JP6683806B2 - 車両安全電子制御システム - Google Patents

Description

本発明は電子制御システムに関し、より詳細には、車両安全電子制御システムに関する。

自動車において、現在、電子安全システムが非常に広く使用されている。そのような安全システムは、例えば、死角監視システム、アクティブクルーズコントロールシステム、プレセーフブレーキシステム、衝突回避システム、車線逸脱防止システム、及び後方衝突軽減システムを含むことができる。

最新の車両安全システムの複雑性は、安全システムを提供し、管理するために必要とされる電子制御システムの性能及び信頼性を重視している。そのような制御システムは通常、いわゆる先進運転支援システム（ＡＤＡＳ：Advanced Driver Assistance System）アルゴリズムをホスティングし、実行するために、統合されたハードウェア及びソフトウェアを含む。

そのようなシステムは、いわゆる自動車安全完全性レベル（ＡＳＩＬ：Automotive Safety Integrity Level）リスク分類方式を規定するＩＳＯ ２６２６２「道路車両の機能安全規格」（Functional Safety for Road Vehicles standard）のような非常に厳密な安全要件を満たすように要求される。ＡＳＩＬ−Ｄは、この規格下の最も高い完全性要件を表し、安全関連処理タスクに適用可能である。

機能安全規格の要件は、制御システムが、算術ユニット、論理ユニット及びメモリユニット内の安全関連誤りを特定できなければならないことであり、それは、ロックステッププロセッサアーキテクチャが使用される場合のＡＳＩＬ−Ｄ電子制御ユニットにおいてのみ可能である。しかしながら、このタイプのロックステップアーキテクチャを有するプロセッサが有する処理能力は比較的低く、レーダー、ライダー及び／又はカメラ等の一組の適したセンサーを用いてＡＤＡＳのような最新のアプリケーションを取り扱うには不十分である。したがって、２つのマイクロコントローラーを用いることが提案されており、第１のいわゆる「安全」マイクロコントローラーは、重要な安全関連タスクを取り扱うとともに第２のいわゆる「性能」マイクロコントローラーの動作を監視することができ、第２のいわゆる「性能」マイクロコントローラーは、より高い処理能力を有し、したがって、安全マイクロコントローラーの監督の下でシステムの主な処理タスクを取り扱うよう構成されるようになっている。

上記で説明されたタイプの構成では、２つのマイクロコントローラーは、互いに通信することが必要とされる。安全マイクロコントローラーは、通常、高レベルソフトウェアフロー監視手法を介して性能マイクロコントローラーを監視するように構成される。このタイプの構成では、性能マイクロコントローラーが安全マイクロコントローラーと通信することができるような２つのマイクロコントローラー間の通信パスが健全であるという条件で、安全マイクロコントローラーは、性能マイクロコントローラーにおける問題を診断することができる。したがって、安全マイクロコントローラーは、マスターマイクロコントローラーとして動作するように構成することができ、性能マイクロコントローラーは、スレーブマイクロコントローラーとして動作するように構成することができる。安全（マスター）マイクロコントローラーは、したがって、２つのマイクロコントローラー間の通信を開始するように動作し、一般に、任意の所与の時点における通信がシンプレックス（simplex：単信）モードであるべきか又はデュプレックス（duplex：二重）モードであるべきかを判断するとともに、データの転送をクロック制御するように構成される。理解されるように、性能（スレーブ）マイクロコントローラーがその状態又は性能に関するデータを安全（マスター）マイクロコントローラーに返信することが必要とされるとき、デュプレックス通信が必要となる。２つのマイクロコントローラー間の通信は、プロセッサ間通信（「ＩＰＣ」）パスを介して達成される。ＩＰＣパスは、様々な異なる形態を取ることができるが、シリアルペリフェラルインターフェース（「ＳＰＩ」）バスが一般的である。帯域幅に関して、ＡＤＡＳ機能を動作させるには、少なくとも１００ＭｂｐｓのＩＰＣ速度が必要とされることがわかっている。

