DE102015217158A1

DE102015217158A1 - Fortbewegungsmittel, Steuergerät und Verfahren zur Überwachung einer Soll-Kraft eines elektromechanisch unterstützten Lenksystems

Info

Publication number: DE102015217158A1
Application number: DE102015217158.2A
Authority: DE
Inventors: Christopher Kreis; Elke Babilas-Davids
Original assignee: Volkswagen AG
Current assignee: Volkswagen AG
Priority date: 2015-09-08
Filing date: 2015-09-08
Publication date: 2017-03-09
Anticipated expiration: 2035-09-09
Also published as: DE102015217158B4

Abstract

Es werden ein Fortbewegungsmittel, ein Steuergerät sowie ein Verfahren zur Überwachung einer Soll-Kraft (Fsoll) eines elektromechanisch unterstützten Lenksystems für ein Fortbewegungsmittel vorgeschlagen. Das Verfahren umfasst die Schritte: – Ermitteln einer Soll-Kraft (Fsoll), – Filtern der Soll-Kraft (Fsoll), – Ermitteln eines Gradienten (GSF) des Filterausgangssignals (SF), – Integrieren des Gradienten (GSF) über ein vordefiniertes Zeitfenster, – Vergleichen des integrierten Gradienten mit einem vordefinierten ersten Schwellenwert (SW1) und im Ansprechen auf ein Überschreiten des ersten Schwellenwertes (SW1), – Ermitteln einer kritischen Soll-Kraft (Fsoll).

Description

Stand der Technik
Die vorliegende Erfindung betrifft ein Fortbewegungsmittel, ein Steuergerät sowie ein Verfahren zur Überwachung einer Soll-Kraft eines elektromechanisch unterstützten Lenksystems für ein Fortbewegungsmittel. Insbesondere betrifft die vorliegende Erfindung eine Verbesserung des Rückmeldeverhaltens bei hoher Zuverlässigkeit der Signalverarbeitung, insbesondere nach ASIL.
Aufgrund der Klassifizierung elektromechanischer Lenksysteme als sicherheitsrelevantes Bauteil bestehen bei dieser Fahrzeugkomponente sehr hohe Anforderungen bezüglich der Ausfallsicherheit, der Fehlererkennung und der im Fehlerfall einzuleitenden Fehlerreaktionen. Insbesondere bei der Entwicklung von auf dem Steuergerät implementierten Lenkfunktionen müssen verschiedene Maßnahmen umgesetzt werden. Lenkfunktionen berechnen auf Basis von verschiedenen Eingangssignalen die Lenkunterstützungskraft und andere Teilkräfte, die zu einer Gesamt-Soll-Unterstützungskraft aufsummiert werden. Aus dieser Kraft wird ein Motorsollmoment berechnet, das vom elektrischen Unterstützungsmotor eingestellt wird. Ein Konzept, die hohen Sicherheitsanforderungen zu erfüllen, besteht darin, jeder Lenkfunktion eine Überwachungsfunktion zuzuordnen, die die korrekte Funktion der Lenkfunktion innerhalb definierter Grenzen permanent überwacht. Die einfachste Möglichkeit der Umsetzung dieses Konzeptes wäre es, die Funktion doppelt zu rechnen und das Ergebnis zu vergleichen. Aufgrund der hohen Anforderungen an die Überwachungsfunktion und auch aufgrund der nur begrenzt zur Verfügung stehenden Rechenressourcen ist dies jedoch nicht zielführend. Ziel ist es, möglichst einfache Überwachungsfunktionen zu entwickeln, die deutlich komplexere Lenkfunktionen überwachen.
Grundsätzlich werden an Entwicklung und Test und auch an die dabei zur Anwendung kommenden Prozesse bei der Überwachungsfunktion höhere Anforderungen gestellt, als an die Lenkfunktion. Deshalb ist es vorteilhaft, wenn eine Überwachungsfunktion softwaretechnisch einfache Mechanismen nutzt, die leicht implementierbar und testbar sind. Weiterhin werden bei den Lenkfunktionen geringere Anforderungen an die Sicherheitsintegrität der Eingangsgrößen gestellt.
DE 10 2005 038 288 A1 offenbart ein Verfahren zum Ermitteln der mechanischen Energie in einem elektrischen Lenksystem, bei welchem eine Geschwindigkeit des Fahrzeugs erfasst und in Abhängigkeit der Geschwindigkeit eine in dem Lenksystem gespeicherte mechanische Energie ermittelt wird.
DE 10 2007 027 040 A1 offenbart ein Sicherheitsverfahren für ein Lenksystem, bei welchem eine Mess- und Regelgröße eines Lenkungsstrangs ebenso wie eine Mess- und Regelgröße eines Fahrdynamiksystems miteinander verglichen und auf Plausibilität geprüft werden.
