-
Die Erfindung betrifft ein Steuerungssystem für ein wenigstens teilweise automatisiertes Kraftfahrzeug, wie einen Personenkraftwagen oder einen Lastkraftwagen. Insbesondere betrifft die Erfindung eine Systemarchitektur des Steuerungssystems. Vorzugsweise ist das Steuerungssystem ein Steuerungssystem, das automatisiert das Kraftfahrzeug bremst oder steuert, wie ein Longitudinalsteuerungssystem, z.B. ein automatisches Notbremssystem oder ein Abstandsregeltempomat. Das Steuerungssystem kann auch ein Lateralsteuerungssystem umfassen, z.B. ein Spurwechselassistent oder ein Spurhalteassistent. Insbesondere kann das Steuerungssystem ein automatisiertes Lateral- und Longitudinalsteuerungssystem sein, wie ein Autobahnautopilot. Die Erfindung betrifft auch ein entsprechendes Verfahren zum Steuern eines wenigstens teilautomatisierten Kraftfahrzeugs.
-
Mit zunehmender Automatisierung der Steuerung von Kraftfahrzeugen, steigen die Anforderungen an Sicherheit und Komfort solcher Systeme. Hinsichtlich der Erhöhung der Sicherheit von Steuerungssystemen für teilweise automatisierte Kraftfahrzeuge ist aus
EP 3 085 596 B1 ein elektronisches Fahrzeugsicherheitssteuerungssystem mit einem Mikrocontroller bekannt, der eine Lockstep-Architektur aufweist, und einem zweiten Mikrocontroller der wenigstens zwei Prozessorkerne aufweist, wobei der Mikrocontroller mit Lockstep-Architektur die Ausgaben der Prozessorkerne des zweiten Mikrocontrollers überwacht und steuert. Eine verbesserte Sicherheit des Steuerungssystems ist insbesondere durch die Lockstep-Architektur des Mikroprozessors erreicht, der zur Prüfung der Rechenoperationen des anderen Mikrocontrollers eingesetzt wird. Die hohe Sicherheit der eingesetzten Mikroprozessoren mit Lockstep-Architektur zielt vor allem auf die Prüfung der durchgeführten Rechenoperationen und ist mit höheren Kosten für den Mikroprozessor verbunden.
-
DE 10 2014 220 781 A1 offenbart eine Architektur für ein System zum automatisierten Fahren mit zwei Recheneinheiten, bei dem die Entscheidung darüber, welche der Recheneinheiten einen Aktuator wirksam ansteuert, von einer der beiden Recheneinheiten, dem Aktuator oder mehreren dieser Komponenten getroffen wird. Dazu überwachen sich die Recheneinheiten gegenseitig. Weiterhin werden redundante Sensordaten gegeneinander abgeglichen. Schließlich ist Redundanz für ein Aktuatorsteuergerät vorgesehen.
Für (teil-)automatisiertes Fahrfunktionen ist es wünschenswert, dass ein Steuerungssystem zum automatisierten Fahren, bei einer Beeinträchtigung einer Komponente des Steuerungssystems möglichst weitgehend funktionsfähig bleibt. Bekannte technische Lehren, mittels derer eine Ausfallsicherheit bei einem Steuerungssystem zum automatisierten Fahren erreicht wird, sind kostspielig und nicht ausreichend flexibel.
-
Es ist Aufgabe der Erfindung, die Nachteile des Stands der Technik zu überwinden, insbesondere ein Steuerungssystem bereitzustellen, dessen Architektur kostengünstig Ausfallsicherheit erreicht und flexibel für unterschiedliche automatisierte Fahraufgaben einsetzbar ist.
-
Diese Aufgabe löst ein Steuerungssystem für ein wenigstens teilautomatisiertes Kraftfahrzeug, wobei das Steuerungssystem umfasst: Eine Sensorik, welche dazu angeordnet und ausgebildet ist, Umfelddaten zum automatisierten Betreiben des Kraftfahrzeugs zu erfassen; eine Aktoriksteuerung, die dazu ausgebildet ist, eine Aktorik des Kraftfahrzeugs zu steuern; eine Steuerungseinheit, die dazu eingerichtet und ausgebildet ist, mit den Umfelddaten Steuerbefehle für die zumindest eine Aktoriksteuerung zu ermitteln und diese Steuerbefehle an die zumindest eine Aktoriksteuerung zu übermitteln, um das Kraftfahrzeug wenigstens teilautomatisiert zu betreiben, wobei die Sensorik, die Aktorik und/oder die Steuerungseinheit, wenigstens zwei zueinander funktionsredundant ausgebildete Komponenten umfasst. Erfindungsgemäß ist wenigstens ein Komponentendiagnosesystem vorgesehen, das dazu ausgebildet ist, einen Funktionsqualitätsparameter einer jeweiligen der wenigstens zwei funktionsredundanten Komponenten zu überwachen und abhängig von den Funktionsqualitätsparametern wenigstens eine der zwei funktionsredundanten Komponenten in den Betrieb des Steuerungssystems einzubinden.
