特許 6556253 車両安全電子制御システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6556253

(24)【登録日】2019年7月19日

(45)【発行日】2019年8月7日

(54)【発明の名称】車両安全電子制御システム

(51)【国際特許分類】

   B60R 16/02 20060101AFI20190729BHJP

   G06F 11/16 20060101ALI20190729BHJP

【ＦＩ】

   B60R16/02 660Q

   B60R16/02 660H

   G06F11/16 629

【請求項の数】13

【全頁数】13

(21)【出願番号】特願2017-552450(P2017-552450)

(86)(22)【出願日】2016年4月15日

(65)【公表番号】特表2018-528111(P2018-528111A)

(43)【公表日】2018年9月27日

(86)【国際出願番号】EP2016058408

(87)【国際公開番号】WO2016169856

(87)【国際公開日】20161027

【審査請求日】2017年11月6日

(31)【優先権主張番号】15164320.2

(32)【優先日】2015年4月20日

(33)【優先権主張国】EP

(73)【特許権者】

【識別番号】518238850

【氏名又は名称】ヴィオニア スウェーデン エービー

(74)【代理人】

【識別番号】100098143

【弁理士】

【氏名又は名称】飯塚 雄二

(72)【発明者】

【氏名】コルマー、ノーベルト

【審査官】 菅 和幸

(56)【参考文献】

【文献】 特開２０１２−２１８６２１（ＪＰ，Ａ）

【文献】 特開２０１３−０２５５７０（ＪＰ，Ａ）

【文献】 国際公開第２０１３／０５７８２５（ＷＯ，Ａ１）

【文献】 特開２０１４−１９１６５５（ＪＰ，Ａ）

【文献】 特開２００８−２３４１４１（ＪＰ，Ａ）

【文献】 特開２０１５−０６７１０７（ＪＰ，Ａ）

【文献】 特開２０１４−１０２６６２（ＪＰ，Ａ）

【文献】 特開２０１０−２１１３９１（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｂ６０Ｒ １６／０２

Ｇ０６Ｆ １１／１６

(57)【特許請求の範囲】

【請求項1】

車両安全電子制御システムであって、
ロックステップコアを用いるロックステップアーキテクチャーを有する第１のマイクロコントローラーと、少なくとも２つの処理コアを有する第２のマイクロコントローラーとを備え、
前記第１のマイクロコントローラーの前記ロックステップコアは、前記第２のマイクロコントローラーの前記少なくとも２つの処理コアの出力を監視し、制御するように構成され、
前記第１のマイクロコントローラーのロックステップコアは、前記第２のマイクロコントローラーから、前記第２のマイクロコントローラーの前記少なくとも２つの処理コアの前記出力の比較を表すデータを受信するように構成され、そこから、前記第２のマイクロコントローラーの動作状況を導出するように構成され、
前記第２のマイクロコントローラーの前記少なくとも２つの処理コアはいずれも、それぞれの結果を得るために同じソフトウェア演算を同期して実行するように動作可能であり、前記少なくとも２つの処理コアはそれぞれ、自らのそれぞれの結果を他の処理コアの結果と比較し、それにより、前記比較データを導出するように動作可能であり、
当該システムが、死角監視、アダプティブクルーズコントロール、衝突防止支援、車線逸脱防止、後方衝突軽減の内の少なくとも１つの出力に基づいて動作することを特徴とする車両安全電子制御システム。

【請求項2】

前記第１のマイクロコントローラーの前記ロックステップコアは、前記第２のマイクロコントローラーから、前記少なくとも２つの処理コアの直接出力を表すデータを受信するように構成される、請求項１に記載の制御システム。

【請求項3】

前記第１のマイクロコントローラーは、前記比較データから、前記少なくとも２つの処理コアのいずれかが外乱を受けている否か、又は故障したか否かを判断するように構成される、請求項１又は２に記載の制御システム。

【請求項4】

前記第１のマイクロコントローラーの前記ロックステップコアは、前記少なくとも２つの処理コアのいずれかが外乱を受けている、又は故障したと判断するのに応答して、車両安全システムにエラーメッセージを送信すること、前記第２のマイクロコントローラーの前記外乱を受けている、又は故障した処理コアをリセットすること、前記外乱を受けている、又は故障した処理コアを所定の安全状態に入れることのうちの少なくとも１つを行うように構成される、請求項１乃至３の何れか１項に記載の制御システム。

