-
Die
vorliegende Erfindung betrifft eine Vorrichtung zur elektrischen
Ansteuerung einer ersten Ventileinrichtung eines Getriebestellers,
mit einem Controller, der der ersten Ventileinrichtung zugeordnete
erste Ventilsstellungssignale erzeugen kann, und mit einer Zugriffskontrolle,
der die ersten Ventilstellungssignale zugeführt werden und die erste Ventilansteuersignale
für die
erste Ventileinrichtung erzeugen kann. Die Erfindung betrifft weiterhin
einen Getriebesteller, der eine derartige Vorrichtung umfasst.
-
Es
sind sowohl hydraulisch als auch pneumatisch betriebene Getriebesteller
bekannt, wobei letztere insbesondere auf dem Nutzfahrzeugsektor eingesetzt
werden. Dabei steuert zumindest ein dem Getriebesteller zugeordneter
Controller Ventile, insbesondere Magnetventile, derart an, dass
Kolben durch das jeweilige Druckmittel in verschiedene Stellungen
gebracht werden. Aus der Kombination der verschiedenen Kolbenstellungen
ergibt sich ein bestimmtes Übersetzungsverhältnis beziehungsweise ein
bestimmter Gang. Beispielsweise Kupplungen, Vorschaltgetriebe und
Retarder können
in ähnlicher Weise
angesteuert beziehungsweise betätigt
werden. Da über
das Übersetzungsver hältnis die
Geschwindigkeit des Fahrzeugs beeinflusst werden kann, erfüllt der
Controller des Getriebestellers eine sicherheitsrelevante Aufgabe.
Dies gilt insbesondere in Fällen,
in denen der Controller des Getriebestellers nicht nur die Kolbenstellungen
steuert oder regelt sondern auch die Kupplung des Fahrzeugs, über die der
Kraftfluss zum Motor geöffnet
oder geschlossen werden kann. Aufgrund der sicherheitsrelevanten Funktion
des Controllers der Getriebestellvorrichtung ist es erforderlich,
dass im Falle eines Elektronik-Defekts oder eines Elektronik-Ausfalls
ein Fail-Safe-Zustand erreicht wird.
-
Bei
hydraulisch angetriebenen Getriebestellvorrichtungen ist es in einigen
Fällen
möglich,
den Fail-Safe-Zustand im Falle eines Elektronik-Defekts oder -Ausfalls
durch die Hydraulik sicherzustellen. In diesen Fallen kann auf redundante
Elektronikstrukturen verzichtet werden, da ein Elektronikausfall
nicht zu einem sicherheitskritischen Zustand führt.
-
Bei
pneumatisch angetriebenen Getriebestellern kann der Fail-Safe-Zustand
in der Regel nicht durch die Pneumatik alleine erreicht werden.
Daher werden insbesondere im Zusammenhang mit pneumatisch angetriebenen
Getriebestellern zumindest einige Elektronikstrukturen redundant
vorgesehen, insbesondere der Controller. Ein derartiges Vorsehen von
zwei redundanten Controllern ist jedoch mit hohen Kosten verbunden.
-
Der
Erfindung liegt die Aufgabe zugrunde, ein Sicherheitskonzept für einen
Getriebesteller anzugeben, bei dem ohne Sicherheitseinbußen auf
redundante Elektronikstrukturen verzichtet werden kann.
-
Diese
Aufgabe wird durch die Merkmale des Anspruchs 1 gelöst.
-
Vorteilhafte
Ausgestaltungen und Weiterbildungen der Erfindung ergeben sich aus
den abhängigen
Ansprüchen.
-
Die
erfindungsgemäße Vorrichtung
zur Ansteuerung einer ersten Ventileinrichtung baut auf dem gattungsgemäßen Stand
der Technik dadurch auf, dass der Zugriffskontrolle ein Datenspeicher
zugeordnet ist, in dem Ventilstellungsdaten gespeichert sind, auf
deren Grundlage die Zugriffskontrolle die erste Ventileinrichtung
durch Erzeugung entsprechender erster Ventilansteuersignale in einen
sicheren Zustand bringen kann. Erkennt die Zugriffskontrolle, dass
der Controller nicht mehr korrekt arbeitet, so kann sie unabhängig von
der Funktionstüchtigkeit des
Controllers einen Fail-Safe-Zustand herstellen, indem sie die der
ersten Ventileinrichtung zugeordneten Ventile auf der Grundlage
der in dem Datenspeicher gespeicherten Ventilstellungsdaten in einen
sicheren Zustand bringt. Bei dieser Lösung muss der Controller nicht
länger
redundant vorgesehen werden. Dadurch ergibt sich eine Kostenoptimierung ohne
Nachteil für
die Sicherheitsaspekte, wobei ein besonderer Vorteil der Erfindung
in der Einfachheit der Lösung
zu sehen ist.
