JP4319547B2 - マルチコア型冗長制御コンピュータシステム、自動車における安全上重要な用途のためのコンピュータネットワーク並びにその使用 - Google Patents

Description

本発明は、自動車における安全上重要な用途のためのマルチコア型冗長制御コンピュータシステム、コンピュータネットワーク並びに車両制御コンピュータにおけるコンピュータネットワークの使用に関する。

自動車における安全上重要な用途／システム（例えば電子ブレーキシステムＡＢＳ、電子スタビリティプログラムＥＳＰ、電気油圧式ブレーキ、ブレーキ−バイ−ワイヤ等）のために、制御コンピュータ（マイクロコントローラ等）を使用することが知られている。このいわゆる電子コントローラまたは制御装置は今日既に、実施形に応じて、物理的および／または機能的なフォールバックモードを有する。

油圧式のフォールバックモードは例えば、アンチロックブレーキ装置において故障の場合に電子式ＡＢＳコントローラを遮断することによって実現される。コントローラの遮断時に通電しない油圧弁は、（ＡＢＳなしに）普通のブレーキングを更に行うことができるように構成されている。すなわち、システムまたはシステム部分（例えばブレーキシステムの場合の油圧装置）の故障の場合、緊急時運転または制限された運転が保証される。従って、機械的なフォールバックモード（制限された機能）を有するシステムの場合、エラー（コンピュータエラー、メモリエラー）の認識時に制御コンピュータを遮断するかまたは適当な個所で周辺要素から制御コンピュータを切り離すことで充分である。これは例えば、制御コンピュータが同じプログラムを平行に同期して実行する同一の２個のマイクロプロセッサコアを備えていることによって達成される。計算結果が偏差を有する場合には、コンピュータシステムが停止される。

機能的なフォールバックモードを類似の方法で実現することができる。高価値の複雑なソフトウェア機能（例えばＥＳＰ）が機能不良であると、このソフトウェア機能は停止される。この場合、低いランクのソフトウェア機能はそのまま働く。

最新の自動車において車両機能を制御および調整するための安全な電子式ハードウェアの使用は益々増大している。その場合特に、電子制御装置の高いフェールセーフまたはフォールトトレラント（冗長設計思想）に留意される。

例えば、エックス−バイ−ワイヤ（例えば電気機械式ブレーキ）のような将来の非油圧式ブレーキシステムの場合、上述したような物理的（油圧式）フォールバックモードはもはや存在しない。その際システムを然るべく形成すると、今まで知られている自己遮断式電子制御装置をもはや使用することができないという問題が生じる。

本発明の課題は、きわめてフェールセーフであり、マイクロプロセッサシステムに関する有効性が今まで知られているマイクロプロセッサ設計思想の場合よりも高いフォールトトレラント式電子制御装置を提供することである。

この課題は、請求項１に記載のコンピュータネットワークによって解決される。

本発明のコンピュータネットワークの有利な実施形では、少なくとも１個の、特に全てのコンピュータブロックが、請求項１〜１０の少なくとも１項に記載の少なくとも１個の制御コンピュータシステムを備えている。本発明によるコンピュータネットワークの利点は、特に制御コンピュータシステムを含む同一のコンピュータブロックを使用することにより、システムが低コストで製作可能であることにある。これは、そのモジュール式構造に基づいて、小さい変更によってメーカー特有の要求（例えば、エラーを遮断するブレーキシステムまたはフォールトトレラントなブレーキシステム）に適合させることが可能である。更に、本発明によるコンピュータネットワークによって、ほとんど完全なエラー認識が可能であると同時に、機能が完全に維持される。更に、提案したコンピュータネットワークの有効性は、他の制御コンピュータシステムを追加することによってほとんど任意に高めることができる。提案したコンピュータネットワークは、更にチップ面積が小さいという利点がある。

本発明によるコンピュータネットワークの他の有利な実施形では、コンピュータネットワークがいわゆる“高温リザーブ”で運転される。この場合、すべての制御コンピュータはデータを好ましくは冗長的な車両データバスに特に分離された時間スロット／時間ウインドウで持続的に伝送する。欠陥がある場合、欠陥のある制御コンピュータシステムのアービトレーションユニットは、車両データバスへの欠陥のあるユニットのデータ流れを遮断する。それによって、常に有効なデータだけが車両データバスを経て伝送される。例えばアクチュエータまたはセンサのようなデータの消費装置は好ましくは、冗長的に伝送された情報のうちのどの情報を使用するかを決定する。

