JP4476494B2 - 自動車内の計算要素のモニタ方法および装置 - Google Patents

Description

【０００１】
発明の技術分野
本発明は、自動車内の計算要素のモニタ方法および装置に関するものである。
【０００２】
従来の技術
ドイツ特許公開第４４３８７１４号から自動車内の計算要素のモニタ方法および装置が既知であり、そのプログラム構造は少なくとも３つのレベルを有している。第１のレベルに、制御機能、例えば駆動ユニットの出力制御を実行するプログラムが割り当てられている。第２のレベルに、第１のレベルの機能をモニタリングするために使用されるプログラムが割り当てられている。このために、図示の駆動ユニットに対する出力制御の実施態様においては、調節すべき運転変数に対する許容値が、この変数の測定または決定された実際値と比較される。第３のレベルに、第２のレベルに割り当てられているモニタ・プログラムの実行検査のために使用されるプログラムが割り当てられている。この場合、実行検査は、安全性構成要素（モニタ・モジュール）との質問−回答通信の範囲内で行われ、この安全性構成要素（モニタ・モジュール）は、第２のレベルのプログラムの正しい動作を質問−回答通信の結果に基づいて検査する（実行検査）。第２のレベルのプログラムおよび／またはモニタ・モジュールにより少なくとも１つのエラー状態が検出された場合、エラー応答手段が導かれ、このエラー応答手段は、駆動ユニットの制御の例においては、燃料供給の遮断または運転を制限するその他の手段からなっている。
【０００３】
第２のレベルのプログラムの機能性のモニタリングを改善するために、ドイツ特許公開第１９６０９２４２号により、実行検査の他にまたは実行検査の代わりに、命令テストを実行し、この命令テストの範囲内において、選択されたプログラムまたはプログラム部分が所定のテスト・データを用いて計算され、且つ１つまたは複数の計算結果がモニタ・モジュール内でエラー検出のためにビットごとに検査される。
【０００４】
既知の方法においては、第１および第２のレベルのプログラム並びに実行検査および命令テストが唯一つの計算要素で実行されることが重要である。この場合、モニタリングを実行する第２のレベルのプログラムは、第１のレベルのプログラムにより処理された入力信号に対して冗長な入力信号を用いても作動するものである。この方式により、センサ装置は二重になり、この場合、種々の車両における種々のセンサに基づく追加のセンサを使用することを回避するために、入力信号の僅か一部のみがモニタリングのために使用されるにすぎない。さらに、機能範囲の増加と共に、特に、例えばガソリン直接噴射機関に対する制御装置におけるような駆動ユニットの出力決定機能の機能範囲の増加と共に、モニタリングの精度は次第に低下する。モニタリングの精度を低下させることがある機能に対する例は、加速ペダル測定器のストッパの学習である。この学習機能により、例えば加速ペダル位置信号のオフセットが変化された場合、モニタリングにおいて終端ストッパの最大公差を考慮することにより、このオフセットが考慮される。この比較的大きい公差範囲は、モニタリングの精度を低下させることがある。
【０００５】
計算要素において機能範囲が増加するのにもかかわらず、十分に高いモニタリングの精度が保証される車両内の計算要素に対するモニタリングを提供することが本発明の課題である。
【０００６】
この課題は独立請求項の特徴項に記載の特徴により達成される。
発明の利点
個々の車両内の増加する機能範囲および種々のセンサ範囲においても計算要素の機能方法の十分なモニタリングが保証される、自動車内の計算要素に対するモニタリングが提供される。
【０００７】
安全性基準が失われることなく追加のモニタ・レベルを節約可能であることが特に有利である。
これに関して、計算要素のモニタリングのための設計経過が簡単になることが特に有利である。その理由は、新しい安全性に関連する各機能がそれに適合する新たなモニタ機能を必要としないからである。したがって、その設計が軽減される。
