JP4391724B2 - 車両の駆動シーケンス制御の監視方法及びその装置 - Google Patents

Description

【０００１】
【発明の属する技術分野】
車両の駆動シーケンス制御の監視方法及びその装置に関し，さらに詳細には，予め設定される基準の範囲内で冗長なハードウェアにより安全上問題のある機能のプログラムシーケンスを監視する車両の駆動シーケンス制御の監視方法及びその装置に関する。
【０００２】
【従来の技術】
車両内で駆動シーケンスの制御を安全上問題のある実時間使用する場合には，基礎となるハードウェアを駆動中に監視する必要がある。全ての静的及び動的なハードウェアエラーの全てを簡単には発見できないので，使用の本来の機能を実現するソフトウェアについて，安全上問題のあるデータフロー及びコントロールフローに沿って監視されなければならない。これは，一方ではハードウェア近傍の監視によって，そして他方では機能平面の監視により行われる。
【０００３】
ハードウェア近傍の監視は，ハードウェア近傍のテストによるプロセッサの監視により実行され，冗長なハードウェアを使用して行われる。
【０００４】
一方，機能平面の監視は，機能の内部状態を表す揮発メモリ（例えばＲＡＭ）の領域の監視，及び安全上問題のある機能の本来のプログラムコードを有する不揮発性メモリ（例えばＲＯＭ）の領域の監視により実行される（メモリテスト）。また，揮発性メモリあるいは不揮発性メモリのメモリテスト以外の機能平面の監視は，安全上問題のある機能を冗長に形成することによる機能平面の監視と，冗長なハードウェアによる安全上問題のある機能の正確なプログラムシーケンスの監視により行われる。
【０００５】
全ての点を満たすことによって初めて，走行駆動においてソフトウェアがプロセッサ上で正確に実施されると推定することができる。このような個々の安全コンセプトは，ＩＥＣ１５０８スタンダードの，ドラフトスタンダード，パート７，付録Ｃ．９．３「プログラムシーケンスのロジカルモニタリング」に記載されている。
【０００６】
従来においては，ＤＥ１９８２６１３１Ａ１には，予め設定された監視ラスタに同期して作動するプログラムシーケンスコントロールあるいはプログラムシーケンス監視が記載されている。上記公報においては，冗長なハードウェアから伝達される検査ワードあるいは検査デート（以下，質問という）を使用して，プログラムシーケンス監視により部分応答が計算され，その部分応答がプロセッサをハードウェア近傍で監視する指令テストの部分応答と，冗長なハードウェアへの全応答に結合される。
【０００７】
応答は，冗長なハードウェア（以下，監視モジュールという）により検査される。エラーの場合には，エラーディバウンスが能動化されて，その実行後にエラーリアクションが作動される。したがって，部分応答が正しい場合には，プログラムシーケンス監視により個々の部分機能が全て予め設定された頻度で呼び出されて，全て終了されたことが保証される。
【０００８】
しかしながら，機能がコントロールフローに関して（即ち，そのシーケンスが所要時間に関して），正しい順序で呼び出されたことは保証されない。このため，プロセッサによるプログラム実施は間欠的にしか監視できない。
【０００９】
このことは，ＤＥ４１１１４９９Ａ１において開示されている，マイクロコンピュータと，好ましくはゲートアレイとして形成された監視モジュールとを有する車両のための制御システムにも該当する。この監視モジュールは，マイクロコンピュータのシーケンスコントロールを実施し，そのために両者は質問−応答−プレイの範囲内で固定の監視ラスタにおいて，プログラムシーケンスコントロールの時間ラスタに同期して信号値を処理する。監視モジュールは，この処理の結果を比較することにより，マイクロコンピュータの正しい作動又はエラーのある作動を推定する。
【００１０】
同様に，ＤＥ４４３８７１４Ａ１は，出力制御するために，制御機能と監視機能を実施するための唯一のマイクロコンピュータが設けられた車両の駆動ユニットの制御方法と装置が開示されている。このマイクロコンピュータ内で少なくとも２つの互いに独立した平面が定められており，第１の平面は制御機能を実施し，第２の平面は監視機能を実施する。その場合に，シーケンスコントロールを質問−応答−プレイとして実施するアクティブなウォッチドッグを使用すると効果的である。
【００１１】
【発明が解決しようとする課題】
しかしながら，従来技術に開示されている安全コンセプトにおいては，監視モジュールとプロセッサとの間の通信は，固定の時間ラスタにおいてプログラムシーケンスコントロールに同期して実施される。これは，上記従来技術における方法あるいはその装置が，所定の固定された監視ラスタに同期することを意味している。このため，例えば，監視ラスタに同期しない時点又はタイムラスタ（等間隔の時点の連続）で作動される安全上問題のある機能を，プログラムシーケンス監視あるいはプログラムシーケンスコントロールに取り入れることはできない。特に，散発的に作動される安全上問題のある機能（特に，安全上重要な散発的制御機能）は，監視できない。
【００１２】
このように，従来においては，制御機能のプログラムシーケンスの完全で隙間のない監視を行うことができないという問題がある。
【００１３】
したがって，本発明の目的は，全ての安全上問題のある機能の連続的で，完全な隙間のない監視を実行することが可能な新規かつ改良された車両の駆動シーケンス制御の監視方法及びその装置を提供することにある。
【００１４】
【課題を解決するための手段】
上記課題を解決するため，本発明の第１の観点においては，制御ユニット内で制御機能が実施されると共に，前記制御機能を監視する監視機能が実施される，車両の駆動シーケンス制御の監視方法であって，以下のステップを有する：即ち，−監視モジュール（１０１）は，少なくとも１つの質問（Ｆ）を前記制御ユニット（１００）に伝達し，−前記制御ユニット内には第１の監視機能（特にシーケンスコントロール（ＰＡＫ））が設けられており，前記第１の監視機能（シーケンスコントロール）は前記質問（Ｆ）に対して予め設定された第２の時間ラスタにおいて，部分応答（ＴＡ３）を計算し，−前記制御ユニット（１００）は，少なくとも１つの部分応答から前記監視モジュール（１０１）への応答（Ａ）を形成し，−かつ前記応答（Ａ）の形成は，予め設定された第１の時間ラスタで作動され，−前記制御ユニット（１００）は，前記応答（Ａ）を前記監視モジュール（１０１）に伝達し，前記監視モジュール（１０１）は，前記応答（Ａ）に従って制御機能の実施に関するエラーを認識し，−その場合に，前記第１の時間ラスタと前記第２の時間ラスタが相互に非同期である，ことを特徴とする車両の駆動シーケンス制御の監視方法が提供される。
