(57)【要約】本発明は，特に車両内の，駆動シーケンスを開ループ制御および／または閉ループ制御する方法および装置に関する。その場合に情報を送信および受信するための機能ユニット（３）は，少なくとも１つの接続ユニット（４）を介して少なくとも１つのバスシステム（２）と接続されている。機能ユニット（３）は，監視ユニット（８）によって監視され，機能ユニット（３）のエラーが検出された場合には，少なくとも１つのバスシステム（２）を介した機能ユニット（３）からの情報の送信が，監視ユニット（８）によって阻止される。エラーが生じた場合において，機能ユニット（３）による情報の送信を，できるだけ簡単な方法でしかも安全かつ確実に阻止するために，機能ユニット（３）のエラーが検出された場合，監視ユニット（８）によってエラー信号（ＷＤＡ）が出力され，そのエラー信号は，機能ユニット（３）のエラーが検出されたか否かに従って異なる値をとり，かつエラー信号（ＷＤＡ）が少なくとも１つの接続ユニット（４）へ印加され，少なくとも１つの接続ユニット（４）は，印加されたエラー信号（ＷＤＡ）によって非能動化されることが，提案される。
2005535054.tif 000002
【特許請求の範囲】
【請求項１】
特に車両内の，駆動シーケンスを開ループ制御および／または閉ループ制御する方法であって，
機能ユニット（３）は，情報を送信および受信するために，少なくとも１つの接続ユニット（４）を介して少なくとも１つのバスシステム（２）と接続されており，
機能ユニット（３）は，監視ユニット（８）によって監視され，機能ユニット（３）のエラーが検出された場合，少なくとも１つのバスシステム（２）を介した前記機能ユニット（３）からの情報の送信が，前記監視ユニット（８）によって阻止される，前記方法において：
機能ユニット（３）のエラーが検出された場合，監視ユニット（８）によってエラー信号（ＷＤＡ）が出力され，前記エラー信号は，機能ユニット（３）のエラーが検出されたか否かに従って異なる値をとり，前記エラー信号（ＷＤＡ）が少なくとも１つの接続ユニット（４）へ印加され，前記少なくとも１つの接続ユニット（４）は，印加されたエラー信号（ＷＤＡ）によって非能動化されることを特徴とする，駆動シーケンスを開ループ制御および／または閉ループ制御する方法。
【請求項２】
前記エラー信号（ＷＤＡ）は，少なくとも１つの接続ユニット（４）におけるリセット入力（ＲＳＴ）へ印加されることを特徴とする，請求項１に記載の方法。
【請求項３】
前記機能ユニット（３）は，複数のバスシステム（２）に接続されており，
前記エラー信号（ＷＤＡ）は，前記複数のバスシステム（２）の接続ユニット（４）へ印加されることを特徴とする，請求項１または２に記載の方法。
【請求項４】
前記エラー信号（ＷＤＡ）は，その駆動シーケンスが開ループ制御または閉ループ制御される構成要素（Ｋ１，…Ｋｎ）の出力段（Ｅ１，…Ｅｎ）へ印加されることを特徴とする，請求項１から３のいずれか１項に記載の方法。
【請求項５】
機能ユニット（３）のエラーが検出された後も，機能ユニット（３）は監視ユニット（８）によってさらに監視され，機能ユニット（３）の規定通りの機能が検出された場合に，少なくとも１つの接続ユニット（４）が再び能動化されることを特徴とする，請求項１から４のいずれか１項に記載の方法。
機能ユニット（３）のエラーが検出された後も，機能ユニット（３）はリセットされず，さらにコンピュータプログラムの処理が継続し，かつ，該機能ユニット（３）の送信および受信駆動が，接続ユニット（４）の能動化または非能動化を通じて監視ユニット（８）により制御されることを特徴とする，請求項１から４のいずれか１項に記載の方法。
【請求項６】
情報を送信および受信するために，少なくとも１つの接続ユニット（４）を介して少なくとも１つのバスシステム（２）と接続されている，少なくとも１つの機能ユニット（３）と；機能ユニット（３）を監視する，少なくとも１つの監視ユニット（８）と；
を有し，その場合に，監視ユニット（８）は，該監視ユニットが機能ユニット（３）のエラーを検出した場合，少なくとも１つのバスシステム（２）を介した前記機能ユニット（３）からの情報の送信を阻止する，特に車両内の，駆動シーケンスを開ループ制御および／または閉ループ制御する装置において：
