KR100704322B1 - 자동차 내 연산 소자를 모니터링하기 위한 방법 및 장치 - Google Patents

Abstract

본 발명은 자동차 내 연산 소자를 모니터링하기 위한 방법 및 장치에 관한 것이다. 상기 연산 소자는 프로그램 모듈을 이용하며 그리고 적어도 하나의 입력 변수에 종속되어 적어도 하나의 출력 변수를 생성한다. 상기 출력 변수는 자동차의 적어도 하나의 기능을 제어하기 위해 이용된다. 적어도 하나의 프로그램 모듈 또는 이 모듈 중 적어도 한 구성 요소가 연산 소자(12)의 정확한 기능을 모니터링하기 위해 선택된다. 적어도 하나의 선택된 모듈 또는 이 모듈 중 적어도 하나의 선택된 구성요소는 검사 데이터에 기초하여 연산 소자(12)를 실행한다. 검사 데이터 계산의 결과는 에러 인식을 위해 지정된 결과와 비교된다.

연산 소자, 프로그램 모듈, 입력 변수, 출력 변수, 구성 요소, 검사 데이터, 에러 인식.

Description

자동차 내 연산 소자를 모니터링하기 위한 방법 및 장치{METHOD AND DEVICE FOR MONITORING A COMPUTING ELEMENT IN A MOTOR VEHICLE}

본 발명은 자동차 내 연산 소자를 모니터링하기 위한 방법 및 장치에 관한 것이다.

독일 특허 제44 38 714호에는 프로그램 구조가 적어도 3개의 레벨을 포함하고 있는 자동차 내 연산 소자를 모니터링하기 위한 방법 및 장치가 공지되어 있다. 상기 연산 소자의 제1 레벨에는 제어 함수, 예컨대 구동 유닛의 출력의 제어를 실행하는 프로그램들이 할당되어 있다. 제2 레벨에는, 제1 레벨의 기능을 모니터링하는 역할을 하는 프로그램들이 할당되어 있다. 그 외에도 구동 유닛에 대한 출력 제어에 대한 실시예에 있어서는 조정되는 작동 변수에 대한 허용값이, 측정 또는 산출된 상기 변수의 실제값과 비교된다. 제3 레벨에는 할당된 모니터링 프로그램들의 제2 레벨의 시퀀스를 제어하는 역할을 하는 프로그램들 또는 프로그램 구성요소들이 할당되어 있다. 이때 상기 시퀀스 제어는 안전 모듈(모니터링 모듈)과의 질의응답 통신의 범주에서 이루어지며, 상기 안전 모듈은 질의 응답 통신의 결과에 따라서 제2 레벨의 프로그램의 정확한 실행을 검사한다(시퀀스 제어). 제2 레벨의 프로그램에 의해 그리고/또는 모니터링 모듈에 의해 최소한 하나의 에러 상태가 인식된다면, 구동 유닛의 제어의 실례에서 작동 재료 공급의 차단이나 또는 기타 작동을 제한하는 조치가 이루어지는 에러 반작용 조치가 유도된다.

제2 레벨의 프로그램의 작동 성능의 모니터링을 개선하기 위해 독일 특허 제196 09 242호에 따르면 시퀀스 제어에 추가로, 또는 시퀀스 제어에 대체되는 방식으로 명령어 검사(command test)가 실행되는 점이 제안된다. 상기 명령어 검사의 범주에서 선택된 프로그램들 또는 프로그램 구성 요소들은 사전 설정된 검사 데이터에 추라로 계산되며, 계산 결과 또는 결과들은 모니터링 모듈 내에서 정확한 비트로 에러 인식에 대해 검사된다.

