DE10309891A1

DE10309891A1 - Elektronische Fahrzeugsteuervorrichtung mit einer Vielzahl von Mikrocomputern zum Implementieren einer Mikrocomputerüberwachungsfunktion

Info

Publication number: DE10309891A1
Application number: DE10309891A
Authority: DE
Inventors: Hiroshi Kondo
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2002-03-07
Filing date: 2003-03-06
Publication date: 2003-11-06
Anticipated expiration: 2023-03-07
Also published as: US20030171858A1; US6996463B2; JP2003262154A; DE10309891B4; JP3835312B2

Abstract

Eine Fahrzeug-ECU (elektronische Steuereinheit) hat einen Hauptmikrocomputer und einen Hilfsmikrocomputer, wobei der Hauptmikrocomputer periodisch eine Verarbeitungsroutine zum Berechnen von Werten, wie eines Drosselklappenöffnungsgrads des Fahrzeugmotors, beruhend auf der aktuellen Betriebsbedingung des Motors ausführt, wobei der Hauptmikrocomputer Betriebsmittelinspektionsdaten während jeder Ausführung der Routine erzeugt und die Betriebsmittelinspektionsdaten zu dem Hilfsmikrocomputer überträgt, wobei die Betriebsmittelinspektionsdaten beispielsweise jeweilige Prüfsummen für in aufeinander folgenden Schritten der Routine berechnete Werte und Informationen enthalten, die angeben, ob alle Schritte der Routine tatsächlich ausgeführt wurden und wobei der Hilfsmikrocomputer den Betrieb des Hauptmikrocomputers beruhend auf den empfangenen Betriebsmittelinspektionsdaten überwacht.

Description

HINTERGRUND DER ERFINDUNG

Gebiet der Erfindung

Die vorliegende Erfindung bezieht sich auf eine elektronische Steuervorrichtung, wie eine Fahrzeug-ECU (elektronische Steuereinheit), die eine Vielzahl von Mikrocomputern enthält, und insbesondere auf eine elektronische Steuervorrichtung mit einer Vielzahl von Mikrocomputern und einer Mikrocomputerüberwachungsfunktion.

Beschreibung des Standes der Technik

Aus dem Stand der Technik sind Fahrzeug-ECU-Typen bekannt, die ein Stellglied des Fahrzeugmotors steuern, wobei der Ausdruck Stellglied hier und in den beigefügten Patentansprüchen eine beliebige Einrichtung bezeichnet, wie eine Drosselklappe, eine Benzineinspritzpumpe, usw., die den Betrieb des Fahrzeugs beeinflussen. Die Funktionen einer derartigen ECU können die Regelung der Drosselklappenposition (das heißt, den Grad der Öffnung der Stellklappe) des Fahrzeugmotors enthalten. In einer derartigen ECU berechnet ein Mikrocomputer periodisch einen Sollwert der Drosselklappenposition beruhend auf Eingangsparametern, die die aktuelle Position der Beschleunigungsvorrichtung (das heißt, den Grad der Gaspedalbetätigung) enthalten, und steuert die Ansteuerung eines Drosselklappenmotors zur Einstellung der tatsächlichen Drosselklappenposition entsprechend dem Sollwert. Auf diese Weise kann die Drosselklappenposition geeignet entsprechend dem Ausmaß gesteuert werden, mit dem die Beschleunigungsvorrichtung vom Fahrer des Fahrzeugs betätigt wird.
Im Stand der Technik wurde auch vorgeschlagen, eine ECU mit einem Hauptmikrocomputer zu verwenden, der Werte der Drosselklappenposition wie vorstehend beschrieben berechnet, und einem Hilfsmikrocomputer, der den Betrieb des Hauptmikrocomputers überwacht. In diesem Fall kann der Hilfsmikrocomputer den Hauptmikrocomputer zur Überprüfung dahingehend überwachen, dass er geeignete Werte für die Drosselklappenposition berechnet und geeignete Befehlswerte zum Bedienen des Drosselklappenmotors erzeugt, das heißt, der Hilfsmikrocomputer überprüft, dass die Drosselklappenregelung korrekt angewendet wird.
Folgende Verfahren können zur Durchführung dieser Überwachung verwendet werden:

1. Beurteilen, ob die tatsächliche Drosselklappenposition, die errichtet wird und auf berechneten Werten einer Solldrosselklappenposition berechnet ist, sich innerhalb eines vorbestimmten Bereichs normaler Werte befindet.
2. Einrichten, dass sowohl der Hauptmikrocomputer als auch der Hilfsmikrocomputer jede Solldrosselklappenposition berechnen und beurteilen, ob diese beiden Werte übereinstimmen.

In den vergangenen Jahren wurde die Drosselregelung komplexer, und es wurde erforderlich, die Drosselregelungsfunktion mit anderen Funktionen zu harmonisieren, wie einer Getrieberegelung und Traktionsregelung. Außerdem ist die Zahl der bei der Durchführung einer Drosselklappenregelungsberechnung verwendeten Parameter gestiegen, und die Berechnung selbst wurde komplexer. Infolgedessen wurden die durch den Hauptcomputer ausgeführten Inhalte der Verarbeitung komplexer. Daher wurde die Überwachungsfunktion, die durch den Hilfsmikrocomputer ausgeführt wird, entsprechend komplexer. Somit entsteht das Problem, dass es bei herkömmlichen Überwachungsverfahren erforderlich ist, entweder die Genauigkeit der Überwachung zu reduzieren oder erhöhte Herstellungskosten für die Überwachungseinrichtung aufzubringen.
Wird insbesondere das vorstehende Verfahren (1) zur Überwachung der Drosselklappenregelung verwendet, wird es schwierig, zu beurteilen, ob eine Änderung in der tatsächlichen Drosselklappenposition sich aus einem Effekt wie einer Harmonisierung mit einer anderen Regelungsfunktion ergeben hat, wie einer Getrieberegelung. Somit wird es schwierig zu bestimmen, ob die tatsächliche Drosselklappenposition sich innerhalb eines Bereichs des normalen Betriebs befindet. Beeinflusst ferner ein anderer Faktor als der Grad der Beschleunigungsvorrichtungsbetätigung die Drosselklappenposition, wird die Erweiterung des Abstands zwischen den oberen und unteren Grenzen des Bereichs der Drosselklappenöffnungsgrade erforderlich, der dem Normalbetrieb entspricht. Daher verringert sich die Überwachungsgenauigkeit.
Wird andererseits das vorstehende Verfahren (2) zur Überwachung der Drosselklappenregelung verwendet, muss der Hilfsmikrocomputer ein ähnliches Niveau der Verarbeitungsleistung wie der Hauptmikrocomputer haben, und alle Parameter, die zur Berechnung einer Drosselklappenposition erforderlich sind, müssen dem Hilfsmikrocomputer als auch dem Hauptmikrocomputer zugeführt werden, das heißt, der Hilfsmikrocomputer muss komplexe Berechnungen durchführen können. Somit steigt die Anzahl der Eingangsanschlüsse, die für den Hilfsmikrocomputer erforderlich sind, und es ist ein erhöhtes Niveau der Verarbeitungsfunktionen und Leistung für den Hilfsmikrocomputer erforderlich. Demnach steigen auch die Kosten des Hilfsmikrocomputers.
Außerdem hängt die für die Überwachung des Hauptmikrocomputers erforderliche Software vom Typ der Fahrzeugregelung ab, die zu implementieren ist. Ergibt sich eine Änderung in den Fahrzeugregelungsspezifikationen ist es erforderlich, die Überwachungssoftware entsprechend zu ändern. Wird das vorstehende Verfahren (2) angewendet, resultiert daraus eine erhöhte Entwicklungszeit, die für die Überwachungssoftware erforderlich ist.

