Die Erfindung betrifft eine Sensorvorrichtung zum Ermitteln einer Größe, mit Hardware und darauf implementierter Software.

Die DE 10 2016 004 466 A1 offenbart eine Sensorvorrichtung in Form eines Neigungsgebers zur Erfassung eines Neigungswinkels eines Armseg- ments einer Arbeitsmaschine.

Der Erfindung liegt die Aufgabe zugrunde, eine Sensorvorrichtung bereitzustellen, die einfach und kostengünstig an ihre jeweiligen Einsatzbedingungen anpassbar ist.

Eine dahingehende Aufgabe löst eine erfindungsgemäße Sensorvorrichtung mit den Merkmalen des Patentanspruchs 1 in seiner Gesamtheit.

In erfindungsgemäßer Weise ist zunächst erkannt worden, dass die Hard- und Software einer für sicherheitskritische Anwendungen eingesetzten Sensorvorrichtung, bei denen die Sensorvorrichtung erhöhte Sicherheitsanforderungen in Form von Sicherheitsnormen, wie beispielsweise DIN EN 61508 oder DIN EN ISO 13849, zu erfüllen hat, insgesamt einer entsprechenden Zertifizierung durch eine Zertifizierungsorganisation, beispielsweise durch den TÜV, zu unterziehen ist, die kosten- und zeitaufwändig ist. Werden nach der dahingehenden Zertifizierung Änderungen an der Hard- und Software der Sensorvorrichtung durchgeführt, beispielsweise aufgrund einer Anpassung der Soft- und/oder Hardware der Sensorvorrichtung an ihre jeweiligen Einsatzbedingungen, erlischt die bereits erfolgte Zertifizierung und es ist mit einem erneuten Kosten- und Zeitaufwand eine Rezer- tifizierung der gesamten Sensorvorrichtung durchzuführen.

In erfindungsgemäßer Weise ist weiterhin erkannt worden, dass eine Sensorvorrichtung hinsichtlich ihrer Software in einen sicherheitskritischen und einen sicherheitsunkritischen Teil unterteilbar ist.

Diese erfindungsgemäßen Erkenntnisse fließen in die Merkmale des Patentanspruchs 1 in seiner Gesamtheit ein, gemäß dessen kennzeichnenden Teil sich die erfindungsgemäße Sensorvorrichtung dadurch auszeichnet, dass die Software der Sensorvorrichtung in einen unzertifizierten Teil und einen aufgrund von Sicherheitsanforderungen zertifizierten Teil unterteilt ist, die hinsichtlich ihrer jeweiligen Software getrennt voneinander ausgebildet sind und jeweils zumindest eine Recheneinheit aufweisen, die miteinander kommunizierend verbunden sind.

Durch eine derartige Unterteilung der Software der Sensorvorrichtung ist lediglich ein sicherheitskritischer Teil der Software der Sensorvorrichtung vor deren Erstinbetriebnahme und gegebenenfalls nach einer Änderung dieser bereits zertifizierten Software zu zertifizieren, wohingegen ein weiterer sicherheitsunkritischer Teil der Software der Sensorvorrichtung nicht zertifiziert werden muss. Hierdurch ist der Kosten- und Zeitaufwand für eine Zertifizierung der Sensorvorrichtung reduziert. Darüber hinaus kann in dem zu zertifizierenden bzw. zertifizierten Teil Software vorgesehen werden, die auf jegliche Einsatzbedingungen der Sensorvorrichtung anwendbar ist, wohingegen in dem nicht zu zertifizierenden bzw. unzertifizierten Teil Software vorsehbar ist, die an die jeweiligen Einsatzbedingungen der Sensorvorrichtung angepasst werden kann oder anzupassen ist. Bei entsprechender Unterteilung der Software der Sensorvorrichtung ist lediglich der sicherheitskritische Teil der Software der Sensorvorrichtung vor deren Erstinbetriebnahme einmal zu zertifizieren und für eine Anpassung der Sensorvorrichtung an ihre jeweiligen Einsatzbedingungen die Sensorvorrichtung nicht ein weiteres Mal zu rezertifizieren, selbst wenn der unzertifizierte Teil dafür geändert worden ist. Hierdurch ist der Kosten- und Zeitaufwand für eine Zertifizierung der Sensorvorrichtung weiterhin stark reduziert und zudem ist die Sensorvorrichtung einfach, schnell und kostengünstig an ihre jeweiligen Einsatzbedingungen in einem System anpassbar, in dem die Sensorvorrichtung eingesetzt ist.

