制御装置における監視構想
本発明は、自動車の制御装置にある計算素子を監視する監視構想を開示し、計算素子が実質的に３つのプログラムモジュールを含み、それにより自動車の走行挙動が影響を受ける。計算素子がプロセッサ上に構成され、プロセッサが実質的に機能計算機（ＦＲ）及び機能計算機（ＦＲ）から物理的に独立した監視計算機（ＵＲ）を含み、監視計算機（ＵＲ）が再び２つの互いに独立したモニタリング装置（ＭＵ１，ＭＵ２）を含んでいる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、独立請求項の上位概念に記載の計算素子を監視する方法、計算素子、プロセッサ及び監視素子に関する。
【０００２】
自動車において使用するための計算素子を持つ制御装置を個々には安全でなく自身では安全に形成する種々の構想が存在する。制御装置の自身の安全性を得る可能性は３面構想の監視である。
【背景技術】
【０００３】
ドイツ連邦共和国特許出願公開第４４３８７１４号明細書から、車両の駆動装置を制御する装置が公知である。この場合出力を制御する制御装置はただ１つの計算素子しか持っていない。計算素子は遮断バスの制御及び監視を行う。制御及び監視を行うために、互いに独立した２つの面がただ１つの計算素子に設けられ、第１の面において出力制御機能が求められ、第２の面において特に監視モジュールとの共同動作でこれらの機能従って計算素子自体の動作能力が監視されることによって、作動の確実性及び利用可能性が保証される。
【０００４】
更にドイツ連邦共和国特許出願公開第４４３８７１４号明細書には、第２の面の経過監視を行う第３の面が記載されている。第３の面によるこの監視は、制御装置の信頼性及び利用可能性を著しく高める。特に監視モジュールにおいて、経過監視が質問−回答通信として実行される
【０００５】
三面監視構想（ＥＧＡＳ構想）は、なるべく車両の機関制御装置において、電子機関制御システムの監視のために使用される。その際機関制御装置は、いわゆる機能計算機及び監視計算機から成っている。機能計算機と監視計算機は、質問−回答方法を介して通信する。更にそれは別個の遮断バスを使用できる。
【０００６】
面１は、車両の駆動装置の機能を制御する固有の機能モジュールを含んでいる。従ってこの面は機能面とも称される。この面は、特に要求される機関トルクを変換する機関制御機能、部品監視、入力量及び出力量の診断、及び欠陥が検出される場合におけるシステム反応の制御を含んでいる。面１は機能計算機上に構成される。
【０００７】
機能監視面とも称される面２は安全モジュールを含み、同様に機能計算機上に構成される。この面は、面１の機能モジュールの監視に関連する周囲の欠陥のある経過を、特に計算されるトルク又は車両加速度の監視によって検出する。欠陥がある場合、例えば安全に関連する最終段の遮断のようなシステム反応の開始が行われる。
【０００８】
面２は、機能計算機の面３により保護されているハードウエア範囲において実行される。計算機監視面とも称される面３は、指令集合テスト、プログラム流れ監視、Ａ／Ｄ変換器テスト、及び面２の周期的及び完全なメモリテストを持つ独立した機能計算機上の監視モジュールを含んでいる。監視モジュールは機能計算機上に構成される。機能計算機から独立した監視計算機は、質問−回答方法により、機能計算機のプログラム指令の規則正しい処理をテストする。欠陥がある場合、機能計算機には関係なく、システム反応の始動が行われる。
【０００９】
現在の電子機関制御システムでは、全機能及び監視ソフトウエアは制御装置に統合されている。監視構想は別の車両制御装置特に変速機制御装置においても実現可能である。
【００１０】
従来技術から公知の監視構想では、監視計算機が、機能計算機にあるただ１つの監視装置（モニタリング装置）により、１つより多いプログラム流れ監視を行う。その際この１つの監視装置は、個々のプログラム流れ監視からの個別回答を同期化し、個々の回答を１つの全体回答にまとめねばならない。回答の同期化及びまとめの際、誤りが生じることがある。
【発明の概要】
【発明が解決しようとする課題】
【００１１】
従って自動車制御装置にある計算素子を監視する公知の方法を改良するという課題が与えられる。
【課題を解決するための手段】
【００１２】
本発明によれば、この課題は独立請求項１の特徴を持つ方法によって解決される。
【００１３】
自動車制御装置にある本発明による計算素子は、実質的に３つのソフトウエアプログラムモジュール、即ち自動車の機能を制御する機能モジュール、機能モジュールを検査する安全モジュール、及び安全モジュールを検査する監視モジュールを含んでいる。
【００１４】
本発明の核心は、監視モジュールがソフトウエアとして構成される２つの互いに独立したモニタリング素子を含み、各モニタリング素子がハードウエアとして構成されるそれぞれ１つのモニタリング装置に付属していることである。
【００１５】
それにより時間的に全く異なるソフトウエアタスクが監視される。両方の正しい回答が正しいタイムスロットにおいて与えられる時にのみ、安全にとって危険なバスが解釈される。
【００１６】
特に制御装置の投入により、計算素子において、付属するモニタ装置を構成するそれぞれ１つのいわゆる状態機械が運転される。状態機械は、複数の状態、状態移行及び動作から成る行動モデルである。１つの状態は過去についての情報を記憶している。それは、システム開始から現在の時点までの入力の変化を反映する。状態移行は、状態機械の状態の変化を示し、移行を可能にするために満たさねばならない論理条件を記述する。動作は、特定の状況において行われる状態機械の出力である。
【００１７】
両方の状態機械が順調に運転されている時、両方のモニタリング装置は、それぞれのモニタリング素子により、計算素子の監視を引受ける。
【００１８】
第１のモニタリング装置が、第１のモニタリング素子により、安全モジュールにおける第１の監視として、特にメモリテスト及びプログラム流れ監視を行う。更に第２のモニタリング装置が、第２のモニタリング素子により、監視モジュールにおける第２の監視として、特に指令集合テスト及びＡ／Ｄ変換器テストを行う。有利なように、それぞれの監視がいわゆるテストバスにおいて行われる。
【００１９】
誤りが生じると、機能計算機又は監視計算機が例えば安全に関連する最終段を正確に遮断できることを、遮断バステストが特に保証する。
【００２０】
１つの監視に誤りが生じると、それぞれ１つの誤りカウンタが操作され、機能モジュールとは無関係に、自由にプログラム可能な誤り反応閾値を超過すると、システム反応が監視計算機により開始される。
【００２１】
このようなシステム反応は、例えば車道の非常停止線上でとうやら停止するのを可能にする限られた非常走行モードへ車両をもたらすことができる。
【００２２】
その際安全性を高めるため、誤り係数が有利なように非対称に実行され、即ち質問−回答方法において誤った回答の際２回上方へ計数され、これに反し正しい回答の際１回だけ下方へ計数される。
【００２３】
