-
Die vorliegende Erfindung betrifft ein Fail-Operational-System für ein Fahrzeug. Des Weiteren betrifft die vorliegende Erfindung ein Fahrzeug mit einem derartigen Fail-Operational-System. Schließlich betrifft die vorliegende Erfindung ein Verfahren zum Betreiben eines solchen Fail-Operational-Systems.
-
Fahrzeuge und insbesondere derartige Fahrzeuge, welche hochautomatisiert betrieben werden, benötigen redundante Systeme. Vorliegend gilt das Interesse insbesondere sogenannten Fail-Operational-Systemen. Ein derartiges System kann in einem Fehlerfall weiter arbeiten bzw. weiter betrieben werden. Derartige Systeme verfügen meist über eine Fehlerdiagnose und eine Fehlerreaktion. Durch einen entsprechenden Vergleich der einzelnen Komponenten untereinander kann ermittelt werden, ob ein Fehler vorliegt, und bei welcher Komponente dieser Fehler vorhanden ist. Ein derartiges System kann auch als fehlertolerantes System bezeichnet werden.
-
Für solche Fail-Operational-Systeme werden redundante Teilsysteme eingesetzt, die über Datenbusse miteinander kommunizieren. Um die Voraussetzungen für den hochautomatisierten Betrieb eines Fahrzeugs zu ermöglichen, werden beispielsweise auf jeder Ebene einer kaskadierten Regelung zwei Komponenten in symmetrischer oder asymmetrischer Redundanz eingesetzt. Beispielsweise können zwei elektrische Lenksysteme, ein Haupt- und ein Ersatzbremssystem sowie ein Haupt- und ein Ersatzfahrzeugregelsystem verwendet werden. Im Normalbetrieb, also im fehlerfreien Betrieb, sind jeweils die Hauptkomponenten aktiv an der Fahrzeugregelung beteiligt, während die Ersatzkomponenten in der Regel in Bereitschaft verharren, ohne jedoch aktiv an der Fahrzeugregelung teil zu nehmen. Die Ersatzkomponenten stellen also je nach Ausgestaltung eine kalte oder heiße Redundanz dar.
-
Um bei einem beliebigen Fehler in einer Komponente, einem Datenbus oder einer Energieversorgung, welcher ein oder mehrere Elemente des Fail-Operational-Systems gleichzeitig ausfallen lässt, sicher auf einen geeigneten Verbund aus noch betriebsfähigen Komponenten mit einer der Fahraufgabe entsprechenden Wirkverbindung umzuschalten, wurde eine auf die einzelnen im Fail-Operational-System kombinierten Steuergeräte verteilte Kanalumschaltungslogik entwickelt. Hierzu beschreibt die
DE 10 2017 218 395 A1 ein Verfahren zur fehlerrobusten Regelung eines hochautomatisierten Fahrzeugs, umfassend zumindest zwei funktional redundante Fahrzeugsteuerungscluster bzw. Ausfallcluster, umfassend jeweils einen Haupt-Auftraggeber und zumindest einen Neben-Auftraggeber und einen Haupt-Auftragnehmer und zumindest einen Neben-Auftragnehmer, die miteinander und untereinander in Wirkverbindung stehen. Dabei ist für jede von einem der Auftraggeber an einen der Auftragnehmer übermittelte auszuführende Aufgabe eine Priorisierung der Wirkverbindung zur Ausführung der Aufgabe vorgesehen. Des Weiteren erfasst jede der in der Wirkketten vorgesehenen Komponenten des zumindest einen Auftraggebers und jede der in jeder der Wirkketten vorgesehenen Komponenten des zumindest einen Auftragnehmers ihren eigenen Verfügbarkeits-Zustand und stellt diesen anderen Komponenten zur Verfügung. Im Falle des Verfügbarkeits-Zustands der Nicht-Verfügbarkeit einer der Komponenten erfolgt eine Auswahl einer Wirkkette zur Durchführung der auszuführenden Aufgabe basierend auf der Priorisierung der Wirkverbindung und die ausgewählte Wirkkette wird aktiviert.
