EP1349759A1

EP1349759A1 - Device for monitoring sensor means arranged in a vehicle

Info

Publication number: EP1349759A1
Application number: EP01273116A
Authority: EP
Inventors: Matthias Benzinger; Rainer Freitag; Wilfried Huber; Markus Wimmer; Reinhold Wolpert
Original assignee: DaimlerChrysler AG
Current assignee: Mercedes Benz Group AG
Priority date: 2001-01-12
Filing date: 2001-12-19
Publication date: 2003-10-08
Also published as: DE10162689A1; WO2002055356A1

Abstract

The invention relates to a device for monitoring sensor means that are arranged in a vehicle, whereby at least one first and one second sensor means are involved. These sensor means, together, form a first sensor groups and are used to determine measured values for a first physical quantity. The device comprises preparation means with which the measured values determined by the sensor means that belong to the first sensor group are processed and are supplied to at least two redundant evaluation means. In the at least two redundant evaluation means, one comparison at a time is carried out in order to identify a fault, which occurs at at least one of the sensor means that belongs to the first sensor group. This comparison involves comparing the measured values of the first sensor means with the measured values of the second sensor means. At least two redundant preparation means, of which one at a time is assigned to one of the evaluation means, are used in order to increase the reliability when monitoring the sensor means.

Description

       

  



  Vorrichtung zur Überwachung von in einem Fahrzeug angeordne ten Sensormitteln Die Erfindung betrifft eine Vorrichtung zur Überwachung von in einem Fahrzeug angeordneten Sensormitteln. Solche Vorrichtungen sind aus dem Stand der Technik in vielerlei Modifikationen bekannt.



  So ist aus der DE 199 36 439 AI eine Sensoranordnung mit einer Überwachungseinrichtung bekannt. Die Sensoranordnung weist mindestens zwei redundante Sensoren zur Erfassung einer Prozessführungs-oder Prozessmessgrösse auf. Die mit den Sensoren erfassten Grössen werden einem Subtrahierer zugeführt, der aus den beiden Sensorsignalen eine Differenz bildet. Au sserdem werden die beiden Sensorausgangssignale jeweils differenziert. Die differenzierten Signale werden einem zweiten Subtrahierer zugeführt, der eine zweite Differenz bildet. Die beiden Differenzen werden einer Auswerteeinrichtung zugeführt, in der sie jeweils mit einem vorbestimmbaren Schwellenwert verglichen werden. Dabei wird eine Fehlermeldung erzeugt, wenn mindestens eine der Differenzen den betreffenden Schwellenwert übersteigt.

   Nachteileilig an dieser Überwachungseinrichtung ist, dass lediglich die Sensoren, jedoch weder die Bereitstellungsmittel noch die Auswertemittel redundant vorhanden sind.



  Aus der DE 198 41 335 Al ist eine Vorrichtung zur Steuerung oder Regelung der Bremsanlage eines Fahrzeuges bekannt. Bei dieser Bremsanlage, die nach dem Brake-by-Wire-Prinzip arbeitet, ist eine schnelle und fehlersichere Erfassung des Bremswunsches des Fahrers erforderlich. Um dies zu erreichen, sind mindestens zwei Messeinrichtungen zur Ermittlung des Bremswunsches vorgesehen. Mit diesen Messeinrichtungen wird dieselbe die Bremspedalbetätigung charakterisierende Grösse erfasst. Diese Bremswunschsignale werden zwecks Überwachung mit einem Signal einer dritten Messeinrichtung verglichen. Die Vorrichtung schlägt vor, die Auswerteeinheit redundant auszulegen. Die Einheit, in der die Messdaten aufbereitet werden, ist jedoch nicht redundant ausgelegt.



  Mit den aus dem Stand der Technik bekannten Sensorüberwachungen, die zum einen auf einer redundanten Auslegung der Sensorik und zum anderen auf einer gleichzeitig redundanten Auslegung der Sensorik und der Auswerteeinheit beruhen, wird schon eine gute Zuverlässigkeit erreicht, was die Erkennung von Sensorfehlern angeht. Allerdings werden zukünftig in Fahrzeugen Vorrichtungen zur Regelung von die Fahrzeugbewegung beschreibenden Grössen eingesetzt, die eine noch höhere Zuverlässigkeit bei der Erkennung von Sensorfehlern fordern, als es die aus dem Stand der Technik bekannten Vorrichtungen zur Überwachung von Sensoren zu leisten vermögen. Höhere Zuverlässigkeit bedeutet in diesem Zusammenhang, kleine Fehler sofort zu erkennen.

   D. h. bei der Überwachung sind kleine Schwellen zu verwenden und es steht nur eine kurze Zeit zur Verfügung, innerhalb der ein Sensorfehler erkannt sein muss.



  Gleichzeitig wird gefordert, alle denkbaren   Einzelfehler,    die an einem Sensor auftreten können, durch die Sensorüberwachung abzudecken. Entsprechende Anforderungen und sich daraus ergebende Massnahmen sind auch für die Auswerteeinheiten und/oder die Aufbereitungseinheiten bzw. Bereitstellungsmittel und/oder weitere relevante Komponenten zu fordern und auch zu erfüllen.



  Bei den zukünftig in Fahrzeugen eingesetzten Vorrichtungen zur Regelung von die Fahrzeugbewegung beschreibenden Grössen handelt es sich beispielsweise um ein steer-by-wire-System oder um ein drive-by-wire-System oder um ein brake-by-wire System. All diesen Systemen liegt folgendes Prinzip zugrunde, welches anhand eines steer-by-wire-Systems erklärt wird : Das System weist wenigstens ein durch den Fahrer betätigbares Vorgabemittel auf. Bei einem steer-by-wire-System handelt es sich hierbei um ein Lenkrad oder um einen entsprechend konfigurierten Joystick. Durch die Betätigung des Vorgabemittels wird die Fahrzeugbewegung und somit eine die Fahrzeugbewegung beschreibende Grösse, im vorliegenden Fall der an den lenkbaren Rädern einstellbare Lenkwinkel, beeinflusst.

   Um den Fahrerwunsch erkennen zu können, wird eine Betätigungsgrösse ermittelt, die der vom Fahrer vorgenommenen Betätigung des Vorgabemittels direkt entspricht. Im betrachteten Fall wird beispielsweise der vom Fahrer durch Betätigung des Lenkrades eingestellte Lenkradwinkel ermittelt. Die Betätigungsgrösse wird einem Reglermittel zugeführt. Ferner wird dem Reglermittel der Istwert der durch die Betätigung des Vorgabemittels beeinflussten, die Fahrzeugbewegung beschreibenden Grösse zugeführt. In Abhängigkeit eines Vergleichs der Betätigungsgrö sse mit dem Istwert werden Aktuatormittel, im betrachteten Fall den Vorderrädern zugeordnete Lenksteller, dergestalt angesteuert, dass sich der Istwert entsprechend der Betätigungsgrösse und somit die Fahrzeugbewegung entsprechend der Betätigung des Vorgabemittels einstellt.

   Demzufolge wird bei einem steer-by-wire-System der Lenkwinkel an den Vorderrädern nicht mehr über eine mechanische Verbindung, die das Lenkrad mit dem Lenkgestänge der Vorderräder verbindet, sondern mit Hilfe von Ansteuersignalen, die im Reglermittel erzeugt und den   Lenkstellern    zugeführt werden, eingestellt.



  Die vorstehenden Ausführungen machen Folgendes deutlich : Bei den zukünftigen Vorrichtungen sind sehr hohe Anforderungen an die Sensorik und somit auch an die Überwachung der Sensorik zu stellen. So muss beispielsweise ein Fehler, der an dem Sensor auftritt, mit dem die Betätigungsgrösse ermittelt wird, zuverlässig erkannt werden. Kann dies nicht geleistet werden, dann besteht die Gefahr, dass das Fahrzeug aufgrund eines Sensorfehlers vom Sollkurs, den der Fahrer durch Betätigung des Vorgabemittels, im vorstehenden Beispiel des Lenkrades, vorgibt, abkommt. D. h. die Sensorik muss mit noch kleineren Toleranzen bzw. Schwellen auf Fehler überwacht werden, als dies gemäss dem Stand der Technik bereits getan wird, um ein Abweichen des Fahrzeuges von dem vom Fahrer vorgegebenen Kurs aufgrund eines Sensorfehlers zu vermeiden.

   D. h. es müssen Sensorfehler erkannt werden, die nur kleinen Abweichungen zwischen dem mit dem Sensor erfassten Signal und dem tatsächlich vorliegenden Wert der physikalischen Grösse entsprechen.



  Dadurch wird die eingangs erwähnte geforderte höhere Zuverlässigkeit erreicht.



  Wie bereits oben ausgeführt, schlägt der Stand der Technik zum einen eine redundante Auslegung der Sensorik und zum anderen sowohl eine redundante Auslegung der Sensorik als auch eine redundante Auslegung der Auswerteeinheit vor. Die Berücksichtigung weiterer Redundanz ist nicht vorgesehen. Mit diesen Massnahmen allein kann jedoch die geforderte Zuverlässigkeit bei der Überwachung der Sensoren nicht geleistet werden.



  Vor diesem Hintergrund ergibt sich folgende Aufgabe für den Fachmann : Es sollen bestehende Vorrichtungen zur Überwachung von in einem Fahrzeug angeordneten Sensormitteln dahingehend verbessert werden, dass die Zuverlässigkeit bei der Erkennung von Sensorfehlern weiter gesteigert wird und somit eine Überwachung der Sensormittel mit sehr kleinen Toleranzen bzw.



  Schwellen möglich ist.



  Diese Aufgabe wird durch die Merkmale der Ansprüche 1, 24,25 oder 27 gelöst.



  An dieser Stelle sei bemerkt, dass die erfindungsgemässe Vorrichtung sowohl für Sensoren, mit denen eine zu regelnde Grö sse erfasst wird, als auch für Sensoren, mit denen Grössen erfasst werden, die einer Regelung als Eingangsgrössen zugeführt werden und die nicht der zu regelnden Grösse entsprechen, eingesetzt werden kann. 



  Gemäss einer ersten Lösung enthält die erfindungsgemässe Vorrichtung entsprechend den aus dem Stand der Technik bekannten Vorrichtungen zur Überwachung von in einem Fahrzeug angeordneten Sensormitteln, wenigstens ein erstes und ein zweites Sensormittel, mit denen jeweils Messwerte für eine erste physikalische Grösse ermittelt werden. D.   h.    die erfindungsgemässe Vorrichtung weist zur Erfassung der ersten physikalischen Grösse wenigstens zwei redundante Sensoren auf. Das erste und das zweite Sensormittel bilden zusammen eine erste Sensorgruppe. Ferner weist die erfindungsgemässe Vorrichtung Bereitstellungsmittel auf, mit denen die mit den zu der ersten Sensorgruppe gehörenden Sensormitteln ermittelten Messwerte aufbereitet und wenigstens zwei redundanten Auswertemitteln zugeführt werden.

   In den wenigstens zwei redundanten Auswertemitteln wird zur Erkennung eines Fehlers, der an wenigstens einem der zu der ersten Sensorgruppe gehörenden Sensormittel auftritt, ein Vergleich durchgeführt. Hierzu werden die Messwerte des ersten Sensormittels mit den Messwerten des zweiten Sensormittels verglichen.



  Um die geforderte Zuverlässigkeit für die Überwachung der Sensormittel zu erreichen, ist auch eine redundante Auslegung der Bereitstellungsmittel dergestalt erforderlich, dass jeweils eines dieser Bereitstellungsmittel einem der Auswertemittel zugeordnet ist. Mit anderen Worten : Ausgehend von den Sensormitteln, über die Bereitstellungsmittel, bis hin zu den Auswertemitteln sind zwei redundante Pfade vorhanden, was gemäss des Standes der Technik nicht der Fall ist. Diese beiden redundanten Pfade arbeiten unabhängig voneinander und sind Teil eines eigensicheren Sensordesigns. Diese redundante Auslegung der Pfade beinhaltet selbstverständlich auch, dass die mit den zu einer Sensorgruppe gehörenden Sensormitteln ermittelten Messwerte jedem der redundanten Bereitstellungsmittel und somit auch jedem der redundanten Auswertemittel zugeführt wird. 



  Das Vorhandensein zweier redundanter Pfade hat gegenüber dem Stand der Technik folgenden Vorteil : Fällt ein Teil eines Pfades aus, dann steht immer noch ein zweiter kompletter Pfad zur Verfügung. In solch einem Fall kann eine Regelvorrichtung immer noch in einem reduzierten Umfang betrieben werden und muss nicht gleich vollständig abgeschaltet werden.



  Bei der technischen Realisierung haben sich zwei vorteilhafte Konzepte herausgestellt. Bei einem ersten Konzept sind die Auswertemittel baulich und funktionell separat von einer im Fahrzeug angeordneten Regelungsvorrichtung im Fahrzeug angeordnet. Dadurch ist eine grösstmögliche Flexibilität geboten.



  Die Auswertemittel können beispielsweise in ein Sensormodul eingefügt werden.



  In diesem Fall weisen die wenigstens zwei redundanten Bereitstellungsmittel jeweils ein Abtast-Halte-Glied und/oder einen Multiplexer und/oder einen Analog-Digital-Wandler auf. Die Auswertemittel erzeugen Signale, die dem jeweils zugeordneten Bereitstellungsmittel zu dessen Ansteuerung zugeführt werden.



  Dabei werden die Bereitstellungsmittel dergestalt angesteuert, dass die zu gleichen Zeitpunkten ermittelten Messwerte zeitsynchron eingelesen und die aufbereiteten Messwerte zeitsynchron den Auswertemitteln zugeführt werden.



  Bei einem zweiten Konzept sind die Auswertemittel baulich oder funktionell in einer im Fahrzeug angeordneten Regelungsvorrichtung enthalten. Diese Anordnung hat den Vorteil, dass für die Realisierung der Auswertemittel keine eigenständigen Bauteile benötigt werden. Vielmehr können die Auswertemittel unter Verwendung von Komponenten der Regelungsvorrichtung realisiert werden.



  In diesem Fall weisen die wenigstens zwei redundanten Bereitstellungsmittel jeweils ein Abtast-Halte-Glied und/oder einen Multiplexer und/oder einen Analog-Digital-Wandler und ein Rechnermittel auf. Die Rechnermittel erzeugen Signale, die jeweils dem dem Rechnermittel zugeordneten Abtast-Halte-Glied und/oder Multiplexer   und/oder    Analog-Digital-Wandler zugeführt werden. Dabei werden diese Komponenten dergestalt angesteuert, dass die zu gleichen Zeitpunkten ermittelten Messwerte zeitsynchron eingelesen und die aufbereiteten Messwerte zeitsynchron den Auswertemitteln oder Rechnermitteln zugeführt werden.



  Sowohl im ersten als auch im zweiten Konzept sind das Abtast Halte-Glied, der Multiplexer und der Analog-Digital-Wandler in Reihe geschaltet. D. h. der Multiplexer ist dem Abtast Halte-Glied nachgeschaltet und der Analog-Digital-Wandler ist dem Multiplexer nachgeschaltet.



  Sollen mit Hilfe der Sensoren sich schnell ändernde Grössen erfasst werden, tritt folgendes Problem auf : Werden die mit Hilfe der Sensormittel zu gleichen Zeitpunkten ermittelten Messwerte nicht zeitsynchron, d. h. nicht zeitgleich, sondern mit einem zeitlichen Versatz zueinander ausgewertet, dann können aufgrund der starken Dynamik der zu messenden Grösse Abweichungen zwischen den Messwerten des ersten und des zweiten Sensormittels auftreten, und es würde bei der Verwendung von kleinen Schwellen bzw. Toleranzen auf Vorliegen eines Sensorfehlers erkannt, obwohl in Realität beide Sensormittel nicht fehlerhaft sind.



