JP2004518578A

JP2004518578A - 分配された安全上重要なシステムのコンポーネントの駆動方法

Info

Publication number: JP2004518578A
Application number: JP2002573277A
Authority: JP
Inventors: ヘックマン，ハンス; ヴァイベルレ，ラインハルト; ケシュ，ベルント; ブレシング，ペーター
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2001-03-15
Filing date: 2002-03-14
Publication date: 2004-06-24
Also published as: RU2284929C2; DE10211278A1; WO2002074596A1; CN1458889A; EP1401690A1; CN1253333C; US20040011579A1; DE10291055D2

Abstract

本発明は，分配された安全上重要なシステムのコンポーネント（Ａｋｔ＿１），特に車両内のＸ−バイ−ワイヤ−システムのコンポーネント（Ａｋｔ＿１）を駆動する方法に関する。コンポーネント（Ａｋｔ＿１）は，コンポーネント（Ａｋｔ＿１）に対応付けられた，少なくとも１つの第１のマイクロコンピュータシステム（Ｐ＿１）を有する第１の駆動モジュール（Ｒ＿１）によって駆動される。マイクロコンピュータシステム（Ｐ＿１）を監視するために，第１のマイクロコンピュータシステム（Ｐ＿１）に依存しない監視ユニットが設けられている。本発明によれば，分配された安全上重要なシステムは第１のマイクロコンピュータシステム（Ｐ＿１）の他に，データ通信の目的で例えば物理的なデータバス（Ｋ＿１）を介して第１のマイクロコンピュータシステム（Ｐ＿１）と接続されている，少なくとも１つの他のマイクロコンピュータシステム（Ｐ＿ｍ）を有していることが，提案される。その場合に他のマイクロコンピュータシステム（Ｐ＿ｍ）が，監視ユニットの課題を引き受ける。従って別体の監視ユニットを省くことができる。
【選択図】図１

Description

【０００１】
従来の技術
本発明は，分配された安全上重要なシステムのコンポーネント，特に車両内のＸ−バイ−ワイヤ−システムのコンポーネントの駆動方法に関する。コンポーネントは，コンポーネントに対応付けられた，少なくとも１つの第１のマイクロコンピュータシステムを有する第１の駆動モジュールによって駆動される。コンポーネントの駆動は，以下のステップを有している：
ａ）少なくとも１つの入力信号に従って，第１のマイクロコンピュータシステムによりコンポーネントのための少なくとも１つの駆動信号を求める；
ｂ）少なくとも１つの論理的な駆動信号を求め，その場合に少なくとも１つの論理的な駆動信号は少なくとも部分的に，第１のマイクロコンピュータシステムとは関係のない監視ユニットによって，少なくとも１つの入力信号従って求められる；
ｃ）少なくとも１つの駆動信号を少なくとも１つの論理的な駆動信号と比較する；
ｄ）比較の結果に従って少なくとも１つのイネーブル信号を求める；そして
ｅ）少なくとも１つのイネーブル信号が予め設定可能な値を有する場合に，少なくとも１つの駆動信号又は少なくとも１つのそれに依存する信号を，コンポーネントへ供給する。
【０００２】
本発明は，さらに，駆動モジュールのマイクロコンピュータシステム上で実行可能なコンピュータプログラムに関する。駆動モジュールは，分配された安全上重要なシステムのコンポーネント，特に車両内のＸ−バイ−ワイヤ−システムのコンポーネントを駆動するために設けられている。
【０００３】
冒頭で挙げた種類の方法は，例えばＤＥ１９８２６１３１Ａ１から知られている。この公報には，分配された安全上重要なシステムは，車両の電気的なブレーキシステムとして記載されている。コンポーネントは，車両のブレーキ，あるいはより正確に言うと，ブレーキを駆動するためのアクター（Ａｋｔｏｒｅｎ）として形成されている。この種のシステムは高度に安全上重要である。これは，コンポーネントのエラーのある駆動，特にブレーキのエラーのある操作は，予測できない安全上のリスクをもたらす可能性があるからである。かかる理由から，コンポーネントのエラーのある駆動を確実に排除しなければならない。
