DE10340369A1

DE10340369A1 - Verfahren zur Steuerung mindestens einer Stelleinrichtung

Info

Publication number: DE10340369A1
Application number: DE2003140369
Authority: DE
Inventors: Werner Harter; Heikel Zarga; Wolfgang Pfeiffer; Peter Prof. Blessing
Original assignee: Robert Bosch GmbH; ZF Lenksysteme GmbH
Current assignee: Robert Bosch GmbH; Robert Bosch Automotive Steering GmbH
Priority date: 2003-09-02
Filing date: 2003-09-02
Publication date: 2005-03-24
Anticipated expiration: 2023-09-03
Also published as: DE10340369B4

Abstract

Ein Verfahren und ein elektronisches Steuerungssystem zur Steuerung mindestens einer mechanischen Stelleinrichtung, der mindestens ein Satz Steuerungskomponenten zugeordnet ist. Zwischen den Steuerungskomponenten wird ein Signal ausgetauscht. Des weiteren wird ein zur Bereitstellung des Signals von einer der zugeordneten Steuerungskomponenten ausgeführter Schritt eines Funktionsablaufs analysiert.

Description

Die Erfindung betrifft ein Verfahren zur Steuerung mindestens einer mechanischen Stelleinrichtung sowie ein elektronisches Steuerungssystem zur Steuerung mindestens einer mechanischen Stelleinrichtung. Die Erfindung betrifft weiterhin ein Computerprogramm und ein Computerprogrammprodukt zur Durchführung des erfindungsgemäßen Verfahrens.
Zur Bereitstellung einer Steuerung einer mechanischen Stelleinrichtung ist das Vorhandensein von Mitteln bzw. Möglichkeiten zur Übertragung einer Wechselwirkung auf die mechanische Stelleinrichtung erforderlich. Diese Wechselwirkung kann mechanisch und/oder hydraulisch und/oder elektromagnetisch übermittelt werden. Dabei müssen einerseits Steuer- bzw. Regelungsbefehle auf die mechanische Stelleinrichtung übertragen, andererseits zur Überwachung Zustände der mechanischen Stelleinrichtung erfaßt werden, darauf basierend können wiederum neue Steuer- bzw. Regelungsbefehle ermittelt werden. Hierzu bedarf es geeigneter Steuerungsvorrichtungen. Über eine oder mehrere Steuerungsvorrichtungen, die untereinander wechselwirken, kann zwischen zwei oder mehreren mechanischen Stelleinrichtungen eine Wechselwirkung vermittelt werden.
Bei einem Fahrzeug ist vorgesehen, daß ein Lenkwunsch der das Fahrzeug steuernden Person über ein oder mehrere Räder auf die Straße übertragen wird. Zu diesem Zweck betätigt die Person das Lenkrad des Fahrzeugs, herkömmlicherweise wird ein derartiger Lenkbefehl von dem Lenkrad bspw. über ein Lenkgestänge auf die zu lenkende Achse bzw. auf die zu lenkenden Räder übertragen. In diesem Fall wird die Wechselwirkung, also die Übertragung eines Lenkbefehls, weitgehend mechanisch vermittelt.
Im Rahmen der technischen Weiterentwicklung wurde erwogen, eine derartige Übertragung von Lenkbefehlen auf elektronischem Wege durch ein sogenanntes Steer-by-Wire-System zu vermitteln, so daß man auf das mechanische Lenkgestänge verzichten kann. Hierzu können von einer steuernden Person auf das Lenkrad übertragene Lenkbefehle mittels eines Handmomentenstellers erfaßt werden. Diese Lenkbefehle werden elektronisch durch Austausch von Daten und/oder Signalen über geeignete Kommunikationseinrichtungen einem Radmomentensteller zugesandt. Der Radmomentensteller überträgt die Lenkbefehle auf die zu lenkende Fahrzeugachse bzw. die zu lenkenden Räder.
Zur Wahrung der Sicherheit von Insassen des Fahrzeuges bzw. dem Fahrzeug können Lenkfunktionen, die im Normalbetrieb von dem Steer-by-Wire-System durchgeführt werden, bei einem Ausfall des Steer-by-Wire-Systems wie bei herkömmlichen Lenksystemen mechanisch vermittelt werden. Kommt es zu einem signifikanten Fehler innerhalb des Steer-by-Wire-Systems kann über eine geeignete Kupplungsvorrichtung eine mechanische Zwangskopplung zwischen dem Lenkrad und zu lenkenden Rädern hergestellt werden.

Die Druckschrift DE 198 33 460 A1 beschreibt ein Steer-by-Wire-System zur Beaufschlagung bzw. Ansteuerung von Fahrzeugrädern. Dabei ist stets ein mechanischer Durchgriff von dem Lenkrad auf die anzulenkenden Räder vorhanden. Das Lenksystem weist zwei Subsysteme mit jeweils einem Prozeßrechner zur Berechnung von Steuerungsaufgaben, je einem Stellmotor, je einem Untersetzungsgetriebe und je einer Leistungsendstufe auf. Die beiden gleichartigen Subsysteme haben die Aufgabe, einander insbesondere beim Auftreten eines Fehlers zu ergänzen, so daß das Lenksystem auch im Fehlerfall funktionsfähig bleibt.

Die Druckschrift DE 198 34 870 A1 beschreibt ebenfalls ein Steer-by-Wire-Sytsem, das in zwei diversitär redundante Systeme unterteilt ist. Dabei weist je ein diversitär redundantes System einen Stellmotor, eine Ansteuereinheit sowie einen diversitär redundanten Prozeßrechner auf. Jeder der beiden Prozeßrechner erhält über einen Datenkanal von einem gemeinsamen übergeordneten Fahrzeugrechner Informationen über den Fahrzustand oder den einzustellenden Soll-Lenkwinkel. Weiterhin ist vorgesehen, daß ein Prozeßrechner des einen Systems im Fehlerfall das jeweils andere System abschalten kann. Somit ist unter Einschränkung der Unabhängigkeit eines jeden Systems eine gegenseitige Beeinflussung vorgesehen.

In der Druckschrift DE 100 52 343 A1 werden Hand- bzw. Radmomentensteller innerhalb eines Steer-by-Wire-Systems durch Rechner gesteuert, die von zugeordneten Überwachungseinheiten kontrolliert werden. Durch diese Maßnahme wird ein Beitrag zur Erhöhung der Sicherheit des Systems geleistet. Ein Fehler einer Komponenten des Steer-by-Wire-Systems kann sicher erkannt werden und führt unter Einschaltung einer Kupplung zu einer Beendigung der Funktion des Steer-by-Wire-Systems.

Aufgrund der Anordnung sowie gegenseitiger Beeinflussung einzelner Komponenten innerhalb von Steer-by-Wire-Systemen gemäß dem Stand der Technik ist eine Eigenständigkeit bzw. eine Eigensicherheit der Komponenten nur in eingeschränktem Maße gewährleistet. Somit können sich einzelne Fehler zwischen einzelnen Komponenten fortpflanzen und somit die Funktionstüchtigkeit eines Steer-by-Wire-Systems beein trächtigen. Ein einziger Fehler kann ein sicheres Abschalten, wenn auch unter Zuschaltung einer mechanischen Rückfallebene, eines derartigen Steer-by-Wire-Systems herbeiführen.

Ziel der Erfindung ist es, ein Steer-by-Wire-System baulich sowie funktionell so weiterzuentwickeln, daß unter Gewährleistung einer großen Sicherheit des Steer-by-Wire-Systems auftretende Fehler innerhalb wenigstens einer Komponente einen Ausfall des gesamten Steer-by-Wire-Systems nicht verursachen.

Dieses Ziel wird mit einem Verfahren mit den Merkmalen des Patentanspruchs 1 sowie einem elektronischen Steuerungssystem mit den Merkmalen des Patentanspruchs 13 erreicht.

Vorteilhafte Ausgestaltungen des Verfahrens sowie des Steuerungssystems ergeben sich aus den Unteransprüchen.

Das erfindungsgemäße Computerprogramm dient zur Ausführung des erfindungsgemäßen Verfahrens und umfaßt hierzu Programmcodemittel, die vorzugsweise auf einem computerlesbaren Datenträger gespeichert sind.

Bei dem Verfahren zur Steuerung mindestens einer mechanischen Stelleinrichtung, der mindestens ein Satz Steuerungskomponenten zugeordnet ist, wird zwischen mindestens zwei Steuerungskomponenten ein Signal ausgetauscht, und mindestens ein zur Bereitstellung des Signals von einer der zugeordneten Steuerungskomponenten ausgeführter Schritt eines Funktionsablaufs analysiert.

In weiterer Ausgestaltung des erfindungsgemäßen Verfahrens erfolgt zur Vermittlung einer Wechselwirkung zwischen mindestens zwei mechanischen Stelleinrichtungen, denen jeweils mindestens ein Satz Steuerungskomponenten zugeordnet ist, eine Kommunikation zwischen mindestens einer Steuerungskomponenten eines ersten Satzes Steuerungskomponenten und mindestens einer Steuerungskomponenten eines zweiten Satzes Steuerungskomponenten.

