DE10120899A1 - Verfahren und Anordnung zur Überwachung und vom Ergebnis der Überwachung abhängigen Einstellung eines elektronisch-hydraulisch gesteuerten Fahrzeug-Automatgetriebes - Google Patents

Abstract

Bei einem Verfahren zur Überwachung und vom Ergebnis der Überwachung abhängigen Einstellung eines elektronisch-hydraulisch gesteuerten fahrzeug-Automatgetriebes, das wenigstens eine Kupplung, wenigstens eine Abtriebswelle sowie elektro-hydraulische Aktuatoren für die Einstellung der Gänge, der Kupplung und übergeordneter Sicherheits-Betriebszustände aufweist, ist vorgesehen, dass mit einer Datenverarbeitungseinrichtung den Signalen entsprechende Daten erzeugt und in einer ersten Programmebene diese mit vorab gespeicherten Fehlerbildern verglichen werden, die kritischen und/oder gefährlichen Zuständen für Fahrer und/oder Fahrzeug entsprechen, dass bei einem keine Fehler oder kritische Zustände identifizierenden Vergleich Treibersignale erzeugt und einer zweiten, unabhängig von der ersten Programmebene arbeitenden Programmebene zugeführt werden, die die Daten der Sensorsignale auf Plausibilität prüft und nur bei Plausibilität die Weiterleitung der Treibersignale an die Aktuatoren freigibt, dass abwechselnd mit den Signalen der Sensoren von einer, von der ersten und zweiten Programmebene unabhängig arbeitenden dritten Programmebene der zweiten Programmebene Signale zugeführt und von der zweiten Programmebene verarbeitet und nach der Verarbeitung in der dritten Programmebene mit vorab einer Verarbeitung der Signale durch die zweite Programmebene zugeordneten Ergebnissen auf Übereinstimmung geprüft werden. Bei von der ersten Programmebene festgestellten Fehlern oder ...

Description

Die Erfindung bezieht sich auf ein Verfahren und eine Anordnung zur Überwachung und vom Ergebnis der Überwachung abhängigen Einstellung eines elektronisch-hydraulisch gesteuerten Fahrzeug-Automatgetriebes, das wenigstens eine Kupplung, wenigstens eine Abtriebswelle und elektrohydraulische Aktuatoren für die Einstellung der Gänge, der Kupplung und übergeordneter Sicherheits-Betriebszustände aufweist, wobei die Signale eines Wählhebels für die Auswahl der Betriebsart des Getriebes, eines Gebers der Fahrfußhebelstellung und von Sensoren verarbeitet werden, mit denen die Betriebszustände von für die Arbeitsweise des Automatikgetriebes und des Fahrzeugs maßgebenden Komponenten erfaßt werden.

Automatgetriebe mit elektronisch-hydraulischer Steuerung sind bekannt. Der elektronische Teil dieser Steuerungen enthält jeweils Schaltprogramme, mit denen die Schaltkennlinien des Getriebes veränderten Fahrverhältnissen angepasst werden, ein Drucksteuerprogramm zur Einstellung und Anpassung des hydraulischen Kupplungsdrucks, Lastschaltprogramme, die Einflüsse auf den Verlauf der Schaltmaßnahmen ausgleichen, Sicherheitsprogramme für die Vermeidung von Fehlbedienungen und Diagnoseprogramme für die Feststellung, ob Sensorsignale, mit denen Teile des Getriebes und/oder andere Fahrzeugparameter überwacht werden, fehlen oder nicht plausibel sind. Bei den bekannten Getriebesteuerungen wird der elektronische Steuerungsteil mit einem eigenen Testgerät in der Werkstatt auf einwandfreie beziehungsweise fehlerhafte Arbeitsweise geprüft.

Es ist Aufgabe der Erfindung, ein Verfahren und eine Anordnung zur Überwachung und vom Ergebnis der Überwachung abhängigen Einstellung eines elektronisch-hydraulisch gesteuerten Fahrzeug-Automatgetriebes während des Betriebs des Fahrzeugs anzugeben, mit denen das Auftreten von für Fahrer und/oder Fahrzeug kritischen oder gefährlichen Zuständen erfasst und nach der Art des kritischen oder gefährlichen Zustands ausgewertet werden kann, um eine gezielte Reaktion zur Beseitigung des kritischen und/oder gefährlichen Zustands zu ermöglichen.

