(57)【特許請求の範囲】
【請求項１】
バスシステム及び／又は前記バスシステムと接続された機能ユニットが監視ユニットにより監視され，かつ，安全性が低下した場合には，前記機能ユニットと前記バスシステムとを接続する手段に対する前記監視ユニットのアクセスにより前記接続を分離する，車両の駆動シーケンスの制御方法であって，
前記監視ユニットのアクセスは，前記機能ユニットにより設定される，ことを特徴とする車両の駆動シーケンスの制御方法。
【請求項２】
前記監視ユニットのアクセスは，設定手段に接続された前記機能ユニットが前記設定手段に対して少なくとも１つの設定値を書き込み，または消去し，かつ前記設定値が書き込まれている場合にのみ可能となる，ことを特徴とする請求項１に記載の車両の駆動シーケンスの制御方法。
【請求項３】
少なくとも１つの機能ユニットと監視ユニットとを有するシステムにより，駆動種類を識別し，前記識別された駆動種類に応じて前記監視ユニットのアクセスが設定される，ことを特徴とする請求項１に記載の車両の駆動シーケンスの制御方法。
【請求項４】
前記監視ユニットのアクセスは，
システム駆動，システム後期駆動，システム前期駆動，システムプログラミング，システムテスト，システムシミュレーション及び／又はシステムアプリケーションの群から選択される少なくとも１つの駆動種類に応じて設定される，ことを特徴とする請求項３に記載の車両の駆動シーケンスの制御方法。
【請求項５】
複数の設定値が使用されると共に，各駆動種類に応じて専用の設定値が使用され，及び／又は駆動種類毎に設定値が区別される，ことを特徴とする請求項２又は３に記載の車両の駆動シーケンスの制御方法。
【請求項６】
バスシステムと接続可能な機能ユニット，前記機能ユニット及び／又は前記バスシステムを監視する監視ユニットとを有すると共に，安全性が低下した場合には，前記機能ユニットと前記バスシステムとを接続する手段に対する前記監視ユニットのアクセスにより前記接続を分離する，車両の駆動シーケンスの制御装置において，
前記制御装置は，さらに，前記監視ユニットのアクセスを前記機能ユニットにより設定する手段を有する，ことを特徴とする車両の駆動シーケンスの制御装置。
【請求項７】
機能ユニット及び／又はバスシステムを監視する監視ユニットが前記機能ユニット及び前記バスシステムと接続され，安全性が低下した場合に，機能ユニットと前記バスシステムとを接続する手段に対する前記監視ユニットのアクセスにより前記接続を分離する制御装置であって，
前記制御装置は，さらに，前記監視ユニットのアクセスを前記機能ユニットにより設定する手段を有する，ことを特徴とする車両の駆動シーケンスの制御装置。
【請求項８】
前記設定する手段は，メモリ領域を有すると共に，前記メモリ領域には少なくとも１つの設定値が格納可能であって，かつ前記アクセスが前記少なくとも１つの設定値に応じて設定される，ことを特徴とする請求項６又は７に記載の車両の駆動シーケンスの制御装置。
【請求項９】
前記接続が，接続ユニットにより実行されると共に，前記監視ユニット及び／又は前記設定する手段及び／又は前記接続ユニットは，回路ユニット内に集積されている，ことを特徴とする請求項８に記載の車両の駆動シーケンスの制御装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は，特に車両の駆動シーケンスの制御方法及びその装置に関し，さらに詳細には，バスシステムと接続された機能ユニット及び／又はバスシステムが監視ユニットにより監視されると共，前記監視ユニットは安全性の低下において機能ユニットのバスシステムとの接続をアクセスにより分離する，車両の駆動シーケンスの制御方法及びその装置に関する。
【０００２】
【従来の技術】
