Im
Stand der Technik (z. B. aus
DE 103 20 017 A1 ) sind Steuereinrichtungen
für eine
Antriebseinheit bekannt, die die Antriebseinheit insbesondere hinsichtlich
eines abgegebenen Antriebsmoments steuern oder regeln, wobei die
Antriebseinheit eine Brennkraftmaschine eines Kraftfahrzeugs ist.
Das Kraftfahrzeug umfasst dabei üblicherweise
eine durch den Fahrer des Kraftfahrzeugs betätigbare Fahrerwunsch-Aufnahmeeinrichtung,
insbesondere ein fußbetätigbares
Fahrpedal, die dafür
vorgesehen ist, ein einen momentanen Betätigungszustand der Fahrerwunsch-Aufnahmeeinrichtung
repräsentierendes
Ausgangssignal abzugeben. Eine Steuereinheit empfängt das
Ausgangssignal von der Fahrerwunsch-Aufnahmeeinrichtung und ordnet dem empfangenen
Ausgangssignal wenigstens eine Soll-Ausgangsgröße, insbesondere einen Soll-Antriebsmoment
der Antriebseinheit zu. Die Antriebseinheit wird von der Steuereinheit
derart angesteuert, dass sich eine von der Antriebseinheit abgegebene
Ist-Ausgangsgröße der Soll-Ausgangsgröße annähert. Derartige
Steuereinrichtungen sind in verschiedenen Auslegungen für übliche Kraftfahrzeugmotoren,
insbesondere Ottomotoren und Dieselmotoren bekannt, z. B. Bosch-Motorsteuerungssysteme
mit elektronischem Gaspedal (EGAS).
Ferner
ist es im Stand der Technik bekannt, eine kontinuierliche Momentenüberwachung
zur Aufdeckung von Fehlfunktionen im Steuergerät durchzuführen. Dies dient insbesondere
dem Schutz von Fahrinsassen in dem Kraftfahrzeug und externen Verkehrsteilnehmern.
Es soll eine ungewollte Beschleunigung des Fahrzeugs verhindert
werden. Der Kern der kontinuierlichen Momentenüberwachung ist der Vergleich
eines vom Motor bereitgestellten Ist-Momentes mit einem zulässigen Moment.
Im Normalfall ist das Ist-Moment kleiner als das zulässige Moment.
Falls das Ist-Moment das zulässige
Moment übersteigt,
liegt ein Fehler im Motorsteuergerät vor und eine zu einem sicheren
Fahrzeugzustand führende
Fehlerreaktion wird eingeleitet.
Die Überwachung
der Motorsteuergeräte
erfolgt üblicherweise
nach einem 3-Ebenen-Überwachungskonzept.
Die Motorsteuerung selbst, insbesondere die Vorgabe des Sollmomentes,
erfolgt dabei in der als Funktionsebene bezeichneten ersten Ebene.
Die zweite Ebene (Überwachungsebene)
ist als die kontinuierliche Momentenüberwachung ausgeführt. In
dieser Ebene wird unter anderem in Abhängigkeit von Fahrzeug- und
Motorfunktionen ein zulässiges
Moment ermittelt und mit einem Motor-Ist-Moment verglichen. Die
Ebene 2 wird aufwändig
abgesichert (Doppelablage aller Variablen, zyklische RAM- und ROM-Prüfung, Programmablaufkontrolle,
Befehlstest). Ebene 3 dient zur Rechnerabsicherung.
DE 102 10 684 A1 bezieht
sich auf ein Verfahren zur Überwachung
eines Moments einer Antriebseinheit eines Fahrzeugs. Das zu überwachende Moment
wird mit einem zulässigen
Moment verglichen, das zulässige
Moment wird dem zu überwachenden
Moment nachgeregelt und es wird ein Fehler detektiert, wenn das
zu überwachende
Moment stärker
als ein erster vorgegebener Wert vom zulässigen Moment abweicht, wobei
der Fehler nur in dem Fall detektiert wird, in dem eine Stellung
eines Bedienelementes, insbesondere eine Fahrpedalstellung, mindestens
seit einer ersten vorgegebenen Zeit innerhalb eines vorgegebenen
Toleranzbereiches liegt.
