JP5843786B2 - 制御装置にある監視計算機 - Google Patents

Description

本発明は、独立請求項の上位概念に記載のプロセッサを監視する監視計算機、プロセッサ及びプロセッサを監視する方法に関する。

自動車において使用するための計算素子を持つ制御装置を個々には安全でなく又は自身では安全に形成する種々の構想が存在する。制御装置の自身の安全性を得る可能性は３面構想の監視である。

ドイツ連邦共和国特許出願公開第４４３８７１４号明細書から、車両の駆動装置を制御する装置が公知である。この場合出力を制御する制御装置はただ１つの計算素子しか持っていない。計算素子は遮断バスの制御及び監視を行う。制御及び監視を行うために、互いに独立した２つの面がただ１つの計算素子に設けられ、第１の面において出力制御機能が求められ、第２の面において特に監視モジュールとの共同動作で計算素子自体のこれらの機能従って動作能力が監視されることによって、作動の確実性及び利用可能性が保証される。

更にドイツ連邦共和国特許出願公開第４４３８７１４号明細書には、第２の面の経過監視を行う第３の面が記載されている。第３の面によるこの監視は、制御装置の信頼性及び利用可能性を著しく高める。特に監視モジュールにおいて、経過監視が質問−回答通信として実行される

三面監視構想（ＥＧＡＳ構想）は、なるべく車両の機関制御装置において、電子機関制御システムの監視のために使用される。その際機関制御装置は、いわゆる機能計算機及び監視計算機から成っている。機能計算機と監視計算機は、質問−回答方法を介して通信する。更にそれは別個の遮断バスを使用できる。

面１は、車両の駆動装置の機能を制御する固有の機能モジュールを含んでいる。従ってこの面は機能面とも称される。この面は、特に要求される機関トルクを変換する機関制御機能、部品監視、入力量及び出力量の診断、及び欠陥が検出される場合におけるシステム反応の制御を含んでいる。面１は機能計算機上に構成される。

機能監視面とも称される面２は安全モジュールを含み、同様に機能計算機上に構成される。この面は、面１の機能モジュールの監視に関連する周囲の欠陥のある経過を、特に計算されるトルク又は車両加速度の監視によって検出する。欠陥がある場合、例えば安全に関連する最終段の遮断のようなシステム反応の開始が行われる。

面２は、機能計算機の面３により保護されているハードウエア範囲において実行される。計算機監視面とも称される面３は、指令集合テスト、プログラム流れ監視、Ａ／Ｄ変換器テスト、及び面２の周期的及び完全なメモリテストを持つ独立した機能計算機上の監視モジュールを含んでいる。監視モジュールは機能計算機上に構成される。機能計算機から独立した監視計算機は、質問−回答方法により、機能計算機のプログラム指令の規則正しい処理をテストする。欠陥がある場合、機能計算機には関係なく、システム反応の始動が行われる。

現在の電子機関制御システムでは、全機能及び監視ソフトウエアは制御装置に統合されている。監視構想は別の車両制御装置特に変速機制御装置においても実現可能である。

従来技術から公知の監視構想では、監視計算機が、機能計算機にあるただ１つの監視装置（モニタリング装置）により、１つより多いプログラム流れ監視を行う。その際この１つの監視装置は、個々のプログラム流れ監視からの個別回答を同期化し、個々の回答を１つの全体回答にまとめねばならない。回答の同期化及びまとめの際、誤りが生じることがある。

従って自動車制御装置にあるプロセッサを監視する公知の監視計算機を改良するという課題が与えられる。

本発明によれば、この課題は独立請求項１の特徴を持つ監視計算機によって解決される。

プロセッサは実質的に監視計算機及び機能計算機を含んでいる。プロセッサ上に計算素子が構成される。計算素子は、特に３つのソフトウエアープログラムモジュール、即ち自動車の機能制御用機能モジュール、機能モジュールの検査用安全モジュール、及び少なくとも安全モジュールの検査用検査モジュールを含んでいる。監視計算機は、インタフェースを介する質問−回答方法により、機能計算機上の監視モジュールと通信する。

