DE19607429B4

DE19607429B4 - Fehlertolerante Steuerungseinrichtung für ein physikalisches System, insbesondere Fahrdynamikregeleinrichtung für ein Kraftfahrzeug

Info

Publication number: DE19607429B4
Application number: DE19607429A
Authority: DE
Inventors: Rachad Dipl.-Ing. Mahmoud; Avshalom Dipl.-Ing. Suissa; Friedrich Dipl.-Ing. Böttiger
Original assignee: DaimlerChrysler AG
Current assignee: Mercedes Benz Group AG
Priority date: 1996-02-28
Filing date: 1996-02-28
Publication date: 2004-02-19
Anticipated expiration: 2016-02-29
Also published as: DE19607429A1

Abstract

Fehlertolerante Steuerungseinrichtung für ein physikalisches System, insbesondere Fahrdynamikregeleinrichtung für ein Kraftfahrzeug, mit
a) einer in Abhängigkeit von zugeführten Zustandsgrößenwerten (z*, x) arbeitenden Regel- und/oder Steuereinheit (2) und
b) einer Zustandsgrößenermittlungseinheit (3) zur Ermittlung der der Regel- und/oder Steuereinheit (2) zuzuführenden Zustandsgrößenwerte (z*, x), wozu die jeweilige Zustandsgröße über einen oder zwei zugehörige, parallele physikalische Kanäle gemessen und/oder über einen zugehörigen analytischen Kanal geschätzt wird,
dadurch gekennzeichnet, daß
c) die Zustandsgrößenermittlungseinheit (3) eine Fehlerbehandlungseinheit (6), die steuerbar die Zuführung eines jeweiligen Zustandsgrößenwertes (z*, x) zur Regel- und/oder Steuereinheit (2) freigibt oder blockiert, und eine Fehlererkennungs- und -isolationslogikeinheit (5) aufweist, welche auftretende Fehler erkennt und für wenigstens eine über zwei parallele physikalische Kanäle und einen analytischen Kanal redundant ermittelte Zustandsgröße den zu einem erkannten Fehler gehörigen Kanal mittels einer funktionale Redundanz erzeugenden Einheit oder einer Beobachtereinheit des analytischen Kanals identifiziert und welche die Fehlerbehandlungseinheit (6) zur Blockierung des zum erkannten Fehler gehörigen Kanals ansteuert, und
d) die Regel- und/oder Steuereinheit (2) zum Betrieb in unterschiedlichen Regelgütestufen abhängig davon, welche der Kanäle der Zustandsgrößenermittlungseinheit (3) als fehlerfrei er kannt sind, ausgelegt ist, wobei sie von der Zustandsgrößenermittlungseinheit (3) jeweils zum Betrieb in derjenigen Regelgütestufe veranlaßt wird, die in Abhängigkeit von den momentan als fehlerfrei erkannten Kanälen noch maximal möglich ist.

Description

Die Erfindung bezieht sich auf eine fehlertolerant ausgelegte Steuerungseinrichtung für ein physikalisches System nach dem Oberbegriff des Anspruchs 1, beispielsweise in Form einer Fahrdynamikregeleinrichtung für ein Kraftfahrzeug. Solch eine Steuerungseinrichtung ist beispielsweise der DE 42 44 014 A1 zu entnehmen.
Unter dem Begriff Steuerungseinrichtung sollen vorliegend auch Einrichtungen verstanden werden, die nicht nur bloße Steuerungsmaßnahmen im engeren Sinn, sondern auch Maßnahmen mit Regelcharakter vornehmen, d.h. eigentliche Regeleinrichtungen.
Es ist bekannt, die ein zu regelndes physikalisches System charakterisierenden, der Reglereinheit zugeführten Zustandsgrößen zur Bereitstellung von Fehlertoleranz redundant über mehrere Ermittlungskanäle parallel zu ermitteln. Damit die Einrichtung für eine. derartige, redundant ermittelte Zustandsgröße neben einer Fehlererkennung auch eine Fehlerisolation, d.h. eine Bestimmung desjenigen Kanals, in welchem ein erkannter Fehler aufgetreten ist, durchzuführen vermag, sind mindestens drei parallele, voneinander unabhängige Ermittlungskanäle erforderlich. Denn bei nur zwei parallelen Kanälen mit voneinander abweichenden Zustandsgrößenwerten läßt sich der fehlerbehaftete Kanal nicht ohne weitere Zusatzmaßnahmen ausreichend sicher erkennen. Es ist daher bereits bekannt, eine Zustandsgröße über drei parallele physikalische Kanäle, d.h. drei unterschiedliche Sensoren, zu erfassen und anschließend über eine Voter-Logik den gegebenenfalls fehlerbehafteten Kanal wegzuschalten und als Zustandsgrößenwert einen der Werte der beiden anderen Kanäle oder einen aus einer Verknüpfung dieser beiden Werte erhaltenen Wert zu verwenden. Problempunkte einer solchen physikalischen Dreikanaligkeit sind allerdings der damit einhergehende erhöhte Realisierungsaufwand, das sich daraus ergebende erhöhte Gewicht der Sensorik und deren erhöhter Platzbedarf, die Gefahr der Reduzierung der Gesamtsystemzuverlässigkeit und die Anforderung, die Voter-Logik selbst fehlertolerant auszulegen.

