CN104049530A - 容错控制系统 - Google Patents

Abstract

本发明涉及容错控制器系统，其包括第一控制器和第二控制器。第一和第二控制器中的一者被指定为主控制器以用于在无故障操作条件下生成旨在控制车辆上的致动装置的控制信号，并且第一和第二控制器中的另一者被指定为副控制器以生成旨在控制车辆上的致动装置的控制信号。所述致动装置仅响应于被指定的主控制器。在主控制器中探测到错误并且从故障控制器向无故障控制器发送消息来识别所述错误。随后无故障控制器被指定为主控制器。控制信号包括标识符，其将无故障控制器识别为被指定的主控制器。响应探测到所述错误，所述故障控制器被重置作为副控制器以安全操作模式操作。

Description

容错控制系统

技术领域

实施例大体涉及故障操作的车辆系统中的故障控制。

背景技术

提供安全功能的系统通常利用备用的控制器来确保安全操作能够继续一段持续时间段以便允许系统转变到不取决于故障操作的系统的当前状态的操作模式。这样的系统通常利用双重双工控制器。如果第一控制器发生故障且不运转，则第二控制器将被激活并且所有的致动器将转换成依赖来自第二控制器的请求。如果缺陷实际上是硬件方面的问题（例如布线问题、引脚连接问题）以致第二控制器不会具有相同缺陷，则系统将正确地起作用。然而，如果缺陷是由于两个控制器共同的缺陷所造成，例如软件缺陷，则这个软件缺陷导致使得两个控制器均会受影响的运行时间错误。因此，如果两个控制器均不运转，则没有能够在系统中执行的操作控制，并且因此系统将无法操作。

发明内容

实施例的优点在于系统的连续功能性，该系统利用双工控制器，其中维持了系统的功能性而不管系统是否存在故障，例如软件设计缺陷，否则这将影响两个控制器从而从任意控制器均无法得到行为响应。此外，在若干微秒内起动任一控制器的可行性提供了一种简单安全操作的操作模式，其允许控制装置操作在具有最小的操作系统支持的情况下作为裸硬件上的独立应用来运行。这里描述的发明结合了物理备用与递增回退（incremental fallback）策略的优点，其具有避免在驾驶员能够合理地有望重新控制车辆之前自动化技术不能维持操作状态的情况的总体目标。这种设计的物理备用主要减少由于随机硬件故障导致的系统故障的风险。此外，从正常模式操作到安全模式操作的递增回退主要减少与系统性故障（例如软件缺陷）相关联的风险。

本发明利用故障之后在安全操作模式中控制器的重启，其中安全操作模式是更确定性的行为，其被隔离于正常模式操作的元件，而正常模式相比确定性行为更偏好性能。

实施例设想了用于故障操作的车辆系统的容错控制器策略。（a）提供第一控制器和第二控制器，这二者均生成旨在无故障操作条件下控制车辆上的致动装置的控制信号，所述第一控制器最初被指定为主控制器并且所述第二控制器最初被指定为副控制器，所述致动装置仅响应于被指定的主控制器；（b）探测两个控制器中一个控制器中的错误，其中被探测到具有所述错误的相应控制器最初被识别为故障控制器并且另一个控制器最初被识别为无故障控制器；（c）如果在步骤（b）中探测到控制器故障，则由无故障的被指定的主控制器生成控制信号来控制所述致动装置的致动，所述控制信号包括将所述无故障控制器识别为被指定的主控制器的识别符；（d）响应步骤（b）中探测到所述错误，重置所述故障控制器作为副控制器以安全操作模式操作。

实施例设想了用于故障操作的车辆系统的容错控制器系统。第一控制器生成旨在无故障操作条件下控制车辆上的致动装置的控制信号。第一控制器最初被指定为主控制器。第二控制器生成旨在控制所述车辆上的所述致动装置的控制信号。第二控制器最初被指定为副控制器。所述致动装置仅响应于被指定的主控制器。当在两个控制器中的一个控制器中探测到错误时，从故障控制器向无故障控制器发送消息来识别所述错误。随后无故障控制器被指定为主控制器。无故障的被指定的主控制器生成的控制所述致动装置的致动的控制信号包括将所述无故障控制器识别为被指定的主控制器的识别符。响应探测到所述错误，所述故障控制器被重新初始化以便作为副控制器以安全操作模式操作。

