DE19940043A1 - Ausfallsicherheitssystem für Brennkraftmaschine - Google Patents

Abstract

Ein Ausfallsicherheitssystem für eine in einem Kraftfahrzeug angebrachte Brennkraftmaschine. Das Ausfallsicherheitssystem enthält eine Vorrichtung zum Steuern der Brennkraftmaschine in der Weise, daß sie Ausgangsleistung erzeugt. Eine Erfassungsvorrichtung erfaßt einen Betriebszustand der Steuervorrichtung, um ein diesen Betriebszustand angebendes Erfassungssignal zu erzeugen. Eine Steuereinheit ist in der Weise programmiert, daß sie (a) anhand des Erfassungssignals von der Betriebszustand-Erfassungsvorrichtung beurteilt, daß eine Anomalie in der Steuervorrichtung vorliegt, um ein erstes Beurteilungsergebnis zu erzeugen, (b) die Steuervorrichtung in einen Ausfallsicherheitszustand versetzt, wenn das erste Beurteilungsergebnis erzeugt wird, (c) beurteilt, daß ein Befehl zum Beenden des Ausfallsicherheitszustandes vorliegt, um ein zweites Beurteilungsergebnis zu erzeugen, (d) beurteilt, daß das Fahrzeug stillsteht, um ein drittes Beurteilungsergebnis zu erzeugen, und (e) den Ausfallsicherheitszustand für die Steuervorrichtung beendet, wenn sowohl das zweite als auch das dritte Beurteilungsergebnis vorliegen.

Description

Die Erfindung betrifft das Gebiet der Ausfallsicherheits­ systeme in einem elektronischen Steuersystem einer Brenn­ kraftmaschine und insbesondere ein verbessertes Ausfall­ sicherheitssystem, mit dem ein Ausfallsicherheitszustand richtig erhalten werden kann.

Die meisten Kraftfahrzeuge sind mit einem elektronischen Steuersystem ausgerüstet, das ein eine Brennkraftmaschine umfassendes Brennkraftmaschinenleistung-Abgabesystem elektronisch steuert. Die Brennkraftmaschine enthält eine Vorrichtung, die ihre Ausgangsleistung steuert, indem sie beispielsweise entweder die Kraftstoffeinspritzung (etwa über eine elektronisch gesteuerte Drosselklappenvorrich­ tung oder ein Kraftstoffeinspritzventil), den Zündzeit­ punkt (etwa über eine Zündkerze) oder die Brennkraftma­ schinenleerlaufdrehzahl (etwa über ein Hilfsluft-Steuer­ ventil) steuert.

Das elektronische Steuersystem ist gewöhnlich mit einem Ausfallsicherheitssystem versehen, das so beschaffen ist, daß es die die Brennkraftmaschinenausgangsleistung steu­ ernde Vorrichtung in einen Ausfallsicherheitszustand oder -modus versetzt, wenn festgestellt wird, daß in der die Brennkraftmaschinenausgangsleistung steuernden Vorrich­ tung eine Anomalie oder ein Problem auftritt. In diesem Ausfallsicherheitszustand wird beispielsweise die Brenn­ kraftmaschinenausgangsleistung auf einen bestimmten niedrigen Pegel abgesenkt, indem der Öffnungsgrad einer Drosselklappe der elektronisch gesteuerten Drosselklap­ penvorrichtung fixiert wird und die vom Kraftstoffein­ spritzventil eingespritzte Kraftstoffmenge minimal ge­ macht wird oder indem der Zündzeitpunkt der Zündkerze verzögert wird.

In dem obigen herkömmlichen Ausfallsicherheitssystem wird der Ausfallsicherheitszustand für die Brennkraftmaschi­ nenausgangsleistung-Steuervorrichtung entsprechend den Umständen beendet, beispielsweise dann, wenn das Problem aufgrund der Reparatur der Brennkraftmaschinenausgangs leistung-Steuervorrichtung in einer Reparaturwerkstätte beseitigt worden ist. Es ist wünschenswert, daß der Ausfallsicherheitszustand nicht beendet wird, wenn dieser Zustand erforderlich ist, um eine sichere Steuerung des Motors zu erzielen.

