CN110077420B - 一种自动驾驶控制系统和方法 - Google Patents

Abstract

本发明实施例提供了一种自动驾驶控制系统，包括：传感器集合，执行器集合，第一控制器，以及第二控制器；第一控制器，用于接收第一传感器发送的第一传感数据，根据第一传感数据生成第一控制指令，并将第一控制指令发送至第一执行器，以及在第二控制器故障时，执行预设第一安全操作；第二控制器，用于接收第二传感器发送的第二传感数据，根据第二传感数据生成第二控制指令，并将第二控制指令发送至第二执行器，以及在第一控制器故障时，执行预设第二安全操作。在本发明实施例保证了自动驾驶控制系统的安全性。并且将多个自动驾驶功能分配由不同的控制器负责，可以充分利用两个控制器的性能。

Description

一种自动驾驶控制系统和方法

技术领域

本发明涉及汽车技术领域，特别是涉及一种自动驾驶控制系统和一种自动驾驶控制方法。

背景技术

随着自动驾驶技术的发展，目前越来越多的汽车部署有高级驾驶辅助系统ADAS(Advanced Driving Assistant System)。

当前市面上的ADAS相关系统，大多将自动驾驶相关功能的域控制器做得安全等级低于执行器责任机构(如底盘域，动力域)，即将安全主责通过需求分解分配到电子稳定系统ESP(Electronic Stability Program)、电动助力转向系统EPS(Electric PowerSteering)、电动汽车整车控制器VCU(VehicleControl Unit)等控制器，同时将“驾驶员在故障下可顺利接管”这一需求做高安全级别设计。如图1所示为现有的自动驾驶控制系统的结构图，这种自动驾驶控制系统属于Fail-Safe架构，此架构下，在自动驾驶控制系统的控制链路产生故障时，会切断执行器或限制执行器的性能。此自动驾驶控制系统的安全逻辑是：当出现故障时，切断故障源，同时调整系统状态尽可能使驾驶员能顺利接管。

对于L2及以下系统，这种架构自动驾驶控制系统尚能保障安全；而对于高于L2的系统，当驾驶员脱离手脚控制，以及丢失了驾驶注意力时，依靠以驾驶员接管为主责的方式会不可靠。对于极端场景，如高速行驶中有前后车，或中高速转弯时有相邻车，若系统故障导致车辆失控，驾驶员在短期内无法恢复接管及控制，此时安全难以保障。

发明内容

鉴于上述问题，提出了本发明实施例以便提供一种克服上述问题或者至少部分地解决上述问题的一种自动驾驶控制系统和一种自动驾驶控制方法。

为了解决上述问题，本发明实施例公开了一种自动驾驶控制系统，包括：传感器集合，执行器集合，与所述传感器集合和所述执行器集合连接的第一控制器，以及与所述传感器集合和所述执行器集合连接的第二控制器；所述传感器集合包括与预设第一自动驾驶功能关联的第一传感器，以及与预设第二自动驾驶功能关联的第二传感器：所述执行器集合包括与所述预设第一自动驾驶功能关联的第一执行器，以及与所述预设第二自动驾驶功能关联的第二执行器；

所述第一控制器，用于接收所述第一传感器发送的第一传感数据，根据所述第一传感数据生成第一控制指令，并将所述第一控制指令发送至所述第一执行器，以及在所述第二控制器故障时，执行预设第一安全操作；所述第一执行器，用于根据所述第一控制指令执行所述预设第一自动驾驶功能；

所述第二控制器，用于接收所述第二传感器发送的第二传感数据，根据所述第二传感数据生成第二控制指令，并将所述第二控制指令发送至所述第二执行器，以及在所述第一控制器故障时，执行预设第二安全操作；所述第二执行器，用于根据所述第二控制指令执行所述预设第二自动驾驶功能。

可选地，所述第一传感器包括处于工作状态的第一工作传感器；所述第二传感器包括处于工作状态的第二工作传感器；所述第一执行器包括处于工作状态的第一工作执行器；所述第二执行器包括处于工作状态的第二工作执行器；

所述第一控制器包括第一自动驾驶模块；

所述第一自动驾驶模块包括：第一自动驾驶子模块，用于接收所述第一工作传感器发送的第一传感数据，并根据所述第一传感数据生成第一控制指令，以及将所述第一控制指令发送至所述第一工作执行器；

所述第二控制器包括第二自动驾驶模块；

所述第二自动驾驶模块包括：第二自动驾驶子模块，用于接收所述第二工作传感器发送的第二传感数据，并根据所述第二传感数据生成第二控制指令，以及将所述第二控制指令发送至所述第二工作执行器。

可选地，所述第一控制器还包括第一自动驾驶监控模块，所述第一自动驾驶监控模块包括：

第一自动驾驶监控子模块，用于监控所述第一自动驾驶模块是否发生故障；

所述第二控制器还包括第二自动驾驶监控模块，所述第二自动驾驶监控模块包括：

第二自动驾驶监控子模块，用于监控所述第二自动驾驶模块是否发生故障。

可选地，所述第一传感器还包括相对所述第一工作传感器冗余的处于备选状态的第一备选传感器；

和/或，所述第一执行器还包括相对所述第一工作执行器冗余的处于备选状态的第一备选执行器；

和/或，所述第二传感器还包括相对所述第二工作传感器冗余的处于备选状态的第二备选传感器；

和/或，所述第二执行器还包括相对所述第二工作执行器冗余的处于备选状态的第二备选执行器。

可选地，所述第一自动驾驶模块还包括第一故障诊断子模块，所述第二自动驾驶模块还包括第二故障诊断子模块；

在所述第一传感器还包括所述第一备选传感器时，所述第一故障诊断子模块，用于当所述第一工作传感器故障时，切换相应的第一备选传感器为工作状态；

在所述第一执行器还包括所述第一备选执行器时，所述第一故障诊断子模块，用于当所述第一工作执行器故障时，切换相应的第一备选执行器为工作状态；

在所述第二传感器还包括所述第二备选传感器时，所述第二故障诊断子模块，用于当所述第二工作传感器故障时，切换相应的第二备选传感器为工作状态；

在所述第二执行器还包括所述第二备选执行器时，所述第二故障诊断子模块，用于当所述第二工作执行器故障时，切换相应的第二备选执行器为工作状态。

可选地，所述第一自动驾驶监控模块还包括第三故障诊断子模块，所述第二自动驾驶监控模块还包括第四故障诊断子模块；

在所述第一传感器还包括所述第一备选传感器时，所述第三故障诊断子模块，用于当所述第一工作传感器故障时，切换相应的第一备选传感器为工作状态；

在所述第一执行器还包括所述第一备选执行器时，所述第三故障诊断子模块，用于当所述第一工作执行器故障时，切换相应的第一备选执行器为工作状态；

在所述第二传感器还包括所述第二备选传感器时，所述第四故障诊断子模块，用于当所述第二工作传感器故障时，切换相应的第二备选传感器为工作状态；

在所述第二执行器还包括所述第二备选执行器时，所述第四故障诊断子模块，用于当所述第二工作执行器故障时，切换相应的第二备选执行器为工作状态。

可选地，所述第一控制器还包括第一整体监控模块，所述第二控制器还包括第二整体监控模块；

所述第一整体监控模块包括：

第一本地监控子模块，用于监控所述第一控制器中的程序代码是否运行正常；

第一对端监控子模块，用于监控所述第二控制器是否故障；

所述第二整体监控模块，包括：

第二本地监控子模块，用于监控所述第二控制器中的程序代码是否运行正常；

第二对端监控子模块，用于监控所述第一控制器是否故障。

可选地，所述第一控制器还包括：

第一接管模块，用于在所述第二控制器宕机时，执行预设第一安全操作；或者，在所述第一控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第一安全操作：

所述第一自动驾驶模块故障、所述第一自动驾驶监控模块故障、所述第一整体监控模块故障、所述第一传感器故障、所述第一执行器故障；

所述第二控制器还包括：

第二接管模块，用于在所述第一控制器宕机时，进行预设第二安全操作；或者，在所述第二控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第二安全操作：

所述第二自动驾驶模块故障、所述第二自动驾驶监控模块故障、所述第二整体监控模块故障、所述第二传感器故障、所述第二执行器故障。

可选地，第一自动驾驶监控子模块，用于获取与所述第一自动驾驶子模块相同的第一传感数据，并采用所述第一传感数据以区别于所述第一自动驾驶子模块的算法，生成第三控制指令，并比较所述第一控制指令与所述第三控制指令，根据比较结果确定所述第一控制指令是否正常；

第二自动驾驶监控子模块，用于获取与所述第二自动驾驶子模块相同的第二传感数据，并采用所述第二传感数据以区别于所述第二自动驾驶子模块的算法，生成第四控制指令，并比较所述第二控制指令与所述第四控制指令，根据比较结果确定所述第二控制指令是否正常。

可选地，所述第一对端监控子模块，用于向所述第二整体监控模块发送预设第一提问信息；若接收到的由所述第二整体监控模块返回的第一答案信息与预设第一答案信息不一致，则确定所述第二整体监控模块故障；和/或，若在预设时间内未接收到所述第二整体监控模块返回的第一答案信息，则确定所述第二整体监控模块故障；

所述第二整体监控模块还包括：

第二答复子模块，用于接收所述第一对端监控子模块发送的所述预设第一提问信息，将所述预设第一提问信息发送至所述第二控制器的预设程序中，并将所述预设程序针对所述预设第一提问信息生成的第一答案信息进行组织，将组织后的第一答案信息发送至所述第一对端监控子模块。

可选地，所述第二对端监控子模块，用于向所述第一整体监控模块发送预设第二提问信息；若接收到的由所述第一整体监控模块返回的第二答案信息与预设第二答案信息不一致，则确定所述第一整体监控模块故障；和/或，若在预设时间内未接收到所述第一整体监控模块返回的第二答案信息，则确定所述第一整体监控模块故障；

所述第一整体监控模块还包括：

第一答复子模块，用于接收所述第二对端监控子模块发送的所述预设第二提问信息，将所述预设第二提问信息发送至所述第一控制器的预设程序中，并将所述预设程序针对所述预设第二提问信息生成的第二答案信息进行组织，将组织后的第二答案信息发送至所述第二对端监控子模块。

