DE10392916T5

DE10392916T5 - Selbsttestsystem

Info

Publication number: DE10392916T5
Application number: DE10392916T
Authority: DE
Inventors: Peter John Miller; Andrew Charles Osborne Smith; Michael John Lindsey
Original assignee: Ricardo UK Ltd
Current assignee: Ricardo UK Ltd
Priority date: 2002-07-18
Filing date: 2003-07-18
Publication date: 2005-08-18
Also published as: GB0503432D0; GB2407442B; US20060150016A1; AU2003281577A1; GB0216742D0; GB2407442A; WO2004010299A2; US20080263409A1; US7707458B2; AU2003281577A8; WO2004010299A3

Abstract

Elektronisches System mit mehreren Fehlerüberwachungssystemen, von denen jedes ausgebildet ist zur Ausgabe eines Fehlersignales, wenn ein Eingang anzeigt, dass das elektronische System sich in einem Fehlerzustand in Verbindung mit dem Fehlerüberwachungssystem befindet, wobei:
die Fehlerüberwachungssysteme kaskadenartig derart angeordnet sind, dass ein Fehlersignalausgang eines Fehlerüberwachungssystemes als Eingang eines nachfolgenden Fehlerüberwachungssystemes in der Kaskade von Fehlerüberwachungssystemen dient, um einen Fehlerzustand in Zusammenhang mit dem nachfolgenden Fehlerüberwachungssystem zu simulieren.

Description

Die Erfindung betrifft ein Selbsttestverfahren und eine Vorrichtung mit Selbsttesteigenschaften zur Verwendung bei Steuersystemen, insbesondere, aber nicht ausschließlich zur Verwendung in Fahrzeugen.
Elektronische Systeme, die in Systemen verwendet werden, bei denen Fehler ernste Konsequenzen haben können, benötigen verschiedene Fehlerüberwachungssysteme, um sicherzustellen, dass solche Fehler erkannt und geeignete Korrekturmaßnahmen ergriffen werden. Viele solche Fehlerüberwachungssysteme sind bekannt (beispielsweise kann ein Komparator verwendet werden, um die Versorgungsspannung mit einer festen Referenzspannung zu vergleichen und um einen Fehler zu erzeugen, wann immer die Versorgungsspannung unter (oder über) der Referenzspannung liegt). Da Fehler seltene Ereignisse sind, ist es möglich, dass Fehler in den Fehlerüberwachungssystemen auftreten, bevor die Fehler auftreten, zu deren Überwachung sie dienen. Wenn diese Fehler unbemerkt bleiben, ist es möglich, dass, wenn ein ernsterer Fehler auftritt (ein Fehler, zu dessen Feststel lung das Fehlerüberwachungssystem vorgesehen ist), dieser unbemerkt bleibt, was ernste Konsequenzen haben kann.
Es ergibt sich daraus das Bedürfnis, die Fehlerüberwachungssysteme selbst zu überwachen.
Die Erfindung wird im folgenden beispielsweise mit Bezug auf die beigefügten Zeichnungen beschrieben, in denen gleiche Bezugszeichen entsprechende Elemente bezeichnen. Es zeigen:
1: ein Funktionsdiagramm von Komponenten eines elektronischen Systems einer ersten Ausführungsform eines Selbsttestsystems.
2: ein Schaltdiagramm der Ausführungsform des Selbsttestsystems gemäß 1,
3: ein Funktionsdiagramm von Komponenten eines elektronischen Systems in einer zweiten Ausführungsform eines Selbsttestsystems und
4: ein Flussdiagramm zur Darstellung des Betriebs des Selbsttestsystems der 3.
Es wird ein Verfahren und eine Vorrichtung zum Selbsttest eines elektronischen Systems beschrieben. In der folgenden Beschreibung sind zu Erläuterungszwecken eine Reihe von spezifischen Details angegeben, die dem besseren Verständnis der Erfindung dienen. Die vorliegende Erfindung kann jedoch auch ohne diese spezifischen Details ausgeführt werden. Bekannte Strukturen und Einrichtun gen sind in Blockdiagrammform gezeigt, um die Erfindung übersichtlicher zu gestalten.
