JP2004519059A - 分配された安全上重要なシステムのコンポーネントの駆動方法 - Google Patents

Abstract

本発明は，分配された安全上重要なシステムのコンポーネント（Ａｋｔ＿１），特に車両内のＸ−バイ−ワイヤ−システムのコンポーネント（Ａｋｔ＿１）を駆動する方法に関する。コンポーネント（Ａｋｔ＿１）は，コンポーネント（Ａｋｔ＿１）に対応付けられたプロセスコンピュータ（Ｐｒｏ＿１）によって駆動され，そのプロセスコンピュータは通信コントローラ（Ｓ＿１）を介して通信システム（Ｋ＿１）に接続されている。プロセスコンピュータ（Ｐｒｏ＿１）に依存しない監視ユニットが設けられており，その監視ユニットによってプロセスコンピュータ（Ｐｒｏ＿１）が監視される。分配された安全上重要なシステムの構造を簡略化し，同時にコンポーネントをイネーブルする場合に得ることのできる安全性を少なくとも維持するために，監視ユニットの課題が通信コントローラ（Ｓ＿１）によって満たされることが，提案される。好ましくは通信コントローラ（Ｓ＿１）は，プロセスコンピュータ（Ｐｒｏ＿１）との質問−応答−通信を実施する。
【選択図】図１

Description

【０００１】
従来の技術
本発明は，分配された安全上重要なシステムのコンポーネント，特に車両内のＸ−バイ−ワイヤ−システムのコンポーネントを駆動する方法に関する。コンポーネントは，コンポーネントに対応付けられたプロセスコンピュータによって駆動され，そのプロセスコンピュータは通信コントローラを介して通信システムに接続されている。プロセスコンピュータとは関係のない監視ユニットが設けられており，その監視ユニットによってプロセスコンピュータが監視される。
【０００２】
本発明は，さらに，プロセスコンピュータを通信システムに接続するための通信コントローラに関するものであって，その場合にプロセスコンピュータは分配された安全上重要なシステムのコンポーネント，特に車両内のＸ−バイ−ワイヤ−システムのコンポーネントを駆動するために用いられ，かつ通信コントローラ上ではプロセスコンピュータと通信システムとの間のデータ伝送を実現するために通信プロトコルが遂行される。
【０００３】
冒頭で挙げた種類の方法は，例えばＤＥ１９８２６１３１Ａ１から知られている。この公報においては，分配された安全上重要なシステムは，車両の電気的ブレーキシステムとして記載されている。このシステムのコンポーネントは，車両のブレーキとして，より正確に言うとブレーキを駆動するアクターとして形成されている。この種のシステムは，高度に安全上重要である。これは，コンポーネントのエラーのある駆動，特にブレーキのエラーのある操作は，予測できない安全上のリスクをもたらす可能性があるからである。かかる理由から，コンポーネントのエラーのある駆動は，確実に排除されなければならない。
【０００４】
公知のブレーキシステムの本質的な特徴は，中央で運転者意図を検出するためのペダルモジュール，ブレーキアクチュエータを車輪個別に制御するための４つの車輪モジュール及び上位のブレーキ機能を計算するための処理モジュールである。個々のモジュールの互いの通信は，通信システムによって行うことができる。本特許出願の図２には，各種論理的平面を有する車輪モジュールの内部構造が例示されている。その場合に，論理平面Ｌ１は，少なくとも車輪ブレーキの開ループ制御及び閉ループ制御機能の計算を有し，論理平面Ｌ２からＬ４は，計算機の監視とＬ１の機能を検査する各種機能を有している。
【０００５】
ブレーキあるいはブレーキシューを操作するための電気モータの駆動は，各車輪モジュールについて同様に次のステップを有している：
ａ）少なくとも１つの入力信号（ａ＿Ｒ２，ａ＿Ｒ３，ａ＿Ｒ４；ａ＿Ｖ，ｒｅｆ；ｓ＿Ｒ２，ｓ＿Ｒ３，ｓ＿Ｒ４；Δｓ＿Ｖ，ｒｅｆ；ｖ＿Ｆ；ｎ＿１；ｄ＿１；Ｆ＿１ｉ；ａ＿Ｒ１；ｓ＿Ｒ１）に従って第１のマイクロコンピュータシステム（Ｒ＿１Ａ）によってブレーキのための少なくとも１つの駆動信号（ｆ＿１）を求める。入力信号は，マイクロコンピュータシステム（Ｒ＿１Ａ）に通信システム（Ｋ＿１）あるいはバスシステムを介して提供される。
