CN104182303A - 冗余计算架构 - Google Patents

Abstract

一种冗余计算架构包括第一控制单元、第二控制单元和转换器。第一控制单元被配置为响应于传感输入而提供第一控制信号且还被配置为提供健康状态指示器，所述健康状态指示器指示第一控制单元内的故障情况。此外，第二控制单元包括配置为响应于传感输入而提供第二控制信号。第一和第二控制单元的每一个可选择性地操作以控制促动器。转换器被配置为：接收健康状态指示器、第一控制信号、以及第二控制信号；如果健康状态指示器不指示故障则提供第一控制信号到促动器；以及如果健康状态指示器指示故障则提供第二控制信号到促动器。

Description

冗余计算架构

技术领域

本发明涉及一种用于电促动器控制的冗余计算架构。

背景技术

随着计算机系统在日常生活中持续提供越来越重要的功能，变得重要的是，计算架构设计要考虑意外的硬件和/或软件行为且采取积极防备以阻止这些行为导致更严重的问题。这些防备可包括冗余技术的使用，以提供次级/备用操作模式。如果较大的系统处于需要一定量的继续控制以缓和现存风险的脆弱状态，则仅仅禁用或重启系统的传统方法可能是不充分的。

发明内容

一种冗余计算架构包括第一控制单元、第二控制单元和转换器，其协作以控制促动器的操作。第一控制单元包括：第一处理设备，配置为响应于传感输入而提供第一控制信号；以及诊断设备，配置为响应于第一处理设备的操作而提供健康状态指示器。第一控制信号可操作以控制促动器，而健康状态指示器指示第一处理设备内的故障（或没有故障）。

第二控制单元包括第二处理设备，其配置为响应于传感输入而提供第二控制信号。类似于第一控制信号，第二控制信号也可以操作以控制促动器。转换器被配置为接收健康状态指示器、第一控制信号、以及第二控制信号，且提供主控制信号到促动器。转换器被大体配置为如果健康状态指示器不指示第一控制单元内故障则提供第一控制信号作为主控制信号。相反，如果健康状态指示器指示故障则提供第二控制信号作为主控制信号。

第一控制信号可大体限定第一幅度，且第二控制信号可大体限定第二幅度。转换器可被进一步配置为确定第一幅度和第二幅度之间的绝对差值，将该绝对差值与阈值比较，以及如果该绝对差值超过该阈值则提供指示器。如果健康状态指示器指示第一控制单元中的故障则相同的指示器也可以被提供。

在一种配置中，指示器可包括提供到第一控制单元和第二控制单元每一个的受限操作信号。受限操作信号可阻止第一控制单元和第二控制单元两者在预定事件之后的进一步操作，所述预定事件譬如为令架构处于静止状态，或禁用计算架构。由此，计算架构可以保持其完善性，直到该架构处于不继续促动器的进一步使用的适当位置。此外，指示器可以包括指示灯，以向用户指示架构操作于限制操作状态和/或故障已经发生。

以相似的方式，一种控制促动器的方法可以包括：从第一控制单元提供第一促动器控制信号和健康状态指示器到转换器；从第二控制单元提供第二促动器控制信号到转换器；以及从转换器提供主控制信号到促动器。如果健康状态指示器不指示故障情况，则主控制信号可以包括第一促动器控制信号，且如果健康状态指示器指示故障情况，则主控制信号可以包括第二促动器控制信号。

此外，该方法可以包括确定第一促动器控制信号的大小和第二促动器控制信号的大小之间的绝对差值；将该绝对差值与阈值比较，以及如果健康状态指示器指示故障或如果该绝对差值超过该阈值，则从转换器提供受限操作信号到第一控制单元和第二控制单元的每一个。

当结合附图时，从下面的用于执行如所附权利要求限定的本发明的一些最佳方式和其它实施例的具体描述可容易地明白本发明的上述特征和优点，以及其它特征和优点。

附图说明

图1是用于控制促动器的冗余计算架构的第一实施例的示意图；

图2是用于图1中所提出的架构的转换器的示意图；

图3是用于控制促动器的冗余计算架构的第二实施例的示意图；

图4是用于图3中所提出的架构的转换器的示意图。

具体实施方式

参考附图，其中相似的参考标号被用于在不同附图中标识相同或相似的部件，图1示意地示出了计算架构10，其具有第一控制单元12和第二控制单元14，其每一个被分别配置为控制促动器16的操作行为。如下面将说明的，本计算架构可以被用于高保真控制情形，在这种情形下，促动器16的精确和连续操作对于较大系统的操作是关键的。由此，本计算架构10可以是“故障操作”架构，其中一个部件（例如控制处理器）的故障或失效不会导致较大系统不能运行。

