DE19939872A1

DE19939872A1 - Verfahren und Vorrichtung zur Sensorüberwachung insbesondere für ein ESP-System für Fahrzeuge

Info

Publication number: DE19939872A1
Application number: DE19939872A
Authority: DE
Inventors: Eve Limin Ding
Original assignee: Continental Teves AG and Co OHG
Current assignee: Continental Teves AG and Co OHG
Priority date: 1999-02-01
Filing date: 1999-08-24
Publication date: 2000-08-10
Anticipated expiration: 2019-08-25
Also published as: KR20010093295A; JP4693242B2; JP2002536233A; KR100654651B1; DE19939872B4

Abstract

Es wird ein Verfahren und eine Vorrichtung zur Überwachung von Sensoren, die jeweils einzelne Prozeßführungs- oder Prozeßmeßgrößen (A, B, C) eines Prozesses (32) erfassen, beschrieben, das/die insbesondere für ein elektronisches Stabilitätsprogramm (ESP) für Fahrzeuge geeignet ist. Eine besonders hohe Zuverlässigkeit wird durch eine zyklisch-sequentielle Überwachung des Verlaufes der Ausgangssignale der einzelnen Sensoren erreicht, indem aus aktuell nicht zu überwachenden Prozeßführungs- und Prozeßmeßgrößen (A, B) mit Hilfe eines Mehrfachprozeßmodells (31) für einen Normalbetrieb analytische Redundanzen erzeugt werden, aus denen mit dem aktuell zu überwachenden Ausgangssignal ein Residuum gebildet (33) wird. Nach Auswertung des Residuums (36) und Vergleich mit einem Schwellwert (35) wird ein Fehlersignal (F) erzeugt, wenn das Residuum den Schwellwert erreicht.

Description

Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur Überwachung von Sensoren, die jeweils einzelne Prozeß führungs- oder Prozeßmeßgrößen eines Prozesses erfassen, insbesondere für ein elektronisches Stabilitätsprogramm (ESP) für Fahrzeuge.

Elektronische Stabilitätsprogramme dieser Art sind fahrdy namische Regelsysteme für Fahrzeuge, die dazu dienen, den Fahrer in kritischen Fahrsituationen während des Bremsens, Beschleunigens und Lenkens zu unterstützen und dort einzu greifen, wo der Fahrer selbst keine direkte Eingriffsmög lichkeit hat. Das Regelsystem unterstützt den Fahrer beim Bremsen, insbesondere auf einer Fahrbahn mit niedrigem oder wechselndem Reibwert, auf der das Fahrzeug wegen blockie render Räder nicht mehr steuerbar sein oder ins Schleudern geraten könnte, ferner beim Beschleunigen, wobei die Gefahr des Durchdrehens der Antriebsräder besteht, sowie schließ lich beim Lenken in einer Kurve, in der das Fahrzeug über- oder untersteuern könnte. Insgesamt wird damit nicht nur der Komfort, sondern auch die aktive Sicherheit wesentlich verbessert.

Einem solchen Regelsystem liegt ein geschlossener Regel kreis zugrunde, der im Normalbetrieb des Fahrzeugs typische Regelaufgaben übernimmt und in extremen Fahrsituationen das Fahrzeug so schnell wie möglich abfangen soll. Als Istwert geber sind dabei Sensoren zur Erfassung der verschiedenen fahrdynamischen Parameter von besonderer Bedeutung. Eine plausible Regelung setzt voraus, daß die Sensoren den Ist zustand der Regelstrecke korrekt wiedergeben. Dies ist bei Fahrstabilitätsregelungen in extremen Fahrsituationen, in denen eine Regelabweichung schon innerhalb einer sehr kur zen Zeit ausgeregelt werden muß, besonders wichtig. Aus diesem Grunde müssen bei einem elektronischen Stabilitäts programm die ESP-Sensoren (Gierratensensor, Querbeschleuni gungssensor, Lenkwinkelsensor) ständig überwacht werden. Eine entsprechende Online-Sensorüberwachung hat den Zweck, Fehler in den ESP-Sensoren frühzeitig zu erkennen, damit eine Fehlregelung, die das Fahrzeug in einen sicherheits kritischen Zustand bringen könnte, ausgeschlossen wird.

Der Erfindung liegt deshalb die Aufgabe zugrunde, ein Ver fahren und eine Vorrichtung zur Überwachung von Sensoren der eingangsgenannten Art zu schaffen, das/die eine insbe sondere für ein elektronisches Stabilitätsprogramm (ESP) für Fahrzeuge erforderliche Zuverlässigkeit aufweist.

Gelöst wird diese Aufgabe gemäß Anspruch 1 mit einem Ver fahren der eingangs genannten Art, das sich auszeichnet durch eine zyklisch-sequentielle Überwachung des Verlaufes der Ausgangssignale der einzelnen Sensoren mit folgenden Schritten: Erstellen analytischer Redundanzen für eine ak tuell zu überwachende Prozeßführungs- oder Prozeßmeßgröße aus aktuell nicht zu überwachenden Prozeßführungs- und/oder -Prozeßmeßgrößen eines aktuell betriebenen Prozesses mittels eines Mehrfachprozeßmodells für einen Normalbetrieb, Erzeu gen von Residuen durch Subtraktion der erstellten, redun danten analytischen Redundanzen von der aktuell zu überwa chenden Prozeßführungs- oder Prozeßmeßgröße, Auswerten der Residuen mit einer Residuenauswertefunktion und Vergleichen des ausgewerteten Residuums mit einem vorgegebenen Schwell wert und Erzeugen einer Fehlermeldung, wenn das Residuum den Schwellwert für mindestens eine vorbestimmte Überwa chungszeit erreicht.

