(57)【特許請求の範囲】
【請求項１】
演算ユニット（１ａ，１ｂ）、随時書込み読出しメモリ（２）、バス（３）、読出し専用メモリ（４）、フラッシュメモリ（５）、インターフェースモジュール（６）の複数の構成要素（１〜６）が配備されており、これらの構成要素のうちの少なくとも演算ユニット（１ａ，１ｂ）と、これらの構成要素を接続するバス（３ａ，３ｂ）とがそれぞれ冗長的に設けられている、車両のためのプロセスを制御または調整するための電子デジタル装置において、
随時書込み読出しメモリ（２）、読出し専用メモリ（４）およびフラッシュメモリ（５）の中の少なくとも一つの構成要素が冗長的に配備されていることと、
読出し専用メモリ（４）、フラッシュメモリ（５）およびインターフェースモジュール（６）の中の冗長的に配備されていない構成要素が冗長的なバス（３ａ，３ｂ）のうちの一方に接続されていることと、
２つの構成要素を備え、これらの構成要素がそれぞれ両バスの間に接続されており、一方の構成要素が一方のバスから他方のバスにデータライン（２８）上のデータ信号と制御ライン（２９）上の制御信号から成るデータを伝送し、他方の構成要素がそれと逆の方向にそのようなデータを伝送するとともに、冗長的なバスの一方と接続された読出し専用メモリ（４）、フラッシュメモリ（５）およびインターフェースモジュール（６）の中の冗長的に配備されていない構成要素の冗長的なバスの他方への前記のデータ信号と制御信号から成る交換データを伝送する伝送装置（７，８）が追加して配備されていることと、
冗長的に形成されたチェック装置（１１ａ，１１ｂ）を備え、このチェック装置が冗長的なシステムで発生するデータを互いに比較し、データが偏差を有するときにエラー信号（Ｆａ，Ｆｂ）を出力することと、
チェック装置（１１ａ，１１ｂ）の機能を試験するための試験装置（１２ａ，１２ｂ）が配備されていることと、
この試験装置が２個のレジスタ（１２ａ，１２ｂ）を備え、この各々のレジスタが互いに冗長的なバス（３ａ，３ｂ）の１つに接続されていることと、
２個のレジスタ（１２ａ，１２ｂ）が互いに異なる書込みアドレスと互いに同じ読出しアドレスを有することと、
冗長的な演算ユニット（１ａ，１ｂ）が同一に構成され、互いに共通のクロック信号に同期して作動するとともに、読出し専用メモリ（４）に記憶された同一のプログラムを実施することと、
を特徴とする電子デジタル装置。
【請求項２】
請求項１に記載の電子デジタル装置において、随時書込み読出しメモリ（２ａ，２ｂ）が冗長的に設けられていることを特徴とする電子デジタル装置。
【請求項３】
請求項１または２に記載の電子デジタル装置において、読出し専用メモリ（４）、フラッシュメモリ（５）およびインターフェースモジュール（６）のうちの少なくとも一つの構成要素が冗長的に設けられていないことを特徴とする電子デジタル装置。
【請求項４】
伝送装置（７，８）がそれぞれデータ信号だけを一方のバスから他方のバスに伝送し、制御信号を伝送しないことを特徴とする請求項１に記載の電子デジタル装置。
【請求項５】
チェック装置（１１ａ，１１ｂ）がハードウェアによって形成されたコンパレータ（２２）を備え、このコンパレータが互いに冗長的な両バス（３ａ，３ｂ）のデータライン（２８）に接続され、バス（３ａ，３ｂ）のデータを互いに比較することを特徴とする請求項１〜４のいずれか一つに記載の電子デジタル装置。
【請求項６】
バスのデータが妥当であるときに、コンパレータ（２２）が互いに冗長的なバス（３ａ，３ｂ）のデータを互いに比較することを特徴とする請求項５に記載の電子デジタル装置。
【請求項７】
チェック装置（１１ａ，１１ｂ）が評価装置（２１）を備え、バス（３ａ，３ｂ）のデータの妥当性を決定するために、この評価装置がバス（３ａ，３ｂ）の制御ライン（２９）に接続されていることを特徴とする請求項６に記載の電子デジタル装置。
【請求項８】
電子デジタル装置が１個のチップに実装されていることを特徴とする請求項１〜７のいずれか一つに記載の電子デジタル装置。
【請求項９】
電子デジタル装置が車両のブレーキ装置と走行装置の一方又は両方の制御または調整を行うことを特徴とする請求項１〜８のいずれか一つに記載の電子デジタル装置。
【発明の詳細な説明】
【０００１】
本発明は、独立請求項の上位概念に記載した電子デジタル装置に関する。このような装置はドイツ連邦共和国特許第１９５２９４３４号公報に記載されている。
