(57)【特許請求の範囲】
【請求項１】
少なくとも一つの第一の制御ユニット（１０）と第二の制御ユニット（１２）を有する制御ユニットの相互監視のための方法であって、それぞれの制御ユニットが少なくとも１つの、制御機能を計算するプログラムが割り当てられている第一の段階（Ａ）のプログラムと、前記第一の段階のプログラムの機能の能力を監視するプログラムを含んでいる第二の段階（Ｂ）のプログラムと、前記第二の段階のプログラムの機能の能力を監視する第三の段階（Ｃ）のプログラムとを備え、前記第三の段階（Ｃ）のプログラム（４４、４６ａ）が、シーケンス制御により、前もって与えられている質問に基づいて前記第二の段階のプログラムによって答えを形成する、制御ユニットの相互監視のための方法において、
一方の制御ユニット（１０、１２）が他方の制御ユニット（１０、１２）からの質問を受け取り且つその答えを該制御ユニットに対して与えること、
を特徴とする制御ユニットの相互監視のための方法。
【請求項２】
前記第三の段階（Ｃ）のプログラムが、前記制御ユニットの構成要素の機能を監視するプログラムを更に含むことを特徴とする請求項１の方法。
【請求項３】
両方の前記制御ユニットが他方の前記ユニットに対する質問を形成し且つその答えを該制御ユニットに対して伝達することを特徴とする請求項１の方法。
【請求項４】
前記質問が第二の制御ユニット（１０、１２）の第三の段階のプログラム（４４、４６ａ）によって形成されて第一の制御ユニット（１２、１０）に対して伝達される一方、その答えが第二の制御ユニット（１０、１２）によって受け取られて評価されることを特徴とする請求項１の方法。
【請求項５】
一方の制御ユニット（１０、１２）の第三の段階のプログラム（４６、４４ａ）が、他方の制御ユニット（１２、１０）を遮断或いは接続するために最終段階（２８ａ、２８、３０）に対して実行される請求項１ないし４のいずれかの方法。
【請求項６】
第一の制御ユニット（１０）が内燃機関を制御するための制御ユニットであり、他方、前記第二の制御ユニットが走行挙動、車輪ブレーキ、及び／又はオートマチックトランスミッションの制御を行うことを特徴とする請求項１ないし５のいずれかの方法。
【請求項７】
第一と第二の制御ユニット（１０、１２）を有する制御ユニットの相互監視のための装置であって、それぞれの制御ユニットが、その時々の制御機能を計算するプログラムが割り当てられている第一の段階（Ａ）のプログラムと、前記第一の段階のプログラムの監視のためのプログラムが割り当てられている第二の段階（Ｂ）のプログラムと、前記第二の段階のプログラムの監視のための監視プログラムが含まれている第三の段階（Ｃ）のプログラムとを備え、前記第三の段階（Ｃ）のプログラムの中に、前もって与えられている質問に基づいて前記第二の段階のプログラムによって答えを形成する、シーケンス制御（４４、４６ａ）が含まれている、制御ユニットの相互監視のための装置において、
一方の制御ユニット（１０、１２）が他方の制御ユニット（１０、１２）からの質問を受け取り且つその答えを該制御ユニットに対して送り出すことを特徴とする制御ユニットの相互監視のための装置。
【発明の詳細な説明】
【０００１】
【産業上の利用分野】
本発明は、制御ユニットの相互監視のための方法並びに装置に関する。
【０００２】
【従来の技術】
制御ユニットの相互監視のための方法或いは装置は、ＤＥ  ４４  ３８  ７１４  Ａ１（米国特許第５，８８０，５６８号）から知られている。該特許は、例えば車両の駆動ユニットの制御をするための制御システムと結合された、本質安全性の制御ユニットを説明している。ここで、本質安全性という用語は、エラーが発生した場合に、そのエラー状態が当該のエラーが発生したシステムだけに限定され、且つそのシステムは外部に対しては常に安全な状態にとどまっているということを意味している。例えば、個別のエラーが駆動ユニットの出力上昇をもたらすことはない。この既知の刊行物に述べられている監視コンセプトは構造的に２チャンネル方式であり、即ちすべての安全関連経路が重複チャンネルによって保護されている。このことは運転用ソフトウェア（例えば、制御ユニットの課題を達成するためのソフトウェア）の安全関連部分についても当てはまる。この運転用ソフトウェアは、第二のプログラム段階の範囲の中で、制御信号値の精確な形成が運転用ソフトウェアによって数量的に監視される重複ソフトウェアによって監視される。この第二の段階のソフトウェアの実行と能力は、応答通信の範囲の中で外部監視モジュールを用いる通信によって監視される。
【０００３】
