DE102004058996A1

DE102004058996A1 - Verfahren und Fahrfunktionssystem zum Überführen von sicherheitsrelevanten Fahrfunktionen eines Fahrzeugs in den sicheren Zustand

Info

Publication number: DE102004058996A1
Application number: DE102004058996A
Authority: DE
Inventors: Wilfried Dipl.-Ing. Huber; Alfred Dipl.-Ing. Lotter; Volker Dipl.-Ing. Maaß; Martin Dipl.-Ing. Moser; Reinhold Dipl.-Ing. Schneckenburger
Original assignee: DaimlerChrysler AG
Current assignee: Mercedes Benz Group AG
Priority date: 2003-12-20
Filing date: 2004-12-08
Publication date: 2005-07-14

Abstract

Bei einem Verfahren und einem Fahr-Funktionssystem zum Überführen von sicherheitsrelevanten Fahrfunktionen eines Fahrzeugs in den sicheren Zustand, bei dem in einem ersten Steuergerät (2) aufgrund von Sensorsignalen mindestens ein Sollwert ermittelt wird und in einem nachgeordneten Steuergerät (4, 5, 6) aus dem mindestens einen Sollwert eine oder mehrere Stellgrößen für Stellglieder ermittelt werden, leitet beim Auftreten eines Fehlers im ersten eigensicheren Steuergerät (2) das nachgeordnete fehlertolerante Steuergerät (4, 5, 6) die von dem ersten Steuergerät gesteuerte Fahrfunktion in einen sicheren Zustand über. Durch diese Maßnahme wird es dem Fahrer ermöglicht, bei Störungen sicher die Kontrolle über sein Fahrzeug zu übernehmen.

Description

Die Erfindung betrifft ein Verfahren zum Überführen von sicherheitsrelevanten Fahrfunktionen eines Fahrzeugs in den sicheren Zustand. Bei diesem Verfahren wird in einem ersten Steuergerät auf Grund von Sensorsignalen mindestens ein Sollwert ermittelt und in einem nachgeordneten Steuergerät werden aus dem mindestens einen Sollwert eine oder mehrere Stellgrößen für Stellglieder ermittelt.
Zum besseren Verständnis der nachfolgend verwendeten Begriffe werden zuerst einige Begriffsdefinitionen, wie sie nachfolgend zugrunde gelegt werden, aufgeführt:
Eigensicher wird als gleichbedeutend mit "fail-safe" betrachtet. Eine Fail-safe-Eigenschaft ist die Fähigkeit eines technischen Systems, beim Auftreten bestimmter Ausfälle im sicheren Zustand zu bleiben oder unmittelbar in einen anderen sicheren Zustand überzugehen.
Fail-stop: Ein auftretender Fehler wird erkannt. Beim Vorliegen eines Fehlers wird das System abgeschaltet. Fail-stop ist ein Unterfall von eigensicher.
Fail-silent: Die Eigenschaft einer Komponente bzw. eines Systems, welche (welches) mit anderen in Kommunikation steht, beim Erkennen eines Fehlers innerhalb der Komponente bzw. innerhalb des Systems keine weiteren Informationen auszusenden. Fail-silent ist eine Alternative zu fail-stop und damit ein weiterer Unterfall von eigensicher.
Fehler: Nichterfüllung mindestens einer Anforderung an ein erforderliches Merkmal einer Betrachtungseinheit.
Fehlertolerant: Fähigkeit eines Systems auch mit einer begrenzten Zahl fehlerhafter Subsysteme seine spezifizierte Funktion zu erfüllen.
Redundanz: Vorhandensein von mehr als für die Ausführung der vorgesehenen Aufgaben an sich notwendigen Mitteln.
Um die Sicherheit von Fahrzeugen zu verbessern, ist es bekannt, in Fahrzeugen Systeme vorzusehen, die beispielsweise dazu beitragen, dass ein Fahrzeug nicht ins Schleudern gerät oder sich nicht überschlägt. Dazu ist es beispielsweise notwendig, fahrerunabhängige Bremseingriffe vorzunehmen. Alternativ oder ergänzend können hierfür auch Lenkeingriffe durchgeführt werden. Derartige Systeme sind sicherheitsrelevant. Es ist bekannt, sicherheitsrelevante Systeme in den sicheren Zustand zu überführen, wenn ein Fehler, also insbesondere ein Systemausfall oder Teilausfall auftritt. Dabei ist es bekannt, das Ausschalten des Systems als sicheren Zustand zu wählen. Bei Systemen, die fahrerunabhängige Bremseingriffe durchführen, ist das Ausschalten als sicherer Zustand noch möglich, dagegen nicht mehr bei Systemen, die fahrerunabhängige Lenkeingriffe, insbesondere mit Lenkwinkeländerungen oberhalb eines Lenkwinkeländerungsschwellenwertes durchführen, da der Fahrer nicht schlagartig die abgeschalteten Systeme ersetzen kann. Bei fahrerunabhängigen Lenkwinkeländerungen unterhalb des Lenkwinkeländerungsschwellenwertes ist auch das Ausschalten als sicherer Zustand möglich.

