JP5319534B2 - 障害管理方法、および障害管理のための装置 - Google Patents

Description

本発明は、特許請求の範囲に記載の請求項１の概念に基づく障害管理方法、特許請求の範囲に記載の請求項１２の概念に基づく対応する装置、ならびに、対応するコンピュータプログラムおよびコンピュータプログラム製品に関する。

独国特許出願公開第１９７３１１１６号明細書は、システムのための制御装置に関する。システムはセンサを具備している。接続を介して、センサの測定値が制御装置へと伝送可能である。したがって、制御システムは、システムの状態に関する情報を獲得する。

独国特許出願公開第１０３０２０５４号明細書は、内燃機関の構成要素の検査に関する。各構成要素には、インタフェースを介して中央機能と通信する診断機能が割り当てられている。

以下は、基本的に、例えば車両分野で使用可能な電子制御式安定性制御プログラムが関わっている。しかし、本方法または本装置は、この適用に限定されない。

電子制御式安定性制御プログラム（ＥＳＰ；ＥＳＰ＝Elektronisches Stabilitaetsprogramm）では、異なるハードウェア構成要素が使用される。この関連において、ハードウェア構成要素という概念に、センサ、アクチュエータ、全形態のデータ伝送制御部および制御装置構成要素がまとめられる。データ伝送制御部は、例えば、ＣＡＮまたはＦｌｅｘＲａｙが関わりうる。制御装置構成要素には、例えば、ＲＯＭ、ＲＡＭ、ＥＥＰＲＯＭ、または、Ａ／Ｄ変換器が含まれる。

言及された全ハードウェア構成要素と、ハードウェア構成要素により伝送または伝達される信号とは、不測の障害を検知するために駆動中に監視される。構成要素または信号の目下の状態を、ステータスと称する。可能なステータスとして、例えば、「有効」、「短期間無効」、「非初期化状態」、および「無効」等が挙げられる。「非初期化状態」という状態においては、複数のレベルが可能である。

現在、個々の構成要素のステータスは、複数の監視アルゴリズムによって分散して決定される。すなわち、監視アルゴリズムは、ＥＳＰ等の全体システム中に分散されている。結果として生じるステータスは、複合ロジック部によって同様に分散して定められる。同様に、分散して解決される。すなわち、システムの複数の箇所で、因果関係を示さない誤りを抑制する連続誤り防止、および、多重誤り処理が実現されている。

このようにタスクおよび役割が分散されることによって、システムの製品構成や、カスタマ・プロジェクトの処理が非常に困難になる。さらに、従来のシステムの場合、３つの言及された分野、すなわち、結果として生じるステータスの決定、連続誤り防止、および多重誤り処理において、自動ドキュメンテーション生成ツールの利用が可能ではない。

本発明の課題は、複数の構成要素を備えるシステムにおける改善された障害管理方法、および障害管理のための装置、ならびに、対応するコンピュータプログラムおよびコンピュータプログラム製品を創出することである。

本課題は、特許請求の範囲の請求項１に記載の方法、特許請求の範囲の請求項１２に記載の装置、ならびに、特許請求の範囲の請求項１５および請求項１６に記載のコンピュータプログラムおよびコンピュータプログラム製品に基づいて解決される。

本発明は、複数の構成要素を備えるシステムにおける障害管理方法を創出する。その際、複数の構成要素の障害状態は、ステータス値によって示すことが可能である。その際、第１ステータス値は、第１構成要素の障害状態にしたがって決定され、第２ステータス値は、第２構成要素の障害状態にしたがって、かつ、第１ステータス値にしたがって決定される。

本発明に係る方法に基づいて、全体システム内部の誤りが非常に迅速に確認および表示可能であり、全体システム内で通信可能である。

さらに、本発明は、本発明に係る方法の全工程を実行する、複数の構成要素を備えるシステムにおける障害管理のための装置を創出する。

プログラムコード手段を有する本発明に係るコンピュータプログラムは、このコンピュータプログラムがコンピュータまたは対応する演算ユニット、特に本発明に係る装置において実行される場合に、本発明に係る方法の全工程を実行するために構成されている。

