ES2663385T3

ES2663385T3 - Sistema de mando de vehículo en modo autónomo y vehículo que comprende tal sistema de mando

Info

Publication number: ES2663385T3
Application number: ES13719980.8T
Authority: ES
Inventors: Nicoleta MINOIU-ENACHE
Original assignee: Renault SAS
Current assignee: Renault SAS
Priority date: 2012-04-05
Filing date: 2013-04-04
Publication date: 2018-04-12
Anticipated expiration: 2033-04-04
Also published as: WO2013150244A1; US20150134178A1; FR2989047A1; KR20140144267A; FR2989047B1; EP2834119B1; US9399472B2; EP2834119A1; JP2015518447A; JP6320991B2; KR102050937B1

Abstract

Sistema de mando de un vehículo que incluye: - órganos de mando humano (5-9) que generan señales de pilotaje manual (555-559) de actuadores (25-29) del vehículo; - un módulo de mando automático (1) que genera señales de pilotaje autónomo (455-459) de dichos actuadores del vehículo; - un módulo de conmutación (500) establecido para seleccionar dichas señales de pilotaje manual en un modo de funcionamiento manual y dichas señales de pilotaje autónomo en un modo de funcionamiento autónomo; comprendiendo el módulo de mando automático (1): - un bloque de elaboración automática (2) de al menos una señal de pilotaje autónomo calculada (64, 74, 84, 94, 95); - un bloque encargado de la seguridad (400) establecido para transmitir al módulo de conmutación (500) dicha al menos una señal de pilotaje autónomo calculada en un caso de funcionamiento autónomo normal y una señal de pilotaje autónomo de emergencia en un caso de funcionamiento autónomo anómalo.

Description

5

10

15

20

25

30

35

40

45

50

DESCRIPCION

Sistema de mando de vehículo en modo autónomo y vehículo que comprende tal sistema de mando

La invención se refiere a un sistema de mando de vehículo en modo autónomo y a un vehículo que comprende tal sistema de mando.

La invención tiene especial aplicación en un vehículo de serie habitualmente previsto para funcionar convencionalmente en modo manual, dicho de otro modo, con posibilidad de ser conducido por un ser humano. La invención permite construir vehículos en serie con un segundo modo de funcionamiento llamado autónomo, en el que el vehículo, a la manera de un robot, es capaz de operar sin conductor humano. Estos dos modos de funcionamiento permiten la realización de numerosos servicios, como por ejemplo, un servicio de aparcamiento automatizado, un servicio aparcacoches, un servicio de recarga automática de batería para un vehículo de propulsión eléctrica e incluso de llenado de combustible para un vehículo de propulsión térmica cuando ello es posible, un servicio de desplazamiento sin conductor de personas con movilidad reducida, un servicio de reequilibrado de flotas de vehículos de alquiler mediante el agrupamiento.

Hay, a día de hoy, numerosos requisitos técnicos presentes para poner en servicio vehículos autónomos con un alto nivel de automatización o bimodales, es decir, autónomos y manuales. Sin embargo, no deja de ser difícil un uso público o una comercialización de tales vehículos, debido especialmente a las imposiciones de fiabilidad y de precio.

Entre los conocimientos del estado de la técnica anterior, el documento US 5469356 da a conocer un sistema de control automático, por una parte, de funcionamiento autónomo de vehículo como respuesta a una consigna de velocidad y un ángulo de viraje con origen en un navegador y, por otra, de funcionamiento manual. El sistema de control recibe una información de alternancia entre modo automático y modo manual con origen en un botón situado dentro de la cabina y en un botón situado en el exterior de la cabina de conducción del vehículo.

El documento US 8078349 da a conocer un vehículo autónomo que comprende un módulo de control para poner el vehículo en modo autónomo ejecutando una instrucción de paso a modo autónomo basada en un dato de referencia asociado a un detector de sistema de referencia de localización del vehículo.

Ninguno de estos dos documentos de que se tiene conocimiento prevé un comportamiento que haya de ponerse en práctica en caso de situación imprevista. Esta carencia de consideración de situación imprevista plantea un problema de seguridad y un problema de fiabilidad cuando el vehículo está en modo de marcha autónoma.

La invención tiene por finalidad dar respuesta a los problemas planteados por el estado de la técnica anterior, especialmente en cuanto a seguridad en caso de situación imprevista.

Para este propósito, la invención tiene por objeto un sistema de mando de un vehículo que incluye:

- órganos de mando humano que generan señales de pilotaje manual de actuadores del vehículo;

- un módulo de mando automático que genera señales de pilotaje autónomo de los actuadores del vehículo;

- un módulo de conmutación establecido para seleccionar las señales de pilotaje manual en un modo de

funcionamiento manual y las señales de pilotaje autónomo en un modo de funcionamiento autónomo.

El sistema de mando es destacable por que el módulo de mando automático comprende:

- un bloque de elaboración automática de al menos una señal de pilotaje autónomo calculada;

- un bloque encargado de la seguridad establecido para transmitir al módulo de conmutación al menos la

señal de pilotaje autónomo calculada en un caso de funcionamiento autónomo normal y una señal de pilotaje autónomo de emergencia en un caso de funcionamiento autónomo anómalo.

