JP4436571B2 - 安全を保障する応用システムの制御装置 - Google Patents

Description

本発明は、マイクロコンピュータ（ＭＣ）と、監視ユニット（チェックユニット、ＣＵ）と、周辺回路（入出力、ＩＯ）とを持つ安全を保障する応用システムの制御装置に関する。本発明は更に、マイクロコンピュータ（ＭＣ）と、監視ユニット（チェックユニット、ＣＵ）と、周辺回路（入出力、ＩＯ）とを持つ安全を保障する応用システムの制御装置のマイクロコンピュータ（ＭＣ）をチェックするための方法に関する。
【０００１】
技術の現状
安全を保障する応用システム或いは機能を制御し或いは調節する制御装置では、マイクロコンピュータ（ＭＣ）或いはマイクロコンピュータのプロセッサのエラーが監視によって検出されなければならない。安全に係わる使命を持っているその様な制御装置は、例えば、アンチブロックシステム（ＡＢＳ）、駆動スリップコントロールシステム（トラクションコントロールシステム）、及び／又はビークルダイナミクスコントロール（＝ＤＣ）システムのために用いられている。この様な制御装置によって制御される安全を保障する応用システムは、周辺回路を通して制御装置と結ばれている。シングルコンピュータ制御装置の場合には、自己検査、プロージビリティー（尤もらしさ）監視、及びウォッチドッグを用いる方法が知られている。
【０００２】
メーカーの下でＣＭＯＳチップ（集積回路、ＩＣ）の試験をするために、静止電流の測定方法及び測定装置が用いられている。いわゆる静止電流試験の背景となっているのは、純粋に静的な論理の中のデジタルＣＭＯＳチップでは、スイッチング過程の間のほとんど全ての損失出力がチップの内部で発生するという事実である。静止状態では電流の流れはごく僅かな漏れ電流、並びに入力端のプルアップ抵抗或いはプルダウン抵抗と出力ドライバの外部負荷とによる電流に限定される。製造に起因する多くのエラーは、プラスとマイナスの供給電圧の間の導電率の引き上げをもたらす。回路にその様な欠陥のある領域（点欠陥）が作動されると、この領域が電流消費の急激な上昇をもたらす。テスト過程の間の電流消費の高精度測定と、対応する基準値との比較によってその様な欠陥を確認することが出来る。既に説明された通り、その様な静止電流測定は、ＣＭＯＳチップの製造において、製造プロセスの後で欠陥のあるチップを選別するために利用されている。
【０００３】
従来の技術から、コンピュータチップの製造の際に知られている静止電流の試験方法を、冒頭に述べられた種類の制御装置において（コンピュータチップ、特にマイクロコンピュータ（ＭＣ）で最も頻繁に見られる欠陥、例えば付着欠陥（Ｓｔｕｃｋ−ａｔ）、架橋欠陥（Ｂｒｉｄｇｉｎｇ）、及び／又は破断欠陥（Ｓｔａｃｋ−Ｏｐｅｎ）、を検出することが出来る様にするために）、コンピュータチップの通常の動作の間に該チップをチェックするために使用することが知られている。
【０００４】
更に、従来の技術から、冒頭に述べられた種類の制御装置でエラー安全性を高めるために、並列計算及び／又はプラウジビリティー試験によって互いに相手をチェックし合う、２つのマイクロコンピュータ（ＭＣ）を装備することが知られている。しかしながら、特にコスト上の考慮から、その様な制御装置でも唯一つのマイクロコンピュータ（ＭＣ）しか使わないということが出来ないかどうか検討されている。
【０００５】
この発明の課題は、冒頭に述べられた種類の制御装置を、エラー検出の信頼性が更に向上され、また検出出来るエラーの種類がその他の種類へと広げられる様に、発展させ且つ拡張することである。
【０００６】
これ等の課題の解決のためにこの発明は冒頭に述べられた種類の制御装置から出発して、監視ユニット（ＣＵ）がマイクロコンピュータ（ＭＣ）の静止電流の測定のための第１の手段を備えており、静止電流の測定の制御のために監視ユニット（ＣＵ）の上記の第１の手段とマイクロコンピュータ（ＭＣ）との間に、少なくとも１本の静止電流ハンドシェーク回線が走っているということ、並びに監視ユニット（ＣＵ）がマイクロコンピュータ（ＭＣ）にテストデータ入力信号を送るための、該テストデータ入力信号を処理するための、およびマイクロコンピュータ（ＭＣ）の対応するテストデータ出力信号を監視ユニット（ＣＵ）の対応するテストデータ出力信号と比較するための第２の手段を備えており、監視ユニット（ＣＵ）の該第２の手段とマイクロコンピュータ（ＭＣ）との間に、少なくとも１本のテストデータ信号伝送回線が走っているということ、を提案する。
【０００７】
本発明に基づいて、エラー検出の信頼性を引き上げることが出来るということが知られ、その際には互いに相手を補足し合う二つの異なるテスト方法が使用される。この様にすることによって、マイクロコンピュータ（ＭＣ）の計算ユニットは非常に沢山の数の、異なる種類のエラーでも検出することが出来る。
【０００８】
本発明に基づく制御装置はまた、複数のマイクロコンピュータ（ＭＣ）と複数の監視ユニット（ＣＵ）を備えることも出来る。しかしながら以下の説明では、この制御装置が一つのマイクロコンピュータ（ＭＣ）と一つの監視ユニット（ＣＵ）備えるということが前提とされる。本発明に基づく監視ユニット（ＣＵ）は、監視ユニット（ＣＵ）の静止電流を測定するための第１の手段を備えている。
【０００９】
監視ユニット（ＣＵ）の第１の手段とマイクロコンピュータ（ＭＣ）との間には、静止電流の測定を制御するための少なくとも１本のハンドシェーク回線が走っている。このハンドシェーク回線は、例えば双方向回線として作ることが出来る。
【００１０】
静止電流測定は、制御装置のスイッチが入れられた後に、定められた数（代表的には８から１６まで）の選ばれた命令についてテストプログラムの枠内で実施される。マイクロコンピュータＴＭＳ４７０については、例えば、内部機械サイクルを含む、選ばれた１４の命令が実行される。
【００１１】
静止電流測定を補足するために、本発明に基づく監視ユニット（ＣＵ）は、第２の手段を有している。監視ユニット（ＣＵ）のこの第２の手段とマイクロコンピュータ（ＭＣ）との間には少なくとも１本のテストデータ信号伝送回線が走っている。
【００１２】
上記の第２の手段は、マイクロコンピュータ（ＭＣ）にテストデータ入力信号を印加する。マイクロコンピュータ（ＭＣ）は、テストデータ入力信号とマイクロコンピュータ（ＭＣ）の内部の状態に依存しているテストデータ出力信号を計算する。エラー状態は、マイクロコンピュータ（ＭＣ）のテストデータ出力信号の変化をもたらす。
