DE19545645A1

DE19545645A1 - Control system operating method e.g for motor vehicles

Info

Publication number: DE19545645A1
Application number: DE19545645A
Authority: DE
Inventors: Norbert Goeres; Peter Saeger
Original assignee: Mannesmann VDO AG
Current assignee: Siemens AG
Priority date: 1995-12-07
Filing date: 1995-12-07
Publication date: 1997-06-12

Abstract

The first example given concerns motor vehicle system controlling engine and brakes and containing two control units. The first control unit (1) regulates the engine and has an input unit (1.1) for the information from the power, temperature and pressure sensors, while the output unit (1.2) regulates the injection of fuel. The operating parameters with data from the sensors, are calculated by the computer (1.3), using the memory unit (4), and the resulting control parameters go to the output unit. The second control unit (2) is similarly constructed to regulate the braking and has an input (2.1) and an output (2.2) unit, connected by a signal line (10) for data exchange.

Description

Die Erfindung betrifft ein Verfahren zum Betreiben eines Steuersystemes, insbesondere in einem Kraftfahrzeug, bei dem zumindest zwei Steuereinheiten über eine signalübertragende Leitung Daten austauschen, wobei wenigstens eine Steuereinheit erfaßte Betriebsgrößen in Steuersignale umsetzt, und ein entsprechendes Steuersystem gemäß dem Oberbegriff der unabhängigen Patentansprüche.The invention relates to a method for operating a control system, especially in a motor vehicle in which at least two Control units exchange data via a signal-transmitting line, wherein at least one control unit detects operating variables in Implements control signals, and a corresponding control system according to Preamble of the independent claims.

Es sind Steuereinheiten beispielsweise für in Kraftfahrzeugen angeordnete Brennkraftmaschinen bekannt, die in Abhängigkeit von Umgebungsgrößen den Betrieb der Brennkraftmaschine regeln. Diese Regelung führt zu normalen Betriebszuständen der Brennkraftmaschine, wobei sich jedoch aufgrund von Defekten der Steuereinheit oder deren Peripherie auch anormale Betriebszustände einstellen können. Daraus können kritische oder sogar gefährliche Fahrzustände des Kraftfahrzeuges resultieren.There are control units, for example, for those arranged in motor vehicles Internal combustion engines are known, which depend on environmental sizes regulate the operation of the internal combustion engine. This regulation leads to normal operating conditions of the internal combustion engine, however due to defects in the control unit or its periphery can set abnormal operating conditions. Critical or even dangerous driving conditions of the motor vehicle result.

Ein elektronisches Steuergerät für eine Brennkraftmaschine ist beispielsweise aus der DE 39 26 377 A1 bekannt. Bei diesem Steuergerät werden erfaßte Betriebsgrößen in Steuersignale, beispielsweise für die Ansteuerung von Stellwerken oder zur Bildung von Sollwerten, umgesetzt. Zur weitestgehenden Vermeidung von anormalen Betriebszuständen ist einem Hauptrechner ein Nebenrechner zugeordnet, der den Hauptrechner überwacht und bei Ausfall desselben Notfunktionen ausübt. Zur Überwachung der beiden Rechner sind diesen zusätzlich noch je eine Sicherheitsschaltung (Watchdog) zugeordnet, von denen erkannt wird, ob die Rechner fehlerfrei oder fehlerhaft arbeiten. Weiterhin sind die beiden Rechner über eine Datenaustauschleitung verbunden, über die Signale bezüglich der Funktionstüchtigkeit der Rechner übertragen werden.An electronic control unit for an internal combustion engine is known for example from DE 39 26 377 A1. With this control unit are recorded operating variables in control signals, for example for the Control of signal boxes or to setpoint values, implemented. To avoid abnormal operating conditions as much as possible a main computer is assigned a secondary computer, which is the main computer monitors and exercises emergency functions in the event of failure. For Monitoring of the two computers is an additional one each Safety circuit (watchdog) assigned, from which it is recognized whether the computers work correctly or incorrectly. Furthermore, the two are Computer connected via a data exchange line, via the signals with regard to the functionality of the computers.

Ein solches Steuergerät hat den Nachteil, daß für eine einzige Funktion (z. B. Steuerung einer Brennkraftmaschine) zwei Rechner einschließlich ihrer Sicherheitsschaltungen benötigt werden, was aufgrund eines hohen Fertigungs- und Prüfaufwandes kostenintensiv ist, einen hohen Bauraum und hohe Entwicklungs- und Materialkosten erfordert. Darüber hinaus sind Verfügbarkeitseinbußen durch eine Ausfallwahrscheinlichkeit aufgrund der vielen Bauteile gegeben, was ein weiteres Sicherheitsrisiko darstellt.Such a control device has the disadvantage that for a single function (e.g. Control of an internal combustion engine) two computers including theirs Safety circuits are needed, which is due to a high Manufacturing and testing effort is costly, a large amount of space and requires high development and material costs. Beyond that Loss of availability due to a probability of failure due to given many components, which represents a further security risk.