Ventajosamente, el módulo de mando automático incluye un bloque de supervisión que alberga una máquina global de estados finitos que comprende un primer estado global asociado al modo de funcionamiento manual y un segundo estado global asociado al modo de funcionamiento autónomo, al objeto de enviar al módulo de conmutación al menos una señal de selección de las señales de pilotaje manual y autónomo.

Particularmente, la máquina global de estados finitos comprende un tercer estado global asociado al caso de funcionamiento autónomo anómalo, al objeto de enviar al bloque encargado de la seguridad al menos una señal de frenado de emergencia.

También particularmente, el módulo de mando automático incluye un bloque de diagnóstico establecido para detectar todo suceso asociado a un caso de funcionamiento autónomo anómalo y para enviar al menos una señal al bloque de supervisión representativa de los casos de funcionamiento autónomo normal y anómalo.

De manera particularmente ventajosa, el bloque de elaboración automática incluye un sub-bloque de control / mando

2

5

10

15

20

25

30

35

40

45

que alberga una máquina local de estados finitos que comprende un primer estado local asociado a un arranque autónomo y un segundo estado local asociado a una inmovilización autónoma.

Preferentemente, el sistema de mando incluye un módulo de navegación y/o de localización establecido para enviar en tiempo real, al bloque de elaboración automática, coordenadas de trayectoria expresadas en un sistema de referencia local del vehículo.

También es objeto de la invención un procedimiento de mando de un vehículo que incluye:

- una o varias etapas de modo manual en la o las que unos órganos de mando humano generan señales de pilotaje manual de actuadores del vehículo;

- una o varias etapas de modo autónomo en la o las que se generan señales de pilotaje autónomo que son conmutadas hacia dichos actuadores del vehículo en lugar de las señales de pilotaje manual.

El procedimiento es destacable por que las etapas de modo autónomo comprenden:

- una etapa de modo autónomo normal ejecutada en un caso de funcionamiento autónomo normal y en la que las señales de pilotaje autónomo comprenden al menos una señal de pilotaje autónomo calculada;

- una etapa de modo autónomo de emergencia ejecutada en un caso de funcionamiento autónomo anómalo y en la que las señales de pilotaje autónomo comprenden al menos una señal de pilotaje autónomo de emergencia.

De manera ventajosa, el procedimiento de mando comprende:

- al menos una primera etapa para efectuar un arranque autónomo;

- al menos una segunda etapa para efectuar una inmovilización autónoma.

Es también objeto de la invención un producto programa de ordenador que comprende instrucciones para llevar a la práctica el procedimiento según la invención cuando son ejecutadas por un ordenador.

Finalmente, la invención tiene por objeto un vehículo automóvil que comprende un sistema de mando según la invención.

Otras características y ventajas se irán poniendo de manifiesto con la lectura de la descripción que sigue, con referencia a los dibujos que se acompañan, en los cuales:

la figura 1 es un esquema de sistema conforme a la invención,

la figura 2 muestra un módulo de mando conforme a la invención y

las figuras 3 y 4 muestran cada una de ellas una máquina de estados finitos en el interior del módulo de mando representado en la figura 2.

La figura 1 ilustra un sistema de mando de un vehículo 11 conforme a la invención.

En ella se observa un conjunto de órganos de mando humano que comprenden un volante de dirección 6, una palanca de cambios 7 con al menos tres posiciones, retroceso, neutro, desplazamiento, un pedal de acelerador 9, un pedal de freno 5 y un botón de freno de aparcamiento 8. Cada uno de los órganos de mando humano, representados en este punto a título puramente ilustrativo y en modo alguno exhaustivo, genera una o varias señales de pilotaje manual de al menos uno de varios actuadores 25 a 29 del vehículo 11.

El volante de dirección 6 está dotado, de manera conocida, de un sensor de giro (no representado) para generar una señal de pilotaje manual 556 destinada a un servomotor de dirección asistida 26 que vira las ruedas en función de una referencia de par de viraje dado por la señal de pilotaje manual 556, en forma digital o analógica.

El pedal de acelerador 9 está dotado, de manera conocida, de un sensor de carrera (no representado) para generar una señal de pilotaje manual 559 de tipo continuo, en forma digital o analógica, destinada a un grupo motopropulsor 29. En un ejemplo de grupo motopropulsor térmico, la señal de pilotaje manual 559 está destinada más concretamente al dispositivo de inyección electrónica. En un ejemplo de grupo motopropulsor eléctrico, la señal de pilotaje manual 559 está destinada más concretamente al dispositivo de mando electrónico de alimentación de potencia eléctrica.

La palanca de cambios 7 está dotada, de manera conocida, de un sensor de posición (no representado) para generar una señal de pilotaje manual 557 destinada al dispositivo de acoplamiento mecánico 27. En el ejemplo de grupo motopropulsor térmico, el dispositivo de acoplamiento mecánico 27 es, a título puramente ilustrativo, una caja de cambios automática o al menos robotizada. En el ejemplo de grupo motopropulsor eléctrico, el dispositivo de

5

10

15

20

25

30

35

40

45

50

55

acoplamiento mecánico 27 es, a título puramente ilustrativo, un simple reductor de engranajes que, entonces, no recibe la señal 557. La señal de pilotaje manual 557 es enviada a un computador EVC (acrónimo de Electrical Vehicle Control, en inglés), que gestiona adecuadamente el motor eléctrico de manera en sí conocida. La señal de pilotaje manual 557 es típicamente de valores discretos R, N, D, correspondiendo cada uno de ellos a una de las al menos tres posiciones marcha atrás, neutro, desplazamiento.

