JPH06510101A - 車両の制御装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】 車両の制御装置 技術の現状 本発明は請求の範囲第１項のお（Ｘで書き；こ記載の車両の匍制御装置に関する ものである。

特に運転安全性と有用性の理由力１ら車両の制御御装置に少なくとも２つのコン ピュータユニ・ノドを搭載すること力犬増えてきている。このことは、特に電子 エンジン出力か制御に関連して以下に説明する本発明の好ましｐｚ応用分野書二 当て（ままる。この種の制御装置の例がＤＥ　−Ａ３７００９８６　（ＵＳ　− Ａ４８８１２２７）あるいはＤＥ　−Ａ３５３９４０７に記載されてｌ、）る。

ＤＥ−Ａ３７００９６Ｂ　（ＵＳ−Ａ４８８１２２７）に（ま自動車：こお（す る２つのプロセッサを有するコンピュータシステム力＜８己載されており、同シ ステムにお（Ｘて（ま２つのブロモ・ンサカ曵互＆Ｘｌこ完全に独立して動作し 、異った監視ヤ１断基準、例え（ｆ所定のデータ交換プロトコルに基づいて相互 に監視し、欠陥力（ある場合には相互に新たに起動すること力（できる。この種 のコンピュータシステムを電子エンジン出力制御（こ使用する場合の安全コンセ プトに関する提案は記載されてし１な０゜ＤＥ　−Ａ３５３９４０７には同様に 自動車用の２つのブロモ・ソサを有するコンピュータシステム力（記載されてお り、その場合に通常運転においては安全と動作速度を向上させるため１こコンピ ュータ間で分業を行うこと力（提案されて（、ｚる。この分業では、第１のブロ モ・ソサにおＬｌて：ま閉ル−プ郵制御のための目標値をめることが行われ、一 方他方の第２のブロモ、ンサ；こお０ては目標値と実際値間の差に従って操作量 を計算することが行われるようになっている。それによってコンピュータの負担 を分担することによって計算速度と閉ループ制御速度が増大される。安全コンセ ントとしてさらに、運転安全性とシステムの有用性に機能するすべての監視タス クを２つのプロセッサによって互いに並列に冗長な方法で実施することが行われ る。従って２つのコンピュータユニットの監視処置は、その機能範囲が高レベル となり、それに対応してコストが大きくなる。

従って本発明の課題は、少なくとも同一の制御機能を実施するために使用される 少なくとも２つのコンピュータユニットを備えた車両の制御装置に対して安全コ ンセントを示し、システム全体の運転安全性と有用性を損なうことなく、個々の コンピュータユニットの機能範囲を減少させることができるようにすることであ る。

これは請求の範囲第１項に記載の特徴によって解決される。

その場合に運転安全性と有用性を保証するために必要な監視処置が少なくとも一 部各コンピュータユニットに分担され、それぞれのコンピュータユニットによっ て独占的にかつ独立して実施される。

上述の制御装置は好ましくは自動車のエンジン制御の分野で使用される。この種 のエンジン制御は、オツトーエンジンの場合には最近の制御装置における点火制 御とガソリン噴射の他に電子エンジン出力制御、すなわちほぼ運転者の要求（運 転者によって作動可能な操作部材の位置）に関係する絞り弁位置の電子制御から なっている。同様な制御装置がディーゼルエンジンに関連して知られており、そ の場合には、燃料供給量の開ないし閉ループ制御において操作部材の作動に従っ て噴射ポンプの出力調節部材が調節されている。この種のシステムの作用は性能 を増大させるので、制御を行う電子装置の監視処置に関して高い要求が課せられ る。

従って過去においてこれらの電子装置の監視に用いられる種々の方法が開発され ており、これらは、例えばＤＥ　−Ａ３５１０１７３（ＵＳ−Ａ４６０３６７５ ）、ＤＥ−Ａ４００４０８６、ＤＥ−Ａ２８３９４６７（ＵＳ　−Ａ４３０５３ ５９）および未公開のドイツ特許出願Ｐ４１３３５７１６から知られている。

