(57)【要約】本発明は、自動車内の乗員保護手段をトリガする制御ユニットおよび有利なこの種の制御ユニットの正常な機能を監視する方法に関する。この制御ユニットはここで、第１および第２の計算ユニット（Ｒ１，Ｒ２）並びにトリガユニット（ＡＥ）を含む。複数の論理的ＡＮＤゲート（ＡＮＤ１，ＡＮＤ２；ＡＮＤ３）は入力側で、それぞれに割り当てられている計算ユニット（Ｒ１，Ｒ２）ないしトリガユニット（ＡＥ）のクロック信号（ｃｌｋ１，ｃｌｋ２，ｃｌｋ３）と接続されている。それぞれ１つの論理的ＡＮＤゲート（ＡＮＤ１，ＡＮＤ２；ＡＮＤ３）の信号出力側は、割り当てられている各パルス数比較ユニット（ＰＺＶＥ１，ＰＺＶＥ２）に導かれ、パルス数比較ユニットの各信号出力側は再び割り当てられている各リセット部（ＲＥＳ１，ＲＥＳ２）の入力側に導かれる。割り当てられている各パルス数比較ユニット（ＰＺＶＥ１，ＰＺＶＥ２）が時間単位毎に許容できない数のパルスを各論理ＡＮＤゲート（ＡＮＤ１，ＡＮＤ２；ＡＮＤ３）の出力信号（ｃｌｋ１３，ｃｌｋ２３）において識別した場合には常に、各計算ユニット（Ｒ１，Ｒ２）のリセット部（ＲＥＳ１，ＲＥＳ２）は各他方の計算ユニット（Ｒ１，Ｒ２）をリセットする。
2006506263.tif 000002
【特許請求の範囲】
【請求項１】
自動車内の乗員保護手段をトリガする制御ユニットであって、
当該制御ユニットは、第１の計算ユニット（Ｒ１）と第２の計算ユニット（Ｒ２）とトリガユニット（ＡＥ）を含み、
前記第１の計算ユニット（Ｒ１）、第２の計算ユニット（Ｒ２）およびトリガユニット（ＡＥ）はそれぞれ非同期的にクロック制御される形式のものにおいて、
・前記制御ユニットは、第１および第２の論理的ＡＮＤゲート（ＡＮＤ１，ＡＮＤ２）を含み、
・前記制御ユニットの前記第１の計算ユニット（Ｒ１）は、第１のパルス数比較ユニット（ＰＺＶＥ１）および第１のリセット部（ＲＥＳ１）を有しており、
・前記制御ユニットの前記第２の計算ユニット（Ｒ２）は、第２のパルス数比較ユニット（ＰＺＶＥ２）および第２のリセット部（ＲＥＳ２）を有しており、
・前記第１の論理的ＡＮＤゲート（ＡＮＤ１）の入力側には、第１の計算ユニット（Ｒ１）のクロック信号（ｃｌｋ１）もトリガユニット（ＡＥ）のクロック信号（ｃｌｋ３）も供給され、
・前記第１の論理的ＡＮＤゲート（ＡＮＤ１）の出力側（ｃｌｋ１３）は、前記第２のパルス数比較ユニット（ＰＺＶＥ２）の入力側と接続されており、
・前記第２のパルス数比較ユニット（ＰＺＶＥ２）の出力側は、前記第２のリセット部（ＲＥＳ２）の入力側と接続されており、
・前記第２のリセット部（ＲＥＳ２）の出力側は、前記第１の計算ユニット（Ｒ１）のリセット入力側（ＲＥＳＥＴ１）と直接的または間接的に接続されており、
・前記第２の論理的ＡＮＤゲート（ＡＮＤ２）の入力側には、第２の計算ユニット（Ｒ２）のクロック信号（ｃｌｋ２）もトリガユニット（ＡＥ）のクロック信号（ｃｌｋ３）も供給され、
・前記第２の論理的ＡＮＤゲート（ＡＮＤ２）の出力側（ｃｌｋ２３）は、前記第１のパルス数比較ユニット（ＰＺＶＥ１）の入力側と接続されており、
・前記第１のパルス数比較ユニット（ＰＺＶＥ１）の出力側は、前記第１のリセット部（ＲＥＳ１）の入力側と接続されており、
・前記第１のリセット部（ＲＥＳ１）の出力側は、前記第２の計算ユニット（Ｒ２）のリセット入力側（ＲＥＳＥＴ２）と直接的または間接的に接続されており、
この結果、
・前記第１のパルス数比較ユニット（ＰＺＶＥ１）が前記第２のＡＮＤゲート（ＡＮＤ２）の出力信号において、時間単位毎の許容できない数のパルスを識別すると、前記第１のリセット部（ＲＥＳ１）は、第１のリセット信号（ｓｒ１）を出力することによって第２の計算ユニット（Ｒ２）をリセットし、
・前記第２のパルス数比較ユニット（ＰＺＶＥ２）が前記第１のＡＮＤゲート（ＡＮＤ１）の出力信号において、時間単位毎の許容できない数のパルスを識別すると、前記第２のリセット部（ＲＥＳ２）は、第２のリセット信号（ｓｒ２）を出力することによって第１の計算ユニット（Ｒ１）をリセットする、
ことを特徴とする、自動車内の乗員保護手段をトリガする制御ユニット。
【請求項２】
・前記制御ユニットは第１および第２の論理的ＯＤＥＲゲート（ＯＲ１，ＯＲ２）を有しており、
・前記第２のリセット部（ＲＥＳ２）の出力側は、前記第２のＯＤＥＲゲート（ＯＲ２）を介して間接的に前記第１の計算ユニット（Ｒ１）のリセット入力側（ＲＥＳＥＴ１）と接続されており、
・前記第１のリセット部（ＲＥＳ１）の出力側は、前記第１のＯＤＥＲゲート（ＯＲ１）を介して間接的に前記第２の計算ユニット（Ｒ２）のリセット入力側（ＲＥＳＥＴ２）と接続されており、
この結果
・前記第１のパルス数比較ユニット（ＰＺＶＥ１）が前記第２のＡＮＤゲート（ＡＮＤ２）の出力信号（ｃｌｋ２３）において、時間単位毎の許容できない数のパルスを識別すると、前記第１のリセット部（ＲＥＳ１）は、第１のリセット信号（ｓｒ１）を出力することによって、前記第１のＯＤＥＲゲート（ＯＲ１）を介して間接的に第２の計算ユニット（Ｒ２）をリセットし、
・前記第２のパルス数比較ユニット（ＰＺＶＥ２）が前記第１のＡＮＤゲート（ＡＮＤ１）の出力信号（ｃｌｋ１３）において、時間単位毎の許容できない数のパルスを識別すると、前記第２のリセット部（ＲＥＳ２）は、第２のリセット信号（ｓｒ２）を出力することによって、前記第２のＯＤＥＲゲート（ＯＲ２）を介して間接的に第１の計算ユニット（Ｒ１）をリセットする、請求項１記載の制御ユニット
【請求項３】
・前記第１のリセット部（ＲＥＳ１）および／または第２のリセット部（ＲＥＳ２）は、前記トリガユニット（ＡＥ）のリセット入力側（ＲＥＳＥＴＡＥ）と直接的にまたは間接的に接続されており、
この結果、
・前記第１のパルス数比較ユニット（ＰＺＶＥ１）が前記第２のＡＮＤゲート（ＡＮＤ２）の出力信号（ｃｌｋ２３）において、時間単位毎の許容できない数のパルスを識別すると、前記第１のリセット部（ＲＥＳ１）は、第１のトリガリセット信号（ｓａｅ１）を出力することによって前記トリガユニット（ＡＥ）をリセットし、および／または
・前記第２のパルス数比較ユニット（ＰＺＶＥ２）が前記第１のＡＮＤゲート（ＡＮＤ１）の出力信号（ｃｌｋ１３）において、時間単位毎の許容できない数のパルスを識別すると、前記第２のリセット部（ＲＥＳ２）は、第２のトリガリセット信号（ｓａｅ２）を出力することによって前記トリガユニット（ＡＥ）をリセットする、請求項１または２記載の制御ユニット。
【請求項４】
・制御ユニットは第３の論理的ＡＮＤゲート（ＡＮＤ３）を有しており、
・当該第３のＡＮＤゲート（ＡＮＤ３）の入力側には、第１の計算ユニット（Ｒ１）のクロック信号（ｃｌｋ１）と、第２の計算ユニット（Ｒ２）のクロック信号（ｃｌｋ２）が供給され、
