[0001] 本申请涉及车辆技术领域，尤其涉及一种控制系统和车辆。

[0002] 自动驾驶系统要求在失效发生时，车辆能够进入失效运行模式，保证车辆能够提供一定时长的功能，等待驾驶员接管车辆或者车辆自动靠边停车，从而保证自动驾驶过程的安全性。

[0003] 现有的控制系统，通常包括两个控制子系统，每个控制子系统均包括传感器、控制器、执行器以及系统基础芯片等模块。系统基础芯片中配置有看门狗，看门狗周期性向控制器发送随机问题，控制器需要按时反馈该问题的正确答案，称为“喂狗”。如果未能按时“喂狗”或者反馈答案错误，看门狗内部错误计数器会累加，当该内部错误计数器达到阈值时，看门狗会关断执行器的输出或者触发控制器复位，保证该控制子系统进入安全状态，由另一个控制子系统继续运行，从而实现控制系统的失效运行。

[0004] 但上述控制系统中的所有模块都是冗余的，系统结构复杂且成本较高。实用新型内容

[0005] 本申请提供一种控制系统和车辆，用以解决现有技术中失效运行系统结构复杂的问题。

[0006] 第一方面，本申请提供一种控制系统，包括：第一控制子系统和第二控制子系统；

[0007] 第一控制子系统包括第一控制芯片；第二控制子系统包括第二控制芯片；第一控制芯片的第一输出端与第二控制芯片的第一输入端连接；第一控制芯片的第一输入端与第二控制芯片的第一输出端连接；

[0008] 第一控制芯片生成第一喂狗信号，并在第一输出端输出第一喂狗信号；第二控制芯片用于根据第一喂狗信号生成第一反馈信号，并在第一输出端输出第一反馈信号；

[0009] 第一控制芯片根据第一反馈信号生成第一使能信号或者在预设时长内未收到第一反馈信号时生成第一使能信号，第一使能信号用于控制第二控制子系统是否工作。

[0010] 在一种可能的设计中，第二控制芯片生成第二喂狗信号，并在第一输出端输出第二喂狗信号；第一控制芯片用于根据第二喂狗信号生成第二反馈信号，并在第一输出端输出第二反馈信号；

[0011] 第二控制芯片根据第二反馈信号生成第二使能信号或者在预设时长内未收到第二反馈信号时生成第二使能信号，第二使能信号用于控制第一控制子系统是否工作。

[0012] 在一种可能的设计中，第一控制子系统还包括看门狗芯片，第一控制芯片的第二输出端与看门狗芯片的输入端连接，看门狗芯片的第一输出端与第一控制芯片的第二输入端连接；

[0013] 看门狗芯片生成第三喂狗信号，并通过第一输出端输出第三喂狗信号；第一控制芯片用于根据第三喂狗信号生成第三反馈信号；

[0014] 看门狗芯片根据第三反馈信号生成第三使能信号或者在预设时长内未收到第三反馈信号时生成第三使能信号，第三使能信号用于控制第一控制子系统是否工作。

[0015] 在一种可能的设计中，第一控制子系统还包括第一开关元件和第一执行器，第一控制芯片的驱动端与第一开关元件的第一端连接，第一开关元件的第二端与第一执行器的输入端连接；

[0016] 第一开关元件的控制端与第二控制芯片的第二输出端连接，第一开关元件的控制端接收第二使能信号。

[0017] 在一种可能的设计中，第二控制子系统还包括第二开关元件和第二执行器，第二控制芯片的驱动端与第二开关元件的第一端连接，第二开关元件的第二端与第二执行器的输入端连接；

[0018] 第二开关元件的控制端与第一控制芯片的第三输出端连接，第二开关元件的控制端接收第一使能信号。

[0019] 在一种可能的设计中，第一控制子系统还包括第一开关元件和第一执行器，第一控制芯片的驱动端与第一开关元件的第一端连接，第一开关元件的第二端与第一执行器的输入端连接；

[0020] 第一开关元件的控制端与看门狗芯片的第二输出端连接，第一开关元件的控制端接收第三使能信号。

[0021] 在一种可能的设计中，第一使能信号为第一预设占空比的信号时，用于控制第二控制子系统继续工作；第一使能信号为第二预设占空比的信号时，用于控制第二控制子系统停止工作。

[0022] 在一种可能的设计中，第二使能信号为第三预设占空比的信号时，用于控制第一控制子系统继续工作；第二使能信号为第四预设占空比的信号时，用于控制第一控制子系统停止工作。

