(57)【要約】本発明は，分配された安全上重要なシステム，特に自動車内のＸ−バイ−ワイヤ−システムを駆動する方法に関する。分配されたシステムは，システムのコンポーネント（Ａｋｔ１）を駆動するための少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ１）と，少なくとも１つの他のプロセスコンピュータ（Ｐｒｏｍ）とを有している。プロセスコンピュータ（Ｐｒｏ１，Ｐｒｏｍ）は，それぞれ通信コントローラ（Ｓ１，Ｓｍ）を介して通信システム（Ｋ１）に接続されている。少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ１）の機能能力は，少なくとも１つの他のプロセスコンピュータ（Ｐｒｏｍ）によって検査される。この方法は，分配された監視コンセプトとも称される。本発明によれば，少なくとも１つのエラーのある第１のプロセスコンピュータ（Ｐｒｏ１）を他のプロセスコンピュータ（Ｐｒｏｍ）の少なくとも１つによって安全確保してオフにするための機構が提案され，分配された監視コンセプトを実現するための通信システム（Ｋ１）の通信プロトコルがその機構の分だけ拡張されている。【選択図】図１
2004519060.tif 000002
【特許請求の範囲】
【請求項１】
システムのコンポーネント（Ａｋｔ１）を駆動するための少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ１）と，少なくとも１つの他のプロセスコンピュータ（Ｐｒｏｍ）とを有し，
その際に前記プロセスコンピュータ（Ｐｒｏ１，Ｐｒｏｍ）は，それぞれ通信コントローラ（Ｓ１，Ｓｍ）を介して通信システム（Ｋ１）に接続されており，
かつ前記少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ１）の機能能力が，前記少なくとも１つの他のプロセスコンピュータ（Ｐｒｏｍ）によって検査される分配された安全上重要なシステム，特に自動車内のＸ−バイ−ワイヤ−システムを駆動する方法において，
次のステップ，すなわち：
−少なくとも１つの前記第１のプロセスコンピュータ（Ｐｒｏ１）のエラーを求めた少なくとも１つの前記他のプロセスコンピュータ（Ｐｒｏｍ）は，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）または前記駆動されるコンポーネント（Ａｋｔ１）を駆動するために前記通信システム（Ｋ１）を介して駆動メッセージ（Ａｂｍ）を伝達し；
−前記駆動メッセージ（Ａｂｍ）の発信者が，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）を駆動する権限を有しているかを調べ；
−前記駆動メッセージ（Ａｂｍ）の前記発信者が，前記通信システム（Ｋ１）に接続され，かつ前記通信システム（Ｋ１）を介して通信にアクティブに参加しているかを調べ；
−前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）を駆動する権限を有し，かつ前記通信システム（Ｋ１）に接続されており，かつ前記通信システム（Ｋ１）を介して前記通信にアクティブに参加している発信者の前記駆動メッセージ（Ａｂｍ）の内容に従い，予め設定可能な決定アルゴリズムによって，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）および／または前記コンポーネント（Ａｋｔ１）がどのように駆動されるかが決定され；かつ
−前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）および／または前記コンポーネント（Ａｋｔ１）がそれに従って駆動されることを特徴とする，分配された安全上重要なシステムを駆動する方法。
【請求項２】
前記駆動メッセージによって，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）および／または前記コンポーネント（Ａｋｔ１）の接続が切断されることを特徴とする，請求項１に記載の方法。
【請求項３】
前記少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ１）の前記通信コントローラ（Ｓ１）内に，ローカルな権限リスト（Ｂｅ１）が設けられており，
該権限リストを用いて，前記駆動メッセージ（Ａｂｍ）の前記発信者の識別子が前記権限リスト（Ｂｅ１）の内容と比較されることにより，前記駆動メッセージ（Ａｂｍ）の前記発信者が前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）を駆動する権限を有しているかを調べられることを特徴とする，請求項１または２に記載の方法。
【請求項４】
前記通信システム（Ｋ１）内に包括的な加入者リスト（Ｍｅ）が設けられており，
該加入者リストを用いて，前記駆動メッセージ（Ａｂｍ）の前記発信者の識別子が前記加入者リスト（Ｍｅ）の内容と比較されることにより，前記駆動メッセージ（Ａｂｍ）の発信者が前記通信システム（Ｋ１）に接続されており，
かつ前記通信システム（Ｋ１）を介して前記通信にアクティブに参加しているかを調べられることを特徴とする，請求項１から３のいずれか１項に記載の方法。
【請求項５】
前記少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ１）について多数の駆動メッセージ（Ａｂｍ）が存在する場合に，前記駆動メッセージ（Ａｂｍ）の内容に従い，多数決決定に基づいて，前記エラーのあるプロセスコンピュータ（Ｐｒｏ１）および／または前記コンポーネント（Ａｋｔ１）が駆動されるかが決定されることを特徴とする，請求項１から４のいずれか１項に記載の方法。
【請求項６】
前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）および／または前記コンポーネント（Ａｋｔ１）の成功裏に実行された駆動が，前記駆動メッセージ（Ａｂｍ）の少なくとも１つの発信者に伝達されることを特徴とする，請求項１から５のいずれか１項に記載の方法。
【請求項７】
前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）および／または前記コンポーネント（Ａｋｔ１）の前記成功裏に実行された駆動が，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）が前記通信システム（Ｋ１）内に設けられている包括的な加入者リスト（Ｍｅ）から抹消されることにより，全てのプロセスコンピュータ（Ｐｒｏｍ）に伝達され，
その際に前記加入者リスト（Ｍｅ）内に，前記通信システム（Ｋ１）に接続されており，かつ前記通信システム（Ｋ１）を介して前記通信にアクティブに参加している前記プロセスコンピュータ（Ｐｒｏｍ）が記載されていることを特徴とする，請求項６に記載の方法。
【請求項８】
システムのコンポーネント（Ａｋｔ１）を駆動するための少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ１）と少なくとも１つの他のプロセスコンピュータ（Ｐｒｏｍ）とを有し，
その際に前記プロセスコンピュータ（Ｐｒｏ１，Ｐｒｏｍ）は，それぞれ通信コントローラ（Ｓ１，Ｓｍ）を介して通信システム（Ｋ１）に接続されており，
かつ前記少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ１）の機能能力の監視が，前記少なくとも１つの他のプロセスコンピュータ（Ｐｒｏｍ）によって実行される，分配された安全上重要なシステム，特に自動車内のＸ−バイ−ワイヤ−システムにおいて，
−少なくとも１つの前記他のプロセスコンピュータ（Ｐｒｏｍ）は，少なくとも１つの前記第１のプロセスコンピュータ（Ｐｒｏ１）のエラーを求める手段と，前記少なくとも１つのエラーのある第１のプロセスコンピュータ（Ｐｒｏ１）がエラーを有する場合に，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）および／または前記駆動されるコンポーネント（Ａｋｔ１）を駆動するための駆動メッセージ（Ａｂｍ）を前記通信システム（Ｋ１）を介して伝達するための手段とを有しており；
−前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）の前記通信コントローラ（Ｓ１）に，前記駆動メッセージ（Ａｂｍ）の発信者が前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）を駆動する権限を有しているかの情報が提供され；
−前記エラーのあるプロセスコンピュータ（Ｐｒｏ１）の前記通信コントローラ（Ｓ１）に，前記駆動メッセージ（Ａｂｍ）の発信者が前記通信システム（Ｋ１）に接続されており，かつ該通信システム（Ｋ１）を介してアクティブに通信に参加しているかについての情報が提供され；
