JP2011522985A - 自動車の動力装置のモジュール方式制御システムの異常管理方法および対応の制御システム - Google Patents

Abstract

自動車の動力装置のモジュール方式制御システム内で交換され、その値が前記制御システムおよび／または前記動力装置の異常に影響を受ける恐れがある情報の管理方法であって、この方法では、情報の値の有効性についての指標（ＩＶ１ｄ＿Ｖ）が、前記情報アイテム（Ｖ）のそれぞれに割り当てられており、この有効性指標は、前記情報を生じるモジュール（Ｍ１）によって、前記生成モジュール（Ｍ１）によって受け取られる入力指標（ＩＶ１ｄ＿Ｖｉ）に基づいて形成され、かつこの生成モジュールまたは他のモジュール（Ｃ１、Ｃ２、Ｃ３）の潜在的異常を表すものである。
【選択図】図１

Description

本発明は自動車、特には、とりわけ制御システムおよび／または駆動系の異常を管理するための自動車の駆動系の制御システムに関する。

あらゆる自動車の駆動系制御コンピュータは、車載診断ストラテジを組み込んでおり、これによって制御システムの障害（例えば、構成要素の電気的または機能的故障）や、さらには駆動系それ自体の障害（例えば、エンジンの吸気パイプの漏れや遮断）を検知する。

これらの制御コンピュータはまた、再構成ストラテジ（「劣化モード」）も組み込まねばならない。前記ストラテジは、コンピュータによって障害が確認されたときに、ユーザの安全を優先的に確保しながら、その動作ができるだけ広範囲に維持されることを保証するために、駆動系の管理を適合させるのに用いられる。

駆動系のサービスについての増大する要求であって、規則的視点からのもの（汚染物質排出基準、関連の診断に関する規則）、ユーザの視点からのもの（安全要件の増加、サービスの増加、性能水準、消費、楽しさ、発車、など）、新しい機能の導入（自動車の速度レギュレータ／リミッタ、経路制御、など）は、制御システムの技術的定義および関連ソフトウェアのサイズに関して、その複雑さの潜在的増大につながる。この増大は、明らかに、障害またはシステム構成要素の可能性、したがって診断ストラテジや回復モード（劣化モード）のニーズの、対応した増加を伴う。

この厳しい制約に合わせて、大半の自動車製造業者およびエンジン制御システムの供給者は、モジュール方式に基づいた、すなわち個々の「ビルディングブロック」（すなわちモジュール）から構成された制御ソフトウェアを導入しようと努めている。こうしたアーキテクチャの目的は、一方では封じ込め（ソフトウェアの一定の領域への、変更、変化、エラーの影響範囲の限定）を確実とするためであり、他方では既に開発され実証されているモジュールを可能な限り再利用することによって、そのコストを下げながらソフトウェアの質を高めるためである。

現在、すべての車載エンジン制御システムは、障害管理機能を組み込んでおり、これは以下、「フォールトマネージャ」と呼ばれる。この機能の一般的原理は以下の通りである。

制御ソフトウェアを形成し障害検知ストラテジを組み込んでいるモジュールは、これらのストラテジがそれぞれ実行されるごとに、その個々のバイナリな結果（障害が検知されたか、されていないか）を示すことによって、マネージャとやり取りする。フォールトマネージャは、これらの個々の情報アイテムをフィルタリングし、障害あるいはその消滅を確認する。関連のストラテジに応じて、このフィルタリングは多かれ少なかれ複雑なものとなる。単純な例を挙げる。

・純粋に時系列的なフィルタリング：障害が閾値Ｔ１よりも長い時間検知されたら、存在が認められる。障害の不在が閾値Ｔ２よりも長い時間検知されたら、障害は存在しないと宣言される。
・カウンタに基づくフィルタリング：２つの値ＣＭＩＮ、ＣＭＡＸによって制限されたカウンタＣが任意の値（校正によって選ばれる）でイニシャライズされる。障害を検知するごとに、このカウンタＣは、値ＩＮＣずつ増加する。障害の不在を検知するごとに、このカウンタは、値ＤＥＣずつ減少する。カウンタＣが値ＣＭＡＸに到達すると、障害が存在するものと確認される。カウンタＣが値ＣＭＩＮに到達すると、不在が宣言される。

