DE102006051909A1

DE102006051909A1 - Electronic motor vehicle control device for use in e.g. electrical brake system, has additional control circuit provided for restarting microprocessor, when error occurs in device, where error results in failure of microprocessor

Info

Publication number: DE102006051909A1
Application number: DE102006051909A
Authority: DE
Inventors: Wolfgang Fey; Mario Engelmann; Micha Heinz; Frank Michel
Original assignee: Continental Teves AG and Co OHG
Current assignee: Continental Automotive Technologies GmbH
Priority date: 2005-11-02
Filing date: 2006-10-31
Publication date: 2007-07-12

Abstract

The device has a microprocessor (1) for performing a brake controlling function. An error monitoring circuit checks whether the microprocessor operates in an error-free manner. A power supply (2) supplies the operating voltage for the microprocessor. An additional control circuit is provided for restarting the microprocessor, when an error occurs in the device. The error results in a failure of the microprocessor.

Description

Die Erfindung betrifft ein elektronisches Kraftfahrzeugsteuergerät gemäß Anspruch 1 und dessen Verwendung.The The invention relates to an electronic vehicle control unit according to claim 1 and its use.

Kraftfahrzeugbremsensteuergeräte mit ABS, ESP etc., die als Kernstück der Elektronik einen fehlerabgesicherten Mikrocontroller (z.B. in zweikerniger Mikroprozessortechnik aufgebaut) und einen integrierten Gemischtsignalschaltkreis umfassen, sind an sich bekannt. Die Trennung des mit dem Mikroprozessorsystem ausgestatteten Mikrocontroller und des Gemischtsignalchips ist erforderlich, um Leistungstreiber zur Ansteuerung beispielsweise der Ventilspulen eines ABS-Systems bei der eingesetzten Halbleitertechnologie ebenfalls in integrierten Bauweise herstellen zu können.Motor vehicle brake control units with ABS, ESP etc., as the centerpiece the electronics have a fail-safe microcontroller (e.g. binuclear microprocessor technology) and an integrated Mixed signal circuit include, are known per se. The separation of the microcontroller equipped with the microprocessor system and the mixed signal chip is required to power drivers For controlling, for example, the valve coils of an ABS system in the used Semiconductor technology also in integrated construction to be able to.

Innerhalb des Gemischtsignalschalkreises ist neben den Leistungstreibern auch die Spannungsversorgung sowie die Fehlerüberwachung (watch dog) für den Mikroprozessor integriert. Weiterhin sind verschiedene Logikelemente darin enthalten, welche die Zustände der Steuerleitungen, wie z.B. die Leitung "Zündung" zum Anschalten des Steuergeräts überwachen. Diese Logikelemente umfassen ferner eine Weckschaltung, die das Steuergerät im Falle einer Aktivität auf dem CAN-Bus des Fahrzeugs aktiviert.Within the mixed signal circuit is in addition to the power drivers as well the power supply as well as the error monitoring (watch dog) for the microprocessor integrated. Furthermore, various logic elements are included therein, which the states the control lines, such as monitor the "Ignition" wire to turn on the controller. These logic elements further comprise a wake-up circuit, which the control unit in the case of an activity activated on the CAN bus of the vehicle.

Es besteht nun in den Kraftfahrzeugsteuergeräten der oben beschriebenen Gattung das Problem, dass darin Fehlerzustände auftreten können, die zwar ein Abtrennen des Steuergeräts von sicherheitskritischen Teilen der Peripherie (z.B. ABS-Ventilspulentreiber) im Sinne einer Stilllegung bewirken, aber dennoch der Mikrocontroller selbst auf Grund eines darin aufgetretenen Fehlers das Abschalten der Zündung (IGN-Leitung auf "Low"-Pegel) nicht mehr erkennt. Für einen Neustart (Reset) des Mikrocontrollers ist dann ein Trennen des Steuergeräts von der Stromversorgung bzw. der Fahrzeugbatterie notwendig.It now exists in the motor vehicle control units of the type described above Genus the problem that it can occur fault conditions, the Although a disconnection of the controller safety-critical parts of the periphery (for example ABS solenoid driver) in the sense of a shutdown effect, but still the microcontroller even switching off due to an error occurred the ignition (IGN line to "low" level) no longer recognizes. For one Restart (reset) of the microcontroller is then disconnecting the controller from the power supply or the vehicle battery necessary.

