CN115626172A - 一种电机安全监控系统、方法、车辆及存储介质 - Google Patents

Abstract

本发明公开了一种电机安全监控系统、方法、车辆及存储介质，该电机安全监控系统包括：电机控制模块，用于获取电机执行模块的预期运行数据，将预期运行数据发送到安全监控模块；安全监控模块，用于根据预期运行数据和采集得到的实际运行数据确定电机执行模块处于电机误驱动状态的情况下，触发安全监控机制切断电机控制模块对电机执行模块的控制链路，以使整车解除误驱动危害。通过在监控到电机误驱动后，安全监控机制起作用，使电机控制系统到达系统层级功能安全状态，从而使整车由于不同类型电机误驱动失效触发整车危害前，进入整车层级安全状态。

Description

一种电机安全监控系统、方法、车辆及存储介质

技术领域

本发明涉及车辆控制技术领域，尤其涉及一种电机安全监控系统、方法、车辆及存储介质。

背景技术

车辆在使用过程中，电机控制系统常常会由于电机的误驱动，导致整车产生危害。

目前对电机的安全监控方法单一，只靠监控MCU与主MCU定时的通过通用串行数据总线接口进行通信校验难以检测到全部失效，未从系统层面充分监控车辆电机的误驱动状态，从而不能满足车辆电机功能的安全需求。

发明内容

本发明提供了一种电机安全监控系统、方法、车辆及存储介质，以解决安全监控方法单一，不能满足车辆电机功能的安全需求的问题，实现从系统层面充分监控车辆电机的误驱动状态，满足车辆电机功能的安全需求。

根据本发明的一方面，提供了一种电机安全监控系统，所述系统包括：电机控制模块、安全监控模块和电机执行模块；

所述电机控制模块，用于获取所述电机执行模块的预期运行数据，将所述预期运行数据发送到所述安全监控模块；

所述安全监控模块，用于根据所述预期运行数据和采集得到的实际运行数据确定所述电机执行模块处于电机误驱动状态的情况下，触发安全监控机制切断所述电机控制模块对所述电机执行模块的控制链路，以使整车解除误驱动危害。

根据本发明的另一方面，提供了一种电机安全监控方法，应用于任一实施例所述的电机控制系统，所述方法包括：

通过电机控制模块，获取电机执行模块的预期运行数据，将所述预期运行数据发送到安全监控模块；

通过安全监控模块，根据所述预期运行数据和采集得到的实际运行数据确定所述电机执行模块处于电机误驱动状态的情况下，触发安全监控机制切断所述电机控制模块对所述电机执行模块的控制链路，以使整车解除误驱动危害。

根据本发明的另一方面，提供了一种车辆，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行任一实施例所述的电机安全监控方法。

本发明实施例的技术方案，提供一种包括：电机控制模块，用于获取电机执行模块的预期运行数据，将预期运行数据发送到安全监控模块；安全监控模块，用于根据预期运行数据和采集得到的实际运行数据确定电机执行模块处于电机误驱动状态的情况下，触发安全监控机制切断电机控制模块对电机执行模块的控制链路，以使整车解除误驱动危害。通过在监控到电机误驱动后，安全监控机制起作用，使电机控制系统到达系统层级功能安全状态，解决了安全监控方法单一，不能满足车辆电机功能的安全需求的问题，达到了使整车由于不同类型电机误驱动失效触发整车危害前，进入整车层级安全状态的有益效果。

应当理解，本部分所描述的内容并非旨在标识本发明的实施例的关键或重要特征，也不用于限制本发明的范围。本发明的其它特征将通过以下的说明书而变得容易理解。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例一提供的一种电机安全监控系统的结构示意图；

图2是本发明实施例一提供的另一种电机安全监控系统的结构示意图；

图3是本发明实施例一提供的一种电机安全监控系统的禁能方法的示意图；

图4是本发明实施例二提供的一种电机安全监控方法的流程图；

图5是实现本发明实施例的电机安全监控方法的车辆的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例一

图1为本发明实施例一提供了一种电机安全监控系统的结构示意图，本实施例可适用于对车辆中的电机进行安全监控的情况，该电机安全监控系统可以采用硬件和/或软件的形式实现，该电机安全监控系统装置可配置于车辆中。如图1所示，该电机安全监控系统100包括：电机控制模块110、安全监控模块120和电机执行模块130；

