JP4727896B2

JP4727896B2 - システムの機能性の監視方法，その監視装置，メモリ素子，コンピュータプログラム

Info

Publication number: JP4727896B2
Application number: JP2002181990A
Authority: JP
Inventors: レーアーディートハルト; ストローマーアクセル
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2001-06-27
Filing date: 2002-06-21
Publication date: 2011-07-20
Anticipated expiration: 2022-06-21
Also published as: FR2826744B1; ITMI20021414A1; ITMI20021414A0; US20030023407A1; JP2003076582A; US6901350B2; FR2826744A1

Description

【０００１】
【発明の属する技術分野】
本発明は，システムの機能性の監視方法，その監視装置，メモリ素子，コンピュータプログラムに関し，さらに詳細には，システムの入力信号，出力信号及び少なくとも１つの機能ユニットを検査することによるシステムの機能性の監視方法等に関する。
【０００２】
【従来の技術】
従来においては，システムの正確な機能性を保証するために，システムの入力信号，出力信号及び機能ユニットを使用することが既知である。
【０００３】
例えば，ＤＥ４１１４９９９Ａ１からは，パワー制御装置の機能性の監視方法が開示されている。制御装置のマイクロコンピュータ内で，制御装置の規定に従った機能が実施される。それに対して，並列に，監視装置内で，同一の規定に従った機能が少なくとも部分的に実施される。マイクロコンピュータと監視装置の出力信号は互いに比較されて，この比較の結果に従って，制御装置が正しく機能しているか否かが判断される。制御装置のエラーのある機能性が検出された場合には，それに応じた代替手段が実施される。
【０００４】
かかる公報において提案されている監視方法は，監視すべきシステムのハードウェアに著しく依存しており，極めて柔軟性がない。提案されている監視方法は，他の規定に従った機能を有する他の制御装置内で容易に実施することはできない。即ち，監視装置内で実行される監視方法を全て手直しして，他の制御装置の変更された機能に適合させなければならない。これは，監視方法の構造的な手直しも含まれる。
【０００５】
また，ＤＥ４４３８７１４Ａ１からは，制御装置の機能性の監視方法が開示されている。制御装置のマイクロコンピュータは，機能平面，監視平面及びコントロール平面に分割されている。機能平面においては，制御装置の規定通りの機能が実施される。監視平面においては，実施された機能が，例えばしきい値比較又は蓋然性検査を用いて検査される。監視平面内では，制御装置の規定に従った（全）機能は実施されるのではなく，監視機能のみが実施される。それにもかかわらず，システムのエラーのある機能の検出を十分な信頼性をもって可能とするために，付加的なコントロール平面が設けられており，その平面内でシステムのハードウェアで実現された要素（例えばメモリ素子又はマイクロプロセッサの）がテストされて，質問−応答−通信を用いてマイクロコンピュータの正しい機能性が検査される。
【０００６】
かかる公報に提案されている監視方法においても，方法の構造が監視すべきシステムのハードウェアに依存しており，極めて柔軟でないという問題がある。監視方法を，他の規定に従った機能を有する他の制御装置へ移し替えることができるようにするためには，この公報に提案されている監視方法においても，まず完全に手直しをしてから，新しいハードウェア及びソフトウェア条件に適合させなければならない。しかしながら，これは，面倒であり高コストである。
【０００７】
なお，本明細書におけるシステムという概念は，例えば任意の制御装置，特に車両制御装置のことである。システムは，例えば電気的なバッテリマネージメント（ＥＢＭ）のための制御装置として形成されている。システムは，サブシステムを有しており，そのサブシステムは，例えば計算機ユニットとして，ＡＳＩＣ（ＡｐｐｌｉｃａｔｉｏｎＳｐｅｃｉｆｉｃＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）として，あるいは電流センサとして形成されている。さらに，システムは，例えばＥＢＭ−アルゴリズムとして，あるいはバッテリシミュレーションとして形成されたユニットと，例えばジェネレータ目標電圧の計算又は任意の数学的機能あるいは三角法の機能を含む部分とを有している。ＥＢＭ−制御装置は，上位に配置された，車両の形式のシステムの構成部分である。ＥＢＭ−制御装置の他に，車両内にはさらに複数の他のシステム，例えばエンジン制御装置とトランスミッション制御装置が設けられている。
【０００８】
【発明が解決しようとする課題】