特に機能計算機と監視計算機が物理的に互いに独立したビルディングブロックを構成している。有利なように監視計算機が互いに独立した２つのモニタリング装置を含み、ハードウエアとして構成される各モニタリング装置により、機能計算機においてソフトウエアとして構成される適当なモニタリング素子を用いて、機能計算機のプログラム指令の規則正しい処理を監視するそれぞれ１つの監視が実行可能である。それによりとりわけプログラム流れ監視の促進及び監視における安全性の向上が行われる。

第１のモニタリング装置が、第１のモニタリング素子により、安全モジュールにおける第１の監視として、特にメモリテスト及びプログラム流れ監視を行う。更に第２のモニタリング装置が、第２のモニタリング素子により、監視モジュールにおける第２の監視として、特に指令集合テスト及びＡ−Ｄ変換器テストを行う。有利なように、それぞれの監視がいわゆるテストバスにおいて行われる。

監視に誤りが生じると、誤りカウンタが操作可能であり、機能モジュールとは無関係に、自由にプログラム可能な誤り反応閾値を超過すると、システム反応が監視モジュールにより始動可能である。このようなシステム反応は、例えば車道の非常停止線上でどうやら停止するのを可能にする限られた非常走行モードへ車両をもたらすことができる。

その際安全性を高めるため、誤り係数が非対称であってもよく、即ち質問−回答方法における誤った回答が２回上方へ数えられ、これに反し正しい回答が１回だけ下方へ数えられるようにすることができる。

特に制御装置の投入により、計算素子において、付属するモニタ装置を構成するそれぞれ１つのいわゆる状態機械が駆動される。状態機械は、複数の状態、状態移行及び動作から成る行動モデルである。１つの状態は過去についての情報を記憶している。それは、システム開始から現在の時点までの入力の変化を反映する。状態移行は、状態機械の状態の変化を示し、移行を可能にするために満たさねばならない論理条件を記述する。動作は、特定の状況において行われる状態機械の出力である。

計算素子における制御装置の初期化の際、適当なモニタリング装置が構成されるのがよい。この過程において、それぞれ付属する状態機械により、他のパラメータのほかに、例えば質問−回答方法の回答時間及び回答タイムスロット、遮断閾値及びリセット閾値が規定される。その際パラメータは、モニタ装置毎に完全に互いに相違していてもよい。しかし両方のモニタリング装置を同じに構成することも考えられる。

両方の状態機械が順調に運転されている時、両方のモニタリング装置は、それぞれのモニタリング素子により、計算素子の監視を引受ける。

監視計算機の出力端が特に相補的に構成されている。即ち一方の出力端が高であると、他方の出力端は低である。チップが破壊すると、高い確率で両方の出力端が高になるか又は低になる。それにより安全にとって危険な最終段は、遮断バスを介して遮断状態にある。

状態機械の動作の際規定される回答時間は、大体において自由に構成可能であり、通常１〜２５５ｍｓの範囲にある。典型的な誤り反応時間は約６０ｍｓである。しかしこの時間は、変速機の設計、顧客の要求等に関係して可変である。最大に可能な構成可能性と実行費用との妥協として、この範囲が選ばれた。

応答時間も同様に状態機械において規定され、１ｍｓ〜２５５ｍｓの範囲にある。

応答時間は、回答を送るためのできるだけ遅い時点である。第２としていわゆる“クローズトウィンドウ”が構成される。この範囲では、回答が送信されてはならない。回答時間と“クローズトウィンドウ”から成る差は“オープンウィンドウ”又は回答タイムスロットを生じる。回答時間と回答タイムスロットとの関係は特に自由に規定可能である。起こり得る機能−ソフトウエア誤り（例えば誤ったタイミング）では、正しい回答の送信が速すぎることがある。“クローズトウィンドウ”により、この早すぎる回答は評価されず、それにより誤りカウンタの増大が行われる。

