特許 6525906 セーフティクリティカルなエラーを処理するための方法と装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6525906

(24)【登録日】2019年5月17日

(45)【発行日】2019年6月5日

(54)【発明の名称】セーフティクリティカルなエラーを処理するための方法と装置

(51)【国際特許分類】

   G06F 11/20 20060101AFI20190527BHJP

   B60W 50/023 20120101ALI20190527BHJP

【ＦＩ】

   G06F11/20 638

   B60W50/023

【請求項の数】15

【外国語出願】

【全頁数】16

(21)【出願番号】特願2016-48158(P2016-48158)

(22)【出願日】2016年3月11日

(65)【公開番号】特開2016-170786(P2016-170786A)

(43)【公開日】2016年9月23日

【審査請求日】2016年3月11日

【審判番号】不服2018-6929(P2018-6929/J1)

【審判請求日】2018年5月22日

(31)【優先権主張番号】10 2015 003 194.5

(32)【優先日】2015年3月12日

(33)【優先権主張国】DE

(73)【特許権者】

【識別番号】599158797

【氏名又は名称】インフィニオン テクノロジーズ アクチエンゲゼルシャフト

【氏名又は名称原語表記】Ｉｎｆｉｎｅｏｎ Ｔｅｃｈｎｏｌｏｇｉｅｓ ＡＧ

(74)【代理人】

【識別番号】100114890

【弁理士】

【氏名又は名称】アインゼル・フェリックス＝ラインハルト

(74)【代理人】

【識別番号】100116403

【弁理士】

【氏名又は名称】前川 純一

(74)【代理人】

【識別番号】100135633

【弁理士】

【氏名又は名称】二宮 浩康

(74)【代理人】

【識別番号】100162880

【弁理士】

【氏名又は名称】上島 類

(72)【発明者】

【氏名】アクセル フライヴァルト

(72)【発明者】

【氏名】ビジョイ マシューズ

(72)【発明者】

【氏名】アントニオ ヴィレラ

【合議体】

【審判長】 辻本 泰隆

【審判官】 ▲はま▼中 信行

【審判官】 須田 勝巳

(56)【参考文献】

【文献】 特開２０１１−４６３３７（ＪＰ，Ａ）

【文献】 特開平７−４３２５７（ＪＰ，Ａ）

【文献】 特開２０１２−７８９４７（ＪＰ，Ａ）

【文献】 特開平７−２５３８９７（ＪＰ，Ａ）

【文献】 特開２００８−１４９８０７（ＪＰ，Ａ）

【文献】 国際公開第２０１０／１０３７６８（ＷＯ，Ａ１）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

G06F 11/20

B60W 50/023

(57)【特許請求の範囲】

【請求項1】

車両の装置（１５０）を動作させるためのデバイス（１００）において、
第１の制御信号（１０４）によって制御されるように構成されている第１のコントローラ（１０１）と、
第２の制御信号（１０５）によって制御されるように構成されている第２のコントローラ（１０２）と、
前記第１のコントローラ及び前記第２のコントローラに接続されて動作する制御ユニット（１０３）と、
を含んでおり、
前記第１のコントローラ及び前記第２のコントローラは、いずれも前記装置（１５０）を動作させるように構成されており、
前記第１のコントローラは、第１のパワードメイン（２１０）において動作するように構成されており、
前記第２のコントローラは、第２のパワードメイン（２２０）において動作するように構成されており、
前記制御ユニット（１０３）は、前記第１のパワードメイン（２１０）において実施されている第１のサブ回路（２０３ａ）と、前記第２のパワードメイン（２２０）において実施されている第２のサブ回路（２０３ｂ）と、を含んでおり、
前記第１のサブ回路（２０３ａ）は、前記第１の制御信号（１０４）によって前記第１のコントローラ（１０１）に接続され、
前記第２のサブ回路（２０３ｂ）は、前記第２の制御信号（１０５）によって前記第２のコントローラ（１０２）に接続され、
前記第１のコントローラ（１０１）は、警告信号又は状態信号（３０４）を前記第２のサブ回路（２０３ｂ）に送信し、
前記第２のコントローラ（１０２）は、警告信号又は状態信号（３０５）を前記第１のサブ回路（２０３ａ）に送信し、
前記第１のパワードメイン（２１０）の供給電圧は、前記第２のパワードメイン（２２０）の供給電圧と異なる、
デバイス（１００）。

【請求項2】

前記第１のコントローラは、第１のオペレーションモードにおいて前記装置を動作させるように構成されており、
前記第２のコントローラは、第２のオペレーションモードにおいて前記装置を動作させるように構成されている、
請求項１に記載のデバイス。

【請求項3】

前記第１のオペレーションモードは、第１のＨＷ／ＳＷ構造においてセーフティ機能を実施し、
前記第２のオペレーションモードは、第２のＨＷ／ＳＷ構造において前記セーフティ機能を実施する、
請求項２に記載のデバイス。

【請求項4】

前記第１のコントローラをクロック制御するための第１のクロックソースと、前記第２のコントローラをクロック制御するための第２のクロックソースと、を更に含んでいる、
請求項１乃至３のいずれか１項に記載のデバイス。

【請求項5】

前記第１のコントローラ（１０１）は、第１のクロック周波数で動作するように構成されており、
前記第２のコントローラ（１０２）は、第２のクロック周波数で動作するように構成されている、
請求項１乃至４のいずれか１項に記載のデバイス。

