JP2008505012A - 冗長データバスシステム - Google Patents

Abstract

少なくとも２台のエラー防止制御装置（２６〜３２）が間に接続された２つのデータバス（Ｂ１、Ｂ２）を備える冗長データバスシステムが開示されている。２つのデータバス（Ｂ１、Ｂ２）は同一のデータバスプロトコル（ＦｌｅｘＲａｙ、ＣＡＮ）で、実質的に同じ伝送周波数にて動作する。安全性に関連する制御メッセージは、両方のデータバス（Ｂ１、Ｂ２）を介して並列に伝送され、制御装置（２６〜３２）内で処理される。各々の制御装置（２６〜３２）は、割り当てられた制御ソフトウェアによって実行される制御タスクを個別に有する。各々の制御装置（２６〜３２）には、独立して動作し、第１の制御タスク及び第２の制御タスクの両方の制御ソフトウェアを有する２台のマイクロコンピュータ（μＲ）が搭載されているため、一方の制御装置（２３〜３２）で障害が発生した場合はそのタスクを他方の制御装置が引き継ぐことが可能である。この制御装置には、２台のマイクロコンピュータ（μＲ）の間に１つの各データインターフェース（３４）が配置され、このインターフェースを介して、安全性に関連する制御メッセージに基づいて算出された結果データが相互に交換及び比較される。さらに、結果データの比較に基づいて制御タスクをどのマイクロコンピュータ（μＲ）又はどの制御装置（２６〜３２）で実行するかを決定する決定手段（３３）が設けられる。

Description

本発明は、２つのデータバスを有しデータバスの間に少なくとも２台のフェールセーフ制御装置が接続された冗長データバスシステムに関する。この２つのデータバスは、同じデータバスプロトコル（例えば、同期式のＣＡＮ又はＦｌｅｘＲａｙプロトコル）を使用し、実質的に同じ伝送周波数にて動作する。安全性に関連する制御メッセージは、両方のデータバスを介して並列に伝送され、制御装置内で処理される。各々の制御装置は、割り当てられた制御ソフトウェアによって処理される個々の制御タスクを実行する。

自動車又は航空機で安全性を確保する上で不可欠な用途において、冗長データバスシステムが一般に知られている。このようなデータバスシステムは、非特許文献１に開示される。ＦｌｅｘＲａｙデータバスは、ステアリング、ブレーキ、又は安全システムを電気的に作動させるために開発されたものである。安全性の面から、最も重要なシステムは二重に設けられ、両方のチャネル（つまり、２つの独立したＦｌｅｘＲａｙデータバスチャネル）に接続される必要がある。安全性がそれほど不可欠でないセンサ又はアクチュエータは、１つのデータバスチャネルにしか接続されていない制御装置に接続してもかまわない。ＦｌｅｘＲａｙデータバスシステムは、同じデータバスプロトコルを使用してメッセージを伝送する２本の独立したデータバスラインを有している。安全性が不可欠な制御装置は両方のデータバスに接続されるので、２つのメッセージストリームを評価し、場合によっては比較することも可能である。制御装置に対して異なるデータバスによってそれぞれ受信されたメッセージが異なる場合、障害を検出することができる。ただし、そのような障害検出方法の情報について詳細には記載されていない。

特許文献１も同様に冗長データバスシステムについて説明しており、この文献で示す各々の制御装置はデータバスシステムの２つのデータバスチャネルに同時に接続される。接続された制御装置が機能を発揮できるように、各々の制御装置のメッセージにはメンバーシップフィールドが含まれており、障害が発生した場合には、その制御装置で障害が発生したことを示す情報が他の制御装置のためにメンバーシップフィールドに格納される。