KURZZUSAMMENFASSUNG DER ERFINDUNG

Der Erfindung liegt die Aufgabe zugrunde, die vorstehend angeführten Probleme zu lösen, indem eine elektronische Fahrzeugsteuervorrichtung ausgebildet wird, die mit geringen Kosten hergestellt werden kann, während sie eine effektive Mikrocomputerüberwachung bereitstellt.
Gemäß einer ersten Ausgestaltung der Erfindung ist eine elektronische Steuervorrichtung ausgebildet, bei der ein erster Mikrocomputer Betriebsmittelinspektionsdaten für jedes der jeweiligen Betriebsmittel berechnet, wie die CPU, das ROM, usw., die bei der internen Berechnungsarbeit verwendet werden, die durch diesen Mikrocomputer ausgeführt wird, und diese Betriebsmittelinspektionsdaten zu einem zweiten Mikrocomputer sendet. Der zweite Mikrocomputer führt eine Überwachung zur Erfassung eines anormalen Betriebs des ersten Mikrocomputers beruhend auf den empfangenen Betriebsmittelinspektionsdaten durch.
Wie vorstehend angeführt sind in den vergangenen Jahren die Komplexität der Verarbeitung, die bei einer elektronischen Fahrzeugregelung durchgeführt werden muss, und die Anzahl der Parameter gestiegen, die von einer elektronischen Fahrzeugsteuervorrichtung bearbeitet werden müssen, so dass die Verarbeitung, die durch den Mikrocomputer dieser Vorrichtung ausgeführt werden muss (das heißt, der dem "ersten Mikrocomputer" entspricht, der in der folgenden Beschreibung als "Hauptmikrocomputer" bezeichnet wird), komplexer geworden ist. Erfindungsgemäß werden jeweilige Betriebsmittelinspektionsdaten für die Betriebsmittel, die vom ersten Mikrocomputer bei der Durchführung dieser komplexen Verarbeitung vewendet werden, vom ersten Mikrocomputer erzeugt und zu einem zweiten Mikrocomputer (das heißt, "den Hilfsmikrocomputer") gesendet. Der zweite Mikrocomputer kann dadurch diese Betriebsmittel jeweils separat beruhend auf den entsprechenden Betriebsmittelinspektionsdaten zur Beurteilung überwachen, ob jedes Betriebsmittel normal funktioniert. Selbst wenn sich also die Komplexität der Verarbeitung erhöht, die vom ersten Mikrocomputer ausgeführt werden muss, ist es nicht erforderlich, die Menge an Betriebsmitteln entsprechend zu erhöhen, die dem zweiten Mikrocomputer zugewiesen werden muss, oder die Verarbeitungsleistung des zweiten Mikrocomputers zu steigern, oder wesentliche Änderungen im Steuerprogramm des zweiten Mikrocomputers auszuführen. Das heißt, die Überwachung des ersten Mikrocomputers kann im wesentlichen unabhängig von Änderungen im Steuersystem durchgeführt werden, und somit kann diese Überwachung effektiv aber bei geringen Kosten implementiert werden.
Die Erfindung stellt ferner eine elektronische Steuervorrichtung bereit, in der ein erster Mikrocomputer zusätzlich zur Berechnung der vorstehend angeführten Betriebsmittelinspektionsdaten periodisch einen Sollregelungsgrößenwert für ein Stellglied eines Motors beruhend auf einem aktuellen Betriebszustand des Motors berechnet und die Sollregelgröße und die entsprechenden Betriebsmittelinspektionsdaten zu einem zweiten Mikrocomputer sendet. Der zweite Mikrocomputer überwacht die Funktion des ersten Mikrocomputers einschließlich der Berechnungsverarbeitung, die den Sollregelgrößenwert ergeben hat, wobei die Überwachung auf den empfangenen Betriebsmittelinspektionsdaten beruht. Auf diese Weise kann der zweite Mikrocomputer äußerst schnell jegliche Abnormität des Betriebs des ersten Mikrocomputers erfassen, und so umgehender auf das Auftreten eines anormalen Betriebs antworten.
Die Erfindung stellt ferner eine elektronische Steuervorrichtung bereit, in der jedesmal dann, wenn der erste Mikrocomputer eine Operation einer speziellen Gruppe von Berechnungsoperationen durchführt und das Berechnungsergebnis im Speicher, das heißt, im RAM (Speicher mit wahlfreiem Zugriff) während des Vorgangs der Berechnung einer Regelgröße speichert, dieser Berechnungswert und die Inverse des Berechnungswerts dann zum zweiten Mikrocomputer als Betriebsmittelinspektionsdaten bezüglich der Berechnung der Regelgröße übertragen werden. Der zweite Mikrocomputer kann dadurch die Überwachung durchführen, um zu überprüfen, dass vom ersten Mikrocomputer bei der Berechnung der Sollregelgröße verwendete Betriebsmittel, die die CPU und das RAM einschließen, korrekt funktionieren.
Die Erfindung stellt ferner eine elektronische Steuervorrichtung bereit, in der der erste Mikrocomputer eine Prüfsumme für Berechnungsverarbeitungscodes berechnet, die aus einer Speichereinrichtung, wie einem ROM (Nur-Lese- Speicher) für die Verwendung bei der Berechnung einer Regelgröße ausgelesen werden, und diese Prüfsumme zum zweiten Mikrocomputer als Betriebsmittelinspektionsdaten sendet. Der zweite Mikrocomputer beurteilt die empfangene Prüfsumme, um dadurch zu bestimmen, ob die Speichereinrichtung korrekt arbeitet.
Die Erfindung stellt ferner eine elektronische Steuervorrichtung bereit, die bei einem Steuersystem anwendbar ist, bei dem nach der Durchführung eines Vorgangs zur Unterbrechung der Stromzufuhr zur elektronischen Steuervorrichtung (insbesondere nach dem Ausschalten der Zündung im Fall einer in einem Fahrzeug angebrachten ECU) ein spezielles Intervall zur Verzögerung der Abschaltung abläuft, bevor der Strom für die elektronische Steuervorrichtung tatsächlich unterbrochen wird. In diesem Fall sendet der erste Mikrocomputer Berechnungsverarbeitungscodes, wie ROM-Codes, zum zweiten Mikrocomputer bei jedem Auftreten des Abschaltintervalls, die bei der Berechnung eines Sollregelgrößenwerts verwendet wurden. Der zweite Mikrocomputer berechnet dann einen Prüfsummenwert für die empfangenen Berechnungsverarbeitungscodes und beurteilt diesen Prüfsummenwert. Auf diese Weise kann der zweite Mikrocomputer ein bestimmtes Betriebsmittel des ersten Mikrocomputers überwachen, das heißt, die Einrichtung, wie ein ROM, die die empfangenen Codes erzeugt. Auf diese Weise steigt die Zuverlässigkeit der Überwachung des ersten Mikrocomputers.
Da im Fall einer Fahrzeug-ECU die Berechnungsverarbeitungscodes während des Hauptschaltverarbeitungsintervalls nach dem Ausschalten des Zündschalters übertragen werden, arbeitet die Kommunikationsverbindung zwischen dem ersten und zweiten Mikrocomputer unter einer Niedriglastbedingung, so dass die Codes zwischen den Mikrocomputern ohne das Auftreten von Fehlern übertragen werden können.
Gemäß einer anderen Ausgestaltung initialisiert der erste Mikrocomputer einen Wert, der als Verarbeitungsfolgeinspektionswert zu verwenden ist, vor der Ausführung einer Verarbeitungsfolge zur Berechnung eines Werts für die Sollregelgröße und aktualisiert diesen Wert aufeinanderfolgend an einem oder an einer Vielzahl aufeinanderfolgender Zeitpunkte während der Verarbeitungsfolge. Beim Abschluss der Verarbeitungsfolge überträgt der erste Mikrocomputer den Verarbeitungsfolgeinspektionswert als Betriebsmittelinspektionsdaten zu dem zweiten Mikrocomputer.
Auf diese Weise kann der zweite Mikrocomputer jedesmal dann, wenn die Verarbeitungsfolge zur Berechnung eines Sollregelgrößenwerts durch den ersten Mikrocomputer ausgeführt wird, beurteilen, ob alle Schritte der Verarbeitungsfolge bei der Berechnung des Sollregelgrößenwerts abgeschlossen sind oder nicht, und kann so einen anormalen Betrieb des ersten Mikrocomputers erfassen.
Wenn gemäß einer weiteren Ausgestaltung jeweils eine Vielzahl von Bestimmungsfaktoren im Verlauf der Berechnung eines Werts für die Sollregelgröße berechnet wird, berechnet der erste Mikrocomputer jeweilige Gruppen von Betriebsmittelinspektionsdaten entsprechend jedem dieser Bestimmungsfaktoren und überträgt diese zum zweiten Mikrocomputer. Der zweite Mikrocomputer beurteilt für jeden der Bestimmungsfaktoren, ob die Betriebsmittelinspektionsdaten normal sind. Somit kann die Überwachung des ersten Mikrocomputers separat für jeden der verschiedenen Bestimmungsfaktoren, die sich auf das Erhalten der Sollregelgröße beziehen, beruhend auf den bei der Berechnung der jeweiligen Bestimmungsfaktoren verwendeten Betriebsmitteln durchgeführt werden. Infolgedessen kann eine effektivere Überwachung des ersten Mikrocomputers erreicht werden, selbst wenn das Steuersystem komplex wird.
Gemäß einer weiteren Ausgestaltung überträgt der erste Mikrocomputer jeden berechneten Wert einer Sollregelgröße zusammen mit entsprechenden Betriebsmittelinspektionsdaten zu dem zweiten Mikrocomputer im gleichen Kommunikationspaket. In diesem Fall kann der erste Mikrocomputer synchron mit Berechnungen von Sollregelgrößenwerten durch diesen Mikrocomputer überwacht werden, das heißt, der zweite Mikrocomputer kann den ersten Mikrocomputer im Echtzeitbetrieb überwachen, wodurch die Zuverlässigkeit der Überwachung gesteigert wird.
Wird die Überwachung des ersten Mikrocomputers durch den zweiten Mikrocomputer wie vorstehend angeführt durchgeführt, werden die Überwachungsergebnisse unzuverlässig, wenn der zweite Mikrocomputer den korrekten Betrieb einstellt. Allerdings kann das System erfindungsgemäß derart konfiguriert werden, dass auch der erste Mikrocomputer den zweiten Mikrocomputer überwacht. Während der zweite Mikrocomputer den Betrieb des ersten Mikrocomputers beruhend auf empfangenen Betriebsmittelinspektionsdaten überwacht, berechnet der zweite Mikrocomputer insbesondere andere Betriebsmittelinspektionsdaten (die sich auf Betriebsmittel beziehen, die bei der Überwachungsverarbeitung verwendet werden), und überträgt diese Betriebsmittelinspektionsdaten zum ersten Mikrocomputer. Der erste Mikrocomputer verwendet dabei die empfangenen Betriebsmittelinspektionsdaten zur Überwachung des zweiten Mikrocomputers. Auf diese Weise kann eine gegenseitige Überwachung zwischen den zwei Mikrocomputern durchgeführt werden, wodurch die Überwachungszuverlässigkeit gesteigert wird.
Gibt es gemäß einer weiteren Ausgestaltung eine Vielzahl von Bestimmungsfaktoren einer Sollregelgröße, berechnet der erste Mikrocomputer diese Bestimmungsfaktoren und überträgt sie zum zweiten Mikrocomputer zusammen mit jeweiligen Gruppen von Betriebsmittelinspektionsdaten, die sich auf die Berechnungen dieser Bestimmungsfaktoren beziehen. Der zweite Mikrocomputer beurteilt die jeweils empfangenen Bestimmungsfaktoren als gültig oder ungültig für die Verwendung beim Herleiten eines Sollregelgrößenwerts beruhend darauf, ob die entsprechende Betriebsmitteldatengruppe angibt, dass die entsprechende Berechnungsverarbeitung (das heißt, bei der der entsprechende Bestimmungsfaktor vom ersten Mikrocomputer hergeleitet wurde) normal war oder nicht. Dann wird eine Entscheidung dahingehend getroffen, ob die Sollregelgröße unter Verwendung aller Bestimmungsfaktoren, eines Teils der Bestimmungsfaktoren oder von keinem dieser (das heißt, der Regelungsvorgang ist zu beenden) zu berechnen ist.
Selbst wenn die zum Erhalten eines oder mehrerer der Bestimmungsfaktoren für eine Sollregelgröße verwendete Berechnungsverarbeitung anormal beurteilt wird, ist es auf diese Weise immer noch möglich, einen gültigen Sollregelgrößenwert herzuleiten, das heißt, das Steuersystem kann mit dem Betrieb mit eingeschränkter Funktion fortfahren. Daher kann ein ausfallsicherer Betrieb eines Systems, wie einer Fahrzeug-ECU, die eine Drosselklappenregelung ausführt, zuverlässig beibehalten werden, während die Möglichkeit eines vollständigen Abschaltens des Regelbetriebs gesenkt wird.

