DE3934723A1 - Verfahren und vorrichtung zum ueberpruefen der funktionsfaehigkeit von sensoren in einem fahrzeug - Google Patents

Description

Die Erfindung betrifft ein Verfahren und eine Vorrichtung zum Überprüfen der Funktionsfähigkeit unterschiedlicher Sensoren an einem Fahrzeug.

Stand der Technik

An Fahrzeugen werden zahlreiche Sensoren verwendet, um insbe­ sondere die Funktionsfähigkeit der Brennkraftmaschine zu über­ prüfen. So muß z. B. zum Festlegen von Zündzeitpunkt und Ein­ spritzmenge dauernd die Drehzahl überwacht werden. Fällt ein Sensor aus, stellt dies in der Regel ein Sicherheitsrisiko für den weiteren Betrieb des Fahrzeugs dar. Es ist daher dauernd die Funktionsfähigkeit der Sensoren zu überprüfen. Dies erfolgt insbesondere durch eine Plausibilitätsprüfung dahingehend, ob der Wert des empfangenen Signals im Vergleich mit dem Wert eines von einem anderen Sensor empfangenen Sig­ nals erwartet werden kann. Z. B. liegen in einem Fahrzeug verschiedene Signale vor, die direkt mit der Drehzahl gekop­ pelt sind. Zeigt ein erstes solches Signal eine hohe Drehzahl, ein zweites dagegen eine niedrige Drehzahl an, ist dies ein Zeichen dafür, daß einer der Sensoren, die die beiden Signale liefern, fehlerhaft arbeitet. Es wird dann ein Fehlersignal ausgegeben, das in der Regel dazu benutzt wird, einen Notlauf auszuführen. Verfahrensabläufe der vorstehenden Art sind z. B. in DE 31 45 732 A1 (US 8 15 308) beschrieben.

Aus DE 33 01 743 A1 (US 45 09 480) ist ein Verfahren bekannt, bei dem nicht eine Plausibilitätsprüfung zwischen zwei ana­ logen Signalen ausgeführt wird, wie vorstehend erwähnt, son­ dern bei dem ein analoges Signal mit einem digitalen Signal von einem Schalter verglichen wird. Das analoge Signal ist eine Spannung, wie sie von einem sogenannten Pedalwertgeber abgegeben wird, also einem Potentiometer, dessen Drehachse mit der Drehachse eines Fahrpedals gekoppelt ist. Das digitale Signal ist das Signal von einem ebenfalls mit der Fahrpedal­ achse gekoppelten Schalter, der dann schaltet, wenn das Fahr­ pedal eine Minimalstellung erreicht, was Leerlauf anzeigt. Ein solcher Schalter wird Leergasschalter genannt. Zeigt nun das Signal vom Leergasschalter Leerlauf an, während das Sig­ nal vom Pedalwertgeber einem Spannungswert entspricht, der deutlich vom Leerlauf-Spannungswert unterschieden ist, ist dies ein Zeichen dafür, daß entweder der Pedalwertgeber oder der Leergasschalter defekt ist. Es wird wiederum ein Fehler­ signal ausgegeben, das Notlaufbetrieb auslöst.

Entsprechende Schalter, die dann schalten, wenn Stellglieder eine Minimal- oder Maximalstellung einnehmen, werden an ver­ schiedenen Bauteilen verwendet, z. B. am Bremspedal, an der Drosselklappe oder der Regelstange einer Einspritzpumpe. Für alle Signale solcher Schalter können Plausibilitätsprüfungen in bezug auf andere Signale durchgeführt werden.

Es hat sich herausgestellt, daß bei Plausibilitätsprüfungen, in denen die Signale von Schaltern verwendet werden, verschie­ dentlich Fehlersignale abgegeben werden, dann aber festge­ stellt wird, daß doch alle Sensoren, deren Signale der Plau­ sibilitätsprüfung unterzogen wurden, ordnungsgemäß arbeiten.

Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren zum Überprüfen der Funktionsfähigkeit von Sensoren in einem Fahr­ zeug anzugeben, das auch dann sehr zuverlässig arbeitet, wenn einer der Sensoren, deren Signale einer Plausibilitätsprüfung unterzogen werden, um die Funktionsfähigkeit zu ermitteln, ein Schalter ist. Der Erfindung liegt weiter die Aufgabe zugrunde, eine Vorrichtung zum Ausführen eines solchen Ver­ fahrens anzugeben.

Die Erfindung ist für das Verfahren durch die Merkmale von Anspruch 1 und für die Vorrichtung durch die Merkmale von An­ spruch 4 gegeben. Vorteilhafte Weiterbildungen und Ausgestal­ tungen des Verfahrens sind Gegenstand der Unteransprüche 2 und 3. Eine Weiterbildung der erfindungsgemäßen Vorrichtung ist Gegenstand von Anspruch 5.

Das erfindungsgemäße Verfahren zeichnet sich dadurch aus, daß nach einem Schaltvorgang eines Schalters, dessen Signal einer Plausibilitätsprüfung unterzogen wird, das Ergebnis der Plau­ sibilitätsprüfung erst mit einer Zeitverzögerung nach dem Schaltvorgang berücksichtigt wird. Die Erfindung beruht auf der Erkenntnis, daß die bisher beobachtete verschiedentliche Unzuverlässigkeit von Plausibilitätsprüfungen mit den Signa­ len von Schaltern daher begründet sind, daß manche der Schal­ ter für eine kurze Zeit nach dem Schaltvorgang ein Schalter­ prellen zeigen. Schaltet z. B. ein Leergasschalter von der leerlaufanzeigenden Stellung in die nicht-leerlaufanzeigende Stellung, gibt er wegen des Prellens noch mehrfach kurz nach dem Auslösen des Schaltvorgangs das leerlaufanzeigende Signal aus. Wird nun durch einen Rechner gerade in dem Augenblick, in dem der Leergasschalter wieder auf das leerlaufanzeigende Signal zurückprellt, die Schalterstellung abgetastet, wird auf Unplausibilität erkannt, da sich der Schalter ja tatsäch­ lich bereits in Nicht-Leerlauf-Stellung befindet, was entspre­ chend vom Pedalwertgeber, mit dessen Signal verglichen wird, angezeigt wird. Wird nun mit der Plausibilitätsprüfung nach dem Erkennen eines Schaltvorgangs gewartet, bis eine Zeit ab­ gelaufen ist, die mindestens so lange ist, wie diejenige Zeit­ spanne, innerhalb der der Schalter prellt, können die bisher immer wieder aufgetretenen fehlerhaften Ergebnisse bei der Plausibilitätsprüfung vermieden werden.

Von besonderem Vorteil ist es, wenn die Wartezeit, mit deren Ablauf erst der Plausibilitätsprüfung vertraut werden darf, dadurch realisiert wird, daß die Plausiblitätsprüfung ständig wiederholt wird und dabei ein Zählwert verändert wird. Mit jedem plausiblen Ergebnis wird der Zählwert auf einen Aus­ gangs-Zählwert gesetzt. Ergibt das Ergebnis der Plausibili­ tätsprüfung dagegen Unplausibilität, wird der Zählwert in einer vorgegebenen Richtung verändert, z. B. verringert. Er­ reicht er einen Fehler-Zählwert, z. B. den Wert Null, ist dies das Zeichen dafür, daß der Plausibilitätsprüfung, die Unplausibilität anzeigt, vertraut werden darf. Es wird dann das Fehlersignal ausgegeben. Der Ausgangs- und der Fehler- Zählwert und die Schrittweite beim Zählen sind so gesetzt, daß vom Zählen vom einen Wert zum anderen mit Sicherheit eine größere Zeitspanne vergeht, als sie der Prellzeitspanne ent­ spricht.

Die erfindungsgemäße Vorrichtung weist ein übliches Prüfmit­ tel zum Überprüfen auf Plausibilität und darüber hinaus ein Zeitbedingungsmittel auf, das überprüft, ob mit Erfülltsein einer Zeitbedingung noch Unplausibilität vorliegt. Vorzugs­ weise verfügt die Vorrichtung über ein Zählmittel zum Aus­ führen des vorstehend genannten Zählverfahrens.