Das erfindungsgemäße Verfahren kann bei einem Steer-by-Wire-System zur Realisierung einer elektronisch übertragenen Lenkung zwischen einer Lenkhandhabe und mindestens einem zu lenkenden Rad oder mindestens einer zu lenkenden Achse eines Fahrzeuges zum Einsatz kommen. Dabei kann das erfindungsgemäße Verfahren in besonders vorteilhafter Ausgestaltung mittels eines elektronischen Steuerungssystems durchgeführt werden.

Dieses elektronische Steuerungssystem zur Durchführung eines Verfahrens zur Steuerung mindestens einer mechanischen Stelleinrichtung umfaßt mindestens einen Satz Steuerungskomponenten, die der wenigstens einer mechanischen Stelleinrichtung zugeordnet sind. Die Steuerungskomponenten können als Peripheriegeräte und/oder Datenverarbeitungsmodule ausgebildet sein. Hierbei ist vorgesehen, daß Peripheriegeräte mit der mechanischen Stelleinrichtung in unmittelbarem Kontakt stehen. Ein Peripheriegerät kann typischerweise als Sensor zur Erfassung eines Zustands der mechanischen Stelleinrichtung und Weitergabe eines den Zustand charakterisierenden Signals und/oder als ein, bspw. als Elektromotor ausgebildeter Aktor zur Beaufschlagung der mechanischen Stelleinrichtung ausgebildet sein.

Datenverarbeitungsmodule können als Recheneinheiten zur Weiterverarbeitung durch Berechnung eines von einer anderen Steuerungskomponenten empfangenen Signals sowie zur Ausgabe eines berechneten Signals an eine andere Steuerungskomponente, bevorzugt einem als Aktor ausgebildeten Peripherie gerät, ausgebildet sein. Ebenso ist gegebenenfalls ergänzend vorgesehen, daß Datenverarbeitungsmodule als Überwachungseinheiten ausgebildet sein können. Diese Überwachungseinheiten dienen der Überwachung anderer Steuerungskomponenten, beispielsweise Datenverarbeitungsmodulen, die als Recheneinheit ausgebildet sind. Dabei ist eine Überwachungseinheit in einer möglichen Ausgestaltung indirekt, typischerweise über eine als Recheneinheit ausgebildete Steuerungskomponente mit einer als Peripheriegerät ausgebildeten Steuerungskomponente verbunden.

Bei dem erfindungsgemäßen Verfahren werden von Steuerungskomponenten ein oder mehrere Schritte von Funktionsabläufen vollzogen. Dabei ist vorgesehen, daß mindestens ein Schritt eines Funktionsablaufes zur Bereitstellung eines Wertes und/oder Parameters für ein Signal dient.

Eine Aufgabe einer Steuerungskomponente, in der Regel einem als Überwachungseinheit ausgebildeten Datenverarbeitungsmodul, besteht darin, einen oder mehrere Schritte eines Funktionsablaufs, wie er von Steuerungskomponenten ausgeführt wird, zu analysieren. Eine derartige Analyse kann den Schritt und/oder die Durchführung des Schrittes und/oder einen sich aus einem derartigen Schritt eines Funktionsablaufs ergebenden Wert oder Parameter betreffen. Dabei dient mindestens ein Schritt eines Funktionsablaufs und/oder mindestens ein sich daraus ergebender Wert bzw. Parameter der Bereitstellung eines Signals.

Es ist erfindungsgemäß vorgesehen, daß mittels Kommunikation Signale zwischen Steuerungskomponenten ausgetauscht werden, ebenso ist ergänzend oder alternativ vorgesehen, daß die Kommunikation auch die Analyse beinhalten kann, zumal bei einer Analyse, auch ohne konkreten Austausch von Signalen, zwischen Steuerungskomponenten zur Durchführung einer Überwachung Informationen ausgetauscht werden. Dabei wird die Kommunikation zwischen Steuerungskomponenten in einfacher und/oder mehrfacher Ausführung umgesetzt, wobei die Kommunikation über einfache und/oder mehrfache Kommunikationsverbindungen, die zwischen mindestens zwei Steuerungskomponenten angeordnet sind, erfolgt. Insbesondere durch die mehrfache Bereitstellung der Kommunikation wird innerhalb des erfindungsgemäßen elektronischen Steuerungssystems Redundanz gewährleistet.

Insgesamt wird die Sicherheit des Steer-by-Wire-Systems für ein Fahrzeug durch Redundanz bei der Durchführung des erfindungsgemäßen Verfahrens und/oder durch Redundanz bei Ausgestaltung des erfindungsgemäßen elektronischen Steuerungssystems gewährleistet. Dieser wesentliche Vorteil der Erfindung ergibt sich auf Grundlage mindestens einfacher und insbesondere doppelter Ausführung der Steuerungskomponenten und/oder eines Satzes Steuerungskomponenten des elektronischen Steuerungssystems.

In bevorzugter Ausgestaltung sind dabei einer mechanischen Stelleinrichtung zwei Sätze Steuerungskomponenten zugeordnet. Ein Satz umfaßt dabei als Peripheriegeräte einen Aktor, wie einen Elektromotor zur Beaufschlagung der mechanischen Stelleinrichtung, einen Sensor und mindestens zwei Datenverarbeitungsmodule zur Berechnung und/oder Überwachung, wie bspw. durch Analyse. Durch die zumindest doppelte Anordnung von Datenverarbeitungsmodulen kann bereits innerhalb eines Satzes Steuerungskomponenten Eigensicherheit, Eigenständigkeit, Unabhängigkeit und Redundanz realisiert werden, da der wenigstens eine Satz Steuerungskomponenten eine mechanische Stelleinrichtung eigensicher, eigenständig, unabhängig und redundant steuern bzw. regeln kann.

Von den mindestens zwei Datenverarbeitungsmodulen ist typischerweise mindestens eines als Recheneinheit und mindestens eines als Überwachungseinheit ausgebildet. Durch diese Maßnahme wird eine eigene, eigensichere, unabhängige und redundante Bereitstellung von Signalen zur Realisierung der Steuerung einer mechanischen Stelleinrichtung ermöglicht. Erfindungsgemäß ist weiter vorgesehen, daß einer mechanischen Stelleinrichtung mindestens ein und insbesondere zwei derartige Sätze Steuerungskomponenten zugeordnet sind. Durch diese Zuordnung kann ein innerhalb einer Steuerungskomponente eines ersten Satzes Steuerungskomponenten auftretender Fehler, sofern er die Funktionstüchtigkeit des einen ersten Satzes Steuerungskomponenten beeinträchtigen sollte, dadurch kompensiert werden, daß ein zweiter Satz Steuerungskomponenten für dieselbe mechanische Stelleinrichtung den ersten Satz Steuerungskomponenten funktionell ersetzt. Somit kann die Funktionstüchtigkeit des Steer-by-Wire-Systems auch bei möglichen Auftreten von Fehlern aufrecht erhalten werden, ohne daß die Funktion des Steer-by-Wire-Systems durch eine mechanische Zwangskopplung zur Vermittlung einer Wechselwirkung zwischen zwei mechanischen Stelleinrichtungen ersetzt werden muß.

Außerdem ist erfindungsgemäß vorgesehen, daß bei Auftreten eines Fehlers eine Rückfallstrategie ergriffen wird. Ein derartiger Fehler kann einen Schritt eines Funktionsablaufs zur Bereitstellung eines Signals, wie von einer Steuerungskomponente durchgeführt, und/oder die Funktionstüchtigkeit einer Steuerungskomponente und/oder einen Wert bzw. Parameter eines Signals betreffen. Zur Bereitstellung der Rückfallstrategie wird jene Steuerungskomponente, deren Funktionstüchtigkeit zumindest teilweise jedoch zumindest signifikant durch einen diagnostizierten Fehler beeinträchtigt ist, zumindest während einer Übergangszeit von einer funktionell gleichwertigen Steuerungskomponente ersetzt. Die zumindest eine von dem Fehler betroffene Steuerungskomponente kann während der Übergangszeit weiterhin einer Analyse unterworfen werden. Hierzu kann die durch den Fehler betroffene Steuerungskomponente beispielsweise eine Selbsttestroutine durchführen. Bei einer derartigen Analyse wird geprüft, inwiefern sich der Fehler auf die Funktionstüchtigkeit der Steuerungskomponente auswirkt, ob er z. B. nur einmalig oder transient auftritt. Falls sich bei einer derartigen Analyse herausstellt, daß die Steuerungskomponente fehlerfrei ist, kann die Übergangszeit beendet werden, die Steuerungskomponente kann sodann ihre normale Funktion innerhalb des Steer-by-Wire-Systems wieder aufnehmen.