Als Ausweg wurde bereits das Konzept der sogenannten analytischen Redundanz vorgeschlagen, bei der die Dreikanaligkeit zur Ermittlung einer Zustandsgröße durch zwei physikalische Kanäle und einen analytischen Kanal bereitgestellt wird. In einem solchen analytischen Kanal wird auf der Grundlage eines mathematischen Modells oder einer Wissensbasis redundante Information generiert, wobei dem analytischen Kanal eingangsseitig die erforderlichen Zustandsgrößenwerte je nach verwendetem Modell zugeführt werden. Der analytische Kanal kann ein einfacher funktionaler Kanal sein, der die relevante redundante Information anhand eines vorgegebenen funktionalen Zusammenhangs aus den eingangsseitig zugeführten Zustandsgrößenwerten bestimmt. Alternativ bzw. weiterführend sind sogenannte Beobachterkonzepte bekannt, bei denen der analytische Kanal von einem sogenannten Beobachter bereitgestellt wird, in welchem das gesamte oder Teile des zu regelnden physikalischen Systems modelliert und daraus ein Schätzwert der relevanten Zustandsgröße gewonnen wird, wobei eine nachgeschaltete oder integrierte Entscheidungslogik die Ausgangssignale der physikalischen Kanäle mit dem zugehörigen Ausgangssignal des oder der Beobachtereinheiten vergleicht und auf diese Weise eine Fehlererkennung bzw. -lokalisation vor nimmt. Als Beobachter werden beispielsweise Kalman-Filter verwendet. Derartige Regeleinrichtungen sind beispielsweise in den Zeitschriftenartikeln P. M. Frank "Sicherheit aus dem Rechner", Elektrotechnik, 68, H. 9, 30.05.1986, Seite 26 und J.C. DeLaat und W.C. Merrill, "Implementation of Sensor Failure Detection for Turbofan Engines", IEEE Control Systems Magazine, Juni 1990, Seite 29 beschrieben. Die Detektion von Sensorausfällen durch analytische Redundanz ist auch in dem Zeitschriftenartikel P. M. Frank "Detektion von Sensorausfällen per Software-Redundanz", Industrie-elektrik + elektronik, 30. Jahrgang 1985, Nr. 4, Seite 42 beschrieben.

In der Offenlegungsschrift DE 42 26 749 A1 ist ein Verfahren zur Schätzung des Schwimmwinkels für ein Fahrzeug offenbart, bei dem diese Schätzung mittels eines Beobachters durchgeführt wird, dem hierzu als Eingangsinformationen die Längsbeschleunigung, die Raddrehzahlen, die Querbeschleunigung und die Gierwinkelgeschwindigkeit des Fahrzeugs zugeführt werden.

In der Offenlegungschrift DE 42 14 642 A1 ist ein Fahrdynamikregelungsverfahren beschrieben, bei dem eine Zustandsgröße zum einen durch Messung über einen physikalischen Kanal und zum anderen durch Schätzung über einen analytischen Kanal ermittelt wird, wobei als maßgeblicher Zustandsgrößenwert derjenige des analytischen Kanals verwendet wird, wenn der physikalische Kanal ausfällt, während ansonsten derjenige des physikalischen Kanals verwendet wird.

Aus den Offenlegungsschriften DE 41 00 501 A1 und DE 42 44 014 A1 sind Verfahren und Einrichtungen zum Erkennen und gegebenenfalls Idendifizieren von Fehlern in Zustandsgrößensensorkanälen offenbart, bei denen redundante, geschätzte Zustandsgrößeninformationen unter Verwendung einer Assoziationsmatrix bzw. eines neuronalen Netzwerks generiert werden.

Aus der Offenlegungsschrift DE 42 00 061 A1 ist die Verwendung eines analytischen Kanals zur Schätzung der Quergeschwindigkeit und/oder des Schwimmwinkels eines Fahrzeugs bekannt, wobei als Eingangsgrößen der Lenkwinkel, die Längsgeschwindigkeit, die Gierwinkelgeschwindigkeit und die Querbeschleunigung des Fahrzeugs oder alternativ die gemessenen oder geschätzten Bremsdrükke sowie die Radgeschwindigkeiten verwendet werden.

In der Offenlegungsschrift DE 43 40 746 A1 ist eine Diagnoseeinrichtung für ein dynamisches System, insbesondere eine Einrichtung zur Diagnose der Reifenluftdrücke oder von Änderungen des Fahrzeugaufbaugewichts, offenbart, bei der ein Beobachterkonzept zur Störungsermittlung eingesetzt wird.

Der Erfindung liegt als technisches Problem die Bereitstellung einer Steuerungseinrichtung der eingangs genannten Art zugrunde, welche hinsichtlich der Ermittlung wenigstens einer relevanten Zustandsgröße zwecks Fehlertoleranz wenigstens dreikanalig redundant ausgelegt ist, welche die Erkennung und gegebenenfalls Isolation fehlerbehafteter Kanäle sowie einen in seiner Güte auf die jeweils noch als fehlerfrei erkannten Kanäle abgestimmten Steuerungs- oder Regelungsbetrieb ermöglicht und welche bei gegebener Funktionalität mit vergleichsweise geringem Aufwand realisierbar ist.