Die Aufgabe wird bei einem Verfahren der eingangs beschriebenen Art, erfindungsgemäß dadurch gelöst, dass mit einer Datenverarbeitungseinrichtung, der von einer Schaltgetriebesteuerung Signale für die Gangeinstellung und von den dem Automatgetriebe und/oder im Fahrzeug angeordneten Sensoren die Signale zugeführt werden, die den Signalen entsprechende Daten erzeugt und diese jeweils für sich oder in Verknüpfung mit den Daten eines oder mehrerer anderer Sensoren mit vorab gespeicherten Fehlerbildern verglichen werden, die kritischen und/oder gefährlichen Zuständen für Fahrer und/oder Fahrzeug entsprechen, dass bei einem Fehler oder kritische Zustände identifizierenden Vergleich Treibersignale zur Einstellung eines von den Signalen der Getriebesteuerung, der Wählhebelstellung und der Fahrfußhebelstellung bestimmten Getriebezustands erzeugt und einer zweiten, unabhängig von der ersten Programmebene arbeitende Programmebene zugeführt werden und die die Daten der Sensorsignale auf Plausibilität prüft und nur bei Plausibilität die Weiterleitung der Treibersignale an die Aktuatoren freigibt, das abwechselnd mit den Signalen der Sensoren von einer ersten, von der ersten und zweiten Programmebene unabhängig arbeitenden dritten Programmebene der zweiten Programmebene Signale zugeführt werden, die vorgegebenen Fehlerzuständen und/oder Störungen zugeordnet sind, von der zweiten Programmebene verarbeitet und nach der Verarbeitung in der dritten Programmebene mit vorab einer Verarbeitung der Signale durch die zweite Programmebene zugeordneten Ergebnissen auf Übereinstimmung geprüft werden, und dass bei von der ersten Programmebene festgestellten Fehlern oder Störungen, bei von der zweiten Programmebene festgestellter Abweichungen von der Plausibilität und bei von der dritten Programmebene festgestellten Abweichungen von den zugeordneten Ergebnissen eine Fehlerreaktion erzeugt wird. Mit dem erfindungsgemäßen Verfahren wird auch der elektronische Teil der elektronisch-hydraulischen Getriebesteuerung einschließlich das Sensoren mit geringem Aufwand in die Überwachung einbezogen. Durch die damit erreichte umfassendere Überwachung des elektronisch-hydraulisch gesteuerten Automatgetriebes wird ein sicherer Betrieb durch die zielsichere Diagnose im Fehler- oder Störungsfall und durch eine entsprechende Reaktion auf einen festgestellten Fehler erreicht.

Die durch Ausfall oder Störung von Fahrzeug- beziehungsweise Automatgetriebekomponenten möglichen Fehler sind in Grade in Abhängigkeit von Ihrer Gefährlichkeit eingeteilt. Den verschiedenen Graden sind verschiedene Fehlerreaktionen zugeordnet. Bei einem identifizierten Fehler oder einer Störung wird von der Datenverarbeitungseinrichtung der Fehler- oder Störungsgrad bestimmt und die zugeordnete Fehlerreaktion ausgelöst. Die vom Grad der Störung oder des Fehlers abhängige Fehlerreaktion kann in der Stillsetzung des Antriebes des Fahrzeuges und/oder im Entkuppeln des Automatgetriebes und/oder in einem Notbetrieb des Automatgetriebes und/oder in einer optischen beziehungsweise akustischen Warnung bestehen. Ein Notbetrieb ist beispielsweise bei einem Automatgetriebe, das aus zwei Teilgetrieben besteht, ohne weiteres möglich, wenn der Fehler oder die Störung nur in einem der Teilgetriebe festgestellt wird. Im Notbetrieb kann eine Werkstatt angefahren werden, um die notwendige Reparatur auszuführen.

Für die Erfassung der gefährlichen und/oder kritischen Zustände werden die Signale eines Kupplungsdruck- oder Wegsensors der wenigstens einen Kupplung, der Gangstellungssensoren von Gangstellern des Automatgetriebes, eines Drehzahlsensors der wenigstens einen Kupplungswelle, des Drehzahlsensors der wenigstens einen Abtriebswelle, des Drehzahlsensors der Motordrehzahl, eines Sensors der Zündschloßstellung, wenigstens eines Temperatursensors im Automatgetriebe, eines Stellungssensors des Gaspedals und eines Wählhebelpositionsgebers der Datenverarbeitungseinrichtung zugeführt.

Die Treibersignale werden über Treiberbausteine jeweils den Aktuatoren zugeführt.

Vorzugsweise werden in der dritten Programmebene die der zweiten Programmebene zugeführten Signale zugleich eine Ablaufsteuerung zugeführt, deren Ausgangsdaten mit den von der zweiten Programmebene ausgegebenen Daten verglichen werden. Damit läßt sich die Reaktionszeit der zweiten Programmebene überwachen.

