CN111315622A

CN111315622A - 活塞-缸单元和具有控制和调节装置的诊断或监控功能的液压装置

Info

Publication number: CN111315622A
Application number: CN201880071724.1A
Authority: CN
Inventors: 海因茨·莱贝尔; 安东·万赞滕; 托马斯·莱贝尔
Original assignee: Ipgate AG
Current assignee: Ipgate AG
Priority date: 2017-11-03
Filing date: 2018-10-31
Publication date: 2020-06-19
Anticipated expiration: 2038-10-31
Also published as: US11702052B2; WO2019086502A1; DE112018005270A5; US20200362888A1; CN111315622B; DE102017125696A1

Abstract

第一发明涉及一种活塞‑缸单元(2、42、72)，其具有限定至少一个工作室(3、43、86、87)的活塞(1、41、71)，其中用于至少密封第一工作室(3、43、86、87)的第一密封件(9、49、79)密封地设置在活塞(1、41、71)和缸(23、42、72)之间或者在与活塞(71)连接的挺杆(88)和缸(23、42、72)之间，并且第二密封件(9a、49a、80、83)设置在第一密封件(9、49、79)和第一工作室(3、43、86、87)之间，并且所述活塞‑缸单元(2、42、72)具有第一通道(10、46、78、81、81a)，其设置在缸(23、42、72)的壁内或在活塞(1、41、71)中并且在第一密封件(9)和第二密封件(9a)之间尤其通往缸的内室中，第一通道(10)和/或与之连接的液压管路(11、51、76)具有节流装置(12)和/或阀装置，并且设有具有诊断或监控功能的电子的控制和调节装置(ECU)，用于诊断或监控密封件可能的故障或失效。作为进一步的发明，本申请包括多个液压装置，其具有活塞‑缸单元以及具有带诊断或监控功能的控制和调节装置。

Description

活塞-缸单元和具有控制和调节装置的诊断或监控功能的液压装置

技术领域

本发明涉及一种液压装置以及用于这种装置的、尤其是用于自动驾驶的制动和离合装置的活塞-缸单元密封系统，及其组件。

背景技术

已知前面所述类型的液压装置和活塞-缸单元。

例如，从DE 11 2015 00 39 89中已知一种制动系统，在该制动系统中，针对更高的要求使用了一个第二密封件，由此使故障概率明显减小，但不为零。其中，滚珠丝杠传动装置(KGT)和制动装置的马达通过第二密封件保护，防止制动液渗入。

在引入自动驾驶的同时，对组件发生故障时的安全性要求大大提高，尤其是从第3档开始。设计“失效安全”(FS)系统，例如当ABS发生故障时，不带调节功能的普通制动器将用作为后备级，不再是足够的。

从自动驾驶的第3档(HAF，高度自动驾驶)开始，需要“失效可运行”(FO)条件，在这种情况下，如果一个ABS组件失效，至少仍必须提供ABS紧急功能，以保证制动时车辆的纵向和横向稳定性。在ABS中，以电气方式检查阀线圈是否存在断路和短路。在满足传动机构的这个要求时发现更大的挑战，例如，由于阀座和密封件上的污垢而引起的泄漏，尤其是在存在隐藏的故障时。

从自动驾驶(HAF)到无人驾驶(PF)的过渡尤为关键，因为此时还有自动驾驶(HAF)中未使用的其他组件工作，例如，带制动主缸的踏板接口。在这种情况下，踏板操纵时的惯常特性不应改变，否则会使驾驶员变得混乱，而且不能形成最佳紧急制动。这里例如必须确保所有密封件都正常工作。

发明内容

本发明的任务是提供一种液压装置和用于这类装置的活塞-缸单元密封系统，例如尤其是用于制动和离合装置等，特别是用于自动驾驶。装置或安全相关的组件或部件(例如密封件)功能失效时，该系统仍能确保设备具有充分的功能。

根据本发明，此任务通过这里参考的权利要求1或25的特征来解决。权利要求中给出的附图标记仅用于方便理解本发明及其设计方案，而没有任何限制性的特征。

利用本发明所提供的解决方案，以有益的方式实现液压系统(例如制动系统)在功能受损或部件或组件失效时，在一定程度上仍然保持功能正常，如这在较高要求时，如上所述，例如自动驾驶时需要这样。

换句话说，就本发明最广泛的意义而言，在有限的范围内全部或部分维持系统的所有基本功能，其中借助于冗余利用诊断或监控来识别所谓的首次故障，从而使第二次故障不会产生影响或导致系统失效。这种基本功能在制动系统中可以是例如制动力放大、踏板特性，特别是从自动驾驶转换到无人驾驶时，保持纵向和横向稳定性(带“失效可运行”传感器的ESP，在所有车道上ABS中的完整功能，通过相应的补救措施识别车轮制动回路中的泄漏，例如防止制动回路失效)。

在这种情况下，就最广泛的意义而言，使用冗余的部件或组件，例如密封件、阀、供压装置、储存容器、控制和调节单元，其中可以适当设置诊断设备或监控设备，以便用简单的方式诊断或监控故障或失效，并在必要时采取所需要的措施，来识别冗余组件中个别故障。

其它权利要求中包含本发明适当或有利的实施例和具体实施方式，以及在各种液压系统中的应用，例如制动和离合装置等，在这些装置中及时识别密封件的功能故障对于尽可能地防止系统故障非常重要。

原则上，本发明所提供的解决方案或者有利的实施例和具体实施方式可以应用在具有更高安全性的液压系统的所有缸/活塞中。另外，由此可以将冗余扩展到整个系统，例如ECU、阀、行程模拟器(WS)(不带模拟器阀)、带多路开关(MUX)的ABS(不带排出阀)、附加进入阀和节流部、供压装置、带驱动器和马达的电源。

在密封件中使用本发明所提供的冗余时，尤其是第二(冗余)密封件连同节流的回流管一起在无压力的室尤其储存容器或室外中使用。节流部的作用是，如果第二密封件失效，泄漏流量非常低，以至于系统仍然可以容忍此泄漏流量，换句话说，例如在制动系统中不会发生系统故障，或者仍然具有足够的制动作用或制动和横向稳定性。在这种情况下，例如，如果在制动时间内踏板行程的损失是可以接受的，那么，必要时，通过供压装置补偿体积损失或仅轻微无意的踏板运动在任何情况下都是可以接受的。两者都可以在运行过程中通过监控和在诊断中被传感器检测到。泄漏流量也可以使用适当的阀进行限制。

本发明所提供的具有冗余的解决方案需要可靠诊断或监控首次故障，以便尤其还能警告可能的二次故障可能会产生严重影响。

在使用没有冗余的个别组件时，必须通过被动区域中的诊断确保在主动区域中，例如制动操作时，不会发生故障。这可以通过以下方式来实现，即在制动以及随后车辆停止时使用系统中的残余压力，在相应阀动作“关闭-打开-关闭”中用于诊断密封性。从而避免了增加尤其是密封件负载循环的单独预驱动检查(PDC)。

这些措施可以例如应用于带有串联制动主缸(THZ)的制动系统、供压装置的活塞和行程模拟器的活塞以及必要的其他密封件。这样，“带THZ的行程模拟器”系统可以满足失效可运行(FO)的要求。

通常，例如在制动系统中，行程模拟器带有关断阀。如果它失效，则行程模拟器不再起作用，从而使制动踏板变硬，并且制动力放大装置关闭。在带有冗余供压装置的系统中，发生故障的概率极低，因此可以在采用解决方案时接受更差的踏板特性。这样就可以取消故障关键的阀。

根据本发明有利地，还可以设置不带阀的行程模拟器系统，其中活塞-缸单元(主缸)的复位弹簧承担行程模拟器特性曲线的第一面部分，其方式是，尤其是设置在活塞-缸单元(主缸)上的通气孔沿轴向以相应的量(通气孔/活塞在缩回位置中的间距)设置。

如果阀由于污物颗粒而无法再关闭，可能会影响ABS或制动效果。如果这在制动结束时发生，可能很难通过诊断的另一次制动来识别。必要时可以通过在关闭阀时测量感应电压，因为由于污物颗粒，没有或只有很小的电枢运动，这可以通过测量电压V来识别。作为改进，也可以通过多路方法(MUX)不设置排出阀，或仅设置一个排出阀。

另外，同样重要的是，在ABS功能中每个轴始终至少控制一个车轮，以保证纵向和横向稳定性。这可以通过额外的串联冗余开关阀实现，优选在多路技术(MUX)中呈对角线设置。例如，如果阀泄漏，此阀也可用于关闭与车轮制动缸的连接。众所周知，这可以通过供压装置的体积吸收或体积要求来诊断。在这种情况下，关闭已知系统中相应的开关阀或进入阀。

尽管通过例如借助于两倍三相电机驱动的双行程活塞提供双回路供压装置，全冗余也包括通过例如借助于两倍三相电机驱动的双行程活塞提供的第二个双回路供压装置，并在制动回路和供压装置之间带有附加的分离阀。

冗余还包括冗余电源，其尽可能由两个不同的储能器组成。与飞机技术一样，在AD的第5级(根据VDA定义)中，必要时从两个或三个车载电网进行供电。

根据本发明，电子控制和调节单元(ECU)，尤其是诊断电路，也可以有利地设计为冗余或自检。在这种情况下，类似所谓的“三选二”的飞机技术，可以从冗余储电器U1、U2冗余地供电，并根据具体情况额外从U3供电。该电源为计算机(CP1至CP3)供电。计算机CP1和CP2的输出信号作用于例如电机和阀的控制，并具有相应的输出级。此时在控制时，可以对马达和阀进行两倍冗余或三倍冗余控制。但是，这意味着大量的花费。在这里可以采用智能冗余，在这种冗余中仅实施具有冗余控制的所选阀。在ESP中通常应对控制进行持续监控。也可以优选仅冗余设计通过计算机CP1、CP2和CP3进行控制。例如，已知采用两倍三相而不是三相控制BLCD马达，假设前提是马达轴承和驱动器无故障。

在全冗余制动系统中，优选对于全自动驾驶AD(自动驾驶等级5)，也可以考虑设计没有串联制动主缸THZ的制动系统(未示出)。在这里，THZ可以用“制动然后行驶”信号代替，该信号在AD的中央ECU中生成。

对于用于处理输入信号的所有计算功能，适合使用一个或多个高效计算机CPU，例如微控制器。它们通过相应地集成或分开的带输出级的控制装置来控制执行器，例如马达和阀。

计算机CP1、CP2和CP3可采用冗余结构，例如作为CP1和CP2的两倍冗余，作为CP1和CP2和CP3的三倍冗余。由于费用的原因，可替选地将计算机CP2用于减少的功能，而计算机CP3用于制动系统的紧急功能。相应地，这也适用于执行器和阀

对于马达这相应意味着，冗余控制用于双绕组组合，即一次三相冗余，而对于阀意味着，仅对一个轴的一个或两个阀进行冗余控制。或者仅仅控制是冗余的，并且作用于阀，因为阀线圈的故障率极低。

因此，可以有利地传感器及制动然后行驶信号的所有输入信号作用到所有计算机CP1、CP2、CP3上。带输出级的控制装置的输出信号同样与每个CP分开进行。

借助具有域名和中央计算机的架构趋势，可以在作为从机的ECU中单独设计控制装置。然后，从机ECU包含带有输出级的整个控制装置，并在必要时包含用于传感器或制动然后行驶的输入和输出端。然后，必要时根据用于具有不同结构和不同协议的全功能到紧急功能的上述计算机结构，通过冗余总线系统将信号传输到主机ECU。

由于从机ECU复杂性较低，必要时可以通过仅有一层或仅有几层的印刷电路板的简单布线节省费用。由于功能的高度复杂性，在软件中采用神经网络特别适合。

节省成本的另一种方法是取消辅助活塞上的挺杆。对于传统的制动主缸，可以在初级回路发生故障的情况下将初级活塞接合到二级活塞上。在这种情况下，初级活塞碰撞二级活塞，并在二级回路中形成制动压力。没有此特征，制动器将整体失效。这适用于没有冗余的传统系统。对于以下系统解决方案，提出了冗余解决方案。初级回路的故障在这里不起作用，因为在这种情况下，分离阀关闭初级回路。此外，如果初级回路发生故障，并且系统1(增压器)的供压装置发生故障，将由第二系统(ESP)的单独的供压装置供应二级回路。对于整体失效，必须出现3个故障，即两个供压装置和初级回路均发生故障，这总计相当于大约每年10^-14的故障率。作为比较，制动回路的故障率的数量级为每年10^-5。

本发明的其他有益或实用的实施例或具体实施方式以及特征在附图中示出，并在下文中进一步说明。

附图说明

附图示出：

图1：一种具有两个压力腔和一个冗余密封件的活塞装置，其具有至储存容器的节流部；

图2：一种具有机械操纵装置和一个带冗余密封件的压力腔的活塞装置，其具有至储存容器的节流部；

图3：一个具有两个压力腔和一个冗余密封件的双行程活塞，其具有用于每个活塞的节流部；

图4：一个带有初级活塞和二级活塞的串联主缸(THZ)，其具有行程模拟器和供压装置和用于行程模拟器的冗余密封件，该行程模拟器具有节流部和至室外或储存容器的排出部，以及活塞的至储存容器的放气孔；

