速度V_roue(如图2所示)的测量结果来执行。

例如，可以将车辆的车轮2的旋转速度的平均值认作功能速度V_func，通常通过考虑到特别是所述车轮(包括轮胎)的直径将两个车轮2或四个车轮2的旋转速度的平均值转换为线速度。

更具体地，可以考虑所述车辆的从动轮的旋转速度的平均值(当车辆不使用全轮传动操作时)，特别是以便限制与驱动轮由于加速或制动而可能失去附着力有关的估计误差。

可替选地，当然可以考虑车辆的所有车轮(无论是驱动轮和/或是从动轮)的旋转速度的平均值。

根据本发明，该方法也包括估计速度上限的步骤(b)，在其期间，估计了被称为“速度上限”V_upper的第二速度值，其不同于并且高于功能速度V_func并且其表示在所述所考虑时刻车辆的实际纵向速度的上限。

该速度上限V_upper表示速度的上边界，也就是说，已知的纵向速度值不能低于在所考虑时刻车辆的实际纵向速度的值。

换句话说，评估速度上限V_upper以便其在给定的车辆的服务情形下被确保：实质上在所考虑时刻，车辆的实际纵向速度最多等于并且潜在地低于所估计的速度上限V_upper，以便因此车辆不可能实际上行驶超过该速度上限值V_upper。

为了指示，速度上限V_upper将优选地(以绝对值计)比车辆的实际纵向速度高出介于0km/h和30km/h之间的值。

此外，速度上限信号V_upper将是本质上“安全的”，这是因为其将具有比功能速度信号V_func的ASIL等级更高的ASIL等级。

在与使用功能速度信息V_func的方式相同的方式中，速度上限信息V_upper可以在源自第三方嵌入式系统(诸如ESP或ABS)的车载网络20上获取或者由动力转向系统1本身来确定。

在这方面，例如可以从在车辆的驱动轮2的旋转速度中的每个的集合中观察到的最大旋转速度V_roue来评估速度上限V_upper。

因此，对车辆的实际瞬时速度的“高”估计(并且甚至高估)是优选的并且以便具有以下速度上限V_upper，其将消除可能会伪造安全功能F2的执行的使用了被低估太多的值作为速度指示参数V_param的任何风险。

在这方面，应该注意的是，考虑到旋转最快的车轮2的最大旋转速度V_roue并且基于车轮的所述最大旋转速度对速度上限V_upper的估计，允许确保有效确定这样的上限。

然后，该方法包括计算低估速度的步骤(c)，在其期间，预先确定的还原法则LR被应用于速度上限V_upper以获得低估速度值V_under，其比速度上限V_upper低出由以下所述还原法则LR设置的预先确定的降低值V_reduc：

|V_under|＝|V_upper|-|V_reduc|。

应当注意，车辆速度的“降低”或“低估”的概念包括降低初始估计的速度上限V_upper的绝对值以获得其绝对值比所述速度上限V_under更接近0(更接近0速度)的低估速度V_under。

如下文将详细描述的，并且如图3和图4所示，选择降低值V_under以便其相对于速度上限V_upper定义“安全间隔”ST的宽度，其介于对应于速度上限V_upper的较高值和对应于低估速度V_under的较低值之间，并且其中所述低估速度对应于用于保证安全功能F2的正确操作的可接受最小值。

从还原法则LR的应用得出的降低值(低估值)V_reduc有利地足以实现并且甚至有利于辅助功能F1的正确执行，以便不会成为驾驶员的不适的来源，但是仍然小到足以不会使被用作车辆的速度的指示参数V_param的速度估计降低过多，并且因此不会危害安全功能F2的可靠执行，并且因此保证了所述安全功能F2和动力转向系统1在期望的ASIL等级下操作。

因此，只要为了应用辅助F1和安全F2功能所保留的车辆的速度的指示参数V_param所取的值将在所述安全间隔ST内，就将确保这两种类型的功能的可接受操作并且特别是安全功能F2的可接受操作。

然后，该方法包括比较步骤(d)，在其期间，将功能速度值V_func的绝对值与低估速度值V_under进行比较，并且如果功能速度的绝对值|V_func|小于低估速度的绝对值|V_under|，则在切换步骤(e)期间我们将通过用低估速度V_under替代功能速度V_func作为在辅助功能F1和安全功能F2的每个的输入处使用的车辆的速度的指示参数V_param，以从正常操作模式切换到被称为“安全模式”的第二操作模式。

该校正切换允许选择性地向车辆的速度的指示参数V_param分配以下项：有时是功能速度值V_func，只要所述功能速度值的绝对值大于或者等于低估速度V_under，也就是说只要所述功能速度值保持在安全功能F2可接受的安全间隔ST内；并且有时是低估速度值，也就是说安全间隔ST的可接受下限，当功能速度的值降到所述可接受下限V_under以下时。

