对相互交互作用的设备上的功能进行运行控制的方法及系统

摘要

本发明涉及一种用于对多个功能(4，5)进行运行控制的方法，这些功能(4，5)可被实施在至少两个相互交互作用的设备(2，3)上，其中，所述功能(4，5)中的第一功能(4，5)被实现在所述设备(2，3)中的第一设备(2，3)上，而所述功能(4，5)中的第二功能(4，5)被实现在所述设备(2，3)中的第二设备(2，3)上。 本发明也涉及一种用于利用管理单元(6，7)来实施该方法的系统，该管理单元(6，7)这样来控制功能(4，5)的运行，使得该管理单元(6，7)避免了相互干扰地影响的第一功能(4，5)和第二功能(4，5)的同时运行。

权利要求

1.用于对多个功能(4，5)进行运行控制的方法，这些功能(4，5)可被实施在至少两个相互交互作用的、控制一个装置(1)的设备(2，3)上，其中，所述功能(4，5)中的至少一个功能是利用其来检查所述装置(1)的至少一种工作方式或至少一个部件的诊断功能，并且其中所述功能(4，5)中的第一功能(4，5)被实现在所述设备(2，3)中的第一设备(2，3)上，而所述功能(4，5)中的第二功能(4，5)被实现在所述设备(2，3)中的第二设备(2，3)上，并且所述第一和第二功能(4，5)与所述装置(1)交互作用，在该方法中(a)确定了由第一和第二功能(4，5)构成的禁止的功能对，在这些功能对中，在同时实施时，至少一个功能干扰地影响另一个功能；

(b)给每个第一功能(4，5)分配一优先级值，其中，为了向至少一个第一功能分配优先级值，由所实施的诊断功能所确定的、所述装置(1)的至少一个工作方式或至少一个部件的故障被考虑；

(c)在所述第一功能(4，5)中选出这种具有最高优先级值的功能，其中，如果实施第二功能(4，5)，则那些与正运行的第二功能(4，5)构成禁止的功能对的第一功能(4，5)在选择时不被考虑；

(d)识别了剩下的所选出的第一功能(4，5)；和

(e)开始所识别的功能(4，5)。

2.按权利要求1所述的方法，其特征在于，由所有设备(2，3)共有的管理单元(6，7)来实施所述步骤(b)、(c)和(d)。

3.按权利要求1所述的方法，其特征在于，属于所述第一设备(2，3)的第一管理单元(6，7)实施所述步骤(b)、(c)和(d)，而由属于所述第二设备(2，3)的第二管理单元(6，7)(b′)给每个第二功能(4，5)分配一优先级值；

(c′)在所述第二功能(4，5)中选出这种具有最高优先级值的功能，其中，如果实施第一功能(4，5)，则那些与正运行的第一功能(4，5)构成禁止的功能对的第二功能(4，5)在选择时不被考虑；

(d′)识别了剩下的所选出的第二功能(4，5)；和

(e′)开始在所述步骤(d′)中所识别的功能(4，5)。

4.按权利要求3所述的方法，其特征在于，如果在所述步骤(d)和(d′)中同时识别了第一和第二功能(4，5)，则检验，所述两个功能(4，5)是否构成了禁止的功能对，并且如果检验结果是肯定的，则仅开始所识别的功能(4，5)中的一个功能。

5.按权利要求3或4之一所述的方法，其特征在于，所述管理单元(6，7)中的每一个管理单元向相应的另一个管理单元(6，7)报告至少这种在步骤(e)或(e′)中开始的功能(4，5)以及所述功能(4，5)的结束，所述功能(4，5)与相应的另一个管理单元(6，7)的至少一个功能(4，5)构成了禁止的功能对。

6.按权利要求3或4之一所述的方法，其特征在于，所述管理单元(6，7)中的每个管理单元向相应的另一个管理单元(6，7)报告至少这种功能(4，5)的计划的开始，所述功能(4，5)与相应的另一个管理单元(6，7)的至少一个功能(4，5)构成了禁止的功能对。

