JP2001525965A - 自動車コントロールシステム用マイクロプロセッサ装置 - Google Patents

Abstract

(57)【要約】 本発明は、１つのチップに一緒に配置され同じプログラムを実行する３個の中央処理装置（１，２，３）を備えた、安全上重要なコントロールシステムのためのマイクロプロセッサ装置に関する。この装置は、読出し専用メモリ（７，１２，１７）、随時書込み読出しメモリ（８，１３，１８）、入出力ユニット（９，１９）および比較器（１５，２２，２３）を備え、この比較器は中央処理装置（１，２，３）の出力信号を一致しているかどうかチェックする。中央処理装置（１，２，３）はバスシステム（４，５，６）とバイパス（１４，１６）によって互いに接続さている。このバイパスにより、中央処理装置（１，２，３）は現在のデータや命令を一緒に読取って同じプログラムに従って処理することができる。読出し専用メモリと随時書込み読出しメモリの記憶容量は、冗長的でないシステムのために必要なメモリの記憶容量の少なくとも２倍である。記憶場所は例えば、１００：５０：５０の比で次のシステムに分割されている。中央処理装置（１，２，３）は冗長的な周辺装置ユニット（１０，２０）によって、２つの完全な制御信号回路を備えている。この制御信号回路は、１個の中央処理装置（１，２，３）に故障したときに、エラーを有する中央処理装置が多数決によって識別可能であり、緊急時動作モードへの切換えが行われるように、互いに接続されている。

Description

【発明の詳細な説明】 自動車コントロールシステム用マイクロプロセッサ装置 本発明は、冗長的なデータ処理部と、別個のバスシステムを介して読出し専用 メモリ、随時書込み読出しメモリ、入出力ユニットおよび比較器に接続された、 複数のデータ処理システムを形成している複数の中央処理装置（ＣＰＵ）とを備 え、この比較器がデータ処理の結果およびまたは中間結果をチェックし、中央処 理装置がバスシステムを介して互いに情報を連絡し、同じプログラムを実行し、 バスシステムがバイパスによって互いに接続され、このバイパスにより、中央処 理装置が現在のデータや命令を一緒に読取って実行することができる、自動車コ ントロールシステム、特に安全上重要な制御装置のためのマイクロプロセッサ装 置に関する。 安全上重要であるこの種のコントロールには特に、自動車のブレーキング機能 に介入するコントロールシステムが含まれる。このコントロールシステムは多彩 なものが多数市販されている。例えば、アンチロックコントロールシステム（Ａ ＢＳ）、トラクションコントロールシステム（ＴＣＳ）、走行安定性コントロー ルシステム（ＤＳＣ，ＡＳＭＳ）、サスペンションコントロールシステム等があ る。このようなコントロールシステムが故障すると、車両の走行安定性が危険に さらされることになる。従って、エラー発生時にコントロールを停止するかまた は安全性の観点からあまり危険でない状態に切換えできるようにするために、シ ステムの操作性が絶えず監視される。電子機器の故障時に機械式または液圧式シ ステムに切換えできないブレーキシステムまたは自動車制御システムは更に重大 である。これらのシステムには、今後重要性を増すであろう“ブレーキバイワイ ヤ”のようなブレーキシステムが含まれる。このようなシステムの場合には、ブ レーキング機能は正常な電子機器に頼らざるを得ない。 アンチロックコントロール式車両ブレーキ装置を制御および監視するためのマ イクロプロセッサ装置の一例が、ドイツ連邦共和国特許第３２３４６３７号公報 によって知られている。この公報によれば、入力データは同一にプログラミング された２つのマイクロコンピュータに平行に供給され、そこで同期処理される。 両マイクロコンピュータの出力信号と中間信号が一致しているかどうかチェック される。信号が互いに異なっていると、コントロールが停止される。 ドイツ連邦共和国特許出願公開第４１３７１２４号公報に記載された回路を構 成する他の公知のシステムによれば、入力データは同様に２つのマイクロコンピ ュータに平行に供給され、そこから、コストのかかる完全な１個だけの信号処理 部に供給される。