Doppelte Bremspedalüberwachung = Sicherheitsrisiko!?

Hallo zusammen

Selbst zuverlässige Teile wie der Gaspedalgeber können einmal kaputtgehen. Leider bietet auch die gleichzeitige Auswertung von Gebersignal und Leerlaufkontakt durch den Motorcomputer keine absolute Gewähr für das Erkennen von Defekten, so daß ein falscher Geberbefehl „Volllast“ zu brenzligen Situationen führen kann.
Für solche Fälle ist die Bremspedalüberwachung vorgesehen, d.h. die EDC reagiert auf gleichzeitiges Bremsen und Gasgeben mit Notlauf und stark reduzierter Leistung, damit der erschrockene Fahrer nicht auch noch die volle Kraft seines Motors wegbremsen muß.

Die Bremspedalüberwachung erfolgt über den Pedalschalter F 47, der bei unbetätigter Bremse den Pin 20 (des 68er Motorcomputer-Steckers) mit Masse verbindet. Beim Bremsen öffnet der Schalter, und ein interner Pullup zieht den Pin 20 auf 12 Volt.

Zwecks redundanter Überwachung wird sogar noch die Spannung an den Bremsleuchten über Pin 44 an den Motorcomputer gemeldet. Somit liegen an Pin 44 und 20 immer gleichzeitig 0 oder 12 Volt an. Das ist der Sollzustand.

Aber: „Ein Mann mit einer Uhr weiß immer wie spät es ist. Ein Mann mit 2 Uhren ist sich nie sicher."
Wenn die beiden Bremsschalter F und F 47 nicht gleichzeitig schließen und öffnen (erkennbar über VAGCOM bei betont langsamem Betätigen der Bremse), bemerkt die EDC eine Unplausibilität der Bremspedalüberwachung und geht u.U. in den Notlauf, obwohl keine Notlage oder Motorprobleme bestehen und jedes Überwachungssystem für sich tadellos funktioniert.

Ähnliches kann passieren, wenn etwa die Sicherung der Bremsleuchten durchgebrannt oder der Bremslichtschalter F defekt ist und daher die Spannung an Pin 44 beim Bremsen überhaupt nicht mehr „hochkommt".

Andererseits zieht auch am Pin 44 ein Pullup die Spannung auf 12 Volt hoch, sobald keine Masseverbindung (über die Bremsleuchten) mehr besteht. Wieder erkennt der Motorcomputer eine Unplausibilität zum Signal an Pin 22 - nur diesmal ohne daß gebremst wird.

Das heißt also: Wenn z.B. eine Bremsbirne frisch durchgebrannt ist und die Fassung der anderen etwa einen älteren, bislang unbemerkten Wackelkontakt hat, kann die EDC jederzeit aus völlig heiterem Himmel in den Notlauf springen
Wenn sowas gerade beim Überholen passiert, enden womöglich mehrere Menschen als lapidare Striche in den Statistiken über falsches Überholen, da es ja keine auffälligen Hinweise auf technisches Versagen gibt.

Welchen Sinn macht also eine doppelte Bremspedalüberwachung, wenn dabei in alltäglichen Situationen buchstäblich Menschenleben an den Fäden von Glühbirnen hängen - Teile, die jeder normal denkende Fahrer als schnödes Verbrauchsmaterial behandelt, während das eigentliche Motormanagement allgemein als sensibler HighTech-Bereich gilt, den man bei Problemen (sicherheitshalber!) nur Spezialisten anvertraut

Ich halte jedenfalls eine Bremsüberwachung mit nur 1 Schalter für insgesamt sicherer und habe daher das Signalkabel 44 vom Bremslicht- an den Bremspedalschalter umgeklemmt, so daß nur noch das einfachere System mit F 47 dem Motorcomputer sagt, ob gebremst wird oder nicht.

Denn mit einer Uhr. . . siehe oben.