−前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）の前記通信コントローラ（Ｓ１）は，予め設定可能な決定アルゴリズムに従って，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）および／または前記コンポーネント（Ａｋｔ１）が，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）を駆動する権限を有し，かつ前記通信システム（Ｋ１）に接続されており，かつ前記通信システム（Ｋ１）を介して通信にアクティブに参加している発信者の前記駆動メッセージ（Ａｂｍ）の内容に従って，どのように駆動されるかを決定するための手段を有しており；かつ
−前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）の前記通信コントローラ（Ｓ１）は，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）および／または前記コンポーネント（Ａｋｔ１）を適切に駆動するための手段を有していることを特徴とする，分配されたシステム。
【請求項９】
前記駆動メッセージ（Ａｂｍ）の発信者が，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）を駆動する権限を有しているかの情報が，前記少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ１）の前記通信コントローラ（Ｓ１）内に設けられているローカルな権限リスト（Ｂｅ１）の形式で提供されることを特徴とする，請求項８に記載の分配されたシステム。
【請求項１０】
前記駆動メッセージ（Ａｂｍ）の発信者が前記通信システム（Ｋ１）に接続されており，かつ前記通信システム（Ｋ１）を介して通信にアクティブに参加しているかの情報が，前記通信システム（Ｋ１）内に設けられているグローバルな加入者リスト（Ｍｅ）の形式で提供されることを特徴とする，請求項８または９に記載の分配されたシステム。
【請求項１１】
少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ１）と少なくとも１つの他のプロセスコンピュータ（Ｐｒｏｍ）を分配されたシステムの，特に自動車内のＸ−バイ−ワイヤ−システムの通信システム（Ｋ１）に接続するための通信コントローラ（Ｓ１）であって，
その際に前記少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ１）は，前記分配されたシステムのコンポーネント（Ａｋｔ１）を駆動するために使用され，前記通信コントローラ（Ｓ１）上では，前記プロセスコンピュータ（Ｐｒｏ１，Ｐｒｏｍ）と前記通信システム（Ｋ１）との間のデータ伝達を実現するために通信プロトコルが遂行される，前記通信コントローラにおいて，
前記通信プロトコルは，前記通信コントローラ（Ｓ１）に，
−少なくとも１つの第１のエラーのあるプロセスコンピュータ（Ｐｒｏ１）および／または前記駆動されるコンポーネント（Ａｋｔ１）を駆動するための駆動メッセージ（Ａｂｍ）を前記通信システム（Ｋ１）を介して伝達する，前記他のプロセスコンピュータ（Ｐｒｏｍ）の１つが，前記通信システム（Ｋ１）に接続されており，かつ該通信システム（Ｋ１）を介して通信にアクティブに参加しているかを検査すること；
−前記駆動メッセージ（Ａｂｍ）の発信者が，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）を駆動する権限を有しているかを調べること；
−予め設定可能な決定アルゴリズムに従って，前記第１のプロセスコンピュータ（Ｐｒｏ１）および／または前記コンポーネント（Ａｋｔ１）が，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）を駆動する権限を有し，前記通信システム（Ｋ１）に接続されており，かつ該通信システム（Ｋ１）を介して通信にアクティブに参加している発信者の前記駆動メッセージ（Ａｂｍ）の内容に従って，どのように駆動されるかを決定すること；および
−前記第１のプロセスコンピュータ（Ｐｒｏ１）および／または前記コンポーネント（Ａｋｔ１）をそれに応じて駆動すること，
を可能にする機構だけ補足されていることを特徴とする，通信コントローラ。
【請求項１２】
前記通信プロトコルが，請求項２から７のいずれか１項に記載の方法を実施するための機構だけ補足されていることを特徴とする，請求項１１に記載の通信コントローラ（Ｓ１）。
【請求項１３】
分配された安全上重要なシステムの，特に自動車内のＸ−バイ−ワイヤ−システムの通信システム（Ｋ１）のための通信プロトコルであって，
その際に前記分配されたシステムは，該分配されたシステムのコンポーネント（Ａｋｔ１）を駆動するための少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ１）と，少なくとも１つの他のプロセスコンピュータ（Ｐｒｏｍ）とを有しており，
かつ前記プロセスコンピュータ（Ｐｒｏ１，Ｐｒｏｍ）は，それぞれ通信コントローラ（Ｓ１，Ｓｍ）を介して前記通信システム（Ｋ１）に接続されており，
その場合に，前記プロセスコンピュータ（Ｐｒｏ１，Ｐｒｏｍ）と前記通信システム（Ｋ１）の間でデータ伝送を実現するための前記通信プロトコルが，前記通信コントローラ（Ｓ１，Ｓｍ）上で遂行される，前記通信プロトコルにおいて，
前記通信プロトコルは，
−前記少なくとも１つの第１のエラーのあるプロセスコンピュータ（Ｐｒｏ１）および／または前記駆動されるコンポーネント（Ａｋｔ１）を駆動するための駆動メッセージ（Ａｂｍ）を前記通信システム（Ｋ１）を介して伝達する，前記他のプロセスコンピュータ（Ｐｒｏｍ）の１つが，前記通信システム（Ｋ１）に接続されており，かつ該通信システム（Ｋ１）を介して通信にアクティブに参加しているかを検査し；
−前記駆動メッセージ（Ａｂｍ）の発信者が，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）を駆動する権限を有しているかを検査し；
−予め設定可能な決定アルゴリズムに従って，前記第１のプロセスコンピュータ（Ｐｒｏ１）および／または前記コンポーネント（Ａｋｔ１）が，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ１）を駆動する権限を有し，かつ前記通信システム（Ｋ１）に接続されており，かつ該通信システム（Ｋ１）を介して通信にアクティブに参加している発信者の前記駆動メッセージ（Ａｂｍ）の内容に従って，どのように駆動されるかを決定し；かつ
−それに応じて前記第１のプロセスコンピュータ（Ｐｒｏ１）および／または前記コンポーネント（Ａｋｔ１）を駆動する，
機構だけ補足されていることを特徴とする，通信プロトコル。
【請求項１４】
前記通信プロトコルは，請求項２から７のいずれか１項に記載の方法を実施するための機構だけ補足されていることを特徴とする，請求項１３に記載の通信プロトコル。
【発明の詳細な説明】
【０００１】
従来の技術
本発明は，分配された安全上重要なシステム，特に自動車内のＸ−バイ−ワイヤ−システムを駆動する方法に関する。分配されたシステムは，システムのコンポーネントを駆動するための少なくとも１つの第１のプロセスコンピュータと少なくとも１つの他のプロセスコンピュータとを有しており，その際にプロセスコンピュータは，それぞれ通信コントローラを介して通信システムに接続されている。このとき，少なくとも１つの第１のプロセスコンピュータの機能能力は，少なくとも１つの他のプロセスコンピュータによって試験される。
【０００２】
本発明は，さらに，分配された安全上重要なシステム，特に自動車内のＸ−バイ−ワイヤ−システムに関する。分配されたシステムは，システムのコンポーネントを駆動するための少なくとも１つの第１のプロセスコンピュータと少なくとも１つの他のプロセスコンピュータを有している場合に，プロセスコンピュータは，それぞれ通信コントローラを介して通信システムに接続されている。このとき，少なくとも１つの第１のプロセスコンピュータの機能能力の監視は，少なくとも１つの他のプロセスコンピュータによって実行される。
【０００３】
さらに，本発明は，少なくとも１つの第１のプロセスコンピュータと少なくとも１つの他のプロセスコンピュータを，分配された安全上重要なシステム，特に自動車内のＸ−バイ−ワイヤ−システムの通信システムに接続するための通信コントローラに関する。このとき，少なくとも１つの第１のプロセスコンピュータは，分配されたシステムのコンポーネントを駆動するために使用される。また，通信コントローラ上では，プロセスコンピュータと通信システムとの間のデータ伝送を実現するために通信プロトコルが遂行される。
