Login| Sign Up| Help| Contact|

Patent Searching and Data


Title:
METHOD FOR DIAGNOSING A FUNCTIONALITY USING DISCRETE VALUES OR DISCRETE CLASSES OF VALUES ON THE INPUT OR OUTPUT SIDE
Document Type and Number:
WIPO Patent Application WO/2019/179860
Kind Code:
A1
Abstract:
The invention relates to a method for diagnosing functionality which has an input or output signal with discrete values or discrete classes of values which are observable variables of a diagnostic functionality, wherein the signal (13) to be diagnosed is the input or output signal which has the values or the classes of values of a cardinality N, wherein N error counters are provided, and the method comprises the following steps: providing a sum signal (18) from the sum of the signals from the error counters (16, 17); if the value or a class of values is erroneous, increasing the signal of the error counter (16, 17) assigned to the erroneous value or the erroneous class; if the value or the class is correct, decreasing the signal of the error counter (16, 17) assigned to the value or the class; if the sum signal (18) exceeds a predefined limiting value (33), outputting an error message from the functionality.

Inventors:
TIBORI, Tamás Tibold (Daróci út 1-3, 1113 Budapest, 1113, HU)
Application Number:
EP2019/056368
Publication Date:
September 26, 2019
Filing Date:
March 14, 2019
Export Citation:
Click for automatic bibliography generation   Help
Assignee:
THYSSENKRUPP PRESTA AG (Essanestraße 10, 9492 Eschen, 9492, LI)
THYSSENKRUPP AG (ThyssenKrupp Allee 1, Essen, 45143, DE)
International Classes:
G05B23/02
Foreign References:
US8898364B22014-11-25
EP0708233A21996-04-24
DE102006028695A12007-02-22
Other References:
None
Attorney, Agent or Firm:
THYSSENKRUPP INTELLECTUAL PROPERTY GMBH (ThyssenKrupp Allee 1, Essen, 45143, DE)
Download PDF:
Claims:
io

Patentansprüche

1. Verfahren zur Diagnose einer Funktionalität, die ein Eingangs- oder

Ausgangssignal mit diskreten Werten oder diskreten Klassen von Werten aufweist, die beobachtbare Größen einer Diagnosefunktionalität sind, wobei das zu diagnostizierende Signal (13) das Eingangs- oder

Ausgangssignal ist, das die Werte oder die Klassen von Werten eine Kardinalität N aufweisen, dadurch gekennzeichnet, dass N Fehlerzähler vorgesehen sind, und das Verfahren folgende Schritte umfasst:

• Bereitstellen eines Summensignals (18) aus der Summe der Signale der Fehlerzähler (16,17);

• Falls ein Wert oder eine Klasse an Werten fehlerhaft ist, Erhöhung des Signals des dem fehlerhaften Wert oder der fehlerhaften Klasse zugeordneten Fehlerzählers (16,17);

• Falls der Wert oder die Klasse korrekt ist, Heruntersetzen des Signals des dem Wert oder der Klasse zugeordneten Fehlerzählers (16,17);

• Falls das Summensignal (18) einen vorgegeben Grenzwert (33)

überschreitet, Ausgeben einer Fehlermeldung der Funktionalität.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die

Verteilung der Eingangswerte oder Eingangsklassen nicht mit der

Verteilung der Werte des Ausgangssignals oder der Ausgangsklassen übereinstimmt.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass in eine Klasse Eingangswerte oder Ausgangswerte gruppiert werden, auf die eine Funktion der Funktionalität gleich wirkt.

4. Verfahren einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das Erhöhen und/oder das Heruntersetzen des Signals des Fehlerzählers (16,17) zeitlich kontinuierlich erfolgt.

5. Verfahren einem Anspruch 4, dadurch gekennzeichnet, dass das

Erhöhen und/oder das Heruntersetzen des Signals des Fehlerzählers (16,17) linear erfolgt.

6. Verfahren einem Anspruch 4 oder 5, dadurch gekennzeichnet, dass das Heruntersetzen des Signals des Fehlerzählers (16,17) unmittelbar auf Null erfolgt.