上記両公報から既知のシステムの機能性の監視方法の構造は，単にシステムのハードウェアに依存するので，監視すべきシステムによって実施される機能の複雑さとは無関係である。かかる方法が，高い複雑さを有する機能を監視するために使用される場合には，方法は理論的には公報に記載通りの構造にされる。しかし，監視すべきシステムによって規定通りに実施される機能の複雑さが増加することによって，監視方法の構造もより複雑になり，益々理解が困難となるという問題がある。
【０００９】
このように，公報に記載されている監視コンセプトは，複雑な機能には適していない。特に，既知の監視コンセプトにおいては，エラー場合に発生したエラーをシステムの所定の機能に対応付けることはできない。このため，エラー診断も好適な代替機能の選択も明らかに困難になる。
【００１０】
したがって，本発明の目的は，ハードウェアに依存することなく，簡易かつ容易に複雑な機能を有するシステムの機能性を監視することが可能な新規かつ改良されたシステムの機能性の監視方法，その監視装置，メモリ素子，コンピュータプログラムを提供することにある。
【００１１】
【課題を解決するための手段】
上記課題を解決するため，本発明の第１の観点においては，システム（１）は少なくとも１つの下位に配置されたサブシステムを有しており，及び／又は上位に配置されたシステム（６）の構成部分であって，かつ前記システム（１）は，センサ（４），アクター（５）及び／又は機能計算機（２）を含むハードウェアで実現された要素を有し，前記システム（１）の入力信号，出力信号及び少なくとも１つの機能ユニットを検査することによって，システム（１）の機能性を監視する方法であって，前記システム（１）の規定に従った機能は，前記機能の複雑さに応じて階層的に少なくとも１つのサブシステム機能に分割され，かつ前記サブシステム機能がさらに少なくとも１つの機能ユニットに分割されており，及び，前記方法は，以下のように構造化されている：−第１の監視層（Ｕ０），前記第１の監視層内でシステム（１）の機能ユニットの１つが，前記機能ユニットの入力信号及び／又は出力信号を考慮して検査される，−前記第１の監視層（Ｕ０）の上位に配置された第２の監視層（Ｕ１），前記第２の監視層内で前記機能ユニットは，さらに，前記機能ユニットに対応付けられたサブシステムの入力信号及び／又は出力信号を考慮して検査される，−前記第２の監視層（Ｕ１）の上位に配置された，少なくとも１つの他の監視層（Ｕ２…Ｕｎ），前記他の監視層内で機能ユニットは，さらに，前記システム（１）の入力信号及び／又は出力信号を考慮して検査される，ことを特徴とするシステムの機能性の監視方法が提供される。
【００１２】
上記記載の発明では，監視方法がモジュラー状に構成されているので容易に拡張可能であって，かつ極めて種々の，複雑さの異なるシステムを監視するために使用することができる。また，監視方法の構造は，原則的に，監視すべきシステムの機能のハードウェアによる実現とソフトウェアによる実現との間を区別しないので，普遍的に使用することができる。また，監視方法の構造は，純粋にシステムの機能ユニットに基づいて定められているので，監視すべきシステムによって規定どおりに実施される機能（例えば開ループ制御機能又は閉ループ制御機能）の複雑さにも依存している。
【００１３】
また，監視方法をモジュラー状にし，かつ構造化されているので，全体として監視方法の明白で理解容易な構造が得られ，最終的により多くユーザに受け入れられる。さらに，発生するエラーを容易かつ一義的に所定の監視層に対応付けし，監視層内部では特に各種機能ユニットに対応付けることができる。これは，同一の監視層の各種機能ユニットのエラーが互いに分離されることによって得られる。このことにより，エラーの原因の探索を著しく簡略化し，かつ著しく加速することができる。さらに，エラー探索の精度と確実性が改良される。システムの監視方法を垂直に構造化するのが好ましい。
【００１４】
なお，個々の監視層内で機能の監視をどのようにして具体的に行うべきかは，各種監視方法が挙げられる。ハードウェアにより実現された要素は，例えばウォッチドッグ，コアテスト又は他の監視モジュールを介して監視することができる。
【００１５】
監視すべきシステムの規定に基づく機能は，機能の複雑さに従って複数の機能層に分割されている。本来のシステム機能は，より上位に設けられている。システム機能は，例えば電子的なバッテリマネージメント（ＥＢＭ）−機能である。システム機能は，少なくとも１つのサブシステム機能に分割されており，例えばマイクロコンピュータ又は電流センサの機能として形成されている。選択された例においては，システム機能とサブシステム機能は，ハードウェアで実現されている。しかし，これらの機能についてソフトウェアで実現された例を選択することも，容易に考えられる。
【００１６】
サブシステム機能は，さらに，少なくとも１つの機能ユニットに分割されており，それがソフトウェア−機能性（例えばバッテリシミュレーション，静止電流マネージメント（ＲＳＭ）又は動的なエネルギマネージメント（ＤＹＮ））として，あるいはハードウェア−機能性（例えば電流測定，電圧測定）として形成されている。各システムの規定に従った機能の複雑さに従って，この分割は他の機能層を付加することによって，さらに任意に続けられる。即ち，機能ユニットをさらに，少なくとも１つの部分機能に分割することができ，それは動的なエネルギマネージメントの例においては簡単な数学的又は三角法の機能として，あるいはジェネレータ目標電圧計算として形成することができる。
