【誤訳訂正書】
【提出日】平成26年11月25日(2014.11.25)
【誤訳訂正１】
【訂正対象書類名】明細書
【訂正対象項目名】全文
【訂正方法】変更
【訂正の内容】
【書類名】明細書
【発明の名称】制御装置内の監視構想
【技術分野】
【０００１】
本発明は、独立請求項の上位概念に記載の、演算器を監視するための方法に関し、当該方法を実行するための計算要素、プロセッサ及び監視要素に関する。
【０００２】
演算器を有する制御装置を単体でなくて又はフェイルセーフに自動車内で使用するための様々な技術思想が存在する。制御装置の当該フェイルセーフは、３つの層から成る技術思想（３−Ｅｂｅｎｅｎ  Ｋｏｎｚｅｐｔ）によって達成可能である。
【背景技術】
【０００３】
車両の駆動装置を制御するための装置が、ドイツ連邦共和国特許出願公開第４４３８７１４号明細書から公知である。この場合出力を制御する制御装置はただ１つの演算器だけを有する。この演算器は遮断バスの制御及び監視を実行する。当該制御及び監視を実行するため、互いに独立した２つの層がただ１つの演算器内に設けられている。第１の層内で出力制御機能が求められ、第２の層内で特に監視モジュールとの共同動作でこれらの機能にしたがって演算器自体の動作能力が監視されることによって、作動の確実性及び利用可能性が保証される。
【０００４】
更にドイツ連邦共和国特許出願公開第４４３８７１４号明細書には、第２の層の経過監視を実行する第３の層が記載されている。第３の層によるこの監視は、制御装置の信頼性及び利用可能性を著しく高める。特に、当該経過監視は、問い合わせ−応答通信として監視モジュール内で実行される。
【０００５】
当該３つの層の監視構想（ＥＧＡＳ構想）は、好ましくは自動車のエンジン制御装置で電子式のエンジン制御システムを監視するために使用される。この場合、当該機関制御装置は、いわゆる機能計算機と監視計算機とから構成される。機能計算機と監視計算機とが、問い合わせ−応答方法によって通信する。更に、当該機能計算機と監視計算機とは、別個の遮断バスを有する。
【０００６】
層１は、自動車の駆動装置の機能を制御するための固有の機能モジュールを有する。したがって、この層１は機能層とも称される。この層１は、特に、要求されたエンジントルクに変換するためのエンジン制御機能、構成要素の監視、入力変数及び出力変数の診断を有し、欠陥の認識時のシステム応答の制御を有する。この層１は、機能計算機上に構成される。
【０００７】
機能監視層とも称される層２は、安全モジュールを有し、同様に機能計算機上に構成される。この層２は、層１の機能モジュールの監視に関連する周囲のエラーのあるシーケンスを、特に、計算されたエンジントルク又は自動車の加速度を監視することによって検出する。エラーの発生時に、例えば安全性に関連する出力段の遮断のような、システム応答の起動が実行される。
【０００８】
層２は、機能計算機の、層３によって保護されたハードウェア領域内で実行される。計算機監視層とも称される当該層３は、指令セットテストとプログラムフロー監視とＡ／Ｄ変換器テストと層２の周期的で且つ完全なメモリテストとを有する独立した機能計算機上に監視モジュールを備える。この監視モジュールは機能計算機上に構成される。この機能計算機から独立した監視計算機が、問い合わせ−応答方法によって、この機能計算機の、プログラム命令の規則通りの処理をテストする。エラーの発生時に、システム応答の起動が、この機能計算機とは無関係に実行される。
【０００９】
現在の電子式のエンジン制御システムでは、機能ソフトウェアと監視ソフトウェアとの全体が、制御装置内に組み込まれている。当該監視思想は、その他の車両制御装置、特に変速機制御装置で実現されてもよい。
【００１０】
幾つかの監視思想が、従来の技術から公知である。当該監視思想では、１つの監視計算機が、ただ１つの監視装置（モニタリング装置）によって機能計算機内で１つより多いプログラムフロー監視を実行する。この場合、この１つの監視装置が、個々のプログラムフロー監視からの個々の応答を同期し、当該個々の応答を１つの全応答に合成する必要がある。したがって、これらの応答の、当該同期時と当該合成時との双方で、エラーが発生し得る。
