JP6416912B2 - タイマーを監視するための装置および方法 - Google Patents

Description

本発明は、タイマーを監視するための装置、適切な方法、および方法を実施するための装置を含む制御器に関する。

従来の車両内安全システムは、「ウォッチドッグ」と呼ばれる多段階式の監視構成要素を有する。この場合、ハードウェア・ウォッチドッグとソフトウェア・ウォッチドックとを区別することができる。

第１段階では、ウォッチドッグはシステムタイマーの周波数を監視する。例えば固有のインターフェイスタイマーの分周によって導き出されるこの周波数は、マイクロコントローラ（μＣ）により、他の内部または外部の電気式、電子式、またはデジタル式の構成要素に同期的に供給される。

他の複数の段階では、マイクロコントローラに対するウォッチドックの「質問」が正確に回答されなければならない。質問は、例えば特定の計算課題のような要求として理解することができる。質問に回答するために不可欠なマイクロコントローラ・リソースは、特に適切なプログラムレベルのアプリケーションで使用されるマイクロコントローラ関数から個別に作成することができる。さらにウォッチドッグ要求のプログラミングにより、アプリケーションプログラムが正確に実行された場合にのみ問題に対する正しい回答が得られることが保証される。したがって、それぞれのプログラムレベル（リアルタイププログラム、バックグラウンドプログラムなど）についてウォッチドッグの段階が構成される。

より先鋭化された実施形態では、個々のウォッチドッグ段階（リアルタイププログラム、バックグラウンドプログラムなど）に対するマイクロコントローラの正しい回答が所定の時間窓内で得られる。

短時間、すなわち、特に２マイクロ秒未満で判断を行うシステム、例えば車両用の人保護手段を制御するためのシステムは、誤動作につながるエラー（すなわち、例えば人保護手段の意図しない始動）を早期に検出する必要がある。これは、現在ではウォッチドッグを用いてマイクロコントローラのシステムタイマーの周波数を監視することによって行われる。これによりマイクロコントローラの発振器のあらゆる欠陥が検出される。この場合、発振器は水晶振動子または共振器の形態で提供されていてもよい。

本発明は、ハードウェア・ウォッチドッグを用いてシステムタイマーのデューティ比を付加的に監視することを提案する。

このことは、パルス継続時間、デューティ比／デューティサイクルの変更を引き起こし得るエラー、例えば、冗長機能（例えば外部センサへのマルチチャンネルインターフェイス）を備える、信号発生器、一般にマイクロコントローラからハードウェアモジュール（例えばＡＳＩＣ、インターフェイス構成部品など）への伝送路におけるシステムタイマーの信号の減衰などのエラーが、個々の構成部材または接続された複数のモジュール、あるいはシステム全体の誤作動を引き起こすことはないという利点を有する。

このことは、接続された複数のハードウェアモジュールがデジタル式の有限状態機械、データ伝送機能、走査ユニットなどにおいて、外部システムタイマーの立ち上りエッジおよび立ち下がりエッジを使用する場合には特に重要である。

本発明によれば、このことは、独立請求項に記載の特徴により解決される。有利な実施形態および構成が従属請求項に記載されている。

本発明による装置は、このために、クロック信号のパルス継続時間を監視するための手段を備える。この場合、監視されるクロック信号は、特に車両用の人保護手段を作動するための装置において周期的なクロック信号を生成するタイマーに由来する。デジタル式のモジュールがクロック信号の立ち上りエッジおよび立ち下がりエッジの両方を利用して機能を提供する場合には、クロック信号のパルス継続時間を付加的に監視することは、特に重要である。