-
Eine in der
DE 10 2017 218 395 A1 beschriebene Kanalumschaltungslogik ist individuell für die im Fail-Operational-System eingesetzten Komponenten auf Basis deren Architektur entwickelt und spezifiziert das Verhalten des jeweiligen Steuergeräts genau. Diese Kanalumschaltungslogik kann aber bei Änderungen von einzelnen Komponenten eine spezifische Implementierung erfordern. Die Kanalschaltungslogik ist beispielsweise abhängig von Änderungen bei der Verteilung der Funktionen auf die einzelnen Steuergeräte, die Anzahl der Steuergeräte und deren Datenbordnetz-Vernetzung sowie der Energieversorgung der Steuergeräte.
-
Es ist Aufgabe der vorliegenden Erfindung, ein Fail-Operational-System für ein Fahrzeug der eingangs genannten Art bereit zu stellen, welches flexibler für unterschiedliche Komponenten eingesetzt werden kann. Des Weiteren soll ein Fahrzeug mit einem solchen Fail-Operational-System bereitgestellt werden.
-
Diese Aufgabe wird erfindungsgemäß durch ein Fail-Operational-System, durch ein Fahrzeug sowie durch ein Verfahren mit den Merkmalen gemäß den unabhängigen Ansprüchen gelöst. Vorteilhafte Weiterbildungen der vorliegenden Erfindung sind in den abhängigen Ansprüchen angegeben.
-
Ein erfindungsgemäßes Fail-Operational-System für ein Fahrzeug umfasst eine Mehrzahl von redundanten Komponentenpaarungen, wobei jede Komponentenpaarung eine Hauptkomponente in einer Hauptsystemebene und eine Ersatzkomponente in einer Ersatzsystemebene umfasst. Dabei sind die Hauptkomponenten zur Regelung einer Fahrzeugfunktion in einem Normalbetrieb eingerichtet und die Ersatzkomponenten sind zur Regelung der Fahrzeugfunktion in einem Fehlerbetrieb eingerichtet. Dabei stellen die Hauptkomponenten und die Ersatzkomponenten jeweils eine kaskadierte Regelung der Fahrzeugfunktion bereit. Außerdem sind die Komponentenpaarungen durch eine redundante Kommunikationsverbindung miteinander verbunden. Hierbei ist vorgesehen, dass zumindest eine der Komponentenpaarungen als eigenständige Komponentenpaarung ausgebildet ist und eine redundante interne Kommunikationsverbindung zwischen der Hauptkomponente und der Ersatzkomponente aufweist. Des Weiteren ist die zumindest eine eigenständige Komponentenpaarung dazu eingerichtet, anhand der redundanten internen Kommunikationsverbindung eine Funktionsfähigkeit der Hauptkomponente und der Ersatzkomponente zu erkennen und anhand der erkannten Funktionsfähigkeit eine Aktivierung der Hauptkomponente oder der Ersatzkomponente zu bestimmen.
-
Das Fail-Operational-System kann in dem Fahrzeug eingesetzt werden, um Fahrzeugfunktionen bzw. Fahraufgaben zu regeln. Insbesondere kann das Fail-Operational-System für einen hochautomatisierten Betrieb des Fahrzeugs bzw. während des hochautomatisierten Betriebs eingesetzt werden. Um die Fahrzeugfunktion bzw. die Fahraufgabe des Fahrzeugs regeln zu können, werden im Normalbetrieb, also im fehlerfreien Betrieb, die Hauptkomponenten verwendet. Als Hauptkomponenten können Sensoren bzw. Sensor-Steuergeräte, Regler bzw. Regler-Steuergeräte und Aktoren bzw. Aktor-Steuergeräte verwendet werden. Durch die Hauptkomponenten wird für die Regelung der Fahrzeugfunktion bzw. der Fahraufgabe eine kaskadierte Regelung bereitgestellt. Hierzu können Hauptkomponenten als übergeordneter Regler und untergelagerter Regler ausgebildet sein.
