特表 2016-529610 安全に関連するアプリケーションの冗長な信号処理のための方法及び電子回路装置、自動車ブレーキシステム及び自動車ブレーキシステムを有する自動車並びにこのような電子回路装置の使用

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】特表2016-529610(P2016-529610A)

(43)【公表日】2016年9月23日

(54)【発明の名称】安全に関連するアプリケーションの冗長な信号処理のための方法及び電子回路装置、自動車ブレーキシステム及び自動車ブレーキシステムを有する自動車並びにこのような電子回路装置の使用

(51)【国際特許分類】

   G05B 9/03 20060101AFI20160826BHJP

   B60T 8/17 20060101ALI20160826BHJP

【ＦＩ】

   G05B9/03

   B60T8/17 Z

【審査請求】未請求

【予備審査請求】未請求

【全頁数】15

(21)【出願番号】特願2016-528367(P2016-528367)

(86)(22)【出願日】2014年6月18日

(85)【翻訳文提出日】2016年2月10日

(86)【国際出願番号】EP2014001666

(87)【国際公開番号】WO2015010756

(87)【国際公開日】20150129

(31)【優先権主張番号】102013012497.2

(32)【優先日】2013年7月26日

(33)【優先権主張国】DE

(81)【指定国】 AP(BW,GH,GM,KE,LR,LS,MW,MZ,NA,RW,SD,SL,SZ,TZ,UG,ZM,ZW),EA(AM,AZ,BY,KG,KZ,RU,TJ,TM),EP(AL,AT,BE,BG,CH,CY,CZ,DE,DK,EE,ES,FI,FR,GB,GR,HR,HU,IE,IS,IT,LT,LU,LV,MC,MK,MT,NL,NO,PL,PT,RO,RS,SE,SI,SK,SM,TR),OA(BF,BJ,CF,CG,CI,CM,GA,GN,GQ,GW,KM,ML,MR,NE,SN,TD,TG),AE,AG,AL,AM,AO,AT,AU,AZ,BA,BB,BG,BH,BN,BR,BW,BY,BZ,CA,CH,CL,CN,CO,CR,CU,CZ,DE,DK,DM,DO,DZ,EC,EE,EG,ES,FI,GB,GD,GE,GH,GM,GT,HN,HR,HU,ID,IL,IN,IR,IS,JP,KE,KG,KN,KP,KR,KZ,LA,LC,LK,LR,LS,LT,LU,LY,MA,MD,ME,MG,MK,MN,MW,MX,MY,MZ,NA,NG,NI,NO,NZ,OM,PA,PE,PG,PH,PL,PT,QA,RO,RS,RU,RW,SA,SC,SD,SE,SG,SK,SL,SM,ST,SV,SY,TH,TJ,TM,TN,TR,TT,TZ,UA,UG,US