  Zur Lösung dieses Problems ist in beiden Konzepten vorgesehen, dass mit Hilfe der Bereitstellungsmittel die mit den zu der ersten Sensorgruppe gehörenden Sensormitteln zu gleichen Zeitpunkten ermittelten Messwerte den Auswertemitteln zeitsynchron zur Auswertung zugeführt werden. Dadurch wird erreicht, dass die mit den ersten Sensormitteln ermittelten Messwerte und die mit den zweiten Sensormitteln ermittelten Messwerte in den Auswertemitteln zeitsynchron, d. h. zum gleichen Verarbeitungszeitpunkt, der beispielsweise über ein Taktsignal definiert wird, ausgewertet werden können. Folglich werden die vorstehend beschriebenen Abweichungen zwi schen den Messwerten der beiden Sensormittel, die vor allem bei sich schnell ändernden Signalen aufgrund der grossen Dynamik der Messwerte und einer nicht zeitsynchronen Verarbeitung auftreten würden, vermieden.



  An dieser Stelle sei auf die Bedeutung des Begriffes"zeitsynchron"eingegangen : Die in den Auswertemitteln stattfindende Auswertung erfolgt taktgesteuert. D. h. zu bestimmten, durch einen ersten Takt vorgegebenen Zeitpunkten werden die Messwerte des ersten Sensormittels mit den Messwerten des zweiten Sensormittels verglichen. Demzufolge sollten, zur Vermeidung von Fehlern, die mit dem ersten und dem zweiten Sensormittel zu einem ersten Zeitpunkt gleichzeitig ermittelten Messwerte zu einem zweiten Zeitpunkt zeitgleich in den Auswertemitteln ausgewertet werden. Um dies sicherzustellen, werden die Sensormittel und die Bereitstellungsmittel mit einem zweiten, höheren Takt betrieben.

   Dadurch erreicht man, dass die zu dem ersten Zeitpunkt gleichzeitig ermittelten Messwerte zeitgleich in den Auswertemitteln ausgewertet werden können, auch wenn es in den Bereitstellungsmitteln eventuell zu kleineren Zeitverschiebungen bei der Bearbeitung der Messwerte kommt. Solange diese kleineren Zeitverschiebungen kleiner sind als der durch den ersten Takt vorgegebene zeitliche Abstand, wird sichergestellt, dass diese Zeitverschiebungen nicht zu solch einer Zeitverschiebung in den Auswertemitteln führen, die wiederum zu einem Fehler in der Auswertung führt.



  Zur Realisierung der vorstehend beschriebenen Forderung der Zeitsynchronität erzeugen die Auswertemittel oder die Rechnermittel ein erstes Signal, mit dem das Abtast-Halte-Glied dergestalt angesteuert wird, dass die mit den zu der ersten Sensorgruppe gehörenden Sensormitteln erzeugten Messwerte zeitsynchron, insbesondere zu einem ersten Zeitpunkt, eingelesen und zwischengespeichert werden.

   Alternativ oder ergänzend erzeugen die Auswertemittel oder die Rechnermittel ein zweites Signal, mit dem der Multiplexer und/oder der Analog  Digital-Wandler dergestalt angesteuert werden, dass die Messwerte, insbesondere die in den Abtast-Halte-Gliedern zwischengespeicherten Messwerte, zeitsynchron, insbesondere zu einem zweiten Zeitpunkt, in den Multiplexer eingelesen und von ihm weitergeben und/oder in den Analog-Digital-Wandler eingelesen und dort gewandelt werden, und die gewandelten Messwerte somit zeitsynchron den Auswertemitteln oder Rechnermitteln zugeführt werden. Wie bereits oben ausgeführt, sind dem ersten Konzept die Auswertemittel und dem zweiten Konzept die Rechnermittel zuzuordnen.



  Bei den zukünftig in Fahrzeugen eingesetzten Vorrichtungen kann nicht nur eine, sondern es können mehrere verschiedene physikalische Grössen geregelt werden, wobei jede für sich eine die Fahrzeugbewegung beschreibende Grösse darstellt. Bei einer Fahrdynamikregelung sind dies beispielsweise die Gierrate und der Schwimmwinkel. Ausserdem ist es bei diesen zukünftig eingesetzten Vorrichtungen erforderlich, zusätzlich die Einganggrössen, die nicht der zu regelnden Grösse entsprechen, ebenfalls mit der für die zu regelnde Grösse geforderten Zuverlässigkeit zu überwachen. Folglich sind im Fahrzeug weitere, aus wenigstens einem ersten und einem zweiten Sensormittel bestehende Sensorgruppen vorhanden.

   Dabei werden mit den zu einer der weiteren Sensorgruppen gehörenden Sensormitteln Messwerte für weitere physikalische Grössen ermittelt, wobei sich diese weiteren physikalischen Grössen sowohl untereinander als auch von der ersten physikalischen Grösse unterscheiden.



  Beispielsweise können folgende Sensorgruppen in einem Fahrzeug vorhanden sein : Eine erste Sensorgruppe, wobei es sich bei den zu der ersten Sensorgruppe gehörenden Sensormitteln um einen ersten und einen zweiten Drehratensensor zur Erfassung der Drehbewegung des Fahrzeuges um dessen Hochachse handelt, und/oder eine zweite Sensorgruppe, die aus einem ersten und einem zweiten Drehratensensor zur Erfassung der Drehbewegung des  Fahrzeuges um seine Längsachse besteht, und/oder eine dritte Sensorgruppe, die aus einem ersten und einem zweiten Drehratensensor zur Erfassung der Drehbewegung des Fahrzeuges um seine Querachse besteht, und/oder eine vierte Sensorgruppe, die aus einem ersten und einem zweiten Beschleunigungssensor zur Erfassung der Querbeschleunigung des Fahrzeuges besteht, und/oder eine fünfte Sensorgruppe,

   die aus einem ersten und einem zweiten Beschleunigungssensor zur Erfassung der Längsbeschleunigung des Fahrzeuges besteht, und/oder eine sechste Sensorgruppe, die aus einem ersten und einem zweiten Beschleunigungssensor zur Erfassung der Vertikalbeschleunigung des Fahrzeuges besteht, und/oder eine siebte Sensorgruppe, die aus einem ersten und einem zweiten Sensormittel zur Erfassung des   Lenkradwinkels    oder des Lenkwinkels der Räder besteht.



  Damit die in den Abtast-Halte-Gliedern zwischengespeicherten Messwerte zeitsynchron im Analog-Digital-Wandler verarbeitet werden können, wird der Multiplexer dergestalt angesteuert, dass die mit den zu der jeweiligen Sensorgruppe gehörenden Sensormitteln ermittelten Messwerte paarweise dem Analog Digital-Wandler zugeführt werden.



  Vorteilhafterweise wird zur Durchführung des Vergleiches wenigstens eine Abweichungsgrösse ermittelt, die die Abweichung zwischen den Messwerten des ersten Sensormittels und den Messwerten des zweiten Sensormittels beschreibt. Diese Abwei  chungsgrösse    wird mit einem zugehörigen Schwellenwert verglichen, wobei ein Sensorfehler dann vorliegt, wenn die Abweichungsgrösse grösser als der zugehörige Schwellenwert ist. Bei der Abweichungsgrösse handelt es sich beispielsweise um eine Differenzgrösse, die die Differenz zwischen den Messwerten der beiden Sensormittel beschreibt, oder um eine Quotientengrösse, die das Verhältnis zwischen den Messwerten der beiden Sensormittel beschreibt. Die Verwendung der Differenzgrösse hat zudem den Vorteil, dass eventuell vorhandene Offsets in den  Sensorsignalen weitestgehend eliminiert werden.



  Bei der ersten physikalischen Grösse handelt es sich um eine die Querdynamik des Fahrzeuges beschreibende Grösse, die einer steer-by-wire Regelungsvorrichtung als Eingangsgrösse zugeführt wird. Für diesen Fall wird der Schwellenwert vorteilhafterweise wie folgt ermittelt : Der Schwellenwert wird in Abhängigkeit eines Wertes für den maximal zulässigen Spurversatz ermittelt, den das Fahrzeug bei Auftreten eines Fehlers bei einem der zu der ersten Sensorgruppe gehörenden Sensormittel aufweisen darf, und der zu keiner nenneswerten Abweichung zwischen dem vom Fahrer gewünschten Kurs und dem vom Fahrzeug tatsächlich gefahrenen Kurs führt. Bei der ersten physikalischen Grösse kann es sich um die Querbeschleunigung oder die Giergeschwindigkeit des Fahrzeuges oder den Lenkwinkel oder den Lenkradwinkel handeln.



  Wie oben dargestellt, führt ein nicht kompensierter Sensorfehler bei einem steer-by-wire-System dazu, dass ausgehend von dem gemessenen Signal, welches aufgrund des Sensorfehlers verfälscht ist und somit die tatsächlich vorliegende Situation, d. h. die Fahrzeugsituation, nicht richtig wiedergibt, Ansteuersignale für die dem System zugeordneten Aktuatoren ermittelt werden. In Abhängigkeit dieser Ansteuersignale werden die Aktuatoren betätigt und die Fahrzeugbewegung beeinflusst, obwohl gar keine Beeinflussung der Fahrzeugbewegung erforderlich wäre. Diese aufgrund eines nicht kompensierten Sensorfehlers fälschlicherweise vorgenommene Beeinflussung der Fahrzeugbewegung führt zu einem Spur-und somit einem Querversatz des Fahrzeuges, den der Fahrer kompensieren muss, damit das Fahrzeug dem von ihm gewünschten Kurs folgt.

   Der maximal zulässige Spurversatz wird bei der erfindungsgemässen Vorrichtung so gewählt, dass dieser zu keiner nennenswerten Abweichung von dem vom Fahrer gewünschten Kurs führt, und der Fahrer somit eine nur geringfügige Kompensation vornehmen muss. 



  Bei den physikalischen Grössen, die mit den Sensormitteln erfasst werden, handelt es sich um Grössen, die die Fahrzeugbewegung beschreiben. D. h. diesen Grössen ist zum einen eine Information darüber, in welcher Richtung die Bewegung des Fahrzeuges und zum anderen eine Information darüber, mit welcher Stärke diese Bewegung erfolgt, zu entnehmen. Bei diesen Grö ssen handelt es sich teilweise um vektorielle Grössen, wie die Längs-oder die Quer-oder die Vertikalbeschleunigung. Oder es handelt sich um Grössen, die eine Drehbewegung des Fahrzeuges beschreiben, wie beispielsweise die Gierbewegung des Fahrzeuges um seine Hochachse oder die Wankbewegung des Fahrzeuges um seine Längsachse oder die Nickbewegung des Fahrzeuges um seine Querachse.

   Es handelt sich aber auch um Grössen, die den Lenkradwinkel oder den an den lenkbaren Rädern eingestellten Lenkwinkel beschreiben, wobei auch diese Grössen eine Drehbewegung beschreiben. Die Grössen, die eine Drehbewegung beschreiben, enthalten ebenfalls eine Information über die Richtung und die Stärke der Bewegung, d. h. der Drehbewegung.



  Vor diesem Hintergrund muss es sich bei den zu der jeweiligen Sensorgruppe gehörenden ersten und zweiten Sensormitteln um solche Sensormittel handeln, mit denen die physikalischen Grössen nach Betrag, d. h. nach Stärke der Bewegung, und nach Vorzeichen, d. h. nach Richtung der Bewegung, erfasst werden.



  Als Vorteil hat sich dabei erwiesen, dass die ersten und zweiten Sensormittel einer Sensorgruppe im Fahrzeug so angeordnet sind, dass die jeweils mit ihnen für eine physikalische Grösse ermittelten Messwerte gleichen Betrag aber inverses Vorzeichen aufweisen. Durch diese Massnahme können gleichgerichtete Fehler, sogenannte Common-Mode-Fehler, die sowohl bei den Messwerten des ersten Sensormittels als auch bei den Messwerten des zweiten Sensormittels auftreten, eliminiert werden. Denn bei der Verarbeitung der Messwerte, die aus einer Addition mit anschliessender Mittelwertbildung besteht, eliminieren sich diese gleichgerichteten Fehler.



     Bzgl.    der Anordnung des ersten und des zweiten Sensormittels im Fahrzeug kann zusammenfassend festgehalten werden : Die zu einer Sensorgruppe gehörenden Sensormittel sind komplementär zueinander angeordnet. D. h. die Vorzugsachsen bzw. Messachsen der beiden Sensormittel, bzgl. der die Messung erfolgt, sind um 180  zueinander versetzt ausgerichtet.



  Vorteilhafterweise sind die zu einer Sensorgruppe gehörenden Sensormittel jeweils zu einer baulichen Einheit, einem sogenannten Sensormodul, zusammengefasst. Diese bauliche Einheit ist an einem Ort des Fahrzeuges angebracht. Diese Zusammenfassung zu einer baulichen Einheit hat folgende Vorteile : Wenn die redundanten Sensoren in einem Sensormodul zusammengefasst sind, braucht der Einfluss von Einbauwinkelfehlern der Sensoren im Fahrzeug bei der Überwachung nicht berücksichtigt zu werden.



  Es ist auch denkbar, mehrere verschiedene Sensorgruppen, mit denen verschiedene physikalische Grössen ermittelt werden, zu einem Sensormodul zusammenzufassen. Dies und auch die   vorste-    hend erwähnte Zusammenfassung der zu einer Sensorgruppe gehörenden Sensormittel zu einem Sensormodul ist vor allem für die im Rahmen der Regelung eingesetzten Beschleunigungssensoren von Vorteil : Sind die zu einer Sensorgruppe gehörenden ersten und zweiten Beschleunigungssensoren an verschiedenen Orten im Fahrzeug eingebaut, so unterscheiden sich die mit ihnen jeweils ermittelten Messwerte, da diese in Abhängigkeit des Einbauortes unterschiedliche Anteile enthalten, die auf die Drehbewegung des Fahrzeuges zurückgehen.

   Sollen die mit den zu einer Sensorgruppe gehörenden Beschleunigungssensoren ermittelten Messwerte miteinander verglichen werden, ist folglich eine Transformation der Messwerte erforderlich, in die der Abstand zwischen den beiden Einbauorten der Beschleunigungssensoren, die resultierende Winkelgeschwindigkeit, die resultierende Winkelbeschleunigung und verschiedene Einflüsse der Fahrzeugstruktur-beispielsweise Schwingungen der Karosserie, die an unterschiedlichen Orten des Fahrzeuges unterschiedlich sein können-eingehen. Um zum einen diese aufwendige Transformation-bei der eventuell Transformationsfeh lern auftreten können-zu vermeiden und zum anderen den Einfluss der Fahrzeugschwingungen so gering wie möglich zu halten, ist erfindungsgemäss der Einsatz eines Sensormoduls vorgesehen, in dem die zu einer Sensorgruppe gehörenden Sensormittel zusammengefügt sind.



  Vorteilhafterweise werden die gewandelten Messwerte, bevor sie den Auswertemitteln zugeführt und dort ausgewertet werden, in den Rechnermitteln gefiltert und/oder aufbereitet.



  Bei entsprechender Dimensionierung der Filtermittel wird mit der Filterung eine zeitliche Mittelwertbildung erreicht.



  Durch die Verwendung der Mittelwerte der mit den Sensormitteln ermittelten Messwerte, wird der Einfluss eines möglichen Fehlers halbiert, wodurch der Schwellenwert für die Überwachung verdoppelt werden kann. Dadurch können die Anforderungen an die Fertigung der Sensormittel reduziert werden.



  Die vorstehend aufgeführte Filterung und/oder Aufbereitung kann in den Auswertemitteln selbst oder in den in den Bereitstellungsmitteln enthaltenen Rechnermitteln stattfinden, je nachdem, welches der eingangs erwähnten Konzepte verfolgt wird.



  Ebenfalls ist es beim ersten Konzept vorteilhaft, wenn die in den Auswertemitteln gefilterten und/oder aufbereiteten Messwerte und/oder die Ergebnisse des Vergleichs über ein Bussystem der Regelungsvorrichtung zugeführt werden. Beim zweiten Konzept ist es gleichfalls vorteilhaft, wenn die in den Rechnermitteln gefilterten oder aufbereiteten Messwerte über ein Bussystem den in der Regelungsvorrichtung   enthaltenen Auswer-    temitteln zugeführt werden. Als Bussystem oder Datenbus kann beispielsweise ein CAN-Bus verwendet werden. Die Verwendung eines Datenbusses anstelle einer analogen Datenleitung hat den Vorteil, dass die übertragenen Messwerte nicht aufgrund von EMV-Störungen verfälscht werden, was bei einer analogen Übertragung der Fall sein kann.

