JP3955328B2 - 車両駆動ユニットの制御方法及び装置 - Google Patents

Description

従来技術
本発明は車両駆動ユニットの制御方法及び装置に関するものである。
この種類の方法及びこの種類の装置は１９９４年１０月２９日付の未公開ドイツ特許出願第Ｐ４４３８７１４．８号に記載されている。この特許出願においては、マイクロコンピュータを有する制御ユニットが設けられ、マイクロコンピュータは駆動ユニットの出力（内燃機関の場合、空気供給量、燃料供給量及び／又は点火角に関して）の制御のみでなく、この制御プログラムの正しい機能のモニタリングをも実行する。この場合、このマイクロコンピュータのプログラム構造は、実質的に３つの相互に分離したレベルから構成されている（図１に関する以下の説明を参照）。第１のレベルにおいて、制御機能が計算される。第２のレベルにおいて、第１のレベルの制御機能の正しい作動が、選択された入出力信号に基づいて検査される。第３のレベルにおいて、第２のレベルにおいて実行されたモニタリングの検査が実行検査の範囲内で行われ、この実行検査はモニタリングモジュール（ウオッチドッグ又はバックアップ（安全用）コンピュータ）と協働してモニタリングステップの作業が正しいか否かを検査する。このために、モニタリングモジュールは所定の質問の中から選択された１つの質問を設定し、この質問は第２のレベルのプログラムの部分回答の中から１つを形成することにより回答され且つエラー検出のためにモニタリングモジュールに返送される。好ましい実施形態においては、第２のレベルは内燃機関の空気量設定をモニタリングし、エラーの場合この空気量設定を遮断し、ないし非常運転を導く。この実施形態においては、モニタリングモジュールは、空気供給量を制御するアクチュエータ用出力段のみでなく、燃料供給量及び点火用出力段もまた操作する。プログラムランの検査のほかに、第２のレベルにおける機能モニタリングの範囲内で実行される計算を検査するための措置がこの既知の解決策においては記載されていない。
機能モニタリングの範囲内で実行される計算を検査するための措置を提供することが本発明の課題である。
この課題は独立請求項の特徴により達成される。
発明の利点
本発明による解決策は、制御機能の計算のみでなくモニタリング機能の計算もまた同様に行うマイクロコンピュータのエラーの検出を可能にする。従って、例えば数値的に正しく計算しないモニタリング機能のような潜在エラーもまた検出されることは好ましい。
この場合、本発明による解決策の範囲内においては、モニタリングすべきプログラムから離れて存在するオペレーションが使用されず、モニタリングすべきプログラムコードが使用されることは特に有利である。従って、本発明による解決策は駆動ユニットに対する制御の機能モニタリングのほぼ１００％に近い検査を可能にする。
テストデータセットを適切に選択したとき、関連する値のあらゆる範囲内において、典型的なテストを実行可能であることは特に有利である。従って、駆動ユニットの出力制御のモニタリング機能の検査がビット単位の精度で行われる。
他の利点が実施形態に関する以下の説明ないし従属請求項から明らかである。
図面
以下に本発明を図面に示す実施形態により詳細に説明する。ここで、図１は駆動ユニット用制御装置の構成図を示し、一方図２及び図３に本発明による解決策の第１の実施形態が流れ図として示されている。図４はこの実施形態に対する信号線図を示す。図５、図６及び図７に本発明による解決策の第２の実施形態がブロック回路図ないし流れ図として示されている。
実施形態の説明
図１に車両の駆動ユニット特に内燃機関の制御用制御ユニット１０が示されている。制御ユニット１０は特に入力回路１２を含み、この入力回路１２に入力ライン１４及び１６が測定装置１８及び２０から供給されている。入力回路１２において制御ユニットの入力信号が形成され、マイクロコンピュータ２２に供給される。出力制御の好ましい実施形態においては、測定装置１８及び２０として、ドライバが操作可能な操作要素例えば加速ペダルの操作度を測定するための２つの測定装置が使用される。この場合、両方の測定装置は冗長方式で構成してもよく、又は他の実施形態においては、連続測定装置（例えばポテンショメータ）及び不連続測定装置（例えばスイッチ）が使用されてもよい。