Der Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren zum Betreiben eines Steuersystemes und ein Steuersystem selbst bereitzustellen, das den Anforderungen nach hoher Funktionssicherheit genügt und die genannten Nachteile vermeidet.The invention is therefore based on the object of a method for Operate a tax system and a tax system itself To provide that the requirements for high functional reliability is sufficient and avoids the disadvantages mentioned.

Diese Aufgabe ist durch die im Kennzeichen der unabhängigen Patentansprüche angegebenen Merkmale gelöst.This task is characterized by the independent Features specified resolved.

Durch die Lösung, daß den Steuereinheiten ein vorgebbarer Parameter zugeführt wird und aus diesem Parameter nach einem Prüfalgorithmus von zumindest einer Steuereinheit jeweils ein Ergebnis berechnet wird, wobei in Abhängigkeit des Ergebnisses entschieden wird, ob die jeweilige Steuereinheit fehlerfrei arbeitet oder nicht, sind die Vorteile gegeben, daß zum einen zuverlässig festgestellt wird, ob eine Steuereinheit fehlerfrei arbeitet oder nicht und zum anderen wird der Bauteileaufwand verringert, was sich insbesondere bei der Serienproduktion von Steuersystemen hinsichtlich der Kosten vorteilhaft auswirkt und aufgrund weniger Bauteile Verfügbarkeitseinbußen minimiert werden, da Nebenrechner mit den selben Aufgaben der Hauptrechner und/oder Sicherheitsschaltungen entfallen können. Der Prüfalgorithmus kann beispielsweise in einem Programm in einer Steuereinheit abgelegt werden.By the solution that the control units have a predefinable parameter is supplied and from this parameter according to a test algorithm from a result is calculated in each case at least one control unit, wherein in Depending on the result, it is decided whether the particular Control unit works correctly or not, the advantages are that on the one hand, it is reliably determined whether a control unit is faultless works or not and on the other hand the component effort is reduced, which is particularly true in the series production of control systems is advantageous in terms of costs and due to fewer components Loss of availability can be minimized because slave computers with the same Tasks of the main computer and / or safety circuits are omitted can. The test algorithm can, for example, in a program be stored in a control unit.

In Weiterbildung der Erfindung ist es zur weiteren Vereinfachung vorgesehen, daß eine erste Steuereinheit (d. h., eine beliebige Steuereinheit) den vorgebbaren Parameter erzeugt und zumindest beide Steuereinheiten (bei Vorhandensein von mehr als zwei Steuereinheiten mehrere oder alle Steuereinheiten) ein Ergebnis berechnen. Damit kann zumindest ein Teil aller Steuereinheiten oder auch alle Steuereinheiten überwacht werden, so daß diese Steuereinheiten die ihnen übertragenen Steuer-, Regel- oder Überwachungsaufgaben wahrnehmen und parallel dazu in Abhängigkeit des vorgebbaren Parameters den Prüfalgorithmus ausführen. Dies hat insbesondere dann den Vorteil, wenn mehr als zwei Steuereinheiten vorhanden sind, so daß die üblicherweise den Steuereinheiten zugeordneten Sicherheitseinrichtungen oder zusätzliche Steuereinrichtungen, die eine Redundanz ermöglichen sollen, entfallen können.In a further development of the invention, it is for further simplification provided that a first control unit (i.e., any control unit) generates the predefinable parameter and at least both control units (If there are more than two control units, several or all of them Control units) calculate a result. It can do at least part of it all control units or all control units are monitored, so that these control units the control, regulation or transferred to them Perform monitoring tasks and, in parallel, depending on the predeterminable parameters execute the test algorithm. this has especially the advantage if more than two control units are present, so that those usually assigned to the control units Safety devices or additional control devices, the one Should enable redundancy, can be omitted.

