JP5295251B2 - 給電電圧監視されるマイクロコントローラを有する車両制御ユニット、および関連の方法 - Google Patents

Description

本発明は、複数のアナログ給電電圧が印加されるマイクロコントローラと該マイクロコントローラの動作を監視するための監視ユニットとを有する車両制御ユニットに関する。

たとえば機関制御装置、トランスミッション制御装置、自動車のシャーシ領域内のコントロールユニット等の車両電子制御装置において使用される比較的新しいマイクロコントローラ（μＣ）はそれぞれ、同時に複数の給電電圧によって、たとえば１．５Ｖおよび３．３Ｖで給電される。これらの給電電圧が十分に安定的である場合、すなわち該給電電圧の定義された公差帯域内に留まる場合に、各マイクロコントローラが欠陥無しで適正に動作すること、とりわけ各マイクロコントローラ上で動作するアプリケーションないしは計算プロシージャが欠陥無しで適正に動作および実行していることが保証される。このことは、電圧監視によって連続的に検査される。従来は、この電圧監視を行うための専用のハードウェア電圧監視装置を使用するのが典型的であった。このようなハードウェア電圧監視装置は実用的にはいわゆる「ウォッチドッグ」と称され、十分な精度で動作するハードウェア電圧監視装置の場合には、これは比較的高コストになり、このような電圧監視装置はハードウェア実装されるので、実用化する際には電圧監視装置のパラメータ化およびフレキシビリティは過度に制限されてしまうことが多い。

本発明の基礎となる課題は、専用に配属されハードウェアのみで実装された「ウォッチドッグ」を使用して監視するよりも簡単に複数のアナログ給電電圧を監視でき、かつ十分な動作確実性を実現できる、マイクロコントローラを備えた車両制御ユニットを提供することである。前記課題は、冒頭に述べた形式の車両制御ユニットでは次のような構成によって、すなわち、マイクロコントローラが該マイクロコントローラの複数のアナログ給電電圧をデジタル給電電圧に変換するためのＡ／Ｄ変換器を有し、該マイクロコントローラのこのデジタル給電電圧を監視するために、コンピュータ技術で保護される計算領域が該マイクロコントローラ内に設けられており、該計算領域において、複数の該デジタル給電電圧が所定の公差領域内にあるか否かが監視される構成によって解決される。

前記マイクロコントローラのコンピュータ技術で保護されたコンピュータ技術保護領域において１つまたは複数の閾値比較演算ないしは閾値演算プロシージャによって、該マイクロコントローラの複数のアナログ／デジタル変換された給電電圧が所定の固有の公差領域内にあるか否かが監視されることにより、ハードウェアモニタリングユニットを削減して十分な監視確実性で、該複数の給電電圧の所望される所定の電圧値を個別に、すなわち固有にコントロールないしは「モニタリング」することができる。マイクロコントローラの複数のアナログ給電電圧を電圧監視するための専用のハードウェアモニタユニットが無いにもかかわらず、アナログ給電電圧をＡ／Ｄ変換すなわちデジタル変換した後に「ソフトウェアによって監視」することにより、該マイクロコントローラのアナログ給電電圧が実際にどの程度安定的ないしはロバストに維持されているかの確実な情報を得ることができる。このような確実な情報を得るためにはとりわけ、このデジタル給電電圧をマイクロコントローラのコンピュータ技術保護領域において監視する。このことにより、デジタル変換された給電電圧測定値の評価誤差が十分に回避される。このような診断確実性はとりわけ、高いアベイラビリティが必要とされる車両制御ユニットにおいて、すなわち走行運転中にフェールが発生するのを許容できない車両制御ユニットにおいて有利であり、たとえばエンジン制御部、トランスミッション制御部、または、たとえばシャーシ領域等の他のセーフティ関連の制御装置等において有利である。純粋なハードウェア「ウォッチドッグ」による手法と比較して、マイクロコントローラの保護された計算領域においてデジタル給電電圧のこのような「ソフトウェア監視」によって、監視確実性と車両制御ユニットのシステム全体のアベイラビリティとの適切なバランスないしは均衡を十分に保証できるようにするために、たとえば監視対象の給電電圧の遵守すべき公差領域ないしは公差帯域に関して、より高いフレキシビリティを実現することができる。

本発明はまた、車両制御ユニットのマイクロコントローラに印加される複数のアナログ給電電圧の監視方法にも関する。当該監視方法では、マイクロコントローラの動作を所属の監視ユニットによって監視し、該マイクロコントローラのＡ／Ｄ変換器によって、監視対象である前記複数のアナログ給電電圧をデジタル給電電圧に変換し、該マイクロコントローラのコンピュータ技術で保護された計算領域において、該デジタル給電電圧が所定の公差領域内にあるか否かを監視することを特徴とする。