Es wird angemerkt, daß aus DE 34 23 404 A1 bereits ein Selbst­ überwachungssystem mit Verzögerungsschaltung bekannt ist. Mit dem Ende des Motoranlassens wird eine vorbestimmte Wartezeit gestartet, die so bemessen ist, daß sich die Batteriespannung auf einen Normalpegel erholen kann, bis die Wartezeit abge­ laufen ist. Erst dann werden Selbstüberwachungsvorgänge aus­ geführt. Ein solches Zeitverzögerungsverfahren hat aber mit der Zeitverzögerung beim erfindungsgemäßen Verfahren zum Überprüfen der Funktionsfähigkeit von Sensoren an einem Fahr­ zeug nichts zu tun. Die beiden Verfahren können aber gemein­ sam angewandt werden, d. h. mit dem Ausführen des erfindungs­ gemäßen Verfahrens wird nicht begonnen, bevor nicht sicherge­ stellt ist, daß sich die Batteriespannung nach dem Anlassen des Fahrzeugmotors auf einen Normalpegel erholt hat.

Zeichnung

Die Erfindung wird im folgenden anhand von durch Figuren ver­ anschaulichten Ausführungsbeispielen näher erläutert. Es zei­ gen:

Fig. 1A und B zeitkorrelierte Diagramme für die Signale von einem Pedalwertgeber bzw. einem Leergasschalter, zum Erläutern eines Plausibilitätsverfahrens mit Zeitbedingung;

Fig. 2 ein schematisches Schaltbild einer Vorrichtung zur Plausibilitätsprüfung, mit Sensoren, deren Signale der Prüfung unterzogen werden;

Fig. 3 ein Flußdiagramm eines Verfahrens zur Plausibili­ tätsprüfung, bei dem als Zeitbedingung der Ablauf einer Wartezeit gilt;

Fig. 4 ein Flußdiagramm eines Verfahrens zur Plausibili­ tätsprüfung, bei dem als erfüllte Zeitbedingung das Erreichen eines Fehler-Zählwertes gilt.

Beschreibung von Ausführungsbeispielen

Im Diagramm gemäß Fig. 1A ist davon ausgegangen, daß das Fahrpedal von seiner Ruhelage aus mit gleichförmiger Ge­ schwindigkeit verstellt wird, daß also der Verstellwinkel von Null ausgehend gleichförmig erhöht wird. Bei Verwendung eines Potentiometers als Pedalwertgeber, dessen Spannung sich linear mit Vergrößerung des Pedalverstellwinkels α erhöht, ergibt sich der in Fig. 1A dargestellt lineare Zusammenhang zwischen Ausgangsspannung U vom Pedalwertgeber PG über der Zeit t bzw. dem Verstellwinkel α.

In Fig. 1B ist das mit dem Ablauf von Fig. 1A zeitsynchrone logische Signal von einem Leergasschalter LGS dargestellt. Im Leerlauffall LL gibt der Schalter hohen Pegel "1" aus, während er im Nicht-Leerlauffall niederen Pegel "0" aus­ gibt. Das Umschalten vom einen Bereich auf den anderen findet bei einem relativ niedrigen Fahrpedalwinkel statt. Dieser Winkel kann aufgrund von Hystereseeffekten in geringen Gren­ zen zwischen einem Winkel α1 und einem Winkel α2 schwanken, die in Fig. 1A eingezeichnet sind. Zum unteren Winkel α1 ge­ hört eine untere Spannung U1 vom Pedalwertgeber, während zum oberen Winkel α2 des Hysteresebereichs eine obere Spannung U2 gehört.

