CN107407910A - 用于在车辆电控系统内提供冗余的方法和设备 - Google Patents

Abstract

一种用于在车辆电控系统内提供冗余的设备，包括通过第一数据总线互连的多个电子控制单元，并且，其中每个电子控制单元通过单独的第二数据总线连接到一个或多个I/O单元，其中每个第二数据总线设有单独的收发器，该收发器允许电子控制单元与I/O单元之间的通信，并且，其中所述设备包括布置在电子控制单元与收发器之间的可编程开关，其中该可编程开关适于将每个收发器与所选定的电子控制单元互连。本发明的优点在于：当所述收发器最初连接的ECU损坏时，允许以容易的方式将收发器重连到新的ECU，这允许该新的ECU访问已损坏的ECU的I/O单元，并且这进而提供了电控系统的有效冗余。

Description

用于在车辆电控系统内提供冗余的方法和设备

技术领域

本发明涉及用于在车辆电控系统内提供冗余的方法和设备，其中，在电子控制单元故障的情况下，连接到该电子控制单元的I/O单元可以选择性地被重连到任何其它的电子控制单元。所述设备和方法特别适合于其中使用数个不同的电子控制单元的车辆电控系统。然而，所述设备和方法也适合于静态的电控系统。

背景技术

现代车辆的电控系统使用一个或多个电子器件和传感器系统，以控制和管理车辆的功能。这些电子系统中的大部分由通过一个或多个数据总线互连的电子控制单元控制。例如，可以设有专用的动力传动系控制系统，其包括通过专用的高速数据总线互连的数个电子控制单元(ECU)，例如发动机ECU、变速器ECU和喷射ECU，这些子控制单元又可通过主数据总线与车辆控制系统通信。主数据总线将相关的信息(例如车辆速度和加速度输入信号)传送到发动机控制系统，以及从发动机控制系统传送相关的信息，例如冷却剂温度或发动机速度。

其它的电子控制单元可以是用于巡航控制系统、后视摄像机系统或自动制动系统的控制单元。每个电子控制单元可以与其它的电子控制单元通信，以接收指令以及输出功能的状态。通常，电子控制单元连接到多个传感器和多个促动器，所述多个传感器适于将测量到的信号输出到ECU，所述多个促动器适于执行由ECU发起的动作。在ABS系统中，传感器例如可以是测量车轮的旋转速度的车轮速度传感器，而促动器例如可以是适合作用于车轮制动器的活塞以对车辆制动的液压阀。为了正常工作，该ABS系统将信息发送到其它ECU并从其它ECU接收信息。

为了减少电子控制单元的数量并降低成本，电子控制单元通常连接到数个传感器和促动器，且经常可能具有5至20个之间或更多的输入通道和输出通道。为减少车辆内的布线并简化电子控制单元和传感器和促动器之间的接口，电子控制单元的输入通常是基于总线的。一个或多个传感器和/或促动器因此连接到输入/输出单元(I/O单元)，所述I/O单元包括多个离散的输入和输出通道和数据总线接口，这允许I/O单元通过数据总线连接到其它I/O单元并连接到电子控制单元，所述数据总线通常为LIN总线或CAN总线。该电子控制单元因此可连接到数个I/O单元。

电子控制单元包括收发器，所述收发器允许电子控制单元通过数据总线通信。每个要连接到该电子控制单元的数据总线需要一个收发器。因此，电子控制单元可包括数个适合与I/O单元通信的收发器。

图1示出了通常已知的车辆电控系统100的一部分，所述车辆电控系统100包括用主数据总线101互连的多个单独的电子控制单元102、103、104。每个ECU都专用于车辆的特定功能。在一个示例中，ECU 102可以是自动制动系统控制单元，ECU 103可以是车辆马达控制单元且ECU 104可以是仪表板控制单元。每个ECU又直接连接到或通过第二数据总线连接到数个传感器和促动器。在所示的示例中，ECU 102直接连接到多个车轮速度传感器105和制动阀促动器106。ECU 103连接到多个I/O单元107，所述I/O单元107又连接到在发动机内使用的用于控制例如发动机的点火和喷射的传感器和促动器。ECU 104连接到多个I/O单元108，所述I/O单元108控制例如仪器组(instrument cluster)、音频系统、导航系统、信息系统等。

