DE3816254A1

DE3816254A1 - Steuereinheit zur lenkung der hinterraeder eines strassenfahrzeuges

Info

Publication number: DE3816254A1
Application number: DE3816254A
Authority: DE
Inventors: Hans Rauner; Gerhard Gerl; Edmund Donges; Reinhard Auffhammer; Thomas Seidenfuss
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 1988-05-11
Filing date: 1988-05-11
Publication date: 1989-11-23
Also published as: WO1989010865A1; EP0418258B1; DE58901285D1; EP0418258A1; JP2513878B2; EP0418258B2; JPH03504362A

Description

Die Erfindung geht von der speziellen Steuereinheit aus, die im Oberbegriff des Patentanspruches 1 definiert ist. Es handelt sich also um eine Steuereinheit, welche auch Notfälle - z.B. schlupfende Räder, schleudernes Straßenfahrzeug und/oder Defek te in sicherheitsrelevanten elektronischen Bauteilen wie z.B. Sensoren - mehr oder weniger gut beherrscht, indem dann die Lenkung der Hinterräder nicht wie im Normalbetrieb gesteuert wird, sondern nach einem besonderen Notbetriebskonzept. Es ist eine Reihe verschiedener solcher Notbetriebskonzepte für sich bekannt. Die Erfindung wurde zunächst zwar für ein Notbetriebs konzept entwickelt, bei dem der Lenkwinkel im Notfall durch Blockieren der Lenkung der Hinterräder starr beibehalten wird. Es zeigt sich jedoch, daß die Erfindung darüber hinaus auch auf alle anderen Notbetriebskonzepte angewendet werden kann.

Die Aufgabe der Erfindung,

- ein neuartiges Sicherheitskonzept zu bieten, welches zusätz lich zu beliebigen Notbetriebskonzepten zur weiteren Verbes serung der Beherrschung des Straßenfahrzeuges im Notfall verwendet werden kann,
- nämlich besonders die Fehlertoleranz der Steuereinheit zu erhöhen, insbesondere indem verhindert wird, daß die Rechen einheit wegen eines fehlerhaft arbeitenden Rechners irrtüm licherweise kein Lenknotsignal abgibt, obwohl ein Notfall vorliegt - eine besonders gefährliche Situation, die zu schweren Unfällen des Straßenfahrzeuges führen kann, und
- trotzdem die Recheneinheit zu befähigen, im Notfall mög lichst unverzüglich ihr Lenknotsignal abzugeben,

wird durch die im Patentanspruch 1 angegebenen Maßnahmen ge löst.

Bei der Erfindung werden also die Rechner in der Recheneinheit in besonderer Weise gedoppelt und abweichend von der meistens verwendeten Betriebsart von gedoppelten Rechnern betrieben. Meistens werden nämlich gedoppelte Rechner mittels einer Ver gleichereinheit überwacht, welche die Rechenergebnisse beider Rechner - z.B. mikrosynchron - vergleicht, wobei evtl. noch mit Hilfe besonderer Rechenmethoden, z.B. mit Hilfe von EDC- Verfahren oder durch andere Selbsttestverfahren, der einwand frei rechnende Rechner ermittelt und dessen Ergebnisse allein verwertet werden. Diese Test- oder Vergleichereinheit kann aber selber jeweils ebenfalls fehlerhaft arbeiten - z.B. auch trotz EDC-Verfahren bei so manchen Vielfachfehler-Kombinationen, wenn mehrere Fehler gleichzeitig auftreten - oder regelrecht defekt sein, wenn sie eine Ungleichheit der Rechenergebnisse feststellt - sie kann sogar defekt sein, wenn sie eine Gleichheit dieser Ergebnisse feststellt! - und damit selbst die Zuverlässigkeit der Steuereinheit verringern, besonders wenn sie die Abgabe des Lenknotsignales verhindert, obwohl objektiv ein Notfall vor liegt und von der Recheneinheit jedenfalls sogar bis zu einem gewissen Grade durchaus erkannt wurde.