Müsste dazu nicht beim überholen gleichzeitig:

a) eine defekte Bremsleuchte
b) eine zweite defekte oder eine mit Wackelkontakt (wie siehts mit der 3. Bremsleuchte aus? Die zieht doch auch Strom, und das gleichzeitig die 2 unteren und die 5 (?) der dritten Bremsleuchte draufgehen...)
c) der defekte Gaspedalpoti

auftreten? Das all das auf einmal und zusammen zustande kommt halte ich für fast unmöglich.

Wenn auch noch die 3. Bremsleuchte zählt, muss derjenige schon stark nachlässig mit seinen Bremsleuchten umgehen um die Vorraussetzungen zu schaffen.

Bleibt die Frage mit der Sicherung? Ist es wirklich so das eine durchgebrannte Sicherung nicht erkannt wird und der Motor im Fall der Fälle in den Notlauf geschickt wird?

Stukov hat folgendes geschrieben:

Müsste dazu nicht beim überholen gleichzeitig: a) eine defekte Bremsleuchte b) eine zweite defekte oder eine mit Wackelkontakt (wie siehts mit der 3. Bremsleuchte aus? Die zieht doch auch Strom, und das gleichzeitig die 2 unteren und die 5 (?) der dritten Bremsleuchte draufgehen...) c) der defekte Gaspedalpoti auftreten? Das all das auf einmal und zusammen zustande kommt halte ich für fast unmöglich.

Hi

Geber kaputt muß AFAIK nicht sein.
Früher hatte mal jemand hier (oder im alten Forum) solche Probs beschrieben, die nach einer exakten Synchronisation der Schalter (ohne neuen Geber!) behoben waren.

Ob nun der Bremslichtschalter zu früh schließt oder die letzte Birne hochohmig wird, kann der Motorcomputer nicht unterscheiden.

Zitat:

Wenn auch noch die 3. Bremsleuchte zählt, muss derjenige schon stark nachlässig mit seinen Bremsleuchten umgehen um die Vorraussetzungen zu schaffen.

Ja, die zählen mit. Aber schließlich haben die älteren Wagen ja sowas noch nicht, d.h. bei denen hängt die normale Leistung tatsächlich an 2 Birnen.

Zitat:

Bleibt die Frage mit der Sicherung? Ist es wirklich so das eine durchgebrannte Sicherung nicht erkannt wird und der Motor im Fall der Fälle in den Notlauf geschickt wird?

Ich habs nicht probiert, aber es müßte egal sein, "wie herum" die Unplausibilität ausfällt.
Bei kaputter Sicherung tritt aber die Unplausibilität nur beim Bremsen auf. Wenn danach keine Leistung mehr kommt, ist man ja meist nicht neben einem LKW auf der Landstraße . . .

Die Bremspedalüberwachung erfolgt über den Pedalschalter F 47, der bei unbetätigter Bremse den Pin 20 (des 68er Motorcomputer-Steckers) mit Masse verbindet. Beim Bremsen öffnet der Schalter, und ein interner Pullup zieht den Pin 20 auf 12 Volt.



das ist im Golf IV mit ALH definitiv NICHT so. dort liegt über den schalter F47 12V auf dem STG (T121/65). bei betätigen werden die 12V weggenommen.

auf T121/32 werden beim betätigen 12V aufgeschaltet (Bremslicht über F)


Das heißt also: Wenn z.B. eine Bremsbirne frisch durchgebrannt ist und die Fassung der anderen etwa einen älteren, bislang unbemerkten Wackelkontakt hat, kann die EDC jederzeit aus völlig heiterem Himmel in den Notlauf springen


das riecht nach selbstversuch. obwohl ich nach eigener erfahrung den softwareknlichen nur geringe intelligenz zuspreche ( ) erwarte ich folgendes:
bei ausfall einer der beiden schalter -> blinkende glühwendel mit fehlereintrag (unplausibles signal) aber KEINE eingriffe in die motorsteuerung. eben weil das signal unplausibel ist.