【請求項6】

前記第１のコントローラは、周辺装置の第１のセットを用いて動作するように構成されており、
前記第２のコントローラは、周辺装置の第２のセットを用いて動作するように構成されている、
請求項１乃至５のいずれか１項に記載のデバイス。

【請求項7】

前記周辺装置の第２のセットにおける周辺装置の数は、前記周辺装置の第１のセットにおける周辺装置の数よりも少ない、
請求項６に記載のデバイス。

【請求項8】

前記制御ユニット（１０３）は、前記第１の制御信号（１０４）を記憶するように構成されている、
請求項１乃至７のいずれか１項に記載のデバイス。

【請求項9】

請求項１乃至８のいずれか１項に記載のデバイス（１００）によって車両の装置（１５０）を動作させるための方法において、
第１のオペレーションモードにおいて前記装置（１５０）を動作させる前記第１のコントローラ（１０１）によって前記第１の制御信号（１０４）を生成するステップと、
前記制御ユニット（１０３）によって前記第１の制御信号（１０４）を評価して、評価結果を提供するステップと、
前記評価結果に応じて、前記第２のコントローラ（１０２）によって前記装置（１５０）の動作を引き継ぐステップと、
を備えていることを特徴とする、
方法。

【請求項10】

前記装置は、セーフティ機能を実施するように構成されている、
請求項９に記載の方法。

【請求項11】

前記第２のコントローラは、前記第１のコントローラとは異なるアーキテクチャで実施されている、
請求項９又は１０に記載の方法。

【請求項12】

前記第１のコントローラ及び前記第２のコントローラは、別個のパワードメイン（２２０，２３０）において動作するように構成されている、
請求項９乃至１１のいずれか１項に記載の方法。

【請求項13】

請求項１乃至８のいずれか１項に記載のデバイス（１００）を備えるシステムにおいて、
前記第１のコントローラは、第１のダイ（４５０）に構成されており、且つ、前記第２のコントローラは、第２のダイ（４６０）に構成されていることを特徴とする、
システム。

【請求項14】

前記第１のダイ及び前記第２のダイは、１つの共通のパッケージに構成されている、
請求項１３に記載のシステム。

【請求項15】

請求項１乃至８のいずれか１項に記載のデバイス（１００）を備えるシステムにおいて、
前記第１のコントローラ及び前記第２のコントローラは１つのダイに構成されていることを特徴とする、
システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施の形態は、自動車の用途、特に安全性に関連する用途、例えば、伝動装置の制御、警告表示の制御、電動パワーステアリング又は電動ブレーキの制御のための自動車の用途に関する。

【背景技術】

【0002】

自動車の用途における電子的な機能は、問題が検出された際に単純にオフにされることが多い。電子制御ユニット（ＥＣＵ）においては、セーフティクリティカルな障害が発生すると、マイクロコントローラが、パッシブセーフな状態に移行される。これはフェールセーフ状態として知られている。セーフティクリティカルな障害の一部は永続的でないが、しかしながら、カーエレクトロニクスネットワーク全体のシャットダウン及びシステムの再始動のための新たなイグニッションサイクルを要求する。

【0003】

別のアプローチでは、自動車の作動中に電子機能が再始動される。そのようなシステムは、リセットの実行に続いてセルフテストを行い、その後、動作の再始動を試みる。この手順は一般的に、最良のケースでも数百ミリ秒を要し、最悪のケースでは動作が再開しない。従って、最良のケースですら、動作が回復するまでの時間は多くの用途にとって、例えばパワーステアリングにとって極めて長いものとなる。

【0004】

安全性にとって重大な何らかの問題が発生すると即座にパッシブセーフな状態に移行する、自動車の用途において使用されるマイクロコントローラも複数実現されている。ソフトウェアの複雑性が高いことから、それらの問題の多くはソフトウェアのバグによって引き起こされる。それらのバグはウォッチドッグ又はその他の保護メカニズムによって検出される。その他の根本的な原因はハードウェアに関連するものであるが、しかしながら、それらの原因のうちの少数だけが、潜在的な故障（latent fault）と称される永続的な損傷によって惹起される。

【0005】

そのようなエラー処理の許容形態は近年変化してきている。つまり、ＥＣＵ全体がセーフ状態、パッシブ状態、オフ状態に移行することはもはや許容されなくなっている。現在ではセーフティクリティカルなＥＣＵに関して、例えば車両を安全に駐車できるまで、又は、通常の動作を再開できるまで、何らかの動作を提供するバックアップシステムが要求されている。そのような動作は一般的に、リンプホーム、路肩への回避動作（limp aside）、又はバックアップ動作と称される。

【0006】

フェールオペレーショナルシステムによる解決手段又は可用性が高められたシステムは、故障が発生した場合であっても、セーフティクリティカルな機能に関する性能の許容可能なレベルを提供する。このオペレーションモードへの切り替えが行われる原因として、ハードウェアの潜在的な故障、そのようなハードウェアの潜在的な故障ではない突発的な故障、又は、ソフトウェアフォールトが考えられる。

