DE19607429A1 - Fehlertolerante Regel- und/oder Steuerungseinrichtung für ein physikalisches System, insbesondere Fahrdynamikregeleinrichtung für ein Kraftfahrzeug - Google Patents

Description

Die Erfindung bezieht sich auf eine fehlertolerant ausgelegte Regel- und/oder Steuerungseinrichtung für ein physikalisches Sy­ stem nach dem Oberbegriff des Anspruchs 1, beispielsweise in Form einer Fahrdynamikregeleinrichtung für ein Kraftfahrzeug.

Es ist bekannt, die ein zu regelndes physikalisches System cha­ rakterisierenden, der Reglereinheit zugeführten Zustandsgrößen zur Bereitstellung von Fehlertoleranz redundant über mehrere Er­ mittlungskanäle parallel zu ermitteln. Damit die Einrichtung für eine derartige, redundant ermittelte Zustandsgröße neben einer Fehlererkennung auch eine Fehlerisolation, d. h. eine Bestimmung desjenigen Kanals, in welchem ein erkannter Fehler aufgetreten ist, durchzuführen vermag, sind mindestens drei parallele, von­ einander unabhängige Ermittlungskanäle erforderlich. Denn bei nur zwei parallelen Kanälen mit voneinander abweichenden Zu­ standsgrößenwerten läßt sich der fehlerbehaftete Kanal nicht oh­ ne weitere Zusatzmaßnahmen ausreichend sicher erkennen. Es ist daher bereits bekannt, eine Zustandsgröße über drei parallele physikalische Kanäle, d. h. drei unterschiedliche Sensoren, zu erfassen und anschließend über eine Voter-Logik den gegebenen­ falls fehlerbehafteten Kanal wegzuschalten und als Zustandsgrö­ ßenwert einen der Werte der beiden anderen Kanäle oder einen aus einer Verknüpfung dieser beiden Werte erhaltenen Wert zu verwen­ den. Problempunkte einer solchen physikalischen Dreikanaligkeit sind allerdings der damit einhergehende erhöhte Realisierungs­ aufwand, das sich daraus ergebende erhöhte Gewicht der Sensorik und deren erhöhter Platzbedarf, die Gefahr der Reduzierung der Gesamtsystemzuverlässigkeit und die Anforderung, die Voter-Logik selbst fehlertolerant auszulegen.

Als Ausweg wurde bereits das Konzept der sogenannten analyti­ schen Redundanz vorgeschlagen, bei der die Dreikanaligkeit zur Ermittlung einer Zustandsgröße durch zwei physikalische Kanäle und einen analytischen Kanal bereitgestellt wird. In einem sol­ chen analytischen Kanal wird auf der Grundlage eines mathemati­ schen Modells oder einer Wissensbasis redundante Information ge­ neriert, wobei dem analytischen Kanal eingangsseitig die erfor­ derlichen Zustandsgrößenwerte je nach verwendetem Modell zuge­ führt werden. Der analytische Kanal kann ein einfacher funktio­ naler Kanal sein, der die relevante redundante Information an­ hand eines vorgegebenen funktionalen Zusammenhangs aus den ein­ gangsseitig zugeführten Zustandsgrößenwerten bestimmt. Alterna­ tiv bzw. weiterführend sind sogenannte Beobachterkonzepte be­ kannt, bei denen der analytische Kanal von einem sogenannten Be­ obachter bereitgestellt wird, in welchem das gesamte oder Teile des zu regelnden physikalischen Systems modelliert und daraus ein Schätzwert der relevanten Zustandsgröße gewonnen wird, wobei eine nachgeschaltete oder integrierte Entscheidungslogik die Ausgangssignale der physikalischen Kanäle mit dem zugehörigen Ausgangssignal des oder der Beobachtereinheiten vergleicht und auf diese Weise eine Fehlererkennung bzw. -lokalisation vor­ nimmt. Als Beobachter werden beispielsweise Kalman-Filter ver­ wendet.

Derartige Regeleinrichtungen sind beispielsweise in den Zeitschriftenartikeln P.M. Frank "Sicherheit aus dem Rechner", Elektrotechnik, 68, H. 9, 30.05.1986, Seite 26 und J.C. Debaat und W.C. Merrill, "Implementation of Sensor Failure Detection for Turbofan Engines", IEEE Control Systems Magazine, Juni 1990, Seite 29 beschrieben.

In der Offenlegungsschrift DE 42 26 749 A1 ist ein Verfahren zur Schätzung des Schwimmwinkels für ein Fahrzeug offenbart, bei dem diese Schätzung mittels eines Beobachters durchgeführt wird, dem hierzu als Eingangsinformationen die Längsbeschleunigung, die Raddrehzahlen, die Querbeschleunigung und die Gierwinkelge­ schwindigkeit des Fahrzeugs zugeführt werden.

In der Offenlegungsschrift DE 42 14 642 A1 ist ein Fahrdynamikre­ gelungsverfahren beschrieben, bei dem eine Zustandsgröße zum ei­ nen durch Messung über einen physikalischen Kanal und zum ande­ ren durch Schätzung über einen analytischen Kanal ermittelt wird, wobei als maßgeblicher Zustandsgrößenwert derjenige des analytischen Kanals verwendet wird, wenn der physikalische Kanal ausfällt, während ansonsten derjenige des physikalischen Kanals verwendet wird.