ライン１４及び１６を介して供給される測定装置からの測定信号は入力回路１２において相互に別々に形成され、好ましくは別々のルート２４及び２６上で、例えば２つの入力ポート又は２つのＡ／Ｄチャンネルを介してマイクロコンピュータ２２に供給される。これらの測定信号のほかに、制御ユニットないしマイクロコンピュータに駆動ユニット及び／又は車両の他の測定変数、例えば機関回転速度、出力設定要素の位置等が供給されるが、図を見やすくするために、これらは図１に示されていない。マイクロコンピュータ２２はそのプログラム構成に関して実質的に３つのレベルに分割されている。第１のレベル２８内に、駆動ユニットに対する制御を実行するためのプログラム３０がまとめられている。この場合、好ましい実施形態においては、（結合ライン４４及び４６を介して供給される）操作要素の操作度及び他の運転変数に基づいて駆動ユニットの、好ましい実施形態においては内燃機関のトルクを設定するプログラムが使用され、このプログラムは、電気的操作可能な絞り弁内を流れる空気供給量、燃料供給量及び点火時期を計算する。同様に、マイクロコンピュータ２２は出力ライン３２及び３４を有し、ライン３２及び３４は出力段３６及び３８に通じ、出力段３６及び３８は同様に対応する出力ライン４０及び４２を介して、点火時期、燃料供給量及び空気供給量を設定する。第２のレベル４８内に、制御機能３０の機能モニタリングの働きをするプログラム５０がまとめられている。この場合、好ましい実施形態においては、ドライバの希望により導かれる駆動ユニットの許容トルクが、設定されたトルクと比較され、設定されたトルクが許容トルクを超えたとき、エラー状態が検出される。内燃機関制御の好ましい実施形態においては、操作要素の操作度及び絞り弁の設定又は機関負荷に対する対応値に関する妥当性検査を行ってもよい。それに応じて、機能モニタリング用プログラム５０を含むレベル２に、一方で操作要素の操作度に関する入力信号が供給され（結合ライン５２及び５４）、他方で制御機能用プログラム３０の計算結果が供給される（結合ライン５６及び５８）。他の実施形態においては、計算結果に追加して、又は計算結果の代替として、機関負荷、絞り弁位置及び／又はトルクに対する測定値が供給される。好ましい実施形態においては、マイクロコンピュータ２２の出力ライン６０を介して、機能モニタリング５０が絞り弁を制御するための出力段３８を調節する。第１及び第２のレベルにほかに、マイクロコンピュータ２２のプログラム構成は第３のレベル６２を有し、第３のレベル６２内に機能モニタリング５０の実行検査のためのプログラム６４がまとめられている。この場合、プログラム６４は、結合ライン６６及び６８を介して、マイクロコンピュータから分離しているウオッチドッグないし安全用（バックアップ）コンピュータ７２のモニタリングモジュール７０と通信する。結合ライン６６を介して、モニタリングモジュール７０は、実行検査のためのプログラム６４内に所定のシーケンスを選択する。これは、実質的に、機能モニタリング５０が、選択されたプログラムステップに従って形成される部分回答に基づいて計算作業の実行（回答）を（結合ライン７４を介して）開始させることにあり、部分回答の結果は実行検査６４から再び（結合ライン７６を介して）戻される。この結果ないしこの結果から導かれた値を、実行検査６４は結合ライン６８を介してモニタリングモジュール７０に更に導き、モニタリングモジュール７０はこの回答を、ライン６６を介して与えられる質問と比較する。エラーの場合、モニタリングモジュール７０は出力ライン７８を介して出力段３６及び３８を操作する。
好ましい実施形態においては、操作要素の操作度から駆動ユニットのトルクに対する目標値が導かれる。実際のトルクは、空気供給量、燃料供給量及び点火角を調節することによりこの目標値に近づけられる。