Bei der Erfindung wird sowohl die Zeitverzögerung, die durch den Vergleich notwendig ist, aber vor allem auch die Unzuver lässigkeit vermieden, die durch einen Fehler innerhalb der Ver gleichereinheit hervorgerufen wird. Ebenso wird durch die Er findung vermieden, daß umständlich bei anscheinend voneinander abweichenden und zusätzlich bei anscheinend nicht voneinander abweichenden Rechenergebnissen - zumindest häufig immer wieder - auch die Vergleichereinheit für sich zu testen ist, wobei auch dieser Test für sich wieder nicht nur Zeit benötigt, son dern auch für sich eine Fehlerquelle und damit eine unnötige Zuverlässigkeitsverringerung mit sich bringen kann.

Bei der Erfindung werden also auch solche durch Vergleicherein richtungen bedingten Betriebsunsicherheiten und Verzögerungen des Betriebs der gedoppelten Rechner vermieden, indem bereits jeder Rechner für sich ein Lenknotsignal jeweils unmittelbar und damit sofort an die Lenkeinrichtung abgibt, selbst wenn der andere Rechner noch kein Lenknotsignal abgibt. Solange beide Rechner einwandfrei arbeiten, steuert die Erfindung die Lenkung der Hinterräder gemäß dem jeweils gewählten Notbetriebskonzept im Notfall einwandfrei. Falls hingegen einer der beiden Rechner - warum auch immer - z.B. nur auf Grund eines transienten Feh lers in seinem Programmspeicher - ein fehlerhaftes Ergebnis er rechnet, so gibt er auf Grund dieses Ergebnisses eventuell ein an sich höchstens unnötiges Lenknotsignal ab, falls nämlich das errechnete Ergebnis einen Notfall vortäuscht. Eine solche, an sich fehlerhafte Steuerung der Lenkung der Hinterräder ist je doch tolerierbar; bei einem Defekt eines der Rechner steuert die Erfindung nämlich ihre Lenkeinrichtung mit vernünftiger Wahrscheinlichkeit nie in höchst gefährlicher Weise so, als ob ein Normalbetriebsfall vorläge obwohl ein Notfall vorliegt.

Die in den Unteransprüchen angegebenen Maßnahmen gestatten, die Zuverlässigkeit der Steuereinheit weiter zu erhöhen, nämlich jeweils entsprechende weitere Vorteile zu erreichen. Unter anderem ge statten nämlich die Maßnahmen gemäß Patentanspruch

