ウォッチドック10を用いて少なくとも2つのマイクロコントローラ12、20を監視する方法であって、前記ウォッチドック10は、第1のマイクロコントローラ12に割り当てられ、所定期間の時間間隔内での前記第1のマイクロコントローラ12のメッセージの通知を監視する224前記方法において、前記第1のマイクロコントローラ12により前記ウォッチドック10に通知された前記メッセージは、前記第1のマイクロコントローラ12と、前記第1のマイクロコントローラ12と接続された第2のマイクロコントローラ20と、の間の通信202、216の結果として形成される224寄与を含み、前記寄与に基づいて、前記ウォッチドックは、前記第2のマイクロコントローラ20が正しく動作しているかを検査することを特徴とする、方法。前記第1のマイクロコントローラ12の前記メッセージは、以前に前記ウォッチドック10により前記第1のマイクロコントローラ12に通知された200質問、特に前記所定期間の時間間隔についての質問に対する回答を含む、請求項1に記載の方法。前記回答は、前記第1のマイクロコントローラ12により形成される204第1の寄与と、前記第2のマイクロコントローラ20により形成されて212前記第1のマイクロコントローラ12に通知される214第2の寄与と、を含む、請求項2に記載の方法。前記質問は、前記第2のマイクロコントローラ20により前記回答の前記第2の寄与が形成される212前に、前記第1のマイクロコントローラ12によって前記第2のマイクロコントローラ20に通知される、請求項3に記載の方法。前記第1のマイクロコントローラ12により形成される204前記回答の前記第1の寄与は、前記第1のマイクロコントローラ12のシステム構成部品、特に、前記第1のマイクロコントローラ12の主プロセッサのロジック部の検査から得られる構成部品固有の要素、及び/又は、前記第1のマイクロコントローラ12の複数のソフトウェアモジュールの検査から得られる機能固有の要素を含む、請求項3又は4に記載の方法。前記第2のマイクロコントローラ20により形成される214前記回答の前記第2の寄与は、前記第2のマイクロコントローラ20のシステム構成部品、特に、前記第2のマイクロコントローラ20の主プロセッサのロジック部の検査から得られる構成部品固有の要素、及び/又は、前記第2のマイクロコントローラ20の複数のソフトウェアモジュールの検査から得られる機能固有の要素を含む、請求項3~5のいずれか1項に記載の方法。前記第2のマイクロコントローラ20により形成される214前記回答の前記第2の寄与は、1個のデジタルワードで構成され、前記デジタルワードの個々のビットは、前記第2のマイクロコントローラ20の個々のソフトウェアモジュールが正しく動作しているかを表す、請求項3~5のいずれか1項に記載の方法。前記第2のマイクロコントローラ20により形成される214前記回答の前記第2の寄与は、特に前記第2のマイクロコントローラ20に格納されたテーブルの読出しにより形成される質問固有の要素、及び、1個のデジタルワードから構成され、前記デジタルワードの個々のビットは、前記第2のマイクロコントローラ20の個々のソフトウェアモジュールが正しく動作しているかを表す、請求項3~5のいずれか1項に記載の方法。前記ウォッチドック10は、前記第1のマイクロコントローラ12又は前記第2のコントローラ20の少なくとも1つのエラーが検出された際には、エラーカウンタを増分し、又は、前記エラーカウンタが所定の値に達した場合には、安全性に関わる工程ステップを開始する、請求項1~8のいずれか1項に記載の方法。第1のマイクロコントローラ12と、前記第1のマイクロコントローラ12に割り当てられたウォッチドック10と、前記第1のマイクロコントローラ12と接続された少なくとも1つの第2のマイクロコントローラ20と、を備える回路構成において、前記回路構成は、請求項1~9のいずれか1項に記載の方法を実施するよう構成される、回路構成。請求項10に記載の回路構成を有するバッテリ管理ユニットを備えたバッテリ100。請求項11に記載のバッテリ100を備えた車両、特に電気自動車。