DE4015960A1 - Verfahren zum moeglichst sicheren betreiben eines kraftfahrzeugs - Google Patents

Description

Die Erfindung betrifft ein Verfahren zum möglichst sicheren Betreiben eines Kraftfahrzeugs, das bei seinem Betrieb die Signale von Sensoren nutzt, wobei die Funktionsfähigkeit mindestens eines der Sensoren wiederholt überprüft wird und dann, wenn ein Ausfall des überprüften Sensors festgestellt wird, eine Ersatz/Notlauf-Funktion gestartet wird und so lange beibehalten wird, bis sich wieder Funktionsfähigkeit des Sensors ergibt.

Stand der Technik

Stellvertretend für die Vielzahl von Sensoren, deren Signale in Verfahren der obengenannten Gattung verwendet werden, seien Fahrgeschwindigkeitgeber, Drehzahlmesser und Leerlaufkontakte genannt. Diesen Sensoren ist, wie auch vielen weiteren, gemeinsam, daß sie dann ein Grundsignal ausgeben, wenn die Größe, die sie messen, einen Grundwert einnimmt, wobei das Grundsignal identisch mit dem Signal bei ausgefallenem Sensor ist. Dies sei nun veranschaulicht. Ist ein Fahrgeschwindigkeitgeber ausgefallen, gibt er keine Impulse ab; dasselbe gilt, wenn zwar der Geber intakt ist, jedoch das Kraftfahrzeug, dessen Geschwindigkeit gemessen werden soll, steht. Von einem Drehzahlgeber fallen dann keine Impulse an, wenn er entweder defekt ist oder der Motor, dessen Drehzahl zu messen ist, steht oder sich in der Startphase oder kurz nach dem Abschalten befindet. Ein Leerlaufkontakt ist entweder dann geschlossen, wenn im Leerlauffall ein Anschlag auf einen Betätigungsstößel drückt oder wenn zwar der Anschlag nicht drückt, aber der Stößel hängt.

Bei herkömmlichen Verfahren wird, sobald erkannt ist, daß ein Sensor nicht funktionsfähig ist, eine Ersatz- oder eine Notlauffunktion gestartet. Z. B. wird dann, wenn der Drehzahlgeber ausfällt, das Drehzahlsignal vom Signal eines Spritzbeginngebers abgeleitet. Hier handelt es sich um eine Ersatzfunktion. Ist dageben der Fahrgeschwindigkeitgeber ausgefallen, wird in der Regel die Drehzahl des Motors begrenzt; hier handelt es sich um eine Notlauffunktion.

Wenn die überprüfte Größe ihren Grundwert einnimmt, ist es bei den meisten Sensoren nicht möglich, sicher zu entscheiden, ob sie funktionsfähig sind oder nicht. Daher werden Ersatz/ Notlauf-Funktionen erst gestartet, wenn sich durch Plausibilitäts­ vergleiche des Signals vom überprüften Sensor mit Signalen von anderen Sensoren ergibt, daß der überprüfte Sensor fehlerhaft arbeitet.

Man hat sich bemüht, die genannten Plausibilitätsüberprüfungen so auszugestalten, daß möglichst schnell entschieden werden kann, ob ein Sensor noch funktionsfähig ist oder nicht, um möglichst schnell Ersatz/Notlauf-Funktionen auslösen zu können.

Vorteile der Erfindung

Das erfindungsgemäße Verfahren hat den Vorteil, daß es bei Sensoren der obengenannten Art, die ein Grundsignal ausgeben, besonders schnell auf Ersatz/Notlauf-Funktionen schaltet. Dies erfolgt dadurch, daß eine erste Ersatz/Notlauf-Funktion grundsätzlich gestartet wird, sobald der Sensor das Grundsignal ausgibt. Es wird also gar nicht die obengenannte Plausibilitätsüberprüfung ausgeführt, um mit Sicherheit zu erkennen, ob der Sensor funktionsfähig ist oder nicht. Vielmehr wird erst dann, wenn die Ersatz/Notlauf-Funktion bereits gestartet ist, überprüft, ob der Sensor funktionsfähig ist. Wird Funktionsfähigkeit festgestellt, wird, wie bei den bekannten Verfahren, die ergriffene Ersatz/Notlauf-Funktion rückgängig gemacht. Wird dagegen Funktionsunfähigkeit mit Sicherheit festgestellt, werden Maßnahmen ergriffen, wie sie für diesen Fall aus dem Stand der Technik ebenfalls bekannt sind, z. B. wird der Fehler angezeigt und abgespeichert.

