CN117546147A - 用于控制汽车系统的单元的计算机实现的方法和控制装置 - Google Patents

Abstract

本发明涉及一种用于控制汽车系统的单元(152)的计算机实现的方法和控制装置，其中所述汽车系统的电/电子架构具有第一控制单元(130)、第二控制单元(110)和要控制的单元(152)，所述方法具有以下步骤：‑识别借助于首要软件集群(210)对单元(152)的控制是有差错的和/或有缺陷的；‑借助于所述第一控制单元(130)操控所述第二控制单元(110)，由此将所述第二控制单元(110)置于失效静默状态并且不再发送潜在有差错的数据；‑借助于所述第一控制单元(130)的备用软件集群(210)来控制所述单元(152)，由此维持所述单元(152)的功能性。

Description

用于控制汽车系统的单元的计算机实现的方法和控制装置

技术领域

本公开涉及一种用于控制汽车系统的单元的计算机实现的方法和控制装置，其中汽车系统的电/电子架构具有第一控制单元、第二控制单元和要控制的单元。第一控制单元、第二控制单元例如是电控制单元(ECU)。使用在控制单元之一中执行的软件集群来控制该单元，所述单元例如是执行器或传感器。

背景技术

如例如广泛的驾驶员辅助系统之类的汽车行业中的当前的发展导致电子控制设备中的软件规模呈指数增长。AUTOSAR经典对于这样的电子控制设备描述标准化软件架构。在传统的软件架构中，电控制单元的整个软件必须被创建为整体的和封闭的元件，这除了长构建时间之外，还导致所有软件组件彼此间的强依赖性。随着AR Flex概念的引入，AUTOSAR经典现在提供一种用于将总软件划分为各个子组件的可能性。在此，ECU软件的应用层被划分为尽可能独立的软件集群(SWCL)。所有软件集群都表示分离的组件，所述分离的组件可以彼此单独地被构建和装载。除了软件架构之外，汽车系统的电/电子架构也处于深刻变迁中。为了满足在汽车系统中对计算效率的增高的需求，而在此不增加E/E架构的复杂性，它变得越来越中心化(zentralisiert)。为此，多个领域特定的控制设备被组合成一些高性能车辆服务器(Vehicle Servern)和主控制器。车辆服务器的焦点处于高计算效率。而主控制器尤其例如被使用用于调节任务。车辆服务器和主控制器的两种不同架构也影响可使用的软件架构。AUTOSAR自适应(Adaptive)架构已经被设计用于最佳地使用车辆服务器的资源。这使得能够在基于POSIX的操作系统上进行符合AUTOSAR的软件开发。

例如，在传统的汽车系统的情况下，诸如执行器或传感器之类的单元借助于特定的为此设置的控制单元被控制，所述控制单元又为此执行对应的软件。为了在汽车系统的安全关键单元的情况下建立冗余，传统地例如安装多个并排布置的硬件组件，所述硬件组件分别可以在控制设备的差错情况(Fehlerfall)下控制对应的单元，并且因此可以代替失灵的控制设备。

发明内容

本公开的任务是创造一种方法和装置，利用所述方法或利用所述装置使得能够有利地简单且可靠地控制汽车系统的单元。

该任务通过具有独立专利权利要求的特征的计算机实现的方法或控制装置来解决。本公开的有利设计方案在从属权利要求中予以说明。

根据本公开，用于控制汽车系统的单元的计算机实现的方法具有下面列举的步骤。汽车系统的电/电子架构具有第一控制单元、第二控制单元和要控制的单元。第二控制单元借助于首要软件集群被构造用于控制该单元。换句话说，首要软件集群在第二控制设备上被执行，由此对汽车系统的要控制的单元进行控制。根据本公开，第一控制单元被构造用于在第二控制单元的差错情况下借助于备用软件集群接管该单元的控制。换句话说，也可以借助于在第一控制单元上执行的备用软件集群来接管该单元的控制。方法步骤是：

-识别借助于首要软件集群对单元的控制是有差错的(fehlerhaft)和/或有缺陷的。根据该方法步骤，例如在汽车系统的运行期间识别借助于第二控制单元上的首要软件集群对单元的控制是有差错的和/或有缺陷的。与此相应地，借助于第二控制单元对该单元的控制不按规定地起作用。