【０００４】
そして本発明は，分配された安全上重要なシステム，特に自動車内のＸ−バイ−ワイヤ−システムの通信システムのための通信プロトコルにも関する。分配されたシステムは，分配されたシステムのコンポーネントを駆動するための少なくとも１つの第１のプロセスコンピュータと，少なくとも１つの他のプロセスコンピュータを有している。このとき，プロセスコンピュータは，それぞれ通信コントローラを介して通信システムに接続されている。また，通信プロトコルは，プロセスコンピュータと通信システムとの間のデータ伝送を実現するために通信コントローラ上で遂行される。
【０００５】
制御装置（プロセスコンピュータ），センサ技術およびアクター技術を通信システムの使用によってネットワーク化することは，自動車関連分野において近年著しく増加している。その際に，通信システムを介して相互に影響し合うことを排除しなければならない。このとき，機能を多数のプロセスコンピュータへ分配することによる相乗効果が前面に出てくる。分配されたシステムについて以下で述べる。
【０００６】
この種の分配されたシステムの特殊な実現が，Ｘ−バイ−ワイヤ−システムである。Ｘ−バイ−ワイヤ−システムは，車両運動に用いられる自動車システムであって，運転者意図の検出とその変換を分離することを許すものである。運転者意図の検出とかかる変換の間の接続は，機械的な方法ではなく，大体において（電子的な）情報伝送のみに基づいて実行される。Ｘ−バイ−ワイヤ−システムは，高い安全要請を有するシステムであって，すなわちかかるシステムが完全に故障すると，車両内で可能な最高の安全段階のエラーをもたらす。この種のシステムとして，以下の３つの分類が考えられる。
【０００７】
１．ウェット性のＸ−バイ−ワイヤ−システムは，電気的なエネルギー供給がなされない場合でも（例えばエネルギー供給が絶たれた後に）ベース機能を維持することのできる，油圧的（機械的）フォールバック平面を有するシステムである。ベース機能とは，運転者意図が得られる機能に機械的に固定結合されている場合にも，まだ存在する機能である。車両ブレーキにおいては，例えばベースブレーキ機能は，可変のブレーキ力分配を形成することのできる電子的制御システムのないブレーキ機能である。その際にベースブレーキ機能においては（システムに従って），例えばブレーキ力の６５％は，前車軸に，３５％は，後ろ車軸に分配されることが固定的に設定されている。アンチロックブレーキングシステム（ＡＢＳ），アンチスリップ制御（ＡＳＲ）および走行動特性制御（ＦＤＲ）は，ベースブレーキ機能には属していない。
【０００８】
２．ドライ性のＸ−バイ−ワイヤ−システムは，機械的／油圧的フォールバック平面をもたないシステムである。かかるシステムの実現は，電気機械的コンポーネントのみに基づいている。
【０００９】
３．半ドライ性のＸ−バイ−ワイヤ−システムは，油圧操作装置を使用するが，「ドライなインターフェイス」を有しているシステムである。従って，通信要請に関して，かかるシステムは，ドライ性のＸ−バイ−ワイヤ−システムと同様に取り扱われる。
【００１０】
Ｘ−バイ−ワイヤ−システムの典型的な例として，ステア−バイ−ワイヤシステムおよびブレーキ−バイ−ワイヤシステムがある（電子ステアリングおよび電子ブレーキ）。
【００１１】
高い安全要請を有するＸ−バイ−ワイヤ−システムの全システム，特にＸ−バイ−ワイヤ−システムにおいて，アクター技術を例えば電気モータまたは油圧ポンプから解放するための機構が必要である。これは，従来技術によれば，質問−応答−通信に基づく，いわゆる「インテリジェントウォッチドッグ」によって実現される。
【００１２】
冒頭で挙げた種類の方法は，例えばＤＥ１９８２６１３１Ａ１から知られている。かかる公報においては，分配された安全上重要なシステムは，自動車の電気的なブレーキシステムとして記載されている。コンポーネントは，自動車のブレーキとして，若しくは，さらに正確に言うと，ブレーキを駆動するためのアクターとして形成されている。この種のシステムは，高度に安全上重要である。なぜなら，コンポーネントのエラーのある駆動，特にブレーキのエラーのある操作は，予測不可能な安全上のリスクをもたらす恐れがあるからである。この理由から，コンポーネントのエラーのある駆動が確実に排除されなければならない。
【００１３】
公知のブレーキシステムの本質的な特徴は，中央で運転者意図を検出するためのペダルモジュール，ブレーキアクチュエータを車輪個別に制御するための４つの車輪モジュールおよび上位のブレーキ機能を計算するための処理モジュールである。個々のモジュール間の互いの通信は，１つまたは複数の通信システムによって実行可能である。本特許出願の図２には，種々の論理平面を有する車輪モジュールの内部構造が例示されている。その際に論理平面Ｌ１は，少なくとも，車輪ブレーキのための開ループ制御および閉ループ制御機能の計算を有し，論理平面Ｌ２からＬ４は，コンピュータを監視し，かつＬ１の機能を試験するための種々の機能を含む内容としている。
【００１４】
ブレーキ，例えばブレーキシューを操作するための電気モータの駆動は，各車輪モジュールについて同様に以下のステップを有している。：
【００１５】
ａ）少なくとも１つの入力信号（ａＲ２，ａＲ３，ａＲ４；ａＶ，ｒｅｆ；ｓＲ２，ｓＲ３，ｓＲ４；ΔｓＶ，ｒｅｆ；ｖＦ；ｎ１；ｄ１；Ｆｌｉ；ａＲ１；ｓＲ１）に従って，第１のマイクロコンピュータシステム（Ｒ１Ａ）によってブレーキのための少なくとも１つの駆動信号（ｆ１）を求める。入力信号は，通信システム（Ｋ１）若しくはバスシステムを介して，マイクロコンピュータシステム（Ｒ１Ａ）へ提供される。
【００１６】
ｂ）少なくとも１つの論理的な駆動信号（ｅ１Ｈ）を求める。論理的な駆動信号（ｅ１Ｈ）は，少なくとも部分的に，第１のマイクロコンピュータシステム（Ｒ１Ａ）に依存しない監視ユニット（Ｒ１Ｂ）によって，少なくとも１つの入力信号に従って求められる。
【００１７】
ｃ）少なくとも１つの駆動信号（ｆ１）を，パワーエレクトロニクス（ＬＥ１Ｋ）において少なくとも１つの論理的な駆動信号（ｅ１Ｈ）と比較する。
【００１８】
ｄ）駆動信号（ｆ１）と論理的な駆動信号（ｅ１Ｈ）との比較の結果に従って，（パワーエレクトロニクスＬＥ内部の）少なくとも１つのイネーブル信号を求める。
【００１９】
ｅ）少なくとも１つのイネーブル信号が予め設定可能な値を有する場合に，少なくとも１つの駆動信号（ｆ１）または駆動信号（ｆ１）に依存する信号（ｉ１Ｋ）をブレーキ若しくはブレーキシューのためのアクチュエータＡｋｔ１へ供給する。
【００２０】
監視ユニット（Ｒ１Ｂ）は，特に系統的（いわゆるコモンモードの）エラーを認識するために使用される。この種のエラーの例は，電圧供給におけるエラーである。公知のブレーキシステムにおいては，監視ユニット（Ｒ１Ｂ）は，自立したマイクロコンピュータシステムとして形成されている。しかしながら，監視ユニット（Ｒ１Ｂ）を，独自のプロセッサを持たないハードウェアモジュールとして形成することもできるが，かかるハードウェアモジュールは，具体的な論理機能を，あるいは，かかるハードウェアモジュールがレジスタを有している場合には，さらに切り換え機能を実施することができる。この種のハードウェアモジュールの例として，例えばＡＳＩＣ（Ａｐｐｌｉｅｄ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ），ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）または監視回路（いわゆるウォッチドッグ）がある。
【００２１】
コンポーネント（アクター技術）を駆動する責任を有する制御装置（マイクロコンピュータシステムまたはプロセスコンピュータ）は，監視されて，エラーの場合には，監視ユニットによってオフにされる。このとき，監視は，質問−応答−通信に基づいており，固定されたプロトコルに従わなければならない。
【００２２】
アクター技術（ＬＥ２Ｒ）のイネーブルは，マイクロコンピュータシステム（Ｒ１Ａ）と独立した監視ユニット（Ｒ１Ｂ）が一致した場合（質問−応答−通信は明細設定されたように作動する）にのみ実行される。このイネーブルの原理は，プロセスコンピュータと監視ユニットとの間で実現されている電気的なイネーブル回路（アンド結合）に基づいている。これは，２つのユニットがアクター技術の通常の機能について，論理「１」をイネーブル回路へ印加しなければならないことを意味している。
【００２３】
マイクロコンピュータシステム（Ｒ１Ａ）内のプロセスがオフにする信号を出力するとすぐにアクター技術の接続が切断される。監視コンポーネント（Ｒ１Ｂ）は，監視されているユニット（マイクロコンピュータシステムＲ１Ａ）にエラーがあると認識された場合にのみ，オフにする信号を出力する。
【００２４】
