CN117742291A - 故障保护方法、故障保护系统和车辆 - Google Patents

Abstract

本公开实施例涉及一种故障保护方法、故障保护系统和车辆。所述方法包括：在编队自动驾驶状态下，进行故障检测；在检测到预设故障的情况下，控制主状态机从自动驾驶状态进入故障保护降级状态，并在所述故障保护降级状态下控制线控底盘执行靠边停车处理；其中，所述预设故障包括自动驾驶控制器失效和线控底盘失效中的至少一种。采用本方法能够在自动驾驶系统或车辆在出现失效时，能够提供安全措施，以降低故障和失效导致的风险。

Description

故障保护方法、故障保护系统和车辆

技术领域

本公开涉及车辆自动驾驶技术领域，特别是涉及一种故障保护方法、故障保护系统和车辆。

背景技术

随着科技不断进步，车辆编队自动驾驶技术崭露头角。这项技术以智能感知、高速通信和智能决策为核心，使车辆能够在紧密协同的情况下行驶。先进的传感器如激光雷达和摄像头使车辆能够实时感知周围环境，通过5G等通信技术实现车辆之间的实时数据共享，而智能决策算法则确保车辆能够做出安全而高效的行驶决策。这一技术的发展有望为未来交通系统带来更高效、安全和智能的出行体验。

由于现有编队自动驾驶商用车辆多数仍处于有安全员的自动驾驶状态，即在车辆自动驾驶过程中，需要安全员去监控潜在的风险，在自动驾驶系统或车辆出现异常时，人工进行接管以保证车辆及人员安全。要实现真正的无人化，最终的状态必然是去掉安全员，而与此同时，则需要增加更多的安全设计以保证自动驾驶系统或车辆在出现失效时，能够提供安全措施，以降低故障和失效导致的风险。

发明内容

本公开实施例提供一种故障保护方法、故障保护系统和车辆，可以在自动驾驶系统或车辆在出现失效时，提供安全措施，以降低故障和失效导致的风险。

第一方面，本公开实施例提供一种故障保护方法，该方法包括：

在编队自动驾驶状态下，进行故障检测；

在检测到预设故障的情况下，控制主状态机从自动驾驶状态进入故障保护降级状态，并在故障保护降级状态下控制线控底盘执行靠边停车处理；其中，预设故障包括自动驾驶控制器失效和线控底盘失效中的至少一种。

第二方面，本公开实施例提供一种故障保护系统，该故障保护系统包括多核控制单元、控制器和线控底盘；多核控制单元分别与控制器和线控底盘通信连接；

多核控制单元，用于进行故障检测，在检测到预设故障的情况下，控制主状态机从自动驾驶状态进入故障保护降级状态，并在故障保护降级状态下向线控底盘发送控制信息；其中，预设故障包括控制器失效和线控底盘失效；

线控底盘，用于根据控制信息执行靠边停车处理。

第三方面，本公开实施例提供一种车辆，该车辆应用于上述第二方面中任一实施例的故障保护系统。

本公开实施例提供的故障保护方法、故障保护系统和车辆，在编队自动驾驶状态下，进行故障检测；在检测到预设故障的情况下，控制主状态机从自动驾驶状态进入故障保护降级状态，并在故障保护降级状态下控制线控底盘执行靠边停车处理。本公开实施例通过及时发现并处理自动驾驶控制器失效或线控底盘失效等潜在故障，可以减少事故的风险，从而车辆在异常情况下采取安全措施。当发生预设故障时，及时降级到故障保护状态有助于减小整个自动驾驶系统的风险。

附图说明

图1为一个实施例中故障保护方法的应用环境图；

图2为一个实施例故障保护方法的流程示意图；

图3为另一个实施例中故障保护方法的流程示意图；

图4为另一个实施例中故障保护方法的流程示意图；

图5为另一个实施例中故障保护方法的流程示意图；

图6为一个实施例中故障保护系统的结构框图；

图7为另一个实施例中故障保护系统的结构框图；

图8为另一个实施例中故障保护系统的结构框图；

图9为另一个实施例中故障保护系统的结构框图；

附图标记说明：

多核控制单元 10； 第一核控制单元 101； 第二核控制单元 102；

自动驾驶控制器 20； 线控底盘 30； 机械刹车部件 40；

传感器 50。

具体实施方式

为了使本公开实施例的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本公开实施例进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本公开实施例，并不用于限定本公开实施例。

首先，在具体介绍本公开实施例的技术方案之前，先对本公开实施例基于的技术背景或者技术演进脉络进行介绍。通常情况下，由于现有编队自动驾驶商用车辆多数仍处于有安全员的自动驾驶状态，即在车辆自动驾驶过程中，需要安全员去监控潜在的风险，在自动驾驶系统或车辆出现异常时，人工进行接管以保证车辆及人员安全。要实现真正的无人化，最终的状态必然是去掉安全员，而与此同时，则需要增加更多的安全设计以保证自动驾驶系统或车辆在出现失效时，能够有足够的安全措施，以防止故障过大或者造成严重的后果。基于该背景，申请人对编队自动驾驶系统进行了系统性的研究和开发。通过对各个环节的不断优化，包括感知、决策、执行等方面的技术创新，系统逐步提升了在各种复杂交通和道路情况下的可靠性和稳定性。发现车辆系统在检测到主要系统或执行机构失效时，以安全的方式将车辆停放或刹车，从而降低潜在的事故风险，成为目前亟待解决的难题。另外，需要说明的是，从检测到主要系统或者执行机构失效、以安全方式将车辆进行刹车以及下述实施例介绍的技术方案，申请人均付出了大量的创造性劳动。

