DE102019130036A1

DE102019130036A1 - Vorrichtung zur Steuerung eines automatisierten Fahrbetriebs eines Fahrzeugs

Info

Publication number: DE102019130036A1
Application number: DE102019130036.3A
Authority: DE
Inventors: Peter Bösch; Jinglei Wu
Original assignee: Robert Bosch GmbH; Daimler AG
Current assignee: Robert Bosch GmbH; Mercedes Benz Group AG
Priority date: 2019-11-07
Filing date: 2019-11-07
Publication date: 2021-05-12
Also published as: US20220396276A1; WO2021089307A1; CN114650940A

Abstract

Die Erfindung betrifft eine Vorrichtung (1) zur Steuerung eines automatisierten Fahrbetriebs eines Fahrzeugs, umfassend mindestens zwei Bremssysteme (2.1, 2.2), mindestens zwei Lenksysteme (3.1, 3.2), ein Motorsteuergerät, ein erstes automatisiertes Fahr-Steuergerät (ADC1) und ein zweites automatisiertes Fahr-Steuergerät (ADC2), eine Umgebungs-Sensor-Anordnung (6) und Trägheitssensoren, wobei die automatisierten Fahr-Steuergeräte (ADC1, ADC2) redundant ausgeführt und konfiguriert sind, basierend auf Signalen der Umgebungs-Sensor-Anordnung (6) und der Trägheitssensoren eine Trajektorie für das Fahrzeug zu planen und zum Abfahren der geplanten Trajektorie erforderliche Sollwerte der Beschleunigung und des Lenkwinkels zu erzeugen und den Bremssystemen (2.1, 2.2), Lenksystemen (3.1, 3.2) und dem Motorsteuergerät zuzuführen, wobei ein drittes automatisiertes Fahr-Steuergerät (ADC3) vorgesehen ist, das zumindest zur Steuerung des Fahrzeugs in den Stillstand ausgebildet ist, wobei die Vorrichtung (1) so konfiguriert ist, dass der automatisierte Fahrbetrieb nur dann eingeleitet und/oder aufrechterhalten wird, wenn die Bremssysteme (2.1, 2.2), Lenksysteme (3.1, 3.2) und mindestens zwei der automatisierten Fahr-Steuergeräte (ADC1, ADC2, ADC3) funktionsfähig sind, und dass der automatisierte Fahrbetrieb abgebrochen wird, wenn nur eines der automatisierten Fahr-Steuergeräte (ADC1, ADC2, ADC3) funktionsfähig ist und/oder wenn eines der Bremssysteme (2.1, 2.2) und/oder Lenksysteme (3.1, 3.2) und/oder ein Motorsteuergerät nicht funktionsfähig ist, wobei in diesem Fall das noch funktionierende automatisierte Fahr-Steuergerät (ADC1, ADC2, ADC3) die Steuerung des Fahrzeugs übernimmt und das Fahrzeug in den Stillstand führt.

Description

Die Erfindung betrifft eine Vorrichtung zur Steuerung eines automatisierten Fahrbetriebs eines Fahrzeugs.
Im Stand der Technik ist eine einfache Redundanz bei automatisierten Fahr-Steuergeräten (ADC - automated drive controller) bekannt. Durch einfache Redundanz muss bei jeglichem Einfachfehler einer essenziellen Komponente des AD-Kits eine Rückfallebene getriggert werden, welche ein sofortiges Anhalten beinhaltet (Degradations-Ebene 1). Durch die komplexe Architektur kann es passieren, dass diese Rückfallebene sehr häufig benötigt wird und sogenannte Liegenbleiber verursacht. Eine zweite Rückfallebene als Notstopp für Doppelfehler wird im Bremssystem (EBS) realisiert (Degradation-Ebene 2).
Der Erfindung liegt die Aufgabe zu Grunde, eine verbesserte Vorrichtung zur Steuerung eines automatisierten Fahrbetriebs eines Fahrzeugs anzugeben.
Die Aufgabe wird erfindungsgemäß gelöst durch eine Vorrichtung gemäß Anspruch 1.
Vorteilhafte Ausgestaltungen der Erfindung sind Gegenstand der Unteransprüche.
Eine erfindungsgemäße Vorrichtung zur Steuerung eines automatisierten Fahrbetriebs eines Fahrzeugs umfasst mindestens zwei Bremssysteme, mindestens zwei Lenksysteme, ein Motorsteuergerät, ein erstes automatisiertes Fahr-Steuergerät und ein zweites automatisiertes Fahr-Steuergerät, eine Umgebungs-Sensor-Anordnung und Trägheitssensoren, wobei die automatisierten Fahr-Steuergeräte redundant ausgeführt und konfiguriert sind, basierend auf Signalen der Umgebungs-Sensor-Anordnung und der Trägheitssensoren eine Trajektorie für das Fahrzeug zu planen und zum Abfahren der geplanten Trajektorie erforderliche Sollwerte der Beschleunigung und des Lenkwinkels zu erzeugen und den Bremssystemen, Lenksystemen und dem Motorsteuergerät zuzuführen. Erfindungsgemäß ist ein drittes automatisiertes Fahr-Steuergerät vorgesehen, das zumindest zur Steuerung des Fahrzeugs in den Stillstand ausgebildet ist, wobei die Vorrichtung so konfiguriert ist, dass der automatisierte Fahrbetrieb nur dann eingeleitet und/oder aufrechterhalten wird, wenn die Bremssysteme, Lenksysteme und mindestens zwei der automatisierten Fahr-Steuergeräte funktionsfähig sind, und dass der automatisierte Fahrbetrieb abgebrochen wird, wenn nur eines der automatisierten Fahr-Steuergeräte funktionsfähig ist und/oder wenn eines der Bremssysteme und/oder Lenksysteme und/oder ein Motorsteuergerät nicht funktionsfähig ist, wobei in diesem Fall das noch funktionierende automatisierte Fahr-Steuergerät die Steuerung des Fahrzeugs übernimmt und das Fahrzeug in den Stillstand führt.