电机控制模块110，用于获取电机执行模块130的预期运行数据，将预期运行数据发送到安全监控模块120；

安全监控模块120，用于根据预期运行数据和采集得到的实际运行数据确定电机执行模块130处于电机误驱动状态的情况下，触发安全监控机制切断电机控制模块对电机执行模块130的控制链路，以使整车解除误驱动危害。

其中，电机执行模块130可以理解为电机执行部件所构成的模块；电机控制模块110可以理解为控制电机执行模块的运行状态的模块；安全监控模块120可以理解为设置与电机控制模块和电机执行模块之间用于监控电机控制模块对电机执行模块的控制状态的模块。

预期运行数据是预期控制电机的运行数据，例如可以是根据车辆所接收到的控制操作所预期产生的运行数据。

电机误驱动状态是指电机在非预期的情况下被驱动的状态，例如可以包括非预期操作所导致的驱动，或者在指令传输、计算或者控制链路过程中发生错误导致的电机误驱动。误驱动危害是由于电机误驱动所为整车带来的危害。

具体的，电机控制模块110和电机执行模块130连接；安全监控模块120分别与电机控制模块110以及电机执行模块130连接。电机控制模块110实时获取电机执行模块130的预期运行数据，将预期运行数据发送至安全监控模块120。安全监控模块实时采集电机执行模块130的实际运行数据；根据预期运行数据和实际运行数据确定电机执行模块130的运行状态，在确定电机执行模块130处于电机误驱动状态的情况下，触发安全监控机制，在安全监控机制的作用下可以切断电机控制模块对电机执行模块130的控制链路，从而使整车解除误驱动危害。

可选的，在本发明实施例中，电机控制系统包括但不限于：电子换挡电机控制系统、电子助力转向电机控制系统、驱动电机控制系统、制动电机控制系统或者电子驻车制动电机控制系统，本发明能够在整车上实现前后方向驱动、转向、加速、减速、驻车制动等横纵垂不同方向运动的安全监控。

电机误驱动导致的整车危害包括但不限于：整车非预期移动、整车非预期转向、整车非预期加速、整车非预期制动和整车非预期溜车。不同的电机误驱动对应的整车级安全状态包括但不限于：

(1)由于电子换挡电机误驱动导致的整车非预期反向行驶的距离不超过d1 cm(含坡道工况)；

(2)由于电子助力转向电机误驱动导致的整车非预期侧向运动位移不超过d2 cm，或整车横向力矩偏差不超过T1 Nm且持续t1时间；

(3)由于电子驻车制动电机误驱动导致的整车从静止状态非预期移动超过d3 cm(含坡道工况)，特别的，若此时人员有开门下车动作，整车从静止状态非预期移动不能超过d4 cm(含坡道工况)，一般地，要求距离d4＜d3值。

(3)特别的，对于高级辅助驾驶功能(L2及以下功能)系统使能过程中，由于各种电机误驱动导致的整车级危害，其对应的整车层级安全状态还可以是在t2时间内报警以提示驾驶员接管达到整车可控的目的。

(4)特别的，对于自动驾驶功能(L3及以上功能)系统使能过程中，由于各种电机误驱动导致的整车级危害，其对应的整车层级安全状态还可以是进入一种特殊的安全运行模式，包括但不限于，根据实际行驶工况，实施本车道减速停车或继续保持t3 ms控制后到达应急车道靠边减速停车；

需要说明的是，上述整车层级安全状态仅作为示例进行解释说明，不限制具体实现细节，可以理解本领域技术人员可以根据实际需要做出更改。

在道路车辆功能安全国际标准，定义了产品的功能安全在避免不合理风险方面的能力。整车不同电机误驱动导致的整车级危害对应的最高汽车安全完整性(AutomotiveSafety Integrity Level，ASIL)等级，例如表1所示。

表1

示例性的，以电子换挡电机控制系统(功能安全等级ASIL B等级)为例电子换挡系统在整车起到控制车辆向前、向后、空挡滑行、驻车的作用。特别的，驾驶员可感知层面，电子换挡系统的功能为P挡、N挡、R挡、D挡(或S挡、M挡)挡位控制。在整车层面，由于电子换挡电机误驱动触发的危害，示例性的，主要包括整车非预期反向行驶(由于电机误驱动，R挡与D挡间错误换挡)、整车非预期移动(由于电机误驱动，非预期P挡换到R\N\D挡)等。

