JP2007535049A - 自動車コンポーネントの動作を制御するための電子制御装置および方法 - Google Patents

Abstract

コンポーネントを駆動制御するための割り当てられた最終段を有するマイクロコントローラ（１２）の使用時には、最終段（１６）には元来の制御信号（Ｓ）の他に、デジタルのイネーブル信号（ｂ，ｃ，ｄ）も供給される。このイネーブル信号によって、信号状態に応じて、最終段（１６）の遮断またはイネーブルがシグナリングされる。従ってマイクロコントローラ（１２）の領域内のエラーの場合には、最終段（１６）がスイッチオフされる。イネーブル信号（ｂ）の変調と、最終段（１６）に供給されるイネーブル信号（ｃ）の評価によって、次のことが保証される。すなわち、イネーブル信号生成および／またはイネーブル信号伝送の領域におけるエラーが、変調の不在に基づいて識別されることが保証される。従って最終段（１６）は、エラー時に非常に確実にスイッチオフされる。

Description

本発明は、請求項１ないし８に記載された、自動車コンポーネント、殊に、自動車の内燃機関またはトランスミッションの動作を制御するための電子制御装置および方法に関する。

この種の制御装置および制御方法はそれ自体公知であり（ＤＥ４００４４２７Ａ１号、ＤＥ４２３１４３２Ａ１号、ＤＥ４４３８７１４Ａ１号）、ここでは、通常は「制御装置」と称される電子構成ユニットが実現される。この構成ユニット内には、電子コンポーネントないし電気コンポーネントに対する多様の制御機能および／または監視機能がまとめられている。これまでに常に高められてきた、このような制御機器の機能性に関する要求によって、所望の機能が今日では大部分、マイクロコントローラの使用によって組み込まれている。ここで定義「マイクロコントローラ」は、電子的にプログラミング制御される制御装置をあらわしている。これは典型的に、ＰＣのように、ＣＰＵ、ＲＡＭ、ＲＯＭおよびＩ／Ｏポートを有している。しかしＰＣとは異なり、非常に特別な用途に対して設計可能である。

制御装置によって制御されるべきコンポーネントとは、直接的に内燃機関に割り当てられるべきコンポーネント（例えば燃料ポンプ、スロットルバルブ、燃料インジェクタまたはラムダセンサ）の他に、車両の他のコンポーネントのことでもある。入力側で、制御装置には、制御に必要なセンサ信号ないし測定量が入力される。これは例えば該当して、クランクシャフト回転速度およびクランクシャフト位置、エンジン温度、吸気温度および吸気量、アクセルペダル位置等である。この制御されるべきないしセンシングされるべきコンポーネントの列挙は、完結するものではなく、制御装置の多数の考えられる機能を単に具体化するためだけのものである。

マイクロコントローラないしそのＩ／Ｏポートは技術的にたいていは、本願で興味の対象である車両コンポーネントの直接的な駆動制御に適していないので、これらのコンポーネントは通常は割り当てられた最終段によって制御される。最終段はこの目的のために入力側で相応するマイクロコントローラの制御信号を得て、出力側で、コンポーネントのアクティブ化および非アクティブ化のために必要な電圧または電流を供給する。これは例えばピエゾ圧電効果によって作動する燃料噴射弁の充電電流および放電電流である。殊に、安全に関して重要な機能に関しては、最終段には通常は制御信号の他に、デジタルの、いわゆるイネーブル信号も供給される。このイネーブル信号によってイネーブル信号状態に応じて、アクティブ化の遮断または解放がシグナリングされる。この、元来の最終段の駆動制御に依存しない解放はここではイネーブル制御装置によって与えられる。このイネーブル制御装置は公知の制御装置の場合には監視装置内に統合されている。この監視装置は、マイクロコントローラの正常な動作を監視する。これによって、エラーの場合に適切な措置がとられる。これは例えばマイクロコントローラをリセットする、および／または１つまたは複数のイネーブル信号を第１のイネーブル信号状態にセットすることである。この第１のイネーブル信号状態によって、割り当てられた各最終段が遮断されるないしスイッチオフされる。