本发明实施例还公开了一种自动驾驶控制方法，应用于自动驾驶控制系统，所述自动驾驶控制系统包括传感器集合，执行器集合，与所述传感器集合和所述执行器集合连接的第一控制器，以及与所述传感器集合和所述执行器集合连接的第二控制器；所述传感器集合包括与预设第一自动驾驶功能关联的第一传感器，以及与预设第二自动驾驶功能关联的第二传感器：所述执行器集合包括与所述预设第一自动驾驶功能关联的第一执行器，以及与所述预设第二自动驾驶功能关联的第二执行器；

所述方法包括：

由所述第一控制器接收所述第一传感器发送的第一传感数据，根据所述第一传感数据生成第一控制指令，并将所述第一控制指令发送至所述第一执行器，以及在所述第二控制器故障时，执行预设第一安全操作；

由所述第一执行器根据所述第一控制指令执行所述预设第一自动驾驶功能；

由所述第二控制器接收所述第二传感器发送的第二传感数据，根据所述第二传感数据生成第二控制指令，并将所述第二控制指令发送至所述第二执行器，以及在所述第一控制器故障时，执行预设第二安全操作；

由所述第二执行器根据所述第二控制指令执行所述预设第二自动驾驶功能。

可选地，所述第一传感器包括处于工作状态的第一工作传感器；所述第二传感器包括处于工作状态的第二工作传感器；所述第一执行器包括处于工作状态的第一工作执行器；所述第二执行器包括处于工作状态的第二工作执行器；所述第一控制器包括第一自动驾驶模块，所述第一自动驾驶模块包括第一自动驾驶子模块；所述第二控制器包括第二自动驾驶模块，所述第二自动驾驶模块包括第二自动驾驶子模块；

所述由所述第一控制器接收所述第一传感器发送的第一传感数据，根据所述第一传感数据生成第一控制指令，并将所述第一控制指令发送至所述第一执行器，包括：

由所述第一自动驾驶子模块接收所述第一工作传感器发送的第一传感数据，并根据所述第一传感数据生成第一控制指令，以及将所述第一控制指令发送至所述第一执行器；

所述由所述第二控制器接收所述第二传感器发送的第二传感数据，根据所述第二传感数据生成第二控制指令，并将所述第二控制指令发送至所述第二执行器，包括：

由所述第二自动驾驶子模块接收所述第二工作传感器发送的第二传感数据，并根据所述第二传感数据生成第二控制指令，以及将所述第二控制指令发送至所述第二执行器。

可选地，所述第一控制器还包括第一自动驾驶监控模块，所述第一自动驾驶监控模块包括第一自动驾驶监控子模块；所述第二控制器还包括第二自动驾驶监控模块，所述第二自动驾驶监控模块包括第二自动驾驶监控子模块；

所述方法还包括：

由所述第一自动驾驶监控子模块监控所述第一自动驾驶模块是否发生故障；

由所述第二自动驾驶监控子模块监控所述第二自动驾驶模块是否发生故障。

可选地，所述第一控制器还包括第一整体监控模块，所述第一整体监控模块包括第一本地监控子模块和第一对端监控子模块；所述第二控制器还包括第二整体监控模块，所述第二整体监控模块包括第二本地监控子模块和第二本地监控子模块；

所述方法还包括：

由所述第一本地监控子模块监控所述第一控制器中的程序代码是否运行正常；

由所述第一对端监控子模块监控所述第二控制器是否故障；

由所述第二本地监控子模块监控所述第二控制器中的程序代码是否运行正常；

由所述第二对端监控子模块监控所述第一控制器是否故障。

可选地，所述第一控制器还包括第一接管模块，所述第二控制器还包括第二接管模块；

所述方法还包括：

由所述第一接管模块在所述第二控制器宕机时，执行预设第一安全操作；或者，在所述第一控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第一安全操作：所述第一自动驾驶模块故障、所述第一自动驾驶监控模块故障、所述第一整体监控模块故障、所述第一传感器故障、所述第一执行器故障；

由所述第二接管模块在所述第一控制器宕机时，进行预设第二安全操作；或者，在所述第二控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第二安全操作：所述第二自动驾驶模块故障、所述第二自动驾驶监控模块故障、所述第二整体监控模块故障、所述第二传感器故障、所述第二执行器故障。

本发明实施例还公开了一种自动驾驶控制系统，包括：传感器集合，执行器集合，与所述传感器集合和所述执行器集合连接的第一控制器，以及与所述传感器集合和所述执行器集合连接的第二控制器；所述传感器集合包括与预设自动驾驶功能关联的传感器：所述执行器集合包括与所述预设自动驾驶功能关联的执行器；

所述第一控制器，用于接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器；

所述第二控制器，用于在所述第一控制器故障时，接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器；所述执行器，用于根据所述控制指令执行所述预设自动驾驶功能。

可选地，所述传感器包括处于工作状态的工作传感器；所述执行器包括处于工作状态的工作执行器；

所述第一控制器包括第一自动驾驶模块；

所述第一自动驾驶模块包括：第一自动驾驶子模块，用于接收所述工作传感器发送的传感数据，并根据所述传感数据生成控制指令，以及将所述控制指令发送至所述工作执行器；

所述第二控制器包括第二自动驾驶模块；

所述第二自动驾驶模块包括：第二自动驾驶子模块，用于在所述第一自动驾驶子模块故障时，接收所述工作传感器发送的传感数据，并根据所述传感数据生成控制指令，以及将所述控制指令发送至所述工作执行器。

可选地，所述第一控制器还包括第一自动驾驶监控模块，所述第一自动驾驶监控模块包括：

第一自动驾驶监控子模块，用于监控所述第一自动驾驶模块是否发生故障；

所述第二控制器还包括第二自动驾驶监控模块，所述第二自动驾驶监控模块包括：

第二自动驾驶监控子模块，用于监控所述第二自动驾驶模块是否发生故障。

可选地，所述传感器还包括相对所述工作传感器冗余的处于备选状态的备选传感器；

和/或，所述执行器还包括相对所述工作执行器冗余的处于备选状态的备选执行器。

可选地，所述第一自动驾驶模块还包括第一故障诊断子模块，所述第二自动驾驶模块还包括第二故障诊断子模块；

在所述传感器还包括所述备选传感器时，所述第一故障诊断子模块，用于当所述工作传感器故障时，切换相应的备选传感器为工作状态；

在所述执行器还包括所述备选执行器时，所述第一故障诊断子模块，用于当所述工作执行器故障时，切换相应的备选执行器为工作状态；

在所述传感器还包括所述备选传感器时，所述第二故障诊断子模块，用于在所述第一故障诊断子模块故障下，当所述工作传感器故障时，切换相应的备选传感器为工作状态；

在所述执行器还包括所述备选执行器时，所述第二故障诊断子模块，用于在所述第一故障诊断子模块故障下，当所述工作执行器故障时，切换相应的备选执行器为工作状态。

可选地，所述第一自动驾驶监控模块还包括第三故障诊断子模块，所述第二自动驾驶监控模块还包括第四故障诊断子模块；

在所述传感器还包括所述备选传感器时，第三故障诊断子模块，用于当所述工作传感器故障时，切换相应的备选传感器为工作状态；

在所述执行器还包括所述备选执行器时，第三故障诊断子模块，用于当所述工作执行器故障时，切换相应的备选执行器为工作状态；

在所述传感器还包括所述备选传感器时，第四故障诊断子模块，用于在所述第三故障诊断子模块故障下，当所述工作传感器故障时，切换相应的备选传感器为工作状态；

在所述执行器还包括所述备选执行器时，第四故障诊断子模块，用于在所述第三故障诊断子模块故障下，当所述工作执行器故障时，切换相应的备选执行器为工作状态。

可选地，所述第一控制器还包括第一整体监控模块，所述第二控制器还包括第二整体监控模块；

所述第一整体监控模块包括：

第一本地监控子模块，用于监控所述第一控制器中的程序代码是否运行正常；

第一对端监控子模块，用于监控所述第二控制器是否故障；

所述第二整体监控模块，包括：

第二本地监控子模块，用于监控所述第二控制器中的程序代码是否运行正常；

第二对端监控子模块，用于监控所述第一控制器是否故障。

可选地，所述第一控制器还包括：

第一接管模块，用于在所述第一控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第一安全操作：

所述第一自动驾驶模块故障、所述第一自动驾驶监控模块故障、所述第一整体监控模块故障、所述传感器故障、所述执行器故障；

所述第二控制器还包括：

第二接管模块，用于在所述第一控制器宕机时，进行预设第二安全操作；或者，在所述第二控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第二安全操作：

所述第二自动驾驶模块故障、所述第二自动驾驶监控模块故障、所述第二整体监控模块故障、所述传感器故障、所述执行器故障。

本发明实施例还公开了一种自动驾驶控制方法，应用于自动驾驶控制系统，所述自动驾驶控制系统包括：传感器集合，执行器集合，与所述传感器集合和所述执行器集合连接的第一控制器，以及与所述传感器集合和所述执行器集合连接的第二控制器；所述传感器集合包括与预设自动驾驶功能关联的传感器：所述执行器集合包括与所述预设自动驾驶功能关联的执行器；所述方法包括：

由所述第一控制器接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器；

由所述第二控制器在所述第一控制器故障时，接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器；

由执行器根据所述控制指令执行所述预设自动驾驶功能。

可选地，所述传感器包括处于工作状态的工作传感器；

所述执行器包括处于工作状态的工作执行器；

所述第一控制器包括第一自动驾驶模块，所述第一自动驾驶模块包括第一自动驾驶子模块，所述第二控制器包括第二自动驾驶模块，所述第二自动驾驶模块包括第二自动驾驶子模块；

所述由所述第一控制器接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器，包括：

由所述第一自动驾驶子模块接收所述工作传感器发送的传感数据，并根据所述传感数据生成控制指令，以及将所述控制指令发送至所述工作执行器；

所述由所述第二控制器在所述第一控制器故障时，接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器，包括：

由所述第二自动驾驶子模块在所述第一自动驾驶子模块故障时，接收所述工作传感器发送的传感数据，并根据所述传感数据生成控制指令，以及将所述控制指令发送至所述工作执行器。

可选地，所述第一控制器还包括第一自动驾驶监控模块，所述第一自动驾驶监控模块包括第一自动驾驶监控子模块；所述第二控制器还包括第二自动驾驶监控模块，所述第二自动驾驶监控模块包括第二自动驾驶监控子模块；