Die ergriffene erste Ersatz/Notlauf-Funktion kann zugleich die einzige solche Funktion sein, die ergriffen wird, wenn Funktionsunfähigkeit des überprüften Sensors vermutet wird oder mit Sicherheit festgestellt ist. Es ist jedoch auch möglich, die erste Ersatz/Notlauf-Funktion, die bereits ausgeführt wird, wenn Funktionsunfähigkeit nur vermutet wird, so auszugestalten, daß sie sich auf den Betrieb des Fahrzeugs nicht auswirkt, wenn die zu messende Größe ihren Grundwert einnimmt. Wird später mit Sicherheit Funktionsunfähigkeit des überprüften Sensors festgestellt, wird auf eine zweite Ersatz/ Notlauf-Funktion umgeschaltet, die stärkere Betriebseinschränkungen aufweist als die erste Ersatz/Notlauf-Funktion. Steht z. B. ein Fahrzeug, gibt der Fahrgeschwindigkeitgeber keine Impulse ab. Dennoch wird eine erste Ersatz/Notlauf- Funktion gestartet, die jedoch noch ein Hochbeschleunigen des Fahrzeugs dadurch zuläßt, daß für eine gewisse Zeitspanne die für die Zeit nach Ablauf der Zeitspanne festgelegten Werte für Maximaldrehzahl und/oder maximale Kraftstoffmenge vorübergehend überschritten werden dürfen. Stellt sich während dieses Beschleunigungsvorganges heraus, daß der Fahrgeschwindigkeitgeber doch funktioniert, wird die erste Ersatz/Notlauf- Funktion aufgehoben. Ergibt sich dagegen Funktionsunfähigkeit mit Sicherheit, wird eine zweite Ersatz/Notlauf-Funktion ergriffen, in der die genannten Maximalwerte nicht mehr oder nur sehr kurzzeitig, z. B. für Schaltvorgänge, überschritten werden dürfen.

Die Ansprüche 4-8 geben Beispiele dafür, wie Funktionsunfähigkeit eines Fahrgeschwindigkeitgebers mit Sicherheit festgestellt werden kann. Diese Verfahren können in Zusammenhang mit dem Verfahren gemäß Anspruch 1 ausgeführt werden, jedoch auch in Zusammenhang mit herkömmlichen Verfahren zum möglichst sicheren Betreiben eines Kraftfahrzeugs. Gemäß Anspruch 4 haben diese Verfahren das Vorgehen gemeinsam, daß der Lastzustand des Motors ermittelt wird, der das Kraftfahrzeug antreibt, und auf fehlende Funktionsfähigkeit des Fahrgeschwindigkeitgebers geschlossen wird, wenn der ermittelte Lastwert höher ist, als er bei Nullast maximal möglich ist. Nullast bedeutet, daß der Motor weder das Kraftfahrzeug selbst anzutreiben hat, noch irgendein Nebenantrieb angeschlossen ist.

Anspruch 9 ist ein vorteilhaftes Beispiel dafür, wie Funktionsunfähigkeit eines Drehzahlgebers mit Sicherheit festgestellt werden kann. Das Verfahren gemäß Anspruch 9 kann in Zusammenhang mit dem Verfahren gemäß Anspruch 1 ausgeführt werden, jedoch auch in Zusammenhang mit herkömmlichen Verfahren zum möglichst sicheren Betreiben eines Kraftfahrzeugs oder in Zusammenhang mit dem Verfahren gemäß Anspruch 4.

Zeichnung

Fig. 1 Flußdiagramm zum Erläutern eines Verfahrens zum möglichst sicheren Betreiben eines Kraftfahrzeugs;

Fig. 2 Flußdiagramm betreffend eine Ausgestaltung des allgemeinen Verfahrens gem. Fig. 1, angewendet auf ein Verfahren, bei dem das Signal von einem Fahrgeschwindigkeitgeber überprüft wird;

Fig. 3-5 Flußdiagramme zum Erläutern von Varianten des Verfahrens gem. Fig. 2 zwischen den dort eingezeichneten Markierungen UA und UE; und

Fig. 6 Flußdiagramm betreffend eine Ausgestaltung des allgemeinen Verfahrens gem. Fig. 1, angewandt auf ein Verfahren, bei dem das Signal von einem Drehzahlgeber überprüft wird.

Beschreibung von Ausführungsbeispielen

Beim Prüfprogramm gemäß Fig. 1 ist davon ausgegangen, daß es aus einem Hauptprogramm aufgerufen wird und nach seiner Abarbeitung das Hauptprogramm fortgesetzt wird. Das eigentliche Prüfprogramm liegt zwischen einer Anfangsmarke A und einer Endmarke E.

In einem ersten Schritt s1.1 wird das Signal vom überprüften Sensor gemessen. Es handelt sich um irgendeinen Sensor, der ein Grundsignal ausgibt, wenn die Größe, die er mißt, einen Grundwert einnimmt, also z. B. um einen Drehzahlsensor, der dann, wenn sich der Motor, an dem er montiert ist, nicht dreht. In einem Schritt s1.2 wird überprüft, ob das Grundsignal ausgegeben wird. Ist dies nicht der Fall, wird in einem Schritt s1.3 untersucht, ob das Signal über einem maximal möglichen Wert liegt, also z. B. über einer Impulszahl für die maximal mögliche Drehzahl. Ist auch dies nicht der Fall, liegt das Signal also zwischen dem Grundsignal und dem Maximalsignal, ist dies das Zeichen dafür, daß der Sensor funktionsfähig ist. Das Verfahren geht dann über einen Schritt s1.4 zur Endmarke E über. Im Schritt s1.4 werden Ersatz/Notlauf- Funktionen rückgesetzt, wie sie beim Durchlaufen anderer Schritte, wie sie im folgenden erläutert werden, eventuell gesetzt wurden. Es wird darauf hingewiesen, daß sich die Erfindung nur mit der Feststellung von Funktionsfähigkeit eines Sensors beschäftigt. Bei vorhandener Funktionsfähigkeit kann dennoch ein Meßfehler vorliegen, d. h. das Sensorsignal liegt zwar zwischen dem Grundsignal und dem Maximalsignal, aber der Meßwert ist falsch. Ein falscher Meßwert kann z. B. durch Plausibilitätsvergleich mit anderen Größen festgestellt werden. Es würden sich dann an den Schritt s1.4 weitere Schritte anschließen, was hier jedoch nicht interessiert.

