(57)【特許請求の範囲】
【請求項１】
シャシー装置の空気式車高制御装置を監視し、かつ制御する方法であって、その方法は以下のステップからなる:
− シャシー装置の現在の車高(１２９)を繰り返し測定することと、
− 第１の車高しきい値（２６７）および第２の車高しきい値（２６８、２６９）をあらかじめ規定することと、さらに、
− 第１の車高しきい値（２６７）と関連する第１の時間間隔しきい値（２７０）と、第２の車高しきい値（２６８、２６９）と関連する第２の時間間隔しきい値（２７１、２７２）とをあらかじめ規定することと、
− 第１のあらかじめ規定された車高しきい値(２６７)を、いつ、シャシー装置の現在の車高（１２９）が超過するかを検知することと、
− 第２のあらかじめ規定された車高しきい値(２６８、２６９)であって、第１の車高値しきい値（２６７）より大きいものを、いつ、シャシー装置の現在の車高（１２９）が超過するかを検知することと、
− シャシー装置の現在の車高（１２９）がこの第１のあらかじめ規定された車高しきい値（２６７）と第２のあらかじめ規定された車高しきい値（２６８、２６９）との少なくとも一方を超過する時間間隔を繰り返し測定することと、
− 測定された時間間隔が、いつ、第１のあらかじめ規定された車高しきい値(２６７)と関連した第１のあらかじめ規定された時間間隔しきい値(２７０)を超過するかを検知することと、
− 測定された時間間隔が、いつ、第２の車高しきい値(２６８、２６９)と関連した第２の時間間隔しきい値(２７１、２７２)を超過するかを検知することと、
− 第１の車高しきい値(２６７)およびさらに関連する第１の時間間隔しきい値(２７０)の両方を超過するかどうかを繰り返しチェックすることと、
− 第１の車高しきい値(２６７)およびさらに関連する第１の時間間隔しきい値(２７０)の両方を超過するときに、少なくとも一方のシャシー装置の現在の車高(１２９)のさらなる上昇を防ぎ、および、シャシー装置の安定性を増加するのに適切である第１のあらかじめ規定された技術的手段(２６３)を自動的に起動すること、
− 第２の車高しきい値（２６８、２６９）および関連する第２の時間間隔しきい値（２７１、２７２）を超過するかどうかを、繰り返してチェックし、第２の車高しきい値（２６８、２６９）および関連する第２の時間間隔しきい値（２７１、２７２）を超過するとき、少なくとも１つの シャシー装置の現在の車高（１２９）のさらなる上昇を防ぎ、および、シャシー装置の安定性を増加するのに適切である第２のあらかじめ規定された技術的手段(２６４、２６５)を自動的に起動すること、及び
− シャシー装置の現在の車高(１２９)が第１の車高しきい値(２６７)からヒステリシス（２６１）を差し引いた値未満であり、かつ、関連する時間間隔しきい値を超過することを繰り返されたチェックが示す場合には、自動的に起動された前記第１及び第２のあらかじめ規定された技術的手段(２６３、２６４、２６５)を停止すること（２６６）。
【請求項２】
シャシー装置の現在の最低地上高(１２９)の繰り返された測定の間に、測定された高さ信号（１２９）の周波数評価(１１１)が実行され、異なる運転行動のための車両の動力学的変数が評価され(１３５、１３７、１３９、１１９)、さらに、シャシー装置の重量負荷の程度が考慮に入れられる請求項１に記載の方法。
【請求項３】
測定された高さ信号があらかじめ規定された最低地上高しきい値(２６７、２６８、２６９)未満であるかどうかに関する測定された高さ信号の周波数の評価の間のシャシー装置の現在の最低地上高の低下の場合には、測定された高さ信号（１２９）のヒステリシス行動(２６１)が、考慮に入れられる請求項２に記載の方法。
【請求項４】
その方法は、さらに空気式最低地上高制御装置の空圧アクチュエータ装置(１０２)のプロセス(１２１、１２２)および部品(１１４、１３１、１３３)の繰り返された監視および識別からなる請求項１に記載の方法。
【請求項５】
あらかじめ規定された技術的手段(２６３、２６４、２６５)は、少なくとも１つの最低地上高しきい値(２６７、２６８、２６９)以下に、シャシー装置の現在の最低地上高(１２９)を低下させる(１４４、１４５、１４６、１４７)ために、およびまたはシャシー装置の安定性を増加(１５２、１５３)ためにさらに適切である請求項１に記載の方法。
【請求項６】
技術的手段(２６３、２６４、２６５)は、シャシー装置の現在の最低地上高(１２９)が少なくとも１つの最低地上高しきい値(２６７、２６８、２６９)および関連する時間間隔しきい値を超過する場合に、次の方法からなる、請求項１−５のうちのいずれか１項に記載の方法:
− 空気式最低地上高制御装置の空圧のアクチュエータ装置(１０２)のプロセス(１２１、１２２)および部品(１４４、１４５、１４６、１４７)を制御すること、
− シャシー装置、特には電子安定性プログラム(１５２)の安定性を確実にする補助の装置を起動すること、
− シャシー装置の速度（１５３）の縮小用の車両部品の制御調節。
【請求項７】
その方法は、さらに、起動された技術的手段(２６３、２６４、２６５)の評価(１１７、１５６)を有する請求項１−６のうちのいずれか１項に記載の方法。
【請求項８】
少なくとも１つの最低地上高しきい値(２６７、２６８、２６９)および関連する時間間隔しきい値(２７０、２７１、２７２)を超過すると、あらかじめ規定された欠陥エントリー(１５４)が、記録およびまたは故障診断の用意をする請求項１−７のうちのいずれか１項に記載の方法。
【請求項９】
少なくとも１つの最低地上高しきい値(２６７、２５８、２６９)および関連する時間間隔しきい値(２７０、２７１、２７２)を超過すると、あらかじめ規定された警告レベル（３６７、３６８、３６９)は、前記超過する結果の分類のためにセットされ、警告レベル(３６７、３６８、３６９)に依存して、あらかじめ規定された技術的手段(２６３、２６４、２６５)の少なくとも１つの最低地上高しきい値(２６７、２６８、２６９)がより低くシャシー装置の現在の最低地上高(１２９)を低下させ(１４４、１４５、１４６、１４７)、およびまたは、シャシー装置の安定性を増加させる(１５２、１５３)のに適切であるように起動される請求項１−８のうちのいずれか１項に記載の方法。
【請求項１０】
少なくとも１つの最低地上高しきい値(２６７、２６８、２６９)および関連する時間間隔しきい値(２７０、２７１、２７２)を超過すると、少なくとも１つの情報信号(１４９、１５０、１５１)、およびまたは、少なくとも１つのコマンド(１４４、１４５、１４６、１４７、１５３)であって現在の最低地上高(１２９)を低下させ、およびまたは、シャシー装置の安定性を増加させるための技術的手段(２６３、２６４、２６５)を起動するのに適切であることが、規定することができるさらなるインターフェースに送られる、請求項１−９のうちのいずれか１項に記載の方法。
【請求項１１】
