DE19943960A1 - Verfahren und Vorrichtung zum Betreiben eines Stellelements in einem Fahrzeug - Google Patents

Abstract

Es werden ein Verfahren und eine Vorrichtung zum Betreiben eines Stellelements in einem Fahrzeug vorgeschlagen. Dabei wird ein erstes und/oder ein zweites Betriebsgrößensignal ermittelt und auf Fehler überprüft. Bei Auftreten eines Fehlers wird sofort eine erste Reaktion, die beispielsweise eine Begrenzung der Stellgeschwindigkeit und/oder der Beschleunigung des Stellelements darstellt, eingeleitet. Bei länger anhaltendem Auftreten des Fehlerzustandes wird eine zweite Reaktion eingeleitet, welche ein Ersatzsignal anstelle des fehlerhaften zur Steuerung heranzieht oder die in einem Abschalten des Stellelementebetriebes besteht.

Description

Stand der Technik

Die Erfindung betrifft ein Verfahren und eine Vorrichtung zum Betreiben eines Stellelements in einem Fahrzeug.

In Fahrzeugen werden vermehrt elektronische Steuersysteme eingesetzt, welche auf der Basis von meßtechnisch erfaßter Betriebsgrößen oder aus Meßgrößen abgeleiteter Betriebsgrö­ ßen wenigstens ein Stellelement eines Fahrzeugs betreiben. Derartige Steuersysteme werden zur Steuerung der Antriebs­ einheit, der Bremsanlage oder anderer Funktionen eingesetzt. Beispielsweise wird im Rahmen von sogenannten "drive-by­ wire"- oder "brake-by-wire"-Systemen ein Stellelement des Fahrzeugs auf der Basis des meßtechnisch erfaßten Fahrerwun­ sches durch ein elektronisches Steuersystem betätigt. Ge­ meinsam ist diesen Steuersystemen, daß die Erfassung einer die Grundfunktion beeinflussenden Betriebsgröße zumindest redundant abgesichert ist. So wird bei diesen Systemen in der Regel die Stellung des vom Fahrer betätigbaren Be­ dienelements (Fahrpedal, Bremspedal) durch wenigstens zwei voneinander unabhängige Meßeinrichtungen erfaßt. Entspre­ chendes gilt bei Systemen, bei welchem das Stellelement im Rahmen eines Regelkreises (z. B. einer Lageregelung) nach Maßgabe eines aus dem Fahrerwunsches abgeleiteten Sollwerts eingestellt wird, für die Istwerterfassung. Die zumindest redundante Erfassung der jeweiligen Betriebsgrößen dient zur Fehlererkennung, beispielsweise indem die wenigstens zwei erfaßten Meßgrößen oder daraus abgeleiteten Größen gegenein­ ander auf einen vorgegebenen Toleranzbereich überprüft wer­ den. Eine derartige Vorgehensweise ist am Beispiel eines drive-by-wire-Systems in der DE 40 04 086 A1 (US-Patent 5,107,769) dargestellt.

Bei derartigen Überprüfungen wird ein tatsächlicher Fehler­ zustand mit anschließendem Notlauf mit Blick auf Störsignale erst dann erkannt, wenn die Überprüfung eine bestimmte Zeit lang das Ergebnis "Unplausibilität" ergeben hat. Die Not­ lauffunktion wird also relativ spät eingeleitet. Auf diese Weise können Schäden im Stellelement, welches trotz eines Fehlerzustandes wie im Normalbetrieb betätigt wird, auftre­ ten. Dies ist vor allem bei der Steuerung einer Drosselklap­ pe mittels eines Stellmotors der Fall, bei der beispielswei­ se bei Abfall der Signalleitung einer die Stellung dieser Drosselklappe erfassenden Meßeinrichtung ein dynamisches An­ fahren des mechanischen Endanschlags mit mechanischen Schä­ digungen als Folge auftreten kann.