-
Vorzugsweise
ist vorgesehen, dass der Controller die Ventilstellungsdaten liefern
kann. Somit erhält
die Zugriffskontrolle von dem Controller nicht nur die ersten Ventilansteuersignale,
also die Informationen wie die der ersten Ventileinrichtung zugeordneten
Ventile momentan anzusteuern sind, sondern auch die von der aktuellen
Fahrzeugsituation und/oder der aktuellen Fahrsituation abhängigen Ventilstellungsdaten,
auf deren Grundlage der ebenfalls von der aktuellen Fahrzeugsituation
und/oder der aktuellen Fahrsituation abhängige sichere Zustand eingestellt
werden kann.
-
Die
erfindungsgemäße Vorrichtung
zur elektrischen Ansteuerung einer ersten Ventileinrichtung ist
vorzugsweise dadurch weitergebildet, dass sie weiterhin einen intelligenten
Watchdog umfasst, der eine Fehlfunktion des Controllers erkennen
und der Zugriffskontrolle mitteilen kann. Der intelligente Watchdog überwacht
beispielsweise die Fahrsoftware (Sensor- und Stellerüberwachung),
die Systemebene (Programmablaufkontrolle und Funktionsüberwachung)
sowie die hardwarenahe Ebene (Frage-Antwort-Kommunikation). Sollte ein Fehler auftreten,
der die korrekte Funktionsweise des Controllers beeinträchtigt beziehungsweise
einen Controller-Ausfall verursacht, so erkennt dies der intelligente Watchdog
und kann es der Zugriffskontrolle mitteilen, die daraufhin die entsprechenden
Schritte durchführen
kann.
-
Bei
bevorzugten Ausführungsformen
der erfindungsgemäßen Vorrichtung
ist vorgesehen, dass sie weiterhin zur Ansteuerung einer zweiten
Ventileinrichtung des Getriebestellers vorgesehen ist. Beispielsweise
kann die erste Ventileinrichtung sechs Magnetventile umfassen, von
denen zwei für
eine schnelle Kupplungsbetätigung,
zwei für
den Gang und zwei für
den Split verantwortlich sind. Die zweite Ventileinrichtung kann
eine größere Anzahl
von Magnetventilen umfassen, beispielsweise vierzehn Magnetventile,
die ihrerseits in drei Gruppen unterteilt sein können. In einem solchen Fall
kann die erste Gruppe vier Magnetventile umfassen, zwei für eine langsame
Betätigung
der Kupplung, eines für
den Range (IV) und eines für
die Gasse (IV). Die zweite Gruppe kann dann fünf Magnetventile umfassen,
eines für
den Range (OV), eines für
die Gasse (OV), zwei für
AVG/Gang und eines für
die Getriebebremse. Auch die dritte Gruppe kann in diesem Fall fünf Magnetventile
umfassen, zwei für
den Retarder, zwei für
eine optionale Endstufe und eines für eine Retarder-Entleereinheit. Durch
die Aufteilung der Magnetventile von Range und Gasse auf zwei unterschiedliche
Gruppen kann eine höhere
Verfügbarkeit
sichergestellt werden. Es ist somit beispielsweise möglich, bei
Ausfall eines zur Magnetventilansteuerung vorgesehenen High-Side-Schalters
den Range- oder Gassenzylinder immer noch in eine definierte Lage
zu bringen. Hinsichtlich der ersten Ventil einrichtung wird bevorzugt,
dass allen Magnetventilen separate High-Side-Schalter zugeordnet
sind, über
die sie zu- und abgeschaltet werden. Jeweils zwei Magnetventile
können
dabei durch einen gemeinsamen Low-Side-Schalter auf eine somit abschaltbare
Untergruppe verteilt werden. Dadurch können beispielsweise drei abschaltbare
Untergruppen für
Kupplung, Gang und Split gebildet werden.
-
Beispielsweise
das vorstehend erläuterte Szenario
führt dazu,
dass die erste Ventileinrichtung sicherheitsrelevanter als die zweite
Ventileinrichtung ist. Diese Lösung
ist insbesondere dann vorteilhaft, wenn in der zweiten Ventileinrichtung
Magnetventile untergebracht sind, bei einem Controller-Ausfall oder -Defekt
beispielsweise einfach abgeschaltet werden können.