請求項１−１０のうちのいずれか１項に記載の方法を実行するための、プロセッサによって実行することができるインストラクションを有する、コンピュータプログラムプロダクト(１１５)。
【請求項１２】
以下を有するシャシー装置の空気式車高制御装置を監視し、かつ制御する制御装置：
− シャシー装置の現在の車高(１２９)の繰り返し測定用の手段（１０１）と、
− 第１の車高しきい値（２６７）および第２の車高しきい値（２６８、２６９）をあらかじめ規定する手段と、
− 第１の車高しきい値（２６７）と関連する第１の時間間隔しきい値（２７０）と、第２の車高しきい値（２６８、２６９）と関連する第２の時間間隔しきい値（２７１、２７２）とをあらかじめ規定する手段と、
− 第１のあらかじめ規定された車高しきい値(２６７)を、いつ、シャシー装置の現在の車高（１２９）が超過するかを検知する手段と、 
− 第２のあらかじめ規定された車高しきい値(２６８、２６９)であって、第１の車高値しきい値（２６７）より大きいものを、いつ、シャシー装置の現在の車高（１２９）が超過するかを検知する手段と、
− シャシー装置の現在の車高（１２９）がこの第１のあらかじめ規定された車高しきい値（２６７）と第２のあらかじめ規定された車高しきい値（２６８、２６９）との少なくとも一方を超過する時間間隔の繰り返される測定手段と、
− 測定された時間間隔が、いつ、第１のあらかじめ規定された車高しきい値(２６７)と関連した第１のあらかじめ規定された時間間隔しきい値(２７０)を超過するかを検知する手段と、
− 測定された時間間隔が、いつ、第２の車高しきい値(２６８、２６９)と関連した第２の時間間隔しきい値(２７１、２７２)を超過するかを検知する手段と、
− 第１の車高しきい値(２６７)およびさらに関連する第１の時間間隔しきい値(２７０)の両方を超過するかどうかを繰り返しチェックする手段と、
− 第１の車高しきい値(２６７)およびさらに関連する第１の時間間隔しきい値(２７０)の両方を超過するときに、少なくとも一方のシャシー装置の現在の車高(１２９)のさらなる上昇を防ぎ、および、シャシー装置の安定性を増加するのに適切である第１のあらかじめ規定された技術的手段(２６３)を自動的に起動する手段と、
− 第２の車高しきい値（２６８、２６９）および関連する第２の時間間隔しきい値（２７１、２７２）を超過するかどうかを繰り返しチェックし、第２の車高しきい値（２６８、２６９）および関連する第２の時間間隔しきい値（２７１、２７２）を超過するとき、少なくとも１つの シャシー装置の現在の車高（１２９）のさらなる上昇を防ぎ、および、シャシー装置の安定性を増加するのに適切である第２のあらかじめ規定された技術的手段(２６４、２６５)を自動的に起動する手段と、
− シャシー装置の現在の車高(１２９)が第１の車高しきい値(２６７)マイナスヒステリシス（２６１）未満であり、かつ関連する時間間隔しきい値を超過することを繰り返されたチェックが示す場合には、自動的に起動された前記第１及び第２のあらかじめ規定された技術的手段(２６３、２６４、２６５)を停止する手段（２６６）。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、シャシー装置の空気式（pneumatic）車高（ride height）制御装置を監視し、かつ制御するための方法、シャシー装置を監視し、かつ制御するための装置、およびコンピュータプログラムプロダクトに関する。
【０００２】
ＩＳＯ２６２６２、自動車における安全性関連の電気的/電子的装置用のＩＳＯ標準は、そのプロセスフレームワークおよび手順モデル内の危険分析およびリスク評価の実行を要求する。この目的のために、自動車両の電気的／電子的装置の潜在的な危険が、識別されなければならない。このことは、特定の危険状況における調査中の装置の誤動作を観察することによって行われる。その後、それぞれの危険は、４つのカテゴリにおける安全要求レベルで分類されるか、または安全性関連でないとして分類される。ＩＳＯ２６２６２において、そのリスク分析は、規定された定性的な方法論によって行われる。この目的のために、それぞれの識別された危険用に、例えばドライバによる危険状況の頻度、およびそれぞれの危険状況における誤動作の取扱いは、個別に評価されるに違いない。それぞれの危険用の規定されたテーブルから、その分類は、安全性関連(ＱＭ−品質管理)でないとして、またはあるクラス(ＡＳＩＬクラスＡ−Ｄ)の危険として読み出し、ＡＳＩＬは、自動車安全規範レベル（Automotive Safety Integrity Level）の略である。
【０００３】
ＡＳＩＬを増加することによって、安全性に関する要求も増加する。現在の先行技術によれば、ＩＳＯ標準２６２６２の分類体系による装置の連続的な危険分析およびリスク評価を実行するコンピュータに実装された方法は、現在のところない。安全性関連の自動車両の電気的/電子的装置におけるＩＳＯ標準２６２６２による潜在的な危険の評価、例えば、シャシー装置の空気式車高制御装置、さらに、自動的に、それぞれの安全要求を満たすＩＳＯ標準２６２６２のプロセスフレームワークおよび手順モデルによって提供された方法を実行する。
【発明の概要】
【０００４】
対照的に、この発明の目的は、シャシー装置の空気式車高制御装置を監視し、かつ制御するための改良された方法、シャシー装置の空気式車高を監視し、かつ制御するための改良された装置、および改良されたコンピュータプログラムプロダクトを提供することである。
【０００５】
この発明の目的は、独立請求項の特徴によってそれぞれ解決される。この発明の好ましい実施例は、従属請求項において記述される。
【０００６】
シャシー装置の空気式車高を監視し、かつ制御するためのコンピュータ実装された方法が提供され、その方法は、このステップからなる:
− シャシー装置の実際の車高の繰り返される測定、
− 少なくとも１つのあらかじめ規定された車高しきい値を、シャシー装置の実際の車高が、いつ超過するかを検知し、時間間隔しきい値が、車高しきい値に割り当てられること、
− シャシー装置の現在の車高が、少なくとも１つのあらかじめ規定された車高しきい値を超える時間間隔の繰り返される測定、
−  少なくとも１つのあらかじめ規定された車高しきい値と関連するあらかじめ規定された時間間隔しきい値を、測定された時間間隔がいつ超過するかを検知すること、
− 少なくとも１つの車高しきい値、およびさらに関連する時間間隔しきい値を超過するかどうかを繰り返して検知すること、
− さらには、これは、規定の技術的な手段の自動起動は、シャシー装置の現在の車高のさらなる増加を防ぎ、およびまたは、シャシー装置の安定性を増加することに少なくとも適切である場合であり、
− シャシー装置の現在の車高が、少なくとも１つの車高しきい値、および関連する時間間隔しきい値未満であるということを、繰り返される検知が開示するかどうかの、自動的に起動された手段の停止。
