DE19937159A1 - Elektrisch gesteuertes Bremssystem - Google Patents

Abstract

Elektrisch gesteuertes Bremssystem, mit wenigstens zwei Steuermodulen (RPM1, RPM2), die jeweils über einen oder mehrere elektrisch angesteuerte Aktuatoren (A1, A2) eine Gruppe von wenigstens zwei Radbremsen betätigen. Jedem dieser Steuermodule werden wenigstens zwei durch wenigstens zwei Meßeinrichtungen erfaßte Größen, die die Betätigung des Bremspedals durch den Fahrer repräsentieren, zugeführt.

Description

Stand der Technik

Die Erfindung betrifft ein elektrisch gesteuertes Bremssy­ stem. Bei derartigen Bremssystemen, die in der Regel nicht mit einem mechanischen, hydraulischen oder pneumatischen Backup-System ausgestattet sind, ist besonderes Augenmerk auf die Verfügbarkeit des Steuersystems, auch im Fehlerfall, zu legen.

Ein Beispiel für ein solches elektrisch gesteuer­ tes Bremssystem, welches die gestellten Forderungen zufrie­ denstellend erfüllt, ist aus der DE 196 34 567 A1 (GB-2 316 726 B) bekannt. Dieses bekannte elektrisch gesteu­ erte Bremssystem für ein Kraftfahrzeug (Brake-by-wire) ist dezentral aufgebaut und besitzt ein Steuermodul zur Ermitt­ lung des Fahrerbremswunsches und Steuermodule zur Einstel­ lung der Bremskraft an den einzelnen Fahrzeugrädern, wobei in einem bevorzugten Ausführungsbeispiel ein solches Steuer­ modul eine Gruppe von Radbremsen (achsweise oder diagonal zusammengefaßt) betätigt. Zur Verbindung des den Fahrer­ wunsch ermittelnden Steuermoduls mit den Steuermodule zur Bremskrafteinstellung ist wenigstens ein Kommunikationssy­ stem vorgesehen, auf welchem die einzelnen Steuermodulen un­ tereinander Daten austauschen. Um eine zumindest teilweise Funktionsfähigkeit des Bremssystems im Fehlerfall sicherzu­ stellen, sind weitere, unabhängige Kommunikationsverbindun­ gen zwischen dem Steuermodul zur Fahrerwunscherfassung und den Steuermodulen zur Bremskrafteinstellung vorgesehen. Dem Steuermodul zur Erfassung des Fahrerwunsches werden die Si­ gnale mehrerer (zwei oder drei) Sensoren zugeführt, die die Betätigung des Bremspedals durch den Fahrer erfassen. Im Steuermodul werden diese Sensorsignalwerte durch wenigstens zwei voneinander unabhängige Rechnereinheiten auf Korrekt­ heit überprüft und jeweils ein Fahrerbremswunschwert ermit­ telt, der dann vom jeweilig anderen Rechnerelement auf Kor­ rektheit überprüft wird. Der resultierende, fehlerfreie Fah­ rerwunschwert wird dann, ggf. abhängig von weiteren Größen wie Achslast oder weiteren Funktionen wie einer Fahrdyna­ mikregelung achs- oder radindividuell korrigiert, über das Kommunikationssystem den einzelnen Steuermodulen zur Brems­ krafteinstellung übermittelt.

Das bekannte elektrisch gesteuerte Bremssystem weist infolge der getrennten Module, die jeweils mit wenigstens zwei Rech­ nereinheiten ausgestattet sind, einen verhältnismäßig hohen Aufwand auf. Es ist Aufgabe der Erfindung, Maßnahmen anzuge­ ben, mit deren Hilfe bei einem elektrisch gesteuerten Brems­ system der Aufwand reduziert werden kann, ohne die Verfüg­ barkeit und Funktionsfähigkeit des Bremssystems zu gefähr­ den.

Dies wird durch die kennzeichnenden Merkmale der unabhängi­ gen Patentansprüche erreicht.