【０００４】
公知のブレーキシステムの主要な特徴は，中央で運転者意図を検出するためのペダルモジュール，ブレーキアクチュエータを車輪個別に制御するための４つの車輪モジュール及び上位のブレーキ機能を計算するための処理モジュールである。個々のモジュールの互いに対する通信は，１つ又は複数の通信システムによって行うことができる。本特許出願の図２には，種々の論理平面を有する車輪モジュールの内部構造が例示されている。その場合に論理平面Ｌ１は，少なくとも車輪ブレーキのための開ループ制御及び閉ループ制御機能の計算を有し，論理平面Ｌ２からＬ４は，計算機の監視とＬ１の機能を検査する種々の機能を有している。
【０００５】
ブレーキあるいはブレーキシューを操作するための電気モータの駆動は，各車輪モジュールについて同様に以下のステップを有している：
ａ）少なくとも１つの入力信号（ａ＿Ｒ２，ａ＿Ｒ３，ａ＿Ｒ４；ａ＿Ｖ，ｒｅｆ；ｓ＿Ｒ２，ｓ＿Ｒ３，ｓ＿Ｒ４；Δｓ＿Ｖ，ｒｅｆ；ｖ＿Ｆ；ｎ＿１；Ｆ＿１ｉ；ｓ＿１Ｈ）に従って，第１のマイクロコンピュータシステム（Ｒ＿１Ａ）によってブレーキのための少なくとも１つの駆動信号（ｆ＿１）を求める。入力信号は，通信システム（Ｋ＿１）あるいはバスシステムを介してマイクロコンピュータシステム（Ｒ＿１Ａ）へ提供される；
ｂ）少なくとも１つの論理的な駆動信号（ｅ＿１Ｈ）を求める。論理的な駆動信号（ｅ＿１Ｈ）は，少なくとも部分的に，第１のマイクロコンピュータシステム（Ｒ＿１Ａ）に依存しない監視ユニット（Ｒ＿１Ｂ）によって，少なくとも１つの入力信号に従って求められる；
ｃ）パワーエレクトロニクス（ＬＥ＿１Ｋ）内で少なくとも１つの駆動信号（ｆ＿１）を少なくとも１つの論理的な駆動信号（ｅ＿１Ｈ）と比較する；
ｄ）駆動信号（ｆ＿１）と論理的な駆動信号（ｅ＿１Ｈ）との比較の結果に従って，（パワーエレクトロニクスＬＥ内部で）少なくとも１つのイネーブル信号を求める；そして
ｅ）少なくとも１つのイネーブル信号が予め設定可能な値を有する場合に，少なくとも１つの駆動信号（ｆ＿１）又は駆動信号（ｆ＿１）に依存する信号（ｉ＿１Ｋ）を，ブレーキあるいはブレーキシューのためのアクチュエータＡｋｔ＿１へ供給する。
【０００６】
監視ユニット（Ｒ＿１Ｂ）は，特に系統的な（いわゆるコモンモード）エラーを認識するために用いられる。この種のエラーの例は，電圧供給におけるエラーである。公知のブレーキシステムにおいては，監視ユニット（Ｒ＿１Ｂ）は，独立のマイクロコンピュータシステムとして形成されている。しかし，選択的に，監視ユニット（Ｒ＿１Ｂ）を，専用のプロセッサを有しないハードウェアモジュールとして形成することもできるが，そのハードウェアモジュールは具体的な論理機能あるいは，それがレジスタを有する場合には，特に切換え機能を実施することができる。この種のハードウェアモジュールの例は，例えばＡＳＩＣ（ＡｐｐｌｉｅｄＳｐｅｃｉｆｉｃＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ），ＦＰＧＡ（Ｆｉｅｌｄ−ＰｒｏｇｒａｍｍａｂｌｅＧａｔｅＡｒｒａｙ）又は監視回路（いわゆるウォッチドッグ）である。
【０００７】
従来技術における欠点は，論理的な平面Ｌ４が常に別体の構成部分内で実現されており，−例えば電気的なブレーキシステムの車輪モジュール内の−その構成部分は，分配された安全上重要なシステム内部でさらに多重に設けられなければならないことである。
【０００８】
本発明の課題は，分配された安全上重要なシステムの構造を単純化し，同時にコンポーネントをイネーブルにする際に得ることのできる安全性を少なくとも維持することである。
【０００９】