本发明还提供了以下技术方案。

方案1. 一种用于故障操作的车辆系统的容错控制器策略，包括步骤：

（a）提供第一控制器和第二控制器，所述第一控制器和第二控制器均在无故障操作条件下生成旨在控制车辆上的致动装置的控制信号，所述第一控制器最初被指定为主控制器并且所述第二控制器最初被指定为副控制器，所述致动装置仅响应于被指定的主控制器；

（b）探测两个控制器中的一个控制器中的错误，其中被探测到具有所述错误的相应控制器最初被识别为故障控制器并且另一个控制器最初被识别为无故障控制器；

（c）如果在步骤（b）中探测到控制器错误，则由无故障的被指定的主控制器生成控制信号来控制所述致动装置的致动，所述控制信号包括将所述无故障控制器识别为被指定的主控制器的识别符；

（d）响应步骤（b）中探测所述错误，重置所述故障控制器作为所述副控制器以安全操作模式操作。

方案2. 根据方案1所述的容错控制器策略，还包括步骤：向用户发出第一错误消息以便警告所述用户在步骤（b）中探测到的错误。

方案3. 根据方案2所述的容错控制器策略，其中在步骤（b）中探测两个控制器中的一个控制器中的错误包括下述步骤：

所述第一和第二控制器监测彼此的通信活动；以及

响应于没有来自另一控制器的通信活动，识别出另一控制器中的错误。

方案4. 根据方案2所述的容错控制器策略，其中在步骤（b）中探测两个控制器中的一个控制器中的错误包括下述步骤：

所述第一和第二控制器监测彼此的通信活动；以及

响应于另一控制器偏离预期行为，识别出所述另一控制器中的错误。

方案5. 根据方案2所述的容错控制器策略，其中在步骤（b）中探测两个控制器中的一个控制器中的错误包括由所述故障控制器自行探测所述错误。

方案6. 根据方案5所述的容错控制器策略，还包括步骤：

（e）响应于探测到所述两个控制器中的一个控制器中的错误，从所述故障控制器向所述无故障控制器发送消息以识别出所述错误，其中所述无故障控制器随后被指定为主控制器。

方案7. 根据方案6所述的容错控制器策略，包括步骤：

（f）如果随后在步骤（e）中被指定为主控制器的所述无故障控制器中探测到错误，则从所述被指定的主控制器向以安全操作模式操作的所述副控制器发送识别出所述错误的消息；

（g）响应于步骤（f）中探测到的错误，由以安全操作模式操作的所述副控制器生成控制信号，所述控制信号包括标识符，所述标识符将以安全操作模式操作的所述副控制器识别为被指定的主控制器；以及

（h）响应于步骤（f）中探测到的错误，向所述用户发出第二错误消息，其中响应步骤（f）中探测到的错误生成的所述第二错误消息相对于响应步骤（b）中探测到的错误生成的所述第一错误消息是更加紧急的。

方案8. 根据方案7所述的容错控制器策略，其中步骤（f）中识别出的主控制器作为随后被指定的副控制器以安全操作模式操作。

方案9. 根据方案8所述的容错控制器策略，其中响应于步骤（f）中探测到的错误所发出的错误消息告知所述用户应该执行用户介入来获取对所述控制致动装置的控制。

方案10. 根据方案9所述的容错控制器策略，其中响应于所述用户执行控制动作来获得对所述致动装置的控制，终止所述第一和第二控制器对所述致动装置的控制。

方案11. 根据方案7所述的容错控制器策略，其中响应于点火起动序列，所述第一和第二控制器被重置到无故障操作模式，所述点火起动序列包括关断车辆点火并且重新致动所述车辆点火。

方案12. 根据方案7所述的容错控制器策略，其中所述安全操作模式操作包括使用有限的操作系统支持来操作所述致动装置。

方案13. 根据方案6所述的容错控制器策略，其中如果所述第一控制器和第二控制器同时发生故障，则重新初始化并以所述安全操作模式开始操作的相应控制器被指定为所述主控制器。

