CN109143918A

CN109143918A - 多阶段表决控制

Info

Publication number: CN109143918A
Application number: CN201810586455.4A
Authority: CN
Inventors: R·I·德博尤克; G·M·班威特; P·孙达拉姆; S·E·格拉汉姆
Original assignee: GM Global Technology Operations LLC
Current assignee: GM Global Technology Operations LLC
Priority date: 2017-06-15
Filing date: 2018-06-08
Publication date: 2019-01-04
Anticipated expiration: 2038-06-08
Also published as: US10394241B2; CN109143918B; DE102018114192A1; DE102018114192B4; US20180364712A1

Abstract

提供了用于通过多阶段表决来实现控制的***和方法。控制***可与响应于表决命令的致动器装置进行通信。多阶段表决***可以被配置为确定表决命令。一组控制器和一个监视器控制器可以向多阶段表决***提供命令。多阶段表决***包括具有将一组控制器的命令彼此进行比较的第一阶段和将这些命令中的至少一个与监视器命令进行比较的第二阶段的逻辑。多阶段表决***根据在第一阶段和第二阶段中进行的比较将表决命令传送到致动器装置。致动器装置响应于表决命令而执行操作。

Description

多阶段表决控制

技术领域

本公开总体上涉及控制***和方法，并且更具体地涉及控制***中的多阶段表决。

背景技术

高致密性能可以促进***的质量。例如，在发生故障时继续正常运行的***可能具有高水平的产品可靠性。可以通过诸如冗余的硬件***来提高***的致密性水平，其中部件的复制为执行提供备份源。例如，在使用来自传感器的输出的***的情况下，可以使用两个独立的传感器来提供所需的输出，以便让备用源存在。

自主车辆是能够感测其环境并以很少或不需要用户输入进行导航的车辆。因此，高致密性是理想的。自主车辆使用诸如雷达、激光雷达、图像传感器等装置来感测其周围环境。自主车辆也感知其操作***的许多方面的状态。自主车辆***还使用来自全球定位***(GPS)技术、导航***、车对车通信、车对基础设施技术和/或线控驱动***的信息来导航车辆。

车辆自动化已经被分类为从零级至五级的数字级别，零级对应于完全人为控制的无自动化，而五级对应于无人为控制的全自动化。诸如巡航控制、自适应巡航控制和停车辅助***等各种自动驾驶辅助***对应于较低的自动化水平，而真正的“无人驾驶”车辆对应于较高的自动化水平。可以通过自动控制***来提供自动化，该自动控制***处理大量信息、做出确定和执行命令。

因此，期望提供为诸如自主车辆的应用提供高致密控制***的***和方法。此外，结合附图和前述技术领域和背景技术，从随后的详细描述和所附权利要求中可看出，本发明的其他期望特征和特性将变得显而易见。

发明内容

提供了用于多阶段表决控制的***和方法。在各种实施例中，控制***可以与响应于表决命令的致动器装置通信。多阶段表决***可以被配置为确定表决命令。一组控制器和一个监视器控制器可以向多阶段表决***提供命令。多阶段表决***包括具有将一组控制器的命令彼此进行比较的第一阶段和将这些命令中的至少一个与监视器命令进行比较的第二阶段的逻辑。多阶段表决***根据在第一阶段和第二阶段中进行的比较将表决命令传送给致动器装置。致动器装置响应于表决命令而实现操作。

在另一个实施例中，该组命令包括两个命令，并且第一阶段评估这两个命令是否彼此一致。

在另一个实施例中，该组命令包括三个命令，并且第一阶段评估这三个命令是否彼此一致。当所有三个命令彼此一致时，第一阶段将第一输出命令传送到第二阶段。当三个命令中只有两个一致时，第一阶段向第二阶段传送不同的输出命令。

在另一个实施例中，第二阶段评估第一输出命令是否与监视器命令一致。当第一输出命令和监视器命令彼此不一致时，第二阶段传送影响致动器装置的操作变化的降级命令。

在另一个实施例中，当第二阶段确定第一输出命令和监视器命令彼此不一致时，第二阶段将预定命令传送给致动器装置。预定命令从控制***的计算机可读存储装置或媒介中检索，并被配置为匹配致动器装置的操作需要。

在另一个实施例中，第二阶段评估第一输出命令是否在阈值内与监视器命令一致。阈值允许第一输出命令和监视器命令之间的变化。

在另一个实施例中，第一阶段评估第一和第二命令是否彼此一致。第二阶段确定第一命令和第二命令是否与监视器命令一致。当第一命令与监视器命令不一致并且第二命令与监视器命令一致时，第二阶段将第二命令发出为表决命令。

在另一个实施例中，当第一命令与第二命令不一致时，或者当第一命令与监视器命令不一致并且第二命令与监视器命令不一致时，第二阶段将替代命令发出为表决命令。

在其他实施例中，方法包括操作控制***以向致动器装置发出表决命令。提供第一控制器、第二控制器与监视器控制器。从第一控制器接收第一信号，其中第一信号表示第一命令。从第二控制器接收第二信号，其中第二信号表示第二命令。第二控制器可以与第一控制器大致相同。从监视器控制器接收监视器信号，其中监视器信号表示第三命令。监视器控制器可以被配置为不同于第一和第二控制器。处理器使用多阶段表决***处理第一和第二信号，其中多阶段表决***包括第一阶段和第二阶段。在第一阶段，处理器将第一信号与第二信号进行比较。在第二阶段，处理器将监视器信号与第一信号或第二信号中的至少一个进行比较。当监视器信号与第一或第二信号一致时，命令信号被发出为从多阶段表决***到致动器装置的表决命令。命令信号对应于第一或第二信号中的至少一个。

