Sicherheits- und Notfahrverfahren für eine Brennkraftmaschine mit Selbstzündung und Einrichtung zu dessen Durchführung

Abstract

 Bei einem Sicherheits- und Notfahrverfahren mit Einrichtung zu dessen Durchführung wird vorgeschlagen, einen von einer eigenen Drehzahlversorgungseinrichtung beaufschlagten Notfahrzweig zu bilden, der einen drehzahlabhängigen Kennlinienverlauf der minimalen Regelwegmenge vorgibt und auf den im Sicherheitsfall dann umgeschaltet wird, wenn sich gleichzeitig ein modifiziertes Leerlaufsignal und die Bedingung ergibt, daß der Regelwegistwert größer als ein für diesen Fall vorgegebener minimaler Regelweg ist. Es sind weitere periphere Schaltungsmittel vorgesehen, die die Bildung einer Starthysterese, einen Überdrehschutz, die Überwachung des Regelwegistwertgebers und die Möglichkeit betreffen, daß eine dem Hauptrechner zugeordnete separate Überwachungseinrichtung auch unabhängig von äußeren Signalen die Umschaltung auf den Notfahrzweig vornimmt.

Beschreibung

[0001] Die Erfindung geht aus von einem Verfahren nach der Gattung des Hauptanspruchs bzw. einer Einrichtung nach der Gattung des Anspruchs 11. Es ist bekannt, zur elektronischen Regelung des Betriebs von selbstzündenden Brennkraftmaschinen (Dieselmotoren) mit elektrischen Signalen angesteuerte, elektrische Stellwerke einzusetzen, wobei anstelle von mechanischen Kraftstoffzumeß- und Regelsystemen ein zentrales Steuergerät die erforderlichen Stellsignale erzeugt. Mechanische Kraftstoffzumeßsysteme bei Dieselmotoren sind zwar bezüglich ihrer Fehlersicherheit als zuverlässig anzusehen, sie sind aber unter Umständen zunehmend weniger in der Lage, der Vielzahl von unterschiedlichen Betriebsbedingungen und Umwelteinflüssen heutzutage Rechnung zu tragen.

[0002] Der Einsatz elektronsicher Komponenten in Verbindung mit einer elektronischen Dieselregelung (EDC) macht auch dann umfassende Sicherheits-, Überwachungs- und Notfahrmaßnahmen wünschenswert, wenn die einzelnen Baugruppen für sich gesehen schon Möglichkeiten zur Fehlererkennung und gegebenenfalls -Heilung aufweist.

[0003] Bei einer Sicherheitseinrichtung für eine Brennkraftmaschine mit Selbstzündung ist es bekannt (DE-OS 33 01 742),fortlaufend bestimmte, den Betrieb der Brennkraftmaschine betreffende Signale wie etwa Fahrpedalstellung, errechneter Sollwert des Regelwegs, Drehzahl, Bremspedalstellung u.dgl. zu erfassen und durch Minimalwertauswahl einen korrigierten Regelwegsollwert zu erstellen und dem Stellregler der EDC-Anlage zuzuführen. Dieser korrigierte Regelwegsollwert dient gleichzeitig der Feststellung einer Regelwegabweichung unter Einbeziehung eines rückgemeldeten Regelwegistwertsignals. Bei Überschreiten vorgegebener Grenzen reagiert die bekannte Sicherheitseinrichtung dann entweder mit einem Abschalten der Einspritzpumpe, Stromlosschalten der Endstufe des Stellreglers oder Einführung eines Notfahrbetriebs. Bei dieser bekannten Sicherheitseinrichtung können sich aber unter Umständen Probleme ergeben, weil nicht alle denkbaren Randbedingungen bei der Erfassung der Sicherheitsbedingungen einbezogen sind. So läßt sich zwar durch einen entsprechenden Leerlaufkontakt am Fahrpedal ein Leerlaufsignal gewinnen - dies ist aber dann nicht gültig, wenn beispielsweise die Brennkraftmaschine mit einer Fahrgeschwindigkeitsregelung ausgerüstet ist. Außerdem ist denkbar, daß, aus welchen Gründen auch immer (sportliches Fahren, Warnen rückwärtiger Fahrer bei hoher Geschwindigkeit u.dgl.), ein Fahrer kurz das Bremspedal betätigt oder auch nur antippt, andererseits aber das Fußfahrpedal ausgelenKt bleibt, sich also nicht in der Leerlaufstellung befindet.

[0004] Es ist daher die Aufgabe vorliegender Erfindung, bei einer elektronischen Dieselregelung (EDC) eine umfassende Sicherheits- und Notfahreinrichtung zu schaffen, die unter allen Umständen ein Durchgehen des Motors einerseits verhindert, andererseits einen Notbetrieb des Fahrzeugs weitgehend ermöglicht und auch dem Auftreten peripherer, an sich nicht zu erwartender Randbedingungen (beispielsweise also gleichzeitiges Betätigen von Brems- und Gaspedal) noch ordnungsgemäß Rechnung trägt.

Vorteile der Erfindung

[0005] Die Erfindung löst diese Aufgabe mit den kennzeichnenden Merkmalen des Hauptanspruchs bzw. des Anspruchs 11 und hat den Vorteil, daß bei Auftreten eines Sicherheitsfalls auf einen sowohl für die Brennkraftmaschine als auch für den Fahrbetrieb ungefährlichen Regelweg (der Einspritzpumpe) umgeschaltet wird, wobei scharfe Drehmomentsprünge bei fehlerhaften, vom Hauptrechner vorgegebenen Mengensignal vermieden werden. Vorteilhaft ist ferner, daß auch dann, wenn auf eine minimale Kennlinie des Regelwegs umgeschaltet werden muß, die automatische Startmengensteuerung etwa bei Kaltstart freigegeben ist und erst nach erstmaligem Überschreiten der sogenannten normalen Startabwurfdrehzahl wieder auf die normale minimale Regelwegkennlinie zurückgesetzt wird (RWmin-Kennlinie).

[0006] Ein weiterer Vorteil vorliegender Erfindung besteht darin, daß bei Erkennung einer fehlerhaften Einstellung des Regelwegs entweder die Stellregelung auf einen zweiten Zweig im Eingang des Stellreglers umgeschaltet wird oder es erfolgt gleichzeitig hiermit Beaufschlagung eines zweiten, redundanten Stellreglers, wodurch auch Defekte im normalerweise vorhandenen Stellregler abgesichert sind. Hier besteht auch die Möglichkeit, bei Wiederaufnahme eines ordnungsgemäßen Arbeitens durch den ersten Stellregler auf diesen zurückzuschalten, wozu entsprechende Rückschaltkriterien entwickelt sind.

[0007] Die Umschaltung auf den Notbetrieb kann dabei erfolgen entweder aufgrund einer separaten Überwachung der Hauptrechnerfunktion durch ein eigenes überwachungssystem (Watchdog) oder durch Erfassung eines speziellen redundaten Leerlaufsignals, welches in Verbindung mit einem rückgeführten Istweg der Regelstangenposition (RWist) die Umschaltung auf den redundanten Stellregler bewirkt, dem separat zusätzliche, einen minimalen Sollwert erzeugende Blöcke zugeordnet sind, die auch von einem eigenen Drehzahlgeber beaufschlagt sein können.

[0008] Durch die in den Unteransprüchen aufgeführten Maßnahmen sind vorteilhafte Weiterbildungen und Verbesserungen der Erfindung möglich. Besonders vorteilhaft ist die Möglichkeit, bei Auftreten eines Sicherheitsfalls, also unvereinbarer äußerer Betriebszustandsgrößen (Brems- und Fahrpedal gleichzeitig betätigt) diese Signale in ein zeitliches Raster einzuordnen und eine Wartezeit vorzugeben und erst nach deren Ablauf die Einspritzmenge nicht abrupt, sondern rampenförmig über der Zeit mit vorgegebener Steigung zu reduzieren.

Zeichnung

[0009] Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und werden in der nachfolgenden Beschreibung näher erläutert. Es zeigen Fig. 1 in vereinfachter schematischer Darstellung eine Brennkraftmaschine mit Selbstzündung und ihren wesentlichen zugeordneten Komponenten einschließlich Istwertgebern, Fig. 2 ein Blockschaltbild einer umfassenden Sicherheits- und Notfahreinrichtung, Fig. 3 in Form eines Diagramms den für den Notfahrzustand vorgegebenen Regelweg über der Drehzahl unter Einschluß einer sogenannten Starthysterese, Fig. 4 in Form diskreter Gatterschaltungen eine Verarbeitungsmöglichkeit externer Betriebsgrößen zur Erfassung des Sicherheitsfalls, bei dem umzuschalten oder entsprechend vorgegebenen Kennlinien abzuregeln ist, Fig. 5 in Form eines Diagramms den Verlauf der zugeführten Einspritzmenge über der Zeit bei Auftreten eines Sicherheitsfalls und Fig. 6 in Form eines Blockschaltbilds Umschaltmöglichkeiten auf einen Ersatzregler bei gleichzeitiger, durchlaufend erfolgender Beobachtung des ersten Reglers oder Normalreglers auf Wiederverwendbarkeit.

