JP2019218045A - 安全上重要な過程を制御するための方法及び装置並びに車両 - Google Patents

Abstract

【課題】第３のロータ位置センサを組み込む必要なく、どのようにロータ位置センサの適切な機能がチェックされ得るかという解決手段を見出すこと。【解決手段】安全上重要な過程を制御するための方法において、マイクロコントローラ２５０，３５０が、制御ラインの実際の特性を検出するセンサ２７６，３７６のデータを処理し、マイクロコントローラ２５０，３５０間でセンサ２７６，３７６のデータが交換されるとともに、決定モジュール２５８，３５８において、センサ２７６，３７６のデータが安定性のあるものであるかどうかがチェックされ、不安定性の特定時には多数決が形成され、制御コマンドからモデル量が演算され、該モデル量は、多数決においてエラーと認識されたデータを有する制御ラインのマイクロコントローラ２５０，３５０によって安全上重要な過程の制御が阻止されるように考慮される。【選択図】図５

Description

本発明は、安全上重要な過程を制御するための方法及び装置並びに車両に関するものである。

今日の車両においては、多くの場合電気機械式の操舵システム（図１）が用いられる。この操舵システムの電子機器において動作中にエラーが生じると、操舵補助（パワーステアリング）が遮断されるか、低減される。そうすると、運転者は、車両をより大きな力で操舵する。

近い将来、自動運転システムが車両に用いられ、この自動運転システムにより、運転者がもはや継続的に運転の役割を担うことがなく、アクティブな運転システムにおいては余事（読書、睡眠、メッセージを書く・・・）を行えることが可能となる。したがって、運転者は、エラー時にもはや予備レベル（Ｒｕｅｃｋｆａｌｌｅｂｅｎｅ）として利用可能ではない。したがって、自動運転システムに関連して用いられる操舵システムも、エラー後にもまだ車両をガイドし、ラックにおける運動を調整できるようになっている必要がある。

自動運転（しばしば自動走行、自動化された走行又はパイロット化された走行と呼ばれる）は、主に自動的に動作する、車両、可搬式のロボット及び運転者なしの搬送システムの前進運動と離間され得る。自動走行の概念の様々な段階が存在する。ここで、場合によっては自動的な走行過程の監視を担う運転者がまだ車両にいるとき、所定の段階も自動走行と呼ばれる。欧州では、様々な交通省（ドイツでは連邦道路研究所）が協力して以下の自動段階を規定した。

−レベル０：「運転者のみ（Ｄｒｉｖｅｒ ｏｎｌｙ）」、運転者自身が走行し、操舵し、アクセル操作し、制動するなど。
−レベル１：車両操作時に所定のアシストシステムが補助する（とりわけ車間距離制御システム−オートマチッククルーズコントロール（Ａｕｔｏｍａｔｉｃ Ｃｒｕｉｓｅ Ｃｏｎｔｒｏｌ）ＡＣＣ）。
−レベル２：部分自動化。とりわけ、自動的な駐車、車線維持機能、一般的な長手（直線）ガイド、加速、制動などがアシストシステムにより担われる（とりわけ渋滞アシスト）。
−レベル３：高い自動化。運転者はシステムを継続的に監視する必要がない。車両は、ウインカの作動、車線変更及び車線維持のような機能を自動的に実行する。運転者は、他の事項に取り組むことができるが、必要に応じてシステムの予備警告時間内に運転を引き受けることを要求される。自動のこの形態は、高速道路において技術的に行うことが可能である。立法者は、レベル３の車両を許可することを目指している。法的なフレームワーク条件は、これについて既に得られている。
−レベル４：完全自動化。車両の運転は、システムによって継続的に担われる。システムが走行の役割をもはや果たせないときには、運転者に運転の引き受けが要求される。
−レベル５：運転者は不要。目的の設定及びシステムの開始を除いて、人間の介入は不要である。

段階３からの自動化された走行機能は、車両の制御に対する責任を引き受ける。したがって、これに関与する、個別エラーに基づき機能不全となり得る操舵システムは、運転者が再び介入することができるまで車両が常に走行ダイナミクス的に安全な状態を維持することができるように、又はより高い自動段階においても車両が運転者の補助なしに停止するまで、適切な予備レベルを必要とする。ブレーキシステム、走行ダイナミクスシステム、操舵システムなどのような、段階３からの自動化された走行を提供するこの種の車両についての安全上重要なシステムは、常に冗長的に設定される。そして、当該システムは２つの制御ラインで構成されており、これら制御ラインは制御過程を実行することができるため、走行安定性を危険にさらすことなく、１つの構成要素が機能不全となり得る。

このとき、安全性コンセプトは、操舵システム電子機器の二重に冗長的な構成を必要とする。この場合、パワーステアリング制御機器への入力信号は、あらかじめ二重に提供される。並行した、独立した信号処理が行われるロジック部も二重に構成されている。これは、同様に二重に構成され、１つ又は複数の適切な電気モータ（例えば６相モータ又は１２相モータ）を制御する（作動させる）出力部も該当する。両部分システムの１つにおいてエラーが生じると、基本的には、他の部分システムが、ラックの運動を生じさせるための低減された少なくとも１つの操舵補助を提供できるようになっている。

この構造においては、挑戦は、認識されたエラーが定量化可能な安全性にもってもこのようなエラーとして特定されなければならないことにある。安全性要求を満たすために、並びに不当な出力低減及び遮断を回避するために、エラーが別々の担当箇所（Ｉｎｓｔａｎｚ）で確認されなければならないことが必要である。

このとき、現実のロータ特性を検出するロータ位置センサの適切な機能と同様に、制御機器の適切な機能が監視されるべきである。

しかしながら、他の制御ラインは単独では考慮されない。なぜなら、逆の決定の場合に、このチェックが誤った結果を提供する可能性が他の制御ラインにより検出されるエラーがエラーであると認識される可能性と同じように高いためである。