【０００２】
複雑で、特に安全上重要な車両の機能は、電子デジタル装置によって益々制御または調整されつつある。このような制御または調整は例えば車両のエンジン、ブレーキ装置、変速機、走行装置等に関する。このような制御または調整装置のエラーのない機能は一方では、環境に対するやさしさ、騒音低減のような最新の要求を満足するために重要であり、他方では維持すべき安全性要求を満足するために重要である。
【０００３】
上記の電子デジタル装置は一般的に、演算ユニット（ＣＰＵ）、随時書込み読出し目盛り（ＲＡＭ）、読出し専用メモリ（ＲＯＭ）、最近のフラッシュメモリ（ＦＬＳ）およびインターフェースモジュール（ＩＴＦ）を備えている。これらの構成要素は電子デジタル装置の内部の動作およびセンサ装置やアクチュエータとの連絡のために役立つ。
【０００４】
電子デジタル装置が安全上重要な分野、例えばブレーキ装置、エンジンまたはシャーシに関するものであるときには、エラー機能を回避または認識し、フェールセーフにつなげなればならない。
【０００５】
電子装置を保護するための対策は今までは、電子装置を冗長的に設けることであった。これは、制御装置または調整装置全体を二重に設けることを意味する。二重に設けられた装置は、同じプログラムおよび同じアルゴリズムでそして同じ入力量に応じて作動するがしかし、原理的には互いに独立して作動する。付加的なチャンネルを介してあるいは特別に設けられたプログラムステップを介して、データ、特に結果データまたは中間結果データが時々交換され、冗長制御装置または調整装置が同じ結果となっているかどうかがチェックされる。結果が同じであるときには、この結果が正しいということから出発する。そうでないと、エラー信号が出力される。この完全な冗長性は、エラー防止の問題を或る程度解決するがしかし、きわめて高価であるという欠点を有する。なぜなら、同じ制御装置または調整装置を２倍設けなければならないからである。データの比較プロセスは複雑である。なぜなら、そのために、互いに別々に作動するシステムの場合、互いに実際に対応するデータだけが互いに比較されるようにしなければならないからである。
【０００６】
ドイツ連邦共和国特許出願公開第１９５２９４３４号公報から、安全上重要な制御のためのマイクロプロセッサ装置が知られている。この装置では、バスとプロセッサがそれぞれ冗長的に設けられている。データ記憶は冗長的に行われない。両サブシステムはそれぞれ随時書込み読出しメモリと読出し専用メモリを備えている。しかし、一方のサブシステムでは実際のデータだけが記憶され、他方のサブシステムでは所属の制御データ、例えばパリティビットが記憶される。例えば両サブシステムに分配された読出し専用メモリにアクセスする際に、特化された伝送装置によって、その都度エラーを含む部分が他方のサブシステムに伝送される。例えば、パリティビットがパリティ読出し専用メモリから特化された伝送装置を経てサブシステムに伝送される。このサブシステムには、固有のデータ読出し専用メモリが接続されている。それと反対に、データはデータ読出し専用メモリから特化された伝送装置を経てサブシステムに伝送され、このサブシステムにはパリティ読出専用メモリが接続されている。従って、各々１個の特化された伝送装置によって、データが両冗長バスで補充され、そして同じ方法で使用可能である。冗長でない他の構成要素のデータを一方のサブシステムから他方のサブシステムに伝送すべきときには、他の伝送装置を設けなければならない。この伝送装置はデータまたは検査信号を伝送するだけでなく、バスに達するすべてのデータを伝送しなければならない。それによって、一部が冗長的な両システムの間でデータを比較する装置が複雑な構造となる。更に、記憶されたデータ自体が冗長的でないという欠点がある。
【０００７】
本発明の課題は、エラーを確実に認識することができ、低コストで簡単に製作可能である、車両のプロセスを制御または調整するための電子デジタル装置を提供することである。
【０００８】
この課題は、独立請求項記載の特徴によって解決される。従属請求項は本発明の好ましい実施形を示している。
【０００９】
本発明による電子デジタル装置（以下“制御装置”または“調整装置”と呼ぶ）の場合には、すべての構成要素を冗長的に設ける必要はない。全体装置は一部が冗長的に形成されている、すなわち所定の構成要素、特に演算ユニットとメモリが冗長的に形成され、他の構成要素は冗長的に形成されていない。