Beschreibung der Ausführungsbeispiele

[0010] In Fig. 1 ist die Brennkraftmaschine mit Selbstzündung (Dieselmotor) mit 10 bezeichnet; sie hat ein Ansaugrohr 11 und ein Abgasrohr 12. Eine Kraftstoffeinspritzpumpe 13 steht mit einem hier stellvertretend für die jeweils benötigte Menge von Einspritzventilen schematisch dargestelltem Einspritzventil 14 über eine Druckleitung 15 in Verbindung. Das Einspritzventil 14 kann einen Spritzbeginngeber 16 umfassen, der über eine gestrichelt angegebene Verbindungsleitung 16a ein redundantes Drehzahlsignal einem Drehzahlsignalerfassungs- und Verarbeitungsblock 17 zuführt oder der dieses Drehzahlsignal gesonderten Weiterverarbeitungsblöcken vermittelt.

[0011] Zur Drehzahlgewinnung ist ein Drehzahlgeber 18 vorgesehen, der die Drehzahl der Brennkraftmaschine über einen von deren Kurbelwelle angetriebenen Zahnkranz 19 beispielsweise erfaßt und dessen Ausgang mit dem Drehzahlsignal-Erfassungsblock 17 verbunden ist. Es versteht sich, daß die Art der Gewinnung der für das erfindungsgemäße Sicherheitssystem verwendeten Signale in Fig. 1 und den nachfolgenden Figuren lediglich beispielhaft dargestellt ist; die jeweils verwendeten Signale können auch auf andere Art und Weise aus den Betriebszuständen der Brennkraftmaschine abgeleitet werden. Ferner wird ausdrücklich darauf hingewiesen, daß die in den Zeichnungen dargestellten, die Erfindungen anhand diskreter Schaltstufen angebenden Blockschaltbilder die Erfindung nicht beschränken, sondern insbesondere dazu dienen, die funktionellen Grundwirkungen der Erfindung zu veranschaulichen und spezielle Funktionsabläufe in einer möglichen Realisierungsform anzugeben. Es versteht sich, daß einzelne Bausteine und Blöcke in analoger, digitaler oder auch hybrider Technik aufgebaut sein können, oder auch, ganz oder teilweise zusammengefaßt, entsprechende Bereiche von programmgesteuerten digitalen Systemen, beispielsweise Mikroprozessoren, Mikrorechner, digitale oder analoge Logikschaltungen u.dgl. umfassen können. Die im folgenden angegebene Beschreibung der Erfindung ist daher lediglich als bevorzugtes Ausführungsbeispiel bezüglich des funktionellen Gesamt- und Zeitablaufs, der durch die jeweils besprochenen Blöcke erzielten Wirkungsweisen und bezüglich des jeweiligen Zusammenwirkens der durch die einzelnen Komponenten dargestellten Teilfunktionen zu werten, wobei die Hinweise auf die einzelnen Schaltungsblöcke aus Gründen eines besseren Verständnisses erfolgen.

[0012] Grob schematisiert zeigt die Blockschaltbilddarstellung der Fig. 1 ferner noch ergänzend zu dem am Ausgang des Drehzahlerfassungsblocks 17 anstehenden Drehzahlsignal N weitere Mittel zur Signalgewinnung. Der Istwert des Regelwegs RWist, der aus der Posi-tion der Regelstang,e 13a der Kraftstoffpumpe 13 beispielsweise über einen Istwertgeber oder Wandler für den Regelweg erzeugt wird, ein Fahrpedal-Stellungssignal FF6 (Fußfahrpedal), beispielsweise erfaßt durch die Position eines Abgriffs eines in mechanischer Verbindung mit dem Fußfahrpedal 21 stehenden Potentiometers 22, aus welchem Signal auch ein Fahrpedal-Leerlaufsignal FFG-_LL abgeleitet werden kann, welches aber in gleicher Weise auch durch einen Leerlaufkontaktschalter am Fußfahrpedal erzeugt werden kann.

[0013] Ferner ist die Gewinnung eines Bremssignals BS über einen geeigneten, dem Bremspedal 23 zugeordneten Kontaktgeber 24 noch von Bedeutung, der im übrigen auch die Bremslichter 25 bedienen kann oder separat das Bremssignal erzeugt. Ein solcher Bremskontaktgeber kann auch Teil eines im Bremszylinder angeordneten Druckschalters sein.

[0014] Zur elektronischen Steuerung und Führung der Einspritzpumpe 13 ist ein zentrales Steuergerät 26 vorgesehen, welches einen Hauptrechner und weitere periphere Schaltungen enthält. Dem Steuergerät 26 werden, wie bei 27 angedeutet, eine Vielzahl äußerer Betriebssignale, Umwälzsignale und Sollgrößen zugeführt und aus diesen Eingangsgrößen erstellt dann der im Steuergerät 26 enthaltene Hauptrechner mindestens ein Signal für den Sollwert des Regelwegs RWsoll, welches einem nachgeschalteten Stellregler 27 zugeführt ist, der ein vorgegebenes Regelverhalten aufweist und meist ein sogenannter PI0-Regler ist, der über eine in Fig. 1 nicht dargestellte Stromreglerendstufe den Steller 28 ansteuert, der die Regelstange 13a in die jeweils gewünschte Position verschiebt.

[0015] Sämtliche oder ein Teil der hier erwähnten Signale gehen, abgesehen davon, daß sie bei 27 auch das zentrale Steuergerät 26 beaufschlagen, zu einer Sicherheits- und Notfahreinrichtung geführt, die, wie es sich versteht, auch Teil des zentralen Steuergeräts 26 sein kann, beispielsweise also als zusätzlicher Programmblock im Hauptrechner enthalten sein kann oder auf sonstige, beliebige Art und Weise realisiert ist.

[0016] Ein Blockschaltbild der Sicherheits- und Notfahreinrichtung 29 ist in Fig. 2 im einzelnen dargestellt und wird im folgenden zunächst ihrem Aufbau nach erläutert. Dabei sind in Fig. 2 zum zentralen Steuergerät 26 und zur Sicherheits- und Notfahreinrichtung 29 gehörende Komponenten ineinandergreifend dargestellt - der Hauptrechner ist mit 30 bezeichnet, eine wesentliche Funktionen des Hauptrechners kontrollierende, nur diesem zugeordnete Überwachungsschaltung (Watchdog) mit 30a bezeichnet. Ein erstes Drehzahlsignal N gelangt von einem Normaldrehzahlgeber 31, beispielsweise gebildet von einer sich zum synchron mit der Brennkraftmaschine drehenden Scheibe 32 mit Signalmarkierungen, einem auf dieser ansprechenden Geber 33, einer nachgeschalteten Impulsformerstufe 34 zum Hauptrechner 30, der das Drehzahlsignal und das am Eingang 35 anstehende Fahrpedalsignal FFG, üblicherweise mit weiteren, in diesem Zusammenhang nicht interessierenden Größen auswertet und einen Regelweg-Sollwert RWsoll erzeugt und über die Ausgangsleitung 30b einem ersten Stellregler 36 zuführt. Ein an den Ausgang des Stellreglers 36 (PID-Regler) geschalteter Stromregler 37 steuert mit seiner Endstufe unmittelbar das Stellglied 38 für die Regelstangenposition an. Ein rückgeführter Istwert des Regelwegs RWist gelangt über die Leitung 39 zum Eingang des Stellreglers 36, wodurch für den Ablauf der Normalfunktionen die Schleife geschlossen ist.

[0017] Es ist mindestens ein Hilfsdrehzahlgeber oder Ersatzdrehzahlgeber 31' vorgesehen, der auch ein Spritzbeginngeber (SB-Geber) sein kann, dessen Ausgangssignal als Ersatzdrehzahlsignal bei Ausfall des Normaldrehzahlgebers 31 verwendbar ist. Es gelten folgende Bedingungen für.Startvorgang, Überprüfung auf Vorhandensein dieses Ersatzdrehzahlgebers und Verwendung desselben:

[0018] Bei Einschalten der Spannung wird die Startmenge als Sollwert für die Stellwerkregelung ausgegeben, wobei die Ausgabe jedoch nur dann erfolgt, wenn von einer Ersatzdrehzahlgeberüberwachung kein Fehler bei der Messung des Innenwiderstands des Ersatzdrehzahlgebers erkannt worden ist. Eine Fehlererkennung des Sensorinnenwiderstandes führt erst dann zur Freigabe der Startmenge bei Erreichen einer vorgegebenen Drehzahlschwelle, ermittelt aus Impulsen des Normaldrehzahlgebers.