したがって、この場合にエラーがこのようなエラーとして確認されるか、又は確認されないかの決着をつける第３の担当箇所が必要である（３つの決定のうち２つ）。パワーステアリング制御機器におけるマイクロコントローラの適切な機能の監視のために、本出願人の他の特許出願には、独立した第３のマイクロプロセッサ（航空宇宙における従来技術）を用いないで済む解決手段が記載されている。

ここに記載される特許出願では、ロータ位置センサの適切な機能のチェックのための特に有利な解決手段が記載される。

特許文献１から、パワーステアリングのための電気モータを作動させる装置が知られている。ここでは、メインコンピュータがセンサからの信号を受信し、この信号を評価し、制御信号を発出する。そのほか、監視コンピュータが更に設けられており、この監視コンピュータは、同様にセンサからの信号を受信し、メインコンピュータの故障又は機能不全の場合この箇所へ進むことができるようになっている。

特許文献２から少なくとも２つのマイクロコントローラを有する制御機器が知られており、少なくとも２つのマイクロコントローラは、少なくとも１つのイーサネット接続を介して互いに通信接続されているとともに、これを介してデータを交換するように設置されている。特に、これにより、例えばマイクロコントローラのうち１つが故障を有するか、又はイーサネット接続のうち１つが例えばライン破断により機能不全となる場合でも、個々のマイクロコントローラは、エラー時にも互いに通信することができる。１つの例では、制御機器は、互いにリング状に接続されたそれぞれ２つのプロセッサコアを有する４つのマイクロコントローラを備えている。

特許文献３から少なくとも２つのプロセスコアを有するマイクロプロセッサが知られており、第１のプロセスコアは、機能を特別に構成されたハードウェアによってハードウェア実装して実行するように設置されており、第２のプロセスコアは、機能をソフトウェアの実行によりソフトウェア実装して実行するように設置されている。第１のプロセスコアは、第２のプロセスコアにより行われる機能を監視し、及び／又は保護するように設置されている。このとき、監視は、冗長的なハードウェアの使用に基づいている。

欧州特許出願公開第２４５０２６１号明細書 独国特許出願公開第１０２０１６２０３０９０号明細書 独国特許出願公開第１０２０１６２０５１０９号明細書

本発明の課題は、第３のロータ位置センサを組み込む必要なく、どのようにロータ位置センサの適切な機能がチェックされ得るかという解決手段を見出すことにある。この解決手段は、コストについて最適化されるべきであると同時に安全性要求を満たすべきである。

この課題は、請求項１による安全上重要な過程を制御するための方法と、請求項１０による安全上重要な過程を制御する装置と、請求項１５による車両とによって解決される。

各従属請求項は、この措置の以下の説明に対応して、本発明の有利な発展形成及び改善を含んでいる。

このとき、安全性コンセプトは特別なハードウェアアーキテクチャを必要とする。安全上重要な過程の制御のために少なくとも２つのマイクロコントローラが用いられ、少なくとも２つのマイクロコントローラのそれぞれは、安全上重要な過程の制御のために形成される。したがって、これは、冗長的なシステムである。両マイクロコントローラ間では、適当な通信手段を用いてデータを交換することができる。各マイクロコントローラは、制御ラインの現実の特性を反映する少なくとも１つのセンサのデータを処理する。安全上重要な過程を制御する本発明による方法は、各マイクロコントローラに決定モジュールが設けられ、この決定モジュールでは、各制御ラインの少なくとも１つのセンサがチェックされ、チェックのために、各センサのデータがマイクロコントローラの下で交換されるとともに互いに比較されることを特徴としている。加えて、各マイクロコントローラでは、過程を制御する制御コマンドに基づき、制御ラインの理想的な特性を反映するモデル量が演算される。決定モジュールでは、偏差を認識すると、現実の特性を反映する２つの実際量とモデル量の均等な少なくとも３つの情報について多数決が形成される。そして、この多数決は、他のセンサのデータ及びモデル量とは異なるデータを有するセンサがローカライズされている制御ラインのマイクロコントローラによって安全上重要な過程の制御を阻止する。したがって、第３の担当箇所が、モデル量の演算によって実現されるとともに、別のセンサを削減することが可能である。

短くまとめると、本発明の１つの態様は、多数決についての新たな情報が機械要素を介した両制御ラインの機械的な接続に基づき生成されることにあるといえる。一例では、機械要素は、電気モータのロータシャフトである。

好ましくは、各決定モジュールは、ソフトウェアごとに各マイクロコントローラにインストール（統合）される。このために追加のハードウェアコストは不要であり、決定モジュールは、個別の制御過程に容易に適合されることが可能である。

有利には、安全上重要な過程の制御の阻止は、偏差が特定されたセンサがローカライズされているマイクロコントローラ自体による、安全上重要な過程の制御の遮断又は部分的な遮断によって行われることができる。これは、容易に実現され得る態様に相当する。他の実施形態では、他のマイクロコントローラが遮断を行う態様も可能である。

特に有利には、制御システムについての解決手段を用いることができ、この制御システムでは、制御過程を反映するためにロータ位置センサを用いることが可能である。これは、電気モータが作動（制御）される場合に常に当てはまる。そして、決定モジュールは、特別な負荷にさらされているロータ位置センサの適切な機能をチェックする。

制御ラインの現実の特性を比較することができるように、現実のロータ特性を演算するためのソフトウェアモジュールが各マイクロコントローラにインストール（統合）されれば有利であり、各制御ラインのロータ位置センサの少なくともデータがモジュールへ供給される。