Der Erfindung liegt die Aufgabe zugrunde, ein verbesser­ tes Ausfallsicherheitssystem für Fahrzeugbrennkraftma­ schinen zu schaffen, mit dem die Sicherheit gegenüber herkömmlichen Ausfallsicherheitssystemen verbessert werden kann, das einen Ausfallsicherheitszustand für eine elektronisch gesteuerte Vorrichtung geeignet beenden kann, um die Sicherheit der Steuerung des Brennkraftma­ schinenbetriebs zu verbessern, und das einen Ausfallsi­ cherheitszustand für eine elektronisch gesteuerte Brenn­ kraftmaschinenausgangsleistung-Steuervorrichtung (beispielsweise eine elektronisch gesteuerte Drosselklap­ penvorrichtung) nur dann beendet, wenn dadurch kein Problem entsteht.

Diese Aufgabe wird gelöst durch ein Ausfallsicherheitssy­ stem für eine Fahrzeug-Brennkraftmaschine nach Anspruch 1 und durch ein Verfahren zum Steuern eines Ausfallsicher­ heitssystem für eine Fahrzeug-Brennkraftmaschine nach Anspruch 7. Weiterbildungen der Erfindung sind in den abhängigen Ansprüchen angegeben.

Weitere Merkmale und Vorteile der Erfindung werden deut­ lich beim Lesen der folgenden Beschreibung einer bevor­ zugten Ausführung, die auf die Zeichnung Bezug nimmt; es zeigen:

Fig. 1 einen Blockschaltplan einer Ausführung eines Ausfallsicherheitssystems der Erfindung; und

Fig. 2 einen Ablaufplan einer Steuerroutine zum Beenden eines Ausfallsicherheitszustands, die in dem Aus­ fallsicherheitssystem nach Fig. 1 ausgeführt wird.

Wie in Fig. 1 gezeigt ist, ist ein elektronisches Steuer­ system E in einem Fahrzeug angebracht, um ein System zur Abgabe von Brennkraftmaschinenleistung, das eine (nicht gezeigte) Brennkraftmaschine und eine Brennkraftmaschi­ nenausgangsleistung-Steuervorrichtung 2 umfaßt, elektro­ nisch in der Weise zu steuern, daß die Brennkraftmaschine Leistung erzeugt. Im vorliegenden Fall handelt es sich bei dem Fahrzeug um ein Kraftfahrzeug. Die Brennkraftma­ schinenausgangsleistung-Steuervorrichtung 2 umfaßt eine Kraftstoffeinspritz-Steuereinrichtung (wie etwa eine elektronisch gesteuerte Drosselklappenvorrichtung oder ein Kraftstoffeinspritzventil), eine Zündzeitpunkt-Steu­ ereinrichtung (wie etwa eine Zündkerze) und eine Motor­ leerlaufdrehzahl-Steuereinrichtung (wie etwa ein Hilfs­ luft-Steuerventil). Die elektronisch gesteuerte Drossel­ klappenvorrichtung enthält eine elektronisch gesteuerte Drosselklappe zum Steuern der an die (nicht gezeigten) Zylinder der Brennkraftmaschine gelieferten Luftdurch­ flußmenge. Das Kraftstoffeinspritzventil dient der Ein­ spritzung von Kraftstoff in die Zylinder. Die Zündkerze dient dem Zünden des Luft-/Kraftstoffgemischs im entspre­ chenden Zylinder der Brennkraftmaschine. Das Hilfsluft- Steuerventil ist in einer die Drosselklappe umgehenden Hilfsluftdurchflußleitung vorgesehen.