ウォッチドックのエラーカウンタが所定の閾値を超えた場合には、ウォッチドックは、例えば、停止経路を介してマイクロコントローラにより制御されるシステムの最終段を停止するということであってもよい安全性に関わる工程ステップを開始するため、稼働がもはや可能ではない。ハードウェアで使用されるウォッチドックは、通常では非常に簡単に構成されており、1つのマイクロコントロ―ラとだけの通信を可能とし、従って従来技術によれば、複数のマイクロコントローラの監視は、同数のウォッチドックの利用によってのみ可能である。本発明によれば、ウォッチドックを用いて少なくとも2つのマイクロコントローラを監視する方法が提供される。ウォッチドックは、第1のマイクロコントローラに割り当てられ、所定期間の時間間隔での第1のマイクロコントローラのメッセージの通知を監視する。第1の構成要素が第2の構成要素にメッセージ、特に質問又は回答を通知する場合に、このことは本発明の範囲において、第1の構成要素が、第2の構成要素に、例えばバスシステム上でメッセージを送信することを意味し、又は、第1の構成要素が例えばレジスタへの格納によりメッセージを提供して、第2の構成要素がこのメッセージについて問い合わせをするということを意味しうる。通常では、ウォッチドックには、マイクロコントローラのクロック信号とは異なるクロック信号が供給され、従って、ウォッチドックは、メッセージが正しい時間に到着したかを検査することが可能である。第1のマイクロコントローラによりウォッチドックに通知されたメッセージが、第1のマイクロコントローラと、当該第1のマイクロコントローラと接続された第2のマイクロコントローラと、の間の通信の結果として形成される寄与を含むことが構想される。この寄与に基づいて、ウォッチドックは、第1のマイクロコントローラが正しく動作しているかに加えて、第2のマイクロコントローラが正しく動作しているかを検査する。本発明に基づき構想された拡大された監視構想によって、2つのマイクロコントローラを、1つのウォッチドックによって監視することが可能である。従って、第2のマイクロコントローラのための追加的なウォッチドックや、第2のマイクロコントローラに割り当てられる停止経路を削減することが可能である。しかしながら、本発明は、2つのマイクロコントローラの監視には限定されない。むしろ、複数のマイクロコントローラを一緒に、1つのウォッチドックによって監視することも可能である。特に、第2のマイクロコントローラは、第1のマイクロコントローラと直接的に接続される必要がない。むしろ、第2のマイクロコントローラは間接的に、例えば第3のマイクロコントローラを介して、第1のマイクロコントローラと接続されるということで十分である。このような構成では、第3のマイクロコントローラは、第1のマイクロコントローラと第2のマイクロコントローラとの間で交換されるメッセージの伝送ユニットとして機能することが可能であり、本発明に基づいて、第2のマイクロコントローラ、及び、第3のマイクロコントローラは、ウォッチドックによって監視されうる。第1のマイクロコントローラのメッセージは、以前にウォッチドックにより第1のマイクロコントローラに通知された質問を含みうる。典型的に、ウォッチドックは、第1のマイクロコントローラに、所定期間の時間間隔の開始となる時点についての質問を通知する。従って、ウォッチドックは、質問及び回答が上記時間間隔内に交換される場合にのみ、2つのマイクロコントローラが正しく動作していることを確認する。好適に、回答は、第1のマイクロコントローラにより形成される第1の寄与と、第2のマイクロコントローラにより形成されて第1のコントローラに通知される第2の寄与と、を含む。その際に質問は、第2のマイクロコントローラにより回答の第2の寄与が形成される前に、第1のマイクロコントローラによって第2のマイクロコントローラに通知される。典型的に、この通知は、所定の時間間隔内でも行われる。さらに好適に、第1のマイクロコントローラにより形成される回答の第1の寄与は、第1のマイクロコントローラのシステム構成部品、特に、第1のマイクロコントローラの主プロセッサのロジック部の検査から得られる構成部品固有の要素、及び/又は、第1のマイクロコントローラの複数のソフトウェアモジュールの検査から得られる機能固有の要素を含む。