(57)【特許請求の範囲】
【請求項１】
第１のデータバス（４）によって相互に接続され、同一の入力データを処理することによって車両の制御機能を実行する、冗長構成で設けられた複数の制御装置（１〜３；２０〜２３）と、
前記第１のデータバス（４）と前記制御装置（１〜３；２０〜２３）を接続又は切断するものであって、前記制御装置にそれぞれ設けられ、前記制御装置による制御機能とは独立に動作するデータバス分離スイッチ（５）と、
を有する冗長構成の車両用制御装置において、
前記データバス分離スイッチ（５）は、前記データバス（４）への接続又は遮断をするスイッチと、他の冗長制御装置（２、３；２２、２３）の出力ポート（１１，１２）に接続される入力ポート（１３，１４）と、入力された信号を論理演算する演算回路を有し、
前記データバス分離スイッチ（５）は、前記他の冗長制御装置（２、３；２１、２３）による機能検査の結果である評価信号を受け取り、受け取った複数の評価信号を用いた論理演算、又は、受け取った評価信号とあらかじめ定義された不変値との論理演算の結果に基づいて自己の制御装置（1、２０）と前記データバス（４）との接続を切断することを特徴とする冗長構成の車両用制御装置。
【請求項２】
前記制御装置（１〜３；２０〜２３）が、制御機能の結果を交換するために、前記第１のデータバス（４）に加えて、第２のデータバス（６０〜６２）によって接続されることを特徴とする請求項１に記載の冗長構成の車両用制御装置。
【請求項３】
前記制御機能の実行結果が、予め定義可能な制御装置（Ａ）によって、冗長構成である前記制御装置（１〜３；２０〜２３）の出力として前記第１のデータバス（４）に送出されることを特徴とする請求項１あるいは２に記載の冗長構成の車両用制御装置。
【請求項４】
前記１つの予め定義可能な制御装置（Ａ）が、前記制御装置（１〜３；２０〜２３）の中から、変数によって任意に定義可能であることを特徴とする請求項３に記載の冗長構成の車両用制御装置。
【請求項５】
前記変数が、制御機能に関して冗長構成である制御装置のための交換品を形成する前記制御装置（１〜３；２０〜２３）から１つの制御装置（Ａ）の交換の順序をマッピングすることを特徴とする請求項４に記載の冗長構成の車両用制御装置。
【請求項６】
前記制御装置（１〜３；２０〜２３）がゲートウェイ機能を有し、データバス（４；６０〜６２）が切断されるとき、データの交換が該ゲートウェイ機能によって別のデータバス（６０〜６２；４）によって維持されることを特徴とする請求項２〜５のいずれか一項に記載の冗長構成の車両用制御装置。
【請求項７】
前記データバス分離スイッチ（５）が、前記割当てられた制御装置（１；２０；２２）の電圧供給部（８）に接続される出力ポート（１９）を有し、
前記論理演算の結果により前記出力ポート（１９）から制御信号を送ることにより、前記割当てられた制御装置（１；２０；２２）への電圧供給を遮断させることを特徴とする請求項６に記載の冗長構成の車両用制御装置。
【請求項８】
前記データバス分離スイッチ（５）が、リレースイッチ又は論理モジュールを含むことを特徴とする請求項７に記載の冗長構成の車両用制御装置。
【請求項９】
冗長構成で設けられ同一の入力データを処理することによって車両の制御機能に関する制御を行う制御装置（１；２０）とデータバス（４、６０〜６２）との間に接続され、
前記制御装置の前記データバス（４、６０〜６２）への接続の設定又は解除を、前記制御装置による制御機能とは独立に行う電気接続部を有するデータバス分離スイッチ（５）であって、
他の制御装置（２、３；２１、２３）から送られる評価信号用の入力ポート（１３、１４）と、対応する制御装置（１；２０）の電圧供給部（８）に接続される出力ポート（１９）を設け、
前記入力ポート（１３、１４）から入力される複数の前記評価信号の論理演算、又は入力される前記評価信号とあらかじめ定義された不変値との論理演算を行い、
該論理演算の結果に応じて、前記データバス（４、６０〜６２）と前記制御装置（１；２０）の接続を切断するとともに、前記出力ポート（１９）から信号を出すことによって対応する前記制御装置（１；２０）の電圧供給を遮断させることを特徴とするデータバス分離スイッチ（５）。