第一和第二控制单元12、14每一个可以具体化为独立的处理设备，其物理上彼此独立。通过在物理上彼此独立，在一个单元上的硬件或软件故障很难影响到另一个单元的操作行为。每一个控制单元12、14可以包括各种硬件资源，譬如一个或多个处理设备、易失和/或非易失存储器、模拟和/或数字输入/输出电路、和/或网络通讯电路，其可以协作以执行一个或多个算法或例程（其可以具体化为与该单元相关联的软件或固件）。

每一个控制单元12、14可以被配置为产生相应的促动器控制信号18、20，其可以能够控制促动器16的行为。产生的控制信号18、20可以被提供到判别器（arbiter）或转换器（switch）22，其可以选择两个控制信号18、20中的一个来作为主促动器控制信号24来提供到促动器16。促动器16可以包括一个或多个电机、螺线管、动力螺杆、泵或其他这样的设备，其可以响应于接收到的（电）控制信号24而产生机械输出。

每一个控制单元12、14可以响应于一个或多个传感输入28（其可以被提供到每一个控制单元18、20）而产生其相应的控制信号18、20。在一种配置中，每一个传感输入28可以沿其自身的独立控制线路/信号总线被提供到每一个控制单元12、14（完全冗余）。在另一种配置中，两个控制单元12、14可以基于沿公用信号总线提供的传感信息而运行（部分冗余）。传感输入28可以包括提供自以下设备中的一个或多个的数字信息：位置传感器、状态传感器、压力传感器、力传感器、温度传感器、摄像头、雷达传感器、激光雷达传感器等。

第一控制单元12可以是完善性高完善性（high integrity）设备，其可包括主计算装置，以及各种自诊断和/或错误检查装置。“完善性高完善性”是指控制单元12可以提供输出，其中具有高度确定性的是所述输出是准确的。该准确性可以通过包括在单元12中的自诊断和/或误差检查装置来提供。相反地，第二控制单元14可以是较低完善性设备，其可以包括显著降低的（或不存在的）诊断/误差检查能力。

如在图1中大体示出，在一种配置中，第一控制单元12可以包括主处理设备30和诊断处理设备32。主处理设备30可以配置为响应于接收的传感输入28而执行一个或多个软件控制算法以产生第一控制信号18。软件控制算法可以具体化为软件或固件，其存储在位于第一控制单元12和/或主处理设备30处的存储器中。软件控制算法可以包括，例如，一个或多个电机控制算法、发光控制算法或液压控制算法。

诊断处理设备32可以执行一个或多个诊断算法，所述诊断算法可以运行以检验第一控制信号18和/或用来产生第一控制信号18的一个或多个中间值。例如，在一种配置中，给定提供的促动指令以及系统历史，诊断处理设备32可以连续地计算输出行为或预期系统的一个或多个分析模型。如果实际输出或系统行为偏离计算的分析模型预定量，则处理器可以指示存在故障情况，譬如经由健康状态指示器34。通常，健康状态指示器34可以是数字状态指示器，其可以被用于报告在主处理设备30中故障情况的发生。

在一种配置中，主处理设备30和诊断处理设备32可以被具体化为在提供在公共控制器内的不同的集成电路/处理器。由此，它们可以在公共总线上交互，且可以共享某些存储和/或硬件资源，而仍可以保持一定程度的物理独立性。在另一种配置中，主处理设备30和诊断处理设备32可以包括在单个集成电路/处理器中，尽管它们相应的功能/算法可以通过集成电路中的独立处理核心独立地执行。

如图1中进一步所示，在一种配置中，第二控制单元14可以包括冗余处理设备40，其可以类似于第一控制单元12的主处理设备30。冗余处理设备40可以配置为响应于接收的传感输入28执行一个或多个软件控制算法以产生第二控制信号20。软件控制算法可以具体化为软件或固件，其存储在位于第二控制单元14和/或冗余处理设备40处的存储器中。

