JP6429903B2 - ブラシレスｄｃモータを駆動制御および／または監視する装置および方法 - Google Patents

Description

本発明は、好ましくは例えばＩＥＣ ６１５０８またはＩＳＯ ２６２６２の規格に対応する、機能安全にかかわる用途のための、好ましくは車両若しくは車両用構成要素の動作若しくは制御の際の、ブラシレスＤＣモータを駆動制御および／または監視する装置に関する。本発明はさらに、そのような装置の機能の信頼性の高い検査のための方法に関する。

ブラシレスＤＣモータでは、連続的または増分的回転磁界が、インバータ回路を用いたステータコイルの位相シフトされた駆動制御によって生成される。例えば、従来技術から公知の６ステップ駆動制御では、３つのステータコイルのうち、常に、２つのステータコイルは通電し、それに対してステップ毎に入れ替わる第３のステータコイルは無通電状態のままである。そのような６ステップ駆動制御は、Ｂ６ブリッジとして従来技術から公知のインバータ回路を用いて生成可能である。そのようなＢ６ブリッジは、供給電圧の間で並列接続され電子制御される３対のスイッチング素子、例えば電界効果トランジスタ（ＦＥＴ）を含む。並列接続された各スイッチング素子対は、交互に開かれる直列接続された２つのスイッチング素子を含み、この場合ステータコイル供給電圧は、それぞれ、２つの直列接続されたスイッチング素子の接合部から取り出され、各ステータコイルに供給される。

本発明の基礎とする課題は、それを用いることで、ブラシレスＤＣモータのエラーの含まれる駆動制御または誤った駆動制御が高い信頼性のもとで識別される、インバータ回路の電子スイッチング素子を駆動制御する装置を提供することである。さらに本発明の基礎とする課題は、それを用いることで、機能安全にかかわる用途において、例えばＩＥＣ ６１５０８またはＩＳＯ ２６２６２の規格に対応した、ブラシレスＤＣモータのエラーの含まれる駆動制御または誤った駆動制御が高い信頼性のもとで識別される、インバータ回路の電子スイッチング素子の駆動制御のための方法を提供することである。

装置に関する前記課題は、請求項１の特徴部分によって解決される。方法に関する前記課題は、請求項８の特徴部分によって解決される。

本発明の好ましい構成は、従属請求項の態様である。

機能安全にかかわる用途のための、ブラシレスＤＣモータを駆動制御するインバータ回路を駆動制御および／または監視する本発明による装置は、
遮断装置と、
ドライバ回路と、
検査可能な診断ユニットと、
を含んでいる。

この装置は、モータ制御ユニットからの制御信号を用いて駆動制御される。この制御信号は、双方向に構成されてもよい。そのためこれらの情報は、モータ制御ユニットから当該装置へ送信することが可能で、かつ／またはこれらの情報は、当該装置からモータ制御ユニットへ送信することが可能である。例えばモータ制御ユニットによって制御信号を用いて、ブラシレスＤＣモータの回転方向および回転速度を設定することが可能である。またモータ制御ユニットに、ブラシレスＤＣモータの位置および／または運動状態を表す位置センサからの信号を伝送することも可能である。

遮断信号入力線路に到来した外部遮断信号が遮断装置に伝送される。遮断装置は、ドライバ回路に作用し、到来した外部遮断信号のもとで、このドライバ回路と、さらに該ドライバ回路を用いてブラシレスＤＣモータも安全状態に変える。安全状態は、用途に依存して、例えば制動ロータによって、またはブラシレスＤＣモータの自走ロータによって達成されている。

ドライバ回路は、インバータ回路および検査可能な診断ユニットに接続可能である。ドライバ回路は、モータ制御ユニットからの制御信号を用いて設定される、ブラシレスＤＣモータの回転速度および回転方向が得られるように、インバータ回路のスイッチング素子を駆動制御する。

検査可能な診断ユニットは、装置の構成要素のパラメータおよび／またはインバータ回路のパラメータおよび／またはブラシレスＤＣモータのパラメータを監視する。監視されるパラメータを、少なくとも１つの限界値の動作値（起動値）と比較することにより、装置および／またはインバータ回路および／またはブラシレスＤＣモータの故障が、正の（確かな）エラー状態として識別される。

モータ制御ユニットから検査可能な診断ユニットに送信された検査コマンドを用いてエラー状態が求められ、検査可能な診断ユニットの機能、特にエラーを表したエラー状態がモータ制御ユニットに伝送される。

本発明の一実施形態では、本発明による装置が、検査可能な診断ユニットに接続可能である信頼性の高い通信ユニットを含んでいる。この信頼性の高い通信ユニットを用いて、検査可能な診断ユニットは、ブラシレスＤＣモータの監視されたパラメータの値および／またはエラー状態を、正のエラー状態の場合に外部遮断信号を生成するモータ制御ユニットに伝送する。さらに、信頼性の高い通信ユニットを用いて、検査可能な診断ユニットの検査のための検査コマンドおよび／またはそのような検査コマンドに基づいて特定された検査可能な診断ユニットのエラー状態が伝送可能である。

信頼性の高い通信ユニットは、例えば、それを用いることで二進信号の順次連続するビットがデータパケットに分割され、送信されたデータパケットにチェックサムが補充され、データパケットが受信された場合にチェックサムが検査される、通信ユニットとして構成されていてもよい。好ましくは、チェックサムを用いることにより、データパケット内で誤って伝送されたビット値が識別可能になる。それを用いることで、データパケット内で多重のビットエラーも識別可能および／または修正可能であるチェックサムの生成と検査のための方法は、当業者には公知である。