ＤＥ−Ｏ８３５１０１７３（ＵＳ−Ａ４６０３６７５）からは、絞り弁の位置の 目標値と実際値間の差を監視し、所定の期間後に目標値と実際値が互いに所定の 許容誤差範囲にあるかどうかを調べることが知られている。さらに、例えば運転 者によって作動可能な操作部材が２つの位置センサと結合され、その場合２つの 位置センサ間の信号差が所定の最大値を越えた場合に、位置センサの領域におけ る欠陥が検出される。

ＤＥ　−Ａ２８３９４６７　（ＵＳ　−Ａ４３０５３５９）からは、運転者によ って作動可能な操作部材の位置と出力調節部材の位置との比較に基づいて、操作 部材の位置と出力調節部材の位置が所定の許容誤差内で対応しないときに、欠陥 状態であると推定することによって、制御装置の機能不良を推定することが知ら れている。

さらに未公開のドイツ特許出願Ｐ４１３３５７１においては、運転者によって作 動可能な操作部材および／または出力調節部材に関連して３つの位置センサを設 けることが提案されているので、この位置センサの領域の誤動作に関する評価を 行うために３つの位置情報が得られる。その場合にいわゆる３者から２の選択に よって、欠陥のある位置センサを隔離して、機能し得ると識別された２つの位置 センサに基づいて有用性を限定されることなく制御装置の機能を全範囲で維持す ることが可能になる。

本発明の利点 本発明による構成によれば、複数のコンピュータユニットを有する制御装置を実 現することができ、運転安全性と制御装置の有用性を損なうことなく、個々のコ ンピュータユニットの機能範囲を減少させることができる。

監視処置を分割することによりフレキシブルでプログラム可能な安全コンセント が得られることによって、本発明構成は特別な意味を持つようになる。各コンピ ュータユニットのそれに割り当てられた監視処置並びにその結果への反応は他の コンピュータユニット（一つ或は複数）とは独立して行なわれる。

特に好ましくは、第１のコンピュータユニットに対しては複雑な監視処置（門め の細かい監視用）を割り門−のが効果的であり、一方より簡単な種類の監視処置 （おおまかな監視用）は第２のコンピュータユニットによって第１のコンピュー タユニットとは独立して実施される。

その場合に好ましくは、第２のコンピュータユニットの機能範囲は極めて僅かで あり、従ってわずかなコストで用意することができる。

これに関連して、第１のコンピュータユニットに対しては（閉ループ）制御回路 の目標値と実際値に基づ（監視機能を割り的である。それによって閉ループ制御 システム、特に調節部材の位置が、２つのコンピュータユニットにおいて互いに 独立して実施される２つの監視機能によって冗長的に監視される。

本発明方法の他の利点は、両コンピュータユニット間に型側な結合は必要ではな いので、両コンピュータユニットは異なる機能（例えば燃料噴射、点火）を受け 持つことができることである。

更に、電子エンジン出力制御システムの場合第２のコンピュータユニットにおい て、例えば走行速度制御、ＭＳＲ作用など、外部的に作用する機能に関する監視 処置を実施できることが利点である。

運転安全性をさらに向上させることは、周期的なデータ交換によって２つのコン ピュータユニットを監視することによって達成される。

２つのコンピュータユニットが独立していることによって、冗長な（３重の）セ ンサを使用し、その測定信号のそれぞれ全部あるいは一部が各コンピュータユニ ットにおいて機能検査のために評価されることが利点である。

他の利点は後述の実施例の説明と従属請求項から明らかになる。

図面 以下、図面に示す実施例を用いて本発明の詳細な説明する。

その場合に第１図は電子エンジン出力制御用の制御装置の概略を示すブロック回 路図である。第２図と第３図には好ましい実施例に基づいて２つのコンピュータ ユニット内でそれぞれ実施される監視処置が例示的に示されている。