-借助于第一控制单元操控第二控制单元，由此将所述第二控制单元置于失效静默状态并且不再发送潜在有差错的数据。根据该方法步骤，在已经识别出借助于首要软件集群对单元的控制是有差错的和/或有缺陷的之后，通过借助于第一控制单元操控将有差错的第二控制单元置于失效静默状态，由此不再将有差错的控制数据发送给汽车系统的要控制的单元和/或不再将有差错的数据更多地发送给汽车系统的其他组件。失效静默状态与此相应地用于防止汽车系统内的潜在差错传播，并且同时将有差错的第二控制单元置于静止状态。根据一种实施方式，失效静默状态被导入，其方式是对应的接收器(例如ETH收发器)被关断。

-借助于所述第一控制单元的备用软件集群来控制所述单元，由此维持所述单元的功能性。根据该方法步骤，随后对汽车系统的要控制的单元的控制通过第一控制单元、在此尤其是通过备用软件集群来确保，所述备用软件集群在第一控制单元上被执行用于控制该单元。与此相应地，可以借助于备用软件集群来维持要控制的单元的功能性。

与此相应地，根据本公开，即使借助于第二控制单元的首要软件集群对单元的控制是有差错的和/或有缺陷的，也能够确保借助于第一控制单元的备用软件集群对单元的控制。与此相应地，可以在汽车系统内建立冗余来控制该单元，而不必安装附加的硬件组件，而是仅仅借助于在汽车系统内在其他已经存在的控制单元中布置备用软件集群即可。根据本公开，因此可以例如借助于AUTOSAR经典(Classic)的AR Flex概念来实现对汽车系统的单元的有利的简单且冗余的控制。即使第一控制单元和第二控制单元基于不同的硬件和软件架构，也可以实现冗余。

根据一种实施方式，所述汽车系统的电/电子架构此外具有第三控制单元，所述第三控制单元被构造用于从所述第一控制单元或所述第二控制单元接收用于控制所述单元的控制指令，并且其中通过所述第三控制单元执行所述单元的控制。根据一种实施方式，第三控制单元可以被实施为第一或第二控制单元中的虚拟应用程序。根据另一实施方式，第三控制单元可以安装为物理附加控制单元。第三控制单元例如可以从第一或第二控制单元接收控制指令，用于将所述控制指令翻译成对于要控制的单元可执行的语言，并且与此相应地操控该要控制的单元。对此，第三控制单元可以被看作第一或第二控制单元与要控制的单元之间的中介机构。与此相应地，可以借助于第三控制单元来操控大量不同的要控制的单元。

根据一种实施方式，所述第一控制单元是主控制器，所述第二控制单元是车辆服务器并且所述第三控制单元是区域控制单元。根据一种实施方式，车辆服务器具有有利地高的计算效率。例如根据一种实施方式，主控制器被构造用于尤其是在汽车系统内接管调节任务，并且区域控制单元被构造用于对于汽车系统内的特别预定义的区域接管一些预定义的单元、诸如执行器和/或传感器的特别控制。

根据一种实施方式，第一控制单元具有微控制器并且第二控制单元具有微处理器。第一控制单元例如被设置为尤其是用于调节任务的主控制器，并且具有微控制器，使得主控制器可以有利地执行用于执行调节任务的必要特性。根据一种实施方式，第二控制单元被构造为车辆服务器并且具有微处理器，所述微处理器具有用于接管车辆服务器的任务的所必要的特性。微控制器具有兼容性优点，因为传统的汽车软件是针对基于微控制器的控制设备设计的。为此，微控制器是成本更低的(kontengünstiger)。此外，已经为微控制器设计的软件可能具有更高的实时要求。微处理器具有更高的计算效率，并且可以执行基于POSIX的操作系统，其使用增加软件与其他系统的兼容性。