【請求項5】

前記第２のマイクロコントローラーの前記少なくとも２つの処理コアはそれぞれ、前記ソフトウェアの実行中に、各フレーム後に自らの前記結果を前記他の処理コアコアの前記結果と比較するように動作可能である、請求項１乃至４の何れか１項に記載の制御システム。

【請求項6】

前記第２のマイクロコントローラーの前記少なくとも２つの処理コアは、車両安全関連ソフトウェアを実行するように動作可能である、請求項１乃至５のいずれか一項に記載の制御システム。

【請求項7】

前記第１のマイクロコントローラー及び前記第２のマイクロコントローラーは同期して動作するように構成される、請求項１乃至６のいずれか一項に記載の制御システム。

【請求項8】

前記第１のマイクロコントローラーは、前記第２のマイクロコントローラーを所定のサイクル時間で周期的に監視するように構成される、請求項１乃至７のいずれか一項に記載の制御システム。

【請求項9】

前記第１のマイクロコントローラーの前記ロックステップコアは、前記２つの処理コアのいずれかが外乱を受けている、又は故障したと判断するのに応答して、前記外乱を受けている、又は故障した処理コアを所定の安全状態に移行するように構成され、
前記サイクル時間は、前記第２のマイクロコントローラーの前記少なくとも２つの処理コアをそれぞれの前記安全状態に移行させるのに必要とされる時間より短い、請求項８に記載の制御システム。

【請求項10】

前記第１のマイクロコントローラーは前記第２のマイクロコントローラーのためのウォッチドッグタイマとしての役割を果たすように構成される、請求項８又は９に記載の制御システム。

【請求項11】

前記第１のマイクロコントローラーの前記ロックステップコアは、複合ソフトウェアウォッチドッグアプリケーションを実行するように動作可能である、請求項１０に記載の制御システム。

【請求項12】

前記ソフトウェアウォッチドッグアプリケーションは、ハートビート監視ユニットと、プログラムフロー検査ユニット（２８）と、タスク状態指示ユニットとを含む、請求項１１に記載の制御システム。

【請求項13】

統合電子制御ユニットの形で設けられる、請求項１〜１２のいずれか一項に記載の制御システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は電子制御システムに関し、より詳細には、車両安全電子制御システムに関する。

【背景技術】

【0002】

自動車において、現在、電子安全システムが非常に広く使用されている。そのような安全システムは、例えば、死角監視システム、アクティブクルーズコントロールシステム、プレセーフブレーキシステム、衝突回避システム、車線逸脱防止システム、後方衝突軽減システムを含むことができる。

【0003】

最新の車両安全システムの複雑性は、安全システムを提供し、管理するために必要とされる電子制御システムの性能及び信頼性を重視している。そのような制御システムは通常、いわゆる先進運転支援システム（ＡＤＡＳ：Advanced Driver Assistance System）アルゴリズムをホスティングし、実行するために、統合されたハードウェア及びソフトウェアを含む。

【0004】

そのようなシステムは、いわゆる自動車安全完全性レベル（ＡＳＩＬ：Automotive Safety Integrity Level）リスク分類方式を規定するＩＳＯ ２６２６２「道路車両の機能安全規格」（Functional Safety for Road Vehicles standard）のような非常に厳密な安全要件を満たすように要求される。ＡＳＩＬ−Ｄは、この規格下の最も高い完全性要件を表し、安全関連処理タスクに適用可能である。

【0005】

機能安全規格の要件は、制御システムが、算術ユニット、論理ユニット及びメモリユニット内の安全関連誤りを特定できなければならないことであり、それは、ロックステッププロセッサアーキテクチャーが使用される場合のＡＳＩＬ−Ｄ電子制御ユニットにおいてのみ可能である。しかしながら、このタイプのロックステップアーキテクチャーは、相対的に低い処理能力のみを有し、その処理能力は、レーダー、ライダー及び／又はカメラのような適切なセンサーの組を用いてＡＤＡＳのような最新のアプリケーションを取り扱うには不十分である。それゆえ、要求される安全完全性要件を満たしながら、改善された処理能力を提供することができる車両安全電子制御システムが必要とされている。