所述方法还包括：

由所述第一自动驾驶监控子模块监控所述第一自动驾驶模块是否发生故障；

由所述第二自动驾驶监控子模块监控所述第二自动驾驶模块是否发生故障。

可选地，所述第一控制器还包括第一整体监控模块，所述第一整体监控模块包括第一本地监控子模块和第一对端监控子模块；所述第二控制器还包括第二整体监控模块，所述第二整体监控模块包括：第二本地监控子模块和第二对端监控子模块；

所述方法还包括：

由所述第一本地监控子模块监控所述第一控制器中的程序代码是否运行正常；

由所述第一对端监控子模块监控所述第二控制器是否故障；

由所述第二本地监控子模块监控所述第二控制器中的程序代码是否运行正常；

由所述第二对端监控子模块监控所述第一控制器是否故障。

可选地，所述第一控制器还包括第一接管模块，所述第二控制器还包括第二接管模块；

所述方法还包括：

由所述第一接管模块在所述第一控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第一安全操作：所述第一自动驾驶模块故障、所述第一自动驾驶监控模块故障、所述第一整体监控模块故障、所述传感器故障、所述执行器故障；

由所述第二接管模块在所述第一控制器宕机时，进行预设第二安全操作；或者，在所述第二控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第二安全操作：所述第二自动驾驶模块故障、所述第二自动驾驶监控模块故障、所述第二整体监控模块故障、所述传感器故障、所述执行器故障。

本发明实施例包括以下优点：

在本发明实施例中，自动驾驶控制系统包括第一控制器和第二控制器，第一控制器在无故障时负责控制第一自动驾驶功能，第二控制器在无故障时负责控制第二自动驾驶功能。在一个控制器故障时，能由另一个控制器接管控制发生故障的控制器所负责的自动驾驶功能，保证了自动驾驶控制系统的安全性。并且将多个自动驾驶功能分配由不同的控制器负责，可以充分利用两个控制器的性能。

附图说明

图1是现有的自动驾驶控制系统的结构图；

图2是本发明的一种自动驾驶控制系统实施例一的结构图；

图3是本发明实施例中一种自动驾驶控制系统示例的结构图；

图4是本发明实施例中第一对端监控子模块的工作流程的示意图；

图5是本发明实施例中第一控制器的工作流程图；

图6是本发明的一种自动驾驶控制方法实施例一的步骤流程图；

图7是本发明的一种自动驾驶控制系统实施例二的结构图；

图8是本发明实施例中另一种自动驾驶控制系统示例的结构图；

图9是本发明的一种自动驾驶控制方法实施例二的步骤流程图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

参照图2，示出了本发明的一种自动驾驶控制系统实施例一的结构图，具体可以包括：传感器集合10，执行器集合11，与所述传感器集合10和所述执行器集合11连接的第一控制器12，以及与所述传感器集合10和所述执行器集合11连接的第二控制器13；所述传感器集合10包括与预设第一自动驾驶功能关联的第一传感器101，以及与预设第二自动驾驶功能关联的第二传感器102：所述执行器集合11包括与所述预设第一自动驾驶功能关联的第一执行器111，以及与所述预设第二自动驾驶功能关联的第二执行器112；

所述第一控制器12，用于接收所述第一传感器101发送的第一传感数据，根据所述第一传感数据生成第一控制指令，并将所述第一控制指令发送至所述第一执行器111，以及在所述第二控制器13故障时，执行预设第一安全操作；预设第一安全操作可以是保证汽车能正常行驶的操作。

所述第一执行器111用于根据所述第一控制指令执行所述预设第一自动驾驶功能；

所述第二控制器13，用于接收所述第二传感器102发送的第二传感数据，根据所述第二传感数据生成第二控制指令，并将所述第二控制指令发送至所述第二执行器112，以及在所述第一控制器12故障时，执行预设第二安全操作；预设第二安全操作可以是保证汽车能正常行驶的操作。

所述第二执行器112用于根据所述第二控制指令执行所述预设第二自动驾驶功能。

在本发明实施例的自动驾驶控制系统可以实现多种自动驾驶功能，按功能类别划分，可以包括自动巡航类功能、方向控制类功能、自动泊车类功能。

自动巡航类功能可以包括：常规自动巡航及其变种，例如自适应巡航，弯道巡航，跟随巡航，弯道自适应巡航等。

方向控制类功能可以包括：自动变道，车道保持，车道居中等。

自动泊车类功能可以包括：全自动泊车，钥匙泊车，远程泊车，记忆泊车等。

在本发明实施例中，可以将自动驾驶功能划分为预设第一自动驾驶功能与预设第二自动驾驶功能。

第一控制器12负责预设第一自动驾驶功能，第二控制器13负责预设第二自动驾驶功能.预设第一自动驾驶功能和预设第二自动驾驶功能可以是所有的自动驾驶功能的一部分或全部。

第一自动驾驶功能具体包括哪些可以按照出厂时的默认设置设定，也可以在使用过程中，根据车辆的具体车况调整。例如，在检测到第一控制器12正常，第二控制器13故障；预设第一自动驾驶功能可以是所有的自动驾驶功能，而第二自动驾驶功能则不包括任何功能。

在一种示例中，划分方式可以是按照功能所需要的算力来划分，例如，将算力要求相对较高的功能(如，自动巡航功能、方向控制功能)划分为预设第一自动驾驶功能，将算力要求相对较低的功能(如，自动泊车)划分为预设第二自动驾驶功能。具体的算力划分标准，可以根据实际的硬件性能来划分，也可以根据实际需求划分，本发明实施例对此不做限定。

在另一种示例中，划分方式还可以是按照功能的安全级别来划分，例如，将安全级别相对较高的功能划分为预设第一自动驾驶功能，将安全级别相对较低的功能划分为预设第二自动驾驶功能。具体的安全级别划分方式可以根据实际需求划分，本发明实施例对此不做限定。

第一传感器101是指实现第一自动驾驶功能所需的传感器，第二传感器102是指实现第二自动驾驶功能所需的传感器。

例如，若控制器需要实现自动巡航功能，需要执行高清摄像头感知、激光雷达感知、图像处理、高精地图定位、传感器融合、深度学习等操作，需要前方多目高清摄像头，车周高清摄像头，高精地图模块，激光雷达，前毫米波雷达，角毫米波雷达等传感器；

又例如，若控制需要实现自动泊车功能，需要执行超声波雷达感知、障碍物识别等操作，需要超声波雷达，环视摄像头，IMU/GNSS惯导等传感器。

第一传感器101和第二传感器102是以所关联的自动驾驶功能进行区别描述，并不表示第一传感器101和第二传感器102是两种不同类型的传感器。第一传感器101和第二传感器102之间可以具有重合的传感器。

第一执行器111是指实现第一自动驾驶功能所需的执行器，第二执行器112是指实现第二自动驾驶功能所需的执行器。

例如，第一执行器111或第二执行器112可以包括ESP、EPS、iboost、VCU等。

第一执行器111和第二执行器112是以所关联的自动驾驶功能进行区别描述，并不表示第一执行器111和第二执行器112是两种不同类型的执行器。第一执行器111和第二执行器112之间可以具有重合的执行器。

在本发明实施例中，第一控制器12和第二控制器13在正常工作状态下，可以分别实现不同的自动驾驶功能。在第一控制器12故障时，第二控制器13可以接管第一控制器12所负责的至少一部分功能；同样，在第二控制器13故障时，第一控制器12可以接管第二控制器13所负责的至少一部分功能；当第一控制器12或者第二控制器13故障时，另一个控制器至少能接管可保障安全的最小功能集合，例如，横向控制功能和纵向控制功能。

第一控制器12和第二控制器13可以选用对等(例如，性能、成本、安全级别对等)的控制器、也可以选用不对等的控制器。

在采用算力不对等的两个控制器时，可以由算力高的控制器负责算力要求高的自动驾驶功能，由算力低的控制器负责算力要求低的自动驾驶功能。

在采用安全级别不对等的两个控制器时，可以由安全级别高的控制器负责安全级别高的自动驾驶功能，由安全级别低的控制器负责安全级别低的自动驾驶功能。

第一控制器12和第二控制器13在布线上可以完全对等布线，在完全对等布线时，第一控制器12和第二控制器13都可以与传感器集合10的各个传感器和执行器集合11的各个执行器连接。第一控制器12在无故障时，可以只接收第一传感器101的第一传感数据，而无需接收其他传感器的传感数据。第二控制器13在无故障时，可以只接收第二传感器102的第二传感数据，而无需接收其他传感器的传感数据。

第一控制器12和第二控制器13在布线上也可以不对等布线，在不对等布线时，第一控制器12只需要与第一传感器101和第一执行器111连接，第二控制器13只需要与第二传感器102和第二执行器112连接。

在本发明实施例中，第一控制器12还可以在第二控制器13故障时，执行预设第一安全操作，接管第二控制器13所负责的至少一部分自动驾驶功能；

第二控制器13还可以在第一控制器12故障时，执行预设第二安全操作，接管第一控制器12所负责的至少一部分自动驾驶功能。

在本发明实施例中，自动驾驶控制系统包括第一控制器12和第二控制器13，第一控制器12在无故障时负责控制第一自动驾驶功能，第二控制器13在无故障时负责控制第二自动驾驶功能。在一个控制器故障时，能由另一个控制器接管控制发生故障的控制器所负责的自动驾驶功能，保证了自动驾驶控制系统的安全性。并且将多个自动驾驶功能分配由不同的控制器负责，可以充分利用两个控制器的性能。

在本发明实施例中，所述第一传感器101包括处于工作状态的第一工作传感器；

所述第二传感器102包括处于工作状态的第二工作传感器；

所述第一执行器111包括处于工作状态的第一工作执行器；

所述第二执行器112包括处于工作状态的第二工作执行器。

所述第一传感器101还包括相对所述第一工作传感器冗余的处于备选状态的第一备选传感器；

和/或，所述第一执行器111还包括相对所述第一工作执行器冗余的处于备选状态的第一备选执行器；

和/或，所述第二传感器102还包括相对所述第二工作传感器冗余的处于备选状态的第二备选传感器；

和/或，所述第二执行器112还包括相对所述第二工作执行器冗余的处于备选状态的第二备选执行器。

第一传感器101中的第一工作传感器和第一备选传感器是基于使用状态进行区别描述的；第二传感器102中的第二工作传感器和第二备选传感器是基于使用状态进行区别描述的，并非指总共有四套不同职责的传感器。

第一执行器111中的第一工作执行器和第一备选执行器是基于使用状态进行区别描述的；第二执行器112中的第二工作执行器和第二备选执行器是基于使用状态进行区别描述的，并非指总共有四套不同职责的执行器。

