CN105313880A - 具有至少两个驱动执行器和提高的失效安全性的机动车、运行方法以及执行该运行方法的机构 - Google Patents

Abstract

本发明涉及一种具有至少两个驱动执行器(11，12，13，14)的机动车(100)，所述驱动执行器分别与所述机动车(100)的至少一个车轮(21，22，23，24)耦合或者能够耦合，其中设置控制机构(31，32，33，34)，以在至少两个驱动执行器(11，12，13，14)中的任意一个驱动执行器(11，12，13，14)能够运行并且至少两个驱动执行器(11，12，13，14)中的任意另一个驱动执行器无法运行的故障情况下，仅仅借助至少一个能够运行的驱动执行器(11，12，13，14)牵引地驱动所述机动车(100)。本发明同样也涉及一种用于这种机动车(100)的运行方法以及执行该运行方法的机构。

Description

具有至少两个驱动执行器和提高的失效安全性的机动车、运行方法以及执行该运行方法的机构

技术领域

本发明涉及一种具有至少两个驱动执行器和提高的失效安全性的机动车、一种用于这种机动车的运行方法以及执行该运行方法的机构。

背景技术

在传统的机动车中只有内燃机作为产生驱动力的驱动执行器供使用。为了提高安全性，例如在此类机动车中实现了一种所谓的三层面安全方案(Drei-Ebenen-Sicherheitskonzept)。其目的在于防止发生严重级别的故障情况，例如内燃机飞车，表现为过高或者意外的发动机扭矩)，并且在必要时关闭内燃机。相应地，这也适用于具有其他驱动执行器的系统。

就此而言，申请人的出版物(参见Ottomotor-Management：Motronic-Systeme，RobertBoschGmbH，2003.ISBN-3-7782-2029-2)公开了发动机控制器中的函数计算器的监测方法，该函数计算器可控制内燃机产生的扭矩，根据驾驶员意图确定内燃机应产生的扭矩最大值，将该最大值与内燃机实际产生的扭矩实际值进行比较，如果实际值大于最大值，则通过合适的措施保证可控的状态。若为大批量使用的发动机控制器，则通过限制供气量来保证可控的状态。

函数计算器依据存放在发动机控制器程序存储器中的算法控制扭矩产生，并且将其作为某些输入变量的函数。重要的输入变量是内燃机的转速以及表示驾驶员的扭矩请求、也就是表示驾驶员意图的油门踏板位置。现代控制器均会考虑若干其他输入变量，可根据定值器和传感器的信息得出这些输入变量。

函数计算器根据这些输入变量求算用于调整内燃机扭矩的执行器控制信号，这种执行器例如有空气质量流量调节器，例如对流入内燃机之中的空气质量流量进行控制的电子节气门。

此类也被称作电子油门控制系统(EGas-Systeme)的配置对相关组件的工作可靠性有很高的要求，因为作为驾驶员意图发生器的油门踏板和作为执行器的节气门之间不再存在机械耦合。为了防止函数计算器功能失效引起错误产生意外大小的扭矩，监测模块可监测函数计算器，并且在故障情况下采取替代措施限制内燃机的扭矩，以保证安全。

尽管人们付出了努力，试图通过合适的措施来防止内燃机关闭或者使其不可能关闭，但是如果出现一系列严重故障，则仍然无法避免。机动车在此类情况下就会抛锚停车。

在混合动力系统中部分地已实现了所谓的跛行模式功能(LimpHome-Funktion)，在电动机发生故障的情况下，还可通过内燃机提供剩余功能。这样就能实现应急运行(跛行模式)，例如可驶向距离最近的修理厂。但是事实证明，该功能通常也是不足够的。

自从2011年11月以来，机动车领域的标准ISO26262已生效。该标准设置“SafetyGoals”作为应保证目标，并且根据所谓的ASIL(机动车安全完整性等级(AutomotiveSafetyIntegrityLevel))进行分类。尽管讨论了抛锚停车的安全技术问题，但是按照现有技术，抛锚停车被归类为可以接受的后备层。这种分类将来可能会改变。

