JP7179999B2 - 車両制御システム - Google Patents

Description

本発明は、商用車のブレーキアクチュエータなどの１つまたは複数の操作コンポーネントと共に使用するための車両制御システムに関する。現代の商用車では、ますます多くの電子制御回路が使用されている。とりわけ、電子制御回路は、車両の空気圧作動式制動システムに統合され、当該制動システムを自動化するために使用されている。今日までの到達水準の車両レイアウトのブレーキシステムで使用される多くの電子制御回路は、単一の制御回路として実装されている。安全上の理由から、電子制御回路の誤動作は、制動システムを電子制御から空気圧制御へスイッチバックさせるため、車両の運転者は制動ステムをまだマニュアル操作することができる。

電子回路の障害状況で運転者を制動システムのマニュアル操作から解放し、制動システムの電子コンポーネントが故障する状況を含めて制動システムの電子制御期間を長くすることは望ましいものであろう。

米国特許第９１９５２３２号明細書には、故障した運用システムの一般的な障害を補償するための方法およびシステムが記載されている。システムには、推進ブレーキやステアリングなどの車両の機能を実行するように構成された一次コントローラと、該一次コントローラとの冗長的な構成で構成された二次コントローラとが含まれる。これらのコントローラは、相互のクロスチェックを実行することができ、内部セルフチェックも同様に各々実行することができる。付加的に、このシステムは、障害の検出に基づいてコントローラ間で車両の制御を移すように構成された制御モジュールを含むことができる。この制御モジュールは、一般的な障害信号を制御モジュールに出力させるコントローラの一般的な障害を検出することができる。それに応じて、システムは、当該システムが制御を一次コントローラに戻すことができるようになるまで、車両機能を実行するように構成されたセーフティコントローラに制御を移すことができる。

米国特許第２０１６０００９２５７号明細書には、第１および第２の制動モジュールを含む自律的サブシステムを含んだシステムが記載されている。これらの各モジュールは、プロセッサと、障害を検出するためにプロセッサによって実行可能な命令を格納するメモリとを含んでいる。このシステムは、第２の制動モジュールからの信号に応じて制動機構を作動するようにプログラミングされたブレーキサブシステムをさらに含む。この自律的サブシステムは、障害が検出されたかどうかに依存してブレーキ機構に信号を提供するために制動モジュールの１つを選択するようにさらにプログラムされている。

本発明の課題は、障害が起きている間も車両制御システムの電子制御が維持されるように、車両制御システムのコンポーネントのうちの１つの障害を信頼性の高い安全な方法で処理することができるように改善された車両電子制御システムを提供することである。

この課題は、請求項１の特徴を有する車両制御システムによって解決される。本発明の実施形態は、従属請求項に記載されている。

本発明によれば、第１の通信ネットワークと、第１の操作コンポーネントと、通信ネットワークおよび第１の操作コンポーネントに接続された第１の車両制御ユニットであって、ここで、第１の操作コンポーネントへの第１の信号によって、第１の操作コンポーネントと第１の車両制御ユニットとの間の第１のデータ接続を制御するように構成された第１の車両制御ユニットと、第１の操作コンポーネントに接続された第２の車両制御ユニットであって、ここで、第１の操作コンポーネントへの第２の信号によって、第１の操作コンポーネントと第２の車両制御ユニットとの間の第２のデータ接続を制御するように構成された第２の車両制御ユニットと、を含み、ここで、第１のデータ接続および第２のデータ接続は、第１のデータ接続および第２のデータ接続のうちの少なくとも１つが有効または無効になるように第１または第２の車両制御ユニットによって制御することができる、車両制御システムが提供されている。

第１のデータ接続および第２のデータ接続のうちの少なくとも１つを無効にするためのシステムの能力は、障害の場合に、第１の操作コンポーネントを、第１および第２の車両制御ユニットのうちの少なくとも１つから物理的に分離できることを保証し、障害による影響を受ける通信線路の遮断を回避することができる。とりわけ、これは、障害が他の接続された操作コンポーネントに影響を与えるのを防ぎ、その一方で、システムおよび第１の操作コンポーネントの操作性は、第１の操作コンポーネントを第１および第２の車両制御ユニットの１つにまだ接続している他のデータ接続による冗長的もしくは並列的な制御によって維持されている。第１のデータ接続および第２のデータ接続の一方または両方は、１つまたは複数の有線もしくはデータバスを含む通信線路を含むことができる。代替的に、無線データ接続を使用することもできる。

第１および第２の車両制御ユニットから第１の操作コンポーネントへの第１および第２の信号の転送のために、車両制御システムは、第１および第２の車両制御ユニットをそれぞれ第１の操作コンポーネントに接続する１つまたは複数の有線またはデータバスを含むそれぞれの通信または信号線路を含むことができる。第１の車両制御ユニット、第２の車両制御ユニットと、第１の操作コンポーネントもしくは他の操作コンポーネントとの間の信号線路は、第１の操作コンポーネントまたは他の操作コンポーネントのためのウェイクアップ線路であり得る。ただし、限定を意味するわけではないが無線信号線路も同様に使用することができる。第１および第２の車両制御ユニットを第１の操作コンポーネントに接続するためにシステムで使用されるデータバスは、例えば、コントローラエリアネットワーク（ＣＡＮ）バスであり得る。

