发明内容

本发明的目的是提供改进的电子车辆控制系统，其能够以可靠且安全的方式处理其部件中的一个的故障，以使得在故障期间维持车辆控制系统的电子控制。

通过具有权利要求1的特征的车辆控制系统来实现该目的。从权利要求中描述了本发明的实施例。

根据本发明，提供了车辆控制系统，其包括：第一通信网络；第一操作部件；连接到所述通信网络和所述第一操作部件的第一车辆控制单元，其中所述第一车辆控制单元被配置为通过传递给所述第一操作部件的第一信号控制所述第一操作部件和所述第一车辆控制单元之间的第一数据连接；以及连接到所述第一操作部件的第二车辆控制单元，其中所述第二车辆控制单元被配置为通过传递给所述第一操作部件的第二信号控制所述第一操作部件和所述第二车辆控制单元之间的第二数据连接，其中可以由所述第一车辆控制单元或所述第二车辆控制单元控制所述第一数据连接和所述第二数据连接，以使得所述第一数据连接和所述第二数据连接中的至少一个被启用或禁用。

系统禁用第一数据连接和第二数据连接中的至少一个的能力确保在发生故障的情况下第一操作部件可以与第一车辆控制单元和第二车辆控制单元中的至少一个物理分离并且可以避免受故障影响的通信线路的阻塞。除此之外，这防止了故障影响其他连接的操作部件，同时由通过仍将第一操作部件连接到第一车辆控制单元和第二车辆控制单元中的一个的其他数据连接的冗余或并行控制来维持系统和第一操作部件的可操作性。第一数据连接和第二数据连接中的一个或两个可以包括通信线路，所述通信线路包括一条或多条电线，或数据总线。可替代地，也可以使用无线数据连接。

为了将第一信号和第二信号从第一车辆控制单元和第二车辆控制单元传输到第一操作部件，车辆控制系统可以包括相应的通信或信号线路，所述通信或信号线路包括将第一车辆控制单元和第二车辆控制单元分别连接到第一操作部件的一条或多条电线，或数据总线。第一车辆控制单元、第二车辆控制单元与第一操作部件或其他操作部件之间的信号线路可以是用于第一操作部件或其他操作部件的唤醒线路。然而，也可以使用无线信号线路而没有限制。在系统中用于将第一车辆控制单元和第二车辆控制单元连接到第一操作部件的数据总线可以是例如控制器局域网(CAN)总线。

根据一个实施例，第一操作部件可以是具有数据处理能力并且包括一个或多个集成电路的“智能”操作部件。

根据一个实施例，在第一操作部件和第一车辆控制单元之间的第一数据连接包括开关，所述开关包括光耦合器、电流开关或电感耦合开关中的一者。开关可以由第一操作部件致动，所述第一操作部件可以经由信号线路或无线地从第一车辆控制单元接收对应的控制信号。开关也可以由第一操作部件在没有接收控制信号的情况下直接或自主地致动。开关可以与第一操作部件和第一车辆控制单元之间的通信线路连接或插入所述通信线路中。

根据另一个实施例，在第一操作部件和第二车辆控制单元之间的第二数据连接也包括开关，所述开关包括光耦合器、电流开关或电感耦合开关中的一者。开关可以由第一操作部件致动，所述第一操作部件可以经由信号线路或无线地从第二车辆控制单元接收对应的控制信号。开关也可以由第一操作部件在没有接收控制信号的情况下直接或自主地致动。开关可以与第一操作部件和第二车辆控制单元之间的通信线路连接或插入所述通信线路中。

根据另一个实施例，第一操作部件包括将第一操作部件分别连接到第一车辆控制单元和第二车辆控制单元中的至少一个的一个或多个收发器。所述一个或多个收发器中的每一个都可以如上所述与开关耦合或连接，并且可以经由开关连接到第一操作部件和第一车辆控制单元之间的通信线路和/或第一操作部件和第二车辆控制单元之间的通信线路，以使得可以在第一操作部件与第一车辆控制单元和第二车辆控制单元之间传输数据。所述一个或多个收发器中的每一个也可以耦合或连接到一个或多个其他操作部件，所述其他操作部件可以并联地与第一车辆控制单元和第二车辆控制单元连接。此外，所述一个或多个收发器中的每一个可以通过信号线路或无线地耦合到第一车辆控制单元和第二车辆控制单元中的至少一个，以分别从第一车辆控制单元和第二车辆控制单元接收一个或多个控制信号。因此，收发器被配置为从它们所连接的车辆控制单元接收控制信号，并且被配置为控制连接到收发器的开关以根据控制信号来分离连接到收发器的通信线路或连接通信线路。

