JP3889072B2

JP3889072B2 - 制御装置

Info

Publication number: JP3889072B2
Application number: JP23154895A
Authority: JP
Inventors: ジョン・マイケル・アイアンサイド; ブライアン・グラハム・ニコルソン; ラッセル・ウィルソン−ジョーンズ; クライブ・ロジャー・セインスバリー; アンドリュー・ジェームズ・ステファン・ウィリアムズ
Original assignee: ティーアールダブリュー・ルーカス・ヴァリティ・エレクトリック・ステアリング・リミテッド
Priority date: 1994-09-08
Filing date: 1995-09-08
Publication date: 2007-03-07
Anticipated expiration: 2015-09-08
Also published as: JPH08101701A; EP0701207B1; DE69521379T2; EP0701207B9; GB9418135D0; US5663713A; EP0701207A1; DE69521379T4; DE69521379D1

Description

【０００１】
【発明の属する技術】
本発明は制御装置に関するものである。
【０００２】
装置の欠陥が生起する場合に、継続される制御動作には支障を来すかもしれないが、安全上の問題を生じないで遮断され得る或る種の制御装置が存在する。この「故障−停止」型の装置は一般に１またはそれ以上の欠陥の存在において通常の動作を安全に供給し続けるべく設計される「欠陥−許容」型より非常に安価である。１例は装置が遮断されるとき車両操舵から隔離される１型式の自動車用電力支援操舵装置である。ドライバの快適な装置の分野からの他の例は動力式のドライバの座席調整装置である。かかる装置は２つの区域、すなわち保護し得ない区域および保護し得る区域に分割され得る。保護し得る区域は、その故障が自動的に検出されかつ装置の遮断により補償される。（通常）保護しえる区域は、保護し得ない区域より大きい組の部品からなる。この発明は装置のこの保護し得る区域の保護にとくに適用し得る。
【０００３】
かかる多くの装置の通常の動作機能はマイクロコントローラ（ＭＣＵ）により制御される。この型のハードウエアは比較的信頼できそして装置のほとんどの残部の正しい機能（センサ、駆動段、アクチユエータ、およびそれらの電源）ならびに通常の制御機能供給を評価することができるソフトウエアを処理することが可能である。ＭＣＵが故障を検出する場合に、ＭＣＵは保護チヤンネルを呼び出すことができる。これらは、例えば、適切なときに、アクチユエータをそれらの電源および／または被作動設備から分離し得る。
【０００４】
この保護が本当に役に立つことを確かめるために、ＭＣＵは保護副装置のチヤンネルの各々を周期的に試験し得る。これは、一般に、各試験を実施することが作動装置の幾つかの態様を遮断するので、通常の機能が要求されないときのみなされ得る。それゆえこの試験はシステムの通常の機能を妨げない終了間際など、作動任務の幾つかの特別な段階中になされ得る。各保護チヤンネルは個々に試験される。好結果の試験はその保護チヤンネルの非利用性が一時的にゼロであることを示す。稀な試験の失敗の場合において、主機能は好結果の修理が完了されるまで禁止され得る。試験結果はエラー検出および補正コードを使用して不揮発性メモリに記録され得る。
【０００５】
保護チャンネルの故障率ｒ（ｔ）は、それが時間ｔ残存したとすれば、故障の条件的な見込み密度×時間ｔ＋ｄｔとして定義される。実際にｒ（ｔ）はしばしば定数ｒ、つまりＭＴＴＦ（平均故障時間）の逆数にまで近づけられ得る。
【０００６】
各保護チヤンネルはもちろん信頼し得るように設計され、その結果その故障率は非常に低い。非有用性は、好結果の試験の後、はじめはｒ／単位時間の割合でゼロから上昇してゆく。周期的な試験が１／ｔより非常に大きい頻繁な間隔で発生するので、本当に必要とされるとき利用できない保護の見込みは、共通の原因が通常の機能および保護機能双方に影響を及ぼさないならば、次の試験が生じる前に単に極端に低いレベルに達する。このような１つの原因は、保護装置の論理回路の多くがＭＣＵ中に存するので、ＭＣＵハードウエアまたはソフトウエア中の欠陥である。装置のエラーはソフトウエアまたはハードウエアの設計において検出されないままであるかも知れず、所望しない出力を生じる一連の入力データの到達を待っている。ハードウエアの故障が同様に発生する。設計エラーに対する幾つかの保護は制御ソフトウエアの出力が入力データに鑑みてもっともらしいかどうかをチエツクするためにＭＣＵ内で作動するさらに他のソフトウエア要素により付与され得る。この保護は制御または保護ソフトウエア中の最初の欠陥の作用が両方の作動と干渉するかも知れないため完全であると仮定され得ない。したがって、単一のＭＣＵが装置の欠陥を検出しかつ分離するもっとも有効なツールであるけれども、完全にこの検出、分離を可能とするものではない可能性がある。
