DE102012200423A1

DE102012200423A1 - Ansteuermodul für eine elektrische Vakuumpumpe

Info

Publication number: DE102012200423A1
Application number: DE102012200423A
Authority: DE
Inventors: Alexander Kalbeck; Jürgen Schicke; Bernd Pfaffeneder; Michael Irsigler
Original assignee: Continental Automotive GmbH
Current assignee: Continental Automotive GmbH
Priority date: 2011-05-11
Filing date: 2012-01-12
Publication date: 2012-11-15
Also published as: WO2012152886A3; WO2012152886A2; US20140168826A1; CN103648870A; EP2707264A2; CN103648870B; KR20140033112A

Abstract

Die Erfindung betrifft Ansteuermodul (100) für eine elektrische Vakuumpumpe (102) zur Bremskraftverstärkung eines Kraftfahrzeugs, umfassend einen Hauptcontroller (130) und eine Treiberschaltung (126, 128) für den Betrieb der elektrischen Vakuumpumpe (102), wobei die Treiberschaltung (126, 128) einen ersten Schalter (104) und einen zweiten Schalter (110) umfasst, wobei der erste Schalter (104) dazu ausgebildet ist, eine Versorgungsspannung oberhalb eines vordefinierten Spannungsniveaus einer Betriebsspannung der Vakuumpumpe (102) zu schalten, wobei der zweite Schalter dazu ausgebildet ist, eine Versorgungsspannung unterhalb des Spannungsniveaus der Vakuumpumpe (102) zu schalten, wobei der Hauptcontroller (130) dazu ausgebildet ist, den ersten Schalter (104) mittels erster Steuersignale zu steuern und den zweiten Schalter (110) mittels zweiter Steuersignale zu steuern, wobei das Ansteuermodul (100) dazu ausgebildet ist, aufgrund einer aus den ersten oder zweiten Steuersignalen resultierenden ersten Reaktion der elektrischen Vakuumpumpe (102) einen Zustand der elektrischen Vakuumpumpe (102) als eine erste Information zu ermitteln, wobei das Ansteuermodul (100) dazu ausgebildet ist, den Zustand der elektrischen Vakuumpumpe (102) als fehlerfreien oder fehlerhaften Betrieb der elektrischen Vakuumpumpe (102) zu bewerten.

Description

Die Erfindung betrifft ein Ansteuermodul für eine elektrische Vakuumpumpe zur Bremskraftverstärkung eines Kraftfahrzeugs.
Im Stand der Technik werden elektrische Vakuumpumpen, die einer Bremskraftverstärkung bzw. Unterstützung dienen, mittels Relais oder einer separaten Steuereinheit (ECU) angesteuert. Diese Relais oder separaten Steuereinheiten versorgen die elektrische Vakuumpumpe mit der jeweiligen Bordspannung des Kraftfahrzeugs. Bisher wird eine elektrische Vakuumpumpe mittels einem oder zweier Relais ein- bzw. ausgeschaltet. Bisherige Relais bzw. Steuereinheiten beschränken ihre Funktion lediglich auf den Betrieb einer elektrischen Vakuumpumpe.
Eine elektrische Vakuumpumpe eines Kraftfahrzeugs kann – in Abhängigkeit von der jeweiligen Systemauslegung – zu den sicherheitsrelevanten Systemen im Sinne der ISO Norm 26262 gehören. Gemäß dieser Norm ist ein System sicherheitsrelevant, wenn eine Fehlfunktion im System im Regelfall zu einer unmittelbaren Gefahr für Leib und Leben von Verkehrsteilnehmern führen kann. Daher wäre es relevant, wenn die die elektrische Vakuumpumpe steuernde Steuereinheit einen Zustand bezüglich des Betriebs der elektrischen Vakuumpumpe erkennen könnte sowie einen potenziellen Fehler und/oder einen potenziellen Ausfall der elektrischen Vakuumpumpe diagnostizieren könnte.
Der Erfindung liegt somit die Aufgabe zugrunde, ein verbessertes Ansteuermodul für eine elektrische Vakuumpumpe zur Bremskraftverstärkung eines Kraftfahrzeugs zu schaffen.
Die der Erfindung zugrunde liegende Aufgabe wird mit den Merkmalen des unabhängigen Patentanspruchs gelöst. Bevorzugte Ausführungsformen der Erfindung sind in den abhängigen Patentansprüchen angegeben.
Es wird ein Ansteuermodul für eine elektrische Vakuumpumpe zur Bremskraftverstärkung eines Kraftfahrzeugs geschaffen, umfassend einen Hauptcontroller und eine Treiberschaltung für den Betrieb der elektrischen Vakuumpumpe, wobei die Treiberschaltung einen ersten Schalter und einen zweiten Schalter umfasst, wobei der erste Schalter dazu ausgebildet ist, eine Versorgungsspannung oberhalb eines vordefinierten Spannungsniveaus einer Betriebsspannung der Vakuumpumpe zu schalten, wobei der zweite Schalter dazu ausgebildet ist, eine Versorgungsspannung unterhalb des Spannungsniveaus der Vakuumpumpe zu schalten, wobei der Hauptcontroller dazu ausgebildet ist, den ersten Schalter mittels erster Steuersignale zu steuern und den zweiten Schalter mittels zweiter Steuersignale zu steuern, wobei das Ansteuermodul dazu ausgebildet ist, aufgrund einer aus dem ersten oder zweiten Steuersignal resultierenden ersten Reaktion der elektrischen Vakuumpumpe einen Zustand der elektrischen Vakuumpumpe als eine erste Information zu ermitteln, wobei das Ansteuermodul dazu ausgebildet ist, den Zustand der elektrischen Vakuumpumpe als fehlerfreien oder fehlerhaften Betrieb der elektrischen Vakuumpumpe zu bewerten.
Dies kann den Vorteil haben, dass die funktionale Sicherheit der elektrischen Vakuumpumpe wesentlich erhöht wird. Fehlfunktionen werden zeitnah von dem Ansteuermodul erkannt. Das Risiko, das durch eine Fehlfunktion bzw. einen Ausfall der elektrischen Vakuumpumpe, welche ein sicherheitsrelevantes System im Sinne der ISO Norm 26262 darstellt, wird signifikant erniedrigt. Durch die Fähigkeit des Ansteuermoduls zur Diagnostizierung eines fehlerhaften Betriebs der elektrischen Vakuumpumpe wird die Wahrscheinlichkeit des Auftretens einer Gefahr bringenden Situation, welche Leib und Leben von Verkehrsteilnehmern gefährden könnte, deutlich reduziert.
Dabei könnte der erste Schalter als ein High-Side-Schalter und der zweite Schalter als ein Ein Low-Side-Schalter ausgebildet sein. Ein High-Side-Schalter ist ein Feldeffekttransistor (engl. Field Effect Transistor – FET), welcher eine Last an die Versorgungsspannung schaltet. Ein Low-Side-Schalter ist ebenfalls ein FET und schaltet eine Last gegen Masse.
Ein Feldeffekttransistor (FET) ist ein Bauelement, das im Gegensatz zum Bipolartransistor (engl. Bipolar Junction Transistor, BJT) mit Spannung und nicht mit Strom gesteuert wird. Unterschieden werden