KURZBESCHREIBUNG DER ZEICHNUNG

Fig. 1 zeigt ein allgemeines Systemblockschaltbild eines ersten Ausführungsbeispiels einer elektronischen Steuervorrichtung.
Fig. 2A, 2B zeigen ein Ablaufdiagramm einer im Ausführungsbeispiel zur Berechnung von Sollwerten einer Drosselklappenposition ausgeführten Verarbeitung.
Fig. 3A, 3B zeigen ein Ablaufdiagramm einer durch einen Hilfsmikrocomputer zur Überwachung des Betriebs eines Hauptmikrocomputers des Ausführungsbeispiels ausgeführten Verarbeitung.
Fig. 4 zeigt ein Ablaufdiagramm zur Beschreibung einer durch den Hauptmikrocomputer zum Übertragen von ROM-Codes zum Hilfsmikrocomputer ausgeführten Verarbeitung.
Fig. 5 zeigt ein Ablaufdiagramm zur Beschreibung einer durch den Hilfsmikrocomputer für vom Hauptmikrocomputer übertragene ROM-Codes ausgeführten Verarbeitung.
Fig. 6A, 6B zeigen ein Ablaufdiagramm einer vom Hilfsmikrocomputer zur Überwachung des Betriebs des Hauptmikrocomputers ausgeführten Verarbeitung gemäß einem zweiten Ausführungsbeispiel.
Fig. 7 zeigt ein allgemeines Systemblockschaltbild des zweiten Ausführungsbeispiels.
Fig. 8 zeigt ein allgemeines Systemblockschaltbild eines dritten Ausführungsbeispiels, bei dem der Hauptmikrocomputer auch den Betrieb des Hilfsmikrocomputers überwacht.

BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSBEISPIELE

Erstes Ausführungsbeispiel

Nachstehend wird ein erstes Ausführungsbeispiel einer elektronischen Steuervorrichtung beschrieben, die eine Fahrzeug-ECU zur Steuerung des Betriebs eines Motors darstellt. Obwohl eine derartige ECU andere Funktionen durchführen kann, wie eine elektronische Zündungsregelung, usw., wird der Einfachheit halber lediglich die Drosselklappenregelungsfunktion der ECU beschrieben. Fig. 1 zeigt ein schematisches Blockschaltbild der grundlegenden Merkmale eines Fahrzeugsteuersystems, das die ECU enthält. Die ECU 10 enthält einen Hauptmikrocomputer 11 und einen Hilfsmikrocomputer 12, die jeweils die üblichen bekannten Bausteine eines Mikrocomputers aufweisen, das heißt eine CPU (Zentralverarbeitungseinheit), ein ROM (Nur-Lese- Speicher) ein RAM (Speicher mit wahlfreiem Zugriff), einen A-D-(Analog-zu-Digital-)Umsetzer, usw. Außerdem sind der Hauptmikrocomputer 11 und der Hilfsmikrocomputer 12 zum gegenseitigen Austauschen von Daten verbunden, was auf der Übertragung von Datenpaketen beruhen soll.
Jeder Mikrocomputer arbeitet unter einem entsprechenden Steuerprogramm, und die Operationen und die Verarbeitung, die als von einem Mikrocomputer ausgeführt in der folgenden Beschreibung und in den beigefügten Patentansprüchen angeführt werden, sind Operationen und Verarbeitungen, die durch ein Steuerprogramm dieses Mikrocomputers bestimmt sind.
Wie es in Fig. 1 gezeigt ist, enthalten die Funktionen des Hauptmikrocomputers 11 das Herleiten von Daten zur Regelung einer Benzineinspritzung und Zündung, die Berechnung von Sollwerten einer Drosselklappenposition, die Übertragung von Daten einschließlich dieser Sollwerte und Betriebsmittelinspektionsdaten (die nachstehend beschrieben werden) zum Hilfsmikrocomputer 12. Die Funktionen des Hilfsmikrocomputers 12 enthalten das Empfangen der Sollwerte der Drosselklappenposition vom Hauptmikrocomputer 11, die Erzeugung von Daten, die ein Drosselklappenmotoransteuerungssignal ausdrücken, und die Überwachung des Betriebs des Hauptmikrocomputers 11.
Die Mikrocomputer 11 und 12 empfangen jeweils Eingangssignale, die Signale enthalten, die erfasste Werte einer Beschleunigungsvorrichtungsposition (die beispielsweise als Grad der Gaspedalbetätigung erfasst wird) und einer Drosselklappenposition (das heißt, einen Grad der Öffnung der Stellklappe) jeweils von einem Beschleunigungsvorrichtungspositionssensor 21 und einem Drosselklappenpositionssensor 22 ausdrücken. Wird ein jeweiliges dieser (analoger) Eingangssignale von einem Mikrocomputer empfangen, wird es durch den D/A-Umsetzer dieses Mikrocomputers in digitale Form umgesetzt. Bei diesem Ausführungsbeispiel wird die elektronische Drosselklappenregelung auch bei der Regelung der Leerlaufrotationsgeschwindigkeit des Motors (die im folgenden einfach als "Leerlaufgeschwindigkeit" bezeichnet wird) angewendet, wobei die Ansaugstutzendurchflussgeschwindigkeit und der Kurbelwellenrotationswinkel in den Hauptmikrocomputer 11 als Regelungsparameter für die Leerlaufgeschwindigkeit eingegeben werden. Außerdem ist der Drosselklappenregelungsvorgang mit der Regelung des Automatikgetriebes des Fahrzeugs harmonisiert, wobei jeweilige sich auf die Regelung des Automatikgetriebes beziehende Parameter dem Hauptmikrocomputer 11 zugeführt werden. Insbesondere werden das Fahrzeuggeschwindigkeitssignal, Radachsenrotationssignal, Gangschaltungspositionssignal, Öldrucksignal, Öltemperatursignal, usw. in den Hauptmikrocomputer 11 eingegeben.
Beruhend auf dem Beschleunigungsvorrichtungspositionswert, Drosselklappenpositionswert, der Ansaugstutzendurchflussgeschwindigkeit, usw., als Eingangsparameter berechnet der Hauptmikrocomputer 11 einen Sollwert der Drosselklappenposition als Sollregelgröße und überträgt diesen Sollwert zum Hilfsmikrocomputer 12. Der Hilfsmikrocomputer 12 verwendet diesen Sollwert in Verbindung mit der tatsächlichen Drosselklappenposition (das heißt, die durch das vom Drosselklappenpositionssensor 22 erzeugte Signal ausgedrückt wird) zur Berechnung eines Werts eines Motoransteuerungssignals und zum Zuführen dieses Ansteuerungssignals zur Motoransteuerschaltung 23. Der Drosselklappenantriebsmotor 24 ist ein DC-Motor, der die Stellklappe durch Agieren gegen eine Drosselklappenfeder (das heißt, eine Feder, die eine Kraft beaufschlagt, die zum Rücksetzen der Drosselklappe an eine Vorgabeposition tendiert) dreht. Dem Drosselklappenantriebsmotor 24 wird ein Ansteuerstrom in der Form eines Impulses von einer Gleichstromquelle zugeführt, wobei das Einschaltdauerverhältnis der Ansteuerungsstromimpulse von der Motoransteuerschaltung 23 gesteuert wird, um einen effektiven Pegel des Motoransteuerstroms zu erzeugen, der dem Motoransteuersignal vom Hilfsmikrocomputer 12 entspricht. Auf diese Weise wird die tatsächliche Drosselklappenposition durch eine Rückkopplungsregelung angepasst, indem ein Sollwert für die Drosselklappenposition beruhend auf der Beschleunigungsvorrichtungsposition hergeleitet wird, die gegenwärtig vom Fahrer des Fahrzeugs vorgegeben wird. Die Motoransteuerschaltung 23 ist eine H-Brückenschaltung, so dass der Drosselklappenantriebsmotor 24 hinsichtlich einer bidirektionalen Position geregelt werden kann.
Die Erfindung ist nicht auf die Anwendung bei einem Motor, wie dem Drosselklappenantriebsmotor 24 zur Regelung der Drosselklappenposition beschränkt, und kann gleichermaßen bei der Regelung verschiedener anderer Stelleinrichtungen eines Fahrzeugs angewendet werden.
Das Bezugszeichen 13 bezeichnet ein ODER-Gatter, das eine Funktion zum Herausnehmen einer Stromquelle durchführt, um einen ausfallsicheren Betrieb des Drosselklappenregelungssystems zu bewirken. Wird beispielsweise als Ergebnis der Überwachung herausgefunden, dass ein anormaler Betrieb eines Mikrocomputers aufgetreten ist, wird ein "Motorantrieb-Stop-Signal" (das heißt, bei diesem Ausführungsbeispiel ein binäres Signal des Zustands "1") aus zumindest einem der Mikrocomputer 11 und 12 ausgegeben und dem ODER-Gatter 13 zugeführt. Ein resultierender "1"-Zustand, der aus dem ODER-Gatter 13 ausgegeben wird, wirkt bei der Motoransteuerschaltung 23 als "Stromquelle-Herausnehme-Steuersignal", das bewirkt, dass die Motoransteuerschaltung 23 den Drosselklappenantriebsmotor 24 von der vorstehend angeführten Stromquelle trennt. Dabei wird die Drosselklappe auf die Vorgabeposition durch die Drosselklappenfeder eingestellt.
Nachstehend wird die Prozedur beschrieben, in der ein Sollwert der Drosselklappenposition berechnet und der Betrieb des Hauptmikrocomputers 11 während eines derartigen Berechnungsvorgangs überwacht wird. Der Hauptmikrocomputer 11 berechnet den Sollwert der Drosselklappenposition beruhend auf allen Bestimmungsfaktoren, die die Drosselklappenposition beeinflussen, einschließlich Faktoren, die sich auf die Harmonisierung der Drosselklappenregelung mit der Regelung des Automatikgetriebes des Fahrzeugs beziehen. Der Einfachheit halber wird allerdings im folgenden angenommen, dass lediglich die Position der Beschleunigungsvorrichtung und eine Gruppe von Regelungsparametern für die Leerlaufgeschwindigkeit die Bestimmungsfaktoren für die Berechnung des Sollwerts der Drosselklappenposition sind.
Die Fig. 2A, 2B zeigen ein Ablaufdiagramm der Verarbeitungsroutine, die durch den Hauptmikrocomputer 11 zur Berechnung des Sollwerts der Drosselklappenposition ausgeführt wird. Diese Verarbeitungsroutine wird periodisch in einem festen Zeitabschnitt, beispielsweise einmal alle 2 Millisekunden ausgeführt. Bei dieser Verarbeitung werden zusätzlich zur Berechnung des Sollwerts der Drosselklappenposition Betriebsmittelinspektionsdaten (die nachstehend beschrieben werden) berechnet, die sich auf Betriebsmittel des Hauptmikrocomputers 11 beziehen, die bei der Berechnung der Drosselklappenöffnung involviert sind. Im folgenden werden Werte, die im Verlauf des Herleitens des Solldrosselklappenpositionswerts berechnet und vorübergehend im RAM des Hauptmikrocomputers 11 gespeichert werden, bevor sie in einer folgenden Berechnung verwendet oder zum Hilfsmikrocomputer 12 übertragen werden, als RAM- Werte bezeichnet.
In der in den Fig. 2A, 2B gezeigten Verarbeitungsroutine löscht der Hauptmikrocomputer 11 zuerst alle Bits eines binären Werts (Schritt 111), in dem dann (das heißt, im RAM des Hauptmikrocomputers 11) der Identifizierer "Verarbeitungsfolge-Inspektion-RAM" gespeichert wird. Eine Vielzahl von Bits dieses binären Werts wurde zuvor bestimmt, um jeweiligen Zeitpunkten entlang der gezeigten Verarbeitungsfolge zu entsprechen, und jedesmal dann, wenn ein bestimmter Teil der Verarbeitungsfolge abgeschlossen ist, wird das entsprechende Bit im "Verarbeitungsfolge- Inspektion-RAM"-Wert gesetzt, um dies anzugeben (auf den "1"-Zustand bei diesem Ausführungsbeispiel). Durch die Durchführung dieser aufeinanderfolgenden Aktualisierung gibt der endgültige Wert von "Verarbeitungsfolge- Inspektion-RAM" beim Abschluss der Verarbeitungsfolge zum Erhalten eines Solldrosselklappenpositionswerts an, ob alle bestimmten Stufen der Folge ausgeführt wurden.
Dann wird eine Verarbeitung zur Berechnung eines Sollwerts der Drosselklappenposition durchgeführt. Die Verarbeitung kann grob folgendermaßen gegliedert werden:

(a) Schritte 102 bis 106

Dabei handelt es sich um eine Verarbeitung, die sich auf die Berechnung eines interpolierten Werts der Drosselklappenposition beruhend auf der Beschleunigungsvorrichtungsposition bezieht.

(b) Schritte 107 bis 110

Dabei handelt es sich um eine Verarbeitung, die sich auf die Berechnung eines Leerlaufdrosselklappenpositionswerts (das heißt, eines verbesserten Werts der Drosselklappenposition, der einzustellen ist, wenn sich der Motor im Leerlauf befindet) beruhend auf Leerlaufgeschwindigkeitsregelungsinformationen bezieht.

(c) Schritte 111 bis 113

Dabei handelt es sich um eine Verarbeitung, die sich auf das Summieren des interpolierten Sollwerts der Drosselklappenposition und des Leerlaufwerts der Drosselklappenposition bezieht, um den Solldrosselklappenpositionswert zu erhalten.
Dies wird nachstehend ausführlicher beschrieben.
Gemäß den Schritten 102 bis 106 wird zuerst in Schritt 102 die Beschleunigungsvorrichtungsposition (das heißt, die als digitaler Wert durch eine A/D-Umsetzung des Signals vom Beschleunigungsvorrichtungspositionssensor 21 erhalten wird) vorübergehend im RAM des Hauptmikrocomputers 11 mit der Identifizierung "Interpolationsparameter-RAM" gespeichert, während die Inverse dieses Werts (das heißt, der Komplementwert) gleichermaßen mit der Identifikation "Interpolationsparameter-Inspektion-RAM" gespeichert wird. Diese Inhalte von Schritt 102 werden als Verarbeitungsstufe 1 bezeichnet.
Als nächstes wird in Schritt 103 ein interpolierter Wert der Solldrosselklappenposition unter Verwendung des als "Interpolationsparameter-RAM" gespeicherten Werts beispielsweise in Verbindung mit einer Speicherabbildung berechnet, die im ROM des Hauptmikrocomputers 11 gespeichert ist. In Schritt 104 wird der in Schritt 103 erhaltene Wert mit der Identifikation "Interpolierte Drosselklappenposition-RAM" gespeichert, während die Inverse dieses Werts mit der Identifikation "interpolierte Drosselklappenposition-Inspektion-RAM" gespeichert wird. Diese Inhalte von Schritt 104 werden als Verarbeitungsstufe 2 bezeichnet. Als nächstes wird in Schritt 105 ein Bit 0 (das niedrigstwertige Bit) des zuvor angeführten Werts "Verarbeitungsfolge-Inspektion-RAM" gesetzt (das heißt, in den "1"-Zustand versetzt).
In Schritt 106 wird eine Prüfsumme für ROM-Codes berechnet, die aus dem ROM des Hauptmikrocomputers 11 ausgelesen wurden und bei der Verarbeitung der Schritte 101 bis 106 zum Erhalten des interpolierten Drosselklappenpositionswerts verwendet wurden, und dieser Prüfsummenwert wird dann mit der Identifikation "Interpolationssumme" gespeichert, während die Inverse des Prüfsummenwerts mit der Identifikation "Interpolationssumme-Inspektion" gespeichert wird. Die Inhalte von Schritt 106 werden als Verarbeitungsstufe 3 bezeichnet.
Als nächstes wird in Schritt 107 die verbesserte Drosselklappenposition beruhend auf den zuvor angeführten Leerlaufgeschwindigkeitsregelungsinformationen berechnet. In Schritt 108 wird der in Schritt 107 erhaltene Wert mit der Identifikation "Leerlaufdrosselklappenposition-RAM" gespeichert, während die Inverse dieses Werts mit der Identifikation "Leerlaufdrosselklappenposition-Inspektion- RAM" gespeichert wird. Diese Inhalte von Schritt 108 werden als Verarbeitungsstufe 4 bezeichnet. Als nächstes wird in Schritt 109 das Bit 1 von "Verarbeitungsfolge-Inspektion- RAM" gesetzt.
Der Prüfsummenwert, der für ROM-Codes berechnet wird, die sich auf die Berechnungen in den Schritten 107 bis 109 beziehen, wird dann mit der Identifikation "Leerlaufsumme" gespeichert, während die Inverse dieses Werts mit der Identifikation "Leerlaufsumme-Inspektion" in Schritt 110 gespeichert wird. Diese Inhalte von Schritt 110 werden als Verarbeitungsstufe 5 bezeichnet.
In Schritt 111 werden die zuvor berechneten Werte interpolierte Drosselklappenposition-RAM und Leerlaufdrosselklappenposition-RAM addiert, und das Ergebnis wird mit der Identifikation Solldrosselklappenposition-RAM gespeichert, während die Inverse dieses Werts mit der Identifikation Solldrosselklappenposition-Inspektion-RAM gespeichert wird. Diese Inhalte von Schritt 111 werden als Verarbeitungsstufe 6 bezeichnet. In Schritt 112 wird Bit 2 von Verarbeitungsfolge-Inspektion-RAM gesetzt.
In Schritt 103 wird die Summe der Prüfsummenwerte, die für ROM-Codes erhalten werden, die sich auf die Verarbeitung in den Schritten 111, 112 bezieht, berechnet, und mit der Identifikation berechnete Summe gespeichert, während die Inverse dieses berechneten Summenwerts mit der Identifikation berechnete Summe-Inspektion gespeichert wird. Diese Inhalte von Schritt 113 werden als Verarbeitungsstufe 4 bezeichnet.
Der endgültige Wert von Verarbeitungsfolge-Inspektion-RAM und jedes der Wertepaare, die in den Verarbeitungsstufen 1 bis 7 zuvor berechnet werden, werden jeweils als Betriebsmittelinspektionsdatensätze bezeichnet, die vom Hilfsmikrocomputer 12 wie nachstehend beschrieben zur Beurteilung verwendet werden, ob alle Betriebsmittel des Hauptmikrocomputers 11 (das heißt, das ROM, RAM, usw.), die bei der Verarbeitung zum Herleiten des Werts Solldrosselklappenposition-RAM verwendet wurden, normal gearbeitet haben. Im endgültigen Schritt (Schritt 114) werden alle Betriebsmittelinspektionsdatensätze, das heißt, die jeweiligen Paare von Betriebsmittelinspektionswerten, die in den Verarbeitungsstufen 1 bis 7 berechnet wurden, und die endgültigen Inhalte von Verarbeitungsfolge- Inspektion-RAM vom Hauptmikrocomputer 11 zum Hilfsmikrocomputer 12 zusammen im gleichen Datenkommunikationspaket übertragen.
Da die Betriebsmittelinspektionsdatensätze den Sollwert der Drosselklappenposition enthalten, der in Schritt 111 hergeleitet wird, ist ersichtlich, dass jedes Mal, wenn ein neuer Sollwert der Drosselklappenposition vom Hauptmikrocomputer 11 berechnet wird, dieser Wert dann zum Hilfsmikrocomputer 12 gleichzeitig mit den Betriebsmittelinspektionsdaten übertragen wird, die sich auf die Berechnung dieses Sollwerts beziehen.
Die Fig. 3A, 3B zeigen ein Ablaufdiagramm zur Überwachung der Verarbeitung, die vom Hilfsmikrocomputer 12 ausgeführt wird, um den Betrieb des Hauptmikrocomputers 11 zu überwachen. Jedes Mal, wenn die Verarbeitungsroutine der Fig. 2A, 2B ausgeführt und ein resultierendes Datenpaket empfangen wird, beurteilt der Hilfsmikrocomputer 12 beruhend auf dem empfangenen Verarbeitungsfolge-Inspektion- RAM und den anderen Betriebsmittelinspektionsdaten, ob der Hauptmikrocomputer 11 normal arbeitet. Beruhend auf dieser Beurteilung bestimmt der Hilfsmikrocomputer 12, ob der Solldrosselklappenpositionswert, der vom Hauptmikrocomputer 11 berechnet ist, tatsächlich zur Regelung der Drosselklappe angewendet wird oder nicht.
In der Verarbeitung in den Fig. 3A, 3B wird in Schritt 201 eine Entscheidung darüber getroffen, ob alle Bits 0, 1 und 2 von Verarbeitungsfolge-Inspektion-RAM auf "1" gesetzt wurden. Ist die Entscheidung NEIN (was angibt, dass zumindest eines dieser Bits sich im "0"-Zustand befindet), zeigt dies an, dass nicht alle Ergebnisse aus den Verarbeitungsstufen 1 bis 6 in der gleichen Ausführung der Verarbeitungsroutine der Fig. 2A, 2B (das heißt, während der jüngsten Ausführung dieser Routine) erhalten wurden. Dies wird als Anzeichen eines anormalen Betriebs des Hauptmikrocomputers 11 interpretiert, und so wird dann Schritt 107 ausgeführt. Wird in Schritt 201 eine Entscheidung JA getroffen, werden die Schritte 202 bis 205zur Beurteilung der verbleibenden Betriebsmittelinspektionsdaten ausgeführt.
In Schritt 202 werden der Wert von Interpolationsparameter- RAM und die Inverse des Werts Interpolationsparameter- Inspektion-RAM verglichen, um zu beurteilen, ob diese identisch sind. Sind sie identisch, das heißt, es ist kein Fehler aufgetreten, wird Schritt 203 ausgeführt, in dem der Wert interpolierte Drosselklappenposition-RAM und die Inverse des Werts interpolierte Drosselklappenposition- Inspektion-RAM gleichermaßen verglichen werden. Sind diese identisch, wird Schritt 204 ausgeführt, in dem der Wert Interpolationssumme und die Inverse des Werts Interpolationssumme-Inspektion verglichen werden. Haben diese einen identischen Wert, wird dieser Wert mit einem als Referenzinterpolationssumme identifizierten Wert verglichen, der zuvor im Speicher des Hilfsmikrocomputers 12 gespeichert wurde. Der Grund für diesen Vorgang ist folgender. Sind Interpolationssumme und die Inverse von Interpolationssumme-Inspektion identisch, gibt dies an, dass die CPU des Hauptmikrocomputers 11 normal hinsichtlich des Auslesens von Daten aus dem ROM, die zum Erhalten des Werts interpolierte Drosselklappenposition erforderlich sind, und der Durchführung von Berechnungen (beispielsweise der Berechnung des Einserkomplements) normal arbeitet, und dass Daten korrekt vom Hauptmikrocomputer 11 übertragen und vom Hilfsmikrocomputer 12 empfangen werden. Gibt es aber einen Fehler in einem ROM-Code selbst, beispielsweise aufgrund eines defekten ROM, ist es für den Hilfsmikrocomputer 12 unmöglich, dies beruhend auf den Werten Interpolationssumme und Interpolationssumme- Inspektion zu erfassen, die vom Hauptmikrocomputer 11 empfangen werden. Bei diesem Ausführungsbeispiel wird daher im Inspektionsschritt 204 der Wert Referenzinterpolationssumme, der im Hilfsmikrocomputer 12 gespeichert ist, und der mit dem empfangenen Wert von Interpolationssumme identisch sein sollte, wenn dieser richtig ist, mit dem empfangenen Wert von Interpolationssumme verglichen (wenn dieser sich als identisch mit Interpolationssumme-Inspektion herausgestellt hat). Auf diese Weise wird auch die Überprüfung des ROM des Hauptmikrocomputers 11 durchgeführt.