【0006】

現在の高性能マイクロプロセッサは、複雑すぎて、永続的及び一時的誤り検出に関する周期的な診断テストを介して、必要とされる安全完全性要件を達成することはできない。

【発明の概要】

【0007】

本発明によれば、車両安全電子制御システムであって、ロックステップコアを用いるロックステップアーキテクチャーを有する第１のマイクロコントローラーと、少なくとも２つの処理コアを有する第２のマイクロコントローラーとを備え、前記第１のマイクロコントローラーの前記ロックステップコアは、前記第２のマイクロコントローラーの前記少なくとも２つのコアの出力を監視し、制御するように構成される、車両安全電子制御システムが提供される。

【0008】

第１のマイクロコントローラーは少なくとも１つの非ロックステップコアを有することができる。

【0009】

前記第１のマイクロコントローラーの前記ロックステップコアは、前記第２のマイクロコントローラーから、前記第２のマイクロコントローラーコアの直接出力を表すデータを受信するように構成されることが好ましい。

【0010】

前記第１のマイクロコントローラーの前記ロックステップコアは、前記第２のマイクロコントローラーから、前記第２のマイクロプロセッサコアの前記出力の比較を表すデータを受信するように構成され、そこから、前記第２のマイクロコントローラーの動作状況を導出するように構成されることが有利である。

【0011】

前記第１のマイクロコントローラーは、前記比較データから、前記第２のマイクロコントローラーコアのいずれかが外乱を受けている否か、又は故障したか否かを判断するように構成されることが好都合である。

【0012】

前記第１のマイクロコントローラーの前記ロックステップコアは、前記第２のマイクロコントローラーコアのいずれかが外乱を受けている、又は故障したと判断するのに応答して、車両安全システムにエラーメッセージを送信すること、前記第２のマイクロコントローラーの前記外乱を受けている、又は故障したコアをリセットすること、前記外乱を受けている、又は故障したコアを所定の安全状態に入れることのうちの少なくとも１つを行うように構成されることが好ましい。

【0013】

前記第２のマイクロコントローラーの前記２つのコアはいずれも、それぞれの結果を得るために同じソフトウェア演算を同期して実行するように動作可能であり、前記２つのコアはそれぞれ、自らのそれぞれの結果を他のコアの結果と比較し、それにより、前記比較データを導出するように動作可能であることが有利である。

【0014】

前記第２のマイクロコントローラーの前記２つのコアはそれぞれ、前記ソフトウェアの実行中に、各フレーム後に自らの前記結果を前記他のコアの前記結果と比較するように動作可能であることが好都合である。

【0015】

前記第２のマイクロコントローラーの前記コアは、車両安全関連ソフトウェアを実行するように動作可能であることが好ましい。

【0016】

前記第１のマイクロコントローラー及び前記第２のマイクロコントローラーは同期して動作するように構成されることが有利である。

【0017】

前記第１のマイクロコントローラーは、前記第２のマイクロコントローラーを所定のサイクル時間で周期的に監視するように構成されることが好都合である。

【0018】

前記サイクル時間は、前記第２のマイクロコントローラーコアをそれぞれの前記安全状態に移行させるのに必要とされる時間より短いことが好ましい。

【0019】

前記第１のマイクロコントローラーは前記第２のマイクロコントローラーのためのウォッチドッグタイマとしての役割を果たすように構成されることが有利である。

【0020】

前記第１のマイクロコントローラーの前記ロックステップコアは、ソフトウェアウォッチドッグアプリケーションを実行するように動作可能であることが好都合である。

【0021】

前記ソフトウェアウォッチドッグアプリケーションは、ハートビート監視ユニットと、プログラムフロー検査ユニットと、タスク状態指示ユニットとを含むことが好ましい。

【0022】

制御システムは、統合電子制御ユニットの形で設けられることが有利である。

【0023】

本発明の電子制御システムは、例えば、先進運転支援システム（ＡＤＡＳ）のような自動車内の電子安全システムの一部として提供される場合があり、電子安全システムは、死角監視システム、アクティブクルーズコントロールシステム、プレセーフブレーキシステム、衝突回避システム、車線逸脱防止システム及び／又は後方衝突軽減システムを含むことができる。

