JP2008206390A - スイッチング装置及びそれに対応する負荷の活動化方法 - Google Patents

Abstract

【課題】できるだけ少ない冗長的手段のみでシステムの安全な状態が達成できるように改善を行うこと。
【解決手段】外部制御装置からの制御データを収集するための第１のレジスタと、外部制御装置からの同じ制御データを収集するための第２のレジスタと、制御すべき負荷へデータを送出するための第３のレジスタと、第２のレジスタから第３のレジスタへデータを転送するための伝送装置と、第２のレジスタの内容と第３のレジスタの内容を比較するための第１の論理比較回路と、第１のレジスタの内容と第２のレジスタの内容を比較するための第２の論理比較回路とを有し、前記第１の論理比較回路は２つの内容が同じでない場合に、割込み信号または制御信号を外部制御装置に送信し、前記第２の論理比較回路は２つのレジスタの内容が同じ場合には伝送装置をイネーブルし、それ以外の場合には前記伝送装置を遮断するように構成する。
【選択図】図１

Description

本発明は、スイッチング装置、特に自動車技術分野における負荷を活動化させるためのスイッチング装置に関している。さらに本発明は前記スイッチング装置と制御ユニットを備えた制御システム並びにそれに対応する負荷の活動化方法に関している。

とりわけ安全性に係る適用分野においてはエラーが発生した場合にシステムの安全な状態を達成することが欠かせない。通常はエラー状態に入る前に有効であったアクティブな状態が"安全な状態"である。この"安全な状態"の概念については例えば以下で説明するように電子制御式のステアリングホイールロック装置を例にして説明することができる。電子制御式ステアリングホイールロック装置が時点ｔ１においてロック解除されると、すなわちステアリングが開放されると、ロックピンはステアリングを阻止しなくなる。そのためエラーが発生したらどのような状況においてもステアリングホイールロックが活動化されるべきではない。これとは逆に時点ｔ２においてステアリングホイールロックが活動化されると、エラーが発生した場合にはロックはそのまま維持されなければならない。

つまり一方ではシステムの状態に関して高い信頼性が得られることが重要であり、他方ではシステムにおいてこの種の安全状態が達成されなければならない。これまでは冗長的手段によってシステムの有効な状態ステートメントを達成することが試行されてきた。通常は互いに独立した２つの並列分岐がそれぞれ１つのマイクロコントローラと共に用いられて冗長性の構築がなされてきた。

それに対して本発明の課題は、できるだけ少ない冗長的手段のみでシステムの安全性が十分に達成できるように改善を行うことである。

前記課題は本発明により、外部制御装置からの制御データを収集するための第１のレジスタと、外部制御装置からの同じ制御データを収集するための第２のレジスタと、制御すべき負荷へデータを送出するための第３のレジスタと、第２のレジスタから第３のレジスタへデータを転送するための伝送装置と、第２のレジスタの内容と第３のレジスタの内容を比較するための第１の論理比較回路と、第１のレジスタの内容と第２のレジスタの内容を比較するための第２の論理比較回路とを有し、前記第１の論理比較回路は２つの内容が同じでない場合に、割込み信号または制御信号を外部制御装置に送信し、前記第２の論理比較回路は２つのレジスタの内容が同じ場合には伝送装置をイネーブルし、それ以外の場合には前記伝送装置を遮断するように構成されて解決される。

さらに前記課題は本発明により、前記スイッチング装置と制御装置とを備え、前記制御装置は、第１のレジスタへ制御データを送出するための第１の出力インターフェースと、第２のレジスタへ同じ制御データを送出するための第２の出力インターフェースと、制御信号処理ユニットとを有しており、それによって、前記制御信号処理ユニットが相応の割込み又は制御信号を第１の論理比較回路から受取った場合には、前記第１及び第２の出力インターフェースにおいてデータ送出がそのつど初期化されることによって解決される。

さらに前記課題は本発明により、第２のレジスタの第１のデータセットを第３のレジスタ第２のデータセットと比較し、第１のデータセットと第２のデータセットが同じ場合には、第３のレジスタの第２のデータセットで負荷を活動化させ、それ以外の場合には以下のステップ、すなわち、第１のデータセットを第２のレジスタの第３のデータセットで書き換えるステップと、第４のデータセットを第３のデータセットと同じデータセットと共に第１のレジスタ（７）に伝送するステップと、第１のレジスタと第２のレジスタにおいてデータセットを比較するステップと、第３のデータセットと第４のデータセットが同じである場合に、第３のデータセットを、第２のレジスタから第３のレジスタへコピーするステップと、第３のレジスタにおけるコピーされた第３のデータセットが第２のレジスタにおける第３のデータセットと同じ場合に、第３のレジスタの第３のデータセットで負荷を活動化させるステップとを実行するようにして解決される。

