JP4504359B2 - 多機能なトータル電子制御システムにおける誤ったアクチュエータアクセスを防止する方法 - Google Patents

Description

この発明は、様々な種類のシステムサービスからアクチュエータアクセス要求が発出されて来る多機能なトータル電子制御システムでの誤ったアクチュエータアクセスを防止する方法に関する。この方法は、特に車両用制御システムに適している。

アンチロック防止（ＡＢＳ）、加速時スリップ制御（ＡＳＲ）、走行安定性制御（ＥＳＰ）、電気式オーバーライディング・ステアリング、ブレーキ支援、システム或いはコンポーネント診断などの複数の機能を一体化した複雑な自動車用制御システムが、既に知られている。これらの機能と、監視、エラー信号方式、タイヤ空気圧監視などのその他の機能及び補助機能を、共通の電子システムを用いて、同じ様に制御したいという要求が有る。この場合、これらの様々な機能及び補助機能は、大部分圧力制御バルブ、油圧ポンプ、警報ランプなどの同じアクチュエータを用いて、実行又は処理される。ここで、個々のアクチュエータへのアクセスが、全く同時に起こる場合がある。このことは、当然に競合を引き起こすこととなる。例えば安全性の理由から、その時点でより重要なコマンドの代わりに、より下位の重要性を持つ制御システム又は制御コマンドがアクチュエータにアクセスすることを避けなければならない。

従って、この発明の課題は、前述した種類の複雑なシステムにおいて、アクチュエータへのアクセス要求が競合した際に、アクチュエータへの「誤った」、許可されないアクセスが起こらないことを保証することである。この場合、「誤った」アクセスとは、実際の動作フェーズにおいて許容されないアービトレーションタイプ（例えば、走行中の診断行為）が必要となるため、或いはその他の多くの理由から、その時点で望ましくない要求によるアクセスである。

この課題は、請求項１に記載された方法によって解決することができることが分かっており、その特徴は、このシステムには、アクチュエータアクセス要求に対して、そのシステムサービスにトータル制御システムのその時点の動作モードを変更する許可を与えるかを決定する権限管理部と、動作モード制御部と、アクセス管理部とが配備されていることと、この権限管理部が、システムサービスによるアクセス要求に対して、トータル制御システムのその時点の全体的な動作モードを考慮しつつ、所定の規則に従って、動作モードの設定又は変更を行うとともに、実際の動作モードをアクセス管理部に通報することと、アクセス管理部は、通報されて来た全体的な動作モードに従って、「許可された」システムサービスだけに、アクチュエータを操作することを許すとともに、所定のアービトレーション規則に従って、システムサービスのアクチュエータアクセス要求を処理することとに有る。即ち、この発明では、多機能なトータル制御システムの電子制御システムに、追加的な権限・アクセス管理部を統合しており、この管理部は、様々な又は様々な種類のシステムサービスの各動作モードで「望まれる」、固定的に決められた規則に対応したアクセス要求だけをアクチュエータにまで通過させる機能を果たすものである。アクセス管理部は、例えば安全性の理由から優先すべき動作に優先権又は優先順位を与える。

この発明による権限・アクセス管理部によって、基本機能を危うくすること無く、基本機能と補助又は外部機能をシステムに統合することが可能となる。この権限・アクセス管理部は、例えば「誤った」、許可されないアクセスによって、安全性の理由から優先権を持つべきブレーキ操作要求がアクチュエータにまで通過することができなくなるということを防止するものである。即ち、この発明により、多くの重要な機能と、状況又は動作モード次第では、重要性が低下する機能を統合することが初めて可能となる。

この発明による方法の有利な実施例では、システムサービスのアクチュエータアクセス要求をメモリに記憶し、アービトレーションタイプに応じて、別々にアクセス管理部に回送する。

この発明の特に有利な実施形態は、システムサービスから発出され、アクチュエータにまで通過させるアクチュエータアクセス要求を、二段階のアービトレーション処理、即ち「垂直」と「水平」のアービトレーション処理によって決定することである。

