CN116635288A - 控制装置、远程信息控制单元以及方法 - Google Patents

Abstract

各示例涉及一种控制装置(10)，所述控制装置包括：主控制机构(11)和至少一个第一辅助控制机构(12)。此外设有切换装置(13)，所述切换装置用于停用所述至少一个辅助控制机构(12)。所述主控制机构(11)构成为，在出现预定事件时借助于切换装置(13)停用所述至少一个辅助控制机构(12)。

Description

控制装置、远程信息控制单元以及方法

技术领域

各实施例涉及一种控制装置，所述控制装置包括主控制机构和至少一个辅助控制机构。其他实施例涉及一种远程信息控制单元以及一种用于运行控制装置的方法。

背景技术

现代机动车经常配备多种联网技术。这些联网技术例如能实现车辆通过移动无线电或V2X(车辆对X通信(vehicle-to-X))与外部世界的互联性，例如通过蓝牙或WiFi与用户的互联性以及例如车辆通过GNSS(全球导航卫星系统)的定位。远程信息控制单元(TCU(telematic control unit))在此是中央连接网关且实现例如远程服务、实时交通信息等功能。此外，通过TCU实现eCall(紧急呼叫)功能，这一功能与某些法律领域的批准有关。

因为在远程信息控制单元上的每个改变可能导致在认证中附加的耗费，所以在组件的成功认证之后通常尽可能避免这种情况。然而，这引起：必须非常早地定义并实现组件的开发，其中，随后的改变可能导致高的附加耗费。

电子控制单元上的不同类型的功能(例如软件)是已知的，所述功能例如可以分为两个主要类型。在此，第一类型涉及安全和认证相关的部分(例如控制单元的关键的部分；例如用于执行安全关键的功能；例如eCall或V2X功能)，且另一类型涉及其他应用(例如灵活的部分；例如远程服务或娱乐应用；例如用于执行对车辆的功能安全没有重大影响的功能)。

大多情况下，尝试在早期阶段确定、测试和认证关键的部分。但同时经常性的目标也在于，持续且在随后的时刻也还改变且进一步开发灵活的部分(例如以便能实现与更快速发展的CE(消费电子)技术的兼容性)。然而，两个目标相互冲突。这样，在随后的时刻在没有对关键的部分进行重新测试和认证的情况下不再可能更新或改变灵活的部分。

为了解决这个问题，可以应用两个部分的分离，例如在不同的控制单元中。当前，在一个控制单元中安全和认证相关的部分(例如关键的部分)与其他应用(例如灵活的部分)要么通过软件解决方案要么通过硬件解决方案分开实现。

在软件层面上分离的情况下，例如采用虚拟化解决方案，如采用虚拟机和虚拟机管理程序。这些虚拟化解决方案可以是成本有利的，但是因为两个软件部分(例如关键的部分和灵活的部分)可以在一个共同的硬件和芯片上运行，所以这样的方案只能在有限地减少重新认证或Delta认证的风险。

在硬件层面上有解决方案的不同可能性。这样，关键的部分可以在单独的应用处理器上运行。然而，成本和耗费以及为此需要的构件尺寸更高，且通过这种方式如此也不能可靠地避免重新认证或Delta认证，因为外部应用处理器上的软件改变可能潜在地在主处理器上在关键的软件的功能方面继续干扰关键的软件。

虽然在同一控制单元中或者在不同的控制单元中在PCB(印刷电路板)层面上的分离也是可能的，但是所述分离还将引起更高的成本。在ECU层面上的分离同样是可能的。为此，例如可以将应用分区到其他控制单元上，或者可以简单地附加地开发一个新的控制单元。作为示例，远程服务可以实现在第一控制单元(例如网关控制单元)上，而娱乐部分可以实现在第二控制单元(例如车机)上。然而，将应用从一个控制单元转移到其他控制单元上不总是有意义的且原则上与大规模集成(控制单元的数量的最小化)相对立。

发明内容

因此本公开的任务在于，提供用于控制单元、特别是用于车辆的远程信息控制单元的改进的方案。

该任务按照独立权利要求的技术方案解决。其他有利的实施形式在从属权利要求、以下描述中以及结合附图进行描述。

相应地，提出一种控制装置，所述控制装置包括主控制机构和至少一个第一辅助控制机构。控制装置此外具有切换装置，所述切换装置用于停用所述至少一个辅助控制机构。在这种情况下，所述主控制机构构成为，在出现预定事件时借助于切换装置停用所述至少一个辅助控制机构。