米国特許第５，６９４，５４２号明細書 定期刊行物：「技術概要（Ｔｅｃｈｎｉｓｃｈｅ Ｒｕｎｄｓｃｈａｕ）」、２００１年、第１８号、４２〜４５頁

本発明の目的は、いずれかの制御装置で障害が発生してもデータバスシステムがその機能を維持できるように、データバスシステム内の決定構成を開発することにある。

この目的は、独立請求項１の特徴によって達成される。請求項１によれば、各々の制御装置には、互いに独立して作動すると共に第１の制御タスク及び第２の制御タスクの両方に対して制御ソフトウェアを有する２台のマイクロコンピュータが搭載されており、一方の制御装置で障害が発生しても他方の制御装置でその制御タスクは実行される。制御装置内には、２台のマイクロコンピュータ間にデータインターフェースが配置されており、このデータインターフェースを介して、安全性に関連する制御メッセージに基づいて算出された結果データ項目が相互に交換及び比較される。決定手段が設けられ、その手段が結果データ項目を比較することによって制御タスクをどのマイクロコンピュータ又はどの制御装置で実行するかを決定する。

本発明によれば、データバスシステムには、制御装置（例えば、エンジン、トランスミッション、及びステアリングシステムを作動させるためのもの等）が接続される。制御データがデータバスシステムを介して電子メッセージの形式で伝送されると、アクチュエータ（例えば、電気モータ）が実際に車輪を操舵させる。データバスシステムには１つのデータバスにしか接続されていない制御装置が接続される共に、デュアルコンピュータと称される、データバスシステムの両方のデータバスに接続される制御装置が接続される。この意味では、１つのデータバスは公知のＬＩＮ、ＣＡＮ、又はＦｌｅｘＲａｙデータバスである。ここで、例えばＣＡＮの場合、各々のデータバスはいずれの場合も通常２本のデータバスラインを持つことができる。データバスシステムの２つのデータバスでは、同期式の通信プロトコルを使用するのが好ましい。そうすれば、個々のメッセージにタイムスロットが提供され、各々のタイムスロットが１台の制御装置、又は１個のアクチュエータ若しくはセンサに割り当てられる。これにより、各々の制御装置について伝送時間が周期的に繰り返される場合、所定のメッセージが発生しなければ、制御装置で障害が発生したことを確実に検出できる。同期式のデータバスプロトコルではまた、イベント制御メッセージの伝送も可能な１つ以上のタイムスロット（つまり、ここでは周期的に繰り返さないメッセージが伝送される）も提供され得る。

データバスシステムは、冗長設計である。このために、同じ通信プロトコルで作動する同一タイプの２つのデータバスが提供される。メッセージは、同じ頻度で、対応するタイムスロットシーケンスにより提供される。例えば、メッセージプロトコルは、イベント制御メッセージのタイムスロットと、データバスの１つにしか接続されていない制御装置のタイムスロットにしか違いがない。安全性に関連するタスクを伴うセンサ、アクチュエータ、及び制御装置は、デュプレックスとして二重に構成され（つまり、本来、同じハードウェアモジュールを有する）。二重に具現化される安全構成要素には、２つのデータバスを介して受信された対応するメッセージが、デュプレックスハードウェアモジュールの各々で個別に計算され、その結果が比較されるという利点がある。計算結果が一致すれば、データバスシステムは順調に機能していると見なすことができる。２つの計算結果が異なる場合、データバスシステムは所定の障害ルーチンに従って計算を実行する。障害が発生した場合は、二重に具現化された別のデュプレックス制御装置でタスクが実行される。或いは、安全性がそれほど不可欠でないエラーの場合は、信頼性の確認が予め行われている限りにおいて、デュプレックス制御装置に搭載された２台のマイクロコンピュータの一方だけでタスクを実行することもできる。

二重に具現化される制御装置は、制御が必要なアクチュエータへ直に接続されるか、データバスを介して接続される。このため、制御装置は様々な機能レベルを想定することができる。これには、マンマシンインターフェースを介して対話する入力レベル（コマンドレベル）用の機能も含まれる（例えば、データバスに接続されたラップトップを介して新規の制御コマンドを入力する）。別の機能レベルでは、マンマシンインターフェースを介した通信アクセスを別途行わない組込み型システムとして制御装置が作動し、制御情報だけがデータバスを介して制御装置に伝送される。二重に具現化される制御装置は、データバスシステムを介して、エンジンシステム、トランスミッションシステム、又はステアリングシステム等の安全性に関連する各々の駆動アセンブリに接続される。