状態機械において、遮断バステストが有利に固有の状態として実行される。それにより監視計算機と機能計算機との間の質問−回答方法からの回答を、回答タイムスロットを考慮することなく、できるだけ速やかに送ることができる。遮断バステストは、誤りが生じる際、機能計算機又は監視計算機が例えば安全に関連する最終段を正しく遮断できるか否かを検査することができる。

監視計算機において背景で連続的な検査合計テスト（ＣＲＣテスト）が実行可能であることによって、主として万一の“ビットチッパ”が例えばＥＭＶ障害により生じて、構成データにおいて検出される。これらの誤りは一般に遮断バスの始動に至る。

特に次の質問の予想を可能にしないために、質問−回答方法における質問の選択に関連して、乱数発生が線形フィードバックシフトレジスタにより行われる。それぞれ１つの線形フィードバックシフトレジスタがモニタリング装置ＭＵ１及びＭＵ２にある。

本発明の別の課題は、従来技術に比べて改善された、自動車の制御装置にある前述した監視計算機を持つプロセッサを提示することである。

本発明によればこの課題は、独立請求項１４の特徴を持つプロセッサにより解決される。

詳細に上述したように、制御装置のプロセッサ上に構成される計算素子が大体において３つのプログラムモジュール、安全モジュール及び監視モジュールを含んでいる。プロセッサは特に機能計算機と監視計算機に細分され、機能モジュール、安全モジュール及び監視モジュールが機能計算機に構成される。監視計算機は、通常インタフェースを介する質問−回答方法により、機能計算機と通信する。

本発明の核心は、機能計算機と監視計算機が物理的に互いに独立しており、監視計算機が互いに無関係な２つのモニタリング装置を含んでいることである。機能計算機のプログラム指令の規則正しい処理を監視するために、機能計算機において、各モニタリング装置により適当なモニタリング素子を用いて、それぞれ１つの監視が実行可能である。それにより監視方法を有利に促進し、更に一層安全に形成することができる。

以下の説明において、本発明の特徴及び詳細が、添付図面に関連して実施例により詳細に説明される。その際個々の変形例において説明される特徴及び関連は、基本的にすべての実施例に転用可能である。

モジュール（ソフトウエア）及び計算機（ハードウエア）に細分される３面構想を示す。 状態、移行及び条件を持つ状態機械を示す。

鎖線及び破線の縁を持つ図１の枠はそれぞれハードウエア成分を示し、実線の縁を持つ枠はそれぞれソフトウエア成分を示す。枠の間の直線矢印はそれぞれデータ交換を示す。

図１は、例えば自動車における機関制御装置又は変速機制御装置において使用されるように、実質的にＥＧＡＳ構想から周知の３面監視モデルを示す。

第１の鎖線の枠はプロセッサの機能計算機ＦＲを示す。第２の鎖線の枠はプロセッサの監視計算機ＵＲを示す。機能計算機ＦＲと監視計算機ＵＲは、物理的に互いに独立してプロセッサに設けられている。監視計算機ＵＲは例えばＡＳＩＣとして構成することができる。３つのプログラムモジュール即ち機能モジュールＥ１、安全モジュールＥ２及び監視モジュールＥ３は、機能計算機ＥＲに構成される。

機能モジュールＥ１は、機能面とも称されるＥＧＡＳ構想の面Ｅ１を示す。それは特に車両の駆動装置の機能制御に用いられ、上述したように、特に要求される機関トルクを変換するための例えば機関制御機能、部品監視、入力量及び出力量の診断、及び誤りが検出される場合システム反応の制御を含んでいる。

安全モジュールＥ２は、機能監視面とも称されるＥＧＡＳ構想の面２を示す。それは、面１の機能モジュールＥ１の監視に関連する範囲の誤りのある経過を検出する。特に計算されるトルク又は例えば車両加速度が監視される。誤りが生じると、特にシステム反応の始動が行われる。安全モジュールＥ２が、まず監視モジュールＥ３により保護される機能計算機ＦＲのハードウエア範囲において実行される。

