DE69204598T2

DE69204598T2 - System für die inhärente Sicherheitssteuerung einer Hinterradlenkung eines Kraftfahrzeuges.

Info

Publication number: DE69204598T2
Application number: DE69204598T
Authority: DE
Inventors: Renato Gianoglio; Giorgio Lupo
Original assignee: Fiat Auto SpA
Current assignee: Fiat Auto SpA
Priority date: 1991-07-31
Filing date: 1992-07-14
Publication date: 1996-02-29
Anticipated expiration: 2012-07-15
Also published as: DE69204598D1; IT1250831B; ITTO910612A0; ITTO910612A1; EP0526418A1; EP0526418B1

Description

Diese Erfindung betrifft ein System zur inhärent sicheren (fehlertoleranten) Steuerung der Lenkung der Hinterräder eines Kraftfahrzeugs, welches insbesondere bei einem Vierrad-Lenksystem (4WS) verwendet werden kann. Derartige Systeme sind beispielsweise aus der EP-A-0 352 759 und der WO-A 89/10865 bekannt.
Es ist Aufgabe der Erfindung, ein Steuersystem für die Lenkung der Hinterräder eines Kraftfahrzeugs zu erstellen, welches einen optimalen Kompromiß zwischen den Erfordernissen nach hoher Leistungsfähigkeit, nach Sicherheit im Falle einer Störung einer oder mehrerer Teile des Systems und nach niedrigen Herstellungskosten darstellt.
Diese Aufgabe wird erfindungsgemäß durch ein System gelöst, welches umfaßt:
- Stellmittel mit einem beweglichen Element, welches dazu ausgelegt ist, die Räder zu lenken,
- den Stellmitteln zugeordnete elektrische Steuermittel, welche dazu ausgelegt sind, das bewegliche Element zu verstellen, wobei die Steuermittel erste und zweite Treiberstufen umfassen, welche dazu ausgelegt sind, gemeinsam oder getrennt die gesteuerte Aktivierung der Stellmittel entsprechend den Eigenschaften von ersten und zweiten, jeweils an deren jeweilige Eingänge angelegten Steuersignaien zu bewirken, wobei die Steuermittel weiterhin Sicherheitsmittel umfassen, welche dazu ausgelegt sind, das bewegliche Element in eine vorbestimmte, keiner Lenkung der Räder entsprechende Neutralstellung zu verstellen und dort zu halten, wenn ein Freigabesignal einen Freigabeeingang der Steuermittel nicht erreicht,
- erste und zweite Stellungssensoren, die jeweils dazu ausgelegt sind, elektrische Signale bereit zustellen, welche die tatsächliche Stellung des beweglichen Elements anzeigen, und
- erste und zweite elektronische Verarbeitungs- und Steuermittel, die voneinander unabhängig sind, durch einen Verbindungskanal gekoppelt sind und mit den ersten bzw. zweiten Treiberstufen, dem Freigabeeingang der Steuermittel und den beiden Stellungssensoren verbunden sind,
wobei die ersten und zweiten Verarbeitungs- und Steuermittel jeweils dazu ausgelegt sind:
- die von den Stellungssensoren bereitgestellten Signale zu empfangen und deren Übereinstimmung zu verifizieren,
- die von jedem Stellungssensor bereitgestellten Stellungs- Informationen mit einer theoretischen Stellung zu vergleichen, welche auf der Grundlage der gewünschten Stellung des beweglichen Elements gemäß einem in jedem der Verarbeitungs- und Steuermittel gespeicherten mathematischen Modell der Steuermittel und der Stellmittel berechnet wird,
- auf der Grundlage der Verifikation und des Vergleichs eine mögliche Störung eines der Sensoren und/oder einer der Treiberstufen und/oder der Stellmittel zu erfassen,
