CN104956056B - 具有至少两个控制单元的、用于控制内燃机的方法和设备 - Google Patents

Abstract

建议一种用于控制内燃机(3)的方法，其中，第一发动机控制器(5)产生至少一个控制信号，用以控制内燃机(3)的至少一个功能。该方法的特征在于，切换装置(9)为了控制内燃机(3)的至少一个功能将第一发动机控制器(5)的至少一个控制信号传递到内燃机(3)，其中，第一发动机控制器(5)连续地或周期性地将显示它的功能性的生命信号传送到切换装置(9)，其中，如果出现危害通过第一发动机控制器(5)对内燃机(3)的至少一个功能的按照规定的控制的故障，则第一发动机控制器(5)不或者不正确地传送生命信号，和其中，如果第一发动机控制器(5)的生命信号不或者不正确地被切换装置(9)接收，则切换装置(9)结束第一发动机控制器(5)的控制信号到内燃机(3)的传递并且开始将至少一个由第二发动机控制器(7)为了控制内燃机(3)的至少一个功能产生的控制信号传递到内燃机(3)。

Description

具有至少两个控制单元的、用于控制内燃机的方法和设备

本发明涉及一种按照权利要求1的前序部分的用于控制内燃机的方法，按照权利要求8的前序部分的用于控制内燃机的切换装置，按照权利要求11的前序部分的用于控制内燃机的设备，和按照权利要求12的前序部分的内燃机。

在此处所述的类型的方法和设备是已知的。设置发动机控制器，它产生至少一个控制信号，用以控制内燃机的至少一个功能，通常控制内燃机的许多或全部功能。如果在发动机控制器，与发动机控制器作用连接的传感器装置或布线中出现故障，该故障危害内燃机按照规定的运行危害，那么这情况不能够或者至少不能够无痕迹的或不能够以希望的把握被拦截。

尤其是，在设计成共轨发动机，尤其是共轨柴油机，的内燃机中，由于结构形式的限定，产生这样的问题，即用于必需的调节回路的调整环节，例如转速或速度调节和/或用于喷射装置的高压蓄压器的尤其是轨的高压调节，只能够单一地供使用，因此不能够冗余地安置。因此，如果设置相互间因此冗余的调节器或者说发动机控制器，以便拦截调节器的故障或失灵，则调节器必须连接到唯一一套调整环节，即所谓的执行机构上，同时不相互影响。此外，在调节责任从第一调节器到第二调节器的传递期间调整环节的控制的中断最多只允许为一个短的时间间隔，例如大约100ms，其最多如此长，即内燃机在没有显著的转速扰动并且同时不超过会触发高压阀的高压下仍然还能够在满负荷下继续运行。同时具有冗余的发动机控制器的整个调节系统应该能够安装在内燃机本身上，即它是可在发动机上安装的。

由欧洲专利文献EP0979189B1公开一种机动车调节系统，尤其是用于制动调节的系统的开关设备，其包括两个冗余的微处理器系统，其中，对每个微处理器系统直接地或者经由通讯单元输入全部的输入数据，通讯单元连接各单独的微处理器系统。在微处理器系统失灵的情况下紧急运行功能被这样地实施，即致动器操作被接通到独立的微处理器系统。在故障情况下由故障的微处理器系统为此发出故障信号。这是有缺点的，因为微处理器系统的完全失灵可能导致不再发出故障信号。在这种情况下故障不被注意到地保持下来并且不能够被拦截(消除)。

由欧洲专利文献EP2418580B1获知一种用于z运行网络的方法以及一种网络，其中，设置两个冗余的控制器。控制器之一作为主控制器作用，其中，另一个控制器承担备用功能。主控制器以有规律的间隔发送同步信号到备用控制器。此外它在有规律的间隔下将活动信号发送到受控制的外围设备。如果出现故障功能，主控制器就不再发出同步信号，由此现在不再接收到同步信号的备用控制器，被启动来检查，是否外围设备在另一个预先给定的时间段内已经接收到控制器的活动信号。如果也不是这种情况，则推断出主控制器失灵，和备用控制器接过控制功能。在此情况下的缺点是，两个级别的检查通过备用控制器进行:在第一步骤中备用控制器必须确定，不再由同步信号被接收。在第二步骤中然后询问外围设备，是否外围设备还接收主控制器的活动信号。这种方法比较复杂和太慢。

本发明基于的任务是提供一种用于控制内燃机的方法和设备，其中，尤其是提高失灵安全性并且在故障功能情况下能够无痕迹地切换到一个冗余的控制上，同时不需要复杂的检查。此外本发明基于的任务是提供一种应用于控制内燃机的切换装置以及一种内燃机，其中，尤其解决了所述的问题或者说实现了所述的优点。

该任务通过提供一种具有权利要求1的特征的方法得以解决。该方法的特征在于设置一种切换装置。切换装置为了控制内燃机的至少一个功能将第一发动机控制器的至少一个控制信号传递到内燃机。第一发动机控制器即不直接地将它的控制信号传送到内燃机，而是经由切换装置。第一发动机控制器发送生命信号（Lebend-Signal）到切换装置，该生命信号显示第一发动机控制器的功能性。在此规定，生命信号由第一发动机控制器连续地或周期性地，即持久地或者在有规律的时间间隔下，发送到切换装置。如果出现故障或者说功能失灵，其中，通过第一发动机控制器按照规定的对内燃机的至少一个功能的控制受到危害，那么第一发动机控制器不或不正确地将生命信号传送到切换装置，由此该生命信号不再或不再正确地被切换装置接收。优选第一发动机控制器结束发送生命信号。在这种情况下切换装置结束传递第一发动机控制器的控制信号到内燃机。它开始，将由第二发动机控制器为了控制内燃机的至少一个功能产生的控制信号传递到内燃机。即切换装置将内燃机的控制从第一发动机控制器在故障情况下切换到第二发动机控制器，其中，这可以无痕迹地实施。由于第一发动机控制器在故障情况下不发出任何故障信号，而是不或不再正确地传送生命信号，其中，优选结束发出生命信号，因此尤其是通过切换装置也注意(记录)第一发动机控制器完全失灵，由此可以无痕迹地切换到第二发动机控制器。在此情况下不需要两个级的检查，因为第二发动机控制器没有为了检查第一发动机控制器的失灵而被激活，如果没有进行信息传送的话，相反通过切换到第二发动机控制器切换装置直接地对第一发动机控制器的生命信号的消失或不正确的接收作出反应，而不采取另外的措施。因此该方法非常简单和可靠。