【0007】

１つのアプローチとして、単一の信号コントローラを使用するが、しかしながら最も高い故障率（ＦＩＴ：Failure-In-Time）を有している最もクリティカルな部分を二重にすることが挙げられる。別のアプローチとして、少なくとも１つの第２のＣＰＵコア及び周辺装置の別個のセットを含んでいるマルチコアコントローラを使用することが挙げられる。第２のＣＰＵコア及び周辺装置セットは、マルチコアコントローラの第１のＣＰＵコアが問題を検出すると、動作を引き継ぐ。

【0008】

最もコストの掛かる解決手段は、２つ又は３つのＥＣＵ、複数の給電部及び通信システムを使用して、電子制御システム全体を二重又は三重にすることである。そのようなアプローチは余りに不経済であり、また自動車の用途にとっては占有空間が大きすぎる。

【0009】

別の問題は、それらの解決手段の大部分が依然として、共通のエラーソースによって惹起されるエラーに取り組まなければならないことである。特に、複数のコントローラが同一のツール及びソフトウェアを使用する場合、それらは潜在的に、ソフトウェアバグによって惹起される同一のシステマチックな問題を有している。

【0010】

更に、そのようなシステムは、故障する可能性があるコンポーネントをより多く含んでおり、またそのような故障が更に信頼性を低下させるか、又は動作が限定された状況が許容できないほど数多く発生する虞を含んでいる。そのような車両に及ぼされる影響の１つとして、修理工場に出向くことを強いられる回数が過度に多くなることが考えられる。

【0011】

米国特許出願公開第２０１３／００６７２５９号明細書には、メインコントローラ及びスタンバイコントローラを含んでいるマイクロコントローラユニットが開示されている。しかしながら、スタンバイコントローラが低消費電力のために最適化されているのに対し、メインコントローラは高性能のために最適化されている。

【発明の概要】

【課題を解決するための手段】

【0012】

第１の実施の形態は、第１の制御信号によって制御されるように構成されており、且つ、装置を動作させるように構成されている第１のコントローラと、第２の制御信号によって制御されるように構成されている、且つ、装置を動作させるように構成されている第２のコントローラと、第１のコントローラ及び第２のコントローラに接続されて動作する制御ユニットと、を含んでいる装置を動作させるためのデバイスに関する。

【0013】

第２の実施の形態は、車両の装置を動作させるための方法に関する。この方法は、第１のオペレーションモードにおいて車両の装置を動作させる第１のコントローラによって制御信号を生成するステップと、制御ユニットによって制御信号を評価して、評価結果を提供するステップと、評価結果に応じて、第２のコントローラによって装置の動作を引き継ぐステップと、を備えている。

【0014】

第３の実施の形態は、セーフティ機能を実施するように構成されている車両の装置を動作させ、且つ、第１のダイに構成されている第１のコントローラと、装置を動作させ、且つ、第２のダイに構成されている第２のコントローラと、第１のコントローラ及び第２のコントローラを制御するように構成されている制御ユニットと、を含んでいるシステムに関する。

【0015】

第４の実施の形態は、セーフティ機能を実施するように構成されている車両の装置を動作させる第１のコントローラと、装置を動作させる第２のコントローラと、第１のコントローラ及び第２のコントローラを制御する制御ユニットと、を含んでおり、第１のコントローラ及び第２のコントローラが１つのダイに構成されている、システムに関する。

【0016】

図面には複数の実施の形態が示されており、それら複数の実施の形態を、それらの図面を参照しながら説明する。図面は基本的な原理を説明するために用いられるものであって、基本的な原理を理解するにあたり必要とされる態様のみが示されている。図中、同一の参照番号は同一の特徴を表している。

【図面の簡単な説明】

【0017】

【図1】一実施例によるデバイスを示す概略図である。

【図2】２つのパワードメインを使用する、一実施例による例示的なデバイスの別の概略図である。

【図3】複数の別個の制御ユニットを使用する例示的なデバイスを示す。

【図4】異なるダイを含んでいる例示的なデバイスを示す。

【図5】一実施例による方法のフローチャートを示す。

【発明を実施するための形態】

【0018】

複数の実施の形態は、自動車の安全性に関連する用途においてエラーを処理するための装置及び方法に関する。これらを少なくとも２つのコントローラを使用することによって達成することができ、一方のコントローラはメインコントローラであり、他方のコントローラはバックアップコントローラとして動作する。

【0019】

メインコントローラにおいてエラーが生じるケースでは、バックアップコントローラは、その種々のアーキテクチャ又は種々のインプリメンテーションを使用して、安全性に関連する機能を引き継ぐことができる。多様性を使用することによって、バックアップコントローラは、メインコントローラと同じ問題に直面することはない。

【0020】

図１には、メインコントローラ１０１と、バックアップコントローラ１０２と、それらメインコントローラ１０１及びバックアップコントローラ１０２に接続されている制御ユニット１０３と、から成るデバイス１００が示されている。デバイス１００は、車両のセーフティクリティカルなシステムである装置１５０を制御することができる。セーフティクリティカルなシステムは、例えば、電動パワーステアリングシステム、伝動装置制御ユニット、電子ブレーキシステム又は車両内の自動車機能を実行するその他の構成要素であって良い。

