DE10237167B4

DE10237167B4 - Verfahren zur Steuerung eines automatisierten Schaltgetriebes

Info

Publication number: DE10237167B4
Application number: DE10237167.9A
Authority: DE
Inventors: Dr. Eich Jürgen; Dr. Henneberger Klaus; Andreas Maxon
Original assignee: Schaeffler Technologies AG and Co KG
Current assignee: Schaeffler Technologies AG and Co KG
Priority date: 2001-08-24
Filing date: 2002-08-14
Publication date: 2018-01-11
Anticipated expiration: 2022-08-15
Also published as: ITMI20021850A1; KR20090084978A; KR20040032957A; JP2005500498A; US7039515B2; BR0205942A; US7151990B2; DE10237167A1; US20060080019A1; JP4518469B2; FR2828841A1; WO2003019047A2; US20040236537A1; KR100920875B1; KR100949659B1; DE10293815D2; WO2003019047A3

Abstract

Verfahren zur Steuerung eines automatisierten Schaltgetriebes eines Kraftfahrzeugs, wobei – zur Steuerung vorbestimmter Funktionalitäten des automatisierten Schaltgetriebes, ein elektronisches Steuergerät vorgesehen ist;- das elektronische Steuergerät einen Hauptprozessor aufweist; – auf diesem Hauptprozessor unter vorbestimmten Gegebenheiten eine Funktionssoftware läuft, welche vorbestimmte Funktionalitäten des automatisierten Schaltgetriebes, steuert; – ein elektronisches Sicherheitssystem vorgesehen ist, welches sicherheitskritische Betriebszustände des Kraftfahrzeugs im Vorfeld ermitteln kann; – das elektronische Sicherheitssystem einen redundanten Prozessor aufweist; – das elektronische Sicherheitssystem eine Überwachungssoftware aufweist; – ein Kabelbaumanschluss im Normalbetrieb des Kraftfahrzeugs mit einem Steuergerätanschluss gekoppelt ist und mehrere Kontaktverbindungen zwischen einem Kabelbaum und dem elektronischen Steuergerät erzeugt; – im Rahmen einer Inbetriebnahme des automatisierten Schaltgetriebes zwischen einem mit dem Kabelbaum verbundenen Kabelbaum-Steckanschluss und dem Steuergerätanschluss ein Zwischenanschluss geschaltet wird; und der Zwischenanschluss einen Teil dieser Kontaktverbindungen unterbricht.

Description

Die Erfindung betrifft ein Verfahren zur Steuerung eines automatisierten Schaltgetriebes, sowie ein elektronisches Sicherheitssystem.
Verfahren zur Steuerung eines automatisierten Schaltgetriebes, elektronische Sicherheitssysteme sowie Zwischenstecker sind bereits bekannt.
Die US 5,532,927 A beschreibt ein Diagnosesystem für Automobile für einen Zwischenanschluss zwischen Kabelbaum und Fahrzeugsteuergerät. Die DE 40 38 610 C1 beschreibt eine fehlertolerante Steuerstruktur mit redundanten Prozessoren und Funktionsebenen. Die DE 197 36 931 A1 beschreibt eine Fehler erkennende Steuereinrichtung für einen Antriebsstrang. Die WO 96/25612 A1 beschreibt ein Sicherheitssystem für einen Antriebsstrang.
Der Erfindung liegt die Aufgabe zugrunde, ein anders gestaltetes Verfahren zur Steuerung eines automatisierten Schaltgetriebes, ein anders gestaltetes elektronisches Sicherheitssystem bereitzustellen.
Die Aufgabe wird gelöst durch ein Verfahren gemäß Anspruch 1 oder gemäß Anspruch 2 oder gemäß Anspruch 3 oder gemäß Anspruch 4.
Die Aufgabe wird insbesondere gelöst durch ein elektronische Sicherheitssystem gemäß Anspruch 42.
Erfindungsgemäß wird insbesondere ein Verfahren zur Steuerung eines automatisierten Schaltgetriebes eines Kraftfahrzeugs vorgeschlagen, bei dem ein Kabelbaumanschluss im Normalbetrieb des Kraftfahrzeugs mit einem Steuergerätanschluss gekoppelt ist, wobei mehrere Kontaktverbindungen zwischen dem Kabelbaum und dem elektronischen Steuergerät erzeugt werden. Im Rahmen der Inbetriebnahme des automatisierten Schaltgetriebes oder vorbestimmter Bauteile des Kraftfahrzeugs wird zwischen einem mit dem Kabelbaum verbundenen Kabelbaum-Steckanschluss und einem Steuergerätanschluss ein Zwischenanschluss geschaltet. Der Zwischenanschluss unterbricht einen Teil der Kontaktverbindungen.
Anschlüsse können insbesondere Stecker oder Steckerbuchsen oder dergleichen sein.
Insbesondere ist vorgesehen, dass zur Steuerung vorbestimmter Funktionalitäten, wie Funktionalitäten des automatisierten Schaltgetriebes, ein elektronisches Steuergerät vorgesehen ist. Dieses elektronische Steuergerät kann die Funktionalitäten unterschiedlicher oder einzelner Bauteile steuern. Beispielsweise, ohne dass die Erfindung hierdurch beschränkt werden soll, kann ein derartiges elektronisches Steuergerät auch Kupplungsfunktionalitäten oder Motorfunktionalitäten steuern. Das elektronische Steuergerät kann beispielsweise ein Kupplungssteuergerät oder ein Getriebesteuergerät oder ein Motorsteuergerät oder ein Mastersteuergerät oder dergleichen sein. Die Erfindung soll durch diese Gestaltungen des Steuergeräts allerdings nicht beschränkt sein. Das elektronische Steuergerät weist einen Hauptprozessor auf, auf dem eine Funktionssoftware ablaufen kann, welche die vorbestimmten Funktionalitäten des Kraftfahrzeugs bzw. des automatisierten Schaltgetriebes oder dergleichen steuern kann.
Ferner ist ein elektronisches Sicherheitssystem vorgesehen, welches sicherheitskritische Betriebszustände des Kraftfahrzeugs im Vorfeld ermitteln kann. Das elektronische Sicherheitssystem weist einen redundanten Prozessor auf. Ferner weist das elektronische Sicherheitssystem eine Überwachungssoftware auf.
Ein beispielhaftes elektronisches Sicherheitssystem wird von der Anmelderin unter der Bezeichnung ”Intelligent Safety Monitoring System (ISM)” angeboten.
Der Zwischenanschluss kann insbesondere ein Zwischenstecker oder ein Zwischenkabel sein, oder einen derartigen Zwischenstecker oder Zwischenkabel aufweisen.
In bevorzugter Gestaltung ist dieser Zwischenanschluss so gestaltet, dass er zumindest einen Teil der Verbindungen zwischen dem Kabelbaum-Steckanschluss und dem Steuergerätanschluss unterbricht, welche bei einer direkten Verbindung zwischen Kabelbaum-Steckanschluss und Steuergerätanschluss gegeben sein würden. Der Zwischenanschluss kann so gestaltet sein, dass sämtliche oder ein Teil dieser Verbindungen unterbrochen wird.
In bevorzugter Gestaltung werden mittels des Zwischenanschlusses wenigstens zwei Kontaktverbindungen unterbrochen, die im Normalbetrieb Signale übertragen können. Besonders bevorzugt werden zwei Kontaktverbindungen, die im Normalbetrieb Signal übertragen können, durch den Zwischenanschluss unterbrochen, welche voneinander unabhängig sind.
In besonders bevorzugter Gestaltung ist bei montiertem Zwischenanschluss ein Fahrbetrieb des Kraftfahrzeugs nur eingeschränkt oder gar nicht möglich.
Dies kann insbesondere durch eine entsprechende Abstimmung des Zwischenanschlusses bzw. Zwischensteckers mit einer entsprechenden Software bewirkt werden.
Die Aufgabe wird insbesondere gelöst durch ein Verfahren gemäß Anspruch 2.
Erfindungsgemäß ist insbesondere vorgesehen, dass im Rahmen der Inbetriebnahme des elektronischen Steuergeräts die Überwachungssoftware zumindest teilweise deaktiviert wird, und statt dessen eine Ersatzüberwachungssoftware aktiviert wird.
Die Aufgabe wird ferner insbesondere durch ein Verfahren gemäß Anspruch 3 gelöst.
Erfindungsgemäß ist insbesondere vorgesehen, dass mittels der Überwachungssoftware im Normalbetrieb die Funktionsfähigkeit des Hauptprozessors und/oder vorbestimmter, auf dem Hauptprozessor ablaufender Prozesse überwacht wird und übermittelt wird, ob vorbestimmte Funktionsbeeinträchtigungen gegeben sind. Insbesondere ist hierbei vorgesehen, dass im Normalbetrieb des Kraftfahrzeugs bzw. des Steuergeräts die Endstufe wenigstens eines Aktors bzw. des Steuergeräts abgeschaltet wird und/oder ein Reset des elektronischen Steuergeräts bewirkt wird, wenn eine derartige Funktionsbeeinträchtigung detektiert wurde. Im Rahmen der Inbetriebnahme des Kraftfahrzeugs bzw. wenigstens einer vorbestimmten Komponente des Kraftfahrzeugs, und insbesondere des elektronischen Steuergeräts, wird durch ein Signal bewirkt, dass während der Inbetriebnahme ein Abschalten der Endstufen, welches durch einen detektierten Fehlers ausgelöst ist, und/oder ein Reset des Steuergeräts unterdrückt wird. Das Signal, welches das Abschalten der Endstufen bzw. einen Reset des ASG-Steuergeräts in der vorbeschriebenen Weise unterdrückt, kann beispielsweise von einem elektronischen Testgerät ausgesandt werden.
Besonders bevorzugt ist auch die Kombination der vorgenannten Gestaltungen, so dass mittels eines Testgeräts bzw. einem vom Testgerät ausgesandten Signal von der Überwachungssoftware auf die Ersatzüberwachungssoftware umgeschaltet werden kann und/oder umgekehrt.
In bevorzugter Gestaltung ist die Ersatzüberwachungssoftware so gestaltet, dass sie keine Abschaltmöglichkeiten für die Endstufen hat bzw. eine derartige Abschaltung verhindert. Ferner ist diese Ersatzüberwachungssoftware vorzugsweise so gestaltet, dass sie eine korrekte Kommunikation zwischen einem Überwachungsprozessor und dem Hauptprozessor bzw. zwischen dem Überwachungsprozessor und einer im Hauptprozessor abgelegten Ersatzüberwachungssoftware ermöglicht.
Insbesondere ist die Ersatzüberwachungssoftware so gestaltet, dass sie einen Reset des Steuergeräts verhindert.
In besonders bevorzugter Gestaltung ist vorgesehen, dass sich im Normalbetrieb die Überwachungssoftware und der Überwachungsprozessor gegenseitig mittels einer Frage-/Antwort-Routine kontrollieren. Diese Frage-/Antwort-Routine ist vorzugsweise so gestaltet, dass der Überwachungsprozessor vorbestimmte Fragen an die Überwachungssoftware, die besonders bevorzugt im Hauptprozessor abgelegt ist, aussendet und von dieser Überwachungssoftware entsprechende Antworten enthält. Besonders bevorzugt ist vorgesehen, dass im Überwachungsprozessor vorbestimmte Soll-Antworten abgelegt sind und der Überwachungsprozessor einen Fehler anzeigt, wenn die Soll-Antworten mit den tatsächlichen Antworten nicht übereinstimmen.
In besonders bevorzugter Gestaltung ist vorgesehen, dass die Überwachungssoftware die Antworten bzw. entsprechende Kennwerte aus einem Speicher des elektronischen Steuergeräts, insbesondere ASG-Steuergerät, abruft.
Besonders bevorzugt ist vorgesehen, dass im Rahmen einer Inbetriebnahme des Kraftfahrzeugs oder wenigstens eines seiner Bauteile, wie ASG-Steuergerät, oder im Rahmen eines Werkstattests in den Speicher des elektronischen Steuergeräts temporär korrekte Antworten geschrieben werden. Dieses Schreiben der korrekten Antworten kann beispielsweise mittels eines externen elektronischen Testgeräts bewirkt werden.
In bevorzugter Gestaltung werden im Rahmen der Beendigung der Inbetriebnahme vorbestimmte Speicherinhalte des Steuergeräts, wie ASG-Steuergerät, verändert und insbesondere überschrieben.
Besonders bevorzugt ist vorgesehen, dass derartige Speicherinhalte richtige Antworten sind, welche von der Überwachungssoftware abgerufen werden, wenn der Überwachungsprozessor im Rahmen der Inbetriebnahme oder im Rahmen einer Werkstattroutine vorbestimmte Fragen an die Überwachungssoftware bzw. den Hauptprozessor richtet.
Besonders bevorzugt wird das elektronische Steuergerät im Rahmen der Inbetriebnahme mit einem externen, elektronischen Testgerät in Signalverbindung gebracht.
Ein elektronisches Testgerät ist insbesondere ein Hand-Held-Tester.
Besonders bevorzugt ist vorgesehen, dass vorbestimmte Speicherinhalte des Steuergeräts nach einer regulären Beendigung der Inbetriebnahme und/oder eines Werkstattests oder bei Verlust einer Kommunikation zwischen einem elektronischen Steuergerät und einem elektronischen Testgerät überschrieben werden.
Besonders bevorzugt ist vorgesehen, dass in derartigen Situationen ein Reset des Steuergeräts ausgelöst wird. Insbesondere im Rahmen eines solchen Resets können auch Speicherinhalte des Steuergeräts überschrieben werden oder verändert werden.
Besonders bevorzugt wird im Rahmen eines Resets des elektronischen Steuergeräts und/oder nach einer regulären Beendigung der Inbetriebnahme und/oder eines Werkstattests und/oder bei Verlust der Kommunikation zwischen dem elektronischen Testgerät und dem elektronischen Steuergerät nach einer Inbetriebnahme und/oder einem Werkstattest die Überwachungssoftware wieder aktiviert und die Ersatzüberwachungssoftware deaktiviert oder gelöscht.
Besonders bevorzugt ist vorgesehen, dass die geänderten Speicherinhalte neutrale Informationen sind.
Die Aufgabe wird insbesondere gelöst durch ein Verfahren gemäß Anspruch 4.
Erfindungsgemäß ist insbesondere vorgesehen, dass das elektronische Sicherheitssystem eine Fehlermeldung anzeigt, wenn es vorbestimmte Funktionsbeeinträchtigungen detektiert, wobei diese Überwachungstätigkeit bzw. dieses Anzeigen von Fehlern durch das elektronische Sicherheitssystem und/oder dessen Überwachungssoftware zumindest eingeschränkt wird, wenn dem elektronischen Sicherheitssystem angezeigt wird, dass das elektronische Steuergerät in einer Initialisierungsphase ist.
Erfindungsgemäß ist insbesondere vorgesehen, dass das elektronische Sicherheitssystem seine Überwachungstätigkeit zeitverzögert in vollständigem Umfang aufnimmt, also zunächst den Abschluss der Initialisierungsphase der Steuergeräts abwartet, bevor diese Überwachungstätigkeit im vollem Umfang durchgeführt wird.
Der Fehler, der angezeigt wird, wenn vorbestimmte Funktionsbeeinträchtigungen, insbesondere außerhalb der Initialisierungsphase des Steuergeräts, festgestellt werden, kann insbesondere so angezeigt werden, dass ein Reset des Steuergeräts ausgelöst wird, und/oder so, dass die Endstufen von Aktoren dieses Steuergeräts abgeschaltet werden, oder auf andere Weise.