制御装置の初期化の際、計算素子において適当なモニタリング装置が構成されるのがよい。この過程においてそれぞれ他のパラメータのほかに、例えば質問−回答方法の回答時間及び回答タイムスロットと、安全に関連する最終段の遮断閾値及びリセット解除を含めてリセット閾値が規定される。その際パラメータはモニタリング装置毎に互いに全く異なっていてもよい。しかし両方のモニタリング装置を同じに構成することも考えられる。
【００２４】
適当なモニタリング装置の構成が適当なＩＮＩＴ状態においてのみ可能であり、１つの状態機械において所定の状態移行のみが許されると、特に有利である。更にＩＮＩＴ状態への戻りが、状態ＲＥＳＥＴを経てのみ行われる。それにより後で意識的に又は無意識にパラメータが変化されることがあるのを防止される。
【００２５】
本発明の別の課題は、従来技術に比べて改善された、自動車の制御装置にある前述した監視計算素子を持つプロセッサを提示することである。
【００２６】
本発明によればこの課題は、独立請求項１２の特徴を持つプロセッサにより解決される。
【００２７】
詳細に上述したように、制御装置の計算素子が大体において３つのプログラムモジュール、機能モジュール、安全モジュール及び監視モジュールを含み、計算素子がプロセッサに構成される。プロセッサは特に機能計算機と監視計算機に細分され、機能モジュール、安全モジュール及び監視モジュールが機能計算機に構成される。監視計算機は、通常インタフェースを介する質問−回答方法により、機能計算機と通信する。
【００２８】
本発明の核心は、機能計算機と監視計算機が物理的に互いに独立しており、監視計算機が互いに無関係な２つのモニタリング装置を含んでいることである。機能計算機のプログラム指令の規則正しい処理を監視するために、機能計算機において、各モニタリング装置により、それぞれ１つの監視が実行可能である。それにより監視方法を有利に促進し、更に一層安全に実施することができる。
【００２９】
以下の説明において、本発明の特徴及び詳細が、添付図面に関連して実施例により詳細に説明される。その際個々の変形例において説明される特徴及び関連は、基本的にすべての実施例に転用可能である。
【図面の簡単な説明】
【００３０】
【図１】 モジュール（ソフトウエア）及び計算機（ハードウエア）に細分される３面構想を示す。
【図２】 状態、移行及び条件を持つ状態機械を示す。
【発明を実施するための形態】
【００３１】
鎖線及び破線の縁を持つ図１の枠はそれぞれハードウエア成分を示し、実線の縁を持つ枠はそれぞれソフトウエア成分を示す。枠の間の直線矢印それぞれデータ交換を示す。
【００３２】
図１は、例えば自動車における機関制御装置又は変速機制御装置において使用されるように、実質的にＥＧＡＳ構想から周知の３面監視モデルを示す。
【００３３】
第１の鎖線の枠はプロセッサの機能計算機ＦＲを示す。第２の鎖線の枠はプロセッサの監視計算機ＵＲを示す。機能計算機ＦＲと監視計算機ＵＲは、物理的に互いに独立してプロセッサに設けられている。監視計算機ＵＲは例えばＡＳＩＣとして構成することができる。３つのプログラムモジュール即ち機能モジュールＥ１、安全モジュールＥ２及び監視モジュールＥ３は、機能計算機ＥＲに構成される。
【００３４】
機能モジュールＥ１は、機能面とも称されるＥＧＡＳ構想の面Ｅ１を示す。それは特に車両の駆動装置の機能制御に用いられ、上述したように、特に要求される機関トルクを変換するための例えば機関制御機能、部品監視、入力量及び出力量の診断、及び誤りが検出される場合システム反応の制御を含んでいる。
【００３５】
安全モジュールＥ２は、機能監視面とも称されるＥＧＡＳ構想の面２を示す。それは、面１の機能モジュールＥ１の監視に関連する範囲の誤りのある経過を検出する。特に計算されるトルク又は例えば車両加速度が監視される。誤りが生じると、特にシステム反応の始動が行われる。安全モジュールＥ２が、まず監視モジュールＥ３により保護される機能計算機ＦＲのハードウエア範囲において実行される。
【００３６】
監視モジュールＥ３は、計算機監視面とも称されるＥＧＡＳ構想の面３を示す。監視モジュールＥ３は、特に監視計算機ＵＲとは独立した機能計算機ＦＲに構成される。監視計算機ＵＲは、例えば少なくとも１つの質問−回答方法によって、機能計算機ＦＲのプログラム指令の規則正しい処理を検査する。誤りが生じると、特にシステム反応の始動が機能計算機ＦＲに関係なく行われる。
【００３７】
監視計算機ＵＲは実質的に２つの互いに独立したモニタリング装置ＭＵ１，ＭＵ２を含んでいる。各モニタリング装置ＭＵ１，ＭＵ２に、安全モジュールＥ３の監視Ｋ１，Ｋ２のための適当なモニタリング素子ＭＥ１，ＭＥ２が構成される。
【００３８】
こうして例えば第１のモニタリング装置ＭＵ１が、第１のモニタリング素子ＭＥ１により、第１の監視Ｋ１として、安全モジュールＥ２にある第１のテストバスＴＰ１を介して、メモリテスト及びプログラム流れ監視を行う。
【００３９】
これに並行して監視Ｋ１とは無関係に、第２のモニタリング装置ＭＵ２が、第２のモニタリング素子ＭＥ２により、第２の監視Ｋ２として、監視モジュールＥ３にある第２のテストバスＴＰ２を介して、なるべく指令集合テスト及びＡ／Ｄ変換器テストを行う。第２の監視Ｋ２は、第１のモニタリング装置ＭＵ１においても、第１のモニタリング素子ＭＥ１により第１のテストバスＴＰ１を介して行うこともできる。
【００４０】
特に前記のプログラム流れ監視は、モニタリング装置ＭＵ１，ＭＵ２と機能計算機ＦＲとの間の質問−回答方法として行われる。適当な質問は、例えばモニタリング素子ＭＥ１，ＭＥ２に付属する質問発生器ＦＧにおいて発生される。両方の質問発生器ＦＧは同じに構成されているが、質問の選択は偶然に行われる。従ってモニタリング装置ＭＵ１による質問とモニタリング装置ＭＵ２による質問は、実際には常に異なっている。
【００４１】
監視Ｋ１，Ｋ２に誤りが生じると、有利なようにそれぞれ１つの誤りカウンタが高くセットされる。自由にプログラム可能な適当な誤り反応閾値を超過すると、特に監視モジュールＥ３により、機能モジュールＥ１に関係なくシステム反応が開始される。自由にプログラム可能な誤り反応閾値は、例えば安全に関連する最終段の遮断又は機能計算機ＦＲのリセットのように、種々のシステム反応のために異なっていてもよい。モニタリング装置ＭＵ１，ＭＵ２の１つがリセットを発生すると、状態機械ＳＭ１，ＳＭ２及び機能計算機ＦＲを含むシステム全体がリセットされる。しかしモニタリング装置ＭＵ１に誤りがある場合にのみリセットが開始され、モニタリング装置ＭＵ２に誤りがある場合安全に関連する最終段のみが遮断されるように、構成することもできる。
【００４２】
更に誤り反応としてのリセット指令の発生を、選択的に可能にするか又は阻止することができる。
【００４３】
監視計算機ＵＲの出力端は、有利なように相補的に構成されている。例えばチップ破壊又はいわゆるラッチアップ即ち半導体素子の低抵抗状態への移行により、例えばＡＳＩＣとして構成される監視計算機ＵＲが全故障する場合、監視計算機ＵＲのすべての出力端が同時に高レベル又は低レベルにあることを前提とする。この場合相補的な出力端は、図示しない外部回路と共に、システムの安全バス従ってシステムの安全に関連する最終段が遮断されるようにする。外部回路は、例えば抵抗及びトランジスタから成り、相補的な出力端の組合わせのみが安全に関連する最終段を使用可能にする。
