CN112550313A - 通过云计算的容错嵌入式汽车应用程序 - Google Patents

Abstract

公开了一种车辆、车辆的操作系统和操作车辆的方法。在车辆上操作本地电子控制单元以控制车辆。备用电子控制单元在远程计算平台上操作，以控制车辆。在本地电子控制单元发生故障时，车辆的控制从本地电子控制单元转移到备用电子控制单元。

Description

通过云计算的容错嵌入式汽车应用程序

技术领域

本主题公开涉及用于增加容错能力的系统和方法，并且特别地，涉及使用云计算平台来提供用于车辆的复制控制系统。

背景技术

自主车辆包括主控制系统，该主控制系统执行各种计算并发出各种命令，以便在没有驾驶员输入的情况下进行操作。在发生故障的情况下，自主车辆可以通知驾驶员，以便将车辆的控制权交还驾驶员。但是，这种过渡需要等待驾驶员响应车辆提供的信号，这可能意味着车辆长时间保持操作。为了在此过渡时间内保持控制，自主车辆通常具有冗余或辅助控制系统，该系统在主控制系统中发生故障时控制车辆。这种冗余导致车辆的附加硬件和软件需求，这导致附加的空间需求和成本。因此，期望提供一种冗余控制系统，而不会引起车辆的成本或空间需求。

发明内容

在一个示例性实施例中，公开了一种操作车辆的方法。在车辆上操作本地电子控制单元以控制车辆。备用(backup)电子控制单元在远程计算平台上操作，以控制车辆。在本地电子控制单元发生故障时，车辆的控制从本地电子控制单元转移到备用电子控制单元。

除了本文所述的一个或多个特征之外，远程计算平台是云处理器，而备用电子控制单元是虚拟电子控制单元。相同的输入将发送到本地电子控制单元和备用电子控制单元。在一个实施例中，备用电子控制单元将备用输出发送到车辆，并且当车辆未接收到备用输出时，在车辆上开始故障缓解程序。在另一实施例中，本地电子控制单元生成本地输出，备用电子控制单元生成备用输出，并且当检测到本地输出与备用输出之间存在差异时，开始故障缓解程序。本地电子控制单元的本地状态被发送到远程计算平台，并且备用电子控制单元的备用状态被更新为本地电子控制单元的本地状态。在一个实施例中，备用电子控制单元包括生成第一备用输出的第一备用电子控制单元和生成第二备用输出的第二备用电子控制单元，并且该方法还包括将本地电子控制单元的本地输出与远程计算平台上的第一备用输出和第二备用输出中的至少一个进行比较。

在另一个示例性实施例中，公开了一种用于车辆的操作系统。该操作系统包括车辆的本地电子控制单元和远程计算平台。本地电子控制单元被配置为控制车辆。远程计算平台提供备用电子控制单元，其配置成控制车辆。在本地电子控制单元处发生故障时，车辆将车辆的控制从本地电子控制单元转移到备用电子控制单元。

除了本文所述的一个或多个特征之外，远程计算平台是云处理器，并且备用电子控制单元是虚拟电子控制单元。本地电子控制单元和备用电子控制单元使用相同的输入进行操作。在一个实施例中，备用电子控制单元将备用输出发送至车辆，并且当车辆未接收到备用输出时，车辆开始故障减轻程序。在另一实施例中，本地电子控制单元生成本地输出，备用电子控制单元生成备用输出，并且当检测到本地输出与备用输出之间存在差异时，车辆开始故障减轻程序。车辆将本地电子控制单元的本地状态发送到远程计算平台，并且备用电子控制单元将其备用状态更新为本地电子控制单元的本地状态。在一个实施例中，备用电子控制单元包括生成第一备用输出的第一备用电子控制单元和生成第二备用输出的第二备用电子控制单元，并且远程计算平台的云看门狗将本地电子控制单元的本地输出与第一备用输出和第二备用输出中的至少一个进行比较。