監視ユニット（８）は，エラー信号（ＷＤＡ）を生成し出力する手段を有しており，前記エラー信号は，監視ユニット（８）が機能ユニット（３）のエラーを検出したか否かに従って異なる値をとり，
エラー信号（ＷＤＡ）は少なくとも１つの接続ユニット（４）へ通じ，かつ，機能ユニット（３）のエラーが検出された場合には，印加されたエラー信号（ＷＤＡ）によって，少なくとも１つの接続ユニット（４）を非能動化することが可能であることを特徴とする，駆動シーケンスを開ループ制御および／または閉ループ制御する装置。
【請求項７】
前記エラー信号（ＷＤＡ）は，少なくとも１つの接続ユニット（４）におけるイネーブル／ディスエーブル入力へ通じていることを特徴とする，請求項５に記載の装置。
【請求項８】
前記エラー信号（ＷＤＡ）は，少なくとも１つの接続ユニット（４）のリセット入力（ＲＳＴ）へ通じていることを特徴とする，請求項５に記載の装置。
【請求項９】
前記装置は，バスシステム（２）を介して互いに接続される，複数の機能ユニット（３）と，少なくとも１つの監視ユニット（８）とを有しており，
監視ユニット（８）が機能ユニット（３；ＦＲ１）のエラーを検出した場合，該監視ユニット（８）は，少なくとも１つのバスシステム（２）を介した機能ユニット（３；ＦＲ１）からの情報の送信を阻止することを特徴とする，請求項５から７のいずれか１項に記載の装置。
【請求項１０】
情報を送信および受信するために，少なくとも１つの接続ユニット（４）を介して少なくとも１つのバスシステム（２）と接続されている，機能ユニット（３）と；機能ユニット（３）を監視する，監視ユニット（８）と；を有し，その場合に，監視ユニット（８）は，該監視ユニット（８）が機能ユニット（３）のエラーを検出した場合，少なくとも１つのバスシステム（２）を介した機能ユニット（３）からの情報の送信を阻止する，特に車両内の，駆動シーケンスを開ループ制御および／または閉ループ制御する制御装置（１）において：
監視ユニット（８）は，エラー信号（ＷＤＡ）を生成し出力する手段を有しており，前記エラー信号は，監視ユニット（８）が機能ユニット（３）のエラーを検出したか否かに従って，異なる値をとり，
エラー信号（ＷＤＡ）は少なくとも１つの接続ユニット（４）へ通じ，かつ，機能ユニット（３）のエラーが検出された場合には，印加されたエラー信号（ＷＤＡ）によって，少なくとも１つの接続ユニット（４）を非能動化することが可能であることを特徴とする，駆動シーケンスを開ループ制御および／または閉ループ制御する制御装置。
【請求項１１】
前記エラー信号（ＷＤＡ）は，少なくとも１つの接続ユニット（４）のリセット入力（ＲＳＴ）へ通じていることを特徴とする，請求項９に記載の制御装置（ＳＧ）。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は，特に車両内の，駆動シーケンスを開ループ制御および／または閉ループ制御する方法に関する。その場合に，情報を送信および受信するための機能ユニットは，少なくとも１つの接続ユニットを介して少なくとも１つのバスシステムと接続されている。機能ユニットは，監視ユニットによって監視され，機能ユニットのエラーが検出された場合には，少なくとも１つのバスシステムを介した機能ユニットからの情報の送信が，監視ユニットによって阻止される。
【０００２】
本発明はさらに，特に車両内の，駆動シーケンスを開ループ制御および／または閉ループ制御する装置に関する。この装置は，少なくとも１つの機能ユニットを有しており，その機能ユニットは，情報を送信および受信するために，少なくとも１つの接続ユニットを介して少なくとも１つのバスシステムと接続されている。さらに，本発明は，上記機能ユニットを監視する，少なくとも１つの監視ユニットを有している。監視ユニットは，機能ユニットのエラーを検出した場合，少なくとも１つのバスシステムを介した機能ユニットからの情報の送信を阻止する。
【０００３】
そして本発明は，特に車両内の，駆動シーケンスを開ループ制御および／または閉ループ制御するための制御装置に関する。上記制御装置は，情報を送信および受信するために，少なくとも１つの接続ユニットを介して少なくとも１つのバスシステムと接続されている機能ユニットと，その機能ユニットを監視する監視ユニットとを有している。この監視ユニットは，上記機能ユニットのエラーを検出した場合に，少なくとも１つのバスシステムを介した機能ユニットからの情報の送信を阻止する。
