DE4230615C2 - Verfahren zur sicheren Abspeicherung von Daten in nichtflüchtigen, überschreibbaren Speichern und Anlage zur Durchführung des Verfahrens - Google Patents

Description

Stand der Technik

Die Erfindung geht aus von einem Verfahren nach der Gattung des Hauptanspruchs. Es ist schon ein Verfahren zur sicheren Ab­ speicherung von Daten in nichtflüchtigen, überschreibbaren Speichern aus dem Bericht "Der Weg vom bordeigenen Kontrollsystem zur System­ diagnose", von E. Zuckmantel und H. Heddergot; VDI Berichte Nr. 612, 1986 bekannt. Bei dem dortigen Verfahren überwacht der Mikrorechner eines Kraftfahrzeugsteuergerätes die Funktionsfähigkeit des Steuer­ gerätes. Erkennt der Mikrorechner einen Fehler, so speichert er eine Fehlerinformation in einem nichtflüchtigen Speicher ab. Als nicht­ flüchtiges Speichermedium ist dabei ein gepuffertes RAM oder ein EEPROM vorgesehen. Wird das gepufferte RAM als Fehlerspeicher einge­ setzt, so darf die Versorgungsspannung vom Steuergerät z. B. zu Wartungszwecken nicht abgetrennt werden, weil sonst die gespeicherte Information verloren ginge. Bei Verwendung eines EEPROMs kann insbe­ sondere bei sporadisch auftretendem Fehler eine Speicherzelle oft­ mals hintereinander beschrieben werden. Dabei könnte die Speicher­ zelle defekt werden. Bezüglich einer Erkennung defekter Zellen im EEPROM gibt die Druckschrift jedoch keine Lösung an.

Die DE 32 47 910 C2 zeigt dazu eine Schaltungsanordnung zur Datenspeicherung in Kraftfahrzeugen mit einem ersten flüch­ tigen Speicher, der bei störungsfreiem Betrieb laufend die aktuellen Daten wiedergibt, sowie einem zweiten, nichtflüch­ tigen Speicher, in den die Daten aus dem ersten Speicher nur bei Vorliegen bestimmter Bedingungen eingeschrieben werden. Dabei wird durch einen Detektor bei fehlerhaftem Dateninhalt im ersten Speicher ein Fehlersignal ausgelöst, wobei der In­ halt des ersten Speichers nur bei Vorliegen dieses Fehlersi­ gnals durch den Inhalt des zweiten Speichers überschrieben wird. Eine Prüfung ob die Speicherzellen selbst einen Defekt aufweisen erfolgt dabei nicht. Sollte dies der Fall sein würde trotzdem versucht den fehlerhaften Inhalt des ersten Speichers durch den Inhalt des zweiten Speichers zu über­ schreiben, was zwangsläufig einen erneut fehlerhaften Wert zur Folge hätte. Eine Lösung für dieses Problem zeigt der Stand der Technik nicht.

Ebenso zeigt die DE 29 06 789 B2 ein Speicherprüfsystem mit einem Festwertspeicher der mehrere Blöcke aufweist, in denen jeweils mehrere Worte gespeichert sind und in dem Prüfworte jeweils entsprechend den Blöcken gespeichert sind. Dabei ist ein Prozessor vorgesehen, der Zugriff zu dem Speicher hat, um von diesem den gespeicherten Inhalt auszulesen, wobei der Prozessor aus dem Speicher die für jeden Block gespeicherten Worte ausliest, eine vorbestimmte arithmetische Operation für jedes Wort des Blocks ausführt und das Ergebnis der Ope­ ration mit dem Prüfwort entsprechend dem Block vergleicht. Auch hier tritt bei einem erneuten Einschreiben ebenfalls erneut der Fehler auf. Eine Lösung hierzu gibt auch dieser Stand der Technik nicht.

So zeigt sich, dass der Stand der Technik nicht in jeder Hinsicht optimale Ergebnisse zu liefern vermag. Es ist deshalb die Aufgabe der Erfindung defekten Speicherzellen selbst Rechnung zu tragen und eine erneute Benutzung der defekten Speicherzellen zu vermeiden.

