JP2003099120A

JP2003099120A - システムの機能性の監視方法，その監視装置，メモリ素子，コンピュータプログラム

Info

Publication number: JP2003099120A
Application number: JP2002181991A
Authority: JP
Inventors: Diethard Loehr; レーアーディートハルト; Axel Strommer; ストローマーアクセル
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2001-06-27
Filing date: 2002-06-21
Publication date: 2003-04-04
Also published as: ITMI20021412A0; US6856940B2; FR2826745A1; FR2826745B1; ITMI20021412A1; US20030023405A1

Abstract

(57)【要約】【課題】ハードウェアに依存することなく，簡易かつ
容易に複雑な機能を有するシステムの機能性を監視す
る。【解決手段】システム１は下位に配置されたサブシス
テムを有し，あるいは上位に配置されたシステムの構成
部分であって，かつシステム１はセンサ３，アクター８
及び／又は機能計算機を含むハードウェアで実現された
要素を有し，システム１の入力信号２，出力信号７及び
機能を検査することによって，システム１の機能性を監
視する方法であって，監視方法は，−個々の機能Ｆ＿ｉ
ｊの機能性を監視するために，システム１の個々の機能
Ｆ＿ｉｊ内に設けられている複数の分散形監視機能ＵＦ
と，−監視機能ＵＦを調整するために，少なくとも１つ
の上位に配置された機能をカバーする監視インスタンス
ＵＵＩと，に構造化されている。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は，システムの機能性
の監視方法，その監視装置，メモリ素子，コンピュータ
プログラムに関し，さらに詳細には，システムの入力信
号，出力信号及び少なくとも１つの機能ユニットを検査
することによるシステムの機能性の監視方法等に関す
る。

【０００２】

【従来の技術】従来においては，システムの正確な機能
性を保証するために，システムの入力信号，出力信号及
び機能の監視を使用することが既知である。

【０００３】例えばＤＥ４１１４９９９Ａ１からは，車
両制御装置の機能性の監視方法が既知である。制御装置
のマイクロコンピュータ内で，制御装置の規定に従った
機能が実施される。それに対して，並列に，監視装置内
で，同一の規定に従った機能が少なくとも部分的に実施
される。マイクロコンピュータと監視装置の出力信号は
互いに比較され，この比較の結果に従って，制御装置が
正しく機能しているか否かが判断される。制御装置のエ
ラーのある機能性が検出された場合には，それに応じた
代替措置が実施される。

【０００４】かかる公報で提案されている監視方法は，
監視すべきシステムのハードウェアに著しく依存してお
り，極めて柔軟でない。提案された監視方法を，例えば
他の規定に従って機能を有する他の制御装置内で実施し
ようとする場合には，この監視装置内で実行される監視
方法も全て手直しして，他の制御装置の他の機能に適合
させなければならない。

【０００５】また，ＤＥ４４３８７１４Ａ１からは，制
御装置の機能性の監視方法が開示されている。制御装置
のマイクロコンピュータは，機能平面，監視平面及びコ
ントロール平面に分割されている。機能平面において
は，制御装置の規定通りの機能が実施される。監視平面
においては，実施された機能が，例えばしきい値比較又
は蓋然性チェックを用いて検査される。監視平面内で
は，制御装置の規定に従った全機能が実施されるのでは
なく，監視機能のみが実施される。それにもかかわら
ず，システムのエラーのある機能性の検出を十分な信頼
性をもって可能とするために，付加的なコントロール平
面が設けられており，その平面内で，システムのハード
ウェアにより実現された要素（例えばメモリ素子）の検
査がテストされて，質問−応答−通信を用いてマイクロ
コンピュータの正しい機能性が検査される。

【０００６】かかる公報で提案されている監視方法にお
いても，方法の構造が監視すべきシステムのハードウェ
アに依存しており，極めて柔軟でないという問題があ
る。監視方法を，他の規定に従った機能を有する他の制
御装置に移し替えることができるようにするためには，
監視方法を完全に手直ししてから，新しいハードウェア
及びソフトウェア条件に適応させなければならない。し
かしながら，これは面倒かつ高コストである。

【０００７】なお，本明細書におけるシステムという概
念は，例えば任意の車両制御装置であって，その規定に
従った機能は，車両内の１つ又は複数の機能を開ループ
制御及び／又は閉ループ制御することである。制御装置
の機能性は，制御装置の入力信号（センサ又は他の制御
装置からの），出力信号（アクター又は他の制御装置の
ための）及び機能を用いて検査することができる。制御
装置は，例えば車両の個々のサブ機能を開ループ制御及
び／又は閉ループ制御する他の制御装置の形式の，下位
に配置されたサブシステムを有することができる。下位
に配置されたサブシステムを備えたシステムの例は，車
両の電気的なブレーキ設備である。上位に配置された制
御装置は，どのようにして予め設定可能な制動力が車輪
の個々のブレーキシリンダに分配されるか，を定める。
例えば車輪のブレーキシリンダに対応付けられている，
下位に配置された制御装置は，ブレーキシリンダの駆動
を開ループ制御あるいは閉ループ制御する。

【０００８】

【発明が解決しようとする課題】したがって，本発明の
目的は，ハードウェアに依存することなく，簡易かつ容
易に複雑な機能を有するシステムの機能性を監視するこ
とが可能な新規かつ改良されたシステムの機能性の監視
方法，その監視装置，メモリ素子，コンピュータプログ
ラムを提供することにある。