【先行技術文献】
【特許文献】
【特許文献１】ドイツ連邦共和国特許出願公開第４４３８７１４号明細書
【発明の概要】
【発明が解決しようとする課題】
【００１１】
したがって、本発明の課題は、自動車の制御装置内の演算器を監視するための公知の方法を改良することにある。
【課題を解決するための手段】
【００１２】
本発明によれば、この課題は独立請求項１に記載の：
自動車の制御装置内の演算器を監視するための方法であって、
この演算器が、主に３つのプログラムモジュールを有し、前記自動車の走行挙動が、これらのプログラムモジュールによって影響され、
前記演算器が、これらのプログラムモジュールを使用することで、少なくとも１つの入力変数に応じて、前記自動車の少なくとも１つの機能を制御するための少なくとも１つの変数を生成し、
第１の前記プログラムモジュールが、前記自動車の機能を制御するための機能モジュール（Ｅ１）であり、
第２の前記プログラムモジュールが、前記機能モジュール（Ｅ１）を検査するための安全モジュール（Ｅ２）であり、
第３の前記プログラムモジュールが、前記安全モジュール（Ｅ２）を少なくとも検査するための監視モジュール（Ｅ３）である当該方法において、
前記監視モジュール（Ｅ３）が、ソフトウェアとして構成された互いに独立した２つのモニタリング要素（ＭＥ１，ＭＥ２）を有し、ハードウェアとして構成された付随するモニタリング装置（ＭＵ１，ＭＵ２）を環境設定するため、それぞれの１つの状態機械（ＳＭ１，ＳＭ２）が、前記制御装置を起動することによって前記演算器内で実行され、
１つの状態機械（ＳＭ１，ＳＭ２）が、各モニタリング要素（ＭＥ１，ＭＥ２）に割り当てられていて、当該２つの状態機械（ＳＭ１，ＳＭ２）が、正常に実行されたときに、これらのモニタリング装置（ＭＵ１，ＭＵ２）が、当該それぞれのモニタリング要素（ＭＥ１，ＭＥ２）によってこれらのモニタリング装置（ＭＵ１，ＭＵ２）の監視機能を開始することによって解決される。
【００１３】
上記の自動車の制御装置内の本発明による演算器は、実質的に３つのソフトウェアプログラムモジュールを有する、すなわち自動車の機能を制御する機能モジュールと、この機能モジュールを検査するための安全モジュールと、少なくともこの安全モジュールを監視するための監視モジュールとを有する。
【００１４】
本発明の要旨は、監視モジュールがソフトウェアとして構成された互いに独立した２つのモニタリング要素を有し、各モニタリング要素がハードウェアとして構成されたそれぞれ１つのモニタリング装置に割り当てられている点にある。
【００１５】
したがって、時間的に全く異なる複数のソフトウェアタスクが監視され得る。２つの正確な応答が、正しい時間窓内で転送されるときだけ、安全性に重要なバスが使用可能になる。
【００１６】
付随する１つのモニタリング装置を環境設定するため、それぞれ１つのいわゆる状態機械が、特に制御装置を起動することによって演算器内で実行される。１つの状態機械は、複数の状態から成る、いわゆるステートとしての状態遷移と動作とから成る行動モデルである。１つの状態が、過去に関する情報を記憶する。この状態は、システムの開始から現在の時点までの入力の変化を反映する。１つの状態遷移が、当該状態機械の状態の変化を示し、その遷移を可能にするために満たす必要がある論理条件によって記述される。１つの動作が、特定の状況で実行される当該状態機械の出力である。
【００１７】
２つの状態機械が正常に実行されたときに、好ましくは、２つのモニタリング装置が、そのそれぞれのモニタリング要素によって演算器の監視を開始する。
【００１８】
第１のモニタリング装置が、第１のモニタリング要素によって、特にメモリテストとプログラムフロー監視とを安全モジュール内で第１の監視として実行する。更に、第２のモニタリング装置が、第２のモニタリング要素によって、特に命令セットテストとＡ／Ｄ変換器テストとを監視モジュール内で第２の監視として実行する。好ましくは、当該それぞれの監視が、いわゆるテストバスを経由して実行される。
