JP2004519060A - 分配された安全上重要なシステムを駆動する方法 - Google Patents

Abstract

本発明は，分配された安全上重要なシステム，特に自動車内のＸ−バイ−ワイヤ−システムを駆動する方法に関する。分配されたシステムは，システムのコンポーネント（Ａｋｔ_１）を駆動するための少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ_１）と，少なくとも１つの他のプロセスコンピュータ（Ｐｒｏ_ｍ）とを有している。プロセスコンピュータ（Ｐｒｏ_１，Ｐｒｏ_ｍ）は，それぞれ通信コントローラ（Ｓ_１，Ｓ_ｍ）を介して通信システム（Ｋ_１）に接続されている。少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ_１）の機能能力は，少なくとも１つの他のプロセスコンピュータ（Ｐｒｏ_ｍ）によって検査される。この方法は，分配された監視コンセプトとも称される。本発明によれば，少なくとも１つのエラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）を他のプロセスコンピュータ（Ｐｒｏ_ｍ）の少なくとも１つによって安全確保してオフにするための機構が提案され，分配された監視コンセプトを実現するための通信システム（Ｋ_１）の通信プロトコルがその機構の分だけ拡張されている。
【選択図】図１

Description

【０００１】
従来の技術
本発明は，分配された安全上重要なシステム，特に自動車内のＸ−バイ−ワイヤ−システムを駆動する方法に関する。分配されたシステムは，システムのコンポーネントを駆動するための少なくとも１つの第１のプロセスコンピュータと少なくとも１つの他のプロセスコンピュータとを有しており，その際にプロセスコンピュータは，それぞれ通信コントローラを介して通信システムに接続されている。このとき，少なくとも１つの第１のプロセスコンピュータの機能能力は，少なくとも１つの他のプロセスコンピュータによって試験される。
【０００２】
本発明は，さらに，分配された安全上重要なシステム，特に自動車内のＸ−バイ−ワイヤ−システムに関する。分配されたシステムは，システムのコンポーネントを駆動するための少なくとも１つの第１のプロセスコンピュータと少なくとも１つの他のプロセスコンピュータを有している場合に，プロセスコンピュータは，それぞれ通信コントローラを介して通信システムに接続されている。このとき，少なくとも１つの第１のプロセスコンピュータの機能能力の監視は，少なくとも１つの他のプロセスコンピュータによって実行される。
【０００３】
さらに，本発明は，少なくとも１つの第１のプロセスコンピュータと少なくとも１つの他のプロセスコンピュータを，分配された安全上重要なシステム，特に自動車内のＸ−バイ−ワイヤ−システムの通信システムに接続するための通信コントローラに関する。このとき，少なくとも１つの第１のプロセスコンピュータは，分配されたシステムのコンポーネントを駆動するために使用される。また，通信コントローラ上では，プロセスコンピュータと通信システムとの間のデータ伝送を実現するために通信プロトコルが遂行される。
【０００４】
そして本発明は，分配された安全上重要なシステム，特に自動車内のＸ−バイ−ワイヤ−システムの通信システムのための通信プロトコルにも関する。分配されたシステムは，分配されたシステムのコンポーネントを駆動するための少なくとも１つの第１のプロセスコンピュータと，少なくとも１つの他のプロセスコンピュータを有している。このとき，プロセスコンピュータは，それぞれ通信コントローラを介して通信システムに接続されている。また，通信プロトコルは，プロセスコンピュータと通信システムとの間のデータ伝送を実現するために通信コントローラ上で遂行される。
【０００５】
制御装置（プロセスコンピュータ），センサ技術およびアクター技術を通信システムの使用によってネットワーク化することは，自動車関連分野において近年著しく増加している。その際に，通信システムを介して相互に影響し合うことを排除しなければならない。このとき，機能を多数のプロセスコンピュータへ分配することによる相乗効果が前面に出てくる。分配されたシステムについて以下で述べる。
【０００６】
この種の分配されたシステムの特殊な実現が，Ｘ−バイ−ワイヤ−システムである。Ｘ−バイ−ワイヤ−システムは，車両運動に用いられる自動車システムであって，運転者意図の検出とその変換を分離することを許すものである。運転者意図の検出とかかる変換の間の接続は，機械的な方法ではなく，大体において（電子的な）情報伝送のみに基づいて実行される。Ｘ−バイ−ワイヤ−システムは，高い安全要請を有するシステムであって，すなわちかかるシステムが完全に故障すると，車両内で可能な最高の安全段階のエラーをもたらす。この種のシステムとして，以下の３つの分類が考えられる。
【０００７】
１．ウェット性のＸ−バイ−ワイヤ−システムは，電気的なエネルギー供給がなされない場合でも（例えばエネルギー供給が絶たれた後に）ベース機能を維持することのできる，油圧的（機械的）フォールバック平面を有するシステムである。ベース機能とは，運転者意図が得られる機能に機械的に固定結合されている場合にも，まだ存在する機能である。車両ブレーキにおいては，例えばベースブレーキ機能は，可変のブレーキ力分配を形成することのできる電子的制御システムのないブレーキ機能である。その際にベースブレーキ機能においては（システムに従って），例えばブレーキ力の６５％は，前車軸に，３５％は，後ろ車軸に分配されることが固定的に設定されている。アンチロックブレーキングシステム（ＡＢＳ），アンチスリップ制御（ＡＳＲ）および走行動特性制御（ＦＤＲ）は，ベースブレーキ機能には属していない。
【０００８】
２．ドライ性のＸ−バイ−ワイヤ−システムは，機械的／油圧的フォールバック平面をもたないシステムである。かかるシステムの実現は，電気機械的コンポーネントのみに基づいている。
【０００９】
３．半ドライ性のＸ−バイ−ワイヤ−システムは，油圧操作装置を使用するが，「ドライなインターフェイス」を有しているシステムである。従って，通信要請に関して，かかるシステムは，ドライ性のＸ−バイ−ワイヤ−システムと同様に取り扱われる。
【００１０】
Ｘ−バイ−ワイヤ−システムの典型的な例として，ステア−バイ−ワイヤシステムおよびブレーキ−バイ−ワイヤシステムがある（電子ステアリングおよび電子ブレーキ）。
【００１１】
高い安全要請を有するＸ−バイ−ワイヤ−システムの全システム，特にＸ−バイ−ワイヤ−システムにおいて，アクター技術を例えば電気モータまたは油圧ポンプから解放するための機構が必要である。これは，従来技術によれば，質問−応答−通信に基づく，いわゆる「インテリジェントウォッチドッグ」によって実現される。
【００１２】
冒頭で挙げた種類の方法は，例えばＤＥ１９８２６１３１Ａ１から知られている。かかる公報においては，分配された安全上重要なシステムは，自動車の電気的なブレーキシステムとして記載されている。コンポーネントは，自動車のブレーキとして，若しくは，さらに正確に言うと，ブレーキを駆動するためのアクターとして形成されている。この種のシステムは，高度に安全上重要である。なぜなら，コンポーネントのエラーのある駆動，特にブレーキのエラーのある操作は，予測不可能な安全上のリスクをもたらす恐れがあるからである。この理由から，コンポーネントのエラーのある駆動が確実に排除されなければならない。
【００１３】
公知のブレーキシステムの本質的な特徴は，中央で運転者意図を検出するためのペダルモジュール，ブレーキアクチュエータを車輪個別に制御するための４つの車輪モジュールおよび上位のブレーキ機能を計算するための処理モジュールである。個々のモジュール間の互いの通信は，１つまたは複数の通信システムによって実行可能である。本特許出願の図２には，種々の論理平面を有する車輪モジュールの内部構造が例示されている。その際に論理平面Ｌ_１は，少なくとも，車輪ブレーキのための開ループ制御および閉ループ制御機能の計算を有し，論理平面Ｌ_２からＬ_４は，コンピュータを監視し，かつＬ_１の機能を試験するための種々の機能を含む内容としている。
【００１４】
ブレーキ，例えばブレーキシューを操作するための電気モータの駆動は，各車輪モジュールについて同様に以下のステップを有している。：
【００１５】
ａ）少なくとも１つの入力信号（ａ_Ｒ２，ａ_Ｒ３，ａ_Ｒ４；ａ_Ｖ，ｒｅｆ；ｓ_Ｒ２，ｓ_Ｒ３，ｓ_Ｒ４；Δｓ_Ｖ，ｒｅｆ；ｖ_Ｆ；ｎ_１；ｄ_１；Ｆ_ｌｉ；ａ_Ｒ１；ｓ_Ｒ１）に従って，第１のマイクロコンピュータシステム（Ｒ_１Ａ）によってブレーキのための少なくとも１つの駆動信号（ｆ_１）を求める。入力信号は，通信システム（Ｋ_１）若しくはバスシステムを介して，マイクロコンピュータシステム（Ｒ_１Ａ）へ提供される。
