用于运行功能可靠的音频输出系统的方法与流程

1.本发明涉及一种用于运行功能可靠的音频输出系统的方法、一种功能可靠的音频输出系统、一种包括这种音频输出系统的车辆，并且还涉及一种用于执行该方法的计算机程序产品、以及一种包括这种程序的数据载体。


背景技术：

2.功能可靠的音频输出由系统来实现，这些系统本身被认为具有足够的功能可靠性、或者在基于数字信号处理的复杂监测设备的帮助下进行工作。否则，只能在非常有限的程度上提供对正确输出的音频信号的内容验证，例如，以最大水平的简单测量值的形式。此外，还存在诊断方法，这些诊断方法采用人类可感知的测试信号，并且在汽车生产的情况下，例如检查车辆中信息娱乐部件的正确安装和功能。
3.复杂的数字信号处理设备相对较复杂且昂贵，因此与功能不可靠的系统功能共享。因此，功能可靠性验证非常复杂，因为除了复杂的信号处理之外，还必须考虑功能不可靠的部分。通常不会对声学传输中涉及的所有技术部件进行检查，因为这在当系统运行时没有可感知的测试信号的情况下是不可能的。
4.因此，如果功能可靠的音频输出系统不仅能够求助于复杂且昂贵的设备，还能够求助于具有简单认证的设备，并且在不过度增加复杂性的情况下确保功能可靠性，并且还能够在系统运行时执行对传输中所涉及的技术部件的检查，则这将是所期望的。


技术实现要素：

5.根据本发明的用于运行具有简单认证的计算节点以及复杂的计算节点的功能可靠的音频输出系统的方法包括以下步骤：
[0006]-在简单认证的计算节点中生成指配给警报的代码；
[0007]-将代码传输到复杂的计算节点；
[0008]-在第一计算进程中，生成具有声学水印的输出信号；
[0009]-将输出信号传输到独立于该第一计算进程的第二计算进程；
[0010]-在独立于第一计算进程的第二计算进程中，获知包含在输出信号中的代码；
[0011]-将该代码传输到简单认证的计算节点；以及
[0012]-根据所生成的代码与基于所接收的代码的代码的比较，验证该音频输出系统在功能上是否可靠。
[0013]
这具有以下优点：可以减少成本和复杂性，并且可以以简单的方式检查音频输出系统的功能可靠性、特别是其部件的功能可靠性。
[0014]
有利地，根据本发明的方法在以下步骤中：
[0015]-将输出信号传输到独立于第一计算进程的第二计算进程；
[0016]
包括以下步骤：
[0017]-借助于声音转换器发射该输出信号；
[0018]-通过声音传感器接收声学信号，该声学信号包括由声音转换器输出的输出信号；
[0019]
以及以下步骤：
[0020]-在独立于第一计算进程的第二计算进程中，获知包含在输出信号中的代码；
[0021]
从该声学信号获知包含在输出信号中的该代码。
[0022]
这具有以下优点：可以以简单且高效的方式检查整个传输路径的功能可靠性。
[0023]
有利地，根据本发明的方法另外包括以下步骤：
[0024]-从简单认证的计算节点向复杂的计算节点发射第一控制信号，以便促成第一信号归入到输出信号中。
[0025]
这具有以下优点：可以传送和激活附加的、特别是与可靠性相关的信息，并且因此可以提高方法的可靠性和灵活性。
[0026]
替代性地或另外地，还可以执行以下步骤：
[0027]-将生成的代码与简单认证的计算节点已知的、且作为信号的特征的代码叠加；
[0028]-从声学水印以及该第一信号或第二信号中的至少一个信号生成该输出信号；以及
[0029]-从简单认证的计算节点向复杂的计算节点发射第二控制信号，以便激活限幅级，该限幅级可以限制第二信号的信号水平。
[0030]
这具有以下优点：可以传送和激活附加的、特别是与可靠性相关的功能，并且因此可以提高方法的可靠性和灵活性。
[0031]