しかし，安全上重要なシステムにおいては，質問−応答−通信の範囲を超える，制御装置（プロセスコンピュータ）のための監視機構も必要である。これは，特に，いわゆる−フェイル−サイレント−コンピュータ（Ｆａｉｌ−Ｓｉｌｅｎｔ−Ｒｅｃｈｎｅｒ）のために大きな役割を果たす。このコンピュータは，定義によって１つの値のみを，かかる値が（正しい時期に）正確に存在し，あるいは認識可能に誤って示された場合に，外部へ出力することができる。そのためにローカルの連続的な監視機能（メモリテスト，蓋然性チェック）がプロセスコンピュータ自体に実装される。しかし，特に安全上重要な課題については，フェイル−サイレント−コンピュータが予測される確実性を満たさない場合を考慮しなければならない。コンピュータは，もはや自分でオフにはできず，若しくは再始動を開始することはできない。独立したユニットが，安全確保されたオフを引継ぎ，あるいは再始動を開始しなければならない。
【００２５】
自動車領域内の通信システムを使用することは，最近では，ほぼ全てのメーカーにおいて標準になっている。ソサイティフォアオートモーティブエンジニアリング（Ｓｏｃｉｅｔｙ  ｆｏｒ  Ａｕｔｏｍｏｔｉｖｅ  Ｅｎｇｉｎｅｅｒｉｎｇ／ＳＡＥ）は，通信に対する３つの異なる要請クラス：クラスＡ，Ｂ，Ｃを定めた。これらのクラスは，様々な実時間要請と使用領域に至るまで，交換される情報の量において異なっている。最高の要請を有するプロトコルクラスは，クラスＣである。かかるクラスＣについて，ＳＡＥの明細書「クラスＣの使用のための通信プロトコル（Ｋｏｍｍｕｎｉｋａｔｉｏｎｓｐｒｏｔｏｋｏｌｌｅ  ｆｕｅｒ  Ｋｌａｓｓｅ  Ｃ  Ａｎｗｅｎｄｕｎｇｅｎ）」，ＳＡＥ  Ｊ２０５６／１，１９９３年６月が入手できる。このクラスＣは，Ｘ−バイ−ワイヤ−システムのための権限を有するクラスである。
【００２６】
Ｘ−バイ−ワイヤ−使用に利用することのできる通信システムは，例えばＣＡＮ−，ＴＴＣＡＮ（Ｔｉｍｅ  Ｔｒｉｇｇｅｒｅｄ  ＣＡＮ）−，ＴＴＰ／Ｃ−またはフレックスレイ−プロトコルである。この種のプロトコルにおける本発明にとって重要なサービスは，加入者−サービス（いわゆるメンバーシップ−サービス）である。その際に，情報証明の機構を介して，全てのアクティブな通信加入者の決定手続内で，通信加入者（マイクロコンピュータシステムまたはプロセスコンピュータ）の所属／アクティビティが設定される。通信加入者の所属／アクティビティに関する情報は，いわゆるメンバーシップ情報として記憶される。所定数の決定サークルに従って，メンバーシップ情報は，安定となり，すなわち全ての加入者から有効と認められる。この決定によって，加入者がインアクティブとして特徴づけられた場合には，かかるノードは，通信にアクティブに参加できなくなる。かかるノードを管轄するプロセスコンピュータは，インアクティブな状態を認識して，その通信コントローラを再びアクティブに切り換えるために（再始動と再同期），処置をとらなければならない。加入者を設定するための機構は，連続的に実施され，かつ本来の通信プロトコルの一部となる。
【００２７】
ＤＥ１９８２６１３１Ａ１から明らかにされた従来技術における欠点は，論理的平面Ｌ４が常に別個の構成部分において実現されており（例えば電気的ブレーキシステムの車輪モジュール内の），その構成部分は，分配された安全上重要なシステムの内部でさらに多重に設けられなければならないことである。
【００２８】
上記の欠点を除去するために，監視ユニットを完全に省き，監視ユニットの課題を分配された安全上重要なシステムの少なくとも１つの他のプロセスコンピュータへ，および／または通信コントローラの少なくとも１つへ移動することが，提案され，それら通信コントローラを介して他のプロセスコンピュータが通信システムに接続されている。
【００２９】
本発明の課題は，この種の分配された監視コンセプトにおいて，通信システム若しくは通信コントローラのベース機能，すなわち安全確保されたメッセージ伝送，同時に通信システム内の多数の目標へ向けられたメッセージの送信（いわゆるマルチキャスティング），情報証明および−例えばＴＴＰ／Ｃ（Ｔｉｍｅ  Ｔｒｉｇｇｅｒｅｄ  Ｐｒｏｔｏｃｏｌ  ｆｏｒ  Ｃｌａｓｓ  Ｃ）またはＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）においては−加入者サービスを，通信システムを介することによってプロセッサを安全確保してオフにするための機構だけ拡張する可能性を提供することである。
【００３０】
この課題を解決するために，本発明は，冒頭で挙げた種類の方法に基づいて，以下のステップを有する方法を提案する。：
【００３１】
−少なくとも１つの第１のプロセスコンピュータのエラーを求めた少なくとも１つの他のプロセスコンピュータは，エラーのある第１のプロセスコンピュータまたはかかる第１のプロセスコンピュータによって駆動されるコンポーネントを駆動するために通信システムを介して駆動メッセージを伝達し；
−駆動メッセージの発信者が，エラーのある第１のプロセスコンピュータを駆動する権限を有しているかを調べ；
−駆動メッセージの発信者が通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加しているかを調べ；
−エラーのある第１のプロセスコンピュータを駆動する権限を有し，通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加している発信者の駆動メッセージの内容に従って，予め設定可能な決定アルゴリズムに従って，エラーのある第１のプロセスコンピュータおよび／またはコンポーネントがどのように駆動されるかを決定され；かつ
−エラーのある第１のプロセスコンピュータおよび／またはコンポーネントが，それに応じて駆動される。
【００３２】
発明の利点
従って本発明によれば，ローカルまたはグローバルに提供可能な情報が設けられており，その情報によって通信システム内部の分配された監視コンセプトのより安全かつ確実な実現を達成することができる。かかる情報は，第１のプロセスコンピュータについては，それぞれローカルなリストに関するものであって，かかるリストの中に，エラーの場合にそれぞれ第１のプロセスコンピュータを駆動する（例えばオフにする）ことのできる他のプロセスコンピュータが設けられている。さらに情報は，グローバルなリストに関し，そのリスト内には，通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加しているプロセスコンピュータが設けられている。このリストのために，例えば加入者サービスのメンバーシップ情報を利用することができる。また情報は，それぞれ他のプロセスコンピュータについて，グローバルに提供可能なリストに関し，かかるリスト内には，それぞれ他のプロセスコンピュータにエラーがあると認識し，従って駆動する（例えばオフにする）ことのできる第１のプロセスコンピュータが設けられている。
【００３３】
本発明は，多数のプロセスコンピュータを有する通信システムに基づいている。プロセスコンピュータは，２つのグループに，すなわち一方では，監視される第１のプロセスコンピュータとして，他方では，監視する他のプロセスコンピュータとして分割されている。分配されたシステムのプロセスコンピュータのいずれかが第１のグループに属し，いずれかが第２のグループに属しているかについては，定義の問題である。１つの同じプロセスコンピュータが，一方では，他のプロセスコンピュータの１つまたは複数によって監視されることにより，第１のグループに属し，他方では，１つまたは複数の他の（第１の）プロセスコンピュータを監視することにより，第２のグループに属することも容易に考えられる。
【００３４】
本発明によって，通信システム若しくは通信プロトコルのベース機能，すなわち安全確保されたメッセージ伝送，マルチキャスティング，情報証明および加入者サービスは，通信システムを介してプロセスコンピュータを安全確保してオフにする機構によって拡張される。その場合に通信システムは，従来技術においては，ハードウェアにおいて（配線により）実現されていたオフレーン（例えばブレーキ−バイ−ワイヤ−システムにおける車輪コンピュータへの星状の配線を有する監視ユニット）の代用をする。通信システムは，従来技術に従って，制御装置のプロセスコンピュータにローカルに実装されたインテリジェントウォッチドッグ（しばしば単純なハードウェア回路の形式）を，通信システム内の任意に選択されたプロセスコンピュータへ移動させることができる。その際に，分配されたシステム内で既に設けられている制御装置のプロセスコンピュータが利用されることが好ましい。拡張されたウォッチドッグ機能，例えば相手コンピュータによる蓋然性チェックは，それによってより簡単に実現することができる。
【００３５】