2, gefährliche Situationen für das Straßenfahrzeug zu vermei den, indem bei wesentlichen Defekten oder Fehlzuständen der betreffenden Bestandteile in den Notfallbetrieb entspre chend dem gewählten Notbetriebskonzept übergegangen wird,
3, zu verhindern, daß bei Defekt eines Notorganes ein Lenknot signal keine notfallgerechte Steuerung der Lenkung der Hin terräder auslöst,
4, auch bei Ausfall eines der Rechner und /oder auch bei Stö rung - z. B. Bruch - einer der Notsignalleitungen zuverläs sig und redundant die gedoppelten Notorgane zu steuern,
5, zu ermöglichen, daß sich die Rechner gegenseitig überwachen bzw. testen,
6, eine gegenseitige Überwachung bzw. Testung der Rechner ohne präzise zeitliche Abstimmung bzw. Synchronisation zwischen den Rechnern erreichen zu können, z.B. indem ein Rechner im anderen Rechner zeitlich verzögert, nämlich angepaßt an den jeweiligen Beginn der Rechenpausen des anderen Rechners, ein Testprogramm abzuarbeiten gestattet,
7, eine zuverlässige nachträgliche Diagnose der Ursache der Lenknotsignalabgabe zu erreichen, selbst wenn einer oder beide Rechner "sich völlig verrannt" hatte, also nicht mehr tolerierbare Schwierigkeiten bei der Auswertung der zuge führten Steuersignale hatten,
8, zu erreichen, daß die Rechner auch nach dem Start nur dann einen Normalbetrieb zulassen, sobald die Steuereinheit zu verlässig genug einen anfänglich eventuell vorliegenden Notfall ausschließen kann,
9, beim Start zu erreichen, daß in sehr übersichtlicher Weise die Notorgane jeweils nur von einem der Rechner so gesteu ert werden, daß der Übergang in den Normalbetrieb erst er folgt, sobald beide Rechner durch Auswertung der ihnen zu geführten Steuersignale deutlich genug diagnostizierten, daß die ihnen jeweils zugeordneten Notorgane einwandfrei arbeiten,
10, eine besonders klare Analyse beim Start zuzulassen, ob eventuell einer der Rechner - oder eines der Notorgane - nicht ganz einwandfrei arbeitet,
11, die Rechner auch im Normalbetrieb zur Steuerung der Hinter radlenkung verwenden zu können,
12, auch beim Start, bei dem manche der Sensorsignale noch keine brauchbaren Werte liefern und eine zuverlässige Aus wertung durch die Rechner noch kaum möglich ist, eine hohe Betriebssicherheit für das Straßenfahrzeug zu erreichen,
13, sehr unkompliziert nachträglich nach jeder Rechnung durch einen Vergleich der Rechenergebnisse beider Rechner fest stellen zu können, inwieweit die Ergebnisse voneinander ab wichen, und bei Bedarf sofort ein Fehlerdiagnoseprogramm starten zu können, das die Ursache für größere Abweichungen der Rechenergebnisse aufklärt,
14, zu ermöglichen, daß der eine Rechner bereits sein Lenknot signal abgeben kann, während der andere seine derzeitige Auswertung noch nicht abgeschlossen hat; die Auswertung, also die Berechnung der Rechenergebnisse, ist nämlich oft dermaßen aufwendig, z.B. wegen komplizierter zu lösender Differentialgleichungen durch Iterativverfahren, daß zwi schen der Eingabe der Sensorsignale bzw. Steuersignale in den Rechner einerseits und dem Vorliegen des Rechenergeb nisses andererseits häufig 10 msec und noch viel mehr Zeit verstreicht,
15, Programmfehler, also Softwarefehler, durch die ein Notfall irrtümlicherweise nicht erkannt wird, unschädlich zu machen, indem zumindest der andere Rechner mit hoher Wahrschein lichkeit im Notfall rechtzeitig sein Lenknotsignal abgibt,
16, Hardwarefehler in einem der beiden Rechner, durch die ein Notfall irrtümlicherweise nicht erkannt wird, unschädlich zu machen, indem zumindest der andere Rechner mit hoher Wahrscheinlichkeit im Notfall rechtzeitig sein Lenknotsi gnal abgibt,
17, zu ermöglichen daß beide Rechner sich sehr flexibel dem je weiligen Zeitbedarf zur Auswertung der Steuersignale anpas sen können,
18, zu erreichen, daß fehlerhafte oder ungenau messende Sensoren erkannt und nicht berücksichtigt werden und/oder daß Mittel werte aus den von den beiden zusammengehörenden Sensoren abgegebenen Sensorsignale bzw. Mittelwerte von davon abzu leitenden Signalen gebildet und als Steuersignale dem Rech ner bzw. den Rechnern zugeführt werden können und/oder daß von den gedoppelten Sensoren stets nur jener berücksichtigt wird, der den stärksten Hinweis gibt, daß ein Notfall vor liegen könnte,
19, eine Entlastung der Rechner zu erreichen, wodurch die Rech ner ihren Auswertungszyklus schneller beenden und damit im schnelleren Rhythmus Rechenergebnisse erstellen können, also im Notfall schneller das Lenknotsignal abgeben können,
20, mit besonders wenig Hardwareaufwand für die Aufbereitungs einheiten einer Entlastung der Rechner, damit eine Verkür zung der Auswertungszyklen innerhalb der Rechner und kürze re Rechenzyklen zur Ermittlung der Rechenergebnisse errei chen zu können, so daß mit besonders wenig zusätzlichem Hardwareaufwand die Rechner im Notfall schneller ihr Lenk notsignal abgeben können, und
21, mit besonders wenig Aufwand nach einem worst-case-Prinzip jenem Sensor der ansich defakto gleichwertigen, unterein ander redundanten Sensoren den größten Einfluß auf die Ab gabe der Lenknotsignale zu ermöglichen, welcher den kri tischsten, am stärksten einen Notfall signalisierenden Zu stand feststellt, so daß z.B. ein durch Alterung bedingter Ausfall eines der redundanten Sensoren nur zur Folge hat, daß der von diesem Sensor überwachte Zustand wegen des re dundanten anderen Sensors weiterhin im Notfall die Hinter radlenkungen notfallgerecht steuert.

