特許 7089588 状態信号に応じて車両モジュールを制御する装置および方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2022-06-14

(45)【発行日】2022-06-22

(54)【発明の名称】状態信号に応じて車両モジュールを制御する装置および方法

(51)【国際特許分類】

   G06F 11/07 20060101AFI20220615BHJP

   G06F 11/20 20060101ALI20220615BHJP

【ＦＩ】

G06F11/07 196

G06F11/07 140R

G06F11/20 628

【請求項の数】 24

(21)【出願番号】P 2020519836

(86)(22)【出願日】2018-05-15

(65)【公表番号】

(43)【公表日】2020-08-13

(86)【国際出願番号】 EP2018062497

(87)【国際公開番号】W WO2018233935

(87)【国際公開日】2018-12-27

【審査請求日】2021-03-10

(31)【優先権主張番号】102017210151.2

(32)【優先日】2017-06-19

(33)【優先権主張国・地域又は機関】DE

(73)【特許権者】

【識別番号】500045121

【氏名又は名称】ツェットエフ、フリードリッヒスハーフェン、アクチエンゲゼルシャフト

【氏名又は名称原語表記】ＺＦ ＦＲＩＥＤＲＩＣＨＳＨＡＦＥＮ ＡＧ

(74)【代理人】

【識別番号】100147485

【弁理士】

【氏名又は名称】杉村 憲司

(74)【代理人】

【識別番号】230118913

【弁護士】

【氏名又は名称】杉村 光嗣

(74)【代理人】

【識別番号】100186716

【弁理士】

【氏名又は名称】真能 清志

(72)【発明者】

【氏名】ビュレント サリ

【審査官】北川 純次

(56)【参考文献】

【文献】特開２００１－０２２７０８（ＪＰ，Ａ）

【文献】特表２０１４－５２９０６４（ＪＰ，Ａ）

【文献】特開２００９－１３７３８２（ＪＰ，Ａ）

【文献】特開２０１３－００３７２４（ＪＰ，Ａ）

【文献】特開２０１４－２３５６５２（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ １１／０７

Ｇ０６Ｆ １１／２０

Ｂ６０Ｒ １６／０２

(57)【特許請求の範囲】

【請求項1】

車両モジュール（２）を制御する装置（１）であって、
前記車両モジュール（２）を制御可能な制御インターフェイス（３）と、
センサ信号（３１）を受信して評価するように構成された、少なくとも１つの第１パワープロセッサ（１０）と、
少なくとも１つの第１監視ユニット（１１）であって、前記第１監視ユニット（１１）が前記第１パワープロセッサ（１０）の状態信号に応じて監視信号を出力するように前記第１パワープロセッサと接続された、第１監視ユニット（１１）と、
前記監視信号に応じて、前記制御インターフェイス（３）を介して少なくとも緊急作動のために前記車両モジュール（２）を制御するように前記第１監視ユニット（１１）と接続された、少なくとも１つのフォールバックプロセッサコア（２１）と、を備え、
前記フォールバックプロセッサコア（２１）は、車両を安全な状態に導くために必要なセンサ信号のみで車両モジュールを制御する、装置（１）。

【請求項2】

請求項１に記載の装置（１）であって、前記センサ信号（３１）を前記装置（１）に導く、第１信号チャネル（４）と、前記第１信号チャネル（４）に対して冗長な第２信号チャネル（５）と、を備え、前記センサ信号（３１）を、前記第１信号チャネル（４）において前記第１パワープロセッサ（１０）に、前記第２信号チャネル（５）において前記フォールバックプロセッサコア（２１）に、導くことができることを特徴とする、装置（１）。

【請求項3】

請求項１または２に記載の装置（１）であって、前記センサ信号（３１）を監視する監視プロセッサコア（２２）を備え、前記監視プロセッサコア（２２）が、前記監視プロセッサコア（２２）が出力したセンサ信号（３１）を前記フォールバックプロセッサコア（２１）に入力することができるように、前記フォールバックプロセッサコア（２１）と接続されていることを特徴とする、装置（１）。

【請求項4】

請求項１～３の何れか一項に記載の装置（１）であって、少なくとも前記第１パワープロセッサ（１０）が、複数のセンサ（３０）からセンサ信号（３１）を受信して評価するように構成され、特に前記第１パワープロセッサ（１０）においては、センサ（３０）のセンサ信号（３１）はそれぞれ、別のセンサ（３０）のセンサ信号（３１）から独立して受信可能であり、評価可能であることを特徴とする、装置（１）。

【請求項5】

請求項１～４の何れか一項に記載の装置（１）であって、前記フォールバックプロセッサコア（２１）および／または監視プロセッサコア（２２）は、セーフティプロセッサ（２０）のコアであり、前記制御インターフェイス（３）が、前記セーフティプロセッサ（２０）と前記車両モジュール（２）との間に配置されていることを特徴とする、装置（１）。

【請求項6】

請求項５に記載の装置（１）であって、評価されたセンサ信号（３１）を前記第１パワープロセッサ（１０）から前記セーフティプロセッサ（２０）に転送するために、少なくとも１つの、特に冗長な情報インターフェイス（６）が、前記第１パワープロセッサ（１０）と前記セーフティプロセッサ（２０）との間に配置されていることを特徴とする、装置（１）。