Die oben angegebenen Bedürfnisse sowie weitere Bedürfnisse und Aufgaben, die sich aus der folgenden Beschreibung ergeben, werden mit der vorliegenden Erfindung gelöst, die, einerseits, ein elektronisches System aufweist mit einem zu überwachenden System und mehreren Fehlerüberwachungssystemen. Jedes der Fehlerüberwachungssysteme ist zur Ausgabe eines Fehlersignales ausgebildet, wenn ein Eingang anzeigt, dass das dem Fehlerüberwachungssystem zugeordnete elektronische System sich in einem Fehlerzustand befindet. Die Fehlerüberwachungssysteme sind kaskadenartig angeordnet, so dass ein Fehlersignalausgang von einem Fehlerüberwachungssystem als Eingang an ein folgendes Fehlerüberwachungssystem in der Kaskade von Fehlerüberwachungssystemen gegeben wird, um einen Fehlerzustand bei dem folgenden Fehlerüberwachungssystem zu simulieren. Der Ausgang des letzten Fehlerüberwachungssystemes in der Kaskade zeigt an, ob in irgend einem der Fehlerüberwachungssysteme ein Fehler vorliegt. Alternativ können die Ausgänge jedes der einzelnen Fehlerüberwachungssysteme überwacht werden, um anzuzeigen, ob in irgend einem der Fehlerüberwachungssysteme ein Fehler besteht.
Andererseits umfasst die vorliegende Erfindung ein Verfahren und ein computerlesbares Medium zum Ausführen der vorgenannten Schritte.
Das zu beschreibende elektronische System ist Teil des elektronischen Systems eines Fahrzeuges, z.B. eines Kraftwagens. Das Verfahren ist jedoch auf andere elektronische Systeme mit Fehlerüberwachungssystemen anwendbar.
1 zeigt eine Ausführungsform eines Selbsttestfehlerüberwachungssystems. Das elektronische System enthält das zu überwachende System 2 (das typischer weise einen Mikroprozessor enthält), eine erste Fehlerüberwachungseinrichtung 4 (die beispielsweise die Form eines Wächters für den Prozessor annehmen kann) und eine zweite (und in diesem Falle letzte) Fehlerüberwachungseinrichtung 6 (die beispielsweise die Form eines Spannungspegelsdetektors annehmen kann zur Überwachung der Versorgungsleitungen des Prozessors. Ein System 8 besorgt die erforderliche Aktion bei Ermittlung eines Fehlers (beispielsweise zum Abschalten des Systems 2) und ein nicht flüchtiger Speicher 10 ermöglicht die Abspeicherung eines Protokolls über Erfolg oder Misserfolg des Selbsttestvorganges.
Bei jeder der vorgenannten Fehlerermittlungssituationen wird das Fehleraktionssystem 8 entweder direkt vom Fehlerüberwachungssystem 6 oder indirekt vom Fehlerüberwachungssysteme 4 durch Simulation eines Fehlers im Überwachungssystem 6 aktiviert, der dann die Aktion auslöst.
Die Fehlerüberwachungssysteme 4, 6 sind zur Überwachung auf Fehlerzustände ausgebildet. Das elektronische System, in dem diese Komponenten vorgesehen sind, hat jedoch keine Möglichkeit zu wissen, ob die Fehlerzustandsdetektoren korrekt arbeiten. Die in den Figuren dargestellte Ausführungsform erlaubt ein elektronisches System zur Überwachung der Fehlerüberwachungssysteme. Vorzugsweise wird bei jedem Abschalten des Systems ein Selbsttest ausgeführt.
Wenn das elektronische System heruntergefahren wird, ändert daher das überwachte System 2 seine Funktion, so dass der Fehlerdetektor 4 einen Fehler feststellt. Wenn der Fehlerdetektorschaltkreis 4 richtig arbeitet, so erzeugt er dann eine Ausgabe, die bewirkt, dass der Fehlerdetektor 6 einen Fehler sieht. Ein Protokoll dieses Ereignisses wird in dem nicht flüchtigen Speicher 10 abgespeichert und der Fehlerantwortaktivator 8 führt eine Antwort auf den Fehlerzustand aus (typischerweise fährt er das System 2 herunter). Wenn das System 2 das nächste Mal ein Startsignal erhält, prüft es das Protokoll in dem nicht flüchtigen Speicher.
Wenn beim Hochfahren ein solches Protokoll im nicht flüchtigen Speicher nicht vorhanden ist, stellt das System 2 fest, dass das Fehlerüberwachungssystem nicht korrekt gearbeitet hat und dass daher eines der Fehlerüberwachungssysteme 4, 6 nicht in Ordnung ist. Das System ergreift dann geeignete Aktionen, fährt z.B. selbst herunter nach Erzeugung einer geeigneten Fehlernachricht. Wenn das System 2 feststellt, dass der Test des Fehlerdetektors erfolgreich war, wird das Protokoll im nicht flüchtigen Speicher gelöscht und steht für den nächsten Selbsttest bereit.