【００１６】
ｂ）少なくとも１つの論理的な駆動信号（ｅ_１Ｈ）を求める。論理的な駆動信号（ｅ_１Ｈ）は，少なくとも部分的に，第１のマイクロコンピュータシステム（Ｒ_１Ａ）に依存しない監視ユニット（Ｒ_１Ｂ）によって，少なくとも１つの入力信号に従って求められる。
【００１７】
ｃ）少なくとも１つの駆動信号（ｆ_１）を，パワーエレクトロニクス（ＬＥ_１Ｋ）において少なくとも１つの論理的な駆動信号（ｅ_１Ｈ）と比較する。
【００１８】
ｄ）駆動信号（ｆ_１）と論理的な駆動信号（ｅ_１Ｈ）との比較の結果に従って，（パワーエレクトロニクスＬＥ内部の）少なくとも１つのイネーブル信号を求める。
【００１９】
ｅ）少なくとも１つのイネーブル信号が予め設定可能な値を有する場合に，少なくとも１つの駆動信号（ｆ_１）または駆動信号（ｆ_１）に依存する信号（ｉ_１Ｋ）をブレーキ若しくはブレーキシューのためのアクチュエータＡｋｔ_１へ供給する。
【００２０】
監視ユニット（Ｒ_１Ｂ）は，特に系統的（いわゆるコモンモードの）エラーを認識するために使用される。この種のエラーの例は，電圧供給におけるエラーである。公知のブレーキシステムにおいては，監視ユニット（Ｒ_１Ｂ）は，自立したマイクロコンピュータシステムとして形成されている。しかしながら，監視ユニット（Ｒ_１Ｂ）を，独自のプロセッサを持たないハードウェアモジュールとして形成することもできるが，かかるハードウェアモジュールは，具体的な論理機能を，あるいは，かかるハードウェアモジュールがレジスタを有している場合には，さらに切り換え機能を実施することができる。この種のハードウェアモジュールの例として，例えばＡＳＩＣ（Ａｐｐｌｉｅｄ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ），ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）または監視回路（いわゆるウォッチドッグ）がある。
【００２１】
コンポーネント（アクター技術）を駆動する責任を有する制御装置（マイクロコンピュータシステムまたはプロセスコンピュータ）は，監視されて，エラーの場合には，監視ユニットによってオフにされる。このとき，監視は，質問−応答−通信に基づいており，固定されたプロトコルに従わなければならない。
【００２２】
アクター技術（ＬＥ_２Ｒ）のイネーブルは，マイクロコンピュータシステム（Ｒ_１Ａ）と独立した監視ユニット（Ｒ_１Ｂ）が一致した場合（質問−応答−通信は明細設定されたように作動する）にのみ実行される。このイネーブルの原理は，プロセスコンピュータと監視ユニットとの間で実現されている電気的なイネーブル回路（アンド結合）に基づいている。これは，２つのユニットがアクター技術の通常の機能について，論理「１」をイネーブル回路へ印加しなければならないことを意味している。
【００２３】
マイクロコンピュータシステム（Ｒ_１Ａ）内のプロセスがオフにする信号を出力するとすぐにアクター技術の接続が切断される。監視コンポーネント（Ｒ_１Ｂ）は，監視されているユニット（マイクロコンピュータシステムＲ_１Ａ）にエラーがあると認識された場合にのみ，オフにする信号を出力する。
【００２４】
しかし，安全上重要なシステムにおいては，質問−応答−通信の範囲を超える，制御装置（プロセスコンピュータ）のための監視機構も必要である。これは，特に，いわゆる−フェイル−サイレント−コンピュータ（Ｆａｉｌ−Ｓｉｌｅｎｔ−Ｒｅｃｈｎｅｒ）のために大きな役割を果たす。このコンピュータは，定義によって１つの値のみを，かかる値が（正しい時期に）正確に存在し，あるいは認識可能に誤って示された場合に，外部へ出力することができる。そのためにローカルの連続的な監視機能（メモリテスト，蓋然性チェック）がプロセスコンピュータ自体に実装される。しかし，特に安全上重要な課題については，フェイル−サイレント−コンピュータが予測される確実性を満たさない場合を考慮しなければならない。コンピュータは，もはや自分でオフにはできず，若しくは再始動を開始することはできない。独立したユニットが，安全確保されたオフを引継ぎ，あるいは再始動を開始しなければならない。
【００２５】
自動車領域内の通信システムを使用することは，最近では，ほぼ全てのメーカーにおいて標準になっている。ソサイティフォアオートモーティブエンジニアリング（Ｓｏｃｉｅｔｙ ｆｏｒ Ａｕｔｏｍｏｔｉｖｅ Ｅｎｇｉｎｅｅｒｉｎｇ／ＳＡＥ）は，通信に対する３つの異なる要請クラス：クラスＡ，Ｂ，Ｃを定めた。これらのクラスは，様々な実時間要請と使用領域に至るまで，交換される情報の量において異なっている。最高の要請を有するプロトコルクラスは，クラスＣである。かかるクラスＣについて，ＳＡＥの明細書「クラスＣの使用のための通信プロトコル（Ｋｏｍｍｕｎｉｋａｔｉｏｎｓｐｒｏｔｏｋｏｌｌｅ ｆｕｅｒ Ｋｌａｓｓｅ Ｃ Ａｎｗｅｎｄｕｎｇｅｎ）」，ＳＡＥ Ｊ２０５６／１，１９９３年６月が入手できる。このクラスＣは，Ｘ−バイ−ワイヤ−システムのための権限を有するクラスである。
【００２６】
Ｘ−バイ−ワイヤ−使用に利用することのできる通信システムは，例えばＣＡＮ−，ＴＴＣＡＮ（Ｔｉｍｅ Ｔｒｉｇｇｅｒｅｄ ＣＡＮ）−，ＴＴＰ／Ｃ−またはフレックスレイ−プロトコルである。この種のプロトコルにおける本発明にとって重要なサービスは，加入者−サービス（いわゆるメンバーシップ−サービス）である。その際に，情報証明の機構を介して，全てのアクティブな通信加入者の決定手続内で，通信加入者（マイクロコンピュータシステムまたはプロセスコンピュータ）の所属／アクティビティが設定される。通信加入者の所属／アクティビティに関する情報は，いわゆるメンバーシップ情報として記憶される。所定数の決定サークルに従って，メンバーシップ情報は，安定となり，すなわち全ての加入者から有効と認められる。この決定によって，加入者がインアクティブとして特徴づけられた場合には，かかるノードは，通信にアクティブに参加できなくなる。かかるノードを管轄するプロセスコンピュータは，インアクティブな状態を認識して，その通信コントローラを再びアクティブに切り換えるために（再始動と再同期），処置をとらなければならない。加入者を設定するための機構は，連続的に実施され，かつ本来の通信プロトコルの一部となる。
【００２７】
ＤＥ１９８２６１３１Ａ１から明らかにされた従来技術における欠点は，論理的平面Ｌ_４が常に別個の構成部分において実現されており（例えば電気的ブレーキシステムの車輪モジュール内の），その構成部分は，分配された安全上重要なシステムの内部でさらに多重に設けられなければならないことである。
【００２８】
上記の欠点を除去するために，監視ユニットを完全に省き，監視ユニットの課題を分配された安全上重要なシステムの少なくとも１つの他のプロセスコンピュータへ，および／または通信コントローラの少なくとも１つへ移動することが，提案され，それら通信コントローラを介して他のプロセスコンピュータが通信システムに接続されている。
【００２９】
本発明の課題は，この種の分配された監視コンセプトにおいて，通信システム若しくは通信コントローラのベース機能，すなわち安全確保されたメッセージ伝送，同時に通信システム内の多数の目標へ向けられたメッセージの送信（いわゆるマルチキャスティング），情報証明および−例えばＴＴＰ／Ｃ（Ｔｉｍｅ Ｔｒｉｇｇｅｒｅｄ Ｐｒｏｔｏｃｏｌ ｆｏｒ Ｃｌａｓｓ Ｃ）またはＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）においては−加入者サービスを，通信システムを介することによってプロセッサを安全確保してオフにするための機構だけ拡張する可能性を提供することである。
【００３０】
この課題を解決するために，本発明は，冒頭で挙げた種類の方法に基づいて，以下のステップを有する方法を提案する。：
【００３１】
−少なくとも１つの第１のプロセスコンピュータのエラーを求めた少なくとも１つの他のプロセスコンピュータは，エラーのある第１のプロセスコンピュータまたはかかる第１のプロセスコンピュータによって駆動されるコンポーネントを駆動するために通信システムを介して駆動メッセージを伝達し；
−駆動メッセージの発信者が，エラーのある第１のプロセスコンピュータを駆動する権限を有しているかを調べ；
−駆動メッセージの発信者が通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加しているかを調べ；