Es ist Aufgabe der Erfindung, Maßnahmen anzugeben, welche die Reaktionszeit auf eine Unplausibilität verkürzen, ohne daß die Verfügbarkeit des Steuersystems für den Fall, daß kein Fehlerzustand vorliegt, wesentlich beeinträchtigt wird.

Dies wird durch die Merkmale der unabhängigen Patentansprü­ che erreicht.

Aus der DE 39 22 948 A1 (US-Patent 5,119,300) ist bekannt, bei Sensoren, welche sowohl in einem Betriebszustand eines Fahrzeugs als auch im Fehlerfall ein Grundsignal ausgeben (beispielsweise Null), bei Auftreten des Grundsignals zu­ nächst eine Ersatznotlauffunktion einzuleiten, danach eine Fehlerüberprüfung durchzuführen. Die für den Fehlerfall vor­ gesehene Notlauffunktion wird erst eingeleitet, wenn der Fehlerzustand festgestellt wurde.

Vorteile der Erfindung

Es wird eine schnelle Reaktion (erster Fehlerreaktionsbe­ trieb) sofort bei Auftreten einer Unplausibilität im Bereich der Betriebsgrößenerfassung erreicht, indem eine erste Reak­ tion auf eine Unplausibilität zwischen zwei in einem eindeu­ tigen Zusammenhang zueinander stehenden Betriebsgrößensigna­ len sofort nach Auftreten der ersten Unplausibilität einge­ leitet wird. Dabei wird eine wesentliche Einschränkung der Verfügbarkeit des Steuersystems vermieden, da durch die er­ ste Reaktion schädigende Auswirkungen der Unplausibilität weitgehend vermieden werden, ohne daß die Verfügbarkeit we­ sentlich eingeschränkt wird. Durch eine zweite Reaktion (zweiter Fehlerreaktionsbetrieb), die einen Notlaufbetrieb des Steuersystems darstellt, wird bei gesicherter Unplausi­ bilität nach Ablauf einer gewissen Zeit, das System in einen sicheren Zustand geführt.

Besonders vorteilhaft ist die Anwendung dieser Vorgehenswei­ se bei sogenannten drive-by-wire-Systemen, bei denen ein Leistungsstellelement in Abhängigkeit des Fahrerwunsches mittels eines Regelkreises eingestellt wird. Dort wird durch Plausibilitätsvergleiche der redundant erfaßten Istgröße und/oder der redundanten erfaßten Sollgröße Fehlfunktionen erkannt und entsprechend obiger Vorgehensweise reagiert. Die erste Reaktion verhindert z. B. durch Begrenzung der Ver­ stellgeschwindigkeit des Stellelements mittels Begrenzung des Stromes und/oder des Ansteuersignals für das Stellele­ ment, daß das Stellelement nicht mehr dynamisch an seine me­ chanischen Endanschläge gefahren wird. Mechanische Schädi­ gungen werden vermieden. Die zweite Reaktion auf die Unplau­ sibilität ist dann eine Notlaufreaktion, durch die die Steuerung stillgelegt oder auf der Basis von Ersatzgrößen weiter betrieben wird.

Besonders vorteilhaft ist die Anwendung bei einer Lagerege­ lung, bei welchem Sollwert und Istwert die Stellung eines Leistungsstellelements repräsentieren. Dies auch dann, wenn Istwert und/oder Sollwert nicht redundant erfaßt, sondern mittels einer Betriebsgröße überprüft werden, die in eindeu­ tigem Zusammenhang zur Stellung steht (z. B. Luftmasse). Die beiden unterschiedlichen Größen werden auf eine gemeinsame Basis umgerechnet und auf dieser Basis die Plausibili­ tätsüberprüfung durchgeführt.