In einem weiteren Aspekt der Erfindung wird ein teilweiser Selbsttest auch beim Hochfahren ausgeführt. Beim Einschalten fährt die Versorgungsspannung V_supp auf den erforderlichen Pegel hoch. Daher kann ein Selbsttest eines Unterspannungsdetektors (z.B. des Fehlererkennungssystems 6) beim Hochfahren ausgeführt werden um zu testen, ob der Unterspannungsdetektor 6 eine Unterspannungssituation korrekt erkennt. Daher kann beim Startbetrieb des Systems ein Startmonitor 12 überprüfen, ob das Unterspannungsüberwachungssystem 6 zu Beginn einen Fehler feststellt (wenn die Versorgungsspannung niedrig ist), um sodann keinen Fehler festzustellen (wenn die Versorgungsspannung im spezifizierten Bereich liegt). Dieses Fehlerüberwachungssystem kann das zu überwachende elektronische System 2 über sein Ergebnis informieren und/oder den Fehlerantwortaktivator 8 aktivieren und/oder ein Protokoll im nicht flüchtigen Speicher 10 ablegen.
2 zeigt eine Ausführungsform des Fehlerüberwachungssystems mit Unter- und Überspannungsdetektoren für zwei Spannungsversorgungsleitungen (5 V und 2,6 V). Die tatsächliche Ermittlung der Unter/Überspannung wird von den vier Komparatoren (30, 32, 34, 36) durchgeführt. Ein Signal A zeigt einen Eingang an die erste Fehlerüberwachungseinrichtung mit den Komparatoren 30, 32. Ein Transistor T1 ermöglicht dem System einen Fehler im ersten Komparator 30 zu erzeugen, der über T2 einen Fehler im zweiten Komparator 32 erzeugt. Das Fehlersignal B wird vom Komparator 32 ausgegeben und erzeugt einen Fehler in der nächsten Fehlerüberwachungseinrichtung mit den Komparatoren 34, 36. Daher erzeugt das Fehlersignal B am Ausgang des Komparators 32 einen Fehler im nächsten Komparator 34 über D1 und der Komparator 34 erzeugt wiederum einen Fehler im letzten Komparator 36 über D2. Das Fehlersignal C am Ausgang des zweiten Fehlerüberwachungssystems (mit den Komparatoren 34, 36) wird dann zum Triggern des Fehlerantwortaktivators 8 verwendet.
Bei der in den 1 und 2 dargestellten Ausführung der beschriebenen ersten Ausführungsform gibt es zwei Fehlerüberwachungseinrichtungen: Am Beginn der Kaskade von Fehlerüberwachungseinrichtungen liegt das Wächtersystem 4 (oder etwas Ähnliches), das mit einem Microprocessor verbunden ist, während am anderen Ende der Kaskade ein Fehlerausgangssignal von dem zweiten Fehlerüberwachungssystem 6 das System ausschaltet oder den Mikroprozessor resettet.
In einer weiteren Ausbildung wird, wenn das elektronische System, das von der ersten Fehlerüberwachungseinrichtung überwacht wird, in einen Fehlerzustand versetzt wird, ein Flag oder Wert (z.B. 1) im nicht flüchtigen Speicher 10 abgelegt. Wenn der Mikroprozessor des elektronischen Systems 2 nach einer vorgegebenen Zeitperiode immer noch läuft (z.B. hat der Mikroprozessor sich nicht heruntergefahren), dann wird die Kaskade getriggert. Der Prozessor schreibt dann einen anderen Wert (z.B. 2) in den nicht flüchtigen Speicher 10 und schaltet ab. Beim Hochfahren kann durch Überprüfen des nicht flüchtigen Speichers der Grund für den Stopp gefunden werden. Der Wert sollte nach dem Lesen gelöscht werden, so dass ein echter Fehler von einem "Test"-Fehler unterschieden werden kann.
Obwohl die 1 und 2 Ausführungsformen zeigen, bei denen nur zwei Fehlerüberwachungssysteme (4 und 6) vorgesehen sind, können auch weitere Fehlerüberwachungssysteme vorgesehen sein. In diesem Falle kann der Ausgang eines ersten Fehlerüberwachungssystemes als Eingang für ein zweites, der Ausgang des zweiten kann Eingang eines dritten sein usw.
3 zeigt eine zweite Ausführungsform eines Selbsttestsystems. Das elektronische System weist ein zu überwachendes System 2 auf (typischerweise mit wenigstens einem Prozessor), eine erstes Fehlerüberwachungseinrichtung in Form eines Spannungspegeldetektors 4 und eine zweite Fehlerüberwachungseinrichtung in Form einer Wächterschaltung 6. Ein zweiter Prozessor 8 kann außerdem zur Überwachung des Betriebes des ersten Prozessors 2 vorgesehen sein. Ein nicht flüchtiger Speicher 10 kann zur Abspeicherung der Vorgeschichte von Fehlerprotokollen vorgesehen sein.