Die Aufgabe der vorliegenden Erfindung besteht nun darin, ein elektronisches Steuergerät mit einer Schaltungsanordnung anzugeben, welches eine verbesserte Fehlerbehandlungsschaltung aufweist und insbesondere dahingehend verbessert ist, dass nach einem internen Fehler des Mikrocontrollers oder Mikroprozessors in allen Fällen ein Betätigen der Zündung ("Aus" und wieder "An") zum Reaktivieren des Mikroprozessors und damit des Steuergerätes ausreicht.The Object of the present invention is now an electronic control unit specify with a circuit arrangement which has an improved Has error handling circuit and in particular to the effect that is improved after an internal error of the microcontroller or Microprocessors in all cases pressing the ignition ("Off" and again "on") to reactivate the microprocessor and thus the controller is sufficient.

Diese Aufgabe wird erfindungsgemäß gelöst durch das elektronische Kraftfahrzeugsteuergerät gemäß Anspruch 1.These The object is achieved by the electronic vehicle control unit according to claim 1.

Weitere bevorzugte Ausführungsformen ergeben sich aus den Unteransprüchen und der nachfolgenden Beschreibung.Further preferred embodiments emerge from the dependent claims and the description below.

Die Erfindung wird nun an Hand von 1 näher erläutert.The invention will now be apparent from 1 explained in more detail.

In der schematischen Darstellung der Schaltungsanordnung in 1 sind lediglich die zur Erläuterung der vorliegenden Erfindung notwendigen Schaltungsteile vereinfacht dargestellt. Im dargestellten Beispiel ist Mikroprozessorsystem 1 auf einem ersten IC bzw. Chip 6 angeordnet. Der überwiegende Teil der Ansteuerlogik und der zur Überwachung des Mikroprozessorsystems notwendigen Schaltungselemente in einem separaten Gemischtsignal-IC 7 gemeinsam mit u.a. Leistungstreibern für die Peripherie (zum Beispiel für ABS-Ventilspulen oder auch Airbag-Zündeinrichtungen) angeordnet.In the schematic representation of the circuit arrangement in 1 only the circuit parts necessary to explain the present invention are shown simplified. In the example shown is microprocessor system 1 on a first IC or chip 6 arranged. The majority of the drive logic and necessary for monitoring the microprocessor system circuit elements in a separate mixed signal IC 7 together with, among other things power drivers for the periphery (for example, for ABS valve coils or airbag ignition devices) arranged.

Gemäß einem weiteren, nicht dargestellten Beispiel ist vorgesehen, die Schaltungsteile von Chip 6 und Chip 7 auf einem gemeinsamen Chip oder in einem gemeinsamen integrierten elektronischen Bauelement zu vereinen.According to another, not shown example is provided, the circuit parts of chip 6 and chip 7 on a common chip or in a common integrated electronic device.

Das Mikroprozessorsystem 1 in IC bzw. Chip 6 wird gestartet, sobald ein „High"-Pegel auf der IGN-Leitung 8 (Zündung) des Fahrzeugs erkannt wird. Das Gemischtsignal-IC 7 startet die Stromversorgung 2 für das Mikroprozessorsystem 1 und setzt Resetleitung 9 auf einen Pegel, der dazu führt, dass Mikroprozessorsystem 1 läuft. Nach dem Start von Mikroprozessorsystem 1 wird über Bus 10 ein Nachlaufbit in Speicher 11 von IC 7 gesetzt, welches ein Abschalten der Versorgungsspannung bei einem "Low"-Pegel auf Leitung 8 (IGN) über ODER-Glied 12 verhindert. Hierdurch hat Mikroprozessorsystem 1 vollständig die Kontrolle über das Abschalten der Stromversorgung 2. Signale auf der IGN-Leitung 8 werden allerdings noch von Mikroprozessorsystem 1 ausgewertet, haben jedoch keinen direkten Einfluss mehr auf das Verhalten von Spannungsregler 2. Mikroprozessorsystem 1 kann erst dann wieder ausgeschaltet werden, wenn das Signal auf Leitung 8 einen „Low"-Pegel aufweist und der Mikroprozessor das entsprechende Nachlaufbit in Speicher 11 löscht.The microprocessor system 1 in IC or chip 6 is started as soon as a "high" level on the IGN line 8th (Ignition) of the vehicle is detected. The mixed signal IC 7 starts the power supply 2 for the microprocessor system 1 and puts reset line 9 to a level that causes that microprocessor system 1 running. After the start of microprocessor system 1 is via bus 10 a tracking bit in memory 11 from IC 7 which switches off the supply voltage at a "low" level on line 8th (IGN) via OR gate 12 prevented. This has microprocessor system 1 completely in control of switching off the power supply 2 , Signals on the IGN line 8th However, they are still of microprocessor system 1 evaluated, but have no direct influence on the behavior of voltage regulator 2 , microprocessor system 1 can only be switched off again when the signal is on line 8th has a "low" level and the microprocessor has the corresponding tracking bit in memory 11 extinguished.

