Die Erfindung betrifft ein Verfahren zur Überwachung eines in einem Kraftfahrzeug installierten Subsystems nach dem Oberbegriff des Anspruchs 1.

In Kraftfahrzeugen installierte Subsysteme, wie beispielweise Kühlmittelsysteme,

Schmierstoffsysteme, Insassenrückhaltesysteme oder andere Sicherheitssysteme und dergleichen unterliegen meist einer Überwachung auf eine ordnungsgemäße Funktion bzw. auf Systemfehler. Üblicherweise wird ein Systemfehler dem Fahrer des Kraftfahrzeugs angezeigt und er wird zur Behebung des Fehlers aufgefordert.

So ist beispielsweise in der DE 195 48 684 A1 ein Verfahren beschrieben, bei welchem abgasrelevante Fehlfunktionen eines Kraftfahrzeugs mit Brennkraftmaschine mit Hilfe bordeigener Sensormittel erfasst, dokumentiert, in einer Schaltungseinheit ausgewertet und gegebenenfalls durch eine Störleuchte angezeigt werden.

Bei einigen Fehlern kann es aus gesetzlichen oder Haftungsgründen erforderlich sein, eine Systemfehlerbehebung sicherzustellen. Dies kann auch dann gelten, wenn die Systemfehlerbehebung zwar scheinbar oder auch tatsächlich vorgenommen wird aber ein unzulässiger Eingriff in das überwachte Subsystem erfolgt ist, welcher beispielsweise die Anzeige des Systemfehlers vorübergehend deaktiviert, insbesondere ohne dass die dem Systemfehler zugrunde liegende Ursache in der vorgesehenen Weise behoben wird. Ein solcher Eingriff ist als nicht zu tolerierender Missbrauch anzusehen.

Aufgabe der Erfindung ist es, ein Verfahren zur Überwachung eines in einem

Kraftfahrzeug installierten Subsystems anzugeben, welches eine Erkennung einer missbräuchlichen System-Manipulation möglichst sicher ermöglicht.

Diese Aufgabe wird durch ein Verfahren mit den Merkmalen des Anspruchs 1 gelöst. In dem erfindungsgemäßen Verfahren überprüft eine Diagnoseeinheit das zu überwachende Subsystem zumindest während Fahrzyklen des Kraftfahrzeugs in Bezug auf Systemfehler. Charakteristischerweise erfolgt die Überprüfung in Bezug sowohl auf ein Auftreten als auch eine Behebung eines Systemfehlers. Dabei führt die Diagnoseeinheit auf der Grundlage einer Häufigkeit für ein Erkennen des Auftretens und/oder der Behebung des Systemfehlers eine Missbrauchsabschätzung dahingehend durch, ob dem erkannten Auftreten und/oder der erkannten Behebung des Systemfehlers ein Missbrauch zugrunde liegt. Bei einem erkannten Auftreten eines Systemfehlers wird ein Restriktionsbetriebsmodus aktiviert oder ein aktivierter Restriktionsbetriebsmodus fortgeführt, bei welchem eine Fahrbarkeit des Fahrzeugs nach Ablauf einer vorgebbaren Anzahl von Fahrzyklen oder nach Ablauf einer vorgebbaren Fahrstrecke ohne Erkennung der Systemfehlerbehebung eingeschränkt wird.

Die Erfindung beruht auf der Erkenntnis, dass im Falle des Erkennens eines Systemfehlerauftretens oder einer Systemfehlerbehebung im Einzelfall meist keine zuverlässige Missbrauchserkennung möglich ist. Demgegenüber kann im Fall von mehrfachem

Auftreten oder Beheben eines Systemfehlers innerhalb einer bestimmten Zeitspanne, Fahrstrecke oder einer Mehrzahl von vorzugsweise aufeinander folgenden Fahrzyklen durch Bewertung der Häufigkeit dieser Ereignisse ein Missbrauch mit hoher Sicherheit erkannt oder auch ausgeschlossen werden. Zur Beurteilung des Vorliegens von Missbrauch können mit Vorteil auch statistische Methoden angewendet werden, welche die Häufigkeit der erkannten Ereignisse betreffend Auftreten und/oder Behebung des Systemfehlers bewerten. Die Häufigkeit kann dabei im Sinne einer absoluten Häufigkeit, d.h. als Anzahl von Ereignisseen betreffend Auftreten und/oder Behebung des

