(57)【特許請求の範囲】
【請求項１】
ＣＡＮ−コントローラ内部のデータ伝送におけるエラーの認識方法において，
ＣＡＮ−バス上にあるデータがインタフェースユニットによって受信され，
前記受信されたデータのための少なくとも１つのチェックビットが前記インタフェースユニットによって生成され，
前記受信されたデータは，前記少なくとも１つのチェックビットと共にメモリユニットに格納され，
前記受信されたデータ及び前記少なくとも１つのチェックビットは，マイクロプロセッサによって読み込まれ，
前記受信されたデータは，安全上重要であるか否かが前記マイクロプロセッサによって判断され，
前記少なくとも１つのチェックビットは，前記受信されたデータが安全上重要であると判断された場合にのみ前記マイクロプロセッサによって検査される，
ことを特徴とするデータ伝送におけるエラーの認識方法。
【請求項２】
ＣＡＮ−コントローラ内部のデータ伝送におけるエラーの認識方法において，
ＣＡＮ−バスを介して送信すべきデータがマイクロプロセッサから提供され，
前記送信すべきデータは，安全上重要であるか否かがマイクロプロセッサによって判断され，
前記送信すべきデータが安全上重要であるか否かに応じて，前記送信すべきデータのための少なくとも１つのチェックビットが前記マイクロプロセッサによって生成され，
前記送信すべきデータは，前記少なくとも１つのチェックビットと共にメモリユニットに格納され，
前記送信すべきデータ及び前記少なくとも１つのチェックビットは，インタフェースユニットによって読み出され，
前記送信すべきデータは，安全上重要であるか否かが前記インタフェースユニットによって判断され，
前記少なくとも１つのチェックビットは，前記送信すべきデータが安全上重要であると判断された場合にのみ前記インタフェースユニットによって検査される，
ことを特徴とするデータ伝送におけるエラーの認識方法。
【請求項３】
ＣＡＮ−バスとデータ交換するためのインタフェースユニットと，受信されたデータと送信すべきデータが格納されるメモリユニットと，前記メモリユニットと前記インタフェースユニットとの間のデータ伝送を制御するための電子ユニットと，を有するＣＡＮ−コントローラにおいて，
前記インタフェースユニットは，
前記受信されたデータのための少なくとも１つのチェックビットを生成する手段と，
前記送信すべきデータのための少なくとも１つのチェックビットから前記送信すべきデータが安全上重要であるか否かを判断する手段と，
前記送信すべきデータが安全上重要であると判断された場合にのみ前記送信すべきデータのための少なくとも１つのチェックビットを検査する手段と，を有する，
ことを特徴とするＣＡＮ−コントローラ。
【請求項４】
前記メモリユニットは，前記受信されたデータおよび前記送信すべきデータの各々に対応する所定のメモリ領域が設けられたＲＡＭ−モジュールである，
ことを特徴とする請求項３に記載のＣＡＮ−コントローラ。
【請求項５】
前記電子ユニットは，状態マシンである，
ことを特徴とする請求項３又は４に記載のＣＡＮ−コントローラ。
【請求項６】
前記インタフェースユニット，前記メモリユニット，前記電子ユニット及び前記マイクロプロセッサ間でのデータ伝送に適用された内部ロジックが設けられたバスインタフェースを有する，
ことを特徴とする請求項３〜５のうちいずれか１項に記載のＣＡＮ−コントローラ。
【請求項７】
前記請求項３〜６のいずれか１項に記載のＣＡＮ−コントローラ，マイクロプロセッサ及びメモリ装置を有する制御装置において，
前記マイクロプロセッサは，
前記送信すべきデータが安全上重要であるか否かを判断する手段と，
前記送信すべきデータが安全上重要であるか否かに応じて，前記送信すべきデータのための少なくとも１つのチェックビットを生成する手段と，
前記受信されたデータのための少なくとも１つのチェックビットから前記受信されたデータが安全上重要であるか否かを判断する手段と，
前記受信されたデータが安全上重要であると判断された場合にのみ前記受信されたデータのための少なくとも１つのチェックビットを検査する手段と，を有する，
ことを特徴とする制御装置。
【請求項８】
前記マイクロプロセッサと前記ＣＡＮ−コントローラが１つのモジュールに統合されている，