しかし，通信システム内で安全確保してオフにするための付加的な機構は，分配された監視コンセプトも可能にする。このことは，プロセスコンピュータがインテリジェントなウォッチドッグの機能を引き受けるだけでなく，多数の制御装置は，かかるプロセスコンピュータによって，通信システムを介して駆動若しくはオフをもたらすことができることを意味している。
【００３６】
今日の自動車内に既に標準化されている通信システムおよびかかるシステムに結びついたバス配線（単線または二線導線）が，オフレーンとして利用される。このとき，通信システムのユニット間におけるオフレーンのために明確な配線は，不要である。通信システムは，駆動プロトコル若しくはオフプロトコルを実施して，通常のプロトコルシーケンス（メッセージの本来の送信と受信，情報証明および加入者サービス）に組み込まれている。その際に，通信コントローラのわずかな負担増は，発生するが，既にある制御装置（プロセスコンピュータ）の利用における著しい改良が得られる。さらに，通信システムは，駆動プロトコル若しくはオフプロトコルを開始若しくは実行に移すために，プロセスコンピュータへのソフトウェア−およびハードウェアインターフェイスを提供する。
【００３７】
従って，分配された安全上重要なシステムのコンポーネント（アクター技術）が本発明に基づく方法に従って，かかるシステムを介して駆動される，イネーブル回路は，一方では，プロセスコンピュータによって，他方では，通信コントローラによって操作される。従って，通信システムを介してコンポーネントを駆動若しくはオフにすることが可能となる。さらにプロセスコンピュータ自体も通信コントローラと結合されることができるので，コンポーネントを駆動するプロセスコンピュータ自体が，例えば通信コントローラをプロセスコンピュータのリセット線に接続することによって，駆動若しくはオフにされることができる。
【００３８】
本発明の好適な展開によれば，駆動メッセージによってエラーのある第１のプロセスコンピュータおよび／または第１のプロセスコンピュータによって駆動されるコンポーネントのオフが実行されることが提案される。
【００３９】
本発明の好適な実施形態によれば，少なくとも１つの第１のプロセスコンピュータの通信コントローラ内に，ローカルな権限リストが設けられており，それを用いて，駆動メッセージの発信者の識別子が権限リストの内容と比較されることによって，駆動メッセージの発信者がエラーのある第１のプロセスコンピュータを駆動する権限を有しているかを検査されることが提案される。
【００４０】
本発明の他の好適な実施形態によれば，通信システム内にグローバルな加入者リストが設けられており，それを用いて，駆動メッセージの発信者の識別子が加入者リストの内容と比較されることによって，駆動メッセージの発信者が通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加しているかを調べられることが提案される。
【００４１】
本発明の他の好適な展開によれば，少なくとも１つの第１のプロセスコンピュータについて多数の駆動メッセージが存在する場合に，駆動メッセージの内容に従って多数決に基づいて，エラーのある第１のプロセスコンピュータおよび／またはコンポーネントがいかに駆動されるかを決定されることが提案される。
【００４２】
このとき，エラーのある第１のプロセスコンピュータおよび／またはコンポーネントの成功裏に実行された駆動は，駆動メッセージの少なくとも１つの発信者に伝達されることが好ましい。
【００４３】
このとき，エラーのある第１のプロセスコンピュータおよび／またはコンポーネントの成功裏に実行された駆動は，エラーのある第１のプロセスコンピュータが通信システム内に設けられているグローバルな加入者リストから抹消されることによって，全てのプロセスコンピュータへ伝達され，その際に通信加入者リスト内には，通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加しているプロセスコンピュータが設けられていることが好ましい。
【００４４】
本発明の課題の他の解決として，冒頭で挙げた種類の分配された安全上重要なシステムに基づいて，
−他のプロセスコンピュータの少なくとも１つは，第１のプロセスコンピュータの少なくとも１つのもののエラーを求める手段，および少なくとも１つのエラーのある第１のプロセスコンピュータがエラーを有する場合に，エラーのある第１のプロセスコンピュータおよび／または第１のプロセスコンピュータによって駆動されるコンポーネントを駆動するための駆動メッセージが通信システムを介して伝達される手段を有しており；
−エラーのある第１のプロセスコンピュータの通信コントローラに，駆動メッセージの発信者が，エラーのある第１のプロセスコンピュータを駆動する権限を有しているかの情報が提供され；
−エラーのある第１のプロセスコンピュータの通信コントローラに，駆動メッセージの発信者が通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加しているかの情報が提供され；
−エラーのある第１のプロセスコンピュータの通信コントローラは，予め設定可能な決定アルゴリズムに従って，エラーのある第１のプロセスコンピュータおよび／またはコンポーネントが，エラーのある第１のプロセスコンピュータを駆動する権限を有しており，かつ通信システムに接続されており，通信システムを介して通信にアクティブに参加している発信者の駆動メッセージの内容に従っていかにして駆動されるかを決定する手段を有しており；かつ
−エラーのある第１のプロセスコンピュータの通信コントローラは，エラーのある第１のプロセスコンピュータおよび／またはコンポーネントをそれに応じて駆動する手段を有している，
ことが提案される。
【００４５】
本発明の好適な展開によれば，駆動メッセージの発信者が，エラーのある第１のプロセスコンピュータを駆動する権限を有しているかの情報が，少なくとも１つの第１のプロセスコンピュータの通信コントローラ内に設けられているローカルな権限リストの形式で提供されることが提案される。
【００４６】
本発明の好適な実施形態によれば，駆動メッセージの発信者が通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加しているかの情報が，通信システム内に設けられているグローバルな加入者リストの形式で提供されることが提案される。
【００４７】
本発明の課題のさらに他の解決として，冒頭で挙げた種類の通信コントローラに基づいて，通信プロトコルが通信コントローラに，
−少なくとも１つの第１のエラーのあるプロセスコンピュータおよび／または第１のエラーのあるプロセスコンピュータによって駆動されるコンポーネントを駆動するための駆動メッセージが通信システムを介して伝達される，他のプロセスコンピュータの１つが，通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加しているかを検査すること；
−駆動メッセージの発信者が，エラーのある第１のプロセスコンピュータを駆動する権限を有しているかを検査すること；
−予め設定可能な決定アルゴリズムに従って，第１のプロセスコンピュータおよび／またはコンポーネントが，エラーのある第１のプロセスコンピュータを駆動する権限を有し，かつ通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加している発信者の駆動メッセージの内容に従ってどのように駆動されるかを決定すること；および
−それに応じて第１のプロセスコンピュータおよび／またはコンポーネントを駆動すること，
を可能にする機構だけ補足されていることが提案される。
【００４８】
本発明の好適な展開によれば，通信プロトコルは，本発明に基づく方法を実施するための機構だけ補足されていることが提案される。
【００４９】
また，本発明の課題のさらに他の解決として，冒頭で挙げた種類の通信プロトコルに基づいて，通信プロトコルが，
−少なくとも１つの第１のエラーのあるプロセスコンピュータおよび／または第１のエラーのあるプロセスコンピュータによって駆動されるコンポーネントを駆動するための駆動メッセージが通信システムを介して伝達される他のプロセスコンピュータの１つが，通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加しているかを検査し；
−駆動メッセージの発信者が，エラーのある第１のプロセスコンピュータを駆動する権限を有しているかを調べ；
−予め設定可能な決定アルゴリズムに従って，第１のプロセスコンピュータおよび／またはコンポーネントが，エラーのある第１のプロセスコンピュータを駆動する権限を有し，かつ通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加している発信者の駆動メッセージの内容に従って，どのように駆動されるかを決定し；かつ
−それに応じて第１のプロセスコンピュータおよび／またはコンポーネントを駆動する機構だけ補足されていることが提案される。