【0021】

メインコントローラ１０１は、ＣＰＵコア、メモリ及び周辺装置の第１のセットを含むことができるマイクロプロセッサ又はマイクロコントローラであって良い。ＣＰＵコアは、８ビットＣＰＵコア、１６ビットＣＰＵコア、３２ビットＣＰＵコア又は６４ビットＣＰＵコアとして実施されており、また周辺装置の第１のセットは、インタフェースモジュール、タイマ、アナログ・ディジタル変換器又はポートモジュールのようなハードウェアユニットを含むことができる。メインコントローラ１０１は、図示していない給電部から給電されており、また、第１のクロックソースから導出される所定のクロック周波数でソフトウェア命令を実行する。

【0022】

バックアップコントローラ１０２は、状態マシン、プログラミング可能な状態マシン、マイクロプロセッサ又はマイクロコントローラであって良い。バックアップコントローラ１０２は、別のＣＰＵコア、別のメモリ及び別のハードウェアモジュール、例えば周辺装置の第２のセットを含むことができる。しかしながら、バックアップコントローラ１０２は、メインコントローラ１０１と比較して単純なアーキテクチャを有することができる。

【0023】

デバイス１００は、２つの異なるオペレーションモードを実行することができるか、又は、２つの異なるオペレーションモードで動作することができる。通常オペレーションモードの間は、メインコントローラ１０１が、装置１５０を制御するための特定のアプリケーション又は機能を実行している。セーフティクリティカルなエラーイベントが発生すると、デバイス１００は通常オペレーションモードから緊急オペレーションモードに切り替わる。緊急オペレーションモードでは、バックアップコントローラ１０２が装置１５０を制御するためのアプリケーション又は機能を実行する。

【0024】

デバイス１００の挙動の１つの例として、電動パワーステアリングシステムのＤＣモータを制御するためのメインコントローラ１０１によるソフトウェアの実行中に、エラーが発生することが挙げられる。このケースでは、バックアップコントローラが緊急オペレーションモードにおいて、必要とされる機能を引き継ぎ、その機能を実現することができる。例えば、バックアップコントローラは単純に、問題が発生する前と同様にシステムを動かし続けることができる。

【0025】

バックアップコントローラがステアリングシステムを動作させている間に、メインコントローラはリブートされる。メインコントローラのリブートが完了した後に、メインコントローラはステアリングシステムの制御を引き継ぎ直し、その一方で、バックアップコントローラを非アクティブ状態にセットすることができる。

【0026】

従って、電動パワーステアリングシステムの動作は、メインコントローラ又はバックアップコントローラによって処理される。

【0027】

制御ユニット１０３はセーフティ管理ユニット（ＳＭＵ）であって良い。制御ユニット１０３は、メインコントローラ１０１とバックアップコントローラ１０２との間で、一種のスーパーバイザーとして動作する。制御ユニット１０３は、制御信号１０４を介してメインコントローラに接続されており、且つ、制御信号１０５を介してバックアップコントローラに接続されている。制御信号（１０４，１０５）は一方向であっても良いし、双方向であっても良く、また複数の信号線から成るものであって良い。

【0028】

制御ユニット１０３は、第１の制御信号１０４を評価する。第１の制御信号１０４は、警告信号から成るものであって良い。結果に応じて、制御ユニットは、第２の制御信号１０５の信号線をセットしてバックアップコントローラ１０２を起動させることができ、バックアップコントローラ１０２は、緊急モードにおいてメインコントローラから機能を引き継ぐ。

【0029】

メインコントローラがセーフティクリティカルな機能におけるエラーを認識すると、即座に警告信号を生成することができる。メインコントローラをリブート又はリセットし、且つ、バックアップコントローラを起動させるために、この警告信号を制御ユニット１０３によって評価することができる。警告信号のタイプ又はこの警告信号に対応するその他の統計値を、制御ユニット１０３又はその他のメモリに記憶することができる。

【0030】

メインコントローラが機能を再開できる状態になると、制御ユニットは即座に、第１の制御信号１０４の対応する信号線をセットすることができる。メインコントローラが通常モードで作動し始めると、制御ユニットは、バックアップコントローラ１０２に対する適切な制御信号１０５を生成することができる。

【0031】

装置１５０をハードウェア（ＨＷ）として、つまり有線で固定された電子回路として実現することができるか、又は、特定のセーフティ機能を実現するＣＰＵにおいて実行されるソフトウェア（ＳＷ）として実現することができる。セーフティ機能は、例えば、伝動装置の制御、警告表示の制御、電動パワーステアリング又は電動ブレーキの制御であって良い。

【0032】

制御ユニット１０３はセーフティクリティカルなエラー条件を識別することができ、このイベント及び関連する全ての状態情報を、例えば、特定のメモリに記憶することができ、また、バックアップコントローラ１０２の処理を開始することができる。

【0033】

デバイス１００の２つのオペレーションモードは、同一のセーフティクリティカルな機能を、例えば電動ステアリングを、異なるハードウェア（ＨＷ）構造又はソフトウェア（ＳＷ）構造において実現するか、又は、ＨＷ／ＳＷ構造の異なる組み合わせにおいて実現することができる。

【0034】

この実施の形態の１つの例においては、バックアップコントローラ１０２のＣＰＵコアが８ビットＣＰＵコアとして実施されており、またメインコントローラ１０１のＣＰＵコアは３２ビットＣＰＵコアとして実施されている。このケースでは、バックアップコントローラは少数の電子コンポーネントを使用する。

