JP6189342B2

JP6189342B2 - 機能安全を改善し、電子閉ループ制御システムの可用性を増す方法、および電子閉ループ制御システム

Info

Publication number: JP6189342B2
Application number: JP2014560333A
Authority: JP
Inventors: ハベル、ステファン; ロス、ハンス−レオ
Original assignee: Conti Temic Microelectronic GmbH
Current assignee: Conti Temic Microelectronic GmbH
Priority date: 2012-03-06
Filing date: 2013-03-05
Publication date: 2017-08-30
Anticipated expiration: 2033-03-05
Also published as: EP2823430A1; CN104272316A; WO2013131900A1; DE102012024818A1; CN104272316B; US9576137B2; EP2823430B1; JP2015511905A; US20150033357A1; KR20140132390A

Description

この発明は、機能安全（functional safety）を改善し、請求項１の前文にしたがって電子閉ループ制御システムの可用性を増す方法、および請求項１４の前文にしたがう電子閉ループ制御システムに関する。

電子閉ループ制御システム、特には自動車エレクトロニクスにおける開発のための重要な安全の目的は、これらのシステムにおける誤動作の場合における結果から生じる。誤作動または故障の場合の重大な結果は、車両の車輪のロックであり、または、自動車両の不安定化の可能性ある結果を伴う後部車軸線上における、過度の、不必要なブレーキトルクであるかも知れない。例として、電動機が駆動装置として使用されるときは、自律的加速を有する機能は、特には、厳しいトルク増加のために不安定化に帰着する場合がある。このために、ＩＳＯ２６２６２は、回避されている過度の不必要な効果、または、小形の、または否定的な不必要な効果の安全目的に一般的な焦点を合せることを規定しており、それは、なぜほとんどのシステムが、それらの安全コンセプト用の柔軟な通路（flexible corridor）を保護する必要があるかということである。許容可能な、不必要なトルクは、この通路内に位置しており、この中で、車両は、すべての併用可能な運転する状況で、安全に制御されることができることが必要である。この通路の上に、例えば、以下に、車軸または車輪のロックがある一方で、危険な加速度効果がある。通路の形は、車軸間隔、重量、重心、および、速度、道路事情、横加速度、カーブ半径などのようなさらなるパラメータのような車両仕様書に、本質的に依存する。そのような通路は、なお一層、直線的に前方に安定した運転のために存在する。

上方および下方限界は、それぞれの機能および車両詳細の安全要求事項(例えばASIL)、および、またさらなるパラメータにしたがって規定される必要がある。車両の加速に影響を及ぼすドライバ支援機能による小形の、または過度の不必要なトルクの可能性ある誤ったトリガは、ASIL Dのような高い安全要求事項レベルにグループ化されるようにこの機能を要求することができる。このことは、この機能におけるエラーが、直ちに人への危険に帰着する場合があることを意味する。

IEC ６１５０８によれば、システムを安全な状態に移す安全目標が追求され、とりわけ、それは、生じているエラーの場合に、スイッチにおいて０電流状態に帰着する。このことは、人に対する潜在的リスクを制限するように意図される。この理由で、複数の安全目的は、特に、ISO ２６２６２にしたがって存在し、その安全状態は、人に対するいかなる危険をも提示しないが、必ずしも０電流、または０エネルギー状態に帰着しない状態である。

エンジン、トランスミッション、ステアリング、および他のシャシ制御システム用の基本的な安全コンセプトとして、DE １０２００６０５６６６８ A１は、サブ機能の可用性における影響を有するエラー、誤作動、または他の出来事の発生の場合には、複雑な安全の重大な全面的な車両閉ループ、および／または、開ループ制御システムのオペレーションを確実にするか、または維持するための方法について記述する。これについては、オペレーションのモードは、エラーの場合には確認されて生じたエラーによって影響されるオペレーションのモードを伴って、必要なシステムコンポーネントのために規定される。なお利用可能であるオペレーションのモードから、選択が、総合システムの最も広範囲な可能性ある可用性を考慮してその後になされ、さらにしたがって、システムの実行は、段階的に低下される。

特に、エレクトロモビリティにおけるエンジン管理システムについては、最高の安全要求事項レベル(例えば、ASIL D)までの実行を考慮することが必要である。上述したように、必要でない影響は、特に、安全の適切な車両制御システム用の多層ソフトウェアアーキテクチャの場合に、考慮される。本質的な安全機能は、したがって、ハードウェアおよびソフトウェア、およびそれの相互作用の適切な設計、および特には、ASILによって要求される安全機能の独立が、例えば、データ通信用に、データ暗号化によって達成される。受信側でキーを解読することがもはや可能でない場合には、知的ウォッチドッグ（ウィンドウウォッチドッグ)のような分離パスは、通信、または全システムを分離するために使用される。

（マルチコア）マイクロコントローラの現代の世代は、同期または非同期のロックステップモードで頻繁に作動する冗長なプロセッサによって、本来的に知られた、全ハードウェアのための安全メカニズムを有し、その結果、単一のエラー、多数のエラー、または一時的なエラーは、制御することができる。この記述の状況内のマイクロコントローラは、また、マイクロプロセッサ、マイクロコントローラシステム、およびマイクロプロセッサシステムを意味するように理解され、それらは、少なくとも１台のプロセッサを有しており、かつ周辺の機能による信号を捕らえ、さらに出力することができる。