【０００９】

【課題を解決するための手段】上記課題を解決するた
め，本発明の第１の観点においては，システム（１）は
下位に配置されたサブシステムを有し，あるいは上位に
配置されたシステムの構成部分であって，かつ前記シス
テム（１）はセンサ（３），アクター（８）及び／又は
機能計算機を含むハードウェアで実現された要素を有
し，前記システム（１）の入力信号（２），出力信号
（７）及び機能を検査することによって，システム
（１）の機能性を監視する方法であって，前記監視方法
は，−個々の機能（Ｆ＿ｉｊ）の機能性を監視するため
に，前記システム（１）の個々の機能（Ｆ＿ｉｊ）内に
設けられている複数の分散形監視機能（ＵＦ）と，−前
記監視機能（ＵＦ）を調整するために，少なくとも１つ
の上位に配置された機能をカバーする監視インスタンス
（ＵＵＩ）と，構造化されている，ことを特徴とするシ
ステムの機能性の監視方法が提供される。

【００１０】上記記載の発明では，ハードウェアに依存
することなく，簡易かつ容易に複雑な機能を有するシス
テムの機能性を監視することができる。ステムの監視す
べき各機能には，この機能の機能性を監視するための監
視機能が対応付けられている。各システムは，その中に
含まれる機能によって完全に記述される。個々の機能に
おいては，実現の種類（ハードウェア又はソフトウェ
ア）の間で区別は行われない。監視すべきシステムのた
めの監視方法は，効果的な水平の構造化である。ここ
で，機能とは，少なくとも１つの入力と出力とを有する
考察ユニットである。機能の各入力状態は，出力状態に
一義的に対応付けることができる。機能は，ハードウェ
ア回路として，あるいはソフトウェア回路として実現す
ることができる。

【００１１】また，前記監視機能（ＵＦ）は，階層的な
構造で整理されている，如く構成すれば，各機能は，そ
の機能によって使用される入力信号の信頼性を独立して
保証される。このことにより，機能は，それが階層構造
の層のどれに対応付けられているかに応じて，その機能
によって使用される入力信号と，そして場合によっては
その前に接続されている機能のステータス情報のみにア
クセスすることができ，あるいは上位に配置されている
監視層の付加的な情報を考慮することもできる。したが
って，監視すべきシステムのための監視方法の垂直の構
造化が提案される。

【００１２】また，上位に配置された監視機能（ＵＦ）
は，下位に配置されている監視機能（ＵＦ）において，
前記入力信号（２）のステータスを照会する，如く構成
するのが好ましい。

【００１３】また，前記システム（１）の機能性にエラ
ーがある場合に，代替措置がとられ，その場合に前記代
替措置は，各々エラーのある機能について自由に構成可
能である，如く構成することができる。代替措置は，エ
ラーが認識されると即座に，監視される機能の規定に従
った機能の代わりに，あるいはそれに加えて実施するこ
とができる。テーブルを介して，検出されたエラー種類
に従って所定の代替措置を選択して，その後作動させる
ことができる。優先順位の高い機能の範囲内で検出され
たエラーに基づいて作動される代替措置は，まだエラー
の診断とエラー登録の前に行われる。

【００１４】また，前記システム（１）の機能性にエラ
ーがある場合に，代替措置がとられ，その場合に前記代
替措置は，対応付けられている監視機能（ＵＦ）によっ
てエラーがあると認識された機能（Ｆ＿ｉｊ）の近傍で
とられる，如く構成すれば，とられる代替措置が，発生
したエラーのできるだけ近傍に投入されることを保証す
ることができる。これは，監視方法が構造化されて初め
て可能になるものである。

【００１５】また，少なくとも１つの上位に配置された
監視インスタンス（ＵＵＩ）は，エラーメモリ（ＮＶ
Ｍ）の管理，エラーメモリ（ＮＶＭ）への登録の書込み
と読出しを調整する，如く構成すれば，エラーメモリ
は，その中に含まれている情報を評価するために，制御
装置の駆動の間，あるいは後の時点で読み出すことがで
きる。評価された情報は，新しいシステムを設計する際
に考慮することができる。

【００１６】また，少なくとも１つの上位に配置された
監視インスタンス（ＵＵＩ）は，個々の監視機能（Ｕ
Ｆ）において監視ステータスを要請あるいは照会する，
如く構成することができる。

【００１７】また，少なくとも１つの上位に配置された
監視インスタンス（ＵＵＩ）は，個々の監視機能（Ｕ
Ｆ）の監視ステータスを診断テスターユニット（２１）
に供給する，如く構成することができる。

【００１８】また，少なくとも１つの上位に配置された
監視インスタンス（ＵＵＩ）は，システム（１）の個々
の要素（３，８）を所望に駆動するために，診断テスタ
ーユニット（２１）に接続するためのインターフェイス
を提供する，如く構成すれば，例えば監視されるシステ
ムのアクターを所望に駆動することができる。

【００１９】また，前記監視機能（ＵＦ）は，個々の機
能（Ｆ＿ｉｊ）にとって重要なローカルな環境データを
ローカルに検出して，上位に配置されている監視インス
タンス（ＵＵＩ）に供給する，如く構成することができ
る。ローカルな環境データは，電気的なバッテリマネー
ジメント（ＥＢＭ）−制御装置として形成されたシステ
ムについては，例えばバッテリ電圧である。ローカルな
環境データの検出は，例えばエラーカウンタによって作
動させることができる。カウンタの最初のインクリメン
トの時点で，ローカルな環境データが検出される。カウ
ンタのデクリメントは，ローカルな環境データのリセッ
トをもたらす。このようにして検出された環境データ
は，最大のカウンタ状態を上書きする場合に初めて（例
えば障害からエラーに移行する際に予め設定可能なしき
い値を越えた場合），上位に配置された監視インスタン
スに伝達される。環境データは，付加情報（温度）であ
って，その付加情報はエラーと共に格納されて，後にエ
ラーを分析するために利用される。