【0035】

バックアップコントローラ１０２のＣＰＵコアを、メインコントローラ１０１のＣＰＵコアのクロック周波数と同一であるか又は異なるクロック周波数で動作させることができる。バックアップコントローラがより低いクロック周波数で動作する場合、バックアップコントローラの消費電力はより少ないものとなる。

【0036】

第２のオペレーションモード、つまり緊急モードを、例えば、第１のオペレーションモード、つまり通常モードにおいてメインコントローラにおいて実行される比較的複雑なソフトウェアに比べて単純である、バックアップコントローラにおいて実行されるソフトウェアによって実現することができる。

【0037】

この実施の形態の一例として、メインコントローラ１０１は、例えば車両によって使用される電動パワーステアリングの用途の一部としての電気モータを含んでいる装置１５０を制御するために複雑なソフトウェアルーチンを実行する。ソフトウェアは快適なステアリング機能を提供することができ、また、初めからＣ言語で記述して、第１のＣコンパイラによってコンパイルすることができる。このセーフティ機能に関して、バックアップとしての緊急用の第２のソフトウェアインプリメンテーションが設けられていても良い。１つの例においては、異なるソフトウェアインプリメンテーションを取得するために、第２のソフトウェアインプリメンテーションが第２のＣコンパイラを使用している。

【0038】

別の例においては、第２のソフトウェアインプリメンテーションが異なる命令から構成されており、且つ、その複雑性は低くなっているが、しかしながらシステム全体を安全にリセットできるまでの、例えば車両が停止され、メインコントローラ１０１をリセットできるまでの、パワーステアリングの基本的な制御を保証する。メインコントローラ１０１がその動作中にエラーを示唆する場合、第２のソフトウェアインプリメンテーションが、バックアップコントローラ１０２のＣＰＵにおいて実行される。

【0039】

この実施の形態の別の例においては、バックアップコントローラ１０２の周辺装置が、多様化されたデザインツールを使用して実施されている。それらのデザインツールはハードウェア記述言語、例えばＶＨＤＬ又はＶｅｒｉｌｏｇのソースコードを、シリコンダイにおいて実施することができるゲートレベルのネットリストにコンパイルする。バックアップコントローラ１０２のゲートレベルのネットリストの実施は、メインコントローラ１０１のためのゲートレベルネットリストを実施するために使用されるデザインツールとは異なるデザインツールを使用して行われている。バックアップコントローラ１０２は、シミュレータ、デバッガ又は形式的検証ツールによって検証されている。バックアップコントローラ１０２のアーキテクチャに使用されるツールを、メインコントローラ１０１のアーキテクチャを検証するために使用されるツールとは異ならせることができる。

【0040】

異なる設計ツール、検証ツール及び異なるソフトウェアインプリメンテーションの使用により、メインコントローラ１０１のアーキテクチャ及び／又はインプリメンテーションとは異なる、バックアップコントローラ１０２のアーキテクチャ及び／又はインプリメンテーションを提供することができる。異なるアーキテクチャ及び／又は異なるインプリメンテーションによって、共通原因の故障が発生するリスクが低下する。メインコントローラ１０１において実行されるセーフティクリティカルな機能の動作中のエラーの根本原因が、バックアップコントローラ１０２において実行される機能も妨害する可能性は低下する。

【0041】

メインコントローラ及びバックアップコントローラはそのアーキテクチャに関して異なる。更に、異なるアーキテクチャを異なる合成ツールを使用して設計することができ、また異なる検証ツール及びデバッギングによって検証することができる。

【0042】

図２には、装置１５０と、その装置１５０を制御するためのデバイス２００と、が示されている。デバイス２００は、２つの別個のドメインとしてドメイン２１０及びドメイン２２０を含んでいる。それらのドメイン２１０及び２２０を、１つのシリコンダイ又は別個のシリコンダイに集積させることができる。ドメイン２１０及び２２０は、それら２つのドメインのうちの一方に属するコンポーネントがドメイン固有のパラメータ範囲で動作することを意味する、専用のパワードメイン又はクロックドメインによって特徴付けられている。

【0043】

この実施の形態の１つの例においては、ドメイン２１０は、３．３Ｖをこのドメイン２１０に属するコンポーネントに供給する給電部によって特徴付けられているパワードメインであり、他方、ドメイン２２０は５Ｖを自身のコンポーネントに供給する給電部によって特徴付けられているパワードメインである。コンポーネントは、複数のコンポーネント又は周辺装置から成るグループに特定の電圧を供給する、埋込型電圧レギュレータ（ＥＶＲ）を含むことができる。

【0044】

この実施の形態の別の例においては、ドメイン２１０は、特定のクロックソース及び／又は特定のクロック周波数によって特徴付けられている。このケースでは、ドメイン２１０に属する全ての同期モジュールが、特定のドメインクロックソースから導出されるクロックで動作する。ドメイン２２０は、同一の又は異なる周波数で動作する別個のクロックソースを有することができる。