この課題を解決するために，本発明は，冒頭で挙げた種類の方法に基づいて，安全上重要なシステムが第１のマイクロコンピュータシステムの他に，データ伝送のために第１のマイクロコンピュータシステムと接続されている，少なくとも１つの他のマイクロコンピュータシステムを有しており，その場合にステップｂ）からｄ）の少なくとも１つは，他のマイクロコンピュータシステムの少なくとも１つによって実施されることを，提案する。
【００１０】
発明の利点
従って本発明によれば，別体の監視ユニットを省略し，その代わりに監視ユニットの課題を，元来よりシステム内に設置されている，分配された安全上重要なシステムのユニットによって実施させることが提案される。このユニットは，少なくとも制限された範囲で専用の計算を実行することができるようにするためには，独自のインテリジェンスを提供しなければならない。本発明に従って監視ユニットの課題を引き受けることのできる，この種のシステムユニットは，特に１つ又は複数の他のマイクロコンピュータシステムのマイクロプロセッサである。
【００１１】
第１のマイクロコンピュータシステムのマイクロプロセッサ上で，入力信号に従ってコンポーネントのための駆動信号を求めるために，プログラムコードが処理される。プログラムコードは，さらに，同一の入力信号に従ってコンポーネントのための論理的な駆動信号を求めるために，他のマイクロコンピュータシステムの少なくとも１つの上で処理される。他のマイクロコンピュータシステム上でのプログラムコードの処理は，例えばマイクロプロセッサあるいは他の適当なユニット（例えば通信コントローラ）上で行うことができ，それらユニットはプログラムコードを処理するための十分なインテリジェンスを提供する。入力信号は，他のマイクロコンピュータシステムへ例えばデータバスを介して提供され，そのデータバスを介してマイクロコンピュータシステムはデータ伝送のために互いに接続されている。
【００１２】
第１のマイクロコンピュータシステムによって求められた駆動信号は，駆動信号にエラーがあるか否かを確かめるために，論理的な駆動信号と比較される。全てのマイクロコンピュータシステムが一致した駆動信号あるいは論理的な駆動信号を求めた場合には，駆動信号にエラーがないと推定することができる。なお，各論理的な駆動信号を求める他のマイクロコンピュータシステムの数が増えるにつれて，第１のマイクロコンピュータシステムの機能能力の検査はより確実になる。多数のマイクロコンピュータシステムが互いに監視する場合には，必要に応じて故障したマイクロコンピュータシステムの同定又は特定が可能である。
【００１３】
本発明の好ましい展開によれば，安全上重要なシステムは第１の駆動モジュールの他に少なくとも１つの他の駆動モジュールを有しており，その場合に少なくとも１つの他のマイクロコンピュータシステムは，少なくとも１つの他の駆動モジュールの一部であることが，提案される。従ってこの展開によれば，分配された安全上重要なシステムは，多数の同種の駆動モジュールを有しており，その中に第１のマイクロコンピュータシステムと他のマイクロコンピュータシステムが配置されている。この展開の利点は，駆動モジュールは通常同様な課題を有しており（例えば所定の入力信号に従って車輪ブレーキをアクティブにし，かつ緩める）かつ駆動信号を計算するためのプログラムコードは，マイクロコンピュータシステム内で大部分一致することにある。従って，他の駆動モジュールの他のマイクロコンピュータシステムが監視ユニットの課題を引き受ける場合には，論理的な駆動信号を求めるために，それらの中に別体のプログラムコードが設けられていて，必要とあれば実行されない。むしろ，他のマイクロコンピュータシステム内に当初から設けられているプログラムコードを−もちろん第１のマイクロコンピュータシステムの入力信号によって−実施することができる。この展開に基づく方法を実現することのできる分配されたシステムの例は，車両の全ての車輪についてほぼ等しい車輪モジュールを有する電気的なブレーキシステムである。従って，この展開においては，分配されたシステム内にしばしば含まれている冗長性が，コンポーネントを確実に駆動するための手間を削減するために利用される。