下面结合本公开实施例所应用的场景，对本公开实施例涉及的技术方案进行介绍。

本公开实施例提供的故障保护方法，可以应用于如图1所示的系统架构中。该系统架构适用于编队自动驾驶，编队自动驾驶是一种汽车自动驾驶技术，其中一组车辆被组织成一个编队，并通过自动化系统进行协同行驶。在编队自动驾驶中，车辆之间通过通信和传感器技术进行实时互联，以协同完成特定任务，如高速公路巡航或城市交通中的编队行驶。该系统架构包括前车101和后车102，其中，前车101负责引导编队，通过先进的感知和决策系统规划安全路径。后车102跟随前车101，通过实时通信和控制系统保持与前车101的安全距离和速度同步。前车101和后车102之间通过先进的无线通信技术进行实时数据交换，包括车辆状态、速度、路径规划等。通信模块负责确保前车101和后车102之间的同步和协调，以实现编队驾驶的目标。前车101配备先进的传感器，感知道路状况、障碍物和其他车辆，通过决策系统制定编队路径和速度策略。后车102同样配备传感器，持续感知前方道路并根据前车的状态进行调整。在车队自动驾驶系统中，前车101和后车102均配备了自动驾驶控制器(Auto Control Unit，简称ACU)、控制单元(Microcontroller Unit，简称MCU)、线控底盘以及传感器。这样的配置有助于实现车辆之间的协同行驶和感知环境。其中，ACU和MCU是车辆中常见的控制单元，它们都起到了车辆控制和管理的作用。ACU是车辆电子控制单元的一种，通常安装在车辆的不同部位，例如发动机控制单元、制动控制单元、空调控制单元等。ACU负责管理和控制特定系统或子系统，根据传感器的输入和预设的算法执行相应的控制策略。MCU是一种小型的嵌入式微控制器，安装在车辆的各种电子设备中，如仪表盘、娱乐系统、车载通信系统等。其功能范围较广泛。它可以用于控制车辆内部的各种电子设备，包括信息娱乐系统、导航系统、空调系统等。这两者共同协作，以确保车辆的正常运行和提供良好的驾驶体验。通过线控制动，前101车和后车102可以实现对车辆速度和制动的迅速响应，确保编队行驶的平稳性和安全性。线控转向系统用于实现车辆的转向控制，以便在编队行驶中保持良好的车辆轨迹。除速度和转向外，其他线控执行机构可能包括悬挂系统、空气悬挂等，以提供更加精准的车辆控制。前车101和后车102配备了雷达传感器，用于远距离障碍物检测和测距，以支持智能巡航和自动紧急制动等功能。摄像头用于实时监测道路状况、识别交通标志和其他车辆，为车辆决策和路径规划提供关键信息。还可以包括激光雷达、超声波传感器等，以全面感知车辆周围环境。

在一个实施例中，如图2所示，提供了一种故障保护方法，本实施例以该方法应用于后车进行举例说明，并通过后车和前车的交互实现。本实施例中，该方法包括以下步骤：

S202，在编队自动驾驶状态下，进行故障检测。

其中，故障检测是指通过监测、分析和识别后车的行为，以及与后车预期行为的差异，来检测后车中可能存在的故障或异常情况的过程。这包括硬件故障、软件错误、传感器故障、通信问题等各种可能影响系统正常运行的问题。其中：(1)传感器故障检测：实时监测传感器的输出，检测是否有异常值或者不一致的数据。(2)通信故障检测：在编队车辆之间建立心跳机制，监测车辆之间的通信状态。如果某个车辆停止发送心跳信号，系统可以认为该车辆存在通信故障。(3)控制系统故障检测：在控制算法中设置安全限制，当控制系统输出超出这些限制时，触发故障处理机制。

在本申请实施例中，在编队自动驾驶状态下，可以对后车进行故障检测。

S204，在检测到预设故障的情况下，控制主状态机从自动驾驶状态进入故障保护降级状态，并在故障保护降级状态下控制线控底盘执行靠边停车处理；其中，预设故障包括自动驾驶控制器失效和线控底盘失效中的至少一种。

其中，故障检测可以是ACU检测到自身存在严重故障_，并将该故障信息发送给控制单元；还可以是控制单元检测到ACU或者线控底盘存在故障或者通信超时。

在本公开实施例中，首先，ACU作为自动驾驶系统的核心控制单元，具备内建的自检机制。通过对算法执行、传感器数据接收和处理等方面进行实时监测，ACU能够检测到自身是否存在严重故障，例如算法异常。这种自我监测机制确保了ACU在正常运行状态下，有效地执行编队自动驾驶任务。

其次，还可以是控制单元对ACU和线控底盘的健康状态进行监测。控制单元通过定期与ACU和线控底盘进行通信，并检测其工作状态。如果控制单元检测到ACU或线控底盘存在故障、通信超时或其他异常情况，控制主状态机从自动驾驶状态进入故障保护降级状态，以应对潜在的安全风险。

在故障保护降级状态下，主状态机会执行一系列紧急措施，以使得车辆在缺乏驾驶员干预的情况下能够安全驾驶。在这个降级状态下，主状态机做出相应的降级决策，其中包括但不限于：(1)限制自主驾驶功能：主状态机可能会暂时限制或完全放弃部分高级别的自主驾驶功能，以降低系统复杂性，提高安全性。例如，自动变道、自动超车等功能可能会被禁用。(2)调整车辆行驶模式：主状态机可能会调整车辆的行驶模式，采用更加保守的模式，限制最大速度、加速度，以确保在故障状态下车辆仍能够稳定行驶。(3)启动紧急制动系统：如果故障涉及到制动系统，主状态机可能会启动紧急制动系统，以使得车辆在需要时能够及时停车。

随后，控制单元控制线控底盘执行靠边停车处理。这包括发出指令，启动线控底盘进行相应的靠边停车操作，可能涉及调整车辆位置、减速等步骤，以使得车辆可以安全停放在路边。

需要说明的是，在状态切换和靠边停车的同时，控制单元还可以记录故障相关信息，包括故障类型和发生时刻，以供后续故障分析和维修使用。同时，控制单元还可以向运营中心发送通知，提醒他们关于车辆当前状态的信息以及可能需要的进一步处理。

上述故障保护方法中，在编队自动驾驶状态下，进行故障检测；在检测到预设故障的情况下，控制主状态机从自动驾驶状态进入故障保护降级状态，并在故障保护降级状态下控制线控底盘执行靠边停车处理；本公开实施例通过及时发现并处理自动驾驶控制器失效或线控底盘失效等潜在故障，可以减少事故的风险，从而车辆在异常情况下采取安全措施。当发生预设故障时，及时降级到故障保护状态有助于减小整个自动驾驶系统的风险。另外，靠边停车是一种有效的应对措施，能够将车辆安全地停放在路边，减少对交通流的干扰，同时降低与其他车辆的碰撞风险。故障保护降级策略提高了鲁棒性，使其能够在面对控制器失效或线控底盘失效等不可预测的情况下，更好地维持稳定的运行状态。

