DE10053818A1 - Elektrisches Lenksystem - Google Patents

Abstract

Es wird ein elektrisches Lenksystem (1) für ein Fahrzeug angegeben mit einer elektrisch gespeisten Lenkmotoranordnung, die mit einer Wechselrichteranordnung (10a, 10b) verbunden ist, deren Ausgangsspannung von einer Computeranordnung (4) beeinflußt ist und mit einer Sensoranordnung (7a, 7b, 11a-13a, 11b-13b). DOLLAR A Man möchte ein Lenksystem mit möglichst geringem Aufwand so ausgestalten, daß es während des Anhaltens beim Fehlerfall voll lenkbar bleibt. DOLLAR A Hierzu weist die Lenkmotoranordnung einen redundanten Lenkmotor (8) auf, der über zwei getrennt voneinander elektrisch versorgte und geführte Steuerkreise mit der Computeranordnung (4) verbunden ist, die ebenfalls redundant ausgebildet ist.

Description

Die Erfindung betrifft ein elektrisches Lenksystem für ein Fahrzeug mit einer elektrisch gespeisten Lenkmo­ toranordnung, die mit einer Wechselrichteranordnung verbunden ist, deren Ausgangsspannung von einer Compu­ teranordnung beeinflußt ist und mit einer Sensoranord­ nung.

Ein derartiges Lenksystem ist aus DE 196 25 350 A1 be­ kannt.

Derartige Lenksysteme werden vorzugsweise bei Gabel­ staplern und anderen selbstfahrenden Arbeitsmaschinen eingesetzt, vor allem bei solchen, die in geschlossenen Räumen, wie Lagerhallen, tätig sind. Dabei besteht kei­ ne mechanische Verbindung mehr zwischen dem Lenkhandrad oder einer vergleichbaren Steuereinrichtung und dem ge­ lenkten Rad oder den gelenkten Rädern. Der Fahrer oder Bediener hat also bei Ausfall des Lenksystems im Grunde keine Möglichkeit mehr, in das Lenkverhalten des Fahr­ zeugs einzugreifen. Es besteht daher im allgemeinen die Forderung, daß jeder Fehler sofort erkannt wird und das Fahrzeug beim Auftreten eines Fehler umgehend gestoppt wird. Allerdings können auch hierbei noch gefährliche Situationen auftreten, weil ein Fahrzeug mit einer grö­ ßeren Masse immer einen gewissen Bremsweg benötigt. Dieser Bremsweg wird umso länger, je schwerer das Fahr­ zeug beladen ist.

Der Erfindung liegt die Aufgabe zugrunde, ein Lenksy­ stem mit möglichst geringem Aufwand so auszugestalten, daß es während des Anhaltens voll lenkbar bleibt.

Diese Aufgabe wird bei einem Lenksystem der eingangs genannten Art dadurch gelöst, daß die Lenkmotoranord­ nung einen redundanten Lenkmotor aufweist, der über zwei getrennt voneinander elektrisch versorgte und ge­ führte Steuerkreise mit der Computeranordnung verbunden ist, die ebenfalls redundant ausgebildet ist.

Mit dieser Ausgestaltung läßt sich mit einem vertretba­ ren Aufwand ein redundantes Lenksystem erzielen. Ein fehlertolerantes System ließe sich zwar relativ einfach dadurch ausgestalten, daß man alle Elemente verdoppelt. Diese Lösung ist aber relativ teuer. Die Erfindung be­ steht nun darin, daß man nicht alle Elemente verdop­ pelt, sondern Elemente, die einen großen Anteil zu den Kosten beitragen, per se redundant ausgestaltet. Damit hat man für den größten Teil des Lenksystems eine Zweikreisausgestaltung, die auch noch dann funktio­ niert, wenn in einem der beiden Kreise ein Fehler auf­ tritt. Die verbleibenden Elemente, die in beiden Krei­ sen gemeinsam verwendet werden, sind aber so fehlerto­ lerant, daß sie auch noch dann funktionieren, wenn ein Fehler aufgetreten ist. Man schafft damit ein Lenksy­ stem, das unter Kostengesichtspunkten optimiert ist und das trotzdem in der Lage ist, bis zum Anhalten des Fahrzeugs die volle Lenkfähigkeit sicherzustellen.

