CN104080684B

CN104080684B - 在机动车的电子控制器中的用于识别错误的电路装置

Info

Publication number: CN104080684B
Application number: CN201380007698.3A
Authority: CN
Inventors: J·默尔曼
Original assignee: Bayerische Motoren Werke AG
Current assignee: Bayerische Motoren Werke AG
Priority date: 2012-02-03
Filing date: 2013-01-29
Publication date: 2017-02-22
Anticipated expiration: 2033-01-29
Also published as: WO2013113710A1; DE102012201653A1; DE102012201653B4; CN104080684A; US9174651B2; US20140343817A1

Abstract

本发明涉及一种在机动车的电子控制器中的用于识别错误的电路装置，该电路装置具有多个层(E1、E2、E3)。两个层(E1、E2)至少检测油门踏板位置作为输入信号。第一层(E1)具有用于确定与目标纵向加速度成比例的参量的驾驶员愿望确定模块(10)并且将所述参量作为输入信号传送到第二层(E2)的可信度测试模块(100)。所述可信度测试模块具有至少一个错误识别程序，如果在预定的时间段上不存在油门踏板位置和/或油门踏板位置变化与所确定的和目标纵向加速度成比例的参量之间的限定的(静态或动态的)正确的关系，即如果所述关系为不可信，通过该错误识别程序能识别出错误。

Description

在机动车的电子控制器中的用于识别错误的电路装置

技术领域

本发明涉及一种在机动车的电子控制器中的用于识别电子控制驱动系统中的错误的电路装置。

背景技术

通过法定标准(例如ISO或CARB标准规范)许多年来已经形成对于机动车制造商的要求，机动车中的电子控制器或电子控制系统、例如数字化发动机控制器或自适应变速器控制器必须是能自诊断的。由此例如开发出所谓的OBD(车载诊断)系统。对于OBD系统的设计构造的实例可在本申请人的专利文献DE19731283A1中找到。

除了本来的功能控制的软件范围外，机动车内部的电子控制器与此相关具有大的用来自诊断的软件范围。控制器内部的自诊断的一个实例在本申请人的专利文献DE19612857A1中描述。

上述错误诊断的焦点迄今在于各单个的控制器或每个单个的被电子控制的车辆系统本身的固有安全性。由此带来高的应用花费。特别是在发动机控制器或者说内燃机控制器(对于汽油机或柴油机)中，当每个编程的功能都必须确保时，由此出现大数量的被存储的综合特征曲线。单单对于在根据油门踏板位置预定目标驱动功率时的功能编程的花费，由本申请人的专利文献DE10249689A1能得出一个实例。如果在那里所示的用于功能编程的综合特征曲线自身可靠地被诊断，则将会需要大致两倍的编程花费或存储空间，因为对于综合特征曲线的每个特征曲线都必须存储一个错误识别阈值。

此外由专利文献DE4438714A1已知一种在实践中当前广泛采用的所谓的三层安全设计方案，特别是与用来控制驱动功能的电子发送机控制器相关。本发明的用于监控驱动功能的电路装置从三层安全设计方案出发。已知的三层安全设计方案具有复杂系统构架，其对于将来变得越来越复杂的和越来越多联网的控制器功能要求高开发费用。

最后，补充地参考本申请人的(未先公开的)DE102011002805.6，其已经包含一种用来识别机动车的电子控制系统中的错误的方法，其中，用于实施该方法的系统构架没有提及。

发明内容

本发明的目的是，简化用来识别机动车驱动系统中的错误的安全设计方案的系统构架，特别是包括以下的目标方向：

·抑制通过附加的功能和部件引起的开发费用；

·避免不同部件的多重花费；

·抑制控制各控制器之间的安全相关的通信；

·抑制不同部件(功能上和数量上)的要求增加；

·在此还应保证对于联网的系统的ISO安全证明。

在按照本发明的在机动车的电子控制器中的用于识别电子控制驱动系统中的错误的电路装置中，所述电路装置在结构上至少分为两个层，即一个第一功能控制层和一个第二监控层，第一功能控制层和第二监控层至少检测油门踏板位置作为输入信号。所述第一功能控制层具有用于确定与目标纵向加速度成比例的参量的驾驶员愿望确定模块并且将所述参量作为输入信号发送给所述第二监控层的可信度测试模块。所述可信度测试模块具有至少一个错误识别程序，如果(特别是在预定的时间段上)不存在油门踏板位置和/或油门踏板位置变化与所确定的与目标纵向加速度成比例的参量之间的限定的正确的关系，即该关系是不可信的，则通过所述错误识别程序能识别出错误。