【００１９】
特に、エラーが発生したときに、機能計算機又は監視計算機が、例えば安全性に関連する出力段を正確に遮断できることを、遮断バステストが保証する。
【００２０】
当該２つの監視のうちの１つの監視におけるエラーの発生時に、それぞれ１つのエラーカウンタが操作され、自由にプログラミング可能なエラー反応閾値を超えると、機能モジュールとは無関係に、システム反応が、監視計算機によって起動されることを特に強調する必要がある。
【００２１】
当該システム応答は、自動車を制限された非常モードに移行させる。当該非常モードは、例えば、車道の停車帯上になんとか停止させることを可能にする。
【００２２】
この場合、当該エラーカウントが、安全性を向上させるために好ましくは非対称に実行される。すなわち、問い合わせ−応答方法で間違った応答時に、当該エラーカウントが、２回カウントアップされ、これに対して正しい応答時には、１回だけカウントダウンされる。
【００２３】
好ましくは、演算器内の制御装置の初期化時に、対応するモニタリング装置が環境設定される。この工程では、様々なパラメータの中でも、例えば、応答時間、問い合わせ−応答方法の応答時間窓、安全性に関連する出力段のための遮断閾値、及びリセット許可を伴うリセット閾値がセットされる。この場合、当該パラメータは、モニタリング装置ごとに互いに全く異なってもよい。しかし、双方のモニタリング装置が、同一に環境設定されることも考えられる。
【００２４】
対応する１つのモニタリング装置の当該環境設定が、対応する１つのＩＮＩＴ状態だけで可能であること、及び、特定の状態遷移だけが、１つの状態機械で許可されることが顕著な利点である。さらに、特に、当該ＩＮＩＴ状態へのリターンが、状態ＲＥＳＥＴだけによって実行される。したがって、当該パラメータが、故意に又は故意でなく事後的に変更され得ることが阻止される。
【００２５】
本発明の別の課題は、上記の従来技術に比べて改善されたプロセッサを、自動車の制御装置内の上記の演算器によって提供することにある。
【００２６】
本発明によれば、この課題は、独立請求項８に記載の特徴を有するプロセッサによって解決される。
【００２７】
詳しく上述したように、制御装置の演算器が、主に３つのプログラムモジュールとして機能モジュール、安全モジュール及び監視モジュールを有し、当該演算器が、プロセッサ上に構成される。このプロセッサは、特に、機能計算機と監視計算機とに分割されている。この場合、この機能モジュール、この安全モジュール及びこの監視モジュールは、この機能計算機上に構成される。この監視計算機は、通常はインタフェースを通じて問い合わせ−応答方法によってこの機能計算機と通信する。
【００２８】
本発明の要旨は、機能計算機と監視計算機とが、物理的に独立して互いに離れていて、この監視計算機が、互いに機能的に独立した２つのモニタリング装置をさらに有することである。この機能計算機のプログラム命令の規則通りの処理を監視するため、それぞれ１つの監視が、この機能計算機内で好ましくは各モニタリング装置によって実行可能である。これにより、監視方法が、有益に促進され且つより確実に実行され得る。
【００２９】
以下に、本発明の利点及び詳細を、添付図面に関連させて、実施の形態に基づいて詳しく説明する。この場合、個々のバリエーションで説明されている特徴及び関係は、基本的に全ての実施の形態に適用可能である。
【図面の簡単な説明】
【００３０】
【図１】複数のモジュール（ソフトウェア）と複数の計算機（ハードウェア）-とに分割された３つの層から成る技術思想を示す。
【図２】複数の状態と複数の遷移と複数の条件とを有する１つの状態機械を示す。
【発明を実施するための形態】
【００３１】
図１中の、一点鎖線又は破線の枠を成す複数の四角形がそれぞれ、１つのハードウェア要素を示し、実線の枠を成す複数の四角形がそれぞれ、ソフトウェア要素を示す。これらの四角形間の複数の直線の矢印がそれぞれ、１つのデータ交換を示す。
【００３２】
