(57)【要約】  シーケンシャルに実行される複数のプロセス（Ｐ1，Ｐ2，．．．）のプロセス実行を監視するための本発明による方法によれば、複数のプロセス（Ｐ1，Ｐ2，．．．）のうち１つのプロセスが開始されると、複数の時間測定計のうち１つの時間測定計を周期的に交互に開始させ、複数の時間測定計のうち１つの時間測定計により捕捉された期間がまえもって定められた最大期間を超えると、第１のエラー信号を送出する。
2008532125.tif 000002
【特許請求の範囲】
【請求項１】
プロセッサシステム（Ｓ）が複数のプロセス（Ｐ1，Ｐ2，．．．）を実行し、１つの先行のプロセス（Ｐ1，Ｐ2，．．．）が終了した後に１つのプロセス（Ｐ1，Ｐ2，．．．）が開始される、
プロセッサシステム（Ｓ）の監視方法において、
複数のプロセス（Ｐ1，Ｐ2，．．．）のうち１つのプロセスが開始されると、少なくとも２つの時間測定計（ＺA，ＺB，ＺN）のうち１つの時間測定計が周期的に交互にスタートし、
前記時間測定計（ＺA，ＺB，ＺN）のうち１つの時間測定計により捕捉された期間（Ａ1，Ａ3，．．．，Ｂ0，Ｂ2，．．．）がまえもって定められた最大期間（ＴMax）を超えると、第１のエラー信号が送出されることを特徴とする、
プロセッサシステム（Ｓ）の監視方法。
【請求項２】
請求項１記載の方法において、
１つのプロセス（Ｐ1，Ｐ2，．．．）の終了後、前記時間測定計（ＺA，ＺB，ＺN）の捕捉された期間（Ａ1，Ａ3，．．．，Ｂ0，Ｂ2，．．．）が読み出され、該時間測定計は次に実行すべきプロセス（Ｐ1，Ｐ2，．．．）により新たにスタートし、前記捕捉された期間（Ａ1，Ａ3，．．．，Ｂ0，Ｂ2，．．．）がまえもって定められた最小期間（Ｔmin）を下回ると、第２のエラー信号が送出されることを特徴とする方法。
【請求項３】
請求項１または２記載の方法において、
開始されたプロセス（Ｐ1，Ｐ2，．．．）に対し処理のためのチェックデータ（Ｘ1，Ｘ2）が伝達され、該プロセス（Ｐ1，Ｐ2，．．．）が終了すると、処理されたチェックデータ（Ｙ1，Ｙ2）と目標値（Ｙsoll1，Ｙsoll2）の偏差に応じて第３のエラー信号が送出されることを特徴とする方法。
【請求項４】
請求項３記載の方法において、
１つのプロセス（Ｐ1，Ｐ2，．．．）は複数のサブプロセス（Ｉ1，Ｉ2，Ｉ3）から成り、少なくとも１つのサブプロセス（Ｉ1，Ｉ2，Ｉ3）が前記チェックデータ（Ｘ1，Ｘ2）に基づき演算を実行し、該演算により、前記サブプロセス（Ｉ1，Ｉ2，Ｉ3）の実行が処理済みチェックデータ（Ｙ1，Ｙ2）により追認されることを特徴とする方法。
【請求項５】
請求項４または５記載の方法において、
少なくとも２つのサブプロセス（Ｉ1，Ｉ2，Ｉ3）は互いに交換できない演算（Ｆ1，Ｆ2，Ｆ3）をチェックデータ（Ｘ1，Ｘ2）に基づき実行し、適正な順序での該サブプロセスの実行が処理済みデータにより確認可能であることを特徴とする方法。
【請求項６】
請求項１から５のいずれか１項記載の方法において、
複数のプロセス（Ｐ1，Ｐ2，．．．）のうち１つのプロセスの開始が、すぐ前に始められたプロセス（Ｐ1，Ｐ2，．．．）の開始に対し早くともまえもって定められたタイムインターバル（ｄＴ；ｄＴ1，ｄＴ2）の後に行われることを特徴とする方法。
【請求項７】
請求項６記載の方法において、
最大期間（ＴMax）はまえもって定められたタイムインターバル（ｄＴ）と時間測定計の個数（Ｎ）の積である第１の積よりも大きく、かつ該第１の積とまえもって定められたタイムインターバル（ｄＴ）よりも小さく、Ｎ ｄＴ＜ＴMax＜（Ｎ＋１）ｄＴであることを特徴とする方法。
【請求項８】
請求項６または７記載の方法において、
最小期間（Ｔmin）は、まえもって定められたタイムインターバル（ｄＴ）と、１個だけ低減された時間測定計（ＺA，ＺB，ＺN）の個数との積である第２の積と等しいかそれよりも大きいことを特徴とする方法。
【請求項９】
請求項１記載の方法を実施するための装置において、
監視装置が設けられており、該監視装置は、１つのプロセス（Ｐ1，Ｐ2，．．．）が開始されたときに、プロセッサシステム（Ｓ）からスタート信号を受け取るために該プロセッサシステム（Ｓ）と接続されており、
