DE10220812A1 - Method and device for monitoring the functioning of a system - Google Patents

Abstract

Die Erfindung betrifft ein Verfahren zur Überwachung der Funktionsweise eines Systems (1), in dem Eingangssignale, Ausgangssignale (7) und Funktionen des Systems (1) überprüft werden. Das System (1) weist untergeordnete Subsysteme auf oder ist Bestandteil eines übergeordneten Systems. Das System (1) weist hardwaremäßig realisierte Komponenten, umfassend Sensoren (3), Aktoren (8) und/oder Funktionsrechner, auf. Die Erfindung schlägt eine besonders flexible und auf verschiedene zu überwachende Systeme übertragbare Struktur für das Überwachungsverfahren vor, wobei das erfindungsgemäße Überwachungsverfahren DOLLAR A - in mehrere in den einzelnen Funktionen des Systems (1) vorgesehene dezentrale Überwachungsfunktionen (ÜF) zur Überwachung der Funktionsweise der einzelnen Funktionen (F_ij) und DOLLAR A - in mindestens eine übergeordnete funktionsübergreifende Überwachungsinstanz (ÜÜI) zur Koordination der Überwachungsfunktionen (ÜF) DOLLAR A strukturiert ist.The invention relates to a method for monitoring the functioning of a system (1), in which input signals, output signals (7) and functions of the system (1) are checked. The system (1) has subordinate subsystems or is part of a superordinate system. The system (1) has hardware-implemented components, including sensors (3), actuators (8) and / or function computers. The invention proposes a structure for the monitoring method that is particularly flexible and that can be transferred to different systems to be monitored, the monitoring method DOLLAR A according to the invention comprising a plurality of decentralized monitoring functions (ÜF) provided in the individual functions of the system (1) for monitoring the functioning of the individual functions (F_ij) and DOLLAR A - is structured into at least one higher-level cross-functional monitoring body (ÜÜI) for coordinating the monitoring functions (ÜF) DOLLAR A.

Description

Stand der TechnikState of the art

Die vorliegende Erfindung betrifft ein Verfahren zur Überwachung der Funktionsweise eines Systems, indem Eingangssignale, Ausgangssignale und Funktionen des Systems überprüft werden. Das System weist untergeordnete Subsysteme auf oder ist Bestandteil eines übergeordneten Systems. Das System weist hardwaremäßig realisierte Komponenten umfassend Sensoren, Aktoren und/oder Funktionsrechner auf. The present invention relates to a method for Monitoring the functioning of a system by Input signals, output signals and functions of the system be checked. The system has subordinate ones Subsystems on or is part of a parent System. The system has hardware implemented Components comprising sensors, actuators and / or Function calculator on.

Die Erfindung betrifft außerdem ein Speicherelement für eine Vorrichtung zur Überwachung der Funktionsweise eines Systems. Auf dem Speicherelement ist ein Computerprogramm abgespeichert, das auf einem Rechengerät, insbesondere auf einem Mikroprozessor, ablauffähig ist. Das Speicherelement ist bspw. als ein Read-Only-Memory, als ein Random-Access- Memory oder als ein Flash-Memory ausgebildet. The invention also relates to a storage element for a device for monitoring the operation of a System. There is a computer program on the storage element stored on a computing device, in particular on a microprocessor that is executable. The storage element is, for example, as a read-only memory, as a random access Memory or designed as a flash memory.

Die vorliegende Erfindung betrifft des Weiteren ein Computerprogramm, das auf einem Rechengerät, insbesondere auf einem Mikroprozessor ablauffähig ist. The present invention further relates to a Computer program running on a computing device, in particular is executable on a microprocessor.

Schließlich betrifft die Erfindung auch eine Vorrichtung zur Überwachung der Funktionsweise eines Systems, das untergeordnete Subsysteme aufweist oder Bestandteil eines übergeordneten Systems ist. Das System weist hardwaremäßig realisierte Komponenten umfassend Sensoren, Aktoren und/oder Funktionsrechner auf. Die Vorrichtung weist Mittel zum Überprüfen von Eingangssignalen, Ausgangssignalen und Funktionen des Systems auf. Finally, the invention also relates to a device to monitor the functioning of a system that subordinate subsystems or part of a parent system is. The system has hardware realized components including sensors, actuators and / or functional computer. The device has means for checking input signals, output signals and Functions of the system.

Ein System im Sinne der vorliegenden Erfindung ist bspw. ein beliebiges Kraftfahrzeugsteuergerät, dessen bestimmungsgemäße Funktion es ist, eine oder mehrere Funktionen in dem Kraftfahrzeug zu steuern und/oder zu regeln. Die Funktionsweise des Steuergeräts kann anhand von Eingangssignalen (von Sensoren oder anderen Steuergeräten), Ausgangssignalen (für Aktoren oder andere Steuergeräte) und den Funktionen des Steuergeräts überprüft werden. Das Steuergerät kann untergeordnete Subsysteme, bspw. in Form von weiteren Steuergeräten, die einzelne Subfunktionen des Kraftfahrzeugs steuern und/oder regeln, aufweisen. Ein Beispiel für ein System mit untergeordneten Subsystemen ist eine elektrische Bremsanlage eines Kraftfahrzeugs. Ein übergeordnetes Steuergerät bestimmt, wie eine vorgebbare Bremskraft auf die einzelnen Bremszylinder der Räder verteilt wird. Untergeordnete Steuergeräte, die bspw. den Bremszylindern eines Rades zugeordnet sind, steuern bzw. regeln die Ansteuerung der Bremszylinder. A system in the sense of the present invention is, for example. any motor vehicle control unit, the Intended function is one or more Control and / or control functions in the motor vehicle regulate. The operation of the control unit can be based on Input signals (from sensors or other control units), Output signals (for actuators or other control units) and the functions of the control unit are checked. The Control unit can subordinate subsystems, for example in the form of further control units, the individual subfunctions of the Control and / or regulate motor vehicle. On An example of a system with subordinate subsystems is an electric brake system of a motor vehicle. On higher-level control unit determines how a predeterminable Braking force on the individual brake cylinders of the wheels is distributed. Subordinate control units, for example the Brake cylinders are assigned to a wheel, control or regulate the control of the brake cylinders.

Zur Gewährleistung einer korrekten Funktionsweise eines Systems ist es aus dem Stand der Technik bekannt, auf die Überwachung von Eingangssignalen, Ausgangssignalen und Funktionen des Systems zurückzugreifen. Aus der DE 41 14 999 A1 ist ein Verfahren zur Überwachung der Funktionsweise eines Kraftsteuergeräts bekannt. In einem Mikrorechner des Steuergeräts wird die bestimmungsgemäße Funktion des Steuergeräts ausgeführt. Parallel dazu wird in einer Überwachungseinrichtung die gleiche bestimmungsgemäße Funktion zumindest teilweise ausgeführt. Die Ausgangssignale des Mikrorechners und der Überwachungseinrichtung werden miteinander verglichen und in Abhängigkeit von dem Ergebnis des Vergleichs festgestellt, ob das Steuergerät korrekt funktioniert oder nicht. Bei einer detektierten fehlerhaften Funktionsweise des Steuergeräts werden entsprechende Ersatzmaßnahmen ausgeführt. Das in dieser Druckschrift vorgeschlagene Überwachungsverfahren ist stark an der Hardware des zu überwachenden Systems orientiert und sehr unflexibel. Soll das vorgeschlagene Überwachungsverfahren bspw. in einem anderen Steuergerät mit einer anderen bestimmungsgemäßen Funktion ausgeführt werden, muss auch das in der Überwachungseinrichtung ablaufende Überwachungsverfahren komplett überarbeitet werden und an die geänderte Funktion des anderen Steuergeräts angepasst werden. To ensure that a Systems is known from the prior art to which Monitoring of input signals, output signals and System functions. From DE 41 14 999 A1 is a procedure for monitoring the functioning a force control device known. In a microcomputer of the Control unit is the intended function of the Control unit executed. In parallel, in one Monitoring device the same intended Function at least partially carried out. The Output signals of the microcomputer and the Monitoring device are compared and depending on the result of the comparison determined whether the control unit works correctly or Not. If a faulty functioning is detected the control unit will take appropriate replacement measures executed. What is proposed in this publication Monitoring process is strong on the hardware of the monitoring system and very inflexible. Should the proposed monitoring procedure, for example in a another control unit with another intended Function must also be carried out in the Monitoring device ongoing monitoring procedures to be completely revised and to the changed function of the other control unit.