通过本发明满足主安全要求，即避免意外加速和意外的车轮打滑。

本发明从常规的所谓的三层安全设计方案出发，在下面结合附图的描述中还要更详细地阐述该方案。

在按本发明的电路装置中优选地在所述可信度测试模块中能够实施第一错误识别程序，如果限定的与油门踏板位置变化有关的目标纵向加速度梯度长于预定的时间段被超越(不存在)限定的正确的第一关系，通过所述第一错误识别程序识别出错误。为了实施按本发明的方法而相应地对控制器的可信度测试模块编程。

优选地，限定的与油门踏板位置变化有关的加速度梯度受到第一功能控制层的本来的功能范围的特性曲线中的最大斜率限制，通过该特性曲线根据油门踏板位置预定目标车辆加速度。该最大的斜度按经验特别是在行驶试验中求得，以便确定对于驾驶员来说哪些加速度梯度刚好还是能胜任的或者说是能掌控的。限定的与油门踏板位置变化有关的加速度梯度被存储在控制器的存储器中并且被利用到控制器的可信度测试模块中，以用于实施按本发明的方法。

在本发明的另一扩展方案中，在油门踏板未被操纵的情况下，借助控制器在可信度测试模块中能够实施第二错误识别程序，如果限定的优选与机动车速度有关的目标纵向加速度阈值长于预定的时间段被超越(不存在限定的正确的第二关系)，通过所述第二错误识别程序识别出错误。

在本发明的另一扩展方案中，在驱动滑转调节系统未被激活的情况下，借助控制器在可信度测试模块中能够实施第三错误识别程序，如果在油门踏板未被操纵的情况下或者在油门踏板角度减小的情况下长于预定的时间段由车轮转速确定的加速度梯度为正并且同时不是由车轮转速确定的目标纵向加速度梯度同样为正(不存在限定的正确的第三关系)，则通过所述第三错误识别程序识别出错误。

为此在控制器的第二监控层中可信度测试模块直接地得到或者经由数字总线信息也得到车轮转速值或由转轮转数值得出的加速度作为输入信号。车轮转速经由相应传感器按照已知方式例如为调节滑转而测得。

此外在可信度测试模块中能够实施第四错误识别程序，如果在预定的恒定的油门踏板位置情况下存在过高的目标纵向加速度(不存在限定的正确的第四关系)，则通过所述第四错误识别程序识别出错误。

通过本发明满足所有的所需要的ISO规范：

·新的设计方案允许易控制的分析和文档记录；

·少数量的输入参量可以准备提供所需要的ASIL水准；

·监控精确度至少可与迄今的安全设计方案的实际发动机力矩监控类似；

·该设计方案覆盖所有的错误机构，例如打滑的车轮、执行机构。

附图说明

在附图中示出了本发明的实施例用于阐述本发明。其中示出：

图1是关于具有可能的电子控制系统网络的机动车部件的示意性总览图；

图2是关于机动车中电子控制器与电子控制系统的可能的联网的示意性总览图；

图3是根据现有技术的三层安全方案的示意性示图；

图4是关于直接和间接(或者非)加速度有效力矩的总览图；

图5是关于现有技术的驾驶员愿望检测的监控结构的总览图；

图6是关于本发明的驾驶员愿望检测的监控结构的总览图；

图7是关于驾驶员愿望检测的监控结构内部的可能的错误识别程序的总览图；

图8是关于第一错误识别程序的实例；

图9是用于确定限定的与油门踏板位置变化有关的加速度梯度的实例；

图10是关于第二错误识别程序的实例；

图11是关于第三错误识别程序的实例，其中没有识别出错误；

图12是关于第三错误识别程序的实例，其中识别出错误。

具体实施方式

在图1中示出关于具有可能的电子控制系统网络的机动车部件的示意性总览图，该机动车包括：具有电子发动机控制器DMS的内燃机VM，具有电子变速器控制器EGS的自动变速器G，以及具有电子制动控制器DSC的制动系统。此外，示意性示出机动车车轮R，该车轮具有用于检测车轮转速n_R的传感器。用于检测车轮转速n_R的信号例如在制动控制器DSC中被检测。由此计算例如由车轮转速确定的加速度a_{n_R}。发动机控制器DMS例如经由数字总线连接得到由车轮转速确定的加速度a_{n_R}，该数字总线连接存在于所有控制器之间。为此，在图2中再次示出关于在经由数字总线连接的电子控制器DMS、DSC、EGS和可选地还有驾驶辅助控制器FAS的可能的联网的示意性总览图。