【００１５】
上記記載の発明では，相互の時間的監視を可能にするために，監視モジュールとプロセッサとの間の通信は独立した時間基準に基づいている。さらに，与えられた監視ラスタに対して，あるいはプログラムシーケンスコントロールの時間ラスタに対して非同期であるので，全ての安全上問題のある機能の連続的で，完全で隙間のない時間的及び機能的な監視をおこなうことができる。したがって，特に散発的に作動される安全上問題のある機能も監視することができる。なお，機能は散発的であるとは，機能の作動のための上方と下方の時間限界が示されることをいう。
【００１６】
また，前記質問（Ｆ）は，前記応答形成の作動の前記第１の時間ラスタにおいて伝達される，如く構成すれば，２つの時間ラスタの独立性（即ち，非同期性）によって，応答形成を，予め設定された固定の第１の時間ラスタにおいて作動される。
【００１７】
また，前記質問（Ｆ）は，予め設定された第３の時間ラスタにおいて伝達される，如く構成すれば，第１及び／又は第２の時間ラスタに依存しない第３の時間ラスタにおいて伝達されるので，時間基準の独立性によって，質問としてほぼランダムな検査ワードをプログラムシーケンス監視の部分応答の計算に取り入れることができる。したがって，プログラムシーケンス監視の変化する部分応答が生成され，監視される機能，特に制御機能の実際の処理が保証される。変化する検査ワード（質問）の取込みなしでは，一定の値における部分応答をそのままにするプロセッサエラーがプログラムシーケンス監視を無効にしてしまうことがありるが，本発明では，質問を取り込むことにより，かつその中で誤った部分応答が初期値として次の部分応答形成に引き継がれるエラー状態のループ通過により，効果的に防止される。
【００１８】
また，前記質問（Ｆ）は，イベント制御されて伝達される，如く構成すれば，質問はイベント制御され，例えば機能の呼出しによって作動される。
【００１９】
また，前記制御機能は，前記制御ユニットの第１の機能平面において実施され，前記監視機能は，前記制御ユニットの第２の機能平面及び第３の機能平面において実施され，その場合に，少なくとも前記第１の機能平面と前記第２の機能平面は，エラーが認識されない間，相互に独立している，如く構成すれば，冗長なデータパスが提供される。
【００２０】
また，前記第１の機能平面の制御機能から，少なくとも１つの監視領域が，駆動シーケンスの制御の経過時間に対して一定のシーケンスを形成する選択可能な機能が前記少なくとも１つの監視領域内にまとめられるように，形成される，如く構成するのが効果的である。監視領域を使用して部分応答が形成されるので，監視領域は検査デートあるいは質問によりさらに時間的に監視される。これは，監視領域が監視ラスタの内部で少なくとも１回作動されるからである。このことにより，システム過負荷の場合には部分応答は正しい時間に形成されないので，このような誤った応答は，監視モジュールによりエラーあるいはエラー状態として検出することができる。
【００２１】
また，前記少なくとも１つの監視領域は，前記第１の監視機能（シーケンスコントロール（ＰＡＫ））に取り込まれ，かつ前記監視領域の作動は，前記第１の監視機能（シーケンスコントロール（ＰＡＫ））に同期して行われ，かつ前記応答形成の作動に非同期で行われる，如く構成するのが好ましい。このように，監視ラスタと応答形成との間の非同期の関係において，安全上問題となる機能の完全かつ連続的な監視が効果的な方法で得ることができる。定められたエラー潜伏時間がプログラムシーケンス監視と応答形成との非同期性によって維持される。機能的に，プログラムシーケンスが正しいことは，機能呼出しの頻度が監視され，シーケンスとしての機能呼出しの頻度が監視され，１及び／又は複数の機能の，正しい開始と正しい終了を有する正しい経過により保証されている。
【００２２】
また，前記応答（Ａ）は，前記第３の機能平面において，前記制御ユニットの監視機能の部分応答から形成される，如く構成するのが好ましい。このとき，個々の部分応答を形成する相応する監視機能は，任意の機能平面に含めることができる。
【００２３】
また，前記第１の監視機能（シーケンスコントロール）内で，少なくとも１つのテストワード（ＴＷ１，ＴＷ２，ＴＷ３，ＴＷ４）が生成され，前記テストワードは，前記少なくとも１つの監視される制御機能の作動の数を示すカウンタと，少なくとも１つの監視される制御機能を同定する識別子からなる，如く構成するのが好ましい。
【００２４】
また，チェックサム計算が，ジェネレータ多項式によって，前記少なくとも１つのテストワード（ＴＷ１，ＴＷ２，ＴＷ３，ＴＷ４）に対して質問（Ｆ）が供給されるように，あるいは質問が存在しない場合には定数が供給されるように，実施され，結果が部分応答として応答形成に利用される，如く構成するのが好ましい。
【００２５】
また，前記供給される定数は，プログラムシーケンスにエラーがある場合に，結果がチェックサム計算の初期値に正確に一致するように選択される，如く構成するのが好ましい。
【００２６】
また，プログラムシーケンスにエラーがあり，かつ定数が供給された場合に，前記結果は，チェックサム計算の最初の初期値とは異なる，如く構成するのが好ましい。
【００２７】
また，前記結果が再び次のチェックサム計算の初期値としてさらに使用されて，１回エラーがあったプログラムシーケンスも誤った結果として最終的な評価まで認識可能であり続ける，如く構成するのが好ましい。
【００２８】
上記課題を解決するため，本発明の第２の観点においては，制御機能が実施される制御ユニット（１００）と，制御機能を監視する監視機能が共に実施される，少なくとも第１の手段が設けられている監視モジュール（１０１）とを有する，車両の駆動シーケンス制御の監視装置であって，−前記監視モジュール（１０１）は，少なくとも１つの質問（Ｆ）を前記制御ユニット（１００）に伝達する第２の手段を有しており，−前記第１の手段は，第１の監視機能（特にシーケンスコントロール（ＰＡＫ））を実施し，その場合に前記第１の手段は，予め設定された第２の時間ラスタにおいて，前記質問（Ｆ）に対して部分応答（ＴＡ３）を計算し，−前記制御ユニット（１００）は，少なくとも１つの部分応答から前記監視モジュール（１０１）への応答（Ａ）を形成する第３の手段を有しており，その場合に，前記第３の手段は予め設定された第１の時間ラスタにおいて応答（Ａ）の形成を作動させ，−前記制御ユニット（１００）内の第４の手段が，前記応答（Ａ）を監視モジュール（１０１）に伝達し，かつ−前記監視モジュール（１０１）内に，前記応答（Ａ）に従って制御機能の実施に関するエラーを認識する第５の手段が設けられており，−前記第１の手段は第２の時間ラスタで，前記第３の手段は第１の時間ラスタで相互に非同期で作動する，車両の駆動シーケンス制御の監視装置が提供される。