Speicher 11 ist vorzugsweise ein einfaches Flip-Flop. Je nach dem Zustand des Flip-Flops (gesetzt oder nicht gesetzt) wird ein logischer "high" oder "low" Pegel am Ausgang des Flip-Flops ausgegeben. Entsprechendes gilt auch für die weiter unten erwähnten Speicher 14, 21 und 22.Storage 11 is preferably a simple flip-flop. Depending on the state of the flip-flop (set or not set), a logic "high" or "low" level is output at the output of the flip-flop. The same applies to the memory mentioned below 14 . 21 and 22 ,

In Chip 7 ist außerdem eine Aufweckeinrichtung, symbolisiert durch die Flip-Flops 21, 14, vorhanden, welche zum Anschalten von Stromversorgung 2 unter bestimmten Bedingungen auch ohne ein IGN-Signal an Leitung 8 führt. Geeignete Bedingungen sind z.B. ein IGN-Impuls mit einer bestimmten Mindestlänge auf der IGN-Leitung 8, welche zu einem Setzen von Speicher 21 führt, oder eine erkannte Aktivität auf dem CAN-Bus, welche zum Setzen von Speicher 14 führt. Die Leitungen 8, 15 und 16, die den Zustand "High" oder "Low" annehmen können, führen zu ODER-Glied 17.In chip 7 is also a waking device, symbolized by the flip-flops 21 . 14 , available, which for turning on power 2 under certain conditions without an IGN signal on line 8th leads. Suitable condition Examples are an IGN pulse with a certain minimum length on the IGN line 8th which leads to a setting of memory 21 leads, or a detected activity on the CAN bus, which is used to set memory 14 leads. The wires 8th . 15 and 16 , which can assume the state "High" or "Low" lead to OR gate 17 ,

Die korrekte Funktion von Mikroprozessorsystem 1 wird kontinuierlich durch eine in Chip 7 angeordnete Fehlerüberwachungsschaltung 3 überwacht. Dabei erfolgt die Kommunikation zwischen Chip 6 und 7 über Leitungen ERR und ERR N sowie Bus 10. Nach der Initialisierungsphase des Mikroprozessorsystems 1 sendet dieses zur Fehlererkennung kontinuierlich ein vordefiniertes Signal-Muster über Leitungen ERR und ERR N an Überwachungsschaltung 3. Wird dieses Muster als korrekt erkannt, setzt Schaltung 3 ein entsprechendes Statusbit (IWD) auf "High". Im Fehlerfall wird dieses Statusbit auf „Low" gesetzt, wodurch ein Fehler erkennbar wird.The correct function of microprocessor system 1 is continuously through a chip 7 arranged fault monitoring circuit 3 supervised. The communication between the chip takes place 6 and 7 via lines ERR and ERR N and bus 10 , After the initialization phase of the microprocessor system 1 sends this error detection continuously a predefined signal pattern via lines ERR and ERR N monitoring circuit 3 , If this pattern is recognized as correct, circuit sets 3 a corresponding status bit (IWD) to "High". In the event of an error, this status bit is set to "Low", as a result of which an error becomes recognizable.

Fällt der Mikroprozessor durch einen Fehler aus, so bewirkt Fehlerüberwachungsschaltung 3 ein Abschalten zumindest der sicherheitskritischen Peripherie, zum Beispiel in dem die ABS-Ventilspulentreiber von der Spannungsversorgung abgetrennt werden. Ohne Zeitglied 5 und die zusätzlich eingeführten Steuerelemente kann Mikroprozessorsystem 1 Speicher 11 nicht mehr löschen. Eine Betätigung der Zündung ("Low"-Pegel auf Leitung 8) zeigt deshalb keine Wirkung, da an dem. zu Speicher 12 führenden Eingang von ODER-Glied 12 nach wie vor ein „High"-Pegel anliegt. Ein vollständiges Herunterfahren des Mikrocontrollers 1 kann in diesem Fall nur durch das vorübergehende Abtrennen der Batterie (permanente Spannungsversorgung des Reglers) veranlasst werden.If the microprocessor fails due to an error, error monitoring circuit causes 3 a shutdown of at least the safety-critical peripherals, for example, in which the ABS valve coil drivers are disconnected from the power supply. Without timer 5 and the additionally introduced controls can be microprocessor system 1 Storage 11 do not delete it. An actuation of the ignition ("low" level on line 8th ) therefore shows no effect because of the. to memory 12 leading input from OR gate 12 is still a "high" level, a complete shutdown of the microcontroller 1 In this case, it can only be initiated by temporarily disconnecting the battery (permanent supply to the regulator).

