CN104956335A - 用于分析系统中的事件的方法和装置 - Google Patents

Abstract

用于分析事件的方法，所述事件在系统中发生，所述系统由系统组件组成，所述系统组件在内部通过公共数据库彼此通信并且通过系统的至少一个第一接口与系统的系统环境连接，该方法具有步骤：只要系统的完整性组件识别出确定的事件在系统组件中的发生，就将系统的该系统组件与所述系统环境隔离（S1）；通过所述完整性组件将隔离的系统组件的控制移交(S2)给系统的分析组件，该分析组件通过系统的第二接口与外部分析单元建立通信连接；并且通过所述外部分析单元根据隔离的系统组件的组件数据分析（S3）在隔离的系统组件中发生的事件，所述组件数据存放在所述系统的公共数据库中。

Description

用于分析系统中的事件的方法和装置

技术领域

本发明涉及用于分析事件的方法和装置，所述事件在系统中、尤其在电子系统中发生，所述系统由系统组件组成，所述系统组件在内部通过公共数据库彼此通信。

背景技术

系统、尤其电子系统可以由大量不同的系统组件组成。所述系统组件可以一方面包括硬件组件并且另一方面包括软件组件。此外系统组件也可以是在其上实施软件的硬件组件。尤其在安全关键系统中，有错误的系统组件在发生错误时通常立即被切断。然而立即地切断这样的系统组件导致数据的丢失，所述数据对于分析和限定错误原因是必要的。如果在安全关键电子系统中发生错误，那么整个有错误的系统或者至少所述相关的系统组件在许多应用中立即被切断。如果相关系统被冗余地设计，则在识别到可以被分配给系统组件并且局限于该系统组件的错误时，相关的有错误的系统组件被切断，并且随后所述相关的系统组件要么被重新启动，以便消除错误并且检验系统组件，并且将所述系统组件置于所定义的状态下，要么相关的有错误的系统组件通过电子系统的功能性的等价的冗余的系统组件替换。在两种情况下，已经导致整个有错误的系统或者至少有错误的系统组件的切断的、诸如事件或者系统状态的所需要的数据的大部分在切断之后丢失并且不再可用于错误原因的分析和限定。

在运行电子系统期间，在许多传统的电子系统中，所述电子系统的重要的事件和系统状态被记录，其中记录的事件和系统状态或者数据应当随后对于可能的错误原因给出说明。这样的传统的电子系统的示例是在飞机或者有轨车辆中的所谓的黑匣子或者Microsoft Windows系统中的所谓的事件日志或者Unix系统中的系统日志。出于空间原因，这样的系统仅存储数据窗中的时间数据的选择、例如最新的N个数据记录。此外在这样的传统的系统中，在数据存储器中仅存储适用于证明错误的数据，其中所述系统的系统开发者在系统使用前已经考虑到所述错误。因此，如果相应错误发生的可能性在系统开发期间未在系统开发者方被考虑，或者所存储的数据处于相关数据窗之外，则维修工程师可以例如不分析导致或者已经导致系统功能失灵的事件。只要所述数据存储器自身不遭受错误，仅所记载的并且仍可用的数据或者数据记录准备好用于分析错误情况。因此对在错误情况下立即切断的系统或系统组件处的暂时系统状态的检验在传统的系统中是不可能的。

发明内容

因此，本发明的任务是，实现用于分析事件的方法和装置，所述方法即使在切断相关的系统组件后也允许在发生的错误的错误原因方面对所述发生的错误进行分析。

该任务按照本发明通过具有在权利要求1中说明的特征的方法解决。

本发明因此实现用于分析事件的方法，所述事件在系统中发生，所述系统由系统组件组成，所述系统组件在内部通过公共数据库彼此通信并且通过系统的第一接口与系统的系统环境连接，其中所述方法具有以下步骤：

只要系统的完整性组件识别出确定的事件在系统组件中的发生，就将系统的该系统组件与所述系统环境隔离，

通过所述完整性组件将隔离的系统组件的控制移交给系统的分析组件，所述分析组件通过所述系统的第二接口与外部分析单元建立通信连接，并且

通过所述外部分析单元根据隔离的系统组件的组件数据分析在隔离的系统组件中发生的事件，所述组件数据存放在所述系统的公共数据库中。

因此利用按照本发明的方法，保存在错误出现的时间点存在的系统状态以及所记载的事件。由此整个有错误的系统或者至少相关的有错误的系统组件继续可用于分析。

按照本发明的方法可以在系统开发期间被使用用于测试系统或者用于在错误排除的范围中寻找错误原因。此外，可以在现场使用所述系统期间、也即在可操作地使用所述系统期间实施所述按照本发明的方法。