   Dadurch wird die Qualität der Überwachung der Sensormittel gesteigert, denn es kann auf kleinere Fehler hin überwacht werden. Ausserdem können verschiedene Überwachungen durchgeführt werden. So kann beispielsweise mit Hilfe eines Botschaftszählers überprüft werden, ob überhaupt Daten übertragen werden. Oder es können mit Hilfe einer Cross-Check-Auswertung Bitfehler erkannt werden.



  Weiterhin ist es vorteilhaft, dass zumindest ein Teil der auf das Bussystem ausgegeben Messwerte wieder in die Auswertemittel oder in die Rechnermittel eingelesen und einer Plausibilitätsprüfung unterzogen wird. Dadurch besteht die Möglichkeit, Fehler, die bei der Ausgabe der Messwerte auftreten können, zu erkennen.



  Ebenso ist es von Vorteil, wenn sich die wenigstens zwei redundanten Auswertemittel gegenseitig überwachen. Dadurch kann ein eventuell fehlerhaftes Auswertemittel erkannt, und der zugehörige Pfad deaktiviert werden.



  Ein weiterer Vorteil ergibt sich daraus, dass für jedes Aus  wertemittel    eine eigene Spannungsversorgung vorgesehen ist.



  Weiter ist es von Vorteil, wenn der Schwellenwert in Abhängigkeit von einer die Geschwindigkeit des Fahrzeuges beschreibenden Grösse ermittelt wird. Dadurch kann der Schwellenwert an die Fahrzeuggeschwindigkeit beispielsweise dergestalt angepasst werden, dass mit zunehmender Fahrzeuggeschwindigkeit der Schwellenwert verkleinert wird. Für den Fall, dass die Fahrzeuggeschwindigkeit nicht zur Verfügung steht, kann der Schwellenwert alternativ in Abhängigkeit der Giergeschwindigkeit ermittelt und/oder beeinflusst werden.



  Eine zweite eigenständige und im Vergleich zu der ersten gleichberechtigte Lösung der der Erfindung zugrundeliegenden Aufgabe ist folgende : Die Vorrichtung zur Überwachung von in einem Fahrzeug angeordneten Sensormitteln, wobei es sich um wenigstens ein erstes und ein zweites Sensormittel handelt, die zusammen eine erste Sensorgruppe bilden, und mit denen jeweils Messwerte für eine erste physikalische Grösse ermittelt werden, weist folgende Mittel auf :   Bereitstellungsmit-    tel, mit denen die mit den zu der ersten Sensorgruppe gehörenden Sensormitteln ermittelten Messwerte Auswertemitteln zugeführt werden.

   In den Auswertemitteln wird, zur Erkennung eines Fehlers, der an wenigstens einem der zu der ersten Sensorgruppe gehörenden Sensormittel auftritt, ein Vergleich durchgeführt, bei dem die Messwerte des ersten Sensormittels mit den Messwerten des zweiten Sensormittels verglichen werden. Um die geforderte Zuverlässigkeit für die Überwachung der Sensormittel zu erreichen, werden mit Hilfe der Bereitstellungsmittel die mit den zu der ersten Sensorgruppe gehörenden Sensormitteln zu gleichen Zeitpunkten ermittelten Messwerte den Auswertemitteln zeitsynchron zur Auswertung zugeführt.



  An dieser Stelle sei auf folgendes hingewiesen : Weitere Ausgestaltungen dieser zweiten Lösung ergeben sich aus einer Kombination des im Anspruch 24 enthaltenen Gegenstand mit den Gegenständen der Unteransprüche, die auf Anspruch 1 direkt oder indirekt rückbezogen sind.



  Eine dritte Lösung der der Erfindung zugrundeliegenden Aufgabe besteht in einem Sensormodul, welches mindestens ein erstes und ein zweites Sensormittel enthält, die zusammen eine erste Sensorgruppe bilden, wobei mit den ersten und den zweiten Sensormitteln jeweils Messwerte für eine erste physikalische Grösse ermittelt werden. Die physikalische Grösse wird mit den ersten und den zweiten Sensormitteln nach Betrag und Vorzeichen erfasst. Die ersten und die zweiten Sensormittel sind in dem Sensormodul so angeordnet, dass die jeweils ermittelten Messwerte gleichen Betrag aber inverses Vorzeichen aufweisen. Dadurch lassen sich zum einen Common-Mode-Fehler, Schwingungsfehler und Transformationsfehler eliminieren.



  Wie den vorstehenden Ausführungen zu entnehmen ist, wird die erfindungsgemässe Vorrichtung vorteilhafterweise in einem drive-by-wire-System oder einem steer-by-wire-System oder einem brake-by-wire-System verwendet, d. h. eingesetzt, da die erfindungsgemässen Vorrichtung zur Überwachung von Sensormitteln die Anforderungen an die Genauigkeit, die Zuverlässigkeit und die geforderte minimale Erkennungszeit bei der Fehlererkennung erfüllt, die bei solchen Systemen gefordert sind. Dies gilt sowohl für die erste Lösung als auch für die zweite Lösung.



  An dieser Stelle sei bemerkt, dass die erfindungsgemässe Vorrichtung nicht nur bei steer-by-wire-oder drive-by-wire-oder brake-by-wire-Systemen zum Einsatz kommen kann. Vielmehr kann die erfindungsgemässe Vorrichtung auch in zukünftig eingesetzten Vorrichtungen zur Regelung der Fahrdynamik eines Fahrzeuges (ESP-System), bei denen nicht nur in Grenzsituationen, bei denen eine hinreichend grosse Abweichung zwischen dem Istwert und dem Sollwert der Gierrate vorliegt, Eingriffe an den Bremsen und/oder am Motor des Fahrzeuges vorgenommen werden, sondern unabhängig von der Grösse dieser Abweichung permanent Eingriffe ausgeführt werden. Bei solch einer zukünftig eingesetzten Vorrichtung kann es sich beispielsweise um eine Giergeschwindigkeitsregelung handeln, die mittels eines steer-by-wire-Systems ausgeführt wird.



  Weitere vorteilhafte Ausgestaltungen können der Beschreibung und der Zeichnung entnommen werden. Es sollen auch die vorteilhaften Ausgestaltungen einbezogen sein, die sich aus einer beliebigen Kombination der Unteransprüche ergeben.



  An dieser Stelle sei auf die Bedeutung des Begriffes"redundant"eingegangen : Eine Auslegung ist dann redundant, wenn eine Komponente zahlenmässig öfter vorhanden ist, als es für die Realisierung der eigentlichen Funktion, erforderlich wäre.



  Das Ausführungsbeispiel wird nachstehend anhand der Zeichnung näher beschrieben. Es zeigen :  Fig. la eine schematische Darstellung der erfindungsgemässen Vorrichtung nach dem ersten Konzept in Form eines Blockschaltbildes, Fig.   1b    eine schematische Darstellung der erfindungsgemässen Vorrichtung nach dem zweiten Konzept in Form eines Blockschaltbildes, Fig. 2 ein Ablaufschema welches in der erfindungsgemässen Vorrichtung zur Überwachung der im Fahrzeug angeordneten Sensormittel abläuft.



  Zunächst soll auf den theoretischen Hintergrund der erfindungsgemässen Vorrichtung eingegangen werden, mit der eine eigensichere Sensorik, insbesondere für steer-by-wire-oder drive-by-wire-oder brake-by-wire-Systeme geschaffen wird.



  Die vorstehend aufgeführten einzelnen Systeme werden nachfolgend mit x-by-wire-Systemen zusammenfassend bezeichnet.



  Herkömmliche Vorrichtungen zur Regelung einer die Querdynamik des Fahrzeuges beschreibenden Grösse, wie beispielsweise eine Gierraten-oder Fahrdynamikregelung (ESP), die Eingriffe an den Bremsen oder dem Motor durchführen, werden erst bei Überschreiten von Anregelschwellen aktiv. Sensorfehler die kleiner als diese Anregelschwellen sind wirken sich nicht aus.



  Bei   x-by-wire-Systemen,    wie beispielsweise einer Giergeschwindigkeitsregelung, die mittels eines steer-by-wire Systems ausgeführt wird, führen fehlerhafte Sensorsignale beispielsweise für den Lenkradwinkel oder die Giergeschwindigkeit oder die Querbeschleunigung unmittelbar zu einer Abweichung vom Sollkurs. Für solche Systeme ist eine hochgenaue, zuverlässige und unmittelbare Fehlererkennung notwendig.



  Vor diesem Hintergrund muss die mit der erfindungsgemässen Vorrichtung zu realisierende Sensor-Fehlererkennung in der  Lage sein, die aus Systemsicht notwendigen Überwachungsschwellen und Fehlererkennungzeiten zu realisieren.



  Zur Erfüllung der vorstehenden Anforderungen werden die Schwellenwerte für die Sensorüberwachung definiert. Dann wird das Sensorkonzept bzw. das Sensordesign sowie die Sensorspezifikation und die Einbausituation festgelegt.



  Wie bereits oben ausgeführt, ist zur Festlegung der einzelnen Schwellenwerte für die Sensorgruppen der zulässige Spurversatz infolge eines Sensorfehlers relevant. Besonders kritisch sind dabei sprungartige Sensorfehler. Deshalb wird der Querversatz aufgrund eines sprungartiger Fehlers betrachtet. Näherungsweise können dabei folgende Betrachtungen angestellt werden :
EMI19.1     
 Dabei ist Ay der Querversatz des Fahrzeuges, vx die Fahrzeuggeschwindigkeit in Längsrichtung, T die Zeit,   AV    der Sprung in der Giergeschwindigkeit und   AW die    Änderung des Gierwinkels in Folge des Sprunges in der Giergeschwindigkeit. Die mit einem Punkt dargestellten Grössen stellen die jeweiligen zeitlichen Ableitungen dar.



  Ausgehend von Gleichung   (1)    kann der maximal zulässige Sensorfehler und somit der Schwellenwert für die Sensormittel, mit denen die Giergeschwindigkeit und somit eine Drehbewegung des Fahrzeuges um seine Hochachse ermittelt wird, wie folgt festgelegt werden : 
EMI20.1     

 Aywzulassig=Min <SEP> [TYz, <SEP> Kl] <SEP> =Mint, <SEP> K12 <SEP> mit <SEP> KO= <SEP> T2Y <SEP> (2)
<tb>  wobei Kl ein Begrenzungswert ist. D.   h.    der Schwellenwert wird in Abhängigkeit des Quer-oder Spurversatzes, der Fahrzeuggeschwindigkeit und einer Zeitgrösse ermittelt. Bei den Sensormitteln handelt es sich um Drehratensensoren, deren Messachse in Richtung der Hochachse des Fahrzeuges orientiert ist.



  Mit der Beziehung   # = ay,    die für den stationären Fall gilt, vx und aus der   hay=A-vx    folgt, kann unter Verwendung von Gleichung   (1)    der maximal zulässige Sensorfehler und somit der Schwellenwert für die Querbeschleunigungssensoren wie folgt festgelegt werden :
EMI20.2     

 CZyzuldssig <SEP> = <SEP> MirZC <SEP> 2 <SEP> Zy <SEP> ; <SEP> K2J
<tb>  <SEP> 1 <SEP> T <SEP> 2 <SEP> (3)
<tb>  wobei K2 ein Begrenzungswert ist. D. h. der Schwellenwert wird in Abhängigkeit des Quer-oder Spurversatzes und einer Zeitgrösse ermittelt.



  Für die Sensormittel, mit denen der Lenkradwinkel oder der Lenkwinkel ermittelt wird, lässt sich der maximal zulässige Sensorfehler und somit der Schwellenwert nach folgendem Ansatz ermitteln : Im stationären Zustand gilt die Beziehung
EMI20.3     
 die auch als Ackermann-Beziehung bezeichnet wird. Dabei ist   8    der Lenkradwinkel, i die Lenkübersetzung,   1    der Radstand und vch eine charakteristische Geschwindigkeit. 



  Aus dieser Beziehung ergibt sich der Schwellenwert zu
EMI21.1     


<tb>  <SEP> 2. <SEP> Ay-i-1 <SEP> 1 <SEP> 1
<tb>  & 2lassig=Min <SEP> [Yz <SEP> (vx2'rvl, <SEP> 2) <SEP> ; <SEP> K] <SEP> (4)
<tb>  <SEP> TZ <SEP> vx2 <SEP> vn2,
<tb>  wobei K3 ein Begrenzungswert ist. D. h. der Schwellenwert wird in Abhängigkeit des Quer-oder Spurversatzes, der Lenkübersetzung, des Radstandes, einer   Zeitgrösse,    der Fahrzeuggeschwindigkeit und der charakteristischen Geschwindigkeit ermittelt.



  Für die Sensormittel, mit denen die Wank-oder die Nickbewegung oder die Längs-oder die Vertikalbeschleunigung des Fahrzeuges ermittelt wird, können die Schwellenwerte in entsprechender Weise festgelegt werden. In diesen Fällen müssen unter Umständen anstelle des maximal zulässigen Querversatzes des Fahrzeuges andere Grössen als Ausgangspunkt verwendet werden.



  Falls die Fahrzeuggeschwindigkeit nicht bekannt ist, können die Schwellenwerte auch abhängig von der Giergeschwindigkeit formuliert werden. Hierbei geht man von der im stationären Zustand geltenden Beziehung   vx = ay/#    aus, wobei angenommen    tU ist    wird, dass die Querbeschleunigung ay kleiner oder höchsten gleich der maximal möglichen Querbeschleunigung ist.



  Somit ergibt sich für die Sensormittel zur Erfassung der Giergeschwindigkeit der Schwellenwert zu
EMI21.2     


<tb> L <SEP> u/uldssig <SEP> = <SEP> Mll2 <SEP> 2. <SEP> Y'% <SEP> ist <SEP> j <SEP> K <SEP> 1
<tb>  <SEP> Cly <SEP> max'T
<tb>  und für die Sensormittel zur Erfassung des Lenkwinkels oder des   Lenkradwinkels    zu 
EMI22.1     


<tb>  <SEP> . <SEP> 2 <SEP> 1
<tb> . <SEP> c- <SEP> . <SEP> 2-Av' <SEP> !-/. <SEP> t <SEP> l. <SEP> .
<tb>



   <SEP> T <SEP> ayma <SEP> vcs,
<tb>  <SEP> 7 <SEP>  < max <SEP> Vc/
<tb>  In einem weiteren Schritt wird nach Festlegung der Schwellenwerte das Sensordesign bzw. das Sensorkonzept festgelegt.



  Wie oben bereits ausgeführt, müssen bei x-by-wire-Systemen schon kleinste Sensorfehler unmittelbar erkannt werden. Dies ist durch eine modellgestützte Sensorüberwachung nicht realisierbar, da diese aufgrund der Modellberechnungen zu langsam und nicht genau genug wäre. Diese Anforderung kann jedoch mittels redundant ausgelegter Sensorik erfüllt werden. Deshalb sind für jede Messgrösse zwei redundante Sensoren vorgesehen. Bei den Messgrössen handelt es sich beispielsweise um die Quer-, die Längs-und die Vertikalbeschleunigung, sowie um die Giergeschwindigkeit, die eine Drehbewegung des Fahrzeuges um seine Hochachse beschreibt, um die Wankgeschwindigkeit, die eine Drehbewegung des Fahrzeuges um seine Längsachse beschreibt und um die   Nickgeschwindigkeit,    die eine Drehbewegung des Fahrzeuges um seine Querachse beschreibt.

   Ferner handelt es sich um den Lenkradwinkel oder um den Lenkwinkel.



  Ferner muss gefordert werden, dass die redundanten Sensorsignale zum selben   Messzeitpunkt    erfasst werden müssen, damit bei sich schnell ändernden Signalen die Sensorüberwachung nicht versehentlich anspricht.