[0023] 在一种可能的设计中，第三使能信号为第三预设占空比的信号时，用于控制第一控制子系统继续工作；第三使能信号为第四预设占空比的信号时，用于控制第一控制子系统停止工作。

[0024] 在一种可能的设计中，第一控制子系统还包括第一供电电源；第一控制芯片的供电端与第一供电电源的输出端连接；

[0025] 第二控制子系统还包括第二供电电源；第二控制芯片的供电端与第二供电电源的输出端连接。

[0026] 在一种可能的设计中，第一控制子系统还包括第一供电电源；

[0027] 第一控制芯片的供电端与第一供电电源的输出端连接，看门狗芯片的供电端与第一供电电源的输出端连接。

[0028] 在一种可能的设计中，第一控制子系统还包括第一传感器；第一传感器的输出端与第一控制芯片的第三输入端连接；

[0029] 第二控制子系统还包括第二传感器；第二传感器的输出端与第二控制芯片的第二输入端连接。

[0030] 第二方面，本申请提供一种车辆，包括第一方面及第一方面任一种实施例中的控制系统。

[0031] 本申请提供的控制系统和车辆，通过在控制系统的两个控制子系统中分别设置控制芯片，由第一控制芯片来控制第二控制子系统是否工作，使得第二控制子系统中无需系统基础芯片即可实现高诊断覆盖率，保证第二控制子系统处于安全状态，也即本申请的控制系统简化了控制系统的结构，且能够保证高诊断覆盖率。

[0039] 为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请中的附图，对本申请中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

[0040] 本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”、“第四”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换。例如，在不脱离本文范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。

[0041] 自动驾驶Level 3及以上系统要求在失效发生时能够进入失效运行模式，保证车辆还能提供若干时长的功能，等待驾驶员来接管车辆或者车辆能够自动靠边停车。为了实现失效运行，相较于航空航天中经常使用的3个输入选择2个输入的架构(2out of 3，2oo3)，综合考虑成本与性能，汽车上主要采用2个诊断系统选1个输出的架构(1out of 
2Diagnosis，1oo2D)。

[0042] 常见的1oo2D系统主要通过两套完全冗余的失效安全系统来实现，相应地，电源、通讯等都需要实现冗余。1oo2D要求每个失效安全系统对于失效要达到非常高的诊断覆盖率，当单个失效安全系统的失效发生时，该失效安全系统触发系统关断执行器输出，进入安全状态。两个失效安全系统之间也需要通过机制来检测失效，当其中一个失效安全系统失效时，另一个失效安全系统还可以继续运行，提供50％的输出能力，实现失效运行。

[0043] 图1示出了现有技术中一种控制系统的结构示意图。如图1所示，控制系统包括两个控制子系统，每个控制子系统均包括传感器、控制器、执行器以及系统基础芯片等模块。也就是说，控制系统中所有模块都是冗余的。

[0044] 以控制子系统1为例，系统基础芯片1中配置有看门狗1，看门狗的作用在于覆盖控制器在时间与逻辑计算方面的失效。具体地，看门狗1周期性向控制器1发送随机问题，控制器1需要按时反馈该问题的正确答案，称为“喂狗”。如果未能按时“喂狗”或者反馈答案错误，看门狗1内部的错误计数器会累加记录错误次数，当该内部错误计数器记录的错误次数达到阈值时，看门狗1会关断执行器1的输出或者触发控制器1复位，保证控制子系统1进入安全状态，由控制子系统2继续运行，从而实现控制系统的失效运行。

[0045] 在每个控制子系统中，为了实现高诊断覆盖率，该系统基础芯片是必要的，利用一款成本远低于控制器的专用芯片实现了外部看门狗的作用。但是在整个控制系统中，由于所有模块都是冗余的，控制器1和控制器2可以通过互相监控来实现高诊断覆盖率，系统基础芯片1和系统基础芯片2就不再不可或缺。

[0046] 基于此，本申请提出了一种控制系统和车辆。控制系统中包括两个控制子系统，由第一控制子系统中的第一控制芯片来控制第二控制子系统是否运行，相比现有技术，至少省略了系统基础芯片2，简化了控制系统结构，且对于第二控制子系统仍能够保证高诊断覆盖率。

[0047] 下面以具体地实施例对本申请的技术方案进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例不再赘述。