しかしながら、従来技術の構成においてマイクロプロセッサ間でＩＰＣに十分な帯域幅を実現することは困難であり得ることがわかっている。さらに、デュプレックスモードを用いてマイクロコントローラー間で通信するとき、高速通信を可能にするには、２つのマイクロコントローラーが周波数に関して厳密に一致していることが重要である。この要件は、多くの場合、システム設計者が適したマイクロプロセッサを選択することが制限されて、設計者が他の有利な技術的特性のみに基づいてマイクロプロセッサを選択することができないようになることを意味する可能性があり、これは、最適化されたシステムを作製する設計者の能力が損なわれることを意味する。例えば、設計者は、異なる製造業者から２つのマイクロプロセッサを選択したい場合があるが、これを行うと、それらのマイクロプロセッサ間の信頼できる高速デュプレックス通信を実現することが非常に困難になる可能性がある。

したがって、本発明の目的は、改良された車両安全電子制御システムを提供することである。

本発明によれば、第１のマイクロコントローラーと、第２のマイクロコントローラーと、該マイクロコントローラーの間のデータの前記転送のためのプロセッサ間通信パスとを備える車両安全電子制御システムであって、該システムは、
前記第１のマイクロコントローラーから前記第２のマイクロコントローラーへのデータの前記転送について、前記第１のマイクロコントローラーがマスターとして動作するとともに前記第２のマイクロコントローラーがスレーブとして動作するプロセッサ間通信の第１のシンプレックスモードと、
前記第２のマイクロコントローラーから前記第１のマイクロコントローラーへのデータの前記転送について、前記第２のマイクロコントローラーがマスターとして動作するとともに前記第１のマイクロコントローラーがスレーブとして動作するプロセッサ間通信の第２のシンプレックスモードと、
前記第１のモードと前記第２のモードとの間で選択及び切り替えを行うように構成されるモード選択手段と、
を有し、
前記モード選択手段が、前記マイクロコントローラーの間に少なくとも２つの汎用入力／出力接続を備え、該汎用入力／出力接続は、前記プロセッサ間通信パスから分離しており、前記通信モードの前記選択をハンドシェイクするとともに、前記マイクロコントローラーの間の前記プロセッサ間通信パスに沿ったデータ送信の開始を同期させるように構成される、制御システムが提供される。

前記モード選択手段は、前記第１のモードと前記第２のモードとの間で動的に選択及び切り替えを行うように構成されることが有利である。

前記モード選択手段は、前記第１のモードに入るように動作可能な前記第１のマイクロコントローラー上のソフトウェアアプリケーションと、前記第２のモードに入るように動作可能な前記第２のマイクロコントローラー上のソフトウェアアプリケーションとを含むことが好都合である。

前記システムは、前記システムの起動の際及び前記２つのマイクロコントローラーの間のデータの各転送の成功後にデフォルトで前記第１のモードになるように構成されることが好ましい。

前記プロセッサ間通信パスは、同期シリアル通信インターフェースの形態で提供されることが有利である。

前記同期シリアル通信インターフェースは、シリアルペリフェラルインターフェース（ＳＰＩ）バスであることが好都合である。

前記システムは、前記第１の通信モード及び前記第２の通信モードのそれぞれにおけるデータ転送を少なくとも１００Ｍｂｐｓの速度で可能にするように構成されることが好ましい。

前記第１のモードにおけるプロセッサ間通信の最大データ転送周波数は、前記第２のモードにおける最大データ転送周波数と異なることが有利である。

前記第１のモードにおけるプロセッサ間通信の最大データ転送周波数は、前記第２のモードにおける最大データ転送周波数よりも小さいことが好都合である。

前記第１のマイクロコントローラーは、安全マイクロコントローラーの形態を取り、前記第２のマイクロコントローラーは、性能マイクロコントローラーの形態を取ることが好ましい。

前記第１のマイクロコントローラーは、ロックステップアーキテクチャを有し、前記第２のマイクロコントローラーは、ロックステップアーキテクチャを有しないことが有利である。

前記第１のマイクロコントローラーは、前記第１の通信モードにおける前記第２のマイクロコントローラーへのデータの前記転送のためのクロック機能を提供するように構成され、前記第２のマイクロコントローラーは、前記第２の通信モードにおける前記第１のマイクロコントローラーへのデータの前記転送のためのクロック機能を提供するように構成されることが好都合である。

前記第１のマイクロコントローラーは、前記第２のマイクロコントローラーよりも高い処理能力を有することが好ましい。前記第１のマイクロコントローラーは、ロックステップ構成を有することもできる。