  Ausserdem sollten Common-Mode-Fehler, die bei beiden Sensormitteln einer Sensorgruppe auftreten, unterdrückt werden.



  Hierzu ist eine separate Spannungsversorgung und Auswerteelektronik für jeden der redundanten Sensoren erforderlich.



  Ausserdem müssen die beiden zu einer Sensorgruppe gehörenden Sensormittel mit unterschiedlicher Orientierung im Fahrzeug angeordnet werden. Es sind aber auch andere Möglichkeiten zur Kompensation von Common-Mode-Fehlern denkbar. Bei Drehraten sensoren können solche Fehler beispielsweise auch dadurch unterdrückt bzw. kompensiert werden, dass die verwendeten redundanten Sensoren, nach unterschiedlichen   Messprinzipien    arbeiten. So würde es sich anbieten, gleichzeitig einen ersten Drehratensensor, der auf dem Prinzip von schwingenden Masseelementen beruht, und einen zweiten Drehratensensor, der auf dem faseroptischen Prinzip beruht, einzusetzen.



  Um darüber hinaus eine zuverlässige Signalübertragung   zwi-    schen den Sensormitteln und den im Steuergerät angesiedelten Auswertemitteln zu gewährleisten, wird anstelle einer   analo-    gen Datenleitung ein Datenbus, beispielweise ein CAN-Bus eingesetzt. Um die Funktion der Datenübertragung und somit des Datenbusses überprüfen zu können, kann zum einen ein sogenannter Botschaftszähler eingesetzt werden, mit dem   festge-    stellt werden kann, ob die Ausgabe der Messwerte auf den Datenbus störungsfrei erfolgt. Zum anderen können neben den eigentlichen Messwerten zusätzliche redundante, vorbestimmte Informationen auf den Datenbus mit ausgegeben werden, die beim Empfänger, zur Beurteilung der Funktion der   Datenüber-    tragung, ausgewertet werden.



  Die mit Hilfe einer redundanten Sensorik erzielbare Genauigkeit bei der Überwachung der Sensormittel hängt auch von der Genauigkeit der   Einzelsensoren    ab, die zur Realisierung der redundanten Sensorik verwendet werden. Im einzelnen müssen folgende Einflüsse auf die Messgenauigkeit der Einzelsensoren berücksichtigt werden : - Der Offset des Sensors, bei dem es sich um einen abgleich baren konstanten Wert handelt. Solch ein Offsetwert kann auf verschiedene Art und Weise ermittelt werden. Beispielsweise wird der Offsetwert für den Gierratensensor in einem Zu stand Fahrzeugstillstand, der beispielsweise in Abhängig keit der Fahrzeuggeschwindigkeit detektiert werden kann, ermittelt. Bei Längs-und/oder Querbeschleunigungssensoren bietet es sich an, den Offsetwert über einen Langzeitab gleich zu ermitteln.

   Dieser wird vorteilhafterweise auch bei Fahrtbeginn durchgeführt. Der so ermittelte Offsetwert wird in einem geeigneten Speichermittel, beispielsweise einem   EEPROM,    eingeschrieben. Dieser gespeicherte Wert muss folglich nicht für jeden Startvorgang neu ermittelt werden.



  Eine erneute Abspeicherung wäre erst wieder erforderlich, wenn sich der Offset in einem starken Masse geändert hat.



  Die Ermittlung des   Offsetwertes    für den Gierratensensor kann alternativ auch mit Hilfe eines   Langzeitabgleichs    durchgeführt werden. Der im Falle des Offsets des Sensors betrachtete Fehler wird als Offsetfehler bezeichnet.



     Die Linearität    des Sensors, bei der es sich um einen nicht abgleichbaren konstanten Wert handelt. Der in diesem Zusammenhang betrachtete Fehler wird als   Linearitätsfehler    bezeichnet.



  Die Empfindlichkeit des Sensors. Hierbei handelt   es,    sich um einen prozentualen Fehler, der vom Istwert des Sensorsignals abhängt. Der in diesem Zusammenhang betrachtete Fehler wird als Empfindlichkeitsfehler bezeichnet.



  Das Übersprechen des Sensors. Darunter ist folgendes zu verstehen : Ein Giergeschwindigkeitssensor sollte so im Fahrzeug eingebaut werden, dass seine Messachse exakt parallel zur Hochachse des Fahrzeuges ausgerichtet ist. Aufgrund von Einbautoleranzen wird die parallele Ausrichtung für gewöhnlich nicht ganz erreicht,   d. h.    die Messachse des Giergeschwindigkeitssensors weist einen Winkelfehler auf.



  Dieser Winkelfehler führt dazu, dass beispielsweise bei einem Fahrmanöver, bei dem Kraftkomponenten parallel zur Querachse des Fahrzeuges auftreten, der Giergeschwindigkeitsensor Messwerte liefert, obwohl keine   Giergeschwindig-    keit vorliegt, d. h. es wird eine Wankwinkelgeschwindigkeit auf die Giergeschwindigkeit eingekoppelt. Dieses, im Rahmen der erfindungsgemässen Vorrichtung als Übersprechen bezeichnete Phänomen, tritt auch bei Beschleunigungssensoren auf.



  Der betrachtete Fehler wird als   Übersprechensfehler    bezeichnet.



  Die g-Empfindlichkeit : Hierbei handelt es sich um die Verfälschung des Messsignals aufgrund des Einflusses einer auf den Sensor einwirkenden Beschleunigung, die nicht der Grösse entspricht, die mit Hilfe des Sensors erfasst werden soll. 



  Der in diesem Zusammenhang betrachtete Fehler wird als g Empfindlichkeitsfehler bezeichnet.



  Die Dynamik des Sensors. Darunter ist zu verstehen, dass der Sensor eine gewisse Totphase hat, die vergeht, bis am Ausgang des Sensors das Signal nach Einwirken des äusseren Einflusses anliegt. Der in diesem Zusammenhang betrachtete Fehler wird als Dynamikfehler bezeichnet.



  Einbauwinkel im Fahrzeug. D. h. der im Fahrzeug eingebaute Sensor ist leicht verkippt eingebaut, wodurch ein Winkelfehler der Messachse zustande kommt. Der in diesem Zusammenhang betrachtete Fehler wird als Winkelfehler bezeichnet.



  Die Karosserie des Fahrzeuges führt translatorische und/oder rotatorische Strukturschwingungen durch, die von Ort zu Ort der Karosserie verschieden sein können. Diese Strukturschwingungen führen zu Anteilen in den Sensorsignalen und somit in den mit Hilfe der Sensormittel ermittelten Messwerten. Werden beispielsweise die zu einer Sensorgruppe gehörenden redundante Sensormittel an unterschiedlichen Orten der Karosserie angebracht, so enthalten die mit diesen Sensormitteln ermittelten Messwerte unterschiedliche von den Strukturschwingungen herrührende Anteile. Insofern sind diese Schwingungsfehler zu berücksichtigen. Diese Schwingungsfehler brauchen nicht berücksichtigt zu werden, wenn die zu einer Sensorgruppe gehörenden Sensormittel am selben Einbauort angebracht sind.



  Werden die zu einer Sensorgruppe gehörenden Sensormittel an unterschiedlichen Einbauorten eingebaut, so müssen die mit diesen Sensormitteln ermittelten Messwerte einer Transformation unterzogen werden, damit sie miteinander verglichen werden können. Bei diesen Transformationen können Transformationsfehler auftreten, die berücksichtigt werden müssen.



  Für den Fall, dass die zu einer Sensorgruppe gehörenden Sensormittel am selben Einbauort angebracht werden, brauchen keine Transformationsfehler berücksichtigt zu werden. 



  Die maximale Abweichung des mit Hilfe des Sensormittels ermittelten Messwertes von der Messgrösse entspricht der Summe der oben aufgeführten Einflüsse.



  Maximaler Messfehler   = Offsetfehler     + Linearitätsfehler  + Empfindlichkeitsfehler  +   Übersprechensfehler     + g-Empfindlichkeitsfehler  + Dynamikfehler  +Winkelfehler  + Schwingungsfehler  + Transformationsfehler.



  Da die Sensorüberwachung mittels zweier redundanter Sensoren durchgeführt wird, sind die hergeleiteten Schwellen zu verdoppeln.



  Um die geforderte Überwachungsgenauigkeit zu erreichen, muss der Einfluss der einzelnen Messfehler möglichst gering sein.



  Dies wird durch folgende Massnahmen erreicht : - Es wird der Mittelwert der mittels der Sensormittel ermit telten Messwerte verwendet. Dadurch wird der Einfluss eines möglichen Fehlers halbiert, wodurch der Schwellenwert ver doppelt werden kann.



  - Durch einen Abgleich, der vorzugsweise zu dem Zeitpunkt der
Betätigung der Zündung mittels des Zündschlüssels ausge führt wird, kann der Einfluss des Offsets stark reduziert werden.



  - Die Empfindlichkeit wird durch eine Aufweitung des Schwel lenwertes in Abhängigkeit vom Messwert berücksichtigt. Bei spielsweise wird der Schwellenwert in Abhängigkeit von der
Querbeschleunigung modifiziert.



     - Auch    die   g-Empfindlichkeit    wird durch eine Aufweitung der
Schwellenwertes berücksichtigt.



  - Die zu einer Sensorgruppe gehörenden Sensormittel werden in einem Sensormodul untergebracht. Dadurch wird der Einfluss von Einbauwinkelfehler der Sensoren im Fahrzeug eliminiert.



   Ausserdem müssen keine Schwingungsfehler und auch keine
Transformationsfehler berücksichtigt werden.



  - Kompensation der Relativwinkel der zu einer Sensorgruppe gehörenden Sensormittel durch zusätzliche Messung der Stör grössen. Dies kann für die Beschleunigungssensoren und für die Sensoren mit denen die Giergeschwindigkeit oder die
Wankbewegung oder die Nickbewegung des Fahrzeuges erfasst wird, durchgeführt werden.



  Nachfolgend wird auf die einzelnen Figuren eingegangen.



  In Figur la ist der Aufbau der erfindungsgemässen Vorrichtung nach dem ersten Konzept dargestellt. Bei diesem Konzept sind die Auswertemittel 110 und 111 baulich und funktionell separat von einer im Fahrzeug angeordneten Regelungsvorrichtung 117 im Fahrzeug angeordnet sind.



  Die erfindungsgemässe Vorrichtung weist verschiedene Sensorgruppen auf, die jeweils aus einem ersten und einem zweiten Sensormittel bestehen. Es handelt sich hierbei um : Eine Sensorgruppe 101, die aus den Sensormitteln 101a und 101b besteht. Bei diesen Sensormitteln handelt es sich um Längsbeschleunigungssensoren. Die mit dem ersten Sensormittel 101a ermittelten Messwerte axi werden den beiden Bereitstellungsmitteln 108 und 109 über den Eingang 1 zugeführt. Entsprechend werden die mit dem zweiten Sensormittel   101b    ermittelten Messwerte ax2 den beiden Bereitstellungsmitteln 108 und 109 über den Eingang 2 zugeführt.



  Eine Sensorgruppe 102, die aus den Sensormitteln 102a und 102b besteht. Bei diesen Sensormitteln handelt es sich um Querbeschleunigungssensoren. Die mit dem ersten Sensormittel 102a ermittelten Messwerte ayl werden den beiden Bereitstellungsmitteln 108 und 109 über den Eingang 3 zugeführt. Entsprechend werden die mit dem zweiten Sensormittel 102b ermit telten Messwerte ay2 den beiden Bereitstellungsmitteln 108 und 109 über den Eingang 4 zugeführt.



  Eine Sensorgruppe 103, die aus den Sensormitteln 103a und 103b besteht. Bei diesen Sensormitteln handelt es sich um Vertikalbeschleunigungssensoren. Die mit dem ersten Sensormittel 103a ermittelten Messwerte azi werden den beiden Bereitstellungsmitteln   108    und 109 über den Eingang 5 zugeführt. Entsprechend werden die mit dem zweiten Sensormittel 103b ermittelten Messwerte az2 den beiden Bereitstellungsmitteln 108 und 109 über den Eingang 6 zugeführt.



  Eine Sensorgruppe 104, die aus den Sensormitteln 104a und 104b besteht. Bei diesen Sensormitteln handelt es sich um Giergeschwindigkeitssensoren, mit denen die Drehbewegung des Fahrzeuges um seine Hochachse erfasst wird. Die mit dem ersten Sensormittel 104a ermittelten Messwerte psil werden den beiden Bereitstellungsmitteln 108 und 109 über den Eingang 7 zugeführt. Entsprechend werden die mit dem zweiten Sensormittel 104b ermittelten Messwerte psi2 den beiden Bereitstellungsmitteln 108 und 109 über den Eingang 8 zugeführt.



  Eine Sensorgruppe 105, die aus den Sensormitteln 105a und 105b besteht. Bei diesen Sensormitteln handelt es sich um Sensoren zur Erfassung des Lenkwinkels oder des Lenkradwinkels. Die mit dem ersten Sensormittel 105a ermittelten Messwerte LW1 werden den beiden Bereitstellungsmitteln 108 und 109 über den Eingang 9 zugeführt. Entsprechend werden die mit dem zweiten Sensormittel 105b ermittelten Messwerte   LW2    den beiden Bereitstellungsmitteln 108 und 109 über den Eingang 10 zugeführt.



  In Figur 1 wurde der Übersichtlichkeit halber auf die Darstellung der Sensorgruppen zur Erfassung der Nickbewegung und der Wankbewegung des Fahrzeuges verzichtet. Die Darstellung verschiedener Sensorgruppen in Figur 1 ist nicht so zu verstehen, dass ausschliesslich diese Kombination von Sensorgrup pen in einem Fahrzeug angeordnet sein können. Im Fahrzeug kann eine beliebige Untermenge der in Figur 1 dargestellten Sensorgruppen eingebaut sein. Ferner soll die Darstellung in Figur 1 nicht so verstanden werden, dass ausschliesslich die Sensorgruppe 101 der ersten Sensorgruppe entspricht. Als erste Sensorgruppe kommen beispielsweise die Sensorgruppen 104 oder 102 oder 105 in Frage.



  Die Bereitstellungsmittel   108    bestehen aus einem Abtast Halte-Glied 108a, einem nachgeschalteten Multiplexer 108b und einem wiederum nachgeschalteten Analog-Digital-Wandler 108c.



  Die den Bereitstellungsmitteln 108 zugeführten Messwerte werden in das Abtast-Halte-Glied 108a eingelesen und dort zwischengespeichert. Der Zeitpunkt zu dem die Daten   Datasl    vom Abtast-Halte-Glied 108a an den Multiplexer 108b weitergegeben werden, wird durch das von einem ODER-Gatter 108d erzeugte Signal W bestimmt. Zur Bestimmung des Signals W werden dem ODER-Gatter 108d von einem Auswertemittel 110 ein Signal SM und von einem Auswertemittel 111 ein Signal SMB zugeführt.



  Bei den beiden redundanten Auswertemitteln handelt es sich jeweils um einen Mikrocontroller.



  Der Multiplexer 108b hat die Aufgabe, die mit den zu einer Sensorgruppe gehörenden Sensormitteln ermittelten Messwerte zeitsynchron dem Analog-Digital-Wandler 108c zuzuführen. Die Ansteuerung des Multiplexers 108b hierzu erfolgt über die Signale Controll, die den Bereitstellungsmitteln 108 von den Auswertemitteln 110 zugeführt werden. Mit Hilfe der Signale Controll wird ebenfalls der Analog-Digital-Wandler 108c angesteuert, und somit eine zeitsynchrone Wandelung der Messwerte sichergestellt. Die gewandelten Messwerte werden als Signale Datal von den Bereitstellungsmitteln 108 an die Auswertemittel 110 ausgegeben. Mit anderen Worten : Mit Hilfe der Signale Controll wird die Datenanforderung realisiert.

   Ausserdem wird über die Signale Controll den Bereitstellungsmitteln 108 die Temperatur mitgeteilt, die dann bei den in den Bereitstellungsmitteln ablaufenden Prozessen berücksichtigt wird. 