7. Verfahren einem der vorhergehenden Ansprüche, dadurch gekenn- zeichnet, dass die Funktionalität eine Sicherheitsschalteinrichtung eines

Motors (9) umfasst.

8. Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass das zu

diagnostizierende Signal (13) das Ausgangssignal der Sicherheitsschalt- einrichtung ist. 9. Verfahren nach Anspruch 7 oder 8, dadurch gekennzeichnet, dass die

Sicherheitsschalteinrichtung eine Winkelgeschwindigkeit des Motors (9) überprüft, und verhindert, dass ein Schaltelement in einem Regelkreis des Motors (9) bei einer Winkelgeschwindigkeit, die den zulässigen Grenzwert (14) überschreitet, schaltet. 10. Verfahren einem der vorhergehenden Ansprüche 8 bis 9, dadurch

gekennzeichnet, dass die Kardinalität mindestens zwei ist und der Wert ein Überschreiten des zulässigen Grenzwertes (14) wiedergibt.

11. Verfahren einem der vorhergehenden Ansprüche 8 bis 10, dadurch

gekennzeichnet, dass folgende weitere Schritte vorgesehen sind : · Messen der Winkelgeschwindigkeit und Überprüfen des Wertes des

Ausgangssignals der Sicherheitsschalteinrichtung (13);

• Falls der Wert des Ausgangssignals fehlerhaft ist, Erhöhen des Signals des dem fehlerhaften Wert zugeordneten Fehlerzählers (16,17); • Falls der Wert korrekt ist, Heruntersetzen des Signals des dem Wert zugeordneten Fehlerzählers (16,17);

12. Verfahren einem der vorhergehenden Ansprüche 8 bis 11, dadurch

gekennzeichnet, dass das Schaltelement ein Relais oder MOSFET ist. 13. Verfahren einem der vorhergehenden Ansprüche 8 bis 12, dadurch

gekennzeichnet, dass das Schaltelement Teil eines oder mehrere Inverters ist.

14. Verfahren einem der vorhergehenden Ansprüche 8 bis 13, dadurch

gekennzeichnet, dass das Schaltelement von einem oder mehreren Steuergeräten betrieben wird.

15. Verfahren einem der vorhergehenden Ansprüche 8 bis 14, dadurch

gekennzeichnet, dass in dem Regelkreis des Motors ein Hauptkontroller und ein zusätzlicher Mikrokontroller vorgesehen sind, die unabhängig voneinander die Winkelgeschwindigkeit messen. 16. Sicherheitsschalteinrichtung für einen Motor (9) mit einer Diagnose- funktionalität, die dazu eingerichtet ist, das Verfahren nach einem der Ansprüche 1 bis 15 durchzuführen.

17. Elektromechanische Kraftfahrzeuglenkung mit einem Servomotor

aufweisend eine Sicherheitsschalteinrichtung nach Anspruch 16. 18. Steer-by-Wire-Lenksystem für ein Kraftfahrzeug mit einem Servomotor aufweisend eine Sicherheitsschalteinrichtung nach Anspruch 16.

Description:
Verfahren zur Diagnose einer Funktionalität mit diskreten Werten oder diskreten Klassen von Werten auf der Eingangs- oder Ausgangsseite

Die vorliegende Erfindung betrifft ein Verfahren zur Diagnose einer

Funktionalität mit den Merkmalen des Oberbegriffs des Anspruchs 1, eine Sicherheitsschalteinrichtung für einen Motor mit einer Diagnosefunktionalität, die dazu eingerichtet ist das Verfahren durchzuführen, sowie einer elektro- mechanische Kraftfahrzeuglenkung und einem Steer-by-Wire-Lenksystem für ein Kraftfahrzeug mit einem Servomotor, der eine solche Sicherheitsschalt- einrichtung aufweist.

In sicherheitsrelevanten Applikationen sowie Software-Implementierungen von Diagnosefunktionen im Automobilbereich können Fehler während des Fahr- zeugbetriebs auftreten. Es sind daher Maßnahmen zur Fehlererkennung und zur geeigneten Reaktion auf erkannte Fehler notwendig. Bei in Kraftfahrzeug- lenkungen eingesetzten Elektromotoren ist die für das Erkennen eines Fehlers vorgesehene Zeitspanne herkömmlicherweise sehr kurz. Ein Abschalten eines fehlerbehafteten Elektromotors erfolgt daher auch bei einem Vorliegen von instabilen Signalen, die gar keinen kritischen Fehler aufweisen. Dieses

Verhalten ist unerwünscht.