In besonders bevorzugter Gestaltung werden in der Initialisierungsphase des Steuergeräts von vornherein die Endstufen dieser Aktoren abgeschaltet.
Vorzugsweise ist vorgesehen, dass in der Initialisierungsphase des Steuergeräts wenigstens ein Signal an das elektronische Sicherheitssystem gesendet wird, welches anzeigt, dass das elektronische Steuergerät in der Initialisierungsphase ist.
Dieses Signal kann besonders bevorzugt eine Art Permanentsignal sein, das immer fortlaufend oder in gewissen, insbesondere geringen, Zeitabständen ausgesandt wird, wenn das elektronische Steuergerät in der Initialisierungsphase ist.
Ein derartiges permanentes bzw. in kleinen Zeitabständen erfolgendes Anzeigen der Initialisierungsphase wird im Rahmen dieser Erfindung auch insbesondere als aktives Anzeigen bezeichnet.
Besonders bevorzugt ist vorgesehen, dass dieses Signal, das anzeigt, dass das elektronische Steuergerät in der Initialisierungsphase ist, von dem elektronischen Sicherheitssystem nach deren Empfang gelöscht wird. Besonders bevorzugt ist vorgesehen, dass das elektronische Sicherheitssystem seinen vollständigen Überwachungsumfang aufnimmt und/oder, im Fall, dass Fehler festgestellt werden, diese Fehler anzeigt, wenn es das Signal, welches die Initialisierungsphase des Steuergeräts anzeigt, nicht mehr, insbesondere laufend oder in vorbestimmten Zeitabständen, die kleiner als ein vorbestimmter Grenzzeitabstand sind, empfängt. Besonders bevorzugt ist vorgesehen, dass in diesem Fall die Endstufen der Aktoren des automatisierten Schaltgetriebes wieder freigeschaltet werden, sofern diese zuvor beim Einleiten der Initialisierungsphase abgeschaltet wurden.
In bevorzugter Gestaltung wird das Signal, das dem elektronischen Sicherheitssystem anzeigt, dass das elektronische Steuergerät in der Initialisierungsphase ist, mittels der Funktionssoftware angezeigt und/oder erzeugt.
Besonders bevorzugt ist vorgesehen, dass das elektronische Sicherheitssystem seinen vollständigen Überwachungsumfang aufnimmt, wenn es das Signal, dass die Initialisierungsphase anzeigt, nicht mehr empfängt, und dass es die Endstufen der Aktoren des automatisierten Schaltgetriebes freischaltet, wenn es keinen Prozessorfehler des Hauptprozessors erkennt. Besonders bevorzugt ist vorgesehen, dass nach dem Freischalten der Endstufen der normale Fahrbetrieb durch die Funktionssoftware aufgenommen werden kann.
Besonders bevorzugt ist vorgesehen, dass die Endstufen erneut abgeschaltet werden und das Steuergerät resetet wird, wenn ein Prozessorfehler in der Funktionsebene bzw. der Funktionssoftware bzw. dem Hauptprozessor durch das elektronische Sicherheitssystem detektiert wird. Bevorzugt ist ferner, dass die Endstufen des Aktoren abgeschaltet wird, wenn das elektronische Steuergerät abgeschaltet wird, was insbesondere auch am Ende einer Betriebsphase sein kann. In bevorzugter Gestaltung weist das Signal, dass die Initialisierungsphase des elektronischen Steuergeräts anzeigt, zwei oder mehrere redundante Teilsignale bzw. zwei oder mehrere redundante Variablen auf.
Derartige Variablen können insbesondere so gestaltet sein, dass sie jeweils ein eindeutiges Bitmuster aufweisen.
Besonders bevorzugt ist vorgesehen, dass das elektronisches Sicherheitssystem den Initialisierungsmodus nur dann akzeptiert, wenn diese Variablen jeweils einen für diesen vorbestimmten Wert anzeigen.
Vorzugsweise ist vorgesehen, dass zwei solcher Variablen vorgesehen sind, die auf ein Wert-Komplement-Paar gesetzt werden.
Bevorzugt ist ferner, dass die Endstufen eingeschaltet werden, wenn das elektronische Sicherheitssystem kein Signal mehr empfängt, das anzeigt, dass das elektronische Steuergerät in der Initialisierungsphase ist.
Bevorzugt ist ferner, dass das elektronische Sicherheitssystem die Initialisierungsphase des elektronischen Steuergeräts akzeptiert, wenn diese Initialisierungsphase über ein Signal angezeigt wird, das zwei Teilsignale aufweist, und wenigstens eines dieser beiden Teilsignale einen vorbestimmten Wert anzeigt.
Eine Fehlerreaktion des elektronischen Sicherheitssystems kann, wenn ein vorbestimmter Fehler, insbesondere des Hauptprozessors, festgestellt wird, so sein, dass grundsätzlich die Endstufen abgeschaltet werden, oder auf andere Weise. Beispielsweise kann auch vorgesehen sein, dass der jeweilige Schaltzustand der Endstufen Fehlerfall beibehalten wird.
Nicht-erfindungsgemäß ist vorgesehen, dass eine Kupplungseinrichtung vorgesehen ist, und wenigstens ein Tastpunkt dieser Kupplungseinrichtung im Normalbetrieb gemäß wenigstens einer vorbestimmten Charakteristik adaptiert wird.
Ferner ist insbesondere vorgesehen, dass das elektronische Sicherheitssystem Ergebnisse des Tastpunktadaption überwacht.
Die Kupplungseinrichtung ist vorzugsweise eine Reibungskupplungseinrichtung. Besonders bevorzugt ist die Kupplungseinrichtung eine automatisierte Kupplungseinrichtung. Eine beispielhafte derartige automatisierte Kupplungseinrichtung wird von der Anmelderin unter der Bezeichnung ”Elektronisches Kupplungsmanagement (EKM)” angeboten.
Ein Tastpunkt ist insbesondere ein Stellung der Kupplungseinrichtung, bei welcher die Kupplungseinrichtung ein vorbestimmtes, geringes Drehmoment, wie beispielsweise 0,5 Nm oder 5 Nm, übertragen kann. Es sei angemerkt, dass der Begriff des Tastpunktes nicht auf das angegebene übertragbare Drehmoment beschränkt sein soll, sondern vielmehr auch andere vorbestimmte Drehmomentwerte in Betracht kommen.
Es ist vorgesehen, dass von Zeit zu Zeit, insbesondere in vorbestimmten Zeitabständen oder in Abhängigkeit vorbestimmter Betriebssituationen, der Tastpunkt adaptiert wird.
Hintergrund ist insbesondere, dass die Zuordnung des vorbestimmten Drehmoments zu einer vorbestimmten Kupplungsstellung, die insbesondere mittels einer Wegmesseinrichtung oder auf sonstige Weise erfasst wird, sich verändern kann. Derartige Veränderungen können beispielsweise, ohne dass die Erfindung hierdurch beschränkt sein soll, durch Kupplungsverschleiß oder durch Temperatureffekte oder, sofern eine hydraulische Betätigungseinrichtung vorgesehen ist, durch Luftbläschen in der Hydrauliksäule oder auf sonstige Weise bewirkt sein.
In bevorzugter Gestaltung überwacht das elektronische Sicherheitssystem nicht den eigentlichen Vorgang der Tastpunktadaption, sondern nur deren Ergebnis.
Hierdurch soll die Erfindung allerdings nicht beschränkt werden, so dass grundsätzlich auch zusätzlich oder alternativ der Ablauf der Adaptionsroutinen überwacht werden kann. Die Adaptionsroutinen sind vorzugsweise dafür bestimmt, dass der Tastpunkt bzw. die Stellung der Kupplungseinrichtung bzw. die Wegerfassung so abgestimmt wird, dass anhand der Wegerfassung bzw. der entsprechenden angezeigten Stellungswerte der Kupplungseinrichtung bestimmt werden kann, wann bzw. ob das vorbestimmte Drehmoment von der Kupplungseinrichtung übertragen werden kann, und zwar als bei dieser Stellung maximal von der Kupplungseinrichtung übertragbares Drehmoment.
In bevorzugter Gestaltung überwacht das elektronische Sicherheitssystem, ob sich die Lage des Tastpunktes gegenüber einer vorherigen Überprüfung und/oder seit der vorherigen Tastpunktadaption verändert hat.
Besonders bevorzugt ist vorgesehen, dass das elektronische Sicherheitssystem überwacht, ob die Veränderung der Lage des Tastpunktes gegenüber der letzten Überprüfung und/oder gegenüber dem letzten Tastpunktadaptionsergebnis innerhalb eines vorbestimmten Toleranzfeldes liegt bzw. sich gegenüber dem letzten Tastpunkt um weniger als einen vorbestimmten Wert verändert hat. Dieser Wert kann eine Wertdifferenz mit positiven und/oder negativen Vorzeichen sein.
Vorzugsweise ist vorgesehen, dass zwischen unterschiedlichen Tastpunkten bzw. Tastpunktadaptionen unterschieden wird. Besonders bevorzugt wird zwischen einem langfristigen Tastpunkt bzw. einer langfristigen Tastpunktadaption und einem kurzfristigen Tastpunkt bzw. einer kurzfristigen Tastpunktadaption unterschieden, wobei die kurzfristige Tastpunktadaption bzw. der kurzfristige Tastpunkt sich auf dynamisch schnell verändernde Tastpunkte bezieht und der langfristige Tastpunkt bzw. die langfristige Tastpunktadaption sich auf vergleichsweise dynamisch langsam verändernde Tastpunkte bezieht.
Beispielsweise, ohne dass die Erfindung hierdurch beschränkt sein soll, kann eine dynamisch langfristige Tastpunktverschiebung durch Kupplungsverschleiß bedingt sein. Ebenfalls beispielhaft erwähnt, ohne dass die Erfindung hierdurch beschränkt werden soll, kann eine kurzfristige Tastpunktadaption bzw. ein kurzfristiger Tastpunkt sich auf kurzfristige Tastpunktänderung, wie beispielsweise auf Tastpunktänderungen, die durch Temperatureffekte bedingt sind, beziehen.
Vorzugsweise werden vom elektronischen Sicherheitssystem die Ergebnisse der langfristigen Tastpunktadaption überwacht sowie die Ergebnisse der kurzfristigen Tastpunktadaption.
In bevorzugter Gestaltung ist im elektronischen Steuergerät eine Steuerungsstrategie implementiert, welche bewirkt, dass der kurzfristige Tastpunkt unter vorbestimmten Gegebenheiten auf den langfristigen Tastpunkt gesetzt wird, bzw. von Zeit zu Zeit auf den langfristigen Tastpunkt zurückgesetzt wird. Rein beispielhaft, ohne dass die Erfindung hierdurch beschränkt werden soll, kann vorgesehen sein, dass, im Falle einer Kupplungsbetätigungseinrichtung mit hydraulischer Strecke diese hydraulische Strecke von Zeit zu Zeit entlüftet wird und/oder wenigstens ein Abschnitt dieser hydraulischen Strecke von Zeit zu Zeit auf ein definiertes Sollmaß gesetzt wird. Dieses kann beispielsweise so bewirkt werden, dass die hydraulische Strecke an vorbestimmter Stelle eine Öffnung aufweist und diese Öffnung eine Verbindungs- bzw. Schnüffelbohrung zwischen der hydraulischen Strecke und einem mit Hydraulikmedium befüllten Vorratsbehälter bildet. Ein die hydraulische Strecke belastendes Element, wie Kolben oder dergleichen, kann von Zeit zu Zeit so verschoben werden, dass die hydraulische Strecke über die Schnüffelbohrung mit dem hydraulischen Vorratsbehälter verbunden ist. Anschließend kann das die hydraulische Strecke belastende Element, wie Kolben, erneut über die Schnüffelbohrung verfahren werden, so dass nach vollständigem Überfahren der Schnüffelbohrung die hydraulische Strecke eine vorbestimmte, reproduzierbare Länge aufweist. Dieses ”Schnüffeln” kann den Tastpunkt verändern und zwar insbesondere den kurzfristigen Tastpunkt. Demzufolge kann beispielsweise nach einem derartigen ”Schnüffeln” der kurzfristige Tastpunkt auf den langfristigen Tastpunkt zurückgesetzt werden.
In bevorzugter Gestaltung wird der kurzfristige Tastpunkt und der langfristige Tastpunkt jeweils individuell vom elektronischen Sicherheitssystem überwacht.
Besonders bevorzugt ist vorgesehen, dass im Rahmen der vom elektronischen Sicherheitssystem durchgeführten Überwachung der Ergebnisse der Tastpunktadaption überprüft wird, ob die seit der vorherigen Tastpunktadaption und/oder seit der vorherigen Überprüfung vergangene Zeitperiode größer als eine vorbestimmte Grenzzeitperiode ist.
Bevorzugt ist ferner, dass das elektronische Sicherheitssystem einen Fehler anzeigt, wenn der Tastpunkt im Rahmen der Tastpunktadaption um einen Wert verändert wurde, der größer als ein vorbestimmter Grenzwert ist und/oder wenn seit der letzten Tastpunktadaption und -überwachung eine Zeitperiode vergangen ist, die kleiner als eine vorbestimmte Grenzzeitperiode ist.
Besonders bevorzugt ist vorgesehen, dass dieser Grenzwert und/oder diese Grenzzeitperiode für den langfristigen Tastpunkt und für den kurzfristigen Tastpunkt auf unterschiedliche Werte gesetzt wird.
Nicht-erfindungsgemäß ist ein Verfahren zur Steuerung eines automatisierten Schaltgetriebes eines Kraftfahrzeugs vorgesehen, bei dem ein elektronisches Sicherheitssystem vorgesehen ist, bzw. verwendet wird, welches mehrere Funktionsblöcke aufweist.
In bevorzugter Gestaltung sind diese Funktionsblöcke modular von einander getrennt.
Vorzugsweise ist ein erster Funktionsblock des elektronischen Sicherheitssystems vorgesehen, in dem überprüft wird, ob vorbestimmte Eingangssignale in plausibler Weise den Betriebszustand des Kraftfahrzeuges und/oder der Kupplungseinrichtung des Kraftfahrzeugs und/oder der Getriebeeinrichtung des Kraftfahrzeugs beschreiben. Dieser Funktionsblock wird auch als Funktionsblock ”Signalplausibilisierung” bezeichnet.
Eingangssignale können beispielsweise solche sein, die den Betriebszustand des Kraftfahrzeugs und oder des automatisierten Schaltgetriebes charakterisieren, wie beispielsweise die Motordrehzahl oder die Fahrzeuggeschwindigkeit.
Vorzugsweise sind ferner Eingangssignale vorgesehen, die in der eigentlichen Getriebesteuerung bzw. in der Funktionsebene bzw. mittels der Funktionssoftware bestimmt werden und die den Betrieb des Kraftfahrzeugs bzw. des Getriebes beeinflussen.
Bevorzugt ist ein zweiter Funktionsblock des elektronischen Sicherheitssystems vorgesehen, in welchem in Abhängigkeit plausibler Signale entschieden wird, welche Betriebszustände auf sicherheitskritische Situationen überwacht werden.
Dieser Funktionsblock wird auch als Funktionsblock ”Situationserkennung” bezeichnet.
