WO2016162624A1 - Procédé d'implémentation d'une fonction d'un véhicule automobile conforme a des niveaux asil standards, système correspondant et véhicule automobile comprenant un tel système - Google Patents

Procédé d'implémentation d'une fonction d'un véhicule automobile conforme a des niveaux asil standards, système correspondant et véhicule automobile comprenant un tel système Download PDF

Info

Publication number
WO2016162624A1
WO2016162624A1 PCT/FR2016/050768 FR2016050768W WO2016162624A1 WO 2016162624 A1 WO2016162624 A1 WO 2016162624A1 FR 2016050768 W FR2016050768 W FR 2016050768W WO 2016162624 A1 WO2016162624 A1 WO 2016162624A1
Authority
WO
WIPO (PCT)
Prior art keywords
function
level
motor vehicle
asil
implementing
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/FR2016/050768
Other languages
English (en)
Inventor
Paul Degoul
Michel LEEMAN
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Valeo Equipements Electriques Moteur SAS
Original Assignee
Valeo Equipements Electriques Moteur SAS
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Valeo Equipements Electriques Moteur SAS filed Critical Valeo Equipements Electriques Moteur SAS
Publication of WO2016162624A1 publication Critical patent/WO2016162624A1/fr
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1641—Error detection by comparing the output of redundant processing systems where the comparison is not performed by the redundant processing components
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
    • G06F11/186—Passive fault masking when reading multiple copies of the same data
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W2050/0001—Details of the control system
    • B60W2050/0002—Automatic control, details of type of controller or control system architecture
    • B60W2050/0004—In digital systems, e.g. discrete-time systems involving sampling
    • B60W2050/0006—Digital architecture hierarchy
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/029—Adapting to failures or work around with other constraints, e.g. circumvention by avoiding use of failed parts
    • B60W2050/0292—Fail-safe or redundant systems, e.g. limp-home or backup systems
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/26—Pc applications
    • G05B2219/2637—Vehicle, car, auto, wheelchair