Das elektronische Steuersystem E umfaßt eine Steuerein­ heit 1, die Steuersignale für die elektronische Steuerung der Brennkraftmaschine und der Brennkraftmaschinenaus­ gangsleistung-Steuervorrichtung 2 ausgibt. Die Steuerein­ heit 1 bildet einen Teil eines Ausfallsicherheitssystems F und steuert elektronisch das Ausfallsicherheitssystem K. Das Ausfallsicherheitssystem F ist in der in Fig. 1 gezeigten Ausführung für die Brennkraftmaschinenausgangs­ leistung-Steuervorrichtung 2 vorgesehen. Das Ausfallsi­ cherheitssystem wird für den Fall beschrieben, in dem die Brennkraftmaschinenausgangsleistung-Steuervorrichtung 2 die elektronisch gesteuerte Drosselklappenvorrichtung ist. Das Ausfallsicherheitssystem F umfaßt eine Erfas­ sungsvorrichtung 3, die so beschaffen ist, daß sie einen Betriebszustand der Brennkraftmaschinenausgangsleistung- Steuervorrichtung 2 erfaßt. Beispielsweise ist die Erfas­ sungsvorrichtung 3 ein Drosselklappenstellungs- oder Drosselklappenöffnungsgrad-Sensor zum Erfassen des Öff­ nungsgrades der Drosselklappe der elektronisch gesteuer­ ten Drosselklappenvorrichtung.

In der Steuereinheit 1 ist ein Anomalie-Beurteilungsab­ schnitt 1B vorgesehen, der so beschaffen ist, daß er ein den Öffnungsgrad der Drosselklappe darstellendes Signal, das von der Erfassungsvorrichtung 3 geliefert wird, empfängt. Der Anomalie-Beurteilungsabschnitt 1B beur­ teilt, ob eine spezifizierte Anomalie der Brennkraftma­ schinenausgangsleistung-Steuervorrichtung 2 (z. B. ein Problem in der elektronisch gesteuerten Drosselklappen­ vorrichtung) aufgetreten ist, entsprechend dem Signal von der Erfassungsvorrichtung 3.

In der Steuereinheit 1 ist ferner ein Ausfallsicherheits­ abschnitt 1A vorgesehen, der so beschaffen ist, daß er die Brennkraftmaschinenausgangsleistung-Steuervorrichtung 2 in einen Ausfallsicherheitszustand oder -modus ver­ setzt, wenn die Beurteilung durch den Anomalie-Beurtei­ lungsabschnitt 1B ergibt, daß eine spezifizierte Anomalie aufgetreten ist. Genauer wird von dem Ausfallsicherheits­ abschnitt 1A an eine Antriebsvorrichtung 2A der Brenn­ kraftmaschinenausgangsleistung-Steuervorrichtung 2 ein Ausfallsicherheitssignal beliefert. Die Antriebsvorrich­ tung 2A ist beispielsweise so beschaffen, daß sie den Öffnungsgrad einer (nicht gezeigten) Drosselklappe der elektronisch gesteuerten Drosselklappenvorrichtung auf einen bestimmten kleinen Pegel fixiert, um die vom Kraft­ stoffeinspritzventil eingespritzte Kraftstoffmenge mini­ mal zu machen, oder den Zündzeitpunkt der Zündkerze verzögert, um dadurch die Brennkraftmaschinenausgangslei­ stung auf einen sicheren niedrigen Pegel abzusenken, wenn sie das Ausfallsicherheitssignal vom Ausfallsicherheits­ abschnitt 1A empfängt. In dieser Ausführung ist die Antriebsvorrichtung 2A ein Elektromotor zum Antreiben der Drosselklappe der elektronisch gesteuerten Drosselklap­ penvorrichtung.

In der Steuereinheit 1 ist ein Beendigungsbefehl-Beurtei­ lungsabschnitt 1C vorgesehen, der so beschaffen ist, daß er beurteilt, ob ein Befehl zum Beenden des Ausfallsi­ cherheitszustandes für die Brennkraftmaschinenausgangs­ leistung-Steuervorrichtung eingegeben wird. Der Beendi­ gungsbefehl zum Beenden des Ausfallsicherheitszustandes kann an den Beendigungsbefehl-Beurteilungsabschnitt 1C durch viele verschiedene Verfahren geliefert werden. Beispielsweise wird der Beendigungsbefehl von einem Computer 4 an den Beendigungsbefehl-Beurteilungsabschnitt 1C geliefert, nachdem das Problem gelöst worden ist, weil die Brennkraftmaschinenausgangsleistung-Steuervorrichtung beispielsweise in einer Reparaturwerkstätte repariert worden ist. Andernfalls kann der Beendigungsbefehl an den Beendigungsbefehl-Beurteilungsabschnitt 1C dadurch gelie­ fert werden, daß zwischen an der Steuereinheit 1 vorgesehenen Testanschlüssen 5a, 5b in einem bestimmten Muster ein Kurzschluß erzeugt wird, wobei die Betriebsart der Steuereinheit bei jedem Herstellen eines Kurzschlus­ ses geändert wird. Der Beendigungsbefehl-Beurteilungsab­ schnitt 1C ist so beschaffen, daß er ein Signal ausgibt, das den Empfang des Beendigungsbefehls repräsentiert.