Bei einem zumindest geringfügigen jedoch signifikant ausgebildeten Fehler innerhalb eines Satzes Steuerungskomponenten, wodurch die Funktion des Satzes Steuerungskomponenten in relevanter Weise beeinträchtigt wird, ist vorgesehen, daß dieser Satz Steuerungskomponenten funktionell ersetzt wird. Dabei kann ein Satz Steuerungskomponenten, der einer mechanischen Stelleinrichtung zugeordnet ist, durch einen zweiten Satz Steuerungskomponenten, der derselben mechanischen Stelleinrichtung zugeordnet ist, ersetzt werden. Bei Auftreten eines oder mehrerer signifikanter Fehler, die die Funktion eines oder mehrerer Sätze und/oder des Steer-by-Wire-Systems in sicherheitsgefährdendem Umfang beeinträchtigen, wird zwischen einer ersten mechanischen Stelleinrichtung und einer zweiten mechanischen Stelleinrichtung eine Wechselwirkung über eine elektromechanische Kupplungseinheit vermittelt. Mit dieser Sicherheitsmaßnahme wird weiterhin eine sichere Lenkung für ein Fahrzeug gewährleistet.

Weitere Vorteile und Ausgestaltungen der Erfindung ergeben sich aus der Beschreibung und der beiliegenden Zeichnung.

Es versteht sich, daß die vorstehend genannten und die nachstehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.

Die Erfindung ist anhand eines Ausführungsbeispielen in der Zeichnung schematisch dargestellt und wird im folgenden unter Bezugnahme auf die Zeichnung ausführlich beschrieben.

1 zeigt ein Blockschaltbild eines erfindungsgemäßen Steer-by-Wire-Systems mit einem Lenksteller.

2 zeigt ein Funktionsschema eines erfindungsgemäßen Steer-by-Wire-Systems mit mechanischer Rückfallebene.

3 zeigt eine Steuergerätestruktur des erfindungsgemäßen Steer-by-Wire-Systems mit jeweils vier Mikrorechnersystemen für die Lenkradaktuatorik und die Ventilaktuatorik.

4 zeigt eine Steuergerätestruktur des erfindungsgemäßen Steer-by-Wire-Systems mit je zwei Mikrorechnersystemen und Überwachungsmodulen für die Lenkradaktuatorik und die Ventilaktuatorik.

5 zeigt ein Schaltbild zur erfindungsgemäßen Kupplungsansteuerung.

6 zeigt eine Realisierungsvariante einer Steuergeräte-Struktur des erfindungsgemäßen Steer-by-Wire-Systems mit SCI-Schnittstellen und je vier Mikrorechnersystemen für die Lenkrad- und die Ventilaktuatorik.

7 zeigt eine Realisierungsvariante einer Steuergeräte-Struktur des erfindungsgemäßen Steer-by-Wire-Systems mit Bus-System zur Kommunikation und je vier Mikrorechnersystemen für die Lenkradaktuatorik und die Ventilaktuatorik.

Die in den Figuren gezeigten Schaltbilder, Funktionsschemata bzw. Ausführungsbeispiele werden zusammenhängend und übergreifend beschrieben. Funktions- bzw. baugleiche Komponenten besitzen in sämtlichen Figuren die gleichen Bezugszeichen.

1 zeigt übersichtlich das Blockschaltbild eines erfindungsgemäßen Steer-by-Wire-Systems 1 mit einer mechanischen Rückfallebene, die in Form einer elektromechanischen Kupplungseinheit 55 realisiert ist. Das Steer-by-Wire-System 1 besteht aus einem Lenkradaktuator 6 mit zwei als Elektromotoren 8a, 8b ausgebildeten Aktoren und einem Ritzel- bzw. Ventilaktuator 29, der ebenfalls mit zwei als Elektromotoren 31a, 31b ausgebildeten Aktoren ausgestattet ist.

Es ist vorgesehen, daß der Lenkradaktuator 6 mittels eines Lenkrades 2 beaufschlagt bzw. betätigt wird. Der Ritzel- bzw. Ventilaktuator 29 ist zur Beaufschlagung einer Zahnstangenlenkung bzw. einer Zahnstangenhydrolenkung 30 ausgebildet. Durch das Steer-by-Wire-System 1 können Lenkbefehle von einer Person, die ein Fahrzeug steuert und das Lenkrad 2 betätigt, elektronisch über Austausch von Lenkbefehlen auf ein oder mehrere Räder 25 des Fahrzeuges übertragen werden, wobei die Zahnstangelenkung bzw. die Zahnstangenhydrolenkung 30 zur Beaufschlagung der Räder 25 ausgebildet ist.

2 zeigt das zugehörige Funktionsschema für eine Ausführungsvariante eines erfindungsgemäßen Steer-by-Wire-Systems 1 mit jeweils nur einem Elektromotor 8, 31. Der Name Steer-by-Wire deutet an, daß die Lenkung im fehlerfreien Betrieb nicht über die konventionelle mechanische Lenksäule, sondern mit Hilfe mindestens eines typischerweise als Elektromotor 8, 31 ausgebildeten Lenkstellers elektronisch realisiert wird.

In den in den nachfolgenden 3, 4, 6 und 7 dargestellten Realisierungsvariante ist der Lenkradaktuator 6 aus zwei unabhängigen Lenkmotoren LM1 31a bzw. LM2 31b aufgebaut. In einer anderen Ausführungsvariante könnte der Eingriff auch mit zwei Lenkstellern, die jeweils auf ein Vorderrad 25 wirken, realisiert werden.

Die Kupplung 55 wird im fehlerfreien Betrieb durch eine elektronische Ansteuerung geöffnet. Bei Auftreten eines signifikanten Fehlers in dem Steer-by-Wire-System 1 wird die elektrische bzw. elektronische Lenkfunktion noch während einer Übergangszeit aufrecht erhalten und erst nach Ablauf dieser Übergangszeit erfolgt das Schließen der Kupplung 55. Diese Übergangszeit ist erforderlich, um die vor Fehlereintritt begonnen Lenkeingriffe definiert beenden zu können. Beispiele hierfür sind die Beendigung eines fahrdynamischen Lenkeingriffes oder die Veränderung einer geschwindigkeitsabhängigen Lenkübersetzung.

Erfindungsgemäß wird ein durch Lenkwinkelsensoren δ_H1 und δ_H2 erfaßter Fahrerlenkwunsch (in 2 symbolisiert durch δ_H) gezielt mit Hilfe einer Soll-Wert-Bildung situationsabhängig unter Verwendung von fahrdynamischen Größen modifiziert, bevor er als Sollwert an einen Lenkregler 37 weitergeleitet wird. Fahrdynamische Größen sind beispielsweise die Fahrgeschwindigkeit v oder die Gierwinkelge schwindigkeit ω. Mindestens ein Elektromotor LM 31 wird als Lenksteller an der Vorderachse angebracht. Alternativ kann auch an jedem Vorderrad 25 mindestens ein Elektromotor 31, 31a, 31b angebracht werden. Im letzten Fall können die Vorderräder 25 radweise bzw. einzeln gelenkt werden.

Das durch den Wegfall der Lenksäule verlorengegangene Straßengefühl, welches durch das Rückstellmoment am Rad 25 bzw. das Handmoment am Lenkrad 2 ausgedrückt wird und von dem der Fahrerlenkwunsch stark abhängt, wird mit Hilfe eines sogenannten Feedback-Aktuators wieder hergestellt. Der Feedback-Aktuator des Steer-by-Wire-Fahrzeugs besteht aus einem Lenkradsteller 6, der gegebenenfalls über ein Getriebe an das Lenkrad 2 gekoppelt ist und mittels eines Lenkradreglers 14 geregelt wird. Der Lenkradsteller 6 wird mit mindestens einem Elektromotor LRM 8 realisiert. Das Soll-Handmoment M_H wird aus dem Rückstellmoment des Ventilaktuators 29 bestimmt, das dort durch einen Momentensensor 33 gemessen oder durch die Messung der Motorenströme I_V ermittelt wird. Alternativ kann das Soll-Handmoment auch mit Hilfe eines Feedback-Simulators aus Lenkwinkelsensoren δ_V 10 und anderen im Fahrzeug ohnehin vorhandenen Signalen (wie v, μ) nachgebildet und als Stellgröße u_H vorgegeben werden. Das Soll-Handmoment M_H, Soll wird dem Lenkradregler 14 zugeführt, der den Lenkradsteller 6 so ansteuert, daß das Handmoment M_H auf das Lenkrad 2 übertragen wird. Dabei wird das Handmoment M_H mit einem Momentensensor gemessen oder aus den Strömen der Lenkradmotoren 8 abgeleitet. Die Realisierung des Feedback-Aktuators erfolgt durch mindestens einen Elektromotor. Elektromotoren des Feedback-Aktuators können auch als Direktmotoren direkt auf die Lenkwelle integriert werden.

In den in den 3, 4, 6 und 7 gezeigten Realisierungsvarianten wird der Lenkradaktuator 6 mit den beiden unabhängigen Elektromotoren LRM 8a und LRM 8b realisiert. In einer weiteren nicht dargestellten Variante können die beiden Elektromotoren 8a, 8b auch mit einer gemeinsamen Antriebswelle und einem gemeinsamen Gehäuse ausgeführt sein, so daß lediglich die Motorspulung redundant ausgeführt ist. Diese Realisierungsvariante des Elektromotors kann auch beim Lenkmotor eingesetzt werden.