Aus der nicht vorveröffentlichten deutschen Patentanmeldung 198 26 131.4 ist bekannt, Steuermodule als sogenannte fail- operational-Einheiten auszubilden, die bei einem Einzelfeh­ ler weiterhin funktionsfähig sind. Solche Steuermodule sind fehlertolerant aufgebaut, z. B. durch eine Realisierung mit­ tels eines redundanten Mikrorechnersystems bestehend aus we­ nigstens zwei Mikrorechnern und einer Überwachungskomponen­ te. Die Mikrorechner sowie die Überwachungskomponente kommu­ nizieren über den internen Kommunikationskanal, der z. B. durch ein serielles Bussystem oder mit seriellen Schnitt­ stellen realisiert ist. Innerhalb der Mikrorechnersysteme sind zur Durchführung der Steuerungsaufgaben wenigstens zwei unabhängige Programme implementiert, die ihre Ergebnisse ge­ genseitig überprüfen. Auf diese Weise bleibt im Einzelfehler das Modul voll funktionsfähig.

Vorteile der Erfindung

Durch die direkte Zuführung von wenigstens zwei Betätigungs­ signalen an Steuermodule, die jeweils wenigstens zwei, aus­ gewählte Radbremsen steuern, wird das Steuermodul zur Er­ mittlung des Fahrerwunsches eingespart und so der Aufwand für ein elektrisch gesteuertes Bremssystem erheblich redu­ ziert.

Der gegenseitige Austausch der Betätigungssignale zwischen den Steuermodulen (Radpaarmodulen) über ein diese Einheiten verbindendes Kommunikationssystem und die getrennte Plausi­ bilitätsüberprüfung der Betätigungssignale in jedem Radpaar­ modul gewährleistet die Verfügbarkeit der Fahrerwunscherfas­ sung auch bei Ausfall eines Sensors zur Erfassung eines Be­ tätigungssignals.

Besonders vorteilhaft ist, daß die Radpaarmodule derart aus­ gestaltet sind, daß sie auch ohne gegenseitigen Datenaus­ tausch voll funktionsfähig sind. Dies wird dadurch gewähr­ leistet, daß jedes Radpaarmodul wenigstens zwei Betätigungs­ signale einliest, so daß in jedem Radpaarmodul ohne gegen­ seitigen Datenaustausch eine auf mindestens zwei Betäti­ gungssignalen basierende Ermittlung des Fahrerwunsches mög­ lich ist. In vorteilhafter Weise ist daher auch bei einem fehlerhaften Sensorsignal ohne gegenseitigen Datenaustausch der Radpaarmodule eine bezüglich des gesamten Fahrzeugver­ haltens sichere Bremswunschauswahl möglich.

Von besonderem Vorteil ist, daß durch die oben skizzierte Vorgehensweise an das Kommunikationssystem zwischen den Radpaarmodulen bezüglich Sicherheit und Verfügbarkeit gerin­ gere Anforderungen zu stellen sind, da die Funktionsfähig­ keit des Kommunikationssystems nicht unabdingbare Forderung für ein sicheres Gesamtfahrzeugverhalten ist.

Von besonderem Vorteil ist ferner, daß die Anzahl an Rech­ nereinheiten zur Steuerung des Bremssystems verringert ist, wobei in etwa gleiche Funktionalität wie bei bekannten Lö­ sungen erreicht wird.

Besonders vorteilhaft ist, daß das auf diese Weise gebildete elektrisch steuerbare Bremssystem in Verbindung mit allen elektrisch steuerbaren Bremsenaktuatoren einsetzbar ist, beispielsweise mit elektrohydraulischen Bremsaktuatoren, die für eine einzelne oder Gruppen von Radbremsen vorgesehen sind, elektropneumatische, elektromotorische oder elektroma­ gnetische Aktuatoren.

