(57)【要約】  自動車の機能ユニットを制御する方法と装置が記載されている。本発明に基づく方法においては，機能プログラム内で機能シーケンスが実施される。その場合に機能プログラムは安全プログラムによって検査され，その安全プログラムがさらに監視モジュール（４３）によって監視される。機能プログラムは，安全プログラムと同様に，モジュール構造を有している。従って安全プログラムの監視は，モジュール（５６，５８）の数に応じた複数のステップで実施される。
2005513356.tif 000002
【特許請求の範囲】
【請求項１】
自動車の機能ユニットを制御する方法であって：
前記制御方法において機能シーケンスが機能プログラム内で実施され，
前記機能プログラムは安全プログラムによって検査され，
前記安全プログラムは監視モジュール（４３）によって監視され，
その場合に，前記機能プログラムは複数のプログラムモジュール（５２，５４）からなるモジュール構成を有し，かつ前記安全プログラムは前記プログラムモジュールに対応する幾つかの安全モジュール（５６，５８）からなる構成を有し，
前記安全プログラムの監視が前記安全モジュール（５６，５８）の数に応じて複数のステップで実施される，自動車の機能ユニットを制御する方法。
【請求項２】
前記安全プログラムの個々の安全モジュール（５６，５８）は，それぞれ部分的分担を供給し，すべての部分的分担が評価のために監視モジュール（４３）へ供給される，請求項１に記載の方法。
【請求項３】
前記部分的分担が，デコーダ（６０）を介して監視モジュール（４３）へ供給される，請求項２に記載の方法。
【請求項４】
前記部分的分担が，安全プログラムの個々の安全モジュール（５６，５８）間でさらに伝達される，請求項２に記載の方法。
【請求項５】
検査データが安全プログラムへ与えられ，前記安全プログラムによって結果データが求められ，安全プログラムの監視のために結果データが検査データと対比されることによって監視が行われる，請求項１から３のいずれか１項に記載の方法。
【請求項６】
計算ユニット（４２）を有し，自動車の機能ユニットを制御する装置であって：
前記計算ユニット上で機能プログラムと，機能プログラムを検査する安全プログラムとが実施され，
付加的に安全プログラムを監視するための監視モジュール（４３）が設けられ，
その場合に，前記機能プログラムは，複数のプログラムモジュール（５２，５４）からなるモジュール構成を有し，かつ前記安全プログラムは前記プログラムモジュールに対応する幾つかの安全モジュール（５６，５８）からなる構成を有し，
前記安全プログラムの監視が，前記安全モジュール（５６，５８）の数に応じた複数のステップで実施可能である，自動車の機能ユニットを制御する装置。
【請求項７】
前記プログラムモジュール（５２，５４）と前記安全モジュール（５６，５８）は，それぞれ別々のメモリユニット内に記憶されている，請求項６に記載の装置。
【請求項８】
部分的分担をさらに先に送るためのデコーダ（６０）が設けられ，その場合に，各前記安全モジュール（５６，５８）が部分的分担を供給する，請求項６または７のいずれかに記載の装置。
【請求項９】
監視モジュール（４３）として，マイクロコントローラが用いられる，請求項６から８のいずれか１項に記載の装置。
【請求項１０】
監視モジュール（４３）として，ゲート論理が用いられる，請求項７から８のいずれか１項に記載の装置。
【請求項１１】
コンピュータプログラムが，コンピュータまたは該当する計算ユニット，特に請求項６に記載の装置（４０）内の計算ユニット（４２）上で実施される場合に，請求項１から５のいずれか１項に記載の方法のすべてのステップを実施するための，プログラムコード手段を備えた，コンピュータプログラム。
【請求項１２】
コンピュータプログラムがコンピュータ上または該当する計算ユニット，特に請求項６に記載の装置（４０）内の計算ユニット（４２）上で実施される場合に，請求項１から５のいずれか１項に記載の方法を実施するために，コンピュータで読取り可能なデータ記憶媒体上に記憶されている，プログラムコード手段を備えたコンピュータプログラム製品。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は，自動車の機能ユニットを制御する，特に駆動ユニットを制御する，方法と装置に関する。さらに，本発明は，同方法を実施するコンピュータプログラムに関する。