従来においては，ＥＰ０９８３９０５Ａ２から，車両内のデータ線から電子装置を分離する回路装置が既知である。データ線を介して電子装置と少なくとも１つの他の電気システムがその駆動中に情報を交換する。このとき，データ線に接続された電子装置が故障しても，車両駆動を維持できる回路装置においては，電子装置はエラー認識装置と接続されている。エラー認識装置が電子装置のエラーを検出した場合には，上記回路装置により，電子装置がデータ線から分離され，電気システムの駆動能力はそのまま維持される。
【０００３】
上記公報以外には，例えば１９８８年のＶＤＩ報告第６８７号，「駆動スリップ制御−アウディにおける実現」，第２１９ページから２２２ページは，２つのマイクロプロセッサを具備する電子装置が開示されている。かかるマイクロプロセッサは相互に監視し合い，その一方が出力段を駆動する。
【０００４】
このとき，各プロセッサは，故障の場合には，安全回路を作動させることができ，その後，安全回路はマイクロプロセッサのリセット導線を作動させて，所定のソフトウェア処理がおこなわれる。出力段に故障が発生した場合には，プロセッサへの報告後に出力段駆動を非作動にすることにより，あるいは，出力段を非稼働にできない場合には，２つのプロセッサが各々安全回路内のメインリレーを操作することにより，故障を食い止めることができる。
【０００５】
【発明が解決しようとする課題】
しかしながら，従来の既知のシステムでは，電子装置を電気システムに再結合することや，所定の状況においては分離を阻止することは実行されない。したがって，例えばエラーが回復した場合には，電子装置を電気システムに容易に取り扱い可能に再結合し，あるいは即座に分離することを防止することが望まれる。
【０００６】
また，安全回路により電気システムから電子ユニットを分離することが可能な安全性の低下は，所定の駆動種類あるいは駆動状態では問題とはならないばかりでなく，特に望ましい場合もある。したがって，従来のような強制的な分離は，好ましいものではない。例えば簡単な再結合あるいは駆動状態の分離の阻止にできれば，かかる状況を容易に処理することができる。
【０００７】
したがって，本発明の目的は，安全性が低下した場合に，駆動シーケンスを制御する機能性分離を最適化することが可能な新規かつ改良された車両の駆動シーケンスの制御装置及びその方法を提供することにある。
【０００８】
【課題を解決するための手段】
上記課題を解決するため，請求項１に記載の発明では，バスシステム及び／又は前記バスシステムと接続された機能ユニットが監視ユニットにより監視され，かつ，安全性が低下した場合には，前記監視ユニットはアクセスにより前記機能ユニットとバスシステムとの接続を分離する，車両の駆動シーケンスの制御方法であって，前記監視ユニットのアクセスは，前記機能ユニットを介してコンフィグレートされる，ことを特徴とする車両の駆動シーケンスの制御方法が提供される。
【０００９】
本項記載の発明では，所定の状況に応じて，バスからの機能ユニットの切離しを阻止することができる。同様に，必要に応じて，既存の状況又は駆動状態において分離されている機能ユニットを，他の状況又は他の駆動状態において再び接続することができる。
【００１０】
また，請求項２に記載の発明のように，前記監視ユニットのアクセスは，コンフィグレーション手段に接続された前記機能ユニットが前記コンフィグレーション手段に対して少なくとも１つのコンフィグレーション値を書き込み，あるいは前記コンフィグレーション手段から少なくとも１つのコンフィグレーション値を消去し，かつ前記コンフィグレーション値が書き込まれている場合にのみ，前記監視ユニットがアクセスする，如く構成するのが好ましい。
【００１１】
また，請求項３に記載の発明のように，少なくとも１つの機能ユニットと監視ユニットとを有するシステムにより，駆動種類を識別し，前記識別された駆動種類に応じて前記監視ユニットのアクセスをおこなう，如く構成するのが好ましい。
【００１２】