Dieses Problem wird durch eine Steuerungseinrichtung mit den Merkmalen des Anspruchs 1 gelöst. Dazu beinhaltet die Zustandsgrößenermittlungseinheit eine Fehlererkennungs- und -isolationslogikeinheit, die in den Zustandsgrößenermittlungskanälen auftretende Fehler zu erkennen und lokalisieren vermag. Dabei ist für wenigstens eine Zustandsgröße, zweckmäßigerweise jeweils für die besonders sicherheitskritischen Zustandsgrößen, eine dreikanalige Zustandsgrößenermittlung über zwei physikalische Kanäle und einen analytischen Kanal vorgesehen, wobei letzterer in Form einer einfachen funktionalen Redundanz oder aber vorzugsweise im Rahmen eines Beobachterkonzepts über eine Beobachtereinheit bereitgestellt wird. In Verbindung mit dem Vorhandensein des analytischen Kanals ist gleichzeitig eine Fehlerisolation durch Voten zwischen dem vom analytischen Kanal geschätzten Wert und den beiden, über die zwei parallelen physikalischen Kanäle erhaltenen Werten innerhalb der den analytischen Kanal realisierenden Einheit möglich, ohne daß dazu eine zusätzliche Voter-Logik benötigt wird. Durch geeignete Ansteuerung einer Fehlerbehandlungseinheit wird erreicht, daß nur die jeweils noch mit ausreichender Zuverlässigkeit ermittelten Zustandsgrößenwerte an die Regel- und/oder Steuereinheit geleitet werden, während andere Zustandsgrößenwerte weggefiltert werden. Über die jeweils noch eingangsseitig anstehenden Zustandsgrößenwerte oder gesteuert von der Fehlererkennungs- und -isolationslogikeinheit kann die Regel- und/oder Steuereinheit abgestuft in der jeweils noch bestmöglichen Regelgütestufe betrieben werden, so daß je nach Wichtigkeit der betreffenden Zustandsgröße bei Auftreten eines Fehlers in einem zugehörigen Ermittlungskanal die Regelung nicht unbedingt vollständig deaktiviert zu werden braucht, sondern abgestimmt auf die Art des oder der Fehler mit einer niedrigeren Regelgütestufe oder eventuell sogar mit gleichbleibender Regelgütestufe fortgesetzt werden kann. Durch die Verwendung eines jeweiligen analytischen Kanals anstelle eines dritten parallelen physikalischen Kanals wird der Realisierungsaufwand bei gegebener Funktionalität gering gehalten.

In einer Weiterbildung der Erfindung nach Anspruch 2 wird eine der Zustandsgrößen lediglich über einen analytischen Kanal als Schätzung ermittelt, wobei die Fehlererkennungs- und -isolationslogikeinheit so eingerichtet ist, daß sie erkennt, wenn der analytische Kanal aufgrund eines oder mehrerer erkannter Fehler in der Ermittlung seiner Eingangsgrößen keine ausreichend zuverlässige Schätzung mehr durchzuführen vermag, wonach sie über den Fehlerbehandlungseinheit eine Unterdrückung dieser geschätzten Zustandsgröße veranlaßt.

In einer Weiterbildung der Erfindung nach Anspruch 3 ist die Fehlererkennungs- und -isolationslogikeinheit so ausgelegt, daß sie zu erkennen vermag, wenn aufgrund erkannter Fehler in den Zustandsgrößenermittlungskanälen die noch vorhandene Zustandsgrößeninformation nicht mehr zur Durchführung einer zuverlässigen Regelung des physikalischen Systems ausreicht, woraufhin sie den Regelungseinfluß auf das physikalische System unterbricht.

In Anspruch 4 sind vorteilhafte Beobachterkonzepte für die Fehlererkennungs- und -isolationslogikeinheit angegeben.

Anspruch 5 charakterisiert eine komfortable und mit relativ geringem Aufwand realisierbare Fahrdynamikregeleinrichtung, bei der die wichtigen Zustandsgrößen fehlertolerant jeweils einschließlich eines analytischen Kanals mehrkanalig ermittelt werden und die Regelung abgestimmt auf eventuelle Fehler bei der Zustandsgrößenermittlung hinsichtlich der Regelgüte mehrstufig erfolgt .