この種の監視装置は、しばしば「ウォッチドック」と称され、ここではマイクロコントローラ内に統合される、またはマイクロコントローラとは別個に配置される。この種の監視装置の機能は例えば次のことに基づく。すなわち、この装置がマイクロコントローラに時折、課題を課し、マイクロコントローラからフィードバックされた結果に基づいて、マイクロコントローラが正しく機能しているか否かを確認することに基づく。

関連する最終段へのイネーブル信号の伝送のために設けられている電気的接続（スイッチオフバス）は、安全性を高めるために、多重に（冗長的に）設計されている。さらに、デジタルイネーブル信号による最終段のスイッチオフの機能は、自己テストに基づいて、非アクティブシステム状態において検査される。すなわち、有効サイクル毎に少なくとも一度検査される。しかし許容領域からの、作動条件のエラーを含む差、殊に、エラーを有するソフトウェアによって引き起こされたエラーを含むマイクロコントローラ内のいずれかのエラーは、システムのアクティブ作動時に最も生じやすい。

しかし、監視装置によって識別されるべきエラーが、システムのアクティブ作動時に生じ、最終段がデジタルイネーブル信号によって、「安全」であると定められた状態に移行されるべき場合には、公知の制御装置では実際には不確実性が生じてしまう。

殊に、エラー時にイネーブル信号が、第１の、割り当てられた最終段の遮断を引き起こす信号状態に移行されないことが起こり得る。なぜならエラーは監視装置自体内、ないしはそのイネーブル制御装置内に存在するか、またはエラーはこのような後者の装置の正しい機能に損害を与えるからである。

監視のしばしば不確実な安全性のこの問題を解決するために、監視の冗長性をさらに高め、過電圧（例えば短絡）によって生じるエラーに関して頑強に構成することが可能である。しかしこのような解決方法は高価であり、場合によっては、通常作動時の確実性を下げ、実際には再び、複数または幾つかの特別なエラー（解決方法はこれらのエラーに対して設計されている）の場合に制限される。

従って本発明の課題は、エラー時のより改善された特性を有する、自動車の内燃機関の作動の制御装置並びに制御方法を提供することである。

上述の課題は、請求項１に記載された制御装置ないし請求項８に記載されたエンジン制御方法によって解決される。従属請求項は有利には、本発明の有利な発展形態に該当する。

本発明の制御装置は、イネーブル制御装置から供給されるイネーブル信号を周期的に変調させる変調装置と、評価装置を有することを特徴とする。ここでこの評価装置は、最終段に供給されるイネーブル信号を、周期的な変調に関して分析し、周期的な変調が欠如している場合には、最終段を事前に定められたエラー時状態に移す。

イネーブル制御装置によって供給されたイネーブル信号の変調および、最終段の方向へ案内されるイネーブル信号をこの変調に関して評価することによって、次のことが保証される。すなわち、エラーに基づいて、イネーブル信号生成および／またはイネーブル信号伝送の領域におけるエラーが確実に（変調が存在しないことに基づいて）識別されることが保証される。従って該当する最終段は、このような場合においても確実に、予め定められたエラー時状態に移される。このエラー時状態は、例えば最終段のスイッチオフ状態またはリセット状態として設定されている。

殊に、イネーブル信号が静的に（継続的に）、２つのイネーブル信号状態のうちの特定の１つをとるエラーは確実にかつ的確にエラーと識別される。

従って本発明によって、「フェールセーフスイッチオフバス」が実現される。これはシステムの安全性を高める。

有利な実施形態では変調装置は次のものを含む：すなわち、
・変調パルスの周期的なシーケンスを生成させるパルスジェネレータと、
・イネーブル制御装置に後置接続された変調段とを含む。ここでこの変調段には、イネーブル制御装置からのイネーブル信号と、パルスジェネレータからの変調パルスの周期的なシーケンスが入力され、変調段は少なくとも、第２のイネーブル信号状態が存在する場合には、変調パルスの継続に対してそれぞれイネーブル信号を反転させる。

この場合には評価装置は最終段の前に接続された評価段を含む。この評価段には変調段からイネーブル信号が入力され、この評価段は入力されたイネーブル信号を、変調パルスシーケンスに相応に反転されたイネーブル信号区間が存在するかに関して分析し、この反転されたイネーブル信号区間が存在する場合には、このイネーブル信号を最終段に転送し、反転されたイネーブル信号区間が存在しない場合には、最終段を、予め定められたエラー時状態にセットする。