根据图2，电子发动机控制器DMS至少得到油门踏板位置——例如直接经由用于测量油门踏板角度α_FP的传感器的信号——以及车轮转速n_R作为输入信号。

根据本发明的电路装置优选地被集成在模块2a中，用于监控根据现有技术的三层安全方案中的驾驶员愿望检测，该三层安全方案进一步在图3中示意性地示出。在根据现有技术的三层安全方案中，优选地在唯一的控制器中，这里尤其在电子发动机控制器DMS中，至少设有第一层E1作为具有本来的功能软件的功能控制层，和第二层E2作为具有监控软件的监控层。第三层E3设定用于硬件监控并且例如检查，用于在层E1和E2中实施软件的计算机是否正确运行。如果识别出确定的错误，那么该系统(在这里为发动机控制器)或者被置于预先规定的紧急运转中或者被切断。

在层E1中，在模块1a中检测驾驶员愿望，并且由此确定目标驱动力矩、目标纵向加速度或目标车轮力矩，其被传送到模块1b中用于朝目标预定值调整，并且最后在作为力矩调节器模块的模块1c中转换为用于执行器(例如用于在内燃机中喷射、点火和空气供给，或者在电动机或混合驱动时的驱动电流)的操控信号。驾驶员愿望的输入信号特别是油门踏板位置或者也是通过行驶速度调节系统(ACC)或制动系统(ABS、ASC、DSC)的预定值。

在层E2中根据现有技术在模块2a中实施驾驶员愿望检测的监控，这里模块2a的输入信号与在模块1a中的输入信号相同并且通过复制驾驶员愿望检测实施监控。在图5中可见根据现有技术的模块2a的详细视图。因此为了监控而与层E1无关地双重地计算和检查目标预定值。随后在图3的模块2b中实施目标数值与纵向加速度或其成比例的参量的实际值的比较。最后在模块2c中进行力矩调节器的监控。

在图4中与力矩调节器的监控相关地示出，哪些力矩是(正比)加速度有效的。因此，发动机力矩M_mot不能或只能是间接加速度有效的。加速度有效力矩特别是变速器输出力矩或车轮力矩M_{Rad_ist}。这些力矩与机动车纵向加速度a_{Fzg_ist}成正比并且其实际值可以由此在层E2的模块2b中例如借助机动车速度传感器S_a被应用于进行目标－实际－比较。

根据本发明的电路装置在这里涉及模块2a，用于驾驶员愿望的监控并且在图6中进一步示出。根据图6设有自身的可信度测试模块100来代替功能软件的复制，该可信度测试模块具有至少一个错误识别程序(SF_01、SF_02、SF_03、SF_04)，如果在预定时间段上不存在油门踏板位置(α_FP)和/或油门踏板位置变化(Δα_FP/Δt)与所确定的和目标纵向加速度成比例的参量(M_{Rad_soll}或a_{Fzg_soll})之间的限定的正确的关系(例如参见图7以后，用于正确的错误识别程序)，通过该错误识别程序能够识别出错误。如果没有识别出错误(“j”表示运行正常)，那么功能按照所期望的方式被转换。如果识别出错误(“n”表示运行不正常)，那么要么转到紧急运转中，要么完全关掉控制器，在紧急运转中预定降低的目标纵向加速度或降低的目标车轮力矩M_NL。

这里借助本发明的电路装置通过可信度测试模块100，例如当不是另一错误识别程序先于第一错误识别程序时，实施第一错误识别程序SF_01，该可信度测试模块100至少检测来自层E1的模块1a的油门踏板位置α_FP和机动车的目标纵向加速度a_{Fzg_soll}作为输入信号。如在图8中通过虚线示出，当限定的与油门踏板位置变化Δα_FP/Δt有关的目标纵向加速度梯度Δa_{Fzg_soll}/Δt长于预定的时间段被超越时，由此基本上识别出错误。借助实线表明实际走向，该实际走向在这里不会导致错误识别。

借助第一错误识别程序SF_01应该特别防止不被驾驶员掌控的加速度变化(动态情况)。

根据图8，借助第一分错误识别程序SF_01a特别是对于正的油门踏板位置变化Δα_FP/Δt，根据图9中推导出的最大允许加速度变化[Δa_Fzg/Δα_FP]_max限定与油门踏板位置变化Δα_FP/Δt有关的加速度梯度Δa_{Fzg_soll}/Δt：