【背景技術】
【０００２】
自動車の機能ユニットを制御するために，該当するユニットを制御する機能プログラムを実施させる制御装置が用いられる。正しい機能を保証するために，機能プログラムのエラーのないシーケンスを検査することが必要である。そのために，いわゆる安全プログラムが用いられ，その安全プログラムは同様に制御装置内で実施される。さらなる安全性を提供するために，この安全プログラムも監視されることがある。そのために，代表的には，この安全プログラムを監視する，いわゆる監視モジュールが用いられる。
【０００３】
電子的な制御装置においては，今日ではしばしば１計算機コンセプトが用いられる。このコンセプトによって，エラーが生じた場合においても確実な駆動を可能にする，監視コンセプトが存在する。そのために，機能プログラムは安全プログラムによって管理される。これは基本的に，運転者の意図を表す制御装置への入力と，出力を定める操作量とを比較して行われる。安全プログラムは，機能プログラムと同様に，制御装置内に含まれている機能計算機内で遂行される。安全プログラムの正しいプログラムシーケンスは，特別なソフトウェア構造によって，かつ機能計算機と監視モジュールとの間の適切な通信シーケンスによって確保される。安全ソフトウェアの時間的および値的な相違は，監視モジュールによって認識される。エラーが生じた場合，出力を定める操作量は非アクティブにされ，および／または機能計算機のリセットが作動される。
【０００４】
公報ＤＥ４４３８７１４Ａ１からは，車両の駆動ユニットを制御する方法と装置が知られている。記載されている方法は，特に，車両の駆動ユニットを制御するために用いられ，その場合に駆動ユニットの出力は，少なくとも車両の駆動状態において設定値に従って制御される。さらに，出力を制御する機能と，出力制御の正しい機能を監視するための機能が実施される。出力制御のためには，唯一の計算素子が設けられており，それが制御も監視も実施する。少なくともエラーの場合を除いて，計算素子内に少なくとも２つの互いに独立したレベルが設けられており，その場合に第１のレベルで制御を実施し，第２のレベルで監視を実施する。付加的に第３のレベルを設けることができ，それは監視を実施するレベルを監視することによって，計算機の機能を調べている。第１の計算素子の機能の監視は，運転者の意図を，空気を前もって調節する部材の位置と比較することによって実施される。
【０００５】
公報ＤＥ４１１４９９９Ａ１は，自動車を制御するために必要な制御データを定めるための第１の装置と，第１の装置を監視するための第２の装置とを有する，自動車の制御システムが記述されている。第１の装置は，第１のデータから検査機能に従って第２のデータを求め，第２の装置は第１のデータから検査機能に従って第３のデータを求める。第１および／または第２の装置は，第２のデータと第３のデータとの比較を用いて安全上重要なエラー状態を認識する。従って２つの装置は，質問−応答のやりとりの範囲で信号値を処理し，その場合に，第２の装置はこの処理の結果を比較することによってマイクロコンピュータの作業が正しいか誤りがあるかを推定する。
【０００６】
既知の方法における欠点は，機能プログラムがわずかに修正された場合でも，安全プログラム全体を手直ししなければならないことである。
【発明の開示】
【０００７】
自動車の機能ユニットを制御するための，本発明に基づく方法においては，機能シーケンス（機能の進行）が機能プログラム内で実施され，その機能プログラムは安全プログラムによって検査される。安全プログラムは，監視モジュールによって監視される。機能プログラムは，複数のプログラムモジュールからなるモジュール構成を有している。安全プログラムも，同様の構成を有している。従って，機能プログラムのプログラムモジュールの数は，安全プログラムのモジュールの数に相当する。こうして，安全プログラムの監視は，モジュールの数に応じて複数のステップで実施される。
【０００８】
従って各プログラムモジュールに，安全プログラムのモジュールが割り当てられ，その安全プログラムのモジュールは割り当てられた機能モジュールのみを検査する。