  An dieser Stelle sei bemerkt, dass die Bereitstellungsmittel nicht unbedingt über ein Abtast-Halte-Glied verfügen müssen.



  Auf dieses kann verzichtet werden, wenn der eingesetzte Multiplexer schnell genug ist und/oder für jedes Sensormittel ein eigener Analog-Digital-Wandler vorgesehen ist.



  In den Auswertemitteln 110 werden die gewandelten Messwerte Datal zunächst gefiltert, wodurch eine Mittelwertbildung vorgenommen wird. Die so aufbereiteten Messwerte werden anschliessend in den Auswertemitteln 110 dahingehend ausgewertet, ob ein Sensorfehler vorliegt oder nicht. Das Ergebnis dieser Überwachung wird zusammen mit den aufbereiteten Messwerten als Signale D1 einem CAN-Interface 112 zugeführt. Ausgehend von diesem CAN-Interface werden die in ihm erzeugten Daten   Dl einem CAN-Bus    116 zugeführt. Im CAN-Interface 112 werden die Daten D1 in die Daten D1 umgewandelt, die die für den CAN-Bus erforderlichen Protokollanforderungen erfüllen.



  An dieser Stelle sei bemerkt, dass alternativ zu einem CAN Bus auch ein TTP-Bussystem (TimeTriggeredProtocol-Bussystem ;   fehlertolerant),    eine Ethernet-Verbindung, ein optischer Datenbus oder ein nach dem Flexray-Standard arbeitendes Übertragungssystem eingesetzt werden kann.



  Die Bereitstellungsmittel 109 sind bis auf das fehlende ODER Gatter identisch zu den Bereitstellungsmitteln 108 aufgebaut, d. h. sie enthalten ebenfalls ein Abtast-Halte-Glied 109a, einen nachgeschalteten Multiplexer 109b und einen wiederum nachgeschalteten Analog-Digital-Wandler 109c. Die Funktionen dieser Komponenten sind den Funktionen der entsprechenden Komponenten der Bereitstellungsmittel   108    identisch. Das Abtast-Halte-Glied 109a wird über das in den Auswertemitteln 111 erzeugte Signal SMB angesteuert. Der Multiplexer 109b und der Analog-Digital-Wandler 109c werden über die Signale Control2 von den Auswertemitteln 111 aus angesteuert. Die ge wandelten Messwerte werden als Signale Data2 von den Bereitstellungsmitteln 109 an die Auswertemittel 111 ausgegeben.



  An dieser Stelle sei bemerkt, dass durch die Signale SM und SMB sowie Controll und Control2 die Bereitstellungsmittel 108 und 109 synchronisiert werden.



  Entsprechend den Auswertemitteln 110 werden in den Auswertemitteln 111 die gewandelten Messwerte Data2 zunächst gefiltert. Die so aufbereiteten Messwerte werden anschliessend ausgewertet. Das Ergebnis dieser Überwachung wird zusammen mit den aufbereiteten Messwerten als Signale D2 einem CAN Interface 115 zugeführt. Die in diesem CAN-Interface erzeugten Daten   D2 werden    ebenfalls dem CAN-Bus 116 zugeführt.



  Ober die Signale Cross check können sich die beiden Auswertemittel 110 und 111 gegenseitig überprüfen bzw. überwachen.



  Zum einen können sie feststellen, ob die in ihnen verarbeiteten Messwerte identisch sind. Zum anderen können sie gegenseitig feststellen, ob das andere Auswertemittel noch arbeitet.



  Wie Figur la zeigt, werden ausgehend von den CAN-Interfaces 112 und 115 auch Daten in die Auswertemittel 110 und 111 zurückgelesen. Dadurch können die CAN-Interfaces durch die Auswertemittel überprüft werden.



  Der CAN-Bus 116 leitet die Signale   D1 und D2,    die zu den Signalen D zusammengefasst sind, einer Regelungsvorrichtung 117 zu. Somit liegen der Regelungsvorrichtung die Messwerte und das Ergebnis der Überwachung der Sensormittel vor. Bei der Regelungsvorrichtung 117 handelt es sich beispielsweise um ein drive-by-wire-System oder um ein steer-by-wire-System oder um ein brake-by-wire-System oder um eine Fahrdynamikregelung, bei der die Regelung der Giergeschwindigkeit zumindest durch   Lenkeingriffe    vorgenommen wird. Entsprechend dem in ihr abgelegten Regelalgorithmus erzeugt die Regelungsvor richtung Signale S1, die einer ihr zugeordneten Aktuatorik 118 zugeführt werden. Durch entsprechende Ansteuerung der Aktuatorik wird die zu regelende Grösse eingestellt.

   Die Regelungsvorrichtung erhält über die Signale S2 eine Rückmeldung über den jeweiligen Zustand der Aktuatorik.



  In Abhängigkeit des Ergebnisses der in den Auswertemitteln 110 und 111 stattfinden Überwachung der Sensorik, d. h. in Abhängigkeit der Schwere eines vorliegenden Sensorfehlers, wird die in der Regelungsvorrichtung ablaufende Regelung entweder teilweise oder komplett abgeschaltet.



  Der Darstellung in Figur la entnimmt man, dass es sich bei dem aus den Komponenten 109,111 und 115 gebildeten Pfad um den Hauptpfad handelt, der aus den Komponenten 108,   110    und 112 bestehende Pfad stellt dagegen einen Notpfad dar.



  In Figur la sind zwei Temperatursensoren 106 und 107   darge-    stellt. Die mit dem Temperatursensor 106 erzeugten Messwerte werden den Auswertemitteln 110 zugeführt, die mit dem Temperatursensor 107 erzeugten Messwerte werden den Auswertemitteln 111 zugeführt. Mit Hilfe dieser Messwerte können beide Auswertemittel eventuell auftretende temperaturbedingte Drifts in den mit den Sensormitteln ermittelten Messwerte kompensieren.



  Im Folgenden wird auf Figur lb eingegangen, in der der Aufbau der erfindungsgemässen Vorrichtung nach dem zweiten Konzept dargestellt ist. Bei diesem Konzept sind die Auswertemittel baulich oder funktionell in einer im Fahrzeug angeordneten Regelungsvorrichtung enthalten.



  Die in Figur   1b    dargestellt Vorrichtung ist bzgl. der Sensormittel 101 bis 105 und bzgl. der Komponenten   106, 107,    108, 109,112,115,116 und 118 identisch zu der in Figur la dargestellten aufgebaut. Die vorstehend aufgeführten Komponenten haben sowohl in der in Figur la als auch in der in Figur   1b    dargestellten Vorrichtung dieselbe Funktion, weswegen auf diese Komponenten und deren Funktion im Zusammenhang mit Figur lb nicht mehr eingegangen wird.



  Im Unterschied zu der in Figur la dargestellten Vorrichtung enthält die Vorrichtung gemäss Figur lb zum einen Rechnermittel 110*, die zusammen mit den Komponenten 108 Bereitstellungsmittel 119 bilden. Zum anderen enthält die Vorrichtung Rechnermittel 111*, die zusammen mit den Komponenten 109 Bereitstellungsmittel 120 bilden. Die Bereitstellungsmittel 119 bzw. 120 haben die Aufgabe, die mit Hilfe der Sensormittel ermittelten Messwerte den dem jeweiligen Bereitstellungsmittel zugeordneten Auswertemitteln 117a bzw. 117b, die beide in der Regelungsvorrichtung enthalten sind, zuzuführen.



  In den Rechnermitteln   110*    werden die gewandelten Messwerte Datal zumindest gefiltert, wodurch eine Mittelwertbildung vorgenommen wird. Die so aufbereiteten Messwerte D1* werden über ein CAN-Interface 112 als Daten   D1*    in einen CAN-Bus 116 eingespeist. In den Rechnermitteln 111* werden die gewandelten Messwerte Data2 gefiltert, wodurch eine Mittelwertbildung vorgenommen wird. Die so aufbereiteten Messwerte D2* werden über ein CAN-Interface 115 als Daten   D2*    in einen GAN-Bus 116 eingespeist.



  Der CAN-Bus 116 leitet die Signale   Dl*    und   D2*,    die zu den Signalen D* zusammengefasst sind, den Auswertemitteln 117a und 117b zu. In diesen Auswertemitteln wird die eigentliche Überwachung der Sensormittel durchgeführt. Die Auswertemittel geben das Ergebnis der Überwachung an die Regelungsvorrichtung 117 weiter.



  Wie bereits ausgeführt werden die Abtast-Halte-Glieder, die Multiplexer und die Analog-Digital-Wandler so angesteuert, dass die Messwerte den Auswertemitteln zeitsynchron zugeführt werden. Darüber hinaus ist auch durch entsprechende konstruktive Massnahmen sichergestellt, dass es durch die im Aufbau vorhandenen Leitungen zu keinen nennenswerten   Laufzeitunter-    schieden zwischen den Messwerten der zu einer Sensorgruppe gehörenden Sensormitteln kommt.



  Im folgenden wird auf Figur 2 eingegangen, in der mit Hilfe eines Flussdiagramms der Ablauf der erfindungsgemässen Überwachung der Sensormittel dargestellt ist. Die in Figur 2 dargestellten Schritte laufen im Wesentlichen in den in Figur la dargestellten Blöcken 110 und 111 bzw. in den in Figur lb dargestellten Blöcken 117a und 117b ab.



  Das erfindungsgemässe Verfahren beginnt mit einem Schritt 201, an den sich ein Schritt 202 anschliesst. In dem Schritt 202 wird die Summe der Messwerte ermittelt, die zu dem Zeitpunkt vorliegen, bei dem der Zündschlüssel gedreht wird. Da die Sensormittel so angeordnet sind, dass sie die physikalischen Grössen mit gleichem Betrag aber inversem Vorzeichen erfassen, wird bei der Summenbildung im eigentlichen Sinne eine Differenz gebildet. Mit Hilfe dieser Summe wird der Offset der Sensormittel ermittelt, und kann somit bei den nachfolgenden Vergleichen zur Überwachung der Sensormittel kompensiert werden.



  In einem anschliessenden Schritt 203 wird der eigentliche Vergleich zur Überwachung der zu einer Sensorgruppe gehörenden Sensormittel durchgeführt. Hierzu wird die Summe aus den mit dem ersten Sensormittel ermittelten Messwerten und den mit dem zweiten Sensormittel ermittelten Messwerten gebildet, wobei es sich, wie oben erwähnt, um eine Differenzbildung handelt. Diese Summe wird mit einem Schwellenwert verglichen.



  Bei dem Schwellenwert handelt es sich um die mit den Gleichungen 2,3,4,2 bzw. 4 dargestellten, je nachdem, welche zu einer Sensorgruppe gehörenden Sensormittel überwacht werden. Ist die Summe grösser als der jeweilige Schwellenwert, so liegt ein Sensorfehler vor. Im Schritt 203 können verschiedene Einzelüberwachungen stattfinden. Für gewöhnlich wird für jeden Rechenzyklus eine Summe gebildet und somit eine   Überwa-    chung durchgeführt. Es kann aber auch eine Langzeitüberwachung durchgeführt werden, bei der Sensorfehler aufgrund der Temperaturdrift des Sensormittels ermittelt wird. Hierzu wird die Summe aus einem aktuell vorliegenden Messwert und einem Messwert gebildet, der beispielsweise beim Start des Fahrzeuges vorlag. Die Betrachtung bzgl.

   Temperaturdrift kann beispielsweise für die Zeitdauer der jeweiligen Fahrt oder für die gesamte Lebensdauer eines Sensormittels angestellt werden.



  Wird im Schritt 203 festgestellt, dass kein Sensorfehler vorliegt, so wird zu einem Schritt 204 verzweigt, in welchem die eigentliche x-by-wire-Regelung stattfindet. Durch den Rücksprung von Schritt 204 auf Schritt 202 wird angedeutet, dass die Überwachung der Sensormittel permanent erfolgt.



  Wird dagegen im Schritt   203    festgestellt, dass ein Sensorfehler vorliegt, so wird an Schritt 205 verzweigt. Im Schritt 205 wird in Abhängigkeit der Schwere des aufgetretenen Fehlers entweder die x-by-wire-Regelung teilweise oder vollständig abgeschaltet. Anschliessend an den Schritt 205 wird ein Schritt 206 ausgeführt, mit dem die Überwachung der Sensormittel beendet wird.



  Abschliessend sei festgehalten, dass die in den Ausführungsbeispielen gewählte Darstellung keine einschränkende Wirkung haben soll.