【請求項7】

請求項５または６に記載の装置（１）であって、前記セーフティプロセッサ（２０）は、評価されたセンサ信号（３１）を妥当性に関してコントロールするように構成されていることを特徴とする、装置（１）。

【請求項8】

請求項５～７の何れか一項に記載の装置（１）であって、前記セーフティプロセッサ（２０）は、特に前記フォールバックプロセッサコア（２１）および前記監視プロセッサコア（２２）はそれぞれ、第２監視ユニット（２６）を備えることを特徴とする、装置（１）。

【請求項9】

請求項５～８の何れか一項に記載の装置（１）であって、前記パワープロセッサ（１０）は、および／または前記セーフティプロセッサ（２０）、特に前記フォールバックプロセッサコア（２１）および前記監視プロセッサコア（２２）はそれぞれ、冗長電圧供給（７）を備えることを特徴とする、装置（１）。

【請求項10】

請求項１～９の何れか一項に記載の装置（１）を備える制御デバイス。

【請求項11】

車両モジュール（２）を制御する装置（８）であって、
前記車両モジュール（２）を制御可能な制御インターフェイス（３）と、
センサ信号（３１）を受信して評価するように構成された第１パワープロセッサ（１０）と、
センサ信号（３１）を受信して評価するように構成された、少なくとも１つの第２パワープロセッサ（１２）と、
セーフティプロセッサ（２０）と、を備え、前記セーフティプロセッサ（２０）が、前記第１パワープロセッサ（１０）で評価された前記センサ信号（３１）の結果および前記第２パワープロセッサ（１２）で評価された前記センサ信号（３１）の結果に応じて前記車両モジュール（２）を制御するように、前記第１パワープロセッサ（１０）および前記第２パワープロセッサ（１２）と接続されており、
前記セーフティプロセッサ（２０）が有する前記フォールバックプロセッサコア（２１）は、車両を安全な状態に導くために必要なセンサ信号のみで車両モジュールを制御する、装置（８）。

【請求項12】

請求項１１に記載の装置（８）であって、前記第１パワープロセッサ（１０）と前記第２パワープロセッサ（１２）との間に、特にそれぞれ１つの、前記セーフティプロセッサ（２０）への情報インターフェイス（６）が配置され、前記情報インターフェイス（６）が、前記第１パワープロセッサ（１０）および前記第２パワープロセッサ（１２）において評価された情報（４０）を前記セーフティプロセッサ（２０）に転送することを特徴とする、装置（８）。

【請求項13】

請求項１１または１２に記載の装置（８）であって、前記セーフティプロセッサ（２０）は、少なくとも１つの第１コア（２３）、第２コア（２４）、および第３コア（２５）を備え、前記第１コア（２３）は、前記第１パワープロセッサ（１０）によって評価されたセンサ信号（３１）を前記第１コア（２３）が実行するように前記第１パワープロセッサ（１０）と接続され、前記第２コア（２４）は、前記第２パワープロセッサ（１２）によって評価されたセンサ信号（３１）を前記第２コア（２４）が実行するように前記第２パワープロセッサ（１２）と接続され、前記第３コア（２５）は、前記第１コア（２３）上で実行された前記センサ信号（３１）の実行結果と、前記第２コア（２４）上で実行された前記センサ信号（３１）の実行結果との比較を実行するように構成され、前記車両モジュール（２）は、前記比較の結果に応じて制御可能であることを特徴とする、装置（８）。

【請求項14】

請求項１１～１３の何れか一項に記載の装置（８）であって、前記装置（８）、特に前記第１パワープロセッサ（１０）、前記第２パワープロセッサ（１２）、および前記セーフティプロセッサ（２０）はそれぞれ、冗長電圧供給（７）を備えることを特徴とする、装置（１）。

【請求項15】

請求項１３に記載の装置（８）であって、前記セーフティプロセッサ（２０）の前記第１コア（２３）、前記第２コア（２４）、および前記第３コア（２５）はそれぞれ、冗長電圧供給（７）を備えることを特徴とする、装置（８）。

【請求項16】

請求項１１～１５の何れか一項に記載の装置（８）を備える制御デバイス。

【請求項17】

請求項１１～１６の何れか一項に記載の装置（１、８）であって、前記第１パワープロセッサ（１０）および／または前記第２パワープロセッサ（１２）は人工知能を備え、前記人工知能が、前記第１パワープロセッサ（１０）および／または前記第２パワープロセッサ（１２）によって受信されたセンサ信号（３１）を、前記車両モジュール（２）を制御する情報（４０）へと評価するように構成されていることを特徴とする、装置（１、８）。

【請求項18】

請求項１１～１７の何れか一項に記載の装置（１、８）であって、前記第１パワープロセッサ（１０）および／または前記第２パワープロセッサ（１２）は、周辺検知センサ（３０）、特にカメラ、レーダおよび／またはライダからセンサ信号（３１）を受信するように構成されていることを特徴とする、装置（１、８）。

【請求項19】

請求項１８に記載の装置（１、８）であって、前記第１パワープロセッサ（１０）および／または第２パワープロセッサ（１２）はコントロールユニット（１３）を備え、前記コントロールユニットは、前記周辺検知センサ（３０）によって検出された周辺をコントロールするように構成されていることを特徴とする、装置（１、８）。

