CN115335267A - 具有第一执行器系统和第二执行器系统的系统单元 - Google Patents

Abstract

用于至少部分自动化的移动平台的系统单元（100），所述系统单元具有至少一个第一执行器系统（120）和第二执行器系统（140），所述第一执行器系统（120）和第二执行器系统（140）分别具有至少一个辅助运行模式和紧急运行模式；和所述第一执行器系统（120）和所述第二执行器系统（140）分别被设立和耦合用于：如果严重差错在相应的执行器系统（120、140）中被标识，则变换到非激活运行模式；和如果所述执行器系统（120、140）之一变换到所述非激活运行模式，则变换到辅助运行模式，以便附加地执行处于非激活运行模式的相应执行器系统（120、140）的功能性的至少部分；和如果严重差错在处于所述辅助运行模式的相应的执行器系统（120、140）中被标识，则切换到紧急运行模式。

Description

具有第一执行器系统和第二执行器系统的系统单元

技术领域

本发明涉及具有至少一个第一执行器系统和第二执行器系统的用于至少部分自动化的移动平台的系统单元。

背景技术

驾驶员辅助系统在当今的机动车辆中越来越多地在不同的表现阶段中流行。所述驾驶员辅助系统部分自动化或自动化地干预车辆的驱动装置、控制装置（例如转向装置）或信号发送装置，或通过合适的人机界面在危急情形前不久警告驾驶员或在危急情形期间辅助所述驾驶员。

为此，除了稳定功能，示范性地当前车辆制动系统例如以经典ESP/ABS的形式具有日益扩展的功能范围：例如在制动行动的情况下在通过机电制动助力器（eBKV）操作制动踏板时通过动力辅助支持驾驶员，或在无驾驶员主动参与的情况下通过用于主动调制液压制动压力的系统单元（例如：ESP、eBKV、增压单元等）的辅助或部分辅助功能。

发明内容

用于高度自动化和/或部分自动驾驶和/或自主和/或部分自主驾驶的未来调节系统需要提供特定的、必要时功能上的冗余，使得在差错情况下，可以至少在时间上受限地例如在制动调节系统的情况下保证“故障后能操作的（fail-operational）”系统，以便能够实现通过驾驶员对交通情形的可能至少暂时缺乏的监控，分别为驾驶员的暂时缺乏的负责主体或完全不存在驾驶员。

例如，车辆制动系统可以设计为使得当在系统中出现第一差错时，所有制动功能都可以由制动系统的子单元接管。附加地，对于已知的自动化驾驶功能，例如在SAE级别3或更低中，可以将驾驶车辆的责任返回给驾驶员或必须提前结束行驶，因为未设置其他功能性回退层面，并且这种制动系统中的第二差错可能导致不再给出车辆的减速能力。

当这种系统被使用在不存在驾驶员或驾驶员不能在这种驾驶模式下进行干预的驾驶模式中时，这尤其是重要的。

示范性地，制动系统可以具有主和辅助稳定执行器系统，并且主执行器系统可以在无差错的状态下提供（主要）稳定功能。典型地，辅助执行器系统在此可以在其无差错状态下接管主执行器系统的一定功能性。在此，辅助执行器系统的这种功能性可以被限制为回退层面的必要功能或包括主稳定执行器系统的完整功能范围。例如，自主驾驶车辆中、即针对用例：自主驾驶SAE级别4的制动系统可以具有主和辅助制动单元。在制动系统的差错的情况下，主制动单元可以在无辅助制动单元的情况下实施完全功能范围，并且辅助制动单元可以具有主单元的功能范围的一部分，并且必要时接管所述功能的该部分。

由主执行器系统提供的这种功能性可以例如包括车轮单独的主动和被动压力调制，例如借助于电子稳定程序（ESP）返回液压系统，并且辅助执行器系统可以例如包括例如可以通过故障助推单元和/或机电制动助力器实现的单通道主动和/或被动压力调制的功能性。