El pedal de freno 5 está dotado, de manera conocida, de un sensor de carrera (no representado) para generar una señal de pilotaje manual 555 de tipo continuo, en forma digital o analógica, destinada a comunicar un valor de presión de apriete a un dispositivo de frenado hidráulica 25.

El botón de freno de aparcamiento 8 genera una señal de pilotaje manual 558 de tipo discreto, típicamente binaria, destinada a comunicar una orden de apriete a un dispositivo de freno de aparcamiento 28.

Un módulo de mando automático 1 genera señales de pilotaje autónomo 455, 456, 457, 458, 459 respectivamente de la misma naturaleza que las señales de pilotaje manual 555, 556, 557, 558, 559 para pilotar los actuadores 25, 26, 27, 28, 29 del vehículo.

Un módulo de conmutación 500 comprende un conmutador 505, respectivamente 506, 507, 508, 509, para conmutar la señal de pilotaje manual 555, respectivamente 556, 557, 558, 559, a una señal de pilotaje bimodal 655, respectivamente 656, 657, 658, 659 en funcionamiento manual, y para conmutar la señal de pilotaje autónomo 455, respectivamente 456, 457, 458, 459, a la señal de pilotaje bimodal 655, respectivamente 656, 657, 658, 659, en funcionamiento autónomo. Cada una de las señales de pilotaje bimodal 655, 656, 657, 658, 659 está conectada al correspondiente actuador 25, 26, 27, 28, 29. Con preferencia a conmutadores manuales que ya permiten establecer el módulo 500 para seleccionar manualmente las señales de pilotaje manual en un modo de funcionamiento manual y las señales de pilotaje autónomo en un modo de funcionamiento autónomo, conmutadores gobernados tales como relés o transistores permiten una conmutación controlada del modo de funcionamiento manual al modo de funcionamiento autónomo y recíprocamente. Cuando las señales 455 a 459 se transmiten al módulo de conmutación 500 por el bus CAN dedicado, los conmutadores 505 a 509 se realizan mediante un mecanismo de direccionamiento informático, asignándose un primer conjunto de celdas de memoria a las señales 555 a 559, asignándose un segundo conjunto de celdas de memoria a las señales 455 a 459 y asignándose un tercer conjunto de celdas de memoria a las señales 655 a 659.

El módulo de conmutación 500 es ventajosamente un dispositivo electrónico de tipo computador o tarjeta electrónica que, mediante mandos electrónicos y alámbricos, está programado o cableado para ejecutar conmutaciones entre los mandatos que puedan venir del conductor y los mandatos que vengan de un computador que alberga el módulo de mando automático 1 y viceversa. Estos mandatos están destinados a los actuadores del coche, que especialmente comprenden los relativos a la columna de dirección 26, al freno 25, a la aceleración 29, al freno de aparcamiento asistido 28, a la palanca de cambios 7 dotada, en este caso, de un servomotor, y a diversos accesorios no representados.

De este modo, el módulo de conmutación 500 tiene el efecto de imponer a los actuadores del coche que tengan un cierto comportamiento cuando los mandatos que vienen del computador que alberga el módulo 1 están activos.

Los intercambios de señales entre los diferentes módulos se representan en forma alámbrica en las figuras 1 y 2. Sin embargo, es interesante dedicar un bus de comunicaciones, por ejemplo de tipo CAN u otro, específicamente dedicado a la comunicación entre diferentes computadores o dispositivos electrónicos que albergan el módulo de mando automático 1, el módulo de conmutación 500 y otros módulos de puesta en práctica del funcionamiento autónomo del vehículo automóvil tales como, por ejemplo, un módulo de navegación / localización 30.

De este modo, el bus de comunicaciones dedicado no interfiere con el bus de comunicaciones de vehículo 10 usual, el cual, entonces, no precisa ser modificado para llevar la invención en un vehículo estándar. El bus de comunicaciones de vehículo 10, por lo demás, permite al módulo de mando automático 1, albergado en un computador o en cualquier otro dispositivo electrónico, acceder en lectura a diferentes datos del vehículo que de manera habitual circulan por el bus 10, especialmente la velocidad efectiva del vehículo, el ángulo de viraje efectivo de las ruedas.

Se describe ahora con mayor detalle el módulo de mando automático 1 con referencia a la figura 2.

Un bloque de elaboración automática 2 de señales de pilotaje autónomo calculadas 64, 74, 84, 94, 95 comprende al menos un componente de cálculo 60, 70, 80, 90 de una señal de pilotaje autónomo.