従属請求項に本発明の他の実施形態が記載されている。

以下で、本発明とその有利な実施形態とを図面に基づき詳細に説明する。

本発明の車両制御ユニットの実施例を示す概略図である。 図１の制御ユニットの詳細として、該制御ユニットのマイクロコントローラと所属のハードウェア監視ユニットとの間の電圧接続を示す概略図である。

図１および２において、同じ機能および効果を有する要素にはそれぞれ同一の参照記号が付されている。

図１に、マイクロコントローラＭＣを備えた一例の車両制御ユニットＣＤの構成および動作を概略的に示す。本発明の監視コンセプトでは、このマイクロコントローラＭＣの複数のアナログ給電電圧ＶＣＣ１〜ＶＣＣｎの安定性を「モニタリング」ないしは監視する。すなわち、これらのアナログ給電電圧が許容範囲内の公差帯域すなわち事前定義された公差帯域内の個別に設定された電圧値を遵守しているか否かを検査する。前記車両制御ユニットはとりわけ、内燃機関を制御するための機関制御部によって構成される。動作監視を行うために、マイクロコントローラＭＣはバスシステムＢＵを介して、１つのハードウェア監視ユニットＭＵに結合されている。マイクロコントローラＭＣは入力側にアナログ／デジタル（略してＡ／Ｄ）変換器ＡＤＣ１を有する。これによって、評価すべき少なくとも１つのアナログの測定信号ＭＳ１のレベル経過を、対応するデジタル値ＤＳに変換することができる。測定信号ＭＳ１は有利には少なくとも１つの車両部品によって生成され、たとえば自動車のアクセルペダルによって生成され、マイクロコントローラＭＣのアナログ／デジタル変換器ＡＤＣ１へ供給される。このアナログ／デジタル変換器ＡＤＣ１から、生成されたデジタル値ＤＳが、後置されたレジスタＲＥへ出力されて一時記憶される。レジスタないしは一時メモリＲＥから、ここに一時バッファされたデジタル値が入出力インタフェース（Ｉ／Ｏインタフェース）ＩＦへ伝送される。このデジタル値は、図１ではＤＳ^＊によって示されている。Ｉ／Ｏインタフェースは、周辺コンポーネントと、マイクロコントローラＭＣのオペレーティングソフトウェアや処理ソフトウェアが実装された該マイクロコントローラＭＣの機能コンピュータＳＴとの間のインタフェースとして機能する。機能コンピュータＳＴは、コンピュータ監視のためにいわゆるＬ３レベルないしはＬ３層ＬＬ３を有する。コンピュータ監視とは本願では、マイクロコントローラＭＣのソフトウェア構造およびハードウェア構造の適正な共働に関し、このソフトウェア構造およびハードウェア構造のトポロジは、機能コンピュータ（コンピュータカーネル、ＲＡＭ／ＲＯＭ内の該当する領域）の誤動作を識別するために設けられている。機能コンピュータ内では一般的に、メモリモジュールＲＡＭ／ＲＯＭの監視を少なくとも走行サイクルごとに１回、エンジン始動（初期化または先行のNachlauf）前に行うのが好適である。とりわけエラーが発見された場合には、エンジン始動を初期化時に必ず再度行う。（ソフトウェア制御される場合）エンジン始動ないしはエンジンの各シリンダにおける燃焼は有利には、検査終了後に初めて、エラー無しの状態の場合に行われる。Ｌ３層ＬＬ３はとりわけ２つの基本的要素を有する。第１の基本的要素は、機能コンピュータＳＴ内の監視ソフトウェアＥ３によって構成される。この監視ソフトウェアＥ３はインタフェースＳＥ３を介して、マイクロコントローラＭＣに物理的に依存しない第２の基本的要素である監視ユニットＭＵと通信する。監視ユニットないしは監視モジュールＭＵは有利には別個のハードウェアユニットによって構成される。この監視ユニットは、マイクロコントローラＭＣの機能コンピュータＳＴの動作監視に使用される。とりわけ、監視モジュールＭＵは監視コンピュータとして構成されている。監視モジュールＭＵは、マイクロコントローラＭＣの機能コンピュータＳＴ内の監視ソフトウェアＥ３に対し、有利には周期的に複数の異なる問い合わせの中から１つの問い合わせを行い、該機能コンピュータＳＴがそのつど伝送された問い合わせに基づいて計算した周期的なチェック結果の受信を監視し、該チェック結果を評価して、エラー時には該機能コンピュータＳＴのエラー応答を開始させる。監視モジュールＭＵは有利には、ＡＳＩＣまたはコンピュータとして構成することができる。監視モジュールＭＵは、前記機能コンピュータＳＴのコンピュータ技術的な実行を動作コントロールないしはモニタリングするためにいわゆる「ウォッチドッグ」として機能する。機能コンピュータＳＴの計算動作のこのようなモニタリングを実施する監視モジュールＭＵの計算／論理ユニットは、図１ではブロックＣＦＵによって示されている。詳細には、この計算／論理ユニットＣＦＵから機能コンピュータＳＴ内のＬ３層ＬＬ３までＳＰＩ通信すなわち「シリアルペリフェラルインタフェース（Serial Peripheral Interface）通信」が行われ、インタフェースＳＥ３を介してデータ伝送を行う際にチェックサム（"ＣＫＳ"）検査、いわゆるヘッダコントロール、タイマアウトコントロール、「プログラムフローモニタリング」すなわちプログラム実行コントロール、論理監視、機能固有の命令セットテスト（"ＦＳ‐ＩＳＴ"＝"function specific instruction set test"）が実行される。つまり一般的に言うと、監視モジュールＭＵの論理ユニットＣＦＵを使用して、機能コンピュータＳＴの計算プロセスを時限方式かつ内容的に監視する。独立した監視モジュールＭＵと機能コンピュータＳＴのＬ３レベルＬＬ３内の監視ソフトウェアＥ３との共働を、いわゆる問い合わせ応答通信と称する。このような問い合わせ応答通信ではとりわけ、機能コンピュータ内の複数のテストパスが処理される。各テストパスが、問い合わせに依存し正確に定義された部分結果の数値を出力する。この部分結果を結合することにより全結果数値（検査結果）が得られ、通信インタフェースないしはインタフェースＳＥ３を介して監視モジュールＭＵへ伝送される。機能コンピュータＳＴ内の監視ソフトウェアＥ３は監視モジュールＭＵ内の論理ユニットＣＦＵに対し、適正な応答によって、動作にコンピュータ技術的にエラーが無いことをシグナリングする。