[0019] Wird als Ersatzdrehzahlgeber der SB-Geber verwendet, so ändern sich für die Mengen- und Spritzbeginnregelung bei Ausfall des Normaldrehzahlgebers folgende Funktionen:

1. Als Stxtmengen-Abwurfdrehzahl (also als Drehzahl, bei welcher die zuzuführende Kraftstoffmenge nicht mehr aufgrund von Startbedingungen bestimmt wird, sondern aus normalen äußeren Betriebsbedingungen) wird eine feste Abwurfdrehzahl vorgegeben;

2. es wird auf ein geändertes Fahrverhalten-Kennfeld umgeschaltet, wobei bei der Auslegung dieses Kennfelds folgendes gilt:

a) für die Fahrpedalstellung 0 ist eine Restmenge für die Einspritzmenge vorzugeben, die bei jeder Drehzahl im Nutzbereich eine sichere SB-Auswertung zuläßt (auch über die Abregelung hinaus sowie bei Drehzahl 0). Diese Restmenge liegt unterhalb des Null-Lastbedarfs des Motors -

b) die Vollastmenge wird über die oberste Kennlinie des Fahrverhalten-Kennfelds definiert, sie muß deutlich unter der Saugmotorvollast liegen. Auch die Abregeldrehzahl wird (als Bestandteil des Fahrverhalten-Kennfelds) deutlich herabgesetzt -

c) die Leerlaufdrehzahlregelung wird über das Fahrverhalten-Kennfeld bei Leerlauf (Fußfahrgeber = 0 - FFG = ₀) realisiert. Es wird eine gegenüber Normalbetrieb erhöhte Leerlaufdrehzahl vorgegeben.

3. Falls normalerweise SB-Regelung durchgeführt wird, wird Umschaltung auf SB-Steuerung vorgenommen.

[0020] Wird anstelle des Spritzbeginnsensors SBS ein beliebiger anderer Drehzahlsensor 31', wie weiter vorn schon erwähnt, verwendet, dann kann dieser beispielsweise als Drehzahlsensor am Anlasserzahnkranz eingesetzt sein. Um hier auf bei selbstzündenden Brennkraftmaschinen übliche Drehzahlsignale zu gelangen (der Spritzbeginnsensor erzeugt ein Signal beispielsweise nur alle zwei Kurbelwellenumdrehungen) und um durch die bei der Impulserfassung über den Anlasserdrehkranz bewirkte hohe Frequenz der Drehzahlimpulse den Hauptrechner 30 nicht zu überlasten, ist der Impulsformerschaltung 34' eine Teilerschaltung 42 nachgeschaltet, die diese für den Sicherheits- und Notfahrfall vorgesehen und insoweit redundaten Drehzahlsignale in etwa auf die gleiche Frequenz wie beim SB-Signal herabsetzt. In Fig. 2 ist dargestellt, daß der Hauptrechner 30 Normal- und Ersatzdrehzahlsignal zugeführt bekommt, die Sicherheits-und Notfahreinrichtungen über den Drehzahl-Aufbereitungsblock 41 aber vom Normaldrehzahl^geber mit Drehzahlinformation versorgt werden. Es ist genauso gut möglich, die S+N-Einrichtung oder einen Teil davon mit Drehzahlinformationen aus dem Ersatzdrehzahlgeber zu versorgen.

[0021] Die weiteren Sicherheits- und Notfahranordnungen der Fig. 2 werden im folgenden in Verbindung mit den jeweils auftretenden Sicherheitsfällen und den sich hierdurch ergebenden Funktionen erläutert.

[0022] Um bei einer erfaßten Leerlaufpositionsstellung des Fahrpedals (FFG-LL-Signal) zu überprüfen, ob sich der Regelistweg RWist unterhalb einer vorgegebenen Größe RWmin befindet, kann jedenfalls dann keine einfache Verknüpfung dieser Größen vorgenommen werden, wenn die Brennkraftmaschine mit einer Fahrgeschwindigkeitsregelung FGR betrieben wird, die vom Hauptrechner 30 in ihrer Steuerfunktion ausgeht.

[0023] Daher gelangt der Istwert des Regelwegs RWist über eine Verzweigungsleitung 39' zu einem Vergleicher 43, dessen anderem Eingang von einem RWmin-Kennlinienblock 44 eine die jeweilige Drehzahl betreffende RWmin-Angabe zuführt. Das Ausgangssignal dieses Vergleichers stellt dann ein erstes und notwendiges Signal dar, welches in diese Überprüfung einbezogen wird. Bei einer Fahrgeschwindigkeitsregelung, die in Verbindung mit einer elektronischen Dieselregelung (EDC) realisiert wird, befindet sich das Fahrpedal in der LL-Stellung und trotzdem wird der Brennkraftmaschine eine je nach Bedarf hohe Einspritzmenge, was einem großen Regelweg RWist entspricht, zugeführt.

[0024] Daher muß bei der Fahrgeschwindigkeitsregelung FGR die vom Rechner üblicherweise realisierte FFG-LL-Erkennung, also die Erfassung und Auswertung der Leerlaufposition des Fußfahrgebers, unterbunden werden.

[0025] Es ist ein Merkmal vorliegender Erfindung, über das am Eingang 45 zugeführte Bremssignal BS und ein Fahrgeschwindigkeits-Regelungssignal (FGR-Signal) ein sogenanntes redundantes, also zusätzliches Leerlaufsignal LL^* zu schaffen, und zwar durch die in der Fig. 2 oben Mitte dargestellte Verknüpfung , die so arbeitet, daß eine mögliche Fahrgeschwindigkeits-Regelungsfunktion FGR nicht zu einer fehlerhaften Leerlauf-Positionserkennung führt.

[0026] Bei dem dargestellten Ausführungsbeispiel erfolgt die Verknüpfung mittels einer Verknüpfungsschaltung 46, die aus zwei UND-Gliedern 46a, 46b und einem nachgeschalteten ODER-Glied 47 besteht. Am Ausgang dieses ODER-Glieds ergibt sich dann das redundante Leerlaufsignal LL^* nur dann, wenn entweder keine Fahrgeschwindigkeits-Regelungsfunktion vorliegt (wird durch die Negation am entsprechenden Eingang des UND-Gatters 46b erkannt) und gleichzeitig vom Fußfahrgeber ein Leerlaufsignal FFG-LL vorliegt oder die Fahrgeschwindigkeits-Regelungsfunktion zwar vorhanden ist, aber die Bremse betätigt wird. Eine solche Kombination darf im Normalbetrieb nicht auftreten, da bei Betätigen der Bremse die FGR-Funktion eliminiert werden muß. Beide Signale.gelangen gleichwertig über das ODER-Gatter 47 als LL^*-Signal auf den einen Eingang einer nachgeschalteten weiteren Gatterschaltung, nämlich wiederum ein UND-Gatter 48, das dann dazu dient, mit dem redundanten Leerlaufsignal LL^* zusammen und der Uberprü- fung auf das vom Vergleicher 43 gelieferte RWmin-Signal erforderlichenfalls auf einen für Motor und Fahrer ungefährlichen Regelweg umzuschalten.

[0027] Da hier unter Umständen mit einer Rechnerverzögerung oder Signallaufzeitverzögerung oder Steller-Verzögerung gerechnet werden muß, ist dem UND-Gatter 48 ein Verzögerungsblock 49 nachgeschaltet, der erst dann ein nachgeschaltetes Reaktionsglied zur unmittelbaren Betätigung ansteuert, wenn eine vorgegebene Zeitdauer T abgelaufen ist. Das Reaktionsglied ist zur Verdeutlichmachung der Funktion als bistabiles Flipflop 50 mit den Eingängen S/R dargestellt, kann aber in einem Rechner auch anders realisiert sein (z.B. Setzen einer Flag). Das Flipflop 50 wird an seinem Eingang S"gesetzt, wenn der Sicherheitsfall eintritt mit weiter unten noch zu erläuternden Folgen und wird an seinem Eingang R rückgesetzt, und zwar, wie erkennbar, über ein ODER-Gatter 51 unmittelbar bei Wegfall des redundanten Leerlaufsignals LL^* und außerdem dann, wenn von einem Starthystereseblock 52 ein Signal zugeführt wird, welches einen Startvorgang angibt, wie noch erläutert wird.