システムの起こり得る各障害について、フォールトマネージャは、制御ソフトウェアを作るすべてのモジュールに、障害の存在または不在を示すバイナリ情報アイテム（一般的に「フォールト」と称される）を供する。

障害が認められれば、フォールトマネージャは、コンピュータの不揮発性メモリにそれを記憶する。選択された実施例のよっては、それはまた追加情報（例えば、障害確認時の何かのパラメータの値あるいは物理量）を記憶するものとできる。これらの記録は、車載診断ツールを用いて参照可能であり、よって自動車が修理のため工場に戻されたときに、障害を正そうとする修理工の助けとなる。

大半のエンジン制御システムでは、フォールトマネージャはまた、関連のフォールトに応じて、自動車のダッシュボードとのインターフェースを動かし、ドライバにシステムの障害状態を警告する指標ランプ、テキスト、あるいは可聴メッセージを用いる。

実際には、一方では修理可能性、他方ではドライバへの警告および障害の結果として起こり得る劣化モードの管理と関連しての理由から、フォールトマネージャは、同一の障害に対して、例えば、フォールト確認、フォールト確認および維持、フォールト確認および記憶、およびフォールト記憶など、多数のフォールトブーリアンを提供する。

通常の障害および劣化モード管理の実行では、ソフトウェアモジュールのそれぞれが、その動作に影響を及ぼす障害についての上記の情報を消費する。これらの情報アイテムの値に応じて、必要な回復ストラテジをイニシャライズする。

ただし、エンジン制御システムの複雑さの潜在的増大およびモジュール再利用のニーズの増大が、この実行を難しくする。

実際には、現在のエンジン制御システムで起こり得る障害の数は、数百（一般的ディーゼル方式でおよそ３００、制御点火方式で２００）に達する。これらの障害のそれぞれについて、モジュールのデザイナは、彼のモジュールの動作に対する前記障害の影響について問いを行い、そして最も好適な劣化モードを課さねばならない。タスクへの配慮、および利用可能なさまざまなツール（機能解析、障害モード、効果およびクリティカリティ解析）にもかかわらず、エラーおよび／または漏れのリスクはおびただしい。

この問題はモジュールの再利用とのからみで、より一層困難なものとなり、「再利用」モジュールが組み込まれた環境に応じて、起こり得るフォールトが大きく変わってしまい、よってその環境に合わせてモジュールを修正する必要があり、これは当初の再利用の目的とまるで相容れないものである。

この問題を解決するために一般的に実行されている解決法の１つは以下の通りである。

・任意のモジュールで利用可能な各劣化モードが、このモジュールによって制御される論理スイッチによってアクティブ化可能であり、
・このスイッチが、フォールトマネージャによって供給されるフォールトのリストによってアクティブ化され、これらのフォールトは、校正によって選ばれる。これはソフトウェアの修正なしにモジュールをその環境に適合させることを可能とする。

しかしながら、この解決法はまた、エンジン制御システムの増大する複雑さを考えれば、実行するのが非常に困難であると分かる。

それぞれが平均してただ１つの劣化モードを有し、システム全体で３００の障害を被ることが可能である１５０のモジュールからなるエンジン制御ソフトウェアの例を考えると、得られる劣化モード校正可能性の数は、非常に多い。今日、こうした複雑さは、これらのシステムおよび関連の校正の制御が欠かせず、しかも達成がより一層難しくなるというレベルに達している。

最後に留意すべきは、このタイプの実施例では、複数障害の管理がさらに困難ということである。一例として、センサ（例えば、大気圧センサ）の障害の場合、関連の劣化モードは、モデルから得られた値を用いるもので、モデルは他の物理値（例えば、吸気マニホールドで測定された圧力）を入力として用いる。システムが大気圧センサと吸気マニホールド圧力センサの両方で障害を被っている場合、特別の劣化モードを供することが必須となる。こうしたタイプの問題は、先に述べた単一の障害の場合でも既に非常に困難である劣化モードの管理を、より一層複雑なものとする。