Eine bevorzugte Ausführungsform der Erfindung ist in den Zeichnungen dargestellt und wird nachfolgend beschrieben. Hierbei zeigen:
1 ein schematisches Blockschaltbild einer fehlertoleranten Fahrdynamikregeleinrichtung eines Kraftfahrzeugs,
2 eine schematische Funktionsstrukturdarstellung von Teilfunktionen einer in 1 verwendeten Zustandsgrößenermittlungseinheit und
3 eine schematische Blockdarstellung einer für die Einrichtung von 1 geeigneten, dreikanalig redundanten Gierwinkelgeschwindigkeitsermittlung.
Ausgangspunkt für die Verwendung einer fehlertoleranten Fahrdynamikregeleinrichtung, wie in 1 dargestellt, ist die Tatsache, daß in ein solches, die Fahrdynamik des Kraftfahrzeugs regelndes System diverse sensorielle Eingangsgrößen einfließen, die unmittelbar über wenigstens einen physikalischen Kanal gemessen und/oder über einen analytischen Kanal, beispielsweise unter Verwendung eines Beobachterkonzepts, geschätzt werden, wie in den eingangs erwähnten Druckschriften beschrieben. Treten Fehler oder Ausfälle innerhalb der verwendeten Sensoren auf, so beeinflussen diese sowohl den Beobachter, wodurch Schätzfehler entstehen, als auch den Fahrdynamikregler mit gegebenenfalls unerwünschten Folgen. Aus diesem Grund ist man bestrebt, Fehler vor allem innerhalb der Sensorik, grundsätzlich jedoch auch innerhalb der Aktuatorik und der verwendeten Rechnerhardware zu einem möglichst frühen Zeitpunkt zu detektieren und derart zu behandeln, daß der Beobachter bzw. die Regelung fehlerfrei funktionieren.
Mit dem in 1 gezeigten System lassen sich beliebige Einfach- und auch teilweise Mehrfachfehler innerhalb der für die Fahrdynamikregelung erforderlichen bzw. vorhandenen Sensorik unter Bereitstellung von Fehlertoleranz jedenfalls für die besonders sicherheitskritischen Zustandsgrößen erkennen, isolieren und behandeln. Unter Isolierung ist hierbei nach Auftreten eines Fehlers die Fähigkeit zur Identifizierung des fehlerbehafteten Zustandsgrößenermittlungskanals zu verstehen. Zu diesem Zweck beinhaltet die Fahrdynamikregeleinrichtung von 1, durch die das Fahrzeug (1) von einer Regel- und/oder Steuereinheit (2), die als Fahrdynamikregler (2) ausgebildet ist und nachfolgend so bezeichnet wird, in seiner Fahrdynamik geregelt wird, eine speziell ausgelegte Zustandsgrößenermittlungseinheit (3), die neben der üblichen Sensorik (4) um eine Fehlererkennungs- und – isolationslogikeinheit (5) und eine Fehlerbehandlungseinheit (6), z.B. in Form eines Filters, erweitert ist. Die Fehlerbehandlungseinheit (6) ist als Fehlerbehandlungsfilter (6) ausgeführt und wird nachfolgend so bezeichnet. Gegenüber einem herkömmlichen Beobachterkonzept, bei dem innerhalb einer Fahrdynamikregelung ein Beobachter zur Zustandsgrößenschätzung, z.B. zur Schätzung des Schwimmwinkels, eingesetzt wird, ist beim vorliegenden System der Beobachter zum Fehlerbehandlungsfilter (6) mit der vorgeschalteten Fehlererkennungs- und -isolationslogikeinheit (5) erweitert.
Wie aus 1 zu erkennen, werden die von der Sensorik (4) erfaßten Zustandsgrößenwerte (z) der Fehlererkennungs- und -isolationslogikeinheit (5) und dem Fehlerbehandlungsfilter (6) parallel zugeführt. Dabei werden diejenigen Zustandsgrößen, für die Fehlertoleranz gefordert wird, über zwei parallele Sensoren, d.h. über zwei physikalische Kanäle, redundant erfaßt. Im Fehlerfall, der durch die Fehlererkennungs- und -isolationslogikeinheit (5) detektiert wird, kann dadurch der als fehlerhaft identifizierte physikalische Kanal im Fehlerbehandlungsfilter (6) weggeschaltet werden, ohne daß die Beobachtbarkeit der relevanten Schätzgrößen beeinträchtigt wird. Das Fehlerbehandlungsfilter (6) leitet somit die aus Messungen gewonnenen Zustandsgrößenwerte (z*) unmittelbar an den Fahrdynamikregler (2) weiter und sorgt darüber hinaus für die Bereitstellung nicht gemessener, geschätzter Zustandsgrößenwerte (x), wie sie mittels eines Beobachters gewonnen werden, als weitere Eingangsgrößen für den Fahrdynamikregler (2). Die Wegschaltung des fehlerbehafteten physikalischen Kanals durch das Fehlerbehandlungsfilter (6) wird über eine Steuerleitung (5a) von der Fehlererkennungs- und -iso lationslogikeinheit (5) ausgelöst, die gleichzeitig die Nichtberücksichtigung dieses fehlerhaften Kanals in ihrer Beobachtereinheit vornehmen kann. Für die Realisierung des Beobachterkonzepts in der Fehlerkennungs- und -isolationslogik (5) und dem Fehlerbehandlungsfilter (6) ist des weiteren das Ausgangssignal (u) des Fahrdynamikreglers (2) zu diesen beiden Einheiten (5, 6) rückgeführt.