【００４４】
図２は状態機械を示す。状態機械は僅かなハードウエア費用で有利に実現可能である。状態機械のこの実施例は、ソフトウエアとして構成される状態機械より速くかつ確実で故障が少ない。更にそれは操作可能でない。明細書の始めにおいて既に述べたように状態機械は、複数の状態、状態移行及び動作から成る行動モデルである。状態は過去についての情報を記憶する。この状態は、システム開始から現在の時点までの入力の変化を再現する。状態移行は状態機械の状態の変化を示し、移行を可能にするために満たされねばならない論理的条件によって記述される。動作は、特定の状況において行われる状態機械の出力である。状態機械は、ディジタル回路において、主として記憶プログラム可能な制御素子、論理ゲート、フリップフロップ又はリレーにより実現可能である。ハードウエアを実現するため、一般に状態変数を記憶するレジスタ、状態移行を選択する論理装置、及び出力の権限を持つ別の論理装置が使用される。各モニタリング素子ＭＥ１，ＭＥ２に、特に状態機械ＳＭ１、ＳＭ２が付属している。
【００４５】
制御装置の初期化の際又はリセット後、ＩＮＩＴ状態がとられる。ＩＮＩＴ状態においてモニタリング装置ＭＵ１，ＭＵ２が、機能モジュールＥ１により、監視計算機ＵＲと機能計算機ＦＲとの間の通信インタフェースを介して構成される。その際特に回答時間、回答タイムスロット、誤り反応閾値、特に遮断閾値ｔｈｒｅｓｈ及びリセット閾値ｒｅｓｅｔ ｔｈｒｅｓｈが規定される。
【００４６】
状態機械ＳＭ１，ＳＭ２の実行の際規定される回答時間は、大体において自由に構成可能であり、通常１ｍｓ〜２５５ｍｓの範囲にある。
【００４７】
特に回答タイムスロットも状態機械に規定され、一次的に１ｍｓ〜２５５ｍｓの範囲にある。回答時間と回答タイムスロットとの関係は特に自由に規定可能である。
【００４８】
更に誤りカウンタの初期値は、誤りカウンタがＩＮＩＴ状態において遮断されたままであるのを確実にするため、自動的に遮断閾値ｔｈｒｅｓｈより上に設定される。動作ＥＯＩ（初期状態の終了）により、モニタリング素子ＭＥ１，ＭＥ２の構成が終了され、もはや変化不可能である。それにより状態ＳＯＰＣＤＩＳ（遮断バステスト不能）への状態移行が行われ、ここでＳＯＰＣは遮断バステストであり、誤りが生じる時、機能計算機又は監視計算機が例えば安全に関する出力最終段を正しく遮断できることを、遮断バステストは保証することができる。この状態で出力最終段はまだ解放されていない。
【００４９】
遮断バステストの際、状態機械において状態ＳＯＰＣＤＩＳ及びＳＯＰＣＥＮＡがとられる。第１段階で最終段が遮断され、第２段階で使用可能にされる。この解決策の利点は、遮断バステスト中に回答タイムスロットを考慮することなくできるだけ速く、回答を送ることができることである。それによりシステム立上がり時間を短く保つことができる。
【００５０】
状態ＳＯＰＣＤＩＳへ達することにより、特にＳＯＰＣタイマが始動されて、指令ＥＯＳＯＰＣ（ＳＯＰＣの終了）まで時間を測定する。テストが長く続きすぎると、テストは中断され、状態ＳＯＰＣＤＩＳが動作ＳＯＰＣ ｔｉｍｅｏｕｔを経て状態ＲＥＳＥＴへ移行する。
【００５１】
状態ＳＯＰＣＤＩＳにおいて、テストのできるだけ速い経過を保証するため、監視計算機ＵＲと機能計算機ＦＲとの間の質問−回答動作サイクルが、なるべく時間制限なしに始まる。即ち回答タイムスロットが空いている。誤った回答の場合、誤りカウンタが高められる。誤りカウンタが遮断閾値ｔｈｒｅｓｈより下にあると、条件ＥＣ＜ｄｉｓａｂｌｅｔｈｒｅｓｈにより，状態ＳＯＰＣＥＮＡ（遮断バステスト可能）への移行が特に直ちに行われる。それにより出力最終段が解放される。
【００５２】
状態ＳＯＰＣＤＩＳから状態ＤＩＳＡＢＬＥへの移行は、機能計算機ＦＲと監視計算機ＵＲとの間の通信インタフェースにより始動される条件ＥＯＳＯＰＣ（遮断バステストの終了）を介して行われる。状態ＳＯＰＣＤＩＳにおいて規定されるように、出力最終段は阻止又は遮断されたままである。ただ１つの条件は、条件ＳＯＰＣ ｔｉｍｅｏｕｔの経過前の正しい指令である。
【００５３】
特に状態ＳＯＰＣＤＩＳから始まって状態ＳＯＰＣＥＮＡへ達すると、ＳＯＰＣタイマが有利なように更に動作する。監視計算機ＵＲと機能計算機ＦＲとの間の質問−回答動作サイクルも同様に時間的制限なしに続行される。誤りカウンタが遮断閾値ｔｈｒｅｓｈに達するか又はこれを超過すると、特に条件ＥＣ≧ｄｉｓａｂｌｅ ｔｈｒｅｓｈにより状態ＳＯＰＣＤＩＳへ戻る移行が行われる。
【００５４】
遮断バステストが長く続きすぎると、このテストが中断され、状態ＳＯＰＣＥＮＡが条件ＳＯＰＣ ｔｉｍｅｏｕｔを経て状態ＲＥＳＥＴへ移行される。それに続く状態ＲＥＳＥＴから状態ＩＮＩＴへの移行は自動的に行われる。
【００５５】
状態ＳＯＰＣＥＮＡから状態ＮＯＲＭＡＬへの移行は、通信インタフェースにより再び開始される条件ＥＯＳＯＰＣを経て行われる。
【００５６】
出力最終段が既に前の状態で既に解放されていない限り、状態ＮＯＲＭＡＬにおいて出力最終段が解放される。この状態で監視計算機ＵＲと機能計算機ＦＲとの間の質問−回答動作サイクルが続行され、その際誤りカウンタの計数が前の状態から引継がれる。遮断バステストの状態ＣＯＰＣＥＮＡ及びＳＯＰＣＤＩＳとは異なり、この場合回答時間及び回答タイムスロットに関して時間的制限があるのがよい。機能計算機の作動システムの実行時間監視を保証するために、回答は早すぎても遅すぎてもいけない。回答時間は、回答を送信するためのできるだけ遅い時点である。第２としていわゆる“クローズトウインドウ”が構成される。この範囲において回答が送信されてはならない。回答時間と“クローズトウインドウ”との差は“オープンウインドウ”又は回答タイムスロットを生じる。
【００５７】
回答時間及び回答タイムスロットはまず状態ＩＮＩＴにおいてプログラムされている。誤りカウンタは、有利なように誤った回答の際にも回答時間又は回答タイムスロットを超過する際にも高められる。遮断閾値ｔｈｒｅｓｈに達するか又はこれを超過すると、条件ＥＣ≧ｄｉｓａｂｌｅ ｔｈｒｅｓｈにより状態ＤＩＳＡＢＬＥへの移行が行われる。
【００５８】
状態ＤＩＳＡＢＬＥにおいて出力最終段が遮断される。この状態で、監視計算機ＵＲと機能計算機ＦＲとの間の質問−回答動作サイクルが不変な計数状態で続行される。この場合も、回答時間及び回答タイムスロットに関して時間的制限がある。誤った回答の際にも回答時間又は回答タイムスロットを超過する際にも、誤りカウンタが高められる。閾値ｔｈｒｅｓｈを下回ると、条件ＥＣ＜ｄｉｓａｂｌｅ ｔｈｒｅｓｈにより状態ＮＯＲＭＡＬへ戻る移行が行われる。状態ＮＯＲＭＡＬにおいて最終段が再び使用可能にされる。
【００５９】