この場合、パルス継続時間は、生成されるクロック信号の立ち上りエッジと立ち下がりエッジとの間で経過する時間である。

本発明の有利な構成では、装置は監視に応じて、特に人保護手段を遮断するための遮断信号を生成する。

本発明のこの有利な構成により、エラーが発生した場合に、誤作動、例えば人保護手段の作動により人または所有物が危険にさらされることが効果的に防止される。

有利には、上記装置は、パルス継続時間を検出するための手段を備える。パルス継続時間を検出するための手段はカウンターを備えていてもよい。このカウンターは、別個のタイマーによって計時され、監視したい周期的なクロック信号の立ち上りエッジと立ち下がりエッジとの間の持続時間を、例えば監視したいクロック信号のカウンターの開始（例えば立ち上がりエッジ）もしくはカウンターの停止（例えば立ち下りエッジ）によって検出する。パルス長の経過後に、カウンター状態と少なくとも１つの閾値とが比較される。有利な構成では、カウンター状態は所定の上側閾値および所定の下側閾値と比較される。この場合、少なくとも１つの閾値は、タイマーの予想される標準的なパルス継続時間の関数である。

このようにして、簡単かつ安価にタイマーの監視を行うことができる。

代替的な実施形態では、装置は、クロック継続時間を検出するために少なくとも１つのコンデンサおよびコンパレータ、特にウィンドウコンパレータを備える。

この有利な構成は、本発明の簡単で安価な実施形態を可能にする。簡単な電子モジュール（コンデンサ、コンパレータもしくはウィンドウコンパレータ）の使用により安定した装置が得られる。

この代替的な実施形態は、コンデンサの充電状態が少なくとも１つのコンパレータによって少なくとも１つの参照電圧と比較されることに基づいている。この実施形態の有利な一構成では、コンパレータは、少なくとも１つのコンデンサの充電状態を少なくとも２つの参照電圧と比較するウィンドウコンパレータである。この場合、２つの参照電圧は、例えばコンデンサの上側の予想充電状態と下側の予想充電状態である。例えば、タイマーの監視されるクロック信号の立ち上りエッジによって開始され、少なくとも１つのコンデンサが充電され、パルス停止の開始によってすぐに放電される。参照コンデンサの充電状態（パルス継続時間と等価）が、予想される高さ（参照電圧）未満であるか、またはこれを超えているか、あるいは２つの参照電圧によって形成された監視窓内にあるかまたは監視窓外にあるかを示すコンパレータもしくはウィンドウコンパレータの状態は、タイマーのクロック信号の立ち下りエッジと共に保存される。参照コンデンサの充電状態が少なくとも１つの閾値（参照電圧）に関して予想される高さにある場合には、パルス継続時間は予想される最小長さを備え、タイマーの監視は、パルス継続時間の最小長さに関して好ましい結果をもたらす。

参照コンデンサの充電状態が上側の参照電圧および下側の参照電圧によって設定された監視帯域内にある場合には、パルス継続時間は上側および下側の監視限界内にあり、タイマーの監視は、パルス継続時間に関して好ましい結果をもたらす。

方法による本発明の実施は重要である。本発明による方法は、特に車両の人保護手段を作動する装置の制御器のために設けられた制御部材によって実施することができる。この場合、制御部材には、本発明による方法を実施するために適したプログラムが保存されており、プログラムは、計算機、特にマイクロコントローラまたは信号プロセッサで作動可能である。したがって、この場合、本発明は制御部材に保存されたプログラムによって実施され、方法と同様に、このプログラムおよびプログラムを備える制御部材は本発明をなし、方法を実施するためにはこのプログラムが適している。制御部材として、特に電気的なメモリ媒体、例えば読取専用メモリが使用される。

次に図面に基づいて本発明の実施例を説明する。

タイマーを備える装置のブロック回路図である。 従来技術によるタイマーを検査するための装置を示すブロック線図である。 本発明によるタイマーを監視するための装置の第１実施形態を示すブロック線図である。 本発明によるタイマーを検査するための装置の代替的な実施形態を示すブロック線図である。 本発明による方法の概略的なフロー図である。