−エラーのある第１のプロセスコンピュータを駆動する権限を有し，通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加している発信者の駆動メッセージの内容に従って，予め設定可能な決定アルゴリズムに従って，エラーのある第１のプロセスコンピュータおよび／またはコンポーネントがどのように駆動されるかを決定され；かつ
−エラーのある第１のプロセスコンピュータおよび／またはコンポーネントが，それに応じて駆動される。
【００３２】
発明の利点
従って本発明によれば，ローカルまたはグローバルに提供可能な情報が設けられており，その情報によって通信システム内部の分配された監視コンセプトのより安全かつ確実な実現を達成することができる。かかる情報は，第１のプロセスコンピュータについては，それぞれローカルなリストに関するものであって，かかるリストの中に，エラーの場合にそれぞれ第１のプロセスコンピュータを駆動する（例えばオフにする）ことのできる他のプロセスコンピュータが設けられている。さらに情報は，グローバルなリストに関し，そのリスト内には，通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加しているプロセスコンピュータが設けられている。このリストのために，例えば加入者サービスのメンバーシップ情報を利用することができる。また情報は，それぞれ他のプロセスコンピュータについて，グローバルに提供可能なリストに関し，かかるリスト内には，それぞれ他のプロセスコンピュータにエラーがあると認識し，従って駆動する（例えばオフにする）ことのできる第１のプロセスコンピュータが設けられている。
【００３３】
本発明は，多数のプロセスコンピュータを有する通信システムに基づいている。プロセスコンピュータは，２つのグループに，すなわち一方では，監視される第１のプロセスコンピュータとして，他方では，監視する他のプロセスコンピュータとして分割されている。分配されたシステムのプロセスコンピュータのいずれかが第１のグループに属し，いずれかが第２のグループに属しているかについては，定義の問題である。１つの同じプロセスコンピュータが，一方では，他のプロセスコンピュータの１つまたは複数によって監視されることにより，第１のグループに属し，他方では，１つまたは複数の他の（第１の）プロセスコンピュータを監視することにより，第２のグループに属することも容易に考えられる。
【００３４】
本発明によって，通信システム若しくは通信プロトコルのベース機能，すなわち安全確保されたメッセージ伝送，マルチキャスティング，情報証明および加入者サービスは，通信システムを介してプロセスコンピュータを安全確保してオフにする機構によって拡張される。その場合に通信システムは，従来技術においては，ハードウェアにおいて（配線により）実現されていたオフレーン（例えばブレーキ−バイ−ワイヤ−システムにおける車輪コンピュータへの星状の配線を有する監視ユニット）の代用をする。通信システムは，従来技術に従って，制御装置のプロセスコンピュータにローカルに実装されたインテリジェントウォッチドッグ（しばしば単純なハードウェア回路の形式）を，通信システム内の任意に選択されたプロセスコンピュータへ移動させることができる。その際に，分配されたシステム内で既に設けられている制御装置のプロセスコンピュータが利用されることが好ましい。拡張されたウォッチドッグ機能，例えば相手コンピュータによる蓋然性チェックは，それによってより簡単に実現することができる。
【００３５】
しかし，通信システム内で安全確保してオフにするための付加的な機構は，分配された監視コンセプトも可能にする。このことは，プロセスコンピュータがインテリジェントなウォッチドッグの機能を引き受けるだけでなく，多数の制御装置は，かかるプロセスコンピュータによって，通信システムを介して駆動若しくはオフをもたらすことができることを意味している。
【００３６】
今日の自動車内に既に標準化されている通信システムおよびかかるシステムに結びついたバス配線（単線または二線導線）が，オフレーンとして利用される。このとき，通信システムのユニット間におけるオフレーンのために明確な配線は，不要である。通信システムは，駆動プロトコル若しくはオフプロトコルを実施して，通常のプロトコルシーケンス（メッセージの本来の送信と受信，情報証明および加入者サービス）に組み込まれている。その際に，通信コントローラのわずかな負担増は，発生するが，既にある制御装置（プロセスコンピュータ）の利用における著しい改良が得られる。さらに，通信システムは，駆動プロトコル若しくはオフプロトコルを開始若しくは実行に移すために，プロセスコンピュータへのソフトウェア−およびハードウェアインターフェイスを提供する。
【００３７】
従って，分配された安全上重要なシステムのコンポーネント（アクター技術）が本発明に基づく方法に従って，かかるシステムを介して駆動される，イネーブル回路は，一方では，プロセスコンピュータによって，他方では，通信コントローラによって操作される。従って，通信システムを介してコンポーネントを駆動若しくはオフにすることが可能となる。さらにプロセスコンピュータ自体も通信コントローラと結合されることができるので，コンポーネントを駆動するプロセスコンピュータ自体が，例えば通信コントローラをプロセスコンピュータのリセット線に接続することによって，駆動若しくはオフにされることができる。
【００３８】
本発明の好適な展開によれば，駆動メッセージによってエラーのある第１のプロセスコンピュータおよび／または第１のプロセスコンピュータによって駆動されるコンポーネントのオフが実行されることが提案される。
【００３９】
本発明の好適な実施形態によれば，少なくとも１つの第１のプロセスコンピュータの通信コントローラ内に，ローカルな権限リストが設けられており，それを用いて，駆動メッセージの発信者の識別子が権限リストの内容と比較されることによって，駆動メッセージの発信者がエラーのある第１のプロセスコンピュータを駆動する権限を有しているかを検査されることが提案される。
【００４０】
本発明の他の好適な実施形態によれば，通信システム内にグローバルな加入者リストが設けられており，それを用いて，駆動メッセージの発信者の識別子が加入者リストの内容と比較されることによって，駆動メッセージの発信者が通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加しているかを調べられることが提案される。
【００４１】
本発明の他の好適な展開によれば，少なくとも１つの第１のプロセスコンピュータについて多数の駆動メッセージが存在する場合に，駆動メッセージの内容に従って多数決に基づいて，エラーのある第１のプロセスコンピュータおよび／またはコンポーネントがいかに駆動されるかを決定されることが提案される。
【００４２】
このとき，エラーのある第１のプロセスコンピュータおよび／またはコンポーネントの成功裏に実行された駆動は，駆動メッセージの少なくとも１つの発信者に伝達されることが好ましい。
【００４３】
このとき，エラーのある第１のプロセスコンピュータおよび／またはコンポーネントの成功裏に実行された駆動は，エラーのある第１のプロセスコンピュータが通信システム内に設けられているグローバルな加入者リストから抹消されることによって，全てのプロセスコンピュータへ伝達され，その際に通信加入者リスト内には，通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加しているプロセスコンピュータが設けられていることが好ましい。
【００４４】
本発明の課題の他の解決として，冒頭で挙げた種類の分配された安全上重要なシステムに基づいて，
−他のプロセスコンピュータの少なくとも１つは，第１のプロセスコンピュータの少なくとも１つのもののエラーを求める手段，および少なくとも１つのエラーのある第１のプロセスコンピュータがエラーを有する場合に，エラーのある第１のプロセスコンピュータおよび／または第１のプロセスコンピュータによって駆動されるコンポーネントを駆動するための駆動メッセージが通信システムを介して伝達される手段を有しており；
−エラーのある第１のプロセスコンピュータの通信コントローラに，駆動メッセージの発信者が，エラーのある第１のプロセスコンピュータを駆動する権限を有しているかの情報が提供され；
−エラーのある第１のプロセスコンピュータの通信コントローラに，駆動メッセージの発信者が通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加しているかの情報が提供され；