공지된 해결 방법에서, 제1 및 제2 레벨의 프로그램들, 시퀀스 제어 및 명령어 검사가 하나의 연산 소자로 실행된다는 점이 중요하다. 모니터링을 실행하는 제2 레벨의 프로그램들은, 제1 레벨의 프로그램들에 의해 처리되는 입력 신호들에 중복적인(redundant) 입력 신호들을 이용하여 처리해야 한다. 이러한 조치는 센서 기술의 이중화(doubling)를 야기하며, 상이한 차량에서 상이한 센서 영역에 따른 추가 센서들의 이용을 회피하기 위해 모니터링을 위한 입력 신호들의 단지 작은 교차만이 제공된다. 또한 함수 영역이 증가하면서, 특히 예컨대 가솔린 직접 분사식 엔진용 제어 시스템의 경우와 같이 구동 유닛의 출력을 결정하는 기능의 함수 영역이 증가함과 더불어, 모니터링의 질은 더욱 악화된다. 모니터링의 품질에 역효과를 줄 수 있는 기능에 대한 실례는 액셀러레이터 페달 위치 센서의 한계를 학습하는 것이다. 이러한 학습 기능에 의해 예컨대 액셀러레이터 페달의 위치 신호의 오프셋이 변경된다면, 이러한 점은 모니터링에서 말단 한계의 최대 허용 오차를 고려함으로써 고려된다. 이러한 상대적으로 큰 허용 오차 범위는 모니터링 품질의 역효과를 초래할 수 있다.

본 발명의 목적은 함수 영역이 증가함에도 불구하고, 충분히 만족스러운 모니터링 품질이 보장되는, 자동차 내 연산 소자에 대한 모니터링을 제공하는 것에 있다.

상기 목적은 독립의 종속항들의 특징을 나타내는 특징들에 의해 달성된다.

본 발명에 따르면, 각각의 차량 내 함수 영역이 증가하고 센서 영역이 상이한 경우에도 또한 연산 소자 기능의 만족스러운 모니터링을 보장하는 자동차 내 연산 소자에 대한 모니터링이 제공된다.

특히 바람직하게는 안전 표준을 포기할 필요 없이 추가 모니터링 레벨이 절감될 수 있다.

이러한 연관성에 있어서 특히 바람직하게는 연산 소자의 모니터링에 대한 전개 시퀀스가 간소화되는데, 왜냐하면 모든 새로운 안전 관련 기능이 이 기능에 적합한 새로운 모니터링 기능을 필요로 하지 않기 때문이다. 그러므로 그 전개는 절감된다.

출력을 결정하는 다수의 기능들이 제공되어 있는 구동 유닛의 제어와 결부된 접근법이 제공되는 것은 특히 유익하다.

또한, 출력을 결정하는 기능에 영향을 주는 조절 함수들이 모니터링 기능의 품질에 어떠한 영향을 주지 않는 것은 특히 유익하다.

명령어 검사를 실행하기 위한 함수 프로그램들로부터 사전 설정된 연산 단계를 선택하는 것은 특히 유익한데, 이는 안전 기준을 포기할 필요 없이도 연산 출력이 감소될 수 있기 때문이다.

상술한 접근법과 더불어 추가적으로 선행 기술로부터 공지되는, 연산 소자 내 제2 레벨의 범주에서 이루어지는 모니터링이 제공되는 것은 특히 유익하다.

추가적인 장점은 실시예들의 다음의 명세서 내지 종속되는 청구항들로부터 제시되어 있다.

본 발명은 다음에서 도면 내에 도시되는 실시예에 따라서 더욱 상세하게 설명된다.

도1은 자동차 내 적어도 하나의 작동 변수, 바람직하게는 구동 유닛의 출력을 제어하는 하나의 연산 소자를 포함하는 제어 유닛의 기본 블록 선도이다.

도2는 흐름도에 따라 연산 소자의 기능 방법의 모니터링을 예시적으로 도시하는 블록 선도이다.

도3은 명령어 테스트 레벨의 2개의 실시예에 대한 흐름도이다.