在方法的一个实施方式中可以实现，生命信号与至少一个控制信号是相同的。在该方法的另一个实施方式中生命信号优选是与控制信号独立地产生的和传送到切换装置的信号。在该方法的又一个实施方式中生命信号与控制信号叠加，或生命信号涉及到控制信号的特性，例如涉及到脉冲宽度调制的控制信号的正确的同步（定时）。如果或者控制信号失灵，或者如果控制信号的显示生命信号的特性不再被给出，例如如果脉冲宽度调制的信号的同步，尤其是信号侧沿的在时间上的设置不再正确地被探测到，则生命信号被切换装置识别为不被接收或不再正确地被接收。

最好在该方法的范围中由第一发动机控制器产生脉冲宽度调制的信号作为控制信号和/或作为分开的生命信号由软件产生。这与通常产生脉冲宽度调制的信号的方式不同在于，作为典型的方式使用电子元件，例如比较器或微控制器，其紧急通过软件相应地控制。但是在本发明中优选，脉冲宽度调制通过软件本身产生，即在一个用于产生信号设置的程序中设置一种算法，通过它计算和产生脉冲宽度的显示该信号的时间顺序。这种解决方案通常任务是有缺陷的，因为，基于程序产生脉冲宽度调制的信号是几乎不可能或是非常困难的。但是在此处谈及的方法中，专门地利用这种缺点，其中脉冲宽度调制的信号在切换装置中通过合适的硬件被探测并且它的时间上的同步上检查偏差。如果第一发动机控制器的软件具有故障，则它不再能够清晰地测定脉冲宽度调制的信号的同步（时间节拍）。这在切换装置中被识别为不再正确地接收生命信号，由此切换装置然后切换到第二发动机控制器。借助于软件产生的脉冲宽度调制的信号，因此可以也将第一发动机控制器的软件的故障纳入监控中。

危害通过第一发动机控制器按照规定的对内燃机的至少一个功能的控制的故障可以以许多方式出现。例如可能的是故障出现在与第一发动机控制器作用连接的传感器装置中，由此第一发动机控制器不再有正确的测量值供用于控制内燃机使用。还可能的是，在第一发动机控制器和相应的传感器装置之间的作用连接被中断。还可能的是，在第一发动机控制器和切换装置之间的作用连接被中断，尤其是在它们之间的布线被中断。在这种情况下第一发动机控制器的生命信号自然不再被切换装置接收。最后可能的是，在发动机控制器本身中出现受硬件限定的或受软件限定的故障，由此危害按照规定地控制内燃机。尤其可能的是，第一发动机控制器完全失灵。在这种情况下自然生命信号也不再传送到切换装置。

因此在这样的故障或功能失灵，其中，生命信号到切换装置的传送由于该故障或功能失灵本身而必然失败，因为例如作用连接断开，和这样的故障或功能失灵，其主动地通过第一发动机控制器识别出，随后第一发动机控制器或者完全地停止发送或者至少停止正确的发送生命信号，之间要进行区别。在生命信号的传送必定失败的情况下，实施近乎自动的切换到第二发动机控制器。在另外的情况下，第一发动机控制器近乎经由切换装置中间作用将控制本身传递到第二发动机控制器，其中它结束发送或结束正确地发送生命信号。

最好第一发动机控制器不是在每个故障或者说每个功能失灵下结束发送或正确地发送生命信号，而是仅仅在确实危害按照规定的对内燃机的至少一个功能的控制的故障下，由此例如不再能够实现调节到确定的运行点，保持确定的废气极限值或甚至可靠的运行。第一发动机控制器由此在它们对内燃机的按照规定的控制的危害的潜力方面分析最好被识别的故障或者说功能失灵。在此情况下最好考虑一个决定标准，依据该决定标准，第一发动机控制器决定，是否接收发送或结束正确地发送生命信号。在这个决定中，作为标准尤其可以理解，是否第一发动机控制器接收第二发动机控制器的生命信号。为此在方法的一个实施方式中最好规定，第二发动机控制器也发送生命信号，它至少也传送到第一发动机控制器。然后可以的是，只有当第二发动机控制器的生命信号被正确地接收，第一发动机控制器才结束发送或正确地发送生命信号。

控制至少一个功能在此处优选涉及到控制和/或调节至少一个参量。发动机控制器因此优选构造成调节器。

优选一种方法，其特征在于，第一发动机控制器为了控制内燃机的至少一个功能将必需的信息一次性地最好直接地在起动内燃机之后或期间传送到第二发动机控制器。在这种情况下在运行内燃机开始时候存在的信息也供第二发动机控制器使用，由此第二发动机控制器在故障情况下能够承担该控制。

备选地，优选，第一发动机控制器周期性地将为了控制内燃机的至少一个功能必需的信息传送到第二发动机控制器。该传送因此在最好预先确定的时间间隔之后进行，其中，第一传送最好直接地在起动内燃机之后或期间进行。第二发动机控制器在该方法的这个实施方式中在有规律的间隔下被带到当前的状态，由此信息的改变也传送到第二发动机控制器和然后供在故障情况下用于控制或调节内燃机使用。

此外备选地优选，为了控制内燃机的至少一个功能必需的信息依据需要地被传送到第二发动机控制器。尤其是它们在改变信息之后被传送到第二发动机控制器。在这个实施方式中也优选，信息首次地直接地在起动内燃机之后或期间传送到第二发动机控制器或存储在其中。进一步的传送然后最好依据需要地分别在改变信息之后进行。由此保证，在第二发动机控制器中存在的信息始终是最新的，由此可以在故障情况下通过第二发动机控制器基于当前为了致动、控制或者说调节所必需的信息实施内燃机的至少一个功能的无痕迹的继续调节或者说控制。