第２のマイクロコンピュータは特に監視のために役立つ。従っ て、入力信号は調整、時間的な微分計算等の後で、簡単化された制御アルゴリズ ムと簡単化された制御フィロソフィーによって更に処理可能である。簡単化され たデータ処理は、コストのかかるマイクロコンピュータで処理された信号と比較 することによってシステムの規定通りの動作を推測することができる信号を発生 するのに充分である。 ドイツ連邦共和国特許出願公開第４３４１０８２号公報により、特にアンチロ ックコントロール式ブレーキ装置のコントロールシステムのために設けられたマ イクロプロ装置が知られている。１個のチップに収納可能なこの公知のシステム は、入力データを平行に処理する２つの中央処理装置を含んでいる。両中央処理 装置に接続された読出し専用メモリと随時書込み読出しメモリは、チェック情報 のための付加的な記憶場所を有し、チェック情報を発生するためのジェネレータ を１個ずつ備えている。両中央処理装置の一方の出力信号が制御信号を発生する ために更に処理され、他方の中央処理装置が受動的な中央処理装置として、能動 的な中央処理装置を監視するためにのみ役立つ。 ドイツ連邦共和国特許出願公開第１９５２９４３４号公報により、冒頭に述べ た種類の装置が知られている。この装置の場合には、同期的に動作する２個の中 央処理装置が１個または複数のチップに設けられ、同じ入力信号を受け取り、同 じプログラムを実行する。その際、両中央ユニットは別個のバスシステムを介し て読出し専用メモリと随時書込み読出しメモリおよび入出力ユニットに接続され ている。バスシステムはドライバまたはバイパスによって互いに接続されている 。このドライバまたはバイパスにより、両中央処理装置は、供されるデータと命 令を一緒に読取り、実行することができる。この装置は記憶場所を節約すること ができる。両中央ユニットの一方だけが完備した読出し専用メモリと随時書込み 読出しメモリに（直接的に）接続され、第２のプロセッサの記憶容量はチェック データジェネレータに関連してチェックデータ（パリティ監視）のための記憶場 所に制限されている。すべてのデータへのアクセスはバイパスを介して行われる 。それによって、両中央処理装置はそれぞれ完備したプログラムを実行すること ができる。 上記のすべての装置は基本的には、差が発生したときの冗長的に処理されたデ ータの比較とエラー信号の発生に基づいている。そして、１つのシステムのエラ ーまたは故障の発生時に、コントロールを停止することができる。緊急時動作モ ード、すなわちエラー発生後のコントロールの継続は不可能である。このような 緊急時動作モードは基本的には、エラー源の識別および遮断に関連して、システ ムを２倍にすることによってのみ可能である。 本発明の根底をなす課題は、エラーの発生時に緊急時動作モードが可能となる 、冒頭に述べた種類のマイクロプロセッサ装置を、最も少ない付加的なコストで 提供することである。 この課題は請求項１記載のマイクロプロセッサ装置によって解決される。この マイクロプロセッサ装置の特徴は、冗長的でないシステムと比較して全部で少な くとも２倍の記憶容量を有する少なくとも３個の中央処理装置が設けられ、中央 処理装置が冗長的な周辺装置ユニットによって、少なくとも２つの完全な制御信 号回路に拡張され、そして１個の中央処理装置およびまたはそれに所属する構成 要素が故障したときあるいはデータ処理システムの１つにエラーが発生したとき に、エラーを有する中央処理装置が識別ユニットでの多数決によって識別可能で あり、かつ緊急時動作モードへの移行が行われるように、中央処理装置が互いに 接続され、緊急時動作モードにおいて記憶容量全部を有する少なくとも１つの制 御信号回路が使用可能であり、エラーを含む中央処理装置に依存する出力信号ま たは制御信号の出力が阻止されることにある。 本発明では、きわめて簡単なコントローラ構造のために、きわめて希な場合、 冗長性、すなわち冗長的なデータ処理の維持が省略される。