Weiter wird pauschal auf die von der Anmelderin recherchierten Druckschriften DE 10 2006 017 775 A1 , DE 10 2005 038 288 A1 , DE 10 2007 027 040 A1 , EP 1 484 231 A2 und DE 10 2006 017 775 A1 verwiesen.
Es ist eine Aufgabe der vorliegenden Erfindung, eine ordnungsgemäße Funktion eines elektromechanisch unterstützten Lenksystems besonders prozesssicher zu überprüfen.
Offenbarung der Erfindung
Die vorstehend identifizierte Aufgabe wird erfindungsgemäß durch ein Verfahren zur Überwachung einer Soll-Kraft eines elektromechanisch unterstützten Lenksystems für ein Fortbewegungsmittel gelöst. Die Soll-Kraft wird innerhalb des elektromechanisch unterstützten Lenksystems ermittelt. Sie kann durch die Messung eines Hand-Momentes, welches der Fahrer des Fortbewegungsmittels aufbringt, ermittelt werden. Die Soll-Kraft wird erfindungsgemäß zur Unterdrückung kritischer Frequenzen gefiltert. Dies kann beispielsweise die Verwendung eines Tiefpassfilters und/oder eines Bandpassfilters umfassen. Unkritische Frequenzen sind beispielsweise solche Frequenzen, welche in Anbetracht der Masseträgheit des Lenksystems keine solchen Kraftwirkungscharakteristika auf die Zahnstange des Lenksystems bewirken, dass der Fahrer des Fortbewegungsmittels die entstehenden Momente nicht einfach handhaben bzw. korrigieren kann. Erfindungsgemäß wird das Filterausgangssignal anschließend einer Gradientenbildung unterzogen. Dies ist vorteilhaft, da Gleichgrößen bzw. langsam veränderliche Kräfte durch den Anwender stets einfach beherrschbar sind, während der Anwender stets eine gewisse Reaktionszeit benötigt, um sich ändernde Lenkunterstützungskräfte im Fehlerfall adäquat zu kompensieren. Um die Kritikalität der Gradienten des Filterausgangssignals zu überprüfen, wird anschließend eine Integration des Gradienten über ein vordefiniertes Zeitfenster vorgenommen. Das Zeitfenster kann beispielsweise fortschreitend sein, sodass der Gradient ein Energiemaß für die Änderung des Filterausgangssignals darstellt. Ändert sich die Soll-Kraft in einem solchen Fenster dauerhaft und stark, besteht ein hohes Potenzial für vom Fahrer schlecht beherrschbare Lenkunterstützungssignale. Andernfalls ist eine Beherrschung der Lenkunterstützungssignale durch den Fahrer gegeben. Das Integrieren des Gradienten hat den Vorteil, dass kurzfristige Stöße, welche als Rückmeldung des Lenksystems an den Fahrer mitunter wertvoll sein können, nicht durch die erfindungsgemäße Überwachung der ordnungsgemäßen Funktion als Indikator für eine Fehlfunktion interpretiert werden. Schließlich wird der integrierte Gradient mit einem vordefinierten ersten Schwellenwert verglichen. Im Ansprechen auf ein Überschreiten des ersten Schwellenwertes wird das Vorliegen einer kritischen Soll-Kraft ermittelt. Der erste Schwellenwert kann eingebettet sein in eine komplexere Referenz (z. B. eine Schwellenwertkurve oder eine Beschreibung einer bestimmten Charakteristik des integrierten Gradienten). Erfindungsgemäß wird durch hochgradig zuverlässige Informationen, welche im Wesentlichen innerhalb des Lenksystems entstehen, die Überprüfung einer ordnungsgemäßen Funktion und Ausgabe plausibler Lenkunterstützungssignale eines elektromechanisch unterstützten Lenksystems bereitgestellt. Insbesondere die Verwendung einer Reisegeschwindigkeit, welche als Bussignal grundsätzlich verfügbar, nach ASIL jedoch nicht stets einwandfrei vorliegt, ist zur erfindungsgemäßen Ermittlung der ordnungsgemäßen Funktion nicht erforderlich.
Die Unteransprüche zeigen bevorzugte Weiterbildungen der Erfindung.