Bei einem besonders bevorzugten Ausführungsbeispiel ist vorgesehen, dass an zumindest eine der Recheneinheiten, insbesondere nur an die Recheneinheit des zertifizierten Teils, zumindest eine Sensoreinrichtung zum Erfassen von Zustandswerten angeschlossen ist und dass die Sensorvorrichtung derart eingerichtet ist, dass in Abhängigkeit der Zustandswerte zumindest einer Sensoreinrichtung von jeder Recheneinheit unabhängig voneinander jeweils die Größe bestimmbar ist und dass sich die Prozesse der Recheneinheiten zur Bestimmung der Größe voneinander unterscheiden. Somit wird die Größe einerseits von der Recheneinheit des zertifizierten Teils auf eine Art und Weise und andererseits von der Recheneinheit des unzertifizierten Teils auf eine andere Art und Weise bestimmt. Die Zustandswerte der jeweiligen Sensoreinrichtung basieren auf den erfassten Messwerten.

Bei einem weiteren bevorzugten Ausführungsbeispiel ist vorgesehen, dass zur Bestimmung der Größe durch die Recheneinheit des zertifizierten Teils die Zustandswerte nur einer Sensoreinrichtung und zur Bestimmung der Größe durch die Recheneinheit des unzertifizierten Teils zusätzlich die Zustandswerte mindestens einer weiteren Sensoreinrichtung verwendet werden können. Aufgrund der Bestimmung der Größe durch die Recheneinheit des unzertifizierten Teils in Abhängigkeit von Zustandswerten mindestens einer Sensoreinrichtung sind im Gegensatz zur Verwendung von Zustandswerten lediglich einer Sensoreinrichtung auf die jeweilige Sensoreinrichtung einwirkende Störgrößen zumindest teilweise herausrechenbar.

Bei einem weiteren bevorzugten Ausführungsbeispiel ist vorgesehen, dass die auf der Recheneinheit des unzertifizierten Teils implementierte Software derart eingerichtet ist, dass diese unter Durchführen einer Fusion der von zumindest zwei Sensoreinrichtungen erfassten Zustandswerte die Größe berechnen kann. Bei der dahingehenden Software kann es sich um einen aus dem Stand der Technik bekannten Algorithmus zur multisensoriellen Datenfusion handeln, wie beispielsweise um ein (Extended) Kaimanfilter oder Komplementärfilter.

Bei einem weiteren bevorzugten Ausführungsbeispiel ist vorgesehen, dass der zertifizierte Teil in einem Zustand zertifiziert ist, in dem zumindest ein leeres Datenfeld des zertifizierten Teils zum Ablegen von Konfigurationsdaten der Recheneinheit des unzertifizierten Teils vorgesehen ist. Dadurch kann das leere Datenfeld nach der Zertifizierung des zertifizierten Teils mit Daten gefüllt werden, ohne dass der bereits zertifizierte Teil so geändert wird, dass eine Rezertifizierung dessen notwendig ist.

Bei einem weiteren bevorzugten Ausführungsbeispiel ist vorgesehen, dass die Größe ein auf eine Referenzfläche bezogener Neigungswinkel der Sensorvorrichtung ist. Vorzugsweise ist dabei vorgesehen, dass jeweils als Sensoreinrichtung zum Erfassen von Zustandswerten zumindest ein Mitglied der Gruppe Beschleunigungssensor (Accelerometer), Drehratensensor (Gyroskop) und Magnetometer vorgesehen ist. Besonders bevorzugt erfolgt die Bestimmung der Größe durch die Recheneinheit des zertifizierten Teils nur unter Verwendung der Zustandswerte eines Beschleunigungssensors und die Bestimmung der Größe durch die Recheneinheit des unzertifizierten Teils unter Verwendung der Zustandswerte des Beschleunigungssensors, eines Drehratensensors und gegebenenfalls eines Magnetometers.