機能コンピュータＳＴのＬ３層ＬＬ３内のこのような監視ソフトウェアＥ３によって、ここで、コンピュータ技術で保護された計算領域ＬＬ２を設けることができる。機能コンピュータＳＴのこのコンピュータ技術保護領域ＬＬ２内で、とりわけセーフティ関連の機能性を計算することができる。

このコンピュータ技術保護計算領域ＬＬ２およびコンピュータ監視レベルＬＬ３は有利には、ガソリンエンジンおよびディーゼルエンジンの標準化されたエミッションガス監視構想に拠るいわゆるＬ２層およびＬ３層によって構成される。

別のハードウェア監視モジュールないしは「ウォッチドッグ」を使用せずに、すなわち、機能コンピュータＳＴをコンピュータ技術的に動作コントロールするためにいずれにせよ既存の監視ユニットＭＵを使用することによって、マイクロコントローラＭＣの複数のアナログ給電電圧ＶＣＣ１〜ＶＣＣｎが遵守すべき電圧値に関して該アナログ給電電圧ＶＣＣ１〜ＶＣＣｎの安定性を監視できるようにするためには、該アナログ給電電圧ＶＣＣ１〜ＶＣＣｎをマイクロコントローラＭＣのアナログ／デジタル変換器ＡＤＣ１の少なくとも１つの入力ポートに印加してデジタル給電電圧に変換する。その後、このデジタル給電電圧を機能コンピュータＳＴの保護された計算領域ＬＬ２において評価し、該デジタル給電電圧が、定義された公差帯域内の所定のデジタル電圧値に相応するか否かを監視する。マイクロコントローラの機能コンピュータのコンピュータ技術的に保護された領域内で１つまたは複数の閾値比較プロシージャを使用して、該マイクロコントローラの複数のアナログ／デジタル変換された給電電圧が許容範囲外の偏差を生じることなく所望のデジタル電圧値を遵守しているか否かを監視することにより、複数のアナログ給電電圧のコントロールないしはモニタリングを付加的なハードウェア監視ユニット無しで、十分な診断確実性で個別に、すなわち固有に行うことができる。マイクロコントローラの複数のアナログ給電電圧を電圧監視するための専用のハードウェアモニタユニットが無いにもかかわらず、アナログ給電電圧をＡ／Ｄ変換すなわちデジタル変換した後にソフトウェア監視することにより、該マイクロコントローラのアナログ給電電圧が実際にどの程度安定的ないしはロバストに維持されているかの確実な情報を得ることができる。とりわけ、このデジタル給電電圧を機能コンピュータＳＴのコンピュータ技術保護領域ＬＬ２において監視することにより、デジタル変換された給電電圧測定値の評価誤差が十分に回避される。このような診断確実性はとりわけ、高いアベイラビリティが必要とされる車両制御ユニットにおいて、すなわち走行運転中にフェールが発生するのを許容できない車両制御ユニットにおいて有利であり、たとえばエンジン制御部、トランスミッション制御部、または、たとえばシャーシ領域等の他のセーフティ関連の制御装置等において有利である。純粋なハードウェアないしは「ウォッチドッグ」による手法と比較して、マイクロコントローラの保護された計算領域においてデジタル給電電圧のこのような「ソフトウェア」監視によって、監視確実性と車両制御ユニットのシステム全体のアベイラビリティとの適切なバランスないしは均衡を十分に保証できるようにするために、たとえば監視対象の給電電圧の遵守すべき公差領域ないしは公差帯域に関して、より高いフレキシビリティを実現することができる。