因此，车辆的速度的指示参数V_param被永久地(或几乎永久地)保持超过安全间隔的低下限V_under，这保证了安全功能F2的正确操作。

此外，仅在当功能速度V_func太低并且降到低估速度V_under设置的下限以下时(也就是说仅在估计错误或估计不足的情况下)才进行切换干预，以便在没有错误或不足的情况下，功能速度信号V_func提供比速度上限V_upper和/或低估速度V_under更准确并且更真实的对车辆的实际纵向速度的估计，并且以便在正常操作下有利于辅助功能F1的可靠性和舒适性。

在默认情况下，也就是说只要功能速度V_func在安全间隔ST以内，或者相应地在功能速度V_func返回到安全间隔ST中时，相应地我们再次切换使我们保持在正常操作模式下。

当然，该方法也包括共享的使用步骤，在其期间，等于功能速度V_func或低估速度V_under的相同的车辆的速度的指示参数V_param被用作上述辅助功能F1和安全功能F2的每个的输入。

优选地，预先通过测试和/或模拟来建立还原法则LR，在测试和/或模拟期间：在给定的车辆的非零实际纵向速度下，由辅助功能F1和安全功能F2考虑的车辆的速度的指示参数V_param的绝对值会逐渐地并且人工地降低；并且观察安全功能F2和/或车辆的对应反应直到确定速度指示参数的低阈值V_param_thresh_low为止，从其中值得注意的是安全功能F2不再能够以给定的实际纵向速度确保符合期望的ASIL等级的安全性；然后根据速度指示参数的该较低阈值V_param_thresh_low设置针对还原法则LR保留的降低值V_reduc。

更具体地，可以从以下被称为“可接受最大降低值”V_reduc_max的差值来确定降低值V_reduc，其在达到速度指示参数的低阈值V_param_thresh_low时作为一方面功能速度V_func(更优选地速度上限V_upper)与另一方面速度指示参数的所述低阈值V_param_thresh_low之间的差值，也就是说：

V_reduc＝f(V_reduc_max)

其中|V_reduc_max|＝|V_func|-|V_param_thresh_low|

或者，可能地，

其中|V_reduc_max|＝|V_upper|-|V_param_thresh_low|

应当注意的是，实际上可以在稳定的条件下实施旨在确定还原法则LR的测试，其中可以对功能速度值V_func置信。因此，可以沉着地使用以上第一个公式：

|V_reduc_max|＝|V_func|-|V_param_thresh_low|

即使如此，在稳定条件下，功能速度值V_func通常非常接近速度上限V_upper，使得那两种方法(对应于上文给出的两个公式中的每个)以一级近似给出了基本相同的结果。

然后，可以选择

V_reduc＝V_reduc_max，

或者，优选地，为了保持附加的安全裕度，将降低值V_reduc定义为可接受最大降低值V_reduc_max的一部分，例如：

0.70*|V_reduc_max|≤|V_reduc|≤|V_reduc_max|。

所述部分甚至更优选地介于(以绝对值计)可接受最大降低值V_reduc_max的70％至90％之间：

0.70*|V_reduc_max|≤|V_reduc|≤0.90*|V_reduc_max|。

换句话说，通过使动力转向系统1(并且更一般地为车辆)以给定的实际速度操作并且因此以给定的速度上限V_upper操作、并且通过相继地测试速度指示参数V_param(以绝对值计)的多个降低值(也就是说通过有意地伪造速度指示参数V_param)来经验性地建立还原法则LR以便模拟递增功能速度V_func的估计的故障，在没有针对本发明的校正切换的情况下，将引起所述功能速度V_func并且因此指示参数V_param的甚至更显著的低估直到达到速度指示参数的低阈值V_param_thresh_low，这例如通过使安全功能无效或无法及时补偿危险事件(可怕事件)导致安全功能F2的不足。

因此，对于每个实际纵向速度，并且因此对于每个对应的速度上限V_upper，根据以下确定可接受最大降低值V_reduc_max：如果从所述速度上限V_upper中减去所述可接受最大降低值V_reduc_max以计算速度安全功能F2使用的速度指示参数V_param，则引起的故障会使安全功能F2的性能降级到足以使所述功能“降级”到比规范所要求的ASIL等级更低的ASIL等级。

速度指示参数的低阈值V_param_thresh_low(也就是说，导致安全功能F2的不足的低估极限)因此经验性地对应于在给定的速度上限V_upper下不应被超过(以绝对值计)的可接受最大降低值，并且因此在实际中以给定的实际速度操作时在期望的ASIL等级下保持可靠的安全性。

对车辆的实际纵向速度的多个(递增)值重复测试，并且因此针对速度上限V_upper的若干值(分别针对多个功能速度值V_func)进行重复测试，以便优选地覆盖车辆的整个可预测的速度的操作范围，通常从0km/h到至少130km/h、150km/h、200km/h或250km/h。

整个数据序列与每个实际速度值相关联，或者更优选与在上述速度范围(此处为在图1中的0km/h至250km/h)内的每个速度上限值V_upper相关联，(可接受最大)降低值V_reduc并且因此低估速度V_under的可接受最小值(最低可接受值(以绝对值计))形成还原法则LR。