【０００７】
この発明の実施例によれば、監視および制御機構は、危険可能性の識別のために、およびシャシー装置の正確でない車高設定のリスク評価のために、シャシー装置の過度の車高に起因する安全性のリスクを低下させるためのあらかじめ規定された制御対応策手段の同時の起動による空気式車高制御装置によって、このように設けられる。記述した方法は、このように、ＩＳＯ２６２６２の要求にしたがって、シャシー装置の車高に関する繰り返される危険分析およびリスク評価を実行し、上記のあらゆる状況は、その車両が、高すぎる車高のために、「運転動力学（driving dynamics）の観点から限界である」として評価される危険なものとして、「運転不能」に分類される。著しく調節範囲以上である車高は、それによって、車両のシャシー装置の著しく高すぎる車高として分類され、それによって車両は厳しいオーバーステアする運転の行動(リヤアクセルが高すぎる場合)、または、アンダーステアする運転の行動(フロントアクセルが高すぎる場合)を示す。アンダーステアする運転の行動は、確かに一般には非常に危機的なものとして分類されない一方で、オーバーステアする運転の行動は、高い危険の分類を意味する。オーバーステアする運転の行動は、このように、予想された装置の行動を表わさず、かつ、欠陥が原因で生じる。
【０００８】
品質管理システムの規則によれば、分類されたエラー解析、対応策手段の自動起動、および起動された対応策手段の計量的評価は、繰り返すやり方で実行される。このことは、ＩＳＯの標準２６２６２の要求が効率的なやり方で満たされるという利点を有する。車高しきい値および時間間隔しきい値の定義によって、車両の空気式車高調整装置の、この場合における電気/電子装置の安全リスクの量的評価のために、測定可能な基準を提供する。シャシー装置の車高に関する繰り返される目標/実際の比較、欠陥のある車高セッティングの識別用のあらかじめ規定された車高しきい値および時間間隔しきい値を超過することの検知、車高を縮小する、およびまたは、車両の安定性を増加する手段の自動起動、起動された対応策手段および起動された手段の自動停止の繰り返される計量的評価は、その欠陥が、一旦除去されると、ＩＳＯ２６２６２によって要求される品質およびエラー管理システムの全過程（プラン、ドゥ、チェック、アクション）の適切な実現を表わしている。
【０００９】
この発明の一実施例によれば、シャシー装置の現在の車高の繰り返される測定の間に、測定された高さ信号の周波数評価が実行され、運転動力学的な変数の影響は、異なる運転行動の演習、およびまたは、シャシー装置の重量関連の程度の負荷のために評価され、考慮に入れられる。
【００１０】
このことは、単独で、測定された車高のみでなく、また、他の影響を及ぼす変数が得られ、正しくない車高調節の識別を説明するという利点を有することができる。安全リスクとしての分類については、測定された高さ信号の周波数の評価があり、その信号はシャシー装置の現在の車高を表わしており、異なる運転行動(例えば、等速、減速、加速、スタートしブレーキをかける行動、ギアシフト、直線の直進、異なる横加速度を有する左および右折)のための、変化する運転動力学変数道路特性(例えば、滑らかなアスファルト、アスファルト道、粗い玉石、細かい玉石、劣悪な道、カーブに入る走行
）を考慮に入れ、さらには、車両の負荷状態(例えば、ドライバのみ、２人と荷物、満載および牽引動作)を考慮に入れる。セットされた車高しきい値を超過する場合のシャシー装置の現在の車高の評価のためには、超過する時間間隔しきい値が考慮されるばかりでなく、車両の行動および外部状況もまた考慮される。このことはさらに、誤ったエラーメッセージの数が縮小されるという利点を有することができる。
【００１１】
この発明の１つの実施例によれば、測定された高さ信号のシャシー装置ヒステリシス行動の現在の車高の低下の場合に、測定された高さ信号があらかじめ規定された車高しきい値(２６７)以下に落ちるかどうかを決定すべき、測定された高さ信号の周波数の評価中に考慮に入れられる。
【００１２】
このことは、エラーメッセージが、目標からの偏差に対する反作用としてしきい値を超過する単に短期間の場合には直ちに出力されないが、それが、しきい値を超過するあらかじめ規定された場合であるが、それらの測定値によるさらなる後の高さ信号に依存しないかを決定することができるという利点を有することができる。高さ信号の測定の間のヒステリシス行動の考察は、空気利用のアクチュエータ装置における、例えば機械的な動作から起因する制御振動の影響の除去、または高さセンサの測定不正確の除去を可能にする。現在の車高の目標からの偏差に対する遅延反応は、さらに高さ信号の評価によってこのように形成することができ、それはさらにエラーメッセージの度合いを縮小する。
【００１３】
この発明の１つの実施例によれば、その方法は、空気式車高制御装置の空圧（pneumatic）アクチュエータ装置のプロセスおよび部品の繰り返される監視および識別をさらに有する。
【００１４】
このことは、安全リスクの識別が、空気式のレベルの測定を使用するばかりでなく、空気式の制御装置内の技術的なプロセスを監視することによって実行することができるという利点を有することができる。したがって、安全リスクの検知も、例えばリバウンドストップへのアプローチと共に、例えばスプリング支柱位置を監視することによって、または危険で、かつ非常に危機的な領域への制御プロセスの識別によってさえ行なうことができる。他方では、空気式の車高を調整する装置、例えば、バルブの切換え状態を識別することによる閉じた空気供給の動作モードにおける制御プロセスの検知のプロセスおよび部品の監視および識別は、しきい値を超えて位置する高さ信号のエラー解析用に使用することができる。
【００１５】
さらに、空気式制御装置のプロセスおよび部品の監視および識別は、安全リスクの除去、または縮小のための適切な技術的手段の識別には有利である。したがって例えば、空圧のスイッチングによる上方への制御の間に稼働中のバルブの識別によって、シャシー装置の誤った上方への制御を検知することができ、さらに上方への制御を禁じることができる。空圧の制御装置のプロセスおよび部品の繰り返しの監視および識別は、このように正しくない車高調節の原因の識別を可能にする。したがって、例えば、バルブ位置の識別による正しくない上方への制御の検知に続いて、技術的な対応策手段が実行され、例えばシャシー装置の下方への制御プロセスを起動するためにバルブの切換え状態を変更して行なうことができる。
【００１６】
対応策手段として起動されたプロセスの繰り返される監視および識別によって、正しくする結果のチェックはさらに起こることができる。それによって同時の立証は、測定された安定信号の変更、および空気式の車高を規制する装置の部品の由来する変更された位置を使用して起こることができる。高さ信号測定、および空気式の制御装置のプロセスおよび部品の繰り返される監視および識別は、安全リスクの識別および分類によって、エラー解析、およびシャシー装置の機能的な安全の回復用対応策手段の起動によってこのように補足される。