【０００７】
公知の電子制御ユニツト（ＥＣＵ）は２つの独立して電力供給されるＭＣＵからなる。主ＭＣＵは一連の相互の妥当性試験により両方のＭＣＵの故障を識別するために第２のＭＣＵと協働する。しかしながら、かかる装置は比較的複雑でかつコストが高くそして例えば、いずれかまたは両方のＭＣＵ内のアナログ−デジタル変換器（ＡＤＣ）の正しい機能を試験しない。
【０００８】
他の公知の制御装置は、制御機能を提供するのに加えて、自動チエツク装置の１部分を形成する単一のＭＣＵからなる。ＭＣＵのソフトウエアで駆動される２進出力ポートはＡＣ結合充電ポンプに接続される。該充電ポンプの出力電圧は低域濾過されかつＭＣＵのＡＤＣに供給される。ＭＣＵのソフトウエアは「試験課題」を実施するのに必要とされる。これはＭＣＵ出力ポートにトグル接続する周波数を調整することにより充電ポンプの出力電圧の閉ループ制御を供給することができる。ウインドウコンパレータの限界内に制御された電圧を保持することの失敗は装置を遮断させる。
【０００９】
失敗の場合に装置を安全に遮断するのに利用し得る時間はＭＣＵソフトウエアサイクル時間の小さい倍数のみであるかも知れない。したがつて、周波数−電圧変換器からなる充電ポンプおよび低域フイルタの出力はＭＣＵが２進出力ポートを制御して常に停止する場合にその時間内にウインドウしきい値に達しなければならない。しかしながらウインドウコンパレータのしきい値は偽せ遮断結果を発生することなくＭＣＵにより設けられる制御中要素の許容誤差および不足を許容するのに十分に広く設定されねばならない。それゆえＭＣＵ出力ポート周波数の許容帯域があり、この帯域は装置を安全に遮断するのに十分迅速にウインドウしきい値に周波数−電圧出力を到達させない。そのうえ、この帯域内に決して装置を遮断させない周波数のより狭い帯域がある。
【００１０】
かかる装置によれば、遮断はＭＣＵがより広い許容誤差帯域内の周波数でトグル接続する安全回路出力ポートを残すモードにおいて失敗する場合に間に合って呼び出されない。ＭＣＵは固定周波数でまたは幾つかの繰り返しパターンにおいてトグル接続する出力により作用しなくなることが知られている。かくして、簡単な欠陥のシナリオが有効な保護なしに発生するかも知れない。
【００１１】
原則として、ＭＣＵが作用しなくなるすべての方法を考えかつ「試験課題」が各場合に作用しなくなることを保証することは困難である。ＭＣＵの故障は、とくに、以下、すなわち、
ＡＤＣ不良；
アドレス／データ改悪；
取り付けられたマルチプレクシング；
繰り返しの偽せの遮断；
多分固定周波数出力または簡単な繰り返しパターンを付与する、ループに取り付けられたソフトウエア；
固定周波数出力または簡単な繰り返しパターンを付与するＭＣＵ故障後トグル接続し続ける出力ハードウエア；
パルス列のタイミング不良；および
ＭＣＵ「遮断」した後の任意の出力、
を包含する。かかる欠陥または欠陥発生の場合に制御装置を遮断するのが最も望ましい。
【００１２】
本書で使用される用語「非安定回路」は入力電圧が予め定めた一定値（「安定した状態の入力電圧」と称される）にあるとき実質上一定（「平衡出力電圧」と称される）でありかつ３つのパラメータ、
（１）出力電圧と平衡出力電圧との間の差異、
（２）（１）の第１時間差、および
（３）（１）の第２時間差
が入力電圧が安定状態入力電圧から一時的に変化されかつ安定状態入力電圧に戻された後決して同時に非対称にゼロに近づかないように変化する出力電圧を供給する回路を意味するように定義される。
【００１３】
例えば、実際の回路はその出力電圧および電流について上限および下限を有する。作用はゼロ電圧または電源レール間の実質上中間の電圧からずらされる、すなわち偏倚され得る。回路はダイオードのごとき非直線性要素を組み込むことができ、かかる要素は回路に異なる入力および出力電圧で異なる作用を持たさせる。非安定回路は少なくとも１つの理論的な平衡条件を有する。この条件において、入力での安定状態の入力電圧の存在は出力を平衡出力電圧に保持する。実際に、この条件はその平衡から離して回路を混乱させる電気雑音または熱変化のため本当に達成し得ない。それにも拘わらず、実際の回路のかかる欠点を無視すると、非安定性回路は非安定平衡の状態を示す少なくとも１つの理論的な平衡条件を有する。
【００１４】
【発明が解決すべき課題】
実際の回路において、入力において混乱させるパルスに応答して、出力電圧は平衡出力電圧から離れて動きかつ最後に回路の作動限界の１つに衝突する。パルスは非常に短い存続時間からなりかつ非常に低いレベルからなることが可能であるが、実際には、作動増幅器入力用のバイアス電流のごとき、回路中の小さな所望しない電流を克服するのに十分に大きくすべきである。実際に、十分に低い振幅および／または存続時間のパルスは雑音により遮蔽されるかも知れない。しかしながら、非安定回路の実際の履行のために、これは実際の混乱させるパルスまたはより多くの安定信号がその非安定平衡条件から離れて回路を妨害するのに十分な振幅および／または存続時間からなることが保証され得るので重要ではない。
