DE102006028992B4

DE102006028992B4 - Elektronische Steuervorrichtung

Info

Publication number: DE102006028992B4
Application number: DE102006028992A
Authority: DE
Inventors: Kosuke Ushijima; Fujiki Yamada
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2005-06-23
Filing date: 2006-06-23
Publication date: 2012-11-08
Anticipated expiration: 2026-06-24
Also published as: US20060293833A1; DE102006028992A1; JP4483720B2; JP2007002760A; DE102006028992B8; US7826962B2

Abstract

Elektronische Steuervorrichtung (100), die aufweist: einen Mikrocomputer (110), der aufweist eine Steuerfunktion (112) eines Steuerns eines in ein Fahrzeug eingebauten Aktors in Übereinstimmung mit einem Eingangssignal, das einen Laufzustand des Fahrzeugs anzeigt, und eine Selbstüberwachungsfunktion (113) eines Überwachens, ob die Steuerfunktion (112) zweckmäßig arbeitet oder nicht, auf der Grundlage des Eingangssignals, ein Überwachungsmodul (120), das kommunizierend mit dem Mikrocomputer (110) verbunden ist und eine Digitalschaltung (121) zum Überwachen aufweist, ob die Selbstüberwachungsfunktion (113) zweckmäßig arbeitet oder nicht, und einen Referenzzähler (126) beinhaltet, der einen Takt aufwärts zählt, der als eine Betriebsreferenz der Digitalschaltung (121) dient, wobei der Mikrocomputer (110) einen Modulüberwachungsbereich (115) mit einem Anomaliebestimmungszähler und Normalitätsbestimmungszähler beinhaltet, und der Modulüberwachungsbereich (115) dazu ausgelegt ist, einen Zählwert des Referenzzählers (126) in regelmäßigen Zeitintervallen aufzunehmen und auf der Grundlage der Änderungshöhe des derzeitigen Zählwerts und des Zählwerts, welcher zu einer vorhergehenden Zeit...

Description

HINTERGRUND DER ERFINDUNG
1. Gebiet der Erfindung
Die vorliegende Erfindung betrifft eine elektronische Steuervorrichtung, die zum Beispiel zum Steuern eines Betriebs eines in ein Fahrzeug eingebauten Aktors, wie zum Beispiel eines Drosselventilaktors, verwendet wird, genauer gesagt, eine elektronische Steuervorrichtung, die eine Selbstüberwachungsfunktion und ebenso eine Funktion eines Überwachens dieser Selbstüberwachungsfunktion unter Verwendung eines Überwachungsmoduls aufweist, wobei die Selbstüberwachungsfunktion dazu ausgelegt ist, eine Ansteueranweisung selbst zu überwachen, die von einem Mikrocomputer der elektronischen Steuervorrichtung zu einer Ansteuerschaltung eines in ein Fahrzeug eingebauten Aktors gesendet wird.
2. Beschreibung des Standes der Technik
Eine derartige elektronische Steuervorrichtung ist zum Beispiel in der offengelegten japanischen Übersetzung Nr. 11-505587 einer PCT-Anmeldung beschrieben. 22 ist ein Blockschaltbild, das einen typischen Aufbau einer elektronischen Steuervorrichtung des zuvor beschriebenen Typs zeigt.
Wie es in dieser Figur gezeigt ist, ist die elektronische Steuervorrichtung, welche zum Beispiel zum Steuern eines Aktors (Motors) zum Öffnen und Schließen eines Drosselventils verwendet wird, hauptsächlich durch einen Mikrocomputer 10, ein Überwachungsmodul 20 und eine Ansteuerschaltung 30 aufgebaut.
Der Mikrocomputer 10, welcher zum Durchführen von verschiedenen Berechnungen ist, die zum Steuern des Aktors (elektrischen Motors) notwendig sind, weist einen Eingabebereich 11, einen Steuerbereich 12, einen Selbstüberwachungsbereich 13, einen Programmausführungsbereich 14 und einen Kommunikationsbereich 15 auf, wie es in 22 gezeigt ist. Um den Aktor zu steuern, nimmt der Steuerbereich 12 ein externes Signal, das einen Betätigungsgrad eines Gaspedals usw. darstellt, über den Eingabebereich 11 auf, welcher dazu dient, einen Informationsaustausch zwischen dem Steuerbereich 12 und externen Sensoren oder Vorrichtungen (nicht gezeigt) zu vermitteln. Der Mikrocomputer 12 führt eine Berechnung bezüglich des externen Signals durch, um eine Regelgröße (Steuergröße) zu erzeugen, um welche der Aktor das Drosselventil steuert. Die berechnete Regelgröße wird als eine Ansteueranweisung zu der Ansteuerschaltung 30 ausgegeben.
Das externe Signal wird ebenso von dem Selbstüberwachungsbereich 13 aufgenommen, welcher dazu dient, den Betrieb des Steuerkreises 12 zu überwachen. Der Selbstüberwachungsbereich 13 führt eine Berechnung ähnlich zu der durch, die von dem Steuerbereich 12 durchgeführt wird. Das Berechnungsergebnis in dem Selbstüberwachungsbereich 13 wird mit der Ansteueranweisung verglichen, die von dem Steuerbereich 12 ausgegeben wird. Das Vergleichsergebnis wird der Ansteuerschaltung 30 als Signal (eine Information) zugeführt, die eine Gültigkeit der Ansteueranweisung anzeigt.
Der Programmausführungsbereich 14 ist zum Ausführen eines Überwachungsprogramms im Zusammenwirken mit dem Überwachungsmodul 20, um eine Anomalie in dem Selbstüberwachungsbereich 13 zu überwachen. Der Programmausführungsbereich 14 startet ein Ausführen des Überwachungsprogramms auf ein Aufnehmen eines Testsignals von dem Überwachungsmodul 20 über einen Kommunikationsbereich 15, der in dem Mikrocomputer 10 enthalten ist. Genauer gesagt gibt der Programmausführungsbereich 14 einen bestimmten Datensatz, der von dem Überwachungsprogramm bezeichnet wird, zu dem Selbstüberwachungsbereich 13 aus. Danach nimmt der Programmausführungsbereich 14 das Ergebnis der Berechnung bezüglich des Datensatzes auf, die von dem Selbstüberwachungsbereich 13 durchgeführt wird, und sendet es über den Kommunikationsbereich 15 zu dem Überwachungsmodul 20. Der Kommunikationsbereich 15 des Mikrocomputers 10 ist ein Bereich zum Vermitteln eines Informationsaustauschs mit einem Kommunikationsbereich 22 des Überwachungsmoduls 20 durch eine serielle Kommunikation.
Das Überwachungsmodul 20, das von dem Kommunikationsbereich 22 und einer Anomaliebestimmungsschaltung 21 gebildet wird, ist als ein kundenspezifisches IC oder ein Sicherungscomputer ausgebildet, um eine Anomalie in dem Selbstüberwachungsbereich 13 auf der Grundlage einer Information zu überwachen, die von dem Programmausführungsbereich 14 über den Kommunikationsbereich 15 und den Kommunikationsbereich 22 gesendet wird.
Um den Selbstüberwachungsbereich 13 zu überwachen, nimmt die Anomalieberechnungsschaltung 21 das Ergebnis der Berechnung bezüglich des bestimmten Datensatzes auf, das von dem Programmausführungsbereich 14 des Mikrocomputers 10 gesendet wird. Weiterhin vergleicht die Anomaliebestimmungsschaltung 21 dieses Berechnungsergebnis mit einem darin gespeicherten Erwartungswert. Das Vergleichsergebnis wird der Ansteuerschaltung 30 als ein Überprüfungsergebnis bezüglich des Selbstüberwachungsbereichs 13 zugeführt. Die Anomaliebestimmungsschaltung 21 dient ebenso dazu, das Testsignal in regelmäßigen Zeitintervallen zu dem Programmausführungsbereich 14 des Mikrocomputers 10 auszugeben.
Die Ansteuerschaltung 30 ist ein Bereich zum Ansteuern des Aktors, um das Drosselventil in Übereinstimmung mit der Ansteueranweisung zu öffnen und zu schließen, die von dem Steuerbereich 12 unter einem normalen Zustand empfangen wird, obgleich er andere Signale von dem Selbstüberwachungsbereich 13 und der Anomaliebestimmungsschaltung 21 empfängt. Jedoch ist, wenn das Signal, das von dem Selbstüberwachungsbereich 13 empfangen wird, eine Unvereinbarkeit zwischen der Ansteueranweisung, die von dem Steuerbereich 12 ausgegeben wird, und dem Berechnungsergebnis durch den Selbstüberwachungsbereich 13 anzeigt, oder wenn das Signal, das von der Anomaliebestimmungsschaltung 21 empfangen wird, eine Unvereinbarkeit zwischen dem Berechnungsergebnis bezüglich des bestimmten Datensatzes und dem Erwartungswert anzeigt, die Zuverlässigkeit der Ansteueranweisung niedrig, die von dem Steuerbereich 12 zu der Ansteuerschaltung 30 ausgegeben wird. Demgemäß führt in derartigen Fällen die Ansteuerschaltung 30 ein Auswahlsicherungsverfahren durch, das die Ansteueranweisung negiert, die von dem Steuerbereich 12 empfangen wird, um eine Fahrzeugsicherheit sicherzustellen.
Mit der elektronischen Steuervorrichtung des Typs, die eine Selbstüberwachungsfunktion zum Überwachen der Ansteueranweisung und ebenso die Funktion eines weiteren Überwachens der Selbstüberwachungsfunktion aufweist, wie sie zuvor beschrieben worden ist, kann die Zuverlässigkeit des Steuerns des Drosselventils stark verbessert werden. Jedoch kann auch in der elektronischen Steuervorrichtung eines derartigen Typs, wenn das Überwachungsmodul selbst ein Problem entwickelt, die Zuverlässigkeit des Drosselventilsteuerns nicht sichergestellt werden.
Die DE 196 09 242 A1 zeigt eine Steuervorrichtung, die aufweist: einen Mikrocomputer, der eine Steuerfunktion des Steuerns eines in ein Fahrzeug eingebauten Aktors in bereinstimmung mit einem Eingangssignal, das einen Laufzustand des Fahrzeugs anzeigt, und eine Selbstüberwachungsfunktion des Überwachens, ob die Steuerfunktion zweckmäßig arbeitet oder nicht, auf der Grundlage des Eingangssignals aufweist; ein Überwachungsmodul, das kommunizierend mit dem Mikrocomputer verbunden ist und eine Digitalschaltung zum Überwachen aufweist, ob die Selbstüberwachungsfunktion zweckmäßig arbeitet oder nicht.
Aus der EP 05 12 240 A1 ist eine elektronische Steuervorrichtung bekannt mit einem Mikrocomputer und einem Überwachungsmodul, wobei das Überwachungsmodul einen Referenzzähler beinhaltet, der einen Takt aufwärts zählt, und der Mikrocomputer einen Modulüberwachungsbereich beinhaltet, der dazu ausgelegt ist, einen Zählwert des Referenzzählers aufzunehmen und auf der Grundlage eines Änderungszustands des aufgenommenen Zählwerts zu überwachen, ob das Überwachungsmodul zweckmäßig arbeitet oder nicht. Der Takt des Zeitgebers wird erfasst, und die vom Mikrocomputer und vom Überwachungsmodul daraus abgeleiteten Wertewerden durch einen Vergleicher verglichen, der entweder im Überwachungsmodul oder im Mikrocomputer vorhanden ist. Ein zusätzliche Maßnahme zum Überwachen des Überwachungsmoduls ist dahingehend vorhanden, dass der Mikrocomputer gelegentlich fehlerhafte Signale an das Überwachungsmodul sendet und die Reaktion darauf prüft.
Die DE 10 2004 009 359 A1 zeigt Details bezüglich der Zähler; die DE 100 56 408 C1 zeigt ein Überwachungssystem, bei dem der Systemtakt über einen Fehlerzähler überwacht wird; auch die EP 06 63 324 A1 zeigt Details bezüglich der Zähler. Die DE 37 28 561 C2 zeigt schließlich noch ein Verfahren zur Überprüfung einer Überwachungseinrichtung für einen Mikroprozessor.
KURZFASSUNG DER ERFINDUNG
Aufgabe der vorliegenden Erfindung ist es, eine aus der DE 196 09 242 A1 bekannte Steuervorrichtung weiterzuentwickeln.
Die Lösung der Aufgabe erfolgt durch die Merkmale des Anspruchs 1. Vorteilhafte Ausgestaltungen ergeben sich aus den Merkmalen der Unteransprüche 1 bis 15.
Die vorliegende Erfindung schafft eine elektronische Steuervorrichtung, die beinhaltet:
einen Mikrocomputer, der eine Steuerfunktion eines Steuerns eines in ein Fahrzeug eingebauten Aktors in Übereinstimmung mit einem Eingangssignal, das einen Laufzustand des Fahrzeugs anzeigt, und eine Selbstüberwachungsfunktion eines Überwachens, ob die Steuerfunktion zweckmäßig arbeitet oder nicht, auf der Grundlage des Eingangssignals aufweist;
ein Überwachungsmodul, das kommunizierend mit dem Mikrocomputer verbunden ist und eine Digitalschaltung zum Überwachen aufweist, ob die Selbstüberwachungsfunktion zweckmäßig arbeitet oder nicht;
wobei das Überwachungsmodul einen Referenzzähler aufweist, der einen Takt aufwärts zählt, der als eine Betriebsreferenz der Digitalschaltung dient, und der Mikrocomputer einen Modulüberwachungsbereich beinhaltet, der dazu ausgelegt ist, einen Zählwert des Referenzzählers aufzunehmen, und auf der Grundlage eines Änderungszustands des aufgenommenen Zählwerts zu überwachen, ob das Überwachungsmodul zweckmäßig arbeitet oder nicht.
In der elektronischen Steuervorrichtung der Erfindung überwacht der Modulüberwachungsbereich den Zählwert des Referenzzählers, der den Takt aufwärts zählt, der als eine Betriebsfrequenz der Digitalschaltung des Überwachungsmoduls dient. Dies ermöglicht es, dass der Mikrocomputer indirekt die Digitalschaltung des Überwachungsmoduls überwacht, um eine Entscheidung durchzuführen, ob das Überwachungsmodul selbst in einem nicht betreibbaren Zustand ist, in welchem es den Überwachungsbetrieb nicht durchführen kann.