Aus den Offenlegungsschriften DE 41 00 501 A1 und DE 42 44 014 A1 sind Verfahren und Einrichtungen zum Erkennen und gegebenen­ falls Identifizieren von Fehlern in Zustandsgrößensensorkanälen offenbart, bei denen redundante, geschätzte Zustandsgrößeninfor­ mationen unter Verwendung einer Assoziationsmatrix bzw. eines neuronalen Netzwerks generiert werden.

Aus der Offenlegungsschrift DE 42 00 061 A1 ist die Verwendung eines analytischen Kanals zur Schätzung der Quergeschwindigkeit und/oder des Schwimmwinkels eines Fahrzeugs bekannt, wobei als Eingangsgrößen der Lenkwinkel, die Längsgeschwindigkeit, die Gierwinkelgeschwindigkeit und die Querbeschleunigung des Fahr­ zeugs oder alternativ die gemessenen oder geschätzten Bremsdrüc­ ke sowie die Radgeschwindigkeiten verwendet werden.

In der Offenlegungsschrift DE 43 40 746 A1 ist eine Diagnoseein­ richtung für ein dynamisches System, insbesondere eine Einrich­ tung zur Diagnose der Reifenluftdrücke oder von Änderungen des Fahrzeugaufbaugewichts, offenbart, bei der ein Beobachterkonzept zur Störungsermittlung eingesetzt wird.

Der Erfindung liegt als technisches Problem die Bereitstellung einer Regeleinrichtung der eingangs genannten Art zugrunde, wel­ che hinsichtlich der Ermittlung wenigstens einer relevanten Zu­ standsgröße zwecks Fehlertoleranz wenigstens dreikanalig redun­ dant ausgelegt ist, welche die Erkennung und gegebenenfalls Iso­ lation fehlerbehafteter Kanäle sowie einen in seiner Güte auf die jeweils noch als fehlerfrei erkannten Kanäle abgestimmten Regelungsbetrieb ermöglicht und welche bei gegebener Funktiona­ lität mit vergleichsweise geringem Aufwand realisierbar ist.

Dieses Problem wird durch eine Regeleinrichtung mit den Merkma­ len des Anspruchs 1 gelöst. Dazu beinhaltet die Zustandsgrößen­ ermittlungseinheit eine Fehlererkennungs- und -isolationslogik­ einheit, die in den Zustandsgrößenermittlungskanälen auftretende Fehler zu erkennen und lokalisieren vermag. Dabei ist für wenig­ stens eine Zustandsgröße, zweckmäßigerweise jeweils für die be­ sonders sicherheitskritischen Zustandsgrößen, eine dreikanalige Zustandsgrößenermittlung über zwei physikalische Kanäle und ei­ nen analytischen Kanal vorgesehen, wobei letzterer in Form einer einfachen funktionalen Redundanz oder aber vorzugsweise im Rah­ men eines Beobachterkonzepts über eine Beobachtereinheit bereit­ gestellt wird. In Verbindung mit dem Vorhandensein des analyti­ schen Kanals ist gleichzeitig eine Fehlerisolation durch Voten zwischen dem vom analytischen Kanal geschätzten Wert und den beiden, über die zwei parallelen physikalischen Kanäle erhalte­ nen Werten innerhalb der den analytischen Kanal realisierenden Einheit möglich, ohne daß dazu eine zusätzliche Voter-Logik be­ nötigt wird. Durch geeignete Ansteuerung eines Fehlerbehand­ lungsfilters wird erreicht, daß nur die jeweils noch mit ausrei­ chender Zuverlässigkeit ermittelten Zustandsgrößenwerte an die Reglereinheit geleitet werden, während andere Zustandsgrößenwer­ te weggefiltert werden. Über die jeweils noch eingangsseitig an­ stehenden Zustandsgrößenwerte oder gesteuert von der Fehlerer­ kennungs- und -isolationslogikeinheit kann die Reglereinheit ab­ gestuft in der jeweils noch bestmöglichen Regelgütestufe betrie­ ben werden, so daß je nach Wichtigkeit der betreffenden Zu­ standsgröße bei Auftreten eines Fehlers in einem zugehörigen Er­ mittlungskanal die Regelung nicht unbedingt vollständig deakti­ viert zu werden braucht, sondern abgestimmt auf die Art des oder der Fehler mit einer niedrigeren Regelgütestufe oder eventuell sogar mit gleichbleibender Regelgütestufe fortgesetzt werden kann. Durch die Verwendung eines jeweiligen analytischen Kanals anstelle eines dritten parallelen physikalischen Kanals wird der Realisierungsaufwand bei gegebener Funktionalität gering gehal­ ten.

In einer Weiterbildung der Erfindung nach Anspruch 2 wird eine der Zustandsgrößen lediglich über einen analytischen Kanal als Schätzung ermittelt, wobei die Fehlererkennungs- und -isola­ tionslogikeinheit so eingerichtet ist, daß sie erkennt, wenn der analytische Kanal aufgrund eines oder mehrerer erkannter Fehler in der Ermittlung seiner Eingangsgrößen keine ausreichend zuver­ lässige Schätzung mehr durchzuführen vermag, wonach sie über den Fehlerbehandlungsfilter eine Unterdrückung dieser geschätzten Zustandsgröße veranlaßt.