この発明の別の実施例では、アクセス管理部において、第一ステップで、通報されて来た実際の全体的な動作モードに従って、許可されないアクセス要求を検出、排除又は拒否する。第二ステップの第一段階では、垂直のアービトレーション処理により、アービトレーションタイプの所定の優先権に従って、許可するアクセス要求の評価と選定を行い、その際「電流信号」は、「圧力信号」よりも高い優先順位を、「オン／オフ信号」は、電流信号より高い優先権を与えられている。最後に、第二ステップの第二段階では、水平のアービトレーションにより、選定されたシステムサービスがアクチュエータを駆動するのに用いる信号の優先順位に従って、第二ステップの第一段階で検出したアクセス要求の評価と選定を行う。

システムサービスの動作モードを変更する権限を、例えばテーブル形式で、権限管理部がアクセスする読出し専用メモリに固定化しておくことは目的に適っている。

ブレーキ設備（ＥＨＢ、ＥＭＢ）を基本システムとして持つ自動車用トータル制御システムにおいて、この発明による方法を使用する場合、基本ブレーキ機能（ＢＢＦ）、車輪スリップ制御機能（ＡＢＳ、ＡＳＲ（ＴＣＳ）、ＥＳＰなど）、診断機能（ＤＩＡＧ）、モーターポンプ制御システム（ＭＰＡ）、インタフェース（ＢＵＳ）が、アクチュエータアクセス要求を発出するシステムサービスとして検出されるとともに、権限管理部によって、アクセス管理部と連携して制御されるものである。

更に、トータルシステムに、「外部ソフトウェア」（ＣＳＷ）、「ステアリング機能」（Ｌｅｎｋ）などのその他のシステムサービスを統合することができる。

自動車用トータル制御システムでは、動作モード制御部において、有利には少なくとも、エラー通報を発生させない形でのスタートフェーズの終了後に設定される「ノーマルオペレーション」動作モードと、例えば所定の時間間隔が経過するまで、最低速度に初めて到達するまで、初期検査ルーチンが終了するまでのすべて又は幾つかが成り立つ「スタートフェーズ」動作モードと、「診断」動作モードと、外部又は補助システムによるアクチュエータアクセス要求の際に作動される「外部ソフトウェア」動作モードと、エラー通報の存在を示す「フェイルセーフ」動作モードとが区別される。

この発明の別の特徴、利点並びに可能な使用形態は、以下の添付図面にもとづく実施例の詳細な記述から明らかとなる。

以下に簡略化した例として記載したトータル制御システムは、自動車用であり、電気油圧式ブレーキシステム（ＥＨＢ）などの複雑なブレーキ設備を備えており、ブレーキ支援、速度又は車間距離制御システム、診断システム、ステアリングシステム（例えばオーバーライディング・ステアリング）などの様々な種類のシステム及び機能と協力して動作することが可能である。このブレーキシステムは、それに付属するＡＢＳ、ＡＳＲ、ＥＳＰなどの制御システム、制御機能を含めて基本システムと見なされ、その他のシステム又は機能は、外部又は補助システムと見なされる。

図１には、アクチュエータアクセス要求を発出し、この発明による方法にもとづき「管理される」、即ちそれに許可を与えるかを審査されるサービスが、機能ブロック１による図形で示されている。この発明にもとづく、ここに記載した実施例では、符号１で表示されている通り、基本的に以下のサービスを扱う。

ＢＢＦ 例えばブレーキバイワイヤー・システム（ＥＨＢ；ＥＭＢ）で、標準的な状 態においても、電子制御を必要とする基本ブレーキ機能を示す。
ＡＢＳ，ＡＳＲ（ＴＣＳ），ＥＳＰ これらの略語のもとで周知の制御機能。
ＤＩＡＧ 診断機能を示す。
ＭＰＡ 同じくアクチュエータアクセス要求を発出するモーターポンプ集合体を示す 。
ＣＳＷ 外部システム又は補助システム（ＣＳＷ＝カスタマーソフトウェア）を示す 。
ＢＵＳ ＣＡＮバスなどのインタフェースを示し、このインタフェースを介して、特 に付帯機能又は外部システム（ＣＳＷ）からのアクセス要求も伝えられる。Ｌｅｎｋ オーバーライディング・ステアリングなどのステアリングシステムを示す。