7.按权利要求1至4之一所述的方法，其特征在于，在步骤(c)中对于每个第一功能(4，5)或在步骤(c′)中对于每个第二功能(4，5)，根据所述装置(1)的某些工作参数的值来判断，是否可实施所述第一或第二功能(4，5)，并且选出那些具有最高优先级值的和被判断为可实施的第一或第二功能(4，5)。

8.按权利要求1至4之一所述的方法，其特征在于，由所述管理单元(6，7)中的至少一个管理单元向所述相应的另一个管理单元(6，7)仅报告这种由诊断功能(4，5)所确定的、所述装置(1)的工作方式或部件的特性，所述特性被考虑用于在步骤(b)中或在步骤(b′)中向功能(4，5)分配优先级值。

9.按权利要求1至4之一所述的方法，其特征在于，如果在实施诊断功能(4，5)时确定了可具有多种原因的故障，则实施至少一个其它的诊断功能(4，5)，以便检查所述原因中的至少一个原因的存在。

10.按权利要求9所述的方法，其特征在于，为了立刻开始用于检查所述原因的存在的其它的诊断功能(4，5)，提高所述其它的诊断功能(4，5)的优先级值。

11.按权利要求1至4之一所述的方法，其特征在于，在实施功能(4，5)之后，降级该功能(4，5)的优先级值。

12.用于利用具有可被实施在其上的功能(4，5)的至少两个相互交互作用的设备(2，

3)来实施按以上权利要求之一所述的方法的系统，所述设备(2，3)控制一个装置(1)，所述功能(4，5)与该装置(1)交互作用，其中，所述功能(4，5)中的至少一个功能是利用其来检查所述装置(1)的至少一种工作方式或至少一个部件的诊断功能，并且其中，所述功能(4，

5)中的第一功能(4，5)被实现在所述设备(2，3)中的第一设备(2，3)上，而所述功能(4，

5)中的第二功能(4，5)被实现在所述设备(2，3)中的第二设备(2，3)上，并且，至少一个管理单元(6，7)这样来控制所述功能(4，5)的运行，使得所述至少一个管理单元(6，7)避免了相互干扰地影响的第一功能(4，5)和第二功能(4，5)的同时运行。

13.按权利要求12所述的系统，其特征在于，所述第一设备(2)被构造在第一微控制器(16)周围，所述第二设备(3)被构造在第二微控制器周围，其中，在这两个微控制器(16，