Die Aufgabe wird ferner gemäß Anspruch 9 mit einer Vorrich tung der eingangs genannten Art gelöst, die sich auszeich net durch eine erste Einrichtung zur Berechnung analyti scher Redundanzen für eine aktuell zu überwachende Prozeß führungs- oder Prozeßmeßgröße aus aktuell nicht zu überwa chenden Prozeßführungs- und/oder Prozeßmeßgrößen eines ak tuell betriebenen Prozesses mittels eines Mehrfachprozeßmo dells für einen Normalbetrieb, eine zweite Einrichtung zur Erzeugung von Residuen durch Subtraktion der errechneten, redundanten analytischen Redundanzen von der aktuell zu überwachenden Prozeßführungs- oder Prozeßmeßgröße, eine dritte Einrichtung zur Auswertung der Residuen mit einer Residuenauswertefunktion, eine vierte Einrichtung zur Er zeugung eines Schwellwertes, sowie eine fünfte Einrichtung zum Vergleichen des ausgewerteten Residuums mit dem Schwellwert und zum Erzeugen einer Fehlermeldung, wenn das Residuum den Schwellwert für mindestens eine vorbestimmte Überwachungszeit erreicht.

Die Unteransprüche haben vorteilhafte Weiterbildungen der Erfindung zum Inhalt.

Weitere Einzelheiten, Merkmale und Vorteile der Erfindung ergeben sich aus der folgenden Beschreibung einer bevorzug ten Ausführungsform anhand der Zeichnung. Es zeigt:

Fig. 1 ein Blockschaltbild eines fahrdynamischen Regelsy stems;

Fig. 2 eine schematische Darstellung der Struktur eines ESP-Systems;

Fig. 3 das Grundprinzip eines Fehlerdiagnosesystems;

Fig. 4 eine Struktur eines modellgestützten Überwachungssy stem für die ESP-Sensoren;

Fig. 5 ein Blockschaltbild einer erfindungsgemäßen Sensor überwachung;

Fig. 6a, b, c eine Darstellung der Meßergebnisse bei einer Fehlersimulation; und

Fig. 7a, b, c eine Darstellung der Meßergebnisse bei einem Wedelmanöver.

Der Vorgang des Autofahrens kann gemäß Fig. 1 im rege lungstechnischen Sinne als ein Regelkreis betrachtet wer den, bei dem ein Fahrer 1 den Regler und ein Fahrzeug 2 die Regelstrecke darstellt. Die Führungsgrößen sind dabei die persönlichen Fahrwünsche FW des Fahrers, die er durch eine fortlaufende Beobachtung des Straßenverkehrs erstellt. Die Istwerte IF sind die Momentanwerte für Fahrtrichtung und Geschwindigkeit, die der Fahrer über seine Augen bzw. das Fahrgefühl erfaßt. Die Stellgrößen SF sind schließlich der Lenkradwinkel, die Stellung des Getriebes sowie die Stel lungen von Gas- und Bremspedal, die von dem Fahrer aufgrund der Abweichungen zwischen den Soll- und den Istwerten er stellt werden.

Eine derartige Regelung wird häufig durch Störungen S wie Reibwertänderungen, Fahrbahnunebenheiten, Seitenwind oder andere Einflüsse erschwert, da der Fahrer diese nicht prä zise erfassen kann, jedoch bei der Regelung berücksichtigen muß. Aus diesem Grunde kann der Fahrer 1 zwar im allgemei nen die ihm übertragenen Aufgaben, nämlich den Prozeß des Autofahrens zu regeln und zu beobachten, in normalen Fahr zuständen aufgrund seiner Ausbildung und der gesammelten Erfahrung ohne Schwierigkeiten bewältigen. In Extremsitua tionen und/oder bei den genannten außergewöhnlichen Fahr zuständen, bei denen die physikalischen Reibkraftgrenzen zwischen der Fahrbahn und den Reifen überschritten werden, besteht jedoch die Gefahr, daß der Fahrer zu spät oder falsch reagiert und die Kontrolle über sein Fahrzeug ver liert.

Um auch diesen Fahrsituationen Rechnung tragen zu können, wird das fahrdynamische Regelsystem mit einem unterlagerten Regelkreis 3 (ESP) ergänzt, der gemäß Fig. 1 einen Re gelalgorithmus 4, eine Systemüberwachung 5 und einen Feh lerspeicher 6 umfaßt. Gemessene Fahrzustandsgrößen werden dabei der Systemüberwachung 5 und dem Regelalgorithmus 4 zugeführt. Die Systemüberwachung 5 erzeugt ggf. eine Feh lermeldung F, die dem Fehlerspeicher 6 und dem Regelalgo rithmus 4 zugeführt wird. Der Regelalgorithmus 4 beauf schlagt dann in Abhängigkeit von den vom Fahrer 1 erzeugten Stellgrößen das Fahrzeug 2. Mit diesem Regelkreis werden typische Regelaufgaben ausgeführt. In extremen Fahrsitua tionen wird das Fahrzeug so schnell wie möglich wieder ab gefangen.

Fig. 2 zeigt die Struktur eines solchen Regelkreises, der im wesentlichen ein Antiblockiersystem 10, eine Antriebs schlupfregelung 11 und eine Giermomentregelung 12 umfaßt. Weiterhin sind ein Gierratensensor 13, ein Querbeschleuni gungssensor 14, ein Lenkwinkelsensor 15, ein Drucksensor 16 und vier Radgeschwindigkeitssensoren 17 vorgesehen, die so wohl als Istwertgeber zur Ermittlung der Regelabweichung, als auch zur Bildung eines Gierratensollwertes und ver schiedener Zwischengrößen eingesetzt werden.

