(57)【要約】本発明は、マルチコア型冗長制御コンピュータシステム（５）に関する。この制御コンピュータシステムは少なくとも２個の制御コンピュータ（１，２）を備えている。この制御コンピュータは、それぞれコンピュータコアのほかに、部分冗長または完全冗長の周辺要素または部分冗長または完全冗長の記憶要素を備え、共通のチップキャリヤ（２８）または共通のチップ（７，２７）に集積されている。少なくとも２個の制御コンピュータ（１，２）は、制御コンピュータ（１，２）の機能不良を監視する少なくとも１個の共通の第１のアービトレーションユニット（９）に接続されている。本発明は更に、少なくとも２個のコンピュータブロック（３２，３２′）からなるコンピュータネットワーク（１１）に関する。コンピュータブロックは互いに直接的にまたは間接的に通信を行う。少なくとも１個のコンピュータブロック（３２，３２′）は少なくとも２個の制御コンピュータ（１，２）を有し、この制御コンピュータはそれぞれ１個のコンピュータコアのほかに、部分冗長または完全冗長の周辺要素と部分冗長または完全冗長の記憶要素を備え、共通のチップキャリヤ（２８）または共通のチップ（７，２７）に一体化されている。本発明は更に、自動車制御コンピュータにおけるコンピュータネットワーク（１１）の使用に関する。
2005512218.tif 000002
【特許請求の範囲】
【請求項１】
自動車における安全上重大な用途のためのマルチコア型冗長制御コンピュータシステム（５）において、それぞれコンピュータコアのほかに部分冗長または完全冗長の周辺要素または部分冗長または完全冗長の記憶要素を備えた少なくとも２個の制御コンピュータ（１，２）が、共通のチップキャリヤ（２８）または共通のチップ（７，２７）に集積され、少なくとも２個の制御コンピュータ（１，２）が、制御コンピュータ（１，２）の機能不良を監視する少なくとも１個の共通の第１のアービトレーションユニット（９）に接続されていることを特徴とする制御コンピュータシステム。
【請求項２】
少なくとも、制御コンピュータシステム（５）の少なくとも２個の制御コンピュータ（１，２）がクロック同期的に作動することを特徴とする、請求項１記載の制御コンピュータシステム。
【請求項３】
制御コンピュータシステム（５）が冗長比較ユニット（１２，１３）を備えていることを特徴とする、請求項１または２記載の制御コンピュータシステム。
【請求項４】
付設の制御コンピュータ（１，２）の一つが機能不良である場合、局所的に付設された第１のアービトレーションユニット（９）が制御コンピュータシステム（５）を部分的にまたは完全に動作しない状態にすることを特徴とする、請求項１〜３の少なくとも一つに記載の制御コンピュータシステム。
【請求項５】
第１のアービトレーションユニット（９）がバス遮断部（２３）を介して第１の通信コントローラ（２９）を車両データバス（２４）に接続するかまたは接続を解除することを特徴とする、請求項１〜４の少なくとも一つに記載の制御コンピュータシステム。
【請求項６】
アービトレーションユニット（９）が少なくとも周辺要素遮断部（２１）を備え、この周辺要素遮断部が周辺要素ドライバ（２２）を動作する状態にするかまたは動作しない状態にすることができることを特徴とする、請求項１〜５の少なくとも一つに記載の制御コンピュータシステム。
【請求項７】
周辺要素（２０，２０′）が制御バスシステム（３０）を介して周辺要素ドライバ（２２）に接続されていることを特徴とする、請求項６記載の制御コンピュータシステム。
【請求項８】
第１のアービトレーションユニット（９）がエラーの場合に周辺要素遮断部（２１）を介して周辺要素ドライバ（２２）または少なくとも１個の周辺要素（２０，２０′）を動作しない状態にすることを特徴とする、請求項２〜６の少なくとも一つに記載の制御コンピュータシステム。
【請求項９】
２個またはそれ以上のコンピュータブロック（３２，３２′）からなるコンピュータネットワーク（１１）において、少なくとも１個のコンピュータブロック（３２，３２′）が少なくとも２個の制御コンピュータ（１，２）を有し、この制御コンピュータがそれぞれ１個のコンピュータコアのほかに、部分冗長または完全冗長の周辺要素と部分冗長または完全冗長の記憶要素を備え、制御コンピュータ（１，２）および／またはコンピュータブロック（３２，３２′）が共通のチップキャリヤ（２８）または共通のチップ（７，２７）に集積されていることを特徴とするコンピュータネットワーク。
【請求項１０】
少なくとも１個の、特にすべてのコンピュータブロック（３２，３２′）が、請求項１〜８の少なくとも一つに記載の少なくとも１個の制御コンピュータシステム（５）を備えていることを特徴とする、請求項９記載のコンピュータネットワーク（１１）。
【請求項１１】