Definitions

  • the present invention relates to a method for implementing a function of a motor vehicle conforming to standard ASIL levels ("Automotive Security Integrity Level” in English terminology, ie "Level of requirement in terms of Automotive Safety ").
  • the invention also relates to a system capable of implementing this method, as well as the motor vehicle comprising this system.
  • a fail-safe system maintains its functionality or at least reduced functionality in the event of any simple failure.
  • a fail-operational system requires a redundant data bus and power supplies as well as a redundant electronic computing unit (ECU or "Electronic Computing Unit” in English terminology).
  • ECU electronic computing unit
  • a possible hardware architecture for realizing a fail-safe electronic computing unit is known as Duplex - Double architecture, and its use is common in avionics.
  • a Duplex-Dual architecture may be two classic passive after-failure ECUs in a car and a switch, as shown in Figure 1.
  • the two ECUs can be based for example on the use of a synchronous double-core microcontroller said LSDC (acronym for "Lock Step Dual Core" in English terminology).
  • LSDC synchronous double-core microcontroller
  • the output data is that provided by the first electronic computing unit.
  • the status of the first electronic computing unit is non-functional, i.e., it fails, the output data is that provided by the second electronic computing unit.
  • the status of the second electronic computing unit is used to report the hidden errors, when it is not operational, and is no longer able to take over the failure of the first electronic computing unit.
  • the switch is a switch network.
  • the ISO 26262 standard establishes a formal framework for the functional safety of modules in the automotive industry.
  • the ISO 26262 standard states that the software's "safety" must be systematically taken into account throughout the software development cycle.
  • An ASIL is assigned on the basis of the risk of the occurrence of a hazardous event taking into account the periodicity of the situation, the impact of any damage, and to what extent this situation can be controlled and managed.
  • the ISO 26262 standard defines four ASILs indicated by letters from A to D, the latter corresponding to the lowest risk and the highest security requirement level.
  • a level of security requirement indicated by QM (“Quality Management” ie “Quality Management") is assigned to non-critical functions.
  • the implementation of the function in both ECUs will require either that the software be developed at the ASIL D level, or will require an ASIL decomposition, as defined in the ISO 26262 standard.
  • ASIL decomposition two redundant modules developed at a lower level of criticality can be implemented in both ECUs.
  • Developing a complex application software at the ASIL D level is not the strategy generally adopted in an automotive industrial development, for reasons of cost and development time. Therefore, an ASIL decomposition leading to lower ASILs will be preferred at least for application software.
  • an ASIL decomposition requires a redundant and diverse implementation. In these conditions, whatever the hardware architecture chosen to realize the passive electronic computing units after failure, two different algorithms will be necessary in order to ensure the independence between the two redundant modules implemented in each ECU, otherwise the ASIL decomposition to reduce the ASIL is not allowed by ISO 26262.
  • the software modules implemented in each of the electronic computing units of a Duplex-Double architecture must also have diversity.
  • the patent application US20150057908 discloses an engine control unit performing qualified safety functions at an ASIL B level by means of a microcontroller qualified at a level ASIL B and a qualified integrated circuit at a level QM.
  • ASIL decomposition disclosed in this application does not seem to be able to be transposed to a Duplex-Double architecture, as described above, to be qualified at a level ASIL D or ASIL C.
  • the present invention therefore aims to satisfy this need.
  • It relates specifically to a method of implementing a function of a motor vehicle conforming to standard ASIL levels corresponding to increasing security requirements levels QM, A, B, C, D such as those defined. by the ISO 26262 standard.
  • the method in question is of the type of those implementing this function with a first level of requirement in terms of security by at least means having a second level of security requirement lower than the first requirement level. security terms for a design diversity of these means less than four.
  • this first level of requirement in terms of security is rated D or C and the second level of requirement in terms of security is rated B, A or QM,
  • This function is performed, according to the invention, in parallel from at least one input data by first and second passive passive calculation electronic units respectively generating at least first and second output data constituting alternatively at least a nominal output data of the function according to a state of the first and second electronic calculation units.
  • the first and second electronic calculation units each execute an identical set of three different software modules performing this function and generating the first and second output data via first and second voters. majority, the second level of security requirement of at least one of the three modules being two degrees lower than the first level of security requirement.
  • the first and second electronic calculation units respectively perform, on the one hand, a first and a second module, and, on the other hand, the second and third modules among a set of three different modules performing this function and generating the first and second output data via first and second majority voters taking into account the first, second and third intermediate outputs respectively generated by the first, second and third modules, the second level of security requirement of at least one of the first, second and third modules being two degrees lower than the first level of security requirement.
  • first and second electronic calculation units each execute a first identical module having an ASIL D rating and, respectively, second and third different modules having another ASIL QM rating.
  • the invention also relates to a system for implementing a function of a motor vehicle conforming to standard ASIL levels corresponding to increasing security requirements levels QM, A, B, C, D such as those defined by the ISO 26262 standard, suitable for implementing the process described above.
  • This system is of the type of those implementing this function with a first level of requirement in terms of security and comprising at least a first electronic computing unit, means for acquiring an input data of the function and means generating at least a first output of the function having a second level of security requirement lower than the first level of security requirement.
  • the first level of requirement in terms of security is rated D or C and the second level of requirement in terms of security is rated B, A or QM for a diversity of design of these means of security. generation less than four.
  • this system further comprises a second electronic computing unit generating at least a second output data of the function, and switching means for generating at least one nominal output data by switching the first output data or the second output data according to a state of the first and second electronic computing units, said first and second electronic computing units being passive after failure.
  • the system for implementing a function of a motor vehicle conforming to standard ASIL levels also comprises an identical set of three modules. different performing this function performed by each of the first and second electronic computing units, and first and second majority voters generating the first and second output data, the second level of security requirement of at least one of these three modules being two degrees lower than the first level of security requirement.
  • the system further comprises, on the one hand, a first and a second one of a set of three different modules implementing the function executed by the first electronic computing unit, and, secondly, the second and third modules among this set of three different modules executed by the second electronic computing unit, and first and second majority voters taking into account the first, second and third intermediate outputs respectively generated by the first, second and second and third modules, the second level of security requirement of at least one of the first, second and third modules being two degrees lower than the first security requirement level.
  • system further comprises a first identical module having an ASIL D rating executed by each of the first and second computing units and second and third different modules having another ASIL QM rating executed. respectively by these first and second electronic calculation units.
  • this function is preferably a detection of an object
  • the input data is derived a LIDAR, or a radar, or a camera
  • at least one nominal output data advantageously generates a control of a group comprising a steering control, a motor control and a brake control.
  • At least one output data preferably generates the command by means of a path planning module ASIL D.
  • the invention also relates to a motor vehicle of the type of those comprising an advanced driving assistance system authorizing an automatic motorway driving comprising a system for implementing a function of a motor vehicle conforming to standard ASIL levels such as as previously described.
  • Figure 1 is a block diagram of an operational duplex-dual hardware architecture after a known state of the art failure.
  • Figure 2 is a block diagram of a system for implementing a function of a motor vehicle conforming to standard ASIL levels, based on the architecture shown in Figure 1, known from the state of the art.
  • FIG. 3 is a block diagram of a system for implementing a function of a motor vehicle conforming to standard ASIL levels, based on the architecture shown in FIG. 1, according to the first embodiment of FIG. invention.
  • FIG. 4 is a block diagram of a system for implementing a function of a motor vehicle conforming to standard ASIL levels, based on the architecture shown in FIG. 1, according to the second embodiment of FIG. invention.
  • FIG. 5 is a block diagram of an advanced driver assistance system for automatic highway driving known from the state of the art.
  • Figure 6 is a block diagram of an advanced driver assistance system that allows automatic highway driving based on the implementation of a motor vehicle function conforming to standard ASIL levels shown in Figure 3. DESCRIPTION OF THE PREFERRED EMBODIMENTS OF THE INVENTION
  • a possible architecture 1 for the implementation of the critical functions of an autonomous vehicle is that already widely used in avionics shown in FIG.
  • An input data 2 of the function to be produced is processed simultaneously by two electronic calculation units 3, 4 which generate output data 5, 6. It will be noted here that the terms "output data (s)" used in FIG. This application must not be interpreted strictly and also cover one or more exit orders.
  • a nominal output data item 7 is formed either by a first output data item 5 generated by a first 3 of the electronic calculation units 3, 4 when the latter is operating normally, or by a second output data item 6 generated by a second 4 of the electronic computing units 3, 4 when the first 3 is in failure.
  • An indication of the state, or status 10, of the second electronic computing unit 4 makes it possible to highlight the hidden errors.
  • This method consisting in implementing, for performing a function of a qualified motor vehicle at a first level of security requirement, qualified modules at a second level lower than the first, is well known from the state of the art. technical.
  • the method according to the invention is implemented in a system 16 shown in FIG. 3.
  • the design diversity is reduced to three by implementing three algorithms 12, 13, 14 in the two electronic computing units 17, 18 which include voters 19, 20 making a majority vote between intermediate outputs 21, 22, 23 generated by the algorithms 12, 13, 14.
  • ASIL D function the three modules 12, 13, 14 must be developed in ASIL B.
  • ASIL function C one of the redundant modules 12, 13, 14 can be developed in ASIL A, the other two modules being developed in ASIL B.
  • FIG. 3 is an exemplary implementation of a function in ASIL D by three modules 12, 13, 14 in ASIL B.
  • An advantage of this first embodiment of the invention is that the two electronic calculation units 17, 18 are identical and can therefore have the same stock reference.
  • a disadvantage is that three redundant modules 12, 13, 14 are executed on each ECUs 17, 18. This increases the computing power to implement and the size of the memory required.
  • a possible variant of this first embodiment is to permanently run first and second modules 12, 13, but to start the execution of a third module 14 only in case of disagreement between the first and second intermediate outputs. 21, 22 of the first and second modules 12, 13. This reduces the calculation load of the ECUs. However, this is only applicable if the fault tolerance time interval is relatively long.
  • the method according to the invention is implemented in a system 24 shown in FIG. 4.
  • the design diversity is also reduced to three, only two 12, 13 of the three diversified algorithms 12, 13, 14 are executed on the first electronic computing unit 25 and two others 13, 14 of these three are executed on the second unit of electronic calculation 26.
  • the intermediate output 21, 23 of the module 12, 14 which is not executed on one of the electronic calculation units 25, 26 is sent to it by the other module 12, 14, so that the majority voters 19, 20 generate the output data 5, 6 of the function.
  • FIG. 4 is an example of implementation of a function in ASIL D by three modules 12, 13, 14 in ASIL B.
  • the advantage of this second embodiment of the invention compared to the first embodiment is that less computing power and less memory are needed.
  • the disadvantage is the need for cross-communication between the two ECUs and two diversified ECUs.
  • the first module implementing the function that is executed on each electronic computing unit is qualified ASIL D
  • the second and third different qualified modules ASIL QM are each executed on each of the calculation units. electronic 3, 4.
  • a diversity of design for the first module is not necessary, since it is qualified to the same level of ASIL D security requirement as the function to be implemented. In this way the design diversity remains less than four.
  • a typical example of application of the invention is an advanced driver assistance system (ADAS) at level four, such as a system.
  • ADAS advanced driver assistance system
  • MDS automatic motorway driving
  • the human driver can rest on the MDS to control the vehicle while driving on a highway, which allows him to answer his emails, watch TV, etc.
  • the MDS has a complete picture of the driving environment of the vehicle thanks to its redundant sensors. It can track other vehicles, it can also make decisions, such as braking or steer to avoid collisions with other vehicles, or even overtake to maintain a given speed.
  • FIG. 5 shows an overview of a simplified MDS 27 known from the state of the art, taking only the front sensors 28, 29, 30 into account.
  • a complete system also requires rear sensors and lateral sensors, for among other things to allow a lane change.
  • Three front sensors 28, 29, 30 of various technologies (LIDAR 28, radar 29, camera 30) are used to maintain sufficient detection performance (detection of objects and their tracking 31, 32, by the LIDAR 28 and the radar 29, or simple detection of the objects 33 by the camera 30) under any environmental conditions after a first failure.
  • a fusion of the complementary information 34 from the front sensors 28, 29, 30 makes it possible to identify the road, the other vehicles, the obstacles, etc.
  • a planning of the trajectory 35 determines the trajectory of the vehicle. Lateral and longitudinal control 36 calculates the steering controls 37, motor 38 and braking 39 so that the vehicle follows the planned path.
  • ASIL D Regarding the level of requirement in terms of security, for the MDS, make a bad decision or not to detect an obstacle is rated ASIL D.
  • Each sensor before 28, 29, 30 is qualified only ASIL B thanks to the redundancy of these front sensors 28, 29, 30.
  • the MDS 27 must remain operational after a first failure, as it may take more than ten seconds for the driver to regain control. The sudden complete loss of the availability of the system 27 must therefore be qualified ASIL D.
  • the method for implementing a function of a motor vehicle conforming to standard ASIL levels makes it possible to reduce the ASIL D security requirement levels of information fusion functions 34 and trajectory planning. 35, and also lateral and longitudinal control 36.
  • Figure 6 is an example of an MDS system 40 based on the invention, where only the reduction of the security requirement level is applied to the information merging function 24, while the trajectory planning function and the lateral and longitudinal control 41 remain qualified ASIL D, in order to simplify the scheme.
  • Three different modules 12, 13, 14 implementing the "information merging" function 34 are executed by the two electronic calculation units 17, 18 according to the first embodiment of the invention shown in FIG. 3. This implementation avoids the use of four different modules if only two modules were executed in each ECU 17, 18, as known from the state of the art ( Figure 2).
  • the output data 5 of the first electronic computing unit 17 form the steering controls 37, motor 38 and braking 39 unless this first electronic computing unit 17 is no longer operational.
  • the switch 8 supplies the commands 37, 38, 39 coming from the second electronic unit 18.
  • a possible variant of this example is the implementation of the "information fusion" function 34 in application of the second embodiment of the invention shown in FIG. 4. The only difference is that the first module 12 implementing the "merge" function information "is not implemented in the second electronic computing unit 26 and that the third module 14 implementing this function is not implemented in the first electronic computing unit 25. In addition, the intermediate output 21 of the first module 12 is sent to the second electronic computing unit 26, and the intermediate output 23 of the third module 14 is sent to the first electronic computing unit 25.
  • a similar description could include automotive after-failure operational systems different from an MDS, such as electric power steering (or EPS) or braking systems.
  • MDS electric power steering
  • EPS electric power steering