-
Unter einem Komponentendiagnosesystem ist ein Diagnosesystem zu verstehen, das spezifisch der Überwachung einer bestimmten Komponente des Steuerungssystems zugeordnet ist, wobei die Komponente funktionsredundant ausgebildet ist. Ein solches Komponentendiagnosesystem ist insbesondere technisch unabhängig von der funktionsredundanten Komponente realisiert. Ein Funktionsqualitätsparameter stellt eine Aussage über eine verfügbare Qualität eines Untersystems der Steuerungssystems bereit, insbesondere in einer graduell abgestuften Weise. Vorzugsweise betrifft der Funktionsqualitätsparameter eine bezüglich der übergeordneten Funktion des Steuerungssystems kritische Funktion des Untersystems. Vorzugsweise ist die funktionsredundante Komponenten Teil des Untersystems oder bildet das Untersystem.
-
Mit Hilfe der detaillierten Diagnose der jeweiligen funktionsredundanten Komponenten, insbesondere auf verschiedenen Funktionsebenen und in Untersystemen des Steuerungssystems kann ein fehlersicherer Betrieb des Steuerungssystems sichergestellt werden. Die Komponentendiagnose mit einen Qualitätsparameter hinsichtlich der kritischen Funktionen ermöglicht potentielle Beeinträchtigungen der Funktionen frühzeitig zu erkennen und das System mit Hilfe der redundanten Komponenten zu rekonfigurieren, so dass der automatisierte Betrieb fortgesetzt werden kann.
-
Insbesondere ist die Steuerungseinheit dazu eingerichtet und ausgebildet ist, das Kraftfahrzeug wenigstens teilautomatisiert zu betreiben, wenn ein Funktionsqualitätsparameter einen vorgegebenen Schwellwert unterschreitet. In anderen Worten wird überwacht, ob eine für den teilautomatisierten Betrieb kritische Funktion nicht mehr in einer ausreichenden Qualität zur Verfügung steht. Hierdurch wird eine zuverlässige Fehlererkennung erreicht.
-
Insbesondere ist die Steuerungseinheit dazu eingerichtet und ausgebildet, das Kraftfahrzeug wenigstens teilautomatisiert zu betreiben, wenn das Komponentendiagnosesystem nur eine der wenigstens zwei funktionsredundanten Komponenten in den Betrieb des Steuerungssystems einbindet. Insbesondere ist die Steuerungseinheit dazu ausgebildet, sich bei Ausfall einer der wenigstens zwei funktionsredundanten Komponenten unter Verwendung der jeweils anderen der wenigstens zwei funktionsredundanten Komponenten derart zu rekonfigurieren, dass eine automatisiert Betrieb weiter ermöglicht ist.
-
Insbesondere ist das Komponentendiagnosesystem dazu eingerichtet und ausgebildet, ein Signal zum Beenden eines vollautomatisierten Betriebs des Kraftfahrzeugs und/oder zum Übergehen in einem sicheren Betriebszustand an die Steuerungseinheit zu senden, sobald weniger als zwei der wenigstens zwei funktionsredundant ausgebildeten Komponenten aktiviert oder in das Steuerungssystem eingebunden sind. Mit dieser Maßnahme wird eine sichere Abschaltung des automatisierten Fahrbetriebs im Fall eines über die redundanten Komponenten übergreifenden Fehlers sichergestellt. Durch eine insbesondere verteilte Diagnosemöglichkeit des Diagnosesystems, lässt sich die Gefahr eines derartigen Zustands frühzeitig erkennen.
-
Insbesondere überwacht das Komponentendiagnosesystem wenigstens einen Hardwarefehler und/oder einen Funktionszustand und den Funktionsqualitätsparameter. Der Funktionsqualitätsparameter hat insofern eine weitergehende Aussagequalität als nur das Vorliegen eines Fehlers. Das Komponentendiagnosesystem überwacht nicht nur simple Funktionsverfügbarkeit, sondern stellt eine darüberhinausgehende insbesondere mehrere Untersysteme des Steuerungssystems umfassende Funktionsdiagnose bereit. Dazu kann eine Funktionsqualitätsmetrik zum Einsatz kommen, die insbesondere auf einer Analyse kritischer Funktionsteile der automatisierten Fahrfunktion basiert.
