JP5698270B2 - パッシブ型安全回路 - Google Patents

Description

本発明は、パッシブ型安全回路に関する。

安全回路はたとえばクラッチトランスミッション、とりわけダブルクラッチトランスミッションの分野、およびより詳細にはパラレルマニュアルトランスミッション（ＰＳＧ）で使用される。

ＰＳＧ（パラレルマニュアルトランスミッション）はダブルクラッチトランスミッションである。トランスミッションハウジング内では、偶数段と奇数段が互いに噛み合ったシャフトに別個に支承されている。これら両シャフトは、同様に互いに切り換えられた２つのクラッチにより別個に結合される。ギヤチェンジの際にはまず、所望のギヤがクラッチの開放しているシャフトにシフトされる。その後、このクラッチは連続的に閉鎖され、他方のクラッチは同時に連続的に開放される。操作は選択的に電気モータまたは電気液圧式制御を介して行われる。

従来技術からすでに安全回路が公知である。このようなシステムはたとえば特許文献１に開示されている。ここではいわゆるアクチュエータが制御機器により監視され、エラーが識別された際には該当するアクチュエータが出力段の遮断により非作動にされる。これにより第２のアクチュエータが、たとえばこれがクラッチを開放する安全なシステム状態を再び形成することができるようになる。

この構成の欠点は、制御機器にエラーがある場合もしくはリセット状態の場合、または制御機器とアクチュエータとの接続にエラーがある場合に、監視を実行できないことである。この場合に２つのアクチュエータが遮断されることになると、安全なシステム状態に達することができなくなる。

ドイツ特許公開公報第１０２００８０６１５６４号

本発明の課題は、従来技術の欠点を回避し、システムの高い安全性に寄与する改善された安全回路を提供することである。

この課題は、通常のアクチュエータと比較して拡張された論理回路を備えたアクチュエータ内部の制御機器を有するスマートアクチュエータによって解決される。

クラッチを操作するためのこのような本発明のスマートアクチュエータは、アクチュエータ内部の制御機器と、上位の制御機器に接続するための通信インタフェースと、該上位の制御機器に接続するための少なくとも１つのデータ線路とを有する。さらにスマートアクチュエータは、上位の制御機器および／または割り当てられた第２のスマートアクチュエータにおけるエラーを識別できるように構成されており、かつエラーが識別された場合には被制御システムを安全なシステム状態に移行するように制御するための手段を有する。

これにより上位の制御機器にエラーがある場合、たとえばこれがリセットモードにあるか、またはケーブル断線等によりスマートアクチュエータとの通信を行うことができない場合でも、被制御システムを安全なシステム状態に移行させることができる。

本発明の別の構成では、スマートアクチュエータは、上位の制御機器との通信にエラーがある場合に、遮断を遅延するための手段をさらに有する。

この手段によって有利には、ケーブル断線が識別された場合、または制御機器への通信にその他の障害が識別された場合に、スマートアクチュエータが自立的に自らを遮断し、エラーの場合でも被制御システムの安全性が上昇する。

別の構成では、遅延遮断のための手段がＲＣ素子として構成されている。

この構成は一方では安価であり、他方ではとりわけ簡単に既存の周辺条件に適合することができる。

有利な構成では、遅延遮断のための時間は、エラー発生と監視される第２のスマートアクチュエータの遮断との間で第１のスマートアクチュエータを安全な状態に移行するために必要な時間より大きいか、またはこれに等しい時間である。