【００１７】
第１の監視層から始って，監視の複雑さは層から層へ増大する。第１の監視層において，システムの機能ユニットは，考察ユニットの入力信号及び／又は出力信号（即ち，考察される機能ユニット）を用いて，監視される。第２の監視層においては，機能ユニットは，さらに，考察される機能ユニットが対応付けられているサブシステム内部の他の機能ユニットの入力信号及び／又は出力信号を用いて監視される。第３の監視層においては，システムの機能ユニットはさらに，システム内部の他のサブシステムの入力信号及び／又は出力信号を用いて監視される。
【００１８】
システム機能が，第１の機能層の下方にさらに他の機能層を有する場合（例えば機能ユニットの下方の部分機能）には，第１の監視層においてはシステムの部分機能は考察ユニットの入力信号及び／又は出力信号（即ち，考察される部分機能）を用いて監視される。第２の監視層においては，システムの部分機能はさらに，考察される部分機能が対応付けられている機能ユニット内部の他の部分機能の入力信号及び／又は出力信号を用いて，監視される。第３の監視層においては，部分機能はさらに，考察される部分機能が対応付けられているサブシステム内部の他の機能ユニットの入力信号及び／又は出力信号を用いて，監視される。他の第４の監視層においては，部分機能はさらに，システム内部の他のサブシステムの入力信号及び／又は出力信号を用いて監視される。従ってそれぞれシステムの機能の構造が複雑になるほど，本発明に基づく監視方法の構造もそれだけ複雑になる。
【００１９】
また，前記機能ユニットの検査は，機能ユニット，サブシステム及び／又はシステムの入力信号及び／又は出力信号が最大値を上回り，あるいは最小値を下回ることについて検査されることにより実行され，及び／又は入力信号及び／又は出力信号の勾配が最大値を上回り，あるいは最小値を下回ることについて検査されることによって実行される，如く構成するのが好ましい。
【００２０】
また，前記監視すべきシステム（１）の機能ユニットは，そのエラーのある機能性が予め設定可能な限界リスクを越える安全リスクを表す安全上重要な機能ネットと，前記エラーのある機能性が，限界リスクよりも小さいあるいは等しい安全リスクを表す他の機能ネットとに分割される，如く構成するのが好ましい。安全上重要な機能ネットにおいては，システムの安全を保証するためには，十分に迅速で十分に確実な反応，例えば代替機能の導入又は適切な遮断ストラテジーが必要である。他の機能ネットにおいては，適当に反応するために，十分な時間があり，あるいは代替機能が失敗した場合に，システムの安全を脅かす状態が生じることはない。
【００２１】
また，前記機能ネットの機能性にエラーがある場合に，安全上重要な機能ネットがエラーのある機能性を有しているか，あるいは他の機能ネットがそうであるかに応じて代替手段が選択される，如く構成するのが好ましい。
【００２２】
また，前記代替手段は，非常駆動及び／又は非常遮断を有する，如く構成することができる。
【００２３】
また，前記方法は，前記システム（１）の全ての機能ユニットに適用される，如く構成するのが好ましい。このことは，システムの各機能ユニットが，上記構造化された監視方法によって検査されることを意味している。このようにしてシステム全体の機能性に関する確実な説明を行うことができる。
【００２４】
また，前記システムの全ての機能ユニットが秩序どおりに機能している場合に，前記システム（１）の秩序どおりの機能性が確認される，如く構成すれば，検査された機能ユニットの１つが秩序通りに機能していない場合には，すぐに，システム全体がエラーがあると認識される。エラー場合においては，好適な代替手段が選択されて実施される。代替手段は，エラーのある考察ユニット（機能ユニット）に加えて，あるいはその代わりに実施することができる。
【００２５】
上記課題を解決するため，本発明の第２の観点においては，システム（１）は少なくとも１つの下位に配置されたサブシステムを有し，及び／又は上位に配置されたシステム（６）の構成部分であって，前記システム（１）は，センサ（４），アクター（５）及び／又は機能計算機（２）を含むハードウェアで実現された要素を有する，前記システム（１）の入力信号，出力信号及び少なくとも１つの機能ユニットを検査することによって，システム（１）の機能性を監視する方法であって，前記システム（１）の規定に従った機能は，前記機能の複雑さに従って階層的に，少なくとも１つのサブシステム機能に分割され，かつさらに少なくとも１つの機能ユニットに分割され，及び−第１の監視層（Ｕ０）内では，システム（１）の機能ユニットの１つが，前記機能ユニットの入力信号及び／又は出力信号を考慮して検査され；−前記第１の監視層（Ｕ０）の上位に配置された第２の監視層（Ｕ１）内では，前記機能ユニットは，さらに，前記機能ユニットに対応付けられたサブシステムの入力信号及び／又は出力信号を考慮して検査され；−第２の監視層（Ｕ１）の上位に配置された少なくとも１つの他の監視層（Ｕ２…Ｕｎ）内で，前記機能ユニットは，さらに，前記システム（１）の入力信号及び／又は出力信号を考慮して検査される，ことを特徴とするシステムの機能性の監視方法が提供される。