Zweckmäßigerweise werden die Signale zweier, jeweils für sich die Drehzahlen der jeweiligen Abtriebswelle messenden Drehzahlsensoren in der zweiten Programmebene auf Übereinstimmung oder Abweichung geprüft, wobei bei einer Abweichung eine Meldung über einen defekten Drehzahlsensor erzeugt wird. Das Automatgetriebe kann bei einem defekten Drehzahlsensor bei ungestörtem zweiten Drehzahlsensor noch in Betrieb bleiben, jedoch soll die Warnung den Fahrer darauf hinweisen, eine möglichst baldige Reparatur zu veranlassen.

In der zweiten Programmebene kann die Reaktionszeit der Bearbeitung vorgegebener Daten in der ersten Programmebene überprüft werden, wobei bei Überschreitung einer vorgebbaren Reaktionszeit eine Fehlerreaktion erzeugt wird.

Besonders günstig ist es, wenn ein allen Aktuatoren gemeinsamer Treiberbaustein der nach den Prüfungen in allen drei Programmebenen und keiner Feststellung eines Fehlers für die Weiterleitung der Treibersignale freigegeben wird.

Bei einer Anordnung der eingangs beschriebenen Art wird die Aufgabe erfindungsgemäß dadurch gelöst, dass eine Datenverarbeitungseinrichtung, die mit den Sensoren verbunden ist, eine erste Programmebene zur Auswertung von den Sensorsignalen entsprechenden Daten auf Feststellung von kritischen und/oder fehlerhaften Zuständen im Automatgetriebe oder auf Feststellen eines aufgrund von Fehlern oder Störungen in anderen Fahrzeugteilen nicht erwünschten Automatgetriebezustands und zur Erzeugung von Treibersignalen für die Aktuatoren vorgesehen, wenn die Auswertung keine Fehler oder keine Störungen feststellt, dass die Datenverarbeitungseinrichtung eine zweite, von der ersten Programmebene unabhängig arbeitende Programmebene aufweist, die von den gleichen Sensorsignalen wie die erste Programmebene beaufschlagt ist und diese Sensorsignale auf Plausibilität überprüft und bei nicht vorhandener Plausibilität die Freigabe der von der ersten Programmebene erzeugten Treibersignale an die Aktuatoren sperrt, und dass in der Datenverarbeitungseinrichtung eine dritte, unabhängig von den anderen Programmebenen arbeitende Programmebene vorgesehen ist, die in der zweiten Programmebene abwechselnd mit der ersten Programmebene Daten einspeist, die bei einwandfreiem Betrieb der zweiten Programmebene vorgegebene Ausgangsdaten hervorruft, deren Ausgabe von der dritten Programmebene überwacht wird, wobei bei Abweichungen von den vorgegebenen und bei nicht vorhandener Plausibilität und bei Feststellung eines Fehlers oder einer Störung mittels der ersten Programmebene eine Fehlerreaktion erzeugt wird.

Insbesondere sind die erste und die zweite Programmebene und von der dritten Programmebene ein Baustein zur Erzeugung von Sensorsignaldaten, ein Ergebnis für Gleichsbaustein und ein Ablaufsteuerbaustein in einem schnellen Mikroprozessor realisiert, wobei der Baustein für die Erzeugung der Sensorsignale an die Ausgänge eines langsameren Prozessors und die Ausgänge des Ergebnisvergleichsbausteins an die Ausgänge des langsamen Prozessors angeschlossen sind.

Die Erfindung wird im Folgenden an Hand eines in einer Zeichnung dargestellten Ausführungsbeispiels näher beschrieben, aus dem sich weitere Einzelheiten, Merkmale und Vorteile ergeben.

Es zeigen:

Fig. 2 Ein Blockschaltbild eines Steuersystems für das Automatgetriebe gemäß Fig. 1. (Hier sollten auch die einzelnen Sensoren entfallen!)

Der elektronische Steuerungsteil für das Automatgetriebe weist eine erste Datenverarbeitungseinrichtung 3 auf, bei der es sich insbesondere um einen Mikroprozessor handeln kann. Der elektronische Steuerungsteil 3 ist in drei Programmebenen organisiert, die in der Fig. 2 mit 4, 5 und 6 bezeichnet sind. Die erste Datenverarbeitungseinrichtung 3 weist die Programmebenen 4 und 5 und einen Teil der Programmebene 6 auf. In die Programmebene 4 werden die Signale der Sensoren eingespeist. Die vorstehend beschriebenen Sensoren überwachen Komponenten des Automatgetriebes und andere Teile des Fahrzeugs. In Fig. 2 ist nur ein Teil der vorstehend beschriebenen Sensoren dargestellt.