コンピュータが読取り可能なデータキャリアに格納されているプログラムコード手段を有する、本発明に係るコンピュータプログラム製品は、このプログラムがコンピュータ、または対応する演算ユニット、特に本発明に係る装置において実行される場合に、本発明に係る方法を実行するために設けられている。

本発明の本質的な態様は、故障依存構造（Failure Dependency Structure）において記載可能である。故障依存構造は、個々の監視されるハードウェア構成要素と、信号のシステムとの間の依存関係を含み、かつ示す。さらに、故障依存構造は、監視されるハードウェアと監視アルゴリズムとの対応を含む。

これに基づいて、本発明に係るアプローチによって、システムの構成要素に関して存在する全監視結果の収集が可能となり、かつ、結果として生じるハードウェア構成要素および信号ステータスの決定が可能となる。さらに、誤りメモリへの信憑性が無い登録を防止するために、連続誤りの検出が可能となる。このような工程は、連続誤り防止とも呼ばれる。同様に、多重誤り処理の準備も可能となる。

本発明に係るアプローチは、実装に関係しない複数の利点を提供する。例えば、監視アルゴリズムにより報知される全誤りを中央で集めることが挙げられる。これにより、システムの透明性が著しく高められる。故障依存構造に示される依存関係は、著しくプロジェクトに依存する。この依存関係を中央で定義することによって、プロジェクト開始時、およびプロジェクト進行中のコストが著しく低減される。通常では、製品開発の過程において、全体システムに対する要請も変化する。この変更に関わるシステムの部分、およびソフトウェア部分の規模は非常に小さい。依存関係を中央に集めることによって、解析が非常に容易になり、基本的により少ない人材が必要となる。ハードウェア依存の転換の、ツールによる解析は、依存関係の中央の定義によって非常に簡素化される、または可能になる。製品構成は明らかに容易になる。誤り検出度は、ツールにより支持された構成により著しく下げられる。

さらに、本発明に係るアプローチは、実装に関わる複数の利点を提供する。したがって、誤りを更に処理するために、非常に有効なアルゴリズムが使用されうる。これにより、制御装置の非常に限定されたリソースであるＲＯＭ、ＲＡＭ、実行時間および周期のうちのより僅かが利用される。図式的な製品構成によって、かつ、自動コード生成によって誤り検出度が下げられ、製品の取り扱いが著しく容易になる。

本発明の好適な実施形態は、特許請求の範囲に記載の従属請求項の主題である。

有利に、複数のステータス値は、構成要素により提供可能な値が有効または無効であるかどうかについて示す。その際、システムの第１構成要素により獲得された第１構成ステータス値が、第１構成要素により提供可能な値が無効であることを示す場合に、第２ステータス値は、第２ステータス値がシステムの第２構成要素により準備可能な値が無効であることを示すように、決定されうる。これをもって、ステータス値は、システム内部で非常に迅速に通信過能である。したがって、特に安全性に関わるステータス値も、システム内の全構成要素のために提供可能である。

さらなる別のステータス値が、さらなる別の構成要素の障害状態にしたがって、かつ、第１ステータス値または先行するステータス値にしたがって決定されることは有利である。

本発明に係る方法の特に好適な実施形態に基づいて、システムは、仮想的な構成要素を有する。その際、仮想的な構成要素の障害状態は、結合規則に基づいて、（実際の）構成要素のうちの所定の構成要素のステータス値から決定され、かつ、仮想的なステータス値は、仮想的な構成要素の障害状態にしたがって、かつ、第１ステータス値にしたがって決定される。この種の仮想的な構成要素、および対応する有利な結合規則を定義することによって、システム内部で特に効果的な方法で障害状態を通信することが可能である。

第１ステータス値から始まって、各ステータス値が１度のみ決定され、各ステータス値の決定は、先行するステータス値に依存することは有利である。この処置により、システムの信頼性または安全性を損なうことなく、システム内のリソースを節約することが可能である。

さらに、自身にしたがってさらなる別のステータス値が決定されないステータス値は、第１ステータス値から始まってどのステータス値が構成要素により準備可能な値が無効であることを最初に示したのかについて確認するために評価され、したがってそのような故障した構成要素が決定されることは有利である。この場合、システムの、故障した構成要素を有する部分が下げられる、または停止されることは特に有利である。これをもって、構成要素が故障しているにも関わらず、特に安全性に関わるシステムも適切な駆動が保証される。