制御システムは、集積電子制御ユニットの形態で提供することができる。

本発明の第２の態様によれば、第１の態様に記載の制御システムを備える、自動車電子安全システムが提供される。

本発明の別の態様によれば、第１のマイクロコントローラーと、第２のマイクロコントローラーと、該マイクロコントローラーの間のデータの双方向転送のためのプロセッサ間通信パスとを備える車両安全電子制御システムであって、
前記第１のマイクロコントローラーがマスターとして動作するとともに前記第２のマイクロコントローラーがスレーブとして動作するプロセッサ間通信の第１のモードと、
前記第２のマイクロコントローラーがマスターとして動作するとともに前記第１のマイクロコントローラーがスレーブとして動作するプロセッサ間通信の第２のモードと、
前記第１のモードと前記第２のモードとの間で選択及び切り替えを行うように構成されるモード選択手段と、
を有することを特徴とする、制御システムが提供される。

本発明をより容易に理解することができるように、そして、本発明の更なる特徴を認識することができるように、ここで、添付の図面を参照しがら、例として、本発明の実施形態が説明されることになる。

本発明による電子制御システムを含むことができる通常の自動車安全システムの概観を示す概略図である。 本発明による電子制御システムの主なハードウェア要素の概観を示す概略図である。

ここで図１についてのより詳細な検討に進むと、自動車２内に設置された例示的な電子安全システム１の概略図が示される（車両の向きを示すために、図１には、その一方のサイドパネルのみが示される）。安全システム１は、自動車２上の適切な位置に取り付けられた幾つかの異なるタイプのセンサーを備える。詳細には、図示されるシステム１は、車両２のそれぞれの前方角部に取り付けられる一対の発散性及び外向きのミッドレンジレーダー（「ＭＲＲ」）センサー３と、車両のそれぞれの後方角部に取り付けられる類似の一対の発散性及び外向きの多機能レーダーセンサー４と、車両２の前方中央に配置される前方に向けられたロングレンジレーダー（「ＬＲＲ」）センサー５と、例えば、車両のワイドスクリーンの上縁部の領域内に取り付けられる場合があるステレオビジョンシステム（「ＳＶＳ」）７の一部を形成する一対の一般的に前方に向けられた光センサー６とを備える。種々のセンサー３〜６は、中央電子制御システムに作動的に接続され、中央電子制御システムは通常、車両内の都合の良い場所に取り付けられる統合電子制御ユニット８の形で設けられる。図示される特定の構成において、前方及び後方ＭＭＲセンサー３、４は、従来のコントローラーエリアネットワーク（「ＣＡＮ」）バス９を介して中央制御ユニット８に接続され、ＬＲＲセンサー５、とＳＶＳ７のセンサーとは、同じくそれ自体が既知であるタイプの、より高速のＦｌｅｘＲａｙシリアルバス９を介して、中央制御ユニット８に接続される。

集合的に、そして制御ユニット８の制御下で、種々のセンサー３〜６を用いて、例えば、死角監視、アダプティブクルーズコントロール、衝突防止支援、車線逸脱防止、後方衝突軽減のような、様々な異なるタイプの運転支援システムを提供することができる。したがって、制御ユニット８は、そのような運転システムごとに適切なソフトウェアアルゴリズムを実行するように構成される。

図２は、本発明による制御システムの主なハードウェア要素を概略的に示しており、そのシステムが、図１に示される統合制御ユニット８の形態で提供できることは理解されよう。制御システムは、第１のマイクロコントローラー１１と、第２のマイクロコントローラー１２とを備える。第１のマイクロコントローラー１１は、処理誤りの特定を必要とする、システムの最も厳密な（ＡＳＩＬ−Ｄ）安全完全性要件に応えるために安全ソフトウェアを実行するように構成することができる一方、第２のマイクロコントローラー１２は、より高い処理能力を有し、システムの主な処理タスクと、第１のマイクロコントローラー１１を救援するための幾つかの安全関連処理タスクとを取り扱うように構成される。第１のマイクロコントローラー１１は、システムの厳密な安全完全性要件を満たすように構成されるので、いわゆる「安全マイクロコントローラー」を表すと考えることができ、ロックステップアーキテクチャを有することができる。第２のマイクロコントローラー１２は、マスターマイクロコントローラーよりも高い処理能力を有するように構成されるので、いわゆる「性能マイクロコントローラー」を表すと考えることができ、ロックステップアーキテクチャを必要としない。