一実施形態によれば、第１の操作コンポーネントは、データ処理能力を有し、１つまたは複数の集積回路を含む「インテリジェント」操作コンポーネントであり得る。

一実施形態によれば、第１の操作コンポーネントと第１の車両制御ユニットとの間の第１のデータ接続は、オプトカプラ、ガルバニックスイッチ、または誘導結合スイッチのうちの１つを含むスイッチを含んでいる。スイッチは、信号線路を介してまたは無線で、第１の車両制御ユニットから対応する制御信号を受信することができる第１の操作コンポーネントによって作動させることができる。スイッチは、制御信号を受信することなく、第１の操作コンポーネントによって直接または自律的に作動させることも可能である。スイッチは、第１の操作コンポーネントと第１の車両制御ユニットとの間の通信線路に接続または挿入することができる。

他の実施形態によれば、第１の操作コンポーネントと第２の車両制御ユニットとの間の第２のデータ接続も、オプトカプラ、ガルバニックスイッチ、または誘導結合スイッチのうちの１つを含むスイッチを含んでいる。スイッチは、信号線路を介してまたは無線で、第２の車両制御ユニットから対応する制御信号を受信することができる第１の操作コンポーネントによって作動させることができる。スイッチは、制御信号を受信することなく、第１の操作コンポーネントによって直接または自律的に作動させることも可能である。スイッチは、第１の操作コンポーネントと第２の車両制御ユニットとの間の通信線路に接続または挿入することができる。

さらなる実施形態によれば、第１の操作コンポーネントは、該第１の操作コンポーネントをそれぞれ第１および第２の車両制御ユニットのうちの少なくとも１つに接続する１つまたは複数のトランシーバを含む。１つまたは複数のトランシーバの各々は、上記のようにスイッチと結合もしくは接続することができ、スイッチを介して、第１の操作コンポーネントと第１の車両制御ユニットとの間の通信線路および／または第１の操作コンポーネントと第２の車両制御ユニットとの間の通信線路に接続することができ、それにより、データを、第１の操作コンポーネントと第１および第２の車両制御ユニットとの間で転送することができる。１つまたは複数のトランシーバの各々は、第１および第２の車両制御ユニットと並列に接続することができる１つまたは複数の他の操作コンポーネントに結合もしくは接続することもできる。さらに、１つまたは複数のトランシーバの各々は、それぞれ第１および第２の車両制御ユニットから１つまたは複数の制御信号を受信するために、信号線路によって、または無線で第１および第２の車両制御ユニットのうちの少なくとも１つに結合することができる。したがって、これらのトランシーバは、それらが接続されている車両制御ユニットから制御信号を受信するように構成されており、さらにこれらのトランシーバは、トランシーバに接続された通信線路を分離するかまたは制御信号に従って通信線路を接続するために、トランシーバに接続されたスイッチを制御するように構成されている。

一実施形態によれば、第２の車両制御ユニットは、第１の通信ネットワークから分離された第２の通信ネットワークに接続されている。２つの別個の通信ネットワークを提供することは、冗長性または重複性を提供することができ、したがって、システムの操作コンポーネントや車両制御ユニットなどの他の重複コンポーネントに加えて、制御システムの安全性を向上させる。

一実施形態によれば、第２の車両制御ユニットは、第１の車両制御ユニットに接続され、データが、第１および第２の車両制御ユニット間の接続を介して、第１の通信ネットワークから第１の車両制御ユニットおよび第２の車両制御ユニットに転送され得る。車両制御ユニット間の接続は、車両通信ネットワークの１つが障害を起こしているかまたはダウンしている状況を緩和させることを可能にさせる。そのような場合、無傷の車両通信ネットワークからのデータは、車両制御ユニット間の接続を介して他の車両制御ユニットに転送することができる。車両制御ユニット間の接続は、安全性を向上させるために、車両制御ユニットの一方または両方による妥当性チェックまたはクロスチェックタスクを実行するための機会も提供する。

一実施形態によれば、第１の車両制御ユニットは、マスター車両制御ユニットであり、第２の車両制御ユニットはスレーブ車両制御ユニットであり、ここで、マスター／スレーブの役割は、少なくとも１つの制御ユニットによって決定および制御される。

一実施形態によれば、システムは、第２の操作コンポーネントをさらに含み、ここで、第１の車両制御ユニットは、第２の操作コンポーネントに接続され、第１の車両制御ユニットは、第２の操作コンポーネントへの第３の信号によって、第２の操作コンポーネントと第１の車両制御ユニットとの間の第３のデータ接続を制御するように構成されており、第２の車両制御ユニットは、第２の操作コンポーネントに接続され、第２の車両制御ユニットは、第２の操作コンポーネントへの第４の信号によって、第２の操作コンポーネントと第２の車両制御ユニットとの間の第４のデータ接続を制御するように構成されており、ここで、第３のデータ接続および第４のデータ接続は、第３のデータ接続および第４のデータ接続のうちの少なくとも１つが有効または無効になるように制御することができる。