ｂ）少なくとも１つの論理的な駆動信号（ｅ＿１Ｈ）を求める。論理的な駆動信号（ｅ＿１Ｈ）は，少なくとも部分的に，第１のマイクロコンピュータシステム（Ｒ＿１Ａ）とは関係のない監視ユニット（Ｒ＿１Ｂ）によって，少なくとも１つの入力信号に従って求められる。
ｃ）少なくとも１つの駆動信号（ｆ＿１）を少なくとも１つの論理的な駆動信号（ｅ＿１Ｈ）とパワーエレクトロニクス（ＬＥ＿１Ｋ）内で比較する。
ｄ）駆動信号（ｆ＿１）と論理的な駆動信号（ｅ＿１Ｈ）との比較の結果に従って，少なくとも１つのイネーブル信号を求める（パワーエレクトロニクスＬＥの内部）。そして，
ｅ）少なくとも１つのイネーブル信号が予め設定可能な値を有する場合に，少なくとも１つの駆動信号（ｆ＿１）又は駆動信号（ｆ＿１）に依存する信号（ｉ＿１Ｋ）をブレーキ，あるいはブレーキシューのためのアクチュエータＡｋｔ＿１へ供給する。
【０００６】
監視ユニット（Ｒ＿１Ｂ）は，特に系統的な（いわゆるコモンモード）エラーを検出するために用いられる。この種のエラーの例は，電圧供給におけるエラーである。公知のブレーキシステムにおいては，監視ユニット（Ｒ＿１Ｂ）は，自立したマイクロコンピュータシステムとして形成されている。しかし選択的に，監視ユニット（Ｒ＿１Ｂ）を独自のプロセッサを持たないハードウェアモジュールとして形成することができるが，それは具体的な論理機能あるいは，レジスタを有している場合には，特に切換え機能を実施することができる。この種のハードウェアモジュールの例は，例えばＡＳＩＣ（Ａｐｐｌｉｅｄ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ），ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）又は監視回路（いわゆるウォッチドッグ）である。
【０００７】
従来技術における欠点は，論理的平面Ｌ４が常に別体の構成部分内で実現されていることであって，−例えば電気的なブレーキシステムの車輪モジュール内の−その構成部分は，分配された安全上重要なシステムの内部でさらに多重に設けられなければならない。
【０００８】
本発明の課題は，分配された安全上重要なシステムの構造を簡略化し，同時にコンポーネントをイネーブルにする際に得られる安全性を少なくとも維持することである。
【０００９】
この課題を解決するために，本発明は，冒頭で挙げた種類の方法に基づいて，監視ユニットの課題が通信コントローラによって満たされることを提案する。
【００１０】
発明の利点
従って本発明によれば，別体の監視ユニットを省き，その代わりに監視ユニットの課題を，もともとシステム内に設けられている，分配された安全上重要なシステムのユニットによって実施させることが提案される。このユニットは，少なくとも制限された範囲において独自の計算を行うことができる，専用のインテリジェンスを提供しなければならない。本発明に従って監視ユニットの課題を引き受けることのできる，この種のシステムユニットとして，特に通信コントローラが好適であり，その通信コントローラを介してプロセスコンピュータが通信システムに接続されている。
【００１１】
車両内で通信システムを使用することは，時の経過と共にほぼ全てのメーカーにおいて標準となってきている。通信システムを介して，データは，例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）−，ＴＴＣＡＮ（Ｔｉｍｅ Ｔｒｉｇｇｅｒｅｄ ＣＡＮ）−，ＴＴＰ／Ｃ（ＳＡＥに基づくＴｉｍｅ Ｔｒｉｇｇｅｒｅｄ Ｐｒｏｔｏｃｏｌ ｆｏｒ Ｃｌａｓｓ Ｃ）−あるいはフレックスレイ−プロトコルに従って伝送される。プロトコルは，通常，システム全体に有効なタイムベースとなる，いわゆるグローバルタイムを提供する。そのグローバルタイムは，通信における（例えば時間制御される通信プロトコルにおいて），そしてアプリケーションにおける（例えば時間制御される駆動システムにおいて）時間制御のためにも，診断機能とエラー認識あるいはエラー処理のためにも，重要な役割を果たす。従って，このことは，この種のシステムの各通信コントローラが専用の時計（クォーツ）を有しており，その時計がグローバルタイムの機構を介して特にシステム内の他の全ての時計と同期化されていることを意味している。これが可能であることに基づいて，通信コントローラはマイクロプロセッサの監視のために問題なく使用することができる。