【請求項20】

請求項１～１９の何れか一項に記載の装置（１、８）であって、前記車両モジュール（２）は、特にインフォテインメント、シャーシ、ドライブトレイン、インテリア、および／またはセーフティである車両ドメインであることを特徴とする、装置（１、８）。

【請求項21】

請求項１～２０の何れか一項に記載の装置（１、８）を備える運転者支援システム。

【請求項22】

請求項１１～１９の何れか一項に記載の装置（１、８）が使用される運転者支援方法であって、
少なくとも前記第１パワープロセッサ（１０）において、少なくとも１つの周辺検知センサ（３０）のセンサ信号（３１）を受信するステップと、
前記センサ信号（３１）を、前記第１パワープロセッサ（１０）において、前記車両モジュール（２）を制御する情報（４０）へと評価するステップと、
前記第１パワープロセッサの状態を監視し、前記第１パワープロセッサの状態に応じて監視信号を出力するステップと、
前記監視信号に応じて、前記車両モジュールの緊急作動のために、フォールバックプロセッサで前記車両モジュールを制御するステップと、を含む運転者支援方法。

【請求項23】

請求項２２に記載の運転者支援方法であって、前記第１パワープロセッサ（１０）の非アクティブ時に、前記第２パワープロセッサ（１２）で前記車両モジュール（２）を制御することを特徴とする、運転者支援方法。

【請求項24】

請求項２２または２３に記載の運転者支援方法であって、前記第１パワープロセッサ（１０）および／または前記第２パワープロセッサ（１２）はコントロールユニット（１３）を備え、前記コントロールユニットは、前記第１パワープロセッサ（１０）および／または前記第２パワープロセッサ（１２）におけるデータ受信の前に、前記センサ信号（３１）を、前記周辺検知センサ（３０）が周辺を正確に検出したかどうかについてコントロールすることを特徴とする、運転者支援方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、請求項１に記載の車両モジュールを制御する装置、請求項１１に記載の車両モジュールを制御する装置、および請求項２２に記載の、本発明による装置が使用される運転者支援方法に関する。

【背景技術】

【0002】

車両モジュールは、車両の構成部分である。例えば、車両のステアリングホイールは車両モジュールである。略称でＥ／Ｅシステムである電気／電子システムは、同様に車両モジュールである。複数の構成部分から構成可能な機能ユニットも、車両モジュールを構成する。車両モジュールは、制御デバイスで制御および調整される。

【0003】

制御デバイスは、略称でＥＣＵ（Electronic Control Unit）と称される電子制御ユニットでもあり、制御および調整のための電子部品である。自動車分野では、車両機能を制御および調整するために、ＥＣＵが複数の電子分野で使用される。相互に関連する複数の機能を中央で制御および調整するＥＣＵは、ドメインＥＣＵと称する。機能ユニットを構成し、相互に関連する機能が発生する車両領域は、車両ドメインと称する。車両ドメインの例は、インフォテインメントシステム、シャーシ、ドライブトレイン、インテリア、またはセーフティである。インフォテインメントシステム用の機能は、例えば、ラジオ、ＣＤプレーヤの作動、電話接続の確立、ハンズフリーシステムへの接続等である。例えば、音楽ＣＤが作動している際に電話接続が確立されると、音楽が停止される。

【0004】

車両モジュール用の制御デバイスの場合、障害発生の際の制御デバイスのスイッチオフは危険である。なぜなら、ＩＳＯ２６２６２規格で定義されているように、制御デバイスには、制御デバイスをスイッチオフすることによって１つ以上の安全目的がダメージを受けるような、少なくとも１つの臨界作動フェーズがあるためである。したがって、機能的な安全上の理由からしてすでに、制御デバイスに障害が発生した際に、少なくとも緊急作動を可能にするフォールトトレランス手段が設けられなければならない。障害が発生した際に緊急作動を可能にするシステムは、フェイルオペレーショナルシステムと称される。フェイルオペレーショナルシステムは、障害のある領域が臨界作動フェーズ内にあると認められた場合に、必要な残りの機能範囲を維持することができるように設計されている。

【発明の概要】

【発明が解決しようとする課題】

【0005】

本発明の課題は、従来技術と比較して安全性が改善された、車両モジュールを制御する装置および運転者支援方法を提供することである。この運転者支援方法では、この種の装置が使用され、特に、この種の装置のためにフェイルオペレーショナルシステムが使用される。

【課題を解決するための手段】

【0006】

この課題は、請求項１に記載の特徴を有する車両モジュールを制御する装置、請求項１１に記載の特徴を有する車両モジュールを制御する装置、請求項２２に記載の特徴を有する運転者支援方法によって達成される。

【0007】

有利な実施形態および発展実施形態は、従属請求項に記載されている。

【0008】

本発明による車両モジュールを制御する装置は、車両モジュールを制御可能な制御インターフェイスと、センサ信号を受信して評価するように構成された、少なくとも１つの第１パワープロセッサと、少なくとも１つの第１監視ユニットであって、第１監視ユニットが第１パワープロセッサの状態信号に応じて監視信号を出力するように第１パワープロセッサと接続された、第１監視ユニットと、状態信号に応じて、制御インターフェイスを介して少なくとも緊急作動のために車両モジュールを制御するように第１監視ユニットと接続されたフォールバックプロセッサコアと、を備える。