【０００９】
安全プログラムの各モジュールは，部分的分担（情報値）を供給し，監視モジュールは部分的分担の全体を評価する。
【００１０】
本発明の好ましい形態においては，部分的分担がデコーダを介して監視モジュールへ供給される。デコーダは，部分的分担をまとめて，結果を所定の長さのワードに変換する。他のモジュールの部分的分担を形成するために，安全プログラムのモジュールの１つからの部分的分担が利用され，安全プログラムの個々のモジュール間で部分的分担がさらに伝達される場合，デコーダ内において監視モジュールとの通信のために部分的分担をまとめるやり方は省略することができる。この場合，最後に得られた部分的分担は，他のすべてのモジュールからの部分的分担を含んでいる。
【００１１】
好ましくは，監視モジュールから検査するための検査データが安全プログラムへ与えられ，安全プログラムによって検査結果である結果データが求められ，安全プログラムを監視するために結果データが検査データと対比されることによって監視が行われる。このように監視モジュールによって，検査データが考慮され，正しい結果データが求められたかを決定することができる。正しいデータが求められている場合にのみ，安全プログラムはエラーなしとして遂行される。
【００１２】
安全プログラムによる監視も，従来技術のようにもはや１ステップでは行われず，モジュールの数に応じて複数ステップで行われる。
【００１３】
自動車の機能ユニットを制御するための，本発明に基づく装置は，計算ユニットや通常のマイクロコンピュータを有している。このマイクロコンピュータ上において，機能プログラムと，機能プログラムを検査する安全プログラムとが実施される。そして付加的に，安全プログラムを監視するための監視モジュールが設けられている。本発明に基づく装置においては，機能プログラムはモジュール状態に構成されており，すなわち複数のプログラムモジュールからなる。安全プログラムは，同様な構造を有している。従って安全プログラムの監視は，安全プログラムのモジュールの数あるいはプログラムモジュールの数に相当する数の，複数のステップで実施される。諸ステップは，シーケンシャル（ｓｅｑｕｅｎｔｉａｌ）に，あるいは互いに対して並列（ｐａｒａｌｌｅｌ）に実施される。
【００１４】
プログラムモジュールと安全プログラムのモジュールである安全モジュールとは，それぞれ別々のメモリユニット内に格納されても良い。
【００１５】
本発明の形態においては，部分的分担をさらに先に送るため（案内するため）にデコーダが設けられており，その場合に各安全モジュールは部分的分担をデコーダに送信する。
【００１６】
監視モジュールとして，たとえばマイクロコントローラまたはゲート論理を用いることができる。
【００１７】
本発明に基づくコンピュータプログラムは，このコンピュータプログラムが該当する計算ユニット上で実施された場合に，本発明に基づく方法のすべてのステップを実施することができるプログラムコード手段を有している。計算ユニットは，好ましくは本発明に基づく装置，制御装置内に設けられている。
【００１８】
本発明に基づくコンピュータプログラム製品は，プログラムコード手段を有しており，そのプログラムコード手段はコンピュータで読取り可能なデータ記憶媒体上に記憶されている。プログラムコード手段は，本発明に基づく方法を実施するために用いられる。
【００１９】
本発明の他の利点と形態は，明細書と添付図面から明らかにされる。
【００２０】
なお，上述した特徴および後述する特徴は，それぞれ記載の組合わせにおいてだけでなく，他の組合わせにおいても，あるいは単独でも，本発明の範囲を逸脱することなく，使用することが可能である。
【発明を実施するための最良の形態】
【００２１】
実施例を用いて本発明を図面に示し，以下で図面を参照して詳細に説明する。
【００２２】
図１には，従来技術に基づく制御装置１０が示されている。制御装置１０は，電子的なアクセルペダル（ＥＧＡＳ）のためのシステムを制御するのに用いられる。
【００２３】
計算ユニット（機能計算機）１２と監視モジュール１４が示されている。計算ユニット１２内には，機能プログラム１６と安全プログラム１８が示されている。
【００２４】