Andere Vorteile und Merkmale werden aus der folgenden Beschreibung ersichtlich, die die Zeichnungen und Ansprüche beinhaltet.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
In den beiliegenden Zeichnungen ist:
1 ein Blockschaltbild, das einen Gesamtaufbau einer elektronischen Steuervorrichtung gemäß einem ersten Ausführungsbeispiel der Erfindung zeigt;
2 ein Diagramm zum Erläutern eines ROM-Tests, der von einem Selbstüberwachungsbereich durchgeführt wird, der in der elektronischen Steuervorrichtung enthalten ist;
3 ein Diagramm zum Erläutern eines RAM-Tests, der von dem Selbstüberwachungsbereich durchgeführt wird;
4 ein Diagramm zum Erläutern eines Anweisungstests, der von dem Selbstüberwachungsbereich durchgeführt wird;
5 ein Flussdiagramm, das ein Verfahren eines Flusstests zeigt, das von dem Selbstüberwachungsbereich durchgeführt wird;
6 ein Diagramm zum Erläutern eines Systemtests, der von dem Selbstüberwachungsbereich durchgeführt wird;
7 ein Flussdiagramm, das ein Übertragungsverfahren zum Übertragen eines Berechnungsergebnisses und seines Erwartungswerts zu der Zeit eines Durchführens des ROM-Tests zeigt;
8 ein Flussdiagramm, das ein Übertragungsverfahren zum Übertragen eines Berechnungsergebnisses und seines Erwartungswerts zu der Zeit eines Durchführens des RAM-Tests zeigt;
9 ein Flussdiagramm, das ein Übertragungsverfahren zum Übertragen eines Berechnungsergebnisses und seines Erwartungswerts zu der Zeit eines Durchführens des Anweisungstests zeigt;
10 ein Flussdiagramm, das ein Übertragungsverfahren zum Übertragen eines Berechnungsergebnisses und seines Erwartungswerts zu der Zeit eines Durchführens des Flusstests zeigt;
11 ein Flussdiagramm, das ein Übertragungsverfahren zum Übertragen eines Berechnungsergebnisses und seines Erwartungswerts zu der Zeit eines Durchführens des Systemtests zeigt;
12 ein Diagramm, das eine Datenstruktur von Daten zeigt, die von einem Kommunikationsbereich eines Mikrocomputers übertragen werden, der in der elektronischen Steuervorrichtung enthalten ist;
13 ein Blockschaltbild, das einen internen Aufbau eines Überwachungsmoduls zeigt, das in der elektronischen Steuervorrichtung enthalten ist;
14 ein Flussdiagramm, das ein Anomaliebestimmungsverfahren zum Bestimmen einer Anomalie in dem Selbstüberwachungsbereich zeigt, das von Digitalschaltungsblöcken durchgeführt wird, die in dem Überwachungsmodul enthalten sind und dazu ausgelegt ist, einen Übereinstimmungsvergleich durchzuführen;
15 ein Flussdiagramm, das ein Anomaliebestimmungsverfahren zum Bestimmen einer Anomalie in dem Selbstüberwachungsbereich zeigt, das von einem Digitalschaltungsblock durchgeführt wird, der in dem Überwachungsmodul enthalten ist und dazu ausgelegt ist, einen Wertvergleich durchzuführen;
16 ein Flussdiagramm, das ein Anomaliebestimmungsverfahren zum Bestimmen einer Anomalie in dem Überwachungsmodul zeigt, das von einem Modulüberwachungsbereich durchgeführt wird, der in dem Mikrocomputer enthalten ist;
17 ein Zeitablaufsdiagramm zum Erläutern eines Fortschreitens eines Ausfallsicherungsverfahrens für ein Drosselventil, das von der elektronischen Steuervorrichtung durchgeführt wird;
18 ein Zeitablaufsdiagramm zum Erläutern eines Fortschreitens eines Ausfallsicherungsverfahrens für das Drosselventil, das von der elektronischen Steuervorrichtung durchgeführt wird;
19 ein Blockschaltbild, das einen Gesamtaufbau einer elektronischen Steuervorrichtung gemäß einem zweiten Ausführungsbeispiel der Erfindung zeigt;
20 ein Flussdiagramm, das ein Übertragungsverfahren zum Übertragen einer Summation von Berechnungsergebnissen und seiner Erwartungswerte zu der Zeit eines Durchführens des RAM-Tests, Anweisungstests und Flusstests zeigt;
21 ein Diagramm, das eine Struktur einer Variante des Digitalschaltungsblocks zeigt; und
22 ein Blockschaltbild, das einen Gesamtaufbau einer herkömmlichen elektronischen Steuervorrichtung zeigt.
BEVORZUGTE AUSFÜHRUNGSBEISPIELE DER ERFINDUNG
Erstes Ausführungsbeispiel
1 ist ein Blockschaltbild, das einen Gesamtaufbau einer elektronischen Steuervorrichtung 100 gemäß einem ersten Ausführungsbeispiel der Erfindung zeigt.
Wie es in dieser Figur gezeigt ist, ist die elektronische Steuervorrichtung 100, welche zum Steuern eines Motors M als ein Aktor zum Ansteuern eines Drosselventils (nicht gezeigt) durch Einstellen eines Stroms ist, der von Ausgangsanschlüssen T1 und T2 davon dem Motor M zugeführt wird, hauptsächlich durch einen Mikrocomputer 110, ein Überwachungsmodul 120 und eine Ansteuerschaltung 130 gebildet. Der elektronischen Steuervorrichtung 100 wird elektrische Energie von einer Fahrzeugbatterie über einen Energieversorgungsanschluss T3 und einen Masseanschluss T4 von dieser zugeführt.
Der Mikrocomputer 110, welcher zum Durchführen von verschiedenen Berechnungen ist, die zum Steuern des Motors M notwendig sind, weist einen Eingabebereich 111, einen Steuerbereich 112, einen Selbstüberwachungsbereich 113, einen Kommunikationsbereich 114 und einen Modulüberwachungsbereich 115 auf, wie es in 1 gezeigt ist.
Um den Motor M zu steuern, nimmt der Steuerbereich 112 ein externes Signal, das einen Betätigungsgrad eines Gaspedals usw. anzeigt, über den Eingabebereich 111 auf, welcher dazu dient, einen Informationsaustausch zwischen dem Steuerbereich 112 und externen Sensoren oder Vorrichtungen (nicht gezeigt) zu vermitteln. Der Mikrocomputer 110 führt eine Berechnung bezüglich dieses externen Signals durch, um eine Regelgröße (Steuergröße) zu erzeugen, um welche das Drosselventil (der Motor M) gesteuert werden sollte. Die berechnete Regelgröße wird zu der Ansteuerschaltung 130 als eine Ansteueranweisung ausgegeben. Folglich steuert die Ansteuerschaltung 130 den Motor M derart an, dass ein Öffnungsgrad des Drosselventils in Übereinstimmung mit der Ansteueranweisung (Regelgröße) ist.
Der Selbstüberwachungsbereich 113 ist ein Bereich, der überwacht, ob der Steuerbereich 112 zweckmäßig arbeitet oder nicht. In diesem Ausführungsbeispiel ist der Selbstüberwachungsbereich 113 derart ausgelegt, dass er die nachstehend beschriebenen fünf Überwachungsverfahren durchführt, um den zweckmäßigen Betrieb des Steuerbereichs 112 sicherzustellen.
1. Überwachung eines Programmspeichers (ROM-Test)
Der Selbstüberwachungsbereich 113 steuert eine Zweckmäßigkeit von verschiedenen Steuerprogrammen, die in einem Programmspeicher 1121 (ROM: siehe 2) gespeichert sind, die in dem Mikrocomputer 110 enthalten sind, um von dem Steuerbereich 112 durchgeführt zu werden, und eine Zweckmäßigkeit von verschiedenen Steuerdatensätzen, die für diese Steuerprogramme verwendet werden. Der Selbstüberwachungsbereich 113 führt die Überwachung bezüglich des Programmspeichers (ROM-Test) auf eine nachstehend beschriebene Weise durch.
Wie es in 2 gezeigt ist, weist der Programmspeicher 1121 einen Bereich 112a auf, der Datensätze zum Berechnen der Regelgröße speichert, um welche das Drosselventil gesteuert wird. Durch Summieren dieser Datensätze wird ein bestimmter Festwert (zum Beispiel ”5AA5”) als ein ROM-Summenwert erzielt. Um die Regelgröße zu berechnen, erzielt der Selbstüberwachungsbereich 113 einen Summationswert (ROM-Summenwert) dieser Datensätze, die in dem Bereich 112a gespeichert sind. Der Selbstüberwachungsbereich 113 führt das Überwachen in Übereinstimmung mit dem Übereinstimmungsergebnis zwischen dem Summationswert und einem Erwartungswert (zum Beispiel ”5AA5”) durch, der darin im Voraus gespeichert ist.
2. Überwachen eines Daten-RAM (RAM-Test)
Der Selbstüberwachungsbereich 113 überwacht ebenso eine Zweckmäßigkeit von Datensätzen, wie zum Beispiel einen Tastverhältniswert, der den Öffnungsgrad des Drosselventils definiert, der als Berechnungsergebnis in einen Daten-RAM geschrieben ist, der in dem Mikrocomputer 110 enthalten ist. Der Selbstüberwachungsbereich 113 führt das Überwachen des Daten-RAM (RAM-Test) auf eine nachstehend beschriebene Weise durch.
Wie es in 3 gezeigt ist, speichert der Steuerbereich 112 verschiedene Berechnungsergebnisse in einem bestimmten Bereich 112b innerhalb des Daten-RAM und ebenso in einem bestimmten Bereich 112c innerhalb eines Spiegel-RAM, der in dem Mikrocomputer 110 enthalten ist. Der Selbstüberwachungsbereich 113 liest ein Berechnungsergebnis aus dem Daten-RAM und seinem Erwartungswert aus dem Spiegel-RAM, die jeweils an entsprechenden Adressen gespeichert sind. Der Selbstüberwachungsbereich 113 führt ein Überwachen des Daten-RAM auf der Grundlage einer Vereinbarkeit und Unvereinbarkeit zwischen dem Berechnungsergebnis und dem Erwartungswert durch.
3. Überwachen von Ansteueranweisungen (Anweisungen), die von dem Steuerbereich ausgegeben werden (Anweisungstest)
Der Selbstüberwachungsbereich 113 überwacht ebenso eine Zweckmäßigkeit von Ansteueranweisungen, welche der Steuerbereich 112 als Berechnungsergebnisse ausgibt, und verschiedene Komponenten, die sich auf die Ansteueranweisungen beziehen (Register, Adressenbus, Datenbus usw.).
Um das Überwachen der Ansteueranweisungen zu starten, liest, wie es in 4 gezeigt ist, ein funktionales Teil 112b des Steuerbereichs 112, das dazu ausgelegt ist, den Öffnungsgrad des Drosselventils auf der Grundlage des externen Signals zu berechnen, das über den Eingabebereich 111 empfangen wird, Simulationsdaten, die im Voraus darin gespeichert sind. Nachfolgend führt das funktionale Teil 112d eine Berechnung bezüglich der Simulationsdaten durch und speichert das Berechnungsergebnis in einem bestimmten Register. Der Selbstüberwachungsbereich 113 führt das Überwachen der Ansteueranweisungen in Übereinstimmung mit dem Übereinstimmungsergebnis zwischen dem Berechnungsergebnis bezüglich der Simulationsdaten und einem Erwartungswert durch, der im Voraus in einem Speicher gespeichert ist.
4. Überwachen einer Funktionsaufrufreihenfolge (Flusstest)
Der Selbstüberwachungsbereich 113 überwacht eine Aufrufreihenfolge von Funktionen, die von dem Steuerbereich 112 aufgerufen werden, auf eine nachstehend beschriebene Weise.
Wie es in 5 gezeigt ist, weist der Programmspeicher 1121, der in dem Mikrocomputer 110 enthalten ist, einen Steuerprogramm-Speicherbereich 112e auf, in welchem ein Steuerprogramm (Flussdiagramm) gespeichert ist, das Schritte S0 bis S5 beinhaltet. Erste bis vierte Funktionen, die von Schritten S1 bis S4 verwendet werden, müssen in dieser Reihenfolge von dem Steuerbereich 112 aufgerufen werden. In dem Schritt S0 wird der Zählwert eines Programmzählers im Voraus eines Aufrufens der ersten bis vierten Funktionen zurückgesetzt. Jede der ersten bis vierten Funktionen beinhaltet eine Verarbeitung zum Durchführen eines Vergleichs zwischen einem Zählwert des Programmzählers mit einem vorbestimmten Testwert und eine Verarbeitung zum Inkrementieren des Zählwerts des Programmzählers. Als ein derartiger vorbestimmter Zählwert wird zum Beispiel ”0” in der ersten Funktion verwendet und ”1” in der zweiten Funktion verwendet. Wenn es in irgendeinem der Schritte S0 bis S4 festgestellt wird, dass der Zählwert des Programmzählers und der vorbestimmte Testwert nicht übereinstimmen, wird ein Fehlermerker gesetzt. Durch Überprüfen des Fehlermerkers in einem Schritt S5 ist es möglich, zu bestimmen, ob die ersten bis vierten Funktionen in der richtigen Reihenfolge aufgerufen worden sind oder nicht.
5. Überwachen von berechneten Werten (Systemtest)
Der Selbstüberwachungsbereich 113 überwacht berechnete Werte, wie zum Beispiel einen Tastverhältniswert, der den Öffnungsgrad des Drosselventils definiert, welchen der Steuerbereich 112 in Übereinstimmung mit dem externen Signal berechnet hat, das über den Eingabebereich 111 empfangen wird, auf eine nachstehend beschriebene Weise. Der Mikrocomputer 110 beinhaltet einen Speicher (nicht gezeigt) darin, welcher eine Abbildung M speichert, die eine Beziehung zwischen dem Tastverhältnis und dem Laufzustand des Fahrzeugs und ebenso eine Beziehung zwischen einem maximal zulässigen Tastverhältnis, welches einen maximal zulässigen Öffnungsgrad des Drosselventils definiert, und des Laufzustands des Fahrzeugs anzeigt. Der Steuerbereich 112 berechnet das Tastverhältnis in Übereinstimmung mit dem externen Signal, das den Laufzustand des Fahrzeugs anzeigt, unter Bezugnahme auf die Abbildung M. Der berechnete Tastverhältniswert wird in einem Tastverhältnis-Speicherbereich 112f innerhalb des Daten-RAM 1122 gespeichert, der in dem Mikrocomputer 110 enthalten ist (siehe 6).
Um das Überwachen des berechneten Werts (berechneten Tastverhältnisses) durchzuführen, liest der Selbstüberwachungsbereich 113 das Tastverhältnis, das von dem Steuerbereich 112 berechnet wird, aus dem Daten-RAM 1122. Nachfolgend bestimmt der Selbstüberwachungsbereich 113 das maximal zulässige Tastverhältnis abhängig von dem Laufzustand des Fahrzeugs (externen Signal) unter Bezugnahme auf die Abbildung M. Der Selbstüberwachungsbereich 113 führt das Überwachen auf der Grundlage eines Wertvergleichs zwischen dem maximal zulässigen Tastverhältnis ”x%”, das als ein Erwartungswert bestimmt wird, und dem Tastverhältnis durch, das von dem Steuerbereich 112 berechnet wird.
Wie es zuvor erläutert worden ist, führt der Selbstüberwachungsbereich 113 einen Überwachungsbetrieb bezüglich den zuvor beschriebenen fünf unterschiedlichen Überwachungsobjekten auf einer einzelnen Basis durch und gibt eine Information, die eine Gültigkeit der Ansteueranweisung anzeigt, die von dem Steuerbereich 112 erzeugt wird, zu jeder Zeit, zu der der Überwachungsbetrieb beendet ist, zu der Ansteuerschaltung 130 aus. Genauer gesagt gibt für die Überwachungselemente oder Überwachungsobjekte, die durch einen Übereinstimmungsvergleich (ROM-Test, RAM-Test, Anweisungstest und Flusstest) zu analysieren sind, der Selbstüberwachungsbereich 113 eine Information aus, die anzeigt, dass die Ansteueranweisung, die von dem Steuerbereich 112 erzeugt wird, nicht gültig ist, wenn es eine Ungleichheit zwischen einem Berechnungsergebnis und seinem Erwartungswert gibt. Für das Überwachungselement, das durch einen Wertvergleich (Systemtest) zu analysieren ist, erzeugt der Selbstüberwachungsbereich 113 eine Information, die anzeigt, dass die Ansteueranweisung, die von dem Steuerbereich 112 erzeugt wird, nicht gültig ist, wenn ein Berechnungsergebnis länger als sein Erwartungswert ist. Eine derartige Information (Signal), die der Ansteuerschaltung 130 zugeführt wird, lässt zu, dass die Ansteuerschaltung 130 das Drosselventil mit einer höheren Genauigkeit durch den Motor M öffnet und schließt.