In einer Weiterbildung der Erfindung nach Anspruch 3 ist die Fehlererkennungs- und -isolationslogikeinheit so ausgelegt, daß sie zu erkennen vermag, wenn aufgrund erkannter Fehler in den Zustandsgrößenermittlungskanälen die noch vorhandene Zustands­ größeninformation nicht mehr zur Durchführung einer zuverlässi­ gen Regelung des physikalischen Systems ausreicht, woraufhin sie den Regelungseinfluß auf das physikalische System unterbricht.

In Anspruch 4 sind vorteilhafte Beobachterkonzepte für die Feh­ lererkennungs- und -isolationslogikeinheit angegeben.

Anspruch 5 charakterisiert eine komfortable und mit relativ ge­ ringem Aufwand realisierbare Fahrdynamikregeleinrichtung, bei der die wichtigen Zustandsgrößen fehlertolerant jeweils ein­ schließlich eines analytischen Kanals mehrkanalig ermittelt wer­ den und die Regelung abgestimmt auf eventuelle Fehler bei der Zustandsgrößenermittlung hinsichtlich der Regelgüte mehrstufig erfolgt.

Eine bevorzugte Ausführungsform der Erfindung ist in den Zeich­ nungen dargestellt und wird nachfolgend beschrieben. Hierbei zeigen:

Fig. 1 ein schematisches Blockschaltbild einer fehlertoleranten Fahrdynamikregeleinrichtung eines Kraftfahrzeugs,

Fig. 2 eine schematische Funktionsstrukturdarstellung von Teil­ funktionen einer in Fig. 1 verwendeten Zustandsgrößener­ mittlungseinheit und

Fig. 3 eine schematische Blockdarstellung einer für die Einrich­ tung von Fig. 1 geeigneten, dreikanalig redundanten Gier­ winkelgeschwindigkeitsermittlung.

Ausgangspunkt für die Verwendung einer fehlertoleranten Fahrdy­ namikregeleinrichtung, wie in Fig. 1 dargestellt, ist die Tatsa­ che, daß in ein solches, die Fahrdynamik des Kraftfahrzeugs re­ gelndes System diverse sensorielle Eingangsgrößen einfließen, die unmittelbar über wenigstens einen physikalischen Kanal ge­ messen und/oder über einen analytischen Kanal, beispielsweise unter Verwendung eines Beobachterkonzepts, geschätzt werden, wie in den eingangs erwähnten Druckschriften beschrieben. Treten Fehler oder Ausfälle innerhalb der verwendeten Sensoren auf, so beeinflussen diese sowohl den Beobachter, wodurch Schätzfehler entstehen, als auch den Fahrdynamikregler mit gegebenenfalls un­ erwünschten Folgen. Aus diesem Grund ist man bestrebt, Fehler vor allem innerhalb der Sensorik, grundsätzlich jedoch auch in­ nerhalb der Aktuatorik und der verwendeten Rechnerhardware zu einem möglichst frühen Zeitpunkt zu detektieren und derart zu behandeln, daß der Beobachter bzw. die Regelung fehlerfrei funk­ tionieren.

Mit dem in Fig. 1 gezeigten System lassen sich beliebige Ein­ fach- und auch teilweise Mehrfachfehler innerhalb der für die Fahrdynamikregelung erforderlichen bzw. vorhandenen Sensorik un­ ter Bereitstellung von Fehlertoleranz jedenfalls für die beson­ ders sicherheitskritischen Zustandsgrößen erkennen, isolieren und behandeln. Unter Isolierung ist hierbei nach Auftreten eines Fehlers die Fähigkeit zur Identifizierung des fehlerbehafteten Zustandsgrößenermittlungskanals zu verstehen. Zu diesem Zweck beinhaltet die Fahrdynamikregeleinrichtung von Fig. 1, durch die das Fahrzeug (1) von einem Fahrdynamikregler (2) in seiner Fahr­ dynamik geregelt wird, eine speziell ausgelegte Zustandsgrößen­ ermittlungseinheit (3), die neben der üblichen Sensorik (4) um eine Fehlererkennungs- und -isolationslogikeinheit (5) und eine Fehlerbehandlungseinheit (6), z. B. in Form eines Filters, erwei­ tert ist. Gegenüber einem herkömmlichen Beobachterkonzept, bei dem innerhalb einer Fahrdynamikregelung ein Beobachter zur Zu­ standsgrößenschätzung, z. B. zur Schätzung des Schwimmwinkels, eingesetzt wird, ist beim vorliegenden System der Beobachter zum Fehlerbehandlungsfilter (6) mit der vorgeschalteten Fehlererken­ nungs- und -isolationslogikeinheit (5) erweitert.

