CN113044063A - 用于高级自动驾驶的功能冗余软件架构 - Google Patents

Abstract

本发明公开了一种用于高级自动驾驶的功能冗余软件架构，包括输入信号校验模块、功能故障校验模块、驾驶员行为识别模块、安全措施模块、系统状态机、输出信号校验模块和/或执行器仲裁模块；所述输入信号校验模块分别与安全措施模块、功能故障校验模块、驾驶员行为识别模块连接；所述功能故障校验模块分别与安全措施模块和系统状态机连接；所述驾驶员行为识别模块与系统状态机连接；所述安全措施模块通过执行器仲裁模块与输出信号校验模块连接，或所述安全措施模块直接与输出信号校验模块连接；本发明的通用性好，能够适应不同硬件架构和不同应用场景。

Description

用于高级自动驾驶的功能冗余软件架构

技术领域

本发明属于自动驾驶技术领域，具体涉及一种用于高级自动驾驶的功能冗余软件架构。

背景技术

高级自动驾驶功能将部分或全部车辆控制能力由驾驶员转移到多个汽车控制器中，同时驾驶员无须实时介入车辆控制。专利文献CN 104590243A公开的一种整车功能安全监控系统，描述了一种包含扭矩监控和加速度监控的集中式整车功能安全监控系统。其中主控模块为动力控制模块，安全监控模块是对主控模块的故障监控和故障响应。该系统监控方法仅限于动力控制的执行端。针对高级自动驾驶功能，功能安全要求对整个驾驶控制系统进行全链条监控，包括感知、认知、规划、决策和执行等环节。通过全方位的系统监控，确保故障发生时车辆自身可以及时采取安全措施，比如：提示驾驶员接管或执行安全停车。因此需要一套更加通用的软件架构，以适应不同硬件架构和不同应用场景。

发明内容

本发明的目的是提供一种用于高级自动驾驶的功能冗余软件架构，能确保故障发生时车辆自身能及时采取安全措施，以适应不同硬件架构和不同应用场景。

本发明所述的一种用于高级自动驾驶的功能冗余软件架构，包括输入信号校验模块、功能故障校验模块、驾驶员行为识别模块、安全措施模块、系统状态机、输出信号校验模块和/或执行器仲裁模块；所述输入信号校验模块分别与安全措施模块、功能故障校验模块、驾驶员行为识别模块连接；所述功能故障校验模块分别与安全措施模块和系统状态机连接；所述驾驶员行为识别模块与系统状态机连接；所述安全措施模块通过执行器仲裁模块与输出信号校验模块连接，或所述安全措施模块直接与输出信号校验模块连接；

所述输入信号校验模块用于对输入信号流的合理性进行校验；

所述功能故障校验模块用于对主功能内部运行状态的监控；

所述驾驶员行为识别模块用于实时判断驾驶员是否在操控车辆；

所述系统状态机根据功能故障校验模块的校验结果以及驾驶员行为识别模块的识别结果来判断是否需要激活冗余功能，并输出对应的控制指令给安全措施模块；

所述安全措施模块用于根据功能故障校验模块的校验结果和系统状态机的判断结果发出对应的冗余功能控制信号流给执行器仲裁模块或输出信号校验模块；

所述执行器仲裁模块用于切换主控制信号流和冗余功能控制信号流，并输出执行器信号指令给输出信号校验模块；

所述输出信号校验模块用于对执行器仲裁模块或安全措施模块所输出的信号流的合理性进行校验。

可选地，所述功能故障校验模块具有一个以上的功能故障校验子模块，能通过参数标定开启或关闭任意功能故障校验子模块；每一个功能故障校验子模块独立承担一部分硬件或软件故障的校验，并实时输出校验结果，且不受系统状态机控制。

可选地，所述功能故障校验子模块的输出信号流包括校验通过标志位。

可选地，所述功能故障校验子模块的输出信号流还包括故障的校验结果。

可选地，所述驾驶员行为识别模块用于实时监测方向盘、刹车踏板和油门踏板的状态，判断驾驶员是否在操控车辆。

可选地，所述安全措施模块包括一个以上安全措施子模块，能通过参数标定开启或关闭任意安全措施子模块，每一种安全状态对应一个独立的安全措施子模块。

本发明具有以下优点：本发明的通用性好，能够适应于不同硬件架构和不同应用场景。本发明在现有主功能的基础上增加了冗余功能，当主功能因故障失效时，仍能够通过冗余功能将车辆带入安全状态，确保了故障发生时车辆自身能够及时采取安全措施。