本发明实施例的技术方案，提供一种电机安全监控系统，包括：电机控制模块，用于获取电机执行模块的预期运行数据，将预期运行数据发送到安全监控模块；安全监控模块，用于根据预期运行数据和采集得到的实际运行数据确定电机执行模块处于电机误驱动状态的情况下，触发安全监控机制切断电机控制模块对电机执行模块的控制链路，以使整车解除误驱动危害；通过在监控到电机误驱动后，安全监控机制起作用，使电机控制系统到达系统层级功能安全状态，从而使整车由于不同类型电机误驱动失效触发整车危害前，即在功能安全开发定义的故障容忍时间间隔内，进入整车层级安全状态。

可选的，安全监控模块120包括：

信息采集单元121，用于采集电机执行模块的实际运行数据，将实际运行数据发送到目标校验监控单元122；

目标校验监控单元122，用于根据预期运行数据和实际运行数据确定电机执行模块的电机驱动状态；在电机执行模块为电机误驱动状态的情况下，触发安全监控机制产生禁能指令，切断电机控制模块110对电机执行模块130的控制链路。

其中，禁能指令是指用于切断电机控制模块对电机执行模块的控制链路的指令。电机执行模块的实际运行数据是电机执行模块在实际驱动状态下产生的运行数据，该实际运行数据与预期运行数据可能会发生一定的偏差，根据该偏差可以判断电机执行模块的驱动状态是否正常。

具体的，如图2所示，在电机控制模块110对电机执行模块130进行控制的过程中，通过安全监控模块120实时对电机执行模块130的电机驱动状态进行监控。安全监控模块120通过信息采集单元121采集电机执行模块130的实际运行数据，将实际运行数据发送到目标检验监控单元122。目标检验监控单元122根据预期运行数据和实际运行数据确定电机执行模块的电机驱动状态，在确定电机执行模块的电机驱动状态为电机误驱动状态的情况下，触发安全监控机制产生禁能指令，切断电机控制模块110对电机执行模块130的控制链路，从而使防止电机执行模块误驱动。

示例性的，信息采集单元可以包括传感器，通过传感器获取电机执行模块的实际运行数据，例如位置传感器、挡位传感器和扭矩传感器等。信息采集单元还可以包括电流采集单元，用于实时采集电机执行模块在驱动过程中的电流值。

可选的，安全监控机制的参数包括以下至少一项：驱动电流、驱动电压、驱动位置、电机转动角度和驱动扭矩。

安全监控机制所监控的参数包括但不限于：驱动电流、驱动电压、驱动位置、电机转动角度和驱动扭矩。

其中，安全监控机制对应的参数可单独使用，也可将任意两种或多种参数组合使用，以达到不同安全目标等级的失效率要求。本发明不限制实施功能安全监控机制的参数类别，只阐述防止电机误驱动的方法和原理，本领域技术人员能够通过本发明选取需要监控的电机参数，从而达到防止电机误驱动的目的。根据所适配的电机控制系统不同，所选取的参数也可以不相同。

可选的，目标校验监控单元122包括：

第一计算子单元，用于根据预期运行数据确定安全监控阈值范围；

第二计算子单元，用于确定实际运行数据超出安全监控阈值范围的电机运行异常时间，以及实际运行数据在预设时间内的平均值；若电机运行异常时间大于预设时间阈值或者平均值超出安全监控阈值范围，则确定执行电机的驱动状态为误驱动状态。

具体的，目标校验监控单元122通过第一计算子单元根据预期运行数据确定安全监控阈值范围，不同类型的预期运行数据所对应的安全监控阈值范围也不同。通过第二计算子单元，将实际运行数据与对应的安全监控阈值范围进行比较，确定实际运行数据是否超出安全监控阈值范围，若超出，则确定电机运行异常，计算运行异常时间；判断电机运行异常时间是否大于预设时间阈值，若是，则确定执行电机的驱动状态为误驱动状态。或者还可以通过第二计算子单元，将实际运行数据与对应的安全监控阈值范围进行比较，确定实际运行数据在预设时间内的平均值，若平均值超出安全监控阈值范围，则确定执行电机的驱动状态为误驱动状态。

示例性的，当驾驶员没有操作换挡手柄时，若确定电流采集模块实时采集到电流值大于0并持续t ms，则判断为电机误驱动；或者通过角度传感器实时监测换挡电机当前位置，当电机控制模块未发出电机驱动指令，但角度传感器监测出电机角度发生变化，变化幅度超出安全阈值，则判断为电机误驱动。