Aus der DE 43 34 260 C2 ist es bekannt, ein Antiblockiersystem und ein Servolenksystem dadurch eigensicher zu gestalten, dass die Steuereinheit des einen Systems die Funktion des jeweils anderen Systems überwacht und beim Auftreten eines Fehlers in einem der Systeme dasselbe System abschaltet, sobald dies gefahrlos möglich ist.

Aus der DE 195 26 250 A1 ist ein Brems- und Lenksystem bekannt. Das Brems- und Lenksystem weist eine Recheneinheit auf, die fehlertolerant ausgebildet ist. Dazu weist die Recheneinheit entweder mindestens drei identische Rechenwerke oder mindestens zwei Rechenwerke auf, die fail-silent sind. Durch die Recheneinheit werden Sollwerte bestimmt, die an ein Steuergerät übermittelt werden, in dem aus den Sollwerten Stellgrößen für Stellglieder ermittelt werden.

Aufgabe der vorliegenden Erfindung ist es, ein Verfahren bereitzustellen, mit dem eine Überführung von sicherheitsrelevanten Fahrfunktionen in den sicheren Zustand bei einem Fehler ermöglicht wird.

Gelöst wird diese Aufgabe durch ein Verfahren der eingangs genannten Art, bei dem beim Auftreten eines Fehlers im ersten Steuergerät das nachgeordnete Steuergerät die von dem ersten Steuergerät gesteuerte Fahrfunktion in einen sicheren Zustand überleitet. Dies bedeutet, dass bei einem Fehler im ersten Steuergerät das erste Steuergerät nicht nur ausgeschaltet wird, sondern dass die Fahrfunktion (eingeschränkt) nach wie vor zur Verfügung steht, wobei die Fahrfunktion durch das nachgeordnete Steuergerät in einen sicheren Zustand überge leitet wird. Als erstes Steuergerät kommt insbesondere ein Steuergerät für ein elektronisches Stabilitätsprogramm (ESP) in Frage, das beispielsweise Eingriffe in den Motor, die Bremsen, die Lenkung und die Federung des Fahrzeugs vornehmen kann, um dadurch die Gierrate des Fahrzeuges entsprechend einem zugehörigen Sollwert einzustellen. Würde eine von einem solchen Steuergerät realisierte Fahrfunktion bei einem Fehler schlichtweg abgeschaltet werden, so würde dies zu gefährlichen Situationen führen. Die Eingriffe in die Lenkung können mittels eines Steuergeräts für die elektrohydraulische Lenkung (EHL) erfolgen. Bei einer elektrohydraulische Lenkung besteht kein mechanischer Durchgriff mehr vom Lenkrad zu den Rädern, zumindest solange die Steuergeräte fehlerfrei arbeiten. Dadurch sind fahrerunabhängige Lenkeingriffe durch Betätigung entsprechender Stellglieder möglich. Eingriffe in die Federung erfolgen mittels eines Steuergeräts für eine Active Body Control (ABC), mit dem die Federungseigenschaften eines Fahrzeugs beeinflusst werden können. Ein Fahrzeug, welches mit einer Active Body Control (ABC) ausgestattet ist, weist in der Regel für jedes Rad ein aktives Federbein auf, über welches das jeweilige Rad an einem Fahrzeugrahmen abgestützt ist. Dabei sind diese aktiven Federbeine so ausgebildet, dass sie zumindest hinsichtlich Federvorspannung und/oder Federweg einstellbar sind, wobei ein mit den Federbeinen verbundenes Regelungssystem vorgesehen ist, das in Abhängigkeit von Fahrzeugparametern zumindest die Federvorspannung und/oder den Federweg der Federbeine einstellt. Durch diese Maßnahmen wird für das Fahrzeug ein aktives Fahrwerk bereitgestellt, das auch als ABC-Fahrwerk, also als Activ-Body-Control-Fahrwerk bezeichnet wird. Über ein Steuergerät für die elektrohydraulische Bremse (EHB) können fahrerunabhängige Bremsvorgänge durchgeführt werden. Insbesondere kann das erste Steuergerät mit einem oder mehreren der genannten Steuergeräte verbunden sein. Für jedes der Steuergeräte können einer oder mehrere Sollwerte vom ersten Steuergerät ermittelt werden und an die jeweiligen Steuergeräte übermittelt werden. Jedes der nachgeordneten Steuergeräte kann wiederum mit einem oder mehreren Stellgliedern verbunden sein, denen jeweils eine oder mehrere Stellgrößen zugeführt werden. Insbesondere, wenn die Steuergeräte mit einem Datenbus, z.B. einem CAN-Bus, verbunden sind, können sie miteinander kommunizieren.