【００１３】
監視ユニット（ＣＵ）の第２の手段では、テストデータ入力信号もマイクロコンピュータ（ＭＣ）のテストデータ出力信号のチェックのための基準信号として役立つテストデータ出力信号へ処理される。テストデータ出力信号の計算の場合に、監視ユニット（ＣＵ）はエラー無しに作られたマイクロコンピュータ（ＭＣ）を前提としている。実施された計算は、好ましくは非常に簡単に構成されている。マイクロコンピュータの並列コンピュータシステムの場合の様に二重配置されず又監視ユニット（ＣＵ）によってマイクロコンピュータ（ＭＣ）の場合と同じ計算が行われる。もっと正確にいえば、マイクロコンピュータ（ＭＣ）が、前もって与えられた試験機能の入力データに基づいて出力データを計算し、その結果が、監視ユニット（ＣＵ）によって監視ユニット（ＣＵ）によって計算された基準信号を用いてチェックされる。出力データの計算のために用いられた試験機能は一般に非常に簡単に作られており、非常に僅かな計算時間しか必要としない。しかしながら、応用プログラムからの複雑なテストや結果をこの試験機能の中へ入れることも出来る。
【００１４】
最後に、監視ユニット（ＣＵ）のテストデータ出力信号が監視ユニット（ＣＵ）のテストデータ出力信号と比較される。それ等の信号が互いにずれているか或いは当該のずれが前もって定められていた閾値をオーバーしている場合には、監視ユニット（ＣＵ）がマイクロコンピュータ（ＭＣ）のエラーを検出する。テストの結果は、表示装置によって表示することが出来るし、又／或いは、エラーの発生の際には制御装置によって調節及び／又は制御されているシステムのスイッチが切られる様にすることが出来る。
【００１５】
本発明の一つの有利な拡張例によれば、上記の第１の手段が、ＩＤＤＱ測定回路、電圧供給装置、ＩＤＤＱ測定経過制御装置（ＭＡＳ）、および監視ユニット（ＣＵ）の制御装置を含んでいること、並びに上記の第１の手段とマイクロコンピュータ（ＭＣ）との間の接続が、ＩＤＤＱ測定経過制御装置（ＭＡＳ）からマイクロコンピュータ（ＭＣ）へ伸びている２本のハンドシェーク回線と、電圧供給装置からマイクロコンピュータ（ＭＣ）へ走っている少なくとも１本の電源供給線とを含んでおり、少なくとも１本の電源供給線がＩＤＤＱ測定回路を通って伸びているということが提案される。ＩＤＤによって、半導体の場合のプラスの供給電流が示されている。ＩＤＤＱは静止電流の標識である。ハンドシェーク回線は、例えば機能テストの開始のため或いは終了のフィードバックのためのＳＴＡＲＴハンドシェーク回線として、またＥＮＤハンドシェーク回線として作られている。
【００１６】
静止電流の測定のためのマイクロコンピュータ（ＭＣ）と監視ユニット（ＣＵ）との間の通信は、これ等の２本のハンドシェーク回線を通して行なわれる。監視ユニット（ＣＵ）によるマイクロコンピュータ（ＭＣ）の静止電流の測定は、別の電圧供給線を通して行なわれる。
【００１７】
既に述べられた様に、本発明は、制御装置のマイクロコンピュータのテストのための監視ユニットを持つ制御装置に関している。制御装置の、従ってマイクロコンピュータの電圧供給のために、電圧供給ユニットが備えられている。監視ユニット（ＣＵ）の制御ユニットは、監視ユニット（ＣＵ）を特定の作動状態へ導くための手段を含んでいる。更に、ＩＤＤＱ測定回路には、監視ユニット（ＣＵ）の電圧供給回路の電流又は電圧を検知する測定手段が備えられており、更に、同じくＩＤＤＱ測定回路に備えられている比較手段で、上記の検知された電流或いは上記の検知された電圧が、少なくとも一つの前もって与えられている閾値と比較される。
【００１８】
ＩＤＤＱ測定により、簡単な電流或いは電圧の測定によって起こり得る多数ののエラーをコンピュータで検知することが出来る。その際には、少ないテストステップで、監視ユニット（ＣＵ）の構成部品の中で最も頻繁に発生するエラーの高いカバー率が達成される。その様な最も頻繁なエラーには、付着欠陥（Ｓｔｕｃｋ−ａｔ）、架橋欠陥（Ｂｒｉｄｇｉｎｇ）、及び／又は破断欠陥（Ｓｔａｃｋ−Ｏｐｅｎ）がある。
【００１９】
静止電流測定を他の適当なチェック方法、特にテストデータセットに基づく監視ユニット（ＣＵ）の機能のチェック、と組み合わせると、コンピュータチップ、特にＣＭＯＳプロセッサでの重要な欠陥に関して、とりわけ安全に関して重要な応用システムにとって有利な幅の広いエラーのカバー領域が生まれる。
【００２０】
先に説明された第２のプロセッサの節約は、本発明に基づく制御装置の経済的な利点として十分に保持されている。何故なら、本発明に基づく静止電流測定は、僅かなハードウェア費用しか必要としないからである。
【００２１】
ＩＤＤＱ・ＭＡＳは、監視ユニット（ＣＵ）の前もって与えられている部分を監視ユニット（ＣＵ）の特別の制御によって少ない電流状態へ導く。この制御の背景となっているのは、監視ユニット（ＣＵ）には、比較的多くの電流を必要とするほとんどの構成部品が存在しているという事実である。冒頭で述べられた様に、静止電流測定は一般に、比較的小さな帯域幅の中での静止電流の変動をベースとして行なわれるので、大きな消費電流を持つ監視ユニット（ＣＵ）の構成部分は、ＩＤＤＱ測定の障害となる。特に、その様な構成部分が、ＩＤＤＱ測定とは係わりの無い、電流の少ない状態へ導かれると言うことが考えられる。その様な構成部分には、マイクロコンピュータ（ＭＣ）の最終段及び／又は入力段（例えばアナログ／デジタル変換器）、並びに内部のクロック増倍回路がある。最も簡単な場合に、それ等の大きな消費電流を持つ構成部分は、テストの間スイッチを切られる。それ故、大きな電流をもたらす内部の回路部分と回路出力はスイッチを切られる。その後で、静止電流の測定を行なうことが出来る。
【００２２】
上に述べられた大きな電流を持つマイクロコンピュータ（ＭＣ）の構成部分のスイッチを切ることから更に進んで、マイクロコンピュータ（ＭＣ）のコア部を消費電流の少ない状態へ導くことも考えることが出来る。その様な、静止電流測定のために特別に設計されたマイクロコンピュータ（ＭＣ）チップの場合には、特別な作動状態、いわゆるＩＤＤＱテストモード、が備えられている。この作動状態の下では、コンピュータ内部の全ての電流がスイッチオフされる、即ち、マイクロコンピュータ（ＭＣ）のコア部の電流が最小化される。ＩＤＤＱ設計というのは、マイクロコンピュータ（ＭＣ）のコア部内の標準エラーを、静止電流の上昇という形で感知することが出来る様にするというものである。かくして、例えば、短絡或いは付着欠陥（アースへの短絡或いは供給電圧）は、直ちに静止電流の上昇の形で示される。この場合、その様な欠陥の影響がマイクロコンピュータ（ＭＣ）の出力端まで先送りされる（伝播される）必要は無い。上昇した電流の受け取りが直ちに欠陥の標識となる。