信頼性の高い通信ユニットは、代替的または付加的に、送信されるデータパケットにパケット識別子を具備させること、かつ／または受信されたデータパケットのパケット識別子を検査することが可能である。例えば、送信されるデータパケットに、連続的に増分する可変の第１の整数を具備させることも可能である。この第１の整数は、有限の値範囲への限定のために、固定された第２の整数、例えば値２５６でモジュロ演算を受ける。同様に、受信されたデータパケットのパケット識別子を検証することも可能である。伝送されたパケット識別子が実際に受信されたパケット識別子と相違する場合には、これによって例えば誤って繰り返されたパケット伝送が、またはデータパケットの損失が識別され得る。当業者には、パケット識別子の生成および検査のためのさらなる方法は公知である。好ましくは、信頼性の高い通信ユニットを用いて伝送されたデータ、例えば検査可能な診断ユニットを用いて監視されるパラメータの測定値や検査可能な診断ユニットによって生成されたエラー状態などのデータの完全性が検査可能となる。従って、ブラシレスＤＣモータの故障状態および／または安全でない状態がモータ制御ユニットに伝送されない確率は、従来技術から公知の、制御信号を伝送する装置と比較して著しく低減され、それにより安全度も大幅に改善される。

検査可能な診断ユニットの機能は、モータ制御ユニットからの制御信号を介して送信された検査コマンドを用いて検査可能である。検査可能な診断ユニットの機能の検査が失敗した場合には、信頼性の高い通信ユニットを用いて正の（明確な）エラー状態が、モータ制御ユニットへ伝送される。この正のエラー状態は、モータ制御ユニットによる外部遮断信号の生成につながる。

好ましくは、本発明による装置によれば、検査可能な診断ユニットの使用により、ブラシレスＤＣモータの安全な動作が達成される。例えば、ＩＳＯ ２６２６２−３の自動車安全度水準（Automotive Safety Integrity Level；ＡＳＩＬ）の規格に記載されたＡＳＩＬ−Ａ、ＡＳＩＬ−Ｂ、ＡＳＩＬ−ＣまたはＡＳＩＬ−Ｄなどのような安全度の要件に準拠した運転を、装置の構成要素および／またはインバータ回路および／またはブラシレスＤＣモータ自体ではそのような安全度の要求を十分に満たしきれないような場合であっても、達成することが可能である。好ましくは、それと共に安全であるにもかかわらず費用効果の高いブラシレスＤＣモータの駆動制御の実施も可能である。

本発明の一実施形態では、検査可能な診断ユニットは、インバータ回路のスイッチング状態を監視する。それにより、検査可能な診断ユニットは、インバータ回路内の故障したスイッチング素子を識別する。本発明のこの実施形態では、有利には、確かに低コストではあるが、それ自体では所望の安全度の要求を十分に満たせないようなスイッチング素子を製造する技術も利用可能になる。例えば、ＦＥＴを、インバータ回路内のスイッチング素子として利用することが可能になる。

本発明の一実施形態では、検査可能な診断ユニットは、それを用いてブラシレスＤＣモータのロータの回転角度および／または回転速度を特定可能な少なくとも１つの位置センサの機能を監視する。本発明の一実施形態では、少なくとも１つの位置センサは、ホールセンサとして構成されている。ホールセンサは、低コストで製造可能であり、良好に統合化可能であり、ブラシレスＤＣモータにおける永久磁石ロータの磁界の識別と共に位置識別のために良好に適している。

本発明の一実施形態では、検査可能な診断ユニットは、装置の少なくとも１つの構成要素の温度を監視する。構成要素、例えばスイッチング素子の故障または短絡は、頻繁に不所望な大電流の通流と共に故障した構成要素の周辺の通常意図した動作温度（起動温度）を超える加熱につながる。本発明のこの実施形態では、そのような故障が早期に識別可能である。さらに好ましくは、装置の安全な動作が引き続き可能であるか否かを識別することが可能である。そのため構成要素の使用温度に対する仕様限界を損なうことに起因する、例えば過度に高い周辺温度または放熱装置の故障によって引き起こされる、ブラシレスＤＣモータの故障または安全でない動作が回避可能となる。

本発明の一実施形態では、検査可能な診断ユニットは、少なくとも１つの供給電圧および／または少なくとも１つの出力電圧および／またはインバータ回路の少なくとも１つの供給電圧を監視する。好ましくは、この実施形態により、構成要素の供給電圧に対する仕様限界を損なうことに起因する、例えば電圧変換器の故障によって引き起こされる、ブラシレスＤＣモータの故障または安全でない動作が回避可能となる。

ブラシレスＤＣモータを駆動制御する装置における検査可能な診断ユニットの検査のための方法は、以下のステップ、すなわち、
第１の方法ステップにおいて、監視されるパラメータに対応する少なくとも１つの限界値のためのテスト値の設定を含む、モータ制御ユニットから検査可能な診断ユニットに伝送された検査コマンドを実施するステップと、
後続する第２の処理ステップにおいて、検査可能な診断ユニットからモータ制御ユニットへエラー状態を伝送するステップであって、ここでの正のエラー状態値は、監視されるパラメータの少なくとも１つの限界値の上回りを表している、ステップと、
後続する第１の決定ステップにおいて、正ではないエラー状態値の場合に、検査可能な診断ユニットのエラーを識別するステップと、
第３の処理ステップにおいて、エラー状態を、正ではないエラー状態値にリセットし、監視されるパラメータの少なくとも１つの限界値を、動作値（起動値）にリセットするステップと、
後続する第４の処理ステップにおいて、エラー状態を、検査可能な診断ユニットからモータ制御ユニットへ伝送するステップと、
後続する第３の決定ステップにおいて、正のエラー状態値の場合の検査可能な診断ユニットのエラーを識別するステップと、
後続する第５の処理ステップにおいて、成功した検査状態をセットするステップと、
を含んでいる。

