JPH11505587A - 車両駆動ユニットの制御方法及び装置 - Google Patents

Abstract

(57)【要約】 駆動ユニットの出力に対する制御機能及びこの制御機能のモニタリングが１つのマイクロコンピュータのみにより実行される車両駆動ユニットの制御方法及び装置が提供される。モニタリング機能の検査のためにマイクロコンピュータとは別のモニタリングモジュールが設けられ、このモニタリングモジュールは所定の時点にテスト信号をマイクロコンピュータに送り、次にマイクロコンピュータはテストデータに基づいてモニタリング機能を計算する。計算結果がモニタリングモジュールに伝送され、モニタリングモジュールは記憶されている値と比較することによりマイクロコンピュータにおける機能モニタリングの機能性を検査する。

Description

【発明の詳細な説明】 車両駆動ユニットの制御方法及び装置 従来技術 本発明は車両駆動ユニットの制御方法及び装置に関するものである。 この種類の方法及びこの種類の装置は１９９４年１０月２９日付の未公開ドイ ツ特許出願第Ｐ４４３８７１４．８号に記載されている。この特許出願において は、マイクロコンピュータを有する制御ユニットが設けられ、マイクロコンピュ ータは駆動ユニットの出力（内燃機関の場合、空気供給量、燃料供給量及び／又 は点火角に関して）の制御のみでなく、この制御プログラムの正しい機能のモニ タリングをも実行する。この場合、このマイクロコンピュータのプログラム構造 は、実質的に３つの相互に分離したレベルから構成されている（図１に関する以 下の説明を参照）。第１のレベルにおいて、制御機能が計算される。第２のレベ ルにおいて、第１のレベルの制御機能の正しい作動が、選択された入出力信号に 基づいて検査される。第３のレベルにおいて、第２のレベルにおいて実行された モニタリングの検査が実行検査の範囲内で行われ、この実行検査はモニタリング モジュール（ウオッチドッグ又はバックアップ（安全用）コンピュータ）と協働 してモニタリングステップの作業が正しいか否かを検査する。このために、モニ タリングモジュールは所定の質問の中から選択された１つの質問を設定し、この 質問は第２のレベルのプログラムの部分回答の中から１つを形成することにより 回答され且つエラー検出のためにモニタリングモジュールに返送される。好まし い実施形態においては、第２のレベルは内燃機関の空気量設定をモニタリングし 、エラーの場合この空気量設定を遮断し、ないし非常運転を導く。この実施形態 においては、モニタリングモジュールは、空気供給量を制御するアクチュエータ 用出力段のみでなく、燃料供給量及び点火用出力段もまた操作する。プログラム ランの検査のほかに、第２のレベルにおける機能モニタリングの範囲内で実行さ れる計算を検査するための措置がこの既知の解決策においては記載されていない 。 機能モニタリングの範囲内で実行される計算を検査するための措置を提供する ことが本発明の課題である。 この課題は独立請求項の特徴により達成される。 発明の利点 本発明による解決策は、制御機能の計算のみでなくモニタリング機能の計算も また同様に行うマイクロコンピュータのエラーの検出を可能にする。従って、例 えば数値的に正しく計算しないモニタリング機能のような潜在エラーもまた検出 されることは好ましい。 この場合、本発明による解決策の範囲内においては、モニタリングすべきプロ グラムから離れて存在するオペレーションが使用されず、モニタリングすべきプ ログラムコードが使用されることは特に有利である。従って、本発明による解決 策は駆動ユニットに対する制御の機能モニタリングのほぼ１００％に近い検査を 可能にする。 テストデータセットを適切に選択したとき、関連する値のあらゆる範囲内にお いて、典型的なテストを実行可能であることは特に有利である。従って、駆動ユ ニットの出力制御のモニタリング機能の検査がビット単位の精度で行われる。 他の利点が実施形態に関する以下の説明ないし従属請求項から明らかである。 図面 以下に本発明を図面に示す実施形態により詳細に説明する。ここで、図１は駆 動ユニット用制御装置の構成図を示し、一方図２及び図３に本発明による解決策 の第１の実施形態が流れ図として示されている。図４はこの実施形態に対する信 号線図を示す。図５、図６及び図７に本発明による解決策の第２の実施形態がブ ロック回路図ないし流れ図として示されている。 実施形態の説明 図１に車両の駆動ユニット特に内燃機関の制御用制御ユニット１０が示されて いる。