DE 197 39 565 A1 betrifft
ein Verfahren zur Steuerung des Drehmoments einer Antriebseinheit eines
Kraftfahrzeugs, bei welchem das Drehmoment der Antriebseinheit wenigstens
nach Maßgabe
des Fahrerwunsches eingestellt wird, wobei das Ist-Drehmoment der
Antriebseinheit bestimmt wird und wenigstens auf der Basis des Fahrerwunsches
ein maximal zulässiges
Drehmoment ermittelt wird. Es erfolgt eine Drehmomentenreduzierung
und/oder -begrenzung bei Überschreiten
des maximal zulässigen Moments
durch das Ist-Drehmoment.
Dabei wird wenigstens ein Betriebszustand festgestellt, in dem das Drehmoment
der Antriebseinheit durch zusätzliche Belastung
erhöht
ist. Während
dieses wenigstens einen Betriebszustands wird das maximal zulässige Moment
erhöht.
Insbesondere wird dadurch beim Betrieb mit kalter Antriebseinheit
und/oder beim Betrieb belastender Verbraucher das zulässige Moment
erhöht.
DE 197 48 355 A1 hat
ein Verfahren zur Steuerung der Antriebseinheit eines Fahrzeugs
zum Gegenstand, wobei das Drehmoment der Antriebseinheit abhängig von
einem aus der Stellung eines vom Fahrer betätigbaren Bedienelements abgeleiteten
Fahrerwunschmoment und abhängig
von wenigstens einem Sollmoment, welches von wenigstens einer externen
Funktion vorgegeben wird, die anstelle oder zusätzlich zur Fahrervorgabe das
Drehmoment beeinflusst. Ein maximal zulässiges Drehmoment wird vorgegeben
und bei Überschreiten
dieses maximal zulässigen
Werts wird durch den entsprechenden Ist-Wert eine Reduzierung des
Drehmoments vorgenommen. Das maximal zulässige Moment wird wenigstens
abhängig
von der Stellung des Bedienelements gebildet und das maximal zulässige Moment wird
abhängig
von dem Sollmoment der wenigstens einen externen Funktion gebildet,
wenn dieses Sollmoment größer als
das von der Bedienelementstellung abhängige zulässige Moment ist. Die externe Funktion
kann z. B. das Drehmoment gegenüber dem
Fahrerwunsch erhöhen,
wie eine Motorschleppmomentregelung oder eine Fahrgeschwindigkeitsregelung.
Die
beschriebenen, aus dem Stand der Technik bekannten Verfahren der
Momentenüberwachung
sind nicht ohne weiteres auf Hybridfahrzeuge übertragbar. In Hybridfahrzeugen
kommt neben einem Verbrennungsmotor mindestens eine weitere Momentenquelle
(Motor) zum Einsatz. In den meisten Fällen handelt es sich hierbei
um einen oder mehrere Elektroantriebe.
Im
Stand der Technik ist in einem Fahrzeug nur ein Motor vorhanden,
der ein Motorsteuergerät enthält, das
eine Vielzahl von Momentenanforderungsinformationen von extern (z.
B. durch ein Bremsensteuergerät
oder einen Abstandshaltertempomat (ACC)) über einen Signalbus erhält. Das
Motorsteuergerät
prüft die
Integrität
der empfangenen externen Momentenanforderungssignale und plausibilisiert
die Momentenanforderungsinformationen anhand von ihm zur Verfügung stehender
Fahrzeug-Zustandssignale. Das Motorsteuergerät bestimmt dann anhand der
externen Informationen und anderer Signale (unter anderem dem Fahrerwunsch,
der z. B. per Fahrpedal eingestellt wird) das von dem Motor anzufordernde
Moment (Sollmoment) und steuert den Motor entsprechend direkt an,
ohne mit einem weiteren Steuergerät zu kommunizieren.
In
der Motorsteuerung muss bei mehreren vorhandenen Motoren das vom
Fahrer geforderte Wunschmoment, welches beispielsweise durch Bedienen
eines Fahrpedals eingestellt wird, auf die vorhandene Momentenquelle
(mindestens zwei Motoren) aufgeteilt werden. Dies geschieht in Abhängigkeit
zahlreicher Umgebungsvariablen u. a. mit dem Ziel, den verbrauchsgünstigsten
Betriebspunkt für alle
Momentenquellen einzustellen. Ein derartiges Verfahren ist beispielsweise
in
DE 102 02 531 A1 beschrieben.