二重に具現化される制御装置のソフトウェアアーキテクチャでは、明確に定義されたインターフェースによって制御機能と通信機能が分離される。コマンドレベルでは、入力ユニット用の運転者制御機能が利用される。これらには、運転者の監視、運転者への通知、運転者への警告、個々のシステム機能への有効な介入等のコマンドが含まれる。支援システムは、制御装置用に周囲の状況の表示を行うためにデータの受信を行う。このため、支援システムは、第一に単独構成のセンサを備え、さもなければ二重に具現化され、よりフェールセーフなセンサを備える。二重に具現化される制御装置は、周囲の状況の表示（つまり、走行データ、道路データ、及び運転者による入力データ）に基づいて、現在有効な出力範囲内でのドライブトレインの反応を算出する。

本発明の１つの有利な実施態様では、制御タスクが正常なシーケンスで実行されていれば、制御タスクのために作動され、それを実行するマスタ制御装置が提供される。障害が発生した場合に決定手段により他の制御装置へ制御タスクが移される。データバスシステムは、制御タスク用に互いに独立した２台の制御装置を備え、各々の制御装置が、互いに独立して作動する２台のマイクロコンピュータを搭載している。４台のマイクロコンピュータの各メインメモリには、第１の安全性に関連する制御タスク及び第２の安全性に関連する制御タスクに必要なソフトウェアが含まれている。一方の制御装置で障害が発生した場合、制御タスクは他方の制御装置により実行されることが可能である。各々の制御装置内では、２台のマイクロコンピュータは互いを接続するデータインターフェースを備えており、安全性に関連する制御メッセージから算出された結果データ項目は、このデータインターフェースによって互いに交換及び比較されることが可能である。この結果データの比較に基づいて、決定手段はどのマイクロコンピュータ、又はどの制御装置で制御タスクを実行するかを決定する。

データバスシステムは、このように幾重にも冗長化される。制御タスクに対して、必要な制御ソフトウェアがマスタ制御装置及び従属制御装置に常に提供される。データバスシステムが正しく動作している場合、例えば、マスタはエンジンの制御タスクを実行する。エンジンセンサからのメッセージ及びデータは、そのために提供されるタイムスロットにより２つのデータバスを介してマスタ制御装置に伝送される。マスタ制御装置内の２台のマイクロコンピュータの各々で制御データ項目が別々に計算される。結果データが同じである場合は、エンジン制御装置の正常な動作が検出され、マイクロコンピュータの一方又は両方で新しい制御信号を算出して、それらの信号がエンジン内のアクチュエータ（例えば、点火手段、噴射手段等）に２つのデータバスを介して返送される。一方、マスタ制御装置内で算出された２つの結果データ項目が異なる場合は、決定手段がエンジンに対する制御タスクの計算を、データバス又は独立したデータラインを介して、従属制御装置に割り当てる。このため、従属制御装置は制御データの計算を遅延なく開始できるよう、エンジンの制御データをデータバス上で予め受信し、格納してある。これにより、輸送手段において安全性が不可欠な用途では、障害が発生しても遅延なくデータバスシステム上で制御及び通信が実行されることが可能である。結果として、データバスシステムは、エンジンシステム、トランスミッションシステム、又は電動ステアリングシステム等の規定された制御タスクに関してフェールセーフとなる。

安全性が不可欠であり二重に具現化される制御装置として、車両全体のシステムプロパティを随時把握することによる中央データ管理システムがある。このシステムは決定手段内に格納された特殊な冗長管理システムによりサポートされる。したがって、中央データ管理機能により、制御装置は容易に構成及び維持されることが可能である。データバスシステムに関する安全性の照会は、二重に構成された制御装置の一方で実行され、この情報を基に信頼性に関する計算の実行が可能である。したがって、障害が発生した制御装置、及び障害復旧を実行するために従属制御装置のうちの１台への切替えが行われた制御装置は随時把握される。