第１の実施形態においては、本発明により、マイクロコンピュータの機能の拡張モニタリングのために、少なくとも操作要素を解放したクリティカルな場合に（アイドリング）、次のことが行われる。モニタリングモジュール７０は、例えば操作要素が解放されているとき、操作要素が一定に保持されるとき、操作度が所定の値の範囲内にあるとき及び／又は所定の運転時間の経過後又は所定の運転サイクル数の経過後のような少なくとも所定の運転状態において、周期的に（例えば２００ミリ秒ごとに）直列インタフェース又はポートピンを介して刺激情報をマイクロコンピュータ２２にセットする。マイクロコンピュータ２２は、この刺激信号に応答し、一方刺激信号は、少なくともモニタリング機能の一部に対して（好ましくは実際トルクの計算に対して又は許容トルクの計算に対して）、メモリセル内に記憶された、モニタリング機能の基礎となる値（例えば負荷信号及び設定点火角又は操作度のようなトルクを決定する実際値）を基礎としないで、対応する運転状態においてモニタリング機能を損傷させる（例えば結果として高い実際トルクが得られるか又は低い許容トルクが得られる）テスト信号を基礎とする。レベル２のプログラムが正しく機能しているとき、この場合にエラーが検出されねばならない。それに続いて、レベル２内に存在するエラーカウンタが増加される。エラーカウンタのあるカウントにおいて、モニタリングモジュールはマイクロコンピュータ２２の特定応答、例えばエラー信号又はリセット信号の伝送を期待する。モニタリングモジュール７０がこのような信号を受信したとき、刺激信号はリセットされ、第２のレベルは機能性を有していることが検出される。対応する信号が所定の時間（カウンタの上昇時間）内に検出されなかったとき、レベル２のいずれかのプログラムがエラーを有しているか又はドライバがペダルを操作しない機能（例えば走行速度制御装置、牽引トルク制御装置）が働き、この機能はドライバの希望を超えて機関トルクを更に上昇させる（少なくともテスト信号により実際トルクが調節されるとき）。これを検査するために、モニタリングモジュール７０は刺激信号を保持する。ここで、マイクロコンピュータ２２は機能モニタリングの範囲内でドライバの希望のアイドリングに基づいてトルクモニタリングを計算し、上昇係合に対するときとは異なり他の許容トルクが設けられる。この場合、エラーカウンタはいずれの場合も増加し、これによりマイクロコンピュータ２２の対応する応答信号が出力される。このような信号がモニタリングモジュール７０により受信されなかったとき、機能モニタリングの範囲内にエラーが検出され、対応する遮断処置ないし非常運転処置が出力ライン７８を介して導かれる。
本発明による解決策の第１の実施形態が図２及び３において流れ図により示されている。これらの流れ図は、この解決策の実行を、モニタリングモジュール内のプログラム及び機能モニタリングのプログラムとして示している。
図２に示す流れ図はモニタリングモジュール７０のプログラムを示す。このプログラムは所定の時間間隔（例えば２００ミリ秒ごと）で上記の運転条件が存在したときに実行される。第１のステップ１００において、刺激信号がマイクロコンピュータ２２（ＦＲ＝機能コンピュータ）に出力される。この場合、刺激信号は、マイクロコンピュータ２２の入力ラインにおける例えばレベル変化により、所定のパルス・デューティ・ファクタ又は所定の電圧高さを有する信号により形成される。それに続くステップ１０２において、エラーカウンタがその最大値に確実に到達してから所定時間が経過した後、マイクロコンピュータ２２からの対応応答信号が検出されたか否かが検査される。これが肯定の場合、ステップ１０４によりテストが終了したとみなされ、プログラムは終了される。次に所定の運転状態が存在したとき、プログラムは再び開始される。
他の有利な実施形態においては、マイクロコンピュータ２２の応答信号の代わりに、エラーカウンタの現在のカウントがモニタリングモジュール７０に伝送される。次に、モニタリングモジュール７０は、エラーカウンタの時間線図により、ないしエラーカウンタが限界値を超えたとき、マイクロコンピュータ２２の正しい機能、ないしマイクロコンピュータ２２のエラーを有する作動を検出する。
ステップ１０２において、モニタリングモジュールが刺激信号に基づいて期待されるマイクロコンピュータの作動を検出しなかったとき、ステップ１０６により、刺激信号の出力が保持される。それに続くステップ１０８により、マイクロコンピュータ２２からの応答ないしマイクロコンピュータ２２のエラーカウンタの期待される特性が存在するか否かが改めて検査される。これが肯定の場合、ステップ１１０によりテストが終了したとみなされ、プログラムは終了され、一方否定の場合、ステップ１１２によりマイクロコンピュータ２２の機能モニタリングの範囲内にエラーが特定され、対応するエラー応答がモニタリングモジュールにより開始される。これは実質的に、燃料供給量、点火角及び空気供給量に対する出力段の遮断として実行されるか、又は駆動ユニットの制限された制御特に出力が制限された制御を導く非常運転として実行される。ステップ１１２の後、プログラムは終了される。