[0048] 图2示出了本申请一实施例提供的一种控制系统的结构示意图。如图2所示，控制系统包括第一控制子系统110和第二控制子系统120。

[0049] 第一控制子系统110包括第一控制芯片111；第二控制子系统120包括第二控制芯片121。第一控制芯片111的第一输出端与第二控制芯片121的第一输入端连接；第一控制芯片111的第一输入端与第二控制芯片121的第一输出端连接。

[0050] 第一控制芯片111生成第一喂狗信号，并在第一输出端输出第一喂狗信号；第二控制芯片121用于根据第一喂狗信号生成第一反馈信号，并在第一输出端输出第一反馈信号。

[0051] 第一控制芯片111根据第一反馈信号生成第一使能信号或者在预设时长内未收到第一反馈信号时生成第一使能信号，第一使能信号用于控制第二控制子系统120是否工作。

[0052] 本实施例中，第一喂狗信号和第一反馈信号均可以是脉宽调制信号。第一控制芯片111输出第一喂狗信号时，将第一喂狗信号由数字信号转换为模拟方波电压信号进行传输，第二控制芯片121接收第一喂狗信号后将第一喂狗信号由模拟方波电压信号转换为数字信号，并根据第一喂狗信号生成第一反馈信号。

[0053] 第二控制芯片121输出第一反馈信号时，同样将第一反馈信号由数字信号转换为模拟方波电压信号进行传输，第一控制芯片111接收第一反馈信号后将第一反馈信号由模拟方波电压信号转换为数字信号，并根据第一反馈信号生成第一使能信号。

[0054] 此处，预设第一喂狗信号对应的有效第一反馈信号为预设周期内高电平持续时长占比为预设值，或者有效第一反馈信号为预设周期内低电平持续时长占比为预设值。若第一控制芯片111接收到有效的第一反馈信号，则生成第一预设占空比的第一使能信号，用于控制第二控制子系统120继续工作。若第一控制芯片111接收到无效的第一反馈信号，则生成第二预设占空比的第一使能信号，用于控制第二控制子系统120停止工作，由第一控制子系统110单独工作。

[0055] 具体地，第一使能信号为第一预设占空比的信号时，用于控制第二控制子系120统继续工作；第一使能信号为第二预设占空比的信号时，用于控制第二控制子系统120停止工作。也即，能够控制第二控制子系统120继续工作的有效第一使能信号为第一预设占空比的使能信号，能够控制第二控制子系统120停止工作的有效第一使能信号为第二预设占空比的使能信号。

[0056] 可选地，若第一控制芯片111未在预设时长内接收到第一反馈信号，也可以生成第二预设占空比的第一使能信号，用于控制第二控制子系统120停止工作。

[0057] 本实施例提供的控制系统，通过设置第一控制芯片111和第二控制芯片121，由第一控制芯片111来监测第二控制子系统120，实现第二控制子系统120的高诊断覆盖率，简化了控制系统的整体结构，降低了硬件成本。

[0058] 在一种可能的设计中，第二控制芯片121生成第二喂狗信号，并在第一输出端输出第二喂狗信号；第一控制芯片111根据第二喂狗信号生成第二反馈信号，并在第一输出端输出第二反馈信号；

[0059] 第二控制芯片121根据第二反馈信号生成第二使能信号，第二使能信号用于控制第一控制子系统110是否工作。

[0060] 与上述实施例类似，第二喂狗信号和第二反馈信号也可以是脉宽调制信号。第二控制芯片121输出第二喂狗信号时，将第二喂狗信号由数字信号转换为模拟方波电压信号进行传输，第一控制芯片111接收第二喂狗信号后将第二喂狗信号由模拟方波电压信号转换为数字信号，并根据第二喂狗信号生成第二反馈信号。

[0061] 第一控制芯片111输出第二反馈信号时，同样将第二反馈信号由数字信号转换为模拟方波电压信号进行传输，第二控制芯片121接收第二反馈信号后将第二反馈信号由模拟方波电压信号转换为数字信号，并根据第二反馈信号生成第二使能信号。

[0062] 此处，预设第二喂狗信号对应的有效第二反馈信号为预设周期内高电平持续时长占比为预设值，或者有效第二反馈信号为预设周期内低电平持续时长占比为预设值。若第二控制芯片121接收到有效的第二反馈信号，则生成第三预设占空比的第二使能信号，用于控制第一控制子系统110继续工作。若第二控制芯片121接收到无效的第二反馈信号，则生成第四预设占空比的第二使能信号，用于控制第一控制子系统110停止工作，由第二控制子系统120单独工作。

