(57)【特許請求の範囲】
【請求項１】
第１の制御装置と，少なくとも１つの第２の制御装置とを具備した複合制御装置の制御及び監視システムにおいて，
前記第１の制御装置は，
制御機能を実施するとともに，当該制御機能を監視する手段と，
前記第２の制御装置の制御機能を監視する手段と，
を有し，
前記複合制御装置には，アクチュエータ装置に信号供給をし，前記アクチュエータ装置を非常走行位置へと移動させる非常走行信号導線が設けられており，
前記第１の制御装置及び前記第２の制御装置は，通常駆動時に前記非常走行導線への信号供給を抑圧し，
前記第１の制御装置又は前記第２の制御装置のいずれかの誤機能時に，前記第１の制御装置が誤機能した前記第１の制御装置又は前記第２の制御装置をオフにすることにより，前記信号供給が抑圧されずに，前記非常走行信号導線が駆動することで，前記非常走行信号導線は前記アクチュエータ装置を非常走行位置へと移動させることを特徴とする，複合制御装置の制御及び監視システム。
【請求項２】
前記第１の制御装置は，マイクロコンピュータを具備しており，
前記マイクロコンピュータは，
少なくとも誤機能時以外において，前記第１の制御装置の制御機能と監視機能が実施される第１の駆動レベルと，
前記第２の制御装置のための監視機能が実施される第２の駆動レベルと，
から構成されることを特徴とする，請求項１に記載の複合制御装置の制御及び監視システム。
【請求項３】
前記複合制御装置の制御及び監視システムには，センサが設けられており，
前記センサは，
通常状態においては前記第２の制御装置のための，冗長なセンサとして用いられ，
前記第２の制御装置の誤機能が認識された場合には，前記第１の制御装置に，前記第２の制御装置の通常状態の制御機能に関して非常走行の制御機能を保証させることを特徴とする，請求項１に記載の複合制御装置の制御及び監視システム。
【請求項４】
駆動ユニットの第１の制御機能は第１の制御装置によって制御され，前記駆動ユニットの少なくとも１つの第２の機能は少なくとも１つの第２の制御装置によって制御される，少なくとも２つの制御装置を備えた複合制御装置の制御及び監視方法において，
前記第１の制御装置の制御機能と，前記第１の制御装置の制御機能の監視と，前記第２の制御装置の制御機能の監視とが，前記第１の制御装置によって実施され，
前記複合制御装置には，アクチュエータ装置に信号供給をし，前記アクチュエータ装置を非常走行位置へと移動させる非常走行信号導線が設けられており，
前記第１の制御装置及び前記第２の制御装置は，通常駆動時に前記非常走行導線への信号供給を抑圧し，
前記第１の制御装置又は前記第２の制御装置のいずれかの誤機能時に，前記第１の制御装置が誤機能した前記第１の制御装置又は前記第２の制御装置をオフにすることにより，前記信号供給が抑圧されずに，前記非常信号導線が駆動することで，前記非常走行信号導線は前記アクチュエータ装置を非常走行位置へと移動させることを特徴とする，複合制御装置の制御及び監視方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本願発明は，少なくとも２つの制御装置を具備した複合制御装置の制御及び監視システム及び方法に関する。
【０００２】
【従来の技術】
自動車エレクトロニクスにおける新しい機能を実現するために，個々の制御装置を一段と協働させることが重要となってきている。
【０００３】
最近の車両装備は，例えば点火／噴射，ＡＢＳ及びトランスミッション制御のための，複数のデジタルの制御装置を具備している。好ましい特性と付加的な機能は，個々の制御装置により管理されるプロセスが同期され，そのパラメータが連続的に，例えば特に実時間で，互いに同調されることによって実現される。かかる機能の例として，駆動輪が空転している場合に個々の車輪の駆動トルクを好適に減少させる，駆動スリップ制御がある。
【０００４】