Die plausiblen Signale sind insbesondere die Signale, die Ausgangssignale des ersten Funktionsblocks sind. Beispielsweise, ohne dass die Erfindung hierdurch beschränkt werden soll, kann eine derartige Festlegung so sein, dass bei stehendem Fahrzeug, bzw. ausgelöst durch Signale, die anzeigen, dass das Fahrzeug steht, ein ungewolltes Anfahren verhindert wird, oder dass bei fahrendem Fahrzeug bzw. Signalen, die Anzeigen, dass das Fahrzeug fährt, gemäß einer vorbestimmte Charakteristik das Einlegen eines zu niedrigen Ganges verhindert wird. Es ist allerdings eine Vielzahl weiterer oder anderer Möglichkeiten bei der Festlegung der zu überwachenden sicherheitskritischen Ereignisse möglich und bevorzugt.
In bevorzugter Gestaltung ist ein dritter Funktionsblock des elektronischen Sicherheitssystems vorgesehen, in dem überprüft wird, ob in der Funktionsebene des elektronischen Steuergerätes unzulässige Steuerungsstrategien eingeleitet werden.
Dieser Funktionsblock wird auch als Funktionsblock ”Aktionsüberwachung” bezeichnet.
Die Funktionsebene des elektronischen Steuergerätes ist insbesondere ein Bereich, welcher die Funktionssoftware aufweist.
Bevorzugt ist vorgesehen, dass als Eingangssignale des dritten Funktionsblocks ”Aktionsüberwachung” die Eingangssignale vorgesehen sind, die den Betriebszustand des Kraftfahrzeugs oder des automatisierten Schaltgetriebes charakterisieren und plausibilisiert sind (plausible bzw. plausibilisierte Fahrzeugsignale) sowie die Eingangssignale, die in der eigentlichen Getriebesteuerung bestimmt werden, und insbesondere zur Betätigung des Getriebes bestimmt sind. Diese letztgenannten Signale werden auch als Funktionsebenensignale bezeichnet.
Neben den plausiblen Fahrzeugsignalen und den Funktionsebenensignalen sind vorzugsweise die Ausgangssignale des zweiten Funktionsblocks als Eingangssignale des dritten Funktionsblocks vorgesehen.
Besonders bevorzugt ist vorgesehen, dass im dritten Funktionsblock ”Aktionsüberwachung” analysiert wird, ob die Funktionsebenensignale mit den plausiblen Fahrzeugsignalen harmonieren. Beispielsweise, ohne dass die Erfindung hierdurch beschränkt werden soll, kann unter anderem aus der aktuellen Fahrzeuggeschwindigkeit der kleinstzulässige Gang ermittelt werden, mit dem anschließend der von der Funktionsebene angeforderte oder angesteuerte Gang verglichen wird. In bevorzugter Gestaltung ist vorgesehen, dass für den Fall, dass im dritten Funktionsblock ”Aktionsüberwachung” ein Fehler festgestellt wird, dieser angezeigt wird.
Insbesondere ist vorgesehen, dass ein entsprechendes Fehlersignal an den fünften Signalblock übersandt wird, auf den im folgenden noch eingegangen wird. In besonders bevorzugter Gestaltung ist vorgesehen, dass vom Funktionsblock ”Aktionsüberwachung” Signale an den vierten Funktionsblock, der auch als Funktionsblock ”Aktoriküberwachung” bezeichnet wird, gesandt werden, die plausibilisierte Aktionsgrößen der Funktionsüberwachung anzeigen.
Besonders bevorzugt ist ein vierter Aktionsblock vorgesehen, der auch als Funktionsblock ”Aktoriküberwachung” bezeichnet wird.
Vorzugsweise wird im Funktionsblock ”Aktoriküberwachung” geprüft, ob plausibilisierte Aktionsgrößen korrekt von der Getriebe – und/oder Kupplungsaktorik umgesetzt werden. Sofern hierbei ein Fehler festgestellt wird, wird besonders bevorzugt ein Fehlersignal aktiviert bzw. ein Fehler angezeigt. Dieser Fehler wird bevorzugt einem fünften Funktionsblock angezeigt.
Vorzugsweise ist vorgesehen, dass auf dem Funktionsblock ”Aktoriküberwachung” Ausgangssignale eines dritten Funktionsblocks und/oder die Systemeingangssignale, die Funktionsebenensignale sind, und/oder plausibilisierte Fahrzeugsignale, die insbesondere Ausgangssignale des ersten Funktionsblocks sein können, als Eingangssignale liegen.
In bevorzugter Gestaltung ist ferner ein fünfter Funktionsblock vorgesehen.
Dieser fünfte Funktionsblock wird auch als Funktionsblock ”Fehlerhandling” bezeichnet. In bevorzugter Gestaltung ist vorgesehen, dass im Funktionsblock ”Fehlerhandling” entschieden wird, ob eine Fehlerreaktion ausgelöst werden soll. Eine derartige Fehlerreaktion kann beispielsweise das Abschalten der Leistungselektronik, die zur Ansteuerung der Getriebe – oder Kupplungsaktorik dient, sein. Ferner kann, ergänzend oder alternativ, durch den Funktionsblock ”Fehlerhandling” ein Reset, d. h. insbesondere ein Neustart des elektronischen Steuergerätes, angefordert bzw. ausgelöst werden.
Nicht-erfindungsgemäß ist vorgesehen, dass eine Inkrementalwegmessung mittels einer Inkrementalwegmesseinrichtung durchgeführt wird. Durch diese Inkrementalwegmessung können Getriebestellungen als Relativstellungen bezüglich einer Relativposition erfasst werden. Die Referenzstellung wird unter vorbestimmten Gegebenheiten im Rahmen einer Neutralreferenzfahrt ermittelt. Diese Neutralreferenzfahrt ist eine vorbestimmte Betätigung, durch welche die Zuordnung von Getriebestellungen zu Stellungen bzw. Wegen, die von Inkrementalwegmesseinrichtungen angezeigt werden, bestätigt, erzeugt oder wieder hergestellt werden können.
Insbesondere ist vorgesehen, dass die Neutralreferenzfahrt, zum Beispiel nach einem Verlust der genannten Zuordnung, was insbesondere aufgrund eines Steuergerät-Reset auftreten kann, durchgeführt wird. Bevorzugt so vorgesehen ist, dass ungewollte Wechselwirkungen mit der Kupplungssteuerung vermieden werden.
Es ist vorgesehen, dass derartige Neutralreferenzfahrten vom elektronischen Sicherheitssystem überwacht werden.
Bevorzugt ist vorgesehen, dass das elektronische Sicherheitssystem in Abhängigkeit vorbestimmter Neutralreferenzfahrt-Bedingungen unterschiedliche Neutralreferenzfahrt-Zustände unterscheidet.
Insbesondere können die folgenden beispielhaft dargestellten fünf Neutralreferenzfahr-Zustände unterschieden werden: ”Neutralreferenzfahrt inaktiv”, ”Neutralreferenzfahrt erwartet”, ”Neutralreferenzfahrt zyklisch aktiv”, ”Neutralreferenzfahrt notwendigerweise aktiv” und ”Getriebepositionen angeglichen”.
Der Zustand ”Neutralreferenzfahrt inaktiv” ist insbesondere ein Zustand, der im normalen Fahrbetrieb gegeben ist, und bei dem keine spezifischen Überwachungen für Neutralreferenzfahrt stattfinden. In diesem Zustand überwacht das elektronische Sicherheitssystem nur den Normalbetrieb.
Der Zustand ”Neutralreferenzfahrt zyklisch aktiv” ist insbesondere ein Zustand, in dem das elektronische Sicherheitssystem erwartet, dass die Kupplung vollständig offen gehalten wird. Besonders bevorzugt werden in diesem Zustand zyklisch Neutralreferenzfahrten durchgeführt. Insbesondere ist vorgesehen, dass Neutralreferenzfahrten, die in diesem Zustand zur Bestätigung durchgeführt werden, jederzeit abgebrochen werden können.
Im Zustand ”Neutralreferenzfahrt notwendigerweise aktiv” überprüft das elektronische Sicherheitssystem, ob die Kupplung vollständig offen gehalten wird. In diesem Zustand führt das elektronische Sicherheitssystem eine Plausibilitätsbewertung bezüglich des Erfolgs der Neutralreferenzfahrt durch.
Im Zustand ”Neutralreferenzfahrt erwartet” dürfen keine Gangwechsel durchgeführt werden, was vom elektronischen Sicherheitssystem überwacht wird.
Im Zustand ”Getriebepositionen abgleichen” ordnet das elektronische Sicherheitssystem, ebenso wie die normale Getriebesteuerung, die Inkrementalmesswerte bzw. angezeigte Stellungen bestimmten Getriebepositionen zu.
Insbesondere ist vorgesehen, dass das elektronische Sicherheitssystem eine Fehlermeldung auslöst, wenn es in diesen Zuständen feststellt, dass die jeweiligen Bedingungen nicht gegeben sind.
In bevorzugter Gestaltung überwacht das elektronische Sicherheitssystem in Abhängigkeit der Neutralreferenzfahrt-Zustände vorbestimmte Betriebszustände.
Bevorzugt ist vorgesehen, dass der erste Neutralreferenzfahrt-Zustand ”Neutralreferenzfahrt inaktiv” gegeben ist, wenn das Steuergerät zuvor initialisiert wurde und das Steuergerät in der letzten Betriebsphase nicht über ein Reset abgeschaltet wurde. Der erste Neutralreferenzfahrt-Zustand, kann ferner gegeben sein, wenn die Getriebepositionen abgeglichen wurden. Der erste Neutralreferenzfahrt-Zustand ist bevorzugt ferner gegeben, wenn eine Neutralreferenzfahrt ohne Abgleich beendet wurde und zuvor der Neutralreferenzfahrt-Zustand ”Neutralreferenzfahrt zyklisch aktiv” gegeben war.
Der zweite Neutralreferenzfahrt-Zustand ”Neutralreferenzfahrt erwartet” ist insbesondere gegeben, wenn zuvor eine Initialisierung des elektronischen Steuergeräts stattgefunden hat und das elektronische Steuergerät in der letzten Betriebsphase über eine Reset abgeschaltet wurde.
Der Zustand ”Neutralreferenzfahrt erwartet” kann ferner gegeben sein bzw. ist gegeben, wenn, insbesondere nachdem der Zustand ”Neutralreferenzfahrt inaktiv” gegeben war, anhand einer vorbestimmte Charakteristik ”fest gestellt wurde, dass die erfassten Getriebestellungen unplausible Getriebestellungen sind.
Der Neutralreferenzfahrt-Zustand ”Neutralreferenzfahrt zyklisch aktiv” ist insbesondere gegeben, wenn zuvor der erste Neutralreferenzfahrt-Zustand gegeben war und die Funktionsebene bzw. die Funktionssoftware bewirkt hat, dass eine Neutralreferenzfahrt begonnen wird – und zwar insbesondere bei großem Vertrauensmaß hinsichtlich der Richtigkeit der aktuellen Referenzstellung begonnen wird. Für die Bewertung der Größe des Vertrauensmaßes kann eine entsprechende vorbestimmte Charakteristik vorgesehen und/oder abgespeichert sein.
Der Neutralreferenzfahrt-Zustand ”Neutralreferenzfahrt notwendigerweise aktiv” ist insbesondere gegeben, wenn zuvor der erste Neutralreferenzfahrt-Zustand ”Neutralreferenzfahrt inaktiv” gegeben war und die Funktionsebene, bzw. die Funktionssoftware bewirkt, dass eine Neutralreferenzfahrt begonnen wird, und zwar bei kleinem Vertrauensmaß hinsichtlich der Richtigkeit der aktuellen Referenzstellung.
Der Neutralreferenzfahrt-Zustand ”Neutralreferenzfahrt notwendigerweise aktiv” ist ferner insbesondere gegeben, wenn zuvor der Neutralreferenzfahrt-Zustand ”Neutralreferenzfahrt erwartet” gegeben war und die Funktionsebene, bzw. Funktionssoftware bewirkt, dass eine Neutralreferenzfahrt gestartet wird.
Der fünfte Neutralreferenzfahrt-Zustand ”Getriebepositionen abgleichen” ist insbesondere gegeben, wenn zuvor der Neutralreferenzfahrt-Zustand ”Neutralreferenzfahrt notwendigerweise aktiv” gegeben war und die Funktionsebene bzw. Funktionssoftware bewirkt, dass die Neutralreferenzfahrt bei einem ausreichenden Vertrauensmaß und nach einer ausreichenden Wählhebelbewegung beendet wird. Die Spezifizierung einer ausreichenden Wählhebelbewegung kann gemäß einer vorbestimmten Charakteristik vorgegeben sein.
Der fünfte Neutralreferenzfahrt-Zustand ”Getriebepositionen abgleichen” ist insbesondere ferner dann gegeben, wenn zuvor der dritte Neutralreferenzfahrt-Zustand ”Neutralreferenzfahrt zyklisch aktiv” gegeben war und die Funktionsebene, bzw. Funktionssoftware die Neutralreferenzfahrt mit einem Abgleich, also insbesondere mit einem Abgleich der Stellungen, beendet hat.
Nicht-erfindungsgemäß ist vorgesehen, dass der in der Getriebeeinrichtung geschaltete Gang, zumindest im Normalbetrieb, ermittelt wird und in einem Display angezeigt wird. Ferner ermittelt das elektronische Sicherheitssystem den in der Getriebeeinrichtung geschalteten Gang, und zwar insbesondere redundant. Das elektronische Sicherheitssystem vergleicht dann den von diesem elektronische Sicherheitssystem ermittelten Gang mit dem im Display angezeigten Gang.
Vorzugsweise stellt das elektronische Sicherheitssystem eine fehlende Übereinstimmung zwischen dem vom elektronischen Sicherheitssystem ermittelten Gang und dem im Display angezeigten Gang fest, wenn die Identität dieser Gänge verschieden ist.
Bevorzugt überprüft das elektronische Sicherheitssystem, ob bei in der Getriebeeinrichtung geschaltetem Vorwärtsgang in dem Display der Rückwärtsgang angezeigt wird, oder umgekehrt.
Besonders bevorzugt stellt das elektronische Sicherheitssystem eine fehlende Übereinstimmung zwischen dem vom elektronische Sicherheitssystem ermittelten Gang und dem im Display angezeigten Gang fest, wenn das elektronische Sicherheitssystem feststellt, dass ein Vorwärtsgang in der Getriebeeinrichtung geschaltet ist und im Display der Rückwärtsgang angezeigt wird, oder umgekehrt.
In bevorzugter Gestaltung zeigt das elektronische Sicherheitssystem einen Fehler an, wenn bei in der Getriebeeinrichtung eingelegtem Rückwärtsgang im Display ein Vorwärtsgang angezeigt wird, oder umgekehrt, und die Kupplungseinrichtung weiter bzw. zunehmend geschlossen werden soll und/oder weiter geschlossen wird.
Vorzugsweise zeigt das elektronische Sicherheitssystem einen Fehler an, wenn bei in der Getriebeeinrichtung eingelegtem bzw. bei von dem elektronischen Sicherheitssystem ermitteltem Rückwärtsgang im Display ein Vorwärtsgang angezeigt wird, oder umgekehrt, und diese fehlende Übereinstimmung für eine Zeitperiode gegeben ist, die größer als eine vorbestimmte Grenzzeitperiode ist. Gegebenenfalls ist diese Grenzzeitperiode einstellbar.