도1은 적어도 하나의 연산 소자(12), 모니터링 모듈(11), 입력 회로(14) 및 출력 회로(16)를 포함하는 전자 제어 장치(10)를 도시하고 있다. 메모리 모듈은 연산 소자(12)의 구성 요소이거나 또는 이 연산 소자에 할당되어 있다. 상기 소자들은 데이터 교환을 위해 통신 시스템(18)을 통해 상호간에 연결되어 있다. 입력 회로(14)에는 구동 유닛, 파워트레인 및/또는 자동차의 측정된 작동 변수를 나타내는 신호 또는 그것으로부터 상기의 작동 변수들이 유도될 수 있는 신호들이 공급된다. 상기 신호들은 측정 장치(20 내지 24)에 의해 검출되며, 입력 라인들(26 내지 30)을 통해 입력 회로(14)에 공급된다. 또한 출력 회로(16)를 통해서는 구동 유닛, 파워트레인 및/또는 자동차의 적어도 하나의 작동 변수를 조정하기 위한 조절 부재(regulating element)들을 작동시키는 신호들이 출력된다. 그에 해당되는 제어 신호 변수는 라인들(32 내지 36)을 통해 조절 부재들(38 내지 42)에 공급된다.

입력 신호들, 이 입력 신호들로부터 유도되는 작동 변수들 및/또는 내부 변수들에 따라 연산 소자(12)는 자체 프로그램의 범주에서 출력되는 제어 변수들에 대한 값들을 형성하며, 상기 제어 변수들은 전술한 제어 구상의 의미에서 조절 부재들을 조정하게 된다. 선호되는 실시예에 있어서 제어 유닛(10)이라고 하면 자동차의 구동 유닛을 제어하기 위한 제어 유닛이다. 이러한 제어 유닛에서는 공지된 방식으로 운전자에 의해 작동 가능한 제어 부재의 위치가 검출되어 평가되며, 구동 유닛의 토크에 대한 목표값이 결정된다. 그런 다음 입력 회로(14)에 의해 수신되는 기타 제어 시스템, 예컨대 트랙션 슬립 제어 장치, 변속기 제어 장치 등과 같은 제어 시스템의 목표값들과 내부에서 형성된 목표값(한계값 등)을 고려하여 토크에 대한 목표값이 결정된다. 그런 다음 상기 토크에 대한 목표값은 내연 기관의 양호한 실시예에 있어서 위치 제어 회로의 범주에서 조정되는 스로틀 밸브의 위치에 대한 목표값으로 전환된다. 또한 내연 기관의 각각의 형성예에 따라 출력을 결정하는 추가 기능들이 제공되어 있는데, 예컨대 터보 차저, 배기 가스 재순환 시스템, 아이들링 속도 조절 시스템 등의 제어가 제공되어 있다. 그 외에도 가솔린 직접 분사식 내연 기관의 경우 공기 조정 뿐 아니라 분사되는 연료량의 결정, 조정되는 공연비의 결정, 분사 과정(사전 분사, 사후 분사)의 사전 설정, 충전 이동 플랩의 제어 등의 기능이 출력을 결정됨으로써 상기 내연 기관에는 전술한 내용과 더불어, 내연 기관의 출력에 영향을 미치며, 그로 인해 자동차의 안전성에 영향을 미치게 되는 다수의 추가 프로그램들이 제공되어야 한다.

또 다른 실시예에 있어서 제어 유닛(10)은 자동 변속기 또는 브레이크 시스템, 예컨대 전동기 제동식 브레이크 시스템을 제어한다. 이러한 시스템의 경우에도 또한, 자동차의 안전성에 관련되는 프로그램들은, 예를 들어 브레이크 시스템의 제어 시에 목표 제동력의 형성, 각각의 휠 브레이크의 목표 제동력 조정, 브레이크 페달의 작동 신호들로부터 운전자 요구 제동력의 형성 등이 있다. 그에 상응하는 안전성 관련 기능들은 변속기 제어 시스템의 경우에도 또한 존재한다.