【００２３】
上に述べられたＩＤＤＱテストモードと並んで、マイクロコンピュータ（ＭＣ）の高い電流の構成部分だけをスイッチオフし、マイクロコンピュータ（ＭＣ）が命令に応じて低い電流の定められた状態へ移行するということを考えることが出来る。この場合には、マイクロコンピュータ（ＭＣ）のコア部は、ＩＤＤＱテストモード用に特別に設計される必要は無い。この方法は、パワーダウンモード（Ｐｏｗｅｒ−Ｄｏｗｎ−Ｍｏｄｅ）と名付けられている。
【００２４】
コンピュータ内部のレジスタやメモリ等の部分に特定のパターンがロードされてパワーダウンモードが導入されると、上に述べられたコンピュータの構成部分が、例えば特定のコンピュータ命令の実行によって、少ない電流消費の状態へ移行される。この状態になると、クロック発生器がスイッチオフされるか或いは分離されることが出来る。続いて、静止電流或いはこれと対応する電圧値が測定され、マイクロコンピュータ（ＭＣ）のコア部の上記の作動状態（パワーダウン状態）に対応する閾値と比較される。コンピュータに特定の欠陥（付着欠陥、架橋欠陥、破断欠陥）があると、その欠陥は、静止電流の上昇、或いは静止電流によって引き起こされた電圧降下の増大をもたらす。
【００２５】
この様なテストステップの後で、更に他のテストステップが続くことが出来、後続のステップでは、先ずパワーダウンモードがマイクロコンピュータ（ＭＣ）の特定の接続端に特定の信号レベルを印加することによって解除される。クロック発生器を改めてスタートさせるか、或いは接続することによって、レジスタやメモリ等の様なコンピュータ内部部分に別のパターンがロードされ、上に述べられた構成部分が、例えば特定のコンピュータ命令（パワーダウン命令）の実行によって、再び電流の少ない状態へ移行される。その後に再び、上に説明された静止電流の測定が続く。相前後して実施されるこの様な一連のパワーダウン電流の測定によって、レジスタ、メモリ、及びコンピュータのコア部の欠陥の検知がますます完全なものとなる。
【００２６】
個々のテストステップは、コンピュータの形式と回路の設計に応じて、クロック発生器、リセット開始、或いは外部割込みの開始によって、終了される。最後のテストステップの後で、マイクロコンピュータ（ＭＣ）は再びその通常の作動モードで作動される（ノーマル作動）。
【００２７】
テストすべきコンピュータがその様な設計となっていれば、上に説明されたパワーダウンモードでの静止電流測定と並んで、同じく本発明に基づいて、既に説明されたＩＤＤＱテストモードでの静止電流の測定を考えることも出来る。ＩＤＤＱテストモードへのエントリは、例えばマイクロコンピュータ（ＭＣ）の接続端での信号レベルを変えることによって行なわれる。この場合にも、ＩＤＤＱテストモードへ入る前に、レジスタとメモリに定められたパターンがロードされる。ＩＤＤＱテストモードへのエントリと共に、コンピュータの消費電流の高い部分がスイッチオフされる。更に、コンピュータのコア部を、コマンドの実行の間クロックの停止或いは切り離しによって、当該のコマンドにとって代表的な状態に保持することが出来る。これ等のコマンドは、それ等のコマンドがコンピュータのコア部の内部回路ノードの状態を、静止電流測定を通して出来るだけ多くのエラーを検出することが出来る様に、調節可能に選ばれている。
【００２８】
静止電流測定のためのハンドシェークは、次の様に複数のステップで行なわれる：
Ｓ１（ステップ１）：マイクロコンピュータ（ＭＣ）がＳＴＡＲＴ（スタート）信号をＨＩＧＨ（ハイ、高）にセットする。これによって監視ユニット（ＣＵ）は、ＩＤＤＱ測定が開始されたということを知る。
【００２９】
Ｓ２（ステップ２）：或いは、その代わりにマイクロコンピュータ（ＭＣ）はクロック（マスタークロック、ＭＣＬＫ）の停止を用意することが出来る。この場合には、マイクロコンピュータ（ＭＣ）は内部コマンドによって信号ＰＲＥＰをＬＯＷ（ロー、低）にセットする。
【００３０】
Ｓ３（ステップ３）：マイクロコンピュータ（ＭＣ）は、次の適当なコマンドの間にＩＤＤＱテストのための正確に定められた時点をデコードして、信号ＤＥＫＯＤをも同じくＬＯＷ（ロー）にセットする。今やクロック（ＭＣＬＫ）も同じくＬＯＷ（ロー）となり、マイクロコンピュータ（ＭＣ）のデジタル部はＩＤＤＱ測定のために静的作動に合わせられる。
【００３１】
Ｓ４（ステップ４）：監視ユニット（ＣＵ）がＩＤＤＱ測定を実行する。
Ｓ５（ステップ５）：監視ユニット（ＣＵ）が信号ＥＮＤにＬＯＷ・ＨＩＧＨ・ＬＯＷというレベル系列を印加し、これによってクロック（ＭＣＬＫ）を再び起動する。
【００３２】
Ｓ６（ステップ６）：マイクロコンピュータ（ＭＣ）が再びアクティブとなり、ＳＴＡＲＴ信号をＬＯＷにセットすることによって測定を終了させる。マイクロコンピュータ（ＭＣ）は、プログラムを続行して次のＩＤＤＱ測定の準備をし、全ての測定が実施された場合には、ＩＤＤＱ測定を終了させる。
好ましくは、電圧供給装置とマイクロコンピュータ（ＭＣ）との間に２本の電圧供給線が走っており、その際、１本の電圧供給線は、ＩＤＤＱ測定回路を通って走っている。ＩＤＤＱ測定回路を通って走っている電圧供給線を通して、マイクロコンピュータ（ＭＣ）の静止電流が測定される。
【００３３】
本発明に基づく制御装置のもう一つの有利な拡張例によれば、上記の第１の手段が、ＩＤＤＱ測定回路、電圧供給装置、ＩＤＤＱ測定経過制御装置（ＭＡＳ）、および監視ユニット（ＣＵ）の制御装置を含んでいること、並びに上記の第１の手段とマイクロコンピュータ（ＭＣ）との間の接続が、ＩＤＤＱ測定経過制御装置（ＭＡＳ）からマイクロコンピュータ（ＭＣ）へ伸びている４本のハンドシェーク回線と、電圧供給装置からマイクロコンピュータ（ＭＣ）へ走っている少なくとも１本の電源供給線とを含んでおり、その際、少なくとも一本の電源供給線がＩＤＤＱ測定回路を通って伸びているということが提案される。４本のハンドシェーク回線の場合には、２本のハンドシェーク回線の場合の回線ＳＴＡＲＴ、ＥＮＤに対する追加として更に、クロック（ＣＬＫ）回線とマイクロコンピュータ（ＭＣ）のためのパワーダウン（ＰＷＲＤＮ）制御のための回線を備えることが出来る。制御装置のこの様な実施態様の場合には、静止電流が測定されるプロセッサへの１本の共通の電圧供給線があれば十分である。この場合には、クロック発生器の停止は監視ユニット（ＣＵ）で行なわれる。マイクロコンピュータ（ＭＣ）内のアナログ回路及びＩＯ回路のための電圧供給スイッチの制御は、監視ユニット（ＣＵ）からのパワーダウン（ＰＷＲＤＮ）回線によって行なわれる。かくして測定の際には、マイクロコンピュータ（ＭＣ）のデジタル部分の静止電流だけが上記の共通の電圧供給線を通って流れる。