車間距離制御システム（ＡＣＣ）、速度制御システム（クルーズ制御）などからのアクセス要求は、同様にシステムサービス（ＢＵＳ）を介して、インタフェースＣＳＷ、或いはその他の独自の識別子（ＩＤ）を持つシステムサービスを介して、トータル制御システムに統合することができる。

システムサービス１から発出されたアクチュエータアクセス要求は、権限管理部２で、実際の状態、即ちその時点の動作モード（全体的な動作モード）の設定又は変更に関する審査のために使用される。このために、動作モード制御部３からのフィードバックが利用される。

各サービスは、そのＩＤによって一意に識別される。異なる反応を必要とする動作モードとして、例えば以下のものが重要である。

「ノーマル」 「ノーマルオペレーション」は、例えば自動車が、エラー通報無しに 長い時間動作した後に与えられる。

「スタートフェーズ」 例えば個々のシステムが未だ完全に作動していない、或いは 定型的な検査が未だ完了していない場合に成り立つ。

「診断」 この動作モードは、例えば修理工場や自動車のスタートフェーズで検 査ルーチンが進行中に占めるモードである。

「ＣＳＷ」 外部ソフトウェア：この動作モードは、例えばアクセスを要求するシ ステムサービスのＩＤに関して、その要求が基本機能からではなく、 付帯又は補助機能、或いは「外部機能」から出されたものであると識 別することができた場合にセットされる。

「フェールセーフ」 システムにおいて、動作の制限を伴う誤りが識別された。
識別されたシステムサービスと実際の動作モード（全体的な動作モード）に従って、動作モード（全体的な動作モード）の設定又は変更に関して審査するための規則は、固定的に規定されている。これらの規則は、図１に図示されている通り、この発明で記載した実施例では、読出し専用メモリ３に、例えば表形式で固定化されている。

実際の全体的な動作モードにおいて、アクチュエータアクセス要求に対する許可が与えられない場合、当該のシステムサービス１のアクセス要求は、権限管理部２によって、直ちに拒否又は無視される。実際の動作モードにおいて、要求が「許可」されるものである場合、必要であれば、動作モード制御部４によって、トータル制御システムの動作モードの変更が行われる。実際の動作モードは、アクセス管理部６に通報され、更に権限管理部２へのフィードバックが行われる。

個々のシステムサービス１のアクチュエータアクセス要求は、権限管理部２での権限審査と同時に、信号路ＳＤ１〜ＳＤｎを介して、バッファメモリ５を経由して、アクセス管理部６に供給され、このアクセス管理部は、所定の規則に従って、アービトレーション処理による制御により、実際の動作モードにおいて、システムサービス１のアクチュエータアクセス要求の中のどれを実際にアクチュエータ７にまで通過させるのかを決定する。それ以外のすべての要求は、無視されるか、或いは「許可が無い」ために拒否され、要求の許可と「拒否」の両方又は一方が、システムサービス１にフィードバックされる。

図２で具体的に示されている通り、バッファメモリ５では、アービトレーションタイプに従って、即ち同じ物理単位の信号（ここでは、圧力「ｐ」、電流「Ｉ」又はオン／オフ信号「Ｅ／Ａ」）に従って、アクチュエータアクセス要求を別々にアクセス管理部に回送している。

アクセス管理部６では、第一ステップで、実際の全体的な動作モードにおいて「許可されない」要求を拒否又は排除する。次に、第二ステップで、残ったアクチュエータアクセス要求の二段階によるアービトレーション処理を行う。図２のブロック８として図形化した第一段階において、個々のアービトレーションタイプの所定の優先度又は優先順位に従って、「許可される」要求を評価しており、このことは、「垂直」のアービトレーション処理と称している。

