CN110962865A - 一种自动驾驶安全计算平台 - Google Patents

Abstract

本发明公开了一种自动驾驶安全计算平台，包括：第一处理单元和第二处理单元，第一处理单元和第二处理单元构成二取二结构，第一处理单元和第二处理单元之间设置高速通信通道，高速通信通道用于将第一处理单元的第一计算结果和第二处理单元的第二计算结果进行比较，当两个计算结果相同时，第一处理单元和第二处理单元分别将第一计算结果和第二计算结果输出。本发明实施例提供的自动驾驶安全计算平台，可以代替现有的计算平台用于自动驾驶汽车中；同时该计算平台采用二取二结构，即在计算平台中设置两个处理单元，通过将两个处理单元数据同步并进行实时比较，只有两个处理单元结果一致时才对外输出或传输运算结果，提高了自动驾驶的安全性和可靠性。

Description

一种自动驾驶安全计算平台

技术领域

本发明涉及智能汽车技术领域，具体涉及一种自动驾驶安全计算平台。

背景技术

自动驾驶汽车(Autonomous vehicles；Self-driving automobile)又称无人驾驶汽车、电脑驾驶汽车、或轮式移动机器人，是一种通过电脑系统实现无人驾驶的智能汽车。在20世纪已有数十年的历史，21世纪初呈现出接近实用化的趋势。自动驾驶汽车依靠人工智能、视觉计算、雷达、监控装置和全球定位系统协同合作，让电脑可以在没有任何人类主动的操作下，自动安全地操作机动车辆。

根据国际汽车工程师学会(SAE)的定义，目前自动驾驶级别分为六个等级，从L0到L5分别代表六个不同的自动驾驶等级。其中L0级代表无自动驾驶，L1级代表简单的辅助驾驶系统,L2级代表辅助驾驶系统，L3级代表有条件的自动驾驶，L4级代表高度自动驾驶，L5代表完全自动驾驶。从定义可看出，随着自动驾驶的级别越来越高，驾驶员介入系统的需求也越来越低，直至驾驶员完全不需要对自动驾驶系统进行干预。相应地，随着驾驶员介入的需求越来越低，对自动驾驶计算平台的安全性与可靠性的要求越来越高。

目前国际上汽车的安全性即功能安全主要由ISO26262标准来保证。ISO26262标准将汽车电子的功能安全定义为五个等级，即QM级，ASIL-A级，ASIL-B级，ASIL-C级与ASIL-D级。其中QM级即符合质量管理的流程，ASIL-D级代表了标准规定的最高等级要求。但目前ISO26262标准是根据传统意义的汽车电子来制定的，传统的汽车电子由于驾驶员的高度参与，与目前的自动驾驶场景不同，并且随着自动驾驶级别的提高，其与传统汽车电子的应用场景差距原来越大。因此，现有的具有ASIL-D等级的汽车电子产品已经不能满足自动驾驶应用场景的安全要求。

发明内容

有鉴于此，本发明实施例提供一种自动驾驶安全计算平台，以解决现有技术中具有ASIL-D等级的自动驾驶平台不能满足自动驾驶应用场景的安全要求的技术问题。

本发明提出的技术方案如下：

本发明实施例提供一种自动驾驶安全计算平台，该自动驾驶安全计算平台包括：第一处理单元和第二处理单元，所述第一处理单元和所述第二处理单元构成二取二结构，所述第一处理单元和所述第二处理单元之间设置高速通信通道，所述高速通信通道用于将所述第一处理单元的第一计算结果和所述第二处理单元的第二计算结果进行比较，当两个计算结果相同时，所述第一处理单元和所述第二处理单元分别将第一计算结果和第二计算结果输出，所述第一计算结果和所述第二计算结果包括自动驾驶的决策、规划与控制结果。