【００５０】
本発明の好適な展開によれば，通信プロトコルは，本発明に基づく方法を実施するための機構だけ補足されていることが提案される。
【００５１】
本発明の他の特徴，使用可能性および利点は，図面に示される本発明の実施例についての以下の説明から明らかにされる。その場合に全ての記載されている，あるいは図示されている特徴は，それ自体あるいは任意の組み合わせにおいて，特許請求項におけるその要約またはその帰属に関係なく，かつ詳細な説明ないし図面におけるその表現若しくは図示に関係なく，本発明の対象を形成するものである。
【００５２】
実施例の説明
本発明を，以下で電気的なブレーキシステムを用いて詳細に説明する。しかし，本発明は電気的なブレーキシステムに限定されるものではなく，むしろ任意の分配された安全上重要なシステムに使用することができる。本発明は，付加的な監視ユニットを使用せずに，安全上重要なシステムのコンポーネントＡｋｔ１の確実なイネーブルを許す。監視ユニットの課題は，むしろ分配されたシステムの他のプロセスコンピュータＰｍによって引き受けられ，かかるプロセスコンピュータは，本来システム内に存在しており，かつ該当する機能の分だけ拡張されている。
【００５３】
ブレーキシステムは，制動すべき各車輪について，車輪モジュールＲ１，Ｒｍを有している。各車輪モジュールＲ１，Ｒｍは，マイクロコンピュータシステムＰ１，Ｐｍとイネーブル回路ＦＳ１，ＦＳｍを有している。マイクロコンピュータシステムＰ１，Ｐｍは，それぞれプロセスコンピュータＰｒｏ１，Ｐｒｏｍとインテリジェント通信コントローラＳ１，Ｓｍを有している。マイクロコンピュータシステムＲ１，ＰｍのプロセスコンピュータＰｒｏ１，Ｐｒｏｍと通信コントローラＳ１，Ｓｍは，半導体モジュール（いわゆるチップ）上にまとめることができる。しかし，それらは，常に互いに依存しない別体のユニットとして形成されている。各車輪モジュールＲ１，Ｒｍは，通信コントローラＳ１，Ｓｍを介して，物理的なデータバスの形式の通信システムＫ１に接続されている。データバスを介してデータは，例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）−，ＴＴＣＡＮ（Ｔｉｍｅ  Ｔｒｉｇｇｅｒｅｄ  ＣＡＮ）−，ＴＴＰ／Ｃ（Ｔｉｍｅ  Ｔｒｉｇｇｅｒｅｄ  Ｐｒｏｔｏｃｏｌ  ｆｏｒ  ＣｌａｓｓＣ）−またはフレックスレイ−プロトコルに従って伝送することができる。車輪モジュールＲ１，Ｒｍは，それぞれアクター技術Ａｋｔ１，Ａｋｔｍの形式のコンポーネントを制御し，かかるアクター技術は，例えば車輪ブレーキを操作若しくは緩めるための電気モータとして形成されている。
【００５４】
図１には，分配された監視コンセプトの可能な実施形態において，２つの車輪モジュールの内部構造とその中で遂行される信号の流れが示されている。車輪モジュールＲ１の（もっと正確に言うと，プロセスコンピュータＰｒｏ１の）課題は，電気的なブレーキシステムのアクター技術Ａｋｔ１の駆動である。アクター技術Ａｋｔ１を駆動する場合に重要なのは，アクター技術Ａｋｔ１がマイクロコンピュータシステムＰ１のエラーのある駆動信号Ａ１１によって駆動されることを防止することである。かかる動作は，駆動信号Ａ１１が十分に高い確率でエラーのないことが確認された場合にのみ，さらにアクター技術Ａｋｔ１へ供給されるべきであることを意味している。従ってアクター技術Ａｋｔ１の駆動は，大体において以下のステップを有している。：
【００５５】
ａ）マイクロコンピュータシステムＰ１のプロセッサＰｒｏ１は，少なくとも１つの入力信号に従ってプログラムコードを処理することにより，アクター技術Ａｋｔ１のための少なくとも１つの駆動信号Ａ１１を求める。入力信号は，ブレーキシステムと自動車の実際状態に関する情報を含んでおり，データバスＫ１を介して第１の車輪モジュールＲ１へ伝達される。
【００５６】
ｂ）他のマイクロコンピュータシステムＰｍのプロセッサＰｒｏｍ（例えばｍ＝２…４）は，同様に同じプログラムコードを同じ入力信号に従って処理することにより，論理的な駆動信号Ａｍ１を求める。かかる動作は，プロセッサＰｒｏｍ内で，アクターＡｋｔｍのための駆動信号Ａｍ１を求めるプログラムコードの他に，さらにプロセッサＰｒｏ１からプログラムコードが提供されなければならないことを前提としている。多数の同種の車輪モジュールＲ１，Ｒｍを有する本例においては，かかる前提は，付加的な手間ではなく，最少の手間のみを意味する。なぜなら，プロセッサＰｒｏ１上で遂行されるプログラムコードは，ほぼ等しいからである。従って，プロセッサＰｒｏｍ内で元来提供されているプログラムコードを論理的な駆動信号Ａ１ｍで得るために，第１の車輪モジュールＲ１の入力信号によって処理することができる。かかる簡略化は，同種の駆動モジュールを有する全ての分配されたシステムに該当する。入力信号は，データバスＫ１を介してマイクロコンピュータシステムＰｍへ伝達することができる。プロセスコンピュータＰｒｏ１，Ｐｒｏｍの機能が正しい場合には，駆動信号Ａ１１と論理的な駆動信号Ａ１ｍは，同一である。
【００５７】
ｃ）駆動信号Ａ１１は，他のマイクロコンピュータシステムＰｍのプロセスコンピュータＰｒｏｍ内で，前もってプロセスコンピュータＰｒｏ１内で求められた駆動信号Ａ１１と比較される。そのためには，駆動信号Ａ１１がデータバスＫ１を介して他のマイクロコンピュータシステムＰｍへ伝達されなければならない。他のマイクロコンピュータシステムＰｍは，ステータス情報を生成し，かかるステータス情報がデータバスＫ１を介して第１のマイクロコンピュータシステムＰ１の通信コントローラＳ１へ伝達される。分配された監視コンセプトを実現するために通信システムＫ１を介して伝達されなければならない情報は，例えば１つまたは複数のビットからなる。その際，伝達するための情報をデータバスＫ１の通信プロトコルへ組み込むことが考えられる。
【００５８】
ｄ）第１のマイクロコンピュータシステムＰ１の通信コントローラＳ１は，詳しいステータス情報を評価して，該当するステータスの場合に（例えばプロセスコンピュータＰｒｏ１の正しい機能方法が信号化された場合に），イネーブル信号Ｆ１を生成する。ステータス情報の評価は，様々な方法で実行可能である。例えば，ステータス情報ＳＦ１ｍの比較，論理的な（好ましくはアンド−）結合または多数決とすることができる。
【００５９】
ｅ）少なくとも１つのイネーブル信号Ｆ１が予め設定可能な値を有する場合に，少なくとも１つの駆動信号Ａ１１またはそれに従った少なくとも１つの信号がアクター技術Ａｋｔ１へ供給される。これを検査するために，イネーブル回路ＲＳ１内で駆動信号Ａ１１とイネーブル信号Ｆ１のアンド結合が実施される。イネーブル信号Ｆ１が論理的に１である場合には，駆動信号Ａ１１は，アクター技術Ａｋｔ１へ供給される。しかし，イネーブル信号Ｆ１が論理的にゼロである場合には，駆動信号Ａ１１は，アクター技術Ａｋｔ１へは伝達されない。
【００６０】
上述した方法によって，マイクロコンピュータシステムＰ１のプロセッサＰｒｏ１の機能能力を調べて，アクター技術Ａｋｔ１の確実なイネーブルを得ることができる。プロセッサＰｒｏ１を調べるためには，主として他のマイクロコンピュータシステムＰｍのプロセッサＰｒｏｍが使用される。しかし同様にして，本発明に基づく方法を他のマイクロコンピュータシステムＰｍのプロセッサＰｒｏｍの機能能力を検査し，アクター技術Ａｋｔｍを確実にイネーブルにするために使用することもできる。その場合に残りのプロセッサＰｒｏｍ（検査すべきプロセッサなし）と第１のマイクロコンピュータシステムＰ１のプロセッサＰｒｏ１が，検査するために利用される。従って安全上重要な分配されたブレーキシステムの内部の個々のマイクロコンピュータシステムＰ１，Ｐｍは，一方では，それに対応づけられているアクター技術Ａｋｔ１，Ａｋｔｍのための駆動信号Ａ１１，Ａｍ１を求めるという一次課題を有し，他方では，一次課題が満たされた場合に，残りのプロセッサの機能を管理するという二次課題を有している。従って，付加的な監視ユニットを使用しないで，アクターＡｋｔ１，Ａｋｔｍの確実で，かつさらに冗長で有効なイネーブルの可能性が提供される。
【００６１】
図３には，車輪モジュールＲ１が部分的に示されている。通信システムＫ１を介して安全確保されたオフレーンを実現するために，通信コントローラＳ１とプロセスコンピュータＰｒｏ１との間にソフトウェアインターフェイスＳＳ１が設けられている。かかるインターフェイスＳＳ１は，他のプロセスコンピュータＰｒｏｍによるオフベクトルの形式の駆動メッセージをセットするため，および通信コントローラＳ１を介して受信した，実際の有効なオフベクトルを照会するために使用される。
【００６２】