理想的なロータ特性を演算するソフトウェアモジュールがマイクロコントローラのうち少なくとも１つにインストール（統合）されれば同様に有利であり、このモジュールには、制御過程を制御するための制御機器へ伝達される、制御コマンドの少なくともデータが供給される。制御コマンドは目標設定とみなされ、これに基づき理想的なロータ特性を演算することができる。

決定モジュールにおける多数決を形成するために、現実のロータ特性を演算するための、及び理想的なロータ特性と、現実のロータ特性を演算するための少なくとも１つのモジュールとを演算するためのマイクロコントローラ固有のモジュールからのデータが、少なくとも１つの他のマイクロコントローラによって考慮されることが可能である。このことは、特に容易に実現可能であるとともに、ロータ位置センサの機能が第３の担当箇所によってチェックされるべきであるという安全性要求を満たす。

この提案は、特に、車両における操舵過程の制御の用途のために用いられることができる。運転者がまだ操舵コマンドを設定する限り、操舵コマンドはパワーステアリング制御機器へ伝達される。自動走行の範囲では、操舵コマンドは、将来的には、運転者とは無関係に別のコンピュータから操舵制御機器へ伝達される。ステアバイワイヤシステムにおいては、運転者は更に自身で操舵するものの、自動走行の範囲におけるように、操舵コマンドは、パワーステアリング制御機器に通信バスを介して到達する。

操舵システムにおいては、制御過程は、ラックの運動を操舵コマンドに合わせて生じさせるために、少なくとも２つのマイクロコントローラのそれぞれによって操舵過程のための多相電気モータの所定の相を作動させる（制御する）ことにある。１つの形態では、少なくとも２つのマイクロコントローラのそれぞれによって、操舵過程のための多相電気モータの所定の相が作動（制御）され、操舵過程の制御は、エラーとして認識されたセンサデータを有するマイクロコントローラと多相電気モータの対応する相との間の接続を分離することで阻止される。このために、相分離器を用いることができる。このことは、少なくとも安全な状態に至るまで、操舵補助の一部が維持され、車両が更にしばらくの間わずかな操舵快適性をもって動作され得るという利点を有しており、これは、駐車場、工場、路肩又は実際の道路における停止までの制動を伴う「（後続の交通への警告のための）蛇行走行（Ｓｃｈｌａｎｇｅｎｆａｈｒｔ）」であり得る。

安全上重要な過程を制御するための適当な装置のために、適当な装置が有利である。この装置は、少なくとも２つのマイクロコントローラによって頂上的に構成されており、少なくとも２つのマイクロコントローラのそれぞれは、安全上重要な過程の制御のために形成される。装置は、マイクロコントローラ間でのデータの交換のために設定された通信バスを備えている。各マイクロコントローラは、制御ラインの現実の特性を反映する、各制御ラインにおける少なくとも１つのセンサのデータを処理する。本発明による装置は、各マイクロコントローラが、各制御ラインの少なくとも１つのセンサをチェックするために決定モジュールを備えていることを特徴としている。決定モジュールでは、チェックのために、各センサのデータと第２のラインにおけるセンサのデータの比較が行われ、これらデータは、この目的のためにマイクロコントローラの間で交換される。

加えて、各マイクロコントローラでは、過程を制御する制御コマンドに基づき、制御ラインの理想的な特性を反映するモデル量が演算される。決定モジュールでは、偏差を認識すると、現実の特性を反映する２つの実際量とモデル量の均等な少なくとも３つの情報について多数決が形成される。そして、この多数決は、他のセンサのデータ及びモデル量とは異なるデータを有するセンサがローカライズされている制御ラインのマイクロコントローラによって安全上重要な過程の制御を阻止する。したがって、第３の担当箇所が、モデル量を演算するソフトウェアモジュールによって実現されるとともに、別のセンサを削減することが可能である。

特に有利には、制御システムについての解決手段を用いることができ、この制御システムでは、制御過程を反映するためにロータ位置センサを用いられる。これは、電気モータが作動（制御）される場合に常に当てはまる。そして、決定モジュールは、特別な負荷にさらされているロータ位置センサの適切な機能をチェックする。

このとき、１つの形態では少なくとも２つのロータ位置センサが用いられ、制御ラインごとのそれぞれ１つのデータが、少なくとも２つのマイクロコントローラへ供給される。

モデルとなる理想的なロータ特性とデータを比較可能であるように、制御ラインにおいてロータ位置センサの少なくともデータを処理する、現実のロータ特性を演算するソフトウェアモジュールが各マイクロコントローラにインストール（統合）されれば有利である。

目標設定に基づき理想的なロータ特性を演算するモジュールが少なくとも１つのマイクロコントローラに統合されており、このモジュールが、少なくとも目標設定のデータを処理すれば、同様に有利である。

有利には、装置は、車両における操舵過程の制御のために用いられることができる。

本発明は、段階３（ＶＤＡによる）からの自動化された走行機能を有する全ての車両において用いられることが可能である。

本発明の実施例は、図面に図示されているとともに、図面に基づいて以下に詳細に説明される。

車両の典型的なコクピット（運転席）を示す図である。 車両のための典型的な操舵システムの全体図である。 車両の原動機付き車両電子機器のブロック図である。 複数コアマイクロコントローラを有する、冗長的に設定されたパワーステアリング制御機器のブロック図である。 統合された状態監視装置を有する、冗長的に設定されたパワーステアリング制御機器のブロック図である。

本明細書により、本発明による開示の原理を明らかにする。したがって、専門家が、ここでは明示的に記載されていない、本発明による開示の原理を具体化し、その範囲で保護されるべき様々な装置を構想することができることはいうまでもない。

図１には、車両１０の典型的なコクピット（運転席）が示されている。図示されているのは、乗用車である。ただし、車両１０として、他の適宜の車両も同様に考慮に入れられる。別の車両の例は、バス、商用車両、特にトラック、農業機械、建設機械、鉄道などである。本発明の使用は、一般に、農業機械、鉄道、船舶及び航空機において可能である。