上記で説明した第１および第２のデータ接続と同様に、第３のデータ接続および第４のデータ接続の一方または両方を無効にするためのシステムの能力がシステム内に存在する場合、それは、障害の場合に、第２の操作コンポーネントを、第３および第４の車両制御ユニットのうちの少なくとも１つから物理的に分離できることを保証し、障害による影響を受ける通信線路の遮断を回避することができる。とりわけ、これは、障害が第１の操作コンポーネントなどの他の接続された操作コンポーネントに影響を与えるのを防ぎ、その一方で、システムおよび第２の操作コンポーネントの操作性は、第２の操作コンポーネントを第３および第４の車両制御ユニットの１つにまだ接続している他のデータ接続による冗長的な制御によって維持されている。第３のデータ接続および第４のデータ接続は、第１および第２のデータ接続と同様に構成することができる。例えば、第１および第２のデータ接続と同様に、第３および第４のデータ接続の一方または両方は、１つまたは複数の有線もしくはデータバスを含む通信線路を含むことができる。ただし、無線データ接続を使用することもできる。

第１および第２の車両制御ユニットから第２の操作コンポーネントへの第３および第４の信号の転送のために、車両制御システムは、第１および第２の制御信号のために使用される信号線路に対応するそれぞれの信号線路を含むことができる。これらの信号線路は、第１および第２の車両制御ユニットをそれぞれ第２の操作コンポーネントに接続する１つまたは複数の有線もしくはデータバスを含むことができる。第１の車両制御ユニット、第２の車両制御ユニットと、第２の操作コンポーネントもしくは他の操作コンポーネントとの間の信号線路は、操作コンポーネントのウェイクアップ線路であり得る。ただし、限定を意味するわけではないが無線伝送線路を使用することもできる。

一実施形態によれば、第２の操作コンポーネントも、データ処理能力を有し、１つまたは複数の集積回路を含む「インテリジェント」な操作コンポーネントであり得る。

一実施形態によれば、第２の操作コンポーネントと第１および第２の車両制御ユニットとの間の第３のデータ接続および第４のデータ接続の一方または両方は、それぞれ、オプトカプラ、ガルバニックスイッチ、または誘導結合スイッチのうちの１つを含むスイッチを含んでいる。このスイッチもしくはこれらのスイッチは、信号線路を介してまたは無線で、第１の車両制御ユニットまたは第２の車両制御ユニットから１つまたは複数の対応する制御信号を受信できる第２の操作コンポーネントによって作動させることができる。このスイッチもしくはこれらのスイッチは、第２の操作コンポーネントが対応して構成されている場合、制御信号を受信することなく、第２の操作コンポーネントによって直接または自律的に作動させることも可能な場合がある。スイッチは、第２の操作コンポーネントと第１の車両制御ユニットとの間の通信線路、または第２の操作コンポーネントと第２の車両制御ユニットとの間の対応する通信線路に接続または挿入することができる。

さらなる実施形態によれば、第２の操作コンポーネントは、該第２の操作コンポーネントをそれぞれ第１および第２の車両制御ユニットのうちの少なくとも１つに接続する１つまたは複数のトランシーバを含む。１つまたは複数のトランシーバの各々は、上記のようにスイッチと結合もしくは接続することができ、第２の操作コンポーネントと第１の車両制御ユニットとの間の通信線路または第２の操作コンポーネントと第２の車両制御ユニットとの間の通信線路に接続することができ、それにより、データを、第２の操作コンポーネントと第１および第２の車両制御ユニットとの間でそれぞれ転送することができる。１つまたは複数のトランシーバの各々は、第１の操作コンポーネントまたはその対応するトランシーバのような１つまたは複数の他の操作コンポーネントに結合もしくは接続することもできる。さらに、１つまたは複数のトランシーバの各々は、それぞれ第１および第２の車両制御ユニットから１つまたは複数の制御信号を受信するために、信号線路のようなさらなる線路によって、または無線で第１および第２の車両制御ユニットのうちの少なくとも１つに結合することができる。

一実施形態によれば、第１および第２の操作コンポーネントのうちの少なくとも１つは、車両のブレーキアクチュエータ、ステアリングアクチュエータ、または推進アクチュエータのうちの１つである。

他の実施形態によれば、車両制御システムは、上記で説明した第１および第２の操作コンポーネントならびに第１および第２の制御ユニットと同じかまたは同様の特徴を備える１つまたは複数の付加的操作コンポーネントならびに１つまたは複数の付加的車両制御ユニットを含むことができる。

本発明によれば、車両制御システムを用いて車両を制御する方法が提供される。この車両制御システムは、第１の通信ネットワークと、第１の操作コンポーネントと、通信ネットワークおよび第１の操作コンポーネントに接続された第１の車両制御ユニットと、第１の操作コンポーネントに接続された第２の車両制御ユニットと、を備え得る。この方法は、第１の操作コンポーネントへの第１の信号によって、第１の操作コンポーネントと第１の車両制御ユニットとの間の第１のデータ接続を有効にするステップと、第１の車両制御ユニットにおいて、第１のデータ接続を介して第１の操作コンポーネントからデータを受信するステップと、第１の操作コンポーネントから受信したデータが誤っていることを決定するステップと、第１の操作コンポーネントと第１の車両制御ユニットとの間の第１のデータ接続を無効にするために、第１の車両制御ユニットから第１の操作コンポーネントに信号を送信するステップと、第１の操作コンポーネントと第１の車両制御ユニットとの間の第１のデータ接続を無効にするステップと、を含む。

第１のデータ接続を無効にすることは、データ障害の場合に、第１の操作コンポーネントが第１の車両制御ユニットから分離されることを保証し、ひいては障害による影響を受ける通信線路の遮断を回避することができる。これは、障害が他の接続された操作コンポーネントに影響を与えるのを防ぐことができ、その一方で、車両制御システムおよび第１の操作コンポーネントの操作性は、第１の操作コンポーネントを第２の車両制御ユニットにまだ接続している他のデータ接続による冗長的な制御によって維持されている。