具体的には、この既知の実施例の中には、第一のソフトウェア段階、制御機能並びに入力値のシステム固有の監視機能を実行するための運転用ソフトウェア、及び最終段階が含まれている。第二の段階は機能監視から成り立っている。機能監視では重複機能によって出力値、とりわけ出力を決定する値、の精確な形成が監視される。更に第二の段階のプログラムは、選び出されてシーケンス制御により監視モジュールによって伝達された質問に対する答えが、上記モジュールによって監視機能の精確な計算であることを確認され、シミュレーションデータによる監視機能のテストによってコンピュータの監視を行う。最後に第三の段階は監視モジュールとの質問=返答＝通信（伝達された質問と形成された返答に基づく）を含み、この通信によって第二の段階のプログラムの働きが監視される。この第三の段階には更に、メモリ、アナログ／デジタル変換器、等の運転用コンピュータの構成要素を監視する監視機能が割り当てられている。この様な方法は上述の技術水準から知られている。
【０００４】
最近の制御システムでは一般に、独立の構成要素を形成するか或いは一つの装置として構造的に一体化された、幾つかの制御ユニットが用いられる。例えば、最近の車両制御の場合には、駆動ユニットの制御のための制御ユニット、走りの挙動の制御のための（ＡＢＳ、ＡＳＲ、ＥＳＰ）制御ユニット、オートマチックトランスミッションの制御のための制御ユニット、車輪ブレーキ等の制御のための制御ユニットがある。これ等の個別の制御ユニットの本質安全性のためには、それ等のすべての個別の制御ユニットが上述の技術水準の意味で監視されるべきであろう。これには比較的大きな出費が必要である。同じことは、これ等の機能を実行する、一つの装置にまとめられた少なくとも二つの制御ユニット（例えばコンピュータ）の場合にも当てはまる。
【０００５】
【発明が解決しようとする課題】
本発明の課題は、一つの複合体として働く少なくとも二つの制御ユニット（コンピュータ、等）の監視を改善するための方法および装置を提供することである。
【０００６】
【課題を解決するための手段】
本発明の制御ユニットの相互監視のための方法および装置は、少なくとも一つの第一の制御ユニットと第二の制御ユニットを有し、それぞれの制御ユニットが少なくとも１つの、制御機能を計算するプログラムが割り当てられている第一のプログラム段階と、第一の段階のプログラムの機能の能力を監視するプログラムを含んでいる第二のプログラム段階と、第二の段階のプログラムの機能の能力を監視する第三のプログラム段階とを備える。第三の段階のプログラムは、シーケンス制御により、前もって与えられている質問に基づいて第二の段階のプログラムによって答えを形成する。一方の制御ユニットは、他方の制御ユニットからの質問を受け取り且つその答えを該制御ユニットに対して与える。
【０００７】
本発明は、一つの複合体（例えば複数の制御ユニットの複合体）として互いに結合され、該複合体によって制御ユニットの相互作用の下に複数の制御機能が実行される、少なくとも二つの制御ユニットの相互監視を可能にする。特に、監視が通常の信頼性を達成しながら、すべての個別の制御ユニット自体を本質安全性が得られる様に個別監視しようとする場合よりも、より少ない出費で実行されるということが有利である。それは、制御ユニットの相互監視によって、従来技術水準では個別コンピュータの監視に関連して用いられていた監視モジュールが不要となるからである。その結果、本質安全性の制御ユニットの開発に際して顕著な節約の可能性が得られる。
【０００８】
特に、制御ユニットの相互監視のために従来の技術水準から知られている、信頼性があり且つ実績のあるやり方に依存することが出来るということが有利である。これによって、制御ユニットの監視に関して余分の経費を掛ける必要無しに、通常のやり方で制御システムの確実性と利用可能性を保証することが可能となる。
【０００９】
【実施例】
図１は、好ましい実施例では内燃機関の制御のために用いられる第一の制御ユニット１０、並びに走りの挙動、ブレーキ設備、及び／又はオートマチックトランスミッションの制御のために用いられる第二の制御ユニット１２、を示している。両方の制御ユニットは、図１において、それぞれプログラム段階ＡからＣまでによって示されているそれぞれ一つのコンピュータを含んでいる。その際、段階Ａには、制御機能即ち本来の制御課題を保証するための機能、並びに入力値と最終段階のシステム固有の監視機能、が割り当てられている。これが、図１にはそれぞれプログラム１４或いは１４ａによって示されている。これ等の制御ユニットには、入力回路１６或いは１６ａを介して、図中には示されていない測定装置から入力値が入力線１８〜２２或いは１８ａ〜２２ａを介して送り込まれる。これ等の入力値が制御機能の計算の基礎となる。従って、これ等の入力値は段階Ａのプログラムで利用される。第一の段階のプログラムは、上記の入力値をベースとして調節値を形成し、この調節値は、出力線（制御ユニット１０の場合は出力線２４及び２６、また制御ユニット１２の場合は出力線２４ａ）を介して、それぞれの最終段階２８及び３０或いは２８ａに対して送り出される。この好ましい実施例では、制御ユニット１０は内燃機関の制御のための制御ユニットであり、この場合に最終段階２８は噴射弁及び点火装置、等の制御のための最終段階を示しているのに対して、最終段階３０は内燃機関の電動式の絞り弁の操作のための最終段階を示している。適用のケースに応じて、制御ユニット１２は、オートマチックトランスミッションの連結、ブレーキ調節装置等の操作のための最終段階を制御する。
