EP0826102A1 - Method and device for controlling a vehicle drive unit - Google Patents

Method and device for controlling a vehicle drive unit

Info

Publication number
EP0826102A1
EP0826102A1 EP96945152A EP96945152A EP0826102A1 EP 0826102 A1 EP0826102 A1 EP 0826102A1 EP 96945152 A EP96945152 A EP 96945152A EP 96945152 A EP96945152 A EP 96945152A EP 0826102 A1 EP0826102 A1 EP 0826102A1
Authority
EP
European Patent Office
Prior art keywords
monitoring
torque
microcomputer
monitoring module
drive unit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
EP96945152A
Other languages
German (de)
French (fr)
Other versions
EP0826102B1 (en
Inventor
Hubert Bischof
Martin Streib
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Robert Bosch GmbH
Original Assignee
Robert Bosch GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Robert Bosch GmbH filed Critical Robert Bosch GmbH
Publication of EP0826102A1 publication Critical patent/EP0826102A1/en
Application granted granted Critical
Publication of EP0826102B1 publication Critical patent/EP0826102B1/en
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Classifications

    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/22—Safety or indicating devices for abnormal conditions
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D11/00—Arrangements for, or adaptations to, non-automatic engine control initiation means, e.g. operator initiated
    • F02D11/06—Arrangements for, or adaptations to, non-automatic engine control initiation means, e.g. operator initiated characterised by non-mechanical control linkages, e.g. fluid control linkages or by control linkages with power drive or assistance
    • F02D11/10—Arrangements for, or adaptations to, non-automatic engine control initiation means, e.g. operator initiated characterised by non-mechanical control linkages, e.g. fluid control linkages or by control linkages with power drive or assistance of the electric type
    • F02D11/107—Safety-related aspects
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/24—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means
    • F02D41/26—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means using computer, e.g. microprocessor
    • F02D41/266—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means using computer, e.g. microprocessor the computer being backed-up or assisted by another circuit, e.g. analogue

Definitions

  • the invention relates to a method and a device for controlling a drive unit of a vehicle.
  • the program structure of this microcomputer essentially consists of three separate levels (cf. also the following description of FIG. 1).
  • the control functions are calculated in a first level.
  • the correct functioning of the control functions of the first level is checked using selected input and output signals.
  • the third level is a review of the monitoring carried out in the second level as part of a Process control implemented, which in conjunction with a monitoring module (watchdog or security computer) checks the correct processing of the monitoring steps. For this purpose, the monitoring module asks a question selected from predetermined questions by forming one
  • Partial answers from the programs of the second level are answered and sent back to the monitoring module for error detection.
  • the second level monitors the air setting of the internal combustion engine and switches it in the event of a fault
  • the monitoring module intervenes both on the output stage for the actuator controlling the air supply and on the output stages for fuel metering and ignition. Measures for checking the calculations carried out as part of the function monitoring in the second level in addition to checking the program sequence are not described in the known solution.
  • the solution according to the invention allows the detection of errors in the microcomputer which have a similar effect both on the calculation of the control functions and on the calculation of the monitoring functions. Therefore, sleeping errors are also advantageously detected, for example a quantitative monitoring function that does not correctly calculate. It is particularly advantageous that the solution according to the invention does not use operations that are separate from the programs to be monitored, but rather the program code to be monitored. The solution according to the invention thus allows an almost one hundred percent
  • test data sets are selected appropriately, representative tests can be carried out in all relevant value ranges.
  • a bit-precise check of a monitoring function of a power control of a drive unit is thus created.
  • FIG. 1 shows a structural diagram of a control device for a drive unit
  • FIGS. 2 and 3 show a first exemplary embodiment of the solution according to the invention on the basis of flow diagrams.
  • Figure 4 shows waveforms for this embodiment.
  • FIGS. 5, 6 and 7 show a second exemplary embodiment of the solution according to the invention as a block diagram or as flow diagrams.
  • Description of exemplary embodiments 1 shows a control unit 10 for controlling a drive unit of a vehicle, preferably an internal combustion engine.
  • the control unit 10 includes, among other things, an input circuit 12 to which input lines 14 and 16 from measuring devices 18 and 20 are fed.
  • the input signals of the control unit are processed and fed to a microcomputer 22.
  • the measuring devices 18 and 20 are two measuring devices for
  • the two measuring devices can be constructed redundantly or, in another exemplary embodiment, can be designed as a continuous measuring device (for example a potentiometer) and a discontinuous measuring device (for example a switch).
  • Their measurement signals supplied via lines 14 and 16 are processed separately from one another in input circuit 12 and preferably on separate paths 24 and 26, for example via two input ports or two A / D
  • the microcomputer 22 is essentially divided into three levels with regard to its program structure.
  • the programs 30 for carrying out the control for the drive unit are combined in a first level 28. In the preferred exemplary embodiment, these are programs which do this on the basis of the degree of actuation of the control element (supplied via connections 44 and 46) and further operating variables Set the torque of the drive unit, in a preferred embodiment of an internal combustion engine calculate the air supply via an electrically actuated throttle valve, the fuel metering and the ignition timing.
  • the microcomputer 22 has output lines 32 and 34, which lead to output stages 36 and 38, which in turn set the ignition timing, fuel metering and air supply via corresponding output lines 40 and 42.
  • the programs 50 which are used for function monitoring of the control functions 30, are combined in a second level 48.
  • an allowable torque of the drive unit derived from the driver's request is compared with the set torque, and an error state is detected if it is exceeded.
  • an error state is detected if it is exceeded.
  • the function monitor 50 influences the output stage 38 for controlling the throttle valve via the output line 60 of the microcomputer 22.
  • the program structure of the microcomputer 22 has a third level 62, in which the programs 64 for checking the sequence of the function monitoring 50 are summarized.
  • the programs 64 communicate via connection lines 66 and 68 with a monitoring module 70 of a watchdog or security computer 72 that is separate from the microcomputer. In the programs 64, the monitoring module 70 selects via the connection line 66
  • Sequence control predetermined sequences. These essentially consist in the fact that the sequence control 64 in the function monitoring 50 triggers the execution of a computing operation (answer) on the basis of partial responses which are formed according to selected program steps (via connection 74), the result of which is supplied again by the sequence control 64 (via connection 76).
  • the sequence control 64 forwards the result, or a variable derived from it, via the connection 68 to the monitoring module 70, which compares the answer with its question made via the line 66.
  • the monitoring module 70 influences the output stages 36 and 38 via the output line 68.
  • the actual torque is approximated to this setpoint by adjusting the air supply, the fuel metering and the ignition angle.
  • the monitoring module 70 sets cyclically (for example every 200 msec) at least in predetermined operating states when, for example, the control element is released , is held stationary, the degree of actuation is in a predetermined value range and / or after the expiry of a a predetermined operating time or number of operating cycles, a stimulus information via the serial interface or a port pin to the microcomputer 22.
  • the microcomputer 22 reacts to this stimulus signal by at least for parts of the monitoring function (preferably for calculating the actual torque or for calculating the permissible torque) stored in the memory cells, on which the monitoring function is based (e.g.
  • the level 2 programs work properly, an error must be detected in this case.
  • the error counter in level 2 will run up accordingly.
  • the monitoring module expects a special reaction from the microcomputer 22, for example the transmission of an error or reset signal. If the monitoring module 70 receives such a signal, the stimulus signal is withdrawn and a functional second level is recognized. If the corresponding signal is not recognized within a predetermined period of time (ramp-up time of the counter), either one of the level 2 programs is faulty or a function is active in which the driver does not press the pedal (e.g.
  • Vehicle speed controller, drag torque controller and which increase the engine torque beyond the driver's request (at least if the actual signals are influenced by the test signals).
  • the monitoring module 70 maintains the stimulus signal.
  • the microcomputer 22 now calculates as part of its
  • the error counter must run up in any case, so that the corresponding reaction signal of the microcomputer 22 is triggered. If such a signal is not received by the monitoring module 70, an error in the range of
  • FIGS. 2 and 3 A first exemplary embodiment of the solution according to the invention is shown in FIGS. 2 and 3 on the basis of flow diagrams. These outline the implementation of the solution as programs in the monitoring module and the function monitoring.
  • the flowchart shown in FIG. 2 represents a program of the monitoring module 70. This is run through at predetermined time intervals (e.g. every 200 msec) if one of the above-mentioned operating situations is present.
  • the stimulus signal is implemented, for example, by a change in level, by a signal with a predetermined pulse duty factor or a predetermined voltage level on an input line of the microcomputer 22.
  • the current one is used instead of the reaction signal of the microcomputer 22 Transfer error counter reading to monitoring module 70. This then recognizes the correct function or faulty operation of the microcomputer 22 on the basis of the time course of the error counter or when the limit value is exceeded.
  • step 106 the output of the stimulus signal is maintained. Thereupon, it is checked again according to step 108 whether the reaction from the microcomputer 22 or the expected behavior of the
  • step 110 the test is considered to be completed and the program is ended, whereas, on the contrary, according to step 112, an error is assumed in the area of the functional monitoring of the microcomputer 22 and appropriate error reactions are initiated by the monitoring module. These consist essentially in switching off the output stages for the fuel metering, the ignition angle and the air supply or in an emergency operation, which results in a limited, in particular power-limited control of the drive unit.
  • step 112 the program is ended.
  • FIG. 3 shows the corresponding program of level 2, the function monitoring of the microcomputer 22. This is initiated at predefined time intervals (eg a few milliseconds).
  • the degree of actuation of the control element ⁇ and the engine speed N mot are read in in a first step 200 and an allowable engine torque MIZUL is determined in accordance with step 202 on the basis of a predetermined characteristic map, a predetermined table or predetermined calculation steps from the degree of actuation ⁇ and the engine speed N mot .
  • This permissible moment is dimensioned such that it is in the error-free operation of the microcomputer taking into account all tolerances of the actual torque of the drive unit is not exceeded. It is then checked in step 204 whether there is a stimulus signal from the monitoring module; if this is not the case, steps 206 and 208 are used to determine the
  • the load signal TL e.g. formed from air mass and engine speed
  • the set ignition angle ZW are read in (step 206) and on the basis of these two variables and the engine speed in accordance with a predetermined characteristic map, a predetermined table or predetermined calculation steps, the one emitted by the internal combustion engine Moment MI is determined.
  • a predetermined characteristic map e.g. formed from air mass and engine speed
  • a predetermined table or predetermined calculation steps the one emitted by the internal combustion engine Moment MI is determined.
  • FGR vehicle speed controller
  • MSR engine drag torque controller
  • step 212 the permissible torque MIZUL is set to a maximum value Mi max which is predetermined for these operating states and which is, for example, speed-dependent or speed-dependent.
  • Step 210 after step 214 carries out a comparison between the actual torque MI actual and the permissible torque MIZUL. If the calculated actual torque is greater than the calculated permissible torque, the error counter F is incremented in accordance with step 216, and decremented in accordance with step 218 in the opposite case. In the subsequent query step 220, it is checked whether the error counter has reached its maximum value. If this is the case, a corresponding signal is sent to the monitoring module 70 (safety computer SR) in accordance with step 222 and the program is ended in step 220 as in the case of a “NO” answer. If step 204 shows that a stimulus signal is present, a counter i running in this part of the program is incremented in accordance with step 224.
  • the monitoring module 70 safety computer SR
  • step 226 selected test signals for the engine load TLT and the ignition angle ZWT are specified in step 226 and an actual torque is determined in accordance with step 228 in accordance with step 208.
  • the counter i is compared with a maximum value i max . If this maximum value has not been reached, the process continues with step 210, in the other case the system jumps directly to step 214.
  • the counter i ensures that the desired test situation is generated if the stimulus signal is still present and the vehicle speed controller or drag torque controller is active.
  • the maximum value i max is dimensioned with a view to the time span that the error counter needs to reach its maximum value (eg 2-3 program runs). If the actual torque exceeds the permissible torque and the error counter runs up properly, the reaction signal is output to the monitoring module in accordance with step 222 if the monitoring function is functioning correctly.
  • the error counter status is transmitted at least in a test situation.
  • FIG. 4a shows the time profile of the stimulus signal
  • FIG. 4b that of the actual and permissible torque
  • FIG. 4c that of the error counter
  • FIG. 4d the intervention of a vehicle speed or drag torque controller
  • FIG. 4e the time profile of the feedback signal from the microcomputer 22 to the monitoring module 70.
  • the microcomputer 22 receives the stimulus signal released by the monitoring module (cf. FIG. 4a).
  • the actual torque then determined according to test data (FIG. 4b, solid line) immediately exceeds the permissible torque calculated on the basis of the degree of actuation (FIG. 4b, dashed line).
  • the error counter runs up until the maximum error level F max is reached by the time T1 (cf. FIG. 4c). This leads to the output of a corresponding error signal according to FIG. 4e to the monitoring module, to the resetting of the stimulus signal and to
  • Vehicle speed controller activated (Figure 4d).
  • the permissible torque is increased in this operating situation (cf. FIG. 4b).
  • the monitoring module sends a stimulus signal to the microcomputer 22.
  • the actual torque according to test data does not exceed the permissible torque.
  • the stimulus signal is maintained at time T4 and the permissible torque is determined as if the vehicle speed controller were not in engagement.
  • the actual torque exceeds the permissible torque (cf. FIG. 4b) as in the previous situation, so that the error counter is incremented from time T4 to time T5.
  • Reaching the maximum error counter status results in the output of the error signal to the monitoring module at time T5, so that the correct functioning of the monitoring is also proven here. From the At time T5, the error counter is decremented again according to FIG. 4c.
  • FIGS. 5 to 7 A second exemplary embodiment of the solution according to the invention is illustrated with reference to FIGS. 5 to 7.
  • This exemplary embodiment also serves to check whether the monitoring tasks of a microcomputer are carried out properly and reliably and is used in particular in control systems in which the control functions and the monitoring functions are implemented on the same microcomputer.
  • a direct check of the monitoring function is guaranteed by the transmission of the error counter or a signal derived therefrom according to the first exemplary embodiment, but the bit monitoring of the monitoring function does not take place. Rather, a type of threshold value monitoring is carried out.
  • the monitoring function of level 2 is therefore calculated alternately with real data and with test data, at least in predetermined operating situations.
  • the original program of level 2 with changed data is preferably used for the calculation with test data. In another advantageous embodiment, a copy of the program is used.
  • a permissible engine torque is determined from the actual values of the pedal position and engine speed, and an actual torque from the values for filling, engine speed and ignition angle.
  • a plausibility violation is checked by forming the difference.
  • the monitoring module outputs a test signal, whereupon this calculation is carried out not with real, but with test data (for engine speed, pedal position, filling and ignition angle).
  • test data are either stored in the monitoring module and are transmitted to the microcomputer 22 via an interface, or are stored in the microcomputer 22 as various test data sets which the monitoring module selects via a transmitted index.
  • This correct solution which belongs to each test data record, is known to the monitoring module.
  • the microcomputer 22 transmits this difference to the monitoring module, which checks the correctness of the result.
  • the test data records are selected so that both plausible results and implausible results are determined. It can therefore also be checked whether the monitoring level is still able to distinguish plausible states from implausible ones.
  • This second exemplary embodiment is shown in FIG. 5 using a block diagram which symbolically represents the program structure in level 2 of the microcomputer 22.
  • the engine speed N mot , 302 the pedal position ⁇ , 304 the filling TL and 306 the set ignition angle ZW are fed to the monitoring function via the connections 300. These signals are forwarded via switching elements 308, 310, 312 and 314, respectively.
  • the engine speed is based on a first map 316 for determining the permissible engine torque, on a second map 318 for determining the optimal engine torque and on a map 320 for determining the optimum
  • the pedal position ⁇ becomes a first map 316 via a filter 322, and the filling to the second Map 318 and the third map 320 performed.
  • the optimum ignition angle (maximum efficiency of the internal combustion engine) determined in the characteristic diagram 320 is passed to an addition stage 322, in which the difference between the optimal ignition angle and the actually set one is formed. This difference is led to a multiplication point 326 via a characteristic curve 324.
  • the characteristic curve 324 converts the deviation of the ignition angle into a deviation of the torque from the optimal torque (highest efficiency).
  • the optimum engine torque is corrected by the ignition angle deviation in accordance with the torque correction.
  • the result is a measure of the actual torque.
  • This is fed to an addition point 328, which is also fed from the map 316 the permissible torque. By subtracting the permissible torque from the actual torque, the torque difference is formed, which is led to the monitoring module via the connecting line 330. Furthermore, the
  • the error counter status is transmitted to the monitoring module at least when its maximum value is reached via connection 336.
  • a connection 338 is supplied from the monitoring module, which shows the switching elements 308 to 314 from the normal position to the dashed line
  • Test position transferred.
  • the connections for engine speed, pedal position, filling and ignition angle are connected to tables or memories 340, 342, 344 and 346 which contain various test data records. These are selected depending on the selection signal supplied by the monitoring module via connection 348. Examples of the implementation of the solution according to the invention in the context of the second exemplary embodiment as computer programs are shown using the flow diagrams according to FIGS. 6 and 7. 6 describes a program running in the monitoring module, while FIG. 7 describes a program running in the microcomputer 22.
  • the program of the monitoring module shown in FIG. 6 is called up at predetermined time intervals, wherein in an advantageous exemplary embodiment the program part is only called up in at least one of the above-mentioned, specific operating situations.
  • the test signal is formed and output to the microcomputer 22 and a test data record or an index defining a test data record is transmitted.
  • the test data are read out on the basis of the current operating state (described by accelerator pedal position and engine speed or filling) and alternately selected as a plausible and implausible combination.
  • step 102 the torque difference MI D i ff calculated by the microcomputer 22 and, if appropriate, the error counter reading are then read in, and in step 404 it is checked using stored difference values whether the calculated result is correct. If the result is correct, the program is started again with different test data. If the result does not match, an error state is recognized in accordance with step 406 and the program part is ended. Depending on the selected
  • an error counter runs in the monitoring module, error measures being taken when its maximum value is reached.
  • the monitoring module checks the chronological course of the counter reading and / or the reaching of the maximum value.
  • the program part shown in FIG. 7 shows a program that is started in the microcomputer 22 at predetermined time intervals.
  • the test variables for the pedal position, the engine speed, the ignition angle and the filling are selected or read in the first step 500 if a test signal is present. If there is no test signal, the measured or calculated actual quantities are read in. A situation is described below in which a test signal is present. In normal operation, the program runs accordingly, except that the actual operating variable values are used instead of the test data.
  • step 205 the signal value for the pedal position is subjected to a predetermined filtering.
  • step 504 the permissible torque MIZUL is determined on the basis of the test values for pedal position and engine speed and the actual torque MI actual is determined on the basis of the test variables for filling, ignition angle and engine speed. In the subsequent step 506, this becomes
  • Differential torque MI D i ff formed as the difference between the actual torque and the permissible torque and after step 508 to the
  • step 510 it is checked whether the differential torque is greater than 0. If this is the case, the error counter 512 is increased by 1, otherwise it is decremented (step 514). It is then checked in step 516 whether the error counter has reached its maximum value, wherein if the answer is positive according to step 518, an error is recognized and, if appropriate, a corresponding signal is output to the monitoring module. If the error counter has not yet reached its maximum value, the program is ended and restarted at the specified time. Alternatively, the current error counter status is transmitted.
  • a combination of the first and second exemplary embodiments is particularly advantageous.
  • the microcomputer 22 the monitoring module both the difference between the
  • Torque sizes as well as the error counter transmitted.
  • the monitoring module monitors both the bit-precise calculation of the torque difference and the functioning of the error determination, in particular the distinction between plausible and implausible deviations of the permissible from the calculated torque.
  • control function for torque setting always runs on the basis of the actual values, so that the operation of the drive unit is not impaired by the test.
  • the solution according to the invention is used in the same way, taking into account the corresponding operating size, also in diesel engines.
  • the monitoring function is in the described preferred embodiment based on the indexed moment, i.e. of the internal combustion engine in the torque generated by combustion.
  • the monitoring and thus also the test are given a different torque value (for example the torque delivered) Fill or load value, a performance value or pedal position and throttle valve position.
  • a different torque value for example the torque delivered
  • the setting of other operating elements e.g. a vehicle speed controller
  • setpoints for external interventions that specify a setpoint torque value
  • a setpoint torque value e.g. vehicle speed controller, engine drag torque controller, traction slip control, etc.
  • Operating variables eg driving speed, slip, speed, etc. are taken into account in these operating states when determining the permissible torque, and in this way the monitoring and their checking are ensured even in these or for these operating states.