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Automation & Control Theory (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Mechanical Engineering (AREA)
  • Safety Devices In Control Systems (AREA)

Abstract

Le procédé selon l'invention autorise l'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards correspondant à des niveaux d'exigence en termes de sécurité croissants QM, A, B, C, D tels que ceux définis par la norme ISO 26262. Le procédé est du type de ceux implémentant cette fonction avec un premier niveau d'exigence en termes de sécurité par au moins des moyens (12, 13, 14) présentant un second niveau d'exigence en termes de sécurité inférieur audit premier niveau d'exigence en termes de sécurité. Conformément à l'invention, le premier niveau d'exigence en termes de sécurité est coté D ou C et le second niveau d'exigence en termes de sécurité est coté B, A ou QM pour une diversité de conception des moyens (12, 13, 14) inférieure à quatre.

Description

PROCEDE D'IMPLEMENTATION D'UNE FONCTION D'UN VEHICULE AUTOMOBILE CONFORME A DES NIVEAUX ASIL STANDARDS, SYSTEME CORRESPONDANT ET VEHICULE AUTOMOBILE COMPRENANT UN TEL
SYSTEME
DOMAINE TECHNIQUE DE L'INVENTION.
La présente invention concerne un procédé d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards ("Automotive Security Integrity Level" en terminologie anglaise, c'est-à-dire "Niveau d'exigence en termes de Sécurité en Automobile").
L'invention concerne également un système apte à la mise en œuvre de ce procédé, ainsi que le véhicule automobile comprenant ce système.
ARRIERE PLAN TECHNOLOGIQUE DE L'INVENTION.
Le développement récent des véhicules autonomes (niveaux d'automatisation 4 et 5 tels que définis par la Société des Ingénieurs de l'Automobile (SAE, acronyme de "Society of Automotive Engineers") requiert des systèmes opérationnels après défaillance ("fail operational") au lieu des systèmes classiques dans les applications critiques en termes de sécurité dans l'automobile qui ne requièrent que des systèmes passifs après défaillance ("fail silent").
Un système opérationnel après défaillance maintient sa fonctionnalité ou au moins une fonctionnalité réduite dans le cas d'une défaillance simple quelconque.
Un système opérationnel après défaillance nécessite un bus de données et des alimentations redondants ainsi qu'une unité de calcul électronique (ECU ou "Electronique Computing Unit" en terminologie anglaise) redondante.
Une architecture matérielle possible pour réaliser une unité de calcul électronique opérationnelle après défaillance est connue en tant qu'architecture Duplex - Double, et son utilisation est courante en avionique.
Une architecture Duplex- Double peut être constituée par deux ECU passives après défaillance classiques en automobile et un commutateur, comme le montre la Figure 1.
Les deux ECUs peuvent être basées par exemple sur l'utilisation d'un microcontrôleur à double cœur synchrone dit LSDC (acronyme de "Lock Step Dual Core" en terminologie anglaise). Quand un statut de la première unité de calcul électronique est fonctionnel, les données de sortie sont celles fournies par la première unité de calcul électronique. Quand le statut de la première unité de calcul électronique est non-fonctionnel, c'est-à-dire qu'elle est en défaillance, les données de sortie sont celles fournies par la seconde unité de calcul électronique. Le statut de la seconde unité de calcul électronique est utilisé pour rapporter les erreurs cachées, quand elle n'est pas opérationnelle, et qu'elle n'est plus capable de prendre le relais en .cas de défaillance de la première unité de calcul électronique. Dans le cas de données de sortie multiples, le commutateur est un réseau de commutateurs.
En ce qui concerne le logiciel, le standard ISO 26262 établit un cadre formel pour la sécurité fonctionnelle des modules dans l'automobile. La norme ISO 26262 stipule que la sécurité (« safety » en anglais) du logiciel doit être prise en compte de manière systématique pendant tout le cycle de développement du logiciel.
Un ASIL est attribué sur la base du risque de l'occurrence d'un événement dangereux en prenant en compte la périodicité de la situation, l'impact d'un dommage éventuel, et dans quelle mesure cette situation peut être contrôlée et gérée.
La norme ISO 26262 définit quatre ASIL indiqués par des lettres de A à D, cette dernière correspondant au risque le plus faible et au niveau d'exigence en termes de sécurité le plus élevé. Un niveau d'exigence en termes de sécurité indiqué par QM ("Qualité Management" c'est-à-dire "Gestion de la Qualité") est assigné aux fonctions non- critiques.
Beaucoup de fonctions de véhicules autonomes auront au moins deux contraintes de sécurité ASIL D contradictoires. D'une part, une décision erronée sera ASIL D, et, d'autre part, la perte de la fonction sera aussi ASIL D.
Pour satisfaire une décision correcte au niveau ASIL D, l'implémentation de la fonction dans les deux ECUs requerra soit que le logiciel soit développé au niveau ASIL D, soit requerra une décomposition ASIL, telle que définie dans la norme ISO 26262. Dans le cas d'une décomposition ASIL, deux modules redondants développés à un niveau inférieur de criticité peuvent être implémentés dans les deux ECUs. Développer un logiciel d'application complexe au niveau ASIL D n'est pas la stratégie généralement retenue dans un développement industriel automobile, pour des raisons de coût et de durée de développement. Par conséquent, une décomposition ASIL conduisant à des ASILs inférieurs sera préférée au moins pour les logiciels d'applications. Cependant, une décomposition ASIL nécessite une implémentation redondante et diversifiée. Dans ces conditions, quelle que soit l'architecture matérielle choisie pour réaliser les unités de calcul électroniques passives après défaillance, deux algorithmes différents seront nécessaires de façon à assurer l'indépendance entre les deux modules redondants implémentés dans chaque ECU, sinon la décomposition ASIL pour réduire l'ASIL n'est pas autorisée par la norme ISO 26262.
En outre pour satisfaire à la contrainte de disponibilité en cas de défaillance simple, les modules logiciels implémentés dans chacune des unités de calcul électroniques d'une architecture Duplex-Double doivent aussi présenter une diversité.
Si ce n'était pas le cas, une erreur systématique affectant l'un des deux algorithmes redondants dans l'une des deux ECUs passives après défaillance affecterait aussi l'autre ECU. Si cette erreur était activée sur l'une des ECU, elle serait activée simultanément sur l'autre, car les données d'entrée des deux ECUs sont les mêmes, et par conséquent, les deux ECUs défailliraient simultanément, ne satisfaisant pas de ce fait la contrainte de disponibilité. Etant donné que la raison fondamentale de la défaillance est une erreur d'un logiciel de plus faible ASIL, cela n'est pas acceptable.
Cela signifie que pour une fonction soumise à deux contraintes de sécurité contradictoires ASIL D (ou C), l'une portant sur la validité des données de sortie, et l'autre sur la disponibilité de ces données de sortie, quand une architecture Duplex- Double est utilisée, quatre modules logiciels différents seront nécessaires comme le montre la Figure 2. Mais dans de nombreux cas, il n'est pas possible de satisfaire à la condition de diversité logicielle, c'est-à-dire qu'il n'est pas possible de trouver quatre algorithmes différents pour une même fonction.
II est évidemment plus facile de développer un système, ou un sous-système, qualifié en tant qu'ASIL B plutôt qu'ASIL D.
Par conséquent, des incitations de coût et d'ordre pragmatique conduisent à situer tout ou partie d'un projet à un niveau le plus bas possible dans l'échelle des ASIL, tout en visant une qualification globale la plus haute possible.
Par exemple, la demande brevet US20150057908 décrit une unité de contrôle moteur remplissant des fonctions de sécurité qualifiée à un niveau ASIL B au moyen d'un microcontrôleur qualifié à un niveau ASIL B et d'un circuit intégré qualifié à un niveau QM.
La décomposition ASIL exposée dans cette demande, ne semble pas pouvoir être transposée à une architecture Duplex-Double, telle que décrite ci-dessus, devant être qualifiée à un niveau ASIL D ou ASIL C.
Il existe donc un besoin pour une solution technique permettant de qualifier cette architecture à ces niveaux ASIL élevés en utilisant une implémentation qualifiée à un niveau inférieur, tout en limitant la diversité de conception.
DESCRIPTION GENERALE DE L'INVENTION.
La présente invention vise par conséquent à satisfaire ce besoin.
Elle a précisément pour objet un procédé d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards correspondant à des niveaux d'exigence en termes de sécurité croissants QM, A, B, C, D tels que ceux définis par la norme ISO 26262.
Le procédé dont il s'agit est du type de ceux implémentant cette fonction avec un premier niveau d'exigence en termes de sécurité par au moins des moyens présentant un second niveau d'exigence en termes de sécurité inférieur au premier niveau d'exigence en termes de sécurité pour une diversité de conception de ces moyens inférieure à quatre.
Selon l'invention, ce premier niveau d'exigence en termes de sécurité est coté D ou C et le second niveau d'exigence en termes de sécurité est coté B, A ou QM,