-
Die Ersatzkomponenten stellen die Redundanz für die einzelnen Hauptkomponenten dar. Dies bedeutet insbesondere, dass für jede der Hauptkomponenten eine Ersatzkomponente vorhanden ist. Durch die Ersatzkomponenten kann die Regelung der Fahrzeugfunktion in dem Fehlerbetrieb übernommen werden. Die korrespondierenden Hauptkomponenten und Ersatzkomponenten bilden jeweils eine Komponentenpaarung. Diese einzelnen Komponentenpaarungen, sind über redundante Kommunikationsverbindungen miteinander verbunden. Beispielsweise kann zwischen benachbarten Komponentenpaarungen eine redundante Kommunikationsverbindung ausgebildet sein.
-
Gemäß einem wesentlichen Aspekt der vorliegenden Erfindung ist vorgesehen, dass zumindest eine der Komponentenpaarungen als eigenständige Komponentenpaarung ausgebildet ist. Diese eigenständige Komponentenpaarung weist eine redundante interne Kommunikationsverbindung zwischen der Hauptkomponente und der Ersatzkomponente auf. Mindestens eine der Komponentenpaarungen des Fail-Operational-Systems ist also als eigenständige Komponentenpaarung ausgebildet. Unter dem Begriff eigenständige Komponentenpaarung ist vorliegend zu verstehen, dass innerhalb dieser eigenständigen Komponentenpaarung auch die Kommunikationsverbindung zwischen der Hauptkomponente und der Ersatzkomponente redundant ausgebildet ist. Diese interne Kommunikationsverbindung unterscheidet sich von der redundanten Kommunikationsverbindung zwischen den Komponentenpaarungen. Da die eigenständige Komponentenpaarung über die redundante interne Kommunikation verfügt, können beide Komponenten der Komponentenpaarung eindeutig feststellen, ob die jeweils andere Komponente noch verfügbar ist. Es kann also die Funktionsfähigkeit der Hauptkomponente und der Ersatzkomponente innerhalb der eigenständigen Komponentenpaarung erkannt werden.
-
Des Weiteren ist es gemäß der Erfindung vorgesehen, dass die zumindest eine eigenständige Komponentenpaarung dazu eingerichtet ist, anhand der erkannten Funktionsfähigkeit eine Aktivierung der Hauptkomponente oder der Ersatzkomponente zu bestimmen. Mit anderen Worten soll gemäß der vorliegenden Erfindung das in der
DE 10 2017 218 395 A1 beschriebene Kanalumschaltungskonzept derart weitergebildet werden, dass die redundanten Komponentenpaarungen eigenständig entscheiden können, ob die Hauptkomponente oder die Nebenkomponente aktiviert werden muss. Durch die eigenständige Komponentenpaarung können die Komponenten und/oder Funktionen des Fail-Operational-Systems bei Architekturänderungen mit geringem Aufwand angepasst werden.
-
Bevorzugt ist die zumindest eine eigenständige Komponentenpaarung dazu eingerichtet, über die redundante Kommunikationsverbindung an eine in der kaskadierten Regelung nachgelagerte Komponentenpaarung entweder mittels der Hauptkomponente und der Ersatzkomponente identische Informationen auszugeben oder mittels der Hauptkomponente oder der Ersatzkomponente eine Information auszugeben. Die zumindest eine eigenständige Komponentenpaarung muss also auf höherer Ebene sicher stellen, dass die Komponentenpaarung entweder auf beiden Kanälen die identische Information an die untergelagerte Ebene ausgibt oder nur auf einem der beiden Kanäle eine gültige Information an die untergelagerte Ebene ausgibt. Damit ist sichergestellt, dass die untergelagerte Ebene unabhängig davon, von welchem Kanal (Hauptkomponente oder Ersatzkomponente) die Information eingelesen wird, die korrekte und aktuell im Reglerverbund zu verwendende Information tatsächlich verwendet. Somit kann also sichergestellt werden, dass die in der kaskadierten Regelung nachgelagerte Komponentenpaarung keine fehlerhafte Information erhält. Hierbei kann zusätzlich eine Priorisierung der Informationen realisiert werden. Beispielsweise kann den Informationen der Hauptkomponente und der Ersatzkomponente eine jeweilige Priorisierung zugeordnet werden.