Liegt die Spannung U vom Pedalwertgeber unterhalb der unteren Spannung U1, gibt der Leergasschalter jedoch das Signal aus, oder liegt die Spannung vom Pedalwertgeber oberhalb der oberen Spannung U2, gibt aber der Leergasschalter das Sig­ nal LL aus, ist dies beide Male ein Zeichen dafür, daß einer der beiden Sensoren nicht ordnungsgemäß arbeitet. Liegt die Spannung zwischen der unteren Spannung U1 und der oberen Span­ nung U2, sind aufgrund der Hysterese beide Signale vom Leer­ gasschalter zulässig, so daß in diesem Bereich keine Plausi­ bilitätsprüfung durchgeführt werden kann.

In Fig. 1B ist im Detail dargestellt, daß das Signal vom Leergasschalter beim Umschalten vom Leerlaufzustand in den Nicht-Leerlaufzustand nicht in einfacher Weise von LL nach springt, sondern daß innerhalb einer Zeitspanne t nach dem Auslösen des Schaltens mehrfach der hohe Pegel LL wieder er­ reicht wird. Es sei nun angenommen, daß das Signal vom Leer­ gasschalter LGS wiederholt von einem Rechner abgetastet wird. Die Abtastzeitpunkte sind in Fig. 1B eingezeichnet und zuge­ hörige Meßtakte sind mit n bis n + 3 bezeichnet. Der Meßtakt n ist der letzte vor dem Umschalten vom Leerlaufzustand auf den Nicht-Leerlaufzustand. Kurz nach diesem Meßtakt fällt das Signal vom Leergasschalter LGS vom hohen Pegel LL auf den niedrigen Pegel , um dann wegen Schalterprellens wieder auf den hohen Pegel zu steigen und von dort wiederum auf den nied­ rigen Pegel zu fallen. Dieser niedrige Pegel liege gerade beim nächsten Meßtakt n + 1 vor. In Übereinstimmung mit dem nicht-leerlaufanzeigenden Signal vom Leergasschalter wird bei diesem Meßtakt festgestellt, daß die Spannung U vom Pedal­ wertgeber PWG oberhalb der oberen Spannung U2 liegt. Die Sig­ nale der beiden Sensoren sind somit plausibel zueinander.

Nach dem Meßtakt n + 1 wiederholt sich das Ansteigen auf den hohen Pegel LL und das Abfallen auf den niedrigen Pegel noch dreimal. In Fig. 1B ist davon ausgegangen, daß der näch­ ste Meßtakt n + 2 gerade dann auftritt, wenn das Signal vom prellenden Leergasschalter das letzte Mal den hohen Pegel LL erreicht. Dies zeigt Leerlauf an, während der Pedalwertgeber zugleich eine Spannung abgibt, die oberhalb der oberen Span­ nung U2 liegt. Die beiden Signale sind demgemäß nicht plausi­ bel zueinander. Bei bekannten Verfahren zum Überprüfen der Funktionsfähigkeit von Sensoren wurde dementsprechend ein Fehlersignal ausgegeben, und es wurde Notlaufbetrieb einge­ führt. Bei einem Verfahren, wie es weiter unten anhand der Fig. 3 und 4 beispielshaft erläutert wird, ist eine derartige durch Schalterprellen bedingte Fehldiagnose ausgeschlossen. Dies dadurch, daß noch das Erfülltsein einer Zeitbedingung überprüft wird.

Bevor die Verfahren gemäß den Fig. 3 und 4 näher erläutert werden, sei noch die Vorrichtungsdarstellung gemäß Fig. 2 kurz erläutert. Die Vorrichtung verfügt über einen üblichen Mikrocomputer 10 mit einem A/D-Wandler 11 und einem logischen Meßeingang 12. Dem A/D-Wandler 11 wird das Signal von einem Pedalwertgeber PWG 13 zugeführt, während der logische Meß­ eingang 12 das Signal von einem Leergasschalter LGS 14 erhält. Die beiden Sensoren, also der Pedalwertgeber 13 und der Leer­ gasschalter 14 werden mit einer Versorgungsspannung VS von z. B. + 5 V versorgt. Für das unten anhand von Fig. 4 erläu­ terte Verfahren ist von Bedeutung, daß der Mikrocomputer 10 noch ein Zählwertregister 15 enthält.