根据一个实施例，第二车辆控制单元连接到相对于第一通信网络独立(separate)的第二通信网络。提供两个独立的通信网络允许提供冗余或双重性，并且因此除了其他重复的部件(诸如系统的操作部件或车辆控制单元)外，还可以提高控制系统的安全性。

根据一个实施例，第二车辆控制单元连接到第一车辆控制单元，并且数据可以经由第一车辆控制单元和第二车辆控制单元之间的连接从第一通信网络传输到第一车辆控制单元和第二车辆控制单元。车辆控制单元之间的连接使得可以缓解车辆通信网络中的一个发生故障或断开(down)的情况。在这种情况下，来自完好的车辆通信网络的数据可以经由车辆控制单元之间的连接传输到另一个车辆控制单元。车辆控制单元之间的连接还提供通过车辆控制单元中的一个或两个执行合理性检查或交叉检查任务的机会以提高安全性。

根据一个实施例，第一车辆控制单元是主车辆控制单元，并且第二车辆控制单元是从车辆控制单元，其中主从角色由控制单元中的至少一个确定和控制。

根据一个实施例，所述系统还包括第二操作部件，其中所述第一车辆控制单元连接到所述第二操作部件，并且所述第一车辆控制单元被配置为通过传递给所述第二操作部件的第三信号控制所述第二操作部件和所述第一车辆控制单元之间的第三数据连接，并且所述第二车辆控制单元连接到所述第二操作部件，并且所述第二车辆控制单元被配置为通过传递给所述第二操作部件的第四信号控制所述第二操作部件和所述第二车辆控制单元之间的第四数据连接，其中可以控制所述第三数据连接和所述第四数据连接，以使得所述第三数据连接和所述第四数据连接中的至少一个被启用或禁用。

与上述第一数据连接和第二数据连接类似，系统禁用第三数据连接和第四数据连接(如果存在于系统中)中的一个或两个的能力确保在发生故障的情况下第二操作部件可以与第三车辆控制单元和第四车辆控制单元中的至少一个物理分离并且可以避免受故障影响的通信线路的阻塞。除此之外，这防止了故障影响其他连接的操作部件，如第一操作部件，同时由通过仍将第二操作部件连接到第三车辆控制单元和第四车辆控制单元中的一个的其他数据连接的冗余控制来维持系统和第二操作部件的可操作性。第三数据连接和第四数据连接可以如第一数据连接和第二数据连接相同地配置。例如，类似于第一数据连接和第二数据连接，第三数据连接和第四数据连接中的一个或两个可以包括通信线路，所述通信线路包括一条或多条电线，或数据总线。但是，也可以使用无线数据连接。

为了将第三信号和第四信号从第一车辆控制单元和第二车辆控制单元传输到第二操作部件，车辆控制系统可以包括对应于用于第一控制信号和第二控制信号的信号线路的相应的信号线路。信号线路可以包括分别将第一车辆控制单元和第二车辆控制单元连接到第二操作部件的一条或多条电线，或数据总线。在第一车辆控制单元、第二车辆控制单元与第二操作部件或其他操作部件之间的信号线路可以是用于操作部件的唤醒线路。然而，也可以使用无线传输线路，而没有限制。

根据一个实施例，第二操作部件也可以是具有数据处理能力并且包括一个或多个集成电路的“智能”操作部件。

根据一个实施例，分别在第二操作部件与第一车辆控制单元和第二车辆控制单元之间的第三数据连接和第四数据连接中的一个或两个包括开关，所述开关包括光耦合器、电流开关或电感耦合开关中的一者。开关或多个开关可以由第二操作部件致动，所述第二操作部件可以经由信号线路或无线地从第一车辆控制单元或第二车辆控制单元接收一个或多个对应的控制信号。如果第二操作部件被相应地配置，则开关或多个开关可以由第二操作部件在没有接收控制信号的情况下直接或自主地致动。所述开关可以与第二操作部件和第一车辆控制单元之间的通信线路或第二操作部件和第二车辆控制单元之间的对应的通信线路连接或插入所述通信线路中。