実施例の説明 第１図には、少なくとも２つのコンピュータユニット１２と１４を有する車両の 駆動ユニットの制御装置ｌＯが示されている。さらに運転者によって作動可能な 操作部材（アクセルペダル）　１６が示されており、この操作部材は機械的な結 合部１８を介して３つの位置センサ２０．２２および２４と接続されている。第 １図においては位置センサは好ましい実施例に従いポテンショメータとして示さ れている。その場合、操作部材１６は結合部１８を介して位置センサ２０．２２ ．２４の可動のスライダ端子２６．２８および３０に作用する。その場合、この スライダ端子は操作部材１６の移動に従って抵抗路３２．３４．３６上をスライ ドする。抵抗路３２．３４．３６はそれぞれ電源電圧の正の極３８、および負の 極４０と接続されている。スライダ端子と接続された導線４２（位置センサ２０ ）、４４（位置センサ２２）および４６（位置センサ２４）は第１のコンピュー タユニット１２並びに第２のコンピュータユニット１４に接続されている。

さらに駆動ユニットおよび／または車両の運転パラメータを測定する測定装置４ ８〜５０が設けられており、これらの測定装置は導線５２〜５４を介して第１の コンピュータユニット１２と接続されている。さらに駆動ユニットおよび／また は車両の運転パラメータを測定する他の測定装置５６〜５８が設けられており、 これらの測定装置は導線６０〜６２を介して第２のコンピュータユニット１４と 接続されている。両コンピュータユニット１２．１４間には、両コンピュータユ ニット間でシリアルのデータ交換を行うためにパス６４が設けられている。

さらに、図１に示す制御装置１０は出力段装置６６を有し、この装置は駆動線６ ８を介して第２のコンピュータユニツ１−１４と接続されている。出力段装置６ ６は起動ないし非起動入カフ０と７２を有し、その場合に入カフ０は導線７４を 介して第１のコンピュータユニットと、入カフ２は導線７６を介して第２のコン ピュータユニット１４と接続されている。出力段の出力線７８は制御装置ＩＯの 出力線となる。この出力線は不図示の駆動ユニット、特に内燃機関の出力調節部 材８０へ導かれている。その場合、好ましい実施例においては出力調節部材はス テッピングモータにより駆動される絞り弁である。

出力調節部材８０は機械的な結合部８２を介して２つの位置センサ８４および８ ６と接続されており、これらの位置センサは好ましい実施例においては位置セン サ２０．２２．２４のようなポテンショメータ装置である。従って位置センサ８ ４と８６は同様にスライダ端子８８．９０、抵抗路９２．９４を有し、各抵抗路 は電源線の正と負の極に接続されている。スライダ端子８８ないし９０には信号 線９３ないし９５が接続されており、これらは第１並びに第２のコンピュータユ ニットへ導かれている。

例えば導線９９で示すように、例えば燃料調量などの他の機能をコンピュータユ ニット１２によって実施することができる。

次に、好ましい実施例を例にして、第１図に記載された制御装置の機能を以下に 説明する。

位置センサ２０．２２および２４によって検出された、操作部材１６に関する３ つの位置の値が２つのコンピュータユニツト１２と１４へ供給される。そのとき 両コンピュータユニットにおいて３つの信号値の妥当性（合理性）検査が互いに 行われ、欠陥がある信号値が検出された場合には、その値は以降の評価から排除 される。３つの信号値がすべて互いに対して妥当性がない場合には、それを検出 しているコンピュータユニツトが導線７４を介して出力段６６を遮断し、それぞ れ他方のコンピュータユニットに導線６４を介して対応する情報を伝達する。

コンピュータユニット１２においてはさらに、特に次のような処置（手段）が実 施される。

供給された互いに妥当な位置信号値に基づいてコンピュータユニット１２は、必 要に応じて測定装置４８〜５０によって検出された他の運転パラメータを考慮し て、出力調節部材８０の位置目標値を形成する。