少なくとも２つの時間測定計（ＺA，ＺB，ＺN）が設けられており、該時間測定計は、リセット信号により該時間測定計（ＺA，ＺB，ＺN）を周期的に新たにスタートさせるために前記監視装置のマルチプレクサ（１０）と接続されており、捕捉された期間（Ａ1，Ａ3，Ａ5，．．．，Ｂ0，Ｂ2，Ｂ4，．．．）を前記監視装置へ伝達するため該監視装置の入力側と接続されていることを特徴とする装置。
【請求項１０】
請求項９記載の装置において、
前記時間測定（ＺA，ＺB，ＺN）は可逆的にクロック制御されるカウンタであり、該カウンタは新たなスタート時、まえもって定められた最大期間（ＴMax）に対応する値にセットされることを特徴とする装置。
【請求項１１】
請求項１０記載の装置において、
前記カウンタ（ＺA，ＺB，ＺN）のうち１つのカウンタのゼロが入力側に生じると、第１のエラーメッセージの送出をトリガすることを特徴とする装置。
【請求項１２】
請求項９または１０記載の装置において、
前記カウンタ（ＺA，ＺB，ＺN）の計数状態は前記監視装置により読み出し可能であり、該カウンタは制御信号により停止可能であることを特徴とする装置。
【請求項１３】
請求項９から１２のいずれか１項記載の装置において、
前記監視装置は比較装置を有しており、該比較装置はプロセス（Ｐ1，Ｐ2，．．．）により処理されたチェックデータと目標値とを比較し、偏差が生じたときに第３のエラー信号を送出することを特徴とする装置。
【発明の詳細な説明】
【技術分野】
【０００１】
背景技術
本発明は、プロセス実行を監視する方法および本発明による方法を実施するための装置に関する。
【０００２】
ここでは本発明による方法をリアルタイムシステムによるプロセス制御の監視に基づき説明するけれども、本発明はこれに限定されるものではなく、プロセス監視方法全般に係わるものである。
【０００３】
センサの信号を規則的に捕捉し、捕捉された信号を評価し、その評価に応答してそれ相応の制御信号を生成する多種多様な制御方法およびそれらのための相応の装置が考慮される。１つの例はエアバッグをトリガするための制御システムであって、このシステムによれば、センサ信号の捕捉、センサ信号の処理およびエアバッグのための制御信号生成といった複数のサブステップを伴う１つのプロセスを実行する。
【０００４】
リアルタイムシステムあるいは実行されるプロセスの誤った動作によって、エアバッグがトリガされてしまう可能性がある。このことは、プロセスの実行をリアルタイムシステムにより監視し、誤動作が検出されたときに制御信号がエアバッグへ送出されるのを阻止することによって防止される。
【０００５】
図８には、本発明の基礎を成す問題点を説明するための方法が描かれている。プロセスＰ60，Ｐ61，Ｐ62は、リアルタイムシステムＳ′によりタイムパターンに従いタイムインターバルｄＴを伴って時点ｔ61，ｔ62に開始される。２つのプロセスＰ60，Ｐ61はそれぞれペアとしてまとめられ、これら２つのプロセスのうち第１のプロセスＰ60が開始されるとカウンタＺ′がスタートし、第２のプロセスＰ61が終了するとカウンタＺ′がストップする。したがってカウンタ計数状態Ｃ60は、これら２つのプロセスＰ60，Ｐ61の全実行期間に対する尺度を成す。カウンタ計数状態Ｃ62が最大期間Ｔ′Maxによりまえもって定められた値を超えると、オーバーフローエラーメッセージＦ′1が送出される。誤動作が１つのペアのうち第１のプロセスＰ62中に発生した場合、エラー信号Ｆ′1が送出されるまで、このプロセスＰ62のスタート時点ｔ62から最大期間Ｔ′Maxが経過する。これは望ましくない長さであり、その理由は殊に、最大期間Ｔ′Ｍａｘが実行パターンの２つのタイムインターバルｄＴよりも長くなるはずだからである。しかもどのようなケースでも、同様にリアルタイムシステムまたはプロセスの誤動作を示すプロセスの過度に短い実行時間が捕捉されるというわけでもない。図９の場合、プロセスＰ66もプロセスＰ69も通常の長さから逸脱して短い。過度に短いプロセスが１つのペアＰ68，Ｐ69のうち２番目のプロセスであると、カウンタＺ′は最小期間Ｔ′minによりまえもって定められている計数状態よりも少ない計数状態Ｃ68を捕捉し、ついでアンダーフローエラー信号Ｆ'2を送出する。しかしながら１つのペアＰ66，Ｐ67のうち１番目のプロセスが過度に短いプロセスＰ66である場合には、タイムパターンに従った２番目のプロセスのスタートに起因して、対応する最小期間Ｔ′minよりも少ない計数状態Ｃ66が時点ｔ67では捕捉されない。
