Login| Sign Up| Help| Contact|

Patent Searching and Data


Title:
METHOD FOR PREVENTING MALFUNCTIONS IN A SIGNAL PROCESSING SYSTEM, AND A PROCESSOR SYSTEM
Document Type and Number:
WIPO Patent Application WO/2001/053897
Kind Code:
A1
Abstract:
The invention relates to a method for preventing malfunctions in a signal processing system according to which a sequence of initial values (w) are read-in by an arithmetic unit (P1; P2; P3). An additional separate trend value logic unit (4) determines a trend value (T) from the initial values (w). An output value (y) and a trend value (T) are formed by the arithmetic unit (P1; P2; P3). If the trend values (T) determined by the arithmetic unit (P1; P2; P3) and by the trend value logic unit (4) coincide, the output value (y) is output. The invention also relates to a processor system which is used for carrying out such a method and which comprises at least one arithmetic unit (P1; P2; P3), one comparison device (3; 5) and one trend value logic unit (4).

Inventors:
KUCERA MARKUS (DE)
DOERICHT MICHAEL (DE)
Application Number:
PCT/DE2001/000074
Publication Date:
July 26, 2001
Filing Date:
January 10, 2001
Export Citation:
Click for automatic bibliography generation   Help
Assignee:
SIEMENS AG (DE)
KUCERA MARKUS (DE)
DOERICHT MICHAEL (DE)
International Classes:
G05B9/03; G05B19/042; (IPC1-7): G05B9/03
Foreign References:
US4641517A1987-02-10
Other References:
GUDEA D D ET AL: "FAULT TOLERANT POWER CONTROLLER", PROCEEDINGS OF THE INTERSOCIETY ENERGY CONVERSION ENGINEERING CONFERENCE. (IECEC),US,NEW YORK, IEEE, vol. CONF. 24, 6 August 1989 (1989-08-06), pages 231 - 237, XP000078771
Attorney, Agent or Firm:
SIEMENS AKTIENGESELLSCHAFT (Postfach 22 16 34 München, DE)
Download PDF:
Claims:
Patentansprüche
1. Verfahren zur Verhinderung von Fehlfunktionen in einem signalverarbeitenden System mit den Schritten : eine Abfolge von Startwerten (w) wird von einer Rechenein heit (Pl ; P2 ; P3) eingelesen, eine zusätzliche, separate TrendwertLogik (4) bestimmt aus den Startwerten (w) einen Trendwert (T), der Auskunft gibt, ob sich der Startwert (w) verändert hat, aus denselben Startwerten (w) wird von der Recheneinheit (Pl ; P2 ; P3) ein Ausgabewert (y) und ein Trendwert (T) ge bildet, die von der Recheneinheit (P1 ; P2 ; P3) und die von der TrendwertLogik (4) bestimmten Trendwerte (T) werden mit einander verglichen, wenn die von der Recheneinheit (Pl ; P2 ; P3) und die von der TrendwertLogik (4) bestimmten Trendwerte (T) übereinstim men, wird der Ausgabewert (y) ausgegeben.
2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Recheneinheit den Trendwert (T) auf Grundlage des Ausga bewerts (y) bildet.
3. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die von der TrendwertLogik (4) und der Recheneinheit (P1 ; P2 ; P3) bestimmten Trendwerte (T) von einer Vergleichsein richtung (5) verglichen werden, dass die Vergleichseinrich tung (5) bei Übereinstimmung der Trendwerte (T) den Ausgabe wert (y) freigibt, und dass die Vergleichseinrichtung (5) an schließend eine Ausgabe des Ausgabewerts (y) sperrt.
