JP3937242B2 - 車両コントロールシステム用マイクロプロセッサ装置 - Google Patents

Description

本発明は請求項１の上位概念に記載した種類のマイクロプロセッサ装置に関する。このような車両マイクロプロセッサシステムは特に、アンチロックコントロールシステム（ＡＢＳ）、トラクションコントロールシステム（ＡＳＲ＝ＴＣＳ）、ブレーキ力分配の電子コントロールシステム（ＥＢＶ＝ＥＢＤ）、ヨートルクコントロールシステム（ＧＭＲ＝ＹＴＣ）、走行安定性コントロールシステム（ＦＳＲまたはＡＳＭＳ＝ＤＳＣ）等を含んでいる。
多数のこのようなコントロールシステムおよび変形システムが知られている。このようなシステムの重要性は今日では、安全性や快適性を高める要求の観点から急激に高まっている。
複数のコントロールシステムを１つの複合システムにまとめることが既に知られている。というのは、異なる機能が互いに影響し合い、異なるコントロールシステムの部品、例えばセンサ、入力制御信号を検出および処理するための回路、監視システム等が一緒に使用可能であるからである。
複雑なコントロール課題を解決するために、異なる種類の多重マイクロコンピュータ構造体が使用される。ドイツ連邦共和国特許第３２３４６３７号公報により、例えばアンチロックコントロールシステムが知られている。アンチロックコントロールシステムのコントローラはブレーキ圧力制御信号を発生するために平行に作動する２個以上のマイクロコントローラを備えている。このマイクロコントローラは同一のコンピュータプログラムに従って同じ入力信号を処理する。マイクロコンピュータの出力信号と内部信号は、両コントローラの一方の誤動作を確かめるために、一致しているかどうか監視される。マイクロコントローラで冗長的に処理された信号が互いに異なっていると、電子的なコントロールが停止される。それによって、電子装置にエラーが発生しても、制動機能はコントロールされなくても維持される。
ドイツ連邦共和国特許出願公開第４１３７１２４号公報により、いわゆる非対称冗長性を有するこのような回路装置が既に知られている。この回路装置の場合、コントロールシステムの入力信号、すなわち車輪センサによって得られた、回転状態を示す信号は、２つの平行なマイクロコントローラに供給される。このマイクロコントローラの一方だけが完全なコントローラプログラムで作動し、第２のマイクロコントローラは入力情報を簡単化した形でシミュレーションし、簡単化されたアルゴリズムに従って処理する。両マイクロコントローラのデータ処理結果が一致しているかどうかあるいは少なくとも妥当であるかどうか比較することにより、簡単化されたデータ処理にもかかわらず、電子装置の誤動作または欠陥を確かめることができる。
更に、ドイツ連邦共和国特許出願公開第４４３９０６０号公報（Ｐ７７１４）により、冒頭に述べた種類のマイクロプロセッサ装置が知られている。このマイクロプロセッサ装置は、バスシステムによって互いに接続された複数のマイクロプロセッサシステムを備えている。この装置によって、アンチロックコントロールおよびまたはトラクションスリップコントロールと、監視機能を含む、複雑な演算を必要とする少なくとも１つの他のコントロール機能を実施することができる。この公知のマイクロプロセッサ装置は３つのマイクロプロセッサシステムを備えている。このマイクロプロセッサシステムには個々の機能が次のように分配されている。すなわち、第１のマイクロプロセッサシステムが第２のマイクロプロセッサシステムと共に、ＡＢＳ機能とＡＳＲ機能と、これらの機能の監視を受け持つように分配されている。そして、第３のマイクロプロセッサシステムは第２のマイクロプロセッサシステムと共に、複雑な演算を必要とする他のコントロール機能（ＧＭＲ）およびその監視を行う。その際、監視のために、この装置は、それぞれ２個のマイクロプロセッサシステムにおいて、非対称冗長的なデータ処理（異なる種類の演算プロセスまたはコンピュータシステムによって）あるいは対称冗長的なデータ処理（同じような演算プロセスまたはコンピュータシステムによって）を同時に行う。
上記のドイツ連邦共和国特許出願公開第４４３９０６０号公報に記載されているように、監視のために役立つ冗長的な信号処理を含むいろいろな機能を、３個のマイクロプロセッサシステムにインストールすることにより、高い運転信頼性が達成される。更に、コントロール要素の所定の誤動作を認識する際に、このコントロール要素だけが停止され、他の制御機能は続けられる。