Besonders vorteilhaft ist es, die Radpaarmodule derart den Radbremsen zuzuordnen, daß die Vorderachse von einem ersten und die Hinterachse von einem zweiten Radpaarmodul gesteuert wird. In diesem Fall hat es sich als vorteilhaft erwiesen, das Modul der Vorderachse derart auszugestalten, daß es bei einem Einfachfehler weiterhin funktionsfähig ist (fail- operational-Einheit), während das Hinterachsmodul im Fehler­ fall abgeschaltet wird (fail-silent-Einheit). Dadurch wird der Aufwand für das elektrisch gesteuerten Bremssystems bei Aufrechterhaltung der notwendigen Verfügbarkeit weiter ver­ ringert.

Weitere Vorteile ergeben sich aus der nachfolgenden Be­ schreibung von Ausführungsbeispielen bzw. aus den abhängigen Patentansprüchen.

Zeichnung

Die Erfindung wird nachstehend anhand der in der Zeichnung dargestellten Ausführungsformen näher erläutert. Fig. 1 zeigt dabei ein erstes Ausführungsbeispiel eines elektrisch gesteuerten Bremssystems, während in den Fig. 2 und 3 Va­ rianten des in Fig. 1 beschriebenen Bremssystems darge­ stellt sind.

Beschreibung von Ausführungsbeispielen

Nachfolgend beschrieben werden verschiedene Ausführungsbei­ spiele einer Systemstruktur für ein Brake-by-wire-System mit elektrisch angesteuerten Aktuatoren. Dabei sind für ein zweiachsiges, vierrädriges Kraftfahrzeug zwei Steuermodule (im folgenden Radpaarmodule) vorgesehen, die jeweils über einen elektrohydraulischen oder mehrere elektrohydraulische, elektropneumatische, elektromotorische oder elektromagneti­ sche Aktuatoren eine Gruppe von wenigstens zwei Radbremsen ansteuern. Zur Fahrerwunscherfassung sind mindestens drei Sensoren (jeweils S1 bis SN) am Bremspedal vorgesehen, wobei jedes der Radpaarmodule (jeweils RPM1, RPM2 bzw. AMVA, AMHA) die Signale von wenigstens zwei Sensoren einliest. Über ein Kommunikationssystem, welches die beiden Radpaarmodule und ggf. weitere elektronische Module miteinander verbindet, tauschen die beiden Radpaarmodule die eingelesenen Sensor­ werte gegenseitig aus. Somit liegen in jedem der Radpaarmo­ dule mindestens drei Betätigungssignale des Bremspedals vor, so daß in jedem der Radpaarmodule eine sichere Ermittlung des Fahrerwunsches ermöglicht wird. Auf der Basis des Fah­ rerwunsches werden dann Stellgrößen zur Ansteuerung der Ak­ tuatoren gebildet.

Fig. 1 zeigt ein bevorzugtes erstes Ausführungsbeispiel ei­ nes elektrisch gesteuerten Bremssystems. Es werden wenig­ stens zwei Steuermodule (Radpaarmodule RPM1, RPM2) darge­ stellt, welche jeweils über Leitungen L1 bis LN Betätigungs­ signale eines Bremspedals BP von mindestens zwei Sensoren S1 bis SN zur Erfassung der Betätigung des Bremspedals BP er­ halten. Ein Beispiel für den Aufbau solcher Radpaarmodule mit wenigstens zwei Rechnerelementen ist im eingangs genann­ ten Stand der Technik dargestellt. Zur Erfassung der Größe der Betätigung des Bremspedals durch den Fahrer (Fahrer­ wunsch) sind wenigstens drei Sensoren S1 bis SN vorgesehen. Diese erfassen, ggf. auf unterschiedliche Art und Weise, das Ausmaß der Betätigung des Bremspedals durch den Fahrer und geben über die Leitung L1 bis LN an die jeweiligen Radpaar­ module Betätigungssignale des Bremspedals ab. Dabei werden jedem Radpaarmodul wenigstens zwei Leitungen und somit we­ nigstens zwei Betätigungsgrößen zugeführt, wobei bei der Verwendung von drei Sensoren eine Betätigungsgröße sowohl der ersten als auch der zweiten Radpaareinheit zugeführt wird. Die Radpaarmodule RPM1 und RPM2 werden von verschiede­ nen Energiespeichern entweder direkt oder über ein elektri­ sches Bordnetz, welches die Energie aus wenigstens zwei un­ abhängigen Energiespeichern übertragen kann, mit Spannung versorgt. Allgemein formuliert werden im bevorzugten Ausfüh­ rungsbeispiel bei N Sensoren jedem Radpaarmodul N/2 von ver­ schiedenen Sensoren stammende Signale zugeführt, wobei ein Sensorsignal beiden Einheiten zugeführt werden kann.