Sicherheitsanforderungen an ein Steer-by-Wire-System:

Ohne geeignete Vorkehrungen führt ein Fehler innerhalb des Steer-by-Wire-Systems 1 unmittelbar zu einer Gefahr für die Insassen des zu steuernden Fahrzeuges. Die daraus resultierende Fahrsituation ist für den Fahrer nicht beherrschbar und zudem kann sich ein möglicher Fehler in allen Betriebssituationen eines Lenksystems einstellen. Daraus ergibt sich eine Einordnung des Steer-by-Wire-Systems 1 in die höchste im Fahrzeug vorkommende Sicherheitsstufe. Die maximale Wahrscheinlichkeit eines Versagens der Lenkung muß damit auf den kleinsten möglichen im Fahrzeug überhaupt vorkommenden Wert gedrückt werden. Unabhängig von der maximal zulässigen Versagenswahrscheinlichkeit ergibt sich aus dieser Einordnung die Forderung, daß kein Einzelfehler zum Versagen des Lenksystems führen darf. Einzelfehler, die für diese Aussage berücksichtigt werden müssen, sind alle diejenigen, deren Auftretenswahrscheinlichkeit nicht durch konstruktive Maßnahmen derart gering gehalten werden können, daß deren Versagenswahrscheinlichkeit vernachlässigbar wäre. Aus dieser Betrachtung wird das Steer-by-Wire-System 1 in einer redundanten Ausführung realisiert. Durch Diversität, die verschiedene physikalische Wirkungsprinzipien benutzt, ist die Anfälligkeit gegen Common-Mode-Fehler stark reduziert. Dieser prinzipielle Sicherheitsvorteil einer diversitären Redundanz wird hier durch einen fehlertoleranten elektrischen Normalbetrieb und eine mechanische Rückfallebene ausgenutzt. Generell soll für das Steer-by-Wire-System 1 das Sicherheitsniveau einer heutigen Servolenkung erreicht oder gar übertroffen werden.

Aufgabe des Steuergeräts:

In den 3 und 4 werden zwei wesentliche Realisierungsvarianten der Erfindung dargestellt. In den 6 und 7 sind zudem Varianten der in 3 dargestellten Realisierung abgebildet. Am Beispiel einer Realisierung gemäß 3 werden zunächst die Funktionen der Einzelkomponenten beschrieben.

Das Rechnersystem, bestehend aus Datenverarbeitungsmodulen bzw. Recheneinheiten RM_H1 12a, RM_H2 12b, RM_H3 13a, und RM_H4 13b, übernimmt die Steuer- und Regelfunktionen des Lenkradaktuators. Die Datenverarbeitungsmodule bzw. Recheneinheiten RM_V1 35a, RM_V2 35b, RM_V3 36a, und RM_V4 36b, bilden zusammen das redundante Rechnersystem zur Ansteuerung und Regelung des Ventil- bzw. Lenkaktuators. Die Recheneinheiten RM_Hi 12a, 12b, 13a, 13b des Lenkradaktuators können über die Kommunikationsverbindung K_H12 212, K_H14 214, K_H23 223 und K_H34 234 ihre berechneten Daten austauschen. Dasselbe geschieht zwischen den Recheneinheiten RM_Vi 35a, 35b, 36a, 36b, des Lenkaktuators mittels der Kommunikationsverbindungen K_V12 112, K_V14 114, K_V23 123 und K_V34 134.

In dieser Realisierungsvariante wird die Kommunikation zwischen den Recheneinheiten 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b über als Punkt-Zu-Punkt-Verbindungen ausgebildete Kommunikationsverbindungen 112, 114, 123, 134, 212, 214, 223, 234 vorzugsweise über SPI-Schnittstellen (Serial-Peripheral-Interface) in einfacher oder redundanter Ausführung umgesetzt.

Die dargestellten Recheneinheiten RM_Vi 35a, 35b, 36a, 36b, bzw. RM_Hi 12a, 12b, 13a, 13b beinhalten in diesem Ausführungsbeispiel jeweils einen Mikrorechner einschließlich der dazugehörigen Peripheriekomponenten, wie beispielsweise geeignete Schnittstellen, für die Erfassung aller Sensorsignale. Zudem sind darin auch die erforderlichen Verarbeitungsfunktionen zur Berechnung der Ansteuersignale U_H1 und U_H2 für die Lenkradmotoren 8a, 8b bzw. U_V1 und U_V2 für die Ansteuerung des Lenkmotoren 31a, 31b enthalten. In der dargestellten Realisierungsvariante ist der Lenkradaktuator 6 durch zwei unabhängige Motoren LRM1 8a und LRM2 8b realisiert, die von unabhängigen Leistungselektronikeinheiten LE_LRM1 22a bzw. LE_LRM2 22b angesteuert werden. Beide Motoren 8a, 8b wirken auf dieselbe Welle. Der Ventil- bzw. Lenkaktuator 29 ist durch die beiden Motoren LM1 31a und LM2 31b bzw. die zugeordneten Leistungselektronikeinheiten LE_LRM1 45a bzw. LE_LM2 45b ebenfalls redundant aufgebaut. Die Energieversorgung der Elektronikkomponenten des Steer-by-Wire-Systems 1 erfolgt durch die unabhängigen Spannungsversorgungen UB1 50 bzw. UB2 52. Von UB1 50 werden die Recheneinheiten RM_H1 12a, RM_H2 12b, RM_V1 35a und RM_V2 35b sowie die Motoren LRM1 8a und LM1 31a samt der zugehörigen Leistungselektronik 22a, 45a und Abschaltlogik 20a, 43a gespeist. Die Energiequelle UB2 52 versorgt die Recheneinheiten RM_H3 13a, RM_H4 R13b, M_V3 36a und RM_V4 36b sowie die Motoren LRM2 8b und LM2 31b mit der zugehörigen Leistungselektronik 22b, 45b und Abschaltlogik 20b, 43b. Die elektromechanische Kupplungseinheit KU 55, wird von beiden Energiequellen 50, 52 gespeist, wobei je eine Wicklung 56, 57 von je einer Energiequelle 50, 52 gespeist werden kann.

K₁ und K₂ kennzeichnen jeweils unabhängige Kommunikationssysteme 60, 61, die beispielsweise mittels serieller Busse realisiert sind, die die Kommunikation zwischen den Recheneinheiten RM_Hi 12a, 12b, 13a, 13b des Lenkradaktuators 6 und den Recheneinheiten RM_Vi 35a, 35b, 36a, 36b des Lenkungsaktuators 29 ermöglichen. Die zwischen diesen Recheneinheiten ausgetauschten Daten werden mit a_VH bezeichnet. Die Bus-Systeme K₁ 60 und K₂ 61 ermöglichen zudem die Kommunikation zu weiteren Steuergeräten in dem Kraftfahrzeug, die beispielsweise Eingriffe in die Längs- und Querdynamik eines Fahrzeuges einleiten und koordinieren. Innerhalb dieser nicht dargestellten weiteren Steuergeräte können Sollwerte für die Regelungen beeinflußt oder auch direkt vorgegeben werden.

Mit den Bezeichnungen K_FV und K_FH werden eventuell vorhandene weitere Kommunikationssysteme zu anderen Fahrzeugsteuergeräten bezeichnet, z. B. ein CAN-Bus. Über diese Systeme können beispielsweise Informationen über den aktuellen Zustand des Verbrennungsmotors oder den Ladezustand der Bordnetze übermittelt werden. Zudem können hierüber Diagnosebotschaften eines Steer-by-Wire-Steuergeräts gesendet und übertragen werden.

In der dargestellten Steuergerätestruktur werden in jeweils zwei Mikrorechnersystemen im wesentlichen dieselben Verarbeitungsfunktionen zugeordnet. In diesem Fall übernehmen die beiden Recheneinheiten RM_V1 35a und RM_H2 35b, als Komponenten einer ersten Steuereinrichtung, die gleichen Verarbeitungsfunktionen – mit Ausnahme der Stellgrößenausgabe – zur Ansteuerung des Lenkmotors LM1 31a. Dasselbe gilt für die beiden Recheneinheiten RM_H1 12a und RM_V2 12b, als Komponenten einer zweiten Steuereinrichtung, zur Ansteuerung des Lenkradmotors LRM1 8a. Damit besitzen die Recheneinheitenpaare, bei dem ein Recheneinheitenpaar als Komponenten einer Steuereinrichtung ausgebildet ist, jeweils ein Fail-Silent-Verhalten. Durch die interne Kommunikation zwischen den Recheneinheiten RM_H1 12a und RM_H2 13b mit den Recheneinheiten RM_H3 und RM_H4 in dem Lenkradaktuator 6 wird es mög lich, daß bei einem andauernden oder transienten Ausfall bzw. Fehler einer Recheneinheit eines Recheneinheitenpaares das benachbarte Recheneinheitenpaar zumindest während einer Übergangszeit dessen Funktion voll übernimmt. Damit ist ein fehlertolerantes Verhalten des Systems gegeben. Dasselbe gilt für die Recheneinheiten 35a, 35b, 36a, 36b des Lenkaktuators 29. Durch die Kommunikation über K_V23 123 und K_V14 114 zwischen den Recheneinheiten RM_V1 35a und RM_V2 35b mit den Recheneinheiten RM_V3 36a und RM_V4 36b im Lenkaktuator 29 wird auch hier sichergestellt, daß bei Ausfall einer Komponenten eines Recheneinheitenpaares das benachbarte Recheneinheitenpaar dessen Funktion voll übernimmt.