-
Zusätzlich oder alternativ ist das Komponentendiagnosesystem derart ausgebildet, dass für die Sensorik zumindest eine von zwei funktionsredundanten Komponenten unter Berücksichtigung wenigstens eines Funktionsqualitätsparameters dem Steuerungssystem bereitgestellt wird.
-
Insbesondere ist das Komponentendiagnosesystem derart ausgebildet, dass für die Aktorik zumindest eine von zwei funktionsredundanten Komponenten unter Berücksichtigung wenigstens eines Funktionsqualitätsparameters dem Steuerungssystem bereitgestellt wird. Insbesondere erfolgt die Bereitstellung oder das Einbinden in das Steuerungssystem durch die Weiterleitung von Daten, das Aktivieren der Komponente, die Freischalten einer Verbindungsschnittstelle und/oder die Aktivierung eines Sende-/Em pfangskanals.
-
Zusätzlich oder alternativ ist das Komponentendiagnosesystem derart ausgebildet, dass für die Sensorik zumindest eine von zwei funktionsredundanten Komponenten unter Berücksichtigung wenigstens eines Funktionsqualitätsparameters dem Steuerungssystem bereitgestellt wird. Vorzugsweise ist das Komponentendiagnosesystem derart verteilt über die wenigstens zwei funktionsredundanten Komponenten ausgestaltet, dass für eine jeweilige der wenigstens zwei Komponenten ein spezifischer Funktionsqualitätsparameter erfasst und ausgewertet wird. Vorzugsweise initiiert das Komponentendiagnosesysteme eine Rekonfiguration des Steuerungssystems mit nur einer der wenigstens zwei funktionsredundanten Komponenten, falls einer der beiden Funktionsqualitätsparameter einen vorgegebenen Schwellwert unterschreitet.
-
Zusätzlich oder alternativ ist das Komponentendiagnosesystem für die Steuerungseinheit derart ausgebildet, dass zumindest zwei von wenigstens drei funktionsredundanten Komponenten dem Steuerungssystem bereitgestellt werden. Vorzugsweise sind die wenigstens drei funktionsredundanten Komponenten der Steuerungseinheit durch separate Recheneinheiten, insbesondere separate Steuergeräte realisiert. Insbesondere ist das Komponentendiagnosesystem als Teil der Steuerungseinheit ausgestaltet. Damit profitiert das Komponentendiagnosesystem von der mehrfachen Redundanz der Steuereinheit.
-
Insbesondere ist das Komponentendiagnosesystem dazu ausgelegt, den Funktionsqualitätsparameter aus einem Sensorikausgangssignal zu bestimmen. Vorzugsweise überwacht das Komponentendiagnosesysteme eine Reaktion oder Antwort der Steuerungseinheit oder des Steuerungssystems auf ein Sensorikausgangssignal und leitet aus der Reaktion oder Antwort potentielle Fehler, Qualitätsabweichungen und letztendlich den Funktionsqualitätsparameter ab.
-
Insbesondere bestimmt das Komponentendiagnosesystem den Funktionsqualitätsparameter aus einem Funktionsstatus der Sensorik, der Steuerungseinheit und/oder der Aktorik.
-
Insbesondere weist das Komponentendiagnosesystem der Steuerungseinheit drei voneinander unabhängige Diagnoseeinheiten auf, wobei insbesondere eine jeweilige der Diagnoseeinheiten dazu ausgebildet ist, die funktionsredundanten Komponenten von wenigstens zweien aus Aktorik, Sensorik und Steuerungseinheit zu überwachen.
-
Die Erfindung betrifft auch ein Verfahren zum Steuern eines wenigstens teilautomatisierten Kraftfahrzeugs, bei dem
- - Umfelddaten zum automatisierten Betreiben des Kraftfahrzeugs erfasst von einer Sensorik des Kraftfahrzeugs erfasst werden;
- - von einer Steuerungseinheit auf Basis der Umfelddaten Steuerbefehle für die zumindest eine Aktoriksteuerung ermitteln werden, die Steuerbefehle an zumindest eine Aktoriksteuerung übermittelt und eine Aktorik des Kraftfahrzeugs von einer Aktoriksteuerung gemäß den Steuerbefehlen angesteuert werden, um das Kraftfahrzeug wenigstens teilautomatisiert zu betreiben, und wenigstens zwei zueinander funktionsredundant ausgebildete Komponenten der Sensorik, der Aktorik und/oder der Steuerungseinheit, jeweils durch ein Komponentendiagnosesystem hinsichtlich eines Funktionsqualitätsparameter überwacht werden sowie abhängig von dem Funktionsqualitätsparameter wenigstens eine der zwei funktionsredundanten Komponenten in das Steuern des Kraftfahrzeugs eingebunden wird.