在按照本发明的方法的一种可能的实施方式中，所述系统的分析组件将在系统的公共数据库中存放的、隔离的系统组件的组件数据通过建立的通信连接提供给外部分析单元用以分析在隔离的系统组件中发生的事件。

在按照本发明的方法的另一可能的实施方式中，所述外部分析单元在对在隔离的系统组件中发生的事件进行了分析之后去活隔离的系统组件。

在按照本发明的方法的另一可能的实施方式中，所述分析组件紧接着将相关的系统组件的可定义的组件数据写入所述系统的公共数据库中。

在按照本发明的方法的另一可能的实施方式中，在将所述可定义的组件数据写入系统的公共数据库中后，所述外部分析单元促使整个系统或者所述相关系统组件重新启动。

在按照本发明的方法的另一可能的实施方式中，在所述系统的每个系统组件中存储所述系统的所有系统组件的在公共数据库中存放的组件数据的数据副本。

在按照本发明的方法的另一可能的实施方式中，所述完整性组件基于在系统的公共数据库中存放的组件数据持续地监控在所述系统的系统组件中的事件的发生。

在按照本发明的方法的另一可能的实施方式中，所述完整性组件当在所述系统的系统组件中发生确定的事件时将该系统组件与所述系统环境隔离。

在按照本发明的方法的另一可能的实施方式中，所述完整性组件使隔离的系统组件（只要可能）至少保持如此长时间有效，直到通过所述外部分析单元对在所述系统组件中发生的事件的分析结束为止。

在按照本发明的方法的另一可能的实施方式中，通过系统的系统组件仅仅对所述系统的公共数据库内的各自的系统组件的自身的组件数据进行写访问。

在按照本发明的方法的另一可能的实施方式中，通过在系统中实施的测试组件对所述系统的所有系统组件的组件数据进行写访问以及读访问，所述组件数据存放在系统的公共数据库中。

在按照本发明的方法的另一可能的实施方式中，所述系统的分析组件使用所述系统的测试组件，用于对所述系统的系统组件的组件数据进行写访问和读访问，所述组件数据存放在系统的公共数据库中。

在按照本发明的方法的另一可能的实施方式中，在系统中存在的测试组件通过所述系统的第二接口与外部测试单元具有通信连接。

在按照本发明的方法的另一可能的实施方式中，所述测试组件作为系统的系统组件有针对性地在所述系统的一个或多个系统组件中引起事件，所述事件通过所述系统的完整性组件检测。

在按照本发明的方法的另一可能的实施方式中，所述系统的系统组件控制和/或监控所述系统的系统环境的外部组件。

在按照本发明的方法的另一可能的实施方式中，所述系统的系统环境的外部组件具有执行器和/或传感器，所述执行器和/或传感器经由网络与系统的所述一个或多个第一接口连接并且通过系统的系统组件控制和/或监控。

在按照本发明的方法的另一可能的实施方式中，包括完整性组件、分析组件和测试组件在内的、所述系统的系统组件中的至少一些是软件组件，所述软件组件在所述系统的一个或多个处理器内核上实施。

在按照本发明的方法的另一可能的实施方式中，在所存储的组件数据与预先给定的额定值发生偏差时、在超出极限值或者阈值时或者在出现不一致性时，所述完整性组件识别出在系统组件中的事件的发生。

在按照本发明的方法的另一可能的实施方式中，所述系统的第一接口通过至所述系统的系统环境的网络的网络接口构成。

在按照本发明的方法的另一可能的实施方式中，所述系统的第二接口通过至本地或者远距离设置的分析单元和/或测试单元的接口、尤其无线接口构成。

此外，本发明实现一种具有在权利要求15中说明的特征的系统、尤其电子系统。

因此本发明实现一种系统、尤其电子系统，所述系统由系统组件组成，所述系统组件在内部通过公共数据库彼此通信并且通过所述系统的至少一个第一接口与所述系统的系统环境连接，其中所述系统具有：