【0024】

本発明をより容易に理解することができるように、そして、本発明の更なる特徴を認識することができるように、ここで、添付の図面を参照しがら、例として、本発明の実施形態が説明されることになる。

【図面の簡単な説明】

【0025】

【図1】本発明による電子制御システムを含むことができる通常の自動車安全システムの概観を示す概略図である。

【図2】本発明による電子制御システムの主なハードウェア要素の概観を示す概略図である。

【図3】図２に類似であるが、ＡＳＩＬ完全性要件へのマイクロプロセッサコアの好ましい割当てを示す概略図である。

【図4】本発明の好ましい実施形態のソフトウェア監視態様の態様を表す流れ図の形をとる概略図である。

【図5】自動車安全システムの一部として設置される、本発明による電子制御システムを示す概略図である。

【発明を実施するための形態】

【0026】

ここで図１についてのより詳細な検討に進むと、自動車２内に設置された例示的な電子安全システム１の概略図が示される（車両の向きを示すために、図１には、その一方のサイドパネルのみが示される）。安全システム１は、自動車２上の適切な位置に取り付けられた幾つかの異なるタイプのセンサーを備える。詳細には、図示されるシステム１は、車両２のそれぞれの前方角部に取り付けられる一対の発散性及び外向きのミッドレンジレーダー（「ＭＲＲ」）センサー３と、車両のそれぞれの後方角部に取り付けられる類似の一対の発散性及び外向きの多機能レーダーセンサー４と、車両２の前方中央に配置される前方に向けられたロングレンジレーダー（「ＬＲＲ」）センサー５と、例えば、車両のワイドスクリーンの上縁部の領域内に取り付けられる場合があるステレオビジョンシステム（「ＳＶＳ」）７の一部を形成する一対の一般的に前方に向けられた光センサー６とを備える。種々のセンサー３〜６は、中央電子制御システムに動作可能に接続され、中央電子制御システムは通常、車両内の都合の良い場所に取り付けられる統合電子制御ユニット８の形で設けられる。図示される特定の構成において、前方及び後方ＭＭＲセンサー３、４は、従来のコントローラーエリアネットワーク（「ＣＡＮ」）バス９を介して中央制御ユニット８に接続され、ＬＲＲセンサー５、とＳＶＳ７のセンサーとは、同じくそれ自体が既知であるタイプの、より高速のＦｌｅｘＲａｙシリアルバス１０を介して、中央制御ユニット８に接続される。

【0027】

集合的に、そして制御ユニット８の制御下で、種々のセンサー３〜６を用いて、例えば、死角監視、アダプティブクルーズコントロール、衝突防止支援、車線逸脱防止、後方衝突軽減のような、様々な異なるタイプの運転支援システムを提供することができる。したがって、制御ユニット８は、そのような運転システムごとに適切なソフトウェアアルゴリズムを実行するように構成される。

【0028】

図２は、本発明による制御システムの主なハードウェア要素を概略的に示しており、そのシステムが、図１に示される統合制御ユニット８の形で提供できることは理解されよう。制御システムは、第１の（マスター）マイクロコントローラー１１と、第２の（スレーブ）マイクロコントローラー１２とを備える。明らかになるように、マスターコントローラー１１は、処理誤りの特定、それゆえ、ロックステップアーキテクチャーを必要とする、システムの最も厳密な（ＡＳＩＬ−Ｄ）安全完全性要件に応じるために安全ソフトウェアを実行するように構成され、一方、スレーブマイクロコントローラー１２は、より高い処理能力を有し、ロックステップアーキテクチャーを有せず、マスターマイクロコントローラー１１を助けるために幾つかの安全関連処理タスクを取り扱うように構成される。マスターコントローラー１１は、システムの厳密な安全完全性要件を満たすように構成されるので、いわゆる「安全マイクロコントローラー」を表すと考えることができる。同様に、スレーブマイクロコントローラー１２は、マスターマイクロコントローラーより高い処理能力を有するように構成されるので、いわゆる「性能マイクロコントローラー」を表すと考えることができる。