(71)【出願人】

【識別番号】596055475

【氏名又は名称】ヴアブコ・ゲゼルシヤフト・ミツト・ベシユレンクテル・ハフツング

【氏名又は名称原語表記】ＷＡＢＣＯ ＧｍｂＨ

(74)【代理人】

【識別番号】100069556

【弁理士】

【氏名又は名称】江崎 光史

(74)【代理人】

【識別番号】100111486

【弁理士】

【氏名又は名称】鍛冶澤 實

(74)【代理人】

【識別番号】100173521

【弁理士】

【氏名又は名称】篠原 淳司

(74)【代理人】

【識別番号】100062317

【弁理士】

【氏名又は名称】中平 治

(74)【代理人】

【識別番号】100153419

【弁理士】

【氏名又は名称】清田 栄章

(72)【発明者】

【氏名】ブロックマン・クリストフ

(72)【発明者】

【氏名】ゲルス・アンドレアス

(72)【発明者】

【氏名】レル・ヤン

(72)【発明者】

【氏名】ミヒェル・マルコ

(72)【発明者】

【氏名】シュトルーヴェ・オトマー

【テーマコード（参考）】

3D246

5H209

【Ｆターム（参考）】

3D246GA01

3D246HC13

3D246KA02

3D246KA15

3D246MA19

5H209AA10

5H209DD20

5H209GG20

5H209HH13

5H209JJ05

5H209SS01

5H209SS05

(57)【要約】

本発明は、自動車の安全に関連するアプリケーション、特に安全制御装置の冗長な信号処理のための方法に関する。この場合、センサ情報を処理するための少なくとも２つの冗長信号が、複数の入力信号６として、少なくとも１つのセンサ４によって電子回路装置２に供給される。この場合、少なくとも１つの入力信号６が、別の検査信号１６に変換される。１つ又は複数の前記入力信号６が、前記電子回路装置２内で前記マイクロコントローラ１０の第１周辺モジュール１２に供給され、前記検査信号１６が、前記マイクロコントローラ１０の別の周辺モジュール１８に供給される。したがって、前記入力信号６と前記検査信号１６とのセンサ情報が、前記マイクロコントローラ１０のそれぞれ１つの周辺モジュール１２，１８内で互いに無関係に冗長に処理される。
さらに、本発明は、このような方法を実行するための電子回路装置２、自動車ブレーキシステム並びに自動車ブレーキシステムを有する自動車及びこのような電子回路装置の使用に関する。

【特許請求の範囲】

【請求項1】

自動車内の安全に関連するアプリケーション、特に安全制御装置の冗長な信号処理のための方法であって、センサ情報を処理するための少なくとも２つの冗長信号が、複数の入力信号（６）として、少なくとも１つのセンサ（４）から電子回路装置（２）に供給され、これらの入力信号（６）のうちの少なくとも１つの入力信号（６）が、前記電子回路装置（２）のマイクロコントローラ（１０）の１つの周辺モジュール（１２）内で処理される当該方法において、
少なくとも１つの入力信号（６）が、検査信号（１６）に変換され、前記検査信号（１６）は、前記入力信号（６）とは異なるが、センサ情報を含み、
前記検査信号（１６）が、前記検査信号（１６）の前記センサ情報を処理するために前記マイクロコントローラ（１０）の別の１つの周辺モジュール（１８）に供給され、
前記マイクロコントローラ（１０）の１つの周辺モジュール（１２）内での前記入力信号（６）の前記センサ情報の処理と、前記マイクロコントローラ（１０）の別の１つの周辺モジュール（１８）内での前記検査信号（１６）の処理とが、互いに無関係に冗長に実行されることを特徴とする方法。

【請求項2】

少なくとも１つのセンサ（４）の少なくとも１つの受信信号（６）を処理するための少なくとも１つの周辺モジュール（１２）を有する少なくとも１つのマイクロコントローラ（１０）を備える安全に関連するアプリケーションに対して冗長に信号処理するための電子回路装置、特に自動車の安全制御装置において、
少なくとも１つの入力回路（１４）が設けられていて、前記回路装置（２）の入力信号（６）を検査信号（１６）に変換するように、当該入力回路（１４）は構成されていて、前記検査信号（１６）が、前記入力信号（６）とは異なり、
前記マイクロコントローラ（１０）の少なくとも１つの別の周辺モジュール（１８）が設けられていて、前記検査信号（１６）内に含まれているセンサ情報を処理するように、前記別の少なくとも１つの周辺モジュール（１８）は構成されていて、前記マイクロコントローラ（１０）の１つの周辺モジュール（１２）内での前記入力信号（６）の前記センサ情報の処理と、前記マイクロコントローラ（１０）の別の１つの周辺モジュール（１８）内での前記検査信号（１６）の処理とが、互いに無関係に冗長に実行されることを特徴とする電子回路装置。

【請求項3】

前記マイクロコントローラの複数の前記周辺モジュール（１２，１８）が、冗長な信号処理のために、異なるソフトウェアドライバを有する互いに異なるソフトウェアモジュールを備える請求項２に記載の電子回路装置。

【請求項4】

前記入力信号（６）が、パルス幅変調信号である場合に、前記入力信号（６）をアナログ検査信号（１６）に変換する前記入力回路（１４）は、ローパスフィルタであり、又は
前記入力信号（６）が、アナログ電圧制御又は電流信号である場合に、前記入力信号（６）をパルス幅変調された検査信号（１６）に変換する前記入力回路（１４）は、電圧制御される発振器（ＶＣＯ）を有することを特徴とする請求項２又は３に記載の電子回路装置。