というのは、短い緊 急時動作相の間他のエラーの発生は、きわめて不利であり、制御の停止が問題に ならないかまたはリスクを増大することになるからである。その代わり、エラー の発生時にエラー源または正常なシステムを識別した後で、エラーの作用が除去 され、エラーのないシステムと信号に基づいて制御およびまたは調整が続けられ る。 本発明の有利な実施形では、バスシステムを１つずつ備えた３個の中央ユニッ トが設けられ、データ処理システムの１つにエラーが発生したときあるいは中央 処理装置の１つが故障したときに、残りの両データ処理システムまたは中央処理 装置が全部で少なくとも読出し専用メモリと随時書込み読出しメモリの全記憶容 量を使用可能であり、すべての中央処理装置がバイパスを介して随時書込み読出 し装置の記憶場所と入出力ユニットに接続されている。 その際、１つの中央処理装置が、冗長的でないシステムのために必要な読出し 専用メモリと随時書込み読出メモリの全記憶容量（１００％の記憶容量）を備え 、他の両中央処理装置がこの全記憶容量の少なくとも５０％を備えていると、特 に合目的的であることが判った。 本発明は、ドイツ連邦共和国特許出願公開第１９５２９４３４号公報によって 知られている上記の装置から出発している。この装置は原理的には、完全なデー タ処理システムと不完全なデータ処理システムからなり、所属の周辺装置ユニッ トを備えた付加的な完全データ処理システムによって、このシステムを拡張して いる。これにより、緊急時動作可能な全体システムを相互接続形成する２つの完 全な制御信号回路または制御信号処理システムが生じる。この全体システムはプ ロセッサの故障時およびエラー源の識別の際にも、制御を維持することができる 。個々のシステムまたは構成要素の本発明による相互接続により、プロセッサの 故障時に、正常の回路を使用することによって、制御と調整を継続することがで きる。 マイクロプロセッサ装置の価格を決定する記憶場所の全体個所は、冗長的でな いシステムにおける処理と比較して２倍になるだけある。この場合、個々のプロ セッサに対する記憶場所の分配と割り当ては広い限界内で可変である。すなわち 、個々のすべてのプロセッサまたは個々のすべてのプロセッサユニットが全部の プログラムを実行できるようにしなければならない。 マイクロプロセッサ装置の本発明による実施形は、すべての構成要素または主 要な構成要素、特にすべての中央処理装置、メモリ、比較器およびバイパスと、 必要であれば入出力ユニットを、１個のチップに収容することを可能にする。 ３つの中央処理装置は、メモリ、入出力ユニットおよび周辺装置ユニットと共 に、電圧供給部等を含めて、２つの完全なデータ処理システムと１つの不完全な データ処理システムを形成する。完全なプログラム実行のために必要な記憶場所 は複数のデータ処理システムに分配される。このデータ処理システムは好ましく はそれぞれ１つの中央処理装置と、バスシステムと、読出し専用メモリおよび随 時書込み読出しメモリを含んでいる。この場合、エラーの発生時および緊急時動 作モードへの移行の際に正常なシステムが完全なデータ処理のために充分な記憶 場所を有し、完全なプログラムを実行することができるように、記憶場所が個々 のデータ処理システムに分配されている。 本発明の他の実施形は、マイクロプロセッサ装置が、ブレーキバイワイヤ、Ａ ＢＳ、ＴＣＳ、ＡＳＭＳ等のような複数の自動車コントロールシステムまたはこ れらの自動車コントロールシステムの組み合わせのために設計され、緊急時動作 モードがすべてのコントロールシステムの運転を維持するかるいは選択されたコ ントロール機能、例えば安全上きわめて重要な機能だけに制限されている。 従属請求項には他の有利な実施形が記載されている。 本発明によるマイクロプロセッサ装置の基本構成要素を概略的に示す添付の図 と、次の説明とから、本発明の他の細部が明らかになる。この図は本発明の一実 施の形態の原理的な構成および作用を説明するために役立つものである。 図はシングルチップ型マイクロコンピュータシステムに関する。このシングル チップ型マイクロコンピュータ装置は、同期作動する３個のプロセッサすなわち 中央処理装置１，２，３を備えている。