【０００６】
発明の利点
本発明によれば請求項１の特徴を有する方法が提供され、この方法は請求項９記載の特徴を有する装置によって実施可能である。本発明による方法によればアンダーフローおよびオーバーフローがそのつど捕捉され、これによればエラーを伴うプロセスの開始から測定してエラー信号送出に至るまでの応答時間が短い。
【０００７】
シーケンシャルに実行される複数のプロセスのプロセス実行を監視するための本発明による方法によれば、複数のプロセスのうち１つのプロセスが開始されると、複数の時間測定計のうち１つの時間測定計を周期的に交互に開始させ、複数の時間測定計のうち１つの時間測定計により捕捉された期間がまえもって定められた最大期間を超えると、第１のエラー信号を送出する。
【０００８】
本発明の利点は、プロセスの誤動作つまり通常の長さから逸脱して実行期間が長くなると、そのプロセスの前に先行のプロセスによってスタートした第１の時間測定計がオーバーフロー状態になることにある。したがって、プロセス開始から測定してプロセス誤動作識別に至るまでの応答時間は最大期間よりも短い。
【０００９】
時間測定計を１つのプロセスによってスタートさせ同じプロセスによりストップさせるやり方と比べると、このためには本発明による方法の場合よりも平均最大期間を長く選定しなければならない。
【００１０】
その理由は、実行期間の典型的なアウトライアないしは異常値に起因し、これは散発的に発生し、エラーメッセージ送出に至らせるものではないことによる。したがって時間測定計を同じプロセスによってスタートおよびストップさせたり、もしくは直後のプロセスによって新たにスタートさせたりするようなケースでは、最大期間を典型的なアウトライアの実行期間よりも長くしなければならない。本発明による方法の場合、Ｎー１個のプロセスが規格どおりに実行され、多くても１つの単一のプロセスがアウトライアであるとし、ここでＮは時間測定計の個数を表す。このためアウトライアの長さの超過はＮ個のプロセスに配分され、単一のプロセスに関する平均最大期間は本発明によらない上述のやり方よりも短い。
【００１１】
従属請求項には、請求項１記載の方法に関する有利な実施形態が示されている。
【００１２】
有利な実施形態によれば、１つのプロセスが終了すると、次に実行されることになるプロセスにより新たにスタートする時間測定計において捕捉された期間が読み出され、この期間がまえもって定められた最小期間を下回ると、第２のエラー信号が送出される。有利にはこのやり方によって、１つのプロセスにおいて通常の長さから逸脱して短い実行期間をもつプロセス実行の誤動作を検出することができる。
【００１３】
別の実施形態によれば、開始されたプロセスに対し処理のためのチェックデータが伝達され、そのプロセスが終了すると、処理されたチェックデータと目標値との偏差に応じて第３のエラー信号が送出される。１つの実施形態によれば、１つのプロセスは複数のサブプロセスによって構成されており、少なくとも１つのサブプロセスによってチェックデータに基づきオペレーションないしは演算が実行され、この演算によりそのサブプロセスの実行が処理済みチェックデータを通して追認される。このようにして、該当するすべてのサブプロセスが実行されたか否かを識別することができ、その際、それらのサブプロセスにおいて処理済みチェックデータが目標値と比較される。別の実施形態によれば、少なくとも２つのサブプロセスが互いに交換不可能な演算を上述のデータに基づき実行し、その結果、それらのサブプロセスが適正な順序で実行されたことを処理済みチェックデータによって確認できるようになる。互いに交換不可能な演算の優れている点は、大部分のチェックデータに対し様々な順序で１つのチェックデータに基づき演算が行われると、それぞれ異なるように処理されたチェックデータが生じてしまうことである。
１つの有利な実施形態によれば、じかに相前後して続く２つのプロセスのスタートは最小タイムインタバールで行われる。これによってプロセスの規則的な実行が可能となる。
【００１４】
１つの実施形態によれば、最大期間は最小タイムインターバルと時間測定計の個数との積である第１の積よりも長く、かつこの第１の積と最小タイムインターバルの和よりも短い。さらに別の実施形態によれば、最小期間は最小タイムインターバルと１個だけ低減された時間測定計の個数との積である第２の積と等しいかまたはそれよりも大きい。
