JP2009520288A

JP2009520288A - ソフトウェアモジュールを分散させる方法

Info

Publication number: JP2009520288A
Application number: JP2008546333A
Authority: JP
Inventors: シュヴェルトフューラー、ゲリートフォン; ニーマン、ホルガー; ハークマン、ペール; ダブス、アレクサンダー; グレスカンプ、ジークフリート
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2005-12-22
Filing date: 2006-11-28
Publication date: 2009-05-21
Also published as: DE102005061393A1; EP1966008A1; EP1966008B1; ES2546018T3; US20090228118A1; WO2007074009A1; CN101341046A

Abstract

【課題】ソフトウェアモジュールを分散させる方法、ソフトウェアモジュールを分散させる装置、コンピュータプログラム及びコンピュータプログラム製品を提供する。
【解決手段】制御装置（８、１０）にソフトフェアモジュール（２、４）を分散させる方法を提供する。この方法は、安全性に関わる分類特徴に応じて、前記ソフトウェアモジュール（２、４）が前記制御装置（８、１０）に割り当てられる、制御装置（８、１０）にソフトフェアモジュール（２、４）を分散させる。
【選択図】図１

Description

本発明は、ソフトウェアモジュールを分散させる方法、ソフトウェアモジュールを分散させる装置、コンピュータプログラム及びコンピュータプログラム製品に関する。

将来的に、車両に設けられている制御装置に、車両の制御装置ソフトウェアを自由に分散させる（verteilen）ことを可能にしようとする試みがある。その際、特に、安全性の観点が考慮される。この関連において、ソフトウェアモジュールを完全に自由に分散させるには、ソフトウェアモジュールが分散されるべき（割り当て）先となる全ての制御装置が、分散されるソフトウェアモジュールの最大安全要件（Sicherheitsanforderungen）を満たさなければならない。しかし、その際に、安全性に関わるソフトウェアモジュールが、この安全性に関わるソフトウェアモジュールの安全要件を満たさない制御装置に割り当てられるという危険性が発生する。さらに、安全性に関わるモジュールが分散されないことも考えられる。これは、構想されるソフトウェアの分散が限定されることを意味している。

特許文献１には、セーフティ・クリティカル（sicherheitskritisch）な観点に考慮したソフトウェアモジュールとハードウェアモジュールとの相互作用の例が開示されている。この明細書は、ソフトウェアが統合された少なくとも１つの標準ＣＰＵ（Standard-CPU-Baugruppe）と、少なくとも１つのフェイル・セイフの周辺装置と、標準ＣＰＵとフェイル・セイフの周辺装置との間の通信のための少なくとも１つの通信チャネルと、から構成され、特に自動化システムにおける誤り制御の措置を改善する方法に関わっている。その際、標準ＣＰＵのソフトウェアは、駆動システムとアプリケーションプログラム（Anwenderprogramm）とから構成される。セーフティ・クリティカルなデータのエラーの検査、及び／又は、セーフティ・クリティカルなデータの処理におけるエラー（誤作動）の検査において、標準ＣＰＵ内で、データ及び／又は演算子が異なる符号化された処理の組み合わせが、利用される。

独国特許出願公開第１０２１９５０１号明細書

このような背景から、特許請求の範囲に記載の請求項１の特徴を含む方法と、特許請求の範囲に記載の請求項７の特徴を備えた装置と、特許請求の範囲に記載の請求項１１に記載の特徴を備えたコンピュータプログラムと、特許請求の範囲に記載の請求項１２に記載の特徴を備えたコンピュータプログラム製品と、が提案される。

制御装置にソフトウェアモジュールを分散させる（verteilen）ための本発明に基づく方法において、安全性に関わる分類特徴（Klassifizierungsmerkmale）に応じて、ソフトウェアモジュールが制御装置に割り当てられる（zuordnen）。

本発明に基づく装置は、制御装置にソフトウェアモジュールを分散させるために構成されている。この本発明に基づく装置は、安全性に関わる分類特徴に応じて、制御装置にソフトウェアモジュールを割り当てるように構想されている。

更なる別の有利な実施形態は、特許請求の範囲に記載の従属請求項から明らかとなろう。

さらに、本発明は、コンピュータプログラムが、コンピュータ又は対応する演算ユニット、特に本発明に基づく装置において実行される場合に、本発明に基づく方法の全ステップを実行するための、プログラムコード手段を含むコンピュータプログラムに関わる。

本発明は、コンピュータプログラムが、コンピュータ又は対応する演算ユニット、特に本発明に基づく装置において実行される場合に、本発明に基づく方法の全ステップを実行するための、コンピュータが読取り可能なデータキャリアに格納されたプログラムコード手段を含むコンピュータプログラム製品にも関わる。