Die von dem Fahrer 1 durch Betätigung eines Gas- und Brems pedals sowie des Lenkrades erzeugten Prozeßführungsgrößen werden der Antriebsschlupfregelung 11, dem Antiblockiersy stem 10 und dem Drucksensor 16 beziehungsweise dem Lenkwin kelsensor 15 zugefügt. Fahrzeugspezifische Nichtlinearitä ten, Schwankungen der Reibwerte, Seitenwind-Einflüsse usw. sind als Störungen oder unbekannte Größen 18 zusammengefaßt und beeinflussen die Fahrzeug-Längs- und Querdynamik 19. Diese Dynamik 19 wird ferner durch die genannten Führungs größen sowie die Ausgangssignale einer Motormanagementein heit 20 beeinflußt und beaufschlagt die Radgeschwindig keitssensoren 17, den Gierratensensor 13, den Querbeschleu nigungssensor 14 sowie den Drucksensor 16. Eine Regelarbi tration 21, der die Ausgangssignale des Antiblockiersystems 10, der Antriebsschlupfregelung 11, der Giermomentregelung 12 und eines Bremseneingriffsalgorithmus 22 zugeführt wer den, dient zur Prioritätsverteilung dieser Signale im Hin blick auf ihr Einwirken auf die Motormanagementeinheit 20 oder direkt auf die Fahrdynamik 19. Der Bremseneingriffsal gorithmus 22 wird dabei von der Giermomentregelung 12 und dem Drucksensor 16 beaufschlagt. Schließlich ist eine Fahr zustandserkennung 23 vorgesehen, der die Signale des Lenk winkelsensors 15, des Gierratensensors 13, des Querbe schleunigungssensors 14 sowie der Radgeschwindigkeitssenso ren 17 zugeführt werden und deren Ausgangssignale die Gier momentregelung 12 sowie ein Einspurreferenzmodell 24, mit dem eine gewünschte Soll-Gierrate erzeugt wird, beauf schlagt.

Wie bereits erläutert wurde, kann ein falsches Sensorsignal eine gefährliche unplausible Regelung verursachen. Ein Aus fall des Gierratensensors 13 kann zum Beispiel dazu führen, daß ein Zusatzgiermoment das Fahrzeug plötzlich zur Seite zieht, obwohl der Fahrer geradeaus fahren will. Dies rührt daher, daß während einer Geradeausfahrt der Lenkwinkel und damit der Sollwert der Gierrate gleich Null ist, der Ist wert der Gierrate wegen des Sensorausfalls jedoch einen un bestimmten Wert hat, so daß die Giermomentregelung 12 zur Ausregelung dieser Regelabweichung ein Zusatzgiermoment er zeugt. Aus diesem Grund ist eine Online-Überwachung der Sensoren von großer Bedeutung. Diese Überwachung muß einen Sensorausfall so frühzeitig erkennen können, daß das ESP- System rechtzeitig teilweise oder ganz stillgelegt werden kann.

Das erfindungsgemäße Sensorüberwachungskonzept besteht aus einer mehrstufigen Funktionalitätsprüfung der Sensoren, in der zwei Verfahren angewendet werden: Einerseits wird eine elektrische Überwachung durchgeführt, mit der geprüft wird, ob die zu überwachenden Sensorsignale innerhalb ihrer zuge lassenen Fehlerbänder liegen. Andererseits wird eine analy tisch redundant gestützte Überwachung vorgenommen, mit der die Signale in ihren Gesamtnutzbereichen überwacht werden.

In einer ersten Stufe werden durch die elektrische Überwa chung die Sensorversorgungsspannung und die Verkabelung ge prüft. In einer zweiten Stufe werden solche Sensoren, die aufgrund ihrer Bedeutung "intelligent" konstruiert sind, laufend durch sich selbst geprüft. Bei einem internen Sen sorausfall geht das Sensorsignal in das Fehlerband. Folg lich lassen sich solche Sensorfehler auch durch die elek trische Überwachung erfassen.

Mit der elektrischen Überwachung wird dabei ausschließlich geprüft, ob die Sensorsignale in ihren Gültigkeitsbereichen liegen. Eine Erfassung anderer Sensorfehler, wie zum Bei spiel eine falsche oder gelockerte Einbaulage, eine Mas seunterbrechung ist damit jedoch nicht möglich. Aus diesem Grunde werden in einer dritten Stufe zyklisch-sequentiell die Verläufe der einzelnen Sensorsignale in ihren Nutzbe reichen überwacht, und zwar mittels analytischer Redundan zen, die aus den aktuell nicht überwachten Sensor- Ausgangssignalen aufgrund ihrer physikalischen Abhängigkei ten berechnet werden. Hierfür wird ein modellgestütztes ESP-Überwachungs- und Fehlerdiagnosesystem geschaffen, des sen Grundstruktur in Fig. 3 dargestellt ist.

Das Fehlerdiagnosesystem 100 besteht im wesentlichen aus zwei Teilen, nämlich einem Residuengenerator 30 und einer Residuenauswerteeinheit 34.

Der Residuengenerator 30 umfaßt eine erste Einrichtung 31 zur Berechnung analytischer Redundanzen aus aktuell nicht zu überwachenden Prozeßführungsgrößen A und/oder den durch einen aktuell betriebenen Prozeß 32 erzeugten und aktuell nicht zu überwachenden Prozeßmeßgrößen B, und zwar für eine aktuell zu überwachende Prozeßführungs- oder Prozeßmeßgröße C unter Anwendung eines Mehrfachprozeßmodells (G1-G4; Q1-Q4; L1-L4, siehe unten) für einen Normalbetrieb. Weiterhin ist eine zweite Einrichtung 33 zur Erzeugung von Residuen r durch Subtraktion der errechneten, redundanten analytischen Redundanzen von der aktuell zu überwachenden Prozeßfüh rungs- oder Prozeßmeßgröße C vorgesehen.

Die Residuenauswerteeinheit 34 umfaßt eine dritte Einrich tung 36 zur Auswertung der Residuen r mit einer Residuen auswertefunktion, sowie eine vierte Einrichtung 35 zur Er zeugung eines Schwellwertes. Dieser Einrichtung 35 werden auch die aktuell nicht zu überwachenden Prozeßführungs- und/oder Prozeßmeßgrößen A, B zugeführt, um den Schwellwert bei einer relativ hohen Ungenauigkeit des Mehrfachprozeßmo dells anheben und bei einer relativ geringen Ungenauigkeit des Modells absenken zu können. Schließlich ist eine fünfte Einrichtung 37 zum Vergleichen des ausgewerteten Residuums mit dem Schwellwert und zum Erzeugen einer Fehlermeldung F vorgesehen, wenn das Residuum den Schwellwert für minde stens eine vorbestimmte Überwachungszeit erreicht.