可选地，所述第一处理单元和所述第二处理单元为满足ASIL-D等级的处理单元。

可选地，当两个计算结果不同时，所述第一处理单元和所述第二处理单元降级运行或切断输出并宕机。

可选地，所述第一处理单元包括：第一感知单元、第一计算单元和第一控制单元，所述第二处理单元包括：第二感知单元、第二计算单元和第二控制单元，所述第一感知单元接收外部输入的传感器数据，根据所述传感器数据生成第一感知结果，所述第二感知单元接收外部输入的传感器数据，根据所述传感器数据生成第二感知结果；所述第一计算单元接收所述第一感知结果，根据所述第一感知结果进行决策规划，生成第一计算结果，所述第二计算单元接收所述第二感知结果，根据所述第二感知结果进行决策规划，生成第二计算结果，所述第一计算结果和所述第二计算结果通过所述高速通信通道进行同步比较；当两个计算结果相同时，所述第一控制单元接收所述第一计算结果，根据所述第一计算结果生成第一运动结果，所述第二控制单元接收所述第二计算结果，根据所述第二计算结果生成第二运动结果；所述自动驾驶安全计算平台将所述第一运动结果或第二运动结果输出至车载控制单元。

可选地，所述第一控制单元和所述第二控制单元生成两个运动结果后，将两个运动结果通过所述高速通信通道进行比较，当两个运动结果相同时，所述自动驾驶安全计算平台将所述第一运动结果或第二运动结果输出。

可选地，当两个运动结果不同时，所述第一处理单元和所述第二处理单元降级运行或切断输出并宕机。

可选地，该自动驾驶安全计算平台还包括：第三处理单元和第四处理单元，所述第一处理单元、所述第二处理单元、所述第三处理单元和所述第四处理单元构成二乘二取二结构，所述第三处理单元和所述第四处理单元的硬件结构和逻辑运算与所述第一处理单元或第二处理单元相同。

可选地，所述第三处理单元和所述第四处理单元构成主系结构，所述第一处理单元和所述第二处理单元构成备系结构；当所述主系结构发生故障时，所述备系结构作为主系结构输出运动结果。

可选地，当所述主系结构未发生故障时，所述备系结构不将生成的运动结果输出。

可选地，其特征在于，所述第一处理单元包括第一通信接口、第二通信接口和第一车辆控制接口，所述第二处理单元包括第三通信接口、第四通信接口和第二车辆控制接口；所述第一通信接口和所述第二通信接口连接构成所述高速通信通道，所述第二通信接口和所述第四通信接口连接汽车网关或T-Box，所述第一车辆控制接口和所述第二车辆控制接口连接车载控制单元。

本发明技术方案，具有如下优点：

本发明实施例提供的自动驾驶安全计算平台，可以代替现有的计算平台用于自动驾驶汽车中；同时该计算平台采用二取二结构，即在计算平台中设置两个处理单元，通过将两个处理单元数据同步并进行实时比较，只有两个处理单元结果一致时才对外输出或传输运算结果。因此，本发明实施例提供的自动驾驶安全计算平台的安全性和可靠性高于现有的单个计算平台，从而提高了自动驾驶的安全性和可靠性。

本发明实施例提供的自动驾驶安全计算平台，通过将满足ASIL-D的硬件单元作为处理单元，采用两个处理单元形成二取二架构，再通过双系冗余组成整个计算平台。因此，本发明实施例提供的自动驾驶安全计算平台，其安全性与可靠性要高于单个硬件单元，进而提高了自动驾驶的安全性与可靠性。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中自动驾驶安全计算平台的结构框图；

图2为本发明另一实施例中自动驾驶安全计算平台的结构框图；

图3为本发明实施例中自动驾驶安全计算平台第一处理单元和第二处理单元的处理过程流程图；

图4为本发明另一实施例中自动驾驶安全计算平台的结构框图；

图5为本发明另一实施例中自动驾驶安全计算平台的结构框图。

具体实施方式

下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的描述中，需要说明的是，术语“中心”、“上”、“下”、“左”、“右”、“竖直”、“水平”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”、“第三”仅用于描述目的，而不能理解为指示或暗示相对重要性。

在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，还可以是两个元件内部的连通，可以是无线连接，也可以是有线连接。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