Systemfehlers innerhalb einer bestimmten Zeitspanne, Fahrstrecke oder einer Anzahl von vorzugsweise aufeinander folgenden Fahrzyklen als Grundlage für die Missbrauchsabschätzung dienen. Es kann jedoch auch eine relative Häufigkeit herangezogen werden, bei welcher die erfasste Anzahl von Ereignisseen betreffend Auftreten und/oder

Behebung des Systemfehlers in Bezug zu einer anderen Anzahl von Fahrzyklen, insbesondere zu einer Gesamtzahl von Fahrzyklen oder zu einer Anzahl von Fahrzyklen ohne Fehlererkennung betrachtet wird. Ein Missbrauch wird als gegeben angesehen, wenn das Auftreten oder die Behebung eines Systemfehlers auf einen vom Fahrzeugnutzer auf unzulässige Weise vorgenommenen, insbesondere absichtlich durchgeführten Eingriff im Subsystem zurückzuführen ist. Als ein solcher ist beispielsweise das absichtliche

Abschalten einer Überwachungsfunktion oder einer Systemkomponente ohne eine technisch sinnvolle Grundlage hierfür anzusehen. Erfindungsgemäß überprüft die vorgesehene Diagnoseeinheit das Subsystem zumindest während Fahrzyklen des Kraftfahrzeugs. Dabei ist unter einem Fahrzyklus eine insbesondere ununterbrochene Zeitspanne zwischen einem Motorstart und einem darauffolgendem Motorabschalten anzusehen, welche einen Fahrbetrieb des Fahrzeugs umfasst. Der Zustand der Betriebsbereitschaft für das Fahrzeug bzw. den Motor oder das Subsystem (Zündung ein) ist dabei vorzugsweise mit inbegriffen.

Zur Erkennung des Auftretens oder der Behebung eines Systemfehlers kann die

Diagnoseeinheit Signale von Sensoren und/oder Betriebszustandsgrößen des Kraftfahrzeugs bzw. des Motors erfassen und verarbeiten. Wird das Auftreten eines Systemfehlers erkannt, so wird ein Restriktionsbetriebsmodus aktiviert oder für den Fall dass dieser bereits aktiviert ist, fortgeführt. Der Restriktionsbetriebsmodus sieht dabei vor, die Fahrbarkeit des Fahrzeugs nach Ablauf einer vorgebbaren Anzahl von Fahrzyklen oder nach Ablauf einer vorgebbaren Fahrstrecke ohne Erkennung einer Systemfehlerbehebung einzuschränken. Vorzugsweise wird dies dem Bediener des Fahrzeugs angezeigt. Die Einschränkung des Fahrbetriebs kann beispielsweise eine Beschränkung der Motorleistung, der Fahrgeschwindigkeit oder eine Verhinderung eines erneuten Motorstarts nach Abschalten des Motors umfassen. Erfolgt bei aktiviertem Restriktionsbetriebsmodus keine rechtzeitige Behebung des Systemfehlers, so ist vorgesehen, die Einschränkung des Fahrbetriebs automatisch wirksam werden zu lassen.

Bei dem überwachten Subsystem des Kraftfahrzeugs kann es sich beispielsweise um ein Kühlmittelsystem, ein Schmierstoffsystem, ein Insassenrückhaltesystem oder ein anderes Sicherheitssystem handeln. Es können auch Subsysteme überwacht werden, welche ihrerseits Funktionsprüfungen, beispielsweise in Bezug auf Überladung des Fahrzeugs, Fahrzeugtürverriegelung und dergleichen durchführen.