ことを特徴とする請求項７に記載の制御装置。
【請求項９】
ＣＡＮ−コントローラ内部のデータ伝送におけるエラーの認識方法をコンピュータに実行させるプログラムであって，
前記エラーの認識方法は，
ＣＡＮ−バス上にあるデータをインタフェースユニットによって受信する工程と，
前記受信されたデータのための少なくとも１つのチェックビットを前記インタフェースユニットによって生成する工程と，
前記受信されたデータを，前記少なくとも１つのチェックビットと共にメモリユニットに格納する工程と，
前記受信されたデータ及び前記少なくとも１つのチェックビットを，マイクロプロセッサによって読み込む工程と，
前記受信されたデータが安全上重要であるか否かを前記マイクロプロセッサによって判断する工程と，
前記少なくとも１つのチェックビットを，前記受信されたデータが安全上重要であると判断された場合にのみ前記マイクロプロセッサによって検査する工程と，を含む，
ことを特徴とするプログラム。
【請求項１０】
ＣＡＮ−コントローラ内部のデータ伝送におけるエラーの認識方法をコンピュータに実行させるプログラムであって，
ＣＡＮ−バスを介して送信すべきデータをマイクロプロセッサから提供する工程と，
前記送信すべきデータが安全上重要であるか否かを前記マイクロプロセッサによって判断する工程と，
前記送信すべきデータが安全上重要であるか否かに応じて，前記送信すべきデータのための少なくとも１つのチェックビットを前記マイクロプロセッサによって生成する工程と，
前記送信すべきデータを，前記少なくとも１つのチェックビットと共にメモリユニットに格納する工程と，
前記送信すべきデータ及び前記少なくとも１つのチェックビットを，インタフェースユニットによって読み出す工程と，
前記送信すべきデータが安全上重要であるか否かを前記インタフェースユニットによって判断する工程と，
前記少なくとも１つのチェックビットを，前記送信すべきデータが安全上重要であると判断された場合にのみ前記インタフェースユニットによって検査する工程と，を含む
ことを特徴とするプログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は，ＣＡＮ−コントローラ内部のデータ伝送におけるエラーの認識方法，ＣＡＮ−コントローラ，プログラム，記録媒体，及び制御装置に関し，さらに詳細には，特にマイクロプロセッサとインタフェースユニットとの間のデータ伝送におけるエラーの認識方法等に関する。
【０００２】
【従来の技術】
近年においては，車両内に，開ループ制御及び閉ループ制御技術をますます多く使用するという傾向が明確に見ることができる。例えば，エンジン及びトランスミッション制御，アンチロックブレーキングシステム（ＡＢＳ），アンチスリップ制御（ＡＳＲ）及び多数の機能を含む走行ダイナミクス制御が挙げられる。これらの要素間におけるデータ交換を実時間条件の元で可能にするためには，高性能のバスシステムが必要である。このため，かかる課題のために最適なバスシステム，コントローラエリアネットワーク（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ（ＣＡＮ））が開発されている。かかるＣＡＮは，車両領域を越えて，他の工業的な使用においても広範囲に広まっている。
【０００３】
ＣＡＮ−バスは，シリアルのバスであって，それに個々のステーション（例えば制御装置）が，ＣＡＮ−バスコントロールユニット（ＣＡＮ−コントローラ）を介して接続されている。個々のステーションは，バスを介してメッセージを送信及び受信することによって，他のステーションと通信することができる。
【０００４】
車両においては，伝達されるデータの多くは，安全上重要である。即ち，これらのデータは車両内に設けられている安全上重要なシステム（例えばブレーキシステム）を制御するために使用される。安全上重要なシステムは，エラーの場合においても安全上危険な状態が生じないことを保証しなければならない。したがって，安全上重要なデータは，伝送する際に歪曲されてはならず，あるいは歪曲が認識されることが保証されなければならない。
【０００５】
各メッセージを伝達する場合には，僅かな確率であったとしても，メッセージ内部であるビットがその値を変化させる（例えば１から０になる）ことが生じ得る。さらに，メッセージ内部で一度に多数のビットが「一変」することが，生じ得る。
