[发明专利]用于优化车辆电子控制系统安全参数的方法

权利要求书

1.一种用于优化车辆电子控制系统安全参数的方法，所述车辆电子控制系统包括依次连接的传感器信号输入单元、控制单元和执行单元；其特征在于，所述方法包括：

将来自车辆电子控制系统的传感器输入信号进行处理，并获取传感器输入信号的所有失效模式；

对每种失效模式是否违背安全目标进行分析，即分析每种失效模式是否会影响所述电子控制系统功能的安全执行；

如果该种失效模式会导致违背安全目标，则在传感器输入信号失效模式的序列中保留该失效模式，并记录该种失效模式导致的结果；

如果该种失效模式不会导致违背安全目标，则在传感器输入信号失效模式的序列中剔除该失效模式；

重新整理所有保留的失效模式；

根据失效模式的特征对所有保留的失效模式进行分类，对每一类失效模式施加输入电路诊断单元的一阶安全机制；

对所有保留的失效模式产生的后果进行分类，对每一类后果施加控制安全保护单元的二阶安全机制；及

重新计算安全参数，得到优化后车辆电子控制系统的安全参数。

2.根据权利要求1所述的方法，其特征在于，所述车辆电子控制系统是电子制动系统，所述控制单元是电子制动系统的防抱死制动系统和/或电子稳定性控制系统的功能应用控制模块。

3.根据权利要求2所述的方法，其特征在于，所述电子制动系统是电子稳定性控制系统，所述传感器信号为来自轮速传感器、方向盘转角传感器、真空度传感器、制动踏板行程传感器的信号中的一种或多种。

4.根据权利要求1所述的方法，其特征在于，所述根据失效模式的特征对所有保留的失效模式进行分类的步骤中，所有保留的失效模式分为电气失效、信号或信号梯度超出范围、信号失真中的一类或多类。

5.根据权利要求4所述的方法，其特征在于，针对所有保留的传感器信号失效模式的分类具有对应的安全机制，对电气失效类的失效模式采用第一种安全机制，进行电气和信号状态的监控；对信号或信号梯度超出范围的失效模式采用第二种安全机制，采用单一通道的信号真实性监控，监控信号的范围、变化梯度、偏差；对信号失真类失效模式采用第三种安全机制，采用多通道的信号真实性或正确性监控。

6.根据权利要求1或5所述的方法，其特征在于，施加一阶安全机制后的车辆电子控制系统，针对传感器输入信号的某一类失效模式的残余失效率为其中为传感器输入信号的该种失效模式的失效率，DC_i为对传感器输入信号的该种失效模式施加一阶安全机制的诊断覆盖率，DC_i的数值范围为60％～99％。

7.根据权利要求1所述的方法，其特征在于，所述对所有保留的失效模式产生的后果进行分类的步骤中，首先对传感器输入信号的应用条件进行分析，分析逻辑为该信号是应用于什么功能，该信号的某一类失效模式会对该功能有何种影响，基于分析结果施加对应的安全机制，构成二阶安全机制。

8.根据权利要求1所述的方法，其特征在于，所述对所有保留的失效模式产生的后果进行分类的步骤中，从车辆电子控制系统的功能本身出发，对功能进行分析，根据功能和传感器输出信号的特点设计二阶安全机制。

9.根据权利要求1、7或8所述的方法，其特征在于，所述重新计算安全参数的步骤中，施加二阶安全机制后的车辆电子控制系统，针对传感器输入信号的某一类失效模式的残余失效率为其中为传感器输入信号的该类失效模式的失效率，DC_i和DC_j分别为对传感器输入信号的该类失效模式施加一阶和二阶安全机制的诊断覆盖率，DC_i和DC_j的范围为60％～99％。

10.根据权利要求1-5、7-8任一项所述的方法，其特征在于，所述车辆电子控制系统进一步包括对传感器输入信号的每一类失效模式施加的一阶安全机制，以及对所有失效模式产生的每一类后果施加的二阶安全机制；所述输入电路诊断单元的输入端接收传感器输入信号，且输入电路诊断单元的输出端连接至控制单元，控制安全保护单元的输入端连接至输入电路诊断单元的输出端和传感器信号输入单元的输出端；且控制安全保护单元的输出端连接至执行单元。