JP2007508179A - 安全限界制御用の組み込まれたマイクロプロセッサシステム - Google Patents

Abstract

【課題】
本発明は、電気式に連動する多数の機能群（２５，２５′）から構成され、車両の電気式ブレーキシステムでの安全限界の用途、特に制御及び調整用の集積回路であって、この場合、電気配線（３０）が存在し、これらの電気配線（３０）は、機能群（２５，２５′）を互いに接続する集積回路に関する。この集積回路は、第１タイプ及び第２タイプの機能群から構成され、この場合、第１タイプの機能群は、少なくとも機能群である冗長なマイクロプロセッサシステム（１）及び特に機能群である入力／出力装置（１９）を有し、第２タイプの機能群は、少なくとも機能群であるアクチュエータのドライバー（１１，１５，２４，３５）及び信頼性切替回路（５，５，７，７′）を有し、この場合、第１タイプ及び第２タイプの機能群は、１つの共通のチップ又はチップ基板（２３）上で一体化されている。
本発明は、車両用の電気式ブレーキシステムで使用でき、車両の走行動特性を制御するか若しくは電気制御されるパーキングブレーキを制御するか若しくは車両支援システムを制御する電気制御で使用できる。

Description

本発明は、車両用電子式ブレーキシステム又は車両の動特性を制御する若しくは電子制御式パーキングブレーキを制御する若しくは例えばエアバッグ制御のような車両支援システムを制御する電子制御における請求項１に記載の組み込まれた回路配置及びこの回路配置の使用に関する。

安全限界制御用のマイクロプロセッサシステムが、例えばドイツ連邦共和国特許出願公開第197 16 197号明細書から公知である。ここで開示されたマイクロプロセッサシステムは、ＡＢＳ制御機器又はＥＳＰ制御機器のような安全限界用途に適するため冗長なデータ処理を有する。冗長性を実現するため、マイクロプロセッサシステムは、二重にした機能グループから構成される。これらの機能グループはそれぞれ、中央演算処理装置（ＣＰＵ），バスシステム及び記憶装置及び入力要素／出力要素（Ｉ／Ｏ）のようなその他の機能グループを有する。出力データのデータ又は中央演算処理装置の出力信号を比較する特別な比較器及びバイパスによって、これらの機能グループの規則通りの機能をチェックすることができる。

特に車両のブレーキ機能に介入する制御システムが、本発明の安全限界制御に属する。これらの制御システムは、大量にかつ多様に市場に存在する。例えばこれに対しては、アンチロック・ブレーキ・システム（ＡＢＳ），運転スリップ制御システム（ＡＳＲ），走行安定性制御（ＥＳＰ，ＴＣＳ，ＦＤＲ，ＡＳＭＳ），シャーシ制御システム，パーキングブレーキ用の制御機器及び制限システム等がある。例えば、ＥＳＰ制御システムが故障すると、車両の走行安定性が危険に曝される。それ故に、故障が発生した場合に制御を遮断（"fault silent"）できるように又は安全に対してほとんど危険でない状態に切り替え（"fault tolerant"）できるようにするため、システムの機能性が絶え間なく監視される。

集積回路の規則通りの監視は、ブレーキシステム又は車両の制御システムの使用時に依然としてよりいっそう重要である。これらのシステムの場合、電子系統の故障時に、機械又は油圧システムへの切り替えが不可能である。「ブレーキバイワイヤ」のような実際のブレーキシステムの概念がこれに属する；このブレーキシステムは、このようなシステムの場合は完全な電子回路を示す。その結果、これらのブレーキシステムに対しては、故障許容的な冗長概念（"fault tolerant"）によって設計仕様されたマイクロプロセッサシステムが特に重要である。