Vorteile der Erfindung

Das erfindungsgemäße Verfahren mit den kennzeichnenden Merkmalen des Hauptanspruchs hat somit den Vorteil, dass nicht nur eine Er­ kennung defekter Speicherzellen gewährleistet ist, sondern auch dass ein erneutes Einschreiben von Daten in diese defekten Zellen vermieden wird. Ebenfalls ist dadurch der Verlust von Daten im EEPROM aufgrund von defekten Zellen praktisch eliminiert. Weiter­ hin vorteilhaft ist, dass durch die Erkennung der defekten Zelle und die Umgehung von wiederholten Schreiboperationen auf diese mehr Schreiboperationen bei einem EEPROM möglich sind als die vom Hersteller des Speichers garantierte Anzahl von Schreibzyklen pro Zelle. Im Falle einer defekten Zelle wird die davon betroffene Information in einem anderen Bereich des Speichers abgelegt.

Durch die in den Unteransprüchen aufgeführten Maßnahmen sind vor­ teilhafte Weiterbildungen und Verbesserungen des im Hauptanspruch angegebenen Verfahrens möglich. Besonders vorteilhaft ist, daß das zweite Datenwort zuerst in den flüchtigen Speicher der Daten­ verarbeitungsanlage geschrieben wird, um bei einem negativen Ver­ gleichsergebnis das zweite Datenwort aus dem flüchtigen Speicher auszulesen und auf einen durch das neue erste Datenwort gekenn­ zeichneten neuen zweiten Speicherplatz des nichtflüchtigen, überschreibbaren Speichers abzuspeichern. Das dritte Datenwort wird sodann aus dem zweiten Datenwort gebildet, um es auf einen durch das neue erste Datenwort gekennzeichneten neuen dritten Speicherplatz des nichtflüchtigen, überschreibbaren Speichers ab­ zuspeichern. Dadurch ist es möglich, daß zumindest während der Dauer des Betriebes der Datenverarbeitungsanlage die Information nach Erkennung eines Defektes in einer Speicherzelle des nicht­ flüchtigen, überschreibbaren Speichers noch im flüchtigen Spei­ cher enthalten ist und von dort ausgelesen und in eine andere Speicherzelle des nichtflüchtigen, überschreibbaren Speichers eingetragen wird.

Durch die zusätzliche Abspeicherung des dritten Datenwortes ist wiederum die sichere Abspeicherung der Information auf den neuen Speicherplätzen gewährleistet. Ein Datenverlust kann dadurch während der Dauer des Betriebes der Datenverarbeitungsanlage verhindert werden.

Weiterhin vorteilhaft ist es, das dritte Datenwort als Prüfsumme für das zweite Datenwort zu bilden und in den nichtflüchtigen, über­ schreibbaren Speicher (13) abzuspeichern und ferner bei der Ver­ arbeitung des zweiten Datenwortes diese Prüfsumme aus dem zweiten Datenwort zu bilden und mit der abgespeicherten Prüfsumme zu ver­ gleichen. Dadurch können mit Hilfe eines einzelnen dritten Daten­ wortes gleich mehrere zweite Datenworte, d. h., ein ganzer Block von Datenworten, überprüft werden. Es können so Speicherplätze bezüglich der dritten Datenworte gespart werden.

Das Verfahren ist insbesondere für eine Datenverarbeitungsanlage vorteilhaft anwendbar, die als nichtflüchtigen, überschreibbaren Speicher ein EEPROM aufweist. Derartige EEPROM-Speicherzellen be­ sitzen nämlich die Eigenschaft, daß sie bei sehr häufigen Über­ schreibvorgängen defekt werden können. Dies wird aber durch das Ver­ fahren erkannt.

Zeichnung

Zwei Ausführungsbeispiele der Erfindung sind in der Zeichnung darge­ stellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigen Fig. 1 eine Datenverarbeitungsanlage; Fig. 2 ein Zeitdia­ gramm für einen in der Datenverarbeitungsanlage sporadisch auf­ tretenden Fehler; Fig. 3 einige Speichereinträge in einen nicht­ flüchtigen, überschreibbaren Speicher der Datenverarbeitungsanlage zu verschiedenen Zeitpunkten entsprechend der Fig. 2; Fig. 4 ein Flußdiagramm für ein Programm zur Abarbeitung durch die Zentraleinheit der Datenverarbeitungsanlage; Fig. 5 ein zweites Beispiel für einige Speichereinträge in einen nichtflüchtigen, überschreibbaren Speicher der Datenverarbeitungs­ anlage zu verschiedenen Zeitpunkten; Fig. 6 ein zweites Fluß­ diagramm für ein Programm zur Abarbeitung durch die Zentraleinheit der Datenverarbeitungsanlage.