在另一个实施例中，第一和第二控制器以相同方式编程，并且监视器控制器以不同方式编程。

在另一个实施例中，第一阶段在处理器的第一阶段表决模块中执行，而第二阶段在处理器的第二阶段表决模块中执行。

在另一个实施例中，从第一阶段表决模块向第二阶段表决模块提供命令信号。命令信号表示第一命令和第二命令之间的一致性。当第一信号与第二信号不一致时，或者当监视器信号与第一或第二信号不一致时，从多阶段表决***向致动器装置发出替代信号。该替代信号表示基于致动器装置的操作需要的预定命令。

在另一个实施例中，从第三控制器接收第三信号。处理器将第一、第二和第三信号彼此进行比较。当第一、第二和第三信号彼此一致时，从第一阶段表决模块向第二阶段表决模块发出第一命令信号。当第一、第二和第三信号中只有两个信号彼此一致时，从第一阶段表决模块向第二阶段表决模块发出第二命令信号，其中第二命令信号不同于第一命令信号。

在另一个实施例中，响应于第二命令信号，从第二阶段表决模块向致动器装置发出替代信号。替代信号预定并存储在控制***中。

在另一个实施例中，第三信号由第三控制器提供。处理器将第一、第二和第三信号彼此进行比较。当第一、第二和第三信号全部彼此不一致时，从第二阶段表决模块向致动器装置发出替代信号。

在另一个实施例中，第一和第二信号彼此进行比较并与监视器信号进行比较。当第一信号与第二信号不一致，或者当监视器信号与第二信号不一致时，处理器向致动器装置发出替代命令。

在另一个实施例中，从传感器装置将信号提供给第一和第二控制器。

在另一个实施例中，致动器装置致动自主车辆的车辆***。车辆***响应于来自传感器装置的信号由致动器装置操作。处理器通过多阶段表决***处理来自传感器装置的信号。

在另一个实施例中，第三信号从第三控制器提供给多阶段表决***。处理器将第一、第二和第三信号彼此进行比较。当所有的第一、第二和第三信号彼此一致时，从第一阶段向第二阶段发出第一输出信号。当第一、第二和第三命令中只有两个命令彼此一致时，从第一阶段向第二阶段发出不同于第一输出信号的第二输出信号。

在另外的实施例中，为自主车辆提供具有多阶段表决的控制***。车辆***操作自主车辆的功能。致动器装置与车辆***通信并致动车辆***。控制***与致动器装置进行通信。多阶段表决***被配置为确定致动器装置的表决命令，其中表决命令被建立用于控制自主车辆。一组控制器接收来自自主车辆的输入并向多阶段表决***提供一组命令信号。监视器控制器接收来自自主车辆的输入并向多阶段表决***提供监视器信号。多阶段表决***包括控制***中的逻辑，其具有将该组命令信号彼此进行比较的第一阶段，和将该组命令信号中的命令信号与监视器信号进行比较的第二阶段。多阶段表决***根据在第一阶段和第二阶段中进行的比较将表决命令传送给致动器装置。

附图说明

以下将参考附图来描述示例性实施例，其中相同的附图标记表示相同的元件，并且其中：

图1是示出根据各种实施例的采用方法的自主车辆的控制***的功能框图；

图2是示出根据各种实施例的采用方法的控制***的一部分的逻辑框图；

图3是示出根据图2的实施例的包括图1的自主车辆的控制***的一部分的多阶段表决***的数据流图；

图4是示出根据各种实施例的采用方法的控制***的一部分的逻辑框图；

图5是示出根据图4的实施例的包括图1的自主车辆的控制***的一部分的多阶段表决***的数据流程图；

图6是示出根据各种实施例的采用方法的控制***的一部分的逻辑框图；

图7是示出根据图6的实施例的包括图1的自主车辆的控制***的一部分的多阶段表决***的数据流图；以及

图8是示出根据各种实施例的采用具有用于控制图1的自主车辆的多阶段表决控制的控制方法的过程的流程图。

具体实施方式

以下详细说明性质上仅为示例性的，且并不打算限制应用及其用途。此外，不希望受到在前面的技术领域、背景技术、发明内容或者以下的详细描述中提出的任何已表达或者已暗示出的理论的束缚。如本文所用，术语模块是指单独或以任何组合的任何硬件、软件、固件、电子控制部件、处理逻辑和/或处理器装置，包括但不限于：专用集成电路(ASIC)、电子电路、执行一个或多个软件或固件程序的处理器(共享的、专用的或群组的)和存储器、组合逻辑电路，和/或提供所描述的功能的其他合适的部件。

在此可以根据功能和/或逻辑块部件以及各种处理步骤来描述本公开的实施例。应该理解的是，这样的块部件可以通过被配置为执行指定功能的任何数量的硬件、软件和/或固件部件来实现。例如，本公开的实施例可以采用各种集成电路部件，例如存储器元件、数字信号处理元件、逻辑元件、查找表等，其可以在一个或多个微处理器或其他控制装置的控制下执行各种功能。另外，本领域技术人员将会理解，本公开的实施例可以结合任何数量的***来实践，并且本文描述的***仅仅是本公开的示例性实施例。