备选地优选，将为了控制内燃机的至少一个功能必需的信息从开始就存储在第二发动机控制器中，其中，它们尤其是持久地保持在先前确定的值上。这些信息被调用，如果对内燃机的至少一个功能的控制被切换到第二发动机控制器的话。这具有优点，不需要第一和第二发动机控制器之间的任何通讯。

在此情况下，用语“调用”按照第一替代方案包括，与该信息相应的参数在接管控制期间被用存储的值初始化，其中，这些参数之前可以具有未定义的和/或改变的值。按照第二替代方案，用语“调用”一种方法，在该方法中，参数被一直固定在存储的值上，直到第二发动机控制器接管（承担）控制。自这个时间点起参数被释放，因此它们在运行中可以改变并且尤其是可以匹配于自身改变的运行条件。

尤其是在方法的一个实施方式中，其中第一和第二发动机控制器不相互通讯，有利的是，第二发动机控制器识别出对至少一个功能的控制被切换到它上。

为了控制至少一个功能必需的信息包括最好尤其是负荷点，特性曲线簇点和/或整个特性曲线簇，为了控制内燃机，尤其是用于控制内燃机的至少一个功能，它们是必需的。

第一和第二发动机控制器最好构造成调节器，它们在调节中考虑积分环节或者说积分部分。在为了控制至少一个功能必需的信息中此时最好也包括这种积分部分。由于第二发动机控制器是开始调节回路，只要切换装置没有将内燃机的控制切换到它上，因此第二发动机控制器中的积分部分随着时间与第一发动机控制器中的积分部分的偏差逐渐增大。这在切换到第二发动机控制器期间会导致问题，尤其是因为积分部分不是短期地改变，而是仅仅在一定的时间上，由此在切换到之后不可能快速地调节到位。为了避免这种问题，在该方法的一个优选实施方式中规定，第二发动机控制器识别出，如果切换装置将内燃机的控制切换到它上，其中，它将积分部分在这种情况下在预先确定的，尤其是通过试验台试验和/或经验给出的值上进行初始化，这些值被存储在第二发动机控制器中。在方法的一个备选的实施方式规定，积分部分在第二发动机控制器中持久地保持在预先确定的值上，只要调节责任不被切换到第二发动机控制器。在方法的另一个实施方式中积分部分被从第一发动机控制器传送到第二发动机控制器，其中，之前描述的替代方案之一被选择用于传送为了控制内燃机的至少一个功能必需的信息。就此参见这些部分。尤其是在该方法的一个优选实施方式可能的是，积分部分周期性地从第一发动机控制器传送到第二发动机控制器，其中，优选在第二发动机控制器的传送失败时使用这些预先确定的，存储的值。

也优选一种方法，其特征在于，第二发动机控制器将显示它的功能性的生命信号传送到切换装置，其中，这是连续地或周期性地发生的。由此也可以确定在第二发动机控制器中的故障或者说功能失灵或可能时也确定它的整个失灵。

备选地或附加地，第二发动机控制器最好将生命信号传送到第一发动机控制器。在这种情况下如上所述，可以的是，作为用于主动结束发送或正确地发送它的生命信号的标准，第一发动机控制器考虑使用第二发动机控制器的生命信号的正确的接收。

可以的是，生命信号与第一或第二发动机控制器的分配在信号本身中被编码。备选地，可以的是，生命信号是相同的，但是被切换装置的不同的输入端接收，其中，这些输入端与第一或第二发动机控制器相配置。无论如何保证，生命信号可以按照规定地分配给生命信号由其发出的那个发动机控制器。

在这一点上优选一种方法，其特征在于，仅仅当一方面第一发动机控制器的生命信号不再或不再正确地被接收时，切换装置才开始将第二发动机控制器的控制信号传递到内燃机，其中，另一方面同时第二发动机控制器的生命信号被正确地接收。由此仅仅在一方面在第一发动机控制器的区域中确实出现故障时和另一方面保证第二发动机控制器是功能正常时才实施内燃机的控制到第二发动机控制器的切换。相反，如果确定，两个发动机控制器不按照规定地工作或失灵，最好采取其他的措施，以保证内燃机的可靠运行，或者必要时停止内燃机。

也优选一种方法，其特征在于，如果第二发动机控制器的生命信号不再被接收，切换装置往回切换到通过第一发动机控制器对内燃机的至少一个功能的控制，其中，同时第一发动机控制器的生命信号再次被接收。这个实施方式基于的考虑在于，第一发动机控制器中的故障可能是暂时性的，即在一定的时间之后不再出现。在这种情况下第一发动机控制器最好重新开始发出它的生命信号，该生命信号被切换装置接收。如果现在在控制内燃机第二发动机控制器的区域中出现故障，它最好结束发送或正确地发送生命信号，其中，这一点由切换装置确定。在第一发动机控制器再次功能正常和它的生命信号被切换装置正确地接收的情况下，切换装置切换回到第一发动机控制器，由此第一发动机控制器又承担对内燃机的至少一个功能的控制，最好控制或者说调节整个内燃机。显然，该方法优选以这种方式被继续实施此外，由此正好在出现暂时的故障时可以在两个发动机控制器之间进行多次交换。

也优选一种方法，其特征在于，第二发动机控制器在内燃机运行期间连续地产生至少一个控制信号，其中，这它也在这样的时间处实施，在该时间处该控制信号不通过切换装置传递到内燃机。这涉及到，第二发动机控制器不是当第二发动机控制器接管对内燃机的至少一个功能的控制时才开始产生控制信号。相反，第二发动机控制器与第一发动机控制器独立地在起动内燃机时开始产生控制信号，由此始终地，除了在故障情况下，冗余地由两个发动机控制器产生控制信号，其中，但是切换装置仅仅将发动机控制器的其中一个的控制信号传递到内燃机。这样可以通过切换装置将控制特别快速地无痕迹地切换到第二发动机控制器，因为第二发动机控制器不必才开始产生控制信号。