Bevorzugt kann nach der Ermittlung der Soll-Kraft zunächst ermittelt werden, dass die Amplitude der Soll-Kraft unterhalb eines zweiten Schwellenwertes zur Fehlererkennung liegt, woraus auf grundsätzlich unkritische Soll-Kraftsignale geschlossen werden kann. Niedrige Soll-Kraftsignale können in jedem Fall durch den Fahrer beherrscht werden, selbst wenn sie dem Grundgedanken einer Lenkunterstützung zuwider laufen. Alternativ oder zusätzlich kann ermittelt werden, dass die Soll-Kraft oberhalb eines dritten Schwellenwertes zur Fehlererkennung liegt, sodass die Soll-Kraftsignale in jedem Fall kritisch sind, da sie keinesfalls vom Fahrer beherrscht werden können und sich eine weitergehende Überprüfung der ordnungsgemäßen Funktion des Lenkunterstützungssystems erübrigt. In letzterem Fall ist die Lenkunterstützung unverzüglich abzuschalten oder zumindest das resultierende Lenkunterstützungsmoment zu reduzieren.
Die vorliegende Erfindung ist besonders vorteilhaft, wenn sie parallel in einer Funktionsebene und in einer Überwachungsebene eines Lenkunterstützungssystems ausgeführt wird. Die Funktionsebene ist zur Bereitstellung des eigentlichen Lenkunterstützungssignals vorgesehen. Die Überwachungsebene ist insbesondere dafür vorgesehen, die ordnungsgemäße Überprüfung der Funktionsebene zu überwachen und im Fehlerfall eine Abschaltung des Lenkunterstützungsmomentes zu veranlassen, um sicherheitskritische Fahrzustände zu vermeiden. Die vorgenannten Schritte werden daher parallel, also sowohl in der Funktionsebene als auch in der Überwachungsebene ausgeführt. Die Untersuchung der Soll-Kraft sowie der auf ihrer Basis ermittelten Größen erfolgt optional jedoch anhand unterschiedlicher Schwellenwerte, welche daher auch als Parameter in Abhängigkeit der betrachteten Ebene verstanden werden können.
Insbesondere sind die Schwellenwerte in der Überwachungsebene gegenüber denjenigen der Funktionsebene derart verändert, dass die Überwachungsebene in einem Fehlerfall später anspricht als die Funktionsebene. Mit anderen Worten wird die Funktion in der Funktionsebene so parametriert, dass eine Fehlererkennung kurz vor einer Fehlererkennung in der Überwachungsebene stattfindet. So können in der Funktion Maßnahmen eingeleitet werden, die ungewollte Systemreaktionen durch eine Fehlauslösung der Funktion in der Überwachungsebene verhindern. Das kann zum Beispiel ein "Reset" von Integratoren oder anderen Funktionsbestandteilen sein.
Wenn die Funktion in der Überwachungsebene in einem anderen Zeitraster als die Funktion in der Funktionsebene ausgeführt wird, kann es notwendig sein, eine Information aus der Überwachungsebene auszuwerten, die es möglich macht, die Funktion in der Lenkfunktionsebene synchron zur Funktion in der Überwachungsebene auszuführen. So wird gewährleistet, dass die Funktion in der Funktionsebene immer vor der Überwachungsebene eine Verletzung der Sicherheitsgrenzen erkennt. Es wird also eine Durchführung der Schritte des erfindungsgemäßen Verfahrens in der Überwachungsebene mit einer Durchführung der Schritte in der Funktionsebene synchronisiert. Hierbei kann vorgesehen sein, dass ein Trägersignal zwischen der Überwachungsebene und der Funktionsebene ausgetauscht oder gar hin- und her gesendet wird.
Die in der Funktionsebene ermittelte Soll-Kraft kann mit einer weiteren Soll-Kraft addiert werden. Die entstehende Summe kann zur Ansteuerung eines Elektromotors zur Erzeugung eines Lenkunterstützungssignals verwendet werden. Mit anderen Worten können Soll-Kräfte aufgrund unterschiedlicher, zeitgleich auftretender Betriebsbedingungen des Lenkunterstützungssystems bzw. des Fortbewegungsmittels ermittelt werden. Das erfindungsgemäße Verfahren zur Überwachung der Soll-Kraft kann für jede einzelne Komponente der Soll-Kräfte und/oder für die Summe der Soll-Kräfte durchgeführt werden.
Sofern die erfindungsgemäße Überwachung der Soll-Kraft (in der Funktionsebene und/oder in der Überwachungsebene) eine kritische Soll-Kraft ermittelt hat, kann das Ausführen eines Resets der Funktionsebene veranlasst werden. Dabei kann die vollständige Neuberechnung eines Soll-Kraftsignals auf Basis messtechnisch ermittelter Eingangsgrößen veranlasst werden. Insbesondere kann auch eine vorherige erneute messtechnische Ermittlung der Eingangsgrößen veranlasst werden, um Singularitäten in der Soll-Kraftberechnung auszuräumen.
