DE3226195A1

DE3226195A1 - Mehrfach-mikrocomputersystem mit gegenseitiger ueberwachung und funktionssicherung fuer ein kraftfahrzeug

Info

Publication number: DE3226195A1
Application number: DE19823226195
Authority: DE
Inventors: Akio Hosaka; Katsunori Yokosuka Kanagawa Oshiage; Akito Yokohama Kanagawa Yamamoto
Original assignee: Nissan Motor Co Ltd
Current assignee: Nissan Motor Co Ltd
Priority date: 1981-07-13
Filing date: 1982-07-13
Publication date: 1983-02-10
Also published as: US4532594A; JPS5810246A; JPS629934B2; CA1194236A; GB2104247A; GB2104247B; DE3226195C2

Description

Die Erfindung bezieht sich auf ein zentralisiertes elektronisches Steuersystem für ein Kraftfahrzeug mit einem einen Mikrocomputer verwendenden Motorsteuersy- · stern, das den Motorbetrieb steuert, und mit einem einen weiteren Mikrocomputer verwendenden Informationssystem über den Fahrzeugbetriebs- oder -laufzustand, das einen Fahrzeuginsassen über sich ändernde Zustände von verschiedenen Einrichtungen des Fahrzeugs unterrichtet, wobei das eine Mxkrocomputersystem das andere Mikrocomputersystem überwacht, um zu prüfen, ob das Partnersystem normal arbeitet oder nicht, und wobei im Fall eines nicht normalen Betriebs des einen Systems dann das Partnersystem jenes eine System sicherstellt, d.h. gleichsam als Ausweichgerät für dieses arbeitet. Beide Mikrocomputer sind zusätzlich zu ihren normalen Steuerprogrammen mit Hilfs- oder Zusatzsteuersektionen ausgestattet, um wenigstens einige der Funktionen des Partner-

systems im Fall dessen Störung oder Versagens auszuführen.

Es ist ein Ziel der Erfindung, ein elektronisches Steuersystem für ein Kraftfahrzeug, das ein mit Hilfe eines Mikrocomputers arbeitendes Motorsteuersystem sowie ein mit Hilfe eines anderen Mikrocomputers arbeitendes Fahrzeugbetrieb-Informationssystem, das Messungen vornimmt und verschiedene Informationen über den Fahrzeugbetrieb sichtbar aufzeigt, aufweist, zu schaffen, wobei in jedem Mirkocomputer ein Sicherstellungs- oder Reserveprogramm zusammengestellt ist, um b.ei Feststellen eines Versagens oder einer Störung im Partnersystem Hauptfunktionan, für die jenes Partnersystem vorgesehen ist, sicherzustellen; diese Hauptfunktionen stellen die Mindestanforderungen für eine Fortsetzung eines sicheren Fahrzeugbetriebs dar.

Die Merkmale und Vorteile des Erfindungsgegenstandes werden aus der folgenden, in Verbindung mit den Zeichnungen gegebenen Beschreibung deutlich. Die Zeichnungen, in denen gleiche Bezugszeichen einander en {sprechende Elemente bezeichnen, zeigen in:'.

Fig. 1 ein schematisches Blockdiagra.mm des in einem

Kraftfahrzeug angeordneten Steuersystems, das ° zwei Mikrocomputer, die getrennte Funktionen ausführen, enthält;

Fig« 2(A) und 2(B) die Gesamtanordnung eines dem in Fig.l gezeigten Steuersystem zugeordneten Motorsteuersystems ; . . .

Fig. 3(A), 3(B) und 3(C) schematische Blockdiagramme des

inneren Aufbaus des in Fig. 2(B) gezeigten Steuersystems iOOO;
Fig. k ein schematische Blockdiagramm des inneren Aufbaus eines Inform dtions-Anzeigesystems 2500 für den

Fahrbetrieb, das in Fig. 1 gezeigt ist;

Fig. 5(A) und 5(B) Beispiele für Programmablaufplane für eine BrennstoffeinspritzetGuerung, die für das in den Fig. 1, 2(B) oder 3(A), 3(B) und 3(C) gezeigte Motorsteuersystem, wenn dieses System ausfällt, ausgeführt werden;

Fig. 6 ein Schaltbild der in Fig. 1 gezeigten Betätigungsschaltung 1625.

Die Fig. 1 zeigt ein Blockdiagramm eines gemäß der Erfindung ausgebildeten Dual-Mikrocomputersystems mit der Möglichkeit der Mitüberwachung und ersatzweisen Sicherstellung von Funktionen für ein Kraftfahrzeug.

In einem Steuersystem 1000 für eine Brennkraftmaschine, das im folgenden mit E/C abgekürzt wird, werden durch einen Mikrocomputer Einstellungen für Zündzeitpunkt, Brennstoffeinspritzung und Abgasrückführung in einem Teilnehmerbetrieb in Abhängigkeit von unterschiedlichen, während des. Motorbetriebs erfaßten Zuständen gesteuert, wodurch der Energieumwandlungswirkungsgrad, Brennstoffersparnis sowie Drehmoment auf Bestwerte und die Emission von Schadstoffen auf Minimalwerte gebracht werden. Ein Infqrmations-Anzeigesystem 2500, das im folgenden mit D/C abgekürzt wird, dient dazu, verschiedene Fahrzeugbetriebszustände an einem Anzeigegerät im Instrumentenbrett sichtbar darzustellen. Zusätzlich können zahlreiche andere, Mikrocomputer verwendende Systeme, z.B. ein automatisches Temperaturregelsystem für eine Klimaanlage des Fahrzeugs, ein Reglersystem für die Wahl sowie Abstimmung

von Wellen'von Rundfunkstationen und verschiedene (vokalische) Warnsysteme, die in Fig. 1 nicht dargestellt sind, vorhanden sein. Derartige Systeme werden in naher Zukunft mit ansteigender Häufigkeit in Kraftfahrzeugen zum Einsatz kommen.

Das D/C-System 2500 empfängt verschiedene, nochWDxter zu beschreibende, Fahrzeugbetriebszustände kennzeichnende
Eingangssignale 2531, 2532, 2533 und 2534. Einige dieser Eingangssignale, z.B. das Fahrzeuggeschwindigkeitssignal 253^, werden auch, dem E/C-System 1000 eingegeben, das
andererseits verschiedene Eingangssignale 201, 211, 231, 261 und 27I empfängt, von denen einige, z.B. das Motordrehzahlsignal (REF) 201, das Kühlwassertemperatursignal (Tw) 231 usw., ebenfalls in das D/C-System 2500 eingegeben werden. In einem Anzeigegerät 2510 (s. Fig. 2(B))
sind der Tachometer (S/M) 2527 und der Kilometerzähler
(0/M) 2528 untergebracht. Für den Tachometer (S/M) 2527 und den Kilometerzähler (0/M) 2528 sind Betätigungsschaltungen (A/C) 2523 bzw. 2524 vorhanden. Brennstoff-Einspritzven-

° tilen ist eine Brennstoffeinspritzsteuerschaltung

(EGI) 110, einer Zündspule ist eine Zündzeitsteuerschaltung (IGN) 120 zugeordnet, und für diese Schaltungen sind jeweils B'etätigungsschaltungen (A/C) I625 bzw. 1626 vorgesehen. Betätigungssignale 25^2 bis 25^5, 1511, 1512,
1548 und 1549 dienen der Betätigung des S/M 2527, des
0/M 2528, der EGl'110 und der IGN 120.'