【００３４】
上記の第１の手段には、好ましくは初期化回路が備えられ、該初期化回路は制御装置のスイッチが入れられた後に、電圧供給装置から初期化信号を受け取り、次いでＩＤＤＱ測定の解除のために、クロック（ＣＬＫ）回線でクロック信号をＩＤＤＱ測定経過制御装置（ＭＡＳ）へ送る。ＩＤＤＱ測定が成功裏に終了されると、もう一つの別の信号によって監視ユニット（ＣＵ）の制御装置に対して信号が送られる。これに基づいて監視ユニット（ＣＵ）がテストを続行させ、初期化回路が、別の信号を通してテストデータ信号発生器をスタートさせる。
【００３５】
本発明の一つの有利な実施例によれば、上記の第２の手段は、マイクロコンピュータ（ＭＣ）にテストデータ入力信号を送り込むためのテストデータ信号ジェネレータと、該テストデータ入力信号を処理し且つ対応するテストデータ出力信号を形成するための応答ジェネレータと、テストデータを送受信するためのテストデータレジスタと、マイクロコンピュータ（ＭＣ）のテストデータ出力信号を監視ユニット（ＣＵ）のテストデータ出力信号と比較するための比較器とを含んでいること、並びに、上記の第２の手段とマイクロコンピュータ（ＭＣ）との間の接続が、上記のテストデータレジスタとマイクロコンピュータ（ＭＣ）との間を走る、少なくとも１本のテストデータ伝送線を含んでいること、が示されている。好ましくは、テストデータレジスタとマイクロコンピュータ（ＭＣ）との間には、２本のテストデータ伝送線が走っている。
【００３６】
テストデータ信号発生器もまた、制御装置のスイッチオンの後に、初期化回路によって起動される。テストデータ信号発生器では、マイクロコンピュータ（ＭＣ）のためのテストデータが、フィードバックされたシフトレジスタによってほぼランダムな順序で生成される。各々のテストデータ入力信号に対して、応答ジェネレータで、Ｒｅｅｄ−Ｍｕｌｌｅｒコード（符号）を利用して、テストデータ出力信号のためのビット列（いわゆる基準信号）が形成される。上記のコードは、テストデータ出力信号のデータ空間内で可能な最大の間隔（ハミング距離）を得るために利用されている。次いで、比較器により、監視ユニット（ＣＵ）の応答ジェネレータからの理論的に計算されたテストデータ出力信号がテストデータレジスタからのマイクロコンピュータ（ＭＣ）の実際のテストデータ出力信号と比較される。
【００３７】
上記の第２の手段は、好ましくはトリガジェネレータを備えており、該ジェネレータは、マイクロコンピュータ（ＭＣ）にエラーが無い場合に、マイクロコンピュータ（ＭＣ）のテストデータ出力信号が比較器に印加される時点を確定する。上記のトリガジェネレータは、マイクロコンピュータ（ＭＣ）の求められたテストデータ出力信号と監視ユニット（ＣＵ）の実際の応答との比較の時点を設定する。これによって、マイクロコンピュータ（ＭＣ）内のタイムスライスが適切に流れることが保証される。比較器は、単にデータの値の正しさについてだけでなく、テストデータ出力信号が定められた時間枠内に伝達されるか否かについて、テストデータ出力信号をチェックする。
【００３８】
上記の第２の手段は、好ましくはエラーカウンタを備えており、該カウンタは、マイクロコンピュータ（ＭＣ）のテストデータ出力が信号監視ユニット（ＣＵ）のテストデータ出力信号と一致していないか、および／またはマイクロコンピュータ（ＭＣ）のテストデータ出力信号がトリガジェネレータによって求められた時点とは異なる時点に比較器に印加された場合に、カウントアップし或いはカウントダウンする。比較器は、カウントパルスによって、エラーカウンタのカウントアップ或いはカウントダウンを行なわせる。テストデータ出力信号の値と時点が正しければ、エラーカウンタは、例えばデクリメント（減分きざみで減少）される。エラーカウンタが前もって与えられている値を下回った場合には、信号インタフェースを通して、例えば外部の警告ランプが点灯或いは消灯され、且つ安全を保障する応用システムの操作のためのリレーが解放される。
【００３９】
制御すべき応用システムの操作は、原則として応用システムのスイッチオフに限定される。しかしながら、特別な応用システムの場合には、エラーカウンタが複数の反応閾値を持ち、それ等の閾値をオーバーするとそれぞれ異なる反応がもたらされる様にするということが有利である。これによって、一回の障害で応用システムが直ちに遮断されてしまうことを防止し、またコンピュータによる遮断経路のチェックを可能にすることが出来る。
【００４０】
テストデータ入力信号が、誤った時点に或いは誤った値でマイクロコンピュータ（ＭＣ）によって応答されると、マイクロコンピュータ（ＭＣ）には、テストデータ出力信号の時点と値が正しくなるまで同じテストデータ入力信号が繰り返し印加される。これが前もって定められた時間内に行なわれない場合には、監視ユニット（ＣＵ）が制御装置或いは応用システムを遮断してしまうので、正しい応答によっても制御装置或いは応用システムが最早作動されないことがある。
【００４１】
上記の第２の手段は、好ましくは初期化回路を備えており、該初期化回路は、制御装置のスイッチが入れられた後に、電圧供給装置から初期化信号を受け取り、その後に監視ユニット（ＣＵ）をマイクロコンピュータ（ＭＣ）と同期化し、その後にテストデータ信号ジェネレータとエラーカウンタを起動する。監視ユニット（ＣＵ）は、マイクロコンピュータ（ＭＣ）からの最初のデータ伝送を待つことによって、マイクロコンピュータ（ＭＣ）と同期化される。
【００４２】
本発明のもう一つの課題は、冒頭に述べられた種類のマイクロコンピュータをチェックするための方法を、エラー検出の信頼性が更に向上され且つ検出出来るエラーの種類をその他の種類へと拡張される様に発展させ又拡張することである。
【００４３】
この課題の解決のために、本発明は、冒頭に述べられた種類の方法から出発して、監視ユニット（ＣＵ）が、