本発明について本質的な車両１０における構成要素は操舵システムであり、この操舵システムのうち、コクピットにおいてステアリングコラムの一部と共にステアリングホイール１２を見て取ることができる。さらに、図１には、符号によってインフォテインメントシステムの表示ユニットが強調されている。これは、中央コンソールに設けられた接触感応式のディスプレイ２０である。

このとき、接触感応式のディスプレイ２０は、特に車両１０の機能の操作に用いられる。例えば、これを介して、車両１０のラジオ、ナビゲーションシステム、メモリされた楽曲及び／又は空調設備、他の電子装置、他の快適機能又はアプリケーションを制御することが可能である。しばしば、まとめて「インフォテインメントシステム」と呼ばれる。インフォテインメントシステムは、原動機付き車両、特に乗用車において、中央の操作ユニットにおける自動車用ラジオ、ナビゲーションシステム、ハンズフリー装置、運転者アシストシステム及び別の機能の集合を表す。インフォテインメントという用語は、インフォメーションとエンターテインメント（娯楽）で構成された混成語である。インフォテインメントシステムを操作するために、主に接触感応式のディスプレイ２０（「タッチスクリーン」）が用いられ、このディスプレイ２０は、特に車両１０の運転者あるいは車両１０の助手席同乗者によって視認されることができるとともに操作されることが可能である。加えて、ディスプレイ２０の下方には、例えばボタン、コントロールダイヤル又はプッシュコントロールダイヤルのようなこれらの組合せを入力ユニット５０に配置することが可能である。典型的には、インフォテインメントシステムの一部のステアリングホイールにおける操作（ステアリングリモコンでの操作）も可能である。このために、車両には、いわゆるマルチファンクションステアリングホイール操作部（ステアリングリモコン）が設けられている。このユニットは、別々に図示されておらず、入力ユニット５０の一部とみなされる。

車両１０の操作システムへ戻る。図２には、操舵システムの全体図が示されている。本質的な構成要素は、ステアリングホイール１２、ステアリングゴラム１４、トルクセンサ１５、電気モータ１６、ラック１８及びパワーステアリング制御機器１８６である。

図３には、原動機付き車両電子機器のブロック図と、例示的にインフォテインメントシステムのいくつかの部分システム又はアプリケーションとが示されている。インフォテインメントシステムは、接触感応式の表示ユニット２０、演算装置４０、入力ユニット５０及びメモリ６０を含んでいる。表示ユニット２０は、可変のグラフィック情報を表示するための表示面も、また表示面上に配置された、ユーザによるコマンドの入力のための操作表面（接触感応式の層）も、含んでいる。

表示ユニット２０は、データライン７０を介して演算装置４０に接続されている。データラインは、低電圧差動信号に対応するＬＶＤＳ標準に則って設計されることができる。表示ユニット２０は、タッチスクリーン２０の表示面を制御する（作動させる）ための制御データをデータライン７０を介して演算ユニット４０から受け取る。入力されたコマンドの制御データも、データライン７０を介してタッチスクリーン２０から演算ユニット４０へ伝達される。符号５０によって入力ユニットが示されている。ボタン、コントロールダイヤル、スライドコントローラ又はロータリプッシュコントローラのような上述の操作要素が入力ユニットに付属しており、操作者は、これらを用いて、メニューガイダンスを介して入力を行うことが可能である。入力とは、一般に、パラメータの変更、機能のオン及びオフのような、選択されたメニューガイダンスの選択であると理解される。

メモリ装置６０は、データライン８０を介して演算装置４０に接続されている。メモリ６０には、ピクトグラムリスト及び／又はシンボルリストが、追加情報の可能なフェードイン（割り込み）のためのピクトグラム及び／又はシンボルと共にメモリされている。

インフォテインメントシステムの別の部分であるカメラ１５０、ラジオ１４０、ナビゲーション機器１３０、電話１２０及びコンビネーションメータ１１０は、データバスを介してインフォテインメントシステムを操作するための装置に接続されている。データバス１００として、ＩＳＯ標準１１８９８−２によるＣＡＮバスのハイスピードバージョンが考慮に値する。これに代えて、例えば、ＩＥＥＥ８０２．０３ｃｑのようなイーサネット技術に基づくバスシステムの使用も考慮され得る。データ伝達が光ファイバを介して行われるバスシステムも使用可能である。ＭＯＳＴ（Ｍｅｄｉａ Ｏｒｉｅｎｔｅｄ Ｓｙｓｔｅｍ Ｔｒａｎｓｐｏｒｔ）バス又はＤ２Ｂ（Ｄｏｍｅｓｔｉｃ Ｄｉｇｉｔａｌ Ｂｕｓ）バスが例として挙げられる。内部又は外部への無線通信のために、車両１０は、通信モジュール１６０を備えている。このモジュールは、しばしばオンボードユニットとも呼ばれる。モジュールは、例えばＬｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎに対応するＬＴＥ標準による移動電話無線通信のために設計されることが可能である。同様に、モジュールは、ワイヤレスＬＡＮに対応するＷＬＡＮ通信のために設計されることができ、車両内の乗員の機器への通信又は車両間通信などのためのものであってよい。

