JP5089693B2 - 制御装置および機能制御方法 - Google Patents

Description

本発明は、様々な機能に関連する複数のマイクロコントローラを有し、様々な複数の機能を統合した制御装置に関する。本発明は、さらに、様々な複数の機能の統合的な制御方法に関する。

かかる制御装置および制御方法は、例えば、車両産業やその他産業で使用可能である。

電子制御装置の中に複数の機能を統合する際には、有用性と安全性という要求を満たす必要がある。この１つの基準は分析の程度と耐故障性である。例えばブレーキシステムと乗り心地評価システムの２つの異なる機能を１つの制御装置に統合した場合、それらシステムは、少なくとも、独立したシステムと同じ基準を達成しなければならない。これは、もっとも単純なケースであっても、冗長性とエラー監視処理の２つのシステムを完全に引き継ぐ必要があることを意味する。有用性と耐故障性はここで失われてはならない。

これは、次のような事例で例示することができる。例えば、ブレーキシステムと乗り心地評価システムとがそれぞれ、２つのマイクロコントローラを有する場合、システム全体に存在するユニットは合計で４つになる。しかし、これによって相当なスペースが必要となる。また開発リスクも、装置の複雑さに応じて増大する。この装置のためのコストも比較的高くなってしまう。

例えば独国特許出願公開第１９８００３１１号明細書に記載の制御装置は、２つのマイクロコントローラを含み、当該マイクロコントローラ間でデータの同期比較が行われる。当該マイクロコントローラの一方で不具合が認識されると、その障害はシステムによって認識され、システム全体がセーフ状態に移行するか、あるいはシャットダウンされる。

例えば独国特許出願公開第１０２００５０３０７７０号明細書にはいわゆるマスタ／スレーブ方式が記載されている。これらの方式では、検査は、異種冗長に行われる。不具合が認識されると、システム応答もセーフ状態（例えば予防状態）に移行するか、あるいはシャットダウンされる。

これら既存のシステムの欠点は、障害が認識された時点でシステム全体が完全にシャットダウンされるため、障害がない機能も機能しなくなってしまうことである。

他のシステムとして、例えば独国特許出願公開第１０２００４０３２４０５号明細書に記載されている制御装置は、スペースを利用でき、３つ以上のマイクロコントローラが使用されている。多数の決定がこの制御装置で行われる。しかしながら、このシステムは多くの要素で構成されていて、複雑な設計となるために、車両への応用には適していない。また高いシステムコストは、車両への応用上障害となる。

そこで本発明は、既存のシステムより複雑な設計が少なく、障害認識時にシステム全体を完全に終了させないシステムの制御装置を提供することを目的とする。

さらに本発明は、障害がなく、先行技術と比較して単純かつ／または安価なシステムにて、複数の機能を統合制御する方法を提供することを目的とする。

上記の目的は、請求項１に記載の本発明による制御装置によって達成される。本制御装置には様々な機能が統合され、本制御装置に備えられた別個のマイクロコントローラにはそれぞれ機能が割り当てられている。本発明によれば、制御装置は監視ユニットを有し、監視ユニットには複数の機能が実装されている。本発明によれば、制御装置において障害が認識された場合には、障害のある機能のみがシャットダウンされる。これにより、１つの制御装置に複数の機能が組み合わされているにも拘らず、対応すべき障害が認識されても、制御装置全体が直ちに全機能を終了する必要がないことが保障される。

本発明の好ましい実施形態は、主たる請求項に従属する従属請求項に由来する。

監視ユニットは、したがって、各機能が割り当てられたマイクロコントローラの外部に配置可能である。

各マイクロコントローラは、有利なことには、それぞれのマイクロコントローラに配置された検査ユニットによって、相互の機能を検査する。これら統合された検査ユニットに加えて、マイクロコントローラの外部に配置される相互検査ユニットを設けてもよい。

また、エラー解析とエラー処理を専門に行う診断ユニットをさらに設ければ、これは特別な利点となる。この場合において、機能の１つに障害が発生すると、これら機能は当初は動作停止する。しかし、これに対する診断が診断ユニットによって下されると、修復可能な障害として認知可能であり、その後、修復可能である。このように、従前に障害が発生した機能であっても、対応する障害修復の後に再動作可能である。