完整性组件，一旦所述系统的完整性组件识别出确定的事件在系统的系统组件中发生，所述完整性组件就将系统的相应的系统组件与系统的系统环境隔离，

分析组件，所述完整性组件将隔离的系统组件的控制移交给所述分析组件，紧接着所述分析组件通过系统的第二接口与外部分析单元建立通信连接，所述外部分析单元根据组件数据分析在隔离的系统组件中发生的事件，所述组件数据存储在所述系统的公共数据库中。

在按照本发明的系统的另一可能的实施方式中，所述系统的系统组件在相应的系统中冗余地存在。

在按照本发明的系统的另一可能的实施方式中，所述系统是分布式系统。

在按照本发明的系统的另一可能的实施方式中，所述系统是实时系统。

在按照本发明的系统的另一可能的实施方式中，所述系统的系统环境具有网络，所述网络将执行器和/或传感器与所述系统的第一接口连接。

在按照本发明的系统的另一可能的实施方式中，所述系统的第一接口是至所述系统环境的网络的网络接口。

在按照本发明的系统的另一可能的实施方式中，至分析单元和/或测试单元的所述系统的第二接口是无线接口、尤其是移动无线电接口。

在按照本发明的系统的另一可能的实施方式中，所述系统具有多个处理器，所述处理器分别具有多个处理器内核，其中软件组件在处理器内核上实施，所述软件组件通过完整性组件监控。

此外，本发明实现一种运输工具、尤其是道路运输工具、有轨车辆或飞行器，具有至少一个系统、尤其电子系统，所述系统由系统组件组成，所述系统组件在内部通过公共数据库彼此通信并且通过所述系统的至少一个第一接口与所述系统的系统环境连接，其中所述系统具有：

完整性组件，一旦所述系统的完整性组件识别出确定的事件在系统的系统组件中的发生，所述完整性组件就将所述系统的相应的系统组件与所述系统的系统环境隔离，

分析组件，所述完整性组件将隔离的系统组件的控制移交给所述分析组件，紧接着，所述分析组件通过系统的第二接口与外部分析单元建立通信连接，所述外部分析单元根据组件数据分析在隔离的系统组件中发生的事件，所述组件数据存储在所述系统的公共数据库中。

此外，本发明实现具有至少一个按照本发明的系统的自动化设备，所述系统控制所述自动化设备的执行器并且评估传感器数据，所述传感器数据由所述自动化设备的传感器提供。

此外，按照本发明的方法和按照本发明的系统的可能的实施方式参照附图进一步被阐述。

附图说明

图1示出用于描述按照本发明的方法的实施例的流程图；

图2示出用于描述按照本发明的系统的实施例的示意图。

具体实施方式

从图1可以看出，在所述描述的实施例中，用于分析在例如由多个系统组件组成的系统、尤其是电子系统中发生的事件的按照本发明的方法具有多个步骤。所述系统的系统组件在内部通过公共数据库彼此通信。此外，所述系统的系统组件通过至少一个第一接口与所述系统的系统环境连接。所述系统的系统环境可以例如具有网络，所述网络通过所述系统的一个或多个第一接口连接执行器和/或传感器。

如在按照图1的流程图中所示的，只要系统的完整性组件识别出确定的事件在系统组件中的发生，那么在步骤S1中首先将所述系统的系统组件与所述系统环境隔离。所述完整性组件可以基于在所述系统的公共数据库中存放的组件数据持续地监控在系统的系统组件中事件的发生。当确定的事件在系统的系统组件中发生时，所述完整性组件将该系统组件与所述系统环境隔离并且优选地使隔离的系统组件（如果可能）至少保持如此长时间有效，直到在所述系统组件中发生的事件的分析结束为止。

在另外的步骤S2中，通过所述完整性组件随后将所述隔离的系统组件的控制移交给所述系统的分析组件。所述分析组件通过系统的第二接口与外部分析单元建立通信连接。所述系统至所述外部分析单元的第二接口可以在可能的实施方式中通过无线接口实施。所述无线接口尤其是移动无线电接口。