【0045】

１つの実施の形態においては、制御ユニットはセーフティ管理ユニット（ＳＭＵ）であって良い。ＳＭＵを、その第１の部分が第１のパワードメインにおいて実施され、且つ第２の部分が第２のパワードメインにおいて実施されるように、実施することができる。第１のドメイン２１０は、メインコントローラ１０１と、ＳＭＵ１０３の第１の部分であるデバイス２０３ａと、を含んでいる。メインコントローラ１０１は、第１のＣＰＵを含んでおり、且つ、デバイス２０３ａに入力される制御信号１０４の一部としての警告信号を生成することができる。ＳＭＵの第１の部分であるデバイス２０３ａは、制御信号１０４を読み出し、警告信号を評価し、メインコントローラ１０１に対する制御信号１０４の一部としてのリセット信号を供給する。その他の種類の制御信号、例えばリブート信号をメインコントローラに供給することも可能である。

【0046】

第２のドメイン２２０は、バックアップコントローラ１０２と、ＳＭＵ１０３の第２の部分であるデバイス２０３ｂと、を含んでいる。第１のドメイン２１０に関して説明したように、第２のドメイン２２０を別個のパワードメイン又はクロックドメインによって特徴付けることができる。

【0047】

メインコントローラ１０１及び／又はバックアップコントローラ１０２は、制御信号１０４又は制御信号１０５の一部として、それぞれ警告信号又は状態信号を生成することができる。それらの警告信号又はデータ信号を、制御ユニット１０３によって、又はそのドメイン固有の回路２０３ａ及び２０３ｂによって評価することができる。この評価の結果に応じて、制御ユニット１０３は、各コントローラに対する制御信号１０４又は１０５の一部としてのリセット信号を生成することができる。

【0048】

制御ユニット１０３の一部としてのドメイン固有の回路２０３ａ及び２０３ｂは、インタフェース２０６を介して相互に通信する。このインタフェース２０６は、ドメイン２１０からドメイン２２０に警告信号、状態信号又は一般的な情報を伝送するために使用される。装置１５０のセーフティクリティカルな用途に関する１つの例として、電動パワーステアリングが考えられ、そこでは重要な機能を通常オペレーションモード中にデバイス１０１（メインコントローラ）において実行することができる。警告信号２０４によって制御ユニット１０３に通知することができるエラーが生じるケースでは、デバイス１０２（バックアップコントローラ）が緊急オペレーションモードにおいて装置１５０の制御を引き継ぐ。

【0049】

緊急オペレーションモードを実行するために、バックアップコントローラ１０２は、ステアリングシステムの目下のトルク又はステアリング角度のような必要情報を要求する。それらの情報を、インタフェース２０７を介して、メインコントローラ１０１からバックアップコントローラ１０２に通信する必要がある。

【0050】

メインコントローラとバックアップコントローラの相異によって、システマチックなエラー又は共通原因のエラー、特にソフトウェアエラーが回避される。メインコントローラ及びバックアップコントローラは、専用のクロックソースを有することができる。つまり、それら２つのコントローラは、同一のクロック周波数、類似のクロック周波数又は異なるクロック周波数で動作することができる。

【0051】

１つの実施の形態においては、バックアップコントローラは、メインコントローラへの給電が行われなくなったとしても、依然として動作を続けるべきである。従って、メインコントローラ及びバックアップコントローラは、専用の給電部及び／又はパワードメインを有するべきである。

【0052】

図３には、別の実施の形態として、デバイス２００に類似するデバイス３００が示されている。しかしながら図２とは異なり、メインコントローラ１０１が、複数の信号線を含むことができる警告信号又は状態信号３０４を生成し、生成された警告信号又は状態信号３０４がドメイン固有のサブ回路２０３ｂによって読み出される。つまり警告信号又は状態信号３０４はドメインの境界を越える。バックアップコントローラ１０２は、複数の信号線を含むことができる警告信号又は状態信号３０５を生成し、その信号３０５をドメイン固有のサブ回路２０３ａに入力することができる。

【0053】

図示していない別の実施の形態においては、ドメイン固有の回路２０３ｂが、メインコントローラ１０１へと供給される制御信号を生成する。反対に、ドメイン２１０のドメイン固有の回路２０３ａは、バックアップコントローラ１０２に供給される制御信号を生成する。

【0054】

図４には、第１のダイ４５０及び第２のダイ４６０を含んでいるデバイス４００が示されている。それら２つのシリコンダイは、例えば、１つの共通の半導体パッケージに構成されている。メインコントローラ１０１、システム管理ユニット（ＳＭＵ）のドメイン固有の部分２０３ａ、メインコントローラ１０１とＳＭＵ部分２０３ａとの間のインタフェース４０４は、第１のシリコンダイ４５０に構成されている。

【0055】

バックアップコントローラ１０２と、ＳＭＵのドメイン固有の部分２０３ｂと、バックアップコントローラ１０２とＳＭＵの部分２０３ｂとの間のインタフェース４０４は、第２のシリコンダイ４６０に構成されている。ドメインの境界を越えるインタフェース信号４０４，４０５及び４０６を、ダイ間の専用ワイヤによって実現することができるか、フリップチップ技術によって実現することができる。フリップチップは、チップパッド上に堆積されたはんだバンプを用いて、半導体デバイスを相互接続するための方法である。

【0056】

図５には、車両の装置を動作させるために上述の方法を実施するための３つのステップを備えているフローチャートが示されている。ステップ５０１においては、第１のオペレーションモードで動作しているメインコントローラによって、制御信号が生成される。１つの実施例においては、このオペレーションモードをセーフティクリティカルな機能によって特徴付けることができる。