主控制机构例如可以构成为用于执行用于关键应用(例如需要许可的应用)的过程。相比之下，辅助控制机构例如可以构成为用于执行灵活的应用(例如如下这样的应用，所述应用不需要官方机构的许可)。然而，由于在主控制机构与辅助控制机构之间的通信在一些情况下可能存在辅助控制机构对主控制机构的影响。

为了在关键情况下避免这样的可能的影响(例如如果预定事件出现，所述预定事件需要关键功能的可靠执行)，可以在需要时停用辅助控制机构。预定事件例如可以包括：应执行控制装置的eCall功能。通过停用例如可以避免：在主控制机构与辅助控制机构之间发生信息交换。在辅助控制机构的停用的状态下可以可能的是，控制装置像如下系统那样起作用，该系统只具有主控制机构而不具有停用的辅助控制机构。换言之，切换装置可以用于在控制装置中的两个功能系统之间切换(例如具有辅助控制机构的第一功能系统以及没有辅助控制机构的第二功能系统)。因此可以可能的是，单独地利用主控制机构来认证控制装置且之后仍对辅助控制机构进行改变，因为该辅助控制机构在关键的事件的情况下可以被停用且随后例如对具有主控制机构的经认证的系统部分没有影响。

例如可以规定，所述切换装置构成为用于电气分离在主控制机构与至少一个辅助控制机构之间的连接。在这种情况下，主控制机构构成为，为了停用辅助控制机构而通过相应地驱控控制装置来电气分离至辅助控制机构的连接。在用于停用辅助控制机构的对连接的分离(例如物理分离)的情况下的优点可以是特别可靠地停用辅助控制机构。例如，在对连接的分离之后(例如通过开关、例如半导体开关)，在主控制机构与辅助控制机构之间不能存在进一步的连接，从而在停用辅助控制机构时从辅助控制机构至主控制机构的信号流是不可能的。按照一个实施例，切换装置可以构成为集成在主控制机构中。由此，还更可靠地分离电气连接(例如借助于主控制机构更简单地驱控切换装置)可以是可能的。

例如可以规定，所述主控制机构构成为，为了停用辅助控制机构停止在所述至少一个辅助控制机构上运行的进程。这种停用可以具有如下优点，即，可非常简单执行所述停用(例如暂停在辅助控制机构上运行的进程)。此外，例如也可以省去用于物理分离的元件，由此可以更成本有利地实现所述控制装置。

按照一个实施例可以规定，所述控制装置具有第二辅助控制机构。在这种情况下，主控制机构构成为，根据预定事件的类型仅仅停用第一辅助控制机构或者附加地也停用第二辅助控制机构。例如，可以根据出现的预定的事件的类型分别仅停用多个辅助控制机构中的某些辅助控制机构。由此，例如可以提高控制装置的灵活性。例如，在出现用于在主控制机构上可靠地执行对应的关键的功能的第一事件时仅停用第一辅助控制机构就可以是足够的，而相比之下在出现用于在主控制机构上可靠地执行对应的关键的功能的第二事件时停用两个(或多个)辅助控制机构。因此，可以实现如下，即，在出现预定事件时不必停用控制装置的所有灵活的功能，例如如果这从安全相关的方面来说不是必要的。

例如可以规定，所述主控制机构是第一主控制机构，且所述控制装置包括至少另一主控制机构，所述另一主控制机构具有比第一主控制机构更低的优先级。在这种情况下，第一主控制机构构成为，停用所述另一主控制机构。第一主控制机构例如在出现预定事件时可以例如以与辅助控制机构相同的方式停用第二主控制机构。通过这种方式可以形成主控制机构的例如关键的功能的层次结构，其中，能以更大的安全性实现具有更高优先级的关键的功能的可靠的运行。

例如可以规定，所述第一主控制机构和所述另一主控制机构构成为，在分别不同事件的情况下停用所述至少一个辅助控制机构，和/或停用多个辅助控制机构中的分别不同的辅助控制机构。例如，为了可靠地执行不同主控制机构的关键的功能，可能需要分别停用不同的辅助控制机构(或者多个辅助控制机构中的不同选择)。换言之，有利地可以规定，每个主控制机构可以恰好停用所选择的辅助控制机构，该所选择的辅助控制机构可能干扰相应的主控制机构的关键的功能的可靠的执行。