また，請求項４に記載の発明のように，前記監視ユニットのアクセスは，システム駆動，システム後期駆動，システム前期駆動，システムプログラミング，システムテスト，システムシミュレーション及び／又はシステムアプリケーションの群から選択される少なくとも１つに駆動種類に応じておこなわれる，如く構成するのが好ましい。例えば制御装置テスト又は制御装置プログラミングのため，及び場合によっては後期駆動又は他の駆動種類において，機能計算機あるいは機能ユニットは好適なプロシージャによって自らをイネーブルにすることができることが，保証される。例えばコンフィグレーション値が機能計算機によって消去されて，それによって機能計算機は，働きかける監視モジュールあるいは監視ユニットにもかかわらず，さらにＣＡＮ−メッセージを送信することができる。
【００１３】
また，請求項５に記載の発明のように，複数のコンフィグレーション値が使用されると共に，各駆動種類に応じて専用のコンフィグレーション値が使用され，及び／又は駆動種類毎にコンフィグレーション値が区別される，如く構成すれば，検査される各種コンフィグレーション値に従って，各種駆動種類あるいは駆動状態において監視ユニットのアクセスが可能になり，あるいは阻止されることが可能である。
【００１４】
また，上記課題を解決するため，請求項６に記載の発明のように，バスシステムと接続される機能ユニット，前記機能ユニット及び／又は前記バスシステムを監視する監視ユニットとを有すると共に，安全性が低下した場合には，前記監視ユニットのアクセスにより前記機能ユニットと前記バスシステムとの接続を分離する，車両の駆動シーケンスの制御装置において，前記制御装置は，さらに，前記監視ユニットのアクセスにより前記機能ユニットをコンフィグレートする手段を有する，ことを特徴とする車両の駆動シーケンスの制御装置が提供される。
【００１５】
本項記載の発明では，所定の状況に応じて，バスからの機能ユニットの切離しを阻止することができる。同様に，必要に応じて，既存の状況又は駆動状態において分離されている機能ユニットを，他の状況又は他の駆動状態において再び接続することができる。したがって，例えば制御装置テスト又は制御装置プログラミングのため，及び必要に応じて，後期駆動又は他の駆動種類において，機能計算機あるいは機能ユニットは好適なプロシージャにより自らをイネーブルにすることができることが保証される。
【００１６】
また，上記課題を解決するため，請求項７に記載の発明では，機能ユニット及び／又はバスシステムを監視する監視ユニットが前記機能ユニット及び前記バスシステムと接続され，安全性が低下した場合に，前記監視ユニットのアクセスにより機能ユニットとバスシステムとの接続を分離する制御装置であって，前記制御装置は，さらに，前記監視ユニットのアクセスにより前記機能ユニットをコンフィグレートする手段を有する，ことを特徴とする車両の駆動シーケンスの制御装置が提供される。
【００１７】
本項記載の発明では，所定の状況に応じて，バスからの機能ユニットの切離しを阻止することができる。同様に，必要に応じて，既存の状況又は駆動状態において分離されている機能ユニットを，他の状況又は他の駆動状態において再び接続することができる。
【００１８】
また，請求項８に記載の発明のように，前記コンフィグレートする手段は，メモリ領域を有すると共に，前記メモリ領域には少なくとも１つのコンフィグレーション値が格納可能であって，かつアクセスがコンフィグレーション値に従ってコンフィグレートされる，如く構成することができる。その他に，好ましい方法で，例えば制御装置テスト又は制御装置プログラミングのため，及び場合によっては後期駆動又は他の駆動種類において，機能計算機あるいは機能ユニットは適当なプロシージャによって自らをイネーブルにすることができることが，保証される。
【００１９】
また，請求項９に記載の発明のように，前記バスシステムと機能ユニットとの接続が，接続ユニットにより実行されると共に，前記監視ユニット及び／又は前記コンフィグレート手段及び／又は前記接続ユニットは，回路ユニット内に集積されている，如く構成すれば，システム駆動における安全性の低下の際に，潜在的に誤った又は好ましくないＣＡＮ−値が送信されないので，複合ネットワーク内の固有安全の個別システムが生じる。
【００２０】