有利地，根据本发明的方法包括以下附加步骤：
[0032]-从复杂的计算节点向简单认证的计算节点发射第三控制信号，以便告知，在输出信号中包括第二信号。
[0033]
这具有以下优点：可以使用与可靠性无关的信号，并且可以使检查更简单且更灵活。
[0034]
有利地，根据本发明的方法重复以下步骤：
[0035]-在独立于第一计算进程的第二计算进程中，获知包含在声学信号中的代码；以及
[0036]-将代码传输到简单认证的计算节点。
[0037]
在这种情况下，特别地，该代码可以一直/反复地存在于该输出信号中，并且该基于该接收的代码的代码可以通过对被重复确定并被传输到该简单认证的计算节点的该代码进行统计处理来生成。
[0038]
这具有以下优点：对传输的评估、检查和保护特别可靠和稳健，能够抵抗干扰影响。
[0039]
另外，根据本发明的方法的特征可以在于，生成的代码与基于接收的代码的代码的比较产生肯定验证的概率。在这种情况下，这表明该音频输出系统因此有一定概率是功能可靠的。在这种情况下，可以提供至少一个阈值，当超过该阈值时，判定为功能可靠性的肯定验证，而当低于该阈值时，判定为功能可靠性的否定验证或未验证。替代性地或另外地，生成的代码与基于接收的代码的代码的比较可以产生否定验证的概率，也就是说，该音频输出系统有一定概率是功能不可靠的。在这种情况下，也可以提供至少一个阈值，当低于该阈值时，判定为功能可靠性的否定验证，而当超过该阈值时，判定为功能可靠性的肯定验证或未验证。
[0040]
这具有以下优点：可以根据要求灵活地设置可靠性。
[0041]
有利地，在否定验证和/或未验证的情况下，因此是在音频输出系统是功能不可靠的情况下，根据本发明的方法执行以下步骤中的至少一个步骤：
[0042]-驱动更简单的但可靠的替选的音频输出；
[0043]-将系统切换到可靠状态；
[0044]-向驾驶员通知存在系统故障；
[0045]-以音频输出系统的冗余特性为依据进行检查；以及
[0046]-以音频输出系统的冗余特性为依据进行补偿。
[0047]
这具有以下优点：可以根据要求灵活地对功能可靠性故障做出反应，并且可以随时向驾驶员通知与可靠性相关的情况。
[0048]
根据本发明的用于执行根据本发明的方法的功能可靠的音频输出系统包括声音转换器、声音传感器、简单认证的计算节点以及复杂的计算节点。
[0049]
这具有以下优点：该音频输出系统的生产可以很简单、且更具成本效益。此外，该方法的优点适用于音频输出系统。
[0050]
有利地，根据本发明的音频输出系统的特征在于，该第一计算进程和独立于该第一计算进程的该第二计算进程是在同一物理计算节点上执行的，其中，特别地，该第一计算进程与该第二计算进程通过至少一种内存隔离技术彼此分离。
[0051]
这具有以下优点：提高了例如面对可能的编程错误的可靠性，并且可以减少复杂部件的比例。
[0052]
在替代实施例中，已经在经认证环境中预先实现了用水印w对声学警报信号s的编码，使得水印从存储在音频输出系统或车辆中的音频数据的开始部分开始。结果，可以简化音频输出系统的计算操作。因此，每个警报也被指配了固定的代码或代码对。该指配可以存储在单独的数据库中。因此，能够获取简单认证的计算节点也可以仅向复杂节点传输警报的代表标识，而不一定传输代码。
[0053]
这具有以下优点：由此可以防止由于知道复杂节点中的代码而发生的错误，并且减少和简化了所需的数据处理。在这种情况下，复杂节点根本没有关于代码的信息。
[0054]
因此，这种用于运行具有简单认证的计算节点以及复杂的计算节点的功能可靠的音频输出系统的方法包括以下步骤中的至少一个步骤：
[0055]-在简单认证的计算节点(a)中从数据库读入指配给警报(r)的代表标识以及代码(a1)；