由于驾驶员在SAE级别4车辆中在差错情况下安全接管是不可能的，在所述差错情况下仅两个制动单元中的一个能起作用，因此这种系统应该尽可能安全地被设计。

通过对其他差错的最佳反应设计这种系统由于对应的差错的组合可能性而是非常复杂的，易于发生差错的并且由于这种情形的非常小的概率而是不经济的，因为对于最佳反应，系统的所有主动调节器必须针对对应的差错情形被设计。也就是说，尤其是必须能够截获缺少的或有差错的信号，并且必须继续鉴于合理性监控传感器和执行器的所有需要的信号。然而，因为差错识别机制的一部分由于已经识别的差错而不再能起作用，所以这仅以高软件开发耗费在忍受用于发现差错的低概率的情况下才是可能的。

根据本发明的一个方面，说明根据独立权利要求的特征的系统单元、系统单元的用途、用于控制系统单元的方法、设备和计算机程序产品以及计算机可读存储介质，其至少部分地具有上述效果。有利的设计方案是从属权利要求和以下描述的主题。

根据一个方面，提出一种用于至少部分自动化的移动平台的系统单元，所述系统单元具有至少一个第一执行器系统和第二执行器系统，所述第一执行器系统和第二执行器系统分别具有至少一个辅助运行模式和紧急运行模式。在此，第一执行器系统和第二执行器系统分别被设立和耦合用于如果严重差错在相应的执行器系统中被标识，则变换到非激活运行模式。此外，第一执行器系统和第二执行器系统分别被设立和耦合用于如果所述执行器系统之一变换到非激活运行模式，则变换到辅助运行模式，以便执行处于非激活运行模式的相应执行器系统的功能性的至少部分。此外，第一执行器系统和第二执行器系统分别被设立和耦合用于如果严重差错在处于所述辅助运行模式的相应的执行器系统中被标识，则切换到紧急运行模式。

因此，利用该系统单元以紧急运行模式的形式提供另一安全层面，所述紧急运行模式仅当出现系统单元的第二严重差错、即处于辅助运行模式的保持激活的相应执行器系统的第一差错时才是激活的。例如，保持激活的执行器系统可以满足对系统单元在执行器系统的辅助运行模式下的所有要求，直至在辅助运行模式下出现严重差错为止。在系统单元的第二差错之后，仍激活的执行器系统应该提供用于对于移动平台或移动平台的车辆乘员的风险最小化的功能性。在此，该功能性可以具有与正常运行模式相比大大降低的要求。

例如，可以为制动系统形式的系统单元提供其他安全层面，所述安全层面仅在第二差错影响仍剩余的制动单元时才是激活的。制动系统的保持激活的制动单元形式的处于辅助运行模式的相应的激活执行器系统可以满足对已知制动系统的回退层面的所有要求，直至第二差错为止。在制动系统的第二差错之后，可以利用制动系统的仍剩余的激活的执行器系统，诸如剩余的激活的制动单元以降低的功能性来执行用于对于车辆乘员的风险最小化的机动。仅对装备有这种制动系统的移动平台的稳定性和动力学的仍大大降低的要求适用于这样的机动。

从而，利用这种系统单元可以提供用于这样的系统单元（例如制动系统）的尽可能稳健的运行模式，所述制动系统可以以传感器系统、通信和执行器系统的最低限度使移动平台、诸如车辆在所描述的差错情况下进入安全状态。

如果这种系统单元以冗余制动系统的形式被实现，则从而可以提供用于高度自主驾驶的制动系统。

因此，从而可以利用该系统单元使（总）故障的风险最小化，而不必使用第三执行器系统，其方式是以所描述的形式在系统单元的两个执行器中实施其他安全层面。该其他安全层面在相应的执行器系统中被切换为激活的，如果在恰好该执行器系统上也标识或识别出差错，则所述相应的执行器系统在第一回退层面中例如提供制动功能性。

因此，所描述的系统单元提供其他安全层面，所述其他安全层面在很大程度上与相应的执行器系统和/或传感器系统和/或执行器系统的控制设备之间的通信的差错无关，以便能够继续执行（紧急）制动。

为此，相应的执行器系统具有控制机制，所述控制机制仅仅能够直接操控最小功能性。在制动系统中，这可能不仅涉及液压阀（如果所述液压阀必须被切换到特定位置用于在执行器系统中建立压力）而且涉及发动机控制装置。利用这种系统单元可以提供用于高度自主驾驶的冗余制动系统。

