[发明专利]用于自动驾驶车辆的基于硬件的系统的启动失效恢复方案

权利要求书

1.执行可执行代码的安全启动操作以操作自动驾驶车辆的计算机实施的方法，包括：

响应于启动操作，从自动驾驶车辆的传感器单元的存储装置读取第一标记，所述存储装置包括多个分区，所述分区中的每个均存储固件的可执行映像；

确定所述第一标记是否有效，其中，所述第一标记与在其中存储有第一可执行映像的所述分区中的第一分区相关联；以及

响应于确定所述第一标记有效，执行从所述第一分区检索的所述第一可执行映像，其中，所述第一可执行映像被配置为，当被执行时，处理从安装在所述自动驾驶车辆上的一个或多个传感器获得的传感器数据，所述传感器数据用于在自动驾驶期间感知所述自动驾驶车辆周围的驾驶环境。

2.根据权利要求1所述的方法，其中，所述分区中的每个均包括存储在其中的标记，以指示相应可执行映像对于执行是否有效。

3.根据权利要求2所述的方法，其中，所述分区中的每个均还包括存储在其中的认证代码，以认证所述相应可执行映像。

4.根据权利要求2所述的方法，其中，所述分区中的每个均还包括存储在其中的验证器代码，以验证所述相应可执行映像的完整性。

5.根据权利要求1所述的方法，还包括：

从所述存储装置的第二分区读取第二标记，所述第二分区存储第二可执行映像；

检查所述第二标记以确定所述第二标记是否有效；以及

如果所述第二标记被确定为有效，则执行从所述第二分区检索的所述第二可执行映像。

6.根据权利要求5所述的方法，其中，响应于确定所述第一标记无效，检查所述第二标记并执行所述第二可执行映像，其中，所述第二可执行映像是所述第一可执行映像的备份版本。

7.根据权利要求5所述的方法，其中，响应于所述第一可执行映像的成功执行，检查所述第二标记并执行所述第二可执行映像。

8.根据权利要求1所述的方法，还包括：

响应于更新存储在第三分区中的第三可执行映像的请求，修改与所述第三分区相关联的第三标记，以指示所述第三可执行映像无效；

更新所述第三分区中的所述第三可执行映像；以及

恢复所述第三标记以指示所述第三可执行映像再次有效。

9.一种存储有指令的非暂时性机器可读介质，所述指令在由处理器执行时致使所述处理器执行操作，所述操作包括：

响应于启动操作，从自动驾驶车辆的传感器单元的存储装置读取第一标记，所述存储装置包括多个分区，所述分区中的每个均存储固件的可执行映像；

确定所述第一标记是否有效，其中，所述第一标记与在其中存储有第一可执行映像的所述分区中的第一分区相关联；以及

响应于确定所述第一标记有效，执行从所述第一分区检索的所述第一可执行映像，其中，所述第一可执行映像被配置为，当被执行时，处理从安装在所述自动驾驶车辆上的一个或多个传感器获得的传感器数据，所述传感器数据用于在自动驾驶期间感知所述自动驾驶车辆周围的驾驶环境。

10.根据权利要求9所述的机器可读介质，其中，所述分区中的每个均包括存储在其中的标记，以指示相应可执行映像对于执行是否有效。

11.根据权利要求10所述的机器可读介质，其中，所述分区中的每个均还包括存储在其中的认证代码，以认证所述相应可执行映像。

12.根据权利要求10所述的机器可读介质，其中，所述分区中的每个均还包括存储在其中的验证器代码，以验证所述相应可执行映像的完整性。