每个ECU与其它ECU通过主数据总线101相互交换信息。ECU进一步设有一个或多个收发器，所述收发器适合与一个或多个I/O单元通过第二数据总线通信。每个ECU要求每个数据总线一个收发器。在所示的示例中，ECU 103和104因此各自设有三个收发器。也可以的是，I/O单元是子ECU，例如子ECU 109，所述子ECU 109又通过第三数据总线连接到其它I/O单元108。

这种车辆电控系统中可能发生的一个问题是一个电子控制单元可能损坏或可能不正常工作。取决于该电子控制单元的重要性，存在解决此问题的不同可能性。对于非常重要的功能，例如控制燃料的喷射和点火的发动机ECU，可存在第二发动机ECU，在第一发动机ECU失效时，该第二发动机ECU可以接管。更可能地，另一个ECU可接管失效的ECU的一些功能，由此提供了该功能的有限功能。一般地，此故障将导致车辆的故障，且车辆控制系统将进入“跛行回家”状态，在该状态下仅提供了有限的功能。在此情况中，例如可在降低的速度下驾驶车辆。重要的是，失效的ECU所使用的传感器和促动器对于接管失效ECU的职责的ECU而言也是可用的。因此，可能需要使用双倍量的重要传感器和促动器，或者提供具有两个输出的传感器和具有两个输入的促动器。跛行回家状态的有限功能部分是因为用于控制失去功能的传感器中的一些或全部传感器缺失，这意味着：即使另一个ECU接管该功能，一些重要的输入信号也可能缺失。在此情况中，车辆将被控制为使得不是所有控制信号都是必需的。

在不太重要的电子控制系单元损坏时，功能可能完全失去。这可能例如是对于例如电动车窗的功能的情况，所述车窗可能不能打开或关闭。也可能该系统的一些功能消失，但主要功能仍继续工作。例如可能可打开或关闭车窗，但自动关闭功能将不工作。在此情况中，可仅通过保持按下车窗按键来控制车窗。对于ABS系统，车辆的制动例如将继续工作，但ABS功能将失去。

由于将重要的电子控制单元加倍以在车辆控制系统内提供冗余是复杂且昂贵的，所以，已提出了其它解决方法。US 2012/0265359 A1提出了使用可重新配置的接口层，包括可重新配置的接口装置，该接口装置允许多个传感器和促动器与多个控制单元通信。每个传感器或促动器连接到多个接口装置，所述多个接口装置又连接到总线。控制单元也连接到该总线。在一个接口装置失效的情况下，其它接口装置可被重新配置以维持传感器、促动器和控制单元之间的通信。在控制单元失效的情况下，接口装置可被重新配置，以将传感器和促动器的消息流量(message traffic)引导到能够处理所述失效控制单元的功能的不同的控制单元。

在此系统中，每个传感器和促动器可被引导到任何的电子控制单元，这使得系统相对复杂，并且要求大规模的可重配消息表和大规模的可重配通道使用表。在一些解决方法中，这样的系统可能是一种进步并且其可提供一些冗余。然而，仍存在改进的空间。

发明内容

因此，本发明的一个目的是提供一种在车辆电控系统内提供冗余的设备。本发明的另一目的是提供一种在车辆电控系统内提供冗余的方法。

在装置权利要求1的特征部分中和方法权利要求12中描述了根据本发明的问题解决方案。其它权利要求包含本发明的设备和方法的进一步有利扩展。

在用于在车辆电控系统内提供冗余的设备中，所述设备包括通过第一数据总线彼此连接的多个电子控制单元，且其中每个电子控制单元通过单独的第二数据总线连接到一个或多个I/O单元，上述问题的解决在于：每个第二数据总线设有允许电子控制单元和I/O单元之间的通信的单独的收发器，且其中所述设备包括布置在上述电子控制单元和收发器之间的可编程开关，其中所述可编程开关适于将每个收发器与选定的电子控制单元互连。

通过所述设备的此第一实施例，所述设备将允许收发器连接到任何选定的电子控制单元。每个收发器通过适当的数据总线(例如CAN总线或LIN总线)连接到一个或多个I/O单元。每个I/O单元包括多个输入通道和/或输出通道，一个或多个传感器和一个或多个促动器连接到所述多个输入通道和/或输出通道。