これらのエラーが、少なくとも１つの安全メカニズムによって潜在的に危険な状況を引き起こすことを妨げられるので、冗長のプロセッサ間のタスクの実行における時間遅れは、エラーが、統合ハードウェア安全メカニズムのために安全時間(例えば、１ミリ秒未満)内に許容されることを可能にする。例として、安全メカニズムは、正しくないものとして識別されたデータを修正し、かつ、さらなる処理のために前記修正されたデータを使用するデータ補正であることができる。

その周辺装置を備えたマイクロコントローラによるように、ハードウェアによる通信は、エラー補正方法（ECC）、エラー検出方法(EDC)、およびまたは、末端間（end-to-end）データ暗号化（E２E）によって異なるタイプのエラーに対して保護することができる。EDCは、エラー補正を制御するために重要であり、その結果、許容誤差、または反応は、複数の、およびまたは一時的なエラーの発生について適している場合がある。アナログ-デジタルコンバータのような周辺のユニットからのデジタル出力値は、EDCによって保護され、例えば、アナログ入力変数の値は、未画定の範囲だけ分離された２本の独立した潜在的なバンドによって保護することができる。例として、４.５Ｖよりも大きい値が、ハイレベルに相当し、さらに、０.５Ｖ未満の値が、ローレベルに相当することができる。有効性レジスタは、その後、データ暗号化、またはデータ署名（data signature）としてアナログ-デジタル変換中に、デジタル出力値に結合される。

自動車両コントローラについては、とりわけ、ソフトウェアモジュールのポータビリティ、再利用性、および安全性を改善するために、かつ最終的にはまた開発コストを節約するために、ソフトウェアアーキテクチャの標準化、およびランタイム環境（RTE）の使用を増加することがある。自動車両コントローラのアプリケーションソフトウェアについては、標準化された環境は、したがって、マイクロコントローラの技術的な影響によってもはや直接影響を受けないことを条件とする。そこで実行されたソフトウェアにおけるマイクロコントローラの実際に可能であるエラーの影響のすべてを達成する目的のためのアーキテクチャの分析については、マイクロコントローラのすべてのプロパティをチェックすることが本質的に必要である。他のマイクロコントローラタイプへの変更の場合には、または、マイクロコントローラの製造者が、生産技術、または使用される材料を変更する場合には、このことは、考慮に入れる必要がある。標準化されたソフトウェアアーキテクチャを使用することの利点は、したがって、このアプリケーションソフトウェアに対する適用がないか、または、単に小さな適用だけが、ハードウェアに対する変更の場合になされることが必要であるということである。

先行技術によるさらなる安全原理は、標準化されたソフトウェアアーキテクチャAutoSar（登録商標）(AUTomotive Open System ARchitecture（登録商標）の例を使用して、以下に説明される。AutoSar（登録商標）のバージョン４は、基本ソフトウェアからランタイム環境(RTE）のレベルまでの通信チャンネル用のE２E安全を明記する。マイクロコントローラ抽象度（abstraction level）に基づくソフトウェアレベルでは、入力信号として周辺装置から提供される未加工の情報は暗号化され、そして、ソフトウェアレベルによる暗号化されたデータの伝達に続いて、解読が、RTEの領域で起こる。アプリケーションソフトウェアであって、さらなるレベルとしてRTEに対して高位であるものは、その後、さらなる処理のためのこれらのデータを使用することができる。したがって、AutoSar(登録商標)によるソフトウェアベースのE２Eデータ暗号化は、特に保護されていないハードウェアソフトウェアインタフェースによって起こる。しかしながら、安全の適切な影響が、機能モニタリング、周辺装置の通信チャンネル、効率低下（degradation）ソフトウェア、または、さらなる安全ソフトウェアのためのソフトウェアにおいて起こることは許されない。例えば基本ソフトウェアにおいて、制御機能および機能モニタリング、およびさらには、ハードウェアまたはシステム保護の、異なるソフトウェアレベルへの区分は、可能なエラー伝搬が縮小されることを可能にし、さらにしたがって、個別のコントローラの場合のように、エラーカスケードが、回避されるか、または中断されることを可能にする。

例えば、ハードウェアからのアプリケーションソフトウェアに影響する基本的なエラーは、種々様々の原因によって悪化するか、または不正確に生成されるデータであることがある。さらに、ハードウェアにおけるエラーの結果として、よい時間にソフトウェアプロセスに利用可能にされるべきでないことは、データにとって可能である。

したがって、この発明の目的は、安全の適切な電子システム、特には自動車両の機能安全における改良、および可用性における増加を得ることである。

この目的は、請求項１による創造性ある方法、および請求項１４による創造性あるシステムによって達成される。

この発明は、電子閉ループ制御システム、特には自動車両制御システムの機能安全を改善し、かつ、可用性を増すための方法について記述し、ハードウェアコンポーネントおよびソフトウェアコンポーネントを有し、そのハードウェアコンポーネントは、少なくとも１つの基本ソフトウェアコンポーネント、およびまたは、少なくとも１つのランタイム環境によって抽象され、さらには、実施された安全コンセプトは、２つ、またはそれ以上のソフトウェアレベルについて記述し、第１のソフトウェアレベルは、１個のアプリケーションソフトウェアの制御機能を有し、さらに第２のソフトウェアレベルは、特に制御機能におけるエラーに対する保護の目的のための機能モニタの形であり、この発明は、さらに、少なくとも１つのハードウェアコンポーネントによって提供されるデータ暗号化、およびまたはデータ署名が、少なくとも１つの第１のソフトウェアコンポーネントを備えたハードウェアコンポーネントの少なくとも１つの通信チャンネル用のデータ保護のために使用されるということにおいて識別される。都合よく、ソフトウェアからハードウェアまでのインターフェースは、このようにさらに保護され、それは、創造性ある方法が、ソフトウェアコンポーネントそれ自体間の、および、さらにはソフトウェアコンポーネントとハードウェアコンポーネントとの間の独立を達成することを意味する。したがって、誤った影響を及ぼすことは、回避されるか、または検知することができる。