状態ＤＩＳＡＢＬＥにおいて誤りカウンタがリセット閾値ｒｅｓｅｔ ｔｈｒｅｓｈに達して、リセット使用可能用のレジスタが予め設定された値１を持つと、条件ＥＣ≧ｒｅｓｅｔ ｔｈｒｅｓｈ ＡＮＤ ｉ＿ｒｅｑ＿ｒｓｔ＿ｅｎ＝１により状態ＲＥＳＥＴへの移行が行われる。続いて状態ＲＥＳＥＴから状態ＩＮＩＴへの移行が再び自動的に行われる。
【００６０】
状態機械において全過程を一層速く形成するために、状態機械において状態ＳＯＰＣＥＮＡを抜かすことができる。その場合一層速い遮断バステストが行われない。
【００６１】
両方の状態機械が首尾よく運転されている場合、ＮＯＲＭＡＬ状態にある両方のモニタリング装置は、それぞれのモニタリング素子により、計算素子の監視を引受ける。
【００６２】
要約すれば、自動車の制御装置にある計算素子を監視するための本発明による監視構想が、公知の監視構想に比べて、速さ、プログラム費用及び確実さに関して改善を示していると結論することができる。
【技術分野】
【０００１】
本発明は、独立請求項の上位概念に記載の計算素子を監視する方法、計算素子、プロセッサ及び監視素子に関する。
【０００２】
自動車において使用するための計算素子を持つ制御装置を個々には安全でなく自身では安全に形成する種々の構想が存在する。制御装置の自身の安全性を得る可能性は３面構想の監視である。
【背景技術】
【０００３】
ドイツ連邦共和国特許出願公開第４４３８７１４号明細書から、車両の駆動装置を制御する装置が公知である。この場合出力を制御する制御装置はただ１つの計算素子しか持っていない。計算素子は遮断バスの制御及び監視を行う。制御及び監視を行うために、互いに独立した２つの面がただ１つの計算素子に設けられ、第１の面において出力制御機能が求められ、第２の面において特に監視モジュールとの共同動作でこれらの機能従って計算素子自体の動作能力が監視されることによって、作動の確実性及び利用可能性が保証される。
【０００４】
更にドイツ連邦共和国特許出願公開第４４３８７１４号明細書には、第２の面の経過監視を行う第３の面が記載されている。第３の面によるこの監視は、制御装置の信頼性及び利用可能性を著しく高める。特に監視モジュールにおいて、経過監視が質問−回答通信として実行される
【０００５】
三面監視構想（ＥＧＡＳ構想）は、なるべく車両の機関制御装置において、電子機関制御システムの監視のために使用される。その際機関制御装置は、いわゆる機能計算機及び監視計算機から成っている。機能計算機と監視計算機は、質問−回答方法を介して通信する。更にそれは別個の遮断バスを使用できる。
【０００６】
面１は、車両の駆動装置の機能を制御する固有の機能モジュールを含んでいる。従ってこの面は機能面とも称される。この面は、特に要求される機関トルクを変換する機関制御機能、部品監視、入力量及び出力量の診断、及び欠陥が検出される場合におけるシステム反応の制御を含んでいる。面１は機能計算機上に構成される。
【０００７】
機能監視面とも称される面２は安全モジュールを含み、同様に機能計算機上に構成される。この面は、面１の機能モジュールの監視に関連する周囲の欠陥のある経過を、特に計算されるトルク又は車両加速度の監視によって検出する。欠陥がある場合、例えば安全に関連する最終段の遮断のようなシステム反応の開始が行われる。
【０００８】
面２は、機能計算機の面３により保護されているハードウエア範囲において実行される。計算機監視面とも称される面３は、指令集合テスト、プログラム流れ監視、Ａ／Ｄ変換器テスト、及び面２の周期的及び完全なメモリテストを持つ独立した機能計算機上の監視モジュールを含んでいる。監視モジュールは機能計算機上に構成される。機能計算機から独立した監視計算機は、質問−回答方法により、機能計算機のプログラム指令の規則正しい処理をテストする。欠陥がある場合、機能計算機には関係なく、システム反応の始動が行われる。
【０００９】
現在の電子機関制御システムでは、全機能及び監視ソフトウエアは制御装置に統合されている。監視構想は別の車両制御装置特に変速機制御装置においても実現可能である。
【００１０】
従来技術から公知の監視構想では、監視計算機が、機能計算機にあるただ１つの監視装置（モニタリング装置）により、１つより多いプログラム流れ監視を行う。その際この１つの監視装置は、個々のプログラム流れ監視からの個別回答を同期化し、個々の回答を１つの全体回答にまとめねばならない。回答の同期化及びまとめの際、誤りが生じることがある。
【発明の概要】
【発明が解決しようとする課題】
【００１１】
従って自動車制御装置にある計算素子を監視する公知の方法を改良するという課題が与えられる。
【課題を解決するための手段】
【００１２】
本発明によれば、この課題は独立請求項１の特徴を持つ方法によって解決される。
【００１３】
自動車制御装置にある本発明による計算素子は、実質的に３つのソフトウエアプログラムモジュール、即ち自動車の機能を制御する機能モジュール、機能モジュールを検査する安全モジュール、及び安全モジュールを検査する監視モジュールを含んでいる。
【００１４】
本発明の核心は、監視モジュールがソフトウエアとして構成される２つの互いに独立したモニタリング素子を含み、各モニタリング素子がハードウエアとして構成されるそれぞれ１つのモニタリング装置に付属していることである。
【００１５】
それにより時間的に全く異なるソフトウエアタスクが監視される。両方の正しい回答が正しいタイムスロットにおいて与えられる時にのみ、安全にとって危険なバスが解釈される。
【００１６】
特に制御装置の投入により、計算素子において、付属するモニタ装置を構成するそれぞれ１つのいわゆる状態機械が運転される。状態機械は、複数の状態、状態移行及び動作から成る行動モデルである。１つの状態は過去についての情報を記憶している。それは、システム開始から現在の時点までの入力の変化を反映する。状態移行は、状態機械の状態の変化を示し、移行を可能にするために満たさねばならない論理条件を記述する。動作は、特定の状況において行われる状態機械の出力である。
【００１７】
両方の状態機械が順調に運転されている時、両方のモニタリング装置は、それぞれのモニタリング素子により、計算素子の監視を引受ける。
【００１８】
第１のモニタリング装置が、第１のモニタリング素子により、安全モジュールにおける第１の監視として、特にメモリテスト及びプログラム流れ監視を行う。更に第２のモニタリング装置が、第２のモニタリング素子により、監視モジュールにおける第２の監視として、特に指令集合テスト及びＡ／Ｄ変換器テストを行う。有利なように、それぞれの監視がいわゆるテストバスにおいて行われる。
【００１９】
誤りが生じると、機能計算機又は監視計算機が例えば安全に関連する最終段を正確に遮断できることを、遮断バステストが特に保証する。
【００２０】
１つの監視に誤りが生じると、それぞれ１つの誤りカウンタが操作され、機能モジュールとは無関係に、自由にプログラム可能な誤り反応閾値を超過すると、システム反応が監視計算機により開始される。
【００２１】
このようなシステム反応は、例えば車道の非常停止線上でとうやら停止するのを可能にする限られた非常走行モードへ車両をもたらすことができる。