【００１５】
本発明の目的は、エラー信号が、例えば、操舵装置から動力支援を除去するように、アクチユエータを不能にするのに使用され得る制御装置を提供することにある。
【００１６】
本発明によれば、装置制御信号を形成する第１出力および第２出力を有するコントローラ、前記第２出力に接続される入力および前記コントローラの入力に接続される出力を有する回路であって、入力電圧が予め定めた一定の安定状態にあるとき実質上一定の平衡出力電圧に等しい出力電圧であり、かつ３つのパラメータである前記出力電圧と前記平衡出力電圧との間の差異、前記出力電圧と前記平衡出力電圧との間の差異の第１時間差、および前記出力電圧と前記平衡出力電圧との間の差異の第２時間差が、入力電圧が安定状態から一時的に変化されかつ安定状態に戻された後、同時にゼロに近づかないように変化する出力電圧を供給する回路、および該回路の出力に接続されかつ前記回路の出力信号が許容し得る範囲外にあるときエラーを知らせる検出器を有し、前記コントローラが、その正しい作動の間中、前記第２出力において前記回路に許容し得る範囲内の出力信号を発生させる信号を供給すべく構成されていることを特徴とする制御装置が提供される。
【００１７】
好ましくは検出器はウインドウコンパレータからなる。
【００１８】
コントローラは好ましくはＭＣＵを構成するようにアナログ−デジタル変換器のごとき他のハードウエアを組み込むことができるプログラム可能なデータプロセツサのごときデジタル型からなる。非安定回路は好ましくはアナログ回路からなる。種々の電子技術においてコントローラおよび非安定回路を実現することにより、制御装置全体に作用する共通の欠陥または故障の可能性が減少される。同様に、電源故障に対する故障発生度はコントローラおよび非安定回路に別個の電源を設けることにより低減され得る。
【００１９】
ラツチが検出器によるエラーの報知に対してラツチされたエラー報知応答を提供するために設けられ得る。
【００２０】
非安定回路はカスケード接続された２つの積分器からなることができる。かかる回路装置において、第１積分器に印加されたパルスはその出力の実質上安定な変化を結果として生じる。この安定な変化はその場合にその出力がその動作限界の１つに傾斜する第２積分器により積分される。積分器は該積分器の供給電圧に対して非対称である基準電圧を有すべく配置される。第１積分器は異なる入力電圧範囲用の異なる積分時定数を有すべく配置され得る。
【００２１】
他の実施例において、非安定回路は正帰還を備えた積分器からなることができる。平衡点において、入力電圧は積分器の出力電圧をバランスさせる。入力電圧が一時的に移動されるとき、結果として生じる不釣り合いが積分器出力を変化させる。入力電圧がその以前の電圧に戻るとき、積分器への正味の入力電圧はもはや出力電圧をバランスさせずかつ不釣り合いは積分器に積分を続けさせかつその動作限界の１つに出力を傾斜させる。
【００２２】
明瞭にするために、単一の積分器または負帰還を備えた積分器が非安定回路でないことが指摘される。単一の積分器の場合において、入力に印加されたパルスは出力電圧の有限の変化を結果として生じるがこれは出力電圧を動作限界の１つに必ずしも移動させる必要はない。とくに、パルスは積分器出力が少なくとも予め定めた量だけ平衡出力電圧からの予め定めた時間遅延後異ならないことを保証すべく十分に小さくされることが可能で、そして前に示されたような「非安定回路」の定義内に含まれない。
【００２３】
負帰還を備えた積分器の場合において、入力および出力電圧との間の不釣り合いは積分器に入力電圧の近くに出力電圧を移動させる。かくして、パルスがかかる装置に印加されるならば、出力は最初に入力から離れて移動するが、安定状態入力電圧への入力の復帰に続いて、出力は負帰還の作用下で平衡出力電圧に復帰する。
【００２４】
コントローラは非安定回路に許容し得る範囲内の出力信号を発生させる信号をその第２出力において供給するために非安定回路の出力信号の適切な関数を実施すべく構成され得る。例えば、関数は比例および微分項を包含し得る。コントローラはそのデューティサイクルまたは密度が非安定回路の出力信号を許容し得る範囲内に維持させるように変化するパルスの形において第２出力で２状態信号を供給すべく構成され得る。
【００２５】
制御装置はさらに第１出力による制御を有効に不能にする手段からなるる。例えば、第１出力がアクチユエータを制御すべく構成されるならば、その手段は、例えば電源からアクチユエータを切り離すことにより、アクチユエータを不能にすべく構成され得る。代替的にまたは追加的に、前記手段はアクチユエータを第１出力から切り離すかまたはアクチユエータを負荷から切り離すべく構成され得る。