4. Verfahren nach einem der vorhergehenden Anspruche, dadurch gekennzeichnet, dass mehrere Signalquellen Startwerte (w) liefern, und dass fur jede Signalquelle ein eigener Trendwert (T) gebildet wird.
5. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass mehrere Signalquellen Startwerte (w) liefern, und dass fur wenigstens zwei Signalquellen ein gemeinsamer Trendwert (T) gebildet wird.
6. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass von einer Recheneinheit (P1 ; P2 ; P3) der Ausgabewert (y) und der Trendwert (T) an ein Steuergerät (6) ausgegeben werden, dass das Steuergerät (6) aus dem Ausgabe wert (y) eine Stellgröße (y'') und einen Trendwert (T') bil det, dass der Trendwert (T) mit dem Trendwert (T') verglichen wird, und dass das Steuergerät (6) die Stellgröße (y'') aus gibt, wenn die Trendwerte (T ; T') identisch sind.
7. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass von der Recheneinheit (P1) der Startwert (w) durch eine Steuerungsfunktion in einen Ausgabewert (y) umgesetzt wird, dieser Ausgabewert (y) auf die Einhaltung von Systembedin gungen untersucht wird, bei einem VerstoU gegen eine Systembedingungen, eine Rege lung durchgeführt wird, so dass ein modifizierter Ausgabe wert zur Einhaltung der Systembedingungen führt, der modifizierte Ausgabewert mit dem modifizierten Ausgabe wert einer redundanten Recheneinheit (P2) verglichen wird, und der modifizierte Ausgabewert ausgegeben wird, wenn die Er gebnisse beider Recheneinheiten (Pl ; P2) identisch sind.
8. Verfahren nach dem vorhergehenden Anspruch, dadurch ge kennzeichnet, dass der durch eine Steuerungsfunktion ermit telte Ausgabewert (y), trotz des Verstoßes gegen eine System bedingung, von einer der Recheneinheiten (Pl ; P2) ausgegeben wird, wenn die modifizierten Ausgabewerte ungleich sind und die Trendwerte (T) der TrendLogik (4) und der zugehörigen Recheneinheit (PI ; P2) übereinstimmen.
9. Prozessorsystem, das aufweist : wenigstens eine Recheneinheit (Pl ; P2 ; P3), die aus aufein ander folgenden Startwerten (w) einen Ausgabewert (y) und einen Trendwert (T) bestimmt, eine TrendwertLogik (4) zur Bildung eines Trendwerts (T) aus aufeinanderfolgenden Startwerten (w), eine mit der TrendwertLogik (4) und der Recheneinheit (Pl ; P2 ; P3) verbundene Vergleichseinrichtung (3 ; 5) zum Ver gleichen der Trendwerte (T) der Recheneinheit (P1 ; P2 ; P3) und der TrendwertLogik (4).
10. Prozessorsystem nach dem vorhergehenden Anspruch, dadurch gekennzeichnet, dass eine Mehrzahl von Recheneinheiten (Pl ; P2 ; P3) mit einem Steuergerät (6) verbunden ist, dass das Steuergerät (6) über eine Vergleichseinrichtung (5) mit einem Aktor (7) verbunden ist, und dass die Vergleichseinrichtung (5) ebenfalls mit der Mehrzahl von Recheneinheiten (Pl ; P2 ; P3) verbunden ist.
Description:
Beschreibung Verfahren zur Verhinderung von Fehlfunktionen in einem sig- nalverarbeitenden System und Prozessorsystem Die Erfindung betrifft ein Verfahren zur Verhinderung von Fehlfunktionen in einem signalverarbeitendes System und ein Prozessorsystem, in dem Fehlfunktionen verhindert werden, insbesondere fur Kraftfahrzeuge.