这方法也优选用于，第二发动机控制器可以识别，是否它已经具有控制内燃机的责任，即是否切换装置将控制信号的传递从第一发动机控制器切换到它上。为此第二发动机控制器最好产生一个电压，由于该电压，有电流流动，如果第二发动机控制器控制内燃机的至少一个功能的话。相反如果第二发动机控制器的控制信号不由切换装置传递到内燃机，则没有电流流动。第二发动机控制器监控电流流动和最好确定，是否电流超过一个预先确定的门限值，例如0A或1A。如果不是这种情况，即测量的电流低于门限值，那么第二发动机控制器的至少一个控制信号暂时地不通过切换装置传递到内燃机。相反，如果测量的电流高于预先确定的门限值，则第二发动机控制器识别出，对内燃机的至少一个功能的控制通过切换装置被传递到它上。这尤其是在构造成调节器的第二发动机控制器的积分部分的正确的初始化相关性上是重要的，以便可以将积分部分在正确的时间正确地进行初始化，或者由此第二发动机控制器可以及时地结束将积分部分保持在预先确定的值上，如果它承担内燃机的调节的话。

备选地，可以的是，第二发动机控制器不产生控制信号，只要它不被用于通过切换装置进行控制。在这种情况下传切换装置在切换到第二发动机控制器时将信号送到它，由此启动产生控制信号，其随后从切换装置传递到内燃机。

优选一种方法，其特征在于，通过第一或第二发动机控制器控制和/或调节内燃机的执行机构。执行机构尤其包括内燃机的至少一个喷射器和/或至少一个吸气节流阀。当前用于控制或调节内燃机的发动机控制器尤其控制和/或调节内燃机的全部喷射器和/或吸气节流阀。在方法的一个特别优选实施方式中规定，发动机控制器控制和/或调节内燃机的全部功能，尤其是总体上控制和/或调节内燃机。就此而言发动机控制器也可以称为发动机调节器。

尤其优选一种方法，其中第一或第二发动机控制器调节内燃机的转速或速度，其中内燃机的至少一个喷射器作为调整环节被控制。备选地或附加地优选，第一或第二发动机控制器调节在燃料喷射装置的高压蓄压器中的压力，尤其是共轨柴油机的轨中的轨压，其中作为调整环节吸高压泵的气节流阀被控制。在此处表明，为了控制吸气节流阀最好通过该吸气节流阀的电流流动是必需的。

优选一种方法，其中第二发动机控制器监控连续地产生的控制信号，以便识别，是否它控制内燃机的至少一个功能。在此情况下第二发动机控制器优选用存储的值初始化用于控制内燃机的至少一个功能的参数，尤其是积分部分，如果识别出，它控制内燃机的至少一个功能的话。备选地或附加地，它将参数的预先确定的，保留的值释放进行变动，如果识别出，它控制内燃机的至少一个功能的话。

在这一点上优选一种方法，其中第二发动机控制器产生电压，基于该电压，如果它控制内燃机的至少一个功能，则有电流流动，其中，如果控制信号不从切换装置传递到内燃机，则没有电流流动。最好第二发动机控制器监控，是否有电流流动。在此它尤其监控，是否电流超过预先确定的门限值。

尤其是按照已经描述的方法对吸气节流阀的控制在方法的一个优选实施方式被用于，第二发动机控制器可以识别，是否它已经获得传递的调节责任。为此第二发动机控制器最好连续地控制吸气节流阀，在此产生尤其是一个电压，其中，没有电流从第二发动机控制器通过吸气节流阀流动，如果第二发动机控制器不经由切换装置与内燃机作用连接的话。相反，如果切换装置切换到第二发动机控制器，电流从第二发动机控制器流动通过吸气节流阀，该电流由第二发动机控制器测量和尤其是识别为低于预先确定的门限值。在这种情况下第二发动机控制器最好识别出，切换装置已经将内燃机的控制切换到它。

该任务也被如下方式地解决，即提供一种用于控制内燃机，尤其是实施用于按照前面描述的实施方式之一的方法的，具有权利要求8的特征的切换装置。切换装置的特征在于，它可以置于与第一发动机控制器和第二发动机控制器以及内燃机作用连接。切换装置如此构造成，通过它可以将第一发动机控制器或第二发动机控制器的至少一个控制信号传递到内燃机。在此情况下该传递可以通过切换装置从第一发动机控制器切换到第二发动机控制器。切换装置因此如此构造成，它始终或者将第一发动机控制器的至少一个控制信号或者将第二发动机控制器的至少一个控制信号传递到内燃机，其中，它可以将该传递从第一发动机控制器切换到第二发动机控制器。切换装置此外如此构造成，它可以接收第一和/或第二发动机控制器的生命信号。切换装置最好如此构造成，如果第一发动机控制器的生命信号不或不正确地通过切换装置接收，则它结束第一发动机控制器的至少一个控制信号到内燃机的传递和开始第二发动机控制器的至少一个控制信号到内燃机的传递。

切换装置最好具有探测机构，它被如此构造成，通过探测机构可以确定，是否生命信号被接收。切换装置最好也具有判断机构，它被如此构造成，它可以判断生命信号的正确的接收。在此尤其可能的是，判断机构被如此构造成，它可以检查脉冲宽度调制的信号的时间上的同步(定时)，该同步是否是正确的，尤其是是否满足预先确定的标准。

也优选一种切换装置，它特征在于，它具有至少一个开关。该开关优选设计成机电式开关，尤其是继电器。但是特别优选地，开关构造成半导体开关。在切换装置中使用半导体开关是有利的，因为由此可以直接地保证，控制信号到内燃机的传递的最大的中断足够地短，使得内燃机在没有显著的转速扰动和没有超过高压的情况下还能够在满负荷下继续运行，其中，该中断最好在低于100ms的范围内。半导体开关因此可以非常快速地接通，和同时切换装置要求很小的结构空间，由此它可以容易地直接地安装在内燃机上。