【０００８】
本発明の方法が、多数の出力決定機能が設けられている駆動ユニットの制御と組み合わされていることが特に有利である。
さらに、出力決定機能を調節する適応機能がモニタリングの精度に対していかなる影響も与えないことが特に有利である。
【０００９】
所定の計算ステップが命令テストを実行するための機能プログラムから選択されることが特に有利である。その理由は、これにより安全性基準が失われることなく計算作業を低減させることができるからである。
【００１０】
上記の方法のほかにさらに、計算要素内の第２のレベルの範囲内で作動する従来技術から既知のモニタリングが設けられていることが特に有利である。
その他の利点が実施態様に関する以下の説明ないし従属請求項から明らかである。
【００１１】
以下に、本発明を図面に示す実施態様により詳細に説明する。
実施態様の説明
図１は電子式の制御装置１０を示し、制御装置１０は、少なくとも１つの計算要素１２、モニタ・モジュール１１、入力回路１４、および出力回路１６を含む。メモリ構成部分は、計算要素１２の一部分であり、またはこれに付属されている。計算要素１２は、通信系統１８を介してデータ交換のために相互に結合されている。入力回路１４には、駆動ユニット、駆動系および／または自動車の測定された運転変数を表わす信号、またはそれからこのような運転変数を導くことが可能な信号が供給される。これらの信号は、測定装置２０−２４により測定され且つ入力ライン２６−３０を介して、入力回路１４に供給される。さらに、出力回路１６を介して、駆動ユニット、駆動系および／または自動車の少なくとも１つの運転変数を調節するための調節要素を操作する信号が出力される。対応する操作変数信号は、ライン３２−３６を介して調節要素３８−４２に出力される。
【００１２】
入力信号、それから導かれる運転変数および／または内部変数の関数として、計算要素１２は、そこで実行されるプログラムの範囲内で、所定の制御方式に従って調節要素を調節する、出力すべき制御変数に対する値を形成する。好ましい実施態様においては、制御ユニット１０は自動車駆動ユニットを制御するための制御ユニットである。ここで、既知のように、ドライバにより操作可能な操作要素の位置が測定され、評価され、そして駆動ユニットのトルクに対する目標値が決定される。この目標値から、次に、入力回路１４を介して受け取られた、例えば駆動滑り制御、変速機制御等のような他の制御装置の目標値並びに内部で形成された目標値（制限等）を考慮して、トルクに対する目標値が決定される。この目標値は、次に、内燃機関の好ましい実施態様においては、位置制御回路で調節される絞り弁の位置に対する目標値に変換される。さらに、内燃機関の付属機器に応じて、それぞれ他の出力決定機能、例えばターボ・チャージャ、排気ガス戻し、アイドル回転速度制御等の制御が設けられている。さらに、ガソリン直接噴射式内燃機関においては、空気調節のみならず、噴射すべき燃料質量流量の決定、調節すべき空燃比の決定、噴射過程（前噴射、後噴射）の設定、給気可動弁の制御等もまた出力を決定するので、ここでは上記のプログラムのほかに、内燃機関の出力に影響を与える、従って自動車の安全性に影響を与える多数の他のプログラムが設けられている。
【００１３】
他の実施態様においては、制御装置１０は、自動変速機を、またはブレーキ装置、例えば電動式締付装置を有するブレーキ装置を制御する。これらの装置においてもまた、自動車に対して安全性に関連するプログラムは、例えばブレーキ装置の制御においては、目標ブレーキ力の形成、個々の車輪ブレーキにおける目標ブレーキへの制御、ブレーキ・ペダルの操作信号からのドライバのブレーキ希望の形成等である。同様に、変速機制御においてもまた、安全性に関連する機能が存在する。
【００１４】