【０００６】
かかる障害が発生する主な理由は，電磁的なノイズ場であって，それは技術的設備においては回避することができない。
【０００７】
エラーの発生（例えばビットの「一変：umkippen」）は，阻止することができないので，エラーを確実に認識する努力をしなければならない。これは，送信機によってメッセージ内に冗長なチェックビットを挿入することによって行われる。受信機は，チェックビットを使用して伝送が正しいか，あるいはエラーが存在するかを確認することができる。
【０００８】
ＣＡＮ−コントローラは，一般に，極めて信頼できるデータ伝送を支援する。データには，送信する際にＣＲＣ−チェックビットが設けられる。これが，受信の際に調べられる。このようにして，エラーのある伝送を認識して，それに応じて反応することができる。即ち，例えば従前に正しく受信されなかったデータを再度要請することができる。
【０００９】
ＣＡＮ−バスへの，ＣＡＮ−コントローラ内の本来のインタフェースは，ＣＡＮ−プロトコル−サーネル（ＣＡＮ−Ｐｒｏｔｏｃｏｌ−Ｃｅｒｎｅｌ）と称される。これによって，データがバスへ送信され，かつバスから受信される。送信の際に，ＣＡＮ−コントローラ−サーネルはチェックビットを生成し，このチェックビットを従属するデータと共に送信する。メッセージを受信する際には，ＣＡＮ−コントローラ−サーネルは受信したチェックビットを調べて，それによってデータが誤りなく伝達されたかを確認する。
【００１０】
しかし，ＣＡＮ内のＣＲＣ−チェックビットによっては，コントローラ間の特に障害の生じやすい伝送しか監視されない。また，ＣＡＮ−コントローラ内部の伝送の場合，及びＣＡＮ−コントローラとマイクロプロセッサ，中央演算ユニット（ＣＰＵ）との間の伝送の際にも，伝送エラーを排除することはできない。従って，従来のＣＡＮ−コントローラにおいては，伝送されるデータのエラー監視に隙間がある，という問題がある。
【００１１】
また，他の従来のシステムにおいては，内部のデータ伝送の安全を確保するために，例えばいわゆる「ループバックモード（Ｌｏｏｐ  Ｂａｃｋ  Ｍｏｄｅ）」が使用される。その場合に，ＣＡＮ−バス側の出力とＣＡＮ−コントローラサーネルの入力が接続されて，定められたデータがＣＰＵから送信され，かつ直接また受信される。送信したデータと受信したデータを比較することによって，内部の伝送区間全体を検査することができる。
【００１２】
【発明が解決しようとする課題】
しかしながら，上記従来の方法では，検査の間，制御装置はバスから切り離されるので，検査データがバスにおいては見られなくなってしまうという問題がある。また，多くのシステムにおいては，バス加入者が時々切り離されることは受容されないので，「ループバックテスト」は，スイッチオンする際に１回だけしか実施することができないという問題がある。
【００１３】
このように，上記従来の方法では，安全上重要なシステムにおいては必要な伝送路全体の恒久的な監視をすることができない。
【００１４】
したがって，本発明の目的は，伝送路全体の恒久的な監視をすることが可能な新規かつ改良されたＣＡＮ−コントローラ内部のデータ伝送におけるエラーの認識方法等を提供することにある。
【００１５】
【課題を解決するための手段】
上記課題を解決するため，本発明の第１の観点においては，ＣＡＮ−コントローラ（１３，２０）内部のデータ伝送における，特にマイクロプロセッサ（１４，２１）とインタフェースユニット（２３）との間のデータ伝送における，エラーの認識方法において，伝送されたデータの一貫性を保証するための検査することが可能な，少なくとも１つのチェックビットが生成される，ことを特徴とするデータ伝送におけるエラーの認識方法が提供される。
【００１６】
上記記載の発明では，マイクロプロセッサからマイクロプロセッサへのデータ伝送の隙間のない監視を保証することができる。したがって，安全上重要なシステムにおいて必要な伝送路全体の恒久的な監視を行うことができるので，システムの安全性が，著しく向上される。
【００１７】