Zu jeder Zeit, zu der ein Überwachungsbetrieb beendet ist, speichert der Selbstüberwachungsbereich 113 ein Berechnungsergebnis und seinen Erwartungswert, der bei dem Überwachungsbetrieb verwendet wird, in einem bestimmten Speicher für jedes der fünf Überwachungselemente getrennt. Der Selbstüberwachungsbereich 113 setzt ebenso einen Testbeendigungsmerker in einen bestimmten Speicher für jedes der fünf Überwachungselemente getrennt, um anzuzeigen, dass der Überwachungsbetrieb beendet worden ist. Der Kommunikationsbereich 114 des Mikrocomputers 110 ist ein Bereich zum Vermitteln eines Informationsaustauschs mit einem Kommunikationsbereich 122 des Überwachungsmoduls 120. In diesem Ausführungsbeispiel überträgt der Kommunikationsbereich 114, wenn ein Überwachen des Steuerbereichs 112 durchgeführt wird, ein Berechnungsergebnis abhängig von dem Inhalt eines Überwachungsobjekts und seinem Erwartungswert, wobei erwartet wird, dass dieses gleich dem Berechnungsergebnis ist, zu dem Überwachungsmodul 120. Mit der zuvor beschriebenen elektronischen Steuervorrichtung, in welcher das Überwachen des Steuerbereichs 112 durch den Selbstüberwachungsbereich 113 und das Überwachen des Selbstüberwachungsbereichs 113 durch das Überwachungsmodul 120 gleichzeitig ausgeführt werden, ist es möglich, die Zuverlässigkeit des Ansteuerns des Drosselventils weiter zu erhöhen.
Als Nächstes wird ein Übertragungsverfahren, das in dem Kommunikationsbereich 114 zum Übertragen eines Berechnungsergebnisses und seines Erwartungswerts zu dem Überwachungsmodul 120 durchgeführt wird, unter Bezugnahme auf 7 bis 11 erläutert. Das Übertragungsverfahren wird für jedes der fünf Überwachungselemente getrennt durch eine serielle oder parallele Kommunikation ausgeführt. Dieses Übertragungsverfahren verwendet ein Zeitteilverfahren zum Zulassen eines Übertragens von Daten, während andere Daten übertragen werden.
7 ist ein Flussdiagramm, das ein Verfahren zum Übertragen eines Berechnungsergebnisses und seines Erwartungswerts zeigt, welche zum Durchführen des Überwachens des Programmspeichers (ROM-Test) verwendet worden sind. Dieses Übertragungsverfahren wird in regelmäßigen Zeitintervallen durchgeführt.
Wie es in dieser Figur gezeigt ist, überprüft der Kommunikationsbereich 114, um dieses Übertragungsverfahren zu starten, in einem Schritt S11, ob ein ROM-Test-Beendigungsmerker durch den Selbstüberwachungsbereich 113 gesetzt worden ist oder nicht, um anzuzeigen, dass das Überwachen des Programmspeichers (ROM-Test) beendet worden ist. Wenn das Überprüfungsergebnis bejahend ist, geht das Verfahren zu einem Schritt S12.
In dem Schritt S12 werden ein Berechnungsergebnis (ROM-Summenwert) und sein Erwartungswert (”zum Beispiel 5AA5”), wie es in 2 gezeigt ist, aus dem bestimmten Speicher als Übertragungsdaten gelesen, die zu dem Überwachungsmodul 120 zu übertragen sind, mit welchen ein erstes Register (nicht gezeigt), das in dem Mikrocomputer 110 enthalten ist, aktualisiert wird. Zu dieser Zeit wird, wie es in 12 gezeigt ist, zu den Übertragungsdaten ein Identifizierer (IE) hinzugefügt, um anzuzeigen, dass diese Übertragungsdaten Daten sind, die sich auf den ROM-Test beziehen. Der Kommunikationsbereich 114 überträgt die Übertragungsdaten in einem Schritt S13 zu dem Überwachungsmodul 120. Danach wird der ROM-Test-Beendigungsmerker in einem Schritt S14 zurückgesetzt (gelöscht).
Andererseits bewegt sich, wenn es in dem Schritt S11 bestimmt wird, dass der ROM-Test-Beendigungsmerker nicht gesetzt worden ist, das Verfahren ohne ein Durchführen des Schritts S12 zu einem Schritt S13. In diesem Fall führt dies dazu, dass die Übertragungsdaten, die in dem ersten Register gespeichert sind und zu einer vorhergehenden Zeit übertragen worden sind, erneut zu dem Überwachungsmodul 120 übertragen werden. Danach wird der ROM-Test-Beendigungsmerker in dem Schritt S14 zurückgesetzt (gelöscht).
8 ist ein Flussdiagramm, das ein Verfahren zum Übertragen eines Berechnungsergebnisses und seines Erwartungswerts zeigt, welche zum Durchführen des Überwachens des Daten-RAM verwendet worden sind (RAM-Test). Dieses Übertragungsverfahren wird wiederholt in regelmäßigen Zeitintervallen wie in dem Fall des Übertragungsverfahrens durchgeführt, das in 7 gezeigt ist.
Wie es in 8 gezeigt ist, überprüft, um dieses Übertragungsverfahren zu starten, der Kommunikationsbereich 114 in einem Schritt S21, ob ein RAM-Test-Beendigungsmerker durch den Selbstüberwachungsbereich 113 gesetzt worden ist oder nicht, um anzuzeigen, dass der RAM-Test beendet worden ist. Wenn das Überprüfungsergebnis bejahend ist, geht das Verfahren zu einem Schritt S22.
In dem Schritt S22 werden ein Berechnungsergebnis (ein gespeicherter Wert in dem Daten-RAM) und sein Erwartungswert (ein gespeicherter Wert in dem Spiegel-RAM), wie es in 3 gezeigt ist, aus dem bestimmten Speicher als Übertragungsdaten gelesen, die zu dem Überwachungsmodul 120 zu übertragen sind, mit welchen ein zweites Register (nicht gezeigt), das in dem Mikrocomputer 110 enthalten ist, aktualisiert wird. Zu dieser Zeit wird, wie es in 12 gezeigt ist, zu diesen Übertragungsdaten ein Identifizierer (ID) hinzugefügt, um anzuzeigen, dass diese Übertragungsdaten Daten sind, die sich auf den RAM-Test beziehen. Danach werden die derart erzeugten Übertragungsdaten (12) in einem Schritt S23 zu dem Überwachungsmodul 120 übertragen. Nachfolgend wird der RAM-Test-Beendigungsmerker in einem Schritt S24 zurückgesetzt (gelöscht).
Andererseits geht, wenn es in dem Schritt S21 bestimmt wird, dass der RAM-Test-Beendigungsmerker nicht gesetzt worden ist, da dies bedeutet, dass der RAM-Test noch nicht beendet worden ist, das Verfahren ohne ein Durchführen des Schritts S22 zu dem Schritt S23. In diesem Fall führt dies dazu, dass die Übertragungsdaten, die in dem zweiten Register gespeichert sind und zu einer vorhergehenden Zeit übertragen werden, erneut zu dem Überwachungsmodul 120 übertragen werden. Danach wird der RAM-Testbetriebs-Beendigungsmerker in dem Schritt S24 zurückgesetzt (gelöscht).
9 ist ein Flussdiagramm, das ein Verfahren zum Übertragen eines Berechnungsergebnisses und seines Erwartungswerts zeigt, welche zum Durchführen des Überwachens der Ansteueranweisung verwendet worden sind, die von dem Steuerbereich 112 erzeugt wird (Anweisungstest). Dieses Übertragungsverfahren wird wiederholt in regelmäßigen Zeitintervallen wie in dem Fall des Übertragungsverfahrens durchgeführt, das in 7 gezeigt ist.
Wie es in 9 gezeigt ist, überprüft der Steuerbereich 114, um dieses Übertragungsverfahren zu starten, in einem Schritt S31, ob ein Anweisungstest-Beendigungsmerker durch den Selbstüberwachungsbereich 113 gesetzt worden ist oder nicht, um anzuzeigen, dass der Anweisungstest beendet worden ist. Wenn das Testergebnis bejahend ist, geht das Verfahren zu einem Schritt S32.
In dem Schritt S32 werden ein Berechnungsergebnis (ein berechneter Wert der Simulationsdaten) und sein Erwartungswert (zum Beispiel ”A”), wie es in 4 gezeigt ist, als Übertragungsdaten, die zu dem Überwachungsmodul 120 zu übertragen sind, aus dem bestimmten Speicher gelesen, mit welchen ein drittes Register (nicht gezeigt), das in dem Mikrocomputer 110 enthalten ist, aktualisiert wird. Zu dieser Zeit wird, wie es in 12 gezeigt ist, zu diesen Übertragungsdaten ein Identifizierer (ID) hinzugefügt, um anzuzeigen, dass diese Übertragungsdaten Daten sind, die sich auf den Anweisungstest beziehen. Danach werden die derart erzeugten Übertragungsdaten (12) in einem Schritt S33 zu dem Überwachungsmodul übertragen. Nachfolgend wird der Anweisungstest-Beendigungsmerker in einem Schritt S34 zurückgesetzt (gelöscht).
Anderseits geht, wenn es in dem Schritt S31 bestimmt wird, dass der Anweisungstest-Beendigungsmerker nicht gesetzt worden ist, da dies bedeutet, dass der Anweisungstest noch nicht beendet worden ist, das Verfahren ohne ein Durchführen des Schritts S32 zu dem Schritt S33. In diesem Fall führt dies dazu, dass die Übertragungsdaten, die in dem dritten Register gespeichert sind, und zu einer vorhergehenden Zeit übertragen worden sind, erneut zu dem Überwachungsmodul 120 übertragen werden. Danach wird der Anweisungstest-Beendigungsmerker in dem Schritt S34 zurückgesetzt (gelöscht).
10 ist ein Flussdiagramm, das ein Verfahren zum Übertragen eines Berechnungsergebnisses und seines Erwartungswerts zeigt, welche zum Durchführen des Überwachens der Ausführungsreihenfolge verwendet worden sind (Flusstest). Dieses Übertragungsverfahren wird wiederholt in regelmäßigen Zeitintervallen wie in dem Fall des Übertragungsverfahrens durchgeführt, das in 7 gezeigt ist.
Wie es in 10 gezeigt ist, überprüft der Kommunikationsbereich 144, um dieses Übertragungsverfahren zu starten, in einem Schritt S41, ob ein Flusstest-Beendigungsmerker gesetzt worden ist oder nicht, um anzuzeigen, dass der Anweisungstest beendet worden ist. Wenn das Testergebnis bejahend ist, geht das Verfahren zu einem Schritt S42.
In dem Schritt S42 werden ein Berechnungsergebnis (ein Zählerwert) und sein Erwartungswert (zum Beispiel ”4”), wie es in 5 gezeigt ist, aus dem bestimmten Speicher als Übertragungsdaten gelesen, die zu dem Überwachungsmodul 120 zu übertragen sind, mit welchen ein viertes Register (nicht gezeigt), das in dem Mikrocomputer 110 enthalten ist, aktualisiert wird. Zu dieser Zeit wird, wie es in 12 gezeigt ist, zu diesen Übertragungsdaten ein Identifizierer (ID) hinzugefügt, um anzuzeigen, dass diese Übertragungsdaten Daten sind, die sich auf den Flusstest beziehen. Danach werden die derart erzeugten Übertragungsdaten in einem Schritt S43 zu dem Überwachungsmodul 120 übertragen. Nachfolgend wird der Flusstest-Beendigungsmerker in einem Schritt S44 zurückgesetzt (gelöscht).
Anderseits geht, wenn es in der Schritt S41 bestimmt wird, dass der Flusstest-Beendigungsmerker nicht gesetzt worden ist, da dies bedeutet, dass der Flusstest noch nicht beendet worden ist, das Verfahren ohne ein Durchführen des Schritts S42 zu dem Schritt S43. In diesem Fall führt dies dazu, dass die Übertragungsdaten, die in dem vierten Register gespeichert sind und zu einer vorhergehenden Zeit übertragen worden sind, erneut zu dem Überwachungsmodul 120 übertragen werden. Danach wird der Flusstest-Beendigungsmerker in dem Schritt S44 zurückgesetzt (gelöscht).
11 ist ein Flussdiagramm, das ein Verfahren zum Übertragen eines Berechnungsergebnisses und seines Erwartungswerts zeigt, welche zum Durchführen des Überwachens von berechneten Werten verwendet werden, die von dem Steuerbereich 112 erzeugt werden (Systemtest). Dieses Übertragungsverfahren wird wiederholt in regelmäßigen Zeitintervallen wie in dem Fall des Übertragungsverfahrens durchgeführt, das in 7 gezeigt ist.
Wie es in 11 gezeigt ist, überprüft der Kommunikationsbereich 114, um dieses Übertragungsverfahren zu starten, in einem Schritt S51, ob ein Systemtest-Beendigungsmerker gesetzt worden ist oder nicht, um anzuzeigen, dass der Anweisungstest beendet worden ist. Wenn das Überprüfungsergebnis bejahend ist, geht das Verfahren zu einem Schritt S52.
In dem Schritt S52 werden das Berechnungsergebnis (das Tastverhältnis) und sein Erwartungswert ”x%”, wie es in 6 gezeigt ist, aus dem bestimmten Speicher als Übertragungsdaten gelesen, die zu dem Überwachungsmodul 120 zu übertragen sind, mit welchen ein fünftes Register (nicht gezeigt), das in dem Mikrocomputer 110 enthalten ist, aktualisiert wird. Zu dieser Zeit wird, wie es in 12 gezeigt ist, zu diesen Übertragungsdaten ein Identifizierer (ID) hinzugefügt, um anzuzeigen, dass diese Übertragungsdaten Daten sind, die sich auf den Systemtest beziehen. Danach werden die derart erzeugten Übertragungsdaten (12) in einem Schritt S53 zu dem Überwachungsmodul 120 übertragen. Nachfolgend wird der Systemtest-Beendigungsmerker in einem Schritt S54 zurückgesetzt (gelöscht).
Andererseits geht, wenn es in dem Schritt S51 bestimmt wird, dass der Systemtest-Beendigungsmerker nicht gesetzt worden ist, da dies bedeutet, dass der Systemtest noch nicht beendet worden ist, das Verfahren ohne ein Durchführen des Schritts S52 zu dem Schritt S53. In diesem Fall führt dies dazu, dass die Übertragungsdaten, die in dem fünften Register gespeichert sind und zu einer vorhergehenden Zeit übertragen worden sind, erneut zu dem Überwachungsmodul 120 übertragen werden. Danach wird der Systemtest-Beendigungsmerker in dem Schritt S54 zurückgesetzt (gelöscht).
Wie es zuvor erläutert worden ist, werden in diesem Ausführungsbeispiel ein Berechnungsergebnis und sein Erwartungswert für jedes der fünf unterschiedlichen Überwachungselemente getrennt zu dem Überwachungsmodul 120 übertragen. Das Überwachungsmodul 120 überwacht, ob der Selbstüberwachungsbereich 113 zweckmäßig arbeitet oder nicht, auf der Grundlage der Daten, die von dem Mikrocomputer 110 übertragen werden, wie es später beschrieben wird. Daher werden der Überwachungsvorgang bezüglich des Steuerbereichs 112 durch den Selbstüberwachungsbereich 113 und der Überwachungsvorgang bezüglich des Steuerbereichs 113 durch das Überwachungsmodul 120 gleichzeitig ausgeführt, um dadurch die Zuverlässigkeit des Ansteuerns des Drosselventils weiter zu erhöhen.