二重に具現化される制御装置では、適切なウェークアップ信号を用いた制御方法により、接続されるサブシステムを起動及び停止させることができる。このシステムは、マスタのサブシステム（つまり、センサ、アクチュエータ、従属制御装置）の一部又は全てと一緒に永続的に動作し、それらのシステムの状態を検出することができる。これにより、データバスシステムでの障害を検出し、それに応じて障害を克服することが可能である。障害発生時には、ウェークアップ信号が決定手段を介して、割り当てられているセンサ、アクチュエータ、又は従属制御装置に伝送され、障害のあるサブシステムから別のサブシステムへの切替えを可能にする。センサは、制御タスクごとに、及びマスタ制御装置のマイクロコンピュータごとにデータバスの１つにそれぞれ接続されることが好ましい。二重に具現化すると、安全性が不可欠なセンサの機能をより正確に検査することができるようになる。障害が発生した場合は、信頼性の範囲内でデータを提供しているセンサに切り替えることが可能である。どのセンサが正しく機能しているかを判定することができない場合は、適宜、追加のセンサを備えた従属制御装置に切り替えることが可能である。したがって、短時間内に新しく別の計算を実行できるので、安全性が不可欠な用途でのシステム障害を回避することができる。

本発明の一実施態様において、冗長データバスシステムで互いに独立した特定のデータバスを２つ備えることができる。この場合も、各々のデータバスは、独立した２本のバスライン、及びそのバスラインにおいてタイムトリガ方式で動作するデータバスプロトコルを有する。このため、近頃の輸送手段にすでに組み込まれているデータバスを使用することが可能である。例えば、２線式ＣＡＮデータバス又は２線式ＦｌｅｘＲａｙデータバスは、次のように輸送手段に組み込まれる。第１のデータバスが輸送手段の左側に組み込まれ、２本のデータラインを有する第２のデータバスが輸送手段の右側に組み込まれる。これに対して、一方のデータバスを車両のインナールーフライニング部近傍に組み込み、もう一方のデータバスをフロアグループ部近傍に組み込むことにより、冗長データバスシステムとして構成することも可能である。

各々のマイクロコンピュータは、安全性に関連する全ての制御タスクの全情報が各々の制御装置に与えられるように、安全性に関連する全ての制御タスクに対する制御ソフトウェアを備えることが好ましい。これによって、障害が発生した場合に、各々の制御装置が、いずれの制御タスクについても個々のマスタ制御装置の代替として機能することもできる。輸送手段の構成時に、特定の制御装置によって置き換え可能な、安全性に関連する機能が決定される。このように、安全性に関連する制御装置には、アプリケーションソフトウェアとして同一のソフトウェアシステムが組み込まれる。

二重に具現化される制御装置上のソフトウェアは、少なくともドライブトレインに対してフォールトトレラントなソフトウェアとしてプログラミングされ、モータアセンブリ及びトランスミッションアセンブリの機能の制御及び／又は調整を行う。制御装置は各種センサからデータを収集し、それを統合して均一なデータレコードを形成できる。このデータレコードについては、フォーマットが最初から予め定義されている。このように、データバスシステム内のデータは収集され、常時最新の状態に維持される。このデータレコードに基づいて、制御装置はシステム内で障害が発生しているかどうか、又は安全性が不可欠なタスクの実行中に制御装置、センサ、及びアクチュエータが正常に動作しているかどうかを検出することができる。

データレコードは、各種センサからのデータについてデータ融合が実行されるように構成される。これを行うために、支援システム（例えば、カメラセンサ、レーダセンサ、及びＧＰＳセンサ）にてデータ融合が実行可能である。又は、各種入力インターフェースからのデータがデータレコードに格納される（つまり、アクセルペダル入力、ブレーキ入力、及び操舵入力からのデータが記憶される）。制御装置用のデータ管理システムは、個々の構成要素を互いに調整する機能を実行する。例えば、制動機能、操舵機能、及びエンジン機能が互いに照合され、障害について検査される。また、データレコードにより、ほぼリアルタイム状態の包括的なデータ可用性でエネルギー管理システムを実行することも可能である。このように、車両全体でエネルギー資源が把握されているので、例えばハイブリッド駆動の場合、電気モータのシステムと従来の火花点火エンジンのシステムとを容易に切り替えることが可能である。データレコードは、メッセージとしてデータバスシステムを介して、安全性が不可欠でありその目的で提供された全ての制御装置に伝送されることが可能であるので、各々の制御装置が各種の制御タスクの最新の状態を瞬時的に把握することができる。