[0056]-将代表标识传输到该复杂的计算节点(b)；
[0057]-在第一计算进程(b1)中，生成具有声学水印(w)的输出信号(y)；
[0058]-将输出信号(y)传输到独立于第一计算进程(b1)的第二计算进程(b2)；
[0059]-在独立于第一计算进程(b1)的第二计算进程(b2)中，获知包含在输出信号(y)中的代码(a2)；
[0060]-将该代码(a2)传输到简单认证的计算节点(a)；以及
[0061]-根据所读入的代码(a1)与基于所接收的代码(a2)的代码的比较，验证该音频输出系统在功能上是否可靠。
[0062]
一种根据本发明的车辆，该车辆包括根据本发明的功能可靠的音频输出系统，该
车辆被配置为执行根据本发明的方法。
[0063]
这具有以下优点：由此该车辆的生产可以更具成本效益，并且功能可靠性得以保持。此外，根据本发明的方法和根据本发明的音频输出系统的优点也适用于根据本发明的车辆。
[0064]
一种根据本发明的计算机程序产品，包括指令，当该程序产品由嵌入式系统执行时，这些指令使该嵌入式系统执行根据本发明的方法。
[0065]
这具有以下优点：该方法可以灵活地适应并在许多不同的系统上执行。
[0066]
一种根据本发明的数据载体存储根据本发明的计算机程序产品。
[0067]
这具有以下优点：该计算机程序可以容易地传输、保存和复制。
[0068]
该方法检查包括扬声器在内的直至驾驶员的整个声学传输路径。为此，不需要人类可感知的测试信号。用于识别声学水印的方法在面对外部干扰时非常可靠和稳健，因此即使在存在来自车辆内部或周围环境的声学干扰的情况下，也可以使用该方法。本发明使得可以使用不可认证的处理器，即复杂的处理器，这些处理器还可以完成除音频输出之外的许多其他任务。特别地，这可以在除了可靠性相关的音频信号s之外还必须使驾驶员注意倾听其他音频信号的系统中实现。本发明的另一个基本优点是划分为简单的部分，该部分根据asil可证明是足够可靠的，并且不需要以与音频样本/音频采样值一样的时间对该部分进行复杂或快速信号处理。这使得当前可商购的处理器极具成本效益。本发明还可以使用驾驶员信息系统的用于驾驶员的娱乐、信息和语音控制的典型设备，以提供与安全性相关的声音警报或通知，而其安全性不需要在高于qm(质量管理)的更高asil(汽车安全完整性等级)级别的安全性方面进行验证，因为整个声学传输路径由相对较简单且便宜的部件来监测。在许多情况下，在驾驶员出现安全临界情况之前，可以及时识别各个部件的故障，所述部件能够被更换，或者在安全临界的声音警报的情况下，如果有可用的冗余，则可以容忍这些故障。
[0069]
除了在车辆中使用之外，还可以用于在公共建筑和运输系统、工业设施等中提供与安全相关的通告。
[0070]
根据本发明的关于功能安全的音频输出的概念可以例如到达asil b的认证标准。
附图说明
[0071]
本发明的进一步的特征、属性和优点从以下参考附图的描述中将变得显而易见，示意性地在附图中：
[0072]
图1示出了根据本发明的用于运行功能可靠的音频输出系统的方法的图示；
[0073]
图2示出了数字信号处理的图示；以及
[0074]
图3示出了数字信号处理的进一步图示。
具体实施方式
[0075]
图1示意性展示了根据本发明的可靠音频输出系统x。功能可靠的音频输出系统x以这样的方式划分：能够相对较简单地认证的(特别是可根据asil认证的)配备的计算节点a(即，例如具有低复杂性和有限的计算能力)在序列控制器(程序)g中将代码a1指配给特定的警报r，并将该代码传输到更复杂的节点b，而该更复杂的节点借助于计算进程b1中的数