【００２９】
上記記載の発明では，相互の時間的監視を可能にするために，監視モジュールとプロセッサとの間の通信は独立した時間基準に基づいている。さらに，与えられた監視ラスタに対して，あるいはプログラムシーケンスコントロールの時間ラスタに対して非同期であるので，全ての安全上問題のある機能の連続的で，完全で隙間のない時間的及び機能的な監視をおこなうことができる。
【００３０】
【発明の実施の形態】
以下に添付図面を参照しながら，本発明の好適な実施の形態について詳細に説明する。なお，本明細書及び図面において，実質的に同一の機能構成を有する構成要素については，同一の符号を付することにより重複説明を省略する。
【００３１】
（第１の実施の形態）
まず，図１に基づいて，第１の実施の形態にかかる駆動シーケンスを監視する制御システムの構成について説明する。なお，図１は，本実施形態にかかる駆動シーケンス監視制御システムの構成を示すブロック図である。
【００３２】
まず，図１に示すように，本実施形態にかかる駆動シーケンス監視制御システムは，制御ユニット１００と監視モジュール１０１とを有する。制御ユニット１００は，例えばプロセッサ，マイクロコンピュータなどである。かかる制御ユニット１００は，入力データ（あるいは入力量）ＥＧを受け取る。理解を容易にするために，入力量のソースは，ブロック１０２内に統合している。入力量は，車両における駆動シーケンスの範囲内で，センサ，アクチュエータ及び他の制御ユニットなどに由来し，例えばバスシステム又は各導線を介して制御ユニット１００に供給される。
【００３３】
内燃機関の制御の範囲内で，この入力量は，例えば運転者意図測定装置の，例えば運転者により操作可能な操作部材（例えばアクセルペダル）の位置を検出する位置検出機構の入力量（例えばペダル目標値）である。また，他の入力量は，例えば走行速度制御ＦＧＲ又はエンジンドラッグトルク制御ＭＳＲの信号及び回転数信号などである。
【００３４】
制御ユニット１００の出力信号（あるいは出力量）ＡＧ１は，その後，アクチュエータ，出力段あるいは他の制御ユニットなどに供給される。これらは，理解を容易にするために，ブロック１０３に統合されている（上記入力量をブロック１０２に統合したのと同様である）。
【００３５】
これら出力段（あるいはアクチュエータ）の接続は，ここでも各導線，バスシステム，例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ−Ａｒｅａ−Ｎｅｔｗｏｒｋ）によりおこなうことができる。その場合に，入力量あるいは出力量は，各々，ワイヤレス接続とすることもできる。
【００３６】
駆動ユニットの制御の範囲内で，かかる出力信号ＡＧ（ＡＧ１及び／又はＡＧ２）は，例えば点火時点の制御信号，噴射時点の制御信号又は燃料調量の制御信号，あるいは好ましくは電気的に操作可能な絞り弁による空気供給の制御信号などが該当する。同様に，出力信号は，例えばホットフィルム空気質量計の信号によって示される空気質量又は点火角度とすることができる。
【００３７】
本実施形態にかかる制御システムを使用して例えばブレーキシステムを制御する場合には，入力量として，走行速度制御の信号，好ましくは運転者により操作可能な操作部材（例えばブレーキペダル）の位置を検出する位置検出機構を有する運転者意図測定装置の信号などが設けられる。同様に，ブレーキシステムの範囲内で，車輪回転数信号のような入力信号を設けることもできる。他の制御の範囲内で，走行動特性制御の範囲内のヨーレート信号ＥＳＰ，走行速度信号などとすることができる。
【００３８】
一方，出力信号は，ブレーキシステムのアクチュエータ，例えば弁又はポンプなどの圧力供給手段のための操作信号などである。したがって，かかる制御は，例えばアンチロックブレーキングシステムＡＢＳ，駆動スリップ制御ＡＳＲ又は走行動特性制御ＥＳＰ及びブレーキ作用及び／又は車両動作を制御する他の閉ループ制御あるいは開ループ制御などにおいて使用することができる。同様に，かかる制御システムは，トランスミッション制御，操舵制御において，例えばステア−バイ−ワイヤなどにおいて，各々，それに応じた好適な入力量と出力量を使用して実施することができる。
【００３９】
導線（あるいは信号パス）１０９，１１０は，選択的であって，出力段ブロック１０３（例えば絞り弁出力段）への監視モジュールあるいは機能監視の「イネーブル信号」などを表している。
【００４０】
なお，図１に示す制御システムは，一般的な制御システムを象徴的に示したものであって，車両に関する全ての駆動シーケンスを制御する場合に使用することができる。その場合に，制御ユニット１００は，各々，上記のように，使用に従って区別できる制御装置ソフトウェア１０４を有している。通常，制御装置ソフトウェアは，３つの部分（いわゆる機能平面）１０５，１０７及び１０８を有しており，監視モジュールと協働して駆動シーケンスの制御の監視を実現する。
【００４１】
相互の時間的監視を可能にするために，制御ユニット１００内と監視モジュール１０１内の機能性は，相互に独立な異なる時間基準に基づいている。このため，例えば振動クォーツ，カウンタ回路，時計などの各種タイミング発生器が使用される。
【００４２】
監視モジュール１０１は，プロセッサを，時間的及び機能的に監視するので，各種監視機能の質問Ｆ（検査ワード，検査デート）あるいは好適な部分ワードを使用して監視モジュールへの応答を形成する応答形成は，予め設定された固定のタイムラスタで作動される。但し，応答ラスタの所望の蓋然性検査においてのみ，異なる処理方法が考えられる。
【００４３】
検査ワード，検査デート（あるいは質問Ｆ）自体は，例えば４ビット幅のデータワードであって，制御ユニット（機能計算機）１００に伝達される。質問として，所定数（例えば１６個）の検査ワードが，ほぼランダムに生成される。例えば制御ユニット１００内で３２ビットのビット幅で計算が行われる場合には，各々，４ビット幅のデータワードにおいて（２^４＝１６），２^３２の可能性から１６検査ワードあるいは１６の付属の応答のみが妥当である。
【００４４】
質問を使用して，様々な監視機能（特にプログラムシーケンスコントロールＰＡＫ）は，各種部分応答を形成する。この部分応答の形成は，唯一の監視ラスタ内で行うことができ，あるいは様々な時間ラスタ内で行うことができる。
【００４５】