Die aufgeteilten Momente müssen
dann von dem Motorsteuergerät
gegebenenfalls an weitere, den einzelnen Motoren zugeordnete Steuergeräte übermittelt
werden.
Bei
der Kommunikation mit weiteren Steuergeräten besteht die Gefahr einer Übertragung
von fehlerhaften momentenrelevanten Ausgangssignalen des Motorsteuergeräts an die
weiteren Steuergeräte,
die dann die ihnen zugeordneten Motoren fehlerhaft ansteuern. Bei mehreren
vorhandenen Motoren wird nach der Aufteilung des anzufordernden
Moments auf die einzelnen Motoren (z. B. durch ein zentrales Motorsteuergerät) an die
den Motoren zugeordneten einzelnen Steuergeräte eine Botschaft gesandt,
die das jeweilige anzufordernde Moment enthält. Die Steuergeräte steuern
dann jeweils den ihnen zugeordneten Motor an. Die so gesendeten
Botschaften eines Motorsteuergeräts
unterscheiden sich in ihrem Charakter deutlich von allen anderen
gesendeten Botschaften eines Motorsteuergeräts, da hier nicht nur Informationen
enthalten sind, sondern indirekt eine mornentenrelevante Forderung
gestellt wird. Ein Fehler in diesen übertragenen momentenrelevanten
Forderungen stellt ein Sicherheitsrisiko für den Fahrzeugführer und
andere Verkehrsteilnehmer dar. Es kann sich z. B. ein so genanntes
Fehlerbild der spontanen Veränderung
im RAM ergeben, insbesondere wenn elektromagnetische Einstrahlung oder
ein Hardwarefehler zu einer Verfälschung
der über
einen Bus zu sendenden Momentenforderungen schon im sendenden Steuergerät führen. Da
diese verfälschten
Momentenforderungen aber ganz dem Übertragungsprotokoll entsprechend
weiterverarbeitet werden, wird der Fehler gegebenenfalls vom Empfänger nicht
erkannt und führt
so zu einer unerwünschten
Momentenerhöhung.
Im
Stand der Technik fehlt bisher ein Konzept zum Erkennen und Beseitigen
von Verfälschungen momentenrelevanter
(z. B. als CAN-Botschaften an weitere Steuergeräte übertragener) Ausgangssignale
in einem Steuergerät
für einen
Antrieb mit mehreren Motoren, insbesondere für einen Hybridantrieb mit einem
Verbrennungs- und einem Elektromotor.
Vorteile der
Erfindung
Das
erfindungsgemäß vorgeschlagene
Verfahren zur Steuerung einer Fahrzeugantriebseinheit vermeidet
die Nachteile der aus dem Stand der Technik bekannten Verfahren.
Insbesondere ermöglicht es
das erfindungsgemäße Verfahren,
eine Übertragung
fehlerhafter momentenrelevanter Ausgangssignale eines ersten Steuergeräts an weitere
Steuergeräte
von Hybridfahrzeugen zu erkennen und abzufangen und so die Sicherheit
des Gesamtsystems zu erhöhen.
Der
Grundgedanke der Erfindung besteht in der Durchführung einer Plausibilisierung
der anzufordernden Momente, die von einem ersten Steuergerät bestimmt
werden und deren Übermittlung
an weitere Steuergeräte
vorgesehen ist. Diese zu plausibilisierenden Momente sind die so
genannten extern anzufordernden Momente, da sie nicht direkt vor
dem ersten Steuergerät,
sondern indirekt von externen weiteren Steuergeräten bei den jeweiligen Motoren
angefordert werden. Durch den von der Übermittlung (in Schritt C)
des erfindungsgemäßen Verfahrens) durchgeführten Plausibilisierungsschritt
(Schritt B)) kann in vorteilhafter Weise eine Übermittlung von nicht plausiblen
Momentenanforderungen an die weiteren Steuergeräte verhindert und so die Sicherheit des
Fahrzeuges erhöht
werden.