尤其对于这种情况而言，希望采取能够在严重故障情况下避免抛锚停车的有益措施，不仅是出于可使用率方面的原因，而且也出于安全原因(例如ISO26262或者将来的标准)。

发明内容

在这种背景下，本发明提供具有独立权利要求的特征的一种具有至少两个驱动执行器和提高的失效安全性的机动车、一种用于这种机动车的运行方法以及执行该方法的机构，从属权利要求以及以下说明部分的主题均为有益的实施方式。

通过本发明所提供的措施实现一系列的优点，主要包括：即使在发生严重故障的情况下也能防止车辆抛锚或者安全控制抛锚车辆；提供为此所需的故障容限；可针对“抛锚车辆(Liegenbleiber)”的安全目标(SafetyGoal)控制重要的ASIL等级；改善了跛行模式功能。

按照本发明所述设计的机动车具有至少两个驱动执行器，例如具有内燃机和至少一个电动机的混合动力系统，在一个或者多个驱动执行器发生故障的情况下，还能通过其中一个或者多个其他尚能工作的驱动执行器实现剩余功能。本发明有别于以上所述的已知混合动力机动车中的跛行模式功能，任意一个驱动执行器(或者两个以上驱动执行器中的任意一组驱动执行器)均可以失效，且不会引起车辆抛锚。在具有跛行模式功能的已知混合动力系统中，如果内燃机失效，就无法继续行驶。

本发明尤其包括控制机构，以在至少两个驱动执行器的其中任意一个驱动执行器能够运行并且至少两个驱动执行器的其中任意另一个驱动执行器无法运行的故障情况下，借助至少一个能够运行的驱动执行器牵引地驱动机动车。

能够以有利于安全的方式在双控制器架构的范围内、但在某种程度之内也能在单控制器架构的范围内实现这些控制机构。

按照本发明，至少两个驱动执行器的每一个驱动执行器均能单独使得机动车至少在应急运行模式下运动。能够以保证不妨碍其余驱动执行器的方式关闭任意一个单独的驱动执行器。以相应的方式这也适用于例如ECU(发动机控制器(EngineControlUnit))中的控制器故障，尽管驱动执行器本身功能正常，控制器故障仍然会导致受到相应控制的驱动执行器无法运行。

总之利用本发明可以提供一种容错系统，其中即使当驱动执行器或者发动机控制器存在严重故障的时候，也存在能够维持驱动力的有益的措施。

正如在接下来所解释的附图中所示的一样，能够以不同的系统配置形式实现本发明。特别有益的是，在发动机控制器的层面上实现容错，例如使用相应的容错层和/或通过至少两个发动机控制器并行地获得驾驶员意图。

本发明可以应用于任意的驱动执行器，例如内燃机或者电动机，并且并不局限于具有四个车轮的车辆。

根据本发明所述的运算单元、例如机动车的控制器作为用于尤其是可编程地执行本发明所述方法的机构，可用来实施根据本发明所述的方法。

以软件形式执行本发明所述的方法也是有利的，因为这种方式造成特别小的成本，尤其当实施的控制器还可用于执行其他任务或者本来就存在这种控制器的时候。适合于提供计算机程序的数据载体尤其是磁盘、硬盘、闪存、EEPROM、CD-ROM、DVD等等。也可以通过计算机网络(互联网，内联网等等)下载程序。

