DE102020211541A1

DE102020211541A1 - Verfahren zum Erkennen eines Stillstands eines Fahrzeugs

Info

Publication number: DE102020211541A1
Application number: DE102020211541.9A
Authority: DE
Inventors: Sven Faehnle; Lisa Wagner
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2020-09-15
Filing date: 2020-09-15
Publication date: 2022-03-17

Abstract

Verfahren zum Erkennen eines Stillstands eines Fahrzeugs, bei dem nach Auswerten von mindestens einer Größe, die auf einen Stillstand hinweist, mit einem Sicherheitskonzept eine Überprüfung dieser mindestens einen Größe durchgeführt wird und für den Fall, dass diese Überprüfung keine Plausibilisierung der mindestens einen Größe ergibt, im Rahmen des Sicherheitskonzepts anhand mindestens einer weiteren Größe überprüft wird, ob Stillstand vorliegt.

Description

Die Erfindung betrifft ein Verfahren zum Erkennen eines Stillstands eines Fahrzeugs und eine Anordnung zum Durchführen des Verfahrens.
Stand der Technik
Die Erkennung eines Stillstands eines Fahrzeugs, typischerweise eines Kraftfahrzeugs, ist u. a. für Fahrdynamikregelsysteme und Fahrerassistenzsysteme von großer Bedeutung. Insbesondere ist die Erkennung des Fahrzeugstillstands eines Fahrzeugs für verschiedene sicherheitsrelevante Funktionen erforderlich, da nur bei plausiblem Fahrzeugstillstand die Freigabe für verschiedene Funktionalitäten, wie bspw. PTO (power take-off: Abtrieb) oder Gangstufenwechsel, erfolgen kann.
Es werden daher Verfahren und Vorrichtungen entwickelt, die dazu dienen, einen insbesondere sicherheitsintegren Fahrzeugstillstands zu erkennen.
Die Druckschrift DE 199 63 750 B4 beschreibt ein Verfahren zum Erkennen des Stillstands eines Fahrzeugs in Abhängigkeit der Geschwindigkeit dieses Fahrzeugs oder der Geschwindigkeit zumindest eines Rads des Fahrzeugs. Weiterhin erfolgt die Erkennung des Stillstands in Abhängigkeit von einer die Bremskraft beim Abbremsen des Fahrzeug repräsentierenden Größe, wobei die Erkennung des Stillstands zudem in Abhängigkeit von zumindest zwei Geschwindigkeitsschwellen, einer ersten Geschwindigkeitsschwelle und einer zweiten Geschwindigkeitsschwelle, erfolgt.
Die Druckschrift DE 198 38 885 A1 beschreibt ein Verfahren zur Sicherstellung des Stillstands eines Fahrzeugs, insbesondere in Verbindung mit einer Steuerung der Geschwindigkeit des Fahrzeugs. Bei erkanntem Stillstand des Fahrzeugs wird eine Bremskraft zur Realisierung einer Feststellbremse aufgebaut und/oder ein Getriebe in Parkstellung geschaltet. Die Bremskraft bzw. die Getriebeposition wird auch dann aufrechterhalten, wenn die Versorgungsspannung für die elektrischen Systeme des Fahrzeugs abgeschaltet ist.
Offenbarung der Erfindung
Vor diesem Hintergrund werden ein Verfahren mit den Merkmalen des Anspruchs 1 und eine Anordnung gemäß Anspruch 9 vorgestellt. Es werden weiterhin ein Computerprogramm nach Anspruch 10 und ein maschinenlesbares Speichermedium gemäß Anspruch 11 vorgestellt. Ausführungsformen ergeben sich aus den abhängigen Ansprüchen und aus der Beschreibung.
Das vorgestellte Verfahren dient zum Erkennen eines Stillstands eines Fahrzeugs, bei dem nach Auswerten von mindestens einer Größe, die auf einen Stillstand hinweist, mit einem Sicherheitskonzept eine Überprüfung dieser mindestens einen Größe durchgeführt wird und für den Fall, dass diese Überprüfung keine Plausibilisierung der mindestens einen Größe ergibt, im Rahmen des Sicherheitskonzepts anhand mindestens einer weiteren Größe überprüft wird, ob Stillstand vorliegt.
Als mindestens eine Größe, die auf einen Stillstand hinweist, wird in Ausgestaltung die Geschwindigkeit des Fahrzeugs herangezogen.
Der Stillstand eines Fahrzeugs wird definiert als eine Fahrzeuggeschwindigkeit innerhalb einer unteren und oberen Schwelle.
Die beschriebene Anordnung dient zum Durchführen des vorgestellten Verfahrens und ist bspw. in einer Hardware und/oder Software implementiert. Weiterhin kann die Anordnung in einem Steuergerät eines Fahrzeugs integriert oder als solches ausgebildet sein.
Das vorgestellte Verfahren und die beschriebene Anordnung decken Integritäts- und Kommunikationsprüfungen auch hinsichtlich latenter Fehler ab.
In einer Ausführungsfom wird die Fahrzeuggeschwindigkeit einer Kontrolleinheit der vorgestellten Anordnung, die bspw. in einem Steuergerät integriert ist, von außen zugeführt und auf Plausibilität geprüft.
Hierfür können zwei unabhängige Geschwindigkeiten von unterschiedlichen Quellen gegeneinander plausibilisiert werden. Ein Beispiel dafür ist ein Geschwindigkeitssignal aus dem Getriebe gegen ein Geschwindigkeitssignal aus dem Bremsensteuergerät zu plausibilisieren. Ist bei einem Signal die Übertragung nicht gewährleistet oder die beiden Quellen verlaufen inhaltlich nicht ausreichend synchron, gilt die Plausibilität als fehlgeschlagen.
Bei fehlgeschlagener Plausibilität der Fahrzeuggeschwindigkeit kann der Fahrzeugstillstand nicht sicher erkannt werden. Durch Kombination mit weiteren Bedingungen für Stillstand kann der Stillstand durch das vorgestellte Verfahren auch ohne plausible Fahrzeuggeschwindigkeit festgestellt werden. Das vorgestellte Verfahren erhöht damit die Verfügbarkeit der gleichbleibenden Sicherheitsintegrität.
Ein Vorteil des Verfahrens, zumindest in einigen der Ausführungen, ist durch die Einsparung entsprechender Hardwareredundanz, nämlich eine sichere d. h. redundante, Geschwindigkeitssensoreinheit, bei Gewährleistung der geforderten Sicherheitsintegrität gegeben.
Voraussetzung des Verfahrens, zumindest in Ausgestaltung, ist: Die allgemeine Sicherheitsintegrität, d. h. eine ausreichende Unabhängigkeit von sicherheitsrelevanten Maßnahmen, von elektronischen Kontrolleinheiten wird bspw. durch das 3-Ebenen-Sicherheitskonzept gewährleistet. Dieses 3-Ebenen-Sicherheitskonzept entspricht nach IS026262 dem aktuellen Stand der Fahrzeugtechnik und ist in der elektronischen Kontrolleinheit verfügbar. Dieses Konzept ist wie folgt aufgebaut:

Ebene 1: L1 Funktionsebene,
Ebene 2: L2 Überwachung der Ebene 1 bzw. Sicherheitsebene,
Ebene 3: L3 Sicherstellung der Integrität der Ebene 2.

Um die Integrität einer Überwachungssoftware sicherzustellen, können auch andere Konzepte zur Anwendung kommen. Diese arbeiten prinzipiell derart: Es gibt einen Wirkpfad und einen weiteren Überwachungspfad. Es werden dann noch hardwarenahe Maßnahmen benötigt, um sicherzustellen, dass der Überwachungspfad auch integer ausgeführt wird und gegen Einflüsse, bspw. durch nicht sicherheitsrelevante Software, zufällige Hardwarefehler usw., geschützt ist.
Um trotz einer nicht plausiblen Fahrzeuggeschwindigkeit auf einen sicheren Stillstand schließen zu können, sieht das vorgestellte Verfahren und die beschriebene Anordnung in Ausgestaltung zur Erkennung eines sicherheitsintegren Fahrzeugstillstands weitere Plausibilisierungen in Ausgestaltung in der Überwachungsebene L2 eines 3-Ebenen-Sicherheitskonzepts vor. Dadurch wird bei gleichbleibender Sicherheitsintegrität die Verfügbarkeit erhöht.
Ist die Fahrzeuggeschwindigkeit nicht plausibel, aber innerhalb der Schranken für Stillstand, können somit folgende zusätzliche Plausibilitätsprüfungen vorgenommen werden:

1. Feststellbremse und Neutralgang
1. a. Plausible Betätigung der Feststellbremse Erkennung durch zwei redundante Eingaben
2. b. Neutralgang wird von Getriebekontrolleinheit in einer gewissen Sicherheitsintegrität bereitgestellt
Sind Bedingungen a und b erfüllt, kann von einem Fahrzeugstillstand ausgegangen werden.
2. Navigationssystem
- a. Plausibilitätsprüfung mit GPS basierter Fahrzeuggeschwindigkeit GPS basierte Fahrzeuggeschwindigkeit des Navigationssystems ist innerhalb der Schranken für Stillstand
  1. i. Einfrieren Übertragungsstrecke Um ein Einfrieren der Übertragungsstrecke zu erkennen, werden die im CAN-Protokoll enthaltenen Mechanismen herangezogen, wie bspw. CRC, Framecheck, ACK, usw.

Für den Fall, dass keine der Plausibilitätsmöglichkeiten erfolgreich ist, kann der Systemstatus-Stillstand nicht mit ausreichender Sicherheitsintegrität ausgegeben werden. Eine Freigabe bestimmter sicherheitsrelevanten Funktionen kann nicht erfolgen.
Weitere Vorteile und Ausgestaltungen der Erfindung ergeben sich aus der Beschreibung und den beigefügten Zeichnungen.
Es versteht sich, dass die voranstehend genannten und die nachstehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.
Figurenliste

1 zeigt in rein schematischer Darstellung ein 3-Ebenen-Konzept.
2 zeigt in einem Flussdiagramm eine Ausführungsform des vorgestellten Verfahrens.
3 zeigt in schematischer Darstellung die zweite Ebene eines 3-Ebenenkonzepts bei Durchführung des Verfahrens.

Ausführungsformen der Erfindung
Die Erfindung ist anhand von Ausführungsformen in den Zeichnungen schematisch dargestellt und wird nachfolgend unter Bezugnahme auf die Zeichnungen ausführlich beschrieben.
In 1 ist in schematischer, stark vereinfachter Form ein 3-Ebenen-Konzept erläutert. Die Darstellung zeigt eine Anordnung zum Durchführen des Verfahrens, die insgesamt mit der Bezugsziffer 10 bezeichnet ist. In dieser ist eine Recheneinheit 12 vorgesehen, mit der eine Sicherheitsüberprüfung gemäß dem 3-Ebenen-Konzept durchgeführt wird. Hierzu sind eine erste Ebene 14, eine zweite Ebene 16 und eine dritte Ebene 18 vorgesehen.
Die erste Ebene 14 übernimmt die Erfassung der Betriebsparameter und stellt die Funktionsebene dar. Die Plausibilitätsprüfung der beiden unabhängigen Geschwindigkeiten und der weiteren genannten Signale stellt demgemäß die zweite Ebene 16 dar. Die dritte Ebene 18 stellt die Integrität der Überwachungsebene, der zweiten Ebene 16, über konkrete Hardwaremechanismen der Kontrolleinheit, in der Regel ein Mikrocontroller, sicher.
2 zeigt in einem Flussdiagramm einen möglichen Ablauf des vorgestellten Verfahrens. In einem ersten Schritt 50 wird ein Stillstand eines Fahrzeugs erkannt. Dies wird bspw. mit einem oder mehreren Sensoren, die die Drehzahl eines oder mehrerer Räder des Fahrzeugs erfassen, erkannt. Dieser Stillstand soll in einem weiteren Schritt 52 im Rahmen eines 3-Ebenen-Konzepts plausibilisiert werden. Wenn dies nicht gelingt, erfolgt in einem dritten Schritt 54 eine weitere Plausibilisierung in der zweiten Ebene, der sogenannten Überwachungsebene, des 3-Ebenen-Konzepts. Kann nun der Stillstand plausibilisiert werden, so folgt in einem Schritt 56 eine Freigabe von sicherheitsrelevanten Funktionen. Kann der Stillstand nicht plausibilisiert werden, so erfolgt diese Freigabe nicht (Schritt 58).
3 verdeutlicht den Aufbau einer zweiten Ebene in einem 3-Ebenen-Konzept bei Durchführung einer Ausführung des beschriebenen Verfahrens. Die Darstellung zeigt die zweite Ebene 100. Eingangsgrößen werden von einem ersten Hardwarepin 102 und einem zweiten Hardwarepin 104, es handelt sich hierbei um zwei unabhängige Schalter, die den Status „angezogene Feststellbremse“ anzeigen, die über zwei separate DIO's eingelesen werden, und einem Navigantionsgerät 110, das eine ermittelte Fahrzeuggeschwindigkeit 112 eingibt, erhalten.
In einem ersten Block 120 in der zweiten Ebene 100 erfolgt eine Plausibilisierung und Auswahl einer Fahrzeuggeschwindigkeit (Einheit 122). Ausgänge sind ein erstes Signal 124 zu einer Fahrzeuggeschwindigkeit und ein zweites Signal 126 dazu, ob diese Geschwindigkeit plausibel ist. Ein zweiter Block 130 stellt ein drittes Signal 132 zur Neutralgangposition bereit.
In einem dritten Block 140 hält eine erste Einheit 142 eine Information dazu, ob die Fahrzeuggeschwindigkeit innerhalb eines Stillstandsbereichs ist, eine zweite Einheit 143 eine Information dazu, ob die Plausibilisierung wahr ist, eine dritte Einheit 144 eine Information dazu, ob die Handbremse betätigt ist, eine vierte Einheit 146 eine Information zur Neutralgangposition, eine fünfte Einheit 148 eine Information dazu, ob die Fahrzeuggeschwindigkeit innerhalb des Stillstandsbereichs ist und eine sechste Einheit 150 eine Information, ob die Erfassung betriebsbereit ist oder nicht.
Weiterhin zeigt die Darstellung ein erstes UND-Glied 160, ein erstes ODER-Glied 162, ein zweites UND-Glied 164 und ein drittes UND-Glied 166. Das erste UND-Glied 160 gibt ein Signal 170 aus, dass eine Information dazu trägt, ob das Fahrzeug sich im Stillstand befindet oder nicht.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 19963750 B4 [0004]
DE 19838885 A1 [0005]