Zur Verdeutlichung der der Erfindung zugrundeliegenden Pro blematik sowie zum Verständnis der in Fig. 3 allgemein dargestellten erfindungsgemäßen Lösung sollen zunächst fol gende Hintergrundinformationen gegeben werden:
Bei Verwendung nur eines einzigen Prozeßmodells (anstelle eines Mehrfachmodells) zur Residuenerzeugung kann man zwar bereits Informationen über den aktuellen Prozeßzustand und damit auch über mögliche Fehlfunktionen gewinnen. Aller dings hängt die Leistungsfähigkeit sehr stark von der Qua lität des angewandten Prozeßmodells ab. Wenn die Ungenauig keiten des Prozeßmodells steigt, ist es erforderlich, den Schwellwert zu erhöhen, um einen Fehlalarm zu vermeiden. Dies hat dann wiederum zur Folge, daß zahlreiche Fehler un bemerkt bleiben. Versucht man im Gegensatz dazu, die Genau igkeit des Prozeßmodells zu erhöhen, was gleichzeitig eine Steigerung der Modellkomplexität bedeutet, so scheitert man in der Praxis häufig an dem mit der Implementierung des Mo dells verbundenen hohen Aufwand bei der Online-Berechnung und dem hohen Anspruch an die Entwicklung und Wartung. Folglich spielt ein Kompromiß zwischen der Modellgenauig keit und der Einstellung der Schwellwerte und damit der Sy stemempfindlichkeit eine zentrale Rolle bei der Entwicklung eines modellgestützten ESP-Fehlerdiagnosesystems.

Zu berücksichtigen ist dabei auch, daß der Prozeß des Auto fahrens bekanntlich in starkem Maße durch viele unbekannte Umgebungsfaktoren geprägt ist. Hinzu kommt noch, daß die Fahrdynamik nur bis zu einem gewissen Grad mathematisch be schrieben werden kann. Andererseits ist die Grenze der Im plementierbarkeit von Anfang an durch die Hardware- Bedingung festgelegt. Alle diese Randbedingungen verlangen einen Lösungsansatz, der zwar auf dem Prinzip der modellge stützten Verfahren basiert, dessen Einsatz jedoch in einem ESP-System gerechtfertigt sein muß.

Die Grundidee der modellgestützten Fehlerdiagnose ist die Prüfung physikalischer Gesetzmäßigkeiten, die in Form eines mathematischen Modells dargestellt sind. Es sei angenommen, daß

y = f (u₁, . . ., u_m) [Gl. 1]

eine dieser physikalischen Gesetzmäßigkeiten beschreibt, wobei y das Ausgangssignal des zu überwachenden Sensors be zeichnet und u₁, . . ., u_m die bekannten oder gemessenen physi kalischen Größen und f eine mathematische Funktionen dar stellt. In diesem Fall wird die analytische Redundanz aus

= f(u₁, . . ., u_m)

gebildet und das Residuum r ergibt sich wie folgt:

r = y -

Das Residuum ist im fehlerfreien Fall im wesentlichen gleich Null. Wenn ein Sensorfehler auftritt, verliert diese Gesetzmäßigkeiten ihre Gültigkeit, so daß das Residuum si gnifikant von Null abweicht. Die Schwierigkeit bei der Um setzung dieser Idee liegt darin, daß das Modell den Prozeß ablauf nur teilweise beschreibt. Diese sogenannte Modellun genauigkeit läßt sich durch eine Erweiterung des Prozeßmo dells zu

y = f (u₁, . . ., u_m) + Δ

ausdrücken, wobei Δ eine unbekannte Größe ist, die von dem Prozeßzustand abhängig ist. Eine zuverlässige modellge stützte Fehlerdiagnose setzt voraus, daß der Einfluß von Δ auf das Residuum r möglichst gering gehalten wird.

Es gibt prinzipiell zwei Wege, um den Einfluß von Δ zu un terdrücken:

1. Erhöhung der Robustheit des Überwachungssystems durch Anwendung moderner robuster Regelungstheorien: dies ist ein passiver Weg, der im allgemeinen einen aufwendigen Entwurf und einen höheren Rechenaufwand (sowohl Off-Line, als auch On-Line) erfordert.
2. Gewinnung zusätzlicher Informationen: dies ist ein ak tiver Weg, der sich auf zwei Arten realisieren läßt, und zwar einerseits durch eine Verbesserung des Modells, was eine Gewinnung der Off-Line-Information, jedoch gleichzei tig auch einen zusätzlichen On-Line-Rechenaufwand bedeutet, andererseits durch eine Ausnutzung von zusätzlichen On- Line-Informationen. Dieser Weg hat sich zur erfindungsgemä ßen Lösung der genannten Problematik als besonders vorteil haft erwiesen.

Die Nutzung der zusätzlichen On-Line-Informationen ermög licht es, für einen zu überwachenden Sensor ein mehrfaches (redundantes) Modell zu bilden und ferner das Verhalten und die Funktionalität dieses Sensors zu rekonstruieren, und zwar anhand der Signale von unterschiedlichen, nicht zu überwachenden Sensoren bzw. Signalquellen. Diese redundante analytische Redundanz erhöht zum einem die Zuverlässigkeit des Überwachungssystems, zum anderen aber auch die Robust heit gegen Modellungenauigkeiten. Im folgenden wird eine bevorzugte Ausführungsform des erfindungsgemäßen Verfahrens vorgestellt, mit dem diese Grundidee umgesetzt werden kann. Es sei angenommen, daß für das Verhalten eines zu überwa chenden Sensorsignals mit folgendem Gleichungssystem

ein Modell gebildet werden kann, wobei u_ij, i = 1, . . ., n; j = 1, . . ., m Signale aus unterschiedlichen Quellen bezeichnen und f₁, . . ., f_n Teilmodelle, Δ₁, . . ., Δ_n Modellungenauigkeiten der einzelnen Teilmodelle, PZ den Prozeßzustand und GB_i, i = 1, . . ., n den Bereich, in dem das Teilmodell gültig ist, be zeichnen.