インフォテインメントシステムの通信バス１００は、ゲートウェイ３０と接続されている。これには、原動機付き車両電子機器の他の部分も接続されている。一方では、典型的にはＣＡＮバスの形態で実現されるパワートレーンの通信バス１０４である。例として、パワートレーンの制御機器は、エンジン制御機器１７２、ＥＳＰ制御機器１７４及びトランスミッション制御機器１７６が挙げられ、示されている。通信バスの別のもの１０２は、ＦｌｅｘＲａｙバスの形態で形成され得る運転者アシストシステムのためのものである。ここでは、３つの運転者アシストシステムである、アダプティブグルーズコントロールに対応する自動的な車間距離制御ＡＣＣのための運転者支援システム１８２、ダイナミックシャシコントロール１８４に対応するアダプティブシャシ制御部のための運転者アシストシステムＤＣＣ及びパワーステアリングシステム１８６が図示されている。さらに、もう１つの通信バス１０６がゲートウェイ３０に接続されている。この通信バスは、ゲートウェイ３０をオンボード診断インターフェース１９０に接続している。ゲートウェイ３０の役割は、様々な通信システム１００，１０２，１０４，１０６のためのフォーマット変換を行うことにあり、その結果、互いの間でデータを交換することが可能である。

以下では、パワーステアリング制御機器１８６について詳細に説明する。

ハードウェアによる構造が図４に示されている。上述のように、パワーステアリング制御機器は、安全性の理由から冗長的に構成されている。操舵過程は、経路１及び経路２で示された２つの平行なラインによって制御される。このとき、入力電気機器２２０，３２０、ロジック部２４０，３４０及び出力部（Ｌｅｉｓｔｕｎｇｓｔｅｉｌ）２７０，３７０がそれぞれ二重に存在している。同様に、パワーステアリング制御機器１８６によって制御（作動）される多相電気モータ４１０が示されている。このとき、電気モータ４１０は、完全な操舵補助のために両ラインによって制御（作動）される。両ラインの内１つにおいてエラーが生じると、このラインによる制御は、安全性の理由から遮断される。これにより、運転者は完全な操舵補助をもはや受けないが、車両１０がまだ安全に路肩、緊急停止場所又は駐車場に操舵可能であることが保証されている限り、他のラインの制御によって操舵機能が維持される。このとき、システムは、運転者がこのために介入する必要がないように設定されている。操舵システムは、操舵過程をまだ自動的に実行可能である。この非停止（Ｎｏｎ−Ｓｔｏｐｐ）により、操舵の手動の操作による更なる走行が可能である。

実現は、両制御ラインがそれぞれ個々に完全な操舵補助を提供することができるようにも構成されることが可能である。これにより、エラーの発生後に、車両が１つのラインにおいてまだ機能しているラインによって「イグニションオフ」まで自動的に走行を完了することも可能である。しかし、安全のために、その後、自動的な走行機能の再度のオンはブロックされる。

入力電気部２２０，３２０にはそれぞれ１つのフィルタユニット２２８，３２８が設けられており、このフィルタユニットには、供給電圧における外乱を補正する（取り除く）ために、例えばインダクタ（Ｄｒｏｓｓｅｌｎ）及びフィルタが配置されている。供給電圧は、電流接続部２２２において適用される（ａｎｓｔｅｈｅｎ）。接触部２２４は、操舵システムのトルクセンサ１５との接続に用いられる。将来的には、両ラインが固有のトルクセンサを有することも可能である。このトルクセンサは、ステアリングコラム１４に取り付けられているとともに、直接読み取られる。将来的には、このようなセンサを省略することが可能である。機械的なステアリングコラムなしで済む、ステアバイワイヤという部類の操舵システムが既に開発されている。そして、どの程度の力が操舵において作用するかという情報がトルクセンサ１５からパワーステアリング制御機器１８６へ入る。典型的には、トルクセンサ１５により、回転角、回転方向及びトルクの必要なデータが電子的に検出される。これは、操舵過程を補助することができるように電気モータ４１０がどの程度の力を加える必要があるかの決定を可能とするために重要である。トルクセンサ１５のこの入力信号は、内部で両マイクロコントローラ２５０，３５０へ伝達される。

操舵プロセスは非常に精密に制御される必要があることに留意すべきである。そこでは、例えば車両の速度である別の情報が重要な役割を果たす。そのため、各マイクロコントローラ２５０，３５０は、別々に通信バス１０２に接続されている。したがって、パワーステアリング制御機器１８６は、各車両バスについて２つのバス接続部２２６，３２６を有している。このようにして、バス接続部のうち１つ又は供給ラインのうち１つにおいて故障が存在しても、操舵機能は保証されている。パワーステアリング制御機器１８６のロジック部２４０，３４０は、本質的に、それぞれ両マイクロコントローラ２５０，３５０のうち１つを含んでいる。マイクロコントローラ２５０は、図示の例では、演算コア（Ｒｅｃｈｅｎｋｅｒｎｅ）２５２，２５４を含んでいる。マイクロコントローラ３５０は、両演算コア２５２，２５４を含んでいる。マイクロコントローラの演算コアは互いに接続されているため、これら演算コアは、データ、特に演算結果を交換することが可能である。このために、典型的には平行なバスが適当に用いられる。マイクロコントローラ２５０，３５０の４つ全ての演算コア２５２，２５４，３５２，３５４の間では、同様にデータを交換することが可能である。本発明の構成においては、通信バス２５９が、両マイクロコントローラ２５０，３５０の間でイーサネットバスとして構成されている。他の構成では、通信バスは、ＦｌｅｘＲａｙ又はＣＡＮ−ＦＤ通信バスとして形成されることも可能である。データ交換の可能性は、マイクロコントローラが互いにチェックされ、エラーの認識時に互いに遮断することができるという安全性コンセプトにおいても必要である。ただし、マイクロコントローラの相互チェックの機能は、他の特許出願の対象であるため、ここでは、この機能について詳細に言及しない。