因此，速度指示参数V_param可以在对安全功能F2没有任何风险的情况下呈现将被包括在以下限定范围内的任何值，其处于一方面等于速度上限V_upper的上限值与另一方面(并且主要地)等于低估速度V_under的下限值之间，也就是说等于速度上限V_upper(在所考虑时刻考虑的)减去可在所考虑时刻适用的降低值V_reduc。

按绝对值计算，可以根据一个实施例考虑使用相同的恒定降低值V_reduc，不论瞬时实际速度如何，并且因此不论速度上限V_upper的值如何。

特别地，可以使用这样的恒定降低值V_reduc作为其安全功能F2对速度低估几乎不敏感的老一代动力转向系统1内的改进。

例如，所述恒定降低值V_reduc然后可以等于在介于30km/h和40km/h之间的范围内选择的恒定值。

然而，根据另一特别优选的实施例，还原法则LR根据所估计的速度上限V_upper来调节降低值V_reduc。

有利地，根据速度而对降低值V_reduc的修改允许特别精细地使用根据本发明的低估原理，这允许特别是将该方法应用于新一代安全功能F2，其是更高效但是更高需求的，这是因为它们比上一代安全功能对速度低估故障更敏感。

因此，由此提高了车辆及其乘员的安全性。

甚至更优选地，还原法则LR通常是增函数，以便降低值V_reduc的绝对值在速度上限V_upper的绝对值增大时增大，如图1中所示。

因此，与车辆以低速运行时相比，在车辆以高速运行时可以进一步低估车辆的速度，或者换句话说，可以在低速下应用比在高速下所应用的低估更低的低估(降低值V_reduc)。

应当注意的是，图1中提出的降低值V_reduc的演变模式只是其他演变模式中的一种变体，所述演变主要是根据一个或多个所考虑的安全功能F2的行为来定义的。

在图1的示例中，安全功能F2在其中所述安全功能F2相对“宽松”并且几乎没有约束的停车情况(或非常低速的情况，通常低于10km/h并且甚至低于5km/h)与(通常在5km/h与30km/h之间)的开始(在其中所述安全功能F2变得更受约束并且因此对速度指示参数V_param的变化更加敏感的)运行情况之间的行为可能完全不同。

为了避免所述安全功能F2在低速下的行为的较大差异，因此当车辆的速度接近于零时减小可接受降低值V_reduc。

然后，通常在30km/h与160km/h之间，安全功能F2的行为优选地以更渐进的方式演变，这解释了为什么可以期望几乎恒定的降低值V_reduc。

对于非常高的速度(超过160km/h，并且甚至超过200km/h)，安全功能F2的行为并且特别是触发阈值优选地几乎不再演变，这解释了为什么可以容许速度的相当显著的低估并且因此容许相对较高的降低值V_reduc。

以此方式，速度指示参数V_param的可能低估不会伪造动力转向系统1对车辆的实际速度的感知并且因此保留了优选地适应车辆的实际速度的辅助功能F1和安全功能F2两者的功能的执行。

有利地，降低值V_reduc将被选择，一方面以便适应安全功能F2的灵敏度以避免安全功能F2的不稳定行为，但是也在另一方面以便当车辆速度的指示参数V_param在车辆以低速行驶时切换到低估值V_under时，不去激活在车辆以低速在市区行驶时并且特别是当车辆沿着具有交叉路口和急转弯的车道行驶时(诸如“街角”)特别有用的一些辅助功能F1或不对其限制太多。

更特别地，因此，例如尽管切换到安全模式，但是仍可以保留方向盘的中心返回辅助功能，该功能在整个有关的实际速度范围内(本文优选地介于0km之间/h与50km/h之间)保持有效激活，并且因此只要车辆在城镇中行驶就保持激活状态并且需要方向盘的较大操纵才能在街角转弯。

根据纯指示性且非限制性的实现，还原法则LR可以包括多个域，如图1所示：

-第一低速域D1介于0km/h与低速极限V1(介于20km/h和50km/h之间并且优选地等于30km/h)之间，该域D1因此对应于进入停车场和在城镇中行驶的情况。在所述第一域D1中，还原法则LR将优选连续增大，以便以速度上限V_upper逐渐增大可适用的降低值V_reduc；可适用的降低值V_reduc通常可以介于0km/h与8km/h至10km/h之间(在速度极限V1处达到的值)；

-第二中间速度域D2，其介于上述低速极限V1(在图1中为30km/h)与高速极限V2(优选地介于130km/h与180km/h之间，并且例如在图1中等于160km)之间，所述第二域D2因此通常对应于在城镇外和在高速公路上的行驶。在该第二域D2中，降低值V_reduc将遵循基本平坦的模式并且将因此优选地为恒定的或者略有增大的，并且例如介于8km/h至10km/h与15km/h之间或者等于10km/h；