一実施形態によれば、第１の操作コンポーネントと第１の車両制御ユニットとの間の第１のデータ接続を無効にするステップは、第１の操作コンポーネントと第１の車両制御ユニットとの間の通信線路を物理的に分離するステップを含む。第１の操作コンポーネントと第１の車両制御ユニットとの間の第１のデータ接続は、オプトカプラ、ガルバニックスイッチまたは誘導結合スイッチのうちの１つを含む通信ラインに接続されたスイッチを含むことができる。スイッチは、信号線路を介してまたは無線で、第１の車両制御ユニットから対応する制御信号を受信することができる第１の操作コンポーネントによって作動させることができる。スイッチを作動させることにより、通信線路は物理的に分離される。制御信号は、例えば論理的ローレベルに引き込むことによって第１の車両制御ユニットと第１の操作コンポーネントとの間のウェイクアップ線路を制御する第１の車両制御ユニットによって、第１の車両制御ユニットから第１の操作コンポーネントに送信することができる。ただし、この信号は、異なるやり方で、例えば無線で転送することもできる。

第１の操作コンポーネントは、システムに関連して上記で説明したように、該第１の操作コンポーネントをそれぞれ第１および第２の車両制御ユニットのうちの少なくとも１つに接続する１つまたは複数のトランシーバを含むことができる。１つまたは複数のトランシーバの各々は、上記のスイッチと結合もしくは接続することができ、第１の操作コンポーネントと第１の車両制御ユニットとの間の通信線路または第１の操作コンポーネントと第２の車両制御ユニットとの間の通信線路に接続することができ、それにより、データを、第１の操作コンポーネントと第１および第２の車両制御ユニットとの間で転送することができる。１つまたは複数のトランシーバの各々は、１つまたは複数の他の操作コンポーネントに結合もしくは接続することもできる。付加的に、１つまたは複数のトランシーバの各々は、それぞれ第１および第２の車両制御ユニットから１つまたは複数の制御信号を受信するために、ウェイクアップ線路もしくは他の信号線路によって、または無線で第１および第２の車両制御ユニットのうちの少なくとも１つに結合することができる。

第１の操作コンポーネントは、第１の車両制御ユニットと同じやり方で第２の車両制御ユニットに接続することができ、第２のデータ接続は、第１のデータ接続に関連して説明したのと同じやり方で構成および制御することができる。

これは、第１の操作コンポーネントが誤って動作するかまたは障害のあるデータを提供することを第１および第２の車両制御ユニットのうちの１つが識別した場合に、対応する制御信号を第１の操作コンポーネントに送信することによって、エラーの伝播を回避するために、第１の操作コンポーネントを、該第１の操作コンポーネントがそれに接続される対応する第１または第２のデータ接続から分離できることを意味する。

一実施形態によれば、本方法は、第１の操作コンポーネントへの第２の信号によって、第１の操作コンポーネントと第２の車両制御ユニットとの間の第２のデータ接続を有効にするステップを含む。この第２のデータ接続は、誤ったデータが第１のデータ接続によって転送されていることを決定した瞬間にもしくは決定した後に有効にすることができる。代替的に、それが少なくとも部分的に第１のデータ接続と同時に有効になるように第２のデータ接続を継続的に有効にすることができる。

さらなる実施形態によれば、本方法は、第１の操作コンポーネントと第２の車両制御ユニットとの間の第２のデータ接続を介してデータを交換するステップをさらに含む。

第２のデータ接続を介してデータを転送することは、適正なデータを、第１の操作コンポーネントから第１または第２の車両制御ユニットのうちの１つに転送することを可能にし、障害のあるデータ接続をバイパスすることによって、あるいはこのデータ接続に接続されたトランシーバをバイパスすることによって第１の操作コンポーネントの動作を維持することを可能にする。

さらに、第１のデータ接続および第２のデータ接続は、少なくともある期間の間に同時に有効にすることができるので、同じデータを、第１の操作コンポーネントから第１および第２のデータ接続を介して転送することができる。これは、第１および第２の車両制御ユニット間でデータを交換し、妥当性チェックまたはクロスチェックタスクを実行し、障害のあるデータが受信されたかどうかを決定することを可能にし、したがって車両制御システムの安全性を向上させる。

一実施形態によれば、本方法は、第１の車両制御ユニットと第２の車両制御ユニットとの間でデータを交換するステップと、第１の車両制御ユニットと第２の車両制御ユニットとの間のデータの交換に基づいて、第１かまたは第２のデータ接続によって転送されたデータのエラーを決定するステップと、エラーを含んだデータが第１かまたは第２のデータ接続によってそれぞれ転送されたかどうかに依存して第１かまたは第２のデータ接続を無効にするステップと、をさらに含む。

一実施形態によれば、本方法は、第１の車両制御ユニットと第２の車両制御ユニットとの間でデータを交換するステップと、第１の車両制御ユニットまたは第２の車両制御ユニットのエラーを決定するステップと、誤りのある第１かまたは第２の車両制御ユニットを無効にするステップと、第１かまたは第２の車両制御ユニットのうちの無効になっていない他の一方と第１の操作コンポーネントとの間でデータを交換するステップと、をさらに含む。