本発明の記載を有利に構成及び発展させる様々な方法が考えられる。この点については、従属請求項及び以下の実施形態の説明を参照されたい。本発明に係るデータサブシステムの実施形態を以下の図面に示す。

データバスシステムは、第１のデータバスＢ１と第２のデータバスＢ２を設けることにより、冗長方式で具現化される。２つのデータバスＢ１及びＢ２の例として、同一又は類似の伝送周波数で動作し、同一のメッセージプロトコルを有するＦｌｅｘＲａｙデータバスが挙げられる。この場合、安全性に関連する構成要素に割り当てられるタイムスロットは、バスアーキテクチャに応じて変更可能である。各々のデータバスＢ１及びＢ２は、それぞれ、さらにデータバスラインを２本ずつ有しており、データバスＢ１はデータバスライン１、２を有し、データバスＢ２はデータバスライン３、４を有する。２つのデータバスＢ１及びＢ２には、センサ、アクチュエータ、制御装置等の各種の構成要素が接続される。車両（例えば、自動車又は商用車）の機能が安全性に不可欠かどうかに応じて、構成要素はデータバスＢ１又はＢ２の一方だけに配置されたり、または２つのデータバスＢ１及びＢ２からメッセージを受信し比較できるようにデータバスＢ１とＢ２との間に配置されたりする。

電子制御装置５は、車両内の運転者制御要素及び表示要素を制御するマンマシンインターフェースとして、データバスＢ１に接続されている。例えば、コンビネーションディスプレイの場合、運転手制御ユニットに対するメッセージ及び表示部に対するメッセージは、Ｂ１を介して伝送又は受信可能である。このために、制御装置５はデータバスメッセージを伝送及び受信するためのトランシーバを備えている。更なる制御装置６は、別の運転者制御／表示ユニットの制御及びデータバスＢ２を介したメッセージの伝送を行うものであり、データバスＢ２に接続されている。データバスＢ１及びＢ２は、制御装置５と制御装置６に対して別々のタイムスロットが提供され、２つのデータバスＢ１及びＢ２におけるデータバスプロトコルが同じになるように設計されることが可能である。この場合、制御装置５のメッセージは、そのために提供されているデータバスＢ１のタイムスロットで伝送されるが、データバスＢ２のこのタイムスロットでの伝送は、データバス２に制御装置５は接続されていないという理由で行われない。これと対照的に、制御装置６からのメッセージは、そのために提供されているタイムスロットでデータバスＢ２に伝送されるが、データバスＢ１のタイムスロットは解放されたままである。しかし、一方で、データバスプロトコルをバスユーザに正確に適合させ、２つのデータバスシステムＢ１とＢ２においてタイムスロットのシーケンス及び割り当てられる構成要素が異なるようにすることもできる。

車両のヨーレートを測定するセンサ７及び８はそれぞれ、データバスＢ１又はＢ２のいずれか１つと接続し、測定されたセンサ値を対応するデータバスＢ１又はＢ２に適用する。ＥＳＰセンサ９及び１０は、車両で測定された特定の変数値を記憶し、接続されているデータバスＢ１又はＢ２を介してそれぞれ読み込まれる。これにより、読み込まれたセンサ値は更なる処理を行うために制御装置で利用できるようになる。このように、センサ値はデータバスにて容易に診断及び読み出しが可能である。カメラシステム１１はデータバスＢ１に接続されており、記録内容を提供する他、車両の周囲の状況からすでに割り当てられている対象物のタイプ又は対象物のリストを提供する。画像又はデータ項目はデータ融合のために必要であり、例えば、レーダセンサ１３又はレーザレーダセンサ１４からのデータと一緒に比較、検査、又は処理される。カメラ１１、１２の支援システムは、歩行者又は車両を検出して事故を防止するために、各種のソフトウェア機能に接続されている。このようなセンサ１３、１４及び構成要素１１、１２は、支援システムとして運転者をサポートするものであるので、安全性が不可欠な用途とみなされない。したがって、単一のデータバスＢ１又はＢ２を介してデータを伝送するだけで十分である。センサシステム１３、１４で障害が発生すると、車両内で警告ランプが点灯して構成要素の故障を知らせる。車両全体の障害又はデータバスシステム全体の障害に対する規定は存在しないので、ここで冗長構成又は大規模なフォールトトレランスは必要ない。当然ながら、それぞれの構成要素自体においてソフトウェアにより、障害の検出を実施することも可能である。