Die Gültigkeit und die Modellungenauigkeit der einzelnen Teilmodelle sind von dem Prozeßzustand abhängig. Das Pro blem besteht nun darin, anhand des Mehrfachmodells ein Re siduum zu bilden, das auf der einen Seite für die zu ent deckenden Fehler empfindlich und auf der anderen Seite ge gen Modellungenauigkeiten robust ist.

Die Fahrsituationen werden hierzu in zwei Gruppen einge teilt:

1. Instationäre Fahrverhalten, bei denen die Modellunge nauigkeit stark ausgeprägt ist und nur eine geringe Anzahl von Teilmodellen gültig ist und
2. Stationäre Fahrverhalten, deren Gemeinsamkeit darin be steht, daß die Mehrzahl von Teilmodellen gültig ist und daß deren Modellungenauigkeit gering ist.

Zu 1.): Instationäres Fahrverhalten: Da der absolute Wert des Residuums als Residuenauswertefunktion verwendet wird, ergibt sich das Residuum r

|r| = |y - _i| = |y - f_i (u_i1, . . ., u_im)| = min₁ {|y - f_i (u_i1, . . ., u_im)|, i = 1, . . ., n} [Gl. 2]

von allen möglichen Residuen am robustesten gegen Modellun genauigkeiten und gleichzeitig auch am unempfindlichsten gegen Fehler. Somit wird für diese Fahrsituation festge legt:

Wenn die Anzahl der gültigen Teilmodelle deutlich kleiner ist als eine vorgegebene Zahl (« n), dann wird das Residu ums nach dem Prinzip gemäß [Gl. 2] ausgewertet.

Wir nennen diese Regel "minimum of all", deren Grundidee darin besteht, daß im instationären Bereich, wo die Model lungenauigkeit stark ausgeprägt ist, die Robustheit ver stärkt gewichtet wird.

Zu 2.): Stationäres Fahrverhalten: Wenn

PZ ∈ GB₁ ∩ GB₂ ∩, . . ., ∩ GB_n

ist, was bedeutet, daß alle oder fast alle Teilmodelle gül tig sind und somit im allgemeinen ein normaler Prozeßzu stand gegeben ist, wird das Residuum mit dem nachstehenden Algorithmus ausgewählt:

Schritt 1: Bildung des Mittelwertes y

Schritt 2: Berechnung von |y - _i|, i = 1, . . ., n + 1 und Auswahl von _i1, _i2, _i3, welche die geringsten Abweichun gen von y aufweisen, d. h.

|(y - _i1)|, |y - _i2|, |y - _i3| < |y - _j|, j ≠ i₁, i₂, i₃
j ∈ {1, . . ., n + 1}

Schritt 3: Bildung des Residuums r:

Es sei angenommen, daß _i1 ≦ _i2 ≦ _i3 ist, dann gilt

r = y - _i2

Um das Funktionsprinzip dieses Algorithmus zu erläutern, betrachten wir zwei Fälle:

a) Fehlerfreier Betrieb: in diesem Fall gilt für den "best case":
_i2 = y ⇒ r = y - y = 0

Dies bedeutet, daß die Modellungenauigkeit keinen Einfluß auf das Residuum hat. Für den "worst case" gilt:

y ∉ {_i1, _i2, _i3} ⇒ r = y - _i2

Die maximal mögliche Abweichung läßt sich damit gemäß fol gender Gleichung

|y - _i2| = |y - y + y - _i2| ≦ |y - y| + |y - _i2| ≦ 2 |y - y|
begrenzen. Da die Bildung des Mittelwertes die Modellunge nauigkeit in den meisten Fällen unterdrückt, wird auch die durch die Modellungenauigkeit verursachte Abweichung gering gehalten.

a) Sensorfehler: in diesem Fall gilt für den "normal ca se":
y ∉ {_i1, _i2, _i3} ⇒ r = y - _i2 ≠ 0

Wegen des Fehlers wird das Sensorsignal y stark von seinem normalen Wert und damit auch von y_ik, k = 1, 2, 3 abwei chen. Als Folge ist die Differenz zwischen y und y_i2 groß. Für den "worst case" gilt:

_i2 = y ⇒ r = y - y = 0

Dies bedeutet, daß der Fehler nicht detektierbar ist. Die ser Fall kann aber nur dann auftreten, wenn die Größe des Fehlers im Bereich der Modellungenauigkeit liegt. Damit wird auch gezeigt, daß die Leistungsgrenze des Überwa chungskonzeptes im wesentlichen von der Modellungenauigkeit bestimmt wird.

Wie bereits erläutert wurde, setzt das Konzept der Residu enerzeugung eine Prüfung der Modellgültigkeit voraus. Diese besteht aus einer Prüfung der Zuverlässigkeit der Signale, die zur Residuenerzeugung verwendet werden sollen, sowie einer Prüfung der Modellgültigkeit entsprechend der Fahrsi tuation.

Ein Signal wird als zuverlässig bezeichnet, wenn es soft ware- oder hardwaremäßig geprüft ist. Die zuverlässigen Si gnale können entweder Signale aus den anderen Teilfunktio nen des Systems oder Signale aus den anderen Sensoren sein, was eine gegenseitige Überwachung bedeutet. Dies sind die On-Line-Informationen, die zur Bildung des Mehrfachmodells genutzt werden.

Wie bereits gezeigt wurde, hängt das erzeugte Residuum stark von der Modellungenauigkeit ab, die sich wiederum durch unterschiedliche Fahrsituationen beeinflussen läßt. Es ist daher wünschenswert, eine Residuenauswerteeinheit zu entwickeln, die sich adaptiv den Fahrsituationen anpaßt.