根据一种实施方式，在运行期间由所述第二控制单元连续地或循环地向所述第一控制单元发送心跳信号，其中所述第一控制单元识别如果所述心跳信号未到或是有差错的，则借助于所述第二控制单元对所述单元的控制是有差错的或有缺陷的。换句话说，第二控制单元连续地或循环地向第一控制单元发送心跳信号，以便将其完全功能能力通知给第一控制单元。一旦在第二控制单元内出现差错或缺陷，就中断心跳信号，由此相应地心跳信号不到达第一控制单元。与此相应地，第一控制单元可以识别第二控制单元是有差错的和/或有缺陷的，由此可以导入用于控制汽车系统的要控制的单元的其他步骤。与此相应地，借助于心跳信号，有利地可以简单地识别在正常运行中接管对汽车系统的要控制的单元的控制的第二控制单元是否按规定地起作用。根据一种实施方式，从第二控制单元每毫秒或每十毫秒发送心跳信号。一毫秒和十毫秒之间的毫秒数值同样是可设想的。

根据一种实施方式，所述第三控制单元由所述第一控制单元操控，用于一旦识别出借助于所述第二控制单元对所述单元的控制是有差错的或有缺陷的，就滤出并且不转发从所述第二控制单元获得的所有数据分组。如果例如第二控制单元的心跳信号未到，则与此相应地由第一控制单元操控第三控制单元，使得滤出或不转发从第二控制单元发送给第三控制单元的所有数据分组。与此相应地，确保不使用第二控制单元的可能有差错的数据分组来控制汽车系统的要控制的单元，而是借助于第一控制单元上的备用软件集群来接管控制，并且与此相应地确保起作用的软件集群可以接管对要控制的单元的控制并且不受第二控制单元的有差错的数据控制。

根据一种实施方式，经由第一控制单元借助于备用软件集群来执行该单元的控制。根据AUTOSAR经典中的AR Flex概念的备用软件集群是首要软件集群的冗余软件集群，所述首要软件集群在第二控制单元上在第二控制单元的正常运行中被使用来控制该单元。然而，如果首要软件集群是有差错的或者第二控制单元是有缺陷的或有差错的，则根据该实施方式，经由第一控制单元借助于备用软件集群来执行该单元的控制。根据另一实施方式，用于控制该单元所需要的并且在正常运行中传送给第二控制单元的数据被传送给第一控制单元，使得备用软件集群可以对汽车系统的单元按规定地进行控制。根据另一实施方式，在首要软件集群和备用软件集群之间进行同步，使得能够实现对要控制的单元的有利控制。

根据一种实施方式，一旦识别出借助于所述第二控制单元对所述单元的控制是有差错的或有缺陷的，就借助于服务发现将要控制的单元与第一控制单元连接。根据另一实施方式，一旦识别出借助于所述第二控制单元对所述单元的控制是有差错的或有缺陷的，就借助于服务发现将第三控制单元与第一控制单元连接。服务发现表示在计算机网络中服务的自动识别。“基于IP的可扩展的面向服务的中间件(Scalable Service OrientedMiddlewarE over IP)(SOME/IP)”能够实现信息的面向服务的传输。服务发现协议传达汽车系统中的称为服务的功能实体的可用性。该服务循环地向整个网络发送“服务报价(Service Offer)”消息(广播)。一个或多个客户端获得该服务报价并且检验所述客户端是否想要与该服务连接。如果是，则客户端向发送方发送订阅消息(单播)，所述发送方又以确认进行应答。随后客户端等待服务器的事件。服务发现有利地广为流行并且是标准化的，并且不仅在AUTOSAR经典中而且在AUTOSAR自适应中可用。

根据一种实施方式，借助于分组过滤器来执行借助于所述第一控制单元对所述第二控制单元的操控用于将第二控制单元置于失效静默状态。根据该实施方式，与此相应地滤出第二控制单元的所有输入和输出数据，使得在汽车系统内有差错的第二控制单元不导致差错传播和有差错的数据传输。根据该实施方式，所有以第二控制单元(车辆服务器)作为发送方或接收方的数据分组都不被转发或处理。与此相应地，(有缺陷的)第二控制单元处于所定义的且安全的状态，并且第二控制单元的一个/多个差错不影响剩余系统。

根据一种实施方式，要控制的单元是执行器、要监控的传感器或汽车系统的其他要控制的单元或其组合。要控制的单元例如是电机、发电机、压力传感器、温度传感器、传动系或传动系的一部分或汽车系统的其他要控制的单元。