상기의 제어 시스템에 있어서 기본적으로 가능한 2개의 에러 필드들을 고려해야 한다. 그 중 하나의 에러 필드는 제어 소프트웨어로 전환 시의 정의 및 소프트웨어 에러이며, 다른 하나는 제어 장치의 작동 시에 발생할 수 있는 연산 소자 내 하드웨어 에러이다. 최초에 언급한 모니터링 컨셉에 의해 상기 두 에러 필드들은 방지된다. 다음에서 기술하는 모니터링 컨셉은 상기 두 에러 필드들의 처리의 분할에서는, 단지 하드웨어 에러만이 연산 소자 내에서 모니터링된다. 이러한 점은 명령어 검사를 안전성과 관련된 기능들에 의해 실행되도록 허용하며 경우에 따라서는 추가로 시퀀스 제어된다. 그에 따라서 레벨2와 레벨3에 할당되는 프로그램들은 생략될 수 있는데, 이는 모니터링 레벨1에 존재하는 안전성과 관련된 기능들에 의해 실행되기 때문이다(레벨 1'). 명령어 검사와 경우에 따라서 시퀀스 제어에 부가적으로 메모리 검사가 제공된다. 상기 메모리 검사는 연산 소자의 메모리의 기능 성능을 보장한다.

이어서 상술된 모니터링에 의해 검출되지 못하는 시스템 및 소프트웨어 에러들은 전개 단계에서 적합한 조치에 의해 검출 및 방지되는데, 이는 예를 들어 처리 결과를 상호간에 검사하는 다수 개의 공동 연산자에 의해 안전성과 관련된 기능 및 컴포넌트를 전개함으로써 이루어진다. 또한 이러한 유형의 에러들은 전개 결과를 시뮬레이션 모델과 비교함으로써 인식되고, 상기 방식으로 소프트웨어의 에러 자유도가 검증된다.

그러므로 연산 소자 내 모니터링의 경우 단지 하드웨어 에러만이 남게되는데, 그럼으로써 충분히, 안전성 관련 기능들을 구동 유닛의 제어시에는 출력을 결정하는 기능 경로 및 컴퓨터 내의 출력을 결정하는 모듈을 검사될 수 있다. 상기의 기능들 내지 프로그램 모듈들의 검사는 명령어 검사 및 경우에 따라서는 시퀀스 제어에 의해 이루어진다. 명령어 검사의 경우 모니터링 모듈(11)에 의해 선택된 검사 데이터들이 선택된 모듈용으로 사전 설정된다. 모듈들로부터 실행되는 검사 계산은 하나의 응답으로 요약되며, 모니터링 모듈(11)에 전송된다. 상기 모니터링 모듈에서 각각의 검사 데이터들에 할당된 결과 데이터들을 이용하여 정확한 비트로 검사가 이루어진다. 명령어 검사 내에서 산정된 결과들이 기대되는 결과와 일치하지 않는다면, 예컨대 분리된 모듈로서 형성되어 있는 모니터링 모듈에 의해 이루어지는 에러 반작용이 실행된다. 제어 유닛 및/또는 연산 소자의 메모리 모듈들(RAM, ROM)은 기능검사와 무관하게 검사된다.

상기 모니터링 조치의 구현은, 각각의 안전성과 관련된 모듈들 및/또는 안전성과 관련된 모듈들의 계산단계가 선택되며, 레벨(1')의 복사본으로서 또는 시간에 따른 전환의 범주 내에 할당됨으로써 이루어진다. 한 실시예에 있어서 상기 복사는 자체 메모리 모듈 내에 저장된다. 바람직하게는, 컴퓨터 부하(computer load)의 환산(reducing)이 이루어지기 때문에, 단지 기능 레벨의 모듈들의 구성요소들만이 복사되거나 또는 명령어 검사용으로 고려될 때이며, 특히 바람직하게는 단지 몇몇의 프로그램 단계들, 즉 가산, 감산 등과 같은 단계들이 각각의 안전성과 관련된 프로그램 모듈들로부터 선택되어 명령어 검사의 범주에서 계산되는 경우이다.

