JPH07506912A

JPH07506912A - 電子制御装置における障害処理方法および装置

Info

Publication number: JPH07506912A
Application number: JP5507253A
Authority: JP
Inventors: ヴァイス，エーベルハルト; シュタール，マンフレート; メーダー，クラウス; フィーマン，カール; ドリートガー，ギュンター; ノイマン，ユルゲン; アルトホーフ，ハインツ−ユルゲン; シュー，ユルゲン; ツォルバッハ，ベルト
Original assignee: ローベルトボツシユゲゼルシヤフトミツトベシユレンクテルハフツング
Priority date: 1991-11-05
Filing date: 1992-10-31
Publication date: 1995-07-27
Also published as: EP0610316B1; DE4136338C2; EP0610316A1; DE59202559D1; DE4136338A1; WO1993009020A1; US5440487A

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】電子制御装置における障害処理方法および装置従来の技術本発明は、請求の範囲第１項の上位概念による電子制御装置における障害処理のための方法および装置に関する。電子制御装置における障害処理のための方法および装置はドイツ連邦共和国特許公開第３８２５２８０号公報から公知である。

この制御装置は例えば自動車におけるリアアクスル−操舵機構の制御のために設けられている。この装置では障害が発生した場合に備えて２つの緊急作動手段が鰻けられている。比較的重大な障害の場合には最後に調整された位置に後輪を保持する、すなわち障害の発生する直前に調整された位置に後輪を保持する緊急作動手段が実行される。また比較的軽度の障害の場合には、変位された後輪を所期のように有限の速度でゼロ位置へ戻す緊急動作手段が実行される。

発明の利点請求の範囲第１項に記載の本発明による方法は次のような利点を有する。すなわち比較的軽い障害の場合にも、調整部材に対する調整値が主プログラムと同じように算出され続ける緊急作動プログラムが開始される利点を有する。この調整値は、緊急作動プログラムの実行の開始と共に時間的に小さくなる係数で乗算される。それによって調整部材の調整振幅特性の緩慢な減衰が生ぜしめられる。すなわち調整部材の変位状態から調整部材のニュートラルポジションへの滑らかな移行が起こる。これによって比較的軽い障害の際に制御特性の急激な変化を引き起こすことなく調整部材の制御がソフトに中断され得るものとなる。特に自動車の後輪操舵機構の制御の場合には緊急作動状態における後輪操舵機構のソフトな遮断がより確かなものとなる。なぜならこのような場合では車両の走行特性が突然に変化しないからである。

本発明の有利な実施例は従属請求項に記載される。

特に有利には、検出された廃信器信号の整合性チェックに対して、当該の検出された発信器信号が所定の値で許容信号領域の超過について検査される、および／または検出された発信器信号が、さらに設けられた冗長的発信器によって検出された発信器信号と比較される。これによってどの発信器が欠陥を有しているのかについての判断が多くの場合において明確となり、さらにその場合の適切な緊急作動手段が実施され得るようになる。

有利には、検出された発信器信号の整合性チェックに対して当該検出された発信器信号の変化率が所定の特性員に依存して所定の値と比較される。この手法により障害を早期時点で既に識別することが可能となる。

それによってさらに適切な緊急作動手段が早期に実施されるようになる。

有利には、検出された発信器信号の整合性チェックに対して当該発信器検出信号が、等価値の情報が供給される発信器の検出信号から導出された値と比較される。これにより当該発信器に対して冗長的な発信器が何も設けられていなくても、１つの発信器に対する障害のより確かな識別が可能となる。

さらに有利には、整合性チェックの際に、識別された障害（エラー）の数が所定の値と比較され、この場合具なる障害が同一の障害原因に基づく場合には当該の障害が計算に含まれ、また識別された障害の数が所定の値に達した場合に初めて緊急作動プログラムのうちの１つが実行される。障害識別が繰り返された後で初めて緊急作動プログラムが実行されることは、例えばＥＭＶ−障害等のような短時間の障害による不必要な緊急作動プログラムの実行が回避され得る。同一の障害原因に帰属させるべき種々異なる障害を算入することは、関係のない異なった障害のみの障害評価の場合よりも早期に緊急作動手段の導入が可能となる。

所定の時間の経過後の第２の緊急作動プログラムにおける安全装置の作動とアクチュエータの制御の中断も同様に有利である。なぜならその後の制御系に対する１つの確かな状態が達成され、マイクロコンピュータが例えば別のテストプログラムと診断プログラムを実施し得るからである。制御装置が再び障害のない状態として識別された後では、後輪操舵機構の投入接続をソフトに行うことも有利である。これは算出された操舵振幅を主プログラムと同じような大きさまで緩慢に増大させることによって行うことが可能である。

自動車の後輪の操舵角の制御のための装置に対しては、主プログラムの場合と同じように調整値が算出される１つの緊急作動プログラムを設けることが有利である。この調整値も同様に時間と共に小さくなる係数で乗算され、それによって調整部材の調整振幅の緩慢な減衰が生せしめられる。

さらに有利には、調整部材の制御の急激な中断が行われる第１の緊急作動プログラムが次のような場合に常時実行される。すなわち整合性チェックの際に、調整部材の位置実際値用の正常に動作している発信器が何もない状態、および／またはマイクロセンサによって算出された値が所定ｌを越えて偏移している状態を識別した場合には常時実行される。この制御の速やかな中断はこのような場合には、調整部材の被制御式調整移動に対して調整位置が必ず必要になるので有利である。

整合性チェックの際に、正常に動作している操舵角用の発信器が何もない状態が識別された場合には、有利には第３の緊急作動プログラムの実行が行われる。

この場合では制御系はまだ位置実際値についての制御能力を有している。それにより良好な走行特性を達成するために調整部材のセツティングをニュートラルポジションに戻すことがまだ可能である。

さらに有利には、後輪操舵機構の制御のための装置における２つのマイクロコンピュータに対して、異なる半導体構造および／またはさらなる違いを有する２つのマイクロコンピュータが用いられる。これにより２つのマイクロコンピュータにおいて識別不能な障害の同時発生の確立が低減される。

さらに有利には、２つのマイクロコンピュータにおける識別不能障害の同時発生を低減させるために、２つのマイクロコンピュータにおいて異なるプログラムが設けられる。

図面本発明の２つの実施例が図面に示されており、これらは以下の明細書で詳細に説明される。

図１は、後輪操舵制御用の制御装置の概略図である。

図２は、第１のマイクロコンピュータにおいて実行するための主プログラムの簡単なプログラム構造の第１実施例である。

図３は、第２のマイクロコンピュータにおいて実行するための主プログラムのプログラム構造図である。

図４は、第１のマイクロコンピュータにおいて実行するための第１の緊急作動プログラムのプログラム構造図である。

図５は、第２のマイクロコンピュータにおいて実行するための第１の緊急作動プログラムのプログラム構造図である。

図６は、第１のマイクロコンピュータにおいて実行するための第２の緊急作動プログラムのプログラム構造図である。

図７は、第２のマイクロコンピュータにおいて実行するための第２の緊急作動プログラムのプログラム構造図である。

図８は、２つのマイクロコンピュータにおいて実行するための第３の緊急作動プログラムのプログラム構造図である（これによりリアアクスル調整部の制御の中断が達成される）。