在另一个示例性实施例中，公开了一种车辆。车辆包括配置为控制车辆的本地电子控制单元。车辆与配置为提供用于控制车辆的备用电子控制单元的远程计算平台通信。车辆被配置为在本地电子控制单元发生故障时将车辆的控制从本地电子控制单元转移到备用电子控制单元。

除了本文描述的一个或多个特征之外，本地电子控制单元和备用电子控制单元使用相同的输入进行操作。在一个实施例中，备用电子控制单元将备用输出发送到车辆，并且车辆进一步配置为当车辆上没有接收到备用输出时开始故障减轻程序。在另一个实施例中，本地电子控制单元生成本地输出，备用电子控制单元生成备用输出，并且进一步配置车辆以在检测到本地输出与备用输出之间的差异时开始故障减轻程序。车辆还被配置为将本地电子控制单元的本地状态发送到远程计算平台，以将备用电子控制单元的备用状态更新为本地电子控制单元的本地状态。在一个实施例中，备用电子控制单元还包括第一备用电子控制单元，其生成第一备用输出；以及第二备用电子控制单元，其生成第二备用输出；所述车辆被配置为基于本地电子控制单元的本地输出与在远程计算平台的云看门狗处执行的第一备用输出和第二备用输出中的至少一个的比较而进行操作。

当结合附图考虑时，根据以下详细描述，本公开的上述特征和优点以及其他特征和优点将显而易见。

附图说明

在下面的详细描述中，仅以示例的方式出现其他特征、优点和细节，该详细描述参考附图，在附图中：

图1示出了示例性实施例中的车辆；

图2示出了在车辆的控制单元中发生故障时用于操作车辆的操作系统的框图；

图3示出了在车辆的控制单元中发生故障时用于操作自主车辆的替代操作系统的框图；

图4示出了说明图2或图3的操作系统的操作的数据流程图；

图5示出了说明图2和图3的操作系统的附加数据操作的数据流程图500；

图6示出了数据流程图600，其示出了图2和图3的操作系统的附加数据操作；和

图7示出了说明图2和图3的操作系统的操作的数据流程图700。

具体实施方式

以下描述本质上仅是示例性的，并不旨在限制本公开、其应用或用途。应当理解，在所有附图中，相应的附图标记表示相同或相应的部件和特征。

根据示例性实施例，图1示出了车辆10。在示例性实施例中，车辆10是半自主或自主车辆。在各个实施例中，车辆10包括至少一个驾驶员辅助系统，用于使用关于驾驶环境的信息(例如巡航控制和车道居中)来进行转向和加速/减速。通过使驾驶员的手同时离开方向盘和脚踩下踏板，可以使驾驶员脱离物理操作车辆10，但驾驶员必须准备好控制车辆。

通常，轨迹规划系统100确定用于车辆10的自动驾驶的轨迹规划。车辆10通常包括底盘12、车身14、前轮16和后轮18。主体14布置在底盘12上并且基本上包围车辆10的部件。主体14和底盘12可以共同形成框架。车轮16和18各自在车身14的相应拐角附近旋转地联接至底盘12。

如图所示，车辆10通常包括推进系统20、变速器系统22、转向系统24、制动系统26、传感器系统28、致动器系统30、至少一个数据存储设备32。在各个实施例中，推进系统20可以包括内燃机，诸如牵引电动机之类的电机和/或燃料电池推进系统。变速器系统22配置成根据可选择的速比将动力从推进系统20传递到车轮16和18。根据各个实施例，变速器系统22可包括步进比自动变速器、连续可变变速器或其他适当的变速器。制动系统26被配置为向车轮16和18提供制动扭矩。在各个实施例中，制动系统26可以包括摩擦制动器、线制动，诸如电机的再生制动系统和/或其他适当的制动系统。转向系统24影响车轮16和18的位置。虽然出于说明性目的被描绘为包括方向盘，但是在本公开范围内预期的一些实施例中，转向系统24可以不包括方向盘。