17)之一上，在要求使用所述管理单元(6，7)的部分处理资源的情况下实现所述管理单元(6，7)。

14.按权利要求13所述的系统，其特征在于，所述第一微控制器和第二微控制器是等同的微控制器(16，17)。

15.按权利要求13或14之一所述的系统，其特征在于，该系统包括中间缓冲器(15)，该中间缓冲器用于暂存根据权利要求5或6所述的报告。

16.按权利要求12所述的系统，其特征在于，所述装置是发动机(1)。

17.按权利要求12所述的系统，其特征在于，所述装置是内燃机。

18.按权利要求12至14之一所述的系统，其特征在于CAN总线(14)。

说明书

对相互交互作用的设备上的功能进行运行控制的方法及系

统

现有技术

[0001] 本发明涉及一种用于对多种功能进行运行控制的方法，这些功能可被实施在至少两个相互交互作用的设备上，其中，这些功能中的第一功能被实现在这些设备中的第一设备上，而这些功能中的第二功能被实现在这些设备中的第二设备上。此外，本发明还涉及一种系统，尤其是一种用于实施这种方法的系统，该系统具有至少两个相互交互作用的设备，这些设备具有在其上可实施的功能，其中，这些功能中的第一功能被实现在这些设备中的第一设备上，而这些功能中的第二功能被实现在这些设备中的第二设备上。这些功能尤其是所谓的诊断功能，用于检查由这些设备所控制的装置的工作方式或部件。 [0002] 列举现代汽车中的内燃机作为由至少两个这种设备所控制的装置的实例。发动机可以包括诸如喷油嘴、节流阀、执行元件的不同的部件或者如温度传感器、转速传感器或λ探测器那样的不同的传感器。在这种内燃机中采用了也称为控制设备的设备，例如用于控制燃油输送、点火时刻和发动机的其它工作参数。控制设备通常被构造在微处理器或微控制器周围。在控制设备上可以实现直至数百个诊断功能。这些诊断功能检查内燃机在其工作期间的极其不同的工作方式和部件。这些诊断功能使用了发动机的诸如温度或转速的工作参数的值，这些工作参数由在发动机中所装入的传感器来提供。诊断功能中的若干个诊断功能被动地运行并且简单地读取由传感器所提供的值，而其它的诊断功能主动地介入发动机工作中，以便询问然后由传感器所提供的值。如果由诊断功能之一在发动机的工作方式或部件中确定了故障，则在故障记录中以电子文件的形式存储关于该故障的信息，该信息稍后可由扫描工具来读出。按照故障的相关性也可以触发汽车的仪表盘上的报警信号。 [0003] 由不同的控制设备所执行的诊断功能不必相互兼容。例如，介入发动机工作的、用于测量发动机的某些工作参数或在某种状态下的其部件之一的诊断功能可以将内燃机工作参数中的其它的工作参数在测量的时间内调节到预定的值。如果与这种主动的诊断功能并行地运行 了其它的诊断功能，该其它的诊断功能访问了由主动介入发动机工作的诊断功能所调节的工作参数的值，则该其它的诊断功能得到错误的结果。因此有必要避免同时运行这种诊断功能，在这些诊断功能中，至少一个诊断功能干扰地影响另一个诊断功能。 [0004] 为此目的，在具有两个控制设备的公知的内燃机中例如公知，针对被实现在这两个控制设备上的诊断功能这样来确定时间上的顺序，使得在任何时间不运行以下两个诊断功能，在这两个诊断功能中，至少一个诊断功能干扰地影响另一个诊断功能。该运行顺序被转换成程序代码，并且给控制设备固定地预定该运行顺序。该运行顺序由此在内燃机机工作期问可不再改变。

[0005] 从该解决方案中得到了若干显著的缺点。这些缺点之一在于这种系统的欠缺的灵活性。如果稍后例如确定了一对新的诊断功能，在这对诊断功能中，至少一个诊断功能干扰地影响另一个诊断功能，则相应改变诊断功能的运行顺序是必要的。但是，为此必需以高的花费来改变程序代码。

[0006] 从以下事实中也得到了其它的大的缺点，即通过每个诊断功能的固定的运行顺序固定地预定针对该诊断功能运行的有限的时隙。由于针对诊断功能的运行，对于发动机的若干工作参数、诸如某种负荷或相对气团、转速或者温度常常需要合适的值，因而很频繁地出现以下情况，即在被给与运行的诊断功能的有限时隙期间恰好不存在这些必要的值。因此，有关的诊断功能在被分配给其的时隙期间没有准备好运行。因此，诊断功能不运行，并且时隙未被利用地流逝。在稍后被分配给该诊断功能的时隙之内，该诊断功能才重新具有运行的机会，其中，再度成问题的是，在该下一个时隙之内是否存在对此必要的工作参数的值。