【００１７】
この発明の１つの実施例によれば、技術的な手段は、シャシー装置の現在の車高が、少なくとも１つの車高しきい値および関連する時間間隔しきい値を超過する場合のために、以下を有する:
− 空気式の制御装置の空圧アクチュエータ装置のプロセスおよび部品を制御すること、− シャシー装置の安定性を保証するための補助の装置、特に電子安定性プログラムを起動すること、およびまたは、
− シャシー装置の速度の縮小用の車両部品の制御調節。
【００１８】
安全−危機的な車高の識別、あるいは  シャシー装置の安全リスクの除去または縮小のための異なるタイプの対応策手段に続いて、上記方法によって起動することができる。したがって、例えば、上方への制御プロセスは、空圧のアクチュエータ装置を停止にすることによって、終了することができる。他方では、既知の安全リスクのために、車両のユーザによって以前に停止された電子安定制御装置を起動して、自動的に強制されることができる。別のカテゴリの対応策手段は、エンジン管理に関連があり、例えば、速度は、危険の場合には自動的に制限されている。
【００１９】
このことは、安全リスクの臨界の分類および基準に依存して、あらゆる対応策手段は、いずれか同時に、適切な組合せまたは個別に起動される。記述された監視および管理機構によって試みられるか、または起動することができる手段、または行動は、車両のユーザの希望によってプロジェクト−特別に優先的にすることができ、それぞれの車両行動に適している場合がある。
【００２０】
この発明の１つの実施例によれば、その方法は、さらに起動された技術的な手段の評価からなる。
【００２１】
このことは、満たされた手段の繰り返される評価に関するＩＳＯ標準２６２６２の要求であるばかりでなく、車両の運転品質に悪影響を及ぼすことができ、さらに技術的な手段が安全リスクが除去された後に、可逆的になるという利点を有する。
【００２２】
この発明の１つの実施例によれば、少なくとも１つの車高しきい値および関連する時間間隔しきい値を超過する場合には、あらかじめ規定された欠陥エントリーは、記録、およびまたは故障診断の用意をする。
【００２３】
このことは、例えば、より迅速に使用して、故障診断をなすことができるという利点を有することができ、生じる欠陥ヒストリーを記録し形成して、自動エラーコードをセットした、可能になり、およびまたは、緊急措置に基づいた自動のエラーコードがスタートできる。
【００２４】
この発明の１つの実施例によれば、少なくとも１つの車高しきい値および関連する時間間隔しきい値を超過する場合には、あらかじめ規定された警告レベルが、前記超過の出来事の分類のためにセットされ、警告レベルに依存して、少なくとも１つの車高しきい値以下のシャシー装置の現在の車高を縮小するのに、およびまたは、シャシー装置の安定を増加させることには適切である、あらかじめ規定された技術的な手段の少なくとも１つが起動される。
【００２５】
異なる警告レベルの定義および識別された正しくない車高セッティングの割り当ては、例えば、ＩＳＯ標準２６２６２、例えばＡＳＩＬクラスＡ−Ｄによって要求される安全リスクの分類を実行する。シャシー装置の車高を低下させること、およびまたは、シャシー装置の安定性を増加させることのために同時に適切な技術的な手段が、安全リスク分類の厳しさの程度に依存して起動することができる。開示した発明は、危機的状況解析のための規則と同様にＡＳＩＬ分解のためのＩＳＯの基準２６２６２によっても要求される規則を有する。異なる警告レベルのセッティングの可能な実施例は、例えば、さらに技術的に異なる音響信号、およびまたは異なる色の中で明るくなる警告ランプで実行される。
【００２６】
この発明の１つの実施例によれば、少なくとも１つの車高しきい値および関連する時間間隔しきい値を超過すると、少なくとも１つの情報信号、およびまたは、少なくとも１つのコマンドは、定義することができ、現在の車高を低下させるために、およびまたは、シャシー装置の安定性を増加させるために手段を起動するのに適切である他のインターフェースへ送られる。
【００２７】
このことは、シャシー装置の正しくない車高調節の識別が、情報信号(例えば、音響信号または黄色の警告ランプ)、およびまたは、外部ソフトウェア部品によって制御される対応策手段を起動するコマンドによる既存のソフトウェアアーキテクチャの他の部品へ定義することができるあらゆるインターフェース経由で可能であるという利点を有することが可能である。組合せにおいて、例えばしたがって、車両のユーザに機器を備える、対応策手段の手動の起動のために特定の指示を提供することができる。同時に、車両のユーザは、送信されたテキストメッセージを使用して、任意の手段用タイムリー情報を受け取ることができる。
【００２８】
そのようなものによって、さらに、車両の他の装置に定義することができるインターフェース、車高調節におけるエラーの識別に関する情報、およびまたは起動された手段を伝えることができ、それによって車両の様々な装置の調整は可能になる。同時に、開示した発明のインターフェース互換性は、特別の安全ソフトウェア内のアルゴリズムの中で表現された方法のカプセル化を可能にすることができる。それは純粋に機能的なソフトウェアと平行に、例えば切り替えられ、環境内の他のソフトウェアに対して交差接続を有しない。したがって、その可能性は、得るかあるいは安全性の適切な機能性を変更する必
要なしに、車両におけるソフトウェアアーキテクチャの既存のソフトウェア部を取得するか、またはさらに交換するために、同時に提供されよう。同時に、低コストで、より包括的に、資格のある方法で、およびより効率的に資格によって常に許可されるより安全ソフトウェアの並列配置およびカプセル化によってこれをテストすることができるかもしれないし、すべてのソフトウェアにテストすることができた。
【００２９】
別の様相において、この発明は、上に記述された方法を実行するためのプロセッサによって実行することができる指示（instruction）を有するコンピュータプログラムプロダクトに関する。
【００３０】
別の様相において、この発明は、以下を有するシャシー装置の空圧制御装置を監視し制御するための監視用の制御装置に関する:
− シャシー装置の現在の車高の繰り返される測定用の手段、
− シャシー装置の現在の車高が少なくとも１つのあらかじめ規定された車高しきい値であって、そこでは時間間隔しきい値は車高しきい値に関連しているものを超過することを検知する手段、
− シャシー装置の現在の車高が少なくとも１つのあらかじめ規定された車高しきい値を超過する時間間隔の繰り返される測定の手段、