这种区分是指：任意一个第一或第二自动驾驶控制链路(传感器/执行器)发生故障时，负责当前安全操作的第一接管模块或第二接管模块能找到一套备选的控制链路(传感器/执行器)执行安全操作。

本发明实施例中，传感器和执行器均采用冗余配置，冗余配置方式可以包括两种：

第一种是配置主传感器和辅传感器，配置主执行器和辅执行器。

主传感器和主执行器可以选用性能、成本高的设备，辅传感器和辅执行器可以选用性能、成本低，但仍能满足功能需求的设备。在正常状态下，优先将主传感器/主执行器配置为处于工作状态，只有在故障状态下，才使用辅传感器/辅执行器，

第二种是配置对等的传感器和执行器。在正常状态和故障状态下，都可以从冗余的传感器和执行器中，选择合适的设备。这种对等配置方式，适用于汽车已经配置了许多冗余传感器和执行器的情况下。

在实际中，可以根据汽车的实际情况，选择传感器和执行器的冗余配置方式。

以下，以图3对本发明实施例的自动驾驶控制系统进行进一步的说明，参照图3所示为本发明实施例中一种自动驾驶控制系统示例的结构图。

其中，第一控制器12可以包括第一自动驾驶模块121，所述第一自动驾驶模块121可以包括：

第一自动驾驶子模块，用于接收所述第一工作传感器发送的第一传感数据，并根据所述第一传感数据生成第一控制指令，以及将所述第一控制指令发送至所述第一工作执行器；

所述第二控制器13可以包括第二自动驾驶模块131，所述第二自动驾驶模块131可以包括：

第二自动驾驶子模块，用于接收所述第二工作传感器发送的第二传感数据，并根据所述第二传感数据生成第二控制指令，以及将所述第二控制指令发送至所述第二工作执行器。

例如，第一传感数据和第二传感数据可以包括：

目标物体(包括车、人、动物、障碍物等)数据，可以包括距离、相对速度、加速度、坐标等；

自车数据，可以包括速度、纵向加速度、横向加速度、横摆率、定位坐标等；

车道数据，可以包括车道线离本车中心的距离、车道曲率，车道坐标等。

第一控制指令和第二控制指令可以包括：加速度控制指令、加速扭矩控制指令、减速度控制指令、减速扭矩控制指令、转向角控制指令、转向扭矩控制指令、挡位控制指令等等。

如图3所示，所述第一控制器12还可以包括第一自动驾驶监控模块122，所述第一自动驾驶监控模块122可以包括：

第一自动驾驶监控子模块，用于监控所述第一自动驾驶模块121是否发生故障；

具体的，第一自动驾驶监控子模块，用于获取与所述第一自动驾驶子模块相同的第一传感数据，并采用所述第一传感数据以区别于所述第一自动驾驶子模块的算法，生成第三控制指令，并比较所述第一控制指令与所述第三控制指令，根据比较结果确定所述第一控制指令是否正常；若第一控制指令异常，则确定第一自动驾驶模块121发生故障。

其中，第三控制指令并不用于控制执行器，仅仅用于与第一控制指令进行比较。若第一控制指令与第三控制指令不相同，或者第一控制指令与第三控制指令相差超过预设阈值，则第一自动驾驶监控子模块可以确定第一控制指令异常。

在本发明实施例中，第一自动驾驶监控子模块采用与第一自动驾驶子模块不同的算法来计算控制指令；例如，第一自动驾驶子模块可以以优先考虑复杂度的算法，采用第一传感数据生成第一控制指令。第一自动驾驶监控子模块可以以优先考虑安全级别的算法，采用第一传感数据生成第三控制指令。

所述第二控制器13还可以包括第二自动驾驶监控模块132，第二自动驾驶监控模块132可以包括：

第二自动驾驶监控子模块，用于监控所述第二自动驾驶模块131是否发生故障。

具体的，第二自动驾驶监控子模块，用于获取与所述第二自动驾驶子模块相同的第二传感数据，并采用所述第二传感数据以区别于所述第二自动驾驶子模块的算法，生成第四控制指令，并比较所述第二控制指令与所述第四控制指令，根据比较结果确定所述第二控制指令是否正常；若第二指令异常，则确定第二自动驾驶模块131发生故障。

其中，第四控制指令并不用于控制执行器，仅仅用于与第二控制指令进行比较。若第二控制指令与第四控制指令不相同，或者第二控制指令与第四控制指令相差超过预设阈值，则第二自动驾驶监控子模块可以确定第二控制指令异常。

在本发明实施例中，第二自动驾驶监控子模块采用与第二自动驾驶子模块不同的算法来计算控制指令；

例如，第二自动驾驶子模块可以以优先考虑复杂度的算法，采用第二传感数据生成第二控制指令。第二自动驾驶监控子模块可以以优先考虑安全级别的算法，采用第二传感数据生成第四控制指令。

在本发明实施例中，可以由第一自动驾驶模块121，和/或，由第一自动驾驶监控模块122，对第一工作传感器和第一工作执行器进行诊断，判断第一工作传感器和第一工作执行器是否发生故障。

由第二自动驾驶模块131，和/或，由第二自动驾驶监控模块132，对第二工作传感器和第二工作执行器进行诊断，判断第二工作传感器和第二工作执行器是否发生故障。

在一种示例中，所述第一自动驾驶模块121还可以包括第一故障诊断子模块：

在所述第一传感器101还包括所述第一备选传感器时，第一故障诊断子模块，用于当所述第一工作传感器故障时，切换相应的第一备选传感器为工作状态；

在所述第一执行器111还包括所述第一备选执行器时，所述第一故障诊断子模块，用于当所述第一工作执行器故障时，切换相应的第一备选执行器为工作状态；

具体的，由第一故障诊断子模块对第一工作传感器和第一工作执行器进行诊断，判断第一工作传感器和第一工作执行器是否发生故障。当第一工作传感器故障时，断开发生故障的第一工作传感器，切换相应的第一备选传感器为工作状态；当第一工作执行器故障时，断开发生故障的第一工作执行器，切换相应的第一备选执行器为工作状态。

所述第二自动驾驶模块131还可以包括第二故障诊断子模块：

在所述第二传感器102还包括所述第二备选传感器时，第二故障诊断子模块，用于当所述第二工作传感器故障时，切换相应的第二备选传感器为工作状态；

在所述第二执行器112还包括所述第二备选执行器时，所述第二故障诊断子模块，用于当所述第二工作执行器故障时，切换相应的第二备选执行器为工作状态。

具体的，由第二故障诊断子模块，对第二工作传感器和第二工作执行器进行诊断，判断第二工作传感器和第二工作执行器是否发生故障。当第二工作传感器故障时，断开发生故障的第二工作传感器，切换相应的第二备选传感器为工作状态；当第二工作执行器故障时，断开发生故障的第二工作执行器，切换相应的第二备选执行器为工作状态。

在另一种示例中，所述第一自动驾驶监控模块122还可以包括：第三故障诊断子模块；

在所述第一传感器101还包括所述第一备选传感器时，第三故障诊断子模块，用于当所述第一工作传感器故障时，切换相应的第一备选传感器为工作状态；

在所述第一执行器111还包括所述第一备选执行器时，所述第三故障诊断子模块，用于当所述第一工作执行器故障时，切换相应的第一备选执行器为工作状态；

具体的，由第三故障诊断子模块，对第一工作传感器和第一工作执行器进行诊断，判断第一工作传感器和第一工作执行器是否发生故障。当第一工作传感器故障时，断开发生故障的第一工作传感器，切换相应的第一备选传感器为工作状态；当第一工作执行器故障时，断开发生故障的第一工作执行器，切换相应的第一备选执行器为工作状态。

所述第二自动驾驶监控模块132还可以包括：第四故障诊断子模块；

在所述第二传感器102还包括所述第二备选传感器时，第四故障诊断子模块，用于当所述第二工作传感器故障时，切换相应的第二备选传感器为工作状态；

在所述第二执行器112还包括所述第二备选执行器时，所述第四故障诊断子模块，用于当所述第二工作执行器故障时，切换相应的第二备选执行器为工作状态。

具体的，由第四故障诊断子模块，对第二工作传感器和第二工作执行器进行诊断，判断第二工作传感器和第二工作执行器是否发生故障。当第二工作传感器故障时，断开发生故障的第二工作传感器，切换相应的第二备选传感器为工作状态；当第二工作执行器故障时，断开发生故障的第二工作执行器，切换相应的第二备选执行器为工作状态。

如图3所示，所述第一控制器12还可以包括第一整体监控模块123，所述第二控制器13还可以包括第二整体监控模块133；

所述第一整体监控模块123可以包括：

第一本地监控子模块，用于监控所述第一控制器12中的程序代码是否运行正常；

第一对端监控子模块，用于监控所述第二控制器13是否故障；

所述第二整体监控模块133，包括：

第二本地监控子模块，用于监控所述第二控制器13中的程序代码是否运行正常；

第二对端监控子模块，用于监控所述第一控制器12是否故障。

参照图4所示为本发明实施例中第一对端监控子模块的工作流程的示意图。所述第一对端监控子模块，用于向所述第二整体监控模块133发送预设第一提问信息；若接收到的由所述第二整体监控模块133返回的第一答案信息与预设第一答案信息不一致，则确定所述第二整体监控模块133故障；和/或，若在预设时间内未接收到所述第二整体监控模块133返回的第一答案信息，则确定所述第二整体监控模块133故障；

所述第二整体监控模块133还可以包括：

第二答复子模块，用于接收所述第一对端监控子模块发送的所述预设第一提问信息，将所述预设第一提问信息发送至所述第二控制器13的预设程序中，并将所述预设程序针对所述预设第一提问信息生成的第一答案信息进行组织，将组织后的第一答案信息发送至所述第一对端监控子模块。

具体的，第一对端监控子模块向第二整体监控模块133发送预设第一提问信息，第二整体监控模块133中需要被监控的程序在收到第一提问信息后，按照事先约定好的解答算法，算出第一答案信息。第二答复子模块，可以将各个软件算出的第一答案信息进行综合组织，形成一个整体的第一答案信息。第二答复子模块需要在接收到第一提问信息之后规定的时间内，返回第一答案信息；若超出规定的时间才返回第一答案信息，会被第一对端监控子模块判断第二整体监控模块133的软件运行故障。若未返回第一答案信息，则会被第一对端监控子模块判断第二整体监控模块133宕机。

