[發明專利]智能駕駛汽車軟件架構通信鏈的功能安全監控裝置及方法

有效

• 申請號: 202010436840.8
• 申請日: 2020-05-21
• 公開（公告）號: CN111740874B
• 公開（公告）日: 2021-12-07
• 發明（設計）人: 李艷文;奚文霞;劉波雨;李鴻鵬;孫辰;王喜洋;王陽;劉旭
• 申請（專利權）人: 中國汽車技術研究中心有限公司;中汽研（天津）汽車工程研究院有限公司
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L12/24
• 代理公司: 天津企興智財知識產權代理有限公司 12226
• 代理人: 楊娥

1.一種用于智能駕駛汽車軟件架構通信鏈的功能安全監控裝置，其特征在于：包括功能安全監控模塊，所述功能安全監控模塊包括服務層診斷功能模塊、ECU抽象層診斷功能模塊、MCU抽象層診斷功能模塊、第一失效處理模塊、第二失效處理模塊、第三失效處理模塊、以及緊急操作模塊；

所述服務層診斷功能模塊用于對服務層各模塊提供診斷,服務層包括OS模塊、COM模塊和PDUR模塊；

所述ECU抽象層診斷功能模塊用于對接口層各模塊提供診斷；

所述MCU抽象層診斷功能模塊用于對驅動層各模塊提供診斷；

所述第一失效處理模塊用于對服務層各模塊、服務層診斷功能模塊和第三失效處理模塊進行失效監控；

所述第二失效處理模塊用于對接口層各模塊、ECU抽象層診斷功能模塊和第一失效處理模塊進行失效監控；

所述第三失效處理模塊用于對驅動層各模塊、MCU抽象層診斷功能模塊、和第二失效處理模塊進行失效監控；

所述緊急操作模塊用于接收第一失效處理模塊、第二失效處理模塊、第三失效處理模塊的信息。

2.根據權利要求1所述的一種用于智能駕駛汽車軟件架構通信鏈的功能安全監控裝置，其特征在于：所述功能安全監控模塊用于監控通信鏈路中各個相關模塊的功能是否失效，若失效，采取相應安全機制以達到安全狀態，并提示報警。

3.根據權利要求1所述的一種用于智能駕駛汽車軟件架構通信鏈的功能安全監控裝置，其特征在于：所述功能安全監控模塊的診斷功能包括檢驗信號傳遞有效性，包括診斷出信號的損壞、延遲、丟失、重復、順序錯誤、信息插入和偽消息。

4.根據權利要求1所述的一種用于智能駕駛汽車軟件架構通信鏈的功能安全監控裝置，其特征在于：所述第一失效處理模塊對服務層各模塊、服務層診斷功能模塊和第三失效處理模塊進行失效監控，當服務層診斷功能模塊輸入信號與第一失效處理模塊不一致，優先信任第一失效處理模塊；

服務層包括OS模塊、COM模塊和PDUR模塊。

5.根據權利要求1所述的一種用于智能駕駛汽車軟件架構通信鏈的功能安全監控裝置，其特征在于：所述第二失效處理模塊對接口層各模塊、ECU抽象層診斷功能模塊和第一失效處理模塊進行失效監控，當ECU抽象層診斷功能模塊輸入信號與第二失效處理模塊不一致，優先信任第二失效處理模塊。

6.根據權利要求1所述的一種用于智能駕駛汽車軟件架構通信鏈的功能安全監控裝置，其特征在于：所述第三失效處理模塊對驅動層各模塊、MCU抽象層診斷功能模塊和第二失效處理模塊進行失效監控，當MCU抽象層診斷功能模塊輸入信號與第三失效處理模塊不一致，優先信任第三失效處理模塊。

7.根據權利要求1所述的一種用于智能駕駛汽車軟件架構通信鏈的功能安全監控裝置，其特征在于：當第一失效處理模塊失效，由第二失效處理模塊代替實現第一失效處理模塊功能；當第二失效處理模塊失效，由第三失效處理模塊代替實現第二失效處理模塊功能；當第三失效處理模塊失效，由第一失效處理模塊代替實現第三失效處理模塊功能。

8.根據權利要求1所述的一種用于智能駕駛汽車軟件架構通信鏈的功能安全監控裝置，其特征在于：當緊急操作模塊接收到兩個及以上失效處理模塊錯誤或者服務層、接口層、驅動層其中之一失效無法恢復，通過緊急操作模塊給車輛降功率降速，并報警提示駕駛員接管車輛靠邊停車；

服務層包括OS模塊、COM模塊和PDUR模塊。

9.一種用于智能駕駛汽車軟件架構通信鏈的功能安全監控方法，其特征在于：包括如下步驟：

(1)服務層接收應用層軟件數據信號，若服務層失效，則服務層重新啟動，若仍失效，則終止任務，進入緊急操作模塊，并提示服務層失效報警；

服務層包括OS模塊、COM模塊和PDUR模塊；

(2)服務層診斷功能模塊對服務層進行失效診斷，若服務層診斷功能模塊失效，則重新啟動并初始化，若仍失效，則提示診斷模塊失效報警；

(3)第一失效處理模塊對服務層、服務層診斷功能模塊和第三失效處理模塊進行監控，若第一失效處理模塊失效，則停止第一失效處理模塊，由第二失效處理模塊接管監控服務層和服務層診斷功能模塊，同時發送失效信息給緊急操作模塊；

(4)接口層接收服務層的數據并將數據發送給驅動層，若接口層失效，則重新接收發送數據；若仍失效，則終止任務，進入緊急操作模塊，并提示接口層失效報警；

(5)ECU抽象層診斷功能模塊對接口層進行失效診斷，若ECU抽象層診斷功能模塊失效，則重新啟動并初始化，若仍失效，則提示診斷模塊失效報警；

(6)第二失效處理模塊對接口層、ECU抽象層診斷功能模塊和第一失效處理模塊進行監控，若第二失效處理模塊失效，則停止第二失效處理模塊，由第三失效處理模塊接管監控接口層和ECU抽象層診斷功能模塊，同時發送失效信息給緊急操作模塊；

(7)驅動層接收來自接口層的數據并將數據發送給硬件層，若驅動層失效，則重新接收發送數據；若仍失效，則終止任務，進入緊急操作模塊，并提示驅動層失效報警；

(8)MCU抽象層診斷功能模塊對驅動層進行失效診斷，若MCU抽象層診斷功能模塊失效，則重新啟動并初始化，若仍失效，則提示診斷模塊失效報警；

(9)第三失效處理模塊對驅動層、MCU抽象層診斷功能模塊和第二失效處理模塊進行監控，若第三失效處理模塊失效，則停止第三失效處理模塊，由第一失效處理模塊接管監控驅動層和MCU抽象層診斷功能模塊，同時發送失效信息給緊急操作模塊；

(10)最終將正確的應用層軟件數據信息發送至硬件層。