図１は、例えば、自動車内のエンジン制御装置又は変速機制御装置で使用されるような、主にＥＧＡＳの技術思想から公知の３層監視モデル（３−Ｅｂｅｎｅｎ−Ｕｅｂｅｒｗａｃｈｕｎｇｓｍｏｄｅｌｌ）を示す。
【００３３】
第１の一点鎖線の四角形は、プロセッサの機能計算機（ＦＲ）を示す。第２の一点鎖線の四角形は、このプロセッサの監視計算機（ＵＲ）を示す。機能計算機ＦＲと監視計算機ＵＲは、物理的に互いに離れて分離されるようにこのプロセッサ上に配置されている。この監視計算機（ＵＲ）は、例えばＡＳＩＣとして構成され得る。３つのプログラムモジュールが、機能モジュール（Ｅ１）、安全モジュール（Ｅ２）及び監視モジュール（Ｅ３）として機能計算機（ＦＲ）上に構成される。
【００３４】
当該機能モジュール（Ｅ１）は、機能層とも称されるＥＧＡＳの技術思想の層１を示す。この層１は、特に、自動車の駆動装置の機能制御に使用され、上述したように、特に、要求されたエンジントルクに変換するためのエンジン制御機能、構成要素の監視、入力変数及び出力変数の診断を有し、欠陥の認識時のシステム応答の制御を有する。
【００３５】
当該安全モジュール（Ｅ２）は、機能監視層とも称されるＥＧＡＳの技術思想の層２を示す。この層２は、層１の機能モジュール（Ｅ１）の、監視に関連する範囲のエラーのあるシーケンスを検出する。したがって、特に、計算されたエンジントルク又は例えば自動車の加速度が監視される。エラーが発生すると、特にシステム応答の起動が実行される。当該安全モジュール（Ｅ２）は、基本的には、機能計算機（ＦＲ）の、監視モジュールＥ３によって保護されたハードウェア領域内で実行される。
【００３６】
当該監視モジュール（Ｅ３）は、計算機監視層とも称されるＥＧＡＳの技術思想の層３を示す。この監視モジュール（Ｅ３）は、特に、この監視計算機（ＵＲ）から独立した機能計算機（ＦＲ）上に構成される。この監視計算機（ＵＲ）は、例えば少なくとも１つの問い合わせ−応答方法によってこの機能計算機（ＦＲ）のプログラム命令の規則通りの処理をテストする。エラーが発生すると、特に、システム応答の起動が、この機能計算機（ＦＲ）に関係なく実行される。
【００３７】
当該監視計算機（ＵＲ）は、互いに独立した主に２つのモニタリング装置（ＭＵ１，ＭＵ２）を有する。対応する１つのモニタリング要素（ＭＥ１，ＭＥ２）が、安全モジュール（Ｅ２）の監視（Ｋ１）又は監視モジュール（Ｅ３）の監視（Ｋ２）のために各モニタリング装置（ＭＵ１，ＭＵ２）上に構成される。
【００３８】
すなわち、例えば、第１のモニタリング装置（ＭＵ１）が、第１のモニタリング要素（ＭＥ１）によって第１の監視（Ｋ１）として第１のテストバス（ＴＰ１）経由で安全モジュール（Ｅ２）内でメモリテストとプログラムフロー監視を実行する。
【００３９】
当該第１の監視（Ｋ１）と並行して且つ当該監視（Ｋ１）と独立して、第２のモニタリング装置（ＭＵ２）が、第２のモニタリング要素（ＭＥ２）によって第２の監視（Ｋ２）として第２のテストバス（ＴＰ２）経由で監視モジュール（Ｅ３）内で、特に命令セットテストとＡ／Ｄ変換器テストとを実行する。また、第２の監視（Ｋ２）が、第１のモニタリング装置（ＭＵ１）上で第１のモニタリング要素（ＭＥ１）によって第１のテストバス（ＴＰ１）経由で実行され、第１の監視（Ｋ１）が、第２のモニタリング装置（ＭＵ２）上で第２のモニタリング要素（ＭＥ２）によって第２のテストバス（ＴＰ２）経由で実行されてもよい。
【００４０】
特に、上記のプログラムフロー監視は、問い合わせ−応答方法としてモニタリング装置（ＭＵ１，ＭＵ２）と機能計算機（ＦＲ）との間で実行される。対応する問い合わせが、例えば、１つのモニタリング要素（ＭＥ１，ＭＥ２）に割り当てられた問い合わせ発生器（ＦＧ）内で生成される。これらの問い合わせ発生器（ＦＧ）は、同一に構成されているが、１つの問い合わせは、ランダムに実行される。したがって、モニタリング装置（ＭＵ１）からの問い合わせとモニタリング装置（ＭＵ２）からの問い合わせとは、事実上常に異なる。
【００４１】