図９は、第１のマイクロコンピュータにおいて実行するための主プログラムの構造図の第２実施例である。

図１０は、第２のマイクロコンピュータにおいて実行するための主プログラムの構造図の第２実施例である。

図ＩＩは、最初の障害の発生の際の調整部材の位置絶対値に対する２つの発信器の信号経過図である。

図１２は、第２の障害の発生の際の調整部材の位置絶対値に対する２つの発信器の信号経過図である。

図１３は、第３の障害の発生の際の調整部材の位置絶対値に対する２つの発信器の信号経過図である。

図１４は、第４の障害の発生の際の調整部材の位置絶対値に対する２つの発信器の信号経過図である。

実施例の説明図１には後輪操舵制御のための制御装置２５の実施例が示されている。この図では符号５でマイクロコンピュータが示されている。このマイクロコンピュータ５は、マイクロコンピュータの主要構成部として例えばＲＡＭおよびＲＯＭメモリと、中央マイクロプロセッサと、入出力構成要素ならびにインターフェースｌＯを有している。ＲＯＭメモリには主プログラムと緊急作動プログラムとが含まれている。インターフェース１０からはバス接続線路１１が第２のマイクロコンピュータ１７のインターフェース１２に接続されている。インターフェース１０．１２を結ぶ２つのマイクロコンピュータの接続線路の代わりに、マイクロコンピュータ５．１７の所定のボート、シリアルインターフェースまたはデュアルポートＲＡＭを２つのマイクロコンピュータ５．１７の接続のために用いることも可能である。これらも別のＲＡＭ及びＲＯＭメモリ、中央マイクロプロセッサ、および入出力構成要素を含んでいる。この第２のマイクロコンピュータのＲＯＭメモリにも別の主プログラムと緊急作動プログラムが記憶されている。バス接続線路１１を介して当該２つのマイクロコンピュータ５，１７はデータを交換することができる＠２つのマイクロコンピュータ５，１７内に唯１つのＲＡＭメモリ構成要素を設ける代わりに、２つのマイクロコンピュータ５，１７にアクセス可能なりＰ−ＲＡＭ構成要素を用いることも可能である。

操舵角センサｌの信号はフィルタ２を用いたフィルタリングとリミッタ３による制限とＡ／Ｄ変換器４を用いたＡ／Ｄ変換の後でマイクロコンピュータ５に供給される。車輪回転数センサ２６の信号も、例えばフィルタ２７とリミッタ２８等の種々異なる信号処理段を介してマイクロコンピュータ５に供給される。リアアクスル調節器８の位置に対する距離検出器（センサ）１３の信号は、フィルタ１４およびリミッタ１５およびＡ／Ｄ変換器１６による処理の後でマイクロコンピュータ１７に供給される。

所属の信号連鎖を備えた別の発信器を２つのマイクロコンピュータ５．１７に接続することもできる。後輪操舵機構に適した発信器は例えば加速度センサ、別の車輪回転数センサ、速度センサ、液圧系の温度および圧力の発信器ならびに操舵角微調整用センサ等である。さらに安全上重要ないくつかのセンサ、例えば操舵角センサｌとリアアクスル調節部材８の位置に対する距離センサ１３ならびに速度センサ２６等を２重に含むことも可能である。その他にも自動車の個々の制御装置がバスシステム例えばＣＡＮバスによって相互に結合されている場合にはこの制御装置に供給される発信器信号をＣＡＭパス線路を介して制御装置２５にも伝送することも可能である。

リアアクスル調節器８の調節移動のために平衡調整弁として構成された２つのアクチュエータ７．３１が設けられている。これらのアクチュエータには算出された調節値がマイクロコンピュータ５内の出力構成要素を介して出力段６，３０による増幅の後で供給される。リアアクスル調節器８のロックのために支持ブレーキ９が設けられている。この支持ブレーキ９はマイクロコンピュータ５からの第１の接続線路１９とマイクロコンピュータ１７からの第２の接続線路２４とを介して作動され得る。安全上の理由から液圧系においては遮断弁並びに検査弁も配置され得る。これらの弁はマイクロコンピュータ５．１７に接続され、系圧力の中断を介して支持ブレーキを作動させる。マイクロコンピュータ５には接続線路２０を介してエラー表示ランプ２１が接続され、さらにマイクロコンピュータ１７には接続線路２３を介して接続されている。２つの制御可能なリレー１８．３２は接続線路２２と２９を用いてマイクロコンピュータ５，１７に接続されている。それにより出力段６．３０は供給電圧から分離可能である。

図１に示された後輪操舵制御のための装置の作用は図２〜図８に基づき以下に詳細に説明される。後輪操舵の実施例は自家用車における４輪操舵システムに関するものである。この場合の前輪は通常の２輪操舵システムのように機械的装置を用いて調節される。

リアアクスルの調整は走行速度と走行状況毎に、操舵輪の旋回操舵角に整合させなければならない、そのため例えば駐車に対しては、前輪と後輪を平行に調節するのが有利である。これに対して比較的小さな旋回円を得るためには前輪と後輪とを異なる操舵方向に旋回させるのが有利である。また比較的速い走行速度での走行ならびに後退する場合においてもリアアクスルの調整を旋回操舵角に応じて異ならせて行わなければならない、従って走行状況毎に異なる算出基準が後輪操舵機構の制御に用いられるべきである。

図２には示されているフローチャートはマイクロコンピュータ５の主プログラムのシーケンスを表している。ステップ４０においてパワーオン−リセットの後ではマイクロコンピュータ５がその主プログラムの実行を開始する。それに続いてプログラムステップ４１では最初のステップとして初期化が行われる。

このステップには、例えばＲＯＭ、ＲＡＭ、ＥＥＦＲＯＭ、Ｗａ　ｃ　ｈ　ｄ　Ｏｇ、接続されている弁、調整部材や支持ブレーキ等の当該マイクロコンピュータ５内に含まれているかまたはマイクロコンピュータ５に接続されている所定の機能構成部の検査も含まれる。その後で、操舵角センサ１からの操舵角ＬＷならびに接続された車輪回転数センサ２６からの車輪回転数値Ｕ＊　Ａ　ｌｌがステップ４２及び４３において読み込まれる。

プログラムステップ４４においてはマイクロコンピュータ５によって距離検出器１３からのリアアクスル調節器８の位置実際値ＬＧＩＩＴが読み込まれる。それに対しては２つのマイクロコンピュータ５，１７の間でのデータ交換が必要である。マイクロコンピュータ１７がこの時点において当該の値をまだ検出していない場合にはマイクロコンピュータ５がまずいくつかの待機サイクルにおかれ、その後でマイクロコンピュータ１７の位置実際値が新たにめられなければならない。

このようにして２つのマイクロコンピュータ５，１７の同期化が達成される。その後に続く間合わせでは読み込まれた発信器検出値が検査される。

計算機が発信器検出値のうちの１つにおいて障害の存在を識別した直後は、まだ障害の原因ははっきりしていない。この場合の障害を惹起し得る原因は様々である。その１つには発信器自体の障害が考えられる。