【００１４】
本発明の好ましい実施形態によれば，ステップｂ）とステップｃ）は，他のマイクロコンピュータシステムの少なくとも１つにおいて実施されることが提案される。従って，この実施形態によれば，駆動信号と論理的な駆動信号との比較は少なくとも１つの他のマイクロコンピュータシステム内で実施される。そのために，第１のマイクロコンピュータシステムによって求められた駆動信号は，少なくとも１つの他のマイクロコンピュータシステムへ，例えば両者を互いに接続するデータバスを介して伝達されなければならない。
【００１５】
好ましくは，第１のマイクロコンピュータシステムは第１の通信コントローラを介して物理的なバスシステムに接続されており，その場合にステップｂ）は他のマイクロコンピュータシステムの少なくとも１つにおいて，そしてステップｃ）は第１の通信コントローラにおいて実施される。従って，この実施形態によれば，駆動信号と論理的な駆動信号との比較は第１の通信コントローラ内で実施され，その通信コントローラを介して第１のマイクロコンピュータシステムがバスシステムに接続されている。例えばＴＴＣＡＮ（ＴｉｍｅＴｒｉｇｇｅｒｅｄＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ），ＴＴＰ／Ｃ（ＳＡＥに基づくＴｉｍｅＴｒｉｇｇｅｒｅｄＰｒｏｔｏｃｏｌＣｌａｓｓＣ）又はフレックスレイのような，最近のバスシステムの通信コントローラは，単純にマイクロコンピュータシステムとデータバスとの間の「ダム（ｄｕｍｍｅ）」インターフェイスとして用いられるのではなく，伝送すべきデータの，一部はまことに極めて複雑な独自の処理を実施する。そのために，それらは，少なくとも，例えば比較のような単純な操作と，必要に応じて複雑な計算も実施できる専用のインテリジェンスを提供する。第１の通信コントローラ内で比較を実現できるようにするために，少なくとも１つの論理的な駆動信号が少なくとも１つの他のマイクロコンピュータシステムから通信コントローラへ，例えば両者を接続するデータバスを介して，伝達されなければならない。
【００１６】
本発明の他の好ましい実施形態によれば，ステップｄ）は，他のマイクロコンピュータシステムの少なくとも１つにおいて実施されることが提案される。従ってそれによれば，他のマイクロコンピュータシステム内で，駆動信号と論理的な駆動信号との比較の結果に従って，少なくとも１つのイネーブル信号が求められる。そのために，第１のマイクロコンピュータシステム内で求められた駆動信号は，例えばデータバスを介して他のマイクロコンピュータシステムへ伝達されなければならない。その後，他のマイクロコンピュータシステム内でその駆動信号は，そこで各々求められた論理的な駆動信号と比較される。イネーブル信号も，例えばデータバスを介して，第１のマイクロコンピュータへ伝達される。その場合に，他のマイクロコンピュータシステム内で求められたイネーブル信号が予め設定可能な値を有する場合に，少なくとも１つの駆動信号又はそれに依存する少なくとも１つの信号が，駆動すべきコンポーネントへ供給される。それによって，例えばイネーブル信号の単純な比較又は多数決を行うことができる。
【００１７】
本発明の選択的な実施形態によれば，第１のマイクロコンピュータシステムは第１の通信コントローラを介して物理的なバスシステムに接続されており，その場合にステップｄ）は第１の通信コントローラ内で実施されることが，提案される。これは，他のマイクロコンピュータシステム内で求められた論理的な駆動信号が，例えばデータバスを介して，第１の通信コントローラへ伝達されなければならないことを意味している。
【００１８】
特に重要なのは，本発明に基づく方法を，分配された安全上重要なシステムのコンポーネントを駆動するための駆動モジュールのマイクロコンピュータシステム上で実行可能な，コンピュータプログラムの形式で実現することである。その場合に，コンピュータプログラムは，マイクロコンピュータシステムのマイクロプロセッサ上で実行可能であって，かつ本発明に基づく方法を実施するのに適している。従ってこの場合においては，本発明はコンピュータプログラムによって実現されるので，コンピュータプログラムは，コンピュータプログラムがそれを実施するのに適している方法と同様に，本発明を表している。