【００２６】
上記記載の発明では，監視方法がモジュラー状に構成されているので容易に拡張可能であって，かつ極めて種々の，複雑さの異なるシステムを監視するために使用することができる。また，監視方法の構造は，原則的に，監視すべきシステムの機能のハードウェアによる実現とソフトウェアによる実現との間を区別しないので，普遍的に使用することができる。
【００２７】
また，上記課題を解決するため，本発明の第３の観点においては，請求項１から７のうちいずれか１項に記載の方法を実施することが可能なコンピュータプログラムが格納されている，ことを特徴とするシステム（１）の機能性を監視する装置のためのメモリ素子が提供される。メモリ素子上にはコンピュータプログラムが格納されており，そのコンピュータプログラムは計算装置上，特にマイクロプロセッサ上で実行可能であって，かつ本発明にかかる方法を実施することができる。なお，メモリ素子として，特に電気的なメモリ媒体，例えばリードオンリーメモリ，ランダムアクセスメモリ又はフラッシュメモリを使用することができる。
【００２８】
上記課題を解決するため，本発明の第４の観点においては，コンピュータに対し，請求項１から７のいずれか１項に記載の方法を実施させる，コンピュータプログラムが提供される。
【００２９】
また，前記コンピュータプログラムは，メモリ素子（３）に格納されている，如く構成すれば，特にリードオンリーメモリ，ランダムアクセスメモリ又はフラッシュメモリ上に格納されていると，効果的である。
【００３０】
上記課題を解決するため，本発明の第５の観点においては，システムは少なくとも１つの下位に配置されたサブシステムを有し，及び／又は上位に配置されたシステム（６）の構成部分であって，かつセンサ（４），アクター（５）及び／又は機能計算機（２）を含むハードウェアで実現された要素を有しており，その場合に，前記システム（１）の入力信号，出力信号及び少なくとも１つの機能ユニットを検査する手段を有する，システム（１）の機能性を監視する装置であって，前記システム（１）の規定に従った機能は，前記機能の複雑さに応じて階層的に，少なくとも１つのサブシステム機能に分割され，かつさらに少なくとも１つの機能ユニットに分割されており，及び，前記装置は，以下のもの，即ち：−前記システム（１）の機能ユニットの１つを，前記機能ユニットの入力信号及び／又は出力信号を考慮して検査する第１の監視層（Ｕ０）の手段；−前記機能ユニットを，さらに，前記機能ユニットに対応付けられたサブシステムの入力信号及び／又は出力信号を考慮して検査する，前記第１の監視層（Ｕ０）の上位に配置された第２の監視層（Ｕ１）の手段と，−前記機能ユニットを，さらに，前記システム（１）の入力信号及び／又は出力信号を考慮して検査する，第２の監視層（Ｕ１）の上位に配置された，少なくとも１つの他の監視層（Ｕ２…Ｕｎ）の手段と，を有する，ことを特徴とするシステムの機能性の監視装置が提供される。
【００３１】
上記記載の発明では，監視方法がモジュラー状に構成されているので容易に拡張可能であって，かつ極めて種々の，複雑さの異なるシステムを監視するために使用することができる。また，監視方法の構造は，原則的に，監視すべきシステムの機能のハードウェアによる実現とソフトウェアによる実現との間を区別しないので，普遍的に使用することができる。各種層の手段は，ハードウェアによって，あるいはソフトウェアによって実現することができる。それらは，例えばウォッチドッグ，コアテスト又は他の監視モジュールを有している。また，各種入力信号及び／又は出力信号を最大値を超えること，あるいは最小値を下回ることについて検査するために，それら手段が比較器を有することもできる。さらに，手段は，勾配形成手段を有することができ，その場合に比較器は入力信号及び／又は出力信号の勾配を最大値を上回るか，あるいは最小値を下回るかについて検査する。
【００３２】
【発明の実施の形態】
以下に添付図面を参照しながら，本発明の好適な実施の形態について詳細に説明する。なお，本明細書及び図面において，実質的に同一の機能構成を有する構成要素については，同一の符号を付することにより重複説明を省略する。
【００３３】
（第１の実施の形態）
まず，図１に基づいて，本実施形態にかかるシステムの機能性の監視装置について説明する。なお，図１は，本実施形態にかかるシステムの機能性の監視装置の構成を示すブロック図である。
【００３４】
まず，図１に示すように，本実施形態にかかるシステムの機能性の監視装置は，制御装置として形成されたシステム１を示す。かかるシステムにより，本実施形態にかかる機能性を監視することができる。制御装置１は，メモリ素子３を有しており，そのメモリ素子は好ましくは電気的なメモリ媒体として，特に消去可能かつプログラム可能なリードオンリーメモリ（ＥＰＲＯＭ）として形成されている。
【００３５】