監視モジュールＥ３は、計算機監視面とも称されるＥＧＡＳ構想の面３を示す。監視モジュールＥ３は、特に監視計算機ＵＲとは独立した機能計算機に構成される。監視計算機ＵＲは、例えば少なくとも１つの質問−回答方法によって、機能計算機ＦＲのプログラム指令の規則正しい処理を検査する。誤りが生じると、特にシステム反応の始動が機能計算機ＦＲに関係なく行われる。

監視計算機ＵＲは実質的に２つの互いに独立したモニタリング装置ＭＵ１，ＭＵ２を含んでいる。各モニタリング装置ＭＵ１，ＭＵ２に、安全モジュールＥ３の監視Ｋ１，Ｋ２のための適当なモニタリング素子ＭＥ１，ＭＥ２が構成される。

こうして例えば第１のモニタリング装置ＭＵ１が、第１のモニタリング素子ＭＥ１により、第１の監視Ｋ１として、安全モジュールＥ２にある第１のテストバスＴＰ１を介して、メモリテスト及びプログラム流れ監視を行う。

これに並行して監視Ｋ１とは無関係に、第２のモニタリング装置ＭＵ２が、第２のモニタリング素子ＭＥ２により、第２の監視Ｋ２として、監視モジュールＥ３にある第２のテストバスＴＰ２を介して、なるべく指令集合テスト及びＡ−Ｄ変換器テストを行う。第２の監視Ｋ２は、第１のモニタリング装置ＭＵ１においても、第１のモニタリング素子ＭＥ１により第１のテストバスＴＰ１を介して行うこともできる。

特に前記のプログラム流れ監視は、モニタリング装置ＭＵ１，ＭＵ２と機能計算機ＦＲとの間の質問−回答方法として行われる。適当な質問は、例えばモニタリング素子ＭＥ１，ＭＥ２に付属する質問発生器ＦＧにおいて発生される。両方の質問発生器ＦＧは同じに構成されているが、質問の選択は偶然に行われる。従ってモニタリング装置ＭＵ１の質問とモニタリング装置ＭＵ２による質問は、実際には常に異なっている。

監視Ｋ１，Ｋ２に誤りが生じると、有利なようにそれぞれ１つの誤りカウンタが高くセットされる。自由にプログラム可能な適当な誤り反応閾値を超過すると、特に監視モジュールＥ３により、機能モジュールＥ１に関係なくシステム反応が開始される。自由にプログラム可能な誤り反応閾値は、例えば安全に関連する最終段の遮断又は機能計算機ＦＲのリセットのように、種々のシステム反応のために異なっていてもよい。モニタリング装置ＭＵ１，ＭＵ２の１つがリセットを発生すると、状態機械ＳＭ１，ＳＭ２及び機能計算機ＦＲを含むシステム全体がリセットされる。しかしモニタリング装置ＭＵ１に誤りがある場合にのみリセットが開始され、モニタリング装置ＭＵ２に誤りがある場合安全に関連する最終段のみが遮断されるように、構成することもできる。

更に誤り反応としてのリセット指令の発生を、可能にするか又は阻止することができる。

監視計算機ＵＲの出力端は、有利なように相補的に構成されている。例えばチップ破壊又はいわゆるラッチアップ即ち半導体素子の低抵抗状態への移行により、例えばＡＳＩＣとして構成される監視計算機ＵＲが全故障する場合、監視計算機ＵＲのすべての出力端が同時に高レベル又は低レベルにあることを前提とする。この場合相補的な出力端は、図示しない外部回路と共に、システムの安全バス従ってシステムの安全に関連する最終段が遮断されるようにする。外部回路は、例えば抵抗及びトランジスタから成り、相補的な出力端の組合わせのみが安全に関連する最終段を使用可能にする。