In Ausgestaltung der Erfindung ist das überwachte Subsystem ein einem Verbrennungsmotor des Kraftfahrzeugs zugeordnetes Abgasnachbehandlungssystem. Dieses kann Abgasreinigungskatalysatoren, Partikelfilter und Komponenten für deren ordnungsgemäßem Betrieb, wie beispielweise Abgassensoren, Ventile usw. umfassen.

In einer bevorzugten Ausgestaltung der Erfindung handelt es sich bei dem überwachten Subsystem um ein SCR-Abgasnachbehandlungssystem zur Verminderung von im Abgas des Verbrennungsmotors enthaltenen Stickoxiden und die Diagnoseeinheit überprüft das SCR-Abgasnachbehandlungssystem in Bezug auf verbrauchsrelevante Systemfehler, welche im Vergleich zu einem fehlerfreien SCR-Abgasnachbehandlungssystem einen signifikant verminderten Verbrauch eines zur Stickoxidverminderung vorgesehenen SCR- Reduktionsmittels zur Folge haben.

Typischerweise umfasst das SCR-Abgasnachbehandlungssystem einen so genannten SCR-Katalysator, welcher eine Reduktion von Stickoxiden bei Sauerstoffüberschuss mittels des Reduktionsmittels katalysieren kann. Das Reduktionsmittel wird dabei in einem Vorratsbehälter an Bord des Kraftfahrzeugs vorgehalten und mittels eines Dosiersystems dem Abgas stromauf des SCR-Katalysators zur Stickoxidreduktion zugeführt. Als Reduktionsmittel wird typischerweise wässrige Harnstofflösung eingesetzt. Es können jedoch auch andere, insbesondere ammoniakhaltige Reduktionsmittel wie Festharnstoff, Carbamat, Amine, ammoniakhaltige Komplexverbindungen oder dergleichen verwendet werden. Dosiersystem, Vorratsbehälter, Katalysator und weitere zum ordnungsgemäßen Betrieb des SCR-Abgasnachbehandlungssystems eingesetzte Komponenten werden dabei dem SCR-Abgasnachbehandlungssystem zugerechnet. Die Komponenten des SCR-Abgasnachbehandlungssystems werden von der Diagnoseeinheit wenigstens teilweise auf ihre Funktion überwacht bzw. überprüft.

Der Verbrauch des Reduktionsmittels ist mit Betriebskosten verbunden. Es ist daher vorgesehen, mittels der Diagnoseeinheit einen Missbrauch, welcher einer Vermeidung oder Verminderung dieser Betriebskosten dient, zu erkennen. Ist der Verbrauch des Reduktionsmittels gegenüber einer für einen jeweiligen Betriebszustand üblichen Menge signifikant vermindert, so ist auch die vorgesehene oder vorgeschriebene Stickoxidverminderung beeinträchtigt oder verhindert. Aus diesem Grund werden erkannte Fehler im SCR-Abgasnachbehandlungssystem erfasst und vorzugsweise angezeigt. Unter einer signifikanten Verbrauchsverminderung ist dabei eine Verminderung um wenigstens 20 %, vorzugsweise um wenigstens 30 % oder eine höhere Verminderung gegenüber der für ein fehlerfrei arbeitendes SCR-Abgasnachbehandlungssystem vorgesehenen Menge zu verstehen. Insbesondere ist darunter ein auf wenigstens annähernd Null verminderter Verbrauch des SCR-Reduktionsmittels zu verstehen. Um eine Fehlerbehebung mit einiger Sicherheit zu veranlassen, wird vorzugsweise gleichzeitig mit der Erkennung des Fehlers ein Restriktionsbetriebsmodus aktiviert bzw. fortgeführt. Dabei ist ein Missbrauch, welcher eine unzulässige Verzögerung oder eine Vermeidung der Fehlerbehebung zur Folge hätte, auszuschließen. Gleichfalls auszuschließen bzw. zu erkennen ist ein