Zur Einstellung bzw. Regelung der Bremskraft an der dem je­ weiligen Radpaarmodul zugeordneten Gruppe von Fahrzeugrädern gibt ein Radpaarmodul Stellgrößen an einen elektrohydrauli­ schen oder mehrere elektrohydraulische, elektropneumatische, elektromotorische oder elektromagnetische Aktuatoren (A1, A2) aus. Die einem Radpaarmodul zugeordneten Radbremsen sind je nach Ausführungsbeispiel achsweise oder diagonal grup­ piert.

Zur Verbindung der Radpaarmodule ist ein Kommunikationssy­ stem K vorgesehen, welches zusätzlich zu den Leitungen L1 bis LN eingesetzt wird und über welches die an einem Radpaarmodul eingelesenen Betätigungssignale an das jeweili­ ge andere Radpaarmodul gesendet werden. Somit liegen in je­ dem Radpaarmodul Betätigungssignale von wenigstens drei Sen­ soren vor, so daß in jedem Radpaarmodul die Stellgrößen auf der Basis wenigstens einer zwei aus drei Auswahl der Betäti­ gungssignale gebildet werden können. Werden mehr als drei Sensoren eingesetzt, stehen dem jeweiligen Radpaarmodul ent­ sprechend mehr Betätigungssignale zur Auswahl zur Verfügung. Im Radpaarmodul wird also auf der Basis der zugeführten Be­ tätigungsgrößen eine resultierende Betätigungsgröße ermit­ telt, beispielsweise nach Maßgabe der im eingangs genannten Stand der Technik anhand des Pedalmoduls vorgeschlagenen Vorgehensweise, wobei die resultierende Betätigungsgröße als Fahrerwunsch ggf. unter Berücksichtigung von weiteren Be­ triebsgrößen wie Achslasten bzw. Zusatzfunktionen wie eine Fahrdynamikregelung, ggf. im Rahmen eines Bremskraft-, Bremsmomenten- oder Verstellwegeregelkreises Stellgrößen für die Aktuatoren gebildet werden, die dann an die Aktuatoren über die Ansteuerleitungen C1 bis CN übertragen werden.

Um sicherzustellen, daß die Fahrerwunschauswahl im jeweili­ gen Radpaarmodul auf den Betätigungssignalen des gleichen Meßzeitpunktes beruht, weist das Kommunikationssystem in ei­ nem bevorzugten Ausführungsbeispiel ein deterministisches Zeitverhalten aus (beispielsweise TTP/C-Bus). Die dazu benö­ tigte globale Systemzeit wird in vorteilhafter Weise zur Synchronisierung der lokalen Zeitsignale in den Radpaarmodu­ len verwendet.