このような制御装置においては、可能性のある基本的な２つのエラー領域が考慮される。一方で、これは制御ソフトウェアへの変換における定義エラーおよびソフトウェア・エラーであり、他方で、これは制御装置の作動において発生することがある計算要素のハードウェア・エラーである。冒頭記載のモニタ設計により、２つのエラー領域が包含される。以下に記載のモニタ設計は、これら２つのエラー領域の処理を分割することから出発し、この場合、ハードウェア・エラーのみが計算要素でモニタリングされる。これは、場合により実行検査に追加して、安全性に関連する機能を介して命令テストを実行することを可能にする。したがって、レベル２および３に割り当てられているプログラムはなくてもよい。その理由は、モニタリングは、レベル１に存在する安全性に関連する機能を介して実行されるからである（レベル１′）。命令テストおよび場合により実行検査のほかに、計算要素のメモリの機能性を保証するメモリ・テストが設けられている。
【００１５】
以下に記載のモニタリングにより検出されない装置エラーおよびソフトウェア・エラーは、設計過程において適切な手段により決定され、また、例えば作業結果の相互検査を用いて複数の共同作業者によって安全性に関連する機能および構成要素を設計することにより回避される。さらに、このタイプのエラーは、設計結果をシミュレーション・モデルと比較することにより検出され、またこのようにしてソフトウェアのエラーが存在しないことが証明される。
【００１６】
即ち、計算要素のモニタリングに対してはハードウェア・エラーのみが残っているので、安全性に関連する機能のみ、即ち駆動ユニットの制御においては出力を決定する機能経路、したがってコンピュータ内の出力決定モジュールのみを検査すれば十分である。これらの機能ないしプログラム・モジュールの検査は、命令テストおよび場合により実行検査により行われる。命令テストにおいては、モニタ・モジュール１１により、選択されたモジュールに対する選択されたテスト・データが与えられる。モジュールにより実行されたテスト計算は、回答にまとめられ且つモニタ・モジュール１１に伝送される。モニタ・モジュール１１において、それぞれのテスト・データに付属の結果データを用いて検査がビットごとに行われる。命令テストにおいて計算された結果が期待される結果と一致しなかった場合に、エラー応答が行われ、エラー応答は、例えば別個の構成要素として形成されているモニタ・モジュールにより行われる。制御装置および／または計算要素のメモリ構成要素（ＲＡＭ、ＲＯＭ）は、機能モニタリングとは独立にテストされる。
【００１７】
このモニタ手段は、安全性に関連する個々のモジュールおよび／または安全性に関連するモジュールの計算ステップが選択されることにより、またコピーとしてまたは時間による切換の範囲内でレベル１′に割り当てられることにより、実行される。一つの実施態様においては、コピーが固有のメモリ構成要素に記憶される。モジュールの部分のみが、機能レベルにコピーされ、或いは命令テストのために使用されるとき、特に加算、減算等のような個々のプログラム・ステップのみが安全性に関連する個々のプログラム・モジュールから選択され且つ命令テストの範囲内で計算されるとき、計算負荷の低減が行われるので、これは有利である。
【００１８】
命令テストのテスト計算が、稀にではなく、機能計算と同様に頻繁に行われることが好ましい。最大エラー応答時間がこれにより保証される。その理由は、命令テストにおけるエラー検出が、装置全体に存在するエラー機能と同等化されているからである。
【００１９】
さらに、既知のタイプのプログラム実行検査が、レベル１内の安全性に関連する機能に設けられている。このプログラム実行検査の範囲内で、モニタ・モジュールにより乱数発生器を用いて選択された質問が設定され、この質問が選択されたプログラム・モジュールまたはレベル１のプログラム・ステップにより回答され、そして、まとめられた結果がモニタ・モジュールに伝送される。モニタ・モジュールは、この結果を質問に割り当てられている正規な回答と比較する。一致しないとき、エラーが検出される。
【００２０】
駆動ユニットの制御の好ましい実施態様においては、安全性に関連する加速ペダル位置信号を評価するためのモジュールは、絞り弁調節装置をモニタリングするためのモジュール、アナログ／ディジタル変換器テストを実行するためのモジュール、目標トルク調整を実行するモジュール、アイドリング制御を実行するモジュール、絞り弁の位置制御のためのモジュール等である。