Missbrauch, welcher das Eintreten der Fahrbarkeitsbeschränkung verhindert, ohne dass die zugrunde liegende signifikante Reduktionsmittelverbrauchsverminderung dauerhaft beseitigt wurde Hierfür ist es in einer besonders vorteilhaften weiteren Ausgestaltung der Erfindung vorgesehen, dass für die Diagnoseeinheit ein Speicher vorgesehen ist, der Speicherplätze für zumindest in den Fahrzyklen ermittelte Statusinformationen aufweist, wobei die Statusinformationen wenigstens das Auftreten und/oder die Behebung eines verbrauchsrelevanten Systemfehlers und/oder die Aktivschaltung des Restriktionsbetriebsmodus betreffen und Statusinformationen für eine Vielzahl von aufeinanderfolgenden Fahrzyklen im Speicher gespeichert werden und wenigstens teilweise für die Missbrauchsabschätzung herangezogen werden. Infolge der erfindungsgemäß vorgesehenen Vielzahl von Speicherplätzen für Statusinformationen kann besonders zuverlässig die Häufigkeit einer Systemfehlererkennung bzw. -Behebung erfasst und ausgewertet und somit ein Missbrauch besonders zuverlässig erkannt werden. In vorteilhafter Weise ist auch eine statistische Auswertung von über eine Vielzahl von Fahrzyklen abgespeicherten Statusinformationen ermöglicht.

In weiterer Ausgestaltung der Erfindung wird bei aktiviertem Restriktionsbetriebsmodus eine Anzahl von für normalen Fahrzeugbetrieb zugelassenen verbleibenden Motorstartvorgängen oder eine Größe einer verbleibenden Restfahrstrecke beginnend mit einem vorgebbaren Startwert dekrementiert. Unter für normalen Fahrzeugbetrieb zugelassenen Motorstartvorgängen sind dabei vorzugsweise solche Motorstarts zu verstehen, welche vorgegebene Randbedingungen erfüllen, welche beispielsweise eine sich anschließende Mindestfahrstrecke oder Mindestmotorbetriebszeit beinhalten. Damit kann eine vorzeitige Einschränkung des Fahrbetriebs ohne wirkliches Verschulden des Fahrzeugnutzers vermieden werden. Die Aktivierung und der Verlauf des Restriktionsbetriebsmodus werden vorzugsweise dem Fahrer des Fahrzeugs angezeigt. Dadurch wird er einerseits über das Vorliegen des erkannten Systemfehlers und andererseits über die Folgen von dessen Nichtbehebung informiert.

Bei einer auf Null dekrementierten Anzahl von Motorstartvorgängen oder Restfahrstrecke ist es dem Fahrzeugnutzer unter normalen Umständen nicht mehr möglich einen erneuten Motorstart vorzunehmen oder eine neue Fahrt zu beginnen. Vorzugsweise ist jedoch insbesondere für hierfür autorisiertes Servicepersonal eine Möglichkeit

vorgesehen, durch Zugriff auf die Diagnoseeinheit eine oder mehrere weitere Starts bzw. eine Fahrt mit einer insbesondere vorgebbaren weiteren Fahrstrecke zu ermöglichen. Auf diese Weise kann flexibel auf Notsituationen regiert werden. Wird der Systemfehler rechtzeitig vor auf Null dekrementierten zugelassenen verbleibenden Startvorgängen bzw. auf Null dekrementierter Restfahrstrecke behoben, so wird im Allgemeinen der Restriktionsbetriebsmodus von der Diagnoseeinheit automatisch wieder deaktiviert und der Startwert wieder auf seinen vorgebbaren Startwert zurückgesetzt.

Andererseits ist es in weiterer Ausgestaltung der Erfindung vorgesehen, dass in einem Normalbetrieb bei einer erkannten Systemfehlerbehebung eine Deaktivierung des aktivierten Restriktionsbetriebsmodus nur dann zugelassen wird, wenn die Missbrauchsabschätzung ergibt, dass kein Missbrauch vorliegt. Alternativ oder zusätzlich ist vorgesehen, dass eine erkannte Fehlerbehebung als unwirksam gilt, wenn die Missbrauchsabschätzung ergibt, dass ein Missbrauch vorliegt. Damit ist gewährleistet, dass die Systemüberwachung nicht durch insbesondere mehrfachen bzw. fortgesetzten Missbrauch außer Kraft gesetzt werden kann. Der Normalbetrieb ist dabei ein üblicher, für den Nutzer des Fahrzeugs vorgesehener Fahrzeugbetrieb. Hierzu zählt vorzugsweise nicht ein von autorisiertem Servicepersonal oder anderweitig durchgeführter Eingriff in die Diagnoseeinheit oder ein Tausch bzw. eine Wiederherstellung von Systemkomponenten, welche der Wiederherstellung einer durch technische Störungen verhinderten normalen Fahrbarkeit dienen.