在按照本发明方法的另外的步骤S3中，如在图1中所示的，在隔离的系统组件中发生的事件随后通过所述外部分析单元根据隔离的系统组件的组件数据分析，所述组件数据存放在所述系统的公共数据库中。在此，所述系统的分析组件可以通过所建立的通信连接将在步骤S1中隔离的系统组件的在所述系统的公共数据库中存放的组件数据提供给外部分析单元，用于分析在隔离的系统组件中发生的事件。可选地，接着所述外部分析单元可以在对在所述隔离的系统组件中发生的事件进行分析后至少去活系统的隔离的系统组件。去活可以与分析结果有关地进行。此外，所述分析组件可以在可能的实施方式中将可定义的组件数据写入所述系统的公共数据库中。通过所述第二接口（例如无线接口）与所述系统、尤其是电子系统连接的外部分析单元可以在将可定义的组件数据写入所述系统的公共数据库中后促使或者自身进行整个系统的重新启动。

所述系统的系统组件包括硬件组件以及软件组件。所述系统可以例如具有多个处理器，所述处理器分别具有一个或多个处理器内核，其中软件组件在所述处理器内核上实施，所述软件组件通过完整性组件监控。所述完整性组件在可能的实施方式中在识别出相应的系统组件的所存储的组件数据与预先给定的额定值偏离之后识别在系统组件中事件的发生。此外，所述完整性组件可以在超过极限值或者阈值时或者在发生数据不一致性时识别事件的发生。在这样的事件发生时，所述完整性组件可以在步骤S1中隔离相关的系统组件并且随后着将隔离的系统组件的控制移交给所述系统的分析组件。随后，该分析组件例如通过无线的第二接口与外部分析单元建立通信连接，所述外部分析单元根据隔离的系统组件的组件数据在步骤S3中分析在系统组件中发生的事件、例如发生所存储的组件数据与预先给定的额定值的偏离或者超过极限值或者阈值，其中所述组件数据存放在所述系统的公共数据库中。

所述系统的公共数据库可以说明所有系统组件在确定的时间点、例如在时钟信号的时钟边沿的时间点的状态。所述系统和其系统组件的内部状态尤其包括变量和信号，所述变量和信号在上一个时钟周期中在系统组件之间被交换。此外，所述数据库也可以包含包括完整性组件和分析组件在内的系统组件的模块状态。在可能的实施方式中，所述公共数据库作为在所有系统组件上的数据副本存在。在可能的实施方式中，在所述系统的每个系统组件中存储所述系统的所有系统组件的在公共数据库中存放的组件数据的数据副本。优选地，通过所述系统的系统组件可以仅仅对公共数据库内的相应系统组件的自身的组件数据进行写访问。

在按照本发明的方法的另一可能的实施方式中，除了所述完整性组件和分析组件以外附加地在所述系统中存在或者实施测试组件。通过在所述系统中实施的所述测试组件可以优选地对所述系统的所有系统组件的组件数据进行写访问以及读访问，所述组件数据存放在相应系统的公共数据库中。在按照本发明的方法的可能的实施方式中，所述系统的分析组件利用存在的测试组件，用以对所述系统的系统组件的组件数据进行写访问和读访问，所述组件数据存放在所述系统的公共数据库中。在所述系统中现有的测试组件可以在可能的实施方式中通过系统的第二接口、例如无线接口具有与外部测试单元的通信连接。在按照本发明的方法的可能的实施方式中，所述测试组件作为所述系统的系统组件有针对性地在所述系统的一个或多个系统组件中引起事件，所述事件通过所述系统的完整性组件检测。包括完整性组件、分析组件和必要时存在的测试组件的、系统的一些系统组件由软件组件构成，所述软件组件在系统的一个或多个处理器内核上实施。在此，一些系统组件监控所述系统环境的外部组件并且还可以控制这些外部组件。所述系统环境可以例如具有网络，所述网络将执行器和/或传感器与所述系统的一个或多个第一接口连接。所述系统的不同的系统组件可以在可能的实施方式中是冗余地存在的。此外，所述系统可以是分布式系统。在可能的实施方式中，所述系统此外可以是实时系统，所述实时系统实时地检测和评估数据。在图1中示出的方法可以在所述系统的系统开发期间被使用用于测试目的和/或用于寻找错误原因。