分配された監視コンセプトを実現するためには，さらに通信コントローラＳ１からイネーブル回路ＦＳ１へ案内されているハードウェアインターフェイスが必要である。かかるハードウェアインターフェイスは，特にプロセスコンピュータＰｒｏ１が実際のオフベクトルを読み出して，アクター技術Ａｋｔ１をオフにできないエラー状況において，通信コントローラＳ１によってアクター技術Ａｋｔ１をオフにするために使用される。そのために接続ピンＦ１が設けられており，通信線を介してイネーブル回路ＦＳ１へ導かれている。かかるピンＦ１は，通常の場合（オフコマンドが存在しない）には，通信コントローラＳ１によるアクター技術Ａｋｔ１のイネーブルを保証するために，論理的な１に保持される。オフコマンドが存在する場合には，イネーブル回路ＦＳ１への接続ピンＦ１は，イネーブルを保証するために，論理的ゼロへ切り換えられなければならない。
【００６３】
今日の自動車内には，既に標準化されている通信システムＫ１とかかる通信システムＫ１に接続されたバス配線（単線または二線式回線）は，分配された監視コンセプトにおいてオフレーンとして利用される。分配されたシステムのユニット間にオフレーンのための明確な配線は，不要である。通信システムＫ１は，通常のプロトコルシーケンス（メッセージの本来の送信と受信，情報証明およびいわゆる加入者サービス）に組み込まれているオフプロトコルを実施する。その際に，プロトコルコンピュータ（通信コントローラＳ１）のわずかな負担増は，発生するが，既存の制御装置（Ｐ１，Ｐｍ）若しくはプロセスコンピュータ（Ｐｒｏ１，Ｐｒｏｍ）の負担減に関して著しい改善が得られる。さらに，通信システムＫ１は，駆動若しくはオフプロトコルを開始し，若しくは実行に移すために，プロセスコンピュータＰｒｏ１，Ｐｒｏｍへのソフトウェア−およびハードウェアインターフェイスを提供する。
【００６４】
従って，上述した分配された監視コンセプトにおいて，イネーブル回路ＦＳ１は，一方ではプロセスコンピュータＰｒｏ１によって，他方では，通信コントローラＳ１によって操作される。従って，本特許出願に記載されているオフ機構によってアクター技術Ａｋｔ１を，通信システムＫ１を介してオフにすることが可能である。さらに，プロセスコンピュータＰｒｏ１自体も通信コントローラＳ１と結合することができるので，例えばプロセスコンピュータＰｒｏ１のリセット線Ｂに結合することによって，プロセスコンピュータＰｒｏ１をオフにすることもできる。
【００６５】
通信システムＫ１を介して安全確保されたオフレーンを実現することは，その通信コントローラＳ１，ＳｍによってデータバスＫ１に接続されている，各制御装置Ｐｒｏ１，Ｐｒｏｍによってほぼ可能である。通信コントローラＳ１，Ｓｍは，通信プロトコル内のオフプロトコルを実行に移さなければならない。オフプロトコルとそのために必要なコンフィグレーションデータ若しくはインターフェイスＳＳ１，Ｆ１について，以下で説明する。
【００６６】
通信コントローラＳ１内には，どのマイクロコンピュータシステムＰｍ若しくはどのプロセスコンピュータＰｒｏｍが，通信コントローラＳ１に対応づけられたプロセスコンピュータＰｒｏ１をオフにする権限を有しているかに関する静的な情報が格納されている。かかる静的な情報は，通信コントローラＳ１内の例えばフラッシューＥＰＲＯＭ（Ｅｒａｓａｂｌｅ  ａｎｄ  Ｐｒｏｇｒａｍｍａｂｌｅ  Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）に格納されている。
【００６７】
かかる静的な情報は，以下の内容にまとめることができる。：
【００６８】
・ローカルな通信コントローラＳ１の識別子。これは，幾つかのプロトコル，例えばＴＴＰ／Ｃにおいては，既に存在している。
【００６９】
・その中に通信コントローラの識別子が記載されている，ローカル（個別）リストであって，ローカルなプロセスコンピュータＰｒｏ１若しくはかかるプロセスコンピュータＰｒｏ１によって駆動されるアクター技術Ａｋｔ１をオフにするためのオフメッセージは，通信コントローラＳ１を介して案内されなければならない。リストは，権限を有する通信コントローラの数，例えば３エントリーに制限されていることが好ましい。
【００７０】
さらに，静的な情報内で，権限のあるオフは，プロセスコンピュータＰｒｏ１へ通じるインターフェイスＳＳ１内でのみ表示されるべきか，あるいはオフメッセージが適当な配線を介してイネーブル回路ＦＳ１へも供給されるべきかについて構成されなければならない。
【００７１】
オフベクトルは，ビットベクトルであって，分配された安全上重要なシステム全体内のｍ番目の加入者を表している。所定のビット位置は，所定の通信コントローラＳ１，Ｓｍの識別子に割り当てられている。オフベクトル内で，制御装置Ｐ１，Ｐｍ当たり２つの状態を示すことができる。：
【００７２】
ゼロ：該当するビット位置に識別子を有する通信コントローラへのオフコマンドは存在しない。
【００７３】
１：ビット位置に相当する通信コントローラのためのオフコマンドが存在する。
【００７４】
オフベクトルは，帯域幅またはプロトコルデータ（メッセージパケット内で有効データと一緒に通信システムＫ１を介して送信される，プロトコルシーケンスのための制御データ）の数が制限されている理由から短縮することができる。その場合にオフベクトル内には，選択された制御装置Ｐ１，Ｐｍのみが示される。
【００７５】
分配された監視コンセプトを本発明に基づいて実現するために，さらに，オフベクトルの発信者が通信システムＫ１に接続されており，かつ通信システムＫ１を介して通信に参加しているかについての情報へアクセスされる。かかる情報は，多くの通信プロトコルによって標準的に提供される。この機能は，通信プロトコル内では，加入者サービスまたはメンバーシップサービスとも称される。その場合に，かかる情報は，いわゆるメンバーシップ情報に含まれている。その際に，情報証明の機構を介して，全てのアクティブな通信加入者の決定手続内でプロセスコンピュータＰｒｏ１，Ｐｒｏｍの所属／アクティビティが設定される。所定数の決定サークルに従って，メンバーシップ情報は，安定であり，すなわちかかるメンバーシップ情報は，全ての加入者によって有効であると承認される。
【００７６】
この決定によって制御装置Ｐ１，Ｐｍがインアクティブとして特徴づけられた場合には，かかる制御装置は，通信にアクティブに参加することができない。担当のプロセスコンピュータＰｒｏ１，Ｐｒｏｍは，かかる状態を認識して，それに対応づけられた通信コントローラＳ１，Ｓｍを再びアクティブに切り換える手段をとらなければならない（再始動と再同期化）。アクティブな加入者（メンバーシップ）を定める機構は，連続的に実施され，かつ本来の通信プロトコルの一部である。メンバーシップ情報は，通信システムＫ１内でメンバーシップベクトルＭｅの形式で提供される。
【００７７】
本発明に基づく方法を実施するための初期状況は，機能している加入者（通信コントローラＳ１，Ｓｍとその制御装置Ｐ１，Ｐｍ若しくはプロセスコンピュータＰｒｏ１，Ｐｒｏｍ）を有するアクティブな分配されたシステムである。従ってメンバーシップ情報Ｍｅは，各加入者について「１」になっており，オフのための要請（オフベクトルＡｂ）は存在しない。この初期状況が，図４と５のステップ１に，４つの加入者Ａ，Ｂ，Ｃ，Ｄを有する分配されたシステムについて示されている。図４は，唯一の有権者によるオフプロトコルを示しており（加入者Ａは加入者Ｄによってのみオフにすることができる），それに対して図５は，オフプロトコルは，３人の有権者と絶対的多数決によるオフプロトコルを示している（加入者Ａは，３人の他の加入者Ｂ，Ｃ，Ｄのうちの少なくとも２人によって加入者Ａのオフが支持された場合に，オフにされる）。
【００７８】
オブベクトルＡｂは，所定の制御装置Ｐ１のためのビット位置が「１」にセットされるとすぐに，かかる制御装置Ｐ１について権限のある制御装置Ｐｍのオフ指令を表す。オフベクトルは，通信プロトコルによって発信者Ｐｍにおいてメッセージの残りの制御データと共にコード化されて，送信される（図４と５のステップ２を参照）。
【００７９】
通信システムＫ１は，マルチキャストメッセージに基づいている。それによって各アクティブな制御装置Ｐ１，Ｐｍは，送信されてエラーなしと認められた全てのメッセージを受信し，その後ローカルなプロトコル機構を開始すると仮定することができる。メッセージの正確さが，所定数の他の送信プロセスの後に初めて決定される特殊な場合（例えばＴＴＰ／Ｃにおいて）は，別に扱わなければならない。かかる特殊な場合は，受信されたオフベクトルもこの最終的に有効な決定までは無効であると考えなければならないことを意味している。通信コントローラＳ１は，受信したプロトコルデータからオフベクトルＡｂの情報を取り出す。
【００８０】
プロトコル実現に基づいて発信者Ｐｍの識別子が明らかにされている場合には，受信者Ｓ１において権限の検査を実行可能である。受信者Ｓ１は，送信時点，メッセージ識別子およびオフ権限についての静的な情報の関連を介して，メッセージの発信者Ｐｍの識別子を認識する。発信者Ｐｍの同定が明白に定められていない場合には，オフベクトルＡｂに加えて発信者Ｐｍの識別子が一緒に伝達されなければならない。
