(57)【要約】本発明は、安全機能を有するマイクロプロセッサシステムを運転するための方法に関する。マイクロプロセッサシステムは共通のチップ支持体上に２個以上のプロセッサコア（１，２）と周辺要素（５，７）を備え、書き込みまたは読み出しのためにプロセッサコアが周辺要素にアクセス可能である。安全上重要な機能のためのアルゴリズムと、快適機能のためのアルゴリズムとが区別される。本発明は更に、方法を実施するために適したマイクロプロセッサシステムとその使用に関する。プロセッサコアはバスシステム（３，４）を介して周辺要素（５，６，７，８，９，１０）に接続され、更にバスドライバ（１９）が設けられ、このバスドライバが一方のバスから他方のバスにバス情報を伝送可能であり、少なくとも１個のアドレス比較回路（１８）が設けられている。
2004533686.tif 000002
【特許請求の範囲】
【請求項１】
特に請求項９〜１５の少なくとも一つに記載した、安全機能を有するマイクロプロセッサシステムを運転するための方法であって、マイクロプロセッサシステムが共通のチップ支持体上に２個以上のプロセッサコア（１，２）を備え、マイクロプロセッサシステムが周辺要素（５，７）を備え、書き込みまたは読み出しのためにプロセッサコアが周辺要素にアクセス可能である、方法において、安全上重要な機能のためのアルゴリズムと、快適機能のためのアルゴリズムとが区別されることを特徴とする方法。
【請求項２】
安全アルゴリズムがシステムのプログラム走行を制御するときにのみ、安全アルゴリズムに割り当てられた周辺要素のアドレス領域へのアクセスが可能であり、快適アルゴリズムがシステムのプログラム走行を制御するときにのみ、快適アルゴリズムに割り当てられた周辺要素のアドレス領域へのアクセスが可能であることを特徴とする、請求項１記載の方法。
【請求項３】
周辺要素が読み出し専用メモリ（５，７，８，９）を備え、このメモリに、安全上重要な機能のためのアルゴリズムのほかに、実質的に快適性のために役立つ機能のためのアルゴリズムが記憶されていることを特徴とする、請求項１または２記載の方法。
【請求項４】
周辺要素が２つ以上の随時書き込み読み出しメモリ（６，１０）を備え、このメモリの重要なデータ領域（１１）に、安全上重要なデータだけが記憶され、前記メモリの重要でないデータ領域（１２）に、快適性データが記憶され、これらのデータ領域が随時書き込み読み出しメモリの個々のチップ領域または個々のモジュール内にあるかあるいは随時書き込み読み出しメモリの複数のチップ領域または複数のモジュール内に収容されていることを特徴とする、請求項１〜３の少なくとも一つに記載の方法。
【請求項５】
重要なアルゴリズムだけが２個以上の読み出し専用メモリ（５，８）の２つ以上の第１の別個のチップ領域またはモジュール（２０）あるいはそれぞれつながった共通の読み出し専用メモリ（５，７と８，９）の対応する部分領域に記憶され、快適アルゴリズムだけが読み出し専用メモリ（７，９）の２つ以上の別個の他のチップ領域またはモジュール（２１）あるいはそれぞれつながった共通の読み出し専用メモリ（５，７と８，９）の対応する他の部分領域に記憶されていることを特徴とする、請求項１〜４の少なくとも一つに記載の方法。
【請求項６】
安全上重要な機能が、安全機能のために設けられた第１の種類の装置のための入力／出力操作を生じ、快適機能が快適機能のために設けられた第２の種類の装置のための入力／出力操作を生じることを特徴とする、請求項１〜５の少なくとも一つに記載の方法。
【請求項７】
快適アルゴリズムの書き込みアクセスがエラーが生じたときに、エラーを含むメモリアクセスが識別され、エラーを含むデータ値が補正されることを特徴とする、請求項１〜６の少なくとも一つに記載の方法。
【請求項８】
１つまたは複数の設定されたアドレス領域において、読み出しの際に、データバス（３，４）にあるデータの比較が行われないことを特徴とする、請求項１〜７の少なくとも一つに記載の方法。
【請求項９】