Des weiteren ist die Fehlererkennungs- und -isolationslogikeinheit (5) so ausgelegt, daß sie neben der Erkennung und Isolation von Fehlern festzustellen vermag, ob das Fehlerbehandlungsfilter (6) mit den jeweils verbliebenen, nicht fehlerbehafteten physikalischen Kanälen in der Lage ist, die für den Fahrdynamikregler (2) benötigten Schätzgrößenwerte (x) noch hinreichend gut zu schätzen. Ist dies nicht der Fall und somit die Beobachtbarkeit als Folge einer gegenüber der Grundkonfiguration zu stark verringerten Anzahl funktionstüchtiger Sensorkanäle nicht länger gewährleistet, wird das Fehlerbehandlungsfilter (6) insgesamt durch die Fehlererkennungs- und -isolationslogikeinheit (5) weggeschaltet und die Regelung so umkonfiguriert, daß sie ohne die Schätzgrößen (x) noch funktioniert, soweit dies möglich ist. Dazu ist der Fahrdynamikregler (2) zum Betrieb in unterschiedlichen Regelgütestufen ausgelegt und kann über eine zugehörige Steuerleitung (5b) von der Fehlererkennungs- und -isolationslogikeinheit (5) so angesteuert werden, daß er jeweils auf der momentan noch maximal möglichen Regelgütestufe arbeitet, worauf weiter unten detaillierter eingegangen wird. Die Fehlererkennungs- und -isolationslogikeinheit (5) überwacht außerdem, ob die dem Fahrdynamikregler (2) nach Auftreten von Fehlern noch vom Fehlerbehandlungsfilter (6) zugeführten gemessenen und/oder geschätzten Zustandsgrößenwerte (z*, x) noch zur Durchführung einer ausreichend zuverlässigen und sicheren Fahrdynamikregelung ausreichen. wenn dies nicht mehr der Fall ist, deaktiviert die Fehlerkennungs- und -isolationslogikeinheit (5) den Fahrdynamikregler (2) insgesamt oder jedenfalls hinsichtlich der Weiterleitung seines Reglerausgangssignals (u).
In 2 ist schematisch die Funktionsweise des Schwimmwinkelbeobachters vereinfacht veranschaulicht. Die Sensorik umfaßt eine Lenkradwinkelsensorik (7), eine Längsbeschleunigungssensorik (8), eine Querbeschleunigungssensorik (9, 10), eine Gierwinkel geschwindigkeitssensorik (11) und eine Raddrehzahlsensorik (12). Dabei ist die Lenkradwinkelsensorik (7) mittels eines sich selbst prüfenden Sensors und eines weiteren Sensors physikalisch zweikanalig fehlertolerant gestaltet. Die Längsbeschleunigungssensorik (8) ist physikalisch einkanalig implementiert und wird lediglich zur Schwimmwinkelschätzung benötigt. Die Querbeschleunigungssensorik beinhaltet einen vorderen Querbeschleunigungssensor (9) und einen hinteren Querbeschleunigungssensor (10), mit deren Ausgangssignale zum einen in einer nachgeschalteten Einheit (13) die Schwerpunktsquerbeschleunigung (a_ys) und zum anderen in einer weiteren nachgeschalteten Einheit (15) die Gierwinkelbeschleunigung (ψ) ermittelt werden. Die Gierwinkelgeschwindigkeitsensorik (11) beinhaltet zwei voneinander unabhängige Gierwinkelgeschwindigkeitsensoren. Das Gierwinkelgeschwindigkeitssignal wird hierbei zu einer Einheit (14) zur Bestimmung der Gierwinkelbeschleunigung abgezweigt, wonach eine nachgeschaltete Vergleichseinheit (16) aus diesem Beschleunigungswert und dem über die Querbeschleunigungssensorik (9, 10, 15) erhaltenen Beschleunigungswert die endgültige Gierwinkelbeschleunigung (ψ) bestimmt. Die Raddrehzahlsensorik (12) beinhaltet jeweils einen induktiven oder Hall-Sensor an allen vier Fahrzeugrädern, wie für Antiblockiersysteme gebräuchlich. Diese physikalisch vierkanalige Struktur ermöglicht eine Plausibilitätsprüfung sowie Fehlerlokalisation und -behandlung, die vier Kanäle besitzen jedoch unterschiedliche Aussagequalitäten, da die stark schlupfbehaftete Raddrehzahlinformation von den Antriebsrädern nicht permanent für die Regelung geeignet ist, so daß es sich bezüglich der Regelung um eine 1-von-2-Struktur bezüglich der beiden nicht angetriebenen Räder handelt. Eine nachgeschaltete Einheit (17) wandelt die Raddrehzahlinformation in eine Längsgeschwindigkeitsinformation um. Bei Funktion des Schwimmwinkelbeobachters wird jedoch dessen Schätzwert der Längsgeschwindigkeit an die Fahrdynamikregelung weitergeleitet.
Neben diesen auf Messungen gestützten Zustandsgrößen werden als weitere Zustandsgrößen der Lenkwinkel am Rad und der Schwimmwinkel verwendet, wobei der Lenkwinkel am Rad über eine Lenkwinkel motorausgangsgröße bestimmt wird, während der Schwimmwinkel (β) als die in 1 gezeigte Schätzgröße (x) vom Beobachter im Fehlerbehandlungsfilter (6) geschätzt wird. Dazu beinhaltet das Fehlerbehandlungsfilter (6) einen Systemmodellteil (17), einen Beobachtungsmodellteil (18) und ein nachgeschaltetes Kalman-Filter als Schwimmwinkelbeobachter (19), wobei aus 2 hervorgeht, welche Eingangsgrößen in jede der drei Komponenten einfließen. Neben dieser Schätzungsfunktion leitet das Fehlerbehandlungsfilter (6) die aus fehlerfreien physikalischen Kanälen ermittelten Zustandsgrößen an den Fahrdynamikregler (2) weiter, der daraus als fahrdynamikregelndes Ausgangssignal den Lenkwinkelsollwert (δ_s) erzeugt. Die weitergeleiteten Zustandsgrößen sind der Lenkradwinkel (δ_L), die Längsgeschwindigkeit (v_x), die Gierwinkelgeschwindigkeit (ψ), die Gierwinkelbeschleunigung (ψ), die Schwerpunktsquerbeschleunigung (a_ys) und der Schwimmwinkel (β).
Des weiteren sind diese gemäß 2 über physikalische Kanäle erfaßten Zustandsgrößen der Fehlererkennungs- und -isolationslogikeinheit (5) zugeführt, die mittels zusätzlicher Bereitstellung analytischer Kanäle nicht nur eine Fehlererkennung, sondern jedenfalls für einen Teil der Zustandsgrößen auch eine Fehlerisolation und Fehlerbehandlung leistet. Eine Möglichkeit der Realisierung eines analytischen Kanals für eine über zwei physikalische Kanäle redundant gemessene Zustandsgröße besteht in der Bereitstellung einer funktionalen Redundanz, bei der physikalische Zusammenhänge zwischen der Information der beiden physikalischen Kanäle sowie zusätzlicher Information beispielsweise über andere Zustandsgrößen ausgenutzt werden. Ein solches Konzept ist in 3 schematisch und beispielhaft für die Ermittlung der Gierwinkelgeschwindigkeit (ψ) veranschaulicht. Über zwei Gierwinkelgeschwindigkeitsensoren (S₁, S₂) werden unabhängig voneinander zwei Gierwinkelgeschwindigkeits-Meßwerte (ψ_m1, ψ_m2) generiert und einem funktionalen Kanal (A) zugeführt, der daraus und/oder aus weiteren Zustandsgrößen einen analytischen Gierwinkelgeschwindigkeitswert (ψ_a) beispielsweise aufgrund eines bekannten mathematischen Zusammenhangs mit anderen Größen, wie den einzelnen Radgeschwindigkeiten, ermittelt. Gleichzeitig bestimmt der analytische Kanal (A) die jeweilige Abweichung zwischen dem analytischen Wert (ψ_a) und den gemessenen Werten (ψ_m1, ψ_m2) wodurch nicht nur ein eventueller Fehler erkannt, sondern zudem der verursachende Kanal aufgefunden werden kann. Durch Wegschalten des betreffenden Kanals läßt sich daraufhin dieser Fehler behandeln, und als Ausgangssignal wird ein mit hoher Sicherheit korrektes Zustandsgrößensignal erhalten, das mindestens auf einem oder meistens zwei fehlerfreien Kanälen basiert. Diese Art der Datenfusion, d.h. der Gewichtung der zur Verfügung stehenden Sensorinformationen entsprechend ihrer Zuverlässigkeiten und spezifiziert durch ihre stochastischen Eigenschaften, ermöglicht eine Erhöhung der Meßgenauigkeit. Das Vorsehen eines analytischen Kanals anstelle eines dritten physikalischen Kanals bedeutet zudem eine Einsparung eines Sensors nebst dessen Energieversorgung und Verkabelung, d.h. eine Einsparung an Platzbedarf, Kosten und Gewicht. Zudem wird keine separate Voting-Logik benötigt.
Alternativ zu einem funktionalen Kanal kann der analytische Kanal durch Verwendung eines Beobachterkonzepts bereitgestellt werden, was insbesondere dann zweckmäßig ist, wenn einfache funktionale Zusammenhänge zwischen Zustandsgrößen fehlen. Im vorliegenden Fall ist die Verwendung von Beobachtern ebenfalls zu bevorzugen, da das Fahrverhalten eines Kraftfahrzeugs im fahrdynamischen Grenzbereich sehr komplex ist und gerade hier die volle Leistungsfähigkeit der Fahrdynamikregelung gewünscht wird. Neben der Verwendung einer einzigen Beobachtereinheit zur Überwachung sämtlicher sicherheitsrelevanter Sensoren bzw. Komponenten ist die Verwendung von Beobachterbänken möglich, bei denen für jeden zu überwachenden Kanal eine Beobachtereinheit vorgesehen ist. Dabei kann es für weniger komplexe Modelle ausreichen, in jede Beobachtereinheit nur einen Sensor einfließen zu lassen, während eine mit höherem Berechnungsaufwand verbundene Methode darin besteht, jeden Beobachter mit einem unterschiedlichen Satz von Eingangsgrößen zu speisen, wodurch die Beobachterbank sehr robust gegenüber Modellierungsfehlern wird.
Beispielsweise kann für eine physikalisch zweikanalig erfaßte Querbeschleunigung jedem physikalischen Kanal eine Beobachtereinheit zugeordnet sein, wobei in jede Beobachtereinheit alle Zustandsgrößeninformationen einfließen mit Ausnahme der von der jeweils anderen Beobachtereinheit zu schätzenden Ausgangsgröße. Einer dritten Beobachtereinheit als Referenz können alle Zustandsgrößeninformationen zugeführt sein. Eine Korrelation der Ausgangssignale der den beiden physikalischen Kanälen zugeordneten Beobachtereinheiten ermöglicht eine Fehlererkennung, während eine jeweilige Korrelation jeder dieser beiden Beobachtereinheiten mit der Referenz-Beobachtereinheit nebst anschließendem Vergleich der Korrelationsergebnisse die Lokalisierung eines aufgetretenen Fehlers im einen oder anderen physikalischen Kanal der Querbeschleunigungsermittlung ermöglicht. Für weitere Details von Beobachterkonzepten kann auf die eingangs genannten Druckschriften und die dort zitierte Literatur verwiesen werden.
Die Fähigkeit der solchermaßen ausgelegten Zustandsgrößenermittelungseinheit (3) zur Erkennung, Isolation und Behandlung von Fehlern wird vorliegend dazu ausgenutzt, die Fahrdynamikregelung mit abgestufter Regelgüte je nachdem, ob und wenn ja welche Fehler aufgetreten sind, zu betreiben. Dazu ist der Fahrdynamikregler (2) für einen Betrieb in mehreren Regelgütestufen ausgelegt, wozu er einen geeigneten modularen Aufbau besitzt, so daß jedes Reglermodul eine Fahrdynamikregelung mit einer zugehörigen Regelgüte erlaubt. Über eine Steuerleitung (5b) aktiviert die Fehlererkennungs- und -isolationslogikeinheit (5) jeweils dasjenige Modul des Fahrdynamikreglers (2), mit dem die Fahrdynamikregelung in der situationsabhängig je nach aufgetretenen Fehlern noch maximal möglichen Regelgüte durchgeführt wird. Im einzelnen ergibt sich hierzu folgendes.
Bei Fehlerfreiheit des Systems liegen die Größen Lenkradwinkel (δ_L), Längsgeschwindigkeit (v_x), Gierwinkelgeschwindigkeit (ψ) und Querbeschleunigung (a_y) fehlertolerant in dem Sinne vor, daß über physikalische Kanäle und analytische Kanäle Fehler zuverlässig von der Fehlererkennungs- und -isolationslogikeinheit (5) erkannt, lokalisiert und behandelt werden können, so daß die Information über die betreffende Zustandsgröße auch nach Auftreten eines Fehlers erhalten bleibt. Nach einer Fehlerbehandlung degeneriert die zugehörige Zustandsgröße meist zur Fehlersicherheit, was bedeutet, daß ein weiterer, sich auf diese Zustandsgröße beziehender Fehler innerhalb der Sensorik (4) zwar noch erkannt, jedoch nicht mehr zuverlässig auf einen Kanal lokalisiert werden kann. Die betreffende Zustandsgrößeninformation wird dann von der Fehlererkennungs- und -isolationslogikeinheit (5) für die Fahrdynamikregelung verworfen, was zu einer Abnahme der Regelgüte, jedoch nicht zwangsläufig zum Ausfall der gesamten Fahrdynamikregelung führt. Die Längsbeschleunigung (a_x), die nur zur Schwimmwinkelschätzung verwendet wird, liegt hingegen physikalisch lediglich einkanalig vor. Bei Auftreten von Fehlern ergibt sich damit folgendes Reglerverhalten.