此外，在图1中示出的方法也可以在所述系统的其可操作的使用期间被实施，以便分析事件。在按照本发明的系统中，与传统的系统相比，附加的系统组件被集成、即分析组件。所述分析组件可以在可能的实施方式中作为软件组件来实施。所述系统、尤其电子系统也在确定的时间点、例如在时钟边沿出现时或者在确定的事件出现时、例如当错误发生时执行集成的分析组件，如每个其他的系统组件那样。所述集成的分析组件因此也永久地在系统开发期间和在系统使用期间被纳入计划，并且因此不以不允许的方式改变所述系统的系统行为、尤其安全关键电子系统的系统行为。在按照本发明的系统中，所述集成的分析组件通过分离的通信连接或通信线路与外部的不属于系统本身的分析单元连接。集成在按照本发明的系统中的另一专门的系统组件是完整性组件，其确定系统错误和系统不一致性。

图2示意性地示出针对按照本发明的系统的简单的实施例，其中按照本发明的用于分析事件的方法可以被执行。

在图2中示意性地示出的实施例中，所述系统包括具有多个DCC单元（Data Communication Computer（数据通信计算机））的平台内核，所述DCC单元可以通过网络接口例如环形地彼此连接。所述系统具有确定数量的DCC单元和多个一致的（konform）或者不一致的传感器或者执行器AIS。每个DCC单元可以包含存储器以及软件模块，在所述软件模块中实施完整性组件和分析组件。外部分析单元AE通过另外的虚线示出的接口、例如无线接口与在DCC单元和其软件模块上实施的分析组件连接。

在可能的实施方式中，所述系统组件通过中央公共数据库通信。在该中央公共数据库中，所述系统组件存放组件状态和事件或者信号。如果测试组件存在，那么该测试组件可以以读和写的方式访问中央公共数据库。一旦所述完整性组件确定系统错误或者系统组件的错误，该完整性组件就将相关的系统组件与所述系统环境隔离。随后，所述完整性组件将系统控制移交给所述分析组件。于是，所述分析组件把系统状态通知给所述分析单元。此外，所述分析单元通过分析组件传递来自中央数据区域或中央数据库的组件状态和事件。紧接着，所述分析单元通过另外的过程决定，例如是否切断有错误的系统组件或者甚至整个系统，或者是否在所述中央数据区域或者中央数据库中装载所定义的状态并且执行系统的重新启动。

在可能的实施方式中，所述分析组件可以在出现错误或者事件时持续地给外部分析单元供应数据或者将数据发送给所述分析单元（记录）。

在按照本发明的方法中，所述一个相关的系统组件或多个相关的系统组件在出现错误或者确定的事件后被隔离，然而被保持有效，使得在所述系统处例如通过分析程序或者工程师可以执行其他分析，或者以便更改所述系统的有错误的行为并且随后可以将所述系统重新投入运行。对此在按照本发明的方法中，使用系统的中央数据区域或者中央数据库。该中央数据库用于使所述系统的系统组件彼此去耦，因为所述系统组件之间的通信仅通过所述中央数据库进行。此外，系统组件的组件状态和组件功能被去耦，其方式是，将状态变量转移到中央数据区域或者中央数据库中。

在按照本发明的可能的实施方式中，存在专门化的测试组件，所述测试组件可以读取中央数据库并且写入该数据库中，然而此外由系统如每个其他系统组件那样被处理。以这种方式，所述专门化的测试组件和必要时所连接的测试单元不能以不允许的方式影响所述系统的系统行为。

按照本发明的方法可以无缝地与传统的记录技术组合。按照本发明的方法可以与交互式测试、探测式测试一样地支持所述系统的自动测试。按照本发明的方法此外可以在以下情节中使用，即其中系统行为或错误的原因事先是未知的。

在按照本发明的系统的可能的实施方式中，所示系统集成在运输工具中。在一种可能的实施方式中，该运输工具是道路运输工具、有轨车辆或飞行器。此外可能的是，按照本发明的系统被设置在自动化设备中，其中所述自动化设备控制执行器，并且评估传感器数据，所述传感器数据由自动化设备的传感器提供。