−エラーのある第１のプロセスコンピュータの通信コントローラは，予め設定可能な決定アルゴリズムに従って，エラーのある第１のプロセスコンピュータおよび／またはコンポーネントが，エラーのある第１のプロセスコンピュータを駆動する権限を有しており，かつ通信システムに接続されており，通信システムを介して通信にアクティブに参加している発信者の駆動メッセージの内容に従っていかにして駆動されるかを決定する手段を有しており；かつ
−エラーのある第１のプロセスコンピュータの通信コントローラは，エラーのある第１のプロセスコンピュータおよび／またはコンポーネントをそれに応じて駆動する手段を有している，
ことが提案される。
【００４５】
本発明の好適な展開によれば，駆動メッセージの発信者が，エラーのある第１のプロセスコンピュータを駆動する権限を有しているかの情報が，少なくとも１つの第１のプロセスコンピュータの通信コントローラ内に設けられているローカルな権限リストの形式で提供されることが提案される。
【００４６】
本発明の好適な実施形態によれば，駆動メッセージの発信者が通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加しているかの情報が，通信システム内に設けられているグローバルな加入者リストの形式で提供されることが提案される。
【００４７】
本発明の課題のさらに他の解決として，冒頭で挙げた種類の通信コントローラに基づいて，通信プロトコルが通信コントローラに，
−少なくとも１つの第１のエラーのあるプロセスコンピュータおよび／または第１のエラーのあるプロセスコンピュータによって駆動されるコンポーネントを駆動するための駆動メッセージが通信システムを介して伝達される，他のプロセスコンピュータの１つが，通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加しているかを検査すること；
−駆動メッセージの発信者が，エラーのある第１のプロセスコンピュータを駆動する権限を有しているかを検査すること；
−予め設定可能な決定アルゴリズムに従って，第１のプロセスコンピュータおよび／またはコンポーネントが，エラーのある第１のプロセスコンピュータを駆動する権限を有し，かつ通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加している発信者の駆動メッセージの内容に従ってどのように駆動されるかを決定すること；および
−それに応じて第１のプロセスコンピュータおよび／またはコンポーネントを駆動すること，
を可能にする機構だけ補足されていることが提案される。
【００４８】
本発明の好適な展開によれば，通信プロトコルは，本発明に基づく方法を実施するための機構だけ補足されていることが提案される。
【００４９】
また，本発明の課題のさらに他の解決として，冒頭で挙げた種類の通信プロトコルに基づいて，通信プロトコルが，
−少なくとも１つの第１のエラーのあるプロセスコンピュータおよび／または第１のエラーのあるプロセスコンピュータによって駆動されるコンポーネントを駆動するための駆動メッセージが通信システムを介して伝達される他のプロセスコンピュータの１つが，通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加しているかを検査し；
−駆動メッセージの発信者が，エラーのある第１のプロセスコンピュータを駆動する権限を有しているかを調べ；
−予め設定可能な決定アルゴリズムに従って，第１のプロセスコンピュータおよび／またはコンポーネントが，エラーのある第１のプロセスコンピュータを駆動する権限を有し，かつ通信システムに接続されており，かつ通信システムを介して通信にアクティブに参加している発信者の駆動メッセージの内容に従って，どのように駆動されるかを決定し；かつ
−それに応じて第１のプロセスコンピュータおよび／またはコンポーネントを駆動する機構だけ補足されていることが提案される。
【００５０】
本発明の好適な展開によれば，通信プロトコルは，本発明に基づく方法を実施するための機構だけ補足されていることが提案される。
【００５１】
本発明の他の特徴，使用可能性および利点は，図面に示される本発明の実施例についての以下の説明から明らかにされる。その場合に全ての記載されている，あるいは図示されている特徴は，それ自体あるいは任意の組み合わせにおいて，特許請求項におけるその要約またはその帰属に関係なく，かつ詳細な説明ないし図面におけるその表現若しくは図示に関係なく，本発明の対象を形成するものである。
【００５２】
実施例の説明
本発明を，以下で電気的なブレーキシステムを用いて詳細に説明する。しかし，本発明は電気的なブレーキシステムに限定されるものではなく，むしろ任意の分配された安全上重要なシステムに使用することができる。本発明は，付加的な監視ユニットを使用せずに，安全上重要なシステムのコンポーネントＡｋｔ_１の確実なイネーブルを許す。監視ユニットの課題は，むしろ分配されたシステムの他のプロセスコンピュータＰ_ｍによって引き受けられ，かかるプロセスコンピュータは，本来システム内に存在しており，かつ該当する機能の分だけ拡張されている。
【００５３】
ブレーキシステムは，制動すべき各車輪について，車輪モジュールＲ_１，Ｒ_ｍを有している。各車輪モジュールＲ_１，Ｒ_ｍは，マイクロコンピュータシステムＰ_１，Ｐ_ｍとイネーブル回路ＦＳ_１，ＦＳ_ｍを有している。マイクロコンピュータシステムＰ_１，Ｐ_ｍは，それぞれプロセスコンピュータＰｒｏ_１，Ｐｒｏ_ｍとインテリジェント通信コントローラＳ_１，Ｓ_ｍを有している。マイクロコンピュータシステムＲ_１，Ｐ_ｍのプロセスコンピュータＰｒｏ_１，Ｐｒｏ_ｍと通信コントローラＳ_１，Ｓ_ｍは，半導体モジュール（いわゆるチップ）上にまとめることができる。しかし，それらは，常に互いに依存しない別体のユニットとして形成されている。各車輪モジュールＲ_１，Ｒ_ｍは，通信コントローラＳ_１，Ｓ_ｍを介して，物理的なデータバスの形式の通信システムＫ_１に接続されている。データバスを介してデータは，例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）−，ＴＴＣＡＮ（Ｔｉｍｅ Ｔｒｉｇｇｅｒｅｄ ＣＡＮ）−，ＴＴＰ／Ｃ（Ｔｉｍｅ Ｔｒｉｇｇｅｒｅｄ Ｐｒｏｔｏｃｏｌ ｆｏｒ ＣｌａｓｓＣ）−またはフレックスレイ−プロトコルに従って伝送することができる。車輪モジュールＲ_１，Ｒ_ｍは，それぞれアクター技術Ａｋｔ_１，Ａｋｔ_ｍの形式のコンポーネントを制御し，かかるアクター技術は，例えば車輪ブレーキを操作若しくは緩めるための電気モータとして形成されている。
【００５４】
図１には，分配された監視コンセプトの可能な実施形態において，２つの車輪モジュールの内部構造とその中で遂行される信号の流れが示されている。車輪モジュールＲ_１の（もっと正確に言うと，プロセスコンピュータＰｒｏ_１の）課題は，電気的なブレーキシステムのアクター技術Ａｋｔ_１の駆動である。アクター技術Ａｋｔ_１を駆動する場合に重要なのは，アクター技術Ａｋｔ_１がマイクロコンピュータシステムＰ_１のエラーのある駆動信号Ａ_１１によって駆動されることを防止することである。かかる動作は，駆動信号Ａ_１１が十分に高い確率でエラーのないことが確認された場合にのみ，さらにアクター技術Ａｋｔ_１へ供給されるべきであることを意味している。従ってアクター技術Ａｋｔ_１の駆動は，大体において以下のステップを有している。：
【００５５】
ａ）マイクロコンピュータシステムＰ_１のプロセッサＰｒｏ_１は，少なくとも１つの入力信号に従ってプログラムコードを処理することにより，アクター技術Ａｋｔ_１のための少なくとも１つの駆動信号Ａ_１１を求める。入力信号は，ブレーキシステムと自動車の実際状態に関する情報を含んでおり，データバスＫ_１を介して第１の車輪モジュールＲ_１へ伝達される。
【００５６】
ｂ）他のマイクロコンピュータシステムＰ_ｍのプロセッサＰｒｏ_ｍ（例えばｍ＝２…４）は，同様に同じプログラムコードを同じ入力信号に従って処理することにより，論理的な駆動信号Ａ_ｍ１を求める。かかる動作は，プロセッサＰｒｏ_ｍ内で，アクターＡｋｔ_ｍのための駆動信号Ａ_ｍ１を求めるプログラムコードの他に，さらにプロセッサＰｒｏ_１からプログラムコードが提供されなければならないことを前提としている。多数の同種の車輪モジュールＲ_１，Ｒ_ｍを有する本例においては，かかる前提は，付加的な手間ではなく，最少の手間のみを意味する。なぜなら，プロセッサＰｒｏ_１上で遂行されるプログラムコードは，ほぼ等しいからである。従って，プロセッサＰｒｏ_ｍ内で元来提供されているプログラムコードを論理的な駆動信号Ａ_１ｍで得るために，第１の車輪モジュールＲ_１の入力信号によって処理することができる。かかる簡略化は，同種の駆動モジュールを有する全ての分配されたシステムに該当する。入力信号は，データバスＫ_１を介してマイクロコンピュータシステムＰ_ｍへ伝達することができる。プロセスコンピュータＰｒｏ_１，Ｐｒｏ_ｍの機能が正しい場合には，駆動信号Ａ_１１と論理的な駆動信号Ａ_１ｍは，同一である。