図１は、タイマーを備える装置のブロック回路図を示す。タイマー発振器が図示の実施形態ではマイクロコントローラμＣに配置されている。タイマー発振器は、セラミック発振子（代替として、水晶振動子）の機械的振動を変換し、これにより「ベースクロック」と呼ばれる基本周波数を生成する。このベースクロックから、例えば分周によりクロック信号ＥＣＬＫが形成される。このクロック信号は、外部クロックと呼ばれることも多い。マイクロコントローラμＣは、このようにして形成されたクロック信号ＥＣＬＫを、接続されたデジタルモジュール、例えば同期的なデジタル制御を行う安全モジュールＳＣＯＮに伝送する。図示の実施形態では、安全モジュールＳＣＯＮは、インターフェイス、例えばＳＰＩ，ＰＳＩおよびハードウェア・ウォッチドッグＷＤを備える。ハードウェア・ウォッチドッグは、同様にタイマーＷＤ発振器、例えば外部に接続され、接地されている抵抗によって周波数を定義するＲＣ発振器を備える。さらにハードウェア・ウォッチドッグＷＤは、人保護手段の始動を遮断する機能を備える（ロック・パワーステージ）。インターフェイスＰＳＩには、外部センサｘＩＳが接続されている。この場合、ｘは、例えばＳまたはＦによって置き換えることもでき、ＳＩＳは、Ｓｉｄｅ Ｉｍｐａｃｔ Ｓｅｎｓｏｒ、すなわち、側面衝突センサであり、ＦＩＳは、Ｆｒｏｎｔ Ｉｍｐａｃｔ Ｓｅｎｓｏｒ、すなわち、正面衝突センサである。

図２は、従来技術によるタイマーを点検するための装置のブロック線図を示す。点検されるタイマーは、マイクロコントローラμＣの内部タイマーμＣ Ｃｌｏｃｋである。内部タイマーμＣ Ｃｌｏｃｋは、内部タイマーμＣ Ｃｌｏｃｋのタイマー（例えば石英、共振器など）によって導き出された、例えばｎＭＨｚの周波数を有する周期的なクロック信号ＥＣＬＫを出力する。点検されるクロック信号ＥＣＬＫは所定の周期継続時間Ｔｅｃｌｋを備え、監視装置ＷＤに供給される。監視装置ＷＤは、一般にプリスケーラ分周器を有し、周期信号ＥＣＬＫを適切な方式で監視装置ＷＤの基本条件（例えば最大処理速度などに関して）に適合させる。プリスケーラ分周器は、一般に１〜１０２４の値をとることができる。値が１に設定された場合には、監視装置ＷＤの感度は最も高い。プリスケーラ分周器によって分周されたクロック信号ＥＣＬＫの周期継続時間ＴｅｃｌｋｄはＥＣＬＫｄと呼ばれ、参照発振器ＷＤ ＣＬＯＣＫによって計時されるカウンターＷＤＣｏｕｎｔｅｒによって測定される。カウンターＷＤＣｏｕｎｔｅｒの周期継続時間Ｔｗｄは、本実施例では、予想されるタイマーの周期継続時間の関数である。カウンターＷＤＣｏｕｎｔｅｒは、カウンターＷＤＣｏｕｎｔｅｒを開始するためのＳＴＡＲＴ、カウンターＷＤＣｏｕｎｔｅｒを停止するためのＳＴＯＰ、カウンターＷＤＣｏｕｎｔｅｒをリセットするためのＲＥＳＥＴ、カウンターＷＤＣｏｕｎｔｅｒのカウンター状態を読み取るためのＲＥＡＤなどの機能を有する処理ロジックを備える。それぞれのＥＣＬＫｄ周期に応じて、カウンター状態と上限値（ＷＤ＿ｓｍａｘ）もしくは下限値（ＷＤ＿ｓｍｉｎ）との比較（ＣＯＭＰＡＲＥ）が行われる。これらの限界値は、適宜に形成されたメモリユニットに保存されているか、または装置内でハードワイヤードにより調整されている。続いてカウンターがリセットされ（ＲＥＳＥＴ）、新たに開始される（ＳＴＡＲＴ）。カウンター状態が、分周されたクロック信号ＥＣＬＫｄのための監視帯域外にある場合には、安全に関連した機能の遮断を行うことができる。