Die Erfindung wird anhand der in den Figuren gezeigten Prinzip schemen von Ausführungsbeispielen mit jeweils zwei Rechnern P 1, P 2 weiter erläutert.

Bei dem in Fig. 1 gezeigten Beispiel enthält die Lenkeinrichtung LE beispielhaft eine hydraulische Klemmeinrichtung Noh, welche im Notfall die Lenkung der Hinterräder so blockiert, daß der bis dahin vorhandene Lenkwinkel weiterhin starr beibehalten bleibt, indem hydraulisch jegliche Lenkwinkeländerung durch entsprechende Brems- bzw. Klemmvorrichtungen verhindert wird.

Außerdem enthält die Lenkeinrichtung LE ein Stellaggregat Sa, welches im Normalbetrieb den Lenkwinkel der Hinterräder ein stellt. Die Rechner P 1, P 2 steuern also bei diesem Beispiel den Lenkradwinkel der Hinterräder auch im Normalbetrieb, eben mit tels des Stellaggregates Sa. Daher greifen bei diesem Beispiel die Rechner nicht nur in Notfall in die Lenkwinkelsteuerung der Hinterräder ein, sondern auch im Normalbetrieb.

Ferner enthält die Lenkeinrichtung LE eine oder mehrere Lampen L, welche dem Fahrer den Normalbetrieb und den Störfall signa lisieren und z.B. auch den momentanen Wert des Lenkwinkels an zeigen können.

Darüber hinaus enthält im gezeigten Beispiel die Lenkeinrich tung LE zusätzlich eine Überwachungseinheit Sv, welche, z.B. mittels eigener Sensoren und/oder ausgelöst durch ein Lenknot signal, das Auftreten von Fehlern in der Lenkeinrichtung LE - evtl. auch in sonstigen Teilen der Steuereinheit und/oder auch in sonstigen Teilen des Straßenfahrzeuges - überwacht. Diese Überwachungseinheit Sv kann notfalls reagieren, z.B. einen Reset auslösen kann, welcher die Auswertung durch die Rechner unterbricht und die Rechner zu einem Neustart ihrer Auswertung veranlaßt oder auf sonstige Weise ein entspechendes Überwa chungssignal - bevorzugt an die Rechner P 1, P 2 - liefert.

Die Lenkeinrichtung LE enthält zusätzlich in redundanter Weise eine mechanische Klemmeinrichtung Nom, welche rein mechanisch im Notfall den bis dahin gegebenen Lenkwinkel der Hinterräder starr beibehält. Die Lenkeinrichtung LE enthält also aus Sicher heitsgründen zwei, durch Noh/Nom gebildete Notorgane, die, je des für sich, im Notfall den Lenkwinkel entsprechend dem ge wählten Notbetriebskonzept - im vorliegenden Fall also durch Klemmung der Lenkung - notfallgerecht steuern.

Statt solcher Klemmvorrichtungen können erfindungsgemäß auch andere Arten von Notorganen angebracht sein, welche im Notfall z.B. den Lenkwinkel mehr oder weniger verzögert auf Null ein stellen.

Die einzelnen Organe der Lenkeinrichtung LE weisen zu ihrer Überwachung eigene Signalausgänge St auf, welche also Testsi gnale bzw. Statussignale liefern und im gezeigten Beispiel mit Signaleingängen St einer Vorverstärkerstufe VV der Rechner P 1, P 2 verbunden sind.