図２は状態機械を示す。状態機械は僅かなハードウエア費用で有利に実現可能である。状態機械のこの実施例は、ソフトウエアとして構成される状態機械より速くかつ確実で故障が少ない。更にそれは操作可能でない。明細書の始めにおいて既に述べたように状態機械は、状態、状態移行及び動作から成る行動モデルである。状態は過去についての情報を記述する。この状態は、システム開始から現在の時点までの入力の変化を再現する。状態移行は状態機械の状態の変化を示し、移行を可能にするために満たされねばならない論理的条件によって記述される。動作は、特定の状況において行われる状態機械の出力である。状態機械は、ディジタル回路において、主として記憶プログラム可能な制御素子、論理ゲート、フリップフロップ又はリレーにより実現可能である。ハードウエアを実現するため、一般に状態変数を記憶するレジスタ、状態移行を選択する論理装置、及び出力の権限を持つ別の論理装置が使用される。各モニタリング装置ＭＵ１，ＭＵ２に、特に状態機械ＳＭ１、ＳＭ２が付属している。

制御装置の開始の際又はリセット後、ＩＮＩＴ状態がとられる。ＩＮＩＴ状態においてモニタリング装置ＭＵ１，ＭＵ２が、機能モジュールＥ１により、監視計算機ＵＲと機能計算機ＦＲとの間の通信インタフェースを介して構成される。その際特に回答時間、回答タイムスロット、誤り反応閾値、特に遮断閾値ｔｈｒｅｓｈ及びリセット閾値ｒｅｓｅｔ ｔｈｒｅｓｈが規定される。

状態機械ＳＭ１，ＳＭ２の運転の際規定される回答時間は、大体において自由に構成可能であり、通常１ｍｓ〜２５５ｍｓの範囲にある。

特に回答タイムスロットも状態機械に規定され、一時的に１ｍｓ〜２５５ｍｓの範囲にある。回答時間と回答タイムスロットとの関係は特に自由に規定可能である。

更に誤りカウンタの初期値は、誤りカウンタがＩＮＩＴ状態にＩＮＩＴにおいて遮断されたままであるのを確実にするため、自動的に遮断閾値ｔｈｒｅｓｈより上に設定される。動作ＥＯＩ（初期状態の終了）により、モニタリング素子ＭＥ１，ＭＥ２の構成が終了され、もはや変化不可能である。それにより状態ＳＯＰＣＤＩＳ（遮断バステスト不能）への状態移行が行われ、ここでＳＯＰＣは遮断バステストであり、誤りが生じる時、機能計算機又は監視計算機が例えば安全に関する出力最終段を正しく遮断できることを、遮断バステストは保証することができる。この状態で出力最終段はまだ解放されていない。

遮断バステストの際、状態機械において状態ＳＯＰＣＤＩＳ及びＳＯＰＣＥＮＡがとられる。第１段階で最終段が遮断され、第２段階で解放される。この解決策の利点は、遮断バステスト中に回答タイムスロットを考慮することなくできるだけ速く、回答を送ることができることである。それによりシステム立上がり時間を短く保つことができる。

状態ＳＯＰＣＤＩＳへ達することにより、特にＳＯＰＣタイマが始動されて、指令ＥＯＳＯＰＣ（ＳＯＰＣの終了）まで時間を測定する。テストが長く続きすぎると、テストは中断され、状態ＳＯＰＣＤＩＳが動作ＳＯＰＣ ｔｉｍｅｏｕｔを経て状態ＲＥＳＥＴへ移行する。

状態ＳＯＰＣＤＩＳにおいて、テストのできるだけ速い経過を保証するため、監視計算機ＵＲと機能計算機ＦＲとの間の質問−回答動作サイクルが、なるべく時間制限なしに始まる。即ち回答タイムスロットが空いている。誤った回答の場合、誤りカウンタが高められる。誤りカウンタが遮断閾値ｔｈｒｅｓｈより下にあると、条件ＥＣ＜ｄｉｓａｂｌｅｔｈｒｅｓｈにより，状態ＳＯＰＣＥＮＡへの移行が特に直ちに行われる。それにより出力段が解放される。

状態ＳＯＰＣＤＩＳから状態ＤＩＳＡＢＬＥへの移行は、機能計算機ＦＲと監視計算機ＵＲとの間の通信インタフェースにより始動される条件ＥＯＳＯＰＣ（遮断バステストの終了）を介して行われる。状態ＳＯＰＣＤＩＳにおいて規定されるように、出力最終段は阻止又は遮断されたままである。ただ１つの条件は、条件ＳＯＰＣ ｔｉｍｅｏｕｔの実行前の正しい指令である。