Es ist deshalb Aufgabe der vorliegenden Erfindung, ein verbessertes und vor allem stabiles Verfahren zur Diagnose einer Funktionalität anzugeben.

Diese Aufgabe wird von einem Verfahren zur Diagnose einer Funktionalität mit den Merkmalen des Anspruchs 1, einer Sicherheitsschalteinrichtung für einen Motor mit einer Diagnosefunktionalität, die dazu eingerichtet ist das Verfahren durchzuführen, sowie einer elektromechanische Kraftfahrzeuglenkung und einem Steer-by-Wire-Lenksystem für ein Kraftfahrzeug mit einem Servomotor, der eine solche Sicherheitsschalteinrichtung aufweist, gelöst. In den Unter- ansprüchen sind vorteilhafte Weiterbildungen der Erfindung genannt.

Demnach ist ein Verfahren zur Diagnose einer Funktionalität, die ein Eingangs- oder Ausgangssignal mit diskreten Werten oder diskreten Klassen von Werten aufweist, die beobachtbare Größen einer Diagnosefunktionalität sind, vorge- sehen, wobei das zu diagnostizierende Signal das Eingangs- oder Ausgangs- signal ist, und wobei die Werte oder die Klassen von Werten eine Kardinalität N aufweisen, und N Fehlerzähler vorgesehen sind. Das Verfahren umfasst folgende Schritte:

• Bereitstellen eines Summensignals aus der Summe der Signale der

Fehlerzähler;

• Falls ein Wert oder eine Klasse an Werten fehlerhaft ist, Erhöhung des Signals des dem fehlerhaften Wert oder der fehlerhaften Klasse

zugeordneten Fehlerzählers;

• Falls der Wert oder die Klasse korrekt ist, Heruntersetzen des Signals des dem Wert oder der Klasse zugeordneten Fehlerzählers;

• Falls das Summensignal einen vorgegeben Grenzwert überschreitet,

Ausgeben einer Fehlermeldung der Funktionalität.

Das Verfahren verleiht der Funktionalität die Fähigkeit, ein instabiles Eingangs- oder Ausgangssignal zu managen. Die Fehlererkennung ist stabil gegenüber transienten Fehlern. Eine Stabilität der Funktionalität wird dadurch erreicht, dass eine gewisse Anzahl an fehlerhaften Werten des relevanten Signals oder der Klassen zugelassen wird, bevor die Funktionalität als fehlerhaft angesehen wird.

Die Fehlerdetektionszeit von konsequent falschen Werten oder Klassen von Werten ist dabei äquivalent zu der Fehlerdetektionszeit einer trivialen

Diagnoseanwendung, deren Kardinalität 1 ist, mit einer Fehlererkennung, die auf dem Vorliegen eines einzelnen Fehlers basiert.

Vorzugsweise stimmt die Verteilung der Eingangswerte oder Eingangsklassen nicht mit der Verteilung der Werte des Ausgangssignals oder der Ausgangs- klassen überein.

Die Klassen sind bevorzugt so definiert, dass in einer Klasse Eingangswerte oder Ausgangswerte gruppiert werden, auf die eine Funktion der Funktionalität gleich wirkt.

Vorzugsweise erfolgt das Erhöhen und/oder das Heruntersetzen des Signals des Fehlerzählers zeitlich kontinuierlich, insbesondere linear.

Es kann aber auch vorgesehen sein, dass das Signals des Fehlerzählers bei vorliegen eines korrekten Wertes unmittelbar auf Null gesetzt wird.

Die Anzahl der Werte oder Klassen an Werten ist bevorzugt gering,

insbesondere ist die Kardinalität kleiner als 4.

In einer bevorzugten Ausführungsform umfasst die Funktionalität eine

Sicherheitsschalteinrichtung eines Motors, wobei vorzugsweise das zu diagnostizierende Signal das Ausgangssignal der Sicherheitsschalteinrichtung ist.