【請求項5】

前記入力信号（６）の冗長に処理されたセンサ情報と、前記検査信号（１６）の冗長に処理されたセンサ情報とが著しく相違する場合に、当該相違するデータによって関連付けられる制御システムが、より安全な作動モードに移行されることを特徴とする請求項２〜４のいずれか１項に記載の電子回路装置。

【請求項6】

請求項１に記載の方法の複数のステップを実行するための手段、及び／又は
請求項２〜５のいずれか１項に記載の少なくとも１つの電子回路装置（２）を特徴とする自動車ブレーキシステム。

【請求項7】

請求項２〜５のいずれか１項に記載の電子回路装置（２）、特に安全制御装置を有する自動車、及び／又は
請求項６に記載の自動車ブレーキシステム、及び／又は
請求項１に記載の方法の複数のステップを実行するための手段。

【請求項8】

安全に関連するアプリケーションの冗長な信号処理のための電子回路装置（２）の使用において、
請求項２〜５のいずれか１項に記載の電子回路装置（２）が構成されていて、又は
冗長な信号処理のための電子回路装置（２）が、請求項６に記載の自動車ブレーキシステム内で及び／又は請求項７に記載の自動車内で使用されることを特徴とする使用。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、請求項１の上位概念に記載の安全に関連するアプリケーション、特に自動車の安全制御装置の冗長な信号処理のための方法と、請求項２の上位概念に記載のこのような方法を実行するための電子回路装置とに関する。さらに、本発明は、自動車ブレーキシステム及びこのような電子回路装置を有する自動車並びにこの回路装置の使用に関する。

【背景技術】

【0002】

現代の安全に関連するアプリケーションに適し得るように、例えばＡＢＳブレーキ制御装置及び／又はＥＢＳブレーキ制御装置のような電子自動車制御装置は、幾重にも冗長な信号処理システムを有する。この場合、当該構成要素に対する要求が絶えず増え続けている。しかしながら、個々の構成要素の増大する複雑性と共に、故障の可能性も増大する。当該構成要素、例えば制御装置に対する増大する要求に起因して、当該構成要素は、既定の安全規則にしたがって製造される。

【0003】

ブロッキング保護された自動車ブレーキ装置の例が、独国特許第３２３４６３７号明細書から公知である。ここで、入力データが、同一にプログラミングされた２つのマイクロコントローラに並列に供給され、そこで同期して処理される。複数の信号が、断続的に且つ起動時に比較される。これらの信号が、互いに相違すると、遮断信号が出力される。第２マイクロコントローラの構成及びそのプログラミングにおいて第１マイクロコントローラと同一であるこの第２コントローラに起因して、データ処理エラーの少なくとも一部が認識される。しかしながら、固有の制御信号を生成するために、ただ１つのマイクロコントローラで済むものの、このようなシステムは、高コストの２つのマイクロコントローラを必要とする。これにより、マイクロコントローラの経費が、安全性の理由から２倍になる。

【0004】

さらに、システム上の設計エラー又はマイクロコントローラのシステム上の製造エラーに起因して起こり得るエラー原因を排除するためには、２つのシステムが、別々のプログラマーによって開発される必要がある。これにより、当該経費が、さらに増大する。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】独国特許第３２３４６３７号明細書

【発明の概要】

【発明が解決しようとする課題】

【0006】

それ故に、本発明の課題は、安全に関連するアプリケーションに要求される信頼性で、当該システムの故障が認識され得る、簡単で且つ安価な方法及び電子回路装置を提供することにある。

【課題を解決するための手段】

【0007】

本発明のこの課題は、請求項１に記載の冗長な信号処理のための方法の特徴によって解決され、請求項２に記載の電子回路装置によって解決され、請求項６に記載の自動車ブレーキシステムによって解決され、請求項７に記載の自動車によって解決され、請求項８に記載の電子回路装置の使用によって解決される。

【0008】

例えば自動車のＡＢＳ制御装置又はＥＢＳ制御装置のような安全に関連するアプリケーションの冗長な信号処理のための本発明の方法を実行するため、複数のセンサのセンサ情報を処理するための少なくとも２つの冗長信号が、入力信号として、少なくとも１つのセンサから、電子回路装置に供給される。