制御装置間の情報交換は，従来は，大体において個別導線を介して実行されていた。しかし，かかる点と点の接続は，制限された数の信号についてのみ効果的に使用できる。その場合に制御装置間でデータをシリアルに伝達するための，単純な自動車に合ったネットワークトポロジーは，伝達可能性を拡大することができる。
【０００５】
電子装置間のデータ交換の顕著な増加は，従来の配線技術（ケーブルハーネス）によっては対処できない。なぜなら，例えばケーブルハーネスは，特に大型車両においては，かかる大きさを操作しきれず，かつ複数の制御装置に過多のピンが具備されてしまう。かかる問題は，特に自動車のために考案されたシリアルのバスシステムである，ＣＡＮによって解決することができる。
【０００６】
ＣＡＮのための主要な使用範囲として，自動車範囲においては，制御装置カップリングが生じる。すなわち，制御装置カップリングにおいては，モトロニクス，電子的なトランスミッション制御，電子的なエンジン出力制御（ＥＭＳ，「Ｅ−ガス」）及び駆動スリップ制御（ＡＳＲ）のような電子システムが互いに結合される。通常の伝送率は，約１２０ｋビット／ｓと１Ｍビット／ｓの間で移動する。伝送率は，必要な実時間処理を保証可能にするためには，十分に高くなければならない。パルスデューティー比，切換え信号及びアナログ信号のような従来のインターフェイスに対するシリアルのデータ伝送媒体の利点は，制御装置セントラルユニット（ＣＰＵ）の大きな負荷のない，より高速度な点である。更に制御装置に，より少ないピンしか必要とされないことも挙げられる。
【０００７】
故障した制御装置は，バス交通に著しい負荷を与え，また安全上重大な状況をもたらす可能性がある。従って例えば，ＣＡＮ−コントローラに，場合によっては発生する障害を持続している障害から区別し，かつステーション故障（制御装置故障）を特定することのできる機構が設定される。これは，通常はエラー状況の統計的な評価を介して実行される。
【０００８】
ＤＥ−ＯＳ４１３３２６８からは，車両駆動出力を制御する装置が既知となっている。かかる装置は，燃料噴射量を制御するための第１の制御ユニットと，絞り弁位置を制御するための第２の制御ユニットとを具備している。更に，例えば車両の回転数を検出するための測定装置が設けられており，この測定装置は，少なくとも２つの互いに対し冗長なセンサを具備している。第１の制御ユニットは，測定装置の第１のセンサの信号を評価し，第２の制御ユニットは，他のセンサの出力信号を評価する。２つの信号は，制御ユニットの一方によって，その蓋然性を検査される。
【０００９】
かかる装置によって，センサ信号若しくはセンサの検査のみが可能となる。制御装置の範囲若しくは制御装置間の信号伝達のエラーは，かかる装置では認識不可能である。
【００１０】
ＤＥ４４３７３３６Ａ１からは，少なくとも１つの量を定めるアクチュエータを具備する，内燃機関，特にディーゼル内燃機関を制御する方法が既知となっており，第１の制御ユニットは第１の変量に従って燃料量を設定し，第２の制御ユニットは燃料量と他の変量に基づいて，アクチュエータのための操作量を定める。かかる方法は，第２の制御ユニットが操作量を第１の制御ユニットへフィードバックし，第１の制御ユニットは操作量と燃料量をその非蓋然性に関して互いに比較することを特徴としている。
【００１１】
ＤＥ４４３８７１４Ａ１からは，車両の駆動出力制御方法及び装置が既知となっており，出力を制御するために，制御機能と監視機能を実施する計算装置（マイクロコンピュータ）のみが具備されている。かかる場合にマイクロコンピュータ内で少なくとも２つの独立したレベルが設定され，第１のレベルは制御機能を，また第２のレベルは監視機能を実施する。
【００１２】
【発明が解決しようとする課題】
しかしながら，従来の複数の制御装置を具備した複合制御装置を制御及び監視するシステムにおいて，各制御装置ごとに制御機能及び監視機能を具備し，かかる動作を個別に実行していたため，複合制御装置全体の制御及び監視をするのに複雑なシステムを要することとなり，結果的にハードウェア費用を大きいものとしてしまうという問題がある。