图5：类似于串联主缸装置的图4，在辅助活塞上带有挺杆并在挺杆上具有冗余密封件，其中设有通往储存容器的节流部；

图5a：类似于图5，但辅助活塞上没有挺杆；

图6：类似于图5，具有流动止回阀替代诊断阀；

图7：具有三个活塞的串联主缸装置，每个活塞分别具有冗余密封件，具有通往储存容器的节流部，行程模拟器具有冗余密封件和用于排放到室外的节流部；

图8：用于典型诊断周期的压力曲线和控制信号；

图9a：带有ECU(根据图5的部分制动系统的扩展)和冗余阀以及另一储存容器的制动系统；

图9b：根据本发明的节流部的实施方式；

图9c：很大程度上如图9a那样的制动系统，带有冗余供压装置(DV1、DV2)；和

图9d：以示意图的形式展示冗余控制设备(ECU)的基本方案，如其根据本发明例如能够有利地在根据图9a或9c的制动系统中使用。

具体实施方式

图1在上半部和下半部示出了不同液压应用。上部显示在制动系统中的应用，而下部显示在液压调节器中的应用。

在制动系统中的应用(图1上部)示出了活塞1中的冗余，例如串联制动主缸2(THZ)的二级回路活塞(SK活塞)。如果给工作室或初级室3加压，例如通过供压装置(未示出)经由液压管路14和串联制动主缸2(THZ)中的通道13，然后在串联制动主缸2(THZ)中向左移动活塞1。如果活塞1的孔17已经移动经过了串联制动主缸2(THZ)的密封件8，则串联制动主缸2(THZ)的二级室4的制动液将通过通道15和液压管路16，例如被推入车轮制动缸(未示出)。

为了将串联制动主缸2(THZ)的初级室3与通过液压管路6与储存容器7(VB)连接的通道5进行液压分离，设置有密封件9。根据本发明所提供的冗余原理，为密封件9补充了冗余密封件9a和通道10。通道10经由液压管路11、液压管路6和节流部12与储存容器7(VB)相连接。这样，冗余密封件9a将串联制动主缸2(THZ)的工作室3与通道10分开，并因此也与储存容器7(VB)分开。

如果冗余密封件9a完好无损，则通道10与串联制动主缸2(THZ)的工作室3液压分离。因而，即使串联制动主缸2(THZ)的工作室3有压力，制动液也不会从串联制动主缸2(THZ)的工作室3流至通道10。通过将通道10经由液压管路11、液压管路6和节流部12与储存容器7(VB)连接，如果储存容器7(VB)和通道10之间的高度差忽略不计，那么，通道10中的压力等于储存容器7(VB)中的压力。通道5也经由液压管路6与储存容器7(VB)相连接，如果这里储存容器7(VB)和通道5之间的高度差也忽略不计，那么，通道5中的压力也等于储存容器7(VB)中的压力。这样，如果冗余密封件9a完好无损，即使串联制动主缸2(THZ)的工作室3有压力，也不会对密封件9施加载荷。

另外如果冗余密封件9a完好无损，串联制动主缸2(THZ)工作室3中可能的污物颗粒将被冗余密封件9a阻挡，使其不能进入通道10，并不会损坏密封件9。如果冗余密封件9a完好无损，则密封件9不会失效。

如果冗余密封件9a不密封，例如由于磨损或污物颗粒造成，那么，制动液可能从串联制动主缸2(THZ)的室3经过通道10和液压管路1、液压管路6和节流部12流到储存容器7(VB)中。在这种状态下，密封件9负责将串联制动主缸2(THZ)的工作室3与通过液压管路6与储存容器7(VB)连接的通道5液压分离。节流部12的尺寸确定为，使得由于冗余密封件9a不密封而产生的流量能够由液压管路14中的供压装置(未示出)进行补偿。另外，供压装置的补偿流量是冗余密封件9a不密封的指示器。

这样，在运行过程中可以发现冗余密封件9a不密封，而不会由于此不密封而妨碍运行。因此，这种冗余导致串联制动主缸2(THZ)的工作室3与储存容器7(VB)液压分离。这种分离可以被称为失效可运行。

在液压调节器(图1下部)中的应用示出了活塞21，例如离合器的调节活塞(未示出)中的冗余。如果工作室24被加压，例如通过供压装置(未示出)经由液压管路28和缸23中的通道27，那么在缸23中的活塞21向左移动。在活塞21向左移动时，活塞挺杆22可以向离合器(未示出)施加与工作室24中的压力相应的力26。

为了将缸23的工作室24与缸23的内室25液压分离，设置有密封件9。根据冗余，为密封件9补充了冗余密封件9a和通道10。通道10经由液压管路17、液压管路6和节流部12与储存容器7(VB)相连接。这样，冗余密封件9a将缸23(THZ)的工作室24与通道10液压分离，并因此也与储存容器7(VB)以及缸23的内室25液压分离。

如果冗余密封件9a完好无损，则通道10与缸23的工作室24液压分离。因而，即使缸23的工作室24有压力，液压液也不会从缸23的工作室24流至通道10。通过将通道10经由液压管路27和节流部12与储存容器7(VB)连接，如果储存容器7(VB)和通道10之间的高度差忽略不计，那么，通道10中的压力等于储存容器7(VB)中的压力。如果储存容器7(VB)中的压力等于大气压，并且如果缸23的内室25也等于大气压，那么，如果冗余密封件9a完好无损，即使缸23的工作室24有压力，密封件9也不会被施加载荷。

另外，如果冗余密封件9a完好无损，缸23工作室24中可能的污物颗粒将被冗余密封件9a阻挡，使其不能进入通道10，并且不会损坏密封件9。如果冗余密封件9a完好无损，密封件9不会失效。

如果冗余密封件9a不密封，例如由于磨损或污物颗粒造成，那么，液压液可以从缸23的室24经过通道10和液压管路27和节流部12流到储存容器7(VB)。在这种状态下，密封件9负责将缸23的工作室24与缸23的内室25液压分离。节流部12的尺寸确定为，使得确保由于冗余密封件9a不密封而产生的流量能够由液压管路28中的供压装置(未示出)进行补偿。另外，供压装置的补偿流量是冗余密封件9a不密封的指示器。

这样，在运行过程中可以发现冗余密封件9a不密封，而不会由于此不密封而妨碍运行。因此，这种冗余将工作室24与缸23的内室25液压分离。这种分离可以被称为失效可运行。

图2示出了活塞41，例如通过挺杆41a运行的串联制动主缸42(THZ)的初级活塞的冗余。挺杆41a与制动踏板(未示出)相连接。在图示的初级活塞41的静止位置中，串联制动主缸42(THZ)的初级室43通过初级活塞41的孔45、串联制动主缸42(THZ)中的通道46以及液压管路47与储存容器7(VB)连接。通过操纵制动踏板(未示出)，驾驶员可以将初级活塞41向左移动。如果在移动时初级活塞41的孔45被推过串联制动主缸42(THZ)的冗余密封件49a，那么，制动液从串联制动主缸42(THZ)的初级室43经由通道53、液压管路54被推入车轮制动缸(未示出)。

为了将串联制动主缸42(THZ)的初级室43与通过液压管路47与储存容器7(VB)连接的通道46进行液压分离，设置有密封件49。根据冗余，为密封件49补充了冗余密封件49a和通道50。通道50经由液压管路51、液压管路47和节流部52与储存容器7(VB)相连接。这样，冗余密封件49a将串联制动主缸42(THZ)的初级室43与通道50液压分离，并因此也与储存容器7(VB)液压分离。密封件48将通道46与活塞挺杆空间44液压分离。

如果冗余密封件49a完好无损，则通道50与串联制动主缸42(THZ)的初级室43液压分离。因而，即使串联制动主缸42(THZ)的初级室43有压力，流量也不会从串联制动主缸42(THZ)的初级室43流至通道50。通过将通道50经由液压管路51、液压管路47和节流部52与储存容器7(VB)连接，如果储存容器7(VB)和通道50之间的高度差忽略不计，那么，通道50中的压力等于储存容器7(VB)中的压力。通道46也经由液压管路47与储存容器7(VB)相连接，如果这里储存容器7(VB)和通道46之间的高度差也忽略不计，那么，通道46中的压力也等于储存容器7(VB)中的压力。这样，如果冗余密封件49a完好无损，即使串联制动主缸42(THZ)的初级室43有压力，密封件49也不会被施加载荷。

此外，如果冗余密封件49a完好无损，则串联制动主缸42(THZ)的初级室43中可能的污物颗粒将被冗余密封件49a阻挡，使其不能进入通道50，并且不会损坏密封件49。如果冗余密封件49a完好无损，密封件49不会失效。

如果冗余密封件49a不密封，例如由于磨损或污物颗粒造成，那么，制动液可以从串联制动主缸42(THZ)的初级室43经过通道50和液压管路51、液压管路47和节流部52流到储存容器7(VB)。在这种状态下，密封件49负责将串联制动主缸42(THZ)的初级室43与通过液压管路47与储存容器7(VB)连接的通道46液压分离。

节流部52的尺寸确定为，使得确保由于冗余密封件49a不密封而产生的流量能够由驾驶员通过踩下制动踏板(未示出)进行补偿。制动踏板不会失效。另外，补偿流量是冗余密封件49a不密封的指示器。

这样，在运行过程中就能够发现冗余密封件49a不密封，而不会由于此不密封而使制动踏板失效。因此这种冗余使串联制动主缸42(THZ)的初级室43与储存容器7(VB)液压分离。这种分离可以被称为失效可运行。

图3示出了位于供压装置的缸72中的阶梯式活塞71，例如双行程活塞(DHK)的冗余。这里举例说明这种供压装置的功能。缸72有五个通道73a、73b、73c、73d和78。通道73a或73b经由其中装有吸入阀75a或75b的液压管路74a或74b，并通过液压管路76与储存容器7(VB)连接。通道73c或73d经由其中装有止回阀75a或75b的液压管路74c或74d与制动回路BK1或BK2连接。在阶梯式活塞71中装有两个密封件79和80。密封件79和80之间具有带节流部82的通道81和81a。此外，在缸72中装有两个密封件83和84。带节流部85的通道78位于密封件83和84之间。通道78经由液压管路76与储存容器7(VB)连接。

双行程活塞71(DHK)将缸72分为两个工作室，分别是室86和环形室87。如果图3中的阶梯式活塞71向左运动(双行程活塞71的向前行程，DHK)，那么，吸入阀75a关闭并且止回阀75c打开，而制动液从室86经由通道73c和液压管路74c被推入制动回路BK1。吸入阀75b打开，止回阀75d关闭，制动液经由通道73b、吸入阀75b和液压管路76从储存容器7(VB)被吸入到环形室87中。

如果图3中的阶梯式活塞71向右运动(双行程活塞71的回程，DHK)，那么，吸入阀75a打开并且止回阀75c关闭，而制动液经由通道73a和带吸入阀75a的液压管路74a和经由液压管路76从储存容器7(VB)被吸入室86。吸入阀75b关闭，止回阀75d打开，制动液经由通道73d，吸入阀75d和液压管路74d从环形腔87被移入制动回路BK2。

为了使缸72的室86与环形室87液压分离，设置了两个密封件79和80。在这两个密封件79和80之间设置有通道81和一个包含节流部82的通道81a。如果密封件79和80完好无损，即没有制动液经由通道81、81a和节流部82流入活塞杆腔89，则通道81中的压力与活塞杆腔89中的压力相同。

如果密封件79不密封，例如由于磨损或污物颗粒造成，那么，在双行程活塞71(DHK)向前行程时，制动液可能会经由双行程活塞(DHK)的通道81、通道81a和节流部82从缸72的室86流出到活塞杆腔89中(泄漏流量)。节流部82的尺寸确定为，使得由于密封件79泄漏而产生的流量能够通过修正双行程活塞71(DHK)的向前行程由供压装置进行补偿。另外，供压装置的补偿流量是密封件79不密封的指示器。

这样，可以在运行过程中双行程活塞71(DHK)向前行程时发现密封件79的不密封，而不会由于此不密封而妨碍运行。因此，这种冗余使室与缸72的环形室87液压分离。这种分离在双行程活塞71(DHK)的向前行程时可以被称为失效可运行。

如果密封件80不密封，例如由于磨损或污物颗粒造成，那么，在双行程活塞71(DHK)回程时，制动液可能会经由双行程活塞71(DHK)的通道81、通道81a和节流部82从缸72的环形室87流出。节流部82的尺寸确定为，使得由于密封件80不密封而产生的流量能够通过修正双行程活塞71(DHK)的回程由供压装置进行补偿。另外，供压装置的补偿流量是密封件80不密封的指示器。

这样，可以在运行过程中双行程活塞71(DHK)回程时发现密封件80的不密封，而不会由于此不密封而妨碍运行。因此，这种冗余使缸72的室86与环形室87液压分离。这种分离在双行程活塞71(DHK)回程时可以被称为失效可运行。

为了使缸22的环形室87与活塞杆腔89液压分离，设置了用于活塞杆88的密封件83和密封件84。在这些密封件83和密封件84之间，设置有通道78，它包括节流部85。通过将通道78经由液压管路76和节流部85与储存容器7(VB)连接，如果储存容器7(VB)和通道78之间的高度差忽略不计，那么，当密封件83完好无损时，通道78中的压力等于储存容器7(VB)中的压力。

如果活塞杆腔89中的压力与储存容器7(VB)中的压力相同，那么，在密封件83完好无损时，即使缸72的环形室87有压力，密封件84也不会被施加载荷。

此外，如果密封件83完好无损，则缸72的环形室87中可能的污物颗粒将被密封件83阻挡，使其不能进入通道78中，并且不会损坏密封件84。如果密封件83完好无损，密封件84不会失效。

如果密封件83不密封，例如由于磨损或污物颗粒造成，那么，制动液可能从缸72的环形室87经过通道78和液压管路76和节流部85流到储存容器7(VB)。在这种状态下，密封件84负责将缸72的环形室87与活塞杆腔89液压分离。节流部85的尺寸确定为，使得由于密封件83不密封而产生的流量能够通过修正双行程活塞71(DHK)的回程进行补偿。另外，供压装置的补偿流量是密封件83不密封的指示器。

