CN102678348B

CN102678348B - 具有用于控制设备功能的控制系统的设备

Info

Publication number: CN102678348B
Application number: CN201210066401.8A
Authority: CN
Inventors: A.拉尔; H.瓦格纳; M.图尔克
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2011-03-15
Filing date: 2012-03-14
Publication date: 2017-08-29
Anticipated expiration: 2032-03-14
Also published as: DE102011100982A1; CN102678348A

Abstract

本发明涉及一种设备（100），特别是一种具有至少两个液压回路（200、300）和至少两个发动机（410、420）的静液压设备（100），具有一个用于控制设备功能的控制系统，所述控制系统恰好具有两个控制器（510、520），其中，将控制器（510、520）中的每个控制器设置成当另一控制器有故障时控制设备功能，其中，控制器（510、520）中的每个控制器设置成在有故障时自己切断。

Description

具有用于控制设备功能的控制系统的设备

技术领域

本发明涉及一种具有用于控制设备功能的控制系统的特别是静液压的设备。

背景技术

本发明涉及特别是用于设计为移动作功机械的汽车（例如市政公用汽车、紧凑增压机、叉车、汽车牵引车）的安全设计领域。在所述类型的车辆中是由发动机，通常是内燃机，例如柴油机来驱动静液压驱动单元。静液压驱动单元通常包括一个或者多个由发动机驱动的液压泵，和一个或者多个在（大多是封闭的）液压回路中连接的液压马达（用于旋转运动），和/或液压缸（用于线性运动），在必要时的用于控制消耗器的阀门等。

其中在许多应用中在有故障时允许汽车搁置不动的。这是借助故障安全安全设计实现的。在这些安全设计中在有故障时切断执行机构，并且因此汽车停下来（所谓的故障安全—“Fail-Safe”）。然而也公开了一些方案（Szenarien），在这些方案中在有故障时必须保证应急运行（所谓的故障运行“Fail-Operational）。例如汽车牵引车必须能离开危险区域。

故障安全的意思是在有故障时有故障的部件不再能使用了，并且处于可控制的原始状态。部件有故障必须通过设备中的附加的措施能够导致一种可控制的最终结果。故障运行的意思是在有故障时设备能继续工作。设备不是处于故障状态。它仍然能运行。在现有技术中这样一种设备至少由三个部件（“三个可信度中的两个”）构成。这种提供使用很费事，并且成本高。

因此人们希望以这种现有技术为依据以少的费用提供一种特别是静液压的设备供使用，这种设备当重要的部件有故障时至少还能提供应急运行（所谓的故障运行）。

发明内容

根据本发明建议一种具有用于控制设备功能的控制系统的设备，所述控制系统恰好具有两个控制器，其中，控制器中的每个控制器设置用于当另一控制器有故障时控制设备功能，其中控制器中的每个控制器设置用于在有故障时自己断开。一些有利的方案是下述说明的主题。

本发明的优点

本发明描述一种常规的“故障安全”部件，特别是控制器为基础，构造一种“故障运行”系统的方案。通过这一措施有大量经过考验的“故障安全”的部件也可在对可使用性有高更要求的用途中得到应用。这种设备能够，也就是说在没有操作人员介入的情况下自主地更换到应急运行。为此当今通常采用“从三个可信度中选两个”，为此需要至少三个部件。本发明只通过“故障安全”部件的两套设计和它们的相互监控就能实现这一点。通过这一措施减少了设备成本，简化了可信度评估，并且提高了可使用性。

根据本发明设置两个控制器，这样，即使一个控制器出故障也能保证该设备的应急运行。为此规定相互监控，例如通过所谓的“活信号”（Alive-Signal）。

在相互可信度方面优选地每个控制器将它的输入信号也传输到另一控制器。通过这一措施另一控制器的所有的输入信息同时可提供给每一个控制器使用。这个另一控制器并行地计算它的伙伴控制器的控制任务。按照这种方式通过平衡结果这些控制器可相互信赖。可如此地识别存储器故障和其它的硬件故障（例如Bit-Kipper），而不必开发费钱的第二软件层。