しかしながら，本実施形態においては，質問／応答−通信と監視機能（特にプログラムシーケンスコントロールＰＡＫ）の１つ又は複数の時間ラスタとの間に，時間的な結合は存在しない。このことにより，本実施形態にかかる方法，即ち，応答形成の作動が該当する監視時間ラスタに対して非同期で実施されることが達成される。
【００４６】
本実施形態にかかる監視機能を含む制御装置ソフトウェア１０４は，上記のように，３つの機能平面で構成されている。このとき，第１の機能平面（ブロック１０５）は制御機能を有し，第２の機能平面（ブロック１０７）は監視機能（いわゆる機能監視）を有し，第３の機能平面（ブロック１０８）は監視モジュール１０１に応答Ａを伝達するための応答形成を有する。
【００４７】
監視機能は，本実施形態においては，第２の機能平面の以外に，第３の機能平面にも位置付けられている。なお，機能監視の範囲内で，監視すべき機能あるいはプログラム部分においては，制御機能と要素監視などのハードウェア監視機能との間の区別はない。
【００４８】
これらの機能は，車両の駆動シーケンスを制御するための，いわゆる一次機能であって，以下においては制御機能に分類される。これら一次機能又はプログラム部分の監視と管理に使用される二次機能は，本実施形態における本来の監視機能である。
【００４９】
内燃機関制御の場合には，第１の機能平面は，例えば全てのエンジン制御機能と，絞り弁センサ装置，絞り弁駆動装置のための要素監視と，例えば速度信号を検出するため，又はブレーキに関するセンサ装置のための要素監視も含む。また，駆動制御の場合には，例えば速度とブレーキに関する残りのドライブトレインの信号は，バスシステム例えばＣＡＮを介して第１の機能平面内で提供することができる。このように，第１の機能平面は，本実施形態においては，要素故障についての代替機能を有している。
【００５０】
第２の機能平面（ブロック１０７）は，例えば，特に独立したパス（専用のＲＡＭあるいはＲＯＭ領域）を介しての運転者意図の認識を含んでいる。その場合に，ＲＯＭの保護は，プログラムモジュールあるいはプログラム部分又は機能の最初の処理と最後の処理の間でプログラムコードが正しいことを保証するために，所定領域内で別途に行われる。質問／応答−通信のプログラム部分は，保護すべきメモリ領域（特にＲＯＭ領域）内にあってはならない。これは，エラーのある処理又は処理が実行されないことは誤った応答をもたらし，別の監視モジュールによって冗長なハードウェアとして認識されるからである。
【００５１】
同様に，第２の機能平面は，例えば制御ストラテジーの範囲内でオブザーバーによって，エンジン変量からエンジン実際トルクを計算すること，及び運転者意図とエンジン実際トルクを永久的に蓋然化すること，さらに絞り弁出力段（ＤＫ電流なし）とＳＫＡ要請のための遮断パスを有している。同様に，第２の機能平面内に，部分結果，従って質問−応答−通信のための部分応答を計算するシーケンスコントロールされるプログラムモジュールを含めることができる。その場合にこれらのモジュールは，同様に，第３の機能平面（ブロック１０８）に含めることもできる。
【００５２】
この第３の機能平面（ブロック１０８）は，機能計算機１００の自己監視，例えば揮発性あるいは不揮発性メモリ領域（即ち，上記ＲＡＭとＲＯＭ）のためのメモリテスト，指令テスト，ＡＤＣテスト及び少なくとも平面２のプログラムモジュールのプログラムシーケンスコントロールを含む（選択的に，第１の機能平面からの監視領域のプログラムシーケンスコントロールへの取込み）。同様に，第３の機能平面には，冗長な別のハードウェアとして設けられているにもかかわらずハードウェア監視モジュールが機能的に対応付けられており，このことにより，ランダムな質問を有する質問−応答−通信，ＲＡＭとＲＯＭ領域のためのメモリテスト及び独立した遮断パステストを，監視モジュール（機能的な第３の機能平面）の一部として見なすことができる。
【００５３】
同様に，第３の機能平面内には，機能計算機と監視モジュールの時間領域と値領域における相互の監視が設けられており，その場合に第３の機能平面内でシーケンスコントロールにエラーが確認された場合には，次のエラー反応を実施することができる。
【００５４】
応答がない場合，あるいは応答が誤っている場合には，エラーディバウンス後に，エンジンのトルク生成を確実に阻止するエラー反応，例えばトルクを定める出力段（例えば噴射弁，点火，絞り弁）のオフが，冗長なハードウェア（監視モジュール）を介して実行される。その場合に，同様に，他のエラーストラテジーも考えられる。
【００５５】
また，ブロック１０５内（即ち，第１の機能平面）において，複数の監視領域あるいは少なくとも１つの監視領域が形成される。監視領域と見なされるのは，所定の安全上問題のある機能あるいは制御機能及び／又は，応答内に取り込まれるべき，あるいは応答形成の際に利用される機能ハードウェアの部分領域（ブロック１０６）である。即ち，第１の機能平面の監視領域は，例えばペダル値発生器ＰＷＧの要素監視，又は絞り弁センサ装置の要素監視からなる。その場合に，１又は複数の監視領域は，同様に，プログラムシーケンス監視ＰＡＫに取り込まれ，第３の機能平面における全応答形成に部分応答を供給する。
【００５６】
プログラムシーケンスコントロールに取り込まれる機能ソフトウェアの監視領域（ブロック１０６），即ち，第１の機能平面内の制御機能あるいは安全上問題のある機能は，質問を使用して部分応答を形成し，その部分応答は監視モジュールへの最終的な応答の形成に入り込む。かかる関係は，図１には，部分応答ＴＡ２として示されている。監視領域は，既に説明したように，純粋な機能監視によっては十分に取り入れられない安全上問題のある機能から構成されている。
【００５７】
第２の機能平面（ブロック１０７）における機能監視は，第１の機能平面内で機能ソフトウェアの入力データと出力データを使用してこの機能ソフトウェアを監視するソフトウェアダイバーシティアルゴリズムである。その場合に，出力段あるいはアクチュエータへも供給される同一の出力データＡＧ１が機能監視に引き継がれるか，あるいは異なる出力量ＡＧ２が機能監視に受け入れられるかは，機能性あるいは使用される監視機能に依存する。本実施形態においては，両方とも可能である。第２の機能平面（ブロック１０７）の機能監視は，同様に，第３の機能平面のプログラムシーケンスコントロールに取り入れられる。
【００５８】
次に，図２に基づいて，本実施形態にかかる機能監視についてより具体的に説明する。なお，図２は，本実施形態にかかる駆動シーケンス制御の具体的な機能監視を示すブロック図である。
【００５９】
まず，図２に示すように，入力量として，例えばペダル目標値ＥＧ１，ＦＧＲ−信号（走行速度制御）ＥＧ２，ＭＳＲ−信号（エンジンドラッグトルク制御）ＥＧ３及びＥＧ４としての回転数が使用される。