車両の場所を特定するために、ＧＰＳ構成要素１５及び１６が、データバスＢ１及びＢ２にそれぞれ接続されている。データバスＢ１及びＢ２では、利用できるソフトウェアによって、車両の現在の周囲の形状モデルをモデル化して車両の正確な位置を示すことができる。ＧＰＳ構成要素１５及び１６の結果データはメッセージとしてデータバスＢ１、Ｂ２上に格納されるので、この結果データを制御装置がそれぞれの機能のために使用することができる。

ブレーキ構成要素１７、１８、２０は、ブレーキシリンダを作動させるため、又はブレーキ値を記憶するためにデータバスＢ１、Ｂ２にそれぞれ接続されている。構成要素１７、１８、２０は、シンプレックス（単方向通信）構成要素として車輪上にそれぞれ配置され、エンジン又はブレーキ系の空圧構成要素又は油圧構成要素を作動させる。これらの構成要素１７、１８、２０によって予め定義された特定の値に従って車両の制動動作に影響を与えることができる。ブレーキユニット１７、１８、２０で障害が発生した場合は、センサ及びそれぞれ対応するデータバスＢ１又はＢ２によってその障害が検出され、本来のブレーキ構成要素１７の代わりにその他の各ブレーキユニット（例えば、ブレーキ構成要素２０）を使用することができる。このようなブレーキ構成要素１７、１８、２０の作動及び停止は、割り当てられているブレーキ制御装置によって行われる。

最後に、構成要素１９、２１、２２の形式でトレーラ内の構成要素を作動させるための制御装置も利用できる。これらの構成要素１９、２１、２２は、トレーラ内のブレーキシステムもしくはエアサスペンションシステム、又は類似のユニットを制御する。これらのトランスミッションユニットの１台で障害が発生すると、センサ及び各々のデータバスＢ１又はＢ２でその障害が検出される。さらに、割り当てられている制御装置及びその決定手段３３が障害を検出した後、別のトランスミッションユニットが機能を実行する。決定手段は、制御装置の構成要素であっても、又は個別の回路又はソフトウェアとして実現することも可能である。

センサ、アクチュエータ、又は比較的簡単な制御装置等の上記構成要素は、データバスＢ１若しくはＢ２の一方にのみ割り当てられフェールセーフである必要がないが、本発明に従い二重化方式によって具現化される構成要素、又は二重化方式によって具現化される制御装置の場合は、２つのデータバスＢ１及びＢ２と通信できるようにデータバスＢ１用のトランシーバと、データバスＢ２用の更なるトランシーバを備えることで、切り替えが行われる。

電気モータ２３及び２４はインテリジェントな制御機能を備え、二重化方式で実施される。例えば、電気モータ２３は手動による運転者制御機能（例えば、車両を制御するサイドスティック）を有し、一方、電気モータ２４は、ペダルボックスに接続して運転者の足による作動を制御したり、作動に影響を与えたり、又は作動を記憶する。エンジンユニット２３、２４の１つで障害が発生した場合、その障害が検出されると、別の電気モータで、直接、機能が実行される。図の例では、サイドスティック２５は２つの電気モータ２３及び２４に接続されており、マスタ機能は電気モータ２３により実行される。つまり、障害が発生していない場合、標準では電気モータ２３によってサイドスティックが作動させられる。障害が発生し、電気モータ２３及び２４の制御ユニット内のデータバスＢ１及びデータバスＢ２で処理された値が一致しない場合は、電気モータ２４がサイドスティック２５と交信できるように、決定手段３３が電気モータ２３のタスクを電気モータ２４に移す。この機能を使用して、サイドスティック２５に対しては高度なフェールセーフが適用されている。障害が発生した場合、特定の状況下では、車両事故を招きかねないからである。電気モータ２４によってマスタ機能が実行されるように、障害検出後は数ミリ秒以内に切換えを行うことが可能である。同時に、運転者が障害を除去できるように、運転者にも障害が通知される。