In der Steuereinheit 1 ist ferner ein Fahrzeugstillstand- Beurteilungsabschnitt 1E vorgesehen, der so geschaffen ist, daß er beurteilt, ob das Fahrzeug stillsteht. Ge­ nauer erzeugt der Fahrzeugstillstand-Beurteilungsab­ schnitt 1E ein Beurteilungsergebnis, daß das Fahrzeug stillsteht wenn die Fahrgeschwindigkeit des Fahrzeugs null ist, nachdem es beispielsweise von einem Fahrge­ schwindigkeitssensor 6 ein Erfassungssignal (das eine Fahrgeschwindigkeit von null angibt) empfangen hat. Das Beurteilungsergebnis, daß das Fahrzeug stillsteht, kann auch erhalten werden, wenn ein Neutralschalter 7 im Getriebe des Fahrzeugs geschlossen wird und von einer (nicht gezeigten) Neutralschalterzustand-Erfassungsvor­ richtung, die mit dem Neutralschalter 7 elektrisch ver­ bunden ist, ein Erfassungssignal, das den geschlossenen Zustand des Neutralschalters 7 angibt, empfangen wird. Der Neutralschalter 7 ist so beschaffen, daß er geschlos­ sen wird, wenn eine Wähleinrichtung oder ein Schalthebel für das Getriebe des Fahrzeugs sich in einer neutralen Position oder einer Leerlaufstellung befindet. Der Fahr­ zeugstillstand-Beurteilungsabschnitt 1E ist so beschaf­ fen, daß er ein Signal ausgibt, das angibt, daß das Fahrzeug stillsteht, wenn festgestellt wird, daß das Fahrzeug stillsteht.

In der Steuereinheit 1 ist ferner ein Ausfallsicherheit- Beendigungsabschnitt 1D vorgesehen, der so beschaffen ist, daß er den Ausfallsicherheitszustand für die Brenn­ kraftmaschinenausgangsleistung-Steuervorrichtung 2 nur dann beendet, wenn er sowohl das Signal vom Beendigungs­ befehl-Beurteilungsabschnitt 1C (das den Empfang des Beendigungsbefehls angibt) als auch das Signal vom Fahr­ zeugstillstand-Beurteilungsabschnitt 1E (das den Stillstand des Fahrzeugs angibt) empfängt. Mit anderen Worten, selbst wenn der Beendigungsbefehl für die Beendi­ gung des Ausfallsicherheitszustands vorliegt, erfolgt die Beendigung des Ausfallsicherheitszustands nicht, wenn das Fahrzeug fährt, d. h. eine von null verschiedene Ge­ schwindigkeit besitzt.

Nun wird mit Bezug auf den Ablaufplan von Fig. 2 eine Steuerung zum Beendigen des Ausfallsicherheitszustandes im Ausfallsicherheitssystem F beschrieben.

In einem Schritt S1 wird beurteilt, ob der Ausfallsicher­ heitszustand in der Brennkraftmaschinenausgangsleistung- Steuervorrichtung 2 gesetzt worden ist oder nicht. Wenn die Beurteilung ergibt, daß kein Ausfallsicherheitszu­ stand gesetzt worden ist, ist die Steuerroutine beendet. Wenn die Beurteilung ergibt, daß der Ausfallsicherheits­ zustand gesetzt worden ist, geht die Routine weiter zum Schritt S2.