Gemäß einem zweiten Aspekt der vorliegenden Erfindung wird ein Steuergerät zur Überwachung einer Soll-Kraft eines elektromechanisch unterstützten Lenksystems für ein Fortbewegungsmittel vorgeschlagen. Das Steuergerät umfasst einen Filter, welches beispielsweise als Tiefpassfilter ausgestaltet sein kann. Ein Differenzierglied und ein Puffer sind zur Verarbeitung des ermittelten Soll-Kraftsignals vorgesehen. Das Steuergerät ist somit eingerichtet, eine Soll-Kraft zu ermitteln, die Soll-Kraft zur Unterdrückung unkritischer Frequenzen mittels des Filters zu filtern, wobei insbesondere oberhalb einer Grenzfrequenz liegende, unkritische hohe Signalanteile unterdrückt werden, und einen Gradienten eines Ausgangssignals des Filters zu ermitteln. Der Gradient wird mittels des Puffers über ein vordefiniertes, insbesondere fortschreitendes, Zeitfenster integriert. Hierbei wird die Energie des Soll-Kraftsignals, welche sich in einem voranschreitenden, vordefinierten Zeitfenster befindet, integriert und anschließend mit einem vordefinierten ersten Schwellenwert verglichen. Im Ansprechen auf ein Überschreiten des ersten Schwellenwertes wird eine kritische Soll-Kraft ermittelt. Im Ansprechen darauf können geeignete Maßnahmen ergriffen werden. Mit anderen Worten ist das erfindungsgemäße Steuergerät eingerichtet, die Merkmale, Merkmalskombinationen und die sich aus diesen ergebenden Vorteile des erfindungsgemäßen Verfahrens in entsprechender Weise zu verwirklichen, sodass zur Vermeidung von Wiederholungen auf die obigen Ausführungen verwiesen wird.
Das Steuergerät kann logisch in eine Funktionsebene und eine Überwachungsebene aufgeteilt sein, wobei die Informationsverarbeitung in der Überwachungsebene im Wesentlichen unabhängig von der Informationsverarbeitung in der Funktionsebene ist. Auf diese Weise können unvorhergesehene Zustände, welche zu fehlerhaften Soll-Kraftausgaben des Lenksystems führen könnten, nur sehr unwahrscheinlich zeitgleich sowohl in der Funktionsebene als auch in der Überwachungsebene auftreten. Sowohl die Funktionsebene als auch die Überwachungsebene weisen einen Tiefpassfilter, ein Differenzierglied und einen Puffer auf. Auf diese Weise sind sie jeweils eingerichtet, die Soll-Kraft zu ermitteln, die Soll-Kraft zur Unterdrückung unkritischer Frequenzen mittels des jeweiligen Filters zu filtern und einen jeweiligen Gradienten eines Ausgangssignals des jeweiligen Filters zu ermitteln. Ebenso ist sowohl die Funktionsebene als auch die Überwachungsebene eingerichtet, den Gradienten mittels des jeweiligen Puffers über ein vordefiniertes Zeitfenster zu integrieren und den integrierten Gradienten mit einem jeweiligen vordefinierten ersten Schwellenwert zu vergleichen. Der jeweilige erste Schwellenwert kann derart gewählt werden, dass die Funktionsebene im Fehlerfall etwas früher anspricht als die Überwachungsebene. Mit anderen Worten müssen sich die Schwellenwerte, welche für im Wesentlichen identische Funktionen innerhalb der Funktionsebene bzw. der Überwachungsebene vorgesehen sind, hinsichtlich der Schwellwerte, zumindest hinsichtlich eines Schwellwertes, unterscheiden.
Die Überwachungsebene und die Funktionsebene können zur Wahrung einer weitgehenden Unabhängigkeit in einem jeweiligen Logikbaustein angeordnet sein. Die Trennung kann alternativ oder zusätzlich beispielsweise dadurch realisiert werden, dass für die SW-Erstellung von Funktions- und Überwachungssoftware unterschiedliche Codegeneratoren verwendet werden. Alternativ oder zusätzlich können die Ebenen in verschiedenen Tasks gerechnet werden. Auf diese Weise kann eine besonders zuverlässige Trennung und gegenseitige Unabhängigkeit der Funktionsebene und der Überwachungsebene geschaffen werden.
Gemäß einem dritten Aspekt der vorliegenden Erfindung wird ein Fortbewegungsmittel mit einem elektromechanisch unterstützten Lenksystem vorgeschlagen, welches ein Steuergerät gemäß dem zweitgenannten Erfindungsaspekt umfasst. Das Steuergerät versetzt das Fortbewegungsmittel in die Lage, die Merkmale, Merkmalskombinationen und die sich aus diesen ergebenden Vorteile der vorgenannten Erfindungsaspekte in entsprechender Weise zu verwirklichen, sodass zur Vermeidung von Wiederholungen auf die obigen Ausführungen verwiesen wird.