上述实施例中提到了在检测到预设故障的情况下，控制主状态机从自动驾驶状态进入故障保护降级状态，并在故障保护降级状态下控制线控底盘执行靠边停车处理。实际上，故障保护降级状态可以包括第一降级状态。在此基础上，以下实施例就对控制主状态机从自动驾驶状态进入第一降级状态，并在第一降级状态下控制线控底盘执行靠边停车处理的具体过程进行详细说明。

在一个实施例中，如图3所示，S204中的“控制主状态机从自动驾驶状态进入故障保护降级状态，并在故障保护降级状态下控制线控底盘执行靠边停车处理”，包括：

S302，在车辆上的外接传感器和控制单元均正常工作的情况下，控制主状态机从自动驾驶状态进入第一降级状态。

其中，故障保护降级状态包括第一降级状态，第一降级状态包括跟随前车轨迹靠边停车的功能。在第一降级状态下，后车在进入降级模式后，会通过无线通信技术通知前车，当前时刻后车出现故障，提醒前车司机靠边停车。

在本公开实施例中，在车辆上的外接传感器和控制单元正常工作的情况下，车辆处于自动驾驶状态。这意味着车辆能够依赖外部传感器和控制单元实现自主导航和操作。当控制单元检测到预设故障时，控制主状态机从自动驾驶状态迅速切换到故障保护降级状态。在这个降级状态中，第一降级状态被激活，允许控制单元实现跟随前车轨迹并执行靠边停车操作。

第一降级状态具备后车的控制单元跟随前车轨迹靠边停车的功能。这意味着即使在自动驾驶无法维持的情况下，车辆仍然可以通过控制单元的辅助操作安全地执行靠边停车。在后车进入第一降级状态的情况下，通过无线通信技术与前车建立连接。这种通信机制可以是无线网络、车载通信系统等，使后车能够向前车发送实时信息。后车通过无线通信向前车发送通知，告知前车司机当前时刻后车存在故障，并提醒前车司机采取靠边停车等相应的安全措施。这种实时通信和信息共享可以提高整个车队的协同性和安全性。

S304，在第一降级状态下获取前车轨迹信息，并根据前车轨迹信息控制线控底盘执行靠边停车处理。

在本公开实施例中，在第一降级状态下，车辆通过其外接传感器(例如雷达、摄像头、激光雷达等)获取前车轨迹信息。前车轨迹信息可以包括前车的位置、速度、加速度等信息。获取到前车轨迹信息后，控制单元需要对这些信息进行处理和分析。这可能包括路径规划、障碍物检测、速度调整等。控制单元需要确保车辆能够有效地跟随前车轨迹，避免碰撞并安全地执行靠边停车操作。基于前车轨迹信息的处理结果，控制单元通过控制线控底盘的执行单元来调整车辆的运动。这可以涉及到转向、加速、减速等控制策略，以使得车辆沿着前车轨迹安全行驶并完成靠边停车。在执行靠边停车的过程中，控制单元可以需要实时监测车辆状态以及前车的动态变化。根据实时反馈，控制单元可以对线控底盘的控制策略进行调整，以应对可能的变化情况，提高整个过程的安全性和顺利性。同时，控制单元可以通过无线通信与其他车辆或交通基础设施进行通信，以提高周围环境的感知准确性，并与其他车辆协同执行靠边停车。这种通信可以包括与前车的协同共享等。

上述实施例中，通过降级到第一降级状态，并根据前车轨迹信息进行靠边停车处理，可以在面对特殊情况时采取安全措施，减少潜在的风险和事故发生的可能性。进入第一降级状态并获取前车轨迹信息，从而可以适应不寻常或复杂的道路状况，提高自动驾驶系统的鲁棒性。另外，靠边停车处理是一种灵活的策略，以使得后车在遇到问题时不会对整个交通流畅性产生负面影响。

在一个实施例中，如图4所示，S304包括：

S402，向前车发送故障通知信息；故障通知信息用于指示前车执行靠边停车处理并返回前车轨迹信息。

其中，故障通知信息是指后车的控制单元向前车传达后车出现问题或异常状况的消息。这种信息通常包括有关故障的类型、发生时刻、可能的影响等关键信息。具体而言，故障通知信息可能包括以下内容：(1)故障类型：描述后车或的个关键组件发生的具体问题，例如传感器故障、制动系统故障、电动机问题等.(2)发生时刻：记录故障发生的时间戳，有助于前车了解故障的时间点，以便更好地进行分析和应对。(3)故障影响：描述故障对后车性能和行驶安全性的可能影响，以帮助前车评估情况的紧急程度。(4)建议措施：包括对故障的初步诊断和建议处理措施。

在本公开实施例中，当后车检测到自身存在故障或问题时，它向前车发送故障通知信息。前车收到故障通知信息后，根据故障通知信息中的指示，执行靠边停车处理。靠边停车处理可以包括调整车辆速度、变更车道、寻找安全位置等步骤，以使得前车在故障情况下停在安全位置。故障通知信息中还可以包含有关后车的轨迹信息，前车可以使用故障通知信息来适应性地调整自身的行驶策略。

S404，接收前车轨迹信息，并根据前车轨迹信息控制线控底盘执行靠边停车处理。

在本公开实施例中，前车在接收到故障通知信息后，前车会根据故障通知信息执行靠边停车处理。这可以包括降低速度、调整车道位置以让出空间，或采取其他必要的行动以确保在靠边停车时安全性最大化。在执行靠边停车处理后，前车应生成并返回其当前轨迹信息给后车。这包括前车的位置、速度、加速度等信息。这种实时的轨迹信息对后车在降级状态下跟车并执行靠边停车操作非常关键。整个过程的效果还取决于通信的实时性。通信延迟可能影响后车对前车状态的准确感知，因此需要确保通信系统具备足够的带宽和低延迟。