为了简洁起见，可能不再在此详细描述与***(和***的各个操作部件)的信号处理、数据传输、信令、控制和其他功能方面有关的传统技术。此外，这里包含的各个附图中示出的连接线旨在表示各个元件之间的实例功能关系和/或物理联接。应该注意的是，在本公开的实施例中可以存在许多替代或附加的功能关系或物理连接。

参考图1，根据各种实施例，一般以100示出的控制***与车辆10相关联。通常，通过控制***100向车辆10的操作和功能提供高性能和高致密的执行。采用表决***106来确认控制***100的致密性。例如，表决***106确认诸如发送给致动器的命令是当前驾驶情况下的正确命令。基于该确认，表决***106确定控制输出。例如，可以选择多个控制器中的一个的命令以供使用，或者可以生成替代命令，如下面进一步描述的。尽管以下关于某些实施例进行描述，但是关于图1-8所描述的控制***100和方法可以应用于各种各样的命令处理应用。

如图1所示，车辆10通常包括底盘12、车身14、前轮16和后轮18。车身14布置在底盘12上并且大致包围车辆10的部件。车身14和底盘12可以结合到一起形成框架。车轮16、18各自靠近车身14的相应角部旋转地联接到底盘12。

在各种实施例中，车辆10是自主车辆并且控制***100并入自主车辆10(在下文中被称为自主车辆10)。自主车辆10例如是自动控制地将乘客从一个位置运送到另一个位置的车辆。在所示实施例中将车辆10描绘为乘用车，但是应该理解的是，本文描述的***、过程和方法可以用于任何其他车辆类型。在示例性实施例中，自主车辆10是所谓的四级或五级自动化***。四级***表示“高度自动化”，指的是即使在人类驾驶员对干预要求没有做出适当的响应的条件下的动态驾驶任务各个方面的自动驾驶***的驾驶模式特定性能。五级***表示“全自动化”，指的是自动驾驶***在人类驾驶员可以管理的所有道路和环境条件下的动态驾驶任务的各个方面的全时表现。

如图所示，自主车辆10具有各种车辆***，其通常包括推进***20、传输***22、转向***24、制动***26、感测***28、致动器***或***30、至少一个数据存储装置32、至少一个电子控制单元34、通信***36和传感器***38。在各种实施例中，推进***20可以包括内燃机、诸如牵引马达的电机和/或燃料电池推进***。传输***22可以配置成根据可选择的速度比将动力从推进***20传输到一个或多个车轮16-18。根据各种实施例，传输***22可以包括有级自动变速器、无级变速器或其他适当的变速器。制动***26配置成向车轮16、18提供制动转矩。在各种实施例中，制动***26可以包括摩擦制动器、线控制动器、诸如电机的再生制动***和/或其他适当的制动***。转向***24影响车轮16、18的位置。虽然为了说明的目的将转向***24描绘为包括方向盘，然而在本公开范围内设想的一些实施例中，转向***24可以不包括方向盘。

感测***28包括感测自主车辆10的外部环境的可观察条件的一个或多个感测装置40a-40n。感测装置40a-40n包括但不限于雷达、激光雷达、全球定位***、光学相机、热像仪、超声波传感器和/或其他传感器。致动器***30包括一个或多个控制一个或多个车辆操作或特征的致动器装置42a-42n，诸如但不限于推进***20、传动***22、转向***24或制动***26。致动器装置42a-42n可各自与控制器44a-44n和电子控制单元34通信联接。每一个控制器44a-44n都可以与其各自的致动器装置42a-42n形成一体，也可以是电子控制单元34的一部分，或者可以位于自主车辆10的另一个位置中。监视器控制器114可以与控制器44a-44n、传感器***38和/或控制***100的其他部分通信联接，该监视器控制器114包括处理器115，并将在以下进一步描述。除了控制致动器装置42a-42n之外，控制器44a-44n还可以支持自主车辆10中任何附加操作和功能。在各种实施例中，车辆特征可进一步包括内部和/或外部车辆特征，例如但不限于门、后备箱以及诸如空气、音乐、照明等(未编号)的机舱特征。

通信***36配置为与其他实体48进行无线通信，实体48包括但不限于其他交通工具(“V2V”通信)、基础设施(“V2I”通信)、远程***和/或个人设备等。在示例性实施例中，通信***36是配置为使用IEEE 802.11标准或通过使用蜂窝数据通信经由无线局域网(WLAN)进行通信的无线通信***。然而，诸如专用短程通信(DSRC)信道的附加或替代通信方法也认为属于本公开的范围内。DSRC信道是指专门为汽车使用而设计的单向或双向短距至中距离无线通信信道，以及相应的一套协议和标准。在示例性实施例中，通信***36配置为与车内乘员进行通信，诸如通过口头消息传送/语音合成和语音识别。

传感器***38包括任何数量的传感器46a-46n，用于检测自主车辆10的各种操作、功能、部件或其环境的事件、状态、变化或条件。来自传感器46a-46n的信息提供作为电子控制单元34和/或控制器44a-44n或监视器控制器114的输入。传感器46a-46n可以是转向角度传感器、偏航率传感器、轮速传感器、加速度计、各种用于推进***30的传感器、车辆速度传感器、各种温度传感器以及位置传感器等。电子控制单元34和/或控制器44a-44n和/或监视器控制器114可以接受来自传感器***38的信息、处理这些信息，并基于此提供控制命令以通过致动器装置42a-42n实现诸如车辆***的操作等。