− 時間間隔が少なくとも１つのあらかじめ規定された車高しきい値に関連した、あらかじめ規定された時間間隔しきい値を超過することを検知する手段、
− 少なくとも１つの車高しきい値およびさらに関連する時間間隔しきい値の両方が、超過するかどうかの繰り返されるチェックをする手段、
−  少なくとも１つの車高しきい値およびさらに関連する時間間隔しきい値の両方が超過する場合に、少なくとも１つの車高しきい値以下にシャシー装置の現在の車高を低下させるための、およびまたは、シャシー装置の安定を増加するための、あらかじめ規定された技術的な手段の自動起動の手段、
− チェックが、シャシー装置の現在の車高が少なくとも１つの車高しきい値および関連する時間間隔しきい値未満であることを開示する場合に、自動的に起動された手段を停止にする手段。
【００３１】
この発明の好ましい実施例は、次の図を使用して以下に詳細に説明される。
【図面の簡単な説明】
【００３２】
【図１ａ】シャシー装置の空気式車高制御装置を監視し、かつ制御するための埋め込まれた安全ソフトウェアを備えたソフトウェアキテクチャを例証するためのブロックダイアグラムを示すもので、全体の左半分を示す。
【図１ｂ】シャシー装置の空気式車高制御装置を監視し、かつ制御するための埋め込まれた安全ソフトウェアを備えたソフトウェアキテクチャを例証するためのブロックダイアグラムを示すもので、図１ａに続く、全体の右半分を示す。
【図２】規定された警告するしきい値の起動を備えた正しくない上方への制御の場合の高さ信号グラフを示す。
【図３】個々の警告レベルの起動を例証するためのフローチャートを示す。
【００３３】
図１は、機能性モジュール１１１におけるパルス幅変調[高さに対する変換ＰＷＭ]に続くＡＳＩＬ入力ポイント［ＡＳＩＬ入力インターフェース］１０９経由で高さセンサ［高さセンサ］１０１と同様に、入力ポイント [ＡＳＩＬ入力インターフェース]１０９およびバルブ切換え状態評価モジュール[機能性:バルブ状態処理装置]１１４経由で空圧アクチュエータ装置[アクチュエータ]１０２に対する安全ソフトウェア１１５のインターフェースを例証するためのブロックダイアグラムを示す。ここで、フィールドバス装置[ＣＡＮ]１５７は、電子制御装置[ＥＣＵ]１０３の分類レベル[Ｌ１(ＱＭ)]１０４およびクラスＡＳＩＬ−Ａ[Ｌ３(最小ＡＳＩＬ−Ａ)]１０８における安全性リスクの少なくとも１つの分類を備えた分類レベル[Ｌ２(最小ＡＳＩＬ−Ａ)]１５９に対して、インターフェースを提供する。
【００３４】
電子制御装置[ＥＣＵ]１０３の機能性は、少なくとも分類レベル[Ｌ２(最小)ＡＳＩＬ−Ａ]１５９によるクラスＡＳＩＬ−Ａにおける安全性リスクの分類、および、続いて起きるＡＳＩＬインターフェース入力[ＡＳＩＬ入力インターフェース]１０９に向かって指向された質問[質問]１５５の供給による応答[応答]１５６の評価の形をしている対応策手段の後の評価のために、分類レベルＱＭ[Ｌ１(ＱＭ)]１０４によって「安全関連でない」としての分類の場合における安全リスクの分類に依存して示される。
【００３５】
高さセンサ[高さセンサ]１０１は、ＡＳＩＬ入力インターフェース[ＡＳＩＬ入力インターフェース]１０９経由で変換モジュール１１１に対して、シャシー装置の測定された車高に関連のある情報を送り、そこでは、パルス幅変調[高さに対する変換ＰＷＭ]、センサインストール機能１１２によるセンサオリエンテーション[センサオリエンテーション]、および高さセンサ[高さセンサ]１０１の調整[高さセンサ調整]１１３が行われる。パルス幅変調された高さ情報[ｈ[ｍｍ]]は、高さエラー状態[ｈ_Ｅ]１３０の同時転送による安全監視器１１５によってステップ１２９において安全ソフトウェアに対して進ませる。
【００３６】
空圧アクチュエータ装置[アクチュエータ]１０２から、情報は、ＡＳＩＬ入力インターフェース[ＡＳＩＬ入力インターフェース]１０９経由でバルブ切換え状態評価モジュール[機能性: バルブ状態処理装置]１１４に対して、電流[Ｉ([ｍＡ]]１３１、およびその電流エラー状態[Ｉ_Ｅ]１３２に関して提供される。バルブ切換え状態評価モジュール[機能性:バルブ状態処理装置]１１４に基づいて、バルブ切換え状態[バルブ[０／１]]１３３に関連のある情報、およびバルブエラー状態[Ｖalve_Ｅ]１３４に関連のある情報が、安全監視器１１５によって安全ソフトウェアに提供される。
【００３７】
安全モジュール[機能性:安全監視器]１１５は、ステップ[ＥＶＳ]１１８においてバルブ状態の評価、ステップ[ＥＣＤ]１１９において車両動力学の評価、ステップ[ＣＨＳ]１２０において高さ信号の条件付け、ステップ[ＵＰＤ]１２１において上方への制御検知、およびステップ[ＤＮＤ]１２２において下方への制御検知を有する。
【００３８】
ＡＳＩＬ入力インターフェース[ＡＳＩＬ入力インターフェース]１０９によって、車両の速度[ｖ[ｋｐｈ]]１３５に関連のある、車速エラー状態[ｖ_Ｅ]１３６に関連のある、縦方向の加速[ａ_l oｎｇ[mm/s2]]１３７に関連のある、縦方向の加速エラー状態[a_long_Ｅ]１３８に関連のある、横加速度[a_lat[m/s２]]１３９に関連のある、さらには、横加速度エラー状態[a_lat_Ｅ]１４０に関連のある情報が、安全監視器１１５を備えた安全モジュール[機能性:安全監視器]１１５に提供される。
【００３９】
誤作動[ＭＢ２]１２４、[ＭＢ３]１２５、[Ｍ４２] １２６、および／または、[ＭＢ６]１２７、欠陥メモリエントリー[FaultEntries]１５４はセットされ、コマンドは、フロントアクセル[ＦＡ_upforbid]１４４の上方への制御を防ぐために出され、コマンドは、リヤアクセル[ＦＡ_dnforbid]１４５の上方への制御を防ぐために出され、コマンドは、フロントアクセル[ＲＡ_upforbid]１４６の下方への制御を防止するために出され、コマンドは、リヤアクセル[ＲＡ_dnforbid]１４７の下方への制御を防止するために出され、スイッチオフ[SwitchOFF]１４８は、信号灯[Ｓiｌａ]１４９をフラッシュして実行され、コマンドは、起動され、警告ランプ[ＷaLa]１５０は、起動され、テキストメッセージ[Ｔxtmsg]１５１は、送られ、電子安定プログラム[ＥＣＳ]１５２の起動は、付勢され、および／または、速度制限[FaultEntries]１５３は、安全作動[ＧＳＡ]１２８を生成するためのモジュールによって実行される。
【００４０】