Bei Auftreten eines Fehlers im Längsbeschleunigungskanal wird der Regler von seiner höchsten Regelgüte "4" auf die nächst niedrige Regelgüte "3" zurückgenommen, in welcher die Fahrdynamikregelung unter Verzicht auf den Schwimmwinkelschätzwert erfolgt . Bei Auftreten eines ersten Fehlers in einer der vier anderen, fehlertolerant erfaßten Zustandsgrößen bleibt hingegen zunächst die bisherige Regelgüte erhalten, und die Ermittlung der betreffenden Zustandsgröße degeneriert durch das fehlerbehandelnde Wegschalten des fehlerbehafteten Kanals von zuvor fehlertolerant zu nunmehr nur noch fehlersicher. Tritt für die Querbeschleunigung (a_y) nach einem behandelten ersten Fehler ein zweiter Fehler auf, so wird der Fahrdynamikregler (2) auf die zweitniedrigste Regelgüte (2) zurückgenommen, in der die Fahrdynamikregelung eingeschränkt ohne die Querbeschleunigungsinformation weitergeführt wird. Hinsichtlich der Längsgeschwindigkeit (v_x) sind Mehrfachfehler wegen der vier vorhandenen Sensorkanäle, die allerdings, wie gesagt, nicht gleichwertig sind, trotz der Tatsache tolerabel, daß es sich hier um eine wichtige Zustandsgröße handelt. Nach Auftreten eines Doppelfehlers in der Längsgeschwindigkeitsermittlung wird der Fahrdynamikregler (2) auf die niedrigste Regelgütestufe "1" zurückgenommen, in welcher dann die Längsgeschwindigkeit zwar weniger gesichert, jedoch noch immer physikalisch zweikanalig vorliegt. Bei Auftreten noch eines dritten Fehlers bei der Längsgeschwindigkeitsermittlung liegt daher die Längsgeschwindigkeitsinformation immer noch einkanalig vor, so daß die Fahrdynamikregelung in dieser Regelgütestufe "1" weitergeführt werden kann. Im Gegensatz dazu ist hinsichtlich der Zustandsgrößen Lenkradwinkel (δ_L) und Gierwinkelgeschwindigkeit (ψ), bei denen es sich ebenfalls um sehr relevante Zustandsgrößen für die Fahrdynamikregelung handelt, bei Auftreten eines zweiten Fehlers nach vormaliger Behandlung eines ersten Fehlers eine Fortsetzung der Fahrdynamikregelung aus Sicherheitsgründen nicht mehr möglich, da die betreffende Zustandsgrößeninformation dann nicht mehr als gesichert betrachtet werden kann. In diesem Fall wird der Notbetrieb aktiviert. Im Notbetrieb ist es dem Fahrer möglich, das Fahrzeug in einen sicheren Zustand zu überführen, z.B. in den Fahrzeugstillstand.
Mit der beschriebenen Fahrdynamikregeleinrichtung wird somit für wenigstens einen Teil der Zustandsgrößen eine auf einer physikalisch zweikanaligen Struktur basierende Fehlertoleranz durch Erweiterung um einen analytischen Kanal gewonnen, der adaptiver Natur ist. In einem ersten Adaptionsgrad können unterschiedliche Strategien in Anpassung an das jeweilige Fahrdynamikszenario verfolgt werden, innerhalb der sich in einem zweiten Adaptionsgrad wiederum verschiedene Anpassungsmöglichkeiten unter Zunahme oder Abnahme der Komplexität dahingehend bieten, daß das jeweilige, in einem Beobachter oder allein für die abbildende Information verwendete Modell modifiziert wird. In einem dritten Adaptionsgrad kann bei vorgegebenem Modell eine Variation der im Beobachter, insbesondere einem Kalman-Filter, verwendeten Varianzen in Anlehnung an das jeweilige Fahrdynamikszenario vorgesehen werden. In einem vierten Adaptionsgrad werden innerhalb des Beobachters für die Fehlererkennung und -isolation verschiedene Größen überwacht, z.B. im Fall eines Kalmann-Filters Schätzwerte, Schätzwertfehler, Projektionen von Schätzwerten auf Meßwerte, Residuen, Komponenten der Kovarianzen des Prädiktions- und Filterschätzwertes oder die Kalman-Verstärkung. Mit den genann ten Adaptionen können zu Fehlalarmen führende Modellierungsfehler minimiert werden, so daß eine zuverlässige Erkennung und Isolation von Kleinstfehlern über den gesamten Fahrdynamikbereich erzielt wird. Als interessanter Zusatz besteht die Möglichkeit, für den in der Zustandsgrößenermittlungseinheit verwendeten Beobachter nicht die Minimierung des Schätzwertfehlers, sondern eine andere Aufgabe in den Vordergrund zu stellen, z.B. die Minimierung eines Residiums im fehlerfreien Fall bzw. die Bereitstellung einer hohen Empfindlichkeit gegenüber Kleinstfehlern der relevanten Eingangsgrößen bei hoher Resistenz gegenüber Schätzwertfehlern. Im Gegensatz zu herkömmlichen Systemen mit Fehlerlokalisation im Automobil, bei denen lediglich Fehler detektiert werden, die ein Verlassen des Sensormeßbereichs bewirken, lassen sich mit der vorliegenden Einrichtung Kleinstfehler zuverlässig erkennen, lokalisieren und behandeln und Modellierungsfehler weitestgehend unterdrücken. Es versteht sich, daß erfindungsgemäße Fehlererkennungs, -isolations und -behandlungseinrichtungen der vorstehend beschriebenen Art nicht auf Fahrdynamikregelungen beschränkt sind, sondern sich auch für einen Einsatz in anderen Systemen eignen, für die eine fehlertolerante Auslegung gewünscht wird.