【００２２】
その際安全性を高めるため、誤り係数が有利なように非対称に実行され、即ち質問−回答方法において誤った回答の際２回上方へ計数され、これに反し正しい回答の際１回だけ下方へ計数される。
【００２３】
制御装置の初期化の際、計算素子において適当なモニタリング装置が構成されるのがよい。この過程においてそれぞれ他のパラメータのほかに、例えば質問−回答方法の回答時間及び回答タイムスロットと、安全に関連する最終段の遮断閾値及びリセット解除を含めてリセット閾値が規定される。その際パラメータはモニタリング装置毎に互いに全く異なっていてもよい。しかし両方のモニタリング装置を同じに構成することも考えられる。
【００２４】
適当なモニタリング装置の構成が適当なＩＮＩＴ状態においてのみ可能であり、１つの状態機械において所定の状態移行のみが許されると、特に有利である。更にＩＮＩＴ状態への戻りが、状態ＲＥＳＥＴを経てのみ行われる。それにより後で意識的に又は無意識にパラメータが変化されることがあるのを防止される。
【００２５】
本発明の別の課題は、従来技術に比べて改善された、自動車の制御装置にある前述した監視計算素子を持つプロセッサを提示することである。
【００２６】
本発明によればこの課題は、独立請求項１２の特徴を持つプロセッサにより解決される。
【００２７】
詳細に上述したように、制御装置の計算素子が大体において３つのプログラムモジュール、機能モジュール、安全モジュール及び監視モジュールを含み、計算素子がプロセッサに構成される。プロセッサは特に機能計算機と監視計算機に細分され、機能モジュール、安全モジュール及び監視モジュールが機能計算機に構成される。監視計算機は、通常インタフェースを介する質問−回答方法により、機能計算機と通信する。
【００２８】
本発明の核心は、機能計算機と監視計算機が物理的に互いに独立しており、監視計算機が互いに無関係な２つのモニタリング装置を含んでいることである。機能計算機のプログラム指令の規則正しい処理を監視するために、機能計算機において、各モニタリング装置により、それぞれ１つの監視が実行可能である。それにより監視方法を有利に促進し、更に一層安全に実施することができる。
【００２９】
以下の説明において、本発明の特徴及び詳細が、添付図面に関連して実施例により詳細に説明される。その際個々の変形例において説明される特徴及び関連は、基本的にすべての実施例に転用可能である。
【図面の簡単な説明】
【００３０】
【図１】 モジュール（ソフトウエア）及び計算機（ハードウエア）に細分される３面構想を示す。
【図２】 状態、移行及び条件を持つ状態機械を示す。
【発明を実施するための形態】
【００３１】
鎖線及び破線の縁を持つ図１の枠はそれぞれハードウエア成分を示し、実線の縁を持つ枠はそれぞれソフトウエア成分を示す。枠の間の直線矢印それぞれデータ交換を示す。
【００３２】
図１は、例えば自動車における機関制御装置又は変速機制御装置において使用されるように、実質的にＥＧＡＳ構想から周知の３面監視モデルを示す。
【００３３】
第１の鎖線の枠はプロセッサの機能計算機ＦＲを示す。第２の鎖線の枠はプロセッサの監視計算機ＵＲを示す。機能計算機ＦＲと監視計算機ＵＲは、物理的に互いに独立してプロセッサに設けられている。監視計算機ＵＲは例えばＡＳＩＣとして構成することができる。３つのプログラムモジュール即ち機能モジュールＥ１、安全モジュールＥ２及び監視モジュールＥ３は、機能計算機ＥＲに構成される。
【００３４】
機能モジュールＥ１は、機能面とも称されるＥＧＡＳ構想の面Ｅ１を示す。それは特に車両の駆動装置の機能制御に用いられ、上述したように、特に要求される機関トルクを変換するための例えば機関制御機能、部品監視、入力量及び出力量の診断、及び誤りが検出される場合システム反応の制御を含んでいる。
【００３５】
安全モジュールＥ２は、機能監視面とも称されるＥＧＡＳ構想の面２を示す。それは、面１の機能モジュールＥ１の監視に関連する範囲の誤りのある経過を検出する。特に計算されるトルク又は例えば車両加速度が監視される。誤りが生じると、特にシステム反応の始動が行われる。安全モジュールＥ２が、まず監視モジュールＥ３により保護される機能計算機ＦＲのハードウエア範囲において実行される。
【００３６】
監視モジュールＥ３は、計算機監視面とも称されるＥＧＡＳ構想の面３を示す。監視モジュールＥ３は、特に監視計算機ＵＲとは独立した機能計算機ＦＲに構成される。監視計算機ＵＲは、例えば少なくとも１つの質問−回答方法によって、機能計算機ＦＲのプログラム指令の規則正しい処理を検査する。誤りが生じると、特にシステム反応の始動が機能計算機ＦＲに関係なく行われる。
【００３７】
監視計算機ＵＲは実質的に２つの互いに独立したモニタリング装置ＭＵ１，ＭＵ２を含んでいる。各モニタリング装置ＭＵ１，ＭＵ２に、安全モジュールＥ３の監視Ｋ１，Ｋ２のための適当なモニタリング素子ＭＥ１，ＭＥ２が構成される。
【００３８】
こうして例えば第１のモニタリング装置ＭＵ１が、第１のモニタリング素子ＭＥ１により、第１の監視Ｋ１として、安全モジュールＥ２にある第１のテストバスＴＰ１を介して、メモリテスト及びプログラム流れ監視を行う。
【００３９】
これに並行して監視Ｋ１とは無関係に、第２のモニタリング装置ＭＵ２が、第２のモニタリング素子ＭＥ２により、第２の監視Ｋ２として、監視モジュールＥ３にある第２のテストバスＴＰ２を介して、なるべく指令集合テスト及びＡ／Ｄ変換器テストを行う。第２の監視Ｋ２は、第１のモニタリング装置ＭＵ１においても、第１のモニタリング素子ＭＥ１により第１のテストバスＴＰ１を介して行うこともできる。
【００４０】
特に前記のプログラム流れ監視は、モニタリング装置ＭＵ１，ＭＵ２と機能計算機ＦＲとの間の質問−回答方法として行われる。適当な質問は、例えばモニタリング素子ＭＥ１，ＭＥ２に付属する質問発生器ＦＧにおいて発生される。両方の質問発生器ＦＧは同じに構成されているが、質問の選択は偶然に行われる。従ってモニタリング装置ＭＵ１による質問とモニタリング装置ＭＵ２による質問は、実際には常に異なっている。
【００４１】
監視Ｋ１，Ｋ２に誤りが生じると、有利なようにそれぞれ１つの誤りカウンタが高くセットされる。自由にプログラム可能な適当な誤り反応閾値を超過すると、特に監視モジュールＥ３により、機能モジュールＥ１に関係なくシステム反応が開始される。自由にプログラム可能な誤り反応閾値は、例えば安全に関連する最終段の遮断又は機能計算機ＦＲのリセットのように、種々のシステム反応のために異なっていてもよい。モニタリング装置ＭＵ１，ＭＵ２の１つがリセットを発生すると、状態機械ＳＭ１，ＳＭ２及び機能計算機ＦＲを含むシステム全体がリセットされる。しかしモニタリング装置ＭＵ１に誤りがある場合にのみリセットが開始され、モニタリング装置ＭＵ２に誤りがある場合安全に関連する最終段のみが遮断されるように、構成することもできる。
【００４２】
更に誤り反応としてのリセット指令の発生を、選択的に可能にするか又は阻止することができる。
【００４３】