本発明によるコンピュータネットワークの他の有利な実施形では、第１の制御コンピュータシステムだけが、データを車両データバスに持続的に供給し、第２の制御コンピュータシステムは同じ計算処理を行うがしかし、車両データバスに接続されていない。欠陥がある場合、第１の制御コンピュータシステムから車両データバスへのデータの流れが中断され、第２の制御コンピュータシステムがこのデータの流れを引き継ぐ。

他の有利な実施形では、コンピュータブロックはアービトレーションユニットを備えていないで、１個または複数のアービトレーションユニットに接続されている。

他の有利な実施形では第１のコンピュータブロックだけが好ましくは冗長的なアービトレーションユニットを備え、第２のコンピュータブロックあるいは複数の他のコンピュータブロックは他のアービトレーションユニットを備えていない。更に、すべてのコンピュータブロックが少なくとも１個の好ましくは冗長的なアービトレーションユニットを備えていると有利である。

本発明によるコンピュータネットワークまたは制御コンピュータの他の実施形では、それに含まれる周辺要素（センサ、アクチュエータ等）が冗長的に設計されている。

他の有利な実施形では、制御コンピュータシステムが時間同期的に動作可能である。しかし、制御コンピュータの完全な同期が不要であるので、制御コンピュータシステムは少なくとも部分的に非同期的に作動する。部分的な同期化は好ましくは、冗長的に形成可能な車両データバスによって、タイムスライス同期化によってあるいは他の適当な同期化手段によって行うことができる。

制御コンピュータシステムが１個または複数のケーシング内に物理的に収納可能であると有利である。電子式ブレーキシステムのための電子式制御装置に両制御コンピュータシステムを一体化することあるいは電子式ブレーキシステムの異なるケーシングに制御コンピュータシステムを分割することが特に有利である。きわめて有利な分割は、通常はＥＳＰシステムのドライビングダイナミクスセンサを収容するための、車両データバスに接続されたケーシング内に、第２の制御コンピュータシステムを配置することである。

さらに本発明の対象は、請求項１に記載のコンピュータネットワークである。

第１の制御コンピュータシステムと共に第１の通信コントローラを第１のチップに一体化し、周辺要素ドライバと共に第１のアービトレーションユニットを第３のチップに一体化すると有利である。この場合、第１のチップと第３のチップの接続は例えばボンディングワイヤを介して行われる。分離されたチップの利点は、例えば第１のチップの給電部の故障時に、第３のチップがまだ作動していることにある。第３のチップは、例えば第１の制御コンピュータの存在しない計算結果に基づいてエラーメッセージが第１のアービトレーションユニットに達することにより、第１のチップの故障を認識し、そして第１のアービトレーションユニットはバス遮断によって通信コントローラを車両データバスから分離する。

本発明によるコンピュータネットワークは、本発明による冗長設計思想がソフトウェアにとって透明であるという利点を有する。本発明によるフォールトトレラント設計思想を実現するために、きわめて小さなソフトウェア部分（オーバーヘッド）で済む。これは特に、アービトレーションユニットが不連続に（ハードウェアで）形成されている。

本発明による制御コンピュータシステムは好ましくは、第１の通信コントローラを介して車両データバスに接続された冗長比較ユニットを備えている。

他の有利な実施形では、付設の制御コンピュータの一つが機能不良である場合、局所的に付設された第１のアービトレーションユニットが制御コンピュータシステムを部分的にまたは完全に動作しない状態にする。

更に、第１のアービトレーションユニットがバス遮断部を介して第１の通信コントローラを車両データバスに接続するかまたは接続解除すると有利である。

他の有利な実施形では、第１のアービトレーションユニットが、少なくとも第２のアービトレーションユニットおよび／または少なくとも第２の制御コンピュータシステムおよび／または第２の制御コンピュータシステムの他の比較ユニットの少なくとも一つとの通信のために、好ましくは冗長的な少なくとも１個の付加的な通信手段を備えている。この通信手段は好ましくはエラーラインとして形成されている。この場合、光学式または無線の通信手段、例えば光ファイバ、送受信ダイオード（発光ダイオード、レーザダイオード、フォトダイオード）、無線伝送等が考えられる。

有利な他の実施形では、第１のアービトレーションユニットが少なくとも１つの周辺要素遮断部を備え、この周辺要素遮断部が周辺要素ドライバを動作する状態にするかまたは動作しない状態にすることができる。