【００６０】
ブロック２０２では，機能Ｆ１として，ペダル目標値保護あるいはペダル目標値監視が行われる。ブロック２０３では，機能Ｆ２として，ＦＧＲ−トルク介入保護あるいはトルク介入監視が行われる。ブロック２０４では，機能Ｆ３として，ＭＳＲ−トルク介入保護あるいはトルク介入監視が行われる。ブロック２０５では，機能Ｆ４として，エンジン回転数が保護され，あるいは監視される。
【００６１】
その後，これらのブロック２０２〜２０５からのデータに基づいて，ブロック２００で，機能Ｆ５として，許容されるトルクが計算される。
【００６２】
同様に，機能ソフトウェアの制御機能によって出力データあるいは出力量が機能監視へ引き渡される。この出力量ＡＧ２は，例えばＡＧ２ａとして，ホットフィルム空気質量測定器信号の形式の空気質量であり，例えばＡＧ２ｂとして，点火角度である。したがって，ブロック２０７では，機能Ｆ８として，負荷信号が保護あるいは監視され，ブロック２０８では，機能Ｆ９として，点火角度が保護あるいは監視される。
【００６３】
その後，ブロック２０６では，機能Ｆ７として，ブロック２０７，２０８の出力量から実際トルクが計算される。ブロック２００（機能Ｆ５）及びブロック２０６（機能Ｆ７）に基づく変量よって計算されたトルクは，その後，ブロック２０１（機能Ｆ６）で突き合わされてトルクが比較される。本実施形態にかかる内燃機関制御の例においては，Ｆ１〜Ｆ１０は，機能監視の機能を表している。
【００６４】
ブロック２０９（機能Ｆ１０）は，エラー反応監視である。各機能ＦＲ１〜ＦＲ７のエラー反応と回転数監視の値が，このエラー反応監視に取り入れられる。
【００６５】
入力データと出力データによる機能監視は，例えば４０ｍｓの監視サイクルＴ４で行われる。この時間Ｔ４後には，全ての監視機能（例えばＦ１０，Ｆ２０及びＦ４０）が，固定された順序で少なくとも１回処理されている。
【００６６】
このサイクルに，例えば時間ラスタＴ１（例えば１０ｍｓ）の機能Ｆ１０，時間ラスタＴ２（例えば２０ｍｓ）の機能Ｆ２０，時間ラスタＴ４（例えば４０ｍｓ）の機能Ｆ４０のように，様々な時間ラスタの監視機能も含めることができる。このことにより，時間ラスタＴ４（例えば４０ｍｓ）に関して固定された周期的な順序が得られる。
【００６７】
本実施形態においては，例えばＦ１０（第１の１０ｍｓラスタに応じて），Ｆ１０，Ｆ２０（第２の１０ｍｓラスタに応じて），Ｆ１０（第３の１０ｍｓラスタに応じて）Ｆ１０，Ｆ２０，Ｆ４０（第４の１０ｍｓラスタに応じて）となる。
【００６８】
さらに，監視領域の決定について再び詳細に説明する。安全上問題のあるプログラム部分のプログラムシーケンス及び／又は機能の監視は，連続的に行われるべきである。安全上問題のあるプログラム部分及び／又は機能と，その作動ラスタあるいは作動時点は，例えばシステム要請において決定される。したがって，これは，時間的なラスタであっても，イベント制御される時点であってもよい。
【００６９】
プログラム部分について，経過時間に対して時間的及び動的に固定されたコントロールフローが示される場合には，機能を１つの監視領域内にまとめることができる。例えば２つの機能Ｆ１と機能Ｆ２との間のコントロールフローは，例えばＦ１，Ｆ２；Ｆ１，Ｆ２，Ｆ２；Ｆ１，Ｆ２，Ｆ１，Ｆ１，Ｆ２などのように，経過時間に対して一定のシーケンスが示される場合に，固定とみなされる。時間的な監視領域は，シーケンスの第２の機能の作動とシーケンスの最後の機能の終了との間の時間長さから得られる。
【００７０】
それに対して，経過時間に対して監視される機能の間のコントロールフローが変化する場合（即ち，例えば２つのプログラム部分について１つの時点でＦ１，Ｆ２又はＦ２，Ｆ１が成立する場合）には，機能あるいはシーケンスは，各種監視領域に分割される。各監視領域について，冗長なハードウェアの入力デートに対して部分応答が形成される。
【００７１】
全ての監視領域の部分応答は，ハードウェア近傍のプロセッサテストの部分応答と，例えばＸＯＲ指令を介して結合される。即ち，例えば機能監視から少なくとも１つの部分応答ＴＡ１又はさらに機能ソフトウェアの監視領域からの部分応答ＴＡ２（図１に示すブロック１０６）が応答形成に引き渡される。
【００７２】
プロセッサを時間的に監視するために，応答形成自体が，予め設定された固定のラスタで作動される。できるだけ質問に依存するプログラムシーケンスコントロールあるいはプログラムシーケンス監視ＰＡＫを可能にするために，質問（即ち，検査デートあるいは検査ワード）が監視領域の監視の最後に部分応答形成に取り込まれる。もたらされた部分応答（ＴＡ１あるいはＴＡ２）は，図１に示すブロック１０８で応答形成に取り込まれる。
【００７３】
次に，図３に基づいて，部分応答から応答を形成する工程を説明する。なお，図３は，本実施形態にかかる制御ユニットと監視モジュールを示すブロック図である。
【００７４】
まず，図３に示すように，質問Ｆが，監視モジュール１０１から機能計算機（制御ユニット）１００に伝達される。この検査ワード（質問）は，その後，種々の機能平面及び／又は監視領域内で部分応答形成に利用することができる。
【００７５】
第２の機能平面（ブロック１０７）は，入力量ＥＧを得る。かかる入力量は，まず，入力信号を引き受けるブロック１０７ａに供給されて，その後ブロック１０７ｂ内の本来の機能監視に伝達される。その後，ブロック１０７ｃで，エラー反応出力がエラー反応ＦＲと結合される。上記ブロック１０７ａ〜１０７ｃは，機能Ｆ１，Ｆ２などに関する機能監視に相当する。その場合に，各モジュール１０７ａ〜１０７ｃは，プログラムシーケンスコントロールＰＡＫに結合されている。
【００７６】
本実施形態においては，このプログラムシーケンスコントロールは，第３の機能平面（ブロック１０８）のブロック３００に位置付けられており，それが破線で示されている。したがって，ブロック３００におけるこのプログラムシーケンスコントロールＰＡＫ内で，部分応答ＴＡ３が形成される。
【００７７】
同様に，ブロック３０１では，部分応答ＴＡ４が形成される。ブロック３０１は，例えば予め既に挙げた指令テストに相当し，その指令テストにおいては質問固有のテストデータを用いて応答形成のための応答分担ＴＡ４が準備される。例えば既に説明したメモリテストが，他のブロック３０３として，第３の機能平面に含まれている。その後，ブロック３０２では，取り入れられた部分応答ＴＡ３，ＴＡ４から監視モジュールのための応答全体Ａが形成される。既に説明したように時間的な監視の理由から，応答形成の作動は，監視ラスタに対して非同期の時間ラスタにおいて行われる。