Vorteilhafterweise überprüft die Sicherheitsschalteinrichtung eine Winkel- geschwindigkeit des Motors und verhindert, dass ein Schaltelement in einem Regelkreis des Motors bei einer Winkelgeschwindigkeit oberhalb eines zulässigen Grenzwertes öffnet oder bei einer Winkelgeschwindigkeit unterhalb eines zulässigen Grenzwertes schließt. Dabei ist die Kardinalität bevorzugt zwei und der Wert gibt ein Überschreiten oder ein Unterschreiten des zulässigen Grenzwertes wieder. Falls die Wahrscheinlichkeitsdichtefunktion der Eingangswerte positive über den gesamten Wertebereich ist, hat ein

systematischer Fehler eine begrenzte Wahrscheinlichkeit detektiert zu werden, auch wenn der Fehler nur bei seltenen Kombinationen von Eingangswerten auftritt.

Es können folgende weitere Schritte vorgesehen sein :

• Messen der Winkelgeschwindigkeit und Überprüfen des Wertes des

Ausgangssignals der Sicherheitsschalteinrichtung; • Falls der Wert des Ausgangssignals fehlerhaft ist, Erhöhen des Signals des dem fehlerhaften Wert zugeordneten Fehlerzählers;

• Falls der Wert korrekt ist, Heruntersetzen des Signals des dem Wert zugeordneten Fehlerzählers;

Das Schaltelement ist vorzugsweise ein Relais oder ein MOSFET. Es kann Teil eines oder mehrere Inverter sein und/oder von einem oder mehreren Steuer- geräten betrieben werden.

Es ist bevorzugt, dass in dem Regelkreis des Motors ein Hauptkontroller und ein zusätzlicher Mikrokontroller vorgesehen sind, die unabhängig voneinander die Winkelgeschwindigkeit messen, wobei insbesondere der Hauptkontroller den zusätzlichen Mikrokontroller als Teil der Sicherheitsschalteinrichtung überprüft.

Es ist zudem eine Sicherheitsschalteinrichtung für einen Motor mit einer Diagnosefunktionalität vorgesehen, wobei die Diagnosefunktionalität dazu eingerichtet ist, das zuvor beschriebene Verfahren durchzuführen.

Weiterhin ist eine elektromechanische Kraftfahrzeuglenkung und ein Steer-by- Wire-Lenksystem für ein Kraftfahrzeug mit einem Servomotor aufweisend eine solche Sicherheitsschalteinrichtung vorgesehen.

Eine bevorzugte Ausführungsform der Erfindung wird nachfolgend anhand der Zeichnungen näher erläutert. Gleichartige oder gleichwirkende Bauteile werden in den Figuren mit denselben Bezugszeichen bezeichnet. Es

zeigen :

Fig. 1 : eine schematische Darstellung einer elektromechanischen

Kraftfahrzeugservolenkung, sowie

Fig. 2: eine Darstellung eines zeitlichen Verlaufs einer Winkel- geschwindigkeit eines Motors der elektromechanischen Kraftfahrzeugservolenkung mit erfindungsgemäßer Fehlererkennung einer Sicherheitsschalteinrichtung.

In der Figur 1 ist eine elektromechanische Kraftfahrzeugservolenkung 1 mit einem Lenkrad 2, das mit einer oberen Lenkwelle 3 drehfest gekoppelt ist, schematisch dargestellt. Über das Lenkrad 2 bringt der Fahrer ein ent- sprechendes Drehmoment als Lenkbefehl in die Lenkwelle 3 ein. Das

Drehmoment wird dann über die obere Lenkwelle 3 und untere Lenkwelle 4 auf ein Lenkritzel 5 übertragen. Das Ritzel 5 kämmt in bekannter Weise mit einem Zahnsegment einer Zahnstange 6. Die Zahnstange 6 ist in einem Lenkungsgehäuse in Richtung ihrer Längsachse verschieblich gelagert. An ihrem freien Ende ist die Zahnstange 6 mit Spurstangen 7 über nicht dargestellte Kugelgelenke verbunden. Die Spurstangen 7 selbst sind in bekannter Weise über Achsschenkel mit je einem gelenkten Rad 8 des