有利地，因此即使在这样的系统单元、诸如由主和辅助制动单元组成的制动系统中出现或标识两个严重差错之后，也不独立地关断系统单元，而是例如仍然执行（紧急）制动。

换句话说，从而在出现第一严重差错时，主制动单元可以在无辅助制动单元的情况下执行完全功能范围，或者辅助制动单元可以接管主单元的功能范围的一部分。因此提供其他安全层面，所述其他安全层面仅在系统单元的第二差错影响仍剩余的制动单元时才是激活的。例如，剩余的制动单元可以满足对已知制动系统的回退层面的所有要求，直至在制动系统中出现第二差错为止。在仅两个制动单元之一能起作用的情形下，通过该附加回退层面可以提供附加的安全性。在此，相应的执行器系统可以被设立用于附加地执行分别另一执行器系统的功能性的至少部分。

根据一个方面提出，第一执行器系统和第二执行器系统分别被设立和耦合用于接收额定值；并且在紧急运行模式下检验额定值当前是否被接收。

可以为相应的执行器系统预先给定这样的额定值，以便在调节回路中或根据特性曲线设定额定值。由于在差错情况下可能干扰与给出额定值的传感器的通信，因此可以在紧急运行模式下检验以接收额定值为形式的这种通信是否完好无损。于是可以使相应的执行器系统在紧急运行模式下的其他行为与额定值有关。

根据一个方面提出，第一执行器系统和第二执行器系统分别被设立和耦合用于在紧急运行模式下利用所接收的当前额定值执行第一动作和/或在无所接收的当前额定值的情况下执行第二动作，其中根据所接收的当前额定值的值来执行所述第一动作。

这样的额定值例如可以经由总线系统从给出额定值的系统和/或传感器传输给相应的执行器系统。系统单元可以被设立用于例如在紧急运行模式中检验这种传输或通信，以便能够判定这样的额定值可以例如以至少部分自动化的移动平台的虚拟驾驶员的制动力的形式来实施。第一动作例如可以涉及根据额定值的值实施的动作，并且第二动作例如可以涉及固定地预先给定的动作。对于制动系统，第一动作可以对应于具有预先给定的制动力或相应地预先给定的制动过程的制动，并且第二动作可以是预先给定的紧急情况制动。在此，第一动作可以借助于调节回路和/或控制装置借助于特性曲线来实施。

为了保持系统单元与在该紧急运行模式下可能不再被监控的内部和外部信号的相关性尽可能低，可以基于特性曲线操控执行器系统在紧急运行模式下的操控和/或可以利用完全的调节来控制执行器系统在紧急运行模式下的操控。

如果当前额定值在相应的时间点被递交给相应的执行器系统，则可以肯定地评定与给出额定值的系统的通信的功能性的这种检验。例如，在第二动作的情况下，移动平台、诸如部分自动化的车辆可以例如利用制动被置于安全状态。

根据一个方面提出，由相应执行器系统本身和/或执行器系统中的分别另一执行器系统和/或上级系统标识严重差错。如果相应执行器系统的严重差错的存在由上级系统标识，则还可以考虑其他参量和与其他系统的相关性。如果相应的执行器系统标识严重差错本身，则尤其是可以实现更大的不相关性以及对尤其是外部差错的对应的低易受影响性。

根据一个方面提出，第一执行器系统是电子制动助力器（eBKV）系统，并且第二执行器系统是移动平台的电子稳定程序（ESP）系统；或者所述第一执行器系统是移动平台的第一转向系统，并且所述第二执行器系统是移动平台的第二转向系统；或者所述第一执行器系统是集成动力制动系统（IPB），并且第二执行器系统是移动平台的冗余制动单元（RBU）。

在此，第二转向系统可以被设计为第一转向系统的冗余系统。在此，具有冗余制动单元（RBU）的集成式动力制动系统（IPB）是冗余制动系统组合，所述集成式动力制动系统是由电子制动助力器（eBKV）系统和用于自动化驾驶的电子稳定程序（ESP）系统组成的系统的替代方案。

在此，集成式动力制动系统（IPB）利用执行器系统（即换句话说一体框（Ein-Box）制动系统）接管eBKV和ESP的任务。冗余制动单元（RBU）仅仅在集成式动力制动系统（IPB）的差错情况下接管制动压力建立和稳定的功能，否则完全是被动的。