メモリ素子３上には，制御装置１の計算装置２上で実行された場合に，本実施形態にかかる監視方法を実施するのに好適なコンピュータプログラムが格納されている。計算装置２は，特にマイクロプロセッサとして形成されている。計算装置２上でコンピュータプログラムを実施するために，プログラムは，全部あるいは指令に応じてメモリ素子３から計算装置２に伝達される。
【００３６】
コンピュータプログラム内には，実施形態にかかる監視方法の垂直の構造化が以下のように（即ち，方法がシステム１の複雑さに従って複数の監視層Ｕ０，Ｕ１，Ｕ２…Ｕｎに分割されるように），移植されている。
【００３７】
制御装置１は，センサ４の入力信号を得て，出力信号をアクター５に出力する。出力信号は，制御装置１の規定に従った機能を満たすことにおいて，マイクロプロセッサ２内で開ループ及び／又は閉ループ制御を処理する範囲内で生成される。開ループ制御及び／又は閉ループ制御プログラムは，同様に，制御装置１のメモリ素子３に格納して，処理のために全体として，あるいは指令に応じてマイクロプロセッサ２内にロードすることができる。本実施形態にかかる監視方法を実施するためのコンピュータプログラムは，開ループ制御及び／又は閉ループ制御プログラムと共通のプログラムに統合することができる。
【００３８】
次に，本実施形態にかかるシステムの機能性の監視方法について，図２〜図８に基づいて説明する。なお，本実施形態にかかるシステムの機能性の監視方法は，監視すべきシステムの規定に従った機能の複雑さに従って垂直に構造化されている。システムの規定に従った機能は，例えば開ループ制御機能又は閉ループ制御機能である。本実施形態にかかる構造化は，システムのハードウェアには無関係であって，極めてフレキシブルである。
【００３９】
監視すべきシステム１の規定に従った機能を，そのエレメントに分解して考えてみる。機能エレメントとして示されるのは，システム１の最も小さいユニットであって，それは−必要な場合には−監視機能ＵＦによって監視される。しかし監視は，最も小さいユニット内で行う必要はなく，複数の機能エレメントからなるモジュールにおいて行うことも可能である。
【００４０】
まず，図２に示すように，車両の形式の上位に配置されたシステムは，符号Ａで示されている。上位に配置されたシステムＡは，種々のシステム，特に，ＡＡで示される電気的なバッテリマネージメント（ＥＢＭ）−制御装置を有している。
【００４１】
ＥＢＭ−制御装置ＡＡの他に，さらに，他のシステムＡＢも車両Ａの構成部分である。他のシステムＡＢは，例えばエンジン制御装置として，又はトランスミッション制御装置として形成されている。ＥＢＭ−制御装置ＡＡは，２つのサブシステムＡＡＡとＡＡＢに分割されており，それらは例えば計算装置２として，あるいはメモリ素子３として形成されている。他のシステムＡＢは，サブシステムＡＢＡとＡＢＢに分割されている。
【００４２】
サブシステムＡＡＡ，ＡＡＢは，さらに複数のユニットＡＡＡＡ，ＡＡＡＢ，ＡＡＢＡ，ＡＡＢＢに分割されている。同様に，他のシステムＡＢのサブシステムＡＢＡとＡＢＢにも該当する。ユニットＡＡＡＡ，ＡＡＡＢ，ＡＡＢＡ，ＡＡＢＢは，例えば静止電流マネージメント（ＲＳＭ）として，あるいは動的なエネルギマネージメント（ＤＹＮ）として形成されている。
【００４３】
ユニットＡＡＡＡ，ＡＡＡＢ，ＡＡＢＡ，ＡＡＢＢ自体，各種部分に分割されている。ユニットＡＡＡＡは，部分ＡＡＡＡＡ，ＡＡＡＡＢ及びＡＡＡＡＣに分割され，ユニットＡＡＡＢは部分ＡＡＡＢＡ，ＡＡＡＢＢ及びＡＡＡＢＣに分割されている。同様に，ユニットＡＡＢＡは，部分ＡＡＢＡＡ，ＡＡＢＡＢ及びＡＡＢＡＣに分割され，ユニットＡＡＢＢは，部分ＡＡＢＢＡ，ＡＡＢＢＢ及びＡＡＢＢＣに分割されている。同様に，他のシステムＡＢのサブシステムＡＢＡとＡＢＢのユニットＡＢＡＡ，ＡＢＡＢ，ＡＢＢＡ及びＡＢＢＢにも該当する。ユニットは，例えばジェネレータ電圧計算を有する。
【００４４】
従って，監視すべきシステムＡＡの規定に従った機能は，機能の複雑さに従って複数の機能層に分割されている。本来の制御機能は，極めて上位に（システムＡＡ内）設けられている。システム機能は，例えば電子的なバッテリマネージメント（ＥＢＭ）−機能である。システム機能は，少なくとも１つのサブシステム機能（サブシステムＡＡＡとＡＡＢ）に分割されており，それは例えばマイクロコンピュータ又は電流センサの機能として形成されている。
【００４５】
サブシステム機能は，またそれぞれ少なくとも１つの機能ユニット（ユニットＡＡＡＡ，ＡＡＡＢ，ＡＡＢＡ及びＡＡＢＢに）に分割されており，それはソフトウェア機能性（バッテリシミュレーション，静止電流マネージメント又は動的電流マネージメント）として形成されている。各々システムの機能の複雑さに応じて，この分割がさらに任意に続行される。即ち，機能ユニットをさらに少なくとも１つの部分機能に分割することができ（部分ＡＡＡＡＡ，ＡＡＡＡＢ，ＡＡＡＡＣ，ＡＡＡＢＡ，ＡＡＡＢＢ，ＡＡＡＢＣ，ＡＡＢＡＡ，ＡＡＢＡＢ，ＡＡＢＡＣ，ＡＡＢＢＡ，ＡＡＢＢＢ，ＡＡＢＢＣに），それは動的な電流マネージメントにおいては単純な三角法の機能として，あるいはジェネレータ目標電圧計算として形成されている。