在车辆电控系统的正常运行期间，每个收发器连接到所述设备初始化(设备启动)时限定的特定的电子控制单元。更具体地，一个单一信号收发器可仅连接到一个特定的电子控制单元，但数个不同的收发器可连接到同一特定的电子控制单元。收发器到电子控制单元的连接由可编程开关执行，所述可编程开关将每个收发器与选定的电子控制单元连接。该可编程开关被控制为使得：当该电控系统被初始化时，每个收发器连接到所述选定的电子控制单元。

如本发明的定义中所使用的，表述“第二电子控制单元执行由当前有缺陷的第一电子控制单元先前提供的功能的能力”应理解为表达该设备的适应性，即：基于仍工作的电子控制单元可如何从当前有缺陷的电子控制单元接管其功能，该设备以尽可能智能的方式将I/O单元和当前可用的电子控制单元互连的适应性。因此，如果电子控制单元中的一个变成有缺陷的，则通过将先前由现在有缺陷的电子控制单元处理的、出/入该I/O单元的信息重定向到仍工作的电子控制单元，先前由有缺陷的电子控制单元提供的功能可以由剩余的且仍工作的电子控制单元处理。然而，所述重定向是基于确定仍工作的电子控制单元中的哪一个以及仍工作的电子控制单元是否实际上可以处理先前由现在有缺陷的电子控制单元处理的、出/入该I/O单元的信息。

换言之，所述可编程开关适合：基于该可编程开关检测到来自第一电子控制单元的控制信号缺失或基于该可编程开关接收到来自第二电子控制单元的重连控制信号，则在第一电子控制单元故障的情况下将收发器从第一电子控制单元重连到第二电子控制单元。这意味着，在发现一个电子控制单元有故障时，连接到此电子控制单元的一个或多个收发器可容易地被重连到能够接管第一电子控制单元的职责的另一个电子控制单元。应理解的是，表述“有缺陷的电子控制单元”可包括其中电子控制单元变成“故障”或完全停止工作的状态。然而，有缺陷的电子控制单元也可以是可能以缩减模式运行，其中仅可执行一些功能，但电子控制单元并非完全故障。

在本发明的有利扩展中，第二电子控制单元包括适于执行第一电子控制单元的所有功能的、完整的程序代码集。以此方式，第二电子控制单元可从第一电子控制单元接管完整的功能，且因为属于第一电子控制单元的收发器或多个收发器被重连到第二电子控制单元，所以，由于第一电子控制单元的所有传感器和促动器对于第二电子控制单元而言将是可用的，第一电子控制单元所执行的所有功能现在可由第二电子控制单元执行。

在本发明的设备的有利扩展中，第二电子控制单元包括适于执行第一电子控制单元的缩减的功能的、缩减的程序代码集。以此方式，第二电子控制单元可接管第一电子控制单元的功能中的一些功能。通过将属于第一电子控制单元的收发器或多个收发器重连到第二电子控制单元，可选择第一电子控制单元的功能中的哪些功能要被第二电子控制单元执行。从第一电子控制单元接管的功能也可随时间而不同，这取决于例如第二电子控制单元为其自身初始功能所要求的计算能力的量。

在本发明的设备的有利扩展中，车辆电控系统的每个电子控制单元包括适于执行任一其它电子控制单元的功能的程序代码。以此方式，在一个电子控制单元失效时，任何其它电子控制单元均能接管该电子控制单元的功能。应理解的是，在一个实施例中，第二电子控制单元可提供为用于提供所述设备的冗余，其中，第二电子控制单元一直处于不工作模式，直至第一电子控制单元变成有缺陷的，由此，第二电子控制单元接管先前由第一电子控制单元提供的功能。为允许所述设备的进一步冗余，还能够以相应的方式包括第二可编程开关，其中，只要第一可编程开关正常工作，第二可编程开关就处于备用/不工作模式。

在本发明的设备的有利扩展中，每个电子控制单元均包括适于执行任一其它电子控制单元的缩减的功能的程序代码。以此方式，当一个或多个电子控制单元失效时，可以提供带有缩减的功能的、车辆的跛行回家功能。

在用于在车辆电控系统内提供冗余的方法中，所述系统包括通过第一数据总线互连的多个电子控制单元，且其中每个电子控制单元适于通过单独的第二数据总线连接到一个或多个I/O单元，且其中每个第二数据总线设有单独的收发器，所述方法包括以下步骤：通过用可编程开关将每个收发器连接到选定的电子控制单元来初始化车辆电控系统，由此，允许电子控制单元和I/O单元之间的通信。