Insbesondere bei sicherheitstechnischen Anwendungen in Kraft- fahrzeugen, beispielsweise bei einem elektromechanischen Bremssystem (brake by wire) oder einer elektromechanischen Lenkung (steer by wire) müssen Fehlfunktionen zuverlässig ausgeschlossen werden, und das Funktionieren des Systems muss gewährleistet bleiben.

Es ist bekannt mehrere Prozessoren redundante Berechnungen durchführen zu lassen, um bei Abweichungen zwischen den Re- chenergebnissen auf eine Fehlfunktion zu schließen und eine Ausgabe von fehlerhaften Rechenergebnissen zu verhindern. Um N fehlerhafte Ausgabewerte tolerieren zu können, sind 2*N+1 Prozessoren nötig.

Es ist das Ziel der Erfindung ein Verfahren zur Verhinderung von Fehlfunktionen in einem signalverarbeitenden System und ein Prozessorsystem bereitzustellen, die auf einfache Weise eine Fehlfunktion unterbinden.

Dieses Ziel wird mit einem Verfahren und einem Prozessorsys- tem erreicht, wie sie in den unabhängigen Patentansprüchen definiert sind. Vorteilhafte Weiterbildungen der Erfindung sind Gegenstand der Unteransprüche.

Da die Recheneinheit mit der sequentiellen Abfolge von Start- werten nicht nur Ausgabewerte, sondern auch Trendwerte bil- det, genügt eine einfache, separat ausgeführte Logikeinheit

oder Trendwert-Logik, um ausgehend von denselben Startwerten korrespondierende Trendwerte zu bilden. Vorzugsweise bildet die Recheneinheit den Trendwert aus aufeinanderfolgenden Aus- gabewerten. Aus dem Vergleich zwischen den Trendwerten der Trendwert-Logik und der Recheneinheit kann auf die Funktions- fähigkeit des Systems geschlossen werden. Sind die Trendwerte unterschiedlich liegt eine Fehlfunktion vor. Andern sie sich über eine vorbestimmte Zeitspanne nicht mehr, so kann eine Fehlfunktion vorliegen. Letzteres kann beispielsweise mittels eines periodischen Testimpuls überprüft werden. Bei einer Fehlfunktion wird die Ausgabe des von der Recheneinheit ge- bildeten Ausgabewerts unterbunden.

Auf diese Weise wird verhindert, dass aufgrund der Fehlfunk- tion einer Recheneinheit beispielsweise eine Vollbremsung bei einer elektromechanischen Bremse oder ein Lenkeinschlag bei einer elektromechanischen Lenkung ausgelöst wird.

Von einer Recheneinheit erzeugte, unkritische systematische Fehler, die beispielsweise auf Fehlern der Software beruhen und lediglich zu geringfügigen Abweichungen vom optimalen bzw. gewünschten Ausgabewert führen, werden toleriert und be- eintrâchtigen die Funktionsfähigkeit des Systems nicht in si- cherheitsrelevanter Weise. Kritische Fehler werden durch die diversitäre, also auf unterschiedliche Weise erfolgende Uber- prüfung erkannt. Die diversitare Überprüfung wird vorzugswei- se sowohl durch unterschiedliche Arten von Uberprufungsein- heiten, die Trendwerte bilden, als auch durch unterschiedli- che Uberprùfungsmethoden erreicht, mit denen Trendwerte ge- bildet werden.

Weist das Prozessorsystem wenigstens eine zusätzliche, redun- dante Recheneinheit mit einer Trendwert-Logik auf, so kann bei unterschiedlichen Ausgabewerten der Recheneinheiten auf- grund der Trendwerte festgestellt werden, welche Rechenein- heit das korrekte Ergebnis liefert. Eine dritte Recheneinheit zur Bildung einer Mehrheitsentscheidung ist nicht nötig.

Um eine Weitergabe des Ausgabewerts zuverlässig zu unterbin- den, fällt die Vergleichseinrichtung in einer vorteilhaften Ausführungsform in einen inaktiven Zustand zurück, nachdem er den Ausgabewert freigegeben hat, so dass keine permanente Ausgabe des letzten Wertes (Hangen bleiben) erfolgen kann.

Liefern mehrere Signalquellen Startwerte, so kann entweder fur jede Signalquelle ein eigener Trendwert oder fur mehrere Signalquellen ein gemeinsamer Trendwert gebildet werden.

Vorzugsweise können in einer Recheneinheit wenigstens eine Basisfunktion und wenigstens eine höhere Funktion ausgeführt werden. Bei einer Basisfunktion handelt es sich um eine Steu- erungsfunktion, die einen Startwert unmittelbar in einen Aus- gabewert umsetzt, beispielsweise in eine Stellgröße fur einen Elektromotor einer elektromechanischen Bremse. Verstößt der Ausgabewert gegen eine Systembedingung, beispielsweise wenn der Ausgabewert ein Blockieren eines Rads verursachen würde oder verursacht hat, so erfolgt ein regelnder Eingriff durch eine höhere Funktion.

Die höhere Funktion ermittelt einen modifizierten Ausgabe- wert, der aus Sicherheitsgründen einer Überprüfung durch eine redundante Recheneinheit bedarf. Ermitteln die Recheneinhei- ten unterschiedliche modifizierte Ausgabewerte, so liegt eine Fehlfunktion vor. Deren Ursache kann der Defekt einer der beiden Recheneinheiten sein. In diesem Fall unterbleibt eine Ausgabe des modifizierten Ausgabewerts. Statt dessen wird der von der Basisfunktion ermittelte Ausgabewert verwendet, so- fern eine erfolgreiche Validierung über den beschriebenen Vergleich der Trendwerte stattgefunden hat. Auch bei einer Fehlfunktion einer von zwei Recheneinheiten wird das Ergebnis bzw. der Ausgabewert der funktionierenden Recheneinheit durchgeschaltet. Dadurch wird vermieden, dass eine Fehlfunk- tion zum Totalausfall des Systems führt.