例如可以规定，所述主控制机构和所述至少一个辅助控制机构构成在一个共同的半导体芯片上。例如，多个主控制机构和/或辅助控制机构可以构成在所述共同的半导体芯片上。所提出的系统(例如控制装置)——其能实现辅助控制机构和/或低优先级的主控制机构的停用——在此可以实现系统的更大的灵活性(例如改变辅助控制机构的功能)并且同时提高系统的集成密度。

例如可以规定，所述主控制机构通过该共同的半导体芯片的主处理器构成，而辅助控制机构通过该共同的半导体芯片的辅助处理器构成。例如，因此可以可能的是，主处理器可以在需要时(例如出现预定事件时)停用一个或多个辅助处理器，以便禁止辅助处理器对主处理器的影响。因此，控制装置的认证相关的部分可以仅针对主处理器。

例如，如上所述可以规定，所述预定事件包括要执行的紧急呼叫功能(例如eCall(紧急呼叫)功能)或要执行的车辆对X通信中的至少一个。车辆的这种关键的功能可能需要特别可靠的功能性。例如，可以相应地认证控制装置的在停用辅助控制机构之后保持活动状态的部分，从而可以按照适用的法规证明可靠的功能性。

本公开的一个方面涉及一种用于车辆的远程信息控制单元。所述远程信息控制单元构成为，控制车辆用于关键的车辆功能的无线电连接。远程信息控制单元具有在上文或随后描述的控制装置。这种远程信息控制单元可以提供如下优点，即，远程信息控制单元的关键的功能可以在第一时刻被限定地实现并确定，而远程信息控制单元的灵活的功能也还可以在第一时刻之后独立于关键的功能被改变或添加，而不影响关键的功能。

本公开的一个方面涉及一种用于运行控制装置的方法，其中，所述控制装置包括至少一个主控制机构和至少一个辅助控制机构。该方法包括：借助于主控制机构驱控辅助控制机构以用于在辅助控制机构上执行辅助进程，其中，该辅助进程能对主控制机构的性能产生影响。该方法此外包括接收用于在主控制机构上执行主进程的请求，其中，所述主进程具有比辅助进程更高的优先级或安全等级。该方法此外包括在接收到用于执行主进程的请求之后停用所述辅助控制机构，以在执行主进程期间避免所述辅助控制机构对所述主控制机构的影响。

结合之前和之后描述的实施例(例如控制装置)提及所述方法的其他细节和方面。所述实施例可以具有一个或多个可选的附加特征，这些附加特征对应于一个或多个如下的方面，结合所提出的方案或一个或多个之前或之后描述的实施例提及所述方面。

附图说明

下面参照附图进一步阐明各实施例。图中：

图1示出具有主控制机构和辅助控制机构的控制装置的示意性示例；

图2示出在远程信息控制单元中的控制装置的示意性示例；以及

图3示出用于运行控制装置的方法的流程图。

具体实施方式

现在参照附图更详细地描述不同实施例，在所述附图中示出一些实施例。在附图中，为了清楚起见，线、层和/或区域的厚度尺寸可能被夸大地示出。在仅仅示出一些示例性实施例的附图的如下描述中，相同附图标记可以表示相同或可比较的组件。

描述为与另一元件“连接”或“耦接”的元件可以与另一元件直接连接或耦接，或者可以存在位于其间的元件。除非另有定义，否则本文中使用的所有术语(包括技术和科学术语)具有各实施例所属的领域的普通技术人员赋予它们的相同含义。

如果应在经认证的控制单元上进行改变，那么大多情况下对控制单元进行全面的重新认证是必要的。在此，存在分离各功能的不同可能性，这些可能性部分地能实现：不必重新认证控制单元的所有功能和部分。在此，因为软件解决方案部分地未能去改善其有效性且在PCB和ECU层面上的分离可能引起高成本，所以基于芯片的分离是首选的解决方案。在此，然而可能需要的是，使不太关键的功能(例如灵活的软件部分)对关键的功能(例如对关键的部分)的交叉影响的风险最小化。为此在下文中提出各方案。

图1示出控制装置10的示意性示例，所述控制装置具有主控制机构11和辅助控制机构12。切换装置13构成为用于停用辅助控制机构12。主控制机构11构成为，在出现预定事件时借助于切换装置13停用所述至少一个辅助控制机构12。

通过如下可能——即在需要时(例如出现特定事件，该特定事件需要执行安全相关或关键的功能)停用控制装置10的各部分——可能的是，这些部分那么可以不再对控制装置10产生影响。例如可以在需要时断开辅助控制机构12，从而控制装置10的剩余的、活动的部分可以不受辅助控制机构12上的功能干扰地执行功能。