その他には発信器からマイクロコンピュータまでの信号連鎖において障害が生じていることも考えられる。

この下ではＥＭＶ−障害による障害も含まれる。また３つめの可能性としては、２つのマイクロコンピュータ５．１７のうちの１つに生じた障害が原因となることもあり得る。マイクロコンピュータ５．１７のうちの１つにおける障害が原因となっているような場合には、４輪操舵機構の確かな動作がもはや保証されず、リアアクスルの制御は瞬時に中断されなければならない。当該の障害が発信器内部および／または発信器からマイクロコンピュータ５．１７までの信号連鎖内部に起因している場合には、発信器毎に補助制御および／または補助機能が実施されなければならない、これらの場合では当該の発信器検出値が調整値の算出に加味されないものとなる。これらの２つの障害原因の識別は次のことによってなされる。すなわち障害の識別後に、例えば発信器検出値の検査のもとで障害を識別するマイクロコンピュータにおいて緊急作動プログラムＢ、Ｃへの分岐が行われ、かっこの緊急作動プログラムＢ、Ｃにおいてマイクロコンピュータ５，１７の検査がデータ交換によって行われるようなことによってなされる。データ交換を用いた検査には、特に２つのマイクロコンピュータ５，１７によって算出された調整値の比較および／または所定の中間結果の比較が含まれる。しかしながらその他の、データ交換を用いた検査手段も考えられる０例えば２つのマイクロコンピュータ５，１７の所定のレジスタ内容の交換及び比較も可能である。このようにして１つの障害がマイクロコンピュータの中で他の障害原因から識別された後では、適切な緊急作動プログラムＢ、Ｃが引き続き継続されるかまたはリアアクスルの制御が中断される。

リアアクスルの制御の中断は走行特性を有意に変化させるので、その他の゛より確かな”緊急作動プログラムＢ、Ｃの１つが可及的に頻繁に実施されるべきである。これはここに記載された方法によって可能となる。

実際には欠陥の生じたマイクロコンピュータによる障害原因はその他の障害原因のようには頻繁に起こらないものなので、各障害の識別後のリアアクスルの制御の中断はそれほど必要にはならない。

まず第１に位置実際値が所定の領域限界値と間合せステップ４５において比較される０位置実際値が所定の目標値領域内にない場合には、主プログラムがマイクロコンピュータ５における緊急作動プログラムＡに分岐される０位置実際値のチェックのもとでの障害識別の後ではさらなる後輪操舵による確かな走行動作はもはや保証されないので、緊急プログラムＡにおいて後輪操舵が直ちに中断される。これは以下の明細書で図８に基づいて説明される。

間合せステップ４６では、読み込まれた操舵角検出値が所定の領域限界値で検査される。この間合せステップ４６において領域限界値の超過が検出された場合には当該プログラムが別の緊急作動プログラムＢへ分岐される。ここでは操舵角検出値における障害が検出されているので、操舵角センサｌのもとての障害及び／又は操舵角センサｌからマイクロコンピュータまでの信号連鎖における障害が存在する場合には当該系はまだリアアクスル調節器８の位置実際値にに関するコントロール能力を有している。それにより緊急作動プログラム已においてリアアクスル調節器はこの場合においてもまだコントロールされて中央位置に調整され得る。それにより自動車の走行特性が突然に変化するようなことはない、この緊急作動プログラムＢは以下の明細書で図６に基づき詳細に説明する。

その後間合せステップ４８では読み込まれた車輪回転数値が所定の目標値領域にあるか否かが検査される。

この読み込まれた車輪回転数値が所定の目標値領域にない場合には別の緊急作動プログラムＣに分岐される。

この障害の原因は、車輪回転数センサ２６内部および／または車輪回転数センサ２６からマイクロコンピュータ１７までの信号連鎖内部にあるはずである。そのためリアアクスル調節器８の位置実際値ならびに操舵輪の旋回操舵角についてのコントロール能力はまだ保持されている。それ故緊急動作プログラムＣにおいては短時間の間（この時間内では走行状況が急激に変化し得ない）リアアクスル調節器８に対する調整値が、読み込まれた操舵角検出値からさらに算出され、調整部材７，３１に送出され得る。安全性をさらに高めるために当該のリアアクスル調節器８の調整のための調整値をこの緊急作動プログラムにおいてさらに検査し、リアアクスル調節器８が中央位置に達するまで所定の期間に亘って緩慢に低減させることもできる。これによって自動車の走行特性は、緊急作動プログラムＡおよびＢの場合よりも急激な変化が少ないものとなる。

さらに障害識別のための別の検査も可能である。すなわち例えば発信器値の勾配特性を他の発信器値の勾配特性と比較することも可能である。冗長的な発信器が設けられている場合には、この発信器の勾配特性を検査に用いることも可能である。さらに所定の発信器からの情報を他の発信器からの情報と比較し、その結果に依存する特性員を検出して相互に比較することも可能である０例えば車輪回転数とタコメータ軸の信号用発信器は自動車の速度に関する２つの情報を提供する。１つの障害を確実に識別するさらなる可能性として、比較と検査の際に検出された障害の頻度を監視することも可能である。これは所定頻度の限界を上回った場合に初めて緊急作動プログラムへ分岐させることを行うためのものである。中央位置への到達についての検査の際には有利には、リアアクスル調節器が最初の数回は中央位置に設定されることなく当該中央位置を通過することが許容される。リアアクスルが当該の中央位置に定まらずにその付近で往復移動するような状態が完全になくなってしまって初めて、当該リアアクスルはこの中央位置に固定される。これにより急なカーブのある区間においても走行特性に急激な変化は生ぜしめられない０間合せステップ４５において障害が何も識別されない場合には、ステップ４９において２つの調整部材７．３１の調整のための調整値が算出される。算出基準としては読み込まれた発信器値が用いられる。計算機能は様々な走行状況において異なるものである。算出された調整値は間合せステップ５０において、マイクロコンピュータ１７の算出された調整値と比較される。その際には２つのマイクロコンピュータ５，１７の間のデータ交換が再び必要である。

このステップにおいても前記プログラムステップ４４での場合と同じように２つのマイクロコンピュータ５゜１７の同期化が達成される。２つのマイクロコンピュータ５，１７の算出値が異なる場合には、マイクロコンピュータ５，１７における１つの障害に基づいて緊急作動プログラムＡが実行される。その他の場合には２つのマイクロコンピュータ５．１７において算出された値の平均値が形成され、ａｍ部材７．３１に送出される。ここに記載された制御装置ではマイクロコンピュータ５によってのみ調整値の送出が行われる。この実施形態は次のような安全思想範囲内での要求から生せしめられている。すなわち２つの計算機５，１７が正常に動作している場合にのみ制御装置によって調整値がアクチュエータに送出されるという安全思想範囲内での要求から生ぜしぬられている。それにより２つのマイクロコンピュータ５，１７のうちの１つじか送出を行う必要がない。

これはプログラムステップ５１において行われる。これによりプログラムは一度規定通りに作動される。プログラムステップ４２〜５１までは同様に繰り返される。これは点火装置の遮断によって供給電圧が制御装置２５に供給されなくなるまで行われる。

図３に示されているフローチャートにはマイクロコンピュータ１７における主プログラムのシーケンスが示されている。これは実質的に図２に示されたプログラム構造図と一致している。ステップ４ｏでのパワーオン−リセットの後の最初のプログラムステップも、図２の場合と同じようにプログラムステップ４１である。このステップ４１で行われる検査はこの実施例の場合でもマイクロコンピュータ１７に接続されている機能構成部に関するものである。しがしながらここでは２つの調整部材７，３１の作動検査は省略される。