Im Schritt S2 beurteilt der Beendigungsbefehl-Beurtei­ lungsabschnitt 1C, ob der Beendigungsbefehl zum Beenden des Ausfallsicherheitszustandes vorliegt. Wenn festge­ stellt wird, daß kein Beendigungsbefehl vorliegt, ist die Steuerroutine ebenfalls beendet. Wenn der Beendigungsbe­ fehl-Beurteilungsabschnitt 1C beurteilt, daß der Beendi­ gungsbefehl vorliegt, geht die Steuerroutine weiter zum Schritt S3.

Im Schritt S3 beurteilt der Fahrzeugstillstand-Beurtei­ lungsabschnitt 1E, ob das Fahrzeug stillsteht. Wenn der Fahrzeugstillstand-Beurteilungsabschnitt 1E beurteilt, daß das Fahrzeug stillsteht, geht die Steuerroutine weiter zum Schritt S4, in dem der Ausfallsicherheits- Beendigungsabschnitt 1D den Ausfallsicherheitszustand der Brennkraftmaschinenausgangsleistung-Steuervorrichtung 2 beendet, woraufhin die Steuerroutine beendet ist. Wenn der Fahrzeugstillstand-Beurteilungsabschnitt 1E beur­ teilt, daß das Fahrzeug nicht stillsteht, ist die Steuer­ routine beendet. Mit anderen Worten, solange das Fahrzeug nicht stillsteht, wird der Ausfallsicherheitszustand der Brennkraftmaschinenausgangsleistung-Steuervorrichtung 2 nicht beendet.

Nun werden die Funktionsweise und die Wirkungen des Ausfallsicherheitssystems F als Ganzes beschrieben. In dem elektronischen Steuersystem E für die Brennkraftma­ schine gibt die Steuereinheit 1 an den Antriebsabschnitt 2A (z. B. den Elektromotor zum Antreiben der Drossel­ klappe) der Brennkraftmaschinenausgangsleistung-Steuer­ vorrichtung 2 (z. B. die elektronisch gesteuerte Drossel­ klappenvorrichtung mit der Drosselklappe) Steuersignale aus. Der Antriebsabschnitt 2A treibt die Brennkraftma­ schinenausgangsleistung-Steuervorrichtung 2 entsprechend den Steuersignalen an. Der Betriebszustand der Brenn­ kraftmaschinenausgangsleistung-Steuervorrichtung 2 wird durch die Erfassungsvorrichtung 3 erfaßt. Anhand des so erfaßten Betriebszustandes der Brennkraftmaschinenaus­ gangsleistung-Steuervorrichtung 2 kann der Anomalie- Beurteilungsabschnitt 1B beurteilen, ob die spezifizierte Anomalie oder das spezifizierte Problem in der Brenn­ kraftmaschinenausgangsleistung-Steuervorrichtung 2 auf­ tritt. Wenn beurteilt wird, daß die bestimmte Anomalie in der Brennkraftmaschinenausgangsleistung-Steuervorrichtung 2 auftritt, versetzt der Ausfallsicherheitsabschnitt 1A die Brennkraftmaschinenausgangsleistung-Steuervorrichtung 2 in den Ausfallsicherheitszustand, indem sie beispiels­ weise zwangsläufig die von der Brennkraftmaschine erzeugte Ausgangsleistung auf einen sicheren niedrigen Pegel absenkt.

Ein solcher Ausfallsicherheitszustand kann beendet wer­ den, indem in die Steuereinheit 1 der Beendigungsbefehl zum Beenden des Aufallsicherheitszustandes eingegeben wird. Der Beendigungsbefehl kann in die Steuereinheit 1 dadurch eingegeben werden, daß ein den Beendigungsbefehl darstellendes Signal vom Computer 4 geliefert wird oder daß zwischen den Testanschlüssen 5a, 5b in einem bestimm­ ten Muster Kurzschlüsse erzeugt werden. Selbst wenn der Beendigungsbefehl in den Beendigungsbefehl-Beurteilungs­ abschnitt 1C eingegeben wird, so daß der Beendigungsbe­ fehl-Beurteilungsabschnitt 1C beurteilt, daß der Beendi­ gungsbefehl vorliegt, kann der Ausfallsicherheits-Beendi­ gungsabschnitt 1D erfindungsgemäß den Ausfallsicherheits­ zustand der Brennkraftmaschinenausgangsleistung-Steuer­ vorrichtung 2 solange nicht beenden, bis der Fahrzeug­ stillstand-Beurteilungsabschnitt 1C bestätigt, daß das Fahrzeug stillsteht. Genauer wird der Ausfallsicherheits­ zustand durch den Fahrzeugstillstand-Beurteilungsab­ schnitt 1E nicht beendet, wenn das Fahrzeug nicht still­ steht, d. h. wenn die Fahrgeschwindigkeit nicht null ist oder wenn der Neutralschalter 7 nicht geschlossen ist.