数据存储装置32存储用于自动控制自主车辆10的数据。在各种实施例中，数据存储装置32存储可导航环境的所定义的地图。并且在各种实施例中，所定义的地图可以由远程***预定义并从远程***获得。例如，所定义的地图可以由远程***组装，并(以无线方式和/或以有线方式)发送到自主车辆10，并且存储在数据存储装置32中。如可以理解的那样，数据存储设备32可以是电子控制单元34的一部分并且与电子控制单元34分开，也可以是控制器44a-44n、114中的一个或多个的一部分或多个***的一部分。电子控制单元34包括至少一个处理器45和计算机可读存储装置或媒介47。控制器44a-44n中的每一个还可以包括或使用处理器45a-45n和/或计算机可读存储设备或媒介47a-47n。处理器45、45a-45n和115可以是任何定制的或商业可用的处理器、中央处理单元(CPU)、图形处理单元(GPU)、与电子控制单元34或控制器44a-44n相关联的若干处理器中的辅助处理器、基于半导体的微处理器(以微芯片或芯片组的形式)、宏处理器及其任何组合，或者一般情况下可用于执行指令的任何设备。将在下面进一步描述处理器45a-45n和115。例如，计算机可读存储设备或媒介47可以包括在只读存储器(ROM)、随机存取存储器(RAM)和保活存储器(KAM)中的易失性和非易失性存储器。KAM是持久性或非易失性存储器，可用于在处理器45断电时存储各种操作变量。可以使用许多已知存储器设备中的任何一个，诸如PROM(可编程只读存储器)、EPROM(电PROM)、EEPROM(电可擦除PROM)、闪存或任何其他电存储器、磁存储器、光存储器或能存储数据的组合存储设备来实施计算机可读存储设备或媒介47，其中一些表示可执行指令，这些存储器可由电子控制单元34/控制器44a-44n/监视器控制器114用以控制自主车辆10。

指令可以包括一个或多个单独的程序，每个程序包括用于实施逻辑功能的可执行指令的有序列表。当由处理器45、45a-45n、115执行时，指令接收并处理来自感测***28和传感器***38的信号、执行用于自动控制自主车辆10部件的逻辑、计算、方法和/或算法。处理器45可根据逻辑、计算、方法和/或算法，产生用于致动器***30的控制信号，以自动控制自主车辆10的部件。自主车辆10的实施例可以包括任何数量的电子控制单元34和/或控制器44a-44n，其通过合适的通信媒介或通信媒介的组合进行通信并且协作以处理传感器信号、执行逻辑、计算、方法和/或算法，并生成控制信号以自动控制自主车辆10的特征。

在各种实施例中，控制***100中可实现一个或多个指令，并且当处理器45、45a-45n和115执行命令时，命令可实现多阶段表决过程106，为所指定的操作传送正确的命令。图2中示出了控制***100的示例性实施例。控制***100包括一组控制器44a、44b和44c。在该实例中，所指定的操作是将命令作为输入传送到致动器设备42a以实现对所指定的操作的响应。为了实现当前实例的目的，控制器44a、44b和44c可以是具有用于所指定的操作的公共程序编码的大致相同的设备，从而提供硬件冗余。每个控制器44a、44b和44c都包括高性能处理器45a、45b和45c(如图1所示)，这些处理器结合了性能和资源的优化使用。控制器44a、44b和44c接收相同的输入、独立地确定输出，并分别提供表示命令102、103和104的命令信号，以执行所指定的操作。可以通过多阶段表决***106处理命令102-104。在该实施例中，多阶段表决***106由处理器45a、45b、45c和处理器115在一个或多个功能子单元或模块中的第一阶段108和第二阶段112中实施，如下面进一步描述。在第一阶段108中，比较三个命令102-104以确定它们是否彼此一致。如果命令102-104中的两个或更多个相一致，则表示命令110的命令信号产生并且被传送到第二阶段112以用于进一步处理。应该理解的是，命令110与两个或三个一致命令中的一个命令102-104相同。用作命令之间的术语统一或一致，意味着这些命令是相同的或大致相同的，以使在所指定的操作的上下文中没有显著的变化。

在多个实例中，监视器控制器114分别向多阶段表决***106的第二阶段112提供表示监视器命令116的监视器信号。监视器控制器114及其处理器115(如图1所示)是高致密设备。与控制器44a、44b和44c相比，监视器控制器114可具有独特的架构，可包括附加的诊断，诸如硬件可正确执行以验证验证码的能力，并且监视器控制器114经设计可以忍耐更恶劣的环境条件。监视器控制器114可以使用逻辑等效但不同组的输入。在一些实例中，可以通过在处理之前，重新表达监视器控制器114中的输入来实现数据分集。在其他实例中，可以从传感器***38的唯一一组传感器46a-46n提供输入。监视器控制器114可以使用与控制器44a、44b和44c不同的算法设计出来的软件，这些软件可以不同，但功能却是相同的。由监视器控制器114对所指定的操作的多样化处理可传送监视器命令116。在监视器控制器114中使用与控制器44a、44b和44c不同的逻辑能够在控制器44a、44b和44c检测到随机硬件故障的同时检测***故障。