【００１０】
冗長的な構成要素を備えたシステムの場合には、ハードウェアとして形成されたチェック装置が設けられている。このチェック装置は冗長的な構成要素のデータを比較し、偏差がある場合にエラー信号を出力する。このようなチェック装置は、前述の一部だけが冗長的な制御装置または調整装置にも使用可能である。
【００１１】
次に、図１，２を参照して、本発明の個々の実施の形態を説明する。
【００１２】
図１において、参照番号１ａ，１ｂはＣＰＵとも呼ばれる演算装置を示し、番号２ａ，２ｂはＲＡＭとも呼ばれる随時書込み読出しメモリを示し、参照番号３ａ，３ｂはバスを示し、参照番号４はＲＯＭとも呼ばれる読出し専用メモリを示し、参照番号５はＦＬＳとも呼ばれるフラッシュメモリを示し、参照番号７，８は冗長バス３ａ，３ｂの間に接続配置された伝送装置を示し、参照番号１１ａ，１１ｂは監視装置（チェック装置）を示し、参照番号１２ａ，１２ｂは試験装置を示している。バス３ａ，３ｂには好ましくは、ローカル周辺バス１７ａ，１７ｂが冗長的に接続可能である。適当なインターフェース１３ａ，１３ｂを介して、ローカルバス１６ａ，１６ｂがバス３ａ，３ｂに同様に冗長的に接続可能である。この場合、インターフェース１３ａ，１３ｂは場合によっては両バスの間の速度調節のために使用される。
【００１３】
少なくともＣＰＵ１とバス３は冗長的に設けられている。ＣＰＵ１ａはバス３ａに接続され、サブシステムＡを形成し、ＣＰＵ１ｂはバス３ｂと共にサブシステムＢを形成している。そのほかに、ＲＡＭ２ａをバス３ａに接続し、ＲＡＭ２ｂをバス３ｂに接続することにより、ＲＡＭ２も冗長的に設けられている。他の構成要素は冗長的に設けなくてもよい。少なくとも１個のメモリ、例えばＲＯＭ４は一つ設けるだけでよく、図１ではバス３ａに接続されたＲＯＭとして示してある。フラッシュメモリ５は同様に冗長的に設けなくてもよい。このフラッシュメモリもバス３ａに接続されたフラッシュメモリとして示してある。フラッシュメモリは揮発性随時書込み読出しメモリである。そのほかに、インターフェースモジュール６が設けられている。このインターフェースモジュールも冗長的に設けなくてもよい。図１において、インターフェースモジュールはバス３ｂに接続されたインターフェースモジュールとして示してある。センサ９からインターフェースモジュール６を経て信号を受取り、アクチュエータ１０に信号が出力される。
【００１４】
従って、コストを低減するために、個々の構成要素、例えばＲＯＭ４は冗長的に設けられていない。特に、冗長でない構成要素は一方のバスに接続されている。
【００１５】
冗長的に設けられたＣＰＵ１ａ，１ｂが、構成要素（この構成要素は“その”バスまたはそのサブシステムのバスに接続されていない）に関するデータを受け取るかまたは転送できるようにするために、サブシステムＡ，Ｂの間、特にバスの間に、伝送装置７，８が設けられている。この伝送装置は一方のバスの冗長的でない構成要素のデータを他方のバスに伝送する。それによって、冗長構成要素は同じデータを読み、加工し、そして出力することができる。伝送装置７，８は双方向性に形成可能である。図１は、２個の単一方向性伝送装置が設けられている場合を概略的に示している。
【００１６】
随時書込み読出しメモリＲＡＭ２ａ，２ｂの冗長性に基づいて、伝送装置７，８の構造と動作が非常に簡単になる。（技術水準に従ってＲＡＭまたはＲＯＭにアクセスする度に）バス信号の一部だけが伝送されるかどうかを区別する必要がない。それどころか、一部が冗長性のシステム内のアクセスアドレス等にかまわずに、一部が冗長性の一方のシステムから一部が冗長性の他のシステムにデータを連続的に伝送可能である。従って、一部が冗長性のシステムの間でのデータ伝送が簡単になるので、一部が冗長性の両システムの結果の比較を連続的に行うことが容易になる。（散発的な比較の代わりに）連続的に比較する際、機能エラーは早く認識され、それによってシステムの安全性が高まる。
【００１７】
伝送装置７，８はそれぞれ、ターゲットＣＰＵによって制御可能である。データだけでなく、その都度アドレスされたユニットによって出力されたすべての信号が伝送される。
【００１８】