【背景技術】
【０００４】
ＤＥ１９８３３４６２Ａ１からは，電子装置を自動車内のデータ線から分離するための回路配置が知られている。上記データ線を介して，電子装置と少なくとも１つの他の電子システムとが，該電子装置の駆動の間，情報を交換する。データ線に接続されている電子装置の故障にもかかわらず，車両の駆動状態を維持することができる上記回路配置において，電子装置は，エラー検出装置に接続されている。エラー検出装置によって電子装置のエラーが確認された場合に，電子装置は，回路配置によってデータ線から分離され，電子システムの駆動能力は維持される。
【０００５】
ＤＥ１９８３３４６２Ａ１では，特に，データ線の監視と，データ線に接続されている電子装置の機能能力を損なう可能性のある，データ線のエラーの検出とが扱われている。エラーが生じた場合において，データ線から電子装置を分離するために，エラー検出装置は，データ線内に接続されており，かつ，エラーが生じた場合にデータ線を分離できるように電子的な切替え素子を有している。しかし，この場合，電子装置に接続され，かつ，エラーが生じた場合には分離されるべき，切替え素子を各データ線内に配置しなければならないことを，前提としている。
【０００６】
ＤＥ１００３０９９６Ａ１からは，冒頭で挙げた種類の方法と装置が知られている。そこでは，機能ユニットを能動化または非能動化できる切替え素子を用いての監視ユニットによる，機能ユニットの機能監視が提案される。上記切替え素子は，例えばビットのセットまたは消去を介して実現することができる。監視機能が能動化されている場合には，機能ユニットはアクセスによってバスシステムから分離される。その後，監視ユニットが切替え素子を制御し，その切替え素子によってバスシステムへの機能ユニットの接続が中断される。ここでも，エラーが生じた場合に機能ユニットをバスシステムから分離できるようにするため，機能ユニットとバスシステムの間の接続中に，上記同様，別途，切替え素子を設けられていなければならないことが，問題となる。
【０００７】
従来技術からは，さらに，機能ユニットのための，特に自動車制御装置における監視コンセプトが知られており，そこで，監視ユニットは，エラーが生じた場合にリセットを作動させる。上記リセットによって機能ユニットは新たに立ち上がり，その後，元の駆動状態に達する。未だもってしても機能ユニットのエラーがある場合，監視ユニットは，その駆動状態において改めてエラーを認識し，その後に再び機能ユニットのリセットを作動させる。バスシステムを介した機能ユニットからの情報の送信は，リセット状態の間短時間において阻止される。というのは，この状態においてのみ機能ユニットの入／出力接続位置（いわゆるポート）が非能動になるからである。従ってこの既知の方法では，監視ユニットが機能ユニットのエラーを検出しているにもかかわらず，エラーを生じている機能ユニットが，場合によって，エラーのある情報を，バスシステムを介して送信する可能性がある。このことによって，駆動シーケンスを制御する際に安全上重要な状況がもたらされる可能性がある。
【発明の開示】
【発明が解決しようとする課題】
【０００８】
本発明の課題は，バスシステムを介した機能ユニットからの情報の送信を，安全かつ確実に，そして簡単な方法で阻止することである。
【課題を解決するための手段】
【０００９】
この課題を解決するために，本発明は，冒頭で挙げた種類の方法に基づいて，監視ユニットによってエラー信号が出力され，該エラー信号は，機能ユニットのエラーが検出されたか否かに従って異なる値をとり，かつ，機能ユニットのエラーが検出された場合に，上記エラー信号が少なくとも１つの接続ユニットへ印加され，かつ，その少なくとも１つの接続ユニットが，印加されたエラー信号によって非能動化されることを，提案する。
【００１０】
本発明に基づく方法によると，機能ユニットのエラーが検出された場合に，監視ユニットはリセットを作動せず，単に，機能ユニットとバスシステムとの間に配置されている，接続ユニットをオフにする。上記接続ユニットは，例えば，信号増幅装置，特に，バスシステムのバスドライバ回路（いわゆるバスドライバ）として形成さる。上記バスドライバ回路は，特に，バス制御（いわゆるバスコントローラ）によって生じるバス信号を，それがバスシステムを通じて伝送される前に増幅するため，およびその信号を反転なしで適合させるために，用いられる。従って，本発明によれば，機能ユニットはそれ自体駆動可能な状態に留まり，引き続き情報を生成することができる。しかしこの情報は，もはやバスシステムを介しては伝送されない。これは，情報の送信のために必要な接続ユニットが非能動化されているからである。