后车接收到前车返回的轨迹信息后，控制单元需要根据这些信息来控制线控底盘，以实现有效而安全的跟车和靠边停车处理。

需要说明的是，考虑到通信可能存在失败或丢包的情况，控制单元需要实现一些异常处理机制，以使得在通信异常的情况下依然能够安全地执行降级操作。

上述实施例中，通过这种通信和协同的设计，车辆之间能够更好地响应后车的故障情况，从而最大程度地减小潜在的风险。这种协同行为使得整个车队在面对故障时能够更加有序、安全地应对，提高了整个自动驾驶系统的可靠性。

上述实施例中提到了在检测到预设故障的情况下，控制主状态机从自动驾驶状态进入故障保护降级状态，并在故障保护降级状态下控制线控底盘执行靠边停车处理。实际上，故障保护降级状态可以包括第二降级状态。在此基础上，以下实施例就对控制主状态机从自动驾驶状态进入第二降级状态，并在第二降级状态下控制线控底盘执行靠边停车处理的具体过程进行详细说明。

在一个实施例中，如图5所示，S204中的“控制主状态机从自动驾驶状态进入故障保护降级状态，并在故障保护降级状态下控制线控底盘执行靠边停车处理”，包括：

S502，在车辆上的外接传感器异常和/或控制单元异常的情况下，控制主状态机从自动驾驶状态进入第二降级状态。

其中，故障保护降级状态还可以包括第二降级状态。控制单元异常可以包括控制单元内的规划、控制或者定位节点存在异常。这表示控制单元的核心功能出现问题，可能影响到车辆的正常操作。

外接传感器异常和/或控制单元异常是指车辆上的外部传感器或控制单元出现了问题，可能影响车辆正常的自动驾驶系统运行。这两者的异常可能包括但不限于以下情况：(1)外接传感器异常：1)传感器故障：外接传感器，如雷达、摄像头、激光雷达等，可能由于硬件故障、连接问题或环境影响而出现异常。2)数据异常：传感器可能产生不准确或不一致的数据，可能是由于传感器损坏、污染、故障或干扰导致的。(2)控制单元异常：1)软件错误：控制单元的软件可能存在逻辑错误或其他问题，导致异常行为。2)硬件故障：控制单元的硬件组件可能出现故障，如电路板故障、处理器问题等。(3)通信问题：控制单元与其他部件之间的通信可能受到干扰，导致信息传递异常。

在本公开实施例中，在车辆外接传感器异常和/或控制单元异常的情况下，控制单元控制主状态机将从自动驾驶状态进入第二降级状态。第二降级状态的触发说明了在某些情况下，车辆无法依靠传感器和控制单元来实现正常的跟随前车靠边停车功能。

S504，在第二降级状态下向线控底盘发送第一控制信息，第一控制信息用于控制线控底盘采用最大减速度急刹以靠边停车。

在本公开实施例中，在第二降级状态下，为了应对无法正常跟车的情况，控制单元向线控底盘发送第一控制信息。这个信息被设计成以最大减速度急刹的方式，即迅速实现车辆的停车。这种紧急措施有助于在异常状态下尽快停车，减小潜在的危险。

需要说明的是，在执行急刹操作的同时，控制单元可能还需要通过通信机制向其他车辆或者交通系统发送紧急停车信息，以提醒周围车辆和驾驶员注意，从而最小化可能的碰撞风险。控制单元可能需要实现一些异常情况处理机制，例如记录异常信息、生成报告，以便后续的故障诊断和系统改进。

上述实施例中，进入第二降级状态并采取急刹措施有助于系统即时响应外接传感器或控制单元的异常。这种迅速的反应可以减小潜在的安全风险，使得车辆在异常情况下尽可能快速地停车。采用最大减速度急刹的方式，有助于车辆在异常状态下迅速停车，从而减小与周围环境、其他车辆或障碍物的碰撞风险。这种紧急措施能够最大程度地提高车辆的安全性。通过急刹操作，控制单元可以控制线控底盘迅速将车辆停到最小速度，有效减小了在异常情况下可能发生的事故的严重性，保障了车辆和人员的安全。

在一个实施例中，上述方法还包括：在第二降级状态下向机械刹车部件发送第二控制信息，第二控制信息用于控制机械刹车部件实施制动。

其中，机械刹车部件是附加的系统，通过控制电机扭矩调整拉线的长度，控制物理制动踏板的行程，从而实现等同于人工踩制动踏板的安全接管操作。即除了利用原车的行车制动系统和驻车制动系统，还配备有机械刹车部件，机械刹车部件是针对第二降级状态的三重冗余，最大限度的保证了自动驾驶车辆出现故障时能够及时对车辆实施制动。

第二控制信息需要明确指示机械刹车部件实施制动，并可能包括有关制动力度、制动时间等具体的控制参数。这提高了制动操作的准确性和可控性。

在本公开实施例中，第二降级状态意味着车辆处于一种降级的工作状态，因为外接传感器异常和/或控制单元异常导致了无法正常跟随前车靠边停车。在这种情况下，向机械刹车部件发送第二控制信息的目的是迅速实施制动操作，以防止潜在的危险情况。机械刹车部件作为一种附加系统，通过控制电机扭矩调整拉线的长度，实现等同于人工踩制动踏板的安全接管操作。这种设计增加了对车辆制动的额外手段，提高了制动的冗余度。在第二降级状态下，机械刹车部件提供了对车辆的手动制动手段，作为对自动制动系统失效的冗余措施。这种冗余性有助于最大程度地保障车辆在异常情况下的制动能力。机械刹车部件的设计可以看作是一种安全接管机制，在自动驾驶系统无法正常操作时，仍然能够通过手动方式进行紧急制动，保障车辆和人员的安全。

上述实施例中，通过向机械刹车部件发送第二控制信息，控制单元能够在异常状态下实施稳定而可靠的制动操作，保持车辆的稳定性，减小潜在危险的发生。通过向机械刹车部件发送第二控制信息，控制单元在第二降级状态下采取了一种紧急制动手段，提高了车辆在异常情况下的制动安全性。

在一个实施例中，上述方法还包括：在第二降级状态下输出提示信息，提示信息至少包括警示灯提醒。

在本公开实施例中，警示灯可以设置在车辆的仪表板、内饰或者外部的灯光系统上，以直观地向驾驶员和周围行人传达车辆的降级状态。闪烁、改变颜色或者采用特定的图标等方式都可以增加提示的醒目度。