Um eine hohe Funktionssicherheit zu erreichen, umfasst die Vorrichtung mehrere Steuergeräte, mehrere Lenksysteme und mehrere Bremssysteme. Die Steuergeräte führen in Abhängigkeit von verschiedenen Sensorsignalen eine Trajektorienplanung durch und erzeugen Beschleunigungssollwerte und einen Lenkwinkelsollwert zum Abfahren der geplanten Trajektorie. Diese Sollwerte werden von den Lenk- bzw. Bremssystemen und von einem Motorsteuergerät am Fahrzeug eingeregelt. Das Motorsteuergerät ist vorgesehen, um ein Sollmoment, das vom Bremssystem vorgegeben wird, in einer Antriebseinheit (Verbrennungsmotor/Elektromotor) des Fahrzeugs umzusetzen.
Erfindungsgemäß sind mindestens drei Steuergeräte vorgesehen, von denen eines als Nebensteuergerät lediglich zur Führung des Fahrzeugs in den Stillstand ausgelegt ist, und von denen die übrigen Steuergeräte als Hauptsteuergeräte zur automatisierten Fahrzeugführung ausgelegt sind. Der automatisierte Fahrbetrieb wird nur dann eingeleitet und durchgeführt, wenn und solange die Lenk- und Bremssysteme und mindestens zwei der Steuergeräte funktionsfähig sind. Wenn nur eines der Steuergeräte funktionsfähig ist oder wenn eines der Lenk- oder Bremssysteme oder das Motorsteuergerät nicht mehr funktionsfähig ist, wird der automatisierte Fahrbetrieb abgebrochen und das noch funktionierende Steuergerät übernimmt die Steuerung des Fahrzeugs und führt dieses gezielt in den Stillstand.
Durch die Ergänzung eines dritten einfachen automatisierten Fahr-Steuergeräts (ADC - automated drive controller) zu den beiden üblichen automatisierten Haupt-Fahr-Steuergeräten kann die Verfügbarkeit des Gesamtsystems dramatisch erhöht sowie mehr Sicherheit gegenüber common cause oder systematischen Fehlern bei den beiden automatisierten Haupt-Fahr-Steuergeräten geboten werden. Die Qualität und Güte der zweiten Rückfallebene kann durch die Nutzung der Umgebungs-Sensor-Anordnung in dieser Rückfallebene deutlich verbessert werden. Das Gesamtdegradationskonzept wird durch die Ergänzung dieser Rückfallebene nochmals deutlich verbessert.
Durch die Erweiterung des Degradationskonzepts um eine weitere Rückfallebene ergeben sich folgende Vorteile:

- Erhöhung der Verfügbarkeit (Nicht-Verfügbarkeit wird ca. halbiert) der autonomen Fahrfunktion,
- Qualitativ hochwertige Rückfallebene auch für Doppelfehler bzw. systematische Fehler verfügbar,
- Spurhaltung ist bei jeglichem Einfachfehler sicher gestellt, und
- Wahrscheinlichkeit für den Notstopp im Bremssystem (letzte Rückfallebene) wird minimiert.

In einer Ausführungsform ist das dritte automatisierte Fahr-Steuergerät lediglich zur Steuerung des Fahrzeugs in den Stillstand ausgebildet. Das zusätzliche dritte automatisierte Fahr-Steuergerät ist beispielsweise ein Nebensteuergerät mit gegenüber den als Hauptsteuergeräten ausgeführten automatisierten Fahr-Steuergeräten geringerem Funktionsumfang. Das zusätzliche dritte automatisierte Fahr-Steuergerät ist damit auch kostengünstiger als die automatisierten Fahr-Steuergeräten herstellbar. Das dritte automatisierte Fahr-Steuergerät ist in dieser Ausführungsform nicht für die Fortsetzung des automatisierten Fahrbetriebs ausgelegt. Das dritte automatisierte Fahr-Steuergerät ist lediglich dazu ausgelegt, das Fahrzeug sicher in den Stillstand zu führen. Dabei wird der Stillstand in einer Position angestrebt, die möglichst sicher ist, beispielsweise am Straßenrand.
In einer Ausführungsform sind die beiden Bremssysteme zueinander redundant und/oder die beiden Lenksysteme sind zueinander redundant.
In einer Ausführungsform sind die beiden Bremssysteme und eines der Lenksysteme an einem ersten Aktuator-Bus angeschlossen und mit dem ersten automatisierten Fahr-Steuergerät verbunden und/oder beide Bremssysteme und ein anderes der Lenksysteme sind an einem zweiten Aktuator-Bus angeschlossen und mit dem zweiten automatisierten Fahr-Steuergerät verbunden.
In einer Ausführungsform sind das erste automatisierte Fahr-Steuergerät und das zweite automatisierte Fahr-Steuergerät über einen Bewegungs-Sensor-Bus miteinander und mit einem ersten Bewegungs-Sensor-Cluster verbunden und/oder ein zweiter Bewegungs-Sensor-Cluster ist am zweiten Aktuator-Bus angeschlossen.
In einer Ausführungsform ist das dritte automatisierte Fahr-Steuergerät am ersten Aktuator-Bus und am zweiten Aktuator-Bus angeschlossen.