一実施形態によれば、本方法は、第１の通信ネットワークのエラーを決定するステップと、第１および第２の車両制御ユニット間の接続を介して、第２の車両制御ユニットに接続された車両制御システムの第２の通信ネットワークから第１の車両制御ユニットにデータを転送するするステップと、をさらに含む。第２の通信ネットワークから第１の車両制御ユニットに転送されたデータは、第１の通信ネットワークの障害またはダウンタイムのために、第１の通信ネットワークから第１の車両制御ユニットに転送されなかったデータに対応し得る。したがって、これらのデータは、車両制御システムの動作が維持できるように置き換えることができる。

上記の実施形態は、第１の通信ネットワークの障害が検出されたかまたは第１の通信ネットワークがダウンしている状況において、第１の車両制御ユニットから、第１および第２の通信ネットワークの両方に接続されている車両制御システムのコンポーネントにデータを転送するために逆方向に実行されてもよい。次いで、データは、第２の車両制御ユニットおよび第２の通信ネットワークを介してコンポーネントに転送することができ、車両制御システムの適正な動作を維持することができる。

一実施形態によれば、本方法は、第１の操作コンポーネントと並列に第１および第２の車両制御ユニットに接続された第２の操作コンポーネントと、第１の車両制御ユニットとの間の第３のデータ接続を、第１の操作コンポーネントに送信される第３の信号によって有効にするステップと、第１の車両制御ユニットにおいて、第３のデータ接続を介して第２の操作コンポーネントからデータを受信するステップと、第２の操作コンポーネントから受信したデータが誤っていることを決定するステップと、第２の操作コンポーネントと第１の車両制御ユニットとの間の第３のデータ接続を無効にするために、第１の車両制御ユニットから第２の操作コンポーネントに信号を送信するステップと、第２の操作コンポーネントと第１の車両制御ユニットとの間の第３のデータ接続を無効にするステップと、をさらに含む。

一実施形態によれば、本方法は、第２の車両制御ユニットから第１の操作コンポーネントへの第４の信号により、第２の操作コンポーネントと第２の車両制御ユニットとの間の第４のデータ接続を有効にするステップをさらに含む。他の実施形態によれば、本方法は、第２の操作コンポーネントと第２の車両制御ユニットとの間の第４のデータ接続を介してデータを交換するステップを含むこともできる。本方法は、第４のデータ接続を無効にするステップを含むこともできる。限定を意味するわけではないが、本方法は、第４のデータ接続を介して誤ったデータが交換または転送された場合に、第１の車両制御ユニットおよび第２の車両制御ユニットを交換することによって、すなわち、第４のデータ接続を無効にして代わりに第３のデータ接続を介してデータを転送することによって同様に実行することができる。

第３または第４のデータ接続を有効または無効にすることは、システムの冗長性および安全性に関し、第１および第２のデータ接続に関連して上記で説明したのと同じ効果や利点をもたらすことができる。さらに、第３および第４のデータ接続は、第１または第２のデータ接続と同じやり方で実装および操作することができる。

本発明によれば、コンピュータによって実行されるときに、上記で説明したステップの１つまたは複数を含む方法を実施させる命令を含むコンピュータ可読媒体も提供される。

本出願のさらなる特徴、態様、および利点は、添付の図面に関連して説明される以下の実施形態からもたらされる。

一実施形態による車両制御システムの一例を示した図 さらなる実施形態による、車両制御システムを操作する方法の第１実施例を示した図 別の実施形態による、車両制御システムを操作する方法の第２実施例を示した図

以下では、車両制御システムの実施形態を図１に関連して説明する。この冗長的な制御システムは、２つの車両制御ユニット１および２を含む。２つの車両制御ユニット１および２の各々は、ＩＣまたはマイクロプロセッサを含むことができる。これらの車両制御ユニットの各々は、冗長的な車両通信ネットワーク１４および１５のうちの１つに接続されている。各々がデータバスを含み得る車両通信ネットワーク１４および１５は、１つまたは複数のマイクロプロセッサ、メモリ、またはインタフェースを含む車両制御システムの他のコンポーネントに接続することができる。インターリンク通信線路７は、これらの車両制御ユニット間に設けられている。これらの車両制御ユニットのうちの一方はマスターコントローラで、それに対して他方はスレーブコントローラである。マスター／スレーブの役割の決定は、適切なアルゴリズムに従ってこれらの車両制御ユニットのうちの少なくとも１つによって実行され、インターリンク通信線路７によって調整される。

車両制御ユニット１，２間のインターリンク通信線路７は、車両通信ネットワーク１４または１５の１つが障害を起こしているかまたはダウンしている状況を緩和させることを可能にさせる。そのような場合、無傷の車両通信ネットワークからのデータは、第２の車両制御ユニットおよびインターリンク通信線路７を介して、障害のある通信ネットワークに接続された第１の車両制御ユニットに転送することができる。インターリンク通信線路７は、安全性を向上させるために、第１および／または第２の車両制御ユニットによる妥当性チェックまたはクロスチェックタスクを実行するための機会も提供する。

各車両制御ユニット１，２は、冗長的な通信線路５および６によって少なくとも２つの操作コンポーネント８および９に接続されている。これらの操作コンポーネント８および９は、ホイールブレーキアクチュエータ、ステアリングアクチュエータ、または推進アクチュエータなどのアクチュエータか、または他のアクチュエータあるいは車両、特に商用車のコンポーネントであり得る。