-第三高速域D3，其介于上述高速极限V2(在图1中为160km/h)与超高速极限V3(优选地介于180km/h与250km/h之间，并且例如在图1中等于200km/h)之间，根据优选地比在第一域D1中增大更显著的函数，在第三域D3中降低值V_reduc随着速度上限V_upper持续增大以达到介于20km/h或25km/h与40km/h之间的值，并且例如在本文中等于30km/h；

-可能地，第四超高速域D4，介于上述超高速极限V3(在图1中为200km/h)与车辆的最大速度V4(例如240km/h或250km/h)之间，其中低估将优选地为恒定的或略有增大的，例如在本文中等于30km/h。

当然，还原法则LR可以取决于关注的安全功能F2的性质来采用非常不同的模式。

优选地，还原法则LR以预先确定的算图的形式存储在非易失性存储器中，如图1中所示，其将然后从速度上限V_upper减去的降低值V_reduc以获得低估速度V_under与每个速度上限值V_upper相关联，如图2所示。

根据其最终用途的一个等效变体，还原法则LR可以以算图的形式被存储在非易失存储器中，其直接将(隐含地)考虑到可适用于有关速度上限V_uppe的降低值V_reduc的低估速度值V_under与每个速度上限值V_upper相关联。

优选地，在估计速度上限的步骤(b)期间，在对应于当前迭代n的所考虑时刻t_n处，根据至少一个输入速度测量结果V_roue(诸如对车辆的车轮2的旋转速度V_roue的测量结果)、并且更优选地根据车辆的多个车轮的速度或车辆的全部车轮的速度中的最大旋转速度来评估速度上限V_upper(t_n)，并且然后根据可以以其本身构成发明的优选的特征将所述速度上限V_upper(t_n)与在前一迭代n-1期间(在时间t_n-1处)已经评估过的速度上限V_upper(t_n-1)进行比较，以便评估每单位时间的速度上限V_upper的对应变化；或者相应地将当前迭代V_roue(t_n)的输入速度测量结果V_roue(t_n)与前一迭代的输入速度测量结果V_roue(t_n-1)进行比较以便评估每单位时间输入速度测量结果的对应变化；每单位时间的速度上限V_upper的所述变化、相应地每单位时间输入速度测量结果的所述变化被称为“观测速度梯度”，被记为Grad(V)。

然后，将所述观测速度梯度Grad(V)与事先通过车辆的加速和制动测试预先确定的被称为第一“可行最大梯度”Grad_ref_1的第一参考梯度进行比较，并且如果观测速度梯度Grad(V)的绝对值比所述第一可行最大梯度Grad_ref_1更高时，通过将限幅应用于前一迭代的速度上限V_upper(t_n-1)、或相应地应用于前一迭代的输入速度测量结果V_roue(t_n-1)来校正当前迭代的速度上限V_upper(t_n)，第一可行最大梯度Grad_ref_1替代观测速度梯度Grad(V)。

也就是说：

计算每单位时间的瞬时速度变化：

Grad(V)＝[V_upper(t_n)-V_upper(t_n-1)]/[(t_n)-(t_n-1)]

或者，以同样的方式，每单位时间的输入速度变化为：

Grad(V)＝[V_roue(t_n)-V_roue(t_n-1)]/[(t_n)-(t_n-1)]

然后，将Grad(V)与Grad_ref_1进行比较。

具体地，可行最大梯度Grad_ref_1表示车辆可以实际实现的最大加速度或相应地最大减速度，特别是考虑到负责推动车辆的发动机的功率、制动系统的有效性和轮胎的附着力。

这些最大加速度、相应地最大减速度的能力通过在车辆上进行的加速测试和减速(例如紧急制动)测试来经验地确定，在测试期间车辆被推至其在加速/减速情况下的附着力极限。

在适当情况下，在车辆上进行的测试允许确定一般可行最大梯度，其将可适用于具有相同配置的相同型号的所有车辆。

如果观测速度梯度Grad(V)的绝对值比可行速度最大梯度更高，也就是说

如果|Grad(V)|>|Grad_ref_1|，

则这意味着，测量出的车辆的速度的变化，也就是说由Grad(V)表示的车辆的测量出的加速度或者相应地测量出的减速度高于最大加速度、相应地高于车辆实际可以提供的最大制动，这当然是不可能的。

因此，结论是速度上限V_upper的估计是错误的，在这种情况下，在加速的情况下是高估的，在制动的情况下是低估的。特别地，这种错误情况可能在车轮失去附着力时发生并且车轮会(视情况而定)由于在路面上打滑而大力加速、或者被制动直到阻塞并且在路面上打滑。

在这种情况下，然后决定用可行最大梯度Grad_ref_1替代观测梯度Grad(V)，以便将在当前迭代n期间估计的错误速度上限V_upper(t_n)替换为更可行的计算出的速度上限V_upper，也就是说，其以更真实的方式对应于车辆的可能的实际性能，并且其通过将在前一迭代n-1期间测量出的并且被认为是可靠的前一速度上限值V_upper(t_n-1)加上与两次迭代之间经过的持续时间相乘的可行最大梯度Grad_ref_1来获得：