【0009】

インターフェイスは、少なくとも２つの機能ユニットの間のユニットである。インターフェイスにおいて、例えばデータ等の論理量、または例えば電気信号等の物理量が、単方向のみで、または双方向で交換される。交換は、アナログまたはデジタルで実行できる。インターフェイスは、ソフトウエアとソフトウエアとの間、ハードウエアとハードウエアとの間、ソフトウエアとハードウエアとの間、およびハードウエアとソフトウエアとの間に存在できる。

【0010】

プロセッサは、コマンドを検出して処理する電子回路である。プロセッサは、プロセスを作動させながら、コマンドの処理の結果で他の電気回路を制御および調整できる。

【0011】

プロセッサの一部はコアと称される。コアは、計算ユニットを構成し、それ自体が１つ以上のコマンドを実行できる状態にある。

【0012】

ウォッチドッグとしても既知である監視ユニットは、他のコンポーネントの機能を監視する、システムのコンポーネントである。ここでは、他のコンポーネントはパワープロセッサである。この場合、機能障害の可能性が認識されると、安全性に関する取決めにしたがって、信号によりそれが通知される、または差し迫った問題をクリアするジャンプ命令が起動される。ウォッチドッグという用語は、ハードウエアウォッチドッグとソフトウエアウォッチドッグの双方を含む。ハードウエアウォッチドッグは、コントロールされる構成部分と通信する電子コンポーネントである。ソフトウエアウォッチドッグは、コントロールされる構成部分におけるチェック用のソフトウエアである。このソフトウエアは、全ての重要なプログラムモジュールが既定の時間枠内で正確に実行されているか、またはモジュールが許容できないほど長い時間を処理のために要しているか、をチェックする。ソフトウエアウォッチドッグは、ハードウエアウォッチドッグによって監視することができる。ソフトウエアウォッチドッグに対して代替的に、定期的にソフトウエアによって所定の値に設定され、ハードウエアによって常にデクリメントされるカウンタで、ソフトウエアを監視することができる。カウンタがゼロの値に達した場合、ソフトウエアは、カウンタの増加を適時に実行できていない。つまり、これはソフトウエアが障害状態にあることを意味する。ウォッチドッグは、特に安全性に関連するアプリケーションで実行されてよい。ウォッチドッグによって、Ｅ／ＥシステムがＩＳＯ２６２６２に準拠しているかを監視できる。

【0013】

第１パワープロセッサの状態信号は、第１パワープロセッサのハードウエアおよび／またはソフトウエアの状態に関する情報を含む。例えば、ハードウエアウォッチドッグは、デッドマンアラームの原理と同様に、第１パワープロセッサが既定時間の経過する前にハードウエアウォッチドッグに通知したかどうかを、状態信号として検出する。障害のない状態では通知が実行され、障害状態では通知が省略される。これにより、第１パワープロセッサの障害状態を決定することができる。第１監視ユニットの監視信号は、監視されるべき構成部分が障害のない状態にあるか、または障害状態にあるかに関する情報を含む。上記の例では、障害のない状態の監視信号は通知が行われたということであり、障害状態の監視信号は通知が行われていないということである。例えば、監視信号は、通知が実行された場合には、値１を有し、通知が実行されなかった場合には値ゼロを有する。

【0014】

緊急作動は、状態信号に基づいて起動される、障害状態にある車両モジュールの作動である。緊急作動では、車両を安全な状態に導くために必要な車両機能のみが維持される。特に、フォールバックプロセッサコアは、車両を安全な状態に導くために必要なセンサ信号のみで、車両モジュールを制御する。例えば、高速道路を走行中に障害のケースが認識された場合、車両機能のみが維持され、車両モジュールは、車両が安全に位置決めされ、硬路肩に駐車されることを可能にするセンサ信号でのみ制御される。したがって、それは継続的走行ではなく、安全な状態に到達するまでの走行のみが可能である。

【0015】

監視ユニットが第１パワープロセッサの障害状態を認識した場合、すなわち、監視信号が例えばゼロの値を有する場合、車両モジュールは、制御インターフェイスを介してフォールバックプロセッサコアによって制御される。好適には、第１パワープロセッサは監視ユニットによって非アクティブ化され、同時にフォールバックプロセッサコアがアクティブ化される。フォールバックプロセッサコアは、少なくとも緊急作動のために装置を制御することができる状態にある。これによって、第１パワープロセッサが故障した場合に、緊急作動のために車両モジュールを引き続き作動可能とすることが保証される。

【0016】

有利には装置は、センサ信号を装置に導く、第１信号チャネルと、第１信号チャネルに対して冗長な第２信号チャネルと、を備える。センサ信号を、第１信号チャネルにおいて第１パワープロセッサに、第２信号チャネルにおいてフォールバックプロセッサに、導くことができる。第１信号チャネルが故障した場合、これによって、センサ信号をフォールバックプロセッサコアに転送可能であることが保証される。これにより、これらのセンサ信号での、装置の緊急作動が可能になる。

【0017】

本発明の発展実施形態によれば、装置は、センサ信号を監視する監視プロセッサコアを備える。監視プロセッサコアは、監視プロセッサコアが出力したセンサ信号をフォールバックプロセッサコアに入力することができるように、フォールバックプロセッサコアと接続されている。監視プロセッサコアは、監視ユニットに対して独立した計算ユニットであり、フォールバックプロセッサコアをアクティブ化するための追加のセーフティ対策を表す。特に、監視プロセッサコアは、センサ信号がそれぞれのスコープ内にあるかどうかを監視する。監視プロセッサコアはまた、回路内の短絡および接地接点を検出する。

