[0001] 本申请涉及车载控制器领域，具体涉及一种冗余控制器及自动驾驶车辆。

[0002] ADAS(Advanced Driving Assistance System，高级驾驶辅助系统)或低级别自动驾驶(L4级以下)的控车控制器一般采用一个ASIL‑D等级的MCU(Microcontroller Unit，微
控制单元)为主控的控制器。控车控制器负责将强算力SOC芯片(System on Chip，系统级芯
片)感知、计算、决策规划的数据转化为控车信号，并对车辆进行横纵向控制，同时在自动驾驶车辆域控制器失效时可以继续进行降级控车。

[0003] 然而，相关技术中，很多MCU设计的控车控制器尚未实现冗余备份的功能，这种采用单节点设计的MCU控制器，一旦单个控制器发生故障，车辆就会失去控制。同时，现有的单个MCU设计的控制器无法满足L4级及以上的高级自动驾驶车辆控制器的安全性标准。
实用新型内容

[0004] 鉴于上述问题，提出了本申请以便提供一种冗余控制器及自动驾驶车辆，以达到提高车辆安全性及可靠性、冗余控制器两系之间耦合性低，同时又能够相互通信并隔离异
常故障信号的技术效果。

[0005] 依据本申请的第一方面，提供了一种冗余控制器，应用于自动驾驶车辆，所述冗余控制器分别与所述自动驾驶车辆的ADCU以及所述自动驾驶车辆的VDCU通信连接，

[0006] 所述冗余控制器包括：第一MCU控制单元、第二MCU控制单元、隔离通信电路单元、第一电源转换电路单元、第二电源转换电路单元以及第一接口电路单元、第二接口电路单
元，

[0007] 所述第一MCU控制单元与所述第一电源转换电路单元电性连接，所述第二MCU控制单元与所述第二电源转换电路单元电性连接；

[0008] 所述第一MCU控制单元与所述第一接口电路单元电性连接，所述第二MCU控制单元与所述第二接口电路单元电性连接；

[0009] 所述第一MCU控制单元与所述第二MCU控制单元之间通过所述隔离通信电路单元电性连接。

[0010] 进一步地，所述冗余控制器设置于所述自动驾驶车辆的ADCU的外部，且与所述自动驾驶车辆的VDCU通信连接。

[0011] 进一步地，所述冗余控制器设置于所述自动驾驶车辆的ADCU的内部，且与所述自动驾驶车辆的VDCU通信连接。

[0012] 进一步地，所述第一电源转换电路单元和所述第二电源转换电路单元均包括电源转换电路，所述电源转换电路至少包括以下的之一：DC/DC电路、LDO电路以及PMIC电路。

[0013] 进一步地，所述冗余控制器还包括：第一供电电源和第二供电电源，所述第一供电电源与所述第一电源转换电路单元电性连接，所述第二供电电源与所述第二电源转换电路
单元电性连接。

[0014] 进一步地，所述隔离通信电路单元包括隔离芯片，所述第一MCU控制单元与所述第二MCU控制单元之间通过所述隔离芯片隔离异常故障信号，并且所述隔离芯片的两端分别
与所述第一电源转换电路单元、所述第二电源转换电路单元电性连接。

[0015] 进一步地，所述冗余控制器还包括第一存储器单元和第二存储器单元，

[0016] 所述第一MCU控制单元与所述第一存储器单元电性连接，所述第二MCU控制单元与所述第二存储器单元电性连接，

[0017] 所述第一供电电源通过所述第一电源转换电路单元为所述第一存储器单元、所述第一接口电路单元进行供电，所述第二供电电源通过所述第二电源转换电路单元为所述第
二存储器单元、所述第二接口电路单元进行供电。

[0018] 进一步地，所述第一接口电路单元至少包括以下的之一：CAN接口电路、CAN FD接口电路、车载以太网接口电路及IO接口电路，所述第二接口电路单元至少包括以下的之一：
CAN接口电路、CAN FD接口电路、车载以太网接口电路及IO接口电路。

[0019] 进一步地，所述冗余控制器通过CAN总线或者CAN FD总线与所述自动驾驶车辆的ADCU通信连接，且所述冗余控制器通过CAN总线或者CAN FD总线与所述自动驾驶车辆的
VDCU通信连接；