ここで図１の実施例では、３つの給電電圧ＶＣＣｉがマイクロコントローラＭＣのアナログ／デジタル変換器ＡＤＣ１の少なくとも１つの入力端に印加される。ここでは、ｉ＝１，２，３である。詳細には、給電電圧ＶＣＣ１＝３．３Ｖであり、給電電圧ＶＣＣ２＝１．５Ｖであり、給電電圧ＶＣＣ３＝１．５Ｖである。

マイクロコントローラＭＣのアナログ／デジタル変換器ＡＤＣ１には基準電圧ＲＶ１が印加され、この基準電圧ＲＶ１によって、出力される２つのデジタル値間の間隔が決定される。したがって、基準電圧がたとえば２．５Ｖである場合、８ビットＡ／Ｄ変換器では、２つの連続するデジタル符号語間の間隔は２．５Ｖ／２５６＝０．０１Ｖになる。アナログ／デジタル変換器の基準電圧によって、アナログ／デジタル変換器の表現できる符号語（＝デジタル値）のレベル幅ひいては値領域のスケーリングが決定される。この実施例では、アナログ／デジタル変換器ＡＤＣ１の基準を基準電圧ＲＶ１＝２．５Ｖでとることも、基準電圧ＲＶ１^＊＝３．３Ｖでとることもできる。一般的に表現すると、マイクロコントローラＭＣのアナログ／デジタル変換器ＡＤＣ１を少なくとも２つの異なる基準電圧ＲＶ１によって動作させることができる。すなわち、Ａ／Ｄ変換器ＡＤＣ１のアナログ／デジタル変換の基準を、少なくとも２つの異なる基準電圧値とすることができる。ここではたとえばＲＶ１＝２．５ＶであるＡ／Ｄ変換器ＡＤＣ１の第１の基準電圧値は有利には、専用に配属されたハードウェアモニタユニットによって直接または間接的にハードウェア監視される。このハードウェアモニタユニットは図１の実施例では、ハードウェア監視ユニットＭＵの給電電圧ＶＣＭの電圧監視に使用されるコントロールユニットＭＯＶによって構成される。この詳細を図２において、概略的に拡大表示する。固有のハードウェアモニタユニットＭＯＶによってハードウェア監視される監視ユニットＭＵの給電電圧ＶＣＭは少なくとも１つの分圧器ＶＤを介して、マイクロコントローラのＡ／Ｄ変換器ＡＤＣ１に所望の第１の基準電圧値を供給する。この第１の基準電圧値は、ここではＲＶ１＝２．５Ｖである。このようにして、このＡ／Ｄ変換器ＡＤＣ１の第１の基準電圧値は間接的に、ハードウェアによって電圧監視され、Ａ／Ｄ変換器ＡＤＣ１に印加された基準電圧値ＲＶ１がこの２．５Ｖの電圧値を、予め定義された公差領域内で確実に維持することを保証することができる。このハードウェアで保護された基準電圧値を基準として、機能コンピュータＳＴのコンピュータ技術的に保護された領域ＬＬ２において次のことを、すなわち、Ａ／Ｄ変換器ＡＤＣ１がこの保護された基準電圧ＲＶ１＝２．５Ｖに対して、安定性コントロールのために入力側に印加されたアナログ給電電圧ＶＣＣ１〜ＶＣＣｎで出力したデジタル値ＤＳが所定の公差領域ＴＢ１，ＴＢ２内にあるか否か、たとえばここではＶＣＣ１＝３．３ＶおよびＶＣＣ２＝１．５Ｖで出力したデジタル値が所定の公差領域ＴＢ１，ＴＢ２内にあるか否かを、高信頼性で検査することもできる。図１では、それぞれ印加されたアナログ給電電圧ＶＣＣｉとそれぞれＡ／Ｄ変換器ＡＤＣ１に印加された基準電圧ＲＶ１との組合せを＠記号で示す。機能コンピュータＳＴのコンピュータ技術的に保護された層ＬＬ２において、多数の給電電圧ＶＣＣｉのデジタル値ＤＳが、監視すべき２つの給電電圧ＶＣＣ１，ＶＣＣ２の所定の公差領域内にあるか否か、ここではたとえばＶＣＣ１，ＶＣＣ２がＴＢ１，ＴＢ２内にあるか否かを監視する。このことは図１において、ブロックＢＬ内の∈記号によって示されている。