本発明の根底をなす課題は、安全上の要求または車両の安全性のためのこれらの機能の重要性に関する、個々のコントロール機能またはコントロールシステムの一層良好で微細でバランスのとれた監視を可能にする、複数のコントロール要素からなる複雑な車両コントロールシステムのためのマイクロプロセッサ装置を開発することである。言わば、段階を付けた安全性概念を実現すべきである。
この課題は請求項１に記載したマイクロプロセッサ装置によって解決されることが判った。このマイクロプロセッサ装置の特徴は、２つの同種の主マイクロプロセッサシステムが設けられ、この主マイクロプロセッサシステムが冗長的なデータ処理のために使用され、入力信号調節と、簡単化されたアルゴリズムによる処理すなわち非対称の冗長性に基づくによる処理が、第３のマイクロプロセッサシステムにインストールされ、主マイクロプロセッサシステムで行われるデータ処理の出力結果およびまたは中間結果が、互いに一致しているかどうか比較され、それぞれ度簡単化されたデータ処理の出力結果およびまたは中間結果と比較され、妥当性がチェックされる。
有利な実施形に従って、冗長的に処理されたデータの比較および評価の際に、“安全上重要な”データと、“機能上重要な”データまたは安全性の観点からあまり重要でないデータが区別される。冗長的に処理された安全上重要なデータが一致していないとき、全体の車両コントロールシステムが停止されるかあるいは少なくとも、一致していないデータに関連するコントロールシステムが機能を停止されられる。感知しにくい機能上重要なデータが一致してないときに、両主マイクロプロセッサシステムのデータと、簡単化されたデータ処理の結果とを個別的に比較することにより、不良の主マイクロプロセッサが確かめられる。そして、正常なマイクロプロセッサシステムによって、コントロール機能が完全に続けられるかまたは制限されて続けられる。
主マイクロプロセッサシステムのデータ処理結果が一致していないときに、この両主マイクロプロセッサシステムは順々に非活動化され、そしてこの主マイクロプロセッサシステムを非活動化した後で、データ処理結果が簡単化されたデータ処理の結果と一致しているかまたは妥当であるときに、有効で正常な主マイクロプロセッサシステムに基づいておよび第３のマイクロプロセッサシステムによる妥当性のチェックに基づいて、コントロール機能は少なくとも制限されて続けられる。勿論、機能上重要なデータ処理操作とコントロール機能だけが続けられ、安全上重要でないデータ処理操作とコントロール機能が停止される。
他方では、回路は次にように構成されている。すなわち、主マイクロプロセッサシステムのデータ処理結果が一致していないときに、簡単化されたデータ処理によって得られた結果に近い結果に基づいて、データ処理操作とコントール機能が続けられる。勿論、このような処理はあらゆる場合に合目的である。というのは、故障に基づいて偶然の結果が生じるときに、このような設計が問題につながり得るからである。従って、上述のように、両主マイクロプロセッサシステムを順々に不活動化し、それによってエラーを含むシステムを検出することが安全である。
本発明の他の実施形では、不一致があるときに、単位時間あたりの偏差の程度または不一致の数に依存して、所定のコントロール機能またはシステム機能が停止され、“安全上重要な”コントロール操作とシステム機能と、安全上“重要でない”コントロール操作およびシステム機能が区別される。
本発明の他の詳細、効果および用途は、本発明の実施の形態に基づく次の記載から明らかである。添付の図は本発明によるマイクロプロセッサ装置の原理的な構造を概略的に示している。
図から推察されるように、本発明によるマイクロプロセッサ装置は３つのマイクロプロセッサシステム（マイクロプロセッサ系）４，５，６（ＭＰ１，ＭＰ２，ＭＰ３）を備えている。このマイクロプロセッサシステムはバスシステム、図示した実施の形態では環状バス１，２，３によって、互いに接続されている。環状バス１，２，３の代わりに星状バスを用いることができる。