・前記第３の論理的ＡＮＤゲート（ＡＮＤ３）の出力信号（ｃｌｋ１２）は、第１のパルス数比較ユニット（ＰＺＶＥ１）の入力側とも、第２のパルス数比較ユニット（ＰＺＶＥ２）の入力側とも接続されており、
この結果、
・前記第１のパルス数比較ユニット（ＰＺＶＥ１）が前記第３のＡＮＤゲート（ＡＮＤ３）の出力信号（ｃｌｋ１２）において、時間単位毎の許容できない数のパルスを識別すると、前記第１のリセット部（ＲＥＳ１）は、第１のリセット信号（ｓｒ１）を出力することによって前記第２の計算ユニット（Ｒ２）をリセットし、および
・前記第２のパルス数比較ユニット（ＰＺＶＥ２）が前記第３のＡＮＤゲート（ＡＮＤ３）の出力信号（ｃｌｋ１２）において、時間単位毎の許容できない数のパルスを識別すると、前記第２のリセット部（ＲＥＳ２）は、第２のリセット信号（ｓｒ２）を出力することによって前記第１の計算ユニット（Ｒ１）をリセットする、請求項１から３までのいずれか１項記載の制御ユニット。
【請求項５】
・前記トリガユニット（ＡＥ１）のウォッチドッグ入力側は、前記第１の計算ユニット（Ｒ１）のウォッチドッグ出力側（ＷＤ１）と接続されており、
・前記トリガユニットの計算ユニットリセット出力側（ＳＡＥ）は、直接的にまたは間接的に第２のＯＤＥＲゲート（ＯＲ２）を介して、前記第１の計算ユニット（Ｒ１）のリセット入力側（ＲＥＳＥＴ１）と接続されており、
この結果
前記トリガユニット（ＡＥ）が前記第１のウォッチドッグ出力側（ＷＤ１）から許容されないウォッチドッグ信号（ｗｄ１）を受信すると、前記トリガユニット（ＡＥ）は、計算ユニットリセット信号（ｓａｅ）を直接的または間接的に第２のＯＤＥＲゲート（ＯＲ２）を介して前記第１の計算ユニット（Ｒ１）のリセット入力側（ＲＥＳＥＴ１）に出力する、請求項１から４までのいずれか１項記載の制御ユニット。
【請求項６】
・前記トリガユニット（ＡＥ）の信号入力側は、前記第２の計算ユニット（Ｒ２）の第２のウォッチドッグ出力側（ＷＤ２）と接続されており、
・前記トリガユニット（ＡＥ）の計算ユニットリセット出力側（ＳＡＥ）は、直接的にまたは間接的に第１のＯＤＥＲゲート（ＯＲ１）を介して、前記第２の計算ユニット（Ｒ２）のリセット入力側（ＲＥＳＥＴ２）と接続されており、
この結果
前記トリガユニット（ＡＥ）が前記第２のウォッチドッグ出力側（ＷＤ２）から許容されない第２のウォッチドッグ信号（ｗｄ２）を受信すると、前記トリガユニット（ＡＥ）は、計算ユニットリセット信号（ｓａｅ）を直接的または間接的に第１のＯＤＥＲゲート（ＯＲ１）を介して前記第２の計算ユニットのリセット入力側（ＲＥＳＥＴ２）に出力する、請求項１から５までのいずれか１項記載の制御ユニット。
【請求項７】
制御ユニット、有利には請求項１から６までのいずれか１項記載の制御ユニットの正常な機能を監視する方法であって、
・第１の計算ユニット（Ｒ１）およびトリガユニット（ＡＥ）の２つのクロック信号（ｃｌｋ１，ｃｌｋ３）から、第１の論理結合（ＡＮＤ１）によって第１の結合された信号（ｃｌｋ１３）を生成し、
・第２の計算ユニット（Ｒ２）は時間窓中に前記第１の結合された信号（ｃｌｋ１３）のパルスの数を計数し、
・第２の計算ユニット（Ｒ２）は計数されたパルスの数を第２の基準値と比較し、当該第２の基準値は前記第２の計数ユニット（Ｒ２）のメモリ内に格納されており、
・計数されたパルスの数が前記第２の計算ユニット（Ｒ２）のメモリの第２の基準値から許容できる程度を越えて偏差した場合、前記第２の計算ユニット（Ｒ２）は、リセット信号を前記第１の計算ユニット（Ｒ１）の第１のリセット入力側（ＲＥＳＥＴ１）に出力する、
ことを特徴とする、制御ユニットの正常な機能を監視する方法。
【請求項８】
・第２の計算ユニット（Ｒ２）およびトリガユニット（ＡＥ）の２つのクロック信号（ｃｌｋ２，ｃｌｋ３）から、第２の論理結合（ＡＮＤ２）によって第２の結合された信号（ｃｌｋ２３）を生成し、
・第１の計算ユニット（Ｒ１）は時間窓中に前記第２の結合された信号（ｃｌｋ２３）のパルスの数を計数し、
・第１の計算ユニット（Ｒ１）は計数されたパルスの数を第１の基準値と比較し、当該第１の基準値は前記第１の計算ユニット（Ｒ１）のメモリ内に格納されており、
・計数されたパルスの数が前記第１の基準値から許容できる程度を越えて偏差した場合、前記第１の計算ユニット（Ｒ１）は、リセット信号を前記第２の計算ユニット（Ｒ２）の第２のリセット入力側（ＲＥＳＥＴ２）に出力する、請求項７記載の方法。
【請求項９】
・前記第１の計算ユニット（Ｒ１）が前記第２の結合された信号（ｃｌｋ２３）内で、時間単位毎の許容できない数のパルスを識別すると、前記第１の計算ユニット（Ｒ１）は、第１のトリガリセット信号（ｓａｅ１）を出力することによって前記トリガユニット（ＡＥ）をリセットし、および／または、
・前記第２の計算ユニット（Ｒ２）が前記第１の結合された信号（ｃｌｋ１３）内で、時間単位毎の許容できない数のパルスを識別すると、前記第２の計算ユニット（Ｒ２）は、第２のトリガリセット信号（ｓａｅ２）を出力することによって前記トリガユニット（ＡＥ）をリセットする、請求項７または８記載の方法。
【請求項１０】
・第１の計算ユニット（Ｒ１）および第２の計算ユニット（Ｒ２）の２つのクロック信号（ｃｌｋ１，ｃｌｋ２）から、第３の論理結合（ＡＮＤ３）によって第３の結合された信号（ｃｌｋ１２）を生成し、
・前記第１の計算ユニット（Ｒ１）も第２の計算ユニット（Ｒ２）も時間窓中に前記第３の結合された信号（ｃｌｋ１２）のパルスの数を計数し、
・前記第１の計算ユニット（Ｒ１）も第２の計算ユニット（Ｒ２）も計数されたパルスの数をそれぞれ１つの基準値と比較し、当該基準値は前記第１の計算ユニット（Ｒ１）のメモリ内ないしは前記第２の計算ユニット（Ｒ２）のメモリ内に格納されており、
・前記第１の計算ユニット（Ｒ１）が、各基準値との比較によって、時間単位毎に許容されない数のパルスを前記第３の結合された信号（ｃｌｋ１２）内で識別すると、前記第１の計算ユニット（Ｒ１）は前記第２の計算ユニット（Ｒ２）を第１のリセット信号（ｓｒ１）を出力することによってリセットし、
・前記第２の計算ユニット（Ｒ２）が、各基準値との比較によって、時間単位毎に許容されない数のパルスを前記第３の結合された信号（ｃｌｋ１２）内で識別すると、前記第２の計算ユニット（Ｒ２）は前記第１の計算ユニット（Ｒ１）を第２のリセット信号（ｓｒ２）を出力することによってリセットする、請求項７から９までのいずれか１項記載の方法。
【請求項１１】
・前記トリガユニット（ＡＥ）の第１の監視入力側（ＡＥ１）に、第１のウォッチドッグ信号（ｗｄ１）が前記第１の計算ユニット（Ｒ１）の第１の監視出力側（ＷＤ１）から供給され、引き続き、