[0020] 和/或，所述冗余控制器通过以太网线与所述自动驾驶车辆的车载网关通信连接；

[0021] 和/或，所述冗余控制器通过IO总线与所述自动驾驶车辆的IO控制模块通信连接。

[0022] 本申请的第二方面提供了一种自动驾驶车辆，包括如上述第一方面任一项所述的冗余控制器。

[0023] 本申请的优点及有益效果是：提出了一种冗余控制器及自动驾驶车辆，所述冗余控制器分别与所述自动驾驶车辆的ADCU以及VDCU通信连接，所述冗余控制器包括：第一MCU
控制单元、第二MCU控制单元、隔离通信电路单元、第一电源转换电路单元、第二电源转换电路单元以及第一接口电路单元、第二接口电路单元。本申请通过采用热备冗余结构的设计，
使得控制器两系之间的耦合性低，同时能够实现两个MCU控制单元的相互通信、隔离干扰，
避免因故障引起车辆失控，从而提高了自动驾驶系统的稳定性与安全性，满足L4级及以上
等级自动驾驶车辆的可靠性要求。

[0024] 上述说明仅是本申请技术方案的概述，为了能够更清楚了解本申请的技术手段，而可依照说明书的内容予以实施，并且为了让本申请的上述和其它目的、特征和优点能够
更明显易懂，以下特举本申请的具体实施方式。

[0036] 为使本实用新型的目的、技术方案和优点更加清楚，下面将结合本实用新型具体实施例及相应的附图对本实用新型技术方案进行清楚、完整的描述。显然，所描述的实施例
仅是本实用新型一部分实施例，而不是全部的实施例。基于本实用新型中的实施例，本领域
普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本实用新型
保护的范围。

[0037] 以下结合附图，详细说明本申请各实施例提供的技术方案。

[0038] 参照图1所示，图1为本申请一个实施例中的冗余控制器的原理示意图，在本申请的一个实施例中，提出了一种冗余控制器，应用于自动驾驶车辆，所述冗余控制器分别与所
述自动驾驶车辆的ADCU以及所述自动驾驶车辆的VDCU通信连接，所述冗余控制器包括：第
一MCU控制单元1、第二MCU控制单元2、隔离通信电路单元3、第一电源转换电路单元4、第二
电源转换电路单元5以及第一接口电路单元6、第二接口电路单元7，所述第一MCU控制单元1
与所述第一电源转换电路单元4电性连接，所述第二MCU控制单元2与所述第二电源转换电
路单元5电性连接；所述第一MCU控制单元1与所述第一接口电路单元6电性连接，所述第二
MCU控制单元2与所述第二接口电路单元7电性连接；所述第一MCU控制单元1与所述第二MCU
控制单元2之间通过所述隔离通信电路单元3电性连接。

[0039] 如图1所示，本实施例中的冗余控制器具有热备冗余的结构设计，所述冗余控制器中的各个部分均采用车规级器件，所述MCU控制单元中的核心芯片是满足一种ASIL‑D功能
安全等级的MCU。所述冗余控制器内部具体可以划分为控制器A系与控制器B系，控制器两系
的结构和器件类型均相同，控制器两系中的两个MCU在数据封装时分配有不同的ID号，但是
两个MCU的型号相同并且运行相同的运算程序，接收来自自动驾驶车辆ADCU的数据进行运
算，并将控车指令通过CAN总线或者CAN FD总线发送给自动驾驶车辆的VDCU进行控车。

[0040] 在正常情况下，控制器中的两个MCU控制单元同时工作、同时运行，互相掌握对方的状态信息。控制器A系中包括第一MCU控制单元1、第一电源转换电路单元4、第一接口电路
单元6、第一供电电源8以及第一存储器单元10，控制器B系中包括第二MCU控制单元2、第二
电源转换电路单元5、第二接口电路单元7、第二供电电源9以及第二存储器单元11，控制器A
系和控制器B系之间通过隔离通信电路单元3连接，并能够实现控制器两系之间的通信及数
据交互，同时，当所述冗余控制器中的其中一系发生异常时，由于隔离通信电路单元的作
用，可以避免另一系控制器受到故障的影响，控制器两系之间的耦合性低，满足L4级及以上
等级的自动驾驶车辆的安全要求。