図３は、タイマーＷＤ＋（＝周期継続時間ウォッチドッグ＋パルス継続時間ウォッチドッグ）を監視するための本発明による装置の実施形態を示すブロック線図である。従来技術（周期継続時間）に加えて、クロック信号ＥＣＬＫのパルス継続時間が測定される。この場合、パルス継続時間とは、クロック信号の立ち上りエッジと立ち下りエッジとの間で経過する時間である。

このために、周波数ＷＤ＋を有する参照発振器によって計時されるカウンターによって、分周されたクロック信号ＥＣＬＫｄのパルス継続時間Ｔｐｅｌｃｋｄが測定される。それぞれのＥＣＬＫｄパルス継続時間に応じて、カウンター状態と、予想されるパルス継続時間Ｔｐｅｃｌｋｄの許容帯域（ＷＤ＋＿ｓｍｉｎ，ＷＤ＋＿ｓｍａｘ）を定義する上限値もしくは下限値との比較（読取）が行われる。続いてカウンターＷＤＣｏｕｎｔｅｒはリセットされ（ＲＥＳＥＴ）、上述の実施形態にしたがって、次の正のエッジにより再び開始される。

ＷＤ＋カウンターのカウンター状態が、パルス継続時間Ｔｐｅｃｌｋｄのための監視帯域内にあり、同様にＷＤカウンターのカウンター値が周期継続時間Ｔｅｃｌｋｄのための監視帯域内にある場合には、周波数、パルス継続時間、ひいてはタイマーのデューティサイクル（＝デューティ比＝パルス継続時間／周期継続時間）は正常なので、安全性に関連する機能の遮断は行われない。

図４は、タイマーを点検するための本発明による装置の代替的な実施形態を示すブロック線図である。

この場合、コンデンサＣｒｅｆに定電流Ｉが加えられ、ＥＣＬＫｄハイフェーズの間、線形に充電され、ＥＣＬＫｄパルスの停止が始まると急激に（迅速に）放電される。

ウィンドウコンパレータによって、Ｖｒｅｆ＿ｕとＶｒｅｆ＿０との間の領域に、コンデンサＣｒｅｆの電圧ｕｃが入るか否かが確認される。この場合、Ｖｒｅｆ＿ｕは、コンデンサの最小充填状態を表し、Ｖｒｅｆ＿ｏは最大充填状態を表す。ＥＣＬＫｄ信号の立ち下りパルスエッジの時点の状態がフリップフロップＦＦに記憶されている（帯域内では：Ｑ＝１、帯域外では：Ｑ＝０）。コンデンサＣｒｅｆの電圧ｕｃが立ち下りパルスエッジの時点で帯域外にある場合には、クロック信号ＥＣＬＫの周波数が合っていて、しかも、デューティ比＝パルス継続時間／周期継続時間＝デューティサイクルであっても、タイマーのクロック信号ＥＣＬＫのパルス継続時間は合っていない。クロック信号の周波数は、例えば、従来技術により既知の（図１を参照されたい）タイマーを監視するための装置によって監視される（図４には示さない）。

図５は、本発明による方法の概略的なフロー図を示す。ステップ５０１では、タイマーμＣ Ｃｌｏｃｋによってクロック信号が生成される。ステップ５０２では、クロック信号のパルス継続時間が監視される。

Claims (5)