Landscapes

  • Engineering & Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Chemical & Material Sciences (AREA)
  • Combustion & Propulsion (AREA)
  • Mechanical Engineering (AREA)
  • Computer Hardware Design (AREA)
  • Microelectronics & Electronic Packaging (AREA)
  • Combined Controls Of Internal Combustion Engines (AREA)

Abstract

The invention relates to a method and a device for controlling a vehicle drive unit. According to said method the control functions for the power of the drive unit and the monitoring of said control functions are carried out by a single microcomputer. A monitoring module separated from the microcomputer is provided to check the monitoring functions and send test signals to the microcomputer at a given time. Said microcomputer subsequently calculates the monitoring function of interest on the basis of test data. The result of the calculation is transmitted to the monitoring module which checks the operation capacity of the function monitoring system in the microcomputer by comparing it with stored values.

Description

Verfahren und Vorrichtung zur Steuerung einer Antriebseinheit eines FahrzeugsMethod and device for controlling a drive unit of a vehicle
Stand der TechnikState of the art
Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur Steuerung einer Antriebseinheit eines Fahrzeugs.The invention relates to a method and a device for controlling a drive unit of a vehicle.
Ein derartiges Verfahren und eine derartige Vorrichtung wird in der nicht vorveröffentlichten deutschen Patentanmeldung P 44 38 714.8 vom 29.10.1994 beschrieben. Dort ist eine Steuereinheit vorgesehen, welche einen Mikrocomputer aufweist, der sowohl die Steuerung der Leistung derSuch a method and such a device is described in the unpublished German patent application P 44 38 714.8 of October 29, 1994. A control unit is provided there, which has a microcomputer which both controls the power of the
Antriebseinheit (im Falle einer Brennkraftmaschine über Luftzufuhr, Kraftstoffzumessung und/oder Zündwinkel) als auch die Überwachung der korrekten Funktion dieser Steuerungsprogramme durchführt . Die Programmstruktur dieses Mikrocomputers besteht dabei im wesentlichen aus drei voneinander getrennten Ebenen (vgl . auch nachfolgende Beschreibung zur Figur 1) . In einer ersten Ebene werden die Steuerungsfunktionen berechnet. In einer zweiten Ebene wird das korrekte Arbeiten der Steuerfunktionen der ersten Ebene anhand von ausgewählten Ein- und Ausgangssignalen geprüft. In einer dritten Ebene ist eine Überprüfung der in der zweiten Ebene durchgeführten Überwachung im Rahmen einer Ablaufkontrolle realisiert, die im Zusammenspiel mit einem Überwachungsmodul (Watch-Dog oder Sicherheitsrechner) die korrekte Abarbeitung der Überwachungsschritte überprüft. Dazu stellt das Überwachungsmodul eine aus vorbestimmten Fragen ausgewählte Frage, die durch Bildung einer ausDrive unit (in the case of an internal combustion engine via air supply, fuel metering and / or ignition angle) as well as monitoring the correct functioning of these control programs. The program structure of this microcomputer essentially consists of three separate levels (cf. also the following description of FIG. 1). The control functions are calculated in a first level. In a second level, the correct functioning of the control functions of the first level is checked using selected input and output signals. The third level is a review of the monitoring carried out in the second level as part of a Process control implemented, which in conjunction with a monitoring module (watchdog or security computer) checks the correct processing of the monitoring steps. For this purpose, the monitoring module asks a question selected from predetermined questions by forming one
Teilantworten der Programme der zweiten Ebene beantwortet und dem Überwachungsmodul zur Fehlererkennung zurückgeschickt wird. Im bevorzugten Ausführungsbeispiel überwacht die zweite Ebene die Lufteinstellung der Brennkraftmaschine und schaltet im Fehlerfall diesePartial answers from the programs of the second level are answered and sent back to the monitoring module for error detection. In the preferred exemplary embodiment, the second level monitors the air setting of the internal combustion engine and switches it in the event of a fault
Lufteinstellung ab bzw. leitet einen Notlauf ein. Das Überwachungsmodul greift in diesem Ausführungsbeispiel sowohl auf die Endstufe für den die Luftzufuhr steuernden Steller als auch auf die Endstufen für Kraftstoffzumessung und Zündung ein. Maßnahmen zur Überprüfung der im Rahmen der Funktionsüberwachung in der zweiten Ebene durchgeführten Berechnungen neben der Kontrolle des Programmablaufes werden bei der bekannten Lösung nicht beschrieben.Air setting off or initiates an emergency run. In this exemplary embodiment, the monitoring module intervenes both on the output stage for the actuator controlling the air supply and on the output stages for fuel metering and ignition. Measures for checking the calculations carried out as part of the function monitoring in the second level in addition to checking the program sequence are not described in the known solution.
Es ist Aufgabe der Erfindung, Maßnahmen zur Überprüfung der im Rahmen der Funktionsüberwachung anzugeben.It is an object of the invention to provide measures for checking the function monitoring.
Dies wird durch die Merkmale der unabhängigen Patentansprüche erreicht.This is achieved through the features of the independent claims.
Vorteile der ErfindungAdvantages of the invention
Die erfindungsgemäße Lösung erlaubt die Erkennung von Fehlern des Mikrocomputers, die sich gleichartig sowohl auf die Berechnung der Steuerungsfunktionen als auch auf die Berechnung der Überwachungsfunktionen auswirken. Daher werden in vorteilhafter Weise auch schlafende Fehler erkannt, beispielsweise eine quantitative nicht richtig rechnende Überwachungsfunktion. Dabei ist besonders vorteilhaft, daß im Rahmen der erfindungsgemäßen Lösung nicht Operationen verwendet werden, die getrennt von den zu überwachenden Programmen vorliegen, sondern der zu überwachende Programmcode. Damit erlaubt die erfindungsgemäße Lösung eine nahezu hundertprozentigeThe solution according to the invention allows the detection of errors in the microcomputer which have a similar effect both on the calculation of the control functions and on the calculation of the monitoring functions. Therefore, sleeping errors are also advantageously detected, for example a quantitative monitoring function that does not correctly calculate. It is particularly advantageous that the solution according to the invention does not use operations that are separate from the programs to be monitored, but rather the program code to be monitored. The solution according to the invention thus allows an almost one hundred percent
Überprüfung der Funktionsüberwachung einer Steuerung für eine Antriebseinheit.Checking the function monitoring of a controller for a drive unit.
Besonders vorteilhaft ist, daß bei geeigneter Wahl der Testdatensätze in allen relevanten Wertebereichen repräsentative Tests durchgeführt werden können. Somit wird eine bitgenaue Überprüfung einer Überwachungsfunktion einer Leistungssteuerung einer Antriebseinheit geschaffen.It is particularly advantageous that if the test data sets are selected appropriately, representative tests can be carried out in all relevant value ranges. A bit-precise check of a monitoring function of a power control of a drive unit is thus created.
Weitere Vorteile ergeben sich aus der nachfolgenden Beschreibung von Ausführungsbeispielen bzw. aus den abhängigen Patentansprüchen.Further advantages result from the following description of exemplary embodiments or from the dependent patent claims.
Zeichnungdrawing
Die Erfindung wird nachstehend anhand der in der Zeichnung dargestellten Ausfuhrungsformen näher erläutert. Dabei zeigt Figur 1 ein Strukturbild einer Steuereinrichtung für eine Antriebseinheit, während in den Figuren 2 und 3 anhand von Flußdiagrammen ein erstes Ausführungsbeispiel der erfindungsgemäßen Lösung dargestellt ist. Figur 4 zeigt Signalverläufe für dieses Ausführungsbeispiel. In den Figuren 5, 6 und 7 ist ein zweites Ausführungsbeispiel der erfindungsgemäßen Lösung als Blockschaltbild bzw. als Flußdiagramme dargestellt.The invention is explained below with reference to the embodiments shown in the drawing. 1 shows a structural diagram of a control device for a drive unit, while FIGS. 2 and 3 show a first exemplary embodiment of the solution according to the invention on the basis of flow diagrams. Figure 4 shows waveforms for this embodiment. FIGS. 5, 6 and 7 show a second exemplary embodiment of the solution according to the invention as a block diagram or as flow diagrams.
Beschreibung von Ausführungsbeispielen In Figur 1 ist eine Steuereinheit 10 zur Steuerung einer Antriebseinheit eines Fahrzeugs, vorzugsweise einer Brennkraftmaschine, dargestellt. Die Steuereinheit 10 umfaßt unter anderem eine Eingangsschaltung 12, der Eingangsleitungen 14 und 16 von Meßeinrichtungen 18 und 20 zugeführt sind. In der Eingangsschaltung 12 werden die Eingangssignale der Steuereinheit aufbereitet und einem Mikrocomputer 22 zugeführt. Im bevorzugten Ausführungsbeispiel einer Leistungssteuerung handelt es sich bei den Meßeinrichtungen 18 und 20 um zwei Meßeinrichtungen zurDescription of exemplary embodiments 1 shows a control unit 10 for controlling a drive unit of a vehicle, preferably an internal combustion engine. The control unit 10 includes, among other things, an input circuit 12 to which input lines 14 and 16 from measuring devices 18 and 20 are fed. In the input circuit 12, the input signals of the control unit are processed and fed to a microcomputer 22. In the preferred embodiment of a power control, the measuring devices 18 and 20 are two measuring devices for
Erfassung des Betätigungsgrades eines vom Fahrer betätigbaren Bedienelements, beispielsweise eines Fahrpedals. Die beiden Meßeinrichtungen können dabei redundant aufgebaut sein oder in einem anderen Ausführungsbeispiel als kontinuierliche Meßeinrichtung (zum Beispiel Potentiometer) und diskontinuierliche Meßeinrichtung (zum Beispiel Schalter) ausgeführt sein. Deren über die Leitungen 14 und 16 zugeführten Meßsignale werden in der Eingangsschaltung 12 getrennt voneinander aufbereitet und vorzugsweise auf getrennten Wegen 24 und 26, beispielsweise über zwei Eingangsports oder zwei A/D-Detection of the degree of actuation of an operating element that can be actuated by the driver, for example an accelerator pedal. The two measuring devices can be constructed redundantly or, in another exemplary embodiment, can be designed as a continuous measuring device (for example a potentiometer) and a discontinuous measuring device (for example a switch). Their measurement signals supplied via lines 14 and 16 are processed separately from one another in input circuit 12 and preferably on separate paths 24 and 26, for example via two input ports or two A / D
Kanäle, dem Mikrocomputer 22 zugeführt. Neben diesen Meßsignalen werden der Steuereinheit bzw. dem Mikrocomputer weitere Meßgrößen der Antriebseinheit und/oder des Fahrzeugs zugeführt, z.B. Motordrehzahl, Stellung eines Leistungsstellelements, etc., was aus Übersichtlichkeitsgründen in Figur 1 nicht dargestellt ist. Der Mikrocomputer 22 ist bezüglich seiner Programmstruktur im wesentlichen in drei Ebenen aufgeteilt. In einer ersten Ebene 28 sind die Programme 30 zur Durchführung der Steuerung für die Antriebseinheit zusammengefaßt. Im bevorzugten Ausführungsbeispiel handelt es sich dabei um Programme, die auf der Basis des Betätigungsgrades des Bedienelements (zugeführt über Verbindungen 44 und 46) und weiterer Betriebsgrößen das Drehmoment der Antriebseinheit einstellen, in bevorzugten Ausführungsbeispiel einer Brennkraftmaschine die Luftzufuhr über eine elektrisch betätigbare Drosselklappe, die Kraftstoffzumessung und den Zündzeitpunkt berechnen. Entsprechend weist der Mikrocomputer 22 Ausgangsleitungen 32 und 34 auf, die auf Endstufen 36 und 38 führen, die wiederum über entsprechende Ausgangsleitungen 40 und 42 Zündzeitpunkt, Kraftstoffzumessung und Luftzufuhr einstellen. In einer zweiten Ebene 48 sind die Programme 50 zusammengefaßt, die zur Funktionsüberwachung der Steuerfunktionen 30 dienen. Dabei werden in einem bevorzugten Ausführungsbeispiel ein vom Fahrerwunsch abgeleitetes zulässiges Moment der Antriebseinheit mit dem eingestellten Moment verglichen und bei Überschreiten ein Fehlerzustand erkennt. Im bevorzugten Ausführungsbeispiel der Steuerung einer Brennkraftmaschine können auchChannels supplied to the microcomputer 22. In addition to these measurement signals, the control unit or the microcomputer are supplied with further measurement variables of the drive unit and / or the vehicle, for example engine speed, position of a power control element, etc., which is not shown in FIG. 1 for reasons of clarity. The microcomputer 22 is essentially divided into three levels with regard to its program structure. The programs 30 for carrying out the control for the drive unit are combined in a first level 28. In the preferred exemplary embodiment, these are programs which do this on the basis of the degree of actuation of the control element (supplied via connections 44 and 46) and further operating variables Set the torque of the drive unit, in a preferred embodiment of an internal combustion engine calculate the air supply via an electrically actuated throttle valve, the fuel metering and the ignition timing. Correspondingly, the microcomputer 22 has output lines 32 and 34, which lead to output stages 36 and 38, which in turn set the ignition timing, fuel metering and air supply via corresponding output lines 40 and 42. The programs 50, which are used for function monitoring of the control functions 30, are combined in a second level 48. In a preferred exemplary embodiment, an allowable torque of the drive unit derived from the driver's request is compared with the set torque, and an error state is detected if it is exceeded. In the preferred embodiment of the control of an internal combustion engine, too