【0009】

エラーを含むセンサに起因するセンサ信号の発生時に、エラーを認識するため、又は、センサの故障時に、システムの機能信頼性を付与するため、好ましくは、入力信号が、独立した２つのセンサによって提供される。

【0010】

場合によっては伝送エラーを認識するため、センサ信号を伝送するための伝送装置が、同様に冗長に構成されている。それ故に、当該電子回路装置は、本発明にしたがって、少なくとも２つのセンサ信号を入力信号として当該センサ情報を処理するために提供する。当該入力信号は、直接に又は過電圧に対する保護回路を介して、マイクロコントローラの１つの周辺モジュールに伝送される。好ましくは、この周辺モジュールは、ソフトウェアモジュールを有する。複数の受信信号を互いに比較するように、このソフトウェアモジュールは構成されている。存在する偏差に起因して、起こり得るエラー原因が確認され、当該安全に関連するアプリケーションが、より安全な状態に移行される。

【0011】

しかしながら、システム上の設計エラー又はシステム上の製造エラーが、上記のマイクロコントローラの１つの周辺モジュール内に存在する場合は、当該冗長な２つの入力信号に関する上記の機能的に独立した経路が、同時に影響され得る。このエラーは、両入力信号に同時に影響し得り、当該システムの同時の故障又は誤作動を引き起こす。

【0012】

安全に関連する電子回路装置の故障のリスクを最小限に減らすため、少なくとも１つの入力信号が、本発明にしたがって検査信号に変換される。このため、当該電子回路装置は、少なくとも１つの入力回路を有する。当該入力信号とは異なるが、センサ情報を含む検査信号を、当該入力信号から生成するように、当該入力回路は構成されている。

【0013】

上記検査信号は、上記の１つ又は複数の入力信号と同様に、当該処理のために上記マイクロコントローラに伝送される。この検査信号は、当該入力信号とは異なるので、上記のそれぞれの周辺モジュールも、異なって構成されていて、この検査信号は、別の周辺モジュール内で当該入力信号に関係なく処理される。これにより、当該センサ情報の処理が、有益に冗長に可能になる。これらの周辺モジュールは、同じ処理目的を満たすので、当該信号又はデータが、その処理後に比較され、起こり得るシステム上のエラーが、これらの周辺モジュール内で認識され得る。

【0014】

本発明の好適な実施の形態によれば、上記のマイクロコントローラの複数の周辺モジュールは、その冗長な信号処理のために、異なるソフトウェアドライバを有する互いに異なるソフトウェアモジュールを備えている。したがって、エラーを含むプログラミングに基づくシステムの誤作動又は故障が、有益に回避され得る。

【0015】

本発明の別の好適な実施の形態では、上記入力信号が、パルス幅変調信号である場合に、当該入力信号をアナログ検査信号に変換する入力回路が、ローパスフィルタとして構成されている。この代わりに、当該入力信号が、アナログ電圧又は電流信号である場合に、当該入力信号をパルス幅変調された検査信号に変換する入力回路が、電圧制御される発信器（ＶＣＯ）を有する。存在する入力信号を、独立した異なる２つの周辺モジュールによって冗長に処理できるようにするため、当該入力信号は、このような入力回路によって非常に簡単に別の信号に変換される。

【0016】

本発明の別の好適な実施の形態は、上記の入力信号と検査信号との冗長に処理されたセンサ情報の複数の結果間の著しい相違を認識するための手段を提唱する。このような相違が存在する場合に、当該相違するデータによって関連付けられる制御システムが、より安全な状態に有益に移行させられる。したがって、場合によっては人に危険を及ぼし得る当該システムの誤判断が、有益に回避され得る。

【0017】

さらに、本発明の上記の課題は、自動車システム、例えばＡＢＳシステム又はＥＢＳシステムによって、本発明の方法を実行するための手段によって、及び／又は本発明の少なくとも１つの電子回路装置、特に安全制御装置によって解決される。