方案14. 根据方案6所述的容错控制器策略，其中如果所述第一控制器和第二控制器永久性地发生故障，则所述致动装置包括独立控制策略以用于维持操作直到所述用户执行控制动作来获得对自主车辆系统的控制。

方案15. 一种用于故障操作的车辆系统的容错控制器系统，包括：

第一控制器，所述第一控制器生成旨在无故障操作条件下控制车辆上的致动装置的控制信号，所述第一控制器最初被指定为主控制器；

第二控制器，所述第二控制器生成旨在控制所述车辆上的所述致动装置的控制信号，所述第二控制器最初被指定为副控制器，所述致动装置仅响应于被指定的主控制器；

其中当在两个控制器中的一个控制器中探测到错误时，从故障控制器向无故障控制器发送消息来识别所述错误，并且其中所述无故障控制器随后被指定为主控制器；

其中用于控制所述致动装置的致动的无故障的被指定的主控制器生成的控制信号包括将所述无故障控制器识别为被指定的主控制器的识别符；以及

其中响应探测到所述错误，所述故障控制器被重新初始化作为副控制器以安全操作模式操作。

方案16. 根据方案15所述的容错控制器系统，其中第一错误消息被发出以用于警告用户在所述两个控制器中的一个控制器中探测到的所述错误。

方案17. 根据方案15所述的容错控制器系统，其中如果随后在被指定为主控制器的所述无故障控制器中探测到错误，则从所述被指定的主控制器向当前以所述安全操作模式操作的所述副控制器发送识别出所述错误的消息，被识别为具有错误的所述主控制器被指定为以安全操作模式操作的随后的副控制器；

其中当前以所述安全操作模式操作的所述副控制器生成包括标识符的控制信号，所述标识符将当前以安全操作模式操作的所述副控制器识别为被指定的主控制器；以及

其中在第一和第二控制器中均探测到错误之后，向所述用户发出第二错误消息，并且其中响应第一和第二控制器中探测到的所述错误生成的所述第二错误消息相对于响应两个控制器中的一个控制器中探测到的所述错误生成的所述第一错误消息是更加紧急的。

方案18. 根据方案17所述的容错控制器系统，其中如果随后在以安全操作模式操作的被指定的主控制器中探测到错误，则所述随后的副控制器被指定为以安全操作模式操作的随后的被指定的主控制器。

方案19. 根据方案17所述的容错控制器系统，其中所述第二错误消息指示出应该执行用户介入来获取对所述致动装置的控制。

方案20. 根据方案15所述的容错控制器系统，其中响应于所述用户执行控制动作来获取对自主车辆系统的控制，所述第一和第二控制器将车辆控制让渡给所述车辆的所述用户。

方案21. 根据方案15所述的容错控制器系统，还包括点火系统，其中响应于点火起动序列，所述第一和第二控制器被重置到无故障操作模式，所述点火起动序列包括关断车辆点火并且重新致动所述车辆点火。

方案22. 根据方案15所述的容错控制器系统，其中如果所述第一控制器和第二控制器同时发生故障，则重新初始化并以所述安全操作模式操作的相应控制器被指定为主控制器。

附图说明

图1是用于车辆的故障操作系统的双工控制器的构架框图。

图2示出了用于指定主和副控制器功能性的流程图。

具体实施方式

图1示出了用于车辆的故障操作系统的双工控制器的构架框图。通常，如果受控系统是利用自主控制的系统或安全关键系统并且因此在系统内发生错误时需要容错对策，则车辆系统利用两个控制器。这里使用的术语“自主控制”或“自主操作”可以指的是完全自主操作、半自主操作或受限自主操作。这样系统的示例包括但不限于自主驾驶系统，例如适应性巡航控制系统和自动停车系统。在图1中，示出的车辆10包括第一控制器12和第二控制器14、通信总线16和车辆装置18（例如，致动装置），其用于致动车辆操作从而优选地执行受第一控制器12和第二控制器14控制的自动操作。

第一控制器12包括第一微处理器20和第二微处理器22，优选地每个均具有单独的存储器。第二控制器14也包括两个微处理器（未示出）。各自在无故障操作（这里被称为正常操作条件）下操作的第一控制器12和第二控制器14均将生成并发送控制信号，如同每个相应控制器正在控制车辆装置18。