- an die zugeordnete Treiberstufe ein jeweiliges Steuersignal zu liefern, welches entsprechend der Differenz zwischen einer Referenzstellung des beweglichen Elements und dessen tatsächlicher, durch den jeweils zugeordneten Stellungssensor erfaßten Stellung erzeugt wird, wenn die Stellungssensoren ordnungsgemäß arbeiten, und welches entsprechend der Differenz zwischen der Referenzstellung und der tatsächlichen, durch den übrig bleibenden Sensor erfaßten Stellung erzeugt wird, wenn einer der Sensoren sich in einem Störungszustand befindet,
- diejenige Treiberstufe, die sich in einem Störungszustand befinden kann, abzuschalten und in diesem Fall das Stellglied nur mit Hilfe der übrig bleibenden Treiberstufe zu steuern, und
- das Freigabesignal an den Steuermitteln zu unterbrechen, wenn ein Störungszustand der Stellmittel erfaßt wird.
Weitere Merkmale und Vorteile des erfindungsgemäßen Systems werden aus der folgenden detaillierten Beschreibung klar, welche auf die beiliegenden Zeichnungen, die als nicht beschränkendes Beispiel vorgesehen sind, Bezug nimmt. Darin sind:
Figur 1 ein Blockdiagramm eines erfindungsgemäßen Steuersystems,
Figur 2 ein Hydraulikdiagramm eines Teils des in Figur 1 dargestellten Systems, und
Figuren 3 und 4 Funktionsdiagramme, welche die in dem erfindungsgemäßen System ausgeführten Steuerverfahren darstellen.
Das Steuersystem für die Lenkung der Hinterräder eines Kraftfahrzeugs, das beschrieben werden wird, muß der Anforderung nach inhärent sicherer Arbeitsweise genügen, d. h. es muß in jeder Betriebsbedingung "fehlertolerant" sein, um annehmbares Funktionieren selbst in schlimmsten Beschädigungszuständen sicherzustellen.
Hierzu ist, wie aus der Figur 1 klar werden wird, die Hardware- Architektur des Systems vom Master-slave-Typ und basiert auf zwei unabhänigen Prozessoren (CPU) A und B, welche mit jeweiligen Energieversorgungen 1A, 1B versehen sind und über einen schnellen Verbindungskanal 2 mit einem Verbindungsspeicher M verbunden sind, welcher als Schreib-Lese-Speicher (RAM) mit doppelten Entscheidungsgattern ("dual arbitration gates") ausgeführt ist.
Die Software-Architektur des Systems spiegelt die Architektur der Hardware wider und basiert auf gleichartigen Programmen, die auf den beiden Prozessoren A und B ablaufen.
Die Prozessoren A und B sind mit einer allgemein mit dem Buchstaben C bezeichneten elektrohydraulichen Einheit verbunden, welche ein hydraulisches Stellglied H steuert.
In der dargestellten Ausführungsform ist das Stellglied H ein doppeltwirkender Zylinder mit einem Gehäuse 3, in dem auf abgedichtete Weise ein Kolben 4 verschiebbar montiert ist. Der Kolben 4 weist eine durchgehende Stange oder Welle 5 auf, deren entgegengesetzte Enden 5A, 5B sich nach außerhalb des Gehäuses 3 erstrecken und mechanisch mit den Achsschenkeln der Hinterräder eines Kraftfahrzeugs verbunden sind, um deren Lenkung zu steuern. Zwei Schraubenfedern 6 und 7 sind im Inneren des Gehäuses 3 des Stellglieds H untergebracht, wobei sie auf entgegengesetzten Seiten bezüglich des Kolbens 4 angeordnet sind.
Zwei mit 8A bzw. 8B bezeichnete Stellungssensoren sind den Enden 5A, 5B der Stange 5 des Stellglieds H zugeordnet.
Diese Sensoren, die in der in Figur 2 gezeigten Ausführungsform vom Potentiometer-Typ sind, sind beide mit dem Prozessor A und mit dem Prozessor B verbunden.