その場合に上述の他の運転パラメータは、特にトランスミッションのパラメータ 、トラクションコントロール（ＡＳＲ）あるいはエンジン制動トルク制御（ＭＳ Ｒ）の作用信号、並びに（アイドリング制御領域に対する）走行速度、エンジン 回転数、エンジン温度などである。さらにコンピュータユニット１２には走行速 度制御の機能を設けることができるので、導線５２〜５４を介して操作レバーの 位置、ブレーキ操作に関する信号並びに走行速度制御に必要な他の信号値を供給 することができる。

出力調節部材の位置の目標値はコンピュータユニット１４において、調節部材８ ０用のステッピングモータを制御するための所定のステップ数に変換される。そ の場合にいわゆるステップカウンタが連動し、そのカウント値が実施されるステ ップ数を表し、従ってステッピングモータないしは調節部材８０の位置の値を示 している。

入力線９３と９５を介してコンピュータユニット１２と１４に調節部材８０の位 置の信号値が供給される。その場合に両コンピュータユニットにおいて位置セン サおよびステップカウンタ値の位置情報が互いに妥当性に関して検査され、操作 部材１６の位置信号に関する場合と同様に欠陥がある位置情報は排除され、ある いは位置センサ８４と８６の２つの信号値が妥当であってステップカウンタが妥 当でない場合にはステップ損失であると推定され、ステップカウンタがそれに従 って適合される。供給された調節部材８０の位置の信号値から絞り弁の実際値が 計算され、その実際値が計算された目標値と比較されて、システムの機能能力に 関する尺度が得られる。その場合に、調節部材８０の位置の目標値と実際値間に 偏差が残っているかどうかが調べられる。そうである場合には、出力段装置６６ がコンピュータユニット１２によって遮断され、欠陥状態がシリアルのインター フェース６４を介して第２のコンピュータユニット１４へ伝達される。

さらにコンピュータユニット１２においては個々の信号に関する監視処置が実施 される（信号値範囲の監視）。特に、位置を増大させる調節部材の駆動を意味す るＭＳＲ作用信号は、コンピュータユニット１２からコンピュータユニット１４ へ伝達されるとともに、信号範囲の妥当性が調べられる。このような信号が妥当 でない場合、すなわち信号値が所定の信号値範囲外にある場合には、それがコン ピュータユニット１４へ伝達されて、ＭＳＲ機能が遮断される。

計算された目標値はさらにインターフェース６４を介してコンピュータユニット １４へ出力され、コンピュータユニット１４は設定に従い電流制御装置を介して ステッピングモータを調節する。

コンピュータユニット１４においてはさらに、特に次のような処置が実施される 。

このコンピュータユニットには同様にセンサないし検出器２０．２２．２４．８ ４および８６の位置信号が供給される。従って操作部材１６と調節部材８０の位 置信号に関する上述の妥当性検査は、コンピュータユニット１４においても同様 にステップカウンタを用いて実施される。さらに、コンピュータユニット１４に おいて追加的な大まかな監視を行うことも可能である。その場合に調節部材８０ の位置の値（計算された実際値あるいはセンサ８４および／または８６の個々の 信号値）が操作部材！６の位置の値（センサ２０．２２．２４の個々の信号値あ るいはこれらから計算された値ないしは個々の値）と関連づけられて、所定の許 容誤差範囲であるかが検査される。位置の実際値がアクセルペダルの位置によっ て決定される許容誤差範囲を超える場合には、システムの機能不良が識別されて 、導線７６を介して出力段装置が遮断され、導線６４を介してコンピュータユニ ット１２へ伝達される。

この監視処置は、コンピュータユニット１２で実施される制御回路の監視に対し て冗長になっている（重複している）。従って互いに独立して２つのコンピュー タユニットで実施される２つの監視機能によって制御回路の機能が検査される。

それによって運転安全性と有用性を向上させ、コンピュータユニットの機能範囲 を減少させることができる。というのは各コンピュータユニット内にそれぞれ２ つの冗長な監視処置を設ける必要がないからである。