マイクロコンピュータ（ＭＣ）の静止電流の測定を行ない、
監視ユニット（ＣＵ）にテストデータ入力信号を印加し
第１のテストデータ出力信号を確定し、
マイクロコンピュータ（ＭＣ）の第２のテストデータ出力信号を監視ユニット（ＣＵ）の第１のテストデータ出力信号と比較する、
ということを提案する。
【００４４】
有利なことに、静止電流測定は、ＩＤＤＱ測定として構成されている。好ましくは、ＩＤＤＱ測定は、制御装置のスイッチオンの後に、解除信号による解除の後に実施される。
【００４５】
本発明に基づく方法の一つの有利な拡張例によれば、マイクロコンピュータ（ＭＣ）の第２のテストデータ出力信号と監視ユニット（ＣＵ）の第１のテストデータ出力信号との比較は、制御装置の作動の間に実施される。このことは、マイクロコンピュータの機能をチェックするためには、制御装置がスイッチオフされてはならないという利点を持っている。それどころか、制御装置の作動の間に応用システムの制御のために使用されていない監視ユニット（ＣＵ）の計算能力を、マイクロコンピュータ（ＭＣ）のチェックのために使用することが出来る。
【００４６】
好ましくは、スイッチオフ経路の機能をチェックするために、制御装置の作動の間に、規則的な間隔で単発的に偽のテストデータ出力信号が監視ユニット（ＣＵ）に対して送られる。
【００４７】
本発明のもう一つの有利な実施態様は、ＩＤＤＱ測定の間に、及び／又はマイクロコンピュータ（ＭＣ）の第２のテストデータ出力信号と監視ユニット（ＣＵ）の最初のテストデータ出力信号との比較の間に、クロック発生器が監視ユニット（ＣＵ）によって停止されるということを前提としている。このクロック発生器は、監視ユニット（ＣＵ）の制御装置に備えられている。このクロック発生器の出力信号に依存して、特にコンピュータ内部のプロセスが制御される。上述のＩＤＤＱテストモードの場合には、このクロック発生器がスイッチオフ又は遮断されるか或いはマイクロコンピュータ（ＭＣ）から分離される、ということが考えられている。これは、特に低い静止電流が達成されなければならない時には、パワーダウンモードの場合にも実現されることが出来る。クロック発生器のスイッチオフ又は遮断或いは分離は、とりわけ各々の静止電流測定の開始時に行なわれる。
【００４８】
好ましくは、監視ユニット（ＣＵ）のテストデータ入力信号は、テストデータ信号ジェネレータから、フィードバックされたシフトレジスタによって生成される。有利なことに、監視ユニット（ＣＵ）のテストデータ出力信号は、応答ジェネレータからＲｅｅｄ−Ｍｕｌｌｅｒ−Ｃｏｄｅを利用して生み出される。
【００４９】
本発明に基づく制御装置は、２つの異なるテストの流れによってチェックされる。いわゆるスタートアップテスト（Ｓｔａｒｔｕｐ−Ｔｅｓｔ）は、制御装置のスイッチオンの直ぐ後で、且つ安全を保障する応用システムの制御或いは調節のための制御装置の作動の前に、実施される。いわゆるオンラインテスト（Ｏｎｌｉｎｅ−Ｔｅｓｔ）は、スタートアップテストの後に、制御装置の作動中に時々実施される。
【００５０】
スタートアップテストは、いわゆるプロセッサ初期化（Ｐｒｏｚ−Ｉｎｉｔ）部分と、それに続くいわゆる作動システム初期化（ＢＳ−Ｉｎｉｔ）部分との、２つのテストステップに分けられている。プロセッサ初期化（Ｐｒｏｚ−Ｉｎｉｔ）部分は、命令及びコアのテスト、ＲＡＭ／ＲＯＭのテスト、およびＩＤＤＱテストを含んでいる。作動システム初期化（ＢＳ−Ｉｎｉｔ）部分は、スタートアップコントロールと監視ユニット（ＣＵ）のテストとを含んでいる。スタートアップコントロールの場合には、制御装置に様々な入力値（例えば、代表的には車両のアンチブロックシステム制御装置の入力端に現れる様な、車両の車輪の定められた回転数の値）が提示される。制御装置は、これ等の入力値に基づいて応用システムの調節或いは制御を行なう。シミュレートされたこの調節或いは制御の結果は、対応する基準値と比較される。監視ユニット（ＣＵ）のテストの場合には、欠陥のあるマイクロコンピュータ（ＭＣ）がシミュレートされ、その欠陥に対する監視ユニット（ＣＵ）の反応がチェックされる。
【００５１】
オンラインテスト（Ｏｎｌｉｎｅ−Ｔｅｓｔ）は、命令及びコアのテスト、ＲＡＭ／ＲＯＭのテスト、監視ユニット（ＣＵ）のテスト、及びレプリケーション（複製）のテスト（Ｒｅｐｌｉｃａｔｉｏｎｓ−Ｔｅｓｔ）を備えている。レプリケーションテストの場合には、安全に関して重要な定められた変数のために二重の記憶場所が用意され、安全に関して重要な特定の計算が二重に実施される。二重の記憶場所の内容と二重の計算の結果は互いに比較される。この冗長の記憶と冗長の計算は、制御装置のプロセッサによって行われる。オンラインテストは更に、プラウジビリティー（尤度）監視機能を備えており、この監視の際には、マイクロコンピュータ（ＭＣ）によって求められた制御信号又は調節信号のプラウジビリティー（尤もらしさ）がチェックされる。アンチブロックシステム制御装置の場合には、例えば、速度、加速度、或いは遅延が、定められたリミットの範囲内にあるか否かがチェックされる。更に、車両の個々の車輪の値は、互いに一定の関係に無ければならず、このことも又チェックすることが出来る。最後にオンラインテストは更に、作動システムのテストと、制御装置のその他の監視ユニットのテストとを備えている。
【００５２】
この発明の一つの好ましい実施例が、以下に付属の図面に基づいて詳しく説明される。
図１には、本発明に基づく制御装置の略全体ブロック図が示されている。本発明に基づく制御装置は、その全体が参照符号１で指示されている。制御装置１は、例えばアンチブロックシステムのための、駆動スリップコントロールシステム（トラクションコントロールシステム）のための、及び／又はビークルダイナミクスコントロールシステムのための、安全を保障する応用システムの制御のために用いられる。制御装置１は、マイクロコンピュータ（ＭＣ）、監視ユニット（ＣＵ、Ｃｈｅｃｋ Ｕｎｉｔ）、及び周辺回路（ＩＯ、Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）を備えている。マイクロコンピュータ（ＭＣ）、監視ユニット（ＣＵ）、及び周辺回路ＩＯは、シリアル同期データバス２を介して直列に接続されている。マイクロコンピュータ（ＭＣ）は、そのデータ出力線ＭＣ＿Ｄｏｕｔからデータ出力信号をデータバス２を通じてバス構成ユニットに送ると同時に、データ入力信号をそのデータ入力線ＭＣ＿Ｄｉｎを通じて受け取る。