Bei Ausfall des Kommunikationssystems K stehen an jedem Radpaarmodul nur die direkt eingelesenen Betätigungssignale zur Verfügung. Auch in diesem Fehlerfall muß eine einge­ schränkte Funktion des Gesamtbremssystems gewährleistet sein. Es muß also in jedem Radmodul ein für das Gesamtfahr­ zeugverhalten unkritischer Fahrerbremswunsch für die Brem­ senbetätigung ermittelt werden. Werden in jedem Radpaarmodul die Signale von wenigstens drei Sensoren eingelesen, so ste­ hen weiterhin eine ausreichende Anzahl von Betätigungsgrößen zur Verfügung. Somit ist in jedem Radpaarmodul bei Ausfall des Kommunikationssystems K wenigstens eine 2 aus 3 Auswahl möglich. Werden nur drei Sensoren eingesetzt, so wird zur Sicherstellung der Verfügbarkeit des Bremssystems in jedem Radmodul, vorzugsweise nur im Radmodul der Vorderachse die folgende Vorgehensweise durchgeführt. Es erfolgt zunächst ein Vergleich der beiden Betätigungssignale. Ist die Diffe­ renz D der beiden Betätigungssignale größer als ein Grenz­ wert DG, so wird bei achsweiser Gruppierung der einem Radpaarmodul zugeordneten Radbremsen für die Vorderachse ei­ ne Maximalwert-Auswahl und für die Hinterachse eine Minimal­ wert-Auswahl vorgenommen. Bei diagonaler Gruppierung der ei­ nem Radpaarmodul zugeordneten Radbremsen wird in jedem Radpaarmodul für das jeweilige Vorderrad eine Maximalwert- Auswahl und für das Hinterrad eine Minimalwert-Auswahl vor­ genommen. Im letzteren Fall erfolgt der Bremskraftaufbau in einer Ausführung vorzugsweise verzögert, d. h. mit geringerer Dynamik als im normalen Betriebszustand. Damit wird ein eventuell auftretendes Fahrzeuggiermoment durch unterschied­ liche Bremskräfte an den Rädern einer Achse langsam aufge­ baut und das Fahrzeug so für den Fahrer beherrschbar gehal­ ten. Somit kann eine fehlerhafte Betätigungssignalgröße nur eine überbremste Vorderachse oder eine unterbremste Hinter­ achse zur Folge haben. Das Fahrzeug kann aber immer zum Stillstand gebracht werden und erfüllt jederzeit das Stabi­ litätskriterium, daß die Hinterachsräder erst nach den Vor­ derachsrädern blockieren dürfen. Ist die Differenz der bei­ den Betätigungsgrößen kleiner als der Grenzwert, kann die Fahrerwunschbestimmung nach dem gleichen Prinzip oder auch durch Mittelwertbildung erfolgen.

Zur Sicherstellung der Verfügbarkeit sind die Radpaarmodule so aufzubauen, daß sie zumindest im internen Fehlerfall ein Verhalten aufweisen, welches das Auftreten eines Fehlers im Radpaarmodul sicher erkennt und das Radpaarmodul sich selbst abschaltet oder zumindest keine ungewünschten Außenwirkungen zeigt. Der Aufbau eines solchen Radpaarmoduls mit einem so­ genannten fail-silent-Verhalten ist aus dem eingangs genann­ ten Stand der Technik bekannt.

Fig. 2 zeigt ein zweites Ausführungsbeispiel eines elek­ trisch gesteuerten Bremssystems, wobei lediglich die Unter­ schiede zum Ausführungsbeispiel nach Fig. 1 im folgenden näher beschrieben werden. Insofern entsprechen die gleichen Bezugszeichen der Fig. 2 denselben Bauelementen mit densel­ ben Funktionen wie sie anhand Fig. 1 dargestellt sind. Zu­ sätzlich zu den Radpaarmodulen (RPM1, RPM2) weist das Brems­ system ein weiteres Steuermodul zur Verarbeitung übergeord­ neter Bremsfunktionen wie beispielsweise eine variable Bremskraftverteilung, ein Antiblockierregler, eine Fahrdyna­ mikregelung, einen Antriebsschlupfregler, etc. auf. Dieses Steuermodul (VM = Verarbeitungsmodul) kommuniziert mit den Radpaarmodulen über das bereits beschriebene Kommunikations­ system K. Das Verarbeitungsmodul VM weist zumindest ein fail-silent-Verhalten auf und kann neben der übergeordneten Bremsregelung auch Fehlererkennungsroutinen ausführen und somit die Funktionsfähigkeit der Radpaarmodule überwachen. Entsprechender Aufbau und Funktionsweise eines solchen Ver­ arbeitungsmoduls ist im eingangs genannten Stand der Technik dargestellt.