Der Spannungsdetektor 4 weist einen Op-Amp (Operationsverstärker) auf, einen ersten (nicht-invertierenden) Eingang, der mit der Versorgungsspannung V_supp verbunden ist und von dem ein zweiter invertierender Eingang mit einer Referenz-Spannung V_ref verbunden ist. Im Betrieb besteht die Wahrscheinlichkeit, dass die Versorgungsspannung des elektronischen Systems sich ändert. Beispielsweise steigt beim Hochfahren des elektronischen Systems die Spannung von nominellen 0 V auf eine Spannung in Bereichen dessen, was für das elektronische System erforderlich ist, z.B. 3 V. Während dieses Hochfahrzustandes kann die Spannung über die erforderliche Versorgungsspannung überschießen. Dann ergibt sich eine sogenannte Überspannungssituation. Da diese Überspannung das Ergebnis eines Fehlers bei der Stromversorgung des elektronischen Systems sein kann, wird dies als Fehlersituation angesehen.
Wenn der Wert der Versorgungsspannung größer ist als der Wert der Referenzspannung, erzeugt der Op-Amp ein Ausgangssignal und daher erzeugt der Spannungspegeldetektor 4 ein Fehlersignal.
Die Wächterschaltung 6 empfängt als Eingang ein Signal von dem Prozessor 2, um anzuzeigen, dass der Prozessor korrekt arbeitet. Unter normalen Bedingungen wird das Signal vom Prozessor 2 periodisch abgegeben. Wenn die Wächterschaltung das Signal nicht empfängt, wenn sie ein Signal erwartet, wird der Prozessor als in einem nicht normalen Zustand befindlich angesehen und die Wächterschaltung 6 gibt ein Fehlersignal in Form eines Reset-Signales ab.
In jeder der Fehlererkennungssituationen wird der Prozessor resettet, d.h. der Betrieb des Prozessors wird gestoppt und neu gestartet.
Der Pegeldetektor 4 und die Wächterschaltung 6 sind zur Überwachung auf Fehlerzustände ausgebildet. Jedoch kann das elektronische System, in dem diese Komponenten vorgesehen sind, nicht erkennen, ob die Fehlerzustandsdetektoren richtig arbeiten oder nicht. Daher wird ein Selbsttest bei jedem Herunterfahren des Microprocessors ausgeführt, entweder auf Grund eines Resets oder weil, das zugehörige System abgeschaltet wurde.
Wenn daher, in einem ersten Aspekt, das elektronisch System heruntergefahren wird, überwacht der Prozessor auf Feststellung eines Überspannungszustandes. Wenn der Pegeldetektor 4 ordnungsgemäß arbeitet, sollte die Pegeldetektorschaltung 4 ein Überspannungs-Resetsignal abgeben oder abschalten. Wenn daher das System, insbesondere der Prozessor des elektronischen Systems, heruntergefahren wird, überwacht der Prozessor auf ein Überspannungssignal am Ausgang des Pegeldetektors 4. Wenn ein Überspannungsstrom bei Betriebsstopp des Prozessors 2 auftritt, wird ein diesbezügliches Protokoll im nicht flüchtigen Spei cher 10 abgelegt. Wenn der Prozessor 2 das nächste Mal ein Startsignal erhält, überprüft der Prozessor das Protokoll im nicht flüchtigen Speicher. Wenn beim Hochfahren ein solches Protokoll im nicht flüchtigen Speicher nicht vorhanden ist, dann registriert der Prozessor 2, dass die Überspannungsüberwachungschaltung 4 die Überspannungssituation beim Herunterfahren nicht festgestellt hat und dass daher die Überspannungsüberwachungseinrichtung 4 fehlerhaft ist. Der Prozessor ergreift dann eine geeignete Aktion, z.B. fährt er sich selbst herunter, nachdem er eine entsprechende Fehlermeldung erzeugt hat. Das Protokoll im nicht flüchtigen Speicher wird vorzugsweise gelöscht, wenn diese Fehlermeldung erzeugt wird.
Ein zusätzlicher oder alternativer Selbsttest kann ausgeführt werden. Dies betrifft den Selbsttest der Wächterschaltung 6. Der Selbsttest wird automatisch beim Heurunterfahren des Prozessors 2 ausgeführt. Wenn an den Prozessor ein Signal zur Betriebsbeendigung gegeben wird, so hört der Prozessor auf, das periodische Signal an die Wächterschaltung 6 abzugeben. Die Wächterschaltung 6 stellt dann fest, dass sie nicht das periodische Signal vom Microprocessor 2 erhält und erzeugt daher ein Reset-Signal. Dieses wird vom Prozessor 2 empfangen und ein Protokoll des Reset-Signals im nicht flüchtigen Speicher 10 abgelegt. Der Prozessor 2 fährt dann herunter.
Bei nachfolgendem Betriebsbeginn des Prozessors 2 überprüft der Prozessor, ob der nicht flüchtige Speicher 10 das Protokoll eines von der Wächtereinrichtung 6 erzeugten Reset-Signales enthält. Wenn der nicht flüchtige Speicher keine solche Aufzeichnung enthält, wird eine Fehlernachricht erzeugt und der Prozessor heruntergefahren.