传感器系统28包括一个或多个感测设备40a-40n，其感测车辆10的外部环境和/或内部环境的可观察到的状况。感测设备40a-40n可以包括但不限于：雷达、激光雷达、全球定位系统、光学相机、热像仪、超声波传感器和/或其他用于观察和测量外部环境参数的传感器。感测设备40a-40n可以进一步包括制动传感器、转向角传感器、车轮速度传感器等，用于观察和测量车辆的车辆内参数。相机可包括彼此隔开选定距离的两个或更多个数字相机，其中，两个或更多个数字相机用于获得周围环境的立体图像，以便获得三维图像。致动器系统30包括一个或多个致动器设备42a-42n，其控制一个或多个车辆特征，例如但不限于推进系统20、变速器系统22、转向系统24和制动系统26。在各个实施例中，车辆特征可以进一步包括内部和/或外部车辆特征，例如但不限于门、行李箱和舱室特征，例如空气、音乐、照明等(未编号)。

至少一个控制器34包括至少一个处理器44和计算机可读存储设备或介质46。至少一个处理器44可以是任何定制或可商购的处理器、中央处理器(CPU)、图形处理单元(GPU)、与至少一个控制器34相关联的多个处理器中的辅助处理器、基于半导体的微处理器(为微芯片或芯片集形式的)、宏处理器、其任何组合或通常用于执行指令的任何设备。计算机可读存储设备或介质46可以包括例如只读存储器(ROM)、随机存取存储器(RAM)和保持活动存储器(KAM)中的易失性和非易失性存储器。KAM是永久性或非易失性存储器，其可用于在至少一个处理器44断电时存储各种操作变量。计算机可读存储设备或介质46可以使用许多已知的存储设备中的任何一种来实现，例如PROM(可编程只读存储器)、EPROM(电PROM)、EEPROM(电可擦除PROM)、闪存或或能够存储由至少一个控制器34在控制车辆10中使用的数据的任何其他电、磁、光或组合存储设备，其中一些数据代表可执行指令。

指令可以包括一个或多个单独的程序，每个程序包括用于实现逻辑功能的可执行指令的有序列表。所述指令在由至少一个处理器44执行时，接收并处理来自传感器系统28的信号，执行用于自动控制车辆10的部件的逻辑、计算、方法和/或算法，并向致动器系统30生成控制信号以基于逻辑、计算、方法和/或算法来自动控制车辆10的部件。尽管在图1中仅显示了一个控制器，但是车辆10的实施例可以包括任何数量的控制器，其通过任意合适的通信介质或通信介质的组合进行通信并协作以处理传感器信号，执行逻辑、计算、方法和/或算法，并生成控制信号以自动控制车辆10的特征。

通信系统36被配置为将信息无线传送到其他实体48或无线传送来自于其他实体48的信息，例如，但不限于其他车辆(“V2V”通信)、基础设施(“V2I”通信)、远程系统和/或个人设备。在示例性实施例中，通信系统36是无线通信系统，其被配置为使用IEEE 802.11标准经由无线局域网(WLAN)或通过使用蜂窝数据通信进行通信。然而，在本公开的范围内也考虑了诸如专用短程通信(DSRC)通道之类的附加或替代通信方法。DSRC通道是指专门为汽车用途和以及一组相应的协议和标准而设计的单向或双向短程到中程无线通信通道。

图2示出了在车辆的控制单元中发生故障时用于操作车辆10的操作系统200的框图。操作系统200包括车辆电子设备202和远程计算平台204。车辆电子设备202包括车辆10上的多个电子控制单元(ECU)206，用于控制和操作车辆的各种部件。多个ECU 206连接到网关208，网关208提供ECU 206和远程信息处理模块210之间的通信路径。远程信息处理模块将数据从ECU 206传送到远程计算平台204，并且还从远程计算平台204接收数据。远程信息处理模块210可以使用任何合适的协议(例如但不限于4G蜂窝、5G蜂窝、IEEE 802.11x(WiFi、DSRC))与远程计算平台204通信。操作系统200包括具有将新特征或软件更新无线下载到车辆的能力。