本发明的其他优点和实施方式由说明书以及附图得出。

显而易见，上述以及下面还将详细解释的特征并非仅仅可以用于各个提到的组合，而且也可用于其他组合或者单独使用，而并不脱离本发明的范畴。

附图说明

根据附图所示的实施例描述本发明，以下将参照附图对本发明进行详细说明。

图1示出了根据本发明的一种实施方式的、具有两个驱动执行器的系统配置的框图。

图2示出了根据本发明的一种实施方式的、具有两个驱动执行器的机动车的框图。

图3示出了根据本发明的一种实施方式的、具有两个驱动执行器的机动车的框图。

图4示出了根据本发明的一种实施方式的、具有单轮驱动装置的机动车的框图。

图5示出了在根据本发明的一种实施方式的、具有两个驱动执行器的机动车中显示故障的基本方案。

图6示出了根据本发明的一种实施方式的、获得驾驶员意图的方法的示意性框图。

在附图中以相同的附图标记标识功能相同的元件，为了简明起见不予赘述。

具体实施方式

图1以示意性的框图示出了根据本发明的一种实施方式的、具有两个驱动执行器的、在机动车中执行的系统配置的基本方案。

两个驱动执行器11和12、例如混合动力机动车的电动机和内燃机通过相应的控制线路分别与发动机控制器31和32相连。

发动机控制器31和32是控制驱动力或者一般来说控制驱动执行器11和12的运动的控制器。原则上可以将发动机控制器31和32合并为一个控制器，但是其中有可能无法完全表现本发明的所有优点。

也可以设置更多的控制器，例如可以利用变速箱控制单元(TCU)33来控制变速箱，利用混合动力控制单元(HCU)或者整车控制单元(VCU)34调整驱动执行器11和12的扭矩分配。

如果控制器31至34以所谓的显性方式存在(也就是作为独立的单一控制器)，正如由于相应系统的供应链或者独立性以及模块化可以带来好处一样，可以通过通信系统、例如通过总线40将控制器31至34联网。但也能够至少以显性的方式提供并非全部的控制器31至34。在这种情况下，控制器31至34的所有或者部分功能被局限在发动机控制器31和/或32上。

图2示出了根据本发明的一种实施方式的、具有两个驱动执行器的机动车的框图。在俯视图中示意表示机动车，并且以附图标记100表示整车。图2所示为一种特别简单而且成本低廉的、将图1中所示的电气-电子架构转换成物理-机械架构的方法。

再次以附图标记11和12表示相应的驱动执行器，例如混合动力机动车的电动机和内燃机。以附图标记21至24表示机动车100的车轮。本发明并非仅限于四轮机动车100。

可以通过离合器51和52将驱动执行器11和12产生的扭矩传递给传动轴71和72。利用传动轴71和72通过可选的差速器81和82驱动车轮21至24或者其轮轴91至94。可选地存在变速箱60。

在附图所示的实施例中，当离合器51闭合时，驱动执行器11就会(可选地通过差速器81)驱动两个车轮21和22。当离合器52闭合时，驱动执行器12就会(可选地通过差速器82)驱动另外两个车轮23和24。以此实现的2∶2分配能够是有利的，但并不是强制必要的。

总而言之(即使对于其他的车轮总数来说)，应用该实施例的关键在于，没有车轮21至24被一个以上的驱动执行器11、12(直接)驱动，并且每个驱动执行器11、12至少驱动一个车轮。

在驱动执行器11出现故障的情况下，与此对应的控制器(这里是发动机控制器31，参见图1)就能将其检测出来，并且关闭驱动执行器11，从而最多以极小的拖曳扭矩作用于对应的车轮21和22。也能以将离合器51分离的方式予以实现。

发动机控制器31将该事实的信号发送给对应于驱动执行器12的控制器(这里是发动机控制器32，参见图1)，但也可以隐性执行该操作，例如当基础架构中以所谓的失效静默通信关系(Fail-Silent-Kommunikationsbeziehung)为前提条件的时候(这里也就是当未发生某一特定的通信而发出故障信号的时候)。

同理也适用于驱动执行器32、相应的发动机控制器32和离合器52。这意味着在两个驱动执行器11、12的其中一个发生(几乎任意的)故障时，还可以通过另一个驱动执行器11、12实现机动车100的驱动力。