【００２１】
有利な実施態様においては、命令テストおよびプログラム実行検査のほかに、少なくとも安全性に関連するモジュールに関してメモリ構成要素の迅速検査が実行される。この場合、メモリ・テストは短い時間間隔で実行される。メモリ構成要素の適切な検査の例として、補数を有するＲＡＭ情報の二重記憶または関連セルを介してのメモリ構成要素の適切なテストを挙げておく。同様のことが、ＲＯＭの場合において、制御装置１０の前段で行われる。
【００２２】
上記のモニタ手段は、計算要素の正しい作動を保証し、且つ計算要素の範囲内のハードウェア・エラーを確実に検出する。追加のプログラム実行検査によりさらにモニタリング精度の改善が達成され、このプログラム実行検査は、モニタ機能と共にメモリ構成要素もさらに追加して検査することにより、全体として計算要素の確実且つ十分なモニタリングを行う。
【００２３】
内燃機関の制御の例における好ましい実施態様が、図２により流れ図で示されている。
図２は、計算要素１２、並びに分離したモニタ・モジュール１１の概略図を示す。安全性に関連する機能ないしプログラム・モジュールが、参照符号１１０、１１２および１１４−１１８で示されている。変数が通信系統１８を介して計算要素に供給され、これらの変数から、図示されていないプログラム・モジュールにおいて、安全性に関連する、即ち出力を決定する、プログラム・モジュールにより使用される変数が決定される。さらに、計算要素から通信系統１８を介して調節要素を制御するための制御信号が出力され、制御信号はプログラム・モジュール１１０−１１８の少なくとも１つにより決定される。ここで、図示されていないプログラム・モジュール内で制御信号の形成と組み合わせて実行される、必然的な中間ステップおよび中間計算もまた図示されていない。
【００２４】
内燃機関の制御の好ましい実施態様においては、選択されたプログラム・モジュール１１０−１１８は、内燃機関の出力を決定するプログラムを表わす。例えば、プログラム・モジュール１１０を用いて加速ペダル位置が測定され且つドライバの希望が形成され、プログラム・モジュール１１２を用いてトルク調整が実行され、プログラム・モジュール１１４を用いてアイドリング制御が実行され、およびプログラム・モジュール１１８を用いて絞り弁の位置制御が実行される。最後のモジュールは次に、他のモジュールの中間結果に基づいて、出力を決定する制御信号を出力する。そのほかに、図示されていない安全性に関連する他のプログラム・モジュール、例えばアナログ／ディジタル変換器のテスト、絞り弁位置のモニタリング、絞り弁位置信号の評価等が存在し、これらは図の参照を容易にするために図２には示されていない。
【００２５】
図２はさらに、上記の計算要素１２のモニタ方法を示し且つモニタ・モジュール１１との相互作用を示している。計算要素１２に存在する２つのプログラム・レベル、即ち、制御機能を実行するプログラム（例えば、１１０−１１８）に割り当てられているレベル１、並びにモニタ機能の実行の基礎となっているプログラム１１０−１１８の部分またはそれらのコピーが割り当てられているレベル１′が示されている。計算要素１２は、通信系統１８を介して、図２においてライン１８ａおよび１８ｂで示されているように、モニタ・モジュール１１と結合されている。さらに、モニタ・モジュール１１は、ライン１８ｃで表わされた通信系統１８を介して、エラーの場合に非常運転または制御機能の制限を行うように制御に係合する。
【００２６】