在多阶段表决***106的第二阶段112中，命令110和116通过条件表达式进行比较(如果│命令110-监视器命令116│<T)，其中T是针对所指定的操作的阈值差。阈值T的使用允许一些变化，但要求命令大致相同，以使其在所指定的操作的背景中没有显著的变化。当命令110与监视器命令116一致时，在阈值差范围内，第二阶段112向致动器装置42a发出表示表决命令111的命令信号。这样做的话，第二阶段112使用监视器命令116来确认命令110对于所指定的操作是否为正确的命令，并且命令110作为表决命令111被传送。

返回到第一阶段108，如果控制器44a、44b、44c中的至少两个之间不一致，则第一阶段108将不发出命令110。在不存在命令110的情况下，或者在命令110与监视器命令116之间的第二阶段112不一致的情况下(在阈值T内)，第二阶段112发出代表替代命令118的替代信号作为到致动器装置42a的输入。在多个实例中，替代命令118是针对特定情况而预先确定的，并且可以从查找表或存储在存储器中的另一数据格式中引用。在其他实例中，缺乏一致的原因可能会要求车辆***的操作有所改变。例如，替代命令118可以是致动器设备42a以降级模式而不是以正常模式操作的命令。降级模式是允许致动器装置42a继续操作但具有变化的后退模式。变化的程度取决于其原因的重要性。在某些降级模式中，可感知到没有任何性能变化。在其他一些重要的实例中，性能可能会被修改。因此，多阶段表决***106处理第一阶段108中的三个命令102-104，并处理第二阶段112中的两个命令110和116，以将表决命令111或替代命令118传送到致动器装置42a进行控制。两个阶段表决过程106或其部分可以由监视器控制器114、控制器44a-44n、电子控制单元34、另一个控制器或控制器的组合来实施。

参照图3，示出了具有数据流的功能框图，在一个实例中，数据流示出了多阶段表决***106的各个操作方面。可认为多阶段表决***106能实现一个或多个功能子单元或模块，包括执行第一阶段108的第一阶段表决模块107和执行第二阶段112的第二阶段表决模块113。如可以理解的那样，可以组合和/或进一步划分图3中所示的模块107和113，以根据这里描述的功能进行类似操作。

在接收表示命令102、103和104的命令信号并形成控制器44a、44b和44c时，第一阶段表决模块107启动操作。在第一阶段108中，诸如通过处理器45a、45b、45c或45在其第一阶段表决模块107中比较三个命令102-104，以确定它们是否彼此一致。当第一阶段表决模块107确定命令102-104中的两个或更多个一致时，命令信号109便提供给第二阶段表决模块113。第二阶段表决模块113也可以以处理器45a、45b、45c、45或115中的任何一个或其组合来实施。监视器控制器114分别向第二阶段表决模块113提供表示监视器命令116的监视器信号。第二阶段表决模块113对命令信号109和116以如上所述的方式作比较。当命令信号109与表示监视器命令116的信号一致时，在阈值差范围内，第二阶段表决模块113向致动器装置42a提供控制信号119以执行表决命令111。

在没有命令信号109的情况下，或者在命令信号109和代表监视器命令116的信号(在阈值T内)之间在第二阶段表决模块113中不一致的情况下，第二阶段表决模块113通过作为致动器装置42a的输入而提供的控制信号123来提供替代命令118。例如，第二阶段表决模块113还从计算机可读存储设备或媒介47接收输入数据121。第二阶段表决模块113从输入数据121中的可用命令中提供控制信号123，更具体地，是提供与监视器命令116对应的可用命令，以经由控制信号123作为替代命令118传送到致动器42a。

图4示出了控制***100的另一个示例性实施例。控制***100包括一组控制器44a、44b和44c。在该实例中，所指定的操作是将命令作为输入传送到致动器设备42a，以实现响应。为了当前实例的目的，控制器44a、44b和44c可以是具有与所指定的操作的公共程序编码大致相同的设备，从而提供硬件冗余。控制器44a、44b和44c可包括高性能处理器45a、45b和45c。控制器44a、44b和44c接收相同的输入、独立地确定输出，并分别提供命令102、103和104以执行所指定的操作。如下面进一步详细描述的，可以通过在处理器45a、45b、45c和处理器115中实施的多阶段表决***120在一个或多个功能子单元或模块中处理命令102-104。多阶段表决***120包括第一阶段122和第二阶段126。在第一阶段122中，比较102-104三个命令，以确定它们是否彼此一致。在该实例中，如果102-104三个命令都一致，则生成表示命令124的信号，即这三个一致命令102-104之一。例如，可以从第一阶段122将命令124发送到第二阶段126。在这个实例中，来自第一阶段122的输出命令123为命令124，其经由信号传送到第二阶段126。在另一个实例中，如果命令102-104中只有两个命令一致，则生成命令128。命令128与第一阶段122中命令102-104一致的两个命令中的一个相同。在该实例中，来自第一阶段122的输出命令123是命令128。监视器控制器114分别向表决***120的第二阶段126提供表示监视器命令130的监视器信号。关于来自第一阶段122的输出，如果满足条件，则命令124或128中的一个将被传送到第二阶段126。如果命令102-104之间都互不一致，则第一阶段122不发出命令或发出空信号。