車両のアンチロック・ブレーキ・システムを制御し監視する回路配置又はマイクロプロセッサシステム用の別の例が、ドイツ連邦共和国特許第32 34 637 号明細書から公知である。この明細書によれば、同じにプログラミングされた２つのマイクロコンピュータの入力データが、並列に供給されそこで同期処理される。これらの両マイクロコンピュータの出力信号及び中間信号が、冗長比較器によって一致に関してチェックされる。信号が互いに異なる場合、制御が、同様に冗長に設計仕様された回路によって遮断される。この公知の回路の場合、両マイクロプロセッサのうちの一方のマイクロプロセッサが、ブレーキ圧力制御信号を生成するために使用され、他方のマイクロプロセッサが、チェック信号を生成するために使用される。この対称に構成されたマイクロプロセッサの場合、すなわちＲＯＭ及びＲＡＭを含む２つの完全なマイクロコンピュータが必要である。

ドイツ連邦共和国特許出願公開第41 37 124 号明細書中に記されている回路が構成されている別の公知のシステムによれば、入力データが、同様に２つのマイクロコンピュータに並列に供給される。しかしながらこれらのマイクロコンピュータのうちの１つのマイクロコンピュータだけが、経費のかかる完全な信号処理を実行する。第２のマイクロコンピュータは、特に監視に使用される。そのため、入力信号が、評価である時間導関数等の生成後に簡略化した制御アルゴリズム及び簡略化した制御フィロソフィによって再処理され得る。この簡略化されたデータ処理は、経費のかかるマイクロコンピュータ内で処理される信号と比較することによってシステムの規則通りの動作の推測を可能にする信号を生成するのに十分である。より僅かな能力の１つのチェック・マイクロコンピュータを使用することによって、能力の経費のかかる完全な２つのマイクロコンピュータを有するシステムと比較して製造経費を低減することができる。

特にアンチロック・ブレーキ・システムの制御システム用に設けられているマイクロプロセッサシステムが、ドイツ連邦共和国特許出願公開第43 41 082 号明細書から既に公知である。１つのチップに格納され得るこの公知のシステムは、２つの中央ユニットを有する。入力データが、これらの中央ユニット内で並列に処理される。両中央ユニットに接続されているＲＯＭ及びＲＡＭが、チェック情報用の追加の記憶容量を有し、かつチェック情報を生成する生成器を１つずつ有する。両中央ユニットのうちの一方の中央ユニットの出力信号が、制御信号を生成するために再処理される。その一方で他方の中央ユニットが、受動中央ユニットとして能動中央ユニットを監視するためだけに使用される。

上述したこれらの公知のシステムの場合、したがって基本的に、必要な信頼性は、データ処理の冗長性によって実現される。第１の場合（ドイツ連邦共和国特許出願公開第197 16 197号明細書）では、システムが、同じソフトウェアを有する２つのプロセッサの使用に基づく。このことは、専門家では対称冗長性と呼ばれる。第２の場合（ドイツ連邦共和国特許出願公開第41 37 124 号明細書）では、異なるソフトウェアを有する２つのプロセッサが使用される（いわゆる、非対称冗長性）。基本的には、異なるアルゴリズムに基づいて入力データを処理する単一のプロセッサを使用することも可能である。この場合、故障のない動作を確認するため、追加のチェックアルゴリズムが使用される。

最後に、冒頭で述べた種類のシステムが、ドイツ連邦共和国特許出願公開第195 29 434号明細書（P7959 ）から公知である。このシステムは、コア冗長性を有するシステムとも呼ばれる。この公知のマイクロプロセッサシステムの場合、２つの同期動作する中央ユニットが、１つ又は多数のチップ上に設けられている。これらの中央ユニットは、同じ入力情報を受け取り、同じプログラムを実行する。この場合、これらの両中央ユニットは、別々のバスシステムを介してＲＯＭ及びＲＡＭ並びに入力ユニット及び出力ユニットに接続されている。これらのバスシステムは、ドライバー段又はバイパスによって互いに接続されている。これらのドライバー段又はバイパスは、両中央ユニットにチェクデータ及び命令を含む処理可能なデータの共通の読み取り及び実行を可能にする。このシステムは、記憶容量の節減を可能にする。両中央ユニットのうちの一方の中央ユニットだけが、高い有用性のＲＯＭ及びＲＡＭに（直接）接続されている。その一方で第２プロセッサの記憶容量が、チェックデータ生成器に接続しているチェックデータ用の記憶場所（パリティー監視部）に限定されている。全てのデータが、バイパスを通じてアクセスされる。これによって、両中央ユニットは、全プログラムをその都度実行することができる。