利用本发明的方法，提供了一种方法，其中，在初始化车辆电控系统时，电子控制单元所要求的I/O单元可容易地连接到选定的电子控制单元。I/O单元连接到收发器。每个收发器通过使用可编程开关被引导(routed)到选定的电子控制单元。在例如所述电子控制单元之一失效的情况中，该可编程开关进一步允许一个或多个收发器被重连到另一个电子控制单元。以此方式，一个电子控制单元的功能中的所有或部分功能可被另一个电子控制单元接管。

附图说明

在下文中，将参考附图更详细地描述本发明，各图为：

图1示出了示意性的现有技术的车辆电控系统，

图2示出了根据本发明的车辆电控系统的示例，

图3示出了带有故障的ECU的、根据本发明的车辆电控系统的示例，

图4示出了可编程开关的典型的实施方式，并且

图5示出了用于在车辆电控系统内提供冗余的、本发明的方法的示意性流程图。

具体实施方式

在下文中描述的、带有另外扩展的本发明的实施例仅视作示例，并非限制通过权利要求提供的保护范围。所述设备适合于包括一个或多个电子控制单元和多个传感器和促动器的所有类型的电控系统，但特别适合于包括多个专用电子控制单元的、其中冗余可能性非常重要的非静态系统。

图2示出了根据本发明的用于在车辆电控系统2内提供冗余的设备1。电控系统2包括通过数据总线彼此连接的多个电子控制单元。在所示的示例中，使用了三个电子控制单元3、4、5。然而，在车辆中使用的通常的电控系统中，将使用更大量的电子控制单元。在所示的示例中，这些电子控制单元通过第一数据总线10互连。这些电子控制单元也可通过另一个并行的数据总线连接。该另一个数据总线例如可以是旨在当第一数据总线损坏或毁坏时提供冗余的数据总线，或可以是用于在两个电子控制单元之间发送高速数据的专用高速数据总线。

每个电子控制单元包括程序代码，该程序代码适于执行属于车辆的一个或多个功能的特定任务。通常，电子控制单元被设置为代表或对应于特定的功能，以执行特定的功能并使用预定的一组传感器和促动器。这将类似于已知的专用电子控制单元，例如发动机ECU、ABS ECU或信息娱乐ECU。在该电控系统初始化时，每个电子控制单元被赋予指定的预定功能。每个电子控制单元还包括适于执行通常被赋予另一个电子控制单元的、该车辆的额外功能的程序代码。包括在电子控制单元内的额外的程序代码可以是与赋予其它电子控制单元的一个或多个功能相对应的完整的程序代码，或者可以是适于执行指定功能中的一部分的、缩减的程序代码。

在所示的示例中，第一电子控制单元3包括执行功能A的程序代码，且还包括对应于功能B和C的程序代码。第二电子控制单元4包括执行功能B的程序代码，且还包括对应于功能A和C的程序代码。第三电子控制单元5包括执行功能C的程序代码，且还包括对应于功能A和B的程序代码。在初始化时，第一电子控制单元3被设置为执行功能A，第二电子控制单元4被设置为执行功能B，且第三电子控制单元5被设置为执行功能C。用于其它功能的程序代码将不被激活。

在相对小的电控系统中，可复制所有功能的程序代码，并将其存储在所有电子控制单元中。在更复杂的电控系统中(例如在现代车辆中)，更实际的是在每个电子控制单元中存储用于一些功能的程序代码以及改变存储在每个电子控制单元中的程序代码，使得代表每个功能的程序代码被存储在数个电子控制单元中。也可缩减被存储在电子控制单元中的、其它功能的程序代码，使得适合于特定功能的电子控制单元存储用于其它功能的、缩减的程序代码集。

在所示的示例中，第一电子控制单元3因此可包括执行完整的功能A的程序代码，且还包括对应于缩减的功能B和缩减的功能C的、缩减的程序代码集。第二电子控制单元4可包括执行完整的功能B的程序代码，且还包括对应于缩减的功能A和缩减的功能C的、缩减的程序代码集。第三电子控制单元5可包括执行完整的功能C的程序代码，且还包括对应于缩减的功能A和缩减的功能B的、缩减的程序代码集。在初始化时，所述用于缩减的功能的、缩减的程序代码集也将不被激活。

取决于所要求的存储空间的量、处理器容量等，决定哪个电子控制单元应存储哪个程序代码以及所存储的程序代码的范围(extent)。在一些系统中，可对所有功能仅使用一种类型的电子控制单元，但通常情况下，对于不同功能将使用多个不同的电子控制单元，因为在涉及到存储空间、处理器容量、总线速度等时，不同的功能之间的要求是不同的。