[0007] 发明优点

[0008] 通过如在权利要求1或权利要求15中所限定的本发明，创造了一种用于对多个功能进行运行控制的方法，这些功能被实现在至少两个相互交互作用的设备上，以及创造了一种用于实施该方法的系统，利用该方法以及该系统避免了上述的缺点。 [0009] 按照本发明的方法，功能不再被束缚在时间上固定的运行顺序。相反，在本方法的步骤(a)中确定了由第一和第二功能组成的禁止的 功能对，在这些禁止的功能对中，在同时实施时，至少一个功能干扰地影响另一个功能。随后是：步骤(b)，其中给每个第一功能分配优先级值；步骤(c)，其中在第一功能中选出了这种具有最高优先级值的功能，其中，当实施第二功能时，与正运行的第二功能构成禁止的功能对的那些第一功能不被考虑；以及步骤(d)，其中识别了最终在步骤(e)中开始的剩下的所选出的第一功能。从中得出了，以其来实施这些功能的顺序取决于被分配给这些功能的优先级值。在设备工作期间可以持续地重新计算该优先级值。例如，利用该优先级值可以考虑从最后实施功能起所流逝的时间间隔，以致功能的最后一次实施过去的时间越长，则给该功能发放越高的优先级值。只要设备控制了装置，就以这种方式将功能的运行与装置的不同的工作状态相匹配，并且确保了被改善的装置的工作周期与功能在时间上的覆盖。本发明的其它的优点从以下可能性得到，即无须较高花费就可进行修改。如果例如在设备投入运行之后在稍后的时刻确定，在同时运行第一功能和第二功能时，却与期望相反地，两个功能中的一个干扰地影响相应的另一个功能，则可以毫不费劲地将这两个功能确定为附加的禁止的功能对。既不必针对整个功能制订新的复杂的运行顺序，也不需要费事地制订新的程序代码。为了用设备来实施本发明方法，可以动用已经公知的具有管理单元的设备。例如可以动用公知的设备，如这些设备被用于只借助一个具有被实现在其上的功能的设备来控制装置那样。 [0010] 在本发明的优选的实施方案中，由所有设备共有的管理单元来实施步骤(b)、(c)和(d)。该管理单元因此在步骤(b)至(d)方面主管所有设备。为了开始所识别的功能，管理单元紧接着给在其上实现了所识别的功能的那个设备授予针对该功能的开始指令。 [0011] 在其它的本发明实施方案中，属于第一设备的第一管理单元实施步骤(b)、(c)和(d)，而第二设备的管理单元在第二功能方面实施相应的步骤(b′)、(c′)和(d′)，并且在步骤(e′)中开始了在步骤(d′)中所识别的第二功能。在该实施方案中，既将第一管理单元又将第二管理单元纳入该功能的运行控制中，其中，管理单元中的每一个主管其相应设备的功能。

[0012] 如果两个管理单元同时实施相应的步骤(b)、(c)和(d)或(b′)、(c′)和(d′)，则可能出现，两个设备在同时实施的步骤(d)和(d′) 中分别恰好识别了构成禁止的功能对的这些功能。为了避免由此产生的问题，可以规定，在两个所识别的功能中分别只开始第一功能，而禁止给所识别的第二功能开始指令。如果未曾开始其功能的第二管理单元紧接着重复步骤(d′)，则该第二管理单元可考虑现在正运行的第一设备的功能。 [0013] 代替通常同时禁止开始所识别第二功能，也可以事先检验，由两个管理单元同时识别的功能是否构成了禁止的功能对，并且只有当这是这种情况时，才抵制第二功能。 [0014] 可以规定，管理单元中的每一个向相应的另一个管理单元报告至少这种由其开始的功能以及这些功能的结束，这些功能与相应的另一个管理单元的至少一个功能构成了禁止的功能对。通过每个管理单元知晓其它管理单元的功能的开始和结束，每个管理单元不必从事其它的询问而在步骤(c)或(c′)中选出功能时在任何时候考虑这种与正运行的功能构成禁止的功能对的功能。在此，一方面能将每个功能的每次开始和每次结束通知给相应的其它的管理单元，或者另一方面只通知这种与其它的功能构成了禁止的功能对的功能的开始和结束。

[0015] 代替执行功能的开始和结束，管理单元中的每一个可以向相应的另一个管理单元报告功能的每次计划的开始，或者但是只报告这种功能的计划的开始，这些功能在步骤(a)中与相应的另一个管理单元的至少一个功能已被确定为禁止的功能对。接收该消息的管理单元于是可以给进行报告的管理单元提供以下响应，即由后者所识别的和计划要开始的功能是否与由进行接收的管理单元已经开始的功能构成了禁止的功能对。如果这是如此，则进行报告的管理单元放弃计划开始该功能。

[0016] 在此，管理单元中的一个可被设立为中央管理单元，在该中央管理单元中，所有其它的管理单元在计划开始其相应功能之前询问，该功能是否与已经运行的功能构成禁止的功能对。