【0018】

好適には、少なくとも第１パワープロセッサは、複数のセンサからセンサ信号を受信して評価するように構成されている。特に第１パワープロセッサにおいては、センサのセンサ信号はそれぞれ、別のセンサのセンサ信号から独立して受信可能であり、評価可能である。これは、センサ信号の受信および／または評価におけるエラーは、さらなるセンサからのさらなるセンサ信号の受信および／または評価に影響を及ぼさず、したがって依存エラーが発生しないという利点を有する。

【0019】

本発明のさらなる実施形態によれば、フォールバックプロセッサコアおよび／または監視プロセッサコアは、セーフティプロセッサのコアである。制御インターフェイスは、セーフティプロセッサと車両モジュールとの間に配置されている。したがって、セーフティプロセッサはマルチコアプロセッサである。マルチコアプロセッサでは、複数のコアが単一のチップ上、つまり半導体素子上に配置されている。マルチコアプロセッサは、各個別コアがプロセッサソケット内に配置され、個々のプロセッサソケットがマザーボード上に配置されているマルチプロセッサシステムと比較して、より高い計算能力を達成し、１つのチップに実装する際により安価である。セーフティプロセッサは、マルチコアマイクロコントロールユニットとも、略称でマルチコアＭＣＵ（Micro Control Unit）とも称される。

【0020】

有利には、評価されたセンサ信号を第１パワープロセッサからセーフティプロセッサに転送するために、少なくとも1つの、特に冗長な情報インターフェイスが、第１パワープロセッサとセーフティプロセッサとの間に配置されている。技術システムにおいて機能的に同一または同等のリソースが追加的に存在し、障害なく作動している通常の場合においては、それらが必要とされない場合、追加的に存在するリソースは冗長性を有する。これより、１つの情報インターフェイスが故障した場合、追加の情報インターフェイスを使用可能である。

【0021】

好適には、セーフティプロセッサは、妥当であると決定された情報で車両モジュールを制御するために、評価されたセンサ信号を妥当性に関してコントロールするように構成されている。妥当性コントロールは、値、または一般的には結果を、全く妥当である、つまり容認可能である、明白である、および／または理解可能である、とすることができるか否か、を大まかにチェックする方法である。妥当性コントロールは、ハードウエアおよびソフトウエアの双方において実行可能である。ハードウエアにおける妥当性コントロールは、当然のことながら、例えば、特定の組み合わせおよびシーケンスでのみ発生し得る信号の監視に限定される。例えば、測定値の妥当な値範囲および時間的経過をチェックできる。ソフトウエア技術においては、変数の妥当性の検査は、変数が所定のデータ型に属しているかどうか、または既定の値範囲もしくは既定の値セットにあるかどうかを示す。妥当性コントロールは、第１パワープロセッサによって評価されたセンサ信号が相互に妥当であるかどうかを、より有利に決定できる追加手段である。

【0022】

好適には、セーフティプロセッサは、特にフォールバックプロセッサコアおよび監視プロセッサコアはそれぞれ、第２監視ユニットを備える。したがって、有利にも、第２監視ユニットで、第１パワープロセッサに加えて、セーフティプロセッサを、特にフォールバックプロセッサコアおよび監視プロセッサコアを、ハードウエアおよび／またはソフトウエアに関して監視することが可能である。

【0023】

好適には、パワープロセッサは、および／またはセーフティプロセッサ、特にフォールバックプロセッサコアおよび監視プロセッサコアはそれぞれ、冗長電圧供給を備える。これは、パワープロセッサおよび／またはセーフティプロセッサの電圧関連故障を回避するために、電圧供給に障害が発生した場合に冗長電圧供給が利用可能であるという利点を有する。

【0024】

本発明の特に好適な実施形態において、制御デバイスは本発明による装置を備える。好適には、ドメインＥＣＵは本発明による装置を備える。特に、ＡＤＡＳドメインＥＣＵは本発明による装置を備える。ＡＤＡＳドメインＥＣＵは、略称でＡＤＡＳ（advanced driver assistance system）、すなわち先進運転者支援システムとも呼ばれる運転者支援システム用のドメインＥＣＵである。したがって本発明により、特に、ＡＤＡＳドメインＥＣＵ用のフェイルオペレーショナルシステムの形態であるセーフティ構造が提供される。