【0029】

より詳細には、図示される特定の実施形態において、マスターマイクロコントローラー１１は、図２においてそれぞれ「コア０」、「コア１／１’」及び「コア２」として表される３つの処理コア１３、１４、１５を備えるロックステップアーキテクチャーを有する。それゆえ、理解されるように、コア１４（図２においてコア１／１’で表される））は、マスターマイクロコントローラー１１のいわゆる、ロックステップコア（又は冗長コア）を表す。スレーブマイクロコントローラー１２は、ロックステップアーキテクチャーを必要とせず、図示される実施形態では、図２においてそれぞれ「コア４」及び「コア５」で表される２つの処理コア１６、１７を備える。しかしながら、他の実施形態では、マスターマイクロコントローラー１１又はスレーブマイクロコントローラー１２のいずれかが、より多くの処理コア（図２には示されない）を有することができることに留意されたい。

【0030】

現時点で好ましい実施形態では、マスターマイクロコントローラー１１は、Infineon Technologies AG社から市販されるＡｕｒｉｘ ＴＣ２９ｘプロセッサの形で設けることができ、一方、スレーブマイクロコントローラー１２は、Texas Instruments Inc.社から市販されるＦｕｓｉｏｎ２８プロセッサの形で設けることができると想定される。したがって、そのような実施形態において、マスターマイクロコントローラーの各コア１３、１４、１５は５００ＤＭＩＰＳにおいて動作することになり、一方、スレーブマイクロコントローラー１２の各コア１６、１７は３０００ＤＭＩＰＳにおいて動作することになると想定され、それは、マスターマイクロコントローラー１１のコアに比べて著しく高い処理能力を表すことに留意されたい。しかしながら、マスターマイクロコントローラー及びスレーブマイクロコントローラーの一方又は両方のために他のタイプのプロセッサを使用できることは理解されたい。

【0031】

２つのマイクロコントローラーは、図２において１８で概略的に表されるような、シリアルペリフェラルインターフェース（「ＳＰＩ」）バスの形の同期シリアル通信インターフェースを介して動作可能に接続され、それゆえ、同期して動作するように構成される。好ましい実施形態において、ＳＰＩバス１８は、２つのマイクロコントローラー間に必要とされる帯域幅を確立するためにシンプレックスモードにおいて動作可能な４つのチャネルを有するクワッドＳＰＩ接続の形で設けられると想定される。

【0032】

したがって、図２に概略的に表されるように、マスターマイクロコントローラーのロックステップコア１４は、スレーブマイクロコントローラー１２の処理コア１６、１７と、マスターマイクロコントローラー１１の自らの他の２つの処理コア１３、１５との両方を監視し、制御するように構成される。同じく図２に示されるように、マスターマイクロコントローラー１１は、車両バスに直接接続するように構成され、そのバスは、ＣＡＮ及びＦｌｅｘＲａｙバス９、１０、並びにイーサネット（登録商標）（登録商標）バスを含むことができる。

【0033】

ここで図３についての検討に進むと、マスターマイクロコントローラー１１の２つの非ロックステップコア１３、１５は、安全関連ソフトウェアを実行するように構成され、そのソフトウェアは、図３においてブロック１９によって概略的に表される、いわゆる「ブラックボックス」ソフトウェアを表すと考えることができることに留意されたい。このソフトウェア１９は安全関連であるので、その処理は、ＡＳＩＬ−Ｂ安全完全性要件を満たすように要求され、このため、２つの非ロックステップコア１３、１５によって確実かつ安全に取り扱うことができる。

【0034】

高性能スレーブマイクロコントローラー１２の２つの処理コア１６、１７は、安全関連ソフトウェアを実行するように構成され、そのソフトウェアは、ここでも、図３においてブロック２０によって概略的に表されるような、いわゆる「ブラックボックス」ソフトウェアを表すと考えることができる。２つのスレーブコア１６、１７が動作する方法が、以下により詳細に説明されることになるが、コア１６、１７は、最も厳密な（ＡＳＩＬ−Ｄ）規格より相対的に低い（ＡＳＩＬ−Ｂ／Ｃ）安全完全性要件を満たすようにのみ動作することに留意されたい。本明細書において同じく後に更に詳細に説明されるように、２つのスレーブコア１６、１７の出力が、ＳＰＩバス１８上のデータ交換を介して、最も厳密な（ＡＳＩＬ−Ｄ）規格を満たすように動作するマスターマイクロコントローラー１１のロックステップコア１４によって監視され、制御されるので、本発明のシステムではこれが許容される。スレーブコア１６、１７は、ロックステップコア１４より著しく高い処理能力を有するので、スレーブマイクロプロセッサは、マスターマイクロコントローラー１１が可能であるより、迅速、かつ効率的に複雑な安全関連ソフトウェアを実行することができる。しかしながら、ロックステップコア１４が、２つのスレーブコア１６、１７の出力を監視し、制御するように構成されるので、最も高い（ＡＳＩＬ−Ｄ）安全完全性要件が満たされる。