監視計算機ＵＲの出力端は、有利なように相補的に構成されている。例えばチップ破壊又はいわゆるラッチアップ即ち半導体素子の低抵抗状態への移行により、例えばＡＳＩＣとして構成される監視計算機ＵＲが全故障する場合、監視計算機ＵＲのすべての出力端が同時に高レベル又は低レベルにあることを前提とする。この場合相補的な出力端は、図示しない外部回路と共に、システムの安全バス従ってシステムの安全に関連する最終段が遮断されるようにする。外部回路は、例えば抵抗及びトランジスタから成り、相補的な出力端の組合わせのみが安全に関連する最終段を使用可能にする。
【００４４】
図２は状態機械を示す。状態機械は僅かなハードウエア費用で有利に実現可能である。状態機械のこの実施例は、ソフトウエアとして構成される状態機械より速くかつ確実で故障が少ない。更にそれは操作可能でない。明細書の始めにおいて既に述べたように状態機械は、複数の状態、状態移行及び動作から成る行動モデルである。状態は過去についての情報を記憶する。この状態は、システム開始から現在の時点までの入力の変化を再現する。状態移行は状態機械の状態の変化を示し、移行を可能にするために満たされねばならない論理的条件によって記述される。動作は、特定の状況において行われる状態機械の出力である。状態機械は、ディジタル回路において、主として記憶プログラム可能な制御素子、論理ゲート、フリップフロップ又はリレーにより実現可能である。ハードウエアを実現するため、一般に状態変数を記憶するレジスタ、状態移行を選択する論理装置、及び出力の権限を持つ別の論理装置が使用される。各モニタリング素子ＭＥ１，ＭＥ２に、特に状態機械ＳＭ１、ＳＭ２が付属している。
【００４５】
制御装置の初期化の際又はリセット後、ＩＮＩＴ状態がとられる。ＩＮＩＴ状態においてモニタリング装置ＭＵ１，ＭＵ２が、機能モジュールＥ１により、監視計算機ＵＲと機能計算機ＦＲとの間の通信インタフェースを介して構成される。その際特に回答時間、回答タイムスロット、誤り反応閾値、特に遮断閾値ｔｈｒｅｓｈ及びリセット閾値ｒｅｓｅｔ ｔｈｒｅｓｈが規定される。
【００４６】
状態機械ＳＭ１，ＳＭ２の実行の際規定される回答時間は、大体において自由に構成可能であり、通常１ｍｓ〜２５５ｍｓの範囲にある。
【００４７】
特に回答タイムスロットも状態機械に規定され、一次的に１ｍｓ〜２５５ｍｓの範囲にある。回答時間と回答タイムスロットとの関係は特に自由に規定可能である。
【００４８】
更に誤りカウンタの初期値は、誤りカウンタがＩＮＩＴ状態において遮断されたままであるのを確実にするため、自動的に遮断閾値ｔｈｒｅｓｈより上に設定される。動作ＥＯＩ（初期状態の終了）により、モニタリング素子ＭＥ１，ＭＥ２の構成が終了され、もはや変化不可能である。それにより状態ＳＯＰＣＤＩＳ（遮断バステスト不能）への状態移行が行われ、ここでＳＯＰＣは遮断バステストであり、誤りが生じる時、機能計算機又は監視計算機が例えば安全に関する出力最終段を正しく遮断できることを、遮断バステストは保証することができる。この状態で出力最終段はまだ解放されていない。
【００４９】
遮断バステストの際、状態機械において状態ＳＯＰＣＤＩＳ及びＳＯＰＣＥＮＡがとられる。第１段階で最終段が遮断され、第２段階で使用可能にされる。この解決策の利点は、遮断バステスト中に回答タイムスロットを考慮することなくできるだけ速く、回答を送ることができることである。それによりシステム立上がり時間を短く保つことができる。
【００５０】
状態ＳＯＰＣＤＩＳへ達することにより、特にＳＯＰＣタイマが始動されて、指令ＥＯＳＯＰＣ（ＳＯＰＣの終了）まで時間を測定する。テストが長く続きすぎると、テストは中断され、状態ＳＯＰＣＤＩＳが動作ＳＯＰＣ ｔｉｍｅｏｕｔを経て状態ＲＥＳＥＴへ移行する。
【００５１】
状態ＳＯＰＣＤＩＳにおいて、テストのできるだけ速い経過を保証するため、監視計算機ＵＲと機能計算機ＦＲとの間の質問−回答動作サイクルが、なるべく時間制限なしに始まる。即ち回答タイムスロットが空いている。誤った回答の場合、誤りカウンタが高められる。誤りカウンタが遮断閾値ｔｈｒｅｓｈより下にあると、条件ＥＣ＜ｄｉｓａｂｌｅｔｈｒｅｓｈにより，状態ＳＯＰＣＥＮＡ（遮断バステスト可能）への移行が特に直ちに行われる。それにより出力最終段が解放される。
【００５２】
状態ＳＯＰＣＤＩＳから状態ＤＩＳＡＢＬＥへの移行は、機能計算機ＦＲと監視計算機ＵＲとの間の通信インタフェースにより始動される条件ＥＯＳＯＰＣ（遮断バステストの終了）を介して行われる。状態ＳＯＰＣＤＩＳにおいて規定されるように、出力最終段は阻止又は遮断されたままである。ただ１つの条件は、条件ＳＯＰＣ ｔｉｍｅｏｕｔの経過前の正しい指令である。
【００５３】
特に状態ＳＯＰＣＤＩＳから始まって状態ＳＯＰＣＥＮＡへ達すると、ＳＯＰＣタイマが有利なように更に動作する。監視計算機ＵＲと機能計算機ＦＲとの間の質問−回答動作サイクルも同様に時間的制限なしに続行される。誤りカウンタが遮断閾値ｔｈｒｅｓｈに達するか又はこれを超過すると、特に条件ＥＣ≧ｄｉｓａｂｌｅ ｔｈｒｅｓｈにより状態ＳＯＰＣＤＩＳへ戻る移行が行われる。
【００５４】
遮断バステストが長く続きすぎると、このテストが中断され、状態ＳＯＰＣＥＮＡが条件ＳＯＰＣ ｔｉｍｅｏｕｔを経て状態ＲＥＳＥＴへ移行される。それに続く状態ＲＥＳＥＴから状態ＩＮＩＴへの移行は自動的に行われる。
【００５５】
状態ＳＯＰＣＥＮＡから状態ＮＯＲＭＡＬへの移行は、通信インタフェースにより再び開始される条件ＥＯＳＯＰＣを経て行われる。
【００５６】
出力最終段が既に前の状態で既に解放されていない限り、状態ＮＯＲＭＡＬにおいて出力最終段が解放される。この状態で監視計算機ＵＲと機能計算機ＦＲとの間の質問−回答動作サイクルが続行され、その際誤りカウンタの計数が前の状態から引継がれる。遮断バステストの状態ＣＯＰＣＥＮＡ及びＳＯＰＣＤＩＳとは異なり、この場合回答時間及び回答タイムスロットに関して時間的制限があるのがよい。機能計算機の作動システムの実行時間監視を保証するために、回答は早すぎても遅すぎてもいけない。回答時間は、回答を送信するためのできるだけ遅い時点である。第２としていわゆる“クローズトウインドウ”が構成される。この範囲において回答が送信されてはならない。回答時間と“クローズトウインドウ”との差は“オープンウインドウ”又は回答タイムスロットを生じる。
【００５７】
回答時間及び回答タイムスロットはまず状態ＩＮＩＴにおいてプログラムされている。誤りカウンタは、有利なように誤った回答の際にも回答時間又は回答タイムスロットを超過する際にも高められる。遮断閾値ｔｈｒｅｓｈに達するか又はこれを超過すると、条件ＥＣ≧ｄｉｓａｂｌｅ ｔｈｒｅｓｈにより状態ＤＩＳＡＢＬＥへの移行が行われる。
【００５８】
状態ＤＩＳＡＢＬＥにおいて出力最終段が遮断される。この状態で、監視計算機ＵＲと機能計算機ＦＲとの間の質問−回答動作サイクルが不変な計数状態で続行される。この場合も、回答時間及び回答タイムスロットに関して時間的制限がある。誤った回答の際にも回答時間又は回答タイムスロットを超過する際にも、誤りカウンタが高められる。閾値ｔｈｒｅｓｈを下回ると、条件ＥＣ＜ｄｉｓａｂｌｅ ｔｈｒｅｓｈにより状態ＮＯＲＭＡＬへ戻る移行が行われる。状態ＮＯＲＭＡＬにおいて最終段が再び使用可能にされる。