上述した高集積化されかつ複雑な安全限界マイクロプロセッサシステムは、これまでは油圧式にブレーキ圧力を制御するバルブコイルのような電力消費体を制御するために作動する構成要素と一緒に１つの共通のチップ又はチップ基板上に統合されていなかった。この理由から、いままでは、電子式ブレーキシステム用の電子制御部において多数の集積回路（例えば、ＩＣ又は別々に収容されたチップ）を１つ又は多数のプリント配線基板上に格納することが必要であった。こうすることによってだけ、実際の電気油圧式機能（例えば、アクチュエータ制御，冗長な最終段階，ドライバー）及びマイクロプロセッサの動作に対して必要なフェイルセーフ構成群が実現され得る。この２チップシステムの場合、第１チップが、冗長なマイクロプロセッサシステムを有し、第２チップが、信号評価（信号条件），アクチュエータ制御及びフェイルセーフ機能（例えば、ワッチドック）の処理に対する構成群を有するデジタル回路部分及びアナログ回路部分（合成信号）を有する。
ドイツ連邦共和国特許出願公開第197 16 197号明細書 ドイツ連邦共和国特許第32 34 637 号明細書 ドイツ連邦共和国特許出願公開第41 37 124 号明細書 ドイツ連邦共和国特許出願公開第43 41 082 号明細書 ドイツ連邦共和国特許出願公開第195 29 434号明細書

本発明の課題は、一方ではこれまで分離された回路を１つの共通のチップ又はチップ基板上に統合し、同時に実際に発生する各故障時にこの故障を確実に認識することを可能にする集積回路を提供することにある。

この課題は、本発明により、請求項１に記載の集積回路によって解決される。

したがって本発明は、いわゆる「シングルチップＥＢＳシステム」、すなわち例えば電気式ブレーキシステム用の回路配置を提供する思想に基づく。この回路配置は、故障及び外乱に対して内部で保護され、故障冗長性の高集積回路を専ら有する。それ故に本発明の回路配置は、半導体基板（例えば、シリコン）の一部上で事実上完全に実現可能である。これによって、通常は多くの場合に出力電気系統と高集積回路とを分離することが阻止される。

請求項６中の好適な実施形によれば、請求項１にしたがって提唱されているこれまで分離されていた集積回路を統合することによって、非常に高い複雑性が、故障認識及び故障許容で可能になる。対応する故障を認識した場合、特に確実ないわゆるフォールバックモードに切り替えられるか又は同じに機能する別のよく機能する機能群に切り替えられるか又は該当する機能群が停止される(fault silent)。例えば、フォールバックモードでは、ＥＢＳの特定のソフトウェアの一部の機能が、低減した機能量でもまだ実行可能であるものの、その他のソフトウェア機能は、フォールバックモードのレベルに応じて次第にもはや実行不可能になる。回路は、例えばＥＳＰ，ＡＳＲ，ＡＢＳの順序で特に多数のこのようなフォールバックモードを有する。この場合、よく機能する回路要素の数が、左から右に向かって減少する。

特に信頼性をさらに向上させるため、保護領域が、集積回路の個々に分離された無効にできる機能群間の領域内に形成される。例えば対応する保護領域は、集積回路の領域でもよい。この領域は、周囲に比べて特に非常に高抵抗であり、チップ上の異なる機能群（ＩＣ）の全ての故障に対する分離帯として使用される。したがって、過電圧，静電気（ＥＳＤ）のような故障を１つの機能群内に限定して保持することが可能である。その結果、故障によって引き起こされる破損が、この破損した機能群の隣にある機能群を破損させない。これによって、安全なモードへの確実な切り替えが、まだ機能するその都度の別の部分によって保証され得る。

