JP4494964B2 - 安全上重要な制御システムの機能を監視し、運転信頼性を高める方法 - Google Patents

Description

本発明は、安全上重要な複雑な制御システム、例えば、ＡＢＳ，ＴＣＳ，ＥＳＰ，「ブレーキ・バイ・ワイヤ」システム（ＥＨＢ，ＥＭＢ），「ステアリング・バイ・ワイヤ」システムその他の自動車制御システムの機能を監視し、その運転信頼性を高め且つシステムエラーを検出し評価する方法に関する。

上述した自動車制御システムが属する安全上重要なシステムは、システムエラーの検出時でも所定の機能を保証する手段を必要とする。通常運転中に検出された１つのエラーを１つのシステム構成要素に直接に割り当てることは多くの場合は不可能である。グループエラーとも呼ばれるこのようなエラーは、多くの場合、システム内の特定の１つの物理量が監視できなかったという情報だけを持っている。故障診断とも呼ばれる特別な試験を実施して初めて、エラーを含む当該システム構成要素を認識すること（このことは、グループエラーを単一エラーに変更することを意味する）、及び、（システムの適切な縮小運転によって）エラーの影響に適合させることを可能にする。

当該故障診断が問題なく終了され得る前に（例えば、電圧が低下するので又は早すぎる故障が試験の実施に必要なシステム構成要素の利用を不可能にするので、場合によっては、この故障診断が遅れて実施される、つまり故障診断が不可能である）、当該システムは、不定状態にある：１つのエラー状態が認識されるものの、当該システムを適切に適合させることはできない。

今日、この問題の解決手段が、様々なエラー分析方法で模索されている。これらのエラー分析方法は、最初のエラーチェックの結果として判定マトリクス（「エラー−＞システムの影響」）を提供する。システムの機能に対するエラーの影響が、この判定マトリクスによって把握される。この場合、グループエラーが、多数のシステム構成要素のエラーに同時に起因しうるので、これらのグループエラーは、特に面倒な分析ケースに属する。この理由から、グループエラーの影響を評価すること、及び、システム全体で満足のいく縮小運転ステップをこのグループエラーに対して見つけ出すことは、多くの場合に不可能である。この解決手段のその他の欠点は、当該全体的な適合から個々のエラーの適合へ移行することが、エラー診断の問題のない終了後だけで可能である点にある。診断が一時的なイベントに起因して遅れるか、又は、診断が早期に発生したエラーに起因して完全に阻止される場合、システム全体の多くの場合に重大で大幅な縮小運転が持続することになる。このことは同様に、システムの可用性及びシステムの信頼性に悪影響を及ぼす。

本発明の課題は、一方ではシステムエラーの発生時に制御システムをあらゆる局面で所定の状態に保持し、他方では制御に対するシステムエラーの影響を最低限に抑える方法を改良することである。

この課題は、請求項１に記載の方法によって解決される。この方法は、主に以下のステップに基づく：
システムエラーを検出し、グループエラーとして評価し、
当該システムの全体を縮小運転するか又は当該システムの前記グループエラーに対応する部分を縮小運転し、すなわち当該システムの機能及び当該システムの可用性を制限し、 試験，この試験の結果の論理結合，妥当性チェック等によって、前記システムエラー及びエラー源を特定し、
前記システムエラー及び前記エラー源を特定つまり診断する個々のステップの結果に応じて、当該システムの機能の制限をそのステップごとに解除して当該システムの可用性を高める。

すなわち本発明の方法によれば、エラーの発生時に、システムの所定の機能の維持が、このエラーを確認する前に既に保証され、当該エラーの発生直後のエラー診断中に、エラーの影響を最低限に抑えようとする。

本発明のその他の特徴、利点及び詳細は、以下の説明及び添付図面に記載されている。

図１〜３は、本発明の方法の基本動作及び作用を本発明の簡略化して示された実施の形態に基づいて具体的に示す。

本発明によれば、最初に、グループエラーＧＦ（図１参照）の影響が、全ての単一エラーＦ１〜Ｆ６の影響の重ね合わせと同等に扱われる。それ故に、グループエラーＧＦの発生時の当初は、システム全体が縮小運転される。システムのこの縮小運転下は、単一エラーＦ１〜Ｆ６の影響の重ね合わせの結果とみなされる。その後に、当該システムのこの縮小運転、すなわち当該グループエラーＧＦに起因したシステムの機能及びシステムの可用性の制限は、単一エラーＦ１〜Ｆ６を特定する過程に応じて再び解除される。