【００７８】
したがって，質問／応答−通信とプログラムシーケンスコントロールＰＡＫとの間には，時間的な結合は存在しない。プログラムシーケンスコントロールのプログラムモジュールは，固定の順序に応じて所定の時間ラスタ（例えば１０ｍｓ）で，周期的に処理される。例えば４０ｍｓ後には，ＰＡＫ−サイクルは終了しており，プログラムシーケンスコントロールの全てのプログラムモジュールは少なくとも１回通過されている。質問／応答−通信も，同様の固定の時間ラスタ（例えば１０ｍｓ）で処理される場合には，状態制御は非同期性を保証する。
【００７９】
したがって，質問／応答−通信のためのプログラムモジュールは，例えば早すぎる，遅すぎるなどの異なる出力時点によって，監視モジュールを監視するための状態制御を有する。出力時点あるいは伝達時点によって，監視モジュールの新しい監視サイクルが開始され，固定の時間ウィンドウに的中させるためには，質問／応答−通信はその監視サイクルに各々新たに同期しなければならない。このことにより，質問／応答−入／出力時点は，プログラムシーケンスコントロールＰＡＫに対して浮動状態にされる。
【００８０】
ＰＡＫ−プログラムモジュールは，順番に処理される。各プログラムモジュール内で，開始オペレーションと閉鎖オペレーションが実施されて，完全なモジュールあるいは機能シーケンスが監視される。開始オペレーションにおいては，テストワードが形成される。このテストワードは，各々ＰＡＫ−サイクル（例えば４０ｍｓ）毎のモジュール呼出しの数を検出するモジュール呼出しカウンタとモジュール固有の定数から構成される。テストワードフォーマットは，例えば３２ビットのデータ幅を有しており，例えばビット３１−２７が各々ＰＡＫ−サイクル当たりのモジュール呼出しカウンタに相当し，ビット２６−０がモジュール固有の定数に相当する。
【００８１】
閉鎖オペレーションにおいては，開始オペレーションにおいて形成されたテストワードによって，検査及びテスト合計計算が実施される。このチェックサム計算は，例えばＭＩＳＲ（ｍｕｌｔｉｐｌｅ ｉｎｐｕｔ ｓｉｇｎａｔｕｒｅ ｒｅｇｉｓｔｅｒ）チェックサム方法において行われる。完全なＰＡＫ−サイクルの経過後に，結果としてＣＲＣ−チェックサムがレジスタ，特にシグネチャーレジスタに書き込まれる。
【００８２】
ＰＡＫ−サイクルの間に新しい質問が発生しなかった場合には，ＭＩＳＲ−方法によるこのチェックサムに，他の定数が加算される。かかる定数は，通過にエラーがなかった場合には結果が初期値に一致するように定められている。この結果によって，次のＰＡＫ−サイクルはＭＩＳＲ−方法で加算される。プログラムシーケンスにエラーがある場合には，結果は初期値に一致しないので，以降の正しいプログラムシーケンスにおいても，エラーがループ通過されて，次の応答計算に入り込む。
【００８３】
ＰＡＫ−サイクルの間に新しい質問が生じた場合には，ＭＩＳＲ−方法によって定数の代わりに質問が加算されて，結果が部分応答として，例えばレジスタ，部分応答レジスタに格納される。同時に，上記シグネチャーレジスタが初期値にリセットされて，質問がリセットされ，次のＰＡＫ−サイクルが続行される。このことにより，質問固有の結果がＰＡＫ−部分応答に含まれる。
【００８４】
ＰＡＫの部分応答ＴＡ３は，例えば指令テストの部分応答ＴＡ４と共に応答形成のブロック３０２において応答デコーダに供給され，その応答デコーダはそれに基づいて監視モジュール１０１のための応答Ａを形成する。ＰＡＫ３００と指令テスト３０１に基づく部分応答が正しい場合には，正しい応答が，そうでない場合にはエラーとして認識可能な応答が準備されて，その後伝達される。
【００８５】
次に，図４に基づいて，本実施形態にかかる監視されるプログラムシーケンスついて説明する。なお，図４は，本実施形態にかかる監視されるプログラムシーケンスを具体的に示す説明図である。
【００８６】
図４に示すように，質問／応答−通信とＰＡＫの非同期の結合及び異なる時間ラスタにおいて，プログラムシーケンスあるいは機能の連続的な完全な監視が実現される。シーケンスコントロールＰＡＫは，安全上問題のある重要なプログラム部分及び／又は機能が所定の時間ラスタで，かつ定められた順序で周期的に通過されることを保証する。
【００８７】
この方法が，二重に形成されたプログラムコード部分の一方のプログラムコード部分が他方の多重実施により入れ替わり置換されたことや，プログラムコード部分を飛び越したことも認識することが保証される。これは，各プログラムモジュールあるいは各安全上問題のあるプログラムコード部分及び／又は各安全上問題のある機能が，最初と最後にテスト個所を有していることによって達成することができる。
【００８８】
全ての場合を各種時間ラスタに関してカバーするためには，特に監視領域の，機能の作動に関して高速のラスタと低速のラスタが区別されなければならない。
【００８９】
したがって，監視領域が応答形成に対してより高速の時間ラスタあるいは同一の時間ラスタで作動される場合には，各監視サイクルにおいて応答を形成できることが保証されると言える。同様に，質問が監視ラスタの範囲内で正しい時期に存在する限りにおいて，イベント制御される質問設定にも当てはまる。
【００９０】
この場合，即ち，より高速又は同一の時間ラスタにおいては，監視領域の作動あるいはそれからもたらされる部分応答が応答形成に取り入れられる。応答形成への取込みによって監視領域の時間的な監視が保証される。システム過負荷の場合には，部分応答はもはや正しい時期には形成されない。このような誤った応答は，監視モジュールによって検出される。したがって，監視時間ラスタ内で応答形成の作動の内部で，監視領域が少なくとも一度作動されたことが，保証される。かかる簡略化されたデッドライン監視は，非常に多くの安全上問題のある使用にとって十分である。
【００９１】
監視領域が応答形成に比較して低速の時間ラスタで作動され，あるいは応答形成に取り入れることができない程に質問設定が非常に遅く行われる場合には，各監視サイクル内でこれに関する実際の部分応答を考慮することはできない。その場合に，応答形成のための時間長さはｄａｎｔｗｏｒｔであって，監視領域の計算のための時間長さはｄｂｅｒｅｉｃｈであり，その場合に
ｄｂｅｒｅｉｃｈ＞ｄａｎｔｗｏｒｔ
が成立する。
即ち，時間長さ
ｎ＊ｄａｎｔｗｏｒｔ，（但し，ｎ＊ｄａｎｔｗｏｒｔ＞２＊ｄｂｅｒｅｉｃｈ）
の内部で部分応答形成が可能である。
【００９２】