Vorzugsweise wird ein Selbsttest beim Herunterfahren sowohl für den Pegeldetektor 4 als auch für die Wächterschaltung 6 durchgeführt. Der Wächterselbsttest kann als erstes ausgeführt werden durch Beendigung des periodischen Signales vom Prozessor 2 zur Wächterschaltung 6 und durch Überwachung des Fehlersignales von der Wächterschaltung. Danach kann der Pegeldetektorselbsttest erfolgen.
Ein Selbsttest kann auch beim Hochfahren ausgeführt werden. Wie oben erwähnt, fährt die Versorgungsspannung V_supp beim Starten auf den erforderlichen Pegel hoch. Daher wird beim Hochfahren ein Selbsttest des Pegeldetektors 4 ausgeführt zum Testen, ob der Pegeldetektor 4 eine Unterspannungssituation korrekt erfasst. Beim Hochfahrbetrieb des Prozessors überwacht daher der Selbsttestablauf die Erzeugung eines Fehlersignales durch den Pegeldetektor 4. Bei Erzeugung eines Fehlersignales durch die Fehlerüberwachung beim Start des Betriebes des Prozessors wird ein diesbezügliches Protokoll im nicht flüchtigen Speicher 10 abgespeichert. Beim anschließenden Empfang einer Nachricht zum Betriebsstopp des Prozessors überprüft der Prozessor, ob der nicht flüchtige Speicher 10 die Aufzeichnung eines Fehlersignales enthält und, wenn der nicht flüchtige Speicher keine Aufzeichnung eines Fehlersignales enthält, wird ein Alarmsignal erzeugt.
4 zeigt in einem Flussdiagramm den Ablauf des Selbsttestprogramms. Diese Routine wird beim Hochfahren und beim Herunterfahren durchgeführt (z.B. wenn die Zündung eines Fahrzeuges eingeschaltet wird oder bei oder nach einem Reset aus irgend einem anderen Grund). Im ersten Schritt (401) empfängt der Prozessor einen Befehl zum Auslösen einer Fehlerbedingung für das erste Fehlerüberwachungssystem, z.B. zum Ausschalten des Prozessors 2. Der Grund dafür kann ein Reset von der Wächteranwendung oder vom Spannungsdetektor sein (oder von einer anderen Fehlerüberwachungseinrichtung). Der Prozessor gelangt dann in den Fehlerzustand (402), z.B. leitet er die Betriebsbeendigung ein, was zur Erzeugung einer Fehlerbedingung führt.
Das System führt dann die oben diskutierte Selbsttestroutine aus und überwacht (403) beispielsweise, ob die Wächteranwendung ein Fehler-Flag ausgibt und/oder ob der Spannungsdetektor ein Fehler-Flag ausgibt. Wenn ein Fehlersignal von der Fehlerüberwachungseinrichtung ausgegeben wird, dann wird das Fehlersignal im nicht flüchtigen Speicher abgespeichert (404). Auf jeden Fall beendet der Prozessor dann den gesamten Betrieb (405).
Bei nachfolgender Überführung (406) des Systems in einen Nicht-Fehler-Zustand, z.B. Starten des Prozessors (406) (entweder als Ergebnis eines Reset-Signales oder weil das System vom Bediener gestartet wird), prüft (407) der Prozessor, ob in dem nicht flüchtigen Speicher eine Aufzeichnung über den Selbsttest vorhanden ist, der beim Herunterfahren ausgeführt wurde. Wenn keine solche Aufzeichnung im nicht flüchtigen Speicher vorhanden ist, wird ein Alarmsignal generiert (408). Dieses Alarmsignal oder diese Nachricht zeigt an, dass die zugehörige Fehlerüberwachungskomponente nicht ordentlich funktioniert. Als Antwort würde der Prozessor normalerweise abschalten, bis der Fehler geklärt ist. Wenn jedoch der nicht flüchtige Speicher eine Aufzeichnung der zugehörigen Fehlererkennungskomponente enthält, kann das elektronische System mit dem Betrieb normal fortfahren (409).
Wenn auch ein Unterspannungsselbsttest ausgeführt wird, kann der Prozessor vor Schritt 409 überprüfen, ob eine Aufzeichnung vorhanden ist darüber, dass der Pegeldetektor 4 beim vorherigen Hochfahren des Prozessors einen Unterspannungszustand festgestellt hat. Wenn keine solche Aufzeichnung gefunden wird, wird ein Alarmsignal generiert (408). Alternativ kann der Prozessor nach Schritt 409 eine weitere Subroutine ausführen, bei der der Prozessor sich abschaltet und neu startet, um die Unterspannungsroutine auszuführen. Diese zusätzliche Stopp/Start-Routine ergibt eine kurze Verzögerung beim Starten des Prozessors zum normalen Betriebes, ist jedoch für den Bediener kaum wahrnehmbar.