最后优选一种切换装置，它特征在于，它具有防中断机构，通过它可以在发动机控制器之间切换期间维持至少一个控制信号从切换装置传递到内燃机。这种切换装置优选被设置用于控制信号，该控制信号是通过一个调整环节的电流流动。该电流流动在切换期间应该不被中断，以避免损害内燃机的功能。防中断机构最好构造成自由轮，当进行从第一发动机控制器到第二发动机控制器的切换，通过它以本身已知的方式保持维持电流流动。为此自由轮最好包括至少一个二极管。特别优选地，防中断机构，尤其是自由轮，如此构造成，它通过调整环节在正常运行下不影响电流流动，以便不使在第一或第二发动机控制器中的电流测量失真。

一方面对方法的描述和另一方面对切换装置的描述应该理解为是相互互补的。尤其是优选一种切换装置，其特征在于至少一个特征，该特征适合于或是需要的，以实施至少一个结合该方法已经描述的方法步骤。以相同的方式优选该方法的一种实施方式，其特征在于至少一个步骤，该步骤通过至少一个结合切换装置描述的特征限定。

该任务也如此解决，即提供一种用于控制内燃机具有权利要求11的特征的设备。设备尤其是构造成用于实施按照前面描述的实施方式之一的方法。它包括第一发动机控制器，第二发动机控制器和切换装置，尤其是按照前面描述的实施例之一的切换装置。设备的特征在于，第一和第二发动机控制器如此构造成，它们可以产生控制信号，借此可以控制内燃机的至少一个功能，最好控制和/或调节整个内燃机。第一和第二发动机控制器可以经由切换装置的中间作用与内燃机进入作用连接，以传递控制信号到内燃机。尤其是第一和第二发动机控制器最好与切换装置这样地作用连接，第一或第二发动机控制器的控制信号可以通过切换装置传递到内燃机。在此情况下切换装置如此构造成，它可以切换控制信号的传递，由此可选择地只将第一发动机控制器或第二发动机控制器的控制信号传递到内燃机。第一发动机控制器如此构造成，它可以产生和发送显示它的功能性的生命信号，其中，同时被如此构造成，它可以结束生命信号的产生和/或发出或正确的产生和/或发出，其中，如果出现危害通过第一发动机控制器按照规定的对内燃机的至少一个功能的控制的故障或者说功能失灵，第一发动机控制器尤其是可以主动地结束生命信号的产生或正确的产生和/或发出或正确的发出。尤其是第一发动机控制器优选如此构造成，如果第一发动机控制器完全失灵，生命信号的产生和/或发送被结束。第一发动机控制器与切换装置如此地作用连接，它的生命信号可以被切换装置接收。切换装置如此构造成或者说被设置，如果第一发动机控制器的生命信号不或不正确地通过它接收，它结束第一发动机控制器的至少一个控制信号到内燃机的传递和开始第二发动机控制器的至少一个控制信号到内燃机的传递。切换装置因此可以在故障情况下将对内燃机的至少一个功能的控制从第一发动机控制器切换到第二发动机控制器。这可以无痕迹地实施，而不干扰内燃机的运行。尤其是及时地实施切换，由此内燃机的运行不直接地由于故障而结束，内燃机因此被停止。

第一发动机控制器最好与第二发动机控制器如此地作用连接，全部的为了控制内燃机的至少一个功能必需的信息，尤其是负荷点，特性曲线簇点，整个特性曲线簇和/或积分部分可以从第一发动机控制器传送到第二发动机控制器。

切换装置最好电子箱构造成，它具有与第一和第二发动机控制器连接的输入端和与内燃机连接的至少一个输出端。

优选一种设备，它特征在于，第一发动机控制器和第二发动机控制器通过现场总线相互作用连接。现场总线最好设计成C总线(控制器局域网总线)。这意味着可以特别简单和方便地使得两个发动机控制器的作用连接进行信息传递。

最后优选一种设备，它特征在于，第二发动机控制器被如此构造成，它可以产生显示它的功能性的生命信号，其中，它可以连续地或周期性地发送生命信号。它在此与切换装置和/或第一发动机控制器如此地作用连接，生命信号可以被切换装置/第一发动机控制器接收。切换装置最好如此构造成，仅仅当一方面第一发动机控制器的生命信号不或不正确地被接收，其中，同时另一方面第二发动机控制器的生命信号被正确地接收时，它才将对内燃机的至少一个功能的控制从第一实施到第二发动机控制器。如果相反，两个生命信号不或不正确地被接收，可以采取另外的措施，以便保证或控制地停止内燃机的可靠的运行。在第二发动机控制器有故障和第一发动机控制器的在此期间不再存在的、暂时的故障的情况下，如已经结合该方法描述的那样，也可以将对内燃机的至少一个功能的控制切换返回到第一发动机控制器。

关于设备，优选一些实施例，它们具有至少一个特征，该特征通过至少一个在本方法的范围中描述的步骤，最好步骤的组合，限定。关于方法，优选一些实施方式，其中实施至少一个方法步骤，该步骤通过设备的至少一个特征，最好是其组合，限定。就此而言，方法和设备的描述应该看到不是相互隔离的，而是相互互补的，其中，方法特征可以从设备的描述中导出和装置特征可以从方法的描述中导出。同样的情况也类似地适用于方法和切换装置，以及切换装置和设备。

最后也通过提供一种具有权利要求12的特征的内燃机解决所述任务。其特征在于一种按照前面描述的实施例之一的设备。由此实现以及结合方法，切换装置和设备解释的优点。

优选一种内燃机，它特征在于，内燃机被构造成共轨发动机，尤其是柴油机或燃气发动机。正是在这种情况下最好设置第一和第二发动机控制器，以便一方面通过吸气节流阀作为调整环节实施高压调节和另一方面通过至少一个喷射器作为调整环节实施转速调节或速度调节。最好内燃机构造成在潜水艇或消防水泵中使用。

也优选一种消防水泵，其特征在于按照前面描述的实施例之一的内燃机。

也优选一种潜水艇，其特征在于按照前面描述的实施例之一的内燃机。

不仅消防水泵而且潜水艇必须满足特别高的安全标准，尤其是在内燃机的失灵方面，由此在此处以特别的方式实现方法，切换装置，设备以及内燃机的优点。

也优选按照前面描述的实施例之一的内燃机在一种应用的范围中的使用，该应用必须满足关于内燃机失灵的提高的安全标准，例如在潜水艇或消防水泵中使用。

以下借助于附图详细解释本发明。附图中所示:

图1是用于控制内燃机的设备的实施例的示意图;

图2是说明用于控制内燃机的方法的实施方式的流程图;

图3是用于方法的优选实施方式的调节图的示意图;和

图4是设备的实施例的示意图，其中，切换装置具有防中断机构。

图1示出用于控制内燃机3的设备1的实施例的示意图。设备1包括第一发动机控制器5，第二发动机控制器7和切换装置9。

通过第一发动机控制器5和第二发动机控制器7可以产生控制信号，其用于控制内燃机的至少一个功能，最好控制和/或调节多个功能或完全控制和/或调节内燃机。在此，第一发动机控制器5经由作用连接11和第二发动机控制器7经由作用连接13如此与切换装置9连接，控制信号可以分别传送到切换装置。切换装置9经由第三作用连接15与内燃机3作用连接，以传递控制信号到内燃机。在此，切换装置9在每个时间分别只将两个发动机控制器5，7之一的控制信号传递到内燃机3。

每个发动机控制器5，7产生在示出的实施例中生命信号，它示出它的功能性，其中，它在第一发动机控制器5的情况下经由第四作用连接17和在第二发动机控制器7的情况下经由第五作用连接19被传送到切换装置9。

为了使第二发动机控制器7具有全部的为了控制内燃机3的至少一个功能，尤其是为了其控制或调节必需的信息供使用，第一发动机控制器5最好与第二发动机控制器7经由现场总线21作用连接，由此信息一次性地直接地在起动内燃机3之后或期间，周期性地或依据需要地，尤其是在改变信息之后，可以从第一发动机控制器5传送到第二发动机控制器7。

在示出的实施例中规定，第一发动机控制器5作为主控制器使用。因此只要切换装置9在起动内燃机3之后接收第一发动机控制器5的生命信号，则它将由第一发动机控制器产生的控制信号传递到内燃机3。优选在同一时间处第二发动机控制器7也产生全部为了控制必需的控制信号，但是它们不通过切换装置9传递到内燃机3。第二发动机控制器7在示出的实施例中作为备用控制器使用，它相对于第一发动机控制器5冗余地工作和在故障情况下可以接管（承担）对内燃机3的至少一个功能的控制或者说对它的调节。

设备1的工作方式借助于在图2中示出的流程图解释，它示意地示出用于控制内燃机3的方法的优选实施方式。在有规律的间隔下，即最好在预先确定的时间间隔之后，或连续地，第一发动机控制器5检查，是否存在故障或功能失灵，其危害按照规定的对内燃机3的至少一个功能的控制。只要不存在故障或这种功能失灵，第一发动机控制器5在步骤S2中正确地产生生命信号和将其发送到切换装置9。切换装置9第一发动机控制器5的控制信号传递到内燃机3，由此内燃机在步骤S3中通过第一发动机控制器5至少在至少一个功能上被控制和/或调节。

相反，如果出现故障或者说功能失灵，或第一发动机控制器5完全失灵，在步骤S10中第一发动机控制器结束产生和/或发送生命信号或正确地产生和/或正确地发送生命信号。第一发动机控制器5的生命信号随后不再或不再正确地被切换装置9接收，由此切换装置在步骤S11中促使控制信号第一发动机控制器5到内燃机3的传递结束z并且取而代之地，开始将由第二发动机控制器7产生的和传送的控制信号传递到内燃机3，以便对其在至少一个功能上进行控制和/或调节至少。随后第二发动机控制器7在步骤S12中在至少一个功能上控制和/或调节内燃机3。

在按照图2的流程图中示出的方法最好与前面结合第一发动机控制器5解释的一样针对第二发动机控制器7进行实施，如果内燃机3的至少一个功能通过第二发动机控制器7控制的话。为此第二发动机控制器7最好也产生显示它的功能性的生命信号和将其发送到切换装置9。如果此时在第二发动机控制器7中出现故障或者说功能失灵或它完全失灵，切换装置9最好可以切换回到第一发动机控制器5，如果它的功能性由于仅仅暂时存在的故障被重新恢复，并且第一发动机控制器5的生命信号又被切换装置9接收的话。

图3示出方法的优选实施方式的调节图的示意图。相同的和功能相同的元件具有相同的附图标记，由此就此而言参见前面的描述。按照图3的视图描述调节参量23目标值25上的冗余的调节。作为冗余的调节器，第一发动机控制器5和第二发动机控制器7相互平行地布置。也示出切换装置9，它将控制参量27或者从第一发动机控制器5或者从第二发动机控制器7传递到调整环节29。该调整环节影响调节参量31，其作用于调节对象33上。

为了测量调节参量23，在方法的示出的实施方式中或在设备的实施例中设置两个独立的测量环节，即第一测量环节33，它分配于第一调节器或者说第一发动机控制器5，和第二测量环节35，它分配于第二调节器或者说第二发动机控制器7。调节参量的第一实际值37以已知的方式通过目标值25计算，由此向第一调节器输入第一调节偏差39。第二测量环节35确定第二实际值41，由其通过目标值25计算第二调节偏差43，后者被输入到第二调节器。有利的是，不仅调节器，而且测量环节都冗余地构成，因为以这种方式传感器装置的故障，功能失灵或完全失灵也可以通过切换到并列的调节回路进行补偿。

只要第一发动机控制器5作为调节器是激活的，则看到一个闭合的调节对象，因为由它产生的控制参量27通过切换装置9传递到调整环节29。相反，第二发动机控制器7是一个开式的调节回路，因为只要切换装置将第一发动机控制器5的控制参量27传递到第一发动机控制器，则不存在与调整环节29的作用连接。由此产生问题，即随着时间的增大，在第二发动机控制器7中的积分部分取用不能够用于调节调节参量23的值。为了解决这问题，在将调节切换到第二发动机控制器7时采用之前描述的替代的方法之一。