車両制御コンピュータにおける請求項９記載のコンピュータネットワーク（１１）の使用。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自動車における安全上重要な用途のためのマルチコア型冗長制御コンピュータシステム、請求項９の前提部分に記載のコンピュータネットワーク並びに車両制御コンピュータにおけるコンピュータネットワークの使用に関する。
【背景技術】
【０００２】
自動車における安全上重要な用途／システム（例えば電子ブレーキシステムＡＢＳ、電子スタビリティプログラムＥＳＰ、電気油圧式ブレーキ、ブレーキ−バイ−ワイヤ等）のために、制御コンピュータ（マイクロコントローラ等）を使用することが知られている。このいわゆる電子コントローラまたは制御装置は今日既に、実施形に応じて、物理的および／または機能的なフォールバックモードを有する。
【０００３】
油圧式のフォールバックモードは例えば、アンチロックブレーキ装置において故障の場合に電子式ＡＢＳコントローラを遮断することによって実現される。コントローラの遮断時に通電しない油圧弁は、（ＡＢＳなしに）普通のブレーキングを更に行うことができるように構成されている。すなわち、システムまたはシステム部分（例えばブレーキシステムの場合の油圧装置）の故障の場合、緊急時運転または制限された運転が保証される。従って、機械的なフォールバックモード（制限された機能）を有するシステムの場合、エラー（コンピュータエラー、メモリエラー）の認識時に制御コンピュータを遮断するかまたは適当な個所で周辺要素から制御コンピュータを切り離すことで充分である。これは例えば、制御コンピュータが同じプログラムを平行に同期して実行する同一の２個のマイクロプロセッサコアを備えていることによって達成される。計算結果が偏差を有する場合には、コンピュータシステムが停止される。
【０００４】
機能的なフォールバックモードを類似の方法で実現することができる。高価値の複雑なソフトウェア機能（例えばＥＳＰ）が機能不良であると、このソフトウェア機能は停止される。この場合、低いランクのソフトウェア機能はそのまま働く。
【０００５】
最新の自動車において車両機能を制御および調整するための安全な電子式ハードウェアの使用は益々増大している。その場合特に、電子制御装置の高いフェールセーフまたはフォールトトレラント（冗長設計思想）に留意される。
【０００６】
例えば、エックス−バイ−ワイヤ（例えば電気機械式ブレーキ）のような将来の非油圧式ブレーキシステムの場合、上述したような物理的（油圧式）フォールバックモードはもはや存在しない。その際システムを然るべく形成すると、今まで知られている自己遮断式電子制御装置をもはや使用することができないという問題が生じる。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
本発明の課題は、きわめてフェールセーフであり、マイクロプロセッサシステムに関する有効性が今まで知られているマイクロプロセッサ設計思想の場合よりも高いフォールトトレラント式電子制御装置を提供することである。
【課題を解決するための手段】
【０００８】
この課題は、請求項９記載のコンピュータネットワークによって解決される。
【０００９】
本発明のコンピュータネットワークの有利な実施形では、少なくとも１個の、特にすべてのコンピュータブロックが、請求項１〜８の少なくとも一つに記載の少なくとも１個の制御コンピュータシステムを備えている。本発明によるコンピュータネットワークの利点は、特に制御コンピュータシステムを含む同一のコンピュータブロックを使用することにより、システムが低コストで製作可能であることにある。これはそのモジュール式構造に基づいて、小さな変更によってメーカー特有の要求（例えばエラーを遮断するブレーキシステムまたはフォールトトレラントなブレーキシステム）に適合させることが可能である。更に、本発明によるコンピュータネットワークによって、ほとんど完全なエラー認識が可能であると同時に、機能が完全に維持される。更に、提案したコンピュータネットワークの有効性は他の制御コンピュータシステムを追加することによってほとんど任意に高めることができる。提案したコンピュータネットワークは更に、チップ面積の使用が小さいという利点がある。
【００１０】
本発明によるコンピュータネットワークの他の有利な実施形では、コンピュータネットワークがいわゆる“高温リザーブ”で運転される。この場合、すべての制御コンピュータはデータを好ましくは冗長的な車両データバスに特に分離された時間スロット／時間ウインドウで持続的に伝送する。欠陥がある場合、欠陥のある制御コンピュータシステムのアービトレーションユニットは、車両データバスへの欠陥のあるユニットのデータ流れを遮断する。それによって、常に有効なデータだけが車両データバスを経て伝送される。例えばアクチュエータまたはセンサのようなデータの消費装置は好ましくは、冗長的に伝送された情報のうちのどの情報を使用するかを決定する。
【００１１】