Nicht-erfindungsgemäß ist vorgesehen, dass der in der Getriebeeinrichtung geschaltete Gang zumindest im störungsfreien Normalbetrieb ermittelt wird und in einem Display angezeigt wird, und zwar mittels einer Gangerfassungseinrichtung die vorzugsweise nicht dem elektronischen Sicherheitssystem zugeordnet ist. Während oder im Rahmen der Initialisierung des elektronischen Steuergeräts wird überprüft, ob das elektronische Steuergerät in der vorherigen Betriebsphase durch einen Reset des Steuergeräts oder normal, also nicht durch einen Reset des Steuergeräts, abgeschaltet wurde. Insbesondere wird dieses durch das elektronische Sicherheitssystem überprüft.
Sofern bei dieser Überprüfung festgestellt wird, elektronische Steuergerät in der vorherigen Betriebsphase normal abgeschaltet wurde, überwacht das elektronische Sicherheitssystem die Ganganzeige gemäß einer vorbestimmten Charakteristik in einem Passivmodus. Dieser Passivmodus der Gangüberwachung ist vorzugsweise der Standardüberwachungsmodus des elektronischen Sicherheitssystems für die Ganganzeige.
Sofern jedoch im Rahmen der Überwachung festgestellt wird, dass das elektronische Steuergerät in der vorherigen Betriebsphase durch einen Reset des Steuergeräts abgeschaltet wurde, beeinflusst das elektronische Sicherheitssystem die Ganganzeige gemäß einer vorbestimmten Charakteristik im Aktivmodus bzw. im Ganganzeigen-Aktivmodus. Dieser Ganganzeigen-Aktivmodus ist von dem Passivmodus bzw. von dem Ganganzeigen-Passivmodus verschieden.
In bevorzugter Gestaltung verändert das elektronische Sicherheitssystem die Ganganzeige bzw. die im Display angezeigten Daten im Aktivmodus.
In bevorzugter Gestaltung überwacht das elektronische Sicherheitssystem im Aktivmodus, insbesondere ergänzend, die korrekte Durchführung der durch das elektronische Sicherheitssystem veränderten Ganganzeige.
Besonders bevorzugt ist vorgesehen, dass das elektronische Sicherheitssystem vom Aktivmodus in den Passivmodus zurückgeschaltet wird, wenn die Getriebestellungen bzw. die Informationen über den aktuell eingelegten Gang durch eine Neutralreferenzfahrt abgesichert wurden.
Bevorzugt ist vorgesehen, dass ein erneuter Wechsel vom Passivmodus in den Aktivmodus für den Fall vorgesehen ist, dass im Fahrbetrieb eine erneute Unsicherheit bezüglich der Getriebeposition anhand vorbestimmter Kriterien detektiert wird. Bevorzugt ist aber auch, dass ein erneuter Wechsel nicht vorgesehen ist.
In bevorzugter Gestaltung ist vorgesehen, dass im Aktivmodus im Display (der Ganganzeige) eine Fehlerkennung angezeigt wird. Bevorzugt ist ferner, dass in dem Display angezeigt wird, dass der Aktivmodus des elektronischen Sicherheitssystems gegeben ist. Bevorzugt ist ferner, dass im Aktivmodus keine Anzeige im Display erfolgt.
Nicht-erfindungsgemäß ist vorgesehen, dass das elektronische Sicherheitssystem überwacht, ob das Kraftfahrzeug anfährt, ohne dass ein entsprechender Fahrerwunsch gegeben ist bzw. obwohl kein entsprechender Anfahrwunsch des Fahrers gegeben ist.
Ob ein Fahrerwunsch zum Anfahren gegeben ist oder nicht gegeben ist, kann anhand vorbestimmter Kriterien überprüft werden. Derartige Kriterien können insbesondere von Steuerungsfunktionalitäten des Kraftfahrzeugs abhängen. Beispielsweise kann definiert werden, dass ein Anfahrwunsch gegeben ist, wenn der Fahrer das Fahrpedal betätigt. Ein Anfahrwunsch kann auch als gegeben definiert sein für den Fall, dass bei eingelegtem Gang und laufendem Motor eine Bremseinrichtung des Kraftfahrzeugs, insbesondere die Betriebsbremseinrichtung, entlastet wird.
Auch andere Gestaltungen der Festlegung eines Anfahrwunsches sind bevorzugt.
In bevorzugter Gestaltung ist die Anfahrüberwachung eine Funktionalität, die nicht ständig ausgeführt wird, sondern nur in Situationen, in denen der Motor, wie Brennkraftmaschine, des Kraftfahrzeugs läuft, während das Kraftfahrzeug steht oder sich mit einer Geschwindigkeit bewegt, die kleiner als eine vorbestimmte Grenzgeschwindigkeit ist. In bevorzugter Gestaltung wird die Anfahrüberwachung in Abhängigkeit der Motordrehzahl und/oder in Abhängigkeit der Fahrzeuggeschwindigkeit gestartet.
Beispielsweise kann vorgesehen sein, dass die Anfahrüberwachung gestartet wird, wenn die Fahrzeuggeschwindigkeit kleiner als eine vorbestimmte Grenze für die Fahrzeuggeschwindigkeit ist, und die Motordrehzahl größer als eine vorbestimmte Grenze für die Motordrehzahl ist.
In besonders bevorzugter Gestaltung weist die Anfahrüberwachung unterschiedliche Teilfunktionalitäten auf. Besonders bevorzugt kann vorgesehen sein, dass die Teilfunktionalitäten in Abhängigkeit davon durchgeführt werden, ob ein Gang in der Getriebeeinrichtung eingelegt ist, oder nicht.
Besonders bevorzugt ist vorgesehen, dass bei nicht gegebenem Anfahrwunsch überwacht wird, ob das Kupplungssollmoment kleiner als das Kriechmoment bzw. Tastmoment ist.
Das Kriechmoment ist insbesondere ein Moment, welches ein Ankriechen des Fahrzeuges bewirkt.
Vorzugsweise ist vorgesehen, dass eine Fehlerreaktion ausgelöst wird, wenn das Kupplungssollmoment größer als das Kriechmoment und/oder das Tastmoment ist. Besonders bevorzugt ist vorgesehen, dass zwischen dem Auslösen des Fehlers und der Feststellung, dass das Kupplungssollmoment die genannten Momente oder eines der genannten Momente übersteigt, eine Übergangszeit vergeht. Die Fehlerreaktion kann allerdings auch sofort ausgelöst werden.
In bevorzugter Gestaltung ist die Fehlerreaktion so, dass die Leistungselektronik abgeschaltet wird und/oder das Steuergerät, wie ASG-Steuergerät, neu gestartet wird bzw. resetet wird.
Vorzugsweise wird, insbesondere wenn kein Fehler hinsichtlich des Kupplungssollmoments festgestellt wurde, überprüft, ob das tatsächlich gegebene Kupplungsmoment bzw. Kupplungsistmoment das Kupplungsmoment übersteigt. Besonders bevorzugt wird überprüft, ob das Kupplungsistmoment mehr als einen vorbestimmten Betrag größer als das Kupplungssollmoment ist. Diese beispielhaften Überprüfungen können direkt oder indirekt vorgenommen werden. Beispielsweise kann bei der direkten Überprüfung das Kupplungsistmoment direkt gemessen werden. Mit einer indirekten Prüfung kann beispielsweise überprüft werden, ob das Kupplungssollmoment eine geeignete bzw. vorbestimmte Kupplungsstellung bewirkt.
Das Kupplungsistmoment ist bevorzugt das von der Kupplung übertragene und besonders bevorzugt das von der Kupplung übertragbare Drehmoment.
In bevorzugter Gestaltung kann zur Überprüfung des Kupplungsistmoments überprüft werden, ob die Kupplungssollposition im Positionsregelkreis des Kupplungsaktors korrekt eingeregelt wird.
Sofern ein Fehler bei dieser oder einer derartigen Überprüfung festgestellt wird, wird bevorzugt eine Fehlerreaktion ausgelöst.
Vorzugsweise weist die Anfahrüberwachung eine Neutralgangüberwachung auf.
Bevorzugt ist vorgesehen, dass im Rahmen dieser Neutralgangüberwachung überprüft wird, ob bei ganz oder teilweise geschlossener Kupplung ein Gang in der Getriebeeinrichtung eingelegt werden soll.
Beispielsweise kann diese Überprüfung anhand der Getriebesollpositionen oder anhand von Ansteuerungssignalen für Getriebeaktoren oder auf sonstige Weise vorgenommen werden.
Bevorzugt wird ferner, insbesondere wenn kein Fehler festgestellt wurde, im Rahmen der Neutralgangüberwachung geprüft, ob der Neutralgang im Rahmen einer geringfügigen, insbesondere tastenden Bewegung, in der Neutralgasse bestätigt werden kann.
Im folgenden werden einige beispielhafte Funktionalitäten und Merkmale beschrieben, die bei einem elektronischen Sicherheitssystem einzeln oder in beliebiger Kombination gegeben sein können.
Es sei allerdings angemerkt, dass das elektronische Sicherheitssystem auch anders gestaltet sein kann bzw. andere Merkmale aufweisen kann.
Das elektronische Sicherheitssystem kann dafür bestimmt sein, sicherheitskritische Situationen, die beispielsweise durch CPU-Fehler bzw. Fehler des Hauptprozessors bedingt sind, zu vermeiden.
Das elektronische Sicherheitssystem weist vorzugsweise einen redundanten Prozessor auf, der ein Duplikat des Hauptprozessors sein kann oder kein vollwertiges Duplikat des Hauptprozessors. Bevorzugt weist das elektronische Sicherheitssystem einen redundanten Abschaltpfad auf.
In bevorzugter Gestaltung ist vorgesehen, dass das elektronische Steuergerät einen Hauptprozessor aufweist. Vorzugsweise ist in diesem Hauptprozessor eine Funktionssoftware abgelegt, die einer Funktionsebene zugeordnet ist. Die Funktionssoftware bzw. die Funktionsebene kann Steuerungsfunktionalitäten, beispielsweise einer automatisierten Kupplungseinrichtung oder eines automatisierten Schaltgetriebes, oder dergleichen, übernehmen, und zwar unabhängig von dem elektronischen Sicherheitssystem.
Als Bestandteil des elektronischen Sicherheitssystems ist vorzugsweise ferner eine Überwachungssoftware im Hauptprozessor vorgesehen.
Besonders bevorzugt ist vorgesehen, dass diese Überwachungssoftware mit der Funktionssoftware bzw. der Funktionsebene kommunizieren kann.
Ferner ist vorzugsweise vorgesehen, dass ein Überwachungsprozessor außerhalb des Hauptprozessors vorgesehen ist, der dem elektronischen Sicherheitssystem zugeordnet ist. In bevorzugter Gestaltung kommuniziert dieser Überwachungsprozessor mit der Überwachungssoftware in Form eines Frage-/Antwortspiels, bei dem der Überwachungsprozessor Fragen an die Überwachungssoftware richtet und die Überwachungssoftware entsprechende Antworten zurückübersendet. Hierzu kann beispielsweise vorgesehen sein, dass in dem Überwachungsprozessor Sollantworten abgelegt sind, die mit den Antworten der Überwachungssoftware verglichen werden. Die Antworten der Überwachungssoftware können beispielsweise aus einer Speichereinrichtung abgerufen werden.
In bevorzugter Gestaltung ist vorgesehen, dass das elektronische Sicherheitssystem bewirkt, dass das elektronische Steuergerät abgeschaltet bzw. resetet wird, wenn das elektronische Sicherheitssystem einen Fehler detektiert. Besonders bevorzugt ist vorgesehen, dass das elektronische Steuergerät Aktoren mit Elektromotoren aufweist oder mit diesen gekoppelt ist, und die Endstufen dieser Aktoren abgeschaltet werden, wenn das elektronische Sicherheitssystem einen Fehler detektiert.
In bevorzugter Gestaltung basiert die Hardwarestruktur des elektronischen Sicherheitssystems auf einem 1-1/2-Prozessor-Konzept.
Im folgenden werden einige beispielhafte Fehlersituationen geschildert, die mit dem elektronischen Sicherheitssystem ermittelt werden können. Es sei in diesem Zusammenhang darauf hingewiesen, dass das elektronische Sicherheitssystem auch so gestaltet sein kann, dass ein Teil dieser Situation detektierbar ist oder andere Situationen detektierbar sind.
Beispielsweise kann das elektronische Sicherheitssystem so gestaltet sein, dass eine Rückschaltung in der Getriebeeinrichtung in einen zu niedrigen Gang während der Fahrt verhindert wird. Eine derartige Situation kann beispielsweise so sein, dass bei einer Geschwindigkeit von 150 km/h eine Rückschaltung vom fünften in den zweiten Gang unterbunden wird.
Beispielsweise kann ferner das elektronische Sicherheitssystem so gestaltet sein, dass der Tastpunkt einer Kupplungseinrichtung oder Ergebnisse von Tastpunktadaptionen überwacht werden.
Das elektronische Sicherheitssystem kann auch so gestaltet sein, dass grundsätzlich und situationsabhängig vorbestimmte Ansteuerungen der Getriebeaktorik unterbunden werden, die sicherheitskritische Situationen auslösen können.
Bevorzugt ist ferner, dass das elektronische Sicherheitssystem so gestaltet ist, dass eine Ganganzeige überwacht wird. Vorzugsweise ist das elektronische Sicherheitssystem so gestaltet, dass es sicherheitskritische Situationen im Vorfeld derart erkennt, dass das Auftreten dieser verhindert wird, ehe sie sich tatsächlich realisieren. Beispielsweise können Aktorbetätigungen oder Schaltvorgänge vorbestimmter Art zur Verhinderung sicherheitskritischer Situationen unterbunden werden.
Die Aufgabe wird ferner durch eine elektronisches Sicherheitssystem gemäß Anspruch 42.
Im folgenden werden nun bevorzugte Aspekte der Erfindung anhand der Fig. erläutert.
1 zeigt eine beispielhafte Ausführungsform eines erfindungsgemäßen Verfahrens in schematischer Darstellung.
Im Schritt 10 wird ein Zwischenstecker zwischen einem Anschluss eines Kabelbaums und einem Anschluss eines Steuergeräts zwischengeschaltet. Hierdurch werden vorbestimmte Signale bzw. vorbestimmte Signalverbindungen zwischen diesen Anschlüssen unterbrochen bzw. ein Signalaustausch vorbestimmter Signale verhindert.
Im Schritt 12 wird eine Inbetriebnahme gestartet, wobei ein elektronisches Sicherheitssystem zumindest teilweise deaktiviert ist. Diese Inbetriebnahme kann über einen vorbestimmten Inbetriebnahme- und Diagnosebefehl gestartet werden. Der Diagnosebefehl kann über ein fahrzeugexternes Testgerät oder über das Steuergerät oder auf sonstige Weise bewirkt werden.
Im Schritt 14 ist die Inbetriebnahme beendet. Eine derartige Inbetriebnahme kann beispielsweise die Inbetriebnahme eines automatisierten Schaltgetriebes sein.
Im Schritt 16 wird der Zwischenstecker wieder entfernt, so dass Funktionalitäten, die mittels des Zwischensteckers deaktiviert wurden, wieder aktiviert bzw. möglich sind.
2 zeigt die Schritte eines beispielhaften erfindungsgemäßen Verfahrens in schematischer Darstellung.