[0041] 在本申请的一个实施例中，所述冗余控制器设置于所述自动驾驶车辆的ADCU(Automated Driving Control Unit，自动驾驶域控制器)的外部，且与所述自动驾驶车辆
的VDCU(Vehicle Domain Control Unit，整车域控制器)通信连接。具体地，如图2所示，本
实施例中的冗余控制器采用了独立模块的设计并设置于自动驾驶车辆ADCU的外部，所述冗
余控制器(包括控制器A系和控制器B系，控制器A系和控制器B系可以相同也可以不同，通常
配置为相同)分别与自动驾驶车辆的ADCU以及自动驾驶车辆的VDCU通信连接。当冗余控制
器在自动驾驶系统应用时，通过ADCU的SOC芯片来实现多传感器的对外部环境信息的采集，
融合、决策，并且由两个MCU控制单元将采集计算得到的数据转化为控车信号，实现对车辆
行为的控制功能，包括横向控制(例如，对方向盘的控制)和纵向控制(例如，对车辆刹车、加减速的控制)。

[0042] 在本申请的另一个实施例中，如图3所示，所述冗余控制器设置于所述自动驾驶车辆的ADCU的内部，且与所述自动驾驶车辆的VDCU通信连接。具体地，本实施例中的冗余控制
器集成于自动驾驶车辆的ADCU的内部，所述冗余控制器(包括控制器A系和控制器B系，控制
器A系和控制器B系可以相同也可以不同，通常配置为相同)同样可以与自动驾驶车辆的
ADCU以及VDCU通信连接，设置在ADCU内部的冗余控制器的电路结构、功能与前述独立于
ADCU的冗余控制器近似，在此不做赘述。

[0043] 在本申请的一些实施例中，所述冗余控制器的第一电源转换电路单元和第二电源转换电路单元均包括电源转换电路，所述电源转换电路至少包括以下的之一：DC/DC电路、
LDO电路以及PMIC电路。具体地，DC/DC电路(Direct Current Direct Current Converter)
的主要功能是进行输入输出电压的转换，由于车辆动力电池包的高压直流电并不能直接用
于车辆的照明、娱乐、仪表等设备，因此，则需要借助DC/DC电路将车辆高压系统中的高压直流电经过稳压、降压之后，转换为可供低压电器使用的低压直流电。

[0044] 在本申请的实施例中，所述冗余控制器的两个MCU控制单元的供电需要经历先稳压再降压的过程，以符合所述MCU控制单元的3.3V的工作电压要求。如图4所示，图4为本申
请一个实施例中的DC/DC稳压电路，图中所示芯片为本申请实施例中的一种同步升降压DC/
DC变换器，图中电路主要用于将车载电池4.5V～36V变化范围内的电压稳压至11.5V左右，
从而确保各模块在工作电压范围内的正常运行。如图5所示，图5为本申请一个实施例中的
DC/DC降压电路的示意图，图中所示芯片为本申请实施例中的一种高频同步整流降压转换
器，图中电路的作用在于将12V的电压降压至3.3V，以满足所述冗余控制器中的MCU控制单
元的工作需求。

[0045] 在本申请的另一个实施例中，所述电源转换电路还包括LDO电路，LDO(low dropout regulator)是一种低压差线性稳压器，其具备成本低，噪音低，静态电流小等优
点，同样可以实现电源电压的转换，并应用于降压领域。

[0046] 在本申请的实施例中，所述电源转换电路包括PMIC电路(Power Management IC，集成电源管理电路)，作为管理电子设备电能供应的关键器件，PMIC可以有效地利用空间并
管理系统电源。PMIC的主要功能通常包括电压转换器、稳压器、电池充电器和电源控制等，
同时可为汽车电子控制单元中5V或3.3V的MCU微控制器、收发器和传感器提供高效的多输
出电源。在本申请的一个实施例中，如图6所示，图6为一种与MCU控制单元配套使用的PMIC
的示意图，图中左侧所示芯片为一种适用于MCU控制单元的PMIC芯片，图中右侧所示为一种
MCU控制器，所述PMIC芯片可用于雷达、视觉、ADAS和车辆域控制器的应用，同时可以与MCU
控制单元配套使用，其包括多个开关模式和线性电压调节器，具有故障安全输出等增强安
全的功能，并且可以达到ASIL‑D的安全等级。