【００５７】
ｃ）駆動信号Ａ_１１は，他のマイクロコンピュータシステムＰ_ｍのプロセスコンピュータＰｒｏ_ｍ内で，前もってプロセスコンピュータＰｒｏ_１内で求められた駆動信号Ａ_１１と比較される。そのためには，駆動信号Ａ_１１がデータバスＫ_１を介して他のマイクロコンピュータシステムＰ_ｍへ伝達されなければならない。他のマイクロコンピュータシステムＰ_ｍは，ステータス情報を生成し，かかるステータス情報がデータバスＫ_１を介して第１のマイクロコンピュータシステムＰ_１の通信コントローラＳ_１へ伝達される。分配された監視コンセプトを実現するために通信システムＫ_１を介して伝達されなければならない情報は，例えば１つまたは複数のビットからなる。その際，伝達するための情報をデータバスＫ_１の通信プロトコルへ組み込むことが考えられる。
【００５８】
ｄ）第１のマイクロコンピュータシステムＰ_１の通信コントローラＳ_１は，詳しいステータス情報を評価して，該当するステータスの場合に（例えばプロセスコンピュータＰｒｏ_１の正しい機能方法が信号化された場合に），イネーブル信号Ｆ_１を生成する。ステータス情報の評価は，様々な方法で実行可能である。例えば，ステータス情報ＳＦ_１ｍの比較，論理的な（好ましくはアンド−）結合または多数決とすることができる。
【００５９】
ｅ）少なくとも１つのイネーブル信号Ｆ_１が予め設定可能な値を有する場合に，少なくとも１つの駆動信号Ａ_１１またはそれに従った少なくとも１つの信号がアクター技術Ａｋｔ_１へ供給される。これを検査するために，イネーブル回路ＲＳ_１内で駆動信号Ａ_１１とイネーブル信号Ｆ_１のアンド結合が実施される。イネーブル信号Ｆ_１が論理的に１である場合には，駆動信号Ａ_１１は，アクター技術Ａｋｔ_１へ供給される。しかし，イネーブル信号Ｆ_１が論理的にゼロである場合には，駆動信号Ａ_１１は，アクター技術Ａｋｔ_１へは伝達されない。
【００６０】
上述した方法によって，マイクロコンピュータシステムＰ_１のプロセッサＰｒｏ_１の機能能力を調べて，アクター技術Ａｋｔ_１の確実なイネーブルを得ることができる。プロセッサＰｒｏ_１を調べるためには，主として他のマイクロコンピュータシステムＰ_ｍのプロセッサＰｒｏ_ｍが使用される。しかし同様にして，本発明に基づく方法を他のマイクロコンピュータシステムＰ_ｍのプロセッサＰｒｏ_ｍの機能能力を検査し，アクター技術Ａｋｔ_ｍを確実にイネーブルにするために使用することもできる。その場合に残りのプロセッサＰｒｏ_ｍ（検査すべきプロセッサなし）と第１のマイクロコンピュータシステムＰ_１のプロセッサＰｒｏ_１が，検査するために利用される。従って安全上重要な分配されたブレーキシステムの内部の個々のマイクロコンピュータシステムＰ_１，Ｐ_ｍは，一方では，それに対応づけられているアクター技術Ａｋｔ_１，Ａｋｔ_ｍのための駆動信号Ａ_１１，Ａ_ｍ１を求めるという一次課題を有し，他方では，一次課題が満たされた場合に，残りのプロセッサの機能を管理するという二次課題を有している。従って，付加的な監視ユニットを使用しないで，アクターＡｋｔ_１，Ａｋｔ_ｍの確実で，かつさらに冗長で有効なイネーブルの可能性が提供される。
【００６１】
図３には，車輪モジュールＲ_１が部分的に示されている。通信システムＫ_１を介して安全確保されたオフレーンを実現するために，通信コントローラＳ_１とプロセスコンピュータＰｒｏ_１との間にソフトウェアインターフェイスＳＳ_１が設けられている。かかるインターフェイスＳＳ_１は，他のプロセスコンピュータＰｒｏ_ｍによるオフベクトルの形式の駆動メッセージをセットするため，および通信コントローラＳ_１を介して受信した，実際の有効なオフベクトルを照会するために使用される。
【００６２】
分配された監視コンセプトを実現するためには，さらに通信コントローラＳ_１からイネーブル回路ＦＳ_１へ案内されているハードウェアインターフェイスが必要である。かかるハードウェアインターフェイスは，特にプロセスコンピュータＰｒｏ_１が実際のオフベクトルを読み出して，アクター技術Ａｋｔ_１をオフにできないエラー状況において，通信コントローラＳ_１によってアクター技術Ａｋｔ_１をオフにするために使用される。そのために接続ピンＦ_１が設けられており，通信線を介してイネーブル回路ＦＳ_１へ導かれている。かかるピンＦ_１は，通常の場合（オフコマンドが存在しない）には，通信コントローラＳ_１によるアクター技術Ａｋｔ_１のイネーブルを保証するために，論理的な１に保持される。オフコマンドが存在する場合には，イネーブル回路ＦＳ_１への接続ピンＦ_１は，イネーブルを保証するために，論理的ゼロへ切り換えられなければならない。
【００６３】
今日の自動車内には，既に標準化されている通信システムＫ_１とかかる通信システムＫ_１に接続されたバス配線（単線または二線式回線）は，分配された監視コンセプトにおいてオフレーンとして利用される。分配されたシステムのユニット間にオフレーンのための明確な配線は，不要である。通信システムＫ_１は，通常のプロトコルシーケンス（メッセージの本来の送信と受信，情報証明およびいわゆる加入者サービス）に組み込まれているオフプロトコルを実施する。その際に，プロトコルコンピュータ（通信コントローラＳ_１）のわずかな負担増は，発生するが，既存の制御装置（Ｐ_１，Ｐ_ｍ）若しくはプロセスコンピュータ（Ｐｒｏ_１，Ｐｒｏ_ｍ）の負担減に関して著しい改善が得られる。さらに，通信システムＫ_１は，駆動若しくはオフプロトコルを開始し，若しくは実行に移すために，プロセスコンピュータＰｒｏ_１，Ｐｒｏ_ｍへのソフトウェア−およびハードウェアインターフェイスを提供する。
【００６４】
従って，上述した分配された監視コンセプトにおいて，イネーブル回路ＦＳ_１は，一方ではプロセスコンピュータＰｒｏ_１によって，他方では，通信コントローラＳ_１によって操作される。従って，本特許出願に記載されているオフ機構によってアクター技術Ａｋｔ_１を，通信システムＫ_１を介してオフにすることが可能である。さらに，プロセスコンピュータＰｒｏ_１自体も通信コントローラＳ_１と結合することができるので，例えばプロセスコンピュータＰｒｏ_１のリセット線Ｂに結合することによって，プロセスコンピュータＰｒｏ_１をオフにすることもできる。
【００６５】
通信システムＫ_１を介して安全確保されたオフレーンを実現することは，その通信コントローラＳ_１，Ｓ_ｍによってデータバスＫ_１に接続されている，各制御装置Ｐｒｏ_１，Ｐｒｏ_ｍによってほぼ可能である。通信コントローラＳ_１，Ｓ_ｍは，通信プロトコル内のオフプロトコルを実行に移さなければならない。オフプロトコルとそのために必要なコンフィグレーションデータ若しくはインターフェイスＳＳ_１，Ｆ_１について，以下で説明する。
【００６６】
通信コントローラＳ_１内には，どのマイクロコンピュータシステムＰ_ｍ若しくはどのプロセスコンピュータＰｒｏ_ｍが，通信コントローラＳ_１に対応づけられたプロセスコンピュータＰｒｏ_１をオフにする権限を有しているかに関する静的な情報が格納されている。かかる静的な情報は，通信コントローラＳ_１内の例えばフラッシューＥＰＲＯＭ（Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）に格納されている。
【００６７】
かかる静的な情報は，以下の内容にまとめることができる。：
【００６８】
・ローカルな通信コントローラＳ_１の識別子。これは，幾つかのプロトコル，例えばＴＴＰ／Ｃにおいては，既に存在している。
【００６９】
・その中に通信コントローラの識別子が記載されている，ローカル（個別）リストであって，ローカルなプロセスコンピュータＰｒｏ_１若しくはかかるプロセスコンピュータＰｒｏ_１によって駆動されるアクター技術Ａｋｔ_１をオフにするためのオフメッセージは，通信コントローラＳ_１を介して案内されなければならない。リストは，権限を有する通信コントローラの数，例えば３エントリーに制限されていることが好ましい。
【００７０】
さらに，静的な情報内で，権限のあるオフは，プロセスコンピュータＰｒｏ_１へ通じるインターフェイスＳＳ_１内でのみ表示されるべきか，あるいはオフメッセージが適当な配線を介してイネーブル回路ＦＳ_１へも供給されるべきかについて構成されなければならない。