Plausibilitätsüberprüfungen bezüglich des Betätigungsgrades des Bedienelements und der Einstellung der Drosselklappe oder entsprechender Werte für die Motorlast durchgeführt werden. Der Ebene 2, dort den Programmen 50 für die Funktionsüberwachung, werden demnach zum einen die Eingangssignale bezüglich desPlausibility checks regarding the degree of actuation of the control element and the setting of the throttle valve or corresponding values for the engine load are carried out. Level 2, there the programs 50 for function monitoring, accordingly, on the one hand, the input signals relating to the
Betätigungsgrades des Bedienelements zugeführt (Verbindungen 52 und 54) , zum anderen Berechnungsergebnisse der Programme 30 für die Steuerfunktionen (Verbindungen 56 und 58) . In einem anderen Ausführungsbeispiel werden zusätzlich oder alternativ zu den Berechnungsergebnisse Meßgrößen für die Motorlast, dieDegree of actuation of the control element supplied (connections 52 and 54), on the other hand calculation results of the programs 30 for the control functions (connections 56 and 58). In another exemplary embodiment, in addition or as an alternative to the calculation results, measured variables for the engine load are the
Drosselklappenstellung und/oder des Drehmoments zugeführt. Über die Ausgangsleitung 60 des Mikrocomputers 22 nimmt die Funktionsüberwachung 50 im bevorzugten Ausführungsbeispiel Einfluß auf die Endstufe 38 zur Steuerung der Drosselklappe. Neben der ersten und zweiten Ebene weist die Programmstruktur des Mikrocomputers 22 eine dritte Ebene 62 auf, in denen die Programme 64 zur Ablaufkontrolle der Funktionsüberwachung 50 zusammengefaßt sind. Die Programme 64 kommunizieren dabei über Verbindungsleitungen 66 und 68 mit einem Überwachungsmodul 70 eines vom Mikrocomputer getrennten Watch-Dogs bzw. Sicherheitsrechners 72. Über die Verbindungsleitung 66 wählt das Überwachungsmodul 70 in den Programmen 64 zurThrottle valve position and / or the torque supplied. In the preferred embodiment, the function monitor 50 influences the output stage 38 for controlling the throttle valve via the output line 60 of the microcomputer 22. In addition to the first and second levels, the program structure of the microcomputer 22 has a third level 62, in which the programs 64 for checking the sequence of the function monitoring 50 are summarized. The programs 64 communicate via connection lines 66 and 68 with a monitoring module 70 of a watchdog or security computer 72 that is separate from the microcomputer. In the programs 64, the monitoring module 70 selects via the connection line 66
Ablaufkontrolle vorbestimmte Sequenzen aus. Diese bestehen im wesentlichen darin, daß die Ablaufkontrolle 64 in der Funktionsüberwachung 50 die Durchführung einer Rechenoperation (Antwort) auf der Basis von Teilantworten, die nach ausgewählten Programmschritten gebildet werden, auslöst (über Verbindung 74) , deren Ergebnis von der Ablaufkontrolle 64 wieder zugeführt wird (über Verbindung 76) . Das Ergebnis bzw. eine aus diesem abgeleitete Größe leitet die Ablaufkontrolle 64 über die Verbindung 68 zum Überwachungsmodul 70 weiter, welches die Antwort mit seiner über die Leitung 66 abgegebenen Frage vergleicht. Im Fehlerfall nimmt das Überwachungsmodul 70 über die Ausgangsleitung 68 Einfluß auf die Endstufen 36 und 38.Sequence control predetermined sequences. These essentially consist in the fact that the sequence control 64 in the function monitoring 50 triggers the execution of a computing operation (answer) on the basis of partial responses which are formed according to selected program steps (via connection 74), the result of which is supplied again by the sequence control 64 (via connection 76). The sequence control 64 forwards the result, or a variable derived from it, via the connection 68 to the monitoring module 70, which compares the answer with its question made via the line 66. In the event of a fault, the monitoring module 70 influences the output stages 36 and 38 via the output line 68.
Im bevorzugten Ausführungsbeispiel wird aus dem Betätigungsgrad des Bedienelements ein Sollwert für das Drehmoment derIn the preferred embodiment, a setpoint for the torque of the operating level of the control element
Antriebseinheit abgeleitet. Das tatsächliche Drehmoment wird diesem Sollwert durch Einstellen der Luftzufuhr, der Kraftstoffzumessung und des Zündwinkels angenähert.Drive unit derived. The actual torque is approximated to this setpoint by adjusting the air supply, the fuel metering and the ignition angle.
Erfindungsgemäß ist zur erweiterten Überwachung der Funktion des Mikrocomputer, zumindest im kritischen Fall des losgelassenen Bedienelements (Leerlauf) , in einem ersten Ausführungsbeispiel folgendes vorgesehen: Das Überwachungsmodul 70 setzt zyklisch (z.B. alle 200 msec) zumindest in vorbestimmten Betriebszuständen, wenn z.B. das Bedienelement losgelassen ist, stationär gehalten wird, der Betätigungsgrad sich in einem vorgegebenen Wertebereich befindet und/oder nach Ablauf einer vorbestimmten Betriebsdauer oder Anzahl von Betriebszyklen eine Reizinformation über die serielle Schnittstelle oder ein Port¬ pin an den Mikrocomputer 22. Dieser reagiert auf dieseε Reizsignal, indem er zumindest für Teile der Überwachungsfunktion (vorzugsweise für die Istmomentenberechnung oder für die Berechnung des zulässigen Moments) nicht die in den Speicherzellen abgelegten, der Überwachungsfunktion zugrunde liegenden Größen (z.B. tatsächlichen momentenbestimmenden Größen wie Lastsignal und eingestellter Zündwinkel oder Betätigungsgrad) zugrundeliegt, sondern Testsignale, die im entsprechenden Betriebszustand die Überwachungsfunktion verletzen (z.B. ein hohes Istmoment zur Folge haben oder ein niedriges zulässiges Moment) . Wenn die Programme der Ebene 2 richtig funktionieren, muß in diesem Fall ein Fehler erkannt werden. Der in der Ebene 2 vorhandene Fehlerzähler wird demnach hochlaufen. Bei einem gewissen Stand des Fehlerzählers erwartet das Überwachungsmodul eine spezielle Reaktion des Mikrocomputers 22, beispielsweise die Übermittlung eines Fehler- oder Reset- Signals. Empfängt das Überwachungsmodul 70 ein derartiges Signal, so wird das Reizsignal zurückgenommen und eine funktionstüchtige zweite Ebene erkannt. Wird das entsprechende Signal innerhalb einer vorgegebenen Zeitspanne (Hochlaufzeit des Zählers) nicht erkannt, so ist entweder eines der Programme der Ebene 2 fehlerbehaftet oder eine Funktion aktiv, in der der Fahrer das Pedal nicht betätigt (z.B.According to the invention, the following is provided for extended monitoring of the function of the microcomputer, at least in the critical case of the released control element (idling): The monitoring module 70 sets cyclically (for example every 200 msec) at least in predetermined operating states when, for example, the control element is released , is held stationary, the degree of actuation is in a predetermined value range and / or after the expiry of a a predetermined operating time or number of operating cycles, a stimulus information via the serial interface or a port pin to the microcomputer 22. The microcomputer 22 reacts to this stimulus signal by at least for parts of the monitoring function (preferably for calculating the actual torque or for calculating the permissible torque) stored in the memory cells, on which the monitoring function is based (e.g. actual torque-determining parameters such as load signal and set ignition angle or degree of actuation), but test signals that violate the monitoring function in the corresponding operating state (e.g. result in a high actual torque or a low permissible torque). If the level 2 programs work properly, an error must be detected in this case. The error counter in level 2 will run up accordingly. At a certain level of the error counter, the monitoring module expects a special reaction from the microcomputer 22, for example the transmission of an error or reset signal. If the monitoring module 70 receives such a signal, the stimulus signal is withdrawn and a functional second level is recognized. If the corresponding signal is not recognized within a predetermined period of time (ramp-up time of the counter), either one of the level 2 programs is faulty or a function is active in which the driver does not press the pedal (e.g.
Fahrgeschwindigkeitsregler, Schleppmomentenregler) und die das Motormoment über den Fahrerwunsch hinaus erhöhen (zumindest dann, wenn durch die Testsignale das Istmoment beeinflußt wird) . Um dies zu prüfen, hält das Überwachungsmodul 70 das Reizsignal aufrecht. Der Mikrocomputer 22 rechnet nun im Rahmen seinerVehicle speed controller, drag torque controller) and which increase the engine torque beyond the driver's request (at least if the actual signals are influenced by the test signals). To check this, the monitoring module 70 maintains the stimulus signal. The microcomputer 22 now calculates as part of its
Funktionsüberwachung die Momentenüberwachung auf der Basis des Fahrerwunsches Leerlauf und nicht wie für den erhöhenden Eingriff vorgesehen mit anderen zulässigen Momenten. In diesem Fall muß der Fehlerzähler auf jeden Fall hochlaufen, so daß das entsprechende Reaktionssignal des Mikrocomputers 22 ausgelöst wird. Wird ein solches Signal vom Überwachungsmodul 70 nicht empfangen, so wird auf einen Fehler im Bereich derFunction monitoring torque monitoring based on the driver's request for idling and not as for the increasing Intervention provided with other permissible moments. In this case, the error counter must run up in any case, so that the corresponding reaction signal of the microcomputer 22 is triggered. If such a signal is not received by the monitoring module 70, an error in the range of
Funktionsüberwachung erkannt und die entsprechenden Abschalt- bzw. Notlaufmaßnahmen über die Ausgangsleitung 78 eingeleitet.Function monitoring recognized and the corresponding shutdown or emergency measures initiated via the output line 78.
Ein erstes Ausführungsbeispiel der erfindungsgemäßen Lösung ist in den Figuren 2 und 3 anhand von Flußdiagrammen dargestellt. Diese skizzieren die Realisierung der Lösung als Programme im Überwachungsmodul und der Funktionsüberwachung.A first exemplary embodiment of the solution according to the invention is shown in FIGS. 2 and 3 on the basis of flow diagrams. These outline the implementation of the solution as programs in the monitoring module and the function monitoring.
Das in Figur 2 dargestellte Flußdiagramm stellt ein Programm des Überwachungsmoduls 70 dar. Dieses wird bei Vorliegen einer der oben genannten Betriebssituationen in vorgegebenen Zeitintervallen (z.B. alle 200 msec) durchlaufen. Im ersten Schritt 100 wird das Reizsignal an den Mikrocomputer 22 (FR = Funktionsrechner) ausgegeben. Das Reizsignal wird dabei beispielsweise durch eine Pegeländerung, durch ein Signal mit vorgegebenem Tastverhältnis oder vorgegebener Spannungshöhe auf einer Eingangsleitung des Mikrocomputers 22 realisiert. Im darauffolgenden Schritt 102 wird überprüft, ob nach Ablauf einer vorbestimmten Zeitspanne, während der Fehlerzähler sicher seinen Maximalwert erreicht hat, das entsprechende Reaktionssignal vom Mikrocomputer 22 erkannt wurde. Ist dies der Fall, so wird gemäß Schritt 104 der Test als abgeschlossen betrachtet und der Programmteil beendet. Er wird bei Vorliegen der nächsten vorgegebenen Betriebssituation wieder eingeleitet.The flowchart shown in FIG. 2 represents a program of the monitoring module 70. This is run through at predetermined time intervals (e.g. every 200 msec) if one of the above-mentioned operating situations is present. In the first step 100, the stimulus signal is output to the microcomputer 22 (FR = function computer). The stimulus signal is implemented, for example, by a change in level, by a signal with a predetermined pulse duty factor or a predetermined voltage level on an input line of the microcomputer 22. In the subsequent step 102, it is checked whether the corresponding response signal has been recognized by the microcomputer 22 after a predetermined period of time, while the error counter has certainly reached its maximum value. If this is the case, then according to step 104 the test is considered to be completed and the program part is ended. It is initiated again when the next specified operating situation is present.