V_upper(t_n)＝V_upper(t_n-1)+Grad_ref_1*[(t_n)-(t_n-1)]

换句话说，如果在当前迭代t_n期间所估计的(或经由车载CAN网络收集的)速度上限V_upper不真实，则出于与车辆的性能不兼容的考虑，可以任意认为：瞬时速度相对于在前一迭代期间评估的瞬时速度已经变化了并且因此速度上限V_upper相应地相对于在前一迭代期间评估的速度上限V_upper已经变化了最多仅等于由车辆的最大加速能力或者相应地由车辆的最大减速能力所限定的值。

因此，确保了所考虑的速度上限V_upper用于应用该方法，特别是用于实施低估速度V_under的计算(c)和比较(d)，并且然后在适当的情况下进行切换(e)步骤：如果所述估计符合由可能最大梯度Grad_ref_1设置的变化极限，则通过直接使用所述速度上限V_upper的估计来始终保持与车辆的材料能力一致；或者如果不是这样，则通过在由可行最大梯度Grad_ref_1设置的变化极限内重新计算所述速度上限V_upper来使所述速度上限V_upper符合所述极限，并且因此符合车辆的有效能力。

实际上，限幅等于应用(第一)梯度限制器3，其饱和值SAT+、SAT-对应于可行最大梯度Grad_ref_1。

这样的梯度限制器3将使小于或等于可行最大梯度Grad_ref_1的速度上限V_upper的任何变化原样通过，也就是说，其介于由所述可行最大梯度定义的饱和值SAT+，SAT-(限幅值)与零值之间并且其因此符合车辆的有效加速/减速能力。

但是，该梯度限制器3将通过将速度上限的所述变化(饱和)带回到所述可行最大梯度值(也就是说到饱和值SAT+，SAT-)来自动限制超过所述可行最大梯度Grad_ref_1的速度上限V_upper的任何变化(也就是说，速度上限V_upper的绝对值超过对应饱和度值SAT+，SAT-的绝对值)。

应该注意的是，有利地，梯度限制器3可以包括加速饱和值SAT+，其绝对值与减速(制动)饱和值SAT-不同，也就是说，对无论是在加速情况下(速度的正变化，并且因此速度上限的正变化)还是在减速情况下(速度的负变化，并且因此速度上限的负变化)对不对称的饱和进行操作。

特别地，这种差异化将允许考虑以下事实：实际上，车辆通常可以以比其可以加速的强度更大的强度来减速，特别是在紧急制动情况下。

优选地，(第一)可行最大梯度Grad_ref_1、并且因此梯度限制器3可以因此设置其绝对值小于减速饱和值SAT-的加速饱和值SAT+，也就是说使得|SAT+|<|SAT-|。

例如，可以在+10km/h/s的范围内定义加速饱和值，并且在-36km/h/s的范围内定义减速饱和值SAT-。

常规上，此处的正号和负号分别对应于加速和减速。

有利地，由梯度限制器3操作的速度梯度的该饱和允许避免在以下情况下犯下估计速度上限V_upper的严重错误：用于估计车辆的纵向速度的方法，并且更特别地用于估计速度上限的方法有故障或不适用时，这是例如在失去附着力之后车轮2的失控或阻塞期间的情况。

还应该指出的是，由第一梯度限制器3操作的饱和可以以等效的方式不同地干预以下项：在源处的上游，也就是说在输入速度测量信号(此处这些信号表示车轮的相应旋转速度)V_roue上；或者在速度上限的“原始”估计的结果V_upper_basic上的下游，其从根据这些输入速度测量信号V_roue执行的速度计算中推导出，如图2中所示。

可替选地，由第一梯度限制器3操作的饱和可以干预从车载网络20上可用的瞬时速度信号的恢复中推导出的速度上限V_upper的估计上的下游。

根据本发明的可能实施方式，切换步骤(e)可以进行以下操作：只要检测到功能速度V_func的绝对值变得比低估速度V_under更低，就通过立即使速度指示参数V_param从功能速度V_func变为低估速度V_under来立即从正常操作模式切换到安全模式。

在图形上，这等于在功能速度V_func和低估速度V_under的相应曲线的交点处进行切换，如图3和图5A所示。

有利地，这样的瞬时切换总是允许遵守安全功能F2的可接受极限，这是因为由此得出的指示参数V_param从不低于低估速度V_under，并且同时仍保持接近功能速度V_func，这在可接受安全极限内有利于辅助功能F1。

因此，该即时切换解决方案可以呈现辅助功能F1和安全功能F2的良好折衷。

根据图4和图5B中示出的另一可能的实施方式，切换步骤(e)可以进行以下操作：仅在功能速度V_func的绝对值(持续)在达到或超过预先确定的容忍阈值T_thresh_1的被称为“故障持续时间”的非零持续时间内保持比低估速度V_under的绝对值更低时，通过使速度指示参数V_param从功能速度V_func变为低估速度V_under来从正常操作模式延迟切换到安全模式。