特に好ましい実施例によれば、第１のソフトウェアコンポーネントは、保全性（integrity）マネージャであり、暗号化された、およびまたは、署名された、通信チャンネルによって通信されたデータは、保全性マネージャ、およびまたは、ランタイム環境、およびまたは、基本ソフトウェアコンポーネントのために提供され、さらに、保全性マネージャは、通信チャンネルからの通信されたデータの保全性をチェックし、特には、データの保全性をチェックするためのデータ暗号化、およびまたは、データ署名を使用する。したがって、アプリケーションソフトウェアは、また、非常に安全の適切な機能のために、都合よく実行することができる。機能モニタは、ハードウェアによる外部影響を制御する必要性をもたないが、むしろ、単に、仕様および実行エラーの結果として発生することができる系統的エラーに対して保護することが必要である。外部影響によるデータ破壊が、それによって回避される。

保全性マネージャは、暗号化された、およびまたは、署名された、データの保全性が、実質的に実在する場合に、特に、好ましくは、解読された、およびまたは、無署名のアプリケーションソフトウェア用のインフォメーションデータを提供する。好ましくは、それぞれの安全要求事項レベル用の保全性の存在は、特別のデータ伝送リンクに関連して、決定される。したがって、都合よく、画定された位置での独立性の侵犯（infringement）は、効率低下のために提供される。

好ましい実施例にしたがって、暗号化された、およびまたは、署名された、データの保全性が存在しない場合には、保全性マネージャは、エラーコードであって、アプリケーションソフトウェアによって、特には処理することができるものを生成し、解読された、およびまたは、無署名のインフォメーションデータは、アプリケーションソフトウェアのために提供されないか、または、ちょうどエラーコードと一緒に提供され、およびまたは、解読されたインフォメーションデータは、現実にはあり得ない（implausible）値を割り当てられる。

好ましくは、保全性マネージャは、アプリケーションソフトウェアに従属し、およびまたは、ランタイム環境に高位であり、およびまたは、ランタイム環境において実行され、ランタイム環境は、暗号化された、およびまたは、署名されたデータを保全性マネージャ用に提供する。

好ましくは、効率低下マネージャは、少なくとも１つの第３のソフトウェアレベルの形をして、およびまたは、第１の、およびまたは、第２のソフトウェアレベルの少なくとも１つのソフトウェアプロセスの形をしていることを条件とし、効率低下マネージャは、第１のソフトウェアレベルの制御機能用の少なくとも１つの効率低下レベル、およびまたは、第２のソフトウェアレベル用の機能モニタを有する。

好ましくは、効率低下マネージャの分離機能は、高い、特には最大の優先度をもって、少なくとも１つのソフトウェアプロセスによって実行される。このことは、都合よくそれぞれの安全状態の決定論的な達成を実現する。

好ましい実施例にしたがって、データの保全性、およびまたは、生成されたエラーコードは、１つまたはそれ以上の選択的な分離、およびまたは、自動車両制御システム、およびまたは、制御機能、およびまたは、機能モニタリングの性能のための効率低下を実行するために、効率低下マネージャ用の基礎として得られる。都合よく、このことは、回避されるべきエラーおよび実現されるべき機能の選択的な分離の場合には、システムの厳密な分離を可能にする。したがって、エラーに基づいて、最大の可能性あるシステム可用性は、例えば、危険区域を去るか、またはサービスガレージに到着するために使用することができる、例えば、緊急事態運転プログラムを実現するために維持することができる。適切なエラー状況にとって有効である安全状態が到達されることを確実にすることが可能であるので、生じる結果は、特にISO２６２６２との安全コンセプトの有利な一致である。

好ましくは、保全性マネージャは、一時的なエラーの場合の本当らしくないインフォメーションデータ、およびまたは、パーマネントエラーの場合の生成されたエラーコードを、アプリケーションソフトウェアに提供する。したがって、さらなる診断手段を提供する必要なしに、利用可能なデータ暗号化、およびまたは、データ署名に基づいて提供されることが、自動車両制御システムの性能の選択的な分離、およびまたは、効率低下にとって都合よく可能である。例として、したがって、インテリジェントセンサからのセンサデータのための個別の故障安全メカニズムを省くことは可能である。

機能モニタ、およびまたは、効率低下マネージャ、およびまたは、保全性マネージャは、好ましくは、データのデータ暗号化、およびまたは、データ署名にアクセスすることができる。その利点は、例えば、周辺装置に伝達されたデータの妥当性（plausibilization）に関して、機能モニタに通知されるということである。

さらなる好ましい実施例によれば、機能モニタ、およびまたは、効率低下マネージャは、データの補足的な妥当性のために、データ暗号化、およびまたは、データ署名を使用する。

好ましくは、ソフトウェアコンポーネント、ソフトウェア機能、およびまたは、ソフトウェアプロセスの間の通信チャンネルについて、データ暗号化、およびまたは、データ署名は、受信ソフトウェアコンポーネントによってチェックされる。このことは、ソフトウェアコンポーネント間のデータ通信が、マイクロコントローラにおけるデータバッファ記憶または処理によって常に悪化する場合があるので、マルチプロセッサの場合には、特に有利である。