図１の実施の形態では、グループエラーＧＦが、平行して同時に進行する３つの診断Ｌ１１，Ｌ２１，Ｌ３１を開始する。その次のステップでは、これらの診断の各々が、２つずつの単一エラーＦ１，Ｆ２；Ｆ３，Ｆ４；Ｆ５，Ｆ６の診断を実施可能にする。この最初の診断ステップ（Ｌ１１，Ｌ２１，Ｌ３１）の終了前に、システムの縮小運転が、当該単一エラーＦ１〜Ｆ６の影響の重ね合わせとして決定される。

図２の例では、最初の診断ステップ（Ｌ１１，Ｌ２１，Ｌ３１）は、１つのエラーが診断Ｌ２１の範囲内だけに存在するという結果を招く。診断Ｌ１１，Ｌ３１は、エラーを発見しなかった；単一エラー源Ｆ１，Ｆ２及びＦ５，Ｆ６は除外される。依然としてＦ３，Ｆ４だけが、エラー源として考慮されるとの認識に応じて、上述した最初の診断ステップ前に開始されたシステムの機能及びシステムの可用性の制限が緩和され得る。当該２番目の診断ステップの終了後に、当該システムの縮小運転は、単一エラーＦ３及びＦ４の影響の重ね合わせの結果とみなされる。

当該診断が継続される。図３は、この継続を示す。この図３の例では、上述した２番目の診断ステップの終了後に、単一エラーＦ３だけがシステム内に存在することが確定している。システムの縮小運転は、この単一エラーＦ３の影響から直接生じる。

当該システムエラーの特定つまりエラー源の診断は、既知の方法に基づいて実施される。診断結果が、多様な方式で、例えば試験，この試験の結果の論理結合，妥当性チェック等によって得られる。

したがって本発明は、様々な種類の技術的な用途に適した方法に関する。この方法は、発生するグループエラーに基づいて進行する診断の間の安全上重要な任意のシステムの縮小運転を動的に最低限に抑える可能性を提供する。あらゆる技術分野で使用可能なこの方法は、システムの可用性を著しく高め、特定の困難なグループエラーの全体的なエラーを対象とする今日一般に実施される方法より決定的に高いシステムの安全性を最終的に保証する。

単一エラーが確認される段階まで、グループエラーに起因したシステムの最初の縮小運転が、ステップごとの当該エラー診断によって継続して且つ絶え間なく最低限に抑えられる。診断が、一時的なイベントに起因して遅れるか又は早期のエラーに起因して完全に中断される場合、システムの縮小運転は、（依然として）排除されていない単一エラーの影響に拘束される。

本発明の方法は、従来の方法と比べて特に以下の利点を奏する：

グループエラーの影響が、容易に特定可能な該当する単一エラーに関する影響の全てから自動的に得られる。グループエラーに対するエラー分析が省略される。

グループエラーの影響が、診断の進行と共に弱まる；システムの可用性及び信頼性が動的に著しく高まる。

グループエラーが最後まで特定できなかった場合、特別な処置は不要である。

単一エラーを特定するまでのグループエラーの発生時の個々のステップを図式的に簡略化し且つ例示的に示す。 図１の実施の形態に対する特別な特定ステップを図１と同様に示す。 図１の実施の形態に対する特別な特定ステップを図１と同様に示す。

Claims (1)

1. 安全上重要な複雑な制御システム、ＡＢＳ，ＴＣＳ，ＥＳＰ，「ブレーキ・バイ・ワイヤ」システム（ＥＨＢ，ＥＭＢ）、「ステアリング・バイ・ワイヤ」システム、又は、その他の自動車制御システムの機能を監視し、その運転信頼性を高め且つシステムエラーを検出し評価する方法において、
   システムエラーを検出し、このシステムエラーをエラーの特性によってグループ化し、かつ、いくつかのシステム構成要素を停止するグループエラーとして評価し、
   当該システムの全体を縮小運転するか又は当該システムの前記グループエラーに対応する部分を縮小運転し、すなわち当該システムの機能及び当該システムの可用性を制限し、
   試験、及び／又は、この試験の結果の論理結合、及び／又は、妥当性チェックによって、前記システムエラー及びエラー源を特定し、
   前記システムエラー及び前記エラー源を特定するために、個々のステップの結果に応じて、引き起こされたシステム縮小を徐々に解除するが、完全に解除せず、部分的なシステム縮小の領域内部で、前記システム縮小を徐々に解除するステップを特徴とする方法。

Images