Bei einer bevorzugten Verfahrensvariante kann vorgesehen sein, dass beim Auftreten eines Fehlers im ersten Steuergerät im nachgeordneten Steuergerät von einer aktuellen Zuordnungsvorschrift in eine Sicherheitszuordnungsvorschrift zeitlich definiert übergeleitet wird und die Stellgrößen auf Grund der Sicherheitszuordnungsvorschrift und den zuletzt empfangenen Sollwerten und/oder zusätzlichen Informationen ermittelt werden. Als Fehler im ersten Steuergerät können beispielsweise auftreten: die Versorgungsspannung fällt aus; einer der Prozessoren fällt aus; ein Platinenbruch tritt auf; an einem Bauteil der Peripherie-Elektronik tritt ein Fehler auf; an einer Ausgabe-/Eingabeeinheit tritt ein Fehler auf. Es können auch mehrere solcher Fehler gleichzeitig auftreten. Wenn ein solcher Fehler detektiert wird, wird die Fahrfunktion vom nachgeordneten Steuergerät übernommen, in dem eine Sicherheitszuordnungsvorschrift abgelegt ist, die bewirkt, dass das Gesamtsystem in einem sicheren Zustand bleibt. Während bei fehlerfreiem Betrieb die vom ersten Steuergerät vorgegebenen Sollwerte gemäß einer aktuellen Zuordnungsvorschrift in eine Stellgröße übersetzt werden, erfolgt im Fehlerfall eine Zuordnung gemäß einer Sicherheitszuordnungsvorschrift. Im Fehlerfall werden, insbesondere wenn das erste Steuergerät eigensicher ausgelegt ist, keine weiteren Sollwerte an die nachgeordneten Steuergeräte übermittelt. In einem solchen Fall muss aus den zuletzt empfangenen Sollwerten oder aus zu sätzlichen, dem nachgeordneten Steuergerät zugeführten Informationen eine Stellgröße ermittelt werden. Insbesondere wenn es sich bei dem nachgeordneten Steuergerät um das Steuergerät der elektrohydraulischen Bremse handelt, müssen diesem beispielsweise Informationen über einen Stop-and-Go-Modus, eine Objekterkennung oder eine Aktivierung eines Tempomats zugeführt werden. Diese Informationen sind erforderlich, um über die weitere Bremsdruckbeaufschlagung entscheiden zu können. Einem ABC-System werden vom ersten Steuergerät in der Regel Werte für Normalkräfte und eine Wankmomentverteilung vorgegeben. Im Fehlerfall wird beispielsweise eine aktuell eingestellte sportliche Wankmomentverteilung auf eine Wankmomentverteilung zurückgeführt, die einem Komfortfahrverhalten entspricht.

Bei einer bevorzugten Verfahrensvariante kann vorgesehen sein, dass die aktuelle Zuordnungsvorschrift vom ersten Steuergerät an das nachgeordnete Steuergerät übergeben wird oder eine im nachgeordneten Steuergerät abgelegte Zuordnungsvorschrift ausgewählt wird. Beispielsweise kann ein Fahrer durch diese Maßnahme vorgeben, ob die Lenkung auf sportlich oder auf Komfort eingestellt werden soll. Gleiches gilt für die Wankmomentverteilung.

Besonders vorteilhaft ist es, wenn die von dem ersten Steuergerät an das nachgeordnete Steuergerät übergebenen Sollwerte gezählt werden. Durch diese Maßnahme erkennt das nachgeordnete Steuergerät, ob ihm ausgehend vom ersten Steuergerät neue Werte zur Verfügung gestellt werden oder nicht. Können keine weiteren Werte mehr gezählt werden, so ist ein Fehler aufgetreten und das erste Steuergerät ist in den eigensicheren Zustand übergegangen. In einem solchen Fall muss die Funktion des ersten Steuergeräts in den sicheren Zustand überführt werden.

Es kann vorgesehen sein, dass bei einem die Steuerung einer elektrohydraulischen Lenkung betreffenden Fehler ein zeitlich definierter Überblendvorgang für ein Lenkradmoment durchgeführt wird. Das Lenkradmoment wird durch einen entsprechenden Steller am Lenkrad erzeugt. Dadurch wird dem Fahrer das Gefühl gegeben, eine von der Lenkbewegung der Räder herrührende Kraftrückkopplung zu erhalten. Dieser Überblendvorgang erfolgt auf eine vorgegebene Art und Weise über einen gewissen Zeitraum, so dass sich für den Fahrer nicht ruckartig eine Änderung einstellt. Wäre dies der Fall, so könnte der Fahrer erschrecken, was erst recht zu einem unsicheren Zustand führen würde.

