RS20180001A1 - Postupak konfigurisanja sistema autonomne vožnje u vozilu - Google Patents

Description

Поступак конфигурисања система аутономне вожње у возилу

Област технике на коју се проналазак односи

Проналазак спада у област аутомобилске индустрије и рачунарске комуникације. Тачније, проналазак се односи на технику одређивања нивоа ризика појединих апликација у аутомобилском рачунарском систему. Према међународној класификацији патената проналазак је означен основним класификационим симболом G06F9/44552, G06F21/62, G06F12/14, G06F9/50.

Циљ проналаска

Како бих се лакше решио проблем различитости архитектуре језгара ADAS платформе, Middleware-y је потребна помоћ развојног пакета платформе који управља више-језгарном (енг. multi-core) архитектуром. Такав развојни пакет мора бити у могућности да интегрише хетерогено извршење конкурентних задатака (енг. task) и да уклони терет управљања преносом података или јасне копије података између процеса.

Циљ проналаска је да се постигне ниво ризика који је толерантан за системе аутономних аутомобила како би се обезбедили сигурни услови вожње. Тачније циљ проналаска је да се редукују системске грешке приликом извршавања апликација применом другачијег начина пројектовања процеса и да се сваком елементу система додели одређени потребни ниво сигурности.

Стање технике

У постојеће стање технике спадају следећи проналасци који се по својој функционалности разлкују од изложеног проналаска.

Патентна пријава ЕР2907072 (B1) објављена 19.08.2015 под називом "Method for controlling separated running of linked program blocks and control device” предлаже апликацију која ce односи на метод за контролу засебне секвенце повезаних програмских блокова који су дизајнирани да имплементирају функције сигурносно релевантних система, посебно у моторним возилима. Конкретно, формирају се програмски блокови за имплементацију функција погона моторног возила или других апликација специфичних за возила, као што су управљачки системи или системи безбедности возила или путника.

Патентна пријава US20150212952A1 објављена 30.07.2015. године под називом "Method for the coexistence of software having different safety levels in a multicore processor system" предлаже поступак коегзистенције софтвера са различитим нивоима сигурности у мултипроцесору који има најмање два процесорска језгра. Опсег меморије је повезан са сваким језгром процесора а софтвер се обрађује на једном језгару процесора који има унапред дефинисани ниво сигурности. Обрада софтвера са унапред дефинисаним нивоом сигурности се врши само на језгру процесора са истим нивоом сигурности, у којем приликом обраде софтвера, језгро процесора приступа само заштићеном меморијском опсегу који је трајно повезан са језгром процесора.

Патентна пријава ЈР2015067107А објављена 13.04.2015. године под називом "Vehicle control device" предлаже поступак за обезбеђивање контроле возила и осигурања безбедности, а да при том нема додатног оптерећења приликом обраде података, чак и ако се дозвољава рад већег броја различитих апликација у смислу сигурносног стандарда. Према предметном проналаску софтвер се посебно класификује према класификацији у складу са режимом рада и општим сигурносним интегритетом демаркације (ASIL, QM).

Излагање суштине проналаска

Развој путничких аутомобила је постао један од веома захтевних задатака са све већим повећањем потреба везаних за управљање возилом. Изазови који се јављају како би се добило потпуно самоуправљање путничким возилом се решавају употребом модерних технологија као што су вештачка интелигенција, машинско учење и сензорска технологија. Употреба ових технологија захтева и употребу нове технологије за верификацију и валидацију софтверских компоненти пре него што се започне производња. Ово је нарочито важно за размену сигурносно критичних апликација у возилу.

Безбедносни аспекти морају се узети у обзир приликом развоја модерног путничког возила. Једна од чињеница које показују ниво сложености ових система је подељеност у том смислу да је систем састављен од више функционалних делова и подсистема. Како би се правлино могла извршити верификација и валидација развој хардвера и софтера мора бити урађен према специфицираном стандарду ISO 26262. Овај стандард дефинише приступ базиран на одређивању нивоа ризика појединих апликација, специфичан за путничка возила, како би се остварило неопходно смањење ризика и постизање прихватљивог ризика, који се назива Automotiv Safety lntegrity Level (ASIL). Функционална сигурност коју прописује овај стандард подразумева безбедност система електронике у путничком аутомобилу. Могући ASIL нивои су QM, ASIL А, ASIL В, ASIL С и ASIL D. ASIL D захтева највиши ниво снижавања ризика док је за QM довољна номинална мера квалитета која се примењује у аутомобилској индустрији. Са применом V модела у ISO 26262 стандарду први корак инжењерских захтева је да се изведе анализа опасности и ризика оцењеног за ситем који је под разматрањем. Излаз из овог корака је дат према сигурносним циљевима које описује највиши ниво безбедносних захтева. Концепт функционалне сигурности је подељен на фукнционално сигурносне захтеве како би се постигли безбедносни циљеви анализе опасности. Одређивање функционалне сигурности система електронике се одвија у неколико фаза. Циљ сваке фазе јесте да се развије таква архитектура софтевра који ће проћи тест валидације и верификације.