ここでは、割り当てられたスマートアクチュエータでのケーブル断線の場合でも、制御されるシステムが安全なシステム状態に移行できるととくに有利である。

さらに別の有利な構成が提案される。この構成では、遅延遮断のための時間が、制御機器によりアクティブに引き起こされる遮断の切換時間よりも大きい。

これにより、短時間の通信障害では直ちに遮断に至らないことが保証される。

別の有利な構成では、遅延遮断のための時間が、制御機器によりアクティブに引き起こされる遮断の切換時間よりも一桁または数桁大きい。

さらに本発明は、上記欠点を解決するための制御方法も提案する。クラッチを操作するためのスマートアクチュエータのこの制御方法では、スマートアクチュエータが、上位の制御機器に接続するための通信インタフェースと、上位の制御機器に接続するための少なくとも１つのデータ線路とを有する。この方法は、上位の制御機器および／または割り当てられた第２のスマートアクチュエータにおけるエラーを識別するステップと、エラーが識別された場合には被制御システムを安全なシステム状態に移行させるためにクラッチを制御するステップとを有する。

有利な改善形態では、この方法は、割り当てられた第２のスマートアクチュエータにエラーがあるとのメッセージを受信するステップを有する。

さらに本発明は、制御機器と本発明のスマートアクチュエータとを有する制御システムを提案する。これらは少なくとも１つのデータ線路と通信インタフェースを介して接続されている。

制御システムの有利な改善形態では、スマートアクチュエータが本発明の方法を準備する。

以下、本発明を図面に基づき詳細に説明する。

制御システムの概略図である。 図２ａは本発明のスマートアクチュエータの一部の実施形態を示す図であり、図２ｂは所属の電圧／時間経過を示す図である。 図３ａは通信喪失の場合の本発明のスマートアクチュエータの一部の実施形態を示す図であり、図３ｂは所属の電圧／時間経過を示す図である。 本発明のスマートアクチュエータの実施形態の一部概略図である。

図１には、制御システム１が概略的に示されている。この制御システム１は、たとえばクラッチを操作するための第１のスマートアクチュエータ５を有する。さらに制御システム１は上位の制御機器１０を有する。

上位の制御機器１０もスマートアクチュエータ５も、互いを接続するための通信インタフェース２０を有する。

通信インタフェース２０は、制御情報および／または状態情報を交換するために使用される車両バスシステムとすることができ、たとえばＣＡＮバスである。

さらに上位の制御機器１０もスマートアクチュエータ５も、互いを接続するためのデータ線路６、２１を有する。

たとえばデータ線路６は非常停止信号を伝送することができる。この非常停止信号は、データ線路６の断線が非常停止のアクティブなシグナリングと同等であるように構成することができる。これはたとえば非常停止信号が低電圧レベルのシグナリングによって通知され、一方、運転時は高電圧レベルによって通知されることによって達成できる。

その代わりにまたはそれに加えて、たとえばイネーブル信号／ディスエーブル信号をデータ線路２１を介して伝送することもできる。このようなイネーブル信号／ディスエーブル信号はたとえば、制御されるトランスミッションと結合された機関の始動から導出することができる。

この信号も前に説明した非常停止信号のように構成することができる。すなわち、データ線路６の断線が非常停止のアクティブなシグナリングと同等であるように構成することができる。これはたとえば、ディスエーブル信号が低電圧レベルのシグナリングによって通知され、一方、運転時はイネーブル信号が高電圧レベルによって通知されることによって達成できる。

さらに本発明のスマートアクチュエータ５は、エラーが識別された場合に被制御システムを安全なシステム状態に移行させる制御手段７を有する。この制御手段７は、通常はクラッチの切替え過程のために使用される手段と同じにすることができる。

さらにスマートアクチュエータ５は、上位の制御機器１０におけるエラーを識別できるように構成されている。

このようなエラーはたとえば通信インタフェース２０を介する通信の喪失である。このような通信喪失は、上位の制御機器１０がリセットモードにあるとき、または上位の制御機器１０の通信インタフェースが故障しているとき、またはプラグ解除で通信インタフェース２０の物理的接続が分離されるときに発生する。

この場合、スマートアクチュエータ５は、たとえば対応するカウンタのタイムアウトにより、通信に障害があることを識別できる。タイムアウトは、上位の制御機器との通信で典型的に予期される時間に基づく。