スイッチオフ１４８のためのコマンドは、空圧アクチュエータ装置[アクチュエータ]１０２に対するドライバモジュール[ドライバ]１１６によってＡＳＩＬ入力インターフェース[ＡＳＩＬ出力インターフェース]１１０経由で進み、空圧アクチュエータ装置[アクチュエータ]１０２をスイッチオフして示す。信号灯[Ｓｉｌａ]１４９の起動のための、警告ランプ[ＷaLa]１５０の起動のための、テキストメッセージ[Ｔxtmsg]１５１を送るための、電子安定プログラム[ＥＳＣ]１５２の付勢された起動のための、さらには、速度[ＶＬimit]１５３を制限するための、コマンドは、ＡＳＩＬ出力インターフェース１１０経由で進み、インターフェースを出力した[ＡＳＩＬ出力インターフェース]１１０経由でフィールドバス装置[ＣＡＮ]１５７に進み、エンジン制御[外部ＥＣＵ]１５８の外部制御ネットワーク装置に接続される。安全モジュール[機能性:安全監視器]１１５は、速度を制限するためのコマンドを出すことによって稼働中のエンジン管理を動作するために車両の他のハードウェア部品をこのように動かすことができる。監視モジュール[ＷatchDog]１１７は、ドライバモジュール[ドライバ]１１６を監視し、空圧アクチュエータ装置[アクチュエータ]１０２の動作を引き起こすことができる。
【００４１】
図２は、それぞれ関連する時間間隔しきい値ｔ１、ｔ２、およびｔ３、２７０、２７１、２７２を備えた、指定された警告レベルｈ１、ｈ２、およびｈ３、２６７、２６８、２６９を備えたシャシー要素のための代表的な高さ信号グラフを示す。測定された高さ信号の例証されたグラフは、その左側の小区域において、例えば、関連する時間間隔しきい値ｔ１、ｔ２、およびｔ３ ２７０、２７１、２７２のそれぞれの超過を伴う第１の警告レベルｈ１ ２６７、第２の警告レベルｈ２ ２６８、および第３の警告レベルｈ３ ２６９の連続の後に続く超過を有する正しくない上方への制御を表示している。
【００４２】
高さ信号グラフは、それによって、様々なゾーンを通過する。ずっと左側において、高さ信号グラフは、通常の制御領域２６０内に進み、それはオフロードレベル[(Ｏffroad)レベル]２６２によって上方に境が接している。ここにオフロードレベルは、最も高い規則正しく調整可能なシャシーレベルの同意語である。この限界まで、実行された制御概念のフレームワーク内に正常なレベル調整がある。そのオフロードレベル[(Ｏffroad)レベル]２６２に境を接して、それは、高さ信号の可能性あるヒステリシス動作が考慮に入れられるゾーンである。ヒステリシス動作は、基本的に、停止する場合、すなわち高さ信号が下方に落ちる[ｈ１−ヒステリシス]場合のみ使用される。(異なるしきい値高さを超過して) 起動するときは、高さヒステリシスは考慮に入れられない。高さ信号グラフの左側の領域において、測定された高さ信号値が、時間間隔ｔ１ ２７０が経過した後、明確に警告レベルｈ１ ２６７以上にあり、その結果として、危険であるシャシー装置の車高の分類がなされ、そして適切な対応策手段２６３[低いプライオリティ手段の起動]が起動される。
【００４３】
例証された高さ信号グラフによれば、前記起動された対応策手段は、しかしながら、シャシー装置の現在の車高の低下を達成するようには見えず、その結果、高さ信号グラフの小領域[高さ信号の増加は危険範囲の接近に結びつく]２５９において、高さ信号は、さらに上昇し、かつ、危険な領域２５８[危険範囲]への接近を引き起こす。例証された高さ信号グラフにおいて、警告レベルｈ２ ２６８は、関連する時間間隔しきい値ｔ２ ２７１の間に超過され、その結果、中間プライオリティ２６４の他の対応策手段[中間プライオリティ手段を起動する]が、自動的に起動される。
【００４４】
例証された高さ信号グラフによれば、中間プライオリティの前記起動された対応策手段は、しかしながら、関連する時間間隔ｔ３  ２７２を著しく超過する間に、超過している警告レベルｈ３によって見ることができるように、シャシー装置の現在の車高のさらなる上昇を防ぐことができるようには見えない。高いプライオリティ２６５の他の対応策手段[高いプライオリティを起動する手段]は、その後、自動的に起動される。
【００４５】
例証された高さ信号グラフの右側部分によれば、測定された高さ信号を例証するためのグラフが、今度は、連続的に減少する。車高の低下の原因は、例えば、以下であることができる：空気の損失、正常な車高制御器(安全ソフトウェアによるのではない)による下方への制御の起動、低下する温度の結果としての車高の減少、その他。高さ信号グラフの傾斜している部分においては、そのゾーンは、高さ信号のヒステリシス動作が考慮に入れられて横断している。時間間隔ｔ１の終了に続いて記録された高さ信号が、著しく警告レベルｈ１ ２６７未満であるので、シャシー装置の現在の車高は、安全に対して危険であるとして、もはや分類されない。すべての起動された手段は、今度は、ステップ２６６ [すべての手段を取り消す]においてストップされる。シャシー装置の正しくない上方への制御を除去するための起動された対応策手段は、測定された高さ信号が、空気式の制御装置によってリバウンドストップ[リバウンドストップ]２５７の近くにおける限界ゾーンに到達するのを防ぐことができる。リバウンドストップそれ自身は、幾何学的なリバウンド能力を制限する、すなわち、リバウンドストップを越えて高さ値はない。
【００４６】
図３は、測定された高さ信号と、あらかじめ規定された時間間隔しきい値の同時の超過、異なるリスククラスにおける測定された高さ信号の分類、および安全リスクの除去用対応策手段の頻度依存の起動を有するあらかじめ規定された車高しきい値との間の連続的に繰り返される目標の実際の比較のための方法のデモンストレーションのためのフローチャートを示す。
【００４７】
状態は、上方への制御の終了、速度制限の出力または送信がない通常状態[通常]３８４(/*State０*/)として示され、組合せ装置のディスプレイ、欠陥メモリエントリーは出されず、また、Prio１またはPrio２警告もない。
【００４８】
高さ信号が明確に警告レベルｈ１ ３６７を超過したことを示している場合には、測定された高さ信号とあらかじめ規定された警告レベルｈ１ ２６７との間の目標の実際の比較が、時間間隔ｔ１ ２７０を同時に超過する間に、その後、ステップ[水平になることを終了する]３７１において、上方への制御の終了は、同時に情報欠陥メモリエントリー[欠陥エントリー情報]３７２を出し、かつ電子安定プログラム[ＥＳＣ、再度可能にする]３７３の起動を強制することがプログラムする間に、起動される。
【００４９】
ステップ[リセットされたレベル制御禁止]３７４において、レベル制御禁止の撤回に続いて、ヒステリシスHhysを考慮に入れて、高さ信号は、再び測定され、かつ警告レベルｈ１と比較される。レベル制御禁止の撤回は、ここに、電気自動車、例えば、低いバッテリチャージの場合におけるその車両装置の力切換え用に提供される。電気自動車のロジックが、液面調節器のスイッチを切っている場合には、この抑制は、欠陥の場合には引き込められるに違いなく、その結果、装置(少なくとも短時間用)は、正常な液面調節器を使用して、車高を修正する能力を与えられる。ＱＭソフトウェアを備えた装置が危険な領域を残している場合は、レベル制御が、その結果、制限のある残余エネルギーのために停止されることができる。