制御ユニット１０は特に入力回路１２を含み、この入力回路１２に入力ラ イン１４及び１６が測定装置１８及び２０から供給されている。入力回路１２に おいて制御ユニットの入力信号が形成され、マイクロコンピュータ２２に供給さ れる。出力制御の好ましい実施形態においては、測定装置１８及び２０として、 ドライバが操作可能な操作要素例えば加速ペダルの操作度を測定するための２つ の測定装置が使用される。この場合、両方の測定装置は冗長方式で構成してもよ く、又は他の実施形態においては、連続測定装置（例えばポテンショメータ）及 び不連続測定装置（例えばスイッチ）が使用されてもよい。ライン１４及び１６ を介して供給される測定装置からの測定信号は入力回路１２において相互に別々 に形成され、好ましくは別々のルート２４及び２６上で、例えば２つの入力ポー ト又は２つのＡ／Ｄチャンネルを介してマイクロコンピュータ２２に供給される 。これらの測定信号のほかに、制御ユニットないしマイクロコンピュータに駆動 ユニット及び／又は車両の他の測定変数、例えば機関回転速度、出力設定要素の 位置等が供給されるが、図を見やすくするために、これらは図１に示されていな い。マイクロコンピュータ２２はそのプログラム構成に関して実質的に３つのレ ベルに分割されている。第１のレベル２８内に、駆動ユニットに対する制御を実 行するためのプログラム３０がまとめられている。この場合、好ましい実施形態 においては、（結合ライン４４及び４６を介して供給される）操作要素の操作度 及び他の運転変数に基づいて駆動ユニットの、好ましい実施形態においては内燃 機関のトルクを設定するプログラムが使用され、このプログラムは、電気的操作 可能な絞り弁内を流れる空気供給量、燃料供給量及び点火時期を計算する。同様 に、マイクロコンピュータ２２は出力ライン３２及び３４を有し、ライン３２及 び３４は出力段３６及び３８に通じ、出力段３６及び３８は同様に対応する出力 ライン４０及び４２を介して、点火時期、燃料供給量及び空気供給量を設定する 。第２のレベル４８内に、制御機能３０の機能モニタリングの働きをするプログ ラム５０がまとめられている。この場合、好ましい実施形態においては、ドライ バの希望により導かれる駆動ユニットの許容トルクが、設定されたトルクと比較 され、設定されたトルクが許容トルクを超えたとき、エラー状態が検出される。 内燃機関制御の好ましい実施形態においては、操作要素の操作度及び絞り弁の設 定又は機関負荷に対する対応値に関する妥当性検査を行ってもよい。それに応じ て、機能モニタリング用プログラム５０を含むレベル２に、一方で操作要素の操 作度に関する入力信号が供給され（結合ライン５２及び５４）、他方で制御機能 用プログラム３０の計算結果が供給される（結合ライン５６及び５８）。他の実 施形態においては、計算結果に追加して、又は計算結果の代替として、機関負荷 、絞り 弁位置及び／又はトルクに対する測定値が供給される。好ましい実施形態におい ては、マイクロコンピュータ２２の出力ライン６０を介して、機能モニタリング ５０が絞り弁を制御するための出力段３８を調節する。第１及び第２のレベルに ほかに、マイクロコンピュータ２２のプログラム構成は第３のレベル６２を有し 、第３のレベル６２内に機能モニタリング５０の実行検査のためのプログラム６ ４がまとめられている。この場合、プログラム６４は、結合ライン６６及び６８ を介して、マイクロコンピュータから分離しているウオッチドッグないし安全用 （バックアップ）コンピュータ７２のモニタリングモジュール７０と通信する。 結合ライン６６を介して、モニタリングモジュール７０は、実行検査のためのプ ログラム６４内に所定のシーケンスを選択する。これは、実質的に、機能モニタ リング５０が、選択されたプログラムステップに従って形成される部分回答に基 づいて計算作業の実行（回答）を（結合ライン７４を介して）開始させることに あり、部分回答の結果は実行検査６４から再び（結合ライン７６を介して）戻さ れる。この結果ないしこの結果から導かれた値を、実行検査６４は結合ライン６ ８を介してモニタリングモジュール７０に更に導き、モニタリングモジュール７ ０はこの回答を、ライン６６を介して与えられる質問と比較する。エラーの場合 、モニタリングモジュール７０は出力ライン７８を介して出力段３６及び３８を 操作する。 好ましい実施形態においては、操作要素の操作度から駆動ユニットのトルクに 対する目標値が導かれる。