JP2005532215A - 複雑で安全上重要な全体システムの機能を保証または維持する方法 - Google Patents

Abstract

本発明は、エラーまたは機能不良の発生時に、自動車コントロールシステム、例えば電気式、電気油圧式または電気機械式のブレーキシステム（ブレーキ・バイ・ワイヤ）、操舵システム（ステアリング・バイ・ワイヤ）等のような複雑で安全上重要な全体システムの機能を保証または維持するために、方法が提案される。この方法では、全体システムがエラー源分析を認識した後で互いに独立したシステム構成要素（１〜３）に分割され、各々のシステム構成要素について動作モード（Mode１〜５)が定められ、全体システム内でエラーの発生時にエラー源が分析され、エラーの発生した動作モードが決定され、エラー源分析（４）に基づいておよび選択システム（５）の規定に従って、エラーの発生しない、すなわちまだ使用可能である個々のシステム構成要素（１〜３）の動作モードのうち、発生したエラーを考慮して全体システムの最適な挙動または設定された挙動を保証するかあるいは少なくとも全体システムの機能の維持を保証する動作モードが選択される。

Description

本発明は、エラーまたは機能不良の発生時に、自動車コントロールシステム、例えば電気式、電気油圧式または電気機械式のブレーキシステム（ブレーキ・バイ・ワイヤ）、操舵システム（ステアリング・バイ・ワイヤ）等のような複雑で安全上重要な全体システムの機能を保証または維持するための方法に関する。

安全上重要なシステムは、個々のシステム構成要素の機能不良の際および故障の際に所定の作用を保証する手段を必要とする。“アド・オン”システムの場合、エラーの際に、公知の慣用のＡＢＳシステム、ＴＣＳシステム、ＥＳＰシステムの場合のように、基本システムへの戻り、例えば油圧式基礎システムへの逆戻りが可能である。この“アド・オン”システムであると、エラーの発生の際、電気機器を遮断することによって、全体のコントロールシステムが停止される。従って、このような全体システム設計の場合には、比較的に重要でないエラーの際にも、アド・オン・システムまたは全体のコントロールシステムの全体故障を生じる。

このようなシステム設計は非アド・オン・システムの場合には安全上の理由から受け入れられない。この非アド・オン・システムには、種々の“バイ・ワイヤ”システム（ブレーキ・バイ・ワイヤ、ステアリング・バイ・ワイヤ）が含まれる。なぜなら、油圧的なフォールバックは使用されないからである。電子機器の遮断はシステム全体または重要な部分の運転を停止する。適当な緊急時の形態のシステムの機能は、エラーが発生した後でも維持される。

このようなシステムの設計は、エラー源分析の結果を考慮しなければならない。個々の構成要素のために、普通の動作モードのほかに、緊急時のモードを定めることができる。予想されるエラーと組み合わせエラーに所定の動作モジュールまたは緊急時モジュールを割り当てる決定マトリックスが作成される。

考えられるエラーと組み合わせエラーの検出および考慮は、エラー源が多数であるため実現不可能である。従って、当該の種類の公知のシステムの場合、エラー源分析と所定の緊急時モードの割り当ては実質的に最初のエラーの場合にのみ行われる。第２エラーまたは組み合わせエラーの考慮は比較的に少ない特殊ケースに制限される。

無数の組み合わせエラーの分析はごくわずかしか行うことができない。これと同様に、エラーの処理（システム緊急時平面の発生）はソフトウェアでもハードウェアでも各々の組み合わせエラーについて個別的に実現不可能である。従って、今までは、エラー形成物に制限されている。このエラー形成物は“もっともありそうなエラー”と見なされ、全体システムは他のすべてのケースで停止する。この設計は例えばブレーキ・バイ・ワイヤ・システムの場合、制動作用の完全な損失をもたらし、ステアリング・バイ・ワイヤ・システムの場合操舵性の損失をもたらす。

そこで、本発明の根底をなす課題は、任意のエラー、任意の数のエラーまたは組み合わせエラーの場合に、複雑で安全上重要なシステムの機能および緊急時機能を維持することができる方法を開発することである。