Lautet die Entscheidung in Schritt 204 JA, werden danach ähnliche Inspektionsverarbeitungsschritte wie in den Schritten 202 bis 204 für die Werte Leerlaufinterpolation- RAM, Leerlaufsumme, Solldrosselklappenposition-RAM und berechnete Summe angewendet. Diese Verarbeitungsschritte sind zur Vereinfachung der Darstellung in den Fig. 3A, 3B nicht ausführlich gezeigt.
Wird herausgefunden, dass alle diese Werte normal sind, das heißt, es ergibt sich eine JA-Entscheidung in Schritt 205, wird Schritt 206 ausgeführt, in dem eine Verarbeitung zur Erzeugung eines Drosselklappenansteuersignalwerts ausgeführt wird, das der Motoransteuerschaltung 23 zugeführt wird. Das PID-(Proportional-, Integral-, Differenzial-)Verfahren kann bei dieser Verarbeitung zum Herleiten des Drosselklappenmotoransteuersignalwerts verwendet werden. Dies kann wie folgt zusammengefasst werden. Ein proportionaler Ausdruck, ein differentieller Ausdruck und ein integrierender Ausdruck werden beruhend auf dem Wert der (A-D-umgesetzten) Drosselklappenposition und dem Wert Solldrosselklappenposition-RAM berechnet, und ein Wert des Drosselklappenmotorantriebsstroms wird beruhend auf diesen Ausdrücken berechnet. Wie vorstehend angeführt wird der effektive Motorantriebsstrompegel durch das Schalten des Stroms gesteuert, und der berechnete Drosselklappenansteuersignalwert wird zur Bestimmung des Einstelldauerfaktors dieses Stromschaltens verwendet.
Wird in einem der Schritte 201 bis 205 festgestellt, dass eine Abnormität erfasst wurde, das heißt, in zumindest einem Schritt wird eine Entscheidung NEIN erhalten, wird Schritt 207 ausgeführt, in dem ein "Motoransteuerungsstopsignal" (das heißt, eine Ausgabe mit dem Pegel "1") dem ODER-Gatter 13 vom Hilfsmikrocomputer 12 zugeführt wird. Die resultierende Ausgabe aus dem ODER- Gatter 13, die sich auf die Motoransteuerschaltung 23 auswirkt, bewirkt, dass der Drosselklappenantriebsmotor 24 von seiner Stromquelle getrennt wird, um einen ausfallsicheren Betrieb zu bewirken. In diesem Zustand arbeitet die Drosselklappe in einem Minimalbetriebsmodus, der als "schlaffer Ausgangs"-Modus oder "schlaffer" Modus bezeichnet wird, in dem der Fahrer des Fahrzeugs lediglich ein begrenztes Ausmaß an Drosselklappenregelung hat (das heißt, über eine Art mechanischer Verbindung mit der Drosselklappe).
Bei diesem Ausführungsbeispiel wird eine zusätzliche ROM- Prüfsummenadditionsinspektion vom Hilfsmikrocomputer 12 jedesmal dann, wenn der Zündschalter des Fahrzeugs ausgeschaltet wird, als weitere Funktion zur Überwachung des Hauptmikrocomputers 11 durchgeführt. Fig. 4 zeigt ein Ablaufdiagramm einer vom Hauptmikrocomputer 11 ausgeführten Verarbeitungsroutine, während Fig. 5 die entsprechende Verarbeitungsroutine zeigt, die vom Hilfsmikrocomputer 12 ausgeführt wird. Diese Routinen werden zur Erfassung ausgeführt, wann der Fahrzeugzündschalter vom ein- in den ausgeschalteten Zustand versetzt wird, wobei zu diesem Zeitpunkt ein Verzögerungsintervall auftritt, bevor die Hauptschalteinrichtung des Fahrzeugs die Fahrzeugbatterie vom elektrischen System trennt (wobei dieses Intervall im folgenden als Hauptschaltverzögerungsintervall bezeichnet wird), und wenn das Ausschalten des Zündschalters erfasst wird, zum Übertragen von ROM-Codes vom Hauptmikrocomputer 11 zum Hilfsmikrocomputer 12 und Implementieren der Inspektion dieser ROM-Codes durch den Hilfsmikrocomputer 12 während des Hauptschaltverzögerungsintervalls.
In Schritt 301 in Fig. 4 wird eine Entscheidung darüber getroffen, ob der Zündschalter vom eingeschalteten in den ausgeschalteten Zustand versetzt wurde. Ist dies aufgetreten (JA-Entscheidung), wird Schritt 302 ausgeführt, in dem der Hauptmikrocomputer 11 die ROM-Codes zum Hilfsmikrocomputer 12 überträgt, die sich auf die Gesamtfolge der Verarbeitung beziehen, die zum Erhalten des Solldrosselklappenpositionswerts ausgeführt wurde, der jüngst zum Hilfsmikrocomputer 12 übertragen wurde. Dies besteht aus der Verarbeitung, die zum aufeinanderfolgenden Berechnen der Werte interpolierte Drosselklappenposition- RAM, Leerlaufdrosselklappenposition-RAM und schließlich Solldrosselklappenposition-RAM ausgeführt wurde, wie es zuvor unter Bezugnahme auf die Fig. 2A, 2B beschrieben wurde.
Wird bei der Verarbeitung in Fig. 5 in Schritt 401 festgestellt, dass der Zündschalter in die Aus-Position gedreht wurde, wird Schritt 402 ausgeführt, in dem der vom Hauptmikrocomputer 11 wie vorstehend beschrieben übertragene ROM-Code vom Hilfsmikrocomputer 12 empfangen wird. In Schritt 403 wird eine Prüfsumme für die empfangenen ROM-Codes berechnet, und in Schritt 404 wird eine Entscheidung darüber getroffen, ob die Prüfsumme normal ist oder nicht. Ist der Prüfsummenwert normal, wird Schritt 405 ausgeführt, in dem Prüfsummenbestätigungsinformationen gespeichert werden (das heißt, in einer nicht flüchtigen Speichereinrichtung), die angeben, dass die Prüfsummenverarbeitung ein normales Ergebnis erzielt hat. Ist der Prüfsummenwert anormal, wird Schritt 406 ausgeführt, in dem Prüfsummenbestätigungsinformationen gespeichert werden, die angeben, dass die Prüfsummenverarbeitung ein anormales Ergebnis erzielt hat. Bei jedem Einschalten des Zündschalters liest der Hilfsmikrocomputer 12 die gespeicherten Prüfsummenbestätigungsinformationen aus. Auf diese Weise kann der Hilfsmikrocomputer 12 eine geeignete Verarbeitung durchführen (beispielsweise ein Wegnehmen des Drosselklappenmotorstroms wie vorstehend beschrieben implementieren), wenn die Prüfsummenbestätigungsinformationen ein anormales Ergebnis angeben.
Nachstehend werden die Wirkungen des vorstehenden Ausführungsbeispiels beschrieben. Selbst wenn das Drosselklappenregelungssystem aufgrund des Erfordernisses der Harmonisierung verschiedener Regelungstypen und zur Erhöhung der Anzahl an Regelungsparametern im Umfang erweitert wird, so dass der Hauptmikrocomputer 11 eine komplexere Verarbeitung zur Berechnung eines Sollwerts der Drosselklappenposition durchführen muss, ergibt sich daraus keine entsprechende Erhöhung der Betriebsmittelmenge, die für den Hilfsmikrocomputer 12 erforderlich ist, oder der Überwachungsverarbeitungsmenge, die vom Hilfsmikrocomputer 12 durchgeführt werden muss. Das heißt, die Verarbeitung zur Überwachung des Hauptmikrocomputers 11 kann als im wesentlichen unabhängig von Änderungen im Regelungssystem betrachtet werden. Daher kann eine derartige Mikrocomputerüberwachung bei geringeren Kosten erreicht werden, wobei gleichzeitig sichergestellt ist, dass eine richtige Überwachung ausgeführt werden kann.
Selbst wenn die Fahrzeugregelungsspezifikationen geändert werden, ist es nicht erforderlich, die Überwachungssoftware des Hilfsmikrocomputers 12 wesentlich zu modifizieren. Daher kann die für eine insgesamt Softwareentwicklung erforderliche Zeit verkürzt werden.
Insbesondere werden jedes Mal, wenn ein neuer Sollwert der Drosselklappenposition berechnet wird, die folgenden Inspektionsvorgänge für jeden Bestimmungsfaktor durchgeführt, der bei der Berechnung dieses Sollwerts involviert ist. Zuerst wird jeder Wert, der bei der Berechnung des Solldrosselklappenpositionswerts erhalten und vorübergehend im RAM gespeichert wird, überprüft (RAM- Inspektion). Zum zweiten werden die bei der Berechnungsverarbeitung zum Erhalten dieses Sollwerts verwendeten ROM-Codes überprüft (ROM-Inspektion). Zum dritten wird die Folge der Berechnungen, wodurch der Sollwert erhalten wird, unter Verwendung der Bits von Verarbeitungsfolge-Inspektion-RAM wie vorstehend beschrieben überprüft (Verarbeitungsfolgeninspektion, das heißt, Angabe darüber, ob die CPU des Hauptmikrocomputers 11 normal funktioniert oder nicht). Auf diese Weise kann unter Verwendung all dieser Inspektionsformen der Gesamtbetrieb des Hauptmikrocomputers 11 effektiv überwacht werden, das heißt, jedes Betriebsmittel dieses Mikrocomputers, wie die CPU, das ROM und RAM können überwacht werden.
Es wurde herausgefunden, dass dieses Verfahren der Mikrocomputerüberwachung im wesentlichen die gleiche Genauigkeitsstufe wie das herkömmliche Überwachungsverfahren hat, bei dem zwei Mikrocomputer die gleiche Berechnung jedes Sollwerts der Drosselklappenposition durchführen und die berechneten Werte zum Verifizieren verglichen werden, dass sie zusammenpassen.
Da jeder neue Sollwert der Drosselklappenposition und die entsprechenden Betriebsmittelinspektionswerte vom Hauptmikrocomputer 11 zum Hilfsmikrocomputer 12 gleichzeitig übertragen werden, kann der Hilfsmikrocomputer 12 die Überwachung des Hauptmikrocomputers 11 in Echtzeit durchführen. Somit kann der Zuverlässigkeitsgrad der Überwachung erhöht werden.
Bei jedem Ausschalten des Fahrzeugzündschalters werden auch die bei der Berechnung des Solldrosselklappenpositionswerts verwendeten ROM-Codes zum Hilfsmikrocomputer 12 übertragen und eine entsprechende Prüfsumme wird berechnet. Auf diese Weise überwacht der Hilfsmikrocomputer 12 die Verarbeitung, mit der der Hauptmikrocomputer 11 die ROM- Codeprüfsummenberechnung durchführt. Daher wird die Zuverlässigkeit der Überwachung des Hauptmikrocomputers 11 weiter verbessert. Da die bei dieser Überwachung verwendeten ROM-Codes des weiteren vom Hauptmikrocomputer 11 zum Hilfsmikrocomputer 12 gesendet werden, während die Kommunikationsverbindung zwischen diesen Mikrocomputern in einem Zustand geringer Belastung arbeitet (das heißt, im Hauptschaltverzögerungsintervall), ist die Wahrscheinlichkeit, dass Fehler in die ROM-Codes als Ergebnis des Sende-/Empfangsvorgangs eingefügt werden, minimal.