该电控系统还包括大量的传感器和大量的促动器，这些传感器适于测量信号以便向电控系统提供输入信号，并且这些促动器适于执行由电控系统命令的动作。为减少电缆的量并提供灵活的系统，所述传感器和促动器连接到多个I/O单元。每个I/O单元包括多个用于传感器的输入通道和多个用于促动器的输出通道。I/O单元的输入通道和输出通道的数量可以变化。每个I/O单元还设有适于与电子控制单元通信的数据总线接口。

I/O单元通过数据总线与电子控制单元通信。优选地，数个I/O单元通过同一数据总线通信。在现有技术的解决方法中，电子控制单元设有作为该数据总线和电子控制单元之间的接口的至少一个收发器。在本发明的方案中，该收发器是用作数据总线接口的单独的装置，且该收发器不直接连接到电子控制单元。替代地，可编程开关16用于将该收发器与电子控制单元连接。

在所示的示例中，传感器和促动器被连接到I/O单元15。I/O单元通过第二数据总线连接到收发器。数据总线11将三个I/O单元连接到收发器6，数据总线12将三个I/O单元连接到收发器7，数据总线13将三个I/O单元连接到收发器8，且数据总线14将三个I/O单元连接到收发器9。当然也可以使第二数据总线加倍，使得该系统使用两个并行的数据总线以提供一些冗余。通过两个并行的数据总线，每个收发器将包括两个数据总线连接。该第二数据总线优选是CAN总线或LIN总线，但也可使用其它总线类型。

可编程开关16适于在电控系统的初始化时将选定数量的收发器连接到预定的电子控制单元。从电学上看，该可编程开关设有：收发器侧，它在此被称为输入侧，虽然每个连接是适合于收发器的连接的双向连接；以及电子控制单元侧，它在此被称为输出侧，虽然每个连接是适合于电子控制单元的连接的双向连接。该可编程开关为每个收发器提供有一个输入连接，并且为每个电子控制单元提供有一个输出连接。

在所示的示例中，可编程开关16设有与收发器6连接的开关输入17、与收发器7连接的开关输入18、与收发器8连接的开关输入19、以及与收发器9连接的开关输入20。该可编程开关还设有与电子控制单元3连接的开关输出21、与电子控制单元4连接的开关输出22、以及与电子控制单元5连接的开关输出23。

该可编程开关还对每个电子控制单元提供有一个控制连接，该控制连接在此被称为控制输入，即使每个连接也可以是适于连接到电子控制单元的双向连接。在所示的示例中，该可编程开关设有与电子控制单元3连接的控制输入24、与电子控制单元4连接的控制输入25、以及与电子控制单元5连接的控制输入26。

该可编程开关适于将每个收发器连接到一个电子控制单元。一个收发器可仅连接到单个电子控制单元，但也可多个收发器连接到一个电子控制单元。在此，可编程开关16将收发器6连接到电子控制单元3，将收发器7连接到电子控制单元4，将收发器8连接到电子控制单元4，并将收发器9连接到电子控制单元5。以此方式，连接到数据总线11的I/O单元将被引导到电子控制单元3，连接到数据总线12和13的I/O单元将被引导到电子控制单元4，并且，连接到数据总线14的I/O单元将被引导到电子控制单元5。

在该系统被首次设置并初始化时，例如在车辆被制造时，该可编程开关被设置为将每个收发器连接到选定的电子控制单元。以此方式，属于指定功能的传感器和促动器将连接到负责此功能的电子控制单元。通过此构造，该电控系统将作为已知的常规电控系统工作。

如果电控系统以某种方式损坏或开始出现故障，则电子控制单元将不能以可靠的方式执行此功能。如果电子控制单元完全损坏，所述功能将消失，并且，如果电子控制单元故障，所述功能将被破坏。如果所述功能是重要的功能，则车辆将开始以奇异的方式运行，或将完全停止。

在本发明的设备中，该可编程开关能够将一个或多个收发器从有故障的电子控制单元重连到另一个电子控制单元，以此方式，所述另一个电子控制单元将能够通过使用用于此功能的传感器和促动器而继续执行所述有故障的电子控制单元的功能。