【００５３】
信号ＳＡＭ（サンプル）によって、バス構成ユニットはその記憶レジスタに送られて来たデータを記憶する。
マイクロコンピュータ（ＭＣ）と監視ユニット（ＣＵ）との間には、その他の接続線、即ち共通の供給線ＶＤＤ、或いはそれに代わる、マイクロコンピュータ（ＭＣ）のデジタル及びアナログの供給のための複数の供給線ＶＤＤ、がある。最後に、マイクロコンピュータ（ＭＣ）と監視ユニット（ＣＵ）との間には、マイクロコンピュータ（ＭＣ）の静止電流測定（ＩＤＤＱ測定）を制御するために役立つＩＤＤＱハンドシェーク回線ＩＤＤＱ−ＨＤＳＨＫが走っている。監視ユニット（ＣＵ）からは、監視ユニット（ＣＵ）がマイクロコンピュータ（ＭＣ）のエラーを検出するか否かに応じて、いわゆる外部警告ランプへの遮断経路３及び／又は制御すべき安全に関して重要な応用システムの操作のためのリレーが続いている。周辺回路ＩＯは、制御すべき安全に関して重要な応用システム５への接続線４を備えている。
【００５４】
制御装置１のスイッチオンの後に、マイクロコンピュータ（ＭＣ）の機能チェックのために静止電流測定が行なわれる。制御装置１の作動の間に、マイクロコンピュータ（ＭＣ）の機能がチェックされる。その際には、マイクロコンピュータ（ＭＣ）には規則的にテストデータセットが印加され、それに対応するマイクロコンピュータ（ＭＣ）の第２のテストデータ出力信号が、監視ユニット（ＣＵ）によって計算されたエラーの無い第１のテストデータ出力信号と比較される。
【００５５】
図２には、図１の制御装置１の詳細な全体ブロック図が示されている。監視ユニット（ＣＵ）には、監視ユニット（ＣＵ）の制御装置６、ＩＤＤＱ測定のための測定経過制御装置７、ＩＤＤＱ測定回路８、及び電圧供給装置９が含まれている。
【００５６】
監視ユニット（ＣＵ）の制御装置６は、テストデータ信号発生器１０、応答ジェネレータ１１、及び比較器１２を含んでいる。テストデータ発生器１０によって、マイクロコンピュータ（ＭＣ）はテストデータ入力信号を印加され、該テストデータ入力信号とＭＣの内部状態とに依存して、第２のテストデータ出力信号を求める。応答ジェネレータ１１は、上と同じテストデータ入力信号を処理して対応する第１のテストデータ出力信号を生成する。比較器１２では、監視ユニット（ＣＵ）の第１のテストデータ出力信号がマイクロコンピュータ（ＭＣ）の第２のテストデータ出力信号と比較される。トリガジェネレータ１３は、マイクロコンピュータ（ＭＣ）がエラー無しに作動している場合に、マイクロコンピュータ（ＭＣ）の第２のテストデータ出力信号を比較器１２に印加する時点を求める。
【００５７】
監視ユニット（ＣＵ）の制御装置６は更に、エラーカウンタ１４を備えており、該カウンタは、マイクロコンピュータ（ＭＣ）の第２のテストデータ出力信号が監視ユニット（ＣＵ）の第１のテストデータ出力信号と一致していない場合に、及び／又はマイクロコンピュータ（ＭＣ）の第２のテストデータ出力信号がトリガジェネレータ１３によって求められた時点とは異なる時点に比較器１２に印加された場合に、エラーをカウントする。
【００５８】
更に監視ユニット（ＣＵ）は、テストデータレジスタ１７を備えており、該レジスタはテストデータの送受信に用いられる。
最後に、監視ユニット（ＣＵ）の制御装置６は初期化回路１５も備えており、該初期化回路は、制御装置１のスイッチオンの後に、電圧供給装置９から初期化信号ＲＳＴを受け取り、且つ該信号に基づいて監視ユニット（ＣＵ）をマイクロコンピュータ（ＭＣ）と同期化する。その際、同期化は、監視ユニット（ＣＵ）がマイクロコンピュータ（ＭＣ）の最初のデータ伝送を待つことによって行なわれる。その後に、初期化回路１５は、テストデータ信号ジェネレータ１０とエラーカウンタ１４とを起動する。
【００５９】
テストデータ信号ジェネレータ１０では、マイクロコンピュータ（ＭＣ）のためのテストデータ入力信号が、フィードバックされたシフトレジスタによってほぼランダムな順序で生成される。各々のテストデータ入力信号に対して、応答ジェネレータ１１で“Ｒｅｅｄ−Ｍｕｌｌｅｒコード（符号）”を利用して対応する第１のテストデータ出力信号のためのビット列が形成される。上記のコードは、テストデータ出力信号のデータ空間内で可能な最大の間隔（ハミング距離）を得るために利用されている。次いで、比較器１２で、監視ユニット（ＣＵ）の応答ジェネレータ１１で求められた第１のテストデータ出力信号が、マイクロコンピュータ（ＭＣ）の実際の第２のテストデータ出力信号と比較される。
【００６０】
比較を行なう時点は、トリガジェネレータ１３によって設定される。これによって、マイクロコンピュータ（ＭＣ）のタイムスライスが適切に流れることが保証される。比較器１２は、単にデータの値の正しさについてだけでなく、テストデータ出力信号が定められた時間枠内に伝達されるか否かについて、マイクロコンピュータ（ＭＣ）の第２のテストデータ出力信号をチェックする。上記の値とマイクロコンピュータ（ＭＣ）の第２のテストデータ出力信号の時点が適正であれば、エラーカウンタ１４がデクリメントされ、信号インタフェース１６を通じて、安全に関して重要な制御されるべき応用システムがアクティブの状態に保持され、その際に、外部の警告ランプがスイッチオフされ、また応用システム５の制御のためのリレーが起動される。
【００６１】
この様な第一のサイクルに続く各々のサイクルでは、エラーカウンタ１４の即時の反応を防止するために、マイクロコンピュータ（ＭＣ）の第２のテストデータ出力信号の時点と値は正しくなければならない。エラーカウンタ１４は、１回の障害で制御装置１或いは応用システム５がスイッチオフされてしまうのを防止するために、またマイクロコンピュータ（ＭＣ）によるスイッチオフ経路のチェックを可能にするために、複数の反応閾値を持っている。第１の段階は、信号ＥＮによって弁の最終段階をストップし、弁リレーＶＲＡを介して弁の電圧供給を遮断する。警告ランプＳＩＬＡの表示は、遮断経路のテストの際には表示が行なわれない様にするために、１サイクルだけ遅延される。
【００６２】
テストデータ入力信号が誤った時点に或いは誤った値で応答されると、マイクロコンピュータ（ＭＣ）には、テストデータ出力信号の時点と値が正しくなるまで同じテストデータ入力信号が繰り返し印加される。これが前もって定められた時間内に行なわれない場合には、監視ユニット（ＣＵ）が制御装置１を遮断してしまうので、正しい応答によっても制御装置１は最早起動されない。