[0017] 优选地利用两个设备来控制装置，其中，第一和第二功能与该装置交互作用。于是可以有利地在针对每个第一功能或每个第二功能分配优先级值时，借助装置的某些工作参数的值来判断，该第一或第二功能是否可实施。在该改进方案中，在步骤(c)中只在被判断为可实施的功能中选出具有最高优先级值的功能。因此排除了以下情况，即 由于高优先级值而选出了一功能，但是不能开始该功能，因为没有给出对于运行该功能必要的、装置的某些工作参数的值。

[0018] 在第一和第二功能中可能是至少一个这种功能，该功能检查由所述设备所控制的装置的至少一种工作方式或者至少一个部件。这种功能一般被称为诊断功能。 [0019] 同样有利地。由这种诊断功能所确定的、装置的工作方式或部件的特性、尤其是该工作方式或部件的故障被考虑用于向另一个功能分配优先级值。由此，在选出功能时考虑了已经被诊断的特性、如装置的功能或部件的故障。用这种方式可以将以下功能排除在选择之外，这些功能可能由于装置的工作方式或部件的这种故障或某些特性而不能运行或者在运行时可能导致错误的结果。也可以如禁止的功能对那样，已经由制造商确定装置的工作方式或部件，该装置的特性被考虑用于向功能分配优先级值。

[0020] 为了在分配优先级值时可以考虑这些特性，设备之一的相应的进行该分配的管理单元必须被告知通过被实现在相应的另一个设备上的诊断功能所确定的特性。连接两个设备的、通过其传输这种信息的总线在此冒着使大量信息过载的危险。为了将设备之间的数据传输保持得尽可能地小，因而优选地由至少一个管理单元向相应的另一个管理单元只报告这种由诊断功能所确定的、装置的工作方式或部件的特性，这些特性被考虑用于向功能分配优先级值。

[0021] 只要在实施诊断功能时确定可具有多种原因的故障，则可以实施至少一个其它的诊断功能，以便检查至少一种原因的存在。例如，如果针对该检查的诊断功能访问传感器的测量值，则由诊断功能所确定的、装置的工作方式或部件的故障的原因要么在于，装置的该工作方式或部件实际上被干扰，要么该原因在于，传感器已损坏。为了确认声称被确定的、装置的工作方式或部件的故障有效，因而可以开始检查传感器无故障的其它的诊断功能。如果该其它的诊断功能确定传感器未被损坏并正确地工作，则证实了由诊断功能声称所确定的、装置的工作方式或部件的故障。由此获得了关于装置的工作方式或部件的故障存在的可靠的陈述。为了尽可能快地执行该其它的诊断功能，适当地提高其优先级值。 [0022] 只要实施了功能，就可以降级其优先级值，以便避免过于频繁地 实施该功能。 [0023] 第一设备和第二设备可以分别被构造在微控制器周围，其中，在两个微控制器之一上在要求使用该微控制器的部分处理资源的情况下来实现管理单元。除此之外，两个微控制器也可以是等同的。例如，如果对于两个设备分别设置了自己的管理单元，则这可以是这种情况。

[0024] 此外，系统还可以包括中间缓冲器(Zwischenpuffer)，在该中间缓冲器中可以暂存关于功能的开始或结束的消息或用于开始功能的意图。这种必须决定功能的开始的管理单元于是可以访问该中间缓冲器，并可以借助被存储在其中的信息来准许开始有关功能或拒绝开始该功能。