在图3所示的示例中，假定第一电子控制单元3是有故障的。因为第一电子控制单元3已在通过使用通过数据总线11连接的传感器和促动器执行功能A，所以功能A不能再执行。该系统例如通过监测从每个电子控制单元发出的心跳信号，可检测到第一电子控制单元3发生故障。在此情况中，每个电子控制单元在主数据总线上发出心跳信号，其它电子控制单元监测所述心跳信号。在特定的电子控制单元的心跳信号缺失或故障时，确定此电子控制单元发生故障。取决于哪个心跳信号缺失，所选定的其它的电子控制单元将开始接管有故障的电子控制单元的职责。

在所示的示例中，第二电子控制单元4将接管第一电子控制单元3的职责。第二电子控制单元向该可编程开关的控制输入25发送控制信号，从而命令该可编程开关将收发器6重连到第二电子控制单元4。可编程开关因此将收发器6重连到第二电子控制单元4。现在，功能A所需要的传感器和促动器被连接到第二电子控制单元4。同时，存储在第二电子控制信号4内的、对应于功能A的程序代码将被激活，从而第二电子控制单元4将也能够执行功能A。

取决于功能A以及功能B的范围，第二电子控制单元可执行完整的功能A。第二电子控制单元仅执行缩减的功能A也是可以的。如果第二电子控制单元的处理容量不能执行缩减的功能A以及完整的功能B，则也可以缩减该功能A和功能B二者。

在所示的示例中，所有电子控制单元都包括用于执行所有功能的程序代码。然而，因为车辆一般包括数个电子控制单元(在20至40个或更多个的范围内)，优选限制电子控制单元可接管的功能的数量。取决于各种功能的范围，电子控制单元将存储用于执行至少一个额外功能的程序代码，且三至五个不同的功能的数量可能是有利的。

可使得电子控制单元同时执行不止两个不同的任务。因此，在所示的示例中，如果两个电子控制单元3和4发生故障，则可使第三电子控制单元5执行完整的或缩减的功能A、功能B和功能C。然而，优选使每个电子控制单元接管一个额外的功能。如果两个电子控制单元损坏，优选使两个不同的电子控制单元各自接管一个任务。

图4提供了根据本发明的构思而提供的可编程开关16的典型实施方式。在图4所示的所图示的实施例中，使用现场可编程门阵列(FPGA)实现可编程开关16，从而允许对于在第二总线上向I/O单元15发送的和从I/O单元15发送的信号的非同步处理。可编程开关16例如可实施为包括第一连接处置器40，该第一连接处置器40适合于(可能地非同步地)从设备1的不同的收发器6、7、8、9和电子控制单元3、4、5接收/提供信号。第一连接处置器40又由与连接表44和第二连接处置器46通信的连接选择器42控制，其中，第二连接处置器46适于从电子控制单元3、4、5接收所述控制信号，例如包括提供了电子控制单元3、4、5的当前运行模式的指示的心跳信号。

因此，基于从电子控制单元3、4、5接收到的控制信号，第二连接处置器46检验被存储在连接表44内的、关于在正常模式运行期间这些收发器如何连接到电子控制单元以及在电子控制单元3、4、5之一变得有缺陷的情况下所述收发器如何重连的信息。该可用的信息又用作所述连接选择器42的输入信号，用于控制第一连接处置器40。

在设备1的有利的实施方式中，电子控制单元3、4、5和可编程开关16布置在具有用于允许使用收发器6、7、8、9连接到第二数据总线11、12、13、14的专用电缆接口的壳体中。因此，一个通用类型的壳体和电缆接口可用于不同类型的车辆。即，如从“外侧”可见的功能将是相同的，而与实际上壳体内的包含物无关。此类型的实施方式将明显降低对于不同类型的车辆必需使用不同类型的电缆接口和不同的安装构造的复杂性。另外，对于不同类型的车辆，可能必需提供不同的冗余水平。例如，手动操作的车辆可能不需要与自动车辆(或半自动车辆)相同的冗余水平。因此，可使用相同的壳体/电缆接口，而硬件规格(例如，包括可用的电子控制单元的数量)对于不同类型的车辆可以不同。