この課題は請求項１記載の方法によって解決されることが判った。この方法の特徴は、全体システムがエラー源分析を認識した後で互いに独立したシステム構成要素に分割されることと、
各々のシステム構成要素について動作モードが定められることと、
エラーの発生時に全体システム内でエラー源が分析され、エラーの発生した動作モードが決定されることと、
エラー源分析に基づいておよび選択システムの規定に従って、エラーの発生しない、すなわちまだ使用可能である個々のシステム構成要素の動作モードのうち、発生したエラーを考慮して全体システムの最適な挙動または設定された挙動を保証するかあるいは少なくとも全体システムの機能の維持を保証する動作モードが選択されることにある。

本発明は、初期エラー分析の結果とそれから生じる複雑で安全上重要なシステムの設計が、エラーにとって許容されるかぎり、複数のエラーまたは組み合わせエラーの同時発生時にもシステムの機能と緊急時機能を維持できるようにするために評価可能である、今までは利用されていない情報を含んでいるという認識にある。それによって、安全上重要なシステムの使用可能性と安全性を大幅に高めることができる。

本発明による方法の有利な実施形では、個々のシステム構成要素の動作モードのために順位が設定され、この順位が、エラーのないシステムで設定される普通モードまたは作動モードから、発生したエラーの種類に応じて許容される複数の緊急時モードおよび故障モード（システム構成要素の故障）まで及ぶ。

本発明の方法の実施形では、全体システムにおけるエラーの発生時に、最初の演算ステップで、すべての動作モードが使用可能であるという仮定の下で、すべてのエラー源が分析され、発生したエラーに関係するすべての動作モードが停止されることと、次の演算ステップにおいて、発生したエラーと無関係の動作モードに基づいて、全体システムの機能を維持する個々のシステム構成要素の動作モードが決定および設定される。

本発明の他の実施形では、選択システムが決定マトリックスまたは規則の形に形成され、この決定マトリックスまたは規則において、エラー源分析の評価後まだ許容される動作モードの種類および／または分割に依存してシステム構成要素のどの動作モデルが設定されるかが決定される。

本発明による方法は、各車輪に車輪制動力コントローラが付設されているブレーキ・バイ・ワイヤ・システム（ＥＨＢ，ＥＭＢ）のような複雑な制動力コントロールシステムの信頼性を高めるために大きな使用可能であるという大きな利点がある。この特別な例は次に本発明を詳しく説明するために役立つ。この場合、個々の車輪の車輪制動力コントローラが互いに独立したシステム構成要素として形成され、このシステム構成要素に動作モードが設定された順位で割り当てられ、エラー源分析の結果に依存して個々の車輪制動力コントローラの動作モードを決定するための選択システムとして、それぞれ１個の右側の車輪と左側の車輪からなる対の車輪の形成および選択に基づく規則が使用される。

少なくとも２つ、通常は４つ、５つまたはそれ以上の動作モードが、設定された順位でシステム構成要素に割り当てられる。

個々の車輪制動力コントローラの動作モードの順位、すなわち優先度が、高い制御精度または最大の制御精度を達成するという観点から決定され、使用される動作モードを選択する際に、基本的には、高い制御精度が予想される動作モードに、高い順位、すなわち高い優先度が与えられる。

大きなダイナミクスおよび／またはブレーキ介入の制御可能性と同時に例えば車両の大きな減速が、高い制御精度に関する判断基準と見なされる。

本発明による方法の特に有利な実施形では、ブレーキングの際に使用される対の車輪の順位が定められ、使用される対の車輪を選択する際に、ブレーキング時に比較的に小さな車両のヨーイングモーメントおよび／または大きな安定性が予想される対の車輪が高い順位、すなわち高い優先度を与えられる。その際、使用される対の車輪を選択する際に、基本的には、順位が同じであるダイアゴナルな両対の車輪よりも高い順位、すなわち高い優先度が車輪対“前車軸”に与えられる。というのは、車両ダイナミクス的な理由から知られているごとく、前車軸が制動過程に比較的に大きく寄与するからである。

使用される動作モードおよび対の車輪を選択する際に、第１のステップで順位の最も高い対の車輪が決定され、関連する両車輪制動力コントローラに、設定された所定の動作モード、好ましくは最高の優先度を有する動作モードが供される。