【００１５】
本発明の１つの実施形態によれば、本発明による方法を実施するための装置は監視装置を有しており、この監視装置は、プロセスが開始されたときに制御装置からスタート信号を受け取るために、プロセスを実行するプロセッサ装置と接続されている。さらにこの監視装置は、伝達された期間を最大期間と比較し、伝達された期間が最大期間を超えていればインタフェースを介してエラー信号を送出するように構成されている。さらに本発明による方法を実施するための装置は少なくとも２つの時間測定計を有しており、これらの時間測定計は、周期的にリセット信号により新たにスタートさせることができるよう監視装置のマルチプレクサと接続されており、捕捉された期間を監視装置へ伝達するために監視装置の入力側と接続されている。
【００１６】
さらに１つの実施形態によれば、時間測定計は可逆的にクロック制御されるカウンタを有しており、それらのカウンタは新たなスタート時、まえもって定められた最大期間に対応する値にセットされる。別の実施形態によれば時間測定計は、捕捉された期間が監視装置によって読み出し可能であり、時間測定計が制御信号により停止可能であるよう構成されている。
【００１７】
さらに別の実施形態によれば監視装置は比較装置を有しており、この比較装置はプロセスにより処理されたチェックデータと目標値とを比較し、偏差が生じれば第３のエラー信号を送出する。
【００１８】
図面には本発明の実施例ならびに有利な実施形態が示されており、次にこれらについて詳しく説明する。
【００１９】
図面
図１は、１つの実施形態を時間経過図として示す図である。
【００２０】
図２は、この実施形態を流れ図として示す図である。
【００２１】
図３は、オーバーフローを説明するための実施形態を示す図である。
【００２２】
図４は、アンダーフローにおける実施形態を示す図である。
【００２３】
図５は、複数のステップを有するプロセスを伴う実施形態を示すフローチャートである。
【００２４】
図６は、本発明による装置の１つの実施形態を示すブロック図である。
【００２５】
図７は、１つの形態における問題点を説明するための流れ図である。
【００２６】
図８および図９は、本発明による方法の基礎を成す問題点を説明するための流れ図である。
【００２７】
実施例の説明
相反する記述がないかぎり、これらの図面において同一の参照符号は同一の構成要素または機能的に同等の構成要素を表す。
【００２８】
図１には、プロセッサシステムＳにより複数の単独のプロセスＰ1，Ｐ2，．．．がシーケンシャルに実行される様子が描かれている。プロセッサシステムＳは、所定の時点ｔ4，ｔ5における先行のプロセスＰ3，Ｐ4が依然としてアクティブではないかぎり、プロセス各々をできるかぎり所定の時点ｔ1，ｔ2で開始させようと試みる。この場合、プロセッサシステムＳは、プロセスＰ3，Ｐ4が終了する時点Ｔ3，Ｔ4でただちにプロセスＰ4，Ｐ5を開始させる。既述のプロセッサシステムおよびプロセスの実行は、リアルタイムオペレーションシステムおよびそれに対応する装置にとって典型的なものであり、これらは制御システムに組み込まれることが多い。たいていの場合、相前後して続く２つの時点ｔ1，ｔ2，．．．間のタイムインターバルｄＴ1，ｄＴ2は等間隔である。１つの別の実施形態によれば、図１に示されているようなタイムインターバルｄＴ1，ｄＴ2をそれぞれ異ならせてもよく、また、周期的に繰り返されるペアまたは比較的長いシーケンスを成すようにしてもよい。なお、以下の説明では、特段の記載がないかぎりタイムインターバルｄＴ1，ｄＴ2は等間隔であるものとする。
【００２９】
プロセッサシステムＳによりプロセスが実行される場合、様々な誤動作が生じる可能性がある。それゆえ望ましいのは、プロセッサシステムＳの誤動作に関する指標を受け取ることである。きわめて簡単であるが効果的な手法は、プロセスＰ1，Ｐ2，．．．の実行期間を監視することである。この目的で図１には、監視のために２つの時間発生器ないしは時間測定計ＺA，ＺBを利用する本発明による実施形態が示されている。これら双方の時間測定計ＺＡ，ＺＢは、ほぼ同時にプロセッサシステムＳにより新たなプロセスＰ1，Ｐ2が開始されると、交互に新たにスタートする。したがって各時間測定計ＺA，ＺBは、各々１つおきのプロセスによってのみ新たに開始される。この場合、新たなスタートとは、時間測定計が初期値にリセットされ、新たに測定が開始されることを意味する。第１の時間測定計ＺAは第１のプロセスＰ1とともに、まえもって定められた時点ｔ1でスタートする。第３のプロセスＰ3がまえもって定められた時点ｔ3で開始されると、第１の時間測定計ＺAが新たにスタートする。第２の時間測定計ＺBは第１のプロセスＰ1および第３のプロセスＰ3の開始によっても影響を受けず、これらのプロセスの間に開始される第２のプロセスＰ2とともに新たにスタートする。