Оно што се предлаже овим решењем јесте да се постепено подигне ниво безбедности система са нивоа QM на ниво ASIL D. Да би се постигли циљеви функционалне сигурности, хардвер и софтвер морају бити беспрекорно интегрисани како би обезбедили потпуну покривеност безбедносних захтева. Интегрисањем функционалне сигурности у систем електронике путничких возила и укључивањем потенцијалног софтвера који ће радити на датим компоненатама, дају се смернице за функционисање појединих хардверских компоненти и то специфицирањем захтева за целокупан живорни циклус произвида. Сигурносни циљеви се дефинишу развојем апликација и додељивањем одређеног ASIL нивоа безбедности свакој операцији. Овакав скалабилан приступ обезбеђује поједностављење дизајна система и смањење сложености софтвера. Тачније имплементирањем овакве архитектуре се омогућава смањење броја системских компоненти, решавају се захтеви функционалне сигурности и повећава поузданост. Апликације које имају корист од овог приступа су серво управљач, електронска контрола стабилности, контрола оквира (шасије), контрола сигурности, контрола адаптивног темпомата и детекција слепог угла.

Потреба за стандардизацијом се јавила са појавом потербе за софтверским управљањем возилима. Аутономна вожња ће променити стил живота друштва, смањити саобраћајне незгоде као и повећати ефикасност путничког саобраћаја. Исто тако повећава се и количина размене података у оквиру возила и размена података између возила стога се мора прилагодити и комуникациона мрежа која ће обезбедити унапред познато време размене порука.

Кратак опис слика проналаска

Слика 1a. Дијаграм архитектуре нивоа безбедности QM.

Слика 2б. Дијаграм архитектуре нивоа безбедности ASIL В.

Слика Зц. Дијаграм архитектуре нивоа безбедности ASIL D.

Слика 2. Развојни метод архитектуе нивоа безбедности QM у архитектуру нивоа безбедности ASIL В.

Слика 3. Развојни метод архитектуре нивоа безбедности ASIL В у архитектуру нивоа безбедности ASIL D.

Детаљан опис проналаска

Могућност реализације система за аутономну вожњу и инфозабавних система у возилу на јединственој платформи захтева употребу адаптивног софтверског стека (AUTOSAR Adaptive) који је намењен за даље прилагођавање према потребама и намени и имплементацију одређених модула према строгим стандардима безбедности како би се дошло до решења које се може да се користи као софтверски слој који ће моћи да се интегрише у различите аутомобилске платформе у индустрији.

Слика 1a. приказује архитектуру нивоа безбедности QM. Архитектуру чини систем на чипу 100a, подсистем за комуникацију 120a и подсистем за сензорку фузију 140a. Систем на чипу 100a чини улазно/излазни подсистем - камере, дигитални сигнални процесор (DSP), меморијска јединица, вишејезграни општенаменски процесор и графичка обрадна јединица. Софтверски стек 110a на нивоу безбедности QM чини општенаменски оперативни систем (Linux или Android ), средњи слој са руковаоцем животног циклуса апликација, функцијама хардверског убрзања (графички SDK - ореn GL i ореn CL и DSP SDK), руковаоц камерама и модула за размену мултимедијлних порука преко мреже, затим јединствене апликативне спреге и апликација за инфозабавни програм, мултимедијални система за путнике, кластер екран, екран ветробрана, информациони алгоритам возачу, алгоритми за управљање возилом, алгоритми за помоћ возачу са повратном спрегом. Подсистем за комуникацију 120a укључује улазно излазни подсистем - Ethernet, микроконтролер, меморијска јединица, док је софтверски стек подсистема за комуникацију 130a сачињен од језгра оперативног система и апликација усмеривача.Подсистем за

сензорску фузију 140a чини улазно излазни подсистем, аутомобилски подсистеми (CAN, LIN, Flexray), микроконтролер и меморијска јединица. Софтверски стек подсистема за сензорску фузију 150a има елементе језгро оперативног система, CAN/ LIN/ Flexray/ Ethernet руковаоци, апликације за слање сензорских података у систем.