Ebenso vorteilhaft ist die Anwendung der dargestellten Vor­ gehensweise bei brake-by-wire-Systemen. Auch dort erfolgt zumindest die Erfassung des Fahrerbremswunsches mittels we­ nigstens redundanter Ermittlung des Betätigungsgrades des Bremspedals. Auch hier wird zur Fehlererkennung ein Plausi­ biltätsvergleich der Signale durchgeführt. In vorteilhafter Weise wird auch hier sofort nach Erkennen der ersten Unplau­ sibilität eine erste Reaktion, beispielsweise eine Bremsen­ steuerung auf der Basis des Maximalwertes vorgenommen, wäh­ rend nach Sicherstellung der Fehlererkennung als zweite Re­ aktion eine Notlaufmaßnahme (z. B. Geschwindigkeitsbegren­ zung) eingeleitet.

Weitere Vorteile ergeben sich aus der nachfolgenden Be­ schreibung von Ausführungsbeispielen bzw. aus den abhängigen Patentansprüchen.

Zeichnung

Die Erfindung wird nachstehend anhand der in der Zeichnung dargestellten Ausführungsformen näher erläutert. Fig. 1 zeigt ein Übersichtsblockschaltbild einer Steuereinrichtung zum Betreiben eines Stellelements in einem Fahrzeug in einem bevorzugten Ausführungsbeispiel. In Fig. 2 ist ein Flußdia­ gramm dargestellt, mit dessen Hilfe die Realisierung der be­ schriebenen Vorgehensweise als Rechnerprogramm dieser Steu­ ereinrichtung skizziert ist.

Beschreibung von Ausführungsbeispielen

Die erfindungsgemäße Vorgehensweise wird nachfolgend anhand eines bevorzugten Ausführungsbeispiels, eines drive-by-wire- Systems, bei welchem im Rahmen einer Lageregelung ein Lei­ stungsstellelement einer Antriebseinheit, insbesondere eine Drosselklappe, betätigt wird, skizziert. Die erfindungsgemä­ ße Vorgehensweise ist aber, wie eingangs erwähnt, nicht nur auf dieses Ausführungsbeispiel beschränkt, sondern findet überall dort Anwendung, wo ein Stellelement auf der Basis einer Betriebsgröße betrieben wird, die durch Plausibili­ tätsüberprüfung mit einer redundant erfaßten oder mit einer zu ihr in einem eindeutigen Zusammenhang stehenden Betriebs­ größe überwacht wird, beispielsweise im Rahmen von Regel­ kreise zur Einstellung eines Leistungsstellelements, in bra­ ke-by-wire-Systemen, etc.

Fig. 1 zeigt eine elektronische Steuereinheit 10, die we­ nigstens einen Rechner 12, eine Eingangsschaltung 14, eine Ausgangsschaltung 16 und ein diese Elemente verbindendes Kommunikationssystem 18 umfaßt. Der Eingangsschaltung 14 sind Eingangsleitungen zugeführt, über die Meßsignale von Meßeinrichtungen eingelesen werden, die Betriebsgrößen re­ präsentieren oder aus den Betriebsgrößen ableitbar sind. Im bevorzugten Ausführungsbeispiel sind Eingangsleitungen 20 und 22 vorgesehen, die die Steuereinheit 10 mit Meßeinrich­ tungen 24 und 26 verbinden. Diese erfassen die Stellung des Leistungsstellelements, beispielsweise einer Drosselklappe, und stellen je nach Ausführungsbeispiel Potentiometer oder berührungslose Sensoren dar. Deren Meßgrößen U1 und U2 wer­ den über die Leitungen 20 und 22 der Eingangsschaltung 14 zugeführt. Ferner sind aus Übersichtlichkeitsgründen die weiteren, im Zusammenhang mit der Steuerung einer Antriebs­ einheit vorgesehenen Eingangsleitungen und Meßeinrichtung als 28 bis 32 und 34 bis 38 zusammengefaßt. Von den Meßein­ richtungen werden Betriebsgrößen wie Fahrpedalstellung, Mo­ tordrehzahl, Motortemperatur, Abgaszusammensetzung, etc. er­ faßt und entsprechende Meßsignale über die Eingangsleitungen der Eingangsschaltung 14 zugeführt.