限定的与油门踏板位置变化Δα_FP/Δt有关的加速度梯度Δa_{Fzg_soll}/Δt受到在本来的功能范围的特性曲线中的最大斜率Δa_{Fzg_soll}/Δα_FP限制，通过该特性曲线根据油门踏板位置α_FP预定目标机动车加速度a_{Fzg_soll}。在此，优选附加地允许关于[Δa_Fzg/Δα_FP]_max的公差范围TB(参见图8)。根据图8，借助第二分错误识别程序SF_01b特别是对于负的油门踏板位置变化Δα_FP/Δt，限定与油门踏板位置变化Δα_FP/Δt有关的最小加速度梯度Δa_{Fzg_soll}/Δt，在这里为[Δa_Fzg/Δα_FP]_max＝0；因为借此由驾驶员要求制动功率，通过该制动功率应该基本上不会出现加速度增加。

图10示出在油门踏板未被操纵Δα_FP＝0时接替第一错误识别程序SF_01的第二错误识别程序SF_02；因此，如果限定的优选地与机动车速度v_Fzg有关的加速度阈值a_{Fzg_soll_grenz}＝f(v_Fzg)长于预定的时间段被超越，在油门踏板未被操纵Δα_FP＝0的情况下与第一层E1无关地在可信度测试模块100中识别出错误；因为也在惯性滑行中更不允许发生较大加速度。

如果出现车轮打滑，借助图11和12示出在驱动滑转调节系统未被激活的情况下的另一特殊情况，该车轮打滑没有通过制动控制器DSC调整；在这里在可信度测试模块100中附加地或者代替第一错误识别程序SF_01实施第三错误识别程序SF_03，如果在油门踏板未被操纵Δα_FP＝0的情况下或者在油门踏板角度减小Δα_FP/Δt<0的情况下长于预定的时间段由车轮转速n_R确定的加速度梯度Δa_{n_R}/Δt为正并且同时没有由车轮转速n_R确定的机动车加速度梯度Δa_Fzg/Δt同样为正，通过第三错误识别程序识别出错误。通过该错误识别，代替驱动滑转调节系统或者说制动控制器DSC，发动机控制器DMS能够进行驱动力矩降低并且为此保证稳定的驾驶状态。

因此在图11中没有识别出错误，因为在保持不变的驱动力矩情况下，用于车轮打滑的触发器是从高摩擦系数μ_high到低摩擦系数μ_low的转变：其得出加速度梯度Δa_{n_R}/Δt和Δa_Fzg/Δt的相反走向(始终以a_Fzg:＝a_{Fzg_soll})。然而根据图12，识别出功能范围的框架中的错误，因为虽然保持不变的高摩擦系数μ_high，显而易见，通过驱动系统中(例如在内燃机控制器DMS或在变速器控制器EGS中，图1)的错误不允许地提高驱动力矩。根据图12，通过比较加速度梯度Δa_{n_R}/Δt和机动车加速度梯度Δa_Fzg/Δt的走向方向(这里在图12中为正的走向)排除了根据图11(相反的走向)存在允许的情况。

在图7中，还补充地示出第四错误识别程序SF_04，该第四错误识别程序能够在可信度测试模块100中实施。如果在确定的恒定的油门踏板位置(α_FP＝常数)不等于零时超越预定的纵向加速度阈值a_{Fzg_soll_sw}，则在此识别错误。借此应防止未被驾驶员掌控的加速度(静态情况)。

在错误识别的情况下，原则上通过所有的错误识别程序SF_01(以加速度变化监控的形式)、SF_02(以加速度滑行监控的形式)、SF_03(以防止车轮无意打滑的形式)、和/或SF_04(以绝对的阈值监控的形式)降低或完全切断驱动力矩。

通过根据本发明的电路装置实现具有系统决定意义的但简单的配设于发动机控制的监控方案。

Claims

1.在机动车的电子控制器(DMS)中的、用于识别电子控制驱动系统中的错误的电路装置，所述电路装置在结构上至少分为两个层(E1、E2)，即一个第一功能控制层(E1)和一个第二监控层(E2)，

第一功能控制层(E1)和第二监控层(E2)至少检测油门踏板位置(α_FP)作为输入信号，

所述第一功能控制层(E1)具有用于确定与目标纵向加速度成比例的参量的驾驶员愿望确定模块(10、1a)，并且将所述参量作为输入信号发送给所述第二监控层(E2)的可信度测试模块(100、2a)，