Ａ／Ｄ変換器ＡＤＣ１の基準を第２の基準電圧値ＲＶ１^＊＝３．３Ｖとすると、別のハードウェア保護を行うことなく、第１の基準電圧値ＲＶ１＝２．５Ｖならびに第２の基準電圧値ＲＶ１^＊＝３．３Ｖを基準としてＡ／Ｄ変換器ＡＤＣ１にたとえばＶＣＣ２＝１．５Ｖ等の同一のアナログ給電電圧を印加して、得られたデジタル値を機能コンピュータＳＴのコンピュータ技術で保護された領域ＬＬ２において相互に比較することにより、すなわち相互に関連づけることにより、この基準電圧値ＲＶ１^＊＝３．３Ｖの安定性を検査することができる。たとえばＶＣＣ２＝１．５Ｖ等である同一の給電電圧で２つの異なる基準電圧値ＲＶ１＝２．５ＶおよびＲＶ１^＊＝３．３Ｖに対して得られた両デジタル値間の比が、これら２つの異なる基準電圧値ＲＶ１＝２．５ＶおよびＲＶ１^＊＝３．３Ｖ間の比と等しい場合、機能コンピュータＳＴのＬＬ２層の検査の結果は、Ａ／Ｄ変換器ＡＤＣ１はこの保護されていない第２の基準電圧ＲＶ１^＊＝３．３Ｖに対しても適正に、すなわち正確に動作しているということになる。すなわちＬＬ２層において、ここではたとえばＶＣＣ２＝１．５Ｖ等である同一の給電電圧が印加された場合にＡ／Ｄ変換器ＡＤＣ１が異なる２つの基準電圧ＲＶ１＝２．５ＶおよびＲＶ１＝３．３Ｖで生成したデジタル値間の関係が、印加される基準電圧ＲＶ１＝２．５ＶとＲＶ１^＊＝３．３Ｖとの間の比と等しいか否かがチェックないしは妥当性検査される。このようにして、Ａ／Ｄ変換器ＡＤＣ１の保護されていない第２の基準電圧ＲＶ１＝３．３Ｖを機能コンピュータＳＴのＬＬ２層内の比較演算によって、簡単に高信頼性で精度検査することができる。ＬＬ２層において実施される電圧検査の全体は図１において、この実施例ではブロックＢＬにおいて示されている。

マイクロコントローラＭＣのＡ／Ｄ変換器ＡＤＣ１の値領域全体の動作検査をするためには、機能コンピュータＳＴのＬＬ２層において別の比較演算が行われるのが好適である。こうするためには、動的に変化する基準信号ＲＳがマイクロコントローラＭＣの第１のＡ／Ｄ変換器ＡＤＣ１の入力端に印加され、該第１のＡ／Ｄ変換器ＡＤＣ１に、ハードウェア保護されている基準電圧ＲＶ１＝２．５Ｖが印加され、なおかつ、第１のＡ／Ｄ変換器ＡＤＣ１に対して冗長的に設けられた第２のアナログ／デジタル変換器に、動的に変化する同じ基準信号ＲＳが印加される。この第２のアナログ／デジタル変換器はとりわけ、監視ユニットＭＵのアナログ／デジタル変換器ＡＤＣ２によって構成される。この冗長的なＡ／Ｄ変換器ＡＤＣ２に、保護されていない基準電圧ＲＶ２＝３．３Ｖが印加される。これによって、機能コンピュータＳＴの保護された計算領域ＬＬ２へ基準信号ないしは試験信号ＲＳのデジタル値が、保護された基準電圧ＲＶ１で動作するマイクロコントローラＭＣのＡ／Ｄ変換器ＡＤＣ１から供給され、基準信号ＲＳのデジタル値が機能コンピュータＳＴの保護された計算領域ＬＬ２へ、保護されていない基準電圧ＲＶ２で動作する監視ユニットＭＵのＡ／Ｄ変換器ＡＤＣ２から供給されて、相互比較される。保護された基準電圧ＲＶ１を基準にとるＡ／Ｄ変換器ＡＤＣ１によって基準信号ないしは試験信号ＲＳに対して生成されるデジタル値と、保護されていない基準電圧ＲＶ２を基準にとる第２のＡ／Ｄ変換器ＡＤＣ２とによって同じ基準信号ないしは試験信号ＲＳに対して生成されるデジタル値とが所定の公差限界内にあり、これら２つのデジタル値の相互間の比が基準電圧値ＲＶ１，ＲＶ２間の比と等しい場合、機能コンピュータＳＴのＬＬ２層の検査結果は、マイクロコントローラＭＣのＡ／Ｄ変換器ＡＤＣ１が個々の点で欠陥無しで動作するだけでなく、ダイナミクス領域全体にわたって欠陥無しで動作していることになる。したがって、このような検査を行うためには、上記の相互比較による簡単な妥当性テストで十分である。そうでない場合には、マイクロコントローラＭＣのＡ／Ｄ変換器ＡＤＣ１が誤動作していることになる。