Über die Ausgangsschaltung 16 und die Ausgangsleitung 40 werden Ansteuersignale zum Betätigen des Leistungsstellele­ ments 42, beispielsweise eine elektrisch betätigbare Dros­ selklappe, ausgegeben. Ferner sind Ausgangsleitungen 44 bis 48 dargestellt, über die weitere Stellelemente 50 bis 54, z. B. Stellelemente zur Kraftstoffeinspritzung, zur Zündwin­ keleinstellung, zur Ladedruckeinstellung, etc., angesteuert werden.

Im bevorzugten Ausführungsbeispiel wird das Leistungsstelle­ lement 42 im Rahmen eines Lageregelkreises eingestellt. Ein derartiger Lageregler ist im Rechner 12 implementiert. Er gibt abhängig von einem zumindest auf der Basis der Fahrpe­ dalstellung gebildeten Stellungssollwertes unter Berücksich­ tigung des Stellungsistwertes des Leistungsstellelements (eines der über die Leitungen 20 und 22 zugeführten Stel­ lungssignale) nach Maßgabe einer vorgegebenen Reglerstruktur ein Ausgangssignal ab, welches das Stellelement im Sinne ei­ ner Annäherung des Istwertes an den Sollwert betätigt. Im bevorzugten Ausführungsbeispiel wird als Ansteuersignal ein pulsweitenmoduliertes Signal ausgegeben, welches zu einem mittleren Strom durch den Stellmotor des Leistungsstellele­ ments 42 führt. Zur Fehlererkennung werden Plausibili­ tätsüberprüfungen der redundanten Stellungssignale durchge­ führt. Dabei wird die Abweichung zwischen den beiden Stel­ lungssignalwerten auf einen vorgegebenen Toleranzbereich überprüft, wobei eine Unplausibilität festgestellt wird, wenn die Abweichung größer als die vorgegebene Toleranz ist. Darüber hinaus stehen die dem Fachmann geläufigen Mittel des signal-range-checks zur Verfügung.

Fällt z. B. die Signalleitung einer Meßeinrichtung für das Istsignal ab, so ist es möglich, daß der Lageregler ein scheinbar auf große Werte eingestelltes Leistungsstellele­ ment erkennt, da die Abweichung zwischen Sollwert und Ist­ wert groß ist. Das Stellelement wird also in Richtung klei­ nerer Stellungswerte betätigt, so daß das Stellelement schließlich gegen einen Anschlag gedrückt wird. Mechanische und elektrische Schäden können die Folge sein. Zwar wird die Unplausibilität erkannt, sie wird jedoch erst nach mehreren Messungen und/oder nach Ablauf einer bestimmten Zeit mit Un­ plausibilitätserkennung als Fehler angenommen, um Fehlauslö­ sungen aufgrund kurzer Störungen zu vermeiden. Innerhalb dieser Zeit, die in einem bevorzugten Ausführungsbeispiel 140 m/sek betragen kann, kann bereits ein Anfahren des me­ chanischen Anschlags erfolgt sein.

Um dieses unerwünschte Verhalten zu verbessern, ist vorgese­ hen, sofort nach Erkennen einer Unplausibilität in Bezug auf die genannten Meßsignale eine erste Fehlerreaktion einzulei­ ten. Diese besteht im bevorzugten Ausführungsbeispiel zurnin­ dest darin, daß der Lageregler zwar noch arbeitet, der Strom und/oder das Ansteuersignaltastverhältnis aber auf einen Wert begrenzt wird, bei dem das Stellelement nur noch eine begrenzte Stellgeschwindigkeit bzw. Beschleunigung erreicht. Damit wird einem Anfahren des Anschlags mit voller Wucht entgegengewirkt. Wird nach Ablauf einer bestimmten Zeit, beispielsweise 140 m/sek weiter die Unplausibilität erkannt, so wird von der ersten Fehlerreaktion auf eine zweite Feh­ lerreaktion übergegangen. Diese besteht im bevorzugten Aus­ führungsbeispiel in einer Umschaltung des Istwertes von der fehlerhaften Meßeinrichtung zur anderen (wenn Fehlerquelle eindeutig erkennbar) oder (in anderen Fällen) in einer Un­ terbrechung der Bestromung des Stellelements.