本発明の１つの目的は、できればモジュールアーキテクチャを用いて、一方では残されたアーキテクチャに対する選択の適合性を確実とすることによって、他方ではそのユーザに対するシステムの安全性および利用可能性を最適化することによって、生じたエラーおよび劣化モードの管理を適合することである。

本発明はとりわけ以下の所見に依拠するものであって、劣化モードを適切な時に開始するには、モジュールは、この劣化モード開始の背後にある理由ではなく、それが消費する情報すなわち変数、あるいはそれが呼び出す機能の信頼度（すなわち、劣化の状態）を知る必要がある。

よってある実施の形態によると、関係のあるソフトウェアモジュール間で交換される各情報アイテムすなわち変数は、この情報アイテムすなわち変数と関連する信頼度すなわち劣化の状態を記述する有効性指標(validity indicator)を付与される。この指標は、これら入力変数の有効性指標に基づいて、関連する変数の生成モジュールによって生成される。

モジュールが診断ストラテジ（例えば、センサの取得モジュールの電気診断、調整モジュールのループ偏差機能診断）を組み込んでいる場合、それは得られたフォールト信号、すなわちフォールトマネージャからの信号を受け取り、前記信号を用いて、これらの出力変数すなわち情報アイテムと関連する有効性指標を生成する。

有効性指標は、ソフトウェアモジュール間で交換される変数すなわち情報アイテムに付与される信頼度を特徴づけるために用いられるが、障害のある状態での動作においては、全体としての機能状態の説明にも拡大利用可能である（例えば、フォールトのせいで調整機能が停止していることを示す）。

本発明はこうして、とりわけモジュール間でのやり取りを単純化可能とし、モジュールの再利用をより簡単にできる。

よって本発明の１つの側面によれば、自動車の駆動系のモジュール方式制御システム内で交換され、その値が前記制御システムおよび／または前記駆動系の異常に影響を受ける恐れがある情報の管理方法が提案される。この方法では、これら情報アイテムのそれぞれに、前記情報アイテムの値についての有効性指標を付与し、この有効性指標は、前記情報を生成するモジュールによって、前記生成モジュールが受け取り、かつ、この生成モジュールまたは他のモジュールの起こり得る異常を表す入力指標から生成される。

生成モジュールが少なくとも１つのパラメータを取得するためのモジュールである実施の形態によれば、入力指標は、前記取得モジュールの起こり得るフォールト状態を表す指標である。

前記取得モジュールの起こり得るフォールト状態を表すこれらの指標は、フォールトマネージャモジュールによって伝達されるものとできる。

他の実施の形態によれば、前記生成モジュールの入力指標は、他のモジュールによって前記生成モジュールに伝達された情報アイテムと関連した有効性指標である。

これらの有効性指標は、それぞれ異なるレベルの異常を表すいくつかの異なる値を取り得るものとできる。

本発明の他の側面によれば、情報を交換可能な多数のモジュールを含む自動車の駆動系のモジュール方式制御システムが提案され、その情報の値は前記制御システムおよび／または前記駆動系の異常に影響を受ける恐れがあり、これらのモジュールはそれぞれ、当のモジュールまたは他のモジュールの起こり得る異常を表す入力指標を受け取り可能な入力手段を含み、これらのモジュールの少なくとも１つは、少なくとも１つの情報アイテムを伝達可能な出力手段と、前記少なくとも１つの情報アイテムの値に関する有効性指標を前記少なくとも１つの情報アイテムに付与可能な生成手段とを含むものである。

少なくとも１つのモジュールが少なくとも１つのパラメータを取得するためのモジュールである実施の形態によれば、この取得モジュールの入力手段によって受け取られるべき入力指標は、前記取得モジュールの起こり得るフォールト状態を表す指標である。