如果HCU34以显性方式存在，就会与尚能运行的驱动执行器11、12的发动机控制器31、32一样获得相同的信息，例如通过总线40。在这种情况下，对于HCU而言也能简单确定哪一个发动机控制器31、32和哪一个驱动执行器11、12尚能运行。据此可以适当调整扭矩分配，使得剩余的驱动执行器11、12实现相关的驱动力。

在发动机控制器31、32出现故障的情况下也能实施该容错原理。为此必须保证发动机控制器31、32本身足以实现所述的失效静默原理，也就是本质安全，并且可在出现严重故障的情况下自动关闭。

有多种也能组合运用的方法来提供本质安全的发动机控制器31、32。例如可以使用看门狗技术方案通过软件监视计算机、硬件冗余等类似方法。

此外还必须保证即使当关闭某个发动机控制器31、32的时候，例如由于内部出错，也能适当作用于执行器系统，使得相应的驱动执行器11、12仅仅对车轮21至24施加极小的(尽可能小到可以忽略不计的)拖曳扭矩。为此可以在关闭的情况下如以上所述将相应的离合器51、52分离；但是也可以通过驱动执行器11、12中的有益技术方案来保证该特性，或者例如以电动机为例，通过相应的电路在无电流状态下保证在其中不会出现显著的反作用扭矩(例如主动短路引起的)。

总之，不仅当两个驱动执行器11、12存在故障时，而且当发动机控制器31、32也出现故障时，始终还能实现驱动力，进而显著提高了驱动功能的可靠性和可用性。

此外还可以通过实际的有益措施来处置那些如若不采取相应措施就会导致违反“抛锚车辆”安全目标(SafetyGoal)的故障。也就是通过可以对应于相关诊断覆盖率(例如整个发动机控制器31、32的失效静默覆盖率(Fail-Silence-Coverage))的安全机制控制所述安全目标。

图3示出了根据本发明的一种实施方式的、具有两个驱动执行器的机动车的框图。所述机动车这里也以俯视图示出，并且整体上以附图标记100表示。

在图3所示的替代方案中，也通过两个图中没有绘出的发动机控制器31、32控制两个驱动执行器11、12。电气-电子架构在这里也相当于例如图1中所示的架构。

但是在图3所示的实施例中，两个驱动执行器11、12依次串联，在作用链的末端作用于变速箱60。如果驱动执行器11或者相应的控制器31有故障，那么这里也必须通过相应的关闭操作来保证驱动执行器11不会或者仅仅给驱动执行器12提供极小的拖曳扭矩。例如将离合器53重新分离、通过驱动执行器11中的结构设计技术方案或者将驱动执行器11连接到传动系即可。

但是这里如果驱动执行器12或者相应的控制器32有故障，则驱动执行器11必须还能够起作用。离合器54在这里具有无法与离合器51和52或者离合器53比拟的安全意义。离合器54在驱动执行器12或相应的控制器32发生故障的情况下不得持久分离。为了防止在这种情况下驱动执行器12还会对传动系施加明显的拖曳扭矩，这里在任何情况下都需要结构设计技术方案。例如可以通过行星齿轮传动装置进行连接，使用能在电动机无电流状态下保证(尽可能)没有力矩的电路，或者使用特殊的离合器。

图4示出了根据本发明的一种实施方式的、具有单轮驱动装置的机动车的框图。

正如在图4中所示出的那样，对于具有单轮驱动执行器的机动车100来说，每个车轮21至24均设有驱动执行器11至14。例如可以与基础电气/电子架构适当相互配合，使得发动机控制器31和32中的每一个控制器(参见图1)分别控制驱动执行器11至14的其中两个驱动执行器(例如交叉，按照轴或者侧面)。可想而知也可以设置1∶3分配。在所述情况下通常可省去TCU33。也可以代之以给每个驱动执行器11至14配置一个发动机控制器，就是说在这种情况下总计设置四个发动机控制器。

原则上在图4所示的系统配置中可以提供更高的故障容限，因为可以通过剩余的驱动执行器11至14在系统范围内抵消车轮21至24的驱动执行器11至14的其中某一个的任何故障，某些情况下甚至可以抵消两个这样的故障。