現時点で好ましい実施形態では、第１のマイクロコントローラー１１は、Infineon Technologies AG社から市販されるＡｕｒｉｘ ＴＣ２９ｘプロセッサの形態で設けることができ、一方、第２のマイクロコントローラー１２は、Texas Instruments Inc.社から市販されるＸＣ５７７７Ｘプロセッサの形態で設けることができると想定される。しかしながら、第１のマイクロコントローラー１１及び第２のマイクロコントローラー１２の一方又は両方のために他のタイプのプロセッサを使用できることは理解されたい。

理解されるように、２つのマイクロコントローラー１１、１２は、データの双方向転送、すなわち、ｉ）第１のマイクロコントローラー１１から第２のマイクロコントローラー１２への転送と、その逆のｉｉ）第２のマイクロコントローラー１２から第１のマイクロコントローラー１１への転送とを含む形式で互いに通信することが必要とされる。従来技術の構成は、これらのマイクロコントローラーのうちの一方が常にマスターとして動作し、他方が常にスレーブとして動作する２つのマイクロコントローラー間のデュプレックス通信を介してこの双方向データ転送を達成するように構成されるが、本発明の構成は、２つのマイクロコントローラー１１、１２の間の全ての通信をシンプレックスモードで行うことを可能にする。

２つのマイクロコントローラー１１、１２は、図２において１３で概略的に示されるプロセッサ間通信パス（「ＩＰＣ」）によって作動的に接続される。ＩＰＣ１３は、同期シリアル通信インターフェースの形態で提供され、現行の実施形態においては、いわゆるシリアルペリフェラルインターフェース（「ＳＰＩ」）バスの形態で提供することができる。

理解されるように、ＳＰＩバス１３は、２つのマイクロコントローラー１１、１２の間の効果的な通信を可能にするために４つの論理信号、すなわち、ＳＣＬＫ（マスターから出力されるシリアルクロック）と、ＭＯＳＩ（マスター出力、スレーブ入力）と、ＭＩＳＯ（マスター入力、スレーブ出力）と、ＳＳ（スレーブ選択）とを必要とする。したがって、各マイクロコントローラーは、ＳＰＩ規格に完全に準拠した少なくとも４つのＳＰＩモジュールを必要とする。Infineon Technologies AG社及びTexas Instruments
Inc.社から入手可能な上述のマイクロコントローラー１１、１２の例示のケースでは、第１のマイクロコントローラー１１は、５つのキュー付きＳＰＩモジュール（図２において１４で概略的に示される）を有し、第２のマイクロコントローラー１２は、図２における４つのマルチチャネルＳＰＩモジュール（１５で概略的に示される）を有する。第２のマイクロコントローラー１２の４つのＳＰＩモジュール１５は、それゆえ、図示されるように第１のマイクロコントローラー１１のそれぞれのＳＰＩモジュール１４にそれぞれ接続され、それによって、それらの２つのマイクロコントローラー間にＩＰＣ１３がもたらされる。図示されるＩＰＣ１３は、それゆえ、２つのマイクロコントローラー１１、１２の間に４つのＳＰＩ接続１６を備える。

各マイクロコントローラー１１、１２は、デュプレックスモード及びシンプレックスモードにおける、製造業者が規定した最大達成可能ＳＰＩ周波数を有する。理解されるように、シンプレックスモードにおける最大達成可能ＳＰＩ周波数は、どの所与のマイクロコントローラーについても、デュプレックスモードにおける最大達成可能ＳＰＩ周波数よりもかなり高い。第１のマイクロコントローラー１１がＡｕｒｉｘ ＴＣ２９ｘプロセッサであり、第２のマイクロコントローラーがＸＣ５７７７Ｘプロセッサである具体例を挙げると、シンプレックスモードにおける規定された最大達成可能周波数は、それぞれ５０ＭＨｚ及び４８ＭＨｚである。ただし、実世界のアプリケーションは、各マイクロコントローラーのＳＰＩ周辺内部回路機構に依存する幾つかの特定の電気特性を誘発し、したがって、これによって、実際の達成可能周波数は、好ましい第１のマイクロコントローラー１１及び第２のマイクロコントローラー１２のシンプレックスモードにおいてそれぞれ２５ＭＨｚ及び３８ＭＨｚに低減される。フルデュプレックスモードは、最大達成可能周波数が１５ＭＨｚ未満の場合には、動作が不十分であることがわかっている。