-
In einer Ausführungsform weist die Ersatzkomponente der zumindest einen eigenständigen Komponentenpaarung einen Umschalter auf, wobei die Ersatzkomponente bei einer ersten Schalterstellung des Umschalters die Information der Hauptkomponente weitergibt und bei einer zweiten Schalterstellung des Umschalters die Information der Ersatzkomponente weitergibt. Die Sicherstellung der Ausgabe der identischen Information kann beispielsweise so erfolgen, dass die Hauptkomponente die Ausgabeinformation an die Ersatzkomponente weitergibt und die Ersatzkomponente einen Umschalter umfasst, der im Normalfall die Information der Hauptkomponente weitergibt. Hier befindet sich der Umschalter in der ersten Schalterstellung. Wenn die Information der Hauptkomponente aufgrund eines Systemausfalls der Kommunikationsverbindung oder der Hauptsystemebene nicht empfangen wird, wird die Information des Ersatzsystems weitergegeben. Hierzu nimmt der Umschalter die zweite Schalterstellung ein. Somit kann auf einfache und zuverlässige Weise sichergestellt werden, dass keine fehlerhaften Informationen an die nachgelagerte Komponentenpaarung weitergegeben werden.
-
Hierbei ist insbesondere vorgesehen, dass die Ersatzkomponente dazu eingerichtet ist, ein Umschaltsignal, welches die Schalterstellung des Umschalters beschreibt, an die Hauptkomponente über die redundante interne Kommunikationsverbindung zu übertragen. Es ist also vorgesehen, dass die Ersatzkomponente die Hauptkomponente lediglich darüber informiert, ob sich der Umschalter in der Ersatzkomponente in der zweiten Schalterstellung befindet und somit die Information der Ersatzkomponente an die nachgelagerte Komponentenpaarung ausgegeben wird. Bevorzugt ist die Hauptkomponente dazu eingerichtet, ein Senden der Information zu unterbinden, falls das Umschaltsignal beschreibt, dass sich der Umschalter in der zweiten Schalterstellung befindet. Wenn sich der Umschalter in der zweiten Schalterstellung befindet und somit die Information der Ersatzkomponente ausgegeben wird, muss die Hauptkomponente das Versenden der Information einstellen. Somit kann erreicht werden, dass der Empfänger, also die Komponenten der untergelagerten Ebene, gezwungen sind, die Informationen der Ersatzkomponente zu verwenden. Zumindest eine stimmige und konsistente Umschaltung auf die Information der Ersatzkomponente ist sichergestellt. Dies gilt auch für den Fall, wenn mehrere Komponenten, welche beispielsweise eine Bremse, eine Lenkung und/oder einen Antrieb betreffen, verwendet werden.
-
In einer weiteren Ausführungsform ist die Hauptkomponente der zumindest einen eigenständigen Komponentenpaarung dazu eingerichtet, ein Senden der Information zu unterbinden, falls eine Fehlfunktion der Hauptkomponente einer nachgelagerten Komponentenpaarung vorhanden ist. Mit anderen Worten muss die Hauptkomponente der zumindest einen eigenständigen Komponentenpaarung das Versenden der Information auch dann einstellen, wenn es einen Ausfall des nachgelagerten Systems in der Hauptsystemebene erkennt bzw. wenn die Fehlfunktion dieser Hauptkomponente durch Fehlerpropagation an die Hauptkomponente der eigenständigen Komponentenpaarung übertragen wird. Somit können untergelagerte Komponentenpaarungen bzw. Systeme sowohl mit einfach als auch mit redundanter internen Kommunikationsverbindung gleichermaßen verwendet werden.