Allgemein wird durch die dargestellte Vorgehensweise nicht nur in Verbindung mit dem dargestellten Ausführungsbeispiel und in Verbindung mit der Istwerterfassung durchgeführt, sondern in allen den Steuersystemen, in denen die Steuerung eines Stellelements abhängig von einer Betriebsgröße statt­ findet, die mittels einer redundanten Erfassung und/oder mittels einer anderen, in eindeutigem Zusammenhang zu ihr stehenden Betriebsgröße überwacht wird. Die Ausgestaltung der Reaktionen auf eine Unplausibilität findet auch dann An­ wendung, wenn die Unplausibilität mit Hilfe eines signal­ range-check an einem Einzelsignal erkannt wurde.

Die Realisierung der dargestellten Vorgehensweise im bevor­ zugten Ausführungsbeispiel erfolgt mittels eines Rechnerpro­ gramms. Ein Beispiel für ein derartiges Rechnerprogramm ist als Flußdiagramm in Fig. 2 skizziert.

Das Programm wird zu vorgegebenen Zeitpunkten gestartet. Im ersten Schritt 100 wird die Meßgröße oder die Meßgrößen ein­ gelesen. Daraufhin wird im Schritt 101 eine Plausibili­ tätsüberprüfung der Meßgröße oder der Meßgrößen durchge­ führt. Die Plausibilitätsüberprüfung wird dabei entweder mit Hilfe eines Vergleichs der Abweichung zweier zueinander red- undanter Größen mit einem vorgegebenen Toleranzband oder durch Vergleich der zeitlichen Änderungen zweier Signale oder mit Hilfe eines signal-range-check einer einzelnen Meß­ größe durchgeführt. Im darauffolgenden Schritt 104 wird überprüft, ob die Plausibilitätsüberprüfung eine Unplausibi­ lität erbracht hat, d. h. ob die Abweichung zwischen den zwei Größen den Toleranzbereich überschreitet oder die zeitlichen Änderungen der Signale nicht miteinander korrelieren oder ob die Meßgröße aus ihrem Wertebereich ausgetreten ist. Ist dies der Fall, wird gemäß Schritt 106 eine erste Reaktion durchgeführt, die im bevorzugten Ausführungsbeispiel in ei­ ner Begrenzung der Stellgeschwindigkeit und/oder der Be­ schleunigung des Stellelements besteht. Daraufhin wird im Schritt 108 ein Zähler, der bei Inbetriebnahme rückgesetzt wird, inkrementiert. Dessen Zählerstand wird dann im Schritt 110 mit einem Maximalwert verglichen und auf diesen be­ grenzt. Ist der Maximalwert nicht erreicht, wird das Pro­ gramm beendet und zum nächsten Zeitpunkt erneut durchlaufen. Das Stellelement wird im Rahmen der ersten Reaktion betrie­ ben.

Ist der Maximalwert des Zählers erreicht, d. h. liegt die Un­ plausibilität im Schritt 104 für eine bestimmte Zeit vor, so wird gemäß Schritt 112 eine zweite Reaktion eingeleitet, die je nach Ausführung in einer Umschaltung des Istwertes des Lagereglers und/oder in einer Unterbrechung der Bestromung des Stellelements besteht. Nach Schritt 112 wird das Pro­ gramm beendet und zum nächsten Zeitpunkt erneut durchlaufen.