通信インタフェース２０に使用されるシステムに応じて、種々のモードを設けることができる。たとえば受動監視または能動監視がハートビートメッセージで伝送される。ハートビートメッセージでは、たとえば所定数のハートビート要求の失敗の後に、通信の障害が仮定される。

さらに第１のスマートアクチュエータに類似のまたは同じ形式のスマートアクチュエータ１５が割り当てられたシステムでは、第１のスマートアクチュエータ５が、割り当てられた第２のスマートアクチュエータ１５のエラーを識別できるように構成することができる。このような非常停止用の対応するデータ線路１６もしくはイネーブル信号／ディスエーブル信号用のデータ線路２１と通信インタフェース２０とを備える第２のスマートアクチュエータ１５も図１に同様に図示されている。

このようなエラーはたとえば、制御機器１０から通信インタフェース２０を介する第２のスマートアクチュエータ１５への通信の喪失である。このような通信喪失は、上位の制御機器からスマートアクチュエータ１５への通信インタフェース２０が故障したとき、またはプラグ解除で通信インタフェース２０の物理的接続が分離されたときに発生する。

この場合、第１のスマートアクチュエータ５には、上位の制御機器１０の通信インタフェース２０を介するメッセージにより、割り当てられたスマートアクチュエータ１５への通信喪失が発生したことが通知される。または第１のスマートアクチュエータ５と割り当てられたスマートアクチュエータ１５は別のデータ線路２２を有し、このデータ線路２２により上位の制御機器１０への通信喪失を直接通知することもできる。

別の構成では、両方の信号の識別を通信インタフェース２０を介してもデータ線路２２を使用しても行うことができ、これによりスマートアクチュエータの１つへの通信喪失の識別における確実性が高まる。

この構成では、信号をたとえば論理積関数により結合することができ、信号が同時に発生した場合だけ、被制御システムが安全なシステム状態に移行される。

上記形式のエラーが確定されると、制御手段７は、トランスミッションが安全なシステム状態に、たとえばクラッチの開放によって移行するように制御される。

有利な改善構成では、本発明のスマートアクチュエータは、上位の制御機器１０への通信にエラーがある場合に、遮断を遅延するための手段１０７、１１７を有する。

図２ａは、本発明のスマートアクチュエータの一部の実施形態を示す、図２ｂは、所属の電圧／時間経過を示す。

図２ａには、上位の制御機器１０から信号がたとえばデータ線路６または２１を介してスマートアクチュエータ５に出力されることが示されている。この信号は出力端にＵＳＧ＿ｏｕｔとして示され、対応して図２ｂにはＶ（Ｕｓｇ＿ｏｕｔ）と示されている。スマートアクチュエータ５によりデータ線路６または２１を介して受信される信号は、図２ａにｓｍａｒｔＡｋｔｏｒ＿ｉｎにより示され、対応して図２ｂにはＶ（ｓｍａｒｔａｋｔｏｒ＿ｉｎ）と示されている。スマートアクチュエータ５により評価される信号は、図２ａにａｍｐｌｉｆｉｅｒ＿ｄｉｓａｂｌｅにより示され、対応して図２ｂにはＶ（ａｍｐｌｉｆｉｅｒ＿ｄｉｓａｂｌｅ）と示されている。

前記例では時点２ｓでアクティブ・オフが開始され、たとえば非常停止信号が出力される。図示の例で非常停止信号は、電圧Ｖ（Ｕｓｇ＿ｏｕｔ）が低電位に、ここでは０Ｖにアクティブにプルダウンされることであり、これは図２ｂの左半分に示されている。この例でのプルダウンは、ほぼ同時にＶ（ｓｍａｒｔａｋｔｏｒ＿ｉｎ）の電圧変化を引き起こし、これも同様にたとえば０Ｖの低電位にプルダウンされる。有限の短時間後、たとえば１ｍｓより短い時間後に、出力信号Ｖ（ａｍｐｌｉｆｉｅｒ＿ｄｉｓａｂｌｅ）も同様に高い電圧から低い電圧にプルダウンされ、この出力信号Ｖ（ａｍｐｌｉｆｉｅｒ＿ｄｉｓａｂｌｅ）によりスマートアクチュエータが遮断される。