Aus der DE 44 38 714 A1 ist ein Verfahren zur Überwachung der Funktionsweise eines Steuergeräts bekannt. Ein Mikrorechner des Steuergeräts ist unterteilt in eine Funktionsebene, eine Überwachungsebene und eine Kontrollebene. In der Funktionsebene wird die bestimmungsgemäße Funktion des Steuergeräts ausgeführt. In der Überwachungsebene wird die ausgeführte Funktion bspw. mittels eines Schwellenvergleichs oder einer Plausibilitätsprüfung überprüft. In der Überwachungsebene wird also nicht die gesamte bestimmungsgemäße Funktion des Steuergeräts ausgeführt, sondern es werden lediglich Überwachungsfunktionen ausgeführt. Um dennoch mit ausreichender Zuverlässigkeit eine fehlerhafte Funktionsweise des Systems detektieren zu können, ist die zusätzliche Kontrollebene vorgesehen, in der eine Überprüfung der hardwaremäßig realisierten Komponenten (z. B. der Speicherelemente) des Systems getestet und mittels einer Frage-Antwort-Kommunikation eine korrekte Funktionsweise des Mikrorechners überprüft werden kann. Auch bei dem in dieser Druckschrift vorgeschlagenen Überwachungsverfahren ist es von Nachteil, dass die Struktur des Verfahrens an der Hardware des zu überwachenden Systems orientiert und sehr unflexibel ist. Um das Überwachungsverfahren auf ein anderes Steuergerät mit einer anderen bestimmungsgemäßen Funktion übertragen zu können, muss es erst komplett überarbeitet und an die neuen Hardware- und Softwarebedingungen angepasst werden. Das ist jedoch aufwendig und teuer. DE 44 38 714 A1 describes a method for monitoring the operation of a control unit known. On The microcomputer of the control unit is divided into one Functional level, a monitoring level and a Control plane. In the functional level the intended function of the control unit. In the monitoring level, the executed function is e.g. by means of a threshold comparison or an Plausibility check checked. At the surveillance level not the entire intended function of the Control unit executed, but it will only Monitoring functions carried out. To still with sufficient reliability a faulty To be able to detect how the system works is additional control level is provided in which one Checking the hardware implemented components (e.g. the memory elements) of the system and tested correct by means of question-answer communication Functioning of the microcomputer can be checked. Even with the one proposed in this publication Surveillance procedures, it is disadvantageous that the Structure of the process on the hardware of the monitoring system and is very inflexible. To change the monitoring procedure to another control unit with another intended function , it must first be completely revised and adapted to the new ones Hardware and software conditions are adjusted. This is however complex and expensive.

Der vorliegenden Erfindung liegt deshalb die Aufgabe zugrunde, ein allgemein gültiges Konzept zur Überwachung und Diagnose von Systemen zu schaffen, das ohne großen Aufwand auch auf andere Systeme übertragbar ist. The present invention is therefore based on the object based on a generally applicable surveillance concept and diagnose systems that do not require much Effort can also be transferred to other systems.

Zur Lösung dieser Aufgabe schlägt die vorliegende Erfindung ausgehend von dem Überwachungsverfahren der eingangs genannten Art vor, dass das Überwachungsverfahren

• - in mehrere in den einzelnen Funktionen des Systems vorgesehene dezentrale Überwachungsfunktionen zur Überwachung der Funktionsweise der einzelnen Funktionen und
• - in mindestens eine übergeordnete funktionsübergreifende Überwachungsinstanz zur Koordination der Überwachungsfunktionen

strukturiert ist. To achieve this object, the present invention, based on the monitoring method of the type mentioned at the beginning, proposes that the monitoring method

• - In several decentralized monitoring functions provided in the individual functions of the system for monitoring the functioning of the individual functions and
• - In at least one higher-level cross-functional monitoring entity for coordinating the monitoring functions

is structured.

Vorteile der ErfindungAdvantages of the invention

Jedes System im Sinne der vorliegenden Erfindung lässt sich durch die darin enthaltenen Funktionen vollständig beschreiben. Bei den einzelnen Funktionen wird nicht zwischen der Art der Realisierung (Hardware oder Software) unterschieden. Jeder zu überwachenden Funktion des Systems ist erfindungsgemäß eine Überwachungsfunktion zur Überwachung der Funktionsweise dieser Funktion zugeordnet. Zur Koordination der einzelnen Überwachungsfunktionen ist mindestens eine übergeordnete funktionsübergreifende Überwachungsinstanz vorgesehen. Die vorliegende Erfindung betrifft also eine besonders vorteilhafte horizontale Strukturierung des Überwachungsverfahrens für das zu überwachende System. Any system in the sense of the present invention can be through the functions it contains describe. The individual functions will not between the type of implementation (hardware or software) distinguished. Every function of the system to be monitored is a monitoring function according to the invention Monitoring the functioning of this function assigned. To coordinate the individual monitoring functions at least one parent cross-functional Supervisor provided. The present invention therefore relates to a particularly advantageous horizontal Structuring the monitoring process for the monitoring system.

Als eine Funktion im Sinne der vorliegenden Erfindung wird eine Betrachtungseinheit mit mindestens einem Eingang und einem Ausgang bezeichnet. Jeder Eingangszustand der Funktion kann eindeutig einem Ausgangszustand zugeordnet werden. Die Funktion kann als Hardwareschaltung oder als Softwarekonstrukt realisiert sein. As a function in the sense of the present invention a viewing unit with at least one entrance and called an exit. Every input state of Function can be clearly assigned to an initial state become. The function can be used as a hardware circuit or as Software construct.

Gemäß einer vorteilhaften Weiterbildung der vorliegenden Erfindung wird vorgeschlagen, dass die Überwachungsfunktionen in hierarchischen Strukturen geordnet sind. Jede Funktion stellt die Zuverlässigkeit der von ihr verwendeten Eingangssignale eigenständig sicher. Dadurch kann die Funktion - in Abhängigkeit davon, welcher hierarchischen Schicht sie zugeordnet ist - entweder nur auf die von ihr verwendeten Eingangssignale und eventuell auf Statusinformationen von vorgelagerten Funktionen zugreifen oder aber auch zusätzliche Informationen von übergeordneten Überwachungsschichten berücksichtigen. Gemäß dieser Weiterbildung wird also eine vertikale Strukturierung des Überwachungsverfahrens für das zu überwachende System vorgeschlagen. According to an advantageous development of the present Invention is proposed that the Monitoring functions in hierarchical structures are ordered. Each function represents the reliability of the input signals used by you independently safe. This allows the function - depending on which hierarchical layer it is assigned - either only on the input signals it uses and possibly on status information from upstream functions access or additional information from take into account superordinate surveillance layers. According to So this training becomes vertical Structuring the monitoring process for the monitoring system proposed.

Gemäß einer bevorzugten Ausführungsform der vorliegenden Erfindung wird vorgeschlagen, dass eine übergeordnete Überwachungsfunktion bei einer untergeordneten Überwachungsfunktion den Status der Eingangssignale abfragt. According to a preferred embodiment of the present Invention is proposed to be a parent Monitoring function at a subordinate Monitoring function the status of the input signals queries.

Vorteilhafterweise werden im Falle einer fehlerhaften Funktionsweise des Systems Ersatzmaßnahmen ergriffen, wobei die Ersatzmaßnahmen für die jeweilige fehlerhafte Funktion frei konfigurierbar sind. Die Ersatzmaßnahmen können anstelle oder ergänzend zu der bestimmungsgemäßen Funktion der überwachten Funktion ausgeführt werden, sobald ein Fehler erkannt wird. Über eine Tabelle kann abhängig von der detektierten Fehlerart eine bestimmte Ersatzmaßnahme ausgewählt und dann aktiviert werden. Ersatzmaßnahmen, die aufgrund eines im Rahmen einer hochprioren Funktion detektierten Fehlers ausgelöst werden, werden noch vor einer Diagnose des Fehlers und einem Fehlereintrag angestoßen. Advantageously, in the case of a faulty Functioning of the system taken replacement measures, whereby the replacement measures for the respective faulty function are freely configurable. The replacement measures can instead of or in addition to the intended function the monitored function will run as soon as a Error is detected. Using a table can depend on a certain alternative measure for the type of error detected selected and then activated. Replacement measures that due to a high priority function detected errors are triggered before a diagnosis of the error and an error entry initiated.

Vorzugsweise werden im Falle einer fehlerhaften Funktionsweise des Systems Ersatzmaßnahmen ergriffen, wobei die Ersatzmaßnahmen möglichst nah an der derjenigen Funktion ergriffen werden, die von der zugeordneten Überwachungsfunktion als fehlerhaft erkannt wurde. Dadurch kann sichergestellt werden, dass die ergriffenen Ersatzmaßnahmen möglichst nah an dem auftretenden Fehler ansetzen. Dies ist durch die erfindungsgemäße Strukturierung des Überwachungsverfahrens überhaupt erst möglich. Preferably in the event of a faulty Functioning of the system taken replacement measures, whereby the replacement measures as close as possible to that Function taken by the assigned Monitoring function was recognized as faulty. Thereby can be ensured that the seized Alternative measures as close as possible to the error that occurs begin. This is due to the invention Structuring the monitoring process in the first place possible.

Gemäß einer anderen bevorzugten Weiterbildung der vorliegenden Erfindung wird vorgeschlagen, dass die mindestens eine übergeordnete Überwachungsinstanz die Verwaltung eines Fehlerspeichers, insbesondere das Schreiben und Lesen von Einträgen in den Fehlerspeicher, koordiniert. Der Fehlerspeicher kann zum Auswerten der darin enthaltenen Informationen entweder während des Betriebs des Steuergeräts oder zu einem späteren Zeitpunkt ausgelesen werden. Die ausgewerteten Informationen können bei der Auslegung neuer Systeme berücksichtigt werden. According to another preferred development of the The present invention proposes that the at least one superordinate supervisory authority Management of a fault memory, especially that Writing and reading entries in the error memory, coordinated. The error memory can be used to evaluate the information contained therein either during the Operation of the control unit or at a later time be read out. The evaluated information can be taken into account when designing new systems.

Gemäß einer weiteren bevorzugten Ausführungsform der vorliegenden Erfindung wird vorgeschlagen, dass die mindestens eine übergeordnete Überwachungsinstanz einen Status der Überwachung bei den einzelnen Überwachungsfunktionen anfordert oder abfragt. Dieser Status der Überwachung der einzelnen Überwachungsfunktionen wird von der mindestens einen übergeordneten Überwachungsinstanz vorzugsweise an eine externe Diagnosetestereinheit weitergeleitet. According to a further preferred embodiment of the The present invention proposes that the at least one higher-level monitoring authority Status of surveillance at the individual Monitoring functions requests or queries. This Status of the monitoring of the individual monitoring functions is of the at least one parent Supervisor preferably to an external Diagnostic tester unit forwarded.