【００５９】
状態ＤＩＳＡＢＬＥにおいて誤りカウンタがリセット閾値ｒｅｓｅｔ ｔｈｒｅｓｈに達して、リセット使用可能用のレジスタが予め設定された値１を持つと、条件ＥＣ≧ｒｅｓｅｔ ｔｈｒｅｓｈ ＡＮＤ ｉ＿ｒｅｑ＿ｒｓｔ＿ｅｎ＝１により状態ＲＥＳＥＴへの移行が行われる。続いて状態ＲＥＳＥＴから状態ＩＮＩＴへの移行が再び自動的に行われる。
【００６０】
状態機械において全過程を一層速く形成するために、状態機械において状態ＳＯＰＣＥＮＡを抜かすことができる。その場合一層速い遮断バステストが行われない。
【００６１】
両方の状態機械が首尾よく運転されている場合、ＮＯＲＭＡＬ状態にある両方のモニタリング装置は、それぞれのモニタリング素子により、計算素子の監視を引受ける。
【００６２】
要約すれば、自動車の制御装置にある計算素子を監視するための本発明による監視構想が、公知の監視構想に比べて、速さ、プログラム費用及び確実さに関して改善を示していると結論することができる。
【特許請求の範囲】
【請求項１】
自動車の制御装置にある計算素子を監視する方法であって、計算素子が実質的に３つのプログラムモジュールを含み、これらのプログラムモジュールにより自動車の走行挙動が影響され、計算素子が、プログラムモジュールにより、少なくとも１つの入力量に関係して、自動車の少なくとも１つの機能を制御する少なくとも１つの量を発生し、
第１のプログラムモジュールが自動車の機能を制御する機能モジュール（Ｅ１）であり、
第２のプログラムモジュールが機能モジュール（Ｅ１）を検査する安全モジュール（Ｅ２）であり、
第３のプログラムモジュールが安全モジュール（Ｅ２）を少なくとも検査する監視モジュール（Ｅ３）である
ものにおいて、
監視モジュール（Ｅ３）が互いに独立して２つのモニタリング素子（ＭＥ１，ＭＥ２）を含み、制御装置の投入により計算素子において、付属するモニタリング装置（ＭＵ１，ＭＵ２）を構成するそれぞれ１つの状態機械（ＳＭ１，ＳＭ２）が運転され、両方の状態機械（ＳＭ１，ＳＭ２）が首尾よく運転されていると、モニタリング装置（ＭＵ１，ＭＵ２）が、それぞれのモニタリング素子（ＭＥ１，ＭＥ２）により監視機能を引受ける
事を特徴とする方法。
【請求項２】
第１のモニタリング装置（ＭＵ１）が、第１のモニタリング素子（ＭＥ１）により、安全モジュール（Ｅ２）における第１の監視（Ｋ１）を行い、第２のモニタリング装置（ＭＵ２）が、第２のモニタリング素子（ＭＥ２）により、テストバス（ＴＰ１，ＴＰ２）にある監視モジュール（Ｅ３）における第２の監視（Ｋ２）を行うことを特徴とする、請求項２に記載の方法。
【請求項３】
第１のモニタリング装置（ＭＵ１）が、安全モジュール（Ｅ２）における第１の監視（Ｋ１）として、メモリテスト及びプログラム流れ監視を行うことを特徴とする、請求項１又は２に記載の方法。
【請求項４】
第２のモニタリング装置（ＭＵ２）が、監視モジュール（Ｅ３）における第２の監視として、指令集合テスト及びＡ−Ｄ変換器テストを行うことを特徴とする、請求項１又は２に記載の方法。
【請求項５】
監視（Ｋ１，Ｋ２）に誤りが生じると、誤りカウンタが操作され、監視モジュール（Ｅ３）が自由にプログラム可能な誤り反応閾値（ｔｈｒｅｓｈ，ｒｅｓｅｔ ｔｈｒｅｓｈ）を超過すると、システム反応が機能モジュール（Ｅ１）とは無関係に始動されることを特徴とする、先行する請求項の１つに記載の方法。
【請求項６】
制御装置の初期化の際、計算素子において適当なモニタリング装置（ＭＵ１，ＭＵ２）を構成すると、他のパラメータのほかに、応答時間、応答タイムスロット、遮断閾値（ｔｈｒｅｓｈ）及びリセット閾値（ｒｅｓｅｔ ｔｈｒｅｓｈ）が規定され、パラメータがモニタリング装置（ＭＵ１，ＭＵ２）毎に互いに相違していてもよいことを特徴とする、先行する請求項の１つに記載の方法。
【請求項７】
両方のモニタリング装置（ＭＵ１，ＭＵ２）が同じに構成されることを特徴とする、先行する請求項の１つに記載の方法。
【請求項８】
付属する状態機械（ＳＭ１，ＳＭ２）における適当なモニタリング装置（ＭＵ１，ＭＵ２）の構成が１つの適当なＩＮＩＴ状態においてのみ可能であることを特徴とする、先行する請求項の１つに記載の方法。
【請求項９】
状態機械（ＳＭ１，ＳＭ２）において所定の状態移行のみが許され、ＩＮＩＴへの戻りがリセットによってのみ行われることを特徴とする、先行する請求項の１つに記載の方法。
【請求項１０】
誤り係数が非対称に行われることを特徴とする、先行する請求項の１つに記載の方法。
【請求項１１】
請求項１に記載の方法を実施する計算素子であって、計算素子が実質的に３つのプログラムモジュールを含み、これらのプログラムモジュールにより自動車の走行挙動が影響され、プログラムモジュールにより計算素子が、少なくとも１つの入力量に関係して、自動車の少なくとも１つの機能を制御する少なくとも１つの量を発生し、
第１のプログラムモジュールが自動車の機能を制御する機能モジュール（Ｅ１）であり、
第２のプログラムモジュールが機能モジュール（Ｅ１）を検査する安全モジュール（Ｅ２）であり、
第３のプログラムモジュールが安全モジュール（Ｅ２）を検査する監視モジュール（Ｅ３）であるものにおいて、
監視モジュール（Ｅ３）が付属するモニタリング装置（ＭＵ１，ＭＵ２）を構成する２つの独立したモニタリング素子（ＭＥ１，ＭＥ２）を含んでいる
ことを特徴とする、計算素子。
【請求項１２】
請求項１１に記載の計算素子を持つプロセッサであって、プロセッサが実質的に機能計算機（ＦＲ）及び監視計算機（ＵＲ）を含み、機能モジュール（Ｅ１）、安全モジュール（Ｅ２）及び監視モジュール（Ｅ３）が機能計算機（ＦＲ）上に構成され、監視計算機（ＵＲ）が、インタフェースを介して質問−回答方法により機能計算機（ＦＲ）と通信するものにおいて、機能計算機（ＦＲ）と監視計算機（ＵＲ）が物理的に互いに独立しており、監視計算機（ＵＲ）が互いに無関係な２つのモニタリング装置（ＭＵ１，ＭＵ２）を含み、各モニタリング装置（ＭＵ１，ＭＵ２）により、機能計算機（ＦＲ）のプログラム指令の規則正しい処理を監視するためのそれぞれ１つの監視（Ｋ１，Ｋ２）が、機能計算機（ＦＲ）において実行可能であることを特徴とする、プロセッサ。
【請求項１３】
請求項１２に記載の監視計算機（ＵＲ）であって、監視計算機（ＵＲ）が互いに独立した２つのモニタリング装置（ＭＵ１，ＭＵ２）を含み、各モニタリング装置（ＭＵ１，ＭＵ２）により、機能計算機（ＦＲ）のプログラム指令の規則正しい処理を監視するためのそれぞれ１つの監視（Ｋ１，Ｋ２）が、機能計算機（ＦＲ）において実行されることを特徴とする、監視計算機。
【請求項１】
自動車の制御装置にある計算素子を監視する方法であって、計算素子が実質的に３つのプログラムモジュールを含み、これらのプログラムモジュールにより自動車の走行挙動が影響され、計算素子が、プログラムモジュールにより、少なくとも１つの入力量に関係して、自動車の少なくとも１つの機能を制御する少なくとも１つの量を発生し、