有利な実施形態では、入力されたイネーブル信号が、１つのイネーブル信号状態から別のイネーブル信号状態に移行するときに、次のような場合にはじめて、最終段に転送されるイネーブル信号が移行されるように評価装置が設定されている。すなわち、入力された信号の移行が単に変調に基づいて行われたこと、つまり、これがイネーブル制御装置から供給されたイネーブル信号の相応の移行によって引き起こされたのではないことが評価装置によって排除される場合にはじめて移行されるように設定されている。評価装置のこのような検査は、出力されるイネーブル信号の変換の前に、場合によって、ある程度の時間を必要とする。しかしこれは実際にはしばしば甘受されなければならない。択一的に、通常は、遅延と結びついている評価装置のこの検査は次の場合にのみ設けられる。すなわち、イネーブル信号が第１のイネーブル信号状態から第２のイネーブル信号状態へ変わるまたは第２のイネーブル信号状態から第１のイネーブル信号状態に変わる場合である。

有利には評価装置は次のように構成されている。すなわち、入力されたイネーブル信号の変調が除去されるように、すなわち最終段に出力されるイネーブル信号がこのような変調を含まないように構成されている。しかし、イネーブル信号内の変調をそのままにしておき、時間的な信号経過における比較的短時間の変調区間が、該当する最終段の駆動制御に実質的に損害を与えない、または最終段における変調が除去フィルタリングされることも可能である。

パルスジェネレータを、変調段とともに、例えば監視装置内に組み込んで設けることが可能である。すなわち殊に、監視装置の残りの回路部分とともに、共通の集積回路内に組み込むことが可能である。これは場合によっては、マイクロコントローラも含むことができる。

有利には、イネーブル制御装置を、監視装置内（例えば冒頭で述べたウォッチドッグ）内に組み込むことができる。これは、マイクロコントローラの正常な動作を監視し、イネーブル信号の正常な動作を確認した場合にのみ、第２のイネーブル信号状態のイネーブル信号を供給する。多くの用途の場合、例えば市場で入手されるマイクロコントローラチップが使用されるべき場合、イネーブル信号制御装置および変調装置の少なくとも一部を含む（例えば以降でさらに述べるパルスジェネレータを含まない）監視装置が、共通の集積回路内に設けられるのは有利である。この集積回路は、マイクロコントローラチップと別個に、電気的な構成ユニット（制御装置）内に配置されている。

有利には評価装置を、最終段を含む最終段装置内に組み込むことができる。すなわち殊に、共通の集積回路内に構成することができる。例えば付加的な電気的構成部分を必要としない、評価装置の低コスト実装の利点を除外すると、過電圧監視に関連した、ないし過電圧の特別なエラー時におけるシステム全体の「フェールセーフ」特性に関連した、別の、非常に重要な利点が実際に得られる。

このような利点を詳細に説明する：
制御装置内で使用されている電気的構成素子の各特性は、制限された、技術的に制限された作動領域内でのみ保証される。この領域を離れると（例えば許容できないほど高い電圧がシステムのどこかの箇所で生じると）、イネーブル信号の各任意の構成が調整可能である。

監視装置がある程度の複雑さ超えると、この装置を、最終段（これは主に出力最終段のことである）とは異なる技術、すなわち有利には低電圧技術で構成する（例えばマイクロコントローラのように）のは経済的に意味をなす。

ここでこの監視装置が過電圧識別のタスクも担う場合（なぜなら、このために必要な精度が、スイッチオフされるべき出力最終段において通常は得られないので）、次のような場合が生じ得る。すなわち、最終段が自身の許容される領域において作動している場合でさえ、監視装置の許容可能な電圧領域を超えてしまうという場合が生じ得る。この結果、所望の予め定められたエラー時状態への移行がもはや保証されなくなる。