Wie allgemein bekannt ist, läßt sich das Fahrverhalten wäh rend einer stationären Fahrt sehr genau beschreiben. Im Ge gensatz dazu ist ein hochdynamisches Fahrmanöver mathema tisch schwer nachzubilden. Es ist daher vorteilhaft, Fahr situationen von Fall zu Fall zu unterscheiden und auf die ser Basis die Überwachungsschwellen und -zeiten adaptiv einzustellen. Die Anpassung der Überwachungsschwellen soll einerseits dazu führen, daß beim Auftreten eines unplau siblen Sensorsignals eine Fehlermeldung rechtzeitig ausge löst wird, und andererseits falsche Fehlermeldungen, die aufgrund der Ungenauigkeit der Nachbildung verursacht wer den können, verhindert werden. Dies bedeutet, daß in einer Fahrsituation, in der die Genauigkeit der Sensorsignalnach bildung gering ist, die Schwelle hoch und die Überwachungs zeit lang eingestellt und im anderen Fall die Schwelle ab gesenkt und die Überwachungszeit verkürzt werden muß.

Nachfolgend soll nun die Umsetzung des im letzten Abschnitt - vorgestellten Konzeptes zur Überwachung der drei wichtigen ESP-Sensoren nämlich Gierratensensor, Querbeschleunigungs sensor und Lenkradwinkelsensor beschrieben werden.

Fig. 4 zeigt die Struktur des modellgestützten Überwa chungssystems für die ESP-Sensoren, nämlich einen Gierra tensensor 13, einen Querbeschleunigungssensor 14 und einen Lenkwinkelsensor 15. Für die Überwachung jedes ESP-Sensors stehen vier redundante Modelle zur Verfügung, solange diese gültig sind. Dies sind für den Gierratensensor 13 die Mo delle G1 bis G4, für den Querbeschleunigungssensor 14 die Modelle Q1 bis Q4 und für den Lenkwinkelsensor 15 die Mo delle L1 bis L4. Die mathematische Realisierung der Prozeß modelle und ihre Gültigkeit ist in Tabelle 1 zusammenge faßt. Die in der Tabelle verwendeten Symbole haben folgende Definition:
_m - Modellgierrate,
a_qm - Modellquerbeschleunigung;
δ_Lm - Modelllenkradwinkel;
- Gierrate;
a_q - Querbeschleunigung;
δ_L - Lenkradwinkel;
i_L - Lenkübersetzung;
l - Radstand;
S - Spurweite des Fahrzeugs;
v_ch - charakteristische Fahrgeschwindigkeit.

Tabelle 1

Die Modelle sind in die erste Einrichtung 31 implementiert, wobei als Eingangsgrößen zur Errechnung der Redundanzen und somit zur Ermittlung der Residuen folgende Signale einge setzt werden können:
v_vr - Radgeschwindigkeit vorne rechts;
v_vl - Radgeschwindigkeit vorne links;
v_hr - Radgeschwindigkeit hinten rechts;
v_hl - Radgeschwindigkeit hinten links und
v_ref - Fahrzeuggeschwindigkeit;
die mit der Teilfunktion des Antiblockiersystems erzeugt werden, sowie die Gierrate, die Querbeschleunigung und der Lenkwinkel, die von den drei zu überwachenden ESP-Sensoren 13, 14 bzw. 15 stammen. Die errechneten Redundanzen liegen zusammen mit dem jeweils zu überwachenden Sensorsignal an der dritten Einrichtung 36 zur Residuenbildung und -auswertung (die in dieser Darstellung auch die zweite Ein richtung 33 umfaßt) an. Nach Differenzbildung zwischen dem jeweiligen Residuum und dem durch die vierte Einrichtung 35 erzeugten Schwellwert wird mit der fünften Einrichtung 37 die Fehlermeldung F/UG für den Gierratensensor 13, F/UQ für den Querbeschleunigungssensor 14 bzw. F/UL für den Lenkwin kelsensor 15 erzeugt, wenn die Differenz einen bestimmten Wert übersteigt. In Fig. 4 sind die dritte, vierte und fünfte Einrichtung 36, 35, 37 für jeden Sensor 13, 14, 15 getrennt dargestellt.

Die Prüfung der Signalzuverlässigkeit erfolgt bei den mit dem Antiblockiersystem erzeugten Signalen durch das dort bestehende Überwachungssystem. Tritt keine Fehlermeldung auf, werden die Signale als zuverlässig und bei einer Feh lermeldung als nicht einsetzbar eingestuft.

Im Falle der drei oben genannten ESP-Sensorsignale (Gierrate, Querbeschleunigung, Lenkwinkel) wird bei dem hier beschriebenen Sensorüberwachungssystem das betreffende Signal als zuverlässig eingestuft, wenn keine Fehlermeldung vorliegt, und das System wird stillgelegt, wenn eine Feh lermeldung auftritt.

Wie oben bereits erwähnt wurde, ist die Methode "Majoritätsprinzip" empfindlich gegenüber einem Sensorfeh ler, wenn ein Sensor defekt ist, während die Methode "Minimum of all" robuster gegenüber einer Systemstörung und einem instationären bzw. extremen Fahrverhalten ist. Das im letzten Abschnitt vorgestellte Überwachungskonzept wird wie - folgt umgesetzt:
Wenn die Anzahl der gültigen Modelle kleiner als drei ist, wird das Residuum nach dem Prinzip "Minimum of all" er zeugt. Andernfalls wird das Residuum nach dem "Majoritätsprinzip" gebildet.

Theoretisch gelten alle diese Prozeßmodelle nur im statio nären beziehungsweise linearen Bereich der Fahrdynamik. Wenn die Fahrverhalten nicht mehr in diesem Bereich liegen, müssen sowohl die Überwachungsschwellen erhöht, als auch die Überwachungszeiten verlängert werden. Dies erfolgt durch eine Situationserkennung in der vierten Einrichtung (Schwellwertberechnung) 35 sowie eine Feststellung des Gra des der Abweichung des Fahrverhaltens von dem stationären beziehungsweise linearen Bereich (vgl. Fig. 4). Die dazu verwendeten Signale sind: die Fahrzeuggeschwindigkeit v_ref, die vier Radgeschwindigkeiten v_vr, v_vl, v_hl, v_hr, die Fahr zeuglängsbeschleunigung a_l, die ebenfalls aus der Teilfunk tion ABS entstanden ist und dort geprüft wird, sowie die errechneten Redundanzen und die anderen ESP-Sensorsignale.