Die Erfindung beabsichtigt daher die Verringerung des Risikos, dass ein Fehler in einem Fehlerüberwachungssystem unentdeckt bleibt, indem das Fehlerüberwachungssystem getestet wird. Vorzugsweise werden die Fehlerüberwachungssysteme jedesmal getestet, wenn das zu überwachende System heruntergefahren und neu gestartet wird (z.B. passiert dies im Falle eines Fahrzeuges, wie z.B. eines Kraftfahrzeuges jedesmal vor und nach einer Reise).
In der vorstehenden Beschreibung wurde die Erfindung in bezug auf spezielle Ausführungsformen beschrieben. Es können jedoch unterschiedliche Änderungen daran vorgenommen werden, ohne den Bereich der Erfindung zu verlassen. Die Beschreibung und die Zeichnungen sind daher als beispielhaft und nicht beschränkend zu verstehen.
ZUSAMMENFASSUNG
Die Erfindung betrifft ein elektronisches System mit einem zu überwachenden System (2) und mehreren Fehlerüberwachungssystemen (4, 6), von denen jedes ausgebildet ist zur Ausgabe eines Fehlersignales, wenn ein Eingang anzeigt, dass das elektronische System sich in einem Fehlerzustand in Verbindung mit dem Fehlerüberwachungssystem befindet. Die Fehlerüberwachungssysteme sind kaskadenartig derart angeordnet, dass ein Fehlersignalausgang eines Fehlerüberwachungssystemes (4) als Eingang eines nachfolgenden Fehlerüberwachungssystemes (6) in der Kaskade von Fehlerüberwachungssystemen dient, um einen Fehlerzustand in Zusammenhang mit dem nachfolgenden Fehlerüberwachungssystem zu simulieren. Der Ausgang des letzten Fehlerüberwachungssystems der Kaskade zeigt an, ob ein Fehler in einem der Fehlerüberwachungssysteme vorliegt.

Claims

Elektronisches System mit mehreren Fehlerüberwachungssystemen, von denen jedes ausgebildet ist zur Ausgabe eines Fehlersignales, wenn ein Eingang anzeigt, dass das elektronische System sich in einem Fehlerzustand in Verbindung mit dem Fehlerüberwachungssystem befindet, wobei: die Fehlerüberwachungssysteme kaskadenartig derart angeordnet sind, dass ein Fehlersignalausgang eines Fehlerüberwachungssystemes als Eingang eines nachfolgenden Fehlerüberwachungssystemes in der Kaskade von Fehlerüberwachungssystemen dient, um einen Fehlerzustand in Zusammenhang mit dem nachfolgenden Fehlerüberwachungssystem zu simulieren.
Elektronisches System nach Anspruch 1, wobei der Ausgang eines letzten Fehlerüberwachungssystemes in der Kaskade als Anzeiger für einen Fehler in einem der Fehlerüberwachungssysteme benutzt wird.
Elektronisches System nach den Ansprüchen 1 oder 2, wobei das System weiterhin ausgebildet ist zum: Setzen des Systems in einen ersten Fehlerzustand und Überwachung eines ersten Fehlersignales von einer ersten Fehlerüberwachungseinrichtung, Eingeben, nach Erzeugung eines ersten Fehlersignales durch die Fehlerüberwachungseinrichtung nach Setzen des Systems in den ersten Fehlerzustand, des ersten Fehlersignales in die zweite Fehlerüberwachungseinrichtung und Abspeichern, in Reaktion auf einen Ausgang von einer letzten Fehlerüberwachungseinrichtung, einer diesbezüglichen Aufzeichnung in einen nicht flüchtigen Speicher.
Elektronisches System nach Anspruch 3, wobei nach darauffolgender Rückkehr des Systems in eine Nicht-Fehler-Bedingung das System ausgebildet ist zur Überprüfung, ob der nicht flüchtige Speicher eine Aufzeichnung enthält und wenn der nicht flüchtige Speicher bei der nachfolgenden Rückkehr keine Aufzeichnung enthält, ein Alarmsignal erzeugt wird.
Elektronisches System nach einem der Ansprüche 1 bis 4, wobei ein erstes Fehleraufzeichnungssystem zur Ausgabe eines Fehlersignales ausgebildet ist, wenn das elektronische System in einen ausgeschalteten Zustand gebracht wird.
Elektronisches System nach Anspruch 5, wobei das erste Fehlerüberwachungssystem ein Wächtersystem ist.
Elektronisches System nach Anspruch 5, wobei das elektronische System zu einem Fahrzeug gehört und das elektronische System durch Drehen des Zündschlüssels in einen ausgeschalteten Zustand gebracht wird.