对于每个不同的车辆类型，所述设备的初始化可不同。例如，对于手动车辆，仅提供降低的冗余，这意味着：如果第一电子控制单元变得有缺陷，则第二电子控制单元可仅处理先前由第一电子控制单元提供的功能的选定的部分。相反，在自动车辆的情况中，第二电子控制单元被构造为能够处理所有通常由第一电子控制单元提供的功能，且可被初始化为：只要第一电子控制单元正常工作，第二电子控制单元就维持在备用/不工作模式。如果第一电子控制单元变得有缺陷/当第一电子控制单元变得有缺陷时，第二电子控制单元变成工作的，并将处理先前由第一电子控制单元处理的所有功能。

使用实现该设备的上述模块化实施例，任何维修运行将被被简化，因为维修人员仅需与上述壳体交互，以例如更换有缺陷的第一电子控制单元。应理解的是，该电子控制单元优选布置在典型地包括额外电路的某些形式的控制卡上。该控制卡可能可以被提供有用于允许所述控制卡装配到与上述壳体布置的狭槽内的装置。

图5示出了用于在车辆电控系统内提供冗余的方法的示意性流程图，其中该电控系统包括通过第一数据总线彼此连接的多个电子控制单元，且其中每个电子控制单元适于通过单独的第二数据总线连接到一个或多个I/O单元，且其中每个第二数据总线设有单独的收发器。

在步骤200中，系统被初始化，并且程序代码被存储在电子控制单元内。在每个电子控制单元内，存储有适于执行至少两个不同的功能的程序代码。用于第一功能的程序代码被激活，且用于一个或多个额外功能的程序代码以不工作状态被存储。

在步骤210中，每个收发器通过可编程开关连接到选定的电子控制单元。所述可编程开关被初始化，以将每个收发器连接到预定的电子控制单元。以此方式，每个电子控制单元将能够与预定的传感器和促动器通过第二数据总线通信，其中所述传感器和促动器连接到一个或多个I/O单元。

在步骤220中，确定所有电子控制单元工作正常。这能够以多种不同的方式确定。在一个示例中，每个电子控制单元在第一数据总线上发出前述的心跳信号，且其它的电子控制单元监测此心跳信号。在该系统正常工作时，所述方法继续确定电子控制单元是否工作正常。如果检测到发生故障的电子控制单元，即，如果来自某一电子控制单元的心跳信号缺失，则所述方法继续到步骤230。

在步骤230中，该可编程开关将属于有故障的电子控制单元的收发器或多个收发器重连到选定的电子控制单元。同时，与发生故障的电子控制单元对应的不工作的程序代码在所述选定的电子控制单元中被激活。以此方式，所述选定的电子控制单元被连接到发生故障的电子控制单元的传感器和促动器，且所述选定的电子控制单元将能够执行发生故障的电子控制单元的功能。发生故障的电子控制单元的由所述选定的电子控制单元执行的功能可以是完整的功能或可以是缩减的功能。

在步骤240中，发出错误消息。所述错误消息例如可指示电子控制单元故障，且指示哪个电子控制单元故障。所述错误消息也可向驾驶员指示是否存在缩减的功能以及是否需要维修。对于不太重要的功能，发出数据表内的错误消息就足够了，在车辆的下一次常规维修中将读取该错误消息。

然后，方法可继续到步骤220，其中，确定被重连的一组电子控制单元是否正常工作。

不应认为本发明限于上述实施例，在所附的权利要求的范围内，可以有多种另外的变型和修改。

附图标号列表

1：设备

2：电控系统

3：电子控制单元

4：电子控制单元

5：电子控制单元

6：收发器

7：收发器

8：收发器

9：收发器

10：第一数据总线

11：第二数据总线

12：第二数据总线

13：第二数据总线

14：第二数据总线

15：I/O单元

16：可编程开关

17：开关输入

18：开关输入

19：开关输入

20：开关输入

21：开关输出

22：开关输出

23：开关输出

24：控制输入

25：控制输入

26：控制输入

100：电控系统

101：主数据总线

102：电子控制单元

103：电子控制单元

104：电子控制单元

105：传感器

106：促动器

107：I/O单元

108：I/O单元

109：子ECU

Claims (14)

1.一种用于在车辆电控系统(2)内提供冗余的设备(1)，包括：

-至少第一和第二电子控制单元(3、4、5)，所述第一和第二电子控制单元(3、4、5)通过第一数据总线(10)彼此连接，

-至少第一和第二收发器(6、7、8、9)，所述第一和第二收发器(6、7、8、9)均通过单独的第二数据总线(11、12、13、14)连接到一个或多个I/O单元(15)，以及