Wie in der Figur 2 gezeigt, umfaßt die elektrohydraulische Steuereinheit C eine Hydraulikpumpe 10, welche in ihrem Betrieb Hydraulikflüssigkeit aus einem Tank 11 aufnimmt und sie über eine Förderleitung 21 und einen Filter 12 an ein allgemein durch die Bezugsziffer 13 bezeichnetes Vier-Wege-Proportional- Magnetventil mit drei Stellungen fördert. Dieses Magnetventil weist zwei Steuerelektromagneten 13A und 13B auf, welche an den Ausgang jeweiliger mit 14A und 14B bezeichneter Treiberstufen angeschlossen sind.
Diese Treiberstufen werden jeweils durch den Prozessor A bzw. den Prozessor B gesteuert. Im Betrieb geben die Prozessoren A und B jeweilige Steuersignale mit Pulsen modulierter Breite (PWM) an die Treiberstufen 14A und 14B aus, um das Proportional-Magnetventil 13 zu treiben.
Ein Sicherheits-Magnetventil 15 ist an dieses Magnetventil angeschlossen. In der dargestellten Ausführungsform ist es ein Vier-Wege-An-/Aus-Ventil mit zwei Stellungen, welches einen Steuerelektromagneten 16 aufweist, dessen Erregung mit Hilfe eines Transistors 17 gesteuert wird. Der Transistor 17 ist ein bipolarer Transistor vom npn-Typ, sein Emitter ist über einen Widerstand 19 geerdet, der Kollektor ist mit dem Elektromagneten 16 verbunden und die Basis ist an den Ausgang eines UND- Gatters 18 angeschlossen.
Wenn der Transistor 17 abgeschaltet ist, wird das Sicherheitsventil 15 durch die Wirkung einer Feder 20 in dem in Figur 2 dargestellten Zustand gehalten. In diesem Zustand entkoppelt das Sicherheitsventil 15 die Ausgänge des Proportional-Magnetventils 13 van den Eingängen des Stellglieds H und bringt die Eingänge des Stellglieds über einen inneren Schlitzkanal miteinander in Verbindung. In diesem Zustand wird der Kolben 4 in eine Neutalstellung, welche keiner Lenkung der Hinterräder des Kraftfahrzeugs entspricht, gebracht und dort gehalten.
Wenn der Transistor 17 leitend geschaltet ist, verschiebt die Erregung des Elektromagneten 16 das Sicherheitsventil in seine zweite Stellung, in der es die Eingänge des Stellglieds H mit den Ausgängen des Proportional-Magnetventils 13 verbindet. Letzteres verbindet, entsprechend den an seine Elektromagneten 13A und 13B durch die Stufen 14A und 14B angelegten Treibersignalen, die Förderleitung 21 mit dem einen oder. dem anderen Eingang des Stellglieds H (über das Sicherheitsventil 15). Der andere Eingang des Stellglieds H wird mit einer Rückleitung 22 in Verbindung gebracht, welche sich von dem Proportional-Magnetventil 13 zurück zum Tank 11 erstreckt. An die Leitung 22 ist über ein druckregulierendes Ventil 23 auch ein Speicher 24 angeschlossen.
Entlang der Förderleitung 21 ist stromabwärts des Filters 12 ein Sensor 25 angeordnet, welcher im Betrieb elektrische Signale, die den Druck der zu dem Proportional-Magnetventil 13 hin fließenden Flüssigkeit angeben, an die Prozessoren A und B sendet.
Das logische UND-Gatter 18, welches den Transistor 17 steuert, weist zwei Eingänge 18A und 18B auf, welche an den Prozessor A bzw. den Prozessor B angeschlossen sind. Die Eingänge 18A und 18B stellen nämlich die Freigabe-Eingänge der gesamten elektrohydraulischen Einheit C dar. Wenn beide Prozessoren A und B Signale auf dem logischen Pegel "1" an diese Eingänge senden, bleibt der Transistor 17 leitend und das Sicherheitsventil 15 ist in der Stellung angeordnet, in der es das Proportional- Magnetventil 13 mit dem Stellglied H verbindet und damit die Lenkung der Hinterräder erlaubt. Wenn, wie dies im folgenden klarer wird, infolge der Erfassung einer Störung einer der Prozessoren A, B ein Signal auf dem Pegel "0" an einen Eingang des logischen UND-Gatters 18 sendet, wird der Transistor 17 abgeschaltet und das Sicherheitsventil 15 ist in dem in Figur 2 gezeigten Zustand angeordnet. Das Stellglied H ist von dem Proportional-Magnetventil 13 entkoppelt und wird in den Neutralzustand gebracht.