第一对端监控子模块存储有与第一提问信息对应的预设答案信息。若第一答案信息与预设答案信息一致，表示第二控制器13中的程序正常运行；若不一致，表示第二控制器13中的程序运行出错。

进一步的，所述第二对端监控子模块，用于向所述第一整体监控模块123发送预设第二提问信息；若接收到的由所述第一整体监控模块123返回的第二答案信息与预设第二答案信息不一致，则确定所述第一整体监控模块123故障；和/或，若在预设时间内未接收到所述第一整体监控模块123返回的第二答案信息，则确定所述第一整体监控模块123故障；

所述第一整体监控模块123还可以包括：

第一答复子模块，用于接收所述第二对端监控子模块发送的所述预设第二提问信息，将所述预设第二提问信息发送至所述第一控制器12的预设程序中，并将所述预设程序针对所述预设第二提问信息生成的第二答案信息进行组织，将组织后的第二答案信息发送至所述第二对端监控子模块。

如图3所示，所述第一控制器12还可以包括：

第一接管模块124，用于在所述第二控制器13宕机时，执行预设第一安全操作；或者，在所述第一控制器12未宕机的情况下，当出现以下至少一种情况时，执行预设第一安全操作：

所述第一自动驾驶模块121故障、所述第一自动驾驶监控模块122故障、所述第一整体监控模块123故障、所述第一传感器101故障、所述第一执行器111故障。

其中，预设第一安全操作具体可以包括：确定并断开发生故障的第一工作传感器或第一工作执行器；切换相应的第一备选传感器或第一备选执行器为工作状态，进一步的可以控制第一备选传感器或第一备选执行器在性能受限的情况下工作；将故障信息(故障原因、故障时间)存储到非易失性存储器。

所述第二控制器13还包括：

第二接管模块134，用于在所述第一控制器12宕机时，进行预设第二安全操作；或者，在所述第二控制器13未宕机的情况下，当出现以下至少一种情况时，执行预设第二安全操作：

所述第二自动驾驶模块131故障、所述第二自动驾驶监控模块132故障、所述第二整体监控模块133故障、所述第二传感器102故障、所述第二执行器112故障。

其中，预设第二安全操作具体可以包括：确定并断开发生故障的第二工作传感器或第二工作执行器；切换相应的第二备选传感器或第二备选执行为工作状态，进一步的可以控制第二备选传感器或第二备选执行器在性能受限的情况下工作；将故障信息(故障原因、故障时间)存储到非易失性存储器。

第一接管模块124和第二接管模块134，都可以称为故障-运行Fail-Operation模块，意思为在发生故障时，仍能使整车运行(而不是关断，停车)的控制模块。

在实际中，Fail-Operation不单单指某个具体的模块，而是对故障后的故障处理方式的定义，属于一种系统性的要求，具有这种处理方式的系统可以称Fail-Operation系统。

以下，以第一控制器为例介绍第一控制器的工作流程，第二控制器的工作流程与第一控制器的工作流程相似。参照图5所示为本发明实施例中第一控制器的工作流程图。

S1、第一控制器未宕机时，第一整体监控模块监控所述第一控制器中的程序代码是否运行出错；若第一控制器中的程序代码运行正常，则执行S2；否则执行S6；

S2、第一自动驾驶模块和/或第一自动驾驶监控模块对传感器进行诊断，判断是否出现故障；若传感器未发生故障则执行S3；否则执行S6；

S3、第一自动驾驶模块和/或第一自动驾驶监控模块对执行器进行诊断，判断是否出现故障；若执行器未发生故障则执行S4；否则执行S6；

S4、第一自动驾驶监控模块对第一自动驾驶模块进行诊断，判断是否出现故障；若第一自动驾驶模块未发生故障则执行S5，否则执行S6；

S5、第一整体监控模块对第二整体监控模块进行诊断，判断是否出现故障；若第二整体监控模块未发生故障；返回执行S1；否则执行S6；

S6、通知第一接管模块，由第一接管模块进行预设第一安全操作；

S7、第一接管模块判断是否有驾驶员操作；若有驾驶员操作，则通知驾驶员接管；若无驾驶员操作，则第一接管模块继续执行控制；

S8、第一接管模块确定驾驶员是否实际已经接管；若驾驶员未实际接管，则第一接管模块继续执行控制；若驾驶员实际已接管，则退出自动驾驶。

在本发明实施例中，第一控制器设置为三层监控架构，第一层的第一自动驾驶模块实现基本的自动驾驶功能；第二层的第一自动驾驶监控模块对第一自动驾驶模块进行监控；第三层的第一整体监控模块可以对第一控制器中的所有程序进行监控，以及对第二整体监控模块进行监控。

第一自动驾驶模块和第一自动驾驶监控模块都可以实现对传感器和执行器的诊断。

第一接管模块，可以在第一自动驾驶模块、或者第一自动驾驶监控模块、或者第一整体监控模块或者第一传感器、或者第一执行器故障时，或者在第二控制器宕机时，进行预设第一安全操作，进一步保障自动驾驶功能的安全性。

参照图6，示出了本发明的一种自动驾驶控制方法实施例一的步骤流程图，所述自动驾驶控制方法应用于自动驾驶控制系统，所述自动驾驶控制系统包括传感器集合，执行器集合，与所述传感器集合和所述执行器集合连接的第一控制器，以及与所述传感器集合和所述执行器集合连接的第二控制器；所述传感器集合包括与预设第一自动驾驶功能关联的第一传感器，以及与预设第二自动驾驶功能关联的第二传感器：所述执行器集合包括与所述预设第一自动驾驶功能关联的第一执行器，以及与所述预设第二自动驾驶功能关联的第二执行器；

所述方法包括：

步骤201，由所述第一控制器接收所述第一传感器发送的第一传感数据，根据所述第一传感数据生成第一控制指令，并将所述第一控制指令发送至所述第一执行器，以及在所述第二控制器故障时，执行预设第一安全操作；

在本发明实施例中，所述第一传感器包括处于工作状态的第一工作传感器；所述第二传感器包括处于工作状态的第二工作传感器；所述第一执行器包括处于工作状态的第一工作执行器；所述第二执行器包括处于工作状态的第二工作执行器；

所述第一控制器包括第一自动驾驶模块，所述第一自动驾驶模块包括第一自动驾驶子模块；

所述由所述第一控制器接收所述第一传感器发送的第一传感数据，根据所述第一传感数据生成第一控制指令，并将所述第一控制指令发送至所述第一执行器的步骤可以包括：

由所述第一自动驾驶子模块接收所述第一工作传感器发送的第一传感数据，并根据所述第一传感数据生成第一控制指令，以及将所述第一控制指令发送至所述第一执行器。

步骤202，由所述第一执行器根据所述第一控制指令执行所述预设第一自动驾驶功能；

步骤203，由所述第二控制器接收所述第二传感器发送的第二传感数据，根据所述第二传感数据生成第二控制指令，并将所述第二控制指令发送至所述第二执行器，以及在所述第一控制器故障时，执行预设第二安全操作；

在本发明实施例中，所述第二控制器包括第二自动驾驶模块，所述第二自动驾驶模块包括第二自动驾驶子模块；

所述由所述第二控制器接收所述第二传感器发送的第二传感数据，根据所述第二传感数据生成第二控制指令，并将所述第二控制指令发送至所述第二执行器的步骤可以包括：

由所述第二自动驾驶子模块接收所述第二工作传感器发送的第二传感数据，并根据所述第二传感数据生成第二控制指令，以及将所述第二控制指令发送至所述第二执行器。

步骤204，由所述第二执行器根据所述第二控制指令执行所述预设第二自动驾驶功能。

在本发明实施例中，自动驾驶控制系统包括第一控制器和第二控制器，第一控制器在无故障时负责控制第一自动驾驶功能，第二控制器在无故障时负责控制第二自动驾驶功能。在一个控制器故障时，能由另一个控制器接管控制发生故障的控制器所负责的自动驾驶功能，保证了自动驾驶控制系统的安全性。并且将多个自动驾驶功能分配由不同的控制器负责，可以充分利用两个控制器的性能。

在本发明实施例中，所述第一控制器还包括第一自动驾驶监控模块，所述第一自动驾驶监控模块包括第一自动驾驶监控子模块；所述第二控制器还包括第二自动驾驶监控模块，所述第二自动驾驶监控模块包括第二自动驾驶监控子模块；

所述方法还可以包括：

由所述第一自动驾驶监控子模块监控所述第一自动驾驶模块是否发生故障；

由所述第二自动驾驶监控子模块监控所述第二自动驾驶模块是否发生故障。

在本发明实施例中，所述第一控制器还包括第一整体监控模块，所述第一整体监控模块包括第一本地监控子模块和第一对端监控子模块；所述第二控制器还包括第二整体监控模块，所述第二整体监控模块包括第二本地监控子模块和第二本地监控子模块；

所述方法还可以包括：

由所述第一本地监控子模块监控所述第一控制器中的程序代码是否运行正常；

由所述第一对端监控子模块监控所述第二控制器是否故障；

由所述第二本地监控子模块监控所述第二控制器中的程序代码是否运行正常；

由所述第二对端监控子模块监控所述第一控制器是否故障。

在本发明实施例中，所述第一控制器还包括第一接管模块，所述第二控制器还包括第二接管模块；

所述方法还包括：

由所述第一接管模块在所述第二控制器宕机时，执行预设第一安全操作；或者，在所述第一控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第一安全操作：所述第一自动驾驶模块故障、所述第一自动驾驶监控模块故障、所述第一整体监控模块故障、所述第一传感器故障、所述第一执行器故障；

由所述第二接管模块在所述第一控制器宕机时，进行预设第二安全操作；或者，在所述第二控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第二安全操作：所述第二自动驾驶模块故障、所述第二自动驾驶监控模块故障、所述第二整体监控模块故障、所述第二传感器故障、所述第二执行器故障。

参照图7，示出了本发明的一种自动驾驶控制系统实施例二的结构图，具体可以包括：

传感器集合30，执行器集合31，与所述传感器集合30和所述执行器集合31连接的第一控制器32，以及与所述传感器集合30和所述执行器集合31连接的第二控制器33；所述传感器集合30包括与预设自动驾驶功能关联的传感器：所述执行器集合31包括与所述预设自动驾驶功能关联的执行器；

所述第一控制器32，用于接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器；

所述第二控制器33，用于在所述第一控制器32故障时，接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器；所述执行器，用于根据所述控制指令执行所述预设自动驾驶功能。

在本发明实施例中，控制器的冗余策略为主辅冗余策略，第一控制器32作为主控制器，第一控制器32在无故障状态下负责控制全部的自动驾驶功能。第一控制器32接收传感器发送的传感数据，根据传感数据生成控制指令，并将控制指令发送给执行器，执行器按照控制指令执行自动驾驶功能。

第二控制器33作为辅控制器，只有在第一控制器32故障时，才接管自动驾驶功能。第二控制器33接管自动驾驶功能时，接收传感器发送的传感数据，根据传感数据生成控制指令，并将控制指令发送给执行器。

在本发明实施例中，自动驾驶控制系统包括第一控制器32和第二控制器33，第一控制器32在无故障时负责控制所有自动驾驶功能，第二控制器33只有在第一控制器32故障时，才接管自动驾驶功能。在一个控制器故障时，能由另一个控制器接管自动驾驶功能，保证了自动驾驶控制系统的安全性。

以下，以图8对本发明实施例的自动驾驶控制系统进行进一步的说明，参照图8所示为本发明实施例中另一种自动驾驶控制系统示例的结构图。

在本发明实施例中，所述传感器包括处于工作状态的工作传感器；所述执行器包括处于工作状态的工作执行器.