【請求項１０】
前記電気接続部が、リレースイッチ又は論理モジュールで構成されることを特徴とする請求項９に記載のデータバス分離スイッチ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、第１のデータバス及びデータバス分離スイッチによって相互接続される複数の制御装置を有する冗長構成の車両用制御装置に関する。
【背景技術】
【０００２】
ドライブバイワイヤ車両における安全関連システム（ドライブバイワイヤとは、ステアリングを含む車両の各ドライブトレイン機能が専ら電気信号によってのみ、制御されることを意味する）は、特に故障を防止しなければならない。車両におけるドライブバイワイヤの例としては、ステアリングホイールと舵取り可能な車両の車輪との間に永続的な機械的接続部又は油圧接続部がないステアバイワイヤシステム又は車両の運転挙動が限られた範囲の車両の移動原動力に適応しているＥＳＰ（電子安定化プログラム）システムが挙げられる。このようなドライブバイワイヤシステムのフェイルセーフを増大させるために、これらのシステムは、たとえば１つの制御装置が故障した場合に、冗長構成である制御装置に切り替えることが可能であるような冗長構成である。
【０００３】
冗長構成であるシステムとは、たとえばマイクロプロセッサなどの構成要素が複合的に設けられ、同一の機能が複合的に設けられているこれらの構成要素で実行されるシステムである。これは、特に、同一の入力データがこれらの構成要素によって処理され、同一の出力データが生成され、評価のために出力データがこれらの構成要素に割当てることが可能になっていることを意味する。
【０００４】
既知の冗長アレイは、ＴＲＭ（三重モジュール式冗長）システム及びデュオデュプレックスシステム（ｄｕｏ−ｄｕｐｌｅｘ  ｓｙｓｔｅｍ）である。
【０００５】
ＴＲＭシステム（ツーアウトオブスリーシステム（ｔｗｏ  ｏｕｔ  ｏｆ  ｔｈｒｅｅ  ｓｙｓｔｅｍ）とも呼ぶ）において、３つの冗長構成要素は、故障した構成要素を検出することができ、周囲に全く影響を及ぼさないようにすることができるように連結される。
【０００６】
デュオデュプレックスシステム（二重自己検査組システム（ｄｕａｌ  ｓｅｌｆ−ｃｈｅｃｋｉｎｇ  ｐａｉｒ  ｓｙｓｔｅｍ）とも呼ぶ）の場合には、それぞれの場合において、２つの冗長構成要素が１つのチャネルを形成するように結合され、チャネル内の構成要素の故障挙動を検出することが可能になっている。構成要素の故障挙動が検出される場合には、対応するチャネルが切られる。
【０００７】
特許文献１は、航空機のワイヤ遠隔舵取り制御システムにおける処理システムを開示しており、このシステムでは、複数の冗長な非同期プライマリフライトコンピュータのそれぞれが、コマンド信号を生成し、航空機の少なくとも１つの操縦面が複数のアクチュエータドライブによって制御される。処理システムは、アクチュエータドライブから送信されるフライトコマンド信号を制御し、複数のセレクタを具備し、それぞれのセレクタがプライマリフライトコンピュータと、すべてのプライマリフライトコンピュータからのフライトコマンド信号を受信するための１つ以上のアクチュエータドライブと、選択されたフライト信号を送信するために、所定の選択アルゴリズムに基づいて動作するための選択手段と、に接続される。
【０００８】
特許文献２は、冗長構成であり、互いにバスシステムによって接続されている複数のマイクロプロセッサを有する車両調整システムのためのマイクロプロセッサアレイを開示している。マイクロプロセッサにおけるデータ処理は、アンチロックブレーキコントロール及び／又はトラクションコントロールなどの調整システムのほか、入力信号を調整するためにも用いられる。対称的に冗長であるデータ処理の出力結果及び／又は中間結果が比較される。これらの結果が異なる場合には、個別のシステムが切り替えられる。さらに、このようなマイクロプロセッサシステムにおいて行われるデータ処理動作はそれぞれ、簡略化したデータ処理動作の結果と比較され、信頼性が検査される。相違点がある場合には、調整システムは、「セーフティクリティカル」でない機能的に重要なデータを一時的に保持することができる。