Stellt sich im Überprüfungsschritt s1.2 heraus, daß das Grundsignal vorliegt, ist dies zwar noch kein sicheres Zeichen dafür, daß der überprüfte Sensor defekt ist, jedoch wird in einem dann folgenden Schritt s1.5 grundsätzlich eine erste Ersatz/Notlauf-Funktion ergriffen. Es schließt sich ein Unterprogrammschritt s1.6 an, in dem eine Fehleruntersuchung ausgeführt wird. Ergibt sich in einem Schritt s1.7 eine eindeutige Fehleraussage aufgrund der Fehleruntersuchung, wird zu einem Schritt s1.8 übergegangen, in dem eine zweite Ersatz/ Notlauf-Funktion gestartet wird. Über einen Schritt s1.9 erreicht das Verfahren die Endmarke E. Im Schritt s1.9 erfolgt Anzeige und Speicherung des Fehlers.

Wird im Schritt s1.7 festgestellt, daß eine eindeutige Fehleraussage nicht möglich ist, wird anschließend ebenfalls die Endmarke E erreicht.

Ergibt sich in Schritt s1.3, daß das Maximalsignal überschritten ist, folgt die bereits genannte Schrittfolge s1.8 und s1.9.

Wenn sich die zweite Ersatz/Notlauf-Funktion nicht von der ersten unterscheidet, kann sich beim Feststellen eines eindeutigen Fehlers an den Schritt s1.7 unmittelbar der Schritt s1.9 der Fehleranzeige und Fehlerspeicherung anschließen. Nur auf den Schritt s1.3 folgt dann der Schritt s1.8, da in diesem Fall nicht bereits zuvor eine Ersatz/Notlauf-Funktion gestartet wurde.

Das anhand von Fig. 1 allgemein beschriebene Verfahren wird nun anhand von Fig. 2 durch ein Beispiel veranschaulicht, gemäß dem der auf Funktionsfähigkeit überprüfte Sensor ein Fahrgeschwindigkeitgeber ist.

In einem Schritt s2.1 nach der Anfangsmarke A wird in einem Schritt s2.2 gemessen, ob der Innenwiderstand des Gebers in Ordnung ist. Ist dies nicht der Fall, wird in einem Schritt s2.3 eine Notlauffunktion eingestellt, gemäß der Drehzahl und/ oder Kraftstoffmenge für den Motor begrenzt werden, der das Kraftfahrzeug antreibt, an dem der überprüfte Fahrgeschwindigkeitgeber montiert ist. In einem Schritt s2.4 wird für Fehleranzeige und Fehlerspeicherung gesorgt. Dann wird die Endmarke E erreicht.

Ergibt sich im Schritt s2.2, daß der Innenwiderstand in Ordnung ist, wird in einem Schritt s2.5 überprüft, ob die vom Fahrgeschwindigkeitgeber durch eine entsprechende Anzahl von Impulsen angezeigte Geschwindigkeit unter einer Maximalgeschwindigkeit liegt. Ist dies nicht der Fall, ist also die Maximalgeschwindigkeit überschritten, schließen sich die bereits erläuterten Schritte s2.3 und s2.4 bis zur Endmarke E an.

Liegt dagegen die in Schritt s2.5 überprüfte Geschwindigkeit v unter der Maximalgeschwindigkeit v_MAX, wird in einem Schritt s2.6 überprüft, ob die Geschwindigkeit v über einer minimal feststellbaren Geschwindigkeit v_MIN liegt. Ist dies der Fall, ist dies das Zeichen für Funktionsfähigkeit des Fahrgeschwindigkeitgebers und es wird daher in einem Schritt s2.7 die eventuell eingeleitete Notlauffunktion aufgehoben. Danach wird wieder die Endmarke E erreicht.

Ergibt sich in Schritt s2.6, daß die gemessene Geschwindigkeit v nicht über der minimal meßbaren Geschwindigkeit v_MIN liegt, wird in einem Schritt s2.8 die Notlauffunktion eingeleitet. Es wird dann eine Marke UA erreicht, die den Anfang eines Unterprogramms darstellt, das bis zu einer Unterprogramm- Endmarke UE läuft.