Um dieses Problem zu beseitigen, besitzt Speicher 11 einen zusätzlichen Rücksetzeingang 20, mit dem Speicher 11 gelöscht werden kann. Wie gesagt, ist der Ausgang von Speicher 11 mit einem Schalteingang von Stromversorgung 2 verbunden. Einem weiteren Eingang von ODER-Glied 12 ist IGN-Leitung 8 zugeführt (in diesem Fall über ein weiteres ODER-Glied 17). Wird Mikroprozessorsystem 1 über IGN-Leitung 8 gestartet und hat das Mikrokoprozessorsystem gleich zu Anfang, bevor das System initialisiert wird, ein fehlerhaftes Verhalten, fährt das System bei Wegnahme des "High"-Pegels auf Leitung 8 ordnungsgemäß herunter, da das sogenannte Nachlaufbit in Speicher 11 mangels Initialisierung nicht gesetzt ist.To eliminate this problem, has memory 11 an additional reset input 20 , with the memory 11 can be deleted. As I said, the output is from memory 11 with a switching input of power supply 2 connected. Another input from OR gate 12 is IGN line 8th supplied (in this case via another OR gate 17 ). Will microprocessor system 1 via IGN line 8th has started and the micro-coprocessor system has an erroneous behavior right at the beginning, before the system is initialized, the system goes to line when the "high" level is removed 8th down properly because the so-called tracking bit in memory 11 for lack of initialization is not set.

Wird Mikroprozessorsystem 1 allerdings über Aufweckeinrichtung 21, 14 gestartet, bleibt dieses bei Erkennung eines Fehlers durch Watchdog 3 angeschaltet und kann, wie weiter oben erwähnt, nur noch durch kurzzeitiges Abtrennen der Batterie neu gestartet werden.Will microprocessor system 1 however, about awakening device 21 . 14 started, this remains when a fault is detected by watchdog 3 turned on and can, as mentioned above, be restarted only by briefly disconnecting the battery.

Gegenüber dem Stand der Technik ist die vorstehend beschrie bene Schaltung durch einen zusätzlichen Kontrollschaltkreis 4, 5 erweitert, welcher bei einem auftretenden Mikroprozessorfehler einen Neustart des Mikroprozessorsystems 1 ermöglicht. Dies wird vorzugsweise durch eine Implementierung eines oder mehrerer zumindest auf Speicher 11 einwirkender Zeitglieder 5 erreicht. Hierdurch ergibt sich der Vorteil, dass ein Neustart des Mikroprozessors 1 in allen Fehlerfällen ohne die Unterbrechung der Spannungsversorgung durchgeführt werden kann.Compared to the prior art, the above-described bene circuit by an additional control circuit 4 . 5 extended, which in case of a microprocessor error occurring a restart of the microprocessor system 1 allows. This is preferably done by implementing one or more at least memory 11 acting timers 5 reached. This has the advantage that a restart of the microprocessor 1 can be performed in all cases without the interruption of the power supply.

Bevorzugt ist Zeitglied 5 so ausgeführt und mit Speicher 11 verschaltet, dass nach Ablauf des Zeitglieds 5 Speicher 11 in einen Zustand zurückgesetzt wird, der ein Abschalten der Spannungsversorgung 2 ermöglicht. Mit anderen Worten wird nach Ablauf des Zeitglieds Speicher 11 zurückgesetzt. Das Zeitglied besitzt bevorzugt eine Laufzeit von mehr als 0,5 s, insbesondere mehr als 1 s. Das Zeitglied besitzt ausgangsseitig außerdem bevorzugt einen oder mehrere weitere entsprechend rücksetzende Steuerleitungen 20', 20'', die auf Eingänge der Abschaltlogik wirken, die im bestehenden System ein Abschalten des Systems verhindern, wie zum Beispiel die weiter oben erwähnten Eingänge 21 und 14.Preferred is timer 5 so executed and with memory 11 switched that after expiration of the timer 5 Storage 11 is reset to a state of turning off the power supply 2 allows. In other words, after expiration of the timer memory 11 reset. The timer preferably has a transit time of more than 0.5 s, in particular more than 1 s. The timer also has on the output side preferably one or more further correspondingly resetting control lines 20 ' . 20 '' that act on inputs to the shutdown logic that prevent the system from shutting down the system, such as the inputs mentioned earlier 21 and 14 ,