In der Vorverstärkerstufe VV sind zusätzlich Sensoren bzw. die solchen Sensoren zugeordneten Analog-Digital-Umwandler ange bracht, z.B. elektronische Einheiten, welche den Zustand eines Lenkradwinkelsensors Lw1, eines automatischen Bremssystems ABS, der Geschwindigkeit Tach, den sicherheitshalber gedoppelten Statusausgängen Ist 1,2 des Stellaggregates Sa, den sicherheits halber gedoppelten Räder-Lenkwinkelsensoren Lwr 1,2, sonstigen Statusüberwachungen Stat und sonstigen beliebigen Eingängen Se - z.B. für die Außentemperatur, die Reifentemperatur und/oder die Lichtreflexion der mehr oder weniger spiegelnden Fahrbahn - entsprechen können.

In dieser Vorverstärkereinheit VV sind also nicht unbedingt nur die Sensoren selbst eingeschlossen, sondern oft auch elektroni sche Bestandteile derselben, welche die von Sensoren geliefer ten Sensorsignale, vgl. Ss, mehr oder weniger umrechnen bzw. umformen und an ihrem Ausgang Steuersignale liefern, welche den beiden Rechnern P 1, P 2 direkt oder über Zwischenstufen - vgl. Ae 1 bis Ae 3 - zugeführt werden. Bei der Erfindung sind also mindestens zwei Rechner P 1, P 2 vor handen, welchen die Steuersignale zur Auswertung - d.h. zur Er rechnung eines Rechenergebnisses, das seinerseits jeweils Steu ersignale für die Lenkeinrichtung LE erzeugen kann - zugeführt werden. Beide Rechner P 1, P 2 verarbeiten die ihnen im gezeigten Beispiel digital zugeführten Steuersignale also entsprechend Programmen, die sie speichern. Diese Programme enthalten oft Befehle, welche komplizierten Differentialgleichungen und zuge hörenden, manchmal recht langwierigen Iterativverfahren ent sprechen. Aus den Steuersignalen Ss, Lw 1, Lwr 1/2, ABS, Tach, Ist 1/2, St, Se werden also mittels dieser Programme mit manch mal geringerem, oft aber relativ großem Zeitaufwand zu Rechen ergebnissen verarbeitet, wobei die Rechenergebnisse trotz hoher Rechentaktfrequenz im MHz-Bereich oft jeweils erst nach 10 msec oder 40 msec vorliegen. Jeder Rechner P 1, P 2 für sich leitet aus seinen eigenen Rechenergebnissen ab, ob ein Notfall vor liegt oder nicht. Falls ein Notfall vorliegt, liefert der be treffende Rechner, ohne sein Rechenergebnis erst noch mit dem Rechenergebnis des anderen Rechners zu vergleichen, sofort sein Lenknotsignal unmittelbar - evtl. verstärkt über Zwischenver stärker Zv, vgl. Fig. 2 - an die Lenkeinrichtung LE ab, gemäß dem in Fig. 1 gezeigten Fall sofort sowohl an die hydraulische Klemmeinrichtung Noh als auch an die mechanische Klemmeinrich tung Nom.

Nur wenn beide Rechner P 1, P 2 gleichzeitig feststellen, daß so eben ein Notfall eingetreten ist, liefern beide Rechner P 1, P 2 gleichzeitig ihr Lenknotsignal individuell an die betreffenden Organe Noh/Nom der Lenkeinrichtung LE direkt ab. Falls zuerst der eine Rechner und erst mit einer gewissen Verzögerung - oder nie - der andere Rechner das Eintreten des Notfalls erkennt, liegt zumindest eine gewisse Zeitverschiebung zwischen der Ab gabe ihrer individuellen Lenknotsignale. Die Notorgane Noh/Nom werden dann aber bereits durch das erste Lenknotsignal akti viert, weil bei der Erfindung zur Vermeidung von Zeitverzöge rungen nicht erst abgewartet wird - z.B. mit Hilfe einer den beiden Rechnern P 1, P 2 nachgeschalteten Vergleichereinheit -, bis beide Rechner P 1, P 2 das Eintreten des Notfalles signali sierten.