実際のトルクは、空気供給量、燃料供給量及び点火角 を調節することによりこの目標値に近づけられる。 第１の実施形態においては、本発明により、マイクロコンピュータの機能の拡 張モニタリングのために、少なくとも操作要素を解放したクリティカルな場合に （アイドリング）、次のことが行われる。モニタリングモジュール７０は、例え ば操作要素が解放されているとき、操作要素が一定に保持されるとき、操作度が 所定の値の範囲内にあるとき及び／又は所定の運転時間の経過後又は所定の運転 サイクル数の経過後のような少なくとも所定の運転状態において、周期的に（例 えば２００ミリ秒ごとに）直列インタフェース又はポートピンを介して刺激情報 をマイクロコンピュータ２２にセットする。マイクロコンピュータ２２は、この 刺激信号に応答し、一方刺激信号は、少なくともモニタリング機能の一部に対し て（好ましくは実際トルクの計算に対して又は許容トルクの計算に対して）、メ モリセル内に記憶された、モニタリング機能の基礎となる値（例えば負荷信号及 び設定点火角又は操作度のようなトルクを決定する実際値）を基礎としないで、 対応する運転状態においてモニタリング機能を損傷させる（例えば結果として高 い実際トルクが得られるか又は低い許容トルクが得られる）テスト信号を基礎と する。レベル２のプログラムが正しく機能しているとき、この場合にエラーが検 出されねばならない。それに続いて、レベル２内に存在するエラーカウンタが増 加される。エラーカウンタのあるカウントにおいて、モニタリングモジュールは マイクロコンピュータ２２の特定応答、例えばエラー信号又はリセット信号の伝 送を期待する。モニタリングモジュール７０がこのような信号を受信したとき、 刺激信号はリセットされ、第２のレベルは機能性を有していることが検出される 。対応する信号が所定の時間（カウンタの上昇時間）内に検出されなかったとき 、レベル２のいずれかのプログラムがエラーを有しているか又はドライバがペダ ルを操作しない機能（例えば走行速度制御装置、牽引トルク制御装置）が働き、 この機能はドライバの希望を超えて機関トルクを更に上昇させる（少なくともテ スト信号により実際トルクが調節されるとき）。これを検査するために、モニタ リングモジュール７０は刺激信号を保持する。ここで、マイクロコンピュータ２ ２は機能モニタリングの範囲内でドライバの希望のアイドリングに基づいてトル クモニタリングを計算し、上昇係合に対するときとは異なり他の許容トルクが設 けられる。この場合、エラーカウンタはいずれの場合も増加し、これによりマイ クロコンピュータ２２の対応する応答信号が出力される。このような信号がモニ タリングモジュール７０により受信されなかったとき、機能モニタリングの範囲 内にエラーが検出され、対応する遮断処置ないし非常運転処置が出力ライン７８ を介して導かれる。 本発明による解決策の第１の実施形態が図２及び３において流れ図により示さ れている。これらの流れ図は、この解決策の実行を、モニタリングモジュール内 のプログラム及び機能モニタリングのプログラムとして示している。 図２に示す流れ図はモニタリングモジュール７０のプログラムを示す。このプ ログラムは所定の時間間隔（例えば２００ミリ秒ごと）で上記の運転条件が存在 したときに実行される。第１のステップ１００において、刺激信号がマイクロコ ンピュータ２２（ＦＲ＝機能コンピュータ）に出力される。この場合、刺激信号 は、マイクロコンピュータ２２の入力ラインにおける例えばレベル変化により、 所定のパルス・デューティ・ファクタ又は所定の電圧高さを有する信号により形 成される。それに続くステップ１０２において、エラーカウンタがその最大値に 確実に到達してから所定時間が経過した後、マイクロコンピュータ２２からの対 応応答信号が検出されたか否かが検査される。これが肯定の場合、ステップ１０ ４によりテストが終了したとみなされ、プログラムは終了される。次に所定の運 転状態が存在したとき、プログラムは再び開始される。 他の有利な実施形態においては、マイクロコンピュータ２２の応答信号の代わ りに、エラーカウンタの現在のカウントがモニタリングモジュール７０に伝送さ れる。次に、モニタリングモジュール７０は、エラーカウンタの時間線図により 、ないしエラーカウンタが限界値を超えたとき、マイクロコンピュータ２２の正 しい機能、ないしマイクロコンピュータ２２のエラーを有する作動を検出する。 ステップ１０２において、モニタリングモジュールが刺激信号に基づいて期待 されるマイクロコンピュータの作動を検出しなかったとき、ステップ１０６によ り、刺激信号の出力が保持される。