Bei einer besonders bevorzugten Verfahrensvariante kann vorgesehen sein, dass bei einem Fehler sowohl im ersten als auch im nachgeordneten Steuergerät eine mechanische Verbindung zwischen dem Lenkrad und den lenkbaren Rädern hergestellt wird, insbesondere eine mechanische Kupplung im Lenksystem geschlossen wird. Dies ist insbesondere dann von Bedeutung, wenn das nachgeordnete Steuergerät das Steuergerät der elektrohydraulischen Lenkung ist. Das erste Steuergerät gibt einen Sollwert für den einzustellenden Radwinkel vor, der von dem Steuergerät der elektrohydraulischen Lenkung in einen Radwinkel umgesetzt wird. Das Lenksystem enthält eine Kupplung, mit der eine mechanische Verbindung zwischen dem Lenkrad und den zu lenkenden Rädern herstellbar ist. Diese mechanische Kupplung ist, solange kein Fehler auftritt, offen, d.h. der Fahrer hat keinen direkten mechanischen Durchgriff auf die zu lenkenden Räder. Tritt ein Fehler sowohl im ersten Steuergerät als auch im Steuergerät der elektrohydraulischen Lenkung auf, so wird die in der Lenkung vorhandene mechanische Kupplung durch einen definierten zeitlichen Vorgang geschlossen. Somit erhält der Fahrer einen direkten Durchgriff auf die lenkbaren Räder. Das System befindet sich in einem sicheren Zustand. Der Übergang von der elektrohydraulischen Lenkung mit geöffneter Kupplung auf die Lenkung mittels direktem Durchgriff, d.h. mit geschlossener Kupplung, sollte sich für den Fahrer im Lenkrad möglichst wenig bemerkbar machen. Aus diesem Grund wird, wie oben erwähnt, ein Überblendvorgang des Lenkradmoments durchgeführt.

Die Aufgabe wird außerdem gelöst durch ein Fahrfunktionssystem, mit einem ersten Steuergerät, welches auf Grund von Sensorsignalen mindestens einen Sollwert ermittelt und an mindestens ein nachgeordnetes Steuergerät übermittelt, das aus dem mindestens einen Sollwert eine oder mehrere Stellgrößen ermittelt und an Stellglieder weiterleitet, wobei das erste Steuergerät eigensicher ausgebildet ist und das nachgeordnete Steuergerät fehlertolerant ausgebildet ist. Bei einem Fehler wird das System durch das oder die nachgeordneten Steuergeräte, die miteinander vernetzt sein können, in einen sicheren Zustand überführt. Es ist grundsätzlich denkbar, das erste Steuergerät und das oder die nachgeordneten Steuergeräte jeweils fehlertolerant auszubilden. Diese Lösung ist jedoch sehr teuer. Eine deutlich kostengünstigere Lösung wird erhalten, wenn nur das oder die nachgeordneten Steuergeräte fehlertolerant ausgebildet sind und das erste Steuergerät eigensicher ausgebildet ist.

Bei einer bevorzugten Ausführungsform ist vorgesehen, dass das erste Steuergerät zwei oder mehr zueinander redundante Rechner, insbesondere Prozessoren, aufweist. Durch diese Maßnahme kann das erste Steuergerät besonders einfach eigensicher ausgebildet werden. Dies bedeutet, dass bei Erkennen eines Fehlers im ersten Steuergerät das Steuergerät entweder abgeschaltet wird oder keine weiteren Sollwerte an das nachgeordnete Steuergerät übertragen werden. Das Abschalten oder Nichtübertragen der Sollwerte an das nachgeordnete Steuerge rät führt jedoch nicht zu einer Abschaltung des Gesamtsystems bzw. zu einer Abschaltung der durch das erste Steuergerät realisierten Fahrfunktion. Vielmehr wird in dem Fall, dass keine weiteren Sollwerte vom nachgeordneten Steuergerät empfangen werden, das Gesamtsystem in einen sicheren Zustand überführt.

Bei einer besonders bevorzugten Ausführungsform ist vorgesehen, dass das nachgeordnete Steuergerät drei oder mehr zueinander redundante Rechner, insbesondere Prozessoren, aufweist. In allen Rechnern werden die gleichen Algorithmen durchgeführt. Im fehlerfreien Betrieb stimmen die ermittelten Stellgrößen überein. Beim Auftreten eines Fehlers in einem der Rechner weichen die in diesem Rechner ermittelten Ergebnisse von den in den anderen Rechnern ermittelten Ergebnissen ab. Somit kann erkannt werden, ob und in welchem Rechner ein Fehler aufgetreten ist. Der entsprechende Rechner wird nachfolgend solange nicht mehr berücksichtigt, bis eine Überprüfung oder eine Reparatur ausgeführt wurde. Ein kurzzeitiges Abweichen der Ergebnisse muss dabei nicht unbedingt als Fehler gewertet werden, sofern die Ergebnisse anschließend wieder über einen längeren Zeitraum hinweg übereinstimmen.

Besonders bevorzugt ist es, wenn in dem nachgeordneten Steuergerät eine Sicherheitszuordnungsvorschrift abgelegt ist, gemäß der bei einem Fehler im ersten Steuergerät Stellgrößen ermittelt werden. Durch diese Maßnahme kann bei einem Fehler im ersten Steuergerät das Fahrfunktionssystem in einen sicheren Zustand überführt werden.