このプロセッサは演算コア、あるいはそ の機能のためにプロセッサコアとも呼ばれる。各々のプロセッサにはバスシステ ム４，５，６が付設されている。中央処理装置１，２，３は冗長的に設計された 同期式クロック装置ｃｌ（コモンクロック）に接続されている。 中央処理装置１すなわちプロセッサコア１は読出し専用メモリ７（ＲＯＭ１） と、随時書込み読出しメモリ８（ＲＡＭ１）と、入出力ユニット９とによって補 足されて、完備した（完全な）データ処理システムまたはマイクロコンピュータ ＭＣ１を形成している。必要な周辺構成要素（周辺装置１）は、外側のブロック １０によって象徴的に示してある。周辺構成要素には、電圧供給部と、入力信号 （例えば自動車コントロールシステムにおけるセンサ信号）供給部と、データ処 理システムの出力データまたは出力信号によるアクチュエータ制御装置または弁 制御装置等が含まれる。 中央処理装置２を収納した、完備していない第２のデータ処理システムすなわ ちマイクロコンピュータＭＣ２は、図示した実施の形態では、冗長的でないシス テムのために必要なデータの５０％の記憶場所だけしか含んでいない。マイクロ コンピュータＭＣ２の中には、読出し専用メモリの場所１２と、随時書込み読出 し領域内のデータのための記憶場所１３が象徴的に示してある。 バス１（バスシステム４）とバス２（バスシステム５）がバイパス１４を介し て互いに接続されている。バイパス１４は中央処理装置１による、記憶場所１２ ，１３に記憶されたデータの読取りを可能にし、マイクロコンピュータＭＣ１の メモリ７，８とプロセッサコア１から、マイクロコンピュータＭＣ２、特に中央 処理装置２へのデータの流れを可能にする。これにより、両中央処理装置１，２ による完全なデータ処理プログラムの冗長的な実行が保証される。このようなマ イクロプロセッサシステムの構造と作用のそれ以上の詳細は上記のドイツ連邦共 和国特許出願公開第１９５２９４３４号公報から推察することができる。 両システムＭＣ１，ＭＣ２またはプロセッサ１，２のデータ処理結果は、上記 の公報に同様に説明されているように、比較器１５によって一致しているかどう か監視される。両プロセッサの出力信号の直接的な比較はハードウェア比較器１ ５によって行われる。 本発明によるマイクロプロセッサシステムと図示した実施の形態の重要な特徴 は、ドイツ連邦共和国特許出願公開第１９５２９４３４号公報によって知られて いる上述のシステムが、他のデータ処理システム、すなわち、マイクロコンピュ ータＭＣ３によって拡張されていることにある。このマイクロコンピュータＭＣ ３は同様に、完備していない（不完全な）マイクロコンピュータＭＣ２と、更に マイクロコンピュータＭＣ１と協働する。この付加的なマイクロコンピュータシ ステム（ＭＣ３）の機能の一部、すなわち、データの一部の記憶、例えば読出し 専用データおよび随時書込み読出しデータの５０％の記憶は勿論、第２のマイク ロコンピュータシステムＭＣ２と場合によっては第１のシステムＭＣ１によって 実施される。なぜなら、冗長機能を保証するための全体システムは全体として、 同じプログラムを実行する冗長的でないシステムと比べて２倍の記憶容量だけし か必要としないからである。その際、１つがシステムが故障した時に残りのシス テムが充分な記憶場所、すなわち少なくとも１００％を提供するように、記憶容 量を３個のデータ処理システムＭＣ１，ＭＣ２，ＭＣ３に分配しなければならな い。好ましい実施の形態では、マイクロプロセッサシステムＭＣ１が冗長でない システムのために必要な記憶場所の１００％を備え、両マイクロコンピュータシ ステムＭＣ２，ＭＣ３がそれぞれ５０％を備えている。 第３のマイクロコンピュータシステムＭＣ３は同様にバイパス１６によって（ 不完全な）マイクロコンピュータＭＣ２に接続されている。このバイパスは既に 詳細に述べたバイパス１４と同じ機能を有し、それによって中央処理装置２，３ はすべての入力データの冗長的な処理をすることができる。 