【００１９】
本発明の好ましい展開によれば，コンピュータプログラムはメモリ素子上，特にフラッシュメモリ上に格納されていることが，提案される。コンピュータプログラムを処理して，本発明に基づく方法を実施するために，コンピュータプログラムは指令により，あるいは全体としてメモリ素子からプロセッサへ転送される。
【００２０】
コンピュータプログラムは，特に分配されたシステムの種々のユニット間のデータ伝送を，本発明に基づく方法を実現できるように調整する。どのデータをどのユニットに伝送しなければならないかは，特にステップｂ）からｄ）がどのユニットで実施されるかに依存している。しかしまたコンピュータプログラムは，種々のシステムユニット内で，駆動信号と論理的な駆動信号が求められ，及び／又は互いに比較されるように配慮する。
【００２１】
実施例の説明
本発明に基づく方法を，以下で電気的なブレーキシステムを用いて詳細に説明する。しかし，本発明は，電気的なブレーキシステムに限定されるものではなく，任意の分配された安全上重要なシステムに使用することができる。本発明は，付加的な監視ユニットの使用なしで，安全上重要なシステムのコンポーネントを確実にイネーブルにすることができる。監視ユニットの課題は，元来システム内に存在している安全上重要なシステムのユニットによって引き受けられる。
【００２２】
ブレーキシステムは，制動すべき各車輪について車輪モジュールＲ＿１，Ｒ＿ｍを有している。各車輪モジュールＲ＿１，Ｒ＿ｍは，マイクロコンピュータシステムＰ＿１，Ｐ＿ｍとイネーブル回路ＦＳ＿１，ＦＳ＿ｍを有している。マイクロコンピュータシステムＰ＿１，Ｐ＿ｍは，それぞれマイクロプロセッサＰｒｏ＿１，Ｐｒｏ＿ｍとインテリジェント通信コントローラＳ＿１，Ｓ＿ｍを有している。マイクロコンピュータシステムＰ＿１，Ｐ＿ｍのマイクロプロセッサＰｒｏ＿１，Ｐｒｏ＿ｍと通信コントローラＳ＿１，Ｓ＿ｍは，半導体モジュール（いわゆるチップ）上に集約することができる。しかし，これらは常に互いに依存しない別体のユニットとして形成されている。各車輪モジュールＲ＿１，Ｒ＿ｍは，通信コントローラＳ＿１，Ｓ＿ｍを介して物理的なデータバスＫ＿１に接続されている。データバスを介してデータは，例えばＴＴＣＡＮ−，ＴＴＰ／Ｃ−，又はフレックスレイ−プロトコルに従って伝送される。車輪モジュールＲ＿１，Ｒ＿ｍは，各々，アクター装置Ａｋｔ＿１，Ａｋｔ＿ｍを駆動し，それらは例えば車輪ブレーキを操作し，あるいは緩めるための電気モータとして形成されている。
【００２３】
図１には，第１の好ましい実施形態に従って，２つの車輪モジュールの内部構造とそこで実行される，本発明に基づく方法の信号のフローが図示されている。方法は，車輪モジュールＲ＿１によって，あるいはマイクロコンピュータＰ＿１によって電気的ブレーキシステムのアクター装置Ａｋｔ＿１を駆動するために用いられる。アクター装置Ａｋｔ＿１を駆動する場合に重要なことは，アクター装置Ａｋｔ＿１がマイクロコンピュータシステムＰ＿１の誤りのある駆動信号によって駆動されることを防止することである。これは，駆動信号は，十分に高い確率でエラーがないことが確定された場合にのみ，アクター装置Ａｋｔ＿１へさらに伝達されるべきであることを意味している。従ってアクター装置Ａｋｔ＿１の駆動は，大略，以下のステップを有している：
ａ）マイクロコンピュータシステムＰ＿１のプロセッサＰｒｏ＿１は，少なくとも１つの入力信号Ｅ＿１に従ってプログラムコードＣ＿１を処理することによって，アクター装置Ａｋｔ＿１のための少なくとも１つの駆動信号Ａ＿１１を求める。入力信号Ｅ＿１は，ブレーキシステムと車両の実際状態に関する情報を有しており，かつデータバスＫ＿１を介して第１の車輪モジュールＲ＿１へ伝達される。
【００２４】