【００２６】
かくして、制御装置の１部分を制御装置故障の場合に遮断させ得る比較的簡単でかつ安価な装置を供給することができる。かかる装置は前述された故障の発生の場合にエラーを知らせることができる。さらに、ＡＤＣを組み込んでいるＭＣＵの場合に、ＡＤＣの正しい作動が同様に監視される。第２ＭＣＵのコストおよび複雑さは回避され得る。故障またはエラーチエツクはその簡単性、堅牢性、および非プログラム可能性が同様な技術を使用するＭＣＵおよび試験装置の共通原因故障の幾つかの可能性を除去するＭＣＵに対して少なくとも部分的に外部の装置により設けられることができる。除去され得る共通原因故障の可能性はソフトウエア設計過程欠陥および例えば電源欠陥に対する分割脆弱性を包含する。
【００２７】
【発明の実施の形態】
以下、本発明を、添付図面を参照して、例として、さらに説明する。
図１は車両操舵装置への動力支援を制御する自動車制御装置の１部分を示す。車両バツテリ１は電子制御ユニツト（ＥＣＵ）電源保護回路２に接続され、該回路は出力ポート５、デジタル入力６、およびアナログ／デジタル変換（ＡＤＣ）入力７を有するマイクロコントローラ（ＭＣＵ）４用の電源ユニツト（ＰＳＵ）３へ電力を供給する。ＭＣＵはさらにマイクロプロセツサ、作動ソフトウエアを包含する読み取り専用メモリ、揮発性ランダムアクセスメモリ、およびソフトウエアが電力供給されないときデータを保持するための不揮発性ランダムアクセスメモリからなる。別個の安全回路ＰＳＵ８が安全回路用に設けられる。
【００２８】
出力ポート５の１つはＭＣＵ４の入力６および７に接続される出力を有する操舵アクチユエータおよびセンサ９に接続される。例えば、アクチユエータは車両舵取りに対して動力支援をするための電動機を包含することができそしてセンサは操舵角度を監視するセンサおよび要求される支援の量を監視するセンサを包含し得る。アクチユエータＰＳＵ１０はアクチユエータ９に動力を供給する。アクチユエータ出力は電気制御の断路器１１を経由して、車両の機械的な操舵装置のごとき、安全関連負荷１２に供給される。
【００２９】
ＭＣＵ４の他の出力ポート５はカスケードに接続されかつ演算増幅器１３および１４に基礎を置く２つの積分器の入力に接続される。演算増幅器１３および１４は濾過されかつ調整された５ボルト電源を受容するように回路８からの電源ライン１５と共通の電源ライン１６との間に接続される電源入力を有する。演算増幅器１３および１４は抵抗器１７および１８からなる電圧デバイダの出力とともにかつそれに接続されそして共通電源ライン１６に対して３ボルトの正の基準電圧を供給すべく構成された非反転入力を有する。
【００３０】
演算増幅器１３に加えて、第１積分器は演算増幅器１３の出力と反転入力との間に接続される１００ｎＦの値を有する積分コンデンサ１９からなる。反転入力は１８０キロオームの値を有する抵抗器２０を介して出力ポートに接続される。反転入力は１８０キロオームの値を有するさらに他の抵抗器２２を介して出力ポートに接続される。
【００３１】
演算増幅器１４に加えて、第２積分器は演算増幅器１４の出力と反転入力との間に接続される１００ｎＦの値を有する積分コンデンサ２３からなる。１００キロオームの値を有する抵抗器２４は増幅器１４の反転入力と増幅器１３の出力との間に接続される。電界効果トランジスタ２５のソース／ドレインチヤンネルはコンデンサ２３と並列に接続される。電界効果トランジスタ２５のゲートは、そのコレクタがさらに抵抗器２７を介して保護回路２からの電源ライン２８に接続される、共通エミツタ接続トランジスタ２６のコレクタに接続される。トランジスタ２６のベースは抵抗器２９を介してそのコレクタが抵抗器３１を介して電源ライン１５に接続される共通エミツタ接続トランジスタ３０のコレクタに接続される。トランジスタ３０のベースは抵抗器３２を介してコンデンサ３３および抵抗器３４の第１端子に接続される。コンデンサ３３の第２端子は電源ライン１５に接続される。抵抗器３４の第２端子およびトランジスタ２６および３０のエミツタは共通の電源ライン１６に接続される。
【００３２】
演算増幅器１４の出力はＭＣＵ４のＡＤＣ入力７の１つにかつその出力がラツチ３６の設定入力に接続されるウインドウコンパレータ３５の入力に接続される。ラツチ３６は電源ライン１５との接続によりリセツトされ得る。ラツチ３６の出力は断路器１１に遮断信号を供給するように警告ランプ３７におよびアクチユエータＰＳＵ１０および断路器１１に接続される。
【００３３】