Hierbei ist bevorzugt, daß alle Steuerkreise eine ge­ meinsame Sollwertvorgabeeinrichtung aufweisen. Als Sollwertvorgabeeinrichtung kann beispielsweise das Lenkhandrad dienen. Man geht davon aus, daß ein Bruch der Lenkhandradsäule ein sehr unwahrscheinlicher Fehler ist. Eine Sicherung dagegen ist nicht eingebaut. Dafür wird allerdings die Bedienung drastisch vereinfacht im Gegensatz zu Systemen, bei denen man dafür sorgen muß, daß der Fahrer gleichzeitig beide Steuerkreise mit un­ abhängigen Bedienungselementen betätigt.

Vorzugsweise ist für jeden Steuerkreis eine eigene Stromversorgungseinrichtung mit einem eigenen Überwa­ chungssystem vorgesehen. Eine derartige Stromversor­ gungseinrichtung kann beispielsweise durch eine Batte­ rieanordnung gebildet sein. Dadurch, daß jede Stromver­ sorgungseinrichtung eigene Komponenten versorgt, näm­ lich die des eigenen Steuerkreises, ist sichergestellt, daß die Funktion des Lenksystems auch beim Versagen ei­ ner Stromversorgungseinrichtung gesichert ist. Jede Stromversorgungseinrichtung hat ihre eigene Überwa­ chung, beispielsweise eine Spannungsmessung, die an die Computeranordnung zurückmeldet. Die Computeranordnung kann dann bei Ausfall einer Stromversorgungseinrichtung den Anhaltevorgang einleiten.

Vorzugsweise weist jeder Steuerkreis einen Wechselrich­ ter auf, der mit dem Lenkmotor verbunden ist. Jeder Wechselrichter arbeitet beispielsweise mit Spannungsmo­ dulationen, typischerweise mit einer Pulsbreitenmodula­ tion, und erhält die entsprechenden Modulationssignale von der Computeranordnung. Die Wechselrichter werden von jeweils einer eigenen Stromversorgungseinrichtung, nämlich der des zugehörigen Steuerkreises, mit Spannung versorgt. Der Ausfall eines Wechselrichters ist daher unschädlich für die Lenkfähigkeit des Fahrzeuges insge­ samt.

Vorzugsweise weist der Lenkmotor für jeden Steuerkreis eine eigene Wicklungsanordnung auf. Dies kann bei­ spielsweise so aussehen, daß ein Stator vorgesehen ist, der für jeden Steuerkreis einen eigenen Satz Wicklungen hat, die auf einen gemeinsamen Rotor wirken. Man kann aber auch für jeden Satz Wicklungen einen eigenen Sta­ tor vorsehen, wobei jeder Stator mit einem eigenen Ro­ tor zusammenwirkt und beide Rotoren auf einer gemeinsa­ men Welle montiert sind. Dadurch hat man den Vorteil, daß sich im fehlerfreien Betrieb keine negativen gegen­ seitigen Störungen ergeben, da nur eine Lenkmotoranord­ nung mechanisch auf das gelenkte Rad oder die gelenkten Räder wirkt. Im Fehlerfall kann aber dann sozusagen ei­ ne Hälfte der Lenkmotoranordnung immer noch die notwen­ dige Kraft aufbringen, um das Fahrzeug bis zum voll­ ständigen Stillstand lenken zu können.

Hierbei ist besonders bevorzugt, daß jeder Wechselrich­ ter bei Ausfall mindestens eines anderen Wechselrich­ ters mit der Versorgung des Motors überlastet ist. Man kann also die Wechselrichter so dimensionieren, daß sie nur zusammen in der Lage sind, die notwendige elektri­ sche Leistung für die Ansteuerung der Lenkmotoranord­ nung bereit zu stellen. Im Fehlerfall ist dann zwar der eine Wechselrichter überlastet. Da diese Überlastung aber nur so lange andauert, bis das Fahrzeug angehalten hat, kann man diese Überlastung in Kauf nehmen.

Vorzugsweise weist jeder Steuerkreis einen Lenkhandrad­ sensor auf. Man beginnt mit der Fehlerredundanzerhöhung also bereits in einem relativ frühen Stadium und stellt damit sicher, daß alle Bewegungen des Lenkhandrads oder einer vergleichbaren Einrichtung mehrfach erfaßt werden können.

Hierbei ist bevorzugt, daß die Sensoren in einer ge­ meinsamen Sensoreinheit angeordnet sind. Dies hat den Vorteil, daß die Zuordnung der Ausgangssignale der Sen­ soren zueinander leichter herzustellen ist. Eine derar­ tige Sensoranordnung ist beispielsweise in DE 31 45 162 A1 offenbart.