Wird im Schritt 104 keine Unplausibilität erkannt bzw. ist die Unplausibilität weggefallen, so wird gemäß Schritt 114 der Zähler dekrementiert. Daraufhin wird im Schritt 116 überprüft, ob der Zähler seinen Minimalwert erreicht hat. Auf diesen wird er dann ggf. begrenzt. Ist dies nicht der Fall, wird das Programm beendet und das Stellelement im Rah­ men der ersten oder der zweiten Reaktion (der aktuell akti­ ven) betrieben. Ist der Zählerstand auf seinem Minimalwert, so wird gemäß Schritt 118 das Stellelement im Rahmen des Normalbetriebs angesteuert. Nach Schritt 118 wird das Pro­ gramm beendet und zum nächsten Zeitpunkt durchlaufen.

In einem Ausführungsbeispiel besteht die erste Fehlerreakti­ on darin, daß das Ansteuersignal (pulsweitenmoduliertes Si­ gnal oder Strom durch den elektromotorischen Antrieb) des Stellelements unabhängig von der ersten oder zweiten Be­ triebsgröße auf einen vorgegebenen Wert eingestellt wird oder begrenzt wird, der schnelle Bewegungen des Stellele­ ments verhindert und im Idealfall zu einer Beharrung des Stellelements in seiner aktuellen Position führt.

Besteht die Reaktion in einer Umschaltung auf ein Ersatzsi­ gnal, so ist die Umschaltung je nach Ausführung reversibel oder irreversibel.

Bei Einleiten des zweiten Fehlerreaktionsbetrieb wird der erste wieder zurückgenommen.

Claims (10)

1. Verfahren zum Betreiben eines Stellelements in einem Fahrzeug, wobei das Stellelement (42) in Abhängigkeit we­ nigstens einer ersten Betriebsgröße betätigt wird, diese wenigstens eine Betriebsgröße zumindest redundant erfaßt wird oder wenigstens eine zweite, mit der ersten Be­ triebsgröße in eindeutigem Zusammenhang stehende Be­ triebsgröße erfaßt wird, wobei die erfaßten Betriebsgrö­ ßensignale im Rahmen einer Plausibilitätsprüfung mitein­ ander verglichen werden, wobei bei Unplausibilität das Stellelement im Rahmen einer Fehlerreaktionsbetrieb be­ trieben wird, dadurch gekennzeichnet, daß sofort nach er­ kannter Unplausibilität ein erster Fehlerreaktionsbetrieb eingeleitet wird und bei anhaltendem Auftreten der Un­ plausibilität ein zweiter Fehlerreaktionsbetrieb erfolgt.

2. Verfahren zum Betreiben eines Stellelements in einem Fahrzeug, welches in Abhängigkeit wenigstens einer ersten Betriebsgröße betätigt wird, wobei ein Fehlerzustand durch eine Plausibilitätsprüfung des wenigstens einen Be­ triebsgrößensignals erkannt wird und bei Unplausibilität das Stellelement im Rahmen einer Fehlerreaktionsbetrieb betrieben wird, dadurch gekennzeichnet, daß sofort nach Auftreten einer Unplausibilität ein erster Fehlerreakti­ onsbetrieb eingeleitet wird, bei welchem die Stellge­ schwindigkeit und/oder die Beschleunigung des Stellele­ ments begrenzt ist, und dann, bei anhaltender Unplausibi­ lität ein zweiter Fehlerreaktionsbetrieb eingeleitet wird, bei dem die Betätigung des Stellelements stillge­ legt wird oder ein Ersatzbetriebsgrößensignal zur Betäti­ gung herangezogen wird.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die erste Betriebsgröße die Stellung des Stellele­ ments (42) ist und die zweite Betriebsgröße eine direkt mit der Stellung zusammenhängende Betriebsgröße ist.