根据另一个实施例，第二操作部件包括将第二操作部件分别连接到第一车辆控制单元和第二车辆控制单元中的至少一个的一个或多个收发器。所述一个或多个收发器中的每一个都可以如上所述与开关耦合或连接，并且可以连接到第二操作部件和第一车辆控制单元之间的通信线路或第二操作部件和第二车辆控制单元之间的通信线路，以使得可以分别在第二操作部件与第一车辆控制单元和第二车辆控制单元之间传输数据。所述一个或多个收发器中的每一个也可以耦合或连接到一个或多个其他操作部件，如第一操作部件或其相应的收发器。此外，所述一个或多个收发器中的每一个可以通过如信号线路的其他线路或无线地耦合到第一车辆控制单元和第二车辆控制单元中的至少一个，以分别从第一车辆控制单元和第二车辆控制单元接收一个或多个控制信号。

根据一个实施例，第一操作部件和第二操作部件中的至少一个是车辆的制动致动器、转向致动器或推进致动器中的一个。

根据另一个实施例，车辆控制系统可以包括一个或多个附加操作部件以及一个或多个附加车辆控制单元，其包括与上述第一操作部件和第二操作部件以及第一控制单元和第二控制单元相同或相似的特征。

根据本发明，提供了通过车辆控制系统控制车辆的方法。车辆控制系统可以包括第一通信网络、第一操作部件、连接到所述通信网络和所述第一操作部件的第一车辆控制单元以及连接到所述第一操作部件的第二车辆控制单元。所述方法包括以下动作：通过传递给第一操作部件的第一信号启用第一操作部件和第一车辆控制单元之间的第一数据连接；在第一车辆控制单元处经由第一数据连接从第一操作部件接收数据；确定从第一操作部件接收到的数据是错误的；将信号从第一车辆控制单元发送到第一操作部件以禁用第一操作部件和第一车辆控制单元之间的第一数据连接；以及禁用第一操作部件和第一车辆控制单元之间的第一数据连接。

禁用第一数据连接确保在数据故障的情况下将第一操作部件与第一车辆控制单元分离，并且因此可以避免受故障影响的通信线路的阻塞。这可以防止故障影响其他连接的操作部件，同时由通过仍将第一操作部件连接到第二车辆控制单元的另一个数据连接的冗余控制来维持车辆控制系统和第一操作部件的可操作性。

根据一个实施例，禁用所述第一操作部件和所述第一车辆控制单元之间的所述第一数据连接包括物理上分离所述第一操作部件和所述第一车辆控制单元之间的通信线路。在第一操作部件和第一车辆控制单元之间的第一数据连接可以包括连接到通信线路的开关，所述开关包括光耦合器、电流开关或电感耦合开关中的一者。开关可以由第一操作部件致动，所述第一操作部件可以经由信号线路或无线地从第一车辆控制单元接收对应的控制信号。通过致动开关，通信线路在物理上分离。可以通过第一车辆控制单元控制第一车辆控制单元与第一操作部件之间的唤醒线路，例如通过拉至逻辑低电平来将控制信号从第一车辆控制单元发送到第一操作部件。然而，信号也可以以不同的方式进行传输，例如无线传输。

第一操作部件可以包括将第一操作部件分别连接到第一车辆控制单元和第二车辆控制单元中的至少一个的一个或多个收发器，如上面关于系统所描述的那样。所述一个或多个收发器中的每一个都可以如上所述与开关耦合或连接，并且可以连接到第一操作部件和第一车辆控制单元之间的通信线路或第一操作部件和第二车辆控制单元之间的通信线路，以使得可以在第一操作部件与第一车辆控制单元和第二车辆控制单元之间传输数据。所述一个或多个收发器中的每一个也可以耦合或连接到一个或多个其他操作部件。另外，所述一个或多个收发器中的每一个可以通过唤醒线路或另一个信号线路或无线地耦合到第一车辆控制单元和第二车辆控制单元中的至少一个，以分别从第一车辆控制单元和第二车辆控制单元接收一个或多个控制信号。

第一操作部件可以以与第一车辆控制单元相同的方式连接到第二车辆控制单元，并且第二数据连接可以以与关于第一数据连接所描述的相同的方式配置和控制。

这意味着，如果第一车辆控制单元和第二车辆控制单元中的一个识别出第一操作部件错误操作或提供错误数据，则它可以通过向第一操作部件发送对应的控制信号来将第一操作部件与将第一操作部件连接到它的对应的第一数据连接或第二数据连接分离，以避免错误的传播。