図示において“ＥＳ”によって入力信号が示してある。この入力信号はバスを経てマイクロプロセッサ４（ＭＰ１）に供給される。ＡＢＳ，ＡＳＲ，ＦＢＶ等を備えた車両制御装置の場合、第１のマイクロプロセッサ４（ＭＰ１）には入力信号として、個々の車輪の回転状態を示すセンサ信号が供給される。（ＧＭＲ，ＦＤＲまたはＡＳＭＳと呼ばれる）走行安定性制御のためには、ヨー角、ヨー角速度、操舵角、ブレーキ圧力等に関する付加的な情報が必要である。これらの情報は適当なセンサによって得られるかあるいは可能である場合には既存の情報、特に車輪センサ情報から、演算によって決定することができる。これらの付加的なセンサと情報は図示ではセンサユニット７によって示してある。このセンサユニットは本実施の形態ではヨー角センサＧ、操舵角センサＬＭおよび圧力センサＰを備えている。この場合、センサユニット７の出力信号は両マイクロプロセッサシステムＭＰ２，ＭＰ３に平行に供給される。図示していない他の実施の形態では、これらの情報のための信号処理（信号調節）システムは同様に入力マイクロプロセッサシステム４（ＭＰ１）にインストールされている。
本発明によるマイクロプロセッサ装置の場合には、完備した２つのマイクロプロセッサシステム５，６（ＭＰ２，ＭＰ３）で冗長データ処理が行われる。本実施の形態では、マイクロプロセッサ装置はアンチロックコントロール（ＡＢＳ）、トラクションスリップコントロール（ＡＳＲ）、ブレーキ力分配コントロール（ＥＢＶ）および走行安定性コントロール（ＡＳＭＳ；自動安定性管理システム）のために役立つ。
ＭＰ２，ＭＰ３と異なり、簡単化されたシステムで構成された第３のマイクロプロセッサシステムＭＰ１では、特に入力信号の調節および処理（ＳＣ）が行われる。更に、このマイクロプロセッサシステムは、“シミュレーション”ａｂｓ，ａｓｒ，ｅｂｖ（ａｓｍｓ）、すなわち両マイクロプロセッサシステムＭＰ２，ＭＰ３にインストールされたコントロールシステムＡＢＳ，ＡＳＲ，ＥＢＶを含んでいる。“ａｓｍｓ”はＭＰ１では括弧に入れられている。なぜなら、この本実施の形態では、このコントロールシステムが安全上の理由から専ら対称冗長性によって監視され、簡単化されたアルゴリズムを有するシミュレーションによって監視されていないからである。しかしながら、安定性システム（ＡＳＭＳ）の少なくとも若干の機能を非対称冗長性によって監視することができる。
図示では更に、本発明にとって重要な冗長要素または比較器８，９，１０が象徴的に示してある。回路８では両主マイクロプロセッサシステムＭＰ２，ＭＰ３の最終結果およびまたは中間結果が一致しているかどうか比較される。この監視はいわゆる“対称”冗長性に基づいている。不一致であると、あるいは冗長要素８に供給されたデータ処理結果が完全に一致していないと、安全上重要なデータ、コントロール機能またはシステム機能であるときには、全体のコントロールが停止される。これは接点１１で示してある。この接点は比較される信号が完全に一致しているときにのみ開放されるかまたは閉鎖される。
比較器または冗長要素９，１０によって更に、主マイクロプロセッサシステム２，３のデータ処理結果（最終結果およびまたは中間結果）が、簡単化されたアルゴリズムに基づいて得られたデータ処理最終結果と一致しているかどうかあるいは妥当であるかどうかが監視される。比較器９では、マイクロプロセッサシステムＭＰ２の結果または作用のチェックが行われ、比較器１０ではマイクロプロセッサシステムＭＰ３のチェックが行われる。回路１２から回路（９，１０）に通じる破線で示したデータ導線１３は、妥当性のこのチェックが機能上重要なデータについて行われ、安全上重要なデータまたは主マイクロプロセッサシステム５，６（ＭＰ２，ＭＰ３）の安全上重要なコントロール機能またはシステム機能については行われないことを意味している。勿論、安全上重要な機能と機能的に重要な機能とあまり重要でない機能とを区別し、これに相応して安全性の概念に段階をつける（バランスをとる）ためには多彩な方法がある。例えば、あまり重要でない誤動作の繰り返し発生は、安全上非常に危険であると評価され、停止につながる。
本発明の有利な実施の形態では、機能上重要で安全上重要でないエラーの発生時に、回路１２と比較器９，１０を介してエラーが突き止められる。そのために、マイクロプロセッサシステムＭＰ２，ＭＰ３が順々に働かなくなり、比較器９，１０のデータ処理結果の一致または妥当性が確認されると、コントロール機能が少なくとも予め設定した時間または所定の結果まで、例えば現在のコントロールサイクルの終了まで続けられる。