Claims

Fehlertolerante Steuerungseinrichtung für ein physikalisches System, insbesondere Fahrdynamikregeleinrichtung für ein Kraftfahrzeug, mit a) einer in Abhängigkeit von zugeführten Zustandsgrößenwerten (z*, x) arbeitenden Regel- und/oder Steuereinheit (2) und b) einer Zustandsgrößenermittlungseinheit (3) zur Ermittlung der der Regel- und/oder Steuereinheit (2) zuzuführenden Zustandsgrößenwerte (z*, x), wozu die jeweilige Zustandsgröße über einen oder zwei zugehörige, parallele physikalische Kanäle gemessen und/oder über einen zugehörigen analytischen Kanal geschätzt wird, dadurch gekennzeichnet, daß c) die Zustandsgrößenermittlungseinheit (3) eine Fehlerbehandlungseinheit (6), die steuerbar die Zuführung eines jeweiligen Zustandsgrößenwertes (z*, x) zur Regel- und/oder Steuereinheit (2) freigibt oder blockiert, und eine Fehlererkennungs- und -isolationslogikeinheit (5) aufweist, welche auftretende Fehler erkennt und für wenigstens eine über zwei parallele physikalische Kanäle und einen analytischen Kanal redundant ermittelte Zustandsgröße den zu einem erkannten Fehler gehörigen Kanal mittels einer funktionale Redundanz erzeugenden Einheit oder einer Beobachtereinheit des analytischen Kanals identifiziert und welche die Fehlerbehandlungseinheit (6) zur Blockierung des zum erkannten Fehler gehörigen Kanals ansteuert, und d) die Regel- und/oder Steuereinheit (2) zum Betrieb in unterschiedlichen Regelgütestufen abhängig davon, welche der Kanäle der Zustandsgrößenermittlungseinheit (3) als fehlerfrei er kannt sind, ausgelegt ist, wobei sie von der Zustandsgrößenermittlungseinheit (3) jeweils zum Betrieb in derjenigen Regelgütestufe veranlaßt wird, die in Abhängigkeit von den momentan als fehlerfrei erkannten Kanälen noch maximal möglich ist.
Steuerungseinrichtung nach Anspruch 1, weiter dadurch gekennzeichnet, daß eine der Zustandsgrößen nur einkanalig über einen analytischen Kanal ermittelt wird und die Fehlererkennungs- und -isolationslogikeinheit (5) eine fehlerhafte Schätzung aufgrund eines oder mehrerer fehlerbehafteter Kanäle für die Ermittlung der Eingangsgrößen dieses analytischen Kanals erkennt und daraufhin die Fehlerbehandlungseinheit (6) zur Blockierung der Weiterleitung des Ausgangssignals dieses analytischen Kanals zur Regel- und/oder Steuereinheit (2) ansteuert.
Steuerungseinrichtung nach Anspruch 1 oder 2, weiter dadurch gekennzeichnet, daß die Fehlererkennungs- und -isolationslogikeinheit (5) eine aufgrund des Vorliegens eines oder mehrerer fehlerbehafteter Zustandsgrößenermittlungskanäle fehlerbehaftete Regelung durch die Regel- und/oder Steuereinheit (2) erkennt und daraufhin die Beeinflussung des physikalischen Systems durch das Ausgangssignal der Regel- und/oder Steuereinheit (2) unterbindet.
Steuerungseinrichtung nach einem der Ansprüche 1 bis 3, weiter dadurch gekennzeichnet, daß die Zustandsgrößenermittlungseinheit (3) eine gemeinsame Beobachtereinheit zur Überwachung mehrerer physikalischer Kanäle oder eine Beobachterbank mit jeweils einer Beobachtereinheit zur Überwachung eines jeweils zugeordneten physikalischen Kanals beinhaltet.
Steuerungseinrichtung nach einem der Ansprüche 1 bis 4, weiter dadurch gekennzeichnet, daß sie eine Fahrdynamikregeleinrichtung für ein Kraftfahrzeug ist, wobei der Lenkradwinkel (δ_L), die Gierwinkelgeschwindigkeit (ψ), die Querbeschleunigung (a_y) und die Längsgeschwindigkeit (v_x) als über jeweils wenigstens zwei physikalische Kanäle und einen analytischen Kanal redundant ermittelte Zustandsgrößen und der Schwimmwinkel als wenigstens über einen analytischen Kanal geschätzte Zustandsgröße herangezogen werden.
Steuerungseinrichtung nach Anspruch 1, weiter dadurch gekennzeichnet, daß die Regel- und/oder Steuereinheit (2) als Fahrdynamikregler ausgebildet ist.
Steuerungseinrichtung nach Anspruch 1, weiter dadurch gekennzeichnet, daß dass die Fehlerbehandlungseinheit (6) als Fehlerbehandlungsfilter ausgebildet ist.