図３に、レベル２の、マイクロコンピュータ２２の機能モニタリングの対応するプログラムが示されている。プログラムは所定の時間間隔（例えば数ミリ秒）で開始される。プログラム部分のスタート後、第１のステップ２００において、操作要素の操作度βならびに機関回転速度Ｎ_motが読み込まれ、ステップ２０２により、所定の特性曲線群、所定の表又は所定の計算ステップに基づいて操作度β及び機関回転速度Ｎ_motから許容機関トルクＭＩＺＵＬが決定される。この場合、この許容トルクは、マイクロコンピュータの作動にエラーがないとき、駆動ユニットの実際のトルクのあらゆる公差を考慮してもこの許容トルクが超えられないように決定される。それに続いてステップ２０４において、モニタリングモジュールからの刺激信号が存在するか否かが検査される。これが否定の場合、ステップ２０６及び２０８により機能モニタリングが開始される。このために、負荷信号Ｔ_L（例えば空気質量流量及び機関回転速度から形成される）及び設定点火角ＺＷが読み込まれ（ステップ２０６）、これらの両方の値ならびに機関回転速度に基づいて、所定の特性曲線群、所定の表又は所定の計算ステップにより内燃機関から出力されるトルクＭＩ_Istが決定される。それに続く問い合わせステップ２１０において、例えば走行速度制御装置（ＦＧＲ）又は機関牽引トルク制御装置（ＭＳＲ）によりドライバの設定目標トルクを超えたその時点の上昇調節が作動を開始したか否かが検査される。これが肯定の場合、ステップ２１２により、許容トルクＭＩＺＵＬがこの運転状態に対して設定されている、例えば回転速度又は速度の関数である最大値ＭＩ_maxにセットされる。ステップ２１２の後、ステップ２１０における「否定」回答の場合と同様に、ステップ２１４により実際トルクＭＩ_Istと許容トルクＭＩＺＵＬとの間の比較が行われる。計算された実際トルクが計算された許容トルクより大きいとき、ステップ２１６によりエラーカウンタＦが増分され、逆の場合、ステップ２１８によりエラーカウンタＦは減分される。それに続く問い合わせステップ２２０において、エラーカウンタがその最大値に到達したか否かが検査される。これが肯定の場合、ステップ２２２により対応する信号がモニタリングモジュール７０（安全用（バックアツプ）コンピュータＳＲ）に出力され、ステップ２２０における「否定」回答の場合と同様にプログラムは終了される。
刺激信号が存在することをステップ２０４が与えた場合、プログラムのこの部分において同時に作動しているカウンタｉがステップ２２４により増分される。それに続くステップ２２６において、機関負荷に対する選択されたテスト信号Ｔ_LT及び点火角に対する選択されたテスト信号ＺＷ_Tが与えられ、ステップ２０８に対応するステップ２２８により実際トルクが決定される。それに続く問い合わせステップ２３０において、カウンタｉが最大値ｉ_maxと比較される。この最大値に到達していないとき、ステップ２１０が実行され、他の場合、直接ステップ２１４に飛び越される。この場合、カウンタｉは、更に刺激信号が存在し且つ走行速度制御装置が作動されているか又は牽引トルク制御装置が作動されているとき、希望のテスト状態が発生されることを保証する。この場合、最大値ｉ_maxは、エラーカウンタがその最大値に到達するために必要な時間を考慮して決定される（例えば２−３回のプログラムラン）。実際トルクが許容トルクを超え且つエラーカウンタが正常に増加するとき、ステップ２２２により、モニタリング機能が正しく機能しているので応答信号がモニタリングモジュールに出力される。
他の有利な実施形態においては、少なくともテスト状態において、エラーカウンタのカウントが伝送される。
図４に本発明による解決策が時間線図により示されている。この場合、図４ａは刺激信号の時間線図を示し、図４ｂは実際トルク及び許容トルクの時間線図を示し、図４ｃはエラーカウンタの時間線図を示し、図４ｄは走行速度制御装置又は牽引トルク制御装置の係合を示し、図４ｅはマイクロコンピュータ２２のモニタリングモジュール７０への応答信号の時間線図を示す。