当第二阶段126通过输出命令123接收代表命令124的信号时，将命令124与监视器命令130进行比较。如果监视器命令130与命令124一致，则代表表决命令125的信号由第二阶段126发出作为携带着发送给致动器装置42a的输出127的控制信号。可以理解的是，在该实例中，表决命令125和命令124是相同的。当第二阶段126经由来自第一阶段122的信号通过输出命令123接收命令128时，将命令128与监视器命令130进行比较。如果监视器命令130与命令128一致，则第二阶段126通过输出127发出替代命令132作为到致动器装置42a的控制信号。替代命令132启动致动器装置42a的第一级降级操作模式。第一级降级模式实现低降级级别。当第一阶段122没有发出输出时，第二阶段126便通过输出127发出替代命令134作为到致动器装置42a的控制信号。替代命令134启动致动器装置42a的第二级降级操作模式。与第一级降级模式相比，第二级降级模式实现更高的降级级别。如下面所述，如果第一阶段无输出条件的原因归类为更重要，那么第二阶段126通过携带输出127的控制信号向致动器设备42a发出命令136。通过输出127，命令136启动致动器装置42a的第三级降级操作模式。与第二级降级模式相比，第三级降级模式实现更高的降级级别。

在第二阶段126接收表示命令124或命令128和监视器命令130与接收的命令不一致的信号的实例中，第二阶段126发出表示替代命令134的信号。替代命令134启动致动器装置42a的第二级降级操作模式。如果缺乏一致性的原因而归类为更重要，则第二阶段126发出表示替代命令136的信号。替代命令136启动致动器装置42a的第三级降级操作模式。因此，多阶段表决***120在第一阶段122中处理三个命令102-104，并且在第二阶段126中处理两个命令130和124或128，以将命令125、132、134或136中的一个传送到致动器装置42a，用于对其进行控制。

图5是具有数据流的功能框图，其在一个实例中示出了多阶段表决***120的各种操作方面。多阶段表决***120可以被认为实施一个或多个功能性子单元或模块，该子单元或模块包括执行第一阶段122的第一阶段表决模块117和执行第二阶段126的第二阶段表决模块129。此外，多阶段表决***120包括升级模块131。如可以理解的那样，可以组合和/或被进一步划分图5中所示的模块117、129和131以根据本文所述的功能类似地操作。

第一阶段表决模块117在接收表示命令102、103和104的信号时启动操作。在多阶段表决***120的第一阶段122中，在第一阶段表决模块117中比较三个命令102-104以确定它们是否彼此一致。当第一阶段表决模块117确定三个命令102、103和104彼此一致时，命令信号133被提供给第二阶段表决模块129。监视器控制器114分别向第二阶段表决模块129提供表示监视器命令116的信号。当信号133和116中表示的命令一致时，第二阶段表决模块129向致动器装置42a提供控制信号137以执行表决命令。当第一阶段表决模块117确定命令102、103和104中的两个彼此一致但不与第三命令一致时，命令信号135被提供给第二阶段表决模块129。当信号135和116中表示的命令被确定为一致时，第二阶段表决模块129向致动器装置42a提供控制信号139以执行表决命令，在该实施例中，该命令是第一级降级命令132。数据信号121被提供给具有降级命令的第二阶段表决模块129，该降级命令被引用并且基于与监视器命令116的对应来选择该命令。当没有信号从第一阶段表决模块117提供给第二阶段表决模块129，但是接收监视器命令116时，提供控制信号141。在这种情况下，控制信号141表示替代命令134并启动第二级降级操作模式。例如，当信号未被提供给第二阶段表决模块129时，第一阶段表决模块117向升级模块131单独提供错误信号143。错误信号143表示导致命令102、103和104之间缺乏一致性的原因。升级模块131还被提供有数据信号121，诸如具有被参考用于选择对应于错误信号143的代码的错误代码。升级模块131向第二阶段表决模块129提供表示所选代码的升级信号145。当接收表示监视器命令116的信号时，第二阶段表决模块129提供信号147，直接地通过第一阶段表决模块117接收升级信号145，而不接收命令信号。在这种情况下，控制信号147对应于替代命令136并启动第三级降级操作模式。

如图6所示，控制***100的多个实例包括分别向多阶段表决***144传送表示命令140和142的信号的控制器44a和44b。监视器控制器114向多阶段表决***144传送监视器命令146。控制器44a和44b基于所所指定的操作的通用算法可以是具有通用程序编码的大致相同的装置，从而提供硬件冗余。控制器44a、44b接收相同的输入、独立地确定输出，并提供命令140和142来执行控制***100的所指定的操作。例如，输入信号148可以包括从传感器***38中的一组传感器46a-46n到每个控制器44a和44b的公共输入，或者可以包括从另一个控制器到每个控制器44a、44b的公共输入，或者可以包括来自公共源的另一个信号。监视器控制器114分别提供表示监视器命令146的监视器信号。与控制器44a和44b相比，监视器控制器114可以具有独特的架构。监视器控制器114可以使用逻辑等效但不同组的输入150。在多个实例中，可以从传感器***38中的唯一一组传感器46a-46n或从另一个唯一源提供输入150。输入信号150可以包括源自多个冗余源的分开的、独立的输入，该多个冗余源用于测量与输入信号148的源共有的至少一个参数。