なぜなら窮節部材はマイクロコンピュータ５にのみ接続されているからである。

その後距離検出器１３の位置実際値が読み込まれる。これはプログラムステップ４４において行われる。操舵角と車輪回転数に対する値はプログラムステップ４２と４３においてマイクロプロセッサ５によって行われる。それに必要なデータ交換に対しては図２のプログラムステップ４４における場合と同じように相応している。読み込まれた値の検査は図２のプログラム構造図と全（同じように間合せステップ４５〜４８によって行われる。しかしながら緊急作動プログラムＢとＣはマイクロコンピュータ１７に含まれていることに注意する必要がある。緊急作動プログラムＡは図２の緊急作動プログラムＡと一致する。しかしながらマイクロコンピュータ１７にも含まれている。問合せの後ではここでも図２のプログラムステップ４９における場合と同じように調整値の算出が行われる。２つのマイクロコンピュータ５．　１７によって検出された調整値の検査はここでも図２のプログラムステップ５０における場合と同じように計算結果のデータ交換の後で行われる。計算結果が一致していない場合には同様に緊急プログラムＡが呼び出される。規定通りの機能形式ではプログラムステップ４２〜５０が繰り返される。これも同様に制御装置に供給電圧が供給されな（なるまで行われる。

図４のフローチャートにはマイクロコンピュータ５内の緊急作動プログラムＣが示されている。最初のプログラムステップ５７としてエラー表示ランプ２１が投入接続される。それに続くプログラムステップ５８において変数が値ｌにセットされる。後続のプログラムステップ５９ではマイクロコンピュータ５は特殊なデータ語をマイクロコンピュータ１７に送出する。このデータ語はマイクロコンピュータ１７に対し、マイクロコンピュータ５において１つのエラーが識別され緊急作動プログラムＣが呼び出されたということを信号化する。マイクロコンピュータ１７は引き続きチェックワードをコンピュータ５に返送する。このチェックワードはマイクロコンピュータ５によって受け取られる。これはプログラムステップ６０において行われる。間合せステップ６１ではマイクロコンピュータ１７に送出されたチェックワードとマイクロコンピュータ１７から送出されたチェックワードとの間で比較が行われる。この２つのチェックワードが一致していない場合には、マイクロコンピュータ５はこの結果を次のように解釈する。すなわちマイクロコンピュータ５゜１７の内の１つにエラーが存在し、緊急遮断が緊急作動プログラムＡの実行によって実施されたというように解釈する。このチェックによって、２つの計算機が同じ緊急作動プログラムを実行したか否かが検査される。プログラムステップ６２はアクチュエータに対する調整値の規定の計算のために用いられる。これはマイクロコンピュータ５の主プログラムにおけるのと同じ計算ステップに従って、すなわち障害の含まれた車輪回転数センサの情報を用いることなく行われる。この計算のベースは操舵角および位置実際値に対して読み込まれた発信器検出値である。この計算結果はプログラムステップ６３において時間に依存する係数で乗算される。この係数はプログラムステップ５８において値ｌにセットされる。この値はプログラムステップ６２においてその間の経過時間に依存して新たに算出される。算出された調整値と、時間と共に１からＯへ変化する係数との乗算によってリアアクスルにおける操舵振幅特性の緩慢な低減が達成される。ドライバはこのような補償的制御によ・って自動車の走行特性の変化に落ち着いて対処することができる。プログラムステップ６４では別のマイクロコンピュータ１７において同じ方式で算出された調整値がバス接続線路１１を介したデータ伝送によってマイクロコンピュータ５へ伝送される。後続の間合せステップ５０においては２つの計算機５．１７の計算結果が相互に比較される。

これらの計算結果が一致していない場合には、障害がマイクロコンピュータ５，１７のうちの１つに存在しているはずである。引き続き緊急遮断が緊急作動プログラムＡの呼出しによって導入される。２つの計算機が同じ結果の信号を供給している場合には、障害は車輪回転数センサ２６および／または車輪回転数センサ２６からマイクロコンピュータ５への信号連鎖のちとに生じている。これには緊急作動プログラムＣの実行で追従し得る。２つの計算機５，１７によってめられたｔｌＩ整値はプログラムステップ５１において平均化され、調整部材７．３１に送出される。プログラムステップ４２では操舵角が主プログラムにおける場合と同じように読み込まれる。プログラムステップ４４では位置実際値が主プログラムにおける場合と同じようにマイクロコンピュータ１７から転送される。その後は位置実際値と操舵角検出値の領域検査が主プログラムにおける場合と同じように経過する（間合せステップ４５．４６）、プログラムステップ６５においてはリアアクスル調節器８の中央位置への到達に関して位置実際値が付加的に検査される。中央位置への到達がなされている場合には、調整部材の制御が緊急作動プログラムＡの呼出しによって中断される。中央位置への到達に関する検査においては有利には、リアアクスル調節器が最初の数回はその中央位置に固定されることなく当該中央位置を通過することが許容される。リアアクスル調節器が実際に中央位置付近で往復移動するようなことが完全になくなって初めて当該リアアクスル調節器は当該中央位置に固定される。これにより急なカーブのある区間においても走行特性に急激な変化が生せしめられない、それにより緊急作動プログラムＣが終了し、この時点からは自動車が前輪操舵システムで操舵される。さらなる４輪操舵システムの作動は、点火装置のオン／オフの後および効果的な検査の後で初めて再び行われる。

中央位置への到達がまだなされていない場合には、当該中央位置へ到達するまでプログラムステップ５９〜６５が繰り返される０点火装置の遮断の際には障害を特徴付けるデータ語が場合によって所属の動作データと共にメモリ領域にファイルされる。このファイルされたデータ語は、工場においての診断装置を用いた事後診断処理の際に用いることができる。

図５にはマイクロフンピユータ１７における緊急作動プログラムＣに対するフローチャートが示されている。プログラムステップ５７と５８は図４の同じプログラムステップに相応している。プログラムステップ６６ではマイクロコンピュータ１７がチェックワードをマイクロコンピュータ５に送出する。プログラムステノブ６７ではマイクロコンピュータ１７がマイクロコンピュータ５からのチェックワードを読み込む。間合せステップ６１では図４のプログラムステップ６１と同じように２つのチェックワードの同一性が検査される。プログラムステップ６２と６３では図４の同様のプログラムステップと同じように調整値の算出が行われる。プログラムステップ６８では、図４のプログラムステップ６４と同じようにマイクロコンピュータ１７がマイクロコンピュータ５によって算出された調整値を読み込む、後続のプログラムステップは図４のプログラム構造図のプログラムステップに相応している。異なっている点は、調整値の問合せが行われるプログラムステップ５１が省略されていることである。

その他にはマイクロコンピュータ１７における相応の緊急作動プログラムがマイクロコンピュータ５に呼び出される。

以下の明細書ではマイクロコンピュータ５の緊急作動プログラムＢを説明する。

この説明には図６のプログラム構造図が用いられる。この緊急作動プログラムＢは、障害識別後の後輪操舵のソフトな中断を可能にするさらなる緊急作動プログラムを表すものである。