特に状態ＳＯＰＣＤＩＳから始まって状態ＳＯＰＣＥＮＡへ達すると、ＳＯＰＣタイマが有利なように更に動作する。監視計算機ＵＲと機能計算機ＦＲとの間の質問−回答動作も同様に時間的制限なしに続行される。誤りカウンタが遮断閾値ｔｈｒｅｓｈに達するか又はこれを超過すると、特に条件ＥＣ≧ｄｉｓａｂｌｅ ｔｈｒｅｓｈにより状態ＳＯＰＣＤＩＳへ戻る移行が行われる。

遮断バステストが長く続きすぎると、このテストが中断され、状態ＳＯＰＣＥＮＡが条件ＳＯＰＣ ｔｉｍｅｏｕｔを経て状態ＲＥＳＥＴへ移される。それに続く状態ＲＥＳＥＴから状態ＩＮＩＴへの移行は自動的に行われる。

状態ＳＯＰＣＥＮＡから状態ＮＯＲＭＡＬへの移行は、通信インタフェースにより再び開始される条件ＥＯＳＯＰＣを経て行われる。

出力最終段が既に前の状態で既に解放されていない限り、状態ＮＯＲＭＡＬにおいて出力最終段が解放される。この状態で監視計算機ＵＲと機能計算機ＦＲとの間の質問−回答動作が続行され、その際誤りカウンタの係数が前の状態から引継がれる。遮断バステストの状態ＣＯＰＣＥＮＡ及びＳＯＰＣＤＩＳとは異なり、この場合回答時間及び回答タイムスロットに関して時間的制限があるのがよい。機能計算機の作動システムの伝搬時間監視を保証するために、回答は早すぎても遅すぎてもいけない。回答時間は、回答を送信するためのできるだけ遅い時点である。第２としていわゆる“クローズトウインドウ”が構成される。この範囲において回答が送信されてはならない。回答時間と“クローズトウインドウ”との差は゛オープンウインドウ”又は回答タイムスロットを生じる。

回答時間及び回答タイムスロットはまず状態ＩＮＩＴにおいてプログラムされている。誤りカウンタは、有利なように誤った回答の際にも回答時間又は回答タイムスロットを超過する際にも高められる。遮断閾値ｔｈｒｅｓｈに達するか又はこれを超過すると、条件ＥＣ≧ｄｉｓａｂｌｅ ｔｈｒｅｓｈにより状態ＤＩＳＡＢＬＥへの移行が行われる。

状態ＤＩＳＡＢＬＥにおいて出力最終段が遮断される。この状態で、監視計算機ＵＲと機能計算機ＦＲとの間の質問−回答動作サイクルが続行される。この場合も、回答時間及び回答タイムスロットに関して時間的制限がある。誤った回答の際にも回答時間又は回答タイムスロットを超過する際にも、誤りカウンタが高められる。閾値ｔｈｒｅｓｈを下回ると、条件ＥＣ＜ｄｉｓａｂｌｅ ｔｈｒｅｓｈにより状態ＮＯＲＭＡＬへ戻る移行が行われる。状態ＮＯＲＭＡＬにおいて最終段が再び使用可能にされる。

状態ＤＩＳＡＢＬＥにおいて誤りカウンタがリセット閾値ｒｅｓｅｔ ｔｈｒｅｓｈに達して、リセット使用可能用のレジスタが予め設定された値１を持つと、条件ＥＣ≧ｒｅｓｅｔ ｔｈｒｅｓｈ ＡＮＤ ｉ＿ｒｅｑ＿ｒｓｔ＿ｅｎ＝１により状態ＲＥＳＥＴへの移行が行われる。続いて状態ＲＥＳＥＴから状態ＩＮＩＴへの移行は再び自動的に行われる。