【００３０】
時間測定計ＺA，ＺBのうち一方の２つの新たなスタートの間の期間が、対応する時間測定計ＺAの新たなスタート前に読み出される。図１に示されている実施形態の場合、第２のプロセスP2が時点Ｔ2で終了すると、時間測定計ＺAがストップする。したがって時間測定計ＺAによりこのようにして捕捉された期間Ａ1は、第１のプロセスＰ1の開始と第２のプロセスＰ2の終了に対応する。図示されている例の場合、第２のプロセスＰ2は第３の時点ｔ3よりも前に終了し、この第３の時点ｔ3において第３のプロセスＰ3が開始されるので、時点Ｔ2における第１の時間測定計ＺAの読み出しはまえもって定められた時点ｔ3における第１の時間測定計ＺAの新たなスタートとは一致しない。
【００３１】
さらに別の実施形態によれば、時間測定計ＺAはプロセス終了時に停止するだけであり、この時間測定計の読み出しが行われてから、新たなスタートが行われる。第４のプロセスＰ4の場合、第１の時間測定計ＺAの読み出しもしくは停止の時点が第１の時間測定計ＺAの新たなスタートと強制的に一致させられる。その理由は、第５のプロセスＰ5が第４のプロセスＰ4の終了時にただちに開始されるからである。第２の時間測定計ＺBの動作は第１の時間測定計ＺAの動作に相応するが、ただし例外として第２の時間測定計ＺBの読み出しおよび新たなスタートはプロセス実行時間の分だけずらされている。
【００３２】
このパターンはＮ個の時間測定計ＺA，ＺB，．．．ＺNとして一般化することができ、その際、これらの時間測定計は周期的に交互の順序で相前後してスタートし、つまりＮ番目の時間測定計ＺNの後に再び第１の時間測定計ＺAが新たにスタートする。つまり第１の時間測定計ＺAはプロセスＰ1，ＰN+1，Ｐ2N+1，．．．によって、第２の時間測定計ＺBはプロセスＰ2，ＰN+1，Ｐ2N+2，．．．によって、さらにｋ番目の時間測定計ＺKはプロセスＰK，ＰN+K，Ｐ2N+K，．．．によって新たにスタートする。ｋ番目の時間測定計Ｚｋの読み出しもしくは停止は、図１の実施形態に応じてＰk-1，ＰN+k-1，Ｐ2N+k-1の終了とともに行われ、これらはプロセスＰk，ＰN+k，Ｐ2N+kに先立ち開始されたものであり、このプロセスによってｋ番目の時間測定計Ｚkが新たにスタートする。
【００３３】
図１には、プロセスのために提供されるタイムインターバルｄＴ1よりも長い実行期間をもつプロセスＰ3が示されている。タイムインターバルｄＴ1，ｄＴ2の超過は、プロセスＰ3が通常よりも多い個数の計算または個別ステップを実行しなければならない場合にときおり発生する。このようなことはたとえばエアバッグ制御システムにおいて発生する可能性があり、このシステムは通常はすべてのセンサに問い合わせを行い、それに基づきエアバッグのトリガが必要とされるような状況が発生していないことを僅かな計算で捕捉することができる。ただしセンサは事故を示唆する加速度値上昇をときおり通知することがあり、これに応じてプロセッサシステムＳは、信号の照合および／またはエアバッグトリガのためにいっそう多くの個数の計算を実施しなければならない。このような状況つまりはプロセスの実行期間が長くなるのはきわめてまれであるので、タイムインターバルｄＴ1，ｄＴ2は、これらのタイムインターバルｄＴ1，ｄＴ２内においてプロセスＰ1，Ｐ2，．．．が通常の実行期間で実行可能であるように選定されると同時に、第３のプロセスＰ3の例で示されているように、個々のアウトライアもしくは異常値が比較的長い期間または複数のプロセスにわたって補償調整されて、あとに続くプロセスが再びタイムプランどおりに実行されるように選定される。この例では、第３のプロセスＰ3の長さが超過しており、これよりも後の第６のプロセスＰ6が時点ｔ6でタイムプランどおりに実行されることが示されている。