– MOSFET = engl. Metall Oxide Semiconductor Field Effect Transistor; Metalloxidschicht-FET, größte Teilgruppe der FETs mit isoliertem Gate
– JFET = engl. Junction Field Effect Transistor, Übergangszonen FET, der steuerbare Kanal wird durch einen PN-Übergang wie in einer Diode gebildet

Der FET verfügt über drei Anschlüsse:

– Source (englisch für „Quelle“, „Zufluss“),
– Gate (englisch für „Tor“, „Gatter“),
– Drain (englisch für „Senke“, „Abfluss“).

Vorteile der Ausführungsform des ersten und des zweiten Schalters als FET wären:

– meist niedrigere Verluste als bei Bipolartransistoren;
– sehr schnelles Schalten möglich, daher für sehr hohe Frequenzen geeignet (keine Speicherzeit wie beim BJT);
– einfaches Parallelschalten im Schaltbetrieb, da Unterschiede durch den positiven Temperaturkoeffizienten ausgeglichen werden;
– leistungslose Ansteuerung im statischen Fall, jedoch hohe Umladeverluste am Gate;
– oft preiswerter als vergleichbare Bipolartransistoren (BJT);
– relativ unempfindlich gegen Überspannung zwischen Drain und Source. Bei Überschreitung der Maximalspannung zwischen Drain und Source findet ein sogenannter "Durchbruch" statt. Dies ist vergleichbar mit dem Zener-Effekt. Ist die Energiemenge begrenzt, ist dieser Durchbruch reversibel und der FET wird NICHT zerstört, im Gegensatz zum BJT.

Dabei bezeichnet der Zener-Effekt das Auftreten eines Stroms (Zener-Strom) in Sperrrichtung bei einer hoch dotierten Halbleitersperrschicht durch freie Ladungsträger.
Nach einer Ausführungsform der Erfindung ist das Ansteuermodul dazu ausgebildet, aufgrund der aus den ersten oder zweiten Steuersignalen resultierenden ersten Reaktion der elektrischen Vakuumpumpe Betriebsparameter der elektrischen Vakuumpumpe als eine zweite Information zu ermitteln, wobei die Betriebsparameter umfassen:

– das Spannungsniveau der elektrischen Vakuumpumpe,
– die Größe eines elektrischen Stroms, welchen die elektrische Vakuumpumpe aufnimmt,
– die Temperatur des ersten Schalters, und/oder
– die Temperatur des zweiten Schalters.

Dies kann den Vorteil haben, dass die Betriebsparameter der elektrischen Vakuumpumpe kontinuierlich von dem Ansteuermodul überwacht werden. Sollten die vorherrschenden Betriebsparameter von vordefinierten Sollwerten der Betriebsparameter abweichen, so ist das Ansteuermodul darüber informiert, dass es zu einer Fehlfunktion der elektrischen Vakuumpumpe kommen könnte.
Dabei wird die Größe von den jeweils vorherrschenden Betriebsparametern mittels direkter Ansteuerung der Komponenten der Treiberschaltung und aus deren Reaktion ermittelt, so dass Inputsignale, welche die Steuerbefehle an die jeweilige Komponente präsentieren, mit Outputsignalen, welche die Reaktion der jeweiligen Komponente präsentieren, abgeglichen werden können. Mittels eines Soll-/Ist-Vergleichs können somit Abweichungen der Betriebsparameter der Komponenten der Treiberschaltung sowie der elektrischen Vakuumpumpe ständig von dem Ansteuermodul festgestellt werden.
Nach einer Ausführungsform der Erfindung ist der Hauptcontroller dazu ausgebildet, die erste Information und die zweite Information für eine erste Auswertung zu verwerten und als ein Ergebnis dieser ersten Auswertung eine dritte Information bereitzustellen, wobei die dritte Information angibt, ob ein fehlerhafter Betrieb der elektrischen Vakuumpumpe vorliegt, wobei der fehlerhafte Betrieb umfasst:

– eine Überlast in der Treiberschaltung,
– eine Über- oder Unterspannung in der Treiberschaltung,
– eine Blockierung der elektrischen Vakuumpumpe,
– einen Fehler in der Treiberschaltung des Ansteuermoduls und/oder
– einen offenen oder kurzgeschlossenen Zustand einer Versorgungsleitung zur elektrischen Vakuumpumpe.