Wie aus Fig. 1 zu erkennen, werden die von der Sensorik (4) er­ faßten Zustandsgrößenwerte (L) der Fehlererkennungs- und -isola­ tionslogikeinheit (5) und dem Fehlerbehandlungsfilter (6) paral­ lel zugeführt. Dabei werden diejenigen Zustandsgrößen, für die Fehlertoleranz gefordert wird, über zwei parallele Sensoren, d. h. über zwei physikalische Kanäle, redundant erfaßt. Im Feh­ lerfall, der durch die Fehlererkennungs- und -isolationslogik­ einheit (5) detektiert wird, kann dadurch der als fehlerhaft identifizierte physikalische Kanal im Fehlerbehandlungsfilter weggeschaltet werden, ohne daß die Beobachtbarkeit der relevan­ ten Schätzgrößen beeinträchtigt wird. Das Fehlerbehandlungsfil­ ter (6) leitet somit die aus Messungen gewonnenen Zustandsgrö­ ßenwerte (z*) unmittelbar an den Fahrdynamikregler (2) weiter und sorgt darüber hinaus für die Bereitstellung nicht gemessener, geschätzter Zustandsgrößenwerte (), wie sie mittels eines Beob­ achters gewonnen werden, als weitere Eingangsgrößen für den Fahrdynamikregler (2). Die Wegschaltung des fehlerbehafteten physikalischen Kanals durch das Fehlerbehandlungsfilter (6) wird über eine Steuerleitung (5a) von der Fehlererkennungs- und -iso­ lationslogikeinheit (5) ausgelöst, die gleichzeitig die Nichtbe­ rücksichtigung dieses fehlerhaften Kanals in ihrer Beobach­ tereinheit vornehmen kann. Für die Realisierung des Beobachter­ konzepts in der Fehlerkennungs- und -isolationslogik (5) und dem Fehlerbehandlungsfilter (6) ist des weiteren das Ausgangssignal (u) des Fahrdynamikreglers (2) zu diesen beiden Einheiten (5, 6) rückgeführt.

Des weiteren ist die Fehlererkennungs- und -isolationslogikein­ heit (5) so ausgelegt, daß sie neben der Erkennung und Isolation von Fehlern festzustellen vermag, ob das Fehlerbehandlungsfilter (6) mit den jeweils verbliebenen, nicht fehlerbehafteten physi­ kalischen Kanälen in der Lage ist, die für den Fahrdynamikregler (2) benötigten Schätzgrößenwerte () noch hinreichend gut zu schätzen. Ist dies nicht der Fall und somit die Beobachtbarkeit als Folge einer gegenüber der Grundkonfiguration zu stark ver­ ringerten Anzahl funktionstüchtiger Sensorkanäle nicht länger gewährleistet, wird das Fehlerbehandlungsfilter (6) insgesamt durch die Fehlererkennungs- und -isolationslogikeinheit (5) weg­ geschaltet und die Regelung so umkonfiguriert, daß sie ohne die Schätzgrößen () noch funktioniert, soweit dies möglich ist. Da­ zu ist der Fahrdynamikregler (2) zum Betrieb in unterschiedli­ chen Regelgütestufen ausgelegt und kann über eine zugehörige Steuerleitung (5b) von der Fehlererkennungs- und -isolations­ logikeinheit (5) so angesteuert werden, daß er jeweils auf der momentan noch maximal möglichen Regelgütestufe arbeitet, worauf weiter unten detaillierter eingegangen wird. Die Fehlererken­ nungs- und -isolationslogikeinheit (5) überwacht außerdem, ob die dem Fahrdynamikregler (2) nach Auftreten von Fehlern noch vom Fehlerbehandlungsfilter (6) zugeführten gemessenen und/oder geschätzten Zustandsgrößenwerte (z*, x) noch zur Durchführung einer ausreichend zuverlässigen und sicheren Fahrdynamikregelung ausreichen. Wenn dies nicht mehr der Fall ist, deaktiviert die Fehlerkennungs- und -isolationslogikeinheit (5) den Fahrdyna­ mikregler (2) insgesamt oder jedenfalls hinsichtlich der Weiter­ leitung seines Reglerausgangssignals (u).

In Fig. 2 ist schematisch die Funktionsweise des Schwimmwinkel­ beobachters vereinfacht veranschaulicht. Die Sensorik umfaßt ei­ ne Lenkradwinkelsensorik (7), eine Längsbeschleunigungssensorik (8), eine Querbeschleunigungssensorik (9, 10), eine Gierwinkel­ geschwindigkeitssensorik (11) und eine Raddrehzahlsensorik (12). Dabei ist die Lenkradwinkelsensorik (7) mittels eines sich selbst prüfenden Sensors und eines weiteren Sensors physikalisch zweikanalig fehlertolerant gestaltet. Die Längsbeschleunigungs­ sensorik (8) ist physikalisch einkanalig implementiert und wird lediglich zur Schwimmwinkelschätzung benötigt. Die Querbeschleu­ nigungssensorik beinhaltet einen vorderen Querbeschleunigungs­ sensor (9) und einen hinteren Querbeschleunigungssensor (10), mit deren Ausgangssignale zum einen in einer nachgeschalteten Einheit (13) die Schwerpunktsquerbeschleunigung (a_ys) und zum an­ deren in einer weiteren nachgeschalteten Einheit (15) die Gier­ winkelbeschleunigung () ermittelt werden. Die Gierwinkelge­ schwindigkeitssensorik (11) beinhaltet zwei voneinander unabhän­ gige Gierwinkelgeschwindigkeitssensoren. Das Gierwinkelgeschwin­ digkeitssignal wird hierbei zu einer Einheit (14) zur Bestimmung der Gierwinkelbeschleunigung abgezweigt, wonach eine nachge­ schaltete Vergleichseinheit (16) aus diesem Beschleunigungswert und dem über die Querbeschleunigungssensorik (9, 10, 15) erhal­ tenen Beschleunigungswert die endgültige Gierwinkelbeschleuni­ gung () bestimmt. Die Raddrehzahlsensorik (12) beinhaltet je­ weils einen induktiven oder Hall-Sensor an allen vier Fahrzeu­ grädern, wie für Antiblockiersysteme gebräuchlich. Diese physi­ kalisch vierkanalige Struktur ermöglicht eine Plausibilitätsprü­ fung sowie Fehlerlokalisation und -behandlung, die vier Kanäle besitzen jedoch unterschiedliche Aussagequalitäten, da die stark schlupfbehaftete Raddrehzahlinformation von den Antriebsrädern nicht permanent für die Regelung geeignet ist, so daß es sich bezüglich der Regelung um eine 1-von-2-Struktur bezüglich der beiden nicht angetriebenen Räder handelt. Eine nachgeschaltete Einheit (17) wandelt die Raddrehzahlinformation in eine Längsge­ schwindigkeitsinformation um. Bei Funktion des Schwimmwinkelbe­ obachters wird jedoch dessen Schätzwert der Längsgeschwindigkeit an die Fahrdynamikregelung weitergeleitet.