可选的，车辆的仪表板上可以配备液晶显示屏，通过文字、图标或者符号显示相应的提示信息。这种方式可以提供更加详细和具体的信息，使驾驶员更好地理解车辆状态。

可选的，利用车辆内部的音响系统，通过发出特定的声音或者语音提示，向驾驶员传达车辆的状态。声音提示可以是紧急警报音、语音提醒等，以便在驾驶员专注于驾驶任务时引起他们的注意。

可选的，通过车辆外部的灯光系统，如车灯或者标志灯，也可以传达车辆状态。例如，闪烁的黄色灯光可以表示降级状态，吸引其他驾驶员和行人的注意。

上述实施例中，通过警示灯提醒，能够引起驾驶员的注意。驾驶员看到警示灯亮起时，会意识到车辆正处于异常状态，需要采取相应的注意和行动。这有助于提高驾驶员的警觉性，减小潜在的驾驶风险。输出提示信息不仅仅为车辆内部的使用者提供了信息，同时还能够向周围的行人和其他驾驶员传达车辆的状态。这对于维持交通流畅和降低交通事故风险具有积极的影响。

以下给出一个详细实施例来对本公开中故障保护方法的过程进行说明，在上述实施例的基础上，该方法的实现过程可以包括以下内容：

S1，在编队自动驾驶状态下，进行故障检测。

在故障检测后，可以根据实际情况执行步骤S2或步骤S5。

S2，在检测到预设故障且车辆上的外接传感器和控制单元均正常工作的情况下，控制主状态机从自动驾驶状态进入第一降级状态。

S3，在第一降级状态下，向前车发送故障通知信息；故障通知信息用于指示前车执行靠边停车处理并返回前车轨迹信息。

S4，接收前车轨迹信息，并根据前车轨迹信息控制线控底盘执行靠边停车处理。

S5，在检测到预设故障且车辆上的外接传感器异常和/或控制单元异常的情况下，控制主状态机从自动驾驶状态进入第二降级状态。

S6，在第二降级状态下向线控底盘发送第一控制信息，第一控制信息用于控制线控底盘采用最大减速度急刹以靠边停车。

S7，在第二降级状态下向机械刹车部件发送第二控制信息，第二控制信息用于控制机械刹车部件实施制动。

S8，在第二降级状态下输出提示信息，提示信息至少包括警示灯提醒。

上述实施例中，在编队自动驾驶状态下进行故障检测，这有助于提前发现潜在问题。在检测到故障时，采取了两个级别的降级状态：第一降级状态(S2-S4)：在此状态下，后车控制单元向前车发送故障通知信息，实现编队内车辆的协同行动，提高整体安全性。第二降级状态(S5-S8)：当故障情况更为严重时，进入第二降级状态，通过急刹和机械刹车对车辆进行更紧急的控制，并通过输出提示信息提醒其他道路用户。故障通知信息和前车轨迹信息的交流，以及后车根据前车轨迹信息执行相似的靠边停车动作，展示了车队内部的协同行动，提高了整个编队系统的鲁棒性和安全性。另外，在第二降级状态下，控制单元采取了急刹和机械刹车等紧急措施，迅速减速和制动，以应对潜在的危险情况，保障车辆和乘客的安全。通过输出提示信息和使用警示灯提醒，向其他道路用户传递了有关车辆状态的信息，增强了整个交通系统的安全性。

综合而言，这一安全降级和应急处理流程通过结合车辆间通信、前车信息利用、急刹制动等措施，有助于在故障和异常情况下保障编队自动驾驶系统的稳定和安全运行。

应该理解的是，虽然图2至图5流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，图2至图5中的至少一部分步骤可以包括多个步骤或者多个阶段，这些步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤中的步骤或者阶段的至少一部分轮流或者交替地执行。

如图6所示，提供了一种故障保护系统，该故障保护系统包括：多核控制单元10、自动驾驶控制器20和线控底盘30；多核控制单元10分别与自动驾驶控制器20和线控底盘30通信连接。

多核控制单元10，用于进行故障检测，在检测到预设故障的情况下，控制主状态机从自动驾驶状态进入故障保护降级状态，并在故障保护降级状态下向线控底盘30发送控制信息；其中，预设故障包括自动驾驶控制器20失效和线控底盘30失效中的至少一种。

线控底盘30，用于根据控制信息执行靠边停车处理。

其中，多核控制单元10是一个处理器系统，拥有多个处理核心。自动驾驶控制器20是负责处理车辆自主驾驶功能的关键组件。它可以包括决策和执行等模块，用于做出决策并控制车辆的行为。自动驾驶控制器20通过与多核控制单元10的通信实现与整个系统的协调。线控底盘30通常指的是车辆的底盘系统，包括悬挂、转向、制动等组件。线控底盘30的任务是执行自动驾驶控制器20的指令，实现车辆的运动和操纵。多核控制单元10通过通信连接分别与自动驾驶控制器20和线控底盘30建立联系。

可选的，多核控制单元10通过监测自动驾驶控制器20和线控底盘30的运行状态，进行实时的故障检测。这可以涉及对传感器50、执行器和通信链路的监测，以确保系统各部分的正常运行。多核控制单元10预设了一组可能的故障情况，其中包括自动驾驶控制器20失效和线控底盘30失效。一旦检测到这些预设的故障之一，多核控制单元10将触发相应的故障处理流程。在检测到预设故障的情况下，多核控制单元10通过控制主状态机，将整个系统从自动驾驶状态平稳地切换到故障保护降级状态。这是为了降低故障对整个系统安全性的影响。

在故障保护降级状态下，多核控制单元10向线控底盘30发送相应的控制信息。控制信息可能包括控制指令，以使得线控底盘30能够执行特定的动作，例如紧急停车或者转换到手动控制模式。多核控制单元10可以动态调整控制策略，以适应当前故障状态。这包括调整车辆的运动模式、速度控制以及与其他交通参与者的交互，以最大程度地降低潜在的风险。