・前記第１のウォッチドッグ信号（ｗｄ１）が許容されない場合、前記トリガユニット（ＡＥ）の計算ユニットリセット出力側（ＳＡＥ）は、計算ユニットリセット信号（ｓａｅ）を、前記第１の計算ユニット（Ｒ１）の第１のリセット入力側（ＲＥＳＥＴ１）に出力し、および／または
・前記トリガユニット（ＡＥ）の第２の監視入力側（ＡＥ２）に、第２のウォッチドッグ信号（ｗｄ２）が前記第２の計算ユニット（Ｒ２）の第２の監視出力側（ＷＤ２）から供給され、引き続き、
・前記第２のウォッチドッグ信号（ｗｄ２）が許容されない場合、前記トリガユニット（ＡＥ）の計算ユニットリセット出力側（ＳＡＥ）は、計算ユニットリセット信号（ｓａｅ）を、前記第２の計算ユニット（Ｒ２）の第２のリセット入力側（ＲＥＳＥＴ２）に出力する、請求項８から１０までのいずれか１項記載の方法。
【請求項１２】
自動車の乗員保護システムの制御ユニットの前記２つの計算ユニット（Ｒ１，Ｒ２）のうちの１つは、各他方の別の計算ユニット（Ｒ１，Ｒ２）またはトリガユニット（ＡＥ）の１回または複数回のリセット後に、当該乗員保護システムを少なくとも部分的に非活性化するおよび／または車両乗員に制御ユニットの機能エラーおよび乗員保護手段の少なくとも部分的な非活性化を示す、請求項７から１１までのいずれか１項記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自動車内の乗員保護をトリガする制御ユニットおよびこのような有利な制御ユニットの正常な機能を監視する方法に関する。この制御ユニットはここでは第１の計算ユニットと第２の計算ユニットとトリガユニットを有している。これらはそれぞれ非同期的に相互にクロック制御される。さらにこの制御ユニットは、第１および第２の論理的ＡＮＤゲートを有する。第１および第２の計算ユニットは、それぞれ１つのパルス数比較ユニットおよびリセット部を有している。
【０００２】
各論理的ＡＮＤゲートの入力側には、それぞれに割り当てられた計算ユニットのクロック信号が供給され、さらにトリガユニットのクロック信号が供給される。各論理的ＡＮＤゲートの信号出力は各計算ユニットのパルス数比較ユニットの入力側に供給され、パルス数比較ユニットの出力は、計算ユニットのそれぞれ属するリセット部の入力側に供給される。
【０００３】
各計算ユニットのリセット部は、それぞれ他方の計算ユニットのリセット入力側と接続されている。これによって属するリセット部は、それぞれ他方の計算ユニットを次の場合にリセットする。すなわち属するパルス数比較ユニットが時間単位毎の許容できない数のパルスをそれぞれ自身と接続されているＡＮＤゲートの出力信号において識別した場合にリセットする。
【０００４】
従来技術では、回路を用いて計算ユニット内の機能経過を監視し、この機能経過においてエラーが識別された場合に、エラーを有する計算ユニットをリセットする。文献ＤＥ１００５６４０８Ｃ１号，ＤＥ１００３０９９１Ａ１号，ＤＥ１００４９４４０Ａ１号およびＤＥ４０３９３５５Ａ１号ではこのために、いわゆるウォッチドッグ回路が使用されている。このウォッチドッグ回路は、計算ユニットから送出されたパルスを、パルスの長さまたは休止の長さまたは時間単位毎のパルス数に関して評価する。
【０００５】
今日、多くの駆動制御システム内には、第１の計算ユニットの他に第２の計算ユニットも設けられている。この場合には第２の計算ユニットは主に、第１の計算ユニットの機能の正常性を監視する予備計算ユニットとして用いられ、場合によっては、第１の計算ユニットが故障している場合には、第１の計算ユニットの計算機能および駆動制御機能を部分的に担う。
【０００６】
特に重要なのはこのような予備計算ユニットを、駆動制御システムでの第１のメイン計算ユニットと組み合わせて使用することである。この駆動制御システムの故障は、少なくとも人物を負傷させる危険性をもたらす。このような、安全に関して重要な駆動制御システムは例えば、自動車内の乗員保護手段を駆動制御する制御ユニットである。ここでメイン計算ユニットは、適切な乗員保護手段のトリガに対する点火時点を計算する。この乗員保護手段は衝突時に、車両乗員を負傷からできる限り保護する。最適な点火時点の計算に続いて、メイン計算ユニットは適切な乗員保護手段（例えばドライバーエアバッグ）のトリガをイネーブルにする。
【０００７】
メイン計算ユニットの計算能力が部分的にのみ故障している時点で既に、制御ユニットによって適切な乗員保護手段がタイミング良くトリガされることはもはや保証されない。このような理由から第１の計算ユニットの重要な機能性は第２の計算ユニット、すなわち予備計算ユニットによって引き受けられなければならない。予備計算ユニットは、第２のステップにおいて第１の計算ユニットをリセットする、またはむしろ完全にスイッチオフして、場合によって第１の計算ユニットのタスクを少なくとも部分的に担うために、まずは第１の計算ユニットの機能に異常が生じている可能性があることを識別しなければならない。
【０００８】
自動車の安全に関して重要な用途において使用されるこの種のダブル計算器システムは、例えばドイツ連邦共和国公開公報ＤＥ３７００９８６Ａ１号に記載されている。この文献に示されたプロセッサは同等に監視される。ここでは各計算ユニットはウォッチドッグ信号３３，３７を送出し、この信号はそれぞれ他方の計算ユニットにおいてウォッチドッグ識別部１４，２２によって検査される。各計算ユニットが、それぞれ１つの他方の計算ユニットから誤りを有するウォッチドッグ信号３３，３５を受信すると、正常に作動する各計算ユニットがリセット信号４０，３６を、エラーを有する別の計算ユニットに送出する。
【０００９】
計算ユニットを２つずつ有する、自動車内の安全関連用途で使用される類似した駆動制御システムが文献ＤＥ１０１５１０１２Ａ１号およびＤＥ４００４７０９Ｃ２号からも公知である。ここでも２つの計算ユニットの双方向監視が、各計算ユニットにおけるそれぞれ１つのウォッチドッグ識別部を用いて行われる。
【００１０】
しかしこのようなウォッチドッグ回路による計算ユニットの正常作用の双方向監視はしばしば非常に緩慢である。しかしまさに乗員保護システムでこそ、車両乗員に対する危険性を制限するための遅延のない措置を導入するために、乗員保護システムの制御ユニット内の計算ユニットの機能障害を非常に迅速かつ確実に識別することが重要なのである。
【００１１】
従って本発明の課題は、自動車用乗員保護手段の制御ユニット内の少なくとも１つの計算ユニットの機能障害を非常に迅速に識別するために必要な技術的前提条件を達成することである。
【００１２】
上述の課題は、請求項１に記載された制御ユニットによって解決される。
【００１３】