【発明の実施の形態】
以下，本発明の好適な実施の形態について，添付図面を参照しながら詳細に説明する。尚，以下の説明及び添付図面において，同一の機能及び構成を有する構成要素については，同一符号を付することにより，重複説明を省略する。
【００２１】
まず，図１に基づいて，本実施形態にかかる車両の駆動シーケンスの制御装置について説明する。なお，図１は，本実施形態にかかる車両の駆動シーケンスの制御装置の構成を示すブロック図である。
【００２２】
図１に示すように，本実施形態にかかる例えば車両の駆動シーケンスを制御する制御ユニット（機能ユニット）１０１は，データ線のシステム（例えばバスシステム）を介して，他の機能ユニット（例えば他の制御ユニット，アクチュエータ装置又はセンサ装置）と接続されている。なお，バスシステム１０５には，他のバス加入者として他の機能ユニットが結合されているが，詳細には図示していない。データ線を有する他の機能ユニットは，バスシステム１０５内に統合することもできる。
【００２３】
上記バスシステム１０５への接続は，双方向の接続１０８と接続ユニット１０４として示される。このとき，接続ユニット１０４は，例えば信号増幅装置（例えばバスドライバ回路，ＣＡＮ−バスシステムのためのＣＡＮ−ドライバ）である。かかる機能ユニット１０１あるいはバスシステム１０５及び／又はバスドライバ１０４は，監視ユニット１０２により制御される。
【００２４】
かかる監視ユニット１０２は，例えばバスシステム１０５，接続ユニット１０４又は機能ユニット１０１の信号を使用して，エラー機能又はその他の安全性の低下をもたらす原因を認識する。
【００２５】
かかる安全性の低下は，システム内のエラーの場合に発生するが，例えばシステム後期駆動においてパラメータを調節する場合，あるいは例えばシステム前期駆動において初期化プロセスを実行する場合に発生することがある。なお，システム前期駆動における初期化プロセスは，例えばプログラミング，シミュレーション，アプリケーション又はテストの場合には，好ましい場合もある。
【００２６】
このとき，例えば，システム前期駆動内で発生した安全性の低下は，その結果として，監視回路のアクセスによりバスシステムとの機能ユニットの接続の分離をもたらすべきではない。
【００２７】
同様に，本来は，通常のシステム駆動（例えば車両の走行駆動）においては，安全性が低下することになるが，かかる駆動種類においては望まれるシステムプログラミング，システムテスト又はシステムシミュレーションあるいはシステムアプリケーションの場合の所定のプロセスは，監視モジュールの有効なアクセスをもたらさない。
【００２８】
しかし，システム駆動自体（例えば走行駆動）においては，機能ユニットによるメッセージの送信は，かかる安全性の低下の際に監視ユニットあるいは監視モジュールにより中止される。
【００２９】
従って，システム駆動内の安全性の低下においては，潜在的に誤ったあるいは好ましくないＣＡＮ−値が送信されることはなく，このことにより複合ネットワークでの固有安全の個別システムが形成される。
【００３０】
その他に，例えば制御装置テスト又は制御装置プログラミングのため，及び場合によっては後期駆動又は他の駆動種類において，機能計算機あるいは機能ユニットは好適なプロシージャにより自らをイネーブルにできることが保証される。そのために，本実施形態においては，例えばコンフィグレーション値は機能計算機により消去され，このことにより，この機能計算機は働きかける監視モジュールにもかかわらず，ＣＡＮ−メッセージを送信することができる。
【００３１】
このとき，各監視ユニットを各機能ユニットのためにあるいは複数の機能ユニットのための監視ユニットと同様に設けることができる。図１に示す制御装置は，原理的に各バス加入者あるいはバス加入者のグループのために使用される。
【００３２】