Das Prüfprogramm gemäß Fig. 3 wird von einem Hauptprogramm aus aufgerufen. In einem ersten Schritt s1 wird die Spannung vom Pedalwertgeber PWG ermittelt. In einem Schritt s2 wird überprüft, ob die Spannung den Bereich gewechselt hat, also von <U1 nach <U2 oder umgekehrt. Gemäß dem Beispiel von Fig. 1b wird zu den Meßtakten n und n+4 in Schritt s2 kein Bereichs­ wechsel festgestellt, während für die Meßtakte n + 1 und n + 3 jeweils ein Bereichswechsel ermittelt wird. Auf einen fest­ gestellten Bereichswechsel hin wird in einem Schritt s3 eine Wartezeit t in Form eines Zählwertes gesetzt. Diese Warte­ zeit ist länger als die längste beobachtete Schalterprell­ zeit t. Nach dem Schritt s3 wird zum Hauptprogramm zurück­ gekehrt. Ist dieses wieder so weit durchlaufen, daß erneut das Prüfprogramm mit dem Schritt s1 und den Folgeschritten erreicht wird, wird bei den Meßtakten n+2 und n + 3 jeweils die die Wartezeit t neu gesetzt. Erst im Meßtakt n + 4 wird festgestellt, daß sich der vom Pedalwertgeber PWG angezeigte Bereich nicht geändert hat. Es wird daraufhin in einem Schritt s3 der Zeitzählwert um einen vorgegebenen Wert erniedrigt und in einem Schritt s4 wird überprüft, ob die Warte­ zeit abgelaufen ist. Dies ist beim Beispiel noch nicht der Fall, weswegen wiederum zum Hauptprogramm zurückgekehrt wird. Wird beim näch­ sten Durchlauf des Prüfprogramms, also beim Meßtakt n + 5, wieder der Schritt s4 erreicht, ist die Wartezeit t′ immer noch nicht abgelaufen, weswegen wieder in das Hauptprogramm übergegangen wird. Erst beim Meßtakt n + 6 ist die Wartezeit t′ abgelaufen, woraufhin sich an den Untersuchungsschritt s4 nun ein Schritt s5 anschließt, in dem die Stellung des Leergasschal­ ters LGS ermittelt wird. In einem Schritt s6 wird die oben anhand der Fig. 1A und 1B erläuterte Plausibilitätsprüfung ausgeführt. Ergibt sich in einem Auswertungsschritt s7, daß die Signale nicht unplausibel zueinander sind, wird wieder das Hauptprogramm erreicht. Ergibt sich dagegen Unplausibili­ tät, entspricht diese Feststellung einem Fehlersignal, das dafür sorgt, daß in einem Schritt s8 eine Fehleranzeige er­ folgt, und eine Notlaufmaßnahme ergriffen wird. Danach wird auch in diesem Fall das Hauptprogramm erreicht. Wie die Not­ laufmaßnahme beschaffen ist, hängt vom Einzelfall ab. Im Fall mit den wenigsten Auswirkungen besteht sie darin, daß auf re­ dundante Signale umgeschaltet wird und lediglich durch die Fehleranzeige die Aufforderung besteht, den aufgetretenen Mangel zu beheben. In anderen Fällen werden irgendwelche Be­ grenzungsmaßnahmen ergriffen, z. B. wird die Drehzahl be­ grenzt, wenn diese noch meßbar ist, oder die Kraftstoffmenge wird begrenzt. In besonders kritischen Fällen, z. B. wenn ordnungsgemäßer Betrieb der Brennkraftmaschine oder der Brems­ anlage nicht mehr gewährleistet werden kann, wird das Fahrzeug durch das Fehlersignal außer Kraft gesetzt.