有利に、故障した構成要素についての情報が格納される。したがって、待機または誤り解析作業が容易になりうる。

複数の構成要素の障害状態が、複数の監視アルゴリズムが実行されることによって定められることは有利である。この種の監視アルゴリズムは、本発明に係る方法に基づいて特に効果的であり、迅速に使用可能である。

特に、仮想的な構成要素の障害状態を決定するための結合規則は、論理積に相当する。この結合によって、誤り探索が特に効果的な方法で実行される。

複数のステータス値はさらに、構成要素により提供可能な値が短時間の間無効であるか、または、構成要素が初期化されていないのかについて示す。その際、第１ステータス値が、第１構成要素により提供可能な値が短時間の間無効である、または、第１構成要素が初期化されていないことを示す場合に、第２ステータス値は、第２ステータス値が第２構成要素により提供される値が無効であることを示すように、決定されうることは有利である。この処置により、構成要素の特に短時間の故障も考慮することが可能である。

本発明のさらなる別の利点および構成要素は、明細書および添付の図より明らかとなろう。

上述の特徴、および以下で解説される特徴は、本発明の枠組みを逸脱することなく、各示される組み合わせにおいてのみならず、他の組み合わせにおいて、または、単独でも利用可能であると理解されるものである。

本発明に係る方法、および、本発明に係る装置は、故障依存構造の形態において示すことが可能である。その際、故障依存構造は、複数の構成要素を備えるシステムを表している。故障依存構造は、システムの全監視される構成要素を含んでいる。システムの全監視される構成要素としては、システムの全ハードウェア構成要素、および、ハードウェア構成要素により伝達される信号が理解される。監視される構成要素は、故障依存構造においてノードとして示される。故障依存構造では、構成要素の間の依存関係は、ノード間の接続によって示されている。

故障依存構造は方向付けられ、非循環的である。方向付けられているとは、故障依存構造の２つのノードの間の接続が常に一方向に走っていることを意味している。複数のノードのうちの任意のノードから出発して任意の接続を辿っていく場合、出発点のノードに戻って到達することもなく、一回以上他のノードのうちの１つを通ることもない。すなわち、故障依存構造は非循環的である。

図１および図２は、本発明の好適な実施形態に基づく故障依存構造を示している。示される故障依存構造のノードは、楕円として示されている。楕円の間には、方向付けられた接続が存在する。同様に、各ノードに割り当てられた監視部が示されている。各ノードに割り当てられた監視部には、互いに上下に優先度が付けられていることが可能である。

図１は、本発明の実施形態に基づく故障依存構造を示している。故障依存構造は、複数の構成要素を備えるシステム１００を表している。

システム１００の第１構成要素１１０の障害状態または可用性状態は、監視アルゴリズム１１１、１１２、１１３のうちの１つ、または複数によって決定可能である。第１構成要素１１０の障害状態にしたがって、第１ステータス値１１５が決定可能であり、かつ、第２構成要素１２０へと伝達または提供可能である。駆動中に、構成要素１１０は、構成要素値を提供するために構成されることが可能である。構成要素値においては、例えば、センサ信号、制御信号、または、伝達された値等が関わりうる。構成要素１１０の障害状態にしたがって、センサ信号等の提供可能な構成要素値は有効、または無効でありうる。実施形態に基づいて、第１ステータス値１１５は、第１構成要素１１０により提供可能な値が有効、または無効であるかどうかについて示す。

システム１００の第２構成要素１２０の障害状態は、さらなる別の監視アルゴリズム１２１、１２２のうちの１つ、または複数によって決定可能である。第２構成要素１２０の障害状態にしたがって、かつ、第１構成要素により提供される第１ステータス値１１５にしたがって、第２ステータス値１２５が決定および提供可能である。第２ステータス値１２５は、第２構成要素１２０により提供可能な値が有効、または無効であるかどうかについて示すことが可能である。第２ステータス値１２５も第１ステータス値１１５にしたがって決定されることによって、第１ステータス値１１５が第１構成要素１１０により提供可能な値が無効であることを示す場合に、第２ステータス値１２５は、第２ステータス値１２５が第２構成要素１２０により提供可能な値が無効であることを示すように決定されうる。換言すれば、第１ステータス値１１５が第１構成要素１１０により提供可能な値が有効であることを示す場合に、第２ステータス値１２５は、第２ステータス値１２５が第２構成要素１２０により提供可能な値が有効であることを示すことが可能であるように決定される。