安全上重要な機能のための一例は、走行安定性コントロール（ＡＳＭＳ）の際のブレーキ操作の開始である。“不当な”ブレーキング介入は安全上の理由から避けなければならない。このような場合、比較器８によって不一致が確かめられると、ＡＳＭＳは機能を停止される。本実施の形態の場合更に、エラーが第３のマイクロプロセッサシステム４（ＭＰ１）によって突き止められ、正常なマイクロプロセッサシステムＭＰ２またはＭＰ３によって演算されたデータがマイクロプロセッサシステムＭＰ１による、簡単化された対数に基づくチェックに耐えるときに、このデータに基づくＡＢＳブレーキングが許容される。
従って、本発明によるマイクロプロセッサ装置により、高い安全性レベルが達成可能である。一方では、走行安全性にとって重要なエラーがコントロールを停止することになる。他方では、比較的に重要でない他の誤動作の場合、コントロールは例えばコントロールの終了まで完全に続けられるかまたは制限されて続けられる。安全性概念のこの“段階付け”は特に、非常に異なるコントロール機能を組み合わせた複雑なコントロールシステムの場合に、顕著な利点がある。

Claims (5)

1. バスシステムによって互いに接続された複数のマイクロプロセッサシステムを備え、このマイクロプロセッサシステムがアンチロックコントロールシステムおよびまたはトラクションスリップコントロールシステムと複雑な演算を必要とする少なくとも１つの他のコントロールシステムおよび車輪の回転状態を示す入力信号の処理を行う入力信号調節システムを含み、エラーを認識するために、前記のコントロールシステムの演算を行うデータ処理の一部が複数のマイクロプロセッサシステムで冗長的に行われ、そのデータ処理の一部が更に、前記のコントロールシステムの演算の完全な実行と比べてソフトウェア技術に関して簡単化されたアルゴリズムでのコントロールシステムのシミュレーションを行う、車両コントロールシステムのためのマイクロプロセッサ装置において、マイクロプロセッサ装置が冗長的なデータ処理を実行する同種の２つの主マイクロプロセッサシステム（５，６）と第３のマイクロプロセッサシステム（４）を有し、入力信号調節と簡単化されたアルゴリズムによるシミュレーションが第３のマイクロプロセッサシステム（４）にインストールされ、主マイクロプロセッサシステム（５，６）で行われるデータ処理の出力結果およびまたは中間結果が、互いに一致しているかどうか比較されるとともに、簡単化されたアルゴリズムによるシミュレーションの出力結果およびまたは中間結果とそれぞれ比較され、妥当性がチェックされることを特徴とするマイクロプロセッサ装置。
2. 冗長的に処理されたデータの比較および妥当性チェックの際に、安全上重要性なデータと機能上重要なデータが区別されることを特徴とする請求項１記載のマイクロプロセッサ装置。
3. 二つの主マイクロプロセッサシステムで行われるデータ処理の出力結果およびまたは中間結果が互いに一致しないとき、マイクロプロセッサシステムで実行される全体の車両コントロールシステムが停止されるかあるいは少なくとも、一致していないデータに関連するコントールシステムが停止されることを特徴とする請求項２記載のマイクロプロセッサ装置。
4. 二つの主マイクロプロセッサシステムで行われるデータ処理の出力結果およびまたは中間結果が互いに一致しないときに、両主マイクロプロセッサシステム（５，６）のデータと、第３のマイクロプロセッサシステム（４）の簡単化されたアルゴリズムによるシミュレーションの結果とを個別的に比較することにより、不良の主マイクロプロセッサ（５または６）が確かめられ、マイクロプロセッサシステムで実行されていたコントロールシステムが正常な主マイクロプロセッサシステム（５または６）と第３のマイクロプロセッサシステム（４）によって完全に続けられるかまたは制限されて続けられることを特徴とする請求項２記載のマイクロプロセッサ装置。
5. 不一致があるときに、単位時間あたりの不一致の程度または数に依存して、マイクロプロセッサシステムで実行されていた所定のコントロールシステムが停止され、安全上重要なコントロールシステムと、安全上重要でなく機能上重要なコントロールシステムとが区別されることを特徴とする請求項１〜４のいずれか一つに記載のマイクロプロセッサ装置。

Images