用于执行车辆安全功能的方法和设备与流程

本发明涉及一种根据独立权利要求的前序部分所述的用于执行车辆安全功能的方法以及根据并列独立权利要求的前序部分所述的用于执行该方法的设备。

背景技术：

1、现代车辆越来越多地配备有主动和被动安全装置。安全装置通常是车辆的功能单元，这些功能单元被配置成部分或完全自动化地实施特殊的安全功能。通常，安全功能用于在识别和确定危险事件或情况后，恢复或维持车辆尽可能安全的状态或运行，从而以这种方式避免人身和物品的危险以及人身伤害或财产损失，或者至少使其最小化。这种安全功能例如包括触发安全气囊或借助于esc系统对车辆的单个或多个车轮进行制动，但也包括完全或部分地接管对行驶车辆的运动状态的控制并且例如自动改变车辆的速度或行驶方向（例如以避免追尾事故或避开障碍物）的安全功能。安全功能必须满足其功能安全性方面的特殊要求，以便即使在出现缺陷、例如电子部件短路的情况下也不会产生危险。危险通常由安全功能的意外触发而产生，例如，应防止由于缺陷而意外触发紧急避让操作，其将使得车辆驶离道路。

2、在下文中，所使用的术语在功能安全性的背景下根据iso 26262或iec 61508标准中的定义来理解。

3、为了执行安全功能，需要包含执行安全功能所需的信息、例如关于车辆的运行状态或运动状态的信息的数据。这些数据例如可以从车辆的传感器单元的传感器数据中得出，例如从用于检测车轮转速或用于检测车辆碰撞的传感器单元的传感器数据中得出。此外，这些数据还可以来自位于车辆周围并且涉及上述危险事件或情况的其他车辆。为了考虑这些其他车辆的数据，这些数据可以通过数据连接传输到车辆。对于这些数据，适用与安全功能本身类似的安全要求，从而不会由受损数据产生危险。

4、这种数据传输可以使用不同的传输技术进行，例如，一种可考虑的技术被称为v2x，为此存在不同的实现标准（sae，ieee，etsi，3gpp，csae等），为了数据传输使用不同的通信技术（dsrc，its-g5，lte-v2x，5g nr v2x，lte，5g，wifi，蓝牙等）。车对x通信尤其被理解为车辆之间和/或车辆与基础设施之间的直接通信。即，其例如可以是车对车通信或车对基础设施通信。如果在本技术的范围内涉及这种通信，则可以在不通过移动通信网络或类似的外部基础设施居间中介的情况下进行通信，或者也可以基于移动网络进行通信。如上所述，车对x通信可以使用ieee 802.11p、lte-v2x或5g nr标准进行。车对x通信也可以被称为c2x通信或v2x通信。子领域可以被称为c2c（英文：car-to-car，中文：车对车）、v2v（英文：vehicle-to-vehicle，中文：车对车）或c2i（英文：car-to-infrastructure，中文：车对基础设施），v2i（英文：vehicle-to-infrastructure，中文：车对基础设施）或c2x（英文：car-to-everything，中文：车对万物），v2x（英文：vehicle-to-everything，中文：车对万物）。

5、但是，当前可供用于执行相应的安全功能的数据（以及数据中所包含的信息）对于执行该安全功能而言是否足够安全可靠，通常存在不确定性。与此相关的功能安全性领域在iso 26262标准中进行了描述。

6、一般而言，数据的质量和可靠性不受损害对于确保安全功能的执行非常重要，这种损害例如可能导致在错的时间点或使用错误计算的参数来执行安全功能。

7、关于这个主题的基本构思可见于公布文本de 10 2012 215 343。

8、但是，目前可用的v2x系统不允许以满足更高级别要求的方式实现功能关键的安全功能，例如高于“质量管理”（qm）级别的汽车安全完整性等级（asil）。

技术实现思路

1、因此，本发明的目的在于，提出一种方法以及一种设备，所述方法和设备在asil >qm的前提下分别允许尽可能可靠地且安全地执行车辆的安全功能。

2、根据本发明，该目的通过根据独立权利要求的方法和设备以及根据并列独立权利要求的总系统来实现。所述方法以及所述总系统的进一步改进方案和具体实施方式由从属权利要求得出。