Dies kann den Vorteil haben, dass das Ansteuermodul nach einer initialen Bewertung von fehlerhaften Zuständen in der Treiberschaltung, wie zum Beispiel das Vorliegen einer Überlast und/oder eine Über- und/oder Unterspannung in der Treiberschaltung, eines fehlerhaften mechanischen Zustands der elektrischen Vakuumpumpe, eines Fehlers in der Treiberschaltung des Ansteuermoduls und/oder einen offenen, d.h. unterbrochenen, oder einen (gegen Masse) kurzgeschlossenen Zustand einer Versorgungsleitung zur elektrischen Vakuumpumpe, wobei die elektrische Vakuumpumpe gegen Masse angeschlossen ist, und anschließender Risikoabschätzung ermitteln könnte, ob ein fehlerhafter Betrieb der elektrischen Vakuumpumpe vorliegt. Das Ergebnis dieser Ermittlung würde dann als eine abrufbare Information zur Verfügung stehen. Diese Information einer Klassifizierung von Sollzuständen von Betriebsparametern der Treiberschaltung und/oder der elektrischen Vakuumpumpe als einen fehlerhaften Betrieb der elektrischen Vakuumpumpe könnte von anderen Kontrolleinheiten des Kraftfahrzeugs empfangen werden und dort weiterverarbeitet werden.
Nach einer Ausführungsform der Erfindung ist der Hauptcontroller ferner dazu ausgebildet, die erste und/oder die zweite Information zu empfangen.
Dies kann den Vorteil haben, dass der Hauptcontroller auf Ebene der Betriebsparameter der Treiberschaltung und/oder der elektrischen Vakuumpumpe erste regulative Gegenmaßnahmen einleiten könnte. Würde der Hauptcontroller beispielsweise die Information erhalten, dass die in der elektrischen Vakuumpumpe vorherrschende Stromstärke zu hoch ist, so könnte der Hauptcontroller beispielsweise den Einschaltstrom begrenzen. Würde der Hauptcontroller die Information erhalten, dass die elektrische Vakuumpumpe blockiert ist, so könnte der Hauptcontroller nach einer Einschätzung als Risiko die elektrische Vakuumpumpe abschalten. Nach einer internen Gefährdungsanalyse und Risikoabschätzung von detektierten Abweichungen von Betriebsparametern der Treiberschaltung und/oder der elektrischen Vakuumpumpe könnte der Hauptcontroller somit auf Ebene der Treiberschaltung und/oder der elektrischen Vakuumpumpe erste regulative Maßnahmen zur Beseitigung von Fehlfunktionen der Komponenten der Treiberschaltung und/oder der elektrischen Vakuumpumpe vornehmen.
Nach einer Ausführungsform der Erfindung ist der Hauptcontroller dazu ausgebildet, geeignete Gegenmaßnahmen einzuleiten, im Falle, dass die dritte Information umfasst, dass der Betrieb der elektrischen Vakuumpumpe fehlerhaft ist, wobei die Gegenmaßnahmen umfassen:

– ein Abschalten der elektrischen Vakuumpumpe und/oder
– eine Begrenzung der Größe des elektrischen Stroms, welcher der Vakuumpumpe zur Verfügung gestellt wird.