Bei der Erfindung ist also verhindert, daß ein fehlerhaft ar beitender Rechner der Recheneinheit irrtümlicherweise kein Lenk notsignal abgibt, obwohl ein Notfall vorliegt, weil bei der Er findung der andere der beiden Rechner den Notfall erkennt und seinerseits unverzüglich sein Lenknotsignal sofort und direkt an die Notorgane Noh/Nom abgibt und die Steuerung der Lenkwin kel der Hinterräder gemäß dem gewählten Notbetriebskonzept aus löst. Die Erfindung ist hierbei nicht an ein spezielles Notbe triebskonzept gebunden : z.B. daß im Notfall der bisher gegebe ne Lenkwinkel der Hinterräder, wie bisher bevorzugt beschrieben wurde, starr beibehalten wird. Statt der Notorgane Noh/Nom kön nen auch andersartige Notorgane angebracht werden, welche im Notfall z.B. das mehr oder weniger verzögerte Einstellen des Lenkwinkels Null der Hinterräder auslöst.

Bei der Erfindung handelt es sich also um ein neuartiges Sicher heitskonzept, welches zusätzlich zu beliebigen Notbetriebskon zepten angewandt werden kann und zur weiteren Verbesserung der Beherrschung des Straßenfahrzeuges im Notfall dient. Durch die Erfindung wird die Fehlertoleranz der Steuereinheit erhöht, be sonders indem verhindert wird, daß ein fehlerhaft arbeitender Rechner irrtümlicherweise kein Lenknotsignal abgibt, obwohl ein Notfall vorliegt - eine besonders gefährliche Situation, die zu sehr schweren Unfällen des Straßenfahrzeuges führen könnte.

Trotzdem gestattet die Erfindung, im Notfall besonders schnell das Lenknotsignal abzugeben und die Maßnahmen gemäß dem gewähl ten beliebigen Notbetriebskonzept unverzüglich einzuleiten.

Das in Fig. 2 gezeigte Ausführungsbeispiel ist sehr ähnlich wie das in Fig. 1 gezeigte aufgebaut und betrieben. Statt einer Vor verstärkereinheit VV sind hier Sensoreinheiten angebracht, die für sich jeweils schon - zumindest zum Teil - elektronische Be standteile enthalten, so daß die Vorverstärkereinheit VV sozu sagen in Einzelteile aufgelöst und in den Sensoreinheiten ent enthalten ist. Diese Sensoreinheiten stellen z.B. gedoppelte Lenkradwinkel-Sensoreinheiten Lw 11/2 dar, wobei der eine Sen sor Lw 11 z.B. den Lenkwinkel an der Lenksäule und der andere Lenkradwinkel-Sensor Lw 12 z.B. am Lenkgetriebe und/oder an Tei len der Lenkung der Vorderräder angebracht sein mag. In ähnli cher Weise sind gedoppelte Hinterradlenkwinkel-Sensoreinheiten Lwr 1/2 angebracht, welche z.B. getrennt voneinander den Hinter rad-Lenkwinkel an beiden Hinterrädern und/oder indirekt an zu gehörenden Lenkstangen und/oder Lenkgetriebeteilen messen. Fer ner sind Sensoreinheiten Tach und ABS zur Erfassung der Fahr zeuggeschwindigkeit und des Bremssystemes angebracht.

Das in Fig. 2 gezeigte Beispiel enthält wieder zwei Rechner P 1, P 2, wobei die Signale der Sensoren, d.h. die den Rechnern zuge führten Steuersignale, wie bei dem in Fig. 1 gezeigten Beispiel in den beiden Rechnern P 1, P 2 ausgewertet werden.

Das in Fig. 2 gezeigt Beispiel enthält Leistungsverstärker als Zwischenverstärker Zv, welche ihrerseits dann die Lenkeinrich tung LE steuern, wobei hier die Lenkeinrichtung LE beispielhaft nach einem hydraulischen Verfahren arbeitet. Die Druckflüssig keit Hy wirkt über mechanische Sicherheitsventile Vm, über hy draulische Sicherheitsventile Vh und Servoventile Vs auf hydrau lisch gesteuerte Lenkwinkel-Beeinflussungseinheiten der Hinter räder, von denen eines, mit H bezeichnet, symbolisch mit Teilen seines Lenkgestänges, angedeutet ist. Beispielhaft sind Senso ren Lwr 1/2 gezeigt, welche indirekt den Lenkwinkel der Hinter räder H erfassen. Auch hier ist die Fehlertoleranz der Steuer einheit erhöht, indem erfindungsgemäß verhindert wird, daß die Recheneinheit irrtümlicherweise kein Lenknotsignal abgibt, ob wohl ein Notfall vorliegt, wobei jeder der beiden Rechner für sich, unabhängig vom andern Rechner, im Notfall sein Lenknotsi gnal sofort an die Lenkeinrichtung abgibt.