根据一种实施方式，汽车系统附加地具有监控单元，所述监控单元被构造用于监控所述要控制的单元是否借助于所述第一控制单元的备用软件集群按规定地被控制。根据该实施方式，与此相应地借助于监控单元监控在第二控制单元的差错情况下借助于备用软件集群对要控制的单元的控制是否按规定地起作用。根据一种实施方式，监控单元例如可以被构造在第一控制单元内，根据另一实施方式，监控单元可以作为单独的控制单元安装在汽车系统中，或者根据另一实施方式，监控单元也可以在第一控制单元内仅仅被实施为明确地被构造用于监控的另一软件集群。

根据本公开的另一方面，公开一种用于控制汽车系统的单元的控制装置，其中汽车系统的电/电子架构具有第一控制单元、第二控制单元和要控制的单元，其中所述第二控制单元借助于首要软件集群被构造用于控制所述单元并且其中所述第一控制单元借助于备用软件集群被构造用于在所述第二控制单元的差错情况下接管对所述单元的控制，其中所述控制装置被构造用于执行前述方法之一。根据该方面的控制装置可以由第一控制单元、第二控制单元和第三控制单元组成或者具有所述第一控制单元、第二控制单元和第三控制单元和/或具有附加的控制单元。根据另一实施方式，根据该方面的控制装置可以作为附加控制单元的一部分安装在汽车系统内。

附图说明

根据本公开的方法和装置的实施例和改进方案在图中示出并且根据以下描述更详细地被阐述。

图1示出根据第一实施方式的汽车系统的E-E架构的示意图，

图2示出根据第二实施方式的汽车系统的E-E架构的示意图，

图3示出根据第三实施方式的汽车系统的E-E架构的示意图，

图4示出根据第四实施方式的汽车系统的E-E架构的示意图，

图5示出根据第一实施方式的用于控制单元的方法流程的示意图。

具体实施方式

图1示出汽车系统100的E-E/软件架构。汽车系统100具有第一车辆服务器110和第二车辆服务器120。根据该实施方式，第一车辆服务器110和第二车辆服务器120可以相互通信。这用第一车辆服务器110和第二车辆服务器120之间的虚线示意性示出。根据该实施方式的汽车系统100附加地具有第一主控制器130和第二主控制器140。主控制器130、140分别可以彼此通信，并且附加地可以分别与车辆服务器110、120之一通信。根据该实施方式，第一主控制器130可以与第一车辆服务器110通信，并且根据该实施方式，第二主控制器140可以与第二车辆服务器120通信。根据该实施方式，第一传感器132和执行器134附加地分配给第一主控制器130。第一主控制器130被构造用于控制第一传感器132或处理其传感器数据。附加地，第一主控制器130被构造用于控制第一执行器134。电控制单元142、第二传感器144和第二执行器146分配给第二主控制器140。第二主控制器140被构造用于控制第一电控制单元或接收并且进一步处理其数据。附加地，第二主控制器140被构造用于接收并且进一步处理第二传感器144的传感器数据，并且必要时控制第二传感器144。附加地，根据该实施方式的第二主控制器140被构造用于控制第二执行器146。根据该实施方式，汽车系统100附加地具有第一区域控制单元150、第二区域控制单元160和第八区域控制单元170。在图1中示意性地示出了可以安装附加的区域控制单元。第一区域控制单元150、第二区域控制单元160以及直至第八区域控制单元170的其他区域控制单元可以相互通信。

根据在图1中示出的该实施方式，第一区域控制单元150与第一车辆服务器110和第一主控制器130连接。附加地，示意性地示出其他区域控制单元同样可以与第一主控制器130以及第一车辆服务器110和第二车辆服务器120连接或者与第一主控制器130以及第一车辆服务器110和第二车辆服务器120连接。根据该实施方式，第三执行器152分配给第一区域控制单元150。与此相应地，第一区域控制单元150被构造用于操控第三执行器152。第三传感器162和第二电控制单元164分配给第二区域控制单元160。与此相应地，根据一种实施方式，第二区域控制单元160例如被构造用于接收和转发第三传感器162的传感器数据，并且必要时控制第三传感器162。附加地，第二区域控制单元160被构造用于操控第二电控制单元164或接收并且转发其数据。根据该实施方式，第四传感器172和第四执行器174分配给第八区域控制单元170。第八区域控制单元被构造用于控制第四传感器172或接收并且处理和转发其传感器数据。第八区域控制单元170附加地被构造用于控制第四执行器174或实施其控制。