【０００９】
【特許文献１】欧州特許第０  ７６０  ９７３  Ｂ１号明細書
【特許文献２】独国特許出願公開第１９６  ３１  ３０９  Ａ１号明細書
【発明の開示】
【発明が解決しようとする課題】
【００１０】
輸送手段の冗長システム機能は、一般的に、プリント回路基板上に収容される複数のマイクロプロセッサによって実現される。冗長システムのこのような実装には、マイクロプロセッサ間に短くて高速の切り替え経路という利点がある。欠点は、この実現には、きわめて高価な開発コスト及び長い開発時間を必要とすることである。これは、特に自動車分野では、今日、より短い開発期間で新しいモデルを作製する必要があることから、欠点である。
【００１１】
このため、自動車分野において冗長構成であるシステムは、市場で既に入手可能であり、冗長システムの一部と成すために、最小限に適合させるだけで済む構成要素から構成される。特に、市場で既に入手可能な制御装置は、構成要素として適している。
【００１２】
本発明の目的は、制御装置が冗長システムの一部として最小限だけ適合させなければならないように制御装置の冗長アレイを最適化することである。
【課題を解決するための手段】
【００１３】
本目的は、請求項１及び請求項１０の特徴によって本発明に基づいて実現される。したがって、各データバス分離スイッチは、少なくとも１つの別の冗長制御装置の信号線に接続される。別の冗長制御装置は、評価信号を第１の冗長制御装置に割当てられるデータバス分離スイッチに送信し、評価信号は、第１の冗長制御装置に対する別の冗長制御装置の機能的な検査の結果である。第１の冗長制御装置のデータバス分離スイッチは、論理回路の結果によりデータバスを切断し、論理回路の少なくとも１つの入力信号は少なくとも１つの評価信号によって形成される。
【発明の効果】
【００１４】
本発明による制御装置のアレイは、冗長アレイを構成するために、任意の所望のメーカの制御装置を用いることができるという利点がある。
【００１５】
別の利点は、制御装置の切り替え及びデータバスからの分離が、冗長制御において用いられる選択プロセスとは独立であることである。別の冗長制御装置を評価するための冗長制御装置における選択プロセスは、選択されたハードウェア又はソフトウェアとは独立しており、個別に変更することができる。最終的な評価信号のみが重要であり、個別の評価された冗長制御装置のデータバス分離スイッチに送信されなければならない。
【００１６】
データバス分離スイッチは、制御装置とは独立に開発することができる。前記スイッチが制御装置の機能要素を必要とすることもなく、制御装置がデータバス分離スイッチの機能要素を必要とすることもないためである。
【００１７】
制御装置のアレイ及びデータバス分離スイッチの簡素な設計は、高速及びコスト効率のよい製作を確実にすることから、好都合である。
【００１８】
データバス分離スイッチのすべての出力割当ては、すべての入力割当てによる完全な試験を容易に行うことができるため、データバススイッチを高い信頼性で製作することができる。
【００１９】
制御装置のアレイが、制御機能に関して冗長である２つの制御装置の最小の構成単位に基づいているため、この制御機能に関して冗長である別の制御装置によって制御装置のアレイを拡張することができる。その結果、ＴＲＭ及びデュオデュプレックスアレイを容易にマッピングすることが可能である。
【００２０】
第１及び第２のデータバスを有する制御装置のアレイは、データバスが切断されるときに、この切断をゲートウェイ回路によってブリッジすることができるという利点がある。これにより、たとえば、データバスの短絡又はデータバスケーブルの切断が生じた場合に、迅速に復旧することができる。
【００２１】
別のデータバスを有する制御装置のアレイに関する別の利点は、通信が輸送手段の別の制御装置によって行われている第１のデータバスが別のデータトラヒックを取り込まないことである。
【００２２】