特に同期運転される少なくとも２個のプロセッサコア（１，２）を備え、このプロセッサコアがそれに付設された少なくとも２つのバスシステム（３，４）を介して周辺要素（５，６，７，８，９，１０）に接続され、更に１個または複数のバスドライバ（１９）を備え、このバスドライバが一方のバスから他方のバスにバス情報を伝送可能である、少なくとも一部が安全上重要である制御のためのマイクロプロセッサシステムにおいて、少なくとも１個のアドレス比較回路（１８）を備え、このアドレス比較回路が少なくとも１つのプロセッサコアのアドレスを、定められた１個または複数のアドレス領域と比較することを特徴とするマイクロプロセッサシステム。
【請求項１０】
少なくとも１個のデータ比較回路（１６，１７）を備え、このデータ比較回路が第１のバスのデータを他のバスのデータと比較することによって周辺要素の書き込みエラーを検出することを特徴とする、請求項９記載のマイクロプロセッサシステム。
【請求項１１】
ブリッジング装置（１９）が設けられ、このブリッジング装置が接続部（１３）を介してアドレス比較回路（１８）によって作動可能であり、かつアドレス比較の結果に依存して１個または複数のデータ比較回路（１６，１７）を作動させないかまたは架橋することを特徴とする、請求項１０記載のマイクロプロセッサシステム。
【請求項１２】
バスシステムが実質的に同一に形成されていることを特徴とする、請求項９〜１１の少なくとも一つに記載のマイクロプロセッサシステム。
【請求項１３】
周辺要素が随時書き込み読み出しメモリ（１０）と読み出し専用メモリ（５，７，８，９）と入力／出力要素（１０）と場合によってはチップの外側に接続された他の周辺要素を備えていることを特徴とする、請求項９〜１２の少なくとも一つに記載のマイクロプロセッサシステム。
【請求項１４】
アドレス比較回路が論理要素、特に２進比較回路を備えていることを特徴とする、請求項９〜１３の少なくとも一つに記載のマイクロプロセッサシステム。
【請求項１５】
アドレス比較回路（１８）と比較回路（１６，１７）とドライバ（１９）の少なくとも１つまたはすべての要素が冗長的に形成されていることを特徴とする、請求項９〜１４の少なくとも一つに記載のマイクロプロセッサシステム。
【請求項１６】
自動車の制御／調整のため、特に自動車の共通のブレーキ制御／調整のためおよび／またはドライビングダイナミクスと安全上重要でない快適機能のために、請求項９記載のマイクロプロセッサシステムを使用すること。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、請求項１の前提部分に記載した方法と、請求項９の前提部分に記載したマイクロプロセッサシステムと、自動車制御／調整のためのマイクロプロセッサシステムの使用に関する。
【背景技術】
【０００２】
安全上重要な制御システムのためのマイクロプロセッサシステムが例えば特許文献１によって知られている。このマイクロプロセッサシステムは同期運転される２個の中央ユニットすなわちＣＰＵコアを備えている。この中央ユニットは別個の２つのバスシステムを介して、同じチップ上に集積されたメモリ、入力／出力要素のような周辺要素にアクセス可能である。上記のマイクロプロセッサシステムは、特に車両の安全上重要な制御および調整システムに適用され、例えばヨーレイトコントロールシステム（ＥＳＰ，ＴＣＳ）、ロック防止コントロールすなわちアンチロックブレーキコントロールシステム（ＡＢＳ）およびトラクションスリップコントロールシステム（ＴＣＳ等）におけるような、例えば車輪に加えられるブレーキ圧のアクティブコントロールまたはブレーキング機能によってアクティブ化されたコントロールのために用いられる。プロセッサコア、バスシステムおよび周辺要素の少なくとも一部を２倍設けることによって、両プロセッサの一方の処理エラーを第２のプロセッサによって監視することができ、また両プロセッサの処理ステップの結果が一致しているかどうかを装置によって検査することができる。この方法はエラー検出率を大幅に高めることができる。というのは、両プロセッサブランチで同時にエラーが発生する確率が比較的に低いからである。エラーが検出されると、例えばコントロールシステムの遮断または緊急時プログラム（トラップ／インターラプト）の実施またはリセットが行われる。それによって、ブレーキシステムの機能信頼性が高められる。