[0047] 可以理解，上述图示中的各个芯片的类型或者管脚仅为举例，并不用于限定本申请的保护范围。

[0048] 在本申请的一些实施例中，如图1所示，所述冗余控制器还包括：第一供电电源8和第二供电电源9，所述第一供电电源8与所述第一电源转换电路单元4电性连接，所述第二供
电电源9与所述第二电源转换电路单元5电性连接。具体地，控制器A系和控制器B系中分别
设置了独立的供电电源并为整系的电子器件进行供电，第一供电电源8为控制器A系的供电
电源，第二供电电源9为控制器B系的供电电源；同时，在供电之前还设置了电源转换电路单
元，以满足各个单元的工作要求。在本实施例中，第一供电电源8通过第一电源转换电路单
元4为第一MCU控制单元1进行供电，第二供电电源9通过第二电源转换电路单元5为第二MCU
控制单元2进行供电。由此，可以保证在控制器其中一系出现电源故障时，不影响另一系的
正常供电工作。

[0049] 在本申请的一个实施例中，如图1所示，所述冗余控制器中的所述隔离通信电路单元3包括隔离芯片，所述第一MCU控制单元1与所述第二MCU控制单元2之间通过所述隔离芯
片隔离异常故障信号，并且所述隔离芯片的两端分别与所述第一电源转换电路单元4、所述
第二电源转换电路单元5电性连接。具体地，可以利用隔离芯片来实现控制器两系之间的隔
离功能，在本实施例中，所述两个MCU控制单元之间可以通过隔离芯片实现电源、通信以及
状态IO等信息的监测及通信，当两个MCU控制单元中的任意一个MCU出现短路或者烧毁等问
题，都不会影响另外一个MCU的正常工作，进而避免所述控制器其中一系的故障影响另外一
系。

[0050] 在本申请的一个实施例中，如图1所示，所述冗余控制器还包括第一存储器单元10和第二存储器单元11，所述第一MCU控制单元1与所述第一存储器单元10电性连接，所述第
二MCU控制单元2与所述第二存储器单元11电性连接，所述第一供电电源8通过所述第一电
源转换电路单元4为所述第一存储器单元10、所述第一接口电路单元6进行供电，所述第二
供电电源9通过所述第二电源转换电路单元5为所述第二存储器单元11、所述第二接口电路
单元7进行供电。具体地，第一存储器单元10和第二存储器单元11中的存储器选用铁电存储
器，存储速度快且读写次数无限制，可以用于存放配置参数以及存放高频次修改的车辆运
行状态参数等。

[0051] 在本申请的实施例中，所述第一接口电路单元6至少包括以下的之一：CAN接口电路、CAN FD接口电路、车载以太网接口电路及IO接口电路，所述第二接口电路单元7至少包
括以下的之一：CAN接口电路、CAN FD接口电路、车载以太网接口电路及IO接口电路。

[0052] 具体地，接口电路单元是MCU控制单元与外部设备进行信息交互的桥梁，外部设备可以通过不同的接口电路连接到所述冗余控制器的系统总线上去。如图7所示，图7为本申
请一个实施例中的CAN接口电路的示意图，图中所示芯片为一种具备转换、唤醒等功能的
CAN收发器，在该实施例中，由CAN总线(Controller Area Network,控制器局域网络)来连
接所述冗余控制器与车辆域控制器(包括自动驾驶车辆的ADCU和VDCU)并进行信息交互与
通信。

[0053] 在本申请的实施例中，所述接口电路单元包括CAN FD(CAN Flexible Data rate)接口电路，CAN FD采用与CAN通信相同的事件触发模式，其最高数据传输速率达5Mbit/s，能
够更好地满足要求高实时性、高数据传输速率的应用。在本申请的实施例中，所述接口电路
单元还包括车载以太网(Ethernet)接口电路，并可以通过以太网线进行对外的数据传输与
信息交互。

[0054] 在本申请的一个实施例中，所述第一接口电路单元6和所述第二接口电路单元7中还包括IO接口电路。如图8所示，图8为本申请一个实施例中的IO接口电路中的数字输入接
口电路的示意图，IO接口电路(输入/输出接口电路)是车辆MCU控制器应用系统中的一种单
元电路，主要涉及数据输入电路以及经MCU控制单元处理后的数据输出电路。在本实施例
中，所述数字输入接口电路可以用于车辆的唤醒、对外驱动控制等应用模块。