【００４６】
次に，図３から図８に基づいて，本実施形態にかかる種々の監視層を有する層モデルについて説明する。なお，図３は，本実施形態にかかる監視方法の層モデルを示す説明図である。なお，本実施形態にかかる監視方法の層モデルは，（下方の）第１の監視層Ｕ０から始って，監視の複雑さは層から層へ増大する。
【００４７】
図３に示すように，システムＡＡ，ＡＢの規定に従った機能のこの機能的な構造化において，本実施形態にかかる方法が開始される。本実施形態にかかる方法は，システムＡＡの所定のユニットから始る。
【００４８】
これは，図４に示すように，部分機能ＡＡＡＢＡである。第１の監視層Ｕ０において，部分機能ＡＡＡＢＡは，この部分機能ＡＡＡＢＡの入力信号６及び／又は出力信号７を使用して，この部分機能に対応付けられた監視機能ＵＦＡＡＡＢＡによって検査される。
【００４９】
第１の監視層Ｕ０の上位に配置された第２の監視層Ｕ１においては，図５に示すように，部分機能ＡＡＡＢＡは，さらに，機能ユニットＡＡＡＢ（考察される部分機能ＡＡＡＢＡがこれに対応付けられている）の他の部分機能ＡＡＡＢＢの入力信号８及び／又は出力信号９によって検査される。他の部分機能ＡＡＡＢＢは，考察される部分機能ＡＡＡＢＡと同じ機能ユニットＡＡＡＢの一部である。
【００５０】
第２の監視層Ｕ１の上位に配置された第３の監視層Ｕ２内では，図６に示すように，部分機能ＡＡＡＢＡは，さらに，機能ユニットＡＡＡＢ（該当する部分機能ＡＡＡＢＡがこれに対応付けられている）とは異なる機能ユニットＡＡＡＡの入力信号１０及び／又は出力信号１１を用いて検査される。機能ユニットＡＡＡＡは，サブシステムＡＡＡの一部であって，考察される部分機能ＡＡＡＢＡもこのサブシステムに対応付けられている。
【００５１】
第３の監視層Ｕ２の上位に配置された第４の監視層Ｕ４内では，図７に示すように，部分機能ＡＡＡＢＡは，さらに，考察される部分機能ＡＡＡＢＡが対応付けられているサブシステムＡＡＡとは異なるサブシステムＡＡＢの入力信号１２及び／又は出力信号１３を用いて検査される。サブシステムＡＡＢは，システムＡＡの一部であって，考察される部分機能ＡＡＡＢＡもこのシステムＡＡに対応付けられている。
【００５２】
複数の監視機能ＵＦが通過する監視シーケンスは，これら監視機能ＵＦのための中央の個所で準備することができる。それによって，この監視シーケンスは，例えばエラーメモリ記入のために，全ての監視機能ＵＦに提供される。個々の監視機能ＵＦは，機能ユニットの所定の基本機能性（例えば駆動過電圧認識）を検査し，かつ大きな手間なしで他の監視機能ＵＦのために再利用することができる。例えば１つの監視機能ＵＦの通信プロトコルを他の監視機能ＵＦに再利用することができ，その通信プロトコルを介して種々の監視機能ＵＦが互いにデータを交換する。
【００５３】
本実施形態にかかる監視方法は，任意のシステム上で使用することができる。場合によって発生するエラーは，同一の監視層の種々の機能ユニットから分離される。このことにより，エラーの原因を探す場合に，エラー源をより簡単に求めることができる。本実施形態にかかる監視方法は，エラーを個々の監視層，従ってシステム１の機能ユニットに容易に明確に対応付けることができる。各監視層内では単に入力信号及び／又は出力信号のみが監視されるので，従来技術と比較して監視に基づく，全体として少ないエラー源が提供され，最終的にそのエラー源を簡易かつ正確に求めることもできる。
【００５４】
システム１の監視に対する最低要請は，いつシステム１がもはや規格化（Specification）されたように行動しなくなったかを認識できることである。理想的な場合においては，さらに，システム１は，エラーが発生した場合でも規格化されて行動することを保証することができる。これは，冗長性が存在していることを前提としており，その冗長性はコスト上の理由から安全上重要であると分類されたシステムにおいてのみ実現される。従って，残りの全てのシステム１においては，監視は，多くの場合に，いつシステム１がもはや規格化されたように行動しなくなったかを認識することに限定される。
【００５５】
この関連において，規格化とは，システムに設定された全ての要請の合計ということである。要請は，例えば「故障した場合の安全（フェイルセーフ：Ｆａｉｌ−ｓａｆｅ）」，「エラー許容誤差（ｆａｕｌｔ−ｔｏｌｅｒａｎｃｅ）」，「機能的安全性（ｆｕｎｃｔｉｏｎａｓａｆｅｔｅｙ）又は「制御装置は６Ｖと２０Ｖの間の駆動電圧について制限されずに機能可能」とすることができる。
【００５６】
これらの要請は，各システムについて異なっているので，本実施形態にかかる方法のように，普遍的に有効な監視コンセプトは，種々の要請を有する様々なシステムに柔軟に使用できることを特徴としている。これは，それに応じた機能構造を必要とし，その機能構造は，種々のシステムが（安全性に関して）異なる要請を満足させる場合でも，監視要素をそれらのシステムに使用することができる。
【００５７】