【００３４】
これまでの説明からわかるように、あるプロセスの実行によるタイムインターバルｄＴ1，ｄＴ2のすべての超過がプロセッサシステムＳもしくは実行されたプロセスＰ3の誤動作に基づくというわけではなく、まれに発生する実行期間のアウトライアないしは異常値にも対応する可能性がある。この目的で、アウトライアの予期されるべき時間超過に対応するタイムバッファΔＴが導入される。典型的なアウトライアはきわめてまれであり、したがって２個もしくはＮ個の相前後して続くプロセスＰ1，Ｐ2，．．．において１回しか発生しないものとすることができるで、タイムインターバルｄＴの２倍もしくはＮ倍よりもタイムバッファΔＴの分だけ長い最大期間ＴMaxが規定される。一般に最大期間ＴMaxは、タイムプランどおりの時間測定計の２つのスタート間におけるすべてのタイムインターバルｄＴ1，ｄＴ2の合計よりもタイムバッファの分だけ長い。
【００３５】
次に図２を参照しながら、まえもって定められた最大期間ＴMaxを用い時間測定計ＺA，ＺBにより捕捉される期間を通して、プロセス実行における誤動作がどのように検出されるのかについて説明する。８番目と９番目のプロセスＰ8，Ｐ9は誤動作なくプロセッサ装置Ｓにより実行される。図１の説明と同様、９番目のプロセスＰ9の開始とともに第２の時間測定計ＺBがスタートし、期間Ｂ9がこの第２の時間測定計ＺBにより捕捉される。タイムプランどおりに時点ｔ10において１０番目のプロセスＰ10が開始され、その際、実行中に誤動作が発生する。たとえば１０番目のプロセスＰ10内の無限ループあるいはプロセッサシステムＳのハードウェア故障などによって、１０番目のプロセスＰ10の実行時間が通常の長さから逸脱した長さとなる。１０番目のプロセスＰ10とともに第１の時間測定計ＺAもスタートする。第１の時間測定計ＺAも第２の時間測定計ＺBも、それらによって捕捉された期間Ａ10もしくはＢ9を捕捉する。時間測定計ＺA，ＺBの監視を外部のユニットが担うようにしてもよい。捕捉された期間Ａ10，Ｂ9の一方がまえもって定められた最大期間ＴMaxを超えると、エラー信号が生成される。有利にはこの信号の生成は、最大期間ＴMaxの時間超過開始時点Ｆ1の近くで行われる。両方の時間測定計ＺA，ＺBに対する最大期間ＴMaxが著しく異なるように選定されていないかぎり（一般にこれらは等しい）、第２の時間測定計ＺBにより捕捉される期間Ｂ9が最初に最大期間ＴMaxを上回る。その理由は第２の時間測定計ＺBは１０番目のプロセスＰ10よりも前にすでにスタートしているからである。その結果、誤動作の発生する１０番目のプロセスＰ10のスタート開始から測定して時点Ｆ1における誤動作検出に至るまでの応答時間Ｒ1は、最大期間ＴMaxよりもタイムインターバルｄＴの１倍もしくはＮ−１倍だけ短くなる。したがって結果として生じる応答時間Ｒ1は、タイムインターバルｄＴとタイムバッファΔＴの合計である。このためプロセッサシステムＳないしは実行されたプロセスの誤動作に対し迅速に応答することができる。本発明の１つの実施形態によれば、エアバッグ制御システムであればこのような場合、、エアバッグ制御装置が場合によっては誤って発生させた制御信号によってもエアバッグがトリガされる可能性がないよう、終段が遮断される。
【００３６】
図７との比較により明らかなように、各プロセスＰ50，Ｐ51．．．ごとに新たにスタートする単一の時間測定計Ｚ″を備えた監視システムが用いられる場合と同様に迅速に、本発明による方法はプロセスの誤動作に応答する。プロセスＰ52の間にプロセッサシステムＳ″において誤動作が発生し、このことは時点Ｆ″1における最大期間Ｔ″Maxの超過により検出され、この場合、最大期間Ｔ″MaxはタイムインターバルｄＴとタイムバッファΔＴの合計に相応する。このため、先に述べた実施形態およびこのシステムの応答時間Ｒ1は等しい。
【００３７】