各操作コンポーネント８，９は、車両制御ユニット１，２の各々から各操作コンポーネント８，９をウェイクアップすることができる専用のウェイクアップ線路３ａ，３ｂ，４ａ，４ｂを有している。車両制御ユニット１は、操作コンポーネント８用のウェイクアップ線路３ａと、操作コンポーネント９用の他のウェイクアップ線路３ｂとに接続されている。同様に、車両制御ユニット２は、コマンド操作コンポーネント８用のウェイクアップ線路４ａと、コマンド操作コンポーネント９用の他のウェイクアップ線路４ｂとに接続されている。

操作コンポーネントは、通信線路５，６に接続するためのトランシーバ対１０，１１および１２，１３を有する。各トランシーバは、１つの操作コンポーネント８，９にアクセスするように構成されている。示されているような実施形態の操作コンポーネント８，９は、冗長的ではない可能性があり、それら自体の内部リソース、例えば電源、マイクロコントローラーなどのいくつかを共有している可能性があるので、コマンド操作コンポーネントの誤動作は、他のコマンドユニットにも影響を与える通信線路上の問題につながる可能性がある。

コマンドユニット８，９のトランシーバ１０，１１および１２，１３は、操作コンポーネントを車両制御ユニットに接続するウェイクアップ線路を制御することによって例えば信号レベルを論理的ローレベルに引き込むことによって、車両制御ユニットにより、操作コンポーネント８，９を通信線路から物理的に分離できるように構成されている。これは、動的な車両制御ユニット１，２が、操作コンポーネント８，９のうちの１つに誤りがあることを識別した場合に、エラーの伝播を回避するために、操作コンポーネント８，９を、対応する通信線路５，６から分離できることを意味する。

図２は、この例に対する何らかの限定を意味するわけではないが、図１に示された車両制御システムによって実行することができる車両制御システムを操作する方法１００の一例を示している。この例示的な方法１００によれば、ステップ１１０では、第１の車両制御ユニットにおいて、第１の操作コンポーネントからデータが受信される。第１の操作コンポーネントと第１の車両制御ユニットとの間の対応するデータ接続が有効にされている。ステップ１２０では、第１の車両制御ユニットは、第１の操作コンポーネントから受信したデータが誤っているかどうかを決定する。データが適正であることが決定された場合、そのデータは車両制御システムによって適正なデータとして処理される。データが適正でないこと、すなわち誤っていると決定された場合、本方法はステップ１３０に継続され、そこで、第１の操作コンポーネントと第１の車両制御ユニットとの間の第１のデータ接続を無効にするために、第１の車両制御ユニットから第１の操作コンポーネントに信号が送信される。この信号は、第１の操作コンポーネントによって、特に、該第１の操作コンポーネント内に配置されたトランシーバによって受信することができる。その後、ステップ１４０では、この信号に応じて、第１の操作コンポーネントと第１の車両制御ユニットとの間の第１のデータ接続が無効にされる。この第１のデータ接続は、データ接続または対応する通信線路に含まれるオプトカプラなどのスイッチを操作または作動させることによって物理的に分離することができる。これには、エラーが車両制御ユニットに、または第１の操作コンポーネントに接続された他の操作コンポーネントに伝播するのを阻止する効果がある。

しかしながら、第１の操作コンポーネントからのデータは、第１の操作コンポーネントから冗長的な第２のデータ接続を介して、第１の車両制御ユニットに代わってデータを処理できる第２の車両制御ユニットに転送することができ、それによって、第１の操作コンポーネントの操作を維持することができる。したがって、車両制御システムの安全性が向上する。

冗長的な第２のデータ接続は、第１のデータ接続と同時に有効にすることができ、少なくとも部分的に同じデータを、第１の操作コンポーネントから第１の車両制御ユニットに、および第１の操作コンポーネントから第２の車両制御ユニットに同時に転送することができる。第１の車両制御ユニットと第２の車両制御ユニットとの間のデータ接続を用いることにより、第１および第２のデータ接続を介して同時に転送されるデータセットを、車両制御ユニット間で交換するかまたは車両制御ユニットの一方から他方に転送することができ、そのため、同時に転送されたデータセットの一方のデータエラーは、例えば比較によって検出することができる。第１および第２の車両制御ユニットの一方または両方において、妥当性チェックまたはクロスチェックを実行することができる。

代替的に、冗長的な第２のデータ接続は、開始時点では無効にされ、その後、第１の車両制御ユニットのデータエラーもしくは障害の決定に応じて有効にされ得る。

図３の例に従って方法２００が説明されるが、本方法２００は、この例になんら限定されることなく図１に記載の車両制御システムによって実行することができ、さらに本方法２００によって、車両制御システムが安全性に関して強化される。本方法は、図１による方法と組み合わせて、またはそれとは別個に実施することができる。本方法によれば、ステップ２１０において、データが、第１の車両制御ユニットにおいて、車両制御システムのコンポーネントから第１の通信ネットワークを介して受信される。次いで、ステップ２２０では、第１の車両制御ユニットによって、第１の通信ネットワークから第１の車両制御ユニットに転送されたデータが誤っているか、または第１の通信ネットワークがダウンしていることが決定される場合もある。したがって、第１の通信ネットワークから転送されたデータは信頼できないかまたは第１の通信ネットワークからデータを全く転送できないことが決定される。この問題を克服するために、ステップ２３０では、データが、第２の車両制御ユニットにおいて、これも車両制御システムのコンポーネントに接続された第２の通信ネットワークを介して受信される。ここで、このデータは、第１の通信ネットワークを介して第１の車両制御ユニットに転送されるべきであった適正なデータに対応するか、または第１の通信ネットワークがダウンしていなかったならば、第１の通信ネットワークを介して転送されたであろうデータに対応する。ステップ２４０では、データが、第２の車両制御ユニットから第１の車両制御ユニットに、第１および第２の車両制御ユニット間のデータ接続を介して転送され、それによって、第１の通信ネットワークによって提供されるのと同じ適正なデータを、第２の通信ネットワークおよび第２の車両制御ユニットを介して、第１の車両制御ユニットに提供することができ、したがって、第１の通信ネットワークからデータが転送できないような場合でさえも、車両制御システムの適正な動作を維持することができる。