システム１００の第３構成要素１３０の障害状態は、監視アルゴリズム１３１、１３２、１３３のうちの１つ、または複数によって決定可能である。第３構成要素１３０の障害状態にしたがって、かつ、第２ステータス値１２５にしたがって、第３ステータス値１３５は決定および提供可能である。第３ステータス値１３５は、第３構成要素１３０により提供可能な値が有効、または無効であることを示すことが可能である。第３ステータス値１３５が第２ステータス値１２５に依存して決定されることによって、第２ステータス値１２５が第２構成要素１２０により提供可能な値が無効であることを示す場合に、第３ステータス値１３５は、第３ステータス値１３５が第３構成要素１３０により提供可能な値が無効であることを示すように決定されうる。

図１に示される実施形態に基づいて、システム１００は、第２構成要素１２０および第３構成要素１３０に平行して配置されている、さらなる別の第２構成要素１４０およびさらなる別の第３構成要素１５０を有する。第１ステータス値１１５は、追加的にさらなる別の第２構成要素１４０へと提供される。

システム１００のさらなる別の第２構成要素１４０の障害状態は、複数の監視アルゴリズム１４１、１４２、１４３によって決定可能である。さらなる別の第２ステータス値１４５は、さらなる別の第２構成要素１４０の障害状態にしたがって、かつ、第１構成要素により提供される第１ステータス値１１５にしたがって、決定および提供可能である。さらなる別の第２ステータス値１４５は、さらなる別の第２構成要素１４０により提供可能な値が有効、または無効であるかどうかについて示すことが可能である。さらなる別の第２ステータス値１４５が第１ステータス値１１５にしたがって決定されることによって、第１ステータス値１１５が第１構成要素１１０により提供可能な値が無効であることを示す場合に、さらなる別の第２ステータス値１４５は、さらなる別の第２ステータス値１４５がさらなる別の第２構成要素１４０により提供可能な値が無効であることを示すように、決定されうる。

システム１００のさらなる別の第３の構成要素１５０の障害状態は、複数の監視アルゴリズム１５１、１５２、１５３によって決定可能である。さらなる別の第３構成要素１５０の障害状態にしたがって、かつ、さらなる別の第２ステータス値１４５にしたがって、第３のさらなる別のステータス値１５５は、決定および提供可能である。さらなる別の第３ステータス値１５５は、第３のさらなる別の構成要素１５０により提供可能な値が有効、または無効であるかどうかについて示すことが可能である。さらなる別の第３ステータス値１５５がさらなる別の第２ステータス値１４５にしたがって決定されることによって、さらなる別の第２構成要素１４０により提供可能な値が無効であることをさらなる別の第２ステータス値１４５が示す場合に、さらなる別の第３ステータス値１５５は、さらなる別の第３ステータス値１５５がさらなる別の第３構成要素１５０により提供可能な値が無効であることを示すように、決定されうる。

実施形態に基づいて、先行するステータス値にしたがって決定されるステータス値は、先行するステータス値が決定されている場合に初めて決定される。例えば、最初に、第１ステータス値１１５が決定される。その後に、第１ステータス値１１５にしたがって、かつ、第２ステータス値１２５の第２構成要素１２０の障害状態にしたがって、第２ステータス値１２５が決定される。引き続いて、第２ステータス値１２５にしたがって、かつ、第３構成要素１３０の障害状態にしたがって、第３ステータス値１３５が決定される。障害管理のための本発明に係る方法は、複数回、または任意の頻度で、連続して実行可能である。各実施において、各ステータス値１１５、１２５、１３５、１４５、１５５は一度のみ決定される、または、各ステータス値は一度のみ決定される必要がある。