Der Modulüberwachungsbereich 115 des Mikrocomputers 110 ist ein Bereich zum Überwachen, ob das Überwachungsmodul 120 zweckmäßig arbeitet oder nicht, auf der Grundlage der Information, die von dem Überwachungsmodul 120 übertragen wird. Genauer gesagt überwacht der Modulüberwachungsbereich 115, ob die Digitalschaltungsblöcke 121a bis 121b (später beschrieben), die in dem Überwachungsmodul 120 enthalten sind, zweckmäßig arbeiten oder nicht, in Übereinstimmung mit einem Takt, welcher als eine Betriebsreferenz des Überwachungsmoduls 120 dient. Der Modulüberwachungsbereich 115 wird später im Detail erläutert.
Das Überwachungsmodul 120 ist ein Hardwaremodul (kundenspezifisches IC) zum Überwachen einer Anomalie in dem Selbstüberwachungsbereich 113 auf der Grundlage der Daten, die von dem Mikrocomputer 110 übertragen werden, die zum Beispiel in 12 gezeigt sind.
Wie es zuvor erläutert worden ist, nimmt das Überwachungsmodul 120 die Daten, wie es in 12 gezeigt ist, auf, die von dem Mikrocomputer 110 durch den Kommunikationsbereich 122 von diesem übertragen werden. Das Berechnungsergebnis und sein Erwartungswert, die in diesen Daten enthalten sind, werden einer Anomalie-Bestimmungsschaltung 121 zugeführt. Die Anomaliebestimmungsschaltung 121 führt einen Vergleich zwischen diesen durch, um zu bestimmen, ob eine Anomalie in dem Selbstüberwachungsbereich 113 ist oder nicht. Die Anomaliebestimmungsschaltung 121 arbeitet bezüglich eines Takts, der als eine Betriebsreferenz dient, die von einem Taktgenerator 125 erzeugt wird. Die Anomaliebestimmungsschaltung 121 des Überwachungsmoduls 120 beinhaltet fünf Digitalschaltungsblöcke 121a bis 121e, die den zuvor beschriebenen fünf Überwachungselementen entsprechen. Die Anomaliebestimmungsschaltung 121 beinhaltet weiterhin einen Blockauswahlbereich 123, der dazu ausgelegt ist, das Berechnungsergebnis und seinen Erwartungswert, die in den übertragenen Daten enthalten sind, einem der Digitalschaltungsblöcke 121a bis 121e zuzuführen, welcher dem Identifizierer (ID) zugehörig ist, der zu diesen übertragenen Daten hinzugefügt ist.
Als Nächstes werden der Aufbau und der Betrieb des Digitalschaltungsblocks 121a im Detail unter Bezugnahme auf 13 erläutert. Hierbei wird es angenommen, dass der Blockauswahlbereich 123 den Digitalschaltungsblock 121 auf der Grundlage des Identifizierers auswählt, der zu den Übertragungsdaten hinzugefügt ist, die in dem Kommunikationsbereich 122 empfangen werden, und das Berechnungsergebnis und seinen Erwartungswert, die in diesen Übertragungsdaten enthalten sind, dem Digitalschaltungsblock 121a zuführt. In diesem Fall speichert der Digitalschaltungsblock 121a das Berechnungsergebnis und seinen Erwartungswert in einem A-Register 151 bzw. einem B-Register 152. Nachfolgend wird ein Übereinstimmungsvergleich zwischen dem Berechnungsergebnis und seinem Erwartungswert durch einen ersten Komparator 153 durchgeführt. Genauer gesagt führt der erste Komparator 153 einen Übereinstimmungsvergleich zwischen dem Berechnungsergebnis (ROM-Summenwert) und seinem Erwartungswert (zum Beispiel ”5AA5”) durch, wie es in 2 gezeigt ist. Das Ergebnis dieses Übereinstimmungsvergleichs wird verwendet, um zu bestimmen, ob der Selbstüberwachungsbereich 113 in dem ROM-Test zweckmäßig durchgeführt worden ist oder nicht. Der Digitalschaltungsblock 121a ist mit den nachstehend betriebenen Komponenten versehen, um zu verhindern, dass bewertet wird, dass die Überwachungsfunktion des Mikrocomputers 110 in einem anomalen Zustand ist, wenn das Berechnungsergebnis und sein Erwartungswert zum Beispiel auf Grund von Rauschen fälschlicherweise zueinander unvereinbar werden. Ein Datenanomaliezähler 154, der dazu ausgelegt ist, den Takt aufwärts zu zählen, der von dem Taktgenerator 125 erzeugt wird, und auf ein Empfangen eines Signals, das das Vergleichsergebnis und seinen Erwartungswert anzeigt, die zueinander übereinstimmen, aus dem ersten Komparator 153 gelöscht zu werden. Ein zweiter Komparator 156 ist dazu ausgelegt, einen Wertvergleich zwischen dem Zählwert des Datenanomaliezählers 154 und einem bestimmten Schwellenwert, der in einem Speicher 155 gespeichert ist, durchzuführen und ein Ergebnis des Wertevergleichs als ein Überwachungsergebnis der Anomalie in dem Selbstüberwachungsbereich 113 auszugeben.
Diese Komponenten lassen ein Bestimmen zu, dass der Selbstüberwachungsbereich 113 nicht zweckmäßig arbeitet, wenn der Zählwert des Datenanomaliezählers 154 den Schwellenwert überschreitet, der im Voraus in dem Speicher 155 gespeichert ist, das heißt, wenn ein Zustand, in welchem das Berechnungsergebnis und sein Erwartungswert nicht miteinander übereinstimmen, für mehr als eine vorbestimmte Schwellwertzeit fortbesteht. Dies erhöht eine Zuverlässigkeit einer Überwachungsanomalie in dem Selbstüberwachungsbereich 113.
Im Übrigen weist die elektronische Steuervorrichtung 100, die aufgebaut ist, wie es zuvor beschrieben worden ist, eine Möglichkeit auf, dass die Zuverlässigkeit des Ansteuerns des Drosselventils durch Gegensätze verringert wird, wenn es eine Anomalie in einem Kommunikationsbetrieb zwischen dem Mikrocomputer 110 und dem Überwachungsmodul 120 gibt, und deshalb kann die Überwachungsfunktion des Mikrocomputers 110 nicht ausreichend von dem Überwachungsmodul 120 überwacht werden. Demgemäß beinhaltet der Digitalschaltungsblock 121a weiterhin die folgenden Komponenten. Ein Kommunikationsanomaliezähler 157 ist dazu ausgelegt, den Takt aufwärts zu zählen, der von dem Taktgenerator 125 erzeugt wird, und auf ein Empfangen eines Signals gelöscht zu werden, welches der Kommunikationsbereich 122 ausgibt, wenn dieser Kommunikationsbereich 122 eine Information von dem Mikrocomputer 110 empfängt. Ein dritter Komparator 156 ist dazu ausgelegt, einen Wertvergleich zwischen dem Zählwert des Kommunikationsanomaliezählers 157 und einem bestimmten Schwellenwert durchzuführen, der im Speicher 158 gespeichert ist, und ein Ergebnis des Wertvergleichs als ein Überwachungsergebnis einer Anomalie in dem Kommunikationsbetrieb zwischen dem Mikrocomputer 110 und dem Überwachungsmodul 120 auszugeben.
Diese Komponenten lassen ein Bestimmen zu, dass es eine Anomalie in dem Kommunikationsbetrieb gibt, wenn der Zählwert des Kommunikationsanomaliezählers 157 den Schwellwert überschreitet, der im Voraus in dem Speicher 158 gespeichert ist, das heißt, wenn ein Zustand, in welchem das Berechnungsergebnis und sein Erwartungswert nicht miteinander übereinstimmen, für mehr als eine vorbestimmte Schwellwertzeit fortbesteht. Diese erhöht eine Zuverlässigkeit einer Überwachungsanomalie in dem Selbstüberwachungsbereich 113.
Als Nächstes wird ein Anomaliebestimmungsverfahren, das von dem Digitalschaltungsblock 121a zum Bestimmen einer Anomalie in dem Selbstüberwachungsbereich 113 durchgeführt wird, unter Bezugnahme auf das Flussdiagramm erläutert, das in 14 gezeigt ist.
Wie es in 14 gezeigt ist, beginnt das Anomaliebestimmungsverfahren durch Überprüfen in einem Schritt S101, ob die Daten (das Berechnungsergebnis und seinen Erwartungswert), die in den Register 151, 152 des Digitalschaltungsblocks 121a gespeichert sind, aktualisiert worden sind oder nicht. Wenn das Überprüfungsergebnis bejahend ist, wird er Zählerwert des Kommunikationsanomaliezähler 157 in einem Schritt S102 gelöscht und geht dann das Verfahren zu einem Schritt S103. Wenn das Überprüfungsergebnis in dem Schritt S101 negativ ist, geht das Verfahren ohne ein Durchführen des Schritts S101 zu dem Schritt S103, das heißt, ohne ein Löschen des Zählwerts des Kommunikationsanomaliezählers 157.
In einem Schritt S103 wird ein Übereinstimmungsvergleich zwischen dem Berechnungsergebnis und seinem Erwartungswert, die in den Register 151 bzw. 152 gespeichert sind, von dem ersten Komparator 153 durchgeführt. Wenn es bestimmt wird, dass das Berechnungsergebnis und sein Erwartungswert miteinander übereinstimmen, wird der Zählwert des Datenanomaliezählers 154 in einem Schritt S104 gelöscht, und geht dann das Verfahren zu einem Schritt S105. Andererseits geht, wenn es in dem Schritt S103 bestimmt wird, dass Berechnungsergebnis und sein Erwartungswert nicht miteinander übereinstimmen, das Verfahren zu einem Schritt S105 ohne ein Durchführen des Schritts S104, das heißt ohne ein Löschen des Zählwerts des Datenanomaliezählers 154.
Nachdem der Kommunikationsanomaliezählers 157 und der Datenanomaliezähler 154 auf diese Weise eingestellt worden sind, werden Zweckmäßigkeiten von ihren Zählwerten in dem Schritt S105 und S107 nacheinander überprüft.
Genauer gesagt wird in dem Schritt S105 ein Wertvergleich zwischen dem Zählwert des Kommunikationsanomaliezählers 157 und dem Schwellwert, der in dem Speicher 158 gespeichert ist, durchgeführt. Wenn es in dem Schritt S105 bestimmt wird, dass der Zählwert des Kommunikationsanomaliezählers 157 den Schwellwert überschreitet, wird, da dies bedeutet, dass ein Zustand, über welchen das Berechnungsergebnis und sein Erwartungswert nicht empfangen worden sind, für mehr als die vorbestimmte Schwellwertzeit fortbesteht, in einem Schritt S106 bewertet, dass es eine Anomalie in dem Kommunikationsbetrieb gibt.
In einem Schritt S107 wird ein Wertvergleich zwischen einem Zählwert des Datenanomaliezählers 154 und dem Schwellwert durchgeführt, der in dem Speicher 155 gespeichert ist. Wenn es in dem Schritt S107 bestimmt wird, dass der Zählwert des Datenanomaliezählers 154 den Schwellwert überschreitet, wird, da dies bedeutet, dass ein Zustand, in welchem das Berechnungsergebnis und sein Erwartungswert nicht miteinander übereinstimmen, für mehr als die vorbestimmte Schwellwertzeit fortbesteht, in einem Schritt S108 bewertet, dass es eine Anomalie in dem Selbstüberwachungsbereich 113 gibt.
Obgleich es im Interesse einer Einfachheit nicht gezeigt ist, weist der Digitalschaltungsblock 121b einen Aufbau auf, der ähnlich zu dem des Digitalschaltungsblocks 121a ist, der in 13 gezeigt ist. Demgemäß ist das Anomaliebestimmungsverfahren, das durch den Digitalschaltungsblock 121b durchgeführt wird, ähnlich dem Verfahren (14), das vom dem Digitalschaltungsblock 121a durchgeführt wird.
Jedoch werden in dem Digitalschaltungsblock 121b das Berechnungsergebnis (der gespeicherte Wert in dem Daten-RAM), wie es in 3 gezeigt ist, und sein Erwartungswert (der gespeicherte Wert in dem Spiegel-RAM) jeweils in zwei Registern gespeichert, die äquivalent zu den Registern 151, 152 sind. Demgemäß wird ein Übereinstimmungsvergleich zwischen dem Berechnungsergebnis (dem gespeicherten Wert in dem Daten-RAM) und seinem Erwartungswert (dem gespeicherten Wert in dem Spiegel-RAM) durch einen Komparator durchgeführt, der in dem Digitalschaltungsblock 121b enthalten ist, welcher äquivalent zu dem ersten Komparator 153 ist.
In dem Digitalschaltungsblock 121c werden das Berechnungsergebnis (der berechnete Wert der Simulationsdaten) und sein Erwartungswert (zum Beispiel ”A”), wie es in 4 gezeigt ist, in jeweiligen zwei Registern gespeichert, die äquivalent zu den Registern 151, 152 sind. Demgemäß wird ein Übereinstimmungsvergleich zwischen dem Berechnungsergebnis (dem berechneten Wert der Simulationsdaten) und seinem Erwartungswert (zum ”A”) von einem Komparator durchgeführt, der in dem Digitalschaltungsblock 121c enthalten ist, welcher äquivalent zu dem ersten Komparator 153 ist.
In dem Digitalschaltungsblock 121d werden das Berechnungsergebnis (der Zählwert) und sein Erwartungswert (zum Beispiel ”4”), wie es in 5 gezeigt ist, jeweils in zwei Registern gespeichert, die äquivalent zu den Registern 151, 152 sind. Demgemäß wird ein Übereinstimmungsvergleich zwischen dem Berechnungsergebnis (dem Zählwert) und seinem Erwartungswert (zum Beispiel ”4”) durch einen Komparator durchgeführt, der in dem Digitalschaltungsblock 121d enthalten ist, welcher äquivalent zu dem ersten Komparator 153 ist.
Der Digitalschaltungsblock 121e weist einen Aufbau auf, der ähnlich zu dem des Digitalschaltungsblocks 121a, der in 13 gezeigt ist. Jedoch wird in dem Digitalschaltungsblock 121e ein Wertvergleich zwischen dem Berechnungsergebnis (dem Tastverhältnis) und seinem Erwartungswert (dem maximal zulässigen Tastverhältnis ”x%”) von einem Komparator durchgeführt, der äquivalent zu dem ersten Komparator 153 ist, um eine Anomalie in dem Selbstüberwachungsbereich 113 zu bestimmen.
Als Nächstes wird das Anomaliebestimmungsverfahren, das von dem Digitalschaltungsblock 121e zum Bestimmen einer Anomalie in dem Selbstüberwachungsbereich 113 durchgeführt wird, unter Bezugnahme auf das Flussdiagramm erläutert, das in 15 gezeigt ist.
Wie es in 15 gezeigt ist, beginnt das Anomaliebestimmungsverfahren durch Überprüfen in einem Schritt S201, ob die Daten (das Berechnungsergebnis und sein Erwartungswert), die in den zwei Registern gespeichert sind, die in dem Digitalschaltungsblock 121e enthalten sind, welche äquivalent zu den Registern 151, 152 sind, aktualisiert worden sind oder nicht. Wenn das Überprüfungsergebnis bejahend ist, wird der Zählwert eines Zählers, der äquivalent zu dem Kommunikationsanomaliezähler 157 ist, in einem Schritt S202 gelöscht und geht das Verfahren dann zu einem Schritt S203. Wenn das Überprüfungsergebnis in dem Schritt S201 negativ ist, geht das Verfahren ohne ein Durchführen des Schritts 202 zu einem Schritt S203, das heißt ohne ein Löschen des Zählwerts des Zählers, der äquivalent zu dem Kommunikationsanomaliezähler 157 ist.
