DE102006028695A1 - Elektronisches Steuersystem mit Fehlfunktionsüberwachung - Google Patents

Elektronisches Steuersystem mit Fehlfunktionsüberwachung Download PDF

Info

Publication number
DE102006028695A1
DE102006028695A1 DE102006028695A DE102006028695A DE102006028695A1 DE 102006028695 A1 DE102006028695 A1 DE 102006028695A1 DE 102006028695 A DE102006028695 A DE 102006028695A DE 102006028695 A DE102006028695 A DE 102006028695A DE 102006028695 A1 DE102006028695 A1 DE 102006028695A1
Authority
DE
Germany
Prior art keywords
monitoring
value
microcomputer
calculated
control
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
DE102006028695A
Other languages
English (en)
Other versions
DE102006028695B4 (de
Inventor
Masato Kariya Yano
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Denso Corp
Original Assignee
Denso Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from JP2005183831A external-priority patent/JP4396588B2/ja
Priority claimed from JP2005183832A external-priority patent/JP2007002759A/ja
Application filed by Denso Corp filed Critical Denso Corp
Publication of DE102006028695A1 publication Critical patent/DE102006028695A1/de
Application granted granted Critical
Publication of DE102006028695B4 publication Critical patent/DE102006028695B4/de
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
    • G05B23/0218—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterised by the fault detection method dealing with either existing or incipient faults
    • G05B23/0224—Process history based detection method, e.g. whereby history implies the availability of large amounts of data
    • G05B23/0227—Qualitative history assessment, whereby the type of data acted upon, e.g. waveforms, images or patterns, is not relevant, e.g. rule based assessment; if-then decisions
    • G05B23/0235—Qualitative history assessment, whereby the type of data acted upon, e.g. waveforms, images or patterns, is not relevant, e.g. rule based assessment; if-then decisions based on a comparison with predetermined threshold or range, e.g. "classical methods", carried out during normal operation; threshold adaptation or choice; when or how to compare with the threshold
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D11/00—Arrangements for, or adaptations to, non-automatic engine control initiation means, e.g. operator initiated
    • F02D11/06—Arrangements for, or adaptations to, non-automatic engine control initiation means, e.g. operator initiated characterised by non-mechanical control linkages, e.g. fluid control linkages or by control linkages with power drive or assistance
    • F02D11/10—Arrangements for, or adaptations to, non-automatic engine control initiation means, e.g. operator initiated characterised by non-mechanical control linkages, e.g. fluid control linkages or by control linkages with power drive or assistance of the electric type
    • F02D11/107—Safety-related aspects
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/22—Safety or indicating devices for abnormal conditions
    • F02D41/221—Safety or indicating devices for abnormal conditions relating to the failure of actuators or electrically driven elements
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/24—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means
    • F02D41/26—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means using computer, e.g. microprocessor
    • F02D41/266—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means using computer, e.g. microprocessor the computer being backed-up or assisted by another circuit, e.g. analogue
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D11/00—Arrangements for, or adaptations to, non-automatic engine control initiation means, e.g. operator initiated
    • F02D11/06—Arrangements for, or adaptations to, non-automatic engine control initiation means, e.g. operator initiated characterised by non-mechanical control linkages, e.g. fluid control linkages or by control linkages with power drive or assistance
    • F02D11/10—Arrangements for, or adaptations to, non-automatic engine control initiation means, e.g. operator initiated characterised by non-mechanical control linkages, e.g. fluid control linkages or by control linkages with power drive or assistance of the electric type
    • F02D2011/101—Arrangements for, or adaptations to, non-automatic engine control initiation means, e.g. operator initiated characterised by non-mechanical control linkages, e.g. fluid control linkages or by control linkages with power drive or assistance of the electric type characterised by the means for actuating the throttles
    • F02D2011/102—Arrangements for, or adaptations to, non-automatic engine control initiation means, e.g. operator initiated characterised by non-mechanical control linkages, e.g. fluid control linkages or by control linkages with power drive or assistance of the electric type characterised by the means for actuating the throttles at least one throttle being moved only by an electric actuator

Landscapes

  • Engineering & Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Chemical & Material Sciences (AREA)
  • Combustion & Propulsion (AREA)
  • Mechanical Engineering (AREA)
  • Computer Hardware Design (AREA)
  • Microelectronics & Electronic Packaging (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Automation & Control Theory (AREA)
  • Combined Controls Of Internal Combustion Engines (AREA)
  • Testing And Monitoring For Control Systems (AREA)

Abstract

Eine elektronische Steuervorrichtung für ein Fahrzeug besteht aus einem Mikrocomputer und einem Überwachungsmodul. Der Mikrocomputer enthält eine Steuerung für ein fahrzeugseitiges Stellglied und eine Steuerungsüberwachung. Die Steuerungsüberwachung überwacht die Gültigkeit eines zu überwachenden Objekts, welches einem im Betrieb in der Stellgliedsteuerung zugeordnet ist, basierend auf einem vom Mikrocomputer berechneten Wert, der der Gültigkeit des zu überwachenden Objekts zugeordnet ist, sowie eines erwarteten Wertes hiervon. Die Steuerungsüberwachung überwacht die Fehlfunktion in der Stellgliedsteuerung, basierend auf der Gültigkeit des zu überwachenden Objekts. Der Mikrocomputer gibt den berechneten Wert und den erwarteten Wert an das Überwachungsmodul aus. Das Überwachungsmodul überwacht eine Fehlfunktion in der Steuerungsüberwachung, basierend auf einem Vergleich zwischen berechnetem Wert und dem erwarteten Wert. Insbesondere werden die Überwachung der Stellgliedsteuerung und die Überwachung der Steuerungsüberwachung gleichzeitig durchgeführt, was zu einer wesentlich verbesserten Zuverlässigkeit bei der Steuerung des fahrzeugseitigen Stellglieds führt.