それに続くステップ１０８により、マイクロ コンピュータ２２からの応答ないしマイクロコンピュータ２２のエラーカウンタ の期待される特性が存在するか否かが改めて検査される。これが肯定の場合、ス テップ１１０によりテストが終了したとみなされ、プログラムは終了され、一方 否定の場合、ステップ１１２によりマイクロコンピュータ２２の機能モニタリン グの範囲内にエラーが特定され、対応するエラー応答がモニタリングモジュール により開始される。これは実質的に、燃料供給量、点火角及び空気供給量に対す る出力段の遮断として実行されるか、又は駆動ユニットの制限された制御特に出 力が制限された制御を導く非常運転として実行される。ステップ１１２の後、プ ログラムは終了される。 図３に、レベル２の、マイクロコンピュータ２２の機能モニタリングの対応す るプログラムが示されている。プログラムは所定の時間間隔（例えば数ミリ秒） で開始される。プログラム部分のスタート後、第１のステップ２００において、 操作要素の操作度βならびに機関回転速度Ｎ_motが読み込まれ、ステップ２０２ により、所定の特性曲線群、所定の表又は所定の計算ステップに基づいて操作度 β及び機関回転速度Ｎ_motから許容機関トルクＭＩＺＵＬが決定される。この場 合、この許容トルクは、マイクロコンピュータの作動にエラーがないとき、駆動 ユニットの実際のトルクのあらゆる公差を考慮してもこの許容トルクが超えられ ないように決定される。それに続いてステップ２０４において、モニタリングモ ジュールからの刺激信号が存在するか否かが検査される。これが否定の場合、ス テップ２０６及び２０８により機能モニタリングが開始される。このために、負 荷信号Ｔ_L（例えば空気質量流量及び機関回転速度から形成される）及び設定点 火角ＺＷが読み込まれ（ステップ２０６）、これらの両方の値ならびに機関回転 速度に基づいて、所定の特性曲線群、所定の表又は所定の計算ステップにより内 燃機関から出力されるトルクＭＩ_Istが決定される。それに続く問い合わせステ ップ２１０において、例えば走行速度制御装置（ＦＧＲ）又は機関牽引トルク制 御装置（ＭＳＲ）によりドライバの設定目標トルクを超えたその時点の上昇調節 が作動を開始したか否かが検査される。これが肯定の場合、ステップ２１２によ り、許容トルクＭＩＺＵＬがこの運転状態に対して設定されている、例えば回転 速度又は速度の関数である最大値ＭＩ_maxにセットされる。ステップ２１２の後 、ステップ２１０における「否定」回答の場合と同様に、ステップ２１４により 実際トルクＭＩ_Istと許容トルクＭＩＺＵＬとの間の比較が行われる。計算され た実際トルクが計算された許容トルクより大きいとき、ステップ２１６によりエ ラーカウンタＦが増分され、逆の場合、ステップ２１８によりエラーカウンタＦ は減分される。それに続く問い合わせステップ２２０において、エラーカウンタ がその最大値に到達したか否かが検査される。これが肯定の場合、ステップ２２ ２により対応する信号がモニタリングモジュール７０（安全用（バックアツプ） コンピュータＳＲ）に出力され、ステップ２２０における「否定」回答の場合と 同様にプログラムは終了される。 刺激信号が存在することをステップ２０４が与えた場合、プログラムのこの部 分において同時に作動しているカウンタｉがステップ２２４により増分される。 それに続くステップ２２６において、機関負荷に対する選択されたテスト信号Ｔ_LT 及び点火角に対する選択されたテスト信号ＺＷ_Tが与えられ、ステップ２０８ に対応するステップ２２８により実際トルクが決定される。それに続く問い合わ せステップ２３０において、カウンタｉが最大値ｉ_maxと比較される。この最大 値に到達していないとき、ステップ２１０が実行され、他の場合、直接ステップ ２１４に飛び越される。この場合、カウンタｉは、更に刺激信号が存在し且つ走 行速度制御装置が作動されているか又は牽引トルク制御装置が作動されていると き、希望のテスト状態が発生されることを保証する。この場合、最大値ｉ_maxは 、エラーカウンタがその最大値に到達するために必要な時間を考慮して決定され る（例えば２−３回のプログラムラン）。実際トルクが許容トルクを超え且つエ ラーカウンタが正常に増加するとき、ステップ２２２により、モニタリング機能 が正しく機能しているので応答信号がモニタリングモジュールに出力される。 他の有利な実施形態においては、少なくともテスト状態において、エラーカウ ンタのカウントが伝送される。 