しかし評価装置が、マイクロコントローラないし、イネーブル信号の供給に必要な制御装置の回路部分よりも高い電圧耐性を有している場合、すなわち評価装置が、例えば比較的高い電圧耐性を有する、最終段を含む最終段装置内に組み込まれると、過電圧が最終段装置の故障を引き起こさない限りは、過電圧によって生じるマイクロコントローラまたは監視装置またはイネーブル制御装置の領域内の故障がさらに確実に識別される。しかし後者は、最終段の電圧耐性の相応の設計によって容易に保証される。これは実際にはいずれにせよしばしば少なくとも、車両の搭載電源網電圧に対して、ある程度の安全リザーブを加算して設計されなければならない。

本発明で使用されている、イネーブル信号の変調は、システムの通常作動をできるだけ妨げてはならない。このような観点において、変調の周期が次のように設定されるのは有利である。すなわち、変調周期が、最大で、監視装置に対して特別にされたエラー反応時間と同じ長さに選択され、有利にはこのエラー反応時間よりも短い時間に選択されるのは有利である。自動車の内燃機関および／またはトランスミッション用の制御装置の場合には、通常は例えば１００ｍｓよりも短い周期が良好に適している。変調のクロック周期１０％よりも短く、例えば１％の大きさであるのも有利である。上述したように、イネーブル制御装置からのイネーブル信号は、それぞれ、変調パルスの持続時間の間、反転される、ないしは中断される。従ってパルス持続時間は周期に対して比較的短く選択されるべきであり、周期自体は同じように、該当する用途に対して充分に短いべきである。これによって、所定のエラー反応時間内の全ての公差を考慮して、エラー時に評価装置の反応が保証される。

評価装置が、変調がないこと、ひいてはエラーケースを確認すると、例えば、第１のイネーブル信号状態にあるイネーブル信号が、１つまたは複数の後続の最終段に出力され、これによって、制御されるコンポーネントのアクティブ化が遮断される（少なくとも変調がない間および／または少なくとも所定の持続時間の間）。しかし制御されるコンポーネントの種類に依存して、最終段が移されるべきエラー時状態がアクティブ化をイネーブルすることは基本的に排除されない。重要なのは、変調がないことによって検出されるエラーの時には、該当する最終段が所定のエラー時状態に移されることである。それにもかかわらず、多くの最終段においてこの目的のためにイネーブル信号を継続的に定められた状態に移行させ、択一的または付加的に、最終段の状態に他の方法で所期のように影響を与えることが可能である。これは例えば、エラー時信号のいずれかの種類（例えばリセット信号）によって行われる。これは該当する最終段に対して設けられる。最後に、エラーケースの検出時に、これを制御装置の他の回路部分、殊にリセット機能を有するマイクロコントローラおよび／または給電電圧ユニットで通知することもできる。これは制御装置のセットアップ時に、個々の装置コンポーネントを定められた様式にまずはリセットする、ないし開始させる。

本発明を以下で、添付図面に関連した実施例に基づいて、より詳細に説明する。

図１には、自動車の噴射エンジンの作動を駆動制御するエンジン制御装置の概略的なブロック回路図が示されており、
図２には、種々異なる、図１に示されたエンジン制御装置内で発生する信号の時間的な経過特性が示されている。

図１は、全体として参照番号１０で示された、自動車の直噴エンジン用のエンジン制御装置の重要なコンポーネントを示している。これはマイクロコントローラ１２とイネーブルユニット１４と最終段１６を含む。マイクロコントローラは、図示されていない内燃機関の作動中に制御されるべき燃料噴射装置を制御するために制御信号Ｓを供給する。イネーブルユニット１４はデジタルのイネーブル信号ｂを供給し、このイネーブル信号を用いて、第１の論理的イネーブル信号状態「Ｌｏｗ」（Ｌ）によって、燃料噴射装置のアクティブ化の遮断がシグナリングされ、第２の論理的イネーブル信号「Ｈｉｇｈ」（Ｈ）によって、燃料噴射装置のアクティブ化のイネーブルがシグナリングされる。最終段は、制御されるべきコンポーネント（ここでは燃料噴射装置）を、制御信号Ｓに基づいて、最終段１６に入力されるイネーブル信号ｄを考慮してアクティブ化するおよび非アクティブ化する。従来のエンジン制御装置では、イネーブルユニット１４から出力されたイネーブル信号ｂは直接的に最終段１６に入力され、信号ｂと信号ｄは同一である。以下でさらに説明するように、図示された制御装置１０の場合にはそうではない。