システム１の監視は，システム１の規定に従った機能に対して並列に進行し，例えば計算容量の消費によって，これらの機能の実施を制限してはならない。監視の結果（特にエラー）に，システム１は直接反応することができる。さらに，エラーは，永続的に格納されて，即座に，あるいは後にエラー分析のために利用することができる。
【００５８】
エラーの診断は，通常，工場内で好適な診断テスターを介して呼び出すことができる監視の構成部分である。それに該当するのは，例えば，格納されているエラーを分析に供給することができる可能性である。そのためには，好適なインターフェイスが必要である。このインターフェイスは，標準化されたプロトコルに基づいており，好適な診断テスターを駆動することができる。即ち，制御装置と診断テスターとの間で双方向のデータフローが可能である。
【００５９】
診断は，以下の可能性を提供する：
ａ）エラーメモリを読み出して，消去する，
ｂ）選択された機能の出力信号を読み出す（例えばセンサ量），
ｃ）選択された機能の入力信号の値を変更する（例えばアクターを駆動するため），及び，
ｄ）制御装置固有のデータを記憶する（例えばシリーズナンバー）。
【００６０】
さらに，診断に該当するのは，比較的長い期間にわたって収集されて，システム行動の分析のために必要とされるデータ列（いわゆるヒストリーデータ）の計算である（開発支援するデータ）。ヒストリーデータは，システムの機能にとっては，不要である。
【００６１】
本実施形態においては，システム１の要素は，特別な方法で分類される。その場合に，要素が実現される方法（ハードウェア又はソフトウェア）の間で区別は行われない。むしろ，システム１の要素は，ただその機能性に従って分類されている。
【００６２】
監視層を有する層モデルは，図８に示すように，以下のような他の層モデルとすることもできる。以下説明する。
【００６３】
図８に示すように，監視方法の種々の監視層を有する層モデルは，（下方の）第１の監視層Ｕ０から始って，監視の複雑さは層から層へ増大する。本実施形態にかかる方法の考察は，システムＡＡの所定のユニットに基づいている。この場合には，これは機能ユニットＡＡＡＡ，ＡＡＡＢ，ＡＡＢＡ，ＡＡＢＢである。
【００６４】
かかる層モデルにおいては，第１の監視ユニットＵ０内で，考察される機能ユニットＡＡＡＡ，ＡＡＡＢ，ＡＡＢＡ又はＡＡＢＢは，この機能ユニットの入力信号及び／又は出力信号を考慮して，この機能ユニットに対応付けられた監視機能ＵＦによって検査される。第１の監視層Ｕ０の上位に配置された第２の監視層Ｕ１内で，考察される機能ユニットＡＡＡＡ，ＡＡＡＢ，ＡＡＢＡ又はＡＡＢＢは，さらに，考察される機能ユニットが対応付けられているサブシステムＡＡＡ又はＡＡＢの入力信号及び／又は出力信号を考慮して検査される。
【００６５】
第２の監視層Ｕ１の上位に配置された第３の監視層Ｕ２内で，考察される機能ユニットＡＡＡＡ，ＡＡＡＢ，ＡＡＢＡ又はＡＡＢＢは，さらに，考察される機能ユニットが対応付けられ，かつその機能性を検査すべきシステムＡＡの入力信号及び／又は出力信号を考慮して監視される。システムＡＡの全ての監視される機能ユニットＡＡＡＡ，ＡＡＡＢ，ＡＡＢＡ及びＡＡＢＢが，秩序通りに機能していることが認識された場合に，システムＡＡは全体として秩序どおりであると推定される。
【００６６】
以上，本発明に係る好適な実施の形態について説明したが，本発明はかかる構成に限定されない。当業者であれば，特許請求の範囲に記載された技術思想の範囲内において，各種の修正例および変更例を想定し得るものであり，それらの修正例および変更例についても本発明の技術範囲に包含されるものと了解される。
【００６７】
【発明の効果】
監視方法がモジュラー状に構成されているので容易に拡張可能であって，かつ極めて種々の，複雑さの異なるシステムを監視するために使用することができる。また，監視方法の構造は，原則的に，監視すべきシステムの機能のハードウェアによる実現とソフトウェアによる実現との間を区別しないので，普遍的に使用することができる。
【図面の簡単な説明】
【図１】本実施形態にかかる監視方法を実施するための制御装置を示すブロック図である。
【図２】本実施形態にかかる監視方法によって監視されるシステムの構造を示す説明図である。
【図３】本実施形態にかかる監視方法の構造を示す説明図である。
【図４】本実施形態にかかる方法の第１の監視平面のための機能ダイアグラムである。
【図５】本実施形態にかかる方法の第２の監視平面のための機能ダイアグラムである。
【図６】本実施形態にかかる方法の第３の監視平面のための機能ダイアグラムである。
【図７】本実施形態にかかる方法の第４の監視平面のための機能ダイアグラムである。
【図８】本実施形態にかかる監視方法の他の構造を示す説明図である。
【符号の説明】
１システム
２計算装置（マイクロプロセッサ）
３メモリ素子
４センサ
５アクター

Claims

システムが少なくとも１つの下位に配置されたサブシステムを有し，及び／又は上位に配置されたシステムの要素であり，前記システムがセンサ，アクター及び／又は機能計算機を含むハードウェアで実現された要素を有し，前記システムの入力信号，出力信号及び少なくとも１つの機能ユニットを検査して，前記システムの機能性を監視する方法であって，