Vorzugsweise weist jeder Steuerkreis einen Mittelpunkt­ sensor für die Lenkmotoranordnung auf. Bei fehlerfrei arbeitenden Mehrphasensystemen arbeiten alle Phasen symmetrisch. Der Mittelpunkt einer Sternschaltung, den man auch als "Sternpunkt" bezeichnen kann, befindet sich also immer auf einem vorgegebenen Potential, bei­ spielsweise dem Nullpotential. Elektrische Fehler in den Wicklungen, ein Kurzschluß Phase-Phase oder Phase- Masse oder andere Fehler werden zu einer Asymmetrie führen, die durch eine Messung im Mittelpunkt oder Sternpunkt des Motors entdeckt werden kann. Auch ein Fehler in einem Wechselrichter wird im Motor eine Asym­ metrie bewirken und daher im Mittelpunkt erfaßbar sein.

Vorzugsweise weist die Computeranordnung mindestens zwei Computer auf, von denen einer als Hauptcomputer und ein anderer als Nebencomputer ausgebildet ist. Dies hat den Vorteil, daß man den Nebencomputer kostengün­ stiger ausgestalten kann. Der Hauptcomputer übernimmt sozusagen die "Führungsrolle". Unter "Computer" soll hierbei die Gesamtheit einer Anordnung verstanden werden, die eingehende Signale verarbeiten und daraus Aus­ gangssignale für die Lenkung und gegebenenfalls den An­ trieb des Fahrzeugs bilden kann, also insbesondere ei­ nen Prozessor mit Ein- und Ausgabeschnittstellen sowie eine Speichereinrichtung für ein auszuführendes Pro­ gramm aufweist. Es ist natürlich nicht erforderlich, das ein derartiger Computer auch mit einer Tastatur und einem Monitor sowie mit auswechselbaren Datenträgern versehen ist.

Vorzugsweise ist der Nebencomputer als Computer mit be­ grenzter Steuerungsmöglichkeit ausgebildet, der nur zur Aufrechterhaltung der Lenkfähigkeit dient. Der Hauptcomputer kann also während des normalen Betriebes die Lenkfunktionen steuern, während der Nebencomputer aufgrund seiner verminderten Fähigkeiten auch wesent­ lich kostengünstiger ausgeführt werden kann.

Vorzugsweise überwachen beide Computer sich gegensei­ tig. Dies erhöht die Sicherheit, auftretende Fehler in den Computern zu erfassen.

Auch ist bevorzugt, daß bei Auftreten eines Fehlers der nicht fehlerbehaftete Computer den fehlerbehafteten Computer abschaltet. Ein fehlerbehafteter Computer wird also an der weiteren Beeinflussung des Systems gehin­ dert.

Vorzugsweise steuert ein Computer im fehlerfreien Fall alle Wechselrichter an und im Fehlerfall gibt der feh­ lerbehaftete Computer seine Steuerung an einen anderen Computer ab. Dies hat den Vorteil, daß man keine Syn­ chronisierungsprobleme beim Ansteuern der Wechselrich­ ter bekommt. Da alle Wechselrichter gleichartig ange­ steuert werden, wird auch die Lenkmotoranordnung ohne Störungen betrieben werden können. Auch im Fehlerfall ändert sich die Situation nicht, weil die Ansteuerung der Wechselrichter komplett von einem Computer an den anderen Computer übergeht.

Vorzugsweise sendet die Computeranordnung ein Modulati­ onssignal und ein Aktivierungssignal an jeden Wechsel­ richter, wobei das Aktivierungssignal für jeden Wech­ selrichter einzeln veränderbar ist. Dies erleichtert das Abschalten eines Wechselrichters bei Auftreten ei­ nes Fehlers in diesem Wechselrichter oder dem daran an­ geschlossenen Motor. Man muß also nicht in die Modula­ tionssignale eingreifen, sondern es reicht aus, daß Ak­ tivierungssignal für den jeweiligen Wechselrichter zu verändern, um diesen Wechselrichter beispielsweise ab­ zuschalten.

Die Erfindung wird im folgenden anhand eines bevorzug­ ten Ausführungsbeispiels in Verbindung mit der Zeich­ nung näher beschrieben. Hierin zeigen:

Fig. 1 eine schematische Darstellung eines Lenksy­ stems,

Fig. 2 eine schematische Darstellung einer Computer­ anordnung,

Fig. 3 ein Vergleich zweier Computer der Computeran­ ordnung und

Fig. 4 eine Detailansicht zur Signalbehandlung im Fall eines Fehlers bei einem Computer.