最大達成可能周波数を制限することが知られているＳＰＩタイミングは、ＭＯＳＩデータ遅延、ＭＯＳＩセットアップ時間、ＭＯＳＩホールド時間、ＭＩＳＯデータ遅延、ＭＩＳＯセットアップ時間、ＭＩＳＯホールド時間、及びクロックジッターである。これらのタイミングは、ＳＰＩ規格適合ポートを有するいずれのデバイスのＳＰＩ接続においても検討されるべきことであり、データ完全性は、ＳＰＩタイミングを完全に遵守することによって達成される。したがって、最大達成可能ＳＰＩ周波数を求めることが必要である。

上記に示されるように、本発明の構成は、２つのマイクロコントローラー１１、１２の間の全ての双方向データ転送をシンプレックスモードで達成し、それによって、デュプレックスモードの使用をその相対的に不十分な性能に起因して完全に回避する。これには、第１のマイクロコントローラー１１がマスターとして動作するとともに第２のマイクロコントローラー１２がスレーブとして動作する第１のシンプレックス通信モードと、第２のマイクロコントローラー１２がマスターとして動作するとともに第１のマイクロコントローラー１１がスレーブとして動作する第２のシンプレックス通信モードとの間の動的な切り替えが必要とされる。この構成は、どの時点においても２つのＳＰＩマスター及び２つのＳＰＩスレーブが存在することを回避するために、これらの２つのモードの間で動的に選択及び切り替えを行うように構成される。これは、以下で説明されるように、モード選択手段を介して達成される。

各マイクロコントローラー１１、１２は、複数の一般に従来の汎用入力及び出力（ＧＰＩＯ）１７を備える。第１のマイクロコントローラー１１におけるＧＰＩＯのうちの少なくとも２つは、第２のマイクロコントローラー１２におけるそれぞれのＧＰＩＯに直接接続され、それによって、２つのマイクロコントローラーの間の少なくとも２つのＧＰＩＯ接続１８、１９が規定される。これらのＧＰＩＯ接続１８、１９は、上述のモード選択手段の一部を形成する。ＧＰＩＯ接続のうちの一方１８は、マイクロコントローラー間のシンプレックスデータ転送を確保するための適切な通信モードの選択、ひいては、いずれのマイクロコントローラー１１、１２がマスターとしての機能を果たし、いずれがスレーブとしての機能を果たすのかの選択をハンドシェイクするのに用いられる。他方のＧＰＩＯ接続１９は、マイクロコントローラー間のデータ送信の開始を同期させるのに用いられる。データ転送自体は、上記で説明したＩＰＣ１３を介して行われる。

本発明は、２つのマイクロコントローラー１１、１２の間に２つのＧＰＩＯ接続を有する一実施形態に関して上記で説明されているが、２つのマイクロコントローラー１１、１２の間に追加のＧＰＩＯ接続を有する他の実施形態を提供することができることが想定されていると理解すべきである。そのような構成は、追加の機能を提供するのに用いることができる。例えば、第３のＧＰＩＯ接続（図示せず）を、マイクロコントローラー間のデータの出力転送中に通信モードの変更を求める高優先度要求をトリガーするのに用いることができる。

各マイクロコントローラー１１、１２は、２０及び２１で概略的に示されるそれぞれのソフトウェアアプリケーションを実行するように構成される。第１のマイクロコントローラーにおけるソフトウェアアプリケーション２０は、幾つかのタスクの中でも特に、第１のＧＰＩＯ接続１８を介してハンドシェイク信号を送信し、第２のＧＰＩＯ接続１９を介して２つのマイクロコントローラー間のデータの送信を同期させることによって、第１のマイクロコントローラー１１がマスターとして動作するとともに第２のマイクロコントローラー１２がスレーブとして動作する第１のシンプレックス通信モードを選択するように動作可能であるように構成される。同様に、第２のマイクロコントローラー１２におけるソフトウェアアプリケーション２１は、幾つかのタスクの中でも特に、第１のＧＰＩＯ接続１８を介してハンドシェイク信号を送信し、第２のＧＰＩＯ接続１９を介して２つのマイクロコントローラー間のデータの送信を同期させることによって、第２のマイクロコントローラー１２がマスターとして動作するとともに第１のマイクロコントローラー１１がスレーブとして動作する第２のシンプレックス通信モードを選択するように構成される。これらのソフトウェアは、いずれかの通信モードがユースケースにおいて選択をいつ必要とするのかを判断するように構成される。