本発明による方法では、第１の方法ステップにおいて、機能的に検査可能な診断ユニットによって正のエラー状態として識別可能である状態が呼び起こされる。第１の決定ステップでは、検査可能な診断ユニットが、そのような正のエラー状態を実際に識別したかどうかが検査される。この正のエラー状態の識別が起きていない場合には、検査可能な診断ユニットの機能は保証されない。検査可能な診断ユニットのそのような故障の場合には、外部遮断信号を用いて、および／またはモータ制御ユニットから制御信号を介して伝送されたパラメータを用いて、ブラシレスＤＣモータの安全状態、例えば停止状態をもたらすことが可能である。このように、特に、検査可能な診断ユニットの検査のための本発明による方法の定期的な反復によって、ブラシレスＤＣモータの動作中の安全度は、従来技術による診断ユニットに比較して、著しく改善され、そのためそのような検査可能な診断ユニットの従来技術から公知の平行監視は不要になる。さらに、検査可能な診断ユニット自体に対してだけでなく、その監視機能の実施のために検査可能な診断ユニットと接続される例えば温度若しくは電圧センサなどのさらなる構成素子に対しても、それ自体では信頼性の高い所望のレベルに必要な条件を満たせないような製造技術を用いることが可能になる。このように本発明による方法は、信頼性の高い所望のレベルを満たす、ブラシレスＤＣモータのための、従来技術による公知のものよりも容易でかつ安価な駆動制御の製造も可能にする。

一実施形態では、本発明による方法は、第１の決定ステップに続く第２の決定ステップにおいて、例えば、第１の方法ステップにおける検査コマンドの伝送と、第２の方法ステップにおける検査可能な診断ユニットからモータ制御ユニットへの正のエラー状態の伝送との間の時間間隔が、所定の時間間隔の範囲外にある場合は、検査可能な診断ユニットの故障が識別される。好ましくは、本発明のこの実施形態では、識別されるべき伝送された検査コマンドの結果としての正のエラー状態を確認しないことを許容している。

例えば、温度故障を監視する検査可能な診断ユニットは、最初に正のエラー状態を伝送しないことによって、監視される温度の上方の限界値を、通常の動作温度（起動温度）より低い値に低減させる検査コマンドに応答させることが可能となる。いくつかの状況では、別のパラメータ、例えば供給電圧の監視は、引き続き機能可能である。そしてこの場合、実際に発生する過電圧若しくは不足電圧に基づいて、検査可能な診断ユニットを検査するための検査コマンドへの想定される応答と間違ってみなされる正のエラー状態がランダムに生成される可能性がある。その時間間隔内で、伝送された正のエラー状態が検査コマンドに対応するものとみなされ、それによって検査可能な診断ユニットの機能の証明とみなされる、検査コマンドの伝送時点との間の時間間隔の本発明による制限により、機能可能と誤って診断される検査可能な診断ユニットの確率が大幅に低減される。従って、本発明のこの実施形態により、装置の安全度は改善される。

一実施形態では、本発明による方法は、第１の方法ステップ並びに後続する全ての方法および決定ステップの少なくとも１つの反復を含む。好ましくは、それにより、検査可能な診断ユニットを、定期的に、例えば所定の時間間隔で、検査することが可能になる。従って、検査可能な診断ユニットの故障、およびそれに伴うブラシレスＤＣモータの潜在的故障またはエラーが、遅くとも所定時間後に識別されることが達成可能となる。これにより、ブラシレスＤＣモータの特に安全で連続的な動作若しくは運転が可能になる。

以下では本発明のさらなる詳細および実施形態を、図面に基づき詳細に説明する。

従来技術によるインバータ回路を駆動制御する装置の概略的構造図 従来技術によるインバータ回路の監視のための制御フローの概略図 インバータ回路を駆動制御する本発明による装置の概略的構造図 インバータ回路を駆動制御する本発明による装置の監視のための制御フローの概略図 インバータ回路の駆動制御の監視のための本発明による方法のシーケンス概略図 インバータ回路の駆動制御の監視のための本発明による方法のシーケンス概略図

図１は、詳細には図示しない３つのステータコイルを有するブラシレスＤＣモータ３用のインバータ回路２を概略的に示し、このインバータ回路は、従来技術による駆動制御装置１’によって駆動制御される。

インバータ回路２は、３つのプラス側電界効果トランジスタ（以下単にＦＥＴとも称する）２．１．ａ，２．２．ａ，２．３．ａおよび３つのマイナス側ＦＥＴ２．１．ｂ，２．２．ｂ，２．３．ｂを含み、これらはＢ６ブリッジ方式で接続されている。ここではそれぞれプラス側ＦＥＴ２．１．ａ，２．２．ａ，２．３．ａおよびマイナス側ＦＥＴ２．１．ｂ，２．２．ｂ，２．３．ｂは、正の供給電圧線路２．４と負の供給電圧線路２．５との間で直列に接続されている。プラス側ＦＥＴ２．１．ａ，２．２．ａ，２．３．ａとマイナス側ＦＥＴ２．１．ｂ，２．２．ｂ，２．３．ｂとの間の接続部には、ブラシレスＤＣモータ３のそれぞれ１つのステータコイルを通電している、各コイル供給線路２．６．１〜２．６．３が接続されている。

インバータ回路２のＦＥＴ２．１．ａ〜２．３．ｂは、従来技術による駆動制御装置１’によって、３つのコイル供給線路２．６．１〜２．６．３のうちのそれぞれ１つが時間的に交互に無通電状態となるように制御される。コイル供給線路２．６．１〜２．６．３の無通電状態への変更の順序と速度によって、ブラシレスＤＣモータ３内でステータコイルを用いて構築される磁界の回転方向と回転速度が制御される。