監視ユニット１０２は，第１のアクセス素子１０６を制御あるいは操作し，かかるアクセス素子により，安全性の低下の際に接続１０８を遮断することができる。他の実施形態においては，監視ユニットは，接続ユニット１０４にも直接アクセスでき，接続ユニット１０４内（例えば接続ユニット１０４内のアクセス素子）ににより，バスシステム１０５に対して機能ユニット１０１を遮断することが開始される。
【００３３】
第１のアクセス素子１０６の他に，バスシステム１０５への機能ユニット１０１の接続にアクセスする監視ユニットのアクセスパス１１０内に，第２のアクセス素子１０７が設置されている。かかる第２のアクセス素子１０７は，アクセスパス１１１を介してコンフィグレーション手段１０３により操作される。コンフィグレーション手段１０３自体は，パス１０９を介して機能ユニット１０１により操作される。
【００３４】
このとき，コンフィグレーション手段１０３は単にメモリ手段あるいはメモリ領域として形成されており，その中に少なくとも１つのコンフィグレーション値が書き込まれ，あるいはそこからコンフィグレーション値が消去されるのが好ましい。メモリ手段１０３内のコンフィグレーション値の書込みあるいは消去は，パス１０９を介して機能ユニット１０１が実行する。メモリ１０３内のコンフィグレーション値に従って，監視ユニット１０２のアクセスあるいはアクセスパス１１０がコンフィグレートされる。
【００３５】
最も簡単な場合には，コンフィグレーションは，書き込まれたコンフィグレーション値ＴＤＩ（Ｔｒａｎｓｍｉｔ  Ｄｉｓａｂｌｅ）が機能ユニット１０１とバスシステム１０５の接続（即ち，接続パス１０８あるいは接続ユニット１０４）への，監視ユニット１０２のアクセスを遮断するように，実行される。これは，一方では，監視ユニット１０２が各アクセスを実行する前に，コンフィグレーション手段１０３としてのメモリ領域あるいはメモリ手段を，コンフィグレーション値ＴＤＩが存在するか否かについて判断し，値ＴＤＩがない場合にのみアクセスを実行し，あるいは書き込まれたコンフィグレーション値ＴＤＩが初めから監視ユニット１０２のアクセスあるいはアクセスパス１１０のブロッキングをもたらすことにより実行することができる。従って，第２のアクセス素子１０７は，一例として理解すべきである。
【００３６】
これは，一方では，アクセスパスを開閉させる実際の切り換え手段とすることができ，他方では，この機能は監視ユニット１０２内又はアクセスパス１１０内あるいはコンフィグレーション手段１０３内のソフトウェアにおり実現することもできる。
【００３７】
同様なことが原理的に，第１のアクセス素子１０６についても当てはまり，安全上の理由からは切り換え手段としての実現，及びバスシステム１０５あるいは接続ユニット１０４からの機能ユニット１０１の電気化学的な分離としての実現が目的に合致する。
【００３８】
なお，監視手段１０２，特にバスドライバとしての接続ユニット１０４及び特にメモリ手段（あるいはメモリ領域又はレジスタとしてのコンフィグレーション手）１０３は，一体化されたアッセンブリユニット１００として統合され，あるいはＩＣ回路として集積されるのが好ましい。
【００３９】
機能計算機あるいは機能ユニット１０１は，コンフィグレーション値ＴＤＩを，例えばシリアルのデータ線１０９を介してセットし，かつ消去することができる。シーケンスの例は，特に車両について，以下のように表すことができる。
【００４０】
少なくとも機能ユニット１０１と監視ユニット１０２とを有するシステムをスイッチオンする場合に，コンフィグレーション値ＴＤＩは消去されている。機能ユニット１０１は，監視ユニット１０２を操作することなく送信することができる。即ち，監視ユニットのアクセスは遮断されている。駆動（例えば車両の場合には走行駆動）が開始される前に，コンフィグレーション値ＴＤＩがセットされる。従って，駆動場合（例えば車両の走行駆動）については，バスメッセージ（例えばＣＡＮ−メッセージ）の送信が安全性の低下において監視ユニット１０２により遮断できる限りにおいて，安全は保証されている。
【００４１】