换句话说，因此可以在持续时间T_thresh_1中暂时使速度指示参数V_param遵循功能速度V_func，尽管所述功能速度V_func已经暂时降至低估速度V_under以下。

有利地，容忍阈值T_thresh_1允许延迟开关的触发，并且因此仅在具有持久且明显的故障的情况下也就是说仅在确实适合实施速度指示参数V_param的调整时才执行切换。

因此，我们避免了不必要地对可能是由于伪造的测量结果而引起的噪声或评估过渡误差引起的速度上限V_upper的非常短暂和微不足道的变化做出反应。

此外，在不损害车辆的安全性的暂时故障的情况下，通过暂时保持正常操作模式而不立即触发安全模式，可以有利地有利于辅助功能F1，并且因此有利于驾驶舒适性。

故障持续时间将通过适当时序来监视，其在检测到功能速度V_func降到低估速度V_under以下时触发，以便能够在故障持续超过适当的容忍阈值T_thresh_1的情况下激活安全模式。

如果功能速度V_func返回到等于或大于低估速度V_under的值，则所述时序将被重置为零。

容忍阈值T_thresh_1将根据容错时间间隔“FTTI”来确定，该时间间隔表示由规范指定的被许可在故障(危险情况)的发生和所述所述故障的时间之间的最大持续时间，并且其结果由动力转向系统1控制并校正。

更特别地，容忍阈值T_thresh_1将被选择为严格小于FTTI，特别是以便能够在FTTI间隔内包括操作功能速度V_func与低估速度V_under之间的过渡所需的持续时间。

例如，FTTI可以在与非常危险的故障相关、威胁到车辆的乘员的安全时介于20ms(二十毫秒)之间并且在其涉及与安全无关紧要的故障时大于1s(一秒)。

此外，应当注意的是，功能速度V_func、速度上限V_upper、并且更一般地说是速度指示参数V_param的更新周期(也就是说将该方法中的两个连续迭代n-1、n分开的持续时间)优选地基本上介于5ms(五毫秒)至10ms(十毫秒)之间，而转向机构并且更一般地说是车辆响应于辅助设定点的变化的特征响应时间(通常为5％的响应时间)将一般等于或大于100ms(100毫秒)、300ms(三百毫秒)、并且甚至在数秒的范围内。

根据在图5A与图5B中示出的本发明的优选变型例，该方法可以在切换步骤(e)之后包括增强的安全步骤(f)，在其期间，在安全模式保持激活状态的被称为“安全持续时间”的持续时间内进行测量，并且如果所述安全持续时间达到或超过预先确定的警告阈值T_thresh_2，则我们通过使车辆的速度的指示参数V_param从低估速度V_under变为等于或大于速度上限V_upper的被称为“增强的安全速度”V_enhanced的值而从安全模式切换到第三操作模式，称为增强型安全模式。

有利地，该变型例允许诊断以下情况：在该情况下故障，也就是说功能速度V_func(并且保持)低于低估速度V_under的事实对于仅源于短暂的特定服务情况(例如在加速阶段车轮2的打滑的情况)的所述故障而言持续过长。

在此类情况下，因此有充分的理由认为故障是车辆的一个或多个系统或者一个或多个传感器的耐用性缺乏的表现。

这就是为什么无论车辆的实际速度如何，为了绝对地使F2安全功能优先而激活增强型安全模式的原因。

为此原因，车辆的速度的指示参数V_param被强制为增强型安全速度值V_enhanced，其可能等于在所考虑时间处可适用的速度上限V_upper(如图5A和5B中的实线所表示)，或者优选地与大于车辆的所有可能上限的强迫值(如图5A和5B中的虚线所示)相等，并且因此通常等于或高于车辆的可能的最大实际速度，以便在无论车辆的实际速度的如何的情况下确保安全功能F2的有效性。

优选地，车辆的速度的指示参数V_param的值的修改在从一个操作模式到另一操作模式的切换期间并且更特别地在从正常操作模式到安全模式的切换的步骤(e)期间和/或在增强型安全步骤(f)期间操作，其遵循可微性等级至少为C⁰的过渡定律，诸如斜坡、插值(特别是多项式)函数或滤波，如图4和图5B所示。

这种平缓的过渡将允许确保车辆的速度的指示参数V_param的信号的连续性(至少C⁰)并且因此避免转向系统的不平稳反应，并且特别是避免动力转向的颠簸。

切换和/或过渡操作由切换单元4管理，其位于还原法则LR下游，如图2所示。

该切换单元4也可以管理比较步骤(d)。

优选地，根据可以独自构成发明的优选特征，切换步骤(e)可以包括限幅子步骤，在限幅子步骤期间速度指示参数V_param的变化率Grad(V_param)借助于第二梯度限制器5来限幅，该限制器5使用表示车辆可以提供的最大加速度或最大减速度的第二可行最大梯度Grad_ref_2。