附图说明

图1为本实施例所述的功能冗余软件架构的示意图；

图2为一种双芯片系统中的功能冗余部署的示意图；

图3为在芯片A中部署功能冗余的应用实例示意图；

图4为在芯片B中部署功能冗余的应用实例示意图。

具体实施方式

下面结合附图对本发明作进一步说明。

本实施例中，一种用于高级自动驾驶的功能冗余软件架构，包括输入信号校验模块、功能故障校验模块、驾驶员行为识别模块、安全措施模块、系统状态机、输出信号校验模块和/或执行器仲裁模块。所述输入信号校验模块分别与安全措施模块、功能故障校验模块、驾驶员行为识别模块连接。所述功能故障校验模块分别与安全措施模块和系统状态机连接；所述驾驶员行为识别模块与系统状态机连接。所述安全措施模块通过执行器仲裁模块与输出信号校验模块连接，或所述安全措施模块直接与输出信号校验模块连接。

本实施例中，在现有主功能软件的基础上增加功能冗余，在此架构下，当主功能因故障失效时，仍可以通过冗余功能将车辆带入安全状态。其中，主功能包含感知、认知、规划、决策和执行的完整系统。而冗余功能的核心是功能故障校验和安全措施两个部分，并不是重复实现主功能中的算法。通过监控软件和硬件信号流，识别主功能中那些危害自动驾驶安全的功能故障，并在冗余功能中采取相应的故障处理措施。冗余功能的存在，并不意味着主功能可以不做任何故障处理。冗余功能只关注安全性，而非舒适性。因此，在冗余功能激活时，主功能将被强制中断，以避免总线信号冲突。冗余功能激活后，将触发接管报警，甚至是触发安全停车。直到驾驶员接管车辆，或车辆停止，冗余功能方可退出。主功能被冗余功能中断后，在本次点火周期内自动驾驶功能将无法再次激活。需要指出的是，主功能仍然是保证自动驾驶舒适性和可用性的主体。主功能和冗余功能需要相互配合，以达到舒适性和安全性的平衡。

如图1所示，本实施例中，用于高级自动驾驶的功能冗余软件架构具备软件模块和信号流。这种软件集成方式不受限于主功能的软件架构。只要在主功能中明确信号监控点，即可按图中展示的方式添加冗余功能。该软件架构具有良好的伸缩性和可移植性，可根据系统架构将冗余功能灵活地部署于多芯片或多个控制器中。每一个芯片或控制器中的功能冗余软件架构无须重复设计，只需要在相同的软件架构下删减或增加软件子模块。该软件架构具有良好的硬件兼容性和软件模块的可复用性，可有效降低开发成本。

如图1所示，本实施例中，输入信号校验模块和输出信号校验模块承担端对端保护的功能。除此之外，输入信号校验模块和输出信号校验模块还分别校验输入输出信号的合理性。输入信号校验模块和输出信号校验模块将冗余功能中的其他模块与外部隔离开。其他内部模块都不能直接接收或发送未经校验的信号，通过输入信号校验模块和输出信号校验模块能够保证信号使用和发送的安全。这种设计降低了冗余功能受外部软硬件的影响程度，由此增强了可移植性。

如图1所示，本实施例中，输入信号校验模块包括横向控制输入信号质量检验、纵向控制输入信号质量检验、本车运动状态信号校验和传感信息合理性校验等。

如图1所示，本实施例中，输出信号校验模块包括横向控制信号输出校验、纵向控制信号输出校验和车速信号输出校验等。

如图1所示，本实施例中，输入信号流包括三类，分别为环境感知信号IN-1、整车信号IN-2（包括车身、底盘和动力信号）和主功能监控点信号IN-3，输出信号流包括两类，分别为整车信号OUT-1（包括车身、底盘和动力信号）、人机交互信号OUT-2。