In einer Ausführungsform ist eine erste Stromversorgungseinheit zur Stromversorgung eines der Lenksysteme und eines der Bremssysteme vorgesehen ist und/oder es ist eine zweite Stromversorgungseinheit zur Stromversorgung des ersten automatisierten Fahr-Steuergeräts und des ersten Bewegungs-Sensor-Clusters vorgesehen und/oder es ist eine dritte Stromversorgungseinheit zur Stromversorgung eines anderen der Bremssysteme, eines anderen der Lenksysteme, des zweiten automatisierten Fahr-Steuergeräts und des zweiten Bewegungs-Sensor-Clusters vorgesehen.
Das dritte automatisierte Fahr-Steuergerät kann an die erste Stromversorgungseinheit oder die zweite Stromversorgungseinheit oder die dritte Stromversorgungseinheit oder an eine vierte Stromversorgungseinheit angeschlossen sein.
In einer Ausführungsform sind das als Nebensteuergerät ausgebildete dritte automatisierte Fahr-Steuergerät und die beiden als Hauptsteuergeräte ausgebildeten ersten und zweiten automatisierten Fahr-Steuergeräte zum Zugriff auf die Umgebungs-Sensor-Anordnung über einen Sensor-COM-Bus ausgebildet.
Ausführungsbeispiele der Erfindung werden im Folgenden anhand von Zeichnungen näher erläutert.
Dabei zeigen:

1 eine schematische Ansicht einer Vorrichtung zur Steuerung eines automatisierten Fahrbetriebs eines Fahrzeugs gemäß dem Stand der Technik, und
2 eine schematische Ansicht einer erfindungsgemäßen Vorrichtung zur Steuerung eines automatisierten Fahrbetriebs eines Fahrzeugs.

Einander entsprechende Teile sind in allen Figuren mit den gleichen Bezugszeichen versehen.
1 zeigt eine schematische Ansicht einer Vorrichtung 1 zur Steuerung eines automatisierten Fahrbetriebs eines Fahrzeugs gemäß dem Stand der Technik.
Die Vorrichtung 1 umfasst ein erstes Bremssystem 2.1 und ein zweites Bremssystem 2.2, die zueinander redundant sind. Ferner sind ein erstes Lenksystem 3.1 und ein zweites Lenksystem 3.2 vorgesehen, die zueinander redundant sind. Das erste Bremssystem 2.1, das zweite Bremssystem 2.2 und das erste Lenksystem 3.1 sind an einem ersten Aktuator-Bus COM1 angeschlossen und mit einem ersten automatisierten Fahr-Steuergerät ADC1 verbunden. Ferner sind das erste Bremssystem 2.1 und das zweite Lenksystem 3.2 an einem zweiten Aktuator-Bus COM2 angeschlossen und mit einem zweiten automatisierten Fahr-Steuergerät ADC2 verbunden. Das erste automatisierte Fahr-Steuergerät ADC1 und das zweite automatisierte Fahr-Steuergerät ADC2 sind über einen Bewegungs-Sensor-Bus COMM miteinander und mit einem ersten Bewegungs-Sensor-Cluster 4.1 verbunden. Ein zweiter Bewegungs-Sensor-Cluster 4.2 ist am zweiten Aktuator-Bus COM2 angeschlossen.
Eine erste Stromversorgungseinheit 5.1 dient der Stromversorgung des ersten Lenksystems 3.1 und des zweiten Bremssystems 2.2. Eine zweite Stromversorgungseinheit 5.2 dient der Stromversorgung des ersten automatisierten Fahr-Steuergeräts ADC1 und des ersten Bewegungs-Sensor-Clusters 4.1. Eine dritte Stromversorgungseinheit 5.3 dient der Stromversorgung des ersten Bremssystems 2.1, des zweiten Lenksystems 3.2, des zweiten automatisierten Fahr-Steuergeräts ADC2 und des zweiten Bewegungs-Sensor-Clusters 4.2.
Eine Umgebungs-Sensor-Anordnung 6 beinhaltet eine Umgebungssensorik, beispielsweise umfassend ein oder mehrere Radarsensoren, Lidarsensoren, Kameras, deren Signale den automatisierten Fahr-Steuergeräten ADC1, ADC2 zugeführt werden, beispielsweise über einen Sensor-COM-Bus.
Die Bewegungs-Sensor-Cluster 4.1, 4.2 beinhalten eine Trägheitssensorik, umfassend jeweils drei Drehratensensoren und drei Trägheitssensoren für drei Koordinatenachsen. Eine DGNSS-Sensorik (differentielles globales Navigations-Satelliten-System) ist an geeigneter Stelle, beispielsweise in einem der Bewegungs-Sensor-Cluster 4.1, 4.2 zur satellitengestützten Lokalisierung untergebracht.
Die automatisierten Fahr-Steuergeräte ADC1, ADC2 sind redundant ausgeführt. Sie arbeiten parallel und führen die gleichen Aufgaben aus: Sie planen basierend auf den Signalen der Sensoren der Umgebungs-Sensor-Anordnung 6, Trägheitssensoren der Bewegungs-Sensor-Cluster 4.1, 4.2 und DGNSS-Sensoren eine vom Fahrzeug automatisiert abzufahrende Trajektorie und ermitteln die zum Abfahren der geplanten Trajektorie erforderlichen Sollwerte der Beschleunigung und des Lenkwinkels.