На слици 16 приказана је архитектура нивоа безбедности ASIL В. Систем на чипу 1006 остаје исти. Оно што се мења у циљу подизања нивоа безбедности је софтверки стек 110б, односно додати су или су измењени модули у односну на архитектуру првог нижег ASIL нивоа и измењене су апликације које су прилагођене вишем нивоу безбедности. Модул за визуелизацију омогућује емулацију ресурса хардвера и на тај начин се добија привидни процесор, графичка јединица, меморија и дидгитални сигнални процесор а све у циљу могућности употребе два оперативна система, општенаменски оперативни систем (Linux или Android ) који је присутан и у архитектури нивоа безбедности QM и нови додатни оперативни систем реалног времена (нпр.QNХ) за апликације које захтевју поузданије и брже извршавање. Да би систем функционисао на већем нивоу безбедности односно да би се остварило ефикасније управљање микроконтролерима у возилу неопходно је извшити и проширење средњег слоја са имплементацијом руковаоца дељеним графичким бафером, модула за размену порука и руковаоцем животног циклуса апликација. У оваквој архитектури урађена је и измена апликација мултимедијалног система за путнике, инфозабавног система, информационе помоћи за возача, апликације за рад кластера, ветробрана и за управљање возилом. Подсистем за комуникацију 120б са софтверским стеком 130б у архотектури нивоа сигурности ASIL В остаје исти као и на QM нивоу, док се софтвески стек 150б подсистема за сензорску фузију 140б на овом нивоу безбедности мења у односу на претходни и сада га чине оперативни систем реалног времена, прилагодни слој (AUTOSAR MCAL), AUTOSAR средњи слој, RTE (енг. Runtime Environment), сервис сензорске фузије, апликација за слање сензорских података у систем,

На слици 1ц је дата архитектура нива безбедности ASIL D. Систем на чипу 100ц није измењен у односу на претходну архитектуру. За подизање нивоа безбедности на ASIL D ниво потребно је извршити измену у софтверском стеку 110ц проширењем средњег слоја оперативног система Linux додавањем модула за функције хардверског убрзања (DSP SDK и нативни графички SDK). Исто тако врши се проширење средњег слоја оперативног система реалног времена уградњом модула за детерминистичко распоређивање задатака и модула за детермонистичку комуникацију. Софтверски стек 130ц подсистема за комуникацију 120ц се прилагођава

детерминистичкој размени података па је поред језгра оперативног система уведен и руковалац детерминистичком комуникацијом, конфигуратор детерминистичке комуникације и апликација Deterministic Ethernet усмеривача. Подсистем за сензорску фузију 140ц са софтверским стеком 150ц се не мења у односу на архитектуру нивоа безбедности ASIL В. Оно што је важно да се нагласи јесте да се за комуникцију у оваквој архитектури користи детерминистички Етернет (енг. Deterministic Ethernet).

Алгоритмом на слици 2 дат је развојни поступак архитектуре ниво безбедности QM у архитектуру ниво безбедности ASIL В систем. Пступак почиње кораком обезбеђивање хипервизора 210 програма за виртуелизацију у циљу бољег искоришћења хардверских ресурса који обухвата учитавање хипервизорске слике у програмску меморију система 211, затим преношење средњег слоја архитектуре нивоа безбедности QM 212, где се врши имплементација сета спецификација које описују програмске модуле и дефинише апликативни интерфејс и валидација апликација 213 које подразумевају архитектуру нивоа безбедности ASIL В у хипервизорском окружењу у оперативном систему Linux где се врши процена да ли је апликација у складу са захтевима и да ли задовољава корисничке потребе и одговарајући ниво сигурности.

Измена архитектуре средњег слоја укључује корак имплемнентација модула за размену мултимедијалних порука 220 са којим се врши имплементација спреге за размену графичких порука са не критичним мултимедијалним апликацијама коришћењем Етернет спреге 221 и имплементација спреге за размену графичких порука са критичним мултимедијалним апликацијама, уписом графке у дељену меморију хипервизора 222.

Кораком обезбеђивање софтверског стека за оперативни систем реалног времена 230 где се формирају привремени сигурносно критични подаци који се смештају у софтверски стек 110б. Овај корак укључује превођење безбедносног средњег слоја за оперативни систем реалног времена (QNX) 231, затим обезбеђивање спрега за функционисање хардверског убрзања у оперативном систему реалног времена 233 и преношење модула за размену мултимедијалних порука за оперативни систем реалног времена 234.