制御装置２６〜２９も同時に２つのデータバスＢ１及びＢ２に接続されている。制御装置２６〜２９は、車両における各種の機能を実行できる。例えば、乗員室内の構成要素の制御、エンジン構成要素の作動、ステアリングシステムの制御、或いは安全性が不可欠なその他の機能の実行などが可能である。これらの制御装置２６〜２９はそれぞれ２台のマイクロコンピュータを搭載している。２台のマイクロコンピュータの間にはインターフェースが存在する。このインターフェースで、第１のマイクロコンピュータμＲに対してデータバスＢ１を介して受信されたメッセージ又はそのメッセージから算出されたデータと、第２のマイクロコンピュータμＲに対してデータバスＢ２から生成された結果データ又はデータバスＢ２のメッセージに基づいて算出された結果データとが比較される。インターフェースには決定手段３３が接続されている。決定手段３３は、例えば、２台のマイクロコンピュータμＲが順調に機能しているかどうかをチェックし、この２台のマイクロコンピュータのデータを比較するウォッチドッグとして実施されることが可能である。決定手段はまた、制御装置の構成要素であっても、回路又はソフトウェアとして別個に提供されることも可能である。障害が発生した場合、つまり、一方のマイクロコンピュータμＲの計算済み結果データがもう一方のマイクロコンピュータμＲの計算済み結果データと異なっている場合、決定手段３３が障害を検出し、診断内容に応じて、例えば、制御装置（制御装置２６）の機能を待機中の制御装置２７に移す。これにより、制御装置２６が故障状態にある間、制御タスクは待機中の制御装置２７で実行可能となる。ただし、決定手段３３は、タイムスロット内でメッセージが発生しない場合、又は同じデータバス上の連続するメッセージが異なる場合にも障害を検出する。その場合、制御装置は障害ルーチンに応じて、自身をオフに切り換えるか、別の構成要素のタスクを実行する。

ただし、信頼性の確認の後で制御装置２６の２台のマイクロコンピュータμＲの一方の結果データだけを再度使用するようにすること、及び値範囲の確認後にシステムがマイクロプロセッサμＲ又はそのセンサシステムに異常があると見なしてから所定の時間の結果データの比較を停止するようにすることも可能である。ステアリングシステム３０を作動させるために、ここでも２台の電気モータ３１及び３２が提供されており、これらの電気モータは電気式、油圧式、又は空圧式によって輸送手段のステアリングリンク機構に係合することができる。それにより、車両の操舵動作が変更される。これらのステアリングユニットの１台で障害が発生した場合、センサによって障害が検出されると、制御装置３１は待機中の制御装置３２に制御機能を移す。ただし、必要に応じて、制御機能は他の制御装置２６〜２９のうちの１台に移されることも可能である。制御装置２６〜２９には、障害が発生した場合に制御装置２６〜２９も制御機能を実行できるように、最初から関連する全ての制御ソフトウェアが入力されている。