Das Ansteuermodul verfügt somit in vorteilhafter Weise über die Fähigkeit, die Treiberschaltung und/oder die elektrische Vakuumpumpe bei Auftreten einer Fehlfunktion selbst zu regulieren. Eine Eskalation der gefährdenden Situation wird somit vermieden. Dadurch, dass das Ansteuermodul eine Information über das Vorliegen einer Fehlfunktion bzw. eines Ausfalls der elektrischen Vakuumpumpe für andere Kontrolleinheiten des Kraftfahrzeugs zur Verfügung stellt, können diese Kontrolleinheiten andersartige Maßnahmen zur Kompensation des Ausfalls der Bremskraftverstärkung einleiten. Zum Beispiel könnte eine andere Kontrolleinheit ein hydraulisch betriebenes Bremssystem initiieren. Das Risiko eines Auftretens einer das Leben gefährdenden Gefahrsituation während des Fahrens wird somit wesentlich verringert.
Nach einer Ausführungsform der Erfindung ist das Ansteuermodul ferner dazu ausgebildet, erste Anforderungssignale zur Pumpaktivierung der elektrischen Vakuumpumpe zu empfangen und zweite Anforderungssignale zu Aktivierung des Hauptcontrollers zu empfangen.
Dies kann den Vorteil haben, dass durch die ersten Anforderungssignale zur Pumpaktivierung Soll-Signale bezüglich einer Soll-Aktivität der elektrischen Pumpe zur Verfügung stehen, welche in einem folgenden Abgleich mit Ist-Signalen, welche den tatsächlichen Zustand der elektrischen Vakuumpumpe widerspiegeln, vorgenommen werden kann. Ferner wird in vorteilhafter Weise gewährleistet, dass der Hauptcontroller aktiv ist, wenn die elektrische Vakuumpumpe aktiv ist, sodass der Hauptcontroller während des Betriebs der elektrischen Vakuumpumpe eine ständige Überwachungsfunktion ausüben könnte.
Nach einer Ausführungsform der Erfindung ist das Ansteuermodul dazu ausgebildet, aufgrund einer aus den ersten oder zweiten Anforderungssignalen resultierenden Reaktion des Hauptcontrollers und/oder aufgrund der aus den ersten oder zweiten Steuersignalen resultierenden ersten Reaktion der elektrischen Vakuumpumpe einen Zustand des Ansteuermoduls als eine vierte Information zu ermitteln.
Dies kann den Vorteil haben, dass auch der Betrieb des Ansteuermoduls selbst ständig einer Sicherheitsüberwachung unterliegt. Das Ansteuermodul unterliegt somit selbst einer kontinuierlichen Funktionsüberwachung, wodurch gewährleistet ist, dass eine Sicherheitsüberprüfung des Betriebs der elektrischen Vakuumpumpe, welches als ein sicherheitsrelevantes System zu klassifizieren ist, tatsächlich auch durchgeführt wird. Dieser Mechanismus der Funktionsüberwachung der Sicherheitsüberwachung ermöglicht Einhaltung von Sicherheitsanforderungen der ASIL-Klasse C (Automotive Safety Integrity Level). Der Grad der Zuverlässigkeit im Sinne der ISO Norm 26262 wird somit erhöht.
Nach einer Ausführungsform der Erfindung ist das Ansteuermodul dazu ausgebildet, die erste, die zweite, die dritte und/oder die vierte Information für eine zweite Auswertung zu verwerten und als ein Ergebnis dieser zweiten Auswertung als eine fünfte Information bereitzustellen, wobei die fünfte Information angibt, ob ein fehlerhafter Betrieb in einer Ansteuerung der elektrischen Vakuumpumpe vorliegt, wobei der erste und der zweite Schalter dazu ausgebildet sind, die Ansteuerung der elektrischen Vakuumpumpe durchzuführen.
Dies hat den Vorteil, dass der Betrieb der elektrischen Vakuumpumpe durch eine Auswertung der Interaktion zwischen ansteuernden Komponenten und den die Steuerbefehle ausführenden Komponenten eine ständige Funktionsüberwachung erfährt. Dies erhöht wiederum die Zuverlässigkeit der Sicherheitsüberwachung der elektrischen Vakuumpumpe und grenzt gleichzeitig einen fehlerhaften Betrieb des Ansteuermoduls auf einen fehlerhaften Betrieb des Hauptcontrollers ein.
Nach einer Ausführungsform der Erfindung umfasst das Ansteuermodul ferner einen Safety Controller, wobei der Safety Controller dazu ausgebildet ist, die fünfte Information zu empfangen, und im Fall, dass die zweite Auswertung ergab, dass der Betrieb des Hauptcontrollers fehlerhaft ist, die elektrische Vakuumpumpe zu deaktivieren und Maßnahmen zur Kompensation der ausgefallenen elektrischen Vakuumpumpe einzuleiten, wobei der Safety Controller dazu ausgebildet ist, die Deaktivierung der elektrischen Vakuumpumpe und die Einleitung der Maßnahmen zur Kompensation der ausgefallenen elektrischen Vakuumpumpe bezüglich der Bremskraftverstärkung als eine sechste Information bereitzustellen.
Dies kann den Vorteil haben, dass bei einem fehlerhaften Betrieb des Hauptcontrollers ein externer Safety Controller, welcher die Funktionsüberwachung der Sicherheitsüberwachung der elektrischen Vakuumpumpe durch den Hauptcontroller durchführt, diese Sicherheitsüberwachung von dem Safety Controller übernommen werden könnte. Ein solcher Safety Controller könnte somit eine Backup-Funktionalität bezüglich der Sicherheitsüberwachung der elektrischen Vakuumpumpe durch den Hauptcontroller ausüben. Selbst bei einer Detektion eines fehlerhaften Betriebs der Vakuumpumpe durch den Safety Controller selbst, könnte der Safety Controller selbst dazu ausgebildet sein, die elektrische Vakuumpumpe nach einer Gefährdungsanalyse und Risikoabschätzung zu deaktivieren und/oder geeignete Maßnahmen zur Kompensation eines Ausfalls der elektrischen Vakuumpumpe zur Wiederherstellung einer alternativen Methode einer Bremskraftverstärkung einleiten. Die Zuverlässigkeit der Sicherheitsüberwachung des sicherheitsrelevanten Systems, der elektrischen Vakuumpumpe, könnte somit signifikant erhöht werden. Höchste Sicherheitsanforderungen der Klasse ASIL C könnten dadurch realisiert werden.