第１の時点Ｔ₀において、マイクロコンピュータ２２はモニタリングモジュールにより出力された刺激信号を受信したとする（図４ａ参照）。それに続いてテストデータに基づいて求められた実際トルク（図４ｂの実線）が、その直後に操作度に基づいて計算された許容トルク（図４ｂの破線）を超えたとする。それに応じて、エラーカウンタは最大エラーカウントＦ_maxに到達する時点Ｔ₁まで増加する（図４ｃ参照）。これにより図４ｅに示すように対応するエラー信号がモニタリングモジュールに出力され、刺激信号をリセットし且つテスト状態を終了させる（図４ａ、４ｂ参照）。この例においては、モニタリングは正しく作動している。時点Ｔ₁の後、エラーカウンタは再び減分される。
時点Ｔ₂において、走行速度制御装置が作動されたとする（図４ｄ参照）。この運転状態においては、許容トルクは上昇される（図４ｂ参照）。時点Ｔ₃において、モニタリングモジュールが刺激信号をマイクロコンピュータ２２に再び出力したとする。これにより、図４ｂに示すように、テストデータに基づいて実際トルクが計算される。この場合、テストデータに基づく実際トルクが許容トルクを超えていないとする。これは、時点Ｔ₄まで刺激信号が保持され且つ許容トルクはあたかも走行速度制御装置が係合していないかのように決定されることを意味する。これにより、モニタリングが機能しているとき前の状態と同様に実際トルクが許容トルクを超えるので（図４ｂ参照）、時点Ｔ₄からＴ₅まではエラーカウンタは増分される。時点Ｔ₅において最大エラーカウントに到達したとき、エラー信号がモニタリングモジュールに出力され、これによりこの場合もまたモニタリングの正しい機能が証明される。時点Ｔ₅からはエラーカウンタは図４ｃに示すように再び減分される。
本発明による解決策の第２の実施形態が図５ないし７に示されている。この実施形態もまた、マイクロコンピュータのモニタリング機能が正しく且つ確実に実行されているか否かを検査する働きをなし、特に制御機能及びモニタリング機能が同じマイクロコンピュータで実行される制御装置において使用される。第１の実施形態と同様にエラーカウンタないしエラーカウンタから導かれた信号を伝送することにより、確かにモニタリング機能の直接検査が保証されるが、モニタリング機能のビット単位の精度を有する検査は行われない。むしろ、しきい値モニタリングが行われる。従って、レベル２のモニタリングの範囲内における計算のビット単位の精度を有する検査を行うために、第２の実施形態により、レベル２のモニタリング機能は、少なくとも所定の運転状態において、実際データとテストデータとを交互に用いて検査される。テストデータを用いて計算するとき、レベル２のオリジナルプログラムは変更データを用いて使用されることが好ましい。他の有利な実施形態においては、プログラムのコピーが使用される。
実際データを用いてモニタリングを計算するとき、ペダル位置及び機関回転速度の実際値から許容機関トルクが求められ、充填量、回転速度及び点火角に対する値から実際トルクが求められる。これらの差を形成することにより、妥当性が損なわれることが検査される。妥当性が損なわれている場合、特に実際トルクが許容トルクに比較してかなり大きい場合、エラーカウンタがカウントをスタートする。この計算に続いてモニタリングモジュールはテスト信号を出力し、その後この計算は（機関回転速度、ペダル位置、充填量及び点火角に対する）実際データではなくテストデータを用いて行われる。これらのテストデータは、モニタリングモジュール内に記憶され且つインタフェースを介してマイクロコンピュータ２２に伝送されるか、又はマイクロコンピュータ２２内に種々のテストデータセットとして記憶され、モニタリングモジュールは伝送された指数によりテストデータセットを選択する。固定のテストデータセットには、許容トルクと実際トルクとの差に対してただ１つの正しい解のみが存在する。各テストデータセットに付属するこれらの正しい解は、モニタリングモジュールにはわかっている。マイクロコンピュータ２２がこの差をモニタリングモジュールに伝送し、モニタリングモジュールは結果が正しいか否かを検査する。この場合、テストデータセットは、妥当な結果のみでなく妥当でない結果も求められるように選択される。従って、モニタリングレベルが、妥当な状態を妥当でない状態から区別することが可能か否かを検査してもよい。