図４に本発明による解決策が時間線図により示されている。この場合、図４ａ は刺激信号の時間線図を示し、図４ｂは実際トルク及び許容トルクの時間線図を 示し、図４ｃはエラーカウンタの時間線図を示し、図４ｄは走行速度制御装置又 は牽引トルク制御装置の係合を示し、図４ｅはマイクロコンピュータ２２のモニ タリングモジュール７０への応答信号の時間線図を示す。 第１の時点Ｔ₀において、マイクロコンピュータ２２はモニタリングモジュー ルにより出力された刺激信号を受信したとする（図４ａ参照）。それに続いてテ ストデータに基づいて求められた実際トルク（図４ｂの実線）が、その直後に操 作度に基づいて計算された許容トルク（図４ｂの破線）を超えたとする。それに 応じて、エラーカウンタは最大エラーカウントＦ_maxに到達する時点Ｔ₁まで増加 する（図４ｃ参照）。これにより図４ｅに示すように対応するエラー信号がモニ タリングモジュールに出力され、刺激信号をリセットし且つテスト状態を終了さ せる（図４ａ、４ｂ参照）。この例においては、モニタリングは正しく作動して いる。時点Ｔ₁の後、エラーカウンタは再び減分される。 時点Ｔ₂において、走行速度制御装置が作動されたとする（図４ｄ参照）。こ の運転状態においては、許容トルクは上昇される（図４ｂ参照）。時点Ｔ₃にお いて、モニタリングモジュールが刺激信号をマイクロコンピュータ２２に再び出 力したとする。これにより、図４ｂに示すように、テストデータに基づいて実際 トルクが計算される。この場合、テストデータに基づく実際トルクが許容トルク を超えていないとする。これは、時点Ｔ₄まで刺激信号が保持され且つ許容トル クはあたかも走行速度制御装置が係合していないかのように決定されることを意 味する。これにより、モニタリングが機能しているとき前の状態と同様に実際ト ルクが許容トルクを超えるので（図４ｂ参照）、時点Ｔ₄からＴ₅まではエラーカ ウンタは増分される。時点Ｔ₅において最大エラーカウントに到達したとき、エ ラー信号がモニタリングモジュールに出力され、これによりこの場合もまたモニ タリングの正しい機能が証明される。時点Ｔ₅からはエラーカウンタは図４ｃに 示すように再び減分される。 本発明による解決策の第２の実施形態が図５ないし７に示されている。この実 施形態もまた、マイクロコンピュータのモニタリング機能が正しく且つ確実に実 行されているか否かを検査する働きをなし、特に制御機能及びモニタリング機能 が同じマイクロコンピュータで実行される制御装置において使用される。第１の 実施形態と同様にエラーカウンタないしエラーカウンタから導かれた信号を伝送 することにより、確かにモニタリング機能の直接検査が保証されるが、モニタリ ング機能のビット単位の精度を有する検査は行われない。むしろ、しきい値モニ タリングが行われる。従って、レベル２のモニタリングの範囲内における計算の ビット単位の精度を有する検査を行うために、第２の実施形態により、レベル２ のモニタリング機能は、少なくとも所定の運転状態において、実際データとテス トデータとを交互に用いて検査される。テストデータを用いて計算するとき、レ ベル２のオリジナルプログラムは変更データを用いて使用されることが好ましい 。他の有利な実施形態においては、プログラムのコピーが使用される。 実際データを用いてモニタリングを計算するとき、ペダル位置及び機関回転速 度の実際値から許容機関トルクが求められ、充填量、回転速度及び点火角に対す る値から実際トルクが求められる。これらの差を形成することにより、妥当性が 損なわれることが検査される。妥当性が損なわれている場合、特に実際トルクが 許容トルクに比較してかなり大きい場合、エラーカウンタがカウントをスタート する。この計算に続いてモニタリングモジュールはテスト信号を出力し、その後 この計算は（機関回転速度、ペダル位置、充填量及び点火角に対する）実際デー タではなくテストデータを用いて行われる。これらのテストデータは、モニタリ ングモジュール内に記憶され且つインタフェースを介してマイクロコンピュータ ２２に伝送されるか、又はマイクロコンピュータ２２内に種々のテストデータセ ットとして記憶され、モニタリングモジュールは伝送された指数によりテストデ ータセットを選択する。固定のテストデータセットには、許容トルクと実際トル クとの差に対してただ１つの正しい解のみが存在する。各テストデータセットに 付属するこれらの正しい解は、モニタリングモジュールにはわかっている。