Fig. 1 zeigt ein Lenksystem 1, das als fehlertolerantes Systems bezeichnet wird. Das System ist nicht voll red­ undant in dem Sinne, daß Lenken und Fahren bei jedem Einzelfehler problemlos fortgesetzt werden können. Die folgende Beschreibung konzentriert sich insbesondere darauf, wie die Funktionalität im Falle von Fehlern ge­ sichert werden kann, d. h. wie die Lenkfähigkeit im Fal­ le eines Fehlers bis zum Stillstand des Fahrzeugs gesi­ chert werden kann. Die Art und Weise, wie die Fehler im einzelnen erfaßt werden können, ist von untergeordneter Bedeutung.

Das in Fig. 1 dargestellte fehlertolerante Lenksystem 1 weist zwei Spannungsversorgungen auf in Form von zwei Batterien 2a, 2b. Da, wie aus der folgenden Erläuterung ersichtlich ist, die meisten Elemente doppelt vorkom­ men, werden diese Elemente mit a bzw. b für einen er­ sten bzw. für einen zweiten Steuerkreis unterschieden.

Die Batterie 2a gibt eine Spannung V₁ ab und die Batte­ rie 2b eine Spannung V₂. Wenn im folgenden bei Elemen­ ten die Bezugszeichen V₁, V₂ mit einem Pfeil auf das entsprechende Element dargestellt sind, bedeutet dies, daß das entsprechende Element mit der Spannung von der Batterie 2a bzw. 2b versorgt wird.

Jede Batterie weist eine Überwachungseinrichtung 3a, 3b auf, vorzugsweise eine Spannungsmessungseinrichtung, die im Falle eines Fehlers eine Meldung an eine Compu­ teranordnung 4 abgibt. Die Überwachung 3a, 3b ist so aufgebaut, daß ein Fehler in der Batterie 2a, 2b eine Signaländerung an die Computeranordnung 4 auf ein Ni­ veau bewirkt, das das Niveau des Versagens der Batte­ rieversorgung hat. Wenn beispielsweise die Spannung der Batterie 2a, 2b abfällt, dann erzeugt die Überwachungseinrichtung 3a, 3b ein Signal Warn₁ bzw. Warn₂ mit ei­ nem Pegel logisch Null. Dieser "Signalpegel" kann auch bei Ausfall der Batteriespannung erzeugt werden. Bei Auftreten eines derartigen Fehlers kann die Computeran­ ordnung 4 das Fahrzeug anhalten, wobei die Lenkfähig­ keit gesichert bleibt, weil die jeweils andere Batterie noch tätig ist. Ein Fehler in der entsprechenden Über­ wachungseinrichtung wird eine entsprechende Signalände­ rung, an der Computeranordnung 4 bewirken. Auf diese Weise ist das ganze Lenksystem auch gegenüber einem Fehler in einer der beiden Überwachungseinrichtungen tolerant.

Betätigt wird das Lenksystem 1 von einem Benutzer 5, der ein Lenkhandrad 6 oder eine andere Steuereinrich­ tung betätigt, beispielsweise einen Steuerknüppel oder joy-stick. Das Lenkhandrad 6 ist mit zwei selbständigen Sensoren 7a, 7b verbunden, die jeweils von der Batterie 2a, 2b versorgt werden, was durch die Pfeile V₁, V₂ zu erkennen ist. Die Ausgänge Steer₁, Steer₂ der beiden Sensoren 7a, 7b sind mit der Computeranordnung 4 ver­ bunden. Da jeder der beiden Sensoren 7a, 7b eine eigene Stromversorgung hat, ist die Funktionsfähigkeit sicher­ gestellt unabhängig davon, welcher Einzelfehler auf­ tritt. Ein Bruch der Lenkhandradsäule wird allerdings als unwahrscheinlich betrachtet. Eine Sicherung dagegen ist nicht aufgebaut. Die beiden Sensoren 7a, 7b können zusammengefaßt sein in einer fehlersicheren Sensorein­ heit, wie sie beispielsweise in DE 31 45 162 A1 darge­ stellt ist. Wichtig ist, daß die Abtastung der Winkel­ stellung des Lenkhandrades 6 auch bei Fehler in einem Sensor 7a, 7b oder in einer Batterie 2a, 2b erfolgen kann.

