(57)【要約】  本発明は、様々な機能にそれぞれマイクロコントローラを割り当てて、様々な機能を統合した制御装置に関する。本発明によれば、複数の機能に対応して実装された少なくとも１つの監視ユニットが備えられ、障害が認識されると、障害のある機能のみスイッチを切ることが可能である。本発明は、さらに、様々な複数の機能の統合制御方法に関する。
2009545790.tif 000002
【特許請求の範囲】
【請求項１】
複数のマイクロコントローラそれぞれが個々の機能に割り当てられて、様々な機能が統合されている制御装置において、
複数の機能に対応して実装された少なくとも１つの監視ユニットが備えられていて、当該制御装置において障害が検出されると、該障害のある少なくとも１つの機能のみスイッチを切ることが可能であることを特徴とする制御装置。
【請求項２】
請求項１に記載の制御装置において、前記監視ユニットは、前記個々の機能に割り当てられた前記マイクロコントローラの外部に配置されていることを特徴とする制御装置。
【請求項３】
請求項１または２に記載の制御装置において、前記マイクロコントローラは、それぞれのマイクロコントローラに配置された監視ユニットによって、相互に機能をチェックすることを特徴とする制御装置。
【請求項４】
請求項１から３のいずれか１項に記載の制御装置において、前記マイクロコントローラは、該マイクロコントローラの外部に配置された監視ユニットによって、相互に機能をチェックすることを特徴とする制御装置。
【請求項５】
請求項１から４のいずれか１項に記載の制御装置において、エラー解析とエラー処理が可能な診断ユニットを備えることを特徴とする制御装置。
【請求項６】
請求項５に記載の制御装置において、前記診断ユニットは前記監視ユニットに関連付けられていることを特徴とする制御装置。
【請求項７】
請求項６に記載の制御装置において、前記診断ユニットは、前記機能を有するマイクロコントローラに割り当てられることを特徴とする制御装置。
【請求項８】
請求項１から７のいずれか１項に記載の制御装置において、第１の機能は車両の予防安全分野に関連し、第２の機能は車両の衝突安全分野に関連することを特徴とする制御装置。
【請求項９】
請求項８に記載の制御装置において、第１の機能はブレーキまたは駆動安定性に関連し、第２の機能は乗員保護装置に関連することを特徴とする制御装置。
【請求項１０】
請求項１から７のいずれか１項に記載の制御装置において、車両の予防安全分野の複数の機能が統合されていることを特徴とする制御装置。
【請求項１１】
請求項１から７のいずれか１項に記載の制御装置において、車両の衝突安全分野の複数の機能が統合されていることを特徴とする制御装置。
【請求項１２】
請求項１から７のいずれか１項に記載の制御装置において、車両のテレマティクスの分野における少なくとも１つの機能が、車両の衝突安全の分野および／または予防安全の分野における少なくとも１つの機能に統合されていることを特徴とする制御装置。
【請求項１３】
各マイクロコントローラが割り当てられる様々な機能の統合制御方法において、
それぞれの機能は、複数の機能を監視するよう実装された、少なくとも１つの監視ユニットによって監視され、障害が認識されると、制御装置上の機能は、損傷を受けた単一の機能または複数の機能が減少するのみであることを特徴とする統合制御方法。
【発明の詳細な説明】
【発明の開示】
【０００１】
本発明は、様々な機能に関連する複数のマイクロコントローラを有し、様々な複数の機能を統合した制御装置に関する。本発明は、さらに、様々な複数の機能の統合的な制御方法に関する。
【背景技術】
【０００２】
かかる制御装置および制御方法は、例えば、車両産業やその他産業で使用可能である。
【０００３】
電子制御装置の中に複数の機能を統合する際には、有用性と安全性という要求を満たす必要がある。この１つの基準は分析の程度と耐故障性である。例えばブレーキシステムと乗り心地評価システムの２つの異なる機能を１つの制御装置に統合した場合、それらシステムは、少なくとも、独立したシステムと同じ基準を達成しなければならない。これは、もっとも単純なケースであっても、冗長性とエラー監視処理の２つのシステムを完全に引き継ぐ必要があることを意味する。有用性と耐故障性はここで失われてはならない。
【０００４】
これは、次のような事例で例示することができる。例えば、ブレーキシステムと乗り心地評価システムとがそれぞれ、２つのマイクロコントローラを有する場合、システム全体に存在するユニットは合計で４つになる。しかし、これによって相当なスペースが必要となる。また開発リスクも、装置の複雑さに応じて増大する。この装置のためのコストも比較的高くなってしまう。
【０００５】
例えば独国特許出願公開第１９８００３１１号明細書に記載の制御装置は、２つのマイクロコントローラを含み、当該マイクロコントローラ間でデータの同期比較が行われる。当該マイクロコントローラの一方で不具合が認識されると、その障害はシステムによって認識され、システム全体がセーフ状態に移行するか、あるいはシャットダウンされる。
【０００６】
例えば独国特許出願公開第１０２００５０３０７７０号明細書にはいわゆるマスタ／スレーブ方式が記載されている。これらの方式では、検査は、異種冗長に行われる。不具合が認識されると、システム応答もセーフ状態（例えば予防状態）に移行するか、あるいはシャットダウンされる。