In dem Schritt S203 wird ein Wertvergleich zwischen dem Berechnungsergebnis und seinem Erwartungswert, die jeweils in den zwei Registern gespeichert sind, die äquivalent zu den Register 151, 152 sind, von einem Komparator durchgeführt, der äquivalent zu dem ersten Komparator 153 ist. Wenn es bestimmt wird, dass das Berechnungsergebnis (das Tastverhältnis) seinen Erwartungswert (sein maximal zulässiges Tastverhältnis ”x%”) nicht überschreitet, wird der Zählwert eines Zählers, der äquivalent zu dem Datenanomaliezähler 154 ist, in dem Schritt S204 gelöscht und geht dann das Verfahren zu einem Schritt S205. Andererseits geht, wenn es in dem Schritt S1203 bestimmt wird, dass das Berechnungsergebnis seinen Erwartungswert überschreitet, das Verfahren zu dem Schritt S205 ohne ein Durchführen des Schritts 204, das heißt ohne ein Löschen des Zählwerts des Zählers, der äquivalent zu dem Datenanomaliezähler 154 ist.
Nachdem die zwei Zähler, die äquivalent zu dem Kommunikationsanomaliezähler 157 und dem Datenanomaliezähler 154 sind, auf diese Weise eingestellt worden sind, werden Zweckmäßigkeiten ihrer Zählwerte in dem Schritt S205 und Schritt S207 aufeinanderfolgend überprüft. Im Übrigen sollte es angemerkt werden, dass ebenso diese zwei Zähler dazu ausgelegt sind, den Takt aufwärts zu zählen, der von dem Taktgenerator 125 erzeugt wird.
Genauer gesagt wird ein Wertvergleich zwischen dem Zählwert des Zählers, der äquivalent zu dem Kommunikationsanomaliezähler 157 ist, und dem Schwellwert, der in einem Speicher gespeichert ist, der äquivalent zu dem Speicher 158 ist, durchgeführt. Wenn es in dem Schritt S205 bestimmt wird, dass der Zählwert des Zählers, der äquivalent zu dem Kommunikationsanomaliezähler 157 ist, den Schwellwert überschreitet, wird, da dies bedeutet, dass ein Zustand, über welchen das Berechnungsergebnis und sein Erwartungswert nicht empfangen werden, für mehr als den vorbestimmten Schwellwert fortbesteht, in dem Schritt S206 bewertet, dass es eine Anomalie in dem Kommunikationsbetrieb gibt.
In einem Schritt S207 wird ein Wertvergleich zwischen dem Zählwert des Zählers, der äquivalent zu dem Datenanomaliezähler 154 ist, und dem Schwellwert, der in einem Speicher gespeichert ist, der äquivalent zu dem Speicher 155 ist, durchgeführt. Wenn es in dem Schritt S207 bestimmt wird, dass der Zählwert des Zählers, der äquivalent zu dem Datenanomaliezähler 154 ist, den Schwellwert überschreitet, wird, da dies bedeutet, dass ein Zustand, in welchem das Berechnungsergebnis seinen Erwartungswert überschreitet, für mehr als die vorbestimmte Schwellwertzeit fortbesteht, in einem Schritt S208 bewertet, dass es eine Anomalie in dem Selbstüberwachungsbereich 113 gibt.
Die Ausgangssignale des zweiten Komparators 156 und der Komparatoren, die äquivalent zu dem zweiten Komparator 156 sind, und die Ausgangssignale des dritten Komparators 159 und die Komparatoren, die äquivalent zu dem dritten Komparator 159 sind, die in dem Digitalschaltungsblöcken 121a bis 121e enthalten sind, werden einer ODER-Schaltung 124, die in dem Überwachungsmodul 120 enthalten ist, als Überwachungsergebnisse von der Anomaliebestimmungsschaltung 121 zugeführt. Wenn irgendeiner der Digitalschaltungsblöcke 121a bis 121e bestimmt, dass es eine Anomalie in dem Kommunikationsbetrieb oder in der Bewertungsfunktion des Selbstüberwachungsbereichs gibt, gibt die ODER-Schaltung 124 ein Signal, das ein derartiges Bestimmen anzeigt, zu der Ansteuerschaltung 130 aus. Ein derartiges Überwachungsergebnis, das der Ansteuerschaltung 130 zugeführt wird, lässt zu, dass die Ansteuerschaltung 130 das Drosselventil über den Motor M mit einer höheren Genauigkeit öffnet und schließt.
Das Überwachungsmodul 120 weist einen Referenzzähler 126 auf, dessen Zählwert von dem Modulüberwachungsbereich 115 über die Kommunikation 122 und die Kommunikation 114 aufgenommen wird, so dass es von dem Modulüberwachungsbereich 115 überwacht wird.
Der Referenzzähler 126 ist dazu ausgelegt, den Takt, der von dem Taktgenerator 126 erzeugt wird, ähnlich dem Anomaliezähler 154, dem Kommunikationsanomaliezähler 157 und anderen äquivalenten Zählern der Digitalschaltungsblöcke 121a bis 121e aufwärts zu zählen. Dieser Aufbau, in welchem die Zählwerte des Datenanomaliezählers 154, des Kommunikationsanomaliezähler 157 und anderer äquivalenter Zähler, die in dem Digitalschaltungsblöcken enthalten sind, auf der Grundlage des Zählwerts des Referenzzählers 126 indirekt von dem Modulüberwachungsbereich 115 überwacht werden, ermöglicht es, zu bewerten, ob das Überwachungsmodul 120 selbst in einem nicht betreibbaren Zustand ist oder nicht, in welchen es den Überwachungsbetrieb nicht durchführen kann. Wenn der Modulüberwachungsbereich 115 bewertet, dass das Überwachungsmodul 120 selbst in einem derartigen nicht betreibbaren Zustand ist, gibt der Modulüberwachungsbereich 115 ein Signal einer derartigen Bewertung zu der Ansteuerschaltung 130 aus. Ein derartiges Überwachungsergebnis, das der Ansteuerschaltung 130 von dem Modulüberwachungsbereich 115 zugeführt wird, lässt zu, dass die Ansteuerschaltung 130 das Drosselventil über den Motor M mit einer höheren Zuverlässigkeit öffnet und schließt.
Wie es in 1 gezeigt ist, ist der Modulüberwachungsbereich 115 dazu ausgelegt, ebenso das Ausgangssignal der ODER-Schaltung 124 des Überwachungsmoduls 120 aufzunehmen. Wenn das Ausgangssignal der ODER-Schaltung 124 des Überwachungsmoduls 120 anzeigt, dass es eine Anomalie in dem Selbstüberwachungsbereich 113 oder in dem Kommunikationsbetrieb gibt, speichert der Modulüberwachungsbereich 115 eine derartige Anzeige, und führt ein Verfahren zum Aufrechterhalten des Ausgabezustands der Ansteuerschaltung 130 in gutem Zustand durch.
Als Nächstes wird ein Anomaliebestimmungsverfahren, das von dem Modulüberwachungsbereich 115 zum Bestimmen einer Anomalie in dem Überwachungsmodul 120 durchgeführt wird, zusammen mit dem Aufbau des Modulüberwachungsbereichs 115 unter Bezugnahme auf das Flussdiagramm erläutert, dass in 16 gezeigt ist. Das Anomaliebestimmungsverfahren wird wiederholt in regelmäßigen Zeitintervallen durchgeführt.
Wie es in 16 gezeigt ist, beginnt dieses Anomaliebestimmungsverfahren durch Aufnehmen des Zählwerts des Referenzzählers 126 über den Kommunikationsbereich 122 des Überwachungsmoduls 120 und des Kommunikationsbereichs 114 in einem Schritt S301. In einem nachfolgenden Schritt S302 wird eine Änderungshöhe dieses Zählwerts auf der Grundlage dieses Zählwerts und des Zählwerts, welcher zu einer vorhergehenden Zeit aufgenommen worden ist, berechnet und in einem bestimmten Speicher gespeichert. Danach wird es in einem Schritt S303 überprüft, ob die berechnete Änderungshöhe innerhalb eines vorbestimmten zulässigen Bereichs ist oder nicht.
Wenn das Überprüfungsergebnis in dem Schritt S303 bejahend ist, geht das Verfahren zu einem Schritt S304, in dem ein Zählwert eines Normalitätsbestimmungszählers (nicht gezeigt), der in dem Mikrocomputer 110 enthalten ist, inkrementiert wird. Nachfolgend wird ein Zählwert eines Anomaliebestimmungszählers (nicht gezeigt), der in dem Mikrocomputer 110 enthalten ist, in einem Schritt S305 gelöscht. Nachdem die Zählwerte des Normalitätsbestimmungszählers und des Anomaliebestimmungszählers auf diese Weise eingestellt worden sind, wird es in einem Schritt S306 überprüft, ob der Zählwert des Normalitätsbestimmungszählers einen vorbestimmten Wert überschreitet oder nicht. Wenn das Überprüfungsergebnis in dem Schritt S306 bejahend ist, wird ein Signal, das anzeigt, dass das Überwachungsmodul 120 normal arbeitet, in einem Schritt S307 zu dem Überwachungsmodul 120 ausgegeben, und wird der Zählwert des Referenzzählers 126 in einem bestimmten Speicher in einem Schritt S308 gespeichert, um dieses Anomaliebestimmungsverfahren zu beenden.
Andererseits wird, wenn das Überprüfungsergebnis in dem Schritt S306 negativ ist, das heißt, wenn der Zählwert des Normalitätsbestimmungszählers nicht den vorbestimmten Wert überschreitet, der Zählwert des Referenzzählers 126 zu diesem Zeitpunkt in dem bestimmten Speicher in dem Schritt S308 gespeichert, während die Ausgabe zu der Ansteuerschaltung 130 aufrechterhalten wird, um dieses Anomaliebestimmungsverfahren zu beenden.
Wenn das Überprüfungsergebnis in dem Schritt S303 negativ ist, das heißt, wenn es bestimmt wird, dass die berechnete Änderungshöhe außerhalb des zulässigen Bereichs ist, geht das Verfahren zu einem Schritt S309, in dem der Zählwert des Anomaliebestimmungszählers, der in dem Mikrocomputer 110 enthalten ist, inkrementiert wird. Nachfolgend wird der Zählwert des Normalitätsbestimmungszählers, der in dem Mikrocomputer 110 enthalten ist, in einem Schritt S310 gelöscht. Nachdem die Zählwerte der Normalitätsbestimmungszählers und des Anomaliebestimmungszählers auf diese Weise eingestellt worden sind, wird es in einem Schritt S311 überprüft, ob der Zählwert des Anomaliebestimmungszählers eine vorbestimmte obere Grenze überschreitet oder nicht. Wenn das Überprüfungsergebnis in dem Schritt S311 bejahend ist, wird ein Signal, das anzeigt, dass eine Anomalie in dem Überwachungsmodul 120 ist, in einem Schritt 312 zu dem Überwachungsmodul 120 ausgegeben und wird der Zählwert des Referenzzählers 126 zu diesem Zeitpunkt in dem bestimmten Speicher in dem Schritt S308 gespeichert, um dieses Anomaliebestimmungsverfahren zu beenden.
Andererseits wird, wenn das Überprüfungsergebnis in dem Schritt S311 negativ ist, das heißt, wenn der Zählwert des Anomaliebestimmungszählers nicht die obere Grenze überschreitet, der Zählwert des Referenzzählers 126 zu diesem Zeitpunkt in dem bestimmten Speicher in dem Schritt 308 gespeichert, während die Ausgabe zu der Ansteuerschaltung 130 aufrechterhalten wird, um dieses Anomaliebestimmungverfahren zu beenden.
Die Ansteuerschaltung 130 der elektronischen Steuervorrichtung 100 ist ein Bereich zum Ansteuern des Aktors (Motors), um das Drosselventil in Übereinstimmung mit der Ansteueranweisung unter einem normalen Zustand zu öffnen und zu schließen, obgleich es andere verschiedene Signale von dem Steuerbereich 112, dem Selbstüberwachungsbereich 113, dem Modulüberwachungsbereich 115 und der Anomaliebestimmungsschaltung 121 empfängt. Jedoch kann, wenn der Selbstüberwachungsbereich 113 ein Signal ausgibt, das anzeigt, das die Ansteueranweisung, die aus dem Steuerbereich 112 ausgegeben wird, nicht gültig ist, die Zuverlässigkeit des Drosselventilsteuerns in Übereinstimmung mit der Ansteueranweisung, die der Ansteuerschaltung 130 zugeführt wird, nicht sichergestellt werden. Auf eine ähnliche Weise kann, wenn die Anomaliebestimmungsschaltung 121 ein Signal ausgibt, das anzeigt, dass eine Anomalie in dem Selbstüberwachungsbereich 113 ist, oder wenn der Modulüberwachungsbereich 115 ein Signal ausgibt, das anzeigt, dass das Überwachungsmodul 120 selbst in dem nicht betreibbaren Bereich ist, in welchem es den Überwachungsbetrieb nicht durchführen kann, die Zuverlässigkeit des Drosselventilsteuerns in Übereinstimmung mit der Ansteueranweisung, die der Ansteuerschaltung 130 zugeführt wird, nicht sichergestellt werden. Demgemäß führt, wenn irgendeines von derartigen Signalen zu der Ansteuerschaltung 130 ausgegeben wird, die Ansteuerschaltung 130 ein Ausfallsicherungsverfahren durch, während die Ansteueranweisung, die aus dem Steuerbereich 112 ausgegeben wird, negiert wird, um eine Fahrzeugsicherheit sicherzustellen. Genauer gesagt unterbricht die Ansteuerschaltung 130 eine Energieversorgung zu dem Aktor (Motor) des Drosselventils von der Fahrzeugbatterie, um das Drosselventil in einem ausfallsicherem Zustand zu halten.
Als Nächstes wird das Ausfallsicherungsverfahren für das Drosselventil, das von der elektronischen Steuervorrichtung 100 durchgeführt wird, unter Bezugnahme auf Zeitablaufdiagramme erläutert, die in 17 und 18 gezeigt sind. Hierbei wird es angenommen, dass der Modulüberwachungsbereich 115 ein Signal ausgibt, das anzeigt, dass das Überwachungsmodul 120 selbst in dem nicht betreibbaren Bereich ist, in welchem es den Überwachungsbetrieb nicht durchführen kann.
Während einer Dauer, in welcher die Regelgröße (Ansteuerhöhe), um welche das Drosselventil gesteuert wird, berechnet wird, führt der Selbstüberwachungsbereich 113 den ROM-Test, RAM-Test, Anweisungstest, Flusstest und Systemtest zu vorbestimmten Berechnungszyklen durch. Zu jeder Zeit, zu der der Selbstüberwachungsbereich 113 eine Überwachung von irgendeinem der fünf Überwachungselemente beendet, wird ein Testbeendigungsmerker in einen bestimmten Speicher für jedes der fünf Überwachungselemente getrennt gesetzt (siehe (a) bis (e) in 17). Wie es aus 17 zu sehen ist, ist der Berechnungszyklus des ROM-Test (siehe (e) in 17) später als die Berechnungszyklen der anderen Überwachungselemente (siehe (a) bis (d) in 17).
Der Kommunikationsbereich 114 überträgt Übertragungsdaten, wie sie in 12 gezeigt sind, zu dem Überwachungsmodul 120 in Übereinstimmung mit jedem Testbeendigungsmerker, der auf eine zuvor beschriebene Weise gesetzt ist (siehe (f) bis (j) in 17). Dieses Übertragungsverfahren verwendet ein Zeitteilverfahren zum Zulassen eines Übertragens der Übertragungsdaten, während andere Daten übertragen werden.