本発明による制御ユニットは、メイン計算ユニット（すなわち第１の計算ユニット）の他に予備計算ユニット（すなわち第２の計算ユニット）並びに乗員保護手段（例えばエアバッグ）をトリガするためのトリガユニットも有している。第１の計算ユニット、第２の計算ユニットおよびトリガユニットは、内部または外部のクロック発生器によって相互にそれぞれ非同期的にクロック制御される。
【００１４】
第１の計算ユニットは第１のパルス数比較ユニットおよび第１のリセット部を含み、第２の計算ユニットは第２のパルス数比較ユニットおよび第２のリセット部を有する。制御ユニットはさらに、第１の計算ユニットないし第２の計算ユニットにそれぞれ割り当てられた、第１および第２の論理的ＡＮＤゲートを有する。
【００１５】
第１の論理的ＡＮＤゲートの入力側には、第１の計算ユニットのクロック信号も、トリガユニットのクロック信号も供給される。これに対して第１の論理的ＡＮＤゲートの出力側は第２のパルス数比較ユニットの入力側と接続されている。第２のパルス数比較ユニットの出力側は、第２のリセット部の入力側と接続されている。このリセット部の出力側は再び第１の計算ユニットのリセット入力側に導かれる。
【００１６】
制御ユニットの第１の論理的ＡＮＤゲートは次のように接続されている。すなわち、第２のパルス数比較ユニットが時間単位毎の許容できない数のパルスを、第１のＡＮＤゲートの出力信号において識別した場合に、リセット信号を送出することによって第２のリセット部が第１の計算ユニットをリセットするように接続されている。
【００１７】
第１の計算ユニットが第２の計算ユニットによって置き換えられ、同じように第１のパルス数比較ユニットが第２のパルス数比較ユニットに対して置き換えられ、第１のリセット部が第２のリセット部に対して置き換えられ、第１の計算ユニットのリセット入力側が第２の計算ユニットのリセット入力側に対して置き換えられると、第１の論理的なＡＮＤゲートの接続と同様な第２の論理的なＡＮＤゲートの接続が得られる。
【００１８】
従ってこのような第２のＡＮＤゲートの接続は、第１のパルス比較ユニットが第２のＡＮＤゲートの出力信号において時間単位毎に許容されない数のパルスを識別した場合に、リセット信号の出力によって第１のリセット部が第２の計算ユニットをリセットするように行われる。
【００１９】
本発明の関連では次のような機能ユニットが本発明による制御ユニットの計算ユニットのパルス数比較ユニットと称される。すなわち、例えばパルスシーケンスの時間単位毎のハイレベルの数を計数し、事前に定められた比較値と比較する機能ユニットである。このような比較に依存して、パルス数比較ユニットは種々異なる制御信号を出力する。
【００２０】
当然ながらパルス数比較ユニットは択一的に、パルスシーケンスの時間単位毎のローレベルの数またはレベル変換の数を計数してもよい。
【００２１】
有利な発展形態では、この制御ユニットは第１および第２の論理的ＯＤＥＲゲートを有する。ここで第２のＯＤＥＲゲートは入力側で第２のリセット部の出力側と接続されており、出力側で第１の計算ユニットのリセット入力側と接続されている。これに相応して第１のＯＤＥＲゲートは、入力側で第１のリセット部と接続されており、出力側で第２の計算ユニットのリセット入力側と接続されている。これによって次のような利点が生じる。すなわち論理的ＯＤＥＲゲートのそれぞれ別の入力側に、制御ユニットの別の回路部分のさらなるリセット信号が供給されるという利点が生じる。これによって計算ユニットは、それぞれ別の計算ユニットの判断によってのみリセットされるのではなく、制御ユニットの別の機能ユニットの別の判断によってもリセットされる。
【００２２】
別の有利な実施形態では、第１の計算ユニットの第１のリセット部または第２の計算ユニットの第２のリセット部が、トリガユニットのリセット入力側と接続されている。従って第１のリセット部ないし第２のリセット部は、第２ないしは第１の計算ユニットの機能エラーが確認された場合に、それぞれ別の計算ユニットをリセットするだけでなく、トリガユニットもリセットする。これによって、乗員保護システムの正しい作用に関する付加的な安全性が得られる。なぜなら、少なくとも１つのまたは両方の計算ユニットの機能に障害がある場合、トリガユニットも確実にスイッチオフされるからである。これによって、乗員保護手段の危険なトリガが生じる可能性が確実に阻止される。
【００２３】
従って制御ユニットは殊に次のような場合に特に高いレベルの安全性を有する。すなわち計算ユニットの２つのリセット部がトリガユニットのリセット入力側と接続されており、２つの計算ユニットが場合によってはトリガユニットをリセットすることができる場合に高いレベルの安全性を有する。制御ユニットが第３の論理的ＯＤＥＲゲートを有しているのはさらに有利である。この第３のＯＤＥＲゲートは入力側で２つの計算ユニットのリセット部の信号を受信し、出力側でトリガユニットのリセット入力側と接続されている。
【００２４】
本発明の別の有利な実施形態では、制御ユニットは第３のＡＮＤゲートを有している。この第３のＡＮＤゲーの入力側には第１および第２の計算ユニットのクロック信号が供給され、第３のＡＮＤゲートの信号出力側は、第１ないし第２の計算ユニットの第１のパルス数比較ユニットにも第２のパルス数比較ユニットにも供給される。第１ないし第２のパルス数比較ユニットが第３のＡＮＤゲートの誤りを有する出力信号を確認すると、パルス数比較ユニットは自身に割り当てられている各リセット部に障害を伝達する。このリセット部はそれぞれ別の計算ユニットおよび場合によってはトリガユニットもリセットする。
【００２５】
さらに有利には、制御ユニットはいわゆる第１のウォッチドッグ回路を有している。このためにトリガユニットの第１のウォッチドッグ入力側は第１の計算ユニットのウォッチドッグ出力側と接続されており、トリガユニットの計算ユニットリセット出力側は直接的にまたは間接的に第１の計算ユニットと接続されている。トリガユニットが、第１の計算ユニットのウォッチドッグ出力側のウォッチドッグ信号内にエラー確認すると、トリガユニットは、計算ユニットリセット信号を直接的にまたは間接的に第１の計算ユニットに送出する。第１のウォッチドッグ回路の形状のこのような冗長的な安全回路は付加的に、乗員保護システムの制御ユニット内の、エラーを有して作動する第１の計算ユニットの確実なスイッチオフを高める。
【００２６】
トリガユニットによる、エラーを有する第２の計算ユニットのリセットに対する、相似する第２のウォッチドッグ回路は殊に次のような場合に付加的な安全性をもたらす。すなわち第２の計算ユニットが同等に、安全システムの機能に寄与する場合である。
【００２７】
上述の課題を解決するのに適した方法は、独立請求項７に記載されている。
【００２８】