El componente 60 se establece para calcular la señal 64 que permite al actuador 26 virar las ruedas motrices en función de una consigna de ángulo, por ejemplo de una consigna de ángulo de giro del volante 6. Para calcular la señal 64, el componente 60 recibe una señal de consigna de ángulo 56 con origen en un sub-bloque de control- mando de trayectoria 50 y una señal de medida de ángulo de volante 16 mediante un sensor de ángulo existente en correspondencia con la columna de dirección 6, 26 y enviada en el bus CAN 10, o de un sensor de ángulo añadido sobre la columna de dirección 6, 26. El componente 60 calcula entonces de manera conocida, en cuanto a

5

10

15

20

25

30

35

40

45

50

regulación, un par de viraje que, aplicado al actuador 26, anula un error de ángulo entre los valores de las señales 16 y 56. El par de viraje calculado en tiempo real es entonces el que permite conseguir y mantener un ángulo de viraje deseado de las ruedas. El valor del par calculado es referido en tiempo real dentro de la señal de pilotaje 64. Cuando la columna de dirección 6, 26 comprende un servocontrol de giro sobre una consigna de ángulo, el componente refiere en tiempo real un valor de ángulo dentro de la señal de pilotaje 64 que se calcula, en este caso, a partir de la señal 56 sin tener que leer la señal 16 en el bus 10.

El componente 70 se establece para calcular la señal 74 que permite al actuador 27 posicionarse en orden a transmitir o no transmitir una potencia del grupo motopropulsor 29 a las ruedas, al objeto de hacer progresar el vehículo marcha atrás, marcha adelante o en rueda libre. La señal 74 es, por ejemplo, una señal ternaria, cada uno de cuyos tres valores R, N, D se calcula en un orden lógico a partir de una señal 57 con origen en el sub-bloque de control-mando de trayectoria 50.

El componente 80 se establece para calcular la señal 84 que permite al actuador 28 apretar y soltar el freno de mano. La señal 84 es, por ejemplo, una señal binaria calculada lógicamente a partir de una señal 58 con origen en el sub-bloque de control-mando de trayectoria 50.

El componente 90 se establece para calcular una señal 94 que permite al actuador 29 acelerar y desacelerar el vehículo y una señal 95 que permite al actuador 25 frenar el vehículo. El componente 90 recibe una señal 59 que da en tiempo real un valor de consigna de velocidad v* con origen en el sub-bloque de control-mando de trayectoria 50. El componente 90 lee, por otra parte, en el bus CAN 10 del vehículo un valor de velocidad efectiva medido en tiempo real y disponible en una señal 19 en el bus CAN del vehículo. El componente 90 calcula en tiempo real un par de aceleración y de frenado para alcanzar la consigna de velocidad v*. El componente 90 calcula asimismo en tiempo real una señal de frenado hidráulico 95 de las ruedas, por ejemplo en cuanto la velocidad del vehículo es nula, para poner en seguro el vehículo pese a una posible pendiente.

El sub-bloque 50 recibe una señal 35 con origen en el módulo de navegación / localización 30. La señal 35 contiene una consigna de trayectoria, por ejemplo en forma vectorial de tres componentes que comprenden dos coordenadas espaciales x*, y* y una velocidad v*. Las consignas de coordenadas espaciales x*, y* y de velocidad v* se expresan en un sistema de referencia ligado al vehículo. El sub-bloque 50 calcula en tiempo real el ángulo de las ruedas y la velocidad necesaria para seguir la consigna de trayectoria recibida del módulo 30. El sub-bloque 50 también accede en lectura al bus 10 para recibir, en una trama de mensaje o de señal 15, datos del vehículo necesarios o útiles para calcular las señales 56 a 59. A título puramente ilustrativo y no exhaustivo, cabe citar los datos relativos al diámetro de las ruedas, a una detección de obstáculo, a una relación de pendiente de la calzada, a la relación de caja de cambios en el caso particular de un motor térmico o al flujo de excitación en el caso de un motor eléctrico.

El módulo de navegación / localización 30 es un dispositivo electrónico exterior al módulo 1, preferentemente un computador que contiene un programa de cálculo de la consigna de trayectoria del vehículo y que se comunica con el módulo 1 por medio del bus CAN dedicado. Para calcular la consigna de trayectoria del vehículo, el módulo de navegación / localización 30 dispone, de manera conocida por lo demás, de una cartografía del entorno del vehículo, de un mecanismo eudiométrico de modelización en tiempo real de la evolución de la posición del vehículo, de sensores y/o de varias cámaras.

Los componentes 60, 70, 80, 90 están reunidos en un sub-bloque de cálculo 3 de valores de señales de pilotaje autónomo del vehículo. El sub-bloque 3 está supervisado por un sub-bloque de control / mando 40 por medio de una o varias señales de secuenciación 46 de los cálculos.

El sub-bloque de control / mando 40 alberga una máquina local de estados finitos que ahora se explica con referencia a la figura 3.

Una etapa inicial 341 es activada mediante puesta en tensión del módulo 1.

Una transición 342 es validada mediante una combinación de dos condiciones. Una primera condición está ligada a una señal 34 con origen en un bloque de supervisión 300 cuando su valor indica una instrucción de arranque autónomo, especialmente tras una parada prolongada. Una segunda condición está ligada a un valor no nulo de la consigna de velocidad v* con origen en el módulo de navegación / localización 30.

Una validación de la transición 342 activa una sucesión de tres etapas 343 a 345.

La etapa 343 consiste esencialmente en ordenar un apriete de freno hidráulico al sub-bloque de cálculo 3 de valores de señales de pilotaje autónomo del vehículo.