Wenn daher das Fahrzeug fährt, kann der Ausfallsicher­ heitszustand der Brennkraftmaschinenausgangsleistung- Steuervorrichtung 2 selbst dann nicht beendet werden, wenn eine fehlerhafte Steuerung zum Beenden des Ausfall­ sicherheitszustandes ausgeführt wird oder wenn der Been­ digungsbefehl-Beurteilungsabschnitt 1C fehlerhaft beur­ teilt, daß der Beendigungsbefehl zum Beenden des Ausfall­ sicherheitszustandes vorliegt, etwa aufgrund eines Feh­ lers oder eines Rauschens im Steuerprogramm.

Selbstverständlich wird der Ausfallsicherheitszustand für eine Brennkraftmaschinenausgangsleistung-Steuervorrich­ tung 2 gewöhnlich bei einem Stillstand des Fahrzeugs beendet, beispielsweise nach der Reparatur der Brenn­ kraftmaschinenausgangsleistung-Steuervorrichtung 2 in einer Reparaturwerkstätte. Daher entstehen gewöhnlich in bezug auf die Beendigung des Ausfallsicherheitszustandes keine Probleme, auch wenn der Ausfallsicherheitszustand während der Fahrt des Fahrzeugs erfindungsgemäß nicht beendet werden kann.

Die gesamten Inhalte von JP P10-238417-A (eingereicht am 25. August 1998) sind hiermit durch Literaturhinweis eingefügt.

Obwohl die Erfindung oben mit Bezug auf eine bestimmte Ausführung der Erfindung beschrieben worden ist, ist die Erfindung nicht auf diese Ausführung eingeschränkt. Für den Fachmann sind Abwandlungen und Veränderungen an dieser Ausführung angesichts der obigen Lehren deutlich. Der Umfang der Erfindung ist durch die folgenden Ansprü­ che definiert.

Claims (7)

1. Ausfallsicherheitssystem für eine Fahrzeugbrenn­ kraftmaschine, mit
einer Vorrichtung (2), die die Brennkraftmaschine in der Weise steuert, daß sie Ausgangsleistung erzeugt,
einer Erfassungsvorrichtung (3) zum Erfassen eines Betriebszustandes der Steuervorrichtung (2), um ein den Betriebszustand darstellendes Erfassungssignal zu erzeugen, und
einer Steuereinheit (1), dadurch gekennzeichnet, daß die Steuereinheit in der Weise programmiert ist, daß sie
anhand des Erfassungssignals von der Erfassungs­ vorrichtung (3) beurteilt, daß in der Steuervorrichtung (2) eine Anomalie vorliegt, um ein erstes Beurteilungser­ gebnis zu erzeugen,
anhand des ersten Beurteilungsergebnisses die Steuervorrichtung (2) in einen Ausfallsicherheitszustand versetzt,
beurteilt, daß ein Befehl zum Beenden des Aus­ fallsicherheitszustands vorliegt, um ein zweites Beurtei­ lungsergebnis zu erzeugen,
beurteilt, daß das Fahrzeug stillsteht, um ein drittes Beurteilungsergebnis zu erzeugen, und
den Ausfallsicherheitszustand der Steuervorrich­ tung (2) beendet, wenn sowohl das zweite als auch das dritte Beurteilungsergebnis vorliegen.

2. Ausfallsicherheitssystem nach Anspruch 1, dadurch gekennzeichnet, daß
die Steuervorrichtung (2) eine elektronisch gesteuerte Drosselklappenvorrichtung umfaßt, wobei die in der Steuervorrichtung (2) auftretende Anomalie eine in der elektronisch gesteuerten Drosselklappenvorrichtung auftretende Anomalie enthält.