Zweites Ausführungsbeispiel

Nachstehend wird ein zweites Ausführungsbeispiel beschrieben, wobei lediglich die sich vom ersten Ausführungsbeispiel unterscheidenden Punkte ausführlich beschrieben werden.
Wird bei der Hauptmikrocomputerüberwachungsverarbeitung in den vorstehenden Fig. 3A, 3B für einen beliebigen der verschiedenen Betriebsmittelinspektionswerte ein anormaler Betrieb erfasst, wird die Zufuhr des Ansteuerstroms zum Drosselklappenmotor sofort unterbrochen. Um einen geeigneten Betrieb sicherzustellen, wenn das Fahrzeug gesteuert wird, nachdem die ausfallsichere Funktion gestartet wurde, ist es allerdings vorzuziehen, jedem der verschiedenen Bestimmungsfaktoren, die bei der Berechnung des Sollwerts der Drosselklappenposition involviert sind, eine Gültigkeit oder Ungültigkeit hinsichtlich der Verwendung bei der Anwendung der Drosselklappenregelung entsprechend den Bedingungen der entsprechenden Betriebsmittelinspektionswerte zuzuordnen. Fig. 7 zeigt ein allgemeines Systemblockschaltbild des zweiten Ausführungsbeispiels. Bei diesem Ausführungsbeispiel ist der Wert interpolierte Drosselklappenposition-RAM (der von der Beschleunigungsvorrichtungsposition wie nachstehend beschrieben abhängt) als Basisregelgröße eingeteilt (das heißt, die für die Berechnung eines Solldrosselklappenpositionswerts essentiell ist), während der Wert Leerlaufdrosselklappenposition-RAM als Hilfsregelgröße eingeteilt ist (das heißt, die bei Bedarf bei der Berechnung des Solldrosselklappenpositionswerts weggelassen werden kann), und der Drosselklappenregelungsvorgang wird nur dann angehalten, wenn eine Anormalität hinsichtlich einer Basisregelgröße erfasst wird, in diesem Fall hinsichtlich des Werts interpolierte Drosselklappenposition-RAM. Wird eine Abnormität bezüglich der Berechnung einer Hilfsregelgröße festgestellt, in diesem Fall des Werts Leerlaufdrosselklappenposition-RAM, wird die Anwendung der Drosselklappenregelung weiter fortgesetzt, wobei aber die Werte von Leerlaufdrosselklappenposition-RAM von den Berechnungen der Solldrosselklappenpositionswerte ausgeschlossen sind.
Dies wird nachstehend anhand der Fig. 6A, GB beschrieben, die ein Ablaufdiagramm einer Überwachungsverarbeitungsroutine bilden, die periodisch durch den Hilfsmikrocomputer 12 zur Überwachung des Hauptmikrocomputers 11 ausgeführt wird, das heißt, die bei jedem Empfang eines neuen Werts von Solldrosselklappenposition-RAM und der zugehörigen Betriebsmittelinspektionsdaten durch den Hilfsmikrocomputer 12 ausgeführt wird. Diese Verarbeitung ersetzt die in den Fig. 3A, 3B des ersten Ausführungsbeispiels.
In Schritt 501 wird eine Entscheidung darüber getroffen, ob alle Bits 0, 1 oder 2 des empfangenen Verarbeitungsfolge- Inspektion-RAM auf "1" gesetzt wurden. Ist das Entscheidungsergebnis NEIN, wird Schritt 502 ausgeführt, in dem die Zufuhr des Ansteuerstroms zum Drosselklappenmotor 24 unterbrochen wird, da der Hauptmikrocomputer 11 nicht alle Stufen 1 bis 6 der in den Fig. 2A, 2B gezeigten Verarbeitungsfolge korrekt beendet hat, das heißt, es wurde ein anormaler Betrieb erfasst.
Ist das Ergebnis der Entscheidung in Schritt 501 JA, wird Schritt 503 ausgeführt, in dem eine Entscheidung darüber getroffen wird, ob die Verarbeitung normal ist, die sich auf die Berechnung des Werts interpolierte Drosselklappenposition-RAM bezieht. Insbesondere werden die Werte Interpolationsparameter-RAM, interpolierte Drosselklappenposition-RAM und Interpolationssumme überprüft und beurteilt. Diese Verarbeitung entspricht den Inhalten der Folge der Schritte 202 bis 204 in den vorstehend beschriebenen Fig. 3A, 3B.
Lautet die Entscheidung in Schritt 503 JA, wird Schritt 504 ausgeführt, in dem eine Entscheidung darüber getroffen wird, ob die Verarbeitung normal ist, die sich auf die Berechnung der Leerlaufdrosselklappenposition bezieht. Insbesondere werden die Werte Leerlaufdrosselklappenposition-RAM und Leerlaufsumme beurteilt.
Lautet die Entscheidung in beiden Schritten 503 und 504 JA, wird Schritt 505 ausgeführt, in dem der Wert Solldrosselklappenposition durch Summieren der Werte interpolierte Drosselklappenposition-RAM und Leerlaufdrosselklappenposition-RAM berechnet wird. Ein entsprechender Drosselklappenmotoransteuersignalwert, der beruhend auf dem Wert Solldrosselklappenposition-RAM hergeleitet wird, wird dann aus dem Hilfsmikrocomputer 12 wie vorstehend für das erste Ausführungsbeispiel beschrieben (Schritt 507) ausgegeben.
Wird festgestellt, dass keine Abnormalität aus der Inspektion der Verarbeitung festgestellt wird, die sich auf die Herleitung des Werts interpolierte Drosselklappenposition-RAM bezieht, aber eine Abnormalität hinsichtlich des Werts Leerlaufdrosselklappenposition-RAM festgestellt wird, wird Schritt 506 ausgeführt, in dem der Wert Solldrosselklappenposition-RAM direkt als der Wert interpolierte Drosselklappenposition-RAM erhalten wird, ohne den Wert Leerlaufdrosselklappenposition-RAM zu verwenden. Entsprechende, einen Drosselklappenmotoransteuersignalwert ausdrückende Daten werden dann aus dem Hilfsmikrocomputer 12 beruhend auf dem Wert Solldrosselklappenposition-RAM wie vorstehend für das erste Ausführungsbeispiel beschrieben (Schritt 507) ausgegeben.
Zeigt die Inspektion hinsichtlich der Berechnung des Werts interpolierte Drosselklappenposition-RAM eine Abnormität, (das heißt, in Schritt 503 lautet die Entscheidung NEIN), wird Schritt 502 ausgeführt, in dem die Stromzufuhr zum Drosselklappenmotor 24 unterbrochen wird, da festgestellt wurde, dass der Hauptmikrocomputer 11 anormal arbeitet.
Wird bei der Verarbeitung in den Fig. 6A, 6B eine Abnormität für einen vorbestimmten speziellen Teil der Bestimmungsfaktoren erfasst, mit denen der Hauptmikrocomputer 11 den Sollwert der Drosselklappenposition berechnet, wird dieser Teil der Bestimmungsfaktoren von der Verwendung bei der Bestimmung des Sollwerts ausgeschlossen. Das heißt, wird eine Abnormität hinsichtlich eines Bestimmungsfaktors erfasst, der von grundlegender Bedeutung ist (das heißt, wie vorstehend beschrieben hinsichtlich einer Basisregelgröße), wird die Drosselklappenregelungsoperation gestoppt und die Stromzufuhr zum Drosselklappenantriebsmotor unterbrochen, während dann, wenn eine Abnormität für einen oder mehrere Bestimmungsfaktoren erfasst wird, die von zweitrangiger Bedeutung sind (das heißt, für Hilfsregelgrößen wie vorstehend beschrieben), kann der Hilfsmikrocomputer 12urteilen, dass der Drosselklappenregelungsvorgang fortgesetzt wird, wobei die Bestimmungsfaktoren ausgeschlossen werden, für die eine Abnormität erfasst wurde.
Wird bei diesem Ausführungsbeispiel eine Abnormität des Betriebs des Hauptmikrocomputers 11 durch den Hilfsmikrocomputer 12 erfasst, wird anstelle einer unbedingten Unterbrechung der Stromzufuhr zum Drosselklappenantriebsmotor 24 wie bei dem ersten Ausführungsbeispiel eine ausfallsichere Verarbeitung ausgeführt, die für den erfassten Typ der Abnormität geeignet ist. Somit kann eine Regelung mit verbesserter Flexibilität erreicht werden.
Der Wert Verarbeitungsfolge-Inspektion-RAM ist eine Binärzahl und kann somit als Bitmuster untersucht werden. Wird also festgestellt, dass ihr Wert kleiner als der korrekte Wert ist, (was angibt, dass eine oder mehrere Stufen der Berechnungsverarbeitungsfolge vom Hauptmikrocomputer 11 weggelassen wurden), wäre es weiterhin für den Hilfsmikrocomputer 12 möglich, festzustellen, welche Stufe weggelassen wurde, (das heißt, da das entsprechende Bit nicht gesetzt wurde) und diese Informationen als Betriebsmittelinspektionsdaten zu verwenden, die für einen bestimmten Bestimmungsfaktor spezifisch sind.