Es ist außerdem bevorzugt, dass das Mikroprozessorsystem eine Logik oder ein Programm umfasst, mit dem zum Beispiel über SPI-Bus 10 das Zeitglied 5 gestoppt und/oder zurückgesetzt werden kann. Das Rücksetzen des Zeitglieds kann prinzipiell auch über eine separate, in 1 nicht dargestellte Steuerleitung erfolgen. Zeitglied 5 ist zweckmäßigerweise so ausgelegt, dass das Mikroprozessorsystem das Zeitglied im zurückgesetzten Zustand festhalten kann.It is also preferred that the microprocessor system comprise a logic or program, such as via SPI bus 10 the timer 5 stopped and / or can be reset. The resetting of the timer can in principle also have a separate, in 1 not shown control line done. timer 5 is suitably designed so that the microprocessor system can hold the timer in the reset state.

Über ODER-Glied 4 ist bevorzugt vorgesehen, dass Zeitglied 5 im zurückgesetzten Zustand so lange verbleibt, wie die Überwachungsschaltung 3 keinen Fehler des Mikroprozessorsystems detektiert.Via OR gate 4 is preferably provided that timer 5 remains in the reset state as long as the monitoring circuit 3 detected no error of the microprocessor system.

Gemäß einer bevorzugten Ausführungsform der Schaltung ist vorgesehen, dass im Fall, wenn die Überwachungsschaltung 3 eine Überspannung erkennt, das Zeitglied 5 ebenfalls so lange im zurückgesetzten Zustand verbleibt, bis die Überspannungsbedingung nicht mehr vorliegt.According to a preferred embodiment of the circuit it is provided that in the case when the monitoring circuit 3 detects an overvoltage, the timer 5 also remains in the reset state until the overvoltage condition is no longer present.

Während des Betriebs der zuvor beschriebenen Schaltung besteht die Möglichkeit, das Mikroprozessorsystem über einen „High"-Pegel an einem der Eingänge 8, 15, 16 zu aktivieren, wobei diese Eingänge gemeinsam zu einem ODER-Glied 17 führen. Unmittelbar nach der Aktivierung beginnt Zeitglieds 5 zu laufen. Während der Initialisierungsphase des Mikroprozessorsystems 1 wird während der Laufzeit des Zeitglieds Fehlerüberwachungsschaltung 3 in den Zustand "Prozessor in Ordnung" gesetzt, wodurch das Zeitglied über Leitung 18 und 19 zurückgesetzt wird. Tritt innerhalb des Mikroprozessors während des Anlaufens ein Fehler auf, setzt Zeitglied 5 zumindest Speicher 11 zurück und das Mikroprozessorsystem kann im Falle eines "Low"-Pegels auf Leitung 8 (Zündung "aus") abgeschaltet werden.During operation of the circuit described above, it is possible for the microprocessor system to have a "high" level at one of the inputs 8th . 15 . 16 to activate, these inputs together to an OR gate 17 to lead. Immediately after activation timer starts 5 to run. During the initialization phase of the microprocessor system 1 will be during the term of the timer fault monitoring circuit 3 put into the state "processor okay", causing the timer via line 18 and 19 is reset. If an error occurs within the microprocessor during startup, timer sets 5 at least memory 11 back and the microprocessor system can in case of a "low" level on line 8th (Ignition "off") are switched off.

Erkennt Schaltung 3 innerhalb des normalen Betriebs einen Fehler des Mikroprozessors, bewirkt Fehlererüberwachungsschaltung 3, dass das Mikroprozessorsystem nach Ablauf des Zeitglieds abgeschaltet wird, sofern IGN-Leitung 8 auf einem „Low"-Pegel liegt. Diese Zeit kann zweckmäßigerweise von Mikroprozessor 1 genutzt werden, um Fehlerinformationen in einem nicht dargestellten Fehlerspeicher zu speichern. Liegt IGN-Leitung 8 auf einem „High"-Pegel, so wird erst dann abgeschaltet, wenn IGN-Leitung 8 auf einen "Low"-Pegel wechselt.Detects circuit 3 an error of the microprocessor within normal operation causes fault monitoring circuit 3 in that the microprocessor system is switched off after the expiration of the timer, provided IGN line 8th is at a "low" level .This time may conveniently be by microprocessor 1 be used to store error information in a fault memory, not shown. Is IGN line 8th at a "high" level, so will only be turned off when IGN line 8th changes to a "low" level.