用于控制车辆装置18的控制策略是基于主配置/副配置，使得相应控制器中的一个被指定为主控制器而另一个控制器被指定为副控制器。还应该理解的是，由原始设备制造商来确定将相应控制器指定为主控制器的系统的初始配置，并且这被阐述在系统的编程中。车辆装置18将仅基于从被指定的主控制器接收的控制信号来听从并执行命令。因此，如果第一控制器12被指定为主控制器并且第二控制器14被指定为副控制器，则车辆装置18仅基于由第一控制器12生成并发送的控制信号来执行功能。虽然被指定为副控制器的第二控制器14生成并在通信总线或类似的通信链路上发送控制信号，但是在第二控制器被指定为副控制器时车辆装置18将不听从第二控制器。

通过第一控制器12和第二控制器14之间的通信来确定将控制器指定为主控制器还是副控制器。最初，相应控制器中的一个被指定为主控制器（例如，第一控制器12）。第一控制器12与第二控制器14通信以用于指示出其在正常条件（无故障）下起作用。当与车辆装置18通信时，第一控制器12发送数据包，该数据包包括前序部分及随后的消息部分。该前序部分包括识别其本身为主控制器的标识符（例如，识别代码）。消息部分包括控制信号或者其他的数据。车辆装置18关联于发送该标识符的相应控制器作为控制装置并且将指定这个相应控制器作为被指定的主控制器。如果从不包括标识符的控制器发送消息，则消息将被控制装置18忽略。

如果发生导致被指定的主控制器的故障情况的错误，则被指定的主控制器（例如，第一控制器12）通知副控制器（例如，第二控制器14）其操作中已经发生错误并且其自身必须重置。响应已经发生错误的通信，副控制器（例如，第二控制器14）将发送作为其消息的一部分的标识符来识别其本身作为被指定的主控制器。在从第二控制器14接收包含识别代码的消息时，控制装置18将听从并执行从第二控制器14接收的命令，此时该第二控制器14是被指定的主控制器。作为副控制器向作为主控制器之间的转变对于控制装置18而言本质上是明晰的，因为每个控制器均以基本相同方式操作并且在通信总线上由每个相应控制器同时生成通信信号。因此，因为在正常操作条件下操作的每个控制器生成并通信相同信号，所以唯一的变化是控制装置18听从哪个消息。

图2示出了用于指定主控制器和副控制器功能性的第一故障情况的框图。在框30，第一控制器和第二控制器二者均在正常操作条件下操作。在框30，已经事先确定第一控制器被指定为主控制器并且第二控制器被指定为副控制器。第一控制器通过在被发送到控制装置的每个消息内发送标识符将其自身识别为被指定的主控制器。控制装置仅听从并执行由主控制器生成的命令。虽然副控制器近似同时地生成并发送相同命令，但是控制装置忽略来自第二控制器的命令，因为第一控制器被指定为主控制器。

在框31，存在关于主控制器（第一控制器）的操作发生故障的情况。响应故障的发生，第一控制器向第二控制器发送消息以通知第二控制器错误已经发生。如果第一控制器能够重新初始化（例如重启），则已经发生非致命错误并且第一控制器将以安全操作模式操作；否则，如果第一控制器不能重新初始化，则存在致命错误并且第一控制器变成无响应。在框31，关于第一控制器发生非致命错误。响应于从第一控制器接收到错误消息，第二控制器指定其自身作为主控制器（C2_P/NM）。之后在正常操作条件下操作的同时，第二控制器指定其本身作为随后的主控制器。第一控制器让渡其作为主控制器的职责。其后，第一控制器随后将作为副控制器（C1_S/SM）仅以安全操作模式操作，并且将不再发送标识符到控制装置来将其自身识别为主控制器。

也应该理解的是，可以由无故障控制器通过监测故障控制器的活动来探测故障控制器内的故障。每个控制器均可以监测另一控制器的活动以便识别出另一控制器内的故障。响应于故障控制器不响应，可以识别出无故障控制器探测到故障控制器内的故障。即，当以正常操作模式操作时，两个控制器均生成相同的控制信号。因此，如果针对一个控制器没有生成活动而同时针对另一控制器正在生成控制信号，则做出无响应控制器发生故障的判定。