【００２０】また，少なくとも１つの上位に配置された
監視インスタンス（ＵＵＩ）は，グローバルな環境デー
タを中央で検出し，前記グローバルな環境データは，エ
ラーが検出された場合に前記エラーと共にエラーメモリ
（ＮＶＭ）に格納される，如く構成するのが好ましい。
少なくとも１つの上位に配置された監視インスタンス自
体は，グローバルな環境データを中央で検出する。下位
に配置された監視機能から，エラーが存在するという情
報が来る。その場合に上位に配置された監視インスタン
スは，実際のグローバルな環境データをエラーと共に格
納する。特殊な場合（例えばグローバルなデータがエラ
ーの説明を可能にしない場合）には，ローカルな環境デ
ータが下位に配置された監視機能から上位に配置された
監視インスタンスへ伝達されて，エラーと共に格納され
る。グローバルな環境データは，特殊な機能のためだけ
でなく，複数の機能にとっても重要なデータである。グ
ローバルな環境データの例は，周囲温度又は車両の内燃
機関の温度である。

【００２１】上記課題を解決するため，本発明の第２の
観点においては，システム（１）は，下位に配置された
サブシステムを有し，あるいは上位に配置されたシステ
ムの構成部分であって，前記システム（１）は，センサ
（３），アクター（８）及び／又は機能計算機を含むハ
ードウェアで実現された要素を有する，前記システム
（１）の入力信号（２），出力信号（７）及び機能を検
査することによって，システム（１）の機能性を監視す
る方法であって，−前記システム（１）の個々の機能
（Ｆ＿ｉｊ）内に設けられた複数の分散形の監視機能
（ＵＦ）内で個々の機能（Ｆ＿ｉｊ）の機能性が監視さ
れ，かつ，−少なくとも１つの上位に配置された機能を
カバーする監視インスタンス（ＵＵＩ）内で，前記監視
機能（ＵＦ）が調整される，ことを特徴とするシステム
の機能性の監視方法が提供される。

【００２２】上記記載の発明では，ハードウェアに依存
することなく，簡易かつ容易に複雑な機能を有するシス
テムの機能性を監視することができる。

【００２３】上記課題を解決するため，本発明の第３の
観点においては，請求項１から１２項のうちいずれか１
項に記載の方法を実施することが可能なコンピュータプ
ログラムが格納されている，ことを特徴とするシステム
（１）の機能性を監視する装置のためのメモリ素子が提
供される。メモリ素子上にはコンピュータプログラムが
格納されており，そのコンピュータプログラムは計算装
置上，特にマイクロプロセッサ上で実行可能であって，
かつ本発明にかかる方法を実施することができる。な
お，メモリ素子として，特に電気的なメモリ媒体，例え
ばリードオンリーメモリ，ランダムアクセスメモリ又は
フラッシュメモリを使用することができる。

【００２４】上記課題を解決するため，本発明の第４の
観点においては，コンピュータに対し，請求項１から１
２項のいずれか１項に記載の方法を実施させる，ことを
特徴とするコンピュータプログラムが提供される。

【００２５】また，前記コンピュータプログラムは，メ
モリ素子に（特にリードオンリーメモリ，ランダムアク
セスメモリ又はフラッシュメモリ）に格納されている，
如く構成すれば，効果的である。

【００２６】上記課題を解決するため，本発明の第５の
観点においては，下位に配置されたサブシステムを有
し，あるいは上位に配置されたシステムの構成部分であ
り，センサ（３），アクター（８）及び／又は機能計算
機を含むハードウェアで実現された要素を有しているシ
ステム（１）の入力信号（２），出力信号（７）及び機
能を検査する手段を有する，システム（１）の機能性を
監視する装置であって，前記装置は：−前記システム
（１）の個々の機能（Ｆ＿ｉｊ）内に設けられた個々の
機能（Ｆ＿ｉｊ）の機能性を監視するための分散形の監
視機能（ＵＦ）と，−前記監視機能（ＵＦ）を調整する
ための，少なくとも１つの上位に配置された，機能をカ
バーする監視インスタンス（ＵＵＩ）と，を有すること
を特徴とするシステムの機能性の監視装置が提供され
る。

【００２７】上記記載の発明では，ハードウェアに依存
することなく，簡易かつ容易に複雑な機能を有するシス
テムの機能性を監視することができる。

【００２８】

【発明の実施の形態】以下に添付図面を参照しながら，
本発明の好適な実施の形態について詳細に説明する。な
お，本明細書及び図面において，実質的に同一の機能構
成を有する構成要素については，同一の符号を付するこ
とにより重複説明を省略する。

【００２９】（第１の実施の形態）まず，図１に基づい
て，本実施形態にかかるシステムの機能性の監視装置に
ついて説明する。なお，図１は，本実施形態にかかるシ
ステムの機能性の監視装置の構成を示すブロック図であ
る。

【００３０】図１に示すように，本実施形態にかかるシ
ステムの機能性の監視装置は，制御装置として形成され
たシステム１を示す。かかるシステムにより，本実施形
態にかかる機能性を監視することができる。制御装置１
は，メモリ素子３０を有しており，そのメモリ素子は好
ましくは電気的なメモリ媒体として，特に消去可能かつ
プログラミング可能なリードオンリーメモリ（ＥＰＲＯ
Ｍ）として形成されている。