【００１１】
本発明に基づく方法によって，エラーが生じている機能ユニットとバスシステムを介して接続されている他の機能ユニットが損傷してしまうのを，簡単な方法で阻止できる。従ってエラーを有する機能ユニットは，エラーが生じた場合において，潜在的に誤った，あるいは望ましくない情報を，バスシステムを介して伝送することができない。それによってネットワーク複合体内に個別安全な自立システムが形成される。
【００１２】
特に好ましくは，機能ユニットによる情報の送信は，機能ユニットとバスシステムとの間，あるいはバスシステム自体において，付加的な切替え素子を使用することなしに，安全かつ確実に阻止することができる。さらに，本発明によれば，機能ユニットによる情報の送信は永続的に阻止されており，それは機能ユニットのリセットと比較して，エラーのある機能ユニットはどの時点においてももはやバスシステムを介して情報を送信することができない，という利点を有している。
【００１３】
機能ユニットのエラーが許される限りにおいて，機能ユニットは，続けて極めて通常の状態で作動し，すなわちその機能ユニットは，駆動シーケンスをさらに開ループ制御および／または閉ループ制御する情報を形成する。その場合に上記情報は勿論エラーのある可能性を有する。しかし，この情報を，バスシステムを介して伝送することはできない。機能ユニットをさらに連続的に駆動することによって，エラーが生じている場合であっても，機能ユニットをさらに監視することができ，また，機能ユニットのエラーがもはや生じなくなると，すぐに機能ユニットによる情報の送信を許すことができる。
【００１４】
エラーが生じた場合に，機能ユニットからの情報の送信を阻止することが必要な理由は，エラーが生じた機能ユニットが，場合によって，それ自体や送信すべき情報の正しい生成についてのコントロールをもはや持っておらず，自己のエラーに基づいて確実かつ安全にオフになることができないことにある。
【００１５】
その中で多数の機能ユニットがバスシステムを介して互いに接続されている，ネットワーク複合体内の故障した機能ユニットによって，信号を受信する残りの機能ユニットが，エラーを有する送信ユニットとしての機能ユニットからバスシステムを通じて誤った情報を受け，それに触発されて望まれない行動を実施する危険がある。エラーのある情報によって作動されるこの行動は，制御すべき駆動シーケンスに安全上の問題が生じるように作用する可能性がある。自動車制御装置の例において，例えば内燃機関のための制御装置は，エラーが生じた場合においてトランスミッション制御装置をより低いギア段へ切り替えるように触発する可能性があり，それによって車両は不安定な走行状態に陥る可能性がある。
【００１６】
本発明の好ましい展開によれば，エラー信号が少なくとも１つの接続ユニットのリセット入力へ印加されることが，提案される。上記リセット入力は，Ｒｅｓｅｔ−入力とも称される。エラーが生じた場合においては，接続ユニットを，リセット入力へ印加されるエラー信号によって，非能動化することができる。
【００１７】
本発明の好ましい実施形態によれば，機能ユニットが複数のバスシステムと接続されており，エラー信号はバスシステムに接続された複数の接続ユニットへ印加されることが，提案される。エラーを有する機能ユニットからの情報の送信を，例えばエラーを有する機能ユニットとバスシステムとの間の接続を中断する付加的な切替え素子のような，付加的なハードウェアを使用せずに，安全かつ確実に阻止することができる，本発明の利点は，特に，エラーを有する機能ユニットが，１つのバスシステムではなく複数のバスシステムと接続されており，それらのバスシステムを介して他の機能ユニットへ情報が送信される可能性がある場合に，効力を発揮する。エラーのある機能ユニットに接続され，かつエラーが生じた場合に非能動化されるべきすべてのバスシステムにおいて，監視ユニットのエラー信号がその接続ユニットへ案内されている。安全上重要ではない（例えば快適機能等の）駆動シーケンスの情報のみを伝送するために用いられるバスシステムは，機能ユニットにエラーが生じた場合において必ずしもオフにされなくとも良い。