[0028] Gibt man in diesem Zusammenhang einen minimalen Regelweg RWmin bei fester unterer Grenzdrehzahlschwelle vor, dann ergeben sich Probleme auch für den Notfahrbetrieb, da sich an dieser Grenzdrehzahl dann bei fehlerhaften, vom Rechner vorgegebenen Mengensignal scharfe Drehmomentsprünge ergeben können. Entsprechend einem Merkmal vorliegender Erfindung wird daher die Grenzdrehzahl-Schwellenkonzeption durch eine drehzahlabhängige Regelwegkennlinie für minimalen Regelweg RWmin ersetzt, wie dies im Kennlinienblock 44 der Fig. 2 angedeutet und in dem Diagramm der Fig. 3 detailliert dargestellt ist. Der RWmin-Verlauf über der Drehzahl ist in Fig. 3 in durchgezogener Linienführung gezeigt, wobei hinzuzufügen ist, daß alle in Form von Kennlinien beschriebenen Funktionen auch mehr oder weniger komplex ausgestattet sein können und jeweils und auch hier im folgenden ein sich als sinnvoll ergebender Minimalstand beschrieben wird.

[0029] Die RWmin-Kennlinie über der Drehzahl besteht aus drei Ästen a), b) und c), wobei der Ast a) oberhalb einer schon erwähnten Schwellendrehzahl n_grenz liegt und Regelwege vorgibt, die unterhalb des Nullast-Mengenbedarfs des Motors liegen, aber oberhalb des Regelwegs, der vom Hauptrechner bei ungestörtem Betrieb für die Leerlaufstellung des Fußfahrpedals ausgegeben wird; der unterhalb der Grenzdrehzahl ansteigende Ast b) erlaubt eine Leerlaufregelung im Notfahrbetrieb, liegt aber oberhalb der Leerlaufregelkennlinie für den Normalbetrieb, während der dritte Ast c) Regelwege erlaubt, die einen Kaltstart ermöglichen.

[0030] Andererseits kann ein solcher RWmin-Kennlinienverlauf eine automatische Startmengensteuerung durch die elektronische Dieselregelung EDC gefährden, die bei Kaltstart mehr Startmenge (entsprechend größerem Regelweg RW) freigeben will als die RWmin-Kennlinie in Fig. 3 erlaubt. Es wird deshalb in einer Ausgestaltung vorliegender Erfindung diese RWmin-Kennlinie für den Startfall, der vom Block 52 in Fig. 2 erkannt wird, der auch für die gleich noch zu erläuternde Änderung des RWmin-Verlaufs verantwortlich sein kann, mit einer Hysterese versehen, die in Fig. 2 gestrichelt als RWmin' dargestellt ist und beim ersten Einschalten eine Verschiebung in Richtung auf nöhere Drehzahlen hin bewirkt. Dabei ist im Diagramm der Fig. 3 noch strichpunktiert und mit I bezeichnet der normale Startmengenverlauf über der Drehzahl angegeben.

[0031] Nach erstmaligem Überschreiten der normalen Startabwurf-drehzahl (zuzüglich einem Sicherheitsabstand) wird dann von RWmin', also aus der aufgeweiteten Hysteresekonfiguration, wieder auf die normale RWmin-Kennlinie zurückgesetzt.

[0032] Der Komparator 43 vergleicht den aus der RWmin-Kennlinie entnommenen RWmin-Wert mit dem tatsächlichen RWist-Wert - wird hierbei eine fehlerhafte Einstellung des Regelwegs R_W festgestellt, ist also RWist größer als RWmin und tritt gleichzeitig die Leerlaufbedingung LL^* auf, dann wird nach der vom Verzögerungsblock 49 vorgegebenen Verzögerungszeit das Flipflop 50 gesetzt, welches über seinen Ausgang FF_A und über ein nachgeschaltetes ODER-Glied 53 die Stellregelung des Regelwegs auf einen zweiten Zweig umschaltet, der dann, also bei Eintreten dieses Sicherheitsfalls, auf die soeben ausführlich geschilderte RWmin-Kennlinie regelt, und gleichzeitig über die Rückleitung 54 diesen eingetretenen Sicherheitsfall dem Hauptrechner 30 mitteilt.

[0033] Um auf die RWmin-Kennlinie im eingetretenen Sicherheitsfall für den Notfahrbetrieb regeln zu können, kann dann entweder, was in der Zeichnung der Fig. 2 nicht dargestellt ist, der Eingang des Stellreglers 36 auf den Ausgang des RWmin-Kennliniengenerierungsblock 44 geschaltet werden, d.h. man arbeitet mit dem gleichen Stellregler 36 weiter oder man kann (alternativ) auf einen zweiten redundanten Stellregler 36' umschalten, und zwar durch Betätigung eines Schalters 55 vom Ausgang des Flipflops 50 aus, da auf diese Weise auch Defekte des Normalstellreglers 36 abgesichert sind.

[0034] Eine solche Umschaltung über das ODER-Glied 53 wird auch dann vorgenommen, wenn festgestellt wird, nämlich über die Überwachungsschaltung Watchdog 30a des Hauptrechners 30, daß dieser selbst nicht betriebsfähig ist, also beispielsweise defekt ist, eine zu niedrige Spannung aufweist o.dgl. Dann schaltet der Watchdog 30a über die Leitung 56 den Schalter 55 ebenfalls um.

[0035] Die Rücksetzung des Sicherheits-Umschaltflipflops 50 erfolgt in jedem Fall, wenn, wie schon erwähnt, die Leerlaufbedingung LL^* wieder aufgehoben ist, oder um über den Starthystereseblock 52 das Flipflop 50 bei Startbedingungen in die definierte Ausgangslage zu bringen.

[0036] Die Rückmeldung der Umschaltung über die Leitung 54 zum Hauptrechner 30 ist deshalb erforderlich, weil dieser selbst (gegebenenfalls) eine Überwachung auf Regelabweichung durchführt bzw. um den Hauptrechner 30 im gewünschten Sinn zu manipulieren, da dieser sonst, bei dieser ergänzenden redundanten Abschaltung über einen zusätzlichen Steller (z.B. Absperrventil für den Kraftstoff) , selbst das System insgesamt abschalten könnte.

[0037] Eine zusätzliche Maßnahme zum reinen Betrieb über die RWmin-Kennlinie besteht darin, dem RWmin-Kennliniengenerierungsblock ergänzend noch über die Teilleitung 57a der Leitung 57 vom Fußfahrgeber ein Fußfahrgebersignal FFG zuzuführen, welches, zum erzeugten RWmin-Signal hinzugefügt, jede beliebige RW-Lage einzuregeln erlaubt, so daß auf einfache Weise bei Hauptrechnerausfall oder Ausfall der beim jeweiligen Sicherheitsfall betroffenen Komponenten eine erweiterte Notfahrt möglich ist.

[0038] Eine weitere Ausgestaltung vorliegender Erfindung besteht darin, daß ein Erkennungsschaltblock 58 für Ausfall des Regelweggebers vorgesehen ist; dieser Erkennungsschaltung 58 wird daher das vom Regelweggeber erzeugte und rückgemeldete Istwertsignal des Regelwegs RWist ergänzend zugeführt.

[0039] Der Erkennungsschaltungs 58 werden beliebige, mit der Istposition des Regelwegs verknüpfte Eingangssignale zugeführt, wobei die Regelweggeber-Ausfallerkennung dann durch eine für sich bekannte Maßnahme des sogenannten Signal-Range-Check durchgeführt wird. Bei festgestelltem Ausfall des Regelweggebers wird dann entsprechend einem Merkmal vorliegender Erfindung nicht mehr das echte (insofern aber nicht mehr zutreffende) Regelwegsignal RWist an die Positionsregelung (der Stellregler 36, 36') bzw. an den Hauptrechner 30 zurückgemeldet, sondern ein simuliertes Signal, welches durch eine von der Erkennungsschaltung 58 bewirkte Umschaltung eines Schalters 59 auf einen RWist^*-Generie- rungsblock 60 erzeugt wird. Dieses simulierte Signal wird entweder aus dem Stellreglerausgang, wie in Fig. 2 dargestellt, abgeleitet, oder auch aus anderen verfügbaren Größen, beispielsweise auch Ausgang des dem Stellregler nachgeschalteten Stromreglers 37. Insofern ist aber auch der RWist-Generierungsblock für den allgemeinen Fall ein Beobachter des Stellers 38.