这样，可以在运行过程中双行程活塞71(DHK)回程时发现密封件83不密封，而不会由于此不密封而妨碍运行。因此，这种冗余使缸72的环形室87与活塞杆腔89液压分离。这种分离在双行程活塞71(DHK)回程时可以被称为失效可运行。

图4示出了一种在两个密封件中使用冗余的制动系统。首先，对制动系统进行简要说明。

当驾驶员需要制动时，用驾驶员的脚操纵制动踏板101。在图4中，操纵制动踏板101时，踏板挺杆102和踏板活塞103向左侧移动。串联制动主缸112(THZ)的初级活塞105也通过踏板活塞弹簧104向左移动。如果在初级活塞105向左运动时初级活塞105的孔106已经过了密封件107，那么，在分离阀108和109关闭且模拟器阀110打开的情况下，体积流从串联制动主缸112(THZ)的初级室111经由初级室111的通道113、带有节流部115的液压管路114，并经由打开的模拟器阀110和液压管路114a进入行程模拟器116的工作室139。在图4中，行程模拟器116的行程模拟器活塞117由此也克服行程模拟器116的弹簧组118向左移动，从而使行程模拟器116中的压力升高，继而使串联制动主缸112(THZ)的初级室111中的压力升高。

由于串联制动主缸112(THZ)的初级室111中的压力，图4中串联制动主缸112(THZ)中的二级活塞119向左移动。如果在二级活塞119向左运动时二级活塞119的孔120已经过了密封件121，那么，在分离阀108和109关闭的情况下二级活塞向左运动停止，因为串联制动主缸112(THZ)的二级室122是一个封闭的室。如果初级活塞弹簧123的弹簧力、二级活塞弹簧124的弹簧力忽略不计，并且二级活塞119上的密封件121、125、127的摩擦力忽略不计，二级室122中的压力等于初级室111中的压力。

如已经描述的那样，当初级活塞105向左运动时，密封件107将串联制动主缸112(THZ)的初级室111与串联制动主缸112(THZ)的通道128液压分离。由此，串联制动主缸112(THZ)的初级室111经由初级活塞5的孔106、串联制动主缸112(THZ)的通道128、液压管路129和129a以及经由打开的诊断阀130至储存容器131(VB)的连接中断。通过将通道128经由液压管路129和129a、打开的诊断阀130与储存容器131(VB)连接，如果储存容器131(VB)和通道128之间的高度差忽略不计，那么，通道128中的压力等于储存容器131(VB)中的压力。

如果串联制动主缸112(THZ)的外室132中的压力与储存容器131(VB)中的压力相同，那么，在密封件107完好无损时，即使串联制动主缸112(THZ)的初级室111有压力，密封件107a也不会被施加载荷。此外，如果密封件107完好无损，串联制动主缸112(THZ)的初级室111中可能的污物颗粒将被密封件107阻挡，使其不能进入通道128中，并且不会损坏密封件107a。如果密封件107完好无损，密封件107a不会失效。

如果密封件107不密封，例如由于磨损或污物颗粒造成，那么，制动液可能从串联制动主缸112(THZ)的初级室111经过通道128、液压管路129和129a以及打开的诊断阀130流到储存容器131(VB)。可以通过关闭诊断阀130停止制动液的流出。制动液流出是密封件107不密封的指示器，并且可以借助于位移传感器133和133a、踏板活塞弹簧104的力以及行程模拟器116的压力-体积特性测定。

这样，在运行过程中可以发现密封件107不密封，而不会由于此不密封而妨碍运行。因此，密封件107与诊断阀130的组合使THZ 112的初级室111与储存容器131(VB)液压分离，这种分离可以被称为失效可运行。

密封件125和冗余密封件127与通道126、液压管路134和通往储存容器131(VB)的液压管路129a以及节流部135的组合使THZ112的初级室111与储存容器131(VB)液压分离，如图1所示，这种分离可以被称为失效可运行。

密封件121和密封件125与通道136、液压管路137和137a以及截止阀138和通往储存容器131(VB)的液压管路129a的组合使THZ 112的二级室122与储存容器131(VB)液压分离，这种分离可以被称为失效可运行。如在图4中有关密封件107和密封件107a与通道128、液压管路129和129a以及通往储存容器131(VB)的诊断阀130的组合所述。

行程模拟器116的行程模拟器活塞117包含一个密封件140和一个冗余密封件140a。通道141和具有节流部142的通道141a位于密封件140和冗余密封件140a之间，其中通道141通往弹簧组118的空间143。冗余密封件140a将行程模拟器116的工作室139与行程模拟器116的弹簧组空间118液压分离。

如果冗余密封件140a完好无损，那么，制动液不会从行程模拟器116的工作室139经由通道141、141a和节流部142流入行程模拟器116的弹簧组空间143。如果冗余密封件140a完好无损，通道141中的压力因此与行程模拟器116弹簧组空间143中的压力相同。这样，如果冗余密封件140a完好无损，即使行程模拟器116的工作室139有压力，密封件140也不会被施加载荷。另外，如果冗余密封件140a完好无损，行程模拟器116的工作室139中可能的污物颗粒将被冗余密封件140a阻挡，使其不能进入通道141，并且不会损坏密封件140。如果冗余密封件140a完好无损，密封件140不会失效。

如果冗余密封件140a不密封，例如由于磨损或污物颗粒造成，那么，制动液可能从行程模拟器116的工作室139经由通道141、带有节流部142的通道141a流入行程模拟器116的弹簧组空间143中。制动液流出是冗余密封件140a不密封的指示器，并且可以借助于位移传感器133和133a、踏板活塞弹簧104的作用力以及行程模拟器116的压力-体积特性测定。

这样，在运行过程中就能够发现冗余密封件140a不密封，而不会由于此不密封而使制动踏板101失效(另见图2的说明)。因此，这种冗余使行程模拟器116的工作室139与行程模拟器116的弹簧组空间143液压分离，这种分离可以被称为失效可运行。

所有控制和分析信号都在一个控制设备(未示出)中处理。尤其是处理传感器分析、诊断、故障分析和故障显示。在考虑到行程模拟器116压力-体积特性的情况下，通过对具有踏板活塞弹簧104的踏板位移传感器信号133、133a的可信性进行观测，对活塞行程模拟器116的冗余密封件140a、辅助活塞室111的密封件107和串联制动主缸112(THZ)的初级室111中的冗余密封件127和串联制动主缸112(THZ)的二级室122中的密封件121的导致泄漏流量的密封故障进行诊断。识别导致泄漏流量的密封件不密封的另一种方法是，将制动系统的压力-体积特性与供压装置146的体积置换和制动回路148中的制动压力传感器(未示出)的信号相关联。在图4的制动系统中，除了活塞行程模拟器116中的冗余密封件140a以及双行程活塞的密封件外，对于在供压装置146中使用根据图3的双行程活塞的情况，泄漏流量通过每个密封件流回到储存容器131(VB)(参见图3，密封件79和80)。如果泄漏流量没有流回到储存容器131(VB)中，那么，可以通过将泄漏损失与储存容器131(VB)中的冗余液位传感器151的信号相关联来进行密封性诊断，该信号优先是线性信号。

在诊断中，在不操纵制动踏板101的情况下，也可以附加检查密封件107a是否泄漏。为此，关闭诊断阀130、模拟器阀110、分离阀108和截止阀138，并且打开分离阀109和供给阀144。以一定的电流值给马达145通电，由此制动液从供压装置146经由液压管路147、供给阀144、液压管路147a、液压管路148、分离阀109、液压管路149和通道150被转移到串联制动主缸112的初级空间111中，初级空间111中的压力因而上升到某个值，例如25bar。液压管路148中的压力由压力传感器(未示出)测量。如果密封件107a存在泄漏，那么，供压装置必须补充推入制动液，以使液压管路148中的压力保持恒定。可以通过需要由供压装置146补充推入制动液以保持液压管路148中的压力恒定来发现密封件107a泄漏。

图5示出了一种类似于图4制动系统的制动系统。主要区别在于，在图5的制动系统中，制动主缸201(HZ)分为三个室。即初级室111、二级室122和辅助活塞室204。二级活塞119位于初级室111和二级室122之间。中间壁206位于初级室111和辅助活塞室204之间。首先，对制动系统进行简要说明。

当驾驶员需要制动时，用驾驶员的脚操纵制动踏板101。在图5中，操纵制动踏板101时，踏板挺杆102和踏板活塞103向左侧移动。辅助活塞211和通过中间壁206的孔213引导的辅助活塞挺杆212也通过踏板活塞弹簧104向左移动。如果在辅助活塞211向左运动时辅助活塞211的孔214已经过了密封件215，那么，在分离阀216关闭的情况下，体积流从制动主缸201(HZ)的辅助活塞室204经由辅助活塞室204的通道217、带有节流部115的液压管路218和114，以及打开的模拟器阀110和液压管路114a被推入行程模拟器116的工作室139。在图5中，行程模拟器活塞117由此也克服弹簧组118向左移动，行程模拟器116中的压力因此而升高，继而制动主缸201(HZ)辅助活塞室204中的压力也升高。

根据由位移传感器133检测到的踏板活塞103的位移，给马达228通电，以便定义的体积从供压装置229经由液压管路147、打开的供给阀144、液压管路147a、初级回路233推入到初级回路233(未示出)的车轮制动缸中并经由制动主缸201(HZ)的通道150被推入制动主缸201(HZ)的初级室111中。车轮制动缸中的压力因此而升高，并且制动主缸201(HZ)的初级室111中的压力也随之升高。在图5中，通过制动主缸201(HZ)的初级室111中的压力，二级活塞119也克服二级活塞弹簧124的作用力向左移动。通过二级活塞119的这种运动，将制动液从制动主缸201(HZ)的二级室122经由通道236和二级回路237推入二级回路237(未示出)的车轮制动缸中。二级回路237的车轮制动缸中的压力因此而升高。如果二级活塞弹簧124的弹簧力和密封件127、125、121作用到二级活塞119上的摩擦力忽略不计，二级室122中的压力等于初级室111中的压力。

在制动主缸201(HZ)的中间壁206的孔213中有两个密封件241和242。通道243位于两个密封件241和242之间。该通道243通过具有节流部245的液压管路244，并通过液压管路129a与储存容器131(VB)连接。这些密封件将制动主缸201(HZ)的初级室111与制动主缸201(HZ)的辅助活塞室204液压分离。

如果密封件241不密封，例如由于磨损或污物颗粒造成，那么，制动液可能从制动主缸201(HZ)的初级室111经由通道243、带有节流部245的液压管路244和液压管路129a流出到储存容器247(VB)中。节流部245的尺寸确定为，使得由于密封件241不密封而产生的流量能够供压装置229进行补偿。另外，供压装置229的补偿流量是密封件241不密封的指示器。

这样，在运行过程中可以发现密封件241不密封，而不会由于此不密封而妨碍运行。因此，带有节流部245的密封件241和242的这种冗余使初级室111与制动主缸201(HZ)的辅助活塞室204液压分离，这种分离可以被称为失效可运行。

如果密封件242不密封，例如由于磨损或污物颗粒造成，那么，制动液可能从制动主缸201(HZ)的辅助活塞室204经由通道243、带有节流部245的液压管路244和液压管路129a流出到储存容器247(VB)中。制动液流出是密封件242不密封的指示器，并且可以借助于位移传感器133和133a、踏板活塞弹簧104的作用力以及行程模拟器116的压力-体积特性测定。

这样，在运行过程中就能够发现密封件242不密封，而不会由于此不密封而使制动踏板101失效(另见图2的说明)。因此，密封件241和242的这种冗余使辅助活塞室204与储存容器247(VB)液压分离，这种分离可以被称为失效可运行。

如果分离阀216不密封，例如由于磨损或污物颗粒造成，那么，如果初级回路233中的制动压力低于制动主缸201(HZ)辅助活塞室204中的压力，制动液可能会从辅助活塞室204经由通道248、液压管路249、分离阀216和液压管路250流到初级回路233。制动踏板101失效。制动液流出是分离阀216泄漏的指示器，并且可以借助于位移传感器133和133a、踏板活塞弹簧104的作用力以及行程模拟器116的压力-体积特性发现。如果初级回路233中的制动压力高于辅助活塞室204中的压力，那么，制动液可能会从初级回路233经由液压管路250、分离阀216、液压管路249和通道248流出到制动主缸201(HZ)的辅助活塞室204中。制动踏板101则被压回。制动液流出是分离阀216泄漏的指示器，并且可以借助于位移传感器133和133a、踏板活塞弹簧104的作用力以及行程模拟器116的压力-体积特性发现。如果发现分离阀216泄漏，则液压管路250中的可选的冗余分离阀216a(虚线所示)关闭。冗余分离阀216a是可选的，因为分离阀216极少发生泄漏。

这样，在运行过程中就能够发现分离阀216泄漏，而不会由于此泄漏而使制动踏板101失灵。因此，分离阀216和216a的这种冗余使辅助活塞室204与初级回路233液压分离，这种分离可以被称为失效可运行。

与图4所述类似，在图5的制动系统中，所有控制和分析信号都在一个控制设备(未示出)中处理。因此，在此仅描述图5的制动系统与图4的制动系统相比的特别之处。在考虑到行程模拟器116的压力-体积特性的情况下，通过对具有踏板活塞弹簧104的踏板位移传感器信号133、133a的可信性进行观测，对辅助活塞挺杆212的密封件242和分离阀216的导致泄漏流量的密封故障进行诊断。识别制动主缸201(HZ)的初级室111的冗余密封件127、制动主缸201(HZ)的二级室122的密封件121、辅助活塞挺杆212的密封件241和分离阀216的导致泄露流量的不密封的另一种方法是，将制动系统的压力-体积特性与供压装置229的体积置换和初级回路233中的制动压力传感器252的信号相关联。