本発明によるコンピュータネットワークの他の有利な実施形では、第１の制御コンピュータシステムだけが、データを車両データバスに持続的に供給し、第２の制御コンピュータシステムは同じ計算処理を行うがしかし、車両データバスに接続されていない。欠陥がある場合、第１の制御コンピュータシステムから車両データバスへのデータの流れが中断され、第２の制御コンピュータシステムがこのデータの流れを引き継ぐ。
【００１２】
他の有利な実施形では、コンピュータブロックはアービトレーションユニットを備えていないで、１個または複数のアービトレーションユニットに接続されている。
【００１３】
他の有利な実施形では第１のコンピュータブロックだけが好ましくは冗長的なアービトレーションユニットを備え、第２のコンピュータブロックあるいは複数の他のコンピュータブロックは他のアービトレーションユニットを備えていない。更に、すべてのコンピュータブロックが少なくとも１個の好ましくは冗長的なアービトレーションユニットを備えていると有利である。
【００１４】
本発明によるコンピュータネットワークまたは制御コンピュータの他の実施形では、それに含まれる周辺要素（センサ、アクチュエータ等）が冗長的に設計されている。
【００１５】
他の有利な実施形では、制御コンピュータシステムが時間同期的に動作可能である。しかし、制御コンピュータの完全な同期が不要であるので、制御コンピュータシステムは少なくとも部分的に非同期的に作動する。部分的な同期化は好ましくは、冗長的に形成可能な車両データバスによって、タイムスライス同期化によってあるいは他の適当な同期化手段によって行うことができる。
【００１６】
制御コンピュータシステムが１個または複数のケーシング内に物理的に収納可能であると有利である。電子式ブレーキシステムのための電子式制御装置に両制御コンピュータシステムを一体化することあるいは電子式ブレーキシステムの異なるケーシングに制御コンピュータシステムを分割することが特に有利である。きわめて有利な分割は、通常はＥＳＰシステムのドライビングダイナミクスセンサを収容するための、車両データバスに接続されたケーシング内に、第２の制御コンピュータシステムを配置することである。
【００１７】
本発明の対象は更に、請求項１記載のマルチコア型冗長制御コンピュータシステムである。
【００１８】
第１の制御コンピュータシステムと共に第１の通信コントローラを第１のチップに一体化し、周辺要素ドライバと共に第１のアービトレーションユニットを第３のチップに一体化すると有利である。この場合、第１のチップと第３のチップの接続は例えばボンディングワイヤを介して行われる。分離されたチップの利点は、例えば第１のチップの給電部の故障時に、第３のチップがまだ作動していることにある。第３のチップは、例えば第１の制御コンピュータの存在しない計算結果に基づいてエラーメッセージが第１のアービトレーションユニットに達することにより、第１のチップの故障を認識し、そして第１のアービトレーションユニットはバス遮断によって通信コントローラを車両データバスから分離する。
【００１９】
本発明によるコンピュータネットワークは、本発明による冗長設計思想がソフトウェアにとって透明であるという利点を有する。本発明によるフォールトトレラント設計思想を実現するために、きわめて小さなソフトウェア部分（オーバーヘッド）で済む。これは特に、アービトレーションユニットが不連続に（ハードウェアで）形成されている。
【００２０】
本発明による制御コンピュータシステムは好ましくは、第１の通信コントローラを介して車両データバスに接続された冗長比較ユニットを備えている。
【００２１】
他の有利な実施形では、付設の制御コンピュータの一つが機能不良である場合、局所的に付設された第１のアービトレーションユニットが制御コンピュータシステムを部分的にまたは完全に動作しない状態にする。
【００２２】
更に、第１のアービトレーションユニットがバス遮断部を介して第１の通信コントローラを車両データバスに接続するかまたは接続解除すると有利である。
【００２３】
他の有利な実施形では、第１のアービトレーションユニットが、少なくとも第２のアービトレーションユニットおよび／または少なくとも第２の制御コンピュータシステムおよび／または第２の制御コンピュータシステムの他の比較ユニットの少なくとも一つとの通信のために、好ましくは冗長的な少なくとも１個の付加的な通信手段を備えている。この通信手段は好ましくはエラーラインとして形成されている。この場合、光学式または無線の通信手段、例えば光ファイバ、送受信ダイオード（発光ダイオード、レーザダイオード、フォトダイオード）、無線伝送等が考えられる。
【００２４】
有利な他の実施形では、第１のアービトレーションユニットが少なくとも１つの周辺要素遮断部を備え、この周辺要素遮断部が周辺要素ドライバを動作する状態にするかまたは動作しない状態にすることができる。
【００２５】
本発明による制御コンピュータシステムの他の有利な実施形では、周辺要素が制御バスシステムを介して周辺要素ドライバに接続されている。
【００２６】