【０００３】
両バスシステムに接続された周辺要素は一般的に読み出し専用メモリ（ＲＯＭ，ＯＴＰ，フラッシュ）と随時書き込み読み出しメモリ（ＲＡＭ）と、入出力ユニットまたはバスドライバを介して接続された他のバスシステムを含んでいる。バスシステムがドライバ段によって互いに接続または結合されているので、プロセッサコアはその都度他のバスシステムにデータを書き込んだり読み出すことができる。特許文献１に記載されたマイクロプロセッサシステムの構造はメモリに関して完全に冗長ではない。両バスの１つに接続されたメモリの少なくとも一部が、ハードウェア比較回路によって仮想再現される。再現されたメモリは、同じアドレスの第１のメモリと同じデータ語を含んでおらず、完全なデータ語に結合したパリティ情報を含んでいる。このパリティ情報はメモリにおいて書き込まれるデータ語から計算されるかまたは求められる。これは、冗長性のために設けられたメモリの大部分を、安全性を低下させずに省略することができるという利点がある。
【特許文献１】
欧州特許出願公開第０８４３８５３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
本発明の課題は、安全性に関して重要でないデータおよび／またはプログラムと、重要なデータおよび／またはプログラムを区別することができるように、上記マイクロプロセッサシステムを改良することである。
【０００５】
更に、本発明の根底をなす課題は、重要なデータおよび／またはプログラムに関して、公知のシステムの場合のような高いエラー検出率が達成され、それによって安全上重要な用途のために要求される運転信頼性が維持され、そして更に安全上重要なプログラムの走行が付加的なプログラムによって妨害されることなく、安全上重要なプログラムの高い安全性要求を満足しないプログラムを運転することができる、マイクロプロセッサシステムを提供することである。同時に、マイクロプロセッサシステムは比較的に少ないコストで製造できるようにすべきである。
【課題を解決するための手段】
【０００６】
この課題は請求項１記載の方法と請求項９記載のマイクロプロセッサシステムによって解決される。
【０００７】
マイクロプロセッサシステムは２個以上のマイクロコンピュータを備えている。このマイクロコンピュータのうち少なくとも一方が、中央ユニットと周辺要素からなる完全ユニットである。この周辺要素は読み出し専用メモリと、随時書き込み読み出しメモリと入力／出力ユニットを備えている。“完全ユニット”とは、マイクロコンピュータがその基本機能のために必要である要素を備えていることであると理解される。これは、例えば付加的なメモリモジュールのような周辺要素の一部がチップまたはチップケースの外側に配置されていることを排除するものではない。外側に配置されたこのチップは他の外部バスシステムを介してあるいは外側に案内されたローカルバスを介して作動可能である。
【０００８】
既存の少なくとも２個のマイクロコンピュータの周辺要素とプロセッサコアとバスシステムは、好ましくは半導体基板上にある共通のチップ支持体上に一体化（集積）されている。既に述べたように、プロセッサコアを一体化したチップ支持体が、一体化された周辺要素を含むことができ、かつ有利である。
【０００９】
第２のバスシステムに接続されたマイクロコンピュータが所定のアドレス領域において第１のマイクロコンピュータに一致しておらず、例えば所定のメモリモジュールが一方のマイクロコンピュータに設けられていないと合目的である。両マイクロコンピュータの一方には、読み出し専用メモリおよび／または随時書き込み読み出しメモリの代わりに、検査データ用記憶場所を有するメモリが設けられている。両バスシステムは特に、上記のアドレス領域のデータを交換するために、結合されたドライバ段を経て、互いに接続されている。周辺要素、特にメモリが完全に二重または多重に形成されていることにより、高い冗長性が生じる。
【００１０】
しかし、メモリ、特に随時書き込み読み出しメモリと読み出し専用メモリが少なくとも所定のアドレス領域において完全に冗長的に形成されていると特に有利である。