さらにコンピュータユニット１４でＭＳＲ作用の妥当性検査が行われる。その場 合にＭＳＲ機能により調節された絞り弁角度が、調節部材の実際値と操作部材の 位置の値に基づいて、ＭＳＲ作用のとき設定された妥当な範囲にあるかどうかが 調べられる。調節部材の位置がこの妥当な範囲以上にある場合には、出力段装置 が遮断され、欠陥状態がコンピュータユニット１２へ伝達される。

さらに、コンピュータユニット１４で走行速度制御器のオンオフ条件を設定する 処置を講することができる（ブレーキ操作の場合、最小速度しきい値を下回った 場合、「オフ」スイッチが操作された場合などに遮断）。

さらに好ましい実施例においてはコンピュータユニット１２は燃料噴射、点火調 節あるいはトランスミッション制御に関するタスクを受け持つことができる。他 の好ましい実施例においてはステッピングモータの駆動をコンピュータユニット １４によってではなく、コンピュータユニット１２によって行うようにすること もできる。

さらに上述の分割はディーゼルエンジンに関連させても効果的である。

他の実施例においては、位置センサとしてポテンショメータの代わりに非接触の 位置センサを使用すると効果的である。

その場合、ポテンショメータと非接触の位置センサを組み合せることも効果的で ある。さらに３つの位置センサのうちのひとつをスイッチング素子として形成す ることも可能である。

調節部材８０の位置センサとの関連においても同様なことが考えられる。

第２図はフローチャートを用いてコンピュータユニット１２によって実施される 監視処置（監視手段）を概略的に説明するものである。

その場合に第１のステップ１００においてステップカウンタのカウンタ値Ｚがめ られ、３つの位置センサ２０．２２．２４の位置の値（ＰＷＧ１１２．３）と位 置センサ８４および８６の位置の値（ＤＫＩ、２）並びに場合によっては他の運 転／（ラメータが読み込まれる。

その後ステップ１０２において従来技術から知られた手段に従って、操作部材１ ６の３つの位置信号値並びに２つの調節部材８０の２つの位置信号値およびステ ップカウンタ値の妥当性検査が行なわれる。

続く判断ステップ１０４においては、操作部材位置および／または調節部材位置 に関する妥当性検査によって欠陥がない結果になったかどうかが調べられる。そ うである場合には、次のステップ１０６において調節部材の位置目標値の計算の 基礎として用いられる操作部材の位置の信号値、ないしは実際値の計算の基礎と して用いられる調節部材位置の信号値がめられる。好ましい実施例においてはこ れらの値はこのステップで計算され（例えば平均値形成、一つの信号値が好まし い、など）あるいは別のプログラム部分でめることができる。

ステップ１０４において、ステップ１０２に示す妥当性検査が欠陥状態を示すこ とが明らかになった場合には、判断ステップ１０７において、ステップ１０２に よる操作部材および／または調節部材に関する妥当性判断によって互いに妥当な ２つの信号量が選択されたかどうかが調べられる。ステップカウンタ値が妥当で ない場合にはこの値が位置センサによってめられた値にセットされる。

そうである場合には、ステップ１０Ｂに従って互いに妥当な信号値に基づいてス テップ１０６に対応する処理が行なわれる。

ステップ１０２で得られる操作部材位置あるいは調節部材位置のすべての信号が 互いに妥当でない場合には、ステップ１１２に示すように出力段装置が遮断され 、非常走行装置（所定回転数以上で燃料供給を遮断）がアクティブにされ、コン ピュータユニット１４へ対応する報告が送られる。