Das E/C-System 1000 und D/C-System 25ΟΟ haben im wesentlichen den gleichen Aufbau, d.h. eine Ein-/Ausgabeschnittstelle (Ί/0-Interface), eine Zentraleinheit CPU, einen
Festwertspeicher ROM und einen Direktzugriffsspeicher RAM.. Der Grund dafür, daß das E/C- und D/C-System 100 bzw. 25ΟΟ nicht einen einzigen Mikrocomputer für den allgemeinen

Zweck einer Steuerung des Fahrzeugs und einer sichtbaren 30

Anzeige über dieses verwenden, sondern daß statt dessen zwei getrenrte Mikrocomputer für die einzelnen Zwecke zur Anwendung kommen, liegt darin, daß, wenn die Systeme
integriert würden, der Umfang des Schaltungsaufbaus auf-

grund des größeren Bere-chnungsbereichs und der größeren 35

Verarbeitungsfähiglceiten, die nötig wären, orwoitort würde» Damit würde die Leistung im Verhältnis zu den Kosten,

die Montierbarkeit und die Zuverlässigkeit des integrier-

S -ν-

ton Mikrocoinputersystoms herabgesetzt. Dieser Grund wird im folgonden näher erläutert.

1. Wenn alle Funktionen zentralisiert wurden, so würde die Zahl der Ein~/Ausgabesignalleitungen erhöht. In diesem Fall würde eine Vergrößerung der Verbindungskabelabmessung eine Erhöhung der auf die Ein-VAusgangsanschlüsse des Mikrocomputers wirkenden Kraft herbeiführen, was eine Verformung und einen schadhaften Kontakt der Ein-/Ausgangsanschlüsse oder -stecker mit dem Mikrocomputer zur Foige haben kann. Ferner wird zwischen den Ein-/Ausgangssignalleitungen ein Störgeräusch übertragen, so daß ein fehlerhafter Betrieb dieser sehr leicht auftreten kanu.

2. Wenn die Zahl der Schaltungsbauteile erhöht wird, so wird demzufolge auch die Fehlerquote erhöht. Bei Integration der Systeme in einem einzigen Milcrocomputer würde der Ausfall eines einzigen Schaltungsbauteils auf die anderen Bauteile einwirken oder diese beeinflussen, was den Ausfa.ll des gesamten integrierten Mikrocomputers nach sich zieht. Im Fall der Anwendung von getrennten Mikrocomputern für die Systeme hat solch ein Ausfall nur den Ausfall eines der Mikrocomputersysteme zum Ergebnis.

3. Da die Anzahl der Stifte in jedem Ein-ZAusgangsverbinder erhöht würde, würde das gesamte System mehr Raum einnehmen. Das wäre nachteilig im Hinblick auf den Einbau des Mikrocomputers an der in Übereinstimmung mit den Systemfunktionen stehenden günstigsten und wirksamsten Stelle. Die Montier- oder Einbaubarkeit würde insofern vermindert.

4. Obwohl ein zentralisiertes System im allgemeinen billiger ist als sein örtlich oder räumlich getrenntes Gegenstück, so wird die Zentralisation (oder Integration) technisch dann schwierig, wenn der Grad der Znntralisation eine bestimmte Grenze überschreitet und für die Herstel-»

lung der integrierten Schaltungen besondere Fertigungstechniken erforderlich werden. Damit würde der Produktionsausstoß verschlechtert, was folglich zu einer schnellen Steigerung der Herstellungskosten führen würde.

5· Wenn auch der Mikrocomputer eine Vielzahl von Tätigkeiten (Funktionen) im Teilnehmerbetrieb bearbeitet, so wird das Durchschnittsintervall der Ausführungszeit von der einen Routine zu einer folgenden mit Anstieg der Zahl der Tätigkeiten kürzer. Wenn das Zeitintervall kurzer ist als das zur Durchführung einer bestimmten Tätigkeit erforderliche, so ist es für das System erforderlich, a) entweder eine Verteilung vorzusehen oder b) die Verarbeitungsgeschwindigkeit zu erhöhen. Der letztgenannte Weg igt wegen der der Hardware eigenen Charakteristika technisch schwieriger und wird, falls or ronliaiorbnr ist, teuerer.

. 6. Die technischen Daten und/oder Abmessungen des E/C- und D/C-Systems variieren in Abhängigkeit von der Art des Kraftfahrzeugs und von der Brennkraftmaschine. Beide Systeme können sich wegen der völligen Trennung in der Punktion zugleich oder unabhängig voneinander ändern. Wenn beispielsweise das E/C-System drei Spezifikationen und das D/C-System vier Spezifikationen hat, so wird das zentralisierte System zwölf Spezifikationen (3 χ ^zi = 12) haben. Im Hinblick auf die Hardware ist es im allgemeinen kostengünstig, ein einzelnes integrales System zu bauen. Im Hinblick auf die Software ist es jedoch teuerer, ein

integriertes System zu batten, da die logischen Anforderungen multipliziert werden. Auf Grund der Notwendigkeit, die Spezifikationsmodifizierungeh zu erleichtern, ist es deshalb von Nachteil, das E/C- und D/C-System zu zentralisieren. Insofern verwenden diese E/C- und D/C-Systeme ge-

trennte Mikrocomputer, so daß diese unabhängig voneinander arbeiten-können.

	Fig.	1	•	W · * · ·	M	-	einzelnen	3226195
				10
			-T-	im		eingegangen
Auf die		wird	später noch
worden.

Die Ausbildung des E/C-Systems 1000 ist in den Fig. 2(A) und 2(B) dargestellt.

Das E/C-System kommt hier bei einem Viertakt-Sechszylindermotor zur Anwendung. Die Motorbetriebsparameter-Steuersignale umfassen:
10

1. ein Brennstoffeinspritzmengensteuersignal 110 zur Steuerung eines ÖffnungsIntervalls und eines Startzeitpunkts, für welches und zu welchem jedes Einspritzventil 10 in jedem Motorzylinder geöffnet werden, um Brennstoff in den

!5 Motor einzuspritzen.