安全性に関連する制御装置、アクチュエータ、及びセンサ２３〜３２が２つのデータバスＢ１及びＢ２に接続されると、その結果として、２つのデータバスシステム上のメッセージおよびそこから算出された結果データが互いに各々の制御装置２３〜３２で比較される。本発明に係る概念では、制御装置内のマイクロコンピュータμＲに対して実質的に同じハードウェア及び実質的に同じソフトウェアが２度提供される。このため、メッセージを基に結果が二重に（つまり冗長的に）算出される。したがって、障害が発生していない場合、それぞれデータバスＢ１又はＢ２のメッセージに基づいて算出される結果データ項目は同じになる。結果データが異なる場合、データバスシステム内で障害が発生していることが容易に検出される。この場合、決定手段３３は、所定の障害処理ルーチンに従って、制御タスクを別の制御装置又は別のマイクロコンピュータμＲに分散する。制御装置２３〜３２内には、計算タスクを個別に実行する２台のマイクロプロセッサμＲを搭載することが好ましい。こうすることで、障害が発生していない場合に、算出されるデータが理論上同じ値をとるように保証することが可能である。その場合、マイクロプロセッサμＲはまた、障害において重要でない他のタスクを引き続き実行することもできる。したがって、各制御装置２３〜３２のフェールセーフタスクだけでなく、両方のマイクロコンピュータμＲ上での比較を必要としない、その他の機能を実行することもできる。

本発明に係るデータサブシステムのシステムアーキテクチャの概略図である。

Claims (6)

1. 同じデータバスタイプ（ＦｌｅｘＲａｙ、ＣＡＮ）の２つのデータバス（Ｂ１、Ｂ２）と、当該データバスによって接続される少なくとも２台のフェールセーフ構造の制御装置（２６〜３２）を有し、
   安全性に関連する制御メッセージが両方のデータバス（Ｂ１、Ｂ２）を介して並列に伝送されて前記制御装置（２６〜３２）内で処理され、前記それぞれの制御装置（２６〜３２）が割り当てられた制御ソフトウェアによって個々の制御タスクを実行する、冗長データバスシステムにおいて、
   各々の制御装置（２６〜３２）に、一つの制御装置（２６〜３２）で障害が発生した場合に他の制御装置（２６、２７、２８、又は２９）でも制御が実行されるように、制御ソフトウェアによって互いに独立して作動して第１の制御タスクと第２の制御タスクの両方を実行する２台のマイクロコンピュータ（μＲ）を設け、
   前記制御装置の前記２台のマイクロコンピュータ（μＲ）の間に１つのデータインターフェース（３４）を設け、このインターフェースを介して、前記安全性に関連する制御メッセージに基づいて算出された結果データ項目を相互に交換及び比較し、
   決定手段（３３）を設け、該決定手段（３３）が前記結果データ項目の比較に基づいて制御タスクをどのマイクロコンピュータ（μＲ）又はどの制御装置（２６〜３２）で実行するかを決定することを特徴とする冗長データバスシステム。
2. 制御装置（２６〜３２）のうち、制御タスク用のマスタ制御装置が割り当てられ、前記制御タスクのシーケンスが正常に実行される場合は前記マスタ制御装置が前記制御タスクを実行し、障害が発生した場合は前記決定手段（３３）が前記制御タスクを他方の制御装置（２７〜２９）に制御を移すことを特徴とする請求項１に記載の冗長データバスシステム。
3. 制御タスクごと及びマイクロコンピュータ（μＲ）ごとに、前記データバス（Ｂ１、Ｂ２）のいずれかとの接続が行われることを特徴とする請求項１あるいは２に記載の冗長データバスシステム。
4. 前記２つのデータバス（Ｂ１、Ｂ２）は互いに独立し、それぞれが２本のバスライン（１、２及び３、４）を有し、一意的に定義されたメッセージレシーバ（トランシーバ）が前記データバス（Ｂ１、Ｂ２）のタイムスロットに割り当てられることを特徴とする請求項１〜３のいずれか一項に記載の冗長データバスシステム。
5. 各々のマイクロコンピュータ（μＲ）は、前記安全性に関連する制御タスクに関する全ての情報が各々の制御装置（２６〜３２）に与えられるようにした前記制御ソフトウェアを有することを特徴とする請求項１〜４のいずれか一項に記載の冗長データバスシステム。
6. 前記２つのデータバスが同じバスプロトコルを有し、それぞれの前記データバスに接続される前記構成要素に応じてタイムスロットの分配が可変であることを特徴とする請求項１〜５のいずれか一項に記載の冗長データバスシステム。

Images