これのために、従来技術による駆動制御装置１’は、ＦＥＴ２．１．ａ〜２．３．ｂの駆動制御のために６つの制御電圧を準備し、それらは６つの駆動制御線路２．７．１ａ〜２．７．３ｂへ伝送される。これらの６つの制御電圧の時間経過は、図２に示されている制御信号４によって決定され、この制御信号を介してモータ制御ユニット５は、従来技術による駆動制御装置１’と通信する。例えばそのような制御信号４は、従来技術からシリアル周辺インタフェース（ＳＰＩ）として公知のインタフェースを含むことが可能であり、それを介してデータおよび／またはコマンドが従来技術による駆動制御装置１’に供給される。そのような制御信号４は、さらにパルス幅変調された信号を含むことが可能であり、これはそのようなＳＰＩインタフェースと平行して伝送され、そこではパルスシーケンスが、ＦＥＴ２．１．ａ〜２．３．ｂ．の駆動制御のための６つの制御電圧の時間経過を制御する。

さらにこれらの６つの制御電圧の時間経過は、ロータ状態線路３．８を介してブラシレスＤＣモータ３から従来技術による駆動制御装置１’に伝送され、かつロータの位置および／または回転速度を表すロータ状態信号によって決定される。

１つ以上のＦＥＴ２．１．ａ〜２．３．ｂの故障により、インバータ２がブラシレスＤＣモータ３を誤って駆動制御するか若しくはそれどころか破壊する可能性がある。この理由から、従来技術から公知の配置構成では、インバータ２が従来技術による診断ユニット６’を用いて監視される。

ブラシレスＤＣモータ３の安全な遮断（スイッチオフ）を保証するために、例えば制御信号４に障害がある場合でも、又は、この制御信号４のために使用されるインタフェースに障害がある場合でも、遮断信号を生成する遮断装置７が、従来技術による駆動制御装置１’に接続されている。遮断信号が従来技術による駆動制御装置１’に供給されると、駆動制御装置は、安全状態に変わり、インバータ回路２およびブラシレスＤＣモータ３も同様に安全状態に変わるようなＦＥＴ２．１．ａ〜２．３．ｂのための制御電圧を生成する。

図２は、ブラシレスＤＣモータ３の駆動制御の従来技術から公知の監視のための制御フローを概略的に示している。従来技術による駆動制御装置１’およびインバータ回路２を含む、保護されていない制御パス８に沿って、ステータコイルの通電のための電圧が生成され、これは、コイル供給線路２．６．１〜２．６．３を介してブラシレスＤＣモータ３に伝送される。保護されていない制御パス８に平行して、モータ制御ユニット５並びに従来技術による診断ユニット６’を含んだ保護された制御パス９に沿って、ブラシレスＤＣモータ３の実際の駆動制御が、制御信号４を介してモータ制御ユニット５から要求された駆動制御と一致するか否かが検査される。

図３は、ブラシレスＤＣモータ３を駆動制御するためのインバータ回路２を駆動制御および／または監視する本発明による装置１の構造を概略的に示す。この装置１は、制御電圧を生成するドライバ回路１．１を備え、このドライバ回路は、駆動制御線路２．７．１ａ〜２．７．３ｂを用いてインバータ回路２のＦＥＴ２．１．ａ〜２．３．ｂを駆動制御する。この装置１はさらに、検査可能な診断ユニット６、信頼性の高い通信ユニット１．３並びに遮断装置７を含んでいる。

装置１は、制御信号４を用いてモータ制御ユニット５と通信する。モータ制御ユニット５は、例えばマイクロコントローラとして構成されていてもよい。制御信号４は、例えばＳＰＩインタフェースを用いて装置１に伝送可能である。制御信号４は、双方向に伝送可能であり、その場合制御信号４の少なくとも１つの第１の要素は、モータ制御ユニット５から送信され、制御信号４の少なくとも１つの第２の要素は装置１から送信される。装置１はさらに、外部遮断信号の受信のために遮断信号入力線路１．７を備えている。

装置１は、インバータ回路２からインバータ状態線路２．８を介して、インバータ回路２の例えば供給電圧および／または制御電圧および／または温度などのパラメータ値を表す、インバータ状態信号を受信する。

装置１は、ブラシレスＤＣモータ３からロータ状態線路３．８を用いて、少なくとも１つの位置センサのためのパラメータ値を用いてブラシレスＤＣモータ３のロータの位置を表すロータ状態信号を受信することが可能である。当業者には、従来技術から、例えばステータに集積されたホールセンサを用いて、光電位置センサを用いて、または誘導位置センサを用いて、そのようなロータ状態信号を得るための装置および方法は公知である。

以下では、装置１の基本的な機能を説明する。

制御信号４からは、ドライバ回路１．１において、インバータ回路２のＦＥＴ２．１．ａ〜２．３．ｂを駆動制御するための制御電圧が連続的に生成される。

同時に、検査可能な診断ユニット６は、少なくとも１つの監視されるパラメータの連続的に特定された値を、このパラメータに対応する限界値の少なくとも１つの所定の動作値と比較することにより、装置１および／またはインバータ回路２および／またはブラシレスＤＣモータ３の適正な機能を検査する。例えば、検査可能な診断ユニット６は、ドライバ回路１．１の測定点に対する所定の最大温度を上回ったか否かを検査し、かつ／またはドライバ回路１．１の供給電圧についての所定の許容電圧範囲を越えたか否かを検査する。

障害の発生と、任意選択的に、障害の種類および規模が、検査可能な診断ユニット６から信頼性の高い通信ユニット１．３を用いて正のエラー状態として、モータ制御ユニット５に伝送される。モータ制御ユニット５は、正のエラー状態が発生した場合に、遮断信号入力線路１．７を介して装置１へ供給される遮断信号の生成をトリガする。