远程计算平台204可以包括任何合适的远程计算机212，例如云计算机，云处理器、云计算机集群或多路访问边缘计算系统等。在各个实施例中，远程计算平台204操作虚拟的ECU以充当自主汽车的本地ECU的后备。为了说明的目的，第一本地ECU 220和第二本地ECU222被示为车辆电子设备202的部件。远程计算平台204被示为操作第一备用ECU 224以作为第一本地ECU 220的备用和操作第二备用ECU 226以作为第二本地ECU222的备用。用于控制车辆10或车辆的部件的主软件过程228在第一本地ECU 220上运行。同时，备用软件过程230在第一备用ECU 224上运行，以便提供在第一局部ECU 220发生故障的情况下提供车辆的连续操作。

图3示出了在车辆的控制单元中发生故障时用于操作自主车辆的替代操作系统300的框图。替代操作系统300包括基于区域的车辆电子设备302和远程计算平台204。基于区域的车辆电子设备302包括多个区域模块304。每个区域模块304控制和操作车辆10的选定区域内的各种电子仪器(未示出)。区域模块304与各种计算机模块通信。为了说明的目的，示出了第一计算机模块306和第二计算机模块308。在各个实施例中，区域模块304可以从区域内的各种传感器收集数据，并将数据传送到第一计算机模块306和第二计算机模块308中的一个或多个，其可以处理数据并将命令返回到区域模块304，用于在所选区域内操作电子仪器。

在各个实施例中，远程计算平台204可以包括任何合适的远程计算机212，诸如云计算机、云处理器、云计算机集群或多路访问边缘计算系统。远程计算平台204操作至少一个虚拟ECU以充当车辆10的计算机模块的备用。出于说明的目的，示出了第一备用ECU 312和第二备用ECU 314，两者都可以是虚拟ECU。第一计算机模块306和第二计算机模块308可以使用诸如但不限于4G蜂窝、5G蜂窝、IEEE 802.11x(WiFi、DSRC)的任何合适的协议与远程计算平台204通信。

出于说明性目的，正在第一计算机模块306上执行用于控制车辆或车辆部件的主软件过程310。正在远程计算平台204的第一备用ECU 312上执行备用软件过程316，以便在第一计算机模块306发生故障时提供车辆的连续运行。

图4示出了一实施例中的数据流程图400，该数据流程图400示出了图2或图3的操作系统的操作。数据流程图400包括在车辆电子设备202处执行的各种过程以及在远程计算平台204处执行的其他过程。

为了说明的目的，仅示出了车辆电子设备202的第一本地ECU 220。在第一本地ECU220上执行车辆电子设备202的各种操作。第一本地ECU 220接收输入(框402)，并使用该输入执行主程序(框404)并生成输出(框406)。输入可以是在车辆处接收到的任何数据或感测到的测量值，并且输出可以是在各个实施例中要显示的命令或值。在各个实施例中，第一本地ECU 220的操作可以是周期性的或偶然的或基于事件的。将输出提供给车辆10的致动器设备(框408)或其他合适的设备，以便基于对第一本地ECU 220的输入在车辆上执行动作。

类似地，出于说明性目的，远程计算平台204仅被示出具有第一备用ECU 224。提供给第一本地ECU 220的输入(或输入的副本)被传送或发送到远程计算平台204(框410)，并用作第一备用ECU 224的输入。第一备用ECU 224接收输入(框412)并执行备用程序(框414)，从而生成备用输出(框416)。备用程序通常与在第一本地ECU 220处执行的主程序相同。备用输出可以从远程计算平台204传送(框418)，并在车辆电子设备202处接收(框420)。在第一本地ECU 220上发生故障并且因此在第一本地ECU 220上没有产生输出的情况下，则备用输出可用于控制致动器设备的操作(框408)。