保護領域は、好ましくは保護リング又は溝（例えば、深い溝）として形成される。これらの両分離方法の組み合わせも、特別な場合に対して有益であり得る。

本発明の集積回路は、マイクロコントローラを規定する。このマイクロコントローラは、実際に全ての必要なアナログ回路を有する。その結果、これらのこれまで分離されていた機能ユニットが、１つの共通のチップ又はチップ基板上に存在する。使用されるチップ又はチップ基板は、好ましくは主に例えばシリコン又はゲルマニウムのような半導体材料から成る。

個々の機能群間の可能な限り非伝導性の連結部が存在し、可能な限り僅かな数の配線しか交差しないように、本発明の回路のレイアウトが好ましく形成される。したがって、さもなければ多くの数が必要であり、場合によっては存在するバッファ構造も省略される。この省略を実現するためには、特許出願ＰＣＴ／ＥＰ０２００４１６中に記されているような改良された定形の方法を使用することが特に好ましい。この特許出願中に記されている方法は、自動的な方法によってレイアウトを形成する。この方法は、好ましくは本発明の集積回路を製造するために使用される。この方法の場合、少なくとも２つの論理的に分離された部分システム（機能群）が設けられている。論理的な分離に加えて、さらに部分システムの空間的な（物理的な）分離が、回路配置の使用される面上で実現される。

機能群の故障が、対に属する他方の機能群によって及び／又は対に属する両機能群に接続されている構成要素（例えば、アクチュエータードライバー）によってその都度確認されるように、共通のチップ又はチップ基板上に配置された対になって又は多重に存在する監視回路，電圧監視，ワッチドック等のような機能群が、好ましくは電気的に互いに及び／又はアクチュエータに接続されている。したがって、例えば、故障が、両回路の配線接続部分にある場合に、対応するアクチュエータードライバーが遮断される。

したがって本発明によれば、構成部品の数が有益に低減される。これによって、より僅かなコストに加えて、特に改善された故障率及び信頼性が得られる。

その他の好適な実施形は、従属請求項及び図面以下の説明に記載されている。

図１中の回路配置は、信頼性を最適にした公知で今日の車両で広く使用される全体的なＡＢＳ，ＡＳＲ及びＥＳＰ制御装置を含む。破線は、互いに分離された領域１，２，５を示す。これらの付記された３つの互いに分離され別々に組み込まれた回路（チップ）が、図示しなかった１つの共通のプリント配線基板上に配置されている。

動作に必要な機能群は、特に第１チップ内に配置されている統合されたマイクロプロセッサシステム１，第２チップ内に配置されている統合された出力電子機器２及び信頼性回路５である。マイクロプロプロセッサシステム１は、主に第１マイクロプロセッサ３及び第２マイクロプロセッサ４を有する。チップ１，２を監視するフェイルセーフモジュール７が、チップ１に並んで設けられている。ソレノイドバルブ６を制御する最終段ドライバー１１が、チップ２内に統合されている。さらに回路配置は、その入力側にＡ／Ｄ変換器８及びセンサ信号評価ユニット３１を有する。このセンサ信号評価ユニット３１は、車輪回転数センサ入力部９及び車輪回転数センサ２０に接続されている。さらにここでは、発振器１０，１０′，ポンプモータ１３を切り替えるリレー１２，警告ランプ１４を制御する警告ランプドライバー１５，ＣＡＮドライバー１６，ＳＰＩドライバー１７，ＥＥＰＲＯＭ１８，入力／出力ポート１９，電圧制御部２１及びバルブコイル２６（ＭＤ）を遮断する冗長な電子式スイッチング要素２６が統合されている。

図２中には、本発明によるマイクロコントローラ２３の例が示されている。このマイクロコントローラ２３は、（ＡＢＳ，ＥＳＰ等用の）走行ダイナミック制御システムに対する全ての機能群がいわゆる「シングルチップ」システムとしての１つの共通のシリコンチップ２３上に配置されている。これらの機能群は、基本的には独立した集積回路である。マイクロコントローラ２３は、第１マイクロコンピュータ２２及び第２マイクロコンピュータ２３を有する冗長なマイクロコンピュータシステム１を有する。これらのマイクロコンピュータは、存在する冗長概念（コア冗長性，対称冗長性，非対称冗長性）に応じて図示しなかったシリアル又はパラレルデータバスを通じて互いに接続されている。これらのマイクロコンピュータは、これらのデータバスを通じてデータの正しい機能をチェックするためにデータを交換できるか又は異常時に互いに起動できるか又はマイクロコンピュータ自体若しくは全システムを遮断できる。