好ましくは、その方法を実行するマイクロコントローラのプログラムフローのための再始動、およびまたは、同期化が、オペレーションの間に、特には、安全時間内に提供され、安全時間を超過する場合には、安全状態は、遮断手段によって、特には、ウォッチドッグによって、開始される。

保全性マネージャは、好ましくは、特には、独立した、およびまたは、動揺がないソフトウェアコンポーネントのための、データ指向である、およびまたは、一時的である分離を確実にし、このデータ指向である、およびまたは、一時的である分離は、好ましくは、特には独立性が侵害される場合に、異なる安全要求事項レベルを備えたソフトウェアコンポーネントを、選択的に、およびまたは、重点的な方法で分離するために使用される。都合よく、したがって、抽象したソフトウェアアーキテクチャは、アプリケーションソフトウェアのために提供され、そのソフトウェアアーキテクチャは、本質的に、エラーの、確かめられないハードウェアの影響がない。

この発明は、さらに、上に記述されたような方法を実行するための、電子閉ループ制御システム、特には自動車両制御システムに関する。ソフトウェアアーキテクチャ分析は、都合よく、創造性あるシステムのために１個のアプリケーションソフトウェアにおける可能性ある系統的なエラーに減少する可能性ある系統的なエラーに制限される。このことは、特にソフトウェアコンポーネントの開発において発生するエラーを防止する。

さらなる好ましい実施例は、図に関連して代表的な実施例の、以下の記述において見出すことができる：

図１は、創造性ある方法のオペレーションの方法について記述するために基本的な例証を示す、図２は、ソフトウェアレベルの代りの配置が存在する、基本的な例証を示す、図３は、この発明のさらなる代表的な実施例について説明する基本的な例証を示す。

発明を実施するための態様

図１は、機能安全を改善し、さらに電子自動車両制御システムの可用性を増すためのこの発明のオペレーションの基本的な方法を示す。したがって、自動車両制御システムは、また、任意の自動車両用コンポーネントの開ループコントローラを意味すると理解されるように意図される。自動車両制御システムの例を使用して、この発明を理解することに対する支援として、それの最も基本的なコンポーネントだけが、描写され、およびまたは、記述される。

以下に記述されたソフトウェアコンポーネントを実行するマイクロコントローラのハードウェアを抽象（abstracting）する目的で、ランタイム環境２および基本ソフトウェア２０は、前記マイクロコントローラによって実行される。このような状況において、ソフトウェアコンポーネントは、特に、ソフトウェアプロセス、ソフトウェア機能、およびまたはソフトウェアレベルを意味するように理解される。中央の要素は、保全性マネージャ３であり、データ通信の安全指向の保全性をモニタし、また効率低下マネージャ６によって選択的な安全状態へ自動車両制御システムを移すために必要条件を提供することができる。

安全コンセプトは、本質的に、アプリケーションソフトウェア４、５、６の３レベルを設け、第１のレベル４は、制御機能(基本機能) 、例えば自動車両ブレーキ制御を有し、第２のレベル５は、制御機能４のための機能モニタリングを実行し、さらに第３のレベル６は、異なる効率低下レベルのための、かつ効率低下マネージャの形をし、かつシステムに対する効率低下シナリオの形式をしている。機能モニタ５について、制御機能４は、系統的エラーに対する保護の目的のための種々のソフトウェアアルゴリズムによって、それ自身知られたやり方で実行される。それぞれのソフトウェアレベルは、好ましくは、基本ソフトウェア、またはオペレーティングシステム、およびまたは、アプリケーションソフトウェアの独立したプロセスとして実行することができる。特に、機能モニタ５および効率低下マネージャ６は、様々なプロセス６ａ、６ｂに分割することができ、また、様々な安全要求レベルによって、例えば、ASIL Bおよび ASIL Dに分割することもできる。

ソフトウェアコンポーネントのさらなるモニタリング、例えば、独立性のモニタリング、および、さらには時間モニタリングは、プロセススケジューラのような下流の分離メカニズム１５を備えたフローモニタ１０によってそれ自身知られたやり方で実行される。例として、このことは、パーティションにおける侵害、メモリモニタリング、実行されるべきプロセス用のエントリー条件、およびそれの一時的に、かつ論理的に正確な実行をモニタする。図１は、機能モニタ５、および条件ブロック１２ａおよび１２ｂによる効率低下マネージャ６内へのフローモニタ１０の取込みを例証する。

エラーの場合に、機能モニタ５、およびまたは、効率低下マネージャ６は、自動車両制御システムを移送するか、または効率低下し、または、安全な状態への制御、およびまたは、アプリケーション機能を分離することができ、それは、性能低下が実行され、かつ機能の範囲が縮小されることを可能にする。自動車両制御システムの可用性とエラーの許容誤差は、これらの手段によって本質的に改善される。例として、過熱する恐れのあるエンジンへの電力（power）の供給は、即効的に制限することができる。