In der Fig. 1 bezeichnet die Bezugszahl 10 ein Kraftfahr­ zeug-Steuergerät. Um welche Art Steuergerät es sich dabei handelt, ist für die Erfindung unerheblich, da die Erfindung allgemein bei Datenverarbeitungsanlagen eingesetzt werden kann. Beispielhaft werden Motor-, Getriebe- und Brems-Steuergeräte genannt. Das Steuer­ gerät 10 enthält eine Zentraleinheit 11, einen RAM 12, einen EEPROM 13 und einen EPROM 14. Weitere Komponenten des Steuergerätes 10, wie Sensoren, Aktoren, Ein-/Ausgabe-Schaltkreise, Daten-, Adress- und Steuerbus, etc. sind vorhanden aber der Einfachheit halber nicht dargestellt.

Anhand der Fig. 2 bis 4 wird im folgenden ein erstes Ausführungs­ beispiel der Erfindung erläutert. In Fig. 2 bezeichnet F1 einen vom Steuergerät 10 erkannten Fehler. Zum Zeitpunkt t1 liegt der Fehler noch nicht an. Ab dem Zeitpunkt t2 liegt der Fehler F1 zum erstenmal an. Ab dem Zeitpunkt t3 liegt der Fehler F1 nicht mehr an. Ab dem Zeitpunkt t4 liegt der Fehler F1 erneut an und ab dem Zeitpunkt t5 liegt der Fehler erneut nicht mehr an. Es handelt sich also um einen sporadisch auftretenden Fehler. Der Fehler kann durch einen Wackel­ kontakt verursacht sein, so daß in der Praxis der Wechsel zwischen Anliegen des Fehlers und Nichtanliegen des Fehlers während des Be­ triebes des Kraftfahrzeuges sehr oft hintereinander stattfinden kann. Es ist schließlich ein späterer Zeitpunkt tn dargestellt, ab dem der Fehler nicht mehr anliegt und ein Zeitpunkt tn + 1, ab dem der Fehler dauernd anliegt.

In Fig. 3 sind über eine Zeitachse einige Speicherplätze des EEPROM 13 schematisch dargestellt. Dabei sind die Speicherplätze FP1-FP10 für die Aufnahme von Fehlerinformationen für ggf. auftretende Fehler vorgesehen. Die Speicherplätze CPA-CPE dienen zur Aufnahme von Prüfsummen. Der Speicherplatz DZP dient zur Aufnahme eines Defekt­ zeigers. Durch die Speicherplätze FP1-FP10 wird der Fehlerspeicher des Steuergerätes 10 definiert, durch die Speicherplätze CPA-CPE wird der Prüfsummenspeicher des Steuergerätes 10 definiert.

Zusätzlich zum Fehlerspeicher im EEPROM 13 ist für die Dauer des Betriebes des Steuergerätes 10 im RAM 12 ein Fehlerspeicher einge­ richtet. Da die Fehlerinformation im RAM 12 bei Abschaltung der Spannungsversorgung verlorengeht, wird jedesmal, wenn eine Ein­ tragung in den Fehlerspeicher des RAM 12 erfolgt ist, der Inhalt des Fehlerspeichers im RAM 12 in den Fehlerspeicher des EEPROM 13 über­ tragen. Dies sei im folgenden vorausgesetzt.