【００１０】
冒頭で述べられた技術水準から知られている様に、第二の段階Ｂにプログラム３２或いは３２ａが割り当てられており、これ等のプログラムは、第一の段階のプログラムの働きを、従ってこれによって制御機能の働きを、監視する。この好ましい実施例では、この監視は入力値と出力値をベースとして行われるので、第二の段階のプログラムには、第一の段階のプログラムと重複して、入力値が送り込まれ、更に第一の段階から出力線、３４から３８まで或いは３４ａから３８ａまで、を介して第一の段階のプログラムの出力値或いは中間値が送り込まれる。これ等の値或いはこれ等の値から導き出された値の比較から、第二の段階のプログラムは第一の段階のプログラムの働き或いはエラー作動を確認する。作動の安全性を確保するために、少なくとも一つの最終段階（制御ユニット１０の例では最終段階３０）は、出力線４０或いは４０ａを介して、第二の段階のプログラムによって、エラーがなければ自由に接続され、またエラーが発生した時は遮断される。
【００１１】
第三の段階Ｃのプログラムは、段階Ｂのプログラム並びにコンピュータの構成要素の機能をチェックするプログラムを含んでいる。段階Ｃのプログラムは、監視の枠組みの中で外部の構成要素（冒頭に述べられた技術水準の場合には監視モジュール）と連絡しており、本発明によれば、その時々の他の制御ユニット１２或いは１０と連絡している。段階Ｃのプログラムは、メモリテスト４２或いは４２ａのプログラム、シーケンス制御４４或いは４６ａのためのプログラム、及び外部装置テスト４６或いは４４ａのためのプログラム等のプログラムを含んでいる。制御ユニットの個別の監視を説明している冒頭で述べられた技術水準の場合には、段階Ｃのシーケンス制御のプログラムは監視モジュールと結合されている。本発明によれば、シーケンス制御のプログラムの結合は他の制御ユニットの外部装置テストのプログラムによって行われる。そこで制御ユニット１２の外部装置テスト４４ａのプログラムは、連絡結合４８を介して、制御ユニット１０のシーケンス制御４４に対して、冒頭で述べられた技術水準から知られている質問を送る。制御ユニット１０のシーケンス制御４４のプログラムは、メモリテスト４２のプログラムを介してプログラム段階Ｂのプログラムに答えを形成させ、この答えは全体の答えに結合され、シーケンス制御４４のプログラムによって連絡結合５０を介して、評価のために制御ユニット１２の外部装置テスト４４ａのプログラムへ伝達される。外部装置テスト４４ａのプログラムは、送られた質問に基づいて予想される答えを実際の答えと比較し、そこから制御ユニット１０のプログラム段階Ｂのプログラムの働きを確認する。制御ユニット１２の外部装置テスト４４ａのプログラムは、出力線５２を介して、制御ユニット１０によって操作されている少なくとも一つのの最終段階２８及び３０に対して実行され、その際この最終段階は、エラー発生の場合には遮断され、またエラーがなければ自由に接続される。
【００１２】
同様のやり方は制御ユニット１２の監視のためにも用いられており（外部装置テスト４６のプログラム、連絡線５４及び５６、参照）、制御ユニット１０は、監視の枠組みの中で前述のやり方と同様互いに連絡し且つ少なくとも一つの最終段階２８ａに対して作用する。
【００１３】
この様にして、双方の制御ユニット１０及び１２が互いに監視し合い、エラーを起こしていると確認された装置の外部に対する影響を局限することが保証される。シーケンス制御の好ましい具体的な方法は、例えば冒頭で述べられた技術水準の中に述べられている。
【００１４】
ここで説明された方法によれば、構造的に分離されている二つの制御ユニットの監視の他に、構造的に一つの制御ユニットとして一体化されている二つのコンピュータユニット（一般に制御ユニット）の監視も行われる。
【図面の簡単な説明】
【図１】本発明における、一つの制御ユニットが車両の駆動ユニットの制御のための制御ユニットである、制御ユニット複合体の二つの制御ユニットの相互監視の好ましい実施態様を示す。
【符号の説明】
１０、１２  制御ユニット
１４、１４ａ  プログラム
１６、１６ａ  入力回路
２８、３０、２８ａ  最終段階
３２、３２ａ  プログラム
４２、４２ａ  メモリテストプログラム
４４、４４ａ  実行検査プログラム
４６、４６ａ  外部装置テストプログラム
Ａ、Ｂ、Ｃ  プログラム段階Ａ、Ｂ、Ｃ
【図１】
0004870255.tif 000002