【００１２】
本発明の好ましい展開によれば，通信コントローラに，監視すべきプロセスコンピュータに所定の時点でなされる質問のリストが提供され，その場合にプロセスコンピュータは通信コントローラへ応答を与え，その応答がその後通信コントローラによって評価されることが，提案される。プロセスコンピュータのこの種の監視は，質問−応答−通信とも称される。リストは，好ましくはメモリ素子，特にランダムアクセスメモリ，リードオンリーメモリ又はフラッシュメモリに格納されている。質問は，例えば多数のビットを有する単純な値であって，それがプロセスコンピュータによって予め決定可能な方法で処理される。処理は，質問の単純な反転から，メモリテストを含む複雑な計算にまで及ぶことができる。処理の結果は，なされた質問に対するプロセスコンピュータの応答である。
【００１３】
本発明の好ましい実施形態によれば，応答は，それが予め設定可能な期間内に行われたか，について調べられることが提案される。プロセスコンピュータに質問が提供されるとすぐに，タイムカウンタがスタートされる。プロセスコンピュータによる応答が，スタート時点と期間により定められる時間ウィンドウ内に行われなかった場合には，プロセスコンピュータのエラーが推定されて，安全上重要な状況を回避するために好適な対抗措置が導入される。
【００１４】
その代わりに，あるいはそれに加えて，応答は，それが正しいかについて調べられることが提案される。この目的のために，応答がリスト内に，なされた質問に対する正しい応答として記入されているか，について調べられる。正しい応答は，それに対応する質問と共に通信コントローラのメモリ素子，特にランダムアクセスメモリ，リードオンリーメモリ又はフラッシュメモリに格納しておくことができる。
【００１５】
本発明の好ましい展開によれば，プロセスコンピュータには通信コントローラから周期的に質問がなされる。選択的に，質問を所定の時間的パターンに従って，あるいはランダムに行うこともできる。
【００１６】
誤った応答及び／又は予め設定可能な期間内に行われなかった応答における適切な対抗措置として，通信コントローラは本発明の好ましい実施形態によれば，プロセスコンピュータのオフを引き受けることができる。その代わりに，あるいはそれに加えて，通信コントローラは駆動すべきコンポーネントのオフを引き受けることができる。
【００１７】
本発明の課題の他の解決として，冒頭で挙げた種類の通信コントローラに基づいて，通信プロトコルは，通信コントローラにプロセスコンピュータを監視することを可能にする機構だけ補足されることが提案される。この補足すべき機構は，特に質問を（周期的に）行うこと，監視すべき時間ウィンドウのためのタイムカウンタをセットすること，時間ウィンドウを監視すること及びプロセスコンピュータの応答を検査することに関する。
【００１８】
本発明の好ましい展開によれば，特に，通信プロトコルは，本発明に基づく方法を実施するための機構だけ補足されていることが提案される。
【００１９】
そして，通信コントローラは，メモリ素子，特にランダムアクセスメモリ，リードオンリーメモリ又はフラッシュメモリを有し，その上にプロセスコンピュータのための質問及びプロセスコンピュータとの質問−応答−通信のための正しい応答が格納されていることが，提案される。
【００２０】
実施例の説明
以下，本発明に基づく方法を電気的なブレーキシステムを用いて詳細に説明する。しかし，本発明は，電気的なブレーキシステムに限定されるものではなく，むしろそのシステムコンポーネントがプロセスコンピュータを介して駆動される，任意の分配された安全上重要なシステムに使用することができる。本発明は，プロセスコンピュータを監視するための付加的な監視ユニットの使用なしで，コンポーネントのより確実なイネーブルを許すものである。監視ユニットの課題は，むしろ，システム内にもともと設けられている，安全上重要なシステムのユニットによって，特に通信コントローラによって引き受けられ，その通信コントローラを介してプロセスコンピュータが通信システムに接続されている。