Bei
dem erfindungsgemäßen Verfahren weist
die Antriebseinheit des Fahrzeuges mindestens zwei einzelne Motoren
auf. Dabei kann es sich beispielsweise um einen Verbrennungsmotor,
insbesondere um einen Otto- oder Dieselmotor, und einen oder mehrere
Elektromotoren oder um mehrere Elektromotoren handeln. Die Steuerung
der Antriebseinheit erfolgt erfindungsgemäß unter Verwendung eines ersten
Steuergeräts
(z. B. eines zentralen Motorsteuergeräts) und mindestens eines von
dem ersten Steuergerät
Botschaften empfangenden weiteren Steuergeräts (z. B. ein Elektromotor-Steuergerät). Das
mindestens eine weitere Steuergerät ist jeweils einem der mindestens
zwei einzelnen Motoren (z. B. einem Elektromotor) zugeordnet und
steuert diesen an.
Das
erfindungsgemäße Bestimmen
anzufordernder Momente für
jeden einzelnen Motor in Schritt A) erfolgt gemäß einer bevorzugten Ausführungsform
der vorliegenden Erfindung unter Berücksichtigung von Fahrzeug-
und/oder Motorfunktionen, die in die Momentensteuerung oder -regelung
der Fahrzeug-Antriebseinheit eingreifen. Beispielsweise bei der
Bestimmung eines zulässigen
Einzelmomentwertes zu berücksichtigende
Fahrzeugfunktionen sind eine Fahrerwunschfunktion, eine Fahrerassistenzfunktion
oder externe Eingriffsfunktionen. Die Fahrerwunschfunktion kann
z. B. in Form eines Fahrpedalsignals in die Bestimmung des zulässigen Einzelmomentwertes
eingehen. Gegebenenfalls zu berücksichtigende
Fahrerassistenzfunktionen sind beispielsweise ein elektronisches
Stabilitätsprogramm (ESP – in der
Regel ABS + ASR), ein Antiblockiersystem (ABS), eine Antriebs-Schlupf-Regelung
(ASR), eine Fahrgeschwindigkeitsregelung (FGR) oder ein Abstandsregeltempomat
(ACC – Adaptive
Cruise Control). Gegebenenfalls zu berücksichtigende externe Eingriffsfunktionen
können
z. B. Störeinflüsse von
elektrischen Verbrauchern wie einer Klimaanlage, eines elektrischen
Schiebedachs oder eines Servomotors sein. Motorfunktionen, die in
die Momentensteuerung oder -regelung der Fahrzeug-Antriebseinheit eingreifen,
und die bei der Bestimmung des zulässigen Einzelmoments des jeweiligen
Motors berücksichtigt
werden können,
sind z. B. eine Drehzahlbegrenzung oder Verlustmomente, insbesondere aufgrund
von Reibung oder von Generatorverlusten.
Eine
Startanforderung kann ebenfalls ein bei der Bestimmung des anzufordernden
Moments zu berücksichtigendes
Signal sein, da z. B. ein zusätzlicher
Elektromotor gegebenenfalls nur im Falle einer Startanforderung
ein zusätzliches
Moment erzeugen soll. Diese und/oder andere Funktionen werden bei der
Bestimmung des anzufordernden Moments in Ebene 1 (Funktionsebene)
eines Überwachungskonzeptes
mit mindestens zwei Ebenen, insbesondere eines 3-Ebenen-Überwachungskonzeptes,
wie es im Stand der Technik bekannt ist, berücksichtigt.
In
der Ebene 1 der Steuerung z. B. eines Hybridantriebes mit
einem Elektro- und einem Verbrennungsmotor wird das vom Fahrer und
Fahrzeug angeforderte Moment auf die Stellpfade des Verbrennungs-
und Elektromotors aufgeteilt. In der Ebene 1 kann dann
noch zur Erhöhung
der Verfügbarkeit
einer Begrenzung auf die zulässigen
Momente für
jeden Stellpfad stattfinden.
Die
so bestimmten anzufordernden Momente werden, falls sie zur Übermittlung
an das mindestens eine weitere Steuergerät vorgesehen sind (extern anzufordernde
Momente), erfindungsgemäß plausibilisiert
(Schritt B) des erfindungsgemäßen Verfahrens).