Die Sollwerte der Beschleunigung werden den redundant ausgeführten Bremssystemen 2.1, 2.2 sowie einem nicht gezeigten Motorsteuergerät zugeführt. Das Motorsteuergerät kann, muss aber nicht, redundant ausgeführt sein. Das Motorsteuergerät setzt positive und teilweise negative Sollwerte der Beschleunigung in ein Antriebsmoment oder in ein Rekuperationsmoment um und die Bremssysteme 2.1, 2.2 setzen negative Sollwerte der Beschleunigung (das heißt Verzögerungswerte) in Bremsmomente an den Fahrzeugbremsen um.
Die Sollwerte des Lenkwinkels werden den ebenfalls redundant ausgeführten Lenksystemen 3.1, 3.2 zugeführt, welche den Lenkwinkel an den lenkbaren Rädern des Fahrzeugs entsprechend den Sollwerten einstellen.
Die beiden Lenksysteme 3.1, 3.2 arbeiten gemeinsam. Sie sind so ausgelegt, dass sie ihre Aufgabe auch allein erfüllen können, d.h. wenn eines der Lenksysteme 3.1, 3.2 ausfällt, dann arbeitet das andere, noch funktionierende Lenksystem 3.1, 3.2 alleine weiter. Es muss dann aber mehr Arbeit leisten. Das noch funktionierende Lenksystem 3.1, 3.2 erkennt den Ausfall des anderen Lenksystems 3.1, 3.2 daran, dass das andere Lenksystem 3.1, 3.2 keine Stellsignale für die Lenkaktoren liefert. Das funktionierende Lenksystem 3.1, 3.2 meldet den Ausfall des anderen Lenksystems 3.1, 3.2 an die beiden automatisierten Fahr-Steuergeräte ADC1, ADC2, so dass diese eine Entscheidung über den weiteren Fahrbetrieb treffen können.
Die beiden Bremssysteme 2.1, 2.2 arbeiten gemeinsam. Sie sind so ausgelegt, dass sie ihre Aufgabe auch alleine erfüllen können, d.h. wenn eines der Bremssysteme 2.1, 2.2 ausfällt, dann arbeitet das noch funktionierende Bremssystem 2.1, 2.2 allein weiter. Es muss dann aber mehr Arbeit leisten. Das noch funktionierende Bremssystem 2.1, 2.2 erkennt den Ausfall des anderen Bremssystems 2.1, 2.2 daran, dass das andere Bremssystem 2.1, 2.2 keine Stellsignale für die Bremsaktoren liefert. Das funktionierende Bremssystem 2.1, 2.2 meldet den Ausfall des anderen Bremssystems 2.1, 2.2 an die automatisierten Fahr-Steuergeräte ADC1, ADC2, so dass diese eine Entscheidung über den weiteren Fahrbetrieb treffen können. In einer Ausführungsform kann das erste Bremssystem 2.1 ein elektronisches Stabilitätsprogramm umfassen. Das zweite Bremssystem 2.2 kann einen elektronischen Bremskraftverstärker umfassen.
Da die beiden automatisierten Fahr-Steuergeräte ADC1, ADC2 parallel arbeiten, liefern sie, falls sie voll funktionsfähig sind, auch parallel die jeweiligen Sollwerte und diese liegen auch jeweils in einem vorgegebenen gültigen Bereich. Die Bremssysteme 2.1, 2.2 und Lenksysteme 3.1, 3.2 erkennen dies und führen in einem solchen Fall den Lenk- bzw. Bremseingriff ausschließlich auf der Grundlage der Sollwerte von einem der automatisierten Fahr-Steuergeräte ADC1, ADC2 durch. Die Sollwerte des anderen automatisierten Fahr-Steuergerätes ADC1, ADC2 bleiben bei der Durchführung der Lenk- bzw. Bremseingriffe unberücksichtigt. Wenn eines der automatisierten Fahr-Steuergeräte ADC1, ADC2 keine Sollwerte liefert oder ungültige (außerhalb des gültigen Bereichs liegende) Sollwerte liefert, wird auf einen Ausfall des jeweiligen automatisierten Fahr-Steuergeräts ADC1, ADC2 geschlossen und eine entsprechende Meldung an das noch funktionierende automatisierte Fahr-Steuergerät ADC1, ADC2 gegeben.
Wenn eines der Lenksysteme 3.1, 3.2 oder Bremssysteme 2.1, 2.2 ausfällt, wird das Fahrzeug mittels der noch funktionsfähigen Systeme 2.1, 2.2, 3.1, 3.2 sicher in den Stillstand gebremst. Dabei wird der Stillstand in einer Position angestrebt, die möglichst sicher ist, beispielsweise am Straßenrand.
Das Gleiche gilt auch, wenn eines der automatisierten Fahr-Steuergeräte ADC1, ADC2 ausfällt, unabhängig davon, ob durch einen internen Fehler in einem der automatisierten Fahr-Steuergeräte ADC1, ADC2, durch Ausfall einer Stromversorgungseinheit 5.1, 5.2, 5.3 oder durch einen Fehler auf einem der Aktuator-Busse COM1, COM2. Dies führt dazu, dass das Fahrzeug liegen bleibt, wenn das erste automatisierte Fahr-Steuergerät ADC1 ausfällt, obwohl das zweite automatisierte Fahr-Steuergerät ADC2 noch voll funktionsfähig ist und die automatisierte Fahrt daher fortgesetzt werden könnte. Die automatisierte Fahrt wird nur bei vorhandener Redundanz zugelassen und diese ist bei Ausfall des ersten automatisierten Fahr-Steuergeräts ADC1 nicht mehr gegeben. Dasselbe gilt analog, wenn das zweite automatisierte Fahrsteuergerät ADC2 ausfällt und das erste automatisierte Fahrsteuergerät ADC1 noch voll funktionsfähig ist.