可选的，目标校验监控单元122还包括以下至少一项：

意图禁能子单元，用于确定电机执行模块处于意图错误的误驱动状态的情况下，产生意图禁能指令，将意图禁能指令发送到电机控制模块，以切断电机控制模块对电机执行模块的意图控制链路；

驱动禁能子单元，用于确定电机执行模块处于计算存储异常的误驱动状态的情况下，产生驱动禁能指令，将驱动禁能指令发送到使能单元，以使使能单元切断电机控制模块对电机执行模块的驱动控制链路；

供电禁能子单元，用于确定电机执行模块处于电流异常或角度异常的误驱动状态，则产生供电禁能指令，基于供电禁能指令切断电机控制模块对电机执行模块的供电链路。

其中，意图控制链路是指电机控制模块向电机执行模块传送意图指令的链路；驱动控制链路是指电机控制模块向电机执行模块传送驱动指令的链路；供电链路是指电机控制模块向电机执行模块供电的链路。

具体的，目标检测监控单元122根据电机执行模块130的不同误驱动状态采用不同的禁能单元切断电机控制模块对电机执行模块的控制。

如图3所示，当目标校验监控单元122根据预期运行数据和实际运行数据确定电机执行模块130处于意图错误的误驱动状态，即可能发生计算故障等情况导致对驾驶员的意图判断错误，例如错误判断接收到换挡操作，则产生意图禁能指令①，将意图禁能指令发送到电机控制模块110，以切断电机控制模块110对电机执行模块130的意图控制链路。通过意图禁能链路在第一时间间隔内对换挡意图禁能，能够避免电机执行模块130由于意图判断错误引起的电机误驱动。

当目标校验监控单元122根据预期运行数据和实际运行数据确定电机执行模块130处于计算存储异常的误驱动状态，即由于计算错误或驱动寄存器模块故障等原因导致的误驱动，则产生驱动禁能指令②，将驱动禁能指令发送到使能单元123，以使使能单元123切断电机控制模块对电机执行模块的驱动控制链路。通过驱动禁能链路在第二时间间隔内切断驱动指令，并在故障恢复前禁能，能够避免电机执行模块130由于计算或存储错误引起的电机误驱动。

当目标校验监控单元122根据预期运行数据和实际运行数据确定电机执行模块130处于电流异常或角度异常的误驱动状态，则产生供电禁能指令③，基于供电禁能指令切断电机控制模块对电机执行模块的供电链路。通过供电禁能链路在第三时间间隔内对供电链路禁能，能够避免电机执行模块130由于电机短路等故障或者功能链路上任一模块失效导致的电机误驱动。

需要说明的是，上述第一时间间隔、第二时间间隔和第三时间间隔的最大值即为故障处理时间间隔(Fault handling time interval，FHTI)，应小于整车对于电机误驱动失效分析得出的故障容忍时间间隔(Fault tolerant time interval，FTTI)。

可选的，目标校验监控单元122还包括以下至少一项：

电机驱动功能降级子单元，用于确定电机执行模块处于误驱动状态的情况下，产生电机驱动降级指令，将电机驱动降级指令发送到电机控制模块，以降低电机执行模块的驱动等级；

报警子单元，用于确定电机执行模块处于误驱动状态的情况下，产生报警指令，将报警指令发送到报警模块。

其中，电机驱动降级指令是指用于控制电机控制模块的驱动功能降低的指令；报警指令是用于报警模块发出报警信号的指令。

具体的，目标检测监控单元122还具有电机驱动功能降级、报警和提示驾驶员接管等功能。目标检测监控单元122可以在确定电机执行模块处于误驱动状态的情况下，通过电机驱动功能降级子单元产生降级电机驱动功能降级指令，将驱动禁能指令发送到电机控制模块，以降低电机执行模块的驱动等级。电机驱动降级可以表现为控制电机执行模块在跛行模式下运行、控制电机执行模块降低扭矩输出等。

安全监控模块还可以包括：报警模块，相应的，目标校验监控单元122包括报警子单元。目标校验监控单元122可以在确定电机执行模块处于误驱动状态的情况下，通过报警子单元产生报警指令，将报警指令发送到报警模块，实现在电机误驱动的情况下进行报警。