効率低下の分離メカニズムはすべて、選択的に達成することができ、それはマイクロコントローラの基本機能を本質的に分離する必要がないことを意味する。したがって、分離メカニズム１５、例えばウォッチドッグは、ASIL Dのような高い安全要求レベルを備えた安全機能のためにさえ、絶対的に必要ではない。それが実行するマイクロコントローラのハードウェアを分離するために使用される場合にのみ、分離メカニズム１５の使用が、必要になる。したがって、マイクロコントローラの安全依存の再開は、大部分は回避され、かつ、システム可用性は、本質的に改善される。実現のために、実行するマイクロコントローラの出力ピンに、および、したがって開始される安全な状態のために接続されることは、ソフトウェアコンポーネントの適切な、暗号化された指示のために可能である。ハードウェア側の対応する冗長、本質的に知られたブリッジ回路、または活性化ラインは、安全な状態を開始するために使用することを可能にする。マイクロコントローラのソフトウェアコンポーネントが、同時にではなく、むしろ順序だてて実行されるので、データ指向の分離だけでなく、一時的な分離をも考慮に入れることが必要であり、このことは、同様に、外部分離メカニズム１５によってモニタされ、かつ、確実になる。

実施例にしたがって、実行するマイクロコントローラは、冗長性がないので、このことが特に単一コアのマイクロコントローラの使用の場合には、有利であり、安全時間内に再開することができる。マイクロコントローラの出力は、再始動の間に定常状態に入れられ、さらに、安全時間内に、再始動とそのプログラムフローとの同期が、起こる。周辺装置が、すべて使用可能のままで、かつ、通信のような補助的機能さえも中断する必要はないので、このアプローチは、再始動中に自動車両制御システムのための安全重大状態を引き起こさない。再始動が安全時間内に可能でない場合には、外部分離メカニズム１０は、安全な状態に自動車両制御システムを移す。分離パスが、最優先で効率低下マネージャ６によりプロセス(タスク)によって動作される場合、一時的な決定論（determinism）は、システムの安全な反応のために達成され、それは、そのシステムが、生じているエラーの場合には本質的に正確に、または予想通りに時間にわたって作用するということを意味する。

ソフトウェアアーキテクチャのソフトウェアレベル間の純粋なソフトウェアデータ暗号化の代りに、AutoSar（登録商標）の例を使用して、既に記述されてきたように、データ暗号化、およびまたは、データ署名は、センサ、アクチュエータ、インターフェース、アナログデジタル変換器によるように、自動車両の現存のハードウェア１によって使用され、およびまたは、自動車両コントローラそれ自身のコンポーネントによって使用される。したがって、ハードウェア１に対するソフトウェアコンポーネントのインターフェースは、さらに保護される。

ハードウェア１は、自動車両コントローラ、または、マイクロコントローラと通信する。通信された、暗号化されたデータ８ａ、９ａ・・・８ｃ、９ｃは、インフォメーションデータ８ａ・・・８ｃ、および、さらに、ハードウェア１の関連するデータ暗号化９ａ・・・９ｃ、およびまたは、データ署名を有する。

通信チャンネル７は、暗号化されたデータ８ａ、９ａ・・・８ａ、９ｃを、保全性マネージャ３用に提供するために使用される。通信チャンネル7は、この末端間データ暗号化に基づいて保護される。したがって、単一の、多数の、および一時的なエラーは、識別することができる。AutoSar（登録商標）に基づいてE２Eデータ暗号化に制限はなく、その理由のために、例えば、データフォーマットにおいて目印を付したデータ署名として使用されることは、代りにクレイコード化された（Cray-code）、または追加のチェックパターン、および、解読された情報にとって可能である。例として、現代のアナログデジタル変換器は、ECCとEDC内に組み入れられているこの方法で生成されたデータによって、専用の安全メカニズムによりモニタされる。したがって、これらの安全メカニズムは、また、暗号化用に使用することができる。マイクロコントローラを備えた周辺装置による通信は、例えば、SPI、またはアナログ、またはデジタル通信のように、周辺のバスによってそれ自身知られた方法で行われる。

保全性マネージャ３は、入って来るデータ８ａ、９ａ、・・・８ｃ、９ｃを読み、かつ、それの保全性を分析し、後者は、妥当性、正確性、健全性、およびまたは、データ８ａ、９ａ、・・・８ｃ、９ｃの最新性から決定され、かつ、保全性の異なる程度が、また、識別されることができる。データ保全性が本質的に存在する場合、アプリケーションソフトウェア４、５、６は、さらなる処理のために少なくともインフォメーションデータ８ａ、８ｂ、８ｃへのアクセスを備えている。代りに、保全性マネージャ３は、暗号化されたデータ８ａ、９ａ、・・・８ｃ、９ｃを完全にリリースし、前記データは、それぞれの受信するソフトウェアコンポーネントによって解読される。

複数のエラーにもかかわらず、安全を得るためにエラー伝達の制限は、ASIL Dのようなより高い安全要求レベルを備えた分離機能のための、ASIL Bのような比較的に低い安全要求レベルを備えたデータ８ａ、９ａ、・・・８ｃ、９ｃの保全性の妥当化のための機能モニタ５、およびまたは、効率低下マネージャ６を使用することによって達成される。このことは、保全性マネージャ３による保全性チェックだけでなく、第２の独立した安全メカニズムをも実現する。図１は、条件ブロック１１ａと１１ｂとによってこれを例証し、使用された基礎は、通信チャンネル７からの様々なデータブロック、およびまたは、様々な通信チャンネルからのデータ８ａ、９ａ、・・・８ｃ、９ｃ、であることができ、かつまた、インフォメーションデータ８ａ・・・８ｃ、およびまたは、様々なデータ８ａ、９ａ、・・・８ｃ、９ｃのデータ暗号化９ａ・・・ｃの任意の組合せであることができる。