Falls die Plausibilisierung dieser anzufordernden Momente ein positives
Ergebnis liefert, werden Botschaften (z. B. CAN-Botschaften), die
die anzufordernden Momente enthalten, von dem ersten Steuergerät an die
weiteren Steuergeräte übermittelt (Schritt
C)) und dort zum Ansteuern des dem weiteren Steuergerät zugeordneten
Motors verwendet. Falls die anzufordernden Momente in Schritt B)
als nicht plausibel gewertet werden, werden sie nicht an die weiteren
Steuergeräte übermittelt,
um eine fehlerhafte Ansteuerung der zugehörigen Motoren zu vermeiden.
Gemäß einer
bevorzugten vorteilhaften Ausführungsform
der vorliegenden Erfindung enthält
das erste Steuergerät
einen Mikrocomputer, der zwei verschiedene Programmbereiche (Ebene 1 und
Ebene 2) aufweist, wobei in der ersten Ebene zur Momentensteuerung
vorgesehene Funktionen berechnet werden und in der zweiten Ebene Überwachungsmaßnahmen
durchgeführt
werden. Dabei wird der Schritt A) des erfindungsgemäßen Verfahrens
(Bestimmen von anzufordernden Momenten für jeden der mindestens zwei
einzelnen Motoren durch das erste Steuergerät) vorzugsweise in Ebene 1 durchgeführt. Ferner
werden die Schritte B) (Plausibilisieren derjenigen anzufordernden
Momente, die zur Übermittlung
an das mindestens eine weitere Steuergerät vorgesehen sind) und C) (Übermitteln
der plausibilisierten Botschaften) in Ebene 2 durchgeführt. Nach
dem Stand der Technik werden in der Ebene 2 der Motorsteuerung
weitgehende Maßnahmen
gegen eine Verfälschung
der Zwischenergebnisse getroffen: Zyklisch werden alle betroffenen
RAM-Zellen auf Beschreibbarkeit und anhand ihrer bitkomplement-gespeicherten
Doppelablagen auf Verfälschung
geprüft,
ROM wird zyklisch auf Verfälschung untersucht
und alle verwendeten Befehle werden in einem zyklischen Befehlstest
bei feststehendem Ergebnis durchlaufen. Dieser hohe Aufwand dient
der Absicherung gegen Verfälschung
von Zwischenergebnissen in der Ebene 2. Diese Vorteile
werden bei einer Durchführung
der Schritte B) und C) des erfindungsgemäßen Verfahrens in der Ebene 2 genutzt. Das
in Schritt A) bestimmte anzufordernde und zu plausibilisierende
Moment wird in die Ebene 2 übernommen und nach Standard
der Ebene 2 mit einer Doppelablage gesichert. Ab dieser
Stelle können Verfälschungen
des Moments erkannt werden.
Gemäß einer
bevorzugten Ausführungsform der
vorliegenden Erfindung umfasst das Plausibilisieren in Schritt B)
ein Vergleichen eines aus den in Schritt A) bestimmten anzufordernden
Momenten berechneten anzufordernden Gesamtmoments mit einem zulässigen Gesamtmoment,
wobei das Plausibilisieren nur dann ein positives Ergebnis hat,
wenn das zulässige
Gesamtmoment größer als
das anzufordernde Gesamtmoment ist. Das zulässige Gesamtmoment wird dabei
vorzugsweise unter Berücksichtigung
mindestens einer Größe ausgewählt aus einem
Fahrerpedalsignal, einem durch ein Fahrerassistenzsystem angeforderten
Moment, einem durch externe Eingriffe erzeugten Moment oder einem
Verlustmoment berechnet.
Vorzugsweise
umfasst das Plausibilisieren in Schritt B) des erfindungsgemäßen Verfahrens
ein Überprüfen, ob
die extern anzufordernden Momente im Hinblick auf mindestens eine
situationsspezifische Information des Fahrzeugs plausibel sind.
Dabei ist die mindestens eine situationsspezifische Information
mindestens eine Information ausgewählt aus der Gruppe Signal zum
Starten des Fahrzeugs und Signal zur Anforderung positiver Momentedes
mindestens einen zusätzlichen
Momentenstellers im Fahrbetrieb. Zur Bestimmung, in welcher Situation
sich das Fahrzeug befindet, können
mehrere Signale verwendet werden:
- a) Boosten
ist z.B. nur erlaubt, wenn die Drehzahl größer als eine festgelegte Schwelle
ist und eine Boostanforderung aus der Ebene 1 vorliegt.