명령어 검사의 검사 계산은 단지 매우 드물게, 바람직하게는 함수 계산과 같이 그에 상응하는 만큼의 빈도로 이루어진다. 그로 인해 최대 에러 반응 시간이 보장되는데, 왜냐하면 명령어 검사에서 에러 인식은 전체 시스템의 기능 장애가 존재하는 것과 동일시되기 때문이다.

추가로 안전성과 관련되는 기능들은 레벨(1) 내에 공지된 유형의 프로그램 시퀀스 제어와 더불어 형성되어 있다. 상기 프로그램 시퀀스 제어의 범주에서 모니터링 모듈에 의해 난수 발생기(random number generator) 당 선택된 질의가 이루어지며, 레벨(1)의 선택된 프로그램 모듈들 또는 프로그램 단계들에 의해서는 응답이 이루어지며, 통합된 결과는 모니터링 모듈에 전송된다. 상기 모니터링 모듈은 상기 결과를 질의에 할당된 표준 응답과 비교한다. 결산 시에 에러가 인식된다.

구동 유닛 제어의 선호되는 실시예에 있어서 액셀러레이터 페달 위치 신호를 평가하기 위한 안전성과 관련된 모듈들은, 스로틀 밸브 액추에이터를 모니터링하기 위한 모듈, 아날로그-디지털 컨버터 검사를 실행하기 위한 모듈, 목표 토크 조정을 실행하는 모듈, 아이들링 속도 제어를 실행하는 모듈, 스로틀 밸브의 위치 제어용 모듈 등이다.

명령어 검사 및 프로그램 시퀀스 제어에 부가적으로 바람직한 실시예에는 최소한 안전성과 관련된 모듈들을 고려하여 메모리 모듈의 빠른 검사가 실행된다. 이때 메모리 검사는 짧은 시간 간격으로 실행된다. 메모리 모듈의 적합한 검사에 대한 일례로서는 상보적인 램(RAM) 정보의 이중 저장 또는 관련 셀들을 통한 메모리 모듈의 적합한 검사를 들 수 있다. 그에 상응한 점은 제어 유닛(10)의 롬(ROM)에 있어서도 실행된다.

기술한 모니터링 조치는 연산 소자의 정확한 작동을 보장하며, 허용되는 방식으로 연산 소자의 영역 내 하드웨어 에러를 인식한다. 모니터링 품질의 추가 개선은 추가 프로그램 시퀀스 제어에 의해 달성되는데, 이때 상기 프로그램 시퀀스 제어는 모니터링 기능과 함께 메모리 모듈을 계속해서 추가 검사함으로써, 연산 소자가 전체적으로 신뢰되고 만족스럽게 모니터링된다.

내연 기관의 제어의 실례에서 선호되는 실시예는 도2에 따르는 흐름도에 따라 도시된다.

도2는 연산 소자(12) 및 분리된 모니터링 모듈(11)의 개략도를 도시하고 있다. 안전성과 관련된 기능들 내지 프로그램 모듈들은 도면 부호 110, 112, 114 내지 118로 표시되어 있다. 연산 소자에는 변수들이 통신 시스템(18)을 통해 공급되며, 상기 변수들로부터는 도시되지 않은 프로그램 모듈들 내 쪽으로 안전성과 관련된, 즉 출력을 결정하는 프로그램 모듈들에 의해 이용되는 변수들이 결정된다. 또한 통신 시스템(18)을 통해서는 연산 소자로부터 조절 부재의 제어를 위한 제어신호들이 출력되며, 상기 제어 신호들은 프로그램 모듈들(110 내지 118) 중 적어도 하나의 모듈에 의해 결정된다. 도시되어 있지는 않지만, 본원에서 필요한 중간 단계 및 중간 계산이 제공되는데, 이들은 도시되지 않은 프로그램 모듈들 내에서 제어신호의 형성과 결부되어 실행된다.