【発明を実施するための最良の形態】
【００１１】
本発明の他の有利な実施の形態は、従属請求項と図に基づく次の説明から明らかになる。
【００１２】
図１には、ワンチップ・マイクロコンピュータシステムが示してある。このシステムはコンピュータコアまたはプロセッサコアまたはＣＰＵと呼ばれる同期動作の２つの中央ユニット１，２と、別個のバスシステムとを備えている。中央ユニット１は共通の１個または複数個の読出し専用メモリ５，７（ＲＯＭ）と、随時書き込み読み出しメモリ６（ＲＡＭ）と、（例えば周辺機器または外部の他のバスシテムのための）図示していない入力段または出力段とを補足することによって１つの完全なマイクロコンピュータＭＣ１を形成している。中央ユニット２の第２のバスシステム４には、他の読出し専用メモリ８，９と随時書き込み読み出しメモリ１０が接続されている。これらのメモリは第１のマイクロコンピュータＭＣ１のメモリに対して論理的にまたは物理的にのみ正確に一致している（完全な冗長度）。バス４の要素は第２のマイクロコンピュータＭＣ２を形成している。
【００１３】
コンピュータコアをメモリと入力／出力範囲に接続するバスシステムは好ましくはそれぞれコントロールバスとデータバスとアドレスバスを備えている。見やすくするために、図１には、コア１用のアドレスバス３とコア２用のアドレスバス４だけが示してある。公知のごとく、データはメモリからマイクロプロセッサに伝送され（読出し）、その後でマイクロプロセッサから再びメモリに伝送される（書き込み）。この場合、瞬時のアクティブメモリアドレスがアドレスバスに供給される。アドレスバス４に供給されるアドレスをチェックするために、バス４はアドレス監視装置１８に供給される。このアドレス監視装置は好ましくは冗長的に形成されている。チェックすべきアドレスが許容アドレス範囲内にあると、信号は接続部１３を経て出力される。接続部１３からの信号の出力は、書き込み操作が存在するかどうか（ライン１４）に依存する。書き込みエラーまたは読み出しエラーはＭＣ１とＭＣ２の両バスシステムのデータの比較を可能にする比較回路１６，１７によって検出される。ライン１３はブリッジング装置１９、特にドライバに案内されている。このドライバは例えば快適性アルゴリズムのための所定のアドレス領域において非冗長メモリデータの使用を可能にする。
【００１４】
本発明によるマイクロプロセッサシステムの場合、公知のシステムと異なり、アクティブコンピュータとパッシブコンピュータの区別が不可能である。むしろ、両コンピュータコアすなわち中央ユニット１，２は同一である。本発明に従って、安全性上重大なデータまたはアルゴリズムと、快適性データまたは快適性アルゴリズムとが区別される。好ましくはコンピュータコアは安全性アルゴリズムの処理時に同じ入力情報を受け、同じアルゴリズム（プログラム、サブプログラム、タスク）を実行する。コンピュータコアは特に、一緒に読み出されたデータを完全に冗長的に処理する。安全性アルゴリズムに割り当てられたデータの読み出しまたは書き込みの間、コンピュータ１，２の入力信号と出力信号は好ましくは後述の比較回路１６，１７における比較によって一致しているかどうかがチェックされる。この場合、比較すべき信号はそれぞれのコンピュータのデータバスに供給される。
【００１５】
各々のコンピュータコアには好ましくは別個のデータバスが付設されている。特に簡単な論理要素によって実現可能な比較回路１６，１７によって、バス上にあるデータがビット毎に比較される。データが一致していないと、システムの作動の停止が開始されるかあるいは故障処理のための適当な信号が発生させられる。比較回路１６，１７は特に、ブリッジング装置のように冗長的に形成された２進比較回路である。バスに供給された値、特にデータが一致していないときあるいは故障のときに、上記比較回路は遮断信号または故障処理のための他の適当な信号を発生する。
【００１６】
ブリッジング装置１９は一方のバスから他方のバスにバス情報を伝送する働きをする。
【００１７】
複数のプロセッサコアを備えたシステムの場合、装置１９は、第２のコアに割り当てられたアドレス領域内に存在しないデータへの、第２のコアのアクセスを可能にする。