Welchen Sinn macht also eine doppelte Bremspedalüberwachung, wenn dabei in alltäglichen Situationen buchstäblich Menschenleben an den Fäden von Glühbirnen hängen

...

Ich halte jedenfalls eine Bremsüberwachung mit nur 1 Schalter für insgesamt sicherer und habe daher das Signalkabel 44 vom Bremslicht- an den Bremspedalschalter umgeklemmt, so daß nur noch das einfachere System mit F 47 dem Motorcomputer sagt, ob gebremst wird oder nicht.


und wenn dir dieser eine schalter ausfällt gibts eben kein motor absteuern im fehlerfall. das ist ja der sinn der doppelten schalter: eine ausfallerkennung ermöglichen.
nebenbei wertet die EDC das bremspedal auch aus um ruckeldämpfung, leeraufregelung und sanftes absteuern zu ermöglichen. ebenfalls wird der tempomat ja so abgestellt, was bei defektem schalter dann ebenfalls ein problem werden könnte....

CU Gremlin

Gremlin hat folgendes geschrieben:

das ist im Golf IV mit ALH definitiv NICHT so. dort liegt über den schalter F47 12V auf dem STG (T121/65). bei betätigen werden die 12V weggenommen. auf T121/32 werden beim betätigen 12V aufgeschaltet (Bremslicht über F)

Hi

mag sein, ich hab nur den AFN gemessen.
Der Unterschied ändert aber nichts an den grundsätzlichen Problemen mit der Schaltersynchronisation und der Frage der Auswertung von Unplausibilitäten.

Zitat:

obwohl ich nach eigener erfahrung den softwareknlichen nur geringe intelligenz zuspreche ( ) erwarte ich folgendes: bei ausfall einer der beiden schalter -> blinkende glühwendel mit fehlereintrag (unplausibles signal) aber KEINE eingriffe in die motorsteuerung. eben weil das signal unplausibel ist.

Welchen Sinn (in Richtung eines wie auch immer definierten Sicherheitsgewinns) soll denn dann die Redundanz haben, wenn im Falle eines für die EDC nicht erkennbaren (= in sich plausiblen) Pedalgeberdefekts und gleichzeitiger Unplausibilität der Bremsüberwachung nicht konsequent die Notbremse gezogen wird?

Es könnte ja aus Sicht des "blinden" Motorcomputers ein "Notfall mit zu hoher Leistung" vorliegen, der Fahrer latscht wirklich auf die Bremse - und dann soll nicht die Leistung reduziert werden, weil möglicherweise nur einer der Bremsschalter spinnt?

Zitat:

und wenn dir dieser eine schalter ausfällt gibts eben kein motor absteuern im fehlerfall. das ist ja der sinn der doppelten schalter: eine ausfallerkennung ermöglichen.

. . . die aber mit der Vielzahl von "selbstgemachten" Unsicherheiten IMO weniger nutzt als die Ein-Schalter-Lösung

Zitat:

nebenbei wertet die EDC das bremspedal auch aus um ruckeldämpfung, leeraufregelung und sanftes absteuern zu ermöglichen. ebenfalls wird der tempomat ja so abgestellt, was bei defektem schalter dann ebenfalls ein problem werden könnte....

Richtig, aber das sind erstmal keine Sicherheitsprobleme. Und solange der Schalter funzt, bleibt eh alles normal.

Welchen Sinn (in Richtung eines wie auch immer definierten Sicherheitsgewinns) soll denn dann die Redundanz haben, wenn im Falle eines für die EDC nicht erkennbaren (= in sich plausiblen) Pedalgeberdefekts und gleichzeitiger Unplausibilität der Bremsüberwachung nicht konsequent die Notbremse gezogen wird?