2. ein Zündsteuersignal (IGN) 120 zur Steuerung des intermittierenden Stromflusses durch die Primärwindung 21

der Zündspule 20;
20

3. ein Abgasrückführsteuersignal (EGR) 130 zur Steuerung eines Abgasrückführventils 30 mittels eines über ein Unterdrucksteuerung-Modulationsventil (VCM) 40. geregelten

Unterdrucks;
25

4. ein Leerlaufdrehzahlsteuersignal (ISC) 150 zur Steuerung der Stellung eines Zusatzluft-Steuerventils (AAC-Ventil) 50 mit Hilfe eines über das Unterdrucksteuerung-Modulationsventil (VCM) 40 geregelten Unterdrucks, so daß die die Drosselklappe 510 durch einen Zusatzluftkanal umgehende Luftmenge geregelt wird;

5. ein An-/Aus-Stouersignal (P/P) l6o zur Steuerung einer

Brennstoffpumpe 530 über ein 'Brennstoffputnpenrelais 60; 35

6. einen Ausgang (FCM) 170, der Angaben über den Brennstoffverbrauch für ein darauf bezogenes Meßgerät 70 liefert;

7· eine Selbstdiagnose des E/C-Systems und einen Datenaustausch (CHECK) mit einem Prüfgerät 2000 bzw. einem Fahrzustand-Informationssystem, d.h. dom D/C-System 2500;

8. einen Ausgang (ALARM) 180, um entsprechend den Ergebnissen der Selbstdiagnose die Alarmlampe 80 zu betätigen;

9. ein Anzeigesignal (MONITOR) zur DarstelLung des Diagnoseergebnisses an einem Anzeigegerät 1900 (s. Fig. 3(C)).

Die nachstehend aufgeführten Eingangsdaten des E/C-Systeras 1000 werden von verschiedenen Teilen des Fahrzeugs, wie folgt, empfangen:

1. ein REF-Signal 201, das immer dann hochgeht, wenn der Motor einen Winkel von 120° durchläuft, und von einem Kurbelwinkelfühler 200 erzeugt wird,, der beispielsweise innerhalb eines Verteilers 520 angeordnet ist und'die* Drehung der Motorlcurbelwolle erfaßt;

²^ 2. ein POS-Signal 202, das eine einer Kurbelwellendrehung "von 1 entsprechende Impulsbreite hat;

3« ein Einlaßluftmengenfühlersignal (AFM) 211 von einem Luftströmungsmeßgerät 210, das die Menge Qa der in den Motor strömenden Luft erfaßt (die Luftmenge Qa ist zum Spannungspegel des AFM-Signals umgekehrt proportional);

4. ein Sauerstoff-Konzentrationssignal (0„) 221, das von einem Sauerstoff-Fühler 220 erzeugt wird und sich mit

dor 0₀_Konzontration im Abgas ändert;

5· ein Spannungssignal (Tw) 23I, das von einem Wassertem poraturfühlor 230 die Motortetnperatur triedergibt;

6« die Speise-Gleichspannung 24:2, die von einer Fahrzeugbatterie 2*10 beiden Steuersystemen zugeführt wird;

7· ein Batteriespannungssignal (V_R) 24l über ein Relais

wodurch Änderungen in der Batterie-Speisespannung zur Verwendung bei' der Korrektur der Brennstoffeinspritzmenge wiedergegeben werden (es ist zu bemerken, daß, da dor "An"-Anschluß des Zündschalters 26o ebenfalls die Battoriespannung empfängt, wenn der Zündschalter in der START-Stellung ist, die Battoriespannung 24l dem E/C-System 1000 während des Anlassens des Motors zugeführt wird);

8. ein Fahrzeug-Geschwindiglceitssignal (VSP) 251, das

eine zur Fahrzeuggeschwindigkeit proportionale Periode hat;

9. ein Motor-Startsignal (START) 26l, das das E/C-System 1000 vom Motorarilassen unterrichtet, wenn der Zündschaltor 260 zum Starten des Motors in die START-Stellung gedreht wird;

10. ein An/Aus-Signal (IDLE) 271, das das Schließen/

Offnen eines benachbart zur Drosselklappe 510 angeordneten Drosselklappenschalters 270 erfaßt bzw. anzeigt;

11. ein Klimaanlagen-Betriebsspannung-"Ein"-Signal (A/C)

28l, das das E/C-System 1000 darüber unterrichtet, daß

die Klimaanlage in Betrieb ist;

12. ein Neutrallagensignal (NEUT) 29-1 von einem Neutral-Schaltor 290,der geschlossen wird, wenn ein Getriebe-Schalthebel in einer Neutral- oder Parkstellung ist.

Die Fig. 3(A), 3(B), 3(C) zeigen zusammen den inneren Schaltungsaufbau des E/C-Steuersystems 1000.

-ναι Eine Signalformungsschaltung 1100 (Fig. 3(A)) empfängt verschiedene Eingangssignale vom Motor sowie von anderen Fahrzeugelementen und formt die Wcllenfortnon, um Geräuschkomponenten und Spannungsstöße in diesen Signaion zu dämpfen bzw. abzuschwächen, wodurch das E/C-System 1000 gegen fehlerhaften Betrieb sowie Zerstörung geschützt wird, und um verschiedene Eingangssignale für den korrekten Betrieb eines Eingangs-Schnittsteilenkreises 1200 umzuwandeln. Dieser Schnittstellen-(Interface-)Kreis 1200 wandelt verschiedene von der Signalformungsschaltung 1100 geformte Eingangssignale in digitale Bit-Signale um und zählt die Anzahl deren Impulse für eine vorbestimmte Zeitdauer, so daß bit-codierte Signale (bitparallel, byteweise) erzeugt und zeitweise in einem der im Kreis 1200 vorgese-Register gespeichert werden. Die Zentraleinheit (CPU) 13OO arbeitet synchron mit einem Taktsignal, das auf einem Oszillationssignal I3II von einem Quarz-Oszillator 1310 beruht, und sie ist mit den anderen Schaltungsblöcken über einen gemeinsamen Verbindungsweg (Bus) 1320 verbunden. Das £_n einem Maskenlesespeicher (Masken-ROM) l4lO und in einem programmierbaren Lesespeicher (PROM) 1420 einer Speichereinheit l400 gespeicherte Px-ogramm wird ausgeführt, so daß aus jedem Regster Eingabedaten gelesen, bestimmte arithmetische Operationen auf der BasLs der Eingabedaten ^" ausgeführt und die Ausgabedaten zu einem bestimmten Zeitpunkt ausgeschickt werden. Die Speichereinheit l40O wird für das Speichern von Daten, die der Masken-ROM 14:10, der PROM l420, der RAM 1430 und der HilfSsp eicher 144:0 enthalten, benutzt. Der Masken-ROM l4lO xfird mit einer Reihe