Das Lenksystem 1 weist einen Lenkmotor 8 (rechts) auf, der über ein nicht näher dargestelltes Getriebe mit ei­ nem gelenkten Rad 9 oder gelenkten Rädern verbunden ist. Der Lenkmotor 8 treibt das Rad 9 in Abhängigkeit von der Winkelstellung des Lenkhandrades 6 an. Der Lenkmotor 8 ist redundant aufgebaut. Dieser Aufbau kann mehrere Formen haben. Eine Möglichkeit ist, daß mehrere unabhängige Wicklungen in einem Stator angeordnet sind, die auf einen gemeinsamen Rotor wirken. Man kann aber auch für jeden Satz Wicklungen einen eigenen Stator vorsehen, der mit einem eigenen Rotor zusammenwirkt, wobei alle Rotoren auf einer gemeinsamen Welle angeord­ net sind.

Jede Wicklungen bzw. jeder Satz Wicklungen ist mit ei­ nem Wechselrichter 10a, 10b verbunden, die jeweils ihre Spannung V₁, V₂ von der zugehörigen Batterie 2a, 2b er­ halten. Die Wechselrichter 10a, 10b werden von der Com­ puteranordnung 4 angesteuert. Hierbei gibt die Compu­ teranordnung 4 für jeden Wechselrichter 10a, 10b ein Modulationssignal Mod₁, Mod₂ aus, wobei diese Signale identisch sind und zusätzlich gibt die Computeranord­ nung 4 für jeden Wechselrichter 10a, 10b ein Signal Act₁, Act₂ aus. Dieses Signal ist ein Aktivierungs­ signal, aufgrund dessen der Wechselrichter 10a, 10b ak­ tiv ist oder stillgesetzt wird.

Die beiden Wechselrichter 10a, 10b sind so dimensio­ niert, daß sie zusammen die notwendige elektrische Lei­ stung bereitstellen können, um den Lenkmotor 8 anzu­ treiben. Wenn ein Steuerkreis ausfällt und damit einer der beiden Wechselrichter 10a, 10b ausfällt, dann ist der andere Wechselrichter 10b, 10a überlastet, wenn er ein ausreichendes Moment über den Lenkmotor 8 am ge­ lenkten Rad 9 sicherstellen soll. Da es aber nur darum geht, die Lenkfähigkeit solange sicherzustellen, bis das Fahrzeug angehalten hat, ist diese Überlastung ak­ zeptabel. Das Anhaltemanöver wird in der Regel nur ei­ nen begrenzten Zeitraum in Anspruch nehmen.

Die Winkelstellung des Rades 9 wird über zwei Radsenso­ ren 11a, 11b erfaßt. Die beiden Radsensoren 11a, 11b können ebenfalls in einer fehlersicheren Sensoreinheit zusammengefaßt sein, also in einem Gehäuse. Die ent­ sprechende Winkelstellungsinformation wird über ein Si­ gnal Wheel₁, Wheel₂ an die Computeranordnung 4 überge­ ben.

Elektrische Fehler in den Wicklungen des Lenkmotors 8, beispielsweise ein Kurzschluß Phase-Phase oder Phase- Masse oder eine Leitungsunterbrechung, führen zu einer Asymmetrie im Drehfeld des Motors 8. Eine derartige Asymmetrie kann durch eine Messung im Mittelpunkt oder Sternpunkt des Lenkmotors 8 bzw. der einzelnen Wicklun­ gen erkannt werden. Auch ein Fehler in einem Wechsel­ richter 10a, 10b wird eine entsprechende Asymmetrie be­ wirken und kann daher im Mittelpunkt erkannt werden. Aus diesem Grunde sind Mittelpunktsensoren 12a, 12b vorgesehen, die ihr Ausgangssignal Star₁, Star₂ eben­ falls an die Computeranordnung 4 melden. Bei einer Wechselrichtersteuerung eines Elektromotors wird die dritte Harmonische der Versorgungsfrequenz immer im Mittelpunkt auftreten, jedoch mit einer relativ be­ grenzten Amplitude. Bei größeren Last- oder Geschwin­ digkeitsänderungen wird diese Amplitude für kurze Zeit stark erhöht. Um zu vermeiden, daß hier nicht verse­ hentlich ein Fehler erkannt wird, wird hier entweder eine relativ hohe Fehlerschwelle für die Mittelpunkts­ messung oder eine Totzeit im System vorgesehen, so daß betriebsbedingte Mittelpunktsspannungsänderungen nicht zu einem Abschalten des Systems führen. Alternativ dazu kann man aufgrund der Mittelpunktsmessung eine Fre­ quenzanalyse ausführen, wobei man nach der Grundfre­ quenz sucht. Die Grundfrequenz wird nämlich nur in Feh­ lersituationen auftreten. Allerdings benötigt eine der­ artige Frequenzanalyse eine erhebliche Rechenleistung die derzeit wirtschaftlich noch nicht zur Verfügung steht. Versuche haben gezeigt, daß eine reine Span­ nungsmessung im Mittelpunkt für die Fehlererfassung ausreicht.