Es könnte ja aus Sicht des 'blinden' Motorcomputers ein 'Notfall mit zu hoher Leistung' vorliegen, der Fahrer latscht wirklich auf die Bremse - und dann soll nicht die Leistung reduziert werden, weil möglicherweise nur einer der Bremsschalter spinnt?


dieses szenario ist extrem unwahrscheinlich. genau in dem moment, in dem dein gaspedal sich dank der blechschrauben für die aluplatten in der fussmatte verfängt streikt dein bremslichtschalter.
auch wenn der motor dann nicht abgesteuert wird ist deine bremse allemal stark genug das ganze gefährt samt motor abzuwürgen. ausserdem gibts dann noch den zündschlüssel.

ich hatte was ähnliches schon. gerissener gaszug der in 3/4 stellung klemmte. damals gabs noch überhaupt keine elektronik im KFZ (da war noch schliesswinkel ein zauberwort ). einmal bremsen und schlüssel rumdrehen...

ausserdem: wenn der fahrpedalgeber ein unplausibles signal liefert wird IMMER der notlauf (erhöhter leerlauf) gefahren. ICH erwarte, dass beim ausfall eines der F-schalter KEIN notlauf, sondern nur meldung erfolgt.

der fahrpedalgeber arbeitet ja auch mit zwei unabhängigen gebern die zueinander plausible signale melden müssen. fällt einer aus -> notlauf.

deine bedenken gingen ja auch in die richtung 'regelt die EDC die leistung weg wenn beim überholen der schalter (oder sonstwas) defekt geht?'

ICH sage: NEIN, weil signal unplausibel und absteuern der leistung in diesem fall gefährdung verursachen könnte. fehlermeldung wird gesetzt.

so...war eben mal im fahrzeug und hab den fehler 'sicherung bremslicht defekt' simuliert.

es erfolgt keine fehlermeldung und kein eintrag ins STG. es wird NICHT abgeregelt bei gleichzeitigem tritt auf bremse und gaspedal.

weiterhin hab ich bemerkt. trete ich die bremse wird die leistung abgeregelt. löse ich das GASpedal und trete wieder rein bekomme ich volle leistung wieder obwohl ich auf der bremse stehe. also könnte ich auch beim totalausfall der schalter fahren bzw. die motorleistung wiederholen indem ich das gaspedal loslasse und erneut voll trete.

den ausfall von F47 müsste man noch testen, das geht auf die schnelle in der dunkelheit nicht...

CU Gremlin

Gremlin hat folgendes geschrieben:

der fahrpedalgeber arbeitet ja auch mit zwei unabhängigen gebern die zueinander plausible signale melden müssen. fällt einer aus -> notlauf.

Hi

hm?? 2 Geber im Pedalgeber? Der Stromlaufplan für die VP37-TDIs zeigt 6 Anschlüsse:

1 = Poti-Ausgang
2 = Poti-Versorgung 5 Volt
3 = Poti-Masse
4= Schaltausgang Leerlauf
5 = Schaltausgang Volllast
6 = Schaltkontakt Masse.

Selbst wenn also im Geber 2 Potis sitzen, werden ihre Ausgangssignale zu einer Spannung "zusammengemischt" - und der Motorcompurter hat keine Chance, die urspünglichen Teilspanungen wieder zu rekonstruieren bzw. auf Plausibilität zu prüfen.

Zitat:

deine bedenken gingen ja auch in die richtung "regelt die EDC die leistung weg wenn beim überholen der schalter (oder sonstwas) defekt geht?" ICH sage: NEIN, weil signal unplausibel und absteuern der leistung in diesem fall gefährdung verursachen könnte. fehlermeldung wird gesetzt.

Gleichzeitig Gas geben und Bremsen ist ebenfalls unplausibel, und dann muß doch abgeregelt werden (denn der Pedalgeber könnte ja defekt sein und gleichzeitug plausible Signale liefern) - wozu sollte sonst überhaupt eine Bremsüberwachung da sein?

Oder kann der Motorcomputer zwischen x verschiedenen Unplausibilitäten unterscheiden und auf jede individuell reagieren (--> Abregeln oder nicht)?