3. Ausfallsicherheitssystem nach Anspruch 1, dadurch gekennzeichnet, daß
die Steuervorrichtung (2) im Ausfallsicherheits­ zustand in der Weise gesteuert wird, daß sie die von der Brennkraftmaschine erzeugte Ausgangsleistung auf einen sicheren niedrigen Pegel absenkt.

4. Ausfallsicherheitssystem nach Anspruch 1, gekenn­ zeichnet durch
einen Fahrgeschwindigkeitssensor (6), der die Fahrgeschwindigkeit des Fahrzeugs erfaßt, wobei das dritte Beurteilungsergebnis erzeugt wird, wenn eine Fahrgeschwindigkeit von null erfaßt wird.

5. Ausfallsicherheitssystem nach Anspruch 1, gekenn­ zeichnet durch
einen Neutralschalter (7), der so beschaffen ist, daß er geschlossen wird, wenn ein Wählhebel für ein Getriebe in eine neutrale Stellung gestellt wird, wobei das dritte Beurteilungsergebnis erzeugt wird, wenn die Erfassungsvorrichtung (3) einen geschlossenen Neutral­ schalter (7) erfaßt.

6. Ausfallsicherheitssystem in einer Fahrzeug-Brenn­ kraftmaschine, mit
einer Vorrichtung (2), die die Brennkraftmaschine so steuert, daß sie Ausgangsleistung erzeugt, und
einer Erfassungsvorrichtung (3), die einen Be­ triebszustand der Steuervorrichtung (2) erfaßt, um ein den Betriebszustand darstellendes Erfassungssignal er­ zeugt, gekennzeichnet durch
eine Einrichtung (1B), die anhand des Erfassungs­ signals von der Betriebszustand-Erfassungsvorrichtung (3) beurteilt, daß in der Steuervorrichtung (2) eine Anomalie aufgetreten ist, um ein erstes Beurteilungsergebnis zu erzeugen,
eine Einrichtung (1A), die die Steuervorrichtung in einen Ausfallsicherheitszustand versetzt, wenn das erste Beurteilungsergebnis erzeugt wird,
eine Einrichtung (1, 1C), die beurteilt, daß ein Befehl zum Beenden des Ausfallsicherheitszustandes vor­ liegt, um ein zweites Beurteilungsergebnis zu erzeugen,
eine Einrichtung (1, 1E), die beurteilt, daß das Fahrzeug stillsteht, um ein drittes Beurteilungsergebnis zu erzeugen, und
eine Einrichtung (1, 1D), die den Ausfallsicher­ heitszustand für die Steuervorrichtung (2) beendet, wenn sowohl das zweite als auch das dritte Beurteilungsergeb­ nis vorliegen.

7. Verfahren zum Steuern eines Ausfallsicherheitssy­ stems für eine Fahrzeug-Brennkraftmaschine, wobei das Ausfallsicherheitssystem eine Vorrichtung (2) zum Steuern der Brennkraftmaschine in der Weise, daß sie Ausgangslei­ stung erzeugt, sowie eine Betriebszustand-Erfassungsvor­ richtung (3) enthält, die ein den Betriebszustand der Steuervorrichtung (2) darstellendes Erfassungssignal erzeugt, gekennzeichnet durch die folgenden Schritte:
Beurteilen, daß in der Steuervorrichtung (2) eine Anomalie auftritt, anhand des Erfassungssignals von der Betriebszustand-Erfassungsvorrichtung (3), um ein erstes Beurteilungsergebnis zu erzeugen,
Versetzen der Steuervorrichtung (2) in einen Ausfallsicherheitszustand, wenn das erste Beurteilungser­ gebnis erzeugt wird,
Beurteilen, daß ein Befehl zum Beenden des Aus­ fallsicherheitszustandes vorliegt, um ein zweites Beur­ teilungsergebnis zu erzeugen,
Beurteilen, daß das Fahrzeug stillsteht, um ein drittes Beurteilungsergebnis zu erzeugen, und
Beenden des Ausfallsicherheitszustandes für die Steuervorrichtung (2), wenn sowohl das zweite als auch das dritte Beurteilungsergebnis vorliegen.