车辆电子设备202还包括本地看门狗程序(框422)，其监视车辆电子设备202和第一本地ECU 220的操作。在一个实施例中，本地看门狗程序(框422)监视来自远程计算平台204的备用输出的接收。只要以规则或预期的间隔接收到备用输出，本地看门狗程序(框422)就允许第一本地ECU和车辆电子设备202的正常运行。如果在备用输出的接收中存在中断，或者如果不再接收到备用输出，则本地看门狗程序(框422)可以开始故障减轻操作(框424)。故障减轻可以包括关闭车辆、将车辆的控制权交给驾驶员、发出警报、开始维修程序等。

远程计算平台204还包括用于将备用输出与本地输出进行比较的远程看门狗程序(框426)。在各个实施例中，来自第一本地ECU 220的本地输出被发送(框430)到看门狗程序(框426)以及备用输出(框416)。远程看门狗程序(框426)将备用输出与本地输出进行比较，以确定输出是否相互匹配，从而指示第一本地ECU 220的正常运行。比较结果可用于通知车辆电子设备，这可以开始减少故障的过程。

图5示出了一实施例中的数据流程图500，该数据流程图500示出了图2和图3的操作系统的附加数据操作。数据流程图500包括关于图4讨论的数据操作。图5的附加数据操作提供了对本地输出和备用输出之间差异的认识。本地输出可以被保存在缓冲器中(框502)。在车辆电子设备202处从远程计算平台204接收备用输出(框420)。将来自缓冲器的本地输出和接收到的备用输出彼此进行比较(框504)。该比较用于检测本地输出和备用输出之间的任何误差或差异。这样的差异可以指示在第一本地ECU 220处的误差，要求通知驾驶员。在检测到误差或差异后，可以将信号发送到故障缓解程序(框424)，以便执行关机或升级至驾驶员控制。在各个实施例中，故障减轻包括将车辆的操作转移到远程计算平台，或者换句话说，使用备用输出来操作车辆或车辆的致动器。备用输出可在车辆采取其他缓解步骤时使用，该缓解步骤为例如关闭车辆、将车辆的控制权交给驾驶员、发出警报、开始维修程序等。

图6示出了一实施例中的数据流程图600，该数据流程图600示出了图2和图3的操作系统的附加数据操作。数据流程图500包括关于图5讨论的数据操作。此外，数据流程图600包括用于将第一本地ECU 220的本地状态通知给远程计算平台204的数据操作。在第一本地ECU 220的正常操作期间，第一备用ECU 224可以在中间或临时运行，仅更新其备用状态，以便与第一本地ECU 220的操作或当前状态保持或多或少的电流。第一本地ECU 220可以向远程计算平台204发送指示其本地状态的参数(框602)。在远程计算平台204处接收状态参数(框604)。在远程计算平台204处使用状态参数以便运行或更新第一备用ECU 224以减轻第一备用ECU 224和第一本地ECU 220之间的等待时间(latency)(框606)。例如，当第一备用ECU 224在第一本地ECU 220之后达选定的时间阈值时，第一备用ECU 224可以操作以将其状态(备用状态)更新为第一本地ECU 220的本地状态。

图7示出了在替代实施例中的图2和图3的操作系统的操作的数据流程图700。在车辆电子设备202中，第一本地ECU 220接收输入(框402)，使用这些输入执行主程序(框404)并生成输出(框406)，这些输出被发送到合适的致动器设备(框408)，以控制车辆或车辆的部件。输入也被发送到远程计算平台204(框410)。

远程计算平台204包括向第一本地ECU 220提供冗余的多个备用ECU724。出于说明的目的，多个备用ECU 724包括第一备用ECU和第二备用ECU。第一备用ECU接收输入(框412)，并对该输入执行第一备用程序(框414)以生成第一备用输出(框416)。第二备用ECU接收输入(框412)，并对该输入执行第二备用程序(框415)以生成第二备用输出(框417)。将第一备用输出(框416)和第二备用输出(框417)发送到云看门狗(框426)