【００３１】メモリ素子３０上には，制御装置１の計算
装置３１上で実行された場合に，本実施形態にかかる監
視方法を実施するのに好適なコンピュータプログラムが
格納されている。計算装置３１は，特にマイクロプロセ
ッサとして形成されている。計算装置３１上でコンピュ
ータプログラムを実施するために，プログラムは，全部
あるいは指令に応じてメモリ素子３０から計算装置３１
上に転送される。

【００３２】コンピュータプログラム内には，実施形態
にかかる監視方法の構造化が，システムの各監視すべき
機能に監視機能が対応付けられ，かつ上位に配置された
監視インスタンスが監視機能を調整するために設けられ
ているように，実装されている。

【００３３】次に，本実施形態にかかるシステムの機能
性の監視方法について，図２〜図５に基づいて説明す
る。なお，本実施形態にかかるシステムの機能性の監視
方法は，特に機能に従った水平の構造に関する。

【００３４】本実施形態にかかるシステムは，例えば車
両制御装置として，特に電気的なバッテリマネージメン
ト（ＥＢＭ）として形成されている。システムは，サブ
システムを有しており，そのサブシステムは例えば計算
機ユニットからなり，あるいはＡＳＩＣ（Ａｐｐｌｉｃ
ａｔｉｏｎＳｐｅｃｉｆｉｃＩｎｔｅｇｒａｔｅｄ
Ｃｉｒｃｕｉｔ）として形成されている。さらに，シ
ステムは，例えば電気的なバッテリ−マネージメント−
機能，バッテリシミュレーションなどの機能を有してい
る。そして，システムは，例えばアクター又はセンサと
して形成されているハードウェアで実現された要素を有
している。

【００３５】システムの監視に対する最低要請は，いつ
システムがもはや規格化（specification）されたよう
に行動しなくなったかを認識できることである。理想的
な場合においては，さらに，システムはエラーが発生し
た場合でも規格化されて行動することを保証することが
できる。これは，冗長性が存在することを前提としてお
り，その冗長性はコストの理由から通常は安全上重要で
あると分類されたシステムにおいてのみ経済的に支持す
ることができる。従って，電気的なバッテリマネージメ
ントの領域におけるシステムについては，システムの監
視は，大体において，いつシステムがもはや規格化され
たように行動しなくなったかを認識することに限定され
る。

【００３６】この関連において，「規格化」とは，シス
テムに課せられる全ての要請である。要請は，例えば：
「故障した場合の安全（フェイルセーフ：Ｆａｉｌ−ｓ
ａｆｅ）」，「エラー許容誤差（Ｆａｕｌｔ−ｔｏｌｅ
ｒａｎｃｅ）」，「機能的安全性（Ｆｕｎｃｔｉｏｎａ
ｌ−ｓａｆｅｔｙ）」又は「制御装置は６Ｖと２０Ｖの
間の駆動電圧については制限されずに機能可能」とする
ことができる。

【００３７】これらの要請は，各システムについて異な
っているので，本実施形態にかかる方法のように，普遍
的に有効な監視コンセプトは，種々の要請を有する様々
なシステムに柔軟に使用可能であることを特徴としてい
る。これは，それに応じた機能構造を必要とし，その機
能構造は，種々のシステムが安全に関して異なる要請を
満足させる場合でも，監視要素を種々のシステムのため
に使用することができる。

【００３８】監視方法は，システムの本来の開ループ制
御又は閉ループ制御プロセスに対して並列に実行され，
例えば計算容量の消費によって，それらの制御プロセス
の機能を制限してはならない。監視の結果（エラー）
に，システムは直接反応することができる。さらに，エ
ラーは，エラーメモリに永続的に格納されて，エラー分
析に利用することができる。

【００３９】診断に該当するのは，例えば格納されてい
るエラーをエラー分析に供給する可能性である。そのた
めに，好適なインターフェイスを必要とする場合もあ
る。このインターフェイスを介して好適な診断テスター
をシステムに接続させることができるので，診断テスタ
ーからシステムへのデータフロー，及びシステムから診
断テスターへのデータフローが可能である。

【００４０】エラーの診断は，通常，工場内で診断テス
ターを介して呼び出すことができる監視の構成部分であ
る。しかし，診断機能を制御装置内に統合し，制御装置
の規定通りの駆動中に呼び出すこともできる。

【００４１】診断は，以下の可能性を提供する： −エラーメモリを読み出して，消去する， −選択された機能の出力量を読み出す（例えばセンサ信
号）， −選択された機能の入力信号の値を変更する（例えばア
クターを駆動するため），及び −制御装置固有のデータを記憶する（例えばシリーズナ
ンバー）

【００４２】さらに，診断に該当するのは，比較的長い
期間にわたって収集されて，システム行動の分析に必要
とされるデータ列（いわゆるヒストリーデータ）の計算
である（開発支援するデータ）。ヒストリーデータは，
システムの機能にとっては不要である。

【００４３】次に，図２に基づいて，本実施形態にかか
る監視方法を用いて監視すべきシステムの内部の各種機
能の構造を説明する。なお，図２は，本実施形態にかか
る監視方法を用いて監視すべきシステムの内部の各種機
能の構造を示す説明図である。なお，図２には，ＥＢＭ
−制御装置として形成されているシステム１の構造が示
されている。