-
Weiterhin ist vorteilhaft, wenn die redundante interne Kommunikationsverbindung zwei Datenbusse oder einen Datenbus und eine Signalleitung zum Übertragen eines Signals, welches die Funktionsfähigkeit der Hauptkomponente und/oder der Ersatzkomponente beschreibt, umfasst. Für die redundante interne Kommunikationsverbindung können also zwei separate Kommunikationsverbindungen verwendet werden. Beispielsweise können zwei Datenbusse verwendet werden. Alternativ hierzu kann ein Datenbus und ein so genanntes „Alive“-Signal verwendet werden. Somit kann auf einfache und zuverlässige Weise die redundante interne Kommunikation innerhalb der eigenständigen Komponentenpaarung realisiert werden.
-
Wie bereits erläutert, kann die Fahrzeugfunktion ein Lenken, ein Bremsen und/oder ein Antreiben des Fahrzeugs während eines hochautomatisierten Betriebs des Fahrzeugs sein. Im hochautomatisierten Betrieb des Fahrzeugs können entsprechende Sensordaten empfangen werden und auf Grundlage der Sensordaten eine Regelung mit der kaskadierten Regelung durchgeführt werden. Somit können die entsprechenden Aktoren angesteuert werden. Auf diese Weise kann ein Lenksystem, ein Bremssystem und/oder ein Antriebsmotor des Fahrzeugs angesteuert werden.
-
Ein erfindungsgemäßes Fahrzeug umfasst ein erfindungsgemäßes Fail-Operational-System. Das Fahrzeug kann insbesondere als Personenkraftwagen ausgebildet sein. Es kann auch vorgesehen sein, dass das Fahrzeug als Nutzfahrzeug ausgebildet ist.
-
Ein erfindungsgemäßes Verfahren dient zum Betreiben eines Fail-Operational-Systems für ein Fahrzeug. Dabei umfasst das Fail-Operational-System eine Mehrzahl von redundanten Komponentenpaarungen, von denen jede eine Hauptkomponente in einer Hauptsystemebene und eine Ersatzkomponente in einer Ersatzsystemebene aufweist. Das Verfahren umfasst das Regeln einer Fahrzeugfunktion in einem Normalbetrieb mittels den Hauptkomponenten oder das Regeln der Fahrzeugfunktion in einem Fehlerbetrieb mittels den Ersatzkomponenten. Dabei wird mittels den Hauptkomponenten und den Ersatzkomponenten jeweils eine kaskadierte Regelung der Fahrzeugfunktion bereitgestellt. Des Weiteren sind die Komponentenpaarungen durch eine redundante Kommunikationsverbindung miteinander verbunden. Dabei ist vorgesehen, dass zumindest eine der Komponentenpaarungen als eigenständige Komponentenpaarung ausgebildet ist und eine redundante interne Kommunikationsverbindung zwischen der Hauptkomponente und der Ersatzkomponente aufweist. Des Weiteren wird mittels der zumindest einen eigenständigen Komponentenpaarung anhand der redundanten internen Kommunikationsverbindung eine Funktionsfähigkeit der Hauptkomponente und der Ersatzkomponente erkannt. Darüber hinaus wird anhand der erkannten Funktionsfähigkeit eine Aktivierung der Hauptkomponente oder der Ersatzkomponente bestimmt.
-
Die mit Bezug auf das erfindungsgemäße Fail-Operational-System vorgestellten bevorzugten Ausführungsformen und deren Vorteile gelten entsprechend für das erfindungsgemäße Fahrzeug sowie für das erfindungsgemäße Verfahren.
-
Weitere Merkmale der Erfindung ergeben sich aus den Ansprüchen, den Figuren und der Figurenbeschreibung. Die vorstehend in der Beschreibung genannten Merkmale und Merkmalskombinationen, sowie die nachfolgend in der Figurenbeschreibung genannten und/oder in den Figuren alleine gezeigten Merkmale und Merkmalskombinationen sind nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar, ohne den Rahmen der Erfindung zu verlassen.