プログラムステップ５７ではエラー表示ランプが投入接続される。プログラムステップ５９と６０では、当該の緊急作動プログラムに対するチェックワードが図４における緊急作動プログラムＣの同様のプログラムステップと同じように交換され、さらにプログラムステップ６１において相互に比較される。緊急作動プログラムＣとの実質的な違いは、調整値の算出が発信器信号からの情報なしで行われることである。ここではリアアクスル調節器８が例えば０．５ｍ／ｓの速度で中央位置方向へ調節される。それに対して必要となる計算はプログラムステップ７０において行われる。プログラムステップ６４ではマイクロコンピュータ１７によって算出された調整値が読み込まれ、プログラムステップ５０において図４の緊急作動プログラムＣの場合と同じように相互に比較される。その後では再びプログラムステップ５１において調整値の送出が行われ、プログラムステップ４４においてマイクロコンピュータ１７によって位置実際値の読み込みが行われ、間合せステップ４５において当該の値の検査が行われる９間合せステップ６５はリアアクスル調節器８の中央位置の識別に再び用いられる。中央位置へまだ到達していない場合には、プログラムステップ５９〜６５が繰り返される。中央位Ｉへ到達している場合には再び緊急作動プログラムＡの呼出しによって制御が中断される。緊急作動プログラム乙の場合のように４輪操舵システムのさらなる作動は点火装置のオン／オフの後及び効果的な検査の後で初めて再び行われる。

マイクロコンピュータ１７においての緊急作動プログラムＢに対するプログラム構成は相応の形式で行われており、これは図７に示されている１図６における緊急作動プログラムＢとの違いは調整値の送出が省略されていることと、プログラムステップ６６においてチェックワードのマイクロコンピュータ５への送出が行われることと、プログラムステップ６７においてマイクロコンピュータ５からのチェックワードが読み込まれることと、プログラムステップ６８においてマイクロコンピュータ５によって算出された値が読み込まれることである。

緊急作動プログラムＢまたはＣの実行の後では後輪操舵制御としての当該方法の別の構成も可能である。

それにより例えば緊急作動プログラムの実行後所定の速度を越えた場合に当該後輪操舵制御を再び付加する方向に切換ることも可能である。これは例えば緊急作動プログラムＣに類似の形式で行ってもよい、すなわちそれによって操舵振幅特性が主プログラムにおける場合と同じように算出されるまで当該操舵振幅特性が所定の期間に亘って緩慢に拡大される。障害が生じた場合に再び中断を作用せしめる障害検査はもちろんこのフェーズにおいても行われる。

図８には緊急作動プログラムＡに対するプログラム構造図が示されている。この構想図は２つの計算機に有効である。この緊急作動プログラムは３つのプログラムステップ７１，７２．７３で実行される。プログラムステップ７１はエラー表示ランプ２１の投入接続のために用いられる。プログラムステップ７２では支持ブレーキ９が各マイクロコンピュータ５，１７によって作動される。その後プログラムステップ７３では出力段６．３０が制御可能なリレーを用いて遮断される。二の出力段は主プログラムによって点火装置のオン／オフの後および／または効果的な安全検査の後で初めて投入接続され得る。

以下ではマイクロコンピュータ５，１７における主プログラムの実行に対する２つの実施例を説明する。

第２の実施例に対する制御装置の構造は第１の実施例に対する制ｍ装置の構造と一致するものである。しかしながらこの場合いくつかの発信器（例えば調整部材８の位置実際値に対する発信器１３ならびに操舵角に対する発信器ｌ）は倍の数だけ設けられていることが前提とされる。この場合それぞれ２つの発信器のうちの一方はマイクロコンピュータ５に接続され、２つの発信器のうちの他方はマイクロコンピュータ１７に接続されている。マイクロコンピュータ５に接続される発信器の全ては発信器の第１グループを形成し、マイクロコンピュータ１７に接続される発信器の全ては発信器の第２グループを形成する。

マイクロコンピュータ５の動作は図９に基づき以下に詳細に説明される。プログラム開始の後は、制御装置の初期化フェーズが第１の実施例の場合と同じように開始される。引き続きプログラムステップ８２においてマイクロコンピュータ５に接続された発信器全ての発信器信号が検出される。検出された測定値はプログラムステップ８３においてマイクロコンピュータ１７に送出される。その後マイクロコンピュータ５はマイクロコンピュータ１７によって算出された測定値を受け取る。すなわちプログラムステップ８３においては２つのマイクロコンピュータ５及び１７の間で測定値のデータ交換が行われる。この測定値のデータ交換によって２つのマイクロコンピュータの同期化が達成される。それに続くプログラムステップ８４では検出された測定値の検査が行われる。この整合性チェックでは種々異なる検査基準で問合せが行われる。この検査基準に対する個々の詳細は、主プログラムに対するプログラム構造図の説明と合わせて詳細に説明される。

整合性チェックによっては主プログラムの継続実行が可能か否かの判定が行われる。継続実行が不可能な場合には、３つの異なる緊急作動プログラムが実行されるべきである。当該整合性チェックの結果はプログラムステップ８５において２つのマイクロコンピュータ５，１７の間でデータ交換される。それに続いて間合せステップ８６では２つの計算機が同じ検査結果に至ったか否かの問合せが行われる。同じ検査結果に至っていない場合には緊急作動プログラムＡが第１実施例の場合で説明したように実行される。２つのマイクロコンピュータ５．１７の検査結果が一致する場合ｔこは、３つの間合せステップ８７．８８及び８９が後続する３間合せステップ８７においては当該の検査結果が次のことについて分析される。すなわち緊急作動プログラムＡの実行が必要か否か分析される。必要な場合には緊急作動プログラムＡに分岐される０間合せステップ８８では当該検査結果が次のことにつ１Ｘて分析さｎる。すなわち緊急作動プログラムＢの実行が必要か否か分析される。必要な場合には緊急作動プログラムＢに分岐される０間合せステップ８９では当該検査結果が次のことについて分析される。すなわち緊急作動プログラムＣの実行が必要が否がの分析がなされる。

必要な場合には緊急作動プログラムＣに分岐される。

結果として２つのマイクロコンピュータの測定値の整合性チェックによっていずれの緊急作動プログラムの実行も必要ないことが判明した場合には主プログラムが継続される。これによりプログラムステップ９ｏにおいて、検出された発信器信号を用いた調整値の算出が行われる。

プログラムステップ９１においては、算出された調整値が２つのマイクロコンピュータ５．１７の間でデータ交換される。それにより再び２つのマイクロコンピュータの同期化が達成される。その後間合せステップ９２ではデータ交換された調整値の比較が行われる。

これらの調整値が一致しない場合には、重大な障害が生じているということに基づきマイクロコンピュータ５によって緊急作動プログラムＡへ分岐される。しかしながら前ご己調整値が一致している場合には、プログラムステップ９３において位置制御が行われる。その場合マイクロコンピュータ５によって、算出された調整値に応じて調整部材８のアクチュエータ７．３１に対する制御信号が生ゼしのられる。この位置制御で１つの制御サイクルが規定通りに実行されたものとなる。

次の制御サイクルはプログラムステップ８２において発信器信号の検出で開始される。

図１Ｏには、マイクロコンピュータ１７における主プログラム実行のための図９に相応する構造のプログラム構造図が示されている。このプログラム構造図は実買的に図９の構造図と一致している。ただ１つ興なっているのは、プログラムステップ９４における発信器信号検出の際にマイクロコンピュータ１７に接続されている発信器（すなわち発信器第２グループ）の信号が検出されることである。