Bei einem weiteren bevorzugten Ausführungsbeispiel ist vorgesehen, dass zumindest die Recheneinheit des zertifizierten Teils, bevorzugt beide Recheneinheiten, eine Speichereinrichtung aufweist oder mit einer Speichereinrichtung dieses Teils verbunden ist. Die jeweilige Speichereinrichtung kann zumindest ein Datenfeld aufweisen.

Bei einem weiteren bevorzugten Ausführungsbeispiel ist vorgesehen, dass die jeweilige Recheneinheit als Mikrocontroller ausgebildet ist.

Bei einem weiteren bevorzugten Ausführungsbeispiel ist vorgesehen, dass zumindest eine Recheneinheit, insbesondere nur die Recheneinheit des zertifizierten Teils, eine Schnittstelle zum Anschluss an ein Feldbussystem aufweist.

Gegenstand der Erfindung ist zudem eine Arbeitsmaschine, insbesondere eine Baumaschine, wie beispielsweise ein Radlader, ein Mobilbagger oder eine Autobetonpumpe, mit mindestens einer bewegbaren Komponente und mindestens einer Steuerung und/oder einer Anzeige. An der bewegbaren Komponente ist mittelbar oder unmittelbar eine voranstehend genannte Sensorvorrichtung angeordnet, die derart eingerichtet ist, dass diese den Neigungswinkel der Komponente in Bezug auf eine Referenzfläche bestimmt und über eine Verbindung an die Steuerung und/oder Anzeige weiterleitet. Die Referenzfläche kann der Erdoberfläche entsprechen. Ein vorgebbares Bezugssystem kann die Erde sein. Gegenstand der Erfindung ist des Weiteren ein Verfahren zum Anpassen einer voranstehend genannten Sensorvorrichtung an ihre jeweiligen Einsatzbedingungen, mit den folgenden Verfahrensschritten: Bereitstellen eines für jegliche Einsatzbedingungen bereits zertifizierten Teils der Sensorvorrichtung; und Anpassen der Software des unzertifizierten Teils an die jeweiligen Einsatzbedingungen der Sensorvorrichtung ohne zu rezertifizierende Änderung der Software des bereits zertifizierten Teils der Sensorvorrichtung.

Bei einem besonders bevorzugten Ausführungsbeispiel ist vorgesehen, dass die Software des unzertifizierten Teils angepasst wird durch: Ablegen von Konfigurationsdaten für die Recheneinheit des unzertifizierten Teils in einem jeweiligen leeren Datenfeld des bereits zertifizierten Teils; Übermitteln der Konfigurationsdaten von der Recheneinheit des zertifizierten Teils an die Recheneinheit des unzertifizierten Teils; und Anpassen der Software des unzertifizierten Teils an die jeweiligen Einsatzbedingungen der Sensorvorrichtung. Bei einem besonders bevorzugten Ausführungsbeispiel ist vorgesehen, dass die Software des unzertifizierten Teils angepasst wird durch deren Aktualisierung. Dadurch kann jeweils sichergestellt werden, dass bei einer Anpassung der Recheneinheit des unzertifizierten Teils an die jeweiligen Einsatzbedingungen der Sensorvorrichtung der zertifizierte Teil der Sensorvorrichtung unverändert verbleibt, so dass dieser nicht rezertif iziert werden muss.

Bei einem besonders bevorzugten Ausführungsbeispiel ist vorgesehen, dass zur Kenntlichmachung einer Aktualisierung der Software der Recheneinheit des unzertifizierten Teils gegenüber der Recheneinheit des zertifizierten Teils ein bereits mit nicht mehr aktuellen Konfigurationsdaten belegtes Datenfeld des zertifizierten Teils geleert oder ein leeres Datenfeld dieses Teils mit einem entsprechenden Markierungseintrag gefüllt wird, wodurch die Recheneinheit des zertifizierten Teils veranlasst wird, aktuelle Konfigurationsdaten von der Recheneinheit des unzertifizierten Teils anzufragen. Nicht bevorzugt, aber dennoch nicht auszuschließen sind die folgenden Verfahrensschritte: Ändern der Software des bereits zertifizierten Teils der Sensorvorrichtung; und Rezertifizieren des zertifizierten Teils der Sensorvorrichtung.