Weitere Vorteile, Merkmale und Anwendungsmöglichkeiten der Erfindung ergeben sich aus der Beschreibung eines Ausfüh- rungsbeispiels in Verbindung mit den Zeichnungen. Es zeigen : Figur 1 ein Mehrprozessorsystem mit drei Recheneinheiten, Figur 2 ein Flussdiagramm, Figur 3 ein Steuergerat, das einen Aktor steuert, und Figur 4 einen Komparator, der von einem Steuergerät alle zu vergleichende Signale erhält..

Figur 1 veranschaulicht die Zentralsteuerung oder den Zent- ralrechner eines elektromechanischen Bremssystems (brake by wire). Ein Schreib-Lese-Speicher 1 stellt fur drei Rechenein- heiten P1, P2 und P3 des Mehrprozessorsystems identische Startwerte w bereit. Als Eingangssignale werden dem Speicher digitalisierte Signale mindestens eines Sensors zugeführt, der die Stellung eines Bremspedals oder die auf das Bremspe- dal wirkende Kraft in einem Kraftfahrzeug misst.

Die Mikroprozessoren oder Recheneinheiten Pl, P2, P3 weisen nicht dargestellte, separate Taktgeber oder Zeitbasen auf.

Dadurch treten gewisse zeitliche Unterschiede beim Zugriff auf den Speicher 1 auf. Um dennoch die Konsistenz der sich verändernden Startwerte w zu gewährleisten, wird auf den Zugriff einer der Recheneinheiten P1, P2, P3 hin ein Uber- schreiben des Inhalts des Speichers 1 fur einen vorbestimmten Zeitraum unterbunden. Der vorbestimmte Zeitraum entspricht der erwartbaren Differenz der Zeitbasen der Recheneinheiten.

Die Recheneinheiten sind über einen Systembus 2 mit mehreren Steuergeräten verbindbar, die jeweils einen Aktor steuern.

Die Recheneinheiten P1 und P2 führen sowohl höhere Funktionen als auch Basisfunktionen aus. Bei den Basisfunktionen handelt

es sich um Steuerfunktionen zur Umsetzung einer Führungsgröße oder eines Startwerts w in eine Stellgröße oder Ausgabewert y fur die Betätigung eines Aktors, um Funktionen zur Plausibi- lisierung eines Start-oder Ausgabewerts und um Funktionen zur Generierung eines Ersatzwerts im Falle von nicht plausib- len Start-oder Eingangswerten.

Die höheren Funktionen stellen an Hand eines Modells fest, ob ein vom Fahrerwunsch unabhängiger Eingriff zur Stabilisierung des Fahrzeugs notwendig ist, um ein Blockieren eines Rads o- der das Schleudern des Fahrzeugs zu verhindern. Es wird also geprüft, ob ein VerstoU gegen Systembedingungen einen automa- tischen Eingriff in Fahrzeugsysteme erfordert. Um eine effek- tive Regelung durchführen zu können, sind die Recheneinheiten Pl und P2 mit nicht dargestellten Radsensoren verbunden.

Die Recheneinheiten Pl und P2 sind beide mit einer gemeinsa- men Vergleichseinheit oder Komparator 3 verbunden. Dieser Komparator ermittelt, ob beim Durchführen höherer Funktionen die Ergebnisse identisch sind. Nur in diesem Fall darf ein Ausgabewert y von den Recheneinheiten an das Steuergerät des Aktors ausgegeben werden. Dieser Komparator 3 mit sogenannten Fail-Safe-Eigenschaften kann aus Schieberegistern und einer XOR-Logik aufgebaut werden. Die zu vergleichenden Werte wer- den so ergänzt, dass sie sich zumindest an einer Stelle un- terscheiden. Somit kann die Funktionsfähigkeit der XOR-Logik überprüft werden, und mittels eines Relais kann verhindert werden, dass der Komparator in einem unerwünschten Zustand hangen bleibt.

Falls kein Eingriff durch eine höhere Funktion erforderlich ist, wird der Ausgabewert y lediglich von einer Basisfunktion berechnet. Zusätzlich wird aus dem Ausgabewert y ein Trend- wert T berechnet. Der Ausgabewert y und der Trendwert T kan- nen zu einem Ausgabesignal y'zusammengefasst werden. Dieser Trendwert T wird durch eine Vergleichseinheit oder einen Kom- parator 5 mit einem Trendwert T verglichen, der mit einer se-

paraten, diskret ausgeführten Trendwert-Logik 4 erzeugt ist.