字信号处理c从所述代码a1以及要输出的声学警报信号s中生成信号w，所述信号w被要输出的警报信号s掩蔽，也就是说，人类不能将所输出的信号s与信号s和w的叠加区分开。为此，序列控制器g将控制信号a3传输到计算进程b1，该计算进程激活信号s的输出、并切换到警报信号s作为信号处理c的参考信号。为了可靠且明确地将警报声音的信号源s与任何其他音频信号m区分开，除了代码a1之外，可以将节点a已知的、且不等于信号源s的零点的特征代码bk(例如，相关联音频文件的校验和)叠加在代码a1上(例如，通过逐位异或函数(xor))。对于其他音频信号m，a1可能保持不变，例如通过将零与a1进行“或”运算。信号w也被称为声学水印。对用于形成声学水印w的a1的调制和编码通常在警报信号s中的冗余且与人类听觉无关的信号分量中实现。
[0076]
信号s和w以及可选的另外的信号m(例如音乐)相加以形成输出信号y。在必须输出警报信号s的情况下，序列控制器g将信号a4传输到计算进程b1，该信号激活限幅级l并将m的信号水平限制到这样的程度：即驾驶员不会听不到警报信号s，并且输出信号y中水印的识别不会受到太多干扰或延迟。计算进程b1通常将输出信号y输出到放大器v，该放大器将放大后的信号作为输出信号输出到声音转换器ls(例如，扬声器)。由声音转换器ls生成的声音和可能的其他噪音，即声学信号z1，被驾驶员和声音传感器mic两者接收。该声音传感器将该信号转换为(样本的/采样值的)信号流z，并将该信号流馈送到第二计算进程b2。所述第二计算进程有利地位于同一物理计算节点b中，从而不仅能够节省成本，也可以容纳在专用计算节点中。借助于信号处理d，所述计算进程b2获知信号中包含的(最可能的)代码a2。计算进程b2必须完全独立于计算进程b1来操作，特别是不会预先知道代码a1。包含自信号流z的最可能的代码a2通过多次重复被传输到计算节点a，该计算节点在统计处理h中评估所获知的代码。在足够的代码重复之后，计算节点a中的序列控制器k进而可以就通过与在许多周期内取平均的代码a2进行比较而输出的警报声音而言足够可靠地判定在接收的声学信号z1中是否存在来自扬声器的存在于声学信号中的代码a1bk(a1 xor bk)，从而为驾驶员提供警报信号的可听性。在平均代码a2不对应于a1bk的情况下，系统中存在故障，并且计算节点a可以驱动更简单但可靠的替选的音频输出bz，或将系统切换到可靠状态，即系统故障的存在被可靠地通知给驾驶员。为了整个系统的足够可靠性，必须确保代码a1对于计算进程是未知的。这可以通过内存隔离技术来实现(例如，借助于内存管理单元和支持进程隔离的运行系统)。为了增加系统的可靠性并且增强面对干扰信号的稳健性，可以在信号分布曲线中多次重复要编码的代码，并且可以在针对计算节点a的序列控制器k中存在系统故障方面做出判定之前通过计算节点a中的随机处理h对该要编码的信号进行评估。特别地，相关性滤波器适用于此目的；例如，也可以使用信号匹配滤波器(最优滤波器、匹配滤波器)。
[0077]
在信号输出和评估输出信号是否能够被要通知的人听到期间，可以考虑各种因素。特别地，可以考虑环境音量以及其他信息，特别是个人信息、个人设置和倾听习惯。在这方面，例如，可以考虑座椅设置、身体姿势、典型音量设置以及特别是关于人的听觉能力方面的限制或过度敏感的信息。也可以考虑外部设备的存在或使用，特别是助听器及其设置。这有利地通过外部设备与车辆部件之间的通信来实现，但是也可以通过车辆传感器来间接确定。在这方面，例如，相机可以确定没有助听器和/或声音和其他声响以增加的音量进行播放。
[0078]