図３に関連して説明された方法は、第１の通信ネットワークの障害が検出されたかまたは第１の通信ネットワークがダウンしている状況において、第１の車両制御ユニットから、第１および第２の通信ネットワークの両方に接続されている車両制御システムのコンポーネントにデータを転送するために同様に実行されてもよい。次いで、データは、第２の車両制御ユニットおよび第２の通信ネットワークを介してコンポーネントに転送することができ、車両制御システムの適正な動作を維持することができる。

上記で説明した例示的な実施形態には、本出願の考察から逸脱することなく様々な変更を加えることも可能である。

１ 第１の車両制御ユニット
２ 第２の車両制御ユニット
３ａ，３ｂ ウェイクアップ線路
４ａ，４ｂ ウェイクアップ線路
５ 第１のデータ接続
６ 第２のデータ接続
７ インターリンク通信線路
８ 第１の操作コンポーネント
９ 第２の操作コンポーネント
１０ トランシーバ
１１ トランシーバ
１２ トランシーバ
１３ トランシーバ
１４ 第１の通信ネットワーク
１５ 第２の通信ネットワーク

Claims (15)

1. 車両制御システムであって、
   第１の通信ネットワーク（１４）と、
   第１の操作コンポーネント（８）と、
   前記通信ネットワーク（１４）および前記第１の操作コンポーネント（８）に接続された第１の車両制御ユニット（１）であって、前記第１の操作コンポーネント（８）への第１の信号によって、前記第１の操作コンポーネント（８）と前記第１の車両制御ユニット（１）との間の第１のデータ接続（５）を制御するように構成された第１の車両制御ユニット（１）と、
   前記第１の操作コンポーネント（８）に接続された第２の車両制御ユニット（２）であって、前記第１の操作コンポーネント（８）への第２の信号によって、前記第１の操作コンポーネント（８）と前記第２の車両制御ユニット（２）との間の第２のデータ接続（６）を制御するように構成された第２の車両制御ユニット（２）と、
   を含み、
   前記第１のデータ接続（５）および前記第２のデータ接続（６）は、前記第１のデータ接続（５）および前記第２のデータ接続（６）のうちの少なくとも１つが有効または無効になるように制御することができ、
   前記第１の車両制御ユニット（１）は、前記第１の操作コンポーネント（８）と前記第１の車両制御ユニット（１）との間の前記第１のデータ接続（５）を無効にするように構成されている、
   車両制御システム。
2. 前記第１の操作コンポーネント（８）と前記第１の車両制御ユニット（１）との間の前記第１のデータ接続（５）は、オプトカプラ、ガルバニックスイッチ、または誘導結合スイッチのうちの１つを含むスイッチを含む、請求項１記載の車両制御システム。
3. 前記第１の操作コンポーネント（８）は、該第１の操作コンポーネント（８）をそれぞれ前記第１および第２の車両制御ユニット（１，２）のうちの少なくとも１つに接続する１つまたは複数のトランシーバ（１０，１１）を含む、請求項１または２記載の車両制御システム。
4. 前記第２の車両制御ユニット（２）は、前記第１の通信ネットワーク（１４）から分離された第２の通信ネットワーク（１５）に接続されている、請求項１から３までのいずれか１項記載の車両制御システム。
5. 前記第２の車両制御ユニット（２）は、第１の車両制御ユニット（１）に接続され、データが、前記第１および前記第２の車両制御ユニット（１，２）間の接続を介して、前記第１の通信ネットワーク（１４）から前記第１の車両制御ユニット（１）および前記第２の車両制御ユニット（２）に転送され得る、請求項１から４までのいずれか１項記載の車両制御システム。
6. 前記第１の車両制御ユニット（１）は、マスター車両制御ユニットであり、前記第２の車両制御ユニット（２）は、スレーブ車両制御ユニットであり、前記マスター／スレーブの役割は、少なくとも１つの制御ユニットによって決定される、請求項１から５までのいずれか１項記載の車両制御システム。
7. 前記車両制御システムは、第２の操作コンポーネント（９）をさらに含み、前記第１の車両制御ユニット（１）は、前記第２の操作コンポーネント（９）に接続され、前記第１の車両制御ユニット（１）は、前記第２の操作コンポーネント（９）への第３の信号によって、前記第２の操作コンポーネント（９）と前記第１の車両制御ユニット（１）との間の第３のデータ接続を制御するように構成され、前記第２の車両制御ユニット（２）は、前記第２の操作コンポーネント（９）に接続され、前記第２の車両制御ユニット（２）は、前記第２の操作コンポーネント（９）への第４の信号によって、前記第２の操作コンポーネント（９）と前記第２の車両制御ユニット（２）との間の第４のデータ接続を制御するように構成され、前記第３のデータ接続および前記第４のデータ接続は、前記第３のデータ接続および前記第４のデータ接続のうちの少なくとも１つが有効または無効になるように制御することができる、請求項１から６までのいずれか１項記載の車両制御システム。