Vorteilhafterweise stellt die mindestens eine übergeordnete Überwachungsinstanz eine Schnittstelle zum Anschluss einer Diagnosetestereinheit zum gezielten Ansteuern einzelner Komponenten des Systems zur Verfügung. Auf diese Weise können bspw. Aktoren des überwachten Systems gezielt angesteuert werden. Advantageously, the at least one parent Monitoring interface an interface for connecting a Diagnostic tester unit for targeted control of individual Components of the system are available. In this way can, for example, target actuators of the monitored system can be controlled.

Die Überwachungsfunktionen erfassen vorzugsweise lokale Umweltdaten, die für die einzelnen Funktionen von Bedeutung sind, und reichen diese an die übergeordnete Überwachungsinstanz weiter. Lokale Umweltdaten sind für ein als Elektrisches Batterie Management (EBM)-Steuergerät ausgebildetes System bspw. eine Batteriespannung. Die Erfassung der lokalen Umweltdaten kann bspw. durch den Fehlerzähler ausgelöst werden. Zum Zeitpunkt einer ersten Inkrementierung des Zählers werden die lokalen Umweltdaten erfasst. Eine Dekrementierung des Zählers bewirkt ein Rücksetzen der lokalen Umweltdaten. Die auf diese Weise erfassten Umweltdaten werden erst beim Überschreiben des maximalen Zählerstands (z. B. beim Überschreiten eines vorgebbaren Schwellenwertes beim Übergang von einer Störung zu einem Fehler) an die übergeordnete Überwachungsinstanz weitergereicht. Umweltdaten sind Zusatzinformationen (Temperatur), die zusammen mit dem Fehler abgespeichert und für eine spätere Analyse des Fehlers herangezogen werden. The monitoring functions preferably detect local ones Environmental data that is important for the individual functions are, and pass these to the parent Supervisor continues. Local environmental data are for one as an electrical battery management (EBM) control unit trained system, for example a battery voltage. The Local environmental data can be collected, for example, by the Error counters are triggered. At the time of a first one Incrementing the counter becomes the local environmental data detected. Decrementing the counter causes Reset local environmental data. That way recorded environmental data are only overwritten when the maximum counter reading (e.g. when a Predefinable threshold value when transitioning from a fault to an error) to the higher-level monitoring authority passed on. Environmental data are additional information (Temperature), which is stored along with the error and can be used for a later analysis of the error.

Vorzugsweise erfasst die mindestens eine übergeordnete Überwachungsinstanz ihrerseits globale Umweltdaten zentral. Von den untergeordneten Überwachungsfunktionen kommt die Information, dass ein Fehler vorliegt. Die übergeordnete Überwachungsinstanz speichert dann die aktuellen globalen Umweltdaten zusammen mit dem Fehler ab. In speziellen Fällen (wenn z. B. die globalen Daten keine Aussage über den Fehler ermöglichen) können lokale Umweltdaten von den untergeordneten Überwachungsfunktionen an die übergeordnete Überwachungsinstanz übertragen und zusammen mit dem Fehler abgespeichert werden. Globale Umweltdaten sind solche Daten, die nicht nur für spezielle Funktionen, sondern für mehrere Funktionen von Bedeutung sind. Ein Beispiel für globale Umweltdaten ist die Umgebungstemperatur oder die Temperatur einer Brennkraftmaschine eines Kraftfahrzeugs. The at least one superordinate preferably records Supervisor in turn centralized global environmental data. The comes from the subordinate monitoring functions Information that there is an error. The parent Monitor then saves the current global Environmental data along with the error. In special Cases (if, for example, the global data makes no statement about the error) can local environmental data from the subordinate monitoring functions to the superordinate Supervisor transferred and along with the error can be saved. Global environmental data are such Data not only for special functions, but for several functions are important. An example for global environmental data is the ambient temperature or the Temperature of an internal combustion engine of a motor vehicle.

Als eine weitere Lösung der Aufgabe der vorliegenden Erfindung wird ausgehend von dem Verfahren der eingangs genannten Art vorgeschlagen, dass

• - in mehreren in den einzelnen Funktionen des Systems vorgesehenen dezentralen Überwachungsfunktionen die Funktionsweise der einzelnen Funktionen überwacht wird und
• - in mindestens einer übergeordneten funktionsübergreifenden Überwachungsinstanz die Überwachungsfunktionen koordiniert werden.

As a further solution to the object of the present invention, starting from the method of the type mentioned at the beginning, it is proposed that

• - The functioning of the individual functions is monitored in several decentralized monitoring functions provided in the individual functions of the system and
• - The monitoring functions are coordinated in at least one superordinate cross-functional monitoring instance.

Von besonderer Bedeutung ist die Realisierung des erfindungsgemäßen Verfahrens in der Form eines Speicherelements, das für eine Vorrichtung zur Überwachung der Funktionsweise eines Systems vorgesehen ist. Dabei ist auf dem Speicherelement ein Computerprogramm abgespeichert, das auf einem Rechengerät, insbesondere auf einem Mikroprozessor, ablauffähig und zur Ausführung des erfindungsgemäßen Verfahrens geeignet ist. In diesem Fall wird also die Erfindung durch ein auf dem Speicherelement abgespeichertes Computerprogramm realisiert, so dass dieses mit dem Computerprogramm versehene Speicherelement in gleicher Weise die Erfindung darstellt, wie das Verfahren, zu dessen Ausführung das Computerprogramm geeignet ist. Als Speicherelement kann insbesondere ein elektrisches Speichermedium zur Anwendung kommen, bspw. ein Read-Only- Memory, ein Random-Access-Memory oder ein Flash-Memory. The realization of the inventive method in the form of a Storage element for a monitoring device the functioning of a system is provided. It is a computer program is stored on the storage element, that on a computing device, especially on a Microprocessor, executable and for executing the method according to the invention is suitable. In this case So the invention is by a on the memory element stored computer program realized so that this storage element provided with the computer program in represents the invention in the same way as the method, the computer program is suitable for executing it. As Storage element can in particular be an electrical one Storage medium are used, e.g. a read-only Memory, a random access memory or a flash memory.

Die vorliegende Erfindung betrifft auch ein Computerprogramm, das zur Ausführung des erfindungsgemäßen Verfahrens geeignet ist, wenn es auf einem Rechengerät, insbesondere auf einem Mikroprozessor, abläuft. Besonders bevorzugt ist dabei, wenn das Computerprogamm auf einem Speicherelement, insbesondere auf einem Read-Only-Memory, einem Random-Access-Memory oder einem Flash-Memory, abgespeichert ist. The present invention also relates to a Computer program that is used to execute the invention Is suitable if it is on a computing device, especially on a microprocessor. Especially it is preferred if the computer program on a Storage element, in particular on a read-only memory, a random access memory or a flash memory, is saved.

Schließlich wird als noch eine weitere Lösung der Aufgabe der vorliegenden Erfindung ausgehend von der Überwachungsvorrichtung der eingangs genannten Art vorgeschlagen, dass die Vorrichtung umfasst:

• - in den einzelnen Funktionen des Systems vorgesehene dezentrale Überwachungsfunktionen zur Überwachung der Funktionsweise der einzelnen Funktionen,
• - mindestens eine übergeordnete funktionsübergreifende Überwachungsinstanz zur Koordination der Überwachungsfunktionen.

Finally, as yet another solution to the problem of the present invention, starting from the monitoring device of the type mentioned at the beginning, it is proposed that the device comprises:

• decentralized monitoring functions provided in the individual functions of the system for monitoring the functioning of the individual functions,
• - At least one higher-level cross-functional monitoring entity for coordinating the monitoring functions.

Zeichnungendrawings

Weitere Merkmale, Anwendungsmöglichkeiten und Vorteile der Erfindung ergeben sich aus der nachfolgenden Beschreibung von Ausführungsbeispielen der Erfindung, die in der Zeichnung dargestellt sind. Dabei bilden alle beschriebenen oder dargestellten Merkmale für sich oder in beliebiger Kombination den Gegenstand der Erfindung, unabhängig von ihrer Zusammenfassung in den Patentansprüchen oder deren Rückbeziehung sowie unabhängig von ihrer Formulierung bzw. Darstellung in der Beschreibung bzw. in der Zeichnung. Es zeigen: Other features, applications and advantages of Invention result from the following description of embodiments of the invention, which in the Drawing are shown. Thereby form all described or illustrated features for themselves or in any Combination the subject of the invention, regardless of their summary in the claims or their Relationship and regardless of their wording or Representation in the description or in the drawing. It demonstrate:

Fig. 1 eine Struktur verschiedener Funktionen innerhalb eines mit Hilfe eines erfindungsgemäßen Überwachungsverfahrens zu überwachenden Systems; Fig. 1 shows a structure of different functions within a with the help of a monitoring method according to the invention to the system being monitored;

Fig. 2 eine durch das erfindungsgemäße Überwachungsverfahren vorgegebene Funktionsstruktur innerhalb des zu überwachenden Systems; Figure 2 is a predefined by the inventive process monitoring function within the structure to be monitored system.

Fig. 3 Strukturelement einer übergeordneten Überwachungsinstanz des erfindungsgemäßen Überwachungsverfahrens; Fig. 3 is a structural element of a superordinate control instance of the monitoring method according to the invention;

Fig. 4 eine Ausschnitt der übergeordneten Überwachungsinstanz aus Fig. 3; und FIG. 4 shows a section of the superordinate monitoring instance from FIG. 3; and

Fig. 5 ein System, auf dem das erfindungsgemäße Überwachungsverfahren ablaufen kann. Fig. 5 is a system on which the inventive monitoring method can proceed.