Die zweite Programmebene 5 ist eingangsseitig mit den gleichen Sensoren wie die Programmebene 4 über einen Umschalter 7 oder mit Ausgängen eines Bausteins 8 verbunden, der auf entsprechende Anregung Sensorsignale beziehungsweise den Signalen der vorhanden Sensoren entsprechende Daten erzeugt. Der Baustein 8, bei dem es sich um Software handelt, verbindet sich in der dritten Programmebene.

Die Ausgangssignale der Programmebene 4 an die Treiber TS, TS1, TS2 sind über einen Umschalter 9 Eingängen der Programmebene 5 zuführbar. Diese Eingänge sind wahlweise über den Umschalter 9 auch an Ausgänge des Bausteins 8 anlegbar.

Die Ausgänge der Programmebene 5 sind über einen Umschalter 10 wahlweise mit Freigabe-Eingängen der Treiberstufen TS, TS1, TS2 oder Eingängen eines Ergebnisvergleichsbausteins 11 verbunden, der eingangsseitig mit einem Ablaufsteuerbaustein 12 verbunden ist, der vom Baustein 8 angesteuert wird. Weitere Eingänge des Baustein 8 sind mit Ausgängen eines zur Programmebene 6 gehörenden Überwachungsrechners 13 verbunden, dessen Eingänge vom Ergebnisvergleichsbaustein 11 gespeist werden.

Die Umschalter 7, 9, 10 können ebenso wie der Ablaufsteuerbaustein 12 und der Ergebnisvergleichsbaustein 11 Softwarebausteine sein. Der Überwachungsrechner 13 ist insbesondere ein Mikroprozessor, der aus Kostengründen leistungsschwach sein kann.

Der ersten Programmebene 4 werden die Signale von Sensoren und Gebern im Automatgetriebe und im Fahrzeuge zugeführt. Durch die Auswertung dieser Signale lassen sich kritische und/oder gefährliche Zustände aufgrund von Störungen oder Fehlern im Automatgetriebe selbst oder aufgrund nicht erwünschter Reaktionen des Automatgetriebes auf Störungen oder Fehler in anderen Fahrzeugteilen feststellen. Diese Signale werden in der ersten Programmebene in entsprechende digitale Daten umgewandelt und jeweils für sich oder in Verbindung mit den Daten anderer Signale mit vorab in der Programmebene 4 gespeicherten Fehlerbildern verglichen, die kritischen und/oder gefährlichen Zuständen für Fahrer oder Fahrzeug zugeordnet sind. Stellt die erste Programmebene nach der Auswertung der Signale keine Fehler oder Störungen fest, dann gibt sie Treibersignale an die Treiberstufen TS, TS1, TS2 aus. Die Wenn keine Fehler festgestellt worden sind, werden die Treiberbausteine in Abhängigkeit von der Wählhebelstellung und der für die jeweilige Fahr- oder Parksituation maßgebenden Getriebeposition gesetzt. Werden von der ersten Programmebene Fehler oder Störungen festgestellt, dann bestimmt diese Programmebene die Art des jeweiligen Fehlers. Den verschiedenen Arten der Fehler sind verschiedene Stufen in Bezug auf kritische Situation des Fahrzeugs oder des Fahrers zugeordnet. Je nach Art des Fehlers kann das Automatgetriebe in einen Betriebszustand versetzt werden, der noch einen Notbetrieb ermöglicht, in dem zum Beispiel das erste oder zweite Teilgetriebe noch in Funktion gehalten wird. Zugleich wird auf einem Display für den Fahrer eine entsprechende Meldung angezeigt.

Die von der Programmebene 4 ausgegebenen Steuerdaten für die Treiberstufen des Automatgetriebes werden über den Umschalter 9 auch der Programmebene 5 zugeführt, die über den Umschalter 7 die gleichen Sensorsignale zugeführt erhält wie die Programmebene 4. Die Programmebene 5 prüft die Sensorsignaldaten mit den Ausgangsdaten der Programmebene 4 auf Plausibilität. Falls die Plausibilitätsprüfung durch die Programmebene 5 keine Fehler oder Störungen im Automatgetriebe oder in dem für die Funktion des Automatgetriebes maßgebenden Fahrzeugteilen feststellt, gibt sie entsprechende Freigabesignale über den Umschalter 10 an die Freigabeeingänge der Treiberstufen TS, TS1, TS2 aus, die die von der Programmebene 4 erzeugten Steuerdaten an die Aktuatoren weiterleitet, um den Gang im Automatgetriebe einzustellen, der durch die jeweilige Stellung des Fußpedals, durch die Wählhebelstellung und durch die Drehzahl und das Drehmoment des Fahrzeugs bestimmt wird. Die Auswahl des entsprechenden Gangs geschieht durch eine eigene, nicht näher beschriebene Steuerung. Bei nicht plausiblen Sensorsignalen oder Sensorsignalkombinationen wird in Abhängigkeit von der Art des kritischen oder gefährlichen Zustands entweder die Weiterleitung der Treibersignale an die Aktuatoren blockiert, oder es werden Treibersignale ausgegeben, die eines der beiden Teilgetriebe auf Notbetrieb einstellen, wenn ein Teilgetriebe noch funktionsfähig ist.