在一种配置中，冗余处理设备40可以与主处理设备30相同，且可以包括相同的软件算法，以使用相同的传感输入28来产生相同的输出。在另一种配置中，冗余处理设备40可以包括与主处理设备30中类似的软件算法，但是可以独立地开发以避免严格相同。这样，在一般操作条件下，第一控制信号18和第二控制信号20可以具有相同的响应行为，且可以在彼此的小偏差之内，但是可以不是必须相同的。如可以理解的，包括相同软件可以提供硬件冗余，但是软件设计错误可能不被处理。使用独立设计的软件提供硬件和软件冗余两者（即如果在主处理设备30中的软件由于设计问题而发生故障，独立设计软件不大可能会同时遭遇相同的故障）。

转换器22可以接收第一控制信号18、第二控制信号20和健康状态指示器34，且可以选择性地提供第一和第二控制信号18、20中的一个到促动器16，作为主控制信号。图2示出了转换器22的一种配置。如所示，转换器22可包括数字触发器42，其可以响应于健康状态指示器34而将主控制信号24在第一控制信号18和第二控制信号20之间转变。如果健康状态指示器34指示第一控制单元12完全运行且不存在故障，则触发器42可以使用第一控制信号18作为主控制信号24。然而，如果健康状态指示器34指示第一控制单元12内发生自诊断出的故障，则触发器42可以翻转并使用第二控制信号20作为主控制信号24。

除了数字触发器42，转换器22可以包括关机模块44，其可以被配置为如果检测到处理器错误则启动受限操作模式和/或关机例程。关机模块44可以接收健康状态指示器34和第一控制信号18和第二控制信号20之间的绝对差值（譬如从比较器/差分放大器48）。如果健康状态指示器34指示故障或在信号18、20之间的绝对差值超过阈值，关机模块44可以确定系统已经丧失其冗余度。在这种情况下，关机模块44可以提供受限操作/关机信号50到第一和第二控制单元12、14每一个和/或可以提供诊断指示器52到诊断日志（例如板载诊断（OBD）日志）或到用户（例如经由报警指示器/灯）。

基于到关机模块44的两个输入信号，可能存在四种操作可能性：

第一，如果健康状态指示器34是正（即没有检查到故障），且来自每一个控制单元12、14的信号18、20收敛，则可以认定两个控制单元12、14都在运行且都正确地工作。

第二，如果健康状态指示器34是正且信号发散，则第一控制单元12可以被认定为运行的，而第二控制单元14可以被诊断为故障。也就是说，诊断处理设备32可以认定为正确地评估第一控制单元12的健康，而信号的发散可以指示第二控制单元14已经发生故障或错误。

第三，如果在一段时间的正常运行（即上述第一种情况）之后，健康状态指示器34转变为负（即指示在主控制单元12上的故障），且信号也发散，则关机模块44可推断第二控制单元14保持健康，而在第一控制单元12上检测到的故障导致该信号发散。在这种情况下，触发器42可转变主控制信号24以使用第二控制信号20。

最后，在第四种情况下，如果健康状态指示器34在一段时间的正常运行之后转变为负，然而信号仍然收敛，则可以认定诊断处理设备32发生故障。由此，关机模块44可以推断系统已经丧失其准确评估计算架构的健康的能力。

在上述第二、第三和第四中情况中的任何一种中，关机模块44可以提供指示50到第一和第二控制单元12、14以启动受限操作关机模式。在一种配置中，该受限操作关机模式可以是降低能力和/或保守操作模式，其寻求保持系统稳定性和受限制的操作。在另一配置中，它可以是全功能操作模式，其可仅在系统已经抵达稳定操作状态时终止（在该情况下系统可以被安全地关闭）。例如，在机动车辆中，该系统可以被用于动力转向模块。如果计算架构10指示故障且切换到第二控制单元14，而车辆继续运动，则受限操作关机模式可以包括操作转向促动器达到有限时间，直至车辆处于“切断状态”或进入“停车”档。一旦这两个稳定操作状态中的任一个实现，则关机模块44可以禁止系统或车辆的进一步操作。

当受限操作关机模式被启动，关机模块44还可以提供警报指示器52给系统的用户。例如，在机动车辆的情况下，警报指示器52可包括乘客舱内仪表板上提供的照亮警报信息。警报指示器52可以警告车辆的驾驶者系统故障，且可以提示用户采取预防措施和/或停止车辆的运行（当这样的动作合理可用时）。

尽管图1大体示出了计算架构10控制仅单个促动器的用法，但其可以类似地被用于控制多个促动器，所述促动器可以执行相同或不同的功能。例如，在一种配置中，总系统可以在促动器16发生故障的情况下使用至少一个冗余促动装置。在这样的情况下，计算架构10可以被用来控制主促动器16和冗余促动器（未示出）两者。