【００２１】
ブレーキシステムは，制動すべき各車輪について車輪モジュールＲ＿１，Ｒ＿ｍを有している。各車輪モジュールＲ＿１，Ｒ＿ｍは，マイクロコンピュータシステムＰ＿１，Ｐ＿ｍとイネーブル回路ＦＳ＿１，ＦＳ＿ｍを有している。マイクロコンピュータシステムＰ＿１，Ｐ＿ｍは，それぞれプロセスコンピュータＰｒｏ＿１，Ｐｒｏ＿ｍとインテリジェント通信コントローラＳ＿１，Ｓ＿ｍを有している。マイクロコンピュータシステムＰ＿１，Ｐ＿ｍのプロセスコンピュータＰｒｏ＿１，Ｐｒｏ＿ｍと通信コントローラＳ＿１，Ｓ＿ｍは，半導体モジュール（いわゆるチップ）上にまとめることができる。しかし，それらは常に互いに独立した別体のユニットとして形成されている。各車輪モジュールＲ＿１，Ｒ＿ｍは，通信コントローラＳ＿１，Ｓ＿ｍを介して物理的なデータバスＫ＿１，Ｋ＿ｍに接続されている。データバスを介してデータは，例えばＴＴＣＡＮ−，ＴＴＰ／Ｃ−又はフレックスレイ−プロトコルに従って伝送される。車輪モジュールＲ＿１，Ｒ＿ｍは，それぞれアクター技術Ａｋｔ＿１，Ａｋｔ＿ｍを駆動し，それらアクター技術は例えば車輪ブレーキを操作し，あるいは緩めるための１つ又は複数の電気モータを有している。
【００２２】
従来技術（図２）から知られている，いわゆる質問−応答−通信によってプロセスコンピュータ（Ｐｒｏ＿１）を監視するための監視コンセプトは，図１に示す本発明に基づくプロセスコンピュータ−通信コントローラ−コンセプトによって代用される。その場合に，通信コントローラＳ＿１は，従来技術に基づく監視ユニットＲ＿１Ｂの課題を引継ぎ，予め設定可能な時間ウィンドウ内で正しい応答を得るために，プロセスコンピュータへ周期的に質問を行う。時間ウィンドウが維持されず，あるいは質問に対する正しい応答が発生しない場合については，通信コントローラＳ＿１はプロセスコンピュータＰｒｏ＿１（信号Ａ）のオフ及び／又はイネーブル回路ＦＳ＿１を介して，接続されているコンポーネントＡｋｔ＿１のオフ（信号Ｂ）を引き受ける。
【００２３】
本発明に基づくコンセプトを実現するためには，通信コントローラＳ＿１は，質問及び応答のリストだけ補足されるだけで済む。通信コントローラＳ＿１の通信プロトコルは，周期的な照会，時間ウィンドウのための好適なタイマーのセット，この時間ウィンドウの監視及び応答の検査を可能にする機構だけ補足される。そして，通信コントローラＳ＿１は，プロセスコンピュータＰｒｏ＿１をイネーブルにするためのピン（信号出力Ａ）とイネーブル回路ＦＳ＿１をイネーブルにするためのピン（信号出力Ｂ）を有している。これらのピンは，通信コントローラＳ＿１によって操作される。
【００２４】
通信コントローラＳ＿１は，プロセスコンピュータＰｒｏ＿１との質問−応答−通信を実施し，それは通常のプロトコルシーケンス（メッセージの本来の送信と受信，メッセージコンファメーション，必要に応じてメンバーシップサービス及びグローバルな時間）に組み込まれている。それに基づいて通信コントローラＳ＿１の僅少な負担増加が生じるが，分配された安全上重要なシステム内部に存在しているユニットを使用する場合の著しい改良が生じる。さらに，通信コントローラＳ＿１は，イネーブル回路ＦＳ＿１への，あるいはプロセスコンピュータＰｒｏ＿１の適切なピンへの接続を可能にするために，ソフトウェア及びハードウェアインターフェイスを提供する。従ってイネーブル回路ＦＳ＿１は，一方ではプロセスコンピュータＰｒｏ＿１によって，そして他方では通信コントローラＳ＿１によって操作される。さらに，プロセスコンピュータＰｒｏ＿１自体も通信コントローラＳ＿１に接続することができるので，プロセスコンピュータＰｒｏ＿１自体を，例えばプロセスコンピュータＰｒｏ＿１のリセット線に結合することによって，オフにすることが可能である。
【００２５】