【0035】

後に言及されるように、図３に示されるスレーブマイクロプロセッサ１２の特定の構成は、上記の２つのコア１６、１７に加えて、他の処理コアを有するクワッドコア構成である。このタイプの構成を用いて、各実行可能タスクが専用のスレーブコア上で実行されるように、全ての必要な実行可能タスクを実行するのに十分な数の処理コアを設けることができる。

【0036】

２つのスレーブ処理コア１６、１７の出力を監視し、制御するだけでなく、マスターマイクロコントローラー１１のロックステップコア１４は、図３においてブロック２１によって表されるような、フレームソフトウェアを実行するように構成される。フレームソフトウェア２１は、種々のソフトウェア構成要素、活動性監視ユニット２８ａ、到着率監視ユニット２８ｂ、制御フロー監視ユニット２９、タスク状態指示ユニット３０を含むことができ、それらのユニットは、合わせて、いわゆる複合ソフトウェアウォッチドッグ２６を形成する。

【0037】

マスターマイクロコントローラー１１は、内部バス誤り訂正符号２２、メモリ誤り訂正符号２３、安全管理ユニット２４及びメモリ保護ユニット２５のような、障害を検出し、取り扱う種々のハードウェア構成要素を含む。

【0038】

マスターマイクロコントローラー１１のロックステップコア１４は、スレーブマイクロプロセッサ１２の処理コア１６、１７を周期的に監視するように構成され、好ましいサイクル時間は、スレーブマイクロコントローラーのコア１６、１７をそれぞれの安全状態に移行させるのに必要とされる時間より短い。さらに、複合ソフトウェアウォッチドッグ２６があることによって、ロックステップコア１４は、スレーブマイクロプロセッサ１２のための管理者としての役割を果たすことは理解されよう。

【0039】

システムの健全性を監視するために、そして、ハードウェア及びソフトウェア障害に反応するために、ロックステップコア１４によって、個々のアプリケーションソフトウェア構成要素を実行時に監視するソフトウェアサービスが提供され、それにより、安全完全性要件を満たすためにシステムの全体的な信頼性を改善する。機能安全概念は、ハートビート監視及びプログラムフロー検査を提供する複合ソフトウェアウォッチドッグ２６によってサポートされる。理解されるように、ソフトウェアウォッチドッグ２６は、マスターマイクロプロセッサ１１上に設けられるソフトウェアプラットフォームに統合される。

【0040】

ソフトウェアウォッチドッグ２６の好ましい設計は、実行可能タスク２７のハートビート監視の概念に従い、図４において概略的に示される。ソフトウェアウォッチドッグ２６は、ハートビート監視ユニット２８と、制御フロー監視ユニット２９と、タスク状態指示（「ＴＳＩ」）ユニット３０とを含む。

【0041】

ハートビート指示ルーチンの支援の下で、種々の実行可能タスク２７は、ソフトウェアウォッチドッグ２６のハートビート監視ユニット２８に自らのハートビートを報告する。タスクが相対的に低い実行優先順位を有し、より高い優先順位の１つ以上のタスクによって割り込まれるときに、各タスクのデッドライン監視機構が有用な場合がある。タスク応答時間のような他のパラメータを用いて、システムの健全状態を規定することもできる。

【0042】

制御フロー監視ユニット２９は、実際の実行された後続タスクを、先行タスクの所定の１組の取り得る後続タスクと比較することによって、実行可能タスク２７の実行シーケンスを監視する。オペレーティングシステムは、全ての実行可能タスクを、固定スケジュールテーブルによって規定される所定の順序において実行する。制御フロー監視ユニット２９は、固定スケジュールテーブルに従って、実行可能タスクの正確な起動を管理する。制御フロー検査は、種々の異なる粒度レベルにおいて達成することができる。