本発明による方法は、自動車内の乗員保護手段をトリガする本発明による制御ユニットの正常な機能を監視するために用いられる。このような本発明による方法の経過は、機能的な関連において既に説明された本発明による装置の特徴部分に基づいて、十分に記載されている。ここで繰り返しを避けるために、上述した部分には含まれていない本発明による方法の特徴部分についてのみ述べる。
【００２９】
例えば本発明による方法では次のことは重要ではない。すなわち、どのように２つの計算ユニットおよびトリガユニットのクロック信号が、度々相互に論理的に結合された信号に組み合わされるかは重要ではない。上述した本発明による装置では、このような論理的結合機能は論理的ＡＮＤゲートを介して得られる。これは同じように公開されたＯＤＥＲゲートのように電気的な構成要素として構成されてもよいし、マイクロプロセッサ内でプログラム進行として構成されてもよい。むしろ本発明による方法で重要なのは、上述したクロック信号の論理的結合が次のようなパルスシーケンスが生成されるように行われることである。すなわち、以降で、個別パルスの数を計算することおよび求められた値を目標値と比較することによって、それが含まれている制御ユニットのクロック制御された機能ユニットのうちの１つが正常な機能有して作動しているか否かが評価されるパルスシーケンスである。
【００３０】
有利には、ここでエラーを有すると識別された機能ユニットが、少なくとも１度リセットされ、再始動によって制御ユニットのエラーを有して作動する機能ユニットに、所定の作動状態に達する機会が与えられる。このような正常な作動状態が機能ユニットの１度または複数回のリセット後にもたらされない場合、制御装置の少なくとも障害を有する部分が非活性化され、可能な場合には、制御装置の別の機能ユニットによって置き換えられ、場合によっては制御ユニット全体が非活性化される。
【００３１】
この場合に乗員保護システムの制御装置の部分的または全体的な非活性化は、例えば通常は車両計器盤内にある警告ランプの点灯によって、車両乗員に相応に示される。
【００３２】
以下で、本発明を複数の実施例に基づいて説明する。
【００３３】
図１には、２つのＡＮＤゲート（ＡＮＤ１，ＡＮＤ２）を有する本発明の制御ユニットが示されており、
図２には、３つのＡＮＤゲート（ＡＮＤ１，ＡＮＤ２，ＡＮＤ３）を有する本発明の制御ユニットが示されており、
図３には、第１の計算ユニットおよび第２の計算ユニット（Ｒ１，Ｒ２）並びにトリガユニット（ＡＥ）のクロック信号（ｃｌｋ１，ｃｌｋ２，ｃｌｋ３）の概略的な伝播時間ダイアグラムと、これらから合成された、第１および第２および第３のＡＮＤゲート（ＡＮＤ１，ＡＮＤ２，ＡＮＤ３）の出力側のクロック信号（ｃｌｋ１３，ｃｌｋ２３，ｃｌｋ１２）が示されており、
図４には、第１および第２の計算ユニット（Ｒ１，Ｒ２）のクロック信号（ｃｌｋ１，ｃｌｋ２）の概略的な伝播時間ダイアグラムと、２つの計算ユニット（Ｒ１，Ｒ２）のクロッキングが同期している場合の、第３のＡＮＤゲート（ＡＮＤ３）の属する出力信号（ｃｌｋ１２）の概略的な伝播時間ダイアグラムが示されており、
図５には、本発明による制御ユニットの計算ユニット（Ｒ１，Ｒ２）またはトリガユニット（ＡＥ）をリセットするための概略的な判断マトリックスが示されている。
【００３４】
図１には、本発明による制御ユニットが示されている。この制御ユニットは、第１の計算ユニットおよび第２の計算ユニットＲ１，Ｒ２と、トリガユニットＡＥと、第１のＡＮＤゲートおよび第２のＡＮＤゲートＡＮＤ１，ＡＮＤ２と、第１、第２および第３のＯＤＥＲゲートＯＲ１，ＯＲ２，ＯＲ３を有している。
【００３５】
第１のＡＮＤゲートＡＮＤ１の第１の信号入力側には、第１の計算ユニットＲ１のクロック信号ｃｌｋ１が供給される。第１のＡＮＤゲートＡＮＤ１の第２の信号入力側には、トリガユニットＡＥのクロック信号ｃｌｋ３が供給される。第１のＡＮＤゲートＡＮＤ１の信号出力側には、入力側に供給された２つのクロック信号ｃｌｋ１およびｃｌｋ３の論理的な合計信号ｃｌｋ１３が存在し、第２の計算ユニットＲ２のパルス数比較ユニットＰＺＶＥ２に供給される。第２のパルス数比較ユニットＰＺＶＥ２の信号出力側は、第２の計算ユニットＲ２内の第２のリセット部ＲＥＳ２と接続されている。第２のリセット部ＲＥＳ２は、出力側で第２のＯＤＥＲゲートＯＲ２の信号出力側と接続されている。第２のＯＤＥＲゲートＯＲ２の信号出力側は再び、第１の計算ユニットＲ１の第１のリセット入力側ＲＥＳＥＴ１と接続されている。
【００３６】
第１のＡＮＤゲートＡＮＤ１の接続と同じように、第２のＡＮＤゲートも接続されている。第２のＡＮＤゲートＡＮＤ２の第１の信号入力側には、第２の計算ユニットＲ２のクロック信号ｃｌｋ２が供給される。第２のＡＮＤゲートＡＮＤ２の第２の信号入力側には同じように、トリガユニットＡＥのクロック信号ｃｌｋ３が供給される。第２の論理的なＡＮＤゲートＡＮＤ２の出力信号ｃｌｋ２３は、入力側に供給された２つのクロック信号ｃｌｋ２およびｃｌｋ３の論理的な合計信号であり、第１の計算ユニットＲ１の第１のパルス数比較ユニットＰＺＶＥ１に供給される。第１のパルス数比較ユニットＰＺＶＥ１は、出力信号を第１のリセット部ＲＥＳ１に送出し、このリセット部は出力側で第１のＯＤＥＲゲートＯＲ１と接続されている。第１のＯＤＥＲゲートＯＲ１の信号出力側は、第２の計算ユニットＲ２のリセット入力側ＲＥＳＥＴ２に供給される。
【００３７】
第１のリセット部ＲＥＳ１ないしは第２のリセット部ＲＥＳ２のそれぞれ第２の信号出力側は、それぞれ第３のＯＤＥＲゲートＯＲ３の信号入力側と接続されている。第３のＯＤＥＲゲートＯＲ３の信号出力側は、トリガユニットＡＥのリセット入力側ＲＥＳＥＴＡＥと接続されている。
【００３８】
さらに、第１の計算ユニットＲ１のウォッチドッグ出力側ＷＤ１から、第１のウォッチドッグ信号ｗｄ１が、トリガユニットＡＥのウォッチドッグ入力側ＡＥ１に供給される。これと同じように、第２のウォッチドッグ信号ｗｄ２も、第２の計算ユニットＲ２の第２のウォッチドッグ出力側ＷＤ２から、トリガユニットＡＥの第２のウォッチドッグ入力側ＡＥ２に供給される。
【００３９】
最後にはさらに、トリガユニットＡＥの計算ユニットリセット部出力側ＳＡＥはそれぞれ第１のＯＤＥＲゲートＯＲ１および第２のＯＤＥＲゲートＯＲ２の第２の信号入力側と
接続されている。
【００４０】
図１に示された回路は以下のように機能する：