ある実施の形態によれば、システムは、前記取得モジュールの起こり得るフォールト状態を表す指標を伝達可能なフォールトマネージャモジュールをさらに含む。

ある実施の形態によれば、少なくとも１つのモジュールの入力手段によって受け取られるべき入力指標が、他のモジュールによってこのモジュールへと伝達される情報アイテムと関連した有効性指標である。

本発明の他の利点および特徴は、実施および実施例の詳細な説明を学ぶことで明らかとなるが、それらは決して限定的なものではない。

本発明の２つの実施例および実施を図式的に示す。 本発明の２つの実施例および実施を図式的に示す。

図１では、自動車がガソリン、ディーゼルタイプのいずれであるかは関係なく、参照記号ＳＹＳが、自動車の駆動系の制御システムを示す。制御システムはモジュール方式であり、制御コンピュータ内に、例えばソフトウェアの形で組み込まれたさまざまなモジュール、例えば、フォールトマネージャモジュールＧＰやさまざまな機能モジュールＭ１、Ｍ２などを有する。

制御システムＳＹＳはまた、それぞれ情報アイテムＶ１、Ｖ２、Ｖ３を伝達可能な３つの取得モジュールすなわちセンサＣ１、Ｃ２、Ｃ３を有する。

各機能モジュールはまた、モジュールの劣化動作モードを実行可能な処理手段ＭＴ１、ＭＴ２を有する。

取得モジュールＣ１、Ｃ２、Ｃ３は、その動作の潜在的障害が存在するとき、障害情報アイテム（矢印ＡＰ１、ＡＰ２、ＡＰ３）をフォールトマネージャＧＰへと伝達し、代わりに確認フォールト信号ＰＣ１、ＰＣ２、ＰＣ３、例えばブーリアンを、フォールトマネージャから受け取る。フォールトは例えば、取得モジュールによってフォールトマネージャＧＰへと送られた繰り返しの障害指示から生じたときに、確認されたと言える。

信号ＰＣ１、ＰＣ２、ＰＣ３に基づき、取得モジュールＣ１、Ｃ２、Ｃ３は、その出力情報アイテムＶ１、Ｖ２、Ｖ３と関連し、それぞれＩＶ１ｄ＿Ｖ１、ＩＶ１ｄ＿Ｖ２、ＩＶ１ｄ＿Ｖ３で参照される有効性指標を生成する。

よって、フォールト信号を消費する唯一のモジュールが、（それが取得モジュールであろうと、他のモジュールであろうと）これらのフォールトに関する診断ストラテジを組み込んだモジュールであり、他のモジュールではない。

モジュールＭ１は、その入力手段ＭＥ１で、入力情報アイテムＶ１、Ｖ２、Ｖ３および関連の有効性指標を受け取り、処理手段ＭＴ１が、これらの有効性指標を用いて、モジュールＭ１によって伝達される出力変数Ｖに関連する有効性指標ＩＶ１ｄ＿Ｖを生成する。

モジュールＭ２の処理手段ＭＴ２は、有効性指標ＩＶ１ｄ＿Ｖによって、入力情報アイテムＶの値の有効性の状態を知らされる。したがって、処理手段ＭＴ２はこれに応じて、特定の劣化モードを適用することができる。

図２に描かれたモジュールアーキテクチャでは、取得モジュールＣ１、Ｃ２は、図１に描かれたものから変わっていない。

しかし他に２つの取得モジュールＣ４、Ｃ５が設けられている。

既に述べたものと同様に、確認フォールト信号の状態に基づいて、取得モジュールは、そのそれぞれの出力Ｖ１、Ｖ２、Ｖ４、Ｖ５と関連する有効性指標を生成する。

機能モジュールＭ３は、入力変数Ｖ４、Ｖ５と関連する有効性指標を入力として受け取り、処理手段ＭＴ３は、このモジュールＭ３によって生成された出力変数Ｖ３と関連する有効性指標ＩＶ１ｄ＿Ｖ３を生成する。