【００４４】各システム１は，図２に示すように，その
機能Ｆ＿ｉｊによって完全に記述される。機能Ｆ＿ｉｊ
間の情報の流れは，線で示されている。即ち，実線は優
先順位の低い機能の監視用，破線は他の全ての（優先順
位の高い）機能の監視用である。機能Ｆ＿ｉｊにおいて
は，この平面上で実現の種類（ハードウェア又はソフト
ウェア）の間で区別する必要はない。全ての機能Ｆ＿ｉ
ｊは，同一の機能構造を有しており，それについては，
後に図３を用いて詳細に説明する。

【００４５】図２に示すシステム１において，機能Ｆ＿
ｉｊは，左から右へ信号処理が行われるように配置され
ている。制御装置１は，センサ３から入力信号２を得
る。ＥＢＭ−制御装置の例においては，入力量２は，例
えばバッテリ電圧である。センサ３は，バッテリ電圧を
検出するための電圧測定装置として形成されている。

【００４６】信号編集機能Ｆ＿１１，Ｆ＿１２内で，入
力信号２は，制御装置１のマイクロプロセッサ４のため
に利用可能なフォーマットに変換される。ＥＢＭ−制御
装置の例においては，例えば分圧器が設けられており，
その分圧器がバッテリ電圧をマイクロプロセッサ４に適
したレベルに分割する。マイクロプロセッサ４のための
入力量は，参照符号５で示されている。

【００４７】入力量５は，マイクロプロセッサ４によっ
て，制御装置１への要請に従って好適な出力量６に処理
される。入力量５を出力量６に処理するために，マイク
ロプロセッサ４内には種々の機能Ｆ＿２１，Ｆ＿２２，
Ｆ＿２３，Ｆ＿２４，Ｆ＿２５，Ｆ＿２６及びＦ＿２７
が設けられている。ＥＢＭ−制御装置の例において，マ
イクロプロセッサ４によって読み込まれた電圧は，アル
ゴリズムのための入力量として用いられ，そのアルゴリ
ズムの結果はマイクロコンピュータの出力ポートを記述
するために使用される。

【００４８】マイクロプロセッサ４の出力量６は，多く
の場合に，好適な出力信号７が提供される前に，さらに
信号編集機能Ｆ＿４１，Ｆ＿４２及びＦ＿４３の形状の
信号編集を通過しなければならない。ＥＢＭ−制御装置
の例において，信号編集は例えば，ジェネレータ制御器
の形状のアクチュエータ８を駆動するために，マイクロ
プロセッサ４の出力量６の増幅を有している。

【００４９】図２においては，制御装置１の内部の，あ
るいは制御装置１の機能Ｆ＿ｉｊの内部の全ての監視要
素（監視機能ＵＦ）は，上位に配置された監視インスタ
ンス（ＵＵＩ）への通信接続を有する機能Ｆ＿ｉｊのハ
ッチングされた領域として示されている。

【００５０】本実施形態においては，監視機能性は直接
制御装置１の個々の機能Ｆ＿ｉｊに対応付けられる。監
視機能ＵＦは，全システムにわたって分配されている。
ＥＢＭ−制御装置の例では，機能「電圧測定」において
電圧情報はマイクロプロセッサ内で直接機能において，
純粋に機能入力量に基づいて，最小と最大の電圧につい
て検査することができる。この監視機能は，機能「電圧
測定」に統合されている。機能Ｆ＿ｉｊを監視すべき
か，そしてどのくらい監視すべきかは，各機能について
個別に決定される。監視方法を，それぞれ監視すべき機
能Ｆ＿ｉｊに対応付けられた複数の監視機能に分割する
ことは，本発明の重要な部分を表している。

【００５１】制御装置１は，監視モジュールＵＭの形式
の，計算機外部の，冗長な監視ユニットを有しており，
その監視モジュールによってマイクロプロセッサ４の機
能が正しいか否かが検査される。この検査は，特に重要
である。これは，マイクロプロセッサ４は，制御装置１
の圧倒的な数の機能Ｆ＿ｉｊを実施するためにも，した
がって監視機能ＵＦを実施するためにも責任を有してい
るからである。

【００５２】各監視機能ＵＦは，中央の個所，いわゆる
上位に配置された監視インスタンスＵＵＩにステータス
を供給する。この中央の個所において，全ての監視され
る機能Ｆ＿ｉｊのステータス情報が提供される。このこ
とにより，直接，監視個所において可能であるよりも，
広範な監視の可能性が得られる。

【００５３】上位に配置された監視インスタンスＵＵＩ
は，機能Ｆ＿ｉｊのステータスを考慮するだけでなく，
このステータスを他の機能Ｆ＿ｉｊのステータス情報に
関係付けることもできる。ＥＢＭ−制御装置の例におい
ては，ドライバーモジュールの出力の監視は，このモジ
ュールの自己診断の結果を評価することによって行われ
る。しかし，例えば不足電圧監視によって認識可能な，
最低電圧を下回った場合に，モジュール自己診断は機能
を発揮せず，裏付けのないエラー登録を供給する。従っ
て，このエラー登録は，考慮されてはならず，モジュー
ルエラーの発生直前に不足電圧エラーが発見されてい
る。この情報結合は，上位に配置されている監視インス
タンスＵＵＩによって行われる。

【００５４】さらに，上位に配置されている監視インス
タンスＵＵＩは，全ての認識可能なエラーのためのエラ
ー処理に利用することのできる構造を用意する。特に，
例えば，エラーステータス認識，エラーに対する必要な
情報のリストアップ及びエラーを揮発性メモリから不揮
発性メモリＮＶＭへ格納する格納機構が該当する。