診断ユニットは上述の監視ユニットに有利に関連させることができる。この点において、具体的には診断ユニットを、複数の機能を有するマイクロコントローラに割り当てることができる。

本発明の好適な実施形態によれば、第１の機能は車両の予防安全に関するものであり、第２の機能は車両の衝突安全に関するものである。例えば、第１の機能はブレーキや安定性に関し、第２の機能はエアバッグやベルトなどの乗員保護装置に関する。

本発明の他の好適な実施形態によれば、車両の予防安全分野における複数の機能が統合される。また、これに代えて、車両の衝突安全の分野における複数の機能を統合してもよい。

最後に、本発明のさらに好適な実施形態によれば、車両のテレマティクスの分野における少なくとも１つの機能を、車両の衝突安全の分野および／または予防安全の分野における少なくとも１つの機能に統合可能である。

上記の目的は、請求項１３に記載の本発明による様々な複数の機能の統合的な制御方法によっても達成される。マイクロコントローラも、本方法によって、それぞれの個々の機能に割り当てられる。それぞれの機能は、複数の機能を監視するよう実装された、上述の少なくとも１つの監視ユニットによって監視され、障害が認識されると、制御装置上の機能は、損傷を受けた単一の機能または複数の機能が減少するのみである。障害の生じた機能は、任意かつ有利に診断システムによって修復され、それ以降再動作可能となる。

本発明の他の特徴、詳細および利点は、図面に示す実施形態から明らかとなる。

本発明の第１実施形態にかかる制御装置の概略構造を示す図である。 本発明の第２実施形態にかかる制御装置の概略構造を示す図である。 図１の実施形態にかかる最初の障害が生じた状態を示す図である。 図１の実施形態にかかる第２の障害が生じた状態を示す図である。 図１の実施形態にかかる第３の障害が生じた状態を示す図である。 図１の第１実施形態をより改良した第３実施形態にかかる制御装置の概略構造を示す図である。 図６の第３実施形態に代替可能な実施形態の概略構造を示す図である。

制御装置を図１に示す。図１は様々な機能がマイクロコントローラで実現されていることを示す。異なるマイクロコントローラに割り当てられた２つの主機能のうち、一方は、ブレーキの主機能であり、もう一方は乗り心地（ｃｏｍｆｏｒｔ）の主機能である。これは、相互に関連付けられた多くの可能な主機能のほんの１例である。また主機能は、理論的には同一のものとすることができる。図１の実施形態では、各監視ユニットはマイクロコントローラ上に実装され、各マイクロコントローラはそれぞれ、隣接するマイクロコントローラの機能を監視する。「乗り心地」機能監視ユニットは、このように、「ブレーキ」機能が割り当てられたマイクロコントローラに統合されている。図１の矢印に示すように、この「乗り心地」機能の監視ユニットは、「乗り心地」マイクロコントローラを監視する。反対に、「ブレーキ」機能監視ユニットは、「乗り心地」マイクロコントローラに統合されている。図１において、対応する矢印で示すように、この「ブレーキ」機能監視ユニットは、「ブレーキ」機能が割り当てられたマイクロコントローラを監視する。図１には、監視装置に追加された外部監視ユニットを示していて、これは、（矢印で示す通り）「ブレーキ」マイクロコントローラを検査し、あるいは、（これも矢印で示すように）「乗り心地」マイクロコントローラを監視する。機能を検査するための冗長な監視ユニットがこのように実装されている。「ブレーキ」と「乗り心地」の２つのマイクロコントローラの外部の監視ユニットは、第３のマイクロコントローラ、外部システム、あるいは、ＡＳＩＣ（Application Specific Integrated Circuit）などの他のシステムで実現される。監視機能の故障確率は個々の監視ユニットの故障確率より少ないので、システムの有用性を上述の「二重監視」によって増加させることができる。

図３は図１の制御装置の原理を示す。ここでは外部監視ユニットに障害が発生し、これが稲妻で表現されている。「ブレーキ」と「乗り心地」の２つのマイクロコントローラからなるシステムを楕円で図示したように、制御装置の主機能は、依然として安全に動作可能である。これは、障害のない少なくとも１つの監視ユニットが、依然として存在していて、それぞれの主機能を監視するからである。ここでは詳細な説明を要しない公知の方法を、障害監視ユニットの認識に使用可能である。