実施形態に基づいて、自身にしたがってさらなる別のステータス値が（全残りのステータス値も）決定されないステータス値１３５、１５５は、システムの故障した構成要素を検出するために評価されうる。これは、例えば、ステータス値１３５、１５５を受信し評価するために構成されている（図示されていない）評価装置によって行なわれることが可能である。その際、構成要素により提供可能な値が無効であるかどうか、かつ、もしそうであれば、どのステータス値が構成要素により提供可能な値が無効であることを最初に示したのかについて、確認することが可能である。引き続いて、システム１００の、故障した構成要素を有する部分が下げられる、または停止されることが可能である。故障した構成要素に関する情報も、例えば（図示されていない）記憶装置に格納することが可能である。

さらなる別の実施形態に基づいて、ステータス値はさらに、構成要素により提供可能な値が短時間の間無効であるか、または、構成要素が初期化されていないのかについて示すことが可能である。例えば、第２構成要素１２０により提供可能な値が短時間の間無効である、または、第２構成要素１２０が初期化されていないことを第２ステータス値１２５が示す場合に、第３ステータス値１３５は、第３構成要素１３０により提供可能な値が有効であることを示すことは出来ず、第３構成要素１３０により提供可能な値が同様に無効であることを示す。

システム１００においては、例えば、ＥＳＰが関わりうる。構成要素１１０、１２０、１３０、１４０、１５０においては、例えば、センサ、アクチュエータ、データ伝送制御部、制御装置構成要素、または、これらのような構成要素により伝送可能な信号が関わりうる。ステータス値は任意の形態、例えば、依存する構成要素により受信されうる信号の形態で提供可能である。

ノード１１０は、例えば、制御装置ＥＣＵに、ノード１２０はＡ／Ｄ変換器に、ノード１３０は車輪速度センサＶＬに、ノード１４０はＣＡＮに、およびノード１５０はヨーレートセンサに割り当てられることが可能である。ノード１１０には、特に、完全故障の監視部１１１、ＲＯＭの監視部１１２、および、ＲＡＭの監視部１１３が割り当てられることが可能である。ノード１２０には、特に、完全故障の監視部１２１、分散の監視部１２２が割り当てられることが可能である。ノード１３０には、特に、完全故障の監視部１３１、勾配の監視部１３２、値域の監視部１３３が割り当てられていることが可能である。ノード１４０には、特に、完全故障の監視部１４１、メッセージ「１」の監視部１４２、およびメッセージ「２」の監視部１４３が割り当てられることが可能である。ノード１５０には、特に、完全故障の監視部１５１、勾配の監視部１５２、および値域の監視部１５３が割り当てられることが可能である。

以下では、図１に示される故障依存構造の基本図を用いて、結果として生じるハードウェアおよび信号ステータスの決定、連続誤り防止、および多重誤り処理の準備のタスクが、本発明に係るアプローチに基づき、如何にして実現されるのかについて記載する。

最初に、結果として生じるハードウェアおよび信号ステータスの決定について考察される。結果として生じるノード・ステータスの決定の際は２つの作用要因がある。１つは、ノード自身の監視部の演算結果、もう１つは、先行するノードの状態である。監視アルゴリズムが誤りを検出する場合、付属するノードが無効としてマーク付けされる。同じ列においては、このノードの全子供、すなわち、このノードから接続を辿っていくことによって到達可能な全ノードが、同様に無効になる。このような子供ノードに対する検出された誤りの継承は、誤り伝播と呼ばれる。これは、故障したハードウェア構成要素により伝達される信号がもはや利用されてはならないので必要である。

例えば、ノード１５０が割り当てられているヨーレートセンサの接続は、ノード１４０が割り当てられているＣＡＮプロトコルを用いた特定のプロジェクトにおいて実現される。ノード自身の、完全故障の監視部１４１によってＣＡＮ制御部の故障が検出される場合、ＣＡＮに割り当てられているノード１４０は、無効としてマーク付けされる。ＣＡＮバスの信号の正確な受信がもはや保障されていないので、自動的に、ヨーレートに割り当てられているノード１５０も無効としてマーク付けされる。すなわち、誤り伝播が行なわれる。