La etapa 344 consiste esencialmente en ordenar una suelta de freno de mano al sub-bloque de cálculo 3 de valores de señales de pilotaje autónomo del vehículo.

La etapa 345 consiste esencialmente en ordenar un paso del actuador 27, de la posición neutra N a la posición de desplazamiento D, al sub-bloque de cálculo 3 de valores de señales de pilotaje autónomo del vehículo.

5

10

15

20

25

30

35

40

45

50

La máquina local de estados finitos regresa a continuación a la etapa inicial 341, dejando el turno al sub-bloque de cálculo 3 de valores de señales de pilotaje autónomo para acelerar el vehículo y hacerle seguir la consigna de trayectoria. Este encadenamiento garantiza que el vehículo se halle todo el tiempo en una situación segura y no se desplace sin autorización, a causa, por ejemplo, de la pendiente.

Una transición 346 es validada mediante una combinación de otras dos condiciones. Otra primera condición está ligada a la señal 34 con origen en el bloque de supervisión 300, cuando su valor indica una instrucción de inmovilización autónoma o de puesta en seguro del vehículo, especialmente en vistas a una parada prolongada. Otra segunda condición está ligada a un valor nulo de la consigna de velocidad v* con origen en el módulo de navegación / localización 30 y en situación de parada del vehículo (velocidad medida nula).

Una validación de la transición 346 activa una sucesión de tres etapas 347 a 349.

La etapa 347 consiste esencialmente en ordenar un paso del actuador 27, de la posición de desplazamiento Da la posición neutra N, al sub-bloque de cálculo 3 de valores de señales de pilotaje autónomo del vehículo.

La etapa 348 consiste esencialmente en ordenar un apriete de freno de mano al sub-bloque de cálculo 3 de valores de señales de pilotaje autónomo del vehículo.

La etapa 349 consiste esencialmente en ordenar una suelta de freno hidráulico al sub-bloque de cálculo 3 de valores de señales de pilotaje autónomo del vehículo.

La máquina local de estados finitos regresa a continuación a la etapa inicial 341, en espera de una nueva instrucción de arranque.

Este encadenamiento garantiza aún más que el vehículo se halle todo el tiempo en una situación segura y no se desplace sin autorización, por ejemplo a causa de la pendiente.

El bloque 2 envía las señales de pilotaje autónomo calculadas 64, 74, 84, 94, 95 a un bloque encargado de la seguridad 400 que pasamos a describir seguidamente.

El bloque encargado de la seguridad 400 está supervisado por el bloque de supervisión por medio de una o varias señales de selección 340 de señales de pilotaje autónomo que habrán de transmitirse al módulo de conmutación 500.

Cuando un valor de señal de selección 340 indica una parada de emergencia automática, generalmente ligada a un caso de funcionamiento autónomo anómalo, el bloque encargado de la seguridad 400 transmite al módulo de conmutación 500 una o varias señales de pilotaje autónomo 455 a 459 que retranscriben cada una de ellas una señal de pilotaje autónomo de emergencia.

La señal de pilotaje autónomo 456 retranscribe la señal 64 tal como la entrega el componente 60, al objeto de mantener el valor de ángulo de viraje tal y como resulta de la navegación.

La señal de pilotaje autónomo 457 retranscribe un forzamiento a la posición neutra N del actuador 27, en orden a no transmitir potencia del grupo motopropulsor 29 a las ruedas.

La señal de pilotaje autónomo 458 retranscribe un forzamiento contenido, por ejemplo, en memoria, que impone al actuador 28 apretar el freno de mano.

Las señales de pilotaje autónomo 459, 455 retranscriben un forzamiento de valores contenidos, por ejemplo, en memoria, que reproducen un valor nulo de aceleración del vehículo y que imponen al actuador 25 frenar el vehículo.

Cuando el valor de señal de selección 340 no indica una parada de emergencia automática que es representativa de un caso de funcionamiento autónomo anómalo, sino una orden de marcha que es representativa de un caso de funcionamiento autónomo normal, el bloque encargado de la seguridad 400 transmite al módulo de conmutación 500 las señales de pilotaje autónomo 456, 457, 458, 459, 455 que respectivamente retranscriben las señales de pilotaje autónomo 64, 74, 84, 94, 95 con origen en el bloque 2.

De este modo, el bloque encargado de la seguridad 400 se establece para transmitir al módulo de conmutación 500 las señales de pilotaje autónomo calculadas en el caso de funcionamiento autónomo normal y las señales de pilotaje autónomo de emergencia en el caso de funcionamiento autónomo anómalo.

Se apreciará que el bloque encargado de la seguridad 400 es el guardián de las salidas del módulo 1. Todas las salidas pasan por el bloque encargado de la seguridad 400 antes de ser enviadas, a título de ejemplo, por el bus CAN dedicado, al módulo de conmutación 500.

Puede añadirse a la primera función del bloque encargado de la seguridad 400 antes descrita una segunda función que está referida a una separación completa de los modos de funcionamiento manual, relativo a la conducción manual, y de funcionamiento autónomo, relativo a la conducción automática.