Description

  • QUERVERWEIS AUF ZUGEHÖRIGES DOKUMENT
  • Die vorliegende Anmeldung beansprucht die Prioritäten der japanischen Patentanmeldung Nr. 2005-1831831, angemeldet am 23. Juni 2005 und der Japanischen Patentanmeldung Nr. 2005-183832, angemeldet am 23 Juni 2005; auf die dortigen Offenbarungsgehalte wird vollinhaltlich Bezug genommen.
  • HINTERGRUND DER ERFINDUNG
  • Technisches Gebiet der Erfindung
  • Die vorliegende Erfindung betrifft allgemein ein elektronisches Steuersystem, das dafür ausgelegt ist, den Betrieb eines Stellglieds, beispielsweise eines Elektromotors elektrisch zu steuern, der dahingehend arbeitet, eine Drosselklappe zur Verwendung in Kraftfahrzeugmotoren zu öffnen und zu schließen; insbesondere betrifft sie ein System, welches dafür ausgelegt ist, einen Treiberbefehl, der an einen Treiberschaltkreis eines fahrzeugseitigen Stellglieds von einem Mikrocomputer ausgegeben wird, selbst zu überwachen und auch einen derartigen Selbstüberwachungsvorgang gleichzeitig mittels eines Überwachungsmoduls zu überwachen.
  • Die Japanische Übersetzung der internationalen Veröffentlichung Nr. 11-505587 lehrt den obigen Typ eines elektronischen Steuersystems. 24 zeigt ein typisches elektronisches Steuersystem mit der Struktur, wie sie in dieser Veröffentlichung beschrieben ist.
  • Das elektronische Steuersystem ist dafür ausgelegt, den Betrieb eines Elektromotors zu steuern, der dahingehend arbeitet, eine in einem Kraftfahrzeug angeordnete Drosselklappe zu öffnen oder zu schließen. Das elektronische Steuersystem besteht im Wesentlichen aus einem Mikrocomputer 10, einem Überwachungsmodul 20 und einem Treiberschaltkreis 30.
  • Der Mikrocomputer 10 arbeitet dahingehend, bestimmte Abläufe durchzuführen, um den Betrieb des Motors zu steuern. Insbesondere enthält der Mikrocomputer 10 einen Eingabeschaltkreis 11, eine Steuerung 12, eine Selbstüberwachung 13, einen Programmablaufschaltkreis 14 und einen Kommunikationsschaltreis 15. Das Überwachungsmodul 20 enthält einen Kommunikationsschaltkreis 22 und einen Fehlfunktionsentscheidungsschaltkreis 21.
  • Die Steuerung 12 empfängt ein Eingangssignal, welche den Betrag oder die Position eines Beschleunigungspedals anzeigt, über den Eingangsschalkreis 11 und berechnet eine gesteuerte Variable des Motors für die Drosselklappe und gibt diese an den Treiberschaltkreis 30 in Form eines Treiberbefehls aus.
  • Das Eingangssignal wird auch von der Selbstüberwachung 13 empfangen. Die Selbstüberwachung 13 arbeitet dahingehend, den Treiberbefehl, der von der Steuerung 12 erzeugt wird, zu analysieren, um dessen Gültigkeit zu überwachen. Insbesondere führt die Selbstüberwachung 13 an dem Eingangssignal einen Vorgang durch, der im Wesentlichen identisch zu demjenigen der Steuerung 12 ist, vergleicht ein Ergebnis des Vorgangs mit dem Treiberbefehl, wie er von der Steuerung 12 erhalten wurde und gibt ein Ergebnis des Vergleichs an den Treiberschaltkreis 30 in Form eines Informationssignals aus, welches die Gültigkeit des Treiberbefehls darstellt.
  • Der Programmablaufschaltkreis 14 arbeitet ein Überwachungsprogramm unter zur Hilfenahme des Überwachungsmoduls 20 ab, um zu entscheiden, ob die Selbstüberwachung 13 fehlerhaft ist oder nicht. Insbesondere spricht der Programmablaufschaltkreis 14 auf ein Testsignal an, welches von dem Überwachungsmodul 20 über den Kommunikationsschaltkreis 15 eingeben wird, um das Überwachungsprogramm auszulösen. Der Programmablaufschaltkreis 14 gibt zunächst Daten, wie sie vom Überwachungsprogramm spezifiziert worden sind, an die Selbstüberwachung 13 aus, um eine bestimmte Berechnung an den Daten durchzuführen und erfasst und gibt ein Ergebnis der Berechnung an das Überwachungsmodul 20 in Form eines Datensignals mittels einer seriellen Kommunikation zwischen dem Kommunikationsschaltkreis 15 und dem Kommunikationsschaltkreis 22 aus.
  • Das Überwachungsmodul 20 wird durch ein IC oder einen Backup-Computer implementiert, der dafür ausgelegt ist, die vom Programmablaufschaltkreis 14 eingegebenen Datensignale abzutasten. Insbesondere spricht der Fehlfunktionsentscheidungsschaltkreis 21 auf die Eingabe des Datensignals an, um dieses mit einem zu erwartenden Wert, der hierin gespeichert ist, zu vergleichen und gibt ein Vergleichsergebnis an den Treiberschaltkreis 30 aus, welches das Ergebnis der Überwachung der Selbstüberwachung 13 darstellt. Der Fehlfunktionsentscheidungsschaltkreis arbeitet auch dahingehend, das Testsignal zyklisch an dem Programmablaufschaltkreis 14 des Mikrocomputers 10 auszugeben.
  • Der Treiberschaltkreis 30 spricht auf den Treiberbefehl, der von der Steuerung 12 ausgegeben wird, an, um die Drosselklappe mittels des Motors zu öffnen oder zu schließen und empfängt auch Ausgänge von der Selbstüberwachung 13 und dem Fehlfunktionsentscheidungsschaltkreis 21. Wenn der Ausgang von der Selbstüberwachung 13 anzeigt, dass das Berechnungsergebnis, welches in der Selbstüberwachung 13 erzeugt worden ist, nicht in Übereinstimmung mit dem Treiberbefehl ist, der von der Steuerung 12 erzeugt wird oder wenn der Ausgang von dem Fehlfunktionsentscheidungsschaltkreis 21 die Tatsache anzeigt, dass der Wert des Datensignals nicht mit dem erwarteten Wert übereinstimmt, entscheidet der Treiberschaltkreis 30, dass die Zuverlässigkeit des Treiberbefehls niedrig ist und tritt in einen Ausfallsicherheitsmodus ein, wo der Treiberbefehl ignoriert wird.
  • Wie sich aus der obigen Beschreibung ergibt, ist das elektronische Steuersystem gemäß der Darstellung von 24 dafür ausgelegt, sowohl den Treiberbefehl, der dem Treiberschaltkreis 30 über die Selbstüberwachung 13 eingegeben wird, als auch die Fehlfunktion im Überwachungsvorgang durch die Selbstüberwachung 13 zu überwachen, was zu einer verbesserten Zuverlässigkeit bei der Steuerung der Drosselklappe, jedoch auch zu dem folgenden Nachteil führt:
    Wenn der Programmablaufschaltkreis 14 auf das Testsignal von dem Überwachungsmodul 20 anspricht, um die Gültigkeit des Betriebs der Selbstüberwachung 13 zu überwachen, bewirkt dies, dass die Überwachung der Steuerung 12 (d. h. des Treiberbefehls) durch die Selbstüberwachung 13 von dem Programmablaufschaltkreis 14 unterbrochen wird. Es ist somit unmöglich, die Gültigkeit des Treiberbefehls zu bestimmen, welche von der Steuerung 12 an den Treiberschaltkreis 30 während des Überwachungsbetriebes des Überwachungsmoduls 20 ausgegeben wird. Es besteht somit noch Raum zur Verbesserung der Zuverlässigkeit bei der Steuerung der Drosselklappe. Zugunsten der Überwachung der Steuerung 12 durch die Selbstüberwachung 13 ist es möglich, die Anzahl von Zeiten zu verringern, zu denen der Fehlfunktionsentscheidungsschaltkreis 21 das Testsignal an den Programmablaufschaltkreis 14 ausgibt, was jedoch zu einer verringerten Zuverlässigkeit bei der Überwachung der Selbstüberwachung 13 durch das Überwachungsmodul 20 führt.
    •
  • ZUSAMMENFASSUNG DER ERFINDUNG
  • Es ist daher die Hauptaufgabe der Erfindung, die Nachteile im Stand der Technik zu vermeiden.
  • Es ist eine weitere Aufgabe der Erfindung, ein elektronisches Steuersystem für Fahrzeuge zu schaffen, welches so ausgelegt ist, dass es wesentlich verbesserte Zuverlässigkeit bei der Steuerung eines Betriebs eines fahrzeugseitigen Stellglieds hat.
  • Gemäß einem Aspekt der Erfindung wird eine elektronische Steuervorrichtung für ein Fahrzeug, beispielsweise für ein Kraftfahrzeug geschaffen, um einen höheren Zuverlässigkeitsgrad bei der Steuerung eines fahrzeugseitigen Stellglieds zu schaffen. Das elektronische Steuersystem weist auf: (a) einen Mikrocomputer mit einer Stellgliedsteuerung und einer Steuerungsüberwachung, wobei die Stellgliedsteuerung die Arbeitsweise eines in einem Fahrzeug angeordneten Stellglieds in Anwort auf ein Eingangssignal steuert, welches eine Parameter angibt, der einem vorbestimmten Betriebszustand des Fahrzeugs zugewiesen ist und die Steuerungsüberwachung die Gültigkeit eines vorgewählten Überwachungsobjektes überwacht, welches einem Betrieb des Stellglieds zugeordnet ist, basierend auf einem Wert, der von dem Mikrocomputer berechnet wird und der Gültigkeit des zu überwachenden Objektes zugewiesen ist und eines erwarteten Werts des berechneten Werts, wobei die Steuerungsüberwachung dahingehend arbeitet, zu überwachen, ob die Stellgliedsteuerung richtig oder nicht arbeitet, basierend auf der überwachten Gültigkeit des überwachten Objekts und der Mikrocomputer den berechneten Wert und den erwarteten Wert ausgibt; und (b) ein Überwachungsmodul mit einem digitalen Schaltkreis, der dafür ausgelegt ist, zu überwachen, ob die Steuerungsüberwachung richtig oder nicht arbeitet, basierend auf einem Vergleich zwischen dem berechneten Wert und dem erwarteten Wert, wie von dem Mikrocomputer eingegeben, und um ein diesbezügliches Ausgangssignal auszugeben.
  • Insbesondere werden die Überwachung der Stellgliedsteuerung durch die Steuerungsüberwachung und die Überwachung der Steuerungsüberwachung des Mikrocomputers durch das Überwachungsmodul parallel zueinander durchgeführt, was zu einer erhöhten Zuverlässigkeit bei der Steuerung des im Fahrzeug angeordneten Stellglieds führt, ohne das Abstriche entweder bei der Überwachung der Stellgliedsteuerung oder der Überwachung der Steuerungsüberwachung gemacht werden müssen.
  • In einer bevorzugten Ausführungsform der Erfindung kann, wenn eine Zeitperiode, in der der berechnete Wert fortfährt, unterschiedlich zu dem erwarteten Wert zu sein, eine bestimmte Dauer übersteigt, das Überwachungsmodul bestimmen, dass die Steuerungsüberwachung fehlerhaft arbeitet.
  • Das Überwachungsmodul kann mit einem Datenfehlerzähler ausgestattet sein, der in Antwort auf Eingabe eines jeden von Takten hochzählt, die verwendet werden, eine Referenzgeschwindigkeit zu bestimmen, mit der der digitale Schaltkreis arbeitet und der bei Übereinstimmung des berechneten Wertes mit dem erwarteten Wert ge löscht wird. Wenn ein Zählwert des Datenfehlerzählers einen vorgewählten Wert übersteigt, bestimmt das Überwachungsmodul, dass die Zeitperiode, in der der berechnete Wert fortfährt, unterschiedlich zu dem erwarteten Wert zu sein, die bestimmte Zeit überschritten hat.
  • Wenn eine Zeitperiode, in der der berechnete Wert und der erwartete Wert nicht von dem Überwachungsmodul empfangen werden können, eine vorgewählte Dauer übersteigt, kann das Überwachungsmodul bestimmten, dass eine Kommunikation mit dem Mikrocomputer fehlerhaft ist.
  • Das Überwachungsmodul kann auch mit einem Kommunikationsfehlerzähler ausgestattet sein, der in Antwort auf Eingabe eines jeden von Takten hochzählt, die verwendet werden, eine Referenzgeschwindigkeit zu bestimmen, mit der der digitale Schaltkreis arbeitet und der gelöscht wird, wenn das Überwachungsmodul den berechneten Wert und den erwarteten Wert empfangen hat. Wenn ein Zählwert von dem Kommunikationsfehlerzähler einen vorgewählten Wert übersteigt, bestimmt das Überwachungsmodul, dass die Kommunikation mit dem Mikrocomputer fehlerhaft ist.
  • Das Überwachungsmodul kann auch mit einem Referenzzähler ausgestattet sein, der in Antwort auf Eingabe eines jeden der Takte hochzählt. Der Mikrocomputer kann auch eine Modulüberwachung enthalten, die dafür ausgelegt ist, einen Zählwert vom Referenzzähler zu analysieren, um zu bestimmen, ob das Überwachungsmodul richtig arbeitet oder nicht.
  • Die Modulüberwachung arbeitet auch dahingehend, den Zählwert von dem Referenzzähler zyklisch abzutasten und bestimmt, dass das Überwachungsmodul fehlerhaft arbeitet, wenn eine Zeitperiode, innerhalb der der Zählwert unverändert bleibt, eine vorgewählte Zeit übersteigt.
  • Die Steuerungsüberwachung kann auch die Gültigkeit eines zusätzlichen vorgewählten Überwachungsobjektes überwachen, was die Gültigkeit des Betriebs der Stellgliedsteuerung sicherstellt, was basierend auf einem Wert erfolgt, der von dem Mikrocomputer berechnet wird und der der Gültigkeit des zusätzlichen vorgewählten Überwachungsobjektes zugeordnet ist, sowie eines erwarteten Wertes hiervon. Der Mikrocomputer addiert einen Identifizierer zu einer Kombination aus jedem der berechneten Werte und einem entsprechenden der erwarteten Werte und überträgt die Kombinationen an das Überwachungsmodul in Form von Datensignalen. Das Überwachungsmodul enthält auch einen zusätzlichen digitalen Schaltkreis und analysiert die Identifizierer der Datensignale, um jede der Kombinationen aus berechneten und erwarteten Werten einem entsprechenden der digitalen Schaltkreise bereit zu stellen. Jeder der digitalen Schaltkreise vergleicht den berechneten Wert mit dem erwarteten Wert, um zu bestimmen, ob die Steuerungsüberwachung richtig arbeitet oder nicht.
  • Das Überwachungsmodul kann als die digitalen Schaltkreise einen ersten digitalen Schaltkreis und einen zweiten digitalen Schaltkreis enthalten. Der erste digitale Schaltkreis ist dafür ausgelegt, zu bestimmen, ob der berechnete Wert übereinstimmend mit dem erwarteten Wert ist oder nicht, um zu überwachen, ob die Steuerungsüberwachung richtig arbeitet oder nicht. Der zweite digitale Schaltkreis ist dafür ausgelegt, zu bestimmen, ob der berechnete Wert größer als der erwartete Wert ist oder nicht, um zu überwachen, ob die Steuerungsüberwachung richtig arbeitet oder nicht.
  • Die Steuerungsüberwachung kann auch die Gültigkeiten zusätzlicher vorgewählter Überwachungsobjekte überwachen, welche die Gültigkeiten des Betriebs der Stellgliedsteuerung sicherstellen, und zwar basierend auf Werten, welche vom Mikrocomputer berechnet werden und den Gültigkeiten der zusätzlichen vorgewählten Überwachungsobjekten beziehungsweise der hiervon erwarteten Werte zugeordnet sind. Der Mikrocomputer kann die zu überwachenden Objekte in eine erste und zweite Gruppe abhängig von den Arten der Überwachung der zu überwachenden Objekte unterteilen. Wenigstens die erste Gruppe besteht aus einer Mehrzahl der zu überwachenden Objekte. Der Mikrocomputer berechnet auch einen Wert als eine Funktion der berechneten Werte, die der ersten Gruppe zugeordnet sind und gibt eine Kombination des berechneten Wertes und eines erwarteten Wertes hiervon in Form eines ersten Datensignals mit einem Identifizierer und eine Kombination des berechneten Wertes, der der zweiten Gruppe zugeordnet ist und des erwarteten Wertes hiervon in Form eines zweiten Datensignals mit einem Identifierer aus. Der berechnete Wert, der von dem ersten oder dem zweiten Datensignal getragen wird, dient zur Bestimmung durch einen der ersten und zweiten digitalen Schaltkreise des Überwachungsmoduls, ob der berechnete Wert mit dem erwarteten Wert übereinstimmend ist oder nicht und zur Bestimmung, ob die Steuerungsüberwachung richtig arbeitet oder nicht. Der berechnete Wert, der von dem anderen der ersten und zweiten Datensignale getragen wird, dient zur Bestimmung durch den anderen der ersten und zweiten Schaltkreise des Überwachungsmoduls, ob der berechtigte Wert größer als der erwartete Wert ist oder nicht, um zu überwachen, ob die Steuerungsüberwachung richtig arbeitet oder nicht.
  • Der Mikrocomputer kann eine Summe der berechneten Werte, welche der ersten Gruppe zugeordnet sind, als Wert erzeugen, der als eine Funktion der berechneten Werte berechnet wird, die der ersten Gruppe zugeordnet sind und kann die Summe und einen erwarteten Wert hiervon an das Überwachungsmodul in Form des ersten Datensignals übertragen. Das Überwachungsmodul bestimmt über den ersten digitalen Schaltkreis, ob die Summe mit dem erwarteten Wert übereinstimmt oder nicht, um zu bestimmen, ob die Steuerungsüberwachung richtig arbeitet oder nicht.
  • Die von der Steuerungsüberwachung zu überwachenden Überwachungsobjekte können zwei sein von: (1) ein Steuerprogramm, welches in einem ROM im Mikrocomputer gespeichert ist und von der Stellgliedsteuerung durchzuführen ist, (2) Daten, die in einem Daten-RAM in den Mikrocomputer als ein Wert gespeichert sind, der von der Stellgliedsteuerung berechnet wird, (3) ein fester Wert, der ein Wert ist, der durch Berechnung von Simulationsdaten der Stellgliedsteuerung erhalten wird, (4) die Reihenfolge, in der Funktionen von der Stellgliedsteuerung ausgelesen werden, und (5) ein Wert, der von der Stellgliedsteuerung basierend auf dem Eingangsssignal berechnet wird, das den Parameter angibt, der einem vorgewählten Betrieb des Fahrzeug zu geordnet ist.
  • Das Überwachungsmodul kann alternativ einen digitalen Schaltkreis höherer Geschwindigkeit, der der digitale Schaltkreis ist und einen digitalen Schaltkreis niedriger Geschwindigkeit enthalten. Die Steuerungsüberwachung kann die Gültigkeiten von zusätzlichen vorgewählten Überwachungsobjekten zyklisch jeweils überwachen, was die Gültigkeiten des Betriebs der Stellgliedsteuerung sicherstellt, basierend auf Werten, die vom Mikrocomputer berechnet werden und den Gültigkeiten der zusätzlichen Überwachungsobjekte und erwarteten Werten hiervon zugeordnet sind. Der Mikrocomputer kann alternativ die Überwachungsobjekte in eine erste und eine zweite Gruppe unterteilen. Zumindest die erste Gruppe besteht aus einer Mehrzahl der Überwachungsobjekte, die in einem der Zyklen zu überwachen sind, die kürzer und näher aneinander sind. Der Mikrocomputer berechnet auch einen Wert als eine Funktion der berechneten Werte, die der ersten Gruppe zugeordnet sind und gibt eine Kombination des berechneten Werts und eines erwarteten Wertes hiervon in Form eines ersten digitalen Signals mit einem Identifizierer und eine Kombination des berechneten Wertes, der der zweiten Gruppe zugeordnet ist und des erwarteten Wertes hiervon in Form eines zweiten Datensignals mit einem Identifizierer aus. Das Überwachungsmodul analysiert die Identifizierer und verteilt die ersten und zweiten Datensignale auf die jeweiligen digitalen Schaltkreise höherer und niedriger Geschwindigkeit. Der digitale Schaltkreis höherer Geschwindigkeit arbeitet dahingehend zu bestimmen, ob der berechnete Wert und der erwartete Wert, getragen von dem ersten Datensignal, miteinander übereinstimmend sind oder nicht, um zu bestimmen, ob die Steuerungsüberwachung richtig arbeitet oder nicht. Der digitale Schaltkreis niedriger Geschwindigkeit arbeitet dahingehend, zu berechnen, ob der berechnete Wert und der erwartete Wert, getragen von dem zweiten Datensignal, miteinander übereinstimmen sind oder nicht, um zu bestimmen, ob die Steuerungsüberwachung richtig arbeitet oder nicht.
  • Der Mikrocomputer kann die Summe der berechneten Werte, die der ersten Gruppe zugeordnet sind, erzeugen und die Summe und einen erwarteten Wert hiervon an das Überwachungsmodul in Form des ersten Datensignals übertragen. Das Überwachungsmodul bestimmt durch den digitalen Schaltkreis höherer Geschwindigkeit, ob die Summe mit dem erwarteten Wert übereinstimmt oder nicht, um zu bestimmen, ob die Steuerungsüberwachung richtig arbeitet oder nicht.
  • Die vorgewählten Überwachungsobjekte, die von der Steuerungsüberwachung zu überwachen sind, können alternativ eines sein von: (1) Daten, welche in einem Daten-RAM im Mikrocomputer als ein von der Stellgliedsteuerung berechneter Wert gespeichert sind, (2) eine fester Wert, der ein Wert ist, der durch Berechnen von Simulationsdaten in der Betätigersteuerung erhalten wird, (3) eine Reihenfolge, in der Funktionen von der Stellgliedsteuerung ausgegeben werden, und (4) ein von der Stellgliedsteuerung basierend auf dem Eingangssignal berechneter Wert, welcher den Parameter angibt, der dem vorgewählten Betrieb des Fahrzeugs zugeordnet ist und eines Steuerprogramms, welches in einem ROM im Mikrocomputer gespeichert und von der Stellgliedsteuerung abzuarbeiten ist.
  • Gemäß einem zweiten Aspekt der Erfindung ist eine elektronische Steuervorrichtung für ein Fahrzeug geschaffen, welche aufweist: (a) einen Mikrocomputer mit einer Stellgliedsteuerung und einer Steuerungsüberwachung, wobei die Stellgliedsteuerung dahingehend arbeitet, den Betrieb eines Stellglieds in einem Fahrzeug in Antwort auf ein Eingangssignal zu steuern, welches einen Parameter angibt, der einen bestimmten Betriebszustand des Fahrzeugs zugeordnet ist, wobei die Steuerungsüberwachung dahingehend arbeitet, die Gültigkeit eines ausgewählten Überwachungsobjektes zu überwachen, welches einem Betrieb der Stellgliedsteuerung zugeordnet ist, um zu bestimmen, ob die Stellgliedsteuerung richtig arbeitet oder nicht, wobei der Mikrocomputer einen Wert ausgibt, der von dem Mikrocomputer berechnet wird und der Gültigkeit des vorgewählten Überwachungsobjektes zugeordnet ist; und (b) ein Überwachungsmodul mit digitalem Schaltkreis, der dafür ausgelegt ist, zu überwachen, ob die Steuerungsüberwachung richtig arbeitet oder nicht, basierend auf einem Vergleich zwischen dem berechneten Wert, wie er vom Mikrocomputer eingegeben wird und einem erwarteten Wert des Computerwerts, wie er in dem Überwachungsmodul gespeichert ist.
  • In einer bevorzugten Ausführungsform der Erfindung kann der Mikrocomputer den berechneten Wert so modifizieren, dass dieser an den erwarteten Wert angepasst ist, der in dem Überwachungsmodul gespeichert ist und kann den modifizierten berechneten Wert an das Überwachungsmodul ausgeben.
  • Das Stellglied kann ein Motor sein, der dazu dient, eine Position einer Drosselklappe zu steuern. Wenn bestimmt wird, dass die Steuerungsüberwachung fehlerhaft arbeitet, unterbricht der Mikrocomputer die Energieversorgung an den Motor über einen Motortreiber und wenigstens entweder die Steuerungsüberwachung oder das Überwachungsmodul.