状態機械において全過程を一層速く形成するために、状態機械において状態ＳＯＰＣＥＮＡを抜かすことができる。その場合一層速い遮断バステストが行われる。

両方の状態機械が首尾よく動作している場合、ＮＯＲＭＡＬ状態にある両方のモニタリング装置は、それぞれのモニタリング素子により、計算素子の監視を引受ける。

要約すれば、自動車の制御装置にある計算素子を監視するための本発明による監視構想が、公知の監視構想に比べて、速さ、プログラム費用及び確実さに関して改善を示していると結論することができる。

Claims (12)

1. 計算素子が構成されるプロセッサを監視する監視計算機（ＵＲ）であって、プロセッサが監視計算機（ＵＲ）のほかに機能計算機（ＦＲ）を含み、計算素子が機能モジュール（Ｅ１）、安全モジュール（Ｅ２）及び監視モジュール（Ｅ３）を含み、すべてのモジュール（Ｅ１，Ｅ２及びＥ３）が機能計算機（ＦＲ）上に構成可能であり、監視計算機（ＵＲ）が、インタフェースを介して質問−応答方法により機能計算機（ＦＲ）上の少なくとも監視モジュール（Ｅ３）と通信するものにおいて、
   機能計算機（ＦＲ）と監視計算機（ＵＲ）が物理的に互いに独立しており、監視計算機（ＵＲ）が互いに独立した２つのモニタリング装置（ＭＵ１，ＭＵ２）を含み、各モニタリング装置（ＭＵ１，ＭＵ２）により、機能計算機（ＦＲ）において適当なモニタリング素子（ＭＥ１，ＭＥ２）を用いて、機能計算機（ＦＲ）のプログラム指令の規則正しい処理を監視するそれぞれ１つの監視が実行可能であることと、
   第１のモニタリング装置（ＭＵ１）により、安全モジュール（Ｅ２）における第１の監視（Ｋ１）が、また第２のモニタリング装置（ＭＵ２）により、監視モジュール（Ｅ３）における第２の監視（Ｋ２）が、それぞれテストバス（ＴＰ１，ＴＰ２）において実行可能であり、第１のモニタリング装置（ＭＵ１）により、安全モジュール（Ｅ２）における第１の監視（Ｋ１）として、メモリテスト及びプログラム流れ監視が実行可能であり、第２のモニタリング装置（ＭＵ２）により、監視モジュール（Ｅ３）における第２の監視として、指令集合テスト及びＡ−Ｄ変換器テストが実行可能であることと、
   を特徴とする、監視計算機。
2. 監視（Ｋ１，Ｋ２）に誤りが生じると、誤りカウンタが操作可能であり、自由にプログラム可能な誤り反応閾値（ｔｈｒｅｓｈ，ｒｅｓｅｔ ｔｈｒｅｓｈ）を超過すると、監視計算機（ＵＲ）がプロセッサの反応を機能計算機（ＦＲ）とは無関係に始動可能であることを特徴とする、請求項１に記載の監視計算機。
3. それぞれ状態機械（ＳＭ１，ＳＭ２）により、計算素子におけるプロセッサの初期化の際、適当なモニタリング装置（ＭＵ１，ＭＵ２）を構成すると、パラメータ、即ち、質問−回答方法において回答を送信してもよい最も遅い時点である応答時間、質問−回答方法において回答を送信してはならない時間範囲である応答タイムスロット、遮断閾値（ｔｈｒｅｓｈ）及びリセット閾値（ｒｅｓｅｔ ｔｈｒｅｓｈ）が設定可能であり、パラメータがモニタリング装置（ＭＵ１，ＭＵ２）毎に互いに相違していてもよいことを特徴とする、請求項１又は２に記載の監視計算機。
4. 質問−回答方法における誤った回答をｎ回上方へ計数し、これに反し正しい回答をｍ回（ｍ≠ｎ）下方へ計数するように、誤り計数が非対称に行われることを特徴とする、請求項１〜３の１つに記載の監視計算機。
5. 監視計算機（ＵＲ）の出力端（ＵＲＡ）が、一方の出力端が高であると、他方の出力端は低となるように、相補的に構成されていることを特徴とする、請求項１〜４の１つに記載の監視計算機。