In Weiterbildung der Erfindung werden die berechneten Ergebnisse an die erzeugende Steuereinheit rückgemeldet, wobei in Abhängigkeit des rückgemeldeten Ergebnisses ermittelt wird, ob die rückmeldende Steuereinheit fehlerfrei arbeitet oder nicht. Dies hat den Vorteil, daß beispielsweise untergeordnete Steuereinheiten, die Nebenfunktionen erfüllen, von einer übergeordneten Steuereinheit, die eine Hauptfunktion erfüllt, überwacht werden, wobei dann, wenn das rückgemeldete Ergebnis nicht mit einem vorgebbaren Ergebnis übereinstimmt, entschieden wird, daß die rückmeldende Steuereinheit nicht fehlerfrei arbeitet. In einer besonders einfachen Ausgestaltung wird sämtlichen Steuereinheiten der gleiche Parameter vorgegeben und anhand des vorgegebenen Parameters nach einem einheitlichen Prüfalgorithmus das Ergebnis berechnet, so daß für den fehlerfreien Fall sämtliche Ergebnisse gleich sein oder zumindest innerhalb eines bestimmten Wertebereiches liegen müssen. Dabei ist es denkbar, daß sowohl die den vorgebbaren Parameter erzeugende Steuereinheit als auch die übrigen Steuereinheiten den Prüfalgorithmus durchführen und das Ergebnis berechnen.In a further development of the invention, the calculated results are sent to the generating control unit reported, depending on the confirmed result is determined whether the confirming Control unit works correctly or not. This has the advantage that for example subordinate control units, the secondary functions fulfill, from a higher-level control unit, which has a main function met, be monitored, when the reported result does not match a predeterminable result, it is decided that the feedback control unit is not working properly. In one particularly simple design, all control units are the same Parameters specified and based on the specified parameter the result is calculated using a uniform test algorithm, so that for the error-free case all results will be the same or at least within a certain range of values. It is conceivable that both the control unit generating the predefinable parameter and the other control units carry out the test algorithm and that Calculate result.

In Weiterbildung der Erfindung wird der Empfang des vorgebbaren Parameters, insbesondere an die erzeugende Steuereinheit, rückgemeldet. Dies hat den Vorteil, daß schon dann, wenn eine Steuereinheit einen Parameter nicht erhalten hat, festgestellt werden kann, daß von dieser Steuereinheit kein Ergebnis oder ein falsch berechnetes Ergebnis zu erwarten ist, so daß geeignete Maßnahmen ergriffen werden können und die Datenübertragung (insbesondere des Parameters von der erzeugenden Steuereinheit an die andere Steuereinheit) zumindest überprüft werden kann. In Abhängigkeit der Funktion der jeweiligen Steuereinheit kann für diesen Fall entschieden werden, ob die Funktion der Steuereinheit weiterhin durchgeführt werden soll oder ob diese Steuereinheit in einen Notbetrieb umgeschaltet oder sogar ganz abgeschaltet werden soll.In a further development of the invention, the reception of the specifiable Parameters, in particular to the generating control unit, reported back. This has the advantage that even if a control unit Has not received parameters, it can be determined that from this Control unit no result or an incorrectly calculated result is expected so that appropriate measures can be taken and the Data transmission (especially the parameter from the generating Control unit to the other control unit) are at least checked can. Depending on the function of the respective control unit, for In this case, it can be decided whether the function of the control unit continues to be carried out or whether this control unit in an emergency mode toggled or even switched off completely.

In Weiterbildung der Erfindung wird der Empfang des vorgebbaren Parameters von den Steuereinheiten, insbesondere innerhalb eines vorgegebenen Zeitraumes, überwacht, und dann, wenn kein Parameter empfangen worden ist, zumindest die Berechnung des Ergebnisses unterbleibt. Dies hat den Vorteil, daß die Steuereinheit den Empfang des vorgebbaren Parameters erwartet und diesen Empfang überprüft. Auch hier kann in Abhängigkeit der Wertigkeit der Funktion der Steuereinheit entschieden werden, ob lediglich die Berechnung des Ergebnisses unterbleibt und die Steuereinheit ansonsten ihre Funktion ausführt oder ob auch der Betrieb der Steuereinheit zumindest eingeschränkt wird oder gänzlich unterbleibt. Ergänzend dazu kann auch vorgesehen werden, daß für den Fall, daß kein Parameter empfangen worden ist, automatisch eine entsprechende Meldung an die Steuereinheit, die den vorgebbaren Parameter ausgesendet hat, ausgesendet wird. Sollte festgestellt werden, daß die erzeugende Steuereinheit einen Parameter ausgesendet hat, wird davon ausgegangen, daß die Übertragung unterblieben ist, die Funktionen der einzelnen Steuereinheiten jedoch weiter ausgeführt werden sollen, weil kein Fehler vorliegt. Wird hingegen festgestellt, daß von der erzeugenden Steuereinheit kein Parameter ausgesendet worden ist, wird entschieden, daß in dieser Steuereinheit ein Fehler vorliegt, weshalb der Betrieb dieser Steuereinheit eingeschränkt wird oder gänzlich unterbleibt.In a further development of the invention, the reception of the specifiable Parameters from the control units, especially within one predetermined period, monitored, and then when no parameter received, at least the calculation of the result is omitted. This has the advantage that the control unit receives the predeterminable parameters expected and this reception checked. Here too can depend on the value of the function of the control unit it can be decided whether only the calculation of the result is omitted and the control unit otherwise performs its function or whether also the operation of the control unit is at least restricted or completely omitted. In addition, it can also be provided that in the event that no parameter has been received, one automatically Corresponding message to the control unit, the predeterminable Sent out parameters, is sent out. Should be found that the generating control unit has sent out a parameter assumed that the transfer was not carried out, the functions of the individual control units, however, are to be continued because there is no error. On the other hand, it is found that of the generating Control unit no parameter has been sent, it is decided that there is an error in this control unit, which is why the operation of this Control unit is restricted or completely omitted.