【００１８】
さらに，エラー信号は，エラーを有する機能ユニットによってその駆動シーケンスが開ループ制御または閉ループ制御される構成要素の出力段に印加されることが，提案される。これらの構成要素は，例えば内燃機関の点火，噴射および／または絞り弁の出力段である。この措置の目的は，開ループ制御または閉ループ制御する機能ユニットのエラー時に，内燃機関を安全に停止状態にすることである。
【００１９】
特に好ましくは，機能ユニットのエラーが検出された後も，機能ユニットは監視ユニットによって引き続き監視され，該機能ユニットの規定通りの機能が認識された場合に，少なくとも１つの接続ユニットが再び能動化されることが，提案される。上記接続ユニットをこのように新たに能動化することは，本発明においていつでも可能である。エラーが生じた場合に，エラーを有する機能ユニットのリセットが実施される従来技術においては，機能ユニットの規定通りの機能は，機能ユニットのリセットおよび立上げに続いてのみ認識することができる。従って，本発明によれば，バスシステムを介して互いに接続されている複数の機能ユニットを有するネットワーク複合体の安全性だけでなく，ネットワーク複合体の柔軟な利用について改善することができる。というのは，機能ユニットの規定通りの機能を特に迅速に認識することができるからである。
【００２０】
本発明の他の解決として，冒頭で挙げた種類の装置に基づき，監視ユニットがエラー信号を生成し出力する手段を有しており，機能ユニットのエラーが検出された場合，そのエラー信号は，機能ユニットのエラーが検出されたか否かに従って異なる値をとり，かつエラー信号は少なくとも１つの接続ユニットへ案内されており，少なくとも１つの接続ユニットが，印加されたエラー信号によって非能動化可能であることが，提案される。本装置は，例えば，バスシステムを介して互いに接続されている複数の機能ユニットを有する，ネットワーク複合体に相当する。
【００２１】
本発明の好ましい展開によれば，エラー信号が，少なくとも１つの接続ユニットにおけるイネーブル／ディスエーブル入力へ案内されていることが，提案される。代替的に，エラー信号が，少なくとも１つの接続ユニットのリセット入力へ案内されていることも，提案される。
【００２２】
本装置は，バスシステムを介して互いに接続されている複数の機能ユニットと，少なくとも１つの監視ユニットとを有しており，該監視ユニットが機能ユニットのエラーを検出した場合，監視ユニットは，少なくとも１つのバスシステムを介したこの機能ユニットからの情報の送信を阻止するとしても良い。この種の装置は，最近自動車内に使用されることが多くなってきている，計算出力を制御するために複数の制御装置が互いに対して並列に使用され，その場合に個々の制御装置は駆動シーケンスの所定の部分をそれぞれ制御する，いわゆるマルチ制御装置コンセプトに相当する。
【００２３】
すなわち，例えば８シリンダ内燃機関を制御するための２制御装置コンセプトにおいて，第１の制御装置は４本のシリンダを制御するため，そして第２の制御装置は残りの４本のシリンダを制御するために使用される。上記２つの制御装置は，バスシステムを介して互いに接続されている。ここで，内燃機関または自動車の駆動状態に関する情報は，第１の制御装置のみに供給され，第１の制御装置はバスシステムを介して第２の制御装置へさらに情報を伝える。上記第１の制御装置の監視ユニットが，第１の制御装置のエラーを検出した場合に，第１の制御装置がエラーを有する情報を第２の制御装置へ送信し，第２の制御装置が内燃機関の残りの４本のシリンダを誤って駆動して，場合によっては，特に安全上重要な状況をもたらす可能性があるということを，阻止するために，上記監視ユニットは，第２の制御装置に対するバスシステムの接続ユニットを非能動化する。
【００２４】
そして，本発明のさらに他の解決として，冒頭で挙げた種類の制御装置に基づき，監視ユニットがエラー信号を生成し出力する手段を有しており，該エラー信号は，監視ユニットが機能ユニットのエラーを検出したか否かに従って異なる値をとり，そのエラー信号は少なくとも１つの接続ユニットへ案内されており，かつ，機能ユニットのエラーが検出された場合，少なくとも１つの接続ユニットが，印加されたエラー信号によって非能動化可能であることが，提案される。