ｂ）他のマイクロコンピュータシステムＰ＿ｍのプロセッサＰｒｏ＿ｍ（例えばｍ＝２…４）は，同様に入力信号Ｅ＿１に従ってプログラムコードＣ＿１を処理することによって，論理的な駆動信号Ａ＿１ｍを求める。プロセッサＰｒｏ＿ｍ内でアクター装置Ａｋｔ＿１のための駆動信号Ａ＿ｍ１を求めるためのプログラムコードＣ＿ｍの他に，さらに，プログラムコードＣ＿１も提供されていなければならないことが前提とされている。多数の同種の車輪モジュールＲ＿１，Ｒ＿ｍを有する本例においては，これは，付加的な手間を意味せず，あるいは最少の手間のみを意味している。というのは，プロセッサＰｒｏ＿１，Ｐｒｏ＿ｍ上で実行されるプログラムコードＣ＿１，Ｃ＿ｍはほぼ等しいからである。従って，プロセッサＰｒｏ＿ｍ内でもとから提供されているプログラムコードＣ＿ｍを，論理的な駆動信号Ａ＿１ｍを得るために，入力信号Ｅ＿１によって処理することができる。この簡略化は，同種の駆動モジュールを有する全ての分配されたシステムについて成立する。入力信号Ｅ＿１は，データバスＫ＿１を介してマイクロコンピュータシステムＰ＿ｍに伝達されることができる。マイクロプロセッサＰ＿１，Ｐ＿ｍの機能が正しい場合には，駆動信号Ａ＿１１と論理的な駆動信号Ａ＿１ｍは同一でなければならない。
【００２５】
ｃ）駆動信号Ａ＿１１は，マイクロプロセッサＰｒｏ＿ｍ内で，そこで予め求められている論理的な駆動信号Ａ＿１ｍと比較される。そのために，駆動信号Ａ＿１１は，データバスＫ＿１を介してマイクロコンピュータシステムＰ＿ｍへ伝達されなければならない。マイクロコンピュータＰ＿ｍは，ステータス情報ＳＦ＿１ｍを生成し，それがまたデータバスＫ＿１を介して第１のマイクロコンピュータシステムＰ＿１へ伝達される。ステータス情報は，例えば１つ又は複数のビットからなる。ステータス情報ＳＦ＿１ｍを第１のマイクロコンピュータシステムＰ＿１へ伝達するために，データバスのプロトコルに組み込むことができる。
【００２６】
ｄ）第１のマイクロコンピュータシステムＰ＿１の通信コントローラＳ＿１は，詳細なステータス情報ＳＦ＿１ｍを評価して，該当するステータスの場合に（例えばマイクロプロセッサＰｒｏ＿１の正しい機能方法が信号化された場合に）イネーブル信号Ｆ＿１を形成する。ステータス情報ＦＳ＿１ｍの評価は，様々な方法で行うことができる。例えばステータス情報ＦＳ＿１ｍの比較，論理的な（好ましくはアンド−）結合あるいは多数決とすることができる。
【００２７】
ｅ）そして，少なくとも１つのイネーブル信号Ｆ＿１が予め設定可能な値を有する場合に，少なくとも１つの駆動信号Ａ＿１１あるいはそれに従った少なくとも１つの信号がアクター装置Ａｋｔ＿１へ供給される。これを検査するために，イネーブル回路ＦＳ＿１内で駆動信号Ａ＿１１のアンド結合が実施される。イネーブル信号Ｆ＿１が論理的に「１」である場合には，駆動信号Ａ＿１１はアクター装置Ａｋｔ＿１へ供給される。しかしイネーブル信号Ｆ＿１が論理的に「０」である場合には，駆動信号Ａ＿１１はアクター装置Ａｋｔ＿１へは供給されない。
【００２８】
上述した本発明に基づく方法によって，マイクロコンピュータシステムＰ＿１のプロセッサＰｒｏ＿１の機能能力を検査して，アクター装置Ａｋｔ＿１の確実なイネーブルを得ることができる。プロセッサＰｒｏ＿１を検査するために，主として他のマイクロコンピュータシステムＰ＿ｍのプロセッサＰｒｏ＿ｍが使用される。しかし，同様に本発明に基づく方法は，他のマイクロコンピュータシステムＰ＿ｍのプロセッサＰｒｏ＿ｍの機能方法を検査し，かつアクター装置Ａｋｔ＿ｍを確実にイネーブルにするためにも使用することができる。その場合には残りのプロセッサＰｒｏ＿ｍ（検査すべきプロセッサを除く）と第１のマイクロコンピュータシステムＰ＿１のプロセッサＰｒｏ＿１は検査に利用される。従って安全上重要なシステム内部の各個々のマイクロコンピュータシステムは，一方では，それに対応付けられているアクター装置Ａｋｔ＿１，Ａｋｔ＿ｍのための駆動信号Ａ＿１１，Ａ＿ｍ１を求めるという一次課題を有し，他方ではその一次課題が満たされた場合に残りのプロセッサの機能を管理する，という二次課題を有している。従って付加的な監視ユニットの使用なしで，本発明は，アクターＡｋｔ＿１，Ａｋｔ＿ｍの確実かつ特に冗長に有効なイネーブルの可能性を提供する。