ペダル２０を介して，自動車の運転者は運転者意図を制御装置１０へ伝える。入力量としての運転者意図は，機能プログラム１６によって処理され，この機能プログラムから，とりわけ電気的に駆動される絞り弁（Ｄｒｏｓｓｅｌｋｌａｐｐｅ）２２のための出力量が出力される。
【００２５】
入力量としての運転者の意図は，安全プログラム１８へも与えられ，その安全プログラムは，絞り弁２２から得られる出力を定める操作量に基づいて，運転者の意図との妥当性により，機能プログラム１６を管理する。
【００２６】
図示の１計算機コンセプトのために，監視コンセプトが存在し，それがエラーの場合においても確実な駆動を可能にする。そのために，上述したように，機能プログラム１６が安全プログラム１８によって管理される。その場合に基本的な考えは，運転者意図（たとえばペダル）を，出力を定める操作量（たとえば絞り弁位置）によって蓋然化することである。
【００２７】
安全プログラム１８は，機能プログラム１６と同様に計算ユニット１２内で実施される。安全プログラム１８の正しいプログラムシーケンスは，特別なソフトウェア構造によって，かつ，計算ユニット１２と監視モジュール１４との間の適切な通信シーケンスによって保証される。安全ソフトウェア１８の時間的および値的な相違は，監視モジュール１４によって認識される。エラーが生じた場合においては，出力を定める操作量は非アクティブにされ，および／または，機能計算器１２のリセットが作動される。そのために，矢印２４で示すように，監視モジュール１４から検査データが安全プログラム１８へ送信され，その安全プログラムはこの検査データを処理して，この検査データに基づいて結果データを求め，さらに矢印２６で示すように，その結果データを監視モジュール１４へ送信する。この結果データを用いて監視モジュール１４は，安全プログラム１８のエラーのない実施を監視することができる。
【００２８】
機能プログラム１６は，矢印２８で示した，点火装置を制御するデータおよび，矢印３０で示した，噴射装置を制御するデータを出力する。監視モジュール１４がエラーを確認した場合，監視モジュールは，破線の矢印３２で示すように，絞り弁２２の操作が行われないように，かつ，波線の矢印３４で示すように，点火装置と噴射装置の操作が実施されないようにすることができる。
【００２９】
従って安全プログラム１８は，制御装置１０の入力データを用いて，この入力データが妥当であるかを検査し，その間に監視モジュール１４が安全プログラム１８の正しい機能を監視する。
【００３０】
図２は，本発明に基づく装置の好ましい実施形態，すなわち本発明に基づく制御装置４０を示している。制御装置４０は，計算ユニット４２と監視モジュール４３を有している。制御装置４０は，ＥＧＡＳから出力されるデータを処理するため，絞り弁４６を駆動するため，矢印４８で示すように点火装置を駆動するため，および，矢印５０で示すように噴射装置を駆動するために用いられる。
【００３１】
機能プログラムは，プログラムモジュールI  ５２とプログラムモジュールII  ５４から構成されている。同様に，安全プログラムは，安全モジュールI  ５６と安全モジュールII  ５８を有している。さらに，計算ユニット４２または機能計算機４２内には，デコーダ６０が含まれている。従って，適切にインターフェイスを定めることにより，機能プログラムの機能範囲が２つのプログラムモジュール５２，５４に分離される。これら２つのプログラムモジュール５２，５４に合わせて，２つの付属の安全モジュール５６，５８が機能計算機４２内に実現されている。その場合に，プログラム部分，すなわちプログラムモジュールＩ  ５２とプログラムモジュールII  ５４の間のインターフェイスは，以下のように示される。プログラムモジュールI  ５２は，安全モジュールI  ５６に監視される。同様にプログラムモジュールII  ５４は，安全モジュールII  ５８によって監視される。
【００３２】
従って監視は，１ステップ（段階）（出力を定める操作量による運転者意図の蓋然化）で行われるのではなく，２ステップ（段階）で行われる。第１のステップは，決められたインターフェイス量による運転者意図の蓋然化を内容とする。第２ステップは，出力を定める操作量に基づく，決められたインターフェイス量の蓋然化を内容としている。
【００３３】