伝送装置７，８は好ましくは、一方のバスの構成要素が場合によっては他方のバスの構成要素にアクセスしていることを全く気づかないように形成されている。それによって特に、両システムの同期運転が保証される。例えばＣＰＵ１ａがＲＯＭ４からデータを照会するときに、ＣＰＵ１ｂが同じプログラムによって作動するという事実に基づいて、このＣＰＵもＲＯＭ４からデータを照会する。その際、ＣＰＵは伝送装置８を経てデータを得る。類似の方法では、例えばＣＰＵ１ａはインターフェースモジュール６から伝送装置７を経てデータを受け取ることができる。
【００１９】
一部が冗長性のシステムを、サブシステム特にそのバスの間に配置された伝送装置７，８と組み合わせることにより、システムを保護するためのコストおよびまたは作業を低減することができる。必要スペースも狭くなる。それによって、全体の装置を１個のチップに集積することができる。これは両システムの同期動作を容易にする。なぜなら、共通のクロック信号を簡単に使用することができるからである。
【００２０】
その際、平行に作動するサブシステムは特に、同じプログラムに従って作動する。同じクロック信号に従って作動させてもよい。更に、サブシステムは同じ入力信号を受け取り、サブシステムが障害なく作動する場合には、同じ出力信号を引き渡す。
【００２１】
電子デジタル装置はチェック装置１１を備えていてもよい。このチェック装置により、平行に作動する両システムが同じ結果を引き渡すかどうかがチェックされる。チェック装置１１は好ましくはハードウェア装置として形成されている。これは、冗長サブシステムの間でデータをマッチングするためにソフトウェア側の対策が少ないかまたは設けられていないことを意味する。チェック装置１１は好ましくは冗長バス３ａ，３ｂの間に接続配置され、このバスのデータトラヒックが同一であるかどうかをチェックする。チェックは好ましくは、バスのデータが妥当であるときにのみ行われるかまたは妥当であると見なされる。それによって、バスの妥当でないデータまたは伝送状態が互いに比較されず、誤ったエラー報告とならない。
【００２２】
チェック装置１１がバスの間にあるハードウェア装置として設けられていることにより、バスのデータの連続的なチェックが可能である。それによって、チェック品質が高められる。なぜなら、エラーが最初に発生するときにエラーを検出することができるからである。ＣＰＵ１ａ，１ｂのためのソフトウェアの構成が簡単化される。なぜなら、データのマッチングのための手段を講じる必要がないからである。
【００２３】
上述のチェック装置１１は特に、一部が冗長的な上述の制御装置または調整装置あるいは１個のチップに設けられた制御装置または調整装置に適している。なぜなら、その場合サブシステムの同期動作が簡単に保証可能であるからである。冗長バス３ａ，３ｂの同期信号を“ウォッチする”チェック装置１１は、例えばデータをビット毎に比較することによって、データの正当性を簡単に保証することできる。
【００２４】
チェック装置１１はそれ自体冗長的に設計可能である。好ましくは内部構造が同一の２個のチェック装置１１ａ，１１ｂを設けることができる。このチェック装置はその都度のチェックを平行に行うことでき、場合によってはエラー信号Ｆａ，Ｆｂを別々に引き渡す。このエラー信号は比較可能であり、同一でないときに処理して他のエラー信号を生じることができる。
【００２５】
図２はチェック装置１１ａを正確に示している。チェック装置はバス３ａと３ｂの間に配置されている。このバスはそれぞれデータライン２８と制御ライン２９を備えている。これはバス３ｂについて図示してあるが、バス３ａにも全く同じことが当てはまる。その際、チェック装置１１ａはコンパレータ２２を備えている。このコンパレータはそれぞれ、バス３ａ，３ｂの個々のデータラインと場合によっては制御ラインを受入れ、これらのラインを例えばビット毎に比較する。その際、互いに一致するビットは、例えばＥＸＯＲゲート内で互いに比較され、バス３ａ，３ｂの互いに一致するすべての信号が同一であるときにのみ、エラー信号Ｆａが出力されない。一方のバスの信号ラインの値が他方のバスの対応する信号ラインの値と異なると、エラー信号Ｆａが出力される。
【００２６】
“妥当”でありかつバス上に非偶然的に存在するデータだけを互いに比較するために、評価装置２１が設けられている。評価装置２１は一般的に言えば、バスの伝送プロトコルがデコードし、このデコーディングに応じてバス３ａ，３ｂの信号を比較することができるように設計されている。特に、評価装置は一方のバスまたは両方のバスの制御ライン２９に接続可能である。制御ライン２９の信号に基づいて、評価装置２１は、バスのデータが妥当である時点を決定する。そのとき初めて、比較が行われるかまたは比較結果が妥当であると見なされる。エラー報告の出力は前もって阻止される。