【００２９】
図３には，第２の好ましい実施形態にかかる２つの車輪モジュールの内部構造とそこで実行される信号のフローが図示されている。この方法は，図１に示す方法とは，特にステップｃ）が第１のマイクロコンピュータシステムＰ＿１の通信コントローラＳ＿１内で実施されることよって，異なっている。
【００３０】
ステップｂ）において他のマイクロコンピュータＰ＿ｍのプロセッサＰｒｏ＿ｍ内で求められた論理的な駆動信号Ａ＿１ｍは，データバスＫ＿１を介して第１のマイクロコンピュータシステムＰ＿１へ伝達される。そこで論理的な駆動信号Ａ＿１ｍは，その後第１のマイクロコンピュータシステムＰ＿１の通信コントローラＳ＿１内で少なくとも１つの駆動信号Ａ＿１１と比較される（ステップｃ））。比較の結果に従って通信コントローラＳ＿１内でステータス情報ＳＩ＿１ｍが求められて，そのステータス情報からその後イネーブル信号Ｆ＿１が求められ，あるいはまた直接イネーブル信号Ｆ＿１が求められる（ステップｄ））。
【００３１】
図４には，本発明に基づく方法の第３の好ましい実施形態にかかる２つの車輪モジュールの内部構造とそこで実行される信号のフローが図示されている。この方法は，図１及び図３に示す方法とは，特に，ステップｄ）が第１の車輪モジュールＲ＿１のイネーブル回路ＦＳ＿１内で実施されることが異なっている。
【００３２】
ステップｃ）として，他のマイクロコンピュータシステムＰ＿ｍのマイクロプロセッサＰｒｏ＿ｍ内で，駆動信号Ａ＿１１とそこで予め求められた論理的な駆動信号Ａ＿１ｍとの比較が実施される。マイクロプロセッサＰｒｏ＿ｍは，ステータス情報ＳＦ＿１ｍを形成し，そのステータス情報はデータバスＫ＿１を介して第１のマイクロコンピュータシステムＰ＿１へ，そしてそこからさらにイネーブル回路ＦＳ＿１へ伝達される。イネーブル回路は，他の全部のマイクロコンピュータシステムＰ＿ｍからの詳細なステータス情報ＳＦ＿１ｍ，ＳＦ＿１ｘを評価して，ステータス情報ＳＦ＿１ｍ，ＳＦ＿１ｘが該当するステータスを有する場合には，少なくとも１つの駆動信号Ａ＿１１又はそれに依存する少なくとも１つの信号をアクター装置Ａｋｔ＿１へ供給する。選択的に，比較の結果に従ってイネーブル回路ＦＳ＿１内でまずステータス情報ＳＦ＿１ｍを求めることができ，そのステータス情報からその後イネーブル信号Ｆ＿１が求められる。イネーブル回路ＦＳ＿１内でステータス情報ＳＦ＿１ｍ，ＳＦ＿１ｘを評価するために，いわゆる票決機構が使用される。２つの駆動信号Ａ＿１１，Ａ＿１２のみの場合には，票決機構は２つの信号Ａ＿１１とＳＦ＿１ｍのアンド結合である。多数の駆動信号Ａ＿１１，Ａ＿１ｍの場合には，票決機構は多数決とすることができる。
【図面の簡単な説明】
図面
本発明の他の特徴，利用可能性及び利点は，図面に示されている本発明の実施例についての以下の説明から明らかにされる。その場合に全ての記載されている，あるいは図示されている特徴は，それ自体で，あるいは任意の組合わせにおいて，特許請求項におけるその要約又はその帰属に関係なく，かつ詳細な説明あるいは図面におけるその表現あるいは表示に関係なく，本発明の対象を形成する。
【図１】
分配された安全上重要なシステムの，本発明に基づく方法を第１の好ましい実施形態に従って実現するための部分を示し；
【図２】
従来技術から知られている，分配された安全上重要なシステムの駆動モジュールを示し；
【図３】
分配された安全上重要なシステムの，本発明に基づく方法を第２の好ましい実施形態に従って実現するための部分を示し；
【図４】
分配された安全上重要なシステムの，本発明に基づく方法を第３の好ましい実施形態に従って実現するための部分を示している。

Claims