比較的後の時点でスイッチオンが再び開始され、図２ｂの右側に示した切換特性が生じる。

ここでは時点１ｓでアクティブ・オンが開始され、たとえば非常停止信号が取り消される。図示の例で非常停止信号は、電圧Ｖ（Ｕｓｇ＿ｏｕｔ）が高電位へ、ここでは５Ｖへアクティブにプルアップされており、このことは図２ｂの右半分に示されている。この例としてのプルアップとほぼ同時にＶ（ｓｍａｒｔａｋｔｏｒ＿ｉｎ）が電圧変化し、同様にプルアップされる。有限の短時間後、たとえば２ｍｓより短い時間後に、出力信号Ｖ（ａｍｐｌｉｆｉｅｒ＿ｄｉｓａｂｌｅ）も同様に低い電圧から高い電圧にプルアップされ、この出力信号Ｖ（ａｍｐｌｉｆｉｅｒ＿ｄｉｓａｂｌｅ）によりスマートアクチュエータがスイッチオンされる。

アクティブ・オフの時間特性は実質的に抵抗Ｒ３とコンデンサＣ１により決定される。

当業者であれば、図示の特性を他の信号、たとえばデータ線路２１を介するイネーブル信号／ディスエーブル信号によっても達成することができよう。

図３ａは、通信喪失の場合の本発明のスマートアクチュエータの一部の実施形態を示す図であり、図３ｂは、所属の電圧／時間経過を示す。

図２ａとの相違は、回路がたとえばデータ線路６の矢印により示された断線を有していることである。図３ａには、上位の制御機器１０から信号がたとえばデータ線路６または２１を介してスマートアクチュエータ５に出力されることが示されている。その結果、ケーブル断線後の信号にのみ興味があるから、この信号はｋａｂｅｌｂｒｕｃｈにより示されており、対応して図３ｂにはＶ（ｋａｂｌｅｂｒｕｃｈ）として図示されている。スマートアクチュエータ５によりデータ線路６または２１を介して受信される対応の信号は、図３ａにｓｍａｒｔＡｋｔｏｒ＿ｉｎにより示され、対応して図３ｂにはＶ（ｓｍａｒｔａｋｔｏｒ−ｉｎ）と示されている。スマートアクチュエータ５により評価される信号は、図３ａにａｍｐｌｉｆｉｅｒ＿ｄｉｓａｂｌｅにより示され、対応して図３ｂにはＶ（ａｍｐｌｉｆｉｅｒ＿ｄｉｓａｂｌｅ）と示されている。

前記例では時点１．５ｓで、たとえばケーブル断線またはプラグの解除等により通信遮断が発生する。そしてパッシブオフが開始される。図示の例で信号は、電圧Ｖ（ｋａｂｌｅｂｒｕｃｈ）が低電位に、ここでは０Ｖにパッシブにプルダウンされることにより、図３ｂの左半分に示されている。この例でのプルダウンは、Ｖ（ｓｍａｒｔａｋｔｏｒ＿ｉｎ）の電圧変化を引き起こすが、遅延をともなって低電位にプルダウンされる。たとえば４００ｍｓの有限の時間後、出力信号Ｖ（ａｍｐｌｉｆｉｅｒ＿ｄｉｓａｂｌｅ）も同様に高い電圧から低い電圧にプルダウンされ、この出力信号Ｖ（ａｍｐｌｉｆｉｅｒ＿ｄｉｓａｂｌｅ）によりスマートアクチュエータがスイッチオフされる。