【0025】

本発明による車両モジュールを制御するさらなる装置は、車両モジュールを制御可能な制御インターフェイスと、センサ信号を受信して評価するように構成された第１パワープロセッサと、センサ信号を受信して評価するように構成された、少なくとも１つの第２パワープロセッサと、セーフティプロセッサと、を備える。セーフティプロセッサが、第１パワープロセッサで評価されたセンサ信号の結果および第２パワープロセッサで評価されたセンサ信号の結果に応じて車両モジュールを制御するように、第１パワープロセッサおよび第２パワープロセッサと接続されている。セーフティプロセッサは、評価されたセンサ信号の結果に基づいて、第１および第２パワープロセッサがそれぞれ、障害なしでセンサ信号を評価したか、またはパワープロセッサが障害状態にあるかどうかを決定する。第１パワープロセッサの障害状態において、セーフティプロセッサは、第２パワープロセッサにおいて評価されたセンサ信号で車両モジュールを制御する。第２パワープロセッサの障害状態において、セーフティプロセッサは、第１パワープロセッサにおいて評価されたセンサ信号で車両モジュールを制御する。このような装置は、第１パワープロセッサの障害状態の際に、第２パワープロセッサによって評価されたすべてのセンサ信号が、車両モジュールを制御するために使用され、その逆も同様である、という利点を有する。これによって、第１パワープロセッサの障害状態の際に、車両モジュールの緊急作動のみでなく、通常作動もが可能である。第２パワープロセッサは、第１パワープロセッサに対して冗長である。さらなる冗長パワープロセッサはそれぞれ、安全性をさらに向上させる。

【0026】

好適には、第１パワープロセッサは第１信号チャネルを介して、第２パワープロセッサは第２信号チャネルを介して、センサ信号を受信する。

【0027】

好適には、第１パワープロセッサと第２パワープロセッサとの間に、特にそれぞれ１つの、セーフティプロセッサへの情報インターフェイスが配置されている。情報インターフェイスが、第１パワープロセッサおよび第２パワープロセッサにおいて評価された情報をセーフティプロセッサに転送する。

【0028】

特に好適には、セーフティプロセッサは、少なくとも１つの第１コア、第２コア、および第３コアを備える。第１コアは、第１パワープロセッサによって評価されたセンサ信号を第１コアが実行するように第１パワープロセッサと接続され、第２コアは、第２パワープロセッサによって評価されたセンサ信号を第２コアが実行するように第２パワープロセッサと接続され、第３コアは、第１コア上で実行されたセンサ信号の実行結果と、第２コア上で実行されたセンサ信号の実行結果との比較を実行するように構成されている。車両モジュールは、比較の結果に応じて制御可能である。比較によって、第１パワープロセッサおよび／または第２パワープロセッサの障害状態を決定可能である。これによって、セーフティプロセッサの第３コアでパワープロセッサの障害状態を認識し、障害のない状態にあるパワープロセッサによって評価されたセンサ信号で、車両モジュールを制御することが可能である。

【0029】

好適には、装置、特に第１パワープロセッサ、第２パワープロセッサ、およびセーフティプロセッサはそれぞれ、冗長電圧供給を備える。

【0030】

本発明の発展実施形態によれば、セーフティプロセッサの第１コア、第２コア、および第３コアはそれぞれ、冗長電圧供給を備える。

【0031】

本発明の好適な実施形態は、本発明によるさらなる装置を備える制御デバイスである。好適には、ドメインＥＣＵは本発明によるさらなる装置を備える。特に、ＡＤＡＳドメインＥＣＵは本発明によるさらなる装置を備える。ＡＤＡＳドメインＥＣＵは、略称でＡＤＡＳ（advanced driver assistance system）、すなわち先進運転者支援システムとも呼ばれる運転者支援システム用のドメインＥＣＵである。したがって本発明により、特に、ＡＤＡＳドメインＥＣＵ用のフェイルオペレーショナルシステムの形態であるセーフティ構造が提供される。

【0032】

本発明の特に好適な実施形態において、第１パワープロセッサおよび／または第２パワープロセッサは人工知能を備える。人工知能が、第１パワープロセッサおよび／または第２パワープロセッサによって受信されたセンサ信号を、車両モジュールを制御する情報へと評価するように構成されている。

【0033】

人工知能とは、人間に類似した知能がシミュレートされること、すなわち、問題に独立して対処できるコンピュータを構築またはプログラムする試みがなされることを意味する。人工知能は、特に、人工ニューラルネットワークで実現することができる。人工ニューラルネットワークは、電子回路上で実行され、人間の脳のニューラルネットワークのモデルでプログラムされたアルゴリズムである。人工ニューラルネットワークの機能ユニットは、人工ニューロンである。その出力は、一般に、入力の加重和にいわゆるバイアスと称される系統的エラーを足したものによって評価された、活性化関数の値として生じる。異なる重み付け因子および活性化関数を用いて、複数の所定の入力をテストすることによって、人間の脳に類似した人工ニューラルネットワークが、学習または訓練させられる。所定の入力の助けで人工知能を訓練することは、機械学習と称される。機械学習のサブセットは、いわゆるディープラーニングである。ディープラーニングでは、機械学習プロセスを実行するために、複数のニューロンの階層、いわゆる隠れ層が使用される。

【0034】

好適には、第１パワープロセッサおよび／または第２パワープロセッサは、周辺検知センサ、特にカメラ、レーダおよび／またはライダからセンサ信号を受信するように構成されている。これにより、環境検出センサによって検出された信号に基づいて車両モジュールを制御することが可能である。これは、特に自律走行のために必要である。