【発明を実施するための最良の形態】
【００２５】
本発明の他の特徴，適用可能性および利点は，図面に示す本発明の実施形態に関する以下の説明から明らかにされる。その場合に，記載されかつ図示されているすべての特徴は，それ自体で，また任意の組合せにおいて，特許請求項の要約およびその帰属とは関係なく，かつ明細書または図面におけるその表現または表示に関係なく，本発明の対象を形成する。
【００２６】
図１には，本発明に基づく制御装置ＳＧの全体が参照符号１で示されている。上記制御装置１は，例えば自動車内の駆動シーケンスを開ループ制御および／または閉ループ制御するために用いられる。以下に，自動車の内燃機関内の駆動シーケンスを制御するための制御装置１について詳細に説明する。
【００２７】
本発明は，一般的に，例えば，トランスミッション制御，走行ダイナミクス制御，駆動スリップ制御（ＡＳＲ），自動的な間隔制御（ＥＤＣ；Electronic Distance Control），適応的車両速度制御（ＡＣＣ；Adaptive Cruise Control）等に関して，バスシステム２を介して制御装置複合体として互いに接続され，かつバスシステム２を介して互いに情報を交換する，すべての種類の制御装置ＳＧに使用することができる。上記バスシステム２は，例えばＣＡＮ（Controller
Area Network）バスとして形成されている。
【００２８】
制御装置１は，機能計算機ＦＲ３を有しており，その機能計算機は例えばマイクロプロセッサとして，あるいはマイクロコントローラとして形成されている。コンピュータプログラムは，上記機能計算機３上で遂行可能であり，制御装置１の開ループ制御および／または閉ループ制御機能を満たすために用いられる。上記機能計算機３は，情報を送信および受信するために，接続ユニット４を介してバスシステム２と接続されている。上記接続ユニット４は，コントローラと，信号増幅装置を備えた外部の制御装置伝送バスとの間のハードウェアインターフェイス，特にバスドライバ回路として，例えばＣＡＮバスシステムのためのＣＡＮドライバとして形成されている。上記ＣＡＮドライバ４は，ＣＡＮ−Ｄｒｉｖｅｒとも称される。
【００２９】
機能計算機３において，制御装置１の開ループ制御および／または閉ループ制御機能を遂行するコンピュータプログラムの処理の範囲内で生成される情報は，データバス５を介してまずＣＡＮ制御装置６へ伝送される。そのＣＡＮ制御装置は，ＣＡＮコントローラとも称される。上記ＣＡＮ制御装置６において，機能計算機３により生成された情報が，ＣＡＮプロトコルに応じた形式に変換され，ＣＡＮバス２を介した伝送のための前処理が行われる。上記で処理された情報を伝送する前に，上記信号を，さらにＣＡＮバス上の電気的特性に適合しなければならない。そのために，上記処理された情報は，二線式データ線７を介してＣＡＮ制御装置６からＣＡＮドライバ４へ伝送され，該ＣＡＮドライバがその信号をＣＡＮバスシステム２へ乗せる。
【００３０】
機能計算機３には，機能計算機３の機能監視するための独立したハードウェアが付設されている。独立したハードウェアは，監視モジュールＵＭ８と称される。上記監視モジュール８は，機能計算機３に周期的に種々の質問を投げ，それらの質問は，機能ユニット３内，例えばプログラムシーケンスコントロールまたは指令リセットのような様々なコントロール機構を通過し，結果が生成される。上記結果は，質問に対する応答として監視モジュール８へ返信される。エラーなしに作動している機能計算機３は，予め定めることのできる時間範囲内に正しい応答が返される。監視モジュール８は，上記応答を評価することによって，機能計算機３のエラーが存在するか否かを定める。上述した，監視モジュール８を通じた機能計算機３の監視コンセプトは，質問−応答−通信とも称される。監視モジュール８と機能計算機３との間の通信は，ＳＰＩ（Serial Parallel Interface）インターフェイス９を介して行われる。
【００３１】
機能計算機３の応答を評価することによって，監視モジュール８内にエラー信号ＷＤＡが生成される。その信号は，機能計算機３のエラーが検出されたか否かに従って，異なる値をとる。好ましくは，機能計算機３のエラーが検出された場合，エラーカウンタがインクリメントされる。
【００３２】