In einem anderen vorteilhaften Ausführungsbeispiel wird anstelle des Reaktionssignals des Mikrocomputers 22 der aktuelle Fehlerzählerstand an das Überwachungsmodul 70 übertragen. Dieses erkannt dann anhand des zeitlichen Verlaufs des Fehlerzählers bzw. am Überschreiten des Grenzwerts die korrekte Funktion bzw. ein fehlerbehaftetes Arbeiten des Mikrocomputers 22.In another advantageous exemplary embodiment, the current one is used instead of the reaction signal of the microcomputer 22 Transfer error counter reading to monitoring module 70. This then recognizes the correct function or faulty operation of the microcomputer 22 on the basis of the time course of the error counter or when the limit value is exceeded.
Erkennt das Überwachungsmodul nicht das aufgrund des Reizsignals zu erwartende Arbeiten des Mikrocomputers im Schritt 102, so wird gemäß Schritt 106 die Ausgabe des Reizsignals beibehalten. Daraufhin wird gemäß Schritt 108 erneut überprüft, ob die Reaktion vom Mikrocomputer 22 bzw. das erwartete Verhalten desIf the monitoring module does not recognize that the microcomputer is expected to work in step 102 on the basis of the stimulus signal, then in step 106 the output of the stimulus signal is maintained. Thereupon, it is checked again according to step 108 whether the reaction from the microcomputer 22 or the expected behavior of the
Fehlerzählers des Mikrocomputers 22 vorliegt. Ist dies der Fall, so wird gemäß Schritt 110 der Test als abgeschlossen betrachtet und das Programm beendet, während im gegenteiligen Fall gemäß Schritt 112 von einem Fehler im Bereich der Funktionsüberwachung des Mikrocomputers 22 ausgegangen wird und entsprechende Fehlerreaktionen vom Überwachungsmodul eingeleitet. Diese bestehen im wesentlichen in einer Abschaltung der Endstufen für die Kraftstoffzumessung, den Zündwinkel und die Luftzufuhr oder in einem Notlauf, der eine eingeschränkte insbesondere leistungsbegrenzte Steuerung der Antriebseinheit zur Folge hat. Nach Schritt 112 wird das Programm beendet.Error counter of the microcomputer 22 is present. If this is the case, then according to step 110, the test is considered to be completed and the program is ended, whereas, on the contrary, according to step 112, an error is assumed in the area of the functional monitoring of the microcomputer 22 and appropriate error reactions are initiated by the monitoring module. These consist essentially in switching off the output stages for the fuel metering, the ignition angle and the air supply or in an emergency operation, which results in a limited, in particular power-limited control of the drive unit. After step 112, the program is ended.
In Figur 3 ist das entsprechende Programm der Ebene 2, der Funktionsüberwachung des Mikrocomputers 22 dargestellt. Dieses wird in vorgegebenen Zeitintervallen (z.B. einige Millisekunden) eingeleitet. Nach Start des Programmteils werden im ersten Schritt 200 der Betätigungsgrad des Bedienelements ß sowie die Motordrehzahl Nmot eingelesen und gemäß Schritt 202 auf der Basis eines vorgegebenen Kennfeldes, einer vorgegebenen Tabelle oder vorgegebener Berechnungsschritte aus Betätigungsgrad ß und Motordrehzahl Nmot ein zulässige Motormoment MIZUL bestimmt. Dieses zulässige Moment ist dabei derart bemessen, daß es im fehlerfreien Betrieb des Mikrocomputers unter Berücksichtigung aller Toleranzen von tatsächlichen Moment der Antriebseinheit nicht überschritten wird. Daraufhin wird im Schritt 204 überprüft, ob vom Überwachungsmodul ein Reizsignal vorliegt, ist dies nicht der Fall, wird mit den Schritten 206 und 208 dieFIG. 3 shows the corresponding program of level 2, the function monitoring of the microcomputer 22. This is initiated at predefined time intervals (eg a few milliseconds). After the start of the program part, the degree of actuation of the control element β and the engine speed N mot are read in in a first step 200 and an allowable engine torque MIZUL is determined in accordance with step 202 on the basis of a predetermined characteristic map, a predetermined table or predetermined calculation steps from the degree of actuation β and the engine speed N mot . This permissible moment is dimensioned such that it is in the error-free operation of the microcomputer taking into account all tolerances of the actual torque of the drive unit is not exceeded. It is then checked in step 204 whether there is a stimulus signal from the monitoring module; if this is not the case, steps 206 and 208 are used to determine the
Funktionsüberwachung eingeleitet. Dazu wird das Lastsignal TL (z.B. aus Luftmasse und Motordrehzahl gebildet) und der eingestellte Zündwinkel ZW eingelesen (Schritt 206) und auf der Basis dieser beiden Größen sowie der Motordrehzahl nach Maßgabe eines vorbestimmten Kennfeldes, einer vorbeεtimmten Tabelle oder vorbestimmter Berechnungsschritte das von der Brennkraftmaschine abgegebene Moment MIIst bestimmt. Im darauffolgenden Abfrageschritt 210 wird überprüft, ob gerade ein gegenüber dem vom Fahrer vorgegebenen Sollmoment momentenerhöhender Eingriff beispielsweise durch einen Fahrgeschwindigkeitsregler (FGR) oder einen Motorschleppmomentenregler (MSR) aktiv ist. Ist dies der Fall, wird gemäß Schritt 212 das zulässige Moment MIZUL auf einen für diese Betriebszustände vorbestimmten Maximalwert Mimax, der z.B. drehzahl- oder geschwindigkeitsabhängig ist, gesetzt. Nach Schritt 212 wird wie im Falle einer „NEIN"-Antwort imFunction monitoring initiated. For this purpose, the load signal TL (e.g. formed from air mass and engine speed) and the set ignition angle ZW are read in (step 206) and on the basis of these two variables and the engine speed in accordance with a predetermined characteristic map, a predetermined table or predetermined calculation steps, the one emitted by the internal combustion engine Moment MI is determined. In the subsequent query step 210, it is checked whether an intervention which increases the torque compared to the target torque specified by the driver is active, for example by a vehicle speed controller (FGR) or an engine drag torque controller (MSR). If this is the case, according to step 212 the permissible torque MIZUL is set to a maximum value Mi max which is predetermined for these operating states and which is, for example, speed-dependent or speed-dependent. After step 212, as in the case of a "NO" answer in the
Schritt 210 nach Schritt 214 ein Vergleich zwischen Istmoment MIIst und zulässigem Moment MIZUL durchgeführt. Ist das berechnete Istmoment größer als das berechnete zulässige Moment, wird gemäß Schritt 216 der Fehlerzähler F inkrementiert, im gegenteiligen Fall gemäß Schritt 218 dekrementiert. Im darauffolgenden Abfrageschritt 220 wird überprüft, ob der Fehlerzähler seinen Maximalwert erreicht hat. Ist dies der Fall, wird gemäß Schritt 222 ein entsprechendes Signal an das Überwachungsmodul 70 (Sicherheitsrechner SR) abgegeben und das Programm wie im Falle einer „NEIN"-Antwort im Schritt 220 beendet. Ergab Schritt 204, daß ein Reizsignal vorliegt, wird ein in diesem Teil des Programms mitlaufender Zähler i gemäß Schritt 224 inkrementiert. Daraufhin werden im Schritt 226 ausgewählte Testsignale für die Motorlast TLT und den Zündwinkel ZWT vorgegeben und gemäß Schritt 228 entsprechend Schritt 208 ein Istmoment bestimmt. Im darauffolgenden Abfrageschritt 230 wird der Zähler i mit einem Maximalwert imax verglichen. Ist dieser Maximalwert nicht erreicht, wird mit Schritt 210 fortgefahren, im anderen Fall direkt in Schritt 214 gesprungen. Der Zähler i stellt dabei sicher, daß bei weiterhin vorhandenem Reizsignal und aktivem Fahrgeschwindigkeitsregler oder aktivem Schleppmomentenregler die gewünschte Testsituation erzeugt wird. Der Maximalwert imax ist dabei mit Blick auf die Zeitspanne bemessen, die der Fehlerzähler zum Erreichen seines Maximalwerts benötigt (z.B. 2-3 Programmdurchläufe) . Überschreitet das Istmoment das zulässige Moment und läuft der Fehlerzähler ordnungsgemäß hoch, so wird gemäß Schritt 222 bei korrekt funktionierender Überwachungsfunktion das Reaktionssignal an das Überwachungsmodul abgegeben.Step 210 after step 214 carries out a comparison between the actual torque MI actual and the permissible torque MIZUL. If the calculated actual torque is greater than the calculated permissible torque, the error counter F is incremented in accordance with step 216, and decremented in accordance with step 218 in the opposite case. In the subsequent query step 220, it is checked whether the error counter has reached its maximum value. If this is the case, a corresponding signal is sent to the monitoring module 70 (safety computer SR) in accordance with step 222 and the program is ended in step 220 as in the case of a “NO” answer. If step 204 shows that a stimulus signal is present, a counter i running in this part of the program is incremented in accordance with step 224. Thereupon, selected test signals for the engine load TLT and the ignition angle ZWT are specified in step 226 and an actual torque is determined in accordance with step 228 in accordance with step 208. In the subsequent query step 230, the counter i is compared with a maximum value i max . If this maximum value has not been reached, the process continues with step 210, in the other case the system jumps directly to step 214. The counter i ensures that the desired test situation is generated if the stimulus signal is still present and the vehicle speed controller or drag torque controller is active. The maximum value i max is dimensioned with a view to the time span that the error counter needs to reach its maximum value (eg 2-3 program runs). If the actual torque exceeds the permissible torque and the error counter runs up properly, the reaction signal is output to the monitoring module in accordance with step 222 if the monitoring function is functioning correctly.
In einem anderen vorteilhaften Ausführungsbeispiel wird zumindest bei einer Testsituation der Fehlerzählerstand übermittelt.In another advantageous exemplary embodiment, the error counter status is transmitted at least in a test situation.
In Figur 4 ist die erfindungsgemäße Lösung anhand vonThe solution according to the invention is shown in FIG
Zeitdiagrammen dargestellt. Dabei zeigt Figur 4a den Zeitverlauf des Reizsignals, Figur 4b den des Ist- und des zulässigen Moments, Figur 4c den des Fehlerzählers, Figur 4d den Eingriff eines Fahrgeschwindigkeits- oder Schleppmomentenreglers und Figur 4e den Zeitverlauf des Rückmeldesignals des Mikrocomputers 22 an das Überwachungsmodul 70. Zu einem ersten Zeitpunkt TO empfängt der Mikrocomputer 22 das vom Überwachungsmodul ausgesetzte Reizsignal (vgl. Figur 4a) . Das daraufhin nach Testdaten ermittelte Istmoment (Figur 4b, durchgezogene Linie) überschreitet unmittelbar danach das auf der Basis des Betätigungsgrades berechnete zulässige Moment (Figur 4b, strichlierte Linie) . Entsprechend läuft der Fehlerzähler hoch, bis zum Zeitpunkt Tl der Maximalfehlerstand Fmax erreicht ist (vgl. Figur 4c) . Dies führt zur Ausgabe eines entsprechenden Fehlersignals gemäß Figur 4e an das Überwachungsmodul, zum Rücksetzen des Reizsignals und zurTime charts shown. FIG. 4a shows the time profile of the stimulus signal, FIG. 4b that of the actual and permissible torque, FIG. 4c that of the error counter, FIG. 4d the intervention of a vehicle speed or drag torque controller, and FIG. 4e the time profile of the feedback signal from the microcomputer 22 to the monitoring module 70. At a first time TO, the microcomputer 22 receives the stimulus signal released by the monitoring module (cf. FIG. 4a). The actual torque then determined according to test data (FIG. 4b, solid line) immediately exceeds the permissible torque calculated on the basis of the degree of actuation (FIG. 4b, dashed line). Correspondingly, the error counter runs up until the maximum error level F max is reached by the time T1 (cf. FIG. 4c). This leads to the output of a corresponding error signal according to FIG. 4e to the monitoring module, to the resetting of the stimulus signal and to