多阶段表决***144包括在一个或多个处理器45a、45b、45、115中、在一个或多个功能子单元或模块中实施的第一阶段152和第二阶段154，如下文的进一步详细描述。在第一阶段152中，将命令140与命令142进行比较。例如，可以通过条件表达式(if│命令140-命令142│<T₁)进行比较：其中T₁是为所指定的操作所确定的阈值差，其允许命令140、142之间的一些无关紧要的变化。当命令140和142不一致时，第一阶段152发出替代命令159作为操作致动器装置42a的命令。替代命令159可以针对特定情况而预先确定，并且可以被引用，诸如通过查找表或通过存储在存储器中的另一数据格式被引用。当命令140和142一致时，作为结果，第二阶段154评估命令140是否与监视器控制器114的监视器命令146一致。第二阶段154通过条件表达式：(if│命令140-命令146│<T₂)执行比较，其中T₂是为所指定的操作确定的阈值差，其允许命令140、146之间的一些无关紧要的变化。当命令140和146一致时，第二阶段154发出表示命令140的信号作为表决命令156发送到致动器装置42a。当命令140和146不一致时，作为替代，第二阶段154评估命令142是否与监视器控制器114的监视器命令146一致。第二阶段154通过条件表达式：(if│命令142-命令146│<T₂)执行比较。当命令142和命令146一致时，第二阶段154发出命令142作为表决命令156发送到致动器装置42a。当命令142和146不一致时，第二阶段154发出替代命令160作为表决命令。替代命令160可以针对特定情况预先确定，并且可被引用，诸如通过查找表、或通过存储在存储器中的另一数据格式被引用。在该实例中，与命令140和命令142之间的一致性相比，T₂比T₁更精细，T₁要求命令140、142和监视器命令146之间更接近一致。例如，在命令是电压命令的应用中，T₁可以是伏特的一部分，并且T₂可以是伏特的较小部分。在其他实例中，使用替代命令160的原因可以指示可以不同于正常模式的***的修正操作。同样地，替代命令160可以是用于致动器装置42a的命令，用于以降级模式进行操作。因此，多阶段表决***144在第一阶段152中处理两个命令140、142，并且在第二阶段154中处理多达三个命令140、142、146，以将表决命令156、替代命令159或替代命令160传送到致动器装置42a，用于对其进行控制。控制***100将高性能控制器44a和44b的优点与高致密监视器控制器114一起使用。

图7是具有数据流的功能框图，其在一个实例中示出多阶段表决***144的各种操作方面。多阶段表决***144可以被认为是在一个或多个处理器45a、45b、45、115内实施的一个或多个功能子单元或模块，其包括执行第一阶段152的第一阶段表决模块170以及执行第二阶段154的第二阶段表决模块172。如可以理解的那样，可以组合和/或进一步划分在图7中示出的模块170和172以根据本文所述的功能类似地操作。

第一阶段表决模块170在接收如信号中所表示的命令140和142时启动操作。在第一阶段表决模块170中比较两个命令140和142的信号以确定命令是否彼此一致。当信号140和142中表示的命令不一致时，第一阶段表决模块172提供控制信号177。在这种情况下，控制信号177表示命令159。可替代地，当第一阶段表决模块170确定命令140和142彼此一致时，命令信号176提供给第二阶段表决模块172。监视器控制器114分别向第二阶段表决模块172提供表示监视器命令146的信号。当信号176和146中表示的命令一致时，第二阶段表决模块172向致动器装置42a提供控制信号178以执行表决命令。在这种情况下，控制信号178表示命令140。第二阶段表决模块还接收命令142。当信号140和146中表示的命令不一致，但信号142和146中表示的命令一致时，第二阶段表决模块172提供控制信号180作为输入发送到致动器装置42a。在这种情况下，控制信号180表示命令142。当信号140和146不一致并且信号142和146也不一致时，第二阶段表决模块172提供控制信号182作为输入发送到致动器装置42a。例如，第二阶段表决模块172还接收输入数据121，并且通过存在于输入数据121中并且对应于监视器命令146的可用命令提供控制信号182，用于作为替代命令160传送到致动器42a。

在如图8所示的示例性实施例中，在步骤202生成命令时(诸如通过控制器44a-44n中的两个或三个以及通过安全监视器114生成命令)启动实施多阶段表决的方法200。过程200进行到步骤204，其中来自控制器44a-44n的命令经由作为过程200第一阶段的一部分的一个或多个处理器45a、45b、45c、45而彼此进行比较。例如，该比较可以由第一阶段表决模块107、117或170执行。在步骤204处，当确定从控制器44a-44n接收的所有命令彼此一致时，过程200进行到步骤206。当所有命令不一致时，过程200进行到步骤208，在步骤208中，作为第一阶段的另一部分，可以经由一个或多个处理器45a、45b、45c、45来确定三个接收的命令中的两个是否彼此一致。例如，可以由第一阶段表决模块107、117或170执行比较。当确定为肯定的并且三个命令中的两个一致时，过程200进行到步骤206。在步骤206处，来自步骤204或来自步骤208的控制器44a-44n的约定命令经由一个或多个处理器45a、45b、45c、45、115与来自安全监视器114的命令进行比较。例如，可以由第二阶段表决模块113、129或172执行比较。当做出肯定确定并且安全监视器114的命令与控制器44a-44n的约定命令一致时，过程200进行到步骤210，在步骤210中发出来自步骤206的约定命令，诸如操作致动器42a-42n中的一者，并且过程200在步骤212处结束。当在步骤206处做出否定确定并且发现安全监视器114的命令与来自步骤204或208的表决命令不一致时，该过程进行到步骤214。在步骤214处，过程200访问计算机可读存储装置或媒介47，并发出对应于安全监视器114的命令的替代命令，并且该过程在步骤212处结束。