その後，特別な駆動種類の範囲，あるいは特別な駆動状態（例えばシステム後期駆動，システム早期駆動，システムプログラミング，システムテスト又はシステムシミュレーション）においては，コンフィグレーション値ＴＤＩを再び消去することができる。したがって，例えば監視ユニット１０２の操作なしで，制御装置（例えば機能ユニット１０１又はバスシステムに結合された他の制御ユニット）の新規プログラミングあるいは再プログラミングを，バスシステム１０５を介して機能ユニット１０１により実行することができる。
【００４２】
このとき，コンフィグレーション値ＴＤＩをセットあるいは消去するためのプロシージャを，付加的に格納することができる。例えばまず他のメモリ領域あるいはレジスタを好適に書き及び／又は書き込み，例えばコード化し，ライトプロテクトを解除しなければならない。
【００４３】
次に，図２に基づいて，本実施形態にかかる車両の駆動シーケンスの制御方法を説明する。なお，図２は，本実施形態にかかる車両の駆動シーケンスの制御方法を示すフローチャートである。
【００４４】
まず，ステップＳ２００で，システムが開始される（具体的にはシステムのスイッチオンされる）（ステップＳ２００）。次いで，ステップＳ２０１では，システム駆動（例えば車両の走行駆動）が存在するか否かが判断される（ステップＳ２０１）。走行駆動が実行されていないと判断される場合には，ステップＳ２０７に移行する。
【００４５】
かかる検査（判断）は，例えばエンジン回転数，速度などの実際の駆動量によりおこなうことができる。また，特殊な値又は，走行駆動などの所定の駆動状態のために存在し，あるいは所定の値をとり，かつプログラミング駆動などの他の駆動状態のためには存在せず，あるいは他の値をとる，システム駆動量を使用して検査することもできる。このとき，個々の駆動状態のためにロードされ，あるいは存在していなければならない全ソフトウェア部分も，他の駆動状態のためには存在せず，そこから同様に具体的に走行駆動を予め推定することができる。
【００４６】
一方，ステップＳ２０１で，走行駆動が存在すると判断される場合には，ステップＳ２０２に移行し，機能ユニット１０１がコンフィグレーション手段（例えばメモリ手段）１０３，コンフィグレーション値ＴＤＩをセットする（ステップＳ２０２）。
【００４７】
その後，ステップＳ２０３で，再度，走行駆動が存在するか否かが判断される（ステップＳ２０３）。走行駆動が存在すると判断される場合には，ステップＳ２０４に移行し，監視ユニットが安全性の低下をコントロールする（ステップＳ２０４）。
【００４８】
安全性の低下が存在しないと判断される場合には，ステップＳ２０５に移行し，走行駆動の範囲内で所望の機能とプログラムが実行される（ステップＳ２０５）。その後，ステップＳ２０３に移行し，走行駆動が存在するか，あるいは走行駆動がさらに存在するか，が判断される（ステップＳ２０３）。
【００４９】
一方，ステップＳ２０３で，走行駆動が存在すると判断される場合には，ステップＳ２０７に移行し，他の駆動場合が存在するか否かが判断される（ステップＳ２０７）。
【００５０】
なお，図２においては，理解を容易にするために，他の駆動場合として１例だけが示されている。他の駆動種類あるいは駆動場合も，同様に，図示のように次々と調べることができる。かかる他の駆動場合は，例えばシステム後期駆動又は後期駆動，システム前期駆動又は前期駆動，システムプログラミング，システムテストあるいはシステムシミュレーションあるいはシステムアプリケーションが該当する。
【００５１】
ステップＳ２０７で他の駆動場合が存在しないと判断される場合には，ステップＳ２１５に移行し，コンフィグレーション値ＴＤＩが機能ユニットあるいは機能計算機１０１により消去される（ステップＳ２１５）。その後，ステップＳ２１６で，処理が終了される（ステップＳ２１６）。
【００５２】
一方，ステップＳ２０７で少なくとも１つの他の駆動場合が存在すると判断される場合には，ステップＳ２１２あるいは選択的にステップＳ２０８０に移行する。ステップＳ２１２では，コンフィグレーション値ＴＤＩが機能計算機あるいは機能ユニットにより消去される（ステップＳ２１２）。