エラーが、監視（Ｋ１，Ｋ２）で発生すると、好ましくは、それぞれ１つのエラーカウンタが、Ｈレベルにセットされる。自由にプログラミング可能な対応するエラー応答閾値を超えると、特に監視モジュール（Ｅ３）によって、システム応答が、機能モジュール（Ｅ１）とは無関係に起動される。当該自由にプログラミング可能なエラー応答閾値は、例えば、安全性に関連する出力段の遮断又は機能計算機（ＦＲ）のリセットのような、様々なシステム応答に対して異なり得る。当該複数のモニタリング装置（ＭＵ１，ＭＵ２）のうちの１つのモニタリング装置が、リセットを生成するときに、状態機械（ＳＭ１，ＳＭ２）と機能計算機（ＦＲ）とを含むシステムの全体がリセットされる。しかし、例えば、専らモニタリング装置（ＭＵ１）のエラー時に、リセットが起動されるように、当該環境設定が実行されてもよく、また、モニタリング装置（ＭＵ２）のエラー時に、安全性に関連する出力段だけが遮断されるように、当該環境設定が実行されてもよい。
【００４２】
さらに、リセット命令の生成が、エラー応答として選択的に許可され得るか又は許可され得ないようにしてもよい。
【００４３】
好ましくは、監視計算機（ＵＲ）の複数の出力部が、相補的に構成されている。例えば、チップの破壊又はいわゆるラッチアップによる、例えばＡＳＩＣとして構成された監視計算機（ＵＲ）の完全な故障時に、すなわち半導体素子の、低抵抗状態への移行時に、監視計算機（ＵＲ）の全ての出力端が、同時にＨレベル又はＬレベルにあることが推測される。この場合には、当該相補的な複数の出力部が、図示されなかった外部回路と一緒にシステムの安全バス、すなわちシステムの安全性に関連する出力段を遮断する。当該外部回路は、例えば抵抗とトランジスタとから構成され、当該相補的な複数の出力部の組み合わせだけが安全性に関連する出力段を使用可能にするように動作する。
【００４４】
図２は、１つの状態機械を示す。この状態機械は、好ましくは僅かなハードウェア費用で実現可能である。この場合、当該状態機械のこの実施の形態は、ソフトウェアとして構成された状態機械より速く、より確実で且つより故障しにくい。さらに、この実施の形態は、改竄不可能である。既に冒頭で説明したように、１つの状態機械は、複数の状態から成る、いわゆるステートとしての状態遷移と動作とから成る行動モデルである。１つの状態が、過去に関する情報を記憶する。この状態は、システムの開始から現在の時点までの入力の変化を反映する。１つの状態遷移が、当該状態機械の状態の変化を示し、その遷移を可能にするために満たす必要がある論理条件によって記述される。１つの動作が、特定の状況で実行される当該状態機械の出力である。この状態機械は、ディジタル回路内で主にメモリにプログラミング可能な制御装置、論理ゲート、フリップフロップ又はリレーによって実現可能である。当該ハードウェアを稼働させるためには、一般には、状態変数を記憶するためのレジスタ、状態遷移を選択する論理装置、及び出力に対して権限を有する別の論理装置が使用される。固有の１つの状態機械（ＳＭ１、ＳＭ２）が、各モニタリング要素（ＭＥ１，ＭＥ２）に割り当てられている。
【００４５】
制御装置の初期化時又はリセット後に、（ＩＮＩＴ）状態が使用される。この（ＩＮＩＴ）状態では、モニタリング装置（ＭＵ１，ＭＵ２）が、監視計算機（ＵＲ）と機能計算機（ＦＲ）との間の通信インタフェースを通じて機能モジュール（Ｅ１）によって環境設定される。この場合、特に、応答時間、応答時間窓、エラー応答閾値、特に遮断閾値（ｔｈｒｅｓｈ）、及びリセット閾値（ｒｅｓｅｔ  ｔｈｒｅｓｈ）がセットされる。
【００４６】
当該状態機械（ＳＭ１，ＳＭ２）の実行時の当該応答時間は、ほぼ自由に環境設定可能であり、通常は１ｍｓ〜２５５ｍｓの範囲内にある。
【００４７】
特に、応答時間窓も、当該状態機械内にセットされ、主に１ｍｓ〜２５５ｍｓの範囲にある。応答時間と応答時間窓との間の比は、特に自由に変更可能である。
【００４８】