【００７１】
オフベクトルは，ビットベクトルであって，分配された安全上重要なシステム全体内のｍ番目の加入者を表している。所定のビット位置は，所定の通信コントローラＳ_１，Ｓ_ｍの識別子に割り当てられている。オフベクトル内で，制御装置Ｐ_１，Ｐ_ｍ当たり２つの状態を示すことができる。：
【００７２】
ゼロ：該当するビット位置に識別子を有する通信コントローラへのオフコマンドは存在しない。
【００７３】
１：ビット位置に相当する通信コントローラのためのオフコマンドが存在する。
【００７４】
オフベクトルは，帯域幅またはプロトコルデータ（メッセージパケット内で有効データと一緒に通信システムＫ_１を介して送信される，プロトコルシーケンスのための制御データ）の数が制限されている理由から短縮することができる。その場合にオフベクトル内には，選択された制御装置Ｐ_１，Ｐ_ｍのみが示される。
【００７５】
分配された監視コンセプトを本発明に基づいて実現するために，さらに，オフベクトルの発信者が通信システムＫ_１に接続されており，かつ通信システムＫ_１を介して通信に参加しているかについての情報へアクセスされる。かかる情報は，多くの通信プロトコルによって標準的に提供される。この機能は，通信プロトコル内では，加入者サービスまたはメンバーシップサービスとも称される。その場合に，かかる情報は，いわゆるメンバーシップ情報に含まれている。その際に，情報証明の機構を介して，全てのアクティブな通信加入者の決定手続内でプロセスコンピュータＰｒｏ_１，Ｐｒｏ_ｍの所属／アクティビティが設定される。所定数の決定サークルに従って，メンバーシップ情報は，安定であり，すなわちかかるメンバーシップ情報は，全ての加入者によって有効であると承認される。
【００７６】
この決定によって制御装置Ｐ_１，Ｐ_ｍがインアクティブとして特徴づけられた場合には，かかる制御装置は，通信にアクティブに参加することができない。担当のプロセスコンピュータＰｒｏ_１，Ｐｒｏ_ｍは，かかる状態を認識して，それに対応づけられた通信コントローラＳ_１，Ｓ_ｍを再びアクティブに切り換える手段をとらなければならない（再始動と再同期化）。アクティブな加入者（メンバーシップ）を定める機構は，連続的に実施され，かつ本来の通信プロトコルの一部である。メンバーシップ情報は，通信システムＫ_１内でメンバーシップベクトルＭｅの形式で提供される。
【００７７】
本発明に基づく方法を実施するための初期状況は，機能している加入者（通信コントローラＳ_１，Ｓ_ｍとその制御装置Ｐ_１，Ｐ_ｍ若しくはプロセスコンピュータＰｒｏ_１，Ｐｒｏ_ｍ）を有するアクティブな分配されたシステムである。従ってメンバーシップ情報Ｍｅは，各加入者について「１」になっており，オフのための要請（オフベクトルＡｂ）は存在しない。この初期状況が，図４と５のステップ１に，４つの加入者Ａ，Ｂ，Ｃ，Ｄを有する分配されたシステムについて示されている。図４は，唯一の有権者によるオフプロトコルを示しており（加入者Ａは加入者Ｄによってのみオフにすることができる），それに対して図５は，オフプロトコルは，３人の有権者と絶対的多数決によるオフプロトコルを示している（加入者Ａは，３人の他の加入者Ｂ，Ｃ，Ｄのうちの少なくとも２人によって加入者Ａのオフが支持された場合に，オフにされる）。
【００７８】
オブベクトルＡｂは，所定の制御装置Ｐ_１のためのビット位置が「１」にセットされるとすぐに，かかる制御装置Ｐ_１について権限のある制御装置Ｐ_ｍのオフ指令を表す。オフベクトルは，通信プロトコルによって発信者Ｐ_ｍにおいてメッセージの残りの制御データと共にコード化されて，送信される（図４と５のステップ２を参照）。
【００７９】
通信システムＫ_１は，マルチキャストメッセージに基づいている。それによって各アクティブな制御装置Ｐ_１，Ｐ_ｍは，送信されてエラーなしと認められた全てのメッセージを受信し，その後ローカルなプロトコル機構を開始すると仮定することができる。メッセージの正確さが，所定数の他の送信プロセスの後に初めて決定される特殊な場合（例えばＴＴＰ／Ｃにおいて）は，別に扱わなければならない。かかる特殊な場合は，受信されたオフベクトルもこの最終的に有効な決定までは無効であると考えなければならないことを意味している。通信コントローラＳ_１は，受信したプロトコルデータからオフベクトルＡｂの情報を取り出す。
【００８０】
プロトコル実現に基づいて発信者Ｐ_ｍの識別子が明らかにされている場合には，受信者Ｓ_１において権限の検査を実行可能である。受信者Ｓ_１は，送信時点，メッセージ識別子およびオフ権限についての静的な情報の関連を介して，メッセージの発信者Ｐ_ｍの識別子を認識する。発信者Ｐ_ｍの同定が明白に定められていない場合には，オフベクトルＡｂに加えて発信者Ｐ_ｍの識別子が一緒に伝達されなければならない。
【００８１】
図４に示すオフプロトコルにおいては，加入者ＤのオフベクトルＡｂ内に，加入者Ａの識別子と一致するビット個所がセットされている。加入者Ａのローカルな権限リスト内に，加入者Ｄは，オフをするための有権者として登録されている。この理由から，ステップ３においては，加入者Ａのプロセスコンピュータおよび／またはプロセスコンピュータによって駆動されるアクター技術のオフが実行される。
【００８２】
通信コントローラＳ_１は，ソフトウェアインターフェイスＳＳ_１内のオフベクトルＡｂのステータスを図４の実際の状態にセットする（図４のステップ３と図３のＳＳ_１を参照）。通信コントローラＳ_１は，イネーブル回路ＦＳ_１を介してアクター技術のオフを開始するために，ハードウェアインターフェイスに設けられている接続ピンにオフのためのレベルをセットする（図４のステップ３，および図３の信号Ｆ_１と信号Ｂを参照）。通信コントローラＳ_１は，パッシブな状態に変化し，すなわちかかる通信コントローラは，通信システムＫ_１を介して通信には参加しない。かかる手段によって，他の加入者Ｂ，Ｃ，Ｄに，ノード全体（制御装置，アクター技術，センサ技術および加入者Ａの通信コントローラ）が提供されないことを信号で知らせる。このことは，該当するビット個所が「０」にセットされることによって，分配されたシステム内の他の加入者Ｂ，Ｃ，ＤのメンバーシップベクトルＭｅ内の加入者Ａの消去をもたらす（図４のステップ４を参照）。オフにされた加入者Ａのメンバーシップエントリーがないことによって，オフベクトルＡｂの発信者Ｄは，かかるオフ指令の成果を介してコンファメーションを受け取る。オフベクトルＡｂ内でセットが繰り返されることは，不要となる（図４のステップ５を参照）。オフベクトルＡｂ内で，加入者Ａに相当するビット個所は，オフ指令のコンファメーションが存在するまで頻繁にセットされる。
【００８３】
図５のオフプロトコルにおいて，加入者Ａのオフは，一方で，オフベクトルＡｂ内にセットされたビット個所が加入者Ａの識別子と一致し，他方では，権限を有する加入者Ｂ，Ｃ，Ｄ間で加入者Ａのオフに関する一致が支配している場合にのみ実行され，その場合にローカルな権限リスト内に３人の加入者Ｂ，Ｃ，Ｄは，全て加入者Ａをオフにする有権者として登録されている。
【００８４】
これを実現するために，種々の加入者Ｂ，Ｃ，ＤのオフベクトルＡｂが集められなければならない。所定の加入者Ｂ，ＣまたはＤのオフベクトルＡｂは，加入者Ｂ，ＣまたはＤが通信プロトコルのメンバーシップベクトルＭｅ内でアクティブとして特徴づけられている場合にのみ集めることができる（図５のステップ３から５を参照）。それによって，加入者Ａのオフが必要であるが，加入者Ｂ，Ｃ，Ｄ自体の１つがアクティブではなく，インアクティブな加入者Ｂ，ＣまたはＤのオフ指令が欠けるので，加入者Ａのオフが阻止されてしまう状況が発生し得ることが防止される。
【００８５】