如果存在足够大声的信号m，也可以在没有警报的情况下在后台检查收发器系统的功能。音频信号m是否足够大声的事实可以由限幅级l确定，这是因为限幅级测量信号的当前功率，并且这可以作为控制信号a5传送到序列控制器k。音频信号m(而不是警报s)被馈送到信号处理c，并像s一样被处理。如果控制信号a5发出足够的音频音量，则序列控制器k可以基于接收的代码a2判定是否存在系统故障。一般来说，在这种情况下，由于不存在危害，因此不需要在短时间内做出判定，因此允许选择相应更长的统计评估时间，并且因此提高关于是否存在系统故障的正确判定的可靠性。序列控制器k可以使用后台检查的结果，通过某种其他功能方法(例如，通过视觉输出或替选的声音输出)立即向驾驶员通知存在系统故障，并且例如可以请求寻找服务设施。由于现在通常经由多个声音转换器(扬声器)来实现音频输出，并且通常也经由多个麦克风mic来接收声音以便改善方向效果，所以通常存在冗余的声学系统，该冗余的声学系统仅在所有声音转换器或麦克风同时出现故障的这种不太可能的情况下才会失效，信号处理d和序列控制器k可以考虑到这一点。例如，只要仍然存在来自至少一个麦克风的具有正确识别代码的信号流z，就可以容易地识别一个或多个麦克风的故障。通过将代码a1交替地仅叠加在一个扬声器声道上，或者通过将不同的代码(在统计上彼此独立)叠加在各个扬声器上，同样可以单独测试扬声器。在这些情况下，可以在系统失效之前将服务情况告知驾驶员。
[0079]
然而，如果外部声学干扰信号过大以至于所有麦克风由于例如被驱动到其极限而失效，则可能会错误地识别出明显的系统失效。然而，超速驾驶的声学信号z1可以被信号处理d识别，并且可以与故障麦克风的典型信号分布曲线区分开，因为故障麦克风不提供音频信号水平或仅提供低水平。在超速驾驶的情况下，信号处理d随后向序列控制器k发送特殊代码a2，这可以通过某种其他方法(例如，通过视觉输出)向驾驶员输出警报，因为不再确保向驾驶员的声学传输路径。
[0080]
此外，在信号的生成、处理和/或传输期间存在发生错误的可能性，因此代码a1和代码a2对应的概率基本上始终为1。例如，这可能是由于计算进程b1没有与计算进程b2正确分离，因此代码a1被计算进程b2知道或者被其错误地使用。这种错误可以通过在计算进程b1中使用代码a1或代码a1bk之后在完整内存中改变或从完整内存中擦除这些代码来发现。
[0081]
替代性地或另外地，特别是在从放大器v经由声音转换器ls到人耳的传输路径可以归类为功能可靠或以某种其他方式验证的情况下，输出信号y也可以直接馈送到计算进程b2。通过经过验证的传输路径，包括声学传输的完整处理路径因此可以归类为功能可靠的。特别地，声学信号中实际上包含的代码因此也基本上像通过纯电子传输一样传递到计算进程b2。
[0082]
图2展示并描述了数字信号处理c(编码器)的示例性实现。要编码的代码可以通过二进制相移键控(bpsk)扩展到很大的频率范围，这可以在对映信号编码(例如-1；1)的情况下通过信号的简单乘法从已知的伪随机信号序列(prbs源)和循环重复的代码序列来实现。将要编码的代码与来自prbs源的这种已知伪随机信号序列(具有近似白色的频谱并且其自相关函数中具有明确峰值)进行叠加(例如，利用xor函数)，简化了对脉冲序列的开始和周期的识别，因为自相关函数在恰好一个周期后具有明确的最大值。最后，可以将信号与余弦函数相乘，以获得对合适值的最大频谱贡献的频谱偏移。此外，可以通过人类的心理声学模型在频域中对所得信号序列进行加权(例如，通过快速傅立叶变换fft)，使得信号w保持在
人类听觉的感知阈值以下。在这种情况下，掩蔽模型向加权进程提供关于掩蔽阈值的估计，使得音频信号m和/或警报s仅掩蔽由于代码引起的改变。此外，可以修改要编码的代码，使得接收器可以例如借助于卷积码来识别传输错误。
[0083]
如果必须同时输出多个与安全性相关的声音，则可以针对不同的声音使用具有正交码的pnr信号，以便更好地且可靠地区分不同的编码周期长度。