-
Insbesondere wird der Funktionsqualitätsparameter durch eine Analyse kritischer Einflussgrößen für das wenigstens teilautomatisierte Steuern des Kraftfahrzeugs bestimmt. Dazu werden in ein virtuellem Durchlauf durch das Steuerungssystem von Untersystem zu Untersystem, also von Sensorik zu Objekterfassung zu Verarbeitung zu Entscheidung zu Planung zu Aktorik, diejenigen Qualitätsparameter identifiziert, die für das jeweilige Untersystem kritisch sind. Die funktionskritischen Parameter werden in Form von einem oder mehreren Funktionsqualitätsparametern erfasst und ausgewertet.
-
Insbesondere entspricht das erfindungsgemäße Verfahren der Betriebsweise des erfindungsgemäßen Steuerungssystems und dessen Ausgestaltungen. Das erfindungsgemäße Steuerungssystem ist dazu ausgebildet gemäß dem erfindungsgemäßen Verfahren und dessen Ausgestaltungen zu arbeiten.
-
Insbesondere werden Fehler oder eine Beeinträchtigung der Sensorik anhand eines oder mehrere Funktionsqualitätsparameter der Sensorik durch eine Komponentendiagnoseeinheit für die Sensorik erfasst. Vorzugsweise bindet die Komponentendiagnoseeinheit ausschließlich diejenige funktionsredundante Komponente der Sensorik in das Steuerungssystem ein, deren Funktionsqualitätsparameter in einem vorgegebenen Bereich liegt. Bevor also Umfeldsensordaten an das folgende Untersystem weitergeleitet werden, wird eine Auswahl unter Berücksichtigung des Funktionsqualitätsparameters getroffen. Es werden somit nur zuverlässige Umfelddaten verarbeitet. In gleicher Weise wird bei der Weiterleitung von Signalen zwischen Steuerungseinheit und Aktorik, bzw. zwischen anderen erwähnten Untersystemen verfahren.
-
Mit Hilfe der detaillierten Diagnose und insbesondere Diagnose von Untersystemen und/oder funktionsredundanten Komponenten kann erkannt werden, wenn eine der redundanten Komponenten beeinträchtigt ist. Weiterhin ist eine Rekonfiguration des Steuerungssytems vorgesehen, so dass das Steuerungssystem insbesondere mit verringertem Funktionsumfang weiterbetrieben werden kann.
-
Insbesondere umfasst das Steuerungssystems einen redundanten Bremsenaktuator. Vorzugsweise wird für den redundanten Bremsenaktuator der Funktionsqualitätsparameter aus einer oder mehreren der folgenden Informationen bestimmt:
- - Betätigungsstatuts des Bremspedals;
- - Betätigungsverlauf des Bremspedals;
- - Aktivität einer der Bremse oder einer Motorbremse;
- - Antiblockiersystemeingriff aktiv;
- - Elektronisches Stabilitätsprogramm aktiv;
- - Funktionsstatus eines Untersystems;
- - Raddrehzahlinformation;
- - Reifendruckinformation;
- - Parkbremsenstatusinformation;
- - Abnutzungsgrad von Verschleißteilen;
- - Intertialmesssystemdaten und -statusinformation;
- - Bremsenbetriebsstatus.
-
Insbesondere umfasst das Steuerungssystems einen redundanten Lenkungsaktuator. Vorzugsweise wird für den redundanten Lenkungsaktuator der Funktionsqualitätsparameter aus einer oder mehreren der folgenden Informationen bestimmt:
- - Betriebsstatus des elektronischen Stabilitätsprogramms;
- - Auflösung des Lenkwinkels;
- - Zulässiger und/oder momentaner Quotient von Lenkwinkel zu Lenkzeit;
- - Gewünschte Lenkrichtung
- - Lenkwunsch und/oder Lenkeingriffsverlauf;
- - Lenkungsbetriebsstatus.
-
Insbesondere umfasst das Steuerungssystems eine redundante Sensorik, wie einen Radarsensor, einen Lidarsensor oder eine oder mehrere Kameras. Vorzugsweise wird für den redundanten Umfeldsensor der Funktionsqualitätsparameter aus einer oder mehreren der folgenden Informationen bestimmt:
- - Ausrichtung und Positionierung des Umfeldsensors in x-, y- und z-Richtung;
- - Verdrehung des Umfeldsensors;
- - Umgebungssituationsstatus, wie Wetterinformationen;
- - Verschmutzungsgrad des Umfeldsensors;
- - Momentaner Messbereich des Umfeldsensors;
- - Verschleißgrad des Umfeldsensors.