此外，下面所描述的本发明不同实施方式中所涉及的技术特征只要彼此之间未构成冲突就可以相互结合。

本发明实施例提供一种自动驾驶安全计算平台，如图1所示，该计算平台包括：第一处理单元1和第二处理单元2，第一处理单元1和第二处理单元2构成二取二结构，第一处理单元1和第二处理单元2之间设置高速通信通道10，高速通信通道10用于将第一处理单元1的第一计算结果和第二处理单元2的第二计算结果进行比较，当两个计算结果相同时，第一处理单元1和第二处理单元2分别将第一计算结果和第二计算结果输出，所述第一计算结果和所述第二计算结果包括自动驾驶的决策、规划与控制结果。

本发明实施例提供的自动驾驶安全计算平台，可以代替现有的计算平台用于自动驾驶汽车中；同时该计算平台采用二取二结构，即在计算平台中设置两个处理单元，通过将两个处理单元数据同步并进行实时比较，只有两个处理单元结果一致时才对外输出或传输运算结果。因此，本发明实施例提供的自动驾驶安全计算平台的安全性和可靠性高于现有的单个计算平台，从而提高了自动驾驶的安全性和可靠性。

作为本发明实施例的一种可选的实施方式，第一处理单元1和第二处理单元2为满足ASIL-D等级的处理单元。具体地，选择满足ASIL-D等级的处理单元可以提高每个处理单元的安全性和可靠性，从而可以进一步提高自动驾驶的安全性。

可选地，当两个处理单元计算得到的计算结果不同时，第一处理单元1和第二处理单元2降级运行或切断输出并宕机。具体地，当两个处理单元的计算结果不同时，可能是某一处理单元发生故障，此时，可以将处理单元停机并停止输出结果，同时也可以将处理单元降级运行。

本发明实施例提供的自动驾驶安全计算平台，通过设置二取二结构，将两个处理单元是结果进行比较，当发现两个结果不同时，可以降级运行或切断输出并宕机。而现有的计算平台中通常只具有一个处理单元，即使处理单元的逻辑计算出现故障，可能也会正常输出计算结果，这样会导致汽车按照错误的方向行驶。本发明实施例提供的自动驾驶安全计算平台，只有两个计算结果相同时才输出，避免了不能及时发现结果的可能性，提高了自动驾驶汽车的安全性。

作为本发明实施例的一种可选的实施方式，如图2所示，第一处理单元1包括：第一感知单元11、第一计算单元12和第一控制单元13，第二处理单元2包括：第二感知单元21、第二计算单元22和第二控制单元23。

其中，如图3所示，第一感知单元11接收外部输入的传感器数据，根据传感器数据生成第一感知结果，第二感知单元21接收外部输入的传感器数据，根据传感器数据生成第二感知结果；第一计算单元12接收第一感知结果，根据第一感知结果进行决策规划，生成第一计算结果，第二计算单元22接收第二感知结果，根据第二感知结果进行决策规划，生成第二计算结果，第一计算结果和第二计算结果通过高速通信通道进行同步比较；当两个计算结果相同时，第一控制单元13接收第一计算结果，根据第一计算结果生成第一运动结果，第二控制单元23接收第二计算结果，根据第二计算结果生成第二运动结果；自动驾驶安全计算平台将第一运动结果或第二运动结果输出至车载控制单元3。

具体地，上述传感器数据可以是车载摄像头或激光雷达、毫米波雷达等探测到的数据，两个感知单元可以分别接收这些传感器数据进行感知，例如可以接收摄像头的拍摄画面或视频，从而提取车外的路况等信息；同时，也可以获取雷达发射或接收的脉冲信号等，从而可以得到车外与其他障碍物等的距离。感知单元感知后可以将感知结果发送至计算平台，计算平台可以根据感知结果进行自动驾驶的决策和规划，例如可以根据路况信息等规划汽车的运行情况。

两个计算单元计算得到的计算结果通过高速通信通道进行比较后，输出至两个控制单元，两个控制单元可以根据计算单元规划的汽车运行情况生成汽车运行的控制信号。该自动驾驶安全计算平台可以将该控制信号输出至车载控制单元3(ECU，ElectronicControl Unit)，车载控制单元3可以根据该控制信号控制汽车的运行。