- b) Ein Erststart (Schlüsslestart)
ist z.B. nur erlaubt, wenn der Start im Fahrzeugzyklus noch nicht
ausgeführt
wurde und eine Startanforderung aus der Ebene 1 vorliegt.
- c) Ein Start/Stopp-Start (Automatischer Wiederstart) ist z.B.
nur erlaubt, wenn das Fahrzeug festgebremst ist, die Drehzahl kleiner
als ein festgelegter Wert ist und eine Startanforderung aus Ebene 1 vorliegt.
Die
vorliegende Erfindung bezieht sich weiterhin auf eine Steuervorrichtung
zur Steuerung einer Antriebseinheit eines Fahrzeugs nach dem erfindungsgemäßen Verfahren,
wobei die Antriebseinheit mindestens zwei einzelne Motoren aufweist.
Die Steuervorrichtung umfasst dabei ein erstes Steuergerät und mindestens
ein mit dem ersten Steuergerät zum
Empfangen von Botschaften verbundenes weiteres Steuergerät, wobei
durch das mindestens eine weitere Steuergerät jeweils einer der mindestens zwei
Motoren ansteuerbar ist. Das erste Steuergerät umfasst Mittel zum Bestimmen
von anzufordernden Momenten für
jeden der Motoren, Mittel zum Plausibilisieren von anzufordernden
Momenten und Mittel zum Übermitteln
von Botschaften mit plausibilisierten anzufordernden Momenten an
das mindestens eine weitere Steuergerät.
Die
in 1 dargestellten Abläufe finden in einem ersten
Steuergerät
(zentrales Motorsteuergerät)
statt. Die Trennlinie 1 teilt das Diagramm in zwei Ebenen 2, 3 ein,
in die erste Ebene 2 (Funktionsebene) und die zweite Ebene 3 (Überwachungsebene). In
der ersten Ebene 2 erfolgt die Bestimmung 4 der anzufordernden
Momente 5, 6 (Sollmomente) für die Motoren. Dazu bestimmt
das erste Steuergerät
vorzugsweise in Schritt A) des erfindungsgemäßen Verfahrens ein resultierendes
anzuforderndes Moment, insbesondere ein anzuforderndes Summenmoment unter
Berücksichtigung
mindestens einer Größe ausgewählt aus
einem Fahrpedalsignal, einem durch ein Fahrerassistenzsystem angeforderten
Moment, einem durch externe Eingriffe erzeugten Moment und einem
Verlustmoment und teilt dieses Summenmoment in anzufordernde Momente
für jeden
der mindestens zwei einzelnen Motoren auf. Die zwei bestimmten anzufordernden
Momente 5, 6 werden in die zweite Ebene 3 übernommen
und nach Standard der zweiten Ebene 3 gesichert. Aus beiden
anzufordernden Momenten 5, 6 wird in der zweiten
Ebene 3 ein anzuforderndes Gesamtmoment 8 gebildet,
im einfachsten Fall durch Addition 7. Das anzufordernde Gesamtmoment 8 wird
mit einem zulässigen
Gesamtmoment 9 in der zweiten Ebene 3 verglichen (Vergleicher 10).
In die Berechnung des zulässigen Gesamtmoments 9 fließen verschiedene
externe Informationen 11, 12, 13 ein.
Dazu zählen
z. B. ein zulässiges
Startmoment 12 und ein zulässiges Boostmoment 13 (positives
Zusatz-Moment im Fahrbetrieb). Das zulässige Startmoment 12 wird
dem ersten Steuergerät übermittelt,
wenn das Fahrzeug gestartet wird. Das zulässige Boostmoment 13 wird dem
ersten Steuergerät
beim so genannten Boosten übermittelt,
d. h. beim Aufbringen zusätzlicher
Momente durch einen Elektromotor im Fahrbetrieb. Weitere externe
Informationen 11 sind unter anderem der Fahrerwunsch, der
z. B. über
ein Fahrpedal ermittelt wird. Zur Gewinnung der externen Informationen 11, 12, 13 stehen
der zweiten Ebene 3 vorzugsweise Sensoren zur Verfügung, die
zugehörige
Signale unabhängig
von und zusätzlich
zu Sensoren der ersten Ebene 2 detektieren.