Cette fonction est réalisée, selon l'invention, en parallèle à partir d'au moins une donnée d'entrée par des première et seconde unités électroniques de calcul passives après défaillance générant respectivement au moins des première et seconde données de sortie constituant alternativement au moins une donnée de sortie nominale de la fonction selon un état des première et seconde unités électroniques de calcul.
Dans un premier mode de réalisation de l'invention, les première et seconde unités électroniques de calcul exécutent chacune un ensemble identique de trois modules logiciels différents réalisant cette fonction et générant les première et seconde données de sortie par l'intermédiaire de premier et second voteurs majoritaires, le second niveau d'exigence en termes de sécurité d'au moins un des trois modules étant inférieur de deux degrés au premier niveau d'exigence en termes de sécurité.
Dans un deuxième mode de réalisation de l'invention, les première et seconde unités électroniques de calcul exécutent respectivement, d'une part, un premier et un deuxième modules, et, d'autre part, le deuxième et un troisième modules parmi un ensemble de trois modules différents réalisant cette fonction et générant les première et seconde données de sortie par l'intermédiaire de premier et second voteurs majoritaires prenant en compte des première, deuxième et troisième sorties intermédiaires générées respectivement par les premier, deuxième et troisième modules, le second niveau d'exigence en termes de sécurité d'au moins un des premier, deuxième et troisième modules étant inférieur de deux degrés au premier niveau d'exigence en termes de sécurité.
Dans un troisième mode de réalisation de l'invention, des première et seconde unités électroniques de calcul exécutent chacune un premier module identique ayant une cotation ASIL D et, respectivement, des deuxième et troisième modules différents ayant une autre cotation ASIL QM.
L'invention concerne également un système d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards correspondant à des niveaux d'exigence en termes de sécurité croissants QM, A, B, C, D tels que ceux définis par la norme ISO 26262, apte à la mise œuvre du procédé exposé ci- dessus.
Ce système est du type de ceux implémentant cette fonction avec un premier niveau d'exigence en termes de sécurité et comprenant au moins une première unité de calcul électronique, des moyens d'acquisition d'une donnée d'entrée de la fonction et des moyens de génération d'au moins une première donnée de sortie de la fonction présentant un second niveau d'exigence en termes de sécurité inférieur au premier niveau d'exigence en termes de sécurité.
Dans le système selon l'invention, le premier niveau d'exigence en termes de sécurité est coté D ou C et le second niveau d'exigence en termes de sécurité est coté B, A ou QM pour une diversité de conception de ces moyens de génération inférieure à quatre.
Selon l'invention, ce système comprend en outre une seconde unité de calcul électronique générant au moins une seconde donnée de sortie de la fonction, et des moyens de commutation pour produire au moins une donnée de sortie nominale en commutant la première donnée de sortie ou la seconde donnée de sortie selon un état des première et seconde unités électroniques de calcul, ces première et seconde unités électroniques de calcul étant passives après défaillance.
Dans le premier mode de réalisation de l'invention, le système d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards comprend en outre un ensemble identique de trois modules différents réalisant cette fonction exécutés par chacune des première et seconde unités électroniques de calcul, et des premier et second voteurs majoritaires générant les première et seconde données de sortie, le second niveau d'exigence en termes de sécurité d'au moins un de ces trois modules étant inférieur de deux degrés au premier niveau d'exigence en termes de sécurité.
Dans le deuxième mode de réalisation de l'invention, le système comprend en outre d'une part, un premier et un deuxième modules parmi un ensemble de trois modules différents réalisant la fonction exécutés par la première unité de calcul électronique, et, d'autre part, le deuxième et un troisième modules parmi cet ensemble de trois modules différents exécutés par la seconde unité de calcul électronique, et des premier et second voteurs majoritaires prenant en compte des première, deuxième et troisième sorties intermédiaires générées respectivement par les premier, deuxième et troisième modules, le second niveau d'exigence en termes de sécurité d'au moins un des premier, deuxième et troisième modules étant inférieur de deux degrés au premier niveau d'exigence en termes de sécurité.
Dans le troisième mode de réalisation de l'invention, le système comprend en outre un premier module identique ayant une cotation ASIL D exécuté par chacune des première et seconde unités électroniques de calcul et des deuxième et troisième modules différents ayant une autre cotation ASIL QM exécutés respectivement par ces première et seconde unités électroniques de calcul.
Dans ces trois mode de réalisation du système d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards selon l'invention, cette fonction est de préférence une détection d'un objet, la donnée d'entrée est issue d'un LIDAR, ou d'un radar, ou d'une caméra, et d'au moins une donnée de sortie nominale génère avantageusement une commande d'un groupe comprenant une commande de direction, une commande moteur et une commande de freinage.
Selon l'invention, au moins une donnée de sortie génère préférentiellement la commande au moyen d'un module de planification de trajectoire coté ASIL D.
L'invention concerne aussi un véhicule automobile du type de ceux comportant un système d'assistance à la conduite avancé autorisant une conduite automatique sur autoroute comprenant un système d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards tel que décrit précédemment. Ces quelques spécifications essentielles auront rendu évidents pour l'homme de métier les avantages apportés par le procédé d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards selon l'invention, ainsi que par le système correspondant, et par le véhicule automobile comprenant un tel système, par rapport à l'état de la technique antérieur.
Les spécifications détaillées de l'invention sont données dans la description qui suit en liaison avec les dessins ci-annexés. Il est à noter que ces dessins n'ont d'autre but que d'illustrer le texte de la description et ne constituent en aucune sorte une limitation de la portée de l'invention.
BREVE DESCRIPTION DES DESSINS.
La Figure 1 est un schéma synoptique d'une architecture matérielle Duplex- Double opérationnelle après défaillance connue de l'état de la technique.
La Figure 2 est un schéma synoptique d'un système d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards, basé sur l'architecture montrée sur la Figure 1 , connu de l'état de la technique.
La Figure 3 est un schéma synoptique d'un système d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards, basé sur l'architecture montrée sur la Figure 1 , selon le premier mode de réalisation de l'invention.
La Figure 4 est un schéma synoptique d'un système d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards, basé sur l'architecture montrée sur la Figure 1 , selon le deuxième mode de réalisation de l'invention.
La Figure 5 est un schéma synoptique d'un système d'assistance à la conduite avancé autorisant une conduite automatique sur autoroute connu de l'état de la technique.
La Figure 6 est un schéma synoptique d'un système d'assistance à la conduite avancé autorisant une conduite automatique sur autoroute basé sur le système d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards montré sur la Figure 3. DESCRIPTION DES MODES DE REALISATION PREFERES DE L'INVENTION.
Ainsi que cela a déjà été rappelé en préambule, une architecture 1 possible pour l'implémentation des fonctions critiques d'un véhicule autonome est celle déjà largement utilisée en avionique représentée sur la Figure 1.
Une donnée d'entrée 2 de la fonction à réaliser est traitée simultanément par deux unités électroniques de calcul 3, 4 qui génèrent des données de sortie 5, 6. On notera ici que les termes « donnée(s) de sortie » utilisés dans la présente demande ne doivent pas être interprétés de manière stricte et couvrent également une ou des commandes de sortie.
Une donnée de sortie nominale 7 est formée soit par une première donnée de sortie 5 générée par une première 3 des unités électroniques de calcul 3, 4 quand celle-ci fonctionne normalement, soit par une seconde donnée de sortie 6 générée par une seconde 4 des unités électroniques de calcul 3, 4 quand la première 3 est en défaillance.
Le passage de l'une à l'autre des données de sortie 5, 6 est assuré par un commutateur 8 en fonction de l'état 9 de la première unité électronique de calcul 3.
Une indication de l'état, ou le statut 10, de la seconde unité électronique de calcul 4 permet de mettre en évidence 1 1 les erreurs cachées.
Dans le but d'implémenter une fonction qualifiée à un premier niveau ASIL C ou D, il est connu de l'état de la technique de mettre en œuvre, répartis deux à deux dans les unités de calcul électroniques 3, 4, quatre modules différents 12, 13, 14, 15 qualifiés à un second niveau ASIL A ou B, respectivement, comme cela est représenté sur la Figure 2.
Ce procédé consistant à mettre en œuvre, pour réaliser une fonction d'un véhicule automobile qualifiée à un premier niveau d'exigence en termes de sécurité, des modules qualifiés à un second niveau inférieur au premier, est bien connu de l'état de la technique.