上述の処置は操作部材の位置信号に関して並びに調節部材の位置信号に関して並 列して実施することができる。

ステップ１０６ないしｌＯ８に続くステップ１１１においては制御回路を監視す るために請求められた調節部材の目標値がその実際値と比較される。２つの値が 所定の許容誤差範囲内いにずれた場合には、ステップ１１２へ進む。許容誤差の 範囲内で２つの値が互いに一致した場合には、ステップ１１１に続くステップ１ １４において信号値範囲の検査に従ってＭＳＲ作用信号（調節部材の「開放」方 向に作用する目標値）の妥当性が調べられる。ステップ１１４において欠陥が検 出された場合には、ステップ１１６に示すようにコンピュータユニット１４へ報 告され、かつＭＳＲ機能が遮断される。その後、ＭＳＲ作用信号に欠陥がない場 合と同様に、プログラム部分が終了される。

第２図に示すフローチャートは単にコンピュータユニット１２で行われる監視処 置を説明するものである。もちろんコンピュータユニット１２において他のタス ク、例えば他の信号に関する付加的な公知の監視処置および点火時点、噴射量の 計算などの処置あるいは走行速度制御などを実施することができる。

同様にして第３図にはコンピュータユニット１４で行われる監視処置のフローチ ャートが図示されている。なお、ここでコンピュータユニットＩ４で、例えば更 にステッピングモータの駆動に供するタスクが実施されることを付言しておく。

ここでも第１のステップ２００において操作部材と調節部材の位置センサの信号 値が読み込まれ、ステップカウンタ値がめられ、導線６４を介してコンピュータ ユニット１２によって算出された目標値が読み込まれ、同様に入力線６０〜６２ を介して供給される他の運転パラメータが供給される。

第２図に示すフローチャートと同様に、ステップ２０２．２０４．２０７および ２１２において操作部材と調節部材の位置センサの信号値が互いに妥当かが調べ られ、欠陥がない場合にはステップ２０６に示すように操作部材および調節部材 位置を表す位置の値がめられ、ないしはそのために使用される信号値がめられる 。欠陥がある場合にはステップ２０７　（１０７）が反応し、また欠陥がある（ ステップ２０７で「否」）場合にはステップ１０８ないし１１２に対応するステ ップ２０８ないし２１２　（１２へ報告、出力段の遮断）が反応する。

ステップ２０２における妥当性検査の結果、少なくとも２つの信号値がそれぞれ 互いに妥当であるということになり、調節部材位置と操作部材位置を形成するこ とができた場合には、ステップ２１４において走行速度制御器がアクティブであ るがどうかが調べられる。そうである場合にはステップ２１６と２１７によって 走行速度制御の機能状態（ブレーキ操作、オンオフスイッチ、操作部材が正常に 動作）が調べられ、場合によってはコンピュータユニット１２に対応する報告を することによって（ステップ２１８）、走行速度制御の機能がオフにされる。

その後アクティブな走行速度制御用のプログラム部分が終了される。

システムが走行速度制御運転にない場合には、ステップ２２０に示すように、操 作部材１６の位置に対する調節部材８ｏの位置の監視が行われる。その場合に、 許容誤差範囲内で２つの位置が互いに妥当であるかどうが、あるいは特に簡単化 した場合には調節部材位置が操作部材によって設定された位置よりもかなり大き いかどうかが調べられる。そうである場合には、ステップ２１２に示すように出 力段が遮断され、コンピュータユニット１２へ報告が送られ、それによって場合 によっては燃料供給が遮断される。欠陥がない場合にはステップ２２２において ＭＳＲ機能の検査が行われる。その場合に調節部材の位置がＭＳＲ作用信号によ って要求される位置と比較され、調節部材８０の位置がＭＳＲ作用信号によって 設定される位置の値より著しく大きい場合には欠陥が識別される。欠陥がある場 合にはステップ２１２へ進み、欠陥がない場合にはプログラム部分が終了される 。

さらに、コンピュータユニット１４において、コンピュータユニット１２でめた 目標値に従ってステッピングモータの駆動が実施される。

好ましい実施例においては、コンピュータユニット１２は他の機能、例えば噴射 弁を駆動するタスク、計算をするタスク（センサ信号評価）、制限するタスク（ 速度制限）などを実施する。