In diesem Kontext ist ein Safety Controller ein Microcontroller mit speziellen integrierten Hardware- und Softwarefunktionen zur Überwachung und Steuerung eines anderen Microcontrollers, hier des Hauptcontrollers des Ansteuermoduls eines sicherheitsrelevanten Systems.
Nach einer Ausführungsform der Erfindung ist der Hauptcontroller dazu ausgebildet, die erste, die zweite, die dritte, die vierte und/oder die fünfte Information an eine logische Kontrolleinheit des Kraftfahrzeugs zu senden, und der Safety Controller dazu ausgebildet ist, die sechste Information an die logische Kontrolleinheit des Kraftfahrzeugs zu senden.
Dies kann den Vorteil haben, dass andere Kontrolleinheiten des Kraftfahrzeugs in redundanter und damit in gesicherter Weise mittels zweier verschiedener logischer Informationssignale kontinuierlich über einen fehlerhaften Betrieb des sicherheitsrelevanten Systems und/oder der elektrischen Vakuumpumpe informiert werden könnten. Die Wahrscheinlichkeit, dass an diese anderen Kontrolleinheiten des Kraftfahrzeugs verlässliche Informationen über den Zustand des sicherheitsrelevanten Systems, zum Beispiel der elektrischen Vakuumpumpe, erhalten wird somit erhöht. Die Wahrscheinlichkeit von Fehlinformationen, durch welche unnötige und vielleicht sogar gefährdende Maßnahmen eingeleitet werden könnten, wird dadurch reduziert. Die Fahrsicherheit wird somit erhöht.
Nach einer Ausführungsform der Erfindung sind das Ansteuermodul und/oder der Safety Controller dazu ausgebildet, die ersten Steuersignale, die zweiten Steuersignale, die erste, die zweite, die dritte, die vierte, die fünfte, die sechste Information, die ersten und/oder die zweiten Anforderungssignale als ein binäres Signal codiert zu senden.
Dies kann den Vorteil haben, dass eine hohe Kompatibilität bezüglich der Schnittstellen für eine Übertragung von Informationen in einem binären Format gegeben wäre. In einfacher Weise können Informationen bezüglich des Betriebszustandes der elektrischen Vakuumpumpe, bezüglich der Betriebsparameter der elektrischen Vakuumpumpe, bezüglich eines Vorliegens eines fehlerhaften Betriebs der elektrischen Vakuumpumpe, bezüglich eines Zustandes des Ansteuermoduls, und/oder bezüglich eines fehlerhaften Betriebs des Hauptcontrollers an andere Kontrolleinheiten des Kraftfahrzeugs weitergegeben werden. Zur Erhöhung der Variationsbreite des Informationsgehalts und der Sicherheit kann bei der Codierung als binäres Signal nicht nur auf zwei Werte abgestellt werden, sondern auch ein Wechsel zwischen diesen beiden Zuständen in zeitlicher Variation als eine Information definiert werden.
So könnte beispielsweise ein Anforderungssignal in der Form eines Informationssignals mit hoher Frequenz eines Wechsels zwischen den Pegelwerten 0 und 1 bedeuten, dass eine Aktivität der elektrischen Vakuumpumpe angefordert wird. Eine geringere Frequenz des Wechsels zwischen den Pegelwerten 0 und 1 bei einem Anforderungssignal könnten hingegen bedeuten, dass eine Beendigung der Aktivität der elektrischen Vakuumpumpe angefordert wird. Als ein indizierendes Outputsignal, dass die elektrische Vakuumpumpe aktiv ist, könnte ein Informationssignal mit niedriger Frequenz eines Wechsels zwischen den Pegelwerten 0 und 1 fungieren. Dass die elektrische Vakuumpumpe nicht mehr aktiv ist, könnte durch ein Informationssignal mit hoher Frequenz eines Wechsels zwischen den Pegelwerten 0 und 1 indiziert werden. Bei den zur Rückmeldung über die Umsetzung der jeweiligen Anforderung dienenden Informationssignalen könnten somit jeweils „gegenteilige“ Frequenzen (hoch/niedrig) des Signalwechsels zwischen den Pegelwerten 0 und 1 verwendet werden.
Die dadurch erzielte Informationsbreite und erhöhte Möglichkeit zur Differenzierung der Informationssignale erhöht die Zuverlässigkeit des Überwachungssystems und erhöht die Wahrscheinlichkeit, z.B. einen Kurzschluss in der Treiberschaltung, einen Batterieausfall, einen Ausfall eines Steuergeräts, und/oder andere fehlerhafte Betriebszustände z.B. der elektrischen Vakuumpumpe zu detektieren. Die Sicherheit beim Fahren des Kraftfahrzeugs wird somit erhöht.
Im Folgenden werden bevorzugte Ausführungsformen der Erfindung anhand der folgenden Zeichnungen näher erläutert.
Es zeigen:
1 ein Blockdiagramm mit Ansteuermodul zur Steuerung und Überwachung einer elektrischen Vakuumpumpe,
2 einen zeitlicher Verlauf eines Anforderungssignals zur Ansteuerung der elektrischen Vakuumpumpe und einen zeitlichen Verlauf eines Outputsignals des Hauptcontrollers mit Information bezüglich eines tatsächlichen Zustandes der elektrischen Vakuumpumpe und des Ansteuermoduls.