Beschreibung der AusführungsbeispieleDescription of the embodiments

Die vorliegende Erfindung betrifft eine besondere funktionsabhängige horizontale Struktur eines Überwachungsverfahrens zur Überwachung der Funktionsweise eines Systems. Das System ist bspw. als ein Kraftfahrzeugsteuergerät, insbesondere als ein elektrisches Batteriemanagement (EBM)-Steuergerät, ausgebildet. Das System umfasst Subsysteme, die z. B. aus einer Rechnereinheit oder als ein ASIC (Application Specific Integrated Circuit) ausgebildet sind. Des Weiteren umfasst das System Funktionen, die bspw. elektrische Batterie-Management-Funktionen, eine Batterienachbildung oder Ähnliches sind. Schließlich umfasst das System hardwaremäßig realisierte Komponenten, die bspw. als Aktoren oder Sensoren ausgebildet sind. The present invention relates to a particular one function - dependent horizontal structure of a Monitoring procedure for monitoring the functioning of a system. The system is, for example, as one Motor vehicle control device, in particular as an electrical Battery management (EBM) control unit, trained. The System includes subsystems that e.g. B. from a Computer unit or as an ASIC (Application Specific Integrated Circuit) are formed. Furthermore the system includes functions such as electrical Battery management functions, a battery replica or something like that. Finally, the system includes Hardware implemented components, for example as Actuators or sensors are formed.

Eine Mindestanforderung an die Überwachung des Systems ist es, dass erkannt werden kann, wann sich das System nicht mehr wie spezifiziert erhält. Im Idealfall soll darüber hinaus sichergestellt werden können, dass sich das System auch beim Auftreten von Fehlern spezifiziert verhält. Dies setzt voraus, dass Redundanzen vorhanden sind, die aus Kostengründen in der Regel nur bei als sicherheitsrelevant eingestuften Systemen wirtschaftlich tragbar sind. Für Systeme im Bereich des elektrischen Batteriemanagements beschränkt sich die Überwachung des Systems daher zumeist darauf zu erkennen, wann sich das System nicht mehr wie spezifiziert verhält. A minimum requirement for monitoring the system is it that can be recognized when the system is not receives more as specified. Ideally, it should It can also be ensured that the system behaves even when errors occur. This assumes that there are redundancies from Cost reasons are usually only relevant for security reasons classified systems are economically viable. For Systems in the field of electrical battery management Monitoring the system is therefore usually limited to recognize when the system is no longer like specified behavior.

Unter "Spezifikation" versteht man in diesem Zusammenhang die Summe aller Anforderungen, die an das System gestellt werden. Anforderungen können z. B. sein: "Sicherheit bei Ausfall" (Fail-safe), "Fehlertoleranz" (Fault-tolerance), "Funktionale Sicherheit" (Functional-safety) oder auch "Steuergerät uneingeschränkt funktionsfähig für Betriebsspannungen zwischen 6 V und 20 V". In this context, "specification" means the sum of all requirements placed on the system become. Requirements can e.g. B. be: "Security with Failure "," Fault tolerance ", "Functional safety" or also "Control unit fully functional for Operating voltages between 6 V and 20 V ".

Da sich die Anforderungen für jedes System unterscheiden, zeichnet sich ein allgemein gültiges Überwachungsverfahren wie das erfindungsgemäße dadurch aus, dass es flexibel auf unterschiedliche Systeme mit verschiedenen Anforderungen anwendbar ist. Dies erfordert eine entsprechende Funktionsstruktur, die es erlaubt, die Überwachungskomponenten für verschiedene Systeme - auch wenn diese hinsichtlich der Sicherheit unterschiedlichen Anforderungen genügen - verwenden zu können. Because the requirements differ for each system, is characterized by a generally applicable monitoring procedure like the invention in that it is flexible different systems with different requirements is applicable. This requires a corresponding one Functional structure that allows the Monitoring components for different systems - too if these differ in terms of security Meet requirements - to be able to use.

Das Überwachungsverfahren läuft parallel zu dem eigentlichen Steuerungs- oder Regelungsprozess des Systems ab und darf diesen, z. B. durch Verbrauch von Rechenkapazität, nicht in seiner Funktion einschränken. Auf Ergebnisse der Überwachung (Fehler) kann das System unmittelbar reagieren. Zusätzlich können die Fehler in einem Fehlerspeicher dauerhaft abgespeichert und zu einer Fehleranalyse herangezogen werden. The monitoring process runs parallel to that actual control or regulation process of the system from and may this, for. B. by consumption of Computing capacity, do not restrict its function. On The system can monitor the results (errors) react immediately. In addition, the errors in an error memory permanently stored and one Error analysis can be used.

Unter Diagnose fällt z. B. die Möglichkeit, abgespeicherte Fehler einer Analyse zuzuführen. Dazu kann eine geeignete Schnittstelle erforderlich sein. Über diese Schnittstelle kann ein geeigneter Diagnosetester an das System angeschlossen werden, so dass ein Datenfluss von dem Diagnosetester in das System und aus dem System in den Diagnosetester möglich ist. Diagnosis includes B. the possibility of saved Failure to submit an analysis. A suitable one can do this Interface may be required. Via this interface a suitable diagnostic tester can be connected to the system be connected so that a data flow from the Diagnostic tester into the system and out of the system into the Diagnostic tester is possible.

Die Diagnose von Fehlern ist derjenige Bestandteil der Überwachung, der in der Regel in einer Werkstatt über den Diagnosetester abrufbar ist. Es ist jedoch auch denkbar, dass die Diagnosefunktionen in das Steuergerät integriert sind und während des bestimmungsgemäßen Betriebs des Steuergeräts aufgerufen werden. The diagnosis of errors is that part of the Surveillance, which is usually carried out in a workshop Diagnostic tester is available. However, it is also conceivable that the diagnostic functions are integrated in the control unit are and during the intended operation of the Control unit can be called.

Die Diagnose bietet die Möglichkeit:

• - den Fehlerspeicher auszulesen und zu löschen,
• - Ausgangsgrößen ausgewählter Funktionen auszulesen (z. B. Sensorsignale),
• - Eingangsgrößen ausgewählter Funktionen in ihrem Wert zu ändern (z. B. zur Ansteuerung eines Aktuators) und
• - steuergerätespezifische Daten zu speichern (z. B. Seriennummer).

The diagnosis offers the possibility:

• - read out and delete the fault memory,
• - read out output variables of selected functions (e.g. sensor signals),
• - Change the value of input variables of selected functions (e.g. to control an actuator) and
• - save control unit-specific data (e.g. serial number).

Zusätzlich fällt unter die Diagnose die Berechnung von sog. Historiendaten, also von Datenreihen, die über längere Zeiträume gesammelt und zur Analyse des Systemverhaltens benötigt werden (entwicklungsunterstützende Daten). Die Historiendaten sind für die Funktion des Systems nicht erforderlich. In addition, the diagnosis includes the calculation of so-called History data, i.e. from data series that last longer Periods collected and for the analysis of system behavior are needed (development support data). The History data are not for the function of the system required.

In Fig. 1 ist eine Struktur eines als EBM-Steuergerät ausgebildeten Systems 1 dargestellt. Jedes System 1 lässt sich durch seine Funktionen F_ij vollständig beschreiben. Der Informationsfluss zwischen den Funktionen F_ij ist durch Linien dargestellt; durchgezogene Linien für die Überwachung niederpriorer Funktionen und gestrichelte Linien für die Überwachung von allen übrigen (hochprioren) Funktionen. Bei den Funktionen F_ij muss auf dieser Ebene nicht zwischen der Art der Realisierung (Hardware oder Software) unterschieden werden. Alle Funktionen F_ij weisen die gleiche Funktionsstruktur auf, die später anhand von Fig. 2 näher erläutert wird. In Fig. 1, a structure of a system 1 configured as EBM-controller is illustrated. Each system 1 can be completely described by its functions F_ij. The flow of information between the functions F_ij is represented by lines; Solid lines for monitoring low-priority functions and dashed lines for monitoring all other (high-priority) functions. With the functions F_ij, there is no need to differentiate between the type of implementation (hardware or software) at this level. All functions F_ij have the same functional structure, which will be explained later with reference to FIG. 2.