まとめて考察すると、マイクロコントローラに印加される複数の給電電圧の安定性を監視するために、該マイクロコントローラの機能コンピュータのコンピュータ技術で保護される動作領域を設け、この動作領域を使用して、アナログ給電電圧のアナログ／デジタル変換によって生成されたデジタル値が、固有に割り当てられた許容可能な公差帯域内にあるか否かを監視する。マイクロコントローラにおいてこのようなコンピュータ技術で保護された動作領域を生成するためには、とりわけ以下の構成要素が好適である：
・安定性を監視すべきアナログ給電電圧を、マイクロコントローラの機能コンピュータ内の順序論理回路によって処理できるデジタル値に変換するために構成され、「モニタリング」ないしは基準電圧監視されるＡ／Ｄ変換器。とりわけ、この順序論理回路をソフトウェアによって実装することができる。

・エラーを有する基準量によって外部からＡ／Ｄ変換部にエラー入力が行われるのを回避するために構成された、Ａ／Ｄ変換器およびマイクロコントローラのＡ／Ｄ変換に使用される「モニタリング」すなわちハードウェア電圧監視される基準電圧。

マイクロコントローラの機能コンピュータ内のコンピュータ技術で保護される計算。このコンピュータ技術による保護はとりわけ、機能固有の命令セット、順序監視および／または周期的なＲＡＭ／ＲＯＭテストを含むことができる。

・マイクロコントローラの「リセット」を行うための少なくとも１つのトリガユニット。マイクロコントローラのアナログ給電電圧が該アナログ給電電圧に固有に割り当てられた所定の公差領域ないしは公差帯域外になり、たとえばＴＢ１，ＴＢ２から外れ、マイクロコントローラが欠陥無しで動作できなくなった場合、このトリガユニットによって、マイクロコントローラを安全な状態にしてエラーから回復させることができる。

機能コンピュータＳＴのコンピュータ技術で保護された環境では、有利には次のシーケンスが実装される：
・デジタル給電電圧を読み出すシーケンス
・そのつど監視すべき給電電圧のデジタル値が、各給電電圧が十分に安定的であると見なされる所定の公差領域内または計算された公差領域内にあるか否かを検査するために閾値比較を実施するシーケンス
・電圧デバウンス（「potential debouncing」）後に、そのつど監視すべき給電電圧が所定の公差領域から偏差しているのが発見ないしは確認された場合、すなわち固有に割り当てられた上側閾値または下側閾値を上方向または下方向に超えた場合、場合によっては適切なエラー解消手段をトリガするシーケンス。
・１つより多くの給電電圧を監視する場合には、マイクロコントローラのアナログ／デジタル変換器の基準を複数の異なる基準電圧でとるのが好適である。このことによって改善されたＡ／Ｄ変換器の値領域のスケーラビリティにより、Ａ／Ｄ変換器の検出能力すなわちＡ／Ｄ変換器の精度を上昇させることができる。

このようにして、マイクロコントローラの複数の給電電圧の安定性を、１つのハードウェアだけで保護された基準電圧によって監視することができ、その際には、マイクロコントローラの監視すべき各給電電圧ごとに固有のハードウェアモニタリングユニットを設ける必要はない。監視すべきアナログ給電電圧に対応するデジタル値をマイクロコントローラの機能コンピュータのコンピュータ技術で保護された動作領域において評価し、デジタル値が所定の固有に割り当てられた公差領域内にあるか否かを検査することにより、アナログ給電電圧の偏差を検出することができる。

長時間安定性を監視すべき給電電圧のデジタル値に閾値比較を施す際、マイクロコントローラの誤計算が、発見されないエラーを生じさせる原因となる可能性があり、このような誤計算はＬ３層ＬＬ３のコンポーネントによって検出される。ＲＯＭエラーまたはＲＡＭエラーは、有利には周期的に検出される。比較機能が「生きている」こと、すなわち起動していることと周期的に繰り返されていることとは、プログラムシーケンスをモニタリングすることによって検査される。機能コンピュータ内の命令処理は、１つまたは複数の機能固有の命令セットによって検査される。たとえばコードコピーをテスト計算として使用するか、または実際の計算をアセンブラレベルで実行することができる。Ａ／Ｄ変換器によって行われる信号処理のエラーは、Ａ／Ｄ変換器を監視することによって検出することができる。