更に、第１のアービトレーションユニットが故障時に、周辺要素遮断部を介して周辺要素ドライバまたは少なくとも１個の周辺要素を動作しない状態にする。
【００２７】
安全上重要な用途を制御するために、制御コンピュータが益々必要になってきている。この制御コンピュータは多くの場合、いわゆる電子制御装置に収納されている。用語“制御コンピュータ”とは、中央処理ユニット（ＣＰＵ）のほかにメモリや入出力機能を備えている、例えばマイクロコントローラのようなコンピュータシステムであると理解される。“マルチコア型”制御コンピュータは２個またはそれ以上の中央処理ユニットを含んでいる制御コンピュータである。
【００２８】
本発明の他の対象は、自動車制御コンピュータにおける請求項９記載のコンピュータネットワークの使用である。この場合、コンピュータネットワークは自動車の機能を制御するためのアルゴリズムを備えている。
【発明を実施するための最良の形態】
【００２９】
好ましい実施の形態の次の記載において、本発明によるマルチコア型制御コンピュータシステムまたは本発明によるコンピュータネットークの構成と機能を、図１に基づいて説明する。
【００３０】
コンピュータネットワーク１１は２つのコンピュータブロック３２，３２′を備えている。このコンピュータブロック３２，３２′は通信コントローラ２９，２９′を経て車両データバス２４（例えばCAN,Flexray,TTCAN,TTP)にデータを送るかまたはこの車両データバスから通信コントローラを経てデータを受け取る。このデータは通信装置３１を経て第４の周辺要素２６（例えばアクチュエータ）に送られる。更に、第３の周辺要素２５（例えばセンサ）から車両データバス２４を経て通信コントローラ２９，２９′にデータが送られる。コンピュータブロック３２，３２′はそれぞれコンピュータブロック３２または３２′に接続されたセンサ２０（例えば圧力センサまたはドライビングダイナミクスセンサ）からデータを受け取るかまたはアクチュエータ２０′（例えば液圧式弁コイル）にデータを送る。コンピュータブロック３２，３２′の内部構造を、第１のコンピュータブロック３２に基づいて説明する。というのは、本実施の形態の第２のコンピュータブロック３２′が同一に構成されているからである。
【００３１】
コンピュータブロック３２は第１のチップ７と第２のチップ２７を備えている。これらのチップは共通のチップキャリヤ２８上に配置されている。第１のチップ７には、時間同期的またはクロック同期的に作動する制御コンピュータ１，２からなる第１の制御コンピュータシステム５が配置されている。制御コンピュータ１，２は冗長的な比較ユニット１２，１３を備えている。この比較ユニットは制御コンピュータ１，２の計算結果を比較し、この計算結果を、第１のチップ７に統合された通信コントローラ２９に送る。計算欠陥が一致していないと、エラーメッセージが２本のエラーライン１６，１８を経て第１のアービトレーションユニット９に送られる。第１のアービトレーションユニット９はエラーの場合にバス遮断部２３を介して第１の通信コントローラ２９を遮断する。従って、制御コンピュータ１，２のエラーを含むデータはもはや車両データバス２４に達しない。更に、第１のアービトレーションユニット９はエラーの場合、周辺機器遮断部２１を介して周辺機器ドライバ２２を遮断する。この周辺機器ドライバにはセンサ２０やアクチュエータ２０′が接続されている。
【００３２】
センサ２０またはアクチュエータ２０′は制御装置特有のバスシステム３０と周辺機器ドライバ２２を介してコンピュータブロック３２に接続されている。
【００３３】
コンピュータネットワーク１１はコンピュータブロック３２，３２′によって形成されている。この場合、コンピュータネットワークは個々のコンピュータブロック３２，３２′と異なり、フォールトトレラントに作動する。両通信コントローラ２９，２９′を介して、両制御コンピュータシステム５，６のデータはそれぞれ時間スロット／時間ウインドウで車両データバス２４に送られる。アービトレーションユニットの一つ９または１０が制御コンピュータシステム５または６の計算エラーを検出すると、アービトレーションユニット９または１０は当該の通信コントローラ２９または２９′を遮断する。従って、間違った計算を行う制御コンピュータシステム５または６のデータはもはや車両データバス２４に達しない。この場ああい、車両データバス２４に接続された通信装置３１は、残りの時間スロット／時間ウインドウから必要なデータを独立して受け取ることができる。
【図面の簡単な説明】
【００３４】
【図１】本発明によるマルチコア式制御コンピュータシステムまたは本発明によるコンピュータネットークを示す。
【図１】
2005512218.tif 000003
【国際調査報告】
2005512218.tif 000004
2005512218.tif 000005
2005512218.tif 000006
2005512218.tif 000007
2005512218.tif 000008
2005512218.tif 000009