Bei dem in Fig. 1 dargestellten System 1 sind die Funktionen F_ij derart angeordnet, dass die Signalverarbeitung von links nach rechts erfolgt. Das Steuergerät 1 erhält Eingangssignale 2 von Sensoren 3. Am Beispiel eines EBM-Steuergeräts ist eine Eingangsgröße 2 bspw. die Batteriespannung. Der Sensor 3 wäre dann als ein Spannungsmessgerät zum Erfassen der Batteriespannung ausgebildet. In Signalaufbereitungsfunktionen F_11, F_12 werden die Eingangssignale 2 in ein für einen Mikroprozessor 4 des Steuergeräts 1 nutzbares Format umgesetzt. Am Beispiel des EBM-Steuergeräts ist bspw. ein Spannungsteiler vorgesehen, der die Batteriespannung auf einen für den Mikroprozessor 4 geeigneten Pegel teilt. Die Eingangsgröße für den Mikroprozessor 4 ist mit dem Bezugszeichen 5 bezeichnet. Die Eingangsgrößen 5 werden durch den Mikroprozessor 4 entsprechend den Anforderungen an das Steuergerät 1 zu geeigneten Ausgangsgrößen 6 weiterverarbeitet. Zur Verarbeitung der Eingangsgrößen 5 zu den Ausgangsgrößen 6 sind in dem Mikroprozessor 4 verschiedene Funktionen F_21, F_22, F_23, F_24, F_25, F_26 und F_27 vorgesehen. Am Beispiel des EBM-Steuergeräts dient die von dem Mikroprozessor 4 eingelesene Spannung als Eingangsgröße für einen Algorithmus, dessen Ergebnis zum Beschreiben eines Ausgangsports des Mikrorechners verwendet wird. Die Ausgangsgröße 6 des Mikroprozessors 4 muss in den meisten Fällen noch eine Signalaufbereitung in Form einer Signalaufbereitungsfunktion F_41, F_42 und F_43 durchlaufen, bevor damit ein geeignetes Ausgangssignal 7 zur Verfügung steht. Am Beispiel des EBM-Steuergeräts umfasst die Signalaufbereitung bspw. eine Verstärkung der Ausgangsgrößen 6 des Mikroprozessors 4, um bspw. einen Aktuator 8 in Form eines Generatorreglers anzusteuern. In the example shown in FIG. 1, system 1, the functions F_ij are arranged such that the signal processing takes place from left to right. Control unit 1 receives input signals 2 from sensors 3 . Using the example of an EBM control unit, an input variable 2 is, for example, the battery voltage. The sensor 3 would then be designed as a voltage measuring device for detecting the battery voltage. In signal processing functions F_11, F_12, the input signals 2 are converted into a format that can be used for a microprocessor 4 of the control device 1 . Using the example of the EBM control unit, a voltage divider is provided, for example, which divides the battery voltage to a level suitable for the microprocessor 4 . The input variable for the microprocessor 4 is designated by the reference symbol 5 . The input variables 5 are further processed by the microprocessor 4 into suitable output variables 6 in accordance with the requirements for the control device 1 . Various functions F_21, F_22, F_23, F_24, F_25, F_26 and F_27 are provided in the microprocessor 4 for processing the input variables 5 to the output variables 6 . In the example of the EBM control unit, the voltage read in by the microprocessor 4 serves as an input variable for an algorithm, the result of which is used to describe an output port of the microcomputer. In most cases, the output variable 6 of the microprocessor 4 still has to undergo signal conditioning in the form of a signal conditioning function F_41, F_42 and F_43 before a suitable output signal 7 is thus available. Using the example of the EBM control unit, the signal processing includes, for example, an amplification of the output variables 6 of the microprocessor 4 in order, for example, to control an actuator 8 in the form of a generator regulator.

Alle Überwachungskomponenten (Überwachungsfunktionen ÜF) innerhalb des Steuergeräts 1 bzw. innerhalb der Funktionen F_ij des Steuergeräts 1, sind in Fig. 1 als schraffierte Bereiche der Funktionen F_ij mit einer Kommunikationsverbindung zu einer übergeordneten Überwachungsinstanz (ÜÜI) dargestellt. Die vorliegende Erfindung sieht vor, dass die Überwachungsfunktionalität unmittelbar den einzelnen Funktionen F_ij des Steuergeräts 1 zugeordnet wird. Die Überwachungsfunktionen ÜF sind über das gesamte System verteilt. Am Beispiel des EBM- Steuergeräts kann bei der Funktion "Spannungsmessung" die Spannungsinformation in dem Mikroprozessor direkt an der Funktion, rein aufgrund der Funktionseingangsgrößen, auf eine minimale und maximale Spannung hin überprüft werden. Diese Überwachungsfunktion ist in die Funktion "Spannungsmessung" integriert. Ob und inwiefern eine Funktion F_ij überwacht werden muss, ist individuell für jede Funktion festzulegen. Die Aufteilung des Überwachungsverfahrens auf mehrere Überwachungsfunktionen, die jeweils einer zu überwachenden Funktion F_fj zugeordnet sind, stellt einen wichtigen Teil der vorliegenden Erfindung dar. All monitoring components (monitoring functions ÜF) within the control unit 1 or within the functions F_ij of the control unit 1 are shown in FIG. 1 as hatched areas of the functions F_ij with a communication link to a higher-level monitoring entity (ÜÜI). The present invention provides that the monitoring functionality is assigned directly to the individual functions F_ij of control unit 1 . The monitoring functions ÜF are distributed across the entire system. Using the example of the EBM control unit, the voltage information in the microprocessor can be checked for a minimum and maximum voltage directly on the function, purely on the basis of the function input variables, in the "voltage measurement" function. This monitoring function is integrated in the "voltage measurement" function. Whether and to what extent a function F_ij has to be monitored must be defined individually for each function. The distribution of the monitoring method over several monitoring functions, each of which is assigned to a function F_fj to be monitored, represents an important part of the present invention.

Das Steuergerät 1 umfasst eine rechnerexterne, redundante Überwachungseinheit in Form eines Überwachungsmoduls ÜM, durch das die Funktion des Mikroprozessors 4 auf Korrektheit überprüft wird. Diese Überprüfung ist besonders wichtig, da der Mikroprozessor 4 sowohl für die Ausführung der überwiegenden Anzahl der Funktionen F_ij des Steuergeräts 1 und somit auch für die Ausführung der Überwachungsfunktionen ÜF verantwortlich ist. Control unit 1 comprises a redundant monitoring unit external to the computer in the form of a monitoring module UM, by means of which the function of microprocessor 4 is checked for correctness. This check is particularly important since the microprocessor 4 is responsible both for the execution of the predominant number of functions F_ij of the control device 1 and thus also for the execution of the monitoring functions ÜF.

Jede Überwachungsfunktion ÜF liefert einen Status an eine zentrale Stelle, die sog. übergeordnete Überwachungsinstanz ÜÜI. An dieser zentralen Stelle stehen die Statusinformationen aller überwachten Funktionen F_ij zur Verfügung. Dadurch ergibt sich die Möglichkeit einer umfassenderen Überwachung als dies unmittelbar an einer Überwachungsfunktion ÜF möglich wäre. Each monitoring function ÜF delivers a status to one central point, the so-called higher level supervisory authority ÜÜI. At this central point are the Status information of all monitored functions F_ij Available. This creates the possibility of one more extensive surveillance than this directly on a Monitoring function ÜF would be possible.

Die übergeordnete Überwachungsinstanz ÜÜI berücksichtigt nicht nur den Status einer Funktion F_ij, sondern kann diesen Status auch in Bezug zu Statusinformationen anderer Funktionen F_ij setzen. Am Beispiel des EBM-Steuergeräts erfolgt die Überwachung der Ausgänge eines Treiberbausteins durch die Auswertung des Ergebnisses der Eigendiagnose dieses Bausteins. Bei Unterschreiten einer Mindestspannung, die bspw. durch eine Unterspannungsüberwachung erkennbar ist, versagt die Bausteineigendiagnose jedoch und liefert einen unbegründeten Fehlereintrag. Dieser Fehlereintrag darf somit nicht berücksichtigt werden, sofern unmittelbar vor Auftreten des Bausteinfehlers ein Unterspannungsfehler entdeckt worden ist. Diese Informationsverknüpfung erfolgt durch die übergeordnete Überwachungsinstanz ÜÜI. The higher-level monitoring body ÜÜI takes into account not just the status of a function F_ij, but can this status also in relation to status information of others Set functions F_ij. Using the example of the EBM control unit the outputs of a driver module are monitored by evaluating the result of the self-diagnosis this building block. If the voltage drops below a minimum, which can be recognized, for example, by undervoltage monitoring the module self-diagnosis fails and delivers an unsubstantiated error entry. This error entry may not be taken into account, if immediately an undervoltage fault before the block error occurs has been discovered. This information link is made by the higher-level supervisory authority ÜÜI.

Zusätzlich stellt die übergeordnete Überwachungsinstanz ÜÜI Strukturen bereit, die zur Fehlerbehandlung für alle erkennbaren Fehler genutzt werden können. Darunter fällt unter anderem die Fehlerstatuserkennung, die Zusammenstellung der erforderlichen Informationen zu den Fehlern und der Abspeichermechanismus der Fehler von einem flüchtigen in einen nicht flüchtigen Speicher NVM. In addition, the higher-level supervisory authority ÜÜI Structures ready for error handling for everyone recognizable errors can be used. That includes among other things, the error status detection, the Compilation of the required information on the Errors and the storage mechanism of errors from one volatile in a non-volatile memory NVM.

Nachfolgend werden die einzelnen Komponenten dieser Steuergerätestruktur im Detail betrachtet. Angefangen wird mit den einzelnen Funktionen eines Steuergeräts, die anhand der Fig. 2 beschrieben werden. Dort ist die durch das erfindungsgemäße Überwachungskonzept vorgegebene Funktionsstruktur dargestellt, mit der jede beliebige Funktion F_ij eines Steuergeräts 1 beschrieben werden kann. Der Vorteil einer solchen einheitlichen Funktionsstruktur besteht in der einfachen Austauschbarkeit von Funktionen F_ij samt zugeordneter Überwachungsfunktion ÜF innerhalb des Systems 1. Das System 1 ist also modular aus den verschiedenen Funktionen F_ij aufgebaut. The individual components of this control unit structure are considered in detail below. It starts with the individual functions of a control unit, which are described with reference to FIG. 2. The functional structure specified by the monitoring concept according to the invention is shown there, with which any function F_ij of a control device 1 can be described. The advantage of such a uniform functional structure is the simple interchangeability of functions F_ij together with the assigned monitoring function ÜF within the system 1 . System 1 is therefore modularly constructed from the various functions F_ij.