モジュールＭ１の処理手段ＭＴ１がまた、この有効性指標ＩＶ１ｄ＿Ｖ３を受け取る。

よって留意すべきは、有効性指標を使ったおかげで、図１に描かれたアーキテクチャから図２に描かれたアーキテクチャへの遷移が、モジュールＭ１、Ｍ２にまったく何の影響も及ぼさず、なぜならこれは前記モジュールがどちらの場合も同じ有効性指標を受け取るためである。この結果、これらのモジュールＭ１、Ｍ２は、あるアーキテクチャから別のものへと、完全に再利用可能となり得る。

エンジン制御システムの診断および劣化モードの他の目的は、障害時のエンジンの利用可能性を最適化することである。この状況では、有効性指標によって担われる「いい／悪い」のバイナリ情報アイテムは、場合によっては最適と言えなくなる。実際、そして非制限的な例であるが、
・センサからの取得の場合、前記センサの電気的障害が検知されたときに、システムで利用可能な他の情報を用いて、モデルから現実に「近い」値を再構成することが可能な場合がある（例えば、吸気流量計の障害の場合、エンジン速度、温度、吸気圧に基づいての、エンジンへと流入する冷気の流速の再構成）。この場合、関連の変数を消費するモジュールがこの状態について知らせを受ける。
・中間計算（例えば、エンジンの摩擦損失の推定）の場合、ある変数（「ファーストオーダ」と呼ばれる）が必須（この例ではエンジン速度および温度）であり、一方、それ以外（「セカンドオーダ」と呼ばれる）は、それによって通常モードで必要とされる正確さを得るための矯正タームを計算するためだけに用いられる（やはりこの例だと、例えば、オルタネータの負荷、エアコン回路の圧力）。欠けた入力変数に基づき、結果への影響はそれに応じて異なる。ここでもまた、関連の変数を用いるモジュールがそれぞれ、これら異なる状態について知らせを受ける。
・アクチュエータ（例えば、排気ガス再循環バルブ）の場合、障害の性質が、モジュールの動作に関して特に重要な意味を持つ。この例では、短絡が、完全開放バルブへとつながり、一方、開路が、完全閉鎖バルブへとつながる。やはりこれら異なる状態によって影響を受けるモジュールが、知らせを受ける。
・機能（例えば、ディーゼルエンジンからの排気ガスの再循環率の調整の場合、前記調整がダブル調整ループ（１つのループはエンジンに流入する冷気の流速について、他方は再循環バルブの開放のレベルについて）によって行われたとすると、関連の障害に応じて、機能は、さまざまなレベルの劣化モードに達し得る。例としては、他のループの測定に用いられるセンサを失った場合には、シングルループモード調整が、バルブ自体に影響を及ぼす障害の場合には、調整の完全停止が含まれる。ここでもまた、この機能の状態を消費するモジュールがそれぞれ、知らせを受ける。

この結果、好都合には、消費モジュールによって表された必要性、および生成モジュールの能力に応じて、有効性指標が３つ以上の値、すなわち異なるレベルを取り得るように備えられる。提案の実行では、最大で８つの異なるレベルがもたらされ、両極端のレベルはそれぞれ、名目上の場合と、最悪な場合とに対応している。先の述べた例では、これが以下の例につながる。

センサからの取得の場合
・レベル０：センサの測定に影響を及ぼす障害はなし。伝達値は有効。
・レベル１：障害がセンサの測定に影響を及ぼす。代わりに計算モデルが使用される。伝達値は正確ではないが、それでもまだ現実に近い。
・レベル７：障害がセンサの測定に影響を及ぼす。代わりに使える計算モデルがないか、第２の障害がそれを利用不可能とする。伝達値は代わりの値である。
・必要であれば、必要に応じて他の中間レベルも。

アクチュエータの場合
・レベル０：障害なし。アクチュエータは正常に動作中。
・レベル１：アクチュエータがアイドルポジションでブロックされている。
・レベル７：アクチュエータが最大動作位置（完全開放）でブロックされている。
・適切であれば、必要に応じて他の中間レベルも。