6

5

10

15

20

25

30

35

40

45

50

55

Cuando el valor de señal de selección 340 no indica ni una parada de emergencia automática ni una orden de marcha en modo autónomo, las señales 459, 455, 456, 458, 457 respectivamente relativas a las salidas para los actuadores de aceleración, frenado, dirección, freno y RND se posicionan en valores no definidos, dicho de otro modo, en valores no interpretables por los actuadores, por ejemplo un valor fuera del intervalo de funcionamiento del actuador. De esta manera, el módulo de conmutación 500 no puede equivocarse y mandar un funcionamiento automático fuera de los casos previstos. Dicho de otro modo, aun si el módulo de conmutación reproduce por error una de las señales 455 a 459 en una de las señales 655 a 659 mientras que el módulo 1 no está en modo de funcionamiento autónomo, el valor de la señal, así incompatible con el funcionamiento del respectivo actuador, es detectado para quedar invalidado o, preferentemente, para desencadenar una parada de emergencia extrema, hasta hacer frenar en seco el vehículo.

En la forma de puesta en práctica de la invención ilustrada mediante la figura 2, el módulo de conmutación 500 está gobernado por una señal de selección 250 con origen en el módulo de mando automático 1, más en particular, en un bloque de supervisión 300 que alberga una máquina global de estados finitos que seguidamente se explica con referencia a la figura 4.

La puesta en tensión del módulo de mando automático 1 posiciona la máquina global en una etapa inicial 301. En la etapa inicial 301, el módulo de mando automático 1 se halla en un estado durmiente (sleeping).

Una transición de activación 302 es validada cuando una señal 130 con origen en un bloque de diagnóstico 100 indica un buen estado de salud de dispositivos y de medios de control constantemente comprobados por el bloque de diagnóstico 100 y cuando el módulo maestro 20 solicita esta transmisión.

Los dispositivos comprobados comprenden esencialmente el bus CAN 10 de comunicaciones con el resto del vehículo, el o los enlaces con el módulo de conmutación 500, los actuadores que efectúan el desplazamiento del vehículo (freno, aceleración, sistema de dirección, freno de aparcamiento asistido).

Los medios de control comprobados comprenden esencialmente aquellos relativos al ángulo de viraje (ángulo de viraje demandado frente al ángulo de viraje medido), aquellos relativos a la velocidad (velocidad deseada frente a la velocidad medida) y aquellos relativos a la trayectoria (trayectoria deseada frente a la trayectoria real).

En caso de mal funcionamiento advertido por el bloque de diagnóstico 100 en uno de los dispositivos o de los medios de control mencionados, la máquina global desencadena un estado de excepción del módulo de mando automático 1, realizado, por ejemplo, mediante una etapa 311 explicada más adelante en la descripción.

Una validación de la transición 302 activa una etapa 303 de paso a modo de espera (standby) del módulo de mando automático 1. Las etapas 301 y 303 corresponden a un estado de la máquina global, asociado a priori al modo de funcionamiento manual.

Una transición de modo autónomo 304 es validada cuando una señal 236 con origen en un bloque de autorización de activación de control automático 200 indica que el módulo de mando 1 tiene comunicación establecida, por ejemplo mediante una señal 120, con cada uno de los otros módulos 20, 30 necesarios para el modo de funcionamiento autónomo, que el vehículo está parado, con el freno de mano apretado y, de ser posible, con la palanca de cambios en posición neutra, y cuando el módulo maestro 20 solicita esta transición.

Son necesarias las condiciones de velocidad nula del vehículo, de freno de aparcamiento asistido apretado, de posición neutra de la transmisión y de estado del motor listo para arrancar, verificadas por el bloque de autorización de activación de control automático 200, para poder activar el control autónomo del vehículo. Si no se cumple al menos una de entre estas condiciones, no se puede activar el control autónomo del vehículo.

Por otro lado, el bloque 300 recibe información con origen en el bloque de autorización de activación de control automático 200 que, en función del estado del vehículo obtenido mediante la señal 120 y del diagnóstico obtenido mediante una señal 12 con origen en el bloque 100, puede impedir la activación del control autónomo.

Una validación de la transición 304 activa una etapa de preparación 305 del módulo de mando 1 para empezar el control autónomo del vehículo. La etapa de preparación 305 del módulo de mando 1 consiste esencialmente en enviar la señal 250 al módulo de conmutación 500, al objeto de seleccionar las señales de pilotaje manual 455 a 459 para conmutarlas a las señales de pilotaje de los actuadores 655 a 659, en enviar la señal 340 al bloque encargado de la seguridad 400, al objeto de reproducir las señales de pilotaje autónomo calculadas 64, 74, 84, 94, 95 en las señales de pilotaje autónomo 456, 457, 458, 459, 455 y, si aún no es así, en poner la palanca de cambios en posición neutra N.

Una transición 306 es validada cuando el módulo de mando 1 está preparado y, en el ejemplo de puesta en práctica de la invención ilustrado mediante la figura 2, cuando, además, un módulo maestro 20 envía al bloque de supervisión 300 una señal de puesta en funcionamiento (working) 235 del módulo de mando 1 para efectuar el control autónomo del vehículo. El módulo maestro es, por ejemplo, un computador que gestiona las fases de vida de aquellos de los computadores que permiten el funcionamiento del vehículo 11 bimodal.