質問−応答−通信を実施するための本発明に基づくプロセスコンピュータ−通信コントローラ−コンセプトの実現は，通信コントローラを搭載した各制御装置によって可能であり，その通信コントローラは自立し，かつ独立した時計を有している。理想的な場合においては，この時計は，特に時計同期機構を介して分配された安全上重要なシステム全体のグローバルな時間に同期される。通信コントローラＳ＿１は，質問−応答−通信の機構を変換し，それに必要なコンフィグレーションデータを提供し，あるいはプログラムコンピュータＰｒｏ＿１とイネーブル回路ＦＳ＿１へのインターフェイスを用意しなければならない。
【００２６】
通信コントローラＳ＿１は，その永久的なメモリに質問のリストと正しい応答のリストをプログラミングされていなければならない。そのための例えばフラッシュ−ＥＰＲＯＭが特に適しており，その上には少なくとも，本来の通信のための他のコンフィグレーションデータも格納されている。監視すべき時間ウィンドウのタイムアウトを作成するための時計（タイマー）も，予め構成に入れておかなければならない。エラーカウンタ（カウント）を使用する場合には，そのための上方の境界（リミット）も同様に定義されなければならない。
【００２７】
通信コントローラＳ＿１は，ハードウェアインターフェイスを提供し，そのハードウェアインターフェイスは，プロセスコンピュータＰｒｏ＿１（信号Ａ）及び付加的なイネーブル回路ＦＳ＿１（信号Ｂ）との質問−応答−通信からもたらされるオフ論理の配線を可能にする。
【００２８】
質問と応答は，共通のメモリ領域（デュアルポートＲＡＭ）ＤＰＲＡＭ＿１を介してプロセスコンピュータＰｒｏ＿１と通信コントローラＳ＿１との間で交換される。この共通のメモリ領域ＤＰＲＡＭ＿１は，通信コントローラＳ＿１とプロセスコンピュータＰｒｏ＿１との間のソフトウェアインターフェイスを形成する。通信コントローラＳ＿１によって，例えば１６ビット値がソフトウェアインターフェイス内へセットされ（質問），応答がソフトウェアインターフェイスからタイムアウト内に読み出される。さらに，質問−応答−通信のステータスを外部に向けて提供するために（例えば「タイムアウトを越えた」又は「応答は秩序通りである」），通信コントローラＳ＿１内で他のソフトウェアインターフェイスを提供することができる。
【００２９】
通信コントローラＳ＿１は，プロセスコンピュータＰｒｏ＿１から得られた応答の評価と，応答リストに格納されている応答との比較を実施しなければならない。そのために通常の通信プロトコル内で，応答リストが格納されているテーブルのアドレッシング及び２つの値の単純な比較を可能にする，付加的な機構が考慮される。さらに，必要に応じてエラーカウンタ（カウント）を管理することができる。
【００３０】
次に，本発明に基づく方法の詳細を，図３と４を用いて説明する。方法は，機能ブロック１において開始される。初期状況は，機能している加入者（通信コントローラＳ＿１，Ｓ＿ｍとそのプロセスコンピュータＰｒｏ＿１，Ｐｒｏ＿ｍ）を有するアクティブな分配されたネットワークである。プロセスコンピュータＰｒｏ＿１又は駆動すべきコンポーネントＡｋｔ＿１（イネーブル回路ＦＳ＿１を介して）をオフする信号は存在していない。
【００３１】
機能ブロック２において，システムスタートが実施される。次に機能ブロック３において通信コントローラＳ＿１とプロセスコンピュータＰｒｏ＿１の初期化が実施される。その後，メッセージの送信と受信を有する通常のアプリケーションが開始される（機能ブロック４）。しかし，さらに，通信コントローラは，質問−応答−通信も開始する（機能ブロック５）。機能ブロック４と５によって象徴的にのみ示されている２つのシーケンスは，順次実施できるだけでなく，併存して，即ちほぼ並列に実施できるルーチンである。質問−応答−通信は，図４に詳細に示されており，後で詳しく説明する。
【００３２】
その後，判断ブロック６において，方法を終了すべきであるか否かが調べられる。方法は，例えば，該当する加入者又は分配されたシステム全体がセットバックされる場合に，終了される。方法が終了されるべきではない場合には，再び機能ブロック４へ分岐する。そうでない場合には，本発明に基づく方法は，機能ブロック７において終了される。
【００３３】