Neben diesen auf Messungen gestützten Zustandsgrößen werden als weitere Zustandsgrößen der Lenkwinkel am Rad und der Schwimmwin­ kel verwendet, wobei der Lenkwinkel am Rad über eine Lenkwinkel­ motorausgangsgröße bestimmt wird, während der Schwimmwinkel (β) als die in Fig. 1 gezeigte Schätzgröße ( ) vom Beobachter im Fehlerbehandlungsfilter (6) geschätzt wird. Dazu beinhaltet das Fehlerbehandlungsfilter (6) einen Systemmodellteil (17), einen Beobachtungsmodellteil (18) und ein nachgeschaltetes Kalman- Filter als Schwimmwinkelbeobachter (19), wobei aus Fig. 2 her­ vorgeht, welche Eingangsgrößen in jede der drei Komponenten ein­ fließen. Neben dieser Schätzungsfunktion leitet das Fehlerbe­ handlungsfilter (6) die aus fehlerfreien physikalischen Kanälen ermittelten Zustandsgrößen an den Fahrdynamikregler (2) weiter, der daraus als fahrdynamikregelndes Ausgangssignal den Lenkwin­ kelsollwert (δ_s) erzeugt. Die weitergeleiteten Zustandsgrößen sind der Lenkradwinkel (δ_L), die Längsgeschwindigkeit (v_x), die Gierwinkelgeschwindigkeit (), die Gierwinkelbeschleunigung (), die Schwerpunktsquerbeschleunigung (a_ys) und der Schwimmwinkel (β).

Des weiteren sind diese gemäß Fig. 2 über physikalische Kanäle erfaßten Zustandsgrößen der Fehlererkennungs- und -isolations­ logikeinheit (5) zugeführt, die mittels zusätzlicher Bereitstel­ lung analytischer Kanäle nicht nur eine Fehlererkennung, sondern jedenfalls für einen Teil der Zustandsgrößen auch eine Fehler­ isolation und Fehlerbehandlung leistet. Eine Möglichkeit der Realisierung eines analytischen Kanals für eine über zwei physi­ kalische Kanäle redundant gemessene Zustandsgröße besteht in der Bereitstellung einer funktionalen Redundanz, bei der physikali­ sche Zusammenhänge zwischen der Information der beiden physika­ lischen Kanäle sowie zusätzlicher Information beispielsweise über andere Zustandsgrößen ausgenutzt werden. Ein solches Kon­ zept ist in Fig. 3 schematisch und beispielhaft für die Ermitt­ lung der Gierwinkelgeschwindigkeit () veranschaulicht. Über zwei Gierwinkelgeschwindigkeitssensoren (S₁, S₂) werden unabhängig voneinander zwei Gierwinkelgeschwindigkeits-Meßwerte (_m1, _m2) generiert und einem funktionalen Kanal (A) zugeführt, der daraus und/oder aus weiteren Zustandsgrößen einen analytischen Gierwin­ kelgeschwindigkeitswert (_a) beispielsweise aufgrund eines be­ kannten mathematischen Zusammenhangs mit anderen Größen, wie den einzelnen Radgeschwindigkeiten, ermittelt. Gleichzeitig bestimmt der analytische Kanal (A) die jeweilige Abweichung zwischen dem analytischen Wert (_a) und den gemessenen Werten (_m1, _m2), wo­ durch nicht nur ein eventueller Fehler erkannt, sondern zudem der verursachende Kanal aufgefunden werden kann. Durch Wegschal­ ten des betreffenden Kanals läßt sich daraufhin dieser Fehler behandeln, und als Ausgangssignal wird ein mit hoher Sicherheit korrektes Zustandsgrößensignal erhalten, das mindestens auf ei­ nem oder meistens zwei fehlerfreien Kanälen basiert. Diese Art der Datenfusion, d. h. der Gewichtung der zur Verfügung stehenden Sensorinformationen entsprechend ihrer Zuverlässigkeiten und spezifiziert durch ihre stochastischen Eigenschaften, ermöglicht eine Erhöhung der Meßgenauigkeit. Das Vorsehen eines analyti­ schen Kanals anstelle eines dritten physikalischen Kanals bedeu­ tet zudem eine Einsparung eines Sensors nebst dessen Energiever­ sorgung und Verkabelung, d. h. eine Einsparung an Platzbedarf, Kosten und Gewicht. Zudem wird keine separate Voting-Logik benö­ tigt.