次に、連続誤り防止について考察される。監視される構成要素内で誤りが検出された場合には、誤り事象を再現できるために、（図示されていない）誤りメモリへ登録が行なわれる。誤りメモリは、例えば、より遅い時点に、工場のサービス担当者によって解析可能である。「最小の交換可能なユニット」というキーワードのもとに、破損した構成要素の確実で円滑な特定を可能にするために、誤りメモリは、可能な限り、因果関係のある誤りを含むことが許容されており、連続誤りを含むことは許容されていない。因果関係のある誤りとは、故障の本来の理由を伝える誤りに相当する。連続誤りとは、他の誤りに基づき検出される誤りに相当する。

明確に言えば、有効な信号の決定のために誤りが伝播される必要がある。これは、既に、結果として生じるハードウェアおよび信号ステータスの決定との関連で記載したとおりである。

以下の例について、与えられる信号、または与えられる構成要素、例えばＣＡＮ（１４０）等が破損している場合に、ヨーレート（１５０）等の依存する信号は誤りを伝達することが仮定されている。

図１に関連して、以下のシナリオによって、ノード１３０内の連続誤りの簡単な例が示される。車両の車輪速度センサへの接続が切れたとする。例えば、ケーブルの断線が起こり、このことが、ノード自身の完全故障の監視部１３１によって検出される。これにより、１０ｍｓ以内の測定された車輪速度が、５０ｍ／ｓから０ｍ／ｓへと急に落ちる。その結果生じる信号の勾配−５．０００ｍ／ｓ^２は、信憑性が無いとして検知される（勾配の監視部１３２）。しかし、あまりにも大きな勾配の本来の理由は、接続線の絶線である。

しかし、互い依存する異なる複数のノードで、連続誤りが発生する可能性もある。図１に関連して、以下のシナリオによって、異なる複数のノードでの連続誤りの例が示される。例えば、Ａ／Ｄ変換器（１２０）の分散が起きたとする。これは、分散の監視部（１２２）によって検出される。さらに、分散により有効な値域から外れたので、車輪速度センサ（１３０）の監視部によって無効な値が検出される（１３３）。したがって、許容される値域１３３を越えることが、Ａ／Ｄ変換器１２２における分散の連続誤りである。

しかし、連続誤りは、因果関係のある誤りによっても発生する可能性がある。例えば、ＣＡＮ制御部が故障したとする。これによって、ＣＡＮにより伝送されるヨーレート信号が、非常に早く値０へと落ちる。ＣＡＮ制御部の故障を検出するために必要とされる時間は、勾配誤りを検出するための時間よりも明らかに長い。したがって、ヨーレートノード１５０の対応する監視部１５２により検出される連続誤り「ヨーレートの誤りのある勾配」が、ノードＣＡＮ１４０の対応する監視部１４１により検出される因果関係のある誤り「ＣＡＮ制御部の故障」の前に発生する可能性がある。

図２は、本発明のさらなる別の実施形態を記載する故障依存構造を示している。この実施形態に基づいて、すでに図１によって記載されたシステム１００が、仮想的な構成要素２６０の分だけ拡張される。仮想的な構成要素２６０においては、実際の構成要素ではなく、システム１００での誤り検出を改善するために故障依存構造に含まれる仮想的な構成要素が関わっている。

仮想的な構成要素２６０の障害状態は、監視アルゴリズム２６１によって決定可能である。監視アルゴリズムは、仮想的な構成要素２６０の障害状態を決定するために、結合規則にしたがって、システム１００の構成要素１１０、１２０、１３０、１４０、１５０の所定の選択のステータス値を結合することが可能である。例えば、監視アルゴリズム２６１は、第３構成要素１３０のステータス値１３５と、さらなる別の第２構成要素１４０のさらなる別のステータス値１４５とを結合することが可能である。結合規則においては、論理積が関わっている。仮想的なステータス値２６５は、仮想的な構成要素の障害状態にしたがって、かつ、図２に示される実施形態に基づき第１ステータス値１１５にしたがって決定される。

仮想的な構成要素２６０には、故障依存構造のノード２６０が割り当てられている。ノード２６０には、例えば、仮想的なハードウェア構成要素「３つの車輪速度部」または「３つの車輪速度センサ」が割り当てられていることが可能である。この場合、ノード２６０は、複数の破損した車輪速度部の形態での監視部２６１を有することが可能である。