Beendigung der Testsituation (vgl. Figur 4a, 4b) . In diesem Beispiel arbeitete die Überwachung korrekt. Nach dem Zeitpunkt Tl wird der Fehlerzähler wieder dekrementiert.End of the test situation (cf. FIGS. 4a, 4b). In this example, the monitoring worked correctly. After the time Tl, the error counter is decremented again.
Zu einem weiteren Zeitpunkt T2 wird einAt a further time T2,
Fahrgeschwindigkeitsregler aktiviert (Figur 4d) . In dieser Betriebssituation wird das zulässige Moment erhöht (vgl. Figur 4b) . Zum Zeitpunkt T3 setzt das Überwachungsmodul ein Reizsignal an den Mikrocomputer 22 ab. Dies führt entsprechend Figur 4b zur Berechnung des Istmoments nach Testdaten. In diesem Fall überschreitet das Istmoment nach Testdaten das zulässige Moment nicht. Dies bedeutet, daß zum Zeitpunkt T4 das Reizsignal beibehalten wird und das zulässige Moment so bestimmt wird, als wäre der Fahrgeschwindigkeitsregler nicht im Eingriff. Dadurch überschreitet bei funktionierender Überwachung das Istmoment wie in der vorhergehenden Situation das zulässige Moment (vgl. Figur 4b) , so daß ab dem Zeitpunkt T4 bis zum Zeitpunkt T5 der Fehlerzähler inkrementiert wird. Das Erreichen des maximalen Fehlerzählerstandes führt zum Zeitpunkt T5 zur Ausgabe des Fehlersignals an das Überwachungsmodul, so daß auch hier die korrekte Funktionsweise der Überwachung nachgewiesen ist. Ab dem Zeitpunkt T5 wird der Fehlerzähler gemäß Figur 4c wieder dekrementiert.Vehicle speed controller activated (Figure 4d). The permissible torque is increased in this operating situation (cf. FIG. 4b). At time T3, the monitoring module sends a stimulus signal to the microcomputer 22. According to FIG. 4b, this leads to the calculation of the actual torque based on test data. In this case, the actual torque according to test data does not exceed the permissible torque. This means that the stimulus signal is maintained at time T4 and the permissible torque is determined as if the vehicle speed controller were not in engagement. As a result, the actual torque exceeds the permissible torque (cf. FIG. 4b) as in the previous situation, so that the error counter is incremented from time T4 to time T5. Reaching the maximum error counter status results in the output of the error signal to the monitoring module at time T5, so that the correct functioning of the monitoring is also proven here. From the At time T5, the error counter is decremented again according to FIG. 4c.
Ein zweites Ausführungsbeispiel der erfindungsgemäßen Lösung wird anhand der Figuren 5 bis 7 dargestellt. Auch dieses Ausführungsbeispiel dient zur Überprüfung, ob die Überwachungsaufgaben eines Mikrocomputers ordnungsgemäß und zuverlässig durchgeführt werden und wird insbesondere bei Steuersystemen eingesetzt, in der die Steuerungsfunktionen und die Überwachungsfunktionen auf demselben Mikrocomputer implementiert sind. Durch die Übertragung des Fehlerzählers bzw. eines daraus abgeleiteten Signals gemäß dem ersten Ausführungsbeispiel wird zwar eine direkte Überprüfung der Überwachungsfunktion gewährleistet, eine bitgenaue Überprüfung der Überwachungsfunktion findet jedoch nicht statt. Vielmehr wird eine Art Schwellwertüberwachung durchgeführt. Zur bitgenauen Überprüfung der Berechnungen im Rahmen der Überwachung der Ebene 2 wird daher gemäß dem zweiten Ausführungsbeispiel die Überwachungsfunktion der Ebene 2 zumindest in vorbestimmten Betriebssituationen abwechselnd mit realen Daten und mit Testdaten gerechnet. Vorzugsweise wird bei der Berechnung mit Testdaten das Originalprogramm der Ebene 2 mit veränderten Daten verwendet. In einem anderen vorteilhaften Ausführungsbeispiel wird eine Kopie des Programms verwendet.A second exemplary embodiment of the solution according to the invention is illustrated with reference to FIGS. 5 to 7. This exemplary embodiment also serves to check whether the monitoring tasks of a microcomputer are carried out properly and reliably and is used in particular in control systems in which the control functions and the monitoring functions are implemented on the same microcomputer. A direct check of the monitoring function is guaranteed by the transmission of the error counter or a signal derived therefrom according to the first exemplary embodiment, but the bit monitoring of the monitoring function does not take place. Rather, a type of threshold value monitoring is carried out. For the bit-precise checking of the calculations in the context of the monitoring of level 2, the monitoring function of level 2 is therefore calculated alternately with real data and with test data, at least in predetermined operating situations. The original program of level 2 with changed data is preferably used for the calculation with test data. In another advantageous embodiment, a copy of the program is used.
Bei der Berechnung der Überwachung mit realen Daten wird aus den tatsächlichen Werten von Pedalstellung und Motordrehzahl ein zulässiges Motormoment ermittelt, aus den Werten für Füllung, Drehzahl und Zündwinkel ein Istmoment. Durch Differenzbildung wird eine Plausibilitätsverletzung geprüft. Im Falle einer Verletzung, vorzugsweise im Falle eines im Vergleich zum zulässigen Motormoment zu großen Istmoments, läuft ein Fehlerzähler los. Auf diese Berechnung folgend gibt das Überwachungsmodul ein Testsignal aus, worauf diese Berechnung nicht mit realen, sondern mit Testdaten (für Motordrehzahl, Pedalstellung, Füllung und Zündwinkel) erfolgt. Diese Testdaten sind entweder im Überwachungsmodul abgelegt und werden über eine Schnittstelle dem Mikrocomputer 22 übermittelt oder sind im Mikrocomputer 22 als verschiedene Testdatensätze gespeichert, die das Überwachungsmodul über einen übermittelten Index auswählt. Zu einem festen Testdatensatz gibt es nur eine einzige richtige Lösung für die Differenz zwischen zulässigem Moment und Istmoment. Diese zu jedem Testdatensatz gehörende richtige Lösung ist dem Überwachungsmodul bekannt. Der Mikrocomputer 22 übermittelt diese Differenz dem Überwachungsmodul, das die Korrektheit des Ergebnisses prüft. Dabei werden die Testdatensätze so gewählt, daß sowohl plausible Ergebnisse als auch unplausible Ergebnisse ermittelt werden. Daher kann auch geprüft werden, ob die Überwachungsebene noch in der Lage ist, plausible Zustände von unplausiblen zu unterscheiden.When calculating the monitoring with real data, a permissible engine torque is determined from the actual values of the pedal position and engine speed, and an actual torque from the values for filling, engine speed and ignition angle. A plausibility violation is checked by forming the difference. In the event of an injury, preferably in the case of an actual torque that is too large in comparison to the permissible engine torque, a run-in occurs Error counter going. Following this calculation, the monitoring module outputs a test signal, whereupon this calculation is carried out not with real, but with test data (for engine speed, pedal position, filling and ignition angle). These test data are either stored in the monitoring module and are transmitted to the microcomputer 22 via an interface, or are stored in the microcomputer 22 as various test data sets which the monitoring module selects via a transmitted index. For a fixed test data set, there is only one correct solution for the difference between the permissible torque and the actual torque. This correct solution, which belongs to each test data record, is known to the monitoring module. The microcomputer 22 transmits this difference to the monitoring module, which checks the correctness of the result. The test data records are selected so that both plausible results and implausible results are determined. It can therefore also be checked whether the monitoring level is still able to distinguish plausible states from implausible ones.
Dieses zweite Ausführungsbeispiel ist in Figur 5 anhand eines Blockschaltbilds dargestellt, welches symbolisch die Programmstruktur in der Ebene 2 des Mikrocomputers 22 darstellt. Der Überwachungsfunktion werden über die Verbindungen 300 die Motordrehzahl Nmot, 302 die Pedalstellung ß, 304 die Füllung TL und 306 der eingestellte Zündwinkel ZW zugeführt. Diese Signale werden jeweils über Schaltelemente 308, 310, 312 und 314 weitergeführt. Die Motordrehzahl wird dabei auf ein erstes Kennfeld 316 zur Bestimmung des zulässigen Motormoments, auf ein zweites Kennfeld 318 zur Bestimmung des optimalen Motormoments und auf ein Kennfeld 320 zur Bestimmung des optimalenThis second exemplary embodiment is shown in FIG. 5 using a block diagram which symbolically represents the program structure in level 2 of the microcomputer 22. The engine speed N mot , 302 the pedal position β, 304 the filling TL and 306 the set ignition angle ZW are fed to the monitoring function via the connections 300. These signals are forwarded via switching elements 308, 310, 312 and 314, respectively. The engine speed is based on a first map 316 for determining the permissible engine torque, on a second map 318 for determining the optimal engine torque and on a map 320 for determining the optimum
Zündwinkels geführt. Die Pedalstellung ß wird über ein Filter 322 zum ersten Kennfeld 316, die Füllung auf das zweite Kennfeld 318 und das dritte Kennfeld 320 geführt. Der im Kennfeld 320 bestimmte optimale Zündwinkel (höchster Wirkungsgrad der Brennkraftmaschine) wird auf eine Additionsstufe 322 geführt, in der die Differenz zwischen dem optimalen Zündwinkel und dem tatsächlich eingestellten gebildet wird. Diese Differenz wird über eine Kennlinie 324 zu einer Multiplikationsstelle 326 geführt. Die Kennlinie 324 setzt die Abweichung des Zündwinkels in eine Abweichung des Moments vom optimalen Moment (höchster Wirkungsgrad) um. In der Multiplikationsstelle 326 wird das optimale Motormoment nach Maßgabe der Momentenkorrektur durch die Zündwinkelabweichung korrigiert. Ergebnis ist ein Maß für das Istmoment. Dieses wird einer Additionsstelle 328 zugeführt, der ferner vom Kennfeld 316 das zulässige Moment zugeführt wird. Durch Subtraktion des zulässigen Moments vom Istmoment wird die Momentendifferenz gebildet, die über die Verbindungsleitung 330 zum Überwachungsmodul geführt wird. Ferner wird dieIgnition angle led. The pedal position β becomes a first map 316 via a filter 322, and the filling to the second Map 318 and the third map 320 performed. The optimum ignition angle (maximum efficiency of the internal combustion engine) determined in the characteristic diagram 320 is passed to an addition stage 322, in which the difference between the optimal ignition angle and the actually set one is formed. This difference is led to a multiplication point 326 via a characteristic curve 324. The characteristic curve 324 converts the deviation of the ignition angle into a deviation of the torque from the optimal torque (highest efficiency). In the multiplication point 326, the optimum engine torque is corrected by the ignition angle deviation in accordance with the torque correction. The result is a measure of the actual torque. This is fed to an addition point 328, which is also fed from the map 316 the permissible torque. By subtracting the permissible torque from the actual torque, the torque difference is formed, which is led to the monitoring module via the connecting line 330. Furthermore, the
Momentendifferenz auf einen Schwellwertschalter 332 geführt, der im Falle eines Überschreitens des zulässigen Moments durch das Istmoment den Fehlerzähler 334 inkrementiert. Im bevorzugten Ausführungsbeispiel wird der Fehlerzählerstand zumindest bei Erreichen seines Maximalwertes über die Verbindung 336 zum Überwachungsmodul übermittelt. Vom Überwachungsmodul wird eine Verbindung 338 zugeführt, welche die Schaltelemente 308 bis 314 von der Normalstellung in die strichliert dargestellteTorque difference led to a threshold switch 332, which increments the error counter 334 if the actual torque is exceeded by the actual torque. In the preferred exemplary embodiment, the error counter status is transmitted to the monitoring module at least when its maximum value is reached via connection 336. A connection 338 is supplied from the monitoring module, which shows the switching elements 308 to 314 from the normal position to the dashed line
Teststellung überführt. In dieser Stellung sind die Verbindungen für Motordrehzahl, Pedalstellung, Füllung und Zündwinkel mit Tabellen oder Speicher 340, 342, 344 und 346 verbunden, die verschiedene Testdatensätze enthalten. Diese werden in Abhängigkeit des über die Verbindung 348 vom Überwachungsmodul zugeführte Auswahlsignal ausgewählt. Beispiele für die Realisierung der erfindungsgemäßen Lösung im Rahmen des zweiten Ausführungsbeispiels als Rechnerprogramme sind anhand der Flußdiagramme nach den Figuren 6 und 7 dargestellt. Dabei beschreibt Figur 6 ein im Überwachungsmodul ablaufendes Programm, während Figur 7 ein im Mikrocomputer 22 ablaufendes Programm beschreibt.Test position transferred. In this position, the connections for engine speed, pedal position, filling and ignition angle are connected to tables or memories 340, 342, 344 and 346 which contain various test data records. These are selected depending on the selection signal supplied by the monitoring module via connection 348. Examples of the implementation of the solution according to the invention in the context of the second exemplary embodiment as computer programs are shown using the flow diagrams according to FIGS. 6 and 7. 6 describes a program running in the monitoring module, while FIG. 7 describes a program running in the microcomputer 22.