Корак проширење модула за размену порука 240 који подразумева додавање гране: ако порука није графичка, размена се реализује коришћењем Етернет спреге 241, додавање гране: ако порука није графичка, порука се обрађује коришћењем спрега модула за размену мултимедијалних порука 242 и преношење модула за размену порука на оперативни систем реалног времена 243.

Корак обезбеђивање софтверског стека система за сензорску фузију 250 укључује обезбеђивање оперативног система реалног времена компатибилног са AUTOSAR стандардом 251, имплементација прилагодног слоја за циљну хардверску платформу система за сензорску фузију 252, преношење AUTOSAR слоја 253, реализација сервиса AUTOSAR слоја за добављање сензорских порука са CAN, LIN и FlexRay магистрала 254 и измене апликације за слање сензорских података у систем, тако да уместо CAN, LIN и FlexRay руковалаца, за добављање података користи AUTOSAR сервис 255.

Са кораком мапирање јединствене апликативне спреге за руковалац животним циклусом апликација 260 прво се врши превођење безбедносног средњег слоја за Цпих 261 а затим мапиранје функција за руковање животним циклусом апликација на јединствену апликаривну спрегу 262. Ово мапирање функција за руковање животним циклусом 262 укључује мапирање функција старт/стоп 263, мапирање функција паузирај/настави 264 и мапирање функција за размену порука и догађаја 265. Даље се у оквиру корака мапирање јединствене апликативне спреге за руковалац животним циклусом апликација 260 врши мапирање комуникационих функцја на функције модула за размену порука 266 и на крају се процес завршава са кораком валидација апликација 229 са којим се проверава функционалност апликација за архитектуру нивоа безбедности ASIL В.

Алгоритмом на слици 3 дат је развојни поступак архитектуре нивоа безбедности ASIL В у архитектуру нивоа безбедности ASIL D. Поступак почиње кораком анализа мрежног саобраћаја апликација (почетно K=1) 310 са којим се врши покретање апликације К 311. У току рада врши се мерење коришћеног протока апликације К 312 како би се могло одредити да ли је проток већи од претходно највећег 313 и ако није проверава се да ли је истекло репрезентативно време извршавања 314. У случају да је проток већи од претходно највећег следи ажурирање највећег протока за апликацију К 315 а затим се проверава да ли је истекло репрезентативно време извршавања 314. Ако репрезентативно време није истекло поступак ће се поновити од мерење коришћеног протока апликације К 312, међутим ако је истекло репрезентативно време извршавања проверава се да ли су обрађене све апликације 316. Прелаз на апликацију К=К+1317 ће се десити ако се установи да постоји још необрађених апликација. Када се изврши прелаз на следећу необрађену апликацију поступак се понавља од покретање апликације К.

Након обраде свих апликација прелази се на корак 320 уградња подсистема за подршку детерминистичког мрежног протокола. Ово подразумева повезивање подсистема Етернет везом 321 и конфигурисање подсистема добијеним максималним протоцима апликација (алокација протока) 322.

Корак проширења средњег слоја оперативног система реалног времена 330 чини уградња руковаоца детерминистичком комуникацијама 331, кофигурација руковаоца детерминистичким комуникацијама добијеним максималним протоцима апликација (алокација оротока) 332, затим спрега руковаоца детерминистичким комуникацијама са модулом за размену порука 333 и угарадња детерминистичлог распоређивача задатака 334. Да би се извршила правилна уградња детерминистичког распоређивача задатака 334 врши се додела фиксног кванта времена извршавања за све апликације, (почетно K=1) 335 а затим валидација рада апликације за реално време 336. Ако упитом да ли је рад у реалном времену задовољен 337 услов није испуњен прећи ће се на повећање кванта времена извршавања апликације К за фиксни инкремент 338 и тада ће се проверавати да ли процесор још увек има расположивог времена 339. У случају да нема врши се оптимизација аплиакција 340 где све апликације морају бити оптимизоване а поступак се наставља са додела фиксног кванта времена извршавања за сва апликације 335. Ако се провером да ли процесор још увек има расположивог времена 339 установи да има поступак се наставља од валидације рада апликације К за реално време 336. Када је рад у реалном времену задовољен али ако нису обрађене све апликације 341 врши се прелаз на апликацију К=К+1 342 и поступак се тада понавља од валидације рада апликације К за реално време 336.