Toutefois, un tel procédé connu exige le plus souvent d'être en mesure de développer plusieurs modules 12, 13, 14, 15 différents, ce qui n'est pas toujours possible pour certaines fonctions.
Au contraire, dans le procédé d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards correspondant aux niveaux d'exigence en termes de sécurité croissants QM, A, B, C, D de la norme ISO 26262, selon l'invention, la diversité des modules 12, 13, 14, 15 est limitée. Dans un premier mode de réalisation, le procédé selon l'invention est mis en œuvre dans un système 16 représenté sur la Figure 3.
La diversité de conception est réduite à trois en implémentant trois algorithmes 12, 13, 14 dans les deux unités de calcul électroniques 17, 18 qui comprennent des voteurs 19, 20 effectuant un vote majoritaire entre des sorties intermédiaires 21 , 22, 23 générées par les algorithmes 12, 13, 14.
Dans le cas de la production d'une faute dans l'un des trois algorithmes 12, 13, 14, les deux unités de calcul électroniques 17, 18 seront impactées mais resteront opérationnelles étant donné que les deux autres algorithmes 12, 13, 14 continueront de fournir des sorties cohérentes.
Pour réaliser une fonction ASIL D, les trois modules 12, 13, 14 doivent être développé en ASIL B. Pour réaliser une fonction ASIL C, l'un des modules redondants 12, 13, 14 peut être développé en ASIL A, les deux autres modules étant développés en ASIL B.
Dans ce premier mode de réalisation, la Figure 3 est un exemple d'implémentation d'une fonction en ASIL D par trois modules 12, 13, 14 en ASIL B.
Un avantage de ce premier mode de réalisation de l'invention est que les deux unités de calcul électroniques 17, 18 sont identiques et qu'elles peuvent par conséquent avoir une même référence de stock. Toutefois, un désavantage est que trois modules 12, 13, 14 redondants sont exécutés sur chaque ECUs 17, 18. Cela accroît la puissance de calcul à mettre en œuvre ainsi que la taille de la mémoire nécessaire.
Une variante possible de ce premier mode de réalisation est d'exécuter en permanence des premier et deuxième modules 12, 13, mais de ne lancer l'exécution d'un troisième module 14 qu'en cas de désaccord entre les première et deuxième sorties intermédiaires 21 , 22 des premier et deuxième modules 12, 13. Cela diminue la charge de calcul des ECUs. Cependant, cela n'est applicable que si l'intervalle de temps de tolérance de défaillance est relativement long.
Dans un deuxième mode de réalisation, le procédé selon l'invention est mis en œuvre dans un système 24 représenté sur la Figure 4.
La diversité de conception est également réduite à trois, seulement deux 12, 13 des trois algorithmes 12, 13, 14 diversifiés sont exécutés sur la première unité de calcul électronique 25 et deux autres 13, 14 parmi ces trois sont exécutés sur la seconde unité de calcul électronique 26. La sortie intermédiaire 21 , 23 du module 12, 14 qui n'est pas exécuté sur l'une des unités de calcul électroniques 25, 26 lui est envoyée par l'autre module 12, 14, de façon que les voteurs majoritaires 19, 20 génèrent les données de sortie 5, 6 de la fonction.
Dans ce deuxième mode de réalisation, la Figure 4 est un exemple d'implémentation d'une fonction en ASIL D par trois modules 12, 13, 14 en ASIL B.
L'avantage de ce deuxième mode de réalisation de l'invention comparé au premier mode de réalisation est que moins de puissance de calcul et moins de mémoire sont nécessaires. Le désavantage est la nécessité d'une communication croisée entres les deux ECUs et de deux ECUs diversifiés.
Dans un troisième mode de réalisation de l'invention, le premier module implémentant la fonction qui est exécuté sur chaque unité de calcul électronique est qualifié ASIL D, et les deuxième et troisième modules différents qualifiés ASIL QM sont exécutés chacun sur chacune des unités de calcul électroniques 3, 4.
Une diversité de conception pour le premier module n'est pas nécessaire, puisqu'il est qualifié au même niveau d'exigence en termes de sécurité ASIL D que la fonction à implémenter. De la sorte la diversité de conception reste inférieure à quatre.
Un exemple typique d'application de l'invention est un système d'assistance à la conduite avancé (ou ADAS, c'est-à-dire "Advanced Driving Assistance System" en terminologie anglaise) de niveau quatre, tel qu'un système autorisant une conduite automatique sur autoroute (ou MDS, c'est-à-dire "Motorway Driver System" en terminologie anglaise). Le conducteur humain peut se reposer sur le MDS pour contrôler le véhicule en circulant sur une autoroute, ce qui lui permet de répondre à ses courriels, de regarder la télévision, etc....
Le MDS a une image complète de l'environnement de conduite du véhicule grâce à ses capteurs redondants. Il peut suivre les autres véhicules, il peut aussi prendre des décisions, telles que freiner ou braquer pour éviter des collisions avec les autres véhicules, ou même effectuer un dépassement pour conserver une vitesse donnée.
La Figure 5 montre une vue d'ensemble d'un MDS 27 simplifié connu de l'état de la technique, prenant seulement en compte les capteurs avant 28, 29, 30. Un système complet nécessite également des capteurs arrière et des capteurs latéraux, pour entre autres choses permettre un changement de voie. Trois capteurs avant 28, 29, 30 de technologies diverses (LIDAR 28, radar 29, caméra 30) sont utilisés pour maintenir des performances de détection suffisantes (détection des objets et leur suivi 31 , 32, par le LIDAR 28 et le radar 29, ou simple détection des objets 33 par la caméra 30) dans n'importe quelles conditions environnementales après une première défaillance.
Une fusion des informations 34 complémentaires issues des capteurs avant 28, 29, 30 permet d'identifier la route, les autres véhicules, les obstacles...
Une planification de la trajectoire 35 détermine la trajectoire du véhicule. Le contrôle latéral et longitudinal 36 calcule les commandes de direction 37, moteur 38 et de freinage 39 de manière que le véhicule suive la trajectoire planifiée.
En ce qui concerne le niveau d'exigence en termes de sécurité, pour le MDS, prendre une mauvaise décision ou ne pas détecter un obstacle est coté ASIL D. Chaque capteur avant 28, 29, 30 est qualifié seulement ASIL B grâce à la redondance de ces capteurs avant 28, 29, 30.
Dans cet état de la technique, la fusion des informations 34 des capteurs avant 28, 29, 30, la planification de trajectoire 35, et le contrôle latéral et longitudinal 36 doivent être qualifiés à ASIL D.
De plus, le système MDS 27 doit rester opérationnel après une première défaillance, car il peut prendre plus de dix seconde au conducteur pour reprendre la main. La perte brusque complète de la disponibilité du système 27 doit donc être qualifiée ASIL D.
Le procédé d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards selon l'invention permet de réduire les niveaux d'exigence en termes de sécurité ASIL D des fonctions de fusion des informations 34 et de planification de trajectoire 35, et également du contrôle latéral et longitudinal 36.
La Figure 6 est un exemple de système MDS 40 basé sur l'invention, où seule la réduction du niveau d'exigence en termes de sécurité est appliquée à la fonction de fusion des informations 24, tandis que la fonction de planification de trajectoire et le le contrôle latéral et longitudinal 41 restent qualifiés ASIL D, dans le but de simplifier le schéma.
Trois modules différents 12, 13, 14 implémentant la fonction "fusion des informations" 34 sont exécutés par les deux unités de calcul électroniques 17, 18 en application du premier mode de réalisation de l'invention montré sur la Figure 3. Cette implémentation évite le recours à quatre modules différents si seulement deux modules étaient exécutés dans chaque ECU 17, 18, comme il est connu de l'état de la technique (Figure 2).
Les données de sortie 5 de la première unité de calcul électronique 17 forment les commandes de direction 37, moteur 38 et de freinage 39 à moins que cette première unité de calcul électronique 17 ne soit plus opérationnelle. Dans ce cas le commutateur 8 fournit les commandes 37, 38, 39 issues de la deuxième unité électronique 18.
Une variante possible de cet exemple est l'implémentation de la fonction "fusion des informations" 34 en application du deuxième mode de réalisation de l'invention montré sur la Figure 4. La seule différence est que le premier module 12 implémentant la fonction "fusion des informations" n'est pas implémenté dans la seconde unité de calcul électronique 26 et que le troisième module 14 implémentant cette fonction n'est pas implémenté dans la première unité de calcul électronique 25. De plus, la sortie intermédiaire 21 du premier module 12 est envoyée à la seconde unité de calcul électronique 26, et la sortie intermédiaire 23 du troisième module 14 est envoyée à la première unité de calcul électronique 25.
Comme il va de soi, l'invention ne se limite pas aux seuls modes de réalisation préférentiels décrits ci-dessus.
Une description similaire pourrait porter sur des systèmes opérationnels après défaillance dans le domaine de l'automobile différents d'un MDS, notamment des systèmes de direction assistée électriques (ou EPS, acronyme de "Electric Power Steering" en terminologie anglaise) ou de freinage.
Ces autres modes de réalisation ne sortiraient pas du cadre de la présente invention dans la mesure où ils résultent des revendications ci-après.