分离的可能性可以引起：仅控制装置10的未被停用(例如未构成为被停用)的部分必须特别可靠地运行(例如经历认证)。因为该部分可以用作独立的系统，相比之下可以在需要时可停用的辅助控制机构12上进行改变，例如将不需要对整个系统、亦即整个控制装置10进行重新认证(例如可以在辅助控制机构12上设有如下功能，所述功能对于具有控制装置10的车辆不是安全相关的)。

图2示出在用于车辆的远程信息控制单元20中的控制装置10的示意性示例。在控制装置10中，除了第一主控制机构11和第一辅助控制机构12之外还示出另一主控制机构21和另一辅助控制机构22。第一主控制机构可以借助于切换装置13停用第一辅助控制机构12、另一辅助控制机构22或另一主控制机构21中的一个或多个。同样可能的是，另一主控制机构21在需要时可以相应地停用第一辅助控制机构12和/或另一辅助控制机构22。

所提出的方案例如在芯片层面上在分离灵活的和关键的部分时能实现：降低灵活的部分对关键的部分的交叉影响的风险，以便由此提高安全性并且也降低危险和风险。因此，也可以进一步降低Delta认证和重新认证的风险。所提出的方案例如包括在主处理器(例如主控制机构)中的功能，所述功能可以停止、分离和/或在需要情况下也断开所有其他具有非关键的功能的辅助处理器(例如辅助控制机构)。因此，主处理器确保全部关键的功能性且排除例如在辅助处理器上运行的功能的影响。因此在该辅助处理器(或者一般来说，系统的非关键的部分)上的全部改变对于关键的功能是无效的且不相关的。

这样，在系统的运行时间(例如正常运行)时，所有处理器和应用可以首先并行地且没有限制地运行(例如如果未出现预定事件)。如果出现安全相关的事件(例如预定事件；例如eCall或V2X事件)，那么要么停止非相关的部分、分离连接要么将所述非相关的部分电气断开。

在下文中描述用于运行控制装置的一个示例。在正常运行中，在主处理器上关键的应用可以是活动的，且在辅助处理器1至n上每一个灵活的应用可以是活动的。

如果接收到安全相关的事件，那么可以在主处理器上继续执行关键的应用。相比之下，例如在辅助处理器的一部分上可以停止灵活的应用和/或完全断开一个或多个其他辅助处理器。

在执行关键的应用之后，例如可以重新激活所有部分(例如控制装置10的运行又处于正常运行)。

所述方案在此也能实现具有多个主处理器(例如第一主控制机构11和另一主控制机构21)的普遍化。在此，例如第一主处理器可以构成为用于执行第一关键的应用且用于停用多个辅助处理器的第一选择。第二主处理器可以相应地构成为用于执行第二关键的应用且用于停用多个辅助处理器的第二选择。由此，所提出的方案可以简单地适配于存在的要求(例如也适配于不同于远程信息控制单元的其他控制单元)。

结合之前或之后所述的实施例提及其他细节和方面。在图2中示出的实施例可以具有一个或多个可选的附加特征，所述附加特征对应于一个或多个如下的方面，结合所提出的方案或一个或多个之前(例如图1)或之后(例如图3)所述的实施例提及所述方面。

图3示出用于运行例如在图1和2中示出的控制装置的方法30的流程图。所述方法30包括：借助于主控制机构来驱控31辅助控制机构，以在辅助控制机构上执行辅助进程，其中，该辅助进程可能对主控制机构的性能产生影响。所述方法30此外还包括：接收32用于在主控制机构上执行主进程的请求，其中，所述主进程具有比所述辅助进程更高的优先级或安全等级。此外按照该方法，设有在接收到用于执行主进程的请求之后停用33辅助控制机构，以在执行主进程期间避免辅助控制机构对主控制机构的影响。

按照所提出的方法可以实现：如果例如重要的进程或重要的功能要求主控制机构的完全的运算能力，那么停用控制装置各部分。虽然在正常情况下主控制机构例如可以控制多个辅助进程(且相应地作为反应，信号可以从辅助控制机构发送至主控制机构)，但在执行系统关键的功能的情况下可能必要的是，不发生与辅助进程的交互。因此，按照该方法，如果控制装置应该用于执行主进程(例如安全关键的进程)，那么可以防止执行这样的辅助进程(例如娱乐功能；例如与车辆的行驶功能没有直接关系的用户功能)。