可选的，线控底盘30首先接收来自多核控制单元10的控制信息。这些信息可以包括指示底盘执行停车动作的具体指令，以及其他与降级状态相关的信息。线控底盘30解析接收到的控制指令，确定所需执行的停车处理操作。这可以包括紧急制动、停车位置的选择等信息。根据解析后的指令，线控底盘30执行具体的停车处理。这可以涉及控制车辆的制动系统，调整车辆的速度和方向，确保车辆平稳、安全地停车。在停车处理过程中，线控底盘30会持续监控底盘系统的状态和执行过程，以提高停车操作的准确性和安全性。线控底盘30可以向多核控制单元10提供执行停车处理的实时状态信息。这有助于多核控制单元10了解停车处理的进展，以及在需要时采取进一步的措施。一旦线控底盘30成功执行停车处理，车辆准备进入静止状态。这可以包括对制动系统的额外稳定控制，使得车辆停稳且不再移动。

其中，传感器50和多核控制单元10通信连接，传感器50主要包括雷达、摄像头、惯性测量单元，用于感知和定位，并获取规划路线以及定位所需要的信息。惯性测量单元通常包括加速度计和陀螺仪，用于测量和跟踪车辆的加速度、角速度和方向变化。

本公开实施例提供的故障保护系统，在检测到预设故障的情况下，多核控制单元将主状态机从自动驾驶状态切换到故障保护降级状态。这种及时的状态切换有助于系统迅速进入故障处理模式，减小潜在的风险和危险。故障保护降级状态下，多核控制单元向线控底盘发送控制信息，指示执行停车处理。线控底盘负责执行具体的停车动作，使得车辆在故障状态下能够安全停车。这种设计提供了一种有效的应对策略，减少了可能发生事故的风险。使得在故障情况下车辆能够快速、可控地从自动驾驶状态切换到故障保护降级状态，并通过线控底盘执行停车处理。这种响应机制降低了故障状态下的安全风险，提高了可靠性和安全性。总体而言，该故障保护系统通过多核控制单元、自动驾驶控制器和线控底盘之间的协同工作，实现了在故障情况下的及时降级处理，为车辆提供了一种安全可靠的故障保护机制。

在一个实施例中，还提供了一种故障保护系统，如图7所示，在图6实施例故障保护系统的基础上，该故障保护系统中的多核控制单元10还包括：第一核控制单元101和第二核控制单元102；第一核控制单元101与第二核控制单元102通信连接。

第一核控制单元101，用于传递上下行数据和控制主状态机进行状态跳转。

第二核控制单元102，用于在故障保护降级状态下向线控底盘30发送控制信息，控制线控底盘30执行靠边停车处理。

第一核控制单元101负责传递上行和下行的数据，确保系统内各个组件之间的信息传递畅通。上行数据可能包括传感器50数据、系统状态等，而下行数据则包括控制指令、执行状态等。另外，第一核控制单元101还负责控制主状态机进行状态跳转。在不同工作状态之间切换，主要由第一核控制单元101来调度，以使得控制单元可以在正常操作和降级状态之间平稳切换。

第二核控制单元102在故障保护降级状态下承担了向线控底盘30发送控制信息的任务。这些控制信息可以包括停车处理的指令，以使得车辆在降级状态下能够安全停车。另外，第二核控制单元102通过向线控底盘30发送控制信息，控制线控底盘30执行具体的停车处理操作。这包括调整速度、操纵制动系统等，以提高车辆在停车时的稳定性和安全性。

第一核控制单元101与第二核控制单元102之间通过通信连接进行协作。这种协作可能涉及状态信息的共享、决策的同步等，以使得两个核心控制单元能够有效地协同工作。通过这样的架构，能够在多核控制单元10的协同作用下，更加灵活地处理各种情况。第一核控制单元101负责系统整体的控制和状态跳转，而第二核控制单元102专注于在故障保护降级状态下执行停车处理，确保在异常情况下车辆能够安全停车。这种设计提高了多核控制单元的稳定性和可靠性。

需要说明的是，除了第一核控制单元101核第二核控制单元102，多核控制单元10还可以包括多个其他核控制单元。其中每个核心控制单元可以执行独立的计算和控制任务。每个核心可能专注于处理特定的功能模块、算法或任务，以提高车辆的整体性能和并行处理能力。以下是可能包含的其他核控制单元的一些示例：

(1)第三核控制单元：负责处理传感器数据的融合和感知模块。实施环境感知算法，提供更准确的环境认知。(2)第四核控制单元：负责执行决策和路径规划算法。处理来自感知模块的信息，做出决策并生成控制指令。(3)第五核控制单元：专注于车辆通信和网络连接。管理车辆与其他车辆、基础设施或云平台的通信。(4)其他核控制单元：根据整个系统的复杂性和要求，可能还包括其他核心，例如用于安全监测和系统监控等。

本公开实施例提供的故障保护系统，第一核控制单元负责传递上下行数据并控制主状态机进行状态跳转。这种分层控制有助于保持系统的结构清晰，并使各个功能单元之间的通信更为有效。第一核控制单元的主要任务是维护系统整体的状态和数据流。第二核控制单元专门用于在故障保护降级状态下处理相关任务。在该状态下，第二核控制单元向线控底盘发送控制信息，指导执行停车处理。这种分工设计使得系统在降级状态下能够更有针对性地处理故障，提高了系统的可靠性和应对能力。由于第一核控制单元和第二核控制单元是分开的核心，它们可以并发执行各自的任务。第一核控制单元负责维护整个系统状态，而第二核控制单元则专注于处理故障保护降级状态下的任务。这有助于提高系统的响应速度，特别是在需要快速决策和执行的情况下。通过引入多核控制单元，多核控制单元的各个功能单元得到了清晰的划分，使得多核控制单元更容易维护和调试。如果需要对某个核心进行调整或升级，这可以在不影响其他核心的情况下进行。

在一个实施例中，还提供了一种故障保护系统，如图8所示，在图6和图7实施例故障保护系统的基础上，故障保护降级状态包括第一降级状态；第二核控制单元102，用于在第一降级状态下，获取前车轨迹信息，并根据前车轨迹信息控制线控底盘30执行靠边停车处理。