【００５３】
その後，ステップＳ２１３で，上記ステップＳ２０７で判断された他の駆動場合が，必要な機能とプログラムの範囲内で実行される（ステップＳ２１３）。
【００５４】
次いで，ステップＳ２１４で，他の駆動場合がまだ存在しているか，あるいは実行すべきかがコントロールされる（ステップＳ２１４）。他の駆動場合がまだ存在していると判断される場合には，再びステップＳ２１３に移行し，他の駆動場合の他の機能あるいはプログラムが実行される。
【００５５】
他の駆動場合が終了しあるいは中止された場合には，ステップＳ２１６で処理が終了される（ステップＳ２１６）。
【００５６】
ステップＳ２１２で消去されたＴＤＩにより，次のステップＳ２１３，Ｓ２１４において監視ユニット１０２がアクセスパス１１０によって第１のアクセス素子１０６を操作できないことが保証される。このことにより，制御装置テスト／プログラミングのため，あるいは後期駆動において，即ち他の駆動種類の１つにおいては，機能ユニットあるいは機能計算機は好適なプロシージャにより自らをイネーブルにできることが保証される。そのために機能計算機１０１はコンフィグレーション値ＴＤＩを消去し，その後は例えば働きかける監視ユニット１０２にも関わらず，さらにメッセージを送信することができる。
【００５７】
例えばステップＳ２０４で認識された安全性の低下においては，コンフィグレーション値ＴＤＩがセットされており（ステップＳ２０２），即ち監視ユニット１０２は機能ユニットあるいは機能計算機とバスシステム１０５あるいは接続ユニット１０４の接続を分離する。これは，ステップＳ２０４で安全性の低下が認識された場合に，ステップＳ２０６で実施される。それにもかかわらず一般にその後は，他の走行駆動は可能であって，かつステップＳ２０３において再度判断される。
【００５８】
本実施形態においては，選択的にステップＳ２０８０が付加されている。かかるステップＳ２０８０は，安全性を向上させるために付加的に使用することができる（ステップＳ２０８０）。以下，詳細に説明する。
【００５９】
即ち，ステップＳ２０７で少なくとも１つの他の駆動場合が存在すると判断される場合には，選択的にステップＳ２０９０に移行する。
【００６０】
ステップＳ２０９０では，ステップＳ２０４における安全性の低下が存在しているか否か，が判断される（ステップＳ２０９０）。安全性の低下が存在していないと判断される場合には，ステップＳ２１２に移行する。
【００６１】
一方，安全性の低下が発生していると判断される場合には，ステップＳ２１００に移行し，コンフィグレーション値ＴＤＩをセットすべきか否か，が判断される（ステップＳ２１００）。これは，システム駆動，例えば走行駆動とは異なる駆動種類あるいは駆動場合においては，認識された安全性の低下は，上記のように，走行駆動とは必ずしも同一の重要性を有していないという背景を有している。上記駆動場合においては，システム駆動に限り即座に接続を分離する条件あるいは状態が，極めて望ましい場合がある。
【００６２】
ステップＳ２１００で監視ユニットにより安全性の低下が認識されているが，コンフィグレーション値ＴＤＩをセットする必要がない，あるいは他の駆動種類に関して状態の組合せが望ましいために，上記値ＴＤＩセットしてはならないことが明らかにされた場合には，ステップＳ２１２に移行し，コンフィグレーション値ＴＤＩがセットされていれば，消去される（ステップＳ２１２）。
【００６３】
一方，ステップＳ２１００で，例えばひどい故障のために，安全性の低下が極めて重大であって，他の駆動種類に対して問題であることが明らかにされた場合には，ステップＳ２１１０に移行し，コンフィグレーション値ＴＤＩがセットされる（ステップＳ２１１０）。さらに，すでにセットされている場合には，消去されず，ステップＳ２０６に移行し，改めて監視ユニット１０２により接続が分離される（ステップＳ２０６）。
【００６４】