本発明の別の有利な実施例によれば、前記スイッチング装置はＳＰＩインターフェースを有しており、該インターフェースの受信レジスタが第１のレジスタである。これにより当該スイッチング装置に対してシリアル標準インターフェースが用いられるようになる。

また本発明によるスイッチング装置はさらに有利には、ＡＳＩＣとして構成される。これにより大量生産に適した形態のスイッチング装置が得られるようになる。

相応に有利な実施形態によれば、前記スイッチング装置がセーフティユニットを有しており、該セーフティユニットは、外部制御装置から適当なキーを受取った場合にのみ伝送装置をイネーブルする。これにより負荷を新たなデータで活動化させる前であっても外部制御装置もスイッチング装置に対する通信も支障なく機能し得るようになる。

相応に有利な実施形態によれば、第１の出力インターフェースはシリアルインターフェースであり、第２の出力インターフェースはパラレルインターフェースである。データがこれらの２つの異なるインターフェースを介して同じように伝送された場合にのみ、負荷が伝送されたデータで実際に再活動化されることに対する高い確実性が得られる。

以下では本発明による制御システムのブロック回路図が示された図面に基づいて本発明を詳細に説明する。

なお以下の明細書に記載する実施例は本発明による有利な実施形態を表したものである。

図１に示されている例に相応して中央ユニット１は例えば自動車において負荷２の活動化のために用いられている。この負荷２は例えばモーター、バルブ等であってもよい。負荷２の前には公知の形式でドライバー３が接続されており、このドライバー３は負荷２の活動化のための相応の電力をもたらしている。また前記ドライバー３は、二重の安全性を保証するために公知の形式で"端子３１（アース）"との間、及び"端子３０（バッテリー正電圧）"との間に設けられたスイッチ４，５の支援を受けるものであってもよい。

負荷２の活動化は中央ユニット１（これは通常はマイクロコントローラを有している）を介して直接行われるのではなく、その間に接続されている構成素子、ここではＡＳＩＣ６を介して行われている。このＡＳＩＣ６は実質的に３つのレジスタブロック７，８，９からなっている。その他にこのＡＳＩＣ６はレジスタ７とレジスタ８の内容を比較するための第１の論理比較回路１０と、レジスタ８とレジスタ９の内容を比較するための第２の論理比較回路１１を有している。

第１の論理比較回路１１は、レジスタ８，９の状態、すなわちそれらのレジスタ内容Ｓ１〜Ｓｎ及びＲ１〜Ｒｎが異なっている場合には常に割込み信号ＩＲＱないしＮＭＩ又は相応の制御信号を生成する。レジスタ８は時点ｔ＝ｔ１＋１に対する瞬時の状態を表している。このレジスタ８のためのデータは制御側中央ユニット１（これはＧＰＩＯインターフェース１２を有している）からパラレルに供給されている。

レジスタ内容Ｒ１〜Ｒｎを伴うレジスタ９は、時点ｔ＝ｔ１の状態を表しており、従って負荷２の相応の活動化に帰結する目下の構成（コンフィグレーション）を表している。レジスタ８の状態がレジスタ９の状態に対応していない場合には、この不均衡状態が制御側中央ユニット１によって必然的に引き起こされなければならない。ＡＳＩＣ６の生成された割込みリクエスト（ＩＲＱ）は中央ユニット１とのＡＳＩＣ６の後続する通信ルーチンを開始させる。

レジスタ８と９のレジスタ内容Ｓ１〜Ｓｎ及びＲ１〜Ｒｎが相違する場合には、既述したように第１の論理比較回路１１が割込みリクエスト（ＩＲＱ）をキー（キーワード）と共に中央ユニット１に送信する。中央ユニット１内に集積されている割込みハンドラ（割込み処理ルーチン）１７は割込みリクエスト（ＩＲＱ）を受取り、パラレルインターフェースＧＰＩＯ（General Purpose Input/Output）１２からデータがＡＳＩＣ６のレジスタ８にパラレルに伝送されるようにする。割込みリクエスト（ＩＲＱ）による開始と同時に標準インターフェースＳＰＩ（Serial Peripheral Interface）１３は同じデータＤ／ＯをＡＳＩＣ６の相応の受信インターフェース１４にシリアルに伝送する。これらのデータＤＩないしＤＯと共に制御ビットＣＳ（例えば割込みリクエストＩＲＱと共に中央ユニット１に送信された"キー"）も返信される。