可选的，当多核控制单元检测到预设故障或其他特定条件时，多核控制单元10将控制主状态机从自动驾驶状态切换到故障保护降级状态，并进入第一降级状态。第二核控制单元102作为降级状态下的一部分开始发挥作用。它负责执行特定的任务，例如获取前车轨迹信息和控制线控底盘30执行靠边停车处理。第二核控制单元102通过与车辆前方传感器50或通信系统的交互，获取前车轨迹信息。这些信息可能包括前车的位置、速度、方向等。基于获取的前车轨迹信息，第二核控制单元102制定相应的控制策略，向线控底盘30发送控制指令，以实现靠边停车处理。这可能涉及调整车辆速度、方向和操纵制动系统等。第二核控制单元102可能持续监控靠边停车处理的执行过程，并根据实时情况进行调整。这包括根据前车行驶轨迹的变化进行动态调整，以使得车辆可以安全的停车。第二核控制单元102向多核控制单元10提供靠边停车处理的实时状态信息。这有助于系统了解任务执行的进展，并在需要时采取进一步的措施。

本公开实施例提供的故障保护系统，在第一降级状态下，多核控制单元通过第二核控制单元获取前车轨迹信息，并据此控制线控底盘执行靠边停车处理。这有助于在故障发生时，使得车辆能够尽快、安全地停在道路边缘，减小潜在的危险。通过引入第一降级状态，多核控制单元能够迅速响应检测到的故障情况，并控制主状态机切换到相应的降级状态。第二核控制单元作为专门处理降级状态任务的核心，有助于在故障时迅速执行必要的控制操作，提高了故障响应速度。第二核控制单元通过获取前车轨迹信息，能够更智能地调整控制策略，以适应前车的行驶状况。这有助于在靠边停车过程中避免与前车产生碰撞，提高了停车操作的安全性。靠边停车是一种紧急操作，在第一降级状态下的响应和处理能力影响着车辆及乘客的安全。第二核控制单元的引入有助于提高系统在降级状态下的安全性，使得车辆能够按照规定程序完成停车。

在一个实施例中，还提供了一种故障保护系统，继续参见图7所示，在图1实施例故障保护系统的基础上，故障保护降级状态包括第二降级状态；第二核控制单元102，用于在第二降级状态下，向线控底盘30发送第一控制信息，第一控制信息用于控制线控底盘30采用最大减速度急刹以靠边停车。

可选的，当多核控制单元10检测到特定的故障情况或其他条件时，多核控制单元10控制主状态机从自动驾驶状态切换到第二降级状态。第二核控制单元102在第二降级状态下发挥作用。它负责执行特定的任务，即向线控底盘30发送第一控制信息，以实现最大减速度急刹。第二核控制单元102制定控制策略，向线控底盘30发送第一控制信息。这些信息包括指令，要求线控底盘30以最大减速度进行急刹操作。这是一种紧急措施，目的是尽快将车辆停下。线控底盘30接收到第一控制信息后，立即执行相应的控制动作。这可以涉及到强烈的制动操作，以使得车辆在最短时间内停下来。第二核控制单元102还可以持续监控急刹操作的执行过程，并根据实时情况进行调整。这包括提高急刹操作的稳定性和安全性。第二核控制单元102向多核控制单元10提供急刹处理的实时状态信息。这有助于系统了解任务执行的进展，并在需要时采取进一步的措施。

本公开实施例提供的故障保护系统，第二核控制单元向线控底盘发送第一控制信息，指示执行最大减速度急刹。这种紧急制动响应有助于迅速减缓车辆速度，以应对紧急情况，减小事故的可能性。在第二降级状态下，多核控制单元通过最大减速度急刹的方式，可以更迅速地使车辆停止，从而降低了潜在的危险和碰撞风险。这有助于提高车辆在故障状态下的安全性。在特定故障场景下，例如无法正常控制车辆行驶方向时，通过急刹的方式使得车辆尽快停止，有助于减小与其他道路用户的碰撞风险。急刹是一种简单而直接的紧急制动手段，通过向线控底盘发送第一控制信息，简化了在第二降级状态下的操作流程。这种直接的制动措施减少了处理复杂逻辑的需要，提高了操作的实时性。通过引入第二降级状态和第二核控制单元，以实现急刹操作，有助于多核控制单元在紧急情况下迅速采取措施，最大限度地减小事故风险。这种紧急制动操作对于在故障状态下维护车辆和乘客的安全至关重要。

在一个实施例中，还提供了一种故障保护系统，如图9所示，在图7实施例故障保护系统的基础上，故障保护系统还包括机械刹车部件40，机械刹车部件40和第二核控制单元102通信连接；

第二核控制单元102，用于在第二降级状态下向机械刹车部件40发送第二控制信息；在第二降级状态下，当需要执行特定的制动操作时，第二核控制单元102向机械刹车部件40发送第二控制信息。

其中，第二控制信息是为了实施更为紧急的制动措施，例如在无法通过线控底盘30实现急刹时采用机械刹车。第二控制信息可以包括：(1)制动力大小：以告知机械刹车部件需要施加多大的制动力。(2)制动时间：制动持续的时间，以控制刹车操作的时间长度。(3)制动模式或策略：制动的模式或策略，例如紧急制动、渐进制动等。

机械刹车部件40接收并解析来自第二核控制单元102的第二控制信息。基于接收到的第二控制信息，机械刹车部件40实施制动操作。这可能包括通过机械手段调整制动力度，以使得车辆在最短时间内停下来。

可选的，机械刹车部件40通过与第二核控制单元102建立的通信连接，接收来自第二核控制单元的第二控制信息。机械刹车部件40对接收到的第二控制信息进行解析。这包括解读控制信息中的各个参数，例如制动力度的设定值。根据第二控制信息中指定的制动力度，机械刹车部件40可以通过机械手段调整刹车系统的工作参数，以使得制动力达到期望的水平。这可以涉及到调整刹车盘与刹车片的压紧程度或其他机械装置。机械刹车部件40在调整了制动力度后，通过机械手段实施实际的制动操作。这可以包括刹车盘与刹车片的接触、制动缸的压力增加等操作，以产生所需的制动效果。如果第二控制信息中包含了最短时间内停车的要求，机械刹车部件40将努力调整制动力度以使车辆在最短时间内停下来。这可能需要迅速响应和精确的控制，以使得车辆在紧急情况下能够迅速停车。