-
Insbesondere umfasst das Steuerungssystems eine redundante Steuerungseinheit, auf der Programmcode für wenigstens eine Basissoftware und/oder eine oder mehrere Applikationen für automatisierte Fahrfunktionen oder Untersysteme ausgeführt wird. Vorzugsweise wird für die redundante Steuerungseinheit der Funktionsqualitätsparameter aus einer oder mehreren der folgenden Informationen bestimmt:
- - Statusinformation einer Applikation;
- - Verfügbarkeit des Startens und Stoppen einer Applikation;
- - Rechenzeitzuweisung an eine Applikation durch die Basissoftware;
- - Verfügbarkeit des Startens und Stoppens von parallelen Verarbeitungssträngen von Applikationen durch die Basissoftware
- - Status einer Applikation für das Diagnosesystem;
- - Status einer Applikation für die Eigenkomponentendiagnose
- - Verfügbarkeit des Startes einer Rekonfiguration des Steuerungssystems.
-
Insbesondere umfasst das Steuerungssystems eine redundante Mensch-Maschine-Schnittstelle. Vorzugsweise wird für die redundante Mensch-Maschine-Schnittstelle der Funktionsqualitätsparameter aus einer oder mehreren der folgenden Informationen bestimmt:
-
- - Verfügbarkeitsinformation über eine oder mehrere automatisierte Fahrfunktionen;
- - Fahreraufmerksamkeitsstatus;
- - Fahrergesundheitsstatus;
- - Fahrerblickrichtung;
- - Fahrerlenkwunsch und/oder Steuerungseingriff durch den Fahrer;
- - Warnblinkanlagenbetätigung.
-
Insbesondere ist das Steuerungssystem dazu ausgelegt, bei Ausfall einer der wenigstens zwei funktionsredundanten Komponenten von einem vollautomatisierten Betrieb auf einen teilautomatisierten Betrieb umzuschalten. Insbesondere wird einem Fahrer eine Beendigung des automatisierten Betriebs der Fahrzeugs angekündigt, wenn nur noch eine der funktionsredundanten Komponenten verfügbar ist. Vorzugsweise wird bei Ausfall einer der funktionsredundanten Komponenten das Steuerungssystem mit der verfügbaren funktionsredundanten Komponente rekonfiguriert, so das ein wenigstens teilautomatisierten Betrieb fortgesetzt werden kann. Insbesondere werden Komfortfunktionen des Kraftfahrzeugs und/oder eine automatisierte Fahrfunktion, wie vollautomatischer Spurwechsel, deaktiviert.
-
Ein Merkmal oder mehrere Merkmale der Erfindung haben den Vorteil, dass eine höhere Verfügbarkeit des Steuerungssystems bzw. einer automatisierten Fahrfunktion eines Kraftfahrzeugs erreicht wird. Ein Merkmal oder mehrere Merkmale der Erfindung haben den Vorteil, dass weniger redundante Hardware- und oder Softwarepfade vorgesehen werden müssen, um Fehlersicherheit und einen Weiterbetrieb im Fehlerfall zu erreichen. Ein Merkmal oder mehrere Merkmale haben der Erfindung haben den Vorteil, dass das Steuerungssystem skalierbar ist, ohne das die Fehleranfälligkeit zunimmt oder die Fehlersicherheit nachlässt, oder das Steuerungssystem zu hohe Kosten verursacht.
-
Weitere Merkmale, Vorteile und Eigenschaften der Erfindung werden anhand der Beschreibung bevorzugter Ausführungen der Erfindung unter Verweis auf die Figuren erklärt, die zeigen:
- 1: ein erstes Ausführungsbeispiel eines erfindungsgemäßen Steuerungssystems;
- 2: ein zweites Ausführungsbeispiel eines erfindungsgemäßen Steuerungssystems.
-
Wie in 1 gezeigt, umfasst das erfindungsgemäße Steuerungssystem 10 gemäß einem ersten Beispiel eine Sensorik 20, eine Aktoriksteuerung 30 und eine Steuerungseinheit 90. Das Steuerungssystem 10 stellt in einem nicht näher dargestellten Kraftfahrzeug eine automatisierte Fahrfunktion bereit, zum Beispiel einen Autobahnautopilot, der den Längs- sowie Lateralabstand zu anderen Fahrzeugen regelt und das Fahrzeug entlang einer vorgegebenen Autobahnstrecke zumindest zeitweise ohne Steuerungseingriff eines Insassen des Kraftfahrzeugs führt.