最終段１６は、次のような場合にのみ、相応の駆動制御信号を種々の燃料インジェクタに送出することによって燃料噴射を励起する（図１の最も右端に示された信号線路が、４つの燃料インジェクタの駆動制御をシンボル化している）。すなわち、最終段１６に入力されたイネーブル信号ｄがＨ状態である場合にのみ励起する。噴射タイミングおよび噴射量はここで、実質的にマイクロコントローラ１２によって出力された制御信号Ｓによって定められる。わかりやすくするために、制御信号Ｓの伝送はここでは、線路によってのみ記号化されている。実際、この接続は、駆動制御されるべき最終段に応じて、複雑な線路装置として構成可能である。さらに図１の表示では、本発明を理解するために重要でなく、従来のように構成可能である、制御装置１０の全ての回路部分（例えば電圧供給部、車両コンポーネント制御またはエンジン制御の枠内で必要とされる、種々のセンサ信号を収容するためのマイクロコントローラでの入力側信号）が省かれている。

図示された制御装置１０の特別な点は、特別なイネーブル信号の生成、伝送および使用にあり、以下で、単に例として設けられた、燃料噴射装置に対する最終段１６に基づいて説明する。当然ながらエンジン制御装置１０は実際には、別の車両コンポーネント、殊にエンジンコンポーネントを制御するための別の最終段を有している。これに対して、以降で説明された、特別に「安全な」イネーブル信号の方法が同じように使用される。

変調段１８およびパルスジェネレータ２０から形成された変調装置は、イネーブルユニット１４に直接的に後置接続されており、イネーブル制御装置によって供給されたイネーブル信号ｂの周期的な変調を供給する。図示されたイネーブルユニット１４のようなイネーブルユニットが、例えば監視装置内に複数個設けられている場合には、有利には、個別のイネーブル信号を変調するために共通のパルスジェネレータが使用される。

図２の上方（第１）の特性経過は、パルスジェネレータ２０によって形成された変調パルス信号をあらわしている。この信号ａは、ｔｐｕｌｓのパルス持続時間を有する周期Ｔｐｕｌｓを有する矩形変調パルスの周期的なシーケンスから成る。

図２内の第２の経過特性は、イネーブルユニット１４から出力されたイネーブル信号ｂを例として示している。これは時点ｔ１でＬからＨへ変わり、時点ｔ２で再びＬへ戻る。

変調段１８にはこの信号ａおよびｂが入力され、ここから、「変調された」イネーブル信号ｃが形成される。このイネーブル信号ｃの特性経過は同じように図２示されている。ここから、変調段１８がＨ状態を、周期的に比較的短い変調パルスによって中断することがわかる。ここでこのＨ状態は燃料噴射装置のアクティブ化のイネーブル化をシグナリングする。またこの間に、信号ｃはある程度、噴射装置アクティブ化の遮断をシグナリングする。図示された例では、この周期的な変調は、信号ｂがＨ状態にある信号区間においてのみ行われる。

最終段１６の前には直接的に評価装置２２が接続されており、この評価装置は最終段１６と同じ技術で（ここでは同じチップ上に）実装されており、最終段とともに最終段装置２４を形成している。

評価段２２に入力されたイネーブル信号ｃは、評価段２２によって、周期的な変調が信号ｃ内に存在するかについて分析され、簡単に表せば、変調が入力信号ｃ内で検出された場合にのみ、イネーブル信号ｄとして最終段へ転送される。それに対して評価段２２は、変調の不在をエラーケースとして解釈し、最終段１６を事前に定められたエラー時状態に移す。図示された実施例の場合、これはＬ状態にあるイネーブル信号ｄの継続的な出力によって行われ、詳細には、信号ｃの状態に依存しない。これによって図示された例では、制御信号Ｓにも依存せずに、燃料噴射が強制的に終了される。