マイ クロコンピュータ２２がこの差をモニタリングモジュールに伝送し、モニタリン グモジュールは結果が正しいか否かを検査する。この場合、テストデータセット は、妥当な結果のみでなく妥当でない結果も求められるように選択される。従っ て、モニタリングレベルが、妥当な状態を妥当でない状態から区別することが可 能か否かを検査してもよい。 この第２の実施形態が図５にブロック回路図により示され、このブロック回路 図はマイクロコンピュータ２２のレベル２内のプログラム構造を記号で示してい る。モニタリング機能に、結合ライン３００を介して機関回転速度Ｎ_motが、結 合ライン３０２を介してペダル位置βが、結合ライン３０４を介して充填量Ｔ_L が、及び結合ライン３０６を介して設定点火角ＺＷが供給される。これらの信号 はそれぞれ切換要素３０８、３１０、３１２及び３１４を介してその先に供給さ れる。この場合、機関回転速度は、許容機関トルクを決定するための第１の特性 曲線群３１６に、また最適機関トルクを決定するための第２の特性曲線群３１８ に、そして最適点火角を決定するための特性曲線群３２０に供給される。ペダル 位置βはフィルタ３２２を介して第１の特性曲線群３１６に、充填量は第２の特 性曲線群３１８及び第３の特性曲線群３２０に供給される。特性曲線群３２０に おいて決定される最適点火角（内燃機関の最大効率）は加算段３２２に供給され 、加算段３２２において最適点火角と実際設定点火角との差が形成される。この 差は特性曲線３２４を介して乗算段３２６に供給される。特性曲線３２４は点火 角 の偏差をトルクの最適トルク（最高効率）からの偏差に変換する。乗算段３２６ において最適機関トルクが点火角偏差によるトルク補正に基づいて補正される。 その結果は実際トルクに対する尺度である。この尺度は加算段３２８に供給され 、この加算段３２８には更に特性曲線群３１６から許容トルクが供給される。許 容トルクを実際トルクから減算することによりトルク差が形成され、このトルク 差は結合ライン３３０を介してモニタリングモジュールに供給される。更に、ト ルク差はしきい値スイッチ３３２に供給され、このしきい値スイッチ３３２は、 許容トルクが実際トルクにより超えられた場合にエラーカウンタ３３４を増分す る。好ましい実施形態においては、エラーカウンタのカウントは少なくともその 最大値に到達したときに結合ライン３３６を介してモニタリングモジュールに伝 送される。モニタリングモジュールから結合ライン３３８が供給され、この結合 ライン３３８は切換要素３０８ないし３１４を正常位置から破線で示したテスト 位置に切り換える。この位置において、機関回転速度、ペダル位置、充填量及び 点火角に対する結合ラインが、種々のテストデータセットを含む表又はメモリ３ ４０、３４２、３４４及び３４６に結合されている。これらの表又はメモリ３４ ０、３４２、３４４及び３４６は、結合ライン３４８を介してモニタリングモジ ュールから供給される選択信号の関数として選択される。 第２の実施形態の範囲内における本発明による解決策のコンピュータプログラ ムとしての実施形態が図６及び７の流れ図により示されている。この場合、図６ はモニタリングモジュールにおいて実行されるプログラムを示し、一方図７はマ イクロコンピュータ２２内で実行されるプログラムを示している。 図６に示すモニタリングモジュールのプログラムは所定の時間間隔で呼び出さ れ、この場合、有利な実施形態においては、プログラムは少なくとも１つの上記 の所定運転状態においてのみ呼び出される。図示のプログラム部分の第１のステ ップ４００において、テスト信号が形成され、且つマイクロコンピュータ２２に 出力され、テストデータセットないしテストデータセットを決定する指数が伝送 される。好ましい実施形態においては、テストデータは、（加速ペダル位置及び 機関回転速度又は充填量により形成される）実際の運転状態に基づいて読み取ら れ且つ妥当な組合せ及び妥当でない組合せとして交互に選択される。本発明によ る 解決策の実行の範囲内において、テストの開始、テストデータの選択及び設定に 関しては、他の方式を用いてもよい（例えば妥当なデータのみ、妥当でないデー タのみ）。次に、それに続くステップ４０２において、マイクロコンピュータ２ ２により計算されたトルク差ＭＩ_Diffならびに場合によりエラーカウンタのカウ ントが読み込まれ、ステップ４０４において、計算された結果が正しいか否かが 記憶されている差の値に基づいて検査される。