Die Übertragungsdaten, wie sie in 12 gezeigt sind, die auf diese Weise übertragen werden, werden einem entsprechendender Digitalschaltungsblöcke zugeführt, welche dem Identifizierer zugehörig sind, der zu den Übertragungsdaten hinzugefügt ist. Die Übertragungsdaten dienen dazu, den Zählwert der zwei Zähler zu löschen, die äquivalent zu dem Datenanomaliezähler 154 und dem Kommunikationsanomaliezähler 157 des Digitalschaltungsblocks sind, dem die Übertragungsdaten zugeführt werden (siehe (a) bis (j) in 18).
Zum Beispiel werden die Übertragungsdaten, die für den RAM-Test verwendet worden sind, welche zu einem Zeitpunkt t11 und Zeitpunkt t21 übertragen worden sind (siehe (f) in 17), dem Digitalschaltungsblock 121b zugeführt. Als ein Ergebnis werden in dem Digitalschaltungsblock 121b der Zählwert des Zählers, der äquivalent zu dem Datenanomaliezähler 154 ist, und der Zählwert des Zählers, der äquivalent zu dem Kommunikationsanomaliezähler 157 ist, zu dem Zeitpunkt t11 und Zeitpunkt t21 gelöscht (siehe (a), (f) in 18).
Die Übertragungsdaten, die für den Anweisungstest verwendet worden sind, welche zu einem Zeitpunkt t12 und Zeitpunkt t22 übertragen worden sind (siehe (g) in 17), werden dem Digitalschaltungsblock 121c zugeführt. Als ein Ergebnis werden in dem Digitalschaltungsblock 121c der Zählwert des Zählers, der äquivalent zu dem Datenanomaliezähler 154 ist, und der Zählwert des Zählers, der äquivalent zu dem Kommunikationsanomaliezähler 157 ist, zu dem Zeitpunkt t12 und Zeitpunkt t22 gelöscht (siehe (b), (g) in 18.
Die Übertragungsdaten, die für den Flusstest verwendet worden sind, welche zu einem Zeitpunkt t13 und Zeitpunkt t23 übertragen worden sind (siehe (h) in 17), werden dem Digitalschaltungsblock 121d zugeführt. Als ein Ergebnis werden in dem Digitalschaltungsblock 121d der Zählwert des Zählers, der äquivalent zu dem Datenanomaliezähler 154 ist, und der Zählwert des Zählers, der äquivalent zu dem Kommunikationsanomaliezähler 157 ist, zu dem Zeitpunkt t13 und Zeitpunkt t23 gelöscht (siehe (c), (h) in 18).
Die Übertragungsdaten, die für den Systemtest verwendet worden sind, welche zu einem Zeitpunkt t14 und Zeitpunkt t24 übertragen worden sind (siehe (i) in 17), werden dem Digitalschaltungsblock 121e zugeführt. Als ein Ergebnis werden in dem Digitalschaltungsblock 1218 der Zählwert des Zählers, der äquivalent zu dem Datenanomaliezähler 154 ist, und der Zählwert des Zählers, der äquivalent zu dem Kommunikationsanomaliezähler 157 ist, zu dem Zeitpunkt t14 und Zeitpunkt t24 gelöscht (siehe (d), (i) in 18).
Die Übertragungsdaten, die für den ROM-Test verwendet worden sind, welche zu einem Zeitpunkt t25 übertragen worden sind (siehe (j) in 17), werden dem Digitalschaltungsblock 121a zugeführt. Als ein Ergebnis werden in dem Digitalschaltungsblock 121a der Zählwert des Zählers, der äquivalent zu dem Datenanomaliezähler 154 ist, und der Zählwert des Zählers, der äquivalent zu dem Kommunikationsanomaliezähler 157 ist, zu dem Zeitpunkt t25 gelöscht (siehe (i) und (j) in 18).
Wie es zuvor erläutert worden ist, bewertet der Modulüberwachungsbereich 115 durch Überwachen des Zählwerts des Referenzzählers 126, der dazu ausgelegt ist, den Takt aufwärts zu zählen, der von dem Taktgenerator 125 erzeugt wird (siehe (k) in 18), ob das Überwachungsmodul 120 selbst in dem nicht betreibbaren Zustand ist oder nicht, in welchem es den Überwachungsbetrieb nicht durchführen kann, auf der Grundlage der Zählwerte der Zähler, die in den Digitalschaltungsblöcken enthalten sind, wenn sie dazu ausgelegt sind, den Takt aufwärts zu zählen, der von dem Taktgenerator 125 erzeugt wird, um zu irgendwelchen Zeitpunkten zurückgesetzt (gelöscht) zu werden.
Genauer gesagt nimmt der Modulüberwachungsbereich 115 den Zählwert des Referenzzählers 126 zu regelmäßigen Zeitintervallen auf, um eine Änderungshöhe zwischen dem derzeitigen Zählwert und dem Zählwert zu überwachen, welcher zu einer vorhergehenden Zeit aufgenommen worden ist (siehe (l), (n) in 18). Zu einem Zeitpunkt t100, zu dem die Änderungshöhe außerhalb eines vorbestimmten zulässigen Bereichs geht, oder später wird der Zählwert des Anomaliebestimmungszählers, der in dem Mikrocomputer 110 enthalten ist, kontinuierlich inkrementiert, da die Zählwerte des Datenanomaliezählers 154, des Kommunikationsanomaliezählers 157 und andere äquivalente Zähler, die in den Digitalschaltungsblöcken 121a bis 121e enthalten sind, zu dem Zeitpunkt t100 oder später nicht zuverlässig sind. Folglich bewertet der Modulüberwachungsbereich 115, wenn der Zählwert des Anomaliebestimmungszählers einen oberen Grenzwert zu einem Zeitpunkt t200 überschreitet, dass das Überwachungsmodul 120 selbst in dem nicht betreibbaren Zustand ist, in welchem es den Überwachungsbetrieb nicht zuführen kann, und gibt ein Signal, das eine derartige Bewertung anzeigt, zu der Ansteuerschaltung 130 aus. Die Ansteuerschaltung 130 unterbricht als Reaktion auf dieses Signal eine Energieversorgung von der Fahrzeugbatterie zu der Drosselventilseite, um das Drosselventil in einem ausfallsicheren Zustand zu halten.
Wie es zuvor erläutert worden ist, bietet die elektronische Steuervorrichtung 100 gemäß diesem Ausführungsbeispiel viele Vorteile, wie sie nachstehend erläutert werden.

(1) Der Modulüberwachungsbereich 115 überwacht den Zählwert des Referenzzählers 126. Dies ermöglicht es, indirekt den Datenanomaliezähler 154, den Kommunikationsanomaliezähler 157 und andere äquivalente Zähler, die in den Digitalschaltungsblöcken 121a bis 121e des Überwachungsmoduls 120 enthalten sind, indirekt zu überwachen, um eine Bewertung durchzuführen, ob das Überwachungsmodul 120 selbst in dem nicht betreibbaren Zustand ist oder nicht, in welchem es den Überwachungsbetrieb nicht durchführen kann.
(2) Der Modulüberwachungsbereich 115 nimmt den Zählwert des Referenzzählers 126 in regelmäßigen Zeitintervallen auf und führt eine Bewertung durch, dass das Überwachungsmodul 120 nicht zweckmäßig arbeitet, wenn ein Zustand, in welchem der derzeitige Zählwert sich nicht von einem Zählwert unterscheidet, der zu einer vorhergehenden Zeit aufgenommen worden ist, für mehr als die vorbestimmte Zeit fortbesteht. Dies ermöglicht es, das Überwachungsmodul 120 mit einer höheren Zuverlässigkeit zu überwachen.
(3) Der Mikrocomputer 110 überträgt, während der Steuerbereich 112 unter Verwendung des Selbstüberwachungsbereichs 113 von diesem überwacht wird, ein Berechnungsergebnis abhängig von dem Inhalt eines Überwachungsobjekts zusammen mit seinem Erwartungswert, wobei erwartet wird, dass dieser gleich dem Berechnungsergebnis ist. Das Überwachungsmodul 120 überwacht, ob der Selbstüberwachungsbereich 113 zweckmäßig arbeitet oder nicht, auf der Grundlage des Vergleichs zwischen dem Berechnungsergebnis und seinem Erwartungswert, die von dem Mikrocomputer 110 übertragen werden. Dies ermöglicht es, den Selbstüberwachungsbereich 113 zweckmäßig zu überwachen.
(4) Das Überwachungsmodul 120 bewertet, dass der Selbstüberwachungsbereich 113 nicht zweckmäßig arbeitet, wenn das Berechnungsergebnis und sein Erwartungswert, die von dem Mikrocomputer 110 übertragen werden, nicht miteinander übereinstimmen, wenn ein Zustand, über welchen das Berechnungsergebnis und sein Erwartungswert nicht empfangen werden, für mehr als eine vorbestimmte Zeit fortbesteht. Dies ermöglicht es, den Selbstüberwachungsbereich 113 zweckmäßiger zu überwachen.
(5) Das Überwachungsmodul 120 bewertet, dass der Kommunikationsbetrieb zwischen dem Überwachungsmodul 120 und dem Mikrocomputer 110 nicht zweckmäßig arbeitet, wenn ein Zustand, in welchem das Berechnungsergebnis und sein Erwartungswert nicht empfangen werden, für mehr als eine vorbestimmte Zeit fortbesteht. Dies ermöglicht es, den Selbstüberwachungsbereich 113 zweckmäßiger zu überwachen.
(6) Das Überwachungsmodul 120 weist eine Mehrzahl der Digitalschaltungsblöcke 121a bis 121e auf, die den fünf Überwachungselementen (ROM-Test, RAM-Test, Anweisungstest, Flusstest und Systemtest) entsprechen, die von dem Selbstüberwachungsbereich 113 zu überwachen sind. Die Daten, die in dem Berechnungsergebnis und seinem Erwartungswert enthalten sind, die von dem Mikrocomputer 110 übertragen werden, werden einem der Digitalschaltungsblöcke 121a bis 121e zugeführt, welcher dem Identifizierer zugehörig ist, der zu diesen Daten hinzugefügt ist, um miteinander verglichen zu werden. Dies ermöglicht es, den Betrieb des Selbstüberwachungsbereichs 113 für jedes der fünf Überwachungselemente zu überprüfen.

Zweites Ausführungsbeispiel
Als Nächstes wird ein zweites Ausführungsbeispiel der Erfindung beschrieben. Eine elektronische Steuervorrichtung gemäß dem zweiten Ausführungsbeispiel, welche eine Vorrichtung zum Steuern eines Aktors (Motors) zum Ansteuern eines Drosselventils ist, ist hauptsächlich durch einen Mikrocomputer, ein Überwachungsmodul und eine Ansteuerschaltung wie in dem Fall der elektronischen Steuervorrichtung gemäß dem ersten Ausführungsbeispiel aufgebaut, das in 1 gezeigt ist.
Ähnlich dem ersten Ausführungsbeispiel beinhaltet das Überwachungsmodul dieses Ausführungsbeispiels einen Referenzzähler, der einen Takt aufwärts zählt, der als eine Betriebsreferenz von Digitalschaltungsblöcken von diesen dient, und beinhaltet der Mikrocomputer dieses Ausführungsbeispiels einen Modulüberwachungsbereich, der dazu ausgelegt ist, den Zählwert des Referenzzählers aufzunehmen, um zu überwachen, ob das Überwachungsmodul zweckmäßig arbeitet oder nicht.
Jedoch ist in dem zweiten Ausführungsbeispiel, wie es in 19 gezeigt ist, der Kommunikationsbereich 214 des Mikrocomputers 210 dazu ausgelegt, die fünf Überwachungselemente in drei Überwachungsgruppen zu klassifizieren und ein Berechnungsergebnis und seinen Erwartungswert für jede der drei Überwachungsgruppen getrennt zu übertragen. Weiterhin ist das Überwachungsmodul 220 mit drei Digitalschaltungsblöcken 221a bis 221c versehen, die die Anomaliebestimmungsschaltung 221 bilden, um eine Anomalie in dem Selbstüberwachungsbereich 113 für jede der drei Überwachungsgruppen zu überwachen. In dem zweiten Ausführungsbeispiel, das einen derartigen Aufbau aufweist, wird ein Vergleich zwischen einem Berechnungsergebnis und seinem Erwartungswert durch den gleichen der Digitalschaltungsblöcke 221a bis 221c für die Überwachungselemente der gleichen Überwachungsgruppe durchgeführt. Dies ermöglicht es, die Schaltungsabmessung des Überwachungsmoduls 220, das viele Überwachungsfunktionen aufweist, auch dann zu verringern, wenn es als ein kundenspezifisches IC realisiert ist. Dies ermöglicht es ebenso, die Herstellungskosten des Überwachungsmoduls 220 zu verringern.
Von den fünf Überwachungselementen werden der ROM-Test, der RAM-Test, der Anweisungstest und der Flusstest durch einen Übereinstimmungsvergleich durchgeführt. Der Rest der Überwachungselemente, das heißt der Systemtest, wird durch einen Wertvergleich durchgeführt. Von den vier Überwachungselementen, die durch einen Übereinstimmungsvergleich zu überwachen sind, ist der Berechnungszyklus für jeden des ROM-Tests, des Anweisungstests und des Flusstests verhältnismäßig kurz, während der des ROM-Tests verhältnismäßig lang ist. Daher klassifiziert der Kommunikationsbereich 214 die drei Überwachungselemente in eine Gruppe, die aus dem RAM-Test, dem Anweisungstest und dem Flusstest besteht, und eine Gruppe, die aus dem ROM-Test besteht, und eine Gruppe, die aus dem Systemtest besteht.
Der Digitalschaltungsblock 221a als ein schneller Digitalschaltungsblock des Überwachungsmoduls 220 ist dazu ausgelegt, einen Übereinstimmungsvergleich zwischen einem Berechnungsergebnis und seinem Erwartungswert in einem verhältnismäßig kurzen Berechnungszyklus durchzuführen. Der Digitalschaltungsblock 221b des Überwachungsmoduls 220 ist dazu ausgelegt, einen Übereinstimmungsvergleich zwischen einem Berechnungsergebnis und seinem Erwartungswert in einem verhältnismäßig langen Berechnungszyklus durchzuführen. Der Digitalschaltungsblock 221c des Überwachungsmoduls 220 ist dazu ausgelegt, einen Wertvergleich zwischen einem Berechnungsergebnis und seinem Erwartungswert durchzuführen. Die Aufbauten der Digitalschaltungsblöcke 221a und 221b sind im Wesentlichen die gleichen wie der Aufbau des Digitalschaltungsblocks 121a, der in 13 gezeigt ist. Der Aufbau des Digitalschaltungsblocks 221c ist im Wesentlichen der gleiche wie der Aufbau des Digitalschaltungsblocks 121e.
In diesem Ausführungsbeispiel führt der Blockauswahlbereich 223 für die Überwachungselemente, die den verhältnismäßig kurzen Überwachungszyklus erfordern (der RAM-Test, der Anweisungstest und der Flusstest), ein Berechnungsergebnis und seinen Erwartungswert dem gleichen Digitalschaltungsblock 221a zu, um einen Übereinstimmungsvergleich dazwischen durchzuführen. Demgemäß kann die Schaltungsabmessung des Überwachungsmoduls 220 verringert werden.
Andererseits führt der Blockauswahlbereich 223 für das Überwachungselement, das den verhältnismäßig langen Überwachungszyklus erfordert (der ROM-Test), ein Berechnungsergebnis und seinen Erwartungswert dem Digitalschaltungsblock 221b als ein langsamer Digitalschaltungsblock zu, um einen Übereinstimmungsvergleich dazwischen durchzuführen. Dies ermöglicht es, zu verhindern, dass das Überwachen der Überwachungselemente, die den verhältnismäßig kurzen Berechnungszyklus erfordern, verzögert werden, um das Überwachen des Überwachungselements durchzuführen, das den verhältnismäßig langen Berechnungszyklus erfordert, um dadurch ein frühes Erfassen einer Anomalie in dem Selbstüberwachungsbereich 113 zuzulassen.