Besonders vorteilhaft ist es, wenn im fehlerfreien Betrieb vom Fahrer über das erste Steuergerät eine aktuelle Zuordnungsvorschrift auswählbar ist. Durch diese Maßnahme kann das Fahrverhalten des Fahrzeugs besonders gut auf die Bedürfnisse des Fahrers angepasst werden.

Vorzugsweise wird bei einem Fehler im ersten Steuergerät im nachgeordneten Steuergerät von der aktuellen Zuordnungsvorschrift zeitlich definiert in die Sicherheitszuordnungsvorschrift übergeleitet. Eine derartige Überleitung darf nicht abrupt erfolgen, um beispielsweise keine abrupten Lenk- oder Bremsmanöver auszulösen. Durch die zeitlich definierte Überleitung wird dem Fahrer die Möglichkeit gegeben, nach Beendigung der Überleitung die Kontrolle über das Fahrzeug wieder vollständig zu übernehmen.

Besonders bevorzugt ist es, wenn die Zuordnungsvorschriften Kennlinien sind und im Fehlerfall von einer aktuellen Kennlinie auf eine Sicherheitskennlinie zeitlich definiert übergeführt wird. Als Kenlinie wird dabei beispielsweise der Zusammenhang zwischen dem vom Fahrer vorgegebenen Lenkradwinkel und den an den lenkbaren Rädern einzustellenden Radlenkwinkeln gesehen. Die Kennlinie entspricht dabei einem Übersetzungsverhältnis dieser beiden Winkel.

Dies bedeutet, dass, sobald ein Fehler im ersten Steuergerät auftritt, keine Sollwerte mehr für den Radwinkel an das EHL-Steuergerät übertragen werden. Mit einem definierten zeitlichen Vorgang wird die Kennlinie, die im fehlerfreien Betriebszustand mit dem EHL-Steller realisiert wurde, in die Sicherheitskennlinie übergeleitet, die im EHL-Steuergerät abgelegt ist. Sobald die abgelegte Kennlinie erreicht ist, hat das System den sicheren Zustand eingenommen. Diese Maßnahme ist insbesondere bei einer auf einem Untergrund mit wechselndem Reibbeiwert durchgeführten Bremsung von Bedeutung. Eine Bremsung auf einem derartigen Untergrund führt auf Grund der sich ändernden Reibbeiwertverhältnisse zu einem sich ändern den Giermoment, welches auf das Fahrzeug wirkt. Dieses Giermoment wird im Normalfall durch das erste Steuergerät, insbesondere ein ESP-System, mithilfe der elektrohydraulischen Lenkung ausgeregelt. Zu diesem Zweck wird an den lenkbaren Rädern fahrerunabhängig ein Lenkwinkel eingestellt. Würden die Regelungssysteme im Fehlerfall lediglich abgeschaltet werden, ohne dass dabei ein definierter Zustand eingenommen wird, dann würde das Fahrzeug entsprechend dem eingestellten Radlenkwinkel weiterfahren und gegebenenfalls die Fahrbahn verlassen. Um dies zu verhindern, muss das Gesamtsystem, insbesondere das EHL-System zusammen mit dem ESP-System, in einen sicheren Zustand gebracht werden.

Wenn ein Botschaftszähler vorgesehen ist, können die von dem ersten Steuergerät ausgegebenen Sollwerte gezählt werden. Der Botschaftszähler bleibt stehen, sobald das erste Steuergerät keine neuen Werte mehr liefert. In diesem Fall ist das erste Steuergerät in den eigensicheren Zustand übergegangen. Die Signale des Botschaftszählers können über einen CAN-Bus an die nachgeordneten Steuergeräte übermittelt werden. Es können auch mehrere Botschaftszähler für unterschiedliche Sollwerte vorgesehen sein.

Besonders vorteilhaft ist es, wenn ein Lenksystem vorgesehen ist, das eine mechanische Kupplung aufweist, die bei einem Fehler sowohl im ersten als auch im nachgeordneten Steuergerät geschlossen wird. Durch diese Maßnahme wird dem Fahrer ein direkter Durchgriff auf die lenkbaren Räder ermöglicht. Dadurch kann der Fahrer die Lenkkontrolle über das Fahrzeug übernehmen.

Weitere Merkmale und Vorteile der Erfindung ergeben sich aus der nachfolgenden Beschreibung eines Ausführungsbeispiels der Erfindung, anhand der Figuren der Zeichnung, die erfindungs wesentliche Einzelheiten zeigen, und aus den Ansprüchen. Die einzelnen Merkmale können je einzeln für sich oder zu mehreren in beliebiger Kombination bei einer Variante der Erfindung verwirklicht sein.