按照本发明的方法或者系统可以例如在运输工具控制的上下文中、尤其在电动车辆情况下被使用，尤其用于测试硬件/软件特定的非功能性安全服务，其中冗余地设计的中央硬件/软件平台或者所述系统应当自动地为运输工具功能提供所示硬件/软件特定的非功能性安全服务。为了识别错误和保证系统或者电子系统的可用性，电动车辆的中央硬件/软件平台冗余地设计和监控并且比较冗余信道的状态。这可以为该硬件/软件平台的每个同样冗余地设计的计算机来执行。如果例如该硬件/软件平台的完整性组件确定出不可忍受的不一致性或者错误，则隔离所述控制的相关部分或者相关的系统组件并且随后冗余的系统组件接管其功能，因为在有错误的控制部分或者有错误的系统组件情况下安全的运行不再是可能的。利用按照本发明的方法，不仅系统组件或者总系统的行为可以一起被记录直到切断有错误的系统组件为止，而且有错误的系统组件此外被隔离并且继续可供所述测试系统使用，使得该有错误的系统组件可以被分析并且在可操作的使用中、例如在运输工具内必要时甚至可以被修复。

在可能的实施方式中，在错误情况下，不仅系统的有错误的相关的系统组件而且整个系统可以以所描述的方式被隔离。在现场运行中、也即在所述系统的可操作的使用中，所述系统或者系统组件可以被隔离到何种程度与相应的应用有关。

对于在成批生产的运输工具中的使用，可以如下使用按照本发明的方法。在隔离有错误的系统组件或者有错误的子系统后，所述测试组件独立地将在错误时间点存在的系统状态传输给数据存储器，其中运输工具服务稍后以传统的方式分析所述系统状态或者传输给外部的、优选无线连接的测试单元或者分析单元。所述测试单元或分析单元可以例如安装在运输工具制造商处，以便执行诊断或者修复。在按照本发明的方法中，分离的通信连接可用于数据传输。此外，所述测试组件可以自主地或者根据测试单元的指示以所定义的状态进行重新启动并且检验：所述子系统或者相关的系统组件在执行了系统的重新初始化后是否重新可用。

按照本发明的方法和系统尤其适用于高度可用的、安全关键的和冗余地设计的分布式实时系统。这些实时系统在开发中并且即使在开发后也对错误的追根溯源性和重调整以及对错误原因的分析提出高的要求。

但是，按照本发明的方法和系统并不局限于在冗余系统或者在运输工具中的使用，而是可以集成在最不同类型的电子系统中。只要所述系统不是冗余地设计的，在由错误决定地切断之后，相关的系统组件的系统功能不再可供使用。然而，系统状态和还有迄今的系统进程仍然可以利用按照本发明的方法完全地被分析。可能地，根据发生的错误的错误类型，通过所述分析重建的系统甚至可以继续其工作。

在按照本发明的方法和按照本发明的系统的可能的另一实施方式中，分析组件和/或测试组件以及至测试单元和/或分析单元的所属的通信连接在其侧可以冗余地被设计。这提供以下优点：即使所述测试组件或者分析组件和所属的测试单元或者分析单元自身是有错误的，按照本发明的方法和系统也继续地起作用。

Claims (21)

1.用于分析事件的方法，所述事件在系统中出现，所述系统由系统组件组成，所述系统组件在内部通过公共数据库彼此通信并且通过系统的至少一个第一接口与系统的系统环境连接，具有步骤：

(a) 只要系统的完整性组件识别出确定的事件在系统组件中的发生，就将系统的该系统组件与所述系统环境隔离（S1）；

(b) 通过所述完整性组件将隔离的系统组件的控制移交(S2)给系统的分析组件，该分析组件通过系统的第二接口与外部分析单元建立通信连接；并且

(c) 通过所述外部分析单元根据隔离的系统组件的组件数据分析（S3）在隔离的系统组件中发生的事件，所述组件数据存放在所述系统的公共数据库中。

2.根据权利要求1所述的方法，

其中所述系统的分析组件通过所建立的通信连接将隔离的系统组件的在所述系统的公共数据库中存放的组件数据提供给所述外部分析单元用于分析在所述隔离的系统组件中发生的事件。