自動車両制御システムにおけるエラーがある場合、保全性マネージャ３は、アプリケーションソフトウェア４、５、６に対して、しかしながら、特には機能モニタ５、およびまたは、効率低下マネージャ６に対して、エラー診断に基づいて適切であるように生成されたエラーコードを伝達する。エラーが、機能モニタ５による妥当性チェックから認識される場合、その関連情報は、例えば、エラーコードを使用して、機能モニタ５によって効率低下マネージャ６に転送される。データ保全性および任意のエラー、妥当性チェック、およびフローモニタ１０の組み込みに関する保全性マネージャ３によって提供される情報に基づいて、詳細なエラー分析を実行することが可能である。このことは、エラーが許容されることができ、かつシステムの性能における効率低下が実行されることができながら、はるかに、より複雑な効率低下コンセプトからの正確な手段を可能とする。マイクロコントローラの安全時間は、効率低下マネージャ６による反応に対して同様に重要な意義を有する。この場合、エラー分析における詳細の程度は、それぞれの安全要求レベルへのグルーピングに依存するようにされることができる。アクチュエータのための制御コマンドについては、例えば、アプリケーションソフトウェア３、４、５内の内部診断情報を提供することが必要であり、その結果、安全の適切なアクションを開始することができる。例に基づいて、出力への適時の送信および修正データ送信が診断情報から推論される場合のみ、マイクロコントローラの出力が、安全の適切な機能のために可能になる。

生じたエラーの他にも、本来、それは、一時的な、または恒久的なエラーが含まれているかどうか、およびまたは、影響を受けたソフトウェアコンポーネントが何の安全要求事項レベルに分類されるかの、対応する効率低下コンセプトについて、とりわけ重大であるかもしれない。それを確認することができる限りでは、現在のエラーが、例えば、自動車両制御システムにおいて、または、他の方法において、機密保護の漏洩によって意識的な外部の影響を及ぼすことの結果として、生じたかどうかを考慮することができる。

例として、保全性マネージャ３は、一時的なエラーの場合には、少なくともインフォメーションデータ８ａ・・・８ｃを、現実にはあり得ない値に変更するか、アプリケーションソフトウェア４、５、６によるアクセスを不能にするか、または、前記アクセスを提供し続けることができる。データ暗号化９ａ・・・９ｃにおけるエラーが発生しており、保全性マネージャ３によって確立された場合、例えば、インフォメーションデータ８ａ・・・８ｃは、原則として、または、一時的に、アプリケーションソフトウェアによって使用され続けることができ、その理由のために、保全性マネージャ３がアプリケーションソフトウェア３のためにインフォメーションデータ８ａ・・・８ｃを提供し、かつ、エラーコードを効率低下マネージャ６に転送する。そのようなエラーが、定義された時間の後に引き続き存在する場合、適切な反応が、効率低下マネージャ６によって開始することができる。

さらなる図に関係する以下の記述において、反復を回避するために、本質的に、上に記述した実施例における相違のみが議論され、同一である要素は同一の参照符号を備え、単純化目的のために、各場合における発明にとって必要である詳細のみが説明される。

それに制限されることなしに、図１における代表的な実施例は、その使用、または、標準ソフトウェアアーキテクチャAutoSar（登録商標）の設計に本質的に指向した。図２は、図１における代表的な実施例と比較してソフトウェアレベルに対する代りの配置を示す。保全性マネージャ３、機能モニタリングレベル５、および効率低下マネージャ６は、したがって、ランタイム環境２以下に階層的に実現される。この場合、後者は、さらにフローの機能、またはプロセスモニタ１０を有することができる。制御機能１３ａ、１３ｂ、または、さらなるシステム、またはソフトウェアレベルの補助的機能の、それぞれのプロセスは、それらの安全要求事項、例えば、ASIL BおよびASIL Dにしたがって設計される。