[0025] 系统特别优选地包括由设备所控制的装置。在此，该装置特别优选地是发动机、尤其是汽车的内燃机。

[0026] 系统同样特别优选地包括CAN总线。这种总线已经被采用在多种汽车中并且因而没有附加成本地可有利地一起用于本发明方法或系统。

[0027] 以下借助附图来详细阐述本发明的优选的实施例。其中：

[0028] 图1示出了第一本发明系统的示意图；

[0029] 图2示出了用于控制图1的系统的诊断功能的流程图；

[0030] 图3示出了用于控制变型系统的诊断功能的第二流程图；

[0031] 图4示出了第二本发明系统的示意图；和

[0032] 图5示出了用于控制图4的系统的诊断功能的流程图。

[0033] 在图1中示意性示出的系统包括由两个控制设备2、3所控制的内燃机1。多个诊断功能4被实现在控制设备2上，而多个诊断功能5被实现在控制设备3上。管理单元6通过CAN总线14与两个控制设备2、3连接。管理单元6具有计算模块10和验证器(Validator)12。给每个控制设备2、3分别分配了故障缓冲器8、9，相应的控制设备2、3以及管理单元6访问该故障缓冲器8、9。

[0034] 部分地由控制设备2和部分地由控制设备3来控制内燃机1的工作。在此，在内燃机1和该内燃机1的部件上运行不同的过程和功能。这些功能可以涉及整个内燃机1，或者但是也可以仅涉及内燃机1的部分或多个部件。为了确保内燃机1无故障地运行，必须持久地检验和 监控这些功能。诊断功能4、5负责该任务。在诊断功能4、5中存在这样的诊断功能，这些诊断功能仅在内燃机1的诸如某个温度或转速的不同工作参数的特定值时才能运行。此外，在被实现在控制设备2上的诊断功能4中存在某些诊断功能4，这些诊断功能4在同时运行时干扰地影响了被实现在控制设备3上的诊断功能5中的若干个诊断功能，以致诊断功能5提供错误的结果。因此必需避免同时运行两个这种诊断功能4、5。 [0035] 在图2的流程图中示出了用于控制诊断功能4、5的运行的方法。步骤S0在此标记了方法的开始。在随后的步骤S1中确定了诊断功能4、5的所有关键的功能对，在这些关键的功能对中，至少一个功能在同时实施时干扰地影响另一个功能，并且将所有关键的功能对确定为互斥矩阵(Exklusionsmatrix)之内的禁止的功能对，该互斥矩阵被存储在计算模块10中。

[0036] 计算模块10在步骤S2中针对每个诊断功能4、5计算优先级值，并将该优先级值分配给相应的诊断功能4、5。在计算诊断功能4、5的优先级值时，例如尤其可以考虑从最后实施相应的诊断功能4、5起所流逝的持续时间。在此，例如，最后一次实施诊断功能4、5过去的时间越长，则给该诊断功能4、5分配越高的优先级值。

[0037] 在分配了优先级值之后，管理单元6在步骤S3中选出控制设备2、3中的一个。管理单元6例如可以选出那个具有最多的当前未使用的处理容量的控制设备2、3。为了简化说明，不限制一般性地假设，管理单元6在步骤S3中选出了控制设备2。 [0038] 在随后的步骤S4中，计算模块10从被实现在控制设备2上的诊断功能4中选出了那些在所有诊断功能4中具有最高优先级值的并且同时在内燃机1的工作参数的当前值处是可实施的诊断功能。

[0039] 在步骤S5中随后决定，控制设备3的诊断功能5目前是否处于实施中。如果这不是这种情况，则本方法继续到远在下面所阐述的步骤S8来。如果当前运行诊断功能5，则计算模块10在步骤S6中利用在步骤S4中所选出的能运行的诊断功能4中的每个单个的诊断功能和当前运行的诊断功能5构成功能对，在随后的步骤S7中将这些功能对与被记录在互斥矩阵中的禁止的功能对进行比较，并且从在步骤S4中所选出的诊断功能4中剔除每一个与当前所实施的诊断功能5构成这种 禁止的功能对的诊断功能。如果在此剔除了所有在步骤S4中所选出的能运行的诊断功能4，则本方法从步骤S7跳回到步骤S2。只要剩下了在步骤S4中所选出的诊断功能4中的至少一个诊断功能，该诊断功能4与当前运行的诊断功能5中的任何一个不构成禁止的功能对，则本方法继续到步骤S8，其中由计算模块10从剩下的诊断功能4中分别识别一个诊断功能4。在上面所提及的情况下，其中，在步骤S5中未确定当前运行的诊断功能5并随即继续到步骤S8，在步骤S8中识别了在步骤S3中所选出诊断功能4中的一个诊断功能。最后，在步骤S9中开始相应的在步骤S8中所识别的诊断功能4。本方法继续重复从步骤S2开始的步骤。在步骤S3中选出控制设备3的情况下，在步骤S4中在诊断功能5中选出这种具有最高优先级值的诊断功能5，并且本方法如刚才所述的那样以所选出的诊断功能5代替所选出的诊断功能4来运行。