Ein Ausführungsbeispiel der Erfindung wird anhand einer Zeichnung näher erläutert. Dabei zeigen:
1 eine schematische Darstellung eines Fahrfunktionssystems;
2 ein Diagramm zur Darstellung des Übergangs in einen sicheren Zustand.
In der 1 ist ein Fahrfunktionssystem 1 dargestellt, das ein erstes eigensicheres Steuergerät 2 aufweist, das über einen Datenbus 3 mit nachgeordneten Steuergeräten 4, 5, 6 verbunden ist. Die nachgeordneten Steuergeräte 4, 5, 6 sind als fehlertolerante Steuergeräte ausgebildet. Das erste Steuergerät 2 weist zwei als Prozessoren ausgebildete Rechner 7, 8 auf, die denselben Algorithmus durchführen. Dem ersten Steuergerät 2 sind, wie durch die Leitungen 9, 10 angedeutet ist, Sensorsignale zugeführt, aus denen die Rechner 7, 8 Sollwerte berechnen, die an die nachgeordneten Steuergeräte 4, 5, 6 übermittelt werden. Die zugeführten Sensorsignale umfassen beispielsweise den gemessenen Lenkwinkel des Lenkrades, die Stellung des Gaspedals, die Stellung des Bremspedals, die Raddrehzahlen, die Fahrzeuggeschwindigkeit, die Querbeschleunigung, die Gierwinkelgeschwindigkeit etc.. Werden durch die Rechner 7, 8 unterschiedliche Werte ermittelt, so sendet das erste Steuergerät 2 keine weiteren Sollwerte an die nachgeordneten Steuergeräte 4, 5, 6. An den als CAN-Bus ausgebildeten Datenbus 3 ist ein Botschaftszähler 11 angeschlossen, der feststellt, ob Sollwerte vom ersten Steuergerät 2 auf den Datenbus 3 gegeben werden. Ist dies nicht mehr der Fall, so wird ein entsprechendes Signal an die nachgeordneten Steuergeräte 4, 5, 6 gegeben. Dabei kann vorgesehen sein, dass der Botschaftszähler differenziert nach unterschiedlichen Sollwerten die Sollwerte zählt, oder dass mehrere Botschaftszähler für die unterschiedlichen Sollwerte vorhanden sind. Entsprechend kann ein Signal nur an ein betroffenes nachgeordnetes Steuergerät 4, 5, 6 gegeben werden, wenn der für dieses Steuergerät relevante Sollwert nicht mehr ausgegeben wird. Die in der 1 dargestellte Anordnung des Botschaftszählers 11 außerhalb des Steuergeräts 2 soll keine einschränkende Wirkung haben. Der Botschaftszähler 11 kann auch in das Steuergerät 2 integriert sein, es ist auch denkbar, dass jedes der nachgeordneten Steuergeräte 4, 5, 6 einen eigenen Botschaftszähler enthält.
Das nachgeordnete Steuergerät 4 ist im Ausführungsbeispiel als Steuergerät für eine elektrohydraulische Lenkung ausgebildet. In den Rechnern 12–14 wird gemäß einer vom Fahrer über das erste Steuergerät 2 vorgegebenen Kennlinie jeweils eine Stellgröße für die Stellglieder 15, 16 ermittelt. Stellglieder 15, 16 können für jedes lenkbare Rad oder für eine lenkbare Achse vorgesehen sein. Durch das erste Steuergerät 2, welches als ESP-Steuergerät ausgebildet ist, wird dem nachgeordneten Steuergerät 4 ein Sollwert für den einzustellenden Radwinkel vorgegeben, der im nachgeordneten Steuergerät 4 in eine Stellgröße umgewandelt wird, die von den Stellgliedern 15, 16 jeweils in einen Radwinkel umgesetzt wird. Sobald ein Fehler am ersten Steuergerät 2 auftritt, werden keine Sollwerte mehr für den Radwinkel an das nachgeordnete Steuergerät 4 übertragen. Mit einem definierten zeitlichen Vorgang wird die Kennlinie, die im fehlerfreien Betriebszustand mit dem nachgeordneten Steuergerät 4 und den Stellglie dern 15, 16 realisiert wurde, in eine Sicherheitszuordnungsvorschrift, insbesondere eine Sicherheitskennlinie, übergeleitet, die im nachgeordneten Steuergerät 4 abgelegt ist. Sobald die abgelegte Kennlinie erreicht ist, hat das System 1 den sicheren Zustand eingenommen. Tritt ein Fehler sowohl im ersten Steuergerät 2 als auch im nachgeordneten Steuergerät 4 auf, so wird eine nicht dargestellte mechanische Kupplung des Lenksystems geschlossen, so dass eine mechanische Verbindung zwischen dem Lenkrad und den lenkbaren Rädern entsteht. Die mechanische Kupplung kann an den Datenbus 3 angeschlossen sein, um den Befehl zum Schließen, beispielsweise vom nachgeordneten Steuergerät 4 zu erhalten.