Wie in Figur 1 dargestellt, sind an die Prozessoren A und B auch Sensoreinrichtungen angeschlossen, welche in ihrer Gesamtheit durch den mit der Bezugsziffer 30 in dieser Zeichnung gekennzeichneten Block dargestellt sind. Diese Sensoren umfassen z. B. einen Sensor für den Lenkwinkel des Rades, einen Sensor für die Geschwindigkeit des Kraftfahrzeugs, einen Sensor für die Beschleunigung des Fahrzeugs und ein Gyrometer.
Auf der Grundlage der durch die Sensoren 30 zur Verfügung gestellten Information berechnen die Prozessoren A und B im Betrieb die Stellung, in die der Kolben 4 des Stellglieds H gebracht werden muß, um die Hinterräder in dem benötigten Umfang zu lenken. Diese Stellung des Kolbens wird in der folgenden Beschreibung als "gewünschte Stellung" bezeichnet.
Wenn das Steuersystem für die Lenkung der Hinterräder voll funktionsfähig ist, legen die Prozessoren A und B Freigabesignale des Pegels "1" an das logische UND-Gatter 18 an, so daß der Transistor 17 leitend bleibt und das Sicherheitsventil 15 in der Stellung angeordnet ist, in der es das Proportional- Magnetventil 13 mit dem Stellglied H verbindet.
Um den Kolben 4 des Stellglieds H in die gewünschte Stellung zu bringen, senden die Prozessoren A und B Modulationssteuersignale PWM an die Treiberstufen 14A bzw. 14B, um die Stellung des Kolbens 4 wie benötigt zu verändern und die gewünschte Stellung zu erreichen. Die Stellung dieses Kolbens wird durch die Prozessoren A und B mittels der durch die Stellungssensoren 8A und 8B zur Verfügung gestellten Signale erfaßt.
Deshalb bewirken die Prozessoren A und B unter diesen Umständen eine Reaktionsschleifen-Steuerfunktion gemäß den als Beispiel in Figur 3 angegebenen Funktionsdiagrammen. Diese Zeichnung stellt die beiden Funktionsschleifen ILA und ILB der durch die Prozessoren A und B bewirkten Steuerung dar. Die beiden Steuerschleifen sehen als Eingangsgröße die gewünschte Referenzstellung PREFA, PREFB für den Kolben des Stellglieds H vor. Die durch die Sensoren 8A und 8B erfaßte tatsächliche Stellung des Kolbens des Stellglieds H wird mit negativem Vorzeichen zu dieser Eingangsgröße addiert. Auf diese Weise werden die Stellungsfehler EPA und EPB bestimmt, welche die Eingangsgrößen von zwei Verstärkerblöcken GA bzw. GB darstellen. Diesen folgen zwei Blöcke KA(s) und KB(s), welche eine vorbestimmte Übertragungsfunktion bewirken, die den Stellungsfehler mit der Modulation des Stroms in PWM verknüpft, welcher mittels der Treiberstufen 14A und 14B an die Elektromagnete 13A bzw. 13B des Proportional-Magnetventils 13 angelegt werden muß.
Die Verstärkung der Funktionsblöcke GA und GB kann, wie durch die Pfeile setGA und setGB der Figur 3 angegeben, unter Bedingungen, die weiter unten beschrieben werden, verändert werden. Das System wirkt insbesondere auf eine solche Weise, daß bei Reduzierung der Verstärkung des Funktionsblocks GB (oder des Blocks GA) auf Null und entsprechender Erhöhung der Verstärkung des Funktionsblocks GA (GB), das Proportional-Magnetventil 13 ausschließlich durch die eine Treiberstufe 14A (14B) getrieben werden kann. Dieser Zustand wird durch die Prozessoren A und B bewirkt, wenn sie, auf eine weiter unten beschriebene Weise, einen Störungszustand in der Treiberstufe 14B (14A) erfassen.