In Weiterbildung der Erfindung wird der Vorgang nach Anspruch 1 wiederholt durchgeführt. Diese laufende (zyklische) Durchführung der gegenseitigen Überwachung der Steuereinheiten hat den Vorteil, daß die Überwachung ständig und fortlaufend während des Betriebes der Steuereinheiten durchgeführt wird, so daß zu jedem Zeitpunkt sichergestellt ist, daß Zustände, die ein Sicherheitsrisiko darstellen würden, vermieden werden.In a development of the invention, the process is repeated according to claim 1 carried out. This ongoing (cyclical) implementation of the mutual Monitoring the control units has the advantage that the monitoring constantly and continuously during the operation of the control units is carried out so that it is ensured at all times that Conditions that would pose a security risk are avoided.

In Weiterbildung der Erfindung ist der vorgebbare Parameter eine Zufallszahl, insbesondere eine binär codierte Zufallszahl. Dies hat den Vorteil, daß jeweils in Abhängigkeit der vorgegebenen Zufallszahlen auch die Ergebnisse unterschiedlich sein müssen, so daß damit die Sicherheit erhöht wird. Eine binär codierte Zufallszahl hat den Vorteil, daß diese schnell übertragbar und mit dieser der Prüfalgorithmus schnell durchführbar ist. Die binär codierte Zufallszahl kann beispielsweise bei der Datenübertragung einer Übertragungseinheit (Datenwort) vorangestellt werden, worauf dann Betriebsparameter oder Steuerdaten folgen, so daß immer erst der Prüfalgorithmus berechnet wird und dann der Steuereinheit die Betriebsparameter bzw. Steuerdaten zugeführt werden.In a further development of the invention, the predefinable parameter is a Random number, especially a binary coded random number. This has the Advantage that also depending on the given random numbers the results must be different, so that security is increased. A binary coded random number has the advantage that it is fast transferable and with which the test algorithm can be carried out quickly. The binary coded random number can be used for example in data transmission be preceded by a transmission unit (data word), then Operating parameters or control data follow, so that always the first Test algorithm is calculated and then the control unit Operating parameters or control data are supplied.

In Weiterbildung der Erfindung nimmt für den Fall, daß das Ergebnis einer Steuereinheit von dem Ergebnis zumindest der weiteren Steuereinheit abweicht, das Steuersystem einen sicheren Zustand ein. War bei dem bisher Beschriebenen vorgesehen, daß bei Abweichung eines Ergebnisses einer Steuereinheit die betreffende Steuereinheit einen sicheren Betrieb (Notbetrieb oder gänzliche Abschaltung des Betriebes der Steuereinheit) einnimmt, so ist nun vorgesehen, daß bei Auftreten eines Fehlers in wenigstens einer Steuereinheit das gesamte System einen sicheren Zustand einnimmt. Dies ist insbesondere dann von Vorteil, wenn sich mehrere Steuereinheiten mit gleichwertigen Funktionen gegenseitig überwachen und aus dem fehlerhaften Arbeiten einer einzelnen Steuereinheit ein Sicherheitsrisiko erwachsen könnte, was beispielsweise zu einer Gefährdung einer Person, einer Anlage oder von beiden führen könnte.In a further development of the invention, in the event that the result is a Control unit from the result of at least the further control unit deviates, the control system enters a safe state. Was with that so far Described described that if a result deviates from a Control unit the control unit in question safe operation (Emergency operation or complete shutdown of the operation of the control unit) assumes, it is now provided that when an error occurs in at least one control unit the entire system a safe state occupies. This is particularly advantageous if there are several Control units with equivalent functions mutually monitor and from the faulty work of a single control unit Security risk could arise, for example, a hazard one person, one plant or both.

Ein Steuersystem, insbesondere zur Durchführung des Verfahrens, ist im folgenden erläutert und in den Figuren gezeigt.A tax system, in particular for carrying out the method, is in following explained and shown in the figures.

Es zeigen:Show it:

Fig. 1 eine erste Ausführung eines Steuersystemes, Fig. 1 shows a first embodiment of a control system,

Fig. 2 eine weitere Ausführung eines Steuersystemes, Fig. 2 shows another embodiment of a control system,

Fig. 3 ein Ablaufschema, Fig. 3 is a flow diagram,

Fig. 4 eine Ergänzung des Ablaufschemas. Fig. 4 is an addition to the flow chart.