したがって，部分応答が存在しない応答形成の監視サイクル内では，最後の有効な部分応答を使用することができる。当然ながら，ｎサイクル後に部分応答が存在しなければならないことは保証されている。その場合に，部分応答は，監視に取り入れられる。監視領域が散発的に作動される場合には，その上方の時間制限は，応答形成を有する同期化の設計とみなされる。したがって，この場合も，上記の場合と同様である。
【００９３】
番号は，各機能及び／又は各プログラムモジュールを表している。例えば３２ビット幅のテストワードを選択した場合には，０〜２６の範囲内にある。その場合に，機能の番号付与と順序関係の間に関係があってはならない。この順序関係については，後に詳細に説明する，上記説明したようにチェックサムアルゴリズム（例えばＭＩＳＲ）を介して保証される。当然ながら，各機能には，一義的な番号が割り当てられなければならない。
【００９４】
また，図４には，ブロック４００における機能ｉとブロック４０３における機能ｉ＋１についてのシーケンスが示されている。その場合に，アルゴリズムは，以下のように変換される。
【００９５】
テストワードフォーマットあるいはテストワードは，作動の実際の数をカウントするカウンタ（モジュール呼出しカウンタ，上方のｍ−ビット）とステータスワード（モジュール固有の定数，下方のｋ−ビット）から構成される。ステータスワード内で，機能の引き渡された実際の番号は，各々ビット−個所によって表される。したがって，テストワードは，ｍ＋ｋビットを有している。
【００９６】
機能ｂｅｇｉｎ−ｃｈｅｃｋにおいて，中間レジスタにステータスワードの，番号に対応するビット個所がセットされ，作動の数が増分される。ここに示すように，ブロック４０１においては，機能ｉについて，ブロック４０４においては機能ｉ＋１についてである。ブロック４０２とブロック４０５内の機能ｅｎｄ−ｃｈｅｃｋは，ステータスワードの，数に相当するビット個所を中間レジスタに新たにセットする。
【００９７】
実際のチェックサムと中間レジスタの内容を使用して，チェックサムアルゴリズムによって新しいチェックサムが計算される。
【００９８】
ブロック４０６のｆｉｎｉｓｈ−ｃｈｅｃｋは，実際のチェックサムを補正値と，あるいは高速タイムラスタにおける監視においては，監視モジュールの検査ワードと結合する。
【００９９】
上記チェックサム方法において，テストワードのシーケンスあるいは順序（ＴＷ１〜ＴＷ４）がジェネレータ多項式によって割り算される。
ＴＷ１ ＴＷ２ ＴＷ３ ＴＷ４ ０：ジェネレータ多項式＝余り
余りが計算に算入されると，以下のようになる：
ＴＷ１ ＴＷ２ ＴＷ３ ＴＷ４ 余り：ジェネレータ多項式＝０
【０１００】
コードワードの入れ替え又は飛び越しは，上記テストワードフォーマットにおいてこの方法によって認識される。機能の二重形成あるいは機能の飛び越しを確実に発見するために，さらに，機能の作動の数がテストワード計算に取り込まれる。
【０１０１】
チェックサム計算方法は，例えば上記のように，ＭＩＳＲ−方法（Ｍｕｌｔｉｐｌｅ Ｉｎｐｕｔ Ｓｉｇｎａｔｕｒｅ Ｒｅｇｉｓｔｅｒ）を使用することである。選択されたジェネレータ多項式として，同様に標準化された多項式，例えばＣＲＣ−３２を使用することができる。
【０１０２】
一般に，エラーの場合には，誤ったチェックサムを形成することが保証されている，ジェネレータ多項式あるいは方法を使用することができる。このことは，提案されているチェックサム方法と提案されているジェネレータ多項式及び上記テストワードフォーマットについて満たされている。
【０１０３】
次に，図５及び図６に基づいて，本実施形態にかかる少なくとも１つの監視領域に関する高速及び低速のラスタによる監視について説明する。なお，図５は，少なくとも１つの監視領域に関する高速のラスタによる監視を示す説明図である。図６は，少なくとも１つの監視領域に関する低速のラスタによる監視を示す説明図である。
【０１０４】
まず，図５に示すように，高速のラスタの連続的な監視は，以下の方法により保証される。監視領域の実施の最後に新しいチェックサムあるいは監視モジュールからの質問が存在しない場合には，チェックサム計算のための補正値を使用して結果が形成される。結果は，監視領域を次に作動する際に，スタート値として使用される。監視領域の実施の最後に，新しい検査デートが存在する場合には，結果は検査データを使用して形成される。次の作動の際のスタート値としては，定数が使用される。
【０１０５】
この関係が，図５に示されている。エラー，例えば検査デートなし，質問なしの作動における過渡的なハードウェアエラーが発生した場合には，エラーは次の作動のための誤ったチェックサム形成とスタート値形成をもたらし，ついにはエラーによって誤ったスタート値に基づいて誤った部分応答が形成される。誤った部分応答は，監視モジュールへの誤った応答をもたらし，従ってエラー状態がループ通過される。
【０１０６】
一方，図６に示すように，低速の時間ラスタで作動される機能の監視については，この監視において検査デートあるいは質問との直接的な関係がないことがあり得る。これは，監視モジュールへの応答は，監視領域の実施の終了前に与えられなければならないからである。従って一定のスタート値と上述した余りによって，エラーのない場合には一定のチェックサム，例えば０×０が計算される。
【０１０７】
結果は，応答形成によって部分応答が要求されない場合には，次の作動のためのスタート値に加算される。そうでない場合には，エラーのない推移において一定の結果は，部分応答として返される。各応答形成において，新しい部分応答が計算されるまでは，プログラムシーケンス監視によって最後に形成された部分応答が使用される。このようにして，固定のエラー潜伏時間が保証される。
【０１０８】
上記のように，散発的に実施される機能においては，散発的な機能呼出しの上方の時間制限を用いて，従って上方の時間限制限応答形成の時間長さより小さいか，等しい場合において，及びそうでない場合（即ち，上方の時間制限が応答形成の時間長さよりも大きい場合）には，各々，上記図５及び図６との関連において説明した方法が使用される。したがって，監視ラスタと応答形成の間の非同期の関係における連続的な監視が，定められたエラー潜伏時間において可能となる。
【０１０９】
以上，本発明に係る好適な実施の形態について説明したが，本発明はかかる構成に限定されない。当業者であれば，特許請求の範囲に記載された技術思想の範囲内において，各種の修正例および変更例を想定し得るものであり，それらの修正例および変更例についても本発明の技術範囲に包含されるものと了解される。
【０１１０】
【発明の効果】