本発明による制御コンピュータシステムの他の有利な実施形では、周辺要素が制御バスシステムを介して周辺要素ドライバに接続されている。

更に、第１のアービトレーションユニットが故障時に、周辺要素遮断部を介して周辺要素ドライバまたは少なくとも１個の周辺要素を動作しない状態にする。

安全上重要な用途を制御するために、制御コンピュータが益々必要になってきている。この制御コンピュータは多くの場合、いわゆる電子制御装置に収納されている。用語“制御コンピュータ”とは、中央処理ユニット（ＣＰＵ）のほかにメモリや入出力機能を備えている、例えばマイクロコントローラのようなコンピュータシステムであると理解される。“マルチコア型”制御コンピュータは２個またはそれ以上の中央処理ユニットを含んでいる制御コンピュータである。

本発明の他の対象は、自動制御コンピュータにおける請求項１０に記載のコンピュータネットワークの使用である。この場合、コンピュータネットワークは自動車の機能を制御するためのアルゴリズムを備えている。

好ましい実施の形態の次の記載において、本発明によるマルチコア型制御コンピュータシステムまたは本発明によるコンピュータネットークの構成と機能を、図１に基づいて説明する。

コンピュータネットワーク１１は２つのコンピュータブロック３２，３２′を備えている。このコンピュータブロック３２，３２′は通信コントローラ２９，２９′を経て車両データバス２４（例えばCAN,Flexray,TTCAN,TTP)にデータを送るかまたはこの車両データバスから通信コントローラを経てデータを受け取る。このデータは通信装置３１を経て第４の周辺要素２６（例えばアクチュエータ）に送られる。更に、第３の周辺要素２５（例えばセンサ）から車両データバス２４を経て通信コントローラ２９，２９′にデータが送られる。コンピュータブロック３２，３２′はそれぞれコンピュータブロック３２または３２′に接続されたセンサ２０（例えば圧力センサまたはドライビングダイナミクスセンサ）からデータを受け取るかまたはアクチュエータ２０′（例えば液圧式弁コイル）にデータを送る。コンピュータブロック３２，３２′の内部構造を、第１のコンピュータブロック３２に基づいて説明する。というのは、本実施の形態の第２のコンピュータブロック３２′が同一に構成されているからである。

コンピュータブロック３２は第１のチップ７と第２のチップ２７を備えている。これらのチップは共通のチップキャリヤ２８上に配置されている。第１のチップ７には、時間同期的またはクロック同期的に作動する制御コンピュータ１，２からなる第１の制御コンピュータシステム５が配置されている。制御コンピュータ１，２は冗長的な比較ユニット１２，１３を備えている。この比較ユニットは制御コンピュータ１，２の計算結果を比較し、この計算結果を、第１のチップ７に統合された通信コントローラ２９に送る。計算欠陥が一致していないと、エラーメッセージが２本のエラーライン１６，１８を経て第１のアービトレーションユニット９に送られる。第１のアービトレーションユニット９はエラーの場合にバス遮断部２３を介して第１の通信コントローラ２９を遮断する。従って、制御コンピュータ１，２のエラーを含むデータはもはや車両データバス２４に達しない。更に、第１のアービトレーションユニット９はエラーの場合、周辺機器遮断部２１を介して周辺機器ドライバ２２を遮断する。この周辺機器ドライバにはセンサ２０やアクチュエータ２０′が接続されている。

センサ２０またはアクチュエータ２０′は制御装置特有のバスシステム３０と周辺機器ドライバ２２を介してコンピュータブロック３２に接続されている。

コンピュータネットワーク１１はコンピュータブロック３２，３２′によって形成されている。この場合、コンピュータネットワークは個々のコンピュータブロック３２，３２′と異なり、フォールトトレラントに作動する。両通信コントローラ２９，２９′を介して、両制御コンピュータシステム５，６のデータはそれぞれ時間スロット／時間ウインドウで車両データバス２４に送られる。アービトレーションユニットの一つ９または１０が制御コンピュータシステム５または６の計算エラーを検出すると、アービトレーションユニット９または１０は当該の通信コントローラ２９または２９′を遮断する。従って、間違った計算を行う制御コンピュータシステム５または６のデータはもはや車両データバス２４に達しない。この場合、車両データバス２４に接続された通信装置３１は、残りの時間スロット／時間ウインドウから必要なデータを独立して受け取ることができる。