【００１３】
本願発明は，従来の複数の制御装置を具備した複合制御装置を制御及び監視するシステムが有する上記問題点に鑑みてなされたものであり，本願発明の目的は，複数の制御装置を具備した複合制御装置を，より簡易に制御及び監視の可能な，新規かつ改良された複合制御装置を制御及び監視システムを提供し，特にハードウェア費用を小さく抑えることである。
【００１４】
上記課題を解決するため、本願発明の第１の観点によれば、第１の制御装置と，少なくとも１つの第２の制御装置とを具備した複合制御装置の制御及び監視システムにおいて，前記第１の制御装置は，制御機能を実施するとともに，当該制御機能を監視する手段と，前記第２の制御装置の制御機能を監視する手段とを有し，前記複合制御装置には，アクチュエータ装置に信号供給をし，前記アクチュエータ装置を非常走行位置へと移動させる非常走行信号導線が設けられており，前記第１の制御装置及び前記第２の制御装置は，通常駆動時に前記非常走行導線への信号供給を抑圧し，前記第１の制御装置又は前記第２の制御装置のいずれかの誤機能時に，前記第１の制御装置が誤機能した前記第１の制御装置又は前記第２の制御装置をオフにすることにより，前記信号供給が抑圧されずに，前記非常走行信号導線が駆動することで，前記非常走行信号導線は前記アクチュエータ装置を非常走行位置へと移動させることを特徴とする，複合制御装置の制御及び監視システムが提供される。

【００１５】
本願発明にかかる処置方法により，全体として，従来のシステムに比べて格段に少ないハードウェア費用しか必要とせず，従ってより安価にシステムを構築することができる。また，自動車の確実な駆動を保証するために複数の駆動レベルを具備しなければならない制御装置の数が最小限に抑えられる。というのは，本願発明によれば，使用される制御装置の１つのみが複合体全体の全制御装置のための監視機能を引き受けるからである。本願発明にかかるコンセプトは，とりわけ自動車の駆動ユニット，内燃機関を制御するのに好適である。
【００１６】
この時，第１の制御装置の制御機能を実施し，かつ制御機能を監視する手段及び少なくとも１つの第２の制御装置の制御機能を監視する手段は，マイクロコンピュータとして形成されており，かかるマイクロコンピュータは，少なくともエラー状況時以外において，互いに独立している少なくとも２つの駆動レベルを具備しており，その場合に第１のレベルにおいては第１の制御装置の制御機能と監視機能が，第２のレベルにおいては少なくとも１つの第２の制御装置のための監視機能が実施される。かかる駆動レベルは，少なくともエラー状況時以外では，相互にその機能において影響を与えないチャネルとしてマイクロコンピュータ内部に形成されていることが好ましい。
【００１７】
かかる構成により，唯一のマイクロコンピュータを使用して，各制御装置について２つの計算ユニット若しくはマイクロコンピュータを具備する制御システムと同様の駆動安全性と可用性を達成することができる。なお，駆動レベルの定義は，他の方法で行うこともできる。すなわち，例えば，第１の制御装置の制御機能を第１の駆動レベルにおいて，全監視機能を第２の駆動レベルにおいて組織することも考えられる。
【００１８】
本願発明にかかるシステムによれば，第３の駆動レベルが設定され，第１の制御装置若しくは第１の制御装置に対応づけられているマイクロコンピュータの機能方法を，第２のレベルの監視により調べる。
【００１９】
かかる監視により，システムの駆動安全性を著しく向上させることが出来る。この時，例えば，質問−応答モードで監視操作を行うことが可能なアクティブなウォッチドッグを使用すると効果的である。
【００２０】