Claims

REVENDICATIONS
1) Procédé d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards correspondant à des niveaux d'exigence en termes de sécurité croissants, notés QM, A, B, C, D, le procédé étant du type de ceux implémentant ladite fonction avec un premier niveau d'exigence en termes de sécurité par au moins des moyens (12, 13, 14, 15) présentant un second niveau d'exigence en termes de sécurité inférieur audit premier niveau d'exigence en termes de sécurité, caractérisé en ce que ladite fonction est réalisée en parallèle à partir d'au moins une donnée d'entrée (2) par des première et seconde unités électroniques de calcul (3, 4, 17, 18, 25, 26) passives après défaillance générant respectivement au moins des première et seconde données de sortie (5, 6) constituant alternativement au moins une donnée de sortie nominale (7) de ladite fonction selon un état desdites première et seconde unités électroniques de calcul (3, 4, 17, 18, 25, 26), ledit premier niveau d'exigence en termes de sécurité étant coté D ou C et ledit second niveau d'exigence en termes de sécurité étant coté B, A ou QM, pour une diversité desdits moyens (12, 13, 14) inférieure à quatre.
2) Procédé d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards selon la revendication 1 précédente, caractérisé en ce que lesdites première et seconde unités électroniques de calcul (17, 18) exécutent chacune un ensemble identique de trois modules (12, 13, 14) différents réalisant ladite fonction et générant lesdites première et seconde données de sortie (5, 6) par l'intermédiaire de premier et second voteurs majoritaires (19, 20), ledit second niveau d'exigence en termes de sécurité d'au moins un desdits trois modules étant inférieur de deux degrés audit premier niveau d'exigence en termes de sécurité.
3) Procédé d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards selon la revendication 1 précédente, caractérisé en ce que lesdites première et seconde unités électroniques de calcul (25, 26) exécutent respectivement, d'une part, un premier et un deuxième modules (12, 13), et, d'autre part, ledit deuxième et un troisième modules (13, 14) parmi un ensemble de trois modules (12, 13, 14) différents réalisant ladite fonction et générant lesdites première et seconde données de sortie (5, 6) par l'intermédiaire de premier et second voteurs majoritaires (19, 20) prenant en compte des première, deuxième et troisième sorties intermédiaires (21 , 22, 23) générées respectivement par lesdits premier, deuxième et troisième modules (12, 13, 14), ledit second niveau d'exigence en termes de sécurité d'au moins un desdits premier, deuxième et troisième modules (12, 13, 14) étant inférieur de deux degrés audit premier niveau d'exigence en termes de sécurité.
4) Procédé d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards selon la revendication 1 précédente, caractérisé en ce que lesdites première et seconde unités électroniques de calcul (3, 4) exécutent chacune un premier module identique ayant une cotation ASIL D et, respectivement, des deuxième et troisième modules différents ayant une autre cotation ASIL QM.
5) Système d'implémentation (1 , 16, 24, 27, 40) d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards correspondant à des niveaux d'exigence en termes de sécurité croissants, notés QM, A, B, C, D, apte à la mise œuvre du procédé selon l'une quelconque des revendications 1 à 4 précédentes du type de ceux implémentant ladite fonction avec un premier niveau d'exigence en termes de sécurité et comprenant au moins une première unité de calcul électronique (3, 17, 25), des moyens d'acquisition d'une donnée d'entrée (2) de ladite fonction et des moyens de génération (12, 13, 14) d'au moins une première donnée de sortie (5) de ladite fonction présentant un second niveau d'exigence en termes de sécurité inférieur audit premier niveau d'exigence en termes de sécurité, caractérisé en ce qu'il comprend en outre une seconde unité de calcul électronique (18 , 26) générant au moins une seconde donnée de sortie (6) de ladite fonction, et un commutateur (8) produisant au moins une donnée de sortie nominale (7) en commutant ladite première donnée de sortie (5) ou ladite seconde donnée de sortie (6) selon un état desdites première et seconde unités électroniques de calcul (16, 17, 25, 26), lesdites première et seconde unités électroniques de calcul étant passives après défaillance, et ledit premier niveau d'exigence en termes de sécurité étant coté D ou C et ledit second niveau d'exigence en termes de sécurité étant coté B, A ou QM, pour une diversité desdits moyens (12, 13, 14) inférieure à quatre.
6) Système d'implémentation (16, 40) d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards selon la revendication 5 précédente, caractérisé en ce qu'il comprend en outre un ensemble identique de trois modules (12, 13, 14) différents réalisant ladite fonction exécutés par chacune desdites première et seconde unités électroniques de calcul (17, 18), et des premier et second voteurs majoritaires (19, 20) générant lesdites première et seconde données de sortie (5, 6), ledit second niveau d'exigence en termes de sécurité d'au moins un desdits trois modules étant inférieur de deux degrés audit premier niveau d'exigence en termes de sécurité.
7) Système d'implémentation (24) d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards selon la revendication 5 précédente, caractérisé en ce qu'il comprend en outre d'une part, un premier et un deuxième modules (12, 13) parmi un ensemble de trois modules (12, 13, 14) différents réalisant ladite fonction exécutés par ladite première unité de calcul électronique (25), et, d'autre part, ledit deuxième et un troisième modules (13, 14) parmi ledit ensemble de trois modules (12, 13, 14) différents exécutés par ladite seconde unité de calcul électronique (26), et des premier et second voteurs majoritaires (19, 20) prenant en compte des première, deuxième et troisième sorties intermédiaires (21 , 22, 23) générées respectivement par lesdits premier, deuxième et troisième modules (12, 13, 14), ledit second niveau d'exigence en termes de sécurité d'au moins un desdits premier, deuxième et troisième modules (12, 13, 14) étant inférieur de deux degrés audit premier niveau d'exigence en termes de sécurité.
8) Système d'implémentation d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards selon la revendication 5 précédente, caractérisé en ce qu'il comprend en outre un premier module identique ayant une cotation ASIL D exécuté par chacune desdites première et seconde unités électroniques de calcul (3, 4) et des deuxième et troisième modules différents ayant une autre cotation ASIL QM exécutés respectivement par lesdites première et seconde unités électroniques de calcul (3, 4).
9) Système d'implémentation (40) d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards selon l'une quelconque des revendications 5 à 8 précédentes, caractérisé en que ladite fonction est une détection d'un objet, ladite donnée d'entrée (2) est issue d'un LIDAR (28), ou d'un radar (29), ou d'une caméra (30), et ladite au moins une donnée de sortie nominale (7) génère une commande d'un groupe comprenant une commande de direction (37), une commande moteur (38) et une commande de freinage (39).
10) Système d'implémentation (40) d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards selon la revendication 9 précédente, caractérisé en que ladite au moins une donnée de sortie (5, 6) génère ladite commande (37, 38, 39) au moyen d'un module de planification de trajectoire (41 ) coté ASIL D. 11 ) Véhicule automobile du type de ceux comportant un système d'assistance à la conduite avancé autorisant une conduite automatique sur autoroute, caractérisé en qu'il comprend un système d'implémentation (16, 24, 40) d'une fonction d'un véhicule automobile conforme à des niveaux ASIL standards selon l'une quelconque des revendications 5 à 10 précédentes.
PCT/FR2016/050768 2015-04-07 2016-04-05 Procédé d'implémentation d'une fonction d'un véhicule automobile conforme a des niveaux asil standards, système correspondant et véhicule automobile comprenant un tel système Ceased WO2016162624A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR1552961 2015-04-07
FR1552961A FR3034882B1 (fr) 2015-04-07 2015-04-07 Procede d'implementation d'une fonction d'un vehicule automobile conforme a des niveaux asil standards, systeme correspondant et vehicule automobile comprenant un tel systeme