【００６３】
静止電流測定は、制御装置１のスイッチオンの後に、テストプログラムの定められた数（代表的には８から１６まで）の時点で実施される。静止電流測定のためのマイクロコンピュータ（ＭＣ）と監視ユニット（ＣＵ）との間の通信は、２本のハンドシェーク回線ＳＴＡＲＴとＥＮＤを通して行なわれる。静止電流測定の間は、マイクロコンピュータ（ＭＣ）はクロック発生器ＣＬＫを停止させる。監視ユニット（ＣＵ）とマイクロコンピュータ（ＭＣ）との間には２本の異なる電圧供給線、即ちマイクロコンピュータ（ＭＣ）のデジタル部分の給電のためのＶＤＤ＿ｄｉｇｉｔａｌとマイクロコンピュータ（ＭＣ）のアナログ部分の給電のためのＶＤＤ＿ａｎａｌｏｇとがある。静止電流は、電圧供給線ＶＤＤ＿ｄｉｇｉｔａｌで測定される。
【００６４】
静止電流測定の解除は、供給電圧のスイッチオンの後に、監視ユニット（ＣＵ）の制御装置６の信号ＩＤＤＱ＿ＥＮによって行なわれる。静止電流測定が成功裏に終了されたことは、信号ＩＤＤＱ＿ＦＩＮによって監視ユニット（ＣＵ）の制御装置６に対して知らせられる。すると監視ユニット（ＣＵ）は、初期化回路１５を、信号ＩＤＤＱ＿ＯＫを介してテストデータ信号ジェネレータ１０を解除することによって、テストの流れを更に切り替える。
【００６５】
図３には、２線式ハンドシェークによる静止電流測定のための回路装置が示されている。図４には、図３からの静止電流測定のための測定経過制御装置７の時間ダイヤグラムが示されている。制御装置１のスイッチオンの後に、マイクロコンピュータ（ＭＣ）はその自己テストを開始する。この自己テストの一つの部分が静止電流測定である。マイクロコンピュータ（ＭＣ）での流れが静止電流テストに到達すると、信号ＳＴＡＲＴが起動される。時点Ｔ１で静止電流測定が信号Ｍ＿Ａｃｔによって起動される。比較器１２の出力が、静止電流測定のために時間Ｔ２の後で評価される。この値が正当であれば、マイクロコンピュータ（ＭＣ）は、ＥＮＤ信号によって再び起動される。値がリミット値の範囲外にあると、測定が繰り返される。繰り返しの回数は前もって設定されている。測定を繰り返しても正しい答えに到達しなかった場合には、測定は中止され、監視ユニット（ＣＵ）は、最早マイクロコンピュータ（ＭＣ）をスイッチオンせず、フェイルセーフモードに留まる。全ての静止電流測定が終了すると、信号ＩＤＤＱ＿ＦＩＮがハイ（ＨＩＧＨ）へセットされる。これに応じて、監視ユニット（ＣＵ）の制御装置６が信号ＩＤＤＱ＿ＥＮをハイ（ＨＩＧＨ）からロー（ＬＯＷ）へ戻す。
【図面の簡単な説明】
【図１】 本発明に基づく制御装置の略全体ブロック図である。
【図２】 図１の制御装置１の詳細な全体ブロック図である。
【図３】 ２線式ハンドシェークによる静止電流測定のための回路装置である。
【図４】 図３の静止電流測定のための測定経過制御装置７の時間ダイヤグラムである。

Claims (11)

1. マイクロコンピュータ（ＭＣ）と、監視ユニット（チェックユニット、ＣＵ）と、周辺回路（入出力、ＩＯ）とを有する、安全を保障する応用システム（５）の制御装置（１）において、
   監視ユニット（ＣＵ）が、マイクロコンピュータ（ＭＣ）の静止電流の測定のための第１の手段を備えており、静止電流の測定の制御のために、監視ユニット（ＣＵ）の前記第１の手段とマイクロコンピュータ（ＭＣ）との間に、少なくとも一本の静止電流ハンドシェーク回線（ＩＤＤＱ−ＨＤＳＨＫ）が設けられていること、
   監視ユニット（ＣＵ）が、マイクロコンピュータ（ＭＣ）にテストデータ入力信号を送り、該テストデータ入力信号を処理し、且つマイクロコンピュータ（ＭＣ）の対応するテストデータ出力信号を監視ユニット（ＣＵ）の対応するテストデータ出力信号と比較するための第２の手段を備えており、監視ユニット（ＣＵ）の前記第２の手段とマイクロコンピュータ（ＭＣ）との間に、少なくとも一本のテストデータ信号伝送回線が設けられていること、
   前記第１の手段が、ＩＤＤＱ測定回路（８）と、電圧供給装置（９）と、ＩＤＤＱ測定経過制御装置（ＭＡＳ）（７）と、監視ユニット（ＣＵ）の制御装置（６）と、を含むこと、
   前記第１の手段とマイクロコンピュータ（ＭＣ）との間の接続が、ＩＤＤＱ測定経過制御装置（ＭＡＳ）からマイクロコンピュータ（ＭＣ）へ伸びている２本のハンドシェーク回線（ＳＴＡＲＴ、ＥＮＤ）と、電圧供給装置（９）からマイクロコンピュータ（ＭＣ）への少なくとも一本の電源供給線（ＶＤＤ）とを含んでおり、少なくとも一本の電源供給線（ＶＤＤ）がＩＤＤＱ測定回路（８）を通って伸びていること、および、
   前記第１の手段が初期化回路（１５）を備えており、該初期化回路が、制御装置（１）のスイッチが入れられた後に電圧供給装置（９）から初期化信号（ＲＳＴ）を受け取り、且つその後にＩＤＤＱ測定の解除のためにＩＤＤＱ測定経過制御装置（ＭＡＳ）（７）に対して解除信号（ＩＤＤＱ＿ＥＮ）を送ること、
   を特徴とする安全を保障する応用システム（５）の制御装置（１）。
2. 電圧供給装置（９）とマイクロコンピュータ（ＭＣ）との間に２本の電源供給線（ＶＤＤ＿ａｎａｌｏｇ、ＶＤＤ＿ｄｉｇｉｔａｌ）が設けられ、１本の電源供給線（ＶＤＤ＿ｄｉｇｉｔａｌ）がＩＤＤＱ測定回路（８）を通って伸びていることを特徴とする請求項１に記載の制御装置（１）。
3. マイクロコンピュータ（ＭＣ）と、監視ユニット（チェックユニット、ＣＵ）と、周辺回路（入出力、ＩＯ）とを有する、安全を保障する応用システム（５）の制御装置（１）において、
   監視ユニット（ＣＵ）が、マイクロコンピュータ（ＭＣ）の静止電流の測定のための第１の手段を備えており、静止電流の測定の制御のために、監視ユニット（ＣＵ）の前記第１の手段とマイクロコンピュータ（ＭＣ）との間に、少なくとも一本の静止電流ハンドシェーク回線（ＩＤＤＱ−ＨＤＳＨＫ）が設けられていること、
   監視ユニット（ＣＵ）が、マイクロコンピュータ（ＭＣ）にテストデータ入力信号を送り、該テストデータ入力信号を処理し、且つマイクロコンピュータ（ＭＣ）の対応するテストデータ出力信号を監視ユニット（ＣＵ）の対応するテストデータ出力信号と比較するための第２の手段を備えており、監視ユニット（ＣＵ）の前記第２の手段とマイクロコンピュータ（ＭＣ）との間に、少なくとも一本のテストデータ信号伝送回線が設けられていること、
   前記第１の手段が、ＩＤＤＱ測定回路（８）と、電圧供給装置（９）と、ＩＤＤＱ測定経過制御装置（ＭＡＳ）（７）と、監視ユニット（ＣＵ）の制御装置（６）とを含んでいること、