如图1所示，展示了冗余软件架构中应具备的功能模块及其内部信号流。其中功能故障校验模块是对主功能内部运行状态的监控。功能故障校验模块包括一个以上功能故障子校验模块，比如：规划轨迹合理性校验、规划目标合理性校验、远光灯控制合理性校验、转向灯控制合理性校验、危险报警灯控制合理性校验、硬件故障识别、自动驾驶状态合理性校验、横向控制合理性校验和纵向控制合理性校验等子模块。每一个功能故障校验子模块独立承担一部分硬件或软件故障的校验，实时输出校验结果，不受系统状态机控制，实现了内部功能解耦。如需添加或减少功能故障校验子模块，不会影响任何其他的功能故障软件子模块。每个功能故障校验子模块具有配置参数，在不修改代码的情况下，仍可以通过参数标定开启或关闭任意校验子模块。功能故障校验子模块的输入信号流F-2须根据模块内部校验逻辑的需要从主功能和外部总线获取；功能故障校验子模块的输出信号流F-4至少包含校验通过标志位，也可以根据安全措施的需要，进一步区分故障类型，给出每种故障的校验结果。

如图1所示，本实施例中，驾驶员行为识别模块通过实时监控信号流F-3中的方向盘、刹车踏板和油门踏板的状态，判断驾驶员是否在操控车辆，并通过信号流F-5输出。如果驾驶员有明显操作方向盘，刹车踏板或油门踏板的动作，将导致冗余功能退出，本点火周期内不能再次激活自动驾驶功能。

如图1所示，本实施例中，系统状态机用于判断是否需要激活冗余。判断的依据来自信号流F-4和信号流F-5。一旦满足激活条件系统状态机，将通过信号流F-6输出控制指令给安全措施模块中的各个安全措施子模块。激活条件须根据具体应用场景设计，不在该软件架构设计范畴之内。

如图1所示，本实施例中，所述安全措施模块是针对校验结果采取的故障处理手段，目的是要把系统带入功能安全要求的安全状态，比如：提示驾驶员接管，退出自动驾驶功能或车辆停止状态。每一种安全状态对应一个独立的安全措施子模块。如图1所示，所述安全措施模块包括报警功能、人机交互控制、安全停车和灯光控制等子模块。安全措施模块与功能故障校验模块相同，添加或减少安全措施子模块，不会影响任何其他的安全措施子模块，而且也具有可配置的特点。安全措施子模块的输入信号流来自系统状态机输的出信号流F-6，功能故障校验模块F-4和输入信号校验模块输出的信号流F-1；安全措施模块输出的冗余功能控制信号流F-7涉及人机交互，油门、刹车和转向控制等，通过冗余功能控制信号流F-7发送请求给执行器仲裁模块。

如图1所示，本实施例中，执行器仲裁模块包括横向控制输出仲裁、纵向控制输出仲裁、人机交互输出仲裁和灯光控制输出仲裁等。执行器仲裁模块起到信号阀门的作用，用于切换主控制信号流IN-4和冗余功能控制信号流F-7，最后通过信号流F-8输出人机交互，油门、刹车和转向控制四路执行器信号指令。

如图2所示，展示了一种基于双芯片的控制器内部结构。在这个应用案例中，芯片A能够更加高效地运行感知和认知的相关算法；而芯片B更适合执行决策控制等逻辑运算。以此为例，分别在两个芯片中部署冗余功能，以实现芯片间在故障时互为冗余。①是芯片A端接入的传感器总线信号；②是芯片A端接入的执行器总线信号，并具有双向通信的属性；③是芯片A端接入的人机交互设备总线信号，并也具有双向通信的属性。类似的，⑤是芯片B端接入的传感器总线信号；⑥是芯片B端接入的执行器总线信号，并具有双向通信的属性；⑦是芯片B端接入的人机交互设备总线信号，也并具有双向通信的属性。④代表的是两个芯片间的双向通信。①和⑤、②和⑥、③和⑦并不代表需要传感器、执行器以及人机交互设备的硬件冗余。这里的编号只是对接口类型做区分。系统硬件冗余的程度取决于功能安全的具体要求，不在本实施例的范畴之内。图2仅展示的是一种普遍意义的双芯片组合，并不针对任何具体的应用。