結果が正しいとき、プログラムは 改めて他のテストデータを用いてスタートされる。結果が一致しないとき、ステ ップ４０６によりエラー状態が検出され、プログラムは終了される。選択された 方式に応じてそれぞれ、エラーが１回検出されたとき又はエラーが複数回検出さ れたときにはじめて対応応答（出力段の遮断）が実行されるようにしてもよい。 他の有利な実施形態においては、モニタリングモジュール内でエラーカウンタが 作動し、この場合、エラーカウンタが最大値に到達したときにエラー措置が開始 される。エラーカウンタのカウントを伝送したとき、モニタリングモジュールは カウンタのカウントの時間線図及び／又は最大値への到達を検査する。 図７に示すプログラム部分は、マイクロコンピュータ２２において所定の時間 間隔でスタートされるプログラムを示す。プログラムがスタートした後、第１の ステップ５００において、テスト信号が存在したとき、ペダル位置、機関回転速 度、点火角及び充填量に対するテスト値が選択ないし読み込まれる。テスト信号 が存在しないとき、測定ないし計算された実際値が読み込まれる。以下に、テス ト信号が存在する状態を説明する。正常運転においては、プログラムはそれに応 じて、テストデータの代わりに実際の運転変数値が使用されるように実行する。 ステップ５０２においてペダル位置に対する信号値が所定のフィルタリングにか けられる。それに続くステップ５０４により、ペダル位置及び機関回転速度に対 するテスト値に基づいて許容トルクＭＩＺＵＬが決定され、充填量、点火角及び 機関回転速度に対するテスト値に基づいて実際トルクＭＩ_Istが決定される。そ れに続くステップ５０６において、実際トルクと許容トルクとの差として差トル クＭＩ_Diffが形成され、ステップ５０８によりモニタリングモジュールに出力さ れる。それに続くステップ５１０において、差トルクが０より大きいか否かが検 査される。これが肯定の場合、エラーカウンタが１だけ増加され（ステップ５１ ２）、否定の場合、１だけ低減される（ステップ５１４）。それに続いてステッ プ５１６において、エラーカウンタがその最大値に到達したか否かが検査され、 この場合、肯定回答の場合ステップ５１８によりエラーが検出され、場合により 対応する信号がモニタリングモジュールに出力される。エラーカウンタがその最 大値にまだ達していない場合、プログラムは終了され、所定の時間経過後改めて スタートされる。代替態様として、実際のエラーカウンタのカウントが伝送され る。 第１及び第２の実施形態の組合せは特に有利である。この場合、マイクロコン ピュータ２２からモニタリングモジュールに、トルク値間の差のみでなくエラー カウンタもまた伝送される。これらの値に基づいて、モニタリングモジュールは トルク差のビット精度を有する計算のみでなく、エラー検出の機能特に許容トル クと計算トルクとの間の妥当な偏差及び妥当でない偏差の間の区別をもモニタリ ングする。 トルク設定のための制御機能は機能モニタリングのためのテスト過程にもかか わらず常に実際の値に基づいて実行され、従ってテストにより駆動ユニットの運 転が影響を受けることはない。 本発明による解決策は、対応する運転変数を考慮して、同様にディーゼル機関 においても使用される。 上記の好ましい実施形態においては、モニタリング機能は、図示トルクすなわ ち内燃機関から燃焼により発生されるトルクに基づいて説明されている。他の実 施形態においては、モニタリング従ってテストに対し、他のトルク値（例えば出 力トルク）、充填値又は負荷値、出力値又はペダル位置及び絞り弁位置が使用さ れてもよい。このときも同様に、テストデータセットを与える本発明による解決 策が実行される。 加速ペダル位置に基づく許容トルクの計算のほかに、対応する運転状態におい て、他の運転要素（例えば走行速度制御装置）の設定、目標トルク値を与える外 部係合（例えば走行速度制御装置、機関牽引トルク制御装置、駆動滑り制御装置 等）の目標値及び／又は特殊運転変数（例えば走行速度、滑り、回転速度等）も また、この運転状態において許容トルクを決定するときに考慮され、且つこれに よりこの運転状態における又はこの運転状態に対するモニタリング及びモニタリ ングの検査が保証される。 本発明による解決策がディーゼル機関において使用された場合、充填量の代わ りに燃料供給量が、そして点火の代わりに噴射開始が読み込まれるべきである。 他の実施形態においては、許容トルクと実際トルクとの差及び／又はエラーカ ウンタのカウントを伝送するほかに、他の中間値、例えば許容トルク及び実際ト ルク、しきい値を超えたときの差の評価等が伝送される。