Im folgenden werden die wesentlichen Funktionen der Recheneinheiten 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b des Lenkrad- und Ventilaktuators 6, 29 erläutert. In den Recheneinheiten RM_H1 12a und RM_H2 12b des Lenkradaktuators 6 sind folgende Funktionen implementiert:

– Sensorsignalerfassung und Berechnung des Ansteuersignals U_H1 für die Regelung des Lenkradmotors LRM1 8a,
– ustausch der berechneten Daten über die zwischen den Recheneinheiten 12a, 12b wirkenden Kommunikationsverbindungen K_H12, Vergleich der Rechnerergebnisse. Die Ausgabe des Ansteuersignals U_H1 erfolgt bei übereinstimmender Berechnung in den Recheneinheiten RM_H1 12a und RM_H2 12b allein durch die Recheneinheit RM_H1 12a. Im Fehlerfall wird eine Rückfallstrategie eingeleitet.
– Umschaltung auf die Rückfallebene,
– Schnittstelle zu weiteren Steuergeräten bzw. Anzeigeeinheiten.

In den Recheneinheiten RM_H3 13a und RM_H4 13b werden die entsprechenden Funktionen für die Ansteuerung des Lenkradmotors LRM2 realisiert. In den Recheneinheiten RM_V1 35a und RM_V2 35b werden folgende Funktionen bearbeitet:

– Sensorsignalerfassung und Berechnung des Ansteuersignals U_V1 für die Regelung des Lenkmotors LM1 31a
– Austausch der berechneten Daten über die zwischen den Recheneinheiten 35a, 35b wirkenden Kommunikationsverbindung K_V12. Die Ausgabe des Ansteuersignals U_V1 geschieht bei übereinstimmender Berechnung in den Recheneinheiten RM_V1 35a und RM_V2 35b allein durch die Recheneinheit RM_V1 35a. Im Fehlerfall erfolgt gegebenenfalls die Einleitung einer Rückfallstrategie.
– Umschaltung auf die Rückfallebene,
– Schnittstelle zu weiteren Steuergeräten bzw. Anzeigeeinheiten.

In den Recheneinheiten RM_V3 36a und RM_V4 36b werden die entsprechenden Funktionen für die Ansteuerung des Lenkmotors LM2 31b realisiert.

Eine detaillierte Beschreibung dieser Teilfunktion wird in den folgenden Abschnitten dargestellt. Hierbei werden jeweils nur die Funktionen zur Ansteuerung des Motors LRM1 8a in dem Lenkradaktuator 6 bzw. zur Ansteuerung des Motors LM1 31a in dem Ventilaktuator 29 betrachtet. Für die Ansteuerung der komplementären Motoren LRM2 8a und LM2 31b werden entsprechende Funktionen realisiert.

Sensorsignalerfassung und Berechnung der Ansteuersignale für die Regelung eines Lenkradmotors 8a, 8b:

Zur Ansteuerung der Lenkradmotoren LRM1 8a werden folgende Signale über periphere Erfassungskomponenten den Recheneinheiten RM_H1 12a und RM_H2 12b zugeführt:

a) Lenkradwinkelsensor δ_H1 und δ_H2
b) Motormoment M_H1 bzw. M_H2 des Lenkradmotors 8a. In einer weiteren Realisierungsvariante erfolgt die Bestimmung des Motormoments durch die gemessenen Motorströme
c) Rotorpositionen δ_PH des Lenkradmotors 8a, z. B. bei Verwendung eines BLDC-, asynchron- oder Switch-Reluctance-Motors, diese Größe kann auch aus dem Lenkradwinkel gebildet werden
d) Ist-Werte I_HI der Phasenströme des Lenkradmotors LRM1 8a.
e) Temperatur T_HI des Lenkradmotors 8a, in einer alternativen Realisierung kennzeichnet dieses Signal die Temperatur der Endstufe innerhalb der Leistungselektronikeinheit LE_LRM1 22a für den Lenkradmotor 8a oder beinhaltet beide Temperaturen.
f) Strom in der Wicklung 56 der Kupplungseinheit 55
g) Klemmenspannung des Bordnetzes UB1 50

Die in den Punkten a) bis g) aufgeführten Signale werden in 3 für den Motor LRM1 8a unter der Notation E_LRM1 und E_LERM1 zusammengefaßt.

Für die Ansteuerung der Leistungselektronikeinheit E_LRM1 dienen primär die Ansteuersignale U_H1 für die Strangspannungen des Lenkradmotors LRM1 8a. Diese Ansteuersignale sind Stellgrößen eines digitalen Reglers und können z. B. als PWM-Signale ausgegeben werden. Die Stellgrößen U_H1 werden aus dem gemessenen oder berechneten Motormomenten des Lenradkmotors 8a, der Rotorpositionen δ_PH des Lenkradmotors 8a und weiterer Kenngrößen, die den Zustand des Fahrzeuges bzw. der Fahrbahn charakterisieren, berechnet. Eine Steue rung des Lenkradmotors LRM1 8a über die Leistungselektronik LE_LRM1 22a erfolgt, wenn eine Freigabe über die Abschaltlogik AL_LRM1 18a ansteht und zudem das Motorrelais über die Abschaltlogik AL-MR_LRM1 20a geschlossen ist.

Sensorsignalerfassung und Berechnung der Ansteuersignale für die Regelung eines Lenkmotors 31a, 31b:

Zur Ansteuerung des Lenkmotors LM1 31a werden folgende Signale über periphere Erfassungskomponenten den Recheneinheiten RM_V1 35a und RT_V2 35b zugeführt:

a) Lenkwinkelsensor δ_V1 und δ_V2
b) Motormomente M_V1 bzw. M_V1 der Lenkmotoren LM1 31a und LM2 31b. In einer weiteren Realisierungsvariante erfolgt die Bestimmung der Motormomente durch die gemessenen Motorströme.
c) Rotorpositionen δ_PV des Lenkmotors LM1 31a, z. B. bei Verwendung eines BLDC-, Asynchron- oder Switch-Reluctancemotors
d) Ist-Werte I_V1 der Phasenströme des Lenkmotors LM1 31a
e) Temperaturen T_V1 des Lenkradmotors 31a, in einer alternativen Realisierung kennzeichnet dieses Signal die Temperatur der Endstufen innerhalb der Leistungselektronikeinheiten LE_LM1 45a für den Lenkmotor LM1 31a oder beinhaltet beide Temperaturen
f) Klemmenspannung des Bordnetzes UB1 50

Die in den Punkten a) bis f) aufgeführten Signale werden in 3 für den Motor LM1 31a unter der Notation E_LM1 und E_LEM1 zusammengefaßt.

Für die Ansteuerung der Leistungselektronikeinheit LE_LM1 45a dienen primär die Ansteuersignale für die Strangspannungen U_V1. Diese Ansteüersignale sind Stellgrößen eines digitalen Reglers und können z. B. als PWM-Signale ausgegeben werden. Die Stellgrößen U_V1 werden aus einem repräsentativen Wert der gemessenen Lenkradwinkel δ_H1 und δ_H2 und der aktuellen Lenkübersetzung gebildet. Bei Lenkeingriffen durch ein fahrdynamisches System wird die Führungsgröße für den Lenkwinkel zusätzlich unter Verwendung der Gierwinkelgeschwindigkeit und der Querbeschleunigung des Fahrzeuges berechnet oder es wird ein über die Kommunikationssysteme K₁ 60 und K₂ 61 übermittelter Winkel bzw. Differenzwinkel δ_F verwendet. Bei Nutzung der Steuergerätestruktur zur Realisierung eines Spurführungssystems könnte der Winkel δ_F auch die Führungsgröße für den Lenkwinkeleingriff repräsentieren, der von einem übergeordneten Steuerungssystem berechnet und vorgesehen wird. Eine Ansteuerung des Lenkmotors LM1 31a über die Leistungselektronik LE_LM1 45a erfolgt, wenn eine Freigabe über die Abschaltlogik AL_LM1 41a ansteht und zudem das Motorrelais über die Abschaltlogik AL-MR_LM1 43a geschlossen ist. In entsprechender Weise erfolgt die Ansteuerung des Lenkmotors LM2 31b über die Leistungselektronik LE_LM2 45b, wenn eine Freigabe über die Abschaltlogik AL_LM2 41b ansteht und zudem das Motorrelais über die Abschaltlogik AL-MR_LM2 43b geschlossen ist.

Überwachung der Rückfallebene und Umschaltung auf die Rückfallebene:

Wesentliche Kenngrößen der Verfügbarkeit der Rückfallebene des Steer-by-Wire-Systems 1 sind die Ströme in den beiden Wicklungen W₁ 56 und W₂ 57 der Kupplung KU. Diese Ströme werden fortlaufend erfaßt. Zur Überprüfung der Funktion des Überganges zur mechanischen Rückfallebene werden während des Fahrbetriebes abwechselnd die Stromkreise der Kupplungsspulen 56, 57 durch die Signale r_V1 und r_V2 bzw. r_H1 und r_H2 unterbrochen. Ein Übergang in die mechanische Rückfall ebene ist sichergestellt, wenn dabei der zugehörige Spulenstrom jeweils auf den Wert Null zurückgeht.