Das in Figur 6 dargestellte Programm des Überwachungsmoduls wird in vorgegebenen Zeitintervallen aufgerufen, wobei in einem vorteilhaften Ausführungsbeispiel der Programmteil nur in wenigstens einer der obengenannten, bestimmten Betriebssituationen aufgerufen wird. Im ersten Schritt 400 des dargestellten Programmteils wird das Testsignal gebildet und an den Mikrocomputer 22 ausgegeben und ein Testdatensatz bzw. ein einen Testdatensatz festlegender Index übertragen. Die Testdaten werden im bevorzugten Ausführungsbeispiel anhand des aktuellen Betriebszustandes (beschrieben durch Fahrpedalstellung und Motordrehzahl oder Füllung) , ausgelesen und abwechselnd als plausible und unplausible Kombination ausgewählt. Im Rahmen der Realisierung der erfindungsgemäßen Lösung werden bezüglich der Einleitung des Test, der Auswahl und Vorgabe der Testdaten auch andere Strategien eingesetzt (z.B. nur plausible Daten, nur unplausible Daten) . Im darauffolgenden Schritt 102 wird dann die vom Mikrocomputer 22 errechnete Momentendifferenz MIDiff sowie ggf- der Fehlerzählerstand eingelesen und im Schritt 404 anhand gespeicherter Differenzenwerte überprüft, ob das errechnete Ergebnis korrekt ist. Ist das Ergebnis korrekt, wird das Programm mit anderen Testdaten erneut gestartet. Stimmt das Ergebnis nicht überein, wird gemäß Schritt 406 ein Fehlerzustand erkannt und der Programmteil beendet. Je nach gewählterThe program of the monitoring module shown in FIG. 6 is called up at predetermined time intervals, wherein in an advantageous exemplary embodiment the program part is only called up in at least one of the above-mentioned, specific operating situations. In the first step 400 of the program part shown, the test signal is formed and output to the microcomputer 22 and a test data record or an index defining a test data record is transmitted. In the preferred exemplary embodiment, the test data are read out on the basis of the current operating state (described by accelerator pedal position and engine speed or filling) and alternately selected as a plausible and implausible combination. As part of the implementation of the solution according to the invention, other strategies are also used with regard to the initiation of the test, the selection and specification of the test data (for example only plausible data, only implausible data). In the subsequent step 102, the torque difference MI D i ff calculated by the microcomputer 22 and, if appropriate, the error counter reading are then read in, and in step 404 it is checked using stored difference values whether the calculated result is correct. If the result is correct, the program is started again with different test data. If the result does not match, an error state is recognized in accordance with step 406 and the program part is ended. Depending on the selected
Strategie kann bei bereits einmalig erkanntem oder erst bei mehrmalig erkanntem Fehler die entsprechenden Reaktionen (Abschalten der Endstufen) durchgeführt werden. In anderen vorteilhaften Ausführungsbeispielen läuft im Überwachungsmodul ein Fehlerzähler, wobei bei Erreichen dessen Maximalwertes Fehlermaßnahmen ergriffen werden. Bei Übertragen des Fehlerzählerstand überprüft das Überwachungsmodul den zeitlichen Verlauf des Zählerstandes und/oder das Erreichen des Maximalwerts.Strategy can react to errors that have already been recognized once or that have only been identified several times (Switching off the power amplifiers). In other advantageous exemplary embodiments, an error counter runs in the monitoring module, error measures being taken when its maximum value is reached. When the error counter reading is transmitted, the monitoring module checks the chronological course of the counter reading and / or the reaching of the maximum value.
Der in Figur 7 dargestellte Programmteil zeigt ein Programm, das im Mikrocomputer 22 in vorgegebenen Zeitintervallen gestartet wird. Nach Start des Programms werden im ersten Schritt 500 bei Vorliegen eines Testsignals die Testgrößen für die Pedalstellung, die Motordrehzahl, den Zündwinkel und die Füllung ausgewählt bzw. eingelesen. Liegt kein Testsignal vor, werden die gemessenen bzw. errechneten tatsächlichen Größen eingelesen. Im folgenden wird eine Situation geschildert, in der ein Testsignal vorliegt. Im Normalbetrieb läuft das Programm entsprechend ab, nur daß anstelle der Testdaten die tatsächlichen Betriebsgrößenwerte verwendet werden. Im Schritt 205 wird der Signalwert für die Pedalstellung einer vorgegebenen Filterung unterworfen. Daraufhin werden gemäß Schritt 504 auf der Basis der Testwerte für Pedalstellung und Motordrehzahl das zulässige Moment MIZUL und auf der Basis der Testgrößen für Füllung, Zündwinkel und Motordrehzahl das Istmoment MIIst bestimmt. Im darauffolgenden Schritt 506 wird dasThe program part shown in FIG. 7 shows a program that is started in the microcomputer 22 at predetermined time intervals. After starting the program, the test variables for the pedal position, the engine speed, the ignition angle and the filling are selected or read in the first step 500 if a test signal is present. If there is no test signal, the measured or calculated actual quantities are read in. A situation is described below in which a test signal is present. In normal operation, the program runs accordingly, except that the actual operating variable values are used instead of the test data. In step 205, the signal value for the pedal position is subjected to a predetermined filtering. Then, in accordance with step 504, the permissible torque MIZUL is determined on the basis of the test values for pedal position and engine speed and the actual torque MI actual is determined on the basis of the test variables for filling, ignition angle and engine speed. In the subsequent step 506, this becomes
Differenzmoment MI Diff als Differenz des Istmoments und des zulässigen Moments gebildet und nach Schritt 508 an dasDifferential torque MI D i ff formed as the difference between the actual torque and the permissible torque and after step 508 to the
Überwachungsmodul ausgegeben. Im darauffolgenden Schritt 510 wird überprüft, ob das Differenzmoment größer 0 ist. Ist dies der Fall, wird der Fehlerzähler 512 um 1 erhöht, andernfalls dekrementiert (Schritt 514) . Daraufhin wird im Schritt 516 überprüft, ob der Fehlerzähler seinen Maximalwert erreicht hat, wobei bei positiver Antwort gemäß Schritt 518 ein Fehler erkannt und gegebenenfalls ein entsprechendes Signal an das Überwachungsmodul ausgegeben wird. Hat der Fehlerzähler seinen Maximalwert noch nicht erreicht, wird das Programm beendet und zu vorgegebener Zeit erneut gestartet. Alternativ wird der aktuelle Fehlerzählerstand übertragen.Monitoring module issued. In the subsequent step 510, it is checked whether the differential torque is greater than 0. If this is the case, the error counter 512 is increased by 1, otherwise it is decremented (step 514). It is then checked in step 516 whether the error counter has reached its maximum value, wherein if the answer is positive according to step 518, an error is recognized and, if appropriate, a corresponding signal is output to the monitoring module. If the error counter has not yet reached its maximum value, the program is ended and restarted at the specified time. Alternatively, the current error counter status is transmitted.
Besonders vorteilhaft ist eine Kombination des ersten und zweiten Ausführungsbeispiels. Dabei wird vom Mikrocomputer 22 dem Überwachungsmodul sowohl die Differenz zwischen denA combination of the first and second exemplary embodiments is particularly advantageous. The microcomputer 22 the monitoring module both the difference between the
Momentengrδßen als auch der Fehlerzähler übertragen. Auf der Basis dieser Größen überwacht das Überwachungsmodul sowohl die bitgenaue Berechnung der Momentendifferenz als auch die Funktionsweise der Fehlerermittlung, insbesondere die Unterscheidung zwischen plausiblen und unplausiblen Abweichungen des zulässigen vom berechneten Moment.Torque sizes as well as the error counter transmitted. On the basis of these variables, the monitoring module monitors both the bit-precise calculation of the torque difference and the functioning of the error determination, in particular the distinction between plausible and implausible deviations of the permissible from the calculated torque.
Die Steuerfunktion zur Momenteneinstellung läuft ungeachtet der Testphasen für die Funktionsüberwachung immer auf der Basis der tatsächlichen Werte ab, so daß durch den Test der Betrieb der Antriebseinheit nicht beeinträchtigt wird.Regardless of the test phases for the function monitoring, the control function for torque setting always runs on the basis of the actual values, so that the operation of the drive unit is not impaired by the test.
Die erfindungsgemäße Lösung wird in gleicher Weise unter Berücksichtigung der entsprechenden Betriebsgröße auch bei Dieselmotoren eingesetzt.The solution according to the invention is used in the same way, taking into account the corresponding operating size, also in diesel engines.
Die Überwachungsfunktion wird im geschilderten bevorzugten Ausführungsbeispiel auf der Basis des indizierten Moments, d.h. des von der Brennkraftmaschine in der durch Verbrennung erzeugten Drehmoments, beschrieben. In anderenThe monitoring function is in the described preferred embodiment based on the indexed moment, i.e. of the internal combustion engine in the torque generated by combustion. In other
Ausführungsbeispielen wird der Überwachung und damit auch dem Test ein anderer Momentenwert (z.B. das abgegebene Moment), ein Füllungs- oder Lastwert, ein Leistungswert oder Pedalstellung und Drosselklappenstellung zugrunde gelegt. Die erfindungsgemäße Lösung mit der Vorgabe von Testdatensätzen wird dann entsprechend durchgeführt.In exemplary embodiments, the monitoring and thus also the test are given a different torque value (for example the torque delivered) Fill or load value, a performance value or pedal position and throttle valve position. The solution according to the invention with the specification of test data sets is then carried out accordingly.
Neben der Berechnung des zulässigen Moments auf der Basis der Fahrpedalstellung werden in den entsprechenden Betriebszuständen auch die Einstellung anderer Bedienelemente (z.B. eines Fahrgeschwindigkeitsreglers), Sollwerte externer Eingriffe, die einen Sollmomentenwert vorgeben (z.B. Fahrgeschwindigkeitsregler, Motorschleppmomentenregler, Antriebsschlupfregier, etc.) und/oder spezielle Betriebsgrößen (z.B. Fahrgeschwindigkeit, Schlupf, Drehzahl etc.) in diesen Betriebszuständen bei der Bestimmung des zulässigen Moments berücksichtigt und auf diese Weise die Überwachung und deren Überprüfung auch in diesen oder für diese Betriebszustände gewährleistet.In addition to the calculation of the permissible torque on the basis of the accelerator pedal position, the setting of other operating elements (e.g. a vehicle speed controller), setpoints for external interventions that specify a setpoint torque value (e.g. vehicle speed controller, engine drag torque controller, traction slip control, etc.) and / or special are also in the corresponding operating states Operating variables (eg driving speed, slip, speed, etc.) are taken into account in these operating states when determining the permissible torque, and in this way the monitoring and their checking are ensured even in these or for these operating states.
Wird die erfindungsgemäße Lösung bei Dieselmotoren eingesetzt, so ist anstelle von Füllung Kraftstoffmenge und anstelle von Zündung Spritzbeginn zu lesen.If the solution according to the invention is used in diesel engines, the quantity of fuel instead of filling and the start of injection instead of ignition should be read.
Neben der Übermittlung der Differenz zwischen zulässigem und Istmoment und/oder des Fehlerzählerstandes werden in anderen Ausführungsbeispielen andere Zwischengrδßen, z.B. das zulässige Moment und das Istmoment, eine bewertete Differenz bei Überschreiten von Schwellwerten etc. übermittelt. In addition to the transmission of the difference between the permissible and actual torque and / or the error counter reading, other intermediate variables, e.g. the permissible torque and the actual torque, a weighted difference when threshold values are exceeded, etc. transmitted.