第１のプログラムモジュールが自動車の機能を制御する機能モジュール（Ｅ１）であり、
第２のプログラムモジュールが機能モジュール（Ｅ１）を検査する安全モジュール（Ｅ２）であり、
第３のプログラムモジュールが安全モジュール（Ｅ２）を少なくとも検査する監視モジュール（Ｅ３）である
ものにおいて、
監視モジュール（Ｅ３）が互いに独立して２つのモニタリング素子（ＭＥ１，ＭＥ２）を含み、制御装置の投入により計算素子において、付属するモニタリング装置（ＭＵ１，ＭＵ２）を構成するそれぞれ１つの状態機械（ＳＭ１，ＳＭ２）が運転され、両方の状態機械（ＳＭ１，ＳＭ２）が首尾よく運転されていると、モニタリング装置（ＭＵ１，ＭＵ２）が、それぞれのモニタリング素子（ＭＥ１，ＭＥ２）により監視機能を引受ける
事を特徴とする方法。
【請求項２】
第１のモニタリング装置（ＭＵ１）が、第１のモニタリング素子（ＭＥ１）により、安全モジュール（Ｅ２）における第１の監視（Ｋ１）を行い、第２のモニタリング装置（ＭＵ２）が、第２のモニタリング素子（ＭＥ２）により、テストバス（ＴＰ１，ＴＰ２）にある監視モジュール（Ｅ３）における第２の監視（Ｋ２）を行うことを特徴とする、請求項２に記載の方法。
【請求項３】
第１のモニタリング装置（ＭＵ１）が、安全モジュール（Ｅ２）における第１の監視（Ｋ１）として、メモリテスト及びプログラム流れ監視を行うことを特徴とする、請求項１又は２に記載の方法。
【請求項４】
第２のモニタリング装置（ＭＵ２）が、監視モジュール（Ｅ３）における第２の監視として、指令集合テスト及びＡ−Ｄ変換器テストを行うことを特徴とする、請求項１又は２に記載の方法。
【請求項５】
監視（Ｋ１，Ｋ２）に誤りが生じると、誤りカウンタが操作され、監視モジュール（Ｅ３）が自由にプログラム可能な誤り反応閾値（ｔｈｒｅｓｈ，ｒｅｓｅｔ ｔｈｒｅｓｈ）を超過すると、システム反応が機能モジュール（Ｅ１）とは無関係に始動されることを特徴とする、先行する請求項の１つに記載の方法。
【請求項６】
制御装置の初期化の際、計算素子において適当なモニタリング装置（ＭＵ１，ＭＵ２）を構成すると、他のパラメータのほかに、応答時間、応答タイムスロット、遮断閾値（ｔｈｒｅｓｈ）及びリセット閾値（ｒｅｓｅｔ ｔｈｒｅｓｈ）が規定され、パラメータがモニタリング装置（ＭＵ１，ＭＵ２）毎に互いに相違していてもよいことを特徴とする、先行する請求項の１つに記載の方法。
【請求項７】
両方のモニタリング装置（ＭＵ１，ＭＵ２）が同じに構成されることを特徴とする、先行する請求項の１つに記載の方法。
【請求項８】
付属する状態機械（ＳＭ１，ＳＭ２）における適当なモニタリング装置（ＭＵ１，ＭＵ２）の構成が１つの適当なＩＮＩＴ状態においてのみ可能であることを特徴とする、先行する請求項の１つに記載の方法。
【請求項９】
状態機械（ＳＭ１，ＳＭ２）において所定の状態移行のみが許され、ＩＮＩＴへの戻りがリセットによってのみ行われることを特徴とする、先行する請求項の１つに記載の方法。
【請求項１０】
誤り係数が非対称に行われることを特徴とする、先行する請求項の１つに記載の方法。
【請求項１１】
請求項１に記載の方法を実施する計算素子であって、計算素子が実質的に３つのプログラムモジュールを含み、これらのプログラムモジュールにより自動車の走行挙動が影響され、プログラムモジュールにより計算素子が、少なくとも１つの入力量に関係して、自動車の少なくとも１つの機能を制御する少なくとも１つの量を発生し、
第１のプログラムモジュールが自動車の機能を制御する機能モジュール（Ｅ１）であり、
第２のプログラムモジュールが機能モジュール（Ｅ１）を検査する安全モジュール（Ｅ２）であり、
第３のプログラムモジュールが安全モジュール（Ｅ２）を検査する監視モジュール（Ｅ３）であるものにおいて、
監視モジュール（Ｅ３）が付属するモニタリング装置（ＭＵ１，ＭＵ２）を構成する２つの独立したモニタリング素子（ＭＥ１，ＭＥ２）を含んでいる
ことを特徴とする、計算素子。
【請求項１２】
請求項１１に記載の計算素子を持つプロセッサであって、プロセッサが実質的に機能計算機（ＦＲ）及び監視計算機（ＵＲ）を含み、機能モジュール（Ｅ１）、安全モジュール（Ｅ２）及び監視モジュール（Ｅ３）が機能計算機（ＦＲ）上に構成され、監視計算機（ＵＲ）が、インタフェースを介して質問−回答方法により機能計算機（ＦＲ）と通信するものにおいて、機能計算機（ＦＲ）と監視計算機（ＵＲ）が物理的に互いに独立しており、監視計算機（ＵＲ）が互いに無関係な２つのモニタリング装置（ＭＵ１，ＭＵ２）を含み、各モニタリング装置（ＭＵ１，ＭＵ２）により、機能計算機（ＦＲ）のプログラム指令の規則正しい処理を監視するためのそれぞれ１つの監視（Ｋ１，Ｋ２）が、機能計算機（ＦＲ）において実行可能であることを特徴とする、プロセッサ。
【請求項１３】
請求項１２に記載の監視計算機（ＵＲ）であって、監視計算機（ＵＲ）が互いに独立した２つのモニタリング装置（ＭＵ１，ＭＵ２）を含み、各モニタリング装置（ＭＵ１，ＭＵ２）により、機能計算機（ＦＲ）のプログラム指令の規則正しい処理を監視するためのそれぞれ１つの監視（Ｋ１，Ｋ２）が、機能計算機（ＦＲ）において実行されることを特徴とする、監視計算機。
【図１】
【図２】
【図２】
【公表番号】特表２０１３−５１４４９７（Ｐ２０１３−５１４４９７Ａ）
【公表日】平成２５年４月２５日（２０１３．４．２５）
【国際特許分類】
【出願番号】特願２０１２−５４６３５９（Ｐ２０１２−５４６３５９）
【出願日】平成２２年１２月２０日（２０１０．１２．２０）
【国際出願番号】ＰＣＴ／ＤＥ２０１０／００１４９０
【国際公開番号】ＷＯ２０１１／０７２６６１
【国際公開日】平成２３年６月２３日（２０１１．６．２３）
【出願人】（５０３３５５２９２）コンティ テミック マイクロエレクトロニック ゲゼルシャフト ミット ベシュレンクテル ハフツング (79)
【氏名又は名称原語表記】Ｃｏｎｔｉ Ｔｅｍｉｃ ｍｉｃｒｏｅｌｅｃｔｒｏｎｉｃ ＧｍｂＨ
【住所又は居所原語表記】Ｓｉｅｂｏｌｄｓｔｒａｓｓｅ １９， Ｄ−９０４１１ Ｎｕｅｒｎｂｅｒｇ， Ｇｅｒｍａｎｙ
【Ｆターム（参考）】
【公表日】平成２５年４月２５日（２０１３．４．２５）
【国際特許分類】
【出願日】平成２２年１２月２０日（２０１０．１２．２０）
【国際出願番号】ＰＣＴ／ＤＥ２０１０／００１４９０
【国際公開番号】ＷＯ２０１１／０７２６６１
【国際公開日】平成２３年６月２３日（２０１１．６．２３）
【出願人】（５０３３５５２９２）コンティ テミック マイクロエレクトロニック ゲゼルシャフト ミット ベシュレンクテル ハフツング (79)
【氏名又は名称原語表記】Ｃｏｎｔｉ Ｔｅｍｉｃ ｍｉｃｒｏｅｌｅｃｔｒｏｎｉｃ ＧｍｂＨ
【住所又は居所原語表記】Ｓｉｅｂｏｌｄｓｔｒａｓｓｅ １９， Ｄ−９０４１１ Ｎｕｅｒｎｂｅｒｇ， Ｇｅｒｍａｎｙ
【Ｆターム（参考）】
[ Back to top ]