  • Gemäß einem dritten Aspekt der Erfindung ist eine elektronische Steuervorrichtung für ein Fahrzeug geschaffen, welche aufweist: (a) einen Mikrocomputer mit einer Stellgliedsteuerung und einer Steuerungsüberwachung, wobei die Stellgliedsteuerung dahingehend arbeitet, den Betrieb eines Stellglieds in einem in Antwort auf ein Eingangssignal zu steuern, welches einen Parameter anzeigt, der einen bestimmten Betriebszustand des Fahrzeugs zugeordnet ist, wobei die Steuerungsüberwachung dahingehend arbeitet, Gültigkeiten vorgewählter Überwachungsobjekte zu überwachen, welche einen Betrieb der Stellgliedsteuerung zugeordnet sind, um zu bestimmen, ob die Stellgliedsteuerung richtig arbeitet oder nicht, wobei der Mikrocomputer Werte berechnet, welche den Gültigkeiten der vorgewählten Überwachungsobjekte jeweils zugeordnet ist und die Überwachungsobjekte in wenigstens eine erste und eine zweite Gruppe anhängig von den Überwachungsmoden der zu überwachenden Objekte unterteilt, wobei zumindest die erste Gruppe aus einer Mehrzahl der zu überwachenden Objekte besteht und wobei der Mikrocomputer weiterhin einen Wert als Funktion der berechneten Werte, zugeordnet den Gültigkeiten der ersten Gruppe der zu überwachenden Objekte berechnet und eine Kombination des berechneten Wertes und eines erwarteten Wertes hiervon in Form eines ersten Datensignals mit einem Identifizierer und eine Kombination des berechneten Wertes, zugeordnet der zweiten Gruppe, und des erwarteten Wertes hiervon in Form eines zweiten Datensignals mit einem Identifizierer ausgibt; und (b) ein Überwachungsmodul, dass die Identifizierer der ersten und zweiten Datensignal analysiert, wie sie vom Mikrocomputer eingegeben werden und die ersten und zweiten Datensignale an einen ersten und zweiten digitalen Schaltkreis in dem Überwachungsmodul verteilt, um zu bestimmen, ob die Stellgliedsteuerung richtig arbeitet oder nicht, basierend auf einem Vergleich zwischen den berechneten und den erwarteten Werten, die von den ersten und zweiten Datensignalen getragen werden.
  • In einer bevorzugten Ausführungsform der Erfindung können die Betriebsarten der Überwachung der zu überwachenden Objekte Betriebsarten eines Vergleichs zwischen den berechneten Werten und den erwarteten Werten sein. Der berechnete Wert, der von dem ersten oder dem zweiten Datensignal getragen wird, dient zur Bestimmung durch den ersten oder zweiten digitalen Schaltkreis des Überwachungsmoduls, ob der berechnete Wert mit dem erwarteten Wert übereinstimmt oder nicht, um zu bestimmen, ob die Steuerungsüberwachung richtig arbeitet oder nicht. Der berechnete Wert, der von dem anderen der ersten und zweiten Datensignale getra gen wird, wird von dem anderen der ersten und zweiten digitalen Schaltkreise des Überwachungsmoduls verwendet, um zu bestimmen, ob der berechnete Wert größer als der erwartete Wert ist oder nicht, um zu überwachen, ob die Steuerungsüberwachung richtig arbeitet oder nicht.
  • Der Mikrocomputer erzeugt die Summe aus den berechneten Werten, welche der ersten Gruppe zugewiesen sind, als ein Wert, der als Funktion der berechneten Werte berechnet wird, die der ersten Gruppe zugeordnet sind und überträgt die Summe und einen erwarteten Wert hiervon in Form des ersten Datensignals an das Überwachungsmodul. Das Überwachungsmodul bestimmt mittels des ersten digitalen Schaltkreises, ob die Summe übereinstimmend mit dem erwarteten Wert ist oder nicht, um zu bestimmen, ob die Steuerungsüberwachung richtig arbeitet oder nicht.
  • Die zu überwachenden Objekte, die von der Steuerungsüberwachung zu überwachen sind, können zwei sein von (1) ein Steuerprogramm, das in einem ROM im Mikrocomputer gespeichert ist und von der Stellgliedsteuerung abzuarbeiten ist, (2) Daten, welche in einem Daten-RAM in dem Mikrocomputer als Wert gespeichert sind, der von der Stellgliedsteuerung berechnet wird, (3) ein fester Wert, der ein Wert ist, der durch Berechnung von Simulationsdaten in der Stellgliedsteuerung erhalten wird, (4) eine Reihenfolge, in der Funktionen von der Stellgliedsteuerung ausgelesen werden, und (5) ein Wert, der von der Stellgliedsteuerung basierend auf dem Eingangssignal berechnet wird, das den Parameter angibt, der dem vorgewählten Betrieb des Fahrzeugs angeordnet ist.
  • Die Steuerungsüberwachung kann so arbeiten, dass die Gültigkeit der zu überwachenden Objekte zyklisch überwacht wird. Eine Differenz im Überwachungsmodus zwischen den ersten und zweiten Gruppen kann eine Differenz in den Werten der Zyklen sein. Die Zyklen der ersten Gruppe der zu überwachenden Objekte sind kürzer als die Zyklen der zweiten Gruppe. Das Überwachungsmodul kann einen digitalen Schaltkreis höherer Geschwindigkeit enthalten, der der erste digitale Schaltkreis ist, sowie einen digitalen Schaltkreis niedriger Geschwindigkeit, der der zweite digitale Schaltkreis ist. Der digitale Schaltkreis höherer Geschwindigkeit arbeitet dahingehend, zwischen dem berechneten Wert und dem erwarteten Wert, der vom ersten Datensignal getragen wird, zu vergleichen. Der digitale Schaltkreis niedriger Geschwindigkeit arbeitet dahingehend, zwischen dem berechneten Wert und dem erwarteten Wert, der vom zweiten Datensignal getragen wird, zu vergleichen.
  • Der Mikrocomputer vergleicht die Summe der berechneten Werte, die der ersten Gruppe zugeordnet sind, als der Wert, der als Funktion der berechneten Werte berechnet wurde, die der ersten Gruppe zugeordnet sind und überträgt die Summe und einen erwarteten Wert hiervon an das Überwachungsmodul in Form des ersten Datensignals. Das Überwachungsmodul bestimmt mittels des digitalen Schaltkreises höherer Geschwindigkeit, ob die Summe mit dem erwarteten Wert übereinstimmt oder nicht, um zu bestimmen, ob die Steuerungsüberwachung richtig arbeitet oder nicht. Die ausgewählten Überwachungsobjekte, welche von der Steuerungsüberwachung zu überwachen sind, können alternativ eines sein von (1) Daten, welche in einem Daten-RAM Mikrocomputer als ein Wert gespeichert sind, der von der Stellgliedsteuerung berechnet wurde (2) ein fester Wert ist, der durch Berechnen von Simulationsdaten in der Stellgliedsteuerung erhalten wird, (3) eine Reihenfolge, in der Funktionen von der Stellgliedsteuerung ausgelesen werden, und (4) ein Wert, der von der Stellgliedsteuerung basierend auf dem Eingangssignal berechnet wird, was den Parameter angeht, der dem vorgewählten Betrieb des Fahrzeuges zugeordnet ist, sowie eines Steuerprogramms, das in einem ROM gespeichert ist, das sich im Mikrocomputer befindet und von der Stellgliedsteuerung durchgeführt wird.
  • Der Mikrocomputer übeträgt die ersten und zweiten Datensignale an das Überwachungsmodul während gleichzeitig bestimmt wird, ob die Stellgliedsteuerung richtig arbeitet oder nicht.
  • Wenn eine Zeitdauer, in der der berechnete Wert fortfährt, unterschiedlich zu dem erwarteten Wert zu sein, eine bestimmte Dauer übersteigt, bestimmt jeder der ersten und zweiten digitalen Schaltkreise des Überwachungsmoduls, dass die Steuerungsüberwachung fehlerhaft arbeitet.
  • Jeder der ersten und zweiten digitalen Schaltkreise des Überwachungsmoduls kann mit einem Datenfehlerzähler ausgestattet sein, der in Antwort auf die Eingabe jeweils von Takten hochzählt, die verwendet werden, eine Referenzgeschwindigkeit zu bestimmten, mit der die ersten und zweiten digitalen Schaltkreise arbeiten und der bei Übereinstimmung des berechneten Wertes mit dem erwarteten Wert gelöscht wird. Jeder der ersten und zweiten digitalen Schaltkreise bestimmt, dass die Zeitdauer, während der der berechnete Wert fortfährt, unterschiedlich von dem erwarteten Wert zu sein, die bestimmte Zeit übersteigt, wenn ein Zählwert eines der jeweiligen Datenfehlerzähler einen vorgewählten Wert übersteigt.
  • Wenn eine Zeitdauer, während der der berechnete Wert und der erwartete Wert nicht von dem Überwachungsmodul empfangen werden, eine bestimmte Dauer übersteigt, bestimmt jede der ersten und zweiten digitalen Schaltkreise in dem Überwachungsmodul, dass die Steuerungsüberwachung fehlerhaft arbeitet.
  • Jeder der ersten und zweiten digitalen Schaltkreise des Überwachungsmoduls kann mit einem Kommunikationsfehlerzähler ausgestattet sein, der in Antwort auf Eingabe jeweils von Taktsignalen hochzählt, welche zur Bestimmung einer Referenz geschwindigkeit verwendet werden, mit die ersten und zweiten digitalen Schaltkreise arbeiten und der bei Empfang eines entsprechenden der ersten und zweiten Datensignale gelöscht wird. Wenn ein Zählwert des Kommunikationsfehlerzähler einen vorgewählten Wert übersteigt, bestimmt ein entsprechender der ersten und zweiten digitalen Schaltkreise, dass die Kommunikation mit dem Mikrocomputer fehlerhaft ist.
  • Das Überwachungsmodul kann auch mit einem Referenzzähler ausgestattet sein, der in Antwort auf die Eingabe der Taktsignale hochzählt. Der Mikrocomputer kann auch eine Modulüberwachung enthalten, die dafür ausgelegt ist, einen Zählwert des Referenzzählers zu analysieren, um zu bestimmen, ob das Überwachungsmodul richtig arbeitet oder nicht.
  • Die Modulüberwachung arbeitet dahingehend, den Zählwert des Referenzzählers zyklisch abzutasten und bestimmt, dass das Überwachungsmodul fehlerhaft arbeitet, wenn eine Zeitdauer, während der der Zählwert unverändert bleibt, eine vorgewählte Dauer übersteigt.
  • Das Stellglied kann ein Motor sein, der zur Steuerung einer Position einer Drosselklappe dient. Wenn bestimmt wird, dass die Steuerungsüberwachung fehlerhaft arbeitet, unterbricht der Mikrocomputer eine Energieversorgung an den Motor über einen Motortreiber um wenigstens entweder die Steuerung zu überwachen oder das Überwachungsmodul.
    •
  • KURZE BESCHREIBUNG DER ZEICHNUNG
  • Die vorliegende Erfindung versteht sich besser aus der detaillierten nachfolgenden Beschreibung anhand der beigefügten Zeichnung bevorzugter Ausführungsformen der Erfindung, welche jedoch nicht herangezogen werden sollen, die Erfindung auf die konkreten Ausführungsformen einzuschränken, sondern welche zum Zweck der Erläuterung und des Verständnisses sind.
  • In der Zeichnung zeigt:
  • 1 ein Blockdiagramm, welches ein elektronisches Steuersystem gemäß der ersten Ausführungsform der Erfindung zeigt;
  • 2 eine Ansicht, die ein ROM in dem elektronischen Steuersystem von 1 zeigt, dessen Gültigkeit zu überwachen ist;
  • 3(a) den inneren Aufbau eines RAM in dem elektronischen Steuersystem von 1;
  • 3(b) einen internen Aufbau eines Spiegel-RAM;
  • 4 eine Ansicht, welche eine Anweisungsüberprüfung zeigt, die von dem elektronischen Steuersystem von 1 durchgeführt wird;
  • 5 eine Ansicht eines Flussdiagramms im elektronischen Steuersystem von 1, welches Gegenstand einer Ablaufüberprüfung ist;
  • 6 eine Ansicht, die ein RAM in dem elektronischen Steuersystem von 1 zeigt, und dessen Gültigkeit zu überwachen ist;
  • 7, 8, 9, 10 und 11 Flussdiagramme von Steuerschritten zur Übertragung von Berechnungsergebnissen und erwarteten Werten an ein Überwachungsmodul zur Verwendung in einem Überwachungsmodus für fünf Objekte;
  • 12 eine Ansicht des Aufbaus eines Signals, welches von einem Mikrocomputer an ein Überwachungsmodul in dem elektronischen Steuersystem von 1 auszugeben ist;
  • 13 ein Blockdiagramm, welches einen digitalen Schaltkreisblock in einem Überwachungsmodul des elektronischen Steuersystems von 1 zeigt;
  • 14 ein Flussdiagramm, welches ein Fehlfunktionsentscheidungsprogramm zeigt, welches von digitalen Schaltkreisblöcken durchzuführen ist, um Fehler in der Kommunikation zwischen einem Mikrocomputer und einem Überwachungsmodul und in Daten, die vom Mikrocomputer erzeugt werden, zu überwachen;
  • 15 ein Flussdiagramm, welches ein Fehlfunktionsentscheidungsprogramm zeigt, welches von digitalen Schaltkreisblöcken durchzuführen ist, um Fehler in der Kommunikation zwischen einem Mikrocomputer und einem Überwachungsmodul und in Daten, die vom Mikrocomputer erzeugt werden, zu überwachen;
  • 16 ein Flussdiagramm, das von einer Modulüberwachung eines Mikrocomputers durchgeführt wird, um die Fehlfunktion eines Überwachungsmoduls zu überwachen;
  • 17 und 18 Zeitdiagramme, welche Arbeitsweisen des elektronischen Steuersystems von 1 zeigen;
  • 19 ein Blockdiagramm, welches ein elektronisches Steuersystem gemäß der zweiten Ausführungsform der Erfindung zeigt;
  • 20 ein Flussdiagramm eines Datenübertragungsprogramms zur Durchführung durch einen Mikrocomputer im elektronischen Steuersystem von 19 zur Datenübertragung dreier zu überwachender Objekte an ein Überwachungsmodul;
  • 21 und 22 Zeitdiagramme, welche Arbeitsweisen des elektronischen Steuersystems von 19 zeigen;
  • 23 ein Blockdiagramm, welches eine Abwandlung eines digitalen Schaltkreisblocks eines Überwachungsmoduls zeigt; und
  • 24 ein Blockdiagramm eines elektronischen Steuersystems nach dem Stand der Technik.
  • BESCHREIBUNG BEVORZUGTER AUSFÜHRUNGSFORMEN
  • Bezugnehmend auf die Zeichnung, wo gleiche Bezugszeichen in den verschiedenen Ansichten gleiche Teile bezeichnen und insbesondere auf 1, so ist dort ein elektronisches Steuersystem 100 gemäß der ersten Ausführungsform der Erfindung gezeigt.
  • Das elektronische Steuersystem 100 besteht im Wesentlichen aus einem Mikrocomputer 110, einem Überwachungsmodul 120 und einem Treiberschaltkreis 130, der dafür ausgelegt ist, den Betrieb eines Elektromotors 500 mittels Ausgangsanschlüssen T1 und T2 zu steuern, der wiederum dazu dient, beispielsweise eine Drosselklappe für einen Kraftfahrzeugmotor (nicht gezeigt) zu betätigen. Das elektronische Steuersystem 100 und der Motor 500 werden mit elektrischer Energie von einer fahrzeugseitigen Batterie über einen Energieversorgungsanschluss T3 und einen Masseanschluss T4 versorgt.
  • Der Mikrocomputer 110 arbeitet dahingehend, eine Anzahl logischer Vorgänge durchzuführen, um den Betrieb des Motors 500 zu steuern und enthält gemäß 1 funktionelle Blöcke.
  • Genauer gesagt, der Mikrocomputer 100 besteht aus einem Eingangsschaltkreis 111, einer Steuerung 112, einer Selbstüberwachung 113, einem Kommunikationsschaltkreis 114 und einer Modulüberwachung 115. In einem Motorsteuermodus zur Steuerung des Betriebs des Motors 500 überwacht die Steuerung 112 ein Signal, welches beispielsweise einen Hub oder eine Betätigung eines Gaspedals des Fahr zeugs angibt und das dem Mikrocomputer 110 über den Eingangsschalkreis 111 eingegeben wird und berechnet eine gesteuerte Variable des Motors 500, welche eine Sollposition (d. h. einen Öffnungssollbetrag) der Drosselklappe angibt. Die Steuerung 112 gibt dann einen Treiberbefehl an den Treiberschalkreis 130 aus, der die gesteuerte Variable angibt. Der Treiberschaltkreis 130 spricht auf den Treiberbefehl an, um den Betrieb des Motors 500 zu steuern, so dass die Lage der Drosselklappe in Übereinstimmung mit dem Sollwert gebracht wird.
  • Die Selbstüberwachung 113 arbeitet dahingehend, den Betrieb der Steuerung 112 zu überwachen, um festzustellen, ob die Steuerung 112 richtig arbeitet oder nicht. Insbesondere bestimmt die Selbstüberwachung 113 indirekt, ob die Steuerung 112 richtig arbeitet oder nicht, in dem fünf Objekte gemäß nachfolgender Beschreibung überwacht werden, welche direkt oder indirekt von der Steuerung 112 verwendet werden, um den Betrieb des Motors 500 (d. h. der Drosselklappe ) zu steuern und um die Gültigkeit des Betriebs der Steuerung 112 sicher zu stellen.
  • ÜBERWACHUNG DES PROGRAMMSPEICHERS (ROM-ÜBERPRÜFUNG)
  • Die Selbstüberwachung 113 ist dafür ausgelegt, die Korrektheit oder Gültigkeit verschiedener Steuerprogramme zu überwachen, welche in der Steuerung 112 durchzuführen sind und in einem Lesespeicher (ROM) 1121 gespeichert sind, wie in 2 gezeigt, das in dem Mikrocomputer 110 eingebaut ist, bzw. die Gültigkeit von Steuerdaten, die in den Steuerprogrammen verwendet werden. Beispielsweise wird eine derartige Überwachung (d. h. ROM-Überprüfung) auf folgende Weise erreicht:
    Im Speicherbereich (d. h. ROM-Bereich) 112a des Programmspeichers 1121 sind gemäß der Darstellung von 2 Steuerparameter, die bei der Berechnung der gesteuerten Variable für die Drosselklappe verwendet werden, so aufgereiht, dass die Summe von Ihnen ein fester Wert ist (z. B. 5AA5). Die Selbstüberwachung 113 addiert zunächst die im ROM-Bereich 112a des Programmspeichers 1121 gespeicherten Steuerparameter miteinander und vergleicht die Summe mit einem korrekten oder erwarteten Wert (z. B. 5AA5), der in einem Speicher gehalten ist. Wenn die Summe nicht mit dem erwarteten Wert übereinstimmt, legt die Selbstüberwachung fest, dass die Steuerung 112 nicht in der Lage ist, den Treiberbefehl zu überzeugen (d. h. die gesteuerte Variable der Drosselklappe).
  • ÜBERWACHUNG DES DATEN-RAM (RAM-ÜBERPRÜFUNG)
  • Die Selbstüberwachung 113 arbeitet auch dahingehend die Gültigkeit von Daten zu überwachen, beispielsweise einen Taktzyklus eines Signals (d. h. des Treiberbefehls), der den Öffnungsgrad der Drosselklappe angibt und der von der Steuerung 112 berechnet und vom Daten-RAM im Mikrocomputer 110 gespeichert ist. Diese Überwachung (d. h. die RAM-Überprüfung) wird beispielsweise auf folgende Weise durchgeführt:
    Die Steuerung 112 ist so ausgelegt, dass jedes Mal dann, wenn ein Berechnungsergebnis (d. h. der Treiberbefehl) erhalten wird, dieses gemäß den 3(a) und 3(b) in einem Speicherbereich 112c eines Spiegel-RAM im Mikrocomputer 110, sowie im Speicherbereich 112b des Daten-RAM gespeichert wird. Die Selbstüberwachung 113 tastet Daten (d. h. das Berechnungsergebnis) einer ausgewählten von Adressen im Daten-RAM und Daten (in einem erwarteten Wert) einer entsprechenden der Adressen oder der gleichen Adresse in dem Spiegel-RAM ab und vergleicht sie, um zu bestimmen, ob die Daten im Daten-RAM in Übereinstimmung mit denjenigen im Spiegel-RAM sind oder nicht. Wenn nicht, bestimmt die Selbstüberwachung 113, dass die Steuerung 112 nicht in der Lage ist, den Treiberbefehl zur Ausgabe an den Treiberschaltkreis 130 zu erzeugen.
  • ÜBERWACHUNG DES ANWEISUNGSBETRIEBS IN DER STEUERUNG (ANWEISUNGSÜBERPRÜFUNG)
  • Die Selbstüberwachung 113 arbeitet auch dahingehend, die Gültigkeit eines Anweisungsbetriebs der Steuerung 112 zu überwachen, der einen Befehl (d. h. Treiberbefehl) zur Ausgabe an den Treiberschaltkreis 130 erzeugt, sowie zugehörige Teile wie Register, Adressbus und Datenbus zur Verwendung bei dem Anweisungsbetrieb im Mikrocomputer 110. Diese Überwachung (d. h. die Anweisungsüberprüfung) wird beispielsweise auf folgende Weise erreicht:
    Die Steuerung 112 gemäß obiger Beschreibung arbeitet dahingehend, die Sollposition der Drosselklappe basierend auf dem Signal (d. h. Hub des Fahrzeugs) zu berechnen, welches durch den Eingabeschaltkreis 111 eingegeben wurde. Die Steuerung 112 enthält eine Steuerfunktion 112d gemäß 4, welche einen Simulationsparameter (d. h. ein Dummy des Eingangssignals), der als fester Wert in einem Speicher vorgespeichert ist abtastet, einen bestimmten Vorgang (d. h. einen Algorithmus, der zur Berechnung der Drosselklappe verwendet wird) an dem Simulationsparameter durchführt und in einem Register abspeichert. Die Selbstüberwachung 113 bestimmt, dass ein Ergebnis des Vorgangs an dem Simulationsparameter, das in dem Register gespeichert ist, mit einem erwarteten Wert A, der in einem Speicher gespeichert ist, übereinstimmend ist oder nicht, um die Korrektheit oder Gültigkeit des Anweisungsbetriebs der Steuerung 112 zu analysieren. Wenn nicht, bestimmt die Selbstüberwachung 113, dass die Steuerung 112 nicht in der Lage ist, den Treiberbefehl zur Ausgabe an den Treiberschaltkreis 130 zu erzeugen.
  • ÜBERWACHUNG DER AUFRUFREIHENFOLGE VON FUNKTIONEN (ABLAUFÜBERPRÜFUNG)
  • Die Selbstüberwachung arbeitet auch dahingehend, die Reihenfolge zu überwachen, in der die Steuerung 112 mathematische Schemata oder Funktionen übernimmt. Diese Überwachung wird beispielsweise auf folgende Weise durchgeführt:
    Der Programmspeicher 1121 des Mikrocomputers 110 speichert eine Abfolge von logischen Schritten oder Steuerprogrammen, wie in 5 gezeigt, in einem Speicherbereich 112e. Das Steuerprogramm spezifiziert die Abfolge, mit der eine erste, eine zweite, eine dritte und eine vierte Funktion von der Steuerung 112 übernommen werden müssen, mittels dem Ablauf der Schritte 1, 2, 3 und 4. Im Steuerprogramm wird der Schritt 0 vor den Schritten 1 bis 4 durchgeführt, um einen Zählwert eines Programmzählers auf 0 (Null) zurückzusetzen. Nach jeder Abarbeitung des Schritts 4 wird der Zählwert des Programmzählers im Schritt 5 inkrementiert. Zusätzlich führt die Selbstüberwachung im Schritt 5 eine Ablaufüberprüfung dahingehend durch, ob die Reihenfolge, in der die ersten bis vierten Funktionen aufgerufen worden sind, korrekt ist oder nicht. Insbesondere vergleicht die Selbstüberwachung 113 den Zählwert des Programmzählers mit einem erwarteten Wert von beispielsweise 4 (Vier), der in einem Speicher gespeichert ist, um zu bestimmen, ob die Aufrufreihenfolge der Funktionen korrekt ist oder nicht. Genauer gesagt, die Selbstüberwachung 113 bestimmt, ob der Zählwert mit dem erwarteten Wert übereinstimmt oder nicht. Wenn nicht, wird bestimmt, dass die Steuerung 112 nicht in der Lage ist, den Treiberbefehl zur Ausgabe an den Treiberschaltkreis 130 zu erzeugen.
  • ÜBERWACHUNG DES IN DER STEUERUNG BERECHNETEN WERTES (SYSTEMÜBERPRÜFUNG)
  • Die Selbstüberwachung 113 arbeitet auch dahingehend, einen Wert zu überwachen, beispielsweise den Taktzyklus, der den Sollbetrag der Öffnung hiervon angibt, der durch die Steuerung 112 basierend auf einem Signal berechnet wird, welches durch den Eingabeschaltkreis 111 eingegeben wird. Diese Überwachung (d. h. die Systemüberprüfung) erfolgt beispielsweise auf folgende Weise.