[0055] 在本实施例中，如图9所示，图9为IO接口电路中的高边驱动接口电路，高边驱动是指负载通过开关接电源的驱动方式，在汽车应用中需要借助升压器件将电压提升到足够的
水平，用以驱动车辆不同的应用模块，MCU控制单元需要对输入信号进行比较、判断或运算
处理后，以输出适当的控制信号去控制特定设备。因此，高边驱动接口电路可以用于所述冗
余控制器与车辆状态指示控制等模块的连接与通信。

[0056] 可以理解，上述图示中的各个芯片的类型或者管脚仅为举例，并不用于限定本申请的保护范围。

[0057] 在本申请的一些实施例中，所述冗余控制器通过CAN总线或者CAN FD总线与所述自动驾驶车辆的ADCU通信连接，且所述冗余控制器通过CAN总线或者CAN FD总线与所述自
动驾驶车辆的VDCU通信连接；和/或，所述冗余控制器通过以太网线与所述自动驾驶车辆的
车载网关通信连接；和/或，所述冗余控制器通过IO总线与所述自动驾驶车辆的IO控制模块
通信连接。可见，所述冗余控制器的接口类型包含CAN/CAN FD接口、车载以太网接口、IO接
口等接口类型，并通过对应的总线实现与车辆各个模块的数据交互与通信。

[0058] 在本申请的一个实施例中，还提出了一种自动驾驶车辆，包括如上述实施例中任一项所述的冗余控制器。具备所述冗余控制器的自动驾驶车辆不仅解决了关键功能部件的
单节点问题，避免故障引起车辆失控，而且还能满足高级自动驾驶控车控制器的可靠性要
求。

[0059] 综上所述，本实施例提出了一种冗余控制器及自动驾驶车辆，所述冗余控制器分别与所述自动驾驶车辆的ADCU以及VDCU通信连接，所述冗余控制器包括：第一MCU控制单
元、第二MCU控制单元、隔离通信电路单元、第一电源转换电路单元、第二电源转换电路单元以及第一接口电路单元、第二接口电路单元。本申请实施例通过采用热备冗余结构的设计，
解决了控车控制器单节点的问题，冗余控制器两系之间耦合性低，不仅能够实现相互监测
与数据通信，而且可以隔离干扰，避免由单个控制器故障引起的车辆失控，进而提高了自动
驾驶系统的稳定性，满足L4级及以上等级的自动驾驶车辆的可靠性、安全性要求。

[0060] 需要说明的是，在本实用新型的描述中，需要理解的是，术语“中心”、“上”、“下”、“前”、“后”、“左”、“右”、“竖直”、“水平”、“顶”、“底”“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本实用新型和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解
为对本实用新型的限制。

[0061] 此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括一个或者更多个该特征。

[0062] 在本实用新型中，除非另有明确的规定和限定，“连接”等术语应做广义理解，例如，可以是电连接或彼此可通讯；可以是直接相连，也可以通过中间媒介间接相连，可以是
两个元件内部的连通或两个元件的相互作用关系，除非另有明确的限定。对于本领域的普
通技术人员而言，可以根据具体情况理解上述术语在本实用新型中的具体含义。

[0063] 在本实用新型的描述中，除非另有说明，“多个”的含义是两个或两个以上。还需要说明的是，术语“包括”“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制
的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

[0064] 在本实用新型中，除非另有明确的规定和限定，第一特征在第二特征“上”或“下”可以是第一和第二特征直接接触，或第一和第二特征通过中间媒介间接接触。而且，第一特征在第二特征“之上”、“上方”和“上面”可是第一特征在第二特征正上方或斜上方，或仅仅表示第一特征水平高度高于第二特征。第一特征在第二特征“之下”、“下方”和“下面”可以是第一特征在第二特征正下方或斜下方，或仅仅表示第一特征水平高度小于第二特征。

[0065] 在本说明书的描述中，参考术语“一个实施例”、“一些实施例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本实用新型的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。
而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合
适的方式结合。

[0066] 以上所述，仅为本实用新型的具体实施方式，在本实用新型的上述教导下，本领域技术人员可以在上述实施例的基础上进行其他的改进或变形。本领域技术人员应该明白，
上述的具体描述只是更好的解释本实用新型的目的，本实用新型的保护范围应以权利要求
的保护范围为准。