图2示出来自图1的汽车系统100的E-E/硬件架构细节200。在此，示出第一车辆服务器110、第一主控制器130、第一区域控制单元150和第三执行器152。如从图2可以看出的，第一车辆服务器110被构造用于通过第一区域控制装置150控制第三执行器152。作为备用(Backup)，第一主控制器130被构造用于通过第一区域控制单元150控制第三执行器152。第一车辆服务器110具有用于控制执行器152的首要软件集群210。第一主控制器130具有用于当首要软件集群210不能被使用来控制第三执行器152时控制执行器152的备用软件集群220。不仅第一车辆服务器110而且第一主控制器130均具有差错OP代理230。差错OP代理230(Fail Operational Agent(失效操作代理))操心为了恢复系统所需要的所有任务。尤其是操心监控、失效静默(Fail Silent)和启动备用软件集群。

差错OP代理230使得能够将对于恢复过程所需要的所有任务收集在一个软件组件中。根据一种实施方式，实际功能性(首要和备用软件集群)也可以独立于差错OP代理230被执行。

图3示出第一车辆服务器110、第一主控制器130和第三执行器152之间的第一网络结构300。在此，不同的组件借助于以太网或CAN连接310相互连接。

图4示出第一车辆服务器110、第一主控制器130和第三执行器152之间的第二网络结构400。根据第二网络结构400的各个组件之间的连接借助于CAN或LIN连接410实现。在图4中附加地示意性地示出了输入数据420，所述输入数据从第三执行器152被发送给第一车辆服务器110和/或第一主控制器130。不仅在图3中而且在图4中均示意性地示出了第一车辆服务器110的首要软件集群。在图4中，附加地示意性地示出了PWM信号430，所述PWM信号可以经由CAN连接从第一车辆服务器110或从第一主控制器130被发送给第三执行器152。可以使用网络结构400或网络结构300根据本公开的方法来控制要控制的单元。因此，根据本公开的方法可以灵活地被使用于各种架构。由于CAN或LIN架构比ETH架构成本更低，由此可以实现成本优点。附加地，ETH是相对耗费的协议，所述相对耗费的协议以比较功率强大的计算机硬件为前提。CAN或LIN架构可以利用更有益的硬件来实现。

图5在其示意性结构上对应于图2，然而图5附加地示出根据本公开的方法的流程图500。在第一步骤510中，由第一主控制器130识别第一车辆服务器110不正确地或不按规定地执行其用于控制第三执行器152的任务。根据一种实施方式，可以借助于所谓的心跳信号来实现简单的监视，第一车辆服务器110将所述心跳信号循环地发送给第一主控制器130。由于心跳信号未到，所以第一主控制器130识别出车辆服务器110的故障。

借助于第二步骤520，在流程图500中示意性地示出了第一主控制器130负责第一车辆服务器110切换到失效静默模式并且与此相应地以失效静默方式表现并且不再发送潜在有差错的数据。为此，第一主控制器130附加地指示第一区域控制单元150滤出并且不转发从第一车辆服务器110发送的所有数据分组，由此与此相应地禁止通过有差错的第一车辆服务器110或通过有差错的首要软件集群210控制第三执行器152。

在流程图500的第三步骤530中，示意性地示出了第一主控制器130继续进行第三执行器152的关键功能性。为此，将第一主控制器的备用软件集群220从所谓的热备份状态(Hot Standby Status)置于激活模式。这意味着，第一主控制器130的备用软件集群220连贯地被执行并且与此相应地获得与第一车辆服务器110的首要软件集群210相同的输入值。在差错情况之外，仅仅备用软件集群210的输出不被转发给第三执行器152。为了通过第一主控制器130继续安全关键功能，因此激活备用软件集群220的输出就足够了。