上記で説明されたシンプレックス通信モードのいずれにおいても、２つのマイクロコントローラー１１、１２の間で交換されるデータは、４つのデータコンテナーに分割され、ＩＰＣ１３のそれぞれのＳＰＩ接続１６を介して並列に転送される。各データコンテナーには巡回冗長検査が適用される。

したがって、理解されるように、上記で説明された構成は、データが、第１のマイクロコントローラー１１から第２のマイクロコントローラー１２に転送されているのか、又は第２のマイクロコントローラー１２から第１のマイクロコントローラー１１に転送されているのかにかかわらず、各マイクロコントローラー１１、１２のマスター／スレーブモード間で動的に切り替えを行うことによって、２つのマイクロコントローラー１１、１２の間でデータをシンプレックスモードで転送するように構成される。いずれのマイクロコントローラー１１、１２も、他方（スレーブ）のマイクロコントローラーにデータを転送するマスターとして動作しているときは常に、転送クロック機能を提供する。

２つのマイクロコントローラー１１、１２が、シンプレックスモードにおいて同じ達成可能データ転送周波数を有しない場合には、一方の方向における達成可能な最大転送周波数が、他方の方向における達成可能な最大転送周波数よりも大きくなる。例えば、第１のマイクロコントローラー１１が２５ＭＨｚの最大達成可能転送周波数を有し、第２のマイクロコントローラー１２が３８ＭＨｚのより高い最大達成可能転送周波数を有する例示の場合には、第１のシンプレックス通信モード（すなわち、第１のマイクロコントローラー１１から第２のマイクロコントローラー１２へのシンプレックス通信モード）における最大ライン転送周波数は２５ＭＨｚとなり、第２のシンプレックスモード（すなわち、第２のマイクロコントローラー１２から第１のマイクロコントローラー１１へのシンプレックス通信モード）における最大ライン転送周波数は３８ＭＨｚとなる。

電子制御システムは、好ましくは、システムの起動の際及びマイクロコントローラー間のデータの各転送の成功後に、マイクロコントローラー１１、１２のうちの一方がデフォルトでＳＰＩマスターとなり、他方がデフォルトでＳＰＩスレーブとなるデフォルト構成を有するように構成される。

本発明の電子制御システムは、２つのマイクロコントローラー間のデータの双方向転送の帯域幅が限られているという従来技術の問題を、データを双方の方向にシンプレックスモードで転送することを可能にしてデュプレックス通信が必要とされないようにすることによって解決する。これによって、２つのマイクロコントローラー１１、１２の間でいずれの方向にも１００Ｍｂｐｓを越える速度でデータを転送することができるシステムの構成が可能になることが見出された。

本明細書及び特許請求の範囲において使用されるときに、「備える（"comprises" and "comprising"）」という用語及びその変形は、規定された特徴、ステップ又は整数が含まれることを意味する。その用語は、他の特徴、ステップ又は整数の存在を除外するように解釈されるべきではない。

これまでの説明において、又は添付の特許請求の範囲において、又は添付の図面において開示される特徴は、必要に応じて、特定の形において表されるか、開示される機能を実行するための手段に関して表されるか、又は開示される結果を得るための方法若しくはプロセスに関して表され、その多様な形において本発明を実現するために、別々に、又はそのような特徴の任意の組み合わせにおいて利用される場合がある。

本発明は上記の例示的な実施形態に関連して説明されてきたが、本開示を与えられるときに、数多くの均等の変更形態及び変形形態が当業者には明らかになるであろう。したがって、これまでに記載された本発明の例示的な実施形態は、例示であると見なされ、限定するものと見なされるべきでない。本発明の趣旨及び範囲から逸脱することなく、説明された実施形態に対して種々の変更を加えることができる。

Claims (13)