次に、多重誤り処理の準備について考察される。既に言及したように、ハードウェア構成要素は駆動中に監視され、誤りが検出された場合には、そのステータスが対応して設定される。このステータスは、ＥＳＰ等のシステムの、このハードウェア構成要素を利用する部分を下げる、または停止させるために、下流の機能によって利用される。下げるとは、１つの機能内での高質から低質への異なるアルゴリズムの間での切り替え、すなわち、例えば、測定値の利用から推定値の利用への切り替え等として理解される。この誤り処理によって、故障したハードウェア構成要素に起因する全体システムの誤動作が防止される。

複数の誤りが連続して、または同時に発生する場合には、簡単な多重誤り処理が実行される必要がある。その際、通常の場合は、個々の目標システム状態が比較され、故障したハードウェア構成要素が全く利用されていないものが、新しい目標システム状態として選択される。そのための土台として、個々のハードウェア構成要素のステータスが定められる。

幾つかの、誤りの組み合わせの場合、上述の簡単な誤り処理の代わりに拡大された多重誤り処理を実行する必要があるように、ハードウェア構成要素の可用性が限定されている。その際、簡単な多重誤り処理の後に推定値によってまだ作動しうることが予想されるシステムの部分も、停止される。

検出された誤りのさらなる処理を簡素化するために、単一誤りおよび多重誤りは、同一のインタフェースを利用するべきである。この要請を満たすために、仮想的なハードウェア構成要素が形成されうる。仮想的な構成要素の信号ステータスは、他のハードウェア構成要素の個々のステータスの論理「積」によって、形成される。

システム１００が例えばＥＳＰに相当し、例えば、ＥＳＰ内でノード１５０に割り当てられているヨーレートセンサが故障する場合に、ヨーレートセンサのステータスは「無効」に設定される。これは、結果として生じるハードウェアおよび信号ステータスとの関連で既に記載したとおりである。追加的に、複数の車輪のうちの１つの速度センサが故障する場合には、そのステータスも同様に「無効」に設定される。図１に示される実施形態のように、この誤りの組み合わせのための仮想的なハードウェア構成要素が存在しない場合には、目標システム状態は２つの個々のステータスに基づいて定められる。

ＥＳＰ内で複数の車輪のうちの１つの速度センサが故障している場合には、そのステータスが「無効」に設定される。追加的に、２つのさらなる別の車輪の、複数の速度センサが故障する場合には、ＥＳＰにはもはや、確実に作動するための十分な情報が提供されない。したがって、仮想的なハードウェア構成要素２６０「３つの車輪速度センサ」の信号ステータスは、「無効」に設定される。この情報は、質は低いが理論的にはまだ車両速度が計算可能であることが予想されるにもかかわらずＥＳＰを停止させるために、下流の機能によって利用される。

図によって記載される実施形態は、例として選択されている。実現されるシステムにしたがって、構成要素、さらなる別の構成要素、および仮想的な構成要素は、任意の数で、かつ、方向付けられた故障依存構造の枠組み内で、任意の結合において互いに配置可能である。

本発明は、ソフトウェアの形態で転換可能である。本発明に係る方法は、動的なシステムのハードウェア依存関係の構成のための新コンセプトを提供する。本発明に係る故障依存構造のコンセプトは、動的なシステムでの中央の障害管理のために適している。本発明に係るアプローチは、記載される走行力学制御ＥＳＰに全く制限されない。むしろ、全メカトロニック組み込みシステムでの使用が構想可能である。ＥＳＰ適用領域での記載された例は、解説を助けるものであり、本発明の適用領域を限定することは全くない。

本発明は、実施形態を用いて以下の図に示されており、以下では、図を参照して詳細に解説される。
本発明の好適な実施形態に基づく故障依存構造を示す。 本発明のさらなる別の好適な実施形態に基づくさらなる別の故障依存構造を示す。

Claims (15)