Jede Funktion F_ij enthält eine Kernfunktionalität 10. Darunter ist die bestimmungsgemäße Aufgabe der Funktion F_ij zu verstehen. Die Kernfunktionalität 10 kann Informationen senden und empfangen und auf diese Weise Informationen mit anderen Funktionen F_ij (nicht dargestellt) auszutauschen, was durch den Doppelpfeil im oberen Bereich des Funktionsblocks 10 verdeutlicht ist. Darüber hinaus ist eine Servicefunktionalität 11 vorgesehen, welche eine Schnittstelle zwischen der Kernfunktionalität 10 und einem Diagnosetester bildet. Über diese Schnittstelle können

• - die eigentlichen Ausgangsgrößen der Kernfunktionalität 10, aber auch
• - bestimmte, im Normalbetrieb nicht ausgegebene, interne Größen der Funktion F_ij ausgelesen werden. Zusätzlich können
• - die Ausgangsgrößen ausgewählter Funktionen F_ij durch den Diagnosetester beeinflusst werden.

Each function F_ij contains a core functionality 10 . This is to be understood as the intended function of function F_ij. The core functionality 10 can send and receive information and in this way exchange information with other functions F_ij (not shown), which is illustrated by the double arrow in the upper area of the function block 10 . In addition, a service functionality 11 is provided, which forms an interface between the core functionality 10 and a diagnostic tester. You can use this interface

• - The actual output variables of the core functionality 10 , but also
• - Certain internal variables of the function F_ij that are not output in normal operation are read out. In addition, you can
• - The output variables of selected functions F_ij are influenced by the diagnostic tester.

Als drittes Strukturelement ist die Überwachungsfunktionalität ÜF in der Funktion F_ij enthalten. Durch die Überwachungsfunktionalität ÜF werden entweder die Eingangsgrößen oder die Ausgangsgrößen der Kernfunktionalität oder beide auf bestimmte Kriterien hin überwacht. Diese Kriterien müssen für jede Funktion F_ij individuell festgelegt werden. Bevor ein Fehler festgelegt werden, müssen die folgenden Schritte durchlaufen werden:

• - Vor Einleitung der Überwachung einer Funktion F_ij müssen zunächst bestimmte Eingangsbedingungen für die Prüfung erfüllt sein. Eingangsbedingungen sind diejenigen Bedingungen, unter denen die Überwachung nur durchgeführt werden darf, um unbegründete Fehlerdetektionen und Fehlereinträge zu vermeiden. Soll bspw. ein schaltbarer Sensorpfad überwacht werden, ist eine Eingangsbedingung, dass der Sensor zum Zeitpunkt der Prüfung aktiv geschaltet sein muss.
• - Weiterhin müssen die Prüfbedingungen festgelegt werden und
• - muss die Dauer festgelegt werden, während der eine Störung als aktiv erkannt werden muss, bevor ein Fehler detektiert bzw. eingetragen wird.

The monitoring functionality ÜF is contained in the function F_ij as the third structural element. The monitoring functionality ÜF monitors either the input variables or the output variables of the core functionality or both for specific criteria. These criteria must be set individually for each function F_ij. Before an error is determined, the following steps must be carried out:

• - Before initiating the monitoring of a function F_ij, certain input conditions for the test must first be met. Entry conditions are the conditions under which the monitoring may only be carried out in order to avoid unsubstantiated error detections and error entries. If, for example, a switchable sensor path is to be monitored, one input condition is that the sensor must be activated at the time of the test.
• - Furthermore, the test conditions must be specified and
• - The duration must be defined during which a fault must be recognized as active before an error is detected or entered.

Die Servicefunktionalität 11 und die Überwachungsfunktionalität ÜF können Informationen mit der übergeordneten Überwachungsinstanz ÜÜI austauschen, was durch die Doppelpfeile im oberen Teil der Funktionsblöcke 11 und ÜF verdeutlicht ist. The service functionality 11 and the monitoring functionality ÜF can exchange information with the higher-level monitoring entity ÜÜI, which is illustrated by the double arrows in the upper part of the function blocks 11 and ÜF.

Das Statussignal der Überwachungsfunktion ÜF, das bspw. eine Aussage darüber liefert, ob in der Funktion F_ij ein Fehler aufgetreten ist oder nicht, kann von einer der nachgeschalteten Funktionen F_ij über die übergeordnete Überwachungsinstanz ÜÜI abgefragt werden. Die Ausprägung der Überwachungsfunktion ÜF richtet sich nach der Priorität, die der Kernfunktion 10 innerhalb des Systems 1 zugeordnet ist. Die Priorität hängt davon ab, ob die Funktion F_ij das System 1 im Fehlerfall in einen Zustand versetzen kann, der über einem vorgebbaren Grenzrisiko liegt. Das Grenzrisiko muss für jedes System 1 individuell festgelegt werden. The status signal of the monitoring function ÜF, which, for example, provides information about whether an error has occurred in the function F_ij or not, can be queried by one of the downstream functions F_ij via the superordinate monitoring entity ÜÜI. The form of the monitoring function ÜF depends on the priority assigned to the core function 10 within the system 1 . The priority depends on whether function F_ij can put system 1 into a state in the event of an error that lies above a predefinable limit risk. The limit risk must be set individually for each system 1 .

Bei einem detektierten Fehler müssen evtl. geeignete Gegenmaßnahmen, sog. Ersatzfunktionalität EF, ausgeführt werden. Am Beispiel des EBM-Steuergeräts kann der Algorithmus zur Berechnung von nicht messbaren Batteriegrößen die Fehlerinformation erhalten, dass eine oder mehrere seiner Eingangsgrößen unplausibel sind. Daraufhin verwendet der Algorithmus vorbestimmte Ersatzwerte. In diesem Fall besteht die Ersatzfunktionalität also darin, im Falle eines Fehlers Ersatzwerte zu verwenden. If a fault is detected, suitable ones may have to be used Countermeasures, so-called replacement functionality EF, carried out become. Using the example of the EBM control unit, the Algorithm for the calculation of non-measurable Battery sizes receive the error information that a or more of its input variables are implausible. The algorithm then uses predetermined ones Substitute values. In this case there is Substitute functionality in it, in case of an error To use substitute values.

Die auszuführende Ersatzfunktionalität wird in Abhängigkeit von dem Ergebnis der Überwachungsfunktion ÜF aus einer Liste 12 ausgewählt. Von der Liste 12 wird dann zu der entsprechenden Ersatzfunktionalität EFA . . . EFZ verzweigt und diese ausgeführt. The replacement functionality to be performed is selected from a list 12 depending on the result of the monitoring function ÜF. The list 12 then becomes the corresponding replacement functionality EFA. , , EFZ branches and executes them.

Nachfolgend wird die übergeordnete Überwachungsinstanz ÜÜI anhand von Fig. 3 näher erläutert. Die übergeordnete Überwachungsinstanz ÜÜI erfüllt mehrere Aufgaben. Eine der Hauptaufgaben ist das Erfassen und Archivieren aller erkennbaren Fehler des Steuergeräts 1 für eine spätere Fehleranalyse. The superordinate monitoring entity ÜÜI is explained in more detail below with reference to FIG. 3. The higher-level monitoring body ÜÜI fulfills several tasks. One of the main tasks is the recording and archiving of all recognizable errors of the control device 1 for a later error analysis.

Die zentrale Einheit zum Zusammenstellen aller erforderlichen Daten, die einem bestimmten Fehler zugeordnet werden, ist ein Fehlerpfadmanager FPM. Jeder erkennbare Fehler muss eindeutig identifizierbar sein, z. B. über eine Fehlernummer. Der Typ des Fehlers muss erfasst werden, bestimmte Zusatzinformationen zur Beurteilung des Fehlers müssen zum Fehler abgespeichert und bestimmte fehlerspezifische Abläufe bekannt sein. Diese Informationen werden von dem Fehlerpfadmanager FPM für jeden Fehler in einem Fehlerpfad zusammengestellt und stets aktualisiert. The central unit for putting all together required data that a particular error is assigned a fault path manager FPM. Everyone recognizable errors must be clearly identifiable, z. B. via an error number. The type of error must be recorded certain additional information to evaluate the Errors must be saved to errors and certain error-specific processes are known. This information are created by the fault path manager FPM for each fault in compiled an error path and always updated.

Ein Fehlerstatusmanager FSM ermittelt, ob ein Fehler aufgetreten ist und wenn ja, von welchem Typ der Fehler ist. Alle Statusinformationen der erkennbaren Fehler sind dem Fehlerstatusmanager FSM bekannt. Eine Statusänderung führt durch den Fehlerpfadmanager FPM zur Übernahme der Statusinformationen in den entsprechenden Fehlerpfad. An error status manager FSM determines whether an error occurred and if so, what type of error is. All status information of the detectable errors are known to the FSM error status manager. A change of status leads through the fault path manager FPM to take over the Status information in the corresponding error path.

Jedem Fehler werden bestimmte Zusatzinformationen, sog. Umweltdaten UD, zugeordnet. Umweltdaten UD sind ausgewählte Zustandsgrößen des Systems 1, z. B. die Temperatur oder die Geschwindigkeit, die von einem Umweltdatenmanager UDM immer in aktueller Form bereitgestellt werden und von dem Fehlerpfadmanager FPM zeitrichtig zum Fehlereintritt in dem Fehlerpfad abgelegt werden. Dabei kann zwischen Umweltdaten UD unterschieden werden, die mit jedem Fehler abgespeichert werden, und Umweltdaten UD, die nur mit ausgewählten Fehlern abgespeichert werden. Certain additional information, so-called environmental data UD, is assigned to each error. Environmental data UD are selected state variables of system 1 , e.g. B. the temperature or the speed, which are always provided in an up-to-date form by an environmental data manager UDM and are stored by the fault path manager FPM in the fault path at the correct time for the fault to occur. A distinction can be made between environmental data UD, which are saved with each error, and environmental data UD, which are only saved with selected errors.