また，本願発明にかかるシステムには，センサが設定されており，センサは通常状態においては少なくとも１つの第２の制御装置のための冗長なセンサとして用いられ，第２の制御装置のエラー機能が認識された場合には，少なくとも１つの第２の制御装置の制御機能に関する非常走行機能を保証するために，第１の制御装置に対応づけることができる。
【００２１】
かかる構成により，エラー機能の場合には第１の固有安全の制御装置によって評価することのできる，冗長なセンサ装置によって，少なくとも１つの第２の制御装置のアクチュエータの異なる確実な状態を駆動することも可能である。かかるセンサによれば，第２の制御装置のエラー場合においては，第２の制御装置の実際の駆動点について確実な状態を好適な方法で調節可能である。
【００２２】
また，本願発明にかかるシステムにおいて，安全手段又は非常手段の導入は，少なくとも１つの第２の制御装置のアクチュエータ装置のオフ及び／又は少なくとも１つの第２の制御装置のオフを含むことが好ましい。
【００２３】
更に，本願発明にかかるシステムによれば，非常走行信号導線が設定されており，非常走行信号導線を介して個々の制御装置が互いに接続されている。この手段は，特に共通の確実な状態をアクティブに駆動しなければならない，まとめられたユニット，例えば自動車のドライブトレインの場合に，効果的であることが明らかにされている。ドライブトレインの全制御装置が通常駆動で作動する場合には，制御装置のいずれもかかる非常走行信号導線に信号を供給しない。しかし制御装置の１つがエラーを認識した場合には，それがオフにされることにより非常走行信号導線に信号を供給する。制御装置内では，通常駆動時には，この非常走行信号導線への信号供給は不活性化されている。
【００２４】
この導線と接続されているアクチュエータ装置は，導線が駆動された場合には，非常走行位置へ移動する。接続されている駆動装置による駆動は，アクチュエータ装置に何ら影響を与えず，制御装置はより低い優先順位となる。この非常走行ストラテジーは，好ましくはハードウェア内で実現可能であり，それによってより高い信頼性を得ることができる。例えばドライブトレインにおいて，エラーの場合にはこの非常走行制御によって駆動されるタイムリレーによってクラッチを，例えば５秒「開」の方向へ移動させることが実現される。
【００２５】
【発明の実施の形態】
以下に添付図面を参照しながら，本願発明の好適な実施の形態について詳細に説明する。なお，本明細書及び図面において，実質的に略同一の機能構成を有する構成要素については，同一の符号を付することにより重複説明を省略する。
【００２６】
まず，図１に基づいて，本願発明の複合制御装置の制御及び監視システムの実施形態を説明する。
【００２７】
図１には，本願発明の好ましい実施形態としての，自動車の駆動ユニットを制御するための，２つの制御装置を有するシステム若しくは複合制御装置の概略ブロック回路図が示されている。第１の制御装置１０と第２の制御装置２０が設けられている。例えば，制御装置２０は，通常駆動において自動車のクラッチと，必要に応じて他のアクチュエータを制御するものとする。
【００２８】
図１において，制御装置１０と２０との間に設けられた通信接続１２を介して，複合体内の制御装置の監視及び通常の通信が実行される。通信接続１２は，例えばＣＡＮ−接続として実現されている。
【００２９】
制御装置１０は，複数の機能，すなわち，その本来の制御機能の実行Ｆ１，かかる制御機能の監視Ｆ２及び制御装置２０の監視Ｆ３を具備している。
【００３０】
その場合に，第１の制御装置１０のマイクロコンピュータ１４は，少なくとも２つの駆動レベルに組織されている。第１のレベル（機能ＳＧ１０）は，制御装置１０の制御機能を実施するための計算を実行する。第１のレベルは，更に，第２の制御装置（監視ＳＧ２０）の監視を具備している。第２のレベル（監視ＳＧ２０）は，第１の制御装置の制御機能を監視する。
【００３１】