3、根据本发明的一实施方式，用于通信网络中的发送方的方法包括：获取用于v2x消息/报文的数据、获取相配属的/对应的功能安全指标，以及将所获取的数据与功能安全指标一起发送。

4、获取用于v2x消息的数据意味着，获取联网交通系统中所需的信息和数据，例如车辆的位置、方向和速度、转向角，以及有关可能存在的abs响应的信息，和来自雷达或超声波传感器的传感器信息。同样，也可以获取从其他车辆接收到的信息，例如经由v2x或其他无线电通道。

5、相配属的功能安全指标提供与功能安全性方面相关的信息，例如有关先前获取的v2x数据的质量和/或误差限的说明。这种安全指标的示例为：失效率（λ）、诊断覆盖率（dc）、需求时失效概率（pfd）、失效检测时间（tdet），定义可以在标准iso26262中找到。有关质量和误差限的信息可以在内部提供给发送方。由于已知，所使用的传感器可以达到何种信号质量，因此这样的值可以存储在发送方的存储设备中。如果质量和/或误差限应与速度、温度等存在相关性，则同样可以考虑这种相关性。

6、在一有利的实施方式中，所获取的数据连同相配属的功能安全指标一起可以以v2x消息的形式发送，其中，该消息包括至少两个容器。

7、此处使用的术语“容器”是指数据结构的区段或字段。数据通常作为数据结构存在，并且也以这种形式被存储、发送和接收。数据、例如数据包的结构通常是预先给定的，并且例如包含说明了数据包类型的头部、具有有效数据的区域以及例如可以包含crc校验和的结束部分。如果将具有有效数据的区域划分成包含不同来源、含义或用途的数据的两个或更多子区域，则有利的是在逻辑上划分这些子区域，这些划分部称为容器。如果必要或便利，容器本身还可以包括能够实现对有效数据区域更精细的细分或结构化的容器。这类容器通常具有便于操作和理解的名称，例如，定位容器可以包含用于确定位置的数据，并且管理容器可以尤其包括空间和时间参考值，并且可以用于为借助导航系统进行定向建立明确的基础。

8、例如，其中一个容器可以是管理容器。另外的容器可以包括一个或多个功能安全指标，适宜地，该另外的容器可以被称为安全容器（英语：safety container）。

9、在一实施方式中，上面提到的v2x消息是etsi ts 102984-2中定义的消息。因此，使用已经在v2x通信的语境中使用的消息，从而实现与已知系统尽可能大的兼容性。这种消息的示例是cam消息、map消息、spat消息、cpm消息、mcm消息、denm消息或ivi消息。

10、即使在这些实施方案的范围内反复引用etsi ts 102984-2，当然也可以在其他标准的范围内进行根据本发明的实施，例如，可以针对根据通常在美国使用的sae j 2735的消息或针对根据在中国通常使用的tcsae 53-2017-ch的消息进行实施。

11、在一设计方案中，所述另外的容器（在下文中也称为第二容器，以便将其与之前被称为管理容器的第一容器区分开来）包括以下中的一个或多个：

12、时间戳（英文：safety timestamp）、时间置信度（英文：time confidence）、消息计数值（英文：safety message counter）、安全id（英文：safety id）、开发过程（英文：devprocess）、数据生成单元的故障率（英文：fault rate）和/或设施层crc校验和。

13、可以包含时间戳以便为数据分配明确的时间点，例如生成或接收数据的时间点，或者上次更改第二容器的内容的时间点。时间置信度表示时间准确性有多大。计数值“安全消息计数器”是随着每个所生成的消息而持续递增的计数值。安全id用于进一步保护第二容器，以避免在接收方处混淆不同的发送方。“开发过程”这一参数说明开发过程在软件开发期间满足哪些要求。故障率“fault rate”说明了数据生成单元的失效率或错误率有多高。校验和“设施层crc”可用于检查消息内容的至少一部分的完整性。