相互の時間的監視を可能にするために，監視モジュールとプロセッサとの間の通信は独立した時間基準に基づいている。さらに，与えられた監視ラスタに対して，あるいはプログラムシーケンスコントロールの時間ラスタに対して非同期であるので，全ての安全上問題のある機能の連続的で，完全で隙間のない時間的及び機能的な監視をおこなうことができる。したがって，特に散発的に作動される安全上問題のある機能も監視することができる。
【図面の簡単な説明】
【図１】第１の実施の形態にかかる車両の駆動シーケンス制御の監視モジュールを有する制御ユニットを示すブロック図である。
【図２】第１の実施の形態にかかる駆動シーケンス制御の具体的な機能監視を示すブロック図である。
【図３】第１の実施の形態にかかるプログラムシーケンスコントロールと指令テストに基づく部分応答から応答を形成することを示している。
【図４】第１の実施の形態にかかる監視されるプログラムシーケンスを具体的に示す説明図である。
【図５】プログラムシーケンスコントロールあるいはプログラムシーケンス監視と，高速のラスタにおいて作動される機能についての監視モジュールへの応答形成を示す説明図である。
【図６】プログラムシーケンスコントロールあるいはプログラムシーケンス監視と，低速のラスタにおいて作動される機能についての監視モジュールへの応答形成を示す説明図である。
【符号の説明】
１００ 制御ユニット
１０１ 監視モジュール
１０４ 制御装置ソフトウェア
１０９，１１０ 信号パス

Claims (13)

1. 制御ユニット内で制御機能が実施されると共に，前記制御機能を監視する監視機能が実施される，車両の駆動シーケンス制御の監視方法であって，
   以下のステップを有する：即ち，
   −監視モジュールは，少なくとも１つの質問を前記制御ユニットに伝達し，
   −前記制御ユニット内には、第１の監視機能が設けられており、監視機能においてプログラムシーケンス制御のためのテスト合計（チェックサム）が実行されており、前記プログラムシーケンス制御は、
   −個々の監視機能（PAK）の固定された順序および実行を検出し、チェックサム結果を形成し、
   −個々の監視機能の順序が異なる場合、異なるチェックサム結果が形成され、
   −監視機能が誤作動する場合、異なるチェックサム結果が形成され、
   −更なる計算において、第２時間ラスタ（フレームワーク）で、前記制御ユニットのチェックサムの結果が、質問に対する部分応答 (TA3)を形成しており、
   −前記制御ユニットにおいて、更なる別のチェックサムが実行され、前記チェックサムは、質問に対してコマンドを正確に実行する際に、特定の部分応答を形成し、コマンドを誤って実行する際に、誤った部分応答を形成し、
   −前記制御ユニットは，少なくとも１つの部分応答から前記監視モジュールへの応答を形成し，
   −かつ前記応答の形成は，予め設定された第１の時間ラスタ（フレームワーク）内で行われ，
   −前記制御ユニットは，前記応答を前記監視モジュールに伝達し，前記監視モジュールは，前記応答に従って制御機能の実施に関するエラーを検知し，
   −前記第１の時間ラスタと前記第２の時間ラスタが相互に非同期であり、
   −第２時間ラスタが誤って延長されたことが、第２時間ラスタと非同期である第１時間ラスタにおいて形成される誤った応答により検出され、
   −第２時間ラスタは、別の独立した時間基準に調整されており、
   −第２時間ラスタの時間が、独立した時間基準を有する別の監視モジュールによって監視されていることを特徴とする車両の駆動シーケンス制御の監視方法。
2. 前記質問は，前記応答が形成される前記第１の時間ラスタにおいて伝達される，
   ことを特徴とする請求項１に記載の車両の駆動シーケンス制御の監視方法。
3. 前記質問は，予め設定された第３の時間ラスタにおいて伝達される，ことを特徴とする請求項１に記載の車両の駆動シーケンス制御の監視方法。
4. 前記質問は，イベント制御されて伝達される，
   ことを特徴とする請求項１に記載の車両の駆動シーケンス制御の監視方法。
5. 前記制御機能は，前記制御ユニットの第１の機能平面において実施され，
   前記監視機能は，前記制御ユニットの第２の機能平面及び第３の機能平面において実施され，
   少なくとも前記第１の機能平面と前記第２の機能平面は，エラーが認識されない間，相互に独立している，
   ことを特徴とする請求項１に記載の車両の駆動シーケンス制御の監視方法。
6. 前記第１の機能平面の制御機能から，少なくとも１つの監視領域が選択され、駆動シーケンスの制御の実行経過時間に対して一定のシーケンスを形成する機能が前記少なくとも１つの監視領域内にまとめられる、
   ことを特徴とする請求項１に記載の車両の駆動シーケンス制御の監視方法。
7. 前記少なくとも１つの監視領域は，前記第１の監視機能に取り込まれ，かつ
   前記監視領域の作動は，前記第１の監視機能に同期して行われ，かつ前記応答形成の作動に非同期で行われる，
   ことを特徴とする請求項６に記載の車両の駆動シーケンス制御の監視方法。
8. 前記応答は，前記第３の機能平面において，前記制御ユニットの監視機能の部分応答から形成される，
   ことを特徴とする請求項１又は５に記載の車両の駆動シーケンス制御の監視方法。
9. 前記第１の監視機能内で，最初に少なくとも１つのテストワードが生成され，
   前記テストワードは，前記少なくとも１つの監視される制御機能の動作の数を示すカウンタと，前記少なくとも１つの監視される制御機能を同定する識別子とからなり、
   前記テストワードがチェックサム計算に含まれて計算されることを特徴とする請求項１に記載の車両の駆動シーケンス制御の監視方法。
10. チェックサム計算が，ジェネレータ多項式によって，前記少なくとも１つのテストワードに対して質問が供給されるように，あるいは質問が存在しない場合には定数が供給されるように，実施され，
    結果が部分応答として応答形成に利用される，
    ことを特徴とする請求項９に記載の車両の駆動シーケンス制御の監視方法。
11. 前記供給される定数は，プログラムシーケンスにエラーがある場合に，結果がチェックサム計算の初期値に正確に一致するように選択される，ことを特徴とする請求項１０に記載の車両の駆動シーケンス制御の監視方法。
12. プログラムシーケンスにエラーがあり，かつ定数が供給された場合に，前記結果は，チェックサム計算の最初の初期値とは異なる，
    ことを特徴とする請求項１０に記載の車両の駆動シーケンス制御の監視方法。
13. 前記結果が再び次のチェックサム計算の初期値としてさらに使用されて，１回エラーがあったプログラムシーケンスも誤った結果として最終的な評価まで認識可能であり続ける，
    ことを特徴とする請求項１０に記載の車両の駆動シーケンス制御の監視方法。

Images