1. タイマー（μＣ Ｃｌｏｃｋ）を監視するための装置（ＷＤ＋）であって、タイマー（μＣ Ｃｌｏｃｋ）が、周期的なクロック信号（ＥＣＬＫ）を生成するように構成されている装置（ＷＤ＋）において、
   該装置（ＷＤ＋）が、
   前記周期的なクロック信号（ＥＣＬＫ）を分周し、分周された周期的なクロック信号（ＥＣＬＫｄ）を生成するプリスケーラ分周器と、
   前記分周された周期的なクロック信号（ＥＣＬＫｄ）のパルス継続時間（Ｔｐｅｃｌｋｄ）を監視し、遮断信号を生成するための手段を有し、
   前記分周された周期的なクロック信号（ＥＣＬＫｄ）のパルス継続時間（Ｔｐｅｃｌｋｄ）を監視し、遮断信号を生成するための手段は、
   前記周期的なクロック信号（ＥＣＬＫｄ）の立ち上りエッジと立ち下がりエッジとの間で経過する時間であるパルス継続時間（Ｔｐｅｃｌｋｄ）を検出するためのカウンター（ＷＤ＋ Ｃｏｕｎｔｅｒ）と、
   カウンター（ＷＤ＋ Ｃｏｕｎｔｅｒ）を作動する第２タイマー（ＷＤ＋ Ｃｌｏｃｋ）と、
   前記パルス継続時間（Ｔｐｅｃｌｋｄ）と、下側閾値（ＷＤ＋＿ｓｍｉｎ）と上側閾値（ＷＤ＋＿ｓｍａｘ）のすくなくともいずれかとを比較するための手段と、
   を備え、
   前記パルス継続時間（Ｔｐｅｃｌｋｄ）が前記下側閾値（ＷＤ＋＿ｓｍｉｎ）未満であるか、又は、前記上側閾値（ＷＤ＋＿ｓｍａｘ）を超えている場合に、前記遮断信号を生成する、
   ことを特徴とする装置（ＷＤ＋）。
2. 請求項１に記載の装置（ＷＤ＋）において、
   前記タイマー（μＣ Ｃｌｏｃｋ）が、車両用の人保護手段を制御する装置のためのタイマー（μＣ Ｃｌｏｃｋ）であり、前記遮断信号が、前記車両用の人保護手段の制御を遮断するためのものであることを特徴とする装置（ＷＤ＋）。
3. タイマー（μＣ Ｃｌｏｃｋ）を監視する方法（５００）であって、
   前記タイマー（μＣ Ｃｌｏｃｋ）が、周期的なクロック信号（ＥＣＬＫ）を生成するステップ（５０１）と、
   前記周期的なクロック信号（ＥＣＬＫ）を分周し、分周された周期的なクロック信号（ＥＣＬＫｄ）を生成するステップと、
   前記分周された周期的なクロック信号（ＥＣＬＫｄ）のパルス継続時間（Ｔｐｅｃｌｋｄ）を監視し、遮断信号を生成するステップ（５０２）とを有し、
   前記分周された周期的なクロック信号（ＥＣＬＫｄ）のパルス継続時間（Ｔｐｅｃｌｋｄ）を監視し、遮断信号を生成するステップ（５０２）は、
   前記分周された周期的なクロック信号（ＥＣＬＫｄ）の立ち上りエッジと立ち下がりエッジとの間で経過する時間であるパルス継続時間（Ｔｐｅｃｌｋｄ）をカウンター（ＷＤ＋ Ｃｏｕｎｔｅｒ）を用いて検出するステップと、
   第２タイマー（ＷＤ＋ Ｃｌｏｃｋ）によってカウンター（ＷＤ＋ Ｃｏｕｎｔｅｒ）を作動するステップと、
   前記パルス継続時間（Ｔｐｅｃｌｋｄ）と、下側閾値（ＷＤ＋＿ｓｍｉｎ）と上側閾値（ＷＤ＋＿ｓｍａｘ）のすくなくともいずれかとを比較するステップと、
   を備え、
   前記パルス継続時間（Ｔｐｅｃｌｋｄ）が前記下側閾値（ＷＤ＋＿ｓｍｉｎ）未満であるか、又は、前記上側閾値（ＷＤ＋＿ｓｍａｘ）を超えている場合に、遮断信号を生成する、
   ことを特徴とする方法（５００）。
4. 請求項３に記載の方法（５００）において、
   前記タイマー（μＣ Ｃｌｏｃｋ）が、車両用の人保護手段を制御する装置のためのタイマーであり、前記遮断信号が、前記車両用の人保護手段の制御を遮断するためのものであることを特徴とする方法（５００）。
5. 請求項１又は２に記載の装置（ＷＤ＋）を含む制御器。