von Programmschritten, die in ihm assembliert sind und von dor CPU I3OO ausgeführt werden sollen, sowie mit Pormanentdaten, die zu, verwenden sind, wenn die CPU I3OO das Programm ausführt, gefertigt. Programme und den im Masken-ROM l4lO gespeicherten Daten gleichartige Daten ,

werden im PROM 1420, der nach Art des Fahrzeugs und Motors leichter zu modlfizioron iat, fostgehalton. Dor RAM 1430 ist eine Speichereinrichtung, die zeitweise Zwischendaten

voii der CPU I3OO während arithmetischer Operationen oder an einem Ausgangs-Schnittstellen-(interface-)Kreis I5OO abzugebende Ergebnisdaten halten kann. Der Inhalt des RAM ΙΛ30 ist flüchtig, d.h. nicht-permanent, und kann golöscht werden, wenn der Zündschalter 26O ausgeschaltet und die Hauptenergiezufuhr 24l unterbrochen wird. Der Inhalt des Hilfsspeichers l44O ist nicht-flüchtig, d.h. permanent, und nicht zu löschen, auch wenn der Zündschalter 260 auf "Aus" geschaltet wird, d.h., wenn der Motor nicht in Betrieb ist.

Ein arithmetischer Zoitgeborschaltkreis 1350, der die Funktion der CPU I3OO verstärkt, hat eine Multiplizierschaltung für eine arithmetische Bearb-eitung mit hoher Geschwindigkeit, einen Intervall-Zeitgeber, der ein Unterbrochungssignal an die CPU I3OO schickt, um das im Ausführen befindliche Programm zu unterbrechen, wann immer ein vorbostimmtes Zeitintervall verflossen ist, und einen frei laufenden Zähler, der der CPU I3OO die von einem

vorgegebenen Ereignis zu einem folgenden Ereignis verstrichene Zeit und die Zeit des Auftretens eines Ereignisses angibt. Der Ausgangs-Schnittstellenkreis I5OO empfängt von der CPU I3OO die. Aus gangs defceia an einem der in ihm vorgosehonon Ausgangsregister, erzeugt ein Impulssignal mit

einer vorbestimmten Frequenz und Impulsdauer im Ansprechen auf.den Ausgangswert von der CPU I3OO und gibt ein Befehlssignal in Form eines binären Schaltsignals an eine Betätigungsschaltung (A/C) I6OO. Diese A/C I6OO umfaßt

einen Leistungsverstärker, der eine Spannung oder einen 30

Strom bei Empfang vom Ausgangs-Schnittstellenkreis 15ΟΟ verstärkt, treibt verschiedene Stellglieder und Anzeigegeräte , diagnostiziert das E/C-Steuersystera 1000 über den Verbinder 2010 (s. Fig. 2(B)) und gibt an das Prüfge-

rät 2000 ein Ausgangssignal zur Darstellung des Diagnose-00

ergebnisses.

-yt-

Ein Energieversorgungskreis l8OO führt dom Eingangs-Schnittstellenkreis 1200, der CPU 1300, dor Speicherein-* heit ldOO, dem Ausgangs-Schnittstellenkreis 1500 und der arithmetischen Zeitgeberschaltung 1350 eine konstante Spannung Vcc von 5 V zu. Dieser Versorgungskreis I800 verteilt auch ein Zündschalter-An-/Aus-Signal (IGNSW) I83O zum Eingangs-Schnittstellenkreis 1200, ein Rückstellsignal (RESET) l84O zum Bus 1320, ein Stop-Signal (ΤΪΛΤ7Γ) I850, das den Betrieb der CPU I3OO beendet, ein Koiistant-Spannungssignal (AVcc) i860 mit 8 V zur Analog/Digital-Umwandlung und ein Konstant-Spannungssignal (V._DQ) I87O für die Signalformungsschaltung 1100 sowie die Betätigungsschaltung 1600. Der Energieversorgungskreis I800 gibt ferner eine Konstant-Spannung (V_DM) I88O mit 5 V

!5 an den HilJSspeicher l44o.

Es wird nun auf das in Fig. 4 gezeigte Bloclcdiagramm des D/C-Systems. 25OO eingegangen.

Dies~es D/C-System 25OO gibt eine Vielzahl von auf den Fahrzustand des Fahrzeugs bezogenen Daten von verschiedenen, getrennt im Fahrzeug eingebauton Fühlern ein, berechnet arithmetisch diese Fahrzeug-Basisdaten, um die notweixBge Fahrinformation über das Fahrzeug zu erhalten,

und zeigt das gemessene Ergebnis an einem Anzeigegerät 2550, das ein schaltbares und ein exclusives Sichtg-erät aufweist, an. Das D/C-System 2500 führt auch eine selbsttätige Wahl einer Rundfunkstation und eine Alarmregelung

unter Verwendung einer Alarrafunktion aus. 30

Durch eine Eingabeeinrichtung 2520 (Fig. ^li) , die beispielsweise aus einem Tastenfeld bestehen kann, kann die Bedienungsperson zusätzliche Angaben über das jeweilige Fahrzeug in das D/C-System 2500 eingeben. Die Eingabeeinrich-35

tung 2520 kann auch mit dom E/C-Systcm 1000 odor anderon Einrichtungen verbunden sein.

Das in Fig. k gezeigte D/C-Systom 2500 hat die folgenden Funktionen:

1. Festlegen eines Run df unkprogramrns Die Eingabeeinrichtung 2520 gibt in das D/C-Systetn 2500 eine gewünschte Zeit und Sendestation ein, das D/C-System 25ΟΟ verglei cht die gespeicherte Zeiteingabe mit der (von einer Uhr eingegebenen) gegenwärtigen Zeit und gibt ein Defohlssignal (mit einem Einschaltsignal) an das Radio, so daß dieses angeschaltet und die gewünschte Stati on gewählt wird, wenn beide Zeiten übereinstimmen. Das Anzeigegerät 255Ο hat eine Zeitanzeige, die die gespeicherte Zeit in Stunden sowie Minuten sichtbar macht, und zeigt

die Sendestation in kHz-Angaben an. 15

2. Alarm

Mit der in der gleichen Weise, wie vorstehend zu 1. beschrieben wurde, gespeicherten gewünschten Zeit wird ein Summton erzeugt, wenn die Zeit abgelaufen ist, d.h., v/enn die gegenwärtige Zeit mit der gespeicherten übereinstimmt» Das Anzeigegerät 2550 kann die gespeicherte Alarmzeit .in Abhängigkeit von einem Befehl von der CPU an das D/C-System 25ΟΟ sichtbar machen.