[0063] 具体地，第二使能信号为第三预设占空比的信号时，用于控制第一控制子系统110继续工作；第二使能信号为第四预设占空比的信号时，用于控制第一控制子系统110停止工作。也即，能够控制第一控制子系统110继续工作的有效第二使能信号为第三预设占空比的使能信号，能够控制第一控制子系统110停止工作的有效第二使能信号为第四预设占空比的使能信号。

[0064] 可选地，若第二控制芯片121未在预设时长内接收到第二反馈信号，也可以生成第四预设占空比的第二使能信号，用于控制第一控制子系统110停止工作。

[0065] 本实施例的控制系统，由第一控制芯片111来监测第二控制子系统120，实现第二控制子系统120的高诊断覆盖率，还可以由第二控制芯片121来监测第一控制子系统110，实现第一控制子系统110的高诊断覆盖率，从而实现整个控制系统的高诊断覆盖率，保证了控制系统的运行安全。

[0066] 图3示出了本申请一实施例提供的另一种控制系统的结构示意图。如图3所示，第一控制子系统110还包括看门狗芯片116，第一控制芯片111的第二输出端与看门狗芯片116的输入端连接，看门狗芯片116的第一输出端与第一控制芯片111的第二输入端连接。

[0067] 看门狗芯片116生成第三喂狗信号，并通过第一输出端输出第三喂狗信号。

[0068] 第一控制芯片111根据第三喂狗信号生成第三反馈信号。

[0069] 看门狗芯片116根据第三反馈信号生成第三使能信号，第三使能信号用于控制第一控制子系统110是否工作。

[0070] 本实施例中，第三喂狗信号和第三反馈信号也可以是脉宽调制信号。传输过程中的信号转换方式与前述实施例类似，此处不再赘述。

[0071] 与前述实施例类似，预设第三喂狗信号对应的有效第三反馈信号为预设周期内高电平持续时长占比为预设值，或者有效第三反馈信号为预设周期内低电平持续时长占比为预设值。若看门狗芯片116接收到有效的第三反馈信号，则生成第三预设占空比的第三使能信号，用于控制第一控制子系统110继续工作。若看门狗芯片116接收到无效的第三反馈信号，则生成第四预设占空比的第三使能信号，用于控制第一控制子系统110停止工作，由第二控制子系统120单独工作。

[0072] 具体地，第三使能信号为第三预设占空比的信号时，用于控制第一控制子系统110继续工作；第三使能信号为第四预设占空比的信号时，用于控制第一控制子系统110停止工作。也即，能够控制第一控制子系统110继续工作的有效第三使能信号为第三预设占空比的使能信号，能够控制第一控制子系统110停止工作的有效第三使能信号为第四预设占空比的使能信号。

[0073] 可选地，若看门狗芯片116未在预设时长内接收到第三反馈信号，也可以生成第四预设占空比的第三使能信号，用于控制第一控制子系统110停止工作。

[0074] 本实施例的控制系统，由第一控制芯片111来监测第二控制子系统120，实现第二控制子系统120的高诊断覆盖率，由看门狗芯片116来监测第一控制子系统110，实现第一控制子系统110的高诊断覆盖率，从而实现整个控制系统的高诊断覆盖率，相比现有技术，同样简化了控制系统的结构，降低了硬件产品的成本。

[0075] 继续参考图2或图3，第一控制子系统110还包括第一开关元件112和第一执行器113，第一控制芯片111的驱动端与第一开关元件112的第一端连接，第一开关元件112的第二端与第一执行器113的输入端连接；

[0076] 第一开关元件112的控制端与第二控制芯片121的第二输出端连接，第一开关元件112的控制端接收第二使能信号。

[0077] 本实施例中，第一开关元件112的第一端和控制端可以为同一接口，也可以为两个不同的接口，也即第一开关元件112可以为两接口元件，也可以为三接口元件。

[0078] 第二使能信号为脉宽调制信号，此处，可以预设特定占空比的脉冲信号来指示第一开关元件112的通断。

[0079] 例如，第二控制芯片121输出预设占空比的第二使能信号，第一开关元件112接收到预设占空比的第二使能信号时，控制第一开关元件112关断，从而避免了第二控制子系统120掉电故障时，关断管脚变低，拉掉第一控制芯片111的输出而导致的第一控制子系统110也停止工作，实现了掉电安全。

[0080] 本实施例的控制系统中，第一控制子系统110还包括第一开关元件112和第一执行器113，第二控制芯片121通过第二使能信号控制第一开关元件112的通断，从而控制第一控制子系统110是否工作，实现了第二控制芯片121对第一控制子系统110的精准控制以及第一控制子系统110的高诊断覆盖率。