Claims (1)

1. 【特許請求の範囲】 １．マイクロコンピュータが設けられ、前記マイクロコンピュータは第１のプ ログラムにより駆動ユニット及び車両の運転変数の関数として前記駆動ユニット の出力を制御し、この出力制御を第２のプログラムにより、選択された運転変数 に基づいてモニタリングし、 前記マイクロコンピュータ内で実行されるモニタリングのためのプログラムが モニタリングモジュールにより機能性に関して検査され、 前記マイクロコンピュータが前記モニタリングモジュールから少なくとも１つ の運転状態においてテスト信号を受信し、このテスト信号に応答して前記マイク ロコンピュータは選択されたテストデータに基づいて所定のモニタリング機能を 実行し且つモニタリングの結果及び／又は中間値を前記モニタリングモジュール に伝送する、 車両の駆動ユニットの制御方法。 ２．前記モニタリングモジュールが、伝送された結果を期待値と比較すること により前記マイクロコンピュータにおけるモニタリング機能の機能性を検査する ことを特徴とする請求項１記載の方法。 ３．モニタリング機能が、操作要素の位置又は外部設定値の関数として計算さ れた許容機関トルク及び計算された実際機関トルクに基づいて行われることを特 徴とする請求項１又は２記載の方法。 ４．前記駆動ユニットが内燃機関であり、許容トルクが、機関回転速度、加速 ペダル位置及びその他の操作要素の設定値又は外部設定値に基づいて計算され、 実際トルクが、充填量及び／又は燃料供給量、機関回転速度及び設定された点火 角ないし噴射開始に基づいて計算されることを特徴とする請求項１ないし３のい ずれか一項に記載の方法。 ５．モニタリング機能を検査するために、許容トルク及び実際トルクがテスト データに基づいて求められ且つ相互に比較されることを特徴とする請求項１ない し４のいずれか一項に記載の方法。 ６．テスト信号に応答してモニタリング機能を検査するために、実際トルクが テスト信号に基づいて求められ、測定値に基づいて求められた許容トルクと比較 されることを特徴とする請求項１ないし５のいずれか一項に記載の方法。 ７．実際トルクと許容トルクとの差が前記モニタリングモジュールに伝送され 、前記モニタリングモジュールは、記憶されており且つテストデータに付属の測 定値に基づいて、前記マイクロコンピュータにおける前記差の計算の正当性を検 査することを特徴とする請求項１ないし６のいずれか一項に記載の方法。 ８．許容トルクが実際トルクにより超えられたときエラーカウンタが増分され 、前記エラーカウンタのカウント又はカウントが最大カウントを超えたことが前 記モニタリングモジュールに伝送され、前記モニタリングモジュールは伝送され た信号に基づいてモニタリングの機能性を特定することを特徴とする請求項１な いし７のいずれか一項に記載の方法。 ９．トルクがドライバの希望を超えて上昇することがある調節のとき、最大許 容トルクがドライバの希望とは独立のより高い値にセットされ、この場合、前記 モニタリングモジュールは、前記マイクロコンピュータがエラーを有するテスト データに応答することが検出されなかったとき、前記マイクロコンピュータを働 かせ、この運転状態においてもまたペダルから導かれた許容トルクをモニタリン グの検査に利用することを特徴とする請求項１ないし８のいずれか一項に記載の 方法。 １０．エラーケースが検出されたとき、モニタリング機能により空気量設定用 出力段が遮断され、前記モニタリングモジュールにより空気量設定用出力段及び ／又は燃料供給量用出力段、場合により点火用出力段が遮断されることを特徴と する請求項１ないし９のいずれか一項に記載の方法。 １１．第１のプログラムにより駆動ユニットの出力を前記駆動ユニット及び車 両の運転変数の関数として制御し且つ出力制御のために実行される制御機能を第 ２のプログラムにより、選択された運転変数に基づいてモニタリングするマイク ロコンピュータと、前記マイクロコンピュータにおけるモニタリングを検査する モニタリングモジュールとを備えた車両駆動ユニットの制御装置において、 前記モニタリングモジュールが少なくとも１つの運転状態において前記マイク ロコンピュータ用テスト信号を発生し、前記マイクロコンピュータはこのテスト 信号に応答して所定のテストデータに基づいて制御機能のモニタリングを実行し 、計算結果及び／又は中間値を前記モニタリングモジュールに伝送する、車両駆 動ユニットの制御装置。