Das Unterprogramm zwischen den Marken UA und UE in Fig. 2 verfügt über zwei Schritte s2.9 und s2.10. In Schritt s2.9 wird überprüft, ob die in den Motor eingespritzte Kraftstoffmasse ME größer ist als eine vorgegebene Grenzmasse ME_GR. Der Wert für die Grenzmasse ist so festgelegt, daß er mit Sicherheit höher liegt als diejenige Kraftstoffmasse (pro Hub oder pro Zeiteinheit), die an den Motor maximal abgegeben werden kann, wenn dieser das Kraftfahrzeug nicht anzutreiben hat, also unter Nullast läuft. Wird dem Motor eine größere Kraftstoffmenge zugeführt, als er sie bei Nullast maximal aufnehmen kann, ist dies ein sicheres Zeichen dafür, daß der Motor läuft und das Fahrzeug antreibt, dieses also fährt. Da aber in Schritt s2.6 kein Geschwindigkeitssignal gemessen wurde, ist dies das Zeichen dafür, daß der Fahrgeschwindigkeitgeber defekt ist. Diese Anzeige wird in Schritt s2.9 jedoch nicht unmittelbar getroffen, sondern aus Sicherheitsgründen wird zusätzlich überprüft, ob die genannte Kraftstoff­ massenbedingung für eine Zeitspanne t gilt, die länger ist als eine vorgegebene Granzzeitspanne t_GR. Diese Grenzzeitspanne ist so gewählt, daß sie größer ist als diejenige Zeitspanne, die der Motor bei Nullast benötigt, um von der Leerlaufdrehzahl zu seiner Maximaldrehzahl hochzudrehen. Innerhalb dieser Zeitspanne kann nämlich die dem Motor zugeführte Kraftstoffmasse höher als die Grenzmasse sein. Wenn sich bei der Überprüfung in Schritt s2.9 herausstellt, daß entweder die dem Motor zugeführte Kraftstoffmasse geringer ist als die Grenzmasse, oder daß diejenige Zeitspanne, in der die umgekehrte Bedingung erfüllt ist, kürzer ist als die Grenzzeitspanne, ist dies das Zeichen dafür, daß keine sichere Aussage getroffen werden kann, ob der Fahrgeschwindigkeitgeber tatsächlich defekt ist oder nicht. Das Verfahren erreicht dann die Endmarke E. Anstelle der Kraftstoffmasse oder -menge kann auch die Luftmasse oder -menge einer gemischverdichtenden Brennkraftmaschine der oben beschriebenen Überprüfung unterworfen werden.

Schritt s2.10 stellt einen Sicherheitsschritt dar, der dann ausgeführt wird, wenn sich in Schritt s2.9 herausstellt, daß dem Motor für eine längere Zeitspanne, als sie der Grenzzeitspanne entspricht, eine Kraftstoffmasse (pro Hub oder Zeiteinheit) zugeführt wurde, die höher ist als die Grenzmasse (pro Hub oder pro gleicher Zeitspanne). Dieser Sicherheitsschritt s2.10 berücksichtigt, daß die eben genannte Bedingung nicht nur dann erfüllt sein kann, wenn der Motor das Kraftfahrzeug antreibt, sondern auch dann, wenn innerhalb der überprüften Zeitspanne dauernd versucht wird, den Motor anzulassen. Läuft der Motor noch nicht, erreicht er aber nur eine bestimmte Maximaldrehzahl, die ihm durch den Anlasser vermittelt wird. Es wird nun eine Grenzdrehzahl n_GR gewählt, die bei Anlaßvorgängen mit Sicherheit nicht erreicht wird. Mit dieser Grenzdrehzahl wird in Schritt s2.10 die tatsächlich gemessene Drehzahl n verglichen. Liegt die Drehzahl unter der genannten Grenzdrehzahl wird vermutet, daß die Bedingung in Schritt s2.9 nur wegen Anlaßvorgängen erfüllt wurde. Es läßt sich somit keine sichere Fehleraussage treffen, weswegen die Endmarke E erreicht wird. Ergibt sich dagegen in Schritt s2.10, daß die Drehzahl n über der Grenzdrehzahl n_GR liegt, daß also der Motor läuft, ist dies zusammen mit den Ergebnissen aus den Schritten s2.6 und s2.9 ein sicheres Anzeichen dafür, daß der Fahrgeschwindigkeitgeber defekt ist. In diesem Fall wird über die bereits genannte Endmarke UE des Unterprogramms ein Schritt s2.11 erreicht, in dem Anzeige und Speicherung des Fehlers erfolgt.

Es wird darauf hingewiesen, daß die eben getroffenen Feststellungen nur dann zutreffen, wenn es sich bei dem beschriebenen Fahrzeug um ein solches handelt, bei dem kein Nebenantrieb vorhanden ist, oder um ein solches, bei dem zwar ein solcher vorhanden ist, aber derselbe ausgeschaltet wird, was z. B. dadurch festgestellt werden kann, daß untersucht wird, ob ein Zwischendrehzahlregler eingeschaltet ist oder nicht. Ist der Zwischendrehzahlregler eingeschaltet, wird also Kraft über einen Nebenantrieb vom Motor an ein Zusatzaggregat abgegeben, werden die Bedingungen gemäß den Schritten s2.9 und s2.10 in der Regel erfüllt sein, obwohl der Fahrgeschwindigkeitgeber in Ordnung ist. Es empfiehlt sich daher, diese Schritte s2.9 und s2.10 nur bei ausgeschaltetem Zwischendrehzahlregler auszuführen.