この特性を達成するためにスマートアクチュエータは遅延遮断のための手段１０７、１１７を有する。

この遅延された遮断により、スマートアクチュエータ５、１５は自分のケーブル断線を識別し、これを他のデータ線路または通信インタフェースを介して、割り当てられた他方のスマートアクチュエータ５、１５および／または上位の制御機器１０に入力信号として提供することができる。これによりスマートアクチュエータは被制御システムを、たとえばクラッチの開放によって安全な状態に移行させることができる。

例示的実施形態では、遅延遮断のための手段１０７、１１７がＲＣ素子として構成されている。ここでは図３ａの抵抗Ｒ４とコンデンサＣ１の大きさが切換特性を決定する。有利な構成では、遅延遮断のための時間は、エラー発生と監視されるスマートアクチュエータ５、１５の遮断との間でこのスマートアクチュエータ５、１５を安全な状態に移行するために必要な時間より大きいか、またはこれに等しい時間である。

択一的実施形態では、他の遅延素子を使用することもできる。遅延素子は、専用の監視構成素子に基づく複雑な回路でも良く、ソフトウエアで遅延遮断することもできる。適切な回路を当業者は容易に想到することができ、また半導体回路技術の文献から公知である。

別の有利な構成では、遅延遮断のための時間が、制御機器１０によりアクティブに引き起こされる遮断の切換時間よりも長い。

これにより、短時間の通信障害では早期の遮断に至らないようにすることができる。

これは遅延遮断のための時間が、制御機器１０によりアクティブに引き起こされる遮断の切換時間よりも一桁または数桁大きいことによって達成される。

遮断遅延は、エラー発生とアクチュエータ遮断との間でクラッチシステムを確実に安全な状態に移行させるのに必要な時間に基づく。

通例、遮断遅延は、制御機器によりアクティブに引き起こされる遮断の切換時間よりも長い。

とくに有利な構成では、評価の遅延遮断が、制御機器によりアクティブに引き起こされる遮断の切換時間よりも一桁または数桁大きい。

さらに別の有利な構成では、評価の遅延遮断が、制御機器によりアクティブに引き起こされる遮断の切換時間よりも三桁または数桁大きい。

さらにパッシブ型安全回路は通知手段を有し、識別されたエラーを評価し、および／または別の成分をスイッチ信号または情報信号として提供することができる。

一般的に、制御システム内では次の表１に例示された切換状態を識別することができる。

表１で第１列には考えられ得る状況が示されており、以降の列にはデータ交換が行われるか否か、このデータ交換がどのような内容を有するのか、第１のスマートアクチュエータ５を基準にしたデータ線路６および／またはデータ線路２１の状態、第２のスマートアクチュエータ１５を基準にしたデータ線路１６および／またはデータ線路２１の状態が示されている。最後の２つの列には、エラーイベントに対するそれぞれのスマートアクチュエータの反応が示されている。この表で上位の制御機器１０はＵＳＧにより略称されている。

本発明にとって重要なのはこの表の最後の６行分である。

エラーが第１のスマートアクチュエータ５に発生すると、これがスマートアクチュエータ５から通信インタフェース２０を介して上位の制御機器１０と別の複数のスマートアクチュエータ、たとえば割り当てられた第２のスマートアクチュエータ１５の両方に、「Ｉｎｆｏ：エラー アクチュエータ１」として通知される。

その代わりにこのメッセージを、複数の割り当てられたスマートアクチュエータの間にある別個のデータ線路２２を介して交換することもできる。

エラーが第２のスマートアクチュエータ１５に発生すると、これがスマートアクチュエータ１５から通信インタフェース２０を介して上位の制御機器１０と別の複数のスマートアクチュエータ、たとえば割り当てられた第２のスマートアクチュエータ１５の両方に、「Ｉｎｆｏ：エラー アクチュエータ２」として通知される。