【００５５】次に，図３に基づいて，本実施形態にかか
る制御装置構造の個々の要素（個々の機能）を詳細に説
明する。なお，図３は，本実施形態にかかる監視コンセ
プトによって設定される機能構造を示す説明図である。
かかる機能構造によって制御装置１の個々の機能Ｆ＿ｉ
ｊを説明する

【００５６】まず，図３に示すように，本実施形態にか
かる監視コンセプトによって設定される機能構造におい
て，システム１は，種々の機能Ｆ＿ｉｊからモジュラー
状に構成されている。かかる統一的な機能構造により，
システム１内部で機能Ｆ＿ｉｊを対応付けられた監視機
能ＵＦと共に簡単に交換することができる。

【００５７】各機能Ｆ＿ｉｊは，コア機能性１０を有す
る。これは，機能Ｆ＿ｉｊの規定に従った課題のことで
ある。コア機能性１０は，情報を送信及び受信し，他の
機能Ｆ＿ｉｊ（図示せず）と情報を交換することができ
る。かかる情報交換は，機能ブロック１０の上方領域内
の双方向矢印によって示されている。さらに，サービス
機能性１１が設けられており，コア機能性１０と診断テ
スターとの間のインターフェイスを形成している。この
インターフェイスを介して， −コア機能性１０の本来の出力量，また −通常駆動においては出力されない機能Ｆ＿ｉｊの所定
の内部の変量，を読み出すことができる。さらに， −選択された機能Ｆ＿ｉｊの出力量を診断テスターによ
って調節することができる。

【００５８】第３の構造素子として，機能Ｆ＿ｉｊ内に
監視機能性ＵＦが含まれている。監視機能性ＵＦによっ
て，コア機能性の入力量又は出力量あるいはその両者が
所定の判断基準について監視される。この判断基準は，
各機能Ｆ＿ｉｊについて，個別に決定されなければなら
ない。エラーが検出される前に，以下のステップを通過
しなければならない。

【００５９】−機能Ｆ＿ｉｊの監視を導入する前に，ま
ず検査のための所定の入力条件が満たされなければなら
ない。入力条件は，裏付けのないエラー検出とエラー登
録を防止するためにだけ，監視を実施することができる
条件である。例えば切り換え可能なセンサパスを監視し
ようとする場合には，入力条件は，センサが検査の時点
でアクティブに切り替わっていなければならないことで
ある。 −さらに，検査条件を決定しなければならず，かつ −エラーが検出され，あるいは登録される前に，障害が
アクティブであると認識されなければならない期間を決
定しなければならない。

【００６０】サービス機能性１１と監視機能性ＵＦは，
上位に配置されている監視インスタンスＵＵＩと情報を
交換することができる。かかる情報交換は，機能ブロッ
ク１１とＵＦの上方部分の双方向矢印によって明らかに
されている。

【００６１】例えば，機能Ｆ＿ｉｊ内にエラーが発生し
ているか否かに関する説明を供給する監視機能ＵＦのス
テータス信号は，後段に接続されている機能Ｆ＿ｉｊの
１つによって上位に配置されている監視インスタンスＵ
ＵＩを介して照会することができる。監視機能ＵＦの特
色は，システム１の内部でコア機能に対応付けられてい
る優先順位に向けられている。優先順位は，機能Ｆ＿ｉ
ｊがエラー場合においてシステム１を，予め設定可能な
限界リスクを上回る状態に移行させる可能性があるか否
かに依存している。限界リスクは，各システム１につい
て，個別に決定されなければならない。

【００６２】エラーが検出された場合には，必要に応じ
て好適な対抗手段，いわゆる代替機能性ＥＦが実施され
なければならない。ＥＢＭ−制御装置の例においては，
測定不可能なバッテリ量を計算するためのアルゴリズム
は，その入力量の１つ又は複数が蓋然的でないというエ
ラー情報を得ることができる。その結果，アルゴリズム
は予め設定された代替値を使用する。従って，この場合
に，代替機能性は，エラー場合において代替値を使用す
ることにある。

【００６３】実施すべき代替機能性は，監視機能ＵＦの
結果に従ってリスト１２から選択される。その場合に，
リスト１２から該当する代替機能性ＥＦＡ…ＥＦＺへ分
岐して，それを実施する。

【００６４】次に，図４に基づいて，本実施形態にかか
る上位に配置された監視インスタンスＵＵＩについて説
明する。なお，図４は，本実施形態にかかる上位に配置
された監視インスタンスＵＵＩの構造素子を示す説明図
である。

【００６５】上位に配置された監視インスタンスＵＵＩ
は，複数の課題を満たす。主要課題の１つは，後のエラ
ー分析のために制御装置１の全ての認識可能なエラーを
検出してアーカイブに入れることである。

【００６６】所定のエラーに対応付けられる全ての必要
なデータを編成する中央のユニットは，エラーパスマネ
ージャＥＰＭである。各認識可能なエラーは，例えばエ
ラーナンバーを介して，一義的に特定可能でなければな
らない。エラーのタイプを検出し，エラーを判定するた
めの所定の付加情報をエラーに対して格納し，かつ所定
のエラー固有のシーケンスが認識されていなければなら
ない。これらの情報は，エラーパスマネージャＥＰＭに
よって各エラーについてエラーパス内で編成されて常に
更新される。

【００６７】エラーステータスマネージャＥＳＭは，エ
ラーが発生しているか，そして発生している場合には，
どのタイプのエラーであるか，を求める。認識可能なエ
ラーの全てのステータス情報は，エラーステータスマネ
ージャＥＳＭに知られている。ステータスが変化した場
合には，エラーパスマネージャＥＰＭによってステータ
ス情報が該当するエラーパスへ引き渡される。