1. 第１のマイクロコントローラー（１１）と、第２のマイクロコントローラー（１２）と、該マイクロコントローラー（１１、１２）の間のデータ転送のためのプロセッサ間通信パス（１３）とを備える車両安全電子制御システム（８）であって、
   前記第１のマイクロコントローラー（１１）から前記第２のマイクロコントローラー（１２）へのデータ転送について、前記第１のマイクロコントローラー（１１）がマスターとして動作するとともに前記第２のマイクロコントローラー（１２）がスレーブとして動作するプロセッサ間通信の第１のシンプレックスモードと、
   前記第２のマイクロコントローラー（１２）から前記第１のマイクロコントローラー（１１）へのデータ転送について、前記第２のマイクロコントローラー（１２）がマスターとして動作するとともに前記第１のマイクロコントローラー（１１）がスレーブとして動作するプロセッサ間通信の第２のシンプレックスモードと、
   前記第１のシンプレックスモードと前記第２のシンプレックスモードとの間で通信モードの選択及び切り替えを動的に行うように構成されるモード選択手段（１８〜２０）とを有し、
   該システムは、前記モード選択手段が、前記プロセッサ間通信パス（１３）から分離して設けられた、前記マイクロコントローラー（１１、１２）の間を連結する第１及び第２の汎用入力／出力接続（１８、１９）を備え、
   前記第１の汎用入力／出力接続（１８）は、前記通信モードの前記選択をハンドシェイクするために用いられ、
   前記第２の汎用入力／出力接続（１９）は、前記マイクロコントローラー（１１、１２）の間の前記プロセッサ間通信パス（１３）に沿ったデータ送信の開始を同期させるように構成されることを特徴とする、制御システム。
2. 前記モード選択手段は、前記第１のシンプレックスモードに入るように動作可能な前記第１のマイクロコントローラー上のソフトウェアアプリケーション（２０）と、前記第２のシンプレックスモードに入るように動作可能な前記第２のマイクロコントローラー上のソフトウェアアプリケーション（２１）とを含む、請求項１に記載の制御システム。
3. 前記システムの起動の際及び前記２つのマイクロコントローラー（１１、１２）の間のデータの各転送の成功後にデフォルトで前記第１のシンプレックスモードになるように構成される、請求項１又は２に記載の制御システム。
4. 前記プロセッサ間通信パス（１３）は、同期シリアル通信インターフェースの形態で提供される、請求項１〜３のいずれか１項に記載の制御システム。
5. 前記同期シリアル通信インターフェースは、シリアルペリフェラルインターフェース（ＳＰＩ）バスである、請求項４に記載の制御システム。
6. 前記第１のシンプレックスモード及び前記第２のシンプレックスモードのそれぞれにおけるデータ転送を少なくとも１００Ｍｂｐｓの速度で可能にするように構成される、請求項１〜５のいずれか１項に記載の制御システム。
7. 前記第１のシンプレックスモードにおけるプロセッサ間通信の最大データ転送周波数は、前記第２のシンプレックスモードにおける最大データ転送周波数と異なる、請求項１〜６のいずれか１項に記載の制御システム。
8. 前記第１のシンプレックスモードにおけるプロセッサ間通信の最大データ転送周波数は、前記第２のシンプレックスモードにおける最大データ転送周波数よりも小さい、請求項７に記載の制御システム。
9. 前記第１のマイクロコントローラー（１１）は、安全マイクロコントローラーの形態を取り、前記第２のマイクロコントローラー（１２）は、性能マイクロコントローラーの形態を取る、請求項１〜８のいずれか１項に記載の制御システム。
10. 前記第１のマイクロコントローラー（１１）は、ロックステップアーキテクチャを有し、前記第２のマイクロコントローラー（１２）は、ロックステップアーキテクチャを有しない、請求項９に記載の制御システム。
11. 前記第１のマイクロコントローラー（１１）は、前記第１のシンプレックスモードにおける前記第２のマイクロコントローラー（１２）へのデータの前記転送のためのクロック機能を提供するように構成され、前記第２のマイクロコントローラー（１２）は、前記第２のシンプレックスモードにおける前記第１のマイクロコントローラー（１１）へのデータの前記転送のためのクロック機能を提供するように構成される、請求項１〜１０のいずれか１項に記載の制御システム。
12. 集積電子制御ユニット（８）の形態で提供される、請求項１〜１１のいずれか１項に記載の制御システム。
13. 請求項１〜１２のいずれか１項に記載の制御システム（８）を備える、自動車電子安全システム（１）。

Images