如可以理解，本文公开的主题在控制***100中提供某些增强的特征和功能。在示例性实施例中，可将增强的特征和功能添加到可被认为是标准或基准自主车辆10的地方。为此，可以修改、增强或以其他方式补充控制***或自主车辆，以提供以下更详细描述的附加特征。

尽管在前面的详细描述中已经呈现了至少一个示例性实施例，但是应当理解的是存在大量变化。还应当理解，一个或多个示例性实施例仅仅是示例性的，并不旨在以任何方式限制本公开的范围、适用性或配置。当然，前面的详细描述将为本领域技术人员提供用于实施一个或多个示例性实施例的方便的路线图。应当理解，在不脱离所附权利要求及其法定等同物所阐述的本公开的范围的情况下，可以对元件的功能和布置进行各种改变。

Claims

1.一种控制***，包括：

响应于表决命令的致动器装置，其中所述控制***与所述致动器装置通信，并且包括多阶段表决***，所述多阶段表决***被配置为确定用于所述致动器装置的表决命令；

向所述多阶段表决***提供一组命令的一组控制器；

向所述多阶段表决***提供监视器命令的监视器控制器；

其中所述多阶段表决***包括所述控制***中的逻辑，所述逻辑具有将所述一组命令彼此进行比较的第一阶段和将所述一组命令中的至少一个与所述监视器命令进行比较的第二阶段；并且

其中所述多阶段表决***根据在所述第一阶段和第二阶段中进行的比较将所述表决的命令传送到所述致动器装置，所述致动器装置响应于所述表决的命令来进行操作。

2.如权利要求1所述的控制***，其中

所述一组命令包括第一命令和第二命令；并且

所述第一阶段被配置为评估所述第一和第二命令是否彼此一致。

3.如权利要求1所述的控制***，其中

所述一组命令包括第一命令、第二命令和第三命令；

所述第一阶段被配置为评估所述第一、第二和第三命令是否彼此一致；

其中当所有所述第一、第二和第三命令彼此一致时，所述第一阶段被配置为向所述第二阶段传送第一输出命令；并且

其中仅当所述第一、第二和第三命令中的二者彼此一致时，所述第一阶段被配置为向所述第二阶段传送第二输出命令，所述第二输出命令不同于所述第一输出命令。

4.如权利要求3所述的控制***，其中

所述第二阶段被配置为评估所述第一输出命令是否与所述监视器命令一致；并且

当所述第一输出命令和所述监视器命令彼此不一致时，所述第二阶段被配置为相对于从所述第一和第二输出命令中实现的命令而传送实现致动器装置操作中的变化的降级命令。

5.如权利要求3所述的控制***，其中

当所述第一输出命令和所述监视器命令彼此不一致时，所述第二阶段被配置为向所述致动器装置传送预定命令，其中所述预定命令从所述控制***的计算机可读存储装置或媒介检索，并且被配置为匹配所述致动器装置的操作需要。

6.如权利要求3所述的控制***，其中

所述第二阶段被配置为评估所述第一输出命令是否在阈值内与所述监视器命令一致；并且

其中所述阈值被配置为在评估所述第一输出命令是否与所述监视器命令一致方面允许所述第一输出命令和所述监视器命令之间的变化。

7.如权利要求1所述的控制***，其中

所述一组命令包括第一命令和第二命令；

所述第一阶段被配置为评估所述第一和第二命令是否彼此一致；

所述第二阶段被配置为确定所述第一命令和所述第二命令是否与所述监视器命令一致；并且

所述第二阶段被配置为当所述第一命令与所述监视器命令不一致并且所述第二命令与所述监视器命令一致时，发出所述第二命令作为所述表决命令。

8.如权利要求7所述的控制***，其中

所述第二阶段被配置为当所述第一命令与所述第二命令不一致时，或者当所述第一命令与所述监视器命令不一致且所述第二命令与所述监视器命令不一致时，发出替代命令作为所述表决命令。

9.一种操作控制***以向致动器装置发出表决命令的方法，包括：

提供第一控制器、第二控制器和监视器控制器，其中所述第二控制器与所述第一控制器大致相同；

从所述第一控制器接收第一信号，其中所述第一信号表示第一命令；

从所述第二控制器接收第二信号，其中所述第二信号表示第二命令；

从所述监视器控制器接收监视器信号，其中所述监视器控制器被配置为不同于所述第一和第二控制器，其中所述监视器信号表示第三命令；

使用多阶段表决***由处理器处理所述第一和第二信号，其中所述多阶段表决***包括第一阶段和第二阶段；

由所述第一阶段中的所述处理器将所述第一信号与所述第二信号进行比较；

由所述第二阶段中的所述处理器将所述监视器信号与所述第一信号或所述第二信号中的至少一个进行比较；并且

当所述监视器信号与所述第一或第二信号一致时，从所述多阶段表决***向所述致动器装置发出命令信号作为所述表决命令，其中所述命令信号对应于所述第一或第二信号中的至少一个。

10.如权利要求9所述的方法，包括：

用第一程序配置所述第一控制器；

用所述第一程序配置所述第二控制器；和

用与所述第一程序不同的第二程序配置所述监视器控制器。