第２のステップにおいて、第２の対の車輪の両車輪制動力コントローラにまだ供される動作モードが決定され、この場合が最高の順位の動作モードが優先される。

本発明の重要な実施形は、設定された所定の追加条件を満足するときにのみ、第１と第２のステップで選択された動作モードが個々の車輪制動力コントローラに割り当てられる。この追加条件が、例えば所定の動作モードの組み合わせの許容性、制御機能の使用可能性等である。

追加条件を満たさない場合、追加条件を満たす動作モードの組み合わせが決定されるまで、使用される動作モードおよび／または対の車輪の選択が低いランクの動作モードおよび／または対の車輪に基づいて繰り返される。

本発明では、動作モードおよび／または対の車輪並びに供される動作モードの選択と割り当てを繰り返した後で、追加条件が続けて満たされないときに、動作モードの緊急時演算と決定が設定された規定に従って行われる。

本発明の他の効果および用途は、添付の図に基づく詳細の次の説明から明らかである。

次による方法の実施の形態として、初期エラー分析の結果に基づく方法が記載されている。この方法は複雑で安全上重要ないろいろな種類のシステムに適しており、理論的には任意の多数のエラーまたは組み合わせエラーの場合にシステムの（緊急時）機能を維持することができる。あらゆる技術部分に適用可能なこの方法は、考えられるエラーやエラー内容に対する評価や“ふさわしい”反応に制限される今日慣用の公知の方法と異なり、システム使用可能性を大幅に高め、最終的に高いシステム信頼性を保証する。すべての他のエラーまたは組み合わせエラーの場合、システムは部分的にまたは完全に停止され、それによって機能はしばしば過渡に制限される。比較的に重要でないがしかし、“考えられる”と見なされなかったエラー、すなわち予想されなかったエラーは、機能全部をまたはほとんど停止することになる。

システム設計中に実施される初期エラー分析は次の結果を生じる。
− システムを互いに独立したシステム構成要素に分割する。
− すべての個々のシステム構成要素について動作モードを定める（“使用可能／使用不 能”のほかに、種々の緊急時モードを定めることができる）。
− 例えば決定マトリックスの形をした選択システムを形成する。この選択システムによ って、すべてのシステム構成要素のための認識された“単一エラー”に依存してどの動 作モードが許容されるかが判る。

本発明による方法は次のようにしてこれらの情報を更に利用し、付加的にかつダイナミックに評価する。
− 各演算ステップにおいて先ず最初に、システム構成要素について問題になっているす べての動作モードが各システム構成要素で使用可能であるということから出発する（仮 定：システムはエラーなし）。
− 各演算ステップにおいてすべてのエラー源が分析される。エラーの発生時に、当該の システム構成要素から、関連するすべての動作モードが剥奪される。それによって、エ ラー重ね合わせの原理に基づく、システム広域の構成要素デグラデーションが達成され る。この場合、発生したエラーまたは組み合わせエラーの数は重要ではない。
− エラー源分析の後でシステム構成要素にまだ使用可能な動作モードから、モード選択 システムの規定に従って、所定の条件下で全体システムの最適な挙動を保証する動作モ ードが選択され、使用される。

図１の実施の形態は本発明による方法の原理的な作用を示している。安全上重要なシステムは図示した例ではシステム構成要素“構成要素１”、“構成要素２”、“構成要素ｎ”に分割されている。図１において、エラーのないシステムで使用可能なシステム構成要素１（参照符号１）の動作モード（または“Mode”）は“Mode １〜５”で示され、システム構成要素２（２）の動作モードは“Mode １〜３”で示され、システム構成要素ｎ（３）の動作モードは“Mode １〜４”で示されている。

図１の例ではエラーが発生している。このエラーにより、図１において行動または事象分析４によって象徴的に示したエラー源分析の後で、システム構成要素２の動作モード１（“Mode”またはModus １に短縮）とシステム構成要素ｎのモード１，２がもはや使用不可能である。図１の中央の欄において、ステップ４のエラー分析および事象分析の結果エラーを発生しているシステム構成要素“構成要素１”、“構成要素２”、“構成要素ｎ”のモードにはマークが付けてある。