さらに、エラーカウンタをＩＮＩＴ状態で遮断されたままにさせることを保証するため、エラーカウンタの初期値が、遮断閾値（ｔｈｒｅｓｈ）より上に自動的にセットされる。モニタリング要素（ＭＥ１，ＭＥ２）の環境設定が、動作（ＥＯＩ）（ＩＮＩＴの終了）によって完了されていて、もはや変更不可能でもある。したがって、状態（ＳＯＰＣＤＩＳ）（＝遮断バステスト使用不可能）への状態遷移が実行される。この場合、（ＳＯＰＣ）は、遮断バステストである。この場合、１つの遮断バステストは、エラーが発生したときに、機能計算機又は監視計算機が、例えば安全性に関連する出力段を正しく遮断できることを保証できる。この状態では、この出力段はまだ使用可能でない。
【００４９】
当該遮断バステストでは、状態（ＳＯＰＣＤＩＳ）及び状態（ＳＯＰＣＥＮＡ）が使用される。出力段が、当該前者の状態では遮断されていて、当該後者の状態では使用可能である。この解決策の利点は、応答が当該遮断バステスト中に応答時間窓を考慮することなしに可能な限り速く送信され得ることにある。したがって、システムの立ち上がり時間が、短く保持され得る。
【００５０】
特にＳＯＰＣタイマが、状態（ＳＯＰＣＤＩＳ）の到達によって始動される。このＳＯＰＣタイマは、命令（ＥＯＳＯＰＣ）（＝ＳＯＰＣの終了）まで時間を測定する。当該テストが、非常に長く持続するときに、このテストは中断され、状態（ＳＯＰＣＤＩＳ）が、動作（ＳＯＰＣ  ｔｉｍｅｏｕｔ）を経由して状態（ＲＥＳＥＴ）に遷移される。
【００５１】
当該テストの可能な限り速い経過を保証するため、状態（ＳＯＰＣＤＩＳ）では、監視計算機（ＵＲ）と機能計算機（ＦＲ）との間の問い合わせ−応答方法が、特に時間制限なしに開始する。すなわち、応答時間窓が開いている。間違った応答時に、エラーカウンタが、カウントアップされる。このエラーカウンタが、１つの遮断閾値（ｔｈｒｅｓｈ）より下にあるときに、状態ＳＯＰＣＥＮＡ（遮断バステスト使用可能）への遷移が、条件（ＥＣ＜ｄｉｓａｂｌｅ  ｔｈｒｅｓｈ）によって特に即座に実行される。すなわち、出力段が使用可能になる。
【００５２】
上記の状態（ＳＯＰＣＤＩＳ）から状態ＤＩＳＡＢＬＥへの遷移は、条件（ＥＯＳＯＰＣ）（＝遮断バステストの終了）によって実行される。当該条件は、機能計算機（ＦＲ）と監視計算機（ＵＲ）との間の通信インタフェースを通じて起動される。当該出力段が、状態（ＳＯＰＣＤＩＳ）で規定されているように、使用不可能か又は遮断されたままである。ただ１つの条件は、条件（ＳＯＰＣ  ｔｉｍｅｏｕｔ）の経過前の正しい命令である。
【００５３】
特に状態（ＳＯＰＣＤＩＳ）から状態（ＳＯＰＣＥＮＡ）に到達すると、ＳＯＰＣタイマが、有益に作動し続ける。監視計算機（ＵＲ）と機能計算機（ＦＲ）との間の問い合わせ−応答方法が、同様に時間的制限なしに実行され続ける。エラーカウンタが、１つの遮断閾値（ｔｈｒｅｓｈ）に到達したか又はこの遮断閾値を超えたときに、当該状態ＳＯＰＣＤＩＳに戻る遷移が、特に条件（ＥＣ≧ｄｉｓａｂｌｅ  ｔｈｒｅｓｈ）によって実行される。
【００５４】
遮断バステストが、非常に長く持続するときに、この遮断バステストは中断され、状態（ＳＯＰＣＥＮＡ）が、条件（ＳＯＰＣ  ｔｉｍｅｏｕｔ）を経由して状態（ＲＥＳＥＴ）に遷移される。この状態（ＲＥＳＥＴ）から状態（ＩＮＩＴ）への当該引き続く遷移は、自動的に実行される。
【００５５】
状態（ＳＯＰＣＥＮＡ）から状態（ＮＯＲＭＡＬ）への遷移は、主に条件ＥＯＳＯＰＣを経由して実行される。この条件ＥＯＳＯＰＣは、同様に通信インタフェースを通じて実行される。
【００５６】
当該状態（ＮＯＲＭＡＬ）では、出力段が、先行する１つの状態で既に使用可能でなかった場合に、この出力段は使用可能になる。当該状態（ＮＯＲＭＡＬ）では、監視計算機（ＵＲ）と機能計算機（ＦＲ）との間の問い合わせ−応答方法が続行される。この場合、特に、エラーカウンタのカウンタ値の読み出しが、当該先の状態から引き継がれる。上記遮断バステストの状態（ＳＯＰＣＥＮＡ）及び（ＳＯＰＣＤＩＳ）とは違って、当該状態では、特に、応答時間と応答時間窓とに対する時間制限が存在する。機能計算機の作動システムの経過時間の監視を保証するためには、応答は、早すぎても遅すぎてもいけない。当該応答時間は、応答の送信に対して可能な限り遅い時点である。次いで、いわゆる「クローズトウインドウ」が環境設定される。この範囲内では、応答が送信されてはならない。応答時間と「クローズトウインドウ」との差が、「オープンウインドウ」又は応答時間窓を示す。