図示のプログラム１１０−１１８は、安全性に関連して、自動車の運転特性に作用する。その理由は、これらのプログラムが駆動ユニットの出力をドライバの設定とは独立に調節するからである。図示のプログラムは、機能プログラムとしてレベル１に割り当てられ、ここでは制御を実行するために作動される。これらのプログラムを用いて、従来技術から既知の実行検査が行われ、実行検査は、モニタ・モジュール１１との質問−回答通信として、モニタ・モジュール１１からライン１８ａを介して起動される。この理由から、プログラム１１０−１１８は、計算要素１２のモニタ・レベル１′の部分でもある。モニタ・モジュール１１の質問に対してまとめられた、選択されたすべてのプログラム・モジュールが共に関係する回答は、実行検査の結果を選択されたプログラムによるメモリ・テストの結果と結合することが可能な結合段を介して、ライン１８ｂによりモニタ・モジュール１１に供給される。モニタ・モジュール１１は、伝送された結果を、それが正しいかどうかを所定の値を用いて検査し、許容できない偏差が存在する場合にエラー応答手段を（ライン１８ｃを介して）導く。
【００２７】
命令テスト１２２は、冒頭記載の従来技術から既知のように、所定のテスト・データに基づいて行われる。複数のテスト・データ・セットが計算要素１２のメモリ内に記憶され且つモニタ・モジュール１１により対応の命令を介して選択されることが好ましい。命令テストは、安全性に関連する影響、特に出力を決定する影響を有する選択されたプログラムにより行われる。図示の例においては、これらはプログラム１１０−１１８である。実施態様にそれぞれ応じて、全体プログラムは命令テスト１２２内に統合され、この場合、命令テストに関して完全なプログラムがテスト・データを用いて実行されるか、または、図２に示されているように、選択されたプログラム部分またはプログラム・ステップ１１００−１１８０が実行される。例えば、各プログラムから、所定のプログラム・ステップ、例えば加算ステップ、減算ステップまたは乗算ステップが選択される。選択されたプログラム・ステップまたはプログラム部分は、命令テスト１２２内にコピーされまたはオリジナル・プログラム内に残り、次に（コピーまたはオリジナルのいずれかで）命令テストのためにテスト・データを用いて実行される。この結果は、結合段１２０およびライン１８ｂを介して、モニタ・モジュール１１に伝送される。命令テストおよび実行検査のほかに、上記のメモリ・テストが実行される。
【００２８】
他の実施態様においては、オリジナル・プログラムのコピーまたはそれの部分の代わりに、オリジナル・プログラムそれ自身がテスト計算に使用される。必要な切換手段はレベル１′の部分である。
【００２９】
図３に、２つの具体的な実行方法がプログラム１１０の例で示されている。図３ａに示すように、プログラム１１０は、このようなプログラム・ステップまたはこれからの個々のプログラム・ステップとしてコピーされ、この場合、コピー１１０ｂが命令テストの基礎とされる。機能を実行するオリジナル・プログラム１１０ａは影響を受けないままである。
【００３０】
図３ｂに示す第２の実施態様においては、プログラム１１０はオリジナルとしてのみ存在する。命令テストのための条件（好ましくは時間条件）が発生したとき、スイッチング素子２００および２０２は、点線の位置に切り換えられる。このとき、プログラム１１０は、供給されたオリジナル・データ（１８）の代わりにテスト・データ（１８ａ）で実行され、その結果は、検査のためにモニタ・モジュール１１に出力される（１８ｂ）。命令テストのための完全なプログラム１１０の他に、オリジナル・プログラム１１０のプログラム部分ないしプログラム・ステップが、命令テストの基礎として選択される。
【図面の簡単な説明】
【図１】 図１は、自動車内の少なくとも１つの運転変数、特に駆動ユニットの出力を制御する、計算要素を有する制御装置の全体ブロック回路図を示す。
【図２】 図２には、計算要素の機能性のモニタリングのための一例が流れ図により示されている。
【図３】 図３は、命令テスト・レベルの２つの実施例に対する流れ図を示す。

Claims (10)

1. 自動車内の計算要素（１２）のモニタリングのための方法であって、前記計算要素が、前記自動車の運転特性に影響を与えるプログラムモジュール（１１０ないし１１８）を含み、前記計算要素が、前記プログラムモジュールにより、少なくとも一つの入力変数に応じて、前記自動車の少なくとも一つの機能の制御のために少なくとも一つの出力変数を発生する、自動車内の計算要素（１２）のモニタリングのための方法において、