当一个控制器出故障时出现“故障安全”模态，并且所有终端级以及有故障的控制器的总线通信被切断。在应急运行时现在可用余下的控制器控制设备。

此外，当两个控制器使用相同的软件时可使研制成本保持得很小。

在正常运行时可以设想不同的情况。例如可以规定，在正常运行期间第一控制器（所谓的“主控制器”）感知例如特别是所有液压回路和发动机的整个控制任务，并且只受到第二控制器（所谓的“从控制器”）的监控。例如可在控制器中将作用的分配参数化。然后优选地通过转换装置将两个控制器的输出端（终端级）和特别是用于触发例如液压回路的部件（泵、马达等）的所属的执行机构连接起来，其中，转换装置是如此设置的，即它基本上是接通第一控制器（“主控制器”），只是在第一控制器有故障时才接通第二控制器。对发动机，例如内燃机的触发在当今通常是通过总线，例如CAN总线完成。在这种情况中两个控制器与这个总线连接，其中，通过这一措施第二控制器也感知第一控制器的总线输出，并且相反。特别是通过这一措施一个控制器可识别另一控制器的故障，并且在必要时承担触发的任务。这种实施形式在控制技术上可特别简单地实现。

本发明可特别有利地用于静液压设备，以便能以简单的方式将这种设备用作“故障运行”设备。

根据另一实施形式规定，第一控制器在正常运行期间触发两个发动机和液压回路中的一个回路，其中，第二控制器触发另一液压回路。在这种情况中给两个控制器中的每个控制器固定分配一个液压回路，以触发它的执行机构。在此有利地可使用成本更为有利的，且具有较少输出端的控制器。此外，也可只由第一控制器通过总线实施对发动机的触发。合适地如此地设置这些控制器，即所要求的额定力矩均匀地分布在所有的液压回路中。然而也可以设置一些专用的装置，它们的任务特别是使牵引力能最佳地分布。在应急运行时发动机可用余下的控制器和配属的液压回路继续运行，然而是以减小的总力矩。

根据本发明的设备的一个优选的实施形式具有恰好两个液压回路，其中，每个液压回路恰好具有两个液压泵和至少一个液压马达；具恰好两个发动机，其中，每个发动机分别驱动液压回路中的每个液压回路中的恰好一个液压泵。通过这种余度设计即使一个液压回路、一个液泵和一个发动机有故障也能紧急运行。另一方面不要保持多于两个的部件，这使得费用比较少。

从说明书和附图可得到本发明的其它优点和方案。

当然，前面已述的和后面还将说明的特征不仅可在分别已说明的组合中应用，而且也可在不脱离本发明的框架的情况下在其它的组合中应用，或者单独应用。

下面借助在简图中示出的实施例，并且参考附图对本发明进行详细的说明。

附图说明

图1：设计为静液压设备的根据本发明的设备的一个优选的实施形式的线路图。

图2：当图1的设备的一个控制器有故障时用于提供应急运行的第一优选方案简图。

图3：当图1的设备的一个控制器有故障时用于提供应急运行的第二优选方案简图。

具体实施方式

图1示出设计为静液压设备的根据本发明的设备的一个优选的实施形式的线路图，并且总体用附图标记100表示。在所示实施例中设备100具有两个液压回路200和300，其中每个液压回路具有两个液压泵210、220或310、320。此外，在液压回路200中设置有用于例如驱动轮子等的液压马达230和240。液压回路300相应地具有液压马达330和340。

