用于车辆的紧急停车方法和控制器以及存储介质与流程

本发明涉及一种用于至少部分自动化行驶的车辆的紧急停车方法和设备，一种计算机程序以及一种计算机可读的存储介质。

背景技术：

在较大的乘用车中，已知一种用于在发生不可预见的危险(例如火灾或医疗紧急状况)的情况下紧急制动、即所谓的紧急刹车的设备，该设备由乘客触发。在此，紧急制动器满足两项主要功能：应使车辆尽快刹车，并应使车辆引导者关注到紧急状况。通常，对紧急制动器的操纵不直接导致紧急制动。例如在火车中，火车司机会得到通知并在最近的安全地点停止(例如不是在桥梁上或隧道中)。对紧急制动器的不合法的操纵是违法行为，并且触发经过会在操纵之后被查明。这种紧急刹车系统通常设有锁定机构，只有在由现场的专业人员解锁或确认后才允许重新使该锁定机构投入使用。在至少部分自动化行驶的车辆(或自主车辆(av：autonomousvehicle))的运行中，不需要专业人员位于车辆所在地点处。驾驶员被负责行驶的计算机(drive-computer)代替。

因此，期望扩展紧急刹车功能以及期望对至少部分自动化行驶的车辆实现相应的释放和确认。

技术实现要素：

所提出的用于至少部分自动化行驶的车辆的紧急停车方法包括：

-接收紧急停车信号；

-提供禁用信号(sperrsignal)，其中，第一控制器被禁用，并且剥夺所述第一控制器对车辆行驶操作控制的管控；和

-提供用于启动车辆的紧急停车行驶操作的紧急行驶信号。

除了接收使车辆应尽快刹车、使车辆引导者或计算机系统应关注紧急状况所依据的常见紧急刹车信号之外，附加地还可以接收紧急停车信号。以该方式可以区分紧急刹车和紧急停车。

在紧急刹车的情况下，对设立为用于控制车辆行驶操作的第一控制器指示来执行紧急刹车。然而，这可能由于第一控制器的功能故障或由于第一控制器例如通过黑客攻击被操控而被禁止。相反，紧急停车为车辆的乘客尤其提供以下可能性：能够与第一控制器的功能故障或操控无关地直接影响车辆的行驶操作并且使车辆停止。紧急停车由第二控制器控制，而紧急刹车由第一控制器控制。

由于剥夺了第一控制器的管控，因此第一控制器的功能故障和/或操控不再影响车辆的行驶操作。然后，第二控制器唯一负责车辆的行驶操作并设立为用于例如通过实施完全制动来启动紧急停车。

优选，第一控制器和第二控制器也可以构造为单独的控制器。

根据另一方面，紧急停车信号由车辆的乘客提供。

以该方式，为至少部分自动化行驶的车辆的乘客提供了在紧急情况下直接影响车辆行驶操作的可能性。

根据另一方面，紧急停车行驶操作包括车辆的完全制动。

有利地，在紧急情况下，首先尝试使车辆进行紧急刹车。在此出于安全原因，不尝试直接实施完全制动，而是等待合适的停车状况。因此，在通常只有在紧急刹车行驶操作失败之后才启动的紧急停车行驶操作的情况下，直接启动车辆的完全制动。然而，原则上也可以考虑这样一种实施方式，在该实施方式中紧急停车行驶操作也包括更复杂的行驶操作。

根据另一方面，紧急停车方法包括：

-接收用于释放被禁用的行驶控制设备的释放信号；

-接收用于确认所述释放信号的确认信号；和

-取消禁用信号，其中，释放第一控制器，并且给与第一控制器对行驶操作控制的管控。

在实施紧急停车之后，必须重新释放车辆，以便重新承担其功能，即至少部分自动化的行驶。

要么仅由乘客要么仅由车辆外部的站点(stelle)提供的唯一释放信号可能导致对释放信号的操控或滥用。因此，由乘客启动不必要的紧急停车是一种必须追究的违法行为。另一方面，例如由于功能故障或外部操控，车辆外部的站点可能会错误地提供释放信号。