Die Trendwert-Logik 4 kann beispielsweise mit einem Schiebe- register, einem Latch-Register oder einer ALU gebildet sein.

Der Komparator 5 ist genau wie der Komparator 3 aufgebaut.

Der Komparator 5 schaltet den Ausgabewert oder das Ausgabe- signal y'mittels eines Halbleiterbauelements oder eines Re- lais auf den Systembus 2 durch, wenn die Trendwerte der Trendwert-Logik 4 und der zugehörigen Recheneinheit identisch sind.

Jede Recheneinheit Pl bis P3 stellt zusammen mit der zugeht- rigen Trendwert-Logik 4 und dem zugehörigen Komparator 5 ei- nen Datenpfad zwischen dem Speicher 1 und dem Bus 2 dar. Min- destens zwei solcher Datenpfade bilden einen Datenkanal be- zugleich des Startwerts w oder des Eingangssignals. Jeder Da- tenkanal hat die Eigenschaft, die Weitergabe eines fehlerhaf- ten Ausgabewerts y zu unterbinden und somit Fehlfunktionen zu vermeiden.

Jeder Datenpfad gibt entweder korrekte oder keine Daten bzw.

Ausgabewerte aus (Fail-Silence-Eigenschaft). Durch die redun- dante Ausführung der Pfade zwischen dem Startwert w oder dem Eingangssignal und dem Ausgang des Kanals, also dem Bus 2, bleibt die Funktionsfähigkeit des Systems auch beim Auftreten von Fehlern gewährleistet (Fault-Tolerance-Eigenschaft).

Die Recheneinheit P3 führt nur Basisfunktionen aus. Ihre Aus- gabewerte y werden benotigt, wenn die beiden Recheneinheiten P1 und P2 keine gültigen Ausgabewerte y liefern.

Alle validierten Ausgabewerte y der Recheneinheiten Pl bis P3 werden auf den Bus 2 gelegt.

Weitere derart ausgestaltete Datenkanäle können fur zusatzli- che Eingangs-oder Startwerte zur Verfügung stehen, bei- spielsweise fur die auf ein Bremspedal ausgeübte Kraft.

Figur 2 veranschaulicht den Ablauf des Verfahrens in dem Da- tenkanal, wobei allerdings nur die Pfade mit den Rechenein- heiten P1 und P2 von Figur 1 betrachtet werden.

In Schritt 1 werden fur die Recheneinheiten einheitliche Startwerte zur Verfügung gestellt. In Schritt 2 wird von den zwei redundanten Recheneinheiten Pl und P2 geprüft, ob die Umsetzung des Startwerts zu einer Verletzung von Systembedin- gungen führen würde.

Falls dies der Fall ist, so wird in Schritt 3 von den beiden Recheneinheiten jeweils ein von höheren Funktionen modifi- zierter Ausgabewert berechnet. Die Ausgabewerte werden in Schritt 4 miteinander verglichen. Falls sie identisch sind, wird dem Ausgabewert eine Kennung hinzugefügt. Hierfür steht eine Breite von zwei Bit des auszugebenden Signals (Ausgabe- signal) zur Verfugung. Anschließend wird der Ausgabewert w und die Kennung, also das Ausgabesignal y', in Schritt 5 un- ter den nachfolgend erläuterten Bedingungen auf den Systembus 2 ausgegeben.

In Schritt 6 wird jeweils ein Ausgabewert durch unmittelbare Umsetzung des Startwerts mittels einer Steuerungsfunktion (Basisfunktion) ermittelt. Ferner wird in Schritt 6 von den redundanten Recheneinheiten jeweils ein Trendwert aus zwei aufeinanderfolgenden Ausgabewerten gebildet. Dieser Trendwert wird dem berechneten Ausgabewert hinzugefügt und belegt zwei Bit des auszugebenden Signals (Ausgabesignal). In den zwei Bit ist statt der Kennung von Schritt 4 kodiert, ob der Wert des Ausgabewerts gegenüber dem vorhergehenden Ausgabewert un- verandert, größer oder kleiner ist.

Dem Ausgabewert wird daher ein Signal mit einer Breite von zwei Bit hinzu gefügt, das entweder einen Trendwert oder eine Kennung fur eine höhere Funktion enthalt.