Zum Zeitpunkt t1 ist noch kein Fehler durch das Steuergerät 10 er­ kannt worden, so daß auf den Speicherplätzen FP1-FP10 keine Fehlerinformation eingeschrieben ist. Die Speicherplätze sind daher auf einen definierten Ausgangswert gesetzt. Auch auf den Plätzen CPA -CPE ist zu diesem Zeitpunkt noch keine Prüfsumme eingetragen. Auch hier gilt wieder, daß die Speicherplätze auf definierte Ausgangs­ werte gesetzt sind. Auf dem Speicherplatz DZP ist zu diesem Zeit­ punkt ein OFFSET-Wert auf den Wert "0" gesetzt. Dieser OFFSET-Wert kann z. B. am Bandende der Produktion des Steuergerätes 10 durch Bandende-Programmierung in das EEPROM 13 eingetragen worden sein. Erkennt jetzt die Zentraleinheit 11 des Steuergerätes 10 ab dem Zeitpunkt t2, daß der Fehler F1 anliegt, so schreibt sie die Fehler­ information "F1 liegt an" in den Fehlerspeicher im EEPROM 13. Dabei wählt sie den Speicherplatz FP1 aus. Die Adresse des Speicherplatzes FP1, in den der Fehler eingetragen wird, wird durch Adressberechnung (Anfang des Fehlerspeichers + OFFSET-Wert), also unter Berücksichtigung des OFFSET-Wertes auf dem Speicherplatz DZP, ermittelt. Anschließend bildet die Zentraleinheit 11 zu der Fehler­ information "F1 liegt an" eine Prüfsumme CSA1 und speichert diese auf dem Speicherplatz CPA ab. Diese Adresse des Speicherplatzes, in den die Prüfsumme eingetragen wird, wird erneut durch Adress­ berechnung (Anfang des Prüfsummenspeichers + OFFSET-Wert), also wieder unter Berücksichtigung des OFFSET-Wertes, ermittelt.

Da Adressberechnung und Abspeicherung eine kurze Zeit in Anpruch nehmen, sind die Speicherinhalte erst zum Zeitpunkt t2 + ε darge­ stellt. Nach jedem Eintrag in den Fehlerspeicher überprüft die Zentraleinheit 11, ob die Eintragung korrekt erfolgte. Dazu liest die Zentraleinheit 11 alle Speicherplätze des Fehlerspeichers aus und bildet die Prüfsumme zu den Speicherinhalten. Danach liest die Zentraleinheit 11 die Prüfsumme aus dem Prüfsummenspeicherplatz CPA aus und vergleicht diese mit der zuvor gebildeten Prüfsumme. Stimmen die Prüfsummen überein, so wird bei den Eintragungen in den Fehler- und Prüfsummen-Speicher nichts verändert. Dies ist nach der Eintragung zum Zeitpunkt t2 + ε der Fall.

Ab dem Zeitpunkt t3 liegt der Fehler F1 nicht mehr an. Nachdem das Steuergerät 10 das Nicht-mehr-Anliegen des Fehlers F1 erkannt hat, wird die Fehlerinformation "F1 liegt nicht an" auf den Speicherplatz FP1 eingetragen. Es wird ebenfalls eine neue Prüfsumme CSA2 zu der neuen Fehlerinformation gebildet und auf dem Speicherplatz CPA ein­ geschrieben. Beim anschließenden Vergleich der Prüfsummen wird eben­ falls keine Abweichung festgestellt. Ab dem Zeitpunkt t4 liegt der Fehler F1 wieder an. Die Zentraleinheit schreibt daraufhin die In­ formation "F1 liegt an" in den Speicherplatz FP1 und die Prüfsumme CSA1 in den Speicherplatz CPA. Beim anschließenden Vergleich der Prüfsummen wird wiederum keine Abweichung festgestellt. Ab dem Zeit­ punkt t5 liegt der Fehler F1 nicht mehr an. Die Zentraleinheit schreibt daraufhin die Information "F1 liegt nicht mehr an" in den Speicherplatz FP1 und die Prüfsumme CSA 2 in den Speicherplatz CPA. Auch hier wird beim anschließenden Vergleich der Prüfsummen keine Abweichung festgestellt.

Der beschriebene Wechsel zwischen "F1 liegt an" und "F1 liegt nicht an" kann in der Praxis noch beliebig oft stattfinden (Größenordnung 100000-mal), so daß die Speicherplätze FP1 und CPA sehr oft be­ schrieben werden. Es kann daher vorkommen, daß eine EEPROM-Speicher­ zelle nach so vielen Schreibvorgängen defekt wird und eine einge­ schriebene Information nicht mehr korrekt speichern kann. Dieser Fall ist zum Zeitpunkt tn + ε dargestellt. In den Speicherplatz FP1 konnte kein Wert mehr korrekt eingetragen werden. Beim nachfolgenden Vergleich der Prüfsummen wird die Eintragung als fehlerhaft erkannt. Da aber nicht unterschieden werden kann, welcher der Speicherplätze defekt ist, werden beide Speicherplätze von weiteren Eintragungen abgeschaltet. Dies geschieht, indem die Zentraleinheit den OFFSET-Wert auf dem Speicherplatz DZP ausliest, inkrementiert und danach auf den selben Speicherplatz DZP zurückschreibt. Anschließend wird die Fehlerinformation, die zusätzlich auch im RAM 12 des Steuergerätes abgespeichert ist, auf den Speicherplatz FP2 einge­ tragen. Die zugehörige Prüfsumme CSA2 wird dann gebildet und auf den Speicherplatz CPB eingetragen. Die entsprechende Speicherbelegung ist zum Zeitpunkt tn + 2ε dargestellt. Da der OFFSET-Wert nunmehr auf "1" gesetzt ist, werden bei weiteren Eintragungen von Fehlerin­ formationen die Speicherplätze FP1 und CPA nicht mehr benutzt.