替代性地，可以响应于故障控制器不稳定地操作来识别出故障控制器。如果故障控制器以偏离其所需行为的方式起作用，则可以由监测故障控制器的不稳定功能性的无故障控制器来做出判定。

在框32，第一警报被发出以警告车辆驾驶员故障情况。第一警报不是需要立即关注的紧急问题，因为第二控制器仍以正常操作模式操作。警告可以是视觉警告，其仅提示驾驶员已经探测到错误并且如果在一次或更多次车辆点火重启操作之后错误重现则应该在近期维修车辆。这样的警告可以包括在仪器面板上的视觉警告。

在框33，存在在当前被指定为主控制器的第二控制器中发生非致命错误的情况。响应于故障的发生，第二控制器发送消息到第一控制器以通知第一控制器其操作中已发生错误。响应于错误消息，第一控制器随后将作为被指定的主控制器来起作用，但是将仅以安全操作模式（C1_P/SM）操作。以安全操作模式操作将允许车辆装置作为单独应用来操作运转，其中该单独应用在具有最小的操作系统支持的情况下在裸硬件上起作用。第二控制器本身重置并且随后作为被指定的副控制器仅以安全操作模式（C2_S/SM）操作。

在框34，第二警报被发出以警告车辆驾驶员在框33中的故障情况。第二警报相对于第一警报更加紧急，并且需要驾驶员的立即关注。第二警报指示出在两个控制器中均已发生故障。在这样的情况下，应该立即发生驾驶员介入。第二警报能够是需要车辆被立即维修和/或驾驶员采取对车辆操作的控制的视觉和/或听觉警报。

如果在任何时刻用户对车辆执行控制动作（U_A），则这样的动作指示出用户希望获得对车辆40的控制。无论是以正常模式操作还是以安全操作模式操作，每个相应控制器均将对车辆的控制让渡给用户。这样的控制动作是关联于或影响相应控制器所控制的当前车辆操作的控制的任意动作。例如，如果通过相应控制器自主地执行平行停车，则用户对转向轮或车辆制动器做出的任何动作均被看作是控制动作（U_A），其中用户期望对车辆的控制。在这样的情况下，终止正在被执行的自主操作。

应该理解的是，在车辆点火起动序列时，重置每个控制器，并且如果每个控制器初始化正常操作模式而没有错误，则错误消息被禁用。驾驶员可以有权选择重新激活自主受控的车辆系统（例如，自主驾驶）。点火起动序列是车辆点火系统被关断一预定时间段并且之后被再次打开。故障操作的系统根据这里描述的技术起作用并且将执行如这里列出的程序。

框35代表了故障情况，其中第二控制器中产生致命错误并且该故障情况导致了永久性故障（C2_F）。因此，没有通信从第二控制器输出。第一控制器用作主控制器；然而，只要在框31中第一控制器没有产生致命错误，第一控制器就仅能够以安全操作模式（C1_S/NM）起作用。由于第二控制器中存在致命错误，所以将没有被指定的副控制器。替代性地，如果在框31中关于第一控制器产生致命错误，并且如果第二控制器中产生非致命错误，则将存在类似于框38的情况。

再次参考框30，示出了用于指定主控制器和副控制器功能性的第二故障情况。在框30，第一控制器和第二控制器二者均在正常操作条件下操作。在框30，已经事先确定第一控制器被指定为主控制器（C1_P/NM）并且第二控制器被指定为副控制器（C2_S/NM）。第一控制器通过在被发送到控制装置的每个消息内发送标识符将其自身识别为被指定的主控制器。控制装置仅听从并执行由主控制器生成的命令。虽然副控制器近似同时地生成并发送相同命令，但是控制装置忽略来自第二控制器的命令，因为第一控制器被指定为主控制器。