Nach der derzeit geltenden Norm ECE-R-13 sind für Fremd­ kraftbremsanlagen zwei unabhängige Energiespeicher gefor­ dert. Für Brake-by-wire-Systeme kann diese Forderung durch zwei vollständig unabhängige elektrische Energiekreise er­ füllt werden. Werden die Radpaarmodule direkt aus zwei unab­ hängigen elektrischen Energiespeichern versorgt, ist ein Einschaltsignal erforderlich, das von einer sogenannten Auf­ weckvorrichtung EI oder von einem bereits im Fahrzeug vor­ handenen Steuermodul generiert wird. Die Energieverteilung kann aber auch über ein elektrisches Bordnetz über Schalter aus wenigstens zwei unabhängigen Energiespeichern erfolgen.

In einem weiteren Ausführungsbeispiel, welches in Fig. 2 gestrichelt eingezeichnet ist, werden zur Erhöhung der Ver­ fügbarkeit der übergeordneten Bremsfunktionen zwei Verarbei­ tungsmodule (VM, VMR) vorgesehen. Im bevorzugten Ausfüh­ rungsbeispiel sind die beiden Verarbeitungsmodule identisch ausgeführt, zur Verringerung der benötigten Rechenleistung können bestimmte Teilfunktionen aber auch in nur einem der beiden Verarbeitungsmodule ausgeführt werden. Sind die bei­ den Verarbeitungsmodule als fail-silent-Einheiten ausge­ führt, so übernehmen sie die komplette Überwachungsfunktion für die Radpaarmodule, d. h. die Hardware-Überwachungskom­ ponenten der Radpaarmodule entfallen. In einer bevorzugten Ausführungsvariante überwacht jeweils ein Verarbeitungsmodul eines der Radpaarmodule mittels einer Frage-Antwort- Kommunikation, die vorzugsweise über das Kommunikationssy­ stem K erfolgt. Das Verarbeitungsmodul wählt eine Frage aus, die über das Kommunikationssystem K an das Radpaarmodul übermittelt wird. Dort wird eine Antwort beispielsweise durch ausgewählte Programme oder Programmschritte gebildet und an das Verarbeitungsmodul übertragen. Letzteres über­ prüft die Antwort mit Blick auf die zu erwartende Antwort und erkennt bei unzulässigen Abweichungen Fehler. Zusätzlich werden in den Verarbeitungsmodulen in einem Ausführungsbei­ spiel weitere charakteristische Größen der Bremsenregelung redundant berechnet. Ein als fehlerhaft erkanntes Radpaarmo­ dul oder zumindest die dem fehlerhaften Radpaarmodul zuge­ ordnete Aktorik kann von dem überwachenden Verarbeitungsmo­ dul mittels geeigneter Freigabeschaltung abgeschaltet wer­ den. Die beiden Verarbeitungsmodule mit fail-silent- Verhalten können bei vollkommen gleicher Funktion auch zu einer fail-operational-Einheit zusammengefaßt werden, die dann aus wenigstens zwei Mikroprozessoren und einem zusätz­ lichen Überwachungsmodul aufgebaut ist.

Ein weiteres Ausführungsbeispiel wird anhand von Fig. 3 dargestellt. Auch hier bezeichnen die mit denselben Bezugs­ zeichen bezeichneten Elemente dieselben Bauelemente mit den­ selben Funktionen wie sie in den Fig. 1 und 2 beschrieben sind. Im Ausführungsbeispiel nach Fig. 3 sind die einem Radpaarmodul zugeordneten Radbremsen achsweise gruppiert, so daß die Radpaarmodule im folgenden als Achsmodule bezeichnet werden. Das Achsmodul der Vorderachse wird mit AMVA, das der Hinterachse mit AMHA bezeichnet. Im bevorzugten Ausführungs­ beispiel ist das Achsmodul der Vorderachse als fail- operational-Einheit ausgeführt, d. h. bei Eintreten eines Einfachfehlers im Vorderachsmodul ist es weiterhin voll funktionsfähig. Ein Beispiel für den Ausbau und die Funkti­ onsweise einer solchen fail-operational-Einheit zeigt der eingangs genannte Stand der Technik. Da aufgrund der dynami­ schen Radlastverteilung beim Verzögern ein großer Teil der Bremskraft an der Vorderachse aufgebracht wird, hat eine er­ höhte Verfügbarkeit der Vorderradbremsen auch einen Sicher­ heitsgewinn des Gesamtbremssystems zur Folge. Das Hinter­ achsmodul AMAH ist daher in bevorzugter Weise als fail- silent-Einheit mit integrierter Hardwareüberwachung ausge­ führt. Im Fehlerfall schaltet sich dieses Modul ab. Die Überwachungsfunktionen des Hinterachsmoduls werden in einem anderen Ausführungsbeispiel wie anhand Fig. 2 beschrieben von wenigstens einem der Verarbeitungsmodule wahrgenommen.