この第２の実施形態が図５にブロック回路図により示され、このブロック回路図はマイクロコンピュータ２２のレベル２内のプログラム構造を記号で示している。モニタリング機能に、結合ライン３００を介して機関回転速度Ｎ_motが、結合ライン３０２を介してペダル位置βが、結合ライン３０４を介して充填量Ｔ_Lが、及び結合ライン３０６を介して設定点火角ＺＷが供給される。これらの信号はそれぞれ切換要素３０８、３１０、３１２及び３１４を介してその先に供給される。この場合、機関回転速度は、許容機関トルクを決定するための第１の特性曲線群３１６に、また最適機関トルクを決定するための第２の特性曲線群３１８に、そして最適点火角を決定するための特性曲線群３２０に供給される。ペダル位置βはフィルタ３２２を介して第１の特性曲線群３１６に、充填量は第２の特性曲線群３１８及び第３の特性曲線群３２０に供給される。特性曲線群３２０において決定される最適点火角（内燃機関の最大効率）は加算段３２２に供給され、加算段３２２において最適点火角と実際設定点火角との差が形成される。この差は特性曲線３２４を介して乗算段３２６に供給される。特性曲線３２４は点火角の偏差をトルクの最適トルク（最高効率）からの偏差に変換する。乗算段３２６において最適機関トルクが点火角偏差によるトルク補正に基づいて補正される。その結果は実際トルクに対する尺度である。この尺度は加算段３２８に供給され、この加算段３２８には更に特性曲線群３１６から許容トルクが供給される。許容トルクを実際トルクから減算することによりトルク差が形成され、このトルク差は結合ライン３３０を介してモニタリングモジュールに供給される。更に、トルク差はしきい値スイッチ３３２に供給され、このしきい値スイッチ３３２は、許容トルクが実際トルクにより超えられた場合にエラーカウンタ３３４を増分する。好ましい実施形態においては、エラーカウンタのカウントは少なくともその最大値に到達したときに結合ライン３３６を介してモニタリングモジュールに伝送される。モニタリングモジュールから結合ライン３３８が供給され、この結合ライン３３８は切換要素３０８ないし３１４を正常位置から破線で示したテスト位置に切り換える。この位置において、機関回転速度、ペダル位置、充填量及び点火角に対する結合ラインが、種々のテストデータセットを含む表又はメモリ３４０、３４２、３４４及び３４６に結合されている。これらの表又はメモリ３４０、３４２、３４４及び３４６は、結合ライン３４８を介してモニタリングモジュールから供給される選択信号の関数として選択される。
第２の実施形態の範囲内における本発明による解決策のコンピュータプログラムとしての実施形態が図６及び７の流れ図により示されている。この場合、図６はモニタリングモジュールにおいて実行されるプログラムを示し、一方図７はマイクロコンピュータ２２内で実行されるプログラムを示している。
図６に示すモニタリングモジュールのプログラムは所定の時間間隔で呼び出され、この場合、有利な実施形態においては、プログラムは少なくとも１つの上記の所定運転状態においてのみ呼び出される。図示のプログラム部分の第１のステップ４００において、テスト信号が形成され、且つマイクロコンピュータ２２に出力され、テストデータセットないしテストデータセットを決定する指数が伝送される。好ましい実施形態においては、テストデータは、（加速ペダル位置及び機関回転速度又は充填量により形成される）実際の運転状態に基づいて読み取られ且つ妥当な組合せ及び妥当でない組合せとして交互に選択される。本発明による解決策の実行の範囲内において、テストの開始、テストデータの選択及び設定に関しては、他の方式を用いてもよい（例えば妥当なデータのみ、妥当でないデータのみ）。次に、それに続くステップ４０２において、マイクロコンピュータ２２により計算されたトルク差ＭＩ_Diffならびに場合によりエラーカウンタのカウントが読み込まれ、ステップ４０４において、計算された結果が正しいか否かが記憶されている差の値に基づいて検査される。結果が正しいとき、プログラムは改めて他のテストデータを用いてスタートされる。結果が一致しないとき、ステップ４０６によりエラー状態が検出され、プログラムは終了される。選択された方式に応じてそれぞれ、エラーが１回検出されたとき又はエラーが複数回検出されたときにはじめて対応応答（出力段の遮断）が実行されるようにしてもよい。他の有利な実施形態においては、モニタリングモジュール内でエラーカウンタが作動し、この場合、エラーカウンタが最大値に到達したときにエラー措置が開始される。エラーカウンタのカウントを伝送したとき、モニタリングモジュールはカウンタのカウントの時間線図及び／又は最大値への到達を検査する。