Die auf diese Weise zusammengestellten Fehlerpfade werden in einem Speicher flüchtig gespeichert und nur zu geeigneten Systemzuständen in einen nicht flüchtigen Speicher (Non-volatile Memory, NVM) geschrieben. Der Fehlerspeicher ist bspw. als ein EEPROM (Electronically Erasable and Programmable Read Only Memory) ausgebildet. Um unnötig viele Speicherzugriffe auf den nicht flüchtigen Speicher NVM zu vermeiden, erfolgen die Zugriffe auf den Speicher NVM nur dann, wenn diese auch wirklich erforderlich sind. Diese Koordination ist die Aufgabe eines Fehlerspeichermanagers FM, der den Datenfluss zu dem und von dem Speicher NVM steuert. The error paths compiled in this way will be stored in a volatile memory and only to suitable system states in a non-volatile Non-volatile memory (NVM) written. The Fault memory is, for example, as an EEPROM (Electronically Erasable and Programmable Read Only Memory). Around unnecessarily many memory accesses to the non-volatile To avoid NVM memory, access to the NVM memory only if it really is required are. This coordination is the job of a fault memory manager FM that controls the data flow to the and controls NVM from the memory.

Um die archivierten Daten einer Analyse zuführen zu können, stellt der Fehlerpfadmanager FPM eine geeignete Schnittstelle 20 zur Verfügung. Diese Schnittstelle 20 basiert bspw. auf einem KWP-2000-Protokoll (ISO/DIS 14230- 4) und erlaubt einen geeigneten Diagnosetester 21 anzusteuern. So ist ein Datenfluss zwischen dem Steuergerät 1 und dem Diagnosetester 21 möglich. Zusätzlich zum Auslesen und Löschen des Fehlerspeichers NVM bietet diese Schnittstelle 20 auch noch die Möglichkeit, Ausgangsgrößen ausgewählter Funktionen (z. B. Sensorgrößen) auszulesen, Eingangsgrößen ausgewählter Funktionen in ihrem Wert zu ändern (z. B. zur Ansteuerung eines Aktuators) und steuergerätspezifische Daten zu speichern (z. B. die Seriennummer). In order to be able to carry out the archived data for analysis, the fault path manager FPM provides a suitable interface 20 . This interface 20 is based, for example, on a KWP-2000 protocol (ISO / DIS 14230-4) and allows a suitable diagnostic tester 21 to be controlled. A data flow between the control unit 1 and the diagnostic tester 21 is thus possible. In addition to reading and deleting the NVM error memory, this interface 20 also offers the possibility of reading out output variables of selected functions (e.g. sensor variables), changing the value of input variables of selected functions (e.g. for controlling an actuator) and control unit-specific data to save (e.g. the serial number).

Eine weitere Schnittstelle 22 dient abhängig von den erkannten Fehlern dazu, globale Statusinformationen anderen Steuergeräten zur Verfügung zu stellen. Dies dient z. B. zur Ansteuerung von Anzeigen am Armaturenbrett und zur Ausgabe von Fehlern an den Fahrer eines Kraftfahrzeugs. Depending on the detected errors, a further interface 22 serves to make global status information available to other control units. This serves z. B. to control displays on the dashboard and to issue errors to the driver of a motor vehicle.

Eine weitere Aufgabe der übergeordneten Überwachungsinstanz ÜÜI ist der sog. globale Service 23. Darunter werden solche Funktionen verstanden, die ausschließlich zur Analyse des Systemverhaltens dienen und nicht für den bestimmungsgemäßen Betrieb des Steuergeräts 1 benötigt werden. Darunter fallen alle Historiendaten, wie z. B. der mittlere Ruhestrom des Steuergeräts 1 über die gesamte Steuergerätelebensdauer. Another task of the higher-level monitoring body ÜÜI is the so-called global service 23 . These are understood to mean those functions which are used exclusively for analyzing the system behavior and are not required for the intended operation of the control device 1 . This includes all history data, such as B. the average quiescent current of the control unit 1 over the entire life of the control unit.

In Fig. 4 ist eine zusätzliche Funktionalität der übergeordneten Überwachungsinstanz ÜÜI in Form eines Fehlerpfadmanager (FPM)-Validators dargestellt. Der FPM- Validator dient zur Erkennung und Vermeidung von Folgefehlern. Der Validator verhindert, dass in dem Fehlerspeicher NVM Fehlereinträge abgelegt werden, die als Ursache einen anderen Fehler haben (Folgefehlererkennung). Am Beispiel des EBM-Steuergeräts erfolgt die Überwachung der Ausgänge eines Treiberbausteins durch die Auswertung des Ergebnisses der Eigendiagnose dieses Bausteins. Beim Unterschreiten einer Mindestspannung, was durch eine Unterspannungsüberwachung erkennbar ist, versagt die Bausteineigendiagnose jedoch und liefert einen unbegründeten Fehlereintrag. Dieser Fehlereintrag darf nicht berücksichtigt werden, da er auf einem anderen als dem erkannten Fehler beruht. Ein Fehlereintrag darf somit nicht berücksichtigt werden, falls unmittelbar vor Auftreten des Bausteinfehlers ein Unterspannungsfehler detektiert worden ist. Diese Informationsverknüpfung leistet der FPM-Validator. In FIG. 4, an additional functionality of the superordinate monitoring ÜÜI instance in the form of an error path manager (FPM) -Validators is illustrated. The FPM validator is used to identify and avoid subsequent errors. The validator prevents NVM from storing error entries that are caused by another error (subsequent error detection). Using the example of the EBM control unit, the outputs of a driver module are monitored by evaluating the result of the self-diagnosis of this module. If the voltage drops below a minimum, which can be recognized by undervoltage monitoring, the module self-diagnosis fails and provides an unsubstantiated error entry. This error entry must not be considered because it is based on a different error than the detected one. An error entry must therefore not be taken into account if an undervoltage error was detected immediately before the block error occurred. The FPM validator provides this information link.

In Fig. 5 ist ein als Steuergerät ausgebildetes System 1 dargestellt, dessen Funktionsweise anhand des erfindungsgemäßen Verfahrens überwacht werden kann. Das Steuergerät 1 umfasst ein Speicherelement 30, das vorzugsweise als eine elektrisches Speichermedium, insbesondere als ein Erasable and Programmable Read-Only- Memory (EPROM), ausgebildet ist. Auf dem Speicherelement 30 ist ein Computerprogramm abgespeichert, das zur Ausführung des erfindungsgemäßen Überwachungsverfahrens geeignet ist, wenn es auf einem Rechengerät 31 des Steuergeräts 1 abläuft. Das Rechengerät 31 ist insbesondere als ein Mikroprozessor ausgebildet. Zur Ausführung des Computerprogramms auf dem Rechengerät 31 wird das Programm entweder als ganzes oder befehlsweise aus dem Speicherelement 30 an das Rechengerät 31 übertragen. In Fig. 5 is embodied as a controller system 1 is shown, the operation of which can be monitored by the inventive method. The control device 1 comprises a memory element 30 , which is preferably designed as an electrical storage medium, in particular as an erasable and programmable read-only memory (EPROM). A computer program is stored on the memory element 30 , which is suitable for executing the monitoring method according to the invention when it runs on a computing device 31 of the control device 1 . The computing device 31 is designed in particular as a microprocessor. In order to execute the computer program on the computing device 31 , the program is either transferred as a whole or by command from the storage element 30 to the computing device 31 .

In dem Computerprogramm ist insbesondere die erfindungsgemäße Strukturierung des Überwachungsverfahrens derart implementiert, dass jeder zu überwachenden Funktion des Systems eine Überwachungsfunktion zugeordnet und eine übergeordnete Überwachungsinstanz zur Koordination der Überwachungsfunktionen vorgesehen ist. In the computer program, in particular structuring of the monitoring method according to the invention implemented such that each function to be monitored assigned a monitoring function to the system and a superordinate supervisory authority for the coordination of Monitoring functions is provided.