[0040] 每个以这种方式开始和运行的诊断功能4、5在此检查内燃机1的另一个在内燃机1上运行的功能或部件。只要诊断功能4、5中的一个确定在由其所检查的功能或部件中的故障，该诊断功能就在故障缓冲器8、9中注明该故障，该故障缓冲器8、9被分配给控制设备
2、3，在该控制设备2、3上实现了诊断功能4、5。诊断功能4、5中的已找到故障的一个诊断功能4、5在下面用4′或5′来表示。在需要时，故障缓冲器9中的录入项可以通过CAN总线14被传输到故障缓冲器8中，可是在此不必在故障缓冲器9中清除。这因此是必需的，因为在内燃机1上运行的功能中尤其存在这种仅可以访问故障缓冲器8、9中的一个的功能，可是可能指示被包含在另一个故障缓冲器8、9中的故障录入项。

[0041] 除此之外，在计算诊断功能4、5的优先级值时，在步骤S2中考虑故障缓冲器8、9的故障录入项。如果也就是故障录入项涉及内燃机1的由诊断功能4、5之一所必需的有损伤的部件，则该有关的诊断功能4、5由于有损伤的部件而不再能提供正确的结果。在这种情况下，在步骤S2中给该诊断功能4、5分配如此低的优先级值，以致由此阻止实施诊断功能4、5。对于在确定优先级值时考虑故障录入项，可以采用预定的阻止矩阵(Sperrmatrix)，该阻止矩阵对于每个故障录入项详细说明了要被阻止的诊断功能4、5。 [0042] 对于由诊断功能4′、5′所找到的故障可能存在不同的原因。例如实际上存在所检查的、内燃机1的功能或部件的故障；但是也可能由此来形成通过诊断功能4′、5′的故障报告，即由有关的诊断功能4′、5′所应用的诸如测量探针的设备有损伤，并且向诊断功能4′、5′提供错误的测量值。由于该原因设置了验证器12。在验证器12中存放了一表格，该表格对于每个诊断功能4、5说明了由其所应用的、内燃机1的部件或功能。只要在故障缓冲器8中注明由诊断功能4′、5′假定找到的故障，验证器12就根据该表格确定由该诊断功能4′、5′所应用的部件或功能，并在计算模块10中请求实施诊断功能4″、5″，用于检查这些部件或功能。这由计算模块10在步骤S2中在计算优先级值时由此来考虑，即提高了所请求的诊断功能4″、5″的优先级值，以致立刻实施这些诊断功能4″、5″。如果这些诊断功能4″、5″确定了由其所检查的部件的正确运行，则由验证器12在故障缓冲器
8中将该故障表征为检查过的故障。如果诊断功能4″、5″之一确定了有故障的部件或功能，则将这看作为由诊断功能4′或5′所确定的故障的原因，诊断功能4′、5′的录入项被表征为后果故障，并且相应的原来的故障被录入。技术人员因此可以根据故障缓冲器8或9的内容迅速识别和排除干扰原因。

[0043] 在图1中所示出的系统的变型方案中，能通过在图1中被表明为虚线轮廓的唯一的微控制器16来构成管理单元6、控制设备2和故障缓冲器8。

[0044] 按照其它的变型方案，也通过微控制器17来构成控制设备3。该微控制器17与微控制器16构造相同，因此该微控制器17与该微控制器16一样具有带有计算模块和验证器的管理单元。由于对于所述的系统工作不需要该管理单元，所以将该管理单元被去活，并因此用虚线来示出。以这种方式，图1中所示出的系统能借助具有控制单元、管理单元和故障缓冲器的两个公知的微控制器来实施，正如这些微控制器在公知的内燃机中分别单个地被用于控制内燃机那样。