Drittes Ausführungsbeispiel

Bei dem ersten oder zweiten Ausführungsbeispiel ist es möglich, dass die (in den Fig. 3A, 3B gezeigte) vom Hilfsmikrocomputer 12 zur Überwachung des Hauptmikrocomputers 11 durchgeführte Inspektionsverarbeitung selbst defekt sein kann, wobei in diesem Fall die Überwachungsergebnisse unzuverlässig sind. Fig. 8 zeigt ein allgemeines Blockschaltbild eines dritten Ausführungsbeispiels, bei dem die elektronische Steuervorrichtung derart eingerichtet ist, dass zusätzlich zu den vorstehend für das erste Ausführungsbeispiel beschriebenen Operationen der Hauptmikrocomputer 11 auch die Funktion des Hilfsmikrocomputers 12 überwacht. Insbesondere führt der Hilfsmikrocomputer 12 dieses Ausführungsbeispiels periodisch die in den Fig. 3A, 3B für das erste Ausführungsbeispiel gezeigte Überwachungsverarbeitungsfolge jedes Mal dann durch, wenn ein neuer Sollwert der Drosselklappenposition berechnet und vom Hauptmikrocomputer 11 zusammen mit den entsprechenden Betriebsmittelinspektionsdaten übertragen wird. Allerdings werden zusätzlich während der Ausführung der Überwachungsverarbeitungsfolge Betriebsmittelinspektionsdaten, die sich auf diese Überwachungsverarbeitung beziehen, vom Hilfsmikrocomputer 12 hergeleitet und zum Hauptmikrocomputer 11 beim Beenden der Überwachungsverarbeitungsfolge gesendet (das heißt, unter der Annahme, dass kein anormaler Betrieb des Hauptmikrocomputers 11 erfasst wurde). Insbesondere werden ROM-Codeprüfsummenwerte für jeden Schritt in den Fig. 3A, 3B oder für einen bestimmten Bereich dieser Schritte als Betriebsmittelinspektionsdaten berechnet. Außerdem ist das dritte Ausführungsbeispiel vorzugsweise derart eingerichtet, dass ein Wert gespeichert und periodisch an einem oder mehreren Zeitpunkten während der Ausführung der Überwachungsverarbeitungsfolge aktualisiert wird, wobei bestimmte Bits dieses Werts für die Verarbeitungsfolgeinspektion wie der zuvor angeführte Wert Verarbeitungsfolge-Inspektion-RAM des Hauptmikrocomputers 11 verwendet werden. Das heißt, der Wert wird vor dem Beginn der Überwachungsverarbeitungsfolge in den Fig. 3A, 3B gelöscht und jeweils vorbestimmte Bits dieses Verarbeitungsfolgeinspektionswerts werden aufeinanderfolgend beim Abschließen der entsprechenden Schritte der Überwachungsverarbeitungsfolge auf die gleiche Weise wie zuvor für die Fig. 2A, 2B und die Aktualisierung der Inhalte von Verarbeitungsfolge- Inspektion-RAM beschrieben gesetzt. Bei jedem Abschluss der Überwachungsverarbeitungsfolge (wenn kein anormaler Betrieb des Hauptmikrocomputers 11 erfasst wurde) wird der Wert zum Hauptmikrocomputer 11 als Betriebsmittelinspektionsdaten übertragen.
Wird durch die vom Hilfsmikrocomputer 12 ausgeführte Inspektionsverarbeitungsfolge keine Abnormität im Betrieb des Hauptmikrocomputers 11 erfasst (das heißt, dies entspricht einer JA-Entscheidung in Schritt 205 der Fig. 3A, 3B), wird dieser Verarbeitungsfolgeinspektionswert, der vom Hilfsmikrocomputer 12 erhalten wurde, zum Hauptmikrocomputer 11 als Teil der vom Hilfsmikrocomputer 12 erzeugten Betriebsmittelinspektionsdaten übertragen.
Bei dem dritten Ausführungsbeispiel ist der Hauptmikrocomputer 11 zur Durchführung einer Inspektionsverarbeitungsfolge eingerichtet, die grundlegend der aus den Fig. 3A, 3B entspricht, indem vom Hilfsmikrocomputer 12 empfangene Betriebsmittelinspektionsdaten verwendet werden, um den Betrieb des Hilfsmikrocomputers 12 zu überwachen.
Da der Aufbau und der Betrieb des dritten Ausführungsbeispiels aus der Beschreibung des ersten Ausführungsbeispiels ersichtlich sind, wird auf eine ausführliche Beschreibung verzichtet. Obwohl die Erfindung zuvor unter Bezugnahme auf bestimmte Ausführungsbeispiele beschrieben wurde, können verschiedene Modifikationen oder Alternativen zu diesen Ausführungsbeispielen wie folgt in Betracht gezogen werden. Es wäre beispielsweise möglich, eine ausführlichere oder weniger ausführliche Inspektion von Betriebsmitteln zu implementieren, beispielsweise durch Erhöhen oder Verringern der Anzahl von Verarbeitungsstufen, für die eine Verarbeitungsfolgeinspektion angewendet wird (das heißt, unter Verwendung von Verarbeitungsfolge- Inspektion-RAM). Das heißt, anstelle der Berechnung der Werte interpolierte Drosselklappenposition-RAM, Leerlaufdrosselklappenposition-RAM und Solldrosselklappenposition-RAM an den drei Stufen (Schritte 102 bis 104, Schritte 106 bis 108, Schritte 110 und 111) in den Fig. 2A, 2B, das heißt, bei einer Inspektion der jeweiligen Stufen, wäre es beispielsweise möglich, eine ausführlichere Inspektion der Inhalte jeder dieser Stufen durchzuführen. Beispielsweise könnten Vorgänge wie das Herleiten einer Prüfsumme, das Setzen eines bestimmten Bits in Verarbeitungsfolge-Inspektion-RAM, usw. für jede der verschiedenen aufeinanderfolgenden Operationen durchgeführt werden, die beim Errichten des Werts interpolierte Drosselklappenposition-RAM involviert ist.
Alternativ dazu wäre es möglich, die Inspektionsverarbeitung durch Kombinieren von zwei oder mehr der vorstehenden Vielzahl der Stufen in einer einzelnen Stufe zu vereinfachen, das heißt, der lediglich ein einzelnes Bit in Verarbeitungsfolge-Inspektion-RAM zugewiesen ist.
Ferner wäre es möglich, die Form der Inspektion dementsprechend zu modifizieren, ob die Mikrocomputer unter einer hohen Verarbeitungslast arbeiten, oder entsprechend einer anderen Bedingung der Mikrocomputer oder beruhend auf der vergangenen Geschichte des Auftretens eines anormalen Betriebs, usw. Beispielsweise wäre es möglich, die Ausführung eines Teils der Prüfsummenberechnungen durch einen Mikrocomputer wegzulassen, wenn der Mikrocomputer unter einer starken Verarbeitungsbelastung arbeitet.
Ferner ist es nicht wesentlich, dass die Inhalte von Verarbeitungsfolge-Inspektion-RAM zu jeweiligen Punkten im Verarbeitungsablauf, die in den Fig. 2A, 2B gezeigt sind, während der Berechnung des Sollwerts der Drosselklappenöffnung aktualisiert werden. Es wäre möglich, diese Aktualisierung zu anderen Zeitpunkten während der Verarbeitung oder eine größere Zahl derartiger Aktualisierungen durchzuführen (das heißt, eine größere Anzahl von Punkten entlang der Verarbeitungsfolge zu überprüfen). Je größer die Zahl dieser Aktualisierungen ist, die während einer Berechnung durchgeführt werden, desto größer ist die Überwachungsgenauigkeit.
Eine Fahrzeug-ECU (elektronische Steuereinheit) hat einen Hauptmikrocomputer und einen Hilfsmikrocomputer, wobei der Hauptmikrocomputer periodisch eine Verarbeitungsroutine zum Berechnen von Werten, wie eines Drosselklappenöffnungsgrads des Fahrzeugmotors beruhend auf der aktuellen Betriebsbedingung des Motors ausführt, wobei der Hauptmikrocomputer Betriebsmittelinspektionsdaten während jeder Ausführung der Routine erzeugt und die Betriebsmittelinspektionsdaten zu dem Hilfsmikrocomputer überträgt, wobei die Betriebsmittelinspektionsdaten beispielsweise jeweilige Prüfsummen für in aufeinanderfolgenden Schritten der Routine berechnete Werte und Informationen enthalten, die angeben, ob alle Schritte der Routine tatsächlich ausgeführt wurden, und wobei der Hilfsmikrocomputer den Betrieb des Hauptmikrocomputers beruhend auf den empfangenen Betriebsmittelinspektionsdaten überwacht.