在第四步骤540中，在流程图500中示意性地示出了第三执行器还必须接收备用软件集群220的输出。为此必要的是，备用软件集群220借助于服务发现(Service Discovery)将主控制器130与第一区域控制单元150连接，以便所述备用软件集群能够经由所述主控制器操控执行器152。通过服务发现，系统被重新配置为使得第三执行器152可以与第一主控制器130的备用软件集群220交换数据。如果服务发现已经成功，则借助于第一主控制器130上的备用软件集群220恢复第三执行器152的功能，并且汽车系统100再次运转完全正常。

Claims (11)

1.一种用于控制汽车系统的单元(152)的计算机实现的方法，其中所述汽车系统的电/电子架构具有第一控制单元(130)、第二控制单元(110)和要控制的单元(152)，其中所述第二控制单元(110)借助于首要软件集群(210)被构造用于控制所述单元(152)，并且其中所述第一控制单元(130)借助于备用软件集群(220)被构造用于在所述第二控制单元(110)的差错情况下接管对所述单元(152)的控制，所述方法具有以下步骤：

-识别借助于所述首要软件集群(210)对所述单元(152)的控制是有差错的和/或有缺陷的；

-借助于所述第一控制单元(130)操控所述第二控制单元(110)，由此将所述第二控制单元(110)置于失效静默状态并且不再发送潜在有差错的数据；

-借助于所述第一控制单元(130)的备用软件集群(210)来控制所述单元(152)，由此维持所述单元(152)的功能性。

2.根据权利要求1所述的计算机实现的方法，其中所述汽车系统的电/电子架构此外具有第三控制单元(150)，所述第三控制单元被构造用于从所述第一控制单元(130)或所述第二控制单元(110)接收用于控制所述单元(152)的控制指令，并且其中通过所述第三控制单元(130)执行所述单元(152)的控制。

3.根据前述权利要求中任一项所述的计算机实现的方法，其中所述第一控制单元(130)是主控制器(130)，所述第二控制单元(110)是车辆服务器(110)和/或所述第三控制单元(150)是区域控制单元(150)。

4.根据前述权利要求中任一项所述的计算机实现的方法，其中所述第一控制单元(130)具有微控制器，并且其中所述第二控制单元(110)具有微处理器。

5.根据前述权利要求中任一项所述的计算机实现的方法，其中从所述第二控制单元(110)连续地或循环地向所述第一控制单元(130)发送心跳信号，并且所述第一控制单元(130)识别如果所述心跳信号未到或是有差错的，则借助于所述第二控制单元(110)对所述单元(152)的控制是有差错的或有缺陷的。

6.根据前述权利要求中任一项所述的计算机实现的方法，其中所述要控制的控制单元(152)或所述第三控制单元(150)由所述第一控制单元(130)操控，用于一旦识别出借助于所述第二控制单元(110)对所述单元(152)的控制是有差错的或有缺陷的，就滤出并且不转发从所述第二控制单元(110)获得的所有数据分组。

7.根据前述权利要求中任一项所述的计算机实现的方法，其中一旦识别出借助于所述第二控制单元(110)对所述单元(152)的控制是有差错的或有缺陷的，就借助于服务发现将所述单元(152)与所述第一控制单元(130)连接。

8.根据前述权利要求中任一项所述的计算机实现的方法，其中借助于分组过滤器来执行借助于所述第一控制单元(130)对所述第二控制单元(110)的操控用于将所述第二控制单元(110)置于失效静默状态。

9.根据前述权利要求中任一项所述的计算机实现的方法，其中所述要控制的单元(152)是执行器(152)、要监控的传感器或汽车系统的其他要控制的单元或其组合。

10.根据前述权利要求中任一项所述的计算机实现的方法，其中所述汽车系统附加地具有监控单元，所述监控单元被构造用于监控所述要控制的单元(152)是否借助于所述第一控制单元(130)的备用软件集群(210)按规定地被控制。

11.一种用于控制汽车系统的单元(152)的控制装置，其中所述汽车系统的电/电子架构具有第一控制单元(130)、第二控制单元(110)和要控制的单元(152)，其中所述第二控制单元(110)借助于首要软件集群(210)被构造用于控制所述单元(152)并且其中所述第一控制单元(130)借助于备用软件集群(220)被构造用于在所述第二控制单元(110)的差错情况下接管对所述单元(152)的控制，其中所述控制装置被构造用于执行根据权利要求1至10所述的方法之一。