Anhand der Fig. 3-5 werden nun Varianten des Unterprogramms zwischen den Marken UA und UE in Fig. 2 beschrieben. Diese Varianten können jedoch auch für sich, ebenso wie die Variante gemäß Fig. 2, in herkömmlichen Verfahren eingesetzt werden, bei denen nicht direkt auf eine Notlauffunktion (oder eine Ersatzfunktion) geschaltet wird, wenn festgestellt wird, daß der Fahrgeschwindigkeitgeber keine Impulse abgibt, sondern erst dann, wenn mit Sicherheit Funktionsunfähigkeit desselben festgestellt ist.

Allen Varianten der Verfahren zwischen den Marken UA und UE ist gemeinsam, daß überprüft wird, ob ein Last/Drehzahl- Zustand vorliegt, der bei stehendem Fahrzeug gar nicht erreicht werden kann. Bei der Variante gemäß Fig. 2 war dies das Feststellen, ob die dem Motor zugeführte Kraftstoffmenge über der maximal bei Nullast zuführbaren Menge liegt.

Beim Verfahren gemäß Fig. 3 wird untersucht, ob die Drehzahl über der Leerlaufdrehzahl liegt, obwohl überhaupt kein Gas gegeben wird. In einem Schritt s3.1 wird hierzu überprüft, ob die Drehzahl n für eine Zeitspanne t, die mindestens einer Grenzzeitspanne t_GR entspricht, über einer Grenzdrehzahl n_GR liegt. Die Grenzdrehzahl ist etwas höher gewählt als diejenige Drehzahl, die im Leerlauf maximal erreicht werden kann. Die Grenzzeitspanne ist etwas höher als diejenige Zeitspanne, die der Motor benötigt, um ausgehend von seiner Maximaldrehzahl bei Nullast die Grenzdrehzahl zu erreichen. Wird in Schritt s3.1 festgestellt, daß die genannte Bedingung erfüllt ist, und wird anschließend in einem Schritt s3.2 festgestellt, daß dies der Fall ist, obwohl gar kein Gas gegeben wird, ist dies zusammen mit der Tatsache, daß der Fahrgeschwindigkeitgeber keine Impulse ausgibt, ein sicheres Zeichen dafür, daß der Geber defekt ist. Die Feststellung, daß kein Gas gegeben wird, erfolgt in Schritt s3.2 dadurch, daß abgefragt wird, ob Schubbetrieb vorliegt und diese Frage bejaht wird. Sind die Bedingungen in den Schritten s3.1 bzw. s3.2 nicht erfüllt, ist dies jeweils ein Zeichen dafür, daß nicht mit Sicherheit ausgesagt werden kann, ob der Fahrgeschwindigkeitgeber defekt ist oder nicht. Es wird dann jeweils die Endmarke E erreicht.

Bei dem Verfahren gemäß den Fig. 4 und 5 wird überprüft, ob der Motor mit den Antriebsrädern gekoppelt ist und ob sich der Motor mit einer bestimmten Mindesdrehzahl dreht. Sind beide Bedingungen erfüllt, muß das Fahrzeug zwingend fahren. Gibt dann der Fahrgeschwindigkeitgeber keine Impulse ab, ist er defekt.

Beim Verfahren gemäß Fig. 4 ist davon ausgegangen, daß ein Automatikgetriebe vorliegt. In einem Schritt s4.1 wird untersucht, ob die Bremse betätigt ist. Ist dies der Fall, wird vermutet, daß das Fahrzeug steht. Jedenfalls kann über die Funktionsfähigkeit des Fahrgeschwindigkeitgebers in diesem Fall nichts Sicheres ausgesagt werden, weswegen die Endmarke E erreicht wird. Ist die Bremse dagegen nicht betätigt, ist es möglich, daß das Fahrzeug fährt. Es wird dann in einem Schritt s4.2 überprüft, ob ein Fahrgang eingelegt ist. Ist dies nicht der Fall, steht das Fahrzeug wahrscheinlich. Eine weitere Fehleruntersuchung ist jedenfalls nicht möglich, weswegen ebenfalls die Endmarke E erreicht wird. Ist dagegen ein Fahrgang eingelegt (Schritt s4.2) und die Bremse nicht betätigt (Schritt s4.1), wird in einem Schritt s4.3 überprüft, ob die Drehzahl n über einer Berganfahrdrehzahl n_BA liegt. Letztere entspricht derjenigen Drehzahl, bei der das Fahrzeug auch an einem sehr steilen Berg noch anfährt. Liegt die Drehzahl unter der genannten Drehzahl, wird die Marke E erreicht, da nicht sicher ausgesagt werden kann, ob der Fahrgeschwindigkeitgeber defekt ist. Ist dagegen die genannte Drehzahl überschritten, wird die Marke UE erreicht. An diese schließt sich ein Schritt zur Fehleranzeige und Fehlerspeicherung an, und außerdem ein Schritt zum Einstellen einer Notlauffunktion, wenn das Verfahren innerhalb eines herkömmlichen Verfahrens zum möglichst sicheren Betreiben eines Kraftfahrzeugs angewandt wird. Wird es dagegen in einem Verfahren gemäß Fig. 1 eingesetzt, ist das Einleiten einer Notlauf- oder Ersatzfunktion im Anschluß an den Schritt UE nicht erforderlich, da diese Maßnahme ja bereits eingeleitet wurde, sobald festgestellt wurde, daß der Fahrgeschwindigkeitgeber keine Impulse ausgibt.