Alternativ zu einem funktionalen Kanal kann der analytische Ka­ nal durch Verwendung eines Beobachterkonzepts bereitgestellt werden, was insbesondere dann zweckmäßig ist, wenn einfache funktionale Zusammenhänge zwischen Zustandsgrößen fehlen. Im vorliegenden Fall ist die Verwendung von Beobachtern ebenfalls zu bevorzugen, da das Fahrverhalten eines Kraftfahrzeugs im fahrdynamischen Grenzbereich sehr komplex ist und gerade hier die volle Leistungsfähigkeit der Fahrdynamikregelung gewünscht wird. Neben der Verwendung einer einzigen Beobachtereinheit zur Überwachung sämtlicher sicherheitsrelevanter Sensoren bzw. Kom­ ponenten ist die Verwendung von Beobachterbänken möglich, bei denen für jeden zu überwachenden Kanal eine Beobachtereinheit vorgesehen ist. Dabei kann es für weniger komplexe Modelle aus­ reichen, in jede Beobachtereinheit nur einen Sensor einfließen zu lassen, während eine mit höherem Berechnungsaufwand verbunde­ ne Methode darin besteht, jeden Beobachter mit einem unter­ schiedlichen Satz von Eingangsgrößen zu speisen, wodurch die Be­ obachterbank sehr robust gegenüber Modellierungsfehlern wird.

Beispielsweise kann für eine physikalisch zweikanalig erfaßte Querbeschleunigung jedem physikalischen Kanal eine Beobach­ tereinheit zugeordnet sein, wobei in jede Beobachtereinheit alle Zustandsgrößeninformationen einfließen mit Ausnahme der von der jeweils anderen Beobachtereinheit zu schätzenden Ausgangsgröße. Einer dritten Beobachtereinheit als Referenz können alle Zu­ standsgrößeninformationen zugeführt sein. Eine Korrelation der Ausgangssignale der den beiden physikalischen Kanälen zugeordne­ ten Beobachtereinheiten ermöglicht eine Fehlererkennung, während eine jeweilige Korrelation jeder dieser beiden Beobachtereinhei­ ten mit der Referenz-Beobachtereinheit nebst anschließendem Ver­ gleich der Korrelationsergebnisse die Lokalisierung eines aufge­ tretenen Fehlers im einen oder anderen physikalischen Kanal der Querbeschleunigungsermittlung ermöglicht. Für weitere Details von Beobachterkonzepten kann auf die eingangs genannten Druck­ schriften und die dort zitierte Literatur verwiesen werden.

Die Fähigkeit der solchermaßen ausgelegten Zustandsgrößenermit­ telungseinheit (3) zur Erkennung, Isolation und Behandlung von Fehlern wird vorliegend dazu ausgenutzt, die Fahrdynamikregelung mit abgestufter Regelgüte je nachdem, ob und wenn ja welche Feh­ ler aufgetreten sind, zu betreiben. Dazu ist der Fahrdynamikreg­ ler (2) für einen Betrieb in mehreren Regelgütestufen ausgelegt, wozu er einen geeigneten modularen Aufbau besitzt, so daß jedes Reglermodul eine Fahrdynamikregelung mit einer zugehörigen Re­ gelgüte erlaubt. Über eine Steuerleitung (5b) aktiviert die Feh­ lererkennungs- und -isolationslogikeinheit (5) jeweils dasjenige Modul des Fahrdynamikreglers (2), mit dem die Fahrdynamikrege­ lung in der situationsabhängig je nach aufgetretenen Fehlern noch maximal möglichen Regelgüte durchgeführt wird. Im einzelnen ergibt sich hierzu folgendes.

Bei Fehlerfreiheit des Systems liegen die Größen Lenkradwinkel (δ_L), Längsgeschwindigkeit (v_x), Gierwinkelgeschwindigkeit () und Querbeschleunigung (a_y) fehlertolerant in dem Sinne vor, daß über physikalische Kanäle und analytische Kanäle Fehler zuver­ lässig von der Fehlererkennungs- und -isolationslogikeinheit (5) erkannt, lokalisiert und behandelt werden können, so daß die In­ formation über die betreffende Zustandsgröße auch nach Auftreten eines Fehlers erhalten bleibt. Nach einer Fehlerbehandlung dege­ neriert die zugehörige Zustandsgröße meist zur Fehlersicherheit, was bedeutet, daß ein weiterer, sich auf diese Zustandsgröße be­ ziehender Fehler innerhalb der Sensorik (4) zwar noch erkannt, jedoch nicht mehr zuverlässig auf einen Kanal lokalisiert werden kann. Die betreffende Zustandsgrößeninformation wird dann von der Fehlererkennungs- und -isolationslogikeinheit (5) für die Fahrdynamikregelung verworfen, was zu einer Abnahme der Regelgü­ te, jedoch nicht zwangsläufig zum Ausfall der gesamten Fahrdyna­ mikregelung führt. Die Längsbeschleunigung (a_x), die nur zur Schwimmwinkelschätzung verwendet wird, liegt hingegen physika­ lisch lediglich einkanalig vor. Bei Auftreten von Fehlern ergibt sich damit folgendes Reglerverhalten.