電力が制御装置に印加されるとき、コンデンサ３３は最初に充電されかつトランジスタ３０のベースを電源ライン１５の電圧に保持する。トランジスタ３０はオンされかつそのコレクタがトランジスタ２６のベースを共通の電源ライン電圧に保持する。トランジスタ２６はそれゆえオフされかつトランジスタ２５がコンデンサ２３を短絡しかつリセツトされた第２積分器を保持するようにオンされる。コンデンサ３３は残りの制御回路が平常になりかつＭＣＵ４がトランジスタ３０のベースでの降下電圧かそれを遮断するまえにその作動の初期化モードを完了するような時定数を有する抵抗器３４を介して充電される。これは電界効果トランジスタ２５への駆動を除去するようにトランジスタ２６をオンさせる。トランジスタ２５はかくしてコンデンサ２３を横切る短絡が除去されるようにオフされる。
【００３４】
電源ライン１５へのラツチ３６の接続は同様に該ラツチ３６が制御装置が作動し始める前にリセツトされることを保証する。
【００３５】
制御装置の通常の動作中、ＭＣＵ４はアクチユエータを介してかつセンサ９からの信号に応答して安全関連負荷１２の作動を制御する。ラツチ３６からの遮断信号の不存在において、ＰＳＵ１０は電力をアクチユエータおよびセンサ９に供給しかつ断路器１１はアクチユエータと負荷１２との間に機能的な接続を設ける。
【００３６】
装置の通常の作動の間中、ＭＣＵ４は出力信号Ｖｏをその出力が第２積分器を制御する第１積分器の入力に供給する。第１および第２積分器は、前に定義されたように、その出力が非安定な平衡状態を有する非安定回路を形成する。第２積分器の出力は該第２積分器出力が比較ウインドウの外に下がる場合に出力信号を発生するウインドウコンパレータ３５に供給される。出力を発生するウインドウコンパレータ３５の場合に、ラツチ３６は警告ランプ３７を点灯しかつＰＳＵ１０および断路器１１へ遮断信号を供給するように設定される。ＰＳＵ１０はかくして不能にされそして断路器１１は車両舵取りの非動力支援作動を継続させるようにアクチユエータを負荷１２から切り離す。かくして動力支援はラツチ３６が回路への動力を除去しかつ再び印加することによりリセツトされる時まで不能にされる。
【００３７】
車両操舵装置の動力支援を制御することに加えて、ＭＣＵ４はまた、装置の正しい作動中、第２積分器の出力信号Ｂがウインドウコンパレータ３５のウインドウ内に留まることを保証する機能を実施する。これを達成するためにＭＣＵ４により実施される機能は図２に略示される。該機能はＭＣＵ４内のＡＤＣのサンプリングされかつ変換された出力Ｂ（ｔ）についてＭＣＵ４によりデジタル的にかつ繰り返して実施される。信号Ｂ（ｔ）はエラー値Ｅ（ｔ）を形成するために符合４０でターゲツト値Ｔａから減算される。このエラー信号は符合４１で比例項Ｐ．Ｅ（ｔ）を形成するために比例定数Ｐで乗算される。エラーＥ（ｔ）は（Ｅ（ｔ）−Ｅ（ｔ））のような差信号ΔＥ（ｔ）を形成する差分器４３に直接および１サイクル時間遅延４２を介して供給される。差信号は符合４４において微分項Ｄ．ΔＥ（ｔ）を形成するために微分定数Ｄで乗算される。前のサイクルからの機能の結果は１サイクル遅延４５を介して供給されかつ符合４６においてフイードバツク項Ｆ．Ｖｏ（ｔ−１）を付与するためにフイードバツク定数Ｆで乗算される。比例、微分、およびフイードバツク項が次いで符合４８においてしきい値と比較される合計を形成するために符合４７で合計される。合計がしきい値Ｔｈ（ｔ）を超えるならば、その場合に出力Ｖｏ（ｔ）は符合４９において論理レベル１に設定される。さもなければ、出力は論理レベル０に設定される。
【００３８】
しきい値Ｔｈ（ｔ）は一定のしきい値にすることができる。しかしながら、制御装置の他の部分の許容誤差を収容するために、適合しきい値が使用されても良くかつこれが図２に示される。エラーＥ（ｔ）は符合５０において更新量Ｕで乗算されかつ次いで符合５１において現行のしきい値を形成するために以前のしきい値Ｔｈ（ｔ）に加算される。かくして、エラーＥ（ｔ）はＵに逆に関連付けられる時定数により積分されかつしきい値に加算される。制御装置が電力除去されるとき、現行のしきい値が装置が電力除去されるときに使用の不揮発性メモリに記憶される。
【００３９】
図１および図２に示した制御装置の特別な実行において、ターゲツト電圧Ｔａは２．５ボルトに、すなわち電源ライン１５と１６の途中で設定され、演算増幅器１３および１４の非反転入力に供給される３ボルト基準はかくしてそれに対してずらされている。比例利得Ｐは値０．８、微分利得Ｄは値３．１、帰還利得Ｆは値−３２０、そして更新量Ｕは０．００２の値を有した。ターゲツト電圧Ｔａは５１２ビツトとして示された。図２に示された制御アルゴリズムは４秒毎に実行されかつコンパレータ３５のウインドウしきい値は１ボルトないし４ボルトに設定された。前に明確に記述された値により、第２積分器は−１００／秒の利得を有する。共通の電源ライン１６のレベルでの電圧Ｖｏにより、第１積分器は３３３ボルト／秒の量で立ち上がる出力電圧Ａを付与するために−３ボルトの有効入力および−１１１／秒の利得を有する。出力電圧Ｖｏが高いレベルにあるとき、ダイオード２１は積分器がその出力Ａとして−１１１ボルト／秒のランプ率を付与するために＋２ボルトの有効入力電圧を有する−５５．６／秒の利得を有するように順方向にバイアスされる。
【００４０】