在液压回路的入口和出口存在的压力用P1到P4表示，液压马达的转速用n₁到n₈表示。

液压泵210和310由在此设计为柴油机410的第一发动机驱动，液压泵220和320由在此设计为柴油机的第二发动机420驱动。

在液压回路200和300中设置有虚线表示的关闭阀500，出于简化的原因这些关闭阀并非都用附图标记500标注。这些关闭阀500是用于在部件有故障时也能保持运行。

此外，设备100还具有第一控制器510和第二控制器520，用于触发所述的部件，特别是发动机410和420、液压泵以及液压马达，或者它们的相应的执行机构。

发动机、液压泵以及液压马达和控制器分别为两套设计，这样，当部件之一有故障时可保持应急运行。

通过上述设计可以收集到已述不同的单个故障，这样就可应急运行：

在柴油机有故障时两个液压回路仍然可使用。此外，可施加全部的牵引力，然而只有减小的功率（行驶速度）供使用。

在液压泵有故障时两个液压回路仍然可以使用。此外，可施加全部的牵引力，然而只有减小的功率（行驶速度）供使用。余下的驱动功率可比一个柴油机有故障时更高。

在一个液压马达有故障时不再有全部牵引力供使用。余下的牵引力与静液压驱动装置的设计有关。可达到最高的行驶速度。

当整个液压回路有故障时不再有全部的牵引力供使用。余下的牵引力与静液压驱动装置的设计有关。可以达到最高的行驶速度。

下面参考附图2和3对即使一个控制器有故障时对用于提供应急运行的不同的优选方案进行说明。

图2简图示出，如何能按照第一优选方式触发图1中的设备100。

为此，第一控制器510，下面称它为主控制器，在步骤21中接收涉及液压回路200和300的传感器信号。其中例如涉及在进口和出口的压力P_i，泵和马达的角度和转速n_i，希望的驱动力矩等。在步骤22中，特别是通过总线连接将这些参数也传输到第二控制器520中，下面将这个第二控制称之为从控制器。

在步骤23中第一控制器510根据前面所述的参数确定对液压回路200和300的执行机构的触发、对发动机410和420的触发，并且相应地对这些部件进行触发。此外，第一控制器510根据上述参数确定产生的液压马达的产生的驱动力矩，并且将其传输到第二控制器520，以确定可信度。

在步骤24中，第二控制器520也是根据所述参数确定驱动力矩，并且由此在步骤25中确定由第一控制器提供的力矩的可信度。

在步骤25中特别地检查由第一控制器510确定的力矩的总和是否符合规定的希望驱动力矩，并且检查由控制器510确定的单个力矩是否符合由控制器520确定的力矩。当其中识别出第一控制器510有功能故障时，则由第二控制器520来承担触发。特别是当单个力矩的总和不符合规定的希望驱动力矩，可识别出功能故障。此外，每个单个的控制器的“故障安全”设计已包括有自身诊断，因此可识别功能故障。这通常是通过控制器中的监控模块保证的，其在有故障的情况时监控模块切断该控制装置。

为了承担控制将转换装置530设置在两个控制器510、520和液压回路200或300的应触发的执行机构540、541之间，其在正常运行时将第一控制器510与两个液压回路的执行机构540、541连接起来，并且在第一控制器510有故障的情况时将第二控制器520与两个液压回路的执行机构540、541连接起来。

在图3中简图示出如何按照第二优选的方式对图1中的设备100进行触发。

在步骤31中第一控制器510接收涉及第一液压回路200的参数，并且通过总线连接将这些参数传输到控制器520。

在步骤32中第二控制器520接收涉及第二液压回路300的参数，并且将这些参数传输到第一控制器510。

在步骤33中第一控制器510计算用于触发第一液压回路200的执行机构540以及两个发动机410和420所必需的触发参数，并且将其输出。其中，特别是程序技术地设置一种分配装置，所述分配装置将所要求的希望驱动力矩分配到两个控制器510、520上。此外，第一控制器510还将涉及液压回路200的参数传输到信度评估步骤35，以及用于可信度评估步骤38的第二控制器520。