Wenn beide automatisierte Fahr-Steuergeräte ADC1 und ADC2 ausfallen, wird das Fahrzeug mit dem ersten Bremssystem 2.1 gezielt in den Stillstand gebremst. Dieses erste Bremssystem 2.1 führt dabei basierend auf den Signalen der Trägheitssensoren des zweiten Bewegungs-Sensor-Clusters 4.2 eine Querdynamikregelung durch (mittels Lenkeingriffen (Lenkwinkelregelung), um das Fahrzeug während des Bremsvorgangs stabil in der Fahrspur zu halten.
2 zeigt eine schematische Ansicht einer erfindungsgemäßen Vorrichtung 1 zur Steuerung eines automatisierten Fahrbetriebs eines Fahrzeugs.
Die Vorrichtung 1 umfasst ein erstes Bremssystem 2.1 und ein zweites Bremssystem 2.2, die zueinander redundant sind. Ferner sind ein erstes Lenksystem 3.1 und ein zweites Lenksystem 3.2 vorgesehen, die zueinander redundant sind. Das erste Bremssystem 2.1, das zweite Bremssystem 2.2 und das erste Lenksystem 3.1 sind an einem ersten Aktuator-Bus COM1 angeschlossen und mit einem ersten automatisierten Fahr-Steuergerät ADC1 verbunden. Ferner sind das erste Bremssystem 2.1, das zweite Bremssystem 2.2 und das zweite Lenksystem 3.2 an einem zweiten Aktuator-Bus COM2 angeschlossen und mit einem zweiten automatisierten Fahr-Steuergerät ADC2 verbunden. Das erste automatisierte Fahr-Steuergerät ADC1 und das zweite automatisierte Fahr-Steuergerät ADC2 sind über einen Bewegungs-Sensor-Bus COMM miteinander und mit einem ersten Bewegungs-Sensor-Cluster 4.1 verbunden. Ein zweiter Bewegungs-Sensor-Cluster 4.2 ist am zweiten Aktuator-Bus COM2 angeschlossen.
Ferner ist ein drittes automatisiertes Fahr-Steuergerät ADC3 vorgesehen, das am ersten Aktuator-Bus COM1 und am zweiten Aktuator-Bus COM2 angeschlossen ist und dem so auch die Signale des zweiten Bewegungs-Sensor-Clusters 4.2 zur Verfügung stehen.
Eine erste Stromversorgungseinheit 5.1 dient der Stromversorgung des ersten Lenksystems 3.1, des zweiten Bremssystems 2.2 und des dritten automatisierten Fahr-Steuergeräts ADC3. Eine zweite Stromversorgungseinheit 5.2 dient der Stromversorgung des ersten automatisierten Fahr-Steuergeräts ADC1, und des ersten Bewegungs-Sensor-Clusters 4.1. Eine dritte Stromversorgungseinheit 5.3 dient der Stromversorgung des ersten Bremssystems 2.1, des zweiten Lenksystems 3.2, des zweiten automatisierten Fahr-Steuergeräts ADC2 und des zweiten Bewegungs-Sensor-Clusters 4.2. Die Stromversorgung des dritten automatisierten Fahr-Steuergeräts ADC3 kann auch von jeder der anderen Stromversorgungs-Einheiten 5.2, 5.3 oder von einer anderen vierten Stromversorgungs-Einheit erfolgen.
Eine Umgebungs-Sensor-Anordnung 6 beinhaltet eine Umgebungssensorik, beispielsweise umfassend ein oder mehrere Radarsensoren, Lidarsensoren, Kameras, deren Signale den automatisierten Fahr-Steuergeräten ADC1, ADC2, ADC3 zugeführt werden.
Die Bewegungs-Sensor-Cluster 4.1, 4.2 beinhalten eine Trägheitssensorik, umfassend jeweils drei Drehratensensoren und drei Trägheitssensoren für drei Koordinatenachsen. Eine DGNSS-Sensorik (differentielles globales Navigations-Satelliten-System) ist an geeigneter Stelle, beispielsweise in einem der Bewegungs-Sensor-Cluster 4.1, 4.2, zur satellitengestützten Lokalisierung untergebracht.
Die automatisierten Fahr-Steuergeräte ADC1, ADC2 sind die Hauptsteuergeräte. Sie sind redundant ausgeführt. Sie arbeiten parallel und führen die gleichen Aufgaben aus: Sie planen basierend auf den Signalen der Sensoren der Umgebungs-Sensor-Anordnung 6, Trägheitssensoren der Bewegungs-Sensor-Cluster 4.1, 4.2 und DGNSS-Sensoren eine vom Fahrzeug automatisiert abzufahrende Trajektorie und ermitteln die zum Abfahren der geplanten Trajektorie erforderlichen Sollwerte der Beschleunigung und des Lenkwinkels. Das zusätzliche dritte automatisierte Fahr-Steuergerät ADC3 ist ein Nebensteuergerät mit gegenüber den als Hauptsteuergeräten ausgeführten automatisierten Fahr-Steuergeräten ADC1, ADC2 geringerem Funktionsumfang. Das zusätzliche dritte automatisierte Fahr-Steuergerät ADC3 ist damit auch kostengünstiger als die automatisierten Fahr-Steuergeräten ADC1, ADC2 herstellbar. Das dritte automatisierte Fahr-Steuergerät ADC3 ist nicht für die Fortsetzung des automatisierten Fahrbetriebs ausgelegt. Das dritte automatisierte Fahr-Steuergerät ADC3 ist lediglich dazu ausgelegt, das Fahrzeug sicher in den Stillstand zu führen. Dabei wird der Stillstand in einer Position angestrebt, die möglichst sicher ist, beispielsweise am Straßenrand.