それにより遮断装置７は活性化され、この遮断装置は、ドライバ回路１．１並びにドライバ回路１．１からインバータ回路２に伝送されるＦＥＴ２．１．ａ〜２．３．ｂを駆動制御するための制御電圧を用いてインバータ回路２も同様に安全状態に変える。

そのような安全状態は、例えばインバータ回路２を用いてブラシレスＤＣモータ３のロータを制動することによって達成され得る。本発明の他の実施形態では、安全状態は、ブラシレスＤＣモータ３のロータを事前に定められた所定の位置にもたらすか、または事前に定められた所定の回転速度で動かすことによって達成される。また、全てのコイル供給線路２．６．１〜２．６．３を無通電状態に切り換えることによって、安全状態を達成することも可能である。

さらに、正のエラー状態が存在する場合に、モータ制御ユニット５は、遮断信号の他に、ブラシレスＤＣモータが安全状態に変わるようにインバータ回路２を駆動制御する制御信号を生成することも可能である。例えば制御信号４を用いて、インバータ回路２を、ＦＥＴ２．１．ａ〜２．３．ｂの遮断により、高抵抗状態に変えることも可能である。それにより、好ましくは、遮断信号の生成、伝送または処理が障害を受けている疑いがあるような場合にも、ブラシレスＤＣモータ３を安全状態にもたらすことが可能になる。

本発明によれば、ここでは、ドライバ回路１．１、検査可能な診断ユニット６、信頼性の高い通信ユニット１．３、並びに遮断装置７は、図４に示されているように、保護された制御パス９内に配置されている。例えば、ドライバ回路１．１、検査可能な診断ユニット６、信頼性の高い通信ユニット１．３、並びに遮断装置７は、それらが機能安全のための所定の分類パターンの要件を満たすように構成されていてもよい。それにより、ドライバ回路１．１、検査可能な診断ユニット６、信頼性の高い通信手段１．３、並びに遮断装置７は、ＩＳＯ ２６２６２−３の自動車安全度水準（ＡＳＩＬ）の規格に記載されたＡＳＩＬ−Ａ、ＡＳＩＬ−Ｂ、ＡＳＩＬ−ＣまたはＡＳＩＬ−Ｄなどのような安全度の要件に準拠して構成することが可能になる。好ましくは、従来技術によるさらなる制御パスに沿った付加的監視は不要となる。

そのような所望の安全度を達成するために、特に低い故障率を有する構成要素を設けることが可能である。例えば遮断装置７に対して並びにドライバ回路１．１およびインバータ回路２までの遮断信号の伝送に対して、１００億時間あたり最大でも１回の故障の故障率（０．１フィット（Ｆａｉｌｕｒｅ ｉｎ Ｔｉｍｅ；ＦＩＴ）の値に相当）が特定される構成要素を使用することが可能である。

所望の安全度を達成するための他の手段は、検査可能な診断ユニット６を用いた、装置１の構成要素の機能の監視である。装置１の少なくとも１つの構成要素の機能の検査が失敗すると、正のエラー状態が、制御信号４を介してモータ制御ユニット５に伝送され、この場合制御信号４は、保護された接続路を介してモータ制御ユニット５に伝送される。当業者には、制御信号４を伝送するためのそのような保護された接続路を形成するための方法および装置は公知である。例えば、少なくとも部分的に２進符号化された制御信号４を伝送する場合には、順次連続するビット値をデータパケットに統合することが可能である。そのようなデータパケットには、例えば、巡回冗長検査（ＣＲＣ）として当業者に公知の方法に従って特定され検査されるテスト値が備えられていてもよい。それにより、ＣＲＣテスト値が対応付けられたデータパケットのビット値の伝送の際にエラーを検出することが可能になる。

さらに、データパケットが、テスト値に対して付加的若しくは代替的にパケット識別子を備えることも可能である。このパケット識別子は、例えば受信されたデータパケットに対する連続的に増分される入力カウンタとして、および送信されたデータパケットに対する連続的に増分される出力カウンタとして、構成されていてもよい。そのようなパケット識別子を用いることにより、多重送信されたデータパケットを識別することまたはデータパケットの損失を識別することが可能になる。

装置１の正のエラー状態が、モータ制御ユニット５を用いて識別されると、それにより遮断装置７を用いて安全状態がとられる。換言すれば、すなわち、検査可能な診断ユニット６によって監視された構成要素のうちの少なくとも１つに対する機能が正常ではない場合に、装置１は安全状態に変えられる。好ましくは、それに伴い、装置１の個々の構成要素が例えば過度に高い故障率に基づいて、それ自体で所望の安全度に対応しきれない場合であっても、装置１に高い信頼性を備えさせることが可能である。

本発明の一実施形態では、検査可能な診断ユニット６は、ＦＥＴ２．１．ａ〜２．３．ｂのためのドライバ回路１．１によって生成された制御電圧のうちの少なくとも１つを測定し、制御信号４からモータ制御ユニット５によって誘導された少なくとも１つの対応する限界値と比較することによって、ドライバ回路１．１の状態を監視している。例えば、各制御電圧を、上方および下方の限界値に対して比較することが可能である。

本発明の一実施形態では、検査可能な診断ユニット６は、コイル供給線路２．６．１〜２．６．３上の出力電圧を測定し、同じ若しくは類似した方法で、制御信号４から導出される限界値と比較することによって、インバータ回路２の状態を監視する。

本発明の一実施形態では、検査可能な診断ユニット６は、装置１、ドライバ回路１．１または装置１のさらなる構成要素の供給のための少なくとも１つの供給電圧、および／またはインバータ回路２の供給のための少なくとも１つの供給電圧、および／またはブラシレスＤＣモータ３の供給のための少なくとも１つの供給電圧を測定し、測定された供給電圧を、制御電圧と同じ方法若しくは類似した方法で、対応する限界値と比較する。