【0043】

ハートビート監視ユニット２８及び制御フロー検査ユニット２９によって特定される、実行可能タスク２７のいずれかにおける誤りは、タスク状態指示ユニット３０に報告される。その際、タスク状態指示ユニット３０は、検出された誤りの数を、適切な所定のしきい値と比較し、そこから、各実行可能タスク２７に関する個々の管理報告を生成する。その後、これらの報告を用いて、種々のタスクに関する指示状態を導出することができ、次に、指示状態を用いて、種々のソフトウェアアプリケーションのステータスを判断することができる。

【0044】

ここで、スレーブマイクロコントローラー１２の２つの処理コア１６、１７によって実行される安全関連ソフトウェア２０についての検討に進むと、好ましい実施形態において、スレーブコア１６、１７はいずれも、同じソフトウェア演算を同期して実行し、それにより、それぞれの結果を得るように構成されることに留意されたい。これは、最も高い（ＡＳＩＬ−Ｄ）安全完全性要件を満たすために、マスターマイクロコントローラー１１のロックステップコア１４に渡すのに適したデータが生成されるのを確実にするためである。その後、スレーブコア１６、１７はそれぞれ、自らのそれぞれの結果を他のコアの結果と比較し、それにより、比較データを導出するように動作し、比較データは、各コア１６、１７によって１つずつ与えられる２つの比較結果を含む。完全な比較データを与えるために、各スレーブコア１６、１７が、ソフトウェアの実行中に、各フレーム後に自らのそれぞれの結果を他のスレーブコアの対応する結果と比較することが特に有利であると考えられる。しかしながら、現時点で好ましい実施形態は、上記で説明されたように、２つの比較結果を含む比較データを導出するように動作可能であるが、他の実施形態では、例えば、両方のスレーブコア１６、１７の処理されたデータをマスターマイクロコントローラー１１に直接送信するときには、単一の比較結果のみを導出できることに留意されたい。また、幾つかの構成において、安全関連タスクに加えて、２つのスレーブコア１６、１７によって、非安全関連タスクを処理することもできる。

【0045】

スレーブコア１６、１７によって上記のようにして得られた比較データは、その後、処理された巡回冗長符号、メッセージカウンター及びタイムスタンプとともに、ＳＰＩバス１８を介してマスターマイクロコントローラー１２のロックステップコア１４に送信され、マスターマイクロコントローラーのフレームソフトウェア２１によって（ＡＳＩＬ−Ｄ要件に従って）更に処理される。したがって、ロックステップコア１４は、比較データに関する診断アルゴリズムを実行し、スレーブマイクロコントローラー１２の動作状況を導出し、それにより、スレーブマイクロコントローラー１２が正確に動作しているか否かを判断するように構成される。より具体的には、ロックステップコア１４は、スレーブマイクロコントローラー１２から受信された上記比較データから、上記スレーブコア１６、１７のいずれかが外乱を受けているか否か、又は故障したか否かを判断するように動作することができる。いずれかのスレーブコア１６、１７が、外乱を受けている、又は故障したと判断される場合には、ロックステップコア１４は、関連する受信機にエラーメッセージを送信し、そのコアをセーフモードに入れる。

【0046】

上記のことから、本発明の制御システムが、機能安全完全性要件を満たすために、安全関連ソフトウェアルーチンが信頼性のある診断測定を受けるのを確実にしながら、先進運転支援システムのための著しく改善された処理性能を提供することは理解されよう。スレーブマイクロプロセッサ１２の２つの処理コア１６、１７は、高い処理能力を用いて安全関連ソフトウェアを実行することができ、一方、ＡＳＩＬ−Ｄレベルまでの安全完全性要件を満たすために、結果及び比較データはマスターマイクロコントローラー１１のロックステップコア１４によって再検討される。また、理解されるように、生成された完全なデータではなく、計算された結果及び比較データを、更に処理するためにスレーブコア１６、１７からロックステップコア１４に単に送信することによって、ロックステップコア１４は、相対的に（スレーブコア１６、１７と比べて）低い処理能力を用いて、効率的に機能することができる。