２つの安全モジュール５６，５８の正しいプログラムシーケンスは，従来のように，機能計算機４２と監視モジュール４３の間の適切な通信シーケンスによる特別なソフトウェア構造によって保証される。そのために安全モジュールＩ  ５６も安全モジュールII  ５８も，適当なアルゴリズムを用いて，監視モジュールとの通信のためにそれぞれ部分的分担を準備する。デコーダ６０は，部分的分担をまとめて，まとめた結果全体を，監視モジュール４３によって読取り可能な所定のビット長さのワードとして，監視モジュール４３へ伝達する。従って，２つの安全モジュール５６，５８の時間的および値的な相違は，ここでも監視モジュール４３によって認識される。エラーが生じた場合においては，出力を定める操作量が非アクティブにされ，および／または，機能計算機４２のリセットが作動される。これが，矢印６２と矢印６４によって明らかにされている。
【００３４】
本発明に基づく装置は，個々のプログラムモジュールのため，および個々の安全モジュールのために独立した開発プロセスを可能にする。このことが，独立したソフトウェアモジュールを開発して使用する可能性を有する分散された開発の単純化を可能にする。機能プログラムの各部分は，モジュール状態に交換可能に構成することができる。その場合に機能プログラムに応じて，安全プログラムの該当する部分のみを交換すればよく，従来のように安全プログラム全体を手直しする必要はない。
【００３５】
図３には，本発明に基づく方法の好ましい実施形態がフローチャートで示されている。
【００３６】
ステップ７０において機能プログラムが開始される。プログラムを処理し，安全プログラムによって入力データを検査する間，第１のステップ７２において，安全モジュールI  ５６がまず監視モジュール４３から検査データを得て，安全モジュールI  ５６が監視される。ステップ７４において，安全モジュールI  ５６は結果データ，いわゆる部分的分担を求める。同様に安全モジュールII  ５８はステップ７６において監視され，同様にステップ７８において部分的分担を供給する。
【００３７】
図示の実施形態において，安全モジュール５６，５８の検査は同時に行われる。また，監視がシーケンシャルに遂行，即ち，最初に安全モジュールI  ５６が監視されて，次に安全モジュールII  ５８が監視されるといったことも，同様に考えられる。
【００３８】
安全モジュール５６，５８の部分的分担は，ステップ８０においてデコーダ６０へ供給される。このデコーダは，ステップ８２において部分的分担をまとめ，そのまとめた結果を監視モジュール４３へさらに供給する。
【００３９】
監視モジュール４３は，得た結果を出力されたデータを用いて検査し，エラーが存在するかどうかを決定する。エラーが存在する場合には，ステップ８４において，出力を定める操作量を非アクティブにする。安全モジュール５６，５８の機能が正しい場合には，ステップ８６において操作量が許可される。
【００４０】
安全プログラムII  ５８のための部分的分担を形成するのに安全モジュールI  ５６からの部分的分担が利用される場合には，監視モジュール４３との通信のためにデコーダ６０内で部分的分担をまとめる方法は省略することができる。この場合には，安全モジュールII  ５８の部分的分担は，自動的に安全モジュールI  ５６からの部分的分担を含む。
【００４１】
将来的な開発作業においては，ますます多くの値が課題分配される。本発明は，その場合にシステム全体の完全な手直しを必要とせず，部分プログラムの多重な使用を可能にする。
【図面の簡単な説明】
【００４２】
【図１】従来技術に基づく制御装置を，概略的に示している。
【図２】本発明に基づく装置の好ましい実施形態を，概略的に示している。
【図３】本発明に基づく方法の好ましい実施形態を示すフローチャートである。
【図１】
2005513356.tif 000003
【図２】
2005513356.tif 000004
【図３】
2005513356.tif 000005
【国際調査報告】
2005513356.tif 000006
2005513356.tif 000007
2005513356.tif 000008
2005513356.tif 000009
2005513356.tif 000010
2005513356.tif 000011