Claims

1. Elektronische Steuervorrichtung einer Brennkraftmaschine, mit einem ersten Mikrocomputer und einem zweiten Mikrocomputer, wobei die Vorrichtung zur Überwachung zumindest eines der Mikrocomputer durch den anderen eingerichtet ist, wobei
der erste Mikrocomputer zur Berechnung von Betriebsmittelinspektionsdaten bezüglich jeweiliger Betriebsmittel des ersten Mikrocomputers beruhend auf einer internen Verarbeitung, die durch den ersten Mikrocomputer ausgeführt wird, und zum Übertragen der Betriebsmittelinspektionsdaten zu dem zweiten Mikrocomputer eingerichtet ist, und
der zweite Mikrocomputer zum Empfangen der Betriebsmittelinspektionsdaten und Überwachen der Funktion des ersten Mikrocomputers beruhend auf den Betriebsmittelinspektionsdaten eingerichtet ist.

2. Elektronische Steuervorrichtung einer Brennkraftmaschine mit einem ersten Mikrocomputer und einem zweiten Mikrocomputer, wobei der erste Mikrocomputer periodisch einen Wert einer Sollregelgröße zur Verwendung bei der Regelung eines Stellglieds eines Motors der Maschine beruhend auf Parameterwerten eingerichtet ist, die einen aktuellen Betriebszustand des Motors ausdrücken, wobei
der zweite Mikrocomputer zum Überwachen von Operationen des ersten Mikrocomputers eingerichtet ist, die eine Verarbeitung zur Berechnung der Sollregelgröße enthalten,
jedesmal, wenn der erste Mikrocomputer einen Sollregelgrößenwert berechnet, der erste Mikrocomputer Betriebsmittelinspektionsdaten hinsichtlich jeweiliger Betriebsmittel des ersten Mikrocomputers berechnet, die in der Berechnung involviert sind, und die Betriebsmittelinspektionsdaten zum zweiten Mikrocomputer überträgt, und
der zweite Mikrocomputer zum Empfangen der Betriebsmittelinspektionsdaten und Überwachen der Funktion des ersten Mikrocomputers beruhend auf den Betriebsmittelinspektionsdaten eingerichtet ist.

3. Elektronische Steuervorrichtung nach Anspruch 2, wobei der erste Mikrocomputer ein RAM (Speicher mit wahlfreiem Zugriff) enthält, wobei Werte, die aufeinanderfolgend durch den ersten Mikrocomputer während einer Verarbeitungsfolge zur Berechnung der Sollregelgröße erhalten werden, vorübergehend im RAM gespeichert werden, wobei
der erste Mikrocomputer zum Auslesen jedes berechneten Werts aus dem RAM eingerichtet ist und jeden berechneten Wert zum zweiten Mikrocomputer zusammen mit dem inversen Wert jedes berechneten Werts als Betriebsmittelinspektionsdaten sendet.

4. Elektronische Steuervorrichtung nach Anspruch 2, wobei der erste Mikrocomputer eine Speichereinrichtung mit darin gespeicherten Berechnungsverarbeitungscodes enthält, wobei eine Vielzahl der Berechnungsverarbeitungscodes vom ersten Mikrocomputer während einer Verarbeitungsfolge zur Berechnung der Sollregelgröße ausgelesen und verwendet werden, wobei
der erste Mikrocomputer zur Berechnung eines Prüfsummenwerts der bei der Verarbeitungsfolge verwendeten Berechnungsverarbeitungscodes eingerichtet ist und den Prüfsummenwert zum zweiten Mikrocomputer als Betriebsmittelinspektionsdaten überträgt.

5. Elektronische Steuervorrichtung nach Anspruch 4, die mit Strom von einer Stromquelle mit einer Abbruchverzögerungsfunktion versorgt wird, wobei ein Abbruchverzögerungsintervall nach der Betätigung eines Schalters zum Unterbrechen der Stromzufuhr auftritt, wobei die Stromzufuhr zur elektronischen Steuervorrichtung fortgesetzt wird, bis das Abbruchverzögerungsintervall abgeschlossen ist, wobei
der erste Mikrocomputer zum Übertragen der bei der Verarbeitungsfolge verwendeten Berechnungsverarbeitungscodes zum zweiten Mikrocomputer bei jedem Auftreten der Abbruchverzögerung eingerichtet ist, und
der zweite Mikrocomputer zur Berechnung eines Prüfsummenwerts für die vom ersten Mikrocomputer empfangenen Berechnungsverarbeitungscodes und zur Beurteilung des Prüfsummenwerts zur Erfassung eines anormalen Betriebs des ersten Mikrocomputers eingerichtet ist.

6. Elektronische Steuervorrichtung nach Anspruch 2, wobei der erste Mikrocomputer eingerichtet ist zum
Initialisieren eines Werts zur Verwendung als Verarbeitungsfolgeinspektionswert vor der Ausführung einer Verarbeitungsfolge zur Berechnung eines Sollregelgrößenwerts,
aufeinanderfolgenden Aktualisieren des Verarbeitungsfolgeinspektionswerts an einem oder mehreren vorbestimmten Zeitpunkten während der Verarbeitungsfolge und
Übertragen des Verarbeitungsfolgeinspektionswerts zum zweiten Mikrocomputer als Betriebsmittelinspektionsdaten am Ende der Verarbeitungsfolge.

7. Elektronische Steuervorrichtung nach Anspruch 2, wobei der erste Mikrocomputer die Sollregelgröße durch Kombinieren einer Vielzahl von Bestimmungsfaktoren berechnet, und wobei
der erste Mikrocomputer zur Berechnung von Betriebsmittelinspektionsdatensätzen, die jeweils den Bestimmungsfaktoren entsprechen, und Übertragen der Betriebsmittelinspektionsdatensätze zum zweiten Mikrocomputer eingerichtet ist, und
der zweite Mikrocomputer zur jeweils separaten Beurteilung der Betriebsmittelinspektionsdatensätze eingerichtet ist.

8. Elektronische Steuervorrichtung nach Anspruch 7, wobei der erste Mikrocomputer eingerichtet ist zum
Initialisieren eines Werts zur Verwendung als Verarbeitungsfolgeinspektionswert vor der Ausführung einer Verarbeitungsfolge zur Berechnung eines Sollregelgrößenwerts,
aufeinanderfolgenden Aktualisieren des Verarbeitungsfolgeinspektionswerts beim Beenden jeweiliger Berechnungsverarbeitungsstufen zum Herleiten der Bestimmungsfaktoren und
Übertragen des Verarbeitungsfolgeinspektionswerts zu dem zweiten Mikrocomputer als Betriebsmittelinspektionsdaten am Ende der Verarbeitungsfolge.

9. Elektronische Steuervorrichtung nach Anspruch 2, mit einer Datenkommunikationseinrichtung, mit der der erste Mikrocomputer Daten zum zweiten Mikrocomputer in Datenpaketen überträgt, wobei der erste Mikrocomputer zum Übertragen jedes berechneten Werts der Sollregelgröße zusammen mit Betriebsmittelinspektionsdaten bezüglich der Berechnung dieses Werts in einem der Datenpakete eingerichtet ist.

10. Elektronische Steuervorrichtung nach Anspruch 2, wobei
der zweite Mikrocomputer zum Berechnen von zweiten Betriebsmittelinspektionsdaten bezüglich der Überwachungsverarbeitung während der Ausführung der Überwachungsverarbeitung durch den zweiten Mikrocomputer zum Überwachen des Betriebs des ersten Mikrocomputers beruhend auf den Betriebsmittelinspektionsdaten und zum Übertragen der zweiten Betriebsmittelinspektionsdaten zum ersten Mikrocomputer eingerichtet ist, und
der erste Mikrocomputer zur Ausführung einer Verarbeitung zur Überwachung des Betriebs des zweiten Mikrocomputers beruhend auf den vom zweiten Mikrocomputer empfangenen zweiten Betriebsmittelinspektionsdaten eingerichtet ist.

11. Elektronische Steuervorrichtung nach Anspruch 2, wobei der erste Mikrocomputer die Sollregelgröße durch Kombinieren einer Vielzahl von Bestimmungsfaktoren berechnet, und wobei
der erste Mikrocomputer zum Berechnen von Betriebsmittelinspektionsdatensätzen, die jeweils der Vielzahl von Bestimmungsfaktoren entsprechen, während der Ausführung einer Verarbeitungsfolge zur Berechnung der Sollregelgröße und zum Übertragen der Betriebsmittelinspektionsdatensätze zum zweiten Mikrocomputer eingerichtet ist, und
der zweite Mikrocomputer zum jeweils separaten Beurteilen der Betriebsmittelinspektionsdatensätze eingerichtet ist, um für jeden Bestimmungsfaktor zu bestimmen, ob der Bestimmungsfaktor für die Verwendung bei der Berechnung eines Werts der Sollregelgröße gültig ist oder nicht.

12. Elektronische Steuervorrichtung nach Anspruch 11, wobei
die Bestimmungsfaktoren jeweils als Basisregelgrößenausdrücke oder sekundäre Regelgrößenausdrücke eingeteilt sind,
der zweite Mikrocomputer zur Erzeugung eines Befehlssignals zum Beenden eines Regelvorgangs des Stellglieds durch die elektronische Steuervorrichtung eingerichtet ist, wenn beruhend auf einem dem Bestimmungsfaktor entsprechenden Betriebsmittelinspektionsdatensatz beurteilt wird, das eine Abnormität bei der Berechnung eines Bestimmungsfaktors aufgetreten ist, der ein Basisregelgrößenausdruck ist, und
der zweite Mikrocomputer zur Ausführung einer Verarbeitung eingerichtet ist, wodurch ein Wert der Sollregelgröße berechnet wird, wobei der sekundäre Regelgrößenausdruck bei der Berechnung weggelassen wird, wenn beruhend auf einem dem Bestimmungsfaktor entsprechenden Betriebsmittelinspektionsdatensatz geurteilt wird, dass eine Abnormität bei der Berechnung eines Bestimmungsfaktors aufgetreten ist, der ein sekundärer Regelgrößenausdruck ist.