Elektronisches System nach Anspruch 5, 6 oder 7, wobei ein zweites Fehlerüberwachungssystem als Eingang das Fehlersignal des ersten Fehlerüberwachungssystems hat, wobei das zweite Fehlerüberwachungssystem ausgebildet ist zur Ausgabe eines Fehlersignales, wenn das elektronische System sich in einem Unter- oder Überspannungszustand befindet.
Elektronisches System nach einem der Ansprüche 1 bis 8, weiterhin aufweisend das Abspeichern einer Aufzeichnung eines Fehlersignalausganges eines der Fehlerüberwachungssysteme, zur Ermöglichung der Identifikation eines defekten Fehlerüberwachungssystemes.
Selbsttestverfahren für ein elektronisches System mit mehreren Fehlerüberwachungssystemen, von denen jedes ausgebildet ist zur Ausgabe eines Fehlersignales, wenn ein Eingang anzeigt, dass das elektronische System sich in einem Fehlerzustand in Verbindung mit dem Fehlerüberwachungssystem befindet, wobei die Fehlerüberwachungssysteme kaskadenartig angeordnet sind, so dass ein Fehlersignalausgang eines Fehlerüberwachungssystems als Eingang eines nachfolgenden Fehlerüberwachungssystems in der Kaskade von Fehlerüberwachungssystemen dient, wobei das Verfahren aufweist: die Eingabe des Fehlersignales von einem Fehlerüberwachungssystem zu einem nächstfolgenden Fehlerüberwachungssystem zur Simulation eines Fehlerzustandes in Verbindung mit dem nächstfolgenden Fehlerüberwachungssystem.
Selbsttestverfahren nach Anspruch 10, wobei der Ausgang eines letzten Fehlerüberwachungssystemes in der Kaskade als Anzeige eines Fehlers in einem der Fehlerüberwachungssysteme verwendet wird.
Selbsttestverfahren nach Anspruch 10 oder 11, weiterhin beinhaltend: Setzen des Systems in einen ersten Fehlerzustand und Überwachung der Erzeugung eines ersten Fehlersignales von einer ersten Fehlerüberwachungseinrichtung, Eingabe, bei Generierung eines ersten Fehlersignales von der Fehlerüberwachungseinrichtung nach Setzen des Systems in einen ersten Fehlerzustand, des ersten Fehlersignales in die zweite Fehlerüberwachungseinrichtung und Abspeichern, als Antwort auf einen Ausgang von einer letzten Fehlerüberwachungseinrichtung, einer diesbezüglichen Aufzeichnung in einen nicht flüchtigen Speicher.
Selbsttestverfahren nach Anspruch 12, weiterhin aufweisend, dass nach darauffolgender Rückkehr des Systems in einen Nicht-Fehler-Zustand überprüft wird, ob der nicht flüchtige Speicher eine Aufzeichnung enthält und dass, wenn der nicht flüchtige Speicher bei nachfolgender Rückkehr keine Aufzeichnung enthält, ein Alarmsignal generiert wird.
Selbsttestverfahren nach einem der Ansprüche 10 bis 13, weiter enthaltend die Ausgabe eines Fehlersignales von dem ersten Fehlerüberwachungssystem, wenn das elektronische System in einen ausgeschalteten Zustand versetzt wird.
Selbsttestverfahren nach Anspruch 14, wobei das erste Fehlerüberwachungssystem ein Wächtersystem ist.
Selbsttestverfahren nach Anspruch 14 oder 15, wobei das elektronische System einem Fahrzeug zugehört und das elektronische System durch Drehen eines Zündschlüssels in einen ausgeschalteten Zustand versetzt wird.
Elektronisches System nach Anspruch 14, 15 oder 16, wobei ein zweites Fehlerüberwachungssystem als Eingang das Fehlersignal von dem Fehlerüberwachungssystem hat, wobei das zweite Fehlerüberwachungssystem ausgebildet ist zur Ausgabe eines Fehlersignales, wenn das elektronische System sich in einem Unter- oder Überspannungszustand befindet.
Selbsttestverfahren nach einem der Ansprüche 10 bis 17, weiter enthaltend das Abspeichern einer Aufzeichnung eines Fehlersignalausganges von jedem der Fehlerüberwachungssysteme, zur Ermöglichung der Identifikation eines defekten Fehlerüberwachungssystemes.