Када се изврши обрађивање свих апликација прелази се на корак проширење средњег слоја оперативног система Linux 350. Проширење се своди на додавање нативног графичког СДК 351 и усаглашавање нативног графичког СДК са графичком спрегом јединствене апликативне спреге 352. Кораком валидације апликација 360 се проверава функционалност апликација за ниво безбедности ASIL D чиме се завршава цео поступак.

Начин индустријске и друге примене проналаска

Проналазак налази примену у области аутомобилске индустрије. Проналазак се може примењивати на било којој платформи са више језгарном (енг. multi-core) архитектуром. Проналазак се може искористити када је потребно решити проблем интегрисања функционалне сигурности у систем електронике аутономних возила и укључивањем потенцијалног софтверског решења који ће радити на датим компоненатама. Постепеним подизањем нивоа безбедности система са нивоа QM на ниво ASIL D поједностављује се дизајн система и смањење сложености софтвера.

Claims (6)

Патентни захтеви

1. Поступак конфигурисања система аутономне вожње у возилу омогућава конфигурисање програмског стека 110a система на чипу 100a, програмског стека 130a подсистема за комуникацију 120a и програмског стека 150a подсистема за сензорску фузију 140a и конфигурисање програмског стека 110б система на чипу 100б, програмског стека 130б подсистема за комуникацију 120б и програмског стека 150б подсистема за сензорску фузију 1406 карактерисн тиме

да измена архитектуре нивоа безбедности QM у архитектуру нивоа безбедности ASIL В почиње кораком обезбеђивање хипервизора (210) где се врши виртуелна подела хардверских ресурса система на чипу (100б),

да се кораком имплементација модула за размену мултимедијалних порука (220) у софтвески стек (110б) обезбеђује размена порука графичког садржаја критичних и не критичних апликација,

да се кораком обезбеђивање софтверског стека за оперативни систем реалног времена (230) у софтверском стеку (150б), где се уводи систем реалног времена вишег нивоа безбедности, да се кораком проширења модула за размену порука (240) у софтверском стеку (110б), обезбеђује механизам за препознавање порука како би се обрада графичких порука извршила спергом модула за размену мултимедијалних порука док се све остале поруке обрађују Етернет спрегом,

да се кораком проширења програмског стека система за сензорску фузију (250) подсистема за сензорску фузију (140б) уводи оперативни систем реалног времена компатибилан са AUTOSAR стандардом и где се обезбеђује прилагодни слој за хардверску платформу како би се остварила размена сензорских порука у систему,

да се кораком мапирање јединствене спреге за руковалац животним циклусом апликација (260) у софтверски стек (110б), извршавају функције за пресликавање животног циклуса апликације на јединствену апликативну спрегу и пресликавање комуникационих функција за модуле,

да се кораком валидација апликација (270) проверава функционалност апликација за архитектуру нивоа безбедности ASIL В,

да се измена архитектуре нивоа безбедности ASIL В у архитектуру нивоа безбедности ASIL D почиње кораком анализа мрежног саобраћаја свих апликација (310) анализирају апликације ради обезбеђивања потребног пропусног опсега,

да се кораком уградња подсистема за подршку детерминистичког мрежног протокола (320) у софтверски стек (130ц) врши поезивање система на Етернет мрежу и алокација потребног пропусног опсега,

да се кораком проширење средњег слоја оперативног система реалног времена (330) у софтверском стеку (110ц) обезбеђује спрега између руковаоца детерминистичком комуникацијом и апликацијама и обезбеђује извршавање апликација у додељеном фиксном времену,

да се кораком проширење средњег слоја оперативног система Linux (350) у софтверском стеку (110ц) додају алати за унификацију јединствене апликативне спреге, и да се кораком валидација апликација (360) проверава функционалност апликација за архитектуру нивоа безбедности ASIL D.

2. Поступак дефинисан према захтеву 1 карактерисан тиме да су алгоритми за аутономну вожњу засновани на ултразвучним сензорима, лидарима и радарима.

3. Поступак дефинисан према захтеву 1 карактерисан тиме да се за добављање сензорских порука користи CAN, LIN и Flexray магистрала.

4. Поступак дефинисан према захтеву 1 карактерисан тиме да измена архитектуре нивоа безбедности ASIL В чини итерацију која користи поступак за проширење детерминистичким софтверским блоковима.

5. Поступак дефинисан према захтеву 1 карактерисан тиме да се за подршку детерминистичког протокола користи детерминистички Етернет.

6. Поступак дефинисан према захтеву 1 карактерисан тиме да се на архитектури нивоа ASIL В и архитектури нивоа ASIL D апликација извршава у одређеним временским интервлима.