例如当驱动执行器11(或者例如控制驱动执行器11的发动机控制器31)失效时，就必须再次通过结构性措施保证失效的(或者无电流的)驱动执行器11不再施加拖曳扭矩。此外这里特别重要的是：所有相关发动机控制器均对相关组件的失效状态有相同的“观点”。在这种情况下，如果通过HCU或者VCU进行相应的分配，就能保证通过其他(或者通过剩余的)驱动执行器12至14提供驱动力。

如果HCU并非作为显性的控制器存在，则必须以其他形式实现扭矩分配功能。如果HCU本身实现了容错，那么与本发明相结合尤其能带来好处。故障容限比较适宜有两个层级：

在功能层上，能够容忍某个发动机失效的扭矩分配功能本身必须提供可针对这些失效情况调节扭矩分配的后备层。对于显性存在的HCU而言该层也必须存在。

HCU功能本身必须在架构层上实现容错。例如当完全和仅仅在发动机控制器31上实现HCU功能的时候，如果发动机控制器31出现故障，就会无法进行扭矩分配。也就是说，至少必须在发动机控制器32上实现能在发动机控制器31失效时起作用的HCU功能的后备层，以便提供合理的功能。

TCU同样不必显性存在。非对称性技术方案包括例如在发动机控制器31、32上实现TCU功能(这里也可使用HCU)。这具有成本优势；但是非对称会表现出不一样的故障容限，因为“不利的”控制器失效会引起大量功能损失。

如果将发动机控制器31、32合并在一个控制器上，那么只能有限容忍控制器故障。但是对驱动执行器11、12的故障容限一如既往保持不变。视失效重点而定，这也能提供具有成本优势的有益技术方案。

也能够仅仅在控制器内部提供控制器故障容限：例如应给每个驱动执行器11、12均存在的输入/输出电路规定容限。可以通过ECC(ErrorCorrectingCode)容忍内存错误，通过复位或者恢复功能容忍瞬时错误。

如前所述，如果保证所有相关发动机控制器31、32在每个时刻(除了一定的同步误差之外)均对总系统内相关组件的故障特性有相同的“观点”，那么就能以特别有利的方式实现控制器层上的故障容限。在最为简单的情况下，这在所观察的系统中就是驱动执行器11和12以及发动机控制器31和32。针对这些组件在系统容错层上例如定义了两个状态“可以运行”和“不可以运行”。

在这种情况下，可以如附图5中所示提供本发明的一种实施方式所述的故障状态信息。

在最为简单的情况下，可以通过故障状态信息字段110和120或310和320以一个比特位映射每一个相关的组件，例如1表示相应的组件可以运行，0表示不可以运行。然后控制器层上的容错层应保证所有相关的驱动执行器11和12以及发动机控制器31、32均对这四个比特位有相同的观点。在较短的时段范围内(例如小于10ms)也可能会由于同步持续时间而出现不同，这通常是可以接受的；除此之外，所有相关发动机控制器31、32中的信息均必须相同，唯有如此才能作出一致的反应。

对于容错层而言存在不同的解决方法。一种有利于实现的技术方案包括通过通信系统显性传输故障状态信息，方法是使得至少几个相关对象(例如发动机控制器31或32)定期显性传输其对该信息的观点。假设相关发动机控制器31、32均失效静默(Fail-Silence)，此时(可能由于同步原因引起的非短期)信息不一致极不可能出现(事实上可以排除)，从而可在识别不一致时选择一种简单的系统反应，例如对驾驶员发出要求将机动车100停住的警告。

本发明范畴内可使用的通信策略例如可以包括以时间控制方式(例如轮流)传递这些状态消息(关于故障状态)。每一个相关发动机控制器31、32此时均可每轮发送一次其观点。每一个相关发动机控制器31、32均可根据内部故障检测机制和收到的消息更新自己的观点(如果已实现了失效静默功能，则收到另一个发动机控制器31、32的消息意味着另一个发动机控制器31、32可以运行)。如果在n轮以上(例如n＝4)发现不一致，则相应的发动机控制器31、32发出不一致警告。如果存在不一致，则根据可以运行的组件进行处理。需要使得每一个发动机控制器31、32均能将之前所解释的警告信号(例如要求停车)发送给驾驶员。