マイクロコントローラ２は、さらに機能群であるＡ／Ｄ変換器８，バルブドライバー（ＰＷＭ又はデジタル）１１，センサ（特に、車輪センサ及び／又は圧力センサ）用の通常の信号処理ユニット３１，警告ランプドライバー１５，電圧供給部２１，例えばワッチドッグのような信頼性回路５，５′，７，７′，２７又は外部の動作電圧（ＦＭｏｎ）の電圧を監視する機能群，冗長な電圧基準３２，３２′（例えば、バンドギャップ基準），出力ドライバー段用の制御論理部３３を有する。

図３ａ）及びｂ）中に２つの機能群の例でさらに拡大して示されているこの段落で説明した機能群は、故障した回路部分が隣接した機能ブロックに影響しないように絶縁帯２４、例えば保護リング又は溝によって互いに絶縁されている。さらに、冗長な機能が、物理的に（空間的に及び／又は電気的に）可能な限り互いに離れてチップ上で分離されているように、これらの機能群は、チップ上に好ましく配置されている。これによって、−例えば、熱的な過負荷又はＥＳＤ作用によって引き起こされる−機能故障に基づく同じ構成の機能群の相互作用が回避され得る。

図３中には、電気的に互いに接続されている２つの機能群２５，２５′が、原理図で示されている。これらの機能群は、絶縁帯２４によって互いに絶縁されている。電気配線３０は、機能ブロックを互いに接続し、そのためブリッジのように絶縁帯２４を超えて敷設されている。配線の接続による信頼性の欠点を回避するため、これらの機能群が、電気的にさらに分離されている。それ故に、機能群２５又は２５′の故障時に、機能群２５′又は２５に影響しないように、配線３０が構成されている。このため、一方向性のバッファ２８，２８′（図３ａ）又はＥＳＤ保護構造体２９，２９′（図３ｂ）が、配線中に挿入されている。

図４中には、チップ面２３の領域が示されている。図２中で説明した監視回路５，５′（動作電圧を監視するＦＭｏｎ）が、この領域上に存在する。図３ｂ）中の例に応じて、配線３８が設けられている。この配線３８は、保護構造体２４を介して敷設されていて、バッファ２８を有する。監視回路５が、配線３７を通じてＡＮＤゲート３４に接続されている。これに応じて、冗長な監視回路５′が、配線３８を通じてＡＮＤゲート３４に接続されている。ＡＮＤゲートのもう１つの入力部が、メインドライバー２６（ＭＤ）を制御するドライバー制御電子機器３５に接続されている。

例えば、故障が両回路５，５′の配線接続部分で発生した場合、メインドライバー２６の制御時に、電気信号が、メインドライバーの制御部３５によって信号線３６に供給されない。信号が、ＡＮＤゲートの全ての入力部に入力している時にだけ、信号が配線３６を流れる。したがって、監視回路５又は５′の故障又はこの回路によって確認された故障が、メインドライバー２６を遮断し、そしてバルブ６を遮断する。

従来の技術による制御電子機器の回路配置を示す。 典型的なマイクロコンピュータシステムの回路配置を示す。 図２の回路配置内の分離された機能ブロック間の配線を実現する例の概略図である。 図２の回路配置内の分離された機能ブロック間の配線を実現する例の概略図である。 バルブドライバー（ＭＤ）の領域内の回路配置の構成に対する例の概略図である。