可选的，机械刹车部件40可以持续监控制动操作的执行过程，并根据实时情况进行调整，以提高制动操作的安全性和稳定性。机械刹车部件40向第二核控制单元102提供实时制动操作的状态信息。

本公开实施例提供的故障保护系统，机械刹车部件作为附加的制动系统，通过与第二核控制单元的通信，能够在第二降级状态下实施制动，形成冗余制动系统。这提高了车辆在故障状态下的可靠性，即使电子控制系统失效，仍有机械刹车部件提供制动能力。在第二降级状态下，机械刹车部件通过接收第二核控制单元发送的第二控制信息，能够执行制动操作。这提供了一种备用方案，确保即使在特定故障情况下，车辆仍能够进行安全制动。通过引入第二降级状态、第二核控制单元和机械刹车部件，实现了三重冗余设计。第二核控制单元可以根据实时情况调整制动力度和时间，以更好地适应特定故障场景，提高了制动控制的精准性和灵活性。通过通信连接，第二核控制单元可以实时监测机械刹车部件的状态，并根据需要发送调整控制信息。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本公开实施例所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和易失性存储器中的至少一种。非易失性存储器可包括只读存储器(Read-Only Memory，ROM)、磁带、软盘、闪存或光存储器等。易失性存储器可包括随机存取存储器(Random Access Memory，RAM)或外部高速缓冲存储器。作为说明而非局限，RAM可以是多种形式，比如静态随机存取存储器(Static Random Access Memory，SRAM)或动态随机存取存储器(Dynamic Random Access Memory，DRAM)等。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本公开实施例的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本公开实施例构思的前提下，还可以做出若干变形和改进，这些都属于本公开实施例的保护范围。因此，本公开实施例专利的保护范围应以所附权利要求为准。

Claims (12)

1.一种故障保护方法，其特征在于，所述方法包括：

在编队自动驾驶状态下，进行故障检测；

在检测到预设故障的情况下，控制主状态机从自动驾驶状态进入故障保护降级状态，并在所述故障保护降级状态下控制线控底盘执行靠边停车处理；其中，所述预设故障包括自动驾驶控制器失效和线控底盘失效中的至少一种。

2.根据权利要求1所述的方法，其特征在于，所述故障保护降级状态包括第一降级状态，所述控制主状态机从自动驾驶状态进入故障保护降级状态，并在所述故障保护降级状态下控制线控底盘执行靠边停车处理，包括：

在车辆上的外接传感器和控制单元均正常工作的情况下，控制所述主状态机从所述自动驾驶状态进入第一降级状态；

在所述第一降级状态下获取前车轨迹信息，并根据所述前车轨迹信息控制所述线控底盘执行所述靠边停车处理。

3.根据权利要求2所述的方法，其特征在于，所述获取前车轨迹信息，并根据所述前车轨迹信息控制所述线控底盘执行所述靠边停车处理，包括：

向前车发送故障通知信息；所述故障通知信息用于指示所述前车执行靠边停车处理并返回所述前车轨迹信息；

接收所述前车轨迹信息，并根据所述前车轨迹信息控制所述线控底盘执行所述靠边停车处理。

4.根据权利要求1所述的方法，其特征在于，所述故障保护降级状态包括第二降级状态，所述控制主状态机从自动驾驶状态进入故障保护降级状态，并在所述故障保护降级状态下控制线控底盘执行靠边停车处理，包括：

在车辆上的外接传感器异常和/或控制单元异常的情况下，控制所述主状态机从所述自动驾驶状态进入所述第二降级状态；

在所述第二降级状态下向所述线控底盘发送第一控制信息，所述第一控制信息用于控制所述线控底盘采用最大减速度急刹以靠边停车。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

在所述第二降级状态下向机械刹车部件发送第二控制信息，所述第二控制信息用于控制所述机械刹车部件实施制动。

6.根据权利要求4-5任一项所述的方法，其特征在于，所述方法还包括：

在所述第二降级状态下输出提示信息，所述提示信息至少包括警示灯提醒。

7.一种故障保护系统，其特征在于，所述故障保护系统包括多核控制单元、自动驾驶控制器和线控底盘；所述多核控制单元分别与所述自动驾驶控制器和所述线控底盘通信连接；

所述多核控制单元，用于进行故障检测，在检测到预设故障的情况下，控制主状态机从自动驾驶状态进入故障保护降级状态，并在所述故障保护降级状态下向所述线控底盘发送控制信息；其中，所述预设故障包括自动驾驶控制器失效和线控底盘失效中的至少一种；

所述线控底盘，用于根据所述控制信息执行靠边停车处理。

8.根据权利要求7所述的故障保护系统，其特征在于，所述多核控制单元包括第一核控制单元和第二核控制单元；所述第一核控制单元与所述第二核控制单元通信连接；

所述第一核控制单元，用于传递上下行数据和控制所述主状态机进行状态跳转；

所述第二核控制单元，用于在所述故障保护降级状态下向所述线控底盘发送所述控制信息，控制所述线控底盘执行所述靠边停车处理。

9.根据权利要求8所述的故障保护系统，其特征在于，所述故障保护降级状态包括第一降级状态；

所述第二核控制单元，用于在所述第一降级状态下，获取前车轨迹信息，并根据所述前车轨迹信息控制所述线控底盘执行所述靠边停车处理。

10.根据权利要求8所述的故障保护系统，其特征在于，所述故障保护降级状态包括第二降级状态；

所述第二核控制单元，用于在所述第二降级状态下，向所述线控底盘发送第一控制信息，所述第一控制信息用于控制所述线控底盘采用最大减速度急刹以靠边停车。

11.根据权利要求8所述的故障保护系统，其特征在于，所述故障保护系统还包括机械刹车部件，所述机械刹车部件和所述第二核控制单元通信连接；

所述第二核控制单元，用于在所述第二降级状态下向所述机械刹车部件发送第二控制信息；

所述机械刹车部件，用于接收所述第二控制信息，并根据所述第二控制信息实施制动。

12.一种车辆，其特征在于，所述车辆包括如权利要求7-11任一项所述的故障保护系统。