图2进一步展示了每个芯片内部主功能和冗余功能之间的信号流。其中也包含了芯片内部信号与图1中的冗余功能外部信号之间的关联关系。信号流中的具体信号信息应根据应用做更详细的设计，不属于本实施例的范畴。在芯片A端，信号流A-1来自于外部信号流IN-1，继承了信号流IN-1中用于传感器相关校验的信号；信号流A-2中的信号来自主功能A感知和认知功能内的监控点；信号流A-3是来自主功能B内部的监控点信号；信号流A-4是主功能B正常工作时需要的主功能A输出信号；信号流A-5具有双向通信的属性，一方面接收外部执行器的状态信号，一方面向外部执行器发送控制信号；信号流A-6是冗余功能在报警时触发的人机交互请求，比如文字提示，声音报警，图形显示等。信号流A-7包含了主功能A运行所需要的执行器的状态信号。类似的，在芯片B端，信号流B-1来自于外部信号流IN-1，继承了IN-1中用于传感器相关校验的信号；信号流B-2包含了来自主功能B规划、决策和控制功能内的监控点信号，以及主功能B的执行器控制信号；信号流B-3是来自主功能A内部的监控点信号；信号流B-4具有双向通信的属性，一方面接收外部执行器的状态信号，一方面向外部执行器发送控制信号；信号流B-5是冗余功能B在报警时触发的人机交互请求；信号流B-6包含了主功能B运行所需要的执行器的状态信号。

图2中冗余功能A和冗余功能B的外部接口仅存在微小差异，体现了本实施例中的软件架构可移植性很高。图3和图4分别展示了冗余功能A和冗余功能B的内部架构情况。两者具有高度一致性，差别只在于冗余功能A中信号流F-7透传给信号流F-8，不需要与信号流B-2中的主功能执行器控制信号进行仲裁。即芯片A中的功能冗余软件架构不需要执行器仲裁模块，芯片B中的功能冗余软件架构需要执行器仲裁模块。其他信号流均与图1中的软件架构设计保持一致，故体现了本实施例中的软件架构可复用性强。

Claims (6)

1.一种用于高级自动驾驶的功能冗余软件架构，其特征在于，包括输入信号校验模块、功能故障校验模块、驾驶员行为识别模块、安全措施模块、系统状态机、输出信号校验模块和/或执行器仲裁模块；所述输入信号校验模块分别与安全措施模块、功能故障校验模块、驾驶员行为识别模块连接；所述功能故障校验模块分别与安全措施模块和系统状态机连接；所述驾驶员行为识别模块与系统状态机连接；所述安全措施模块通过执行器仲裁模块与输出信号校验模块连接，或所述安全措施模块直接与输出信号校验模块连接；

所述输入信号校验模块用于对输入信号流的合理性进行校验；

所述功能故障校验模块用于对主功能内部运行状态的监控；

所述驾驶员行为识别模块用于实时判断驾驶员是否在操控车辆；

所述系统状态机根据功能故障校验模块的校验结果以及驾驶员行为识别模块的识别结果来判断是否需要激活冗余功能，并输出对应的控制指令给安全措施模块；

所述安全措施模块用于根据功能故障校验模块的校验结果和系统状态机的判断结果发出对应的冗余功能控制信号流给执行器仲裁模块或输出信号校验模块；

所述执行器仲裁模块用于切换主控制信号流和冗余功能控制信号流，并输出执行器信号指令给输出信号校验模块；

所述输出信号校验模块用于对执行器仲裁模块或安全措施模块所输出的信号流的合理性进行校验。

2.根据权利要求1所述的用于高级自动驾驶的功能冗余软件架构，其特征在于：所述功能故障校验模块具有一个以上的功能故障校验子模块，能通过参数标定开启或关闭任意功能故障校验子模块；每一个功能故障校验子模块独立承担一部分硬件或软件故障的校验，并实时输出校验结果，且不受系统状态机控制。

3.根据权利要求2所述的用于高级自动驾驶的功能冗余软件架构，其特征在于：所述功能故障校验子模块的输出信号流包括校验通过标志位。

4.根据权利要求3所述的用于高级自动驾驶的功能冗余软件架构，其特征在于：所述功能故障校验子模块的输出信号流还包括故障的校验结果。

5.根据权利要求1至4任一所述的用于高级自动驾驶的功能冗余软件架构，其特征在于：所述驾驶员行为识别模块用于实时监测方向盘、刹车踏板和油门踏板的状态，判断驾驶员是否在操控车辆。

6.根据权利要求5所述的用于高级自动驾驶的功能冗余软件架构，其特征在于：所述安全措施模块包括一个以上安全措施子模块，能通过参数标定开启或关闭任意安全措施子模块，每一种安全状态对应一个独立的安全措施子模块。

Images