全ての権限を有する加入者Ｂ，Ｃ，ＤがそのオフベクトルＡｂＢ，ＡｂＣ，ＡｂＤを伝達した後に，予め設定可能な決定アルゴリズムに従って同調プロセスが開始される。かかる同調のために，この場合においては，アクティブな権限のある加入者Ｂ，Ｃ，Ｄの絶対多数決が選択される。例えば三分の二選択のような，他の決定アルゴリズムも，同様に実現することができる。使用すべき決定アルゴリズムの選択，例えば絶対多数決−，三分の二選択−または少なくとも１（ａｔ ｌｅａｓｔ ｏｎｅ）の意味論の選択は，通信コントローラＳ_１内のコンフィグレーションによって調節することができる。従って図５に示す実施例において，加入者Ａは，全ての権限のある加入者Ｂ，Ｃ，ＤがそれぞれのオフベクトルＡｂＢ，ＡｂＣ，ＡｂＤを介して加入者Ａのオフを要求した場合に，初めてオフにされる（図５のステップ５を参照）。通信コントローラＳ_１は，ソフトウェアインターフェイス内のオフベクトルＡｂのステータスを実際の状態にセットする（図５のステップ５および図３のＳＳ_１を参照）。通信コントローラＳ_１は，イネーブル回路ＦＳ_１を介してオフを開始するために，ハードウェアインターフェイス内に設けられている接続ピンにオフのためのレベルをセットする（図５のステップ５および図３の信号Ｆ_１と信号Ｂ）。通信コントローラＳ_１は，パッシブな状態に変化し，すなわち，かかる通信コントローラは，もはや通信には参加しない。この手段によって，他の加入者Ｂ，Ｃ，Ｄには，制御装置，アクター技術，センサ技術および通信コントローラを含むノード全体が提供されないことが信号で知らされる。このことは，分配されたシステムにおける他の加入者Ｂ，Ｃ，ＤのメンバーシップベクトルＭｅ内の加入者Ａの消去をもたらす（図５のステップ６を参照）。オフにされた加入者Ａのメンバーシップエントリーがないことにより，オフベクトルＡｂの発信者（加入者Ｂ，Ｃ，Ｄ）は，オフ指令の成果を介してコンファメーションを受け取る。加入者Ａに相当するビット個所をオフベクトルＡｂ内に繰り返しセットすることは，この時点で必要ない（図５のステップ７を参照）。オフベクトルＡｂの各発信者Ｐｒｏ_ｍは，かかるオフベクトル内に加入者Ａに相当するビット個所を，オフにすべき加入者Ａの成功裏に実行されたオフに関するコンファメーションがメンバーシップベクトルＭｅ内に該当する加入者Ａがないこと
により，伝達されるまでの間にセットする。
【図面の簡単な説明】
【図１】
好適な実施形態に基づく，本発明に従って分配された安全上重要なシステムの一部を示している。
【図２】
従来技術から知られている，分配された安全上重要なシステムの駆動モジュールを示している。
【図３】
図１に基づく駆動モジュールの内部のイネーブル信号を示している。
【図４】
本発明に基づく方法の第１の好適な実施形態によるオフプロトコルを示している。
【図５】
本発明に基づく方法の第２の好適な実施形態によるオフプロトコルを示している。

Claims (14)

1. システムのコンポーネント（Ａｋｔ_１）を駆動するための少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ_１）と，少なくとも１つの他のプロセスコンピュータ（Ｐｒｏ_ｍ）とを有し，
   その際に前記プロセスコンピュータ（Ｐｒｏ_１，Ｐｒｏ_ｍ）は，それぞれ通信コントローラ（Ｓ_１，Ｓ_ｍ）を介して通信システム（Ｋ_１）に接続されており，
   かつ前記少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ_１）の機能能力が，前記少なくとも１つの他のプロセスコンピュータ（Ｐｒｏ_ｍ）によって検査される分配された安全上重要なシステム，特に自動車内のＸ−バイ−ワイヤ−システムを駆動する方法において，
   次のステップ，すなわち：
   −少なくとも１つの前記第１のプロセスコンピュータ（Ｐｒｏ_１）のエラーを求めた少なくとも１つの前記他のプロセスコンピュータ（Ｐｒｏ_ｍ）は，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）または前記駆動されるコンポーネント（Ａｋｔ_１）を駆動するために前記通信システム（Ｋ_１）を介して駆動メッセージ（Ａｂ_ｍ）を伝達し；
   −前記駆動メッセージ（Ａｂ_ｍ）の発信者が，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）を駆動する権限を有しているかを調べ；
   −前記駆動メッセージ（Ａｂ_ｍ）の前記発信者が，前記通信システム（Ｋ_１）に接続され，かつ前記通信システム（Ｋ_１）を介して通信にアクティブに参加しているかを調べ；
   −前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）を駆動する権限を有し，かつ前記通信システム（Ｋ_１）に接続されており，かつ前記通信システム（Ｋ_１）を介して前記通信にアクティブに参加している発信者の前記駆動メッセージ（Ａｂ_ｍ）の内容に従い，予め設定可能な決定アルゴリズムによって，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）および／または前記コンポーネント（Ａｋｔ_１）がどのように駆動されるかが決定され；かつ
   −前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）および／または前記コンポーネント（Ａｋｔ_１）がそれに従って駆動されることを特徴とする，分配された安全上重要なシステムを駆動する方法。
2. 前記駆動メッセージによって，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）および／または前記コンポーネント（Ａｋｔ_１）の接続が切断されることを特徴とする，請求項１に記載の方法。
3. 前記少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ_１）の前記通信コントローラ（Ｓ_１）内に，ローカルな権限リスト（Ｂｅ_１）が設けられており，
   該権限リストを用いて，前記駆動メッセージ（Ａｂ_ｍ）の前記発信者の識別子が前記権限リスト（Ｂｅ_１）の内容と比較されることにより，前記駆動メッセージ（Ａｂ_ｍ）の前記発信者が前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）を駆動する権限を有しているかを調べられることを特徴とする，請求項１または２に記載の方法。
4. 前記通信システム（Ｋ_１）内に包括的な加入者リスト（Ｍｅ）が設けられており，
   該加入者リストを用いて，前記駆動メッセージ（Ａｂ_ｍ）の前記発信者の識別子が前記加入者リスト（Ｍｅ）の内容と比較されることにより，前記駆動メッセージ（Ａｂ_ｍ）の発信者が前記通信システム（Ｋ_１）に接続されており，
   かつ前記通信システム（Ｋ_１）を介して前記通信にアクティブに参加しているかを調べられることを特徴とする，請求項１から３のいずれか１項に記載の方法。
5. 前記少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ_１）について多数の駆動メッセージ（Ａｂ_ｍ）が存在する場合に，前記駆動メッセージ（Ａｂ_ｍ）の内容に従い，多数決決定に基づいて，前記エラーのあるプロセスコンピュータ（Ｐｒｏ_１）および／または前記コンポーネント（Ａｋｔ_１）が駆動されるかが決定されることを特徴とする，請求項１から４のいずれか１項に記載の方法。
6. 前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）および／または前記コンポーネント（Ａｋｔ_１）の成功裏に実行された駆動が，前記駆動メッセージ（Ａｂ_ｍ）の少なくとも１つの発信者に伝達されることを特徴とする，請求項１から５のいずれか１項に記載の方法。
7. 前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）および／または前記コンポーネント（Ａｋｔ_１）の前記成功裏に実行された駆動が，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）が前記通信システム（Ｋ_１）内に設けられている包括的な加入者リスト（Ｍｅ）から抹消されることにより，全てのプロセスコンピュータ（Ｐｒｏ_ｍ）に伝達され，
   その際に前記加入者リスト（Ｍｅ）内に，前記通信システム（Ｋ_１）に接続されており，かつ前記通信システム（Ｋ_１）を介して前記通信にアクティブに参加している前記プロセスコンピュータ（Ｐｒｏ_ｍ）が記載されていることを特徴とする，請求項６に記載の方法。
8. システムのコンポーネント（Ａｋｔ_１）を駆動するための少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ_１）と少なくとも１つの他のプロセスコンピュータ（Ｐｒｏ_ｍ）とを有し，
   その際に前記プロセスコンピュータ（Ｐｒｏ_１，Ｐｒｏ_ｍ）は，それぞれ通信コントローラ（Ｓ_１，Ｓ_ｍ）を介して通信システム（Ｋ_１）に接続されており，
   かつ前記少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ_１）の機能能力の監視が，前記少なくとも１つの他のプロセスコンピュータ（Ｐｒｏ_ｍ）によって実行される，分配された安全上重要なシステム，特に自動車内のＸ−バイ−ワイヤ−システムにおいて，