所述第一控制器32可以包括第一自动驾驶模块321；

所述第一自动驾驶模块321可以包括：第一自动驾驶子模块，用于接收所述工作传感器发送的传感数据，并根据所述传感数据生成控制指令，以及将所述控制指令发送至所述工作执行器；

所述第二控制器33可以包括第二自动驾驶模块331；

所述第二自动驾驶模块331可以包括：第二自动驾驶子模块，用于在所述第一自动驾驶子模块故障时，接收所述工作传感器发送的传感数据，并根据所述传感数据生成控制指令，以及将所述控制指令发送至所述工作执行器。

在本发明实施例中，所述第一控制器32还可以包括第一自动驾驶监控模块322，所述第一自动驾驶监控模块322可以包括：

第一自动驾驶监控子模块，用于监控所述第一自动驾驶模块321是否发生故障；

所述第二控制器33可以还包括第二自动驾驶监控模块332，所述第二自动驾驶监控模块332可以包括：

第二自动驾驶监控子模块，用于监控所述第二自动驾驶模块331是否发生故障。

在本发明实施例中，所述传感器还包括相对所述工作传感器冗余的处于备选状态的备选传感器；和/或，所述执行器还包括相对所述工作执行器冗余的处于备选状态的备选执行器。

在一种示例中，所述第一自动驾驶模块321还可以包括第一故障诊断子模块，所述第二自动驾驶模块331还可以包括第二故障诊断子模块；

在所述传感器还包括所述备选传感器时，所述第一故障诊断子模块，用于当所述工作传感器故障时，切换相应的备选传感器为工作状态；

在所述执行器还包括所述备选执行器时，所述第一故障诊断子模块，用于当所述工作执行器故障时，切换相应的备选执行器为工作状态；

在所述传感器还包括所述备选传感器时，所述第二故障诊断子模块，用于在所述第一故障诊断子模块故障下，当所述工作传感器故障时，切换相应的备选传感器为工作状态；

在所述执行器还包括所述备选执行器时，所述第二故障诊断子模块，用于在所述第一故障诊断子模块故障下，当所述工作执行器故障时，切换相应的备选执行器为工作状态。

在另一种示例中，所述第一自动驾驶监控模块322还可以包括第三故障诊断子模块，所述第二自动驾驶监控模块332还可以包括第四故障诊断子模块；

在所述传感器还包括所述备选传感器时，第三故障诊断子模块，用于当所述工作传感器故障时，切换相应的备选传感器为工作状态；

在所述执行器还包括所述备选执行器时，第三故障诊断子模块，用于当所述工作执行器故障时，切换相应的备选执行器为工作状态；

在所述传感器还包括所述备选传感器时，第四故障诊断子模块，用于在所述第三故障诊断子模块故障下，当所述工作传感器故障时，切换相应的备选传感器为工作状态；

在所述执行器还包括所述备选执行器时，第四故障诊断子模块，用于在所述第三故障诊断子模块故障下，当所述工作执行器故障时，切换相应的备选执行器为工作状态。

在本发明实施例中，所述第一控制器32还可以包括第一整体监控模块323，所述第二控制器33还可以包括第二整体监控模块333；

所述第一整体监控模块323可以包括：

第一本地监控子模块，用于监控所述第一控制器32中的程序代码是否运行正常；

第一对端监控子模块，用于监控所述第二控制器33是否故障；

所述第二整体监控模块333包括：

第二本地监控子模块，用于监控所述第二控制器33中的程序代码是否运行正常；

第二对端监控子模块，用于监控所述第一控制器32是否故障。

在本发明实施例中，所述第一控制器32还可以包括：

第一接管模块324，用于在所述第一控制器32未宕机的情况下，当出现以下至少一种情况时，执行预设第一安全操作：

所述第一自动驾驶模块321故障、所述第一自动驾驶监控模块322故障、所述第一整体监控模块323故障、所述传感器故障、所述执行器故障；

所述第二控制器33还可以包括：

第二接管模块334，用于在所述第一控制器32宕机时，进行预设第二安全操作；或者，在所述第二控制器33未宕机的情况下，当出现以下至少一种情况时，执行预设第二安全操作：

所述第二自动驾驶模块331故障、所述第二自动驾驶监控模块332故障、所述第二整体监控模块333故障、所述传感器故障、所述执行器故障。

参照图9，示出了本发明的一种自动驾驶控制方法实施例二的步骤流程图，所述自动驾驶控制方法应用于自动驾驶控制系统，所述自动驾驶控制系统包括：传感器集合，执行器集合，与所述传感器集合和所述执行器集合连接的第一控制器，以及与所述传感器集合和所述执行器集合连接的第二控制器；所述传感器集合包括与预设自动驾驶功能关联的传感器：所述执行器集合包括与所述预设自动驾驶功能关联的执行器；所述方法可以包括：

步骤401，由所述第一控制器接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器；

在本发明实施例中，所述传感器包括处于工作状态的工作传感器；所述执行器包括处于工作状态的工作执行器。

所述第一控制器包括第一自动驾驶模块，所述第一自动驾驶模块包括第一自动驾驶子模块，所述第二控制器包括第二自动驾驶模块，所述第二自动驾驶模块包括第二自动驾驶子模块；

所述由所述第一控制器接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器的步骤可以包括：

由所述第一自动驾驶子模块接收所述工作传感器发送的传感数据，并根据所述传感数据生成控制指令，以及将所述控制指令发送至所述工作执行器。

步骤402，由所述第二控制器在所述第一控制器故障时，接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器；

所述由所述第二控制器在所述第一控制器故障时，接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器的步骤可以包括：

由所述第二自动驾驶子模块在所述第一自动驾驶子模块故障时，接收所述工作传感器发送的传感数据，并根据所述传感数据生成控制指令，以及将所述控制指令发送至所述工作执行器。

步骤403，由执行器根据所述控制指令执行所述预设自动驾驶功能。

在本发明实施例中，自动驾驶控制系统包括第一控制器和第二控制器，第一控制器在无故障时负责控制所有自动驾驶功能，第二控制器只有在第一控制器故障时，才接管自动驾驶功能。在一个控制器故障时，能由另一个控制器接管自动驾驶功能，保证了自动驾驶控制系统的安全性。

在本发明实施例中，所述第一控制器还包括第一自动驾驶监控模块，所述第一自动驾驶监控模块包括第一自动驾驶监控子模块；所述第二控制器还包括第二自动驾驶监控模块，所述第二自动驾驶监控模块包括第二自动驾驶监控子模块；所述方法还可以包括：

由所述第一自动驾驶监控子模块监控所述第一自动驾驶模块是否发生故障；

由所述第二自动驾驶监控子模块监控所述第二自动驾驶模块是否发生故障。

在本发明实施例中，所述第一控制器还包括第一整体监控模块，所述第一整体监控模块包括第一本地监控子模块和第一对端监控子模块；所述第二控制器还包括第二整体监控模块，所述第二整体监控模块包括：第二本地监控子模块和第二对端监控子模块；所述方法还包括：

由所述第一本地监控子模块监控所述第一控制器中的程序代码是否运行正常；

由所述第一对端监控子模块监控所述第二控制器是否故障；

由所述第二本地监控子模块监控所述第二控制器中的程序代码是否运行正常；

由所述第二对端监控子模块监控所述第一控制器是否故障。

在本发明实施例中，所述第一控制器还包括第一接管模块，所述第二控制器还包括第二接管模块；所述方法还可以包括：

由所述第一接管模块在所述第一控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第一安全操作：所述第一自动驾驶模块故障、所述第一自动驾驶监控模块故障、所述第一整体监控模块故障、所述传感器故障、所述执行器故障；

由所述第二接管模块在所述第一控制器宕机时，进行预设第二安全操作；或者，在所述第二控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第二安全操作：所述第二自动驾驶模块故障、所述第二自动驾驶监控模块故障、所述第二整体监控模块故障、所述传感器故障、所述执行器故障。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域内的技术人员应明白，本发明实施例的实施例可提供为方法、装置、或计算机程序产品。因此，本发明实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器、EEPROM、Flash、eMMC等)上实施的计算机程序产品的形式。

本发明实施例是参照根据本发明实施例的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理终端设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理终端设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明实施例范围的所有变更和修改。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上对本发明所提供的一种自动驾驶控制系统和一种自动驾驶控制方法，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (28)

1.一种自动驾驶控制系统，其特征在于，包括：传感器集合，执行器集合，与所述传感器集合和所述执行器集合连接的第一控制器，以及与所述传感器集合和所述执行器集合连接的第二控制器；所述传感器集合包括与预设第一自动驾驶功能关联的第一传感器，以及与预设第二自动驾驶功能关联的第二传感器：所述执行器集合包括与所述预设第一自动驾驶功能关联的第一执行器，以及与所述预设第二自动驾驶功能关联的第二执行器；

所述第一控制器，用于接收所述第一传感器发送的第一传感数据，根据所述第一传感数据生成第一控制指令，并将所述第一控制指令发送至所述第一执行器，以及在所述第二控制器故障时，执行预设第一安全操作；所述第一执行器，用于根据所述第一控制指令执行所述预设第一自动驾驶功能；