エラーカウンタがしきい値を上回った場合に初めて，エラー信号ＷＤＡが出力される。エラー信号ＷＤＡは，信号線１０を介して，駆動シーケンスを開ループ制御および／または閉ループ制御するための制御装置１により駆動される，自動車の構成要素Ｋ１〜Ｋｎの出力段Ｅ１〜ＥＮへ印加される。これは，例えば，内燃機関を開ループ制御および／または閉ループ制御するための自動車制御装置１における，点火，噴射および／または絞り弁のための出力段である。エラー信号ＷＤＡを伴う出力段Ｅ１〜Ｅｎの駆動は，エラーが生じた場合において，内燃機関を安全に停止状態にし，かつ，安全上重要な状況を回避するために用いられる。
【００３３】
本発明によれば，エラー信号ＷＤＡは，さらにＣＡＮドライバ４のリセット入力ＲＳＴへ印加される。ＣＡＮドライバ４は，機能計算機３のエラーが検出された場合に，印加されたエラー信号ＷＤＡによって非能動化される。このようにして，故障した機能計算機３によるＣＡＮバスシステム２を介した情報の送信が，確実，効果的，かつ，特に機能計算機３のエラーが続く間ずっと連続的に阻止される。従って，エラーを有する機能計算機３により，場合によってはエラーが含まれる情報が，他の機能計算機へＣＡＮバスシステム２を介して送信されることも，簡単な方法で阻止される。このように本発明に基づく制御装置１は，制御装置複合体内の個々に安全な自立システムとなる。また，同システムは，制御装置複合体内の制御装置に対する規則を満たす。すなわち各制御装置１は自分から送信した情報自体の責任を担う。
【００３４】
本発明の他の利点は，エラーを有する機能計算機３がさらに作動し続け，駆動シーケンスを制御するための（特に場合によってはエラーを含む）情報をさらに求めることにある。従って監視モジュール８は，機能計算機３のエラーが検出された後も，さらに機能計算機３の機能能力を監視する。監視モジュール８が機能計算機３のエラーを認識している間，ＣＡＮドライバ４は非能動化されている。従って，エラーを有する機能計算機３によって求められた，エラーが含まれる情報が，ＣＡＮバスシステム２に至り，制御装置複合体の他の機能計算機を損なうといったことはない。しかし，監視モジュール８が，機能計算機３の規定通りの機能を検出すると，すぐにＣＡＮドライバ４が再び能動化され，制御装置１は，また完全に正常作動することができる。本発明において好ましいことは，機能計算機３の規定通りの機能を，長い時間遅延することなしに検出できることである。
【００３５】
さらに，本発明の利点は，エラーのある機能計算機３による情報の送信を，簡単な方法で，かつ，付加的なハードウェアなしで，例えば，ＣＡＮバスシステム２内に組み込まれ，エラーが生じた場合に，機能計算機３をＣＡＮバスシステム２から分離するために開放される，付加的な切替え素子なしで，阻止することができることに見られる。
【００３６】
図２には，マルチ制御装置コンセプト，さらに正確に言うと，２つの制御装置ＳＧ１，ＳＧ２が所定の駆動シーケンスの制御に使用される，２制御装置コンセプトが示されている。図示の例では，１２シリンダ内燃機関ＢＭ１１における駆動シーケンスを制御するための２つの制御装置ＳＧ１とＳＧ２が使用されている。その場合に，第１の制御装置ＳＧ１は，最初の６本のシリンダＺＹＬ１２を制御し，第２の制御装置ＳＧ２は，残りの６本のシリンダＺＹＬ１３を制御する。第１の制御装置ＳＧ１は，運転者意図（アクセルペダルの位置），および／または内燃機関１１や自動車の駆動状態の情報Ｓを該当するセンサから得る。
【００３７】
２つの制御装置ＳＧ１とＳＧ２は，ＣＡＮバスシステム２を介して互いに接続されている。第２の制御装置ＳＧ２は，ＣＡＮバスシステム２を介して第１の制御装置ＳＧ１から目標基準値（例えば運転者意図）を得る。第１の制御装置ＳＧ１の機能計算機ＦＲ１にエラーが生じた場合，誤った目標基準値が第２の制御装置ＳＧ２へ伝達されることを阻止するために，本発明によれば，ＣＡＮバスシステム２を介した機能計算機ＦＲ１からの情報の送信が，監視ユニットＵＭ１によって阻止される。そのために，監視モジュールＵＭ１のエラー信号ＷＤＡが，ＣＡＮドライバ４のリセット入力ＲＳＴへ印加される。
【００３８】
データ伝送が行われていないこと（メッセージ中断または更新なし）に基づいて，制御装置ＳＧ２は，ＳＧ１内の故障を認識し，ＳＧ２において，それに応じた代替措置またはエラーリアクションを行うことができる。
【００３９】