14、特别是，故障率这一参数可以有利地用于本发明，因为故障率也具有关键性能指标（kpi）的特性，其说明了与生成v2x消息中所包含的部分数据的单元相关联的可靠性。

15、在另一有利的实施方式中，第二容器包括以下指标中的至少一个，所述指标可以包含在第二容器所包括的子容器中：

16、- 未检出关键失效率（英语：failure rate），或

17、- 失效检测时间（英语：failure detection time），或

18、- 保护级别（英语：protection level），或

19、- 所述指标适用的信号的列表或v2x消息的数据的列表。

20、第二容器可以称为“安全信号容器”，该名称描述了该容器中所包含的信息的用途。第二容器可以包含其他信息或指标，并且不限于提到的四个kpi，例如，可以包含说明了消息中数据相互独立程度的信息，该信息通常称为“β”参数。

21、一个或多个子容器中的每个都包含与特定类型的信息相关的信息。例如，一个子容器可以涉及时间信息信号并给出与之相关的安全指标，另一个子容器可以涉及位置信号或速度信号并给出其他相应的安全指标。

22、子容器中所包含的大多数信息与上面提到的故障率一样是关键性能指标（kpi），也简称为“指标”，并且在本发明的范围内可以用于判断在本发明范围内传输的数据是否能够用在安全功能中。kpi之一是未检出关键失效率，其涉及如下说明，即在每个单位时间内在所传输的数据中最多可以包含多少个未被发现的关键错误，在超过与此相关的阈值时，可以判断，与该kpi相关联的数据不用于安全功能。另一个kpi是失效检测时间，在此也可以使用与阈值的比较，以判断，相配属的数据不用于安全功能。另一个kpi是保护级别值（英语：protection level），其说明了相配属数据的准确性，其中，该准确性包括系统误差和随机误差。在这里，如果超过阈值，也可以放弃将这些数据用在安全功能的范围内。于是，在子容器中还同样包含kpi所适用的信号的列表。

23、在本发明的范围内，子容器可包括前述kpi中的一个或多个，当然，如果所讨论的全部四个kpi都包含在子容器中，则可以特别有利。

24、同样，一实施方式包括一种用于通信网络中的接收方的方法，所述方法包括：将数据与功能安全指标一起接收，并且基于所接收的功能安全指标推断所述数据是否用于安全功能。用于接收方的方法是上述用于发送方的方法的配对物。

25、在一实施方式中，v2x消息包括所接收的v2x数据和相配属的功能安全指标，其中，v2x消息包括至少两个容器，其中，第一容器包括v2x数据，并且第二容器包括相配属的功能安全指标。

26、在另一实施方式中，第二容器包括以下中的一个或多个：时间戳（英语：safetytimestamp）、时间置信度（英语：time confidence）、消息计数值（英语：safety messagecounter）、安全id（英语：safety id）、开发过程（英语：devprocess）、数据生成单元的故障率（英语：fault-rate）和/或校验和“设施层crc”。

27、在另一有利的实施方式中，第二容器包括以下指标中的至少一个，所述指标可以包含在第二容器所包括的子容器中：

28、- 未检出关键失效率（英语：failure rate），或

29、- 失效检测时间（英语：failure detection time），或

30、- 保护级别（英语：protection level），或

31、- 指标适用的信号（v2x数据）的列表。

32、将信息分配到第二容器或子容器是根据以下观点进行的，即该信息是涉及全部v2x数据，还是仅适用于所述数据的子集。在第一种情况下，在第二容器（也称为“安全容器”）中传输信息是有利且合理的；在第二种情况下，在子容器（也称为“安全信号容器”）之一中传输信息是适当的。

33、另一实施方式涉及通信网络中的发送设备，其中，发送设备包括：第一获取模块，该第一获取模块获取用于v2x消息的数据；第二获取模块，该第二获取模块获取一个或多个相配属的功能安全指标；以及发送模块，该发送模块将所获取的数据连同所获取的一个或多个相配属的功能安全指标一起发送。

34、另一实施方式涉及接收设备，该接收设备包括：接收模块，该接收模块接收v2x数据以及功能安全指标；判断模块，该判断模块基于功能安全指标判断v2x数据是否用于安全功能；以及控制模块，该控制模块使用v2x数据控制安全功能。

35、另一实施方式包括前述发送设备和接收设备。

36、另一实施方式涉及一种用在v2x通信网络中的数据结构，其中，该数据结构包括v2x数据和相配属的功能安全指标，并且数据结构至少包括第一容器和第二容器，所述第一容器包括v2x数据，所述第二容器包括至少一个相配属的功能安全指标。