Die Sollwerte der Beschleunigung werden den redundant ausgeführten Bremssystemen 2.1, 2.2 sowie einem nicht gezeigten Motorsteuergerät zugeführt. Das Motorsteuergerät kann, muss aber nicht, redundant ausgeführt sein. Das Motorsteuergerät setzt positive und teilweise negative Sollwerte der Beschleunigung in ein Antriebsmoment oder Rekuperationsmoment um und die Bremssysteme 2.1, 2.2 setzen negative Sollwerte der Beschleunigung (das heißt Verzögerungswerte) in Bremsmomente an den Fahrzeugbremsen um.
Die Sollwerte des Lenkwinkels werden den ebenfalls redundant ausgeführten Lenksystemen 3.1, 3.2 zugeführt, welche den Lenkwinkel an den lenkbaren Rädern des Fahrzeugs entsprechend den Sollwerten einstellen.
Die beiden Lenksysteme 3.1, 3.2 arbeiten gemeinsam. Sie sind so ausgelegt, dass sie ihre Aufgabe auch allein erfüllen können, d.h. wenn eines der Lenksysteme 3.1, 3.2 ausfällt, dann arbeitet das andere, noch funktionierende Lenksystem 3.1, 3.2 alleine weiter. Es muss dann aber mehr Arbeit leisten. Das noch funktionierende Lenksystem 3.1, 3.2 erkennt den Ausfall des anderen Lenksystems 3.1, 3.2 daran, dass das andere Lenksystem 3.1, 3.2 keine Stellsignale für die Lenkaktoren liefert. Das funktionierende Lenksystem 3.1, 3.2 meldet den Ausfall des anderen Lenksystems 3.1, 3.2 an die beiden automatisierten Fahr-Steuergeräte ADC1, ADC2, so dass diese eine Entscheidung über den weiteren Fahrbetrieb treffen können.
Die beiden Bremssysteme 2.1, 2.2 arbeiten gemeinsam. Sie sind so ausgelegt, dass sie ihre Aufgabe auch alleine erfüllen können, d.h. wenn eines der Bremssysteme 2.1, 2.2 ausfällt, dann arbeitet das noch funktionierende Bremssystem 2.1, 2.2 allein weiter. Es muss dann aber mehr Arbeit leisten. Das noch funktionierende Bremssystem 2.1, 2.2 erkennt den Ausfall des anderen Bremssystems 2.1, 2.2 daran, dass das andere Bremssystem 2.1, 2.2 keine Stellsignale für die Bremsaktoren liefert. Das funktionierende Bremssystem 2.1, 2.2 meldet den Ausfall des anderen Bremssystems 2.1, 2.2 an die automatisierten Fahr-Steuergeräte ADC1, ADC2, so dass diese eine Entscheidung über den weiteren Fahrbetrieb treffen können. In einer Ausführungsform kann das erste Bremssystem 2.1 ein elektronisches Stabilitätsprogramm umfassen. Das zweite Bremssystem 2.2 kann einen elektronischen Bremskraftverstärker umfassen.
Da die beiden automatisierten Fahr-Steuergeräte ADC1, ADC2 parallel arbeiten, liefern sie, falls sie voll funktionsfähig sind, auch parallel die jeweiligen Sollwerte und diese liegen auch jeweils in einem vorgegebenen gültigen Bereich. Die Bremssysteme 2.1, 2.2 und Lenksysteme 3.1, 3.2 erkennen dies und führen in einem solchen Fall den Lenk- bzw. Bremseingriff ausschließlich auf der Grundlage der Sollwerte von einem der automatisierten Fahr-Steuergeräte ADC1, ADC2 durch. Die Sollwerte des anderen automatisierten Fahr-Steuergeräte ADC1, ADC2 bleiben bei der Durchführung der Lenk- bzw. Bremseingriffe unberücksichtigt. Wenn eines der automatisierten Fahr-Steuergeräte ADC1, ADC2 keine Sollwerte liefert oder ungültige (außerhalb des gültigen Bereichs legende) Sollwerte liefert, wird auf einen Ausfall des jeweiligen automatisierten Fahr-Steuergeräts ADC1, ADC2 geschlossen und eine entsprechende Meldung an das noch funktionierende automatisierte Fahr-Steuergerät ADC1, ADC2 gegeben.
Wenn eines der Lenksysteme 3.1, 3.2 oder Bremssysteme 2.1, 2.2 ausfällt, wird das Fahrzeug mittels der noch funktionsfähigen Systeme 2.1, 2.2, 3.1, 3.2 sicher in den Stillstand gebremst. Dabei wird der Stillstand in einer Position angestrebt, die möglichst sicher ist, beispielsweise am Straßenrand.
Wenn eines der automatisierten Fahr-Steuergeräte ADC1, ADC2 ausfällt, unabhängig davon, ob durch einen internen Fehler in einem der automatisierten Fahr-Steuergeräte ADC1, ADC2, durch Ausfall einer Stromversorgungseinheit 5.1, 5.2, 5.3 oder durch einen Fehler auf einem der Aktuator-Busse COM1, COM2, dann übernimmt das jeweils nicht ausgefallene automatisierte Fahr-Steuergeräte ADC1, ADC2 die Steueraufgabe und das Fahrzeug führt somit seine automatisierte Fahrt fort (erste Rückfallebene: Fortsetzung des automatisierten Fahrbetriebs). Das zusätzliche dritte automatisierte Fahr-Steuergerät ADC3 ist als zusätzliche Sicherungseinrichtung verfügbar, die bei einem zusätzlichen Ausfall auch des bislang noch nicht ausgefallenen automatisierten Fahr-Steuergeräts ADC1, ADC2 die Steuerung des Fahrzeugs übernimmt und dieses in den Stillstand bremst (zweite Rückfallebene: Beendigung des automatisierten Fahrbetriebs). Der Ausfall eines der beiden als Hauptsteuergeräte ausgebildeten automatisierten Fahr-Steuergeräte ADC1, ADC2 führt somit nicht zum „Liegenbleiben“ des Fahrzeugs, sofern das als Nebensteuergerät ausgeführte automatisierte Fahr-Steuergerät ADC3 funktionsfähig ist.