-
In
diesem Zusammenhang kann die erfindungsgemäße Vorrichtung in vorteilhafter
Weise dadurch weitergebildet sein, dass der Controller zweite Ventilstellungssignale
erzeugen kann, die der zweiten Ventileinrichtung in Form von zweiten
Ventilansteuersignalen direkt zugeführt werden können. Selbstverständlich können auch
geeignete Endstufen beziehungsweise Treiber zwischengeschaltet werden,
falls dies erforderlich sein sollte.
-
Die
erfindungsgemäße Vorrichtung
kann auch so ausgebildet sein, dass sie weiterhin eine Abschalteinrichtung
aufweist, mit der die zweite Ventileinrichtung abgeschaltet werden
kann. Die Abschalteinrichtung kann dabei bei spielsweise vier High-Side-Schalter
umfassen, einen für
jede der oben genannten drei Gruppen und gegebenenfalls einen einer
externen Spannungsversorgung zugeordneten.
-
Im
vorstehend erläuterten
Zusammenhang wird bevorzugt, dass die Zugriffskontrolle die Abschalteinrichtung
betätigen
kann. In diesem Fall kann die Zugriffskontrolle die der ersten Ventileinrichtung zugeordneten
Magnetventile bei Bedarf in eine sichere Stellung bringen und die
der zweiten Ventileinrichtung zugeordneten Magnetventile einfach
abschalten, wenn dies aufgrund irgendeines entsprechenden Defektes
erforderlich sein sollte.
-
Jeder
Getriebesteller, der eine Vorrichtung der vorstehend erläuterten
Art umfasst, fällt
in den Schutzbereich der zugehörigen
Ansprüche.
-
Die
Erfindung wird nun unter Bezugnahme auf die beigefügte Zeichnung
anhand einer bevorzugten Ausführungsform
beispielhaft näher
erläutert.
-
Es
zeigt:
-
1 Ein
Blockschaltbild eines Getriebestellers, der die erfindungsgemäße Vorrichtung
umfasst, wobei nur die für
das Verständnis
der Erfindung wesentlichen Komponenten dargestellt sind.
-
1 zeigt
in Blockschaltbildform einen Getriebestellter 22, wobei
lediglich die für
das Verständnis
der vorliegenden Erfindung erforderlichen Komponenten dargestellt
sind, nämlich
eine Vorrichtung 10 zur elektronischen Ansteuerung einer
ersten Ventileinrichtung 26 und einer zweiten Ventileinrichtung 24.
Die erste Ventileinrichtung 26 kann beispielsweise die
im einleitenden Teil bereits näher
erläuterten sechs
Magnetventile umfassen, die in eine definierte Stellung gebracht
werden müssen,
um einen Fail-Safe-Zustand herzustellen. Die zweite Ventileinrichtung 24 kann
beispielsweise die im einleitenden Teil ebenfalls bereits angesprochenen
vierzehn Magnetventile umfassen, die natürlich ebenfalls wichtig, aber
für die
Sicherheit weniger kritisch sind.
-
Die
erfindungsgemäße Vorrichtung 10 umfasst
einen Controller 12, beispielsweise auf Mikroprozessorbasis.
Weiterhin sind ein intelligenter Watchdog 14 und eine Zugriffskontrolle 16 vorgesehen,
wobei Letzterer einem Datenspeicher 18 zugeordnet ist.
Sowohl der intelligente Watchdog 14 als auch die Zugriffskontrolle 16 können beispielsweise durch
geeignete ASICs verwirklicht werden. Darüber hinaus ist eine Abschalteinrichtung 20 vorgesehen, mit
deren Hilfe zumindest einige der der zweiten Ventileinrichtung 24 zugeordneten
Magnetventile bei Bedarf abgeschaltet werden können und die zu diesem Zweck
beispielsweise geeignete High-Side-Schalter umfassen kann.
-
Der
intelligente Watchdog 14 tauscht mit dem Controller 12 Überwachungssignale 38 aus,
um die einwandfreie Funktion des Controllers 12 überprüfen zu können. Weiterhin
wird dem intelligenten Watchdog 14 ein Controller-OK-Signal 34 zugeführt, das
im dargestellten Fall auch die Zugriffskontrolle 16 erhält, was
jedoch nicht zwingend erforderlich ist. Jedenfalls erzeugt der intelligente
Watchdog 14 ein Controller-Freigabesignal 32,
nachdem der Controller 12 hochgefahren ist und korrekt
arbeitet. In diesem Fall akzeptiert die Zugriffskontrolle 16 die
vom Controller 12 erzeugten ersten Ventilstellungssignale 28 und
schaltet sie in Form von ersten Ventilansteuersignalen 30 zur
Ansteuerung der ersten Ventileinrichtung 26 durch. Gegebenenfalls
kann die Zugriffskontrolle 16 dabei eine Signalanpassung
und/oder -Umsetzung vornehmen, falls dies vorteilhaft erscheint.