“モード選択”５によって象徴的に示した後続の選択方法では、所定の規定に従って、すなわちモード選択システム５で定められた規則に従って、発生したエラーを考慮してまだ使用可能な動作モードに基づいて、全体システムで更に維持すべきである、個々の構成要素１〜３（“構成要素１”、“構成要素２”、“構成要素ｎ”）の動作モードが決定または選択される。

モード選択システム５は例えば決定マトリックスによって具体化可能である。

図１の例では、確認されたエラーまたは組み合わせエラーを考慮して、システム構成要素１（１）の動作モード１を維持することによって、システム構成要素２（２）の動作モード２を維持することによってそしてシステム構成要素ｎ（３）の動作モード３を維持することによって、全体システム最適な挙動が達成される。

ここで説明した実施の形態で使用された動作モード選択方法５は、いわゆる“ベスト・オブ・コンポーネント(Best Of Component)”原理に従って作動する。基本的には、懸案の要求を最も良好に満足するシステム構成要素の動作モードが選択されるかまたは作用する。しかし実際には、他のシステム特有の選択方法が使用される。例えば“ベスト・オブ・システム(Best Of System)”の原理に従う選択方法が使用される。この原理の場合基本的には、システムの全体機能またはシステムの信頼性にとって最も望ましい、確認されたエラーに対する応答が選択される。

図２に示した第２の実施の形態では、システム構成要素１（１′）の動作モード１〜３とシステム構成要素２（２′）の動作モード１を危険にさらすかまたは不可能にする他のエラーが発生している。ステップ５′のモード選択方法の結果として、システム構成要素１（１′）の動作モード４とシステム構成要素２（２′）の動作モード２とシステム構成要素ｎ（３′）の動作モード１だけが許容される。

図３の例では、図１，２の例の両エラーが同時に発生している。当該のシステム構成要素モードは、図１，２の例の損なわれたモードの重ね合わせ（論理“ＯＲ”）であり、システムデグラデーションに一緒に含められる。５″のモード選択法の結果として、システム構成要素１（１″）のモード４とシステム構成要素２（２″）のモード２とシステム構成要素ｎ（３″）のモード３だけが許容される。

上記の説明から明らかなように、本発明による方法の重要な利点は、任意の数のシステムエラーおよび組み合わせエラーをカバーすることにある。それによって、安全上重要である複雑なシステムの機能および信頼性を、従来考慮することができなかったケースでも維持することができる。

複数のシステムエラーが同時に発生する場合で、システム機能が維持される。この場合、複数のエラーに対応し、それぞれのエラーに適合した安全レベルまたは機能の制限だけを甘受すればよい。

本発明の使用が実証された、安全上重要である複雑なシステムの１つの例は、図４に示した自動車コントロールシステムである。この自動車コントロールシステムはブレーキ・バイ・ワイヤ・システム、特にコントロールされる電気油圧式ブレーキシステム（ＥＨＢ）である。タンデム式マスターブレーキシリンダ６が示してある。このタンデム式マスターブレーキシリンダは特に、本来のブレーキ・バイ・ワイヤ・システムの故障時に油圧的なフォールバックシステムを実現するために必要である。タンデム式マスターブレーキシリンダは更に、“バイ・ワイヤ・モード”でのペダルストロークのシミュレーションのために役立つ。概略的に示した電気的に操作可能な油圧弁７は公知のごとく、マルチ回路の油圧ポンプ８と油圧アキュムレータ９と関連して、前車輪ＶＬ，ＶＲと後車輪ＨＬ，ＨＲの個々の車輪ブレーキのブレーキ圧力を発生および調節するために、ひいては制動力を制御および調節するために使用される。

電子機器（ＥＣＵ）１０に収納され種々のセンサの入力情報を受け取る複雑な電子制御兼調整システムによって、安全上重要な複雑な全体システムが形成される。マスターシリンダ内でのピストン運動を測定および監視するために、２つの変位センサＷ１，Ｗ２がピストンロッドに配置されている。圧力センサＰ１によってマスターシリンダ圧力が検出され、他の圧力センサＰ２〜Ｐ５によって個々の車輪ブレーキ内の圧力が検出される。圧力センサＰ６はポンプ８と油圧アキュムレータ９に供される油圧を測定する。アキュムレータ９の充填レベルを検出するために、他の変位センサＷ３が設けられている。マスターシリンダ６に所属する圧力補償容器内の液体レベルは同様に、ブレーキ液監視装置ＢＷＥの一部であるセンサによってチェックされる。図４に更に、車輪センサ１１〜１４が示してある。この車輪センサは特に、制御される制動過程の際に個々の車輪の回転状態を検出するために必要である。コントロールための役立つ他の情報はＣＡＮバスを経て供給されて案内される。