1. 複数の構成要素を備えるシステム（１００）における障害管理方法であって、複数の前記構成要素の障害状態をステータス値によって示すことが可能な障害管理方法において、
   第１ステータス値（１１５）が、第１構成要素（１１０）の障害状態にしたがって決定され、第２ステータス値（１２５）が、第２構成要素（１２０）の障害状態にしたがって、かつ、前記第１ステータス値（１１５）にしたがって決定され、
   前記システム（１００）がさらなる別の構成要素（１４０）を有し、
   さらなる別のステータス値（１４５）は、前記さらなる別の構成要素の障害状態にしたがって、かつ、前記第１ステータス値（１１５）にしたがって決定されることを特徴とする、複数の構成要素を備えるシステム（１００）における障害管理方法。
2. 複数の前記ステータス値は、構成要素の障害状態にしたがって、構成要素により提供可能な値が有効または無効であるかどうかについて示し、前記第１ステータス値（１１５）が前記第１構成要素（１１０）により提供可能な値が無効であることを示す場合に、前記第２ステータス値（１２５）は、前記第２ステータス値が前記第２構成要素（１２０）により提供可能な値が無効であることを示すように決定されることを特徴とする、請求項１に記載の方法。
3. 前記システム（１００）は、仮想的な構成要素（２６０）を有し、前記仮想的な構成要素の障害状態は、結合規則に基づいて、複数の前記構成要素（１１０、１２０、１４０）の所定の選択のステータス値から決定され、かつ、仮想的なステータス値（２６５）は、前記仮想的な構成要素の障害状態にしたがって、かつ、前記第１ステータス値（１１５）にしたがって決定される、請求項１、または請求項２に記載の方法。
4. 前記第１ステータス値（１１５）から始まって、各ステータス値（１２５、１４５、２６５）が１度のみ決定され、前記各ステータス値（１２５、１４５、２６５）の決定は、先行するステータス値に依存することを特徴とする、請求項１〜請求項３のいずれかに記載の方法。
5. 自身にしたがってさらなる別のステータス値が決定されないステータス値（１３５、１５５、２６５）は、前記第１ステータス値（１１５）から始まってどのステータス値が構成要素により提供可能な値が無効であることを最初に示したのかについて確認するために評価され、したがってそのような故障した構成要素が決定されることを特徴とする、請求項１〜請求項４のいずれかに記載の方法。
6. 前記システム（１００）の前記故障した構成要素を有する部分が下げられる、または停止されることを特徴とする、請求項５に記載の方法。
7. 前記故障した構成要素についての情報が格納されることを特徴とする、請求項５に記載の方法。
8. 複数の前記構成要素（１１０、１２０、１４０、２６０）の障害状態は、複数の監視アルゴリズム（１１１、１１２、１１３、１２１、１２２、１４１、１４２、１４３、２６１）が実行されることによって定められることを特徴とする、請求項１〜請求項７のいずれかに記載の方法。
9. 前記仮想的な構成要素（２６０）の障害状態を決定するための前記結合規則は、論理積に相当することを特徴とする、請求項３、または、請求項３を引用する請求項４〜請求項８のいずれかに記載の方法。
10. 複数の前記ステータス値はさらに、構成要素により提供可能な値が短時間の間無効であるか、または、構成要素が初期化されていないのかについて示し、その際、前記第１ステータス値（１１５）が、前記第１構成要素（１１０）により提供可能な値が短時間の間無効である、または前記第１構成要素が初期化されていないことを示す場合に、前記第２ステータス値（１２５）は、前記第２ステータス値が前記第２構成要素（１２０）により提供される値が無効であることを示すように決定されることを特徴とする、請求項２〜請求項９のいずれかに記載の方法。
11. 請求項１〜請求項１０のいずれに記載の方法の全工程を実行するための装置。
12. 複数の前記構成要素においては、センサ、アクチュエータ、データ伝送制御部、制御装置構成要素、または、これらのような構成要素により伝送可能な信号が関わっていることを特徴とする、請求項１１に記載の装置。
13. 前記システムにおいては、メカトロニック組込みシステムが関わっていることを特徴とする、請求項１１に記載の装置。
14. コンピュータプログラムがコンピュータ、または対応する演算ユニットにおいて実行される場合に、請求項１〜請求項１０のいずれかに記載の方法の全工程を実行するための、プログラムコード手段を有するコンピュータプログラム。
15. コンピュータプログラムがコンピュータ、または対応する演算ユニットにおいて実行される場合に、請求項１〜請求項１０のいずれかに記載の方法の全工程を実行するための、プログラムコード手段を有するコンピュータプログラムが格納される、データキャリア。
    
    

Images