3. Reisemeßgerät

Die Strecke, die das Fahrzeug insgesamt zurückgelegt hat, wird auf der Grundlage des Ausgangs eines Fahrzeug-Fahrtstreckenfühlers gemessen. Das Anzeigegerät 2550 kann geschaltet werden, um die Strecke für eine einzige,

"

gerade erfolgende Fahrt anzuzeigen. Die Messung der Fahrtstrocke wird begonnen, wenn eine Freigabetaste am Tastenfeld 2520 gedrückt wird.

\ 4. Navigier-Meßgorät

Wenn durch das Tastenfeld 2520 eine durchschnittliche
Fahrgeschwindigkeit Vs eingegeben wird, werden die Fahrtstrecke D vom Reisemeßgerät und die bei der gerade erfolgenden Fahrt verstrichene Zeit T geraessen, so daß eine tatsächliche Fahrzeug-Durchschnittgeschwixidigkeit (DIT), der Unterschied zwischen der geschätzten verstrichenen
Zeit auf der Grundlage der veranschlagten Durchschnittsgeschwindigkeit Vs und der verstrichenen Zeit der gegenwärtigen Fahrt (D/Vs-T) und der Unterschied zwischen der tatsächlichen Strecke D der gegenwärtigen Fahrt von der
veranschlagten Reisestrocke D-Vs/Τ) durch das Anzeigogorät erkennbar aufgezeigt v/erden.

5· Brennstoffverbrauch

Die während der laufenden Fahrt verbrauchte Brennstoffmenge wird auf dem Schirm sichtbar gemacht. Die Messung
des Brennstoffverbrauchs -wird begonnen, wenn die Freigabetaste am Tastenfeld gedrückt wird.

6. Brennstoffverbrauchsquotenmessung

Ein Brennstoff-Nutzleistungswert, der den Brennstoffverbrauch' mit Bezug auf die Fahrtstrecke angibt, wird periodisch berechnet und angezeigt.
25

7· Tachometer

Die Fahrgeschwindigkeit wird gemessen und periodisch

an einem exclusiven Sichtfeld innerhalb des Anzeigeräts

2550 aufgezeigt.
30

8. Kilometerzähler

Die Gesamt-Fahrtstrecke, die das Fahrzeug zurückgelegt
hat, wird gemessen und an einem besonderen Sichtfeld,
das ein ursprüngliches Standard-Ausrüstungsteil in allen Kraftfahrzeugen ist, angezeigt. Das gemessene Ergebnis
kann nicht zurückgestellt werden.'

-yr-

9· Fahrbcroich

Dor im Bronnstofftank enthaltene Rost—Brennstoff wird gemessen und mit der oben unter 6. beschriebenen Brenn- ..

Stoffverbrauchsquote multipliziert, um eine Abschätzung für die Strecke, die das Fahrzeug mit dem Rest-Brennstoff noch zurücklegen .könnte, abzugeben.

10. Drohzahlmesser

Die Zahl der Motorumdrehungon pro Zeiteinheit wird geraessen und am Anzeigegerät 2530 dargestellt·

11. Sonstiges

WüLkürliche Zahlen können gespeichert und an einem "Notizblock" sichtbar gemacht werden, und als elektronischer Rechner können Addition, Subtraktion, Multiplikation und Division ausgeführt werden.

Verschiedene Hilfe- und Eingabeeinrichtungen des D/C-Systems 25ΟΟ werden nachstehend aufgeführt:

. ' '

1. Uhr

Eine Quelle von Taktsignalen, die auch laufende Zeitangaben in einer seriellen Impulsfolge ausgibt.

2. Wegstreckenfühler

Ein Fühler, der immer dann.einen Impuls abgibt, wenn das Fahrzeug eine vorbestimmte Strecke fährt. Der Impuls wird durch einen Elektromagneten erhalten, der entsprechend

der Drohung der Antriebswelle dreht. 30

3. Brennstoffverbrauchsfühler

Dieser Fühler gibt einen Impuls ab, tvann immer eine vorbestimmte Brennstoffmenge im Motor verbraucht worden ist. Es wird also, mit anderen V/orten gesagt, ein Impuls immer dann abgegeben, wenn die Gesamtmenge an eingespritztem Brennstoff, die durch Summierung der Einspritzzeit der

/5

Brennstoffeinspritzventile im Brennstoffeinspritzsteuerteil EGI des E/C-Systems 1000 erhalten wird, einen vorgegebenen Wert erreicht. .

^li_m Radioausrüstung (mit elektronischer Abstimmung) Ein Radiosystem, wobei der Netzschalter, ein AM/FM-Schalter und ein selbsttätiger Abstimmkreis durch äußere elektrische Signale aktiviert worden.

5. Wamsumraer

Dieser ist Standardausrüstung.

6. Rest-Brennstoffmengenfühler

Dies ist ein übliches Brennstoffmeßgerät, auf das noch eingegangen werden wird.

7. Motordrehzahlfühler

Die Motordrehzahl pro Zeiteinheit kann durch Zündimpulse oder einen Fühler für die Kurbelwellenumdrehungen erfaßt *^w werden.

8. Anzeigegerät 2550

Der Fahrzeug-Geschwindigkeitsmesser (Tachometer) ist eine digitale Anzeige mit drei Stellen, um ausschließlich. die gegenwärtige Fahrgeschwindigkeit darzustellen, und hat drei 7-Segment-Anzeigeelemente mit dynamischem Antrieb. Der Kilometerzähler ist eine digitale Anzeige mit sieben Stellen, um ausschließlich die Gesamt-Fahrtstrecke darzustellen; und hat sieben 7-Segment-Anzeigeeleraente mit

dynamischem Antrieb. Die schaltbare Anzeige kann verschiedene aktuelle Angaben, nämlich die oben aufgeführten Angaben 1. bis 6., 9· und. 10.·, mit unterschiedlichen Anzeigeelement-Einheiten, z.B. Stunde (h), km usw. darstellen.

IO

-vt-

9· Eingabeeinrichtung (Tastenfeld) 2^20 Ist ein Drucktastenblock mit Tasten sowohl für Anzeigebefehle itfie für Dateneingabe.

Der herausragende Gesichtspunkt der vorliegenden Erfindung liegt darin, daß innerhalb eines digitalen, multiplen Mikrocomputersystems für ein Kraftfahrzeug ein normal arbeitendes System, d.h. entweder das E/C- oder das D/C-Sysiem, ein Partnersystem, wenn dieses gestört ist, sicherstellt, d.h., das normal arbeitende System führt nuntolla cloa goatörtcm Sys tains eine Hauptötouertätiglceit aus, um zu ermöglichen, daß das Fahrzeug sicher weiterfahren kann, und zwar wenigstens über eine solche Mindeststrecke, die zum Erreichen eines Wartungsdienstes ausreichend ist.