    The invention relates to a device for monitoring sensor means arranged in a vehicle. Such devices are known from the prior art in many modifications. A sensor arrangement with a monitoring device is known from DE 199 36 439 AI. The sensor arrangement has at least two redundant sensors for detecting a process control or process variable. The variables recorded by the sensors are fed to a subtractor, which calculates the difference between the two sensor signals. In addition, the two sensor output signals are each differentiated. The differentiated signals are fed to a second subtractor, which forms a second difference. The two differences are fed to an evaluation device in which they are each compared with a predeterminable threshold value. An error message is generated if at least one of the differences exceeds the relevant threshold value. A disadvantage of this monitoring device is that only the sensors but neither the provision means nor the evaluation means are redundant. DE 198 41 335 A1 discloses a device for controlling or regulating the braking system of a vehicle. This brake system, which works according to the brake-by-wire principle, requires the driver's braking request to be detected quickly and reliably. In order to achieve this, at least two measuring devices are provided for determining the desired braking. The same variable that characterizes the actuation of the brake pedal is recorded with these measuring devices. For the purpose of monitoring, these brake request signals are compared with a signal from a third measuring device. The device proposes to design the evaluation unit redundantly. However, the unit in which the measurement data is processed is not designed to be redundant. With the sensor monitors known from the prior art, which are based on the one hand on a redundant design of the sensors and on the other hand on a simultaneously redundant design of the sensors and the evaluation unit, good reliability is already achieved as far as the detection of sensor errors is concerned. However, devices for controlling variables describing the vehicle movement will be used in vehicles in the future, which require even greater reliability in the detection of sensor errors than the devices for monitoring sensors known from the prior art are able to achieve. In this context, greater reliability means being able to detect small errors immediately. i.e. low thresholds are to be used for monitoring and there is only a short time available within which a sensor error must be detected. At the same time, there is a requirement to cover all conceivable individual errors that can occur on a sensor by sensor monitoring. Corresponding requirements and the resulting measures must also be demanded and also fulfilled for the evaluation units and/or the processing units or means of provision and/or other relevant components. The devices used in the future in vehicles for controlling variables describing the vehicle movement are, for example, a steer-by-wire system or a drive-by-wire system or a brake-by-wire system. All of these systems are based on the following principle, which is explained using a steer-by-wire system: The system has at least one setting means that can be actuated by the driver. A steer-by-wire system is a steering wheel or a suitably configured joystick. The vehicle movement and thus a variable describing the vehicle movement, in the present case the steering angle that can be set at the steerable wheels, is influenced by the actuation of the setting means. In order to be able to recognize the driver's request, an actuation variable is determined which corresponds directly to the actuation of the setting means carried out by the driver. In the case considered, for example, the steering wheel angle set by the driver by operating the steering wheel is determined. The actuation variable is fed to a control means. Furthermore, the actual value of the variable that describes the vehicle movement and is influenced by the actuation of the setting means is supplied to the control means. Depending on a comparison of the actuation variable with the actual value, actuator means, in the case under consideration steering actuators assigned to the front wheels, are controlled in such a way that the actual value adjusts according to the actuation variable and thus the vehicle movement according to the actuation of the setting means. As a result, in a steer-by-wire system, the steering angle on the front wheels is no longer adjusted via a mechanical connection that connects the steering wheel to the steering linkage of the front wheels, but with the help of control signals that are generated in the controller and fed to the steering actuators . The above explanations make the following clear: With the future devices, very high demands are to be made on the sensor system and thus also on the monitoring of the sensor system. For example, an error that occurs in the sensor that is used to determine the actuation variable must be reliably detected. If this cannot be done, then there is a risk that the vehicle will deviate from the target course, which the driver specifies by actuating the specification means, in the above example the steering wheel, due to a sensor error. i.e. the sensors must be monitored for errors with even smaller tolerances or thresholds than is already done according to the prior art, in order to prevent the vehicle from deviating from the course specified by the driver due to a sensor error. i.e. sensor errors must be detected that only correspond to small deviations between the signal detected by the sensor and the actual value of the physical variable. As a result, the required higher reliability mentioned at the outset is achieved. As already explained above, the prior art proposes a redundant design of the sensor system on the one hand and both a redundant design of the sensor system and a redundant design of the evaluation unit on the other. The consideration of further redundancy is not intended. However, the required reliability in monitoring the sensors cannot be achieved with these measures alone. Against this background, the following task arises for the person skilled in the art: Existing devices for monitoring sensor means arranged in a vehicle are to be improved in such a way that the reliability in the detection of sensor errors is further increased and thus monitoring of the sensor means with very small tolerances or thresholds is possible. This object is solved by the features of claims 1, 24, 25 or 27. At this point it should be noted that the device according to the invention can be used both for sensors with which a variable to be controlled is recorded and for sensors with which variables are recorded which are fed to a control system as input variables and which do not correspond to the variable to be controlled , can be used. According to a first solution, the device according to the invention contains at least a first and a second sensor means, corresponding to the devices known from the prior art for monitoring sensor means arranged in a vehicle, with which measured values for a first physical variable are determined in each case. i.e. the device according to the invention has at least two redundant sensors for detecting the first physical quantity. The first and the second sensor means together form a first sensor group. Furthermore, the device according to the invention has provision means, with which the measured values determined with the sensor means belonging to the first sensor group are processed and fed to at least two redundant evaluation means. A comparison is carried out in the at least two redundant evaluation means in order to identify a fault which occurs in at least one of the sensor means belonging to the first sensor group. For this purpose, the measured values of the first sensor means are compared with the measured values of the second sensor means. In order to achieve the required reliability for the monitoring of the sensor means, a redundant design of the provision means is required in such a way that one of these provision means is assigned to one of the evaluation means. In other words: starting from the sensor means, through the provision means, to the evaluation means, there are two redundant paths, which is not the case according to the prior art. These two redundant paths work independently and are part of an intrinsically safe sensor design. Of course, this redundant design of the paths also means that the measured values determined by the sensor means belonging to a sensor group are supplied to each of the redundant provision means and thus also to each of the redundant evaluation means. The presence of two redundant paths has the following advantage over the prior art: if part of a path fails, then a second complete path is still available. In such a case, a control device can still be operated to a reduced extent and does not have to be switched off completely immediately. In the technical implementation, two advantageous concepts have emerged. In a first concept, the evaluation means are arranged in the vehicle structurally and functionally separately from a control device arranged in the vehicle. This offers the greatest possible flexibility. The evaluation means can be inserted into a sensor module, for example. In this case, the at least two redundant provision means each have a sample-and-hold element and/or a multiplexer and/or an analog/digital converter. The evaluation means generate signals which are fed to the respectively allocated provision means for its activation. The provision means are controlled in such a way that the measured values determined at the same time are read in synchronously and the processed measured values are fed synchronously to the evaluation means. In a second concept, the evaluation means are structurally or functionally contained in a control device arranged in the vehicle. This arrangement has the advantage that no separate components are required for the realization of the evaluation means. Rather, the evaluation means can be implemented using components of the control device. In this case, the at least two redundant provision means each have a sample-and-hold element and/or a multiplexer and/or an analog/digital converter and a computer means. The computing means generate signals which are respectively supplied to the sample-and-hold element and/or multiplexer and/or analog/digital converter assigned to the computing means. In this case, these components are controlled in such a way that the measured values determined at the same time are read in synchronously and the processed measured values are fed synchronously to the evaluation means or computer means. In the first as well as in the second concept, the sample and hold element, the multiplexer and the analog/digital converter are connected in series. i.e. the multiplexer is connected after the sample-and-hold element and the analog/digital converter is connected after the multiplexer. If rapidly changing variables are to be detected with the aid of the sensors, the following problem arises: if the measured values determined at the same time with the aid of the sensor means are not time-synchronously, i. H. are not evaluated at the same time, but with a time offset from one another, then deviations between the measured values of the first and second sensor means can occur due to the strong dynamics of the variable to be measured, and the presence of a sensor error would be detected if small thresholds or tolerances were used , although in reality both sensor means are not faulty. To solve this problem, it is provided in both concepts that the measured values determined at the same time by the sensor means belonging to the first sensor group are supplied synchronously to the evaluation means for evaluation with the aid of the provision means. This ensures that the measured values determined with the first sensor means and the measured values determined with the second sensor means are synchronized in time in the evaluation means, i. H. can be evaluated at the same processing time, which is defined, for example, via a clock signal. As a result, the above-described deviations between the measured values of the two sensor means, which would occur primarily in the case of rapidly changing signals due to the high dynamics of the measured values and non-synchronous processing, are avoided. At this point, the meaning of the term “time-synchronous” should be discussed: The evaluation taking place in the evaluation means is clock-controlled. i.e. the measured values of the first sensor means are compared with the measured values of the second sensor means at specific points in time predetermined by a first cycle. Consequently, in order to avoid errors, the measured values determined simultaneously with the first and the second sensor means at a first point in time should be evaluated simultaneously in the evaluation means at a second point in time. In order to ensure this, the sensor means and the provision means are operated with a second, higher cycle. This means that the measured values determined simultaneously at the first point in time can be evaluated simultaneously in the evaluation means, even if there may be minor time shifts in the processing of the measured values in the provision means. As long as these smaller time shifts are smaller than the time interval specified by the first clock, it is ensured that these time shifts do not lead to such a time shift in the evaluation means, which in turn leads to an error in the evaluation. In order to implement the requirement of time synchronicity described above, the evaluation means or the computer means generate a first signal, with which the sample-and-hold element is controlled in such a way that the measured values generated with the sensor means belonging to the first sensor group are synchronous in time, in particular at a first point in time, be read and cached. Alternatively or additionally, the evaluation means or the computer means generate a second signal, with which the multiplexer and/or the analog-to-digital converter are controlled in such a way that the measured values, in particular the measured values temporarily stored in the sample-and-hold elements, are synchronized in time, in particular with a second point in time, read into the multiplexer and forwarded by it and/or read into the analog-to-digital converter and converted there, and the converted measured values are thus supplied synchronously to the evaluation means or computer means. As already explained above, the evaluation means are to be assigned to the first concept and the computing means to the second concept. With the devices that will be used in vehicles in the future, not just one but several different physical variables can be controlled, each of which represents a variable that describes the vehicle movement. In the case of vehicle dynamics control, these are, for example, the yaw rate and the sideslip angle. In addition, with these devices used in the future, it will also be necessary to monitor the input variables that do not correspond to the variable to be controlled, also with the reliability required for the variable to be controlled. Consequently, further sensor groups consisting of at least one first and one second sensor means are present in the vehicle. In this case, the sensor means belonging to one of the further sensor groups are used to determine measured values for further physical variables, with these further physical variables differing both from one another and from the first physical variable. For example, the following sensor groups can be present in a vehicle: a first sensor group, the sensor means belonging to the first sensor group being a first and a second yaw rate sensor for detecting the rotational movement of the vehicle about its vertical axis, and/or a second sensor group, which consists of a first and a second rotation rate sensor for detecting the rotation of the vehicle about its longitudinal axis, and/or a third sensor group, which consists of a first and a second rotation rate sensor for detecting the rotation of the vehicle about its transverse axis, and/or a fourth Sensor group consisting of a first and a second acceleration sensor for detecting the lateral acceleration of the vehicle, and/or a fifth sensor group consisting of a first and a second acceleration sensor for detecting the longitudinal acceleration of the vehicle, and/or a sixth sensor group consisting of a first and a second acceleration sensor for detecting the vertical acceleration of the vehicle, and/or a seventh sensor group consisting of a first and a second sensor means for detecting the steering wheel angle or the steering angle of the wheels. So that the measured values temporarily stored in the sample-and-hold elements can be processed synchronously in the analog-to-digital converter, the multiplexer is controlled in such a way that the measured values determined by the sensor means belonging to the respective sensor group are supplied in pairs to the analog-to-digital converter. In order to carry out the comparison, at least one deviation quantity is advantageously determined, which describes the deviation between the measured values of the first sensor means and the measured values of the second sensor means. This deviation variable is compared with an associated threshold value, with a sensor error occurring when the deviation variable is greater than the associated threshold value. The deviation variable is, for example, a difference variable that describes the difference between the measured values of the two sensor means, or a quotient variable that describes the ratio between the measured values of the two sensor means. The use of the differential variable also has the advantage that any offsets that may be present in the sensor signals are largely eliminated. The first physical variable is a variable that describes the transverse dynamics of the vehicle and is fed to a steer-by-wire control device as an input variable. In this case, the threshold value is advantageously determined as follows: The threshold value is determined as a function of a value for the maximum permissible lane offset that the vehicle may have when a fault occurs in one of the sensor means belonging to the first sensor group, and which does not lead to any significant deviation between the course desired by the driver and the course actually driven by the vehicle. The first physical variable can be the lateral acceleration or the yaw rate of the vehicle or the steering angle or the steering wheel angle. As shown above, an uncompensated sensor error in a steer-by-wire system means that, based on the measured signal, which is falsified due to the sensor error and thus the actual situation, i. H. the vehicle situation, does not reflect correctly, control signals for the actuators assigned to the system are determined. The actuators are actuated and the vehicle movement is influenced as a function of these control signals, although it would not be necessary to influence the vehicle movement at all. This influencing of the vehicle movement, which is carried out erroneously due to an uncompensated sensor error, leads to a track offset and thus a lateral offset of the vehicle, which the driver must compensate for so that the vehicle follows the desired course. In the device according to the invention, the maximum permissible track offset is selected in such a way that it does not lead to any appreciable deviation from the course desired by the driver, and the driver therefore only has to undertake minor compensation. The physical variables that are detected with the sensor means are variables that describe the vehicle movement. i.e. These variables provide information about the direction in which the vehicle is moving and information about the strength of this movement. Some of these variables are vectorial variables, such as longitudinal or transverse or vertical acceleration. Or they are variables that describe a rotational movement of the vehicle, such as the yaw movement of the vehicle about its vertical axis or the rolling movement of the vehicle about its longitudinal axis or the pitching movement of the vehicle about its transverse axis. However, there are also variables that describe the steering wheel angle or the steering angle set on the steerable wheels, these variables also describing a rotational movement. The quantities that describe a rotary movement also contain information about the direction and strength of the movement, i. H. the turning movement. Against this background, the first and second sensor means belonging to the respective sensor group must be such sensor means with which the physical variables can be measured according to magnitude, i. H. according to the strength of the movement, and according to the sign, i. H. according to the direction of movement. It has proven to be an advantage that the first and second sensor means of a sensor group are arranged in the vehicle in such a way that the measured values determined with them for a physical variable have the same absolute value but an inverse sign. This measure allows rectified errors, so-called common-mode errors, which occur both in the measured values of the first sensor means and in the measured values of the second sensor means, to be eliminated. Because when the measured values are processed, which consists of an addition followed by averaging, these rectified errors are eliminated. With regard to the arrangement of the first and second sensor means in the vehicle, it can be stated in summary: The sensor means belonging to a sensor group are arranged complementarily to one another. i.e. the preferred axes or measurement axes of the two sensor means, with respect to which the measurement is made, are offset by 180 to one another. The sensor means belonging to a sensor group are advantageously combined to form a structural unit, a so-called sensor module. This structural unit is attached to a location of the vehicle. This combination into one structural unit has the following advantages: If the redundant sensors are combined in one sensor module, the influence of installation angle errors of the sensors in the vehicle does not have to be taken into account during monitoring. It is also conceivable to combine several different sensor groups, with which different physical variables are determined, into one sensor module. This and also the above-mentioned combination of the sensor means belonging to a sensor group to form a sensor module is advantageous above all for the acceleration sensors used within the framework of the regulation: If the first and second acceleration sensors belonging to a sensor group are installed at different locations in the vehicle, this is the case the measured values determined with them differ, as these contain different components depending on the installation location, which are due to the turning movement of the vehicle. If the measured values determined with the acceleration sensors belonging to a sensor group are to be compared with one another, a transformation of the measured values is therefore necessary, in which the distance between the two installation locations of the acceleration sensors, the resulting angular velocity, the resulting angular acceleration and various influences of the vehicle structure - for example vibrations of the Bodywork, which can be different in different places of the vehicle. In order to avoid this costly transformation—which may result in transformation errors—and to keep the influence of the vehicle vibrations as low as possible, the invention provides for the use of a sensor module in which the sensor means belonging to a sensor group are combined. The converted measured values are advantageously filtered and/or processed in the computer means before they are sent to the evaluation means and evaluated there. If the filter means are appropriately dimensioned, filtering achieves averaging over time. By using the mean values of the measured values determined with the sensor means, the influence of a possible error is halved, as a result of which the threshold value for the monitoring can be doubled. As a result, the requirements for manufacturing the sensor means can be reduced. The filtering and/or processing described above can take place in the evaluation means themselves or in the computing means contained in the provision means, depending on which of the concepts mentioned at the outset is being pursued. It is also advantageous in the first concept if the measured values filtered and/or processed in the evaluation means and/or the results of the comparison are fed to the control device via a bus system. In the case of the second concept, it is also advantageous if the measured values filtered or processed in the computer means are supplied to the evaluation means contained in the control device via a bus system. A CAN bus, for example, can be used as the bus system or data bus. The use of a data bus instead of an analog data line has the advantage that the measured values transmitted are not falsified due to EMC interference, which can be the case with analog transmission. This increases the quality of the monitoring of the sensor means, because it can be monitored for minor errors. In addition, various monitoring can be carried out. For example, a message counter can be used to check whether data is being transmitted at all. Or bit errors can be detected with the help of a cross-check evaluation. Furthermore, it is advantageous that at least some of the measured values output to the bus system are read back into the evaluation means or into the computer means and subjected to a plausibility check. This makes it possible to detect errors that can occur when the measured values are output. It is also advantageous if the at least two redundant evaluation means monitor each other. As a result, a possibly faulty evaluation means can be identified and the associated path can be deactivated. A further advantage results from the fact that a separate power supply is provided for each evaluation means. It is also advantageous if the threshold value is determined as a function of a variable that describes the speed of the vehicle. As a result, the threshold value can be adapted to the vehicle speed, for example in such a way that the threshold value is reduced as the vehicle speed increases. If the vehicle speed is not available, the threshold value can alternatively be determined and/or influenced as a function of the yaw rate. A second independent solution to the problem on which the invention is based, which is equivalent to the first solution, is as follows: and with which measured values for a first physical variable are determined in each case, has the following means: providing means with which the measured values determined with the sensor means belonging to the first sensor group are supplied to evaluation means. In the evaluation means, a comparison is carried out in which the measured values of the first sensor means are compared with the measured values of the second sensor means to detect a fault that occurs in at least one of the sensors belonging to the first sensor group. In order to achieve the required reliability for the monitoring of the sensor means, the measured values determined at the same times by the sensor means belonging to the first sensor group are sent synchronously to the evaluation means for evaluation with the aid of the provision means. At this point, the following should be pointed out: Further developments of this second solution result from a combination of the subject matter contained in claim 24 with the subject matter of the subclaims, which directly or indirectly refer back to claim 1. A third solution to the problem on which the invention is based consists in a sensor module which contains at least a first and a second sensor means which together form a first sensor group, with the first and the second sensor means measuring values for a first physical quantity being determined in each case. The physical variable is detected with the first and the second sensor means according to magnitude and sign. The first and second sensor means are arranged in the sensor module in such a way that the measured values determined in each case have the same absolute value but an inverse sign. In this way, on the one hand, common-mode errors, oscillation errors and transformation errors can be eliminated. As can be seen from the above statements, the device according to the invention is advantageously used in a drive-by-wire system or a steer-by-wire system or a brake-by-wire system, i. H. used because the device according to the invention for monitoring sensor means meets the requirements for accuracy, reliability and the required minimum detection time for error detection, which are required for such systems. This applies to both the first solution and the second solution. At this point it should be noted that the device according to the invention can be used not only in steer-by-wire or drive-by-wire or brake-by-wire systems. Rather, the device according to the invention can also be used in future devices for controlling the driving dynamics of a vehicle (ESP system) in which interventions on the brakes and /or be carried out on the engine of the vehicle, but permanent interventions are carried out regardless of the size of this deviation. Such a device used in the future can be, for example, a yaw rate control, which is carried out by means of a steer-by-wire system. Further advantageous configurations can be found in the description and the drawing. The advantageous configurations resulting from any combination of the dependent claims should also be included. At this point, the meaning of the term “redundant” should be discussed: A design is redundant if a component is present more often than would be necessary for the realization of the actual function. The embodiment is described below with reference to the drawing. 