可以通过根据系统单元构建制动系统来提供制动系统的从中得出的安全性。

提出上述系统单元的用途，用于控制至少部分自动化的移动平台。利用所描述的系统单元的上述附加安全性得出至少部分自动化的移动平台的对应的安全性。

提出一种用于控制用于至少部分自动化的移动平台的系统单元的方法，所述系统单元具有第一执行器系统和第二执行器系统，其中第一执行器系统和第二执行器系统分别具有辅助运行模式和紧急运行模式，并且所述方法具有以下步骤。在第一步骤中，如果严重差错在相应的执行器系统中被标识，则相应的执行器系统变换到非激活运行模式。在另一步骤中，如果所述执行器系统之一变换到非激活运行模式，则相应的执行器系统变换到辅助运行模式，以便执行处于非激活运行模式的相应执行器系统的功能性的至少部分。在另一步骤中，如果严重差错在处于辅助运行模式的相应执行器系统中被标识，则该执行器系统切换到紧急运行模式。

在本发明的该整个描述中，方法步骤的序列被表示为该方法可以容易地被理解。然而，本领域技术人员将认识到，方法步骤中的许多也可以以另一顺序执行并且导致相同的或对应的结果。在这个意义上，可以相应地改变方法步骤的顺序。一些特征配备有数词，以便改善可读性或使分配更明确，但这并不暗示存在特定特征。

也相应地对于用于控制系统单元的在这里描述的方法也针对该方法的其他方面得出系统单元的上述优点。

根据一个方面提出，在用于控制系统单元的方法中，处于紧急运行模式的执行器系统检验用于第一执行器系统和/或第二执行器系统的额定值是否当前被接收。可以为相应的执行器系统预先给定这样的额定值，以便在调节回路中或根据特性曲线设定额定值。由于在差错情况下可能干扰与给出额定值的传感器的通信，因此可以在紧急运行模式下检验以接收额定值的形式的这种通信是否完好无损。于是可以使相应的执行器系统在紧急运行模式下的其他行为与额定值有关。

根据一个方面提出，在用于控制系统单元的方法中，处于紧急运行模式的执行器系统在具有所接收的当前额定值的情况下利用当前所接收的额定值的值执行第一动作和/或在无所接收的当前额定值的情况下执行第二动作。

根据一个方面提出，在用于控制系统单元的方法中，借助于处于紧急运行模式的执行器系统的预定义的特性曲线（诸如针对发动机电流）和/或根据阀切换模式针对处于紧急运行模式的执行器系统的预定义的阀位置，处于紧急运行模式的执行器系统利用所接收的当前额定值的值执行第一动作。因此可以实现，用于控制系统单元的方法可以针对第一动作被设计得尽可能稳健并且不太复杂。

提出一种方法，该方法基于用于控制系统单元的方法的所标识的严重差错和/或非激活运行模式和/或辅助运行模式和/或紧急运行模式提供用于操控至少部分自动化的车辆的控制信号；和/或基于所标识的严重差错和/或非激活运行模式和/或辅助运行模式和/或紧急运行模式提供用于警告车辆乘员的警告信号。

术语“基于”在基于用于控制系统单元的方法的所标识的严重差错和/或非激活运行模式和/或辅助运行模式和/或紧急运行模式提供控制信号的特征方面应该宽泛地来理解。从而可以理解的是，使用用于控制系统单元的方法的所标识的严重差错和/或非激活运行模式和/或辅助运行模式和/或紧急运行模式用于控制信号的每种确定或计算，其中这不排除也仍使用其他输入参量用于该控制信号的这种确定。

由于在相应受限的运行模式（例如辅助运行模式或紧急运行模式）中不能始终保证对应的功能性，诸如足够的减速，因此上级单元或控制装置、例如虚拟和/或真正的驾驶员可以被告知该限制。从而可以从上级单元调用其他功能性，诸如借助于辅助执行器系统辅助制动，例如发动机控制装置、驻车制动器或用于避免碰撞的转向干预。