第１のＡＮＤゲートＡＮＤ１は出力側で、変調されたクロック信号ｃｌｋ１３を、入力側に供給された、第１の計算ユニットのクロック信号ｃｌｋ１とトリガユニットのクロック信号ｃｌｋ３両方から生成する。図３に示されているように、第１のＡＮＤゲートＡＮＤ１の出力信号ｃｌｋ１３は次のような場合にのみ論理的なハイレベルを有する。すなわち入力側に供給されたクロック信号ｃｌｋ１とｃｌｋ３が同時に同じように論理的なハイレベルを有する場合にのみ、論理的なハイレベルを有する。図示された図３の実施例では、例えば１ｋＨｚのクロック周波数を有する第１の計算ユニットＲ１のクロック信号ｃｌｋ１は、例えば５０ｋＨｚのクロック周波数を有するトリガユニットＡＥのクロック信号ｃｌｋ３よりも格段に大きいクロック周期を有するので、変調されたクロック信号ｃｌｋ１３は第１のクロック信号ｃｌｋ１の周期を有する、戻りパルスシーケンスを有する。ここでこのパルスシーケンス内の個別パルスは、トリガユニットＡＥのクロック信号ｃｌｋ３の周期性を有する。
【００４１】
２つのクロック信号ｃｌｋ１およびｃｌｋ３のクロック周期の相互のずれに応じて、第１のＡＮＤゲートＡＮＤ１の出力信号ｃｌｋ１３は、周期持続時間毎に固定された数の個別パルスを有する。図３の例では、クロック信号ｃｌｋ１３はパルスシーケンス−周期持続時間毎に例えば４９〜５０のハイレベルパルスを有している。
【００４２】
２つのクロック信号ｃｌｋ１およびｃｌｋ３が同期的にクロッキングされる場合には、時間単位毎のパルスシーケンス内の個別パルスの数は常に同じである。これに相応するケースは例えば図４において、例えば１ｋＨｚないし２ｋＨｚのクロック周波数を有する２つのクロック信号ｃｌｋ１およびｃｌｋ２に対して示されている。
【００４３】
第２の計算ユニットＲ２の第２のパルス数比較ユニットＰＺＶＥ２は、第１のＡＮＤゲートＡＮＤ１の出力信号ｃｌｋ１３における個別パルスの数を計数し、この値を、第２の計算ユニットＲ２内、例えばＲＡＭメモリ内に格納されている比較値と比較する。第１のＡＮＤゲートＡＮＤ１の出力信号ｃｌｋ１３内の求められたパルスの数が、許容できない程度に、記憶されているこの値と異なる場合には、第２のパルス数比較ユニットＰＺＶＥ２は第２のリセット部ＲＥＳ２をアクティブにする。この第２のリセット部ＲＥＳ２は第２のリセット信号ｓｒ２を、第２のＯＤＥＲゲートＯＲ２を介して第１の計算ユニットＲ１のリセット入力側ＲＥＳＥＴ１に出力する。これによって、第１の計算ユニットＲ１は電気的にリセットされる。
【００４４】
図１に示された実施例では選択的に同時に、第２のリセット部ＲＥＳ２が、さらなるリセット信号ｓａｅ２を、第３のＯＤＥＲゲートＯＲ３を介してトリガユニットＡＥに転送する。これによってトリガユニットＡＥも、自身の電気的な出力状態においてリセットされる。
【００４５】
リセットされた状態では、トリガユニットＡＥに接続された乗員保護手段は第１の計算ユニットＲ１によって制御されることもなく、トリガユニットＡＥによってアクティブにトリガされることもない。
【００４６】
第１の計算ユニットＲ１およびトリガユニットＡＥのリセット後には、これら両方は機能立ち上がり（Funktionshochlauf）を遂行し、この間に乗員保護システムの制御装置内の２つの機能ユニットＲ１およびＡＥの完全な機能が再び完全に形成される。２つの機能ユニットＲ１およびＡＥの機能立ち上がりが首尾良く行われた後に、トリガユニットＡＥに接続された乗員保護システムが場合によっては再びトリガされる。
【００４７】
しかし第２の計算ユニットＲ２の第２のパルス数比較ユニットＰＺＶＥが再び、第１のＡＮＤゲートＡＮＤ１の出力信号ｃｌｋ１３に基づいて第１の計算ユニットＲ１またはトリガユニットＡＥの機能障害を確認した場合、２つの機能ユニットＲ１およびＡＥは再びリセットされる、またはある持続時間にわたって非活性化される。
【００４８】
第１の計算ユニットＲ１または乗員保護手段のトリガユニットＡＥの持続的な非活性化はここでは通常、車両保有者にいわゆる車両計器盤内のエアバッグ警告ランプを通じて示される。
【００４９】
第２のＡＮＤゲートＡＮＤ２の回路作用は、第１のＡＮＤゲートＡＮＤ１の回路作用と完全に相似しいている：
第２のＡＮＤゲートＡＮＤ２は出力側で、変調されたクロック信号ｃｌｋ２３を、入力側に供給された、第２の計算ユニットＲ２のクロック信号ｃｌｋ２とトリガユニットＡＥのクロック信号ｃｌｋ３両方から生成する。第１のＡＮＤゲートＡＮＤ１の場合のように、第２のＡＮＤゲートＡＮＤ２の出力信号ｃｌｋ２３は、次のような場合にのみ論理的ハイレベルを有する。すなわち入力側に供給されたクロック信号ｃｌｋ２およびｃｌｋ３が同時に論理的ハイレベルを有している場合にのみ、論理的なハイレベルを有する。通常はここでも、第２のクロック信号ｃｌｋ２の周期は、トリガユニットＡＥのクロック信号ｃｌｋ３の周期よりも小さい。従って第２のＡＮＤゲートＡＮＤ２の出力信号ｃｌｋ２３においても次のようなパルスシーケンスが生じる。すなわち、第２の計算ユニットのクロック信号ｃｌｋ２のより緩慢な周期によって変調され、合成された２つのクロック信号ｃｌｋ２およびｃｌｋ３の周期シフトに応じて、時間単位毎に、狭い公差枠内で固定された数の個別パルスを有する。
【００５０】
第１の計算ユニットＲ１の第１のパルス数比較ユニットＰＺＶＥ１は、第２のＡＮＤゲートＡＮＤ２の出力信号ｃｌｋ２３における個別パルスの数を計数し、求められた値を、第１の計算ユニットＲ１内、例えばＲＡＭメモリ内に格納された、さらなる比較値と比較する。第２のＡＮＤゲートＡＮＤ２の出力信号ｃｌｋ２３における求められたパルス数が、このさらなる比較値と異なる場合、第１のパルス数比較ユニットＰＺＶＥ１は第１のリセット部ＲＥＳ１をアクティブにする。この第１のリセット部ＲＥＳ１はリセット信号ｓｒ１を、第１のＯＤＥＲゲートＯＲ１を介して、第２の計算ユニットＲ２のリセット入力側ＲＥＳＥＴ２に出力する。これによって、第２の計算ユニットＲ２は、第１の計算ユニットＲ１を通じて電気的にリセットされる。
【００５１】
図１に示された実施例では同じように同時に、第１のリセット部ＲＥＳ１が、リセット信号ｓａｅ１を、第３のＯＤＥＲゲートＯＲ３を介してトリガユニットＡＥに転送する。これによってトリガユニットＡＥも、自身の電気的な出力状態においてリセットされる。
【００５２】
その他の点では、図１に示された実施例では、第１のリセット部ＲＥＳ１による第２の計算ユニットＲ２およびトリガユニットＡＥのリセット、およびこれによって行われる２つの機能ユニットの新たな機能立ち上がりに対して、第２のリセット部ＲＥＳ２による第１の計算ユニットＲ１およびトリガユニットＡＥのリセット、およびこれによって行われる第１の計算ユニットＲ１およびトリガユニットＡＥの新たな機能立ち上がりに対して記載されるものは完全に相似する。
【００５３】
これに相応してここで、乗員保護手段の第１の計算ユニットＲ１またはトリガユニットＡＥの持続的な非活性化も車両保有者に車両計器盤内のいわゆるエアバッグ警告ランプによって示される。
【００５４】