前記システムの規定に従った機能が前記機能の複雑さに応じて階層的に少なくとも１つのサブシステム機能に分割され，前記サブシステム機能がさらに少なくとも１つの機能ユニットに分割されており，
前記方法において，
第１の監視層では，前記システムの機能ユニットの１つが，前記機能ユニットの入力信号及び／又は出力信号に基づき検査され，
前記第１の監視層の上位に配置された第２の監視層では，前記機能ユニットが，さらに，前記機能ユニットに対応付けられたサブシステムの入力信号及び／又は出力信号に基づき検査され，
前記第２の監視層の上位に配置された少なくとも１つの他の監視層では，前記機能ユニットが，さらに，前記システムの入力信号及び／又は出力信号に基づき検査される，
ことを特徴とするシステムの機能性の監視方法。
前記機能ユニットの検査は，機能ユニット，サブシステム及び／又はシステムの入力信号及び／又は出力信号が最大値を上回ること，あるいは最小値を下回ることについて検査されることにより実行され，及び／又は入力信号及び／又は出力信号の勾配が最大値を上回ること，あるいは最小値を下回ることについて検査されることによって実行される，ことを特徴とする請求項１に記載のシステムの機能性の監視方法。
前記監視すべきシステムの機能ユニットは，そのエラーのある機能性が予め設定可能な限界リスクを越える安全リスクを表す安全上重要な機能ネットワークと，前記エラーのある機能性が，限界リスクよりも小さい又は等しい安全リスクを表す他の機能ネットワークとに分割される，ことを特徴とする請求項１又は２に記載のシステムの機能性の監視方法。
前記機能ネットワークの機能性にエラーがある場合に，前記安全上重要な機能ネットワークがエラーのある機能性を有しているか，あるいは前記他の機能ネットワークが有しているかに応じて代替手段が選択される，ことを特徴とする請求項３に記載のシステムの機能性の監視方法。
前記代替手段は，非常駆動及び／又は非常遮断を有する，ことを特徴とする請求項４に記載のシステムの機能性の監視方法。
前記監視方法は，前記システムの全ての機能ユニットに適用される，ことを特徴とする請求項１，２，３，４あるいは５項のうちいずれか１項に記載のシステムの機能性の監視方法。
前記システムの全ての機能ユニットが秩序どおりに機能している場合に，前記システムの秩序どおりの機能性が確認される，ことを特徴とする請求項６に記載のシステムの機能性の監視方法。
システムが少なくとも１つの下位に配置されたサブシステムを有し，及び／又は上位に配置されたシステムの要素であり，前記システムがセンサ，アクター及び／又は機能計算機を含むハードウェアで実現された要素を有し，前記システムの入力信号，出力信号及び少なくとも１つの機能ユニットを検査して，前記システムの機能性を監視する方法であって，
前記システムの規定に従った機能が前記機能の複雑さに応じて階層的に少なくとも１つのサブシステム機能に分割され，前記サブシステム機能がさらに少なくとも１つの機能ユニットに分割されており，
第１の監視層では，前記システムの機能ユニットの１つが，前記機能ユニットの入力信号及び／又は出力信号に基づき検査され，
前記第１の監視層の上位に配置された第２の監視層では，前記機能ユニットが，さらに，前記機能ユニットに対応付けられたサブシステムの入力信号及び／又は出力信号に基づき検査され，
前記第２の監視層の上位に配置された少なくとも１つの他の監視層では，前記機能ユニットが，さらに，前記システムの入力信号及び／又は出力信号に基づき検査される，
ことを特徴とするシステムの機能性の監視方法。
請求項１から７項のうちいずれか１項に記載の方法を実施することが可能なコンピュータプログラムが格納されている，ことを特徴とするシステムの機能性を監視する装置のためのメモリ素子。
コンピュータに対し，請求項１から７項のいずれか１項に記載の方法を実施させる，ことを特徴とするコンピュータプログラム。
前記コンピュータプログラムは，メモリ素子に格納されている，ことを特徴とする請求項１０に記載のコンピュータプログラム。
システムが少なくとも１つの下位に配置されたサブシステムを有し，及び／又は上位に配置されたシステムの要素であり，前記システムがセンサ，アクター及び／又は機能計算機を含むハードウェアで実現された要素を有し，前記システムの入力信号，出力信号及び少なくとも１つの機能ユニットを検査する手段を有する，前記システムの機能性を監視する装置であって，
前記システムの規定に従った機能が前記機能の複雑さに応じて階層的に少なくとも１つのサブシステム機能に分割され，前記サブシステム機能がさらに少なくとも１つの機能ユニットに分割されており，
前記システムの機能ユニットの１つを，前記機能ユニットの入力信号及び／又は出力信号に基づき検査する第１の監視層の手段と，
前記機能ユニットを，さらに，前記機能ユニットに対応付けられたサブシステムの入力信号及び／又は出力信号に基づき検査する，前記第１の監視層の上位に配置された第２の監視層の手段と，
前記機能ユニットを，さらに，前記システムの入力信号及び／又は出力信号に基づき検査する，第２の監視層の上位に配置された少なくとも１つの他の監視層の手段と，
を有することを特徴とするシステムの機能性の監視装置。