Fig. 5 stellt die Übertragung des Prinzips gemäß Fig. 4 auf ein Fahrzeug mit Schaltgetriebe dar. In einem Schritt s5.1 wird überprüft, ob ein Gang eingelegt ist. Ist dies der Fall, wird in einem Schritt s5.2 kontrolliert, ob die Kupplung nicht betätigt ist. Ist sie nicht betätigt, bedeutet dies, daß der Motor mit den Antriebsrädern verbunden ist. Ergibt sich schließlich noch in einem Schritt s5.3, daß die Motordrehzahl n über einer minimalen Drehzahl n_MIN liegt, ist dies ein sicheres Zeichen dafür, daß der Fahrgeschwindigkeitgeber defekt ist. Die Minimaldrehzahl ist so gewählt, daß bei ihr auch im kleinsten Gang eine Fahrgeschwindigkeit erreicht wird, bei der der Fahrgeschwindigkeitgeber mit Sicherheit meßbare Impulse abgibt, falls er funktionsfähig ist.

Als kleinster Gang kann dabei der Rückwärtsgang berücksichtigt werden, dessen Auswertung im Rahmen der obigen Ausführung neben der Auswertung der Vorwärtsgänge miteingeschlossen sein kann.

Bei der oben dargelegten Überprüfung der Funktion des Fahrgeschwindigkeitgebers ist darüber hinaus zu berücksichtigen, daß bei eingelegtem Gang und nicht betätigter Kupplung Schlupf auftritt, welcher dazu führt, daß sich eine starre Verbindung zwischen Motor und Getriebe und damit eine erfaßbare Fahrgeschwindigkeit erst nach einer gewissen Zeitdauer einstellt. Dies bedeutet für die oben ausgeführte Überprüfung, daß die Schlußfolgerung "Fahrgeschwindigkeitgeber defekt" bei eingelegtem Gang, nicht betätigter Kupplung und erfüllter Drehzahlbedingung bei Ausbleiben eines Fahrgeschwindigkeitssignals erst nach Ablauf einer vorgegebenen Wartezeit vorgenommen werden kann. Nach Schritt s5.3 ist in diesem Fall ein weiterer Schritt vorzusehen, mit dessen Hilfe erst nach Ablauf der vorgegebenen Wartezeit bei weiterhin fehlendem Fahrgeschwindigkeitssignal eine Fehlerreaktion erfolgt.

Die kontreten Ausführungsbeispiele gemäß den Fig. 2-5 beziehen sich auf das Überprüfen eines Fahrgeschwindigkeitgebers und sie geben an, daß eine Notlauffunktion eingestellt wird, wenn Funktionsunfähigkeit des Gebers vermutet wird oder feststeht. Fig. 1 zusammen mit den Beispielen aus der Beschreibungseinleitung verdeutlicht jedoch, daß mit den Prinzipien gemäß Fig. 1 die Funktionsfähigkeit aller Sensoren überprüft werden kann, die dann ein Grundsignal ausgeben, wenn die Größe, die sie messen, einen Grundwert einnimmt, und daß statt einer Notlauffunktion auch eine Ersatzfunktion ergriffen werden kann, und daß die vorgenommenen Beschränkungen stufenweise verschärft werden können, wobei dann, wenn ein Fehler nur vermutet wird, geringe Beschränkungen vorgenommen werden, dagegen dann, wenn der Fehler feststeht, einschneidende Beschränkungen eingeführt werden. Die Art der zu ergreifenden Maßnahmen hängt mit dem überprüften Sensor zusammen. Es handelt sich um Maßnahmen, wie sie aus dem Stand der Technik bekannt sind.

Wie mehrfach erläutert, wird die Ersatz/Notlauf-Funktion zweckmäßigerweise so gewählt, daß sie sich nicht auswirkt, wenn die zu messende Größe ihren Grundwert einnimmt. Es ist vorteilhaft, den Bereich, in dem sich die ergriffene Funktion nicht merkbar auf den Betrieb des Fahrzeugs auswirkt, so zu wählen, daß er den Grundwert einschließt, aber noch mehr oder weniger deutlich über diesen hinausgeht, und zwar möglichst weit in der Richtung, in der sich die Funktion noch nicht bemerkbar macht, ohne daß bereits Sicherheitsbedingungen verletzt werden.