在方法的一个优选实施方式中，调整参量23是内燃机的转速或由内燃机驱动的机动车的速度。调整环节29在这种情况下是至少一个喷射器。最好内燃机的全部喷射器作为调整环节使用。备选地，调整参量23最好是内燃机的喷射装置的高压蓄压器中的压力，尤其是是用于构造成共轨柴油机的内燃机的蓄压轨的压力调节。调整环节29在这种情况下是高压泵的吸气节流阀，它的通过横截面被改变，以便调节轨压力。

也优选该方法的一种实施方式，其中第一发动机控制器5或第二发动机控制器7不仅调节内燃机的转速或速度而且调节用于喷射装置的高压。在这种情况下按照图3的示意图近乎要被复制，或者说第一发动机控制器5和第二发动机控制器7分别产生两个控制参量，即用于控制至少一个喷射器的第一控制参量和用于控制吸气节流阀的第二控制参量。相应地，也设置一方面用于转速或速度和另一方面用于高压的分开的测量环节。此外，发动机控制器5，7相应地分别具有两个输入端，用于在两个调节回路中的两个调节偏差。

表明，第一发动机控制器5到第二发动机控制器7的切换必须在一个短的时间间隔内，最好小于100ms的时间间隔内，实施，以便避免内燃机被停止，例如因为没有或者很少的燃料被喷射，或出现高压的超过。为此尤其必要的是，对高压泵的吸气节流阀无中断地通电流。为了保证这一点，切换装置9最好包括防中断机构。

图4示出设备1的一个实施例，其中切换装置9具有这种防中断机构45。

相同的和功能相同的元件采用相同的附图标记，由此就此而言参见前面的描述。第一发动机控制器5和第二发动机控制器7在此处是相同构造成，由此仅仅详细解释第一发动机控制器5的结构。它包括开关47，通过开关可以使电压源49与输出端51连接，该输出端与切换装置9的第一输入端53连接。控制参量，电流从电压源49经由输出端51和切换装置9的输入端53流动，传递到用作调整环节的、没有示出的吸气节流阀，它的开启横截面或者说通流横截面经由该电流流动通过线圈55来控制。电流经由切换装置9的第一输出端57流动返回到第一发动机控制器5的输入端59。第一发动机控制器最好包括测量机构61用于测量通过线圈55流动的电流。借助于测量机构61对于第一发动机控制器5也可能决定，是否它暂时地控制或没有控制吸气节流阀。这在下面还要结合第二发动机控制器7详细解释。但是优选地，两个发动机控制器5，7探测，是否它们暂时地具有调节责任或者说控制执行机构，例如吸气节流阀。为了在打开开关47时即在电压源49与输出端51分开时，避免超高的电压峰，以已知的方式在输出端51和输入端59中间设置自由轮二极管63。

如已经表明的，第二发动机控制器7与第一发动机控制器5相同地构造成。在此处，测量机构61尤其是用于识别，是否没有示出的吸气节流阀被第二发动机控制器7控制。只要不是这种情况，输出端51'就不与切换装置9的输入端53连接。第二发动机控制器7的输入端59'也不与切换装置9的输出端57连接。因此尽管在输出端51'上施加由第二发动机控制器7的没有示出的电压源产生的电压，但是没有电流流动。为了从第一发动机控制器5切换到第二发动机控制器7，切换装置9在示出的实施例中包括第一开关65和第二开关67。通过第一开关65可以分开输出端51和输入端53之间的连接，和可以建立第一输出端51’和输入端53之间的连接。以类似的方式，通过第二开关67可以建立输入端59'和输出端57之间的连接，而可以分开输入端59和输出端57之间的连接。在实施切换之后，第二发动机控制器7的电流回路经由输出端51'，输入端53，线圈55，输出端57和输入端59'闭合。在这种情况下，第二发动机控制器7的测量机构探测到电流流动，它最好大于一个预先确定的门限值。由此第二发动机控制器7识别出，吸气节流阀的控制被切换到它上。最好此时第二发动机控制器7的积分部分按照前面描述的实施方式之一被初始化。

通过线圈55的电流流动必须最好在第一发动机控制器5切换到第二发动机控制器7期间被保持，以便内燃机不被停止或者在高压蓄压器中没有不允许的压力被建立。为了保证这一点，切换装置9包括防中断机构45，其在此处构造成自由轮机构69被。它如此构造成，电流回路经由自由轮机构69保持闭合或者说电流流动通过线圈55经由自由轮机构69保持获得，而第一开关65和第二开关67被接通。自由轮机构69优选包括至少一个二极管，在此处三个二极管71/1，71/2，71/3。

防中断机构45最好如此构造成，它不影响在测量机构61中的或在第二发动机控制器7中的相应的测量机构的电流测量。为此尤其规定，自由轮机构69相应地与自由轮二极管63协调。这在示出的实施例中由此保证，在自由轮机构69中使用三个二极管71/1，71/2，71/3，而在第一发动机控制器5中和相应地也在第二发动机控制器7中只设置一个自由轮二极管63。

已经表明，通过线圈55的电流流动与通过吸气节流阀的燃料输送量相关联。由此电流流动高压蓄压器中的压力影响。通过防中断机构45电流流动在切换期间也基本上保持恒定，由此高压蓄压器中的压力在切换期间也基本上保持恒定。

总体上表明，借助于用于控制内燃机的方法和设备可以容易地识别出，是否调节内燃机的发动机控制器具有危害内燃机的按照规定的运行的故障。然后可以及时地和无痕迹地从一个发动机控制器切换到另一个发动机控制器，而不出现对内燃机的运行的重大干扰，其中，内燃机例如被停止。该方法在此情况下是不复杂的并且非常可靠。

Claims (19)