Diese Überwachungsschwellen und -zeiten werden durch Unter suchungen des Fahrzeugverhaltens bei verschiedenen Fehler arten in verschiedenen Fahrsituationen ermittelt bzw. fest gelegt. Bei einer erkannten Änderung des Gierratensensorsi gnals mit großem Gradienten, die keines der möglichen Fahr manöver betrifft, wird die Überwachungszeit deutlich ver kürzt.

Die Anpassung der Überwachungsschwellen und -zeiten ist in vereinfachter Form in Tabelle 2 zusammengefaßt:

Tabelle 2

Die Struktur der Hardware-Realisierung ist in Fig. 5 dar gestellt. Diese Struktur umfaßt ein Mikroprozessorsystem 40, dessen Ausgangssignale einer Einheit 41 zum Bremsen- oder Motoreingriff zugeführt wird.

Das Mikroprozessorsystem 40 umfaßt einen Analog/Digital- Wandler 401 zur Wandlung der analogen Sensorsignale und ei nen daran angeschlossenen digitalen Regelalgorithmus 402, an den ein Digital/Analog-Wandler 403 zur Erzeugung der analogen Ausgangssignale angeschlossen ist. Die digitalen Sensorsignale werden außerdem einem Überwachungssystem 404 zugeführt, an dem auch die von dem digitalen Regelalgorith mus 402 erzeugten Systemgrößen anliegen und das dieser Ein heit 402 eine Fehlermeldung übermittelt.

Das ESP-System, das sowohl den digitalen Regelalgorithmus, als auch den Überwachungssystem umfaßt, wird vorzugsweise in C-Sprache programmiert und anschließend auf dem Mikro prozessorsystem 40 implementiert. Die Eingangssignale des Mikroprozessorsystems 40 sind die durch die im Fahrzeug 42 eingebauten Sensoren 43 erzeugten Signale. Die Ausgangs signale des Mikroprozessorsystems 40 sind die Stellgrößen, die zur Steuerung des Bremsen- oder Motormanagementsystems 41 geführt werden. Das Überwachungssystem 404 läuft paral lel zu einem Regelsystem, überwacht das Gesamtsystem und beeinflußt daher die Regelung nicht, wenn keine Fehler festgestellt werden. Wenn ein Fehler entdeckt wird, sendet das Überwachungssystems 404 eine Fehlermeldung an den digi talen Regelalgorithmus 402, der damit das ESP-System deak tiviert.

Das Überwachungssystem wurde mit zahlreichen Fahrversuchen getestet. Als Beispiel sind in den Fig. 6a, b, c die Me ßergebnisse von zwei Testfahrten gezeigt, und zwar das Er gebnis einer Fehlersimulation des Gierratensensors bei Ge radeausfahrt. Fig. 6a zeigt das Signal des Gierratensen sors (Linie 1) sowie seine vier Nachbildungen (Linien 2 bis 5). Fig. 6b zeigt den Verlauf des Residuums (Linie 1) und die Schwelle (Linie 2 und 3). In Fig. 6c ist schließlich dargestellt, wann eine Fehlermeldung ausgelöst wird.

Aus diesen Darstellungen wird deutlich, daß die Gierrate sehr genau beschrieben werden kann. Der simulierte Fehler wurde innerhalb von 0,25 Sekunden erkannt, bevor die Gier momentregelung mit hohem Druck auf ein Rad einwirkte.

Die Fig. 7a, b, c zeigen schließlich die Meßergebnisse einer Überwachung des Gierratensensors bei einer Fahrt mit einem Wedelmanöver. Während eines solchen Wedelmanövers kann die Gierrate wegen der Phasenverschiebung zwischen dem Sensorsignal und den Modellsignalen nicht genau beschrieben werden. In diesen Situationen läßt sich eine solche Model lungenauigkeit bei einer Modellbildung generell nicht ver meiden. Um zu verhindern, daß ein falscher Alarm ausgelöst wird, wird deshalb die Überwachungsschwelle schon am Anfang des Wedelns erhöht. Fig. 7a zeigt wiederum das Signal des Gierratensensors (Linie 1) sowie seine vier Nachbildungen (Linien 2 bis 5). In Fig. 7b sind der Verlauf des Residu ums (Linie 1) und die Schwelle (Linie 2 und 3) dargestellt, während sich aus Fig. 7c ergibt, daß keine Fehlermeldung ausgelöst wurde.

Insgesamt wird also ein Verfahren und eine Vorrichtung zur Sensorüberwachung bei einem ESP-System beschrieben, bei dem der Kern in einer mehrfachmodellgestützten Erzeugung von Residuen besteht, deren Entwicklung in erster Linie unter Berücksichtigung der Fahrdynamik und der praktischen Reali sierbarkeit und Einsetzbarkeit erfolgt. Mit der Sensorüber wachung können Sensorfehler und insbesondere solche mit großem Gradient während der Fahrt entdeckt werden. Das Überwachungssystem bietet eine hohe Zuverlässigkeit, da es einerseits gegen Modellungenauigkeiten eine hohe Robustheit und andererseits für Sensorfehler eine hohe Empfindlichkeit aufweist.

Claims

1. Verfahren zur Überwachung von Sensoren, die jeweils einzelne Prozeßführungs- oder Prozeßmeßgrößen eines Prozesses erfassen,
gekennzeichnet durch eine zyklisch-sequentielle Über wachung des Verlaufes der Ausgangssignale der einzel nen Sensoren mit folgenden Schritten:
Erstellen analytischer Redundanzen () für eine aktuell zu überwachende Prozeßführungs- oder Prozeß meßgröße (C) aus aktuell nicht zu überwachenden Pro zeßführungs- und/oder Prozeßmeßgrößen (A, B) eines aktuell betriebenen Prozesses (32) mittels eines Mehrfachprozeßmodells (31; G1-G4; Q1-Q4; L1-L4) für einen Normalbetrieb,
Erzeugen von Residuen (r) durch Subtraktion der er stellten, redundanten analytischen Redundanzen () von der aktuell zu überwachenden Prozeßführungs- oder Prozeßmeßgröße (C),
Auswerten der Residuen (r) mit einer Residuenauswer tefunktion und
Vergleichen des ausgewerteten Residuums mit einem vorgegebenen Schwellwert und Erzeugen einer Fehler meldung (F), wenn das Residuum den Schwellwert für mindestens eine vorbestimmte Überwachungszeit er reicht.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß der Prozeß ein Teil eines elektronischen Fahrsta bilitätsprogramms (ESP) für Fahrzeuge ist und die zu überwachenden Prozeßführungs- und Prozeßmeßgrößen (A, B, C) eine Gierrate, eine Querbeschleunigung und ein Lenkwinkel sind.