【０００７】
これら既存のシステムの欠点は、障害が認識された時点でシステム全体が完全にシャットダウンされるため、障害がない機能も機能しなくなってしまうことである。
【０００８】
他のシステムとして、例えば独国特許出願公開第１０２００４０３２４０５号明細書に記載されている制御装置は、スペースを利用でき、３つ以上のマイクロコントローラが使用されている。多数の決定がこの制御装置で行われる。しかしながら、このシステムは多くの要素で構成されていて、複雑な設計となるために、車両への応用には適していない。また高いシステムコストは、車両への応用上障害となる。
【発明の概要】
【発明が解決しようとする課題】
【０００９】
そこで本発明は、既存のシステムより複雑な設計が少なく、障害認識時にシステム全体を完全に終了させないシステムの制御装置を提供することを目的とする。
【００１０】
さらに本発明は、障害がなく、先行技術と比較して単純かつ／または安価なシステムにて、複数の機能を統合制御する方法を提供することを目的とする。
【課題を解決するための手段】
【００１１】
上記の目的は、請求項１に記載の本発明による制御装置によって達成される。本制御装置には様々な機能が統合され、本制御装置に備えられた別個のマイクロコントローラにはそれぞれ機能が割り当てられている。本発明によれば、制御装置は監視ユニットを有し、監視ユニットには複数の機能が実装されている。本発明によれば、制御装置において障害が認識された場合には、障害のある機能のみがシャットダウンされる。これにより、１つの制御装置に複数の機能が組み合わされているにも拘らず、対応すべき障害が認識されても、制御装置全体が直ちに全機能を終了する必要がないことが保障される。
【００１２】
本発明の好ましい実施形態は、主たる請求項に従属する従属請求項に由来する。
【００１３】
監視ユニットは、したがって、各機能が割り当てられたマイクロコントローラの外部に配置可能である。
【００１４】
各マイクロコントローラは、有利なことには、それぞれのマイクロコントローラに配置された検査ユニットによって、相互の機能を検査する。これら統合された検査ユニットに加えて、マイクロコントローラの外部に配置される相互検査ユニットを設けてもよい。
【００１５】
また、エラー解析とエラー処理を専門に行う診断ユニットをさらに設ければ、これは特別な利点となる。この場合において、機能の１つに障害が発生すると、これら機能は当初は動作停止する。しかし、これに対する診断が診断ユニットによって下されると、修復可能な障害として認知可能であり、その後、修復可能である。このように、従前に障害が発生した機能であっても、対応する障害修復の後に再動作可能である。
【００１６】
診断ユニットは上述の監視ユニットに有利に関連させることができる。この点において、具体的には診断ユニットを、複数の機能を有するマイクロコントローラに割り当てることができる。
【００１７】
本発明の好適な実施形態によれば、第１の機能は車両の予防安全に関するものであり、第２の機能は車両の衝突安全に関するものである。例えば、第１の機能はブレーキや安定性に関し、第２の機能はエアバッグやベルトなどの乗員保護装置に関する。
【００１８】
本発明の他の好適な実施形態によれば、車両の予防安全分野における複数の機能が統合される。また、これに代えて、車両の衝突安全の分野における複数の機能を統合してもよい。
【００１９】
最後に、本発明のさらに好適な実施形態によれば、車両のテレマティクスの分野における少なくとも１つの機能を、車両の衝突安全の分野および／または予防安全の分野における少なくとも１つの機能に統合可能である。
【００２０】
上記の目的は、請求項１３に記載の本発明による様々な複数の機能の統合的な制御方法によっても達成される。マイクロコントローラも、本方法によって、それぞれの個々の機能に割り当てられる。それぞれの機能は、複数の機能を監視するよう実装された、上述の少なくとも１つの監視ユニットによって監視され、障害が認識されると、制御装置上の機能は、損傷を受けた単一の機能または複数の機能が減少するのみである。障害の生じた機能は、任意かつ有利に診断システムによって修復され、それ以降再動作可能となる。
【発明の効果】
【００２１】
本発明の他の特徴、詳細および利点は、図面に示す実施形態から明らかとなる。
【図面の簡単な説明】
【００２２】
【図１】本発明の第１実施形態にかかる制御装置の概略構造を示す図である。
【図２】本発明の第２実施形態にかかる制御装置の概略構造を示す図である。
【図３】図１の実施形態にかかる最初の障害が生じた状態を示す図である。
【図４】図１の実施形態にかかる第２の障害が生じた状態を示す図である。
【図５】図１の実施形態にかかる第３の障害が生じた状態を示す図である。
【図６】図１の第１実施形態をより改良した第３実施形態にかかる制御装置の概略構造を示す図である。
【図７】図６の第３実施形態に代替可能な実施形態の概略構造を示す図である。
【発明を実施するための形態】
【００２３】