提出一种设备，所述设备被设立用于执行上述方法之一。利用这样的设备，对应的方法可以容易地被集成到不同的系统中。

提出一种计算机程序，所述计算机程序包括指令，所述指令在通过计算机执行所述计算机程序时促使所述计算机执行上述方法。这样的计算机程序使得能够在不同的系统中使用所描述的方法。

提出一种机器可读存储介质，在其上存储有上述计算机程序。可借助于这样的机器可读存储介质来运输计算机程序。

移动平台可以被理解为至少部分自动化的移动的系统和/或车辆的驾驶员辅助系统。一个示例可以是至少部分自动化的车辆或具有驾驶员辅助系统的车辆。也就是说，就此而论至少部分自动化的系统包括关于至少部分自动化功能性的移动平台，但是移动平台也包括车辆和其他移动机器，包括驾驶员辅助系统在内。移动平台的其他示例可以是具有多个传感器的驾驶员辅助系统、移动多传感器机器人（诸如机器人吸尘器或割草机）、多传感器监控系统、制造机器、个人助理或访问控制系统。这些系统中的每一个都可以是完全或部分自动化的系统。

补充地要指出的是，“包括”不排除其他元素，“一个”或“一”不排除多个。此外，应该指出，已经参考上述实施例之一描述的特征也可以与上述其他实施例的其他特征组合地使用。权利要求中的附图标记不应被看作限制。

附图说明

本发明的实施例在图1至2中示出并且在下面更详细地予以阐述。其中：

图1示出具有机电制动助力器和电子稳定程序系统的简述的制动系统；和

图2示出用于控制具有第一执行器系统和第二执行器系统的用于至少部分自动化的移动平台的系统单元的方法的流程图。

具体实施方式

图1概述制动系统100的冗余实施方案，所述制动系统具有至少一个第一执行器系统120和第二致动器系统140，所述第一执行器系统120以具有用于单通道主动和必要时被动压力调制的可能性的机电制动助力器120为形式，诸如故障助推（Fail-Boost）单元或机电制动助力器，所述第二执行器系统140以用于借助于ESP返回液压系统进行车轮单独的主动和被动压力调制的电子稳定程序系统140为形式的，所述ESP返回液压系统经由连接部145以液压方式耦合。在此，电子稳定程序系统140经由另一液压连接部165与车辆的轮胎的制动系统160连接。在此，第一执行器系统120和第二执行器系统140也可以按信号和/或在电气上耦合。

图2概述用于控制具有第一执行器系统120和第二执行器系统140的用于至少部分自动化的移动平台的系统单元100的方法200的流程图，其中第一执行器系统120和第二执行器系统140分别具有辅助运行模式和紧急运行模式。

在第一步骤S1中，在第一或第二执行器系统120中标识严重差错，并且遭受差错的相应执行器系统120、140变换到非激活运行模式。

在另一步骤S2中，不遭受差错的相应执行器系统变换到辅助运行模式，以便执行遭受差错的、处于非激活运行模式的相应执行器系统的功能性的至少部分。

在另一步骤S3中，确定严重差错是否在处于辅助运行模式的相应执行器系统中被标识。

在另一步骤S4中，如果严重差错在该执行器系统中被标识，则处于辅助运行模式的相应执行器系统切换到紧急运行模式S4a。在制动系统中，为此阀可以被切换到压力建立位置S4b。

在另一步骤S5中，处于紧急运行模式的相应执行器系统检验用于第一执行器系统120和/或第二执行器系统140的额定值当前是否被接收或者与给出额定值的系统或传感器的总线通信是否是可能的。

根据步骤S5中的结果，在存在所接收的当前额定值时，处于紧急运行模式的执行器系统例如通过基于特性曲线地操控执行器系统发动机利用当前接收的额定值的值执行第一动作S6，诸如利用额定值的值进行制动。

可替代地，在不存在所接收的当前额定值的情况下执行第二动作S7，诸如车辆的紧急停止，以便最小化事故风险（盲停）。

Claims (14)

1.一种用于至少部分自动化的移动平台的系统单元（100），所述系统单元具有至少一个第一执行器系统（120）和第二执行器系统（140），所述第一执行器系统（120）和第二执行器系统（140）分别具有至少一个辅助运行模式和紧急运行模式；和