また，ＣＡＮ−バス（１１，２２）上にあるデータがインタフェースユニット（２３）によって受信され，次に少なくとも１つのチェックビットが生成され，データが少なくとも１つのチェックビットと共にメモリユニット（２４）に格納されて，次にデータが少なくとも１つのチェックビットと共にマイクロプロセッサ（１４，２１）によって読み込まれ，そしてマイクロプロセッサ（１４，２１）によって少なくとも１つのチェックビットが検査できる，如く構成することができる
【００１８】
また，マイクロプロセッサ（１４，２１）は，受信したデータが安全上重要であるか否かを決定する，如く構成することができる。また，マイクロプロセッサ（１４，２１）は，少なくとも１つのチェックビットを検査する，如く構成することができる。また，マイクロプロセッサ（１４，２１）は，少なくとも１つのチェックビットを検査しない，如く構成することができる。
【００１９】
即ち，余り重要ではないデータを効率的に伝送するために，オフにすることができる。ＣＡＮ−コントローラ内のデータ伝送は，好ましくはバスインタフェースを介して行われる。バスインタフェース内の論理は，データの伝送に用いられ，そのデータはその後，バスインタフェース内で個々のコンポーネントの要請に従って変化させられる。エラー認識は，各々検査するための冗長なチェックビットが多く伝達されるほど，それだけ有効になる。原理的には，さらに，多くのチェックビットをテレグラム内に挿入して，それによって受信機がテレグラム内のエラーのあるビットを求め，それによって補正もできるようにすることができる。もちろん，チェックビットの数が増大するにつれて，伝送効率は減少する。導線を介してチェックビットを送信する時間内は，新しいデータビットを伝送することはできない。ここでも，伝送の安全性と効率との間で妥協しなければならない。
【００２０】
データ安全確保の簡単な形式は，パリティビットである。付加的なビット，パリティビットは，ビット内の１の数，従ってデータビットプラスパリティビット，が偶数であるように，データビットに付加される。伝送路上で１つのビットが「反転」した場合には，データビットプラスパリティビットにおける１の数は，もはや偶数ではない。従って，受信機は，エラーが存在することを確認する。しかし同時に２つあるいは他の偶数のビットがその値を変化させた場合には，このエラーはもはやパリティビットによっては検出されない。
【００２１】
データ安全確保の他の可能性は，チェックサムを求めることである。データ安全確保の極めて効率的な方法は，いわゆる周期冗長検査（ＣＲＣ）である。この方法は，ＣＡＮ−バスにおいて，ＣＡＮ−バスに結合されているステーション間のデータ伝送の場合にも使用される。
【００２２】
また，ＣＡＮ−バス（１１，２２）を介して送信すべきデータがマイクロプロセッサ（１４，２１）から提供され，このデータについて少なくとも１つのチェックビットが生成され，データが少なくとも１つのチェックビットと共にメモリユニット（２４）に格納され，次にデータと少なくとも１つのチェックビットがインタフェースユニット（２３）によって読み出されて，次にインタフェースユニット（２３）が少なくとも１つのチェックビットを検査することができる，如く構成することができる。このとき，エラーが存在しない場合には，データはＣＡＮ−バスへ出力される。
【００２３】
また，生成されたチェックビットはインタフェースユニット（２３）に，安全上重要なデータが存在するか否かを示す，如く構成することができる。また，インタフェースユニット（２３）は，少なくとも１つのチェックビットを検査する，如く構成することができる。また，インタフェースユニット（２３）は，少なくとも１つのチェックビットを検査しない，如く構成することができる。
【００２４】
したがって，マイクロプロセッサは，送信する際に，安全上重要な伝送が存在するかを判断してチェックビットを求め，あるいはインタフェースユニットにデータ伝送の検査が必要ないことを信号で知らせるチェックビットを，計算の手間なしで生成することができる。
【００２５】