Wenn beide Stellungssensoren 8A und 8B ordnungsgemäß arbeiten, führt der Prozessor A die Steuerung gemäß dem Funktionsdiagramm der Figur 3 aus, indem er die durch den zugeordneten Stellungssensor, d. h. den Stellungssensor 8A, ausgegebene Information verwendet. Ähnlich bewirkt der Prozessor B die Steuerung auf der Grundlage der durch den zugeordneten Stellungssensor 8B ausgegebenen Information.
Wenn die beiden Prozessoren im Betrieb jedoch einen Störungszustand eines der beiden Stellungssensoren erfassen, steuern sie beide auf der Grundlage der von dem noch funktionierenden Stellungssensor (übrig bleibenden Sensor) ausgegebenen Information weiter. Diese Möglichkeit ist in Figur 3 funktionell mittels zweier Umschalter CA und CB dargestellt, welche unter normalen Bedingungen die Sensoren 8A bzw. 8B mit dem entsprechenden Knoten verbinden. Im Falle einer Störung eines der beiden Sensoren schaltet der Prozessor, der in einem Störungszustand normalerweise dem Sensor zugeordnet ist, auf den übrig bleibenden Sensor um, wie dies in dem Diagramm der Figur 3 funktionell durch die Pfeile set8A/B dargestellt ist.
Darüber hinaus sind die Prozessoren A und B dazu ausgelegt, bezüglich der Steuerschleifen des Funktionsdiagramms der Figur 3 eine Steuerwirkung gemäß einer funktionellen Konfiguration mit äußerer Schleife zu bewirken. Figur 4 zeigt das Funktionsdiagramm der äußeren Steuerschleife, welche durch einen der beiden Prozessoren, beispielsweise Prozessor A, bewirkt wird. In Figur 4 stellt der mit dem Buchstaben Z bezeichnete Funktionsblock die Gesamtheit dar, welche die auf den Prozessor A bezogene interne Steuerschleife ILA (Figur 3), die elektrohydraulische Steuereinheit C und das Stellglied H umfaßt.
Der Funktionsblock Z weist als Eingangsgröße die mit PREFA bezeichnete gewünschte Referenzstellung des Kolbens des Stellglieds H und als Ausgang die durch die Sensoren 8A und 8B erfaßten tatsächlichen Stellungen auf. Diese tatsächlichen Stellungen sind durch P8A bzw. P8B bezeichnet. Diese beiden Größen führen an mit N1, N2 und N3 bezeichnete algebraische Summenknoten.
Am Ausgang des Knotens N3 liegt ein Fehlersignal E3 = P8A - P8B an, welches, verglichen mit einem vorbestimmten Schwellenwert, es dem Prozessor ermöglicht, die Übereinstimmung der durch die beiden Sensoren ausgegebene Stellungsinformation auszuwerten. Wenn der Fehler E3 die vorbestimmte Schwelle überschreitet, folgert der Prozessor, daß einer der beiden Stellungssensoren sich in einem Störungszustand befindet. Der Prozessor kann auf folgende Weise bestimmen, welcher der beiden Sensoren sich in einem Störungszustand befindet.
Ein mathematisches Modell der aus der elektrohydraulischen Steuereinheit C und dem Stellglied H bestehenden Gesamtheit ist in dem Prozessor gespeichert
Im Betrieb berechnet der Prozessor auf der Grundlage der durch Sensoren 30 bereitgestellten Signale eine Referenzstellung PREF, welche durch das bewegliche Element 4 des Stellglieds H erreicht werden soll. Auf der Grundlage dieser Referenzstellung PREF und des mathematischen Modells der Gesamtheit aus der Einheit C und dem Stellglied H berechnet der Prozessor die theoretische Stellung PV (Figur 4), welche von dem Kolben des Stellglieds H eingenommen werden soll. Diese theoretische Stellung wird an den Summenknoten N1 und N2 bereitgestellt. An dem Ausgang des Summenknotens N1 liegt deshalb ein Fehler E1 = P8A - PV an und an dem Ausgang des Knotens N2 liegt ein Fehler E2 = P8B - PV an, welche mit jeweiligen vorbestimmten Schwellen verglichen werden.