Solche E/C- und D/C-Systeme werden üblicherweise mit einem unbesetzten Speicherplatz hergestellt, der, um spätere funktioneile Erweiterungen zu bewältigen, oder einfach aus Gründen einer Massenproduktion vorhanden ist. Deshalb wird gewöhnlich ein besonderer, ungenutzter Speicherbereich vorhanden sein, der zur Speicherung eines Untorbrοchungsprograrams dienen kann. Obwohl weder das Ii/C-Systoin, noch das D/C-System das andere System völlig ersetzen kann, so ist es möglich, alternativ die entscheidenden Funktionen des anderen Systems mit vermindertem Aufwand auszuführen.

Wenngleich boide Systeme komplizierte Steuertätigkeiten

ausführen, so sind nur relativ wenig Funktionen erforderlich, um eine Fortsetzung der Fahrt des Fahrzeugs zu einer Servicestation oder Reparaturwerkstatt zu ermöglichen. In diesem Fall können andere Steuerfähiglceiten vermindert werden. Steuerfunktionen, die zum Aufrechterhalten

des Fahrz-ustands des Fahrzeugs notwendig sind, umfassen beispielsweise im Fall des E/C-Systems 1000 die Brennstoffeinspritzung, die Zündung sowie den Brennstoffpumpen-

betrieb und im Fall dos D/C-Systems 2500 den Geschwindigkeitsmesser (S/M) für die Anzeige der Fahrgeschwindigkeit sowie den Kilometerzähler (-0/M) für die Anzeige der bisher bewältigten Fahrtstrecke.

Zur näheren Beschreibung des Erfindungsgegenstandes wird auf die Fig. 1 Bezug genommen.

Ein Signal 104l ist ein Impulssignal, das cmsgogeben wird, wenn das E/C-System 1000 normal arbeitet, und es hat eine innerhalb eines vorbestimmten Bereichs liegende Frequenz (!Periode). Das impulssignal 10^1 wird vom E/C-System 1000 über dessen Ausgangs-.Schnittstelle (Interface) durch ein in vorgegebenen Intervallen ausgeführtes Unterbrechungsprogramm ausgegeben, und zwar nach Bestätigung des Endes der Ausführung des Unterbrochungsprogratnins. Ein von der CPU I3OO in den Bus I320 abgegebenes Lese- oder Schreibsignal kann ebenfalls als das Impulssignal 104l verwendet werden. Ein solches Impulssignal, wie oben beschrieben, ist in der GB-Patentanmeldung 2 035 633 A erläutert. Das D/C-System 2500 prüft auf der Grundlage des Empfangs des Impulssignals 10dl, um herauszufinden, ob das E/C-System 1000 normal arbeitet. In gleichartiger Weise prüft das E/C-System 1000 auf der Grundlage eines anderen Im-

^⁵ pulssignals 25^0, das die gleiche Funktion hat wie das Signal 104l, um herauszufinden, ob das D/C-System 2500 normal arbeitet.

Das D/C-System 25OO empfängt normalerweise verschiedene

Eingangssignale, führt entsprechend verschiedenen, in ihm gespeicherten Befehlsreihen verschiedene arithmetische sowie logische Operationen aus und gibt gemäß den Ergebnissen dieser arithmetischen sowie logischen Operationen verschiedene Befehlssignale aus. Zur gleichen Zeit nimmt das D/C-System 25OO deis Impulssignal 10'jtl vom E/C-System 1000 auf, um festzustellen, ob die Frequenz oder"Periode dieses Signals 104l im vorbestimmten Bereich

-19-

liegt, so daß der Betrieb des E/C-Systems 1000 geprüft wird.

Wenn, die Frequenz in den vorbestimmten Bereich fällt, so bestätigt das D/C-System 2500, daß das E/C-System 1000 normal arbeitet. Auf diese Bestätigung hin unternimmt das D/C-System 2500 keine Sicherstellung des E/C-Systems 1000, sondern gibt die üblichen Betätigungssignale 2542 und 25^3 an die jexieilige Betätigungsschaltung 2523 und 2524 für den S/M 2527 und 0/M 2528. Das D/C-System 2500 gibt, zu dieser Zeit ein ¹¹O"- oder "!"-Signal als Normalbetrieb-Kennzeichen an die Betätigungsschaltungen 1625 sowie 1626 anstelle der Betätigungssignale 2544 sowie 2545 zur Anzeige, daß das D/C-System seine Sicherstel- · lunge funktionon nicht ausführt, ab. In gleichartiger Weise nimmt das E/C-System 1000 das Impulssignal 25-40 vom D/C-System 2500 auf, um festzustellen, ob die Frequenz oder Periode dieses Signals 2540 in den vorbestimmten Bereich fällt, so daß der Betrieb des D/C-

^v ' - ·

Systems 2500 überwacht wird.

Wenn die Frequenz (Periode) in den vorbestimmten Bereich fällt,dann bestätigt das E/C-System 1000 das normale Arbeiten des D/C-Systems 2500. In diesem Fall stellt auch das E/C-Sysbem 1000 nicht das D/C-System 25OO sicher, sondern gibt die üblichen Betätigungssignale I51I sowie I512 ab. Das E/C-System 1000 gibt auch ein "0"- oder "!"-Signal anstelle der Betätigungssignale 1548 sowie

1549 an die Betätigungsschaltungen 2523 sowie 2524. 30

Wenn eines der Impulssignalo 1041 oder 2540 nicht in seinen vorbestimmten Bereich fällt, so leitet das dann jeweils angemessene D/C- oder E/C-System die Mindesisteuerfunlctionen ein, die für den sicheren Fahrzeugbetrieb notwendig sind, vind zwar zusätzlich zu den üblichen Steuerfunlctionen, die das System liefert, oder mit dem Teil der üblichen Steuerfunlctionen, die für den sicheren

Betrieb des nicht ganz in Ordnung befindlichen Fahrzeugs nicht notwendig sind.

Der Betrieb des D/C-Systems 2500 während der Ausführung der Brennstoffeinspritzsteuerung EGI, wenn das E/C-System 1000 ausgefallen ist, wird unter Bezugnahme auf die Fig. 5(A) und 5(B) beschrieben.

Das auf dem in Fig. 5(A) gezeigten Ablaufplan beruhende Programm wird ausgeführt, wann immer die Motorkurbelwelle sich um einen vorbestimmten Winkel gedroht hat (im Fall eines Sechszylindermot-ors beträgt der vorbestimmte Kurbelwinkel 120²).