マイクロプロセッサシステムＭＣ３は読出し専用メモリ１７（ＲＯＭ）と、随 時書込み読出しメモリ１８（ＲＡＭ）と、入出力ユニット１９と、周辺構成要素 ２０（周辺装置２）を備えている。ＭＣ３は図示した実施の形態では、完全なマ イクロコンピュータであり、しかし、このマイクロコンピュータにとって、前述 のように減少した記憶容量で充分である。ＭＣ２，ＭＣ３のメモリの容量は合計 で（少なくとも）１００％である。 バイパス１４，１６を経て、バス１（バスシステム４９からバス３（バスシス テム６）へ両方向にデータ流れが可能である。フェールセーフ機能を高めるため に、場合によっては、図示していない付加的なバイパスを介して、この両バスシ ステム４，６（バス１とバス３）を直接接続することができる。 マイクロコンピュータＭＣ３はマイクロコンピュータＭＣ１と同じ構造および 同じ構成要素を有する。従って、本発明によるマイクロプロセッサシステムは、 電圧供給部とセンサ信号入力部とアクチュエータ制御部を有する入出力ユニット ９，１９と周辺構成要素１０，２０を２倍備えている。 第３のマイクロコンピュータＭＣ３の出力信号またはデータ処理結果は、比較 器２２によって、マイクロコンピュータＭＣ２または中央処理装置２の結果また は出力信号と一致しているかどうかがチェックされ、同様に比較器２３によって 、ＭＣ１または中央処理装置１の結果と一致しているかどうかがチェックされる 。それによって、エラー認識だけでなく、エラーが存在するシステムの識別も可 能である。特に冗長的に形成され、比較器１５，２２，２３の出力信号が送信さ れる識別段２４において、多数決によってエラー源が認識され、そしてシステム が緊急時動作モードに切換えられる。これは、制御信号の出力がエラーを含むデ ータ処理結果に左右されず、その代わりに正常なシステムに切換えられることを 意味する。 本発明によるシステムは比較的に少ない製作コストで実現可能である。原理的 には、緊急時動作が不可能な公知のシステムと比べて、プロセッサコアを追加し 、メモリ容量を２倍に増やすことで充分である。緊急時動作モードを有する従来 の公知の解決策は３倍のメモリコストを必要とする。 記憶容量が２００％の最小値と比較して若干の記憶場所、例えば各々のパリテ ィビットのための記憶場所だけ増大すると、記憶領域内のエラー個所特定はハー ドウェア多数決によっても可能である。２００％の記憶容量の最小定格が選択さ れると、エラー個所特定は例えばメモリブロックを介してのディジットを合計す ることによってあるいは他のソフトウェア手段によって行うことができる。 記憶容量が本発明による設計により、公知のシステムよりも低減されると、き わめて有利である。というのは、全体装置のコストが動作メモリ（読出し専用メ モリと随時書込み読出しメモリ）の大きさに左右されるからである。 識別監視を行う比較器１５，２２，２３のコストは少なくて済む。バイパスを 介しての個々のマイクロコンピュータ間の信号の交換は、それほどコストを必要 としない。見かけのシングルプロセッサシステムのためのソフトウェアはプログ ラム技術によって実現される。すなわち、マイクロコンピュータ間での信号交換 を行うソフトウェア構造あるいは信号の同一性または類似性を検査するソフトウ ェア構造は不要である。 基本的には、内部のコンピュータエラーの発生時に、入力情報と信号出力をエ ラーのない回路によって受け取るかまたはエラーのない回路に伝送することがで きる。これは、システム機能を一層簡単にする。

───────────────────────────────────────────────────── 【要約の続き】 回路を備えている。この制御信号回路は、１個の中央処 理装置（１，２，３）に故障したときに、エラーを有す る中央処理装置が多数決によって識別可能であり、緊急 時動作モードへの切換えが行われるように、互いに接続 されている。

Claims (1)