在诊断中，在不操纵制动踏板101的情况下，也可以检查分离阀216是否泄漏。为此关闭分离阀16，并打开可选的分离阀16a和诊断阀130。以一定的电流值给马达228通电，由此制动液从供压装置229经由液压管路147、分离阀144、液压管路147a被送入初级回路233和初级回路233的车轮制动缸(未示出)中，并经由通道150被送入主缸201的初级室111中，初级回路233中的压力因而升高到某个值，例如25bar。初级回路233中的压力由通过液压管路253与初级回路233连接的压力传感器252测量。如果分离阀216存在泄漏，那么，供压装置229必须补充推入制动液，以使初级回路233中的压力保持恒定。可以通过需要由供压装置229补充推入制动液以保持初级回路233中的压力恒定来发现分离阀216泄漏。

同样在诊断中，在不操纵制动踏板101的情况下，也可以检查可选的分离阀216a是否泄漏。为此关闭可选的分离阀216a，并打开分离阀216和诊断阀130。以一定的电流值给马达228通电，由此制动液从供压装置229经由液压管路147、分离阀144、液压管路147a被送入初级回路233和初级回路233的车轮制动缸(未示出)中，并经由通道150被送入主缸201的初级室111中，初级回路233中的压力因而升高到某个值，例如25bar。初级回路233中的压力由压力传感器252测量。如果可选的分离阀216a存在泄漏，那么，供压装置229必须补充推入制动液，以使初级回路233中的压力保持恒定。可以通过需要由供压装置229补充推入制动液以保持初级回路233中的压力恒定来发现可选的分离阀216a泄漏。

图5a示出了一种类似于图5的制动系统的制动系统。但主要区别在于，在图5a的制动系统中，辅助活塞211没有辅助活塞挺杆212。同样，中间壁206没有孔213。因而，在辅助活塞211和二级活塞119之间不再存在机械连接。因此，也取消了中间壁206中的两个密封件241和242以及通道243。此外，取消了液压管路244和节流部245。从而也消除了故障的可能性，例如密封件241和242泄漏以及节流部245堵塞。现在，中间壁206将图4的制动主缸112的初级室111分隔成图5a中的制动主缸201的初级室111和辅助活塞室204。

为了描述图5a的制动系统功能，引用了图5的制动系统描述。

根据图5的制动系统与根据图5a的制动系统之间的重要区别涉及故障情况“制动力放大装置失效”，例如由于制动主缸201的密封件125和127同时失效。然后，当驾驶员制动时，初级室111和初级回路233中的压力保持无压力状态，并且无法通过供压装置229、DV1升高。由于辅助活塞挺杆212缺失，驾驶员无法通过其在踏板101上的脚踏力借助辅助活塞挺杆212来移动二级活塞119，并且二级回路237也将保持无压力状态。此故障情况可以由连接在下游的ESP，254借助供压装置DV2，255排除。一旦识别到制动系统的故障，ESP的“主动制动”功能就会被激活。此时，ESP将初级回路233和二级回路237的车轮制动缸中的压力增加到设定值。该设定值例如可以从踏板活塞103的位移传感器133的信号中得出。ESP，254为此例如通过泄漏的密封件127和125(图5a)、通道136、液压管路137和137a以及打开的截止阀138(图4)从储存容器131中获得初级回路233中所必需的制动液体积。在二级活塞弹簧124的弹力和制动主缸201的初级室111与二级室122之间的压力差影响下，二级活塞119被推回(在图5a中向右)到初始位置。在二级活塞119的初始位置，二级室122和液压管路137之间经由二级活塞120的孔和制动主缸112中的通道136直接连接(图4)。由此ESP例如通过通道236和136(图4)、二级室122、二级活塞120的孔、液压管路137和137a以及打开的电磁阀138(图4)从储存容器131中获得二级回路237中所必需的制动液体积。

根据图5的制动系统与根据图5a的制动系统之间的另一重要区别涉及故障情况“制动力放大装置失效”，例如由于制动回路233中车轮制动缸的密封件失效，例如图9a中的车轮制动器516失效。然后，当驾驶员制动时，初级室111中的压力保持无压力状态，并且无法通过供压装置229升高。由于辅助活塞挺杆212缺失，驾驶员无法通过其在踏板101上的脚踏力借助辅助活塞挺杆212来移动二级活塞119，并且二级回路237也将保持无压力状态。此故障情况可以通过初级回路233中无电流地打开的分离阀144a避免。一旦发现故障，分离阀144a将关闭。然后，供压装置229可以通过打开的供给阀144、初级回路233和制动主缸201中的通道150将制动液转移到初级室111中。结果是，二级活塞119移动(在图5a中向左)，制动液因而从二级室122经由通道236转移到二级回路237中。由于制动液转移到二级回路237中，二级回路237中的压力以及二级回路237的车轮制动器(未示出，例如在图9a中514和515)的车轮制动缸中的压力升高。初级回路233中的压力由压力传感器252测量，并由ESP，254的供压装置255设置到额定值，其中额定压力例如可以从踏板活塞103的位移传感器133的信号中得出。此故障情况也可以由连接在下游的ESP(254)排除。一旦识别到制动系统的故障，ESP，254的“主动制动”功能就会被激活。然后，ESP，254借助供压装置255将车轮制动缸中的压力增加到额定值，该额定值可以从踏板活塞103的踏板位移传感器133信号中得出。然而，ESP，254将无法增加制动回路233的车轮制动缸中的压力，并且存在储存容器131被ESP，254吸空的危险。

根据图5的制动系统与根据图5a的制动系统之间的另一重要区别涉及例如故障情况的组合“制动回路233中车轮制动缸中的密封件失效，例如图9a中的车轮制动器516，和根据图5a的制动系统的控制设备(未示出)发生故障以及ESP的控制器发生故障(254)”。如果根据图5a的制动系统的控制设备(未示出)发生故障，那么，分离阀216打开，与此同时分离阀144a保持打开状态。通过驾驶员操纵制动踏板101，辅助活塞211移动(在图5a中向左)，并同时将制动液从辅助活塞室204经由制动主缸201中的通道248、液压管路249、打开的分离阀216和液压管路250推入初级回路233中。由于初级回路233中车轮制动缸，例如图9a中的车轮制动器516中的密封件发生故障，在这种情况下，初级回路233保持无压力状态。此外，由于根据图5a的制动系统的控制设备(未示出)发生故障，分离阀144a无法关闭，并且初级室111也保持无压力状态。由于辅助活塞挺杆212缺失，驾驶员无法通过其在踏板101上的脚踏力借助辅助活塞挺杆212来移动二级活塞119，并且二级回路237也将保持无压力状态。由于ESP控制设备(254)同时失效，ESP(254)也无法升高车轮制动器(例如，图9a中的514、515、516、517)的车轮制动缸中的压力。这样，在驾驶员制动时车轮制动器(例如，图9a中的514、515、516、517)的所有车轮制动缸将保持无压力状态，并且尽管驾驶员制动，车辆仍将保持未制动状态。可以容忍这种情况，因为这些故障情况“制动回路233中的车轮制动缸中的密封件失效，例如，图9a中的车轮制动器516，以及制动系统的控制设备发生故障和ESP的控制器发生故障”的组合概率极小。

可在二级回路237中可选地设置一个附加分离阀114b。如果例如ESP失效时在阀144打开的情况下通过供压装置229进行压力供应和压力调节，可优选在ABS调节装置中使用这种附加分离阀。对于某些功能，例如再输送，分离阀144a、144b的功能也可以由ESP阀承担，从而在不确定的情况下不需要分离阀144a、144b。为此，必须更改ESP和增压器之间的通信接口。如有必要，例如ESP发生故障时，增压器的冗余电气控制装置也将起作用。

图6示出了一种类似于图5制动系统的制动系统。图6和图5制动系统之间的差异不涉及功能。因此，为了描述图6的制动系统功能，引用了图5的制动系统描述。与图5的制动系统相比，图6制动系统中的重要改变与密封件有关。在下文中阐述了图6制动系统中的这些改变。

密封件301通过冗余密封件301a进行补充。制动主缸201(HZ)中的通道302位于密封件301和冗余密封件301a之间。具有节流部305的液压管路304连接在制动主缸201(HZ)的通道302上。液压管路304连接在储存容器131(VB)上。密封件301、冗余密封件301a、通道302和带有节流部305的管路304和储存容器131(VB)的这种配置已在图2中显示和说明。因此，这里不再进行重新说明。根据图2的描述，二级室122至储存容器131(VB)的密封可以被称为失效可运行。

密封件328通过冗余密封件329进行补充。制动主缸201(HZ)中的通道330位于密封件328和冗余密封件329之间。制动主缸201(HZ)的通道330经由带节流部332的液压管路331和液压管路322连接到储存容器131(VB)上。密封件328、冗余密封件329、通道330和带有节流部332的液压管路331和储存容器131(VB)的这种配置已在图2中展示和说明。因此，这里不再进行重新说明。根据图2的描述，辅助活塞室204至储存容器131(VB)的密封可以被称为失效可运行。

在所示的制动系统静止位置中，制动主缸201(HZ)的二级室122经由二级活塞119的孔120、制动主缸201(HZ)的通道136、液压管路311、流动止回阀312、液压管路313和液压管路304与储存容器131(VB)连接。通过该连接，连接在下游的ESP装置(未示出)可以经由制动回路237和制动主缸201(HZ)的通道236从储存容器131(VB)吸取制动液。相反，连接在下游的ESP装置(未示出)可以经由此连接、制动回路237和制动主缸201(HZ)的通道236将制动液排放到储存容器131(VB)中。当流动止回阀312打开时，保证了连接在下游的ESP装置(未示出)将制动液输送给储存容器131(VB)。当沿截止方向(即沿着至储存容器131的方向)流过流动止回阀312的体积流量保持在定义值以下时，流动止回阀312打开。有利地，该定义值大于制动回路237中ESP装置(未示出)的回油泵的最大输送能力。但是，流动止回阀312应在比定义值更大的体积流量值时关闭，以便在密封件301和冗余密封件301a发生更大泄漏(双重故障)的情况下，将连接液压地分离，从而限制制动回路237中的体积损失。

在所示的制动系统静止位置中，制动主缸201(HZ)的辅助活塞室204经由辅助活塞211的孔214、制动主缸201(HZ)的通道255、液压管路320、流动止回阀321和液压管路322与储存容器131(VB)连接。通过该连接，连接在下游的ESP装置(未示出)经由初级回路233、液压管路250、打开的分离阀216、液压管路249和制动主缸201(HZ)的通道248从储存容器131(VB)中吸取制动液。相反，连接在下游的ESP设备(未示出)可以通过该连接并通过初级回路233，通过液压管路250，通过打开的分离阀216，通过液压管路249以及通过制动主缸201(HZ)的通道248向储存容器131(VB)排放制动液。当流动止回阀321打开时，保证了ESP装置(未示出)将制动液输送给储存容器131(VB)。当沿截止方向(即沿着至储存容器131的方向)流过流动止回阀321的体积流量保持在定义值以下时，流动止回阀321打开。有利地，该定义值大于初级回路233中ESP装置(未示出)回油泵的最大输送能力。但是，流动止回阀321应在比定义值更大的体积流量值时关闭，以便在密封件328发生更大泄漏的情况下，将连接液压地分离，从而限制初级回路233中的体积损失。

与图5所述类似，在图6的制动系统中，所有控制和分析信号都在一个控制设备(未示出)中处理。因此，在此仅描述图6的制动系统与图5的制动系统相比的特别之处。在图6中，在考虑到行程模拟器116的压力-体积特性的情况下，通过具有踏板活塞弹簧104的踏板位移传感器信号133、133a的可信性观测对辅助活塞室204的冗余密封件329的导致泄漏流量的密封故障进行诊断。识别制动主缸201(HZ)的二级室122的冗余密封件301a泄漏的另一种方法是，将制动系统的压力-体积特性与供压装置229的体积置换和初级回路233中的制动压力传感器252的信号相关联。

在诊断中，例如，在不操纵制动踏板101的情况下，也可以检查密封件107a和流动止回阀321是否泄漏。为此关闭模拟器阀334并打开分离阀216。以定义的电流值给马达228通电，由此制动液从供压装置229经由液压管路147、打开的供给阀144、液压管路147a、初级回路233、液压管路250、分离阀216、液压管路249、通道248、制动主缸201(HZ)的辅助活塞室204、辅助活塞211的孔214、制动主缸201(HZ)的通道255、液压管路320朝向流动止回阀321的方向移动。选择大的马达电流的定义值，以便朝向流动止回阀321的体积流量大于流动止回阀321关闭时的定义值。以此关闭流动止回阀321。初级回路233中的压力通过液压管路253由压力传感器252测量。如果密封件107a存在泄漏，那么，供压装置229必须补充推入制动液，以使初级回路233中的压力保持恒定。可以通过需要由供压装置229补充推入制动液以保持初级回路233中的压力恒定来发现密封件107a泄漏。

同样适用的是，如果流动止回阀321存在泄漏，那么，供压装置229必须补充供给制动液，以使初级回路233中的压力保持恒定。可以通过需要由供压装置229补充供给制动液以保持初级回路233中的压力恒定来发现流动止回阀321泄漏。

图7示出了专利文献DE 10 2013 216 477A1中的制动主缸401(HZ)和活塞行程模拟器402。在制动主缸401(HZ)中装有作为阶梯活塞的初级活塞403和二级活塞404。初级活塞在制动主缸401(HZ)中形成一个环形室405和一个初级室406。初级活塞403的环形室405通过液压管路407与活塞行程模拟器402的工作室408连接。二级活塞404在制动主缸401(HZ)中形成一个二级室409。在这里省去了制动力放大器功能的描述。该描述包含在专利文献DE 10 2013 216 477A1中。