Fig. 1 zeigt eine erste Ausführung eines Steuersystemes, bei dem es sich insbesondere um ein in einem Kraftfahrzeug angeordnetes Steuersystem handelt, mit dem der Betrieb des Kraftfahrzeuges und seiner Komponenten (wie beispielsweise Antrieb, Bremsen) gesteuert bzw. geregelt wird. Dieses Steuersystem weist zwei Steuereinheiten auf, bei denen es sich um eine erste Steuereinheit 1 und eine zweite Steuereinheit 2 handelt. Die erste Steuereinheit 1, die beispielsweise die Regelung einer Brennkraftmaschine (Motormanagement) eines Kraftfahrzeuges übernimmt, weist eine Eingabeeinheit 1.1 auf, womit z. B. Sensoren bezeichnet sind, die Betriebsparameter (wie beispielsweise Druck, Temperatur, Leistungsanforderung) der Brennkraftmaschine erfassen. Über eine Ausgabeeinheit 1.2, unter der Aktuatoren beispielsweise für die Einspritzung, zu verstehen sind, wird der Betrieb der Brennkraftmaschine geregelt. Die erfaßten Betriebsparameter werden von einer Recheneinheit 1.3 unter Zuhilfenahme einer Speichereinheit 4 Steuerparameter berechnet, die dann an die Ausgabeeinheit 1.2 ausgegeben werden. Das gleiche gilt für die zweite Steuereinheit 2, bei der es sich beispielsweise um ein ABS-Steuergerät handelt, das eine eigene Eingabeeinheit 2.1 und eine eigene Ausgabeeinheit 2.2 aufweisen kann aber nicht muß. Die beiden Steuereinheiten 1 und 2 sind über eine Signalleitung 10 zum Datenaustausch miteinander verbunden, wodurch beispielsweise die zweite Steuereinheit 2 auch in den Betrieb der ersten Steuereinheit 1 eingreifen kann oder umgekehrt. Über die Signalleitung 10 wird erfindungsgemäß den Steuereinheiten 1 und 2 von einer Einrichtung 5 zur Erzeugung des vorgebbaren Parameters der erzeugte Parameter vorgegeben und das Ergebnis beispielsweise von den Recheneinheiten 1.3 und 2.3 berechnet. Ein Ablaufschema ist dann bezüglich der Fig. 3 erläutert. Fig. 1 shows a first embodiment of a control system, which is in particular a control system arranged in a motor vehicle, with which the operation of the motor vehicle and its components (such as drive, brakes) is controlled or regulated. This control system has two control units, which are a first control unit 1 and a second control unit 2 . The first control unit 1 , which, for example, controls an internal combustion engine (engine management) of a motor vehicle, has an input unit 1.1 . B. sensors are referred to, which detect operating parameters (such as pressure, temperature, power requirement) of the internal combustion engine. The operation of the internal combustion engine is regulated via an output unit 1.2 , which includes actuators for injection, for example. The detected operating parameters are calculated by a computing unit 1.3 with the aid of a storage unit 4 control parameters which are then output to the output unit 1.2 . The same applies to the second control unit 2 , which is, for example, an ABS control unit, which may or may not have its own input unit 2.1 and its own output unit 2.2 . The two control units 1 and 2 are connected to one another via a signal line 10 for data exchange, as a result of which, for example, the second control unit 2 can also intervene in the operation of the first control unit 1 or vice versa. According to the invention, the control units 1 and 2 are specified via the signal line 10 by a device 5 for generating the predefinable parameter, and the result is calculated, for example, by the computing units 1.3 and 2.3 . A flow diagram is then explained with reference to FIG. 3.

Fig. 2 zeigt eine weitere Ausführung des erfindungsgemäßen Steuersystemes. Neben den in Fig. 1 gezeigten und schon beschriebenen Komponenten ist eine weitere Steuereinheit 3 vorgesehen, wobei die Steuereinheiten 1, 2 und 3 über Schnittstellen 1.5, 2.5 und 3.5 an einer Datenleitung 11 (BUS) angeschlossen sind und untereinander Daten austauschen können. An der Datenleitung 11 können selbstverständlich mehr als drei Steuereinheiten angeschlossen sein. In Fig. 2 ist gezeigt, daß die Steuereinheiten 1 und 2 Eingabeeinheiten 1.1 und 2.1 sowie Ausgabeeinheiten 1.2 und 2.2 aufweisen. Dabei kann die Steuereinheit 3 auf die von den Steuereinheiten 1 und/oder 2 aufgenommenen Betriebsparameter oder berechnete Steuerparameter zurückgreifen. Es ist auch denkbar, daß eine Steuereinheit lediglich eine Eingabeeinheit und eine andere Steuereinheit lediglich eine Ausgabeeinheit aufweist. Fig. 2 shows another embodiment of a control system according to the invention. In addition to the components shown in FIG. 1 and already described, a further control unit 3 is provided, the control units 1 , 2 and 3 being connected to a data line 11 (BUS) via interfaces 1.5 , 2.5 and 3.5 and being able to exchange data with one another. Of course, more than three control units can be connected to the data line 11 . In FIG. 2 it is shown that the control units 1 and 2 have input units and output units 1.1 and 2.1 1.2 and 2.2. The control unit 3 can fall back on the operating parameters recorded by the control units 1 and / or 2 or calculated control parameters. It is also conceivable that one control unit has only one input unit and another control unit only has one output unit.