  • Der Mikrocomputer 110 ist dafür ausgelegt, in einem internen Speicher (nicht gezeigt) einen berechneten Wert des Taktzyklus der Drosselklappe und eine Datenmappe M zu speichern, welche Beziehungen zwischen Öffnungswinkeln der Drosselklappe und Betriebsbedingungen (z. B. die Position des Gaspedals und/oder die Schaltposition des Getriebes) des Fahrzeugs in Werten von Solltaktzyklen der Drosselklappe anzeigt. Die Steuerung 112 arbeitet auch dahingehend, einen Sollwert des Taktzyklus der Drosselklappe als Funktion eines momentanen Wertes des Signals zu berechnen, welches durch den Eingabeschaltkreis 111 eingegeben wird und den Betriebszustand des Fahrzeugs anzeigt, wobei auf die Datenmappe M zurückgegriffen wird und eine Speicherung gemäß 6 in einen Taktzyklusspeicherbereich 112f des Daten-RAM 1122 erfolgt. Die Selbstüberwachung 113 tastet den Taktzyklus, der durch die Steuerung 112 berechnet und im Speicherbereich 112f gespeichert wurde, ab, berechnet einen oberen Grenzwert (χ%) des Taktzyklus, der so definiert ist, dass er eine bestimmte Relation zu dem Taktzyklus hat, wobei mit einem gegebenen Algorithmus auf die Datenmappe M zurückgegriffen wird und definiert den oberen Grenzwert als einen erwarteten Wert und vergleicht den Wert des Taktzyklus mit dem erwarteten Wert. Insbesondere bestimmt die Selbstüberwachung 113, ob der Wert des Taktzyklus kleiner als der erwartete Wert ist oder nicht. Wenn nicht, wird bestimmt, dass die Steuerung 112 nicht in der Lage ist, den Treiberbefehl zur Ausgabe an den Treiberschaltkreis 130 zu erzeugen.
  • Die Datenmappe M kann alternativ vorbereitet werden, um zulässige obere Grenzwerte des Taktzyklus der Drosselklappe aufzulisten. Die Steuerung 112 kann einen Sollwert des Taktzyklus der Drosselklappe gemäß einem gegebenen Algorithmus unter Verwendung eines momentanen Wertes des durch den Eingabeschaltkreis 111 eingegebenen Signals berechnen. Die Selbstüberwachung 113 kann als den erwarteten Wert einen der oberen Grenzwerte von der Datenmappe M abtasten, der dem Sollwert des Taktzyklus entspricht und kann bestimmen, ob der Wert des Taktzyklus kleiner als der erwartete Wert ist oder nicht. Die Selbstüberwachung 113 ist dafür ausgelegt, die obigen fünf Objekte separat zu überwachen und bei Abschluss der Überwachung eines jeden Objektes wird an den Treiberschaltkreis 130 das Überwachungsergebnis in Form eines Informationssignals ausgegeben, welches die Gültigkeit des Treiberbefehls angibt, der von der Steuerung 112 erzeugt wird. Insbesondere dann, wenn das Berechnungsergebnis sowohl in der ROM-Überprüfung als auch der RAM-Überprüfung, der Anweisungsüberprüfung und der Ablaufüberprüfung nicht mit dem erwarteten Wert übereinstimmt, gibt die Selbstüberwachung 113 das Informationssignal entsprechend der Ungültigkeit des Treiberbefehls, erzeugt von der Steuerung 112, an den Treiberschaltkreis 130 aus. Wenn in der Systemüberprüfung das Berechnungsergebnis größer als der erwartete Wert ist, gibt die Selbstüberwachung 113 das Informationssignal entsprechend der Ungültigkeit des Treiberbefehls, erzeugt durch die Steuerung 112, an den Treiberschaltkreis 130 aus. Die Verwendung eines derartigen Informationssignals führt zu einer verbesserten Zuverlässigkeit bei der Steuerung des Betriebs der Drosselklappe über den Motor 500, wie nachfolgend noch im Detail beschrieben wird.
  • Nach Abschluss der Überwachung der obigen fünf überwachten Objekte speichert die Selbstüberwachung 113 das Berechnungsergebnis und den erwarteten Wert für jedes der fünf überwachten Objekte, d. h. der ROM-Überbrückung, der RAM-Überprüfung, der Anweisungsüberprüfung, der Ablaufüberprüfung und der Systemüberprüfung in einem Speicher. Die Selbstüberwachung 113 zeichnet auch in einem Speicher Überwachungsabschlussflags auf, von denen jedes den Abschluss eines der Überwachungsvorgänge an den obigen fünf Überwachungsobjekten anzeigt.
  • Der Kommunikationsschaltkreis 114 des Mikrocomputers 110 arbeitet dahingehend, Informationen an einen Kommunikationsschaltkreis 122 des Überwachungsmoduls 120 zu übertragen oder hiervon zu empfangen. Insbesondere überträgt der Kommunikationsschaltkreis 114 die Berechnungsergebnisse in der Selbstüberwachung 113 und die erwarteten Werte an das Überwachungsmodul 120 über den Kommunikationsschaltkreis 122.
  • Die 7 bis 11 sind Flussdiagramme von Steuerschritten, welche von dem Kommunikationsschaltkreis 114 abgearbeitet werden, um die Ergebnisse der Berechnung und die erwarteten Werte in dem Überwachungsmodus von fünf Objekten an das Überwachungsmodul 120 zu übertragen. Diese Daten werden von dem Kommunikationsschaltkreis 114 dem Kommunikationsschaltkreis 122 mittels serieller oder paralleler Kommunikation ausgegeben. Wenn es benötigt ist, die Daten, die im Überwachungsmodus der fünf Objekte erzeugt werden, auszugeben, jedoch andere Daten gerade übertragen werden, führt der Kommunikationsschaltkreis 114 einen Time-sharing-Betrieb durch, um die Übertragung der in dem Überwachungsmodus der fünf Objekte erzeugten Daten zu verzögern.
  • 7 zeigt ein Übertragungssteuerprogramm zur Übertragung des Berechungsergebnisses und des erwarteten Wertes, wie bei der Überwachung des Programmspeichers (d. h. der ROM-Überprüfung) verwendet, an das Überwachungsmodul 120. Dieses Programm wird in gleichmäßigen Abständen durchgeführt.
  • Nach Eintritt in das Programm geht der Ablauf zum Schritt 11, wo bestimmt wird, ob das Überwachungsabschlussflag, das den Abschluss der Überwachung des Programmspeichers (d.h. die ROM-Überprüfung) von der Selbstüberwachung 113 anzeigt, gesetzt ist oder nicht. Wenn die Antwort JA erhalten wird, was bedeutet, dass der Programmspeicher nicht mehr überwacht wird, geht der Ablauf zum Schritt 12.
  • Im Schritt 12 wird das Berechnungsergebnis (d. h. die ROM-Summe) gemäß 2 und der erwartete Wert von beispielsweise 5AA5 aus dem Speicher ausgelesen und in einem ersten Register (nicht gezeigt) in dem Mikrocomputer 110 als Übertragungsdaten zur Übertragung an das Überwachungsmodul 120 gehalten. Wenn sich bereits Daten in dem ersten Register befinden, erfolgt eine Datenneu schreibung. Die Übertragungsdaten werden so aufbereitet, dass sie eine Rahmenstruktur gemäß 12 haben. Insbesondere haben die Übertragungsdaten einen Identifizierer (ID), der angibt, dass diese Daten Daten der ROM-Überprüfung sind.
  • Der Ablauf geht zum Schritt 13, wo die Übertragungsdaten aus Schritt 12 an das Überwachungsmodul 120 ausgegeben werden. Der Ablauf geht zum Schritt 14, wo das Überwachungsabschlussflag, dass den Abschluss der RAM-Überprüfung anzeigt, zurückgesetzt oder gelöscht wird.
  • Wenn im Schritt 11 die Antwort NEIN erhalten wird, was bedeutet, dass die ROM-Überprüfung noch nicht abgeschlossen ist, geht der Ablauf direkt zum Schritt 13. Genauer gesagt, der Kommunikationsschaltkreis 114 überträgt die Daten, die sich in dem ersten Register befinden und bereits in einem vorherigen Programmzyklus übertragen wurden, erneut an das Überwachungsmodul 120. Nachfolgend setzt der Kommunikationsschaltkreis 114 im Schritt 14 das Überwachungsabschlussflag zurück, das den Abschluss der ROM-Überprüfung anzeigt.
  • 8 zeigt ein zweites Übertragungssteuerprogramm zur Übertragung des Berechnungsergebnisses und des erwarteten Wertes zur Verwendung bei der Überwachung des Daten-RAM (d. h. RAM-Überprüfung) an das Überwachungsmodul 120. Dieses Programm wird in gleichmäßigen Intervallen durchgeführt.
  • Nach Eintritt in das Programm geht der Ablauf zum Schritt 21, wo bestimmt wird, ob das Überwachungsabschlussflag, das den Abschluss der Überwachung des Daten-RAM (d. h. die RAM-Überprüfung) von der Selbstüberwachung 13 anzeigt, gesetzt ist oder nicht. Wenn die Antwort JA erhalten wird, was bedeutet, dass die RAM-Überprüfung abgeschlossen ist, geht der Ablauf zum Schritt 22.
  • Im Schritt 22 wird das Berechnungsergebnis (d. h. der im Daten-RAM gespeicherte Wert) gemäß 3 und der erwartete Wert (d. h. der im Spiegel-RAM gespeicherte Wert) gesucht und in einem zweiten Register (nicht gezeigt) im Mikrocomputer 110 als Übertragungsdaten zur Übertragung an das Überwachungsmodul 120 gehalten. Wenn sich bereits Daten im zweiten Register befinden, wird überschrieben. Die Übertragungsdaten werden so aufbereitet, dass sie die Rahmenstruktur von 12 haben. Insbesondere haben die Übertragungsdaten einen Identifizierer (ID), der anzeigt, dass diese Daten, Daten von der RAM-Überprüfung sind.
  • Der Ablauf geht zum Schritt 23, wo die Übertragungsdaten aus Schritt 22 an das Überwachungsmodul ausgegeben werden. Der Ablauf geht zum Schritt 24, wo das Überwachungsabschlussflag, das den Abschluss der RAM-Überprüfung anzeigt, zurückgesetzt oder gelöscht wird.
  • Wenn im Schritt 21 die Antwort NEIN erhalten wird, was bedeutet, dass die RAM-Überprüfung noch nicht beendet ist, geht der Ablauf direkt zum Schritt 23. Insbesondere überträgt der Kommunikationsschaltkreis 114 die Daten wieder an das Überwachungsmodul 120, welche in dem zweiten Register enthalten sind und bereits in einem vorhergehenden Programmzyklus übertragen wurden. Nachfolgend setzt der Kommunikationsschaltkreis 114 im Schritt 24 das Überwachungsabschlussflag zurück, das den Abschluss der RAM-Überprüfung anzeigt.
  • 9 zeigt ein drittes Übertragungssteuerprogramm zur Übertragung des Berechnungsergebnisses und des erwarteten Wertes zur Verwendung bei der Überwachung des Anweisungsbetriebs der Steuerung 112 (d. h. die Anweisungsüberprüfung). Dieses Programm wird in gleichmäßigen Intervallen durchgeführt.
  • Nach Eintritt in das Programm geht der Ablauf zum Schritt 31, wo bestimmt wird, ob das Überwachungsabschlussflag, das den Abschluss der Überwachung des Anweisungsbetriebs der Steuerung 112 (d. h. die Anweisungsüberprüfung) von der Selbstüberwachung 113 anzeigt, gesetzt ist oder nicht. Wenn die Antwort JA erhalten wird, was bedeutet, dass die Anweisungsüberprüfung abgeschlossen ist, geht der Ablauf zum Schritt 32.
  • Im Schritt 32 wird das Berechnungsergebnis an den Simulationsdaten und der erwartete Wert A aus dem Speicher gelesen und in einem dritten Register (nicht gezeigt) im Mikrocomputer 110 als Übertragungsdaten zur Übertragung an das Überwachungsmodul 120 gehalten. Wenn sich bereits Daten im dritten Register befinden, wird überschrieben. Die Übertragungsdaten werden so aufbereitet, dass sie die Rahmenstruktur von 12 haben. Insbesondere haben die Übertragungsdaten einen Identifizierer (ID) der anzeigt, dass diese Daten Daten für die Anweisungsüberprüfung sind. Der Ablauf geht zum Schritt 33, wo die Übertragungsdaten aus Schritt 32 an das Überwachungsmodul 120 ausgegeben werden. Der Ablauf geht zum Schritt 430, wo das Überwachungsabschlussflag, das den Abschluss der Anweisungsüberprüfung anzeigt, zurückgesetzt oder gelöscht wird.
  • Wenn im Schritt 31 die Antwort NEIN erhalten wird, was bedeutet, dass die Anweisungsüberprüfung noch nicht beendet ist, geht der Ablauf direkt zum Schritt 33. Genauer gesagt, der Kommunikationsschaltkreis 114 überträgt die Daten wieder an das Überwachungsmodul 120, die in dem dritten Register gehalten sind und bereits im vorherigen Programmzyklus übertragen wurden. Nachfolgend setzt der Kommunikationsschaltkreis 114 im Schritt 34 das Überwachungsabschlussflag, das den Abschluss der Anweisungsüberprüfung anzeigt.
  • 10 zeigt ein viertes Übertragungssteuerprogramm zur Übertragung des Berechnungsergebnisses und des erwarteten Wertes zur Verwendung bei der Überwachung der Aufrufreihenfolge der Funktionen (d. h. die Ablaufüberprüfung ) an das Überwachungsmodul 120. Dieses Programm wird in gleichmäßigen Intervallen durchgeführt.
  • Nach Eintritt in das Programm geht der Ablauf zum Schritt 41, wo bestimmt wird, ob das Überwachungsabschlussflag, das den Abschluss der Aufrufreihenfolge der Funktionen (d. h. die Ablaufüberprüfung) von der Selbstüberwachung 113 gesetzt ist oder nicht. Wenn die Antwort JA erhalten wird, was bedeutet, dass die Ablaufüberprüfung abgeschlossen ist, geht er Ablauf zum Schritt 42.
  • Im Schritt 42 werden der Zählwert des Programmzählers und der erwartete Wert (z.B. 4) aus dem Speicher gelesen und in einem vierten Register (nicht gezeigt) im Mikrocomputer 110 als Übertragungsdaten zur Übertragung an das Überwachungsmodul 120 gehalten. Wenn sich bereits Daten in dem vierten Register befinden, wird überschrieben. Die Übertragungsdaten werden so aufbereitet, dass sie die Rahmenstruktur von 12 haben. Genauer gesagt, die Übertragungsdaten haben einen Identifizierer (ID), der anzeigt, dass diese Daten Daten für die Ablaufüberprüfung sind.
  • Der Ablauf geht zum Schritt 43, wo die Übertragungsdaten aus Schritt 42 an das Überwachungsmodul 120 ausgegeben werden. Der Ablauf geht zum Schritt 44, wo das Überwachungsabschlussflag, das den Abschluss der Ablaufüberprüfung anzeigt, zurückgesetzt oder gelöscht wird.
  • Wenn im Schritt 41 die Antwort NEIN erhalten wird, was bedeutet, dass die Ablaufprüfung noch nicht beendet ist, geht der Ablauf direkt zum Schritt 43. Genauer gesagt, der Kommunikationsschaltkreis 114 überträgt die Daten aus dem vierten Register, welche bereits in einem vorhergehenden Programmzyklus übertragen wurden, erneut an das Überwachungsmodul 120. Nachfolgend setzt der Kommunikationsschaltkreis 114 im Schritt 44 das Überwachungsabschlussflag zurück, das den Abschluss der Ablaufüberprüfung anzeigt.
  • 11 zeigt ein fünftes Übertragungssteuerprogramm zur Übertragung des Berechnungsergebnisses und des erwarteten Wertes zur Verwendung bei der Überwachung des in der Steuerung 112 berechneten Wertes an das Überwachungsmodul 120. Dieses Programm wird in gleichmäßigen Intervallen durchgeführt.
  • Nach Eintritt in das Programm geht der Ablauf zum Schritt 150, wo bestimmt wird, ob das Überwachungsabschlussflag, das den Abschluss der Überwachung des von der Steuerung 112 berechneten Wertes (d. h. die Systemüberprüfung) anzeigt, von der Selbstüberwachung 113 gesetzt ist oder nicht. Wenn die Antwort JA erhalten wird, was bedeutet, das die Systemüberprüfung abgeschlossen ist, geht der Ablauf zum Schritt 52.
  • Im Schritt 52 werden der berechnete Wert (d. h. der Taktzyklus) gemäß 6 und der erwartete Wert (χ%) aus dem Speicher ausgelesen und in einem fünften Register (nicht gezeigt) im Mikrocomputer 110 als Übertragungsdaten zur Übertragung an das Überwachungsmodul 120 gehalten. Wenn sich bereits Daten in dem fünften Register befinden, wird überschrieben. Die Übertragungsdaten sind so aufbereitet, dass sie die Rahmenstruktur von 12 haben. Insbesondere haben die Übertragungsdaten einen Identifizierer (ID), der anzeigt, dass diese Daten Daten für die Systemüberprüfung sind.
  • Der Ablauf geht zum Schritt 53, wo die Übertragungsdaten aus Schritt 52 an das Überwachungsmodul 120 ausgegeben werden. Der Ablauf geht zum Schritt 54, wo das Überwachungsabschlussflag, das den Abschluss der Systemüberprüfung anzeigt, zurückgesetzt oder gelöscht wird.
  • Wenn im Schritt 51 die Antwort NEIN erhalten wird, was bedeutet, dass die Systemüberprüfung noch nicht beendet ist, geht der Ablauf direkt zum Schritt 53. Insbesondere überträgt der Kommunikationsschaltkreis 114 die Daten, welche in dem fünften Register enthalten sind und bereits in einem vorherigen Programmzyklus übertragen wurden, wieder an das Überwachungsmodul 120. Nachfolgend setzt der Kommunikationsschaltkreis 114 im Schritt 54 das Überwachungsabschlussflag, dass den Abschluss der Systemüberprüfung anzeigt, zurück.
  • Wie sich aus der obigen Beschreibung ergibt, arbeitet der Kommunikationsschalkreis 114 dahingehend, Kombinationen der Berechnungsergebnisse an den fünf überwachten Objekten und die erwarteten Werte, wie sie bei den Überwachungsvorgängen der Selbstüberwachung 113 verwendet werden, an die Überwachungsmodule 120 zu übertragen. Das Überwachungsmodul 120, wie noch später beschrieben wird, analysiert die Eingangsdaten und bestimmt, ob die Selbstüberwachung 113 normal arbeitet oder nicht. Insbesondere wird die Überwachung der Steuerung 112 durch die Selbstüberwachung 113 und die Überwachung der Selbstüberwachung 113 durch das Überwachungsmodul 120 parallel durchgeführt. Dies führt zu einer verbesserten Zuverlässigkeit bei der Steuerung des Betriebs für die Drosselklappe.
  • Die Modulüberwachung 115 des Mikrocomputers 110 arbeitet dahingehend, von dem Überwachungsmodul 120 über den Kommunikationsschaltkreis 114 übertragene Informationen zu analysieren, um zu bestimmen, ob das Überwachungsmodul 120 korrekt arbeitet oder nicht. Details der Modulüberwachung 115 werden später noch beschrieben.
  • Das Überwachungsmodul 120 ist durch ein separates IC implementiert und dafür ausgelegt, von dem Mikrocomputer 110 übertragene Informationen zu analysieren, um zu bestimmen, ob die Selbstüberwachung 113 fehlerhaft arbeitet oder nicht. Insbesondere empfängt das Überwachungsmodul 120 gemäß obiger Beschreibung die Daten der Struktur gemäß 12 vom Mikrocomputer 110 durch den Kommunikationsschalter 122, nimmt das Berechnungsergebnis und den erwarteten Wert hiervon auf und gibt sie einer Fehlfunktionsüberwachung 121 ein. Die Fehlfunktionsüberwachung 121 vergleicht das Berechnungsergebnis mit dem erwarteten Wert und bestimmt, ob die Selbstüberwachung 113 fehlerhaft arbeitet oder nicht. Die Fehlfunktionsüberwachung 121 arbeitet mit Takten, die von einem Taktgenerator 125 erzeugt werden, wie später noch beschrieben wird.
  • Die Fehlfunktionsüberwachung 121 besteht im Wesentlichen aus fünf digitalen Schaltkreisblöcken 121b, 121c, 121d und 121e, von denen jeder so ausgelegt ist, dass er eines der obigen fünf überwachten Objekte analysiert und entscheidet, ob die Selbstüberwachung 113 fehlerhaft arbeitet oder nicht. Das Überwachungsmodul 120 enthält auch einen Blockwähler 123, einen Referenzzähler 126 und einen ODER-Schaltkreis 124. Der Blockwähler 123 arbeitet dahingehend, den Indentifizierer zu analysieren, der jeden der dem Kommunikationsschaltkreis 122 eingegebenen Datenwert hinzuaddiert ist und gibt das Ergebnis der Berechnung und den erwarteten. Wert, der in den Daten enthalten ist, in einen entsprechenden der digitalen Schaltkreisblöcke 121a bis 121e für einen Vergleich ein.
  • 13 ist ein Schaltkreisdiagramm, welches den internen Aufbau des digitalen Schalltkreisblocks 121a der Fehlfunktionsüberwachung 121 zeigt.
  • Wenn beispielsweise der Blockwähler 123 den Indentifizierer analysiert, der den Daten hinzugefügt ist, die von dem Kommunikationsschaltkreis 122 eingegeben werden und das Berechnungsergebnis (welches nachfolgend auch als berechneter Wert bezeichnet wird) und den erwarteten Wert aus den Eingangsdaten in den digitalen Schaltkreisblock 121a eingibt, wie durch den Identifizierer spezifiziert, speichert der digitale Schaltkreisblock 121a zuerst den berechneten Wert und den erwarteten Wert in einem A-Register 151 und einem B-Register 152. Ein erster Komparator 153 übernimmt den berechneten Wert und den erwarteten Wert aus dem A-Register 151 und dem B-Register 152 und vergleicht sie. Insbesondere ist der erste Komparator 153 dafür ausgelegt, zu bestimmen, ob die ROM-Summe gemäß 2 mit dem erwarteten Wert von beispielsweise 5AA5 übereinstimmt oder nicht, um zu bestimmen, ob die ROM-Überprüfung von der Selbsüberwachung 113 richtig abgeschlossen wurde oder nicht.
  • Um zu verhindern, dass der digitale Schaltkreisblock 121a einen Fehler dahingehend bestimmt, dass der Überwachungsvorgang des Mikrocomputers 110 fehlerhaft ist, was sich aus einer zufälligen Übereinstimmung zwischen dem berechneten Wert und dem erwarteten Wert ergeben kann, enthält der digitale Schaltkreisblock 121a auch einen Datenfehlerzähler 154 und einen zweiten Komparator 156. Der Datenfehlerzähler 154 spricht auf einen Eingang eines jeden Taktes vom Taktgenerator 125 zum Hochzählen an und wird bei Eingabe eines Signals 153 gelöscht, das anzeigt, dass der berechnete Wert mit dem erwarteten Wert übereinstimmt. Der zweite Komparator 156 arbeitet dahingehend, den Zählwert des Datenfehlerzählers 154 mit einem Referenzwert aus einem Speicher 155 zu vergleichen und ein Ergebnis dieses Vergleichs auszugeben, welches das Überwachungsergebnis der Fehlfunktion der Selbstüberwachung 113 anzeigt; die Ausgabe erfolgt vom digitalen Schaltkreisblock 121a.
  • Wenn der Zählwert des Datenfehlerzählers 154 größer als der im Speicher 155 gespeicherte Wert ist, was bedeutet, dass eine Zeitdauer, in der der berechnete Wert fortfährt, nicht in Übereinstimmung mit dem erwarteten Wert zu bleiben, eine Referenzzeitdauer übersteigt, bestimmt der zweite Komparator 156, dass die Selbstüberwachung 113 nicht richtig arbeitet.
  • Wenn das elektronische Steuersystem 100 nicht in der Lage ist, eine Kommunikation zwischen dem Mikrocomputer 110 und dem Überwachungsmodul 120 herzustellen, kann dies bewirken, dass das Überwachungsmodul 120 nicht den Überwachungsvorgang des Mikrocomputers 110 überwachen kann, was zu einer geringeren Zuverlässigkeit bei der Steuerung des Betriebs der Drosselklappe führt. Um diesen Nachteil zu beseitigen, hat der digitale Schaltkreisblock 121a eine zusätzliche Struktur wie nachfolgend erläutert wird.
  • Der digitale Schalkreisblock 121a enthält auch einen Kommunikationsfehlerzähler 157 und einen dritten Komparator 159. Der Kommunikationsfehlerzähler 157 spricht auf den Eingang eines jeden Takts vom Taktgenerator 25 an, um hoch zu zählen und wird von einem Ausgang vom Kommunikationsschaltkreis 122 gelöscht, der jedes Mal dann erzeugt wird, wenn der Kommunikationsschaltkreis 122 die Information vom Mikrocomputer 110 empfängt. Der dritte Komparator 159 vergleicht den Zählwert des Kommunikationsfehlerzählers 157 mit einem Referenzwert, der in einem Speicher 158 gespeichert ist und gibt das Vergleichsergebnis vom digitalen Schaltkreisblock 121a aus, welches das Ergebnis der Überwachung der Kommunikation zwischen dem Mikrocomputer 110 und dem Überwachungsmodul 120 anzeigt.