6. 応答時間が１ｍｓ〜２５５ｍｓの範囲にあることを特徴とする、請求項３に記載の監視計算機。
7. 応答タイムスロットが１ｍｓ〜２５５ｍｓの範囲にあり、応答時間と応答タイムスロットとの比が自由に設定可能であることを特徴とする、請求項３又は６に記載の監視計算機。
8. 遮断バステスト（ＳＯＰＣ）の際に、状態機械（ＳＭ１，ＳＭ２）における固有の状態として複数の状態（ＳＯＰＣＤＩＳ，ＳＯＰＣＥＮＡ）がとられることを特徴とする、請求項３に記載の監視計算機。
9. 連続ＣＲＣテスト（検査合計テスト）が背景において実行可能であることを特徴とする、請求項１〜８の１つに記載の監視計算機。
10. 質問−応答方法における質問を選択するための乱数発生がレジスタの線形フィードバックシフトにより行われることを特徴とする、請求項１〜９の１つに記載の監視計算機。
11. 請求項１に記載の機能計算機（ＦＲ）及び監視計算機（ＵＲ）を持つプロセッサであって、プロセッサ上に、少なくとも１つの入力量に関係して自動車の少なくとも１つの機能を制御する計算素子が構成され監視計算機（ＵＲ）が、インタフェースを介して、質問−回答方法により機能計算機（ＦＲ）と通信するものにおいて、
    機能計算機（ＦＲ）と監視計算機（ＵＲ）が物理的に互いに独立しており、監視計算機（ＵＲ）が互いに無関係な２つのモニタリング装置（ＭＵ１，ＭＵ２）を含み、各モニタリング装置（ＭＵ１，ＭＵ２）により適当なモニタリング素子（ＭＥ１，ＭＥ２）を用いて、機能計算機（ＦＲ）のプログラム指令の規則正しい処理を監視するためのそれぞれ１つの監視（Ｋ１，Ｋ２）が、機能計算機（ＦＲ）において実行可能であることと、
    第１のモニタリング装置（ＭＵ１）により、安全モジュール（Ｅ２）における第１の監視（Ｋ１）が、また第２のモニタリング装置（ＭＵ２）により、監視モジュール（Ｅ３）における第２の監視（Ｋ２）が、それぞれテストバス（ＴＰ１，ＴＰ２）において実行可能であり、第１のモニタリング装置（ＭＵ１）により、安全モジュール（Ｅ２）における第１の監視（Ｋ１）として、メモリテスト及びプログラム流れ監視が実行可能であり、第２のモニタリング装置（ＭＵ２）により、監視モジュール（Ｅ３）における第２の監視として、指令集合テスト及びＡ−Ｄ変換器テストが実行可能であることと、
    を特徴とする、プロセッサ。
12. 請求項１１に記載のプロセッサを監視する方法であって、
    機能計算機（ＦＲ）と監視計算機（ＵＲ）が物理的に互いに独立しており、監視計算機（ＵＲ）が互いに独立した２つのモニタリング装置（ＭＵ１，ＭＵ２）を含み、各モニタリング装置（ＭＵ１，ＭＵ２）により適当なモニタリング素子（ＭＥ１，ＭＥ２）を用いて、機能計算機（ＦＲ）のプログラム指令の規則正しい処理を監視するためのそれぞれ１つの監視（Ｋ１，Ｋ２）が、機能計算機（ＦＲ）において実行されることと、
    第１のモニタリング装置（ＭＵ１）により、安全モジュール（Ｅ２）における第１の監視（Ｋ１）が、また第２のモニタリング装置（ＭＵ２）により、監視モジュール（Ｅ３）における第２の監視（Ｋ２）が、それぞれテストバス（ＴＰ１，ＴＰ２）において実行され、第１のモニタリング装置（ＭＵ１）により、安全モジュール（Ｅ２）における第１の監視（Ｋ１）として、メモリテスト及びプログラム流れ監視が実行され、第２のモニタリング装置（ＭＵ２）により、監視モジュール（Ｅ３）における第２の監視として、指令集合テスト及びＡ−Ｄ変換器テストが実行されることと、
    を特徴とする、方法。

Images