Schließlich können die Wechselrichter 10a, 10b noch mit Stromsensoren 13a, 13b versehen sein, die zur Lei­ stungsmessung dienen und die ein Ausgangssignal Pow₁, Pow₂ ebenfalls an die Computeranordnung 4 zurückmelden. Die drei Sensoren 11a, 12a, 13a bzw. 11b, 12b, 13b sind jeweils über die zugehörige Batterie 2a, 2b mit Span­ nungen V₁, V₂ versorgt.

Es ist also ersichtlich, daß das Lenksystem 2 getrennt voneinander elektrisch versorgte und getrennt voneinan­ der geführte Steuerkreise aufweist, die lediglich den redundanten Lenkmotor 8 mit gelenktem Rad 9, das Lenk­ handrad 6 und die Computeranordnung 4 gemeinsam haben. Ansonsten weist jeder Steuerkreis den Lenkmotor 8, die Sensoren 11a-13a; 11b-13b, die Sensoren 7b, 7a und die gemeinsame Computeranordnung 4 auf. Auch das Lenkhand­ rad 6 ist für beide Steuerkreise 6 gemeinsam.

Wenn also eines der Elemente 10a-13a bzw. 10b, 13b oder 7a, 7b, die in jedem Steuerkreis einzeln vorhanden sind und damit im Lenksystem 1 doppelt vorhanden sind, aus­ fällt, ist dies unkritisch, weil der entsprechend ande­ re Steuerkeis seine Funktionalität behält. Der Motor ist aufgrund seines oben geschilderten Aufbaus redundant, so daß ein Teilfehler auch hier unkritisch ist. Die Computeranordnung 4 hat einen speziellen Aufbau, der im Zusammenhang mit den Fig. 2 bis 4 näher erläu­ tert wird. Auch hier ergibt sich dann also die ge­ wünschte Fehlertoleranz.

Fig. 2 zeigt eine schematische Darstellung der Compu­ teranordnung 4. Die Computeranordnung 4 weist einen Hauptcomputer 14 auf, von dem einige Komponenten darge­ stellt sind. Im einzelnen handelt es sich um eine Feh­ lererfassung 15a, um eine Hardwareüberwachungsschaltung 16a, einen sogenannten Hardware watch dog oder HW watch dog, einen Software watch dog oder eine Software Über­ wachungsschaltung 17a und einen Abschalter 18a. Schließlich weist der Hauptcomputer 14 noch eine Gegen­ abschalteinrichtung 19a für den anderen Computer, den Nebencomputer 20 auf. Der Nebencomputer 20 weist ent­ sprechende Einheiten auf, die jeweils mit dem Buchsta­ ben b gekennzeichnet sind. Sämtliche Einheiten oder Elemente 15a-19a bzw. 15b-19b können in der Regel auch software- oder programmäßig realisiert werden, gegebe­ nenfalls mit Ausnahme der Hardwareüberwachung.

Die Hardwareüberwachungseinrichtung 16a und die Softwa­ reüberwachungseinrichtung 17a sind über ein ODER-Glied 21a mit der Fehlererfassungseinrichtung 15b des Neben­ computers 20 verbunden. Umgekehrt sind die Hardware­ überwachungseinrichtung 16b und die Softwareüberwa­ chungseinrichtung 17b über ein ODER-Glied 21b mit der Fehlererfassung 15a des Hauptcomputers 14 verbunden. Die Gegenabschalteinrichtung 19a und die Fehlererfas­ sungseinrichtung 15a sind über ein UND-Glied 22a mit dem Abschalter 18b des Nebencomputers verbunden. Umge­ kehrt ist die Fehlererfassungseinrichtung 15b und die Gegenabschalteinrichtung 19b über ein UND-Glied 22b mit dem Abschalter 18a des Hauptcomputers verbunden.