-
Im Beispiel umfasst die Sensorik 20 einen Kamerasensor 22 der als Umfelddaten unter anderem Abstand und Geschwindigkeit von im Umfeld des Kraftfahrzeugs befindlichen Objekten erfasst. Die Sensorik 20 umfasst außerdem einen Radarsensor 24, der zumindest bezüglich eines Teils der Funktion des Kamerasensors 22 funktionsredundant ausgestaltet ist. Der Radarsensor 24 erfasst beispielsweise ebenfalls Abstand und Geschwindigkeit von im Umfeld des Kraftfahrzeugs befindlichen Objekten. Der Kamerasensor 22 und der Radarsensor 24 sind somit bezüglich der Funktion Bestimmung von Abstand und Geschwindigkeit von Objekten im Umfeld des Fahrzeugs funktionsredundante Komponenten.
-
Die Sensorik 20 umfasst weiterhin ein ausschließlich der Sensorik 20 zugeordnetes Sensorikdiagnosemodul 50, das den Kamerasensor 22 überwacht und einen Funktionsqualitätsparameter bezüglich der Funktion Bestimmung von Abstand und Geschwindigkeit von Objekten im Fahrzeugumfeld bestimmt. Der Funktionsqualitätsparameter ist beispielsweise ein kamerainterner Parameter, anhand dessen die momentane Bildqualität und Zuverlässigkeit von Umfelddaten des Kamerasensors 22, also der einen funktionsredundanten Komponente, bestimmt wird.
-
In gleicher Weise überwacht das Sensorikdiagnosemodul 50 den Radarsensor 24, indem Funktionsqualitätsparameter betreffend der Funktion des Radarsensors 24 Bestimmung von Abstand und Geschwindigkeit von Objekten im Fahrzeugumfeld bestimmt und ausgewertet werden.
-
Nach einer vorbestimmten Diagnoseregel, wie dem Überwachen des Funktionsqualitätsparameters auf vorbestimmte Wertebereiche, wird ermittelt, ob für eine für das Steuerungssystem angeforderte automatisierte Fahrfunktion, z.B. Autobahnpilot, alle relevanten Sensorikfunktionen in ausreichender Qualität zur Verfügung stehen. Diejenigen der Komponenten, deren Funktionsqualität ausreichend ist, bindet das Sensorikdiagnosemodul 50 in das Steuerungssystem 10 ein.
-
Beispielsweise leitet dazu das Sensorikdiagnosemodul 50 die Umfelddaten Radarsensors 24 an ein mittels der Steuerungseinheit 90 realisiertes Sensordatenfusionsmodul weiter. In anderen Worten leitet das Sensorikdiagnosemodul 50 Umfelddaten von den funktionsredundanten Komponenten weiter, wenn deren Funktionsqualitätsparameter anzeigen, dass die Funktion ausführbar ist. Diese Auswahl der weiterzuleitenden Umfelddaten wird beispielsweise durch ein Auswahlmodul 25 realisiert. Das Auswahlmodul 25 kann jeweils auf den beiden funktionsredundanten Komponenten redundant vorgesehen sein, als verteiltes System oder, in Abweichung zur Darstellung in 1, durch eine der Recheneinheiten 40, 50, insbesondere die gezeigten Überwachungsmodule 41, 61, oder eine Kombination der zuvor Erwähnten realisiert sein.
-
Das Sensorikdiagnosemodul 50 kann dazu ausgelegt sein, vor dem Weiterleiten einen Auswahl zu treffen, von welcher funktionsredundante Komponente die Umfelddaten weitergeleitet werden. Insbesondere wenn der Funktionsqualitätsparameter einer der wenigstens zwei funktionsredundanten Komponenten anzeigt, dass die Funktion nicht in einer vorbestimmten Qualität realisierbar ist, wählt das Sensorikdiagnosemodul 50, für eine Weiterleitung der Umfelddaten, die Umfelddaten der jeweils anderen funktionsredundanten Komponente aus.
-
Im Falle des Radarsensors 24 wird beispielsweise als Funktionsqualitätsparameter die Ausrichtung des Radarsensors 24 bezüglich des Kraftfahrzeugs in x-/y-/z-Richtung ermittelt und bezüglich vorbestimmter Wertebereiche ausgewertet. Die Ausrichtung des Radarsensors 24 kann direkten Einfluss auf die Funktion Bestimmung von Abstand und Geschwindigkeit von Objekten im Umfeld des Fahrzeugs haben, wenn bestimmte Sollbereiche nicht eingehalten werden. Ist beispielsweise nach einem Parkunfall des Kraftfahrzeugs der Radarsensor 24 nicht mehr korrekt ausgerichtet, ist dies an dem Funktionsqualitätsparameter Ausrichtung in x-/y-/z-Richtung erkennbar. Stellt das Sensorikdiagnosemodul 50 fest, dass die Ausrichtung des Radarsensors 24 außerhalb des Sollbereichs liegt, deaktiviert es die Weiterleitung von Umfelddaten der Funktion Abstands- und Geschwindigkeitsbestimmung des Radarsensors 24 an die Steuerungseinheit 90 und bindet den Radarsensor 24 nicht in das Steuerungssystem 10 ein.