根据一个实施例，所述方法包括通过传递给所述第一操作部件的第二信号启用所述第一操作部件和所述第二车辆控制单元之间的第二数据连接。在确定错误数据正在通过第一数据连接传输时或之后，可以启用第二数据连接。可替代地，第二数据连接可以持续地被启用，以使得它至少部分地与第一数据连接同时被启用。

根据另一实施例，所述方法还包括经由第一操作部件和第二车辆控制单元之间的第二数据连接交换数据。

通过第二数据连接传输数据允许将正确数据从第一操作部件传输到第一车辆控制单元或第二车辆控制单元中的一个并且通过绕过故障数据连接或连接到数据连接的收发器来维持第一操作部件的操作。

此外，由于至少在某个时间段内可以同时启用第一数据连接和第二数据连接，因此可以通过第一数据连接和第二数据连接从第一操作部件传输相同的数据。这允许在第一车辆控制单元和第二车辆控制单元之间交换数据，并执行合理性检查或交叉检查任务，以确定是否接收到错误数据并且因此提高车辆控制系统的安全性。

根据一个实施例，所述方法还包括在所述第一车辆控制单元和所述第二车辆控制单元之间交换数据，基于所述第一车辆控制单元和所述第二车辆控制单元之间的数据的交换来确定通过所述第一数据连接或所述第二数据连接传输的数据的错误，以及分别根据包括所述错误的所述数据是否通过所述第一数据连接或所述第二数据连接传输来禁用所述第一数据连接或所述第二数据连接。

根据一个实施例，所述方法还包括在所述第一车辆控制单元和所述第二车辆控制单元之间交换数据，确定所述第一车辆控制单元或所述第二车辆控制单元的错误并且禁用错误的第一车辆控制单元或第二车辆控制单元，以及在所述第一车辆控制单元或第二车辆控制单元中的未禁用的另一个与所述第一操作部件之间交换数据。

根据一个实施例，所述方法还包括确定所述第一通信网络的错误，并且将数据从连接到所述第二车辆控制单元的车辆控制系统的第二通信网络经由所述第一车辆控制单元和所述第二车辆控制单元之间的连接传输到所述第一车辆控制单元。从第二通信网络传输到第一车辆控制单元的数据可以对应于由于第一通信网络的故障或断开时间而尚未从第一通信网络传输到第一车辆控制单元的数据，并且因此可以替换这些数据，以使得可以维持车辆控制系统的操作。

也可以在相反的方向上执行上述实施例，以在检测到第一通信网络的故障或第一通信网络断开的情况下，将数据从第一车辆控制单元传输到与第一通信网络和第二通信网络两者连接的车辆控制系统的部件。然后，可以经由第二车辆控制单元和第二通信网络将数据传输到部件，并且可以维持车辆控制系统的正确操作。

根据一个实施例，所述方法还包括以下动作：通过发送到第一操作部件的第三信号启用第二操作部件与第一车辆控制单元之间的第三数据连接，所述第二操作部件与第一操作部件并联地连接到第一车辆控制单元和第二车辆控制单元；在第一车辆控制单元处经由第三数据连接从第二操作部件接收数据；确定从第二操作部件接收的数据是错误的；将信号从第一车辆控制单元发送到第二操作部件以禁用第二操作部件和第一车辆控制单元之间的第三数据连接；以及禁用第二操作部件和第一车辆控制单元之间的第三数据连接。

根据一个实施例，所述方法还包括通过从第二车辆控制单元到第一操作部件的第四信号启用第二操作部件和第二车辆控制单元之间的第四数据连接。根据另一个实施例，所述方法还可以包括经由第二操作部件和第二车辆控制单元之间的第四数据连接来交换数据。所述方法还可以包括禁用第四数据连接。无限制地，所述方法可以类似地通过交换第一车辆控制单元和第二车辆控制单元来执行，即，如果经由第四数据连接交换或传输了错误数据，则禁用第四数据连接，并且替代地通过第三数据连接传输数据。

关于系统冗余和安全性，启用或禁用第三数据连接或第四数据连接可以具有与以上关于第一数据连接和第二数据连接所述的相同的效果和优点。此外，可以以与第一数据连接或第二数据连接相同的方式来实现和操作第三数据连接和第四数据连接。

根据本发明，还提供了包括指令的计算机可读介质，所述指令在由计算机执行时执行包括上述动作中的一个或多个的方法。