Zusammen mit den ersten Ventilstellungssignalen 28 liefert
der Controller 12 Ventilstellungsdaten 36, die
in dem Datenspeicher 18 abgespeichert werden. Die Ventilstellungsdaten 36 können dabei von
den unterschiedlichsten Parametern abhängen, insbesondere von der
Fahr- und Fahrzeugsituation, sowie natürlich auch von den gelieferten
Ventilstellungssignalen.
-
Im
dargestellten Fall erzeugt der Controller 12 weiterhin
zweite Ventilstellungssignale 40, die die Ventilansteuersignale
für die
zweite Ventileinrichtung 24 darstellen. Wurde ein Fehler
erkannt, der die Abschaltung der zweiten Ventileinrichtung 24 erfordert, so
erzeugt die Zugriffskontrolle 16 einen Abschaltbefehl 42,
der von der Ab schalteinrichtung 20 in Form von an die zweite
Ventileinrichtung 24 weitergegebenen Abschaltsignalen 44 umgesetzt
wird.
-
Somit
kann die Zugriffskontrolle 16 beispielsweise bei einem
Ausfall des Controllers 12 die Magnetventile der ersten
Ventileinrichtung 26 auf der Grundlage der in dem Datenspeicher 18 gespeicherten
Ventilstellungsdaten in den sicheren Zustand bringen und die Ventile
der zweiten Ventileinrichtung 24 über den Abschaltbefehl 42 abschalten.
-
Mit
der Zugriffskontrolle 16 kann somit die Steuerung der der
ersten Ventileinrichtung 26 zugeordneten sicherheitsrelevanten
Magnetventile durchgeführt
und abhängig
von der Fahrsituation immer ein sicherer Zustand eingestellt werden,
falls dies aufgrund eines Defektes erforderlich werden sollte. Die
(nicht dargestellte) Spannungsversorgung der Zugriffskontrolle 16 ist
dabei vorzugsweise durch einen separaten Linearregler abgesichert.
Dadurch wird bei Ausfall des (ebenfalls nicht dargstellten) Schaltreglers
oder der Controller-Spannungsversorgung die weitere Funktionsfähigkeit
der Zugriffskontrolle 16 gewährleistet.
-
Wenn
es erforderlich war, die erste Ventileinrichtung 26 in
den sicheren Zustand zu bringen und die zweite Ventileinrichtung 24 abzuschalten,
so wird dieser Zustand vorzugsweise bis zu einem Systemneustart
aufrechterhalten, das heißt
auch nach einem einfachen Controller-Reset erlangt der Controller 12 vorzugsweise
noch keine Berechtigung zur Steuerung der ersten Ventileinrichtung 26 und
der zweiten Ventileinrichtung 24.
-
Auch
wenn Komponenten ausfallen sollten, die die Funktionsweise des Controllers 12 zumindest nicht
direkt beeinflussen, beispielsweise der Watchdog 14 oder
Teile der Spannungsversorgung, kann die Zugriffskontrolle 16 ähnlich reagieren,
wie bei einem Ausfall des Controllers und die zuletzt im Datenspeicher 18 gespeicherten
Ventilstellungsdaten zur Herstellung eines (dann zumindest noch
halbwegs) sicheren Zustands nutzen.
-
Die
in der vorstehenden Beschreibung, in den Zeichnungen sowie in den
Ansprüchen
offenbarten Merkmale der Erfindung können sowohl einzeln als auch
in beliebiger Kombination für
die Verwirklichung der Erfindung wesentlich sein.
-
- 10
- Vorrichtung
zur elektrischen Ansteuerung einer ers- ten Ventileinrichtung
- 12
- Controller
- 14
- Watchdog
- 16
- Zugriffskontrolle
- 18
- Datenspeicher
- 20
- Abschalteinrichtung
- 22
- Getriebesteller
- 24
- zweite
Ventileinrichtung
- 26
- erste
Ventileinrichtung
- 28
- erste
Ventilstellungssignale
- 30
- erste
Ventilansteuersignale
- 32
- Controller-Freigabesignal
- 34
- Controller-OK-Signal
- 36
- Ventilstellungsdaten
- 38
- Überwachungssignale
- 40
- zweite
Ventilstellungssignale/zweite Ventilansteuer- signale
- 42
- Abschaltbefehl
- 44
- Abschaltsignale