Der Hauptcomputer 14 und der Nebencomputer 20, die je­ weils mit unabhängigen Spannungen V₁, V₂ von den Batte­ rien 2a, 2b versorgt werden, überwachen sich mit Hilfe der Hardware- und Softwareüberwachungseinrichtungen 16a, 16b, 17a, 17b zunächst selbst. Als zusätzliche Si­ cherheit ist aber vorgesehen, daß der jeweils eine Com­ puter den anderen Computer überwacht und, falls ein Fehler auftritt, den fehlerbehafteten Computer aus­ schaltet. Wenn beispielsweise der Hauptcomputer 14 mit Hilfe der Fehlererfassung 15a entdeckt, daß entweder ein Hardwarefehler oder ein Softwarefehler im Nebencom­ puter 20 aufgetreten ist, dann bekommt gleichzeitig das UND-Glied 22a die entsprechende Information. Der Hauptcomputer entscheidet dann, ob er über die Gegenab­ schalteinrichtung 19a ein entsprechendes Abschaltsignal für den Nebencomputer 20 erzeugt. Wenn dies der Fall ist, dann gibt das UND-Glied 22a an seinem Ausgang den entsprechenden Befehl an den Schalter 18b. Bei einem Fehler im Hauptcomputer 14 ist die Situation entspre­ chend umgekehrt.

Der Hauptcomputer 14 gibt ein Signal Mod₁ für den er­ sten Wechselrichter 10a und ein Signal Mod₂ für den zweiten Wechselrichter 10b aus. In gleicher Weise er­ zeugt der Nebencomputer 20 die beiden Signale Mod₁, Mod₂.

Im ungestörten Fall werden nur die Modulationssignale Mod₁, Mod₂ vom Hauptcomputer 14 an die beiden Wechsel­ richter 10a, 10b übertragen. Hierzu ist der Abschalter 18a über jeweils ein NICHT-Glied 23a, 23b mit einem Schalter 24a, 24b verbunden und ohne das NICHT-Glied mit einem Schalter 25a, 25b. Damit ist sichergestellt, daß dann, wenn der Hauptcomputer 14 ordnungsgemäß tätig ist, die Modulationssignale Mod₁, Mod₂ über die dann geschlossenen Schalter 24a, 24b an die Wechselrichter 10a, 10b weitergeleitet werden, während im Fehlerfall, wenn die Abschalteinrichtung 18a ein entsprechendes Eingangssignal erhält, die Schalter 24a, 24b geöffnet und die anderen Schalter 25a, 25b geschlossen werden, so daß die Wechselrichter 10a, 10b dann vom Nebencompu­ ter 20 gesteuert werden.

Fig. 3 zeigt, daß beide Computer, nämlich der Hauptcom­ puter 14 und der Nebencomputer 20, zwar ähnlich sind, aber nicht identisch. Der Nebencomputer 20 ist ein si­ gnalmäßig reduzierter Computer, der nur die zur Auf­ rechterhaltung der Lenkfähigkeit erforderlichen Signale handhaben kann. Dementsprechend erhält der Nebencompu­ ter 20 nur die Signale Steer₂ des zweiten Lenkhandrad­ sensors 7b und Wheel₂ des zweiten Radsensors 11b. Der im Computer erzeugt die Modulationssignale Mod₁, Mod₂ für die beiden Wechselrichter 10a, 10b. Der Hauptcompu­ ter 14 hingegen erhält die Ausgangssignale Steer₁, Steer₂, Warn₁, Warn₂, Star₁, Star₂, Pow₁, Pow₂, Wheel₁, Wheel₂ aller Sensoren 7a, 7b, 11a-13a, 11b-13b. Der Hauptcomputer 14 erzeugt die Modulationssignale Mod₁, Mod₂ und zusätzlich Aktivierungssignale Act₁, Act₂ mit denen man die einzelnen Wechselrichter 10a, 10b ab­ schalten kann, falls dort ein Fehler zu beobachten ist.

Wenn nun der Hauptcomputer 14 abgeschaltet wird, würde normalerweise das Aktivierungssignal Act₁, Act₂ entfal­ len. Fig. 4 zeigt eine Lösung, wie man dieses Problem umgehen kann. Die beiden Signale Act₁, Act₂ sind je­ weils über ODER-Glieder 26a, 26b an entsprechende Aus­ gänge Act₁, Act₂ geführt. Der andere Eingang dieser ODER-Glieder 26a, 26b ist über Schalter 27a, 27b mit der Versorgungsspannung V₂ der zweiten Batterie 2b ver­ bunden. Wenn nun ein entsprechendes Signal an der Ab­ schalteinrichtung 18a des Hauptcomputers 14 anliegt, dann werden die beiden Schalter 27a, 27b geschlossen, so daß dann ein entsprechendes Signal (logisch 1) am zweiten Eingang der ODER-Glieder 26a, 26b anliegt und ein entsprechendes logisches 1 an den Ausgängen Act₁, Act₂ der ODER-Glieder 26a, 26b.