したがって、本発明の教示を有利に構成し、発展するさまざまな方法がある。このために、一方では従属項を参照し、他方では実施形態の以下の説明を参照されたい。従属項の任意の所望の組合せから形成される有利な改良例も包含されるものとする。図面は、本発明による制御装置のアレイ及び本発明によるデータバス分離スイッチの実施形態を示している。前記図面のそれぞれは概略図である。
【発明を実施するための最良の形態】
【００２３】
本発明による制御装置のアレイが、図１に示されている。前記図において、車両におけるＥＳＰ（電子安定化プログラム）制御機能に関して冗長構成である３つの制御装置１、２、３が、ＴＲＭ（三重モジュール式冗長）アレイに共に接続される。
【００２４】
３つの冗長制御装置１、２、３は、第１のデータバス４によって車両の別の制御装置に接続される。さらに、３つの冗長制御装置１、２、３は、第２のデータバス６０によって互いに接続される。冗長構成である３つの制御装置１、２、３の間の結果信号を専ら交換するために、このデータバスが用いられる。第１及び第２のデータバス４、６０は、ＣＡＮ（コントローラエリアネットワーク）データバスとして具体化される。
【００２５】
その結果、冗長構成である３つの制御装置１、２、３のそれぞれは、２つの双方向データバス接続部６、７を有し、データバス接続部６は第１のデータバス４に接続するために用いられ、データバス接続部７は第２のデータバス６０に接続するために用いられる。
【００２６】
冗長制御装置１、２、３はそれぞれ、ＥＳＰ制御機能を実行するためのプロセッサ及びメモリを有する計算構成単位のほか、電圧供給構成単位８及び選択手段９を有する。
【００２７】
冗長制御装置１、２、３の電圧供給構成単位８は、入力ポート１０を有する。このポート１０によって、制御装置の電圧供給を切り替えることが可能である。すなわち、信号によって制御装置自体を切り替えることが可能である。
【００２８】
データバス分離スイッチ５と連動する本発明による制御装置のアレイの動作方法について、制御装置１の実例を用いて説明する。別の制御装置２、３は、同等に動作する。
【００２９】
制御装置１は、第１のデータバス４によってデータバス４に接続されている別の制御装置、アクチュエータ、センサなどから受信する入力データを処理する。ＥＳＰ制御機能のために、この入力データは、車両のヨーレート、速度、エンジン速度、加速度である。
【００３０】
この入力データは、制御装置１の制御部によって処理され、出力データを生成する。この出力データは、第２のデータバス６０に割当てられ、別の制御装置２、３によって検知される。制御装置１自体は、別の制御装置２、３の出力データを記録する。
【００３１】
選択手段９（ボータ（ｖｏｔｅｒ）とも呼ぶ）は、それ自体の出力データと別の制御装置２、３の受信出力データとの間の複数の比較動作から比較を行う目的を有する。選択手段は、ソフトウェアによって実現され、ここでは、時間及び絶対値に関して出力データ項目間の偏差が許容されるように構成される。
【００３２】
ＴＲＭシステムにおける選択プロセスは、以下のように進む。３つの出力データ項目すべての間に一致がない場合には、システムのスイッチが切られる。２つの出力データ項目間に一致がある場合には、１つのエラーが存在し、対応する出力データ項目は正しい出力データとして許容される。３つのデータ項目すべてが一致する場合には、エラーが存在しない。各出力データ項目は、変数として許容可能であってもよい。
【００３３】
選択プロセスが終了した後、選択手段９は、それぞれの場合に別の制御装置２、３の送信出力信号に評価信号を割当てる。
【００３４】
３つの冗長制御装置１、２、３のうち、唯一の印の付いたＡ、ここでは制御装置１は、データバス４に接続される別の制御装置にコマンドを送信するために、選択プロセス後に、第１のデータバス４にその出力信号を送信する制御装置である。選択プロセス後に、制御装置１が不正確に作動していると決定される場合には、別の制御装置２、３の一方が、選択プロセス後に決定された出力データを第１のデータバス４に送信する機能を引き継ぐ。このために、冗長構成の制御装置１〜３のいずれの制御装置がこの機能を引き継ぐかを指定する変数が、選択手段に格納される。
【００３５】