前に明確に記述された値により、ＭＣＵ４の通常の作動の間中、第２積分器の出力Ｂは１．８ないし３．２ボルトの間にあるように抑えられる。かくして、第２積分器の出力電圧はウインドウコンパレータ３５のウインドウ内に留まりかつ制御装置は普通に作用する。
【００４１】
例えば、繰り返しパターン用の一定の周波数が信号Ｖｏの代わりに出力ポートに発生されるような、ＭＣＵ４中に発生する欠陥の場合において、ランプ出力Ａは第１積分器の出力に発生される。万一回路条件に対する正確な整合の場合にのみ第１積分器出力は固定となる。かかる固定出力と第２積分器の基準電圧との間の正確な整合は同様により有りそうにない。かくして、実際には、第２積分器の出力電圧Ｂは遮断信号がラツチ３６を介して供給されるようにコンパレータ３５のウインドウの外に迅速に移動しそして第２積分器の出力信号Ｂは図２に示されたような完全に機能する閉ループ制御アルゴリズムがＭＣＵ中で正しく運転しているときのみコンパレータ３５のウインドウ内に保持される。ＭＣＵ中に発生する故障の場合において、出力信号Ｂは、単一サイクルのみ内の多くの状況において、ごく少ない計算サイクル中のウインドウしきい値の１つを超えて傾斜し、その結果負荷１２は欠陥または故障の場合に極度に迅速な応答時間により制御装置から係合解除される。
【００４２】
図３は出力電圧Ｖｏ、第１積分器出力信号Ａ、および制御装置の通常の作動中の第２積分器出力信号Ｂを示す。ＭＣＵ４は出力信号Ｂがコンパレータ３５のウインドウしきい値内に良好に残るようにカスケード接続された積分器を制御する。
【００４３】
種々の変更が本発明の範囲内でなされ得る。例えば、ウインドウしきい値がＭＣＵ４中の欠点の場合に通される同様に高い保証レベルを設けるために、信頼し得る広帯域雑音信号が積分器のいずれかに追加の入力として注入され得る。雑音信号は増幅されたダイオード型のごとき適切なランダム雑音源から到来するかも知れない。代替的に、擬似ランダム雑音源が使用され得るが、これが２進論理において実現されるため、ＭＣＵ４の技術と似ていなくない。雑音信号が第２積分器に注入されたとすると、その場合に一方の積分器のみにより欠点検出の高い保証を事実上得ることができる。両方の場合に、雑音源の故障はコンパレータウインドウ内に第２積分器の出力信号Ｂを維持するのに必要な減少されたレベルの制御作用により検出され得る。この場合に、警告が発せられかつＭＣＵの第２の故障の前にＭＣＵ４内で長く運転している診断コードにより遮断された制御装置はその検出を高めるために雑音の存在を要求するかも知れない。
【００４４】
図２に示された機能として実現された安全回路制御課題は特定の繰り返し量（上述された特別な例において４ミリ秒毎）で運転するように設計される。幾つかの適用ソフトウエアの機能不全が顕著に異なる量で運転している安全回路制御課題に結果として発生される機能不全を発生するならば、その場合に制御課題は安全回路を適切に制御することができずかつ第２積分器の出力信号Ｂはウインドウしきい値の１つを超える。装置はかくしてその最初のタイミング仕様から顕著に偏向させる誤った作動モードに入り込むソフトウエアの作用に対して保護される。さらに、装置は装置製造中の不正なＭＣＵタイミング水晶の偶発的な使用または使用中の水晶周波数の過酷なドリフトに対して保護される。
【００４５】
適用ソフトウエアの機能不全に対するさらに他の保護レベルは適用ソフトウエアの種々のモジユールを通して安全回路制御課題のソフトウエアを分布することにより設けられ得る。安全回路制御課題の各反復はその場合に分布される適用ソフトウエアの各モジユールの実施に依存する。これは、正しく作動している、安全回路制御課題を包含する、他の方法を残すかも知れない個々のソフトウエア過程の故障の作用に対して保護を設ける。
【００４６】
さらに他の装置確認は安全回路制御課題により実施され得る。装置の正しい作動は、通常の状況下で、安全回路制御課題の反復率に等しいかまたはそれより早い率で発生する外部遮断のごとき重大な事象に依存すべくなされ得る。安全回路制御課題の実施はその場合に認められた事象について条件付きでなされ得る。その事象が発生しないならば、安全回路制御課題の実施は禁止されかつ遮断が始められる。かかる装置は結局安全回路ハードウエアによつて外部の事象のタイミングを確かめる。
【００４７】
制御装置は、電力解除の間中、ＭＣＵ４が安全回路および遮断信号通路が正しく作動していることをチエツクするためにその固有の故障を真似るように構成される。ＭＣＵ４はこれを信号Ｂがウインドウしきい値を乱すように出力Ｖｏを制御するのを止めることにより行う。ＭＣＵ４はアクチユエータおよびセンサブロツク９に見られるようにアクチユエータＰＳＵ１０の出力を測定することによりこの真似られた故障の作用を監視する。遮断が特定の安全時間内に検出されないならば、ＭＣＵ４は診断コードを発しかつ修理が行われるまで制御装置を遮断する。
【００４８】