Bei Schritt 401 prüft das D/C-System 2500, um festzustellen, ob das E/C-System 1000 schadhaft ist, wie es durch das Signal 104l angegeben wird. Wenn das D/C-System 2500 ermittelt, daß das E/C-System 1000 normal arbeitet, so geht das D/C-System 25ΟΟ zum Schritt 402 ^ weiter, um den Ausgang des Betätigungssignals 2544 unmöglich zu machen, und es hört mit dem in Fig. 5(A) gezeigten Sonderprogramm auf. Wenn das D/C-System 25ΟΟ feststellt, daß das E/C-System lOOO ausgefallen ist, so geht es zum Schritt 4O3 xireiter, in dem das D/C-System den die Drehwinkellage der Kurbelwelle darstellenden Wert ECXL inkrementiert. Bei Schritt 4θ4 prüft das D/C-System 25ΟΟ, um festzustellen, ob der Dateninhalt ECYL größer als oder gleich 3 ist (ECYL^ 3)· Ist er kleiner als 3» so beendet das D/C-System 2500 das Sonder-

programm. Ist er jedoch größer als 3i so geht die Programmsteuerung zum Schritt 405, in dem das Signal 2544 gleich "1" gesetzt und der Betätigungsschaltung 1625 zugeführt wird, um durch die Brennstoffeinspritzschal-

tung (EGI) 110 die Brennstoffeinspritzung auszulösen. 35

Anschließend stellt das D/C-System 25ΟΟ den Wort von ECYL auf "0" zurück. Mit anderen Worten gesagt, wird der Wert ECYL um Eins inkrementiert, wann immer der Motor

ti

-Μ Ι um 120 gedreht hat, und auf Null zurückgestellt, wann immer ECYL = 3 ist (was einer Motorumdrehung entspricht). Doshalb wird das Signal 2544 immer ausgegeben, wenn der Motor um 360⁰ dreht. Dann wird im Schritt 407 der Wert von TEGI auf Null zurückgestellt (TEGI dient dazu, das Öffnungsintervall der Einspritzventile 10 zu zählen).. Im Schritt 4θ8 worden die Angaben über die Wassertemperatur dazu benutzt, den Wert TEGIR, der der über eine herkömmliche Tabellenablesung gewünschten Einspritzdauer entspricht, zu berechnen.

Das in Fig. 5(B) gezeigte Programm wird mit festem Zeitintervall (z.B. 1 ras) wiederholt ausgeführt. Bei S_chritt 45I prüft das D/C-System 2500, ob das E/C-System 1000 ¹^ normal arbeitet. Ist das nicht der Fall, so prüft das D/C-System 2500 im Schritt 452, ob der Steuerausgang des EGI-Signals 2544 auf "1" ist. Ist der Ausgang 2544 auf auf "0", so endet das l-ms-Unterbrechungsprogramm, weil der EGI-Antrieb vorher beendet worden ist.

■

Wenn andererseits der Ausgang 2544 auf "1" ist, so fährt das D/C-System 2500 im Programm von Fig. 5(B) fort, weil die Brennstoffeinspritzung in Gang ist. Zuerst wird im Schritt 453 der Wert TEGI um Eins inkreraentiert. Der Wert von TEGI wird immer dann zurückgesetzt, wenn die Brennstoffeinspritzung, wie oben beschrieben wurde, ausgelöst wird, und bei jeder Unterbrechungsperiode (z.B. 1 ms) inkrementiert. Bei Schritt 454 werden die Daten von TEGI mit denjenigen von TEGIR verglichen. Wenn TEGIjS TEGIR ist, dann wird der Steuerausgang 2544 auf "0" zurückgesetzt, und das D/C-System 2500 beendet das Brennstoffeinspritzprogramm. Ist TEGI < TEGIR, so endet das Brennstoffeinspritzprogramm unmittelbar.

'

-9A-

Wenn, wie oben beschrieben wurde, das E/C-Systom 1000 ausfällt, wird, wann immer der Motor 360 durchläuft, ein Brennstoffeinspritzimpuls mit einer Periode von 1 ms und einer der Kühlwassertemperatur 'entsprechenden Breite ausgegeben.

Die Fig. 6 zeigt die Ausbildung der Betätigungsschal— tung 1625.

^q Bei dieser Schaltung wird das Steuer-Ausgangssignal vom D/C-System 25ΟΟ einem ersten Kondensator C., einem ersten Widerstand R₁ und einer ersten Diode D , die zusammen einen positiv getriggerten Impulsgenerator bilden, zugeführt. Dieser Impulsgenerator zündet an der vorlaufenden Flanke des Steuersignals 25^zi'i, um einen Einspritzventilbetätigungstransistor T. anzuschalten. Andererseits' wird das Steuersignal I5II vom E/C-Systom 1000 einem zweiten. Kondensator Cg, einem zweiten Widerstand R„ und einer zweiten Diode D₀ zugeführt, die zusammen einen weiteren positiv getriggerten Impulsgenerator bilden, der an .der vorlaufenden Flanke des Steuersignals I5II zündet, um den Einspritzventilbetätigungstransistor T. anzuschalten.

Wenn das. D/C-System 25ΟΟ einen konstanten Betätigungsausgang 2544 abgibt, wird der Transistor T₁ nur durch den Steuerausgang 1511 vom E/C-System 1000 betätigt. Wenn das E/C-System 1000 einen konstanten Betätigungsausgang I5II abgibt, dann wird in diesem Fall der Transistor T.

nur vom Steuerausgang 25^4 des D/C-Systems 2500 betätigt.

Arbeitet das E/C-System 1000 normal, so wird das Betätigungssignal 15II vom E/C-System normalerweise der Betätigung sschaltung I625 zugeführt, wobei das Steuersignal 2544 entweder auf ¹¹O" oder "1" bleibt, um den Transistor T. zu schalten. Die Brennstoffeinspritzung setzt nahezu sofort nach dem Schalten des Transistors T-. ein. Der

-Vtf-

Zeichnung kann entnommen werden, daß das EGI-Ausgangsteil 11, das eine Mehrzahl von Brennstoffeinspritzventilen aufweist., mit dem Kollektor des Transistors T. verbunden ist. Wenn das E/C-System 1000 ausfällt und somit das Steuersignal 1511 unwirksam wird, dann wird anstelle des Steuersignals 1511 das Steuersignal 25Vl vom D/C-Systom 25OO die Betätigungsschaltung 1625 steuern.

Es dürfte klar sein, daß das E/C-System 1000 andere Steuer- und Anzeigefunktionen des defekten D/C-Systems 25OO und daß das D/C-System 2500 andere notwendige Steuerfunktionen des E/C-Systems 1000 sicherstellen können.