Elektronisches System mit wenigstens einem Fehlerüberwachungssystem, wobei das System ausgebildet ist zum: Setzen des Systems in einen ersten Fehlerzustand und Überwachung auf Erzeugung eines ersten Fehlersignales von einer ersten Fehlerüberwachungseinrichtung, Abspeichern, nach Generierung eines ersten Fehlersignales von der ersten Fehlerüberwachungseinrichtung nach Setzen des Systems in einen ersten Fehlerzustand, einer diesbezüglichen Aufzeichnung in einen nicht flüchtigen Speicher, Überwachung, nach darauffolgender Rückkehr des Systems in einen Nicht-Fehler-Zustand, ob der nicht flüchtige Speicher eine Aufzeichnung des ersten Fehlersignales enthält, und wenn der nicht flüchtige Speicher keine Aufzeichnung eines ersten Fehlersignales bei darauffolgender Rückkehr enthält, Erzeugung eines Alarmsignales.
Elektronisches System nach Anspruch 19, wobei: das Setzen des System in einen ersten Fehlerzustand das Stoppen des Betriebes des Prozessors umfaßt und die nachfolgende Rückkehr des Systems in einen Nicht-Fehler-Zustand den nachfolgenden Beginn des Betriebes des Prozessors umfaßt.
Elektronisches System nach Anspruch 19 oder 20, wobei die Fehlerüberwachungseinrichtung einen Spannungsdetektor aufweist, der ein Fehlersignal erzeugt, wenn Überspannung auftritt.
Elektronisches System nach Anspruch 19, 20 oder 21, wobei die Fehlerüberwachungseinrichtung eine Einrichtung zur Überwachung des Be triebes des Prozessors und zur Erzeugung eines Fehlersignales, wenn ein Fehler beim Betrieb des Prozessors festgestellt wird, aufweist.
Elektronisches System nach einem der Ansprüche 19 bis 22, weiterhin ausgebildet zum Löschen der Aufzeichnung aus dem nicht flüchtigen Speicher, wenn festgestellt ist, ob der nicht flüchtige Speicher eine Aufzeichnung eines Fehlersignales enthält.
Elektronisches System nach einem der Ansprüche 19 bis 23, weiterhin aufweisend mehrere Fehlerüberwachungssysteme, wobei ein Fehlersignalausgang eines ersten Fehlerüberwachungssystemes als Eingang eines zweiten Fehlerüberwachungssystemes derart dient, dass ein Eingang des zweiten Fehlerüberwachungssystemes einen zweiten Fehlerzustand simuliert.
Elektronisches System nach Anspruch 24, wobei der Ausgang eines letzten Fehlerüberwachungssystemes zur Anzeige eines Fehlers in einem der Fehlerüberwachungssysteme verwendet wird.
Selbsttestverfahren für ein elektronisches System, wobei das Verfahren aufweist: das Setzen des Systems in einen ersten Fehlerzustand und die Überwachung auf Erzeugung eines ersten Fehlersignales von einer Fehlerüberwachungseinrichtung, das Abspeichern, bei Generierung eines ersten Fehlersignales von der Fehlerüberwachungseinrichtung nach Setzen des Systemes in den ersten Fehlerzustand, einer diesbezüglichen Aufzeichnung in einen nicht flüchtigen Speicher, Überwachung, nach darauffolgender Rückkehr des Systems in einen Nicht-Fehler-Zustand, ob der nicht flüchtige Speicher eine Aufzeichnung eines ersten Fehlersignales enthält und wenn der nicht flüchtige Speicher nach der darauffolgenden Rückkehr eine Aufzeichnung eines solchen ersten Fehler-Signales nicht enthält, die Generierung eines Alarmsignales.
Selbsttestverfahren nach Anspruch 26, wobei das elektronische System einen Prozessor aufweist, wobei: das Setzen des System in einen ersten Fehlerzustand das Stoppen des Betriebes des Prozessors umfaßt und die nachfolgende Rückkehr des Systems in einen Nicht-Fehler-Zustand den nachfolgenden Beginn des Betriebes des Prozessors umfaßt.
Selbsttestverfahren nach Anspruch 26, wobei das elektronische System einen Prozessor aufweist, wobei: das Setzen des System in einen ersten Fehlerzustand das Starten des Betriebes des Prozessors umfaßt und die nachfolgende Rückkehr des Systems in einen Nicht-Fehler-Zustand die nachfolgende Beendigung des Betriebes des Prozessors umfaßt.
Selbsttestverfahren nach Anspruch 28, wobei die Fehlerüberwachungseinrichtung eine Spannungsdetektor aufweist, welcher ein Fehlersignal erzeugt, wenn eine Überspannung auftritt.
Selbsttestverfahren nach Anspruch 28, wobei die Fehlerüberwachungseinrichtung eine Einrichtung zur Überwachung des Betriebes eines Prozessors aufweist und zur Erzeugung eines Fehlersignales bei Feststellung eines Fehlers beim Betrieb des Prozessors.
Selbsttestverfahren nach Anspruch 28, weiterhin aufweisend das Löschen der Aufzeichnung aus dem nicht flüchtigen Speicher, sobald festgestellt ist, ob der nicht flüchtige Speicher eine Aufzeichnung enthält.