ＡＳＩＣ６のＳＰＩインターフェース１４は前述したようにレジスタ内容Ｑ１〜Ｑｎを伴う第１のレジスタ７を有しており、その中にはシリアルに受信したデータが蓄積されている。第２の論理比較回路１０はレジスタ７と８の内容を比較し、受信されたキーを検査する。これらの２つのレジスタ７，８の内容が同じでかつキーに問題がない場合には、レジスタ８のレジスタ内容Ｓ１〜Ｓｎがドライバ回路１９の支援のもとでレジスタ９に伝送される。すなわちこの比較によってシリアル伝送（ＳＰＩ）とパラレル伝送（ＧＰＩＯ）が適正に行われたか否かが検査される。つまり冗長的な伝送によって中央ユニット１とＡＳＩＣ６の正常な機能状態に関する情報が得られる。このようにして例えば中央ユニット１のプログラムシーケンスが見込み通りに動作することの保証が可能となる。

キーが適正でないか及び／又は第３のレジスタ９内の情報が第２のレジスタ８内のものとマッチしないときには、出力レジスタ８の状態が不変のまま維持される。このことは、レジスタ８がレジスタ９にとって不透明な状態であり、負荷２の元の活動化状態が不変のまま維持されることを意味する。つまりエラーが生じたケースでは最後に維持された状態がそのまま保持され続ける。このエラー発生は例えば電圧のリセットやソフトウエア上のエラー、中央ユニット１のＩ／Ｏポートの故障、電磁障害などによって誘起され得る。

本発明によって得られる利点は、中央ユニット１とＡＳＩＣ６の通信によって中央ユニット１が、状態変化を引き起こすような条件の再確認を積極的に要求するようになることである。また本発明によるシステムのさらなる利点はデータビット（情報）と分離された制御ビットの利用にある。冗長的な伝送と関連したこの分離によって、例えば中央ユニット１のポート欠陥のような単純なエラーが不確かなシステム状態を誘起するようなことが回避されるようになる。つまりキーは出力レジスタ９に対するアクセス認証のような作用を及ぼしている。

ＡＳＩＣ６は保護された"端子３０"から電圧（＋１２Ｖ）を供給される。それに対しては図示の実施例においてはＡＳＩＣ６内に電圧変換器１５が集積されている。この変換器の出力電圧はＶｃｃ_１である。その他にもここでの電圧供給は電圧Ｖｃｃ_２を介しても行われている。対応する論理回路１６は、ＡＳＩＣ６ないしＳＰＩインターフェース１４に電圧Ｖｃｃ_１または電圧Ｖｃｃ_２が供給されることを保証している。

そのため唯一の電圧レギュレータ１５を用いた電圧供給はＡＳＩＣ６内で多大なコストをかけずに行うことが可能である。なぜなら、実質的にレジスタ７，８，９によって決定する電流消費が非常に僅かとなるからである（通常は＜５０μＡ）。このように僅かな電流消費に基づいて＋１２Ｖから電圧Ｖｃｃ_１（＋３Ｖ／＋５Ｖ）への変換の際に生じる損失電力も僅かに抑えることが可能である。

診断に対しては信号が負荷２から中央ユニット１に伝送される。このために中央ユニット１はＡＤ変換器１８を有している。

本発明によるＡＳＩＣ６は典型的なセーフティコンセプトに対する低コストな代替案を呈しており、これは専ら次のような冗長性、すなわち例えばプログラムシーケンスによって少なくとも２つのマイクロコントローラに分けられて実現される冗長性に基づいている。このような冗長的情報処理（すなわちＧＰＩＯによるパラレル処理とＳＰＩによるシリアル処理）によって単純なエラーが確実に識別されるようになる。

本発明による制御システムのブロック回路図を示した図

符号の説明

１ 中央ユニット
２ 負荷
３ ドライバー
４,５ スイッチ
６ ＡＳＩＣ
７,８,９ レジスタ
１０,１１ 論理比較回路
１２ ＧＰＩＯインターフェース
１３ ＳＰＩインターフェース
１４ 受信インターフェース
１５ 電圧レギュレータ
１６ 論理回路
１７ 制御信号処理ユニット
１８ ＡＤ変換器
１９ ドライバー回路、伝送装置
Ｑ１−Ｑｎ,Ｒ１−Ｒｎ,Ｓ１−Ｓｎ レジスタ内容