  • Wenn der Zählwert des Kommunikationsfehlerzählers 157 größer als der im Speicher 158 gespeicherte Referenzwert ist, was bedeutet, dass eine Zeitdauer, während der der berechnete Wert und der erwartete Wert fortfahren, nicht von dem Überwachungsmodul 120 empfangen zu werden, eine Referenzzeitdauer übersteigt, bestimmt der dritte Komparator 159, dass die Kommunikation zwischen dem Mikrocomputer 110 und dem Überwachungsmodul 120 fehlerhaft ist.
  • 14 ist ein Flussdiagramm eines Fehlfunktionsüberwachungsprogramms zur Durchführung von dem digitalen Schaltkreisblock 121a, um zu überwachen, ob die Selbstüberwachung 113 fehlerhaft funktioniert oder nicht.
  • Nach Eintritt in das Programm geht der Ablauf zum Schritt 101, wo bestimmt wird, ob die Daten (d. h. der berechnete Wert und der erwartete Wert), die in den Registern 151 und 152 gespeichert sind, erneuert wurden oder nicht. Wenn die Antwort NEIN erhalten wird, was bedeutet, dass die Daten noch nicht erneuert worden sind, geht der Ablauf direkt zum Schritt 103. Wenn andererseits die Antwort JA erhalten wird, was bedeutet, dass die Daten erneuert wurden, geht der Ablauf zum Schritt 102, wo der Zählwert des Kommunikationsfehlerzählers 157 auf Null (0) gelöscht wird. Der Ablauf geht zum Schritt 103, wo im ersten Komparator 153 bestimmt wird, ob der im Register 151 gespeicherte berechnete Wert identisch mit dem im Register 152 gespeicherten erwarteten Wert ist oder nicht. Wenn die Antwort NEIN erhalten wird, was bedeutet, dass der berechnete Wert unterschiedlich zu dem erwarteten Wert ist, geht der Ablauf direkt zum Schritt 105. Wenn andererseits die Antwort JA erhalten wird, geht der Ablauf zum Schritt 104, wo der Zählwert des Datenfehlerzählers 154 auf Null (0) gelöscht wird.
  • Der Ablauf geht zum Schritt 105, wo gemäß obiger Beschreibung bestimmt wird, ob der Zählerwert des Kommunikationsfehlerzählers 157 größer als der Referenzwert ist oder nicht. Wenn die Antwort NEIN erhalten wird, geht der Ablauf zum Schritt 107. Wenn andererseits die Antwort JA erhalten wird, was bedeutet, dass eine Zeitdauer, während der die Daten nicht von dem Mikrocomputer 110 zum Überwachungsmodul 120 übertragen werden, größer als eine vorgewählte Referenzzeit ist, geht der Ablauf zum Schritt 106, wo bestimmt wird, dass die Kommunikation zwischen dem Mikrocomputer 110 und dem Überwachungsmodul 120 fehlerhaft ist.
  • Im Schritt 107 wird bestimmt, ob der Zählwert des Datenfehlerzählers 154 größer als ein Referenzwert ist oder nicht. Wenn die Antwort JA erhalten wird, was bedeutet, dass eine Zeitdauer, während der der berechnete Wert fortfährt, nicht in Übereinstimmung mit dem erwarteten Wert zu sein, eine Referenzzeit überstiegen hat, geht der Ablauf zum Schritt 108, wo bestimmt wird, dass die Selbstüberwachung 113 im Überwachungsvorgang fehlerhaft ist. Wenn im Schritt 107 die Antwort NEIN erhalten wird, endet der Ablauf.
  • Die digitalen Schaltkreisblöcke 121b, 121c, 121d und 121e haben jeweils den gleichen Aufbau wie der digitale Schaltkreisblock 121a von 13, so dass sie hier aus Gründen der Einfachheit nicht dargestellt sind. Insbesondere ist jeder der digitalen Schaltkreisblöcke 121b bis 121e so ausgelegt, dass sie die gleichen logischen Schritte wie die von 14 gemäß nachfolgender Beschreibung durchführen. In der nachfolgenden Beschreibung werden gleiche Teile in jedem der digitalen Schaltkreisblöcke 121b bis 121e im Vergleich zum digitalen Schaltkreisblock 121a unter Verwendung der gleichen Bezugszeichen wie in 13 erwähnt.
  • Im digitalen Schaltkreisblock 121b werden der berechnete Wert (d. h. der im Daten-RAM gespeicherte Wert) gemäß 3 und der erwartete Wert (d. h. der im Spiegel-RAM gespeicherte Wert) eingegeben und in den Registern 151 und 152 gehalten. Der erste Komparator 153 vergleicht diese Werte.
  • Im digitalen Schaltkreisblock 123c wird der berechnete Wert (d. h. ein Ergebnis des Betriebs an den simulierten Daten) und der erwartete Wert von beispielsweise A eingegeben und in den Registern 151 und 152 gehalten. Der erste Komparator 153 vergleicht diese Werte.
  • Im digitalen Schaltkreisblock 121d wird der berechnete Wert (d. h. der Zählwert) gemäß 5 und der erwartete Wert von beispielsweise 4 eingegeben und in den Registern 151 und 152 gehalten. Der erste Komparator 153 vergleicht diese Werte.
  • Im digitalen Schaltkreisblock 121e wird der berechnete Wert (d. h. der Taktzyklus der Drosselklappe) und der erwartete Wert (d. h. ein oberer Grenzwert von χ%) eingegeben und in den Registern 151 und 152 gehalten. Der erste Komparator 153 vergleicht diese Werte.
  • 15 ist ein Flussdiagramm eines Fehlfunktionsüberwachungsprogramms zur Durchführung durch den digitalen Schaltkreisblock 121e, um zu entscheiden, ob die Selbstüberwachung 113 fehlerhaft ist oder nicht.
  • Nach Eintritt in das Programm geht der Ablauf zum Schritt 201, wo bestimmt wird, ob die Daten (d. h. der berechnete Wert und der erwartete Wert), die in den Registern 151 und 152 gespeichert sind, erneuert wurden oder nicht. Wenn die Antwort NEIN erhalten wird, was bedeutet, dass die Daten noch nicht erneuert worden sind, geht der Ablauf direkt zum Schritt 203. Wenn alternativ die Antwort JA erhalten wird, was bedeutet, dass die Daten bereits erneuert wurden, geht der Ablauf zum Schritt 202, wo der Zählwert des Kommunikationsfehlerzählers 157 auf 0 (Null) gelöscht wird. Der Ablauf geht zum Schritt 203, wo im ersten Komparator 153 bestimmt wird, ob der berechnete Wert (d. h. der Taktzyklus), der im Register 151 gespeichert ist, kleiner oder gleich dem erwarteten Wert (d. h. der oberen Grenze χ%) ist, der im Register 152 gespeichert ist oder nicht. Wenn die Antwort NEIN erhalten wird, was bedeutet, dass der berechnete Wert größer als der erwartete Wert ist, geht der Ablauf direkt zum Schritt 205. Wenn andererseits die Antwort JA erhalten wird, geht der Ablauf zum Schritt 204, wo der Zählwert des Datenfehlerzählers 154 auf 0 (Null) gelöscht wird. Der Ablauf geht zum Schritt 205, wo bestimmt wird, ob der Zählwert des Kommunikationsfehlerzählers 157 größer als der Differenzwert oder nicht. Wenn die Antwort NEIN erhalten wird, geht der Ablauf zum Schritt 207. Wenn andererseits die Antwort JA erhalten wird, was bedeutet, dass eine Zeitdauer, während der Daten nicht vom Mikrocomputer 110 dem Überwachungsmodul 120 übertragen werden, größer als eine vorgewählte Referenzzeitdauer ist, geht der Ablauf zum Schritt 206, wo bestimmt wird, dass die Kommunikation zwischen dem Mikrocomputer 110 und dem Überwachungsmodul 120 fehlerhaft ist.
  • Im Schritt 207 wird bestimmt, ob der Zählwert des Datenfehlerzählers 154 größer als der Referenzwert ist oder nicht. Wenn die Antwort JA erhalten wird, was bedeutet, dass eine Zeitdauer, während der der berechnete Wert fortfährt, nicht in Übereinstimmung mit dem erwarteten Wert zu sein, eine Referenzzeit überstiegen hat, geht der Ablauf zum Schritt 208, wo bestimmt wird, dass die Selbstüberwachung 113 fehlerhaft im Überwachungsbetrieb ist. Wenn die Antwort NEIN im Schritt 207 erhalten wird, endet der Ablauf.
  • Die Ausgänge des zweiten Komparators 156 und des dritten Komparators 159 eines jeden digitalen Blocks 121a bis 121e werden als Ergebnis der Entscheidung der Fehlfunktionsüberwachung 121 dem ODER-Schaltkreis 124 eingegeben, wie in 1 gezeigt. Wenn wenigstens einer der Ausgänge der digitalen Schaltkreisblöcke 121a bis 121e anzeigt, dass die Kommunikation zwischen dem Mikrocomputer 110 und dem Überwachungsmodul 120 fehlerhaft ist und/oder dass die Selbstüberwachung 113 in ihrem Betrieb fehlerhaft ist, gibt der ODER-Schaltkreis 124 ein dieses anzeigendes Signal an den Treiberschaltkreis 130. Der Treiberschaltkreis 130 spricht, wie später noch genauer beschrieben wird, auf den Eingang an, um das Öffnen oder Schließen der Drosselklappe über den Motor 500 mit einem hohen Zuverlässigkeitsgrad zu steuern.
  • Der Referenzzähler 126 des Überwachungsmoduls 120 ist so gestaltet, dass er in Antwort auf jeden Eingang der Takte vom Taktgenerator 125 hochzählt. Der Zählwert des Referenzzählers 126 wird über den Kommunikationsschaltkreis 114 eingegeben und von der Modulüberwachung 115 des Mikrocomputers 110 überwacht. Ins besondere wird der Zählwert des Referenzzählers 126 wie der des Datenfehlerzählers 154 und des Kommunikationsfehlerzählers 157 eines jeden der digitalen Schaltkreisblöcke 121a bis 121e in Antwort auf jeden Takt, der vom Taktgenerator 25 ausgegeben wird, inkrementiert. Dies ermöglicht es der Modulüberwachung 115, indirekt zu überwachen, ob das Überwachungsmodul 120 bei der Überwachung des Mikrocomputers 110 fehlerhaft ist oder nicht, in dem der Zählwert des Referenzzählers 126 verwendet wird, der wie der Datenfehlerzähler 154 und der Kommunikationsfehlerzähler 157 inkrementiert wird. Wenn bestimmt wird, dass das Überwachungsmodul 120 fehlerhaft arbeitet, gibt die Modulüberwachung 115 kein dieses anzeigendes Signal an den Treiberschaltkreis 130. Dies ermöglicht es dem Treiberschaltkreis 130, das Öffnen oder Schließen der Drosselklappe über den Motor 500 mit einem hohen Zuverlässigkeitsgrad zu steuern.
  • Die Modulüberwachung 115 ist, wie aus 1 erkennbar, auch dafür ausgelegt, den Ausgang vom Überwachungsmodul 120 (d. h. vom ODER-Schaltkreis 124) zu empfangen. Wenn der Ausgang von dem Überwachungsmodul 120 anzeigt, dass die Selbstüberwachung 113 fehlerhaft ist oder dass die Kommunikation vom Mikrocomputer 110 zum Überwachungsmodul 120 fehlerhaft ist, speichert die Modulüberwachung 115 diese Tatsache und arbeitet dahingehend, die Ausgänge an den Treiberschaltkreis 130 im Ausfallsicherungsmodus zu liefern.
  • 16 ist ein Flussdiagramm eines Fehlfunktionsüberwachungsprogramms, welches von der Modulüberwachung 115 durchgeführt wird, um das Überwachungsmodul 120 auf Fehlfunktionen zu überwachen. Dieses Programm wird in gleichmäßigen Intervallen durchgeführt.
  • Nach Eintritt in das Programm geht der Ablauf zum Schritt 301, wo der Zählwert des Referenzzählers 126 über den Kommunikationsschaltkreis 122 des Überwachungsmoduls 120 und den Kommunikationsschaltkreis 114 empfangen wird. Der Ablauf geht zum Schritt 302, wo der Zählwert des Referenzzähler 126, der in einem Programmzyklus abgetastet wurde, aus einem Speicher ausgelesen wird und eine Differenz im Zählwert zwischen dem momentanen Programmzyklus und dem letzten Programmzyklus wird als Abweichung im Zählwert bestimmt. Der Ablauf geht zum Schritt 303, wo bestimmt wird, ob die Zählwertabweichung aus Schritt 302 innerhalb eines gegebenen Zulässigkeitsbereichs liegt oder nicht.
  • Wenn im Schritt 303 die Antwort JA erhalten wird, was bedeutet, dass die Zählwertabweichung innerhalb des Zulässigkeitsbereichs liegt, geht der Ablauf zum Schritt 304, wo ein Zählwert eines Normalitätsentscheidungszählers (nicht gezeigt) im Mikrocomputer 110 inkrementiert wird. Der Ablauf geht zum Schritt 305, wo ein Zählwert eines Fehlfunktionsentscheidungszählers (nicht gezeigt) im Mikrocomputer 110 auf 0 (Null) gelöscht wird. Der Ablauf geht zum Schritt 306, wo bestimmt wird, ob der Zählwert des Normalitätsentscheidungszählers größer als ein gegebener oberer Grenzwert ist oder nicht. Wenn die Antwort JA erhalten wird, geht der Ablauf zum Schritt 307, wo ein Signal an das Überwachungsmodul 120 ausgegeben wird, das anzeigt, dass das Überwachungsmodul 120 richtig arbeitet. Der Ablauf geht zum Schritt 308, wo der Zählwert des Referenzzählers 126 aus Schritt 301 in einem Speicher unverändert gespeichert wird.
  • Wenn im Schritt 306 die Antwort NEIN erhalten wird, was bedeutet, dass der Zählwert in dem Normalitätsentscheidungszähler kleiner als der obere Grenzwert ist, erlaubt die Modulüberwachung 115, dass der Ausgang der Steuerung 112 dem Treiberschaltkreis 130 unverändert eingegeben wird und speichert den Zählwert des Referenzzählers 126 im Speicher.
  • Wenn im Schritt 303 die Antwort NEIN erhalten wird, was bedeutet, dass die Zählwertabweichung außerhalb des Zulässigkeitsbereichs liegt, geht der Ablauf zum Schritt 309, wo der Zählwert des Fehlfunktionsentscheidungszählers inkrementiert wird. Der Ablauf geht zum Schritt 310, wo der Zählwert des Normalitätsentscheidungszählers auf 0 (Null) gelöscht wird. Der Ablauf geht zum Schritt 311, wo bestimmt wird, ob der Zählwert des Fehlfunktionsentscheidungszählers größer als ein gegebener oberer Grenzwert ist oder nicht. Wenn die Antwort JA erhalten wird, geht der Ablauf zum Schritt 312, wo ein Signal an das Überwachungsmodul 120 ausgegeben wird, das anzeigt, dass das Überwachungsmodul 120 nun fehlerhaft arbeitet. Der Ablauf geht zum Schritt 308, wo der Zählwert des Referenzzählers 126 aus Schritt 301 im Speicher gespeichert wird.
  • Wenn andererseits im Schritt 311 die Antwort NEIN erhalten wird, was bedeutet, dass der Zählwert des Fehlfunktionsentscheidungszählers kleiner als der obere Grenzwert ist, erlaubt die Modulüberwachung 115, dass die Steuerung 112 den Treiberbefehl an den Treiberschaltkreis 130 unverändert ausgibt und speichert den Zählwert des Referenzzählers 126 im Speicher.
  • Der Treiberschaltkreis 130 des elektronischen Steuersystem 100 arbeitet dahingehend, das Öffnen oder Schließen der Drosselklappe mittels des Motors 500 zu steuern.
  • Der Treiberschaltkreis 130 empfängt, wie oben beschrieben, die Ausgänge von der Steuerung 112, der Selbstüberwachung 113, der Modulüberwachung 115 und der Fehlfunktionsüberwachung 121 und spricht auf einen der Ausgänge an, der als Treiberanweisung von der Steuerung 112 erzeugt wird, um den Betrieb der Drosselklappe zu steuern. Wenn der Ausgang von der Selbstüberwachung 113 die Ungültig keit des Treiberbefehls von der Steuerung 112 anzeigt, bedeutet dies, dass die Zuverlässigkeit des an den Treiberschaltkreis 130 eingegebenen Treibersignals niedrig ist. Auf ähnliche Weise, wenn der Ausgang von der Fehlfunktionsüberwachung 121 anzeigt, dass die Selbstüberwachung 113 fehlerhaft arbeitet oder wenn der Ausgang von der Modulüberwachung 115 anzeigt, dass das Überwachungsmodul 120 Fehler bei der eigenen Überwachung hat, bedeutet dies, dass die Zuverlässigkeit des dem Treiberschaltkreis 130 eingegebene Treibersignal niedrig ist. Folglich, wenn einer dieser Ausgänge empfangen wird, geht der Treiberschaltkreis 130 in einen Ausfallsicherungsmodus, wo die Treiberbefehle von der Steuerung 112 zugunsten der Sicherheit des Fahrzeuges ignoriert werden. Insbesondere unterbricht der Treiberschaltkreis 130 die Energieversorgung von der Batterie an den Motor 500 über den Anschluss T3.
  • Die 17 und 18 sind Zeitdiagramme, welche den Ausfallsicherungsbetrieb des elektronischen Steuersystems 100 zur Aufrechterhaltung der Sicherheit bei der Betätigung der Drosselklappe zeigen. Die nachfolgende Beschreibung bezieht sich als Beispiel auf den Fall, wo der Ausgang von dem Überwachungsmodul 115 anzeigt, dass das Überwachungsmodul 120 nicht in der Lage ist, den eigenen Überwachungsvorgang durchzuführen.
  • Wenn die Steuerung 112 die gesteuerte Variable der Drosselklappe (d. h. des Motors 500) berechnet, beginnt die Selbstüberwachung 113 damit, die oben beschriebenen fünf Objekte zu überwachen, d. h. sie führt die ROM-Überprüfung, die Anweisungsüberprüfung, die Ablageüberprüfung und die Systemüberprüfung in bestimmten Intervallen durch. Nach Abschluss der Überwachung jeder der obigen fünf Objekte setzt die Selbstüberwachung 113 ein entsprechendes der Überwachungsabschlussflags, wie in 17(a) bis (e) dargestellt, und speichert dies in dem Speicher. Es sei festzuhalten, dass der Ablaufzyklus der ROM-Überprüfung gemäß (e) in 17 länger als derjenige der anderen Objekte ist, wie in 17 mit (a) bis (d) dargestellt.
  • Der Kommunikationsschaltkreis 114 spricht gemäß (f) bis (j) in 17 auf jedes der Überwachungsabschlussflags an, um die Daten gemäß 12 an das Überwachungsmodul 120 zu übertragen. Wenn jedoch andere Daten übertragen werden, führt der Kommunikationsschaltkreis 114 einen Time-Sharing-Betrieb durch, um die Übertragung ersterer zu verzögern.
  • Das Überwachungsmodul 120 analysiert den Identifizierer, der den den von dem Kommunikationsschaltkreis 114 übertragenen Daten hinzugefügt ist und gibt die Daten an einen der digitalen Schaltkreisblöcke 121a bis 121e weiter, der von dem Identifizierer festgelegt ist. Derjenige der digitalen Schaltkreisblöcke 121a bis 121e löscht gemäß (a) bis (J) in den Datenfehlerzähler 154 und den Kommunikationsfehlerzähler 157.
  • Beispielsweise liefert zu jedem Zeitpunkt t11 und t21 gemäß (f) von 17 der Kommunikationsschaltkreis 114 die Daten der RAM-Überprüfung an den digitalen Schaltkreisblock 121b des Überwachungsmoduls 120. Dies bewirkt gemäß (a) und (f) in 18, dass die Zählwerte des Datenfehlerzählers 154 und des Kommunikationsfehlerzählers 157 im digitalen Schaltkreisblock 121b zu jedem Zeitpunkt t11 und t21 auf Null (0) gelöscht werden.
  • Zu jedem Zeitpunkt t12 und t22 liefert gemäß (g) in 17 der Kommunikationsschaltkreis 114 die Daten der Anweisungsüberprüfung an den digitalen Schaltkreisblock 121c des Überwachungsmoduls 120. Dies bewirkt laut (b) und (g) in 18, dass die Zählwerte des Datenfehlerzählers und des Kommunikationsfehlerzählers 157 des digitalen Schaltkreisblocks 121c zu jedem Zeitpunkt t12 und t22 auf Null (0) gelöscht werden.
  • Zu jedem Zeitpunkt t13 und t23 liefert gemäß (h) in 17 der Kommunikationsschaltkreis 114 die Daten der Ablaufüberprüfung an den digitalen Schaltkreisblock 121d des Überwachungsmoduls 120. Dies bewirkt gemäß (c) und (h) von 18, dass die Zählwerte des Datenfehlerzählers 154 und des Kommunikationsfehlerzählers 157 des digitalen Schaltkreisblocks 121d zu jedem Zeitpunkt t13 und t23 auf Null (0) gelöscht werden.
  • Zu jedem Zeitpunkt t14 und t24 liefert gemäß (i) in 17 der Kommunikationsschaltkreis 14 die Daten der Systemüberprüfung an den digitalen Schaltkreisblock 121i des Überwachungsmoduls 120. Dies bewirkt gemäß (d) und (i) in 18, dass die Zählwerte des Datenfehlerzählers 154 und des Kommunikationsfehlerzählers 157 des digitalen Schaltkreisblocks 121e zu jedem Zeitpunkt t14 und t24 auf Null (0) gelöscht werden.
  • Zum Zeitpunkt t25 liefert gemäß (j) in 17 der Kommunikationsschaltkreis 114 die Daten der RAM-Überprüfung an den digitalen Schaltkreisblock 121a des Überwachungsmoduls 120. Dies bewirkt gemäß (e) und (j) in 18, dass die Zählwerte des Datenfehlerzählers 154 und des Kommunikationsfehlerlesers 157 im digitalen Schaltkreisblock 121a zu jedem Zeitpunkt t25 auf Null (0) gelöscht werden.
  • Die Modulüberwachung 115 arbeitet, wie bereits beschrieben wurde, dahingehend, den Zählwert des Referenzzählers 126 zu überwachen, wie in (k) von 18 gezeigt und um zu bestimmen, ob das Überwachungsmodul 120 bei dem eigentlichen Überwachungsvorgang Fehler macht oder nicht.
  • Beispielsweise und wie in (l), (m) und (n) von 18 gezeigt, erhält die Modulüberwachung 115 den Zählwert vom Referenzzähler 126 zyklisch und analysiert eine Änderung im Zählwert, die eine Differenz zwischen dem momentanen Zählwert und dem Letzten ist. Wenn eine solche Zählwertänderung außerhalb des Zulässigkeitsbereichs zum Zeitpunkt t100 fällt, bestimmte Mikrocomputer 110, das die Zählwerte des Datenfehlerzählers 154 oder des Kommunikationsfehlerzählers 157 in jedem der digitalen Schaltkreisblöcke 121a bis 121e gemäß (a) bis (j) von 18 fehlerhaft sind und beginnt damit, den hierin enthaltenen Fehlfunktionsentscheidungszähler hoch zu zählen, wie in (m) von 18 gezeigt. Wenn der Zählerwert des Fehlfunktionsentscheidungszählers zum Zeitpunkt t200 die obere Grenze überschreitet, bestimmt die Modulüberwachung 115, dass das Überwachungsmodul 120 nicht in der Lage ist, eine Fehlfunktion des Mikrocomputers 110 (d.h. der Selbstüberwachung 113) zu überwachen und gibt ein dieses anzeigende Signal an den Treiberschaltkreis 130. Der Treiberschaltkreis 130 unterbricht dann die Leistungsversorgung der Batterie, um die Drosselklappe in den Ausfallsicherungsmodus zu setzen.
  • Wie sich aus der obigen Beschreibung ergibt, hat das elektronische Steuersystem 100 die folgenden Vorteile:
    • 1) Der Mikrocomputer 110 ist so ausgelegt, dass er den berechneten Wert und den erwarteten Wert unter Verwendung der Überwachung eines jeden der fünf Objekte parallel an das Überwachungsmodul 120 überträgt, d.h. gleichzeitig mit der Überwachung der Steuerung 112 durch die Selbstüberwachung 113. Das Überwachungsmodul 120 vergleicht den berechneten Wert mit dem erwarteten Wert und bestimmt, ob die Selbstüberwachung 113 richtig arbeitet oder nicht. Dies ermöglicht es dem Mikrocomputer 110 sich selbst zu überwachen, so dass die Zuverlässigkeit bei der Steuerung des Betriebs eines fahrzeugseitigen Stellglieds, beispielsweise einer Drosselklappe verbessert ist.
    • 2) Wenn eine Zeitdauer, während der der berechnete Wert fortfährt, nicht mit dem erwarteten Wert übereinzustimmen, die gegebene Zeitdauer übersteigt, entscheidet das Überwachungsmodul 120, dass die Selbstüberwachung 113 nicht richtig arbeitet. Dies stellt die Zuverlässigkeit bei der Überwachung des Betriebs der Selbstüberwachung 113 sicher.
    • 3) Wenn eine Zeitdauer, während der das Überwachungsmodul 120 fortfährt, keine Daten des berechneten Wertes und des erwarteten Wertes empfangen zu können, die gegebene Zeitdauer übersteigt, entscheidet das Überwachungsmodul 120, dass die Kommunikation mit dem Mikrocomputer 110 fehlerhaft ist. Dies verbes sert die Zuverlässigkeit bei der Überwachung des Betriebs der Selbstüberwachung 113 weiter.