Die drei auf diese Weise verfügbar gemachten Fehlersignale E1, E2 und E3 ermöglichen es, die Arbeitsweise des Steuersystems zu bestimmen. Für den Fall, daß diesen Fehlern der Wert "1" und der Wert "0" zugeordnet wird, wenn sie die ihnen jeweils zugeordneten Schwellenwerte überschreiten oder darunter verbleiben, lassen sich die verschiedenen möglichen Zustände, die im Betrieb auftreten können, in der folgenden Tabelle darstellen: TABELLE alles arbeitet korrekt Information der Sensoren nicht übereinstimmend nicht möglicher Zustand Sensor 8B fehlerhaft nicht möglicher Zustand Sensor 8A fehlerhaft Stellglied H/Einheit C fehlerhaft Sensoren und/oder Stellglied H/Einheit C fehlerhaft
Durch Untersuchen der Fehler E1, E2 und E3 ist es deshalb möglich, eine mögliche Störung der Sensoren und/oder des Stellglieds und der zugehörigen elektrohydraulischen Steuereinheit festzustellen.
Im Falle einer Störung eines Sensors schließt der Prozessor mittels der Steuerung set8A/B den im Störungszustand befindlichen Sensor aus und fährt mit der Steuerung auf der Grundlage der durch den anderen Sensor bereitgestellten Information fort.
Im Falle der letzten beiden der in der vorangehenden Tabelle angegebenen Möglichkeiten, welche sich auf eine mögliche Störung des Stellglieds und der zugehörigen elektrohydraulischen Steuereinheit beziehen, nimmt der Prozessor, der sie erfaßt, das Freigabesignal von dem entsprechenden Eingang des logischen Gatters 18, womit der Transistor 17 abgeschaltet wird und das Sicherheits-Magnetventil 15 betätigt wird, um das Stellglied H in den Neutralzustand keiner Lenkung der Hinterrädern zu bringen. In diesem Fall können nur die Vorderräder des Kraftfahrzeugs gelenkt werden.
Deshalb arbeitet das System unter inhärent sicheren Bedindungen.
Die gemäß dem Funktionsdiagramm der Figur 4 bewirkte Steuerung ist vom "Modell-Folge"-Typ.
Da sich im allgemeinen die Eigenschaften des Stellglieds und der zugeordneten elektrohydraulischen Steuereinheit gemäß der Änderung in der Dynamik des Steuersignals ändern, gibt es in Wirklichkeit nicht ein einziges mathematisches Ein-/Ausgabemodell dieser Gesamtheit, welches unter allen Betriebsbedingungen verwendet werden kann. Die Übernahme eines einzigen mathematischen Modells kann deshalb die Bestimmung einer möglichen Fehlfunktion oder einer Störung des Systems weniger genau machen.
Um diesen Nachteil zu beheben, werden vorteilhafterweise nicht ein, sondern eine Vielzahl mathematischer Modelle in den Prozessoren gespeichert, wobei jedes zur Verwendung in verschiedenen Zusammenhängen (dynamischen Bereichen) vorgesehen ist. Die Auswahl des in dem jeweiligen Fall zu verwendenden Modells wird mittels eines vorbestimmten Entscheidungskriteriums, beispielsweise auf der Grundlage der Dynamik des Steuersignals, bewirkt. Diese Lösung mach es möglich, in jedem Fall das beste mathematische Modell zu übernehmen.
Selbstverständlich können unter Beibehaltung des Prinzips der Erfindung die Ausführungsformen und Merkmale gegenüber jenen beträchtlich verändert werden, die lediglich anhand nicht beschränkender Beispiele beschrieben und dargestellt wurden.