Der Steuereinheit 1 ist noch eine Stromversorgung 6 zugeordnet, bei der es sich beispielsweise um eine Notstromversorgung handelt, auf die unter Umständen die weiteren Steuereinheiten über die Datenleitung 11 zugreifen können. Weiterhin ist ergänzend vorgesehen, daß wenigstens eine Steuereinheit (Steuereinheit 1) einen weiteren Dateneingang 12 aufweist, so daß beispielsweise dann, wenn es sich bei der ersten Steuereinheit 1 um eine übergeordnete Steuereinheit und bei den Steuereinheiten 2 und 3 um untergeordnete Steuereinheiten handelt, die übergeordnete Steuereinheit 1 mit weiteren nebengeordneten bzw. übergeordneten Steuereinheiten verbunden werden kann.The control unit 1 is also assigned a power supply 6 , which is, for example, an emergency power supply, which the other control units may be able to access via the data line 11 . Furthermore, it is additionally provided that at least one control unit (control unit 1 ) has a further data input 12 , so that, for example, if the first control unit 1 is a higher-level control unit and the control units 2 and 3 are subordinate control units, the higher-level control unit Control unit 1 can be connected to further subordinate or superordinate control units.

Bei der in Fig. 2 gezeigten Steuereinheit 1 handelt es sich beispielsweise um eine Steuereinheit zur Regelung des Betriebes einer Brennkraftmaschine, während die Steuereinheit 2 eine ABS-Steuereinheit ist, die beispielsweise zur Verhinderung des Durchdrehens von Rädern des Kraftfahrzeuges in den Betrieb der Steuereinheit 1 über die Datenleitung 11 eingreifen kann. Bei der Steuereinheit 3 handelt es sich beispielsweise um eine Abstands-Steuereinheit, die den Abstand zu einem vorausfahrenden Fahrzeug erfaßt, und bei zu geringem Abstand entweder in die Regelung der Steuereinheit 1 eingreift (Verlangsamung des Fahrzeuges durch Verringerung der Leistungsanforderung) oder aber in die Funktionsweise der zweiten Steuereinheit 2 eingreift, so daß das Fahrzeug gebremst wird. Die Abstandserfassung kann in geeigneter Weise mittels der Eingabeeinheit 3.1 erfaßt werden.The control unit 1 shown in FIG. 2 is, for example, a control unit for regulating the operation of an internal combustion engine, while the control unit 2 is an ABS control unit which, for example, to prevent the wheels of the motor vehicle from spinning into the operation of the control unit 1 the data line 11 can intervene. The control unit 3 is, for example, a distance control unit that detects the distance to a vehicle in front and, if the distance is too short, either intervenes in the control of the control unit 1 (slowing down of the vehicle by reducing the power requirement) or in the mode of operation the second control unit 2 engages so that the vehicle is braked. The distance detection can be detected in a suitable manner by means of the input unit 3.1 .