図１における制御装置１は、別の冗長制御装置２、３の出力データの評価信号を送信するために用いられる２つの出力ポート１１、１２を有する。これらの出力ポート１１、１２は、個別の信号線によって別の制御装置２、３の個別のデータバス分離スイッチ５における入力ポート１３、１４に接続される。評価信号は、この信号線によって制御装置２、３の個別のデータバス分離スイッチに送信される。
【００３６】
データバス分離スイッチ５は、それぞれの場合に、スイッチによって接続される２つの双方向データバス接続部１５、１６及び１７、１８をそれぞれ有する。データバス接続部１５〜１８は、制御装置１の接続部を接続部１５、１６によって第１のデータバス４に接続又は切断し、接続部１７、１８によって第２のデータバス６０に接続又は切断するように接続される。
【００３７】
データバス分離スイッチ５は、その入力信号がデータバス分離スイッチ５の入力ポート１３、１４によって形成される論理回路をさらに有する。別の制御装置２、３の評価信号は、制御装置１の出力信号によってデータバス分離スイッチ５の入力ポート１３、１４に送信される。
【００３８】
データバス分離スイッチ５の論理回路は、ＯＲゲートから構成される。入力ポート１３、１４に達する評価信号は、出力信号の不一致を表す値０又は一致を表す値１のいずれかを有する。論理演算の結果、すなわち、故障制御装置１を表す０又は故障のない制御装置１を表す１に基づいて、故障の場合には、データバス分離スイッチは、データバス接続部１５、１６及び１７、１８の間の接続をそれぞれ切断する。したがって、故障の場合には、制御装置１は、第１及び第２のデータバス４、６０による通信から切り離される。
【００３９】
さらに、データバス分離スイッチは、出力ポート１９を有する。制御装置１のこの出力ポート１９は、信号線によって制御装置１の電圧供給部の入力ポート１０に接続される。故障の場合には、データバス分離スイッチ５はさらに、データバス分離スイッチ５の出力ポート１９によって信号を電圧供給部８の入力ポート１０に送信する。この信号は、制御装置１の電圧供給部８のスイッチを切るため、制御装置１自体のスイッチを切る。
【００４０】
図２は、本発明による制御装置のアレイの別の実施形態を示している。ここでは、車両におけるＥＳＰ（電子安定化プログラム）制御機能に関して冗長構成である４つの制御装置２０〜２３が、デュオデュプレックスアレイに共に接続される。図２の４つの冗長制御装置２０〜２３は、第１のデータバス４によって車両の別の制御装置に接続される。
【００４１】
既に述べたように、デュオデュプレックスアレイにおいて、それぞれの場合に、ＥＳＰ制御機能に関して冗長構成である４つの制御装置のうちの２つの冗長制御装置は、論理チャネルを形成するように結合される。したがって、デュオデュプレックスアレイは、ＴＲＭアレイに比べて、個別のチャネル用の第２の独立データバスが必要である。
【００４２】
その結果、それぞれの場合において、４つの制御装置２０〜２３のうちの２つの冗長制御装置２０、２１又は２２、２３はそれぞれ、第２のデータバス６１又は６２によって互いに接続される。それぞれの場合において、冗長構成である４つの制御装置２０〜２３のうちの２つの間の結果信号を専ら交換するために、２つの第２のデータバス６１、６２が用いられる。データバス４、６１、６２は、ＣＡＮ（コントローラエリアネットワーク）データバスとして具体化される。
【００４３】
一例として、デュオデュプレックスアレイにおける本発明による制御装置のアレイの動作方法について、制御装置の組２０、２１の実例を用いて説明する。制御装置の別の組２２、２３は、同等に動作する。個々の構成要素の動作方法に関するさらなる詳細は、図１で既に説明したことに関する限り、提供しない。
【００４４】
デュオデュプレックスアレイの組における制御装置２０の選択手段９は、１つの別の制御装置２１の結果信号に関してのみ比較動作を行う。したがって、制御装置２０は、制御装置２１のデータバス分離スイッチ５の出力ポート１２から入力ポート１３まで信号線によってデータバス分離スイッチに送信される唯一の評価信号を供給する。
【００４５】