図３において示される代表的な実施例にしたがって、効率低下マネージャ６は、また、制御機能レベル４によって独立したソフトウェアプロセス、または独立したソフトウェア機能として、具体化することができる。例に基づいて、効率低下手段は、妥当性に続く条件ブロック１４を経由して保全性マネージャ６によって実行される。さらに、自動車両制御機能、またはソフトウェアプロセス１３ｃは、比較的に低い安全要求事項レベル、例えば、ASIL Bを備えたモニタリングプロセス１３ｂによってモニタされる。さらに、高い安全要求レベル、例えば、ASIL Dを有するプロセス１３ａは、制御機能１３ｃを、さらには、制御機能のモニタリングプロセス１３ｂをモニタするために設けられる。
以下に、本願出願の当初の特許請求の範囲に記載された発明を付記する。
〔１〕
ハードウェアコンポーネント(１)およびソフトウェアコンポーネント(２、３、４、５、６、１０、２０)を有し、ハードウェアコンポーネント（１）は、少なくとも１つの基本ソフトウェアコンポーネント(２０)、およびまたは、少なくとも１つのランタイム環境 (２)によって抽象され、さらに、実行された安全コンセプトは、２つ、またはそれ以上のソフトウェアレベルを記述し、第１のソフトウェアレベル(４)は、１個のアプリケーションソフトウェアの制御機能を有し、かつ、第２のソフトウェアレベル（５)は、特には制御機能におけるエラーに対して保護する目的で機能モニタの形をしてなり、少なくとも１つのハードウェアコンポーネント（１）によって提供されるデータ暗号化(９ａ、９ｂ、９ｃ)、およびまたは、データ署名は、少なくとも１つのソフトウェアコンポーネント（３）を備えたハードウェアコンポーネント（１）の少なくとも１つの通信チャンネル(７)のためのデータ保護用に使用されることを特徴とする、機能安全を改善し、かつ、電子閉ループ制御システム、特には自動車両制御システムの可用性を増すための方法。
〔２〕
第１のソフトウェアコンポーネント（３）は、保全性マネージャ(３)であり、暗号化され、およびまたは、通信チャンネル(７)によって通信された署名データ(８ａ、９ａ、・・・８ｃ、９ｃ)は、保全性マネージャ(３)、およびまたは、ランタイム環境(２)、およびまたは、基本ソフトウェアコンポーネント(２０)のために備えられ、かつ、保全性マネージャ(３)は、通信チャンネル(７)からの通信されたデータ(８ａ、９ａ・・・８ｃ、９ｃ)の保全性をチェックし、保全性マネージャ(３)は、特には、データ暗号化(９ａ、９ｂ、９ｃ)、およびまたは、データ(８ａ、９ａ、・・・８ｃ、９ｃ)の保全性をチェックするためのデータ署名を使用することを特徴とする〔１〕記載の方法。
〔３〕
保全性マネージャ(３)は、暗号化され、およびまたは、署名されたデータ(８ａ、９ａ、・・・８ｃ、９ｃ)が本質的に現存する場合には、解読された、およびまたは、アプリケーションソフト(４、５、６)のための無署名のインフォメーションデータ(８ａ・・・ｃ)を備えることを特徴とする〔２〕記載の方法。
〔４〕
保全性マネージャ(３)は、暗号化され、およびまたは、署名されたデータ(８ａ、９ａ、・・・８ｃ、９ｃ)の保全性が現存しない場合には、エラーコードを生成し、このエラーコードは、特には、アプリケーションソフトウェアによって処理することができ、解読された、およびまたは、無署名のインフォメーションデータ(８ａ・・・８ｃ)は、アプリケーションソフトウェア(４、５、６）のために備えられず、または、エラーコードとちょうど一緒に備えられ、およびまたは、解読されたインフォメーションデータ(８ａ・・・８ｃ)は、信じられない値を割り当てられることを特徴とする〔２〕または〔３〕記載の方法。
〔５〕
保全性マネージャー(３)は、アプリケーションソフト(４、５、６)に従属し、およびまたは、ランタイム環境(２)に独立し、およびまたは、ランタイム環境(２)の中で実行され、ランタイム環境(２)は、保全性マネージャ(３)のために暗号化され、およびまたは、署名されたデータ(８ａ、９ａ、・・・８ｃ、９ｃ)を提供することを特徴とする〔２〕〜〔４〕のいずれか１項記載の方法。
〔６〕
効率低下マネジャー(６)は、少なくとも１つの第３のソフトウェアレベルの形をしており、およびまたは、少なくとも、第１、およびまたは、第２のソフトウェアレベル（４）（５）の、少なくとも１つのソフトウェアプロセスの形をしているように規定され、効率低下マネジャ(６)は、第１のソフトウェアレベル(４)の制御機能のための少なくとも１つの効率低下レベル、およびまたは、第２のソフトウェアレベル(５)のための機能モニタを有することを特徴とする〔１〕〜〔５〕のいずれか１項記載の方法。
〔７〕
機能モニタ(５)、およびまたは、効率低下マネージャ(６)は、データ(８ａ、９ａ・・・８ｃ、９ｃ)の補足的な妥当化のために、データ暗号化(９ａ、９ｂ、９ｃ)、およびまたは、データ署名を使用することを特徴とする〔６〕記載の方法。
〔８〕
効率低下マネジャー(６)の分離機能は、高い、特には最大の優先度を備えた少なくとも１つのソフトウェアプロセスによって実行されることを特徴とする〔６〕または〔７〕記載の方法。
〔９〕
データ(８ａ、９ａ、・・・８ｃ、９ｃ)の保全性、およびまたは、生成されたエラーコード、およびまたは、データの補足的な妥当化は、１つまたはそれ以上の選択的な分離、およびまたは、自動車両制御システム、およびまたは、制御機能(４)、およびまたは、機能モニタ(５) の性能のための効率低下を実行するために、効率低下マネジャ(６)用の根拠として得られることを特徴とする〔６〕〜〔８〕記載のいずれか１項記載の方法。
〔１０〕
機能モニタ(５)、およびまたは、効率低下マネージャ(６)、およびまたは、保全性マネージャ(３)は、データ暗号化(９ａ、９ｂ、９ｃ)、およびまたは、データ(８ａ、９ａ、・・・８ｃ、９ｃ)のデータ署名にアクセスすることができることを特徴とする〔６〕〜〔９〕の少なくとも１項記載の方法。
〔１１〕
再始動、およびまたは、方法を実行するマイクロコントローラのプログラムフローのための同期は、オペレーションの間、特には、安全時間内に提供され、安全状態は、安全時間を超過する場合、遮断手段、特にはウォッチドッグによって開始されることを特徴とする〔１〕〜〔１０〕のいずれか１項記載の方法。
〔１２〕
保全性マネージャ(３)は、データ指向である、およびまたは、ソフトウェアコンポーネントのための一時的な分離を確実にすることを特徴とする〔２〕〜〔１１〕のいずれか１項記載の方法。
〔１３〕
データ指向である、およびまたは、一時的な分離は、選択的に異なる安全要求レベルを備えたソフトウェアコンポーネントを分離するために、およびまたは、特に独立が侵される場合に、重点的なやり方で使用されることを特徴とする〔１２〕記載の方法。
〔１４〕
それは〔１〕〜〔１３〕のいずれか１項記載の方法を実行することを特徴とする電子閉ループ制御システム、特には、自動車両制御システム。