[0084]
图3展示并描述了信号处理d(解码器)的示例性实施方式，并且该信号处理具有匹配滤波器，采样数据流z[k](即，来自麦克风的信号流z)被馈送到该匹配滤波器。匹配滤波器具有相对于prbs信号时间反转的脉冲响应d[n-n]，在符号持续时间tsymb＝n*t0的极限处在各自的情况下与输入信号具有最大相关性或反相关性。这些极值由同步单元识别并驱动采样单元，采样单元在时间点n对匹配滤波器的输出o[k]进行采样并将其馈送到阈值判定单元。阈值判定单元基于根据经验选择的阈值s来判定是否存在正位的充分相关性(数据位g[n]与prbs序列d[n]相同)或负位的充分反相关性(数据位g[n]与prbs序列d[n]不同)。如果不是这种情况，则判定单元输出0，指示未识别的位或位错误。因此，代表对代码a1bk的估计的代码a2出现在解码器d的输出端。由于该代码a2可能仍然存在位错误或者甚至估计错误，因此在代码序列a1的许多周期n上将该代码传输到计算节点a中的随机评估单元h。然后，所述评估单元可以通过在接收的码字a2的相同位定位处添加数据位来非常简单地执行随机评估，并且可以将结果馈送到序列控制器k中的阈值判定单元。
[0085]
在替代实施例中，也可以已经在经认证环境中预先实现了用水印w对声学警报信号s的编码，使得水印从存储在音频输出系统x或车辆中的音频数据的开始部分开始。结果，可以简化音频输出系统x的计算操作。因此，每个警报r也被指配了固定的代码a1或代码对a1、bk。该指配可以存储在单独的数据库中。因此，能够简单认证的计算节点a也可以仅向复杂节点b传输警报r的代表标识，而不一定传输代码a1。结果，可以防止由于知道复杂节点b中的代码a1而发生的错误。在这种情况下，复杂节点b根本没有关于代码a1的信息。
[0086]
因此，首先由简单认证的计算节点a从数据库读入指配给警报r的代表标识以及代码a1。该代表标识被传输到复杂的计算节点b，以便在那里确定指配给警报的音频信号，该音频信号至少包括作为水印的代码a1。不允许计算节点b访问包含代码a1和代表标识的数据库。在这种情况下，音频信号是在经认证的环境中预先创建的，并且在其产生期间或之后存储在音频输出系统上。在这种情况下，经认证的环境适合于针对汽车领域的安全临界应用创建音频输出数据，从而可以实现高asil级别(即高于qm级别)。在第一计算进程b1中，然后生成包括具有代码a1的音频信号的输出信号y。输出信号然后被传输到独立于第一计算进程b1的第二计算进程b2。在所述第二计算进程中，然后提取输出信号y中包含的代码a2。然后，该提取的或接收的代码a2被传输到简单认证的计算节点a。在简单认证的计算节点中，然后将读入的代码a1与基于接收的代码a2的代码进行比较，以验证音频输出系统在功能上是否可靠。
[0087]
经由扬声器-麦克风路径将输出信号y传输到独立于第一计算进程b1的第二计算进程b2是特别有利的。因此，可以验证音频输出系统在功能上是否可靠。
[0088]
已经包括水印以及相关的代表标识和代码a1的音频信号也可以有利地随后通过软件更新的方式提供给音频输出系统，特别是通过远程维护的方式提供的更新，即所谓的空中更新。
[0089]
在这种情况下，这种功能可靠的音频输出系统x包括至少一个声音转换器ls、声音传感器mic、简单认证的计算节点a、数据库以及复杂的计算节点b。
[0090]
在车辆中，特别是声音转换器和声音传感器也可以被配置为装饰部件的形式。此外，也可以借助于激光器执行声波的空间定向发射。
[0091]
虽然已通过优选示例性实施例更具体地展示并详细描述了本发明，但是本发明不限于所披露的示例。本领域技术人员可以在不脱离诸如所附专利权利要求所限定的本发明的保护范围的情况下得出其变型。