Kurze Beschreibung der Zeichnungen
Nachfolgend werden Ausführungsbeispiele der vorliegenden Erfindung unter Bezugnahme auf die beigefügten Zeichnungen erläutert. Es zeigen:
1 eine schematische Übersicht über Komponenten eines Ausführungsbeispiels eines erfindungsgemäßen Fortbewegungsmittels mit einem Ausführungsbeispiel eines erfindungsgemäß ausgestalteten Lenksystems;
2 eine schematische Darstellung eines Signalflusses durch die Komponenten eines Ausführungsbeispiels eines erfindungsgemäßen Steuergerätes;
3 ein Soll-Kraft-Zeit-Diagramm sowie ein Energie-Zeit-Diagramm eines potentiell kritischen Soll-Kraft-Signal-Verlaufes, welcher erfindungsgemäß erkannt werden kann;
4 ein schematisches Diagramm veranschaulichend Signalflüsse in einem zweiten Ausführungsbeispiel eines erfindungsgemäßen Steuergerätes mit einer Funktionsebene und einer Überwachungsebene; und
5 ein Flussdiagramm veranschaulichend Schritte eines Ausführungsbeispiels eines erfindungsgemäßen Verfahrens zur Überwachung einer Soll-Kraft eines elektromechanisch unterstützten Lenksystems für ein Fortbewegungsmittel.
Ausführungsformen der Erfindung
1 zeigt einen Pkw 10 als Fortbewegungsmittel, in welchem ein elektromotorisch unterstütztes Lenksystem 1 vorgesehen ist. Die Vorderräder 2 werden über eine Zahnstange 14 gelenkt, welche mittels eines Elektromotors 13 verschieblich ist. Ein Kraftsensor 3 überträgt die Zahnstangenkraft an eine (nicht dargestellte) Auswerteeinheit, welche elektrische Signale an einen Aktuator 6 auf der Lenksäule 7 zur Ausgabe einer haptischen Rückmeldung an den Anwender ausgibt. An ihrem unteren Ende steht die Lenksäule 7 über ein Kegelzahnrad 8 mechanisch in Wirkverbindung mit der Zahnstange 14. Am oberen Ende der Lenksäule 7 ist ein Lenkhandrad 5 angeordnet. Ein Steuergerät 20 ist vorgesehen, die Signale des Kraftsensors 3 auszuwerten und geeignete Signale zur Lenkunterstützung an den Elektromotor 13 auszugeben.
2 zeigt Komponenten und Signalflüsse innerhalb eines ersten Ausführungsbeispiels eines erfindungsgemäßen Steuergerätes. Von einer Lenkfunktion 4 wird eine Soll-Kraft Fsoll generiert. Ist diese Kraft größer als ein zweiter Schwellwert SW2, wird dies als sicherheitskritisch angesehen und es werden über einen Abschaltpfad 21 Fehlerreaktionen in Gang gesetzt. Die oberhalb des zweiten Schwellwertes SW2 liegenden Soll-Kräfte können vom Fahrer keinesfalls gehandhabt bzw. korrigiert werden. Liegt die Soll-Kraft Fsoll zwischen dem zweiten Schwellwert SW2 und einem dritten Schwellwert SW3, welcher die Obergrenze eines generell unkritischen Soll-Kraftbereichs kennzeichnet, erfolgt eine erfindungsgemäße Weiterverarbeitung und Überwachung in weiteren Schritten. Zunächst wird das Soll-Kraftsignal Fsoll gefiltert, wozu ein Tiefpassfilter 12 vorgesehen ist. Dies führt dazu, dass unkritische Frequenzen gegenüber den kritischen Frequenzen abgesenkt oder gänzlich gelöscht werden. Der Tiefpassfilter 12 kann auch durch komplexere Filteralgorithmen dargestellt werden. Da die Kritikalität eines Fehlerfalls davon abhängt, wie viel Energie in das Lenkunterstützungssystem eingebracht wird, wird in den nächsten Schritten der Energieeintrag des Soll-Kraftsignals Fsoll über eine bestimmte Zeitdauer ermittelt. Dazu wird das Filterausgangssignal SF in ein Differenzierglied 15 gegeben, welches den Gradienten des Filterausgangssignals berechnet. Das Ausgangssignal GSF des Differenziergliedes 15 gelangt in einen Puffer 16, in welchem der Gradient GSF über eine bestimmte Anzahl Zeitschritte aufsummiert wird. Dieser Schritt kann auch als Integration des Gradienten GSF in einem vordefinierten Zeitfenster, welches sich mit voranschreitender Zeit bewegt, aufgefasst werden. Der im Puffer 16 vorliegende Energieinhalt EGSF wird in einem Vergleicher 17 daraufhin überprüft, ob er größer als ein vierter Schwellwert SW4 ist. Überschreitet das Signal EGSF den vierten Schwellwert SW4, werden Fehlerreaktionen über den Abschaltpfad 21 aktiviert.