【００２７】
好ましい実施の形態に従って２個のチェック装置１１ａ，１１ｂが設けられているときには、このチェック装置はその内部構造を同一に形成可能である。チェック装置が図２に従って形成されていると、それぞれの評価装置２１は次のように接続可能である。すなわち、一方のチェック装置１１ａの評価装置２１が一方のバス３ａの制御ライン２９を“ウォッチ”するかまたはこのバスに接続され、このバス３ａのデータの妥当性を確かめ、他方のチェック装置１１ｂの評価装置２１が他方のバス３ｂの制御ライン２９に接続されるように接続可能である。これにより、バス３ａ，３ｂの制御ライン２９の信号を間接的に比較することができる。この信号は必ずしもコンパレータ２２に供給する必要がないので、コンパレータはあまり複雑に形成する必要がない。
【００２８】
好ましくは、バス３ａ，３ｂのすべてのデータライン２８が互いに比較される。しかし、ラインおよび特にバス３ａ，３ｂのデータラインの一部だけをコンパレータ２２に供給することができる。チェック装置１１ａ，１１ｂが（図１に示すように）二重に設けられていると、一方のチェック装置１１ａがデータラインの第１の部分を互いに比較し、他方のチェック装置１１ｂが他方の部分を比較することができる。それによってもコストが低減される。なぜなら、コンパレータ２２を小さく設計することができるからである。
【００２９】
図２は既に簡単に説明した試験装置１２ａ，１２ｂを概略的に示している。この試験装置は両バス３ａ，３ｂが異なる信号を示す状況を生じさせるための装置である。これはエラー信号に一致する。すなわち、試験装置１２ａ，１２ｂはエラーをシミュレーションする。試験装置１２ａ，１２ｂによって、チェック装置１１ａ，１１ｂの機能が試験される。試験装置１２ａ，１２ｂがエラーをシミュレーションするときに、チェック装置１１ａ，１１ｂはエラーを示さなければならない。そうでないと、チェック装置は故障し、同様にエラーを出力する。
【００３０】
試験装置１２ａ１２ｂは２つのレジスタである。このレジスタはそれぞれ１つのバスに接続されている。レジスタは異なる書込みアドレスおよび同一の読み取りアドレスに応答する。それによって、アドレスが“非対称”であるレジスタは、“対称の”（＝同一）のプログラムによって、両サブシステムＡ，Ｂに“非対称に”、すなわち異なるデータを書き込み可能である。試験の仕事は第１の書込みステップを有する。この書込みステップによって、サブシステムＡのレジスタ１２ａが書き込まれる（書込みステップはサブシステムＢに対称に形成されているがしかし、ここでは空白である。なぜなら、対応する書込みアドレスが存在しないからである）。第２の書込みステップでは、サブシステムＢのレジスタ１２ｂの（他の）書込みアドレスがアドレスされる。そして、前の書込みステップと異なるデータがレジスタ１２ｂに書き込まれる（サブシステムＡの対称の書込みステップは空白になる。なぜなら、変更された書込みアドレスがサブシステムＡに存在しないからである）。それによって、レジスタは両書込みステップの経過後異なるデータを含む。それに続く、両レジスタにとって同じ読取りアドレスで行われる読取りステップでは、データがレジスタで読みとられる。このレジスタが異なる内容を含んでいるので、バス３ａ，３ｂには異なるデータが発生する。従って、チェック装置１１ａ，１１ｂはエラーを表示しなければならない。そうでないときには、チェック装置１１ａ，１１ｂ自体が故障し、エラー信号を出力する。この出力はＣＰＵ１ａ，１ｂによって行うことができる。
【００３１】
レジスタ１２ａ，１２ｂの互いに異なる書込みアドレスと互いに同じ読取りアドレスは好ましくはハードウェアによって実現される。
【００３２】
上述のように構成された電子装置によって、構造が簡単な制御装置または調整装置が得られる。バスの信号を連続的に監視することにより、エラー機能が瞬時に検出される。
【図面の簡単な説明】
【図１】  一部が冗長的な電子装置を示す図である。
【図２】  チェック装置の正確な図である。
【図１】
0004255620.tif 000002
【図２】
0004255620.tif 000003