マイクロコントローラの複数の給電電圧を監視するためのこのようなコンセプトは、とりわけ以下の利点を有する：
・前記コンセプトを、たとえばガソリンエンジンおよびディーゼルエンジンの標準化されたエミッションガス監視コンセプト等の既存のモニタリングコンセプトに組み込むことができる。

・マイクロコントローラの監視すべき各アナログ給電電圧ごとに専用のハードウェアモニタリングユニットを設けてハードウェア上の手間を増大する必要はない。このことにより、開発作業および生産コストが削減される。

・マイクロコントローラの複数のアナログ給電電圧を電圧監視するための専用の外部のハードウェアモニタユニットが無いにもかかわらず、機能コンピュータのコンピュータ技術で保護される領域においてアナログ給電電圧をＡ／Ｄ変換した後に「ソフトウェアによって監視」することにより、該マイクロコントローラのアナログ給電電圧が実際にどの程度安定的ないしはロバストに維持されているかの確実な情報を得ることができる。このような確実な情報を得るためにはとりわけ、このデジタル給電電圧をマイクロコントローラのコンピュータ技術保護領域において監視する。このことにより、デジタル変換された給電電圧測定値の評価誤差が十分に回避される。このような診断確実性はとりわけ、高いアベイラビリティが必要とされる車両制御ユニットにおいて、すなわち走行運転中にフェールが発生するのを許容できない車両制御ユニットにおいて有利であり、たとえばエンジン制御部、トランスミッション制御部、または、たとえばシャーシ領域等の他のセーフティ関連の制御装置等において有利である。すなわち一般的に言うと、多くの実用化ケースにおいて車両制御ユニット全体の十分な信頼性が十分に保証される。

・純粋なハードウェア「ウォッチドッグ」による手法と比較して、マイクロコントローラの保護された計算領域においてデジタル給電電圧のこのような「ソフトウェア監視」によって、監視確実性と車両制御ユニットのシステム全体のアベイラビリティとの適切なバランスないしは均衡を十分に保証できるようにするために、たとえば監視対象の給電電圧の遵守すべき公差領域ないしは公差帯域に関して、より高いフレキシビリティを実現することができる。

・とりわけ、付加的なハードウェアの手間を必要とすることなく、上記の監視コンセプトをＶＤＡ推奨の３レベルＥＴＣモニタリングコンセプト内で実現することができる。

マイクロコントローラＭＣが複数のアナログ／デジタル変換器を有する場合、好適には、監視すべきすべての入力信号を、基準電圧がハードウェアで電圧監視されるアナログ／デジタル変換器に供給する。このことに対して択一的に、同一の試験信号で複数の異なるアナログ／デジタル変換器から出力されたデジタル値のうち、電圧が保護された１つのＡ／Ｄ変換器を基準として使用して、該デジタル値の相互比較を実施する。これらの異なるアナログ／デジタル変換器が欠陥無しで機能している場合、１つの同じ試験信号でこれらの異なるアナログ／デジタル変換器によって出力されたデジタル値の比は、基準電圧の相互間の比に等しくなる。そうでない場合にはこのことは、Ａ／Ｄ変換器のうち１つが機能していないか、または欠陥無しで動作していないことを示唆する。

Claims (6)