【００１８】
少なくとも安全性アルゴリズムの実行の際、両中央ユニットの出力信号は同一である。すなわち、周辺要素の制御は両中央ユニットの一方だけによって行うことができる。
【００１９】
周辺要素の入力／出力装置は図１に示していない。自動車制御システムの場合、例えば車輪センサが周辺要素に接続されている。この車輪センサの出力信号は制御システムの重要な入力量である。その際、センサ信号供給を両バスシステム３，４に分配すると有利である。信号供給は冗長的に行ってもよい。すなわち、両バスシステム３，４にセンサ信号を供給してもよい。
【００２０】
第１の有利な実施の形態では、本発明によるマイクロプロセッサシステムのメモリ、特に書き込み／読み出しメモリが完全に冗長的に形成されている。すなわち、第１のプロセッサ２のメモリの各々のデータ語について、第２のプロセッサ２の同じ長さのデータ語が存在する。
【００２１】
マイクロプロセッサ装置の第２の有利な実施の形態では、記憶されたまたは記憶されるデータの読み出しおよび書き込み時に故障を検出するために、検査ビットまたはパリティビットが発生させられる。この検査ビットまたはパリティビットは第２のメモリに記憶される。この故障検出方法は欧州特許出願公開第０８４３８５３号公報に記載されている。しかし、第２のメモリの若干のまたはすべてのデータ語が完全なデータ語の代わりに記憶されたパリティ情報であってもよい。この方法によれば、例えば第１コンピュータのＭＣ１の読み出し専用メモリおよび／または随時書き込み読み出しメモリの各々の記憶場所において、検査データのための記憶場所だけを含む第２コンピュータＭＣ２のパリティメモリ内の同じアドレスに、冗長情報が記憶されている。その際、読み出し専用メモリのために検査情報または冗長情報がプログラミングの際に既に決定されている。随時書き込み読み出しメモリの場合、この検査情報または冗長情報は書き込みの間特に論理要素によって発生させられる。検査情報または冗長情報はデータや命令の読み取りに類似して、両バスシステム３，４を接続するドライバ段１６または１７を経て伝送される。従って、書き込むべきデータは書き込み操作の際データを記憶した冗長情報だけ拡張される。読み取り操作の際、このデータとエコーチェックされた冗長情報は、バスドライバ回路内に設けられた比較回路によって妥当性がチェックされる。
【００２２】
バスシステムを経て情報を伝送する際のエラーを検出するために、このバスシステムはバスシステム３，４の形に冗長的に設計されている。両プロセッサコア１，２から出力されバスシステムに供給される信号は、比較回路によって一致性が監視される。
【００２３】
比較回路は好ましくは、例えば排他的ＯＲゲートによって知られているような論理素子によって実現可能である。
【００２４】
好ましくは冗長的に形成されたアドレス比較回路１８は、アドレスバスのアドレスを、１つまたは複数の設定された妥当なまたは妥当でないアドレス領域と比較する。この比較回路は好ましくは２進比較回路からなっている。この２進比較回路はアドレスバス４内の要素へのアクセスを監視し、所定のメモリ領域でアクセスが行われるかあるいはこの領域の外側にアクセスがあるかどうかを検出する。
【００２５】
前述のマイクロプロセッサシステムによって、安全性に関する重要なアルゴリズムと、安全上重要でない機能を実行するために用いられる快適性アルゴリズムとを区別することができる。例えばマイクロプロセッサシステムが電気油圧式ブレーキ装置（ＥＨＢ）または電気機械式ブレーキ装置（ＥＭＢ）の制御装置で使用される場合、普通のブレーキングと関連して必要であるアルゴリズムが、安全上重要なアルゴリズムである。これに対して、例えば車両の速度を制限するためのアルゴリズム（速度リミッタ）あるいはＡＢＳ車輪回転速度データからタイヤ圧力を決定するためのアルゴリズムは、快適性アルゴリズムと見なすことができる。というのは、後者のアルゴリズムの場合、機能不良が乗員または他の交通従事者を危険にさらさないからである。
【００２６】
本発明は更に、快適性アルゴリズムの実行の際に発生するエラーが、重要な機能のアルゴリズムの実行を中断したり、不所望な影響を与えたり、終了させたりしないという利点がある。