上記課題を解決するため，本発明の第２の観点においては，ＣＡＮ−バス（１１，２２）とデータ交換するためのインタフェースユニット（２３）と，受信されたデータと送信すべきデータがその中に格納される，メモリユニット（２４）と，メモリユニット（２４）とインタフェースユニット（２３）との間のデータ伝送を制御するための電子ユニット（２６）と，を有するＣＡＮ−コントローラ（１３，２０）において，インタフェースユニット（２３）は，受信されたデータのための少なくとも１つのチェックビットを生成する手段と，送信すべきデータのための少なくとも１つのチェックビットを検査する手段とを有することを特徴とするＣＡＮ−コントローラが提供される。
【００２６】
上記記載の発明では，ＣＡＮ−コントローラ内部のデータ伝送におけるエラーを認識するために，少なくとも１つの他の内部のチェックビットが挿入される。１つあるいは複数のチェックビットは，データと共にメモリユニットに格納される。データを受信する場合に，インタフェースユニット内でチェックビットが生成されて，次に，メモリユニットからデータを読み出すマイクロプロセッサがそれを検査することができる。データを送信する場合には，マイクロプロセッサ内で少なくとも１つのチェックビットが生成されて，その後，インタフェースユニットがデータをＣＡＮ−バスへ出力する前に，インタフェースユニットがそれを検査することができる。
【００２７】
インタフェースユニット内で少なくとも１つのチェックビットを生成して検査する手段は，ハードウェア内で実現することができ，あるいはコンピュータプログラムとして存在することができる。その場合にコンピュータプログラムは，少なくとも１つのチェックビットを生成して検査するためのプログラムコード手段を有している。
【００２８】
また，メモリユニット（２４）は，ＲＡＭ−モジュールであって，前記ラムモジュールにおいては各可能なデータのために所定のメモリ領域が設けられている，如く構成するのが好ましい。このことにより，個々のコンポーネント間の通信を，著しく容易にすることができる。
【００２９】
また，データ伝送の制御に用いられる，ＣＡＮ−コントローラ内の電子ユニット（２６）は，状態マシンである，如く構成するのが好ましい。状態マシンは，頻繁に使用される開発工具によって容易に設計図を作成して実現することができる。
【００３０】
また，バスインタフェース（２５）が設けられており，その内部論理は，インタフェースユニット（２３），メモリユニット（２４），電子ユニット（２６）及びマイクロプロセッサ（２１）間でデータ伝送するために用いられる，如く構成すれば，の内部論理が個々のコンポーネント間のデータ伝送に用いられので，効果的である。
【００３１】
上記課題を解決するため，本発明の第３の観点においては，そのコンピュータプログラムがコンピュータ上又は適当な計算ユニット上，特にインタフェースユニット（２３）又はマイクロプロセッサ（１４，２１）上で実施される場合に，少なくとも１つのチェックビットを生成し，かつ検査するためのプログラムコード手段を有するプログラムが提供される。
【００３２】
上記課題を解決するため，本発明の第４の観点においては，コンピュータ読出し可能なデータ担体上に記憶されているプログラムコード手段を有し，このプログラムコード手段は，コンピュータプログラムがコンピュータ上又は適当な計算ユニット上，特にインタフェース（２３）又はマイクロプロセッサ（１４，２１）上で実施される場合に，少なくとも１つのチェックビットを生成し，かつ検査する，コンピュータが読み取り可能な記録媒体が提供される。記録媒体には，少なくとも１つのチェックビットを生成して検査する手段が記憶されている。なお，好適な記録媒体として，ＥＥＰＲＯＭ，フラッシュメモリ，そしてまたＣＤ−ＲＯＭ，ディスケットあるいはハードディスクドライブを使用することができる。
【００３３】
また，上記課題を解決するため，本発明の第５の観点においては，請求項１０から１３のいずれか１項に記載のＣＡＮ−コントローラ（１３，２０），マイクロプロセッサ（１４）及びメモリ装置（１５）を有する制御装置において，マイクロプロセッサ（１４，２１）は，チェックビットを生成し，かつ検査する手段を有する，ことを特徴とする制御装置が提供される。
【００３４】
上記記載の発明では，データの受信後に，ＣＡＮ−コントローラ内のインタフェースユニット内で少なくとも１つのチェックビットが生成される。データは，１つ又は複数のチェックビットと共にメモリユニットに格納される。マイクロプロセッサは，データを少なくとも１つのチェックビットと共に読み出し，かつ少なくとも１つのチェックビットを検査することができる。１つ又は複数のチェックビットに基づいて，マイクロプロセッサは，ＣＡＮ−コントローラ内部のデータ伝送にエラーが存在するか，を決定することができる。