내연 기관 제어의 선호되는 실시예에 있어서 선택된 프로그램 모듈들(110 내지 118)은 내연 기관의 출력을 결정하는 프로그램들이다. 예를 들어 프로그램 모듈(110)을 이용하여 액셀러레이터 페달 위치가 검출되며 운전자 요구값이 형성되며, 프로그램 모듈(112)을 이용하여서는 토크 조정이, 프로그램 모듈(114)을 이용하여 아이들링 속도 제어가, 그리고 프로그램 모듈(118)을 이용하여 스로틀 밸브의 위치 제어가 실행된다. 그런 다음 상기 프로그램 모듈(118)은 다른 모듈들의 중간 결과에 기초하여 출력을 결정하는 제어 신호를 전송한다. 그와 더불어 도시되지 않은 안전성과 관련된 또 다른 프로그램 모듈들이 제공되어 있는데, 예를 들어 아날로그/디지털 컨버터의 검사, 스로틀 밸브 액추에이터의 모니터링, 스로틀 밸브 위치 신호의 평가 등이며, 이들은 개관의 이유로 도2에 도시되지 않는다.

도2는 앞서 기술한 연산 소자(12)를 모니터링하기 위한 또 다른 하나의 접근법 그리고 모니터링 모듈(11)과의 상호작용을 도시하고 있다. 도시되어 있는 사항으로는 연산 소자(12) 내 존재하는 2개의 프로그램 레벨로, 하나는 제어 함수를 실행하는 프로그램 모듈들(110 내지 118)이 할당되어 있는 레벨(1)이며, 다른 하나는 모니터링 기능의 실행에 기초하는 프로그램들(110 내지 118), 이 프로그램들 중 구성 요소 또는 이 프로그램들의 복사본이 할당되어 있는 레벨(1')이다. 통신 시스템(18)을 통해서는 연산 소자(12)가 모니터링 모듈(11)과 연결되어 있으며, 이러한 점은 도2에 있어서 라인(18a, 18b)으로 도시되어 있다. 그 외에도 모니터링 모듈(11)은 라인(18c)으로 기호 표시되는 통신 시스템(18)을 통해 에러가 있을 시에 비상 작동의 의미 또는 제어 함수들을 제한하는 의미에서 제어에 간섭한다.

도시되는 프로그램 모듈들(110 내지 118)은 안전성과 관련하여 자동차의 작동 특성에 작용하는데, 왜냐하면 상기 프로그램들은 운전자 사전 설정값에 무관하게 구동 유닛의 출력에 영향을 미치기 때문이다. 도시되는 프로그램들은 함수 프로그램으로서 레벨(1)에 할당되어 있으며, 상기 레벨에서 제어의 실행을 위한 연산을 처리한다. 상기 프로그램을 이용하면서 선행 기술로부터 공지되는 시퀀스 제어와 동일한 시퀀스 제어가 실행되며, 상기 시퀀스 제어는 모니터링 모듈(11)과의 질의 응답 통신으로서 상기 모니터링 모듈에 의해 라인(18a)을 통해 활성화된다. 이러한 이유에서 프로그램 모듈들(110, 118)은 또한 연산 소자(12)의 모니터링 레벨(1')의 구성 요소이다. 모든 선택된 프로그램 모듈들이 함께 작용하는 수집된 응답은, 모니터링 모듈(11)의 질의에 대한 응답으로서, 시퀀스 제어의 결과가 명령어 검사의 결과와 더불어 선택된 프로그램들을 통해 논리 연산될 수 있는 논리 연산 위치(120)를 거쳐, 라인(18b)을 통해 모니터링 모듈(11)에 공급된다. 상기 모니터링 모듈(11)은 전송된 결과를 사전 설정된 값과의 정확성에 대해 검사하며, 편차가 허용되지 않을 시에는 에러 반작용 조치를 유도한다(라인(18c)을 통해).