本発明によるマルチコア式制御コンピュータシステムまたは本発明によるコンピュータネットークを示す。

Claims (10)

1. 自動車での安全上重大な用途のための２つ以上のコンピュータブロック(３２，３２’)から構成されたコンピュータネットワーク（１１）において、
   少なくとも２つのコンピュータブロックのそれぞれが、１つのマルチコア型冗長制御コンピュータシステム（５，６）を有し、このマルチコア型冗長制御コンピュータシステム（５，６）は、制御コンピュータ（１，２；３，４）を少なくとも２つずつ有し、この制御コンピュータ（１，２；３，４）は、それぞれ１つのコンピュータコアのほかに部分冗長又は完全冗長の周辺要素及び部分冗長又は完全冗長の記憶要素を備え、この場合、１つの制御コンピュータシステムの少なくとも２つの制御コンピュータ又はコンピュータブロックが、共通のチップキャリヤ（２８）又は共通のチップ（７）上に集積されていて、この場合、全てのコンピュータブロックに対して、制御コンピュータシステムの少なくとも２つの制御コンピュータ（１，２）が、これらの制御コンピュータの機能不良を監視する少なくとも１つのアービトレーションユニット（９，１０）に接続されていて、このアービトレーションユニット（９，１０）は、バス遮断部（２３）を介して前記制御コンピュータシステムに割り当てられた通信コントローラ（２９）を車両データバス（２４）に対して接続又は遮断し、この場合、前記アービトレーションユニット（９，１０）のうちの１つのアービトレーションユニットが、前記制御コンピュータシステム（５，６）のうちの１つの制御コンピュータシステムのエラーを検出した時に、このアービトレーションユニット（９，１０）が、該当する通信コントローラ（２９，２９′）を遮断し、その結果、エラーを含む前記制御コンピュータシステム（５，６）のデータが、前記車両データバス（２４）に達しないことを特徴とするコンピュータネットワーク。
2. １つの制御コンピュータシステム（５）の少なくとも２個の制御コンピュータ（１，２）が、クロック同期的に少なくとも作動することを特徴とする請求項１に記載のコンピュータネットワーク。
3. 少なくとも１つの制御コンピュータシステム（５）が、冗長比較ユニット（１２，１３）を備えていることを特徴とする請求項１又は２に記載のコンピュータネットワーク。
4. 付設の制御コンピュータ（１，２）の１つが機能不良である場合、１つの制御コンピュータシステム（５）に割り当てられたアービトレーションユニット（９）が、この制御コンピュータシステム（５）を部分的に又は完全に動作しない状態にすることを特徴とする請求項１〜３の少なくとも１項に記載のコンピュータネットワーク。
5. １つの制御コンピュータシステムに割り当てられた前記アービトレーションユニット（９）は、少なくとも１つの周辺要素遮断部（２１）を備え、この周辺要素遮断部(２１)は、周辺要素ドライバ（２２）を動作する状態にするか又は動作しない状態にすることができることを特徴とする請求項１〜４の少なくとも１項に記載のコンピュータネットワーク。
6. 周辺要素（２０，２０′）が、制御バスシステム（３０）を介して前記周辺要素ドライバ（２２）に接続されていることを特徴とする請求項５に記載のコンピュータネットワーク。
7. 前記通信コントローラは、前記制御コンピュータシステムと共に１つのチップ（７）上に集積されていて、前記アービトレーションユニットは、前記周辺機器ドライバと共にもう１つ別のチップ（２７）上に集積されていて、この場合、これらの両チップは、ボンディングワイヤを介して接続されていることを特徴とする請求項５又は６に記載のコンピュータネットワーク。
8. １つの制御コンピュータシステムに割り当てられた前記アービトレーションユニット（９）は、故障中に前記周辺要素遮断部（２１）を介して前記周辺要素ドライバ（２２）又は少なくとも１つの周辺要素（２０，２０′）を動作しない状態にすることを特徴とする請求項５〜７のいずれか１項に記載のコンピュータネットワーク。
9. 全てのコンピュータブロックが、同一に構成されていることを特徴とする請求項１〜８の少なくとも１項に記載のコンピュータネットワーク。
10. 前記コンピュータネットワーク（１１）は、車両制御コンピュータとして使用されることを特徴とする請求項１に記載のコンピュータネットワーク。

Images