図３の（ａ）〜（ｆ）には，種々の制御装置状態と制御装置変量の推移が時間ｔにわたって示されている。特に，図３（ａ）には，監視モジュール８のエラーカウンタの状態が示されている。上記エラーカウンタは，始めはゼロからカウントされ，しきい値ＳＷを越えて上昇する。このエラーカウンタが，しきい値ＳＷを越えると，時点ｔ１ですぐにエラーリアクションが作動される。これは，エラー信号ＷＤＡがそれに応じた値をとることを意味している。エラー信号ＷＤＡの値として，特にハイまたはローが考えられる。
【００４０】
図３（ｂ），（ｃ）および（ｄ）に示す推移は，従来技術に相当する。図３（ｂ）には，リセット信号の推移が示されており，該リセット信号は，従来技術に従って監視モジュールＵＭ８から機能計算機ＦＲ３のリセット入力へ印加される。この時点ｔ１においてエラーリアクションが作動される。このエラーリアクションは，従来技術においては，機能計算機ＦＲ３のリセットを作動させることにある。図３（ｃ）には，変量「ＣＡＮ信号許可」の推移が示されている。この信号は，値「許可」または「阻止」を有する。図３（ｃ）からは，ＣＡＮ信号がリセットの続く間（図３（ｂ）におけるＲＳＴ＝１）のみ阻止され，その他は許可されていることを，理解することができる。ＣＡＮ信号が許可されている間は，エラーを有する機能計算機ＦＲ３自体が，場合によってはエラーを含む情報を，ＣＡＮバスシステム２を介して伝送すること可能となる。これは，場合によっては，制御装置複合体の他の機能計算機ＦＲにエラーを有するリアクションを作動させる可能性がある。
【００４１】
図３（ｄ）には，従来技術から知られた制御装置ＳＧの種々の状態が示されている。時点ｔ１でエラーリアクションが作動される前において，制御装置ＳＧは完全にノーマルな走行プログラムＡを遂行している。その状態に，時点ｔ１後はリセット状態Ｂが続く。それに続いて制御装置ＳＧは，初期化相Ｃを遂行し，その後再びノーマルな走行プログラムＡへ変化する。走行プログラムＡの間，監視モジュールＵＭは，監視すべき機能計算機ＦＲとの質問−応答−通信を実施し，時点ｔ２において機能計算機ＦＲのエラーが未だに存在していることを認識する。その後また上述した状態，リセットＢ，初期化Ｃおよび質問−応答−通信Ｄを有する走行プログラムＡが遂行される。
【００４２】
図３（ｅ）と（ｆ）には，本発明に基づく制御装置１の信号および状態推移が示されている。図３（ｅ）において，ＣＡＮ信号が，時点ｔ１のエラーリアクションの直後からエラーが続く間ずっと阻止されていることが，はっきりと認識される。このとき機能計算機３は，エラーリアクションの後に完全にノーマルな走行プログラムＡ内にあり，その間，質問−応答−通信Ｄが周期的に実施され，出力段は，ＷＤＡ信号によって非能動化された状態（Ｅ）にある。
【００４３】
もちろん，機能計算機３によって求められた情報は，ＣＡＮバスシステム２を介して伝送されない。というのは，ＣＡＮドライバ４が非能動化されており，ＣＡＮ信号が阻止されているからである。本発明では，機能計算機３はエラーが生じた場合において，機能計算機３の機能能力を質問−応答−通信によって検査することができない状況には，決してならない。それに対して従来技術においては，エラーが生じた場合に，状態リセットＢと初期化Ｃの間，機能計算機３の機能能力の検査は行われない。従って，本発明においては，従来技術よりも早期に機能計算機３の規定通りの機能を認識することができる。
【図面の簡単な説明】
【００４４】
【図１】好ましい実施形態に基づく本発明の制御装置を示している。
【図２】バスシステムを介して互いに接続されている，本発明に基づく２つの制御装置を備えた，本発明に基づく装置を示している。
【図３】従来から知られている制御装置（図３（ｂ）から（ｄ））の種々の状態と信号の推移を，本発明に基づく制御装置（図３（ｅ）と（ｆ））との比較において示している。
【図１】
2005535054.tif 000003
【図２】
2005535054.tif 000004
【図３】
2005535054.tif 000005
【国際調査報告】
2005535054.tif 000006
2005535054.tif 000007
2005535054.tif 000008
2005535054.tif 000009
2005535054.tif 000010
2005535054.tif 000011