Im Schritt 20 wird von einem elektronischen Testgerät, wie Hand-Held-Tester oder dergleichen, an ein elektronisches Steuergerät eines automatisierten Schaltgetriebes (ASG-Steuergerät) ein Signal gesandt, welches bewirkt, dass von einer Überwachungssoftware, die in einem Hauptprozessor angeordnet ist und zu einem elektronischen Sicherheitssystem gehört, auf eine Ersatzüberwachungssoftware umgeschaltet wird. Diese Überwachungssoftware, die im Normalbetrieb des Kraftfahrzeugs verwendet wird, bzw. – bei entsprechender Schaltung – die Ersatzüberwachungssoftware stehen in Kommunikationsverbindung mit einem Überwachungsprozessor, der Bestandteil des elektronischen Sicherheitssystems ist und außerhalb der Hauptprozessors angeordnet ist.
Im Normalbetrieb des Kraftfahrzeugs kommuniziert der Überwachungsprozessor mit der Überwachungssoftware in Form einer Frage-/Antwort-Routine, wobei der Überwachungsprozessor vorbestimmte Kennwerte abfragt und die Überwachungssoftware entsprechende Signale, die diese Kennwerte anzeigen, an den Überwachungsprozessor übermittelt. Insbesondere ist hierbei vorgesehen, dass die Überwachungssoftware diese Kennwerte aus einem Speicher abruft.
Im Schritt 22 wird bewirkt, dass richtige Antworten bzw. entsprechende Kennwerte in der Speichereinrichtung des elektronischen Steuergeräts abgelegt werden, so dass die an die Ersatzüberwachungssoftware gerichteten Fragen des Überwachungsprozessors stets korrekt beantwortet werden.
Im Schritt 24 wird eine Werkstattroutine bzw. ein Werkstattest oder eine Inbetriebnahme vorbestimmter Bauteile des Kraftfahrzeugs, wie ein automatisiertes Schaltgetriebe, durchgeführt.
Im Schritt 26 wird diese Inbetriebnahme oder dieser Werkstattest beendet und/oder die Kommunikationsverbindung zwischen dem elektronischen Testgerät und dem elektronischen Steuergerät unterbrochen.
Im Schritt 28 wird ein Reset des Steuergeräts ausgelöst, wobei die Ersatzüberwachungssoftware gelöscht oder deaktiviert wird und die Überwachungssoftware aktiviert wird.
Ferner werden im Schritt 28 die richtigen Antworten bzw. Kennwerte aus dem Speicher des elektronischen Testgeräts entfernt.
3 zeigt eine beispielhafte Struktur eines automatisierten ASG-Steuergeräts mit einem elektronischen Sicherheitssystem in teilgeschnittener schematischer Darstellung.
Durch das Kästchen 40 ist schematisch ein Hauptprozessor angedeutet.
Durch das Kästchen 42 ist schematisch ein elektronisches Sicherheitssystem angedeutet.
Wie schematisch durch das Kästchen 44 angedeutet, ist im Hauptprozessor 40 eine Funktionssoftware abgelegt, die vorbestimmte Funktionalitäten steuert. Diese Funktionssoftware kann beispielsweise in einer Gestaltung mit automatisiertem Schaltgetriebe bzw. bei einer Gestaltung als Steuergerät für ein automatisiertes Schaltgetriebe eine Funktionssoftware sein, die vorbestimmte Funktionalitäten des automatisierten Schaltgetriebes steuert und gegebenenfalls weitere Funktionalitäten, wie beispielsweise Funktionalitäten einer elektronischen Kupplungseinrichtung.
Ferner ist im Hauptprozessor 40, wie durch das Kästchen 46 schematisch angedeutet, eine Überwachungssoftware abgelegt, die zum elektronischen Sicherheitssystem 42 gehört.
Zum elektronischen Sicherheitssystem 42 gehört ferner ein Überwachungsprozessor, der ein zumindest teilweise redundanter Prozessor des Hauptprozessors 40 ist und durch das Kästchen 48 in 3 schematisch angedeutet ist.
Die Funktionssoftware kann beispielsweise Funktionen des automatisierten Schaltgetriebes, wie Gangwechsel oder Schließen der Kupplungseinrichtung oder dergleichen, steuern.
Mittels der Überwachungssoftware werden sicherheitskritische Aktionen bzw. Steuerbefehle der Funktionssoftware überwacht, also insbesondere solche, die zu sicherheitskritischen Situationen führen können, wie beispielsweise, ohne dass die Erfindung hierdurch beschränkt werden soll, eine Rückschaltung von einem fünften in einen zweiten Gang bei hoher Geschwindigkeit, wie beispielsweise 150 km/h.
Das elektronische Steuergerät weist ferner Aktoren mit Elektromotoren auf, über welche Stellvorgänge der Kupplungseinrichtung bewirkt werden. Diese Aktoren weisen Endstufen auf, die durch das Kästchen 50 schematisch angedeutet sind.
Durch die Pfeilanordnung 52 werden schematisch Eingangssignale dargestellt, die an die Funktionssoftware 44 und/oder die Überwachungssoftware 46 übermittelt werden.
Der Überwachungsprozessor 48 und die Überwachungssoftware 46 kontrollieren sich gegenseitig mittels eine Frage-/Antwort-Routine, die durch die Pfeile 54, 56 schematisch angedeutet ist.
Sofern vom Überwachungsprozessor 48 an die Überwachungssoftware gerichtete Fragen falsch beantwortet werden, wird auf einen Fehler im Hauptprozessor geschlossen und die Endstufen 50 abgeschaltet und/oder ein Reset der Steuergeräts ausgelöst und/oder der Fehler auf sonstige Weise angezeigt.
Ein derartiges, in 3 dargestelltes System kann insbesondere zur Durchführung eines erfindungsgemäßen Verfahrens verwendet werden.
4 zeigt die Schritte eines beispielhaften erfindungsgemäßen Verfahrens in schematischer Darstellung.
Im Schritt 60 wird das Verfahren gestartet.
Im Schritt 62 wird überprüft, ob die Initialisierung des elektronischen Steuergeräts abgeschlossen ist.
Sofern im Schritt 62 festgestellt wird, dass die Initialisierung des elektronischen Steuergeräts nicht abgeschlossen ist, wird im Schritt 64 die Initialisierung des elektronischen Steuergeräts fortgeführt und im Schritt 66 ein Initialisierungssignal aktiviert, welches anzeigt, dass das Steuergerät in der Initialisierungsphase ist.
Sofern im Schritt 62 allerdings festgestellt wird, dass die Initialisierung des elektronischen Steuergeräts abgeschlossen ist, werden im Schritt 68 Normalfunktionen, insbesondere also normale Steuerungsfunktionen, ausgeführt.
Im Schritt 70 wird überprüft, ob das Initialisierungssignal aktiv ist.
Sofern im Schritt 70 festgestellt wird, dass das Initialisierungssignal aktiv ist, werden im Schritt 72 die Endstufen der Aktoren des elektronischen Steuergeräts abgeschaltet.
Sofern jedoch im Schritt 70 festgestellt wird, dass das Initialisierungssignal nicht aktiv ist, führt das elektronische Überwachungssystem im Schritt 74 eine vollständige Überwachung bzw. eine Überwachung in vollständigem Umfang durch.
Im Schritt 76 wird überprüft, ob das elektronische Überwachungssystem bzw. das elektronische Sicherheitssystem einen Fehler festgestellt hat, und zwar insbesondere einen Fehler, aus dem geschlossen wird, dass eine Funktionsbeeinträchtigung des Hauptprozessors gegeben ist.
Sofern im Schritt 76 kein Fehler festgestellt wurde, werden im Schritt 78 die Endstufen der Aktoren des elektronischen Steuergeräts eingeschaltet.
Sofern jedoch im Schritt 76 ein Fehler festgestellt wurde, werden im Schritt 78 die Endstufen abgeschaltet bzw. im abgeschalteten Zustand belassen.
Im Schritt 82 wird das Initialisierungssignal wieder gelöscht.
Im Schritt 84 wird das Verfahren bzw. die Verfahrensschleife beendet.
5 zeigt Schritte eines beispielhaften erfindungsgemäßen Verfahrens in schematischer Darstellung sowie Schaltzustände der Endstufen der Aktoren eines elektronischen Steuergeräts.
Im Schritt 100 wird die Initialisierung des elektronischen Steuergeräts gestartet.
Im Schritt 102 werden die Endstufen der Aktoren, und insbesondere die Endstufen der Aktoren des elektronischen Steuergeräts bzw. des automatisierten Schaltgetriebes, abgeschaltet.
Im Schritt 104 wird die Initialisierung des elektronischen Steuergeräts beendet und kein Fehler des Hauptprozessors festgestellt.
Anschließend werden im Schritt 106 die Endstufen der Aktoren eingeschaltet.
Wenn im Schritt 108 ein Prozessorfehler des Hauptprozessors entdeckt wird oder das elektronische Steuergerät abgeschaltet wird, werden erneut im Schritt 102 die Endstufen abgeschaltet.
6 zeigt die Schritte eines beispielhaften erfindungsgemäßen Verfahrens in schematischer Darstellung.
Der in 6 dargestellte Verfahrensablauf lässt sich insbesondere zur Überwachung des langfristigen Tastpunktes bzw. zur Adaption des langfristigen Tastpunktes verwenden.
Im Schritt 110 wird das Verfahren gestartet.
Im Schritt 112 wird überprüft, ob sich der Tastpunkt gegenüber dem letzten Rechenzyklus bzw. der letzten Tastpunktadaption oder der letzten Überprüfung verändert hat bzw. ob der aktuelle Tastpunkt dem vorherigen Tastpunkt entspricht.
Sofern keine Veränderung des Tastpunktes festgestellt wird bzw. der Tastpunkt dem vorherigen Tastpunkt entspricht, wird im Schritt 114 ein Zeitzähler erhöht.
Sofern jedoch im Schritt 112 eine Veränderung des Tastpunktes festgestellt wurde, wird untersucht, ob diese Änderung aus einer regulären Tastpunktadaption resultieren kann.
Zunächst wird im Schritt 116 der Zähler zurückgesetzt bzw. auf Null gesetzt.
Im Schritt 118 wird die Tastpunktveränderung ermittelt, indem die Differenz zwischen dem neuen Tastpunkt und dem alten Tastpunkt, also insbesondere den entsprechenden Stellungswerten, gebildet wird.
Im Schritt 120 wird überprüft, ob die im Schritt 118 ermittelte Tastpunktveränderung innerhalb einer vorbestimmten Intervalls bzw. einer Toleranzbandes liegt. Hierzu wird überprüft, ob die Tastpunktänderung kleiner als eine erste Grenze und größer als eine zweite Grenze ist. Insbesondere die zweite Grenze kann auch einen negativen Wert annehmen.
Sofern im Schritt 120 festgestellt wurde, dass die Tastpunktänderung nicht innerhalb dieses Toleranzbandes liegt, wird im Schritt 122 eine Fehlerreaktion ausgelöst.
Sofern im Schritt 120 jedoch ermittelt wurde, dass die Tastpunktänderung innerhalb des Toleranzbandes liegt, wird im Schritt 124 überprüft, ob die vom Zeitzähler hochgezählte Zeit größer als eine vorbestimmte Grenze ist. Hierdurch soll insbesondere überprüft werden, ob die seit der letzten Veränderung des Tastpunktes vergangene Zeit über einer vorbestimmten Minimaldauer liegt.
Sofern im Schritt 124 festgestellt wird, dass die vergangene Zeitperiode kleiner als die Zeitgrenze ist, wird im Schritt 122 eine Fehlerreaktion ausgelöst.
Das Auslösen der Fehlerreaktion im Schritt 122 zeigt insbesondere an, dass der Schluss gezogen wird, dass die Tastpunktveränderung nicht aus einer regulären Adaption stammt, sondern durch einen Fehler im elektronischen Steuergerät verursacht ist.
Sofern im Schritt 124 jedoch festgestellt wurde, dass die vergangene Zeitperiode größer als die vorbestimmte Grenze ist, wird im Schritt 126 der Tastpunkt als neuer Tastpunkt übernommen.
Im Schritt 128 wird das Verfahren beendet.
7 zeigt die Schritte einer beispielhaften Ausführungsform eines erfindungsgemäßen Verfahrens.
Das in 7 dargestellte Verfahren kann insbesondere zur Überwachung bzw. Adaption des kurzfristigen Tastpunktes verwendet werden.
Insbesondere kann das Verfahren gemäß 7 mit dem Verfahren gemäß 6 kombiniert werden bzw. entsprechend parallel oder gemäß einer vorbestimmten, gegebenenfalls vom Ablauf des Betriebs abhängenden Charakteristik durchgeführt werden.
Im Schritt 140 wird das Verfahren gestartet.
Im Schritt 142 wird überprüft, ob der kurzfristige neue Tastpunkt dem kurzfristigen alten Tastpunkt entspricht.
Sofern dies der Fall ist, wird im Schritt 144 ein Zeitzähler erhöht, wobei dieser Zeitzähler insbesondere von dem Zeitzähler gemäß Schritt 114 verschieden ist.
Sofern im Schritt 142 jedoch festgestellt wurde, dass der kurzfristige neue Tastpunkt vom kurzfristigen alten Tastpunkt verschieden ist, wird im Schritt 146 überprüft, ob der kurzfristige neue Tastpunkt dem langfristigen neuen Tastpunkt entspricht, sowie ob die Kupplung geschlossen ist.
Sofern eine dieser Bedingungen gemäß Schritt 146 nicht erfüllt ist, wird im Schritt 148 ein Zeitzähler auf Null zurückgesetzt.
Anschließend wird im Schritt 150 die Änderung des kurzfristigen Tastpunktes ermittelt. Hierzu wird die Differenz zwischen dem kurzfristigen neuen Tastpunkt und dem kurzfristigen alten Tastpunkt berechnet.
Im Schritt 152 wird anschließend überprüft, ob die im Schritt 150 ermittelte Änderung des kurzfristigen Tastpunktes innerhalb eines vorbestimmten Intervalls liegt. Hierzu wird insbesondere überprüft, ob die Änderung des kurzfristigen Tastpunktes kleiner als eine vorbestimmte vierte Grenze und größer als eine vorbestimmte fünfte Grenze ist.
Sofern im Schritt 152 ermittelt wurde, dass die Änderung des kurzfristigen Tastpunktes nicht in dem Intervall liegt, wird im Schritt 154 eine Fehlerreaktion ausgelöst.
Sofern im Schritt 152 jedoch ermittelt wurde, dass die Änderung des kurzfristigen Tastpunktes innerhalb des vorbestimmten Intervalls liegt, wird im Schritt 156 überprüft, ob eine vorbestimmte Zeitperiode vergangen ist. Dieser Schritt entspricht im Wesentlichen dem Schritt 124, wobei jedoch die Zeitgrenze bzw. -periode abweichend gesetzt sein kann bzw. abweichend gesetzt ist.
Sofern sich im Schritt 156 ergibt, dass die vergangene Zeitperiode kleiner als die vorbestimmte Zeitgrenze ist, wird im Schritt 154 eine Fehlerreaktion ausgelöst.
Sofern jedoch im Schritt 156 ermittelt wurde, dass die vergangene Zeitperiode größer oder gleich der vorbestimmten Zeitgrenze ist, wird im Schritt 158 der kurzfristige Tastpunkt als neuer kurzfristiger Tastpunkt übernommen.
Sofern im Schritt 146 jedoch festgestellt wurde, dass der kurzfristige neue Tastpunkt nicht dem langfristigen neuen Tastpunkt entspricht oder sofern festgestellt wurde, dass die Kupplung nicht geschlossen ist, wird im Schritt 160 der kurzfristige Tastpunkt als neuer kurzfristiger Tastpunkt übernommen.
Im Schritt 162 wird das Verfahren beendet.