Fig. 3 zeigt ein Ablaufschema des erfindungsgemäßen Verfahrens. Nach Einschalten des Steuersystemes (beispielsweise Einschalten der Zündung, Start mit der Bezugsziffer 20) erfolgt eine Zahlerzeugung 21, wobei eine Zufallszahl erzeugt wird. Über eine Zahlübermittlung 22 wird den Steuereinheiten 1, 2, 3 und gegebenenfalls weitere Steuereinheiten die erzeugte Zufallszahl übermittelt, und dann mittels der Prüfalgorithmen 23.1, 23.2 usw., die gleichartig und in den jeweiligen Speichereinheiten der Steuereinheiten abgespeichert sein können, berechnet. Die berechneten Ergebnisse werden an die erzeugende Steuereinheit (beispielsweise Steuereinheit 1) zurückgemeldet, in der eine Ergebnisabfrage 24 stattfindet. Waren alle Ergebnisse korrekt bzw. gleich, findet ein normaler Ablauf 25 der Steuereinheiten statt, d. h., daß für diesen Zyklus aus den erfaßten Betriebsparametern entsprechende Steuerparameter berechnet und ausgegeben werden. Danach erfolgt ein Sprung zu dem Punkt 31, von dem aus ein neuer Zyklus mit einer neuen Zufallszahl beginnt. Wurde bei der Ergebnisabfrage 24 festgestellt, daß das Ergebnis einer Steuereinheit oder die Ergebnisse mehrerer Steuereinheiten nicht korrekt oder unterschiedlich sind, wird in einer Sicherheitsabfrage 26 ermittelt, ob der Betrieb des gesamten Steuersystemes oder einzelner Steuereinheiten eingeschränkt werden muß oder nicht. Ist dies nicht der Fall, weil beispielsweise gerade im Zeitpunkt der Überprüfung die dritte Steuereinheit 3 (Abstands-Steuereinheit) ausgeschaltet ist, kann der normale Ablauf 25 durchgeführt werden, da die abgeschaltete Steuereinheit 3 kein Sicherheitsrisiko darstellt. Danach erfolgt ebenfalls der Sprung zu dem Punkt 31, nach dem eine erneute Zahlerzeugung 21 durchgeführt werden kann. Fig. 3 shows a flowchart of the inventive method. After switching on the control system (for example switching on the ignition, starting with the reference number 20 ), a number 21 is generated, a random number being generated. The generated random number is transmitted to the control units 1 , 2 , 3 and possibly further control units via a number transmission 22 , and is then calculated using the test algorithms 23.1 , 23.2 etc., which can be stored in the same way and in the respective storage units of the control units. The calculated results are reported back to the generating control unit (for example control unit 1 ) in which a result query 24 takes place. If all the results were correct or the same, the control units run normally 25 , ie corresponding control parameters are calculated and output for this cycle from the recorded operating parameters. Then there is a jump to point 31 , from which a new cycle begins with a new random number. If it was found in the result query 24 that the result of one control unit or the results of several control units are incorrect or different, a safety query 26 determines whether the operation of the entire control system or individual control units must be restricted or not. If this is not the case because, for example, the third control unit 3 (distance control unit) is switched off at the time of the check, the normal sequence 25 can be carried out since the switched-off control unit 3 does not represent a security risk. Then there is also a jump to point 31 , after which a new number generation 21 can be carried out.

Wird jedoch bei der Sicherheitsabfrage 26 festgestellt, daß die fehlerhaft arbeitende Steuereinheit ein Sicherheitsrisiko darstellt, erfolgt während dieses Zyklus ein Ausschluß 27 der fehlerhaft arbeitenden Steuereinheit, dem sich ein normaler Ablauf 28 aller übrigen Steuereinheiten mit Ausnahme der defekten Steuereinheit anschließt. Danach erfolgt wiederum eine Abzweigung zu dem Punkt 31. Bei dem Ausschluß 27 der defekten Steuereinheit kann noch berücksichtigt werden, ob diese defekte Steuereinheit nur für diesen einen Zyklus ausgeschlossen bleiben soll oder ob dies auch für weitere Zyklen gilt. So ist es denkbar, die defekte Steuereinheit erst dann abzuschalten oder deren Betrieb einzuschränken, wenn mehrere Zyklen lang ein von den übrigen Ergebnissen abweichendes Ergebnis registriert worden ist. Es ist auch denkbar, daß die Zahl der abweichenden Ergebnisse einer Steuereinheit gespeichert wird und erst bei Überschreiten eines vorgebbaren Grenzwertes diese Steuereinheit abschaltet oder deren Betrieb eingeschränkt wird und gegebenenfalls zusätzlich eine Warnmeldung beispielsweise an den Fahrer des Kraftfahrzeuges ausgegeben wird.If, however, it is ascertained in the safety query 26 that the faulty control unit represents a safety risk, an exclusion 27 of the faulty control unit takes place during this cycle, which is followed by a normal sequence 28 of all other control units with the exception of the defective control unit. Then there is again a branch to point 31 . With the exclusion 27 of the defective control unit, it can also be taken into account whether this defective control unit should remain excluded only for this one cycle or whether this also applies to further cycles. It is conceivable to switch off the defective control unit or to restrict its operation only after a result that deviates from the other results has been registered for several cycles. It is also conceivable that the number of deviating results of a control unit is stored and that this control unit is only switched off or its operation is restricted when a predeterminable limit value is exceeded and, if necessary, an additional warning message is output, for example to the driver of the motor vehicle.