さらに、検査可能な診断ユニット６を用いて、温度値、例えばその上に装置１の少なくとも１つの構成要素が配置されているチップの温度、および／またはその上にインバータ回路２の少なくとも１つの構成要素が配置されているチップの温度を検出し、制御電圧と同じ方法若しくは類似した方法で、対応する限界値と比較することが可能である。一変化実施形態では、１つの温度値を、対応する１つの上方の限界値に対してのみ比較することも可能である。

例えば供給電圧または温度のために、対応する測定値と比較するための限界値は、検査可能な診断ユニット６の詳細には示していない記憶ユニットに記憶可能である。しかしながらそのような限界値を、制御信号４を用いてモータ制御ユニット５から装置１に伝送することも可能である。

図５は、検査可能な診断ユニット６の監視のための本発明による方法のフローチャートを概略的に示している。この検査可能な診断ユニットは、装置１の構成要素の機能の監視のために、少なくとも１つの監視されるパラメータを測定し、少なくとも１つの対応する限界値の動作値と比較する。

第１の方法ステップＳ１では、制御信号４を用いて、機能検査を開始するための検査コマンドが、検査可能な診断ユニット６へ送信される。この検査コマンドは、検査可能な診断ユニット６によって監視される少なくとも１つパラメータのために、少なくとも１つの限界値の変更を引き起こす。この場合１つの限界値は、１つの動作値（起動値）から１つのテスト値へ変更される。動作値（起動値）とは異なり、限界値のそのようなテスト値は、装置１の構成要素の機能の監視ではなく、検査可能な診断ユニット６の機能の監視に用いられる。

この場合、下方の限界値は、対応する監視されるパラメータが増加されたテスト値に対し下回るが、正常な動作状態における下方の限界値に対しては安全であるように増加される。また上方の限界値は、対応する監視されるパラメータがこの低減されたテスト値を越えるが、正常な動作状態における上方の限界値に対しては安全であるように低減される。

例えば、装置１の或る構成部品の温度に関し、障害のない正常な運転中に期待される温度が１２０℃であるならば、上方の限界値は、１７０℃の動作値から−５０℃のテスト値に低減される。

さらなる例として、供給電圧に対し、障害のない正常な運転中に期待される供給電圧が３．３Ｖであるならば、下方の限界値は、３Ｖの動作値から６Ｖのテスト値に増加される。

検査コマンドを用いて変更される少なくとも１つの限界値により、検査可能な診断ユニット６において、障害のない正常な運転中に正のエラー状態のセットが引き起こされる。

後続する第２の方法ステップＳ２では、検査可能な診断ユニット６のエラー状態が、モータ制御ユニット５に伝送される。エラー状態の初期化以降または最後のリセット以降、限界値の上回りに関して監視されたパラメータのいずれも、対応する上方の限界値を上回ることがなく、限界値の下回りに関して監視されたパラメータのいずれも、対応する下方の限界値を下回ることがなかった場合、そのようなエラー状態は負である。その他の全ての場合では、エラー状態は正であり、すなわち、少なくとも１つの監視される構成要素のエラーを示す。

ここでは、このエラー状態は、モータ制御ユニット５によって１回以上、十分に規則的な間隔で要求コマンドを用いて問合せされる、すなわちポーリングされることが可能である。代替的に、このエラー状態は、装置１からモータ制御ユニット５の要求コマンドなしでモータ制御ユニット５に送信されることも可能である。

後続の第１の決定ステップＥ１では、エラー状態が正であるか否か、換言すれば、検査可能な診断ユニット６によって、期待されるように、少なくとも１つの監視されたパラメータの限界値の上回りが識別されたか否かが検査される。

負のエラー状態は、このような状況、すなわち検査コマンドの発生後では、検査可能な診断ユニット６の故障を示す。そのような負のエラー状態の場合には、否定決定パスＮに沿ってエラー処理ステップＦに続けられ、そこでは、遮断信号入力線路１．７からの遮断信号を用いて遮断装置７が活性化され、さらにこれによって、および／または制御信号４によって、装置１、インバータ回路２およびブラシレスＤＣモータ３が、安全状態に変えられる。

正のエラー状態の場合には、検査可能な診断ユニット６によって、検査コマンドを用いて引き起こされる少なくとも１つのパラメータの限界値の上回りが首尾よく識別され、さらに第１の決定ステップＥ１に対して、肯定決定パスＪに沿って第２の決定ステップＥ２が続けられる。そこでは、この限界値上回りの識別が、検査コマンドの発生後の所定の応答時間間隔内で起きたものか否かが検査される。この所定の応答時間間隔の上回りは、検査可能な診断ユニット６の故障を示唆する。例えば、記録された正のエラー状態は、検査コマンドの実行の結果ではなく、むしろ別の限界値上回りにより、検査可能な診断ユニットによって適正に若しくは誤って特定された限界値上回りにより、引き起こされたものであることが可能である。それ故、所定の応答時間間隔が遵守されなかった場合には、否定決定パスＮに沿ってエラー処理ステップＦに続けられ、そこでは、装置１、インバータ回路２およびブラシレスＤＣモータ３が、説明したように安全状態に変えられる。

第２の決定ステップＥ２において、正のエラー状態が、検査コマンドの発生後の所定の応答時間間隔内で記録されたものであることが特定されたならば、第２の決定ステップＥ２に対して、肯定決定パスＪに沿って第３の処理ステップＳ３が続けられる。そこではエラー状態がリセットされ、すなわち、負のエラー状態にセットされる。この第３の処理ステップＳ３ではさらに、第１の処理ステップＳ１においてテスト値に変更された少なくとも１つの限界値が、対応する動作値にリセットされる。