8. 第１の通信ネットワーク（１４）と、第１の操作コンポーネント（８）と、前記通信ネットワーク（１４）および前記第１の操作コンポーネント（８）に接続された第１の車両制御ユニット（１）と、前記第１の操作コンポーネント（８）に接続された第２の車両制御ユニット（２）と、を備えた車両制御システムを用いて車両を制御する方法であって、
   前記方法は、
   前記第１の操作コンポーネント（８）への第１の信号によって、前記第１の操作コンポーネント（８）と前記第１の車両制御ユニット（１）との間の第１のデータ接続（５）を有効にするステップと、
   前記第１の操作コンポーネント（８）への第２の信号によって、前記第１の操作コンポーネント（８）と前記第２の車両制御ユニット（２）との間の第２のデータ接続（６）を有効にするステップと、
   前記第１の車両制御ユニット（１）において、前記第１の操作コンポーネント（８）からデータを受信するステップと、
   前記第１の操作コンポーネント（８）から受信した前記データが誤っていることを決定するステップと、
   前記第１の操作コンポーネント（８）と前記第１の車両制御ユニット（１）との間の前記第１のデータ接続（５）を無効にするために、前記第１の車両制御ユニット（１）から前記第１の操作コンポーネント（８）に信号を送信するステップと、
   前記第１の操作コンポーネント（８）と前記第１の車両制御ユニット（１）との間の前記第１のデータ接続（５）を無効にするステップと、
   を含む、
   方法。
9. 前記第１の操作コンポーネント（８）と前記第１の車両制御ユニット（１）との間の前記第１のデータ接続（５）を無効にする前記ステップは、前記第１の操作コンポーネント（８）と前記第１の車両制御ユニット（１）との間の通信線路を物理的に分離するステップを含む、請求項８記載の方法。
10. 前記方法は、前記第１の操作コンポーネント（８）と前記第２の車両制御ユニット（２）との間の前記第２のデータ接続（６）を介してデータを交換するステップをさらに含む、請求項８または９記載の方法。
11. 前記第１の車両制御ユニット（１）と前記第２の車両制御ユニット（２）との間でデータを交換するステップと、
    前記第１の車両制御ユニット（１）と前記第２の車両制御ユニット（２）との間の前記データの交換に基づいて、前記第１かまたは前記第２のデータ接続（５，６）によって転送された前記データのエラーを決定するステップと、
    エラーを含んだデータが前記第１かまたは前記第２のデータ接続（５，６）によってそれぞれ転送されたかどうかに応じて前記第１かまたは前記第２のデータ接続（５，６）を無効にするステップと、
    をさらに含む、請求項８から１０までのいずれか１項記載の方法。
12. 前記第１の車両制御ユニット（１）と前記第２の車両制御ユニット（２）との間でデータを交換するステップと、
    前記第１の車両制御ユニット（１）または前記第２の車両制御ユニット（２）のエラーを決定するステップと、
    誤りのある前記第１かまたは前記第２の車両制御ユニット（１，２）を無効にするステップと、
    前記第１かまたは前記第２の車両制御ユニット（１，２）のうちの無効になっていない他の一方と前記第１の操作コンポーネント（８）との間でデータを交換するステップと、
    をさらに含む、請求項８から１１までのいずれか１項記載の方法。
13. 前記第１の通信ネットワーク（１４）のエラーを決定するステップと、
    前記第１および前記第２の車両制御ユニット（１，２）間の接続（７）を介して、前記第２の車両制御ユニット（２）に接続された第２の通信ネットワーク（１５）から前記第１の車両制御ユニット（１）にデータを転送するステップと、
    をさらに含む、請求項８から１２までのいずれか１項記載の方法。
14. 前記第１の操作コンポーネント（８）と並列に前記第１および前記第２の車両制御ユニット（１，２）に接続された第２の操作コンポーネント（９）と、前記第１の車両制御ユニット（１）との間の第３のデータ接続を、前記第２の操作コンポーネント（９）に送信される第３の信号によって有効にするステップと、
    前記第１の車両制御ユニット（１）において、前記第３のデータ接続を介して前記第２の操作コンポーネント（９）からデータを受信するステップと、
    前記第２の操作コンポーネント（９）から受信した前記データが誤っていることを決定するステップと、
    前記第２の操作コンポーネント（９）と前記第１の車両制御ユニット（１）との間の前記第３のデータ接続を無効にするために、前記第１の車両制御ユニット（１）から前記第２の操作コンポーネント（９）に信号を送信するステップと、
    前記第２の操作コンポーネント（９）と前記第１の車両制御ユニット（１）との間の前記第３のデータ接続を無効にするステップと、
    前記第２の操作コンポーネントと前記第２の車両制御ユニットとの間の第４のデータ接続を介してデータを交換するステップと、
    をさらに含む、請求項８から１３までのいずれか１項記載の方法。
15. コンピュータ可読媒体であって、該コンピュータ可読媒体は、コンピュータによって実行されるときに、請求項９から１４までのいずれか１項記載の方法を実施させる命令を含む、コンピュータ可読媒体。

Images