-
Vorzugsweise ist das Sensorikdiagnosemodul 50 als verteiltes Modul in den jeweiligen funktionsredundanten Komponenten realisiert. Das heißt einen jeweilige funktionsredundante Komponente überprüft laufend jeweilige Funktionsqualitätsparameter und leitet ihre Daten nur dann weiter, wenn eine ausreichende Funktionsqualität verfügbar ist.
-
Unter Weiterleitung von Daten ist zu verstehen, dass das Sensorikdiagnosemodul 50 Daten an eine Kommunikationsschnittstelle der jeweiligen Komponente, also z.B. des Radarsensors 24, oder der gesamten Sensorik 20 sendet, über die die Daten dem Steuerungssystem 10 zur Verfügung gestellt werden. Übliche Kommunikationsschnittstellen sind z. B. nach dem CAN-, Flexray- oder Automotive-Ethernet-Busstandard ausgebildet.
-
Die Aktorik 30 umfasst neben wenigstens zwei funktionsredundant ausgebildeten Komponenten, z.B. einer elektrohydraulischen Bremse 32 und einer elektromotorische Parkbremse 34, ein Aktorikdiagnosemodul 54. Das Aktorikdiagnosemodul 54 überwacht eine jeweilige der funktionsredundant ausgebildeten Komponenten anhand eines Funktionsqualitätsparameters, der die verfügbare Funktionsqualität der jeweiligen Komponenten anzeigt. Beispielsweise kann eine maximal zur Verfügung stellbare Bremskraft der elektrohydraulischen Bremse 32 als Funktionsqualitätsparameter überwacht werden. Der Funktionsqualitätsparameter ist so gewählt, dass er bezüglich der Funktion der Komponente im Hinblick auf die durch das Steuerungssystem realisierte automatisierte Fahraufgabe eine graduell abgestufte Aussage über die Verfügbarkeit einer kritischen Funktion oder Teilfunktion liefert. Hierzu werden gegebenenfalls mehrere Parameter der Komponente ausgewertet, um einem Funktionsqualitätsparameter zu ermitteln.
-
Abhängig von dem Funktionsqualitätsparameter einer jeweiligen der wenigstens zwei redundanten Aktorikkomponenten, bindet das Aktorikdiagnosemodul 54 die jeweiligen Aktorikkomponenten in das Steuerungssystem 10 ein. Dazu stellt das Aktorikdiagnosemodul 54 eine Bereitschaftsinformation einem Aktorikauswahlmodul 35 zur Verfügung, das abhängig von der angeforderten Aktorikaktion eine oder mehrere der verfügbaren Aktorikkomponenten ansteuert. Weitere Aktorikkomponenten für die Bremsfunktion, die von dem Aktorikauswahlmodul 35 angesprochen werden können, sind zum Beispiel ein Getriebesteuergerät oder ein Energierückgewinnungssystem.
-
Steuerbefehle für die Aktoriksteuerung 30 ermittelt die Steuerungseinheit 90 auf Basis von Umfelddaten der in das Steuerungssystem 10 eingebundenen Komponenten der Sensorik 20. Die Steuerungseinheit 90 übernimmt Überwachungs- und Diagnoseaufgaben, um die Automatisierung einer Fahraufgabe ausfallsicher bereitstellen zu können. Die Steuerungseinheit 90 weist drei Recheneinheiten 40, 60, 80 auf. Die drei Recheneinheiten 40, 60, 80 können als jeweils voneinander unabhängige Steuergeräte realisiert sein, oder auch als mehrere Prozessoren oder Prozessorkerne in einem Steuergerät.
-
Mit Hilfe der ersten Recheneinheit 40 der Steuerungseinheit ist ein Überwachungsmodul 41 realisiert, das Funktionsqualität und Verfügbarkeit der Sensorik 20 und/oder der Aktorik 30 prüft. Das Überwachungsmodul 41 kann zudem Sensordaten und/oder Aktorikantworten verifizieren. Die Recheneinheit 40 realisiert zudem ein Funktionskontrollmodul 53, das die Funktionsausführung im Steuerungssystem 10 kontrolliert, soweit die Funktion durch eine der weiteren Recheneinheiten 60, 80 berechnet oder ausgeführt wird.