【0047】

図５は、統合電子制御ユニット８において具現され、車両安全システム１の一部を形成する、本発明の電子制御システムを示す概略図である。制御ユニット８は、適切な電源３１に接続され、制御及び動作するように構成される安全システム１は、ＣＡＮバス９を介して制御ユニット８に接続される一対の後方ショートレンジレーダーセンサー３２と、ＦｌｅｘＲａｙバス１０を介して制御ユニットに接続されるＳＶＳセンサーアレイ７と、ＦｌｅｘＲａｙバス１０を介して制御ユニット８に同じく接続される前方ロングレンジレーダーセンサー５とを含む、幾つかの異なるタイプのセンサーを備える。さらに、車両安全システムは、センサー５、７、３２からの信号、又は車両の運転者への警告表示又は警告音に応答して、車両の安全を保持する是正措置を実施するために、制御ユニット８によって制御される幾つかのアクチュエーターを備える。図５に示される特定のシステムにおいて、アクチュエーターは、車両の電子安定／ブレーキシステム３３、車両のエンジン制御システム３４、車両のステアリングシステム３５、及び車両の計器群３６の一部として設けられる。アクチュエーターの全てが、ＦｌｅｘＲａｙバス１０を介して制御ユニット８に接続される。

【0048】

ロックステップアーキテクチャーを有するマルチコアマスターマイクロプロセッサ１１と、少なくとも２つの処理コア１６、１７を有するスレーブマイクロコントローラー１２とを備える、本発明の制御システムは、非常に短期間において必要とされる診断機能を達成するために、マスターマイクロプロセッサ１１のコア冗長性を使用することによって、ＡＳＩＬ−Ｄレベルまでの安全完全性要件を依然として満たしながら、高い全体処理能力を与えることがわかった。

【0049】

本発明のシステムの変形形態では、スレーブマイクロプロセッサ１２内に更なるコアを設け、それにより、いわゆる、２ｏｏ３アーキテクチャーを提供することができる。このタイプの構成において、スレーブマイクロプロセッサ１２は、その際、いわゆる「フェールオペレーショナル」プロセッサとして機能にすることになり、その際、３つ全てのスレーブコアの処理結果を比較することによって、欠陥のあるスレーブコアを特定することができる。その際、これにより、スレーブコアのうちの１つが故障した場合であっても、関連するＡＳＩＬ安全要件を依然として満たしながら、ソフトウェアが動作し続けることができるようになる。より高い処理能力が必要とされる場合には、追加のスレーブ処理コアを設けることができるか、又は更には、追加のスレーブマイクロプロセッサを設けることができる。

【0050】

本発明は、ＳＰＩバス９を介してマスターマイクロコントローラー１１とスレーブマイクロコントローラー１２との間でデータが送信される特定の実施形態を参照しながら、これまで説明されてきたが、スレーブマイクロコントローラーを車両バスに接続し、その接続を介してデータを送信することもできることに留意されたい。

【0051】

本明細書及び特許請求の範囲において使用されるときに、「備える（"comprises" and "comprising"）」という用語及びその変形は、規定された特徴、ステップ又は整数が含まれることを意味する。その用語は、他の特徴、ステップ又は整数の存在を除外するように解釈されるべきではない。

【0052】

これまでの説明において、又は以下の特許請求の範囲において、又は添付の図面において開示される特徴は、必要に応じて、特定の形において表されるか、開示される機能を実行するための手段に関して表されるか、又は開示される結果を得るための方法若しくはプロセスに関して表され、その多様な形において本発明を実現するために、別々に、又はそのような特徴の任意の組み合わせにおいて利用される場合がある。

【0053】

本発明は上記の例示的な実施形態に関連して説明されてきたが、本開示を与えられるときに、数多くの均等の変更形態及び変形形態が当業者には明らかになるであろう。したがって、これまでに記載された本発明の例示的な実施形態は、例示であると見なされ、限定するものと見なされるべきでない。本発明の趣旨及び範囲から逸脱することなく、説明された実施形態に対して種々の変更を加えることができる。

【図1】

【図2】

【図3】

【図4】

【図5】