1b shows a schematic representation of the device according to the second concept in the form of a block diagram, FIG Monitoring of the sensor means arranged in the vehicle expires. The theoretical background of the device according to the invention, with which an intrinsically safe sensor system is created, in particular for steer-by-wire or drive-by-wire or brake-by-wire systems, should first be discussed. The individual systems listed above are collectively referred to below as x-by-wire systems. Conventional devices for controlling a variable describing the lateral dynamics of the vehicle, such as a yaw rate or vehicle dynamics control (ESP), which intervene in the brakes or the engine, only become active when control thresholds are exceeded. Sensor errors that are smaller than these control thresholds have no effect. In x-by-wire systems, such as a yaw rate control that is implemented using a steer-by-wire system, faulty sensor signals, for example for the steering wheel angle or the yaw rate or the lateral acceleration, lead directly to a deviation from the target course. Such systems require highly accurate, reliable and immediate error detection. Against this background, the sensor error detection to be implemented with the device according to the invention must be able to implement the monitoring thresholds and error detection times required from the system point of view. To meet the above requirements, the threshold values for sensor monitoring are defined. Then the sensor concept or the sensor design as well as the sensor specification and the installation situation are determined. As already explained above, the permissible track offset as a result of a sensor error is relevant for determining the individual threshold values for the sensor groups. Sudden sensor errors are particularly critical. Therefore, the lateral offset due to a step error is considered. The following observations can be made as an approximation: Ay is the lateral offset of the vehicle, vx is the vehicle speed in the longitudinal direction, T is the time, AV is the jump in yaw rate and AW is the change in the yaw angle as a result of the jump in yaw rate. The variables shown with a dot represent the respective derivatives over time. Based on equation (1), the maximum permissible sensor error and thus the threshold value for the sensor means with which the yaw rate and thus a rotational movement of the vehicle about its vertical axis is determined as follows be defined: EMI20.1 Aywzuallowig=Min <SEP> [TYz, <SEP> Kl] <SEP> =Mint, <SEP> K12 <SEP> with <SEP> KO= <SEP> T2Y <SEP> (2) < tb> where Kl is a limit value. i.e. the threshold value is determined as a function of the transverse or lane offset, the vehicle speed and a time variable. The sensor means are yaw rate sensors, the measurement axis of which is oriented in the direction of the vertical axis of the vehicle. With the relationship #=ay, which applies to the stationary case, vx and from which hay=A-vx follows, the maximum permissible sensor error and thus the threshold value for the lateral acceleration sensors can be defined as follows using equation (1): EMI20 .2 CZyzuuldssig <SEP> = <SEP> MirZC <SEP> 2 <SEP> Zy <SEP> ; <SEP> K2J <tb> <SEP> 1 <SEP> T <SEP> 2 <SEP> (3) <tb> where K2 is a limit value. i.e. the threshold value is determined as a function of the transverse or track offset and a time variable. For the sensor means with which the steering wheel angle or the steering angle is determined, the maximum permissible sensor error and thus the threshold value can be determined using the following approach: In the stationary state, the relationship EMI20.3 applies, which is also referred to as the Ackermann relationship. Here, 8 is the steering wheel angle, i is the steering ratio, 1 is the wheelbase and vch is a characteristic speed. From this relationship, the threshold becomes EMI21.1 <tb> <SEP> 2. <SEP> Ay-i-1 <SEP> 1 <SEP> 1 <tb> & 2lassig=Min <SEP> [Yz <SEP> (vx2'rvl, <SEP> 2) <SEP> ; <SEP> K] <SEP> (4) <tb> <SEP> TZ <SEP> vx2 <SEP> vn2, <tb> where K3 is a limit value. i.e. the threshold value is determined as a function of the transverse or track offset, the steering ratio, the wheelbase, a time variable, the vehicle speed and the characteristic speed. The threshold values can be defined in a corresponding manner for the sensor means with which the rolling or pitching movement or the longitudinal or vertical acceleration of the vehicle is determined. In these cases, other variables may have to be used as a starting point instead of the maximum permissible lateral offset of the vehicle. If the vehicle speed is not known, the threshold values can also be formulated as a function of the yaw rate. This is based on the relationship vx=ay/# that applies in the stationary state, it being assumed tU that the transverse acceleration ay is less than or at most equal to the maximum possible transverse acceleration. The threshold value for the sensor means for detecting the yaw rate is thus ##EQU1## SEP> j <SEP> K <SEP> 1 <tb> <SEP> Cly <SEP> max'T <tb> and for the sensor means for detecting the steering angle or the steering wheel angle to EMI22.1 <tb> <SEP> . <SEP> 2 <SEP> 1 <tb> . <SEP> c- <SEP> . <SEP> 2-Av' <SEP> !-/. <SEP> t <SEP> l. <SEP> . <tb> <SEP> T <SEP> ayma <SEP> vcs, <tb> <SEP> 7 <SEP> < max <SEP> Vc/ <tb> In a further step, after the threshold values have been defined, the sensor design or the Sensor concept defined. As already explained above, even the smallest sensor errors must be detected immediately in x-by-wire systems. This cannot be implemented using model-based sensor monitoring, since this would be too slow and not accurate enough due to the model calculations. However, this requirement can be met using redundantly designed sensors. For this reason, two redundant sensors are provided for each measured variable. The measured variables are, for example, the lateral, longitudinal and vertical acceleration, as well as the yaw rate, which describes a rotational movement of the vehicle around its vertical axis, the rolling rate, which describes a rotational movement of the vehicle around its longitudinal axis, and the Pitching speed, which describes a turning movement of the vehicle around its transverse axis. Furthermore, it is the steering wheel angle or the steering angle. Furthermore, it must be required that the redundant sensor signals must be recorded at the same measurement time so that the sensor monitoring does not inadvertently respond to rapidly changing signals. In addition, common-mode errors that occur with both sensor means in a sensor group should be suppressed. This requires a separate power supply and evaluation electronics for each of the redundant sensors. In addition, the two sensor means belonging to a sensor group must be arranged with different orientations in the vehicle. However, other options for compensating for common-mode errors are also conceivable. In the case of yaw rate sensors, such errors can also be suppressed or compensated for, for example, by the redundant sensors used working according to different measurement principles. So it would make sense to use a first yaw rate sensor, which is based on the principle of oscillating mass elements, and a second yaw rate sensor, which is based on the fiber optic principle, at the same time. In order to also ensure reliable signal transmission between the sensor means and the evaluation means located in the control unit, a data bus, for example a CAN bus, is used instead of an analog data line. In order to be able to check the function of the data transmission and thus of the data bus, a so-called message counter can be used, with which it can be determined whether the output of the measured values on the data bus is trouble-free. On the other hand, in addition to the actual measured values, additional redundant, predetermined information can also be output on the data bus, which is evaluated by the receiver to assess the function of the data transmission. The accuracy that can be achieved with the help of a redundant sensor system when monitoring the sensor means also depends on the accuracy of the individual sensors that are used to implement the redundant sensor system. In detail, the following influences on the measurement accuracy of the individual sensors must be taken into account: - The offset of the sensor, which is a constant value that can be adjusted. Such an offset value can be determined in various ways. For example, the offset value for the yaw rate sensor is determined when the vehicle is stationary, which can be detected as a function of the vehicle speed, for example. In the case of longitudinal and/or transverse acceleration sensors, it makes sense to determine the offset value via a long-term comparison. This is advantageously also carried out at the start of the journey. The offset value determined in this way is written to a suitable storage medium, for example an EEPROM. Consequently, this stored value does not have to be re-determined for each start-up process. It would only be necessary to save again if the offset had changed to a large extent. Alternatively, the determination of the offset value for the yaw rate sensor can also be carried out with the help of a long-term comparison. The error considered in the case of the offset of the sensor is called the offset error. The linearity of the sensor, which is an unadjustable constant value. The error considered in this context is referred to as the linearity error. The sensitivity of the sensor. This is a percentage error that depends on the actual value of the sensor signal. The error considered in this context is called the sensitivity error. The crosstalk of the sensor. This means the following: A yaw rate sensor should be installed in the vehicle in such a way that its measuring axis is aligned exactly parallel to the vertical axis of the vehicle. Due to installation tolerances, parallel alignment is usually not fully achieved, i. H. the measurement axis of the yaw rate sensor has an angle error. As a result of this angle error, for example during a driving maneuver in which force components occur parallel to the transverse axis of the vehicle, the yaw rate sensor delivers measured values even though there is no yaw rate, i. H. a roll angle rate is coupled to the yaw rate. This phenomenon, referred to as crosstalk in the context of the device according to the invention, also occurs in acceleration sensors. The error considered is called the crosstalk error. The g-sensitivity: This is the falsification of the measurement signal due to the influence of an acceleration acting on the sensor that does not correspond to the magnitude that the sensor is intended to detect. The error considered in this context is called g sensitivity error. The dynamics of the sensor. This means that the sensor has a certain dead phase, which elapses until the signal is present at the sensor output after the external influence has taken effect. The error considered in this context is referred to as dynamic error. installation angle in the vehicle. i.e. the sensor installed in the vehicle is installed at a slight angle, which results in an angle error of the measuring axis. The error considered in this context is called angle error. The body of the vehicle carries out translatory and/or rotary structural vibrations, which can vary from place to place on the body. These structural vibrations lead to components in the sensor signals and thus in the measured values determined with the aid of the sensor means. If, for example, the redundant sensor means belonging to a sensor group are attached at different locations on the body, the measured values determined with these sensor means contain different components originating from the structural vibrations. In this respect, these vibration errors must be taken into account. These vibration errors do not need to be taken into account if the sensor means belonging to a sensor group are fitted at the same installation location. If the sensor means belonging to a sensor group are installed at different installation locations, the measured values determined with these sensor means must be subjected to a transformation so that they can be compared with one another. Transformation errors can occur with these transformations, which must be taken into account. In the event that the sensor means belonging to a sensor group are installed at the same installation location, no transformation errors need to be taken into account. The maximum deviation of the measured value determined with the help of the sensor means from the measured variable corresponds to the sum of the influences listed above. Maximum measurement error = offset error + linearity error + sensitivity error + crosstalk error + g-sensitivity error + dynamic error + angular error + oscillation error + transformation error. Since the sensor monitoring is carried out using two redundant sensors, the thresholds derived must be doubled. In order to achieve the required monitoring accuracy, the influence of the individual measurement errors must be as small as possible. This is achieved by the following measures: The mean value of the measured values determined by means of the sensor means is used. This halves the impact of a potential error, allowing the threshold to be doubled. The influence of the offset can be greatly reduced by an adjustment, which is preferably carried out at the time the ignition is actuated using the ignition key. - The sensitivity is taken into account by expanding the threshold value depending on the measured value. For example, the threshold is modified depending on the lateral acceleration. - The g-sensitivity is also taken into account by expanding the threshold value. - The sensor means belonging to a sensor group are accommodated in a sensor module. This eliminates the influence of installation angle errors of the sensors in the vehicle. In addition, no oscillation errors and no transformation errors have to be taken into account. - Compensation of the relative angles of the sensor means belonging to a sensor group by additional measurement of the disturbance variables. This can be done for the acceleration sensors and for the sensors with which the yaw rate or the rolling motion or the pitching motion of the vehicle is detected. The individual figures are discussed below. In FIG. 1a, the structure of the device according to the invention is shown according to the first concept. In this concept, the evaluation means 110 and 111 are structurally and functionally separate from a control device 117 arranged in the vehicle. The device according to the invention has different sensor groups, each consisting of a first and a second sensor means. These are: A sensor group 101, which consists of the sensor means 101a and 101b. These sensor means are longitudinal acceleration sensors. The measured values axi determined with the first sensor means 101a are fed to the two provision means 108 and 109 via the input 1 . Correspondingly, the measured values ax2 determined with the second sensor means 101b are supplied to the two provision means 108 and 109 via the input 2 . A sensor group 102 consisting of the sensor means 102a and 102b. These sensor means are transverse acceleration sensors. The measured values ayl determined with the first sensor means 102a are fed to the two provision means 108 and 109 via the input 3 . Correspondingly, the measured values ay2 determined with the second sensor means 102b are fed to the two provision means 108 and 109 via the input 4 . A sensor group 103 consisting of the sensor means 103a and 103b. These sensor means are vertical acceleration sensors. The measured values azi determined with the first sensor means 103a are fed to the two provision means 108 and 109 via the input 5 . Correspondingly, the measured values az2 determined with the second sensor means 103b are supplied to the two provision means 108 and 109 via the input 6 . A sensor group 104 consisting of the sensor means 104a and 104b. These sensor means are yaw rate sensors, with which the rotational movement of the vehicle about its vertical axis is detected. The measured values psil determined with the first sensor means 104a are supplied to the two provision means 108 and 109 via the input 7 . Correspondingly, the measured values psi2 determined with the second sensor means 104b are fed to the two provision means 108 and 109 via the input 8 . A sensor group 105 consisting of sensor means 105a and 105b. These sensor means are sensors for detecting the steering angle or the steering wheel angle. The measured values LW1 ascertained with the first sensor means 105a are supplied to the two provision means 108 and 109 via the input 9 . Correspondingly, the measured values LW2 ascertained with the second sensor means 105b are fed to the two provision means 108 and 109 via the input 10 . For the sake of clarity, the sensor groups for detecting the pitching movement and the rolling movement of the vehicle are not shown in FIG. The representation of different sensor groups in FIG. 1 should not be understood to mean that only this combination of sensor groups can be arranged in a vehicle. Any subset of the sensor groups shown in FIG. 1 can be installed in the vehicle. Furthermore, the illustration in FIG. 1 should not be understood in such a way that only sensor group 101 corresponds to the first sensor group. For example, the sensor groups 104 or 102 or 105 come into consideration as the first sensor group. The provision means 108 consist of a sample-and-hold element 108a, a downstream multiplexer 108b and, in turn, a downstream analog/digital converter 108c. The measured values supplied to the provision means 108 are read into the sample-and-hold element 108a and temporarily stored there. The point in time at which the data Datas1 is forwarded from the sample-and-hold element 108a to the multiplexer 108b is determined by the signal W generated by an OR gate 108d. To determine the signal W, the OR gate 108d receives a signal SM from an evaluation device 110 and a signal SMB from an evaluation device 111 . The two redundant evaluation means are each a microcontroller. The multiplexer 108b has the task of supplying the measured values determined with the sensor means belonging to a sensor group to the analog/digital converter 108c in a time-synchronous manner. The multiplexer 108b is controlled for this purpose via the signals Control1, which are supplied to the provision means 108 by the evaluation means 110. The analog-to-digital converter 108c is also controlled with the aid of the signals Controll, thus ensuring a time-synchronous conversion of the measured values. The converted measured values are output as signals Data1 from the provision means 108 to the evaluation means 110 . In other words: The data request is realized with the aid of the signals Controll. In addition, the temperature is communicated to the supply means 108 via the signals Controll, which is then taken into account in the processes running in the supply means. At this point it should be noted that the provision means do not necessarily have to have a sample and hold element. This can be dispensed with if the multiplexer used is fast enough and/or a separate analog/digital converter is provided for each sensor means. The converted measured values Data1 are first filtered in the evaluation means 110, as a result of which an averaging is carried out. The measured values processed in this way are then evaluated in the evaluation means 110 to determine whether or not there is a sensor error. The result of this monitoring is supplied to a CAN interface 112 as signals D1 together with the processed measured values. Starting from this CAN interface, the data D1 generated in it are fed to a CAN bus 116. In the CAN interface 112, the data D1 are converted into the data D1 that meet the protocol requirements required for the CAN bus. At this point it should be noted that, as an alternative to a CAN bus, a TTP bus system (TimeTriggeredProtocol bus system; fault-tolerant), an Ethernet connection, an optical data bus or a transmission system working according to the Flexray standard can also be used. The provision means 109 are constructed identically to the provision means 108 except for the missing OR gate; H. they also contain a sample-and-hold element 109a, a downstream multiplexer 109b and an analog-to-digital converter 109c, which is in turn downstream. The functions of these components are identical to the functions of the corresponding components of the provisioning means 108 . The sample and hold element 109a is controlled via the signal SMB generated in the evaluation means 111. The multiplexer 109b and the analog/digital converter 109c are controlled by the evaluation means 111 via the signals Control2. The converted measured values are output as signals Data2 from the provision means 109 to the evaluation means 111. It should be noted at this point that the provision means 108 and 109 are synchronized by the signals SM and SMB as well as Control1 and Control2. The converted measured values Data2 are first filtered in the evaluation means 111 in accordance with the evaluation means 110 . The measured values prepared in this way are then evaluated. The result of this monitoring is supplied to a CAN interface 115 as signals D2 together with the processed measured values. The data D2 generated in this CAN interface are also fed to the CAN bus 116 . The two evaluation means 110 and 111 can mutually check or monitor one another via the cross check signals. On the one hand, they can determine whether the measured values processed in them are identical. On the other hand, they can mutually determine whether the other evaluation means is still working. As shown in FIG. As a result, the CAN interfaces can be checked by the evaluation means. The CAN bus 116 forwards the signals D1 and D2, which are combined to form the signals D, to a control device 117. The control device thus has the measured values and the result of the monitoring of the sensor means. The control device 117 is, for example, a drive-by-wire system or a steer-by-wire system or a brake-by-wire system or a driving dynamics control in which the control of the yaw rate is at least through steering intervention is carried out. According to the control algorithm stored in it, the control device generates signals S1, which are fed to an actuator system 118 assigned to it. The variable to be controlled is set by appropriate control of the actuators. The control device receives feedback about the current state of the actuators via the signals S2. Depending on the result of the monitoring of the sensors taking place in the evaluation means 110 and 111, i. H. depending on the severity of an existing sensor error, the control running in the control device is either partially or completely switched off. The illustration in Figure la shows that the path formed by components 109, 111 and 115 is the main path, while the path consisting of components 108, 110 and 112 represents an emergency path. In Figure la there are two temperature sensors 106 and 107 are shown. The measured values generated with the temperature sensor 106 are fed to the evaluation means 110 , the measured values generated with the temperature sensor 107 are fed to the evaluation means 111 . With the help of these measured values, both evaluation means can compensate for any temperature-related drifts that may occur in the measured values determined with the sensor means. FIG. 1b is discussed below, in which the structure of the device according to the invention is shown according to the second concept. In this concept, the evaluation means are structurally or functionally contained in a control device arranged in the vehicle. The device shown in FIG. 1b is constructed identically to that shown in FIG. The components listed above have the same function both in the device shown in FIG. 1a and in the device shown in FIG. 1b, which is why these components and their function in connection with FIG. In contrast to the device shown in FIG. 1a, the device according to FIG. On the other hand, the device contains computing means 111* which, together with the components 109, form provision means 120. The task of the provision means 119 or 120 is to supply the measured values determined with the aid of the sensor means to the evaluation means 117a or 117b assigned to the respective provision means, both of which are contained in the control device. The converted measured values Data1 are at least filtered in the computing means 110*, as a result of which an averaging is carried out. The measured values D1* prepared in this way are fed into a CAN bus 116 via a CAN interface 112 as data D1*. The converted measured values Data2 are filtered in the computing means 111*, as a result of which an averaging is carried out. The measured values D2* prepared in this way are fed into a GAN bus 116 via a CAN interface 115 as data D2*. The CAN bus 116 forwards the signals D1* and D2*, which are combined to form the signals D*, to the evaluation means 117a and 117b. The actual monitoring of the sensor means is carried out in these evaluation means. The evaluation means forward the result of the monitoring to the control device 117 . As already explained, the sample-and-hold elements, the multiplexers and the analog/digital converters are controlled in such a way that the measured values are supplied to the evaluation means in a time-synchronous manner. In addition, appropriate design measures also ensure that the lines present in the structure do not result in any significant transit time differences between the measured values of the sensor means belonging to a sensor group. In the following, reference is made to FIG. 2, in which the sequence of the monitoring of the sensor means according to the invention is shown with the aid of a flowchart. The steps shown in FIG. 2 essentially take place in blocks 110 and 111 shown in FIG. 1a or in blocks 117a and 117b shown in FIG. The method according to the invention begins with a step 201, which is followed by a step 202. In step 202, the sum of the measured values that are present at the point in time when the ignition key is turned is determined. Since the sensor means are arranged in such a way that they detect the physical variables with the same absolute value but with an inverse sign, a difference is actually formed when the sum is formed. The offset of the sensor means is determined with the aid of this sum and can thus be compensated for in the subsequent comparisons for monitoring the sensor means. In a subsequent step 203, the actual comparison for monitoring the sensor means belonging to a sensor group is carried out. For this purpose, the sum of the measured values determined using the first sensor means and the measured values determined using the second sensor means is formed, with the difference being formed as mentioned above. This sum is compared to a threshold. The threshold value is represented by equations 2, 3, 4, 2 or 4, depending on which sensor means belonging to a sensor group are being monitored. If the total is greater than the respective threshold value, there is a sensor error. In step 203 different individual monitoring can take place. A sum is usually formed for each computing cycle and monitoring is therefore carried out. However, long-term monitoring can also be carried out, in which sensor errors are determined on the basis of the temperature drift of the sensor means. For this purpose, the sum of a currently available measured value and a measured value that was present when the vehicle was started, for example, is formed. The temperature drift can be considered, for example, for the duration of the respective trip or for the entire service life of a sensor means. If it is determined in step 203 that there is no sensor error, then a branch is made to step 204, in which the actual x-by-wire control takes place. The return from step 204 to step 202 indicates that the monitoring of the sensor means is permanent. If, on the other hand, it is established in step 203 that there is a sensor error, then step 205 is branched to. In step 205, depending on the severity of the error that has occurred, the x-by-wire control is either partially or completely switched off. Following step 205, a step 206 is carried out, with which the monitoring of the sensor means is ended. Finally, it should be noted that the representation selected in the exemplary embodiments should not have any restrictive effect.