Die 1 zeigt ein Blockdiagramm mit einem Ansteuermodul 100 zur Steuerung und Überwachung einer elektrischen Vakuumpumpe 102 eines Kraftfahrzeugs. Von einer Kontrolleinheit 132 des Kraftfahrzeugs erhält das Ansteuermodul 100 erste Anforderungssignale 122 zur Initiierung einer Pumpaktivität. Das Ansteuermodul 100 bzw. der Hauptcontroller 130 sollten durch einen konstant gehaltenen Pegel eines Aktivierungssignals 116 schon in einem aktiven Zustand empfangs- und steuerbereit sein. Der Hauptcontroller 130 sendet daraufhin erste Steuerungssignale 108 an den ersten Schalter 104, welcher zum Beispiel als ein High-Side-Schalter ausgebildet sein kann. Der Hauptcontroller 130 sendet zweite Steuerungssignale 110 an den zweiten Schalter 106, welcher zum Beispiel als ein Low-Side-Schalter ausgebildet sein könnte. Dabei ist der erste Schalter 104 dazu ausgebildet, eine Versorgungsspannung oberhalb eines vordefinierten Spannungsniveaus einer Betriebsspannung der Vakuumpumpe 102 zu schalten. Der zweite Schalter 106 ist dazu ausgebildet, eine Versorgungsspannung unterhalb des Spannungsniveaus der Vakuumpumpe 102 zu schalten.
Sogenannte High-Side-Schalter oder High Side Switches schalten die positive Betriebsspannung, können jedoch dennoch mit einem massebezogenen Signal gesteuert werden.
In im Stand der Technik bekannten Ausführungsformen übernehmen Low-Side-Schalter oder Low Side Switches zusätzliche Schutzund Überwachungsfunktionen. Bei den hier beschriebenen Ausführungsformen der Erfindung wird diese Schutz- und Überwachungsfunktion bereits durch den Hauptcontroller übernommen, so dass der Low-Side-Schalter oder der Low Side Schalter in dieser Hinsicht hier nicht unterstützend wirken müssten.
Der Hauptcontroller 130 ist dazu ausgebildet, durch Auswertung der Reaktion der Komponenten der Treiberschaltung 126 und 128 einen Zustand der elektrischen Vakuumpumpe 102 sowie des ersten Schalters 104 und des zweiten Schalters 106 zu ermitteln. Durch eine Auswertung der ermittelten Betriebsparameter und der jeweiligen Zustände der Komponenten der Treiberschaltung erfolgt eine Diagnose, ob ein fehlerhafter Betriebszustand der elektrischen Vakuumpumpe 102 und/oder des ersten Schalters 104 bzw. des zweiten Schalters 106 vorliegt. Diese Diagnose 112 bezüglich des Pumpenmotors könnte der Hauptcontroller 130 empfangen und weiterverarbeiten. Beispielsweise könnte der Hauptcontroller 130 eine Information über den Betriebszustand des zweiten Schalters 106, bezüglich einer Diagnose, ob die Vakuumpumpe fehlerfrei oder fehlerhaft läuft, und/oder bezüglich einer Information, ob das Ansteuermodul einen fehlerfreien oder fehlerhaften Betrieb aufweist, an die externe Kontrolleinheit 132 als ein binäres Signal 120 übermitteln.
In einer Ausführungsform der Erfindung könnte das Ansteuermodul beispielsweise einen Low-Side-Schalter und einen High-Side-Schalter aufweisen. Durch ein intelligentes Durchschalten der Endstufen dieser beiden Schalter und durch ein gleichzeitiges Zurückmessen der Spannung und Ströme innerhalb der Treiberschaltung könnte der Hauptcontroller Zustände der elektrischen Vakuumpumpe 102, insbesondere des Motors der Vakuumpumpe, der Leitungen 126 und 128 der Treiberschaltung sowie des Ansteuermoduls erkennen. So könnte das Ansteuermodul beispielsweise eine Überlast in der Treiberschaltung, eine Überoder Unterspannung in der Treiberschaltung, eine Blockierung der elektrischen Vakuumpumpe und/oder einen sonstigen Fehler in den Zuleitungen 126 und 128 der Treiberschaltung detektieren. Nach einer Gefährdungsanalyse und Risikoabschätzung durch den Hauptcontroller 130 wird der Hauptcontroller 130 entsprechende regulative Maßnahmen einleiten, wie zum Beispiel das Abschalten der elektrischen Vakuumpumpe 102 bei Vorliegen einer Überlast in der Treiberschaltung, beim Vorliegen einer Über- oder Unterspannung in der Treiberschaltung oder bei einer Erkennung, dass die elektrische Vakuumpumpe blockiert ist. Würde der Hauptcontroller 130 beispielsweise einen Fehler in dem Zuleitungssystem der Treiberschaltung 126, 128 detektieren, so könnte der Hauptcontroller nach einer Gefährdungsanalyse und Risikoabschätzung die elektrische Vakuumpumpe 102 optional abschalten. Beim Detektieren einer zu hohen Stromstärke innerhalb der elektrischen Vakuumpumpe 102 könnte der Hauptcontroller 130 den Einschaltstrom begrenzen.
Durch eine Standardisierung der Schnittstelle zum Ansteuermodul sowie durch eine Konfiguration für verschiedene Pumpen könnte ein einheitliches und kostengünstiges Ansteuermodul für alle Pumpenanwendungen in einem Kraftfahrzeug verwendet werden.
Bei einer möglichen Verwendung eines zusätzlichen Safety Controllers, welcher nicht in der 1 dargestellt ist, könnte die Sicherheitsüberwachung der elektrischen Vakuumpumpe 102 durch das Ansteuermodul 100 hinsichtlich seiner Funktion ständig überwacht werden. Bei einem Ausfall der Sicherheitsüberwachung der elektrischen Vakuumpumpe 102 durch das Ansteuermodul 100 könnte dieser Safety Controller diese Sicherheitsüberwachungsfunktion übernehmen. Bei einem Ausfall oder fehlerhaften Betrieb des Ansteuermoduls 100 könnte zum Beispiel der Fall einer „permanent laufenden Pumpe“ zuverlässig verhindert werden. Wie das Ansteuermodul 100 könnte der Safety Controller ebenso regulative Gegenmaßnahmen bei einem fehlerhaften Betrieb der elektrischen Vakuumpumpe 102 einleiten. 2 zeigt im oberen Bereich einen zeitlichen Verlauf von Anforderungssignalen 122 (IN_High) zur Aktivierung bzw. Deaktivierung der elektrischen Vakuumpumpe 102 bei gleichzeitiger Aktivierung des Ansteuermoduls 100.
Im unteren Bereich der 2 wird ein zeitlicher Verlauf eines Outputsignals (OUT_DIAG) des Ansteuermoduls 100 gezeigt, wobei als binäre Signale und/oder eine zeitliche Sequenz von binären Signalen codiert ist eine Information bezüglich:

– der Betriebsphasen der elektrischen Vakuumpumpe 102,
– einer ersten Auswertung, ob der Betrieb der elektrischen Vakuumpumpe 102 fehlerfrei oder fehlerhaft ist,
– einer zweiten Auswertung, ob das Ansteuermodul 100 einen fehlerfreien oder fehlerhaften Betrieb aufweist.

Durch die Outputsignale 120 (OUT_DIAG), dargestellt im unteren Bereich der 2, werden einer externen Kontrolleinheit eines Kraftfahrzeugs entscheidungsrelevante Informationen zur Verfügung gestellt, ob eventuell Gegenmaßnahmen bezüglich des Ausfalls beispielsweise der elektrischen Vakuumpumpe, einzuleiten sind. Gleichzeitig könnten solche Outputsignale Basis für eine Informationsvermittlung an den Fahrzeugführer des Kraftfahrzeugs darstellen, indem diese Outputsignale in eine für den Fahrzeugführer interpretierbaren Darstellungsform transformiert werden würden.
Wie in 2 dargestellt, könnte beispielsweise ein Anforderungssignal (IN_High) in der Form eines Informationssignals mit hoher Frequenz eines Wechsels zwischen den Pegelwerten 0 und 1 bedeuten, dass eine Aktivität der elektrischen Vakuumpumpe angefordert wird (Request Pump on). Eine geringere Frequenz des Wechsels zwischen den Pegelwerten 0 und 1 bei einem Anforderungssignal könnten hingegen bedeuten, dass eine Beendigung der Aktivität der elektrischen Vakuumpumpe angefordert wird (Request Pump off). Als ein indizierendes Outputsignal (OUT_DIAG), dass die elektrische Vakuumpumpe aktiv ist, könnte ein Informationssignal mit niedriger Frequenz eines Wechsels zwischen den Pegelwerten 0 und 1 fungieren (Pump on). Dass die elektrische Vakuumpumpe nicht mehr aktiv ist, könnte durch ein Informationssignal mit hoher Frequenz eines Wechsels zwischen den Pegelwerten 0 und 1 indiziert werden (Pump off). Bei den zur Rückmeldung über die Umsetzung der jeweiligen Anforderung (IN_High) dienenden Informationssignalen (OUT_DIAG) könnten somit jeweils „gegenteilige“ Frequenzen (hoch/niedrig) des Signalwechsels zwischen den Pegelwerten 0 und 1 verwendet werden.
Die dadurch erzielte Erhöhung der Informationsbreite und geschaffene Möglichkeit zur Differenzierung der Informationssignale erhöht die Zuverlässigkeit des Überwachungssystems und erhöht die Wahrscheinlichkeit, z.B. einen Kurzschluss in der Treiberschaltung, einen Batterieausfall, einen Ausfall eines Steuergeräts, und/oder andere fehlerhafte Betriebszustände z.B. der elektrischen Vakuumpumpe zu detektieren. Die Sicherheit beim Fahren des Kraftfahrzeugs wird somit erhöht.
Das beschriebene Ansteuermodul 100 könnte somit auf System-Ebene, Hardware- und Software-Ebene, die von der ISO Norm 26262 geforderten Sicherheitsvorkehrungen für eine verlässliche Sicherheits- und Funktionsüberwachung eines sicherheitsrelevanten Systems, wie zum Beispiel der elektrischen Vakuumpumpe, gewährleisten.
Bezugszeichenliste