【００５０】
起動された手段の評価が、シャシー装置の車高が著しく警告レベルｈ１未満であることを示している場合には、その後、修正テスト[/* 処理された物品（proofed good）*/]３７０が起こる。
【００５１】
しかしながら、起動された手段の評価が、シャシー装置の車高の縮小を引き起こしていないことを示している場合には、しかしこの代りに、高さ信号はさらに同時に超過している時間間隔しきい値ｔ２によって警告レベルｈ２を一層超過しており、その後、警告レベル３６８がステップ[Prio２−警告する]３７５において生じる場合には、Prio２警告が出され、ステップ[欠陥エントリーの低いPrio]３７８において、低いプライオリティを有する欠陥メモリエントリーが実行され、かつ前記警告が、ステップ[ダッシュボードMsg]３７６において組合せ装置における車両ユーザのために表示される。
【００５２】
現在の測定された高さ信号が明確に警告レベルｈ１未満(ｈ<[ｈ１-ヒステリシス])であることをヒステリシスHhysを考慮に入れる起動された手段の後続の評価が示す場合には、むしろ、修理テスト[/* 処理された物品*/]３７０が起こる。
【００５３】
しかしながら、起動された手段の評価が、高さ信号がさらに上昇しており、さらに同時に超過している時間間隔ｔ３によって警告レベルｈ３を超過したことを示している場合には、その後、警告レベルｈ３ ３６９が生じ、さらに、次の対応策手段は、自動的に起動される:  ステップ[リセットする  Prio２−警告する]３８２において、Prio２警告は、引込められ、それは、ステップ[Prio１−警告する]３７９において、Prio２警告と置き換えられる。さらに、高いプライオリティの欠陥メモリエントリーは、ステップ [欠陥エントリー高いPrio]３７７において、そしてステップ [制限速度を送信する]３８０において、安定増強手段、すなわち速度を制限するためのコマンドの発行が出される。
【００５４】
続いて、起動された対応策手段は、順番に、目標の実際の比較を使用して、ヒステリシスHhysを考慮に入れて評価される。評価が、シャシー装置の車高が明確に警告レベルｈ１未満(ｈ<[ｈ１-ヒステリシス])であることを示す場合には、修正テスト[/* 処理された物品*/]３７０は起こる。すべての対応策手段は、止められる。
【００５５】
しかしながら、起動された手段の評価は、シャシー装置の車高が、警告レベルｈ１(ｈ<[ｈ１-ヒステリシス])以下に縮小していないことを示す場合には、その後、起動された対応策手段が、引き続き活発なままである。起動された対応策手段の繰り返される評価は、ヒステリシスを考慮する目標の実際の比較によって起こる。
【００５６】
フローチャートにおいて例証されたプロセスは、連続的に繰り返される。図３において例証されたプロセスステップは、図２において例証された、測定された高さ信号の外郭に対応する。図３において例証されたプロセスステップは、適切な対応策手段を起動することによってこのようにシャシー装置の正しくない上方への制御の除去の代表であることができ、その対応策手段は、それぞれの超過した警告レベルに依存する、記述された監視および管理機構によってそれを起動することができる。
以下に、出願当初の特許請求の範囲に記載の事項を、そのまま、付記しておく。
［１］  シャシー装置の空気式車高制御装置を監視し、制御する方法であって、その方法は以下のステップからなる:
− シャシー装置の現在の車高(１２９)の繰り返される測定、
− 少なくとも１つのあらかじめ規定された車高しきい値(２６７)を、シャシー装置の現在の車高（１２９）が超過することを検知することであって、この時間間隔しきい値(２７０)は車高しきい値(２６７)と関連していること、
− シャシー装置の現在の車高(１２９)は、少なくとも１つのあらかじめ規定された車高しきい値(２６７)を超過する時間間隔の繰り返される測定、
− 測定された時間間隔が超過している、あらかじめ規定された車高しきい値(２６７)と関連した少なくとも１つのあらかじめ規定された時間間隔しきい値(２７０)を検知すること、
− 少なくとも１つの車高しきい値(２６７)およびさらに関連する時間間隔しきい値(２７０)の両方を超過するかどうかの繰り返されるチェック、
− そうならば 、少なくともシャシー装置の現在の車高(１２９)のさらなる上昇を防ぎ、およびまたは、シャシー装置(１５２、１５３)の安定性を増加するのに適切であるあらかじめ規定された技術的手段(２６３、２６４、２６５)の自動的な起動(１２８)、
− シャシー装置の現在の車高(１２９)が少なくとも１つの車高しきい値(２６７)および関連する時間間隔しきい値未満であることを繰り返されるチェックが示す場合には、自動的に起動された手段(２６３、２６４、２６５)を停止すること（２６６）。
［２］  シャシー装置の現在の車高(１２９)の繰り返される測定の間に、測定された高さ信号（１２９）の周波数評価(１１１)が実行され、異なる運転行動のための車両の動力学的変数が評価され(１３５、１３７、１３９、１１９)、さらに、シャシー装置の重量負荷の程度が考慮に入れられる［１］記載の方法。
［３］  測定された高さ信号があらかじめ規定された車高しきい値(２６７)未満であるかどうかに関する測定された高さ信号の周波数の評価の間のシャシー装置の現在の車高の低下の場合には、測定された高さ信号（１２９）のヒステリシス行動(２６１)が、考慮に入れられる［２］記載の方法。
［４］  その方法は、さらに空気式車高制御装置の空圧アクチュエータ装置(１０２)のプロセス(１２１、１２２)および部品(１１４、１３１、１３３)の繰り返される監視および識別からなる［１］記載の方法。
［５］  あらかじめ規定された技術的な手段(２６３、２６４、２６５)は、少なくとも１つの車高しきい値(２６７、２６８、２６９)以下に、シャシー装置の現在の車高(１２９)を低下させる(１４４、１４５、１４６、１４７)ために、およびまたはシャシー装置の安定性を増加(１５２、１５３)ためにさらに適切である［１］記載の方法。
［６］  技術的な手段(２６３、２６４、２６５)は、シャシー装置の現在の車高(１２９)が少なくとも１つの車高しきい値(２６７、２６８、２６９)および関連する時間間隔しきい値を超過する場合に、次の方法からなる、先行する請求項のうちのいずれか１項記載の方法:
− 空気式車高制御装置の空圧のアクチュエータ装置(１０２)のプロセス(１２１、１２２)および部品(１４４、１４５、１４６、１４７)を制御すること、− シャシー装置、特には電子安定性プログラム(１５２)の安定性を確実にする補助の装置を起動すること、
− シャシー装置の速度（１５３）の縮小用の車両部品の制御調節。
［７］  その方法は、さらに、起動された技術的な手段(２６３、２６４、２６５)の評価(１１７、１５６)を有する先行する請求項のうちのいずれか１項記載の方法。