Für das Überwachungselement, das durch einen Wertvergleich zu überwachen ist (der Systemtest), führt der Blockauswahlbereich 223 ein Berechnungsergebnis und seinen Erwartungswert dem Digitalschaltungsblock 221c zu, um einen Wertvergleich dazwischen durchzuführen.
In diesem Ausführungsbeispiel werden die Berechnungsergebnisse, die verwendet worden sind, um den RAM-Test, den Anweisungstest und den Flusstest durchzuführen, welche einen Übereinstimmungsvergleich und den verhältnismäßig kurzen Berechnungszyklus erfordern, aufsummiert. Die Summation dieser Berechnungsergebnisse und sein Erwartungswert, die in einem Speicher oder dergleichen gespeichert sind, wobei erwartet wird, dass diese gleich der Summation wird, werden zu dem Kommunikationsbereich 222 des Überwachungsmoduls 220 übertragen. Der Blockauswahlbereich 223 führt die Summation und seinen Erwartungswert dem Digitalschaltungsblock 221a zu, in dem ein Übereinstimmungsvergleich dazwischen durchgeführt wird. Auf diese Weise werden die Überwachungen von drei der fünf Überwachungselemente auf einmal durchgeführt.
20 ist ein Flussdiagramm, das ein Verfahren eines Übertragens der Summation der Berechnungsergebnisse zeigt, die zum Durchführen des RAM-Tests, des Anweisungstests und des Flusstests und ihres Erwartungswerts verwendet worden sind. Dieses Übertragungsverfahren wird wiederholt in regelmäßigen Zeitintervallen durchgeführt.
Wie es in 20 gezeigt ist, überprüft der Kommunikationsbereich 214, um dieses Übertragungsverfahren zu starten, in einem Schritt S401, ob der RAM-Test-Beendigungsmerker durch den Selbstüberwachungsbereich 113 gesetzt worden ist oder nicht. Wenn das Überprüfungsergebnis bejahend ist, geht das Verfahren zu einem Schritt S402.
In dem Schritt S402 wird das Berechnungsergebnis (der gespeicherte Wert in dem Daten-RAM) aus dem bestimmten Speicher gelesen, mit welchem ein Register (nicht gezeigt), das in dem Mikrocomputer 210 enthalten ist, geladen ist. Nachfolgend wird der RAM-Test-Beendigungsmerker in einem Schritt S403 zurückgesetzt (gelöscht).
Als Nächstes wird es in einem Schritt S404 überprüft, ob der Anweisungstest-Beendigungsmerker von dem Selbstüberwachungsbereich 113 gesetzt worden ist oder nicht. Wenn das Überprüfungsergebnis in dem Schritt S404 bejahend ist, geht das Verfahren zu einem Schritt S405, in dem das Berechnungsergebnis (der berechnete Wert der Simulationsdaten), wie es in 4 gezeigt ist, aus bestimmten Speicher gelesen wird. Nachfolgend wird der Inhalt des Registers durch Addieren dieses Berechnungsergebnisses zu dem Berechnungsergebnis aktualisiert, das in diesem Register gespeichert ist. Danach wird der Anweisungstest-Beendigungsmerker in einem Schritt S416 gesetzt (gelöscht).
Als Nächstes wird es in einem Schritt S407 überprüft, ob der Flusstest-Beendigungsmerker von dem Selbstüberwachungsbereich 113 gesetzt worden ist oder nicht. Wenn das Überprüfungsergebnis in dem Schritt S407 bejahend ist, geht das Verfahren zu einem Schritt S408, in dem das Berechnungsergebnis (der Zählwert, wie er in 5 gezeigt ist) aus einem bestimmten Speicher gelesen wird. Nachfolgend wird der Inhalt des Registers durch Addieren dieses Berechnungsergebnisses, das aus dem bestimmten Speicher gelesen wird, zu dem Berechnungsergebnis aktualisiert, das in diesem Register gespeichert ist. Danach wird der Flusstest-Beendigungsmerker in einem Schritt S419 zurückgesetzt (gelöscht).
Nach einem Beenden der Schritte S401 bis S409 geht das Verfahren zu einem Schritt S410, in dem Übertragungsdaten, wie sie in 12 gezeigt sind, durch Addieren der Summation der drei Berechnungsergebnisse, die in dem Register gespeichert sind, mit ihrem Erwartungswert, der in einem bestimmten Speicher gespeichert ist, erzeugt werden, wobei erwartet wird, dass diese gleich der Summation sind. Diesen Übertragungsdaten wird ihr Identifizierer (ID) hinzugefügt. Die Übertragungsdaten, die derart erzeugt worden sind, werden über eine serielle Kommunikation oder parallele Kommunikation zu dem Kommunikationsbereich 222 des Überwachungsmoduls 220 übertragen.
Es sollte angemerkt werden, dass, wenn es in irgendeinem der Schritte S401, S404 und S407 bestimmt wird, dass der erwartete Testbeendigungsmerker nicht gesetzt worden ist, dies dazu führt, dass Übertragungsdaten, die die Summation enthalten, welche nicht mit ihrem Erwartungswert übereinstimmt, in dem Schritt S410 erzeugt werden. In einem Schritt S411 werden die Übertragungsdaten zu dem Kommunikationsbereich 222 des Überwachungsmoduls 220 übertragen, wobei als Ergebnis davon das Überwachungsmodul 222 ein Signal, das den Empfang der Übertragungsdaten anzeigt, zu der Ansteuerschaltung 130 ausgegeben wird.
In einem derartigen Übertragungsverfahren kann das Überwachungsmodul 220 kollektiv überwachen, ob die Überwachungen der drei Überwachungselemente (RAM-Test, Anweisungstest und Flusstest) zweckmäßig von dem Selbstüberwachungsbereich 113 durchgeführt worden sind. Dies ermöglicht es, die Berechnungslast und die Schaltungsabmessung des Überwachungsmoduls 220 zu verringern.
Im Übrigen werden das Berechnungsergebnis (der ROM-Summenwert) und sein Erwartungswert (zum Beispiel ”5AA5”), wie es in 2 gezeigt ist, die zum Durchführen des ROM-Tests verwendet worden sind, durch ein Verfahren ähnlich dem Verfahren übertragen, das in 7 gezeigt ist. Weiterhin werden ein Berechnungsergebnis (Tastverhältnis) und sein Erwartungswert (maximal zulässiger Wert ”x%”), wie sie in 6 gezeigt sind, die zum Durchführen des Systemtests verwendet worden sind, durch ein Verfahren ähnlich dem Verfahren übertragen, das in 11 gezeigt ist.
Wie es zuvor erläutert worden ist, bietet das zweite Ausführungsbeispiel zusätzlich zu den Vorteilen (1) bis (5), die zuvor beschrieben worden sind, die folgenden Vorteile.

(7) Um zu überwachen, ob die Überwachungen der Überwachungselemente, die einen Übereinstimmungsvergleich und den verhältnismäßig kurzen Berechnungszyklus erfordern, zweckmäßig durchgeführt worden sind, verwendet das Überwachungsmodul 220 den Digitalschaltungsblock 221a gemeinsam. Dies ermöglicht es, die Schaltungsabmessungen und die Herstellungskosten des Überwachungsmoduls 220 zu verringern.
(8) Bezüglich den drei Überwachungselementen, die einen Übereinstimmungsvergleich und den verhältnismäßig kurzen Berechnungszyklus erfordern, berechnet der Kommunikationsbereich 214 des Mikrocomputers 210 eine Summation der Berechnungsergebnisse, die zum Überwachen dieser Überwachungselemente verwendet worden sind. Diese Summation und ihr Erwartungswert, wobei erwartet wird, dass diese gleich der Summation ist, werden zu dem Kommunikationsbereich 222 des Überwachungsmoduls 220 übertragen. Das Überwachungsmodul 220 überwacht kollektiv, ob die Überwachungen dieser Überwachungselemente zweckmäßig durchgeführt worden sind oder nicht, durch den Übereinstimmungsvergleich zwischen der Summation und ihrem Erwartungswert. Dies ermöglicht es, die Berechnungslast und die Schaltungsabmessung des Überwachungsmoduls 220 zu verringern.
(9) Das Überwachungsmodul 220 ist mit dem Digitalschaltungsblock 221a, um einen Übereinstimmungsvergleich zwischen einem Berechnungsergebnis und seinem Erwartungswert für die Überwachungselemente durchzuführen, die einen Übereinstimmungsvergleich und den verhältnismäßig kurzen Berechnungszyklus erfordern, dem Digitalschaltungsblock 221b, um einen Übereinstimmungsvergleich zwischen einem Berechnungsergebnis und seinem Erwartungswert für das Überwachungselement durchzuführen, die einen Übereinstimmungsvergleich und den verhältnismäßig langen Berechnungszyklus erfordert, und dem Digitalschaltungsblock 221c versehen, um einen Wertvergleich zwischen einem Berechnungsergebnis und seinem Erwartungswert für das Überwachungselement durchzuführen, das einen Wertvergleich erfordert. Dies lässt ein einfaches Erfassen einer Anomalie in dem Selbstüberwachungsbereich 113 zu.

Es ist selbstverständlich, dass verschiedene Ausgestaltungen bezüglich dem zuvor beschriebenen Ausführungsbeispiel durchgeführt werden können, wie es nachstehend beschrieben wird.
Das zweite Ausführungsbeispiel kann dazu ausgelegt sein, um auf einer einzelnen Basis zu überwachen, ob das Überwachen der Überwachungselemente, die einen Übereinstimmungsvergleich und den verhältnismäßig kurzen Berechnungszyklus erfordern, zweckmäßig durchgeführt worden sind. In diesem Fall können die Berechnungsergebnisse und ihre Erwartungswerte, die für ein Überwachen dieser drei Überwachungselemente verwendet worden sind, getrennt auf eine Zeitteilweise zu dem Überwachungsmodul 220 übertragen werden.
Das zweite Ausführungsbeispiel kann dazu ausgelegt sein, einen Übereinstimmungsvergleich unter Verwendung eines gemeinsamen Digitalschaltungsblocks für die vier Überwachungselemente durchzuführen, die einen Übereinstimmungsvergleich durchführen. In diesem Fall kann, obgleich es eine Möglichkeit gibt, dass das Überwachen des Überwachungselements, das den verhältnismäßig langen Berechnungszyklus erfordert, die Überwachungen der Überwachungselemente stört, die den verhältnismäßig kurzen Berechnungszyklus erfordern, die Schaltungsabmessung des Überwachungsmoduls verringert werden.
Obgleich die Anzahl der Überwachungselemente, die von dem Selbstüberwachungsbereich 113 überwacht werden, in dem zuvor beschriebenen Ausführungsbeispiel 5 ist, können die Inhalte und die Anzahl der Überwachungselemente wie erforderlich festgelegt werden. Zum Beispiel kann der Selbstüberwachungsbereich 113 dazu ausgelegt sein, Überwachungen von lediglich den Überwachungselementen durchzuführen, welche einen Übereinstimmungsvergleich erfordern. Auch in diesem Fall ist ein frühes Erfassen einer Anomalie durch Vorsehen des Überwachungsmoduls mit einem Digitalschaltungsblock für jede Gruppe von Überwachungselementen möglich, die ungefähr die gleiche Periode des Berechnungszyklus erfordern.
Das Überwachungsmodul kann dazu ausgelegt sein, zu bewerten, dass der Kommunikationsbetrieb zwischen dem Mikrocomputer und dem Überwachungsmodul nicht zweckmäßig arbeitet, wenn der Zustand, in welchem ein Berechnungsergebnis und sein Erwartungswert nicht empfangen werden, für mehr als eine vorbestimmte Zeit fortbesteht.
Das Überwachungsmodul kann dazu ausgelegt sein, zu bewerten, dass die Überwachungsfunktion des Mikrocomputers nicht zweckmäßig arbeitet, wenn es erfasst wird, dass ein Berechnungsergebnis und sein Erwartungswert durch einen Übereinstimmungsvergleich dazwischen nicht übereinstimmen.
Der Mikrocomputer kann dazu ausgelegt sein, lediglich ein Berechnungsergebnis abhängig von dem Inhalt eines Überwachungsobjekts zu übertragen, während der Steuerbereich 112 unter Verwendung des Selbstüberwachungsbereichs 113 überwacht wird, wenn das Überwachungsmodul mit einer Einrichtung zum Speichern eines Erwartungswerts versehen ist, wobei erwartet wird, dass dieser gleich dem Berechnungsergebnis ist. In diesem Fall ist, wie es in 21 gezeigt ist, der Digitalschaltungsblock 321 mit einem Erwartungsregister 352 an Stelle des B-Registers 152 versehen, das in 13 gezeigt ist, in welchem der Erwartungswert als ein Festwert gespeichert ist. Weiterhin wird der Vergleich zwischen dem Berechnungsergebnis, das in dem A-Register 151 gespeichert ist, und dem Erwartungswert, der in dem Erwartungswertregister 352 gespeichert ist, von dem ersten Komparator 353 des Digitalschaltungsblocks 321 durchgeführt. Auch in diesem Fall ist es möglich, zu überwachen, ob der Selbstüberwachungsbereich 113, der den Steuerbereich 112 überwacht, zweckmäßig arbeitet. In diesem Fall ist es jedoch, wie es bei dem zweite Ausführungsbeispiel wahr ist, bevorzugt, ein Berechnungsergebnis derart einzustellen, dass es abhängig von dem Inhalt eines Überwachungsobjekts mit dem im Voraus gespeicherten Erwartungswert vergleichbar ist, und das eingestellte Berechnungsergebnis zu dem Überwachungsmodul zu übertragen.
Der Modulüberwachungsbereich 115 kann dazu ausgelegt sein, zu bewerten, dass das Überwachungsmodul 120 nicht zweckmäßig arbeitet, wenn der derzeitige Zählwert des Referenzzählers 126 sich nicht von dem unterscheidet, der in einer vorhergehenden Zeit aufgenommen worden ist. Alternativ kann der Modulüberwachungsbereich 115 dazu ausgelegt sein, zu bewerten, dass das Überwachungsmodul 120 nicht zweckmäßig arbeitet, wenn ein derartiger Zustand, dass der derzeitige Zählwert des Referenzzählers 126 der Gleiche wie der Zählwert des Referenzzählers 126 ist, der zu einer vorhergehenden Zeit aufgenommen worden ist, aufeinanderfolgend aufgetreten ist.
Mit der elektronischen Steuervorrichtung, die dazu ausgelegt ist, den Zählwert des Referenzzählers aufzunehmen, der den Takt aufwärts zählt, der als eine Betriebsfrequenz der Digitalschaltungsblöcke dient, die in dem Überwachungsmodul enthalten sind, und auf der Grundlage des aufgenommenen Zählwerts zu überprüfen, ob das Überwachungsmodul zweckmäßig arbeitet oder nicht, wird es möglich, die Zuverlässigkeit des Ansteuerns der Fahrzeugaktoren weiter zu verbessern. In diesem Sinn muss die elektronische Steuervorrichtung nicht notwendiger Weise gleichzeitig das Überwachen des Steuerbereichs unter Verwendung des Selbstüberwachungsbereichs davon und das Überwachen dieses Selbstüberwachungsbereichs unter Verwendung des Überwachungsmoduls durchführen.
Die elektronische Steuervorrichtung kann zum Steuern irgendeines Objekts innerhalb eines Fahrzeugs verwendet werden, wenn sich ein Berechnungsergebnis abhängig von einem Zustand einer Maschine des Fahrzeugs ändert.