8 zeigt eine beispielhafte Struktur eines beispielhaften elektronischen Sicherheitssystems 170 in teilweiser und schematischer Darstellung.
Das elektronische Sicherheitssystem 170 weist einen ersten Funktionsblock 172, einen zweiten Funktionsblock 174, einen dritten Funktionsblock 176, einen vierten Funktionsblock 178 sowie einen fünften Funktionsblock 180 auf.
In der Gestaltung gemäß 8 sind ferner Eingangssignale 182, 184 sowie Ausgangssignale 186, 188 vorgesehen.
Die Eingangssignale 182 repräsentieren messbare Größen, die den Betriebszustand des Kraftfahrzeugs und/oder des automatisierten Schaltgetriebes charakterisieren, wie beispielsweise, ohne dass die Erfindung hierdurch beschränkt werden soll, die Motordrehzahl oder die Fahrzeuggeschwindigkeit.
Die Eingangssignale 182 werden auch als Fahrzeugsignale bezeichnet.
Die Eingangssignale 184 sind diverse Signale, die in der eigentlichen Getriebesteuerung bzw. der Funktionsebene des elektronischen Steuergeräts bestimmt werden, und die den Betrieb des Getriebes bzw. des Fahrzeugs beeinflussen. Über diese Signale werden insbesondere Funktionalitäten des Getriebes und/oder des Fahrzeugs bewirkt.
Die Eingangssignale 184 werden auch als Funktionsebenensignale bezeichnet.
Die Eingangssignale 184 werden dem ersten Funktionsblock 172, dem dritten Funktionsblock 176 sowie dem vierten Funktionsblock 178 bereitgestellt.
Die Eingangssignale 182 bzw. die Fahrzeugsignale werden dem ersten Funktionsblock 172 bereitgestellt.
Der erste Funktionsblock ist ein Funktionsblock ”Signalplausibilisierung”.
In diesem Funktionsblock überprüft das elektronische Sicherheitssystem die Eingangssignale 182, 184 darauf, ob diese in plausibler Weise den Betriebszustand des Fahrzeugs und/oder des Getriebes und/oder der Kupplung beschreiben bzw. beschreiben können.
Sofern dies der Fall ist, werden diese als entsprechende plausible Signale 186 bzw. als entsprechende plausible Funktionsebenensignale bzw. als entsprechende plausible Fahrzeugsignale 188 auf den Ausgang des ersten Funktionsblocks gelegt.
Die plausiblen Signale 186 werden dem zweiten Funktionsblock sowie dem vierten Funktionsblock bereitgestellt. Die plausiblen Fahrzeugsignale 188 werden ferner dem dritten Funktionsblock 176 bereitgestellt.
Im zweiten Funktionsblock ”Situationserkennung” wird mittels der plausibilisierten Signale 186 entschieden, welche Betriebszustände auf etwaige sicherheitskritische Ereignisse überwacht werden sollen. Entsprechende Signale 190, die dies anzeigen, werden an den dritten Funktionsblock 176 gesandt.
Im dritten Funktionsblock ”Aktionsüberwachung” wird in Abhängigkeit der Funktionsebenensignale 184, der Signale 190 sowie der plausiblen bzw. plausibilisierten Fahrzeugsignale 188 überprüft, ob in der Funktionsebene unzulässige Steuerungsstrategien eingeleitet werden. Hierbei wird insbesondere analysiert, ob die Funktionsebenensignale 184 mit den plausibilisierten Fahrzeugsignalen 188 harmonieren.
Beispielsweise, ohne dass die Erfindung hierdurch beschränkt werden soll, kann anhand der Fahrzeuggeschwindigkeit der kleinste zulässige Gang ermittelt werden und dieser anschließend mit dem von der Funktionsebene angeforderten bzw. angesteuerten oder anzusteuernden Gang verglichen werden.
Sofern im Funktionsblock ”Aktionsüberwachung” eine fehlerhafte Aktion der Funktionsebene festgestellt wird, aktiviert die Aktionsüberwachung ein Fehlersignal 192, das dem fünften Funktionsblock angezeigt wird.
Ferner sendet der dritte Funktionsblock 176 an den vierten Funktionsblock 178 Signale 194, die plausibilisierte Aktionsgrößen der Funktionsebene anzeigen.
Im vierten Funktionsblock ”Aktoriküberwachung” wird in Abhängigkeit dieser Signale 194 sowie in Abhängigkeit der Funktionsebenensignale 184 und der plausibilisierten Signale 186 geprüft, ob plausibilisierte Aktionsgrößen in korrekter bzw. vorbestimmter Weise von der Getriebe- und/oder Kupplungsaktorik umgesetzt werden. Sofern hierbei ein Fehler festgestellt wird, wird ein entsprechendes Fehlersignal 196 dem fünften Funktionsblock angezeigt.
Eine derartige plausibilisierte Aktionsgröße kann beispielsweise, ohne dass die Erfindung hierdurch beschränkt werden soll, ein abgesicherter Zielgang sein.
Im fünften Funktionsblock ”Fehlerhandling” 180 wird in Abhängigkeit der Signale 192, 196 entschieden, ob eine Fehlerreaktion ausgelöst werden soll, die beispielsweise, wie durch das Ausgangssignal 186 angedeutet, in einem Abschalten der Leistungselektronik bestehen kann, die zur Ansteuerung der Getriebe- oder Kupplungsaktorik dient, oder, wie durch das Signal 188 beispielhaft angedeutet, in einem Reset bzw. Neustart des elektronischen Steuergeräts.
9 zeigt eine beispielhafte Struktur des Funktionsblocks ”Signalplausibilisierung” in schematischer Darstellung.
Im Funktionsblock ”Signalplausibilisierung” 172 werden in dieser beispielhaften Gestaltung die Raddrehzahlen 210, die Motordrehzahl 212, das Zündungssignal 214, das Wählhebelsignal 216, die Fahrpedalstellung 218 sowie die Stellungen 220 der Getriebe und/oder Kupplungsaktoren überprüft und weiterverarbeitet.
Im Rahmen der Überprüfung ist insbesondere vorgesehen, dass möglichst eindeutige Rückschlüsse über den Betriebszustand des Fahrzeugs und seines Antriebsstrangs sowie über Wünsche des Fahrers hinsichtlich Schaltungen, Fahrzuständen oder dergleichen erzielt werden.
Das Ergebnis dieser Überprüfungen wird in einem Signalvektor 186 zusammengefasst, in dem die plausibilisierten Fahrzeugsignale und plausibilisierten Funktionsebenensignale zusammengefasst sind.
10 zeigt eine beispielhafte Struktur des Funktionsblocks ”Signalplausibilisierung” 174 in schematischer Darstellung.
Gemäß der Darstellung gemäß 10 ist der Funktionsblock ”Aktoriküberwachung” 176 modular aufgebaut und weist fahrzustandsunabhängige Module 230 sowie fahrzustandsabhängige Module 232, 234, 236 auf.
Die fahrzustandsunabhängigen Module 230 werden ständig überprüft und die fahrzustandsabhängigen Module 232, 234, 236 werden nach Erkennung einer entsprechenden relevanten Fahrsituation überprüft. Die entsprechende Relevanz von Fahrsituationen wird durch eine vorbestimmte Charakteristik bestimmt und/oder ist entsprechende abgespeichert.
Zu den ständig überwachten Fahrzeugmodulen bzw. den ständig aktiven Überwachungen kann beispielsweise eine Plausibilisierung eines Kupplungsgreifpunktes bzw. Kupplungstastpunktes gehören, von dem gegebenenfalls relevante Kupplungssteuerungsaktivitäten abhängen.
Das fahrzustandsabhängige Modul 232, bei dem eine Parksperre überwacht wird, wird überwacht bzw. aktiviert, wenn eine vorbestimmte Situation 238 angezeigt wird. Die Situation 238 ist insbesondere so, dass das Fahrzeug steht und der Motor abgestellt ist.
Das fahrzustandsabhängige Modul 234 wird aktiviert bzw. überwacht, wenn eine vorbestimmte Situation 240 gegeben ist.
Im Modul 234 wird insbesondere überprüft, ob ein ungewollter Kraftschluss im Antriebsstrang des Kraftfahrzeugs gegeben ist. Die Situation 240, die diese Überwachung anstößt, ist insbesondere so, dass kein Anfahrwunsch des Fahrers vorliegt. Ein Anfahrwunsch kann beispielsweise durch die Betätigung des Fahrpedals angezeigt werden und/oder wenn bei stehendem Fahrzeug der Motor läuft.
Eine Überprüfung bzw. Überwachung mittels des fahrzustandsabhängigen Moduls 236 wird durchgeführt, wenn eine der vorbestimmten Situationen 242, 244 gegeben ist.
Im Modul 236 wird insbesondere überwacht, ob ein zu kleiner Gang eingelegt ist oder eingelegt werden soll.
Hierbei wird zwischen verschiedenen Situationen unterschieden. Eine Situation, die diese Überprüfung auslöst, ist insbesondere, dass sich das Fahrzeug bewegt. Hierbei kann, wie durch die aufgeteilte Darstellung der Situation 242, 244 angedeutet, zwischen den Fällen unterschieden werden, dass der Motor steht (Situation 242) und dass der Motor läuft (244).
Alle Module der Aktionsüberwachung liefern bei Erkennung einer unzulässigen Aktion einen Beitrag zu einem Fehlersignal 192 bzw. gehen in dieses ein. Ferner können diese Module 232, 234, 236 plausibilisierte Funktionsebenensignale oder daraus abgeleitete Kenngrößen für die nachgeschaltete Aktorüberwachung ausgeben (194).
11 zeigt eine beispielhafte Struktur eines Funktionsblocks ”Aktorüberwachung” in schematischer Darstellung.
Dieser Funktionsblock basiert vorzugsweise im Zusammenspiel mit den übrigen Modulen bzw. Funktionsblöcken, auf dem Prinzip, dass die einzelnen Glieder einer Signalkette ”Situations-Strategie-Sollgrößen-Stellgrößen” einzeln abgesichert bzw. überprüft werden.
Im Funktionsblock ”Aktorüberwachung” werden aus plausibilisierten Getriebesteuerstrategien (zum Beispiel einem plausibilisierten Zielgang) zulässige Getriebepositionen bzw. Stellungen bestimmt, wie durch das Bezugszeichen 250 schematisch angedeutet ist.
Hierbei werden insbesondere zulässige Intervalle bzw. Stellungsgrenzen der zulässigen Getriebepositionen bestimmt.
In entsprechender Weise werden, wie durch das Bezugszeichen 252 angedeutet, zulässige Kupplungsstellungen bzw. Kupplungsstellungsbereiche bestimmt.
Im Schritt 254 bzw. im Modul 254 werden die ermittelten zulässigen Getriebestellungen mit den von der Funktionsebene angeforderten Zielstellungen verglichen, wobei wie durch das Bezugszeichen 256 schematisch angedeutet, ein Teilsignal 256 eines Fehlersignals 196 erzeugt wird, wenn die angeforderten Zielstellungen außerhalb des zulässigen Bereiches liegen.
Ferner werden Getriebesollpositionen über ein Signal 256 an ein Überwachungsmodul 260 weitergeleitet, sofern diese Getriebesollpositionen im zulässigen Bereich für die Getriebepositionen liegen.
Im Teilmodul 260 findet eine Getrieberegelkreis-Überwachung statt, bei der die im Funktionsebenensignal 184 enthaltenen Stellgrößen unter Berücksichtigung der plausibilisierten Fahrzeug-, Aktions- und Sollgrößen überprüft werden, wobei im Fehlerfall eine Fehlerreaktion ausgelöst wird, bzw. ein Signalbeitrag 262 zu einem Fehlersignal 196 erzeugt wird.
In entsprechender Weise ist ein Teilmodul, dass wiederum aus weiteren Teilmodulen 252, 264, 266 besteht, zur Überwachung der Kupplungsaktorik vorgesehen. Der Überwachungspfad zur Überwachung der Kupplungsaktorik ist im Wesentlichen parallel geschaltet zum Überwachungspfad zur Überwachung der Getriebeaktorik.
Ferner ist ein Modul 268 des Funktionsblocks ”Aktoriküberwachung” vorgesehen, mittels welchem Neutralreferenzfahrten überwacht werden.
Im Rahmen der Überwachung der Neutralreferenzfahrten bzw. der Überwachung der Ergebnisse von Neutralreferenzfahrten werden im Modul bzw. Schritt 268 in Abhängigkeit der Betriebszustände gegebenenfalls weitere Grenzen für zulässige Getriebe- und/oder Kupplungsstellungen ermittelt, die als Signal 270 bzw. 272 in den Schritten im Teilmodul 254 bzw. 264 berücksichtigt werden.
12 zeigt die Schritte eines beispielhaften erfindungsgmäßen Verfahrens in schematischer Darstellung.
Das Verfahren gemäß 12 kann insbesondere verwendet werden, um mittels des elektronischen Sicherheitssystems eine Neutralreferenzfahrt bzw. die Ergebnisse einer Neutralreferenzfahrt zu überwachen.
Im Schritt 280 wird die Initialisierung des elektronischen Steuergeräts gestartet.
Im Schritt 282 wird überprüft, ob das elektronische Steuergerät in der vorherigen Betriebsphase nach bzw. über einen Reset abgeschaltet wurde oder normal bzw. ohne ein Reseten des elektronischen Steuergeräts.
Sofern. insbesondere während der Initialisierung des elektronischen Steuergeräts, im Schritt 282 festgestellt wird, dass das elektronische Steuergerät in der vorherigen Betriebsphase nicht über einen Reset abgeschaltet wurde, wird in den Zustand 284 ”Neutralreferenzfahrt inaktiv” geschaltet.
Im Zustand 284 ”Neutralreferenzfahrt inaktiv” wird von dem elektronische Sicherheitssystem der normale Fahrbetrieb überwacht; eine Überwachung Neutralreferenzfahrt-spezifischer Eigenschaften findet in diesem Zustand durch das elektronische Sicherheitssystem nicht statt.
Sofern allerdings im Schritt 282 wurde, dass das elektronische Steuergerät in der vorherigen Betriebsphase über einen Reset abgeschaltet wurde, wird in den Zustand 286 ”Neutralreferenzfahrt erwartet” geschaltet.
Im Zustand 286 ”Neutralreferenzfahrt erwartet” überwacht das elektronische Sicherheitssystem, ob ein Gangwechsel der Getriebeeinrichtung durchgeführt bzw. eingeleitet wird. Sofern Gangwechsel durchgeführt bzw. eingeleitet wird, bewirkt das elektronische Sicherheitssystem eine Fehlerreaktion.
Sofern im Zustand 284 ”Neutralreferenzfahrt inaktiv” festgestellt wird, dass eine unplausible Stellung der Getriebeeinrichtung gegeben ist, wird in den Zustand 286” Neutralreferenzfahrt erwartet” geschaltet.
Sofern im Zustand 284 ”Neutralreferenzfahrt inaktiv” festgestellt wird, dass mittels der Funktionsebene eine Neutralreferenzfahrt begonnen wird und gemäß einer vorbestimmten Charakteristik ein geringes Vertrauensmaß hinsichtlich der momentanen Referenzstellung gegeben ist, wird in den Zustand 288 ”Neutralreferenzfahrt notwendigerweise aktiv” geschaltet.