Insbesondere um Sicherheitsspielräume zu ermöglichen und Fehlinterpretationen oder Fremdeinflüsse auf eine Entscheidung betreffend die Einschränkung der Fahrbarkeit so weit als möglich auszuschließen, ist es in weiterer Ausgestaltung der Erfindung vorgesehen, dass eine für eine Aktivierung und/oder eine Fortsetzung und/oder eine Deaktivierung des Restriktionsbetriebsmodus relevante Überprüfung auf verbrauchsrelevante Systemfehler ein Vorliegen eines als gültig bewerteten Fahrzyklus mit vorgebbaren Werten für wenigstens eine Mindestfahrdauer und/oder eine Mindestfahrstrecke und/oder eine Fahrzeugmindestgeschwindigkeit und/oder eine Motorstillstandsdauer in einem Fahrzyklus und/oder zwischen zwei Fahrzyklen erfordert. Es können dabei noch zusätzliche Bedingungen definiert und abgefragt werden, welche für das Vorliegen eines als gültig zu bewertenden Fahrzyklus vorliegen müssen. Solange ein Fahrzyklus nicht als gültig bewertet wird, findet nach dieser Ausgestaltung der Erfindung insbesondere keine Dekrementierung der Anzahl von verbleibenden Restartvorgängen bzw. der verbleibenden Restfahrstrecke statt.

Für die Bewertung der Häufigkeit für ein Erkennen des Auftretens und/oder der Behebung des Systemfehlers in Bezug auf einen Missbrauch ist es in weiterer Ausgestaltung der Erfindung vorgesehen, dass im Speicher der Diagnoseeinheit abgespeicherte Statusinformationen in Bezug auf das Vorliegen eines gültigen Fahrzyklus und/oder in Bezug auf eine Aktivschaltung des Restriktionsbetriebsmodus von einer Mehrzahl von zurück- liegenden Fahrzyklen für die Missbrauchsabschätzung herangezogen werden. Auf diese Weise kann die Entscheidung bzw. Abschätzung in Bezug auf einen Missbrauch statistisch abgesichert werden.

In weiterer Ausgestaltung der Erfindung ist für die Missbrauchsabschätzung eine

Kennzahl vorgesehen, die zumindest für jeden gültigen Fahrzyklus neu ermittelt wird und es wird ein Missbrauch als gegeben betrachtet, wenn die Kennzahl einen vorgebbaren Grenzwert erreicht oder überschreitet. Dadurch ist eine weiter verbesserte Zuverlässigkeit der Missbrauchsabschätzung ermöglicht. Als besonders vorteilhaft hat es sich dabei erwiesen, wenn in weiterer Ausgestaltung der Erfindung die Kennzahl mit der Anzahl von erfassten Ereignissen betreffend das Auftreten und die Behebung von Systemfehlern korreliert. Dies ermöglicht es insbesondere, eine wiederholte Manipulationshandlung mit unerlaubten Eingriffen in das überwachte Subsystem zuverlässig zu erkennen.