在步骤34中第一控制器510计算涉及第二液压回路300的参数，并且将这些参数输送到可信度评估步骤35。

在步骤37中第二控制器520以相应的方式计算涉及第一液压回路200的参数，并且将这些参数输送到可信度评估步骤38。

在步骤36中第二控制器520也以相应的方式确定用于触发第二液压回路300的执行机构541所必需的触发参数，输出这些参数，并且将这些参数传输到步骤35和38，以进行可信度评估。

在可信度评估步骤35或38中分别确定，分别由另一控制器触发的驱动力矩以及本身触发的驱动力矩的总和是否符合希望的驱动力矩，并且本身触发的驱动力矩是否符合由另一控制器计算的驱动力矩。

在这其中，当确定一个控制器有功能故障时，则有关的控制器转换到故障安全状态，并且被切断，这样，为了进行应急运行还可使用由起作用的控制器触发的液压回路。然后由起作用的控制器承担对发动机410和420的触发。

Claims

1.具有用于控制设备功能的控制系统的设备，所述控制系统恰好具有两个控制器（510、520），其中，控制器（510、520）中的每个控制器设置用于当另一控制器有故障时控制设备功能，其中控制器（510、520）中的每个控制器设置用于在有故障时自己断开，将所述设备设计为静液压设备（100），它具有：

- 至少两个液压回路（200、300），其中，每个液压回路具有至少两个液压泵（210、220；310、320），并且具有至少一个液压马达（230、240；330、340），

- 至少两个发动机（410、420），其中，每个发动机（410、420）分别驱动每个液压回路中的至少一个液压泵（210、310；220、320），

其中，将控制器（510、520）中的每个控制器设置成当所述另一控制器有故障时触发所述至少两个液压回路（200、300）和所述至少两个发动机（410、420）。

2.按照权利要求1所述的设备（100），其中，两个控制器（510、520）中的每个控制器设置用于监控相应另一控制器，并且在相应另一控制器故障的情况下切断相应另一控制器。

3.按照权利要求1所述的设备（100），其中，两个控制器中的第一控制器（510）设置成在正常运行时触发所述至少两个发动机（410、420）。

4.按照权利要求1所述的设备（100），其中，两个控制器中的第一控制器（510）设置成在正常运行时触发所述至少两个液压回路（200、300）的执行机构（540、541）。

5.按照权利要求4所述的设备（100），其中，在两个控制器（510、520）和液压回路（200、300）应触发的执行机构（540、541）之间设置转换装置，其在正常运行时将两个控制器（510、520）的第一控制器（510）与液压回路（200、300）的执行机构连接起来，并且在第一控制器（510）有故障时将所述另一控制器（520）与液压回路（200、300）的执行机构连接起来。

6.按照权利要求1所述的设备（100），其中，将两个控制器（510、520）的每个控制器设置成在正常运行时分别触发液压回路（200、300）中的至少一个液压回路的执行机构（540、541）。

7.按照权利要求6所述的设备（100），其中，设置分配装置，所述分配装置将希望驱动力矩分配到两个控制器（510、520）。

8.用于按照权利要求1至7中的任一项所述的设备（100）的运行方法，其中，所述至少两个发动机（410、420），和/或所述至少两个液压回路（200、300）的执行机构（540、541）由两个控制器（510、520）中的至少一个控制器触发。

9.按照权利要求8所述的方法，其中，在正常运行时两个控制器中的第一控制器（510）触发所述至少两个发动机（410、420）。

10.按照权利要求8或9所述的方法，其中，在正常运行时两个控制器中的第一控制器（510）触发所述至少两个液压回路（200、300）的执行机构（540、541）。

11.按照权利要求10所述的方法，其中，在第一控制器（510）有故障时所述另一控制器（520）触发液压回路（200、300）的执行机构（540、541）。

12.按照权利要求8或9所述的方法，其中，在正常运动时，两个控制器（510、520）中的每个控制器分别触发液压回路（200、300）中的至少一个液压回路的执行机构（540、541）。

13.按照权利要求12所述的方法，其中，将希望驱动力矩分配到两个控制器（510、520）。