Das Verfahren gemäß Fig. 3 wendet unmittelbar die Erkenntnis an, daß es zweckmäßig ist, nach dem Feststellen einer Stel­ lungsänderung des Leergasschalters zunächst den Ablauf einer Wartezeit abzuwarten, bevor dem Ergebnis der Plausibilitäts­ prüfung vertraut wird. Auch das im folgenden beschriebene Verfahren gemäß Fig. 4 nutzt den Ablauf einer Wartezeit, je­ doch in einer indirekten Weise, die zu einem geringeren Re­ chenaufwand führt, als er beim Verfahren gemäß Fig. 3 erfor­ derlich ist.

Wiederum wird aus dem Hauptprogramm das Prüfprogramm mit einem ersten Schritt s4.1 erreicht. In diesem wird die Stel­ lung des Leergasschalters LGS und die Spannung vom Pedalwert­ geber PWG ermittelt. In einem sich anschließenden Schritt s4.2 wird die bereits mehrfach erwähnte Plausibilitätsprüfung durchgeführt. In einem Schritt s4.3 wird überprüft, ob Un­ plausibilität vorliegt. Ist dies nicht der Fall, wird in einem Schritt s4.4 der Zählwert Z eines Zählers auf einen Ausgangs-Zählwert A gesetzt, im Beispielsfall auf den Wert "4". Dann wird das Hauptprogramm fortgesetzt. Ergibt sich im Schritt s4.3 dagegen Unplausibilität, wird ein Schritt s4.5 erreicht, in dem überprüft wird, ob der Zählwert Z den Wert "0" erreicht hat. Ist dies nicht der Fall, wird in einem Schritt s4.6 der Zählwert Z um "1" erniedrigt. Es folgt das Hauptprogramm. Ergibt sich dagegen im Schritt s4.5, daß der Zähler bis auf den Zählwert "0" als Fehler-Zählwert herunter­ gezählt hat, entspricht diese Feststellung der Ausgabe eines Fehlersignals, das in einem Schritt s4.7 zu einer Fehleran­ zeige und Notlaufmaßnahmen führt. Auch dann folgt wieder das Hauptprogramm.

Das Verfahren gemäß Fig. 4 ist einfacher ausführbar als das gemäß Fig. 3, da es nicht erforderlich ist, eine Prüfung auf Änderung der Stellung des Leergasschalters auszuführen.

Der Ausgangs-Zählwert A, die Schrittweite beim Zählen und der Fehler-Zählwert werden so gesetzt, daß zusammen mit der Zeit­ spanne, die zwischen zwei Durchläufen des Prüfprogramms ver­ geht, gewährleistet ist, daß nur dann ein Fehlersignal ausge­ geben wird, wenn mehr Unplausibilitätszustände auftreten, als sie innerhalb einer Schalterprellzeit festgestellt werden können.

Für die Ausführungsbeispiele wurden die Signale von einem Leergasschalter und einem Pedalwertgeber herangezogen, da für diese Signale eine zuverlässige Plausibilitätsprüfung aus Sicherheitsgründen von besonderer Bedeutung ist. Wird bei den Signalen von diesen Sensoren Unplausibilität festgestellt, sind immer einschneidende Notlaufmaßnahmen erforderlich. Man ist also bestrebt, unnötige Fehlersignale zu vermeiden. An­ dererseits ist es von größter Wichtigkeit, tatsächlich auf­ tretende Fehler so schnell wie möglich sicher zu erkennen. Dafür ist das erfindungsgemäße Verfahren von besonderem Vor­ teil. Es läßt sich aber auf alle Verfahren zum Überprüfen der Funktionsfähigkeit von Sensoren anwenden, bei denen einer der Sensoren ein Schalter ist. Als Schalter wird hierbei jeder Sensor verstanden, dessen Signalpegel sich sprunghaft beim Überschreiten eines festgelegten Wertes der zu messenden Größe ändert.

Bei den Ausführungsbeispielen wurde davon ausgegangen, daß das Ausgeben des Fehlersignales zu einer Fehleranzeige und zum Ergreifen von Notlaufmaßnahmen führt. Je nach Anwendungs­ fall kann aber auf eine der beiden Maßnahmen verzichtet wer­ den.