プロセッサシステムＳにおける誤動作に対するさらに別の指標は、プロセスが通常よりも著しく速く終わってしまった場合である。図３には、この種の誤動作が最小期間Ｔminを用いてどのように検出されるのかが示されている。１３番目および１４番目のプロセスＰ13，Ｐ14はタイムプランどおりに実行され終了する。第２の時間測定計ＺBは１４番目のプロセスＰ14とともにスタートする。１５番目のプロセスＰ15は第１の時間測定計ＺAとともに開始される。１５番目のプロセスＰ15中、たとえばこの１５番目のプロセスＰ15の実行が早めに終了するといったような誤動作が発生する。この１５番目のプロセスの終了時、規定どおりに第２の時間測定計ＺBが停止し、これにより捕捉された期間Ｂ14が読み出される。この期間Ｂ14が最小期間Ｔminと比較される。捕捉された期間Ｂ14が最小期間Ｔminを下回ると、第２のエラー信号が送出される。有利にはエラー信号の送出は、第２の時間測定計ＺBの読み出しと時間的に近い時点Ｆ2において行われる。最小期間Ｔminは、タイムインターバルｄＴの２倍よりも時間差δＴだけ短い。タイムバッファΔＴを考慮して最大期間ＴMaxについてこれまで説明してきた考察全体を、最小期間Ｔminにも適用することができるが、この場合の相違点として挙げられるのは、最小期間ＴminがタイムインターバルｄＴの２倍もしくはＮ倍よりも時間差δＴだけ短いことである。
【００３８】
プロセス実行をその実行時間によって監視するほか、図４に示した実施形態により付加的な診断オプションが実現される。
【００３９】
プロセッサシステムＳにおいて第１のプロセスＰ1が開始されると（ステップ２００）、プロセッサ制御部Ｓはスタート信号１００を監視装置２へ伝達する。これに応じて監視装置２は、これまでの実施例で説明してきたように第１の時間測定計ＺAをスタートさせる（ステップ２５０）。付加的にチェックデータＸ1が選択され、これが信号１０１によりプロセッサシステムＳへ伝達される。第１のプロセスＰ1において少なくとも１つのオペレーションないしは演算ｆがチェックデータＸ1に基づき適用され（ステップ２０１）、このようにして処理済みチェックデータＹ1が得られる。第１のプロセスＰ1の終了時（ステップ２０２）、ストップ信号１０２がプロセッサシステムＳから監視装置２へ伝達される。これに基づき監視装置２において第２の時間測定計ＺBが停止され（ステップ２５２）、第２の時間測定計ＺBにより捕捉された期間Ｂが最小期間Ｔminを下回っているか否かが調べられ、下回っているならば、既述の実施形態についてすでに説明したようにエラーメッセージが送出される（ステップ２５９）。これに加えて、ストップ信号１０２とともに伝達された処理済みチェックデータＹ1が目標値ＹSoll1と比較される。偏差があった場合も、同様にエラーメッセージが送出される。これに加えて、捕捉された期間がまだ最大期間ＴMaxを超えていなかったか否かが調べられ（ステップ２５８）、このことによりやはりすでに説明したように、エラーメッセージが送出されることになる。
【００４０】
別のプロセスが開始されると、図４に示されているように上述のステップが繰り返され、これに応じて他の時間測定計がスタートもしくはストップする。それぞれ異なるチェックデータＸ1，Ｘ2，．．．を用いることで保証できることは、チェックデータＸ1，Ｘ2，．．．に基づきオペレーションないしは演算が実行され、プロセスはプロセッサシステムＳのメモリセルだけから個別に事前に処理されたチェックデータＹ1，Ｙ2，．．．を読み出すわけではないことである。チェックデータＸ1，Ｘ2，．．．を周期的に再利用することができる。各チェックデータＸ1，Ｘ2，．．．ごとに対応する目標値Ｙsoll1，Ｙsoll2，．．．を監視装置２に保持しておくことができる。
【００４１】
図５には、チェックデータの２つの適用事例が示されている。個々のプロセスは通常、複数のサブプロセスに分割することができる。たとえばエアバッグ制御の場合、これらはセンサＩ1の読み出し、センサ値の評価Ｉ2ならびにエアバッグシステムに対する制御信号の生成Ｉ3である。この場合、プロセスＰ1の適正な実施のためには、すべてのサブプロセスＩ1，Ｉ2，Ｉ3の実施が不可欠である。この目的で、各サブプロセスＩ1，Ｉ2，Ｉ3によりそれらのプロセスに続いてチェックデータＸ1に基づき演算Ｆが実行される。著しく簡単な３つの演算Ｆ１，Ｆ２，Ｆ３を挙げるとすれば、それはチェックデータＸ1の第１、第２もしくは第３のビットの否定である。したがって目標値との比較によって、これら３つの演算すべてが実行されたか否か、あるいはそれらのうち１つの演算が実行されなかったか否か、およびこの例ではそれらのうちどの演算が実行されなかったかのかをダイレクトに突き止めることができる。プロセスＰ1の適正な実行のためには、サブプロセスＩ1，Ｉ2，Ｉ3の実行順序も重要である。このことは、演算Ｆ1，Ｆ2，Ｆ3を相互にあるいは少なくとも部分的に交換できないようにすることによって達成可能である。その結果、適正な実行順序でなければ、目標値とは異なる処理されたチェックデータＹが生じることになる。たとえばチェックデータＸ1が５であり、演算Ｆ1が２との乗算であり演算Ｆ2が３との加算であると、順序が適正な場合には結果は１３となり、この場合にはこれが目標値であり、順序が入れ替わっている場合には結果は１６となり、これは目標値と一致しない。