Schnittstelle zu weiteren Steuergeräten bzw. Anzeigeeinheiten:

Über die Kommunikationssysteme K₁ 60 und K₂ 61 können die Sensorsignale für die Gierwinkelgeschwindigkeit ω und für die Querbeschleunigung a_Y einer der Recheneinheiten 12a, 12b, 13a, 13b, 35a, 35b, 25a, 36b zugeführt werden. Zudem können über diese Kommunikationssysteme 60, 61 Schätzwerte für die Reib-Koeffizienten μ_VL und μ_VR zwischen linkem und rechtem Rad 25 und Straße und ein Schätzwert der Fahrzeuggeschwindigkeit v übertragen werden. Diese Informationen werden erforderlich, falls die Berechnungen für fahrdynamische Eingriffe innerhalb der in 3 dargestellten Recheneinheiten 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b realisiert werden. Außerdem kann über dieses Kommunikationssystem eine Führungsgröße δ_F für den Radlenkwinkel bei einem Fahrdynamikeingriff über das Lenksystem oder bei einem Spurführungssystem vorgegeben werden.

Sicherheitsmaßnahmen im Steuergerät:

Zur Einhaltung der an dieses Steer-by-Wire-System 1 gestellten Sicherheitsanforderungen müssen alle innerhalb des Systems auftretenden Einfachfehler in der systemtypischen Fehlertoleranz zeitsicher erkannt werden. Nach dem Erkennen eines signifikanten Fehlers wird das Steer-by-Wire-System 1 während einer Übergangszeit, beispielsweise innerhalb von 5 Sekunden, zunächst in einen Rückfallbetriebszustand überführt. In diesem Betriebszustand werden keine übergeordneten Lenkfunktionalitäten mehr durchgeführt, d. h. fahrdynamische Lenkeingriffe, Lenkeingriffe zur Seitenwindkompensation oder Eingriffe in das Lenksystem, die das Überset zungsverhältnis zwischen Lenkradwinkel und Lenkwinkel verändern, werden definiert beendet.

Tritt beispielsweise ein Fehler in einer Komponente des Systems, z.B. in einer der Lenkeinrichtung zugeordneten Steuerungskomponente 31a, 35a, 35b, 41a, 43a, 45a oder einer der Lenkhandhabe zugeordneten Steuerungskomponente 8a, 12a, 12b, 18a, 20a, 22a auf, die in der oberen Hälfte von 3 angeordnet ist, so werden die Teilfunktionen von den Komponenten z.B. in einer der Lenkeinrichtung zugeordneten Steuerungskomponente 31b, 36a, 36b, 41b, 43b, 45b bzw. einer der Lenkhandhabe zugeordneten Steuerungskomponente 8b, 13a, 13b, 18b, 20b, 22b der unteren Hälfte der 3 alleine umgesetzt.

Nach Ablauf dieser Übergangszeit oder nach Beendigung aller übergeordneten Lenkfunktionalitäten oder bei Auftreten eines signifikanten zweiten Fehlers in der Übergangszeit wird die Ansteuerung der elektromechanischen Kupplung 55 in der Lenksäule beendet. Damit wird die mechanische Verbindung zur Umsetzung eines Lenkradwinkels in einen Lenkwinkel wieder hergestellt.

Während dieser Übergangszeit wird zudem der aufgetretene Fehler durch eine eingebaute Selbsttestroutine weiterhin analysiert und seine Auswirkung auf die Funktionseigenschaft des Steer-by-Wire-Systems bewertet. Hierbei kann erkannt werden, ob ein Fehler lediglich transient aufgetreten ist. Übersteht die zunächst als fehlerhaft lokalisierte Komponente diesen Funktionstest mit einem fehlerfreien Befund, so erfolgt eine Rekonfiguration verbunden mit der Abarbeitung der Funktionen des Systems in den ursprünglichen Komponenten des (fehlerfreien) Systems. Die Übergangszeit wird beendet und ein Schließen der Kupplung wird vermieden.

Durch diese Maßnahme ergibt sich eine höhere Verfügbarkeit des Steer-by-Wire-Systems.

Zum Erreichen dieser Sicherheitsanforderungen sind folgende Merkmale vorgesehen:

Die folgenden Maßnahmen beziehen sich auf die Ansteuerung der dem Motor LRM1 8a zugeordneten Lenkradaktuatorik. Diese können jedoch entsprechend auch für die dem Motor LRM2 8a zugeordnete Lenkradaktuatorik und für die Lenkradaktuatorik zur Ansteuerung der Motoren LM1 31a bzw. LM2 31b angewandt werden.

Alle am Motor LRM1 8a auftretenden Signale, wie beispielsweise Meßsignale E_LRM1 und auch alle Signale bzw. Meßsignale E_LERM1 der Leistungselektronik LE_LRM1 werden in den beiden Recheneinheiten RM_H1 12a und RM_H2 12b als Komponenten einer ersten Steuereinrichtung direkt erfaßt. Die erfaßten Meßsignale werden über die Rechnerkopplungen KH12 zwischen den Recheneinheiten RM_H1 12a und RM_H2 12b ausgetauscht und zueinander auf Plausibilität verglichen. Sind die Werte außerhalb eines zulässigen Toleranzbereiches, wird daraus ein Referenzwert, z. B. durch eine Mittelwertbildung, ermittelt. Durch dieses Vorgehen läßt sich ein Defekt bzw. ein Fehler in einem der beiden Eingangskanäle erkennen.

Bei Auftreten eines Fehlers werden beide Rechnerkanäle von der weiteren Bearbeitung ausgeschlossen. Die Ansteuerung des Motors LRM1 8a wird beendet. Das zuvor von diesem Motor gelieferte Drehmoment wird in beiden Recheneinheiten RM_H3 13a und RM_H4 13b als Komponenten einer zweiten Steuereinrichtung über die Kommunikationskanäle K_H23 bzw. K_H14 bereitgestellt. Diese Information sorgt dafür, daß eine benachbarte Steuereinrichtung, die aus den Recheneinheiten RM_H3 13a und RM_H4 13b besteht, des Lenkradmotors LRM2 8b die Lenkfunktion des ausgefallenen Motors LRM1 8a innerhalb einer gewissen Übergangszeit mitübernehmen kann. Gleichzeitig werden solche Fehler in den Fehlerspeichern der Recheneinheiten RM_H1 12a und RM_H2 12b abgelegt. Sind die Meßwerte der beiden Eingangskanäle plausibel, werden mit den Referenzwerten der einzelnen Meßgrößen in beiden Recheneinheiten 12a, 12b die weiteren Berechnungen durchgeführt.

Die Berechnungen zur Bildung des Ansteuersignals U_H1 für den Lenkradmotor LRM1 8a werden ebenfalls in beiden Recheneinheiten RM_H1 12a und RM_H2 12b redundant durchgeführt. Die Ergebnisse bzw. Werte werden wiederum über den Kommunikationspfad KH12 zwischen den Recheneinheiten RM_H1 12a und RM_H2 12b ausgetauscht und durch Vergleich miteinander auf Plausibilität überprüft. Die in den Recheneinheiten RM_H1 12a und RM_H2 12b berechneten Ergebnisse bzw. Werte werden mit U_H11 und U_H12 bezeichnet. Werden beim Vergleich dieser Ergebnisse in den Recheneinheiten RM_H1 12a und RM_H2 12b Abweichungen erkannt, die über einen vorgebbaren Toleranzband liegen und zudem auch nach Ablauf einer Fehlertoleranzzeit weiterhin anstehen, so werden Rückfallmaßnahmen bzw. Rückfallstrategien eingeleitet.

Werden diese Abweichungen in der Recheneinheit RM_H1 12a erkannt, so werden Signale (Enable-Signale) für die Leistungselektronik g_H11 und für das Motorrelais f_H11 deaktiviert (disabled) und zudem das Steuersignal Enable-Signal zur Kupplungsansteuerung h_HK1 zurückgesetzt. Bei einer Fehlererkennung durch die Recheneinheit RM_H2 12b wird das Leistungselektroniksignal g_H2 ₁, das Motorrelais-Signal f_H11 und das Kupplungssignal h_HK2 deaktiviert (disabled). Eine Freischaltung des Ansteuersignals U_H1 für den Lenkradmotor LRM1 8a erfolgt erst, wenn innerhalb der Abschaltlogikeinheit für die Leistungselektronik dieses Lenkradmotors AL_LRM1 18a ein Freigabe-Signal ansteht. Dieses Freigabe-Signal wird durch eine logische UND-Verknüpfung zwischen den Signalen g_H11 und g_H21 gebildet. Damit wird sichergestellt, daß ein Fehler, der bei der Berechnung von U_H1 in der Recheneinheiten RM_H1 12a aufgetreten ist, bei Erkennung durch die Recheneinheit RM_H1 12a unmittelbar zur Abschaltung der Leistungselektronik LE_LRM1 22a führt bzw. bei Fehlererkennung durch das Modul RM_H2 12b indirekt eine Abschaltung dieser Leistungselektronik 22a eingeleitet wird.