図７に示すプログラム部分は、マイクロコンピュータ２２において所定の時間間隔でスタートされるプログラムを示す。プログラムがスタートした後、第１のステップ５００において、テスト信号が存在したとき、ペダル位置、機関回転速度、点火角及び充填量に対するテスト値が選択ないし読み込まれる。テスト信号が存在しないとき、測定ないし計算された実際値が読み込まれる。以下に、テスト信号が存在する状態を説明する。正常運転においては、プログラムはそれに応じて、テストデータの代わりに実際の運転変数値が使用されるように実行する。ステップ５０２においてペダル位置に対する信号値が所定のフィルタリングにかけられる。それに続くステップ５０４により、ペダル位置及び機関回転速度に対するテスト値に基づいて許容トルクＭＩＺＵＬが決定され、充填量、点火角及び機関回転速度に対するテスト値に基づいて実際トルクＭＩ_Istが決定される。それに続くステップ５０６において、実際トルクと許容トルクとの差として差トルクＭＩ_Diffが形成され、ステップ５０８によりモニタリングモジュールに出力される。それに続くステップ５１０において、差トルクが０より大きいか否かが検査される。これが肯定の場合、エラーカウンタが１だけ増加され（ステップ５１２）、否定の場合、１だけ低減される（ステップ５１４）。それに続いてステップ５１６において、エラーカウンタがその最大値に到達したか否かが検査され、この場合、肯定回答の場合ステップ５１８によりエラーが検出され、場合により対応する信号がモニタリングモジュールに出力される。エラーカウンタがその最大値にまだ達していない場合、プログラムは終了され、所定の時間経過後改めてスタートされる。代替態様として、実際のエラーカウンタのカウントが伝送される。
第１及び第２の実施形態の組合せは特に有利である。この場合、マイクロコンピュータ２２からモニタリングモジュールに、トルク値間の差のみでなくエラーカウンタもまた伝送される。これらの値に基づいて、モニタリングモジュールはトルク差のビット精度を有する計算のみでなく、エラー検出の機能特に許容トルクと計算トルクとの間の妥当な偏差及び妥当でない偏差の間の区別をもモニタリングする。
トルク設定のための制御機能は機能モニタリングのためのテスト過程にもかかわらず常に実際の値に基づいて実行され、従ってテストにより駆動ユニットの運転が影響を受けることはない。
本発明による解決策は、対応する運転変数を考慮して、同様にディーゼル機関においても使用される。
上記の好ましい実施形態においては、モニタリング機能は、図示トルクすなわち内燃機関から燃焼により発生されるトルクに基づいて説明されている。他の実施形態においては、モニタリング従ってテストに対し、他のトルク値（例えば出力トルク）、充填値又は負荷値、出力値又はペダル位置及び絞り弁位置が使用されてもよい。このときも同様に、テストデータセットを与える本発明による解決策が実行される。
加速ペダル位置に基づく許容トルクの計算のほかに、対応する運転状態において、他の運転要素（例えば走行速度制御装置）の設定、目標トルク値を与える外部係合（例えば走行速度制御装置、機関牽引トルク制御装置、駆動滑り制御装置等）の目標値及び／又は特殊運転変数（例えば走行速度、滑り、回転速度等）もまた、この運転状態において許容トルクを決定するときに考慮され、且つこれによりこの運転状態における又はこの運転状態に対するモニタリング及びモニタリングの検査が保証される。
本発明による解決策がディーゼル機関において使用された場合、充填量の代わりに燃料供給量が、そして点火の代わりに噴射開始が読み込まれるべきである。
他の実施形態においては、許容トルクと実際トルクとの差及び／又はエラーカウンタのカウントを伝送するほかに、他の中間値、例えば許容トルク及び実際トルク、しきい値を超えたときの差の評価等が伝送される。

Claims (11)

1. マイクロコンピュータが設けられ、前記マイクロコンピュータは第１のプログラムにより駆動ユニット及び車両の運転変数の関数として前記駆動ユニットの出力を制御し、この出力制御を第２のプログラムにより、選択された運転変数に基づいてモニタリングし、