Im Folgenden werden eine erfindungsgemäße Sensorvorrichtung und das erfindungsgemäße Verfahren anhand der Zeichnung näher erläutert. Dabei zeigen in prinzipieller und schematischer Blockdarstellung die

Fig. 1 nicht maßstabsgetreu einen jeweils eine Recheneinheit aufweisenden zertifizierten und einen unzertifizierten Teil einer erfindungsgemäßen Sensorvorrichtung;

Fig. 2 einen Ablauf eines Algorithmus zur multisensoriellen Datenfusion, der auf der Recheneinheit des unzertifizierten Teils der Sensorvorrichtung aus Fig. 1 implementiert ist; und

Fig. 3 und 4 jeweils einen Ablauf einer Anpassung der Recheneinheit des unzertifizierten Teils an die jeweiligen Einsatzbedingungen der Sensorvorrichtung.

Fig. 1 zeigt eine erfindungsgemäße Sensorvorrichtung zum Ermitteln einer Größe. Die Sensorvorrichtung weist Hardware und darauf implementierte Software auf, die in einen unzertifizierten Teil 10 und einen aufgrund von Sicherheitsanforderungen zertifizierten Teil 12 unterteilt ist. Die beiden Teile 10, 12 sind hinsichtlich ihrer jeweiligen Software getrennt voneinander ausgebildet. Die beiden Teile 10, 12 weisen jeweils eine Recheneinheit 14, 16 auf, die miteinander kommunizierend verbunden sind. Die Hardware wird zumindest teilweise von dem unzertifizierten Teil und dem zertifizierten Teil der Software gemeinsam genutzt. Im Folgenden wird die Recheneinheit 16 des zertifizierten Teils 12 auch als zertifizierte Recheneinheit 16 und entsprechend die Recheneinheit 14 des unzertifizierten Teils 10 auch als unzertifizierte Recheneinheit 14 bezeichnet.

An die zertifizierte Recheneinheit 16 sind über elektrische Leitungen 18 Sensoreinrichtungen 20, 22, 24 jeweils zum Erfassen von Zu stands werten angeschlossen. Die Zustandswerte mehrerer Sensoreinrichtungen 20, 22, 24 werden von der jeweiligen Sensoreinrichtung 20, 22, 24 ausgehend, über die zertifizierte Recheneinheit 16 zu der unzertifizierten Recheneinheit 14 übermittelt. Unter Verwendung der Zustandswerte mindestens einer der Sensoreinrichtungen 20, 22, 24 bestimmt die zertifizierte Recheneinheit 16 die Größe auf eine Art und Weise. Unabhängig davon bestimmt die unzertifizierte Recheneinheit 14 die Größe unter Verwendung der Zustandswerte der mehreren Sensoreinrichtungen 20, 22, 24 auf eine andere Art und Weise, die sich von der einen Art und Weise zumindest teilweise unterscheidet. Die jeweilige Art und Weise der Bestimmung wird vorliegend auch als Prozess der Bestimmung der Größe bezeichnet. Vorzugsweise werden die Zustandswerte einer einzigen Sensoreinrichtung 20, 22, 24 von beiden Recheneinheiten 14, 16 zur Bestimmung der Größe unabhängig voneinander verwendet.

Eine auf der unzertifizierten Recheneinheit 14 implementierte Software ist derart eingerichtet, dass diese unter Durchführen einer Fusion der von mehreren Sensoreinrichtungen 20, 22, 24 erfassten Zustandswerte die Größe berechnet. Bei der dahingehenden Software der unzertifizierten Recheneinheit 14 kann es sich um einen aus dem Stand der Technik bekannten Algorithmus zur multisensoriellen Datenfusion handeln, wie beispielsweise um ein (Extended) Kaimanfilter 26 oder Komplementärfilter, das auf die vorliegende Verwendung angepasst ist. Jede Recheneinheit 14, 16 weist eine Schnittstelle 28 auf, die über mindestens eine weitere elektrische Leitung 30 miteinander verbunden sind. Diese Verbindung kann durch ein Bussystem verwirklicht sein. Die jeweilige Schnittstelle 28 zur Anbindung an die jeweils andere Recheneinheit 14, 16 kann in Form einer Inter-CPU-Schnittstelle, beispielsweise in Form eines Serial Peripheral Interface (SPI), vorliegen. Die zertifizierte Recheneinheit 16 weist eine weitere Schnittstelle zur Anbindung an ein Feldbussystem 32 auf. Das Feldbussystem 32 kann in Form eines Controller Area Network (CAN)- Feldbussystems ausgebildet sein. Das dabei zur Datenübertragung verwendete Protokoll kann das CanOpenSafety-Protokoll sein. Die zertifizierte Recheneinheit 16 kann des Weiteren eine in den Figuren nicht dargestellte Speichereinrichtung aufweisen oder an diese angeschlossen sein. Durch die zertifizierte Recheneinheit 16 kann eine jeweilige Sensoreinrichtung 20, 22, 24 konfigurierbar sein.