-
Die Erfindung wird nun anhand von bevorzugten Ausführungsbeispielen sowie unter Bezugnahme auf die beigefügten Zeichnungen näher erläutert. Dabei zeigen:
- 1 eine schematische Darstellung eines Fahrzeugs, welches ein Fail-Operational-System umfasst; und
- 2 eine schematische Darstellung des Fail-Operational-Systems, welches eine Mehrzahl von redundanten Komponentenpaarungen umfasst.
-
In den Figuren werden gleiche oder funktionsgleiche Elemente mit den gleichen Bezugszeichen versehen.
-
1 zeigt in einer schematischen Darstellung ein Fahrzeug 1, welches vorliegend als Personenkraftwagen ausgebildet ist, in einer Draufsicht. Wie vorliegend schematisch angedeutet, umfasst das Fahrzeug 1 ein Fail-Operational-System 2. Dieses Fail-Operational-System 2 kann dazu eingesetzt werden, während eines hochautomatisierten Betriebs des Fahrzeugs 1 Fahrfunktionen bzw. Fahraufgaben zu regeln. Insbesondere kann mittels des Fail-Operational-Systems 2 die Längsführung und die Querführung des Fahrzeugs 1 geregelt werden. Mittels des Fail-Operational-Systems kann also ein Lenksystem, ein Bremssystem oder der Betrieb eines Antriebsmotors des Fahrzeugs 1 geregelt werden.
-
2 zeigt eine schematische Darstellung des Fail-Operational-Systems 2. Das Fail-Operational-System 2 umfasst eine Mehrzahl von Hauptkomponenten 3, welche einer Hauptsystemebene 5 zugeordnet sind. Dabei sind jeweils benachbarte Hauptkomponenten 3 über Kommunikationsverbindungen 8 miteinander verbunden. Diese Kommunikationsverbindungen 8 können beispielsweise durch entsprechende Datenbusse realisiert werden. Durch die Hauptkomponenten 3 kann eine Fahrzeugfunktion in einem Normalbetrieb geregelt werden. Dabei wird durch die einzelnen Hauptkomponenten 3 eine kaskadierte Regelung der Fahrzeugfunktion ermöglicht. Darüber hinaus umfasst das Fail-Operational-System 2 eine Mehrzahl von Ersatzkomponenten 4. Dabei ist jeder der Hauptkomponenten 3 eine Ersatzkomponente 4 zugeordnet. Die Ersatzkomponenten 4 sind einer Ersatzsystemebene 6 zugeordnet. Auch die Ersatzkomponenten 4 sind über entsprechende Kommunikationsverbindungen 8 miteinander verbunden. Mit den Ersatzkomponenten 4 kann die Fahrzeugfunktion in einem Fehlerbetrieb geregelt werden.
-
Jeweils eine Hauptkomponente 3 und eine Ersatzkomponente 4 bilden eine redundante Komponentenpaarung 7, 7'. Die Komponentenpaarungen 7, 7' können jeweils ein redundantes Fail-Silent-System bilden. Durch die beiden Kommunikationsverbindungen 8 zwischen den benachbarten Komponentenpaarungen 7, 7' ergibt sich eine redundante Kommunikationsverbindung 9. Die redundante Komponentenpaarung 7 auf der linken Seite kann beispielsweise einer Sensorik-Steuergeräte-Schicht zugeordnet sein. Diese Komponentenpaarung 7 kann als Hauptkomponente 3 ein Sensor-Steuergerät 10 und als Ersatzkomponente 4 ein Sensor-Steuergerät 10' aufweisen. Die nächsten Komponentenpaarung 7' kann einem übergeordneten Regler zugeordnet sein. Dieser übergeordnete Regler kann als Hauptkomponente 3 ein Regler-Steuergerät 11 aufweisen, mittels welchem eine Haupt-Regelfunktion 12 bereitgestellt wird. Als Ersatzkomponente 4 kann dieser übergeordnete Regler ein Regler-Steuergerät 11' aufweisen, mittels welchem eine Ersatzregelfunktion 12' umgesetzt wird. Die nachfolgende Komponentenpaarung 7 kann als Hauptkomponente 3 ein Regler-Steuergerät 13 und als Ersatzkomponente 4 ein Regler-Steuergerät 13' umfassen. Die nachfolgende Komponentenpaarung 7 kann als Hauptkomponente 3 ein Aktor-Steuergerät 14 und als Ersatzkomponente 4 ein Aktor-Steuergerät 14' umfassen.