    • 4) Die Modulüberwachung 115 ist dafür ausgelegt, den Zählwert des Referenzzählers 126 des Überwachungsmodules 120 zu analysieren, um indirekt die Betriebe der Datenfehlerzähler 154 und der Kommunikationsfehlerzähler 157 im Überwachungsmodul 120 zu überwachen. Wenn der Zählwert des Referenzzählers 126 fehlerhaft ist, bestimmt die Modulüberwachung 115, dass das Überwachungsmodul 120 fehlerhaft in seinem Betrieb ist.
    • 5) Die Modulüberwachung 115 tastet den Zählwert des Referenzzählers 126 zyklisch ab. Wenn eine Zeitdauer, während der der Zählwert fortfährt, sich nicht zu ändern, entscheidet die Modulüberwachung 115, dass das Überwachungsmodul 120 fehlerhaft ist. Dies stellt die Zuverlässigkeit bei der Überwachung des Betriebs des Überwachungsmoduls 120 sicher.
    • 6) Das Überwachungsmodul 120 enthält die Fehlfunktionsüberwachung 121 bestehend aus den digitalen Schaltkreisblöcken 121a bis 121e, die dahingehend arbeiten, die Gültigkeit der Überwachung der fünf Objekte zu überwachen: Der ROM-Überprüfung, der RAM-Überprüfung, der Anweisungsüberprüfung, der Ablaufüberprüfung und der Systemüberprüfung. Das Überwachungsmodul 120 gibt jede der Kombinationen der berechneten und erwarteten Werte in einen Entsprechenden der digitalen Schaltkreisblöcke 121a bis 121e ein. Jeder der digitalen Schaltkreisblöcke 121a bis 121e arbeitet dahingehend, den berechneten Wert mit dem erwarteten Wert zu vergleichen, um die Gültigkeit der Überwachung der fünf Objekte zu überprüfen, so dass eine Fehlfunktion der Selbstüberwachung 113 überwacht wird.
  • 19 zeigt ein elektronisches Steuersystem 200 gemäß der zweiten Ausführungsform der Erfindung, welches mit einem Mikrocomputer 210 ausgestattet ist, der in der Lage ist, in einem Kommunikationsschaltkreis 214 die fünf Objekte, die zur Überwachung sind (d.h. die ROM-Überprüfung, die RAM-Überprüfung, die Anweisungsüberprüfung, die Ablaufüberprüfung und die Systemüberprüfung) in drei Überwachungsbetriebsmoden hiervon zu unterteilen und Daten von dem berechneten und erwarteten Werten eines jeden Überwachungsbetriebsmodus an ein Überwachungsmodul 220 zu übertragen.
  • Das Überwachungsmodul 220 enthält einen Fehlfunktionsüberwacher 221 bestehend aus drei digitalen Schaltkreisblöcken 221a, 221b und 221c zur Überwachung der Fehlfunktion der Selbstüberwachung 113 hinsichtlich der Überwachungsbetriebsmoden. Jeder der digitalen Schaltkreisblöcke 221a bis 221c arbeitet dahingehend, die berechneten und erwarteten Werte einem der Überwachungsbetriebsmo den gemeinsam zu vergleichen, um die Fehlfunktion der Selbstüberwachung 113 zu überwachen. Dies führt zu einem vereinfachten Aufbau des Überwachungsmoduls 220 und zu verringerten Gesamtkosten des elektronischen Steuersystems 200.
  • Genauer gesagt, der Kommunikationsschaltkreis 214 des Mikrocomputers 210 klassifiziert zunächst die fünf Objekte in zwei Gruppen, eine enthaltend die ROM-Überprüfung, die RAM-Überprüfung, die Anweisungsüberprüfung und die Ablaufüberprüfung, welche die Bestimmung benötigen, ob der berechnete Wert mit dem erwarteten Wert übereinstimmt oder nicht und die Andere mit der Systemüberprüfung, welche die Bestimmung benötigt, ob der berechnete Wert größer als der erwartete Wert ist oder nicht. Der Kommunikationsschaltkreis 214 klassifiziert auch die erste Gruppe aus ROM-Überprüfung, RAM-Überprüfung, Anweisungsüberprüfung und Ablaufüberprüfung in zwei Gruppen, eine enthaltend die RAM-Überprüfung, die Anweisungsüberprüfung und die Ablaufüberprüfung, welche in kürzeren Zyklen abzuarbeiten sind und die Andere enthaltend die ROM-Überprüfung, welche in einem längeren Zyklus durchzuführen ist. Insbesondere gibt der Kommunikationsschaltkreis 214 die Daten der berechneten und erwarteten Werte für sowohl die erste Gruppe bestehend aus RAM-Überprüfung, Anweisungsüberprüfung und Ablaufüberprüfung als auch zweite Gruppe bestehend aus ROM-Überprüfung und dritte Gruppe bestehend aus Systemüberprüfung aus.
  • Die Fehlfunktionsüberwachung 221 des Überwachungsmoduls 220 enthält einen digitalen Schaltkreisblock 221a für die erste Gruppe, einen digitalen Schaltkreisblock 221b für die zweite Gruppe und einen digitalen Schaltkreisblock 221c für die dritte Gruppe. Die digitalen Schaltkreisblöcke 221a und 221b haben im Wesentlichen den gleichen Aufbau wie der digitale Schaltkreisblock 121a von 13. Der digitale Schaltkreisblock 221c hat im Wesentlichen einen gleichen Aufbau wie der digitale Schaltkreisblock 121e.
  • Das Überwachungsmodul 220 enthält auch einen Blockwähler 223 und einen ODER-Schaltkreis 224. Der Blockwähler 223 arbeitet dahingehend, Daten der ersten Gruppe bestehend aus RAM-Überprüfung, Anweisungsüberprüfung und Ablaufüberprüfung dem digitalen Schaltkreisblock 221a zu übertragen.
  • Insbesondere wird der digitale Schaltkreisblock 221a verwendet, die Gültigkeit von RAM-Überprüfung, Anweisungsüberprüfung und Ablaufüberprüfung zu bestimmen. Dies führt zu einem vereinfachten Aufbaus des Überwachungsmoduls 220.
  • Der Blockwähler 223 überträgt auch Daten der zweiten Gruppe bestehend aus ROM-Überprüfung an den digitalen Schaltkreisblock 221b. Der digitale Schaltkreisblock 221b dient dazu, die Gültigkeit der ROM-Überprüfung zu bestimmen. Dies ver meidet Störungen bei der Überwachung der ROM-Überprüfung, die in einem längeren Zyklus durchgeführt wird, mit der Überwachung der RAM-Überprüfung, der Anweisungsüberprüfung und der Ablaufüberprüfung, welche in kürzeren Zyklen durchgeführt werden, so dass es möglich ist, eine Fehlfunktion der Selbstüberwachung 113 schnell zu finden.
  • Der Blockwähler 223 überträgt auch Daten der dritten Gruppe bestehend aus der Systemüberprüfung an den digitalen Schaltkreisblock 221c, um die Gültigkeit der Systemüberprüfung zu bestimmen.
  • Wenn es gefordert ist, die berechneten Werte und die erwarteten Werte, die in der ersten Gruppe aus RAM-Überprüfung, Anweisungsüberprüfung und Ablaufüberprüfung verwendet werden, an das Überwachungsmodul 220 zu übertragen, erzeugt der Kommunikationsschaltkreis 214 zunächst die Summe der berechneten Werte und überträgt diese zusammen mit einem erwarteten Wert, der in einem Speicher als korrigierter Wert der Summe gespeichert ist, an den Kommunikationsschaltkreis 222 des Überwachungsmoduls 220. Das Überwachungsmodul 220 schickt die Eingänge über den Blockwähler 223 an den digitalen Schaltkreisblock 221a. Der digitale Schaltkreisblock 221a bestimmt, ob die Summe der berechneten Werte übereinstimmend mit dem erwarteten Wert ist oder nicht, um zu bestimmen, ob die Selbstüberwachung 113 richtig arbeitet oder nicht.
  • 20 ist ein Flussdiagramm eines Übertragungssteuerprogramms zur Durchführung durch den Kommunikationsschaltkreis 214 des Mikrocomputers 210, um die Daten von der ersten Gruppe aus RAM-Überprüfung, Anweisungsüberprüfung und Ablaufüberprüfung dem Überwachungsmodul 220 zu übertragen. Dieses Programm wird in gleichmäßigen Abständen durchgeführt.
  • Nach Eintritt in das Programm geht der Ablauf zum Schritt 401, wo bestimmt wird, ob das Überwachungsabschlussflag, welches den Abschluss der RAM-Überprüfung anzeigt, von der Selbstüberwachung 113 gesetzt ist oder nicht. Wenn die Antwort JA erhalten wird, was bedeutet, dass die RAM-Überprüfung abgeschlossen ist, geht der Ablauf zum Schritt 402.
  • Im Schritt 402 wird der Wert im Daten-RAM gemäß 3 ausgelesen und in einem internen Register (nicht gezeigt) des Mikrocomputers 110 als Übertragungsdaten zur Übertragung an das Überwachungsmodul 120 gehalten. Wenn sich Daten in dem Register befinden, wird überschrieben. Der Ablauf geht zum Schritt 403, wo das Überwachungsabschlussflag, welches den Abschluss der RAM-Überprüfung anzeigt, zurückgesetzt oder gelöscht wird.
  • Der Ablauf geht zum Schritt 404, wo bestimmt wird, ob das Überwachungsabschlussflag, das den Abschluss der Anweisungsüberprüfung anzeigt, von der Selbstüberwachung 113 gesetzt ist oder nicht. Wenn die Antwort JA erhalten wird, was bedeutet, dass die Anweisungsüberprüfung abgeschlossen ist, geht der Ablauf zum Schritt 405, wo das Ergebnis eines Betriebs mit (d.h. der berechnete Wert von) den Simulationsdaten gemäß 4 aus dem Speicher ausgelesen und dem Wert im Daten-RAM hinzu addiert wird, der in dem Register als Übertragungsdaten im Schritt 402 gehalten wurde. Der Ablauf geht zum Schritt 406, wo das Überwachungsabschlussflag, das den Abschluss der Anweisungsüberprüfung angibt, zurückgesetzt oder gelöscht wird.
  • Der Ablauf geht zum Schritt 407, wo bestimmt wird, ob das Überwachungsabschlussflag, das den Abschluss der Ablaufüberprüfung angibt, von der Selbstüberwachung 113 gesetzt ist oder nicht. Wenn die Antwort JA ist, was bedeutet, dass die Ablaufüberprüfung abgeschlossen ist, geht der Ablauf zum Schritt 408, wo der Zählwert des Programmzählers gemäß 5 aus dem Speicher ausgelesen und mit den Übertragungsdaten addiert wird, die im Schritt 405 im Register aufgenommen wurden (d.h. die Summe des Werts von Daten-RAM und berechnetem Wert der Simulationsdaten). Der Ablauf geht zum Schritt 409, wo das Überwachungsabschlussflag, das den Abschluss der Ablaufüberprüfung anzeigt, zurückgesetzt oder gelöscht wird.
  • Der Ablauf geht zum Schritt 410, der im Register gespeicherte Wert (d.h. die Summe des Werts von Daten-RAM, berechneter Wert der Simulationsdaten und Zählwert) mit dem erwarteten Wert hiervon, wie er im Speicher gespeichert ist und einem Identifizierer dieser Werte kombiniert wird und als Übertragungsdaten mit der Struktur gemäß 12 bereit gestellt wird. Der Ablauf geht zum Schritt 411, wo die Übertragungsdaten aus 410 von dem Kommunikationsschaltkreis 214 dem Kommunikationsschaltkreis 222 des Überwachungsmoduls 220 über eine serielle Kommunikation oder parallele Kommunikation ausgegeben werden.
  • Wenn die Antwort NEIN in einem der Schritte 401, 404 und 407 erhalten wird, werden die Übertragungsdaten mit einem Wert, der unterschiedlich zu dem erwarteten Wert ist als Summe des Wertes von Daten-RAM, berechneter Wert der Simulationsdaten und Zählwert im Schritt 410 erstellt.
  • Das Überwachungsmodul 220 analysiert die Übertragungsdaten, die von dem Kommunikationsschalter 222 empfangen worden sind und gibt eine Kombination der Summe des Wertes aus Daten-RAM, berechneten Wert der Simulationsdaten, Zählwert und erwarteten Wert an den digitalen Schaltkreisblock 221a. Der digitale Schaltkreisblock 221a vergleicht die Summe mit dem erwarteten Wert, bestimmt, ob die Selbstüberwachung 113 die RAM-Überprüfung, die Anweisungsüberprüfung und die Ablaufüberprüfung richtig überwacht hat oder nicht und ein Signal hiervon geht an den ODER-Schaltkreis 224.
  • Die Übertragung der ROM-Überprüfungsdaten (d.h. die Summe aus den Steuerdaten im ROM-Bereich 112a des Programmspeichers 1121 und dem erwarteten Wert (z.B. 5AA5)) gemäß 2 an das Überwachungsmodul 220 erfolgt auf gleiche Weise wie in 7. Die Übertragung der Systemüberprüfungsdaten (d.h. Taktzyklus und obere Grenze χ%) gemäß 6 an das Überwachungsmodul 220 erfolgt auf gleiche Weise wie in 11 beschrieben.
  • Die 21 und 22 sind Zeitdiagramme, welche den Ausfallsicherungsbetrieb des elektronischen Steuersystems 200 zur Sicherstellung der Sicherheit des Betriebs der Drosselklappe darstellen. Die nachfolgende Beschreibung erfolgt als Beispiel anhand des Falls, wo der Ausgang von dem Überwachungsmodul 115 anzeigt, dass das Überwachungsmodul 220 bei seinem Überwachungsvorgang fehlerhaft ist.
  • Wenn die Steuerung 112 nun die gesteuerte Variable der Drosselklappe berechnet (d.h. den Treiberbefehl an den Motor 500), beginnt die Selbstüberwachung 113 mit der Durchführung der ROM-Überprüfung, der RAM-Überprüfung, der Anweisungsüberprüfung, der Ablaufüberprüfung und der Systemüberprüfung in bestimmten Intervallen. Bei Abschluss der Überwachung eines jeden der fünf Objekte setzt die Selbstüberwachung 113 ein Entsprechendes der Überwachungsabschlussflags, wie in (a) bis (e) von 21 gezeigt und speichert dies im Speicher. Es sei festzuhalten, dass der Ablaufzyklus der ROM-Überprüfung gemäß (e) in 21 länger als derjenige der anderen zu überwachenden Objekte ist, wie mit (a) bis (d) in 21 gezeigt.
  • Der Kommunikationsschaltkreis 214 spricht, wie mit (f) bis (h) in 21 gezeigt, auf jedes der Überwachungsabschlussflags an, um die Daten einer entsprechenden der ersten bis dritten Gruppen an das Überwachungsmodul 220 zu übertragen. Wenn jedoch andere Daten übertragen werden, führt der Kommunikationsschaltkreis 114 den Time-Sharing-Betrieb durch, um die Übertragung der ersteren Daten zu verzögern.
  • Das Überwachungsmodul 220 analysiert den Identifizierer, der den vom Kommunikationsschaltkreis 114 übertragenen Daten hinzugefügt ist und gibt die Daten an einen der digitalen Schaltkreisblöcke 221a bis 221c, der von dem Identifizierer spezifiziert wurde. Der eine der digitalen Schaltkreisblöcke 221a bis 221c löscht gemäß (a) bis (f) in 22 den Datenfehlerzähler 154 und den Kommunikationsfehlerzähler 157.
  • Beispielsweise erzeugt zu jedem Zeitpunkt t11 und t21 gemäß (f) in 21 der Kommunikationsschaltkreis 214 die Daten für die erste Gruppe aus RAM-Überprüfung, Anweisungsüberprüfung und Ablaufüberprüfung an den digitalen Schaltkreisblock 221b des Überwachungsmoduls 220. Dies bewirkt, dass gemäß (a) und (d) von 22 die Zählwerte des Datenfehlerzählers 154 und des Kommunikationsfehlerzählers 157 des digitalen Schaltkreisblocks 221b zu jeder Zeit t11 und t21 auf Null (0) gelöscht werden.
  • Zu jedem Zeitpunkt t12 und t22 liefert gemäß (g) in 21 der Kommunikationsschaltkreis 214 die Daten der Systemüberprüfung an den digitalen Schaltkreisblock 221c des Überwachungsmoduls 220. Dies bewirkt, dass gemäß (b) und (e) in 22 die Zählwerte des Datenfehlerzählers 154 und des Kommunikationsfehlerzählers 157 im digitalen Schaltkreisblock 221c zu jeder Zeit t12 und t22 auf Null (0) gelöscht werden.
  • Zum Zeitpunkt t23 liefert gemäß (h) in 21 der Kommunikationsschaltkreis 214 die Daten der ROM-Überprüfung an den digitalen Schaltkreisblock 121a des Überwachungsmoduls 220. Dies bewirkt gemäß (c) und (f) von 22, dass die Zählwerte des Datenfehlerzählers 154 und des Kommunikationsfehlerzählers 157 im digitalen Schaltkreisblock 221 zum Zeitpunkt t23 auf Null (0) gelöscht werden.
  • Die Modulüberwachung 115 arbeitet, wie bereits beschrieben, dahingehend, den Zählwert des Referenzzählers 126 zu überwachen, der mit (g) in 22 gezeigt ist, um zu bestimmen, ob das Überwachungsmodul 220 in seinem Überwachungsbetrieb fehlerhaft ist oder nicht.
  • Wie beispielsweise mit (h), (e) und (j) in 22 dargestellt, tastet die Modulüberwachung 115 den Zählwert des Referenzzählers 126 zyklisch ab und analysiert eine Änderung im Zählwert, welche eine Differenz zwischen dem momentanen Zählwert und dem Letzten ist. Wenn eine derartige Zählwertänderung aus dem Zulässigkeitsbereich zum Zeitpunkt t100 herausfällt, bestimmt der Mikrocomputer 210, dass die Zählwerte des Datenfehlerzählers 154 oder des Kommunikationsfehlerzählers 157 in jedem der digitalen Schaltkreisblöcke 221a bis 221c gemäß (a) bis (f) von 22 fehlerhaft sind und beginnt damit, einen Fehlfunktionsentscheidungszähler hoch zu zählen, der in ihm erhalten ist. Wenn der Zählwert des Fehlfunktionsentscheidungszählers den oberen Grenzwert zum Zeitpunkt t200 übersteigt, bestimmt die Modulüberwachung 115, dass das Überwachungsmodul 220 nicht in der Lage ist, die Fehlfunktion des Mikrocomputers 210 (d.h. der Selbstüberwachung 113) zu überwachen und gibt ein Signal, welches dieses anzeigt, an den Treiberschaltkreis 130 aus. Der Treiberschaltkreis 130 unterbricht dann eine Energieversorgung von der Batterie, um die Drosselklappe in den Ausfallsicherungsmodus zu versetzen.
  • Der digitale Schaltkreisblock 221a kann alternativ so gestaltet sein, dass Überwachungsvorgänge an den Daten durchgeführt werden, die in der RAM-Überprüfung, der Anweisungsüberprüfung und der Ablaufüberprüfung (d.h. der ersten Gruppe) separat verwendet werden. In diesem Fall arbeitet der Kommunikationsschaltkreis 222 dahingehend, Kombinationen der berechneten Werte und der erwarteten Werte in RAM-Überprüfung, Anweisungsüberprüfung und Ablaufüberprüfung der Fehlfunktionsüberwachung 221 über ein Time-Sharing-System zu übertragen.
  • Der digitale Schaltkreisblock 221a oder 221b kann alternativ mit der ersten Gruppe bestehend aus RAM-Überprüfung, Anweisungsüberprüfung und Ablaufüberprüfung unterteilt werden, die in einem kürzeren Zyklus abgearbeitet werden und der zweiten Gruppe bestehend aus der ROM-Überprüfung, welche in einem längeren Zyklus abgearbeitet wird. Dies kann jedoch bewirken, dass die Überwachung der zweiten Gruppe diejenige der ersten Gruppe behindert, führt jedoch zu einer erheblich verringerten Größe der Fehlfunktionsüberwachung 221.
  • Die Selbstüberwachung 113 kann alternativ so ausgelegt sein, dass sie mehr als fünf Objekte mit unterschiedlichem Inhalt überwacht. Beispielsweise kann die Selbstüberwachung 113 so ausgelegt sein, dass sie nur Objekte überwacht, welche die Bestimmung benötigen, ob der berechnete Wert mit dem erwarteten Wert übereinstimmt oder nicht. In diesem Fall kann jeder der digitalen Schaltkreisblöcke 121a bis 121e (oder 221a bis 221e) mit einigen der Objekte ausgebildet sein, die einen nahe aneinander liegenden Ablaufzyklus haben, so dass die Bestimmungen möglich sind, ob die Kommunikation zwischen dem Mikrocomputer 110 (210) und dem Überwachungsmodul 120 (220) fehlerhaft ist oder nicht und ob die Selbstüberwachung 113 im Überwachungsvorgang Fehler macht oder nicht, wobei die Bestimmung schnell erfolgen kann. Diese Bestimmungen können wie bei der zweiten Ausführungsform gemacht werden, in dem die Summe aus berechneten Werten, wie sie vom Mikrocomputer 110 (210) übertragen wurden und dem erwarteten Wert hiervon verwendet wird. Dies führt zu einer verringerten Arbeitsbelastung des Überwachungsmoduls 120 (220).
  • Das Überwachungsmodul 120 (220) kann alternativ so gestaltet sein, dass bestimmt wird, ob der Überwachungsvorgang durch den Mikrocomputer 110 (210) fehlerhaft immer dann wird, wenn der berechnete Wert unterschiedlich zum erwarteten Wert wird.
  • Der Mikrocomputer 110 (210) kann alternativ so gestaltet werden, dass nur die berechneten Werte an das Überwachungsmodul 120 (220) parallel zur Überwachung der Steuerung 112 durch die Selbstüberwachung 113 übertragen werden. In diesem Fall ist das Überwachungsmodul 120 (220) so ausgelegt, dass in einem internen Speicher hiervon die erwarteten Werte gespeichert werden, von denen jeder für einen Vergleich mit einem der eingegebenen berechneten Werte verwendet wird. Insbesondere ist das Überwachungsmodul 120 (220) gemäß 23 mit digitalen Schaltkreisblöcken 321 ausgestattet (von denen nur einer aus Gründen der Kürze dargestellt ist). Der digitale Schaltkreisblock 321 hat ein Erwartungswertregister 352 anstelle des B-Registers 152 von 13. Das Erwartungswertregister 352 dient dazu, einen der erwarteten Werte zu speichern, der dem berechneten Wert entspricht, welcher dem digitalen Schaltkreisblock 321 eingegeben wurde. Ein erster Komparator 353 vergleicht den berechneten Wert, wie er im A-Register 151 gespeichert ist mit dem erwarteten Wert, wie er in dem Erwartungswertregister 352 gespeichert ist und gibt ein entsprechendes Signal an den Datenfehlerzähler 154 aus. Der digitale Schaltkreisblock 321 bestimmt, ob die Selbstüberwachung 113 richtig arbeitet oder nicht, und zwar gleichzeitig mit der Überwachung der Steuerung 112 durch die Selbstüberwachung 113. In diesem Fall ist der Mikrocomputer 120 (220) so ausgelegt, dass der Wert, der einmal ausgegeben wurde zur Verwendung bei der Überwachung der Gültigkeit eines jeden der fünf Objekte modifiziert wird: ROM-Überprüfung, RAM-Überprüfung, Anweisungsüberprüfung, Ablaufüberprüfung und Systemüberprüfung, und zwar gemäß eines bestimmten Algorithmus, um Übereinstimmung mit einem entsprechenden der erwarteten Werte zu erlangen, die in dem Erwartungswertregister 352 gespeichert sind. Der Mikrocomputer 120 (220) überträgt den so modifizierten Wert an das Überwachungsmodul 120 (220) zum Vergleich mit dem erwarteten Wert, der in dem Erwartungswertregister 352 gespeichert ist. Dies erleichtert die Verwendung der Erfindung mit typischen elektronischen Steuersystemen bei Kraftfahrzeugen.
  • Die obige Anordnung kann so ausgelegt sein, dass sie nicht nur Bestimmungen dahingehend macht, ob die Kommunikation zwischen dem Mikrocomputer 110 (210) und den Überwachungsmodulen 120 (220) fehlerhaft ist oder nicht und ob das Überwachungsmodul 120 (220) fehlerhaft ist oder nicht, was über die Modulüberwachung 115 erfolgt. Weiterhin muss die Überwachung der Steuerung 112 durch die Selbstüberwachung 113 und die Überwachung der Selbstüberwachung 113 über das Überwachungsmodul 120 (220) nicht immer parallel miteinander erfolgen.
  • Die zu überwachenden Objekte können Objekte umfassen, bei denen der berechnete Wert sich als Funktion einer Betriebsbedingung beispielsweise des Motors des Fahrzeugs ändert.
  • Obgleich die vorliegende Erfindung anhand bevorzugter Ausführungsformen beschrieben wurde, um das Verständnis zu erleichtern, versteht sich, dass die Erfindung auf verschiedene andere Arten ausgeführt werden kann, ohne vom Wesen der Erfindung abzuweichen. Die Erfindung soll daher alle möglichen Ausführungsformen und Abwandlungsformen der gezeigten Ausführungsformen umfassen, welche umgesetzt werden können, ohne vom Wesen der Erfindung abzuweichen, wie es in den nachfolgenden Ansprüchen definiert ist.