本発明による方法を適用できるようにするために、図４に示すブレーキシステムのような全体システムは、動作モードを定めることができる個々の構成要素、すなわちシステム構成要素に分割されている。本ケースでは、４個の車輪に付設された車輪制動力コントローラが互いに独立したシステム構成要素として評価される。このシステム構成要素には、動作モードが所定の優先順序で割り当てられる。動作モードの優先順序は、エラーのないシステムの場合に最適である作動モードまたは“通常モード”から、発生するエラーの種類に応じてまだ許容されている複数の緊急時モードを経て“故障モード”まで達する。

図４のブレーキシステムの場合、個々の車輪制動力コントローラにとって考慮の対象となる動作モードは、高いまたは最大のコントロール品質を達成するという観点から（例えば最大の減速またはできるだけ大きな減速、できるだけ大きなダイナミクスおよび／または制御可能性を達成するという観点から）設定された順序でまたは優先順序で優先される。その際、
− 各々の演算ステップで先ず最初に、４個の車輪制動力コントローラの各々のついてす べての動作モードが供されることから出発する（仮定：システムはエラーなし）。
− 各演算ステップにおいてすべてのエラー源が分析される。エラーの発生時に、決定マ トリックス“単一エラー≧４つの車輪制動力動作モード”に基づいて、当該の車輪制動 力コントローラから、関連するすべての動作モードが剥奪される。それによって、エラ ー重ね合わせの原理に基づく、システム広域の車輪制動力コントローラデグラデーショ ンが達成される。この場合、発生したエラーの数は重要ではない。
− エラー源分析の後でまだ使用可能な車輪制動力コントローラ動作モードから、所定の 判断基準を満足する車輪および／または対の車輪が選択されて使用される。この判断基 準によって一般的に、
・ 車両のできるだけ大きな減速、
・ ブレーキ介入のできるだけ大きなダイナミクスおよび制御可能性、
・ できるだけヨーイングモーメントを生じないブレーキング、
・ 車両のできるだけ大きな安定性
が達成される。

個々のシステム構成要素のための所定の動作モードの選択に基づいていて図１〜３と図６〜８で“モード選択”で表した規則（制御集合）５，５′，５″，２１，２１′，２１″によって象徴的に示した選択方法の作用は、図５に示したフローチャートと、自動車コントロールシステム（図４参照）に関する本発明の実施の形態の次の記載とによって詳しく説明される。