Bei Auftreten eines Fehlers im Längsbeschleunigungskanal wird der Regler von seiner höchsten Regelgüte "4" auf die nächst niedrige Regelgüte "3" zurückgenommen, in welcher die Fahrdyna­ mikregelung unter Verzicht auf den Schwimmwinkelschätzwert er­ folgt. Bei Auftreten eines ersten Fehlers in einer der vier an­ deren, fehlertolerant erfaßten Zustandsgrößen bleibt hingegen zunächst die bisherige Regelgüte erhalten, und die Ermittlung der betreffenden Zustandsgröße degeneriert durch das fehlerbe­ handelnde Wegschalten des fehlerbehafteten Kanals von zuvor feh­ lertolerant zu nunmehr nur noch fehlersicher. Tritt für die Querbeschleunigung (a_y) nach einem behandelten ersten Fehler ein zweiter Fehler auf, so wird der Fahrdynamikregler (2) auf die zweitniedrigste Regelgüte (2) zurückgenommen, in der die Fahrdy­ namikregelung eingeschränkt ohne die Querbeschleunigungsinforma­ tion weitergeführt wird. Hinsichtlich der Längsgeschwindigkeit (v_x) sind Mehrfachfehler wegen der vier vorhandenen Sensorkanäle, die allerdings, wie gesagt, nicht gleichwertig sind, trotz der Tatsache tolerabel, daß es sich hier um eine wichtige Zustands­ größe handelt. Nach Auftreten eines Doppelfehlers in der Längs­ geschwindigkeitsermittlung wird der Fahrdynamikregler auf die niedrigste Regelgütestufe "1" zurückgenommen, in welcher dann die Längsgeschwindigkeit zwar weniger gesichert, jedoch noch im­ mer physikalisch zweikanalig vorliegt. Bei Auftreten noch eines dritten Fehlers bei der Längsgeschwindigkeitsermittlung liegt daher die Längsgeschwindigkeitsinformation immer noch einkanalig vor, so daß die Fahrdynamikregelung in dieser Regelgütestufe "1" weitergeführt werden kann. Im Gegensatz dazu ist hinsichtlich der Zustandsgrößen Lenkradwinkel (δ_L) und Gierwinkelgeschwindig­ keit (), bei denen es sich ebenfalls um sehr relevante Zu­ standsgrößen für die Fahrdynamikregelung handelt, bei Auftreten eines zweiten Fehlers nach vormaliger Behandlung eines ersten Fehlers eine Fortsetzung der Fahrdynamikregelung aus Sicher­ heitsgründen nicht mehr möglich, da die betreffende Zustandsgrö­ ßeninformation dann nicht mehr als gesichert betrachtet werden kann. In diesem Fall wird der Notbetrieb aktiviert. Im Notbe­ trieb ist es dem Fahrer möglich, das Fahrzeug in einen sicheren Zustand zu überführen, z. B. in den Fahrzeugstillstand.

Mit der beschriebenen Fahrdynamikregeleinrichtung wird somit für wenigstens einen Teil der Zustandsgrößen eine auf einer physika­ lisch zweikanaligen Struktur basierende Fehlertoleranz durch Er­ weiterung um einen analytischen Kanal gewonnen, der adaptiver Natur ist. Im einem ersten Adaptionsgrad können unterschiedliche Strategien in Anpassung an das jeweilige Fahrdynamikszenario verfolgt werden, innerhalb der sich in einem zweiten Adaptions­ grad wiederum verschiedene Anpassungsmöglichkeiten unter Zunahme oder Abnahme der Komplexität dahingehend bieten, daß das jewei­ lige, in einem Beobachter oder allein für die abbildende Infor­ mation verwendete Modell modifiziert wird. In einem dritten Ad­ aptionsgrad kann bei vorgegebenem Modell eine Variation der im Beobachter, insbesondere einem Kalman-Filter, verwendeten Vari­ anzen in Anlehnung an das jeweilige Fahrdynamikszenario vorgese­ hen werden. In einem vierten Adaptionsgrad werden innerhalb des Beobachters für die Fehlererkennung und -isolation verschiedene Größen überwacht, z. B. im Fall eines Kalman-Filters Schätzwer­ te, Schätzwertfehler, Projektionen von Schätzwerten auf Meßwer­ te, Residuen, Komponenten der Kovarianzen des Prädiktions- und Filterschätzwertes oder die Kalman-Verstärkung. Mit den genann­ ten Adaptionen können zu Fehlalarmen führende Modellierungsfeh­ ler minimiert werden, so daß eine zuverlässige Erkennung und Isolation von Kleinstfehlern über den gesamten Fahrdynamikbe­ reich erzielt wird. Als interessanter Zusatz besteht die Mög­ lichkeit, für den in der Zustandsgrößenermittlungseinheit ver­ wendeten Beobachter nicht die Minimierung des Schätzwertfehlers, sondern eine andere Aufgabe in den Vordergrund zu stellen, z. B. die Minimierung eines Residiums im fehlerfreien Fall bzw. die Bereitstellung einer hohen Empfindlichkeit gegenüber Kleinstfeh­ lern der relevanten Eingangsgrößen bei hoher Resistenz gegenüber Schätzwertfehlern. Im Gegensatz zu herkömmlichen Systemen mit Fehlerlokalisation im Automobil, bei denen lediglich Fehler de­ tektiert werden, die ein Verlassen des Sensormeßbereichs bewir­ ken, lassen sich mit der vorliegenden Einrichtung Kleinstfehler zuverlässig erkennen, lokalisieren und behandeln und Modellie­ rungsfehler weitestgehend unterdrücken. Es versteht sich, daß erfindungsgemäße Fehlererkennungs, - isolations und -behandlungs­ einrichtungen der vorstehend beschriebenen Art nicht auf Fahrdy­ namikregelungen beschränkt sind, sondern sich auch für einen Einsatz in anderen Systemen eignen, für die eine fehlertolerante Auslegung gewünscht wird.