1. 複数のアナログ給電電圧（ＶＣＣ１〜ＶＣＣｎ）が印加されるマイクロコントローラ（ＭＣ）と、該マイクロコントローラ（ＭＣ）の動作を監視するための監視ユニット（ＭＵ）とを備えた車両制御ユニット（ＣＤ）であって、
   前記マイクロコントローラ（ＭＣ）は、前記複数のアナログ給電電圧（ＶＣＣ１〜ＶＣＣｎ）をデジタル給電電圧に変換するためのＡ／Ｄ変換器（ＡＤＣ１）を有し、
   前記デジタル給電電圧を監視するために、前記マイクロコントローラ（ＭＣ）内にコンピュータ技術で保護される計算領域（ＬＬ２）が設けられ、
   前記コンピュータ技術で保護される計算領域（ＬＬ２）において、前記デジタル給電電圧が所定の公差領域（ＴＢ１，ＴＢ２）内にあるか否かが監視される車両制御ユニットにおいて、
   前記マイクロコントローラ（ＭＣ）の前記Ａ／Ｄ変換器（ＡＤＣ１）の値領域全体の動作を監視するために、前記監視ユニット（ＭＵ）は冗長的なＡ／Ｄ変換器（ＡＤＣ２）を有し、
   前記冗長的なＡ／Ｄ変換器（ＡＤＣ２）の入力端に、前記Ａ／Ｄ変換器（ＡＤＣ１）の入力端に印加される基準信号と同じ、車両コンポーネントの動的に変化する基準信号（ＲＳ）が印加され、
   前記コンピュータ技術で保護された計算領域（ＬＬ２）に、ハードウェア保護される基準電圧（ＲＶ１）で動作するＡ／Ｄ変換器（ＡＤＣ１）から前記基準信号（ＲＳ）のデジタル値が供給され、かつ、ハードウェア保護されない基準電圧（ＲＶ２）で動作する前記監視ユニット（ＭＵ）の前記冗長的なＡ／Ｄ変換器（ＡＤＣ２）から前記基準信号（ＲＳ）のデジタル値が相互比較のために供給され、
   前記同じ基準信号（ＲＳ）に対する前記Ａ／Ｄ変換器（ＡＤＣ１）のデジタル値と前記冗長的なＡ／Ｄ変換器（ＡＤＣ２）からのデジタル値との比が、前記基準電圧（ＲＶ１，ＲＶ２）間の比と比較して所定の公差限界外にある場合、当該マイクロコントローラが安全な状態にされる、ことを特徴とする車両制御ユニット。
2. 前記コンピュータ技術で保護された計算領域（ＬＬ２）は、ガソリンエンジンおよびディーゼルエンジンの標準化されたエミッションガス監視コンセプトに拠るＬ２層（Ｌ２）である、請求項１記載の車両制御ユニット。
3. 前記監視ユニット（ＭＵ）の給電電圧（ＶＣＭ）に対してのみ専用に、電圧監視のための固有のハードウェアモニタユニット（ＭＯＶ）が設けられている、請求項１または２記載の車両制御ユニット。
4. 前記固有のハードウェアモニタユニット（ＭＯＶ）によってハードウェア監視される前記監視ユニット（ＭＵ）の給電電圧（ＶＣＭ）は、少なくとも１つの分圧器（ＶＤ）を介して前記Ａ／Ｄ変換器（ＡＤＣ１）に、所望の基準電圧（ＲＶ１）を供給する、請求項３記載の車両制御ユニット。
5. 前記マイクロコントローラ（ＭＣ）のＡ／Ｄ変換器（ＡＤＣ１）は、複数の基準電圧（ＲＶ１）で動作できる、請求項１から４までのいずれか１項記載の車両制御ユニット。
6. 請求項１から５までのいずれか１項記載の車両制御ユニット（ＣＤ）のマイクロコントローラ（ＭＣ）に印加される複数のアナログ給電電圧（ＶＣＣ１〜ＶＣＣｎ）の監視方法であって、
   前記マイクロコントローラ（ＭＣ）の動作を所属の監視ユニット（ＭＵ）によって監視し、
   前記マイクロコントローラ（ＭＣ）のＡ／Ｄ変換器（ＡＤＣ１）によって、監視対象である前記複数のアナログ給電電圧（ＶＣＣ１〜ＶＣＣｎ）をデジタル給電電圧に変換し、
   前記マイクロコントローラのコンピュータ技術で保護された計算領域（ＬＬ２）において、前記デジタル給電電圧が所定の公差領域（ＴＢ１，ＴＢ２）内にあるか否かを監視する監視方法において、
   前記マイクロコントローラ（ＭＣ）の前記Ａ／Ｄ変換器（ＡＤＣ１）の値領域全体の動作が、前記監視ユニット（ＭＵ）の冗長的なＡ／Ｄ変換器（ＡＤＣ２）によって監視され、
   前記冗長的なＡ／Ｄ変換器（ＡＤＣ２）の入力端に、前記Ａ／Ｄ変換器（ＡＤＣ１）の入力端に印加される基準信号と同じ、車両コンポーネントの動的に変化する基準信号（ＲＳ）が印加され、
   前記コンピュータ技術で保護された計算領域（ＬＬ２）に、前記ハードウェア保護される基準電圧（ＲＶ１）で動作するＡ／Ｄ変換器（ＡＤＣ１）から前記基準信号（ＲＳ）のデジタル値が供給され、かつ、前記ハードウェア保護されない基準電圧（ＲＶ２）で動作する前記監視ユニット（ＭＵ）の前記冗長的なＡ／Ｄ変換器（ＡＤＣ２）から前記基準信号（ＲＳ）のデジタル値が相互比較のために供給され、
   前記同じ基準信号（ＲＳ）に対する前記Ａ／Ｄ変換器（ＡＤＣ１）のデジタル値と前記冗長的なＡ／Ｄ変換器（ＡＤＣ２）からのデジタル値との比が、前記基準電圧（ＲＶ１，ＲＶ２）間の比と比較して所定の公差限界外にある場合、当該マイクロコントローラが安全な状態にされる、
   ことを特徴とする監視方法。

Images