Kraftfahrzeugs verbunden. Eine Drehung des Lenkrades 2 führt über die Verbindung der Lenkwelle 3 und des Ritzels 5 zu einer Längsverschiebung der Zahnstange 6 und damit zu einer Verschwenkung der gelenkten Räder 8. Die gelenkten Räder 8 erfahren über eine Fahrbahn 80 eine Rückwirkung, die der Lenkbewegung entgegen wirkt. Zum Verschwenken der Räder 8 ist folglich eine Kraft erforderlich, die ein entsprechendes Drehmoment am Lenkrad 2 erforderlich macht. Ein Elektromotor 9 einer Servoeinheit 10 ist vorgesehen, um den Fahrer bei dieser Lenkbewegung zu unterstützen.

Die obere Lenkwelle 3 und die untere Lenkwelle 4 sind dreheleastisch über einen nicht gezeigten Drehstab miteinander gekoppelt. Eine Drehmoment- sensoreinheit 11 erfasst die Verdrehung der oberen Lenkwelle 3 gegenüber der unteren Lenkwelle 4 als ein Maß des an der Lenkwelle 3 oder des Lenk- rades 2 manuell ausgeübten Drehmomentes. In Abhängigkeit des von der Drehmomentsensoreinheit 11 gemessen Drehmoments 111 stellt die Servo- einheit 10 eine Lenkunterstützung für den Fahrer bereit. Die Servoeinheit 10 kann dabei als Hilfskraftunterstützungseinrichtung 10, 100, 101 entweder mit einer Lenkwelle 3, dem Lenkritzel 5 oder der Zahnstange 6 gekoppelt sein. Die jeweilige Hilfskraftunterstützung 10, 100, 101 trägt ein Hilfskraftmoment in die Lenkwelle 3, das Lenkritzel 5 und/oder in die Zahnstange 6 ein, wodurch der Fahrer bei der Lenkarbeit unterstützt wird. Die drei unterschiedlichen in Figur 1 dargestellten Hilfskraftunterstützungseinrichtungen 10, 100, 101 zeigen alternative Positionen für deren Anordnung. Üblicherweise ist nur eine einzige der gezeigten Positionen mit einer Hilfskraftunterstützung belegt. Die Servoeinheit 10 weist zur Berechnung der Lenkunterstützung eine

elektronische Steuereinheit 12 auf. Der Elektromotor 9 verfügt über eine Anzahl an Phasenwindungen. Die Phasenwindungen des Elektromotors werden von der Steuereinheit 12 angesteuert. Den Phasenwindungen ist jeweils mindestens ein Schaltelement zugeordnet. Als Schaltelement ist bevorzugt ein elektronischer Schalter, üblicherweise ein elektronischer Schalter aus einem Halbleitermaterial, vorgesehen. Die Wahl eines geeigneten Halbleiter- Bauelements ergibt sich durch das erwünschte Schaltverhalten. Als Halbleiter- bauelemente werden vorzugsweise MOSFET verwendet, bei höheren

Spannungen von > 50 V können aber auch andere Bauelemente, wie bspw. IBGT, verwendet werden. In dem Regelkreis wird die Ansteuerung des

Elektromotors 9 anhand der gemessenen Winkelgeschwindigkeit geregelt. Die Winkelgeschwindigkeit kann z. B. durch einen RPS-Sensor gemessen werden.

Es ist eine Sicherheitsschalteinrichtung vorgesehen, die die Winkelge- schwindigkeit des Motors überprüft, und verhindert, dass ein Schaltelement in dem Regelkreis bei zu hoher Winkelgeschwindigkeit öffnet und somit Schaden nimmt. Außerdem ist eine Diagnosefunktionalität zum Erkennen eines

Funktionsfehlers der Sicherheitsschalteinrichtung vorgesehen. Die Sicherheits- schalteinrichtung ist dazu ausgebildet, das Schaltelement nicht zu öffnen, wenn die Diagnosefunktionalität einen Funktionsfehler erkennt.