In diesem Zusammenhang ist eine weitere Verbesserung der Zuverlässigkeit ermöglicht, wenn in weiterer Ausgestaltung der Erfindung die in zumindest jedem gültigen Fahrzyklus ermittelte Kennzahl in einem dem jeweiligen Fahrzyklus zugeordneten Speicherplatz des Speichers der Diagnoseeinheit abgespeichert wird und zur Ermittlung der einem jeweiligen Fahrzyklus zugeordneten Kennzahl auf den Wert der Kennzahl des vorangegangenen Fahrzyklus zurückgegriffen wird. Zweckmäßig ist es, die Kennzahl bei aufeinander folgenden, insbesondere gültigen Fahrzyklen fortzuschreiben, um dadurch vorsätzlich vorgenommene Systemeingriffe von zufälligen oder ordnungsgemäß erfolgenden

Statusänderungen zuverlässig unterscheiden zu können.

Weitere Vorteile, Merkmale und Einzelheiten der Erfindung ergeben sich aus der nachfolgenden Beschreibung bevorzugter Ausführungsbeispiele. Die vorstehend in der

Beschreibung genannten Merkmale und Merkmalskombinationen sowie die nachfolgend genannten Merkmale und Merkmalskombinationen sind nicht nur in der jeweils

angegeben Kombination sondern auch in anderen Kombinationen oder in der Alleinstellung verwendbar, ohne den Rahmen der Erfindung zu verlassen.

Nachfolgend wird anhand von Tabelle 1 eine vorteilhafte Vorgehensweise in Verbindung mit in der Tabelle angegebenen, in einem Fehlerspeicher einer Diagnoseeinheit eingetragenen Statusinformationen erläutert. Ohne Einschränkung der Allgemeinheit wird dabei davon ausgegangen, dass die Diagnoseeinheit ein SCR-Abgasnachbehandlungssystem eines Kraftfahrzeugverbrennungsmotors speziell in Bezug auf Systemfehler überprüft, welche einen signifikanten Minderverbrauch von für die Stickoxidverminderung vorgesehener Harnstofflösung zur Folge haben. Ein solcher Systemfehler kann beispielsweise in einer Unterbrechung einer Energieversorgung eines Dosiermoduls oder einer Dosiersteuereinheit zur Dosierung der Harnstofflösung bestehen.

Tabelle 1

Tabelle 1 gibt lediglich beispielhaft und auszugsweise Eintragungen in dem eine Vielzahl von Speicherstellen aufweisenden Speicher der Diagnoseeinheit wieder. Dabei ist die erste Zeile der Anzahl von direkt aufeinanderfolgenden Fahrzyklen F zugeordnet, welche hier fortlaufend von nummeriert sind. In der zweiten Zeile ist für einen jeweiligen

Fahrzyklus F ein Fehlerbit B eingetragen, welches angibt, ob ein Systemfehler vorliegt bzw. ob in einer Systemprüfung das Auftreten oder die Behebung eines Systemfehlers erkannt wurde. In der dritten Zeile ist für einen jeweiligen Fahrzyklus F ein Modusbit M eingetragen, welches angibt, ob ein Restriktionsbetriebsmodus aktiviert ist, welcher vorliegend die Anzahl noch verbleibender zugelassener Motorstarts für normalen

Fahrbetrieb ohne Zurücksetzen eines gesetzten Fehlerbits B begrenzen würde.

In der vierten Zeile ist eine Anzahl von verbleibenden Reststarts eingetragen, welche nach Ablauf des zugehörigen Fahrzyklus F noch durchgeführt werden können. In der fünften und letzten Zeile ist eine Missbrauchskennzahl k _x eingetragen, die das Ergebnis der von der Diagnoseeinheit durchgeführten Missbrauchsabschätzung für den aktuellen Fahrzyklus F quantitativ angibt.

In den mit einem Motorstart oder mit Bereitstellen der elektrischen Betriebsspannung (Zündung auf„ein") vom Fahrzeugnutzer eingeleiteten und durch Motorabstellen oder mit Abstellen der elektrischen Betriebsspannung (Zündung„aus") beendeten Fahrzyklen F = n und F = n+1 wurde kein Auftreten eines Systemfehlers erkannt, weshalb hier jeweils das Fehlerbit B Null beträgt. Es besteht daher kein Anlass für eine Fehlermeldung oder für das Aktivieren eines Restriktionsbetriebsmodus. Dementsprechend ist für das