Im Zustand 288 ”Neutralreferenzfahrt notwendigerweise aktiv” überprüft das elektronische Sicherheitssystem, ob die Kupplungseinrichtung vollständig geöffnet ist und führt eine Plausibilitätsbewertung hinsichtlich des Erfolgs der Neutralreferenzfahrt durch. Sofern sich hierbei ergibt, dass die Kupplungseinrichtung nicht vollständig geöffnet ist oder der Erfolg bzw. das Ergebnis der Neutralreferenzfahrt nicht-plausibel ist, wird vom elektronische Sicherheitssystem eine Fehlerreaktion bewirkt.
Sofern im Zustand 284 ”Neutralreferenzfahrt inaktiv” festgestellt wird, dass mittels der Funktionsebene eine Neutralreferenzfahrt begonnen wird und gemäß einer vorbestimmten Charakteristik ein großes Vertrauensmaß hinsichtlich der momentanen Referenzstellung gegeben ist, wird in den Zustand 290 ”Neutralreferenzfahrt zyklisch aktiv” geschaltet.
Im Zustand 290 ”Neutralreferenzfahrt zyklisch aktiv” erwartet das elektronische Sicherheitssystem, dass die Kupplungseinrichtung vollständig offen gehalten wird, wobei die Neutralreferenzfahrt zu Bestätigungszwecken der Referenzstellung durchgeführt wird und jederzeit abgebrochen werden kann. Sofern hierbei festgestellt wird, dass die Kupplungseinrichtung nicht vollständig offen gehalten wird, wird eine Fehlerreaktion vom elektronischen Sicherheitssystem ausgelöst.
Sofern im Zustand 286 ”Neutralreferenzfahrt erwartet” festgestellt wird, dass mittels der Funktionsebene eine Neutralreferenzfahrt begonnen wird, wird in den Zustand 288 ”Neutralreferenzfahrt notwendigerweise aktiv” geschaltet.
Sofern im Zustand 290 ”Neutralreferenzfahrt zyklisch aktiv” festgestellt wird, dass die Funktionsebene die Neutralreferenzfahrt ohne einen Abgleich beendet, wird in den Zustand 284 ”Neutralreferenzfahrt inaktiv” geschaltet.
Sofern im Zustand 290 ”Neutralreferenzfahrt zyklisch aktiv” festgestellt wird, dass die Funktionsebene die Neutralreferenzfahrt mit einem Abgleich beendet, wird in den Zustand 292 ”Getriebepositionen abgleichen” geschaltet.
Im Zustand 292 ”Getriebepositionen abgleichen” ordnet das elektronische Sicherheitssystem – ebenso wie die normale Getriebesteuerung – die Inkrementalwegmessung den Getriebestellungen neu zu.
Sofern im Zustand 288 ”Neutralreferenzfahrt notwendigerweise aktiv” festgestellt wird, dass die Funktionsebene bei einem ausreichenden Vertrauensmaß und nach ausreichender Wählhebelbewegung beendet, wird in den Zustand 292 ”Getriebepositionen abgleichen” geschaltet. Die Festlegung eines ausreichenden Vertrauensmaß sowie einer in diesem Sinne ausreichenden Wählhebelbewegung erfolgt gemäß einer vorbestimmte Charakteristik.
Sofern im Zustand 292 ”Getriebepositionen abgleichen” festgestellt wird, dass die Getriebepositionen abgeglichen sind, wird in den Zustand 284 ”Neutralreferenzfahrt inaktiv” geschaltet.
13 zeigt die Schritte eines beispielhaften erfindungsgemäßen Verfahrens in schematischer Darstellung.
Im Schritt 300 überprüft das elektronische Sicherheitssystem, ob in der Getriebeeinrichtung ein Vorwärtsgang oder ein Rückwärtsgang geschaltet ist.
Im Schritt 302 vergleicht das elektronische Sicherheitssystem die Ganginformation gemäß Schritt 300 mit der Ganginformation, die von einem Display angezeigt wird und die von einer (weiteren, insbesondere vom elektronische Sicherheitssystem unabhängigen) Gangerfassungseinrichtung ermittelt wurde.
Sofern sich hierbei ergibt, dass im Display der Rückwärtsgang angezeigt wird und im Schritt 300 ermittelt wurde, dass ein Vorwärtsgang gegeben ist, oder umgekehrt, wird im Schritt 304 ermittelt, ob die Kupplungseinrichtung des Kraftfahrzeuges weiter geschlossen wird. Sofern hierbei festgestellt wird, dass die Kupplungseinrichtung weiter bzw. zunehmend geschlossen wird, wird im Schritt 306 eine Fehlerreaktion ausgelöst.
Sofern sich bei der Überprüfung gemäß Schritt 304 allerdings ergibt, dass die Kupplungseinrichtung nicht weiter geschlossen wird, wird im Schritt 306 überprüft, ob die Zeitperiode, die seit der erstmaligen Detektion der (momentanen) widersprüchlichen Ganganzeigeinformation vergangen ist, größer als eine vorbestimmte Grenzzeitperiode ist.
Sofern dies der Fall ist, wird eine Fehlerreaktion 306 ausgelöst.
Sofern dies allerdings nicht der Fall ist, wird überprüft, ob die widersprüchliche Ganginformation weiter gegeben ist.
14 zeigt die Schritte eines beispielhaften erfindungsgemäßen Verfahrens in schematischer Darstellung.
Im Schritt 320 wird die Initialisierung eines Steuergerätes gestartet.
Im Schritt 322 wird überprüft, ob das Steuergerät in der letzten Betriebsphase über einen Reset abgeschaltet wurde.
Sofern im Schritt 322 festgestellt wird, dass das Steuergerät in der letzten Betriebsphase nicht über einen Reset abgeschaltet wurde, wird das elektronische Sicherheitssystem in einen Passivmodus 324 geschaltet.
Im Passivmodus wird eine normale Überwachung der Ganganzeige durchgeführt.
Sofern im Schritt 322 jedoch festgestellt wurde, dass das elektronische Steuergerät in der vorherigen Betriebsphase über ein Reset abgeschaltet wurde, wird das elektronische Sicherheitssystem in den Aktivmodus 326 geschaltet. Im Aktivmodus 326 wird die Ganganzeige durch das elektronische Sicherheitssystem beeinflusst.
Sofern im Passivmodus 324 festgestellt wird, dass – wie durch das Bezugszeichen 328 schematisch angedeutet die Getriebeposition unsicher ist, also insbesondere nicht – gemäß einer vorbestimmten Vorgabe – hinreichende Sicherheit hinsichtlich der angezeigten Getriebeposition bzw. Gangstellung gegeben ist, wird in den Aktivmodus geschaltet.
Sofern im Aktivmodus im Schritt 330 festgestellt wird, dass die Getriebeposition abgesichert wird, wird in den Passivmodus geschaltet.
15 zeigt die Schritte eines beispielhaften erfindungsgemäßen Verfahrens in schematischer Darstellung. Das Verfahren gemäß 15 ist insbesondere ein Verfahren, welches von einem elektronischen Sicherheitssystem zur Anfahrüberwachung ausführt werden kann. Im Schritt 340 wird das Verfahren gestartet.
Im Schritt 342 wird überprüft, ob die Fahrzeuggeschwindigkeit kleiner als eine vorbestimmte Grenze für die Fahrzeuggeschwindigkeit und die Motordrehzahl größer als eine vorbestimmte Grenze für die Motordrehzahl ist.
Sofern zumindest eine dieser Bedingungen nicht gegeben ist, wird das Verfahren im Schritt 344 beendet.
Sofern jedoch beide dieser Bedingungen gegeben sind, wird im Schritt 346 überprüft, ob der Neutralgang gegeben ist, bzw. erkannt wird.
Sofern im Schritt 346 der Neutralgang detektiert bzw. erkannt wird, wird im Schritt 348 der Neutralgang überwacht.
Sofern im Schritt 346 jedoch festgestellt wird, dass der Neutralgang nicht eingelegt ist, bzw. nicht erkannt wird, wird im Schritt 350 die Kupplungssteuerung überwacht.
16 zeigt Schritte eines beispielhaften erfindungsgemäßen Verfahrens in schematischer Darstellung.
Das Verfahren gemäß 16 kann beispielsweise verwendet werden, um die Kupplungsansteuerung im Verfahren gemäß 15 zu überwachen (z. B. Schritt 350 in der Gestaltung gemäß 15).
Im Schritt 360 wird das Verfahren gestartet.
Im Schritt 362 wird überprüft, ob ein Anfahrwunsch des Fahrers gegeben ist. Dies kann beispielsweise anhand der Fahrpedalstellung oder eines Leerlaufschalters entschieden werden. Bevorzugt ist auch, dass die Kombination beider dieser Möglichkeiten gegeben ist.
Sofern in der Überprüfung gemäß Schritt 362 festgestellt wird, dass ein Anfahrwunsch des Fahrers gegeben ist, wird das Verfahren im Schritt 364 beendet.
Sofern im Schritt 362 jedoch festgestellt wird, dass kein Anfahrwunsch des Fahrers gegeben ist, wird Schritt 366 überprüft, ob das Kupplungssollmoment einer Kupplungseinrichtung, insbesondere der Anfahrkupplungseinrichtung steigt bzw. aufgebaut wird.
Sofern sich im Schritt 366 ergibt, dass das Kupplungssollmoment nicht steigt bzw. zunehmend aufgebaut wird, wird im Schritt 368 überprüft, ob das Kupplungsistmoment größer als das Kupplungssollmoment ist.
Sofern das Kupplungsistmoment nicht größer als das Kupplungssollmoment ist, wird das Verfahren im Schritt 384 beendet.
Sofern sich im Schritt 368 jedoch ergibt, dass das Kupplungsistmoment größer als das Kupplungssollmoment ist, wird im Schritt 370 eine Fehlerreaktion ausgelöst und anschließend das Verfahren im Schritt 364 beendet.
Sofern im Schritt 366 jedoch festgestellt wurde, dass das Kupplungssollmoment steigt, bzw. wächst, wird im Schritt 372 überprüft, ob das Kupplungssollmoment größer als das Kriechmoment der Kupplung ist, und ob das Kupplungssollmoment größer als das Tastmoment der Kupplung ist. Das Tastmoment der Kupplung ist insbesondere ein vordefiniertes Moment, welches gering, beispielsweise 0,5 Nm oder 5 Nm ist, und bei welchem der Tastpunkt festgestellt werden kann, bzw. gegeben ist.
Sofern im Schritt 372 festgestellt wird, dass das Kupplungssollmoment nicht größer als das Kriechmoment sowie das Tastmoment ist, wird im Schritt 368 fortgefahren.
Sofern im Schritt 372 jedoch festgestellt wird, dass das Kupplungssollmoment größer als das Kriechmoment ist und größer als das Tastmoment ist, wird im Schritt 374 eine Fehlerreaktion ausgelöst und das Verfahren anschließend im Schritt 364 beendet.
17 zeigt die Schritte eines beispielhaften erfindungsgemäßen Verfahrens in schematischer Darstellung.
Das Verfahren gemäß 17 kann in bevorzugter Gestaltung im Rahmen der Anfahrüberwachung eines elektronischen Sicherheitssystems verwendet werden, um den Neutralgang zu überwachen (z. B. Schritt 348 in der Gestaltung gemäß 15).
Im Schritt 380 wird das Verfahren gestartet.
Im Schritt 382 wird überprüft, ob die Kupplungseinrichtung des Kraftfahrzeuges, wie Anfahrkupplung, geschlossen ist.
Sofern im Schritt 382 festgestellt wird, dass die Kupplungseinrichtung geschlossen ist, wird im Schritt 384 überprüft, ob ein Gang in der Getriebeeinrichtung geschaltet wird.
Sofern im Schritt 384 festgestellt wird, dass ein Gang in der Geitriebeeinrichtung geschaltet wird, wird im Schritt 386 eine Fehlerreaktion ausgelöst und das Verfahren anschließend im Schritt 388 beendet.
Sofern im Schritt 382 festgestellt wird, dass die Kupplungseinrichtung nicht geschlossen ist, oder sofern im Schritt 384 festgestellt wird, dass ein Gang in der Getriebeeinrichtung nicht geschaltet wird, wird im Schritt 390 überprüft, ob der Neutralgang abgesichert ist. Hierbei kann insbesondere vorgesehen sein, dass eine vorbestimmte Tastbewegung ausgeführt wird, über welche ermittelt wird, ob der Neutralgang geschaltet ist. Dies kann beispielsweise eine Tastbewegung derart sein, dass bei einem H-Schaltbild in Richtung der Ganggassen, insbesondere in den jeweiligen Orientierungen, ein Schaltelement angesteuert wird, und überprüft wird, wie groß der Abstand zwischen Anschlägen ist, die die Bewegung in beiden Orientierungen der Ganggassenrichtung begrenzen. Gegebenenfalls kann in die Ausgangslage zurück geschaltet werden. Für den Fall, dass festgestellt wurde, dass die Beweglichkeit in Ganggassenrichtung größer als die Wählgassenbreite ist, kann überprüft werden, ob sich das Schaltelement in Richtung der Wählgasse um mehr als die Ganggassenbreite verschieben läßt.
Alternativ kann beispielsweise auch zunächst die Verschieblichkeit in Wählgassenrichtung überprüft werden und für den Fall, dass diese größer als die Breite der Ganggassen ist, festgestellt werden, dass der Neutralgang abgesichert geschaltet ist.
Es sei allerdings angemerkt, dass auch andere Möglichkeiten verwendet werden können, mit denen sich überprüfen lässt, ob der Neutralgang abgesichert ist.
Sofern im Schritt 390 festgestellt wird, dass der Neutralgang nicht abgesichert ist, wird im Schritt 392 überprüft, ob die Kupplungseinrichtung geschlossen ist.
Sofern sich bei dieser Prüfung ergibt, dass die Kupplungseinrichtung nicht geschlossen ist, wird das Verfahren 388 beendet.
Sofern sich jedoch bei der Überprüfung gemäß Schritt 392 ergibt, dass die Kupplungseinrichtung geschlossen ist, wird im Schritt 394 eine Fehlerreaktion ausgelöst und das Verfahren anschließend im Schritt 388 beendet.

Claims

Verfahren zur Steuerung eines automatisierten Schaltgetriebes eines Kraftfahrzeugs, wobei – zur Steuerung vorbestimmter Funktionalitäten des automatisierten Schaltgetriebes, ein elektronisches Steuergerät vorgesehen ist;- das elektronische Steuergerät einen Hauptprozessor aufweist; – auf diesem Hauptprozessor unter vorbestimmten Gegebenheiten eine Funktionssoftware läuft, welche vorbestimmte Funktionalitäten des automatisierten Schaltgetriebes, steuert; – ein elektronisches Sicherheitssystem vorgesehen ist, welches sicherheitskritische Betriebszustände des Kraftfahrzeugs im Vorfeld ermitteln kann; – das elektronische Sicherheitssystem einen redundanten Prozessor aufweist; – das elektronische Sicherheitssystem eine Überwachungssoftware aufweist; – ein Kabelbaumanschluss im Normalbetrieb des Kraftfahrzeugs mit einem Steuergerätanschluss gekoppelt ist und mehrere Kontaktverbindungen zwischen einem Kabelbaum und dem elektronischen Steuergerät erzeugt; – im Rahmen einer Inbetriebnahme des automatisierten Schaltgetriebes zwischen einem mit dem Kabelbaum verbundenen Kabelbaum-Steckanschluss und dem Steuergerätanschluss ein Zwischenanschluss geschaltet wird; und der Zwischenanschluss einen Teil dieser Kontaktverbindungen unterbricht.