図２の下方の特性経過は、出力段１６に、正常作動時に転送されるイネーブル信号ｄをあらわしている。ここから、時点ｔ１で行われる、ＬからＨへの信号移行（信号ｃにおける）が直接的に最終段（信号ｄにおける）に転送されず、固定して設定された立ち上がり遅延Δｔ１が経過した後にはじめて転送されることがわかる。なぜなら、評価ユニット２２は図示の実施例では、まずは次のようなケースを排除するからである。すなわち、この移行が、信号ｃ（またはこのために設けられた伝送線路）内での「静的な」エラーによって呼び起こされたというようなケースを排除するからである。この目的のために、持続時間Δｔ１が経過するのが待たれ、変調パルスが生じるのが確認される。このパルスが実際にも検出された場合にのみ、評価ユニット２２は信号ｄもＨ状態に移行させる。Δｔ１は、ここではパルス周期Ｔｐｕｌｓよりも僅かに長く、固定して定められている。

同じように、時点ｔ２で行われる、信号ｃにおけるＨからＬへの移行は直接的には出力信号ｄに反映されず、ある程度の時間的な遅延（立ち下がり遅延Δｔ２）の後にはじめて反映される。なぜなら、評価ユニット２２は図示の実施例では、まずは次のようなケースを排除するからである。すなわち、この移行が、単に変調パルスの出現によって呼び起こされたというようなケースを排除するからである。これに相当して持続時間Δｔ２が終了するのが待たれる。この持続時間内で信号ｃが再びＨに変化しない場合にのみ、評価装置２２は信号ｄをＬに移行させる。このような立ち下がり遅延Δｔ２もここでは固定して設定され、パルス幅ｔｐｕｌｓよりも僅かに長い。

パルス周期Ｔｐｕｌｓ、パルス幅ｔｐｕｌｓならびに「フィルタリング時間」Δｔ１、Δｔ２は、関連のシステム要求に相応して適切に選択されるべきである。クロック周期（ｔｐｕｌｓ／Ｔｐｕｌｓ）は、主な使用ケースの場合にはできるだけ小さく選択されるべきであり、例えば１０％よりも小さく、殊に１％よりも小さく選択されるべきである。他方では評価段２２の短いエラー反応時間に関しては、できるだけ短い周期Ｔｐｕｌｓが有利である。燃料噴射部に対する図示の実施例では、例えば約１０ｍｓの大きさのＴｐｕｌｓが可能である。

評価段２２は例えば、特定の判断基準に基づいて、信号ｄのＨ状態（イネーブル）またはＬ状態（ディスエーブル）を生じさせる：
・信号ｃはＨ状態にあり、完全な長さ（パルス幅ｔｐｕｌｓ）の第１の変調パルスがこれに続いて検出される（→イネーブル）。

・信号ｃが、待たれるべき最大パルス幅よりも長くＬ状態にある（→ディスエーブル）。

・信号ｃがＨ状態にあり、待たれるべき周期のＴｐｕｌｓの二倍の間、変調信号がない（→ディスエーブル）。

・信号ｃが、定められていないレベルを有している。これは例えばイネーブル信号生成の領域内での不足電圧によって生じる（→ディスエーブル）。

主な用途の場合には、Ｈ（イネーブル）への移行に比べて、Ｌ（ディスエーブル）への移行に優先性が与えられるのは有利である。

可能な発展形態では、評価段２２は信号内のパルスの検出時に、順次連続するパルスの時間的な間隔を次のことについて検査することができる。すなわち、これが所定の変調周期と一致しているか否かについて検査することができる。これによって、正常な変調パルスシーケンスが、例えば、ノイズによって引き起こされたパルスシーケンスによって正確に境界付けされる。

それ自体公知の方法では、イネーブルユニット１４は、監視装置２６内に含まれている。この監視装置は、コミュニケーション接続２８を介して、マイクロコントローラ１２と通信し、殊にマイクロコントローラの正常な動作を監視し、この監視の結果に依存して例えばイネーブル信号ｂが相応にセットされる。

