[发明专利]基于软件代码迁移的失效可操作的系统设计模式

说明书

一种失效可操作的控制系统包括迁移控制器，迁移控制器具有非易失性存储器、RAM、以及CPU。迁移控制器包括储存在迁移控制器的非易失性存储器中的软件代码。由迁移控制器的CPU执行的、储存在迁移控制器的非易失性存储器中的软件代码专用于相应系统。相应系统不在来自另一系统的主控制器的控制下。响应于在系统操作的执行期间需要备用控制器的另一系统的主控制器的系统操作的启动，将储存在另一系统的主控制器的非易失性存储器中的失效可操作的软件代码转移至迁移控制器的RAM。迁移控制器在另一系统的主控制器中的系统操作的执行期间临时用作备用控制器。

技术领域

实施例涉及容错控制系统。

背景技术

提供安全功能的系统通常使用冗余控制器通过关闭已经经历故障或者失效的功能来确保安全。这种系统被称为失效沉默系统。如果检测到故障，则关闭特征的控制装置并且该特征在系统中将不再可操作。

一些系统试图使用失效可操作的系统来实施控制系统，其中，附加控制器用于确保可以继续进行一段时间的安全操作，诸如，双重双控制器。如果第一控制器失效并且陷入沉默，则第二控制器将被激活并且所有致动器将转换至依靠来自第二控制器的请求。使用非对称实施的控制器的其它类型的系统可以避免重复的硬件和软件故障。然而，在任一种情况下，使用专门用于仅仅作为主控制器的备用控制器的第二控制器是无效的，并且就资源使用(例如，存储器或者CPU使用)而言可能成本更高。

发明内容

实施例的优点在于备用控制器的使用，备用控制器通过将执行软件从主控制器的非易失性存储器迁移至备用控制器的随机存取存储器来减小备用控制器的非易失性存储器。将软件代码迁移至备用控制器减小了在电子控制单元的失效可操作的架构中的非易失性存储器要求的使用，这也降低了成本并且增加了处理器设计的效率。该技术在启动和增加控制器整合时优化非易失性构件，从而降低部件成本。

实施例设想了失效可操作的控制系统。主控制器包括非易失性存储器以及用于执行储存在主控制器的非易失性存储器中的软件代码的中央处理单元。储存在主控制器的非易失性存储器中的软件代码包括在非失效状态和失效状态期间由主控制器的中央处理单元执行的非关键软件和失效可操作的软件。迁移控制器包括非易失性存储器、随机存取存储器、以及中央处理单元。迁移控制器包括储存在迁移控制器的非易失性存储器中的软件代码。由迁移控制器的中央处理单元执行的、储存在迁移控制器的非易失性存储器中的软件代码专用于相应系统。该相应系统不在主控制器的控制下。响应于在系统操作的执行期间需要备用控制器的主控制器的系统操作的启动，将储存在主控制器的非易失性存储器中的与该系统操作有关的失效可操作的软件代码转移至迁移控制器的随机存取存储器。迁移控制器在主控制器中的系统操作的执行期间临时用作备用控制器。

实施例设想了失效可操作的控制系统。迁移控制器包括非易失性存储器、随机存取存储器、以及中央处理单元。迁移控制器包括储存在迁移控制器的非易失性存储器中的软件代码。由迁移控制器的中央处理单元执行的、储存在迁移控制器的非易失性存储器中的软件代码专用于相应系统。该相应系统不在来自另一系统的主控制器的控制下。响应于在系统操作的执行期间需要备用控制器的另一系统的主控制器的系统操作的启动，将储存在另一系统的主控制器的非易失性存储器中的失效可操作的软件代码转移至迁移控制器的随机存取存储器。迁移控制器在另一系统的主控制器中的系统操作的执行期间临时用作备用控制器。

一种用于重新配置用于失效可操作的条件的控制器的方法。迁移控制器被选择用于在来自另一系统的主控制器的失效期间转移失效可操作的软件代码。迁移控制器不再主控制器所控制的另一系统的主控制器的控制下。在主控制器的系统操作的执行期间，启动要求备用控制器的主控制器的系统操作。将主控制器的非易失性存储器中的失效可操作的软件代码转移至迁移控制器的随机存取存储器。迁移控制器包括储存在迁移控制器的非易失性存储器中的、专用于与主控制器所控制的系统不同的另一系统的软件代码。在主控制器中检测到故障。响应于在主控制器中检测到故障，在迁移控制器的随机存取存储器中执行失效可操作的软件代码。

附图说明