Zitat:

so...war eben mal im fahrzeug und hab den fehler "sicherung bremslicht defekt" simuliert. es erfolgt keine fehlermeldung und kein eintrag ins STG. es wird NICHT abgeregelt bei gleichzeitigem tritt auf bremse und gaspedal.

Interessant . . . das widerspricht zwar meiner Vorstellung von Sicherheitslogik, aber es wird wohl stimmen

Zitat:

weiterhin hab ich bemerkt. trete ich die bremse wird die leistung abgeregelt. löse ich das GASpedal und trete wieder rein bekomme ich volle leistung wieder obwohl ich auf der bremse stehe. also könnte ich auch beim totalausfall der schalter fahren bzw. die motorleistung wiederholen indem ich das gaspedal loslasse und erneut voll trete.

Wenn man in der Schrecksekunde "Leistung weg neben dem Laster" noch cool genug ist den Fuß ganz vom Gas zu nehmen, obwohl man noch vorbei will bevor man in den Gegenverkehr crasht . . . ob das jeder auf die Reihe kriegt

Interessant . . . das widerspricht zwar meiner Vorstellung von Sicherheitslogik, aber es wird wohl stimmen


woher soll den die EDC in diesem fall wissen ob ich wirklich bremse oder nicht? es spricht nur einer der beiden schalter an..
also besser nicht abregeln. ich hätte zwar mit nem fehlereintrag gerechnet, aber naja...


Wenn man in der Schrecksekunde 'Leistung weg neben dem Laster' noch cool genug ist den Fuß ganz vom Gas zu nehmen, obwohl man noch vorbei will bevor man in den Gegenverkehr crasht . . . ob das jeder auf die Reihe kriegt


ulf, so langsam fängst du jetzt aber an paranoia zu bekommen...

was passiert:

- wenn die EDC an sich ausfällt
- wenn die antriebswelle reisst
- wenn der gaszug reisst
- wenn die zündspule defekt geht
- wenn eine steckverbindung defekt geht
- wenn der unterbrecherkontakt bricht
- wenn eine ventilfeder bricht
- wenn die benzinpumpe ausfällt
- etc etc etc..

wie häufig sind solche ausfälle ? EBEN....

mal nicht übertreiben, sonst musst du dein auto schieben

btw: die sache mit dem pedalwertgeber steht ab seite 32 im EDC-buch

CU Gremlin

Hi

Ein Auszug aus der Beschreibung des Industrie-TDI (AFD, Stand 11/98 )

Zitat:

Bremspedalstellung von F und F47 Die Schalter liefern aus Gründen der Sicherheit beide das gleiche Signal „Bremse betätigt“ (redundantes System). Dies wird vom Steuergerät überwacht. Zusätzlich dienen die Signal beider Schalter zur Kontrolle des Pedalwertgebers (Plausibilität). Dadurch wird z.B. gleichzeitiges Bremsen und Vollgasgeben verhindert.. Ersatzfunktion: Bei Ausfall eines der beiden Schalter oder bei ungleicher Einstellung wird ein Notfahrprogramm aktiviert, bei dem in die Kraftstoffmengenregelung eingegriffen wird. Hinweis: Die beiden Schalter müssen so eingestellt sein, dass ihre Schaltpunkte exakt identisch sind. Deshalb ist eine exakte Justierung laut Reparaturleitfaden erforderlich.

Hätte ich besser wohl schon ins Anfangsposting genommen.

Mag sein dass neuere EDC-Generationen anders programmiert sind . . .

Zur "Paranoia":
Ja, Autofahren ist schon unsicher genug. Ich finde aber, man muß es nicht durch komplexe Überwachungsysteme, die eigene Fehler produzieren können, noch unsicherer machen . . .

Den Spruch in der Industriemotor-PDF habe ich auch schon gelesen und mich gewundert. Ansonsten kann ich bei meinem AMF alle Erfahrungen von Gremlin bestätigen.