3 zeigt einen beispielhaften Verlauf eines Soll-Kraftsignals Fsoll. Bei sehr niedriger Soll-Kraft (Fsoll < Schwellwert SW3) wird kein Energieeintrag berechnet. Bei höherem Energieeintrag durch die Soll-Kraft Fsoll steigt der im Puffer 16 enthaltene Wert an. Sinkt die Sollkraft Fsoll, leert sich der Puffer 16 wieder über einen bestimmten Zeitraum. Das Ausgangssignal der Lenkfunktion kann üblicherweise durch die Parametrierung stark beeinflusst werden. Die Grenzen der Überwachungsfunktion sind fest implementiert und ohne Softwareänderung nicht veränderbar. Somit kann es möglich sein, durch Änderungen der Applikation einen so hohen Wert von der Soll-Kraft Fsoll zu erzeugen, dass die Überwachungsfunktion einen Fehler detektiert, obwohl die Berechnung innerhalb der Lenkfunktion völlig korrekt abläuft. Zum Beispiel kann eine Reglerverstärkung so eingestellt werden, dass es zum Aufschwingen eines in der Lenkfunktion implementierten Reglers kommt. In diesem Fall ist es sinnvoll, Maßnahmen einzuleiten, die dazu führen, dass die Schwingungen des Reglers unterbunden werden (z. B. Reglerreset). Ein Ansprechen des Fehlerpfades ist jedoch nicht notwendig, da kein Hardware- oder Softwarefehler vorliegt.
4 zeigt eine Architektur, bei welcher die Überwachungsfunktion ein zweites Mal innerhalb der Lenkfunktionsebene implementiert wird. Das dargestellte Steuergerät 20 weist eine Funktionsebene 18 und eine Überwachungsebene 19 auf, welche die erfindungsgemäßen Schritte zur Untersuchung der Soll-Kraft Fsoll im Wesentlichen unabhängig voneinander ausführen. Hierbei ist die Funktion in der Funktionsebene 18 so parametriert, dass eine Fehlererkennung kurz vor einer Fehlererkennung in der Überwachungsebene 19 stattfindet. So können in der Funktion Maßnahmen eingeleitet werden, die ungewollte Systemreaktionen durch eine Fehlauslösung der Funktion in der Überwachungsebene 19 verhindern. Das kann z. B. ein Reset von Integratoren bzw. Puffern oder anderen Funktionsbestandteilen sein. Um den zeitlichen Bezug der in der Überwachungsebene 19 ausgeführten Schritte zu den in der Funktionsebene 18 ausgeführten Schritten zu bewahren, wird eine Information aus der Überwachungsebene 19 ausgewertet, die es ermöglicht, die Funktion in der Funktionsebene 18 synchron zur Funktion in der Überwachungsebene 19 auszuführen. So wird gewährleistet, dass die Funktion in der Funktionsebene 18 immer vor der Überwachungsebene 19 eine Verletzung der Sicherheitsgrenzen erkennt.
5 zeigt Schritte eines Ausführungsbeispiels eines erfindungsgemäßen Verfahrens. In Schritt 100 wird eine Soll-Kraft durch ein Steuergerät eines elektromechanisch unterstützten Lenksystems ermittelt. In Schritt 200 wird ermittelt, dass die Soll-Kraft unterhalb eines zweiten Schwellwertes zur Fehlererkennung liegt und dass die Soll-Kraft oberhalb eines dritten Schwellwertes zur Fehlererkennung liegt. In diesem Fall befindet sich die Soll-Kraft zwischen einem in jedem Fall unkritischen und einem in jedem Fall kritischen Bereich, sodass die erfindungsgemäße Überwachung der Soll-Kraft weitere, wertvolle Erkenntnisse zur Sicherstellung einer ordnungsgemäßen Ausgabe von Lenkunterstützungsmomenten bereitstellt. In Schritt 300 wird die Soll-Kraft über einen Tiefpassfilter zur Unterdrückung unkritischer Frequenzen gefiltert. In Schritt 400 wird das Filterausgangssignal durch ein Differenzierglied in einen Gradienten umgewandelt. In Schritt 500 wird der Gradient über ein vordefiniertes fortschreitendes Zeitfenster integriert, wodurch der Energieinhalt für ein jeweiliges Zeitfenster ermittelt wird. In Schritt 600 wird der integrierte Gradient mit einem vordefinierten ersten Schwellenwert verglichen. Sofern der Energieinhalt unterhalb des vordefinierten ersten Schwellenwertes liegt, kann ein Reset der Lenkunterstützungsfunktion ausbleiben. Im Ansprechen auf ein Überschreiten des ersten Schwellenwertes jedoch wird in Schritt 700 ermittelt, dass es sich bei der Soll-Kraft bzw. dem Soll-Kraftsignal um eine kritische Soll-Kraft bzw. ein kritisches Soll-Kraftsignal handelt. Im Ansprechen darauf wird in Schritt 800 ein Reset der Funktionsebene ausgeführt, um Singularitäten bei der Informationsverarbeitung innerhalb des erfindungsgemäßen Lenkunterstützungssystems zu beseitigen.