   前記第１の手段とマイクロコンピュータ（ＭＣ）との間の接続が、ＩＤＤＱ測定経過制御装置（ＭＡＳ）（７）からマイクロコンピュータ（ＭＣ）へ伸びている４本のハンドシェーク回線（ＳＴＡＲＴ、ＥＮＤ、ＣＬＫ、ＰＷＲ＿ＤＮ）と、電圧供給装置（９）からマイクロコンピュータ（ＭＣ）へ走っている少なくとも一本の電源供給線（ＶＤＤ）とを含んでおり、少なくとも１本の電源供給線（ＶＤＤ）がＩＤＤＱ測定回路（８）を通って伸びていること、および
   前記第１の手段が初期化回路（１５）を備えており、該初期化回路が、制御装置（１）のスイッチが入れられた後に電圧供給装置（９）から初期化信号（ＲＳＴ）を受け取り、且つその後にＩＤＤＱ測定の解除のためにＩＤＤＱ測定経過制御装置（ＭＡＳ）（７）に対して解除信号（ＩＤＤＱ＿ＥＮ）を送ること、
   を特徴とする安全を保障する応用システム（５）の制御装置（１）。
4. マイクロコンピュータ（ＭＣ）と、監視ユニット（チェックユニット、ＣＵ）と、周辺回路（入出力、ＩＯ）とを有する、安全を保障する応用システム（５）の制御装置（１）において、
   監視ユニット（ＣＵ）が、マイクロコンピュータ（ＭＣ）の静止電流の測定のための第１の手段を備えており、静止電流の測定の制御のために、監視ユニット（ＣＵ）の前記第１の手段とマイクロコンピュータ（ＭＣ）との間に、少なくとも一本の静止電流ハンドシェーク回線（ＩＤＤＱ−ＨＤＳＨＫ）が設けられていること、
   監視ユニット（ＣＵ）が、マイクロコンピュータ（ＭＣ）にテストデータ入力信号を送り、該テストデータ入力信号を処理し、且つマイクロコンピュータ（ＭＣ）の対応するテストデータ出力信号を監視ユニット（ＣＵ）の対応するテストデータ出力信号と比較するための第２の手段を備えており、監視ユニット（ＣＵ）の前記第２の手段とマイクロコンピュータ（ＭＣ）との間に、少なくとも一本のテストデータ信号伝送回線が設けられていること、
   前記第２の手段が、マイクロコンピュータ（ＭＣ）にテストデータ入力信号を送り込むためのテストデータ信号ジェネレータ（１０）と、該テストデータ入力信号を処理し且つ対応するテストデータ出力信号を形成するための応答ジェネレータ（１１）と、テストデータを送受信するためのテストデータレジスタ（１７）と、マイクロコンピュータ（ＭＣ）のテストデータ出力信号を監視ユニット（ＣＵ）のテストデータ出力信号と比較するための比較器（１２）とを含んでいること、
   前記第２の手段とマイクロコンピュータ（ＭＣ）との間の接続が、テストデータレジスタ（１７）とマイクロコンピュータ（ＭＣ）との間を走る、少なくとも１本のテストデータ伝送線を含んでいること、
   前記第２の手段がエラーカウンター（１４）を備えており、マイクロコンピュータ（ＭＣ）のテストデータ出力信号が監視ユニット（ＣＵ）のテストデータ出力信号と一致していない場合に、及び／又は、マイクロコンピュータ（ＭＣ）のテストデータ出力信号がトリガジェネレータ（１３）によって求められた時点とは異なる時点に比較器（１２）に与えられる場合に、前記エラーカウンターがエラーをカウントすること、
   前記第２の手段が初期化回路（１５）を備えており、該初期化回路が、制御装置（１）のスイッチが入れられた後に電圧供給装置（９）から初期化信号（ＲＳＴ）を受け取り、その後に監視ユニット（ＣＵ）をマイクロコンピュータ（ＭＣ）と同期化し、またその後にテストデータ信号ジェネレータ（１０）とエラーカウンター（１４）とを作動すること、
   を特徴とする請求項１ないし３のいずれかに記載の制御装置（１）。
5. 前記第２の手段とマイクロコンピュータ（ＭＣ）との間の接続が、テストデータレジスタ（１７）とマイクロコンピュータ（ＭＣ）との間を走る、２本のテストデータ伝送線（ＣＵ＿Ｄｏｕｔ、ＣＵ＿Ｄｉｎ）を含んでいることを特徴とする請求項４に記載の制御装置（１）。
6. 前記第２の手段が、マイクロコンピュータ（ＭＣ）にエラーが無い時に、マイクロコンピュータ（ＭＣ）のテストデータ出力信号が比較器（１２）に与えられる時点を求めるためのトリガジェネレータ（１３）を備えていることを特徴とする請求項４又は５に記載の制御装置（１）。
7. マイクロコンピュータ（ＭＣ）と、監視ユニット（チェックユニット、ＣＵ）と、周辺回路（入出力、ＩＯ）とを有する安全を保障する応用システム（５）の制御装置（１）におけるマイクロコンピュータ（ＭＣ）をチェックするための方法において、
   マイクロコンピュータ（ＭＣ）の静止電流を測定し、その際、静止電流の測定が監視ユニット（ＣＵ）によって制御され、更に少なくとも一つのハンドシェーク信号（ＩＤＤＱ−ＥＮ、ＩＤＤＱ−ＦＩＮ）がマイクロコンピュータ（ＭＣ）と監視ユニット（ＣＵ）との間で交換されるステップと、
   マイクロコンピュータ（ＭＣ）にテストデータ入力信号を与えるステップと、
   第１のテストデータ出力信号を確定するステップと、
   マイクロコンピュータ（ＭＣ）の第２のテストデータ出力信号と監視ユニット（ＣＵ）の第１のテストデータ出力信号とを比較するステップと、
   を含み、
   前記静止電流の測定が、ＩＤＤＱ測定として形成されていること、
   前記ＩＤＤＱ測定が、制御装置（１）のスイッチを入れた後に、解除信号（ＩＤＤＱ＿ＥＮ）による解除の後で実行されること、
   を特徴とする方法。
8. マイクロコンピュータ（ＭＣ）の前記第２のテストデータ出力信号と監視ユニット（ＣＵ）の前記第１のテストデータ出力信号との比較が、制御装置（１）の作動の間に実行されることを特徴とする請求項７に記載の方法。
9. 前記ＩＤＤＱ測定の間に、及び／又はマイクロコンピュータ（ＭＣ）の前記第２のテストデータ出力信号と監視ユニット（ＣＵ）の前記第１のテストデータ出力信号との比較の間に、時間パルス発生器（Ｃｌｏｃｋ、ＣＬＫ）がマイクロコンピュータ（ＭＣ）によって停止されることを特徴とする請求項７または８に記載の方法。
10. 監視ユニット（ＣＵ）の前記テストデータ入力信号が、テストデータ信号ジェネレータ（１０）からフィードバックされたシフトレジスタによって生成されることを特徴とする請求項７ないし９のいずれかに記載の方法。
11. 監視ユニット（ＣＵ）の前記テストデータ出力信号が、応答ジェネレータ（１１）からリード・ミュラー・コード（Ｒｅｅｄ−Ｍｕｌｌｅｒ−Ｃｏｄｅ）によって生成されることを特徴とする請求項１０に記載の方法。

Images