该第二限幅以类似于由上述第一梯度限制器3实施的方式加上必要的修改进行实施。

在这种情况下，其在此处构成容忍速度的指示参数V_param的变化：

Grad(V_param)＝[V_param(t_n)-V_param(t_n-1)]/[(t_n)-(t_n-1)]

仅在由第二可行最大梯度Grad_ref_2所定义的车辆的实际可能性能一致的范围内。

如果速度指示参数V_param的变化介于第二梯度限制器5的饱和值SAT-、SAT+之间，则照这样接受更新的速度指示参数V_param(t_n)。

否则，如果该变化超过这些饱和值SAT-、SAT+，则基于可行最大梯度Grad_ref_2任意地重新计算速度指示参数：

V_param(t_n)＝V_param(t_n-1)+Grad_ref_2*[(t_n)-(t_n-1)]

该第二限幅，优选地是切换/过渡定义阶段的下游和辅助功能F1和安全功能F2的上游操作的该第二限幅将允许特别是避免考虑可能例如源自切换/过渡阶段引起的不连续性导致的速度指示参数V_param的可能不连贯的变化。

特别地，该第二限幅可以形成以下预防措施，其作为对如上所述的连续的(规律性等级C⁰)过渡的切换步骤的管理的补充或替代。

此外，本发明当然涉及一种动力转向系统1，其包括能够应用根据本发明的瞬时速度低估方法的控制器10，诸如计算器。

为此，所述控制器10将包括一个或多个电子器件和/或包含至少一个应用还原法则LR的低估单元6的处理单元11的一个或多个软件单元11，并且优选地包括比较/切换单元4以及第二梯度限制器5。

控制器也可以包括优选地包括测量单元7的速度上限V_upper获取单元12，该测量单元7可以利用例如车辆的一个或多个车轮2和/或第一梯度限制器3的速度作为输入速度V_roue。

最后，控制器10将包括分别确保上述功能F1、F2的执行的功能单元，分别为辅助功能单元13和安全功能单元14。

本发明也涉及此类车辆，并且特别是包括配备有此类动力转向系统1的一个或多个驱动轮或者一个或多个转向轮2(优选地两个驱动轮，或者包括例如4个驱动轮的全轮变速器)的陆用车。

当然，本发明并不限于前述中所述的唯一变型例，本领域技术人员特别是能够自由地将前述特征分离或组合在一起、或者用其等效物替代它们。

Claims (12)

1.一种用于管理车辆的动力转向系统(1)的方法，所述动力转向系统包括多个功能，所述功能包括：至少一个辅助功能(F1)，其旨在辅助驾驶员驾驶车辆；以及至少一个安全功能(F2)，其旨在向所述辅助功能赋予在ISO-26262标准的含义内的预先确定的ASIL等级；所述辅助功能(F1)和所述安全功能(F2)中的每个均使用被视为表示车辆的纵向速度的车辆的速度的相同的指示参数(V_param)；所述方法的特征在于，其包括：估计功能速度的步骤(a)，在步骤(a)中，估计被称为“功能速度”(V_func)的第一速度值，其表示在所考虑时刻车辆的实际纵向速度，并且其根据被称为“正常操作模式”的第一操作模式在默认情况下被用作所述车辆的速度的指示参数(V_param)；估计速度上限的步骤(b)，在步骤(b)中，估计被称为“速度上限”(V_upper)的第二速度值，其大于功能速度(V_func)并且表示在所述所考虑时刻车辆的实际纵向速度的上限；计算低估速度的步骤(c)，在步骤(c)中，预先确定的还原法则(LR)被应用于所述速度上限(V_upper)以便获得低估速度值(V_under)，其比所述速度上限(V_upper)低出由所述还原法则(LR)设置的预先确定的降低值(V_reduc)；比较步骤(d)，在比较步骤(d)中，将所述功能速度值(V_func)与所述低估速度值(V_under)以绝对值进行比较，并且如果所述功能速度(V_func)的绝对值低于所述低估速度(V_under)的绝对值，则进行切换步骤(e)，在切换步骤(e)中，通过用所述低估速度(V_under)替代所述功能速度(V_func)作为在所述辅助功能(F1)和所述安全功能(F2)中的每个的输入处使用的所述车辆的速度的指示参数(V_param)来从所述正常操作模式切换到被称为“安全模式”的第二操作模式。

2.根据权利要求1所述的方法，其特征在于，所述还原法则(LR)事先通过测试和/或模拟来建立，在所述测试和/或所述模拟期间：以给定的车辆的非零实际纵向速度，逐渐地并且人工地降低由所述辅助功能(F1)和所述安全功能(F2)考虑的所述车辆的速度的指示参数(V_param)的绝对值；并且观察所述安全功能(F2)和/或所述车辆的对应反应直到确定速度指示参数的低阈值(V_param_thresh_low)为止，从所述低阈值注意到所述安全功能(F2)不再能够确保符合在给定的实际纵向速度所期望的ASIL等级的安全性；然后，根据该速度指示参数的低阈值(V_param_thresh_low)设置针对还原法则(LR)采取的降低值(V_reduc)。