所述第一执行器系统（120）和所述第二执行器系统（140）分别被设立和耦合用于：

如果严重差错在相应的执行器系统（120、140）中被标识，则变换到非激活运行模式；和

如果所述执行器系统（120、140）之一变换到所述非激活运行模式，则变换到辅助运行模式，以便执行处于非激活运行模式的相应执行器系统（120、140）的功能性的至少部分；和

如果严重差错在处于所述辅助运行模式的相应的执行器系统（120、140）中被标识，则切换到紧急运行模式。

2.根据权利要求1所述的系统单元（100），其中所述第一执行器系统（120）和所述第二执行器系统（140）分别被设立并且耦合用于：接收额定值；并且在紧急运行模式下检验额定值当前是否被接收。

3.根据权利要求2所述的系统单元（100），其中所述第一执行器系统（120）和所述第二执行器系统（140）分别被设立和耦合用于：在紧急运行模式下利用所接收的当前额定值执行第一动作和/或在无所接收的当前额定值的情况下执行第二动作，其中根据所接收的当前额定值的值来执行所述第一动作。

4.根据前述权利要求中任一项所述的系统单元（100），其中所述严重差错由相应执行器系统（120、140）本身和/或执行器系统（120、140）中的分别另一执行器系统和/或上级系统标识。

5.根据前述权利要求中任一项所述的系统单元（100），其中所述第一执行器系统（120）是电子制动助力器（eBKV）系统，并且所述第二执行器系统（140）是移动平台的电子稳定程序（ESP）系统；或者所述第一执行器系统（120）是移动平台的第一转向系统，并且所述第二执行器系统（140）是移动平台的第二转向系统；或者所述第一执行器系统（120）是集成动力制动系统，并且所述第二执行器系统（140）是移动平台的冗余制动单元。

6.一种根据权利要求1至5所述的系统单元（100）的用途，用于控制至少部分自动化的移动平台。

7.一种用于控制用于至少部分自动化的移动平台的系统单元（100）的方法（200），所述系统单元具有第一执行器系统（120）和第二执行器系统（140），所述第一执行器系统（120）和第二执行器系统（140）分别具有辅助运行模式和紧急运行模式，所述方法具有以下步骤：

如果严重差错在相应的执行器系统中被标识（S1），则将所述相应的执行器系统变换到非激活运行模式；

如果所述执行器系统（120、140）之一变换到所述非激活运行模式，则将相应的执行器系统（120、140）变换到辅助运行模式（S2），以便执行处于非激活运行模式的相应的执行器系统（120、140）的功能性的至少部分；和

如果严重差错在处于辅助运行模式的相应执行器系统中被标识（S3），则将该执行器系统切换到紧急运行模式（S4）。

8.根据权利要求7所述的方法（200），其中处于紧急运行模式的执行器系统（120、140）检验（S5）用于所述第一执行器系统（120）和/或第二执行器系统（140）的额定值是否当前被接收（S5）。

9.根据权利要求8所述的方法（200），其中处于紧急运行模式的所述执行器系统（120、140）在具有所接收的当前额定值的情况下利用当前所接收的额定值的值执行第一动作（S6）和/或在无所接收的当前额定值的情况下执行第二动作（S7）。

10.根据权利要求8或9所述的方法（200），其中借助于处于紧急运行模式的所述执行器系统（120、140）的预定义的特性曲线和/或处于紧急运行模式的所述执行器系统（120、140）的预定义的阀位置，所述处于紧急运行模式的执行器系统（120、140）利用所接收的当前额定值的值执行所述第一动作（S6）。

11.根据前述权利要求中任一项所述的方法，其中基于所标识的严重差错和/或所述非激活运行模式和/或所述辅助运行模式和/或所述紧急运行模式提供用于操控至少部分自动化的车辆的控制信号；和/或基于所标识的严重差错和/或非激活运行模式和/或辅助运行模式和/或紧急运行模式提供用于警告车辆乘员的警告信号。

12.一种设备，所述设备被设立用于执行根据权利要求7至11中任一项所述的方法。

13.一种计算机程序，所述计算机程序包括指令，所述指令在通过计算机执行所述计算机程序时促使所述计算机执行根据权利要求7至11中任一项所述的方法。

14.一种机器可读存储介质，其上存储有根据权利要求13所述的计算机程序。

Images