【００８１】
図４に示すオフプロトコルにおいては，加入者ＤのオフベクトルＡｂ内に，加入者Ａの識別子と一致するビット個所がセットされている。加入者Ａのローカルな権限リスト内に，加入者Ｄは，オフをするための有権者として登録されている。この理由から，ステップ３においては，加入者Ａのプロセスコンピュータおよび／またはプロセスコンピュータによって駆動されるアクター技術のオフが実行される。
【００８２】
通信コントローラＳ１は，ソフトウェアインターフェイスＳＳ１内のオフベクトルＡｂのステータスを図４の実際の状態にセットする（図４のステップ３と図３のＳＳ１を参照）。通信コントローラＳ１は，イネーブル回路ＦＳ１を介してアクター技術のオフを開始するために，ハードウェアインターフェイスに設けられている接続ピンにオフのためのレベルをセットする（図４のステップ３，および図３の信号Ｆ１と信号Ｂを参照）。通信コントローラＳ１は，パッシブな状態に変化し，すなわちかかる通信コントローラは，通信システムＫ１を介して通信には参加しない。かかる手段によって，他の加入者Ｂ，Ｃ，Ｄに，ノード全体（制御装置，アクター技術，センサ技術および加入者Ａの通信コントローラ）が提供されないことを信号で知らせる。このことは，該当するビット個所が「０」にセットされることによって，分配されたシステム内の他の加入者Ｂ，Ｃ，ＤのメンバーシップベクトルＭｅ内の加入者Ａの消去をもたらす（図４のステップ４を参照）。オフにされた加入者Ａのメンバーシップエントリーがないことによって，オフベクトルＡｂの発信者Ｄは，かかるオフ指令の成果を介してコンファメーションを受け取る。オフベクトルＡｂ内でセットが繰り返されることは，不要となる（図４のステップ５を参照）。オフベクトルＡｂ内で，加入者Ａに相当するビット個所は，オフ指令のコンファメーションが存在するまで頻繁にセットされる。
【００８３】
図５のオフプロトコルにおいて，加入者Ａのオフは，一方で，オフベクトルＡｂ内にセットされたビット個所が加入者Ａの識別子と一致し，他方では，権限を有する加入者Ｂ，Ｃ，Ｄ間で加入者Ａのオフに関する一致が支配している場合にのみ実行され，その場合にローカルな権限リスト内に３人の加入者Ｂ，Ｃ，Ｄは，全て加入者Ａをオフにする有権者として登録されている。
【００８４】
これを実現するために，種々の加入者Ｂ，Ｃ，ＤのオフベクトルＡｂが集められなければならない。所定の加入者Ｂ，ＣまたはＤのオフベクトルＡｂは，加入者Ｂ，ＣまたはＤが通信プロトコルのメンバーシップベクトルＭｅ内でアクティブとして特徴づけられている場合にのみ集めることができる（図５のステップ３から５を参照）。それによって，加入者Ａのオフが必要であるが，加入者Ｂ，Ｃ，Ｄ自体の１つがアクティブではなく，インアクティブな加入者Ｂ，ＣまたはＤのオフ指令が欠けるので，加入者Ａのオフが阻止されてしまう状況が発生し得ることが防止される。
【００８５】
全ての権限を有する加入者Ｂ，Ｃ，ＤがそのオフベクトルＡｂＢ，ＡｂＣ，ＡｂＤを伝達した後に，予め設定可能な決定アルゴリズムに従って同調プロセスが開始される。かかる同調のために，この場合においては，アクティブな権限のある加入者Ｂ，Ｃ，Ｄの絶対多数決が選択される。例えば三分の二選択のような，他の決定アルゴリズムも，同様に実現することができる。使用すべき決定アルゴリズムの選択，例えば絶対多数決−，三分の二選択−または少なくとも１（ａｔ  ｌｅａｓｔ  ｏｎｅ）の意味論の選択は，通信コントローラＳ１内のコンフィグレーションによって調節することができる。従って図５に示す実施例において，加入者Ａは，全ての権限のある加入者Ｂ，Ｃ，ＤがそれぞれのオフベクトルＡｂＢ，ＡｂＣ，ＡｂＤを介して加入者Ａのオフを要求した場合に，初めてオフにされる（図５のステップ５を参照）。通信コントローラＳ１は，ソフトウェアインターフェイス内のオフベクトルＡｂのステータスを実際の状態にセットする（図５のステップ５および図３のＳＳ１を参照）。通信コントローラＳ１は，イネーブル回路ＦＳ１を介してオフを開始するために，ハードウェアインターフェイス内に設けられている接続ピンにオフのためのレベルをセットする（図５のステップ５および図３の信号Ｆ１と信号Ｂ）。通信コントローラＳ１は，パッシブな状態に変化し，すなわち，かかる通信コントローラは，もはや通信には参加しない。この手段によって，他の加入者Ｂ，Ｃ，Ｄには，制御装置，アクター技術，センサ技術および通信コントローラを含むノード全体が提供されないことが信号で知らされる。このことは，分配されたシステムにおける他の加入者Ｂ，Ｃ，ＤのメンバーシップベクトルＭｅ内の加入者Ａの消去をもたらす（図５のステップ６を参照）。オフにされた加入者Ａのメンバーシップエントリーがないことにより，オフベクトルＡｂの発信者（加入者Ｂ，Ｃ，Ｄ）は，オフ指令の成果を介してコンファメーションを受け取る。加入者Ａに相当するビット個所をオフベクトルＡｂ内に繰り返しセットすることは，この時点で必要ない（図５のステップ７を参照）。オフベクトルＡｂの各発信者Ｐｒｏｍは，かかるオフベクトル内に加入者Ａに相当するビット個所を，オフにすべき加入者Ａの成功裏に実行されたオフに関するコンファメーションがメンバーシップベクトルＭｅ内に該当する加入者Ａがないこと
により，伝達されるまでの間にセットする。
【図面の簡単な説明】
【図１】
好適な実施形態に基づく，本発明に従って分配された安全上重要なシステムの一部を示している。
【図２】
従来技術から知られている，分配された安全上重要なシステムの駆動モジュールを示している。
【図３】
図１に基づく駆動モジュールの内部のイネーブル信号を示している。
【図４】
本発明に基づく方法の第１の好適な実施形態によるオフプロトコルを示している。
【図５】
本発明に基づく方法の第２の好適な実施形態によるオフプロトコルを示している。
【図１】
2004519060.tif 000003
【図２】
2004519060.tif 000004
【図３】
2004519060.tif 000005
【図４】
2004519060.tif 000006
【図５】
2004519060.tif 000007
【国際公開パンフレット】
2004519060.tif 000008
2004519060.tif 000009
2004519060.tif 000010
2004519060.tif 000011
2004519060.tif 000012
2004519060.tif 000013
2004519060.tif 000014
2004519060.tif 000015
2004519060.tif 000016
2004519060.tif 000017
2004519060.tif 000018
2004519060.tif 000019
2004519060.tif 000020
2004519060.tif 000021
2004519060.tif 000022
2004519060.tif 000023
2004519060.tif 000024
2004519060.tif 000025
2004519060.tif 000026
2004519060.tif 000027
2004519060.tif 000028
2004519060.tif 000029
2004519060.tif 000030
2004519060.tif 000031
2004519060.tif 000032
2004519060.tif 000033
2004519060.tif 000034
2004519060.tif 000035
2004519060.tif 000036
2004519060.tif 000037
2004519060.tif 000038
2004519060.tif 000039
2004519060.tif 000040
2004519060.tif 000041
2004519060.tif 000042
2004519060.tif 000043
2004519060.tif 000044
2004519060.tif 000045
2004519060.tif 000046
2004519060.tif 000047
2004519060.tif 000048
2004519060.tif 000049
2004519060.tif 000050
2004519060.tif 000051
2004519060.tif 000052
2004519060.tif 000053
2004519060.tif 000054
【国際調査報告】
2004519060.tif 000055
2004519060.tif 000056
2004519060.tif 000057
2004519060.tif 000058
2004519060.tif 000059
2004519060.tif 000060