図示の実施例では、評価段２２は、最終段装置２４の領域内へのそのマイクロエレクトロニクス集積に基づいて、マイクロコントローラ１２および／または監視装置２６と比べて、技術的に比較的高い電圧耐性（例えば３６Ｖ）を有する。従って評価段２２は、有利には次のような場合にも依然としてエラー時措置をとることができ、殊に、最終段１６を遮断するないしスイッチオフすることができる。すなわち、イネーブル信号の供給に関与する、制御装置１０の回路部分が過電圧によって妨害される、または危害を与えられる場合でもエラー時措置をとることができる。従ってシステム全体のフェールセーフ特性は、変調に基づいて特に確実にされるだけでなく、過電圧によって引き起こされる、論理モジュール（例えばマイクロコントローラ）の故障に関してある程度自律する。最終段装置２４内の付加的なロジックは、信号ｃを伝送するスイッチオフバスの静的な状態が識別されている間は、最終段１６の自動的な、継続的スイッチオフに導く。説明された解決方法では、要求された動性は、エラーのないシステム動作内でのみ生成されなければならない。従って、スイッチオフバスのみにエラーがあり、コントロールロジックにエラーがない場合には、制限された動作モードが可能にされる。エラー時に最終段は、クリチカルな作動条件のもとで動作され、このために特別にされた状態になる。

有利には、イネーブル信号ないしスイッチオフ信号の保護は、イネーブル制御装置内の信号駆動部の駆動制御からこの信号の選別まで、出力最終段の入力側コンパレータによって行われる（すなわち、例えば完全に１つのＩＣから別のＩＣへ）。出力最終段内の機能自体のみが（エラー時に）保障されるべきである。本発明の解決方法は、エラーを有するスイッチオフ経路に対する各基本的な原因をカバーする。実現するために、付加的な、殊に分散した付加的な構成部分は強制的には必要でない。このことは、コストおよび故障率に関して有利である。動作中の保護の効果は継続的に保証される。ここで、スイッチオフ線路のみが故障している場合、ある程度のロジック機能は有効のままである。本発明の解決方法は、監視装置ないし監視モジュールの側で、従来の最終段に対して下方へ向かってコンパチブルに実現される（場合によっては僅かな整合措置によって）。監視装置の許容されない作動領域から、許容される作動領域へ戻ることは、本発明に従って実現される、スイッチオフバスに関するスイッチオフの効果において何も変化させない。

要約すると、マイクロコンポーネントを駆動制御する、割り当てられた最終段を有するマイクロコントローラを使用した内燃機関動作制御時には、元来の制御信号の他に、デジタルのイネーブル信号も最終段に供給される。このイネーブル信号によって、信号状態に依存して、最終段の遮断またはイネーブルがシグナリングされる。従ってマイクロコントローラの領域内のエラー時には、最終段がスイッチオフされる。イネーブル信号の変調および、最終段へ導かれるイネーブル信号の評価によって、イネーブル信号生成および／またはイネーブル信号伝送の領域におけるエラーが変調の不在に基づいて識別され、最終段がエラー時に非常に確実にスイッチオフされることが保証される。

自動車の噴射エンジンの作動を駆動制御するエンジン制御装置の概略的なブロック回路図。 種々異なる、図１に示されたエンジン制御装置内で発生する信号の時間的な経過。

Claims (8)