Die Recheneinheiten 14, 16 sind jeweils als Mikrocontroller ausgebildet.

Die Größe ist vorliegend ein auf eine Referenzfläche bezogener Neigungswinkel der Sensorvorrichtung. Die zur Bestimmung des Neigungswinkels verwendeten Sensoreinrichtungen 20, 22, 24 sind ein Beschleunigungssensor 20, ein Drehratensensor 22 und gegebenenfalls ein Magnetometer 24. Der Neigungswinkel wird in jeder Recheneinheit 14, 16 unabhängig voneinander bestimmt. Die zertifizierte Recheneinheit 16 bestimmt nur unter Verwendung der Zustandswerte des Beschleunigungssensors 20 und die unzertifizierte Recheneinheit 14 bestimmt unter Verwendung der jeweiligen Zustandswerte des Beschleunigungssensors 20, des Drehratensensors 22 und gegebenenfalls des Magnetometers 24 jeweils den Neigungswinkel unabhängig voneinander. Der von der unzertifizierten Recheneinheit 14 bestimmte Neigungswinkel wird schließlich an die zertifizierte Recheneinheit 16 übermittelt, beispielsweise über die elektrische Leitung 30, über die auch die Zustandswerte der Sensoreinrichtungen 20, 22, 24 von der zertifizierten Recheneinheit 16 zu der unzertifizierten Recheneinheit gelangen können.

Die beiden durch die Recheneinheiten 14, 16 bestimmten Größen in Form der Neigungswinkel stellen Ausgangssignale der Sensorvorrichtung dar, die vorzugsweise an das Feldbussystem 32 abgegeben werden, insbesondere von der zertifizierten Recheneinheit 16.

Ist der in einer beliebigen Lage angeordnete Beschleunigungssensor 20 in Ruhe, wirkt auf diesen lediglich die Erdbeschleunigung (Gravitation) g, die in Form eines Vektors (Lot) von dem Beschleunigungssensor 20 erfassbar ist. Durch einen Vergleich des aktuell erfassten Vektors mit einem Vektor, den der Beschleunigungssensor 20 in einer Referenzlage erfasst, kann die Neigung der Sensorvorrichtung, insbesondere des Beschleunigungssensors, in Relation zur Erdoberfläche ermittelt werden. Die Referenzlage kann einer Ausgangsruhelage der Sensorvorrichtung entsprechen. Somit kann, wenn die Sensorvorrichtung in einer beliebigen Lage in Ruhe ist, der Neigungswinkel der Sensorvorrichtung nur oder zumindest von dem Neigungswinkel der zertifizierten Recheneinheit 16 abhängig sein.

Ist der Beschleunigungssensor 20 nicht in Ruhe, sondern führt dieser eine, insbesondere beschleunigte, Bewegung aus, wirken auf den Beschleunigungssensor 20 neben der Erdbeschleunigung g weitere Beschleunigungen, beispielsweise aufgrund einer Zentrifugalkraft und/oder einer von außen vorgegebenen Vibration. Diese weiteren Beschleunigungen stellen bei dem bewegten Beschleunigungssensor 20 Störgrößen für die Bestimmung der Neigung des Beschleunigungssensors 20 dar, die zu einem fehlerhaft erfassten Vektor (Scheinlot) führen. Der Algorithmus zur multisensoriellen Datenfusion dient zur Reduktion, bestenfalls Kompensation, dieser Störgrößen, wofür dieser die Zustandswerte des Drehratensensors 22 und gegebenenfalls des Magnetometers 24 verwendet, um die Zustandswerte des Beschleunigungssensors 20 zu korrigieren.