[0081] 继续参考图2或图3，第二控制子系统120还包括第二开关元件122和第二执行器123，第二控制芯片121的驱动端与第二开关元件122的第一端连接，第二开关元件122的第二端与第二执行器123的输入端连接；

[0082] 第二开关元件122的控制端与第一控制芯片111的第三输出端连接，第二开关元件122的控制端接收第一使能信号。

[0083] 与前述实施例类似，第二开关元件122的第一端和控制端可以为同一接口，也可以为两个不同的接口，也即第二开关元件122可以为两接口元件，也可以为三接口元件。

[0084] 本实施例中第一使能信号为脉宽调制信号，此处，可以预设特定占空比的脉冲信号来指示第二开关元件122的通断。

[0085] 例如，第一控制芯片111输出预设占空比的第一使能信号，第二开关元件122接收到预设占空比的第一使能信号时，控制第二开关元件122关断，从而避免了第一控制子系统110掉电故障时，关断管脚变低，拉掉第二控制芯片121的输出而导致的第二控制子系统120也停止工作，实现了掉电安全。

[0086] 本实施例的控制系统中，第二控制子系统120还包括第二开关元件122和第二执行器123，第一控制芯片111通过第一使能信号控制第二开关元件122的通断，从而控制第二控制子系统120是否工作，实现了第一控制芯片111对第二控制子系统120的精准控制以及第二控制子系统120的高诊断覆盖率。

[0087] 继续参考图3，第一控制子系统110还包括第一开关元件112和第一执行器113，第一控制芯片111的驱动端与第一开关元件112的第一端连接，第一开关元件112的第二端与第一执行器113的输入端连接；

[0088] 第一开关元件112的控制端与看门狗芯片116的第二输出端连接，第一开关元件112的控制端接收第三使能信号。

[0089] 本实施例中，第一开关元件112的第一端和控制端可以为同一接口，也可以为两个不同的接口，也即第一开关元件112可以为两接口元件，也可以为三接口元件。

[0090] 第三使能信号为脉宽调制信号，此处，可以预设特定占空比的脉冲信号来指示第一开关元件112的通断。

[0091] 本实施例的控制系统中，第一控制子系统110还包括第一开关元件112和第一执行器113，看门狗芯片116通过第三使能信号控制第一开关元件112的通断，从而控制第一控制子系统110是否工作，实现了看门狗芯片116对第一控制子系统110的精准控制以及第一控制子系统110的高诊断覆盖率。

[0092] 继续参考图2或图3，第一控制子系统110还包括第一供电电源114；第一控制芯片111的供电端与第一供电电源114的输出端连接；

[0093] 第二控制子系统120还包括第二供电电源124；第二控制芯片121的供电端与第二供电电源124的输出端连接。

[0094] 本实施例中，第一供电电源114和第二供电电源124均可以是分立器件或者线性电源，相比现有技术中的系统基础芯片，降低了硬件产品的成本。

[0095] 继续参考图3，第一控制子系统110包括看门狗芯片116时，看门狗芯片116的供电端与第一供电电源114的输出端连接，第一控制芯片111的供电端与第一供电电源114的输出端连接。

[0096] 本实施例中，第一供电电源114与看门狗芯片116可以集成为一个芯片，也可以作为分立器件使用。

[0097] 继续参考图2或图3，第一控制子系统110还包括第一传感器115；第一传感器115的输出端与第一控制芯片111的第三输入端连接；

[0098] 第二控制子系统120还包括第二传感器125；第二传感器125的输出端与第二控制芯片121的第二输入端连接。

[0099] 在上述实施例的基础上，第一控制子系统110还可以包括第一供电电池，第二控制子系统120还可以包括第二供电电池。第一供电电池和第二供电电池的电压可以为9‑16V的电池，第一供电电源114和第二供电电源124可以将9‑16V的电压转换为标准电压，使控制系统在标准电压下可以运行。

[0100] 应当理解，本申请实施例提供的控制系统，适用于失效安全系统、制动系统、悬挂系统以及自动驾驶决策层系统等双冗余架构。

[0101] 本申请还提供一种车辆，车辆包括前述任意一个实施例中控制系统，具体的结构与前述实施例一致，此处不再赘述。

[0102] 最后应说明的是：以上各实施例仅用以说明本申请的技术方案，而非对其限制。尽管参照前述各实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换。而这些修改或者替换，并不使相应技术方案的本质脱离本申请各实施例技术方案的范围。