図５において“ナッシ−シュナイダマン図”によって示した、規則５，５′，５″，２１，２１′，２１″（図１〜３と図６〜８）によって実施されるモード選択方法の経過は、図４の例において実質的に次のステップを含んでいる。
１．個々の車輪制動力コントローラ（１６〜１９，１６′〜１９′，１６″〜１９″、図６〜８参照）の動作モードに関して、高いまたは最大の制御精度の観点から、すなわち最大またはできるだけ大きな車両減速および／またはブレーキ介入のできるだけ大きなダイナミクスおよび制御可能性の達成の観点から、一定の順位または優先順位が定められている（“モード１”は最高の優先を意味し、“モード２”は優先度合が低く、・・・“モードｎ”は優先度合が最も低い）。
２．右側の１個の車輪と左側の１個の車輪からなる対の車輪の順位は、できるだけ小さなヨーイングモーメントおよび／またはできるだけ高い安定性を有する車両の制動を期待できる対の車輪を優遇（“優先”）する目的で定められる。対の車輪“前車軸”が最高に優先され、斜めの（ダイアゴナル）対の車輪は順位が同じである。すなわち、同じ優先度合で選択される。
３．最高に優先される第１の対の車輪が決定される。この対の車輪の場合、関連する両車輪制動力コントローラのために、所定の動作モードＡ（最初の進行ではこの所定の動作モードは最高の優先度合を有する動作モードである）が供される。
４．続いて、所定の動作モードＢ（最初の進行ではこの所定の動作モードは最高の優先度合を有する動作モードである）を探す。この動作モードは第２の対の車輪の両車輪制動力コントローラに供される。この場合、対の車輪“後車軸”も考慮される。決定された運転モードＡ，Ｂはすべての車輪制動力コントローラで採用される。勿論、所定の追加条件（例えば“動作モードの所定の組み合わせだけが所望される”または他のろ波機能あるいは“コントロール機能（ＡＢＳ，ＥＳＰ等）がまだ使用可能”、“ＡＢＳ機能が必要な場合にまだ使用可能”等）を満たすときにのみ採用される。この採用によって、演算が終了する。
５．先行するステップにおいて、規則や追加条件に対応する、すべての車輪制動力コントローラの動作モードＡ，Ｂの組み合わせが決定されないと、ステップ４は第２の対の車輪の車輪制動力コントローラのための（設定された順位に従って）優先度合の低い動作モードＢで新たに実施される。
６．第２の対の車輪の車輪制動力コントローラの供されるすべての動作モードを完全に検査した後で、規則と追加条件に対応する、すべての車輪制動力コントローラの動作モードＡ，Ｂの組み合わせが決定されないと、ステップ４と後続のステップは優先度合の低い第１の対の車輪で（この車輪の車輪制動力コントローラのために動作モードＡが供される）新たに実施される。例えば前車軸の個所でダイアゴナルが選択される。
７．今までのすべてのステップの進行の後で、すべての車輪制動力コントローラの動作モードＡ，Ｂの組み合わせが発見されないと、ステップ３と後続のステップは（設定された順位に従って）優先度合の低い動作モードＡで新たに実施される。
８．第１と第２の対のすべての車輪の車輪制動力コントローラの供されるすべての動作モードを完全に検査した後で、規則と追加条件に対応する、すべての車輪制動力コントローラの動作モードＡ，Ｂの組み合わせが発見されないと、例えばすべての車輪制動力コントローラに一定の緊急時モードが割り当てられるかまたは緊急時モードが第２の規則によって決定されるように、緊急時演算が行われる。

図６，７では、図１〜３の図示とこれらの図に基づいて説明した例に類似して、システム構成要素１６〜１９，１６′〜１９′が示してある。このシステム構成要素の動作モードは第１のステップにおいて、すなわちエラー分析または事象分析２０，２０′によって決定される。システム構成要素１６〜１９，１６′〜１９′はここでは車輪制動力コントローラ“車輪ＦＬ”，“車輪ＦＲ”，“車輪ＲＬ”，“車輪ＲＲ”である。車輪制動力コントローラ１６は左側前輪に、車輪制動力コントローラ１７は右側前輪に、車輪制動力コントローラ１８は左側後輪に、車輪制動力コントローラ１９は右側後輪に属する。同じことが１６′〜１９′についても当てはまる。

図６の例では、制動力コントローラ１７の動作モード１の許容を阻止するエラーが発生している。この状況では、車輪制動力コントローラ１６，１９、すなわちダイアゴナルＶＬ−ＨＲの、動作モード１での操作による制動および他のダイアゴナルＶＲ−ＨＬ（車輪制動力コントローラ１７，１８）の、動作モード２での操作による制動によって、車両の最適な挙動が予想される。

これに対して、図７の例では、右側後輪に装着された制動力コントローラ１９′の動作モード１，２の許容だけを阻止するエラーが発生する。この場合、高い制御精度を達成するという観点から、動作モード１では前車軸で、すなわち車輪制動力コントローラ１６′，１７′で、そして動作モード３では後車軸で、すなわち車輪制動力コントローラ１８′，１９′で車両を制動すると有利である。