Claims (39)

  1. Eine elektronische Steuervorrichtung für ein Fahrzeug, aufweisend: einen Mikrocomputer mit einer Stellgliedsteuerung und einer Steuerungsüberwachung, wobei die Stellgliedsteuerung die Arbeitsweise eines in einem Fahrzeug angeordneten Stellglieds in Anwort auf ein Eingangssignal steuert, welches einen Parameter angibt, der einem vorbestimmten Betriebszustand des Fahrzeugs zugewiesen ist und die Steuerungsüberwachung die Gültigkeit eines vorgewählten Überwachungsobjektes überwacht, welches einem Betrieb des Stellglieds zugeordnet ist, basierend auf einem Wert, der von dem Mikrocomputer berechnet wird und der Gültigkeit des zu überwachenden Objektes zugewiesen ist und eines erwarteten Werts des berechneten Werts, wobei die Steuerungsüberwachung dahingehend arbeitet, zu überwachen, ob die Stellgliedsteuerung richtig oder nicht arbeitet, basierend auf der überwachten Gültigkeit des überwachten Objekts und der Mikrocomputer den berechneten Wert und den erwarteten Wert ausgibt; und ein Überwachungsmodul mit einem digitalen Schaltkreis, der dafür ausgelegt ist, zu überwachen, ob die Steuerungsüberwachung richtig oder nicht arbeitet, basierend auf einem Vergleich zwischen dem berechneten Wert und dem erwarteten Wert, wie von dem Mikrocomputer eingegeben, und um ein diesbezügliches Ausgangssignal auszugeben.
  2. Eine elektronische Steuervorrichtung nach Anspruch 1, wobei, wenn eine Zeitdauer, in der der berechnete Wert fortfährt, unterschiedlich zu dem erwarteten Wert zu sein, eine bestimmte Zeit übersteigt, dann das Überwachungsmodul bestimmt, dass die Steuerungsüberwachung fehlerhaft ist.
  3. Eine elektronische Steuervorrichtung nach Anspruch 2, wobei das Überwachungsmodul mit einem Datenfehlerzähler ausgestattet ist, der in Antwort auf die Eingabe von Takten hochzählt, die verwendet werden, eine Referenzgeschwindigkeit zu bestimmen, mit der der digitale Schaltkreis arbeitet und der bei Übereinstimmung des berechneten Werts mit dem erwarteten Wert gelöscht wird, und wobei, wenn ein Zählwert des Datenfehlerzählers einen bestimmten Wert übersteigt, dann das Überwachungsmodul bestimmt, dass die Zeitdauer, während der der berechnete Wert fortfährt, unterschiedlich zu dem erwarteten Wert zu sein, die bestimmte Zeit überschritten hat.
  4. Eine elektronische Steuervorrichtung nach Anspruch 1, wobei, wenn eine Zeitdauer, während der der berechnete Wert und der erwartete Wert nicht von dem Überwachungsmodul empfangen werden können, eine bestimmte Zeit übersteigt, dann das Überwachungsmodul bestimmt, dass die Kommunikation mit dem Mikrocomputer fehlerhaft ist.
  5. Eine elektronische Steuervorrichtung nach Anspruch 4, wobei das Überwachungsmodul mit einem Kommunikationsfehlerzähler ausgestattet ist, der in Antwort auf die Eingabe von Taktsignalen hochzählt, die verwendet werden, eine Referenzgeschwindigkeit zu bestimmen, mit der der digitale Schaltkreis arbeitet und der gelöscht wird, wenn das Überwachungsmodul den berechneten Wert und den erwarteten Wert empfangen hat und wobei, wenn ein Zählwert des Kommunikationsfehlerzählers einen bestimmten Wert übersteigt, dann das Überwachungsmodul bestimmt, dass die Kommunikation mit dem Mikrocomputer fehlerhaft ist.
  6. Eine elektronische Steuervorrichtung nach Anspruch 3, wobei das Überwachungsmodul weiterhin mit einem Referenzzähler ausgestattet ist, der in Antwort auf die Eingabe der Takte hochzählt und wobei der Mikrocomputer weiterhin eine Modulüberwachung enthält, die dafür ausgelegt ist, einen Zählwert des Refernzzählers zu analysieren, um zu bestimmen, ob das Überwachungsmodul richtig arbeitet oder nicht.
  7. Eine elektronische Steuervorrichtung nach Anspruch 5, wobei das Überwachungsmodul weiterhin mit einem Referenzzähler ausgestattet ist, der in Antwort auf die Eingabe der Takte hochzählt und wobei der Mikrocomputer weiterhin eine Modulüberwachung enthält, die dafür ausgelegt ist, einen Zählwert des Refernzzählers zu analysieren, um zu bestimmen, ob das Überwachungsmodul richtig arbeitet oder nicht.
  8. Eine elektronische Steuervorrichtung nach Anspruch 6, wobei die Modulüberwachung dahingehend arbeitet, den Zählwert des Referenzzählers zyklisch abzutasten und zu bestimmen, dass das Überwachungsmodul fehlerhaft arbeitet, wenn eine Zeitdauer, während der der Zählwert fortfährt, ungeändert zu bleiben, eine vorgewählte Zeit übersteigt.
  9. Eine elektronische Steuervorrichtung nach Anspruch 7, wobei die Modulüberwachung dahingehend arbeitet, den Zählwert des Referenzzählers zyklisch abzutasten und zu bestimmen, dass das Überwachungsmodul fehlerhaft arbeitet, wenn eine Zeitdauer, während der der Zählwert fortfährt, ungeändert zu bleiben, eine vorgewählte Zeit übersteigt.
  10. Eine elektronische Steuervorrichtung nach Anspruch 1, wobei die Steuerungsüberwachung auch die Gültigkeit eines zusätzlichen vorgewählten Überwachungsobjektes überwacht, welches die Gültigkeit des Betriebs der Stellgliedsteuerung sicher stellt, basierend auf einem Wert, der von dem Mikrocomputer berechnet ist und der Gültigkeit des zusätzlichen vorgewählten Überwachungsobjekts zugeordnet ist und eines erwarteten Werts hiervon, wobei der Mikrocomputer einen Identifizierer einer Kombination aus jedem der berechneten Werte und einen Entsprechenden der erwarteten Werte hinzu addiert und die Kombinationen an das Überwachungsmodul in Form von Datensignalen überträgt, wobei das Überwachungsmodul weiterhin einen zusätzlichen digitalen Schaltkreis enthält und die Identifizierer der Datensignale analysiert, um die Kombinationen aus den berechneten und erwarteten Werten einem Entsprechenden der digitalen Schaltkreise bereit zu stellen und wobei jeder der digitalen Schaltkreise den berechneten Wert mit dem erwarteten Wert vergleicht, um zu bestimmen, ob die Steuerungsüberwachung richtig arbeitet oder nicht.
  11. Eine elektronische Steuervorrichtung nach Anspruch 10, wobei das Überwachungsmodul als digitale Schaltkreise eine ersten digitalen Schaltkreis und einen zweiten digitalen Schaltkreis enthält, wobei der erste digitale Schaltkreis dafür ausgelegt ist, zu bestimmen, ob der berechnete Wert übereinstimmend mit dem erwarteten Wert ist oder nicht und zu überwachen, ob die Steuerungsüberwachung richtig arbeitet oder nicht und der zweite digitale Schaltkreis dafür ausgelegt ist, zu bestimmen, ob der berechnete Wert größer als der erwartete Wert ist oder nicht, um zu überwachen, ob die Steuerungsüberwachung richtig arbeitet oder nicht.
  12. Eine elektronische Steuervorrichtung nach Anspruch 1, wobei das Überwachungsmodul weiterhin einen ersten digitalen Schaltkreis enthält, der der digitale Schaltkreis ist, sowie einen zweiten digitalen Schaltkreis enthält, wobei die Steuerungsüberwachung auch die Gültigkeiten zusätzlicher vorgewählter Überwachungsobjekte überwacht, welche die Gültigkeiten des Betriebs der Stellgliedsteuerung sicher stellen, basierend auf Werten, welche von dem Mikrocomputer berechnet wer den und den Gültigkeiten der zusätzlichen vorgewählten Überwachungsobjekte zugeordnet sind, und erwarteter Werte hiervon, wobei der Mikrocomputer die Überwachungsobjekte in eine erste und eine zweite Gruppe abhängig von den Überwachungsmoden der Überwachungsobjekte unterteilt, wobei zumindest die erste Gruppe aus einer Mehrzahl der Überwachungsobjekte besteht, wobei der Mikrocomputer weiterhin einen Wert als Funktion der berechneten Werte, zugeordnet der ersten Gruppe, berechnet und eine Kombination des berechneten Wertes und eines erwarteten Wertes hiervon in Form eines ersten Datensignals mit einem Identifizierer und eine Kombination des berechneten Wertes, zugeordnet der zweiten Gruppe, und dem erwarteten Wert hiervon in Form eines zweiten Datensignals mit einem Identifizierer ausgibt und wobei der von einem der ersten und zweite Datensignale mitgeführte berechnete Wert von einem der ersten und zweiten digitalen Schaltkreise des Überwachungsmoduls bestimmt wird, ob der berechnete Wert übereinstimmend mit dem erwarteten Wert ist oder nicht, um festzuhalten, ob die Steuerungsüberwachung richtig arbeitet oder nicht, wobei der berechnete Wert, der von dem Anderen der ersten und zweiten Datensignale mitgeführt wird, von dem Anderen der ersten und zweiten digitalen Schaltkreise des Überwachungsmoduls bestimmt wird, ob der berechnete Wert größer als der erwartete Wert ist oder nicht, um zu überwachen, ob die Steuerungsüberwachung richtig arbeitet oder nicht.
  13. Eine elektronische Steuervorrichtung nach Anspruch 12, wobei der Mikrocomputer eine Summe der berechneten Werte erzeugt, welche der ersten Gruppe zugeordnet sind, in Form eines Werts, der als Funktion der berechneten Werte berechnet wird, welche der ersten Gruppe zugeordnet sind und die Summe und einen erwarteten Wert hiervon an das Überwachungsmodul in Form des ersten Datensignals überträgt und wobei das Überwachungsmodul mittels des ersten digitalen Schaltkeises bestimmt, ob die Summe übereinstimmend mit dem erwarteten Wert ist oder nicht, um zu bestimmen, ob die Steuerungsüberwachung richtig arbeitet oder nicht.
  14. Eine elektronische Steuervorrichtung nach Anspruch 10, wobei die vorgewählten Überwachungsobjekte zur Überwachung durch die Steuerungsüberwachung zwei Objekte sind von (1) einem Steuerprogramm, welches in einem RAM in dem Mikrocomputer gespeichert ist und von der Stellgliedsteuerung abzuarbeiten ist, (2) Daten, welche in einem Daten-RAM in dem Mikrocomputer als ein Wert gespeichert sind, der von der Stellgliedsteuerung berechnet ist, (3) einem festen Wert, der ein Wert ist, der sich berechnet aus Simulationsdaten in der Stellgliedsteuerung, (4) eine Reihenfolge, in der Funktionen von der Stellgliedsteuerung ausgelesen werden, und (5) einem Wert, der von der Stellgliedsteuerung basierend auf dem Eingangssignal berechnet wird, welches den Parameter angibt, der dem bestimmten Betrieb des Fahrzeugs zugewiesen ist.
  15. Eine elektronische Steuervorrichtung nach Anspruch 1, wobei das Überwachungsmodul auch einen digitalen Schaltkreis höherer Geschwindigkeit, der der digitale Schaltkreis ist und einen digitalen Schaltkreis geringerer Geschwindigkeit enthält, wobei die Steuerungsüberwachung weiterhin die Gültigkeiten zusätzlicher vorgewählter Überwachungsobjekte jeweils in Zyklen überwacht, welche die Gültigkeiten des Betriebs der Stellgliedsteuerungen sicher stellen, basierend auf Werten, welche von dem Mikrocomputer berechnet werden und den Gültigkeiten der zusätzlichen Überwachungsobjekten zugeordnet sind und erwarteten Werten hiervon, wobei der Mikrocomputer die Überwachungsobjekte in eine erste und eine zweite Gruppe unterteilt, wobei wenigstens die erste Gruppe aus einer Mehrzahl von Überwachungsobjekten besteht, welche einzeln in Zyklen überwacht werden, welche kürzer und nahe beieinander sind, wobei der Mikrocomputer auch einen Wert als Funktion der berechneten Werte berechnet, die der ersten Gruppe zugeordnet sind und eine Kombination aus dem berechneten Wert und einem erwarteten Wert hiervon in Form eines ersten Datensignals mit einem Identifizierer und eine Kombination des berechneten Wertes, zugeordnet der zweiten Gruppe, und des erwarteten Wertes hiervon in Form eines zweiten digitalen Signales mit einem Identifizierer ausgibt, und wobei das Überwachungsmodul die Identifizierer analysiert und die ersten und zweiten Datensignale an die jeweiligen digitalen Schaltkreise höherer und geringerer Geschwindigkeit verteilt, wobei der digitale Schaltkreis höherer Geschwindigkeit dahingehend arbeitet, zu bestimmen, ob der berechnete Wert und der erwartete Wert, die von dem ersten Datensignal getragen werden, miteinander übereinstimmen oder nicht, um zu bestimmen, ob die Steuerungsüberwachung richtig arbeitet oder nicht und der digitale Schaltkreis geringerer Geschwindigkeit dahingehend arbeitet, zu bestimmen, ob der berechnete Wert und der erwartete Wert, die von dem zweiten Datensignal getragen werden, miteinander übereinstimmen, um zu bestimmen, ob die Steuerungsüberwachung richtig arbeitet oder nicht.
  16. Eine elektronische Steuervorrichtung nach Anspruch 15, wobei der Mikrocomputer eine Summe der berechneten Werte, die der ersten Gruppe zugeordnet sind, erzeugt und die Summe und einen erwarteten Wert hiervon an das Überwachungsmodul in Form des ersten Datensignals überträgt und wobei das Überwachungsmodul über den digitalen Schaltkreis höherer Geschwindigkeit bestimmt, ob die Summe übereinstimmend mit dem erwarteten Wert ist oder nicht, um zu bestimmen, ob die Steuerungsüberwachung richtig arbeitet oder nicht.
  17. Eine elektronische Steuervorrichtung nach Anspruch 15, wobei die vorgewählten Überwachungsobjekte zur Überwachung durch die Steuerungsüberwachung eines ist von (1) Daten, die in einem Daten-RAM in dem Mikrocomputer als ein Wert gespeichert sind, der von der Stellgliedsteuerung berechnet ist, (2) ein fester Wert, der ein Wert ist, der durch Berechnen an Simulationsdaten in der Stellgliedsteuerung erhalten wird, (3) eine Reihenfolge, in der Funktionen von der Stellgliedsteuerung ausgelesen werden, und (4) ein Wert, der von der Stellgliedsteuerung basierend auf dem Eingangssignal berechet wird, das den Parameter angibt, der dem vorgewählten Betrieb des Fahrzeugs zugeordnet ist und eines Steuerprogramms, welches in einem ROM in dem Mikrocomputer gespeichert ist und von der Stellgliedsteuerung durchzuführen ist.
  18. Eine elektronische Steuervorrichtung nach Anspruch 1, wobei das Stellglied ein Motor ist, der dazu dient, eine Position einer Drosselklappe zu steuern und wobei, wenn bestimmt wird, dass die Steuerungsüberwachung fehlerhaft arbeitet, der Mikrocomputer eine Energieversorgung an den Motor über einen Motortreiber und wenigstens entweder die Steuerungsüberwachung oder das Überwachungsmodul unterbricht.
  19. Eine elektronische Steuervorrichtung nach Anspruch 1, wobei der von dem Mikrocomputer berechnete Wert, der der Gültigkeit des zu überwachenden Objektes zugeordnet ist, ein Wert ist, der erhalten wird durch Durchführung einer bestimmten Berechnung an dem Eingangssinal, welches den Parameter anzeigt, der dem vorgewählten Betriebszustand des Fahrzeugs zugeordnet ist.
  20. Eine elektronische Steuervorrichtung für ein Fahrzeug, aufweisend: einen Mikrocomputer mit einer Stellgliedsteuerung und einer Steuerungsüberwachung, wobei die Stellgliedsteuerung dahingehend arbeitet, den Betrieb eines Stellglieds in einem Fahrzeug in Antwort auf ein Eingangssignal zu steuern, welches einen Parameter angibt, der einen bestimmten Betriebszustand des Fahrzeugs zu geordnet ist, wobei die Steuerungsüberwachung dahingehend arbeitet, die Gültigkeit eines ausgewählten Überwachungsobjektes zu überwachen, welches einem Betrieb der Stellgliedsteuerung zugeordnet ist, um zu bestimmen, ob die Stellgliedsteuerung richtig arbeitet oder nicht, wobei der Mikrocomputer einen Wert ausgibt, der von dem Mikrocomputer berechnet wird und der Gültigkeit des vorgewählten Überwachungsobjektes zugeordnet ist; und ein Überwachungsmodul mit digitalem Schaltkreis, der dafür ausgelegt ist, zu überwachen, ob die Steuerungsüberwachung richtig arbeitet oder nicht, basierend auf einem Vergleich zwischen dem berechneten Wert, wie er vom Mikrocomputer eingegeben wird und einem erwarteten Wert des Computerwerts, wie er in dem Überwachungsmodul gespeichert ist.
  21. Eine elektronische Steuervorrichtung nach Anspruch 20, wobei der Mikrocomputer den berechneten Wert so modifiziert, dass eine Anpassung des in dem Überwachungsmodul gespeicherten erwarteten Werts vorliegt und den modifizierten und berechneten Wert an das Überwachungsmodul ausgibt.
  22. Eine elektronische Steuervorrichtung nach Anspruch 20, wobei das Stellglied ein Motor ist, der dazu dient, eine Position einer Drosselklappe zu steuern und wobei, wenn bestimmt wird, dass die Steuerungsüberwachung fehlerhaft arbeitet, der Mikrocomputer eine Energieversorgung an den Motor über einen Motortreiber und wenigstens entweder die Steuerungsüberwachung oder das Überwachungsmodul unterbricht.
  23. Eine elektronische Steuervorrichtung für ein Fahrzeug, aufweisend: einen Mikrocomputer mit einer Stellgliedsteuerung und einer Steuerungsüberwachung, wobei die Stellgliedsteuerung dahingehend arbeitet, den Betrieb eines Stellglieds in einem in Antwort auf ein Eingangssignal zu steuern, welches einen Parameter anzeigt, der einen bestimmten Betriebszustand des Fahrzeugs zugeordnet ist, wobei die Steuerungsüberwachung dahingehend arbeitet, Gültigkeiten vorgewählter Überwachungsobjekte zu überwachen, welche einen Betrieb der Stellgliedsteuerung zugeordnet sind, um zu bestimmen, ob die Stellgliedsteuerung richtig arbeitet oder nicht, wobei der Mikrocomputer Werte berechnet, welche den Gültigkeiten der vorgewählten Überwachungsobjekte jeweils zugeordnet ist und die Überwachungsobjekte in wenigstens eine erste und eine zweite Gruppe anhängig von den Überwachungsmoden der zu überwachenden Objekte unterteilt, wobei zumindest die erste Gruppe aus einer Mehrzahl der zu überwachenden Objekte besteht und wobei der Mikrocomputer weiterhin einen Wert als Funktion der berechneten Werte, zugeordnet den Gültigkeiten der ersten Gruppe der zu überwachenden Objekte, die berechnet und eine Kombination des berechneten Wertes und eines erwarteten Wertes hiervon in Form eines ersten Datensignals mit einem Identifizierer und eine Kombination des berechneten Wertes, zugeordnet der zweiten Gruppe, und des erwarteten Wertes hiervon in Form eines zweiten Datensignals mit einem Identifizierer ausgibt; ein Überwachungsmodul, das die Identifizierer der ersten und zweiten Datensignale analysiert, wie sie vom Mikrocomputer eingegeben werden und die ersten und zweiten Datensignale an einen ersten und zweiten digitalen Schaltkreis in dem Überwachungsmodul verteilt, um zu bestimmen, ob die Stellgliedsteuerung richtig arbeitet oder nicht, basierend auf einem Vergleich zwischen den berechneten und den erwarteten Werten, die von den ersten und zweiten Datensignalen getragen werden.
  24. Ein elektronische Steuervorrichtung nach Anspruch 23, wobei die Überwachungsmoden der zu überwachenden Objekte Vergleichsmoden zwischen den berechneten Werten und den erwarteten Werten sind und wobei der von einem der ersten und zweiten Datensignale getragene berechnete Wert bei der Bestimmung mittels des ersten und zweiten digitalen Schaltkreises des Überwachungsmoduls verwendet wird, ob der berechnete Wert übereinstimmend mit dem erwarteten Wert ist oder nicht, um zu bestimmen, ob die Steuerungsüberwachung richtig arbeitet oder nicht, wobei in der von dem anderen der ersten und zweiten Datensignale getragene berechnete Wert von dem anderen der ersten und zweiten digitalen Schaltkreise des Überwachungsmoduls bestimmt wird, ob der berechnete Wert größer als der erwartete Wert ist, oder nicht, um zu überwachen, ob die Steuerungsüberwachung richtig arbeitet, oder nicht.
  25. Eine elektronische Steuervorrichtung nach Anspruch 24, wobei der Mikrocomputer eine Summe der berechneten Werte erzeugt, welche der ersten Gruppe zugeordnet sind, in Form eines Werts, der als Funktion der berechneten Werte berechnet wird, welche der ersten Gruppe zugeordnet sind und die Summe und einen erwarteten Wert hiervon an das Überwachungsmodul in Form des ersten Datensignals überträgt und wobei das Überwachungsmodul mittels des ersten digitalen Schaltkreises bestimmt, ob die Summe übereinstimmend mit dem erwarteten Wert ist oder nicht, um zu bestimmen, ob die Steuerungsüberwachung richtig arbeitet oder nicht.
  26. Eine elektronische Steuervorrichtung nach Anspruch 23, wobei die vorgewählten Überwachungsobjekte zur Überwachung durch die Steuerungsüberwachung zwei Objekte sind von (1) einem Steuerprogramm, welches in einem RAM in dem Mikrocomputer gespeichert ist und von der Stellgliedsteuerung abzuarbeiten ist, (2) Daten, welche in einem Daten-RAM in dem Mikrocomputer als ein Wert gespeichert sind, der von der Stellgliedsteuerung berechnet ist, (3) einem festen Wert, der ein Wert ist, der sich berechnet aus Simulationsdaten in der Stellgliedsteuerung, (4) eine Reihenfolge, in der Funktionen von der Stellgliedsteuerung ausgelesen werden, und (5) einem Wert, der von der Stellgliedsteuerung basierend auf dem Eingangssignal berechnet wird, welches den Parameter angibt, der dem bestimmten Betrieb des Fahrzeugs zugewiesen ist.
  27. Eine elektronische Steuervorrichtung nach Anspruch 23, wobei die Steuerungsüberwachung dahingehend arbeitet, die Gültigkeiten der zu überwachenden Objekte in Zyklen zu überwachen, wobei eine Differenz in dem Überwachungsmodus zwischen der ersten und zweiten Gruppe eine Differenz im Wert der Zyklen ist, wobei die Zyklen der ersten Gruppe der zu überwachenden Objekte kürzer als die Zyklen der zweiten Gruppe sind und wobei das Überwachungsmodul einen digitalen Schaltkreis höherer Geschwindigkeit, der der erste digitale Schaltkreis ist und einen digitalen Schaltkreis geringerer Geschwindigkeit, der der zweite digitale Schaltkreis ist, enthält, wobei der digitale Schaltkreis höherer Geschwindigkeit dahingehend arbeitet, zwischen dem berechneten Wert und dem erwartetem Wert, getragen durch das erste Datensignal zu vergleichen und der digitale Schaltkreis geringerer Geschwindigkeit dahingehend arbeitet, zwischen dem berechnetem Wert und dem erwartetem Wert, getragen von dem zweiten Datensignal, zu vergleichen.
  28. Eine elektronische Steuervorrichtung nach Anspruch 27, wobei der Mikrocomputer eine Summe der berechneten Werte erzeugt, welche der ersten Gruppe zugeordnet sind, in Form eines Werts, der als Funktion der berechneten Werte berechnet wird, welche der ersten Gruppe zugeordnet sind und die Summe und einen erwarteten Wert hiervon an das Überwachungsmodul in Form des ersten Datensignals überträgt und wobei das Überwachungsmodul mittels des digitalen Schaltkeises höherer Geschwindigkeit bestimmt, ob die Summe übereinstimmend mit dem erwarteten Wert ist oder nicht, um zu bestimmen, ob die Steuerungsüberwachung richtig arbeitet oder nicht.
  29. Eine elektronische Steuervorrichtung nach Anspruch 27, wobei die vorgewählten Überwachungsobjekte zur Überwachung durch die Steuerungsüberwachung eines ist von (1) Daten, die in einem Daten-RAM in dem Mikrocomputer als ein Wert gespeichert sind, der von der Stellgliedsteuerung berechnet ist, (2) ein fester Wert, der ein Wert ist, der durch Berechnen an Simulationsdaten in der Stellgliedsteuerung erhalten wird, (3) eine Reihenfolge, in der Funktionen von der Stellgliedsteuerung ausgelesen werden, und (4) ein Wert, der von der Stellgliedsteuerung basierend auf dem Eingangssignal berechnet wird, das den Parameter angibt, der dem vorgewählten Betrieb des Fahrzeugs zugeordnet ist und eines Steuerprogramms, welches in einem ROM in dem Mikrocomputer gespeichert ist und von der Stellgliedsteuerung durchzuführen ist.
  30. Eine elektronische Steuervorrichtung nach Anspruch 23, wobei der Mikrocomputer die ersten und zweiten Datensignale an das Überwachungsmodul überträgt, wobei gleichzeitig bestimmt wird, ob die Stellgliedsteuerung richtig arbeitet oder nicht.
  31. Eine elektronische Steuervorrichtung nach Anspruch 23, wobei, wenn eine Zeitdauer, während der der berechnete Wert fortfährt, unterschiedlich zu dem erwartetem Wert zu sein, eine bestimmte Zeit übersteigt, jeder der ersten und zweiten digitalen Schaltkreise des Überwachungsmoduls bestimmt, dass die Steuerungsüberwachung fehlerhaft ist.
  32. Eine elektronische Steuervorrichtung nach Anspruch 31, wobei jeder der ersten und zweiten digitalen Schaltkreise des Überwachungsmoduls mit einem Datenfehlerzähler ausgestattet ist, der in Antwort auf die Eingabe eines jeden von Takten hochzählt, die zur Bestimmung einer Differenzgeschwindigkeit verwendet werden, mit der die ersten und zweiten digitalen Schaltkreise arbeiten und der bei Übereinstimmung des berechneten Wertes mit dem erwartetem Wert gelöscht wird, und wobei jeder der ersten und zweiten digitalen Schaltkreise bestimmt, dass die Zeitdauer, während der der berechnete Wert fortfährt, unterschiedlich zu dem erwarteten Wert zu sein, die bestimmte Zeit überschritten hat, wenn ein Zählwert eines entsprechenden deren Datenfehlerzähler einen vorgewählten Wert übersteigt.
  33. Eine elektronische Steuervorrichtung nach Anspruch 23, wobei, wenn eine Zeitdauer, während der der berechnete Wert und der erwartete Wert nicht von dem Überwachungsmodul empfangen werden, eine vorgewählte Zeit übersteigt, jeder der ersten und zweiten digitalen Schaltkreise des Überwachungsmoduls bestimmt, dass die Steuerungsüberwachung fehlerhaft ist.
  34. Eine elektronische Steuervorrichtung nach Anspruch 33, wobei jeder der ersten und zweiten digitalen Schaltkreise des Überwachungsmoduls mit einem Kommunikationsfehlerzählers ausgestattet ist, in der in Antwort auf die Eingabe vorn in Takten hochzählt, die zur Bestimmung einer Referenzgeschwindigkeit verwendet werden, mit der die ersten und zweiten digitalen Schaltkreise arbeiten und der bei Empfang eines entsprechenden der ersten und zweiten Datensignale gelöscht wird und wobei, wenn ein Zählwert des Kommunikationsfehlerzählers einen vorgewählten Wert übersteigt, ein entsprechendes der ersten und zweiten digitalen Schaltkreise bestimmt, dass die Kommunikation mit Mikrocomputer fehlerhaft ist.
  35. Eine elektronische Steuervorrichtung nach Anspruch 32, wobei das Überwachungsmodul weiterhin mit einem Referenzzähler ausgestattet ist, der in Antwort auf die Eingabe der Takte hochzählt und wobei der Mikrocomputer weiterhin eine Modulüberwachung enthält, die dafür ausgelegt ist, einen Zählwert des Refernzzählers zu analysieren, um zu bestimmen, ob das Überwachungsmodul richtig arbeitet oder nicht.
  36. Eine elektronische Steuervorrichtung nach Anspruch 34, wobei das Überwachungsmodul weiterhin mit einem Referenzzähler ausgestattet ist, der in Antwort auf die Eingabe der Takte hochzählt und wobei der Mikrocomputer weiterhin eine Modulüberwachung enthält, die dafür ausgelegt ist, einen Zählwert des Refernzzählers zu analysieren, um zu bestimmen, ob das Überwachungsmodul richtig arbeitet oder nicht.
  37. Eine elektronische Steuervorrichtung nach Anspruch 35, wobei die Modulüberwachung dahingehend arbeitet, den Zählwert des Referenzzählers zyklisch abzutasten und zu bestimmen, dass das Überwachungsmodul fehlerhaft arbeitet, wenn eine Zeitdauer, während der der Zählwert fortfährt, ungeändert zu bleiben, eine vorgewählte Zeit übersteigt.
  38. Eine elektronische Steuervorrichtung nach Anspruch 23, wobei das Stellglied ein Motor ist, der dazu dient, eine Position einer Drosselklappe zu steuern und wobei, wenn bestimmt wird, dass die Steuerungsüberwachung fehlerhaft arbeitet, der Mikrocomputer eine Energieversorgung an den Motor über einen Motortreiber und wenigstens entweder die Steuerungsüberwachung oder das Überwachungsmodul unterbricht.
  39. Eine elektronische Steuervorrichtung nach Anspruch 23, wobei der von dem Mikrocomputer berechnete Wert, der der Gültigkeit des zu überwachenden Objektes zugeordnet ist, ein Wert ist, der erhalten wird durch Durchführung einer bestimmten Berechnung an dem Eingangssinal, welches den Parameter anzeigt, der dem vorgewählten Betriebszustand des Fahrzeugs zugeordnet ist.
DE102006028695.2A 2005-06-23 2006-06-22 Elektronisches Steuersystem mit Fehlfunktionsüberwachung Expired - Fee Related DE102006028695B4 (de)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
JP2005183831A JP4396588B2 (ja) 2005-06-23 2005-06-23 電子制御装置
JP2005-183832 2005-06-23
JP2005-183831 2005-06-23
JP2005183832A JP2007002759A (ja) 2005-06-23 2005-06-23 電子制御装置