本発明によって、制御装置に分散されるべきソフトウェアモジュールの分類が可能で、それに伴い、御装置に分散されるべきソフトウェアの分類が可能である。さらに、安全性との関連性（Sicherheitsrelevanz）又は安全要件に関する制御装置の分類が実現可能であり、ソフトウェアモジュールの分散過程又はこのソフトウェアの割り当て過程におけるこの安全性に関する分類特徴への配慮が実現可能である。従って、本発明によれば、特に目的に合うように、制御装置群（Steuergeraeteverbund）の制御装置に、安全性に関わるソフトウェアモジュールを分散させることが可能である。

その際、全制御装置が同一の安全要件に区分されているとは限らない場合、制御装置群におけるハードウェア費用を節約する可能性が与えられる。例えば車両における制御装置群内の異なる制御装置において、分散又は割り当ての後に、特定のソフトウェアモジュールそれぞれに、組み込まれることが可能である。さらに、安全性に関わるソフトウェアモジュールが、安全要件に対応していない制御装置に分散されることが、防止されることが可能である。

本発明の実施形態において、最初に、制御装置に分散されるべき全ソフトウェアモジュールが、安全性に関わる分類特徴（Klassifizierungsmerkmale）によって区分される。同様に、ソフトウェアモジュールが分散されるべき（割り当て）先となる制御装置が、安全性に関わる同一の分類特徴によって区分される。従って、安全要件の実現に関わるソフトウェアモジュール及び制御装置が、同一の観点に基づいて分類され（klassifizieren）、区分される（unterteilen）。分類特徴は、与えられた安全要件に基づいて標準化されていることが可能である。

安全性に関わるソフトウェアモジュールの分散の際に、少なくとも１つのソフトウェアモジュールは、少なくとも、安全性に関わるソフトウェアモジュールの安全性に関わる分類特徴を満たしている制御装置に割り当てられる（zuteilen）ことが許可される。この種の分類特徴が満たされない場合、割り当ては行われない。

安全性に関わる分類特徴として、例えば、ＤＩＮ（ドイツ）規格／ＥＮ（欧州）規格６１５０８に基づく安全完全性レベル（ＳＩＬ、Sicherheitsintegritaetslevel）が援用されることが可能である。安全完全性レベルは、典型的に、ＳＩＬ０〜ＳＩＬ４までの５つの段階に分けられている。従って、第１ソフトウェアモジュール又は第１ソフトウェア機能に、例えば、送風機（Luefter）制御のために、ＳＩＬ０レベルが割り当てられることが可能である。さらに、アクセルペダルの位置に基づく運転者希望トルク（Fahrerwunschmoment）の計算をするために構成された第２ソフトウェアモジュール又は第２ソフトウェア機能に、例えば、ＳＩＬ３レベルが割り当てられることが可能である。

ハードウェアが冗長化（Hardware-Redundanz）されておらず、安全コンセプト（Sicherheitskonzept）が設けられていない第１制御装置は、ＳＩＬ０レベルのソフトウェアモジュールのみ受け入れることが許可される。ハードウェアが冗長化されており、２つのプロセッサを有し、安全コンセプトが設けられている第２制御装置は、ＳＩＬ３レベルまでのソフトウェアを受け入れることが許可される。

この例の場合、第２ソフトウェア機能は、第２制御装置に振り分けられなければならない。第１ソフトウェア機能は、両制御装置への割り当てが許可される。第１制御装置は、冗長化されず、安全コンセプトが設けられていなくても済むので、第２制御装置よりもコストが安価である。

分散は、自動的に進行することが可能である。しかし、手動でも実行可能であり、例えば、ソフトウェアモジュール内に存在し、車両の制御装置のために設けられている、分散されたソフトウェアの枠組み（範囲）において、利用可能である。

本発明の更なる別の利点や実施形態は、発明の詳細な記載及び添付の図から明らかとなろう。

以上に又は以下に記載される特徴は、その都度記載される組み合わせのみならず、他の組み合わせにおいて、又は単独でも、本発明の枠組み（範囲）を逸脱することなく、利用可能である。

本発明は、図に示される実施形態を用いて模式的に示されており、以下に、図を参照しながら詳細に記述される。

図１には、複数のソフトウェアモジュール２、４と、装置６と、例えば車両の制御装置群１２内の複数の制御装置８、１０又は電気機械装置とが、模式的に示されている。

ソフトウェアモジュール２、４は、安全要件に応じて、制御装置８，１０に分散されるべきであることが構想されている。その際、ソフトウェアモジュール２、４は、ソフトウェアモジュール２、４の安全要件を満たさない制御装置８、１０には割り当てられないことが考慮される。