中間変数すなわち情報アイテムの場合
・レベル０：計算に用いられるすべての変数が有効。よって計算値も有効。
・レベル１：セカンドオーダの入力変数が劣化または無効、あるいはファーストオーダの入力変数が劣化。その結果、計算から得られる出力変数も劣化するが、それでもまだ現実に近い。
・レベル７：いくつかのセカンドオーダの入力変数が劣化または無効、あるいはファーストオーダの入力変数が無効。その結果、出力変数が現実を表さないか、あるいは代わりの値である。
・必要であれば、必要に応じて他の中間レベルも。

機能の場合：
・レベル０：機能は名目上。
・レベル１：障害が「中間」劣化モードへの機能の転換につながる（例えば、ダブルループの場合にはシングル調整ループ、オープンループモード制御、など）。
・レベル７：機能は停止され、アイドルポジション（最安全）とされる。この一例が、ディーゼルエンジンの過給機能または排気ガス再循環調整機能の停止である。
・必要であれば、必要に応じて他の中間レベルも（例えば、シングル調整ループモード動作からオープンループモード動作を区分する）。

それぞれが異なるレベルの異常を表すいくつかの異なる値を有効性指標と関連させることで、とりわけ可能となるのが、
・システムの挙動を複数障害の場合に単純に適応させること。実際、ソフトウェアを個々のモジュールに細分することは、前記モジュールが比較的単純であり得ることを意味する。モジュールの異常な挙動（すなわち、起こり得るモジュール入力エラーの、前記モジュールの出力への影響）を分析することは、したがって容易く、あり得る有効性指標のレベルの多様性が、モジュールのデザイナに、前記モジュールを入力の状態に応じて容易に規定可能とし、これはいくつかの入力が状態０と異なる有効性指標を有する場合を含む。よってモジュールの（したがって、組み立てられた全制御システムのモジュールの）挙動の適合は、自動的かつ自然に達成される。
・他のエンジン制御システムおよび／またはアーキテクチャでの適合なしでのモジュールの即座の再利用。実際、明らかに、新しい環境でモジュールに期待される入力および出力が同じであるわけであるから、一切の変更を必要とすることなく、前記モジュールは組み込まれ、その劣化モードをその入力に適合させ、その出力と関連した有効性指標を生成する。これは、モジュールが、その入力に関する有効性指標に、その値の変化につながる根本的原因とは無関係に、その挙動を合わせるためである。

よって、組み立てられたシステムの挙動は、その障害状態に、自動的かつより適切に適合される。よってシステムの最大利用可能性が、そのアーキテクチャとは無関係に、自然に保証される。これはとりわけ、多様な要求（自動車の範囲の拡大、自動車市場のグローバル化の流れにおけるローカルな要求および規則への適合、など）を求められる制御システムが増えてきている点で重要である。ローカルな変更がシステムに及ぼす影響について調べるときの、あるいはさらに既存のモジュールを組み立てたものからなる新たなシステムを分析するための作業負荷は、減るものと考えられる。

さまざまな変数すなわち情報アイテムに関連する有効性指標の定義および生成方法は、例えば、制御システムのソフトウェアデザイン中に完了される。

この点について、入力情報アイテムすなわち変数、あるいは機能または構成要素の状態を消費するモジュールは、後者に関して要求（望ましい正確性／劣化レベル、およびこれらのレベルに応じて適用される挙動）を有する。

ソフトウェアモジュールのデザイナは、これらの要求およびモジュールの特有の能力（診断ストラテジおよび／または与えられた劣化モード）に基づいて、変数、あるいはそれが生成する機能または構成要素の状態に付加されるさまざまな有効性レベル、およびこれらのレベルの物理的意味、ならびにレベル内での転換条件を作る。そして、さまざまな有効性指標の生成のためのソフトウェアプログラミング、および得られた劣化モードの管理は、このデザイン情報を元にプログラムされる。

こうしたプロセスの実行は、モジュールソフトウェアアーキテクチャの最初の適用においては比較的手間がかかるものだが、その後は手間が省け、この最初の適用後のすべての展開そしてアップグレードがこの一度限りの苦労を十分に正当化してくれる。