【0057】

車両は、人間を移送するいずれかの移動機械であるか、又はワゴン、自転車、自動車両（バイク、車、トラック、バス、列車）のようなカーゴ、船艇（船、ボート）、宇宙船及び飛行機であって良い。

【0058】

制御信号は、例えば、セーフティクリティカルな自動車の用途の実行中に認識される欠陥によって生成される。制御信号は、複数の信号線を含むことができる警告信号であって良く、それらはステップ５０２において、例えばセーフティ管理ユニット（ＳＭＵ）によって読み出されて評価される。

【0059】

続いて、ステップ５０３においては第１の機能の実行が例えばバックアップコントローラによって引き継がれる。バックアップコントローラは、メインコントローラとは異なるアーキテクチャを有することができるか、異なるソフトウェアインプリメンテーションを有することができるか、もしくは、メインコントローラのインプリメンテーションとは異なっている。

【0060】

本明細書において提案される例は、特に、以下の解決手段のうちの少なくとも１つを基礎とすることができる。特に、以下の特徴の組み合わせを使用して、所望の結果を達成することができる。本方法の特徴を、デバイス、装置又はシステムのいずれかの（１つ又は複数の）特徴と組み合わせることができるか、又は反対に、装置又はシステムのいずれかの（１つ又は複数の）特徴を本方法の特徴と組み合わせることができる。

【0061】

車両の装置を動作させるためのデバイスが提供される。デバイスは、第１の制御信号によって制御されるように構成されている第１のコントローラと、第２の制御信号によって制御されるように構成されている第２のコントローラと、を含んでいる。更に、デバイスは、第１のコントローラ及び第２のコントローラに接続されて動作する制御ユニットを含んでおり、この場合、第１のコントローラ及び第２のコントローラはいずれも装置を動作させるように構成されている。

【0062】

車両の安全性に関連する部分であって良い装置、例えば電動ブレーキを動作させる第１のコントローラに問題が生じるケースでは、第２のコントローラは装置の動作を引き継ぎ、その間に第１のコントローラはリブートされる。

【0063】

１つの実施の形態においては、第１のコントローラは、第１のオペレーションモードにおいて装置を動作させるように構成されており、また第２のコントローラは、第２のオペレーションモードにおいて装置を動作させるように構成されている。

【0064】

第１のオペレーションを、車両の通常オペレーションによって、つまり、自動車の一般的な運転によって特徴付けることができる。第２のオペレーションモードは、車両の基本的な安全性に関する更なる機能を保証するが、機能性又は快適性は低下している緊急モードであって良い。

【0065】

１つの実施の形態においては、第１のオペレーションモードが第１のＨＷ／ＳＷ構造においてセーフティ機能を実施し、また第２のオペレーションモードが第２のＨＷ／ＳＷ構造においてセーフティ機能を実施する。

【0066】

２つのコントローラによって使用されるハードウェア（ＨＷ）は異なっていても良い。それら２つのコントローラは異なるＣＰＵ、周辺装置及び／又はメモリの異なるセットを使用することができる。また、異なるハードウェアに加えて、又はただ１つの相異点として、２つのコントローラにおいて実行されるソフトウェア（ＳＷ）が異なっていても良い。

【0067】

１つの実施の形態においては、デバイスが更に、第１のコントローラをクロック制御するための第１のクロックソースと、第２のコントローラをクロック制御するための第２のクロックソースと、を含んでいる。

【0068】

異なるクロック信号によって、異なる電力消費量及び異なる性能を達成することができる。１つの例においては、第１のコントローラ又はメインコントローラが、第２のコントローラ又はバックアップコントローラよりも高いクロックレートでもって、全体としてより高い性能で動作する。

【0069】

１つの実施の形態においては、第１のコントローラが、第１のクロック周波数で動作するように構成されており、また第２のコントローラが、第２のクロック周波数で動作するように構成されている。

【0070】

１つの実施の形態においては、第１のコントローラが、第１のパワードメインにおいて動作するように構成されており、また第２のコントローラが、第２のパワードメインにおいて動作するように構成されている。

【0071】

１つの実施の形態においては、制御ユニットが、第１のパワードメインにおいて実施されている第１のサブ回路と、第２のパワードメインにおいて実施されている第２のサブ回路と、を含んでいる。

【0072】

１つの実施の形態においては、第１のコントローラが、周辺装置の第１のセットを用いて動作するように構成されており、また第２のコントローラが、周辺装置の第２のセットを用いて動作するように構成されている。

【0073】

１つの実施の形態においては、周辺装置の第２のセットにおける周辺装置の数は、周辺装置の第１のセットにおける周辺装置の数よりも少ない。

【0074】

１つの実施の形態においては、制御ユニットが、第１の制御信号を記憶するように構成されている。

【0075】

車両の装置を動作させるための方法が提供される。この方法は、第１のコントローラによって制御信号を生成し、第１のオペレーションモードにおいて装置を動作させるステップを含んでいる。この方法では続いて、制御ユニットによって制御信号が評価されて評価結果が提供され、評価結果に応じて、装置の動作は第２のコントローラによって引き継がれる。

【0076】

第１のモードにおいては、第１のコントローラが、即ちメインコントローラが、装置を更に動作させた場合に問題があることを示唆する警告信号を生成することができる。装置は車両のセーフティクリティカルな部分、例えば電動ブレーキ又は電動ステアリングシステムであって良い。生成された警告信号を、セーフティ制御ユニットによって評価し、装置は第２のコントローラによって、即ちバックアップコントローラによって動作及び制御された方が良いか否かを決定することができる。