第１の制御装置１０が，第２の制御装置２０の誤機能を検出した場合には，制御装置１０は出力導線１１を介して制御装置２０をオフ，若しくは電流ゼロにする。制御装置２０によって制御されるクラッチは，車両速度に従って操作，若しくは閉成されるので，制御装置１０は制御装置２０に関する非常走行機能を引き継ぐ。この非常走行機能については，基本的な駆動で十分である。通常駆動においては制御装置２０によって制御されるクラッチの非常走行機能を満たすために必要な入力量を，制御装置１０はセンサ１５によって入手し，かかるセンサ１５は通常駆動においては制御装置２０のための冗長なセンサ１５として機能する。制御装置２０はマイクロコンピュータ１４’を具備している。
【００３２】
その場合に，少なくとも１つの第２の（本質安全ではない）制御装置２０をオフにすることのできる第１の制御装置１０が，本質安全であることが保証されなければならず，すなわち第１の制御装置１０の駆動においてはその正しい機能が保証されなければならない。これを保証するために，第２の駆動レベル，すなわち監視レベル（監視ＳＧ１０）による制御装置１０の制御機能の監視Ｆ４が設定されている。従って制御装置２０のエラー状態が認識された場合には，これは第１の制御装置１０内の第２の制御装置２０の監視機能において，第２の制御装置の非常走行駆動をもたらす。
【００３３】
かかる監視コンセプトが実現される場合には，第１の制御装置１０がエラーに基づいてオフにされる限りにおいて，第２の制御装置２０のエラー状況時において，第１の制御装置１０が実際に確実な状態を駆動若しくは制御できることが保証されないという，第１の制御装置１０の機能制限がある。ここで例えば，第２の制御装置２０を制限された駆動へ移すことが可能であり，すなわち第２の制御装置２０はエラー場合におけるオフが確実な状態を意味する駆動点のみへ移動する。
【００３４】
第１の制御装置１０がオフにされる場合には，第２の制御装置２０の駆動の外部の保護は保証されないので（第２の制御装置の監視機能は第１の制御装置内で進行するので），第２の制御装置２０の安全な駆動は保証されない。その場合には，第２の制御装置２０は実際に安全な状態で駆動し，その後オフにされる。
【００３５】
共通の確実な状態をアクティブに駆動しなければならない，構成されたユニット（ドライブトレイン）については，かかるユニットを中央の非常走行導線（図示せず）を介して接続すると，効果的である。全ての制御装置が通常駆動において作動する場合には，かかる制御装置のいずれもかかる非常走行導線に信号を供給しない。しかし制御装置のいずれかがエラーを認識した場合には，その制御装置がオフになって，それによってこの非常走行導線に信号を供給する。制御装置内では，かかる導線は非作動に信号供給されており，すなわち通常駆動においては制御装置は，信号供給をアクティブに抑圧しなければならない。
【００３６】
非常走行導線と接続されているアクチュエータ１６は，非常走行導線が駆動された場合には，非常走行位置へ移動する。この場合、接続されている制御装置による駆動は，アクチュエータ１６に影響を与えず，制御装置は、このアクチュエータ１６の駆動に関して非常走行導線より低い優先順位を有している。非常走行ストラテジーは，好ましくはハードウェア内で実現される。というのは，それによってより高い信頼性が与えられるからである。
【００３７】
図示のシステムをアクチュエータ装置１６に結合することは，矢印Ｐと任意に形成されたアクチュエータ装置１６によって示されている。アクチュエータ装置１６の操作を，ワイアード−オア−機能として形成すると効果的である。すなわち２つの制御装置の一方に低レベル信号Ｐ（若しくは「オフ」−信号）が存在している場合には，アクチュエータ装置１６のオフを導入することができる。換言すると，制御装置の１つが低レベル信号Ｐをアクチュエータ装置１６へ出力した場合には，そのアクチュエータ装置１６がオフにされる。同様に，アクチュエータ装置１６の他の代替的な駆動も考えられる。制御装置１０の冗長なセンサ装置１５によって，同様に，例えば制御装置２０に対応づけられているアクチュエータ装置１６のいずれかの，確実な状態を異なるように駆動することが可能である。