Claims

自動車両制御システムにおける電子閉ループ制御システムの機能安全を改善し、かつ、可用性を増すための方法であって、
プロセッサによって、少なくとも１つの基本ソフトウェアコンポーネントを実行することと、
前記プロセッサによって、少なくとも１つのランタイム環境を実行することと、および、
前記プロセッサによって、次の１）、２）を含む少なくとも２つのレベルのアプリケーションソフトウェアを実行することと、
１）前記車両を制御するための制御機能を実行する第１のソフトウェアレベル、
２）前記制御機能をモニタし、前記制御機能におけるエラーを検出するための機能モニタを実行する第２のソフトウェアレベル、
前記プロセッサによって、前記車両にある少なくとも一つのハードウエアコンポーネントから、少なくとも一つの通信チャンネルを介して、前記プロセッサに通信されるデータを管理する第１のソフトウェアコンポーネントを実行することと、を備え、ここにおいて、
前記第１のソフトウェアコンポーネントは、前記アプリケーションソフトウェアに従属し、および、前記第１のソフトウェアコンポーネントは、前記ランタイム環境に対して高位あるいは前記ランタイム環境の中で実行され、および、
前記少なくとも一つのハードウエアコンポーネントは、前記少なくとも一つのハードウエアコンポーネントから前記少なくとも一つの通信チャンネルを介して、前記プロセッサにより実行される前記第１のソフトウェアコンポーネントに通信される前記データのためのデータ暗号化、および、データ署名を提供し、前記第１のソフトウェアコンポーネントは、前記データの保全性をチェックするために、前記データ暗号化およびデータ署名を使用する、方法。
前記第１のソフトウェアコンポーネントは、保全性マネージャであり、前記通信チャンネルによって通信された前記暗号化され、および、署名されたデータは、前記保全性マネージャ、前記ランタイム環境、または、前記基本ソフトウェアコンポーネントのうちの少なくとも１つのために提供され、かつ、前記保全性マネージャは、前記通信チャンネルからの前記通信されたデータの保全性をチェックすることを特徴とする請求項１記載の方法。
前記保全性マネージャは、前記暗号化され、および、署名されたデータが現存する場合には、前記アプリケーションソフトウェアのための解読された、および、無署名のインフォメーションデータを提供することを特徴とする請求項２記載の方法。
前記保全性マネージャは、前記暗号化され、および、署名されたデータの保全性が現存しない場合には、エラーコードを生成し、このエラーコードは、前記アプリケーションソフトウェアによって処理することができ、ここにおいて、前記解読された、および、無署名のインフォメーションデータは、前記アプリケーションソフトウェアのために提供されず、または、エラーコードと一緒に提供され、または、前記解読されたインフォメーションデータは、現実にはあり得ない値を割り当てられることを特徴とする請求項２または３記載の方法。
前記ランタイム環境は、前記保全性マネージャのために前記暗号化され、および、署名されたデータを提供することを特徴とする請求項２〜４のいずれか１項記載の方法。
効率低下マネージャは、少なくとも第３のソフトウェアレベルによって実行され、または、少なくとも、前記第１、または、前記第２のソフトウェアレベルの、少なくとも１つのソフトウェアプロセスによって実行され、ここにいて、前記効率低下マネージャは、前記第１のソフトウェアレベルの制御機能のための少なくとも１つの効率低下レベル、または、前記第２のソフトウェアレベルのための機能モニタを有することを特徴とする請求項１〜５のいずれか１項記載の方法。
前記機能モニタ、およびまたは、前記効率低下マネージャは、前記データの妥当化のために、前記データ暗号化、および、データ署名を使用することを特徴とする請求項６記載の方法。
前記効率低下マネージャの分離機能は、最大の優先度を備えた少なくとも１つのソフトウェアプロセスによって実行されることを特徴とする請求項６または７記載の方法。
前記データの保全性、前記生成されたエラーコード、または、前記データの妥当化のうちの少なくとも１つは、１つまたはそれ以上の選択的な分離、または、自動車両制御システム、前記制御機能または前記機能モニタの性能のための効率低下を実行するために、前記効率低下マネージャ用の根拠として得られることを特徴とする請求項６〜８記載のいずれか１項記載の方法。
前記機能モニタ、前記効率低下マネージャ、または、前記保全性マネージャのうちの少なくとも１つは、前記データのデータ暗号化、および、データ署名にアクセスすることができることを特徴とする請求項６〜９の少なくとも１項記載の方法。
前記方法を実行するマイクロコントローラのプログラムフローのための再始動および同期は、安全時間内に提供され、ここにおいて、安全状態は、前記安全時間を超過する場合、ウォッチドッグによって開始されることを特徴とする請求項１〜１０のいずれか１項記載の方法。
前記保全性マネージャは、ソフトウェアコンポーネントのためのデータ指向および一時的な分離を確実にすることを特徴とする請求項２〜１１のいずれか１項記載の方法。
独立が侵される場合、異なる安全要求レベルを備えたソフトウェアコンポーネントを選択的に、または、優先的な方法で分離するために、前記データ指向および一時的な分離が使用されることを特徴とする請求項１２記載の方法。
請求項１〜１３のいずれか１項記載の方法を実行することを特徴とする、自動車両制御システムにおける電子閉ループ制御システム。