1. 【特許請求の範囲】 １．冗長的なデータ処理部と、別個のバスシステムを介して読出し専用メモリ、 随時書込み読出しメモリ、入出力ユニットおよび比較器に接続された、複数の データ処理システムを形成している複数の中央処理装置（ＣＰＵ）とを備え、 この比較器がデータ処理の結果およびまたは中間結果をチェックし、中央処理 装置がバスシステムを介して互いに情報を連絡し、同じプログラムを実行し、 バスシステムがバイパスによって互いに接続され、このバイパスにより、中央 処理装置が現在のデータや命令を一緒に読取って実行することができる、自動 車コントロールシステム、特に安全上重要な制御装置のためのマイクロプロセ ッサ装置において、冗長的でないシステムと比較して全部で少なくとも２倍の 記憶容量を有する少なくとも３個の中央処理装置（１，２，３）が設けられ、 中央処理装置（１，２，３）が冗長的な周辺装置ユニット（１０，２０）によ って、少なくとも２つの完全な制御信号回路に拡張され、そして１個の中央処 理装置（１，２，３）およびまたはそれに所属する構成要素が故障したときあ るいはデータ処理システムの１つにエラーが発生したときに、エラーを有する 中央処理装置（１，２，３）が識別ユニット（２４）での多数決によって識別 可能であり、かつ緊急時動作モードへの移行が行われるように、中央処理装置 が互いに接続され、緊急時動作モードにおいて記憶容量全部を有する少なくと も１つの制御信号回路が使用可能であり、エラーを含む中央処理装置に依存す る出力信号または制御信号の出力が阻止されることを特徴とするマイクロプロ セッサ装置。 ２．バスシステム（４，５，６）を１つずつ備えた３個の中央ユニット（１，２ ，３）が設けられ、データ処理システム（ＭＣＩ，ＭＣ２，ＭＣ３）の１つに エラーが発生したときあるいは中央処理装置の１つが故障したときに、残りの 両データ処理システムまたは中央処理装置が全部で少なくとも読出し専用メモ リ（７，１２，１７）と随時書込み読出しメモリ（８，１３，１８）の全記憶 容量を使用可能であり、すべての中央処理装置（１，２，３）がバイパス（１ ４，１６）を介して随時書込み読出し装置の記憶場所と入出力ユニット（９， １０）に接続されていることを特徴とする請求項１記載のマイクロプロセッサ 装置。 ３．１つの中央処理装置（１，２，３）が、冗長的でないシステムのために必要 な読出し専用メモリと随時書込み読出メモリの全記憶容量を備え、他の両中央 処理装置がこの全記憶容量の少なくとも５０％を備えていることを特徴とする 請求項２記載のマイクロプロセッサ装置。 ４．３つの中央処理装置（１，２，３）がメモリ（７，８，１２，１３，１７， １８）、入出力ユニット（９，１０）および周辺構成要素（１０，２０）と共 に、全部で２つの完全なデータ処理システムと１つの不完全データ処理システ ムを形成していることを特徴とする請求項２または３記載のマイクロプロセッ サ装置。 ５．２つの中央処理装置（１，２，３）のデータ処理結果または出力信号がそれ ぞれ比較器（１５，２２，２３）に供給可能であることを特徴とする請求項１ 〜４のいずれか一つまたは複数に記載のマイクロプロセッサ装置。 ６．少なくとも、バスシステム（４，５，６）を備えた中央処理装置（１，２， ３）、メモリ（７，８，１２，１３，１７，１８）、バイパス（１４，１６） 、入出力ユニット（９，１９）、比較器（１５，２２，２３）および識別ユニ ット（２４）が共通の１つのチップに配置されていることを特徴とする請求項 １〜５のいずれか一つまたは複数に記載のマイクロプロセッサ装置。 ７．マイクロプロセッサ装置が、ブレーキバイワイヤ、ＡＢＳ、ＴＣＳ、ＡＳＭ Ｓ等のような複数の自動車コントロールシステムまたはこれらの自動車コント ロールシステムの組み合わせのために設計され、緊急時動作モードがすべての コントロールシステムの運転を維持することを特徴とする請求項１〜６のいず れか一つまたは複数に記載のマイクロプロセッサ装置。 ８．マイクロプロセッサ装置が複数の自動車コントロールシステムまたはこれら の自動車コントロールシステムの組み合わせのために設計され、緊急時動作モ ードが選択されたコントロール機能、例えば安全上きわめて重要な機能の動作 の維持に制限されていることを特徴とする請求項１〜７のいずれか一つまたは 複数に記載のマイクロプロセッサ装置。