所述可信度测试模块(100、2a)具有至少一个错误识别程序(SF_01、SF_02、SF_03、SF_04)，如果不存在油门踏板位置(α_FP)和/或油门踏板位置变化(△α_FP/△t)与所确定的与目标纵向加速度成比例的参量之间的限定的正确关系，则通过所述错误识别程序能识别出错误。

2.如权利要求1所述的电路装置，其特征在于，所述可信度测试模块(100、2a)具有一个第一错误识别程序(SF_01，SF_01a、SF_01b)，如果限定的与油门踏板位置变化(△α_FP/△t)有关的目标纵向加速度梯度(△a_{Fzg_soll}/△t)长于预定的时间段被超越，通过所述第一错误识别程序识别出错误。

3.如权利要求1所述的电路装置，其特征在于，限定的与油门踏板位置变化(△α_FP/△t)有关的目标纵向加速度梯度(△a_{Fzg_soll}/△t)受到在第一功能控制层(E1)的本来的功能范围的特性曲线中的最大斜率([△a_{Fzg_soll}/△α_FP]_max)限制，通过该特性曲线根据油门踏板位置(α_FP)预定目标纵向加速度(a_{Fzg_soll})。

4.如权利要求2所述的电路装置，其特征在于，限定的与油门踏板位置变化(△α_FP/△t)有关的目标纵向加速度梯度(△a_{Fzg_soll}/△t)受到在第一功能控制层(E1)的本来的功能范围的特性曲线中的最大斜率([△a_{Fzg_soll}/△α_FP]_max)限制，通过该特性曲线根据油门踏板位置(α_FP)预定目标纵向加速度(a_{Fzg_soll})。

5.如权利要求1所述的电路装置，其特征在于，在油门踏板未被操纵(△α_FP＝0)的情况下，在可信度测试模块(100、2a)中能够实施第二错误识别程序(SF_02)，如果限定的目标纵向加速度阈值(a_{Fzg_soll_grenz}＝f(v_Fzg))长于预定的时间段被超越，通过所述第二错误识别程序识别出错误。

6.如权利要求2所述的电路装置，其特征在于，在油门踏板未被操纵(△α_FP＝0)的情况下，在可信度测试模块(100、2a)中能够实施第二错误识别程序(SF_02)，如果限定的目标纵向加速度阈值(a_{Fzg_soll_grenz}＝f(v_Fzg))长于预定的时间段被超越，通过所述第二错误识别程序识别出错误。

7.如权利要求3所述的电路装置，其特征在于，在油门踏板未被操纵(△α_FP＝0)的情况下，在可信度测试模块(100、2a)中能够实施第二错误识别程序(SF_02)，如果限定的目标纵向加速度阈值(a_{Fzg_soll_grenz}＝f(v_Fzg))长于预定的时间段被超越，通过所述第二错误识别程序识别出错误。

8.如权利要求4所述的电路装置，其特征在于，在油门踏板未被操纵(△α_FP＝0)的情况下，在可信度测试模块(100、2a)中能够实施第二错误识别程序(SF_02)，如果限定的目标纵向加速度阈值(a_{Fzg_soll_grenz}＝f(v_Fzg))长于预定的时间段被超越，通过所述第二错误识别程序识别出错误。

9.如权利要求1至8中任一项所述的电路装置，其特征在于，在驱动滑转调节系统(DSC)未被激活的情况下，在可信度测试模块(100、2a)中能够实施第三错误识别程序(SF_03)，如果在油门踏板未被操纵(△α_FP＝0)的情况下或者在油门踏板角度减小(△α_FP/△t<0)的情况下长于预定的时间段由车轮转速确定的加速度梯度(△a_{n_R}/△t)为正并且同时不是由车轮转速确定的目标纵向加速度梯度(△a_{Fzg_soll}/△t)同样为正，则通过所述第三错误识别程序识别出错误。

10.如权利要求1至8中任一项所述的电路装置，其特征在于，在所述可信度测试模块(2a)中能够实施第四错误识别程序(SF_04)，如果在预定的恒定的油门踏板位置(α_FP)的情况下存在过高的目标纵向加速度(a_{Fzg_soll})，则通过所述第四错误识别程序识别出错误。

11.如权利要求9所述的电路装置，其特征在于，在所述可信度测试模块(2a)中能够实施第四错误识别程序(SF_04)，如果在预定的恒定的油门踏板位置(α_FP)的情况下存在过高的目标纵向加速度(a_{Fzg_soll})，则通过所述第四错误识别程序识别出错误。