図６，７の例の両エラーは図８の例で同時に発生する。阻止された車輪制動力モードは、上記例の阻止されたモードの重ね合わせ（論理ＯＲ）であり、一緒にシステムデグラデーションに含まれる。車輪制動力コントローラ１９″（右後）の動作モード１，２と車輪制動力コントローラ１７″（右前）の動作モード１は供されない。制動過程の際の最良の車両挙動は、車両の前車軸（車輪制動力コントローラ１６″，１７″）が動作モード２で、後車軸（車輪制動力コントローラ１８″，１９″）が動作モード３で制動されるときに達成される。

エラーまたは組み合わせエラーの発生時に所定の動作モードを選択する、本発明による方法の個々のステップの一例を概略的に示す図である。 他のエラーまたは他の組み合わせエラーの発生に対する反応を示す、図１と同様な図である。 図１，２のエラーの同時発生に対する反応を示す、図１，２と同様な図である。 本発明の用途として、制御される電気油圧式ブレーキシステム（ＥＨＢ）の油圧回路と重要な構成要素を示す概略図である。 図４のブレーキシステムの個々のシステム構成要素の動作モードを決定するための選択システムの作動の一例をナッシ−シュナイダマン図の形で示す図である。 図４のブレーキシステムの制動力コントローラ動作モードを論理結合および評価するための一例を示す、図１〜３と同様な図である。 図６の実施の形態の図示および状況の変形である。 図６の例の他の変形として、図６，７のエラーが同時に発生する状況を示す図である。

Claims (18)