図４には、各演算コアが２つの通信ポート、例えばイーサネットポートを備えており、これら通信ポートを介して、各演算コアが他のマイクロコントローラの両演算コアに接続されている。特徴は、更に、演算コア２５２，３５２がいわゆるロックステップ演算コア２５３，３５３で構成されていることにある。これらは、全く同一のプログラムを処理する平行コンピュータ（Ｐａｒａｌｌｅｌｒｅｃｈｎｅｒ）に対応している。しかし、並列接続は、性能向上ではなくコントロールに寄与するものである。個々の演算コアの結果の比較が行われ、この比較は、個々に、時間的に密に割り込み不能なステップにおいて行われる。このように得られた冗長性により、ハードウェア側の障害を演算コアのうちいずれかにおいて検出することができるとともに、ロックステップ動作におけるデュアルコアの場合のように、これに対して対応することが可能である。

パワーステアリング制御機器１８６の出力部も並列に構成されている。電気モータ４１０を制御する（作動させる）ための制御信号は、「ｐｕｌｓ ｗｉｄｔｈ ｍｏｄｕｌａｔｉｏｎ」に対応するＰＷＭ信号の形態で各マイクロコントローラ２５０，３５０から出力される。これら信号は、出力部２７０，３７０において、適当な変換回路２７２，２７４，３７２，３７４で変換される。図４には、電気モータが６相モータとして示されている。したがって、どの相が制御（作動）されるかに応じて、多少力がラックへ伝達される。全ての相が制御（作動）されると、最大の力が加えられる。これを制御することができるように、マイクロコントローラ２５０，３５０ごとに変換回路２７２あるいは３７２が設けられている。これは、増幅器（パワーＭＯＳＦＥＴ又はＩＧＢＴモジュール）を作動させるための信号へＰＷＭ信号を変換するいわゆるゲート駆動ユニットＧＤＵである。制御（作動）信号が電気モータ４１０に至る前に、この信号は、更に相分離回路２７４あるいは３７４を通過する。電気モータ４１０の制御（作動）のそれぞれ１つの遮断は、相分離回路を介して、対応するパスにおいてなされる。マイクロコントローラと相分離回路の間の図示の接続に合わせて、制御（作動）の遮断を、それぞれ各制御ラインのマイクロコントローラによってのみ行うことが可能である。各ラインのために、更に１つのロータ−位置センサ２７６，３７６が設けられている。このロータ−位置センサは、電気モータ４１０のロータの動きを検出する。

上述したように、安全性コンセプトは、パワーステアリング制御機器１８６が冗長的に構成されることを必要とする。したがって、それぞれ制御機能を維持し得る２つの制御ラインが存在する。両マイクロコントローラ２５０，３５０の正確な機能は、マイクロコントローラ２５０，３５０の様々な演算コアを介して分配されている論理的な（ｌｏｇｉｓｃｈｅｓ）決定（回路）モジュール２６１，２６２，３６１，３６２によりチェックされる。さらに、安全性コンセプトによれば、ロータ−位置センサ２７６，３７６の適切な機能もチェックされる必要がある。新たな提案によりどのように行われるかを以下に詳細に説明する。

図５には、このために用いられる本質的な構成要素及びモジュールが示されている。ここで、同一の参照部号は、図４と同一の構成要素を示している。パワーステアリング制御機器１８６の両制御ラインのロジック部２４０，３４０及び出力部２７０，３７０が示されている。入力電気部２２０，３２０では変更は不要であるため、これら入力電気部は特に示されていない。ロジック部２４０，３４０においては、両マイクロコントローラ２５０，３５０が示されている。マイクロコントローラ２５０，３５０は、図４に示されたものと同一であってよい。異なるのは、図５では、マイクロコントローラ２５０，３５０においてそれぞれソフトウェアモジュールが示されていることである。このソフトウェアモジュールは、ロータ−位置センサ２７６，３７６の適切な機能を監視する目的を有する状態監視装置２５７，３５７に対応する。これは、以下のようになされる：

状態監視装置２５７，３５７は、理想的なロータ特性２５１，３５１を決定するそれぞれ１つのソフトウェアモジュールを含んでいる。このモジュールは、トルクセンサの入力量、又は運転者アシストシステムによって演算され、通信バス１０２を介してパワーステアリング制御機器１８６へ伝達された操舵コマンドのような別の情報、及びコンビネーションメータ１１０からパワーステアリング制御機器１８６へ伝達された車両の速度に依存してロータの必要な運動を演算する。操舵コマンドの形態の目標設定に基づき、電気モータ４１０におけるロータの理想的な変更が決定される。理想的な変更は、例えば設定されるべきロータ角度及び設定されるべきロータ速度又は設定されるべきロータ速度から成る。正確な演算の種類は、提案の更なる説明にとって決定的に重要ではない。

しかし、重要なことは、各状態監視装置が更に別のソフトウェアモジュール２５６，３５６を含んでいることである。このソフトウェアモジュールは、現実のロータ特性を決定するために用いられる。このために、このソフトウェアモジュールは、各ロータ位置センサ２７６，３７６及び相読み直し部２７８，３７８のための構成要素のデータを解析する。相読み直し部のためのこの構成要素では、測定データである相電流及び相電圧が検出される。これら情報を用いることで、現実のロータの運動の検出がより正確となる。原則的には、現実のロータ特性は、相読み直しなしに決定されることが可能である。実際のロータ位置、すなわち取り付けられた電気モータ４１０における実際のロータの角度は、ロータ位置センサ２７６，３７６を介して検出される。構成要素である相分離器は図５では個別に示されていないものの、この機能は、構成要素である相読み直し部２７８，３７８に共に統合されている。

ロータ位置センサ２７６，３７６の適切な機能は、以下のようにチェックされる。このために、状態監視装置２５７，３５７では、それぞれ１つの決定モジュール２５８，３５８が設けられている。これら決定モジュールでは、状態監視装置の別のモジュールにより算出された理想的なロータ特性と、現実のロータ特性とが互いに比較される。信頼性を強調することができるように、それぞれ他のマイクロコントローラにより算出された現実のロータ特性も比較される。このために、算出されたロータ特性を有するデータは、マイクロコントローラ２５０，３５０の下で交換される。これにより、多数決が形成され得る３つの意味内容が利用可能である。２つの独立した実際の量と１つのモデル量である。そして、これら３つの情報は、多数決についての根拠を形成する。