Ein zusätzlicher Mikrocontroller ist in dem Regelkreis des Schaltelementes integriert, der die Winkelgeschwindigkeit des Motors unabhängig von einem Hauptkontroller misst und eine Anfrage zum Öffnen des Schaltelementes verzögert, bis ein sicheres Öffnen des Schaltelementes durchgeführt werden kann. Der zusätzliche Mikrocontroller wird im Rahmen der Diagnose- funktionalität von dem Hauptcontroller überwacht. Der Hauptcontroller misst die Winkelgeschwindigkeit des Motors und erhält eine IBit-Information des zusätzlichen Mikrokontrollers darüber, ob die Winkelgeschwindigkeit des Motors oberhalb oder unterhalb eines Grenzwertes zum sicheren Öffnen des Schaltelementes liegt. Dabei ist es wünschenswert, dass die Funktionalität möglichst stabil ist, d. h. das nur latente Fehler erkannt werden. Für diesen Fall, in dem der Ausgangwert des zusätzlichen Mikrokontrollers eine geringe Kardinalität mit nur zwei Werten„oberhalb" und„unterhalb" aufweist und der Zustand im Normalfall„unterhalb" ist, ist es besonders wichtig alle fehler- behafteten„unterhalb" Werte in der Diagnosefunktionalität zu berücksichtigen.

Die Diagnosefunktionalität ist dazu ausgebildet, das Signal zu„entprellen".

Das heißt, ein instabiles und somit fehlerbehaftetes Signal des zusätzlichen Mikrocontrollers wird zwar detektiert, es führt aber erst zur Detektion eines Fehlers in der Sicherheitsschalteinrichtung, wenn eine gewisse Anzahl an Fehlern vorliegen oder ein systematischer Fehler auftritt.

In der Figur 2 sind beispielhaft zeitliche Signalverläufe für eine Sicherheits- schalteinrichtung mit Diagnosefunktionalität dargestellt. Bei dem Schalt- element kann es sich um ein Relais oder MOSFET handeln, die von einem oder mehreren Steuergeräten betrieben werden. Das Schaltelement ist Teil eines oder mehrerer Inverter. Die Figur 2 zeigt, von oben nach unten gesehen, in einer ersten Zeile die Ist-Winkelgeschwindigkeit 13 des Motors 9 aufgetragen gegen die Zeit. Ein zulässiger Grenzwert zum Öffnen des Schaltelements ist als Schwellenwert 14 eingezeichnet. In der zweiten Zeile ist das Ausgangs- signal des zusätzlichen Mikrokontrollers 15 dargestellt. Der Mikrokontroller gibt die Werte 1 und Null aus, wobei der Wert gleich 1 ist, wenn die Winkelge- schwindigkeit den zulässigen Grenzwert überschreitet. Das Ausgangssignal des zusätzlichen Mikrokontrollers wird im Rahmen der Diagnosefunktionalität überprüft. Es sind zwei Fehlerzähler vorgesehen, deren Signal 16,17 in den Zeilen drei und vier dargestellt ist. Da der Hauptkontroller unabhängig von dem zusätzlichen Mikrokontroller die Winkelgeschwindigkeit misst, erkennt der erste Fehlerzähler einen falsch ausgegebenen Wert des Mikrokontrollers, wenn die Winkelgeschwindigkeit unterhalb des Grenzwertes 14 liegt und der zusätzliche Mikrokontroller den Wert 1 ausgibt. Der zweite Fehlerzähler detektiert hingegen einen falsch ausgegebenen Wert des Mikrokontrollers, wenn die Winkelgeschwindigkeit oberhalb des Grenzwertes 14 liegt und der Mikrokontroller den Wert Null ausgibt. Im Fall einer Fehlerdetektion der Fehlerzähler werden diese kontinuierlich erhöht. Gibt der Mikrokontroller wieder korrekte Werte aus, werden die Fehlerzähler auf Null zurückgesetzt.

Die sechste Zeile zeigt die Summe der Ausgangssignale 18 der Signale der Fehlerzähler 16,17. In der letzten Zeile ist das Ausgangssignal der Diagnose- funktionalität 19 dargestellt. Das Ausgangssignal ist null wenn kein Fehler vorliegt und eins wenn ein Fehler detektiert wurde. Erst wenn ein Fehler detektiert wird, ist die Sicherheitsschalteinrichtung fehlerbehaftet und das Schaltelement öffnet nicht mehr.