Die Arbeitsweise der Zentraleinheit 11 wird im folgenden anhand der Fig. 4 erläutert. Das zu dem Flußdiagramm zugehörige Programm wird jedesmal nachdem ein Fehler auftritt oder verschwindet abgearbeitet. Die Bezugszahl 20 bezeichnet den Programmstart. In Abfrage 21 überprüft die Zentraleinheit 11, ob der Fehler F1 derzeitig anliegt. Ist dies der Fall, so wird im Programmschritt 27 die Fehlerin­ formation "F1 liegt an" in den Fehlerspeicher eingetragen. Dabei wird der Speicherplatz, wie oben beschrieben, ausgewählt. Außerdem wird im Programmschritt 27 die Prüfsumme CS für die Fehlerin­ formation gebildet und in den Prüfsummenspeicher CPA-CPE einge­ tragen. Auch dabei wird der entsprechende Speicherplatz, wie oben beschrieben, ausgewählt.

Im Programmschritt 24 wird der Fehlerspeicher FP1-FP10 ausgelesen und dazu die Prüfsumme berechnet. In Abfrage 25 wird die berechnete Prüfsumme mit der abgespeicherten Prüfsumme verglichen. Stimmen die Prüfsummen überein, wird das Programm in Programmschritt 28 beendet. Stimmen die Prüfsummen nicht überein, wird der Defektzeiger DZ weitergestellt. Dies geschieht, indem der OFFSET-Wert auf Speicher­ platz DZP ausgelesen, inkrementiert und wieder auf den Speicherplatz DZP abgespeichert wird. Danach wird erneut mit Programmschritt 27 fortgefahren. Lag in Abfrage 21 der Fehler F1 nicht an, wird in Ab­ frage 22 geprüft, ob der Fehler F1 als anliegend eingetragen ist. Ist dies nicht der Fall, wird das Programm in Programmschritt 28 beendet. War der Fehler als anliegend im Fehlerspeicher eingetragen, so wird im Programmschritt 23 der Fehler als nicht anliegend und die dazugehörige Prüfsumme in den nichtflüchtigen Speicher eingetragen. Anschließend findet wieder die Überprüfung der Speichereinträge mit den Programmschritten 24, 25 und 26, wie oben beschrieben, statt.

Das hier beschriebene Ausführungsbeispiel ist nicht auf das Auf­ treten nur einer Fehlermöglichkeit beim Steuergerät beschränkt. Die Erfindung kann ebenfalls zur Anwendung kommen, wenn ein Steuergerät mehrere Fehlermöglichkeiten erkennen kann. Dann werden die qualitativ unterschiedlichen Fehlerinformation in der Reihenfolge ihres Auftretens in den Fehlerspeicher eingetragen. Die Adress­ berechnung ist dann zusätzlich von den bisherigen Eintragungen ab­ hängig. Es wird aber trotzdem nur eine Prüfsumme CS über den ge­ samten Fehlerspeicher gebildet und auf einen der Prüfsummen­ speicherplätze CPA-CPE eingetragen.

Im folgenden wird anhand der Fig. 5 und 6 ein zweites Aus­ führungsbeispiel beschrieben. Dabei kommt die Erfindung in einem Getriebe-Steuergerät zum Einsatz. Das Getriebe-Steuergerät ist für ein Automatikgetriebe vorgesehen. Seine Aufgabe besteht darin, einen optimalen Schaltvorgang durchzuführen, so daß z. B. ein "ruckfreies Fahren" gewährleistet ist. Jeder Schaltvorgang sollte ebenfalls hin­ sichtlich des geringsten Verschleißes und des geringsten Kraftstoff­ verbrauches optimal gestaltet sein.