従って，安全性の低下においてはバスメッセージ（特にＣＡＮ−メッセージ）の送信は，監視ユニットによって遮断される。かかる遮断は，機能ユニットによって，あるいは機能計算機１０１において，コンフィグレーション値ＴＤＩ（Ｔｒａｎｓｍｉｔ  Ｄｉｓａｂｌｅ）をセットあるいは消去するようにコンフィグレート可能である。
【００６５】
他の好ましい実施形態においては，コンフィグレーション値の範囲内でより細かい差別化をすることができる。このとき，コンフィグレーション値をセットすること，あるいはセットしないことだけが重要であるだけでなく，どのコンフィグレーション値がセットされているか，が重要である。即ち，例えば異なるコンフィグレーション値によって異なる駆動種類に基づいて，各々駆動種類に従って，機能ユニットが監視ユニットのアクセスをコンフィグレートすることができるようにされるか否か，を差別することができる。
【００６６】
即ち，あるコンフィグレーション値は，例えばシステムプログラミングについてのみ当てはまる。しかしこのコンフィグレーション値の消去は，安全性の低下にもかかわらずシステムテストを許可せず，そのためには他のコンフィグレーション値が消去されるか，あるいはコンフィグレーション値が異なるコンフィグレーション値でなければならない。
【００６７】
エラーカウンタを使用する場合には，例えばコンフィグレーション値ＴＤＩ１がこのエラーカウンタを阻止することが該当し，このことにより，エラーカウンタは，安全性の低下を表すその最大値に達することができない。第２のコンフィグレーション値ＴＤＩ２は，エラーカウンタを迂回し，既に最大値が達成されているにもかかわらず，監視モジュールのアクセスを許可しない。これは，ＴＤＩ２が消去された場合には即座に監視ユニットのアクセスが行われ，それに対してＴＤＩ１における最初の場合には，ＴＤＩ１の消去後に初めてカウンタの最大値に達するようにしなければならない，という利点を有する。このとき，複数のコンフィグレーション値ＴＤＩ１，ＴＤＩ”，…は，各駆動種類に応じてあるいは全ての駆動種類について共通に，使用することができる。
【００６８】
従って，本実施形態においては，安全性の低下においては潜在的に誤ったバス−値あるいはＣＡＮ−値が送信できないことを保証する。これは，複合ネットワークにおける固有安全の個別システムにとっては重要な特性である。さらに，発生したエラーを同時に補正することができる。これは，例えば働きかける監視ユニットにもかかわらず，新しいプログラミングは開かれているからである。
【００６９】
以上，本発明に係る好適な実施の形態について説明したが，本発明はかかる構成に限定されない。当業者であれば，特許請求の範囲に記載された技術思想の範囲内において，各種の修正例および変更例を想定し得るものであり，それらの修正例および変更例についても本発明の技術範囲に包含されるものと了解される。
【００７０】
【発明の効果】
安全性の低下においては潜在的に誤ったバス−値あるいはＣＡＮ−値が送信できないことを保証する。これは，複合ネットワークにおける固有安全の個別システムにとっては重要な特性である。さらに，発生したエラーを同時に補正することができる。これは，例えば働きかける監視ユニットにもかかわらず，新しいプログラミングは開かれているからである。
【図面の簡単な説明】
【図１】本実施形態にかかる車両の駆動シーケンスの制御装置の構成を概略的に示すブロック図である。
【図２】本実施形態にかかる車両の駆動シーケンスの制御方法をの動作フローを示すフローチャートである。
【符号の説明】
１０１  制御ユニット（機能ユニット）
１０２  監視ユニット
１０３  コンフィグレーション手段（メモリ手段）
１０４  接続ユニット（バスドライバ）
１０５  バスシステム
１０６  第１のアクセス素子
１０７  第２のアクセス素子
１０８  接続パス
１０９  パス
１１０，１１１  アクセスパス
【図１】
0004880135.tif 000002
【図２】
0004880135.tif 000003