その後はマイクロコンピュータ５における場合と同じプログラムステップ８３〜９２が実行される０位置制御の含まれたプログラムステップ９３は当該マイクロコンピュータ１７の主プログラムに対しては省略されている。なぜなら当該マイクロコンピュータ１７は調整部材８のアクチュエータ７．３１の規則的制御のためには設計仕様されていないからである。

以下の明細書では図９及び図１０の２つのプログラム構造図のプログラムステップ８４においての測定値の整合性チェックについて詳細に説明する。

信号は障害の発生の際には基本的に有限の時間内で変化する。そのため許容信号領域を越える前に次のような際立った値を測定できる。すなわち、例えば冗長的な発信器信号からのずれは除いてさしあたり過大な勾配の点でのみ際立っている値も測定することができる０例えば線材の断線、短絡等の場合にそれに続いて起こるのは通常は許容信号領域の超過（アウトオブレンジ）である０発信器障害像は以下で構成される。

−障害発生後十分な時間が経過した後の、障害を含んだ信号の最終状態、および一障害発生直後の同種又は異種の妥当性違反状態の連続整合性チェックの間は、障害比較のための種々異なる判定基準で問合せが行われる。第１の判定基準は、検出された測定値が当該発信器に対する許容測定領域内に完全に入っているが否がということである。第２の判定基準は、発信器信号が実際には不可能な（許容外の）速度で変化しているが否かということである。

それに対しては発信器の瞬時の測定値を先行の検出測定値に関連付ける必要がある。発信器信号がまだ許容測定領域を越えていない場合でも、発信器信号における過大な変化は障害の存在を早期時点で既に示唆するものである。

障害の存在に対する別の判定基準は、２つの同じ発信器（このうちの１つは冗長的なものである）がらのあ定値の間の過大なずれである。この判定基準も１発信器信号がまだ許容信号領域を越えていない段階で既に障害の存在を示唆し得る。

瞬時の測定値のみでなく先行の測定値も障害の分析に関与させることにより、多くの場合の正確な障害情報が事前に得られるものとなる０例えば以下のような時間的な経過から得られる。

−２つの同じ発信器からの２つの値の間のずれ及びセンサ検出値の勾配が過大、 −２つの同じ発信器検出値の間の偏差と許容測定領域外の１つの値が過大 −２つの同じ発信器検出値の間の偏差と許容測定領域外の１つの発信器値が過大結果としては、過大な勾配ないしは許容外の信号値を有する信号は障害の含まれたものであるということがいえる。しかしながらその他の信号はまだ正確でありそのため引き続き（少なくとも短期間は）利用することが可能である。その後は当該の障害情報に基づいて適切な緊急作動手段が選定されて導入される。この場合障害の識別された発信器の情報は調整部材の制御にはもはや用いられない。

非常に短時間の障害（例えばＥＭＶ）に対する不要な緊急作動プログラムのトリガを避けるために、順次連続する多数の信号値が評価される。そのため擬似的障害特性経過（これは必ずしも同一なものではない）の時間的なシーケンスが緊急作動プログラムのトリガの判断のために用いられる。

緊急作動手段のトリガまでの持続時間ないしは直接順次連続する凝似的な上回りの数は、一方で短時間の障害が省かれる程度の大きさに選定されるべきだが、しかしながら他方では特に非常に動的なシステムの場合、緊急作動手段は可及的に迅速に導入されなければならない、すなわち障害反応時間は最小化されなければならない、そのため本発明では種々異なる擬似的な上回りが同じ障害原因に基づいている場合には当該の擬似的上回りを同じ障害として評価する。

以下ではＩＩ！１部材８の位置実際値用の２つの同じ発信器の信号経過をい（っかの実施例で説明する。

位置実際値に対する情報は、操舵システムにおいては簡素でかつ冗長的に存在する９発信器値の検出は各マイクロコンピュータ５，１７において周期的に行われる（例えばｍｓ毎）。

図１１には２つの発信器に対する２つの第１の信号経過Ｘｌ＋　ｘ、が示されている０位置実際値発信器に対する許容測定範囲は０．５〜４．５ｖの間である。

２つの測定値の間の最大許容偏差は０．２ｖに定められる。また位置実際値の最大許容変化は１５Ｖ／ｓに選定される。緊急作動手段が導入される前には３つの順次連続する障害識別が行われなければならない１時点ｔＦでは１つの障害が発生している。ここにおいて時点ｔ＋、ｔ＋、ｔｓでの順次連続する信号検出のもとに以下のような障害像がマイクロコンピュータ５，１７に対して形成される。

（テーブルｌ参照）Ｘ、　エラーなし、　エラーなし　エラーなし特表平７−５ｏ６ｑｔ２（１２）Ｘ、　勾配過大　１１！１１を轟えている　灘定警域を憩えている（ｘ＋　−Ｘ２　）　偏！！大　偏！ｉ大　１！ｉ大この障害像に基づいてマイクロコンピュータ５，１７は次のことを検出する。すなわち発信器Ｘ、は欠陥を有し、発信器Ｘ１は継続使用可能であることを検出する。

図１２においても同様に時点ｔＦにおいて障害が発生している。マイクロコンピュータに対しては時点時点ｊ１．　ｊ＝、ｔｓでの信号検出から以下の障害像が形成される。（テーブル２参照）：Ｘｌ　エラーなし、　エラーなし　エラーなしｘ２　エラーなし　エラーなし　ＩＩＩ域を凰えている（ｘ＋〜Ｘ、）　偏ｌ過大　偏ｌ過大　Ｉ！過大この障害像に基づいて２つのマイクロコンピュータ５．１７は、発信器Ｘ、が欠陥を有し発信器ｘ１は継続使用可能であることを検出する。

図１３による信号経過の場合は、信号検出による以下のエラー形成図が２つのマイクロコンピュータ５゜１７に対して形成される。（テーブル３参照）：（テーブル３）Ｘ、　エラーなし、　エラーなし　エラーなしＸ！　エラーなし　エラーなし　エラーなしくｘ、−ｘ、）　Ｉ運過大　偏差過大　偏差過大この場合この障害像からは２つのマイクロコンピュータ５．１７は障害を同定することができない、従って安全状態を確保するため緊急作動プログラムＡが導入される。

図１４には位置実際値用４ｓ器の信号経過に対する第４の例が示されている。この信号経過に基づいて以下の障害像が２つのマイクロコンピュータ５．１７に対して形成される。（テーブル４参照）：ｘｌ　エラーなし、　エラーなし　エラーなしＸ、　＋１配過大　エラーなし　エラーなしくｘ、−ｘ、）　１！過火　偏ｌ過大　量！過大この障害像に基づいて信号Ｘ２の発信器には欠陥が生じていることが識別され、さらに信号Ｘ、の発信器は引き続き使用可能であることがわかる。

この障害解析手法は基本的に、直接的な冗長性を有してない発信器に対しても適するものである。同等の情報を供給する発信器の検出信号に対しても許容勾配ないしは評容領域の上回りについて監視することが可能である。すなわちこの場合でも、どの信号経路が確実に障害を生じているものと見做されるかについての判断が導出される。３＠の障害識別の後でどの緊急作動プログラムを実行するかについて判断を行うために、マイクロコンピュータ５，１７は整合性チェックの際に障害の大きさについての評価も行う、後輪操舵制御に対しては以下のような発信器が用いられる。