Den Rechnern P 1, P 2 können zum Selbsttest der Steuereinheit wie bei dem in Fig. 1 gezeigten Beispiel Testsignale und/oder Status signale St - vgl. Fig. 1, in Fig. 2 nicht gezeigt - von Bestand teilen der Steuereinheit zugeführt werden, wobei der betreffen de Rechner P 1 und/oder P 2, sobald er gemäß dem Selbsttest Stö rungen von Bestandteile, z.B. eines der gedoppelten Sensoren oder eines Notorgans Noh/Nom oder eines der Rechner P 1, P 2 selbst feststellte, in jedem Fall sicherheitshalber ein Lenknot signal an die hier gedoppelten -oder nicht gedoppelten - Lenk notorgane abgibt, um die Sicherheit des Straßenfahrzeugs zu er höhen. Auf diese Weise ist auch bei dem in Fig. 2 gezeigten Bei spiel die gefährliche Situation vermieden, daß bei wesentlichen Defekten oder Fehlzuständen der betreffenden Bestandteile die Zuverlässigkeit der Steuereinheit erheblich reduziert ist. Auch hier kann der Fahrer des Straßenfahrzeugs - wie bei dem in Fig. 1 gezeigten Beispiel - insbesondere durch signalisierende Lam pen L angehalten werden, möglichst bald eine Werkstatt aufzusu chen, um den Defekt der betreffenden Bestandteile beseitigen zu lassen.

Bei dem in Fig. 1 gezeigten Beispiel enthält die Lenkeinrichtung LE in redundanter Weise mindestens zwei Notorgange Noh/Nom, die jedes für sich im Notfall dem Lenkwinkel entsprechend dem ge wählte Notbetriebskonzept notfallgerecht steuern. Dadurch ist ermöglicht, daß trotz eines Defektes eines dieser beiden Notor gane das vom Rechner abgegebene Lenknotsignal zuverlässig eine notfallgerechte Steuerung der Lenkung der Hinterräder auslöst, weil das noch einwandfrei funktionierende andere Notorgan in diesem Fall die notfallgerechte Steuerung seinerseits auslöst.

Jeder Rechner gibt bei dem in Fig. 1 gezeigten Beispiel sein Lenkungsnotsignal - jedenfalls im Regelfall - jeweils an beide Notorgane Noh/Nom ab, und zwar jeweils über individuell den einzelnen Rechnern P 1/ P 2 zugeordnete eigene Lenknotsignallei tungen. Ein Bruch oder eine sonstige Störung auf einer solchen Lenknotsignalleitung sowie der völlige Ausfall eines der Rech ner behindert dann noch nicht die notfallgerechte Steuerung der Lenkung der Hinterräder.

Beim Start des Straßenfahrzeuges können beide Notorgane zu nächst wie im Notfall betrieben werden. Die Sicherheit des Straßenfahrzeuges ist dann auch beim Start erhöht, bei welchem manche der Sensorsignale, vgl. z.B. Ss, noch keine brauchbaren Werte darstellen und eine zuverlässige Auswertung durch die beiden Rechner oft noch unmöglich ist.