【0018】

さらに、本発明の上記の課題は、信号を冗長に処理するための少なくとも１つの電子回路装置、特に安全制御装置、及び／又はこのような電子回路装置を有する自動車ブレーキシステム、及び／又は安全に関連するアプリケーションを冗長に信号処理するための本発明の方法を実行するための手段を備える自動車によって解決される。

【0019】

最後に、本発明の上記の課題は、安全に関連するアプリケーションを冗長に信号処理するための本発明の電子回路装置を使用することによって解決される。この場合、冗長に信号処理するための本発明の電子回路装置は、自動車ブレーキシステム及び／又は自動車内で使用され得る。

【0020】

本発明の回路装置のこのような使用は、電子構成要素を有するシステム、特に自動車ブレーキシステム又は自動車の機能上の安全性を有益に保証する。

【0021】

本発明のその他の実施の形態は、特許請求の範囲と、図面に基づいて詳しく説明されている実施の形態とに記載されている。

【図面の簡単な説明】

【0022】

【図1】センサシステムと伝送装置とを有する電子回路装置のブロック図である。

【発明を実施するための形態】

【0023】

図１は、少なくとも１つの制御機能を有する電子回路装置２を備える冗長に作動するシステムを概略的に示す。

【0024】

安全装置を、例えば自動車ブレーキシステム用の制御装置のような電子回路装置内に設けることが公知である。システム内で発生するエラーが、当該安全装置によって認識され得る。このようなエラーの認識の場合、適切な対抗措置が講じられ、当該制御装置が、遮断され得るか又は緊急モードに切り替えられ得る。エラーを認識するため、多くの場合に、安全に関連する回路部分が、冗長に、すなわち多重に構成される。当該多重に存在する複数の回路部分の複数の機能の適切な比較が、起こり得るエラーを指摘する。

【0025】

それ故に、２つのセンサを有するセンサシステム４が、図１に設けられている。これらのセンサは、互いに無関係に同じ測定変数を取得する。２つのセンサのセンサ情報が、２つの受信信号６に含まれている。当該２つの受信信号は、電送装置を経由して、例えば、独立した２つのバスシステムを経由して、電子回路装置２に伝送される。

【0026】

まず、入力信号６が、電子回路装置２の２つの入力回路８に供給される。しかしながら、これらの入力回路８は、起こり得る過電圧に対して保護するためだけに使用され、それ故にオプションと見なすことができる。その結果、入力信号６が、マイクロコントローラ１０に伝送される、特にマイクロコントローラ１０の第１周辺モジュール１２に伝送される。

【0027】

図１に示された実施の形態では、受信信号６は、センサシステム４のパルス幅変調された信号である。当該複数のセンサは、ブレーキペダルの例えば変位を感知し、当該変位を電気信号としてパルス幅変調して出力する。

【0028】

第１周辺モジュール１２は、好ましくは信号を記録及び比較し得る記録装置／比較装置である。上記伝送装置が、複数の入力信号６を比較することによって、起こり得るエラーを検査される。

【0029】

さらに、第１周辺モジュール１２は、付随するソフトウェアドライバを有する第１ソフトウェアモジュールを有する。これによって、ブレーキ要求が、センサ情報から算出され、圧力制御の対応する許可が実行される。

【0030】

しかしながら、第１周辺モジュール１２が、システムエラー、例えば、当該第１ソフトウェアモジュールのエラーを含むプログラミングを有する場合、上記のセンサ情報の冗長な伝送にも関わらず、当該システム、特にマイクロコントローラ１０の故障を引き起こす可能性がある。

【0031】

１つのシステム内の機能的に独立した経路に同時に影響し得る、このような稀なエラー原因（共通原因故障−ＣＣＦ）を排除するため、入力信号６が、別の入力回路１４内で検査信号１６に変換される。

【0032】

図１の実施の形態によれば、別の入力回路１４は、ローパスフィルタである。パルス幅変調された入力信号６が、当該ローパスフィルタによってアナログ検査信号１６に変換される。したがって、検査信号１６は、入力信号６とは異なるが、全てのセンサ情報をさらに有する。

【0033】

検査信号１６をさらに処理するため、この検査信号１６が、マイクロコントローラ１０の第２周辺モジュール１８に伝送される。第２周辺モジュール１８は、マイクロコントローラ１０の冗長な信号処理のために使用される。すなわち、第１周辺モジュール１２及び第２周辺モジュール１８は、同じ処理目的を目指す。