100: Ansteuermodul
102: elektrische Vakuumpumpe
104: erster Schalter
106: zweiter Schalter
108: erste Steuerleitung
110: zweite Steuerleitung
112: Leitung zur Diagnoseübermittlung
114: erste Ansteuerungsleitung
116: zweite Ansteuerungsleitung
118: Leitung zur Übermittlung von Informationen an eine externe Kontrolleinheit
120: Outputsignal mit Diagnose
122: Anforderungssignal
124: Anforderungssignal
126: Treiberschaltung
128: Treiberschaltung
130: Hauptcontroller
132: Kontrolleinheit

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

ISO Norm 26262 [0003]
ISO Norm 26262 [0007]
ISO Norm 26262 [0025]
ISO Norm 26262 [0052]

Claims

Ansteuermodul (100) für eine elektrische Vakuumpumpe (102) zur Bremskraftverstärkung eines Kraftfahrzeugs, umfassend einen Hauptcontroller (130) und eine Treiberschaltung (126, 128) für den Betrieb der elektrischen Vakuumpumpe (102), wobei die Treiberschaltung (126, 128) einen ersten Schalter (104) und einen zweiten Schalter (110) umfasst, wobei der erste Schalter (104) dazu ausgebildet ist, eine Versorgungsspannung oberhalb eines vordefinierten Spannungsniveaus einer Betriebsspannung der Vakuumpumpe (102) zu schalten, wobei der zweite Schalter dazu ausgebildet ist, eine Versorgungsspannung unterhalb des Spannungsniveaus der Vakuumpumpe (102) zu schalten, wobei der Hauptcontroller (130) dazu ausgebildet ist, den ersten Schalter (104) mittels erster Steuersignale zu steuern und den zweiten Schalter (110) mittels zweiter Steuersignale zu steuern, wobei das Ansteuermodul (100) dazu ausgebildet ist, aufgrund einer aus den ersten oder zweiten Steuersignalen resultierenden ersten Reaktion der elektrischen Vakuumpumpe (102) einen Zustand der elektrischen Vakuumpumpe (102) als eine erste Information zu ermitteln, wobei das Ansteuermodul (100) dazu ausgebildet ist, den Zustand der elektrischen Vakuumpumpe (102) als fehlerfreien oder fehlerhaften Betrieb der elektrischen Vakuumpumpe (102) zu bewerten.
Ansteuermodul (100) nach Anspruch 1, wobei das Ansteuermodul (100) dazu ausgebildet ist, aufgrund der aus den ersten oder zweiten Steuersignalen resultierenden ersten Reaktion der elektrischen Vakuumpumpe (102) Betriebsparameter der elektrischen Vakuumpumpe (102) als eine zweite Information zu ermitteln, wobei die Betriebsparameter umfassen: – das Spannungsniveau der elektrischen Vakuumpumpe (102), – die Größe eines elektrischen Stroms, welchen die elektrische Vakuumpumpe (102) aufnimmt, – die Temperatur des ersten Schalters, und/oder – die Temperatur des zweiten Schalters.
Ansteuermodul (100) nach Anspruch 2, wobei der Hauptcontroller (130) dazu ausgebildet ist, die erste Information und die zweite Information für eine erste Auswertung zu verwerten und als ein Ergebnis dieser ersten Auswertung als eine dritte Information bereitzustellen, wobei die dritte Information angibt, ob ein fehlerhafter Betrieb der elektrischen Vakuumpumpe (102) vorliegt, wobei der fehlerhafte Betrieb umfasst: – eine Überlast in der Treiberschaltung (126, 128), – eine Über- oder Unterspannung in der Treiberschaltung (126, 128), – eine Blockierung der elektrischen Vakuumpumpe (102), – einen Fehler in der Treiberschaltung (126, 128) des Ansteuermoduls (100) und/oder einen offenen oder kurzgeschlossenen Zustand einer Versorgungsleitung zur elektrischen Vakuumpumpe (126, 128).
Ansteuermodul (100) nach einem der vorhergehenden Ansprüche 1 bis 3, wobei der Hauptcontroller (130) ferner dazu ausgebildet ist, die erste Information und/oder die zweite Information zu empfangen.
Ansteuermodul (100) nach Anspruch 3 oder 4, wobei der Hauptcontroller (130) dazu ausgebildet ist, geeignete Gegenmaßnahmen einzuleiten, im Falle, dass die dritte Information umfasst, dass der Betrieb der elektrischen Vakuumpumpe (102) fehlerhaft ist, wobei die Gegenmaßnahmen umfassen: – ein Abschalten der elektrischen Vakuumpumpe (102) und/oder – eine Begrenzung der Größe des elektrischen Stroms, welcher der Vakuumpumpe (102) zur Verfügung gestellt wird.
Ansteuermodul (100) nach Anspruch 1, wobei das Ansteuermodul (100) ferner dazu ausgebildet ist, erste Anforderungssignale (122) zur Pumpaktivierung der elektrischen Vakuumpumpe (102) zu empfangen und zweite Anforderungssignale (124) zur Aktivierung des Hauptcontrollers (130) zu empfangen.
Ansteuermodul (100) nach Anspruch 6, wobei das Ansteuermodul (100) dazu ausgebildet ist, aufgrund einer aus den ersten oder zweiten Anforderungssignalen (122, 124) resultierenden Reaktion des Hauptcontrollers (130) und/oder aufgrund der aus den ersten oder zweiten Steuersignalen resultierenden ersten Reaktion der elektrischen Vakuumpumpe (102) einen Zustand des Ansteuermoduls (100) als eine vierte Information zu ermitteln.
Ansteuermodul (100) nach einem der Ansprüche 1 bis 7, wobei das Ansteuermodul (100) dazu ausgebildet ist, die erste, die zweite, die dritte und/oder die vierte Information für eine zweite Auswertung zu verwerten und als ein Ergebnis dieser zweiten Auswertung als eine fünfte Information bereitzustellen, wobei die fünfte Information angibt, ob ein fehlerhafter Betrieb in einer Ansteuerung der elektrischen Vakuumpumpe vorliegt, wobei der erste und der zweite Schalter dazu ausgebildet sind, die Ansteuerung der elektrischen Vakuumpumpe durchzuführen.
Ansteuermodul (100) nach Anspruch 8, wobei das Ansteuermodul (100) ferner einen Safety Controller umfasst, wobei der Safety Controller dazu ausgebildet ist, die fünfte Information zu empfangen, und im Falle, dass die zweite Auswertung ergab, dass der Betrieb des Hauptcontrollers(130) fehlerhaft ist, die elektrische Vakuumpumpe (102) zu deaktivieren und Maßnahmen zur Kompensation der ausgefallenen elektrischen Vakuumpumpe (102) einzuleiten, wobei der Safety Controller dazu ausgebildet ist, die Deaktivierung der elektrischen Vakuumpumpe (102) und die Einleitung der Maßnahmen zur Kompensation der ausgefallenen elektrischen Vakuumpumpe (102) bezüglich der Bremskraftverstärkung als eine sechste Information bereitzustellen.
Ansteuermodul (100) nach einem der vorhergehenden Ansprüche 1 bis 9, wobei der Hauptcontroller (130) dazu ausgebildet ist, die erste, die zweite, die dritte, die vierte und/oder die fünfte Information an eine logische Kontrolleinheit des Kraftfahrzeugs zu senden, und der Safety Controller dazu ausgebildet ist, die sechste Information an die logische Kontrolleinheit des Kraftfahrzeugs zu senden.
Ansteuermodul (100) nach einem der vorhergehenden Ansprüche 1 bis 10, wobei das Ansteuermodul (100) und/oder der Safety Controller dazu ausgebildet sind, die ersten Steuersignale, die zweiten Steuersignale, die erste, die zweite, die dritte, die vierte, die fünfte, die sechste Information, die ersten und/oder die zweiten Anforderungssignale als ein binäres Signal kodiert zu senden.