-
Vorliegend ist eine der Komponentenpaarungen 7, 7' als eigenständige Komponentenpaarung 7' ausgebildet. Diese eigenständige Komponentenpaarung 7' weist eine redundante interne Kommunikationsverbindung 15 auf. Diese redundante interne Kommunikationsverbindung 15 wird einerseits durch eine Kommunikationsverbindung 8 sowie durch eine Signalleitung 16 bereitgestellt. Diese eigenständige Komponentenpaarung 7' kann eigenständig entscheiden, ob innerhalb dieser eigenständigen Komponentenpaarung 7' die Hauptkomponente 3 oder die Ersatzkomponente 4 aktiviert werden muss. Hierzu muss diese eigenständige Komponentenpaarung 7' auf höherer Ebene in der kaskadierten Regelung sicherstellen, dass innerhalb der eigenständigen Komponentenpaarung 7' über die redundante interne Kommunikationsverbindung 15 festgestellt werden kann, ob die Hauptkomponente 3 oder die Ersatzkomponente verfügbar sind.
-
Des Weiteren ist sicher zu stellen, dass diese eigenständige Komponentenpaarung 7' entweder auf beiden Kanälen bzw. Kommunikationsverbindungen 8 die identische Information an die untergelagerte Ebene bzw. die nachfolgende Komponentenpaarung 7 ausgibt, oder nur auf einem der beiden Kanäle bzw. über eine Kommunikationsverbindung 8 eine gültige Information an die untergelagerte Ebene ausgibt. Vorliegend umfasst die Ersatzkomponente 4 der eigenständigen Komponentenpaarung 7' einen Umschalter 17. Im Normalbetrieb ist dieser Umschalter mit der Hauptkomponente 3 verbunden. Hier befindet sich der Umschalter in einer ersten Schalterstellung, sodass auch mit der Ersatzkomponente 4 das Signal der Hauptkomponente 3 ausgegeben wird. Bei einem Fehlerfall der Hauptkomponente 3 kann die Schalterstellung des Umschalters 7 in eine zweite Schalterstellung verändert werden, sodass die Information der Ersatzkomponente 4 ausgegeben wird. In diesem Fall kann die Ersatzkomponente 4 über die Signalleitung 16 ein Umschaltsignal an die Hauptkomponente 3 übertragen, wobei das Umschaltsignal die Schalterstellung des Umschalters 17 beschreibt. Dabei muss die Hauptkomponente 3 das Versenden der Information einstellen, sodass die nachfolgende Komponentenpaarung 7 die Information der Ersatzkomponente empfängt und diese verwendet.
-
Die Hauptkomponente 3 kann das Versenden der Information auch dann einstellen, wenn ein Ausfall der Hauptkomponente 3 der nachfolgenden Komponentenpaarung 7 erkannt bzw. auf Fehlerpropagation mitgeteilt wird. Auf diese Weise können untergelagerte Komponentenpaarungen 7 und auch nachgelagerte eigenständige Komponentenpaarungen 7' mit redundanter interner Kommunikationsverbindung 15 gleichermaßen eingesetzt werden. Das Fail-Operational-System 2 ist somit unempfindlich bei Architekturänderungen und ist sicher für alle Einfachfehler, wenn mindestens die höchste Reglerschicht ausgeführt wurde.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102017218395 A1 [0004, 0005, 0012]