所述第二控制器，用于接收所述第二传感器发送的第二传感数据，根据所述第二传感数据生成第二控制指令，并将所述第二控制指令发送至所述第二执行器，以及在所述第一控制器故障时，执行预设第二安全操作；所述第二执行器，用于根据所述第二控制指令执行所述预设第二自动驾驶功能；

其中，所述第一传感器包括处于工作状态的第一工作传感器；所述第一执行器包括处于工作状态的第一工作执行器；

所述第一控制器包括第一自动驾驶模块；所述第一自动驾驶模块包括：第一自动驾驶子模块，用于接收所述第一工作传感器发送的第一传感数据，并根据所述第一传感数据生成第一控制指令，以及将所述第一控制指令发送至所述第一工作执行器；

所述第一传感器包括相对所述第一工作传感器冗余的处于备选状态的第一备选传感器；和/或，所述第一执行器包括相对所述第一工作执行器冗余的处于备选状态的第一备选执行器；

所述第一自动驾驶模块还包括第一故障诊断子模块；

在所述第一传感器包括所述第一备选传感器时，所述第一故障诊断子模块，用于当所述第一工作传感器故障时，切换相应的第一备选传感器为工作状态；

在所述第一执行器包括所述第一备选执行器时，所述第一故障诊断子模块，用于当所述第一工作执行器故障时，切换相应的第一备选执行器为工作状态。

2.根据权利要求1所述的系统，其特征在于，所述第二传感器包括处于工作状态的第二工作传感器；所述第二执行器包括处于工作状态的第二工作执行器；

所述第二控制器包括第二自动驾驶模块；

所述第二自动驾驶模块包括：第二自动驾驶子模块，用于接收所述第二工作传感器发送的第二传感数据，并根据所述第二传感数据生成第二控制指令，以及将所述第二控制指令发送至所述第二工作执行器。

3.根据权利要求2所述的系统，其特征在于，

所述第一控制器还包括第一自动驾驶监控模块，所述第一自动驾驶监控模块包括：

第一自动驾驶监控子模块，用于监控所述第一自动驾驶模块是否发生故障；

所述第二控制器还包括第二自动驾驶监控模块，所述第二自动驾驶监控模块包括：

第二自动驾驶监控子模块，用于监控所述第二自动驾驶模块是否发生故障。

4.根据权利要求3所述的系统，其特征在于，

所述第二传感器还包括相对所述第二工作传感器冗余的处于备选状态的第二备选传感器；

和/或，所述第二执行器还包括相对所述第二工作执行器冗余的处于备选状态的第二备选执行器。

5.根据权利要求4所述的系统，其特征在于，

所述第二自动驾驶模块还包括第二故障诊断子模块；

在所述第二传感器还包括所述第二备选传感器时，所述第二故障诊断子模块，用于当所述第二工作传感器故障时，切换相应的第二备选传感器为工作状态；

在所述第二执行器还包括所述第二备选执行器时，所述第二故障诊断子模块，用于当所述第二工作执行器故障时，切换相应的第二备选执行器为工作状态。

6.根据权利要求4所述的系统，其特征在于，所述第一自动驾驶监控模块还包括第三故障诊断子模块，所述第二自动驾驶监控模块还包括第四故障诊断子模块；

在所述第一传感器还包括所述第一备选传感器时，所述第三故障诊断子模块，用于当所述第一工作传感器故障时，切换相应的第一备选传感器为工作状态；

在所述第一执行器还包括所述第一备选执行器时，所述第三故障诊断子模块，用于当所述第一工作执行器故障时，切换相应的第一备选执行器为工作状态；

在所述第二传感器还包括所述第二备选传感器时，所述第四故障诊断子模块，用于当所述第二工作传感器故障时，切换相应的第二备选传感器为工作状态；

在所述第二执行器还包括所述第二备选执行器时，所述第四故障诊断子模块，用于当所述第二工作执行器故障时，切换相应的第二备选执行器为工作状态。

7.根据权利要求3所述的系统，其特征在于，

所述第一控制器还包括第一整体监控模块，所述第二控制器还包括第二整体监控模块；

所述第一整体监控模块包括：

第一本地监控子模块，用于监控所述第一控制器中的程序代码是否运行正常；

第一对端监控子模块，用于监控所述第二控制器是否故障；

所述第二整体监控模块，包括：

第二本地监控子模块，用于监控所述第二控制器中的程序代码是否运行正常；

第二对端监控子模块，用于监控所述第一控制器是否故障。

8.根据权利要求7所述的系统，其特征在于，

所述第一控制器还包括：

第一接管模块，用于在所述第二控制器宕机时，执行预设第一安全操作；或者，在所述第一控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第一安全操作：

所述第一自动驾驶模块故障、所述第一自动驾驶监控模块故障、所述第一整体监控模块故障、所述第一传感器故障、所述第一执行器故障；

所述第二控制器还包括：

第二接管模块，用于在所述第一控制器宕机时，进行预设第二安全操作；或者，在所述第二控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第二安全操作：

所述第二自动驾驶模块故障、所述第二自动驾驶监控模块故障、所述第二整体监控模块故障、所述第二传感器故障、所述第二执行器故障。

9.根据权利要求3所述的系统，其特征在于，

第一自动驾驶监控子模块，用于获取与所述第一自动驾驶子模块相同的第一传感数据，并采用所述第一传感数据以区别于所述第一自动驾驶子模块的算法，生成第三控制指令，并比较所述第一控制指令与所述第三控制指令，根据比较结果确定所述第一控制指令是否正常；

第二自动驾驶监控子模块，用于获取与所述第二自动驾驶子模块相同的第二传感数据，并采用所述第二传感数据以区别于所述第二自动驾驶子模块的算法，生成第四控制指令，并比较所述第二控制指令与所述第四控制指令，根据比较结果确定所述第二控制指令是否正常。

10.根据权利要求7所述的系统，其特征在于，

所述第一对端监控子模块，用于向所述第二整体监控模块发送预设第一提问信息；若接收到的由所述第二整体监控模块返回的第一答案信息与预设第一答案信息不一致，则确定所述第二整体监控模块故障；和/或，若在预设时间内未接收到所述第二整体监控模块返回的第一答案信息，则确定所述第二整体监控模块故障；

所述第二整体监控模块还包括：

第二答复子模块，用于接收所述第一对端监控子模块发送的所述预设第一提问信息，将所述预设第一提问信息发送至所述第二控制器的预设程序中，并将所述预设程序针对所述预设第一提问信息生成的第一答案信息进行组织，将组织后的第一答案信息发送至所述第一对端监控子模块。

11.根据权利要求7所述的系统，其特征在于，

所述第二对端监控子模块，用于向所述第一整体监控模块发送预设第二提问信息；若接收到的由所述第一整体监控模块返回的第二答案信息与预设第二答案信息不一致，则确定所述第一整体监控模块故障；和/或，若在预设时间内未接收到所述第一整体监控模块返回的第二答案信息，则确定所述第一整体监控模块故障；

所述第一整体监控模块还包括：

第一答复子模块，用于接收所述第二对端监控子模块发送的所述预设第二提问信息，将所述预设第二提问信息发送至所述第一控制器的预设程序中，并将所述预设程序针对所述预设第二提问信息生成的第二答案信息进行组织，将组织后的第二答案信息发送至所述第二对端监控子模块。

12.一种自动驾驶控制方法，其特征在于，应用于自动驾驶控制系统，所述自动驾驶控制系统包括传感器集合，执行器集合，与所述传感器集合和所述执行器集合连接的第一控制器，以及与所述传感器集合和所述执行器集合连接的第二控制器；所述传感器集合包括与预设第一自动驾驶功能关联的第一传感器，以及与预设第二自动驾驶功能关联的第二传感器：所述执行器集合包括与所述预设第一自动驾驶功能关联的第一执行器，以及与所述预设第二自动驾驶功能关联的第二执行器；

所述方法包括：

由所述第一控制器接收所述第一传感器发送的第一传感数据，根据所述第一传感数据生成第一控制指令，并将所述第一控制指令发送至所述第一执行器，以及在所述第二控制器故障时，执行预设第一安全操作；

由所述第一执行器根据所述第一控制指令执行所述预设第一自动驾驶功能；

由所述第二控制器接收所述第二传感器发送的第二传感数据，根据所述第二传感数据生成第二控制指令，并将所述第二控制指令发送至所述第二执行器，以及在所述第一控制器故障时，执行预设第二安全操作；

由所述第二执行器根据所述第二控制指令执行所述预设第二自动驾驶功能；

其中，所述第一传感器包括处于工作状态的第一工作传感器；所述第一执行器包括处于工作状态的第一工作执行器；

所述第一控制器包括第一自动驾驶模块；所述由所述第一控制器接收所述第一传感器发送的第一传感数据，根据所述第一传感数据生成第一控制指令，并将所述第一控制指令发送至所述第一执行器，包括：

由所述第一自动驾驶子模块接收所述第一工作传感器发送的第一传感数据，并根据所述第一传感数据生成第一控制指令，以及将所述第一控制指令发送至所述第一执行器；

所述第一传感器还包括相对所述第一工作传感器冗余的处于备选状态的第一备选传感器；和/或，所述第一执行器还包括相对所述第一工作执行器冗余的处于备选状态的第一备选执行器；

所述第一自动驾驶模块还包括第一故障诊断子模块；

当所述第一工作传感器故障时，由所述第一故障诊断子模块切换相应的第一备选传感器为工作状态；和/或，当所述第一工作执行器故障时，由所述第一故障诊断子模块切换相应的第一备选执行器为工作状态。

13.根据权利要求12所述的方法，其特征在于，所述第二传感器包括处于工作状态的第二工作传感器；所述第二执行器包括处于工作状态的第二工作执行器；所述第一自动驾驶模块包括第一自动驾驶子模块；所述第二控制器包括第二自动驾驶模块，所述第二自动驾驶模块包括第二自动驾驶子模块；

所述由所述第二控制器接收所述第二传感器发送的第二传感数据，根据所述第二传感数据生成第二控制指令，并将所述第二控制指令发送至所述第二执行器，包括：

由所述第二自动驾驶子模块接收所述第二工作传感器发送的第二传感数据，并根据所述第二传感数据生成第二控制指令，以及将所述第二控制指令发送至所述第二执行器。

14.根据权利要求13所述的方法，其特征在于，所述第一控制器还包括第一自动驾驶监控模块，所述第一自动驾驶监控模块包括第一自动驾驶监控子模块；所述第二控制器还包括第二自动驾驶监控模块，所述第二自动驾驶监控模块包括第二自动驾驶监控子模块；