[0040] Es versteht sich, daß, wie für sich gesehen bekannt, ergänzend zu den bisher getroffenen Maßnahmen noch eine Überdrehschutzschaltung 61 vorgesehen ist, die an allen Blöcken vorbei direkt auf die Endstufe des Stromreglers 37 einwirkt und Überdrehzahlen verhindert.

[0041] Wesentliche Merkmale vorliegender Erfindung bestehen daher darin, daß zusätzlich zu dem redundanten Drehzahlgeber 31' bzw. Spritzbeginnsensor ein redundantes Leerlaufsignal LL^* generiert wird, desgleichen ein RWmin-Kennlinienverlauf, welcher ergänzend durch Signale des Fahrfußgebers eine Verschiebung für erweiterten Notfahrbetrieb erfahren kann.

[0042] Eine ergänzende Erweiterung erfährt die RWmin-Kennlinie durch eine Starthysteresefunktion, so daß neben dem erweiterten Notfahrbetrieb auch Startvorgänge noch möglich sind. Die Umschaltung auf den Notbetrieb erfolgt wahlweise durch Beaufschlagung eines Reaktionselements, nämlich des Flipflops 50 oder auch über den dem Rechner unmittelbar zugeordneten Watchdog bei Rückmeldung der Flipflop-Umschaltung. Es ist vorzugsweise ein redundanter Stellregler vorgesehen, der für den Sicherheitsfall und Umschaltung auf Notfahrbetrieb von der RWmin-Kennliniengenerierung angesteuert wird. Ferner läßt sich durch Erzeugung eines simulierten Regelwegsignals eine für den Notfahrbetrieb auswertbare Istwertgröße gewinnen. Durch die Einbeziehung des Stellerbeobachters entsprechend dem RWist^*-Generierungsblock 60 in das überwachungsprogramm kann auch das Stellerverhalten überprüft werden.

[0043] Ein weiteres Problem für den allgemeinen Sicherheits- und Notfahrbetrieb bei selbstzündenden Brennkraftmaschinen besteht darin, daß der Fußfahrpedal klemmen oder nicht mehr in Leerlaufstellung zurückgehen kann oder wenn im Steuer-. gerät die Signalauswertung des Fahrpedalgebers defekt oder dessen Signal vom Rechner falsch interpretiert wird; in diesem Fall besteht die Gefahr, daß, obwohl der Fahrer den Fuß vom Fahrpedal genommen hat, also ein FFG-LL-Signal vorliegt, unerwünscht Gas gegeben wird. Zwar kann man ein solches unerwünschtes Gasgeben dann verhindern, wenn man zusätzlich ein dann durch die normale Reaktion des Fahrers bewirktes Bremssignal BS als redundantes Sicherheitssignal, wie auch in Fig. 2 geschehen, mit einbezieht, trifft allerdings dann auf Probleme, wenn unter bestimmten, eingangs schon erwähnten Fällen des Fahrbetriebs beispielsweise bei schnellem Fahren kurzzeitig auf die Bremse getreten wird, wobei das Fahrpedal sich nicht in Leerlaufposition befindet oder wenn, beispielsweise zur Annäherung einer Art Antischlupfregelung oder bei sehr sportlichem Fahren gelegentlich gleichzeitig Gas und Bremse betätigt werden.

[0044] Wenn dann die Einspritzmenge abrupt weggenommen und entweder auf einen mit Sicherheit Einspritzmenge 0 liefernden Regelweg geregelt oder sogar die Endstufe für das Pumpenstellwerk gesperrt wird, können sich deshalb gefährliche _Fahr- zustände ergeben,, weil in letzterwähntem Fall der Stellregler des Stellwerks an den Anschlag läuft, beim Wiedereinschalten nach Aufheben des Sicherheitsfalls dann unerwünscht lange dauernde Einschwingvorgänge mit zum Teil erheblichen Einspritzmengen-Uberschwingungen auftreten können und das abrupte Abschalten bzw. Wegnehmen der Einspritzmenge im Fahrbetrieb auf jeden Fall erhebliche Verzögerung des Fahrzeugs hervorruft.

[0045] Entsprechend einem bevorzugten, auch unabhängig für sich erfinderischen Merkmal vorliegender Erfindung wird daher für den Fall der Bremsbetätigung so vorgegangen, daß ein abruptes Wegnehmen der Einspritzmenge für die geschilderten Fälle vermieden wird, wobei entsprechend-der Darstellung der Fig. 4 das Auslösen eines Sicherheitsfalls für den Rechner nur dann gegeben ist, wenn

1. die Fahrpedalstellung nicht Leerlauf ist (FFG-LL) und

2a) entweder zuerst das Fahrpedal nicht in Leerlaufstellung ist und zeitlich nachfolgend das Bremsbetätigungssignal BS auftritt oder

2b) zuerst die Bremse betätigt wird (Signal BS) und zeitlich nachfolgend das Fahrpedal nicht in Leerlaufstellung ist und für diesen Fall ferner die Fahrgeschwindigkeit größer als eine vorgegebene Mindestsicherheits geschwindigkeit ist, also V-, Vsmin.

[0046] Es versteht sich, daß diese Bedingungen nicht allein statisch zu betrachten sind. Zwar soll der Sicherheitsfall wieder aufgehoben werden, wenn LL-Stellung des Fahrpedals erkannt wird oder die Bremse wieder gelöst wird, nicht jedoch beispielsweise wenn nach ausgelöstem Sicherheitsfall und Weiterbestand der Bedingungen "Bremse gedrückt, FFG 0 LL" die eventuell zum Auslösen noch erforderliche Geschwindigkeitsbedingung wegfällt.

[0047] Die in der Fig. 4 dargestellten Bewertungsblöcke 62 und 63 sind daher Schaltungsmittel, die eine zeitliche Zuordnung oder ein zeitlich aufeinanderfolgendes Auftreten von Ereignissen erfassen können und nur dann ein Signal abgeben, wenn die in den Blücken angegebenen Bedingungen erfüllt sind. Der Sicherheitsfall entsprechend angenommenem hochgehenden Signal an einem Ausgangsgatter (UND-Schaltung 64) ergibt sich also nur dann,- wenn dem einen Eingang das Signal "Fahrpedal befindet sich nicht in Leerlaufstellung" zugeführt wird, während dem anderen Eingang vom vorgeschalteten ODER-Gatter 65 ein Signal entweder nach der weiter vorn genannten Bedingung 2a) oder 2b) zugeführt wird.

[0048] Sobald dieser Sicherheitfall auftritt, erfolgt eine Verarbeitung entsprechend dem Diagramm der Fig.5, welches die zugeführte Einspritzmenge über der Zeit darstellt. Es wird daher bei Eintreten des Sicherheitsfalls zunächst eine Wartezeit Tw gestartet und nach Ablauf der Wartezeit wird die Einspritzmenge nicht abrupt, sondern rampenförmig über der Zeit mit vorgegebener Steigung DF/DT reduziert und dabei auf eine vorgebbare Sicher- ,heitsdrehzahl Ns geregelt. Für die Regelung können die üblichen Leerlaufregelparameter gelten.

[0049] Sofort nach Aufhebung des Sicherheitsfalls, (wobei Aufhebung heißt: Eine der beiden Bedingungen "Bremse betätigt" bzw. "FFG ≠ LL" entfällt)also in der Zeichnung der Fig . 4 zum Zeitpunkt t2, wenn der Sicherheitsfall zum Zeitpunkt t0 eingetreten, zum Zeitpunkt t1 die Wartezeit abgelaufen und zum Zeitpunkt t2^* die Sicherheitsdrehzahl erreicht worden ist, wird die Einspritzmenge wieder rampenförmig über der Zeit mit vorgegebener Steigung DR/DT auf die Menge erhöht, die durch die normaler Eingabegrößen des Steuergeräts (FFG, F6R ...) vorgegeben ist.

[0050] Hierdurch ist der sonst auftretende Konflikt "Bremse/Fahrpedal" gelöst, es werden harte Mengenstöße vermieden, wobei man durch die zusätzliche Einführung der Geschwindigkeits-Sicherheitsschwelle Ns einen weiteren Auslegungsfreiheitsgrad erzielt. Wesentlich ist auch, daß bei einer solchen Sicherheitsfäll-Auslegung der oder die Stellregler nicht an den Anschlag laufen.

[0051] Da für dieses spezielle Sicherheitsproblem lediglich die Eingangsgrößen des Fahrpedalgebers FFG sowie des Bremsschalters BS benötigt werden, die entsprechend der Darstellung der Fig. 2 ohnehin dem Hauptrechner zugeführt sind, ergibt sich der weitere Vorteil, daß diese gesamte Sicherheitsfunktion in den Hauptrechner 30 verlagert, dieser also entsprechend ausgelegt werden kann, so daß auch ein wesentlich geringerer Schaltungsaufwand resultiert.