Zusätzlich wird eine entsprechende Warnung auf einem Display angezeigt.

In der dritten Programmebene 6, die von den beiden Teilebenen 4, 5 unabhängig arbeiten, werden von dem Baustein 8, der Sensorsignale generiert, der Programmebene 5 über den Umschalter 7 beziehungsweise 9 virtuelle Sensorsignale zugeführt und deren von der Programmebene 5 ausgeführte Bearbeitung über den Umschalter 10 einem Ergebnisvergleichsbaustein 11 eingegeben. Die virtuellen Sensorsignale, die den von den Sensoren erzeugten Signalen entsprechen, werden im Ablaufsteuerbaustein 12 bearbeitet, insbesondere in Bezug auf die Reaktionszeit, und dem Ergebnisvergleichsbaustein 11 zugeführt. Angestoßen und gesteuert wird die Sensorsignalgenerierung des Bausteins 8 vom Überwachungsrechner 13, dem auch die Vergleichsergebnisse des Bausteins 12 zugeführt werden. Der Überwachungsrechner 13 stellt anhand des Vergleichsergebnisses fest, ob die zweite Programmebene einwandfrei arbeitet. Falls der Überwachungsrechner 13 eine fehlerhafte Arbeitsweise der zweiten Programmebene feststellt, wird eine Fehlerreaktion erzeugt, die den Triebstrangg trennt.

Weiterhin werden in der zweiten Programmebene die Speicherelemente der Programmebene 6 in denen die Daten redundant gespeichert sind, auf Übereinstimmung geprüft. Ergibt der Vergleich der redundant gespeicherten Daten Ungleichheit, dann wird eine Fehlerreaktion erzeugt. Ebenso wird die Durchlauf- beziehungsweise Reaktionszeit der ersten Programmebene von der zweiten Programmebene überprüft und bei einer Abweichung von der für jeweils einen bestimmten Getriebe beziehungsweise Fahrzeugzustand zugeordneten Reaktionszeit eine Fehlerreaktion hervorgerufen, die je nach der Art beziehungsweise Schwere des Fehlers oder der Störung auch die Stilllegung des Fahrzeugs beziehungsweise das Trennen des Triebstrangs beinhalten kann.

Die Treiberstufen TS, TS1 und TS2 werden erst nach der Durchführung der Prüfungen in allen drei Programmebenen für die Weiterleitung der eingespeicherten Aktuator- Stellsignale freigegeben.

Der Überwachungsrechner 13 kann durch ein Watch-Dog-Element überwacht werden. Ein Ausfall des Überwachungsrechners 13 führt zu einer weiteren Fehlerreaktion, durch die beispielsweise neben einer Warnung auch das Getriebe stillgesetzt wird.

Claims (28)