Claims

Patentansprüche claims
1. Verfahren zur Steuerung einer Antriebseinheit eines1. Method for controlling a drive unit
Fahrzeugs, wobei ein Mikrocomputer vorgesehen ist, der mittels erster Programme abhängig von Betriebsgrößen der Antriebseinheit und des Fahrzeugs die Leistung der Antriebseinheit steuert und diese Leistungssteuerung mittels zweiter Programme anhand ausgewählter Betriebsgrößen überwacht, wobei die imVehicle, wherein a microcomputer is provided which controls the power of the drive unit by means of first programs as a function of operating variables of the drive unit and the vehicle and monitors this power control by means of second programs on the basis of selected operating variables
Mikrocomputer ablaufende Programme zur Überwachung durch ein Überwachungsmodul auf Funktionsfähigkeit überprüft werden, wobei der Mikrocomputer vom Überwachungsmodul ein Testsignal in wenigstens einem Betriebszustand empfängt, worauf dieser die vorgesehene Überwachungsfunktion auf der Basis von ausgewählten Testdaten durchführt und das Ergebnis der Überwachung und/oder Zwischengrößen an das Überwachungsmodul übermittelt.Microcomputer-running programs for monitoring are checked for functionality by a monitoring module, the microcomputer receiving a test signal from the monitoring module in at least one operating state, whereupon the latter performs the intended monitoring function on the basis of selected test data and the result of the monitoring and / or intermediate variables to the monitoring module transmitted.
2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß das Überwachungsmodul durch Vergleich des übermittelten Ergebnisses mit einem erwarteten Wert die Funktionsfähigkeit der Überwachungsfunktion im Mikrorechner überprüft.2. The method according to claim 1, characterized in that the monitoring module checks the functionality of the monitoring function in the microcomputer by comparing the transmitted result with an expected value.
3. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Überwachungsfunktion auf der Basis eines abhängig von der Stellung von Bedienelementen oder externen Vorgaben errechneten zulässigen Motormoments und eines errechneten Istmotormoments durchgeführt wird.3. The method according to any one of the preceding claims, characterized in that the monitoring function based on a depending on the position of controls or external Specifications calculated permissible engine torque and a calculated actual engine torque is carried out.
4. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Antriebseinheit eine Brennkraftmaschine ist, das zulässige Moment auf der Basis von Motordrehzahl, Fahrpedalstellung und der Einstellung sonstiger Bedienelemente oder externen Vorgaben, das Istmoment auf der Basis der Füllung und/oder Kraftstoffmenge, der Motordrehzahl und des eingestellten Zündwinkels bzw. Spritzbeginns berechnet wird.4. The method according to any one of the preceding claims, characterized in that the drive unit is an internal combustion engine, the permissible torque based on engine speed, accelerator pedal position and the setting of other controls or external specifications, the actual torque based on the filling and / or fuel quantity, the engine speed and the set ignition angle or start of injection is calculated.
5. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß zur Überprüfung der Überwachungsfunktion ein zulässiges Moment und ein Istmoment auf der Basis von Testdaten ermittelt und miteinander verglichen wird.5. The method according to any one of the preceding claims, characterized in that for checking the monitoring function, a permissible torque and an actual torque is determined on the basis of test data and compared with one another.
6. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß zur Überprüfung der Überwachungsfunktion auf das Testsignal hin ein Istmoment auf der Basis von Testsignalen ermittelt und mit dem auf der Basis von Meßwerten ermittelten zulässigen Moments verglichen wird.6. The method according to any one of the preceding claims, characterized in that for checking the monitoring function for the test signal an actual torque is determined on the basis of test signals and compared with the permissible torque determined on the basis of measured values.
7. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Differenz zwischen Istmoment und zulässigem Moment dem Überwachungsmodul übermittelt wird, welches auf der Basis von gespeicherten, den Testdaten zugeordneten Meßgrößen die Richtigkeit der Berechnung der Differenz im Mikrocomputer überprüft.7. The method according to any one of the preceding claims, characterized in that the difference between the actual torque and the permissible torque is transmitted to the monitoring module, which checks the correctness of the calculation of the difference in the microcomputer on the basis of stored measured variables associated with the test data.
8. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß bei Überschreiten des zulässigen Moments durch das Istmoment ein Fehlerzähler inkrementiert wird, dessen Zählerstand oder dessen Überschreiten eines maximalen Zählerstandes dem Überwachungsmodul mitgeteilt wird, welches auf der Basis des übermittelten Signals die Funktionsfähigkeit der Überwachung feststellt.8. The method according to any one of the preceding claims, characterized in that when the permissible torque is exceeded by the actual torque, an error counter is incremented Meter reading or exceeding a maximum meter reading is communicated to the monitoring module, which determines the functionality of the monitoring on the basis of the transmitted signal.
9. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß bei einem Eingriff, welcher das Drehmoment über den Fahrerwunsch hinaus erhöhen kann, das maximal zulässige Moment auf einen höheren, vom Fahrerwunsch unabhängigen Wert gesetzt wird, wobei das Überwachungsmodul bei nicht erkannter Reaktion des Mikrocomputers auf fehlerhafte Testdaten den Mikrocomputer veranlaßt, auch in diesem Betriebszustand das vom Pedal abgeleitete zulässige Moment der Überprüfung der Überwachung heranzuziehen.9. The method according to any one of the preceding claims, characterized in that in the event of an intervention which can increase the torque beyond the driver's request, the maximum permissible torque is set to a higher value which is independent of the driver's request, the monitoring module if the reaction of the Microcomputers for faulty test data causes the microcomputer to use the permissible moment of checking the monitoring, which is derived from the pedal, even in this operating state.
10. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß bei erkanntem Fehlerfall durch die Überwachungsfunktion die Endstufe für die Lufteinstellung, durch das Überwachungsmodul die Endstufe für die Lufteinstellung und/oder die Endstufen für Kraftstoffzumessung gegebenenfalls auch Zündung gesperrt werden.10. The method according to any one of the preceding claims, characterized in that if a fault is detected by the monitoring function, the output stage for the air setting, by the monitoring module, the output stage for the air setting and / or the output stages for fuel metering, ignition may also be blocked.
11. Vorrichtung zur Steuerung einer Antriebseinheit eines Fahrzeugs, mit einem Mikrocomputer, welcher mittels erster Programme die Leistung der Antriebseinheit in Abhängigkeit von11. Device for controlling a drive unit of a vehicle, with a microcomputer, which uses first programs to determine the performance of the drive unit as a function of
Betriebsgrößen der Antriebseinheit und des Fahrzeugs steuert und die zur Leistungssteuerung durchgeführten Steuerfunktionen mittels zweiten Programmen anhand ausgewählter Betriebsgrößen überwacht, mit einem Überwachungsmodul, welches die Überwachung im Mikrocomputer überprüft, wobei das Überwachungsmodul in wenigstens einem Betriebszustand ein Testsignal für den Mikrocomputer erzeugt, der aufgrund dieses Testsignals die Überwachung der Steuerfunktionen auf der Basis von vorbestimmten Testdaten durchführt und das Ergebnis der Berechnung und/oder Zwischengrößen dem Überwachungsmodul übermittelt. Controls operating variables of the drive unit and the vehicle and monitors the control functions performed for power control by means of second programs based on selected operating variables, with a monitoring module that checks the monitoring in the microcomputer, the monitoring module generating a test signal for the microcomputer in at least one operating state, which is based on this test signal the Monitoring functions are carried out on the basis of predetermined test data and the result of the calculation and / or intermediate values is transmitted to the monitoring module.
EP96945152A 1996-03-09 1996-10-02 Method and device for controlling a vehicle drive unit Expired - Lifetime EP0826102B1 (en)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
DE19609242A DE19609242A1 (en) 1996-03-09 1996-03-09 Method and device for controlling a drive unit of a vehicle
DE19609242 1996-03-09
PCT/DE1996/001898 WO1997033083A1 (en) 1996-03-09 1996-10-02 Method and device for controlling a vehicle drive unit