Aufgrund der hohen Anforderungen an das Lenkgefühl müssen in modernen Lenkunterstützungssystemen häufig sehr komplexe Lenkfunktionen umgesetzt werden, bei denen aufgrund von integrierten Regleralgorithmen, Filtern und anderen internen Rückführungen von Signalen kein direkter Rückschluss von den Eingangs- auf die Ausgangsgrößen möglich ist. Des Weiteren stehen nicht immer alle Eingangssignale der Lenkfunktionen (z. B. Fahrzeuggeschwindigkeit) mit der notwendigen Sicherheitsintegrität zur Verfügung, um sie in Überwachungsfunktionen uneingeschränkt verwenden zu können. Es besteht daher grundsätzlich im Stand der Technik ein Bedürfnis an einer Überwachungsfunktion, die folgende Anforderungen erfüllen muss:

– Nur der Ausgang der Lenkfunktion kann als Eingang verwendet werden.
– Ungewolltes Abschalten der Lenkfunktion durch die Überwachungsfunktion darf in keinem Fall auftreten.

Dabei kann die grundsätzliche Wirkungsweise der zu überwachenden Lenkfunktion als soweit bekannt angenommen werden, dass bestimmte Amplituden und Frequenzen als kritisch und andere als unkritisch oder weniger kritisch angenommen werden können. Relevant ist dabei die Beurteilung der Auswirkungen möglicher Fehler im Fahrzeug. Von hoher Bedeutung ist hierbei, dass die Kritikalität der Fahrzeugreaktion in Abhängigkeit von der Fahrzeuggeschwindigkeit (die aber als Eingangsgröße einer Überwachungsfunktion nicht immer zur Verfügung steht), der Frequenz der resultierenden fehlerhaften Unterstützungskraft und auch von der Aktion und Reaktion des Fahrers stark veränderlich ist.
Auch wenn die erfindungsgemäßen Aspekte und vorteilhaften Ausführungsformen anhand der in Verbindung mit den beigefügten Zeichnungsfiguren erläuterten Ausführungsbeispiele im Detail beschrieben worden sind, sind für den Fachmann Modifikationen und Kombinationen von Merkmalen der dargestellten Ausführungsbeispiele möglich, ohne den Bereich der vorliegenden Erfindung zu verlassen, deren Schutzbereich durch die beigefügten Ansprüche definiert wird.
Bezugszeichenliste

1: Lenksystem
2: Vorderrad
3: Kraftsensor
4: Lenkfunktion
5: Lenkhandrad
6: Aktuator
7: Lenksäule
8: Kegelzahnrad
9: Vergleicher
10: Pkw
11: Vergleicher
12: Tiefpassfilter
13: Elektromotor
14: Zahnstange
15: Differenzierglied
16: Puffer
17: Vergleicher
18: Funktionsebene
19: Überwachungsebene
20: Steuergerät
21: Abschaltpfad
100–800: Verfahrensschritte
EGSF: Energiesignal des Gradienten der Soll-Kraft
Fsoll: Soll-Kraft bzw. Soll-Kraftsignal
GSF: Gradient der Soll-Kraft
SF: Filterausgangssignal
SW2: Zweiter Schwellwert
SW3: Dritter Schwellwert
SW4: Vierter Schwellwert

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 102005038288 A1 [0004, 0006]
DE 102007027040 A1 [0005, 0006]
DE 102006017775 A1 [0006, 0006]
EP 1484231 A2 [0006]

Claims

Verfahren zur Überwachung einer Soll-Kraft (Fsoll) eines elektromechanisch unterstützten Lenksystems (1) für ein Fortbewegungsmittel (10) umfassend die Schritte: – Ermitteln (100) einer Soll-Kraft (Fsoll), – Filtern (300) der Soll-Kraft (Fsoll), – Ermitteln (400) eines Gradienten (GSF) des Filterausgangssignals (SF), – Integrieren (500) des Gradienten (GSF) über ein vordefiniertes Zeitfenster, – Vergleichen (600) des integrierten Gradienten mit einem vordefinierten ersten Schwellenwert (SW1) und im Ansprechen auf ein Überschreiten des ersten Schwellenwertes (SW1) – Ermitteln (700) einer kritischen Soll-Kraft (Fsoll).