在框36，存在关于副控制器（第二控制器）的操作发生故障的情况。响应故障的发生，第二控制器向第一控制器发送消息以通知第一控制器错误已经发生。如果第二控制器能够重新初始化（例如重启），则已经发生非致命错误并且第二控制器将以安全操作模式操作；否则，如果第二控制器不能重新初始化，则存在致命错误并且第二控制器变成无响应。在框36，关于第二控制器发生非致命错误。响应于从第二控制器接收到错误消息，第一控制器继续用作主控制器（C1_P/NM）。第一控制器继续发送标识符到控制装置以识别其自身作为主控制器。

在框32，第一警报被发出以警告车辆驾驶员在框36中发生的故障情况。第一警报不是需要立即关注的紧急问题，因为主控制器（第一控制器）仍以正常操作模式操作。警告可以是视觉警告，其仅提示驾驶员已经发生情况并且车辆应该在近期维修。这样的警告可以包括在仪器面板上的视觉警告。

在框37，存在在当前被指定为主控制器的第一控制器中发生非致命错误的情况。响应于故障的发生，第一控制器发送消息到第二控制器以通知第二控制器其操作中已发生错误。响应于错误消息，第二控制器随后将作为被指定的主控制器起作用，但是将仅以安全操作模式（C2_P/SM）操作。以安全操作模式操作将允许车辆装置作为单独应用来操作运转，其中该单独应用在具有最小的操作系统支持的情况下在裸硬件上起作用。第一控制器本身重置并且随后作为被指定的副控制器仅以安全操作模式（C1_S/SM）操作。

框38代表了故障情况，其中第一控制器中产生致命错误并且该故障情况导致了永久性故障（C1_F）。因此，没有通信从第一控制器输出。第二控制器用作主控制器；然而，第二控制器仅能够以安全操作模式（C2_S/NM）起作用。由于第一控制器中的永久性故障，所以将没有被指定的副控制器。替代性地，如果在框36中关于第二控制器产生致命错误，并且如果第一控制器中产生非致命错误，则将存在类似于框35的情况。

如果在任意时刻用户对车辆执行控制动作（U_A），则这样的动作指示出用户希望获得对车辆的控制，如框40所示。无论是以正常模式操作还是以安全操作模式操作，每个相应控制器均将对车辆的控制让渡给用户。这样的控制动作是关联于或影响相应控制器所控制的当前车辆操作的控制的任意动作。在这样的情况下，终止正在被执行的自主操作。

在框34，第二警报被发出以警告车辆驾驶员在框37或38中的故障情况。第二警报比第一警报更加紧急，并且需要驾驶员的立即关注。第二警报指示出在两个控制器中均已发生故障。在这样的情况下，应该立即发生驾驶员介入。第二警报能够是需要驾驶员采取对车辆操作的控制和/或需要车辆被立即维修的视觉和/或听觉警报。

再次参考框30，示出了用于指定主控制器和副控制器功能性的第三故障情况。在框30，两个控制器均以正常模式操作。在框39，存在第一控制器和第二控制器二者基本同时发生故障（C1_F，C2_F）的情况。如果存在这样的情况，则在框34发出第二警报。第二警报是需要驾驶员的立即关注的紧急警报。无论相应控制器是以正常模式还是以安全操作模式操作，驾驶员均可以在任意时刻采取对车辆操作的控制，如框40所示。第二警报指示出两个控制器均发生故障或者控制器均以安全模式操作。在这样的情况下，应该立即发生驾驶员介入。第二警报能够是需要车辆被立即维修和/或驾驶员采取对车辆操作的控制的视觉和/或听觉警报。此外，当两个控制器已经同时发生故障时，则被首先重置并以安全操作模式开始操作的相应控制器将被指定为主控制器。

也应该理解的是，在框31、33、35、36、37和38中如果在两个控制器中均发生致命错误（C1_F，C2_F），则程序将继续前进到框39，在此所述情况意味着两个控制器均处于永久性故障状态并且不能够被重新初始化。无论两个控制器的故障是顺序地还是同时地发生，这种状态均表明没有控制器进行控制并且在驾驶员获得对操作的控制之前致动器会有其自身的策略来作用。一旦程序进入框39，则第二水平警报34被发出以便警告驾驶员所述情况。

虽然已经具体描述了本发明的某些实施例，不过熟悉本发明所涉及领域的那些技术人员将意识到各种替代性设计和实施例以用于实现所附权利要求所限定的发明。

Claims (10)