Publications (2)

Publication Number Publication Date
EP0826102A1 true EP0826102A1 (en) 1998-03-04
EP0826102B1 EP0826102B1 (en) 2000-01-26

Family

ID=7787770

Family Applications (1)

Application Number Title Priority Date Filing Date
EP96945152A Expired - Lifetime EP0826102B1 (en) 1996-03-09 1996-10-02 Method and device for controlling a vehicle drive unit

Country Status (6)

Country Link
US (1) US6125322A (en)
EP (1) EP0826102B1 (en)
JP (1) JP3955328B2 (en)
KR (1) KR100412755B1 (en)
DE (2) DE19609242A1 (en)
WO (1) WO1997033083A1 (en)

Families Citing this family (43)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE19731972C2 (en) * 1997-07-24 2001-11-22 Siemens Ag Method for controlling an internal combustion engine
DE19748745A1 (en) 1997-11-05 1999-05-20 Bosch Gmbh Robert Method for operating an internal combustion engine, in particular a motor vehicle
DE19836059A1 (en) * 1998-08-10 2000-02-17 Mannesmann Vdo Ag Method and device for controlling a power adjustment device of a vehicle engine
DE19836845B4 (en) * 1998-08-14 2009-04-09 Robert Bosch Gmbh Method and device for controlling a drive unit of a motor vehicle
DE19917208A1 (en) 1999-04-16 2000-10-19 Bosch Gmbh Robert Testing of a vehicle computer by supplying test data to one or more program modules so that the results can be checked against expected results and an error condition indicated if necessary
DE19933086B4 (en) * 1999-07-15 2008-11-20 Robert Bosch Gmbh Method and device for mutual monitoring of control units
DE10013463A1 (en) * 2000-03-18 2001-09-20 Volkswagen Ag Diagnostic system for multiplex on-board network of motor vehicle based on stored reference values for comparison with actual operating conditions
JP2001295677A (en) * 2000-03-29 2001-10-26 Robert Bosch Gmbh Control method and device for vehicle speed
JP3616319B2 (en) 2000-09-05 2005-02-02 株式会社日立製作所 CPU diagnostic device
US6470259B1 (en) * 2000-10-25 2002-10-22 Visteon Global Technologies, Inc. Electronic throttle control system
JP3980261B2 (en) 2000-10-26 2007-09-26 インターナショナル・ビジネス・マシーンズ・コーポレーション Video playback apparatus and method
DE10053750A1 (en) * 2000-10-30 2002-06-06 Siemens Ag Method and device for the overload-free control of an actuator
DE10065118A1 (en) * 2000-12-28 2002-07-04 Bosch Gmbh Robert System and method for controlling and / or monitoring a control device network having at least two control devices
DE10113917B4 (en) * 2001-03-21 2019-05-23 Robert Bosch Gmbh Method and device for monitoring control units
DE10220811B4 (en) * 2001-06-27 2016-09-15 Robert Bosch Gmbh Method and device for monitoring the functioning of a system
DE10149477A1 (en) * 2001-10-08 2003-04-17 Bosch Gmbh Robert controlling internal combustion engine, involves using torque model with base parameter that is at least one of corrected optimal engine torque or corrected optimal ignition angle
DE10163655A1 (en) * 2001-12-21 2003-07-03 Bosch Gmbh Robert Method and device for controlling a functional unit of a motor vehicle
DE10230828B4 (en) * 2002-07-09 2012-06-21 Robert Bosch Gmbh Method and device for regulating the output of a drive unit of a vehicle
JP3918712B2 (en) * 2002-10-18 2007-05-23 株式会社デンソー Failure diagnosis function judgment device
DE10331872A1 (en) * 2003-07-14 2005-02-10 Robert Bosch Gmbh Method for monitoring a technical system
DE10343305A1 (en) * 2003-09-19 2005-04-21 Volkswagen Ag Control system for drive or braking device for motor vehicle has controller for influencing drive/braking device, sensor for detecting parameter(s) relating to drive or braking device with control-monitoring module for monitoring controller
JP4379793B2 (en) * 2004-03-12 2009-12-09 株式会社デンソー Electronic control device for vehicle
JP4483720B2 (en) * 2005-06-23 2010-06-16 株式会社デンソー Electronic control unit
DE102006028695B4 (en) * 2005-06-23 2017-11-30 Denso Corporation Electronic control system with malfunction monitoring
DE102006004280A1 (en) * 2006-01-31 2007-08-02 Robert Bosch Gmbh Process for continually monitoring the momentum of a hybrid drive comprises reducing the permissible total momentum by the actual momentum of an electric drive and creating a permissible momentum of an internal combustion engine
JP4432988B2 (en) 2007-03-14 2010-03-17 株式会社デンソー Electronic control unit
US8244426B2 (en) * 2007-10-27 2012-08-14 GM Global Technology Operations LLC Method and apparatus for monitoring processor integrity in a distributed control module system for a powertrain system
US8509989B2 (en) * 2009-12-18 2013-08-13 Conti Temic Microeletronic GMBH Monitoring concept in a control device
WO2011072662A1 (en) * 2009-12-18 2011-06-23 Conti Temic Microelectronic Gmbh Monitoring computer in a control device
US8762783B2 (en) * 2010-06-24 2014-06-24 International Business Machines Corporation Error identification
DE102011086063A1 (en) 2011-11-10 2013-05-16 Robert Bosch Gmbh Method for operating internal combustion engine of motor vehicle, involves specifying target torque for operating internal combustion engine, and determining actual torque on basis of signals of cylinder pressure sensor
JP6016258B2 (en) * 2011-12-27 2016-10-26 ボッシュ株式会社 Vehicle engine control device
FR2987146B1 (en) * 2012-02-22 2014-04-04 Continental Automotive France OUTPUT CIRCUIT FOR A MOTOR CONTROL DEVICE AND MONITORING METHOD FOR SUCH CIRCUIT
JP5813547B2 (en) 2012-03-23 2015-11-17 株式会社デンソー Vehicle behavior control system
JP5846078B2 (en) * 2012-08-24 2016-01-20 株式会社デンソー Electronic control unit
JP5842783B2 (en) * 2012-10-18 2016-01-13 株式会社デンソー Vehicle control device
JP6094387B2 (en) * 2013-06-06 2017-03-15 株式会社デンソー Control device
JP6077656B2 (en) * 2013-11-13 2017-02-08 本田技研工業株式会社 Drive control apparatus and method for prime mover
JP5967059B2 (en) 2013-12-04 2016-08-10 株式会社デンソー Electronic control device for vehicle
JP6740812B2 (en) 2016-08-26 2020-08-19 株式会社デンソー Electronic control unit
JP6631452B2 (en) 2016-09-23 2020-01-15 株式会社デンソー Electronic control unit
DE102017103147A1 (en) 2017-02-16 2018-08-16 Infineon Technologies Ag Alarm handling circuitry and method for handling an alarm
JP6809408B2 (en) * 2017-08-01 2021-01-06 株式会社デンソー Torque monitoring device and internal combustion engine control system

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS59190441A (en) * 1983-04-11 1984-10-29 Nissan Motor Co Ltd Accelerator controller for vehicle
DE3728561C2 (en) * 1987-08-27 1997-08-21 Vdo Schindling Method for checking a monitoring device for a microprocessor
DE4114999C2 (en) * 1991-05-08 2001-04-26 Bosch Gmbh Robert System for controlling a motor vehicle
DE4237198A1 (en) * 1992-11-04 1994-05-05 Bosch Gmbh Robert Method and device for checking a monitoring unit
DE4438714A1 (en) * 1994-10-29 1996-05-02 Bosch Gmbh Robert Method and device for controlling the drive unit of a vehicle

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See references of WO9733083A1 *

Also Published As

Publication number Publication date
JPH11505587A (en) 1999-05-21
KR100412755B1 (en) 2004-04-28
JP3955328B2 (en) 2007-08-08
EP0826102B1 (en) 2000-01-26
US6125322A (en) 2000-09-26
DE59604306D1 (en) 2000-03-02
WO1997033083A1 (en) 1997-09-12
KR19990008456A (en) 1999-01-25
DE19609242A1 (en) 1997-09-11

Similar Documents

Publication Publication Date Title
EP0826102B1 (en) Method and device for controlling a vehicle drive unit
EP0788581B1 (en) Process and device for controlling the drive unit of a vehicle
DE102015222530B4 (en) Vehicle electronic control device
DE19980564C2 (en) Device for controlling a fuel system of an internal combustion engine
EP1924475B1 (en) Method for defining desired torque during motor control
DE102006028695B4 (en) Electronic control system with malfunction monitoring
DE102005040780B4 (en) Method and engine control unit for increasing the availability of motor vehicle engines
EP0101850A2 (en) Safety apparatus for idling lorries
EP0601150B1 (en) Motor vehicle control device
EP1479003B1 (en) Method and device for controlling the functional unit of a motor vehicle
DE10023414A1 (en) Controller for internal combustion engine of vehicle, has fail safe device to stop power supply to actuator on detecting abnormality and limitation device to limit number of air cylinders as per preset condition
WO2000063546A1 (en) Method and device for monitoring a computing element in a motor vehicle
DE102013221098B4 (en) VEHICLE CONTROL UNIT
EP1740815B1 (en) Electronic control device and method for controlling the operation of motor vehicle components
EP1297250B1 (en) Diagnostic function for an internal combustion engine
DE4115647B4 (en) Control system in a vehicle
WO2010054874A1 (en) Method and system for controlling communication between a function computer and a monitoring module
DE10331872A1 (en) Method for monitoring a technical system
EP0596297B1 (en) Method and apparatus for checking the monitoring unit of a control system for an engine
DE19755311B4 (en) Method and device for transmitting information in motor vehicles
DE19963759B4 (en) Method and device for controlling the drive unit of a vehicle
EP2435915B1 (en) Reducing the response time in a system for monitoring a function computer
DE19537075B4 (en) Method and device for measured value detection in an electronic power control of a vehicle
EP1288474B1 (en) Method and apparatus for controlling fuel metering in an internal combustion engine
WO2003085248A1 (en) Method and device for controlling an internal combustion engine

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): DE FR GB IT SE

17P Request for examination filed

Effective date: 19980312

GRAG Despatch of communication of intention to grant

Free format text: ORIGINAL CODE: EPIDOS AGRA

17Q First examination report despatched

Effective date: 19990323

GRAG Despatch of communication of intention to grant

Free format text: ORIGINAL CODE: EPIDOS AGRA

GRAH Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOS IGRA

GRAH Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOS IGRA

GRAA (expected) grant

Free format text: ORIGINAL CODE: 0009210

AK Designated contracting states

Kind code of ref document: B1

Designated state(s): DE FR GB IT SE

REF Corresponds to:

Ref document number: 59604306

Country of ref document: DE

Date of ref document: 20000302

ITF It: translation for a ep patent filed

Owner name: STUDIO JAUMANN P. & C. S.N.C.

GBT Gb: translation of ep patent filed (gb section 77(6)(a)/1977)

Effective date: 20000329

ET Fr: translation filed
PLBE No opposition filed within time limit

Free format text: ORIGINAL CODE: 0009261

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: NO OPPOSITION FILED WITHIN TIME LIMIT

26N No opposition filed
REG Reference to a national code

Ref country code: GB

Ref legal event code: IF02

REG Reference to a national code

Ref country code: FR

Ref legal event code: PLFP

Year of fee payment: 20

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: DE

Payment date: 20151215

Year of fee payment: 20

Ref country code: GB

Payment date: 20151026

Year of fee payment: 20

Ref country code: IT

Payment date: 20151026

Year of fee payment: 20

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: SE

Payment date: 20151026

Year of fee payment: 20

Ref country code: FR

Payment date: 20151026

Year of fee payment: 20

REG Reference to a national code

Ref country code: DE

Ref legal event code: R071

Ref document number: 59604306

Country of ref document: DE

REG Reference to a national code

Ref country code: GB

Ref legal event code: PE20

Expiry date: 20161001

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: GB

Free format text: LAPSE BECAUSE OF EXPIRATION OF PROTECTION

Effective date: 20161001

REG Reference to a national code

Ref country code: SE

Ref legal event code: EUG