具体监控机制，应根据适配的不同电机控制系统(如电子助力转向电机控制系统、驱动电机控制系统、制动电机控制系统、电子驻车制动电机控制系统等)可以作适应性更改，本专利对具体控制策略不作限制。

实施例二

图4为本发明实施例一提供了一种电机安全监控方法的流程图，本实施例可适用于对车辆中的电机进行安全监控的情况，该方法可以由电机安全监控系统来执行，该电机安全监控系统可以采用硬件和/或软件的形式实现，该电机安全监控系统可配置于车辆中。如图4所示，该方法包括：

S210、通过电机控制模块，获取电机执行模块的预期运行数据，将预期运行数据发送到安全监控模块。

其中，电机控制模块可以理解为控制电机执行模块的运行状态的模块。预期运行数据是预期控制电机的运行数据，例如可以是根据车辆所接收到的控制操作所预期产生的运行数据。

具体的，电机控制模块实时获取电机执行模块的预期运行数据，将预期运行数据发送到安全监控模块，以使实现根据预期运行数据对电机执行模块进行电机运行状态的监控。

示例性的，若车辆接收到档位转换指令，电机控制模块会产生控制电子换挡机切换档位的预期换挡数据；若车辆接收到转向控制信号，电机控制模块会产生用于控制电子助力转向电机转向的预期转向数据。

S220、通过安全监控模块，根据预期运行数据和采集得到的实际运行数据确定电机执行模块处于电机误驱动状态的情况下，触发安全监控机制切断电机控制模块对电机执行模块的控制链路，以使整车解除误驱动危害。

具体的，安全监控模块实时采集电机执行模块的实际运行数据；根据预期运行数据和实际运行数据确定电机执行模块的运行状态，在确定电机执行模块处于电机误驱动状态的情况下，触发安全监控机制，在安全监控机制的作用下可以切断电机控制模块对电机执行模块的控制链路，从而使整车解除误驱动危害。

本发明实施例的技术方案，通过电机控制模块，获取电机执行模块的预期运行数据，将预期运行数据发送到安全监控模块；通过安全监控模块，根据预期运行数据和采集得到的实际运行数据确定电机执行模块处于电机误驱动状态的情况下，触发安全监控机制切断电机控制模块对电机执行模块的控制链路，以使整车解除误驱动危害，通过在监控到电机误驱动后，安全监控机制起作用，使电机控制系统到达系统层级功能安全状态，从而使整车由于不同类型电机误驱动失效触发整车危害前，进入整车层级安全状态。

实施例三

图5示出了可以用来实施本发明的实施例的车辆10的结构示意图。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本发明的实现。如图5所示，车辆10包括至少一个处理器11，以及与至少一个处理器11通信连接的存储器，如只读存储器(ROM)12、随机访问存储器(RAM)13等，其中，存储器存储有可被至少一个处理器执行的计算机程序，处理器11可以根据存储在只读存储器(ROM)12中的计算机程序或者从存储单元18加载到随机访问存储器(RAM)13中的计算机程序，来执行各种适当的动作和处理。在RAM 13中，还可存储车辆10操作所需的各种程序和数据。处理器11、ROM 12以及RAM 13通过总线14彼此相连。输入/输出(I/O)接口15也连接至总线14。

车辆10中的多个部件连接至I/O接口15，包括：输入单元16，例如方向盘、制动装置等；输出单元17，例如各种类型的显示器、扬声器等；存储单元18，例如磁盘、光盘等；以及通信单元19，例如网卡、调制解调器、无线通信收发机等。通信单元19允许车辆10通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

处理器11可以是各种具有处理和计算能力的通用和/或专用处理组件。处理器11的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的处理器、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。处理器11执行上文所描述的各个方法和处理，例如电机安全监控方法。

在一些实施例中，电机安全监控方法可被实现为计算机程序，其被有形地包含于计算机可读存储介质，例如存储单元18。在一些实施例中，计算机程序的部分或者全部可以经由ROM 12和/或通信单元19而被载入和/或安装到车辆10上。当计算机程序加载到RAM 13并由处理器11执行时，可以执行上文描述的电机安全监控方法的一个或多个步骤。备选地，在其他实施例中，处理器11可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行电机安全监控方法。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

用于实施本发明的方法的计算机程序可以采用一个或多个编程语言的任何组合来编写。这些计算机程序可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，使得计算机程序当由处理器执行时使流程图和/或框图中所规定的功能/操作被实施。计算机程序可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本发明的上下文中，计算机可读存储介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的计算机程序。计算机可读存储介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。备选地，计算机可读存储介质可以是机器可读信号介质。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