Das nachgeordnete Steuergerät 5 ist als ein fehlertolerantes Steuergerät für ein ABC-System ausgebildet. Im Normalbetriebsfall werden vom als ESP-Steuergerät ausgebildeten ersten Steuergerät 2 Sollwerte für Normalkräfte und eine Wankmomentverteilung vorgegeben. Insbesondere ist es möglich, eine Wankmomentverteilung für eine Komfortfahrstufe, bei der das Fahrzeug leicht untersteuernd ausgelegt ist, zu wählen oder eine sportliche Wankmomentverteilung zu wählen. Im Fehlerfall des ersten Steuergeräts 2 wird beispielsweise eine eingestellte sportliche Wankmomentverteilung auf eine ein Komfortfahrverhalten repräsentierende Wankmomentverteilung zurückgeführt. Durch diese Maßnahme wird das System 1 in einen sicheren Zustand überführt. Die Stellglieder 17, 18 sind im Ausführungsbeispiel jeweils mit einer Achse des Fahrzeugs verbunden. Es ist jedoch auch möglich, ein Stellglied für jedes Rad des Fahrzeugs vorzusehen.
Das nachgeordnete Steuergerät 6 ist als Steuergerät eines EHB-Systems ausgebildet. Vom ersten Steuergerät 2 werden Werte für Sollbremsdrücke vorgegeben. Fällt das erste Steuergerät 2 aus, so wird keine Stabilisierungsregelung mehr durch geführt. Um einen sicheren Zustand einnehmen zu können, werden dem nachgeordneten Steuergerät 6 weitere Informationen bereitgestellt. Mit diesen Informationen, beispielsweise über einen Stop-and-Go-Modus, eine Objekterkennung oder eine Aktivierung eines Tempomats, kann über eine weitere Bremsdruckbeaufschlagung entschieden werden. Die Stellglieder 19–22 sind jeweils einem bremsbaren Rad zugeordnet.
In der 2 ist ein Diagramm aufgezeigt, mit dem verdeutlicht werden soll, wie in einen sicheren Zustand überführt werden kann. Auf der linken Seite des Diagramms ist als Zuordnungsvorschrift eine Kennlinie 30 dargestellt, durch die beispielsweise eine sportliche Einstellung für die Bestimmung des Radwinkels gekennzeichnet wird. Diese Kennlinie 30 wurde beispielsweise über das erste Steuergerät 2 durch den Fahrer eingestellt, wobei die Kennlinie 30 in einem nachgeordneten Steuergerät abgelegt sein kann. Wenn ein Fehler im ersten Steuergerät auftritt, wird von der Kennlinie 30 ein zeitlich definierter Übergang 31 entlang der Zeitachse 32 bis zu einer eine Sicherheitszuordnungsvorschrift repräsentierenden Kennlinie 33 durchgeführt, die in dem nachgeordneten Steuergerät abgelegt ist. Im Falle des Steuergeräts für die elektrohydraulische Lenkung ist dies beispielsweise eine Kennlinie, die einer Komfortstufe entspricht. Die Kennlinien 30, 33 beschreiben dabei den Zusammenhang zwischen dem vom Fahrer vorgegebenen Lenkradwinkel und den an den lenkbaren Rädern einzustellenden Radlenkwinkeln. Sie entspricht daher einem Übersetzungsverhältnis dieser beiden Winkel. An dieser Stelle sein angemerkt, dass die in 2 gewählte Darstellung der beiden Kennlinien 30, 33 keine einschränkende Bedeutung haben soll, es sind auch beliebige andere Verläufe denkbar.
Bei einem Verfahren und einem Fahrfunktionssystem zum Überführen von sicherheitsrelevanten Fahrfunktionen eines Fahr zeugs in den sicheren Zustand, bei dem in einem ersten Steuergerät 2 aufgrund von Sensorsignalen mindestens ein Sollwert ermittelt wird und in einem nachgeordneten Steuergerät 4, 5, 6 aus dem mindestens einen Sollwert eine oder mehrere Stellgrößen für Stellglieder ermittelt werden, leitet beim Auftreten eines Fehlers im ersten eigensicheren Steuergerät 2 das nachgeordnete fehlertolerante Steuergerät 4, 5, 6 die von dem ersten Steuergerät gesteuerte Fahrfunktion in einen sicheren Zustand über. Durch diese Maßnahme wird es dem Fahrer ermöglicht bei Störungen sicher die Kontrolle über sein Fahrzeug zu übernehmen.