Es wird darauf hingewiesen, daß die Varianten gemäß den Ausführungsbeispielen auch gemeinsam angewendet werden können, mit Ausnahme der Varianten der Fig. 4 und 5, von denen sich die eine auf ein Fahrzeug mit Automatikgetriebe und die andere auf ein Fahrzeug mit Schaltgetriebe bezieht.

Das Ausführungsbeispiel gemäß Fig. 6 bezieht sich auf das Überprüfen eines Drehzahlgebers. In einem Schritt s6.1 wird das Drehzahlgebersignal gemessen. In einem Schritt s6.2 wird überprüft, ob die Drehzahl n über einer Maximaldrehzahl n_MAX liegt. Ist dies nicht der Fall, wird in einem Schritt s6.3 überprüft, ob die Drehzahl Null ist. Ist dies ebenfalls nicht der Fall, wird in einem Schritt s6.4 eine eventuell eingeleitete Notlauffunktion aufgehoben. Es wird dann die Marke E im Ablauf von Fig. 1 erreicht.

Ergibt sich im Schritt s6.2, daß eine Drehzahl oberhalb der Maximaldrehzahl angezeigt wird, wird in einem Schritt s6.5 eine Notlauffunktion eingestellt, z. B. wird die Kraftstoff- oder Luftmenge begrenzt. In einem Schritt s6.6 erfolgt Fehleranzeige und Fehlerspeicherung. Daraufhin wird die Marke E erreicht.

Ergibt sich in Schritt s6.3, daß die Drehzahl Null vorliegt, was insbesondere beim Start oder bei nur "Zündung ein" der Fall ist, wird in einem Schritt s6.7 eine Notlauffunktion, z. B. die eben genannte, eingestellt, und erst dann erfolgt in Schritten s6.8 und s6.9 eine Fehlerüberprüfung, bevor es unter Umständen in einem Schritt s6.10 zu Fehleranzeige und Fehlerspeicherung kommt. In Schritt s6.8 wird überprüft, ob die Antriebsräder mit dem Motor gekoppelt sind, z. B. dadurch, daß bei einem Fahrzeug mit Automatikgetriebe das Fahrgangsignal abgefragt wird. Liegt keine Koppelung vor, ist keine zuverlässige Fehleruntersuchung möglich, weswegen die Marke E erreicht wird. Liegt jedoch Koppelung vor, wird im Schritt s6.9 überprüft, ob die Fahrgeschwindigkeit v oberhalb der bereits oben anhand von Schritt s2.6 erläuterten minimalen Geschwindigkeit v_MIN liegt. Ist dies nicht der Fall, geht das Verfahren zur Marke E über, andernfalls zum bereits erläuterten Schritt s6.10 und dann zur Marke E.

Ein Vergleich des eben geschilderten Ablaufs mit dem Ablauf gemäß Fig. 2 in Verbindung mit den Detailabläufen gemäß den Fig. 4 oder 5 macht deutlich, daß all diesen Abläufen dieselbe Erkenntnis zugrunde liegt, daß nämlich bei vorhandener Koppelung zwischen Motor und Antriebsrädern ein Drehzahlgeber und ein Fahrgeschwindigkeitgeber jeweils gleichzeitig Bewegung oder gleichzeitig fehlende Bewegung anzeigen müssen. Ist dies nicht der Fall, liegt ein Fehler vor. Bei den Ausführungsbeispielen wird jeweils angenommen, daß dann, wenn einer der Geber keine Bewegung, der andere aber vorhandene Bewegung anzeigt, derjenige defekt ist, der keine Bewegung meldet. Für die Praxis hat sich diese Ausnahme als gerechtfertigt erwiesen. Es kann jedoch insbesondere in bezug auf das Drehzahlgebersignal leicht weiter überprüft werden, ob dieses Signal plausibel ist, z. B. durch Vergleich mit Zündimpuls- oder Einspritzimpulssignalen, die in der Regel von anderen Gebern gewonnen werden.

Die Verfahren gemäß allen Ausführungsbeispielen zeichnen sich dadurch aus, daß sie mit Sensoren auskommen, die ohnehin in Kraftfahrzeugen mit moderner Kraftfahrzeugelektronik vorhanden sind.

Es sei noch angemerkt, daß bei EDC (elektronic diesel control)-Systemen in der Regel aus Sicherheitsgründen bei Ausfall des Drehzahlsensors die Brennkraftmaschine stillgesetzt wird, also kein Ersatz- oder Notlaufbetrieb aufgenommen wird. Ein Betrieb letzterer Art ist im genannten Fall dagegen ohne weiteres bei Dieselsystemen mit elektronischem Fahrpedal aufgrund der dort vorhandenen mechanischen Einspritzpumpe möglich.