Eine Größe, die bei einem Schaltvorgang entscheidend ist, ist die Schaltungsdauer. Sie kann vom Steuergerät 10 gemessen werden und durch Einstellung des Drucks auf das Kupplungssystem, welcher z. B. hydraulisch erzeugt sein kann, variiert werden. Im Steuergerät 10 sind im EPROM 14 Sollwerte für die Schaltungsdauer bei jedem Gang­ wechsel für verschiedene Motordrehzahlen abgelegt. Diese Werte sind für den entsprechenden Gangwechsel und die entsprechende Drehzahl optimal. Der Druck für das Kupplungssystem, der die Schaltungsdauer wesentlich beeinflußt, kann aber nicht nur einfach als Sollwert für jeden Schaltungsvorgang aus dem EPROM 14 entnommen werden. Kupplung und Getriebe sind der Alterung unterworfen, so daß der Druck für das Kupplungssystem ständig angepaßt werden muß. Weiterhin ist die Motorleistung bei gegebener Drehzahl keine konstante Größe, sondern z. B. vom Luftdruck abhängig. Auch daraus ergibt sich die Forderung, daß der Druck für das Kupplungssystem ständig adaptiv angepaßt werden muß. Dies geschieht so, daß das Steuergerät 10 die Schal­ tungsdauer für jeden Schaltvorgang erfaßt, den gemessenen Wert mit dem für den Schaltvorgang im EPROM 14 abgelegten Sollwert vergleicht und daraus einen Druckkorrekturwert ermittelt und im RAM 12 auf einen definierten Speicherplatz ablegt. In Abständen von 10 Minuten werden die Einträge vom RAM 12 in das EEPROM 13 übertragen. Dies geschieht derart, daß im EEPROM 13 jeweils ein Korrekturwert für den Druck des Kupplungssystems für jede Schaltmöglichkeit des Getriebes bei unterschiedlichen Motordrehzahlen doppelt abgelegt wird. Dies ist in Fig. 5 darge­ stellt. Es sind dabei drei Blöcke im EEPROM 13 enthalten. In jedem Block sind genug Speicherplätze vorhanden, um die einzelnen Korrekturwerte für die verschiedenen Schaltvorgänge aufzunehmen. Der Einfachheit halber ist in Fig. 5 nur ein Druckkorrekturwert Px ge­ sondert dargestellt. Der Druckkorrekturwert Px ist auf den Speicher­ plätzen BlAPx1 und BlAPx2, d. h. doppelt, abgelegt. Der Druck­ korrekturwert Px1 ist z. B. für den Gangwechsel vom Gang 2 zum Gang 3 bei einer Motordrehzahl zwischen 2000 und 3000 min^-1 gültig. Vor den Kopiervorgängen wird der Speicherplatz DZP ausgelesen. Der In­ halt dieses Speicherplatzes DZP bestimmt, in welchen Block des EEPROM 13 die Korrekturwerte übertragen werden.

Zum Zeitpunkt t1 ist laut Eintragung in den Speicherplatz DZP Block 1 gültig, so daß die Korrekturwerte in Block 1 eingeschrieben sind. Nach jeder doppelten Eintragung eines Druckkorrekturwertes in den Block 1 liest die Zentraleinheit 11 die beiden Speicherplätze für den jeweiligen Korrekturwert aus und vergleicht die beiden Einträge miteinander. Der Vergleich geschieht durch Antivalenzbildung beider Einträge. Stellt die Zentraleinheit 11 keine Abweichung zwischen den beiden Einträgen fest, werden die nächsten Druckkorrekturwerte in das EEPROM 13 eingetragen. Zu den Zeitpunkten t1, t2 sind alle Korrekturwerte ohne Abweichung in das EEPROM 13 übertragen worden. Da der Übertragungsvorgang im laufenden Betrieb des Getriebesteuer­ gerätes sehr häufig wiederholt werden muß, kann es ebenfalls vor­ kommen, daß eine Speicherzelle des EEPROM 13 durch häufige Schreib­ vorgänge defekt wird. Dies ist zum Zeitpunkt tn dargestellt. Dabei konnte in die Speicherzelle des Speicherplatzes B1APx2 der Wert Pxn nicht korrekt eingeschrieben werden. Dies wird beim Vergleich der Speicherinhalte auf den Speicherplätzen B1APx1 und B1APx2 von der Zentraleinheit 11 erkannt. Die Zentraleinheit 11 schreibt daraufhin auf den Speicherplatz DZP die Information, daß von nun an Block 2 gültig ist, ein. Anschließend werden die Korrekturwerte aus dem RAM 12 in Block 2 übertragen. Dies ist zum Zeitpunkt tn + ε, dargestellt. Natürlich findet auch dort wieder der Vergleich zwischen den jeweils doppelt abgelegten Korrekturwerten statt. Die Maßnahme, daß die Korrekturwerte doppelt abgelegt sind, ist deshalb getroffen, weil bei einer Abschaltung der Versorgungs­ spannung während des Übertragungsvorgangs vom RAM 12 in das EEPROM 13 so unter Umständen nur maximal ein Druckkorrekturwert verloren­ geht.