Claims

Verfahren zum Überführen von sicherheitsrelevanten Fahrfunktionen eines Fahrzeugs in den sicheren Zustand, wobei bei dem Verfahren in einem ersten Steuergerät (2) aufgrund von Sensorsignalen mindestens ein Sollwert ermittelt wird und in einem nachgeordneten Steuergerät (4, 5, 6) aus dem mindestens einen Sollwert eine oder mehrere Stellgrößen für Stellglieder ermittelt werden, dadurch gekennzeichnet, dass beim Auftreten eines Fehlers im ersten Steuergerät (2) das nachgeordnete Steuergerät (4, 5, 6) die von dem ersten Steuergerät gesteuerte Fahrfunktion in einen sicheren Zustand überleitet.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass beim Auftreten eines Fehlers im ersten Steuergerät (2) im nachgeordneten Steuergerät (4, 5, 6) von einer aktuellen Zuordnungsvorschrift in eine Sicherheitszuordnungsvorschrift zeitlich definiert übergeleitet wird und die Stellgrößen aufgrund der Sicherheitszuordnungsvorschrift und den zuletzt empfangenen Sollwerten und/oder zusätzlichen Informationen ermittelt werden.
Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass die aktuelle Zuordnungsvorschrift vom ersten Steuergerät (2) an das nachgeordnete Steuergerät (4, 5, 6) übergeben wird oder eine im nachgeordneten Steuergerät (4, 5, 6) abgelegte Zuordnungsvorschrift ausgewählt wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die von dem ersten Steuergerät (2) an das nachgeordnete Steuergerät (4, 5, 6) übergebenen Sollwerte gezählt werden.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass bei einem die Steuerung einer elektrohydraulischen Lenkung betreffenden Fehler ein zeitlich definierter Überblendvorgang für ein Lenkradmoment durchgeführt wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass bei einem Fehler sowohl im ersten als auch im nachgeordneten Steuergerät (2; 4, 5, 6) eine mechanische Verbindung zwischen dem Lenkrad und den lenkbaren Rädern hergestellt wird, insbesondere eine mechanische Kupplung im Lenksystem geschlossen wird.
Fahrfunktionssystem (1), insbesondere zur Durchführung des Verfahrens nach einem der vorhergehenden Ansprüche, mit einem ersten Steuergerät (2), welches aufgrund von Sensorsignalen mindestens einen Sollwert ermittelt und an mindestens ein nachgeordnetes Steuergerät (4, 5, 6) übermittelt, das aus dem mindestens einen Sollwert eine oder mehrere Stellgrößen ermittelt und an Stellglieder (15– 22) weiter leitet, dadurch gekennzeichnet, dass das erste Steuergerät (2) eigensicher ausgebildet ist und das nachgeordnete Steuergerät (4, 5, 6) fehlertolerant ausgebildet ist.
System nach Anspruch 7, dadurch gekennzeichnet, dass das erste Steuergerät (2) zwei oder mehr zueinander redundante Rechner (7, 8), insbesondere Prozessoren, aufweist.
System nach Anspruch 7 oder 8, dadurch gekennzeichnet, dass das nachgeordnete Steuergerät (4, 5, 6) drei oder mehr zueinander redundante Rechner (13, 14, 15), insbesondere Prozessoren, aufweist.
System nach einem der vorhergehenden Ansprüche 7 bis 9, dadurch gekennzeichnet, dass in dem nachgeordneten Steuergerät (4, 5, 6) eine Sicherheitszuordnungsvorschrift abgelegt ist, gemäß der bei einem Fehler im ersten Steuergerät (2) Stellgrößen ermittelt werden.
System nach einem der vorhergehenden Ansprüche 7 bis 10, dadurch gekennzeichnet, dass im fehlerfreien Betrieb vom Fahrer über das erste Steuergerät (2) eine aktuelle Zuordnungsvorschrift auswählbar ist.
System nach einem der vorhergehenden Ansprüche 10 oder 11, dadurch gekennzeichnet, dass bei einem Fehler im ersten Steuergerät (2) im nachgeordneten Steuergerät (4, 5, 6) von der aktuellen Zuordnungsvorschrift zeitlich definiert in die Sicherheitszuordnungsvorschrift übergeleitet wird.
System nach einem der vorhergehenden Ansprüche 10 bis 12, dadurch gekennzeichnet, dass das die Zuordnungsvorschriften Kennlinien (30, 33) sind und im Fehlerfall von einer aktuellen Kennlinie (30) auf eine Sicherheitskennlinie (33) zeitlich definiert überführt wird.
System nach einem der vorhergehenden Ansprüche 7 bis 13, dadurch gekennzeichnet, dass ein Botschaftszähler (11) vorgesehen ist, mit dem die von dem ersten Steuergerät (2) ausgegebenen Sollwerte gezählt werden.
System nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das erste Steuergerät (2) als Elektronisches Stabilitäts Programm (ESP) Steuergerät und das nachgeordnete Steuergerät (4, 5, 6) als Steuergerät einer elektrohydraulischen Lenkung oder einer elektrohydraulischen Bremse (EHB) oder einer Active Body Control (ABC) ausgebildet ist.
System nach einem der vorhergehenden Ansprüche 7 bis 15, dadurch gekennzeichnet, dass ein Lenksystem vorgesehen ist, das eine mechanische Kupplung aufweist, die bei einem Fehler sowohl im ersten als auch im nachgeordneten Steuergerät (2; 4, 5, 6) geschlossen wird.