本发明的另一个核心方面是获得驾驶员意图。现有技术通常以冗余方式执行该操作，以便控制传感系统中的故障。为了能够实施之前所述的技术方案，可能需要使得两个相关发动机控制器31、32能够获得驾驶员意图。在一种特别有利于安全的情况下，甚至可在任何发动机控制器31、32中冗余获得驾驶员意图。这样就能在后备层中安全(并且原则上不限时)继续运行。

在一种成本比较低廉的方案中，两个发动机控制器31、32的每一个发动机控制器也可以每次读入一个传感器的值，然后通过总线将值转发给其他发动机控制器31、32，以便能够进行比较和/或实现常见的最小选择。

另一种方法是利用三个传感器获得驾驶员意图。两个传感器直接通向其中一个发动机控制器31、32，一个传感器直接通向另一个发动机控制器31、32。发动机控制器31、32可以通过总线进行通信。这样就能在某些情况下安全运行，视哪一个发动机控制器31、32有故障而定。

图6中的分图6A至6C以示意框图形式表示通过两个发动机控制器31、32获得驾驶员意图的基本方案。图中以附图标记A、B和C表示传感器，以附图标记a、a1、a2、b、b1和b2表示相应的传感器线路。

原则上也可以使用传感器总线。如果两个发动机控制器31、32能协调实际使用的驾驶员意图，那么在所有情况下均能带来好处。例如可以根据以下方法进行协调：

1.每个发动机控制器31、32均读入直接对应于发动机控制器31、32的传感器A、B、C的值；

2.每个发动机控制器31、32均通过总线或其他通信系统将所读入的传感器值或者将据此确定的合适的值发送给其他发动机控制器31、32；

3.每个发动机控制器31、32均根据目前为止所述的数据确定实际使用的值。

对于步骤3来说，存在多种在失效静默控制器的前提下确保值的一致性的方法。求平均值、容错取平均值(例如省去最大值)或者使用最小值(有利于安全)均为可能的技术方案。

需要进行时间同步，以使得该方法完美执行。两个发动机控制器31、32必须(大致)同时读入传感器值，并且必须(大致)同时应用这些值。可以通过软件执行该操作，但也可以使用特殊的协议(例如TTCAN，FlexRay)实现同步。总之以时间控制方式(例如周期性)发送这些消息可带来好处。

也要针对交换方法考虑通信错误。可以通过总线机制、应用程序校验和以及消息计数器拦截失真错误。这里尤其要加以考虑的情况是单个消息缺失或者传感器失效。很容易检测传感器失效(消息消失)。在这种情况下，其他发动机控制器31、32必须相应地更新、交换其故障状态信息(见上)。为此比较适宜在网络中设置所有相关组件均知道的时间常数，该时间常数指定应在消息消失的哪一个时间之后相应地调整故障状态信息。

要求比较高的是单个消息或者少数几个消息缺失(例如像可能由于总线故障而出现的)。针对这种情况也存在一系列技术方案，举例如下：

-原则上可以(如果故障仅仅涉及发动机控制器31、32)仅仅使用总线上可见的值。

-每个发动机控制器31、32均针对某个定义的时间(例如系统的容错时间)使用本地的值进行计算。例如当通信故障设计所有控制器31，32的时候，那么这就特别有利。

-朝向较小的驾驶员意图或者梯度限制对这两个技术方案的其中一个进行修改。

关于获得驾驶员意图所述的通过相关发动机控制器31、32获得驾驶员意图的机制也适用于外部控制器的转速和扭矩请求，尤其适用于驾驶辅助系统(例如泊车辅助系统)或者能够实现(半)自动驾驶的组件。本发明尤其适合于开头所述的电子油门系统。