Das Lenksystem 1 ist also praktisch allen erdenklichen Fehlern gegenüber fehlertolerant. Allerdings sind nicht alle Elemente doppelt ausgestaltet. Die Elemente sind vielmehr auf ein Minimum hin optimiert.

Claims (15)

1. Elektrisches Lenksystem für ein Fahrzeug mit einer elektrisch gespeisten Lenkmotoranordnung, die mit einer Wechselrichteranordnung verbunden ist, deren Ausgangsspannung von einer Computeranordnung beein­ flußt ist und mit einer Sensoranordnung, dadurch gekennzeichnet, daß die Lenkmotoranordnung einen redundanten Lenkmotor (8) aufweist, der über zwei getrennt voneinander elektrisch versorgte und ge­ führte Steuerkreise mit der Computeranordnung (4) verbunden ist, die ebenfalls redundant ausgebildet ist.

2. Lenksystem nach Anspruch 1, dadurch gekennzeichnet, daß alle Steuerkreise eine gemeinsame Sollwertvor­ gabeeinrichtung (6) aufweisen.

3. Lenksystem nach Anspruch 1 oder 2, dadurch gekenn­ zeichnet, daß für jeden Steuerkreis eine eigene Stromversorgungseinrichtung (2a, 2b) mit einem ei­ genen Überwachungssystem (3a, 3b) vorgesehen ist.

4. Lenksystem nach einem der Ansprüche 1 bis 3, da­ durch gekennzeichnet, daß jeder Steuerkreis einen Wechselrichter (10a, 10b) aufweist, der mit dem Lenkmotor (8) verbunden ist.

5. Lenksystem nach einem der Ansprüche 1 bis 4, da­ durch gekennzeichnet, daß der Lenkmotor (8) für je­ den Steuerkreis eine eigene Wicklungsanordnung auf­ weist.

6. Lenksystem nach Anspruch 5, dadurch gekennzeichnet, daß jeder Wechselrichter (10a, 10b) bei Ausfall mindestens eines anderen Wechselrichters (10b, 10a) mit der Versorgung des Motors (8) überlastet ist.

7. Lenksystem nach einem der Ansprüche 1 bis 6, da­ durch gekennzeichnet, daß jeder Steuerkreis einen Lenkhandradsensor (7a, 7b) aufweist.

8. Lenksystem nach Anspruch 7, dadurch gekennzeichnet, daß die Sensoren (7a, 7b) in einer gemeinsamen Sen­ soreinheit angeordnet sind.

9. Lenksystem nach einem der Ansprüche 1 bis 8, da­ durch gekennzeichnet, daß jeder Steuerkreis einen Mittelpunktsensor (12a, 12b) für die Lenkmotoran­ ordnung aufweist.

10. Lenksystem nach einem der Ansprüche 1 bis 9, da­ durch gekennzeichnet, daß die Computeranordnung (4) mindestens zwei Computer (14, 20) aufweist, von de­ nen einer als Hauptcomputer (14) und ein anderer als Nebencomputer (20) ausgebildet ist.

11. Lenksystem nach Anspruch 10, dadurch gekennzeich­ net, daß der Nebencomputer (20) als Computer mit begrenzter Steuerungsmöglichkeit ausgebildet ist, der nur zur Aufrechterhaltung der Lenkfähigkeit dient.

12. Lenksystem nach Anspruch 10 oder 11, dadurch ge­ kennzeichnet, daß beide Computer (14, 20) sich ge­ genseitig überwachen.

13. Lenksystem nach Anspruch 12, dadurch gekennzeich­ net, daß bei Auftreten eines Fehlers der nicht feh­ lerbehaftete Computer (14, 20) den fehlerbehafteten Computer (20, 14) abschaltet.

14. Lenksystem nach einem der Ansprüche 10 bis 13, da­ durch gekennzeichnet, daß ein Computer (14, 20) im fehlerfreien Fall alle Wechselrichter (10a, 10b) ansteuert und im Fehlerfall gibt der fehlerbehafte­ te Computer (14, 20) seine Steuerung an einen ande­ ren Computer (20, 14) abgibt.

15. Lenksystem nach einem der Ansprüche 10 bis 14, da­ durch gekennzeichnet, daß die Computeranordnung (4) ein Modulationssignal (Mod₁, Mod₂) und ein Aktivie­ rungssignal (Act₁, Act₂) an jeden Wechselrichter (10a, 10b) sendet, wobei das Aktivierungssignal (Act₁, Act₂) für jeden Wechselrichter einzeln ver­ änderbar ist.