【0077】

１つの実施の形態においては、本方法において使用される装置がセーフティ機能を実施するように構成されている。

【0078】

１つの実施の形態においては、第２のコントローラが、第１のコントローラとは異なるアーキテクチャで実施されている。

【0079】

１つの実施の形態においては、第１のコントローラ及び第２のコントローラが、別個のパワードメインにおいて動作するように構成されている。

【0080】

システムが提供される。このシステムは、車両の装置を動作させる第１のコントローラを含んでおり、装置はセーフティ機能を実施するように構成されている。システムは更に、装置を動作させるための第２のコントローラと、第１のコントローラ及び第２のコントローラを制御するように構成されている制御ユニットと、を含んでおり、第１のコントローラは第１のダイに構成されており、第２のコントローラは第２のダイに構成されている。

【0081】

第１のダイを特定のＣＭＯＳ半導体技術で製造することができ、その一方で第２のダイを、第１のダイで使用されるＣＭＯＳ技術とは異なる技術で製造することができる。２つのダイは、それら２つのダイをインタフェースにより接続するためのパッドを提供することができる。２つのダイのパッドを、ワイヤボンディング技術又はフリップチップ技術を使用して相互に接続することができる。

【0082】

１つの実施の形態においては、第１のダイ及び第２のダイが１つの共通のパッケージに構成されている。

【0083】

パッケージは、ＭＱＦＰ，ＴＱＦＰであっても良いし、ＢＧＡ（Ball Grid Arrays）のためのパッケージであっても良い。システムの異なる部分を、２つのコントローラのうちの一方と共に実施することができる。別の例では、制御ユニットを第３のダイに構成することができ、その場合、第３のダイを第１のダイ及び第２のダイと同一の技術で製造しても良いし、異なる技術で製造しても良い。

【0084】

別のシステムが提供される。このシステムは、車両の装置を動作させる第１のコントローラと、装置を動作させる第２のコントローラと、を含んでおり、装置はセーフティ機能を実施するように構成されている。システムは更に、第１のコントローラ及び第２のコントローラを制御するための制御ユニットを含んでおり、第１のコントローラ及び第２のコントローラは１つのダイに構成されている。

【0085】

１つ又は複数の例においては、本明細書において記載した自動車のセーフティ機能を、少なくとも部分的にハードウェアで、例えば特定のハードウェアコンポーネント又はプロセッサで実施することができる。より一般的には、種々の技術をハードウェア、プロセッサ、ソフトウェア、ファームウェア又はそれらの任意の組み合わせで実施することができる。

【0086】

ソフトウェアで実施される場合、セーフティ機能をコンピュータ読み出し可能媒体に記憶することができるか、又は、コンピュータ読み出し可能媒体における１つ又は複数の命令又はコードを伝送し、ハードウェアベースの処理ユニットによって実行することができる。コンピュータ読み出し可能媒体は、有形の媒体、例えばデータ記憶媒体に対応するコンピュータ読み出し可能な記憶媒体を含むことができるか、又は、例えば通信プロトコルに準拠してある場所から別の場所へのコンピュータプログラムの伝送を容易にする任意の媒体を含めた通信媒体を含むことができる。

【0087】

データ記憶媒体は、１つ又は複数のコンピュータによって、又は、１つ又は複数のプロセッサによって、本明細書において説明した種々の技術を実施するための命令、コード及び／又はデータ構造を検索するためにアクセスすることができる、利用可能なあらゆる媒体であって良い。コンピュータプログラム製品はコンピュータ読み出し可能媒体を含むことができる。

【0088】

本明細書において開示した技術を実施するように構成されているデバイスの機能的な態様を強調するために、本明細書において種々のコンポーネント、モジュール又はユニットを説明したが、それらを異なるハードウェアユニットで実現することは必ずしも要求されない。むしろ、上記において説明したように、種々のユニットを、適切なソフトウェア及び／又はファームウェアと共に、上記において説明したような１つ又は複数のプロセッサを含めて、単一のハードウェアにおいて組み合わせることができるか、又は、相互的に動作する複数のハードウェアユニットの集合体によって提供することができる。

【0089】

本発明の実施の形態の種々の例を説明したが、当業者であれば、本発明の精神及び範囲から逸脱することなく、本発明の利点の一部を達成するであろう種々の変更及び修正を行えることが分かる。当業者には自明であるように、同一の機能を実行するその他のコンポーネントを適切に置換することができる。ある特定の図面を参照しながら説明した種々の特徴を、その他の図面の特徴と組み合わせても良いことを言及しておく。これはそのような組み合わせが明示的に記載されていない場合であっても該当する。更に、本発明の方法を、適切なプロセッサ命令を使用して、あらゆる全てのソフトウェアインプリメンテーションにおいて達成することができるか、又は、同一の結果を達成するために、ハードウェアロジックとソフトウェアロジックの組み合わせを使用するハイブリッド型のインプリメンテーションにおいて達成することができる。本発明のコンセプトに関するそのような変更は、添付の特許請求の範囲によってカバーされることが意図されている。

【図1】

【図2】

【図3】

【図4】

【図5】