Im Ausführungsbeispiel wurde davon ausgegangen, daß von den beiden Sensoren, deren beide Signale auf Plausibilität ge­ prüft werden, nur einer ein Schalter ist. Es können jedoch auch beide Sensoren Schalter sein.

Der Mikrocomputer 10 gemäß Fig. 2 ist zugleich Prüfmittel zum Ausführen der Plausibilitätsprüfung, wie auch Zeitbedin­ gungsmittel zum Überprüfen des Erfülltseins der genannten Zeitbedingung, werde diese nun mit dem Verfahren gemäß Fig. 3 oder dem gemäß Fig. 4 oder einem anderen Verfahren überprüft.

Claims (7)

1. Verfahren zum Überprüfen der Funktionsfähigkeit unter­ schiedlicher Sensoren an einem Fahrzeug, von denen mindestens einer ein Schalter ist, mit folgenden Schritten:

• - Ausführen einer Plausibilitätsprüfung, in der untersucht wird, ob ein Schaltersignal gegenüber anderen Sensorsigna­ len plausibel ist, und
• - Ausgeben eines Fehlersignales dann, wenn die Überprüfung ergibt, daß die der Plausibilitätsprüfung unterzogenen Sig­ nale zueinander unplausibel sind,

dadurch gekennzeichnet, daß

• - das Fehlersignal dann ausgegeben wird, wenn mit Erfüllt­ sein einer Zeitbedingung nach einem Schaltvorgang eines Schalters, dessen Signal einer Plausibilitätsprüfung unter­ zogen wird, diese Prüfung Unplausibilität ergibt.

2. Verfahren nach Anspruch 1, dadurch gekennzeich­ net, daß

• - mit jedem festgestellten Schalten eines genannten Schalters eine Wartezeit gesetzt wird,
• - mit Ablauf der Wartezeit die Plausibilitätsprüfung ausge­ führt wird, und
• - das Fehlersignal ausgegeben wird, wenn diese Plausibilitäts­ prüfung Unplausibilität ergibt.

3. Verfahren nach Anspruch 1, dadurch gekennzeich­ net, daß

• - die Plausibilitätsprüfung wiederholt durchgeführt wird, ein Zählwert um einen vorgegebenen Wert in einer vorgege­ benen Richtung verändert wird, wenn sich bei der Plausibi­ litätsprüfung Unplausibilität ergibt,
• - dagegen der Zählwert auf einen Ausgangs-Zählwert gesetzt wird, wenn sich bei der Plausibilitätsprüfung Plausibili­ tät ergibt, und
• - das Fehlersignal ausgegeben wird, wenn der Zählwert einen vorgegebenen Fehler-Zählwert erreicht.

4. Vorrichtung zum Überprüfen der Funktionsfähigkeit von un­ terschiedlichen Sensoren an einem Fahrzeug, von denen min­ destens einer ein Schalter ist, mit

• - einem Prüfmittel (10) zum Prüfen, ob das Schaltersignal gegenüber anderen Sensorsignalen plausibel ist,

gekennzeichnet durch

• - ein Zeitbedingungsmittel (10, 15), das das Erfülltsein einer Zeitbedingung prüft und dann ein Fehlersignal aus­ gibt, wenn mit Erfülltsein der Zeitbedingung nach einem Schaltvorgang eines Schalters, dessen Signal einer Plausi­ bilitätsprüfung unterzogen wird, diese Prüfung Unplausibi­ lität ergibt.

5. Vorrichtung nach Anspruch 4, dadurch gekenn­ zeichnet, daß das Zeitbedingungsmittel ein Zählmit­ tel (15) aufweist, das wie folgt betrieben wird, um bei Er­ reichen eines Fehler-Zählwertes das Fehlersignal auszugeben:

• - Verändern des Zählwertes um einen vorgegebenen Wert in einer vorgegebenen Richtung, wenn sich bei der Plausibili­ tätsprüfung Unplausibilität ergibt,
• - dagegen Setzen des Zählwertes auf einen Ausgangs-Zählwert, wenn sich bei der Plausibilitätsprüfung Plausibilität er­ gibt.