Die Arbeitsweise der Zentraleinheit 12 wird anhand der Fig. 6 er­ läutert. Das zu dem Flußdiagramm zugehörige Programm wird jedesmal für den Übertragungsvorgang vom RAM 12 zum EEPROM 13 in Abständen von etwa 10 Minuten abgearbeitet.

Die Bezugszahl 40 bezeichnet den Programmstart. Im Programmschritt 41 wird ein OFFSET-Wert auf Blockanfang gesetzt. Im Programmschritt 42 wird die durch den OFFSET-Wert bestimmte RAM-Zelle ausgelesen und in den entsprechenden Speicherzellen des gültigen Blocks, der sich aus der Eintragung auf dem Speicherplatz DZP ergibt, doppelt abge­ legt. Im Programmschritt 43 liest die Zentraleinheit 11 die beiden Speicherzellen aus und vergleicht diese miteinander durch Anti­ valenzbildung. Im Programmschritt 44 wird dann abgefragt, ob beide Einträge übereinstimmen. Ist dies der Fall, so wird der OFFSET-Wert in Programmschritt 45 inkrementiert. Anschließend wird in Abfrage 46 geklärt, ob das Blockende schon erreicht ist, d. h., ob alle Werte aus dem RAM 12 in das EEPROM 13 übertragen wurden. Ist dies noch nicht der Fall, wird das Programm mit Programmschritt 42 fortge­ führt. Ist dies der Fall, so wird das Programm im Programmschritt 47 beendet.

War bei Abfrage 44 eine Abweichung zwischen den EEPROM-Einträgen erkannt worden, so wird im Programmschritt 48 in den Speicherplatz DZP die Information eingetragen, daß nunmehr der nächste Block, d. h. Block 2 gültig ist. Danach wird das Programm mit Programmschritt 41 fortgeführt.

Das Ausführungsbeispiel macht deutlich, daß die Erfindung einen großen Einsatzbereich in der Technik hat. Sie kann immer dann einge­ setzt werden, wenn eine dauerhafte Speicherung von Adaptivwerten oder dergleichen sichergestellt sein muß.

Claims (8)