図４には，機能ブロック５に基づく質問−応答−ルーチンが詳細に記載されている。機能ブロック５１において，通信コントローラＳ＿１のメモリ素子ＥＰＲＯＭに格納されている質問カタログから所定の質問が選択される。質問の選択は，質問カタログのサイクリックな処理又は予め定めることのできるパターンに従った，あるいはランダム方法に従った（例えば通信コントローラＳ＿１の実際のシステム時間に結合された）処理とすることができる。その後，機能ブロック５２においてプロセスコンピュータＰｒｏ＿１に，選択された質問がソフトウェアインターフェイスＤＰＲＡＭ＿１を介して用意されて，機能ブロック５３においてタイムカウンタ（タイマー）が始動される。時間ウィンドウの監視は，通信コントローラＳ＿１の他のプロトコルシーケンスの部分であって，同様に様々に，例えばいわゆるポーリングによって，あるいは通信コントローラＳ＿１内のいわゆるキャプチャーアンドコンペア論理によって作動させることができる。
【００３４】
プロセスコンピュータＰｒｏ＿１内には，好適なソフトウェアが設けられており，それが通信コントローラＳ＿１の質問を処理して（機能ブロック５４），質問に対する好適な応答を求める（機能ブロック５５）。そのために使用されるアルゴリズムあるいは方法は，本発明の対象ではなく，質問のシンプルな反転からメモリテストを含めた複雑な計算にまで及ぶことができる。プロセスコンピュータＰｒｏ＿１内のソフトウェアは，その後機能ブロック５６においてソフトウェアインターフェイスＤＰＲＡＭ＿１を介して応答を通信コントローラＳ＿１へ伝達する。
【００３５】
その後，機能ブロック５７において，応答はソフトウェアインターフェイスＤＰＲＡＭ＿１から通信コントローラＳ＿１内へ読み込まれる。機能ブロック５８において，プロセスコンピュータＰｒｏ＿１の応答と応答リストに記載されている正しい応答との比較が通信コントローラＳ＿１の評価論理を介して実施される。通常場合においては，通信コントローラＳ＿１は，正しい応答を得る（出力「否定」）。質問−応答−通信の結果は，さらに，ステータスレジスタにセットされる（機能ブロック５９）。従ってこの場合にはポジティブなステータスがセットされる。ここから質問−応答−ルーチン５は再び図３の機能ブロック６へ分岐する。その場合に次の質問は，例えばタイムアウトの経過後に，プロセスコンピュータＰｒｏ＿１へセットされて，質問−応答−ルーチン５が新たに通過される。それによって，サイクリックな質問−応答−プロトコルが生じる。しかし，次の質問の開始は，予め決定された時点で行うこともできる（これについては，各プロトコルステップを所定の時点の達成に関係付ける，時間制御される通信プロトコルも参照）。
【００３６】
エラーの場合には（判断ブロック５８の出力が「肯定」），プロセスコンピュータＰｒｏ＿１の応答は，通信コントローラＳ＿１の構成されたリスト内の質問への好適な正しい応答と一致せず，あるいは所定の時間ウィンドウが維持されていない。
【００３７】
エラー処理の範囲内で，まずエラーカウンタが増分される（機能ブロック６０）。次に，機能ブロック６１において，プロセッサＰｒｏ＿１をオフにする信号Ａが作動される。同様に，機能ブロック６２において，アクター技術Ａｋｔ＿１をオフにする信号Ｂを，イネーブル回路ＦＳ＿１を介して送信することができる。ステップ６１と６２は，各エラー処理において処理することができる。しかし，選択的に，機能ブロック６０において増分されたエラーカウンタが予め設定される限界値を越えた場合に初めて，それらを処理することもできる。ステップ６１と６２によって，オフにされたユニットＰｒｏ＿１，Ａｋｔ＿１の加入者は，整えられたシステム新規スタートが行われるまでは，通信に入れられる。機能ブロック６３においては，本発明に基づく方法の終了が設けられているので，方法は次に判断ブロック６を通過した場合に機能ブロック７で終了される。
【図面の簡単な説明】
図面
本発明の他の特徴，利用可能性及び利点は，図面に示す本発明の実施例についての以下の説明から明らかにされる。その場合に全ての記載されている，あるいは図示されている特徴は，それ自体で，あるいは任意の組合わせにおいて，特許請求項におけるその要約又はその帰属に関係なく，かつ詳細な説明あるいは図面におけるその表現あるいは表示に関係なく，本発明の対象を形成する。