【００５７】
応答時間及び応答時間窓は、状態（ＩＮＩＴ）で予めプログラミングされてある。エラーカウンタが、間違った応答時と、応答時間又は応答時間窓を超えた時との双方で有益にカウントアップされる。１つの遮断閾値（ｔｈｒｅｓｈ）に到達したか又はこの閾値を超えたときに、条件（ＥＣ≧ｄｉｓａｂｌｅ  ｔｈｒｅｓｈ）による状態（ＤＩＳＡＢＬＥ）への遷移が実行される。
【００５８】
状態（ＤＩＳＡＢＬＥ）では、出力段が遮断される。この状態では、監視計算機（ＵＲ）と機能計算機（ＦＲ）との間の問い合わせ−応答方法が、エラーカウンタのカウンタ値を変更しないで続行される。この場合も、応答時間と応答時間窓とに対する時間制限が存在する。当該エラーカウンタが、同様に、間違った応答時と、応答時間又は応答時間窓を超えた時との双方でカウントアップされる。閾値（ｔｈｒｅｓｈ）を超えたときに、条件（ＥＣ＜ｄｉｓａｂｌｅ  ｔｈｒｅｓｈ）によって、状態（ＮＯＲＭＡＬ）に戻る遷移が実行される。この状態（ＮＯＲＭＡＬ）では、出力段が、再び使用可能にされる。
【００５９】
状態ＤＩＳＡＢＬＥでは、エラーカウンタが、１つのリセット閾値（ｒｅｓｅｔ  ｔｈｒｅｓｈ）に到達し、リセット許可用のレジスタが、予め設定された値１を有すると、条件（ＥＣ≧ｒｅｓｅｔ  ｔｈｒｅｓｈ  ＡＮＤ  ｉ＿ｒｅｑ＿ｒｓｔ＿ｅｎ＝１）によって、状態（ＲＥＳＥＴ）への遷移が実行される。状態（ＲＥＳＥＴ）から状態（ＩＮＩＴ）への遷移が、同様に自動的に実行される。
【００６０】
当該状態機械内の実行の全体をさらに速く実現するため、状態（ＳＯＰＣＥＮＡ）が、当該状態機械内で省略され得る。この状態（ＳＯＰＣＥＮＡ）では、より速い遮断バステストが実行されない。
【００６１】
２つの当該状態機械が、正常に実行されたときに、当該２つのモニタリング装置が、（ＮＯＲＭＡＬ）状態で、好ましくは当該それぞれのモニタリング要素によって、演算器の監視を開始する。
【００６２】
要約すると、自動車の制御装置内の演算器を監視するための本発明による監視の技術思想が、公知の監視の技術思想と比べて、速さ、プログラミング費用及び安全性に関して改良されている。
【誤訳訂正２】
【訂正対象書類名】特許請求の範囲
【訂正対象項目名】全文
【訂正方法】変更
【訂正の内容】
【特許請求の範囲】
【請求項１】
自動車の制御装置内の演算器を監視するための方法であって、
この演算器が、主に３つのプログラムモジュールを有し、前記自動車の走行挙動が、これらのプログラムモジュールによって影響され、
前記演算器が、これらのプログラムモジュールを使用することで、少なくとも１つの入力変数に応じて、前記自動車の少なくとも１つの機能を制御するための少なくとも１つの変数を生成し、
第１の前記プログラムモジュールが、前記自動車の機能を制御するための機能モジュール（Ｅ１）であり、
第２の前記プログラムモジュールが、前記機能モジュール（Ｅ１）を検査するための安全モジュール（Ｅ２）であり、
第３の前記プログラムモジュールが、少なくとも前記安全モジュール（Ｅ２）を監視するための監視モジュール（Ｅ３）である当該方法において、
前記監視モジュール（Ｅ３）が、ソフトウェアとして構成された互いに独立した２つのモニタリング要素（ＭＥ１，ＭＥ２）を有し、ハードウェアとして構成された付随するモニタリング装置（ＭＵ１，ＭＵ２）を環境設定するため、それぞれ１つの状態機械（ＳＭ１，ＳＭ２）が、前記制御装置を起動することによって前記演算器内で実行され、
１つの状態機械（ＳＭ１，ＳＭ２）が、各モニタリング要素（ＭＥ１，ＭＥ２）に割り当てられていて、当該２つの状態機械（ＳＭ１，ＳＭ２）が、正常に実行されたときに、これらのモニタリング装置（ＭＵ１，ＭＵ２）が、当該それぞれのモニタリング要素（ＭＥ１，ＭＥ２）によってこれらのモニタリング装置（ＭＵ１，ＭＵ２）の監視機能を開始することを特徴とする方法。