後続する第４の処理ステップＳ４では、検査可能な診断ユニット６のエラー状態が、新たにモータ制御ユニット５に伝送される。ここでは、このエラー状態は、モータ制御ユニット５によって１回以上、十分に規則的な間隔で要求コマンドを用いて問合せされる、すなわち調査されることが可能である。代替的に、このエラー状態は、装置１からモータ制御ユニット５の要求コマンドなしでモータ制御ユニット５に送信されることも可能である。

後続する第３の決定ステップＥ３では、エラー状態が正であるか否か、換言すれば、検査可能な診断ユニット６により、監視されたパラメータに対する少なくとも１つの限界値の動作値の上回りが識別されたか否かが検査される。

正のエラー状態の場合には、第３の決定ステップＥ３に対して、肯定決定パスＪに沿ってエラー処理ステップＦが続けられ、そこでは、遮断信号入力線路１．７からの外部遮断信号を用いて遮断装置７が活性化され、さらに装置１、インバータ回路２およびブラシレスＤＣモータ３が安全状態に変えられる。

負のエラー状態の場合には、第３の決定ステップＥ３に対して、第５の処理ステップＳ５が続けられ、そこでは、検査可能な診断ユニット６の機能が検出される。この第５の処理ステップＳ５においては、検査可能な診断ユニット６の機能を、検査状態の形態で、任意選択的にタイムスタンプを付して記憶させることが可能である。

図５による方法によれば、検査可能な診断ユニット６のエラーが識別され、そのようなエラーの場合には、エラー処理ステップＦが実施されることが達成される。このエラー処理ステップでは、装置１、インバータ回路２およびブラシレスＤＣモータ３が安全状態に変えられる。それにより、例えばインバータ回路２などのそれ自体では所望の信頼性レベルに対する必要条件を満たせないような構成要素を、検査可能な診断ユニット６による監視を用いて、ブラシレスＤＣモータ３を駆動制御する装置に使用することが可能になり、この装置は所望の信頼性レベルを満たす。

本発明の一実施形態においては、第５の処理ステップＳ５に後続して、方法ステップＳ１で始まる新たな方法シーケンスを開始することも可能である。この場合には、新たなシーケンスの開始を、所定の期間だけ遅延させることが可能である。好ましくは、それにより、検査可能な診断ユニット６の機能を、十分に短い時間間隔で定期的に検査することが達成される。

さらに本発明では、第１の処理ステップＳ１において、検査コマンドを用いて、検査可能な診断ユニット６によって監視される正確に１つのパラメータに対して少なくとも１つの限界値の変更が引き起こされる実施形態が可能である。本発明のそのような実施形態では、検査可能な診断ユニット６の機能が、監視されるパラメータに関して詳細に検査可能である。それにより、好ましくは、検査可能な診断ユニット６の故障の場合に、付加的な情報を求めることが可能になる。

しかしながら、第１の処理ステップＳ１において、検査コマンドを用いて、検査可能な診断ユニット６によって監視される２つ以上のパラメータに対して少なくとも１つの限界値の変更が引き起こされる、本発明の実施形態も可能である。例えば、この場合には、検査可能な診断ユニット６によって監視される全てのパラメータに対して、少なくとも１つの限界値を変更することが可能である。本発明のそのような実施形態では、検査可能な診断ユニット６の機能が、最小数の検査コマンドによって簡潔的に監視可能になる。このことは、検査可能な診断ユニット６の非常に頻繁な検査を可能にさせ、ひいては検査可能な診断ユニット６が故障した後のブラシレスＤＣモータ３のための安全状態への到達の際の遅延を僅かにさせ得る。

図６は、モータ制御ユニット５と装置１との間の通信を、シーケンス図で概略的に示している。

第１の関数呼び出しＦ１に沿って、機能検査の開始のための検査コマンドが、モータ制御ユニット５から装置１へ送信され、これは装置１の内部において、検査可能な診断ユニット６に転送される。この第１の関数呼び出しＦ１は、第１の方法ステップＳ１をトリガする。

第２の関数呼び出しＦ２に沿って、エラー状態のリターンが装置１によって要求される。この第２の関数呼び出しＦ２は、装置１の内部において、検査可能な診断ユニット６に転送され、第２の方法ステップＳ２をトリガする。

第１のバリューリターンＲ１に沿って、検査可能な診断ユニット６のエラー状態は、第２の方法ステップＳ２の実施に従って、装置１からモータ制御ユニット５へ伝送される。

第３の関数呼び出しＦ３に沿って、検査可能な診断ユニット６のエラー状態がリセットされる。この第３の関数呼び出しＦ３は、第３の処理ステップＳ３をトリガする。

第４の関数呼び出しＦ４に沿って、エラー状態のリターンが、装置１によって要求される。この第４の関数呼び出しＦ４は、装置１の内部において、検査可能な診断ユニット６に転送され、第４の処理ステップＳ４をトリガする。

第２のバリューリターンＲ２に沿って、検査可能な診断ユニット６のエラー状態は、第４の方法ステップＳ４の実施に従って、装置１からモータ制御ユニット５へ伝送される。

Claims (10)