【００３５】
データを送信する場合には，少なくとも１つのチェックビットがマイクロプロセッサ内で求められて生成され，次にデータと共にメモリユニットに格納される。送信すべきデータをメモリユニットから読み出すインタフェースユニットは，少なくとも１つのチェックビットを検査して，それによって，データ伝送内にエラーが存在するか，を決定することができる。このようにして，マイクロプロセッサとメモリユニット間あるいはメモリユニットとインタフェースユニット間のデータ伝送におけるエラーが認識される。
【００３６】
制御装置内のＣＡＮ−コントローラは，単独のモジュールとしてマイクロプロセッサに接続することができる。しかしまた，マイクロプロセッサとＣＡＮ−コントローラを１つのモジュール内に統合することも可能である。現在では，ＣＡＮ−インタフェースあるいはＣＡＮ−コントローラを内蔵する，多数のマイクロプロセッサあるいはマイクロコントローラを入手することができる。この場合には，ＣＡＮ−コントローラは，「オンボード（ｏｎ  ｂｏａｒｄ）」で存在する。
【００３７】
また，マイクロプロセッサ（１４，２１）とＣＡＮ−コントローラ（１３，２０）が１つのモジュールに統合されている，如く構成することができる。
【００３８】
【発明の実施の形態】
以下に添付図面を参照しながら，本発明の好適な実施の形態について詳細に説明する。なお，本明細書及び図面において，実質的に同一の機能構成を有する構成要素については，同一の符号を付することにより重複説明を省略する。
【００３９】
（第１の実施の形態）
まず，図１に基づいて，本実施形態にかかる制御装置の構成を説明する。なお，図１は，本実施形態にかかる制御装置の構成を示すブロック図である。
【００４０】
まず，図１に示すように，本実施形態にかかる制御装置１０は，ＣＡＮ−バス１１に結合されており，矢印１２により，制御装置１０とＣＡＮ−バス１１との間で双方向の通信が可能であることが示されている。
【００４１】
制御装置１０は，ＣＡＮ−コントローラ１３，マイクロプロセッサ１４及びメモリ素子１５（本実施形態においては，ＲＡＭ−モジュール）を有する。制御装置１０内のコンポーネントは，データ線１６を介して互いに接続されている。ＣＡＮ−コントローラ１３は，ＣＡＮ−バス１１へのインタフェースとして使用される。データは，このＣＡＮ−コントローラ１３を介して，ＣＡＮ−バス１１に送信され，あるいはＣＡＮ−バス１１から受信される。
【００４２】
ＣＡＮ−コントローラ１３は，まず，ＣＡＮ−バス１１を介して伝達されたデータを読み込む。次にＣＡＮ−コントローラ１３内で，受信されたデータについてチェックビットが生成される。データは，チェックビットと共にマイクロプロセッサ１４によって読み込まれる。それによって，ＣＡＮ−コントローラ１３からマイクロプロセッサ１４へのデータ伝送においてエラーが存在するか，を確認することができる。
【００４３】
次に，本実施形態にかかるＣＡＮ−コントローラの構成を説明する。なお，図２は，本実施形態にかかるＣＡＮ−コントローラの構成を示すブロック図である。
【００４４】
図２に示すように，ＣＡＮ−コントローラ２０は，インタフェースユニット２３，メモリユニット２４，バスインタフェース２５及び電子ユニット２６を有する。
【００４５】
インタフェースユニット２３（本実施形態においては，いわゆるＣＡＮ−プロトコル−サーネル）は，バスシステム（ＣＡＮ−バス）２２への本来のインタフェースを表している。ここでデータがＣＡＮ−バス２２へ送信され，あるいはＣＡＮ−バス２２から受信される。ＣＡＮ−コントローラ内部及びＣＡＮ−コントローラ２０とマイクロプロセッサ２１との間の通信は，データ線２７を介して実行される。なお，インタフェースユニット２３との間の双方向の接続は，矢印２８によって示されている。
【００４６】
メモリユニット２４（例えば，いわゆるメールボックスＲＡＭ）内に，受信されたデータと送信すべきデータが格納される。ＣＡＮ−コントローラ２０内の個々のコンポーネントは，バスインタフェース２５内の論理によって結合されている。