当未操纵制动踏板(未示出)时，制动主缸401(HZ)的初级室406经由孔410与制动主缸401(HZ)的环形室405液压连接。

当驾驶员操纵制动踏板(未示出)时，踏板挺杆411向左移动。随着踏板挺杆411向左移动，初级活塞403也向左移动。随着初级活塞403移动，制动主缸401(HZ)的初级室406经由孔410与制动主缸401(Hz)的环形室405之间的连接通过密封件412液压分离，制动液从制动主缸401(HZ)的环形室405经由液压管路407被推移到活塞行程模拟器402的工作室408中。随着制动液推移到活塞行程模拟器402的工作室408，活塞行程模拟器402的活塞413克服弹簧414向右移动，弹簧414因此而被压缩。通过弹簧414的作用力，在活塞行程模拟器的工作室408中形成压力，并且因此也在制动主缸401(HZ)的环形室405中形成压力。制动主缸401(HZ)的环形室405中的这种压力在制动踏板(未示出)上产生反作用力。驾驶员在操纵制动踏板(未示出)时会感觉到这个反作用力。另外，在这种情况下，在制动主缸401(HZ)的环形室405经由通道415、液压管路416、止回阀417、液压管路418以及液压管路419至储存容器131(Vb)的连接中，止回阀417关闭。

在正常情况下，驾驶员操纵制动踏板(未示出)时，制动主缸401(HZ)的初级室406无压力，这在图7中用从制动主缸401(HZ)中的通道422经由液压管路431和419至储存容器131(VB)的虚线液压管路421表示。

在正常情况下，驾驶员操纵制动踏板(未示出)时，制动主缸401(HZ)的二级室409经由通道423与供压装置(未示出)相连接，使得制动主缸401(HZ)的二级室409中的压力等于供压装置的压力。这样，当驾驶员操纵制动踏板(未示出)时，二级活塞404在正常情况下抵靠在制动主缸401(HZ)中的右侧止挡件404a上。此时，供压装置(未示出)可经由通道423、孔424、二级室409、通道425、液压管路426、止回阀427以及液压管路428从储存容器131(VB)中吸取制动液。

制动主缸401(HZ)的初级室406通过密封件429和冗余密封件429a与制动主缸401(HZ)的二级室409液压分离。经由带节流部432的液压管路431和液压管路419与储存容器131(VB)连接的通道430位于密封件429和冗余密封件429a之间。

通过制动主缸401(HZ)中的通道430经由带节流部432的液压管路431、经由液压管路431和419与储存容器131(VB)连接，如果储存容器131(VB)和通道430之间的高度差忽略不计，那么，通道430中的压力等于储存容器131(VB)中的压力。

如果制动主缸401(HZ)的初级室406中的压力与储存容器131(VB)中的压力相同，那么，在密封件429a完好无损时，即使制动主缸401(HZ)的二级室409有压力，由于通道430中的压力与储存容器131(VB)中的压力相同，密封件429也不会被施加载荷。另外，如果冗余密封件429a完好无损，制动主缸401(HZ)的二级室409中可能的污物颗粒将被冗余密封件429a阻挡，使其不能进入通道430，并且不会损坏密封件429。如果冗余密封件429a完好无损，密封件429不会失效。

如果密封件429a不密封，例如由于磨损或污物颗粒造成，那么，制动液可能从制动主缸401(HZ)的二级室409经由通道430、带有节流部432的液压管路431和液压管路419流出到储存容器131(VB)中。可以通过供压装置(未示出)补偿流出的制动液。通过供压装置(未示出)对制动液的补偿是冗余密封件429a泄漏的指示器，并且可以通过供压装置(未示出)的马达旋转角度传感器(未示出)测定。

这样，在运行过程中可以发现冗余密封件429a泄漏，而不会由于此泄漏而妨碍运行。因此，冗余密封件429a、密封件429、通道430、带节流部432的液压管路431和通往储存容器131(VB)的液压管路419的组合使HZ 401的二级室409与HZ 401的初级室406液压分离，这种分离可以被称为失效可运行。

当操纵制动踏板(未示出)时，初级活塞403向左移动，并且初级活塞403中的孔410移动经过冗余密封件412a。通过冗余密封件412a，制动主缸401(HZ)的环形室405与制动主缸401(HZ)的初级室406液压分离。

如果初级活塞403继续向左移动，那么，初级活塞403中的孔410可能也移动经过密封件412。制动主缸401(HZ)的初级室406则通过密封件412和冗余密封件412a与制动主缸401(HZ)的环形室405液压分离。在密封件412和冗余密封件412a之间具有通道433，此通道经由带节流部434的液压管路419与储存容器131(VB)连接。通过通道433经由液压管路419与储存容器131(VB)连接，如果储存容器131(VB)和通道433之间的高度差忽略不计，那么，通道433中的压力等于储存容器131(VB)中的压力。

如果制动主缸401(HZ)的初级室406中的压力与储存容器131(VB)中的压力相同，那么，在密封件412a完好无损时，即使制动主缸401(HZ)的环形室405有压力，密封件412也不会被施加载荷。另外，如果冗余密封件412a完好无损，制动主缸401(HZ)的环形室405中可能的污物颗粒将被冗余密封件412a阻挡，使其不能进入通道433，并且不会损坏密封件412。如果冗余密封件412a完好无损，密封件412不会失效。

如果冗余密封件412a不密封，例如由于磨损或污物颗粒造成，那么，制动液可能从制动主缸401(HZ)的环形室405经过通道433、带节流部434的液压管路419流到储存容器131(VB)。可以由驾驶员通过减小施加于制动踏板(未示出)的作用力来补偿流出的制动液。制动踏板不会失效。制动力补偿是冗余密封件412a不密封的指示器，可以借助于初级活塞位移传感器(未示出)和活塞行程模拟器(未示出)的压力传感器，同时使用活塞行程模拟器402的压力-体积特性来测定。

这样，在运行过程中可以发现冗余密封件412a不密封，而不会由于此不密封而妨碍运行。因此，冗余密封件412a、密封件412、通道433、通往储存容器131(VB)的带节流部434的液压管路419的组合使HZ 401的环形室405与HZ 401的初级室406液压分离，这种分离可以被称为失效可运行。

制动主缸401(HZ)的环形室405与踏板挺杆411的受保护空间435的液压分离通过冗余密封件436a和密封件436实现。在冗余密封件436a和密封件436之间具有在初级活塞403中的带有节流部438的通道437。踏板挺杆411的受保护空间435中的压力等于大气压。

在正常情况下，当驾驶员操纵制动踏板(未示出)时，制动主缸401(HZ)的环形室405中的压力高于踏板挺杆411的受保护空间435中的大气压。初级活塞403的通道437中的压力也等于大气压。由此，即使当制动主缸401(HZ)的环形室405有压力时，正常情况下，驾驶员操纵制动踏板(未示出)并且冗余密封件436a完好无损时，密封件436也不会被施加载荷。另外，如果冗余密封件436a完好无损，制动主缸401(HZ)的环形室405中可能的污物颗粒将被冗余密封件436a阻挡，使其不能进入通道437，并且不会损坏密封件436。如果冗余密封件436a完好无损，密封件436不会失效。

如果冗余密封件436a不密封，例如由于磨损或污物颗粒造成，那么，制动液可能从制动主缸401的环形室405经由带有节流部438的通道437流入踏板挺杆411的受保护空间435中。可以由驾驶员通过减小施加于制动踏板(未示出)的作用力来补偿流出的制动液。制动踏板不会失效。制动踏板力补偿是冗余密封件436a泄漏的指示器，可以借助于初级活塞位移传感器(未示出)和活塞行程模拟器402的压力传感器(未示出)，并使用活塞行程模拟器402的压力-体积特性来测定。

这样，在运行过程中可以发现冗余密封件436a泄漏，而不会由于此泄漏而妨碍运行。因此，冗余密封件436a、密封件436、带节流部438并通往踏板挺杆411的受保护空间435的通道437的组合使主缸401的环形室405与踏板挺杆411的受保护空间435液压分离，这种分离可以被称为失效可运行。

活塞行程模拟器402的工作室408与活塞行程模拟器402的充满空气的弹簧室439的液压分离通过冗余密封件440a和密封件440实现。在冗余密封件440a和密封件440之间在活塞行程模拟器402中具有通道441，该通道经由带有节流部443的液压管路442、液压管路418以及液压管路419与储存容器131(VB)连接。如果储存容器131(VB)与通道441之间的高度差忽略不计，活塞行程模拟器的通道441中的压力等于储存容器131(VB)中的压力，其中在储存容器131(VB)中为大气压。

在正常情况下，当驾驶员操纵制动踏板(未示出)时，制动主缸401(HZ)的环形室405中的压力，以及由此活塞行程模拟器402的工作室408中的压力高于活塞行程模拟器402的弹簧室439内的大气压。活塞行程模拟器402的通道441中的压力也等于大气压。由此，在正常情况下，当驾驶员操纵制动踏板(未示出)并且当冗余密封件440a完好无损时，即使在活塞行程模拟器402的工作腔405有压力时，密封件440也不会被施加载荷。另外，如果冗余密封件440a完好无损，活塞行程模拟器402的工作室408中可能的污物颗粒将被冗余密封件440a阻挡，使其不能进入通道441，并且不会损坏密封件440。如果冗余密封件440a完好无损，密封件440不会失效。

如果密封件440a不密封，例如由于磨损或污物颗粒造成，那么，制动液可能从活塞行程模拟器402的工作室408经由通道441、带有节流部443的液压管路442、液压管路418和液压管路419流出到储存容器131(VB)。可以由驾驶员通过减小施加于制动踏板(未示出)的作用力来补偿流出的制动液。制动踏板(未示出)不会失效。作用于制动踏板(未示出)的力的补偿是冗余密封件440a不密封的指示器，可以借助于初级活塞位移传感器(未示出)和活塞行程模拟器402(未示出)的压力传感器，同时使用活塞行程模拟器402的压力-体积特性测定。

这样，在运行过程中可以发现冗余密封件440a泄漏，而不会由于此泄漏而妨碍运行。因此，冗余密封件440a、密封件440、通道441、带有节流部443的液压管路442、液压管路418和通往储存容器131(VB)的液压管路419的组合使活塞行程模拟器402的工作室408与行程模拟器402的弹簧室439液压分离，这种分离可以被称为失效可运行。

对于机械后备级，例如整车电网发生故障时，设置了冗余密封件446a、通道447和带有节流部448的液压管路449。当操纵制动踏板(未示出)时，初级活塞403向左移动，并且初级活塞403中的孔410移动经过冗余密封件412a。通过冗余密封件412a，制动主缸401(HZ)的环形室405与制动主缸401(HZ)的初级室406液压分离。

如果初级活塞403继续向左移动，那么，初级活塞403中的孔410可能也移动经过密封件412。制动主缸401(HZ)的初级室406则通过密封件412和冗余密封件412a与制动主缸401(HZ)的环形室405液压分离。在机械后备级中，环形室405经由液压管路和电磁阀(未显出)直接与储存容器131(VB)连接，使得环形室405中的压力不会由于操纵制动踏板(未示出)而增加。相反，在机械后备级中，液压管路421被电磁阀(未示出)锁闭，从而在操纵制动踏板(未示出)时，初级室406中的压力增加。

在机械后备级中，供压装置(未示出)未运行，使得通道423中的压力以及由此制动主缸401(HZ)的二级室409中的压力不受供压装置(未示出)影响。随着初级室406中的压力增加，二级活塞404向左移动。如果在二级活塞404移动时二级活塞404的孔424移动经过了冗余密封件446a，那么，二级室409与通道447液压分离，该通道经由带有节流部448的液压管路449、液压管路431及液压管路419与储存容器131(VB)连接。由于此液压分离，在二级活塞404继续移动时，二级室中的压力以及由此通道444中的压力也能增加。

如果密封件412不密封，例如由于磨损或污物颗粒造成，那么，制动液可能从制动主缸401(HZ)的初级室406经由通道433、带节流部434的液压管路419流到储存容器131(VB)。可以由驾驶员通过增加制动踏板(未示出)的位移来补偿流出的制动液。制动踏板不会失效。由于密封件412不密封，机械后备级的运行不会因此不密封而受干扰。因此，冗余密封件412a、密封件412、通道433、通往储存容器131(VB)的带节流部434的液压管路419的组合使HZ 401的初级室404与储存容器131(VB)液压分离，这种分离在机械后备级中可以被称为失效可运行。

如果冗余密封件446a不密封，例如由于磨损或污物颗粒造成，那么，制动液可能从制动主缸401(HZ)的二级室409经由通道447、带有节流部448的液压管路449、液压管路431和419流出到储存容器131(VB)中。可以由驾驶员通过增加制动踏板(未示出)的位移来补偿流出的制动液。制动踏板不会失效。由于冗余密封件446a不密封，在机械后备级中的运行不会因此不密封而受干扰。因此，冗余密封件446a、密封件446、通道447、带节流部448的液压管路449、液压管路431和通往储存容器131(VB)的液压管路419的组合使HZ 401的二级室409与储存容器131(VB)液压分离，这种分离在机械后备级中可以被称为失效可运行。