Verfahren zur Steuerung eines automatisierten Schaltgetriebes eines Kraftfahrzeugs, wobei – zur Steuerung vorbestimmter Funktionalitäten, des automatisierten Schaltgetriebes, ein elektronisches Steuergerät vorgesehen ist; – das elektronische Steuergerät einen Hauptprozessor aufweist; – auf diesem Hauptprozessor unter vorbestimmten Gegebenheiten eine Funktionssoftware läuft, welche vorbestimmte Funktionalitäten des automatisierten Schaltgetriebes, steuert; – ein elektronisches Sicherheitssystem vorgesehen ist, welches sicherheitskritische Betriebszustände des Kraftfahrzeugs im Vorfeld ermitteln kann; – das elektronische Sicherheitssystem einen redundanten Prozessor aufweist; – das elektronische Sicherheitssystem eine Überwachungssoftware aufweist; und – im Rahmen einer Inbetriebnahme des elektronischen Steuergeräts die Überwachungssoftware zumindest partiell deaktiviert wird und statt dessen eine Ersatzüberwachungssoftware aktiviert wird.
Verfahren zur Steuerung eines automatisierten Schaltgetriebes eines Kraftfahrzeugs, wobei – zur Steuerung vorbestimmter Funktionalitäten des automatisierten Schaltgetriebes, ein elektronisches Steuergerät vorgesehen ist; – das elektronische Steuergerät einen Hauptprozessor aufweist; – auf diesem Hauptprozessor unter vorbestimmten Gegebenheiten eine Funktionssoftware läuft, welche vorbestimmte Funktionalitäten des automatisierten Schaltgetriebes, steuert; – ein elektronisches Sicherheitssystem vorgesehen ist, welches sicherheitskritische Betriebszustände des Kraftfahrzeugs im Vorfeld ermitteln kann; – das elektronische Sicherheitssystem einen redundanten Prozessor aufweist; – das elektronische Sicherheitssystem eine Überwachungssoftware aufweist; – mittels der Überwachungssoftware in einem Normalbetrieb die Funktionsfähigkeit des Hauptprozessors und/oder die Funktionsfähigkeit vorbestimmter, auf dem Hauptprozessor auflaufender Prozesse überwacht wird und ermittelt wird, ob vorbestimmte Funktionsbeeinträchtigungen gegeben sind; – im Normalbetrieb eine Endstufe wenigstens eines Aktors abgeschaltet wird und/oder ein Reset des elektronischen Steuergeräts bewirkt wird, wenn eine derartige Funktionsbeeinträchtigung detektiert wurde; und – im Rahmen einer Inbetriebnahme durch ein von einem externen elektronischen Testgerät übertragenes Signal, bewirkt wird, dass während der Inbetriebnahme das durch einen detektierten Fehler bedingte Abschalten der Endstufen und/oder ein Reset des Steuergeräts unterdrückt wird.
Verfahren zur Steuerung eines automatisierten Schaltgetriebes eines Kraftfahrzeugs, wobei – zur Steuerung vorbestimmter Funktionalitäten des automatisierten Schaltgetriebes, ein elektronisches Steuergerät vorgesehen ist; – das elektronische Steuergerät einen Hauptprozessor aufweist; – auf diesem Hauptprozessor unter vorbestimmten Gegebenheiten eine Funktionssoftware läuft, welche vorbestimmte Funktionalitäten des automatisierten Schaltgetriebes, steuert; – ein elektronisches Sicherheitssystem vorgesehen ist, welches sicherheitskritische Betriebszustände des Kraftfahrzeugs im Vorfeld ermitteln kann; – das elektronische Sicherheitssystem einen redundanten Prozessor aufweist; – das elektronische Sicherheitssystem eine Überwachungssoftware aufweist; – das elektronische Sicherheitssystem eine Fehlermeldung anzeigt, wenn es vorbestimmte Funktionsbeeinträchtigungen detektiert; und eine Überwachungstätigkeit des elektronischen Sicherheitssystems und/oder der Überwachungssoftware zumindest eingeschränkt wird und/oder das elektronische Sicherheitssystem keine Fehler anzeigt, wenn dem elektronischen Sicherheitssystem angezeigt wird, dass das Steuergerät in einer Initialisierungsphase ist.
Verfahren, nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass die Überwachungssoftware auf dem Hauptprozessor läuft.
Verfahren, nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass die Überwachungssoftware mit der Funktionssoftware und dem redundanten Prozessor zusammenwirkt.
Verfahren, nach Anspruch 6, dadurch gekennzeichnet, dass die Überwachungssoftware in Abhängigkeit dieses Zusammenwirkens unter vorbestimmten Gegebenheiten ermittelt, ob ein Fehler im Hauptprozessor gegeben ist.
Verfahren, nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass das elektronische Steuergerät einen Abschaltpfad aufweist.
Verfahren, nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass das elektronische Sicherheitssystem einen redundanten Abschaltpfad aufweist.
Verfahren, nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass das elektronische Sicherheitssystem vorbestimmte sicherheitskritische Situationen beim Betreiben des Kraftfahrzeugs im Vorfeld erkennt.
Verfahren, nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass das elektronische Sicherheitssystem vorbestimmte sicherheitskritische Situationen beim Betreiben des Kraftfahrzeugs im Vorfeld erkennt, die durch Funktionsbeeinträchtigungen des Hauptprozessors bedingt sind.
Verfahren, nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass sich die Überwachungssoftware und der Überwachungsprozessor gegenseitig kontrollieren.
Verfahren, nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass der Überwachungsprozessor im Normalbetrieb vorbestimmte Kennwerte, abfragt und die Überwachungssoftware die abgefragten Kennwerte in Abhängigkeit ihres Zusammenwirkens mit dem Hauptprozessor an den Überwachungsprozessor als Antwort übermittelt, wobei der Überwachungsprozessor diese Antworten auf Plausibilität und/oder anhand abgespeicherter Sollvorgaben für diese Kennwerte überprüft und bei Abweichungen von der Sollvorgabe und/oder bei nicht gegebener Plausibilität einen Fehler feststellt.
Verfahren, nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass als Überwachungssoftware eine Überwachungssoftware vorgesehen ist, welche im Normalbetrieb mit der Funktionssoftware und/oder dem Überwachungsprozessor zusammenwirkt, um die Funktionsfähigkeit des Hauptprozessors zu überwachen, wobei der Überwachungsprozessor im Normalbetrieb in Abhängigkeit dieses Zusammenwirkens unter vorbestimmten Gegebenheiten ermittelt, ob ein Fehler im Hauptprozessor gegeben ist, und im Normalbetrieb die Abschaltung wenigstens einer Endstufe wenigstens eines Aktors bewirkt, wenn ein Fehler des Hauptprozessors ermittelt wurde.
Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass als Überwachungssoftware eine Überwachungssoftware vorgesehen ist, welche im Normalbetrieb mit der Funktionssoftware und/oder dem Überwachungsprozessor zusammenwirkt, um die Funktionsfähigkeit des Hauptprozessors zu überwachen, wobei der Überwachungsprozessor im Normalbetrieb in Abhängigkeit dieses Zusammenwirkens unter vorbestimmten Gegebenheiten ermittelt, ob ein Fehler im Hauptprozessor gegeben ist, und im Normalbetrieb einen Reset des Steuergeräts bewirkt, wenn ein Fehler des Hauptprozessors ermittelt wurde.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass durch die Unterbrechung der Kontaktverbindungen eine Signalübertragung über die unterbrochenen Kontaktverbindungen verhindert wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass über wenigstens zwei Kontaktverbindungen, die durch den Zwischenanschluss unterbrochen werden, im Normalbetrieb Signale übertragen werden können, welche voneinander unabhängig sind.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass mittels des Zwischenanschlusses das elektronische Sicherheitssystem zumindest zeitweise und/oder teilweise deaktiviert oder eingeschränkt wird.
Verfahren, nach Anspruch 1, dadurch gekennzeichnet, dass bei montiertem Zwischenanschluss ein Fahrbetrieb, zumindest eingeschränkt wird.
Verfahren, nach Anspruch 1, dadurch gekennzeichnet, dass der Zwischenanschluss einen Zwischenstecker und/oder ein Zwischenkabel aufweist.
Verfahren, nach einem der vorangehenden Ansprüche unter Einschluss von Anspruch 1, 2 oder 3, dadurch gekennzeichnet, dass im Rahmen der Inbetriebnahme, des automatisierten Schaltgetriebes, vorbestimmte Betätigungen und/oder Steuerungsvorgänge durchgeführt werden, die im Normalbetrieb mittels des elektronischen Sicherheitssystems unterbunden werden, und dass das elektronische Sicherheitssystem im Rahmen der Inbetriebnahme zumindest derart deaktiviert wird, dass diese vorbestimmten Betätigungen und/oder Steuerungsvorgänge durchgeführt werden können, ohne unterbunden zu werden.
Verfahren, nach Anspruch 2, dadurch gekennzeichnet, dass die Umschaltung von der Überwachungssoftware auf die Ersatzüberwachungssoftware durch ein vorbestimmtes Signal bewirkt wird, welches von einem externen, elektronischen Testgerät ausgesendet wird.
Verfahren, nach Anspruch 2, dadurch gekennzeichnet, dass mittels der Überwachungssoftware bewirkt werden kann, dass Endstufen wenigstens eines Aktors des automatisierten Schaltgetriebes abgeschaltet werden und dass eine derartige Funktionalität nicht gegeben ist, wenn die Überwachungssoftware zumindest teilweise deaktiviert und auf die Ersatzüberwachungssoftware umgeschaltet wurde.
Verfahren, nach Anspruch 2, dadurch gekennzeichnet, dass die Ersatzüberwachungssoftware bewirkt, dass plausible und/oder mit den abgespeicherten Sollvorgaben für die Kennwerte übereinstimmende Antworten an den Überwachungsprozessor übertragen werden.
Verfahren, nach einem der vorangehenden Ansprüche unter Einschluss von Anspruch 1, 2 oder 3, dadurch gekennzeichnet, dass im Rahmen der Inbetriebnahme plausible und/oder mit abgespeicherten Sollvorgaben für die Kennwerte übereinstimmende Kennwerte temporär in einen Speicher des elektronischen Steuergeräts geschrieben werden.
Verfahren, nach einem der vorangehenden Ansprüche unter Einschluss von Anspruch 1, 2 oder 3, dadurch gekennzeichnet, dass im Rahmen einer Beendigung der Inbetriebnahme und/oder eines Werkstattests vorbestimmte Speicherinhalte des Steuergeräts verändert werden.
Verfahren, nach einem der vorangehenden Ansprüche unter Einschluss von Anspruch 1, 2 oder 3, dadurch gekennzeichnet, dass das elektronische Steuergerät im Rahmen der Inbetriebnahme und/oder im Rahmen eines Werkstattests mit einem externen, elektronischen Testgerät in Signalverbindung gebracht wird.
Verfahren, nach einem der vorangehenden Ansprüche unter Einschluss von Anspruch 1, 2 oder 3, dadurch gekennzeichnet, dass nach einer Beendigung der Inbetriebnahme und/oder eines Werkstattests wenigstens eine Signalverbindung zwischen einem elektronischen Testgerät und dem elektronischen Steuergerät unterbrochen wird und/oder ein Reset des Steuergeräts ausgelöst wird.
Verfahren, nach Anspruch 4, dadurch gekennzeichnet, dass in der Initialisierungsphase des Steuergeräts wenigstens ein Signal an das elektronische Sicherheitssystem gesendet wird, welches anzeigt, dass das elektronische Steuergerät in der Initialisierungsphase ist.
Verfahren, nach Anspruch 4, dadurch gekennzeichnet, dass dem elektronischen Sicherheitssystem mittels der Funktionssoftware angezeigt wird, wenn das elektronische Steuergerät in der Initialisierungsphase ist.
Verfahren, nach Anspruch 4, dadurch gekennzeichnet, dass die Überwachungstätigkeit des elektronischen Sicherheitssystems und/oder der Überwachungssoftware eingeschränkt wird und/oder das elektronische Sicherheitssystem keine Fehler anzeigt, wenn dem elektronischen Sicherheitssystem aktiv angezeigt wird, dass das Steuergerät in einer Initialisierungsphase ist.
Verfahren, nach Anspruch 29, dadurch gekennzeichnet, dass das elektronische Sicherheitssystem die Signale, die anzeigen, dass das elektronische Steuergerät in der Initialisierungsphase ist, nach deren Empfang löscht.
Verfahren, nach Anspruch 29, dadurch gekennzeichnet, dass das elektronische Sicherheitssystem einer Endstufe wenigstens eines Aktors des automatisierten Schaltgetriebes abschaltet, wenn oder während ihm angezeigt wird, dass das elektronische Steuergerät in der Initialisierungsphase ist.
Verfahren, nach Anspruch 29, dadurch gekennzeichnet, dass das elektronische Sicherheitssystem seinen vollständigen Überwachungsumfang aufnimmt, wenn es das Signal nicht mehr empfängt, welches anzeigt, dass das elektronische Steuergerät in der Initialisierungsphase ist.
Verfahren, nach Anspruch 29, dadurch gekennzeichnet, dass das elektronische Sicherheitssystem Endstufen der Aktoren des automatisierten Schaltgetriebes wieder frei schaltet, wenn es das Signal nicht mehr empfängt, welches anzeigt, dass das elektronische Steuergerät in der Initialisierungsphase ist.
Verfahren, nach Anspruch 35, dadurch gekennzeichnet, dass das elektronische Sicherheitssystem seinen vollständigen Überwachungsumfang aufnimmt, wenn es das Signal nicht mehr empfängt, welches anzeigt, dass das elektronische Steuergerät in der Initialisierungsphase ist, und dass das elektronische Sicherheitssystem die Endstufen der Aktoren des automatisierten Schaltgetriebes wieder frei schaltet, wenn es im Rahmen dieser Aufnahme des vollständigen Überwachungsumfangs keine Fehler detektiert.
Verfahren, nach Anspruch 29, dadurch gekennzeichnet, dass das Signal, welches anzeigt, dass das elektronische Steuergerät in der Initialisierungsphase ist, redundante Teilsignale aufweist.
Verfahren, nach Anspruch 37, dadurch gekennzeichnet, dass das Signal, welches anzeigt, dass das elektronische Steuergerät in der Initialisierungsphase ist, als redundante Teilsignale Variablen aufweist, die jeweils ein vorbestimmtes Bitmuster anzeigen.
Verfahren, nach Anspruch 38, dadurch gekennzeichnet, dass die vorbestimmten Bitmuster der Variablen, die redundante Teilsignale sind, ein Komplementär-Wertepaar bilden.
Verfahren, nach einem der vorangehenden Ansprüche 37 bis 39, dadurch gekennzeichnet, dass das elektronische Sicherheitssystem die Initialisierungsphase des elektronischen Steuergeräts akzeptiert, wenn beide Teilsignale jeweils einen für dieses jeweilige Teilsignal vorbestimmten Wert anzeigen.
Verfahren, nach einem der vorangehenden Ansprüche 37 bis 40, dadurch gekennzeichnet, dass das elektronische Sicherheitssystem die Initialisierungsphase des elektronischen Steuergeräts akzeptiert, wenn zumindest ein Teilsignal der beiden Teilsignale ein für dieses Teilsignal vorbestimmten Wert anzeigt.
Elektronisches Sicherheitssystem für Kraftfahrzeuge zur Ausführung eines Verfahrens gemäß einem der Ansprüche 1 bis 41.