所述方法还包括：

由所述第一自动驾驶监控子模块监控所述第一自动驾驶模块是否发生故障；

由所述第二自动驾驶监控子模块监控所述第二自动驾驶模块是否发生故障。

15.根据权利要求14所述的方法，其特征在于，所述第一控制器还包括第一整体监控模块，所述第一整体监控模块包括第一本地监控子模块和第一对端监控子模块；所述第二控制器还包括第二整体监控模块，所述第二整体监控模块包括第二本地监控子模块和第二本地监控子模块；

所述方法还包括：

由所述第一本地监控子模块监控所述第一控制器中的程序代码是否运行正常；

由所述第一对端监控子模块监控所述第二控制器是否故障；

由所述第二本地监控子模块监控所述第二控制器中的程序代码是否运行正常；

由所述第二对端监控子模块监控所述第一控制器是否故障。

16.根据权利要求15所述的方法，其特征在于，

所述第一控制器还包括第一接管模块，所述第二控制器还包括第二接管模块；

所述方法还包括：

由所述第一接管模块在所述第二控制器宕机时，执行预设第一安全操作；或者，在所述第一控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第一安全操作：所述第一自动驾驶模块故障、所述第一自动驾驶监控模块故障、所述第一整体监控模块故障、所述第一传感器故障、所述第一执行器故障；

由所述第二接管模块在所述第一控制器宕机时，进行预设第二安全操作；或者，在所述第二控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第二安全操作：所述第二自动驾驶模块故障、所述第二自动驾驶监控模块故障、所述第二整体监控模块故障、所述第二传感器故障、所述第二执行器故障。

17.一种自动驾驶控制系统，其特征在于，包括：传感器集合，执行器集合，与所述传感器集合和所述执行器集合连接的第一控制器，以及与所述传感器集合和所述执行器集合连接的第二控制器；所述传感器集合包括与预设自动驾驶功能关联的传感器：所述执行器集合包括与所述预设自动驾驶功能关联的执行器；

所述第一控制器，用于接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器；

所述第二控制器，用于在所述第一控制器故障时，接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器；所述执行器，用于根据所述控制指令执行所述预设自动驾驶功能；

其中，所述传感器包括处于工作状态的工作传感器；所述执行器包括处于工作状态的工作执行器；

所述第一控制器包括第一自动驾驶模块；所述第一自动驾驶模块包括：第一自动驾驶子模块，用于接收所述工作传感器发送的传感数据，并根据所述传感数据生成控制指令，以及将所述控制指令发送至所述工作执行器；

所述传感器还包括相对所述工作传感器冗余的处于备选状态的备选传感器；和/或，所述执行器还包括相对所述工作执行器冗余的处于备选状态的备选执行器；

所述第一自动驾驶模块还包括第一故障诊断子模块；

在所述传感器还包括所述备选传感器时，所述第一故障诊断子模块，用于当所述工作传感器故障时，切换相应的备选传感器为工作状态；

在所述执行器还包括所述备选执行器时，所述第一故障诊断子模块，用于当所述工作执行器故障时，切换相应的备选执行器为工作状态。

18.根据权利要求17所述的系统，其特征在于，

所述第二控制器包括第二自动驾驶模块；

所述第二自动驾驶模块包括：第二自动驾驶子模块，用于在所述第一自动驾驶子模块故障时，接收所述工作传感器发送的传感数据，并根据所述传感数据生成控制指令，以及将所述控制指令发送至所述工作执行器。

19.根据权利要求18所述的系统，其特征在于，

所述第一控制器还包括第一自动驾驶监控模块，所述第一自动驾驶监控模块包括：

第一自动驾驶监控子模块，用于监控所述第一自动驾驶模块是否发生故障；

所述第二控制器还包括第二自动驾驶监控模块，所述第二自动驾驶监控模块包括：

第二自动驾驶监控子模块，用于监控所述第二自动驾驶模块是否发生故障。

20.根据权利要求19所述的系统，其特征在于，所述第二自动驾驶模块还包括第二故障诊断子模块；

在所述传感器还包括所述备选传感器时，所述第二故障诊断子模块，用于在所述第一故障诊断子模块故障下，当所述工作传感器故障时，切换相应的备选传感器为工作状态；

在所述执行器还包括所述备选执行器时，所述第二故障诊断子模块，用于在所述第一故障诊断子模块故障下，当所述工作执行器故障时，切换相应的备选执行器为工作状态。

21.根据权利要求19所述的系统，其特征在于，所述第一自动驾驶监控模块还包括第三故障诊断子模块，所述第二自动驾驶监控模块还包括第四故障诊断子模块；

在所述传感器还包括所述备选传感器时，第三故障诊断子模块，用于当所述工作传感器故障时，切换相应的备选传感器为工作状态；

在所述执行器还包括所述备选执行器时，第三故障诊断子模块，用于当所述工作执行器故障时，切换相应的备选执行器为工作状态；

在所述传感器还包括所述备选传感器时，第四故障诊断子模块，用于在所述第三故障诊断子模块故障下，当所述工作传感器故障时，切换相应的备选传感器为工作状态；

在所述执行器还包括所述备选执行器时，第四故障诊断子模块，用于在所述第三故障诊断子模块故障下，当所述工作执行器故障时，切换相应的备选执行器为工作状态。

22.根据权利要求19所述的系统，其特征在于，

所述第一控制器还包括第一整体监控模块，所述第二控制器还包括第二整体监控模块；

所述第一整体监控模块包括：

第一本地监控子模块，用于监控所述第一控制器中的程序代码是否运行正常；

第一对端监控子模块，用于监控所述第二控制器是否故障；

所述第二整体监控模块，包括：

第二本地监控子模块，用于监控所述第二控制器中的程序代码是否运行正常；

第二对端监控子模块，用于监控所述第一控制器是否故障。

23.根据权利要求22所述的系统，其特征在于，

所述第一控制器还包括：

第一接管模块，用于在所述第一控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第一安全操作：

所述第一自动驾驶模块故障、所述第一自动驾驶监控模块故障、所述第一整体监控模块故障、所述传感器故障、所述执行器故障；

所述第二控制器还包括：

第二接管模块，用于在所述第一控制器宕机时，进行预设第二安全操作；或者，在所述第二控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第二安全操作：

所述第二自动驾驶模块故障、所述第二自动驾驶监控模块故障、所述第二整体监控模块故障、所述传感器故障、所述执行器故障。

24.一种自动驾驶控制方法，其特征在于，应用于自动驾驶控制系统，所述自动驾驶控制系统包括：传感器集合，执行器集合，与所述传感器集合和所述执行器集合连接的第一控制器，以及与所述传感器集合和所述执行器集合连接的第二控制器；所述传感器集合包括与预设自动驾驶功能关联的传感器：所述执行器集合包括与所述预设自动驾驶功能关联的执行器；所述方法包括：

由所述第一控制器接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器；

由所述第二控制器在所述第一控制器故障时，接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器；

由执行器根据所述控制指令执行所述预设自动驾驶功能；

其中，所述传感器包括处于工作状态的工作传感器；所述执行器包括处于工作状态的工作执行器；

所述第一控制器包括第一自动驾驶模块；所述由所述第一控制器接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器，包括：

由所述第一自动驾驶子模块接收所述工作传感器发送的传感数据，并根据所述传感数据生成控制指令，以及将所述控制指令发送至所述工作执行器；

所述传感器还包括相对所述工作传感器冗余的处于备选状态的备选传感器；和/或，所述执行器还包括相对所述工作执行器冗余的处于备选状态的备选执行器；

所述第一自动驾驶模块还包括第一故障诊断子模块；

当所述工作传感器故障时，由所述第一故障诊断子模块切换相应的备选传感器为工作状态；和/或，当所述工作执行器故障时，由所述第一故障诊断子模块切换相应的备选执行器为工作状态。

25.根据权利要求24所述的方法，其特征在于，

所述第一自动驾驶模块包括第一自动驾驶子模块，所述第二控制器包括第二自动驾驶模块，所述第二自动驾驶模块包括第二自动驾驶子模块；

所述由所述第二控制器在所述第一控制器故障时，接收所述传感器发送的传感数据，根据所述传感数据生成控制指令，并将所述控制指令发送至所述执行器，包括：

由所述第二自动驾驶子模块在所述第一自动驾驶子模块故障时，接收所述工作传感器发送的传感数据，并根据所述传感数据生成控制指令，以及将所述控制指令发送至所述工作执行器。

26.根据权利要求25所述的方法，其特征在于，

所述第一控制器还包括第一自动驾驶监控模块，所述第一自动驾驶监控模块包括第一自动驾驶监控子模块；所述第二控制器还包括第二自动驾驶监控模块，所述第二自动驾驶监控模块包括第二自动驾驶监控子模块；

所述方法还包括：

由所述第一自动驾驶监控子模块监控所述第一自动驾驶模块是否发生故障；

由所述第二自动驾驶监控子模块监控所述第二自动驾驶模块是否发生故障。

27.根据权利要求26所述的方法，其特征在于，

所述第一控制器还包括第一整体监控模块，所述第一整体监控模块包括第一本地监控子模块和第一对端监控子模块；所述第二控制器还包括第二整体监控模块，所述第二整体监控模块包括：第二本地监控子模块和第二对端监控子模块；

所述方法还包括：

由所述第一本地监控子模块监控所述第一控制器中的程序代码是否运行正常；

由所述第一对端监控子模块监控所述第二控制器是否故障；

由所述第二本地监控子模块监控所述第二控制器中的程序代码是否运行正常；

由所述第二对端监控子模块监控所述第一控制器是否故障。

28.根据权利要求27所述的方法，其特征在于，所述第一控制器还包括第一接管模块，所述第二控制器还包括第二接管模块；

所述方法还包括：

由所述第一接管模块在所述第一控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第一安全操作：所述第一自动驾驶模块故障、所述第一自动驾驶监控模块故障、所述第一整体监控模块故障、所述传感器故障、所述执行器故障；

由所述第二接管模块在所述第一控制器宕机时，进行预设第二安全操作；或者，在所述第二控制器未宕机的情况下，当出现以下至少一种情况时，执行预设第二安全操作：所述第二自动驾驶模块故障、所述第二自动驾驶监控模块故障、所述第二整体监控模块故障、所述传感器故障、所述执行器故障。

Images