Modusbit M Null eingetragen und für das Fahrzeug in den Fahrzyklen F = n und F = n+1 jeweils die gleiche vorgebbare Anzahl R von zugelassenen künftigen Startvorgängen vorgesehen. Eine Störanzeige bleibt dabei vorliegend ausgeschaltet. Im Fahrzyklus F = n+2 wird ein Systemfehler erkannt und demzufolge das Fehlerbit B gesetzt und ein Restriktionsbetriebsmodus aktiviert und das Modusbit M gesetzt. Dabei ist vorgesehen, dem Fahrzeugnutzer die Anzahl der verbleibenden Motorstarts und damit die Aktivierung des Restriktionsbetriebsmodus anzuzeigen und ihn zu einer Fehlerhebung aufzufordern. Sofern, wie vorliegend dargestellt, in den folgenden Fahrzyklen F keine Fehlerbehebung erkannt wird und daher das Fehlerbit B und das Modusbit M gesetzt bleiben, wird die Anzahl der zugelassenen Motorstarts für fortlaufende Fahrzyklen F beginnend vom Startwert R dekrementiert, bis im Fahrzyklus F = n+m+1 die Zahl Null erreicht ist.

Was die Missbrauchskennzahl k _x im x-ten Fahrzyklus F betrifft, so ist vorgesehen, diese zumindest in Abhängigkeit einer Häufigkeit für ein Erkennen des Auftretens und/oder der Behebung des Systemfehlers und damit bevorzugt zumindest in Abhängigkeit von der Anzahl der Eintragungen eines gesetzten Fehlerbits B oder Modusbits M festzulegen. Vorzugsweise werden der Wert der Missbrauchskennzahl k _x-1 im jeweils vorangegangenen Fahrzyklus F und eine zugeordnete Anzahl von Fahrzyklen F ebenfalls berücksichtigt. Für die Missbrauchskennzahl k _x gilt demnach bevorzugt folgende allgemeine formale Abhängigkeit: k _x = f (k _x-1 , F, Σ(Μ), Σ(Β))

Dabei steht F für die Anzahl von für die Missbrauchsabschätzung herangezogenen Fahrzyklen und Σ(Μ) für die Anzahl der zugeordneten Speicherplätze mit einem gesetzten Modusbit M und Σ(Β) für die Anzahl der zugeordneten Speicherplätze mit einem gesetzten Fehlerbit B. Es kann auch vorgesehen sein eine oder mehr der Variablen k _x-1 , F, Σ(Μ), Σ(Β) unberücksichtigt zu lassen oder es können weitere, hier nicht gesondert aufgeführte Statuseintragungen als Variable berücksichtigt werden. Es können verschiedene funktionale Abhängigkeiten f() für die Verknüpfung der bevorzugt berücksichtigten Variablen k _x-1 , F, Σ(Μ), Σ(Β) vorgesehen sein, welche insbesondere auf einer Bewertung der Häufigkeit für ein Erkennen des Auftretens und/oder der Behebung des Systemfehlers beruhen, also die Häufigkeit der Eintragungen eines gesetzten Fehlerbits B oder Modusbits M berücksichtigen. Dies wird durch die Abhängigkeit der Missbrauchskennzahl k _x von der Größe Σ(Μ) oder einer damit korrelierenden Größe erzielt. Erreicht oder überschreitet die Missbrauchskennzahl k _x einen vorgebbaren oder vorgegebenen Grenzwert, so wird ein Missbrauch als gegeben angesehen. Damit wird in vorteilhafter Weise die Erkenntnis genutzt, dass bei einer vergleichsweise hohen Anzahl bzw. Häufigkeit von Fehlereintragungen eine normale technische Fehlerursache vergleichsweise wenig wahrscheinlich, ein unzulässiger, missbräuchlicher Eingriff hingegen eher wahrscheinlich ist.