第2のマイクロコントローラにより形成される回答の第2の寄与については、第2のマイクロコントローラの監視に対してどのくらい高い要求が出されているかに従って、様々なバリエーションを設けることが可能である。第2のマイクロコントローラの監視に対する高い要求が出される場合には、回答の第1の寄与の場合に構想されたように、回答の第2の寄与も、構成部品固有の要素、及び/又は、機能固有の要素を含みうる。要求がより小さい場合には、回答の第2の寄与は、1個のデジタルワードで構成され、デジタルワードの個々のビットは、第2のマイクロコントローラの個々のソフトウェアモジュールが正しく動作しているかを表しうる。代替的に、回答の第2の寄与は、特に第2のマイクロコントローラに格納されたテーブルの読出しにより形成される質問固有の要素により補完されてもよい。ウォッチドックは、第1のマイクロコントローラ又は第2のコントローラの少なくとも1つのエラーが検出された際には、エラーカウンタを増分し、又は、エラーカウンタが所定の値に達した場合には、安全性に関わる工程ステップを開始し、例えば、マイクロコントローラにより制御されるシステムの最終段の停止を促す。本発明の更なる別の観点は、第1のマイクロコントローラと、第1のマイクロコントローラに割り当てられたウォッチドックと、第1のマイクロコントローラと接続された少なくとも1つの第2のマイクロコントローラと、を備える回路構成に関する。回路構成は、本発明に係る方法を実施するよう構成される。本発明の更なる別の観点は、本発明に係る回路構成を備えるバッテリ管理ユニットを有するバッテリ、好適にリチウムイオンバッテリと、本発明に係るバッテリを備えた車両と、を含む。車両は、バッテリが車両の駆動システムに接続された電気自動車であってもよい。図1は、全体として符号100が付されたバッテリ、好適に、本発明の一実施形態に係る回路構成を備えるリチウムイオンバッテリを示す。ハードウェアウォッチドック10は、第1のマイクロコントローラ12に割り当てられ、この第1のマイクロコントローラ12とはバス14を介して接続され、その際に、バス14を介してメッセージが両方向に交換され、特に、ウォッチドック10の質問と、これに対応する第1のマイクロコントローラ12の回答と、が交換される。ウォッチドック10と、第1のマイクロコントローラ12は停止経路16、18を有し、安全性に関わる状況が確認された場合には、この停止経路16、18を介して、バッテリ100の図示されない高電圧接触器が解放されうる。第1のマイクロコントローラ12は、バス22を介して第2のマイクロコントローラ20と接続され、このバス22を介して、同様にメッセージが両方向に交換され、特に、第1のマイクロコントローラ12によって転送されたウォッチドック10の質問と、これに対応する第2のマイクロコントローラ20の回答と、が交換される。第2のマイクロコントローラ20が第1のマイクロコントローラ12を介してウォッチドック10の質問を受信し、これに対応する回答を同じ経路で送り返すことによって、ウォッチドック10は、第2のマイクロコントローラ20が正しく動作しているかを検査し、エラーを確認した際には、停止経路16を介してバッテリの高電圧接触器を解放することが可能である。従って、第2のマイクロコントローラ20が直接的なアクセス権を有する別の停止経路を設ける必要がない。図2は、本発明に係る方法のフロー図を示す。工程ステップ200で、ウォッチドック10の質問が、第1のマイクロコントローラ12によって問い合わせされる。工程ステップ202で、ウォッチドック10の質問が第1のマイクロコントローラ12によって、第2のマイクロコントローラ20への質問の送信により、又は、第2のマイクロコントロ―ラ20への問い合わせのための提供により、第2のマイクロコントローラ20に通知される。工程ステップ204で、回答の第1の寄与が、第1のマイクロコントローラ12内で形成される。工程ステップ206で、第2のマイクロコントローラ20は、例えば、第1のマイクロコントローラ12のデータの受信によって、又は、第2のマイクロコントローラ20側の問い合わせによって、タイムオフセットが最も小さい質問を獲得する。