Claims (9)

1. 外部制御装置からの制御データを収集するための第１のレジスタ（７）と、
   外部制御装置からの同じ制御データを収集するための第２のレジスタ（８）と、
   制御すべき負荷へデータを送出するための第３のレジスタ（９）と、
   第２のレジスタ（８）から第３のレジスタ（９）へデータを転送するための伝送装置（１９）と、
   第２のレジスタ（８）の内容と第３のレジスタ（９）の内容を比較するための第１の論理比較回路（１１）と、
   第１のレジスタ（７）の内容と第２のレジスタ（８）の内容を比較するための第２の論理比較回路（１０）とを有し、
   前記第１の論理比較回路（１１）は２つの内容が同じでない場合に、割込み信号または制御信号（ＩＲＱ）を外部制御装置（１）に送信し、
   前記第２の論理比較回路（１０）は２つのレジスタの内容が同じ場合には伝送装置（１９）をイネーブルし、それ以外の場合には前記伝送装置（１９）を遮断するように構成されていることを特徴とするスイッチング装置。
2. 前記スイッチング装置はＳＰＩインターフェース（１４）を有しており、該インターフェースの受信レジスタが第１のレジスタ（７）である、請求項１記載のスイッチング装置。
3. ＡＳＩＣ（６）として構成されている、請求項１又は２記載のスイッチング装置。
4. セーフティユニットを有しており、該セーフティユニットは、外部制御装置（１）から適当なキーを受取った場合にのみ伝送装置（１９）をイネーブルする、請求項１から３いずれか１項記載のスイッチング装置。
5. 負荷（２）を活動化させるための制御システムにおいて、
   請求項１から４いずれか１項記載のスイッチング装置と制御装置（１）とを備え、
   前記制御装置（１）は、
   第１のレジスタ（７）へ制御データを送出するための第１の出力インターフェース（１３）と、
   第２のレジスタ（８）へ同じ制御データを送出するための第２の出力インターフェース（１２）と、
   制御信号処理ユニット（１７）とを有しており、
   それによって、前記制御信号処理ユニット（１７）が相応の割込み又は制御信号を第１の論理比較回路（１１）から受取った場合には、前記第１及び第２の出力インターフェース（１２，１３）においてデータ送出がそのつど初期化されることを特徴とする制御システム。
6. 第１の出力インターフェース（１３）はシリアルインターフェースであり、第２の出力インターフェース（１２）はパラレルインターフェースである、請求項５記載の制御システム。
7. 負荷（２）を活動化させるための方法において、
   第２のレジスタ（８）の第１のデータセットを第３のレジスタ（９）第２のデータセットと比較し、
   第１のデータセットと第２のデータセットが同じ場合には、第３のレジスタ（９）の第２のデータセットで負荷（２）を活動化させ、それ以外の場合には以下のステップ、すなわち、
   第１のデータセットを第２のレジスタ（８）の第３のデータセットで書き換えるステップと、
   第４のデータセットを第３のデータセットと同じデータセットと共に第１のレジスタ（７）に伝送するステップと、
   第１のレジスタ（７）と第２のレジスタ（８）においてデータセットを比較するステップと、
   第３のデータセットと第４のデータセットが同じである場合に、第３のデータセットを、第２のレジスタ（８）から第３のレジスタ（９）へコピーするステップと、
   第３のレジスタ（９）におけるコピーされた第３のデータセットが第２のレジスタ（８）における第３のデータセットと同じ場合に、第３のレジスタ（９）の第３のデータセットで負荷（２）を活動化させるステップとを、
   実行するようにしたことを特徴とする方法。
8. 第２のレジスタ（８）におけるデータがパラレルに伝送され、それに対して第１のレジスタ（７）におけるデータはシリアルに伝送される、請求項７記載の方法。
9. 第３のデータセットが制御装置（１）から生成され、該制御装置（１）へ、第１のデータセットを第３のデータセットで書き換えるために、割込み信号又は制御信号（ＩＲＱ）がキーと共に伝送され、前記キーは第４のデータセットと共に、第１のレジスタ（７）に接続されている通信ユニットへ伝送され、この場合第３のデータセットは、前記キーが予め定められた形式ないしは予め定められた値を有している場合にのみ、第２のレジスタ（８）から第３のレジスタ（９）へコピーされる、請求項７または８記載の方法。

Images