Claims (12)

1. Verfahren zum möglichst sicheren Betreiben eines Kraftfahrzeugs, das bei seinem Betrieb die Signale von Sensoren nutzt, wobei

• - die Funktionsfähigkeit mindestens eines der Sensoren wiederholt überprüft wird und
• - dann, wenn ein Ausfall des überprüften Sensors festgestellt wird, eine Ersatz/Notlauf-Funktion gestartet wird und so lange beibehalten wird, bis sich wieder Funktionsfähigkeit des Sensors ergibt,

dadurch gekennzeichnet, daß bei Sensoren, die dann ein Grundsignal ausgeben, wenn die Größe, die sie messen, einen Grundwert einnimmt, wobei das Grundsignal identisch mit dem Signal bei ausgefallenem Sensor ist, wie folgt verfahren wird:

• - sobald der Sensor das Grundsignal ausgibt, wird eine erste Ersatz/Notlauf-Funktion gestartet, und
• - erst anschließend wird überprüft, ob der Sensor mit Sicherheit funktionsunfähig ist.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die erste Ersatz/Notlauf-Funktion so beschaffen ist, daß sie sich auf den Betrieb des Fahrzeugs nicht merkbar auswirkt, wenn die zu messende Größe ihren Grundwert einnimmt oder in dessen Bereich liegt.

3. Verfahren nach einem der Ansprüche 1 oder 2, dadurch gekennzeichnet, daß dann, wenn Funktionsunfähigkeit des überprüften Sensors mit Sicherheit festgestellt ist, auf eine zweite Ersatz/Notlauf-Funktion umgeschaltet wird, die stärkere Betriebseinschränkungen aufweist als die erste Ersatz/Notlauf-Funktion.

4. Verfahren zum möglichst sicheren Betreiben eines Kraftfahrzeugs, das bei seinem Betrieb die Signale von Sensoren nutzt, wobei

• - die Funktionsfähigkeit mindestens eines der Sensoren wiederholt überprüft wird, und
• - dann, wenn ein Ausfall des überprüften Sensors festgestellt wird, eine Ersatz/Notlauf-Funktion gestartet wird und so lange beibehalten wird, bis sich wieder Funktionsfähigkeit des Sensors ergibt, insbesondere Verfahren nach einem der Ansprüche 1-3,

dadurch gekennzeichnet, daß zum Erreichen einer sicheren Aussage beim Überprüfen der Funktionsfähigkeit eines Fahrgeschwindigkeitgebers wie folgt verfahren wird:

• - es wird der Lastzustand des Motors ermittelt, der das Kraftfahrzeug antreibt, und
• - es wird auf fehlende Funktionsfähigkeit des Fahrgeschwindigkeitgebers geschlossen, wenn der ermittelte Lastwert höher ist, als er bei Nullast maximal möglich ist.

5. Verfahren nach Anspruch 4, dadurch gekennzeichnet, daß

• - für eine vorgegebene Zeitspanne überprüft wird, ob
  • -- der Lastzustand des Motors über der maximal möglichen Nullast liegt, und
  • -- die Drehzahl des Motors über einer Mindestdrehzahl liegt, die bei Anlaßversuchen maximal erreichbar ist, und
• - auf Funktionsunfähigkeit geschlossen wird, wenn beide Überprüfungsbedingungen erfüllt sind.

6. Verfahren nach einem der Ansprüche 4 oder 5, dadurch gekennzeichnet, daß

• - für eine vorgegebene Zeitspanne überprüft wird, ob
  • -- die Drehzahl des Motors über der Leerlaufdrehzahl liegt, und
  • -- Schubbetrieb herrscht, und
• - auf Funktionsunfähigkeit geschlossen wird, wenn beide Überprüfungsbedingungen erfüllt sind.

7. Verfahren nach Anspruch 5, dadurch gekennzeichnet, daß die Überprüfung bei einem Kraftfahrzeug mit Zwischendrehzahlregelung nur erfolgt, wenn letztere ausgeschaltet ist.

8. Verfahren nach einem der Ansprüche 4-7, dadurch gekennzeichnet, daß

• - überprüft wird, ob
  • -- der Motor und die Antriebsräder des Kraftfahrzeuges über das Getriebe miteinander verbunden sind, und
  • -- die Drehzahl des Motors über einer vorgegebenen Drehzahl liegt, und
• - auf Funktionsunfähigkeit geschlossen wird, wenn beide Überprüfungsbedingungen erfüllt sind

9. Verfahren zum möglichst sicheren Betreiben eines Kraftfahrzeugs, das bei seinem Betrieb die Signale von Sensoren nutzt, wobei

• - die Funktionsfähigkeit mindestens eines der Sensoren wiederholt überprüft wird, und
• - dann, wenn ein Ausfall des überprüften Sensors festgestellt wird, eine Ersatz/Notlauf-Funktion gestartet wird und so lange beibehalten wird, bis sich wieder Funktionsfähigkeit des Sensors ergibt, insbesondere Verfahren nach einem der Ansprüche 1-9,

dadurch gekennzeichnet, daß zum Erreichen einer sicheren Aussage beim Überprüfen der Funktionsfähigkeit eines Drehzahlgebers wie folgt verfahren wird:

• - es wird ermittelt, ob die Antriebsräder des Kraftfahrzeugs mit dessen Motor verbunden sind,
• - es wird die Fahrgeschwindigkeit gemessen, und
• - es wird auf Funktionsunfähigkeit des Drehzahlgebers geschlossen, wenn die ermittelte Fahrgeschwindigkeit über einer Minimalgeschwindigkeit liegt.