通过由通过车辆外部的站点提供的释放信号和通过乘客提供的确认信号构成的组合，可以实现第一控制器的受控释放。

以该方式，乘客最终保留对车辆的管控。此外，也可以在没有专业人员位于车辆现场的情况下执行紧急停车的确认。

根据另一方面，释放信号由车辆外部的站点、优选引导站点提供。

车辆外部的站点优选评估当前状况并且必要时重新释放车辆。

然而，进一步优选，释放信号也可以由车辆本身、尤其由车辆计算机提供。尽管如此，仍需要由乘客来确认释放信号。

根据另一方面，所述确认信号由车辆的乘客提供。

以该方式，乘客仍然保留最终决定权，并且可以受到更好的保护以免受功能故障或操控的影响。

所提出的控制器设立为用于执行所述方法的步骤。

优选，所述控制器构造为处理器。

所提出的计算机程序在其在处理器上实施时指示该处理器执行所述方法的步骤。

在此提出一种计算机可读的存储介质，在其上存储有所述计算机程序。

附图说明

附图示出：

图1紧急刹车和紧急停车的流程图，

图2用于运行至少部分自动化行驶的车辆的设备的示意图，

图3a处于第一操作状态下的操作设备；

图3b处于第二操作状态下的操作设备；

图3c处于第三操作状态下的操作设备；和

图4紧急停车方法的示意图。

具体实施方式

图1示出至少部分自动化行驶的车辆的流程图，所述流程图用于启动紧急刹车并且用于启动紧急停车。

在状态z1中，至少部分自动化行驶的车辆处于运行就绪状态并且相应于行驶策略来实施行驶操作。

在状态z2中，检验是否接收到紧急刹车信号nh或紧急停车信号ns。如果根本没有接收到信号，那么车辆的运行就绪状态不改变，并且重新在状态z1中开始。

如果接收到紧急刹车信号nh，那么车辆在状态z3中实施紧急刹车。为此，车辆尝试达到安全状态。安全状态例如是使车辆停放在停车站中或驶入口中。在获得紧急刹车信号之后，所述方法跳转至状态z4。紧急刹车信号nh优选由车辆的乘客提供。典型的状况例如是乘客健康方面的紧急状况。通过提供紧急刹车信号nh，乘客可以使车辆尽快但安全地停止。

只要车辆尚未达到安全状态，那么所述方法就处于状态z4中。要么达到了安全状态然后所述方法跳转至状态z6，要么出于特定原因例如由于车辆的功能故障或操控而没有达到安全状态。然后，乘客可以通过紧急停车信号ns来获得对车辆的管控。如果接收到紧急停车信号ns，那么车辆在状态z4下实施紧急停车。为此，通常立即实施完全制动，并使车辆尽快停止。此后，所述方法跳转至状态z6。紧急停车信号ns优选由乘客提供。乘客可以通过提供紧急停车信号ns来实现车辆的立即停止。

在状态z6中，车辆的速度为零，并且引导站点检验紧急刹车的原因或紧急停车的原因。随后，基于分析做出跳转至状态z7的决定。

如果引导站点在状态z7中得出以下结果：仍然存在妨碍车辆继续行驶的危险，那么所述方法从状态z7跳转至状态z8。

在状态z8中，专业人员和/或处理紧急情况的人员被派往车辆所在地，以便解决该状况。只有当车辆现场的专业人员和/或处理紧急情况的人员消除了该状况、即该紧急状态时，所述方法才从状态z8跳转至状态z1。然后，车辆重新处于运行就绪状态。

如果引导站点在状态z7中得出以下结果：紧急状态被消除并且涉及紧急刹车的情况，那么引导站点给予紧急刹车释放，并且所述方法从状态z7跳转至状态z1。由于紧急刹车释放，车辆重新处于运行就绪状态。

如果引导站点在状态z7中得出以下结果：紧急状况被取消并且涉及紧急停车的情况，那么引导站点以释放信号fs的形式给予紧急停车释放，并且所述方法从状态z7跳转至状态z9，在紧急停车的情况下，所述方法从状态z7仅跳转至状态z9。其他两种跳转方式被车辆内部的逻辑单元(logik)排除。

在状态z9中，车辆的乘客被要求通过确认信号qs来确认引导站点的紧急停车释放。

如果乘客认为紧急状态尚未消除，那么乘客不给予确认。所述方法从状态z8跳转至状态z7。

如果乘客认为紧急状态已消除，那么乘客通过确认信号qs给予其确认。因此，既存在引导站点的释放信号fs又存在乘客的确认信号qs，并且所述方法从状态z8跳转至状态z1。车辆现在重新处于运行就绪状态。