5

10

15

20

25

30

35

40

45

50

Una validación de la transición 306 activa una etapa de arranque autónomo 307 que consiste esencialmente en enviar la señal 34 al sub-bloque de control / mando 40, al objeto de o, dicho de otro modo, con un valor a propósito para, validar la transición 342 de la máquina local de estados finitos.

Una transición 308 es validada cuando el módulo maestro 20 envía al bloque de supervisión 300 la señal 235 posicionada en un valor de cese de funcionamiento (out of working) del módulo de mando 1, al objeto de detener el control autónomo del vehículo, dicho de otro modo, de pasar de nuevo a modo manual.

Una validación de la transición 308 activa una etapa de verificación 309 antes del paso y del establecimiento en situación de paso a modo manual. La etapa 309 consiste esencialmente en verificar que la velocidad del vehículo es nula, de ser posible con el freno hidráulico apretado, y en enviar la señal 34 al bloque de control / mando 40, al objeto de o, dicho de otro modo, con un valor a propósito para, validar la transición 346 de la máquina local de estados finitos.

Las etapas 307 y 309 corresponden a un estado de la máquina global, asociado al modo de funcionamiento autónomo, más concretamente al modo de funcionamiento autónomo normal.

Una transición de alarma 310 es validada cuando el módulo maestro 20 envía al bloque de supervisión 300 una señal de petición de parada de emergencia 234 y/o cuando el bloque de diagnóstico 100 envía, al bloque de supervisión 300, información de diagnóstico que puede desencadenar un estado degradado de Excepción.

Una validación de la transición 310, a partir de la etapa 307 o de la etapa 309, activa una etapa 311 que consiste esencialmente, bien, si no se detecta ningún error interno, en generar la señal 340 con un valor que manda al bloque 400 que transmita al módulo de conmutación 500 una señal de pilotaje autónomo de emergencia, o bien, si se detecta un error interno, en asistir al módulo maestro 20 para que solicite al módulo 500 una señal de pilotaje autónomo de emergencia. Este enfoque cubre la situación en la que la aparición de un error impide al sub-bloque 50 ejercer estas funciones. La etapa 311 en modo de emergencia corresponde a un estado de la máquina global, asociado al modo de funcionamiento autónomo, más concretamente a un modo de funcionamiento autónomo anómalo.

De este modo, un mandato de parada de emergencia que viene del maestro 20, en el exterior del módulo 1, se ejecuta sin demora, cortocircuitando bloques de cálculo interno del módulo de mando. El bloque de diagnóstico 100, interno al módulo 1, comprueba permanentemente su estado de salud, en orden a poder señalizar malos funcionamientos al módulo maestro 20 en el exterior y poner el módulo 1 en estado de excepción.

Una transición 312 es validada a continuación de la etapa 309 o de la etapa 311 cuando el vehículo está inmovilizado, dicho de otro modo, cuando la velocidad del vehículo se detecta nula.

Una validación de la transición 312 activa una etapa de paso a modo manual 313. En la etapa 313, el bloque de supervisión 300 posiciona el valor de la señal 340 en orden a mandar al sub-bloque 3 que ponga unos valores fuera del intervalo de definición en las señales de pilotaje 64, 74, 84, 94, 95. De este modo, las salidas del módulo 1 se atribuyen en valores fijos o variables de una manera que garantiza una no interferencia de modo manual y autónomo.

Por otra parte, el bloque de supervisión 300 posiciona el valor de la señal 250 en orden a mandar al módulo de conmutación 500 que conmute las señales 555 a 559 a las señales 505 a 509. Se hace notar que, en ausencia de señal 250, en el caso, por ejemplo, en que el módulo 1 está sin tensión, las señales 555 a 559 se conmutan por defecto a las señales 505 a 509.

La etapa 313 corresponde a un estado de la máquina global asociado al modo de funcionamiento manual.

De este modo, la máquina global de estados finitos recibe órdenes del módulo maestro 20 para secuenciar el funcionamiento del módulo de mando 1 y la conmutación de las señales de pilotaje en el módulo 500, para pasar del modo de conducción manual hacia un modo de conducción automatizado o autónomo, y recíprocamente.

De esta manera, el funcionamiento del módulo de mando automático 1 está secuenciado por el módulo maestro 20 externo al módulo de mando y por el bloque de supervisión 300 interno al módulo de mando.

Se desprende de la descripción antes dada que el funcionamiento del módulo de mando automático 1 está secuenciado al objeto de procurar al menos tres medios aplicadores de seguridad.

El primer medio aplicador de seguridad es el de permitir arrancar un control automático del vehículo con la condición de que todos los suministradores de datos necesarios para el modo autónomo estén preparados. El control automático del vehículo 11 es utilizado especialmente en modo autónomo para hacer funcionar el vehículo a partir de datos con origen en unidades de procesamiento digital tales como el módulo maestro 20, el bus de comunicaciones 10, por ejemplo de tipo CAN (acrónimo de Controller Area Network), o el módulo de navegación / localización 30, sin intervención humana.

El segundo medio aplicador de seguridad consiste en permitir hacer pasos de modo manual hacia modo autónomo, y viceversa, sólo cuando el vehículo se halla en situación de seguridad, dicho de otro modo, en parada en un estado estable y determinista.

El tercer medio aplicador de seguridad consiste en arrancar y detener el vehículo con seguridad mediante el 5 encadenamiento presentado en la figura 3.