−２つの位置実際値発信器（Ｎ１部材の位置を検出する） −２つの操舵角センサ（操舵輪の旋回角度を検出する）−車両速度用センサ（例えばタコメータ軸の回転数を検出するセンサ、但し同じ目的のために車輪回転数センサを用いることもできる、例えばＡＢＳ制御装置に用いられているセンサ等１．前記タコメータ軸センサは冗長的センサとして、車輪の回転数に対して用いられるかまたは２つの車輪回転数センサの２つの車輪回転数の平均値算出のために用いられる）−車両の荷重負荷状態に対する発信器 −後退ギヤの投入／遮断に関する情報のための発信器−車両のヨーイングレートに対する発信器−車両の横方向加速度に対する発信器 −車両の横風の影響に対する発信器 −車両の車体傾斜度に対する発信器調節器の位置情報は、当該調節器を被制御操作させるべき場合には常時必要となる。すなわち当該の発信器に障害が生じた場合には、被制御調節移動がもはや不可能となる。つまり補償機能手段Ａのみが考慮される。操舵角センサは車両の動的な操舵状態を考慮する。

どの個別の信号がまだ正確に動作しているのかについて明確な情報が得られない場合には、フロントアクスルに同期させた後輪操舵は不可能である。しかしながら位置実際値発信器が同時に故障していない場合は補償機能手段Ｂが実行され得る。車両速度、荷重負荷状態、前進走行／後退は動的に緩慢に変化する。エラー発生の直前に測定され記憶された値は、比較的長い時間に対してのみその有効性を有しており、リアアクスルの同期操舵を妨害するものではない０例えば車両の荷重負荷状態と、前進走行および後退の切換による変化は車両の静止状態においてのみ生じ、車両走行速度は最大加速度１ｇによって変化する。この場合誤って過大に受け取られた車両速度は車両の安全性に対しては悪影響を及ぼさない、そのためここでは使用可能な信号として明確に識別された信号がない場合には補償機能手段Ｃも可能である。

総括的に以下のテーブル５には、所定のセンサの個々の信号がまだ使用可能か又は使用不可なものとして見做される場合にどの緊急作動プログラムがそれぞれのマイクロコンピュータによって実行されるかが示される。

（テーブル５）個々の信号　個々の信号使用可　使用不可位置実際値　ＣＡ操舵角　ＣＢ走行速度　ＣＧ荷重負荷状態　ＣＣ後退（リバース）ＣＧ前記電子側ｍ装置におけるエラー識別方法は多様番使用可能である。そのため制御装置に対して必ずし÷２つ又はそれ以上のマイクロコンビコータを設けるｄ要はない、安全性の要望がそれほど高（ない場合に（可及的に簡素なマイクロコンピュータを設けることｌできる。

Ｆｉｑ、２　、、ｎＦｉｇ、ムＦｉｇ、５Ｆｉｇ、６Ｆｉｇ、７９／］２ＰＣＴ／ＤＥ　９２１００９０９フロントページの続き（５１）　Ｉｎｔ、　Ｃ１，’　識別記号　庁内整理番号Ｂ　６２　Ｄ　１１３：００（７２）発明者　メーダー、クラウスドイツ連邦共和国　Ｄ　−７２５７ディツインゲン　ツィーラーヴエーク　６（７２）発明者　フィーマン、カールドイツ連邦共和国　Ｄ　−７１４１ムル　フリートホーフスヴエーク　７（７２）発明者　ドリートガ−、ギュンタードイツ連邦共和国　Ｄ−７１４１オーバーリークシンゲン　テオドールーシュトルムーシュトラーセ　３Ｉ（７２）発明者　ノイマン、ユルゲンドイツ連邦共和国　Ｄ−２１２０リューネブルク　プランデンブルガー　シュトラーセ（７２）発明者　アルトホーフ、ハインッーユルゲンドイツ連邦共和国　Ｄ−７２５１ヴアイスアッハーフラハト　ローゼンヴ工−り　１２（７２）発明者　シュー、ユルゲンドイツ連邦共和国　Ｄ−７１４５マルクグレーニンゲン　ブルーメンシュトラーセ　４７（７２）発明者　ツォルバッハ、ベルトドイツ連邦共和国　Ｄ−７０１６ゲルリンゲン　ホーフヴイーゼンシュトラーセ　４６