Claims (15)

1.具有至少两个驱动执行器(11，12，13，14)的机动车(100)，所述驱动执行器分别与所述机动车(100)的至少一个车轮(21，22，23，24)耦合或者能够耦合，其中设置控制机构(31，32，33，34)，以在至少两个驱动执行器(11，12，13，14)中的任意一个驱动执行器(11，12，13，14)能够运行并且至少两个驱动执行器(11，12，13，14)中的任意另一个驱动执行器无法运行的故障情况下，仅仅借助至少一个能够运行的驱动执行器(11，12，13，14)牵引地驱动所述机动车(100)。

2.根据权利要求1所述的机动车(100)，所述机动车具有扭矩传递装置(51至54)，设置所述扭矩传递装置以减小在故障情况下至少一个无法运行的驱动执行器(11，12，13，14)对至少一个车轮(21，22，23，34)和/或至少一个能够运行的驱动执行器(11，12，13，14)施加的拖曳扭矩。

3.根据权利要求2所述的机动车(100)，其中所述扭矩传递装置(51至54)包括至少一个离合器(51至54)和/或包括在至少一个无法运行的驱动执行器(11，12，13，14)与至少一个车轮(21，22，23，34)和/或至少一个能够运行的驱动执行器(11，12，13，14)之间的至少一个行星齿轮传动装置。

4.根据权利要求2或3所述的机动车(100)，其中至少两个驱动执行器(11，12，13，14)包括至少一个电动机，其中设置所述扭矩传递装置(51至54)以减小拖曳扭矩地控制所述电动机。

5.根据上述权利要求中任一项所述的机动车(100)，其中所述控制机构(31，32，33，34)包括至少两个发动机控制器(31，32)，设置所述发动机控制器以分别控制至少两个驱动执行器(11，12，13，14)中的至少一个驱动执行器。

6.根据权利要求5所述的机动车(100)，其中所述至少两个发动机控制器(31，32)用于相互间进行通信。

7.根据权利要求6所述的机动车(100)，其中所述至少两个发动机控制器(31，32)中的每一个发动机控制器均可用来检测所述至少两个发动机控制器(31，32)中的另一个发动机控制器的故障状态。

8.根据权利要求5至7中任一项所述的机动车(100)，其中设置两个分别与所述机动车(100)的两个车轮(21，22，23，34)耦合或者能够耦合的驱动执行器(11，12)，所述两个驱动执行器(11，12)中的每一个驱动执行器均对应于一个发动机控制器(31，32)。

9.根据权利要求5至7中任一项所述的机动车(100)，其中设置三个或者四个分别与所述机动车(100)的车轮(21，22，23，34)耦合或者能够耦合的驱动执行器(11，12，13，14)。

10.根据权利要求5至9中任一项所述的机动车(100)，其中设置所述发动机控制器(31，32)中的每一个发动机控制器以借助至少一个传感器(A，B，C，D)获得驾驶员意图。

11.根据权利要求10所述的机动车(100)，其中设置所述发动机控制器(31，32)以借助至少一个传感器(A，B，C，D)对获得的驾驶员意图进行可信度分析。

12.用于运行按上述权利要求中任一项所述的机动车(100)的方法，其中在至少两个驱动执行器(11，12，13，14)中的任意一个驱动执行器(11，12，13，14)能够运行并且至少两个驱动执行器(11，12，13，14)中的任意另一个驱动执行器无法运行的故障情况下，仅仅借助至少一个能够运行的驱动执行器(11，12，13，14)牵引地驱动所述机动车(100)。

13.用于执行按权利要求12所述方法的计算单元、尤其是发动机控制器(31，32)。

14.具有程序代码的计算机程序，当在计算单元上、尤其是按权利要求13所述的计算单元上执行所述程序代码时，促使计算单元执行按权利要求12所述的方法。

15.可由机器读取的存储介质，按权利要求14所述的计算机程序保存在所述存储介质上。