装置６は、安全性に関わる分類特徴に応じて、制御装置８、１０にソフトウェアモジュール２，４を割り当てるために構成されている。そのために、ソフトウェアモジュール２、４及び制御装置８、１０は、装置６によって分類され、分類特徴によって区分される。ここでは、分類特徴として、安全完全性レベルが援用される。その際、装置６によって、制御装置８、１０それぞれが、どの分類特徴を満たすのかについて検査される。従って、満たされた分類特徴に従って、この制御装置８、１０に、対応するソフトウェアモジュール２、４が割り当てられる。

本実施形態において、装置６によって、第１ソフトウェアモジュール２及び第１制御装置８が分類され、安全性に関わる分類特徴が満たされているかについて検査される。その際、基準として、複数の安全性に関わるレベル又は段階に区分された安全完全性レベルが援用される。この場合、第１制御装置８の安全完全性レベルが、少なくとも、第１ソフトウェアモジュール２の安全完全性レベルと同じ高さである場合には、第１制御装置８は、第１ソフトウェアモジュール２の安全要件を満たすことになる。従って、第１ソフトウェアモジュール２は、第１制御装置８に割り当てられ、この第１制御装置８に取り付けられる。

本発明によって、ソフトウェアモジュール２、４と、それに伴い車両制御装置ソフトウェアとが、車両に設けられている制御装置８，１０に自由に分散されることが可能である。その際には、特に、安全性の観点が考慮されることが可能である。従って、ソフトウェアモジュール２、４が完全に自由に分散される際に、ソフトウェアモジュール２、４が分散されるべき（割り当て）先となる各制御装置８，１０が、分散されるソフトウェアモジュール２、４の最大安全要件を満たさなければならないことは、もはや絶対不可欠ではない。

さらに、安全性に関わるソフトウェアモジュール２，４が、この安全性に関わるソフトウェアモジュール２、４の安全要求を満たさない制御装置８、１０に割り当てられる危険性も、同様にもはや発生しない。ソフトウェアモジュール２、４は、安全性に関わる分類特徴に応じて、合目的的に分散されることが可能である。

ソフトウェアモジュールを制御装置に分散させるための実施形態が模式的に示されている。

Claims

制御装置（８、１０）にソフトフェアモジュール（２、４）を分散させる方法において、
安全性に関わる分類特徴に応じて、前記ソフトウェアモジュール（２、４）が前記制御装置（８、１０）に割り当てられる、制御装置（８、１０）にソフトフェアモジュール（２、４）を分散させる方法。
前記ソフトウェアモジュール（２、４）が分類され、前記分類特徴によって区分される、請求項１に記載の方法。
前記制御装置（８、１０）が分類され、前記分類特徴によって区分される、請求項１又は２に記載の方法。
前記制御装置（８、１０）それぞれが、どの前記分類特徴を満たすのかについて検査され、当該制御装置（８、１０）に、満たす前記分類特徴に従って、少なくとも１つの前記ソフトウェアモジュール（２、４）が割り当てられる、請求項１〜３のいずれかに記載の方法。
前記分類特徴として、安全完全性レベルが援用される、請求項１〜４のいずれかに記載の方法。
車両の前記制御装置（８、１０）のために実行される請求項１〜５のいずれかに記載の方法において、
前記制御装置（８、１０）は、前記ソフトウェアモジュール（２、４）を用いて、送風機の制御、又は、アクセルペダルの位置に基づく運転者希望トルクの計算等の車両機能を実現する、車両の制御装置（８、１０）のために実行される請求項１〜５のいずれかに記載の方法。
制御装置（８、１０）にソフトウェアモジュール（２、４）を分散させるために構成されており、
安全性に関わる分類特徴に応じて、前記制御装置（８、１０）に前記ソフトウェアモジュール（２、４）を割り当てる装置。
前記ソフトウェアモジュール（２、４）を分類し、前記分類特徴によって区分するために構成されている、請求項７に記載の装置。
前記制御装置（８、１０）を分類し、前記分類特徴によって区分するために構成されている、請求項７又は８に記載の装置。
前記制御装置（８、１０）それぞれが、どの前記分類特徴を満たすのかについて検査し、
当該制御装置（８、１０）に、満たす前記分類特徴に従って、少なくとも１つの前記ソフトウェアモジュール（２，４）を割り当てるために構成されている、請求項７〜９のいずれかに記載の装置。
コンピュータプログラムが、コンピュータ又は対応する演算ユニット、特に請求項７〜１０のいずれかに記載の装置（６）において実行される場合に、請求項１〜６のいずれかに記載の方法の全ステップを実行するための、プログラムコード手段を含むコンピュータプログラム。
コンピュータプログラムが、コンピュータ又は対応する演算ユニット、特に請求項７〜請求項１０のいずれかに記載の装置（６）において実行される場合に、請求項１〜６のいずれかに記載の方法の全ステップを実行するための、コンピュータが読取り可能なデータキャリアに格納されているプログラムコード手段を含むコンピュータプログラム製品。