Publications (1)

Publication Number Publication Date
WO2016162624A1 true WO2016162624A1 (fr) 2016-10-13

Family

ID=55971139

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/FR2016/050768 Ceased WO2016162624A1 (fr) 2015-04-07 2016-04-05 Procédé d'implémentation d'une fonction d'un véhicule automobile conforme a des niveaux asil standards, système correspondant et véhicule automobile comprenant un tel système

Country Status (2)

Country Link
FR (1) FR3034882B1 (fr)
WO (1) WO2016162624A1 (fr)

Cited By (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018069061A1 (fr) * 2016-10-14 2018-04-19 Valeo Schalter Und Sensoren Gmbh Procede d'elaboration d'une consigne de supervision de pilotage d'un organe de conduite d'un vehicule automobile
WO2018237121A1 (fr) * 2017-06-23 2018-12-27 Nvidia Corporation Procédé d'utilisation d'un seul contrôleur (ecu) pour un système de conduite autonome insensible aux défaillances/fonctionnant en panne
WO2018233934A1 (fr) * 2017-06-19 2018-12-27 Zf Friedrichshafen Ag Dispositif et procédé pour commander un module de véhicule
WO2019025333A1 (fr) * 2017-08-02 2019-02-07 Valeo Schalter Und Sensoren Gmbh Procede d'elaboration d'une consigne de pilotage d'un organe de conduite d'un vehicule automobile
WO2019040229A1 (fr) * 2017-08-24 2019-02-28 Qualcomm Incorporated Dispositif informatique pour permettre une commande d'accès à une ressource matérielle
EP3473512A1 (fr) * 2017-10-19 2019-04-24 Volkswagen Aktiengesellschaft Module fonctionnel, unité de commande pour un système d'aide au fonctionnement et dispositif de travail
EP3495218A1 (fr) * 2017-12-07 2019-06-12 TTTech Computertechnik AG Système informatique à tolérance de pannes pour une conduite assistée et autonome
CN112224200A (zh) * 2019-06-28 2021-01-15 纬湃科技投资(中国)有限公司 车辆设备控制系统的控制器以及功能安全控制方法
EP3778309A1 (fr) * 2019-08-15 2021-02-17 Beijing Baidu Netcom Science and Technology Co., Ltd. Véhicule autonome et système pour véhicule autonome
CN112805201A (zh) * 2018-10-09 2021-05-14 日立安斯泰莫株式会社 车辆控制系统
CN113497582A (zh) * 2020-04-06 2021-10-12 奥迪股份公司 控制设备、控制电路以及机动车
US11171481B1 (en) 2020-11-23 2021-11-09 Ford Global Technologies, Llc Dual-supply automotive electrical system with protection of motion control components
US11243257B2 (en) 2017-10-23 2022-02-08 Volkswagen Aktiengesellschaft Control system for a battery system
US20220057798A1 (en) * 2018-02-13 2022-02-24 Nvidia Corporation Sharing sensor data between multiple controllers to support vehicle operations
CN114655145A (zh) * 2020-12-24 2022-06-24 上海汽车集团股份有限公司 一种域控制器的供电方法和域控制器
CN114859773A (zh) * 2022-04-06 2022-08-05 联合汽车电子有限公司 一种采样与传输监控电路、模组、通信芯片、车辆及方法
EP4005892A4 (fr) * 2019-07-30 2022-08-24 Mazda Motor Corporation Système de commande de véhicule
US12030444B2 (en) 2021-06-21 2024-07-09 Ford Global Technologies, Llc Selective actuation of vehicle components using two control modules
WO2026087001A1 (fr) * 2024-10-21 2026-04-30 Schaeffler Technologies AG & Co. KG Architecture de communication pour véhicules permettant d'obtenir une architecture redondante de véhicule à échec actif

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102007045398A1 (de) * 2007-09-21 2009-04-02 Continental Teves Ag & Co. Ohg Integriertes Mikroprozessorsystem für sicherheitskritische Regelungen
US20130346783A1 (en) * 2010-09-28 2013-12-26 Samsung Sdi Co Ltd Method and Arrangement for Monitoring at least one Battery, Battery having such an Arrangement, and Motor Vehicle having a Corresponding Battery
US20140067192A1 (en) * 2012-08-28 2014-03-06 GM Global Technology Operations LLC Active safety systems of vehicles with graphical microprocessors
EP2765045A1 (fr) * 2013-02-12 2014-08-13 Paravan GmbH Circuit de commande d'un système d'accélération, de freinage et de direction d'un véhicule
US20150057908A1 (en) 2013-07-30 2015-02-26 MAGNETI MARELLI S.p.A. Asil b-compliant implementation of automotive safety-related functions by means of a high diagnosability, quality managed-compliant integrated circuit

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102007045398A1 (de) * 2007-09-21 2009-04-02 Continental Teves Ag & Co. Ohg Integriertes Mikroprozessorsystem für sicherheitskritische Regelungen
US20130346783A1 (en) * 2010-09-28 2013-12-26 Samsung Sdi Co Ltd Method and Arrangement for Monitoring at least one Battery, Battery having such an Arrangement, and Motor Vehicle having a Corresponding Battery
US20140067192A1 (en) * 2012-08-28 2014-03-06 GM Global Technology Operations LLC Active safety systems of vehicles with graphical microprocessors
EP2765045A1 (fr) * 2013-02-12 2014-08-13 Paravan GmbH Circuit de commande d'un système d'accélération, de freinage et de direction d'un véhicule
US20150057908A1 (en) 2013-07-30 2015-02-26 MAGNETI MARELLI S.p.A. Asil b-compliant implementation of automotive safety-related functions by means of a high diagnosability, quality managed-compliant integrated circuit