Die Ansteuerung der elektronischen Kupplungseinheit 55 erfolgt mit einer Realisierungsvariante einer Schaltung gemäß 5. Da die Kupplung 55 jeweils alleine durch die Bestromung der Wickelungen W₁ 56 bzw. W₂ 57 in einem geöffneten Zustand (Steer-by-Wire-Betrieb) gehalten werden kann, wird somit sichergestellt, daß ein einzelner Fehler nicht zum sofortigen Übergang in die mechanische Rückfallebene führen kann. Jeder Einzelfehler führt über die Steuersignale Enable-Signale r_V1, r_V2, r_H1 und r_H2 jeweils nur zu einer Unterbrechung eines Wicklungsstromkreises 56, 57. Um die korrekte Funktion im Fehlerfalls sicherzustellen, werden in zyklischen Testphasen während des Fahrbetriebes die einzelnen Schalter in den Zustand „Öffnen" gesteuert. Durch Überwachung des Verlaufs der Kupplungsströme I_W1 bzw. I_W2 kann damit die Fähigkeit zum Öffnen getestet werden.

Bei der in 6 abgebildeten Realisierung erfolgt die Informationsübertragung von dem Datenverarbeitungsmodul bzw. der Recheneinheiten RM_V1 35a zu den Datenverarbeitungsmodulen bzw. Recheneinheiten RM_V3 36a und RM_V4 36b über die einfach oder redundant ausgeführte und beispielsweise als SCI-Verbindung bzw. UART ausgebildete Kommunikationsverbindung K_V134 1134. Die Datenübertragung von dem Datenverarbeitungsmodul oder der Recheneinheit RM_V4 36b zu den Datenverarbeitungsmodulen bzw. zu den Recheneinheiten RM_V1 35a und RM_V2 35b geschieht mittels der entsprechend aufge bauten Kommunikationsverbindung bzw. Schnittstelle K_V412 1412. Der höhere Datenaustausch zwischen den Datenverarbeitungsmodulen bzw. Recheneinheiten RM_V1 35a und RM_V2 35b wie auch zwischen RM_V3 36a und RM_V4 36b erfolgt wie bei den Realisierungsvarianten gemäß 3 mittels einer SPI-Schnittstelle. Eine entsprechende Kommunikationsstruktur 2134, 2412, 212, 234 ist in den Datenverarbeitungsmodulen bzw. Recheneinheiten RM_H1 bis RM_H1 12a, 12b, 13a, 13b des Lenkradaktuators 6 realisiert.

Bei der in 7 gezeigten Realisierung erfolgt die Kommunikation zwischen den Recheneinheiten für den Lenkmotor RM_V1 bis RM_V4 35a, 35b, 36a, 36b mittels eines einfach oder redundant aufgebauten mit K_V 100 bezeichneten seriellen Bus-Systems. In entsprechender Weise kommunizieren die Recheneinheiten RM_H1 bis RM_H4 12a, 12b, 13a, 13b des Lenkradaktuators über das Bus-System K_H 200.

Realisierungsvariante mit Recheneinheiten und zugeordneten Überwachungseinheiten:

Eine Steuergerätestruktur mit vier Recheneinheiten RM_H1 12a, RM_H4 13b, RM_V1 35a und RM_V4 36b und jeweils zugeordneten Überwachungseinheiten ÜM_H1 72, ÜM_H4 73, ÜM_V1 95 und ÜM_V4 96 ist in 4 dargestellt. Die darin enthaltenen, als Überwachungseinheiten 72, 73, 95, 96 ausgebildeten Datenverarbeitungsmodule besitzen keine direkte Verbindung zu den in 4 nicht abgebildeten Sensoren des Steer-by-Wire-Systems 1. Die einzelnen Überwachungseinheiten 72, 73, 95, 96 sind vorzugsweise mit einer einfachen Hardwareschaltung, z. B. in Form eines intelligenten watch dog, realisiert.

Die Struktur des Überwachungskonzeptes wird am folgenden am Beispiel der Recheneinheit RM_V1 35a und der zugeordneten Überwachungseinheit ÜM_V1 95 erläutert. Das Überwachungskonzept dieser der Lenkeinrichtung zugeordneten Steuerungskomponenten (Teil-Steuergerät) ist mit vier logischen Elementen L₁, L₂, L₃ und L₄ und zwei Hardwareebenen strukturiert. In den Hardwareebenen wirken die Recheneinheit RM_V1 35a und die Überwachungseinheit ÜM_V1 95. Die Überwachungseinheit ÜM_V1 95 kommuniziert mit der Recheneinheit RM_V1 35a mittels der internen Kommunikationsverbindung K_V12 112. Diese Kommunikation dient zur Überprüfung der Rechenfähigkeit der Recheneinheit RM_V1 35a und zur Überwachung der Programmabläufe innerhalb der Recheneinheit RM_V1 35a. Durch die gewählte Art der Datenkommunikation zwischen der Recheneinheit RM_V1 35a und der Überwachungseinheit ÜM_V1 95 wird eine gegenseitige Überwachung dieser Komponenten ermöglicht. Dazu sind in logischen Ebenen folgende Funktionen zugeordnet:

Ebene L₁

Die Ebene L₁ ist in der Recheneinheit RM_V1 35a realisiert. Sie übernimmt folgende Aufgaben:

– Plausibilitätsüberprüfungen der Eingangssignale. Um eine sichere Erkennung eines fehlerhaften Eingangskanals in der Recheneinheit RM_V1 35a zu ermöglichen, können gemessenen Sensorsignale E_LEM1 bzw. E_LM1 optional redundant zugeführt werden.
– Auswahl des für die Verarbeitung erforderlichen Lenkwinkels aus den jeweils redundant vorliegenden Sensorsignalen.
– Berechnung der Regelfunktionen für die Ansteuerung des Lenkmotors LM1 31a mittels des Stellsignals U_V1.
– Im Fehlerfall Unterbrechung der Ausgabe des Stellsignales U_V1 und Rücksetzen des Ansteuersignales h_VK1 zur Einleitung des Überganges in die mechanische Rückfallebene.

Ebene L₂:

Die Ebene L₂ ist ebenfalls in der Recheneinheit RM_V1 35a eingebunden. Diese Ebene L₂ übernimmt die Prüfung der Korrektheit der in Ebene L₁ durchgeführten Berechnungen mittels Algorithmen, die diversitär zu denen in Ebene L₁ sind. Zur Durchführung der Berechnungen werden zudem die redundant in Speicherzellen abgelegten Eingangsdaten verwendet, wodurch Fehler durch verfälschte Speicherinhalte erkannt werden. Für die Überprüfung von Reglerfunktionen sind vereinfachte parallel geschaltete Regleralgorithmen vorgesehen, die mit redundant abgelegten Daten für alternative Führungsgrößen und aktuellen Ist-Werten der Regelgrößen berechnet werden. Bei signifikanten Abweichungen zwischen diesen vereinfachten Stellgrößenberechnungen und den in Ebene L₁ durchgeführten Berechnungen wird ein Fehlerzustand erkannt. Zudem wird in Ebene L₂ auch die korrekte Funktion der von RM_V1 35a anzusteuernden Regelstrecke überprüft. Hierzu ist jeweils ein mathematisches Modell der Regelstrecke vorgesehen, das die dynamischen Zusammenhänge zwischen den Stellgrößen und den Regelgrößen auch unter Einbeziehung von Störgrößen beschreibt. Diesen Modellen werden die in den Regelalgorithmen in der Ebene L₁ berechneten Stellgrößen zugeführt. Bei signifikanten Abweichungen zwischen den Modellausgangsgrößen und den zugeordneten gemessenen Ist-Werten der Regelgrößen wird ein Fehlerzustand erkannt. Bei einem in Ebene L₃ wie auch in Ebene L₂ erkannten Fehler wird das Enable-Signal g_V11 für die Ansteuerung des Motors LM1 31a, das Ansteuersignal h_VK1 für die Kupplung 55 sowie optional das Enable-Signal f_V11 für die Ansteuerung der Motorrelais zurückgesetzt.

Ebene L₃:

Diese Ebene L₃ ist in der Recheneinheit RM_V1 31a realisiert. Um die sichere Funktion des Steer-by-Wire-Systems 1 im Falle eines Rechner- oder Programmfehlers zu gewährleisten, müssen im Fehlerfall die Programme in Ebene L₁ und Ebene L₂ trotzdem noch ordnungsgemäß ablaufen oder der nicht ordnungsgemäße Ablauf muß sicher erkannt werden. Die Kontrolle erfolgt in der dargestellten Ausführungsvariante durch eine Frage-Antwort-Kommunikation der Ebenen L₃ und L₄. Die Recheneinheit RM_V1 31a holt aus der Überwachungseinheit ÜM_V1 95 eine Frage ab und beantwortet diese jeweils unter Berücksichtigung aller sicherheitsrelevanten Programmteile innerhalb eines vorgegebenen Zeitintervalles. Eine Frage kann nur dann richtig beantwortet werden, wenn ein fehlerfreier Ablauf der Programme für den Rechnerfunktionstest und den Befehlstest gegeben ist. Die Wirksamkeit der Rechnertestprogramme kann durch Fehlersimulation und -emulation nachgewiesen werden. Die aus den Teilprogrammen gebildeten Teilantworten werden zu einer Gesamtantwort zusammengefaßt und der Ebene L₄ zugeführt.