符号の説明

１ マイクロプロセッサシステム
２ 出力電子機器
３ 第１マイクロプロセッサ
４ 第２マイクロプロセッサ
５ 信頼性回路
６ ソレノイドバルブ
７ フェイルセーフモジュール
８ Ａ／Ｄ変換器
９ 車輪回転数センサ入力部
１０ 発振器
１１ 最終段ドライバー
１２ リレー
１３ ポンプモータ
１４ 警告ランプ
１５ 警告ランプドライバー
１６ ＣＡＮドライバー
１７ ＳＰＩドライバー
１８ ＥＥＰＲＯＭ
１９ 入力／出力ポート
２０ 車輪回転数センサ
２１ 電圧供給部
２３ マイクロコントローラ
２４ 絶縁帯
２５ 機能群
２６ スイッチング要素
２７ 信頼性回路
２８ バッファ
２９ 保護構造体
３０ 電気配線
３１ センサ信号評価ユニット
３２ 電圧基準
３３ 制御論理部
３４ ＡＮＤゲート
３５ ドライバー制御電子機器
３６ 信号線
３７ 配線
３８ 配線

Claims (8)

1. 電気式に連動する多数の機能群（２５，２５′）から構成され、車両の電気式ブレーキシステムでの安全限界の用途、特に制御及び調整用の集積回路であって、この場合、電気配線（３０）が存在し、これらの電気配線（３０）は、機能群（２５，２５′）を互いに接続する集積回路において、
   この集積回路は、第１タイプ及び第２タイプの機能群から構成され、この場合、第１タイプの機能群は、少なくとも機能群である冗長なマイクロプロセッサシステム（１）及び特に機能群である入力／出力装置（１９）を有し、第２タイプの機能群は、少なくとも機能群であるアクチュエータのドライバー（１１，１５，２４，３５）及び信頼性切替回路（５，５，７，７′）を有し、この場合、第１タイプ及び第２タイプの機能群は、１つの共通のチップ又はチップ基板（２３）上で一体化されていることを特徴とする集積回路。
2. 冗長なマイクロプロセッサシステムは、コア冗長性なマイクロコントローラシステム又は対称な冗長性を有するマイクロコントローラシステム又は非対称な冗長性を有するマイクロコントローラシステムであることを特徴とする請求項１に記載の集積回路。
3. 機能群の少なくとも一部又は好ましくはほとんどが、分離した領域、特にドーピングされた保護リング及び／又は例えば溝若しくは深い溝のようなエッチングされた障壁によって互いに保護されていることを特徴とする請求項１又は２に記載の集積回路。
4. 第１機能群（２５）から第２機能群（２５′）まで敷設されている電気配線 （３０）は、バッファ要素（２８）及び／又はＥＳＤ保護構造体（２９，２９′）によって隣の機能群の故障を発生する事件及び／又は故障を発生する外部の影響から保護されていることを特徴とする請求項１〜３のいずれか１項に記載の集積回路。
5. 電気配線は、機能群に面した分離領域の少なくとも１つの又は各領域上にバッファ要素及び／又はＥＳＤ保護構造体を有する請求項３又は４に記載の集積回路。
6. 個々の機能群の個々の信頼性の監視が可能になるように、マイクロプロセッサシステムである、特に主にデジタル回路要素を有する第１タイプの機能群及び電力消費体を制御するアナログ回路要素を主に有する第２タイプの機能群並びに特に信頼性回路が互いにネットワーク接続していることを特徴とする請求項１〜５のいずれか１項に記載の集積回路。
7. 機能群の一部が、二重又は多重な冗長に構成されていて（５、５′）、冗長に構成された機能群（５）の故障時に、他方の同じに構成された機能群（５′）が、故障のある機能群の機能を受け継ぎ、この場合、このため、信号線（３７，３８）及び論理要素（３４）が設けられていて、これらは、故障のある機能を遮断するか（fault silent）又は機能を故障なく機能する機能群（５′）に切り替えることを保証する（fault tolerant）ことを特徴とする請求項１〜６のいずれか１項に記載の集積回路。
8. 請求項１〜７のいずれか１項に記載の集積回路を車両用の電気式ブレーキシステムで使用すること又は車両の走行動特性を制御するか若しくは電気制御されるパーキングブレーキを制御するか若しくは例えばエアバッグ制御のような車両支援システムを制御する電気制御で使用すること。

Images