1. Verfahren zur Überwachung und vom Ergebnis der Überwachung abhängigen Einstellung eines elektronisch-hydraulisch gesteuerten Fahrzeug-Automatgetriebes, das wenigstens eine Kupplung, wenigstens eine Abtriebswelle sowie elektro­ hydraulische Aktuatoren für die Einstellung der Gänge, der Kupplung und übergeordneter Sicherheits-Betriebszustände aufweist, wobei die Signale eines Wählhebels für die Auswahl der Betriebsart des Getriebes, eines Gebers der Fahrfußhebelstellung und von Sensoren verarbeitet werden, mit denen die Betriebszustände von für die Arbeitsweise des Automatgetriebes und des Fahrzeugs maßgebenden Komponenten erfasst werden, dadurch gekennzeichnet, dass mit einer Datenverarbeitungseinrichtung, der von einer Schaltgetriebesteuerung Signale für die Gangeinstellung und von den im Automatgetriebe und/oder im Fahrzeug angeordneten Sensoren die Signale zugeführt werden, die den Signalen entsprechende Daten erzeugt und in einer ersten Programmebene diese jeweils für sich und/oder in Verknüpfung mit den Daten eines oder mehrerer anderer Sensoren mit vorab gespeicherten Fehlerbildern vergleicht, die kritischen und/oder gefährlichen Zuständen für Fahrer und/oder Fahrzeug entsprechen, dass bei einem keine Fehler oder kritische Zustände identifizierenden Vergleich Treibersignale zur Einstellung eines von den Signalen der Getriebesteuerung, der Wählhebelstellung und der Fahrfußhebelstellung bestimmten Getriebezustands erzeugt und einer zweiten, unabhängig von der ersten Programmebene arbeitenden Programmebene zugeführt werden, der zusätzlich die gleichen Sensorsignale wie der ersten Programmebene zugeführt werden und die die Daten der Sensorsignale auf Plausibilität prüft und nur bei Plausibilität die Weiterleitung der Treibersignale an die Aktuatoren freigibt, dass abwechselnd mit den Signalen der Sensoren von einer, von der ersten und zweiten Programmebene unabhängig arbeitenden dritten Programmebene der zweiten Programmebene Signale zugeführt werden, die vorgegebenen Fehlerzuständen und/oder Störungen zugeordnet sind, von der zweiten Programmebene verarbeitet und nach der Verarbeitung in der dritten Programmebene mit vorab einer Verarbeitung der Signale durch die zweite Programmebene zugeordneten Ergebnissen auf Übereinstimmung geprüft werden, und dass bei von der ersten Programmebene festgestellten Fehlern oder Störungen, bei von der zweiten Programmebene festgestellter Abweichungen von der Plausibilität oder bei von der dritten Programmebene festgestellten Abweichungen von den zugeordneten Ergebnissen eine Fehlerreaktion erzeugt wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die durch Ausfall oder Störung von Komponenten des Fahrzeugs und/oder des Automatgetriebes möglichen Fehler ihrer Gefährlichkeit für Fahrer und/oder Fahrzeug nach in Graden eingeteilt sind, denen jeweils bestimmte Fehlerreaktionen zugeordnet sind, dass bei einem festgestellten Fehler oder einer Störung der Grad von der Datenverarbeitungseinrichtung bestimmt und eine zugeordnete Fehlerreaktion ausgelöst wird.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die vom Grad der Störung oder des Fehlers abhängige Fehlerreaktion in der Stillsetzung des Antriebs des Fahrzeugs und/oder im Entkuppeln des Automatgetriebes und/oder in einem Notbetrieb des Automatgetriebes und/oder in einer optischen bzw. akustischen Warnung besteht.

4. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Signale eines Kupplungsdrucksensors der wenigstens einen Kupplung, die Signale der Gangstellungssensoren von Gangstellern, die Signale der Stellungssensoren von Gangstellerventilen, die Signale des Stellungssensors wenigstens eines Kupplungsventils, die Signale des Stellungssensors wenigstens eines Sicherheitsventils, die Signale eines Drehzahlsensors der wenigstens einen Kupplungswelle, die Signale eines Drehzahlsensors der wenigstens einen Abtriebswelle, die Signale eines Drehzahlsensors der Motordrehzahl, das Signal eines Sensors der Zündschlossstellung, die Signale wenigstens eines Temperatursensors im Automatgetriebe, das Signal eines Stellungssensors des Gaspedals und die Signale eines Wählhebelpositionsgebers der Datenverarbeitungseinrichtung zugeführt werden.

5. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Treibersignale über Treiberbausteine jeweils den Aktuatoren zugeführt werden, und dass ein Aktuator ein Sicherheitsventil, wenigstens ein Aktuator ein Kupplungsventil und Aktuatoren Gangstellerventile für die Steuerung von Gangstellern sind.

6. Verfahren nach wenigstens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass in der dritten Programmebene die der zweiten Programmebene zugeführten Signale zugleich einer Ablaufsteuerung zugeführt werden deren Ausgangsdaten mit den von der zweiten Programmebene ausgegebene Daten verglichen werden.

7. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Signale zweier, jeweils für sich die Drehzahlen der jeweiligen Abtriebswelle messenden Drehzahlsensoren in der zweiten Programmebene auf Übereinstimmung oder Abweichung geprüft werden und dass bei einer Abweichung eine Warnung mit Hinweis auf einen defekten Drehzahlsensor erzeugt wird.

8. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der vom Kupplungsdrucksensor gemessene Druck in der zweiten Programmebene mit einem vorgegebenen Drucksollwert verglichen wird, der einen hydraulischen Druckregler beaufschlagt, und dass bei Abweichungen von einer vorgebbaren Toleranz des Druckwerts und bei Überschreitung einer vorgebbaren Mindestdauer als Fehlerreaktion eine Warnung mit Hinweis auf einen defekten Kupplungsdrucksensor erzeugt wird.

9. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Messwerte der Kupplungswellendrehzahl und der Motordrehzahl in der zweiten Programmebene auf Gleichheit oder Ungleichheit geprüft werden und dass bei Ungleichheit und bei Unterschreitung des gemessenen Kupplungsdrucks unter einen vorgebbaren Grenzwert und bei einem nicht einem Gangübersetzungsverhältnis entsprechenden Verhältnis zwischen Motor- und Kupplungswellendrehzahlwert als Fehlerreaktion eine Warnung unter Hinweis auf einen defekten Kupplungswellendrehzahlsensor erzeugt wird.

10. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass in der zweiten Programmebene durch Erfassung der Positionen der Gangstellungssensoren in Verbindung mit der jeweiligen Stellung des Wählhebels außer dessen Neutral-Stellung geprüft wird, ob mehr als ein Gang eingelegt ist und dass im letzteren Fall als Fehlerreaktion der Kupplungsdruck an der Kupplung aufgehoben wird.

11. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass in der zweiten Programmebene die Übereinstimmung von in der ersten Programmebene redundant gespeicherten Daten überprüft wird und dass bei Abweichungen eine Fehlerreaktion erzeugt wird.

12. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass in der zweiten Programmebene die Reaktionszeit in der ersten Programmebene bei der Verarbeitung vorgegebener Daten mittels einer Ablaufkontrolle überprüft und dass bei Überschreitung einer vorgebbaren Reaktionszeit eine Fehlerreaktion erzeugt wird.

13. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass bei einem von der ersten Programmebene ausgegebenen Treibersignal für das Einlegen eines Gangs in der zweiten Programmebene die Fahrzeuggeschwindigkeit auf eine gangspezifische Grenzgeschwindigkeit überprüft wird und dass das Treibersignal nur bei der gangspezifischen Grenzgeschwindigkeit freigegeben wird.

14. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass in der zweiten Programmebene die Drehzahl der Kupplungswelle auf Überschreitung eines Grenzwerts überwacht wird, bei dessen Überschreitung als Fehlerreaktion eine Warnung erzeugt wird.

15. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass in der zweiten Programmebene die Fahrpedalstellung auf Unterschreitung eines unteren Fahrpedalgrenzwerts und die aus der Drehzahl der Abtriebswelle bestimmte Fahrgeschwindigkeit auf Unterschreitung eines unteren Geschwindigkeitswerts und der Kupplungsdruck auf Überschreitung eines oberen Grenzwerts bei der Unterschreitung des Fahrpedal- und des Fahrgeschwindigkeitsgrenzwerts überwacht werden und dass bei der Überschreitung des Grenzwerts des Kupplungsdrucks das Druckzeitprodukt der Kupplungsdruckdifferenz limitiert wird.

16. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass in der zweiten Programmebene das Einlegen des Rückwärtsgangs überwacht wird und dass bei einer Wählhebelstellung ungleich der Rückwärtsfahrstellung als Fehlerreaktion das Automatgetriebe drucklos geschaltet wird.

17. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass in der zweiten Programmebene die Wählhebelstellungen für Parken und für Neutral erfasst und dass bei einem in der ersten Programmebene durch Erfassung der zugeordneten Stellung des Zündschlosses ausgegebenen Anlassertreibersignal dieses nur bei der Wählhebelstellung Parken oder bei der Wählhebelstellung Neutral und nicht eingelegtem Gang und einer Mindesttemperatur im Automatgetriebe freigegeben wird.

18. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass bei der Feststellung der Wählhebelstellung für Neutral in der zweiten Programmebene die Stellung der Gangstellungssensoren geprüft wird und dass nach einer vorgebbaren Entprellzeit bei Abweichung der Gangstellungssensoren von der Neutralstellung eine Warnung erzeugt wird.

19. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass bei der Feststellung eines Drehzahlwerts oberhalb eines vorgebbaren Grenzwerts die von der ersten Programmebene erzeugten Treibersignale für das Einlegen des Rückwärtsgangs von der zweiten Programmebene nicht freigegeben werden.

20. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass ein allen Aktuatoren gemeinsamer Treiberbaustein erst nach den Prüfungen in allen drei Programmebenen und keiner Feststellung eines Fehlers für die Weiterleitung von Treibersignalen freigegeben wird.

21. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass in der ersten Programmebene die Gangstellungssensoren fortlaufend daraufhin überwacht werden, dass auf der Abtriebswelle nur ein Gang eingelegt ist und dass beim Einlegen von mehr als einem gang eine Fehlerreaktion erfolgt.

22. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass in der ersten Programmebene vor der Ausgabe von Treibersignalen für das Einlegen und Auslegen eines Gangs festgestellt wird, ob die Kupplung drucklos ist und dass bei vorhandenem Kupplungsdruck dieser aufgehoben wird.

23. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass durch Feststellung der Wählhebelstellung für Neutral in der ersten Programmebene Treibersignale zur Einstellung der Gangstellerventile auf Auslegung der Gänge nach einer applizierbaren Zeit erzeugt werden.

24. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass in der ersten Programmebene die Stellung des Zündschlosses überwacht wird und dass nach dem Ausschalten des Zündschlosses Treibersignale zur Einstellung der Gangstellerventile auf Auslegen der Gänge erzeugt werden.

25. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Drehzahlen der Kupplungs- und der Abtriebswelle beim Kriechen des Fahrzeugs auf Schlupf hin überwacht werden und dass bei fehlendem Schlupf über den Kupplungsdruck ein minimales Moment eingestellt wird.

26. Verfahren nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das Automatgetriebe zwei Teilgetriebe hat, deren Stellung der Gange, Kupplungsdruck, Abtriebsdrehzahl, Stellung der Gangstellerventile je für sich geprüft werden und dass bei einer Störung in einem Teilgetriebe und einwandfreiem anderem Teilgetriebe das einwandfreie auf Notlauf eingestellt wird.

27. Anordnung zur Überwachung und vom Ergebnis der Überwachung abhängigen Einstellung eines elektronisch-hydraulisch gesteuerten Fahrzeug-Automatgetriebes, das wenigstens eine Kupplung, wenigstens eine Abtriebswelle und elektrohydraulische Aktuatoren für die Einstellung der Gänge, der Kupplung und von Sicherheits-Betriebszuständen aufweist, wobei die Signale eines Wählhebels für die Auswahl der Betriebsart des Getriebes, eines Gebers der Fahrfußhebelstellung und von Sensoren verarbeitet werden, mit denen die Betriebszustände von für die Arbeitsweise des Automatgetriebes und des Fahrzeugs maßgebenden Komponenten erfasst werden, dadurch gekennzeichnet, dass eine Datenverarbeitungseinrichtung, die mit einer Schaltgetriebesteuerung und mit den Sensoren (PK1, PK2, SSV1, SSV2, SGV1, SGV2, SGV3, SMPX, SG!, SG2, SG3, SG4, SGR, SGN) verbunden ist, eine erste Programmebene (4) zur Auswertung von den Sensorsignalen entsprechenden Daten auf Feststellung von kritischen und/oder fehlerhaften Zuständen im Automatgetriebe oder auf die Feststellung von aufgrund von Fehlern oder Störungen in anderen Fahrzeugteilen nicht erwünschten Automategetriebezuständen und zur Erzeugung von Treibersignalen für die Aktuatoren, wenn die Auswertung keinen Fehler oder keine Störung identifiziert, aufweist, dass die Datenverarbeitungseinrichtung eine zweite, von der ersten Programmebene unabhängig arbeitende Programmebene (5) aufweist, die von den gleichen Sensorsignalen wie die erste Programmebene beaufschlagt ist und diese Sensorsignale auf Plausibilität überprüft und bei nicht vorhandener Plausibilität die Freigabe der von der ersten Programmebene erzeugten Treibersignale an die Aktuatoren sperrt und dass in der Datenverarbeitungseinrichtung eine dritte, unabhängig von den anderen Programmebenen arbeitende Programmebene vorgesehen ist, die in die zweite Programmebene abwechselnd mit der ersten Programmebene Daten einspeist, die bei einwandfreiem Betrieb der zweiten Programmebene in dieser vorgegebene Ausgangsdaten hervorrufen, deren Ausgabe von der dritten Programmebene überwacht wird, wobei bei Abweichungen von den vorgegebenen Daten oder bei nicht vorhandener Plausibilität und bei Erfassung eines Fehlers oder einer Störung mittels der ersten Programmebene eine Fehlerreaktion erzeugt wird.

28. Anordnung nach Anspruch 27, dadurch gekennzeichnet, dass die erste und zweite Programmebene (4, 5) sowie von der dritten Programmebene ein Baustein (8) zur Erzeugung von Sensorsignaldaten, ein Ergebnisvergleichsbaustein (11) und ein Ablaufsteuerbaustein (12) in einem schnellen Mikroprozessor realisiert sind, wobei der Baustein (8) für die Erzeugung der Sensorsignale an Ausgänge eines zur dritten Programmebene (6) gehörenden langsameren Prozessors (13) angeschlossen ist und Ausgänge des Ergebnisvergleichsbausteins (11) mit Eingängen des langsameren Prozessors (13) verbunden sind.