Beispielhaft ist für den Algorithmus zur multisensoriellen Datenfusion in Fig. 2 ein auf die vorliegende Verwendung angepasstes, aus dem Stand der Technik bekanntes Extended Kaimanfilter 26 gezeigt, das wie üblich einen Prädiktions- 34 und einen Korrekturschritt 36 aufweist. In dem Prädiktionsschritt 34 wird unter Verwendung eines physikalischen Systemmodels des Systems, in dem die Sensorvorrichtung eingesetzt ist, in Abhängigkeit des geschätzten aktuellen Erwartungswertes x ⁺ und der geschätzten aktuellen Kovarianz P ⁺ sowie gegebenenfalls der Zustandswerte 42, 44 des Beschleunigungssensors 20 und des Drehratensensors 22 ein Prädiktions-Erwartungs- wert x~ und eine Prädiktions-Kovarianz P~ errechnet, die in dem darauffolgenden Korrekturschritt 36 mittels aktueller Zustandswerte 50 korrigiert werden. Bei den aktuellen Zu stands werten kann es sich um eine Geschwindigkeit handeln. Nach dem Korrekturschritt 36 erhält man den geschätzten aktuellen Erwartungswert x ⁺ und die geschätzte aktuelle Kovarianz P ⁺ , die in den Prädiktionsschritt 34 rückgeführt sind und von denen der Neigungswinkel ableitbar ist. Hierfür kann in Abhängigkeit des geschätzten aktuellen Erwartungswert x ⁺ eine Berechnung 52 der Eulerschen Winkel 0, <p durchgeführt werden und/oder kann, insbesondere aus dem Korrekturschritt 36, ein Korrekturwinkel p erhalten werden. Die Anpassung des physikalischen Systemmodels an das jeweilige System, beispielsweise eine Arbeitsmaschine, in dem die Sensorvorrichtung einsetzbar ist, kann ursächlich sein für eine Anpassung des unzertifizierten Teils 10 an seine jeweiligen Einsatzbedingungen in diesem System.

Zumindest die Sensoreinrichtungen 20, 22, 24 der Sensorvorrichtung können als handelbare Einheit zusammengefasst sein und in einem in den Figuren nicht gezeigten gemeinsamen Gehäuse angeordnet sein. Dabei können die Sensoreinrichtungen 20, 22, 24 in dem Gehäuse gegenüber dem Gehäuse ortsfest angeordnet sein. Ist vorliegend die Rede von einem Ruheoder einem Bewegungszustand der Sensorvorrichtung, richtet sich dieser Zustand zumindest auf die Sensoreinrichtungen 20, 22, 24 der Sensorvorrichtung.

Die Sensorvorrichtung ist Teil eines Systems in Form einer fahrbaren Arbeitsmaschine, beispielsweise eines Radladers, eines Mobilbaggers oder einer Autobetonpumpe. Von dem System ist in den Figuren lediglich das Feldbussystem 32 in Fig. 1 gezeigt. Die Arbeitsmaschine weist das Feldbussystem 32 und eine bewegbare Komponente in Form eines Auslegers auf, mit dem die Sensorvorrichtung mittelbar oder unmittelbar verbunden ist. Die Sensorvorrichtung ist derart eingerichtet, dass diese den Neigungswinkel der Komponente in Bezug auf die Referenzfläche bestimmt und an das Feldbussystem 32 weiterleitet.

Der zertifizierte Teil 12 ist in verschiedenen Systemen, also unter verschiedenen Einsatzbedingungen, verwendbar, ohne diesen an das jeweilige System im Rahmen einer Änderung seiner Software anpassen zu müssen, was eine Rezertifizierung dessen zur Folge hätte. Der unzertifizierte Teil 10 ist im Rahmen einer Änderung seiner Software an ein jeweiliges System anpassbar oder anzupassen, ohne eine zu zertifizierende Änderung der Software des zertifizierten Teils 12 der Sensorvorrichtung zu veranlassen.