［８］  少なくとも１つの車高しきい値(２６７、２６８、２６９)および関連する時間間隔しきい値(２７０、２７１、２７２)を超過すると、あらかじめ規定された欠陥エントリー(１５４)が、記録およびまたは故障診断の用意をする先行する請求項のうちのいずれか１項記載の方法。
［９］  少なくとも１つの車高しきい値(２６７、２５８、２６９)および関連する時間間隔しきい値(２７０、２７１、２７２)を超過すると、あらかじめ規定された警告レベル（３６７、３６８、３６９)は、前記超過する結果の分類のためにセットされ、警告レベル(３６７、３６８、３６９)に依存して、あらかじめ規定された技術的手段(２６３、２６４、２６５)の少なくとも１つの車高しきい値(２６７、２６８、２６９)がより低くシャシー装置の現在の車高(１２９)を低下させ(１４４、１４５、１４６、１４７)、およびまたは、シャシー装置の安定性を増加させる(１５２、１５３)のに適切であるように起動される先行する請求項のうちのいずれか１項記載の方法。
［１０］  少なくとも１つの車高しきい値(２６７、２６８、２６９)および関連する時間間隔しきい値(２７０、２７１、２７２)を超過すると、少なくとも１つの情報信号(１４９、１５０、１５１)、およびまたは、少なくとも１つのコマンド(１４４、１４５、１４６、１４７、１５３)であって現在の車高(１２９)を低下させ、およびまたは、シャシー装置の安定性を増加させるための手段(２６３、２６４、２６５)を起動するのに適切であることが、規定することができるさらなるインターフェースに送られる、先行する請求項のうちのいずれか１項記載の方法。
［１１］  プロセスステップを実行するためのプロセッサによって実行することができるインストラクションを有する、先行する請求項のうちのいずれか１項記載のコンピュータプログラムプロダクト(１１５)。
［１２］   以下を有するシャシー装置の空気式の車高制御装置を監視し、制御する制御装置:
− シャシー装置の現在の車高(１２９)の繰り返し測定用の手段(１０１)、
− 時間間隔しきい値(２７０、２７１、２７２)は、車高しきい値(２６７、２６８、２６９)と関連があり、 シャシー装置の現在の車高(１２９)が少なくとも１つのあらかじめ規定された車高しきい値(２６７、２６８、２６９)を超過する時間間隔の繰り返し測定の手段、
− 時間間隔が超過している、少なくとも１つのあらかじめ規定された車高しきい値(２６７、２６８、２６９)と関連した、あらかじめ規定された時間間隔しきい値(２７０、２７１、２７２)を検知する手段、
− 少なくとも１つの車高しきい値(２６７、２６８、２６９)およびさらに関連する時間間隔しきい値(２７０、２７１、２７２)の両方を超過するかどうかに関して繰り返しチェックする手段、
− 少なくとも１つの車高しきい値(２６７、２６８、２６９)およびさらに関連する時間間隔しきい値(２７０、２７１、２７２)の両方が超過する場合には、シャシー装置の現在の車高(１２９)の上昇を防止し、およびまたは、少なくとも１つの車高しきい値(２６７、２６８、２６９)以下にシャシー装置の現在の車高(１２９)を低下させ、およびまたは、シャシー装置の安定性を増加するために適切である、あらかじめ規定された技術的な手段(２６３、２６４、２６５)の自動起動用の手段(１２８)、  
− チェックが、シャシー装置の現在の車高(１２９)が少なくとも１つの車高しきい値(２６７、２６８、２６９)および関連する時間間隔しきい値未満であることを示す場合には、自動的に起動された手段(２６３、２６４、２６５)を停止する手段。
【符号の説明】
【００５７】
１０１  高さセンサ
１０２  アクチュエータ
１０３  電子制御装置
１０４  分類レベルＱＭ（品質管理）
１０８  ＡＳＩＬ−Ａ（自動推進の安全統合水準Ａ）（法的標準ＩＳＯ２６２６２からの用語）
１０９  入力インターフェース
１１０  出力インターフェース
１１１  パルス幅変調
１１２  センサインストール機能
１１３  高さセンサの測定
１１４  バルブスイッチ状態評価モジュール
１１５  機能性監視および「安全監視」における制御
１１６  ドライバ(モジュール)
１１７  監視(モジュール)
１１８  バルブ状態の評価
１１９  車両動力学の評価
１２０  高さ信号の条件付け
１２１  上方への制御検知
１２２  下方への制御検知
１２３  コントローラ動作モードの評価
１２４  誤動作Ｂ２
１２５  誤動作Ｂ３
１２６  誤動作Ｂ４
１２７  誤動作Ｂ６
１２８  安全作動の生成
１２９  高さ
１３０  高さエラー状態
１３１  電流（Ｉ）
１３２  電流エラー状態
１３３  バルブ
１３４  バルブエラー状態
１３５  （車両）速度
１３６  車速エラー状態
１３７  縦方向の加速
１３８  縦方向の加速エラー状態
１３９  横加速度
１４０  横加速度エラー状態
１４１  アセンブリライン初期化
１４２  ワークショップモード
１４３  高さセンサ測定
１４４  フロントアクセルの上方への制御抑制
１４５  リヤアクルの上方への制御抑制
１４６  フロントアクセルの下方への制御抑制
１４７  リヤアクセルの下方への制御抑制
１４８  スイッチオフ
１４９  信号灯
１５０  警告ランプ
１５１  テキストメッセージ
１５２  電子安全プログラム
１５３  速度の制限
１５４  欠陥メモリエントリー
１５５  質問
１５６  応答
１５７  フィールドバス
１５８  エンジン制御用の外部制御ユニット
１５９、１６０  分類レベル
２５７  リバウンドストップ
２５８  危険領域
２５９  高さ信号の出現で、その危険領域に接近させるもの
２６０  正常な制御領域
２６１  ヒステリシス
２６２  オフロードレベル
２６３  低いプライオリティの起動手段
２６４  中間のプライオリティの起動手段
２６５  高いプライオリティの起動手段
２６６  すべての手段の撤回
２６７、２６８、２６９  最低地上高しきい値ｈ１、ｈ２、ｈ３
２７０、２７１および２７２  時間間隔しきい値ｔ１、ｔ２、ｔ３
３６７  警告レベル１
３６８  警告レベル２
３６９  警告レベル３
３７０  修正テスト
３７１  上方への制御の終了
３７２  情報欠陥メモリエントリー
３７３  電子的強制起動安定プログラム
３７４  最低地上高制御停止の撤回
３７５  Prio２警告
３７６  組合せ計器における表示
３７７  高いプライオリティの欠陥メモリエントリー
３７８  低いプライオリティの欠点メモリエントリー
３７９  Prio１警告
３８０  速度制限の出力または送信
３８２  Prio２警告の取消
３８４  通常状態
【図１ａ】
0006258275.tif 000002
【図１ｂ】
0006258275.tif 000003
【図２】
0006258275.tif 000004
【図３】
0006258275.tif 000005