3.根据权利要求1或2所述的方法，

其中所述外部分析单元在对在所述隔离的系统组件中发生的事件进行分析之后至少去活所述系统的隔离的系统组件和/或将可定义的组件数据写入所述系统的公共数据库中。

4.根据权利要求3所述的方法，

其中所述外部分析单元在将所述可定义的组件数据写入所述系统的公共数据库中后促使或者进行所述系统的重新启动。

5.根据上述权利要求1至4之一所述的方法，其中系统的所有系统组件的在公共数据库中存放的组件数据的数据副本被存储在所述系统的每个系统组件中。

6.根据上述权利要求1至5之一所述的方法，其中所述完整性组件基于在所述系统的公共数据库中存放的组件数据持续地监控在所述系统的系统组件中事件的发生，

其中当确定的事件在所述系统的系统组件中发生时，所述完整性组件将该系统组件与所述系统的系统环境隔离，并且使隔离的系统组件至少保持如此长时间有效，直到通过所述外部分析单元对在所述系统组件中发生的事件的分析结束为止。

7.根据上述权利要求1至6之一所述的方法，其中通过在系统中实施的测试组件对所述系统的所有系统组件的组件数据进行写访问以及读访问，所述组件数据存放在所述系统的公共数据库中。

8.根据权利要求7所述的方法，

其中所述系统的分析组件使用所述系统的测试组件，用于对所述系统的系统组件的组件数据进行写访问和读访问，所述组件数据存放在所述系统的公共数据库中。

9.根据权利要求7或8所述的方法，

其中在所述系统中存在的测试组件通过所述系统的第二接口与外部测试单元具有通信连接。

10.根据上述权利要求7至9之一所述的方法，

其中所述测试组件作为所述系统的系统组件有针对性地在所述系统的一个或多个系统组件中引起事件，所述事件通过所述系统的完整性组件检测。

11.根据上述权利要求1至10之一所述的方法，

其中所述系统的系统组件控制和/或监控所述系统的系统环境的外部组件，

其中所述系统的系统环境的外部组件具有执行器和/或传感器，所述执行器和/或传感器通过网络与所述系统的第一接口连接并且通过所述系统的系统组件控制和/或监控。

12.根据上述权利要求1至11之一所述的方法，

其中包括完整性组件、分析组件和测试组件在内的系统的至少一些系统组件是软件组件，所述软件组件在所述系统的一个或多个处理器内核上实施。

13.根据上述权利要求1至12之一所述的方法，

其中所述完整性组件在发生所存储的组件数据与预先给定的额定值之间的偏离时、在超过极限值或者阈值时或者在发生不一致性时识别出事件在系统组件中的发生。

14.根据上述权利要求1至13之一所述的方法，

其中所述系统的第一接口由至所述系统的系统环境的网络的网络接口构成，

其中所述系统的第二接口由至本地或者远距离地设置的分析单元和/或测试单元的接口、尤其是无线接口构成。

15.由系统组件组成的系统、尤其电子系统，所述系统组件在内部通过公共数据库彼此通信并且通过所述系统的第一接口与所述系统的系统环境连接，其中所述系统具有：

完整性组件，一旦所述系统的完整性组件识别出确定的事件在系统的系统组件中的发生，所述完整性组件就将所述系统的相应的系统组件与所述系统的系统环境隔离；

分析组件，所述完整性组件将隔离的系统组件的控制移交给所述分析组件，紧接着，所述分析组件通过系统的第二接口与外部分析单元建立通信连接，所述外部分析单元根据组件数据分析在隔离的系统组件中发生的事件，所述组件数据存储在所述系统的公共数据库中。

16.根据权利要求15所述的系统，

其中所述系统是分布式系统、尤其是分布式实时系统，所述分布式系统具有冗余的系统组件。

17.根据上述权利要求15和16之一所述的系统，

其中所述系统的系统环境具有网络，所述网络将执行器和/或传感器与所述系统的第一接口连接。

18.根据上述权利要求15至17之一所述的系统，

其中所述系统的第一接口是至所述系统环境的网络的网络接口，其中至所述分析单元和/或测试单元的所述系统的第二接口是无线接口、尤其是移动无线电接口。

19.根据上述权利要求15至18之一所述的系统，

其中所述系统具有多个处理器，所述处理器分别具有多个处理器内核，其中软件组件在所述处理器内核上实施，所述软件组件通过完整性组件监控。

20.运输工具、尤其是道路运输工具、有轨车辆或者飞行器，具有至少一个根据上述权利要求15至19之一所述的系统。

21.具有至少一个根据上述权利要求15至19之一所述的系统的自动化设备，所述系统控制所述自动化设备的执行器并且评估传感器数据，所述传感器数据由所述自动化设备的传感器提供。