与图4所述类似，在图7的制动系统中，所有控制和分析信号都在一个控制设备(未示出)中处理。因此，在此仅描述图7的制动系统与图4的制动系统相比的特别之处。通过初级活塞位移(未示出)的冗余传感器信号的可信性观测，利用用于活塞行程模拟器402的工作室408中压力的压力传感器(未示出)的信号，在考虑到活塞行程模拟器402的压力-体积特性的情况下，对初级室406的冗余密封件412a、环形室405的冗余密封件436a和活塞行程模拟器402的工作室408的冗余密封件440a的密封失效进行诊断。识别导致泄漏流量的密封件泄漏的另一种方法是，将制动系统的压力-体积特性与供压装置(未示出)的体积置换和制动回路444中冗余制动压力传感器(未示出)的信号相关联。在图7的制动系统中，除了制动主缸401(HZ)的环形室405的冗余密封件436a之外，泄漏流量经由每个密封件流回到储存容器131(VB)中。如果泄漏流量没有流回到储存容器131(Vb)中，那么，可以通过将泄漏损失与储存容器131(Vb)中的冗余液位传感器151的信号相关联来进行密封性诊断，该液位传感器优选是线性的。

图8描述了，在制动以及随后车辆停止过程中使用制动过程结束时系统中的残余压力在相应的阀切换“关闭-打开-关闭”中用于诊断密封性。出发点是假设在制动过程结束时在诊断中检查其功能是正常的组件在确定条件下在随后的制动过程中仍正常运行。从而避免了增加尤其是密封件的负载循环的单独预驱动检查(PDC)。

现在根据图5的制动系统对诊断进行说明。在图8中，作为示范，以关于时间t的实线或虚线曲线说明根据操纵制动踏板101由压力传感器252测得的初级回路233中的制动压力P。在其下方说明了分离阀216(FV)的信号，其中信号为1时分离阀216(FV)关闭，而当信号为0时分离阀216(FV)打开。在分离阀216(FV)的信号下方说明了驾驶员侧车门的信号，其中当信号为1时驾驶员侧车门关闭，而当信号为0时驾驶员侧车门打开。在驾驶员侧车门信号下方说明了车轮制动器(未示出)的进入阀EV的信号，其中当信号为1时车轮制动器的进入阀EV关闭，而当信号为0时车轮制动器的进入阀EV打开。

在时间点t＝0时，开始制动过程，直到车辆停止。分离阀216(FV)关闭，驾驶员侧车门关闭。车轮制动器(未示出)的进入阀EV打开。在时间点t＝t1时，初级回路233中的压力P保持恒定，并且从时间点t＝t2起，由于车辆停止已经实现或几乎实现，并且制动过程结束，所以制动回路中的制动压力减小。为了诊断，在时间范围t＝t3至t＝t7中供压装置229的活塞位置保持恒定。如果密封件不存在泄漏，那么，初级回路233中的压力P在从t＝t3至t＝t6的时间范围D内(实线压力线)保持恒定。如果初级回路233中的压力P在从t＝t3至t＝t4的时间范围内(点划线的压力曲线)减小，则密封件存在泄漏，例如，密封件241。如果在密封件泄漏时在时间点t＝t4关闭车轮制动器(未示出)的进入阀EV，直到t＝t5，并且初级回路233中的压力P在从t＝t4至t＝t5的时间范围内保持恒定，那么，车轮制动器(未示出)的一个或多个密封件存在泄漏(虚线压力线)。否则，制动系统中的密封件存在泄漏，例如密封件241。如果在时间范围t＝t6至t＝t7中打开分离阀216(FV)，那么，当制动踏板101未操作时，制动液从车轮制动器(未示出)经由车轮制动器(未示出)的打开的进入阀、初级回路233、液压管路250、打开的分离阀216(FV)、液压管路249、通道248、辅助活塞室204、辅助活塞孔214、通道255、液压管路129、打开的诊断阀218、液压管路129a流回到储存容器131(VB)中，从而减小了初级回路233中的制动压力P。如果分离阀216(FV)再次关闭，并且初级回路233中的压力P保持恒定，则分离阀216(FV)是密封的。否则，如果初级回路233中的压力P进一步下降，则分离阀16(FV)存在泄漏。在时间点t＝t8时，驾驶员侧车门被开，诊断过程中断。在时间点t＝t9时关闭驾驶员侧车门后，可以在时间点t＝tl0时的下一次车辆停止时重新执行诊断过程。

如果在t＝t4至t＝t5的时间段中发现，车轮制动器(未示出)存在泄漏，那么，可以逐渐相继短暂打开车轮制动器的EV。如果此时压力P再次下降，则该车轮制动器存在泄漏，然后可以在下一个制动过程中通过在制动过程中该车轮制动器的EV保持关闭将该车轮制动器排除在制动之外。

分离阀216(FV)打开/关闭的功能和密封性对于“失效可运行”的安全类别很重要，因为在发生故障时制动力放大器功能(BKV)可能无法使用。因此，所描述的诊断具有重要意义。由此确保在诊断后没有体积流通过阀FV。为了确保这一点，分离阀216(FV)可能有以下开关动作：

·诊断后FV断开(打开)：

ο在点火装置关闭时

ο在点火装置关闭并且驾驶员侧车门关闭时

ο在点火装置接通后，借助计时电路点火装置关闭时

·FV接通(关闭)：

ο在打开车门时

ο在点火装置接通时

ο在预接触制动踏板，以便在经由制动主缸(HZ)的活塞使体积移动之前关闭FV时

图9a示出了作为图5的部分制动系统的扩展的整个制动系统。扩展主要涉及冗余，现在对其进行说明。

供压装置500(DV)例如根据双行程活塞DHK(图3)的原理有两个回路，并经由环形室(87，图3)、液压管路501为初级回路502供应制动液，并经由室(86，图3)、液压管路503为二级回路504供应制动液。另外，环形室(87，图3)经由液压管路505通过吸入阀506与储存容器508的室507(VB1)连接。室(86，图3)经由液压管路509通过吸入阀510与储存容器508的室511(VB2)连接。以这种方式，初级回路502和二级回路504保持液压分离。这样，初级回路502中的泄漏导致初级回路502失效，而不导致二级回路504失效。相反，二级回路504中的泄漏导致二级回路504失效，而不导致初级回路502失效。

液压管路501、505或503和509还可以包含电磁阀(未示出)，以便能够在初级回路502或二级回路504中建立压力并卸除压力。如果双行程活塞(87，图3)的室(86，图5)发生故障，则在二级回路504中经由液压管路503建立压力和卸除压力失效。仍然可以经由液压管路503在初级回路502中建立压力和卸除压力。以类似的方式，如果双行程活塞(图3)的环形室(87，图5)发生故障，则在初级回路502中经由液压管路501建立压力和卸除压力失效。仍然可以经由液压管路503在二级回路504中建立压力和卸除压力。因此，供压装置500(DV)中的单个故障不会导致供压装置500(DV)失效。

马达512包含两个带有两个三相控制装置的三相绕组。如果一个三相绕组发生故障，马达512仍然能够运行。马达还包含一个冗余，优选本安型电枢角度传感器513，以便在电枢角度传感器513发生故障时马达512仍保持运行。

在图9a中以对角线示出了制动回路分配。例如，在轿车中，车轮制动器514在左前车轮上，而车轮制动器515在右后车轮上。在本示例中，车轮制动器516在右前车轮上，而车轮制动器517在左后车轮上。

车轮制动器514、515、516、517的阀装置设置用于ABS中的所谓多路运行。例如，如果在ABS运行过程中需要降低车轮制动器514上的压力，则关闭阀519、520、521，并打开阀518。车轮制动器514上的压力卸除则通过供压装置500(DV)的活塞运动(71，图3)进行。在车轮制动器514上的压力卸除过程中，车轮制动器515、516、517上的压力保持恒定(保持压力)。也可以选择在车轮制动器514上通过排出阀522、通往储存容器508的室511(VB2)的液压管路523减小压力。这是优选的，如果在车轮制动器例如515、516或517上建立压力的过程中，以多路运行建立压力，而车轮制动器514上的压力必须减小。

车轮制动器516经由液压管路524、阀521、液压管路525、冗余阀521a、液压管路526和液压管路501与初级回路502连接。对于ABS功能而言足够的是，ABS调节器请求例如在ABS中在车轮制动器516上“保持压力”时，关闭阀521。如果阀521泄漏，在ABS调节器请求在车轮制动器516中“保持压力”时通过关闭冗余阀521a实现。这保证了当阀521泄漏时确保车辆在车轮516上的横向稳定性。可以在诊断中检查阀521和冗余阀521a是否泄漏，如根据图5对阀216和216a说明的那样。另一方面，当车轮制动器516泄漏时，可以通过关闭阀521和冗余阀521a可靠防止制动液损失。

在车轮制动器515上设置有一个与车轮制动器516类似的阀装置。从而车轮制动器515的车轮也具有与车轮制动器516的车轮上相同的优点：保证当阀519泄漏时确保车辆在车轮516上的横向稳定性，并确保当车轮制动器515泄漏时通过关闭阀519和冗余阀519a来防止制动液损失。

为储存容器508扩展了一个第三室527(VB3)。制动过程中或诊断过程中由于制动主缸201的密封件泄漏可能发生的通过节流部528和529的泄漏，会提高第三室527(VB3)中的制动液液位并降低储存容器508的室507(VB1)和511(VB2)中的制动液液位。可以通过第三室527(VB3)中的液位传感器530以及通过储存容器508的室507(VB1)和室511(VB2)的冗余液位传感器151来发现储存容器508的第三室527(VB3)、室507(VB1)和室511(VB2)中的液位变化。从而得出另一种发现制动主缸201(HZ)的密封件泄漏的方法。

通过行程模拟器活塞117的节流部142和供压装置活塞中的节流部(参见图3中的节流部82)的泄漏流不会流回到储存容器508中。如果发生这类泄漏流，则制动后储存容器508的室507(VB1)和室511(VB2)中的制动液液位比制动前低。可以通过冗余液位传感器151发现储存容器508的室507(VB1)和室511(VB2)中的该液位变化。从而得出另一种无论是制动后还是诊断后都能发现行程模拟器活塞117和双行程活塞(71，图3)密封件泄漏的方法。

控制设备531(ECU)显示传感器的，例如冗余液位传感器151的，马达512和阀，例如电磁阀518的输入和输出信号，以及作为备用的可能的其他输入和输出信号X。控制设备531(ECU)还示出在电存储器532(U1)、533(U2)和534(U3)中的三重冗余。一个电存储器，例如532(U1)的故障，通过飞机行业中众所周知的所谓“三选二”规则进行处理。其中将电存储器532(U1)、533(U2)和534(U3)的电压相互进行比较。如果两个电存储器例如533(U2)和534(U3)显示相同的电压，而电存储器532(U1)显示不同的电压，那么，电存储器532(U1)将被识别为有故障，并且被从供电装置中排出。然后，仅通过电存储器533(U2)和534(U3)给控制设备531(ECU)供电。在图9d的描述中可以找到控制设备功能详细说明。

图9b示出了节流部的实施方式，例如图9a中的节流部528。节流部由液压管路例如，至储存容器508的536中的孔板535组成。孔板535有至少两个孔537和537a，其中每个孔537和537a构成一个节流部，液压管线536中的泄漏流流经这些孔。如果孔537被污物颗粒堵塞，则通过液压管路536的泄漏流仍可流经至少一个孔537a。因此，节流部528是冗余的。为了避免污物进入孔板，在孔板前面沿流动方向安装了一个滤网538。在制动过程中以及诊断过程中，即使一个孔例如537堵塞，也能发现制动主缸201(HZ)密封件的泄漏。

图9c示出了作为图9a的制动系统一种扩展的整个制动系统。扩展主要涉及带驱动器的供压装置的冗余，现在对其进行说明。

双回路供压装置500(DV1)的环形室(87，图3)现在经由液压管路501、分离阀601和液压管路602与初级回路502连接。双回路供压装置500(DV1)的室(86，图3)现在经由液压管路503、分离阀603和液压管路604与二级回路504连接。阀612与吸入阀506并联。因此，初级回路502中的压力可以经由液压管路602、分离阀601、液压管路501以及阀612快速卸除至储存容器508的室VB2。阀613同样与吸入阀510并联。因此，二级回路504中的压力可以经由液压管路604、分离阀603、液压管路503以及阀613快速卸除至储存容器508的室VB1。

类似于供压装置500(DV1)，在冗余供压装置605(DV2)中双回路供压装置605(DV2)的环形室(87，图3)经由液压管路606、分离阀607、液压管路608和液压管路602与初级回路502连接。双回路供压装置605(DV2)的室(86，图3)现在经由液压管路609、分离阀610、液压管路611和液压管路604与二级回路504连接。

供压装置500(DV1)完好无损时，制动力放大和ABS压力调节通过供压装置500(DV1)进行。供压装置500(Dv1)例如由于双行程活塞(71，图3)的驱动器发生故障而失效时，分离阀601和603关闭，供压装置500(DV1)的运行切断。分离阀607和610打开，制动系统的运行由供压装置605(DV2)负责。这样，即使供压装置500(DV1)发生故障，也能保证制动系统失效可运行。

图9d示出了用于图9a和图9c的制动系统的冗余控制设备(ECU)的基本方案。类似于具有所谓“三选二”的飞机技术，如图9a中所述，从冗余电存储器U1、U2中冗余地进行供电700，并根据具体情况额外从U3供电。该电源700为计算机701(CP1至CP3)供电。计算机CP1和CP2的输出信号作用到例如马达和阀的具有相应的输出级703的控制装置702上。在此在控制时，可以对电机和阀进行两倍冗余或三倍冗余控制。但是，这意味着大量的费用，例如在ESP 12中必须安装额外的阀控制装置。在这里可以采用智能冗余，在这种冗余中如图9a所示仅借助冗余控制装置执行所选择的阀。在ESP中通常通过到计算机CP1和计算机CP2的线路704对控制装置进行持续监控。也可以仅冗余设计具有计算机CP1、CP2和CP3的控制装置。例如，已知采用两倍三相而不是三相来控制BLCD马达，假设前提是马达轴承和驱动器是防故障的。