作为本发明实施例的一种可选的实施方式，如图3所示，第一控制单元13和第二控制单元23生成两个运动结果后，将两个运动结果通过高速通信通道进行比较，当两个运动结果相同时，自动驾驶安全计算平台将第一运动结果或第二运动结果输出。具体地，当控制单元生成运动结果后，可以先将两个运动结果通过高速通信通道进行比较，当比较结果相同时，再将运动结果输出。

可选地，如图3所示，当两个运动结果不同时，第一处理单元1和第二处理单元2降级运行或切断输出并宕机。具体地，在两个控制单元生成运动结果后，可以进行再一次的比较，从而避免控制单元的故障对运动结果的影响。

作为本发明实施例的一种可选的实施方式，如图4所示，第一处理单元1包括第一通信接口14、第二通信接口15和第一车辆控制接口16，第二处理单元2包括第三通信接口24、第四通信接口25和第二车辆控制接口26；第一通信接口14和第三通信接口24连接构成高速通信通道10，第二通信接口15和第四通信接口25连接汽车网关或T-Box，第一车辆控制接口16和第二车辆控制接口26连接车载控制单元。具体地，第二通信接口15或第四通信接口25连接汽车网关或T-Box，可以与车内其他网络进行通信，可以接收外部数据，也可以将生成的结果输出。第一车辆控制接口16和第二车辆控制接口26可以是CAN接口，也可以选择其他类型的数据通信接口，本发明对此不做限定。

作为本发明实施例的一种可选的实施方式，如图5所示，该自动驾驶安全计算平台还包括：第三处理单元4和第四处理单元5，第一处理单元1、第二处理单元2、第三处理单元4和第四处理单元5构成二乘二取二结构，第三处理单元4和第四处理单元5的硬件结构和逻辑运算与第一处理单元1或第二处理单元2相同。

可选地，第三处理单元4和所述第四处理单元5构成备系结构，第一处理单元1和第二处理单元2构成主系结构；当主系结构发生故障时，备系结构作为主系结构输出运动结果。当主系结构未发生故障时，备系结构不将生成的运动结果输出。

具体地，两系二乘之间的主系与备系的冗余结构保障了整个计算平台的可靠性。如图5所示，整个计算平台可分成主系与备系。主系与备系的硬件架构与逻辑运算完全相同。逻辑上主系负责所有功能流程，备系处于standby(待机模式)状态。主系与备系的不同在于正常工作情况下，主系与备系都接收来自外部的数据，例如自动驾驶的传感器数据、网关数据或者车辆ECU数据等，经过各自的处理与相互的同步比较后若结果相同则由主系输出数据，备系不发出数据。当主系遇到故障后，计算平台通过mater switch(主控开关)切换到备系，达到备升主的状态，这样原来的备系变成现在的主系，原来的备系作为主系进行结果的输出。原来的主系此时则根据自身的逻辑进行重启等故障修复，修复完成后原来的主系转为备系，跟现在的主系即原来的备系一起继续组成冗余架构，保障整个计算平台正常地运行。

本发明实施例提供的自动驾驶安全计算平台，通过将满足ASIL-D的硬件单元作为处理单元，采用两个处理单元形成二取二架构，再通过双系冗余组成整个计算平台。因此，本发明实施例提供的自动驾驶安全计算平台，其安全性与可靠性要高于单个硬件单元，进而提高了自动驾驶的安全性与可靠性。

虽然关于示例实施例及其优点已经详细说明，但是本领域技术人员可以在不脱离本发明的精神和所附权利要求限定的保护范围的情况下对这些实施例进行各种变化、替换和修改，这样的修改和变型均落入由所附权利要求所限定的范围之内。对于其他例子，本领域的普通技术人员应当容易理解在保持本发明保护范围内的同时，工艺步骤的次序可以变化。

此外，本发明的应用范围不局限于说明书中描述的特定实施例的工艺、机构、制造、物质组成、手段、方法及步骤。从本发明的公开内容，作为本领域的普通技术人员将容易地理解，对于目前已存在或者以后即将开发出的工艺、机构、制造、物质组成、手段、方法或步骤，其中它们执行与本发明描述的对应实施例大体相同的功能或者获得大体相同的结果，依照本发明可以对它们进行应用。因此，本发明所附权利要求旨在将这些工艺、机构、制造、物质组成、手段、方法或步骤包含在其保护范围内。