次に、第二ステップの第二段階９において、「水平」のアービトレーション処理によって、同じアービトレーションタイプの残った要求の評価を行い、アクチュエータアクセス要求の中のどれを実際にアクチュエータ７にまで通過させるのかを決定する。この段階９の出力信号は、スイッチ１０によって図形化されている通り、（アービトレーションタイプ、即ちここでは「圧力」、「電流」、「オン／オフ」信号に応じて）直接或いは圧力制御器１１と電流制御器１２の両方又は一方での再処理後に、アクチュエータ６に回送している。

この発明のここに記載した実施例では、アクチュエータ７は、コイル、例えばブレーキ圧制御バルブのバルブ用ソレノイドである。「オン／オフ」の単位又は次元のコマンド又は信号は、直ぐにバルブの反応を引き起こす。従って、「オン／オフ」信号には、水平のアービトレーション処理の意味において、「最高の」優先順位が与えられる。それに対して、「電流」の単位又は次元の信号は、先ずは電流制御器１２（図２参照）で評価されて、「オン／オフ」コマンドに変換される。圧力変更要求、即ち「圧力」次元の信号は、先ずは圧力制御器１１で電流変更要求に、次に電流制御器１２によりアクチュエータ操作信号又は「オン／オフ」信号に変換される。従って、「電流」次元の信号は、この実施例では、「圧力」次元の信号よりも高い優先順位を与えられている。「圧力」、「電流」、「オン／オフ」次元の信号が競合する場合、Ｅ／Ａ信号が実行される。Ｅ／Ａ信号が無い場合、電流信号が優先される。

アクセス管理部６は、実際の動作モードに応じて、所定の規則にもとづきアクチュエータアクセス要求を選定する。例えば、「ノーマル」動作モードでは、圧力目標値要求だけが「規則に合致」しており、評価されるが、その他の要求は、アクセス管理部６によって拒否又は無視される。「外部ソフトウェア」（ＣＳＷ）動作モードでは、圧力信号形式の設定コマンド又はアクチュエータアクセス要求だけが許される。「診断」動作モードでは、電流信号形式の設定コマンド又はバルブ切換コマンドは許されるが、圧力信号形式のものは許されない。「フェールセーフ」動作モードでは、特に安全性に関して重要なシステムサービスが属するコアシステムから発出されて来るアクチュエータ要求だけは「規則に合致」するものとされるが、付帯システム、補助システム、外部システム（ＣＳＷ）からのアクチュエータ要求は「規則に合致」するものとはされない。

これらは、ほんの比較的簡単な例である。アクセス管理部６を用い、権限管理部２（３）と連携させて、その他に多くの構成を実現することができる。

この発明による方法を実施するためのトータル電子制御システムの機能要素の模式図 同じく、アクセス管理部の機能方法を図解するための図１によるトータル制御システムの一部の模式図

符号の説明

１ システムサービス
２ 権限管理部
３ 読出し専用メモリ
４ 動作モード制御部
５ バッファメモリ
６ アクセス管理部
７ アクチュエータ
８ 垂直アービトレーション処理
９ 水平アービトレーション処理
１０ スイッチ
１１ 圧力制御器
１２ 電流制御器
ＳＤ１〜ＳＤｎ 信号路
ｐ 圧力信号
Ｉ 電流信号
Ｅ／Ａ オン／オフ信号

Claims (8)