各決定モジュール２５８，３５８では、理想的なロータ特性のデータ及び算出された現実の両ロータ特性のデータをもってそれぞれ１つの多数決がなされる。現実のロータ特性のうち１つにおいて差異が存在すると、エラーが検出されたロータ位置センサ２７６，３７６として局所化されている対応するラインが遮断される。このために、マイクロコントローラ２５０，３５０と対応する構成要素である、相分離も担う相読み直し部２７８，３７８の間の接続が存在する。

条件的な記載のような、ここで言及した全ての例は、このような特殊に引き合いに出された例に限定されることなく理解されるべきである。したがって、例えば、当業者によって、ここで図示されたブロック図は例示的な回路配置の概念上の観点を図示するものであると認められる。同様に、図示のフローチャート、状態監視図、疑似コード及びこれに類するものは、本質的にコンピュータにより読み取り可能な媒体にメモリされ、したがってコンピュータ又はプロセッサにより実行可能なプロセスを図示するための様々なバリエーションを示すものであることが分かる。

提案された方法及びこれに付随する装置は、ハードウェア、ソフトウェア、ファームウェア、特別なプロセッサ又はこれらの組合せの様々な形態で実行可能であると理解されるべきである。特別なプロセッサは、用途特有の集積回路（ＡＳＩＣｓ）、縮小命令セットコンピュータ（ＲＩＳＣ）及び／又はフィールドプログラマブルゲートアレイ（ＦＰＧＡｓ）を含み得る。好ましくは、提案された方法及び装置は、ハードウェアとソフトウェアの組合せとして実行される。ソフトウェアは、好ましくはプログラムメモリ装置におけるアプリケーションプログラムとしてインストール（統合）されている。典型的には、例えば１つ又は複数の中央ユニット（ＣＰＵ）、直接アクセスメモリ（ＲＡＭ）及び１つ又は複数の入力／出力（Ｉ／Ｏ）インターフェースのような、ハードウェアが備えるコンピュータプラットフォームに基づく機械である。典型的には、そのほか、コンピュータプラットフォームには動作システムがインストール（統合）されている。ここに記載した様々なプロセス及び機能は、アプリケーションプログラムの一部であり得るか、又は動作システムを介して実行される一部であり得る。

開示内容は、ここに記載した実施例に限定されていない。当業者がその専門知識に基づき、開示内容に付随して考慮し得る様々な適合及び変更の余地が存在する。

別の例として、制御コマンドが、外部から制御機器へ伝達されず、制御機器自体内で生成される実施形態が言及される。

１０ 車両
１２ ステアリングホイール
１４ ステアリングコラム
１５ トルクセンサ
１６ 電気モータ
１８ ラック
２０ 接触感応式の表示ユニット
３０ ゲートウェイ
４０ 演算ユニット
５０ 入力ユニット
６０ メモリユニット
７０ 表示ユニットへのデータライン
８０ メモリユニットへのデータライン
９０ 入力ユニットへのデータライン
１００ 第１のデータバス
１０２ 第２のデータバス
１０４ 第３のデータバス
１０６ 第４のデータバス
１１０ コンビネーションメータ
１２０ 電話
１３０ ナビゲーション機器
１４０ ラジオ
１５０ カメラ
１６０ 通信モジュール
１７２ エンジン制御機器
１７４ ＥＳＰ制御機器
１７６ トランスミッション制御機器
１８２ 車間制御用制御機器
１８４ シャシ制御機器
１８６ パワーステアリング制御機器
１９０ オンボード診断コネクタ
２２０ 入力電気機器
２２２ 電流接続部
２２４ ＤＭＥ
２２６ 通信バス接続部
２２８ フィルタ段
２３０ 送受信モジュール
２３２ バストランシーバ
２４０ ロジック部
２５０ マイクロコントローラ
２５１ モデル量演算部
２５２ 演算コア
２５３ ロックステップユニット
２５４ 演算コア
２５５ ロックステップユニット
２５６ 実際量演算部
２５８ ロジック式の決定段
２５９ 通信バス
２６１ 決定モジュール
２６２ 決定モジュール
２７０ ロジック部
２７２ ＧＤＵ変換器
２７４ 相分離器
２７６ ロータ位置センサ
２７８ 相読み直し部
３２０ 入力電気機器
３２２ 電流接続部
３２６ 通信バス接続部
３２８ フィルタ段
３３２ バストランシーバ
３４０ ロジック部
３５０ マイクロコントローラ
３５１ モデル量演算部
３５２ 演算コア
３５３ ロックステップユニット
３５４ 演算コア
３５５ ロックステップユニット
３５６ 実際量演算部
３５８ ロジック式の決定段
３６１ 決定モジュール
３６２ 決定モジュール
３７０ 出力部
３７２ ＧＤＵ変換器
３７４ 相分離器
３７６ ロータ位置センサ
３７８ 相読み直し部
４１０ 多相電気モータ

Claims (15)