通过输入/输出端706(I/O)传递到计算机CP1、CP2和CP3的传感器信号705作用到ECU上。在根据图9c的全冗余制动系统中，优选对于全自动驾驶AD(自动驾驶等级5)，也可以考虑设计没有串联制动主缸THZ(未示出)的制动系统。在这里，THZ可以用“制动然后行使”信号707代替，该信号在AD的中央ECU中生成。

对于用于处理输入信号的整个计算功能，例如传感器705通过相应的第一I/O706a和第二I/O 706b的输入信号，使用一个或多个功能强大的计算机CPU，例如微控制器。这种计算机CPU通过带有输出级703的相应集成或单独的控制装置702来控制执行器，例如马达和阀。名称702和703仅是一个符号，但也适用于相邻的符号。

计算机CP1、CP2和CP3可采用冗余结构，例如作为CP1和CP2的两倍冗余，作为CP1和CP2和CP3的三倍冗余。由于费用的原因，可替选地将计算机CP2用于减少的功能，而计算机CP3用于制动系统的紧急功能。相应地，这也适用于执行器和阀。对于马达这根据图9a意味着，冗余控制用于双绕组组合，即一次三相冗余，而对于阀意味着，一个轴的仅一个或两个阀进行冗余控制。或者仅仅控制装置是冗余的，并且作用于阀，因为阀线圈的故障率极低。

如果根据本发明仅满足部分功能，例如每个轴的ABS的部分功能，阀的部分冗余可能就足够了。在某些情况下(例如ESP)，这可能需要一个附加传感器(ESP中的偏航角传感器)。

在方框电路图中显示，传感器705及制动器的所有输入信号和行驶信号706作用到所有计算机CP1、CP2、CP3上。用于带输出级703的控制装置702的输出信号同样与每个CP分开进行。

借助具有域名和中央计算机的架构趋势，可以在作为从机的ECU中单独设计控制装置。然后，从机ECU包含带有输出级的整个控制系统，并在必要时包含用于传感器或制动然后行驶的开关信号707的输入/输出。然后，必要时根据具有不同结构和不同协议、用于全功能到紧急功能的上述计算机结构，通过冗余总线系统将信号传输到主机ECU。

由于从机ECU复杂性较低，必要时可以通过简单布线有一层或仅有几层的印刷电路板节省费用。由于功能的高度复杂性，在软件中采用神经网络特别适合。

以上有益的实施例或具体实施方式，尤其是在图4至9中对系统，特别是制动或离合器系统进行了说明。本发明所提供的解决方案也可以有益地应用于其他液压系统和这类系统的关键密封件。在这种情况下，也可以有利地使用上述以及附图中所示的本发明或其具体实施方式的各个元件以及其他组合。

附图标记列表

BK1 初级回路

BK2 二级回路

D 诊断时间间隔(t3至t7)

EV 进入阀

FV 分离阀(216)

P 初级回路中的制动压力

PDC 预驱动检查

t1 压力保持恒定的时间点

t2 压力减小的时间点

t3 用于诊断的压力保持恒定的时间点

t4 检查到压力下降并关闭进入阀的时间点

t5 进入阀打开的时间点

t6 分离阀FV打开的时间点

t7 分离阀FV关闭的时间点

t8 驾驶员侧车门打开，诊断中断的时间点

t9 驾驶员侧车门关闭的时间点

t10 重复停车诊断的时间点

1 制动系统的二级活塞

2 串联制动主缸(THZ)

3 串联制动主缸的初级室

4 串联制动主缸的二级室

5 缸中的通道

6 液压管路

7 储存容器(VB)

8 缸的密封件

9 缸的密封件

9a 缸的冗余密封件

10 缸中的通道

11 液压管路

12 节流部

13 缸中的通道

14 液压管路

15 缸中的通道

16 液压管路

17 二级活塞中的孔

21 调节器活塞

22 活塞挺杆

23 缸

24 液压缸的工作腔

25 液压缸的内室

26 力

27 缸中的通道

28 液压管路

41 串联制动主缸的初级活塞

41a 挺杆

42 串联制动主缸(THZ)

43 串联制动主缸的初级室

44 活塞挺杆腔

45 初级活塞的孔

46 缸中的通道

47 液压管路

48 密封件

49 密封件

49a 冗余密封件

50 通道

51 液压管路

52 节流部

53 通道

54 液压管路

71 阶梯式活塞或双行程活塞(DHK)

72 阶梯式活塞的缸

73a 缸中的通道

73b 缸中的通道

73c 缸中的通道

73d 缸中的通道

74a 液压管路

74b 液压管路

74c 液压管路

74d 液压管路

75a 吸入阀

75b 吸入阀

75c 止回阀

75d 止回阀

76 液压管路

78 通道

79 阶梯式活塞中的密封件

80 阶梯式活塞中的密封件

81 阶梯式活塞中的通道

81a 阶梯式活塞中的通道

82 阶梯式活塞中的节流部

83 密封件

84 密封件

85 节流部

86 室

87 环形室

88 活塞杆

89 活塞杆腔

101 制动踏板

102 踏板挺杆

103 踏板活塞

104 踏板活塞弹簧

105 初级活塞

106 初级活塞的孔

107 密封件

108 分离阀

109 分离阀

110 模拟器阀

111 串联制动主缸的初级室

112 串联制动主缸(THZ)

113 通道

114 液压管路

114a 液压管路

115 节流部

116 行程模拟器

117 行程模拟器活塞

118 行程模拟器的弹簧组

119 二级活塞

120 二级活塞的孔

121 密封件

122 串联制动主缸的二级室

123 初级活塞弹簧

124 二级活塞弹簧

125 密封件

126 通道

127 密封件

128 通道

129 液压管路

129a 液压管路

130 诊断阀

131 储存容器(VB)

132 串联制动主缸的外室

133 位移传感器

133a 位移传感器

134 液压管路

135 节流部

136 通道

137 液压管路

137a 液压管路

138 截止阀

139 行程模拟器的工作室

140 行程模拟器活塞的密封件

140a 行程模拟器活塞的冗余密封件

141 行程模拟器活塞中的通道

141a 行程模拟器活塞中的通道

142 行程模拟器活塞中的节流部

143 行程模拟器活塞弹簧组的腔

144 供给阀

144a 分离阀，无电流打开

144b 分离阀，无电流打开

145 供压装置(DV)的马达

147 液压管路

147a 液压管路

148 液压管路

149 液压管路

150 通道

151 踏板复位弹簧

201 制动主缸(HZ)

204 辅助活塞室

206 辅助活塞室和初级室之间的中间壁

211 辅助活塞

212 辅助活塞挺杆

213 中间壁中的孔

214 辅助活塞的孔

215 密封件

216 分离阀

216a 冗余分离阀

217 通道

218 液压管路

228 供压装置的马达

229 供压装置(DV1)

233 初级回路

236 通道

237 二级回路

241 密封件

242 密封件

243 通道

244 液压管路

245 节流部

247 储存容器(VB)

248 通道

249 液压管路

250 液压管路

252 初级回路中的压力传感器

253 液压管路

254 电子稳定程序(ESP)

255 EPS的供压装置(DV2)

301 密封件

301a 冗余密封件

302 通道

304 液压管路

305 节流部

311 液压管路

312 流动止回阀

313 液压管路

320 液压管路

321 流动止回阀

322 液压管路

328 密封件

329 冗余密封件

330 通道

331 液压管路

332 节流部

334 模拟器阀

401 制动主缸

402 活塞行程模拟器

403 作为阶梯式活塞的初级活塞

404 二级活塞

404a 二级活塞右侧的止挡件

405 制动主缸的环形室

406 初级室

407 液压管路

408 活塞行程模拟器的工作室

409 制动主缸的二级室

410 孔

411 踏板挺杆

412 密封件

412a 冗余密封件

413 活塞行程模拟器的活塞

414 活塞行程模拟器的弹簧

415 通道

416 液压管路

417 止回阀

418 液压管路

419 液压管路

421 符号化的液压管路

422 通道

423 通道

424 孔

425 通道

426 液压管路

427 止回阀

428 液压管路

429 密封件

429a 冗余密封件

430 通道

431 液压管路

432 节流部

433 通道

434 节流部

435 踏板挺杆的受保护的空间

436 初级活塞中的密封件

436a 初级活塞中的冗余密封件

437 通道

438 节流部

439 活塞行程模拟器的弹簧室

440 密封件

440a 冗余密封件

441 通道

442 液压管路

443 节流部

444 通道

446a 冗余密封件

447 通道

448 节流部

449 液压管路

500 双回路供压装置(DV、DV1)

501 液压管路

502 初级回路

503 液压管路

504 二级回路

505 液压管路

506 吸入阀

507 储存容器中的室(VB1)

508 带有三个室的储存容器(VB)

509 液压管路

510 吸入阀

511 储存容器中的室(VB2)

512 两倍三相电机

513 冗余电枢角度传感器

514 左前车轮制动器

515 右后车轮制动器

516 右前车轮制动器

517 左后车轮制动器

518 阀

519 阀

519a 冗余阀

520 阀

521 阀

521a 冗余阀

522 排出阀

524 液压管路

525 液压管路

526 液压管路

527 储存容器中的第三室(VB3)

528 节流部

529 节流部

530 储存容器的第三室中的液位传感器

531 控制设备(ECU)

532 冗余电存储器(U1)

533 冗余电存储器(U2)

534 冗余电存储器(U3)

535 用于节流部的孔板

536 液压管路

537 孔板中的孔

537a 孔板中的冗余孔

538 节流部的滤网

601 分离阀

602 液压管路

603 分离阀

604 液压管路

605 冗余双回路供压装置(DV2)

606 液压管路

607 分离阀

608 液压管路

609 液压管路

610 分离阀

611 液压管路

612 压力卸除阀

613 压力卸除阀

700 电源

701 计算机CP1、CP2、CP3

702 马达、阀的控制装置

703 输出级

704 电导线

705 传感器信号

706a 第一输入/输出端(I/O)

706b 第二输入/输出端(I/O)

707 制动然后行驶的开关信号

Claims

1.一种活塞-缸单元(2、42、72)，

具有限定至少一个工作室(3、43、86、87)的活塞(1、41、71)，

其中用于密封至少一个第一工作室(3、43、86、87)的第一密封件(9、49、79)密封地设置在活塞(1、41、71)和缸(23、42、72)之间或者设置在与活塞(71)连接的挺杆(88)和缸(23、42、72)之间，

并且，第二密封件(9a、49a、80、83)设置在第一密封件(9、49、79)和第一工作室(3、43、86、87)之间，

并且，所述活塞-缸单元(2、42、72)具有第一通道(10、46、78、81、81a)，所述第一通道设置在缸(23、42、72)的壁中或者活塞(1、41、71)中，并且在第一密封件(9)和第二密封件(9a)之间尤其通到缸的内室中，

第一通道(10)和/或与第一通道连接的液压管路(11、51、76)具有节流装置(12)和/或阀装置，

并且设有具有诊断或监控功能的电子的控制和调节装置(ECU)，以便诊断或监控密封件可能的故障或失效。

2.根据权利要求1所述的活塞-缸单元，其特征在于，为了诊断有故障的密封件，诊断或监控密封件(9a、49a、83)上产生的泄漏流，特别是流经所述第一通道(10)的泄漏流。

3.根据权利要求1或2所述的活塞-缸单元，其特征在于，限制有故障的密封件(9a、49a、83)上产生的泄漏流，尤其是借助设置在通道(10)中或与该通道相连的液压管路(129)中的节流部(12、52、82、85、142)或阀(130)来限制，其中在阀(130)的情况下，发现泄漏流后关闭该阀。

4.根据权利要求1至3中任一项所述的活塞-缸单元，其特征在于，在有故障的密封件(9a、49a、83)处产生的泄漏流经由所述第一通道(10)或与所述第一通道连接的管路(11、51、76、129)引导至基本上没有压力的空间，尤其是储存容器(7)或室外。

5.根据权利要求1至4中任一项所述的活塞-缸单元，其特征在于，在缸中设置有至少一个另外的通道(5、46)，所述另外的通道通往缸的内室中并且引导至基本上无压力的空间，尤其是储存容器(7)，并且能借助活塞(1、41、71)，尤其是借助活塞(1、41、71)的运动，或借助阀装置(75a、75b)关闭。

6.根据前述权利要求中任一项所述的活塞-缸单元，其特征在于，在密封件，特别是冗余密封件(107a、127、140a)有故障时，经由密封件流出的液压介质(泄漏流)通过附加供给的液压介质(补偿流)进行补偿，尤其是借助供压装置(DV)(146)或借助操作制动装置中的操纵装置(重新踩下制动踏板101)进行补偿。

7.根据前述权利要求中任一项所述的活塞-缸单元，尤其用于供压装置中，其特征在于，所述活塞-缸单元具有双行程活塞(71)，其中所述双行程活塞(71)的活塞杆(88)借助于密封件(83)相对于缸外室液压密封，并且设有用于活塞杆(88)的另外的(冗余)密封件(84)，其中在这些密封件之间设置有通道(78)，该通道通往储存容器(7)并且在该通道中设置有节流部(85)。

8.根据权利要求7所述的活塞-缸单元，其特征在于，所述双行程活塞(71)具有另外的通道(81、81a)，其一个部段(81)在两个密封件(79、80)之间终止，而其另一个部段(87)穿过活塞杆(88)向外通到活塞杆腔(89)中，其中在所述另外的通道(81、88)中设置有节流部(82)。

9.根据前述权利要求中任一项所述的活塞-缸单元，其特征在于，所述双行程活塞(71)的工作室分别具有入口通道(73a、74b)和出口通道(73c、73d)，液压管路与所述入口通道和所述出口通道相连接，在液压管路中设置有止回阀或连接的电磁阀(75c、75d、75a、75b)，并且与所述入口通道相连的管路(74a、74b)与储存容器(7)连接。