为了提供与用户的交互，可以在车辆上实施此处描述的系统和技术，该车辆具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及控制装置(例如，方向盘、制动装置)，用户可以通过该控制装置来将输入提供给车辆。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)、区块链网络和互联网。

计算系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务中，存在的管理难度大，业务扩展性弱的缺陷。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发明中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本发明的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (10)

1.一种电机安全监控系统，其特征在于，所述系统包括：电机控制模块、安全监控模块和电机执行模块；

所述电机控制模块，用于获取所述电机执行模块的预期运行数据，将所述预期运行数据发送到所述安全监控模块；

所述安全监控模块，用于根据所述预期运行数据和采集得到的实际运行数据确定所述电机执行模块处于电机误驱动状态的情况下，触发安全监控机制切断所述电机控制模块对所述电机执行模块的控制链路，以使整车解除误驱动危害。

2.根据权利要求1所述的系统，其特征在于，所述安全监控模块包括：

信息采集单元，用于采集电机执行模块的实际运行数据，将所述实际运行数据发送到目标校验监控单元；

目标校验监控单元，用于根据所述预期运行数据和所述实际运行数据确定所述电机执行模块的电机驱动状态；在所述电机执行模块为电机误驱动状态的情况下，触发安全监控机制产生禁能指令，切断所述电机控制模块对所述电机执行模块的控制链路。

3.根据权利要求2所述的系统，其特征在于，所述目标校验监控单元包括：

第一计算子单元，用于根据所述预期运行数据确定安全监控阈值范围；

第二计算子单元，用于确定所述实际运行数据超出安全监控阈值范围的电机运行异常时间，以及所述实际运行数据在预设时间内的平均值；若所述电机运行异常时间大于预设时间阈值或者所述平均值超出安全监控阈值范围，则确定所述执行电机的驱动状态为误驱动状态。

4.根据权利要求2所述的系统，其特征在于，所述安全监控机制的参数包括以下至少一项：驱动电流、驱动电压、驱动位置、电机转动角度和驱动扭矩。

5.根据权利要求2所述的系统，其特征在于，所述目标校验监控单元还包括以下至少一项：

意图禁能子单元，用于确定所述电机执行模块处于意图错误的误驱动状态的情况下，产生意图禁能指令，将所述意图禁能指令发送到所述电机控制模块，以切断所述电机控制模块对所述电机执行模块的意图控制链路；

驱动禁能子单元，用于确定所述电机执行模块处于计算存储异常的误驱动状态的情况下，产生驱动禁能指令，将所述驱动禁能指令发送到使能单元，以使所述使能单元切断所述电机控制模块对所述电机执行模块的驱动控制链路；供电禁能子单元，用于确定所述电机执行模块处于电流异常或角度异常的误驱动状态，则产生供电禁能指令，基于所述供电禁能指令切断所述电机控制模块对所述电机执行模块的供电链路。

6.根据权利要求2所述的系统，其特征在于，所述目标校验监控单元还包括以下至少一项：

电机驱动功能降级子单元，用于确定所述电机执行模块处于误驱动状态的情况下，产生电机驱动降级指令，将所述电机驱动降级指令发送到所述电机控制模块，以降低所述电机执行模块的驱动等级；

报警子单元，用于确定所述电机执行模块处于误驱动状态的情况下，产生报警指令，将所述报警指令发送到报警模块。

7.根据权利要求1所述的系统，其特征在于，所述电机控制系统包括：

电子换挡电机控制系统、电子助力转向电机控制系统、驱动电机控制系统、制动电机控制系统或者电子驻车制动电机控制系统。

8.一种电机安全监控方法，其特征在于，应用于权利要求1-7任一所述的电机控制系统，所述方法包括：

通过电机控制模块，获取电机执行模块的预期运行数据，将所述预期运行数据发送到安全监控模块；

通过安全监控模块，根据所述预期运行数据和采集得到的实际运行数据确定所述电机执行模块处于电机误驱动状态的情况下，触发安全监控机制切断所述电机控制模块对所述电机执行模块的控制链路，以使整车解除误驱动危害。

9.一种车辆，其特征在于，所述车辆包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求8所述的电机安全监控方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现权利要求8所述的电机安全监控方法。

Images