Wenn beide automatisierte Fahr-Steuergeräte ADC1 und ADC2 ausfallen, übernimmt das dritte automatisierte Fahr-Steuergerät ADC3 das Kommando und das Fahrzeug wird mittels der noch funktionsfähigen Systeme sicher in den Stillstand gebremst. Dabei wird der Stillstand in einer Position angestrebt, die möglichst sicher ist, beispielsweise am Straßenrand.
Wenn beide als Hauptsteuergeräte ausgebildete automatisierte Fahr-Steuergeräte ADC1 und ADC2 ausfallen und zusätzliche auch das als Nebensteuergerät ausgebildete dritte automatisierte Fahr-Steuergerät ADC3 ausfällt, wird das Fahrzeug mit dem ersten Bremssystem 2.1 gezielt in den Stillstand gebremst. Dieses erste Bremssystem 2.1 führt dabei basierend auf den Signalen der Trägheitssensoren des zweiten Bewegungs-Sensor-Clusters 4.2 eine Querdynamikregelung durch (mittels Lenkeingriffen (Lenkwinkelregelung)), um das Fahrzeug während des Bremsvorgangs stabil in der Fahrspur zu halten.
Wenn eines der als Hauptsteuergeräte ausgebildeten automatisierten Fahr-Steuergeräte ADC1 oder ADC2 und das als Nebensteuergerät ausgebildete dritte automatisierte Fahr-Steuergerät ADC3 ausfallen, übernimmt das jeweils nicht ausgefallene als Hauptsteuergerät ausgebildete automatisierte Fahr-Steuergerät ADC1 oder ADC2 die Steueraufgabe und führt das Fahrzeug in den Stillstand. Die automatisierte Fahrt wird in diesem Fall nicht fortgesetzt.
Wenn das als Nebensteuergerät ausgebildete dritte automatisierte Fahr-Steuergerät ADC3 ausfällt, verbleibt die Steueraufgabe weiterhin beim als Hauptsteuergerät ausgebildeten automatisierten Fahr-Steuergerät ADC1 und das Fahrzeug führt somit seine automatisierte Fahrt fort (erste Rückfallebene: Fortsetzung des automatisierten Fahrbetriebs). Das zweite als Hauptsteuergerät ausgebildete automatisierte Fahr-Steuergerät ADC2 ist als zusätzliche Sicherungseinrichtung verfügbar, die bei einem zusätzlichen Ausfall auch des ersten automatisierten Fahr-Steuergeräts ADC1 die Steuerung des Fahrzeugs übernimmt und dieses in den Stillstand bremst (zweite Rückfallebene: Beendigung des automatisierten Fahrbetriebs). Der Ausfall eines als Nebensteuergerät ausgebildeten dritten automatisierten Fahr-Steuergeräts ADC3 führt somit nicht zum „Liegenbleiben“ des Fahrzeugs, sofern beide als Hauptsteuergeräte ausgebildeten automatisierten Fahr-Steuergeräte ADC1 und ADC2 noch funktionsfähig sind.
In einer Ausführungsform kann das als Nebensteuergerät ausgebildete dritte automatisierte Fahr-Steuergerät ADC3 alternativ oder zusätzlich am ersten Aktuator-Bus COM1 angeschlossen sein. Die Stromversorgung des als Nebensteuergerät ausgebildeten dritten automatisierten Fahr-Steuergeräts ADC3 kann alternativ auch durch eine der beiden anderen Stromversorgungseinheiten 5.1, 5.3 erfolgen. Als weitere Möglichkeit zur weiteren Steigerung der Verfügbarkeit könnte auch ein zusätzliches viertes Bordnetz genutzt werden. Neben den beiden als Hauptsteuergeräte ausgebildeten automatisierten Fahr-Steuergeräten ADC1, ADC2 erhält auch das als Nebensteuergerät ausgebildete dritte automatisierte Fahr-Steuergerät ADC3 Zugriff auf die gesamte Sensorik der Umgebungs-Sensor-Anordnung 6, beispielsweise über einen Sensor-COM-Bus.