1. Verfahren zur sicheren Abspeicherung von Daten in wenigstens einen nichtflüchtigen, überschreibbaren Speicher einer Datenver­ arbeitungsanlage, mit einem flüchtigen Speicher, mit einer Zentral­ einheit, wobei die Daten von der Zentraleinheit in den nicht­ flüchtigen, überschreibbaren Speicher geschrieben werden, dadurch gekennzeichnet, daß mindestens ein erstes Datenwort auf einen ersten Speicherplatz (DZP) des nichtflüchtigen, überschreibbaren Speichers (13) abgespeichert wird, daß mindestens ein zweites Datenwort auf mindestens einen durch das erste Datenwort gekennzeichneten zweiten Speicherplatz (FP1, B1APx1) des nichtflüchtigen, überschreibbaren Speichers (13) abgespeichert wird, daß mindestens ein drittes Daten­ wort, aufgrund dessen das mindestens eine zweite Datenwort über­ prüfbar ist, gebildet wird und auf mindestens einen durch das erste Datenwort gekennzeichneten dritten Speicherplatz (CPA, B1APx2) des nichtflüchtigen, überschreibbaren Speichers (13) abgespeichert wird, daß zur Überprüfung der Speicherzellen des Speichers (13) das min­ destens eine zweite Datenwort und das mindestens eine dritte Daten­ wort von der Zentraleinheit (11) ausgelesen wird, daß das mindestens eine zweite Datenwort direkt oder indirekt erst nach Verarbeitung durch die Zentraleinheit (11) mit dem mindestens einen dritten Datenwort verglichen wird, daß bei positivem Vergleichsergebnis das neue, erste Datenwort auf dem ersten Speicherplatz (DZP) des nicht­ flüchtigen, überschreibbaren Speichers (13) nicht verändert wird, daß bei negativem Vergleichsergebnis ein neues erstes Datenwort so ermittelt wird, daß für die Abspeicherung weiterer Daten nicht mehr die Speicherplätze des mindestens einen zweiten und dritten Daten­ wortes benutzt werden, daß das neue erste Datenwort auf den ersten Speicherplatz (DZP) des nichtflüchtigen, überschreibbaren Speichers (13) abgespeichert wird und daß bei Abspeicherung weiterer zweiter und dritter Datenworte die entsprechenden Speicherzellen mit den entsprechenden vorgenannten Verfahrensschritten überprüft werden.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß das min­ destens eine zweite Datenwort zuerst in den flüchtigen Speicher (12) eingeschrieben wird und daß nach einem negativen Vergleichsergebnis das mindestens eine zweite Datenwort aus dem flüchtigen Speicher (12) ausgelesen wird und auf mindestens einen durch das neue erste Datenwort gekennzeichneten neuen zweiten Speicherplatz (FP2, B2APx1) des nichtflüchtigen, überschreibbaren Speichers (13) abgespeichert wird und daß das mindestens eine dritte Datenwort aus dem mindestens einen zweiten Datenwort gebildet wird und auf mindestens einen durch das neue erste Datenwort gekennzeichneten neuen dritten Speicher­ platz (FP2, B2APx1) des nichtflüchtigen, überschreibbaren Speichers (13) abgespeichert wird.

3. Verfahren nach einem der vorhergehenden Ansprüche, dadurch ge­ kennzeichnet, daß das mindestens eine dritte Datenwort als Prüfsumme für das mindestens eine zweite Datenwort gebildet und in den nicht­ flüchtigen, überschreibbaren Speicher (13) abgespeichert wird und daß ferner bei der Verarbeitung des mindestens einen zweiten Daten­ wortes diese Prüfsumme aus dem mindestens einen zweiten Datenwort gebildet und mit der abgespeicherten Prüfsumme verglichen wird.

4. verfahren nach Anspruch 1, dadurch gekennzeichnet, daß das mindestens eine dritte Datenwort (Px1, B1APx2) derart gebildet wird, daß es dem zweiten Datenwort (Px1, B1APx1) entspricht und in dem nichtflüchtigen, überschreibbaren Speicher (13) abgespeichert wird, wobei das dritte Datenwort (Px1, B1APx2) zur Überprüfung der Speicherzellen des nichtflüchtigen, überschreibbaren Speichers (13) von der Zentraleinheit aus dem nichtflüchtigen, überschreibbaren Speicher (13) ausgelesen wird und mit dem abgespeicherten mindestens einen zweiten Datenwort (Px1, B1APx1) verglichen wird, wobei bei Abweichung des ausgelesenen dritten Datenworts vom abgespeicherten zweiten Datenwort ein Fehler bei der Überprüfung der Speicherzellen erkannt wird.

5. Verfahren nach einem der vorhergehenden Ansprüche, dadurch ge­ kennzeichnet, daß das mindestens eine zweite Datenwort als Fehlerwort für einen aufgetretenen Fehler, insbesondere bei einem Steuervorgang in einem Kraftfahrzeug, gebildet wird.

6. Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekenn­ zeichnet, daß das mindestens eine zweite Datenwort zu einem Adaptiv­ wert für einen Steuervorgang in einem Kraftfahrzeug ausgebildet wird.

7. Verfahren nach Anspruch 6, dadurch gekennzeichnet, daß als Adaptivwert ein Korrekturwert für den Kupplungsandruck bei einem Ge­ triebeschaltvorgang in einem Kraftfahrzeug gebildet wird.

8. Datenverarbeitungsanlage zur Durchführung des Verfahrens nach einem der vorhergehenden Ansprüche, mit einem nichtflüchtigen, über­ schreibbaren Speicher, mit einer Zentraleinheit und einem flüchtigen Speicher, wobei die Daten von der Zentraleinheit in den nicht­ flüchtigen, überschreibbaren Speicher geschrieben werden, dadurch gekennzeichnet, daß der nichtflüchtige, überschreibbare Speicher (13) als EEPROM ausgeführt ist.