3.根据权利要求1或2所述的方法，其特征在于，还原法则(LR)根据所估计的速度上限(V_upper)调整所述降低值(V_reduc)，优选地以便在所述速度上限(V_upper)的绝对值增大时增大所述降低值(V_reduc)的绝对值。

4.根据前述权利要求中任一项所述的方法，其特征在于，还原法则(LR)以预先确定的算图的形式存储在非易失性存储器中，所述算图将从所述速度上限(V_upper)减去以获得所述低估速度(V_under)的降低值(V_reduc)与每个速度上限值(V_upper)相关联，或者直接将考虑可适用于所考虑的速度上限(V_upper)的所述降低值(V_reduc)的低估速度值(V_under)与每个速度上限值(V_upper)相关联。

5.根据前述权利要求中任一项所述的方法，其特征在于，在估计速度上限的步骤(b)期间，在对应于当前迭代(n)的所考虑时刻(t_n)处，根据至少一个输入速度测量结果(V_roue)诸如车辆的车轮的旋转速度的测量结果来评估速度上限(V_upper(t_n))；并且然后将所述速度上限(V_upper(t_n))与前一迭代(n-1)期间已经估计出的速度上限(V_upper(t_n-1))进行比较以便评估每单位时间的所述速度上限的对应变化；或者相应地将当前迭代的输入速度测量结果(V_roue(t_n))与前一迭代的输入速度测量结果(V_roue(t_n-1))进行比较以便评估每单位时间输入速度测量结果的对应变化，所述每单位时间的速度上限的变化、相应地所述每单位时间的输入速度测量结果的变化被称为“观测速度梯度”(Grad(V))；然后将所述观测速度梯度(Grad(V))与事先通过车辆的加速和制动测试预先确定的被称为“可行最大梯度”(Grad_ref_1)的第一参考梯度进行比较；并且如果所述观测速度梯度(Grad(V))的绝对值比所述可行最大梯度(Grad_ref_1)的绝对值更高，通过将限幅应用于前一迭代的速度上限(V_upper(t_n-1))、或相应地应用于前一迭代的输入速度测量结果(V_roue(t_n-1))来校正当前迭代的速度上限(V_upper(t_n))，上游可行最大梯度(Grad_ref_1)替代所述观测速度梯度(Grad(V))。

6.根据前述权利要求中任一项所述的方法，其特征在于，所述切换步骤(e)进行以下操作：只要检测到所述功能速度(V_func)的绝对值变得比所述低估速度(V_under)的绝对值更低，就通过立即使所述速度指示参数(V_param)从所述功能速度(V_func)变为所述低估速度(V_under)而立即从所述正常操作模式切换到所述安全模式。

7.根据权利要求1至5中任一项所述的方法，其特征在于，所述切换步骤(e)进行以下操作：仅在所述功能速度(V_func)的绝对值在达到或超过预先确定的容忍阈值的被称为“故障持续时间”的非零持续时间内保持比所述低估速度(V_under)的绝对值更低时，通过使所述速度指示参数(V_param)从所述功能速度(V_func)变为所述低估速度(V_under)来从所述正常操作模式延迟切换到所述安全模式。

8.根据前述权利要求中任一项所述的方法，其特征在于，其在切换步骤(e)之后包括增强型安全步骤(f)，在所述增强型安全步骤(f)中，测量所述安全模式保持激活的被称为“安全持续时间”的持续时间，并且如果所述安全持续时间达到或超过预先确定的警告阈值，则通过使所述车辆的速度的指示参数(V_param)从所述低估速度(V_under)变为等于或大于所述速度上限(V_upper)的被称为“增强型安全速度”(V_enhanced)的值而从所述安全模式切换到第三操作模式，称为增强型安全模式。

9.根据前述权利要求中任一项所述的方法，其特征在于，在从一个操作模式到另一个操作模式的切换期间操作的对所述车辆的速度的指示参数(V_param)的值的修改遵循具有至少C0连续性等级的过渡定律，诸如斜坡、插值函数或滤波。

10.根据权利要求6或7所述的方法，其特征在于，所述切换步骤(e)包括限幅子步骤，在限幅子步骤期间，所述速度指示参数(V_param)的变化率(Grad(V_param))借助于第二梯度限制器(5)来限幅，所述第二梯度限制器(5)使用第二可行最大梯度(Grad_ref_2)，其表示车辆能够提供的最大加速度或最大减速度。

11.根据前述权利要求中任一项所述的方法，其特征在于，所述安全功能(F2)保证在ISO-26262标准的含义内ASIL等级至少等于B，优选地至少等于C，并且甚至等于D。

12.一种动力转向系统(1)，其包括能够应用根据权利要求1至11中任一项所述的方法的控制器(10)。

Images