1. インバータ回路（２）を用いてブラシレスＤＣモータ（３）を駆動制御および／または監視する装置（１）であって、
   遮断装置（７）と、
   前記インバータ回路（２）に作用するドライバ回路（１．１）と、
   前記装置（１）および／または前記インバータ回路（２）および／または前記ブラシレスＤＣモータ（３）の少なくとも１つのパラメータを監視する、検査可能な診断ユニット（６）と、を含み、
   前記遮断装置（７）は、前記ドライバ回路（１．１）に作用し、
   前記検査可能な診断ユニット（６）は、当該検査可能な診断ユニット（６）のエラーを示すエラー状態を検出して出力することよって、検査コマンドに応答するように構成されている、装置（１）において、
   前記検査可能な診断ユニット（６）は、下記ステップを実行するように構成されている、
   第１の処理ステップ（Ｓ１）において、監視されるパラメータに対応する少なくとも１つの限界値のためのテスト値の設定を含む、モータ制御ユニット（５）から前記検査可能な診断ユニット（６）に伝送された検査コマンドを実施するステップと、
   後続する第２の処理ステップ（Ｓ２）において、前記検査可能な診断ユニット（６）から前記モータ制御ユニット（５）へエラー状態を伝送するステップであって、ただし、正のエラー状態値は、監視されるパラメータの少なくとも１つの限界値を越える、ステップと、
   後続する第１の決定ステップ（Ｅ１）において、正ではないエラー状態値の場合に、前記検査可能な診断ユニット（６）をエラーと識別するステップと、
   第３の処理ステップ（Ｓ３）において、エラー状態を、正ではないエラー状態値にリセットし、かつ、少なくとも１つの監視されるパラメータに対する少なくとも１つの限界値を、動作値にリセットするステップと、
   後続する第４の処理ステップ（Ｓ４）において、エラー状態を、前記検査可能な診断ユニット（６）から前記モータ制御ユニット（５）へ伝送するステップと、
   後続する第３の決定ステップ（Ｅ３）において、正のエラー状態値の場合の前記検査可能な診断ユニット（６）のエラーを識別するステップと、
   後続する第５の処理ステップ（Ｓ５）において、成功した検査状態をセットするステップと、
   を実行する、
   ことを特徴とする装置（１）。
2. 前記検査可能な診断ユニット（６）は、信頼性の高い通信ユニット（１．３）と接続可能であり、検査コマンド並びに該検査コマンドに基づいて求められた前記検査可能な診断ユニット（６）のエラー状態が、前記信頼性の高い通信ユニット（１．３）を用いてモータ制御ユニット（５）に伝送可能である、請求項１記載の装置（１）。
3. 前記検査可能な診断ユニット（６）は、前記ドライバ回路（１．１）のスイッチング状態を監視するように構成されている、請求項１または２記載の装置（１）。
4. 前記検査可能な診断ユニット（６）は、前記ブラシレスＤＣモータ（３）のロータの位置を特定する少なくとも１つの位置センサの機能を監視する、請求項１から３いずれか１項記載の装置（１）。
5. 前記少なくとも１つの位置センサは、ホールセンサとして構成されている、請求項４記載の装置（１）。
6. 前記検査可能な診断ユニット（６）は、前記装置（１）および／または前記インバータ回路（２）の少なくとも１つの構成要素の温度を監視するように構成されている、請求項１から５いずれか１項記載の装置（１）。
7. 前記検査可能な診断ユニット（６）は、前記インバータ回路（２）の少なくとも１つの供給電圧および／または少なくとも１つの出力電圧を監視する、請求項１から６いずれか１項記載の装置（１）。
8. インバータ回路（２）を用いてブラシレスＤＣモータ（３）を駆動制御および／または監視する装置（１）における検査可能な診断ユニット（６）の監視のための方法であって、
   前記装置（１）は、
   遮断装置（７）と、
   前記インバータ回路（２）に作用するドライバ回路（１．１）と、
   前記装置（１）および／または前記インバータ回路（２）および／または前記ブラシレスＤＣモータ（３）の少なくとも１つのパラメータを監視する、検査可能な診断ユニット（６）と、を含み、
   前記遮断装置（７）は、前記ドライバ回路（１．１）に作用し、
   前記検査可能な診断ユニット（６）は、当該検査可能な診断ユニット（６）のエラーを示すエラー状態を検出して出力することよって、検査コマンドに応答するように構成されている、方法において、
   以下のステップ、すなわち、
   第１の処理ステップ（Ｓ１）において、監視されるパラメータに対応する少なくとも１つの限界値のためのテスト値の設定を含む、モータ制御ユニット（５）から前記検査可能な診断ユニット（６）に伝送された検査コマンドを実施するステップと、
   後続する第２の処理ステップ（Ｓ２）において、前記検査可能な診断ユニット（６）から前記モータ制御ユニット（５）へエラー状態を伝送するステップであって、ただし、正のエラー状態値は、監視されるパラメータの少なくとも１つの限界値を越える、ステップと、
   後続する第１の決定ステップ（Ｅ１）において、正ではないエラー状態値の場合に、前記検査可能な診断ユニット（６）をエラーと識別するステップと、
   第３の処理ステップ（Ｓ３）において、エラー状態を、正ではないエラー状態値にリセットし、かつ、少なくとも１つの監視されるパラメータに対する少なくとも１つの限界値を、動作値にリセットするステップと、
   後続する第４の処理ステップ（Ｓ４）において、エラー状態を、前記検査可能な診断ユニット（６）から前記モータ制御ユニット（５）へ伝送するステップと、
   後続する第３の決定ステップ（Ｅ３）において、正のエラー状態値の場合の前記検査可能な診断ユニット（６）のエラーを識別するステップと、
   後続する第５の処理ステップ（Ｓ５）において、成功した検査状態をセットするステップとを、
   含んでいることを特徴とする方法。
9. 前記第１の決定ステップ（Ｅ１）に続く第２の決定ステップ（Ｅ２）において、
   前記検査コマンドの伝送と、前記第２の処理ステップ（Ｓ２）における前記検査可能な診断ユニット（６）から前記モータ制御ユニット（５）への正のエラー状態の伝送との間の時間間隔が、所定の時間間隔の範囲外にある場合に、前記検査可能な診断ユニット（６）のエラーが識別されるステップを含んでいる、請求項８記載の方法。
10. 前記第１の処理ステップ（Ｓ１）並びに後続する全てのステップ（Ｓ２乃至Ｓ５、Ｅ１乃至Ｅ３）の少なくとも１つの反復を含んでいる、請求項８記載の方法。

Images