もしも装置が即座に再び電力付与されるならば、自己チエツクがアクチユエータ電源１０および断路器１１が次の作動の間中不能にされるように設定されているラツチ３６を結果として生じ得るために自己チエツクが電力解除の間中実施されるとき問題が発生するかも知れない。この問題を回避するために、図１の制御装置は図４に示されるように変更され得る。
【００４９】
図４に示した制御装置は、トランジスタ２５が省略され、ラツチ３６がＤ型ラツチであり、オアゲート３８がアクチユエータ電源１０および断路器１１を制御するその出力およびラツチ３６の出力およびコンパレータ３５の出力に接続されるその入力を備え、トランジスタ２６のコレクタが抵抗器３９を介してラツチ３６の非同期リセツト入力にかつツエナダイオード４０を介して共通の電源ライン１６に接続されることにより図１に示した制御装置と異なる。ウインドウコンパレータ３５の出力はラツチ３６のクロツク入力に接続され、クロツク入力は該クロツク入力の正に進む遷移でＤ入力から出力にデータを伝達する型からなる。ラツチのＤ入力は電源ライン１５に接続される。
【００５０】
図４の制御装置が電力増強されるとき、構成要素２６，２７および２９〜３４からなる遅延回路が予め定めた時間周期だけラツチ３６を不能にする。抵抗器３９およびツエナダイオード４０はラツチ３６への損傷を阻止するように該ラツチの非同期リセツト入力に印加される電圧を制限する。
【００５１】
オアゲート３８の出力は遅延回路出力が高いとき予め定めた周期中ウインドウコンパレータ３５の出力に追随する。その後、クロツク入力での高い信号は電源が除去されるまでＤ型ラツチ３６の出力でかつそれゆえオアゲート３８の出力で捕捉される。
【００５２】
ＭＣＵ４は前述されたようにその固有の故障を真似るかも知れない。しかしながら、図４に示した装置はラツチ３６がコンパレータ３５のウインドウしきい値の外に電圧Ｂのどのような偏移もラツチすべく用意される前にＭＣＵに電圧Ｂの制御を回復させる。
【００５３】
図４の装置はまた、必要ならば、電力増強において予め定めた最初の時間周期の間中ＭＣＵが安全回路機能の試験を実施するのを許容する。これ行うために、ＭＣＵはウインドウコンパレータしきい値を満足させるように電圧Ｂを制御し、電圧Ｂの制御を停止し、以前のごとく遮断を観察し、予め定めた周期の終了前に電圧Ｂの制御を回復する。この場合に予め定めた周期は適宜に延長される必要があるかも知れない。電力増強試験の利点は先行の非演算期間の間中それら自体単に明らかにした欠点の早期の検出を許容することである。
【００５４】
かくして故障が発生する場合に故障の非常に信頼し得る検出を提供しかつ安全関連負荷の遮断を保証する完全な安全機能を有する制御装置を提供することができる。安全回路は安価でかつ実施が簡単でありそしてこの機能を実施するためにＭＣＵにより要求される追加のソフトウエアは実質的なコストの不利または複雑さの不利を押し付けない。
【００５５】
【発明の効果】
叙上のごとく、本発明は、装置制御信号を形成する第１出力および第２出力を有するコントローラ、前記第２出力に接続される入力および前記コントローラの入力に接続される出力を有する前記で定義されたごとき非安定回路、および該非安定回路の出力に接続されかつ前記非安定回路の出力信号が許容し得る範囲外にあるときエラーを知らせるべく構成される検出器からなり、前記コントローラが、その正しい動作の間中、前記第２出力において前記非安定回路に許容し得る範囲内の出力信号を発生させる信号を供給すべく構成されている構成としたので、非常に信頼し得る故障の検出を提供しかつ故障の発生器の場合に安全関連負荷の遮断を保証する完全な安全機能を有する制御装置を提供することができる。
【図面の簡単な説明】
【図１】本発明の第１実施例を構成する制御装置の部分概略回路図である。
【図２】図１の制御装置のＭＣＵにより実施される機能の概略図である。
【図３】図１の制御装置の種々の点における時間に対する電圧を示すタイミング図である。
【図４】本発明の第２実施例を構成する制御装置の部分概略回路図である。図中同様な参照符合は同様な部分に言及している。
【符号の説明】
２第１電源（電子制御ユニツト電源保護回路）
４コントローラ（ＭＣＵ）
５第２出力
１０アクチユエータＰＳＵ
１１断路器
１３演算増幅器（第１積分器）
１４演算増幅器（第２積分器）
１９積分コンデンサ
２０抵抗器
２１ダイオード
２２抵抗器
２３積分項コンデンサ
２４抵抗器
２５不能回路
２６共通エミツタ接続トランジスタ（第１タイマ）
２７抵抗器
２９抵抗器
３０共通エミツタ接続トランジスタ
３３コンデンサ
３５検出器
３６ラツチ
３９抵抗器
４０ツエナダイオード（第２タイマ）

Claims

装置制御信号を形成する第１出力（５）および第２出力（５）を有するコントローラ（４）、