Claims (16)

1. Verfahren zur Überwachung der Funktionsweise eines Systems (1), indem Eingangssignale (2), Ausgangssignale (7) und Funktionen des Systems (1) überprüft werden, wobei das System (1) untergeordnete Subsysteme aufweist oder Bestandteil eines übergeordneten Systems ist, und das System (1) hardwaremäßig realisierte Komponenten umfassend Sensoren (3), Aktoren (8) und/oder Funktionsrechner aufweist, dadurch gekennzeichnet, dass das Überwachungsverfahren
in mehrere in den einzelnen Funktionen (F_ij) des Systems (1) vorgesehene dezentrale Überwachungsfunktionen (ÜF) zur Überwachung der Funktionsweise der einzelnen Funktionen (F_ij) und
in mindestens eine übergeordnete funktionsübergreifende Überwachungsinstanz (ÜÜI) zur Koordination der Überwachungsfunktionen (ÜF)
strukturiert ist. 1. A method for monitoring the functioning of a system ( 1 ) by checking input signals ( 2 ), output signals ( 7 ) and functions of the system ( 1 ), the system ( 1 ) having subordinate subsystems or being part of a superordinate system, and the system ( 1 ) has hardware-implemented components comprising sensors ( 3 ), actuators ( 8 ) and / or function computers, characterized in that the monitoring method
into several decentralized monitoring functions (ÜF) provided in the individual functions (F_ij) of the system ( 1 ) for monitoring the functioning of the individual functions (F_ij) and
in at least one higher-level cross-functional monitoring body (ÜÜI) to coordinate the monitoring functions (ÜÜ)
is structured. 2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Überwachungsfunktionen (ÜF) in hierarchischen Strukturen geordnet sind. 2. The method according to claim 1, characterized in that that the monitoring functions (ÜF) in hierarchical Structures are ordered. 3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass eine übergeordnete Überwachungsfunktion (ÜF) bei einer untergeordneten Überwachungsfunktion (ÜF) den Status der Eingangssignale (2) abfragt. 3. The method according to claim 2, characterized in that a superordinate monitoring function (ÜF) queries the status of the input signals ( 2 ) in a subordinate monitoring function (ÜF). 4. Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass im Falle einer fehlerhaften Funktionsweise des Systems (1) Ersatzmaßnahmen ergriffen werden, wobei die Ersatzmaßnahmen für die jeweilige fehlerhafte Funktion frei konfigurierbar sind. 4. The method according to any one of claims 1 to 3, characterized in that in the event of a faulty functioning of the system ( 1 ) substitute measures are taken, the substitute measures for the respective faulty function being freely configurable. 5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass im Falle einer fehlerhaften Funktionsweise des Systems (1) Ersatzmaßnahmen ergriffen werden, wobei die Ersatzmaßnahmen möglichst nah an derjenigen Funktion (F_ij) ergriffen werden, die von der zugeordneten Überwachungsfunktion (ÜF) als fehlerhaft erkannt wurde. 5. The method according to any one of claims 1 to 4, characterized in that in the event of a faulty functioning of the system ( 1 ), substitute measures are taken, the substitute measures being taken as close as possible to the function (F_ij) performed by the assigned monitoring function (ÜF ) was identified as faulty. 6. Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass die mindestens eine übergeordnete Überwachungsinstanz (ÜÜI) die Verwaltung eines Fehlerspeichers (NVM), insbesondere das Schreiben und Lesen von Einträgen in den Fehlerspeicher (NVM), koordiniert. 6. The method according to any one of claims 1 to 5, characterized characterized that the at least one parent Supervisor (ÜÜI) the administration of a Fault memory (NVM), especially writing and reading of entries in the error memory (NVM). 7. Verfahren nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass die mindestens eine übergeordnete Überwachungsinstanz (ÜÜI) einen Status der Überwachung bei den einzelnen Überwachungsfunktionen (ÜF) anfordert oder abfragt. 7. The method according to any one of claims 1 to 6, characterized characterized that the at least one parent Monitoring Authority (ÜÜI) a status of monitoring the individual monitoring functions (ÜF) or queries. 8. Verfahren nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass die mindestens eine übergeordnete Überwachungsinstanz (ÜÜI) einen Status der Überwachung der einzelnen Überwachungsfunktionen (ÜF) an eine Diagnosetestereinheit (21) weiterleitet. 8. The method according to any one of claims 1 to 7, characterized in that the at least one higher-level monitoring entity (ÜÜI) forwards a status of the monitoring of the individual monitoring functions (ÜF) to a diagnostic tester unit ( 21 ). 9. Verfahren nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, dass die mindestens eine übergeordnete Überwachungsinstanz (ÜÜI) eine Schnittstelle zum Anschluss einer Diagnosetestereinheit (21) zum gezielten Ansteuern einzelner Komponenten (3, 8) des Systems (1) zur Verfügung stellt. 9. The method according to any one of claims 1 to 8, characterized in that the at least one higher-level monitoring entity (ÜÜI) provides an interface for connecting a diagnostic tester unit ( 21 ) for targeted control of individual components ( 3 , 8 ) of the system ( 1 ) , 10. Verfahren nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, dass die Überwachungsfunktionen (ÜF) lokale Umweltdaten, die für die einzelnen Funktionen (FÄJ) von Bedeutung sind, lokal erfassen und an die übergeordnete Überwachungsinstanz (ÜÜI) weiterreichen. 10. The method according to any one of claims 1 to 9, characterized characterized that the monitoring functions (ÜF) local Environmental data for the individual functions (FÄJ) of Importance are local to the parent Pass on the monitoring authority (ÜÜI). 11. Verfahren nach einem der Ansprüche 1 bis 10, dadurch gekennzeichnet, dass die mindestens eine übergeordnete Überwachungsinstanz (ÜÜI) globale Umweltdaten zentral erfasst und einem detektierten Fehler zusammen mit diesem in einem Fehlerspeicher (NVM) abgelegt werden. 11. The method according to any one of claims 1 to 10, characterized characterized that the at least one parent Monitoring authority (ÜÜI) global environmental data central detected and a detected error together with this be stored in a fault memory (NVM). 12. Verfahren zur Überwachung der Funktionsweise eines Systems (1), indem Eingangssignale (2), Ausgangssignale (7) und Funktionen des Systems (1) überprüft werden, wobei das System (1) untergeordnete Subsysteme aufweist oder Bestandteil eines übergeordneten Systems ist, und das System (1) hardwaremäßig realisierte Komponenten umfassend Sensoren (3), Aktoren (8) und/oder Funktionsrechner aufweist, dadurch gekennzeichnet, dass
in mehreren in den einzelnen Funktionen (F_ij) des Systems (1) vorgesehenen dezentralen Überwachungsfunktionen (ÜF) die Funktionsweise der einzelnen Funktionen (Fu) überwacht wird und
in mindestens einer übergeordneten funktionsübergreifenden Überwachungsinstanz (ÜÜI) die Überwachungsfunktionen (ÜF) koordiniert werden. 12. A method for monitoring the functioning of a system ( 1 ) by checking input signals ( 2 ), output signals ( 7 ) and functions of the system ( 1 ), the system ( 1 ) having subordinate subsystems or being part of a superordinate system, and the system ( 1 ) has hardware-implemented components comprising sensors ( 3 ), actuators ( 8 ) and / or functional computers, characterized in that
the functioning of the individual functions (Fu) is monitored in several decentralized monitoring functions (ÜF) provided in the individual functions (F_ij) of the system ( 1 ) and
the monitoring functions (ÜF) are coordinated in at least one superordinate cross-functional monitoring body (ÜÜI). 13. Speicherelement, insbesondere Read-Only-Memory, Random-Access-Memory oder Flash-Memory, für eine Vorrichtung zur Überwachung der Funktionsweise eines Systems (1), auf dem ein Computerprogramm abgespeichert ist, das auf einem Rechengerät, insbesondere auf einem Mikroprozessor, ablauffähig und zur Ausführung eines Verfahrens nach einem der Ansprüche 1 bis 12 geeignet ist. 13. Memory element, in particular read-only memory, random access memory or flash memory, for a device for monitoring the functioning of a system ( 1 ) on which a computer program is stored, which is stored on a computing device, in particular on a microprocessor , executable and suitable for carrying out a method according to any one of claims 1 to 12. 14. Computerprogramm, das auf einem Rechengerät, insbesondere auf einem Mikroprozessor, ablauffähig ist, dadurch gekennzeichnet, dass das Computerprogramm zur Ausführung eines Verfahrens nach einem der Ansprüche 1 bis 12 geeignet ist, wenn es auf dem Rechengerät abläuft. 14. Computer program running on a computing device is executable, in particular on a microprocessor, characterized in that the computer program for Execution of a method according to one of claims 1 to 12 is suitable if it runs on the computing device. 15. Computerprogramm nach Anspruch 14, dadurch gekennzeichnet, dass das Computerprogramm auf einem Speicherelement, insbesondere auf einem Read-Only-Memory, einem Random-Access-Memory oder einem Flash-Memory, abgespeichert ist. 15. Computer program according to claim 14, characterized characterized that the computer program on a Storage element, in particular on a read-only memory, a random access memory or a flash memory, is saved. 16. Vorrichtung zur Überwachung der Funktionsweise eines Systems (1), das untergeordnete Subsysteme aufweist oder Bestandteil eines übergeordneten Systems ist und das hardwaremäßig realisierte Komponenten umfassend Sensoren (3), Aktoren (8) und/oder Funktionsrechner aufweist, wobei die Vorrichtung Mittel zum Überprüfen von Eingangssignalen (2), Ausgangssignalen (7) und Funktionen des Systems (1) aufweist, dadurch gekennzeichnet, dass die Vorrichtung umfasst:
in den einzelnen Funktionen (F_ij) des Systems (1) vorgesehene dezentrale Überwachungsfunktionen (ÜF) zur Überwachung der Funktionsweise der einzelnen Funktionen (F_ij) und
mindestens eine übergeordnete funktionsübergreifende Überwachungsinstanz (ÜÜI) zur Koordination der Überwachungsfunktionen (ÜF). 16. Device for monitoring the functioning of a system ( 1 ) which has subordinate subsystems or is part of a higher-level system and which has hardware-implemented components comprising sensors ( 3 ), actuators ( 8 ) and / or functional computers, the device having means for checking of input signals ( 2 ), output signals ( 7 ) and functions of the system ( 1 ), characterized in that the device comprises:
decentralized monitoring functions (ÜF) provided in the individual functions (F_ij) of the system ( 1 ) for monitoring the functioning of the individual functions (F_ij) and
at least one higher-level cross-functional monitoring body (ÜÜI) to coordinate the monitoring functions (ÜÜ).