【００４２】
次に、図６を参照しながら監視装置２について説明する。監視装置２はインタフェースおよび処理装置１を有しており、処理装置１はデータライン・制御ライン２０を介してプロセッサシステムＳと接続されており、さらに抑止信号２０１を伝達するためにエアバッグシステム４の終段３と接続されている。プロセッサシステムＳによるプロセス実行の誤動作がこれまで説明してきた方法により検出されると、処理装置１により抑止信号２０１が生成される。処理装置１はダイレクトにあるいは多重化装置１０を介して、多数の時間測定計ＺA，ＺB，ＺNを新たにスタートさせ、場合によってストップさせることもできる。１つの有利な実施形態によれば時間測定計ＺA，ＺB，ＺNは可逆カウンタであり、これはタイマのクロックで逆方向に計数を行う。複数のカウンタのうち１つのカウンタの計数状態が値０になると、これによりカウンタ読み出し装置１１においてインタラプトがトリガされる。カウンタＺA，ＺB，ＺNが新たにスタートすると、それらのカウンタは最大期間に対応する値にセットされる。したがって前述のインタラプトのトリガは、プロセス実行時のプロセッサシステムＳにおけるエラーとして捉えられる。別の実施形態によれば、カウンタ読み出し装置１１はカウンタつまり時間測定計ＺA，ＺB，ＺNの計数状態を読み出し、要求に応じてその値を処理装置１へ伝えることができる。読み出し装置１１をマルチプレクサと接続することもでき、このマルチプレクサは最もゆっくり進んでいる時間測定計だけが読み出されるように構成されている。これは単純な周期的マルチプレクサによって実現できる。
【００４３】
エアバッグシステム４をトリガすべきときに制御装置Ｓは終段３へ制御信号を送出する。プロセス実行エラーが処理装置１により検出されると終段３が阻止されて、エアバッグシステム４のトリガが回避される。
【００４４】
以下、既述の実施形態の利点を挙げておく。
アウトライアないしは異常値のためには既述のようにタイムバッファΔＴの導入が必要とされる。Ｎ個の時間測定計Ｚ1，Ｚ2，．．．を備えたシステムの場合、タイムバッファΔＴはＮ個のプロセスＰ1，Ｐ2に効果的に配分される。したがって個々のプロセスのための平均実行時間は単一の時間測定計Ｚ″だけの場合よりも精確に規定され、散発的なアウトライアによってもエラー信号が送出されることにはならない。
【図面の簡単な説明】
【００４５】
【図１】１つの実施形態を時間経過図として示す図
【図２】図１の実施形態を流れ図として示す図
【図３】オーバーフローを説明するための実施形態を示す図
【図４】アンダーフローにおける実施形態を示す図
【図５】複数のステップを有するプロセスを伴う実施形態を示すフローチャート
【図６】本発明による装置の１つの実施形態を示すブロック図
【図７】１つの形態における問題点を説明するための流れ図
【図８】本発明による方法の基礎を成す問題点を説明するための流れ図
【図９】本発明による方法の基礎を成す問題点を説明するための流れ図
【図１】
2008532125.tif 000003
【図２】
2008532125.tif 000004
【図３】
2008532125.tif 000005
【図４】
2008532125.tif 000006
【図５】
2008532125.tif 000007
【図６】
2008532125.tif 000008
【図７】
2008532125.tif 000009
【図８】
2008532125.tif 000010
【図９】
2008532125.tif 000011
【国際調査報告】
2008532125.tif 000012
2008532125.tif 000013
2008532125.tif 000014
2008532125.tif 000015