10.根据前述权利要求中任一项所述的活塞-缸单元，其特征在于，为活塞(初级活塞105)设有第一密封件(107)，用于将该活塞的工作室(初级室)与所述活塞-缸单元的通道(128)液压分离，并且在该通道的另一侧上设有附加的(冗余)密封件(107a)，并且在从该通道通往储存容器(131)的管路(129)中设置有电磁阀(诊断阀)(130)。

11.根据权利要求10所述的活塞-缸单元，其特征在于，所述电磁阀(130)具有双重功能，其中，所述电磁阀在借助监控功能发现第一密封件(107)泄漏时，以及在借助诊断功能对冗余密封件(107a)和行程模拟器(110)的密封件进行诊断时关闭，其中在这种情况下尤其由供压装置(DV)(146)提供所需要的测试压力。

12.根据前述权利要求中任一项所述的活塞-缸单元，其特征在于，为活塞(二级活塞119)设置有第一密封件(121)，用于将该活塞的工作室(二级室)与所述活塞-缸单元的通道(136)或带截止阀(电磁阀)(138)的至储存容器的管路(137)液压分离，并且与储存容器(131)连接的，尤其是与节流部(135)连接的另外的通道(126)具有另外的密封件(125)以及附加的(冗余)密封件(127)，以及尤其是在通往储存容器(131)的管路(136)中的电磁阀(138)。

13.根据前述权利要求中的任一项所述的活塞-缸单元，其特征在于，行程模拟器(116)具有设有密封件(140)的活塞(117)，该活塞将工作室(139)与弹簧室(118)分开，设有通往弹簧室(118)的贯通通道(通道部段141、141a)，在所述贯通通道中尤其设置有节流部(142)，并且在通道部段(141)的另一侧上设置有附加的(冗余)密封件(140a)。

14.根据前述权利要求中任一项所述的活塞-缸单元，其特征在于，所述活塞-缸单元的缸具有带孔的隔板(206)，挺杆(212)引导穿过该孔，其中该挺杆具有第一密封件(241)和第二密封件(242)，设在隔板中的通道(243)设置在该第一密封件和第二密封件之间，该通道经由其中尤其设置有节流部(245)的管路(244)通往无压力的空间，尤其是储存容器或室外。

15.根据前述权利要求中任一项所述的活塞-缸单元，其特征在于，液压管路(249)从工作室，尤其是所述活塞-缸单元的辅助活塞室(204)通往液压回路或制动回路(233)，在该液压管路中连接有分离阀(216)，并且可选地在该分离阀(216)下游连接另外的(冗余)分离阀(216a)。

16.根据前述权利要求中任一项所述的活塞-缸单元，其特征在于，所述活塞-缸单元具有带通道(236)的工作室(12)，在该通道上尤其能连接ESP设备，另外，所述活塞-缸单元还具有通道(302)，其经由其中尤其连接有节流部(305)的液压管路(304)与储存容器相连接，以便从该储存容器中抽取制动液或向该储存容器输送制动液，并且在通道(236)处除了密封件(301)之外设置有附加的(冗余)密封件(301a)。

17.根据前述权利要求中任一项所述的活塞-缸单元，其特征在于，所述活塞-缸单元具有带通道(236)的工作室(122)，在该通道上连接有制动回路(237)，另外，所述活塞-缸单元还具有通道(302)，其经由其中尤其是连接了节流部(305)的液压管路(304)与储存容器(131)连接，以及所述活塞-缸单元具有另外的通道，该另外的通道具有通往储存容器(131)的液压管路(311)，在该另外的通道中设置有阀(312)，以从该储存容器中抽取制动液或向该储存容器输送制动液，并且所述活塞-缸单元尤其具有第三通道，该第三通道具有通往储存容器(131)的管路，在该第三通道中设置有节流部，并且在具有节流部的通道(302)处，除了密封件(301)之外设置有附加的(冗余)密封件(301a)。

18.根据前述权利要求中任一项所述的活塞-缸单元，其特征在于，为了诊断或监控导致泄漏流的密封件失效，借助于电子的控制和调节单元(ECU)进行可信性观测。

19.根据权利要求18所述的活塞-缸单元，其特征在于，在进行可信性观测时，将操纵装置，尤其是制动踏板(101)的位移与工作室(111)中的压力相关联，和/或将两个踏板位移传感器(133、133a)的位移差和/或所述活塞-缸单元的压力-体积测量(压力-体积特性曲线)作为基础，所述两个踏板位移传感器尤其是具有的弹簧(104)的力-位移传感器单元的踏板位移传感器。

20.根据前述权利要求中的任一项所述的活塞-缸单元，其特征在于，在密封件，尤其是冗余密封件有故障的情况下，经由密封件的液压介质排流或补偿流被用作密封件泄漏的指示器，其方式是，通过将装置的压力-体积特性曲线与供压装置(146)的体积进行比较来确定泄漏流。

21.根据前述权利要求中任一项所述的活塞-缸单元，其特征在于，为了诊断或监控导致泄漏流的密封件失效，将压力-体积特性与供压装置(146)的体积置换和压力回路(233)中压力传感器(252)的信号相关联。

22.根据前述权利要求中任一项所述的活塞-缸单元，其特征在于，尤其是在未操作的操纵装置，尤其制动踏板(1)中，为了(附加)检测密封件的密封性，所述活塞-缸单元的工作室(111)由供压装置(146)加载压力，其中该工作室(111)除了供压装置的输送通道外通过阀液压地关闭，将该工作室(111)中的压力通过供压装置增加，并且确定该供压装置是否需要补充液压液，以便保持该工作室中的压力恒定。

23.根据前述权利要求中任一项所述的活塞-缸单元，其特征在于，尤其是在储存容器(507)上，设置带有液位传感器的至少一个附加的室(527)，该室与所述活塞-缸单元的至少一个通道连接，以便在必要时接收来自受损的密封件的泄漏流，在该至少一个通道中尤其设置有节流部(529)。

24.根据前述权利要求中的任一项所述的活塞-缸单元，其特征在于，储存室(507、527)设置有冗余的液位传感器(151)，其中尤其是借助液位传感器确定的室中的液位变化用于诊断密封件的泄漏。

25.液压装置，例如尤其是用于自动驾驶的制动或离合装置等及其部件，

其中，所述装置具有至少一个活塞-缸单元(112、116)，尤其是根据前述权利要求中任一项所述的活塞-缸单元，并且能够借助于活塞(105、117、119)在活塞-缸单元的至少一个工作室中的运动或借助经由液压管路与该活塞-缸单元连接的装置建立压力，

另外，所述液压装置具有供压装置(500)，尤其是机电的供压装置，所述供压装置尤其是具有另外的活塞-缸单元，

并且所述液压装置具有电子的控制和调节装置(ECU)，

其特征在于，所述液压装置的用于满足“失效可运行”标准的与安全相关的组件或/和部件(112、116、500、521)至少部分地冗余地设计，并且借助控制和调节装置(ECU)的诊断或监控功能，诊断或监控这些组件或部件中的一者或多者的故障或失效。

26.根据权利要求25所述的液压装置，其特征在于，为了诊断或监控安全相关的组件或部件以识别故障或失效，在电子的控制和调节单元(ECU)中进行可信性观测，其中尤其是以操纵装置(101、104)的部件的位移和装置的活塞室(111)中的压力作为基础。

27.液压装置，尤其是根据权利要求25或26所述的制动装置，其特征在于，借助所述活塞-缸单元通过阀(切换阀或进入阀)向制动回路供应压力介质，并且当所述阀后面的制动回路失效(泄漏)时在相应的可信性检查后关闭所述阀，并且以短暂的间隔对所述阀进行诊断，尤其是在速度为零的停车时以测试周期进行诊断。

28.根据权利要求25至27中任一项所述的液压装置，其特征在于，所述装置具有冗余的，尤其是双回路的供压装置(DV1、DV2；500、506)。

29.根据权利要求28所述的液压装置，其特征在于，冗余的所述供压装置(500、605)具有带马达的单独的驱动器和附加地具有分离阀(607、610)，以便借助所述分离阀切断失效的供压装置(例如500)的运行，并且切换到冗余的供压装置(例如605)。

30.根据权利要求25至29中任一项所述的液压装置，其特征在于，所述装置以多路方法或部分多路方法运行。

31.根据权利要求25至30中任一项所述的液压装置，其特征在于，电子的控制和调节单元(ECU)冗余地构成，其中尤其设置两个或三个计算单元(CP1、CP2、CP3)。

32.根据权利要求25至31中任一项所述的液压装置，其特征在于，设计用于减少的功能的计算单元(CP2)，并且在必要时设计用于系统的紧急功能的另一计算单元(CP3)。

33.根据权利要求25至32中任一项所述的液压装置，其特征在于，系统具有冗余的电源，该电源尤其具有至少两个单独的储能器(U1、U2、U3)。

34.根据权利要求25至32中任一项所述的液压装置，其特征在于，(仅)所选择的执行器和/或阀，尤其是车轴的仅一个或两个阀冗余地构成。

35.根据权利要求34所述的液压装置，其特征在于，仅控制装置是冗余的并且作用到阀上。

36.根据权利要求25至35中任一项所述的液压装置，其特征在于，部件例如执行器、阀的控制装置在作为“从机”的ECU中单独设计，并且到“主机”ECU的信号传输通过冗余的总线系统进行，这些总线系统尤其具有不同结构和不同协议(“全功能”、“减少的功能”、“紧急功能”)。

37.根据权利要求25至36中任一项所述的液压装置，其特征在于，ECU，尤其是“从机”ECU，通过仅有一层或仅有几层的印刷电路板的布线构成。

38.根据权利要求25至37中任一项所述的液压装置，其特征在于，诊断后在至少一个分离阀(216)上进行阀的下列开关操作：(a)在点火装置关闭时，(b)在点火装置关闭且驾驶员侧车门关闭时，(c)在点火装置接通后借助定时电路点火装置关闭时，或者(a)在车门打开时，(b)在点火装置接通时，(c)在预接触制动踏板，使得在经由主缸(HZ)的活塞使体积移动之前关闭分离阀时，阀断开(打开)，其中仍然不发生具有污物颗粒的体积流。

39.根据权利要求22至38中任一项所述的液压装置，其特征在于，当车辆停车时在诊断周期中，利用现有或略微增加的制动压力诊断与车轮制动器相关联的进入阀和/或阀FV的密封性，并且接着进行阀FV的切换(打开)连同随后的重复的密封性检查。

40.根据权利要求25至39中任一项所述的液压装置，其特征在于，在点火装置接通时，替选地通过踏板行程传感器信号重新接通分离阀(FV)，所述踏板行程传感器信号在(小的)踏板操作后，但在活塞(105)将液体输送至分离阀FV之前被激活。

41.根据权利要求25至39中任一项所述的液压装置，其特征在于，通过设置冗余的阀，尤其是用于轴的ABS阀单元，确保当一个阀失效时仍然有效的阀仍充分地满足特定的安全相关的功能(例如在ABS模式中充分保证了车辆的横向稳定性)。

42.根据权利要求25至39中任一项所述的液压装置，其特征在于，设计不具有阀(110)的行程模拟器系统，并且通过尤其是设置在活塞-缸单元(主缸)上的通气孔沿轴向以相应的量(通气孔/在缩回位置中的活塞的间距)设置，活塞-缸单元(主缸)的复位弹簧(99)(还在图中注意到)承担行程模拟器特性曲线的第一面部分。

43.液压装置，例如尤其是用于自动驾驶的制动或离合装置等及其部件，其中

所述装置具有至少一个活塞-缸单元(112、116)，并且能够借助活塞(105、117、119)在活塞-缸单元的至少一个工作室中的运动或借助经由液压管路与该活塞-缸单元连接的装置建立压力，

另外，所述液压装置还具有尤其是具有另外的活塞-缸单元的机电的供压装置(500)，

并且所述液压装置具有尤其是根据权利要求25至43中任一项所述的电子的控制和调节装置(ECU)，

其特征在于，设置有冗余诊断电路或自检诊断电路。

44.根据权利要求25至43中任一项所述的液压装置，其特征在于，至少一个，尤其是每个与安全相关的活塞-缸单元(112、116、500)根据前述权利要求1至24中任一项构成。

45.根据权利要求25至44中任一项所述的液压装置，其特征在于，所述液压装置具有至少一个活塞-缸单元(201)，该活塞-缸单元具有两个在机械上不能相互连接的活塞(119、211')，其中设置了至少一个另外的用于冗余地产生压力的系统，该系统尤其由增压器或ESP供压装置构成。

46.根据权利要求25至45中任一项所述的液压装置，其特征在于，所述制动主缸(201)具有封闭的中间壁(206)，该中间壁尤其是没有用于穿过挺杆的孔，并且该中间壁将初级室(111)与辅助活塞室(204)密封地分离。

47.根据权利要求25至46中任一项所述的液压装置，其特征在于，初级室(111)和辅助活塞室(201)可通过阀(216)连接。

48.根据权利要求45至47中任一项所述的液压装置，其特征在于，在液压管路(147a)到初级回路(233)的接口与初级回路(233)中的车轮制动器或ESP供压装置(254)之间，设置有分离阀(144a)，尤其是无电流时打开的分离阀。

49.根据权利要求48所述的液压装置，其特征在于，在二级回路(237)中设置有附加的分离阀(144b)，尤其是无电流时打开的分离阀。

50.根据权利要求25至49中任一项所述的液压装置，其特征在于，尤其是在ESP控制设备失效时借助于增压器控制设备的冗余控制，分离阀(144a、144b)的功能由ESP阀承担。