乗員保護手段の制御装置の機能障害可能性識別における確実性をさらに高めるために、図示された本発明の制御ユニットでは、第１の計算ユニットＲ１の付加的な機能監視がいわゆる第１のウォッチドッグ回路ＷＤＳ１を用いて実現される：
ここで第１の計算ユニットＲ１は周期的な時間間隔で第１のウォッチドッグ信号ｗｄ１をトリガユニットＡＥに出力する。予期されたウォッチドッグ信号ｗｄ１がウォッチドッグ信号入力側ＡＥ１に生じない場合、トリガユニットＡＥは計算ユニットリセット信号ｓａｅを自身の信号出力側ＳＡＥから第１のＯＲＤＥＲユニットＯＲ１の第２の信号入力側にも第２のＯＲＤＥＲユニットＯＲ２の第２の信号入力側にも出力する。これによって第１の計算ユニットＲ１は第１のリセット入力側ＲＥＳＥＴ１を介してリセットされ、第２の計算ユニットは第２のリセット入力側ＲＥＳＥＴ２を介してリセットされる。
【００５５】
択一的に、トリガユニットＡＥの信号出力側ＳＡＥが、第１のＯＤＥＲユニットＯＲ１の第２の信号入力側と接続されていない回路装置を使用することもできる。従ってトリガユニットＡＥはこの場合には、計算ユニットリセット信号ｓａｅを第２のＯＤＥＲユニットＯＲ２の第２の信号入力側にだけに出力する。従って第１のウォッチドッグ回路ＷＤＳ１が故障した場合には、第１の計算ユニットＲ１のみが第１のリセット入力側ＲＥＳＥＴ１を通じてリセットされる。
【００５６】
各場合において第１のウォッチドッグ回路ＷＤＳ１によって、場合によって、第１のＡＮＤゲートＡＮＤ１の出力信号ｃｌｋ１３から取り出されない、第１の計算ユニットＲ１内の付加的な故障が識別される。
【００５７】
第１の計算ユニットＲ１の場合における、第１のウォッチドッグ回路ＷＤＳ１による監視と相応して、図１において、第２の計算ユニットＲ２も、トリガユニットＡＥによって第２のウォッチドッグ回路ＷＤＳ２によって、トリガユニットＡＥの第２のウォッチドッグ出力側ＷＤ２と第２のウォッチドッグ入力側ＡＥ２との接続を介して、周期的なウォッチドッグ信号ｗｄ２を用いて監視される。第１のウォッチドッグ信号ＷＤＳ１と同じように、トリガユニットＡＥ１は図１の第２のウォッチドッグ回路ＷＤＳ２の場合において、ウォッチドッグ信号ｗｄ２が許容されない場合に、第２の計算ユニットＲ２も第１の計算ユニットＲ１も計算ユニットリセット信号ｓａｅによってリセットする。
【００５８】
しかし択一的に、トリガユニットＡＥの信号出力側ＳＡＥが、図１に示されているように２つのＯＤＥＲゲートＯＲ１およびＯＲ２と接続されておらず、第１のＯＤＥＲユニットＯＲ１の第２の信号入力側とだけ接続されている回路装置も可能である。従ってこの場合にはトリガユニットＡＥは、計算ユニットリセット信号ｓａｅを第１のＯＤＥＲユニットＯＲ１の第２の信号入力側にしか出力しない。この結果、第２のウォッチドッグ回路ＷＤ２が故障した場合には第２の計算ユニットＲ２だけが、第２のリセット入力側ＲＥＳＥＴ２を介してリセットされる。
【００５９】
第２のウォッチドッグ回路ＷＤＳ２もこのようにして場合によっては、第２のＡＮＤゲートＡＮＤ２の出力信号ｃｌｋ２３からは取り出されない、第２の計算ユニットＲ２のエラーを識別することができる。
【００６０】
２つの計算ユニットＲ１またはＲ２の少なくとも１つを、２つのウォッチドッグ回路ＷＤＳ１およびＷＤＳ２の少なくとも１つによって、１回または複数回リセットすると、乗員保護システムに対する制御ユニットの機能障害が生じている可能性があることを所有者に示唆するために、車両内部の警告ランプがアクティブにされる。
【００６１】
図１に示された実施例のように、２つのウォッチドッグ回路ＷＤＳ１およびＷＤＳ２を同時に使用することができる。しかし同じように、２つのウォッチドッグ回路ＷＤＳ１またはＷＤＳ２のうちの１つだけを本発明の制御ユニット内に設けることも可能である。しかしこれはそれぞれ次のように相互接続される。すなわちこれが、２つの計算ユニットＲ１およびＲ２のうちの少なくとも１つをリセットすることができ、選択的にトリガユニットＡＥもリセットすることができるように相互接続される。
【００６２】
図２には、図１に記載された本発明による制御ユニットが示されている。しかしここでは第３のＡＮＤゲートＡＮＤ３ぶんだけ拡張されている。第３のＡＮＤゲートＡＮＤ３には入力側に、第１の計算ユニットＲ１と第２の計算ユニットＲ２のクロック信号ｃｌｋとｃｌｋ２が供給される。第３のＡＮＤゲートＡＮＤ３の出力側には、２つの計算ユニットＲ１およびＲ２の２つのクロック信号ｃｌｋ１およびｃｌｋ２の論理的な合計信号ｃｌｋ２３が存在する。この合計信号は第１のパルス数比較ユニットＰＺＶＥ１および第２のパルス数比較ユニットＰＺＶＥ２の第２の信号入力側にそれぞれ供給される。第１ないし第２のパルス数比較ユニットＰＺＶＥ１，ＰＺＶＥ２の各信号出力側は、第１のリセット部ＲＥＳ１ないしは第２のリセット部ＲＥＳ２と接続されている。
【００６３】
第１の計算ユニットＲ１の第１のリセット部ＲＥＳ１の第１の出力信号ｓｒ１は、第１のＯＤＥＲユニットＯＲ１の入力側に供給される。上述したように第１のＯＤＥＲユニットＯＲ１の信号出力側は、第２のリセット入力側ＲＥＳＥＴ２と接続されている。同じように、第２の計算ユニットＲ２の第２のリセット部ＲＥＳ２の信号出力側ｓｒ２は、第２のＯＤＥＲゲートＯＲ２の信号入力側と接続されている。上述したように第２のＯＤＥＲゲートＯＲ２の信号出力側は、第１の計算ユニットＲ１の第１のリセット入力側ＲＥＳＥＴ１と接続されている。
【００６４】
第３のＡＮＤゲートの出力信号ｃｌｋ１２は、２つの他のＡＮＤゲートＡＮＤ１およびＡＮＤ２の２つの出力信号と全く同じように評価される：
第１のパルス数比較ユニットＰＺＶＥ１は、第３のＡＮＤゲートＡＮＤ３の出力信号ｃｌｋ１２における受信されたパルスの数をカウントし、時間単位毎の受信されたパルスの数を、例えば第１の計算ユニットＲ１のＲＡＭメモリ内に格納された、事前に定められた値と比較する。この値が、事前に定められた最高許容限度を超えて、記憶されている値と異なる場合、第１のパルス数比較ユニットＰＺＶＥ１は第１のリセット部ＲＥＳ１をアクティブにする。この第１のリセット部ＲＥＳ１は、第１のＯＤＥＲゲートＯＲ１を介して第２の計算ユニットＲ１を間接的にリセットする。
【００６５】
同じように、第２のパルス数比較ユニットＰＺＶＥ２は、第３のＡＮＤゲートＡＮＤ３の出力信号ｃｌｋ１２に内の受信されたパルスの数を求め、時間単位毎の個別パルスの数が許容されないものとして識別された場合、第２のリセット部ＲＥＳ２のアクティブ化をイネーブルにする。この第２のリセット部ＲＥＳ２は引き続き、第２のＯＤＥＲゲートＯＲ２を介して第１の計算ユニットＲ１を間接的にリセットする。
【００６６】
第１の計算ユニットＲ１または第２の計算ユニットＲ２のリセットと同時に、図２の実施例では第３のＯＤＥＲゲートＯＲ３を介してトリガユニットＡＥのリセットが可能である。