Die zuvor erläuterten bevorzugten Ausführungsbeispiele sind beispielhaft für die Erfindung der vorliegenden Anmeldung, welche lediglich durch die nachstehend angehängten Ansprüche beschrieben ist. Es sollte verstanden werden, dass Ausgestaltungen der vorliegenden Ausführungsbeispiele durchgeführt werden können, wie sie einem Fachmann einfallen würden.

Claims

Elektronische Steuervorrichtung (100), die aufweist: einen Mikrocomputer (110), der aufweist eine Steuerfunktion (112) eines Steuerns eines in ein Fahrzeug eingebauten Aktors in Übereinstimmung mit einem Eingangssignal, das einen Laufzustand des Fahrzeugs anzeigt, und eine Selbstüberwachungsfunktion (113) eines Überwachens, ob die Steuerfunktion (112) zweckmäßig arbeitet oder nicht, auf der Grundlage des Eingangssignals, ein Überwachungsmodul (120), das kommunizierend mit dem Mikrocomputer (110) verbunden ist und eine Digitalschaltung (121) zum Überwachen aufweist, ob die Selbstüberwachungsfunktion (113) zweckmäßig arbeitet oder nicht, und einen Referenzzähler (126) beinhaltet, der einen Takt aufwärts zählt, der als eine Betriebsreferenz der Digitalschaltung (121) dient, wobei der Mikrocomputer (110) einen Modulüberwachungsbereich (115) mit einem Anomaliebestimmungszähler und Normalitätsbestimmungszähler beinhaltet, und der Modulüberwachungsbereich (115) dazu ausgelegt ist, einen Zählwert des Referenzzählers (126) in regelmäßigen Zeitintervallen aufzunehmen und auf der Grundlage der Änderungshöhe des derzeitigen Zählwerts und des Zählwerts, welcher zu einer vorhergehenden Zeit aufgenommen worden ist, den Anomaliebestimmungszähler und den Normalitätsbestimmungszähler einzustellen und zu bewerten, dass das Überwachungsmodul (120) nicht zweckmäßig arbeitet, wenn ein Zustand, in welchem der derzeitige Zählwert sich nicht von einem Zählwert unterscheidet, der zu einer vorhergehenden Zeit aufgenommen worden ist, für mehr als eine vorbestimmte Zeit fortbesteht.
Elektronische Steuervorrichtung (100) nach Anspruch 1, wobei der Mikrocomputer (110) dazu ausgelegt ist, während eines Überwachens der Steuerfunktion (112) unter Verwendung der Selbstüberwachungsfunktion (113) einen Datensatz, der von der Selbstüberwachungsfunktion (113) erzeugt wird, zu einem Datenmodul zu senden, wobei der Datensatz ein Berechnungsergebnis, das von einem Inhalt eines Überwachungsobjekts abhängt, und einen Erwartungswert beinhaltet, wobei es erwartet wird, dass das Berechnungsergebnis gleich diesem ist.
Elektronische Steuervorrichtung (100) nach Anspruch 2, wobei das Überwachungsmodul (120) dazu ausgelegt ist, zu bewerten, dass die Selbstüberwachungsfunktion (113) nicht zweckmäßig arbeitet, wenn ein Zustand, in welchem es eine Ungleichheit zwischen dem Berechnungsergebnis und dem Erwartungswert gibt, für mehr als eine vorbestimmte Zeit fortbesteht.
Elektronische Steuervorrichtung (100) nach Anspruch 2, wobei die Digitalschaltung (121) des Überwachungsmoduls (120) einen Komparator (153) zum Durchführen eines Vergleichs zwischen dem Berechnungsergebnis und dem Erwartungswert und einen Datenanomaliezähler (154) beinhaltet, der dazu ausgelegt ist, den Takt aufwärts zu zählen, und gelöscht zu werden, wenn es durch den Vergleich bestimmt wird, dass das Berechnungsergebnis und der Erwartungswert übereinstimmen, wobei das Überwachungsmodul (120) dazu ausgelegt ist, zu bewerten, dass die Selbstüberwachungsfunktion (113) nicht zweckmäßig arbeitet, wenn ein Zählwert des Datenanomaliezählers (154) einen vorbestimmten Wert überschreitet.
Elektronische Steuervorrichtung (100) nach Anspruch 2, wobei das Überwachungsmodul (120) dazu ausgelegt ist, zu bewerten, dass ein Kommunikationsbetrieb zwischen dem Mikrocomputer (110) und dem Überwachungsmodul (120) nicht zweckmäßig arbeitet, wenn ein Zustand, in welchem der Datensatz nicht von dem Überwachungsmodul (120) empfangen wird, für mehr als eine vorbestimmte Zeit fortbesteht.
Elektronische Steuervorrichtung (100) nach Anspruch 5, wobei die Digitalschaltung (121) des Überwachungsmoduls (120) einen Kommunikationsanomaliezähler (157) beinhaltet, der dazu ausgelegt ist, den Takt aufwärts zu zählen und gelöscht zu werden, wenn der Datensatz empfangen wird, wobei das Überwachungsmodul (120) dazu ausgelegt ist, zu bewerten, dass der Kommunikationsbetrieb zwischen dem Mikrocomputer (110) und dem Überwachungsmodul (120) nicht zweckmäßig arbeitet; wenn der Zählwert des Kommunikationsanomaliezählers (157) einen vorbestimmten Wert überschreitet.
Elektronische Steuervorrichtung (100) nach Anspruch 1, wobei die Selbstüberwachungsfunktion (113) dazu ausgelegt ist, eine Mehrzahl von Überwachungsobjekten zu überwachen, um ein zweckmäßiges Arbeiten der Steuerfunktion (112) sicherzustellen, und der Mikrocomputer (110) dazu ausgelegt ist, Datensätze, die von der Selbstüberwachungsfunktion (113) erzeugt werden, zusammen mit Identifizierern, die anzeigen, zu welchen der Überwachungsobjekte sich jeder der Datensätze bezieht, zu dem Überwachungsmodul (120) zu übertragen, wobei jeder der Datensätze ein Berechnungsergebnis, das von einem Inhalt von einem der Überwachungsobjekte abhängt, und einen Erwartungswert beinhaltet, wobei erwartet wird; dass dieser gleich dem Berechnungsergebnis ist, wobei die Digitalschaltung (121) des Überwachungsmoduls (120) eine Mehrzahl von Digitalschaltungsblöcken (121a–121e), die der Mehrzahl der Überwachungsobjekte entspricht, und einen Blockauswahlbereich (123) beinhaltet, wobei jeder der Digitalschaltungsblöcke (121a–121e) einen Komparator (153) zum Durchführen eines Vergleichs zwischen dem Berechnungsergebnis und dem Erwartungswert aufweist, wobei der Blockauswahlbereich (123) dazu ausgelegt ist, auf der Grundlage der Identifizierer einen der Mehrzahl der Digitalschaltungsblöcke (121a–121e) auszuwählen, zu welchem einer der entsprechenden Datensätze hinzugefügt werden sollte.
Elektronische Steuervorrichtung (100) nach Anspruch 7, wobei die Digitalschaltung (121) des Überwachungsmoduls (120) einen ersten Digitalschaltungsblock (121a), der einen Komparator (153) zum Durchführen eines Übereinstimmungsvergleichs zwischen dem Berechnungsergebnis und dem Erwartungswert aufweist, und einen zweiten Digitalschaltungsblock (121b) beinhaltet, der einen Komparator (153) zum Durchführen eines Wertvergleichs zwischen dem Berechnungsergebnis und dem Erwartungswert aufweist.
Elektronische Steuervorrichtung (100) nach Anspruch 1, wobei die Selbstüberwachungsfunktion (113) dazu ausgelegt ist, eine Mehrzahl von Überwachungsobjekten zu überwachen, um ein zweckmäßiges Arbeiten der Steuerfunktion (112) sicherzustellen, und der Mikrocomputer (110) dazu ausgelegt ist, Datensätze, die von der Selbstüberwachungsfunktion (113) erzeugt werden, zusammen mit Identifizierern, die anzeigen, welchen eines Übereinstimmungsvergleichs und eines Wertvergleichs jeder der Datensätze erfordert, zu dem Überwachungsmodul (120) zu senden, wobei jeder der Datensätze ein Vergleichsergebnis, das von einem Inhalt von einem der Überwachungsobjekte abhängt, und einen Erwartungswert beinhaltet, wobei erwartet wird, dass dieser gleich dem Berechnungsergebnis wird, und wobei die Digitalschaltung (121) des Überwachungsmoduls (120) einen ersten Digitalschaltungsblock (121a), der einen Komparator (153) zum Durchführen eines Übereinstimmungsvergleichs zwischen dem Berechnungsergebnis und dem Erwartungswert aufweist, und einen zweiten Digitalschaltungsblock (121b) beinhaltet, der einen Komparator (153) zum Durchführen eines Wertvergleichs zwischen dem Berechnungsergebnis und dem Erwartungswert aufweist, wobei das Überwachungsmodul (120) dazu ausgelegt ist, Überwachungen der Überwachungsobjekte, die den einen des Übereinstimmungsvergleichs und des Wertvergleichs erfordern, unter Verwendung von einem entsprechenden des ersten Digitalschaltungsblocks (121a) und des zweiten Digitalschaltungsblocks (121b) zusammen durchzuführen.
Elektronische Steuervorrichtung (100) nach Anspruch 9, wobei der Mikrocomputer (110) dazu ausgelegt ist, eine Summation von Berechnungsergebnissen zu berechnen, die von Inhalten der Überwachungsobjekte abhängen, die einen Übereinstimmungsvergleich erfordern, und die Summation und einen Erwartungswert, wobei erwartet wird, dass dieser gleich der Summation ist, als Datensatz zu dem Überwachungsmodul (120) zu senden, und wobei das Überwachungsmodul (120) dazu ausgelegt ist, Kollektivüberwachungen der Überwachungsobjekte, die einen Übereinstimmungsvergleich erfordern, durch einen Übereinstimmungsvergleich unter Verwendung des ersten Digitalschaltungsblocks (121a) durchzuführen.
Elektronische Steuervorrichtung (100) nach Anspruch 7, wobei die Mehrzahl der Überwachungsobjekte, die durch die Selbstüberwachungsfunktion (113) zu überwachen ist, mindestens zwei einer Zweckmäßigkeit eines Steuerprogramms, das in einem ROM gespeichert ist, der in einem Mikrocomputer (110) enthalten ist und von der Steuerfunktion (112) ausgeführt wird, eine Zweckmäßigkeit von Daten, die in einem Daten-RAM gespeichert sind, der in dem Mikrocomputer (110) enthalten ist, als ein Berechnungsergebnis, das von der Steuerfunktion (112) erzeugt wird, eine Zweckmäßigkeit eines berechneten Werts von festen Simulationsdaten, die von der Steuerfunktion (112) erzeugt werden, eine Zweckmäßigkeit einer Ausführungsreihenfolge von Funktionen, die von der Steuerfunktion (112) aufgerufen werden, und eine Zweckmäßigkeit eines berechneten Werts des Eingangssignals beinhalten, das von der Steuerfunktion (112) erzeugt wird.
Elektronische Steuervorrichtung (100) nach Anspruch 1, wobei die Selbstüberwachungsfunktion (113) dazu ausgelegt ist, eine Mehrzahl von Überwachungsobjekten zu überwachen, um ein zweckmäßiges Arbeiten der Steuerfunktion (112) sicherzustellen, und der Mikrocomputer (210) dazu ausgelegt ist, Datensätze, die von der Selbstüberwachungsfunktion (113) erzeugt werden, zusammen mit den Identifizierern, die anzeigen, welchen eines verhältnismäßig kurzen Berechnungszyklus und eines verhältnismäßig langen Berechnungszyklus jeder der Datensätze erfordert, zu dem Überwachungsmodul (220) zu senden, wobei jeder der Datensätze ein Berechnungsergebnis, das von einem Inhalt von einem der Überwachungsobjekte abhängt, und einen Erwartungswert beinhaltet, wobei erwartet wird, dass dieser gleich dem Berechnungsergebnis ist, wobei die Digitalschaltung (221) des Überwachungsmoduls (220) einen schnellen Digitalschaltungsblock (221a), der einen Komparator (153) zum Durchführen eines Übereinstimmungsvergleichs zwischen dem Berechnungsergebnis und dem Erwartungswert in dem verhältnismäßig kurzen Berechnungszyklus aufweist, und einen langsamen Digitalschaltungsblock (221b) beinhaltet, der einen Komparator (153) zum Durchführen eines Übereinstimmungsvergleichs zwischen dem Berechnungsergebnis und dem Erwartungswert in dem verhältnismäßig langen Berechnungszyklus aufweist, wobei das Überwachungsmodul (220) dazu ausgelegt ist, Überwachungen der Überwachungsobjekte, die den gleichen des verhältnismäßig kurzen Berechnungszyklus und des verhältnismäßig langen Berechnungszyklus erfordern, unter Verwendung eines entsprechenden des schnellen Digitalschaltungsblocks (221a) und des langsamen Digitalschaltungsblocks (221b) zusammen durchzuführen.
Elektronische Steuervorrichtung (100) nach Anspruch 12, wobei der Mikrocomputer (210) dazu ausgelegt ist, eine Summation von Berechnungsergebnissen zu berechnen, die von Inhalten der Überwachungsobjekte abhängen, die einen verhältnismäßig kurzen Berechnungszyklus erfordern, und die Summation und einen Erwartungswert, wobei erwartet wird, dass dieser gleich der Summation ist, als einen Datensatz zu dem Überwachungsmodul (220) zu senden, und wobei das Überwachungsmodul (220) dazu ausgelegt ist, Kollektivüberwachungen der Überwachungsobjekte, die den verhältnismäßig kurzen Berechnungszyklus erfordern, durch einen Übereinstimmungsvergleich unter Verwendung des schnellen Digitalschaltungsblocks (221a) durchzuführen.
Elektronische Steuervorrichtung (100) nach Anspruch 12, wobei die Mehrzahl der Überwachungsobjekte, die von der Selbstüberwachungsfunktion (113) zu überwachen sind, mindestens zwei einer Zweckmäßigkeit eines Steuerprogramms, das in einem ROM gespeichert ist, das in dem Mikrocomputer (210) enthalten ist und von der Steuerfunktion (112) ausgeführt wird, eine Zweckmäßigkeit von Daten, die in einem Daten-RAM enthalten sind, die in dem Mikrocomputer (210) als ein Berechnungsergebnis enthalten sind, das von der Steuerfunktion (112) erzeugt wird, eine Zweckmäßigkeit eines berechneten Werts von festen Simulationsdaten, die von der Steuerfunktion (112) erzeugt werden, eine Zweckmäßigkeit einer Aufrufreihenfolge von Funktionen, die von der Steuerfunktion (112) aufgerufen werden, und eine Zweckmäßigkeit eines berechneten Werts des Eingangssignals beinhalten, das von der Steuerfunktion (112) erzeugt wird.
Elektronische Steuervorrichtung (100) nach Anspruch 1, wobei der Aktor ein Elektromotor zum Öffnen und Schließen eines Drosselventils ist und die elektronische Steuervorrichtung (100) weiterhin eine Ansteuerschaltung, die den Motor auf der Grundlage einer Ansteueranweisung ansteuert, die aus dem Steuerbereich ausgegeben wird, und eine Einrichtung zum Unterbrechen einer Energieversorgung zu dem Elektromotor aufweist, wenn es bestimmt wird, dass es eine Anomalie in mindestens einem der Selbstüberwachungsfunktion (113) und des Überwachungsmoduls (120) gibt.