Claims

【特許請求の範囲】

１．少なくとも１つのマイクロコンピュータを有し、；該マイクロコンピュータには発信器と、少なくとも１っの調整部材の調整のための少なくとも１つのアクチュエータとが接続されており、この場合所定の発信器は冗長的に構成されており、少なくとも１つの調整部材に設けられ少なくとも１つのマイクロコンピュータによって制御可能な少なくとも１つの安全装置を有し、少なくとも１つのマイクロコンピュータ内に主プログラムを有し、；該主プログラムにおいては発信器によって信号が検出され、当該の検出信号値からある値が算出され、当該算出された値および／または検出された発信器信号の整合性チェックが行われ、この場合前記算出された値は少なくとも１つの調整部材の調整のために少なくとも部分的に用いられるものであり、前記算出された値からは相応の制御信号が生ぜしめられ、少なくとも１つのアクチュエータに送出されるものであり、少なくとも２つの緊急作動プログラムを有し、；この場合前記整合性チェックによっては、主プログラムを継続動作するかまたは２つの緊急作動プログラムのうちの１つを処理実行させるかの判定を行い、前記２つの緊急作動プログラムのうちの第１の緊急作動プログラムにおいては少なくとも１つの安全装置が作動され、少なくとも１つの調整部材の調整用の少なくとも１つのアクチュエータの制御が中断されるようにした、例えば自動車の後輪操舵角制御装置等の電子制御装置におけるエラー処理方法において、第２の緊急作動プログラム（Ｃ）において引き続き発信器によって信号を検出し、当該検出された信号からそれそれ値を算出し、この場合当該算出された値は少なくとも１つの調整部材の調整のために少なくとも部分的に用いられるものであり、前記検出された発信器信号と算出された値の整合性チェックを行い、さらに算出された値を少なくとも１つの調整部材（８）の調整のために、当該第２の緊急作動プログラム（Ｃ）の作動開始と共に時間的に小さくなる係数と乗算し、該乗算によって前記調整部材（８）の調整振幅の緩慢な減衰を生ぜしめ、さらに前記算出された値に相応する制御信号を生ぜしめて少なくとも１つのアクチュエータ（７、３１）に送出することを特徴とする方法。
２．前記検出された発信器信号の整合性チェックに対して、各発信器検出信号を所定の値で許容信号領域の超過について検査する、請求の範囲第１項記載の方法。
３．前記検出された発信器信号の整合性チェックに対して、発信器検出信号値の変化率を所定の特性量に依存して所定の値と比較する、請求の範囲第１項又は２項記載の方法。
４．前記検出された発信器信号の整合性チェックに対して、当該発信器検出信号をさらに設けられた冗長的発信器から検出された発信器信号と比較する請求の範囲第１項〜３項いずれか１項に記載の方法。
５．前記検出された発信器信号の整合性チェックに対して、当該発信器検出信号を等価値の情報が供給される発信器の発信器検出信号から導出された値と比較する、請求の範囲第１項〜４項いずれか１項に記載の方法。
６．前記整合性チェックの際に、識別されたエラーの数を所定の値と比較し、異なるエラーが同一のエラー原因に基づいている場合には当該の異なるエラーが計算に含まれ、また識別されたエラーの数が所定の値に達した場合に初めて少なくとも２つの緊急作動プログラムのうちの１つがトリガされる、請求の範囲第１項から５項いずれか１項に記載の方法。
７．前記第２の緊急作動プログラム（Ｃ）において、少なくとも１つの安全装置
（８）が所定の時間経過の後で作動され、少なくとも１つの調整部材（８）の調整用の少なくとも１つのアクチュエータ（７，３１）の制御が中断される、請求の範囲第１項〜６項いずれか１項に記載の方法。８．前記少なくとも１つのマイクロコンピュータ（５，１７）は第３の緊急作動プログラム（Ｂ）を有しておリ、該第３の緊急作動プログラム（３）においては発信器信号からの情報が計算に用いられることなく少なくとも１つの調整部材（８）の調整のための値が所定の固定的計算基準に従って算出される、請求の範囲第１項〜７項いずれか１項に記載の方法。
９．前記第３の緊急作動プログラム（Ｂ）において少なくとも１つの調整部材（８）の位置の検査が行われ、中央位置が識別された場合には第１の緊急作動プログラム（Ａ）がトリガされる、請求の範囲第８項記載の方法。
１０．請求の範囲１項から９項のいずれか１項に記載の方法に従って自動車の後輪操舵角を制御する装置であって、少なくとも２つのマイクロコンピュータと、操舵角検出および車両速度検出および車両の１つのアクスルの車輸の回転数検出のための少なくとも１つの発信器と、車両の１つのアクスルの車輪操舵角の調整用の少なくとも１つの調整部材と、前記調整部材の位置実際値用の少なくとも１つの発信器と、前記調整部材に対する安全装置としての支持ブレーキと、前記調整部材の調整のための少なくとも１つのアクチュエータと、前記各マイクロコンピュータ内部に入力された少なくとも１つの主プログラムとを有しており、前記主プログラムにおいては、当該マイクロコンピュータが発信器によって検出された信号を供給されておリ、該検出された信号からはある値が算出され、当該算出された値および／または検出された発信器信号の整合性チェックが行われ、この場合前記算出された値は少なくとも１つの調整部材の調整のために少なくとも部分的に用いられ、また前記算出された値からは２つのマイクロコンピュータのうちの１つにおいて相応の制御信号が生ぜしめられて少なくとも１つのアクチュエータに送出されており、さらに各マイクロコンピュータ内部に入力された少なくとも２つの緊急作動プログラムを有しており、この場合少なくとも２つのマイクロコンピュータ（５，１７）は、整合性チェックによって主プログラムを継続動作するかまたは緊急作動プログラムのうちの１つをトリガするかについての判定を行い、さらに前記少なくとも２つのマイクロコンピュータは第１の緊急作動プログラムにおいて少なくとも１つの安全装置を少なくとも作動させ、前記少なくとも１つの調整部材調整用の少なくとも１つのアクチュエータの制御を中断させる、装置において、前記少なくとも２つのマイクロコンピュータ（５，１７）に第２の緊急作動プログラムにおいて発信器によって検出された信号が供給されており、当該の検出された信号からはそれそれの値が算出され、当該算出された値は少なくとも１つの調整部材の調整のために少なくとも部分的に用いられており、前記少なくとも２つのマイクロコンピュータ（５，１７）によって、検出された発信器信号と算出された値の整合性チェックが行われておリ、前記少なくとも２つのマイクロコンピュータによって、さらに算出された値が少なくとも１つの調整部材（８）の調整のために第２の緊急作動プログラム（Ｃ）の処理実行開始と共に時間的に小さくなる係数で乗算されておリ、当該乗算によリ前記調整部材（８）の調整振幅の緩慢な減衰が得られるものとなリ、前記少なくとも２つのマクロコンピュータ（５，１７）の少なくとも１つによって、前記算出された値に相応する制御信号が生ぜしめられ、少なくとも１つのアクチュエータ（７，３１）に送出されることを特徴とする装置。
１１．前記操舵角と位置実際値のための発信器は、少なくとも簡素かつ冗長的に設計仕様されており、前記発信器と当該の冗長的発信器はそれぞれ異なるマイクロコンピュータ（５，１７）に接続されている、請求の範囲第１０項記載の装置。
１２．前記少なくとも２つのマイクロコンピュータ（５，１７）は、当該マイクロコンピュータが整合性チェックの際に、調整部材（８）の位置実際値（１３）用の正常に動作している発信器がない状態および／または少なくとも２つのマイクロコンピュータ（５，１７）によって算出された値が所定量を越えて偏移している状態を識別した場合には常時第１の緊急作動プログラム（Ａ）をトリガする、請求の範囲第１１項記載の装置。
１３．前記少なくとも２つのマイクロコンピュータ（５，１７）は、当該マイクロコンピュータが整合性チェックの際に、操舵角（１）用の正常に動作している発信器がない状態を識別した場合には常時第３の緊急作動プログラム（Ｂ）をトリガする、請求の範囲第１１項または１２項記載の装置。
１４．前記少なくとも１つのアクチュエータ（７，３１）の制御中断のために、前記マイクロコンピュータ（５，１７）によって少なくとも１つのアクチュエータ（７，３１）の供給電圧が遮断される、請求の範囲第１０項〜１３項いずれか１項に記載の装置。
１５．前記供給電圧の遮断に対して相応のマイクロコンピュータ（５，１７）によって少なくとも１つのリレー（１８，３２）が切換られる、請求の範囲第１４項記載の装置。
１６．当該装置はエラー表示装置（２１）を有しておリ、該エラー表示装置（２１）は当該の緊急作動プログラム（Ａ，Ｂ，Ｃ）のうちの１つの呼出し後に作動される、請求の範囲第１０項〜１５項いずれか１項に記載の装置。
１７．前記検出された発信器信号および／またはそれぞれのマイクロコンピュータ（５，１７）における種々異なるプログラムシーケンスによって算出された値の検査が行われる、請求の範囲第１０項〜１６項いずれか１項に記載の装置。
１８．前記それそれのマイクロコンピュータ（５，１７）は異なる半導体構造を有している、請求の範囲第１０項〜１７項いずれか１項に記載の装置。
１９．前記それぞれのマイクロコンピュータ（５，１７）の監視のために、それぞれ監視回路が各マイクロコンピュータ（５，１７）に接続されており、該監視回路は各マイクロコンピュータ（５，１７）から信号を供給され、当該の信号が存在しない場合には少なくとも１つの調整部材（８）の調整用の少なくとも１つのアクチュエータ（７，３１）の制御を中断する請求の範囲第１０項〜１８項いずれか１項に記載の装置。
２０．当該装置はデュアルポートＲＡＭを有しておリ、該デュアルポートＲＡＭには少なくとも２つのマイクロコンピュータ（５，１７）がアクセス可能である、請求の範囲第１０項〜１９項いずれか１項に記載の装置。