Im Anschluss an den Fahrzyklus F = n+m+1 , mit welchem die Anzahl möglicher Motorstartvorgänge auf Null dekrementiert wurde, können verschiedene weitere Vorgehensweisen bzw. Reaktionen vorgesehen sein, die vorzugsweise davon abhängen, ob die Missbrauchskennzahl k _x in oder vor diesem Fahrzyklus F den für eine Missbrauchserkennung kritischen Grenzwert bereits erreicht bzw. überschritten hat. Jedenfalls ist vorgesehen, dass ein auf den Fahrzyklus F = n+m+1 unmittelbar folgender Versuch den Motor zu starten zumindest dann erfolglos bleibt, wenn keine Fehlerbehebung erkannt wurde bzw. das Fehlerbit B gesetzt ist. Beispielsweise durch einen von außen erfolgenden autorisierten Serviceeingriff in die Diagnoseeinheit kann ein Rücksetzen der Reststarts auf den Startwert R vorgesehen sein, wonach wieder wenigstens R Motorstartvorgänge ermöglicht werden. Es kann auch ein Rücksetzen auf einen demgegenüber kleineren Startwert R' < R vorgesehen sein, insbesondere dann, wenn während des folgenden Fahrzyklus erneut ein Systemfehler erkannt wird. Durch einen solchen, insbesondere für Ausnahmefälle oder Notsituationen vorgesehenen autorisierten

Serviceeingriff kann auch ein Zurücksetzen des Fehlerbits auf Null erlaubt werden.

Solche Serviceeingriffe sind bevorzugt hierfür autorisiertem Servicepersonal vorbehalten.

Hat im Fahrzyklus F = n+m+1 die Missbrauchskennzahl k _x den für eine Missbrauchserkennung kritischen Grenzwert bereits erreicht bzw. überschritten, so ist vorzugsweise vorgesehen, ein Rücksetzen der Reststarts lediglich auf einen gegenüber R verringerten Startwert R' < R oder durch einen weiter verringerten Startwert R" < R' durch einen insbesondere autorisierten Serviceeingriff in die Diagnoseeinheit zu erlauben. Dies ist vorzugsweise auch dann vorgesehen, wenn vor einem auf Null dekrementierten

Reststartwert zwar eine Fehlerbehebung erkannt und das Fehlerbit B zurückgesetzt wird, jedoch die Missbrauchskennzahl k _x den kritischen Grenzwert bereits erreicht bzw.

überschritten hat.

Wird bei aktivierten Restriktionsbetriebsmodus vor einem auf Null dekrementierten Reststartwert eine Fehlerbehebung erkannt und gegebenenfalls das Fehlerbit B zurückgesetzt und hat die Missbrauchskennzahl k _x den kritischen Grenzwert nicht erreicht bzw. überschritten, so ist vorgesehen, den Reststartwert auf den Startwert R und das Modusbit M zurückzusetzen. Dabei ist bevorzugt vorgesehen, die IVlissbrauchskennzahl k _x nicht zurückzusetzen sondern fortzuschreiben, um nachfolgende Statusänderungen unter Berücksichtigung der Historie zuverlässiger beurteilen zu können.

Es versteht sich, dass der Speicher noch weitere Speicherstellen für weitere Statusinformationen aufweisen kann, was hier nicht gesondert aufgeführt ist. Insbesondere können Speicherzellen für Statusinformationen in Bezug auf eine Gültig-Wertung des aktuellen Fahrzyklus und/oder einer vorgenommenen Systemprüfung usw. vorgesehen sein. Diese können ebenfalls für die Missbrauchsabschätzung und zur Ermittlung der Missbrauchskennzahl k _x herangezogen werden.

Es versteht sich weiter, dass bei einem autorisierten Service infolge eines auf Null dekrementierten Reststartwerts eine Analyse von Systemkomponenten in Bezug auf tatsächliche Fehlfunktionen mit einer technischen Ursache erfolgt. Wird eine technische Fehlerursache festgestellt, so wird im Zuge des autorisierten Servicevorgangs

vorzugsweise auch ein Reset der Diagnoseeinträge durchgeführt, welche für die

Missbrauchsabschätzung herangezogen werden. Dabei erfolgt bevorzugt auch ein Reset der Missbrauchskennzahl k _x .