Claims

Verfahren zum Erkennen eines Stillstands eines Fahrzeugs, bei dem nach Auswerten von mindestens einer Größe, die auf einen Stillstand hinweist, mit einem Sicherheitskonzept eine Überprüfung dieser mindestens einen Größe durchgeführt wird und für den Fall, dass diese Überprüfung keine Plausibilisierung der mindestens einen Größe ergibt, im Rahmen des Sicherheitskonzepts anhand mindestens einer weiteren Größe überprüft wird, ob Stillstand vorliegt.
Verfahren nach Anspruch 1, bei dem als mindestens eine Größe die Geschwindigkeit des Fahrzeugs überprüft wird, um festzustellen, ob diese plausibel ist.
Verfahren nach Anspruch 1 oder 2, bei dem als Sicherheitskonzept ein 3-Ebenen-Sicherheitskonzept verwendet wird, in dessen zweiter Ebene (16, 100) die Überprüfung der mindestens einen weiteren Größe durchgeführt wird.
Verfahren nach einem der Ansprüche 1 bis 3, bei dem als mindestens eine weitere Größe eine Information zu einer Feststellbremse und einem Neutralgang verwendet wird.
Verfahren nach einem der Ansprüche 1 bis 4, bei dem das Vorliegen einer plausiblen Betätigung einer Feststellbremse und das Einlegen eines Neutralgangs überprüft wird.
Verfahren nach einem der Ansprüche 1 bis 5, bei dem als mindestens eine weitere Größe eine Information von einem Navigationsgerät (110) verwendet wird.
Verfahren nach Anspruch 6, bei dem als mindestens eine weitere Größe eine von einem GPS-System bereitgestellte Information zu der Geschwindigkeit des Fahrzeugs verwendet wird.
Verfahren nach einem der Ansprüche 1 bis 7, bei dem für den Fall, dass ein Stillstand erkannt wird, mindestens eine sicherheitsrelevante Funktion freigegeben wird.
Anordnung zum Erkennen eines Stillstands eines Fahrzeugs, die zum Durchführen eines Verfahrens nach einem der Ansprüche 1 bis 8 eingerichtet ist.
Computerprogramm mit Programmcodemitteln, das dazu eingerichtet ist, ein Verfahren nach einem der Ansprüche 1 bis 8 auszuführen, wenn das Computerprogramm auf einer Recheneinheit (12), insbesondere einer Recheneinheit (12) in einer Anordnung (10) gemäß Anspruch 9, ausgeführt wird.
Maschinenlesbares Speichermedium mit einem darauf gespeicherten Computerprogramm nach Anspruch 10.