Se hace notar que las etapas 301 a 313 y/o 341 a 349 pueden ser consideradas como etapas de procedimiento de mando puestas en práctica por medio de un programa de ordenador instalado en el sistema antes descrito o en otro sistema con una arquitectura física diferente, con la única condición de ser compatible con el sistema según la invención.

10 El módulo de mando automático que acabamos de describir para un vehículo bimodal permite recibir trayectorias deseadas y elaborar los mandatos para los actuadores del vehículo al objeto de seguir estas trayectorias en conducción autónoma. El módulo de mando automático permite dar respuesta a las imposiciones de fiabilidad y de coste, encargándose de la coordinación con los demás módulos que son exteriores a él, encargándose de la conmutación de los actuadores entre el modo manual y el modo autónomo bajo control automático, encargándose 15 de la coordinación de las operaciones internas al módulo y encargándose, en el dominio total del vehículo, de la fiabilidad en un modo autónomo nominal o normal y en un modo autónomo de emergencia.

Claims

5

10

15

20

25

30

35

40

45

REIVINDICACIONES

1. Sistema de mando de un vehículo que incluye:

- órganos de mando humano (5-9) que generan señales de pilotaje manual (555-559) de actuadores (25-29) del vehículo;

- un módulo de mando automático (1) que genera señales de pilotaje autónomo (455-459) de dichos actuadores del vehículo;

- un módulo de conmutación (500) establecido para seleccionar dichas señales de pilotaje manual en un modo de funcionamiento manual y dichas señales de pilotaje autónomo en un modo de funcionamiento autónomo;

comprendiendo el módulo de mando automático (1):

- un bloque de elaboración automática (2) de al menos una señal de pilotaje autónomo calculada (64, 74, 84, 94, 95);

- un bloque encargado de la seguridad (400) establecido para transmitir al módulo de conmutación (500) dicha al menos una señal de pilotaje autónomo calculada en un caso de funcionamiento autónomo normal y una señal de pilotaje autónomo de emergencia en un caso de funcionamiento autónomo anómalo.
2. Sistema de mando según la reivindicación 1, caracterizado por que el módulo de mando automático (1) incluye un bloque de supervisión (300) que alberga una máquina global de estados finitos que comprende un primer estado global asociado al modo de funcionamiento manual y un segundo estado global asociado al modo de funcionamiento autónomo, al objeto de enviar al módulo de conmutación (500) al menos una señal de selección (250) de las señales de pilotaje manual y autónomo.
3. Sistema de mando según la reivindicación 2, caracterizado por que dicha máquina global de estados finitos comprende un tercer estado global asociado al caso de funcionamiento autónomo anómalo, al objeto de enviar al bloque encargado de la seguridad (400) al menos una señal de frenado de emergencia (340).
4. Sistema de mando según una de las reivindicaciones 2 ó 3, caracterizado por que el módulo de mando automático (1) incluye un bloque de diagnóstico (100) establecido para detectar todo suceso asociado a un caso de funcionamiento autónomo anómalo y para enviar al menos una señal (130) al bloque de supervisión (300) representativa de los casos de funcionamiento autónomo normal y anómalo.
5. Sistema de mando según una de las anteriores reivindicaciones, caracterizado por que el bloque de elaboración automática (2) incluye un sub-bloque de control / mando (40) que alberga una máquina local de estados finitos que comprende un primer estado local asociado a un arranque autónomo y un segundo estado local asociado a una inmovilización autónoma.
6. Sistema de mando según una de las anteriores reivindicaciones, caracterizado por que incluye un módulo de navegación y/o de localización (30) establecido para enviar en tiempo real, al bloque de elaboración automática (2), coordenadas de trayectoria (x*, y*, v*) expresadas en un sistema de referencia local del vehículo.
7. Procedimiento de mando de un vehículo que incluye:

- una o varias etapas de modo manual (303, 313) en la o las que unos órganos de mando humano generan señales de pilotaje manual de actuadores del vehículo;

- una o varias etapas de modo autónomo en la o las que se generan señales de pilotaje autónomo que son conmutadas hacia dichos actuadores del vehículo en lugar de las señales de pilotaje manual;

comprendiendo las etapas de modo autónomo:

- una etapa de modo autónomo normal (307) ejecutada en un caso de funcionamiento autónomo normal y en la que las señales de pilotaje autónomo comprenden al menos una señal de pilotaje autónomo calculada;

- una etapa de modo autónomo de emergencia (311) ejecutada en un caso de funcionamiento autónomo anómalo y en la que las señales de pilotaje autónomo comprenden al menos una señal de pilotaje autónomo de emergencia.
8. Procedimiento de mando según la reivindicación 7, caracterizado por comprender:

- al menos una primera etapa (343, 344, 345) para efectuar un arranque autónomo;

- al menos una segunda etapa (347, 348, 349) para efectuar una inmovilización autónoma.
9. Producto programa de ordenador caracterizado por que comprende instrucciones para llevar a la práctica el procedimiento según una de las reivindicaciones 7 u 8 cuando son ejecutadas por un ordenador.
10. Vehículo automóvil, caracterizado por que comprende un sistema de mando según una de las reivindicaciones 1 a 6 y/o un producto programa de ordenador según la reivindicación 9.