[0052] Eine weitere Ergänzung vorliegender Erfindung, die auch für sich unabhängig erfinderische Bedeutung hat, läßt sich schließlich noch der Darstellung der Fig. 6 entnehmen. Es handelt sich hierbei um die weiter vorn schon angesprochene Möglichkeit der Anordnung eines zweiten Stellreglers oder Ersatzreglers, der in Fig. 6 mit 66 bezeichnet ist. Der Normalregler trägt, wie in Fig. 2 das Bezugszeichen 36.

[0053] Zwar verfügt das Sicherheits- und Notfahrsystem in der Darstellung der Fig. 2 ebenfalls über einen zweiten und daher redundanten Regler 36'; dieser kann bei diesem System aber auch wahlweise vorgesehen sein, da im Sicherheitsfallauch lediglich die Stellregelung des Regelwegs auf den zweiten Zweig, gebildet aus den Blöcken 44 und 52 umschaltet, so daß mit der RWmin-Kennlinie weitergeregelt wird. Diese Aufschaltung des zweiten Zweigs kann auch auf den ursprünglichen Stellregler vorgenommen werden. Im Gegensatz hierzu erhöht der entsprechend der Fig. 6 effektiv vorgesehene redundante Stellregler 66 die Verfügbarkeit des ganzen Systems und damit auch des Fahrzeugs. Dabei liegen folgende Überlegungen zugrunde. Bei EDC-Systemen wird die Einspritzmenge über den elektromagnetischen Steller 38' (siehe Fig. 6) mit Positionsrückmeldung (Stellung der Regelstange - RWist-Geber) und einem Stellregler 36 im Steuergerät zugemessen. Bei Ausfall dieses einen Stellreglers kann auf keinen Fall mehr eine Mengenzumessung durchgeführt werden, so daß auch das mit einer solchen Brennkraftmaschine ausgerüstete Fahrzeug stehenbleibt.

[0054] Die Erfindung sieht hier einen zweiten Ersatzstellregler 66 oder redundanten Regler vor und stellt ferner Mittel zur Verfügung, die erkennen, ob der normale Stellregler 36 funktionsunfähig ist, damit auf den Ersatzstellregler 66 umgeschaltet werden kann. Es versteht sich, daß solche Maßnahmen auch bei anderen Stellreglern für andere Größen, beispielsweise Abgasrückführrate ARF, Spritzbeginn oder ähnliches angewendet werden können.

[0055] Als zu einem solchen Stellregler gehörig kann der eigentliche Regler (PID) selbst, und in Erweiterung auch noch zugeordnete nachfolgende Stufen einschließlich Endstufe (Stromregler 37) angesehen werden. Da ein Stellregler, wie schon erwähnt, allgemein einen I-Anteil enthält, kann man bei funktionsfähigem Stellregler davon ausgehen, daß bei Vorhandensein einer Regelabweichung der Reglerausgang auf die zur Ausregelung der Abweichung maximal mögliche Position geht, er läuft an den Anschlag, wobei die Richtung der Abweichung und die Richtung des Reglers am Anschlag einander sinngemäß zugeordnet sind. Diese Zuordnung und die Forderung, daß der Regler an den Anschlag läuft, erlauben eine Überprüfung des Stellreglers und eventuell nachfolgender Stufen unter Beachtung des Grundsatzes, daß bei vorhandener Regelabweichung und bei Vorliegen dieser Regelabweichung für eine vorgegebene Festzeit die Feststellung möglich ist, ob der Reglerausgang sich am sinngemäßen Anschlag befindet. Ist dies nicht der Fall, dann muß auf den Ersatzstellregler 66 umgeschaltet werden. Die Erfindung sieht entsprechend Fig. 6 eine Vergleichseinrichtung 67 vor, der am Eingang 67a die Regelabweichung und am Eingang 67b die Reglerausgangslage zugeführt sind. Die Regelabweichung wird dabei in üblicher Weise an einem Summationspunkt 68 gewonnen, dem vom Hauptrechner der Regelstangensollwert RWsoll und vom RWist-Geber der rückgeführte Regelstangenistwert zugeführt ist. Wird festgestellt, daß nach Ablauf der vorgegebenen Festzeit 1⁷ die Reglerausgangslage nicht dem Anschlag entspricht, aann schaltet der Vergleicher über den Schalter 69 auf den Ersatzregler 66 um, der dann entweder ebenfalls mit dem bisherigen Sollwert weiterarbeiten kann (zugeführt über die Leitung 70) oder dem auch aus einer Notfahreinrichtung ein von dieser abgeleiteter, separater Sollwert über die Leitung 71 als RWsoll-Not (s.Block ₄₄, zuführbar ist. Ein Ausfall des Normalstellreglers ₃₆ be-^Fig.2) deutet im letzteren Fall immer vollständiges Umschalten auf den Notfahrzweig, was unter Umständen eine Vereinfachung der Logik darstellt.

[0056] Da ein solches Umschalten auch durch eine einmalige Stö-. rung ausgelöst werden kann und mit den bisher erläuterten Mitteln eine Rückschaltung aus dem Notfahrbetrieb nicht mehr möglich ist, obwohl gegebenenfalls die Funktionsfähigkeit des Normalreglers 36 nicht oder nicht weiter gestört ist, wird entsprechend einer Ausgestaltung der Erfindung der Solleingang des (zunächst) als defekt erkannte Regler 36 auf einen Festsollwert umgeschaltet, ebenfalls vom Ausgang des Vergleichers 67 durch Betätigung einer Schalteinrichtung 72, wobei dieser Festsollwert vorzugsweise in der Mitte des Normalbetriebsbereichs liegt. Dabei wird vom Vergleicher 67 weiter der Ausgang des Normalreglers 36 beobachtet.

[0057] Da mit dem Ersatzstellregler 66 weiterhin mit den sich im Fahrbetrieb ergebenden wechselnden Sollwerten RWsoll oder RWsoll-Not gearbeitet wird, wird der Normalregler 36 notwendigerweise wechselnd positive und negative Regelabweichungen bezüglich seines Festsollwerts sehen, da ihm die RWist-Angabe weiter zugeführt wird. Bei wieder geheiltem, also funktionsfähigem Stellregler 36 müßte dann im Wechsel von ihm der eine bzw. der andere Anschlag angefahren werden.

[0058] Es ist dann möglich, eine vorgegebene Anzahl von Anschlagwechseln zu bestimmen, die die Vergleichseinrichtung 67 erfassen kann und woraufhin sie dann wieder auf die Normalfunktion zurückschalten kann, so daß aus der Notfahrfunktion wieder abgegangen werden kann mit den sich hierdurch ergebenden Vorteilen und dem weiteren Vorteil, daß die Notfahrfunktion wieder für einen Einsatz zur Verfügung steht.

[0059] Alle in der Beschreibung, den nachfolgenden Ansprüchen und der Zeichnung dargestellten Merkmale können sowohl einzeln als auch in beliebiger Kombination miteinander erfindungswesentlich sein.

Ansprüche

1. Sicherheits- und Notfahrverfahren für eine Brennkraftmaschine mit Selbstzündung, wobei zur übergeordneten Systemüberwachung fortlaufend Betriebszustandssignale der Brennkraftmaschine (Fahrpedalstellung FFG(-LL), Drehzahl N, Bremspedalstellungs- oder Bremslichtsignal BS, Istwert der Regelstangenposition RWist) erfaßt und ausgewertet werden, dadurch gekennzeichnet, daß bei gleichzeitigem Auftreten einer modifizierten Leerlaufbedingung und eines vorgegebenen minimalen Werts des Regelwegs (RWmin) durch den tatsächlichen Regelweg (RWist) die Stellregelung für den Regelweg auf einen zweiten, längs einer RWmin-Kennlinie regelnden Zweig umgeschaltet wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß zum jeweils drehzahlabhängigen, aus dem RWmin-Kennlinienverlauf für Notfahrt gewonnenen RWmin_-Wert ergänzend das Signal (FFG) des Fußfahrgebers (21) hinzugefügt wird zur Gewinnung des neuen, eine erweiterte Notfahrt ermöglichenden Regelstangensollwerts (RWsoll-Not).

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die Stellregelung.mit dem neuen, kennlinienabhängigen und fußfahrpedalabhängigen Sollwert (RWsoll-Not) auf einen zweiten, redundanten Stellregler (36', 66) geschaltet wird zur gleichzeitigen Absicherung von Störungen im Normalstellregler (36,₆₆).

4. Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß der Erzeugung der RWmin-Kennlinie für den Notfahrbetrieb das Drehzahlsignal (N) des Normaldrehzahlgebers (31) oder eines Ersatzdrehzahlgebers (31'; SBS) zugrundegelegt wird, der als Spritzbeginnsensor ein Drehzahlsignal aus dem effektiv erfaßten Spritzbeginn ableitet oder synchron zur Kurbelwellenumdrehung redundant erfaßte Drehzahlsignale durch Teilung herab-. setzt.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß der für den Notfahrbetrieb drehzahlabhängig generierte RWmin-Kennlinienverlauf eine Starthysteresefunktion umfaßt, die für den Kaltstart eine zusätzliche Startmenge über die RWmin-Kennlinie hinaus drehzahlabhängig freigibt und nach erstmaligem überschreiten der normalen Startabwurfdrehzahl auf die Normal-RWmin-Kennlinie zurückschaltet.

6. Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß zur Erfassung des modifizierten Leerlaufsignals (FFG-LC) entweder ein Bremspedal-Betätigungssignal (BS) mit einem Fahrgeschwindigkeitsregelsignal (FGR) verglichen oder das Nichtauftreten eines Fahrgeschwindigkeit-Regelsignals (FGR) mit einem Fahrpedal-Normalleerlaufsignal (FFG-LL) verglichen und erst nach Ablauf einer vorgegebenen Verzögerungszeit (T) das modifizierte Leerlauf Signal (LL^*) die Stellregelung bleibend bei gleichzeitigem Vorliegen der Bedingung RWist > RWmin umschaltet.

7. Verfahren nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, daß die bleibende Umschaltung unter Umgehung der modifizierten Leerlaufsignalerstellung und des Vergleichs RWist mit RWmin unmittelbar von einer separaten, dem Hauptrechner (30) zugeordneten überwachungseinrichtung (Watchdog 30a) zusätzlich vorgenommen werden kann.

8. Verfahren nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, daß der Ausfall des RWist-Gebers erfaßt und auf ein simuliertes, aus dem Stellreglerausgang abgeleitetes RWist^*-Signal umgeschaltet wird.

9. Verfahren nach einem der Ansprüche 6 oder 7, dadurch gekennzeichnet, daß zur bleibenden Stellregelungsumschaltung ein Reaktionsmittel (bistabiles Flipflop 50; im Rechner sinngemäßer Umschaltalgorithmus) angesteuert wird, welches bei Ausbleiben des modifizierten Leerlaufsignals (LL^*) rückgesetzt wird.

10. Verfahren nach Anspruch 9, dadurch gekennzeichnet, daß das Flipflop (50) auch bei Auftreten der Starthysteresefunktion rückgesetzt wird.

11. Sicherheits- und Notfahrverfahren für eine Brennkraftmaschine mit Selbstzündung, wobei zur übergeordneten Systemüberwachung fortlaufend Betriebszustandssignale der Brennkraftmaschine (Fahrpedalstellung FFG(-LL), Drehzahl N, Bremspedalstellungs- oder Bremslichtsignal BS, Istwert der Regelstangenposition RWist) erfaßt und ausgewertet werden, insbesondere nach einem oder mehreren der Ansprüche 1 bis 10, dadurch gekennzeichnet, daß bei vorausgesetztem I-Anteil des Stellreglers die Regelabweichung und die Regler-Ausgangslage überwacht werden und bei Nichterreichen eines ausgangsseitigen Anschlagwerts durch den Stellregler nach Ablauf eines vorgegebenen Zeitraums (r) auf einen Ersatzregler (66) umgeschaltet wird.

12. Verfahren nach Anspruch 11, dadurch gekennzeichnet, daß dem Ersatzregler der gleiche Sollwert für den Regelstangenweg (RWsoll) zugeführt wird wie dem abgeschalteten Normalstellregler (36).

13. Verfahren nach Anspruch 11 oder 12, dadurch gekennzeichnet, daß dem Ersatzregler (66) ein Notfahrsollwert (RWsoll-Not) zugeführt wird.

14. Verfahren nach einem der Ansprüche 11-bis 13, dadurch gekennzeichnet, daß bei Umschalten auf den Ersatzregler (66) der Normalregler (36) mit einem festen Sollwert beaufschlagt und seine Reglerausgangslage fortlaufend weiterbeobachtet wird, mit der Maßgabe, daß bei Erreichen einer vorgegebenen Anzahl von ausgangsseitigen Anschlagwerten die Funktionsfähigkeit des Normalreglers- (36) erkannt und auf diesen aus dem Notfahrbetrieb rückgeschaltet wird.

15. Sicherheits- und Notfahrverfahren für eine Brennkraftmaschine mit Selbstzündung, wobei zur übergeordneten Systemüberwachung fortlaufend Betriebszustandssignale der Brennkraftmaschine (Fahrpedalstellung FFG(-LL), Drehzahl N, Bremspedalstellungs- oder Bremslichtsignal BS, Istwert der Regelstangenposition RWist) erfaßt und ausgewertet werden, insbesondere nach einem oder mehreren der Ansprüche 1 bis 14, dadurch gekennzeichnet, daß zur Vermeidung einer Abschaltung oder Einspritzmengenreduzierung, gegebenenfalls bis auf Sicherheitsmenge Null bei gleichzeitigem Auftreten eines Bremssignals (BS) sowie eines sich außerhalb des Leerlaufbereichs befindenden Fahrpedalsignals (FFG-LL) diese beiden Signale zueinander in eine zeitliche Bedingungsabhängigkeit gebracht werden, derart, daß auf einen Sicherheitsfall nur dann erkannt wird, wenn bei fehlendem Leerlaufsignal (FFG-LL) entweder das Fahrpedal sich zuerst nicht in der Leerlaufstellung befindet und zeitlich nachfolgend die Bremse betätigt wird, oder wenn zuerst die Bremse betätigt wird (Auftreten des BS-Signals) und zeitlich nachfolgend das Fahrpedal nicht in die Leerlaufstellung gelangt und gleichzeitig die Fahrgeschwindigkeit größer als eine vorgegebene Mindestsicherheitsgeschwindigkeit (V > VSmin) ist.

16. Verfahren nach Anspruch 15, dadurch gekennzeichnet, daß bei Eintritt des Sicherheitsfalls eine Wartezeit (Tw) gestartet und erst nach Ablauf der Wartezeit die zugeführte Einspritzmenge durch entsprechende Beaufschlagung des Hauptrechners oder nachgeschalteter Komponenten rampenförmig über der Zeit mit vorgegebener Steigung reduziert und anschließend auf eine vorgegebene Sicherheitsdrehzahl (Ns) geregelt wird.

17. Verfahren nach Anspruch 15 oder 16, dadurch gekennzeichnet, daß nach Aufheben des Sicherheitsfalls die Einspritzmenge rampenförmig über der Zeit mit vorgegebener größerer Steigung auf die durch die normalen Eingabegrößen des Steuergeräts vorgegebene Menge erhöht wird.

18. Sicherheits- und Notfahreinrichtung für eine Brennkraftmaschine mit Selbstzündung, wobei zur übergeordneten Systemüberwachung fortlaufend Betriebszustandssignale der Brennkraftmaschine (Fahrpedalstellung FFG-LL, Drehzahl N, Bremspedalstellungs- oder Bremslichtsignal BS, Istwert der Regelstangenposition RWist) erfaßt, verglichen und zur Brennkraftmaschinenabschaltung oder Notfahrbetrieb ausgewertet werden, zur Durchführung des Verfahrens nach einem oder mehreren der Ansprüche 1 bis 10, dadurch gekennzeichnet, daß eine einen minimalen Regelweg-Kennlinienverlauf (RWmin) über der Drehzahl erzeugende Schaltung (44) vorgesehen ist, deren Ausgang im Sicherheitsfall zur Stellregelung des Regelwegs auf den Stellregler (36, 36'; 66) geschaltet wird.

19. Einrichtung nach Anspruch 18, dadurch gekennzeichnet, daß.ein mit der die RWmin-Kennlinie erzeugenden Schaltung (44) verbundener redundanter Stellregler (36'; 66) vorgesehen ist, auf den der Eingang des nachgeschalteten Stellers (38) bzw. ein diesem vorgeschalteter Stromreg-Ier (37) im Sicherheitsfall geschaltet ist.

20. Einrichtung nach Anspruch %8 oder 19, dadurch gekennzeichnet, daß zur Ermöglichung eines erweiterten Notfahrbetriebs die die RWmin-Kennlinie erzeugende Schaltung (44) zur Einregelung beliebiger Regelweg-Sollwerte die Position des Fußfahrgebers auswertet.