【００６７】
第３のＯＤＥＲゲートＯＤＥＲ３を加えることによって、２つの計算ユニットＲ１またはＲ２のクロック信号のうちの少なくとも１つに障害がある場合、計算ユニットＲ１およびＲ２が相互にリセットされる。すなわち、第１のＡＮＤゲートＡＮＤ１および第２のＡＮＤゲートＡＮＤ２の信号ｃｌｋ１３およびｃｌｋ２３に基づく、２つの計算ユニットＲ１またはＲ２のうちの少なくとも１つのリセットとおよび択一的にトリガユニットＡＥのリセットと異なり、第３のＡＮＤゲートＡＮＤ３の出力信号ｃｌｋ１２を評価することによって、トリガユニットＡＥのクロック信号ｃｌｋ３に完全に依存しないで、計算ユニットＲ１およびＲ２、および有利にはトリガユニットＡＥのリセットが行われる。
【００６８】
図５には、可能な判断マトリックスがまとめられて示されている。この判断マトリクスに従って、図２に示された本発明による制御ユニットの２つの計算ユニットＲ１，Ｒ２およびトリガユニットＡＥがリセットされる：
このマトリックス内に記入された０は、クロック信号ｃｌｋ１，ｃｌｋ２，ｃｌｋ３および論理的にＡＮＤ結合されたクロック信号ｃｌｋ１３，ｃｌｋ１２，ｃｌｋ２３の作用が正常であること、かつ、第１の計算ユニットＲ１、第２の計算ユニットＲ２およびトリガユニットＡＥの作用が正常であることを意味している。これに対して判断マトリックス内に記入されたＸは、誤りを有するクロック信号ｃｌｋ１，ｃｌｋ２，ｃｌｋ３または誤りを有する合成クロック信号ｃｌｋ１３，ｃｌｋ１２およびｃｌｋ２３ないしは、第１の計算ユニットＲ１、第２の計算ユニットＲ２またはトリガユニットＡＥの機能に障害があることを意味する。
【００６９】
最後の３つの行内に記入された矢印は自身の先端によって、矢印の出発点での計算ユニットＲ１またはＲ２ないしトリガユニットＡＥによってリセットされる、計算ユニットＲ１およびＲ２またはトリガユニットＡＥを示す。
【００７０】
図５に示された判断マトリックスの欄はこれに従って次のように読まれるべきである：
欄１では全てのクロック信号ｃｌｋ１，ｃｌｋ２，ｃｌｋ３，ｃｌｋ１３，ｃｌｋ１２およびｃｌｋ２３の機能が正常である。なぜなら、関与している計算ユニットＲ１，Ｒ２およびトリガユニットＡＥも正常に作動しているからである。
【００７１】
第２の欄では、トリガユニットＡＥの、エラーを含むクロック信号ｃｌｋ３が記入されている。従って組み合わされたクロック信号ｃｌｋ１３およびｃｌｋ２３もエラーを有している。この場合には、正常な機能を有する第１の計算ユニットＲ１、正常な機能を有する第２の計算ユニットＲ２も障害を有するトリガユニットＡＥをリセットする。
【００７２】
第３の欄では、第２の計算ユニットＲ２のクロック信号ｃｌｋ２がエラーを有している。従ってここから導出されるクロック信号ｃｌｋ１２およびｃｌｋ２３もエラーを有している。このような状況では正常に機能する第１の計算ユニットＲ１が、誤りを有する計算ユニットＲ２をリセットする。トリガユニットＡＥはこの場合には障害なく機能するが、図２に示された回路装置に基づいて、第３のＡＮＤゲートを介して、同じように第１の計算ユニットＲ１によってリセットさてもよい。
【００７３】
欄４内では第１の計算ユニットＲ１のみが正常に機能し、従って障害を有する第２の計算ユニットＲ２および障害を有するトリガユニットＡＥをリセットする。
【００７４】
これと同じように欄６内では、正常に機能する第２の計算ユニットＲ２が、障害を有する第１の計算ユニットＲ１および障害を有するトリガユニットＡＥをリセットする。
【００７５】
欄５内では、トリガユニットＡＥの他に、第２の計算ユニットＲ２も所期のように機能する。誤って機能する第１の計算ユニットＲ１は第２の計算ユニットＲ２によって、図１または図２に示された第１のウォッチドッグ回路ＷＤＳ１に基づくトリガユニットＡＥのリセット機能よりも、本発明によって迅速に識別されるので、障害なく機能する第２の計算ユニットＲ２ははじめに、障害を有する第１の計算ユニットＲ１をリセットし、第２のステップにおいてはじめて、間接的に第３のＯＤＥＲゲートＯＲ３を介して選択的にトリガユニットＡＥもリセットする。
【００７６】
さらに、欄７および８の２つの特別なケースを説明する：
欄７は、判断マトリクスの第１の特別なケースを示す。ここではトリガユニットＡＥのみが所望されているように作動する。従って２つの計算ユニットＲ１およびＲ２のリセットは、２つのウォッチドッグ回路ＷＤＳ１およびＷＤＳ２に基づいて行われる。これらのウォッチドッグ回路を介して、トリガユニットＡＥは２つの計算ユニットＲ１およびＲ２の機能エラーを識別することができ、従ってリセット信号ｓａｅがそれらをリセットするために送出される。
【００７７】
欄８では、計算ユニットＲ１またはＲ２も正常に機能せず、同じようにトリガユニットＡＥもあまり機能しない。制御ユニットのこのようなエラーは三重のエラーであり、あり得ない。このような場合には、回路の動作特性は予測されない。
【図面の簡単な説明】
【００７８】
【図１】２つのＡＮＤゲート（ＡＮＤ１，ＡＮＤ２）を有する本発明の制御ユニットが示す図
【図２】３つのＡＮＤゲート（ＡＮＤ１，ＡＮＤ２，ＡＮＤ３）を有する本発明の制御ユニットを示す図。
【図３】第１の計算ユニットおよび第２の計算ユニット（Ｒ１，Ｒ２）並びにトリガユニット（ＡＥ）のクロック信号（ｃｌｋ１，ｃｌｋ２，ｃｌｋ３）の概略的な伝播時間ダイアグラムと、これらから合成された、第１および第２および第３のＡＮＤゲート（ＡＮＤ１，ＡＮＤ２，ＡＮＤ３）の出力側のクロック信号（ｃｌｋ１３，ｃｌｋ２３，ｃｌｋ１２）を示す図。
【図４】第１および第２の計算ユニット（Ｒ１，Ｒ２）のクロック信号（ｃｌｋ１，ｃｌｋ２）の概略的な伝播時間ダイアグラムと、２つの計算ユニット（Ｒ１，Ｒ２）のクロッキングが同期している場合の、第３のＡＮＤゲート（ＡＮＤ３）の属する出力信号（ｃｌｋ１２）の概略的な伝播時間ダイアグラム。
【図５】本発明による制御ユニットの計算ユニット（Ｒ１，Ｒ２）またはトリガユニット（ＡＥ）をリセットするための概略的な判断マトリックス。
【図１】
2006506263.tif 000003
【図２】
2006506263.tif 000004
【図３】
2006506263.tif 000005
【図４】
2006506263.tif 000006
【図５】
2006506263.tif 000007
【国際調査報告】
2006506263.tif 000008
2006506263.tif 000009
2006506263.tif 000010
2006506263.tif 000011
2006506263.tif 000012
2006506263.tif 000013