制御装置を図１に示す。図１は様々な機能がマイクロコントローラで実現されていることを示す。異なるマイクロコントローラに割り当てられた２つの主機能のうち、一方は、ブレーキの主機能であり、もう一方は乗り心地（ｃｏｍｆｏｒｔ）の主機能である。これは、相互に関連付けられた多くの可能な主機能のほんの１例である。また主機能は、理論的には同一のものとすることができる。図１の実施形態では、各監視ユニットはマイクロコントローラ上に実装され、各マイクロコントローラはそれぞれ、隣接するマイクロコントローラの機能を監視する。「乗り心地」機能監視ユニットは、このように、「ブレーキ」機能が割り当てられたマイクロコントローラに統合されている。図１の矢印に示すように、この「乗り心地」機能の監視ユニットは、「乗り心地」マイクロコントローラを監視する。反対に、「ブレーキ」機能監視ユニットは、「乗り心地」マイクロコントローラに統合されている。図１において、対応する矢印で示すように、この「ブレーキ」機能監視ユニットは、「ブレーキ」機能が割り当てられたマイクロコントローラを監視する。図１には、監視装置に追加された外部監視ユニットを示していて、これは、（矢印で示す通り）「ブレーキ」マイクロコントローラを検査し、あるいは、（これも矢印で示すように）「乗り心地」マイクロコントローラを監視する。機能を検査するための冗長な監視ユニットがこのように実装されている。「ブレーキ」と「乗り心地」の２つのマイクロコントローラの外部の監視ユニットは、第３のマイクロコントローラ、外部システム、あるいは、ＡＳＩＣ（Application Specific Integrated Circuit）などの他のシステムで実現される。監視機能の故障確率は個々の監視ユニットの故障確率より少ないので、システムの有用性を上述の「二重監視」によって増加させることができる。
【００２４】
図３は図１の制御装置の原理を示す。ここでは外部監視ユニットに障害が発生し、これが稲妻で表現されている。「ブレーキ」と「乗り心地」の２つのマイクロコントローラからなるシステムを楕円で図示したように、制御装置の主機能は、依然として安全に動作可能である。これは、障害のない少なくとも１つの監視ユニットが、依然として存在していて、それぞれの主機能を監視するからである。ここでは詳細な説明を要しない公知の方法を、障害監視ユニットの認識に使用可能である。
【００２５】
図１の制御装置を再び図４および図５に示す。しかしこれらの図では、障害はそれぞれ、主機能（図４では「ブレーキ」機能、図５では「乗り心地」機能）が割り当てられたマイクロコントローラの一方で発生している。
【００２６】
稲妻で表現したそれぞれの機能障害から分かるように、２番目の主機能を監視する監視ユニットも、潜在的な影響を受けるが、２番目の主機能の動作は依然として保障されている。それぞれの楕円は制御装置の一部を示していて、これらは、システムのうち障害がない部分として依然として動作する。したがって、本発明によれば、障害で影響を受ける部分システムのみがシャットダウンされる。
【００２７】
図４および図５で示されていない特殊なケースとして、両方の主機能が同一である場合がる。例えば、主機能が両方ともブレーキに関連する場合であり、いわゆる耐障害性と表現される。
【００２８】
図２は図１の制御装置を示すが、監視ユニットは、少なくとも１つの外部ユニットに完全に含まれている。
【００２９】
また、監視機能の故障確率は単一の監視ユニットの故障確率より少ないので、「二重監視」によって有用性を増加させることができる。
【００３０】
最後に、図６および図７は、図１に全体として示した設計を有する制御装置を実質的に系統的に示す。ここでは、「診断モジュール」と呼ばれる診断ユニットが追加統合されていて、これは、エラー発生時に分析を行うことを可能にし、障害のある部分システムを、制御装置の動作に任意に統合し、前回のシャットダウン後に機能回復させることが可能である。
【００３１】
図６の実施形態では、「診断モジュール」をそれぞれ「ブレーキ」機能と「乗り心地」機能のマイクロコントローラに設けている。それぞれのシステム単位での診断モジュールの介入の可能性は、それぞれの矢印で示す。「乗り心地」マイクロコントローラの診断モジュールは、そこから出ているそれぞれの矢印で示すように、別体である「乗り心地」マイクロコントローラだけでなく、「ブレーキ」マイクロコントローラ、他の診断モジュールまたは４つの監視ユニットも含めたすべてのユニットを分析し、障害ユニットあるいは障害部分システムを、任意に再び正常動作に戻すことが可能である。
【００３２】
図７の実施形態では、診断モジュールは外部の監視ユニットに統合されている。
【００３３】
制御装置の有用性は、上述の診断モジュールの追加診断機能と修復機能によって、さらに増加させることができる。
【図１】
2009545790.tif 000003
【図２】
2009545790.tif 000004
【図３】
2009545790.tif 000005
【図４】
2009545790.tif 000006
【図５】
2009545790.tif 000007
【図６】
2009545790.tif 000008
【図７】
2009545790.tif 000009
【国際調査報告】
2009545790.tif 000010
2009545790.tif 000011
2009545790.tif 000012
2009545790.tif 000013
2009545790.tif 000014
2009545790.tif 000015