1.一种用于故障操作的车辆系统的容错控制器策略，包括步骤：

（a）提供第一控制器和第二控制器，所述第一控制器和第二控制器均在无故障操作条件下生成旨在控制车辆上的致动装置的控制信号，所述第一控制器最初被指定为主控制器并且所述第二控制器最初被指定为副控制器，所述致动装置仅响应于被指定的主控制器；

（b）探测两个控制器中的一个控制器中的错误，其中被探测到具有所述错误的相应控制器最初被识别为故障控制器并且另一个控制器最初被识别为无故障控制器；

（c）如果在步骤（b）中探测到控制器错误，则由无故障的被指定的主控制器生成控制信号来控制所述致动装置的致动，所述控制信号包括将所述无故障控制器识别为被指定的主控制器的识别符；

（d）响应步骤（b）中探测所述错误，重置所述故障控制器作为所述副控制器以安全操作模式操作。

2.根据权利要求1所述的容错控制器策略，还包括步骤：向用户发出第一错误消息以便警告所述用户在步骤（b）中探测到的错误。

3.根据权利要求2所述的容错控制器策略，其中在步骤（b）中探测两个控制器中的一个控制器中的错误包括下述步骤：

所述第一和第二控制器监测彼此的通信活动；以及

响应于没有来自另一控制器的通信活动，识别出另一控制器中的错误。

4.根据权利要求2所述的容错控制器策略，其中在步骤（b）中探测两个控制器中的一个控制器中的错误包括下述步骤：

所述第一和第二控制器监测彼此的通信活动；以及

响应于另一控制器偏离预期行为，识别出所述另一控制器中的错误。

5.根据权利要求2所述的容错控制器策略，其中在步骤（b）中探测两个控制器中的一个控制器中的错误包括由所述故障控制器自行探测所述错误。

6.根据权利要求5所述的容错控制器策略，还包括步骤：

（e）响应于探测到所述两个控制器中的一个控制器中的错误，从所述故障控制器向所述无故障控制器发送消息以识别出所述错误，其中所述无故障控制器随后被指定为主控制器。

7.根据权利要求6所述的容错控制器策略，包括步骤：

（f）如果随后在步骤（e）中被指定为主控制器的所述无故障控制器中探测到错误，则从所述被指定的主控制器向以安全操作模式操作的所述副控制器发送识别出所述错误的消息；

（g）响应于步骤（f）中探测到的错误，由以安全操作模式操作的所述副控制器生成控制信号，所述控制信号包括标识符，所述标识符将以安全操作模式操作的所述副控制器识别为被指定的主控制器；以及

（h）响应于步骤（f）中探测到的错误，向所述用户发出第二错误消息，其中响应步骤（f）中探测到的错误生成的所述第二错误消息相对于响应步骤（b）中探测到的错误生成的所述第一错误消息是更加紧急的。

8.根据权利要求7所述的容错控制器策略，其中步骤（f）中识别出的主控制器作为随后被指定的副控制器以安全操作模式操作。

9.根据权利要求8所述的容错控制器策略，其中响应于步骤（f）中探测到的错误所发出的错误消息告知所述用户应该执行用户介入来获取对所述控制致动装置的控制。

10.一种用于故障操作的车辆系统的容错控制器系统，包括：

第一控制器，所述第一控制器生成旨在无故障操作条件下控制车辆上的致动装置的控制信号，所述第一控制器最初被指定为主控制器；

第二控制器，所述第二控制器生成旨在控制所述车辆上的所述致动装置的控制信号，所述第二控制器最初被指定为副控制器，所述致动装置仅响应于被指定的主控制器；

其中当在两个控制器中的一个控制器中探测到错误时，从故障控制器向无故障控制器发送消息来识别所述错误，并且其中所述无故障控制器随后被指定为主控制器；

其中用于控制所述致动装置的致动的无故障的被指定的主控制器生成的控制信号包括将所述无故障控制器识别为被指定的主控制器的识别符；以及

其中响应探测到所述错误，所述故障控制器被重新初始化作为副控制器以安全操作模式操作。