【００４７】
インタフェースユニット２３とメモリユニット２４との間のデータ伝送は，電子ユニット２６，好ましくは状態マシン（ステートマシン）によって制御される。マイクロプロセッサ２１は，受信されたデータをメモリユニット２４から呼び出し，あるいは送信すべきデータをそこに格納する。
【００４８】
どのデータあるいはメッセージが受信されて，送信されるか，は明確であるので，各メッセージのためにメモリユニット２４内に領域が設けられている。
【００４９】
次に，本実施形態にかかるＣＡＮ−バスを介して受信されたデータの処理方法を説明する。なお，図３は，本実施形態にかかるＣＡＮ−バスを介して受信されたデータの処理方法を示すフローチャートである。
【００５０】
まず，ステップＳ３０において，インタフェースユニット２３によってデータが受信される（ステップＳ３０）。なお，受信されたデータは，例えば制御指令を表している。
【００５１】
次に，ステップＳ３１で，インタフェースユニット２３によって好適なチェックビットが生成される（ステップＳ３１）。その後，ステップＳ３２で，データは，該当するチェックビットと共にメモリユニット２４に格納される（ステップＳ３２）。さらに，ステップＳ３３で，付属のチェックビットを備えたデータは，マイクロプロセッサ２１によって読み出される（ステップＳ３３）。
【００５２】
その後，ステップＳ３４で，マイクロプロセッサ２１は，それが安全上重要なデータであるか否かを判断する（ステップＳ３４）。安全上重要なデータが存在しないと判断される場合には，ステップＳ３６に移行し，検査することなく使用することができる（ステップＳ３６）。その場合に，例えば制御指令が実施される。
【００５３】
一方，データが安全上重要なデータであると判断される場合には，ステップＳ３５で，チェックビットの検査が行われる（ステップＳ３５）。かかる検査によって，伝送の際にエラーが存在しないことが明らかにされた場合には，ステップＳ３６に移行し，データが使用される。
【００５４】
一方，ステップＳ３５で，エラーが検出された場合には，ステップＳ３７に移行し，それに応じた手段が導入されて処理される（ステップＳ３７）。必要に応じて，新たにデータが要請される。
【００５５】
次に，図４に基づいて，本実施形態にかかるＣＡＮ−バスを介して送信すべきデータの処理方法を説明する。なお，図４は，本実施形態にかかるＣＡＮ−バスを介して送信すべきデータの処理方法を示すフローチャートである。
【００５６】
まず，ステップＳ４０で，送信すべきデータがマイクロプロセッサ２１から提供される（ステップＳ４０）。なお，このデータは，例えば実施されたアクションの後のフィードバック又は制御装置のステータスを表している。
【００５７】
次いで，ステップＳ４１で，マイクロプロセッサ２１は，それが安全上重要なデータであるか否かを判断する（ステップＳ４１）。このとき，判断結果に応じてチェックビットが，生成される。
【００５８】
その後，ステップＳ４２で，データは，チェックビットと共にメモリユニット２４へ格納される（ステップＳ４２）。さらに，ステップＳ４３で，インタフェースユニット２３によるメモリ内容の読出しが行われる（ステップＳ４３）。
【００５９】
次いで，ステップＳ４４では，インタフェースユニット２３は，チェックビットを使用して，それが安全上重要なデータであるか否かを判断する（ステップＳ４４）。データが安全上重要でないと判断される場合には，ステップＳ４６に移行し，これはそれ以上検査されずにＣＡＮバス２４に与えられる（ステップＳ４６）。
【００６０】
一方，データが安全上重要であると判断される場合には，ステップＳ４５に移行し，チェックビットの検査（エラー検出）が行われる（ステップＳ４５）。エラーが検出されない場合には，ステップＳ４６に移行し，データは，ＣＡＮ−バス２２に与えられる。
【００６１】
一方，エラーが検出された場合には，ステップＳ４７に移行し，それに応じた手段が導入されて処理される（ステップＳ４７）。
【００６２】