1. エラーまたは機能不良の発生時に、自動車コントロールシステム、例えば電気式、電気油圧式または電気機械式のブレーキシステム（ブレーキ・バイ・ワイヤ）、操舵システム（ステアリング・バイ・ワイヤ）等のような複雑で安全上重要な全体システムの機能を保証または維持するための方法において、
   全体システムがエラー源分析（４，４′，４″，２０，２０′，２０″）を認識した後で互いに独立したシステム構成要素（１〜３，１６〜１９，１′〜３′，１６′〜１９′，１″〜３″，１６″〜１９″）に分割されることと、
   各々のシステム構成要素（１〜３，１６〜１９，１′〜３′，１６′〜１９′，１″〜３″，１６″〜１９″）について動作モード（Mode)が定められることと、
   全体システム内でのエラーの発生時にエラー源が分析され、エラーの発生した動作モードが決定されることと、
   エラー源分析（４，４′，４″，２０，２０′，２０″）に基づいておよび選択システム（５，５′，５″，２１，２１′，２１″）の規定に従って、エラーの発生しない、すなわちまだ使用可能である個々のシステム構成要素の動作モードのうち、発生したエラーを考慮して全体システムの最適な挙動または設定された挙動を保証するかあるいは少なくとも全体システムの機能の維持を保証する動作モードが選択されることを特徴とする方法。
2. 個々のシステム構成要素（１〜３，１６〜１９，１′〜３′，１６′〜１９′，１″〜３″，１６″〜１９″）の動作モード（Mode)のために順位が設定され、この順位が、エラーのないシステムで設定される普通モードまたは作動モードから、発生したエラーの種類に応じて許容される複数の緊急時モードおよび故障モードまで及ぶことを特徴とする、請求項１記載の方法。
3. エラーの発生時に、全体システムにおいて最初の演算ステップで、すべての動作モードが使用可能であるという仮定の下で、すべてのエラー源が分析され、
   発生したエラーに関係するすべての動作モードが停止されることと、
   次の演算ステップにおいて、発生したエラーと無関係の動作モードに基づいて、全体システムの機能を維持する個々のシステム構成要素（１〜３，１６〜１９，１′〜３′，１６′〜１９′，１″〜３″，１６″〜１９″）の動作モードが決定および設定されることを特徴とする、請求項１または２記載の方法。
4. 選択システム（５，５′，５″，２１，２１′，２１″）が決定マトリックスまたは規則の形に形成され、この決定マトリックスまたは規則において、エラー源分析（４，４′，４″，２０，２０′，２０″）の評価後まだ許容される動作モードの種類および／または分割に依存してシステム構成要素（１〜３，１６〜１９，１′〜３′，１６′〜１９′，１″〜３″，１６″〜１９″）のどの動作モデルが設定されるかが決定されることを特徴とする、請求項１〜３のいずれか一つまたは複数に記載の方法。
5. 各車輪に車輪制動力コントローラが付設されている、ブレーキ・バイ・ワイヤ・システム（ＥＨＢ，ＥＭＢ）のような複雑な制動力制御システムの信頼性を高めるための、請求項１〜４の一つまたは複数に記載の方法において、個々の車輪の車輪制動力コントローラが互いに独立したシステム構成要素（１６〜１９，１６′〜１９′，１６″〜１９″）として形成され、このシステム構成要素に動作モードが設定された順位で割り当てられていることと、エラー源分析（２０，２０′２０″）の結果に依存して個々の車輪制動力コントローラの動作モードを決定するための選択システム（２１，２１′２１″）として、それぞれ１個の右側の車輪と左側の車輪からなる対の車輪の形成および選択に基づく規則が使用されることを特徴とする方法。
6. 少なくとも２つの動作モードが設定された順位でシステム構成要素（１６〜１９，１６′〜１９′，１６″〜１９″）に割り当てられることを特徴とする、請求項５記載の方法。
7. 個々の車輪制動力コントローラ（１６〜１９，１６′〜１９′，１６″〜１９″）の動作モードの順位が高い制御精度または最大の制御精度を達成するという観点から決定され、使用される動作モードを選択する際に、基本的には、高い制御精度が予想される動作モードに、高い順位、すなわち高い優先度が与えられることを特徴とする、請求項５または６記載の方法。
8. 大きなダイナミクスおよび／またはブレーキ介入の制御可能性と同時に車両の大きな減速が、高い制御精度に関する判断基準と見なされることを特徴とする、請求項７記載の方法。
9. ブレーキングの際に使用される対の車輪の順位が定められ、使用される対の車輪を選択する際に、ブレーキング時に比較的に小さな車両のヨーイングモーメントおよび／または大きな安定性が予想される対の車輪が高い順位、すなわち高い優先度を与えられることを特徴とする、請求項５〜８のいずれか一つまたは複数に記載の方法。
10. 使用される対の車輪を選択する際に、基本的には、順位が同じであるダイアゴナルな両対の車輪よりも高い順位、すなわち高い優先度が車輪対“前車軸”に与えられることを特徴とする、請求項９記載の方法。
11. 使用される動作モードおよび対の車輪を選択する際に、第１のステップで順位の最も高い対の車輪が決定され、関連する両車輪制動力コントローラに、設定された所定の動作モード（Ａ）、好ましくは最高の優先度を有する動作モードが供されることを特徴とする、請求項５〜１０のいずれか一つまたは複数に記載の方法。
12. 第２のステップにおいて、第２の対の車輪の両車輪制動力コントローラにまだ供される動作モード（Ｂ）が決定され、この場合が最高の順位の動作モードが優先されることを特徴とする、請求項１１記載の方法。
13. 設定された所定の追加条件を満足するときにのみ、第１と第２のステップで選択された動作モードが個々の車輪制動力コントローラに割り当てられることを特徴とする、請求項１１または１２記載の方法。
14. 選択された動作モードを割り当てる前に満足するかどうかをチェックされる追加条件が、例えば所定の動作モードの組み合わせの許容性、制御機能の使用可能性等であることを特徴とする、請求項１３記載の方法。
15. 追加条件を満たさない場合、追加条件を満たす動作モードの組み合わせが決定されるまで、使用される動作モードおよび／または対の車輪の選択が低いランクの動作モードおよび／または対の車輪に基づいて繰り返されることを特徴とする、請求項１３または１４記載の方法。
16. 設定された追加条件を満たさない場合に個々の車輪制動力コントローラのための動作モードを選択した後で、第２の対の車輪の動作モードの決定が低いランクの動作モードに基づいて繰り返され、追加条件との新たな整合が行われることを特徴とする、請求項１５記載の方法。
17. 追加条件を満たさない場合、動作モードおよび対の車輪の選択が低いランクの対の車輪に基づいて繰り返されることを特徴とする、請求項１６記載の方法。
18. 動作モードおよび／または対の車輪および供される動作モードの組み合わせの選択と割り当てを繰り返した後で、追加条件が引き続き満たされないときに、動作モードの緊急時演算と決定が行われることを特徴とする、請求項１３〜１７のいずれか一つまたは複数に記載の方法。

Images