Ebene L₄:

Diese Ebene L₄ ist in der Überwachungseinheit ÜM_V1 95 realisiert. Hierin wird die von der Recheneinheit RM_V1 35a bereitgestellte Gesamtantwort hinsichtlich des Zeitintervalles des Eintreffens und auf bitgenaue Übereinstimmung mit der zur Frage passenden richtigen Antwort überprüft. Bei einem nicht ordnungsgemäßen Ablauf der Frage-Antwort-Kommunikation mit Ebene L₃ werden in der Überwachungseinheit ÜM_V1 95 das Enable-Signal g_M21 für die Ansteuerung des Motors LM1 35a, das Ansteuersignal h_VK2 für die Kupplung 55 sowie optional das Enable-Signal f_V21 für die Ansteuerung des Motorrelais zurückgesetzt.

Claims

Verfahren zur Steuerung mindestens einer mechanischen Stelleinrichtung (2, 6, 25, 29, 30), der mindestens ein Satz Steuerungskomponenten (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) zugeordnet ist, bei dem zwischen mindestens zwei Steuerungskomponenten (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) ein Signal ausgetauscht wird, und bei dem mindestens ein zur Bereitstellung des Signals von einer der zugeordneten Steuerungskomponenten (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) ausgeführter Schritt eines Funktionsablaufs analysiert wird.
Verfahren nach Anspruch 1, bei dem der mindestens eine von mindestens einer Steuerungskomponente (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) ausgeführte Schritt des Funktionsablaufs von der Steuerungskomponente (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) selbst analysiert wird.
Verfahren nach einem der Ansprüche 1 oder 2, bei dem der mindestens eine von einer Steuerungskomponente (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) ausgeführte Schritt des Funktionsablaufs von einer anderen Steuerungskomponente (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) analysiert wird.
Verfahren nach einem der Ansprüche 1 bis 3, bei dem analysiert wird, ob der mindestens eine Schritt innerhalb des Funktionsablaufs eine Bedingung erfüllt, wobei ein nächster Schritt des Funktionsablaufs durchgeführt wird, wenn die Bedingung erfüllt ist, und wobei eine Rückfallstrategie eingeleitet wird, wenn die Bedingung nicht erfüllt ist und wobei zur Erfüllung der Bedingung analysiert wird, in welchem Maße mindestens ein Schritt von einem vorgegebenen Schema abweicht.
Verfahren nach einem der vorstehenden Ansprüche, bei dem im Rahmen der Rückfallstrategie eine Steuerungskomponente (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) eine Selbsttestroutine zur Überprüfung der Funktionstüchtigkeit durchführt, wobei die Steuerungskomponente (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) bei hinreichender Funktionstüchtigkeit die Rückfallstrategie durch Rekonfiguration beendet und einen nächsten Schritt des Funktionsablaufs ausführt, und wobei bei unzureichender Funktionstüchtigkeit die Rückfallstrategie fortgeführt wird.
Verfahren nach einem der vorstehenden Ansprüche, bei dem im Rahmen der Rückfallstrategie mindestens eine Funktion mindestens einer ersten Steuerungskomponente (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) von mindestens einer zweiten, funktionell gleichwertigen Steuerungskomponente (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) mindestens für die Dauer einer Übergangszeit übernommen wird.
Verfahren nach einem der vorstehenden Ansprüche, bei dem zwischen mindestens zwei Steuerungskomponenten (8a, 8b, 31a, 31b, 73, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) eine Kommunikation erfolgt.
Verfahren nach einem der vorstehenden Ansprüche, bei dem die Kommunikation mehrfach erfolgt.
Verfahren nach einem der vorstehenden Ansprüche, bei dem die Kommunikation den Austausch von Signalen umfaßt.
Verfahren nach einem der vorstehenden Ansprüche, bei dem die Kommunikation die Analyse des mindestens einen zur Bereitstellung des Signals von einer zugeordneten Steuerungskomponenten (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) ausgeführten Schritts eines Funktionsablaufs durch eine andere zugeordnete Steuerungskomponente (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) umfaßt.
Verfahren nach einem der vorstehenden Ansprüche, bei dem zur Vermittlung einer Wechselwirkung zwischen mindestens zwei mechanischen Stelleinrichtungen (2, 25, 30), denen jeweils mindestens ein Satz Steuerungskomponenten (8a, 8b, 31a, 31b, 73, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) zugeordnet ist, eine Kommunikation zwischen mindestens einer Steuerungskomponenten (8a, 8b, 31a, 31b, 73, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) eines ersten Satzes Steuerungskomponenten und mindestens einer Steuerungskomponenten (8a, 8b, 31a, 31b, 73, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) eines zweiten Satzes Steuerungskomponenten erfolgt.
Verfahren nach einem der vorstehenden Ansprüche, bei dem einer mechanischen Stelleinrichtung zumindest zwei eigenständige und eigensichere Sätze Steuerungskomponenten (8a, 8b, 31a, 31b, 73, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) zugeordnet werden.
Elektronisches Steuerungssystem zur Steuerung mindestens einer mechanischen Stelleinrichtung (2, 25, 30), der mindestens ein Satz Steuerungskomponenten (8a, 8b, 31a, 31b, 73, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) zugeordnet ist, das zum Austausch eines Signals zwischen mindestens zwei Steuerungskomponenten (8a, 8b, 31a, 31b, 73, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) und zur Analyse mindestens eines zur Bereitstellung des Signals einer zugeordneten Steuerungskomponenten (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) ausgeführten Schritts eines Funktionsablaufs ausgebildet ist.
Elektronisches Steuerungssystem nach Anspruch 13, bei dem zwischen mindestens zwei Steuerungskomponenten (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) mindestens eine einfache Kommunikationsverbindung (60, 61, 100, 112, 114, 123, 134, 200, 214, 212 223, 234, 1134, 1412, 2134, 2412) zur Bereitstellung einer Kommunikation angeordnet ist.
Elektronisches Steuerungssystem nach einem der Ansprüche 13 oder 14, bei dem eine als Peripheriegerät ausgebildete Steuerungskomponente als Sensor (10, 33) zur Erfassung eines Zustands mindestens einer mechanischen Stelleinrichtung (2, 25, 30) und zur Weiterleitung eines den Zustand charakterisierenden Signals an mindestens eine andere Steuerungskomponente unter Ausführung mindestens eines Schritts eines Funktionsablaufs ausgebildet ist, und bei dem eine als Peripheriegerät ausgebildete Steuerungskomponente (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) als Aktor zur Beaufschlagung mindestens einer mechanischen Stelleinrichtung (2, 25, 30) unter Ausführung mindestens eines Schritts eines Funktionsablaufs ausgebildet ist.
Elektronisches Steuerungssystem nach einem der Ansprüche 13 bis 15, bei dem eine als Datenverarbeitungsmodul ausgebildete Steuerungskomponente (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) als Recheneinheit (12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b) zur Bereitstellung eines Werts für das Signal durch Durchführung mindestens eines Schritts des Funktionsablaufs ausgebildet ist.
Elektronisches Steuerungssystem nach einem der Ansprüche 13 bis 16, bei dem eine als Datenverarbeitungsmodul ausgebildete Steuerungskomponenten (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) als Überwachungseinheit (72, 73, 95, 96) zur Analyse mindestens eines durch eine zugeordnete Steuerungskomponente (8a, 8b, 31a, 31b, 10, 33, 12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) durchgeführten Schritts des Funktionsablaufs ausgebildet ist, wobei eine Verbindung einer Überwachungseinheit (72, 73, 95, 96) mit wenigstens einem Peripheriegerät indirekt über ein Datenverarbeitungsmodul (12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) ausgebildet ist.
Elektronisches Steuerungssystem nach einem der Ansprüche 13 bis 17, bei dem ein Satz Steuerungskomponenten mindestens ein Peripheriegerät (8a, 8b, 31a, 31b, 10, 33) und mindestens zwei Datenverarbeitungsmodule (12a, 12b, 13a, 13b, 35a, 35b, 36a, 36b, 72, 73, 95, 96) aufweist.
Elektronisches Steuerungssystem nach einem der Ansprüche 13 bis 18, bei dem eine erste mechanische Stelleinrichtung als Lenkhandhabe (2) eines Fahrzeugs und eine zweite mechanische Stelleinrichtung als Lenkeinrichtung (25, 30) des Fahrzeugs ausgebildet ist.
Computerprogramm mit Programmcodemitteln zur Durchführung eines Verfahren nach einem der Ansprüche 1 bis 12, insbesondere in einem elektronischen Steuerungssystem nach einem der Ansprüche 13 bis 19.
Computerprogrammprodukt mit Programmcodemitteln, die auf einem computerlesbaren Date nträger gespeichert sind, zur Durchführung eines Verfahrens nach einem der Ansprüche 1 bis 12, insbesondere in einem elektronischen Steuerungssystem nach einem der Ansprüche 13 bis 19.