1. 自動車コンポーネント、殊に、自動車の内燃機関またはトランスミッションの動作を制御する電子制御装置であって、
   ・少なくとも１つの、自動車の動作時に制御されるべきコンポーネントを制御するための少なくとも１つの制御信号（Ｓ）を供給するマイクロコントローラ（１２）と、
   ・当該マイクロコントローラ（１２）の正常な動作を監視するための監視装置（２６）と、
   ・デジタルのイネーブル信号（ｂ）を供給するためのイネーブル制御装置（１４）とを有しており、当該イネーブル信号によって、
   前記マイクロコントローラ（１２）の正常でない動作が前記監視装置（２６）によって確認された場合、第１のイネーブル信号状態（Ｌ）によって、制御されるべきコンポーネントのアクティブ化の遮断がシグナリングされ、
   前記マイクロコントローラ（１２）の正常な動作が前記監視装置（２６）によって確認された場合、第２のイネーブル信号状態（Ｈ）によって、制御されるべきコンポーネントのアクティブ化のイネーブルがシグナリングされ、
   ・前記制御信号（Ｓ）に基づいて、前記イネーブル信号（ｂ，ｃ，ｄ）を考慮して、制御されるべきコンポーネントのアクティブ化および非アクティブ化を行う最終段（１６）を有しており、
   前記制御装置はさらに、
   ・前記イネーブル制御装置（１４）から供給されたイネーブル信号（ｂ）を周期的に変調する変調装置（１８，２０）と、
   ・最終段（１６）へ供給されるイネーブル信号（ｃ）を、前記周期的な変調に関して分析し、前記周期的な変調がない場合には、当該最終段（１６）を所定のエラー時状態に移す評価装置（２２）を有している、
   ことを特徴とする電子制御装置。
2. 前記変調装置（１８，２０）は、
   ・変調パルスの周期的なシーケンスを生成するためのパルスジェネレータ（２０）と、
   ・前記イネーブル制御装置（１４）に後置接続された変調段（１８）とを有しており、
   当該変調段には、前記イネーブル制御装置（１４）からのイネーブル信号（ｂ）並びに前記パルスジェネレータ（２０）からの変調パルスの周期的なシーケンスが入力され、当該変調段は、少なくとも、前記第２のイネーブル信号状態（Ｈ）が存在する場合には、それぞれ変調パルスの持続時間の間（ｔｐｕｌｓ）、イネーブル信号を反転させ、
   前記評価装置（２２）は、前記最終段（１６）に前置接続された評価段として構成されており、当該評価装置にはイネーブル信号（ｃ）が前記変調段（１８）から入力され、当該評価装置は、入力されたイネーブル信号（ｃ）を、前記変調パルスシーケンスに相応して反転されたイネーブル信号区間の存在に関して分析し、当該反転されたイネーブル信号部分が存在する場合にはイネーブル信号（ｄ）を最終段（１６）に転送し、当該反転されたイネーブル信号区間が存在しない場合には、前記最終段（１６）を所定のエラー時状態に移す、請求項１記載の制御装置。
3. 前記イネーブル制御装置（１４）は前記監視装置（２６）内に組み込まれている、請求項１または２記載の制御装置。
4. 前記評価装置（２２）は、前記最終段（１６）を含んでいる最終段装置（２４）内に組み込まれている、請求項１、２または３記載の制御装置。
5. 前記評価装置（２２）は、前記監視装置（２６）および／またはマイクロコントローラ（１２）よりも高い電圧耐性を有する、請求項４記載の制御装置。
6. 前記制御装置の監視装置（２６）に対して特別にされたエラー反応時間と最大で同じ長さであり、有利には当該エラー反応時間よりも短いように、前記変調の周期（Ｔｐｕｌｓ）が設定されている、請求項１から５までのいずれか１項記載の制御装置。
7. 前記変調の前記クロック周波数（ｔｐｕｌｓ／Ｔｐｕｌｓ）は１０％よりも小さい、請求項１から６までのいずれか１項記載の制御装置。
8. 自動車コンポーネント、殊に、自動車の内燃機関またはトランスミッションの動作を制御装置によって制御する方法であって、当該制御装置は、
   ・少なくとも１つの、自動車の動作時に制御されるべきコンポーネントを制御するための少なくとも１つの制御信号（Ｓ）を供給するマイクロコントローラ（１２）と、
   ・当該マイクロコントローラ（１２）の正常な動作を監視するための監視装置（２６）と、
   ・デジタルのイネーブル信号（ｂ）を供給するためのイネーブル制御装置（１４）とを有しており、当該イネーブル信号によって、
   前記マイクロコントローラ（１２）の正常でない動作が前記監視装置（２６）によって確認された場合、第１のイネーブル信号状態（Ｌ）によって、制御されるべきコンポーネントのアクティブ化の遮断がシグナリングされ、
   前記マイクロコントローラ（１２）の正常な動作が前記監視装置によって確認された場合、第２のイネーブル信号状態（Ｈ）によって、制御されるべきコンポーネントのアクティブ化のイネーブルがシグナリングされ、
   ・前記制御信号（Ｓ）に基づいて、前記イネーブル信号（ｂ，ｃ，ｄ）を考慮して、制御されるべきコンポーネントのアクティブ化および非アクティブ化を行う最終段（１６）を有しており、
   当該方法は、
   ・前記イネーブル制御装置（１４）から供給されたイネーブル信号（ｂ）を周期的に変調し、
   ・最終段（１６）へ供給されるイネーブル信号（ｃ）を、当該周期的な変調に関して分析し、
   ・前記周期的な変調がない場合には、前記最終段（１６）を所定のエラー時状態に移す、
   ことを特徴とする制御方法。

Images