   前記計算要素（１２）の正しい機能を監視するために、複数のプログラム・ステップを持つ少なくとも一つの前記プログラムモジュールが選択され、選択された前記少なくとも一つのプログラム・モジュールが前記計算要素（１２）内でテスト・データに基づいて実行され、前記テスト・データ計算の結果がエラー検出のために所定の結果と比較されること、及び、選択された前記プログラム・モジュールが、供給されたオリジナル・データ及びテスト・データに基づいて実行され、その際、前記オリジナル・データの供給と前記テスト・データの供給との間で切替えが行われることを特徴とする、自動車内の計算要素のモニタリングのための方法。
2. 前記テスト・データに基づく実行がモニタ・モジュールにより開始されることを特徴とする、請求項１に記載の方法。
3. 前記テスト・データに基づく実行の他に、選択された少なくとも１つのモジュールの実行検査が行われ、前記実行検査の結果が、前記モニタ・モジュールとの質問−回答通信によりモニタ・モジュールに伝送されることを特徴とする、請求項１又は２に記載の方法。
4. 前記テスト・データに基づく実行より及び／又は前記実行検査により決定された結果と前記所定の結果との比較が、許容できない偏差を示すときに、モニタ・モジュールによりエラー応答が導かれることを特徴とする、請求項３に記載の方法。
5. 前記計算要素が、自動車の駆動ユニットの制御のために使用され、且つ選択された少なくともプログラム・モジュールが、ドライバの希望、アイドリング制御、トルク調整、絞り弁位置制御のような、安全性に関連し、特に出力を決定することを特徴とする、請求項１〜４のうちの何れか１つに記載の方法。
6. 選択された少なくとも１つのプログラム・モジュールないし選択されたそれの少なくとも１つの部分が、オリジナル・プログラムとして前記計算要素の第１のレベル（レベル１）に割り当てられ、且つテストを実行するためにコピーとして又はオリジナルで、前記計算要素の第２のレベル（レベル１’）に割り当てられることを特徴とする、請求項１〜５のうちの何れか１つに記載の方法。
7. 選択された少なくとも１つのプログラム・モジュールないし選択されたそれの少なくとも１つの部分が、オリジナル・プログラムとしてテストに使用されることを特徴とする、請求項１〜６のうちの何れか１つに記載の方法。
8. 更に、前記計算要素（１２）の安全性に関連する少なくともメモリ・セルのテストが実行されることを特徴とする、請求項１〜７のうちの何れか１つに記載の方法。
9. 前記計算要素が、自動変速機を制御するために、又は機関出力を制御するために、又は電気操作式ブレーキ装置、特に電動式の締付装置を制御するために使用されることを特徴とする、請求項１〜８のうちの何れか１つに記載の方法。
10. 自動車内の計算要素（１２）のモニタ装置であって、前記計算要素が、前記自動車の運転特性に影響を与えるプログラム・モジュール（１１０ないし１１８）を含み、前記計算要素が、前記プログラム・モジュールにより、少なくとも１つの入力変数の関数として、前記自動車の少なくとも１つの機能を制御するために少なくとも１つの出力信号を発生する、自動車内の計算要素（１２）のモニタ装置において、
    前記計算要素（１２）の正しい機能をモニタリングするために選択された、複数のプログラム・ステップを持つ前記プログラム・モジュールの中の少なくとも１つのモジュール、選択された前記少なくとも１つのモジュール又はそのコピーが、計算要素（１２）内でテスト・データに基づいて実行され、該テスト・データの計算の結果がエラー検出のために所定の結果と比較され、選択された前記プログラム・モジュールが、供給されたオリジナル・データ及びテスト・データに基づいて実行され、その際、前記オリジナル・データの供給と前記テスト・データの供給との間で切替えが行われることを特徴とする、自動車内の計算要素のモニタ装置。

Images