   前記マイクロコンピュータにおけるモニタリングがモニタリングモジュールにより検査され、
   前記マイクロコンピュータが前記モニタリングモジュールから少なくとも１つの運転状態においてテスト信号を受信し、このテスト信号に応答して前記マイクロコンピュータは選択されたテストデータに基づいて所定のモニタリング機能を実行し且つモニタリングの結果及び／又は中間値を前記モニタリングモジュールに伝送する、
   車両の駆動ユニットの制御方法。
2. 前記モニタリングモジュールが、伝送された結果を期待値と比較することにより前記マイクロコンピュータにおけるモニタリング機能の機能性を検査することを特徴とする請求項１記載の方法。
3. モニタリング機能が、操作要素の位置又は外部設定値の関数として計算された前記駆動ユニットの許容トルク及び計算された前記駆動ユニットの実際トルクに基づいて行われることを特徴とする請求項１又は２記載の方法。
4. 前記駆動ユニットが内燃機関であり、前記駆動ユニットの許容トルクが、機関回転速度、加速ペダル位置及びその他の操作要素の設定値又は外部設定値に基づいて計算され、前記駆動ユニットの実際トルクが、充填量及び／又は燃料供給量、機関回転速度及び設定された点火角ないし噴射開始に基づいて計算されることを特徴とする請求項１ないし３のいずれか一項に記載の方法。
5. モニタリング機能を検査するために、前記駆動ユニットの許容トルク及び前記駆動ユニットの実際トルクがテストデータに基づいて求められ且つ相互に比較されることを特徴とする請求項１ないし４のいずれか一項に記載の方法。
6. テスト信号に応答してモニタリング機能を検査するために、前記駆動ユニットの実際トルクがテスト信号に基づいて求められ、測定値に基づいて求められた前記駆動ユニットの許容トルクと比較されることを特徴とする請求項１ないし５のいずれか一項に記載の方法。
7. 前記駆動ユニットの実際トルクと前記駆動ユニットの許容トルクとの差が前記モニタリングモジュールに伝送され、前記モニタリングモジュールは、記憶されており且つテストデータに付属の解に基づいて、前記マイクロコンピュータにおける前記差の計算の正当性を検査することを特徴とする請求項１ないし６のいずれか一項に記載の方法。
8. 前記駆動ユニットの実際トルクが前記駆動ユニットの許容トルクを超えるときエラーカウンタが増分され、前記エラーカウンタのカウント又はカウントが最大カウントを超えたことが前記モニタリングモジュールに伝送され、前記モニタリングモジュールは伝送された信号に基づいてモニタリング機能の機能性を特定することを特徴とする請求項１ないし７のいずれか一項に記載の方法。
9. トルクがドライバの希望を超えて上昇する調節のとき、前記駆動ユニットの最大許容トルクがドライバの希望とは独立のより高い値にセットされ、この場合、前記モニタリングモジュールは、前記マイクロコンピュータが対応する運転状態においてモニタリング機能を損傷させるテスト信号に応答することが検出されなかったとき、前記マイクロコンピュータを働かせ、ペダルから導かれた前記駆動ユニットの許容トルクをモニタリングの検査に利用することを特徴とする請求項１ないし８のいずれか一項に記載の方法。
10. エラーケースが検出されたとき、モニタリング機能により前記駆動ユニットの空気量設定用出力が遮断され、前記モニタリングモジュールにより前記駆動ユニットの空気量設定用出力及び／又は前記駆動ユニットの燃料供給量用出力、場合により前記駆動ユニットの点火用出力が遮断されることを特徴とする請求項１ないし９のいずれか一項に記載の方法。
11. 第１のプログラムにより駆動ユニットの出力を前記駆動ユニット及び車両の運転変数の関数として制御し且つ出力制御のために実行される制御機能を第２のプログラムにより、選択された運転変数に基づいてモニタリングするマイクロコンピュータと、前記マイクロコンピュータにおけるモニタリングを検査するモニタリングモジュールとを備えた車両駆動ユニットの制御装置において、
    前記モニタリングモジュールが少なくとも１つの運転状態において前記マイクロコンピュータ用テスト信号を発生し、前記マイクロコンピュータはこのテスト信号に応答して所定のテストデータに基づいて制御機能のモニタリングを実行し、計算結果及び／又は中間値を前記モニタリングモジュールに伝送する、車両駆動ユニットの制御装置。

Images