结合之前或之后所述的实施例提及其他细节和方面。在图3中示出的实施例可以具有一个或多个可选的附加特征，所述附加特征对应于一个或多个如下方面，结合所提出的方案或一个或多个之前(例如图1-2)或之后所述的实施例提及所述方面。

一个方面涉及一种模块式架构，例如用于在高度集成的控制单元和功能中的安全相关的部分。可以可能的是，在需要时断开或停用控制单元的确定的部分。通过所提出的方案存在改善的可能性，即，系统(例如控制单元)的灵活的部分例如直至开发的后期并且例如甚至更久仍可以被改变或适配，而不引起对系统的关键的功能的影响。因此，例如可以避免：在系统或控制单元的一部分改变的情况下，总是又必须认证整个系统或控制单元。

Claims (11)

1.用于车辆的控制装置(10)，所述控制装置包括：

主控制机构(11)，所述主控制机构构成为用于执行关键或安全相关的应用的进程；

至少一个第一辅助控制机构(12)，所述第一辅助控制机构构成为用于执行灵活的应用；以及

切换装置(13)，所述切换装置用于停用所述至少一个辅助控制机构(12)；

其中，所述主控制机构(11)构成为，在出现预定的、安全相关的事件时借助于切换装置(13)停用所述至少一个辅助控制机构(12)。

2.根据权利要求1所述的控制装置(10)，

其中，所述切换装置(13)构成为用于电气分离在主控制机构(11)与所述至少一个辅助控制机构(12)之间的连接；

其中，所述主控制机构(11)构成为，为了停用所述辅助控制机构(12)通过相应地驱控所述控制装置(10)来电气分离至辅助控制机构(12)的连接。

3.根据权利要求1或2所述的控制装置(10)，

其中，所述主控制机构(11)构成为，为了停用所述辅助控制机构(12)停止在所述至少一个辅助控制机构(12)上运行的进程。

4.根据上述权利要求之一所述的控制装置(10)，此外包括：第二辅助控制机构(22)，

其中，所述主控制机构(11)构成为根据预定事件的类型仅仅停用第一辅助控制机构(12)或者附加地也停用第二辅助控制机构(22)。

5.根据上述权利要求之一所述的控制装置(10)，

其中，所述主控制机构(11)是第一主控制机构(11)，且所述控制装置(10)包括至少另一主控制机构(21)，所述另一主控制机构具有比第一主控制机构(11)更低的优先级，第一主控制机构(11)构成为，停用所述另一主控制机构(21)。

6.根据权利要求5所述的控制装置(10)，

其中，所述第一主控制机构(11)和所述另一主控制机构(21)构成为，在分别不同事件的情况下停用所述至少一个辅助控制机构(12)，和/或停用多个辅助控制机构(12、22)中的分别不同的辅助控制机构(12、22)。

7.根据上述权利要求之一所述的控制装置(10)，

其中，所述主控制机构(11)和所述至少一个辅助控制机构(12)构成在一个共同的半导体芯片上。

8.根据权利要求7所述的控制装置(10)，

其中，所述主控制机构(11)由该共同的半导体芯片的主处理器构成，且辅助控制机构(12)由该共同的半导体芯片的辅助处理器构成。

9.根据上述权利要求之一所述的控制装置(10)，

其中，所述预定事件包括要执行的紧急呼叫功能或要执行的车辆对X通信中的至少一个。

10.用于车辆的远程信息控制单元(20)，

其中，所述远程信息控制单元(20)构成为，控制车辆用于关键的车辆功能的无线电连接，

其中，所述远程信息控制单元(20)具有根据上述权利要求之一所述的控制装置(10)。

11.用于运行控制装置(10)的方法(30)，所述控制装置包括至少一个主控制机构(11)和至少一个辅助控制机构(12)，该方法(30)包括：

借助于主控制机构(11)驱控(31)辅助控制机构(12)以用于在辅助控制机构(12)上执行辅助进程，其中，该辅助进程能对主控制机构(11)的性能产生影响；

接收(32)用于在主控制机构(11)上执行主进程的请求，其中，

所述主进程具有比辅助进程更高的优先级或安全等级；以及

在接收到用于执行主进程的请求之后停用(33)所述辅助控制机构(12)，以在执行所述主进程期间避免所述辅助控制机构(12)对主控制机构(11)的影响。