3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, daß das Verfahren parallel zu dem elektronischen Fahrstabilitätsprogramms (ESP) abläuft und dieses de aktiviert, wenn die Fehlermeldung (F) erzeugt wird.

4. Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß das Mehrfachprozeßmodell aus ei ner Mehrzahl von Teilmodellen (G1-G4; Q1-Q4; L1-L4) gebildet wird, mit denen jeweils die zu überwachende Prozeßführungs- oder Prozeßmeßgröße (C) aufgrund von physikalischen Gesetzmäßigkeiten mit Hilfe anderer physikalischer Größen, wie den nicht zu überwachenden Prozeßführungs- oder Prozeßmeßgrößen (A, B), den Rad drehgeschwindigkeiten (v_vl, v_vr, v_hl, v_hr), dem Rad stand (l), der Spurweite (S) sowie der Geschwindig keit eines Fahrzeugs (v_ref), die ebenfalls aus den vier Radgeschwindigkeiten ermittelt wird, rekonstru ierbar ist.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß die Residuenauswertefunktion bei einem instationären, durch eine starke Modellungenau igkeit geprägten Prozeßzustand durch einen Algorith mus nach einem "Minimum of all"-Prinzip gebildet wird, bei dem das kleinste aller erzeugten Residuen mit dem Schwellwert verglichen wird, und bei einem stationären, durch eine geringe Modellungenauigkeit geprägten Prozeßzustand ein Algorithmus nach einem "Majoritätsprinzip" vorgesehen ist, bei dem ein Mit telwert der analytischen Redundanzen gebildet und zur Erzeugung des mit dem Schwellwert zu vergleichenden Residuums diejenige analytische Redundanz verwendet wird, die die mittlere von drei Redundanzen mit den geringsten Abweichungen vom Mittelwert ist.

6. Verfahren nach Anspruch 5, dadurch gekennzeichnet, daß in dem Fall, in dem die Anzahl der gültigen Mo delle kleiner als drei ist, das Residuum nach dem Prinzip "Minimum of all" und andernfalls das Residuum nach dem "Majoritätsprinzip" gebildet wird.

7. Verfahren nach einem der vorhergehenden Ansprüche, gekennzeichnet durch den Schritt des Berechnens und Anpassens der Schwellwerte in Abhängigkeit von einem Prozeßzustand anhand der nicht zu überwachenden Pro zeßführungs- und der Prozeßmeßgrößen (A, B) sowie der Raddrehgeschwindigkeiten (v_vl, v_vr, v_hl, v_hr) und der Fahrzeuggeschwindigkeit (V_ref) in der Weise, daß ei nerseits beim Auftreten eines unplausiblen Sensorsi gnals rechtzeitig eine Fehlermeldung ausgelöst und andererseits falsche Fehlermeldungen aufgrund einer großen Modellungenauigkeit vermieden werden.

8. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Überwachungszeiten adaptiv an den aktuellen Prozeßzustand angepaßt und so gewählt werden, daß eine kurzzeitige Störung eines Sensors toleriert wird.

9. Vorrichtung zur Überwachung von Sensoren, die jeweils einzelne Prozeßführungs- oder Prozeßmeßgrößen eines Prozesses erfassen,
gekennzeichnet durch eine erste Einrichtung (31) zur Berechnung analytischer Redundanzen für eine aktuell zu überwachende Prozeßführungs- oder Prozeßmeßgröße (C) aus aktuell nicht zu überwachenden Prozeßfüh rungs- und/oder Prozeßmeßgrößen (A, B) eines aktuell betriebenen Prozesses (32) mittels eines Mehrfachpro zeßmodells (G1-G4; Q1-Q4; L1-L4) für einen Normalbe trieb,
eine zweite Einrichtung (33) zur Erzeugung von Resi duen (r) durch Subtraktion der errechneten, redundan ten analytischen Redundanzen von der aktuell zu über wachenden Prozeßführungs- oder Prozeßmeßgröße (C),
eine dritte Einrichtung (36) zur Auswertung der Resi duen mit einer Residuenauswertefunktion,
eine vierte Einrichtung (35) zur Erzeugung eines Schwellwertes, sowie
eine fünfte Einrichtung (37) zum Vergleichen des aus gewerteten Residuums (r) mit dem Schwellwert und zum Erzeugen einer Fehlermeldung (F), wenn das Residuum den Schwellwert für mindestens eine vorbestimmte Überwachungszeit erreicht.

10. Vorrichtung nach Anspruch 9, dadurch gekennzeichnet, daß der vierten Einrichtung (35) die aktuell nicht zu überwachenden Prozeßführungs- und/oder Prozeßmeßgrö ßen (A, B) zugeführt werden, um mit Hilfe einer Si tuationserkennung den Schwellwert bei einer relativ hohen Ungenauigkeit des Mehrfachprozeßmodells anzuhe ben und bei einer relativ geringen Ungenauigkeit des Mehrfachprozeßmodells abzusenken.

11. Vorrichtung nach Anspruch 9 oder 10, dadurch gekenn zeichnet, daß die erste bis fünfte Einrichtung durch ein Mikroprozessorsystem (40) realisiert ist.

12. ESP-System für Fahrzeuge, gekennzeichnet durch eine Vorrichtung nach einem der Ansprüche 9 bis 11 zur zy klischen Überwachung eines Gierratensensors (13), ei nes Querbeschleunigungssensors (14) und eines Lenk winkelsensors (15).