Claims

1. A device for monitoring sensor means arranged in a vehicle, which are at least a first and a second sensor means (101a, 101b, 102a, 102b, 103a, 103b, 104a, 104b, 105a, 105b), which together form a first sensor group (101, 102, 103, 104, 105), and with which measured values (axi, ayi, azi, psii, Lwi) are determined for a first physical variable, the Device providing means (108,109, 119,120) with which those with the to the first sensor means belonging to the sensor group are processed and fed to at least two redundant evaluation means (110, 111, 117a, 117b), wherein in the at least two redundant evaluation means, for detecting an error,

which occurs on at least one of the sensor means belonging to the first sensor group, a respective comparison is carried out in which the measured values of the first sensor means are compared with the measured values of the second sensor means, characterized in that at least two redundant provision means are involved, one of which each one of the Evaluation means is assigned.

2. Device according to Claim 1, characterized in that the evaluation means (110, 111) are arranged in the vehicle structurally and functionally separately from a control device (117) arranged in the vehicle.

3. Device according to Claim 2, characterized in that the at least two redundant provisioning means (108, 109) each have a sample-and-hold element (108a, 109a) and/or a multiplexer (108b, 109b) and/or an analog-digital Have converters (108c, 109c).

4. Device according to claim 2, characterized in that the evaluation means (110, 111) send signals (Controll, Control2, SM, SMB) that are assigned to the respective Provisioning means (108, 109) are fed to its control, the provisioning means being controlled in such a way that the measured values (axi, ayi, azi, psii, Lwi) determined at the same time are read synchronously and the processed measured values (Datal, Data2) are fed synchronously to the evaluation means.

5. Device according to claim 1, characterized in that the evaluation means (117a, 117b) are structurally or functionally contained in a control device (117) arranged in the vehicle.

6. Device according to claim 5, characterized in that the at least two redundant provision means (119, 120) each have a sample-and-hold element (108a, 109a) and/or a multiplexer (108b, 109b) and/or an analog-digital having converters (108c, 109c) and computing means (110*, 111*).

7. Device according to claim 6, characterized in that the computer means (110*, 111*) send signals (Controll, Control2, SM, SMB) that are assigned to the sample-and-hold element (108a, 109a) and/or multiplexer (108b, 109b) and/or analog-digital Converter (108c, 109c) are supplied, these compo nents are controlled in such a way that the same measured values determined at points in time (axi, ayi, azi, psii, Lwi) read in synchronously and the processed measured values (Data1, Data2) synchronously to the evaluation means or Computer means are supplied.

8. Device according to Claim 4 or 7, characterized in that the evaluation means (110, 111) or the computer means (110*, 111*) generate a first signal (SM, SMB) with which the sample-and-hold element (108a, 109a ) is controlled in such a way that the sensors associated with the first sensor group (101, 102,103,104,105) belonging to sensor means generated Measured values (axi, ayi, azi, psii, Lwi) are read in and temporarily stored synchronously, in particular at a first point in time, and/or that the evaluation means (110, 111) or the computer means (110*, 111*) send a second signal ( Controll, Control2) he testify with which the multiplexer (108b, 109b) and / or the Analog-to-digital converters (108c, 109c) are controlled in such a way that the measured values, in particular the measured values (Da tasl,

Datas2), time synchronous, especially to a second Point in time read into the multiplexer and passed on by it and/or read into the analog-to-digital converter and converted there, and the converted measured values are thus fed synchronously to the evaluation means or computer means.

9. The device according to claim 1, characterized in that further sensor groups consisting of at least a first and a second sensor means are present, with the sensor means belonging to one of the further sensor groups being used to determine measured values for further physical variables, these other physical quantities differ both from each other and from the first physical quantity.

10. The device according to claim 9 and claim 3 or 6, characterized in that the multiplexer is controlled in such a way that the measured values determined in pairs with the sensor means belonging to the respective sensor group correspond to the analog Digital converter are supplied.

11. Device according to claim 1 or 9, characterized in that the sensor means belonging to the first sensor group (104) are a first (104a) and a second (104b) rotation rate sensor for detecting the rotation of the vehicle about its vertical axis is, and / or that a second sensor group is present, which consists of a first and a second rotation rate sensor for detecting the Rotational movement of the vehicle about its longitudinal axis, and / or that a third sensor group is present, which consists of a first and a second rotation rate sensor for detecting the rotational movement of the vehicle about its transverse axis, and/or that a fourth sensor group (102) is present, consisting of a first (102a) and a second (102b)

Acceleration sensor for detecting the lateral acceleration of the vehicle consists, and/or that a fifth sensor group (101) is present, consisting of a first (lOla) and a second (lOlb) acceleration sensor for detecting the longitudinal acceleration of the Vehicle consists, and / or that a sixth sensor group (103) is present, the acceleration sensor from a first (103 a) and a second (103 b) for detecting the vertical acceleration of Vehicle consists, and / or that a seventh sensor group (105) is present, which consists of a first (105a) and a second (105b) sensor means for detecting the steering wheel angle or the steering angle of the wheels.

12. Device according to claim 1, characterized in that at least one deviation variable is determined to carry out the comparison, which describes the deviation between the measured values of the first sensor means and the measured values of the second sensor means, and that this deviation variable is compared with an associated threshold value , whereby a sensor error is present if the deviation is greater than the associated threshold is.

13. The apparatus according to claim 12, characterized in that the first physical variable is a variable (ayi, psii, Lwi) describing the transverse dynamics of the vehicle, and that this variable is a steer-by-wire control device as an input variable and/or Control variable is supplied, and that the threshold value is determined as a function of a value for the maximum permissible lane offset that the vehicle may have when a fault occurs in one of the sensor means belonging to the first sensor group.

14. Device according to claim 1 or 9, characterized in that the first and second sensor means belonging to the respective sensor group are those with which the physical variable is detected according to amount and sign, the first and second sensors having are arranged in the vehicle in such a way that the measured values determined in each case have the same absolute value but an inverse sign.

15. Device according to claim 1 or 9, characterized in that the sensor means belonging to a sensor group are each combined to form a structural unit, in particular a sensor module, which is fitted at one location on the vehicle.

16. Device according to claim 8, characterized in that the converted measured values (Data1, Data2) are first filtered and/or processed before they are evaluated in the evaluation means (110, 111, 117a, 117b).

17. Device according to claims 2 and 16, characterized in that the filtering and/or processing takes place in the evaluation means (110, 111) themselves.

18. Device according to claims 5 and 16, characterized in that the filtering and/or processing takes place in the computer means (110*, 111*) contained in the preparation means (119, 120).

19. Device according to claim 17 or 18, characterized in that the measured values filtered and/or processed in the evaluation means (110, 111) and/or the results of the comparison are supplied to the control device (117) via a bus system, and/or that the the computer means (110*, 111*) filtered o the processed measured values via a bus system in the Evaluation means (117a, 117b) contained in the control device (117) are supplied.

20. The device as claimed in claim 19, characterized in that at least part of the data is output to the bus system Measured values are read back into the evaluation means or into the computer means and subjected to a plausibility check.

21. Device according to claim 2, characterized in that the at least two redundant evaluation means (110, 111) monitor each other.

22. Device according to claim 2, characterized in that a separate voltage supply is provided for each evaluation means (110, 111) and the processing means (108, 109) assigned to it.

23. The device according to claim 13, characterized in that the threshold value is also a function of the Speed of the vehicle describing variable or the yaw rate of the vehicle describe the variable is determined.

24. Device for monitoring sensor means arranged in a vehicle, which are at least a first and a second sensor means (101a, 101b, 102a, 102b, 103a, 103b, 104a, 104b, 105a, 105b), which together form a first sensor group (101, 102, 103, 104, 105), and with which measured values (axi, ayi, azi, psii, Lwi) are determined for a first physical variable, the Device providing means (108,109, 119,120) with which those with the to the first The measured values determined for the sensor means belonging to the sensor group are fed to evaluation means (110, 111, 117a, 117b), with a comparison being carried out in the evaluation means to detect a fault which occurs in at least one of the sensor means belonging to the first sensor group,

in which the measured values of the first sensor means are compared with the measured values of the second sensor means, characterized in that the measured values determined at the same times by the sensor means belonging to the first sensor group are supplied to the evaluation means synchronously with the aid of the provision means for evaluation.

25. A method for monitoring sensor means arranged in a vehicle, in which at least one first and one second sensor means (101a, 101b, 102a, 102b, 103a, 103b, 104a, 104b, 105a, 105b), which together form a first sensor group (101, 102, 103, 104, 105), and with which measured values (axi, ayi, azi, psii, Lwi) are determined for a first physical variable, in which with the help of provision means (108,109, 119,120) processes the measured values determined with the sensor means belonging to the first sensor group and at least two redundant evaluation means (110,111, 117a, 117b) are supplied, wherein in the at least two redundant evaluation means, for detecting an error,

26. Use of the device according to claim 1 or 24 in egg nem drive-by-wire system or a steer-by-wire system or a brake-by-wire system.

27. Sensor module, which has at least a first and a second Contains sensor means that together form a first sensor group, with the first and the second sensor means measuring values for a first physical variable being determined, the physical variable being recorded with the first and the second sensor means according to absolute value and sign, and where the first and the second Sensor means are arranged in the sensor module in such a way that the measured values determined in each case have the same amount but inverse signs.

28. Sensor module according to claim 27, characterized in that the sensor module contains further sensor groups consisting of at least one first and one second sensor means, with the sensor means belonging to one of the further sensor groups being used to determine measured values for further physical variables, these further physical quantities differ from each other as well as from the first physical quantity.