Das
Vergleichen des anzufordernden Gesamtmoments 8 mit dem
zulässigen
Gesamtmoment 9 in dem Vergleicher 10 muss ergeben,
dass das anzufordernde Gesamtmoment 8 kleiner als das zulässige Gesamtmoment 9 ist,
damit der Vergleicher 10 ein positives erstes Plausibilisierungsergebnis 14 weiterleitet.
Des Weiteren umfasst das erfindungsgemäße Plausibilisieren in der
zweiten Ebene 3 des Überwachungskonzeptes
ein Überprüfen, ob
die extern anzufordernden Momente im Hinblick auf situationsspezifische
Informationen 15, 16 des Fahrzeugs plausibel sind.
Diese situationsspezifischen Informationen 15, 16 umfassen
z. B. ein Signal zum Starten des Fahrzeugs oder ein Signal zum Boosten
des Fahrzeugs (Anforderung positiver Momente eines zusätzlichen
Momentenstellers im Fahrbetrieb). Ist das anzufordernde Moment im
Hinblick auf die situationsspezifische Information 15 des
Boostens plausibel, wird ein positives zweites Plausibilisierungsergebnis 17 bereitgestellt.
Ist das anzufordernde, aus der ersten Ebene 2 an die zweite
Ebene 3 weitergegebene anzufordernde Moment im Hinblick
auf die situationsspezifische Information 16 des Startens
plausibel, wird ein positives drittes Plausibilisierungsergebnis 18 bereitgestellt.
Die zweiten und dritten Plausibilisierungsergebnisse 17, 18 werden
zu einem vierten Plausibilisierungsergebnis 19 zusammengefasst,
das positiv ausfällt,
wenn mindestens eines der zweiten oder dritten Plausibilisierungsergebnisse 17, 18 positiv
ist. Die gesamte Plausibilisierung in der zweiten Ebene 3 fällt positiv
aus, wenn sowohl das erste Plausibilisierungsergebnis 14 als
auch (UND-Gatter 20) das vierte Plausibilisierungsergebnis 19 positiv
sind. Nur in diesem Fall erfolgt ein Ansteuern der einzelnen Motoren
mit den plausibilisierten anzufordernden Momenten 5, 6.
Dazu werden Botschaften 21 (insbesondere CAN-Botschaften)
an die weiteren Steuergeräte
der Motoren von dem ersten Steuergerät geschrieben 22.
Das Controller Area Network (CAN) verbindet mehrere gleichberechtigte Komponenten über einen
2-Drahtbus miteinander. Die physikalischen Gegebenheiten, unter
anderem für
CAN, sind in ISO 11898 definiert. CAN-Botschaften werden unter anderem
in einer definierten Form („Frame") verpackt. Das CAN-Protokoll
kann Fehler selbst erkennen und signalisieren. Einzelheiten sind dem
Fachmann bekannt. Zusätzlich
zur Botschaftsüberwachung
auf der Ebene des Überwachungsprotokolls
kann bei einer Ausführungsform
der vorliegenden Erfindung noch eine Checksumme übertragen werden, so dass auch
vom Protokoll nicht erkannte sporadische Fehler vom Empfänger festzustellen sind.
Das Übermitteln
der Botschaften 21 mit den anzufordernden Momenten durch
das erste Steuergerät erfolgt
bei der vorliegenden Erfindung vorzugsweise ebenfalls aus der zweiten
Ebene 3 des Überwachungskonzeptes.
Die zweite Ebene 3 ist zum Versenden momentenrelevanter
und sicherheitskritischer Anforderungen (z. B. CAN-Botschaften)
besonders gut geeignet, da es sich bei der zweiten Ebene 3 um
einen bereits im Stand der Technik vor handenen, besonders gesicherten
Bereich handelt, dessen Aufgabe die Absicherung unter anderem gegen das
Fehlerbild der Verfälschung
von Zwischenergebnissen ist. Damit wird erfindungsgemäß das Entstehen
des Fehlerbildes einer verfälschten
Momentenforderung weitgehend vermieden und die Fahrzeugsicherheit
erhöht.