Verfahren nach Anspruch 1, weiter umfassend – Ermitteln (200), dass die Soll-Kraft (Fsoll) unterhalb eines zweiten Schwellenwertes (SW2) zur Fehlererkennung liegt, und/oder – Ermitteln (200), dass die Soll-Kraft (Fsoll) oberhalb eines dritten Schwellenwertes (SW3) zur Fehlererkennung liegt.
Verfahren nach Anspruch 1 oder 2, weiter umfassend – Ausführen der vorgenannten Schritte (100–700) in einer Funktionsebene (18) und in einer Überwachungsebene (19), wobei die jeweiligen Schwellenwerte (SW1, SW2, SW3) für die Schritte, welche in der Überwachungsebene (19) ausgeführt werden, abweichend von den Schwellenwerten (SW1, SW2, SW3) für die Schritte, welche in der Funktionsebene (18) ausgeführt werden, gewählt sind.
Verfahren nach Anspruch 3, weiter umfassend – Synchronisieren einer Durchführung der Schritte (100–700) in der Überwachungsebene (19) mit einer Durchführung der Schritte (100–700) in der Funktionsebene (18).
Verfahren nach Anspruch 3 oder 4, wobei die Soll-Kraft (Fsoll) zumindest in einer Funktionsebene (18) mit einer weiteren Soll-Kraft addiert und die Summe zur Ansteuerung eines Elektromotors (13) zur Erzeugung eines Lenkunterstützungssignals verwendet wird.
Verfahren nach einem der Ansprüche 3 bis 5, weiter umfassend, – Ausführen (800) eines Resets der Funktionsebene (18) im Ansprechen auf das Ermitteln der kritischen Soll-Kraft (Fsoll).
Steuergerät zur Überwachung einer Soll-Kraft (Fsoll) eines elektromechanisch unterstützten Lenksystems (1) für ein Fortbewegungsmittel (10) umfassend – ein Filter (12), – ein Differenzierglied (15), – einen Puffer (16), wobei das Steuergerät (20) eingerichtet ist, – eine Soll-Kraft (Fsoll) zu ermitteln, – die Soll-Kraft (Fsoll) mittels des Filters (12) zu filtern, – einen Gradienten (GSF) mittels des Differenziergliedes (15) eines Ausgangssignals (SF) des Filters (12) zu ermitteln, – den Gradienten (GSF) mittels des Puffers (16) über ein vordefiniertes Zeitfenster zu integrieren, – den integrierten Gradienten (EGSF) mit einem vordefinierten ersten Schwellenwert (SW1) zu vergleichen und im Ansprechen auf ein Überschreiten des ersten Schwellenwertes (SW1) – eine kritische Sollkraft (Fsoll) zu ermitteln.
Steuergerät nach Anspruch 7 weiter umfassend – eine logische Funktionsebene (18) und – eine logische Überwachungsebene (19), wobei – sowohl die Funktionsebene (18) als auch die Überwachungsebene (19) jeweils – ein Tiefpassfilter (12), – ein Differenzierglied (15), und – einen Puffer (16) umfasst, und jeweils eingerichtet ist, – die Soll-Kraft (Fsoll) zu ermitteln – die Soll-Kraft (Fsoll) mittels des jeweiligen Filters (12) zu filtern, – einen jeweiligen Gradienten (GSF) eines Ausgangssignals (SF) des jeweiligen Filters (12) mittels des jeweiligen Differenziergliedes (15) zu ermitteln, – den Gradienten (GSF) mittels des jeweiligen Puffers (16) über ein vordefiniertes Zeitfenster zu integrieren, und – den integrierten Gradienten (EGSF) mit einem jeweiligen vordefinierten ersten Schwellenwert (SW1) zu vergleichen, wobei sich der erste Schwellenwert (SW1) innerhalb der Funktionsebene (18) sich von dem ersten Schwellenwert (SW1) in der Überwachungsebene (19) unterscheidet.
Steuergerät nach Anspruch 7 oder 8, wobei – die Software der Funktionsebene (18) und die Software der Überwachungsebene (19) mittels unterschiedlicher Codegeneratoren erstellt ist und/oder – die Funktionsebene (18) und die Überwachungsebene (19) in verschiedenen Tasks gerechnet werden.
Fortbewegungsmittel (10) umfassend ein Steuergerät nach einem der Ansprüche 7 bis 9.