Claims (10)

1. Elektrisch gesteuertes Bremssystem, mit wenigstens zwei Steuermodulen (RPM1, RPM2) zur Einstellung der Brems­ kraft, die jeweils über einen oder mehrere elektrisch an­ gesteuerte Aktuatoren (A1, A2) jeweils eine Gruppe von wenigstens zwei Radbremsen betätigen, dadurch gekenn­ zeichnet, daß jedem der Steuermodule wenigstens zwei durch wenigstens zwei Meßeinrichtungen erfaßte Größen, die die Betätigung des Bremspedals durch den Fahrer re­ präsentieren, zugeführt werden.

2. System nach Anspruch 1, dadurch gekennzeichnet, daß die wenigstens zwei Steuermodule über ein Kommunikationssy­ stem (K) miteinander verbunden sind.

3. System nach Anspruch 2, dadurch gekennzeichnet, daß über das Kommunikationssystem (K) die Steuermodule (RPM1, RPM2) die eingelesenen Betätigungsgrößen gegenseitig aus­ tauschen.

4. System nach einem der Ansprüche 2 oder 3, dadurch gekenn­ zeichnet, daß an das Kommunikationssystem (K) wenigstens ein weiteres Steuermodul für übergeordnete Bremsfunktio­ nen (VM) angeschlossen ist.

5. Verfahren nach einem der Ansprüche 2 bis 4, dadurch ge­ kennzeichnet, daß das Kommunikationssystem (K) ein deter­ ministisches Zeitverhalten aufweist.

6. System nach einem der Ansprüche 2 bis 5, dadurch gekenn­ zeichnet, daß die im Kommunikationssystem (K) vorhandene globale Systemzeit zur Synchronisierung der lokalen Zeit­ signale in den Steuermodulen verwendet wird.

7. System nach einem der Ansprüche 2 bis 6, dadurch gekenn­ zeichnet, daß ein weiteres an das Kommunikationssystem (K) angeschlossene Steuermodul (VM), das zumindest ein fail-silent-Verhalten aufweist, Überwachungsfunktionen für die wenigstens zwei Steuermodule wahrnimmt.

8. System nach Anspruch 7, dadurch gekennzeichnet, daß we­ nigstens zwei weitere Steuermodule vorhanden sind, die jeweils eines der wenigstens zwei Steuermodule vorzugs­ weise über eine Frage-Antwort-Kommunikation überwachen.

9. Verfahren nach einem der vorhergehenden Ansprüche, da­ durch gekennzeichnet, daß die einem Steuermodul zur Ein­ stellung der Bremskraft zugeordneten Radbremsen achsweise gruppiert sind und daß das den Vorderachsbremsen zugeord­ nete Steuermodul als fail-operational-Einheit ausgeführt ist.

10. System nach einem der Ansprüche 2 bis 9, dadurch gekenn­ zeichnet, daß bei Ausfall des Kommunikationssystems in jedem Steuermodul auf der Basis der empfangenen Betäti­ gungsgrößen die zugeordneten Radbremsen gesteuert werden, wobei bei zwei zugeführten Betätigungsgrößen bei einer Abweichung der Sensorsignale größer als ein Grenzwert an den Vorderachsbremsen eine Maximalwertauswahl und für die Hinterachsbremsen eine Minimalwertauswahl der Betäti­ gungsgrößen vorgenommen wird, wobei die Radbremsen in Ab­ hängigkeit des ausgewählten Betätigungssignals gesteuert werden.