【請求項２】
第１の前記モニタリング装置（ＭＵ１）が、第１の前記モニタリング要素（ＭＥ１）によって前記安全モジュール（Ｅ２）内の第１の監視（Ｋ１）を１つのテストバス（ＴＰ１）経由で実行し、第２の前記モニタリング装置（ＭＵ２）が、第２の前記モニタリング要素（ＭＥ２）によって前記監視モジュール（Ｅ３）内の第２の監視（Ｋ２）を１つのテストバス（ＴＰ２）経由で実行することを特徴とする請求項１に記載の方法。
【請求項３】
前記第１のモニタリング装置（ＭＵ１）は、前記安全モジュール（Ｅ２）内の第１の監視（Ｋ１）としてメモリテストとプログラムフロー監視とを実行することを特徴とする請求項２に記載の方法。
【請求項４】
前記第２のモニタリング装置（ＭＵ２）は、前記監視モジュール（Ｅ３）内の第２の監視（Ｋ２）として命令セットテストとＡＤ変換器テストとを実行することを特徴とする請求項２に記載の方法。
【請求項５】
前記監視（Ｋ１，Ｋ２）におけるエラーの発生時に、エラーカウンタが操作され、自由にプログラミング可能なエラー応答閾値（ｔｈｒｅｓｈ，ｒｅｓｅｔ  ｔｈｒｅｓｈ）を超えたときに、前記監視モジュール（Ｅ３）によって、安全性に関連するシステム応答が、前記機能モジュール（Ｅ１）とは無関係に起動されることを特徴とする請求項２に記載の方法。
【請求項６】
当該２つのモニタリング装置（ＭＵ１，ＭＵ２）が、同一に環境設定されることを特徴とする請求項１〜５のいずれか１項に記載の方法。
【請求項７】
請求項１に記載の方法を実行するための演算器であって、
この演算器が、主に３つのプログラムモジュールを有し、前記自動車の走行挙動が、これらのプログラムモジュールによって影響され、
前記演算器が、これらのプログラムモジュールを使用することで、少なくとも１つの入力変数に応じて、前記自動車の少なくとも１つの機能を制御するための少なくとも１つの変数を生成し、
第１の前記プログラムモジュールが、前記自動車の機能を制御するための機能モジュール（Ｅ１）であり、
第２の前記プログラムモジュールが、前記機能モジュール（Ｅ１）を検査するための安全モジュール（Ｅ２）であり、
第３の前記プログラムモジュールが、少なくとも前記安全モジュール（Ｅ２）を検査するための監視モジュール（Ｅ３）である当該演算器において、
前記監視モジュール（Ｅ３）が、ソフトウェアとして構成された２つの独立したモニタリング要素（ＭＥ１，ＭＥ２）を有し、これらのモニタリング要素（ＭＥ１，ＭＥ２）が、ハードウェアとして構成された付随するモニタリング装置（ＭＵ１，ＭＵ２）を環境設定することを特徴とする演算器。
【請求項８】
請求項７に記載の演算器を有するプロセッサであって、
このプロセッサが、主に機能計算機（ＦＲ）と監視計算機（ＵＲ）とを有し、
機能モジュール（Ｅ１）、安全モジュール（Ｅ２）及び監視モジュール（Ｅ３）が、前記機能計算機（ＦＲ）上に構成され、監視計算機（ＵＲ）が、インタフェースを通じて問い合せ−応答方法によって前記機能計算機（ＦＲ）と通信する当該プロセッサにおいて、
前記機能計算機（ＦＲ）と前記監視計算機（ＵＲ）とが、互いに物理的に独立していて、前記監視計算機（ＵＲ）が、互いに独立した２つのモニタリング装置（ＭＵ１，ＭＵ２）を有し、
前記機能計算機（ＦＲ）のプログラム命令の規則通りの処理を監視するため、それぞれ１つの監視（Ｋ１，Ｋ２）が、前記機能計算機（ＦＲ）内で各モニタリング装置（ＭＵ１，ＭＵ２）によって実行可能であることを特徴とするプロセッサ。
【請求項９】
請求項８に記載の監視計算機（ＵＲ）において、
前記監視計算機（ＵＲ）は、互いに独立した２つのモニタリング装置（ＭＵ１，ＭＵ２）を有し、
前記機能計算機（ＦＲ）のプログラム命令の規則通りの処理を監視するため、それぞれ１つの監視（Ｋ１，Ｋ２）が、前記監視計算機（ＵＲ）の外部の機能計算機（ＦＲ）内で各モニタリング装置（ＭＵ１，ＭＵ２）によって実行可能であることを特徴とする監視計算機。