Im Folgenden wird der in Figur 2 gezeigte zeitliche Verlauf der Winkel- geschwindigkeit und die Reaktionen der Sicherheitsschalteinrichtung mit Diagnosefunktionalität beschrieben.

Die Winkelgeschwindigkeit steigt in einem ersten Bereich 20 bis über den zulässigen Grenzwert 14 an. Der zusätzliche Mikroprozessor erkennt das Überschreiten des Grenzwertes 14 nicht und erachtet das Signal der Winkel- geschwindigkeit als zulässig. Die Diagnosefunktionalität erkennt den Fehler des zusätzlichen Mikroprozessors und der zweite Fehlerzähler wird erhöht. Das Vorliegen eines Fehlers wird jedoch nicht detektiert und das Summensignal der Diagnosefunktionalität bleibt Null.

Die Winkelgeschwindigkeit bleibt in einem zweiten Bereich 21 des zeitlichen Verlaufs über dem zulässigen Grenzwert 14. Der Mikrokontroller erkennt das Überschreiten und gibt korrekter Weise den Wert 1 aus. Der zweite Fehler- zähler wird daher auf Null zurückgesetzt. Im weiteren Verlauf in einem dritten Bereich 22 sinkt die Winkelgeschwindigkeit unterhalb des Grenzwertes. Der zusätzliche Mikroprozessor erkennt die Änderung nicht und gibt fälschlicher- weise weiterhin den Wert 1 aus. Der erste Fehlerzähler wird daher erhöht. Nachdem der Mikroprozessor wieder den korrekten Wert ausgibt (Bereich 23), wird der erste Fehlerzähler auf Null zurückgesetzt. Im Folgenden tritt ein transienter Fehler des zusätzlichen Mikroprozessors in einem weiteren Bereich 24 auf, der von dem ersten Fehlerzähler detektiert wird. Danach wird der erste Fehlerzähler wieder auf Null zurückgesetzt (Bereich 25). Nach einiger Zeit weist der zusätzliche Mikroprozessor einen permanenten Fehler auf; er zeigt das Vorliegen einer zu hohen Winkelgeschwindigkeit nicht mehr an. Dies wird von der Diagnosefunktionalität erst erkannt, als die Winkelgeschwindigkeit den zulässigen Grenzwert 14 überschreitet. In diesem Fall wird der zweite

Fehlerzähler erhöht (Bereich 26). Da der Mikroprozessor gar kein richtiges Ausgangssignal mehr beim Überschreiten des zulässigen Grenzwertes ausgibt, wird das Signal des zweiten Fehlerzählers nicht mehr auf Null zurückgesetzt und in der Zeit wenn die Winkelgeschwindigkeit den zulässigen Grenzwert überschreitet, immer weiter erhöht (Bereiche 27,32). Zum Ende des zeitlichen Verlaufs hin tritt ein kurzer transienter Fehler in dem Ausgangssignal des Mikroprozessors auf (Bereich 28). Dieser wird von dem ersten Fehlerzähler erkannt, dessen Signal entsprechend erhöht wird. Nachdem der Mikro- prozessors diesen Fehler nicht mehr zeigt (Bereich 29), wird der erste

Fehlerzähler auf Null zurückgesetzt. Nach einiger Zeit wird ein vorgegebener Grenzwert im Summensignal der Fehlerzähler, auch Entprelllimit 33 genannt (engl debounce limit) überschritten, was die Detektion eines Fehlers der Sicherheitsschalteinrichtung triggert und ein Öffnen des Schaltelements aus Sicherheitsgründen verhindert.

Das Hochsetzen der Fehlerzähler erfolgt kontinuierlich bei Vorliegen eines entsprechenden Fehlers. Vorzugsweise nimmt das Signal der Fehlerzähler linear mit der Zeit zu.

Die Erfindung ist nicht auf elektromechanische Lenkungen begrenzt. Es kann beispielsweises auch der Einsatz in Elektromotoren von Steer-by-Wire

Lenkungen vorgesehen sein.