制御装置２０のデータバス分離スイッチ５は、入力ポート１３によって制御装置２０の出力データに関する制御装置２１の評価信号を受信する。データバス分離スイッチ５の論理回路は、入力信号として、入力ポート１３に評価信号を有する。第２の入力ポート１４からの第２の入力信号は、不変に予め定義される。ここでは、値「０」が、第２の入力信号として定義される。
【００４６】
上述したように、故障の場合には、制御装置２０のデータバス分離スイッチ５は、第１及び第２のデータバス４、６１との通信から制御装置２０を切り離す。さらに、制御装置２０への電源供給部８のスイッチが切られる。制御装置の組２０、２１又は２２、２３の制御装置が故障した場合には、組２０、２１又は２２、２３のスイッチが切られる。たとえば、組の第１の制御装置２０のスイッチが切られると、第２の制御装置２１は、第２のデータバス６１によって冗長構成の制御装置の出力信号を受信しないため、その結果、その出力信号を比較することができないことから、このことは理解しやすい。
【００４７】
制御装置２０は、故障が存在しない場合には、結果信号を第１のデータバス４に送信する選択された制御装置Ａである。制御装置２０が故障している場合には、組２０、２１のスイッチが切られる。制御装置の組２２、２３は、第１のデータバス４によって、制御装置２０が出力データをデータバス４に送信するかどうかを監視しているため、２つの制御装置２２、２３の一方が結果信号をデータバス４に送信する機能を再開する。
【００４８】
データバス分離スイッチ５の論理回路は、ハードウェアを用いて具体化される。ポート１５、１６及び１７、１８の間の切り替え可能な接続部はそれぞれ、論理モジュールスイッチとして具体化される。しかし、切り替え可能な接続部はまた、リレースイッチとして具体化されてもよい。
【００４９】
双方向接続部１５〜１８は、たとえば、ＣＡＮデータバスのツイストペアケーブルが接続されるか、又はそれぞれの場合に、たとえばＣＡＮトランシーバなどの対応するトランシーバ構成単位がデータバス接続点１５〜１８に取り付けられるように構成されてもよい。
【００５０】
データバス４、６０〜６２は、ＣＡＮデータバスとして構成される。しかし、データバス４、６０〜６２はまた、Ｄ２Ｂ又はＭＯＳＴ又はＴＴＰ、ＬＩＮ、フレックスレイ（ＦｌｅｘＲａｙ）、ファイアワイヤ（Ｆｉｒｅｗｉｒｅ）などの光データバスとして具体化することも可能である。
【００５１】
本発明による制御装置のアレイは、制御機能に関して冗長構成である制御装置１〜３、２０〜２３の間の内部通信用の第２のデータバス６０〜６２を有する。これは、車両において別の制御装置との通信を確保する第１のＣＡＮデータバス４の帯域幅がほぼ既に全容量まで用いられており、冗長構成である制御装置１〜３、２０〜２３の間の内部通信のために必要とするようなさらなるデータトラヒックがそれ以上見込まれないように選択される。
【００５２】
選択されたデータバスシステムは、冗長構成である制御装置１〜３、２０〜２３の間のさらなる通信が対応する速度で確実に行われるように対応して大きな帯域幅を可能にする場合には、第２のデータバス６０〜６２はもはや必要ではない。したがって、車両の制御装置間の通信のほか、冗長構成である制御装置１〜３、２０〜２３の間の通信も第１のデータバス４によってのみ行う。
【００５３】
制御装置のアレイは、制御装置の非同期通信であることが理想的である。制御装置が同期して動作する場合には、すなわちある特定の時間にのみ送信する場合には、時間は全システム時間によって標準化され、これは、同期機構の故障が冗長アレイのすべての制御装置に影響を及ぼし、冗長アレイ全体が故障するという欠点がある。
【００５４】
冗長構成である制御装置１〜３、２０〜２３は、異なるメーカによって製作されてもよく、異なるハードウェアを用いて構成されてもよい。
【００５５】
冗長制御装置１〜３、２０〜２３の選択手段９は、評価信号を受信するために、異なる選択プロセスを用いてもよい。
【図面の簡単な説明】
【００５６】
【図１】本発明による制御装置のアレイの第１の実施形態のブロック回路図である。
【図２】本発明による制御装置のアレイの別の実施形態のブロック回路図である。
【図１】
0003965410.tif 000002
【図２】
0003965410.tif 000003