4. Verfahren nach einem der vorhergehenden Ansprüche, da­ durch gekennzeichnet, daß der erste Fehlerreaktionsbe­ trieb darin besteht, daß das Ansteuersignal des Stellele­ ments unabhängig von der ersten oder zweiten Betriebsgrö­ ße auf einen Wert eingestellt wird oder begrenzt wird, der schnelle Bewegungen des Stellelements verhindert und im Idealfall zu einer Beharrung des Stellelements in sei­ ner aktuellen Position führt.

5. Verfahren nach Anspruch 2, dadurch gekennzeichnet, daß die Umschaltung auf das Betriebsgrößenersatzsignal rever­ sibel oder irreversibel ist.

6. Verfahren nach einem der vorhergehenden Ansprüche, da­ durch gekennzeichnet, daß bei Einleiten des zweiten Feh­ lerreaktionsbetrieb der erste wieder zurückgenommen wird.

7. Verfahren nach einem der vorhergehenden Ansprüche, da­ durch gekennzeichnet, daß eine Unplausibilität bei unzu­ lässiger Abweichung der Signale oder wenn die zeitliche Änderung des ersten und des zweiten Signals nicht mitein­ ander korrelieren, erkannt wird.

8. Verfahren nach einem der vorhergehenden Ansprüche, da­ durch gekennzeichnet, daß das Stellelement im Rahmen ei­ nes Regelkreises, insbesondere eines Lageregelkreises, betätigt wird und die Betriebsgröße der Sollwert und/oder der Istwert des Regelkreises ist, vorzugsweise die Stel­ lung eines Leistungsstellelements und/oder eines Be­ dienelements.

9. Vorrichtung zum Betreiben eines Stellelements in einem Fahrzeug, mit einer elektronischen Steuereinheit (10), welcher wenigstens ein erstes und ein zweites Betriebs­ größensignal zugeführt wird, wobei die Betriebsgrößensi­ gnale einen eindeutigen Zusammenhang zueinander aufwei­ sen, die Steuereinheit einen Rechner aufweist, der ein Programm enthält, in dem in Abhängigkeit wenigstens einer der Betriebsgrößensignale ein Ansteuersignal für das Stellelement gebildet wird, in dem ferner die beiden Be­ triebsgrößensignale miteinander zur Fehlererkennung ver­ glichen werden, wobei bei Unplausibilität Fehlerreakti­ onsmittel das Stellelement im Rahmen einer Fehlerreakti­ onsbetrieb betreiben, dadurch gekennzeichnet, daß die Fehlerreaktionsmittel bei erkannter Unplausibilität so­ fort einen ersten Fehlerreaktionsbetrieb und bei anhal­ tendem Auftreten der Unplausibilität einen zweiten Feh­ lerreaktionsbetrieb einleiten.

10. Vorrichtung zum Betreiben eines Stellelements in einem Fahrzeug, mit einer elektronischen Steuereinheit (10), welcher wenigstens ein erstes Betriebsgrößensignal zuge­ führt wird, wobei die Steuereinheit einen Rechner umfaßt, in dem ein Programm sich befindet, welches ein Ansteuer­ signal in Abhängigkeit des ersten Betriebsgrößensignals bildet, wobei die Steuereinheit Fehlerreaktionsmittel um­ faßt, welche bei auftretender Unplausibilität des ersten Betriebsgrößensignals einen Fehlerreaktionsbetrieb für das Stellelement einleiten, dadurch gekennzeichnet, daß sofort bei Erkennen der Unplausibilität ein erster Feh­ lerreaktionsbetrieb eingeleitet wird, der darin besteht, daß die Stellgeschwindigkeit und/oder Beschleunigung des Stellelements begrenzt wird, und bei anhaltendem Auftre­ ten der Unplausibilität ein zweiter Fehlerreaktionsbe­ trieb eingeleitet wird, welcher in einer Betätigung des Stellelements auf der Basis eines Ersatzsignals oder in einem Abstellen der Betätigung des Stellelements beste­ hen.