その代わりにこのメッセージを、複数の割り当てられたスマートアクチュエータの間にある別個のデータ線路２２を介して交換することもできる。

それぞれ他方のスマートアクチュエータはクラッチを開放することができるようになり、一方、それぞれエラーのあるスマートアクチュエータはアクティブに遮断される。

上位の制御機器１０（ＵＳＧ）にエラーがある場合またはリセットが行われる場合、通信インタフェースを介するデータ交換は行われない。この場合、割り当てられた本発明のスマートアクチュエータは、通信が行われないことに基づいて上位の制御機器１０からの監視が不可能であることを自立的に識別し、たとえばそれぞれのクラッチの開放によって被制御システムを安全な状態に移行させる。

データ線路が通信障害に関係していれば、これは該当するスマートアクチュエータ側でケーブル断線として解釈される。

エラーが第１のスマートアクチュエータ５へのデータ線路、たとえばデータ線路６または２１に発生すると、これがスマートアクチュエータ５から通信インタフェース２０を介して上位の制御機器１０と別のスマートアクチュエータ、たとえば割り当てられた第２のスマートアクチュエータ１５の両方に、「Ｉｎｆｏ：ケーブル断線 アクチュエータ１」として通知される。

その代わりにまたは付加的にこのメッセージを、割り当てられたスマートアクチュエータの間にある別個のデータ線路２２を介して交換することもできる。

エラーが第２のスマートアクチュエータ１５へのデータ線路、たとえばデータ線路６または２１に発生すると、これがスマートアクチュエータ１５から通信インタフェース２０を介して上位の制御機器１０と別のスマートアクチュエータ、たとえば割り当てられた第１のスマートアクチュエータ５の両方に、「Ｉｎｆｏ：ケーブル断線 アクチュエータ２」として通知される。

その代わりにまたは付加的にこのメッセージを、複数の割り当てられたスマートアクチュエータの間にある別個のデータ線路２２を介して交換することもできる。

それぞれ他方のスマートアクチュエータはクラッチを開放することができるようになり、一方、それぞれエラーのあるスマートアクチュエータはアクティブに遮断される。

エラーが通信インタフェース２０とデータ線路６、１６または２１の両方に発生すると、これはプラグ解除または上位の制御機器の故障として解釈される。

この場合、２つの機構は相互にアクセスする。すなわちシステムは、割り当てられたクラッチの開放によって安全な状態に移行され、引き続き遅延された遮断によりスマートアクチュエータ５、１５は遮断される。

表１に関して、出力段がＯＦＦに切り換えられることは、割り当てられたクラッチをもはや制御できないことを意味する。構成に応じて、出力段はトリステートまたは制動モードになる。

図４は、本発明のスマートアクチュエータ５、１５の実施形態の一部概略図である。スマートアクチュエータ５、１５は、別の実施形態ではデータ線路１０８、１１８を監視するための手段も有することができる。たとえばデータ線路１０８、１１８を監視するこの手段は、データ線路６、１６、２１上の電圧を監視することができ、したがってスマートアクチュエータ５、１５はさらなる通信なしでも被監視データ線路６、１６、２１の断線を識別することができる。

相応にしてスマートアクチュエータ５、１５はこの識別されたエラーを上位の制御機器１０に、たとえば通信インタフェース２０を介して通報することができる。さらに、識別されたエラーは割り当てられた第２のスマートアクチュエータ５、１５に、たとえばデータ線路２２を介して直接的に、または上位の制御機器１０を介して間接的に通報することもできる。前に述べたように、第１のアクチュエータを時間的に遅延して遮断することができ、一方、割り当てられた第２のスマートアクチュエータは情報に基づいてシステムを安全な状態に移行させることができる。

１ 制御システム
５ スマートアクチュエータ
６ データ線路
７ 制御手段
１０ 制御機器
１５ スマートアクチュエータ
１６ データ線路
１７ 制御手段
２０ 通信インタフェース
２１ データ線路
２２ データ線路
１０７ 遅延遮断のための手段
１０８ データ線路を監視するための手段
１１７ 遅延遮断のための手段
１１８ データ線路を監視するための手段

Claims (8)