【００３８】
従来の技術においては，信号Ｐを冗長に蓋然化するために，例えば信号Ｐは種々の制御装置によって冗長に読み込まれて，通信チャネル（例えばＣＡＮ）を介して交換される。かかる知識は，制御装置１０内で，制御装置２０のエラー状況時において制御装置２０の実際の駆動点について確実な状態を調節するために，使用することができる。
【００３９】
一方，本実施形態で表されるトポロジーの特別な能力は，制御装置２０の反復されるエラーと稀なエラーを区別する，制御装置１０の能力にある。この能力を基礎にして，好適な異なる対抗手段を導入することができ，例えば稀なエラーを認識した場合に，制御装置２０を短時間オフにすることができ，反復されるエラーを認識した場合には，自動車の点火がオフにされる時点まで制御装置２０のオフを実行できる。
【００４０】
本実施形態によれば，別体の制御装置によりオフが実行されることによって，第２の制御装置２０の確実な状態をアクティブに駆動することも，より簡易に実現される。例えば制御装置１０は，制御装置２０のオフと制御装置２０の主要なアクチュエータ装置１６の簡単な駆動によって，全システムのための確実な状態を得ることができる。かかる根拠は，制御装置１０の既に冗長なハードウェアにある。スタンドアローンとして形成されている制御装置２０は，多くのエラー状況時に，多大の冗長なハードウェアを使用せずに，確実な状態をアクティブに調節することはできない。
【００４１】
図２を用いて、上記の事情の概略を説明する。図２は本願発明にかかる複合制御装置の制御及び監視方法の好ましい実施形態を示す概略図である。
【００４２】
エラー状況時に確実な状態１を有する駆動点と，エラー状況時に確実な状態２を有する駆動点とが区別される。確実な状態１を有する駆動点が存在している時にエラーが検出された場合に，エラー状況時においては確実な状態１はアクチュエータ１６のアクティブな駆動によってもたらされる。確実な状態２を有する駆動点の間にエラーが発生した場合には，確実な状態２は，センサ１５若しくはシステムのオフによってもたらされる。これを例に用いて説明する：例えばクラッチが閉成されている間にエラーが発生した場合には，安全上の理由からシステムを単純にオフにすることは不可能である。むしろ，アクティブに駆動することによって（確実な状態１），クラッチの開放が必要となる。
【００４３】
以上，添付図面を参照しながら本願発明の好適な実施形態について説明したが，本願発明はかかる例に限定されない。当業者であれば，特許請求の範囲に記載された技術的思想の範疇内において各種の変更例または修正例に想到し得ることは明らかであり，それらについても当然に本願発明の技術的範囲に属するものと了解される。
【００４４】
【発明の効果】
以上説明したように，本願発明によれば，全体として従来のシステムに比べて格段に少ないハードウェア費用しか必要とせず，従ってより安価に複合制御装置を制御及び監視するシステムを形成することができる。また，自動車の確実な駆動を保証するために複数の駆動レベルを持たなければならない制御装置の数が最少に削減される。
【図面の簡単な説明】
【図１】  本願発明にかかる複合制御装置の制御及び監視システムの好ましい実施形態を示すブロック回路図である。
【図２】  本願発明にかかる複合制御装置の制御及び監視方法の特に好ましい実施形態を説明するための概略図である。
【符号の説明】
１０    第１の制御装置
１１    出力導線
１２    通信接続
１４，１４’  マイクロコンピュータ
１５    センサ
１６    アクチュエータ
２０    第２の制御装置
【図１】
0004571357.tif 000002
【図２】
0004571357.tif 000003