图3示出了冗余计算架构70的另一实施例，其与图1中所示的架构10大体类似。图3中的架构70与图1中提供的之间最显著的区别在于，图3示出了一个实施例，其中第二控制单元14包括冗余处理设备72，该冗余处理设备具有与设置用于第一控制单元12的主处理设备30相比显著降低的能力。由于降低的能力和/或处理功率，差分放大器48可以标记仅仅归因于处理能力差异的信号发散，且不必指示故障。由此，在图3所示的实施例中，第一控制单元12可以包括附加处理设备74，其可以以类似于降低能力的冗余处理设备72的方式配置。该附加处理设备74可以通过与主处理设备30相同的物理处理器来实现，且可以经受通过诊断处理设备32来执行的诊断/错误检查。

第一控制单元12包括的附加处理设备74可以输出控制信号76，其可以仅被用于与第二控制信号20比较的目的。图4示出了转换器78的实施例，其可以用于图3中提供的计算架构70。转换器78可以以与图2中示意性地示出的转换器22相似的方式运行，区别仅在于控制信号76可以被用于收敛测试的目的，而不是使用第一控制信号18。

虽然用于执行本发明的最佳方式已经被详细描述，与本发明相关的本领域技术人员应认识到在所附的权利要求的范围内的执行本发明的各种替换设计和实施例。期望的是，上述说明书中包含或附图中所示的所有内容应该被理解为仅是示例性的而不是限定性的。

Claims (10)

1.一种冗余计算架构，包括：

第一控制单元，配置为响应于传感输入而提供第一控制信号，且提供指示第一控制单元内的故障情况的健康状态指示器，其中第一控制信号被配置为操作促动器；

第二控制单元，配置为响应于传感输入而提供第二控制信号，其中第二控制信号被配置为操作促动器；

转换器，配置为接收健康状态指示器、第一控制信号、以及第二控制信号；

其中转换器被配置为如果健康状态指示器不指示第一控制单元内的故障则提供第一控制信号到促动器；以及

其中转换器被配置为如果健康状态指示器指示第一控制单元内的故障则提供第二控制信号到促动器。

2.如权利要求1所述的计算架构，其中第一控制信号限定第一幅度，且第二控制信号限定第二幅度；

其中转换器被配置为确定第一幅度和第二幅度之间的绝对差值、将该绝对差值与阈值比较，以及如果该绝对差值超过该阈值则提供指示器。

3.如权利要求2所述的计算架构，其中转换器还被配置为如果健康状态指示器指示第一控制单元内的故障则提供所述指示器。

4.如权利要求3所述的计算架构，其中所述指示器包括提供到第一控制单元和第二控制单元每一个的受限操作信号；以及

其中受限操作信号被配置为阻止第一控制单元和第二控制单元两者在预定事件之后的进一步操作。

5.如权利要求4所述的计算架构，其中所述预定事件包括将架构处于静止状态，或禁用计算架构。

6.如权利要求3所述的计算架构，其中所述指示器包括警报灯。

7.如权利要求1所述的计算架构，其中所述第一控制单元包括第一处理设备和诊断设备，其中第一处理设备被配置为响应于传感输入而提供第一控制信号，且其中诊断设备被配置为响应于第一处理设备的操作而提供健康状态指示器。

8.如权利要求7所述的计算架构，其中健康状态指示器指示第一处理设备内的故障。

9.一种冗余计算架构，包括：

第一控制单元，包括：

第一处理设备，配置为响应于传感输入而提供第一控制信号，其中第一控制信号可操作以控制促动器；以及

诊断设备，配置为响应于第一处理设备的操作提供健康状态指示器，其中健康状态指示器指示第一处理设备内的故障；

第二控制单元，包括第二处理设备，配置为响应于传感输入而提供第二控制信号，其中第二控制信号可操作以控制促动器；

转换器，配置为接收健康状态指示器、第一控制信号、以及第二控制信号；

其中转换器被配置为如果健康状态指示器不指示第一控制单元内故障则提供第一控制信号到促动器；以及

其中转换器被配置为如果健康状态指示器指示第一控制单元内故障则提供第二控制信号到促动器。

10.如权利要求9所述的计算架构，其中第一控制信号限定第一幅度，且第二控制信号限定第二幅度；

其中转换器被配置为确定第一幅度和第二幅度之间的绝对差值、将该绝对差值与阈值比较，以及如果该绝对差值超过该阈值则提供指示器。