Beispielsweise wird in der Zündsteuerungssektion (IGI) I^ die Energiezufuhr zur Zündspule 20 unterbrochen, so daß eine der Zündkerzen Energie erhält, wann immer der Motor 120° durchläuft. Für den Tachometer S/M und den Kilometerzähler 0/M kann die Anzeigebetätigung durch das E/C-System 1000 anstelle des defekten D/C-Systems 2500 ausge- ^ führt wordon. Da der Wert des Geschwindigkeitsmessers 2527 auf der Grundlage der Periode oder Frequenz des Fahrgeschwindigkextssignals 253^ berechnet wird und da auch der Wert des Kilometerzählers auf der Grundlage der Gesamtimpulse dos Fahrgeschwindigkextssignals 2534 berechnet wird, können die Sicherstellungsprogramme für den Tachometer 2527 und Kilometerzähler 2528 in gleichartiger Weise zu den in Fig. 5(A) und 5(B) gezeigten eingeleitet werden. Der Schaltungsaufbau der Betätigungsschaltungen 1626, 2523 und 2524 wird dem in Fig. 6 gezeigten

gleichartig sein. Wenn die Signale, wie das Eintrittsluftmengensignal 211, das Startschaltersignal 26l, das An-/Aus-Signal (IDLE) 271 usw., auch in das D/C-System 25OO eingegeben werden, kann eine genauere Steuerung der

Bronnstoffeinspritzung erreicht werden. 35

V*

Es ist ersichtlich, daß eine derartige Sicherstellungssteuerung unter Verwendung von besonderen, freien Speichern, durchgeführt.werden kann. Da solche Sicherstelf lungssteuerprogracime lediglich kritische Funktionen für den Fahrbetrieb ausführen, kann eine solche Sicherstellungssteuerung mit Steuerfunktionen, die nicht notwendigerweise für einen sicheren Fahrzeugbetrieb erforderlich sind, wenn das Fahrzeug nur zeitweise nicht in Ordnung ist, verrichtet werden. Solche Steuerfunktionen schließen die Funktionen 3., k. und 6. bis 9. des E/C-Systonis 1000 ein. Unkritische Steuarfunktionen des D/C-Systems 25ΟΟ sind die Funktionen 1. bis 6., 10. und 11. Eines oder beide Steuersysteme 1000 und 25ΟΟ kann bzw. können nicht-kritische Normalfunktionen zu Gunsten von kritisehen Sicher stellungsf unkt ionon in Übereinstimmung mit den Zeiterfordernissen der Sicherstellungsfunktionen zusätzlich zu normalen kritischen Funktionen unterbrechen.

Eine alternative Art der Prüfung, um festzustellen, ob

das Partnersystem (entweder E/C- oder D/C-System) normal arbeitet, besteht darin, aufzufinden, ob eines der Ausgangssignale vom Partnersystem normal ist. Beispielsweise kann das Vorliegen oder Fehlen des Brennstoffeinspritzbetätigungssignals (EGI) 1511 vom E/C-System 1000 aus

seiner Periode oder Frequenz bestimmt werden, um das Arbeiten des E/C-Systems 1000 zu überwachen.

Da, wie vorstehend erlä\itert wurde, gemäß der Erfindung

Mehrfach-Mikrocomputersysseme mit der Möglichkeit der 30

Funktionssicherstellung für ein Kraftfahrzeug wesentliche oder Haupt-Funktionen des Partnersystems, wenn dieses ausfällt, sicherstellen, sind besondere Schaltungen für diesen Zweck nicht notwendig, wodurch die llerstel-

lungskosten vermindert werden können. Der I_nhalt des 35

Sicherstellungsprogramms kann nach eigenem Willen festgelegt werden, so daß die Anpassungsfähigkeit der Sicherstellungssteuerung gesteigert wird.

Zf

Leerseite

Claims

Pat entansprüche

Elektronisches Steuersystem für ein Kraftfahrzeug, wobei wenigstens zwei Mikrocomputer getrennte Fahrzeugsteuer- und/oder Überwachungsfunktionen ausführen, gekennzeichnet

a) durch für jeden der Mikrocomputer vorgesehene Einrichtungen (1041, 25^0), die eine Anzeige über ein mögliches Fehlverhalten des Mikrocomputers abgeben,

b) durch in jedem Mikrocomputer angeordnete sowie

auf die Anzeigeeinrichtungen (10^zil, 25'iO) des anderen Mikrocomputers oder anderer Mikrocomputer ansprechende Einrichtungen, die ein Fehlvorhalten des anderen oder eines anderen Mikrocomputers wahr η elin en, un d

c) durch für jeden Mikrocomputer vorgesehene, auf die entsprechenden Wahrnehmeeinrichtungen ansprechende Einrichtungen, die. Funktionen eines anderen Mikrocomputers, dessen Fehlverhalten anerkannt worden ist^ ausführen, wobei jeder

Mikrocomputer des elektronischen Steuersystems den anderen oder andere Mikrocomputer des Steuersystems in Funktionen sicherstellt.
2. Verfahren zur Gewährleistung des Betriehs eines elektronischen Steuersystems für ein Kraftfahrzeug,, wobei zwei Mikrocomputer in dem System getrennte Fahrzeugsteuer- und/oder Überwachungsfunktionen ausführen,

gekennzeichnet

a) durch Ausgeben eines ersten, ein mögliches Fehlverhalten des Mikrocomputers kennzeichnenden Signals,

b) durch Überwachen des ersten Signals des anderen Mikrocomputers und Feststellen eines möglichen

Fehlverhaltens des anderen Mikrocomputers,

c) durch Ausführen der Funktionen des anderen Mikrocomputers, bei Anerkennung dessen Fehlverhaltens und

^ d) durch übereinstimmende Ausführung der Schritte a) bis c) seitens beider Mikrocomputer. .

3· Verfahren nach Anspruch 2, dadurch g je Ic e η η ζ· e i c h η et, daß bei Feststellung

· des Fehlverhaltens eines ersten Mikrocomputers der

zweite Mikrocomputer lediglich diejenigen Funktionen dos ersten Mikrocomputers ausführt, die für die Fortsetzung eines sicheren Fahrzeugbetriebs notwendig sind.
35

h. Verfahren nach Anspruch 2, dadurch gekennzeichnet, daß bei Feststellung des Fehlverhaltens eines ersten Mikrocomputers der zweite Mikrocomputer lediglich diejenigen Funktionen des ersten sowie zweiten Mikrocomputers ausführt, die für die Fortsetzung eines sicheren Fahrzeugbetrxebs notwendig sind.

5· Verfahren nach einem der Ansprüche 2 bis 4, dadurch gekennzeichnet, daß jeder Mikrocomputer ein Steuerprogramm mit in einen vorbestimmten Bereich fallenden Intervallen ausführt, daß die Ausgabe des ersten Signals am Ende eines jeden Steuerprograinms bei jeder Ausführung dieses Programms erfolgt und . d_aß ein Fehlverhalten des anderen Mikr ο computers aus der Überwachung der Periode des ausgegebenen ersten Signals festgestellt wird, wobei das Fehlverhalten . des anderen Mikrocomputers erkannt wird, wenn die

Periode des ausgegebenen ersten Signals nicht in den ^O vorbestimmten Bereich fällt. ·