1. クラッチを操作するためのスマートアクチュエータ（５；１５）であって、
   第１のスマートアクチュエータ（５）および第２のスマートアクチュエータ（１５）が設けられており、
   前記第１および第２のスマートアクチュエータ（５；１５）はそれぞれ、アクチュエータ内部の制御機器と、上位の制御機器（１０）に接続するための通信インタフェース（２０）と、前記上位の制御機器（１０）に接続するための少なくとも１つのデータ線路（６、１６；２１）と、エラーが識別された場合に被制御システムを安全なシステム状態に移行させるよう構成された制御手段（７；１７）と、前記上位の制御機器（１０）への通信にエラーがあるときに遅延遮断するための手段（１０７；１１７）とを有しており、
   前記第１および第２のスマートアクチュエータ（５；１５）は、前記上位の制御機器（１０）および前記データ線路（６、１６；２１）および割り当てられたそれぞれ他方のスマートアクチュエータ（５；１５）におけるエラーを識別するように構成されており、
   前記遅延遮断のための時間は、エラー発生から、監視される前記他方のスマートアクチュエータ（５；１５）の遮断までの間に、前記被制御システムを安全な状態に移行するために必要な時間より長いか、またはこれと等しい時間である
   ことを特徴とするスマートアクチュエータ。
2. 請求項１に記載のスマートアクチュエータ（５；１５）であって、
   前記遅延遮断するための手段（１０７；１１７）はＲＣ素子として構成されているスマートアクチュエータ。
3. 請求項１または２に記載のスマートアクチュエータ（５；１５）であって、
   前記遅延遮断のための時間は、前記制御機器（１０）によりアクティブに引き起こされる遮断の切換時間よりも長いことを特徴とするスマートアクチュエータ。
4. 請求項１から３までのいずれか１項に記載のスマートアクチュエータ（５；１５）であって、
   前記遅延遮断のための時間は、前記制御機器（１０）によりアクティブに引き起こされる遮断の切換時間よりも一桁または数桁大きいことを特徴とするスマートアクチュエータ。
5. クラッチを操作するためのスマートアクチュエータ（５；１５）の制御方法であって、
   第１のスマートアクチュエータ（５）および第２のスマートアクチュエータ（１５）が設けられており、
   前記第１および第２のスマートアクチュエータ（５；１５）はそれぞれ、アクチュエータ内部の制御機器と、上位の制御機器（１０）に接続するための通信インタフェース（２０）と、該上位の制御機器（１０）に接続するための少なくとも１つのデータ線路（６、１６；２１）と、前記上位の制御機器（１０）への通信にエラーがあるときに遅延遮断するための手段（１０７；１１７）とを有する方法において、
   ・前記上位の制御機器（１０）および前記データ線路（６、１６；２１）および割り当てられたそれぞれ他方のスマートアクチュエータ（５；１５）においてエラーが発生した場合、該エラーを識別するステップと、
   ・エラーが識別された場合、被制御システムを安全なシステム状態に移行させるためにクラッチを制御するステップとを有しており、
   前記遅延遮断のための時間は、エラー発生から、監視される前記他方のスマートアクチュエータ（５；１５）の遮断までの間に、前記被制御システムを安全な状態に移行するために必要な時間より長いか、またはこれと等しい時間である
   ことを特徴とする制御方法。
6. 請求項５に記載の方法であって、
   ・割り当てられた前記他方のスマートアクチュエータ（５；１５）にエラーがあるとのメッセージを受信するステップを有する方法。
7. 制御機器（１０）と、請求項１から４までのいずれか１項に記載のスマートアクチュエータ（５；１５）とを有する制御システム（１）であって、前記制御システムとスマートアクチュエータとは少なくとも１つのデータ線路（６、１６；２１）と通信インタフェース（２０）とを介して接続されている制御システム。
8. 請求項７に記載の制御システム（１）であって、
   前記スマートアクチュエータ（５；１５）は請求項５に記載の方法を提供する制御システム。

Images