   −少なくとも１つの前記他のプロセスコンピュータ（Ｐｒｏ_ｍ）は，少なくとも１つの前記第１のプロセスコンピュータ（Ｐｒｏ_１）のエラーを求める手段と，前記少なくとも１つのエラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）がエラーを有する場合に，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）および／または前記駆動されるコンポーネント（Ａｋｔ_１）を駆動するための駆動メッセージ（Ａｂ_ｍ）を前記通信システム（Ｋ_１）を介して伝達するための手段とを有しており；
   −前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）の前記通信コントローラ（Ｓ_１）に，前記駆動メッセージ（Ａｂ_ｍ）の発信者が前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）を駆動する権限を有しているかの情報が提供され；
   −前記エラーのあるプロセスコンピュータ（Ｐｒｏ_１）の前記通信コントローラ（Ｓ_１）に，前記駆動メッセージ（Ａｂ_ｍ）の発信者が前記通信システム（Ｋ_１）に接続されており，かつ該通信システム（Ｋ_１）を介してアクティブに通信に参加しているかについての情報が提供され；
   −前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）の前記通信コントローラ（Ｓ_１）は，予め設定可能な決定アルゴリズムに従って，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）および／または前記コンポーネント（Ａｋｔ_１）が，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）を駆動する権限を有し，かつ前記通信システム（Ｋ_１）に接続されており，かつ前記通信システム（Ｋ_１）を介して通信にアクティブに参加している発信者の前記駆動メッセージ（Ａｂ_ｍ）の内容に従って，どのように駆動されるかを決定するための手段を有しており；かつ
   −前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）の前記通信コントローラ（Ｓ_１）は，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）および／または前記コンポーネント（Ａｋｔ_１）を適切に駆動するための手段を有していることを特徴とする，分配されたシステム。
9. 前記駆動メッセージ（Ａｂ_ｍ）の発信者が，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）を駆動する権限を有しているかの情報が，前記少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ_１）の前記通信コントローラ（Ｓ_１）内に設けられているローカルな権限リスト（Ｂｅ_１）の形式で提供されることを特徴とする，請求項８に記載の分配されたシステム。
10. 前記駆動メッセージ（Ａｂ_ｍ）の発信者が前記通信システム（Ｋ_１）に接続されており，かつ前記通信システム（Ｋ_１）を介して通信にアクティブに参加しているかの情報が，前記通信システム（Ｋ_１）内に設けられているグローバルな加入者リスト（Ｍｅ）の形式で提供されることを特徴とする，請求項８または９に記載の分配されたシステム。
11. 少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ_１）と少なくとも１つの他のプロセスコンピュータ（Ｐｒｏ_ｍ）を分配されたシステムの，特に自動車内のＸ−バイ−ワイヤ−システムの通信システム（Ｋ_１）に接続するための通信コントローラ（Ｓ_１）であって，
    その際に前記少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ_１）は，前記分配されたシステムのコンポーネント（Ａｋｔ_１）を駆動するために使用され，前記通信コントローラ（Ｓ_１）上では，前記プロセスコンピュータ（Ｐｒｏ_１，Ｐｒｏ_ｍ）と前記通信システム（Ｋ_１）との間のデータ伝達を実現するために通信プロトコルが遂行される，前記通信コントローラにおいて，
    前記通信プロトコルは，前記通信コントローラ（Ｓ_１）に，
    −少なくとも１つの第１のエラーのあるプロセスコンピュータ（Ｐｒｏ_１）および／または前記駆動されるコンポーネント（Ａｋｔ_１）を駆動するための駆動メッセージ（Ａｂ_ｍ）を前記通信システム（Ｋ_１）を介して伝達する，前記他のプロセスコンピュータ（Ｐｒｏ_ｍ）の１つが，前記通信システム（Ｋ_１）に接続されており，かつ該通信システム（Ｋ_１）を介して通信にアクティブに参加しているかを検査すること；
    −前記駆動メッセージ（Ａｂ_ｍ）の発信者が，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）を駆動する権限を有しているかを調べること；
    −予め設定可能な決定アルゴリズムに従って，前記第１のプロセスコンピュータ（Ｐｒｏ_１）および／または前記コンポーネント（Ａｋｔ_１）が，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）を駆動する権限を有し，前記通信システム（Ｋ_１）に接続されており，かつ該通信システム（Ｋ_１）を介して通信にアクティブに参加している発信者の前記駆動メッセージ（Ａｂ_ｍ）の内容に従って，どのように駆動されるかを決定すること；および
    −前記第１のプロセスコンピュータ（Ｐｒｏ_１）および／または前記コンポーネント（Ａｋｔ_１）をそれに応じて駆動すること，
    を可能にする機構だけ補足されていることを特徴とする，通信コントローラ。
12. 前記通信プロトコルが，請求項２から７のいずれか１項に記載の方法を実施するための機構だけ補足されていることを特徴とする，請求項１１に記載の通信コントローラ（Ｓ_１）。
13. 分配された安全上重要なシステムの，特に自動車内のＸ−バイ−ワイヤ−システムの通信システム（Ｋ_１）のための通信プロトコルであって，
    その際に前記分配されたシステムは，該分配されたシステムのコンポーネント（Ａｋｔ_１）を駆動するための少なくとも１つの第１のプロセスコンピュータ（Ｐｒｏ_１）と，少なくとも１つの他のプロセスコンピュータ（Ｐｒｏ_ｍ）とを有しており，
    かつ前記プロセスコンピュータ（Ｐｒｏ_１，Ｐｒｏ_ｍ）は，それぞれ通信コントローラ（Ｓ_１，Ｓ_ｍ）を介して前記通信システム（Ｋ_１）に接続されており，
    その場合に，前記プロセスコンピュータ（Ｐｒｏ_１，Ｐｒｏ_ｍ）と前記通信システム（Ｋ_１）の間でデータ伝送を実現するための前記通信プロトコルが，前記通信コントローラ（Ｓ_１，Ｓ_ｍ）上で遂行される，前記通信プロトコルにおいて，
    前記通信プロトコルは，
    −前記少なくとも１つの第１のエラーのあるプロセスコンピュータ（Ｐｒｏ_１）および／または前記駆動されるコンポーネント（Ａｋｔ_１）を駆動するための駆動メッセージ（Ａｂ_ｍ）を前記通信システム（Ｋ_１）を介して伝達する，前記他のプロセスコンピュータ（Ｐｒｏ_ｍ）の１つが，前記通信システム（Ｋ_１）に接続されており，かつ該通信システム（Ｋ_１）を介して通信にアクティブに参加しているかを検査し；
    −前記駆動メッセージ（Ａｂ_ｍ）の発信者が，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）を駆動する権限を有しているかを検査し；
    −予め設定可能な決定アルゴリズムに従って，前記第１のプロセスコンピュータ（Ｐｒｏ_１）および／または前記コンポーネント（Ａｋｔ_１）が，前記エラーのある第１のプロセスコンピュータ（Ｐｒｏ_１）を駆動する権限を有し，かつ前記通信システム（Ｋ_１）に接続されており，かつ該通信システム（Ｋ_１）を介して通信にアクティブに参加している発信者の前記駆動メッセージ（Ａｂ_ｍ）の内容に従って，どのように駆動されるかを決定し；かつ
    −それに応じて前記第１のプロセスコンピュータ（Ｐｒｏ_１）および／または前記コンポーネント（Ａｋｔ_１）を駆動する，
    機構だけ補足されていることを特徴とする，通信プロトコル。
14. 前記通信プロトコルは，請求項２から７のいずれか１項に記載の方法を実施するための機構だけ補足されていることを特徴とする，請求項１３に記載の通信プロトコル。

Images