Die Recheneinheit 80 realisiert ebenfalls ein Funktionskontrollmodul 57, das funktionsredundant zum Funktionskontrollmodul 53 der Recheneinheit 40 ausgebildet ist. Weiterhin ist mittels der Recheneinheit 80 ein Funktionsausgabeprüfmodul 85 realisiert, das Ausgabesignale für die Aktorik 30 prüft und verifiziert, sofern diese von der Recheneinheit 60 berechnet werden.
-
Die Recheneinheit 60 realisiert ein Überwachungsmodul 61, das eine funktionsredundante Komponente zum Überwachungsmodul 41 der Recheneinheit 40 ausbildet. Weiterhin realisiert die Recheneinheit 60 ein Funktionsausgabeprüfmodul 65, das Ausgabesignale für die Aktorik 30 prüft und verifiziert, sofern diese von der Recheneinheit 80 berechnet werden. Insgesamt sind also die Funktionsausgabeprüfmodule 65, 85 und die Überwachungsmodule 41, 61 jeweils paarweise funktionsredundant ausgebildet. Die Funktionskontrollmodule 53, 55, 57 sind ebenfalls zueinander funktionsredundant ausgebildet.
-
Jede der Recheneinheiten 40, 60, 80 der Steuerungseinheit 90 kann auch die Aufgabe einer Komponentendiagnoseeinheit für die Aktorik, Sensorik und/oder die Steuerungseinheit übernehmen, die funktionsredundante Komponente überwacht, sowie diese je nach verfügbarer Funktionsqualität in das Steuerungssystem einbindet. In dieser speziellen Ausgestaltung können alle Diagnoseaufgaben des Steuerungssystems 10 durch die Recheneinheiten 40, 60, 80 übernommen werden, oder wie in 1 dargestellt, zumindest teilweise durch zusätzliche Komponenten, wie das Sensorikdiagnosemodul 50 oder das Aktorikdiagnosemodul 54. Insbesondere sind bei Aufteilung des Diagnosesystems auf mehrere Komponenten, die Komponenten räumlich und elektrotechnisch separat ausgestaltet, z.B. mit jeweils von getrennter Spannungsversorgung, eigenem Mikroprozessor, eigenem Speicherbereich und/oder Speicher.
-
Eine Komponentendiagnoseeinheit der Steuerungseinheit 90 kann mit Hilfe der Funktionskontrollmodule 53, 55, 57 realisiert sein. Das Steuerungssystem gemäß Figur arbeitet wie sich aus den obigen Ausführungen ergibt, nach dem erfindungsgemäßen Verfahren. Die ausgewählten Funktionsqualitätsparameter sind für die jeweilige Funktion der Steuerungssystems funktionsrelevante Qualitätskriterien, beispielsweise eine Ausrichtung eines Radarsensors 24 bezüglich der Funktion einer Abstandsmessung zu einem Objekt.
-
In 2 ist ein weiteres Ausführungsbeispiel eines erfindungsgemäßen Steuerungssystem 110 gezeigt, das im Wesentlichen identisch zum Steuerungssystem 10 der 1 ausgebildet ist. Identische Komponenten sind mit den gleichen Bezugsziffern versehen. Das Steuerungssystem 110 unterscheidet sich vom Steuerungssystem 10 lediglich dadurch, dass ein Weichenmodul 56 vorgesehen ist. Das Weichenmodul 56 erfasst Funktionsqualitätsparameter, die durch das Aktorikdiagnosemodul 54 bereitgestellt werden, und entscheidet, an welche der funktionsredundanten Aktorikkomponenten Aktoriksteuerbefehle weitergeleitet werden. In dieser Konfiguration trifft das Aktorikauswahlmodul 35 eine Vorauswahl, die durch das Weichenmodul 56 überstimmt werden kann.
-
Es versteht sich, dass die zuvor erläuterten beispielhaften Ausführungsformen nicht abschließend sind und den hier offenbarten Gegenstand nicht beschränken.
-
Bezugszeichenliste
-
- 10,110
- Steuerungssystem
- 20
- Sensorik
- 22
- Kamerasensor
- 24
- Radarsensor
- 30
- Aktorik
- 32
- Bremse
- 34
- Parkbremse
- 35
- Aktorikauswahlmodul
- 40, 60, 80
- Recheneinheit
- 41, 61
- Überwachungsmodul
- 53, 55, 57
- Funktionskontrollmodul
- 56
- Weichenmodul
- 65, 85
- Funktionsausgabeprüfmodul
- 90
- Steuerungseinheit
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- EP 3085596 B1 [0002]
- DE 102014220781 A1 [0003]