Bezugszeichenliste

1: Vorrichtung
2.1: erstes Bremssystem
2.2: zweites Bremssystem
3.1: erstes Lenksystem
3.2: zweites Lenksystem
4.1: erster Bewegungs-Sensor-Cluster
4.2: zweiter Bewegungs-Sensor-Cluster
5.1: erste Stromversorgungseinheit
5.2: zweite Stromversorgungseinheit
5.3: dritte Stromversorgungseinheit
6: Umgebungs-Sensor-Anordnung
ADC1: erstes automatisiertes Fahr-Steuergerät
ADC2: zweites automatisiertes Fahr-Steuergerät
ADC3: drittes automatisiertes Fahr-Steuergerät
COM 1: erster Aktuator-Bus
COM2: zweiter Aktuator-Bus
COMM: Bewegungs-Sensor-Bus

Claims

Vorrichtung (1) zur Steuerung eines automatisierten Fahrbetriebs eines Fahrzeugs, umfassend mindestens zwei Bremssysteme (2.1, 2.2), mindestens zwei Lenksysteme (3.1, 3.2), ein Motorsteuergerät, ein erstes automatisiertes Fahr-Steuergerät (ADC1) und ein zweites automatisiertes Fahr-Steuergerät (ADC2), eine Umgebungs-Sensor-Anordnung (6) und Trägheitssensoren, wobei die automatisierten Fahr-Steuergeräte (ADC1, ADC2) redundant ausgeführt und konfiguriert sind, basierend auf Signalen der Umgebungs-Sensor-Anordnung (6) und der Trägheitssensoren eine Trajektorie für das Fahrzeug zu planen und zum Abfahren der geplanten Trajektorie erforderliche Sollwerte der Beschleunigung und des Lenkwinkels zu erzeugen und den Bremssystemen (2.1, 2.2), Lenksystemen (3.1, 3.2) und dem Motorsteuergerät zuzuführen, dadurch gekennzeichnet, dass ein drittes automatisiertes Fahr-Steuergerät (ADC3) vorgesehen ist, das zumindest zur Steuerung des Fahrzeugs in den Stillstand ausgebildet ist, wobei die Vorrichtung (1) so konfiguriert ist, dass der automatisierte Fahrbetrieb nur dann eingeleitet und/oder aufrechterhalten wird, wenn die Bremssysteme (2.1, 2.2), Lenksysteme (3.1, 3.2) und mindestens zwei der automatisierten Fahr-Steuergeräte (ADC1, ADC2, ADC3) funktionsfähig sind, und dass der automatisierte Fahrbetrieb abgebrochen wird, wenn nur eines der automatisierten Fahr-Steuergeräte (ADC1, ADC2, ADC3) funktionsfähig ist und/oder wenn eines der Bremssysteme (2.1, 2.2) und/oder Lenksysteme (3.1, 3.2) und/oder ein Motorsteuergerät nicht funktionsfähig ist, wobei in diesem Fall das noch funktionierende automatisierte Fahr-Steuergerät (ADC1, ADC2, ADC3) die Steuerung des Fahrzeugs übernimmt und das Fahrzeug in den Stillstand führt.
Vorrichtung (1) nach Anspruch 1, dadurch gekennzeichnet, dass das dritte automatisierte Fahr-Steuergerät (ADC3) lediglich zur Steuerung des Fahrzeugs in den Stillstand ausgebildet ist.
Vorrichtung (1) nach einem der Ansprüche 1 oder 2, dadurch gekennzeichnet, dass die beiden Bremssysteme (2.1, 2.2) zueinander redundant sind und/oder dass die beiden Lenksysteme (3.1, 3.2) zueinander redundant sind.
Vorrichtung (1) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die beiden Bremssysteme (2.1, 2.2) und eines der Lenksysteme (3.1) an einem ersten Aktuator-Bus (COM1) angeschlossen und mit dem ersten automatisierten Fahr-Steuergerät (ADC1) verbunden sind und/oder wobei beide Bremssysteme (2.1, 2.2) und ein anderes der Lenksysteme (3.2) an einem zweiten Aktuator-Bus (COM2) angeschlossen und mit dem zweiten automatisierten Fahr-Steuergerät (ADC2) verbunden sind.
Vorrichtung (1) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das erste automatisierte Fahr-Steuergerät (ADC1) und das zweite automatisierte Fahr-Steuergerät (ADC2) über einen Bewegungs-Sensor-Bus (COMM) miteinander und mit einem ersten Bewegungs-Sensor-Cluster (4.1) verbunden sind und/oder dass ein zweiter Bewegungs-Sensor-Cluster (4.2) am zweiten Aktuator-Bus (COM2) angeschlossen ist.
Vorrichtung (1) nach Anspruch 4 oder 5, dadurch gekennzeichnet, dass das dritte automatisierte Fahr-Steuergerät (ADC3) am ersten Aktuator-Bus (COM1) und am zweiten Aktuator-Bus (COM2) angeschlossen ist.
Vorrichtung (1) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass eine erste Stromversorgungseinheit (5.1) zur Stromversorgung eines der Lenksysteme (3.1) und eines der Bremssysteme (2.2) vorgesehen ist und/oder dass eine zweite Stromversorgungseinheit (5.2) zur Stromversorgung des ersten automatisierten Fahr-Steuergeräts (ADC1) und des ersten Bewegungs-Sensor-Clusters (4.1) vorgesehen ist und/oder dass eine dritte Stromversorgungseinheit (5.3) zur Stromversorgung eines anderen der Bremssysteme (2.1), eines anderen der Lenksysteme (3.2), des zweiten automatisierten Fahr-Steuergeräts (ADC2) und des zweiten Bewegungs-Sensor-Clusters (4.2) vorgesehen ist.
Vorrichtung (1) nach Anspruch 7, dadurch gekennzeichnet, dass das dritte automatisierte Fahr-Steuergerät (ADC3) an die erste Stromversorgungseinheit (5.1) oder die zweite Stromversorgungseinheit (5.2) oder die dritte Stromversorgungseinheit (5.3) oder an eine vierte Stromversorgungseinheit angeschlossen ist.
Vorrichtung (1) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das als Nebensteuergerät ausgebildete dritte automatisierte Fahr-Steuergerät (ADC3) und die beiden als Hauptsteuergeräte ausgebildeten ersten und zweiten automatisierten Fahr-Steuergeräte (ADC1, ADC2) zum Zugriff auf die Umgebungs-Sensor-Anordnung (6) über einen Sensor-COM-Bus ausgebildet sind.