工程ステップ208で第2のマイクロコントローラ20によって、例えば、区別がつかなければならない格納された以前の質問との比較によって、又は、第1のマイクロコントローラ12が質問と共に送信する状態ビットの評価によって、質問が最新のものであるかが検査される。第2のマイクロコントローラ20が、自身に通知された質問が最新のものではないことを確認した場合には、工程ステップ210で、エラーカウンタが増分され、又は、所定の箇所を超えた際にはエラー応答が開始される。質問が最新のものであることを確認した場合には、第2のマイクロコントロ―ラ20は、工程ステップ212で、ウォッチドック10に伝達される回答の第2の寄与を形成することを開始する。工程ステップ214で、第2のマイクロコントロ―ラ20は、ウォッチドック10に伝達される回答の第2の寄与を計算し、第1のマイクロコントローラ12へのデータの送信によって、又は、第1のマイクロコントローラ12による問い合わせのための提供によって第1のマイクロコントローラ12に通知する。工程ステップ216で、第1のマイクロコントローラ12は、回答の第2の寄与を受け取り、工程ステップ218で、例えば、区別が付かなければならない先行する格納された回答寄与との比較によって、又は、第1のマイクロコントローラ12が質問と共に送信する状態ビットの評価によって、回答の寄与が最新のものであるかを確認する。評価が否定的な結果になった場合には、工程ステップ220で、エラーカウンタが増分され、又は、閾値を超えた場合には、エラー応答が開始される。同時に、第1のマイクロコントロ―ラ12は、工程ステップ204で、ウォッチドック10に送信される回答の第1の寄与を計算する。工程ステップ222で、第1のマイクロコントローラは、回答の第1の寄与と第2の寄与とを結合して1つの回答とし、このまとめられた回答をメッセージとして、適切なタイムスロットでウォッチドック10へと送る工程ステップ224。マイクロコントローラが2つ以上の場合に本発明に係る方法を利用する際には、第1のマイクロコントローラ12は、複数の回答寄与を受信し、ウォッチドック10宛ての1つの回答へと結合する。その際に、様々な回答寄与をまとめることは必ずしも第1のマイクロコントローラ12で行われる必要はなく、様々なマイクロコントローラ内で交互に行われてもよい。詳細に記載されない実施例において、第2のマイクロコントローラ20により形成される回答の第2の寄与は、1個のデジタルワードのみで構成されてもよい。このことは特に、第2のマイクロコントローラ20に対する安全要求が比較的小さく、第2のマイクロコントローラ20の所定数のソフトウェアモジュールを簡単に検査するだけで十分な場合には有利である。その場合に、デジタルワードのビット数は、第2のマイクロコントローラ20の検査されるソフトウェアモジュールの数より大きく又は当該数と等しい必要がある。デジタルワードのビットは、質問-回答サイクルにより定義される時間間隔の開始に際して、例えばウォッチドックにより新しい質問が通知された際に、論理的0に設定される。これに応じて、検査される複数のソフトウェアモジュールは所定の順序で呼び出され、対応するソフトウェアモジュールの実行が成功した場合には、デジタルワードの対応するビットが論理的1に設定される。デジタルワードの追加的なビットは、残りの個々のビットの設定がそれ無しでは許可されない新しい質問の存在を表してもよい。詳細には示されない更なる別の実施例において、第2のマイクロコントローラ20により形成される回答の第2の寄与は、上記のデジタルワードの他に、特に第2のマイクロコントローラ20内に格納されたテーブルの読出しにより形成される質問固有の要素を含む。詳細には示されない更なる別の実施例において、デジタル検査ワードのビットの値が、当該ビットに割り当てられたソフトウェアモジュールの検査の際にエラーが確認された場合には、変更される。これにより、第2のマイクロコントローラ20が、自身に通知された質問を正しく理解して、所定の時間間隔内に少なくとも1回、検査すべき全てのソフトウェアモジュールを実行したことが保証される。