【００６８】各エラーには，所定の付加情報，いわゆる
環境データＵＤが対応付けられている。環境データＵＤ
は，システム１の選択された付加変量（例えば温度又は
速度）であって，それらは環境データマネージャＵＤＭ
によって常にアクチュアルな形式で用意され，エラーパ
スマネージャＥＰＭによって正しい時期にエラー登録す
るためにエラーパス内に格納される。その場合に，各エ
ラーと共に格納される環境データＵＤと，選択されたエ
ラーと共にだけ格納される環境データＵＤを区別するこ
とができる。

【００６９】このようにして編成されたエラーパスは，
メモリに揮発的に記憶され，好適なシステム状態の場合
だけに不揮発性メモリ（Ｎｏｎ−ｖｏｌａｔｉｌｅＭ
ｅｍｏｒｙ，ＮＶＭ）に書き込まれる。エラーメモリ
は，例えばＥＥＰＲＯＭ（Ｅｌｅｃｔｒｏｎｉｃａｌｌ
ｙＥｒａｓａｂｌｅａｎｄＰｒｏｇｒａｍｍａｂ
ｌｅＲｅａｄＯｎｌｙＭｅｍｏｒｙ）として形成
されている。不揮発性メモリＮＶＭへの不必要に多いメ
モリアクセスを防止するために，メモリへのアクセス
は，それが実際にも必要である場合にだけ行われる。こ
の調整は，メモリＮＶＭへの，そしてメモリからのデー
タフローを制御するエラーメモリマネージャＥＭの課題
である。

【００７０】アーカイブのデータを分析に供給すること
ができるようにするために，エラーパスマネージャＥＰ
Ｍは好適なインターフェイス２０を提供する。このイン
ターフェイス２０は，例えばＫＷＰ−２０００−プロト
コル（ＩＳＯ／ＤＩＳ１４２３０−４）に基づいてお
り，好適な診断テスター２１を駆動することができる。
即ち，制御装置１と診断テスター２１との間のデータフ
ローが可能である。エラーメモリＮＶＭの読出し及び消
去の他に，このインターフェイス２０は，さらに，選択
された機能の出力量（例えばセンサ変量）を読み出し，
選択された機能の入力量の値を変更し（例えばアクチュ
エータを駆動するため）かつ制御装置固有のデータを記
憶する（例えばシリーズナンバー）可能性も提供する。

【００７１】他のインターフェイス２２は，認識された
エラーに従って，グローバルなステータス情報を他の制
御装置に提供するために使用される。これは，例えばア
ーマチュアボードの表示器を駆動し，かつ車両の運転者
にエラーを出力するために用いられる。

【００７２】上位に配置された監視インスタンスＵＵＩ
の他の課題は，いわゆるグローバルなサービス２３であ
る。それは，システム行動を分析するためだけに用いら
れ，制御装置１の規定に従った駆動のためには必要とさ
れない機能である。例えば，制御装置寿命全体にわたる
制御装置１の平均の非作動電流のような全てのヒストリ
ーデータが該当する。

【００７３】次に，図５に基づいて，本実施形態にかか
るエラーパスマネージャ（ＥＰＭ）−妥当性チェッカー
の形式の上位に配置された監視インスタンスＵＵＩの付
加的な機能性について説明する。なお，図５は，エラー
パスマネージャ（ＥＰＭ）−妥当性チェッカーの形式の
上位に配置された監視インスタンスＵＵＩの付加的な機
能性を示す説明図である。

【００７４】図５に示すように，ＥＰＭ−妥当性チェッ
カーは，連続エラーを認識して回避するために使用され
る。妥当性チェッカーは，エラーメモリＮＶＭ内に，原
因として他のエラーを有するエラー登録が格納されるこ
とを阻止する（連続エラー認識）。ＥＢＭ−制御装置の
例においては，ドライバーモジュールの出力の監視が，
このモジュールの自己診断の結果を評価することによっ
て行われる。しかし，不足電圧監視によって認識可能で
ある最低電圧を下回った場合に，モジュール自己診断は
機能せず，裏付けのないエラー登録を供給する。このエ
ラー登録は考慮されてはならない。これは，認識された
エラーとは異なるエラーに基づいているからである。従
って，エラー登録は，モジュールエラーが発生する直前
に不足電圧エラーが検出されている場合には，考慮して
はならない。この情報結合を行うのがＦＰＭ−妥当性チ
ェッカーである。

【００７５】

【発明の効果】ハードウェアに依存することなく，簡易
かつ容易に複雑な機能を有するシステムの機能性を監視
することができる。

【図面の簡単な説明】

【図１】本実施形態にかかるシステムの機能性の監視装
置の構成を示すブロック図である。

【図２】本実施形態にかかる監視方法を使用して監視す
べきシステムの内部の各種機能の構造を示す説明図であ
る。

【図３】本実施形態にかかる監視方法によって設定され
る監視すべきシステム内部の機能構造を示す説明図であ
る。

【図４】本実施形態にかかる監視方法の上位に配置され
た監視インスタンスの構造素子を示す説明図である。

【図５】図３に示す上位に配置された監視インスタンス
の一部を示す説明図である。

【符号の説明】

１システム２入力信号３センサ４マイクロプロセッサ５入力量６出力量８アクチュエータ１０コア機能性１１サービス機能性１２リスト２０インターフェイス２１診断テスター２３サービス３０メモリ素子３１計算装置

───────────────────────────────────────────────────── フロントページの続き (72)発明者アクセルストローマードイツ連邦共和国 74336 ブラッケンハイムイムゾマーライン１Ｆターム(参考） 5H223 CC08 DD03 DD05 EE04 EE11