【0035】

本発明のさらなる実施形態において、第１パワープロセッサおよび／または第２パワープロセッサはコントロールユニットを備える。コントロールユニットは、周辺検知センサによって検出された周辺をコントロールするように構成されている。周辺検知センサは、Ｅ／Ｅシステムとして、ＩＳＯ２６２６２に準拠し、したがって安全に機能できる。しかしながら、周辺が周辺検知センサに誤って理解され、それがさらなる安全性リスクを表すという場合が生じる可能性がある。周辺の誤った解釈に基づくこのような安全性リスクは、ＩＳＯ２６２６２では対処することができない。しかしながら、有利にも、コントロールユニットで、周辺検知センサが周辺を正確に理解したかどうかをコントロールすることも可能である。これにより、略称でＳＯＴＩＦ（safety of the intended functions）である、いわゆる意図した機能の安全性が保証される。周辺検知センサは、周囲を検出し、それによって極めて多くのデータが発生する。適切なアルゴリズムを使用して、自律走行に不可欠である、オブジェクト、または障害物までの距離等のさらなる有用な情報が、このデータから生成される。課題は、この個々のデータから有用な情報を正確に生成することである。パワープロセッサのハードウエアエラーまたはソフトウエアエラー、ならびにアルゴリズムにおける系統的エラーの場合、周辺を誤って認識したことによってセーフティクリティカルな状況が発生するリスクが、極めて高い。パワープロセッサの冗長性は、このような場合にシステムを維持し、それによって障害時作動に留まる役割を果たす。

【0036】

好適には、車両モジュールは、特に、インフォテインメント、シャーシ、ドライブトレイン、インテリア、および／またはセーフティである車両ドメインである。ドライブトレインおよび／またはシャーシの場合、車両モジュールは、アクチュエータ、特にメカトロニクスアクチュエータを介して制御することができる。インフォテインメント領域において、車両モジュールは、音響的および／または視覚的に制御することができる。インテリア領域においては、例えばステアリングホイールの振動による車線保持アシストシステムの場合のように、車両モジュールを触覚的に制御することもできる。

【0037】

本発明による装置の１つを備える運転者支援システムも、本発明の範囲内である。

【0038】

本発明による装置の１つが使用される、本発明による運転者支援方法は、以下のステップを含む。
少なくとも第１パワープロセッサにおいて、少なくとも１つの周辺検知センサのセンサ信号を受信するステップと、
センサ信号を、車両モジュールを制御する情報へと評価するステップと、
第１パワープロセッサの状態を監視し、第１パワープロセッサの状態に応じて監視信号を出力するステップと、
監視信号に応じて、車両モジュールの緊急作動のために、フォールバックプロセッサで車両モジュールを制御するステップと、である。

【0039】

したがって、本発明による運転者支援方法によって、障害のケースが検出された際に、少なくとも緊急作動のために車両モジュールを引き続き作動させることが可能である。

【0040】

有利には、車両モジュールを第２パワープロセッサで制御する。これによって、第１パワープロセッサが故障した場合に、車両モジュールの通常作動が可能になる。

【0041】

好適な実施形態において、第１パワープロセッサおよび／または第２パワープロセッサはコントロールユニットを備える。コントロールユニットは、周辺検知センサによって検出された周辺をコントロールする。

【0042】

本発明は、以下の図面を参照して詳説される。

【図面の簡単な説明】

【0043】

【図1】本発明による車両モジュールを制御する装置の実施形態の図である。

【図2】本発明による車両モジュールを制御するさらなる装置の実施形態の図である。

【図3】本発明による車両モジュールを制御する装置のさらなる実施形態の図である。

【図4】本発明による運転者支援方法の実施形態の図である。

【0044】

図面において、特に明記しない限り、同一の符号は、同一の機能を有する同一の部分を示す。明確さを考慮して、関連する参照部分のみが、それぞれの図において番号付けされる。

【発明を実施するための形態】

【0045】

車両モジュール２を制御する図１の装置１は、第１パワープロセッサ１０、およびフォールバックプロセッサコア２１を備える。センサ信号３１は、装置１の第１信号チャネル４において、第１パワープロセッサ１０へと導かれ、第２信号チャネル５において、フォールバックプロセッサコア２１へと導かれる。センサ信号３１は、例えばカメラ、レーダ、またはライダなどの周辺検知センサからの信号とすることができる。

【0046】

第１パワープロセッサ１０の状態は、第１パワープロセッサの状態信号を用いて、第１監視ユニット１１によって検出される。第１監視ユニット１１は、例えば、第１パワープロセッサがハードウエアに関して正しく機能しているかどうか、または受信されたセンサ信号３１を評価するソフトウエアが正確に機能しているかどうかを検査し、対応する監視信号を出力する。監視信号に基づいて、第１パワープロセッサの障害状態を決定することができる。第１監視ユニット１１が第１パワープロセッサの障害状態を決定した場合、第１監視ユニット１１はフォールバックプロセッサコア２１を起動することができる。これにより、制御インターフェイス３を介して緊急作動のために車両モジュール２を制御することが可能である。

【0047】

第１パワープロセッサ１０が障害のない状態にあるとき、センサ信号３１は、第１パワープロセッサ１０によって情報４０へと評価される。車両モジュール２は、制御インターフェイス３を介して情報４０で制御される。情報４０での制御とは、複数の情報４０が存在する場合に、最初に情報４０が融合され、融合から生じた情報４０で、または複数の情報４０で、車両モジュール２が制御されることをも意味する。

【0048】

センサ信号３１を評価するために、第１パワープロセッサ１０は、コントロールユニット１３と、データ受信ユニット１４と、評価ユニット１５と、を備える。コントロールユニット１３は、センサ信号３１が周辺を正確に反映しているかどうかをコントロールする。周辺を正確に反映するセンサ信号３１は、データ受信ユニット１４で収集され、続いて評価ユニット１５において評価される。