21. Einrichtung nach einem der Ansprüche 18 bis 20, dadurch gekennzeichnet, daß der die RWmin-Kennlinie erzeugende Schaltung (44) ein Starthystereseblock (42) zugeordnet ist, der drehzahlabhängig bis zum erstmaligen überschreiten einer vorgegebenen Startabwurfdrehzahl die RWmin-Kennlinie in Richtung auf höhere Einspritzwerte freigibt.

22. Einrichtung nach einem der Ansprüche 18 bis 21, dadurch gekennzeichnet, daß mindestens ein redundanter Drehzahlgeber (31; Spritzbeginnsensor) vorgesehen ist, der, gegebenenfalls über eine Teilerschaltung (42) und einen vorgeschalteten Drehzahlaufbereitungsblock (41) die Notfahrblöcke bildende Schaltung (44) zur RWmin-Kennlinienerzeugung, eine überdrehschutzschaltung (61) sowie den Starthystereseblock (52) mit einem Drehzahlsignal versorgt.

23. Einrichtung nach einem der Ansprüche 18 bis 22, dadurch gekennzeichnet, daß eine ein modifiziertes Leerlaufsignal (LL^*) definierende Schaltung vorgesehen ist, die zusätzlich zur Bremspedalbetätigung ein Fahrgeschwindigkeits-Regelsignal (FGR) sowie ein Fahrpedal-Leerlaufsignal (FFG-LL) auswertet und ein nachgeschaltetes Reaktionsglied (Flipflop 50) ansteuert.

24. Einrichtung nach Anspruch 23, dadurch gekennzeichent, daß zur Erzeugung des modifizierten Leerlauf Signals (LL^*) ein erstes UND-Gatter (46) vorgesehen ist, dem ein Bremsenbetätigungssignal (BS) und ein Fanrgeschwindigkeits-Regelsignal (FGR) zugeführt ist, welches negiert auch einem zweiten UND-Gatter (46b) zugeführt ist, das an seinem anderen Eingang das Fahrpedalleerlaufsignal (FFG-LL) erhält, das die Ausgänge beider UND-Gatter (46a, 46b) einem ODER-Gatter (47) zugeführt sind, an dessen Ausgang das modifizierte Leerlaufsignal (LL^*) gebildet ist, welches dem einen Eingang eines nachgeschalteten UND-Gatters (48) zugeführt ist, dessen anderem Eingang ein die Bedingung RWist > RWmin erfüllendes Signal zugeführt ist.

25. Einrichtung nach Anspruch 23 oder 24, dadurch gekennzeichnet, daß das Ausgangssignal des das modifizierte Leerlaufsignal (LL^*) zusammen mit der Bedingung RWist > RWmin verarbeitenden UND-Gatters (48) einer Verzögerungsschaltung (49) zugeführt ist, der zur Umschaltung auf den Notfahrbetrieb ein bistabiles Flipflop (50) nachgeschaltet ist, dessen Ausgang entweder die Stellregelung des Regelwegs auf die Notfahrblöcke (44, 52) umschaltet oder den Steller (48) für den Regelweg (RW) auf einen redundanten Stellregler (46') umschaltet.

26. Einrichtung nach Anspruch 25, dadurch gekennzeichnet, daß das Sicherheitsfall-Ausgangssignal des Flipflops (50) dem Hauptrechner (30) zugeführt ist.

27. Einrichtung nach einem oder mehreren der Ansprüche 18 bis 26, dadurch gekennzeichnet, daß dem Hauptregler (30) eine eigene Sicherheitsüberwachungsschaltung (Watchdog 30a) zugeordnet ist, deren Ausgangssignal unmittelbar die Stellregelungsumschaltung oder die Umschaltung auf den redundanten Stellregler (36) bewirkt.

28. Einrichtung nach einem der Ansprüche ₂₅ bis 27, dadurch gekennzeichnet, daß die Rücksetzung des Flipflops (50) zur Rückschaltung in den Normalbetrieb aus dem Notfahrbetrieb bei Wegfall des modifizierten Leerlaufsignals (LL^*) sowie, über ein ODER-Gatter (51) bei Vorliegen _, einer Starthysteresebedingung durch den Starthystereseblock (52) erfolgt.

29. Einrichtung nach einem oder mehreren der Ansprüche 18 bis 28, dadurch gekennzeichnet, daß eine überwachungsschaltung (58) für den Regelweggeber vorgesehen ist, die bei dessen Ausfall auf einen aus dem Ausgang des Stellreglers (36) ein simuliertes Regelwegistwertsignal (RWist^*) erzeugende Schaltung (60) umschaltet.

30. Sicherheits- und Notfahreinrichtung für eine Brennkraftmaschine mit Selbstzündung, wobei zur übergeordneten Systemüberwachung fortlaufend Betreibszustandssignale der Brennkraftmaschine (Fahrpedalstellung FFG-LL, Drehzahl N, Bremspedalstellungs- oder Bremslichtsignal BS, Istwert oder Regelstängenposition RWist) erfaßt, verglichen und zur Brennkraftmaschinenabschaltung oder Notfahrbetrieb ausgewertet werden, insbesondere nach einem oder mehreren der Ansprüche 18 bis 28, zur Durchführung des Verfahrens nach einem oder mehreren der Ansprüche 11 bis 14, dadurch gekennzeichnet, daß eine Vergleichsschaltung (67) vorgesehen ist, die die Regelabweichung, die auch dem Stellregler (36) zugeführt ist, zusammen mit der Reglerausgangslage zur Erfassung von ausgangsseitigen Anschlagpositionen des mit einem I-Anteil behafteten Stellregler (36) überwacht und dann auf einen (redundanten) Ersatzregler (66) umschaltet, wenn der Normalregler (36) bei für eine vorgegebene Zeitdauer (f) vorherrschender Regelabweichung anschlagpositionsfrei verbleibt.

31. Einrichtung nach Anspruch 30, dadurch gekennzeichnet, daß bei Umschaltung auf den Ersatzregler für den Notfahrbetrieb dem Normalregler (36) ein Festsollwert zuführbar ist bei fortdauernder Überwachung der Reglerausgangslage derart, daß bei Auftreten einer vorgegebenen Anzahl von Anschlagpositionen am Ausgang des Normalreglers (36) auf diesen für den weiteren Betrieb rückgeschaltet wird.

32. Einrichtung nach Anspruch 30 oder 31, dadurch gekennzeichnet, daß bei Umschalten auf den Ersatzregler (66) diesem von den Schaltungsblöcken (44, 52) des Notfahrzweigs ein Regelweg-Notfahrbetriebs-Sollsignal (71) zugeführt ist.

33. Sicherheits- und Notfahreinrichtung für eine Brennkraftmaschine mit Selbstzündung, wobei zur übergeordneten Systemüberwachung fortlaufend Betriebszustandssignale der Brennkraftmaschine (Fahrpedalstellung FFG-LL, Drehzahl N, Bremspedalstellungs- oder Bremslichtsignal BS, Istwert oder Regelstangenposition Rwist) erfaßt, verglichen und zur Brennkraftmaschinenabschaltung oder Notfahrbetrieb ausgewertet werden, insbesondere nach einem oder mehreren der Ansprüche 18 bis 32, zur Durchführung des Verfahrens nach einem der Ansprüche 15 bis 16, dadurch gekennzeichnet, daß zur Vermeidung des Auftretens eines Sicherheitsfalls bei gleichzeitiger Brems- und Fahrpedalbetätigung das zeitlich aufeinanderfolgende Auftreten von Brems- und Fahrpedalsignalen (BS; FFG-LL) erfassende Schaltungsblöcke (62, 63) vorgesehen sind.

34. Einrichtung nach Anspruch 33, dadurch gekennzeichnet, daß dem einen Eingang eines an seinem Ausgang ein Sicherheitsfall-Signal erzeugenden UND-Gatter 64) ein nicht die Leerlaufposition betreffendes Fahrpedalstellungssignal (FFG-LL) und dem anderen Eingang von den Zeitordnungsblöcken (62, 63) beeinflußte Signale zugeführt sind und daß Schaltungsmittel vorgesehen sind, die nach Ablauf einer vorgegebenen Wartezeit (Tw) die Einspritzmenge rampenförmig bis zur Erreichung einer vorgegebenen Sicherheitsdrehzahl reduzierend auf diese Drehzahl so lange regeln, bis nach Aufhebung des Sicherheitsfalls rampenförmig auf die Normaleinspritzmenge hochgeregelt wird, wobei diese Schaltungsmittel einschließlich des Sicherheitsfall-Erkennungsmittels (62, 63, 64, 65) innerhalb des Hauptrechners (30) realisiert wird.

Zeichnung