-可编程开关(16)，所述可编程开关(16)布置在所述电子控制单元(3、4、5)和所述收发器(6、7、8、9)之间，并且被构造为选择性地将所述第一和第二电子控制单元(3、4、5)与所述第一和第二收发器(6、7、8、9)互连，其中，所述可编程开关(16)被初始化而将所述第一和第二电子控制单元(3、4、5)分别与所述第一和第二收发器(6、7、8、9)互连，由此允许电子控制单元和I/O单元之间的通信，

其特征在于，基于所述第一和第二电子控制单元(3、4、5)中的每一个电子控制单元的故障状态以及所述第二电子控制单元(4)执行先前由当前有缺陷的第一电子控制单元(3)提供的功能的能力，所述第一和第二电子控制单元(3、4、5)控制由所述可编程开关(16)提供的额外的选择性重连。

2.根据权利要求1所述的设备，其特征在于，所述第一和第二电子控制单元(3、4、5)中的每一个电子控制单元的故障状态是基于从所述第一和第二电子控制单元(3、4、5)中的每一个电子控制单元接收到的控制信号，其中，缺失的控制信号表明了发生故障的电子控制单元。

3.根据前述权利要求中的任一项所述的设备，其特征在于，所述第二电子控制单元(4)包括适于执行所述第一电子控制单元(3)的所有功能的完整的程序代码集。

4.根据权利要求1和2中的任一项所述的设备，其特征在于，所述第二电子控制单元(4)包括适于执行所述第一电子控制单元(3)的缩减的功能的、缩减的程序代码集。

5.根据前述权利要求中的任一项所述的设备，其特征在于，所述I/O单元(15)通过CAN总线或LIN总线连接到所述收发器(6、7、8、9)。

6.根据前述权利要求中的任一项所述的设备，其特征在于，所述第一和第二收发器(6、7、8、9)和所述可编程开关(16)被集成到一个电子部件内。

7.根据前述权利要求中的任一项所述的设备，其特征在于，每个电子控制单元(3、4、5)均包括适于执行所述电子控制单元(3、4、5)中的任一个电子控制单元的功能的程序代码。

8.根据权利要求1至6中任一项所述的设备，其特征在于，每个电子控制单元(3、4、5)均包括适于执行所述电子控制单元(3、4、5)中的任一个电子控制单元的缩减的功能的程序代码。

9.根据权利要求1至6中任一项所述的设备，其特征在于，电子控制单元(3、4、5)包括适于执行预定数目的电子控制单元(3、4、5)的功能的程序代码。

10.根据前述权利要求中的任一项所述的设备，其特征在于，所述可编程开关(16)包括现场可编程门阵列(PFGA)。

11.一种车辆，其包括根据前述权利要求中的任一项所述的设备。

12.一种用于在车辆电控系统(2)内提供冗余的方法，所述车辆电控系统(2)包括：

-至少第一和第二电子控制单元(3、4、5)，所述第一和第二电子控制单元(3、4、5)通过第一数据总线(10)彼此连接，

-至少第一和第二收发器(6、7、8、9)，所述第一和第二收发器(6、7、8、9)均通过单独的第二数据总线(11、12、13、14)连接到一个或多个I/O单元(15)，以及

-可编程开关(16)，所述可编程开关(16)布置在所述电子控制单元(3、4、5)和所述收发器(6、7、8、9)之间，并且被构造为选择性地将所述第一和第二电子控制单元(3、4、5)与所述第一和第二收发器(6、7、8、9)互连，所述可编程开关由所述第一和第二电子控制单元(3、4、5)控制，

其特征在于，所述方法包括以下步骤：

-通过将所述第一和第二电子控制单元(3、4、5)分别与所述第一和第二收发器(6、7、8、9)互连来初始化所述车辆电控系统，由此允许电子控制单元和I/O单元之间的通信，和

-基于所述第一和第二电子控制单元(3、4、5)中的每一个电子控制单元的故障状态以及所述第二电子控制单元(4)执行先前由目前有缺陷的第一电子控制单元(3)提供的功能的能力，选择性地将所述第一收发器重连到所述第二电子控制单元。

13.一种计算机程序，所述计算机程序包括程序代码组件，当所述程序在计算机上运行时，所述程序代码组件执行权利要求12的所有步骤。

14.一种计算机程序产品，所述计算机程序产品包括存储在计算机可读介质上的程序代码组件，当所述程序产品在计算机上运行时，所述程序代码组件执行权利要求12的所有步骤。