Gemäß einer bevorzugten Ausführungsform des weiter oben beschriebenen elektronischen Steuergeräts ist ein weiterer Speicher 22 vorhanden, welcher über SPI-Bus ausgelesen und gelöscht werden kann. Das Setzen von Speicher 22 erfolgt genau dann, wenn Zeitglied 5 abgelaufen ist. Speicher 22 ist mit der Batterie (Klemme 30) permanent verbunden, so dass dessen Speicherinhalt auch nach dem Wiederanschalten der Zündung ausgelesen werden kann. Auf diese Weise ist es möglich, dass in der Software des Mikrocontrollers 1 nach einem Neustart der u.a. durch Zeitglied 5 behobene Problemfall erkannt und ggf. archiviert werden kann. Es ist außerdem möglich und bevorzugt, dass bei einer Häufung dieses speziellen Fehlers das Steuergerät dauerhaft stillgelegt wird.According to a preferred embodiment of the electronic control device described above is another memory 22 available, which can be read and deleted via SPI bus. The setting of memory 22 happens exactly when timer 5 has expired. Storage 22 is with the battery (clamp 30 ) permanently connected, so that its memory contents can be read even after restarting the ignition. In this way it is possible that in the software of the microcontroller 1 after a restart of the ua by timer 5 fixed problem case can be detected and possibly archived. It is also possible and preferred that in an accumulation of this particular error, the control unit is permanently shut down.

Claims

Electronic motor vehicle control unit with at least one microprocessor system ( 1 ), which is provided at least for carrying out motor vehicle control and / or regulating tasks, in particular for brake control functions, comprising a power supply part ( 2 ), which supplies the operating voltage of the microprocessor system, an activation circuit, which acts on the power supply part and activates or deactivates, wherein the microprocessor system of at least one error monitoring circuit ( 3 ) is checked to see if the microprocessor system is operating correctly, and the microprocessor system shuts off in a detected by this error by appropriately acting on the activation circuit, characterized in that an additional control circuit ( 4 . 5 ) is provided, which can cause a restart of the microprocessor system in an occurring error in the motor vehicle control unit, which entails a microprocessor failure.

Control device according to claim 1, characterized in that the additional control circuit at least one timer ( 5 ), which after expiration of a predetermined time one or more reset signals ( 20 ).

Control device according to claim 1 or 2, characterized in that this a flip-flop or memory ( 11 ), whose state determines whether the power supply can be switched off, and in particular can be set and cleared by the microprocessor system.

Control device according to claim 3, characterized in that flip-flop or memory ( 11 ) by means of a reset signal ( 20 ) of timer ( 5 ) can be deleted.

Control unit according to at least one of Claims 1 to 4, characterized in that the timer ( 5 ) from the error monitoring circuit ( 3 ) and / or can be controlled by the microprocessor system.

Control unit according to at least one of claims 1 to 5, characterized in that at least one, in particular two flip-flops or memory ( 21 . 14 ), which depending on whether the respective memory is set or not, one or two logical / s signal / e to the input of an OR gate ( 17 ) passes on or pass on.

Control device according to Claim 6, characterized in that the memory or memories ( 21 . 14 ) by expiration of timer ( 5 ) by means of reset signal ( 20 ) can / can be deleted.

Control device according to Claim 6 or 7, characterized in that the output of the OR gate ( 17 ) next to the output of the flip-flop or memory ( 13 ) a further OR element ( 12 ) are supplied on the input side, wherein the output of the voltage supply part ( 2 ) controls.

Control unit according to at least one of claims 1 to 8, characterized in that the circuit parts with the microprocessor system on a first microcontroller chip ( 6 ) and power drivers together with their control logic and the error monitoring circuit ( 3 ) and the control circuit ( 4 . 5 ) on a second mixed signal chip ( 7 ) or that the said circuit parts are combined on a common chip or in a common integrated electronic component.

Use of the motor vehicle control unit according to at least one of claims 1 to 9 in electronic brake systems or motor vehicle safety systems.