Publications (2)

Publication Number Publication Date
DE102006028695A1 true DE102006028695A1 (de) 2007-02-22
DE102006028695B4 DE102006028695B4 (de) 2017-11-30

Family

ID=37568630

Family Applications (1)

Application Number Title Priority Date Filing Date
DE102006028695.2A Expired - Fee Related DE102006028695B4 (de) 2005-06-23 2006-06-22 Elektronisches Steuersystem mit Fehlfunktionsüberwachung

Country Status (2)

Country Link
US (1) US7612464B2 (de)
DE (1) DE102006028695B4 (de)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019179860A1 (de) * 2018-03-22 2019-09-26 Thyssenkrupp Presta Ag Verfahren zur diagnose einer funktionalität mit diskreten werten oder diskreten klassen von werten auf der eingangs- oder ausgangsseite

Families Citing this family (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2015154A1 (de) * 2007-07-09 2009-01-14 Siemens Aktiengesellschaft Verfahren zum Betrieb eines Automatisierungsgerätes mit konfigurierbarem Abschaltmodus
DE102008003515A1 (de) * 2008-01-08 2009-07-09 Leopold Kostal Gmbh & Co. Kg Rechnersystem zur Auswertung sicherheitskritischer Sensorgrößen
US7984341B2 (en) * 2008-02-25 2011-07-19 International Business Machines Corporation Method, system and computer program product involving error thresholds
JP4454672B2 (ja) * 2008-06-13 2010-04-21 三菱電機株式会社 監視制御回路を有する車載電子制御装置
WO2010032226A2 (en) * 2008-09-22 2010-03-25 Nxp B.V. Data processing system comprising a monitor
DE102009046836B4 (de) * 2009-11-18 2024-05-23 Robert Bosch Gmbh Verfahren zum Betreiben einer Hochdrucktankvorrichtung insbesondere eines Kraftfahrzeugs
EP2513456B1 (de) * 2009-12-18 2015-02-25 Conti Temic microelectronic GmbH Überwachungsrechner in einem steuergerät
EP2525064A4 (de) * 2010-01-15 2014-07-30 Toyota Motor Co Ltd System mit variablem ventilarbeitswinkel
FR2985051B1 (fr) * 2011-12-21 2016-12-09 Continental Automotive France Procede de diagnostic pour dispositif de commande d'un vehicule automobile a moteur electrique propulsif et dispositif associe
DE102012201241A1 (de) * 2012-01-30 2013-08-01 Robert Bosch Gmbh Vorrichtung zur Regelung eines Motors
DE112014002955B4 (de) * 2013-11-13 2018-12-13 Honda Motor Co., Ltd. Antriebssteuervorrichtung und -verfahren für Primärantrieb
KR101458926B1 (ko) * 2014-04-28 2014-11-13 솔웍스 주식회사 차량 진단 시스템
DE102015222427A1 (de) * 2015-11-13 2017-05-18 Robert Bosch Gmbh Verfahren zum Betreiben eines Steuergeräts eines Kraftfahrzeugs
JP6984512B2 (ja) 2018-03-22 2021-12-22 株式会社デンソー 電子制御装置
US11274421B2 (en) 2019-07-24 2022-03-15 Caterpillar Inc. Efficient secondary control device for a work machine
US10915248B1 (en) * 2019-08-07 2021-02-09 Macronix International Co., Ltd. Memory device
WO2021111896A1 (ja) * 2019-12-05 2021-06-10 日立Astemo株式会社 車載電子制御装置
US20230280940A1 (en) * 2022-03-01 2023-09-07 Micron Technology, Inc. Memory controller for managing raid information

Family Cites Families (28)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2241123B (en) * 1990-02-16 1993-09-29 Teves Gmbh Alfred Circuit arrangement for an anti-lock-controlled vehicle brake system
JP3063385B2 (ja) * 1992-05-07 2000-07-12 三菱電機株式会社 エンジンの吸入空気量制御装置
DE4438714A1 (de) 1994-10-29 1996-05-02 Bosch Gmbh Robert Verfahren und Vorrichtung zur Steuerung der Antriebseinheit eines Fahrzeugs
DE4439060A1 (de) * 1994-11-02 1996-05-09 Teves Gmbh Alfred Mikroprozessoranordnung für ein Fahrzeug-Regelungssystem
JPH08270488A (ja) * 1995-02-02 1996-10-15 Nippondenso Co Ltd エンジン制御装置
US5844795A (en) * 1995-11-01 1998-12-01 Allen Bradley Company, Llc Diagnostic aid for industrial controller using multi-tasking architecture
DE19609242A1 (de) 1996-03-09 1997-09-11 Bosch Gmbh Robert Verfahren und Vorrichtung zur Steuerung einer Antriebseinheit eines Fahrzeugs
JP3566517B2 (ja) * 1997-11-11 2004-09-15 三菱電機株式会社 車両用エンジンの駆動制御装置
JPH11294252A (ja) * 1998-04-13 1999-10-26 Denso Corp 電子制御装置
JP3659017B2 (ja) 1998-09-18 2005-06-15 株式会社デンソー 自己診断装置を備えた車両用制御装置
DE19917208A1 (de) * 1999-04-16 2000-10-19 Bosch Gmbh Robert Verfahren und Vorrichtung zur Überwachung eines Rechenelements in einem Kraftfahrzeug
DE19919504B4 (de) * 1999-04-29 2005-10-20 Mtu Aero Engines Gmbh Triebwerksregler, Triebwerk und Verfahren zum Regeln eines Triebwerks
JP4012654B2 (ja) * 1999-08-06 2007-11-21 株式会社日立製作所 エンジン機器制御装置及び電子制御スロットルシステム
JP3626086B2 (ja) * 2000-10-19 2005-03-02 本田技研工業株式会社 内燃機関の吸気系異常検出装置
JP4391724B2 (ja) * 2001-06-08 2009-12-24 ローベルト ボッシュ ゲゼルシャフト ミット ベシュレンクテル ハフツング 車両の駆動シーケンス制御の監視方法及びその装置
US7310757B2 (en) * 2001-10-11 2007-12-18 Altera Corporation Error detection on programmable logic resources
DE10163655A1 (de) 2001-12-21 2003-07-03 Bosch Gmbh Robert Verfahren und Vorrichtung zur Steuerung einer Funktionseinheit eines Kraftfahrzeugs
JP4348950B2 (ja) 2003-01-23 2009-10-21 株式会社デンソー 電子制御装置
JP4007203B2 (ja) 2003-01-23 2007-11-14 株式会社デンソー 電子制御装置
JP2004259137A (ja) 2003-02-27 2004-09-16 Denso Corp 電子制御装置
JP4288999B2 (ja) 2003-04-18 2009-07-01 株式会社デンソー 処理装置
JP2004346746A (ja) 2003-05-19 2004-12-09 Denso Corp 車両制御システムの異常検出装置
JP4473609B2 (ja) 2003-06-10 2010-06-02 株式会社デンソー 電子システム
JP4222154B2 (ja) * 2003-08-28 2009-02-12 株式会社デンソー 車両制御システム
JP2005188309A (ja) * 2003-12-24 2005-07-14 Denso Corp スロットル系の異常判定装置
JP2005337182A (ja) * 2004-05-28 2005-12-08 Mitsubishi Electric Corp 内燃機関の燃圧制御装置
US20080270000A1 (en) * 2004-11-10 2008-10-30 Werner Bernzen Preventive-Action Protection System in a Motor Vehicle
US7426099B2 (en) * 2005-06-30 2008-09-16 Continental Automotive Systems Us, Inc. Controller method, apparatus and article suitable for electric drive

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019179860A1 (de) * 2018-03-22 2019-09-26 Thyssenkrupp Presta Ag Verfahren zur diagnose einer funktionalität mit diskreten werten oder diskreten klassen von werten auf der eingangs- oder ausgangsseite
CN111886554A (zh) * 2018-03-22 2020-11-03 蒂森克虏伯普利斯坦股份公司 用于诊断在输入或输出侧使用离散值或离散的值类的功能特征的方法
CN111886554B (zh) * 2018-03-22 2024-04-16 蒂森克虏伯普利斯坦股份公司 用于诊断在输入或输出侧使用离散值或离散的值类的功能特征的方法

Also Published As

Publication number Publication date
DE102006028695B4 (de) 2017-11-30
US20060293831A1 (en) 2006-12-28
US7612464B2 (en) 2009-11-03

Similar Documents

Publication Publication Date Title
DE102006028695B4 (de) Elektronisches Steuersystem mit Fehlfunktionsüberwachung
DE102006028992B4 (de) Elektronische Steuervorrichtung
DE10341786B4 (de) Elektronische Fahrzeugsteuervorrichtung
DE602004007209T2 (de) Sicherheitssteuerung zur Bereitstellung einer schnellen Wiederherstellung von Sicherheitsprogrammdaten
DE19609242A1 (de) Verfahren und Vorrichtung zur Steuerung einer Antriebseinheit eines Fahrzeugs
DE10243589A1 (de) Fahrzeugelektroniksteuereinrichtung
EP1479003B1 (de) Verfahren und vorrichtung zur steuerung einer funktionseinheit eines kraftfahrzeugs
EP0886823B1 (de) Verfahren zur überprüfung der funktionsfähigkeit einer recheneinheit
DE102006057743B4 (de) Verfahren zur Überwachung der Funktionssoftware von Steuergeräten in einem Steuergeräteverbund
DE102013206308A1 (de) Verfahren und System zum Adaptieren von Modellparametern eines in einem Steuergerät eines Kraftfahrzeugs implementierten Funktionmodells
EP1860565B1 (de) Verfahren zur Funktionsprüfung eines Steuergeräts für ein Kraftfahrzeug
DE102008034150A1 (de) Sicherheitsüberwachung mit Hilfe von Verbindungsleitungen zwischen Steuergeräten eines Kraftfahrzeugs
DE3200626C2 (de) Verfahren zur Überprüfung, ob ein außer dem Hauptspeicher vorgesehener weiterer Speicher in ein Mikrocomputersystem eingefügt ist
DE10331872A1 (de) Verfahren zur Überwachung eines technischen Systems
DE112017003053T5 (de) Aktivitätsüberwachungsgerät
EP3732608B1 (de) Verfahren zur rechnergestützten parametrierung eines technischen systems
EP0596297B1 (de) Verfahren und Vorrichtung zur Überprüfung einer Überwachungseinheit von Motorsteuersystem
EP1733284A2 (de) Ablaufsteuerung von funktionen auf miteinander wechselwirkenden geräten
DE19755311B4 (de) Verfahren und Vorrichtung zur Informationsübertragung in Kraftfahrzeugen
DE19963475A1 (de) Verfahren und Vorrichtung zur Steuerung von Betriebsabläufen in einem Fahrzeug sowie zur Bereitstellung von Daten diesbezüglich
DE10160348A1 (de) Verfahren und System zur Informationsübertragung in Kraftahrzeugen
WO2018192840A1 (de) Steuergerät und betriebsverfahren hierfür
DE102018217728A1 (de) Verfahren und Vorrichtung zum Schätzen von mindestens einer Leistungskennzahl eines Systems
DE102011114402A1 (de) Steuervorrichtung für einen elektrischen bestandteil eines fahrzeugs
DE19748181B4 (de) Verfahren zum Prüfen einer Funktion oder Einrichtung eines Fahrzeugs

Legal Events

Date Code Title Description
OP8 Request for examination as to paragraph 44 patent law
R016 Response to examination communication
R018 Grant decision by examination section/examining division
R084 Declaration of willingness to licence
R020 Patent grant now final
R119 Application deemed withdrawn, or ip right lapsed, due to non-payment of renewal fee