图2示出设备10，该设备包括第一数据接口11、第二数据接口14、第一控制器12和第二控制器13。

第一控制器12控制至少部分自动化行驶的车辆的行驶操作。为此，第一控制器12将行驶信号ds发送给第二数据接口14，该第二数据接口将所述行驶信号ds转发给分别负责实施行驶操作的部件。由第一数据接口11给第一控制器12提供控制信号cs。控制信号cs由引导站点提供并使得该引导站点能够适配第一控制器的行驶策略。

如果例如黑客尤其通过对控制信号cs的操控而接管了对控制器12的管控，那么乘客不再能够通过可能的紧急刹车信号nh来影响车辆。以该方式，乘客可能成为困在行驶车辆中的人。

通过将紧急停车信号ns提供给第一数据接口11，可以给第二控制器13提供紧急停车信号ns。第二控制器13生成禁用信号ss，该禁用信号ss被提供给第一控制器12。禁用信号ss剥夺第一控制器11对车辆行驶操作控制的管控。以该方式，例如黑客不再能够影响车辆的行驶操作。第二控制器还生成紧急行驶信号nds，该紧急行驶信号通过第二数据接口12被分发给负责行驶的部件，并启动车辆的完全制动。以该方式，车辆直接通过乘客的管控而停止。最初，在未给予经确认的释放情况下不再能够运行车辆。

为了使车辆在紧急停车之后重新处于运行就绪状态，引导站点通过释放信号fs将该引导站点的以下信息(zeichen)提供给第一数据接口11：从该引导站点的角度来看不再存在紧急状况。乘客被要求针对释放信号fs提供确认信号qs，并对引导站点的所述释放进行确认。只有当第二控制器13通过第一数据接口11获得释放信号fs和确认信号qs时，给第一控制器12的禁用信号ss被取消，并且车辆重新处于运行就绪状态。

因此，还必须确保所述确认信号qs仅能够由乘客生成。此外，在用于生成确认信号qs的操作设备15和第二控制器13之间必须存在直接的不可改变的连接。第二控制器13的紧急停车功能也不允许能从外部被修改。

图3a至3c分别示出操作设备15，乘客可以借助该操作设备进行输入，即可以生成紧急刹车信号nh、紧急停车信号ns和/或确认信号qs。操作设备15包括杠杆16。

在图3a中示出处于初始位置中的杠杆16。通过向下拉杠杆16，乘客可以提供紧急刹车信号nh。基于紧急刹车信号nh，车辆应该实施紧急刹车。

在操纵杠杆16之后，如在图3b中所示，可以看到通常位于杠杆16后面的紧急开关17。如果乘客认为紧急停车是恰当的，那么他可以通过操纵紧急开关17(在这种情况下呈按钮的形式)来提供紧急停车信号ns，于是，通常通过完全制动迫使车辆紧急停车。例如，如果对杠杆16的操纵例如由于第一控制器12的故障或操控而没有导致车辆紧急刹车，那么紧急停车例如会是恰当的。

在实施紧急停车并消除紧急状态之后，引导站点通过释放信号fs重新释放车辆。如图3c所示，例如通过紧急开关17的闪光要求乘客对引导站点的释放进行确认。通过操纵闪光的紧急开关17，于是产生确认信号qs，该确认信号确认所述释放信号fs。紧急开关17优选构造为使得不能够通过远程控制来产生确认信号qs。

图4示出紧急停车方法的示意图。

在步骤s1中，接收紧急停车信号ns。

在步骤s2中，提供禁用信号ss，其中，禁用第一控制器12并且剥夺第一控制器12对车辆行驶操作控制的管控。

在步骤s3中，提供紧急行驶信号nds，其中，启动车辆的紧急停车行驶操作。

在步骤s4中，接收用于释放被禁用的行驶控制设备的释放信号fs。

在步骤s5中，接收用于确认释放信号fs的确认信号qs。

在步骤s6中，消除禁用信号ss，其中，释放第一控制器12，并且给与第一控制器12对车辆行驶操作控制的管控。