Im Schritt 7 wird parallel hierzu von einer Trendwert-Logik in gleicher Weise ein Trendwert fur aufeinanderfolgende Startwerte gebildet. Dieser Trendwert wird ebenfalls durch zwei Bit ausgedrückt.

In Schritt 8 werden die in Schritt 7 und in Schritt 6 gebil- deten Trendwerte miteinander verglichen. Die Berechnung der Trendwerte durch die Trendwertlogiken und die Recheneinheiten hat jeweils zumindest mittelbar denselben Startwert als Grundlage, da in Schritt 6 zur (unmittelbaren) Trendwertbil- dung die zu Ausgabewerten veränderten Startwerte herangezogen werden. Ergibt der Vergleich der Trendwerte Ubereinstimmung, so wird der in Schritt 6 ermittelte Ausgabewert in Schritt 5 auf den Bus ausgegeben, sofern von den höheren Funktionen in den Schritten 3 und 4 kein gûltiger Ausgabewert mit hinzuge- fugter Kennung bereitgestellt wurde. Andernfalls wird der mit der Kennung versehene Ausgabewert der höheren Funktionen auf den Systembus ausgegeben. Dies unterbleibt allerdings, wenn der Vergleich der Trendwerte keine Übereinstimmung ergeben hat.

Falls in den beiden parallelen Schritten 8 beide Ausgabewerte (generiert von den Basisfunktionen oder von den höheren Funk- tionen) auf die beschriebene Weise validiert worden sind, werden beide ausgegeben.

Figur 3 veranschaulicht ein Prozessorsystem mit einem Steuer- gerät 6, das einen Aktor 7 in Form eines Elektromotors einer elektromechanischen Bremse steuert. Der Bus 2 verbindet das Prozessorsystem von Figur 3 über einen nicht dargestellten Bus-Kontroller mit dem in Figur 1 dargestellten Mehrprozes- sorsystem. Beide Prozessorsysteme können daher als ein ver- teiltes System aufgefasst werden.

Das Steuergerät 6 empfängt vom Bus 2 jeweils die Ausgabesig- nale y der Recheneinheiten P1 bis P3 von Figur 1. Es bildet aus den in den Ausgabesignalen y enthaltenen Ausgabewerten

der Recheneinheiten einen Mittelwert. Zur Mittelwertbildung werden allerdings nur Ausgabesignale mit übereinstimmenden Trendwerten herangezogen. Aus dem Mittelwert bestimmt das Steuergerät eine Stellgröße y"und gibt diese an den Aktor 7 aus. Die Stellgröße y"kann identisch mit einem im Ausgabe- signal y enthaltenen Ausgabewert y sein. Zusätzlich bestimmt das Steuergerät 6 aus der Stellgröße y''in der in Zusammen- hang mit Figur 2 beschriebenen Weise einen Trendwert T'.

Der Komparator 5 vergleicht den vom Steuergerät 6 aufgrund der Stellgröße y''gebildeten Trendwert T'mit den in den Ausgabesignalen y'enthaltenen Trendwerten. Hierzu wird durch eine Mehrheitsentscheidung ein eindeutiger bzw. einheitlicher Trendwert gebildet. Stimmen die Trendwerte überein, so er- folgt eine Ausgabe der Stellgröße y''auf den Aktor 7. An- dernfalls wird eine Ausgabe unterbunden. Alternativ kann die Ausgabe auch unter der Bedingung unterbunden werden, dass mehrere aufeinanderfolgende Vergleiche von Trendwerten eine Ungleichheit erbrachten.

Falls im Ausgabesignal y'von wenigstens zwei Recheneinheiten kein Trendwert, sondern eine Kennung fur eine höhere Funktion enthalten ist, erfolgt kein Vergleich durch den Komparator 5.

Die Stellgröße y''wird in diesem Fall ohne Prüfung an den Aktor 7 ausgegeben.

In der in Figur 4 veranschaulichten Ausführungsform ist im Steuergerät 6 ein Bus-Kontroller integriert. Um einen eigenen Bus-Kontroller fur den Komparator 5 zu sparen, kann der un- mittelbar im Ausgabesignal y enthaltene Trendwert vom Steu- ergerât 6 fur den Komparator in der oben beschriebenen Weise bereitgestellt werden. Der Komparator 5 erhält daher beide zu vergleichende Signale vom Steuergerät, d. h., den vom Steuer- gerät 6 auf Grundlage des Ausgabesignals y'gebildeten Trend- wert T und den auf Grundlage der Stellgröße y''gebildeten Trendwerts T'.