Cited By (33)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR3058378A1 (fr) * 2016-10-14 2018-05-11 Valeo Schalter Und Sensoren Gmbh Procede d'elaboration d'une consigne de supervision de pilotage d'un organe de conduite d'un vehicule automobile
WO2018069061A1 (fr) * 2016-10-14 2018-04-19 Valeo Schalter Und Sensoren Gmbh Procede d'elaboration d'une consigne de supervision de pilotage d'un organe de conduite d'un vehicule automobile
CN110770707A (zh) * 2017-06-19 2020-02-07 Zf 腓德烈斯哈芬股份公司 用于驱控车辆模块的设备和方法
WO2018233934A1 (fr) * 2017-06-19 2018-12-27 Zf Friedrichshafen Ag Dispositif et procédé pour commander un module de véhicule
WO2018237121A1 (fr) * 2017-06-23 2018-12-27 Nvidia Corporation Procédé d'utilisation d'un seul contrôleur (ecu) pour un système de conduite autonome insensible aux défaillances/fonctionnant en panne
US11214273B2 (en) 2017-06-23 2022-01-04 Nvidia Corporation Method of using a single controller (ECU) for a fault-tolerant/fail-operational self-driving system
WO2019025333A1 (fr) * 2017-08-02 2019-02-07 Valeo Schalter Und Sensoren Gmbh Procede d'elaboration d'une consigne de pilotage d'un organe de conduite d'un vehicule automobile
FR3069830A1 (fr) * 2017-08-02 2019-02-08 Valeo Schalter Und Sensoren Gmbh Procede d'elaboration d'une consigne de pilotage d'un organe de conduite d'un vehicule automobile
EP3661827A1 (fr) * 2017-08-02 2020-06-10 Valeo Schalter und Sensoren GmbH Procede d'elaboration d'une consigne de pilotage d'un organe de conduite d'un vehicule automobile
WO2019040229A1 (fr) * 2017-08-24 2019-02-28 Qualcomm Incorporated Dispositif informatique pour permettre une commande d'accès à une ressource matérielle
US10482289B2 (en) 2017-08-24 2019-11-19 Qualcomm Incorporated Computing device to provide access control to a hardware resource
EP3473512A1 (fr) * 2017-10-19 2019-04-24 Volkswagen Aktiengesellschaft Module fonctionnel, unité de commande pour un système d'aide au fonctionnement et dispositif de travail
US10983519B2 (en) 2017-10-19 2021-04-20 Volkswagen Aktiengesellschaft Functional module, control unit for an operation assistance system, and device
US11243257B2 (en) 2017-10-23 2022-02-08 Volkswagen Aktiengesellschaft Control system for a battery system
EP3495218A1 (fr) * 2017-12-07 2019-06-12 TTTech Computertechnik AG Système informatique à tolérance de pannes pour une conduite assistée et autonome
US10919524B2 (en) 2017-12-07 2021-02-16 Tttech Auto Ag Fault-tolerant computer system for assisted and autonomous driving
US11874662B2 (en) * 2018-02-13 2024-01-16 Nvidia Corporation Sharing sensor data between multiple controllers to support vehicle operations
US20220057798A1 (en) * 2018-02-13 2022-02-24 Nvidia Corporation Sharing sensor data between multiple controllers to support vehicle operations
US12481280B2 (en) 2018-02-13 2025-11-25 Nvidia Corporation Sharing sensor data between multiple controllers to support vehicle operations
CN112805201A (zh) * 2018-10-09 2021-05-14 日立安斯泰莫株式会社 车辆控制系统
CN112224200A (zh) * 2019-06-28 2021-01-15 纬湃科技投资(中国)有限公司 车辆设备控制系统的控制器以及功能安全控制方法
EP4005892A4 (fr) * 2019-07-30 2022-08-24 Mazda Motor Corporation Système de commande de véhicule
US11912291B2 (en) 2019-08-15 2024-02-27 Apollo Intelligent Driving Technology (Beijing) Co., Ltd. Autonomous vehicle and system for autonomous vehicle
EP3778309A1 (fr) * 2019-08-15 2021-02-17 Beijing Baidu Netcom Science and Technology Co., Ltd. Véhicule autonome et système pour véhicule autonome
EP3893386A1 (fr) * 2020-04-06 2021-10-13 Audi Ag Appareil de commande, circuit de commande et véhicule automobile
CN113497582A (zh) * 2020-04-06 2021-10-12 奥迪股份公司 控制设备、控制电路以及机动车
US12028008B2 (en) 2020-04-06 2024-07-02 Audi Ag Control unit, control circuit and motor vehicle
US11171481B1 (en) 2020-11-23 2021-11-09 Ford Global Technologies, Llc Dual-supply automotive electrical system with protection of motion control components
CN114655145A (zh) * 2020-12-24 2022-06-24 上海汽车集团股份有限公司 一种域控制器的供电方法和域控制器
CN114655145B (zh) * 2020-12-24 2023-12-22 上海汽车集团股份有限公司 一种域控制器的供电方法和域控制器
US12030444B2 (en) 2021-06-21 2024-07-09 Ford Global Technologies, Llc Selective actuation of vehicle components using two control modules
CN114859773A (zh) * 2022-04-06 2022-08-05 联合汽车电子有限公司 一种采样与传输监控电路、模组、通信芯片、车辆及方法
WO2026087001A1 (fr) * 2024-10-21 2026-04-30 Schaeffler Technologies AG & Co. KG Architecture de communication pour véhicules permettant d'obtenir une architecture redondante de véhicule à échec actif

Also Published As

Publication number Publication date
FR3034882A1 (fr) 2016-10-14
FR3034882B1 (fr) 2018-12-07

Similar Documents

Publication Publication Date Title
FR3034882A1 (fr) Procede d'implementation d'une fonction d'un vehicule automobile conforme a des niveaux asil standards, systeme correspondant et vehicule automobile comprenant un tel systeme
EP3242823B1 (fr) Architecture pour système d'aide à la conduite à automatisation conditionnelle
JP6611664B2 (ja) 自動運転制御装置および自動運転制御方法
JP6463571B1 (ja) 車両制御装置
EP4324123B1 (fr) Validation de synchronisation du temps
US20190186920A1 (en) Imu data offset compensation for an autonomous vehicle
US20230271628A1 (en) Distributed processing of vehicle sensor data
WO2023006709A1 (fr) Procede de pilotage de vehicule et d'evitement d'obstacle
Druml et al. Prystine-programmable systems for intelligence in automobiles
FR2977934A1 (fr) Procede et dispositif pour determiner le chemin probable d'un vehicule
Cusumano Self-driving vehicle technology: progress and promises
US10394241B2 (en) Multi-stage voting control
US11981348B2 (en) Automated driving control system and automated driving control apparatus
FR3114067A1 (fr) Procédé de guidage au moins partiellement automatisé d’un véhicule
FR2973765A1 (fr) Procede de gestion d'un vehicule automobile avec economie d'energie
FR3117077A3 (fr) Systeme de controle electronique pour vehicule automobile fonctionnant en temps reel, intelligent et sur de moteurs electriques de vehicules automobiles a propulsion electrique
US20230082947A1 (en) Motion manager, vehicle, vehicle control method, and non-transitory storage medium
FR3052575B1 (fr) Circuit de detection de defaillances systematiques et aleatoires
US12291202B2 (en) Lane keeping controller, vehicle system including the same, and method thereof
EP3661827A1 (fr) Procede d'elaboration d'une consigne de pilotage d'un organe de conduite d'un vehicule automobile
CN117918002A (zh) 用于多级融合测量数据的方法
FR3132482A1 (fr) Procédé de détection de danger dans l’environnement d’un véhicule automobile
US11745732B2 (en) Certified control for self-driving cars
US20210094559A1 (en) Fault-tolerant embedded automotive applications through cloud computing
EP4248367A1 (fr) Dispositif apprenant pour système cyber-physique mobile

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16722917

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 16722917

Country of ref document: EP

Kind code of ref document: A1