【0034】

しかしながら、検査装置１６は、入力信号６とは異なるので、第２周辺モジュール１８は、第１周辺モジュール１２とは異なる第２ソフトウェアモジュールと、上記センサ情報をさらに処理するための別のソフトウェアドライバとを使用する。好ましくは、第２周辺モジュール１８は、主に、デジタル信号の後続する処理を伴うアナログ・デジタル変換器である。

【0035】

２つの周辺モジュール１２，１８の冗長な信号処理の結果が、互いに著しく異なる場合に、第１周辺モジュール１２の算出されたブレーキ要求と、第２周辺モジュール１８の算出されたブレーキ要求との後続する比較が、周辺モジュール１２，１８のうちの１つの周辺モジュール内での稀なエラー原因の認識を有益に可能にする。

【0036】

しかしながら、本発明は、上記の実施の形態に限定されない。パルス幅変調された入力信号６の代わりに、冗長に伝送される２つのアナログ電流信号又は電圧信号が、電子回路装置２の入力信号６として伝送されてもよい。これらのアナログ電流信号又は電圧信号処理は、例えば、発生すべきブレーキ圧力を表す。当該ブレーキ圧力は、ブレーキペダルを操作することによって予め設定される。

【0037】

電子回路装置２のアナログ入力信号６が存在する場合、受信信号６が、エラーなしに伝送されたときに、これらのアナログ入力信号は、上記のブレーキ圧力の制御を許可するために第１周辺モジュール１２内で処理される。

【0038】

別の入力回路１４内では、物理的に異なる検査信号１６が、アナログ入力信号６から生成される。例えば、当該検査信号１６は、電圧制御された発振器によって生成されたパルス幅変調信号である。このパルス幅変調信号は、さらなる処理のために第２周辺モジュール１８に伝送される。

【0039】

センサ信号を伝送するため及び／又は変換するため、パルス幅変調信号の代わりに、同様に、パルス周波数変調、パルス振幅変調、パルスコード変調又はパルス位相変調のような、別の変調方式が提唱され得るか、又は、例えば、振幅変調、角度変調又は周波数／位相変調のような任意の別の変調方式も提唱され得る。

【0040】

基本的に、任意の種類の入力信号６を電子回路装置２に伝送することが可能である。この場合、少なくとも１つの入力信号が、別の検査信号１６に変換される。

【0041】

システム、特に自動車ブレーキシステムの機能安全を保証するため、本発明によれば、センサ信号のエラーのない伝送を保護するための冗長な伝送装置に加えて、入力信号６が、別の検査信号１６に変換され、周辺モジュール１２内での受信信号６の後続する評価と、独立した周辺モジュール１８内での検査信号１６の評価とが、別々に実行されることによって、マイクロコントローラ１０内でセンサ信号を処理するために使用されるソフトウェア及びハードウェアも、エラーのない機能を目指して検査される。

【0042】

したがって、システムの高い安全レベルが、本発明の回路装置２によって達成される。この場合、本発明の回路装置２は、少ない製造経費で有益に実現され得る。何故なら、マイクロコントローラ１０だけが使用されるからである。

【0043】

したがって、本発明は、新しいＩＳＯ（国際標準化機構）２６２６２（「道路自動車−機能安全」）−自動車内の電気システム又は電子システムの機能安全を保証しなければならない規格を満たす。

【0044】

上記の明細書及び特許請求の範囲に記載の全ての特徴は、別々に組み合わせ可能であり、且つ独立請求項の特徴との任意の組み合わせでも組み合わせ可能である。それ故に、本発明の開示は、当該記載されているか又は請求項に規定された特徴の組み合わせに限定されていない。むしろ、本発明の範囲内で重要な全ての特徴の組み合わせが、開示されているとみなすことができる。

【符号の説明】

【0045】

２ 電子回路装置
４ センサ、センサシステム
６ 入力信号、受信信号
８ 入力回路
１０ マイクロコントローラ
１２ 第１周辺モジュール
１４ 入力回路
１６ 検査信号
１８ 第２周辺モジュール

【図1】

【国際調査報告】