分配された安全上重要なシステムのコンポーネント（Ａｋｔ＿１），特に車両内のＸ−バイ−ワイヤ−システムのコンポーネント（Ａｋｔ＿１）の駆動方法であって，その場合に前記コンポーネント（Ａｋｔ＿１）は，前記コンポーネント（Ａｋｔ＿１）に対応付けられた，少なくとも１つの第１のマイクロコンピュータシステム（Ｐ＿１）を有する第１の駆動モジュール（Ｒ＿１）によって駆動され，かつ前記コンポーネント（Ａｋｔ＿１）の駆動は以下のステップを有する：
ａ）前記第１のマイクロコンピュータシステム（Ｐ＿１）によって少なくとも１つの入力信号（Ｅ＿１）に従って前記コンポーネント（Ａｋｔ＿１）のための少なくとも１つの駆動信号（Ａ＿１１）を求め；
ｂ）少なくとも１つの論理的な駆動信号（Ａ＿１ｍ）を求め，その場合に前記少なくとも１つの論理的な駆動信号（Ａ＿１ｍ）は少なくとも部分的に，前記第１のマイクロコンピュータシステム（Ｐ＿１）に依存しない監視ユニットによって，前記少なくとも１つの入力信号（Ｅ＿１）に従って求められ；
ｃ）前記少なくとも１つの駆動信号（Ａ＿１１）を少なくとも１つの論理的な駆動信号（Ａ＿１２）と比較し；
ｄ）前記比較の結果に従って少なくとも１つのイネーブル信号（Ｆ＿１）を求め；かつ
ｅ）前記少なくとも１つのイネーブル信号（Ｆ＿１）が予め設定可能な値を有する場合に，前記少なくとも１つの駆動信号（Ａ＿１１）又はそれに依存する少なくとも１つの信号を，前記コンポーネント（Ａｋｔ＿１）へ供給する；
前記方法において，
前記安全上重要なシステムは，前記第１のマイクロコンピュータシステム（Ｐ＿１）の他に，データ伝送の目的で前記第１のマイクロコンピュータシステム（Ｐ＿１）と接続されている，少なくとも１つの他のマイクロコンピュータシステム（Ｐ＿ｍ）を有しており，その場合に前記ステップｂ）からｄ）の少なくとも１つのステップが，前記他のマイクロコンピュータシステム（Ｐ＿ｍ）の少なくとも１つにおいて実施される，
ことを特徴とする分配された安全上重要なシステムのコンポーネントの駆動方法。
前記安全上重要なシステムは，第１の駆動モジュール（Ｒ＿１）の他に少なくとも１つの他の駆動モジュール（Ｒ＿ｍ）を有しており，その場合に少なくとも１つの他のマイクロコンピュータシステム（Ｐ＿ｍ）は，少なくとも１つの他の駆動モジュール（Ｒ＿ｍ）の一部である，
ことを特徴とする請求項１に記載の方法。
前記ステップｂ）と前記ステップｃ）は，前記他のマイクロコンピュータシステム（Ｐ＿ｍ）の少なくとも１つにおいて実施される，
ことを特徴とする請求項１又は２に記載の方法。
前記第１のマイクロコンピュータシステム（Ｐ＿１）は，第１の通信コントローラ（Ｓ＿１）を介して物理的なバスシステム（Ｋ＿１）に接続されており，その場合に前記ステップｂ）は前記他のマイクロコンピュータシステム（Ｐ＿ｍ）の少なくとも１つにおいて，及び前記ステップｃ）は第１の通信コントローラ（Ｓ＿１）において実施される，
ことを特徴とする請求項１又は２に記載の方法。
前記ステップｄ）は，前記他のマイクロコンピュータシステム（Ｐ＿ｍ）の少なくとも１つにおいて実施される，
ことを特徴とする請求項１から４のいずれか１項に記載の方法。
前記第１のマイクロコンピュータシステム（Ｐ＿１）は，前記第１の通信コントローラ（Ｓ＿１）を介して物理的なバスシステム（Ｋ＿１）に接続されており，その場合に前記ステップｄ）は前記第１の通信コントローラ（Ｓ＿１）内で実施される，
ことを特徴とする請求項１から４のいずれか１項に記載の方法。
駆動モジュール（Ｒ＿１）のマイクロコンピュータシステム（Ｐ＿１）上で実行可能なコンピュータプログラムであって，その場合に前記駆動モジュール（Ｒ＿１）は，分配された安全上重要なシステムのコンポーネント（Ａｋｔ＿１），特に車両内のＸ−バイ−ワイヤ−システムのコンポーネントを駆動するために設けられているコンピュータプログラムにおいて，
前記コンピュータプログラムは，それがマイクロコンピュータシステム（Ｐ＿１）上で実行された場合に，請求項１から６のいずれか１項に記載の方法を実施するのに適している，
ことを特徴とするコンピュータプログラム。
前記コンピュータプログラムは，メモリ素子（ＳＰ＿１，ＳＰ＿ｍ）上，特にフラッシュメモリ上に格納されている，
ことを特徴とする請求項７に記載のコンピュータプログラム。