Gruss

Olaf

Hallo,

der fahrpedalgeber arbeitet ja auch mit zwei unabhängigen gebern die zueinander plausible signale melden müssen. fällt einer aus -> notlauf.

Gremlin meint hier wohl das Poti und den Leerlaufschalter. Beide sitzen im Fahrpedalgeber und wenn sie widersprüchliche Signale liefern (zB Leerlaufschalter geschlossen und hohe Spannung vom Poti), dann wird der Geber für defekt erklärt, was Leerlauf zur Folge hat. Genauer ist das in den Einbauhinweisen zum Industriemotor erklärt.

zu Ulfs Problem:
es wäre sicher Wert, mal auszuprobieren, was passiert, wenn beide Bremsleuchten defekt sind. Wenn ich keine Ahnung hätte, hätte ich im Falle eines (knappen) Überholvorgangs sicher nicht den Nerv, das Gaspedal einmal loszulassen und dann wieder draufzutreten. Ich würde viel eher eine Vollbremsung einleiten oder schonmal das Gelände jenseits des Straßengrabens inspizieren. Sowas müßte eigentlich in der Betriebsanleitung stehen!

Bis zum Beweis des Gegenteils gehe ich aber mal davon aus, daß sich die VW Ingenieure was gedacht haben. Wäre es daher nicht besser, anstatt die Schaltung zu verändern, wie Ulf das getan hat, einfach einen Widerstand parallel zu den Bremsleuchten einzufügen, der dem Pullup im Steuergerät entgegenwirkt? Es wäre natürlich auch erstmal nötig, auszuprobieren, welcher Wert da optimal ist. Aber dann ist das Problem doch vom Tisch und alle 'Sicherheitsfunktionen' sind nach wie vor aktiv.

Oder wollten die VW Ingenieure lediglich bewirken, daß sich kaputte Bremsleuchten durch eine blinkende Kontrollampe bemerkbar machen??

Servus
Wolfgang

Wolfgang, syncro16 hat folgendes geschrieben:

Bis zum Beweis des Gegenteils gehe ich aber mal davon aus, daß sich die VW Ingenieure was gedacht haben. Wäre es daher nicht besser, anstatt die Schaltung zu verändern, wie Ulf das getan hat, einfach einen Widerstand parallel zu den Bremsleuchten einzufügen, der dem Pullup im Steuergerät entgegenwirkt? Es wäre natürlich auch erstmal nötig, auszuprobieren, welcher Wert da optimal ist. Aber dann ist das Problem doch vom Tisch und alle "Sicherheitsfunktionen" sind nach wie vor aktiv. Oder wollten die VW Ingenieure lediglich bewirken, daß sich kaputte Bremsleuchten durch eine blinkende Kontrollampe bemerkbar machen??

Hi Wolfgang

an einen Widerstand parallel zu den Bremsleuchten dachte ich auch schon. Aber letzlich wäre es nur ein Verbesserung eines IMO ungünstig konzipierten Grundsystems, daher hab ich das Ganze geradlinig auf einen Schalter reduziert.

Diese Variante hat nach meiner Überlegung nur einen wirklichen Nachteil (gegenüber mehreren bei der Originalschaltung):
Wenn F 74 irgendwann so kaputtgeht, daß er nicht mehr öffnet, bemerkt das der Fahrer grundsätzlich nicht, weil ja immer die normale Leistung verfügbar ist.
Tritt dann später auch noch ein Defekt im Gaspedalgeber dergestalt auf, daß ein ungewollter Volllastbefehl ohne "innere Unplausibilitäten" gegeben wird, so bringt gleichzeitiges Bremsen die EDC nicht mehr in den Notlauf, da sie ja wegen des kaputten F47 die Bremsung nicht bemerkt.

In dieser Situation wäre der kaputte F47 wegen der Redundanz mit F schon bei der 1. Bremsung nach dem Defekt aufgefallen, und der Fahrer wäre wohl irgendwie gewarnt worden (Notlauf, Fehlereintrag).