在各个实施例中，本地输出被发送(框702)到远程计算平台204的云看门狗(框426)以进行数据完整性检查。本地输出、第一备用输出和第二备用输出在云看门狗处彼此比较(框426)。远程云看门狗程序(框426)可以将本地输出、第一备用输出和第二备用输出彼此进行比较，以便确定第一本地ECU 220处是否存在失灵或故障。远程看门狗程序(框426)可以执行三模式冗余投票，以便为车辆的临时控制提供足够的输出。基于三模式冗余的结果，将任何潜在的安全故障或潜在的不良行为通知给车辆电子设备202(框704)。在车辆电子设备202处，检查云数据完整性(框706)。在各个实施例中，可以使用对称密钥加密来执行数据完整性检查。如果确认故障，则车辆执行故障缓解程序(框424)。

尽管已经参考示例性实施例描述了以上公开，但是本领域技术人员将理解，在不脱离本发明范围的情况下，可以进行各种改变并且可以用等同物代替其要素。另外，在不脱离本公开的实质范围的情况下，可以做出许多修改以使特定情况或材料适应本公开的教导。因此，意图是本公开不限于所公开的特定实施例，而是将包括落入其范围内的所有实施例。

Claims (10)

1.一种操作车辆的方法，包括：

在车辆处操作本地电子控制单元以控制车辆；

在远程计算平台处操作备用电子控制单元以控制车辆；和

在本地电子控制单元发生故障时，将车辆的控制从本地电子控制单元转移到备用电子控制单元。

2.根据权利要求1所述的方法，其中，所述备用电子控制单元将备用输出发送至所述车辆，还包括当在所述车辆处未接收到所述备用输出时，在所述车辆处开始故障缓解程序。

3.根据权利要求1所述的方法，其中，所述本地电子控制单元生成本地输出，以及所述备用电子控制单元生成备用输出，还包括当在所述本地输出和所述备用输出之间检测到差异时，开始故障缓解程序。

4.根据权利要求1所述的方法，还包括将所述本地电子控制单元的本地状态发送到所述远程计算平台，并将所述备用电子控制单元的备用状态更新为所述本地电子控制单元的本地状态。

5.根据权利要求1所述的方法，其中，所述备用电子控制单元还包括第一备用电子控制单元，其生成第一备用输出；以及第二备用电子控制单元，其生成第二备用输出，还包括将所述本地电子设备的本地输出与远程计算平台处的第一备用输出和第二备用输出中的至少一个进行比较。

6.一种用于车辆的操作系统，包括：

车辆的本地电子控制单元，配置为控制车辆；和

远程计算平台，配置为提供配置为控制车辆的备用电子控制单元；

其中，在本地电子控制单元处发生故障时，车辆将车辆的控制从本地电子控制单元转移到备用电子控制单元。

7.根据权利要求6所述的操作系统，其中，所述备用电子控制单元将备用输出发送到所述车辆，并且当在所述车辆处未接收到所述备用输出时，所述车辆开始故障减轻程序。

8.根据权利要求6所述的操作系统，其中，所述本地电子控制单元生成本地输出，所述备用电子控制单元生成备用输出，并且当检测到所述本地输出与所述备用输出之间的差异时，所述车辆开始故障减轻程序。

9.根据权利要求6所述的操作系统，其中，所述车辆将所述本地电子控制单元的本地状态发送到所述远程计算平台，并且所述备用电子控制单元将其备用状态更新为所述本地电子控制单元的本地状态。

10.根据权利要求6所述的操作系统，其中，所述备用电子控制单元还包括第一备用电子控制单元，其生成第一备用输出；以及第二备用电子控制单元，其生成第二备用输出，其中远程计算平台的云看门狗将本地电子控制单元的本地输出与第一备用输出和第二备用输出中的至少一个进行比较。

Images