図１の制御装置を再び図４および図５に示す。しかしこれらの図では、障害はそれぞれ、主機能（図４では「ブレーキ」機能、図５では「乗り心地」機能）が割り当てられたマイクロコントローラの一方で発生している。

稲妻で表現したそれぞれの機能障害から分かるように、２番目の主機能を監視する監視ユニットも、潜在的な影響を受けるが、２番目の主機能の動作は依然として保障されている。それぞれの楕円は制御装置の一部を示していて、これらは、システムのうち障害がない部分として依然として動作する。したがって、本発明によれば、障害で影響を受ける部分システムのみがシャットダウンされる。

図４および図５で示されていない特殊なケースとして、両方の主機能が同一である場合がる。例えば、主機能が両方ともブレーキに関連する場合であり、いわゆる耐障害性と表現される。

図２は図１の制御装置を示すが、監視ユニットは、少なくとも１つの外部ユニットに完全に含まれている。

また、監視機能の故障確率は単一の監視ユニットの故障確率より少ないので、「二重監視」によって有用性を増加させることができる。

最後に、図６および図７は、図１に全体として示した設計を有する制御装置を実質的に系統的に示す。ここでは、「診断モジュール」と呼ばれる診断ユニットが追加統合されていて、これは、エラー発生時に分析を行うことを可能にし、障害のある部分システムを、制御装置の動作に任意に統合し、前回のシャットダウン後に機能回復させることが可能である。

図６の実施形態では、「診断モジュール」をそれぞれ「ブレーキ」機能と「乗り心地」機能のマイクロコントローラに設けている。それぞれのシステム単位での診断モジュールの介入の可能性は、それぞれの矢印で示す。「乗り心地」マイクロコントローラの診断モジュールは、そこから出ているそれぞれの矢印で示すように、別体である「乗り心地」マイクロコントローラだけでなく、「ブレーキ」マイクロコントローラ、他の診断モジュールまたは４つの監視ユニットも含めたすべてのユニットを分析し、障害ユニットあるいは障害部分システムを、任意に再び正常動作に戻すことが可能である。

図７の実施形態では、診断モジュールは外部の監視ユニットに統合されている。

制御装置の有用性は、上述の診断モジュールの追加診断機能と修復機能によって、さらに増加させることができる。

Claims (7)

1. 複数のマイクロコントローラそれぞれが同一の機能に割り当てられている制御装置において、
   各マイクロコントローラを監視する監視ユニットは複数あり、該複数の監視ユニットは、少なくとも、前記複数のマイクロコントローラの外部と、該複数の監視ユニットによって監視されるマイクロコントローラ以外のマイクロコントローラとに配置されていて、
   当該制御装置において障害が検出されると、該障害のある少なくとも１つのマイクロコントローラのみスイッチを切ることが可能であることを特徴とする制御装置。
2. 請求項１に記載の制御装置において、エラー解析とエラー処理が可能な診断ユニットを備えることを特徴とする制御装置。
3. 請求項２に記載の制御装置において、前記診断ユニットは前記監視ユニットに関連付けられていることを特徴とする制御装置。
4. 請求項３に記載の制御装置において、前記診断ユニットは、前記機能を有するマイクロコントローラに割り当てられることを特徴とする制御装置。
5. 請求項１から４のいずれか１項に記載の制御装置において、前記同一の機能は車両の予防安全分野に関連し、あるいは、車両の衝突安全分野に関連することを特徴とする制御装置。
6. 請求項５に記載の制御装置において、前記車両の予防安全分野に関連する機能はブレーキまたは駆動安定性に関連し、前記車両の衝突安全分野に関連する機能は乗員保護装置に関連することを特徴とする制御装置。
7. 各マイクロコントローラが割り当てられる同一の機能の統合制御方法において、
   各マイクロコントローラは、前記機能を監視するよう実装された、複数の監視ユニットによって監視され、該複数の監視ユニットは、少なくとも、前記各マイクロコントローラの外部と、該複数の監視ユニットによって監視されるマイクロコントローラ以外のマイクロコントローラとに配置されていて、障害が認識されると、制御装置上の機能は、損傷を受けた単一のマイクロコントローラまたは複数のマイクロコントローラが減少するのみであることを特徴とする統合制御方法。

Images