【００２７】
ドライバ１９とアドレス比較回路１８を、特に論理回線１３を介して本発明に従って結合したことにより、例えば快適性アルゴリズムによって開始される、周辺要素、特に随時書き込み読み出しメモリへの間違った書き込み操作を識別し、元のデータを復元することができる。
【００２８】
丁度処理された快適性アルゴリズム（プログラム領域７参照）の結果である書き込み／読み出しメモリへの書き込みアクセスは好ましくは、冗長性のために設けられる両メモリの一方、例えばＲＡＭ領域１２にのみ常に書き込まれる。そのために、快適性アルゴリズムに割り当てられたアドレス領域について、読み出しアクセスが常に、要素１９を経て、両メモリ６，１０の一方から両バスシステム３，４に供給されるように、ブリッジング要素１９が操作される。従って、読み出しであるか書き込みであるかに依存してブリッジング要素１９を適切に切換える監視装置が設けられていると有利である。これにより、書き込みアクセスは１個のマイクロプロセッサによってのみ行うことができる。更に、書き込むべきデータを前もって一致しているかどうか検査することができる。
【００２９】
勿論、快適性アルゴリズムと安全性アルゴリズムが共通のアドレス領域にアクセス可能であることが望ましい。これは、一緒に使用される入力／出力ユニットの場合、一緒に要求されるサブプログラム（例えばライブラリルーチン）の場合またはデータ交換のために適している。そのために、アドレス比較回路内で定められたアドレス領域は少なくとも部分的にオーバーラップしていてもよい。
【００３０】
他の有利な実施の形態では、書き込み操作がユニット１８によって設定された許容アドレス領域またはアドレス領域の外で、両メモリ６，１０の一方にのみ行われる（非冗長書き込み）。これにより、場合によっては上書きされた値を常に再構成することができる。これは可能である。というのは、本発明では、データ値が安全のために設けられた第２のメモリで上書きされることが防止されるからである。これは、随時書き込み読み出しメモリのどの物理的な書き込み領域が保護された領域であるかを前もって定めることによって達成される。
【００３１】
アドレス比較回路１８では、設定されたアドレス領域を決定する値を、一定に設定してもよいし、可変に定めてもよい。後者の場合、例えばユニット１８に収容された再び書き込み可能なメモリ（例えばフリップフロップ）によって行われる。アドレス比較回路１８によって設定されたアドレス領域が可変ではなく、特にアドレスバス４のハードワイヤード復号化を行う装置によって、一定に設定されていると特に合目的である。
【図面の簡単な説明】
【００３２】
【図１】本発明によるマイクロプロセッサシステムを概略的に示す図である。
【図１】
2004533686.tif 000003
【国際公開パンフレット】
2004533686.tif 000004
2004533686.tif 000005
2004533686.tif 000006
2004533686.tif 000007
2004533686.tif 000008
2004533686.tif 000009
2004533686.tif 000010
2004533686.tif 000011
2004533686.tif 000012
2004533686.tif 000013
2004533686.tif 000014
2004533686.tif 000015
2004533686.tif 000016
2004533686.tif 000017
2004533686.tif 000018
2004533686.tif 000019
2004533686.tif 000020
2004533686.tif 000021
【国際公開パンフレット（コレクトバージョン）】
2004533686.tif 000022
2004533686.tif 000023
【国際調査報告】
2004533686.tif 000024
2004533686.tif 000025
2004533686.tif 000026
2004533686.tif 000027