Claims (5)

1. Fehlertolerante Regel- und/oder Steuerungseinrichtung für ein physikalisches System, insbesondere Fahrdynamikregeleinrichtung für ein Kraftfahrzeug, mit

• a) einer in Abhängigkeit von zugeführten Zustandsgrößenwerten (z*, ) arbeitenden Regel- und/oder Steuereinheit (2) und
• b) einer Zustandsgrößenermittlungseinheit (3) zur Ermittlung der der Regel- und/oder Steuereinheit zuzuführenden Zustandsgrößen­ werte, wozu die jeweilige Zustandsgröße über einen oder zwei pa­ rallele physikalische Kanäle gemessen und/oder über einen analy­ tischen Kanal geschätzt wird, dadurch gekennzeichnet, daß
• c) die Zustandsgrößenermittlungseinheit (3) eine Fehlerbehand­ lungseinheit (6), die steuerbar die Zuführung eines jeweiligen Zustandsgrößenwertes zur Regel- und/oder Steuereinheit (2) frei­ gibt oder blockiert, und eine Fehlererkennungs- und -isolations­ logikeinheit (5) aufweist, welche einen in einem Kanal auftre­ tenden Fehler erkennt und für wenigstens eine über zwei paralle­ le physikalische Kanäle und einen analytischen Kanal redundant ermittelte Zustandsgröße einen erkannten Fehler mittels einer funktionale Redundanz erzeugenden Einheit oder einer Beobach­ tereinheit des analytischen Kanals isoliert und welche das Feh­ lerbehandlungsfilter zur Blockierung des zum erkannten bzw. iso­ lierten Fehler gehörigen Kanals ansteuert, und
• d) die Regel- und/oder Steuereinheit zum Betrieb in unterschied­ lichen Regelgütestufen abhängig davon, welche der Kanäle der Zu­ standsgrößenermittlungseinheit als fehlerfrei erkannt sind, aus­ gelegt ist, wobei sie von der Zustandsgrößenermittlungseinheit jeweils zum Betrieb in derjenigen Regel- und/oder Steuerungsgü­ testufe veranlaßt wird, die in Abhängigkeit von den momentan als fehlerfrei erkannten Kanälen noch maximal möglich ist.

2. Regel- und/oder Steuerungseinrichtung nach Anspruch 1, weiter dadurch gekennzeichnet, daß eine der Zustandsgrößen nur einkanalig über einen analytischen Kanal ermittelt wird und die Fehlererkennungs- und -isolations­ logikeinheit (5) eine nicht mehr ausreichend zuverlässig mögli­ che Schätzung aufgrund eines oder mehrerer fehlerbehafteter Ka­ näle für die Ermittlung der Eingangsgrößen dieses analytischen Kanals erkennt und daraufhin das Fehlerbehandlungsfilter (6) zur Blockierung der Weiterleitung des Ausgangssignals dieses analy­ tischen Kanals zur Reglereinheit (2) ansteuert.

3. Regel- und/oder Steuerungseinrichtung nach Anspruch 1 oder 2, weiter dadurch gekennzeichnet, daß die Fehlererkennungs- und -isolationslogikeinheit (5) eine nicht mehr ausreichend zuverlässige und/oder gesicherte Regelung durch die Reglereinheit (2) aufgrund des Vorliegens eines oder mehre­ rer fehlerbehafteter Zustandsgrößenermittlungskanäle erkennt und daraufhin die Beeinflussung des physikalischen Systems durch das Ausgangssignal der Reglereinheit unterbindet.

4. Regel- und/oder Steuerungseinrichtung nach einem der Ansprüche 1 bis 3, weiter dadurch gekennzeichnet, daß die Zustandsgrößenermittlungseinheit (3) eine gemeinsame Beob­ achtereinheit zur Überwachung mehrerer physikalischer Kanäle oder eine Beobachterbank mit jeweils einer Beobachtereinheit zur Überwachung eines jeweils zugeordneten physikalischen Kanals be­ inhaltet.

5. Regel- und/oder Steuerungseinrichtung nach einem der Ansprüche 1 bis 4, weiter dadurch gekennzeichnet, daß sie eine Fahrdynamikregeleinrichtung für ein Kraftfahrzeug ist, wobei

• - der Lenkradwinkel (δ_L), die Gierwinkelgeschwindigkeit (), die Querbeschleunigung (a_y) und die Längsgeschwindigkeit (v_x) als über jeweils wenigstens zwei physikalische Kanäle und einen ana­ lytischen Kanal redundant ermittelte Zustandsgrößen und der Schwimmwinkel als wenigstens über einen analytischen Kanal ge­ schätzte Zustandsgröße herangezogen werden und
• - die Reglereinheit (2) in verschiedenen Regelgütestufen abhän­ gig vom Auftreten einer oder mehrerer Fehler in den Zustandsgrö­ ßenermittlungskanälen arbeitet.