1.一种用于控制内燃机(3)的方法，其中，第一发动机控制器(5)产生至少一个控制信号，用以控制内燃机(3)的至少一个功能，其中切换装置(9)为了控制内燃机(3)的至少一个功能将第一发动机控制器(5)的至少一个控制信号传递到内燃机(3)，其中，第一发动机控制器(5)连续地或周期性地将显示它的功能性的生命信号传送到切换装置(9)，其中，如果出现危害通过第一发动机控制器(5)对内燃机(3)的至少一个功能的按照规定的控制的故障，则第一发动机控制器(5)不或者不正确地传送生命信号，和其中，如果第一发动机控制器(5)的生命信号不或者不正确地被切换装置(9)接收，则切换装置(9)结束第一发动机控制器(5)的控制信号到内燃机(3)的传递并且开始将至少一个由第二发动机控制器(7)为了控制内燃机(3)的至少一个功能产生的控制信号传递到内燃机(3)，其特征在于，不仅第一发动机控制器（5）而且第二发动机控制器(7)监控相应的控制信号，用以识别，是否它就执行机构的调节责任而言控制内燃机(3)的至少一个功能。

2.根据权利要求1所述的方法，其特征在于，相应的发动机控制器(5，7)产生一电压，基于该电压，一电流流动，此时相应的发动机控制器控制内燃机(3)的至少一个功能，其中如果控制信号不被切换装置(9)传递到内燃机(3)，则没有电流流动。

3.根据权利要求2所述的方法，其特征在于，如果识别出，它控制内燃机(3)的至少一个功能，则第二发动机控制器(7)为了控制内燃机（3）的至少一个功能用存储的值对参数初始化或释放这些参数的被保留的值，以进行变动。

4.根据权利要求1所述的方法，其特征在于，第一发动机控制器(5) 将为了控制内燃机（3）的至少一个功能必需的信息一次性地在起动内燃机(3)之后或在期间，周期性地或依据需要地，传送到第二发动机控制器(7)，或在第二发动机控制器(7)中存储为了控制内燃机（3）的至少一个功能必需的信息，其中，如果对内燃机（3）的至少一个功能的控制被切换到第二发动机控制器(7)，则该信息被调用。

5.根据权利要求1所述的方法，其特征在于，第一发动机控制器(5) 将为了控制内燃机（3）的至少一个功能必需的信息一次性地在起动内燃机(3)之后或在期间，周期性地或依据需要地在改变信息之后，传送到第二发动机控制器(7)，或在第二发动机控制器(7)中存储为了控制内燃机（3）的至少一个功能必需的信息，其中，如果对内燃机（3）的至少一个功能的控制被切换到第二发动机控制器(7)，则该信息被调用。

6.根据权利要求1至5中任一项所述的方法，其特征在于，第二发动机控制器(7)将显示它的功能性的生命信号连续地或周期性地传送到切换装置(9)或第一发动机控制器(5)。

7.根据权利要求1至5中任一项所述的方法，其特征在于，第二发动机控制器(7)在内燃机(3)运行期间连续地产生至少一个控制信号，即使该控制信号不被切换装置(9)传递到内燃机(3)。

8.根据权利要求1至5中任一项所述的方法，其特征在于，通过第一或第二发动机控制器(5，7)控制内燃机(3)的执行机构。

9.根据权利要求8所述的方法，其特征在于，所述执行机构是至少一个喷射器和/或至少一个吸气节流阀。

10.切换装置(9)，其用于控制内燃机(3)，用于实施根据权利要求1至9中任一项所述的方法，其特征在于，切换装置(9)能够被置于与第一发动机控制器(5)和第二发动机控制器(7)以及内燃机(3)作用连接，其中，切换装置(9)被构造成，将第一发动机控制器(5)或第二发动机控制器(7)的至少一个控制信号传递到内燃机(3)，其中，该传递通过切换装置(9)能够从第一发动机控制器(5)切换到第二发动机控制器(7)，其中，切换装置(9)被构造成，用于接收第一和/或第二发动机控制器(5，7)的生命信号，和其中，切换装置(9)被如此构造成，即，如果第一发动机控制器(5)的生命信号不或不正确地被切换装置(9)接收，则它结束第一发动机控制器(5)的至少一个控制信号到内燃机(3)的传递和开始第二发动机控制器(7)的至少一个控制信号到内燃机(3)的传递。

11.根据权利要求10所述的切换装置(9)，其特征在于，切换装置(9)具有至少一个开关。

12.根据权利要求11所述的切换装置(9)，其特征在于，所述开关是半导体开关或机电式开关。

13.根据权利要求12所述的切换装置(9)，其特征在于，所述半导体开关或所述机电式开关是继电器。

14.根据权利要求10所述的切换装置(9)，其特征在于，切换装置(9)具有防中断机构(45)，通过它可以在发动机控制器(5，7)之间的切换期间维持至少一个控制信号从切换装置(9)到内燃机(3)的传递。

15.用于控制内燃机(3)并且用于实施根据权利要求1至9中任一项所述的方法的设备(1)，具有第一发动机控制器(5)，第二发动机控制器(7)和根据权利要求10至14中任一项所述的切换装置(9)，其特征在于，第一和第二发动机控制器(5，7)被设置用于产生控制信号，用以控制内燃机(3)的至少一个功能，其中，第一和第二发动机控制器(5，7)可以经由切换装置(9)被置于与内燃机(3)作用连接，用以将控制信号传递到内燃机(3)，其中，第一发动机控制器(5)被设置用于产生和发出显示它的功能性的生命信号，其中，第一发动机控制器(5)被如此设置，如果出现危害通过第一发动机控制器(5)按照规定的对内燃机（3）的至少一个功能的控制的故障，则生命信号不或不正确地被产生和/或发出，其中，第一发动机控制器(5)与切换装置(9)如此地作用连接，即生命信号可以由切换装置(9)接收，和其中，切换装置(9)被构造成，如果第一发动机控制器(5)的生命信号不或不正确地被切换装置(9)接收，则结束第一发动机控制器(5)的至少一个控制信号到内燃机(3)的传递和开始第二发动机控制器(7)的至少一个控制信号到内燃机(3)的传递。

16.内燃机(3)，其特征在于根据权利要求15所述的设备。

17.根据权利要求16所述的内燃机(3)，其特征在于，内燃机被构造成共轨发动机。

18.根据权利要求17所述的内燃机(3)，其特征在于，内燃机被构造成柴油机或燃气发动机。

19.根据权利要求17或18所述的内燃机(3)，其特征在于，内燃机构造成在潜水艇或消防水泵中使用。