1. 様々な又は様々な種類のシステムサービス（１）からアクチュエータアクセス要求が発出されて来る多機能なトータル電子制御システムでの誤ったアクチュエータアクセスを防止する方法において、
   このシステムには、アクチュエータアクセス要求に対して、そのシステムサービス（１）にトータル制御システムのその時点の動作モードを変更する許可を与えるかを決定する権限管理部（２）と、動作モード制御部（４）と、アクセス管理部（６）とが配備されていることと、
   この権限管理部（２）と動作モード制御部（４）が、システムサービス（１）によるアクセス要求に対して、トータル制御システムのその時点の全体的な動作モードを考慮しつつ、所定の規則に従って、動作モードの設定又は変更を行うとともに、実際の動作モードをアクセス管理部（６）に通報することと、
   アクセス管理部（６）は、通報されて来た全体的な動作モードに従って、「許可された」アクチュエータアクセス要求だけに、アクチュエータを操作することを許すとともに、所定のアービトレーション規則に従って、システムサービス（１）のアクチュエータアクセス要求に対して優先順位を付与するアービトレーション処理を行うことと、
   を特徴とする方法。
2. システムサービス（１）のアクチュエータアクセス要求をメモリ（５）に記憶し、アービトレーションタイプに応じて、別々にアクセス管理部（６）に回送することを特徴とする請求項１に記載の方法。
3. システムサービス（１）から発出され、アクチュエータ（７）にまで通過されるアクチュエータアクセス要求は、アービトレーションタイプ別にシステムサービス（１）のアクチュエータアクセス要求に対して優先順位を付与する垂直のアービトレーション処理と同じアービトレーションタイプ内のシステムサービス（１）のアクチュエータアクセス要求に対して優先順位を付与する水平のアービトレーション処理の二段階のアービトレーション処理によって決定されることを特徴とする請求項１又は２に記載の方法。
4. アクセス管理部（６）において、第一ステップで、通報されて来た実際の全体的な動作モードに従って、許可されないアクセス要求を検出して、排除又は拒否することと、
   第二ステップの第一段階で、垂直のアービトレーション処理により、アービトレーションタイプの所定の優先度に従って、許可されるアクセス要求の評価と選定を行い、その際「電流信号」は、「圧力信号」より高い優先順位を、「オン／オフ信号」は、「電流信号」より高い優先順位が与えられていることと、
   第二ステップの第二段階で、水平のアービトレーション処理により、アクチュエータ（７）を駆動するための信号の優先順位に従って、第二ステップの第一段階で許可されたアクセス要求に対する評価と選定を行うことと、
   を特徴とする請求項１から３までのいずれか一つに記載の方法。
5. 当該の所定の規則が、権限管理部（２）がアクセスする読出し専用メモリ（３）に固定化されていることを特徴とする請求項１から４までのいずれか一つに記載の方法。
6. ブレーキ設備（ＥＨＢ，ＥＭＢ）を基本システムとして持つ、自動車用トータル制御システムにおいて、基本ブレーキ機能（ＢＢＦ）、車輪スリップ制御機能（ＡＢＳ，ＡＳＲ（ＴＣＳ），ＥＳＰなど）、診断機能（Ｄｉａｇ）、モーターポンプ制御システム（ＭＰＡ）、インタフェース（ＢＵＳ）が、アクチュエータアクセスサービスを発出するシステムサービス（１）として扱われるとともに、権限管理部（２）によって、アクセス管理部（６）と連携して制御されることを特徴とする請求項１から５までのいずれか一つに記載の方法。
7. 当該のトータルシステムに、「外部ソフトウェア」（ＣＷＳ）、「ステアリング機能」（Ｌｅｎｋ）などのその他のシステムサービスを統合することを特徴とする請求項１から６までのいずれか一つに記載の方法。
8. 自動車用トータル制御システムにおいて、動作モード制御部（４）では、少なくとも、エラー通報を発生させない形でのスタートフェーズの終了後に設定される「ノーマルオペレーション」動作モードと、例えば所定の時間間隔が経過するまで、最低速度に初めて到達するまで、初期検査ルーチンが終了するまでのすべて又は幾つかが成り立つ「スタートフェーズ」動作モードと、「診断」動作モードと、外部又は補助システムによるアクチュエータアクセス要求の際に作動される「外部ソフトウェア」動作モードと、エラー通報の存在を示す「フェイルセーフ」動作モードとが区別されることを特徴とする請求項１から７までのいずれか一つに記載の方法。

Images