監視処置を以上示したように分配する他に、他の好ましい実施例においては他の 方法に従って分配することもできる。その場合に重要なことは、第１のコンピュ ータユニットにおいて実施される監視が第２のコンピュータユニットにおいて冗 長な方法で繰り返えされるように、分割が行なわれることである。

例えば第２のコンピュータユニットにおける位置センサ信号の上述した妥当性検 査をもっと簡単な方法で（２つの値のみを比較）行うことができる。

国際調査報告

Claims (1)

1. 【特許請求の範囲】 １）少なくとも２つのコンピュータユニットと、運転パラメータを検出する複数 の測定装置とを備えた、車両の制御装置において、 前記少なくとも２つのコンピュータユニットを用いて少なくとも同一の制御機能 が実施され、 前記制御機能は機能能力を検査するための少なくとも２つの異なる処置を有し、 これらの処置は、各コンピュータユニットがそれぞれ監視処置の少なくとも一つ を独占的にかつ他の一つあるいは複数のコンピュータユニットとは独立して実施 するように、少なくとも２つのコンピュータユニットに分割されていることを特 徴とする車両の制御装置。 ２）第１のコンピュータユニットが一つの監視処置を実施し、第２のコンピュー タユニットがこれに対応する監視処置をより簡単な方法で、ないしは他の方法に 従って冗長的に実施することを特徴とする請求の範囲第１項に記載の装置。 ３）第１のコンピュータユニットが、調節部材の位置制御回路において運転者の 要求に従った目標値と実際値間の差に基づいて監視処置を実施し、第２のコンピ ュータユニットは運転者の要求、好ましくは操作部材の位置と調節部材の位置間 の妥当性比較に基づきより簡単な種類の監視処置を実施することを特徴とする請 求の範囲第１項あるいは第２項に記載の装置。 ４）制御装置が電子エンジン出力制御に使用され、その場合第１のコンピュータ ユニットにおいては制御計算が、第２のコンピュータユニットにおいてはステッ ピングモータを駆動する処置が実施され、好ましくは第１のコンピュータユニッ トは更に燃料調量および／または点火調節に関する機能を実施することを特徴と する請求の範囲第１項から第３項までのいずれか１項に記載の装置。 ５）前記少なくとも２つのコンピュータユニットがそれぞれ操作部材と調節部材 の位置情報に関して、好ましくは３者から２の選択に従って、妥当性検査を実施 することを特徴とする請求の範囲第１項から第４項までのいずれか１項に記載の 装置。 ６）第２のコンピュータユニットが、調節部材の設定された位置と実際の位置と の比較に基づいてエンジン制動トルク制御作用に対して妥当性検査を実施し、第 １のコンピュータユニットが信号値範囲の検査に基づいてエンジン制動トルク制 御信号の検査を実施することを特徴とする請求の範囲第１項から第５項までのい ずれか１項に記載の装置。 ７）各コンピュータユニットが好ましくはシリアルのインターフェースを介して データを交換することによって相互に監視することを特徴とする請求の範囲第１ 項から第６項までのいずれか１項に記載の装置。 ８）両コンピュータユニットが出力段へのアクセス手段を有し、制御回路と位置 信号に関して妥当性がなくて欠陥が検出された時には、それぞれのコンピュータ ユニットに割り当てられている監視処置の結果に従って互いに独立して出力段を 遮断し、かつ各コンピュータユニットが特に監視の結果が良好でない場合には相 互に伝達しあうことを特徴とする請求の範囲第１項から第７項までのいずれか１ 項に記載の装置。 ９）欠陥がある場合には、第１のコンピュータユニットが燃料供給に作用するこ とを特徴とする請求の範囲第１項から第８項までのいずれか１項に記載の装置。 １０）第２のコンピュータユニットにおいて走行速度制御器をスイッチオンない しオフするための妥当性検査が実施されることを特徴とする請求の範囲第１項か ら第９項までのいずれか１項に記載の装置。