Claims (12)

1. 自動車の駆動系のモジュール方式制御システム内で交換され、その値が前記制御システムおよび／または前記駆動系の異常に影響を受ける恐れがある情報の管理方法であって、これら情報アイテムのそれぞれに、前記情報アイテム（Ｖ）の値についての有効性指標（ＩＶ１ｄ＿Ｖ）を付与し、この有効性指標は、前記情報を生成するモジュール（Ｍ１）によって、前記生成モジュール（Ｍ１）が受け取り、かつ、この生成モジュールまたは他のモジュール（Ｃ１、Ｃ２、Ｃ３）の起こり得る異常を表す入力指標（ＩＶ１ｄ＿Ｖｉ）から生成される方法。
2. 生成モジュールは、少なくとも１つのパラメータを取得するためのモジュール（Ｃ１、Ｃ２、Ｃ３）であり、入力指標は、前記取得モジュールの起こり得るフォールト状態を表す指標（ＰＣ１、ＰＣ２、ＰＣ３）である請求項１記載の方法。
3. 前記取得モジュールの起こり得るフォールト状態を表す指標は、フォールトマネージャモジュール（ＧＰ）によって伝達される請求項１または２記載の方法。
4. 前記生成モジュール（Ｍ１）の入力指標は、他のモジュール（Ｃ１、Ｃ２、Ｃ３）によって前記生成モジュールに伝達された情報アイテムと関連した有効性指標（ＩＶ１ｄ＿Ｖｉ）である請求項１〜３のいずれか一項に記載の方法。
5. 有効性指標（ＩＶ１ｄ＿Ｖｉ）が、それぞれ異なるレベルの異常を表すいくつかの異なる値を取り得る請求項１〜４のうちの一項に記載の方法。
6. 有効性指標が、前記情報を生成するモジュール（Ｍ１）によって、生成モジュール（Ｍ１）自体が検知した障害指標から生成される請求項１〜５のいずれか一項に記載の方法。
7. 情報を交換可能な多数のモジュール（Ｍ１、Ｍ２、Ｍ３、Ｃ１、Ｃ２、Ｃ３）を含む自動車の駆動系のモジュール方式制御システムであって、その情報の値は前記制御システムおよび／または前記駆動系の異常に影響を受ける恐れがあり、これらのモジュールはそれぞれ、当のモジュールまたは他のモジュールの起こり得る異常を表す入力指標（ＩＶ１ｄ＿Ｖｉ）を受け取り可能な入力手段を含み、これらのモジュールの少なくとも１つは、少なくとも１つの情報アイテム（Ｖ）を伝達可能な出力手段と、各情報アイテムの値に関する有効性指標（ＩＶ１ｄ＿Ｖ）を各情報アイテムに付与可能な生成手段とを含むシステム。
8. 少なくとも１つのモジュールが、少なくとも１つのパラメータを取得するためのモジュール（Ｃｉ）であって、この取得モジュールの入力手段によって受け取られるべき入力指標が、前記取得モジュールの起こり得るフォールト状態を表す指標である請求項７記載のシステム。
9. 少なくとも１つのモジュールの起こり得るフォールト状態を表す指標を伝達可能なフォールトマネージャモジュール（ＧＰ）をさらに含む請求項７または８のうちの一項に記載のシステム。
10. 少なくとも１つのモジュール（Ｍ１）の入力手段によって受け取られるべき入力指標が、他のモジュールによってこのモジュールへと伝達される情報アイテムと関連した有効性指標（ＩＶ１ｄ＿Ｖｉ）である請求項７〜９のうちの一項に記載のシステム。
11. 有効性指標（ＩＶ１ｄ＿Ｖｉ）が、それぞれ異なるレベルの異常を表すいくつかの異なる値を取り得る請求項７〜１０のうちの一項に記載のシステム。
12. 少なくとも１つのモジュールが、それ自体の障害を検知する手段を含む請求項７〜１１のいずれか一項に記載のシステム。

Images