前記第２出力（５）に接続される入力および前記コントローラ（４）の入力（７）に接続される出力を有する非安定回路であって、入力電圧が予め定めた一定の安定状態にあるとき実質上一定の平衡出力電圧に等しい出力電圧であり、かつ３つのパラメータである前記出力電圧と前記平衡出力電圧との間の差異、前記出力電圧と前記平衡出力電圧との間の差異の第１時間差、および前記出力電圧と前記平衡出力電圧との間の差異の第２時間差が、入力電圧が安定状態から一時的に変化されかつ安定状態に戻された後、同時にゼロに近づかないように変化する出力電圧を供給する非安定回路（１３，１４，１９〜２４）、
および該非安定回路の出力に接続されかつ前記非安定回路（１３，１４，１９〜２４）の出力信号（Ｂ）が許容し得る範囲外にあるときエラーを知らせる検出器（３５）を有し、
前記コントローラ（４）が、その正しい作動の間中、前記第２出力（５）において前記非安定回路（１３，１４，１９〜２４）に許容し得る範囲内の出力信号を発生させる信号（Ｖｏ）を供給すべく構成されていることを特徴とする制御装置。
前記非安定回路（１３，１４，１９〜２４）が第１積分器（１３，１９〜２２）および第２積分器（１４，２３，２４）からなることを特徴とする請求項１に記載の制御装置。
前記第１および第２積分器（１３，１４，１９〜２４）の各々が該第１および第２積分器（１３，１４，１９〜２４）の供給電圧に対して非対称である基準電圧を受容すべく構成されることを特徴とする請求項２に記載の制御装置。
前記第１積分器（１３，１９〜２２）が第１入力電圧範囲用の第１時定数および前記第１電圧範囲と異なる第２電圧範囲用の前記第１時定数と異なる第２時定数を有することを特徴とする請求項２または３に記載の制御装置。
前記非安定回路が正帰還を備えた積分器からなることを特徴とする請求項１に記載の制御装置。
前記検出器（３５）はウインドウコンパレータからなることを特徴とする前記請求項のいずれか１項に記載の制御装置。
前記コントローラ（４）がデジタルコントローラであることを特徴とする前記請求項のいずれか１項に記載の制御装置。
前記非安定回路（１３，１４，１９〜２４）がアナログ回路であることを特徴とする前記請求項のいずれか１項に記載の制御装置。
前記コントローラ（４）用の第１電源および前記非安定回路（１３，１４，１９〜２４）用の第２電源（８）を特徴とする前記請求項のいずれか１項に記載の制御装置。
前記検出器（３５）の出力に接続されるラツチ（３６）を特徴とする前記請求項のいずれか１項に記載の制御装置。
前記コントローラ（４）が前記第２出力（５）においてそのデューティサイクルまたは密度が前記非安定回路（１３，１４，１９〜２４）の出力信号（ｂ）を前記コントローラ（４）の正しい作動の間中許容し得る範囲内に維持させるように変化するパルスからなる２状態信号（Ｖｏ）を供給すべく構成されることを特徴とする前記請求項のいずれか１項に記載の制御装置。
前記検出器（３５）により知らされたエラーに応答して前記第１出力による制御を不能にする手段（１０，１１）を特徴とする前記請求項のいずれか１項に記載の制御装置。
前記コントローラ（４）が前記非安定回路（１３，１４，１９〜２４）の診断試験を実施すべく構成されることを特徴とする前記請求項のいずれか１項に記載の制御装置。
前記コントローラ（４）が、診断試験の間中、前記非安定回路（１３，１４，１９〜２４）が許容し得る範囲外の信号を発生するように前記第２出力（５）において前記信号（Ｖｏ）を変更しかつエラーを知らせる前記検出器（３５）を監視すべく構成されることを特徴とする請求項１３に記載の制御装置。
前記コントローラ（４）は、診断試験中、前記検出器（３５）がエラーを知らせるのに失敗した場合に、前記第１出力（５）を不能にすべく構成されることを特徴とする請求項１４に記載の制御装置。
前記制御装置への電力の印加により開始する時間周期の間中時間信号を供給する第１タイマ（２６〜３４）および前記時間周期の間中前記非安定回路（１３，１４，１９〜２４）を不能にする不能回路（２５）を特徴とする請求項１４または１５に記載の制御装置。
前記不能回路（２５）が前記第２積分器をリセツトするリセツト回路からなることを特徴とする、請求項２に従属するとき請求項１６に記載の制御装置。
前記コントローラ（４）が前記装置への電力の印加の間中前記診断試験を実施すべく構成されることを特徴とする請求項１３ないし１７のいずれか１項に記載の制御装置。
前記コントローラ（４）が前記装置からの電力の除去の間中前記診断試験を実施すべく構成されることを特徴とする請求項１３ないし１８のいずれか１項に記載の制御装置。
前記コントローラ（４）がさらに、前記検出器（３５）によるエラーの報知に続く診断試験の間中、前記非安定回路（１３，１４，１９〜２４）が前記診断試験の終了を定義するために前記許容し得る範囲内に出力信号（Ｂ）を発生するように前記第２出力において前記信号（Ｖｏ）を回復すべく構成されることを特徴とし、そして前記診断試験の間中前記検出器（３５）からのエラー信号のラツチを阻止する第２タイマ（２６〜３４，３６，３９，４０）を特徴とする請求項１４に記載の制御装置。