Fig. 4 zeigt eine Ergänzung des Ablaufschemas, die beispielhaft für die zweite Steuereinheit 2 dargestellt ist. Wurde von der Zahlübermittlung 22 die Zufallszahl über den Punkt 30 an die jeweiligen Steuereinheiten übermittelt, kann nach der Zahlübermittlung 22 eine Abfrage 32 von der jeweiligen Steuereinheit durchgeführt werden, ob die Zahl übermittelt bzw. empfangen wurde oder nicht. Ist dies innerhalb eines vorgebbaren Zeitraumes erfolgt, wird der Prüfalgorithmus 23.2 durchgeführt und dessen Ergebnis an die Ergebnisabfrage 24 übermittelt. Sollte keine Zufallszahl innerhalb des Zeitraumes empfangen worden sein, kann beispielsweise wieder der Ausschluß 27 dieser jedoch in diesem Fall nicht defekten Steuereinheit 2 erfolgen und gleichzeitig eine Meldung 33 an die erzeugende Steuereinheit (Steuereinheit 1) übertragen werden. Danach wird wieder zu Punkt 31 verzweigt. Hier ist es denkbar, daß dann, wenn bei der Abfrage 32 keine Zufallszahl als übermittelt erkannt worden ist, die normale Funktion dieser Steuereinheit durchgeführt und die Meldung 33 direkt an die erste Steuereinheit 1 übertragen wird. Dies hat den Vorteil, daß nicht direkt bei Ausbleiben einer Zufallszahl auf einen Defekt erkannt wird, sondern daß ein Zyklus abgewartet wird, ob bei diesem darauffolgenden Zyklus wieder die Zufallszahl ordnungsgemäß übertragen und empfangen wird. FIG. 4 shows a supplement to the flow diagram, which is shown as an example for the second control unit 2 . If the number transmission 22 has transmitted the random number to the respective control units via the point 30 , after the number transmission 22 a query 32 can be carried out by the respective control unit as to whether the number was transmitted or received or not. If this has occurred within a predeterminable period of time, the test algorithm 23.2 is carried out and its result is transmitted to the result query 24 . If no random number has been received within the period of time, for example the exclusion 27 of this control unit 2 , which is not defective in this case, can again take place and at the same time a message 33 can be transmitted to the generating control unit (control unit 1 ). Then you branch back to point 31 . It is conceivable here that if no random number has been recognized as transmitted in the query 32 , the normal function of this control unit is carried out and the message 33 is transmitted directly to the first control unit 1 . This has the advantage that a defect is not recognized immediately when there is no random number, but that a cycle is waited to determine whether the random number is properly transmitted and received again in the subsequent cycle.

Bei der Zahlerzeugung kann auch eine Zahlenfolge erzeugt werden, die sich dann zyklisch wiederholt, so daß die empfangende Steuereinheit eine bestimmte Zahl innerhalb dieser Zahlenfolge, die in ihr gespeichert ist, erwartet und dadurch eine zusätzliche Sicherheit gegeben ist.When generating numbers, a sequence of numbers can also be generated then repeated cyclically so that the receiving control unit one certain number within this sequence of numbers stored in it expected and this provides additional security.

Claims

1. A method for operating a control system, in particular in a motor vehicle, in which at least two control units exchange data with one another, at least one control unit converting operating variables detected into control signals, characterized in that the control units are supplied with a predeterminable parameter and from this parameter according to a test algorithm A result is calculated in each case by at least one control unit, a decision being made as a function of the result as to whether the respective control unit is operating correctly or not.

2. The method according to claim 1, characterized in that a first Control unit generates the predefinable parameter and at least both control units calculate a result.

3. The method according to claim 2, characterized in that the calculated results to the generating control unit be reported, depending on the reported Result is determined whether the feedback control unit is error-free works or not.

4. The method according to claim 1, 2 or 3, characterized in that the receipt of the predefinable parameter, in particular to the generating control unit, is reported back.

5. The method according to any one of the preceding claims, characterized characterized in that the reception of the predefinable parameter of the control units, in particular within a predetermined one Period, is monitored, and then if no parameter received, at least the calculation is omitted.

6. The method according to any one of claims 2 to 5, characterized in that the process according to claim 1 is carried out repeatedly.

7. The method according to any one of the preceding claims, characterized characterized in that the predefinable parameter is a random number, in particular a binary coded random number.

8. The method according to any one of the preceding claims, characterized characterized in that in the event that the result of a control unit deviates from the result of at least the further control unit which Control system assumes a safe state.

9. Control system, in particular in a motor vehicle, with at least two control units via a signal-transmitting line are interconnected, with at least one control unit Input unit for recording operating variables and / or a Has an output unit for outputting control signals, in particular to carry out the method according to one of the preceding claims, characterized in that the Control units for calculating a result depending of a predefinable parameter are formed, depending on of the respective result, it is decided whether the respective Control unit works correctly or not.

10. Control system according to claim 9, characterized in that the first Control unit for controlling an internal combustion engine a motor vehicle and the at least others Control units to support the control or regulation of the Internal combustion engine and / or to influence driving behavior (e.g. brakes) of the motor vehicle.