명령어 검사(122)는 최초 언급한 선행 기술로부터 공지된 바와 같이 사전 설정된 검사 데이터들에 기초하여 개시된다. 바람직한 다수의 검사 데이터 집합들은 연산 소자(12)의 메모리 내에 저장되어 있으며, 그리고 모니터링 모듈(11)에 의해 그에 상응하는 명령어를 통해 선택된다. 명령어 검사는 안전성에 대한 영향, 특히 출력 결정에 영향을 미치는 선택된 프로그램들을 통해 개시된다. 설명되는 실시예에서, 상기 프로그램들은 프로그램 모듈들(110 내지 118)이다. 각각의 실시예에 따라서 전체 프로그램들은 명령어 검사(122) 내에 통합되어 있으며, 동시에 명령어 검사와 관련하여 검사 데이터를 포함하는 완전한 프로그램이 실행되거나(pass through), 또는 도2에 도시된 바와 같이 선택된 프로그램 구성 요소 또는 프로그램 단계(1100 내지 1180)가 실행된다. 예를 들어 각각의 프로그램으로부터 결정된 프로그램 단계, 예를 들어 가산, 감산, 곱셈 단계들이 선택된다. 선택된 프로그램 단계 또는 구성요소들은 명령어 검사(122) 내에 복사되거나 또는 원 프로그램 내에 남아있으며, 그리고 그런 다음에는(복사본으로 또는 원형으로) 검사 데이터를 포함하는 명령어 검사를 거치게 된다. 그 결과는 논리 연산 위치(120)와 라인(18b)을 통해 모니터링 모듈(11)에 전송된다. 명령어 검사 및 시퀀스 제어에 부가로 상술된 메모리 검사가 개시된다.

원시 프로그램의 복사본 또는 상기 프로그램의 구성 요소 대신에 또 다른 실시예에 있어서는 원시 프로그램 자체가 검사 계산에 이용된다. 필요한 전환은 레 벨(1')의 구성 요소이다.

도3에 있어서는 프로그램 모듈(110)의 예에 있어서 2개의 구체적인 실현 가능성들이 도시되어 있다. 도3a에 따라서 프로그램 모듈(110)은 상기의 또는 각각의 프로그램 단계로서 이 단계로부터 복사되며, 복사본(110b)은 명령어 검사의 기초가 된다. 기능을 실행하는 원시 프로그램(110a)은 영향을 받지 않는 상태로 유지된다.

도3b에 따르는 제2 실시예에 있어서는 프로그램 모듈(110)은 단지 일회에 걸쳐 원형으로서 제공된다. 명령어 검사에 대한 조건(바람직하게는 시간 조건)의 발생 시에 스위칭 부재들(200, 202)은 파선의 위치로 전환된다. 그런 다음 프로그램 모듈(110)은 공급되는 원형 데이터들(18) 대신에 검사 데이터들(18a)을 이용하여 검사를 받으며, 그 결과는 제어를 위한 모니터링 모듈(11)에 공급된다(18b). 프로그램(110)이 완전하게 명령어 검사를 받은 다음으로 원시 프로그램(11)의 프로그램 구성 요소들 내지 프로그램 단계들은 명령어 검사의 기초로서 선택된다.

Claims (10)

1. 프로그램 모듈들(110 내지 118)을 포함하며, 이 모듈들에 의해 자동차의 작동 특성이 영향을 받으며, 프로그램 모듈들을 이용하여 적어도 하나의 입력 변수에 따라 자동차 내의 적어도 하나의 기능을 제어하기 위한 적어도 하나의 출력 변수를 형성하는, 자동차 내 연산 소자(12)를 모니터링하기 위한 방법에 있어서,