Claims (10)

1.一种自动驾驶安全计算平台，其特征在于，包括：第一处理单元和第二处理单元，所述第一处理单元和所述第二处理单元构成二取二结构，

所述第一处理单元和所述第二处理单元之间设置高速通信通道，所述高速通信通道用于将所述第一处理单元的第一计算结果和所述第二处理单元的第二计算结果进行比较，当两个计算结果相同时，所述第一处理单元和所述第二处理单元分别将第一计算结果和第二计算结果输出；

所述第一计算结果和所述第二计算结果包括自动驾驶的决策、规划与控制结果。

2.根据权利要求1所述的自动驾驶安全计算平台，其特征在于，所述第一处理单元和所述第二处理单元为满足ASIL-D等级的处理单元。

3.根据权利要求1所述的自动驾驶安全计算平台，其特征在于，当两个计算结果不同时，所述第一处理单元和所述第二处理单元降级运行或切断输出并宕机。

4.根据权利要求1所述的自动驾驶安全计算平台，其特征在于，所述第一处理单元包括：第一感知单元、第一计算单元和第一控制单元，所述第二处理单元包括：第二感知单元、第二计算单元和第二控制单元；

所述第一感知单元接收外部输入的传感器数据，根据所述传感器数据生成第一感知结果，所述第二感知单元接收外部输入的传感器数据，根据所述传感器数据生成第二感知结果；

所述第一计算单元接收所述第一感知结果，根据所述第一感知结果进行决策规划，生成第一计算结果，所述第二计算单元接收所述第二感知结果，根据所述第二感知结果进行决策规划，生成第二计算结果，所述第一计算结果和所述第二计算结果通过所述高速通信通道进行同步比较；

当两个计算结果相同时，所述第一控制单元接收所述第一计算结果，根据所述第一计算结果生成第一运动结果，所述第二控制单元接收所述第二计算结果，根据所述第二计算结果生成第二运动结果；

所述自动驾驶安全计算平台将所述第一运动结果或第二运动结果输出至车载控制单元。

5.根据权利要求4所述的自动驾驶安全计算平台，其特征在于，所述第一控制单元和所述第二控制单元生成两个运动结果后，将两个运动结果通过所述高速通信通道进行比较，当两个运动结果相同时，所述自动驾驶安全计算平台将所述第一运动结果或第二运动结果输出。

6.根据权利要求5所述的自动驾驶安全计算平台，其特征在于，当两个运动结果不同时，所述第一处理单元和所述第二处理单元降级运行或切断输出并宕机。

7.根据权利要求1所述的自动驾驶安全计算平台，其特征在于，还包括：第三处理单元和第四处理单元，所述第一处理单元、所述第二处理单元、所述第三处理单元和所述第四处理单元构成二乘二取二结构，所述第三处理单元和所述第四处理单元的硬件结构和逻辑运算与所述第一处理单元或第二处理单元相同。

8.根据权利要求7所述的自动驾驶安全计算平台，其特征在于，所述第三处理单元和所述第四处理单元构成主系结构，所述第一处理单元和所述第二处理单元构成备系结构；当所述主系结构发生故障时，所述备系结构作为主系结构输出运动结果。

9.根据权利要求8所述的自动驾驶安全计算平台，其特征在于，当所述主系结构未发生故障时，所述备系结构不将生成的运动结果输出。

10.根据权利要求1-9任一项所述的自动驾驶安全计算平台，其特征在于，所述第一处理单元包括第一通信接口、第二通信接口和第一车辆控制接口，所述第二处理单元包括第三通信接口、第四通信接口和第二车辆控制接口；

所述第一通信接口和所述第二通信接口连接构成所述高速通信通道，所述第二通信接口和所述第四通信接口连接汽车网关或T-Box，所述第一车辆控制接口和所述第二车辆控制接口连接车载控制单元。

Images