本実施形態においては，既知の方法において存在した，エラー監視における隙間を塞ぐことができる。ＣＡＮ−バスコントローラ２２の内部のデータ伝送におけるエラーを認識するために，少なくとも１つの他のチェックビットが導入される。チェックビットは，それぞれデータと共にメモリユニット２６に格納される。ＣＡＮバス２２を介してデータを受信する場合には，インタフェースユニット２３によってチェックビットが生成されて，マイクロプロセッサ２１によって検査される。送信する場合には，チェックビットはマイクロプロセッサ２１によって生成されて，インタフェースユニット２３によって検査される。
【００６３】
ＣＡＮ−バス２２に接続されているＣＡＮ−コントローラ２２間の特に障害の生じやすい伝送を監視するためには，当然ながら，さらに既知の方法を使用することができる。即ち，代表的には，インタフェースユニット２３が詳細なデータのチェックビットを検査し，かつデータを送信する際に検査ビットを生成する。このようにして，ＣＡＮ−バスを介してのデータ伝送におけるエラーが検出される。
【００６４】
従って，本実施形態においては，マイクロプロセッサからマイクロプロセッサへのデータ伝送の隙間のない監視を保証することができる。このことにより，システムの安全性は，著しく向上する。改良は，ＦＭＥＡ−分析によっても明確に示される。
【００６５】
ＦＭＥＡ−分析は，システムの開発における行動モデルを表している。この分析においては，システム開発の際にすでに可能なエラーが一緒に考慮される。従って分析は，エラーの発生の少ないシステムの開発を支援する。さらに，システムをそのエラーの生じ易さに関して評価することが可能である。
【００６６】
なお，ＣＡＮ−バス２２上で使用されるチェックビットは，内部のデータ伝送には利用されないことに言及しなければならない。というのは，そこでは本来のデータの他に伝送フレームの値も入ってくるからである。しかし，データフレームをマイクロプロセッサ２１へさらに伝えることは，チェックビットの新たな計算よりも高い費用となってしまう。
【００６７】
また，重要でないデータを効果的に伝送するために，この方法をオフにできることも，特別な利点である。例えば，チェックビットとしてチェックサムが計算される場合には，簡単な実現は，インタフェースユニット２３内でのチェックサム計算と検査は，ハードウェア内で行われる。ゼロに等しいチェックサムは，ハードウェアによって無視される。
【００６８】
データを送信する場合に，マイクロプロセッサ２１は，安全上重要な伝送が存在するかを決定して，それに応じてチェックビットを生成する。安全上重要なデータが存在しない場合には，マイクロプロセッサによって計算の手間なしでチェックサムゼロが生成される。その後，ゼロに等しいチェックサムは，インタフェースユニット２３内で無視される。
【００６９】
受信の際には，インタフェースユニット２３内でハードウェアによって求められたチェックサムが評価されるか，はマイクロプロセッサに委ねられる。
【００７０】
このように，全監視路の恒久的な監視が可能になる。
【００７１】
以上，本発明に係る好適な実施の形態について説明したが，本発明はかかる構成に限定されない。当業者であれば，特許請求の範囲に記載された技術思想の範囲内において，各種の修正例および変更例を想定し得るものであり，それらの修正例および変更例についても本発明の技術範囲に包含されるものと了解される。
【００７２】
【発明の効果】
全監視路の恒久的な監視が可能なので，システムの安全性が著しく向上する。
【図面の簡単な説明】
【図１】第１の実施の形態にかかる制御装置の構成を示すブロック図である。
【図２】第１の実施の形態にかかるＣＡＮ−コントローラの構成を示すブロック図である。
【図３】第１の実施の形態にかかるＣＡＮ−バスを介して受信されたデータの処理方法を示すフローチャートである。
【図４】第１の実施の形態にかかるＣＡＮ−バスを介して送信すべきデータの処理方法を示すフローチャートである。
【符号の説明】
１０  制御装置
１１  ＣＡＮ−バス
１３  ＣＡＮ−コントローラ
１４  マイクロプロセッサ
１５  メモリ素子
１６  データ線
２３  インタフェースユニット
２４  メモリユニット
２５  バスインタフェース
２６  電子ユニット
【図１】
0004195272.tif 000002
【図２】
0004195272.tif 000003
【図３】
0004195272.tif 000004
【図４】
0004195272.tif 000005