   연산 소자(12)의 정확한 기능을 모니터링하기 위해 복수의 프로그램 단계를 갖는 상기 프로그램 모듈 중 적어도 하나의 모듈이 선택되며, 상기의 선택된 적어도 하나의 모듈 또는 그 복사본이 연산 소자(12)에서 검사 데이터를 기초로 실행되며, 상기 검사 데이터의 계산 결과는 에러 인식을 위해 사전 설정된 결과와 비교되는 것을 특징으로 하는 방법.
2. 제1항에 있어서, 모니터링 모듈의 검사는 활성화되는 것을 특징으로 하는 방법.
3. 제1항 또는 제2항에 있어서, 상기 검사에 부가적으로 적어도 하나의 선택된 프로그램 모듈의 시퀀스 제어가 제공되며, 상기 시퀀스 제어는 모니터링 모듈과의 질의 응답 통신을 나타내며, 모니터링 모듈에 의해 개시되는 것을 특징으로 하는 방법.
4. 제1항 또는 제2항에 있어서, 검사를 통해 결정된 결과는 모니터링 모듈 내에서 각각의 사전 설정된 결과와 비교되며, 허용될 수 없는 편차일 때 모니터링 모듈을 통해 에러 반응이 유도되는 것을 특징으로 하는 방법.
5. 제1항 또는 제2항에 있어서, 연산 소자는 자동차의 구동 유닛을 제어하는 역할을 하며, 적어도 하나의 선택된 프로그램 모듈은 예컨대 운전자 요구의 검출, 아이들링 속도 제어, 토크 조정, 스로틀 밸브 위치 제어와 같은 안전성과 관련된, 바람직하게는 출력을 결정하는 것을 특징으로 하는 방법.
6. 제1항 또는 제2항에 있어서, 적어도 하나의 선택된 프로그램 모듈 또는 그 모듈로부터 선택된 적어도 하나의 구성 요소가 연산 소자의 제1 레벨(레벨 1)의 원본 프로그램 및 복사본으로서, 또는 연산 소자의 제2 레벨(레벨 1')의 검사를 실행하기 위한 원본으로서 할당되어 있는 것을 특징으로 하는 방법.
7. 제1항 또는 제2항에 있어서, 적어도 하나의 선택된 프로그램 모듈 또는 그 모듈로부터 선택된 적어도 하나의 구성 요소가 원본 프로그램으로서, 검사를 위해 고려되는 것을 특징으로 하는 방법.
8. 제1항 또는 제2항에 있어서, 원본 프로그램을 포함하거나 또는 원본 프로그램의 복사본을 포함하는 검사 계산을 나타내는 명령어 검사에 부가적으로, 적어도 연산 소자(12)의 안전성과 관련된 메모리 셀들의 검사가 실행되는 것을 특징으로 하는 방법.
9. 제1항 또는 제2항에 있어서, 연산 소자가 자동 변속기 또는 엔진 출력 제어 또는 전기방식 제어 브레이크 시스템, 바람직하게는 전동기 제동식 브레이크 시스템을 제어하는 것을 특징으로 하는 방법.
10. 자동차의 작동 특성에 영향을 주는 프로그램 모듈들(110 내지 118)을 포함하는 하나의 연산 소자(12)를 구비하며, 상기 연산 소자는 프로그램 모듈들을 이용하여 적어도 하나의 입력 변수에 따라 자동차 내 적어도 하나의 기능을 제어하기 위한 적어도 하나의 출력 변수를 형성하는, 자동차 내 연산 소자(12)를 모니터링하기 위한 장치에 있어서,

    복수의 프로그램 단계를 갖는 상기 프로그램 모듈 중 적어도 하나의 모듈이 연산 소자(12)의 정확한 기능을 모니터링하기 위해 선택되며, 상기 선택된 적어도 하나의 모듈 또는 그 복사본이 연산 소자(12)에서 검사 데이터를 기초로 실행되며, 상기 검사 데이터의 계산 결과는 에러 인식을 위해 사전 설정된 결과와 비교되는 것을 특징으로 하는 장치.

Images