【図１】
好ましい実施形態に基づく，本発明方法を実現するための分配された安全上重要なシステムの一部を示し；
【図２】
従来技術から知られた，分配された安全上重要なシステムの駆動モジュールを示し；
【図３】
好ましい実施形態に基づく，本発明方法を示すフローチャートであり；
【図４】
図３に示すフローチャートの，通信コントローラとプロセスコンピュータとの間の質問−応答−通信に該当する部分を示す。

Claims (11)

1. 分配された安全上重要なシステムのコンポーネント（Ａｋｔ＿１），特に車両内のＸ−バイ−ワイヤ−システムのコンポーネント（Ａｋｔ＿１）の駆動方法であって，その場合に前記コンポーネント（Ａｋｔ＿１）は前記コンポーネント（Ａｋｔ＿１）に対応付けられたプロセスコンピュータ（Ｐｒｏ＿１）によって駆動され，前記プロセスコンピュータは通信コントローラ（Ｓ−１）を介して通信システム（Ｋ＿１）に接続されており，かつ前記プロセスコンピュータ（Ｐｒｏ＿１）に依存しない監視ユニットが設けられており，前記監視ユニットによって前記プロセスコンピュータ（Ｐｒｏ＿１）が監視される，前記方法において，
   前記監視ユニットの課題が，前記通信コントローラ（Ｓ＿１）によって満たされる，ことを特徴とする分配された安全上重要なシステムのコンポーネントの駆動方法。
2. 前記通信コントローラ（Ｓ＿１）に，監視すべきプロセスコンピュータ（Ｐｒｏ＿１）に予め設定可能な時点でなされる質問を有するリストが提供され，その場合に前記プロセスコンピュータ（Ｐｒｏ＿１）は前記通信コントローラ（Ｓ＿１）に応答を与え，前記応答がその後通信コントローラによって評価される，ことを特徴とする請求項１に記載の方法。
3. 前記応答は，それが予め定めることのできる期間内で行われたか，について調べられる，ことを特徴とする請求項２に記載の方法。
4. 前記応答は，それが正しいか，について調べられる，ことを特徴とする請求項２に記載の方法。
5. 前記応答は，それがなされた質問に対する正しい応答としてリスト内に記入されているか，について調べられる，ことを特徴とする請求項４に記載の方法。
6. 前記プロセスコンピュータに，前記通信コントローラによって周期的に質問がなされる，ことを特徴とする請求項２から５のいずれか１項に記載の方法。
7. 前記通信コントローラは，応答が誤っている場合及び／又は予め設定可能な期間内に行われなかった場合に，プロセスコンピュータのオフを引き受ける，ことを特徴とする請求項１から６のいずれか１項に記載の方法。
8. 前記通信コントローラは，応答が誤っている場合及び／又は予め設定可能な期間内に行われなかった場合に，駆動すべきコンポーネントのオフを引き受ける，ことを特徴とする請求項１から６のいずれか１項に記載の方法。
9. 前記プロセスコンピュータ（Ｐｒｏ＿１）を通信システム（Ｋ＿１）に接続するための通信コントローラであって，その場合に前記プロセスコンピュータは分配された安全上重要なシステムのコンポーネント，特に車両内のＸ−バイ−ワイヤ−システムのコンポーネントを駆動するために用いられ，かつ前記通信コントローラ（Ｓ＿１）上で，前記プロセスコンピュータ（Ｐｒｏ＿１）と前記通信システム（Ｋ＿１）との間のデータ伝送を実現するために通信プロトコルが遂行される，前記通信コントローラにおいて，
   前記通信プロトコルは，前記通信コントローラ（Ｓ＿１）に前記プロセスコンピュータ（Ｐｒｏ＿１）を監視することを可能にする機構だけ補足されている，
   ことを特徴とする通信コントローラ。
10. 前記通信プロトコルは，請求項２から８のいずれか１項に記載の方法を実施する機構だけ補足されている，
    ことを特徴とする請求項９に記載の通信コントローラ。
11. 前記通信コントローラは，メモリ素子，特にランダムアクセスメモリ，リードオンリーメモリ又はフラッシュメモリを有しており，前記メモリ上にプロセスコンピュータのための質問及びプロセスコンピュータとの質問−応答−通信のための正しい応答が格納されている，
    ことを特徴とする請求項８又は９に記載の通信コントローラ。

Images