Claims

1. System zur inhärent sicheren Steuerung der Lenkung der Hinterräder eines Kraftfahrzeugs, umfassend:

- Stellmittel (H) mit einem beweglichen Element (4), welches dazu ausgelegt ist, die Räder zu lenken,

- den Stellmitteln (H) zugeordnete elektrische Steuermittel (C), welche dazu ausgelegt sind, das bewegliche Element (4) zu verstellen, wobei die Steuermittel (C) erste und zweite Treiberstufen (14A, 14B) umfassen, welche dazu ausgelegt sind, gemeinsam oder getrennt die gesteuerte Aktivierung der Stellmittel (H) entsprechend den Eigenschaften von ersten und zweiten, jeweils an deren jeweilige Eingänge angelegten Steuersignaien zu bewirken, wobei die Steuermittel (C) weiterhin Sicherheitsmittel (15 - 20) umfassen, welche dazu ausgelegt sind, das bewegliche Element (4) in eine vorbestimmte, keiner Lenkung der Räder entsprechende Neutralstellung zu verstellen und dort zu halten, wenn ein Freigabesignal einen Freigabeeingang (18) der Steuermittel (C) nicht erreicht,

- erste und zweite Stellungssensoren (8A, 8B), die jeweils dazu ausgelegt sind, elektrische Signale bereitzustellen, welche die tatsächliche Stellung des beweglichen Elements (4) anzeigen, und

- erste und zweite elektronische Verarbeitungs- und Steuermittel (A, B), die voneinander unabhängig sind, durch einen Verbindungskanal (2, M) gekoppelt sind und mit den ersten bzw. zweiten Treiberstufen (14A, 14B), dem Freigabeeingang (18) der Steuermittel (C) und den beiden Stellungssensoren (8A, 8B) verbunden sind,

wobei die ersten und zweiten Verarbeitungs- und Steuermittel (A, B) jeweils dazu ausgelegt sind:

- die von den Stellungssensoren (8A, 8B) bereitgestellten Signale zu empfangen und deren Übereinstimmung zu verifizieren,

- die von jedem Stellungssensor (8A, 8B) bereitgestellten Stellungsinformationen (P8A, P8B) mit einer theoretischen Stellung (PV) zu vergleichen, welche auf der Grundlage der gewünschten Stellung (PREF) des beweglichen Elements (4) gemäß einem in jedem der Verarbeitungs- und Steuermittel (A, B) gespeicherten mathematischen Modell der Steuermittel (C) und der Stellmittel (H) berechnet wird,

- auf der Grundlage der Verifikation und des Vergleichs eine mögliche Störung eines der Sensoren (8A, 8B) und/oder einer der Treiberstufen (14A, 14B) und/oder der Stellmittel und der zugehörigen Steuermittel (H, C) zu erfassen,

- an die zugeordnete Treiberstufe (14A, 14B) ein jeweiliges Steuersignal zu liefern, welches entsprechend der Differenz zwischen einer Referenzstellung (PREFA, PREFB) des beweglichen Elements (4) und dessen tatsächlicher, durch den jeweils zugeordneten Stellungssensor (8A, 8B) erfaßten Stellung (P8A, P8B) erzeugt wird, wenn die Stellungssensoren (8A, 8B) ordnungsgemäß arbeiten, und welches entsprechend der Differenz zwischen der Referenzstellung und der tatsächlichen, durch den übrig bleibenden Sensor erfaßten Stellung erzeugt wird, wenn einer der Sensoren (8A, 8B) sich in einem Störungszustand befindet,

- diejenige Treiberstufe, die sich in einem Störungszustand befinden kann, abzuschalten und in diesem Fall das Stellglied nur mit Hilfe der übrig bleibenden Treiberstufe zu steuern, und

- das Freigabesignal an den Steuermitteln (C) zu unterbrechen, wenn ein Störungszustand des Steuersystems und/oder der Stellmittel erfaßt wird.

2. System nach Anspruch 1, dadurch gekennzeichnet, daß die Stellmittel einen doppeltwirkenden Zylinder (H, 3 - 7) umfassen.

3. System nach Anspruch 2, dadurch gekennzeichnet, daß die Steuermittel umfassen:

- eine Quelle (10) eines unter Druck stehenden Fluids,

- ein Proportional-Magnetventil (13), das mit zwei Steuer-Elektromagneten (13A, 13B) versehen ist, welche durch die erste bzw. zweite Treiberstufe (14A, 14B) gesteuert werden, wobei das Proportional-Magnetventil (13) zwischen der Quelle (10) und dem doppeltwirkenden Zylinder (H) angeordnet ist.

4. System nach Anspruch 3, dadurch gekennzeichnet, daß die Sicherheitsmittel ein zwischen dem Proportional-Magnetventil (13) und dem doppeltwirkenden Zylinder (H) angeordnetes Magnetventil (15) umfassen, welches dazu ausgelegt ist, wahlweise einen ersten Zustand oder einen zweiten Zustand anzunehmen, in welchem es die Kopplung des Proportional-Magnetventils (13) und des doppeltwirkenden Zylinders (H) ermöglicht bzw. verhindert.