1. 安全上重要な過程を制御するための方法であって、該制御のために、少なくとも２つの制御ラインについて少なくとも２つのマイクロコントローラ（２５０，３５０）が用いられ、該少なくとも２つのマイクロコントローラ（２５０，３５０）のそれぞれが、前記安全上重要な過程を制御するために形成され、前記各マイクロコントローラ（２５０，３５０）が、前記各制御ラインの実際の特性を検出する少なくとも１つのセンサ（２７６，３７６）のデータを処理し、前記両マイクロコントローラ（２５０，３５０）間で前記各センサ（２７６，３７６）のデータ又はこれから導出されるデータが交換されるとともに、マイクロコントローラ（２５０，３５０）ごとに設けられた決定モジュール（２５８，３５８）において、前記センサ（２７６，３７６）のデータが安定性のあるものであるかどうかがチェックされ、不安定性の特定時には多数決が形成され、前記マイクロコントローラ（２５０，３５０）において、制御コマンドからモデル量が演算され、該モデル量は、前記多数決においてエラーと認識されたデータを有する前記制御ラインの前記マイクロコントローラ（２５０，３５０）による前記安全上重要な過程の制御が阻止されるように考慮されることを特徴とする方法。
2. 前記決定モジュール（２５８，３５８）が、ソフトウェアによって前記各マイクロコントローラ（２５０，３５０）においてインストールされることを特徴とする請求項１に記載の方法。
3. 前記安全上重要な過程の制御の阻止が、前記多数決においてエラーと認識されたセンサデータを有する前記マイクロコントローラ（２５０，３５０）による、前記安全上重要な過程の制御の遮断又は部分遮断によって行われることを特徴とする請求項１又は２に記載の方法。
4. それぞれ前記マイクロコントローラに接続されたロータ位置センサ（２７６，３７６）のデータが前記少なくとも２つのマイクロコントローラ（２５０，３５０）へ供給され、該ロータ位置センサが、同一のロータの現実の特性を検出することを特徴とする請求項１〜３のいずれか１項に記載の方法。
5. 前記現実のロータ特性（２５６，３５６）を演算するモジュールが前記各マイクロコントローラ（２５０，３５０）にインストールされ、該モジュール（２５６，３５６）には、少なくとも、該モジュールに割り当てられたロータ位置センサ（２７６，３７６）のデータが供給されることを特徴とする請求項４に記載の方法。
6. 目標設定としての制御コマンドに基づき理想的なロータ特性（２５６，３５６）を演算するモジュールが前記少なくとも１つのマイクロコントローラ（２５０，３５０）にインストールされ、該モジュール（２５６，３５６）には、少なくとも前記目標設定のデータが供給されることを特徴とする請求項４又は５に記載の方法。
7. 前記決定モジュール（２５８，３５８）における多数決のために、前記現実のロータ特性（２５６，３５６）を演算するためのデータ、及び前記理想的なロータ特性（２５２，３５２）を演算するためのデータと、前記現実のロータ特性（２５６，３５６）を演算するための少なくとも１つのモジュールとを演算するための前記マイクロコントローラ固有のモジュールからのデータが、少なくとも１つの他のマイクロコントローラ（２５０，３５０）によって考慮されることを特徴とする請求項１〜６のいずれか１項に記載の方法。
8. 前記安全上重要な過程が車両（１０）についての操舵過程であり、前記目標設定が操舵コマンドに対応することを特徴とする請求項１〜７のいずれか１項に記載の方法。
9. 前記操舵過程のための多相電気モータ（４１０）の所定の相が、前記少なくとも２つのマイクロコントローラ（２５０，３５０）のそれぞれによって作動され、エラーとして認識されたセンサデータを有する前記マイクロコントローラ（２５０，３５０）と前記多相電気モータ（４１０）の対応する相との間の接続を分離することで、前記操舵過程の制御が阻止されることを特徴とする請求項８に記載の方法。
10. 安全上重要な過程を制御するための装置であって、該装置が、少なくとも２つのマイクロコントローラ（２５０，３５０）によって冗長的に構成されており、その結果、前記少なくとも２つのマイクロコントローラ（２５０，３５０）のそれぞれが、前記安全上重要な過程の制御ラインにおける制御のために形成されており、前記各マイクロコントローラ（２５０，３５０）が、前記各制御ラインの現実の特性を検出する少なくとも１つのセンサ（２７６，３７６）のデータを処理し、前記装置が通信バス（２５９）を備えており、該通信バスが、前記マイクロコントローラ（２５０，３５０）間で前記少なくとも２つのセンサ（２７６，３７６）のデータを交換するように設定されており、前記少なくとも２つのマイクロコントローラ（２５０，３５０）において、センサデータの安定性についてチェックを行うそれぞれ１つの決定モジュール（２５８，３５８）が、前記センサデータにおける不安定性が特定されるときに、多数決においてエラーとして認識されたセンサデータを有する前記制御ラインの前記マイクロコントローラ（２５０，３５０）による前記安全上重要な過程の制御の阻止がなされるように、多数決を形成するために設けられていることを特徴とする装置。
11. 当該装置が少なくとも２つのロータ位置センサ（２７６，３７６）を備えており、該ロータ位置センサのデータが、前記少なくとも２つのマイクロコントローラ（２５０，３５０）へ供給され、該両マイクロコントローラが、同一のロータの現実の特性を検出することを特徴とする請求項１０に記載の装置。
12. 前記現実のロータ特性（２５６，３５６）を演算するモジュールが前記各マイクロコントローラ（２５０，３５０）においてインストールされており、該モジュールが、少なくとも前記ロータ位置センサのデータを処理することを特徴とする請求項１１に記載の装置。
13. 目標設定に基づき理想的なロータ特性（２５６，３５６）を演算するモジュールが前記少なくとも１つのマイクロコントローラ（２５０，３５０）にインストールされており、該モジュールが、少なくとも前記目標設定のデータを処理することを特徴とする請求項１１又は１２に記載の装置。
14. 前記安全上重要な過程が車両（１０）の操舵過程であり、当該装置が車両（１０）に組み込まれていることを特徴とする請求項１０〜１３のいずれか１項に記載の装置。
15. 当該車両（１０）が、請求項１０〜１４のいずれか１項に記載の装置を備えていることを特徴とする車両。

Images