Der zertifizierte Teil 12 wird in einem Zustand zertifiziert, in dem zumindest ein leeres Datenfeld des zertifizierten Teils 12 zum Ablegen von Konfigurationsdaten der unzertifizierten Recheneinheit 14 vorgesehen ist. Das leere Datenfeld befindet sich in einer in den Figuren nicht gezeigten Speichereinrichtung des zertifizierten Teils 12. An ein jeweiliges System, in dem die Sensorvorrichtung eingesetzt ist, ist der unzertifizierte Teil 10 anpassbar, in dem Konfigurationsdaten für die unzertifizierte Recheneinheit 14 in einem jeweiligen leeren Datenfeld des bereits zertifizierten Teils 12 abgelegt werden. Nach einem Neustart 60 der Sensorvorrichtung (Fig. 3) im Rahmen eines Hochfahrens (Bootens) der Sensorvorrichtung wird zunächst eine Initialisierung 62 der zertifizierten Recheneinheit 16 durchgeführt, wonach diese einsatzbereit 64 ist. Darauffolgend wird eine Initialisierung 66 der unzertifizierten Recheneinheit 14 durchgeführt, woraufhin diese eine Anfrage 68 für ihre Konfigurationsdaten bei der zertifizierten Recheneinheit 16 stellt. In einem nächsten Schritt wird eine Übermittlung 70 dieser Daten von der zertifizierten Recheneinheit 16 an die unzertifizierte Recheneinheit 14 durchgeführt. Schließlich wird die Software der unzertifizierten Recheneinheit 14 an das jeweilige System, also die dort vorherrschenden jeweiligen Einsatzbedingungen, mittels der übermittelten Konfigurationsdaten angepasst. Danach ist die unzertifizierte Recheneinheit 14 einsatzbereit 72.

Alternativ oder zusätzlich ist der unzertifizierte Teil 10 an das jeweilige System anpassbar durch Aktualisierung der Software der unzertifizierten Recheneinheit 14. Nach einem Neustart 80 der Sensorvorrichtung (Fig. 4) wird eine Initialisierung 82 der zertifizierten Recheneinheit 16 durchgeführt. Darauffolgend wird die zertifizierte Recheneinheit 16 in einen Tunnelmodus 84 gebracht, woraufhin eine Initialisierung 86 der unzertifizierten Recheneinheit 14 durchgeführt wird. Danach wird die unzertifizierte Recheneinheit 14 in einen Aktualisierungszustand 88 versetzt, in dem anschließend eine Aktualisierung 90 ihrer Software durchgeführt wird. Im Anschluss wird ein Rücksetzen 92 bzw. Löschen eines bislang mit Konfigurationsdaten belegten Datenfeldes des zertifizierten Teils 12 durchgeführt zwecks des Kenntlichmachens der Aktualisierung der Software der unzertifizierten Recheneinheit 14 gegenüber der zertifizierten Recheneinheit 16. Daraufhin wird ein Neustart 94 der Sensorvorrichtung durchgeführt, worauf folgend die unzertifizierte Recheneinheit 14 eine Anfrage 96 für ihre Konfigurationsdaten bei der zertifizierten Recheneinheit 16 stellt. Hiernach findet eine Erkennung 98 des geleerten Datenfeldes des zertifizierten Teils 12 als geleert statt, wodurch die zertifizierte Recheneinheit 16 veranlasst wird eine Anfrage 100 für Konfigurationsdaten bei der unzertifizierten Recheneinheit 14 zu stellen. Daraufhin wird eine Übermittlung 102 der Konfigurationsdaten von der unzertifizierten Recheneinheit 14 zu der zertifizierten Recheneinheit 16 durchgeführt. Im nächsten Schritt wird eine Speicherung 104 der Konfigurationsdaten in einem leeren Datenfeld des zertifizierten Teils 12 durchgeführt, woraufhin schließlich ein Neustart 106 der Sensorvorrichtung durchgeführt wird.

Ein Neustart 60, 80, 94, 106 der Sensorvorrichtung entspricht vorliegend zumindest einem Neustart der Software jeder Recheneinheit 14, 16. Das genannte Datenfeld des zertifizierten Teils 12 kann über das Object Dictionary editiert werden und kann in einer Speichereinrichtung in Form eines Ferroelectric Random Access Memory (FRAM) vorgesehen sein.