[0045] 图3示出了运行控制方法的流程图，该流程图可被用于具有两个等同的微控制器16、17的系统中，这些微控制器16、17的管理单元6、7是激活的。如在图2的流程图中那样，步骤S0标记了方法的开始。同样类似于图2，在步骤S1中确定了禁止的功能对。但是，在两个管 理单元6、7的计算模块10、11中，现在将这些禁止的功能对存放为互斥矩阵。 [0046] 由诊断功能4的管理单元6来实施以下的步骤S2至S8，由诊断功能5的管理单元
7来实施相应的步骤S′2至S′8。步骤S2至S8或S′2至S′8是相同的方法步骤，如这些步骤在上面鉴于图2所阐述的那样。在图3的流程图中，仅仅取消了图2的流程图的步骤S3，因为不必再选出控制设备2、3中的一个。

[0047] 在步骤S8中或在步骤S′8中实现了诊断功能4或5的识别之后，管理单元2或3在步骤S10或S′10中向另一个管理单元报告所识别的诊断功能。管理单元7不管所接收到的消息位于该方法的哪个步骤都存储该消息，以便在下一次执行步骤S′6时考虑这些消息。只有所接收到的消息不位于步骤S10上，即该消息的接收与自己所发送的消息不重叠时，管理单元6才存储该消息。如果两个消息重叠，则管理单元7在步骤S′11中此外还拒绝由其所识别的诊断功能并且返回到步骤S′2。

[0048] 管理单元在步骤S9或S′9中分别开始由其所识别的诊断功能。 [0049] 分别在步骤S12或S′12中向相应的另一个管理单元报告诊断功能的结束。 [0050] 在图4中示出了具有两个等同的微控制器16和17的系统的其它的改进方案。在微控制器16上设置了图1中所述的改进方案中的控制设备2和管理单元6以及故障缓冲器8。微控制器17相应地包括具有诊断功能5的控制设备3、具有计算模块11和验证器13的管理单元7、和故障缓冲器9。通过CAN总线可联系上两个管理单元6、7的中间缓冲器15。 [0051] 按照在图5中所示出的方法来实现诊断功能4、5的运行控制。如针对图3所述的那样，对于两个微控制器16、17实现步骤S0和S1。同样，类似于图3的相应的步骤，对于微控制器16运行步骤S2至S8，即借助这些方法步骤来控制诊断功能4的运行。在微控制器
17上运行的步骤S′2、S′4和S′S类似于步骤S2、S4和S8。此后，在直接紧随的步骤S′8中识别出在步骤S′4中所选出的诊断功能5。可是，在随后的步骤S′13中，将关于在步骤S′8中所识别出的、计划开始的诊断功能5的信息写入到中间缓冲器15中。在步骤S′14中，管理单元6从 中间缓冲器15中读出该信息，在步骤S′15中，该管理单元
6利用所识别的诊断功能5和所有当前运行的诊断功能4构成了功能对并且在步骤S′16中检验，由管理单元7计划开始的所识别的诊断功能5是否与正在运行的诊断功能4构成了禁止的功能对。如果这符合情况，则诊断功能5在步骤S′17中通过CAN总线14将这通知给管理单元7，并且拒绝所识别的诊断功能5的放行信号(Startfreigabe)。在这种情况下，本方法重新继续到步骤S′2。在其中由管理单元7计划开始的所识别的诊断功能5与正在运行的诊断功能4没有构成禁止的功能对的其它情况下，管理单元6在步骤S′18中给出所识别的诊断功能5的放行信号，于是在步骤S′9中由管理单元7开始该诊断功能
5。因此，在图4中所示出的本发明系统的实施方案中，将管理单元6设置为管理单元7的上级，以致管理单元7为了开始由其所识别的诊断功能5必须在管理单元6处取得对此的许可。