Claims

【特許請求の範囲】

【請求項１】システムは下位に配置されたサブシステ
ムを有し，あるいは上位に配置されたシステムの構成部
分であって，かつ前記システムはセンサ，アクター及び
／又は機能計算機を含むハードウェアで実現された要素
を有し，前記システムの入力信号，出力信号及び機能を
検査することによって，システムの機能性を監視する方
法であって，前記監視方法は，−個々の機能の機能性を
監視するために，前記システムの個々の機能内に設けら
れている複数の分散形監視機能と，−前記監視機能を調
整するために，少なくとも１つの上位に配置された機能
をカバーする監視インスタンスと，に構造化されてい
る，ことを特徴とするシステムの機能性の監視方法。
【請求項２】前記監視機能は，階層的な構造で整理さ
れている，ことを特徴とする請求項１に記載のシステム
の機能性の監視方法。
【請求項３】上位に配置された監視機能は，下位に配
置されている監視機能において，前記入力信号のステー
タスを照会する，ことを特徴とする請求項２に記載のシ
ステムの機能性の監視方法。
【請求項４】前記システムの機能性にエラーがある場
合に，代替措置がとられ，その場合に前記代替措置は，
各々エラーのある機能について自由に構成可能である，
ことを特徴とする請求項１，２あるいは３項のうちのい
ずれか１項に記載のシステムの機能性の監視方法。
【請求項５】前記システムの機能性にエラーがある場
合に，代替措置がとられ，その場合に前記代替措置は，
対応付けられている監視機能によってエラーがあると認
識された機能の近傍でとられる，ことを特徴とする請求
項１，２，３あるいは４項のうちのいずれか１項に記載
のシステムの機能性の監視方法。
【請求項６】少なくとも１つの上位に配置された監視
インスタンスは，エラーメモリの管理，エラーメモリへ
の登録の書込みと読出しを調整する，ことを特徴とする
請求項１，２，３，４あるいは５項のうちのいずれか１
項に記載のシステムの機能性の監視方法。
【請求項７】少なくとも１つの上位に配置された監視
インスタンスは，個々の監視機能において監視ステータ
スを要請あるいは照会する，ことを特徴とする請求項
１，２，３，４，５あるいは６項のうちいずれか１項に
記載のシステムの機能性の監視方法。
【請求項８】少なくとも１つの上位に配置された監視
インスタンスは，個々の監視機能の監視ステータスを診
断テスターユニットに供給する，ことを特徴とする請求
項１，２，３，４，５，６あるいは７項のうちいずれか
１項に記載のシステムの機能性の監視方法。
【請求項９】少なくとも１つの上位に配置された監視
インスタンスは，システムの個々の要素を所望に駆動す
るために，診断テスターユニットに接続するためのイン
ターフェイスを提供する，ことを特徴とする請求項１，
２，３，４，５，６，７あるいは８項のうちいずれか１
項に記載のシステムの機能性の監視方法。
【請求項１０】前記監視機能は，個々の機能にとって
重要なローカルな環境データをローカルに検出して，上
位に配置されている監視インスタンスに供給する，こと
を特徴とする請求項１，２，３，４，５，６，７，８あ
るいは９項のうちいずれか１項に記載のシステムの機能
性の監視方法。
【請求項１１】少なくとも１つの上位に配置された監
視インスタンスは，グローバルな環境データを中央で検
出し，前記グローバルな環境データは，エラーが検出さ
れた場合に前記エラーと共にエラーメモリに格納され
る，ことを特徴とする請求項１，２，３，４，５，６，
７，８，９あるいは１０項のうちいずれか１項に記載の
システムの機能性の監視方法。
【請求項１２】システムは，下位に配置されたサブシ
ステムを有し，あるいは上位に配置されたシステムの構
成部分であって，前記システムは，センサ，アクター及
び／又は機能計算機を含むハードウェアで実現された要
素を有する，前記システムの入力信号，出力信号及び機
能を検査することによって，システムの機能性を監視す
る方法であって，−前記システムの個々の機能内に設け
られた複数の分散形の監視機能内で個々の機能の機能性
が監視され，かつ，−少なくとも１つの上位に配置され
た機能をカバーする監視インスタンス内で，前記監視機
能が調整される，ことを特徴とするシステムの機能性の
監視方法。
【請求項１３】請求項１から１２項のうちいずれか１
項に記載の方法を実施することが可能なコンピュータプ
ログラムが格納されている，ことを特徴とするシステム
の機能性を監視する装置のためのメモリ素子
【請求項１４】コンピュータに対し，請求項１から１
２項のいずれか１項に記載の方法を実施させる，ことを
特徴とするコンピュータプログラム。
【請求項１５】前記コンピュータプログラムは，メモ
リ素子に格納されている，ことを特徴とする請求項１４
に記載のコンピュータプログラム。
【請求項１６】下位に配置されたサブシステムを有
し，あるいは上位に配置されたシステムの構成部分であ
り，センサ，アクター及び／又は機能計算機を含むハー
ドウェアで実現された要素を有しているシステムの入力
信号，出力信号及び機能を検査する手段を有する，シス
テムの機能性を監視する装置であって，前記装置は：−
前記システムの個々の機能内に設けられた個々の機能の
機能性を監視するための分散形の監視機能と，−前記監
視機能を調整するための，少なくとも１つの上位に配置
された，機能をカバーする監視インスタンスと，を有す
る，ことを特徴とするシステムの機能性の監視装置。