【0049】

評価ユニット１５は、人工知能を備える。この人工知能は、例えばカメラ画像から、歩行者、他の車両または交通標識等である交通に関連するオブジェクトを識別することができる。このようにして評価された情報４０は、制御インターフェイス３に導かれる。制御インターフェイス３が、車両モジュール２を制御するための対応するコマンドを生成する。

【0050】

図１において、さらに監視プロセッサコア２２が示される。センサ信号３１は、監視プロセッサコア２２への入力へ導かれる。監視プロセッサコア２２によって監視されたセンサ信号３１は、次いで、フォールバックプロセッサコア２１の入力を形成する。

【0051】

図２は、第１パワープロセッサ１０に加えて第２パワープロセッサ１２を備える装置８を示す。センサ信号３１は、第１パワープロセッサ１０および第２パワープロセッサ１２に冗長的に存在する。

【0052】

第１パワープロセッサ１０および第２パワープロセッサ１２はそれぞれ、監視ユニット１１によって監視される。

【0053】

装置８は、さらにセーフティプロセッサ２０を備える。セーフティプロセッサ２０は、情報インターフェイス６を介して、第１パワープロセッサおよび第２パワープロセッサによって評価された情報４０を受信する。

【0054】

セーフティプロセッサは第１コア２３を備える。第１コア２３は、第１パワープロセッサ１０の評価済み情報４０を処理する。さらに、セーフティプロセッサ２０は第２コア２４を備える。第２コア２４は、第２パワープロセッサの評価済み情報を処理する。セーフティプロセッサの第１コア２３および第２コア２４において評価された情報４０の処理の結果は、セーフティプロセッサの第３コア２５に転送され、第３コア２５において相互に比較される。比較において、第３コア２５は、第１パワープロセッサ１０および第２パワープロセッサ１２がそれぞれ、障害のない状態にあるかどうか、またはパワープロセッサ１０、１２のうちの１つのパワープロセッサが障害状態にあるかどうかを検出する。

【0055】

第１パワープロセッサ１０が障害状態にある場合、セーフティプロセッサ２０の第３コア２５は、第２パワープロセッサ１２によって評価された情報４０のみを使用して車両モジュール２を制御する。第２パワープロセッサ１２の障害状態についても、同様である。

【0056】

さらなるセーフティ対策として、セーフティプロセッサ２０は、第２監視ユニット２６をも備える。

【0057】

さらに、第１パワープロセッサ１０および第２パワープロセッサ１２は、冗長電圧供給７と接続されている。

【0058】

図３は、装置１のフォールバックプロセッサコア２１および監視プロセッサコア２２も、セーフティプロセッサ２０のコアとすることができることを示している。

【0059】

図４に示す運転者支援方法で、緊急作動のために車両モジュールを制御することができる。センサ信号３１は、パワープロセッサ１０において受信され、評価される。車両モジュール２は、制御インターフェイス３を介して、評価されたセンサ信号３１で制御される。

【0060】

受信及び評価のプロセスは、監視ユニット１１によって監視される。例えば障害のない状態では、パワープロセッサ１０は、所定の値および／または所定の時間経過を有する信号を、定期的な時間間隔で監視ユニット１１に送信する。この信号は、パワープロセッサ１０の状態信号である。パワープロセッサの障害状態では、それがハードウエアおよび／またはソフトウエアにおけるエラーであっても、状態信号が所定の値および／または所定の時間経過から逸脱する可能性があり、またはパワープロセッサ１０が状態信号を監視ユニット１１に送信しない。

【0061】

この状態信号に応じて、監視ユニット１１は監視信号を出力する。例えば、監視ユニット１１が所定の値を有する状態信号を受信した場合には、監視信号を、パワープロセッサ１０の障害のない状態を特徴付ける数字１とすることができる。監視ユニット１１が所定の時間間隔で状態信号を受信しない場合には、監視信号は、パワープロセッサの障害状態を特徴づける数字ゼロとすることができる。

【0062】

監視ユニット１１が、パワープロセッサ１０の障害のない状態を決定した場合、すなわち、例えば監視信号が数字１であると決定した場合には、車両モジュール２は、パワープロセッサ１０で評価されたセンサ信号３１で制御される。監視ユニット１１が、パワープロセッサ１０の障害の障害状態を決定した場合、すなわち、例えば監視信号が数字ゼロであると決定した場合には、車両モジュール２は、フォールバックプロセッサ２１で制御される。

【符号の説明】

【0063】

１ 装置
２ 車両モジュール
３ 制御インターフェイス
４ 第１信号チャネル
５ 第２信号チャネル
６ 情報インターフェイス
７ 冗長電圧供給
８ 装置
１０ 第１パワープロセッサ
１１ 第１監視ユニット
１２ 第２パワープロセッサ
１３ コントロールユニット
１４ データ受信ユニット
１５ 評価ユニット
２０ セーフティプロセッサ
２１ フォールバックプロセッサコア
２２ 監視プロセッサコア
２３ 第１コア
２４ 第２コア
２５ 第３コア
２６ 第２監視ユニット
３０ センサ
３１ センサ信号
４０ 情報

【図1】

【図2】

【図3】

【図4】