Besonders bei dem in Fig. 1 gezeigten Beispiel tauschen beide Rechner P 1, P 2 - zur nachträglichen Notfalldiagnose und/oder zum gegenseitigen Testen während des laufenden Betriebes und/ oder beim Start des Straßenfahrzeuges - jeweils direkt oder indirekt entsprechende dokumentierende Informationen aus. Das kann auf verschiedene Weisen durchgeführt werden :

Die schon oben erwähnte Überwachungseinheit Sv, vgl. Fig. 1, kann ihrerseits einen nachträglichen Vergleich zwischen den beiden Rechnern - insbesondere zwischen deren relevanten Zwi schenergebnisse und Endergebnisse der Auswertungen - verglei chen und bei Bedarf die Rechner mittels des Interrupt-Signals IntR unterbrechen, z.B. um besondere Eigentestprogramme in den beiden Rechnern ablaufen und um nachträglich die Rechner mit tels eines Startsignals Reset wieder anlaufen zu lassen. Beson ders falls sich einer oder beide Rechner total "verrannten", also die Iterativverfahren nach einer vernünftigen Zeitdauer zu keinem genügend präzisen Ergebnis führten, kann diese Überwa chungseinheit Sv, z.B. mittels eines Watch-Dog und des Reset- Signales den oder die betreffenden Rechner wieder neu starten.

Im Prinzip ist es jedoch nicht nötig, eine eigene solche Über wachungseinheit Sv anzubringen. Statt dessen können solche Über wachungen auch innerhalb der Rechner P 1, P 2 selbst von Zeit zu Zeit, z.B. mit Hilfe eines Watch-Dog und direkte Leitungen DL, erreicht werden, besonders wenn die Rechner Speicherbereiche in sich aufweisen, in welche der andere Rechner aktiv schreiben und aus welchem der andere Rechner aktiv lesen kann, ohne den Betrieb des hierbei passiven Rechners zu unterbrechen.

Dazu können die Informationen z.B. aber auch in dem Dual-Port- RAM DPR so zwischengespeichert werden, daß jeder Rechner P 1, P 2 dort einen Speicherbereich hat, in welchem er selbst Schreiben und Lesen und der andere Rechner aber nur Lesen kann. Dies ist durch die besondere Art der Pfeile zwischen den Rechnern P 1, P 2 und dem betreffenden Speicher DPR angedeutet. Dieser Speicher DPR kann jedoch zusätzlich einen besonderen Speicherbereich aufweisen, welcher von beiden Rechnern P 1, P 2 beliebig gelesen und (!) beschrieben werden kann.

Mittels eines solchen Speichers DPR kann übrigens auch eine Do kumentation erstellt werden, welche zusätzlich Steuerbefehle dokumentiert, die zu den Zwischenergebnissen oder zum Endergeb nis der Auswertung führten: Durch Vergleich solcher Dokumente können sich bei Bedarf die Rechner auch gegenseitig neu star ten, falls die gespeicherten Informationen zu stark divergieren und besonders auch, falls die Rechner sich gänzlich verrannten. Der Speicher DPR hat den Vorzug, daß die Rechner sogar asyn chron, jedenfalls taktverschoben arbeiten können, ohne daß sich die Rechner gegenseitig durch den Vergleich verzögern und die rasche unmittelbare Erzeugung des Lenknotsignales zu behindern.

Die Rechner können so - besonders nach Abgabe eines Lenknotsi gnals und/oder nach dem Erkennen eines einem Fehler entsprechen den Statussignals St eines beliebigen Bestandteils, vgl. Noh, Sa, L, Sv, Nom - also zur Fehlerdiagnose veranlaßt, wozu beide Rechner angehalten werden können. Sobald die Diagnose getroffen und z.B. über die Einheit Diag abgespeichert wurde, werden schließlich beide Rechner neu gestartet.

Falls beim Start die Lenkung zunächst wie im Notfalls betrieben wird, sollte die Lenkeinrichtung LE erst dann in den Normalbe trieb übergehen, wenn die Steuersignale und/oder die genannten Informationen ergaben, daß ein kein Notfall vorliegt.

Bevorzugt wird in der Startphase des Straßenfahrzeugs jedem Rechner ein anderes Notorgan der beiden Notorgane individuell zugeordnet, bis die Überprüfung der Notorgane schließlich deren Fehlerfreiheit signalisiert. Nach dem Übergang in den Normalbe trieb liefert im Notfall jeder Rechner sein Lenknotsignal aber direkt an beide Notorgane ab. Damit ist auf relativ übersicht liche Weise sicherstellbar, daß die Rechner und mehr oder weni ger alle wesentlichen Organe der Steuereinheit überprüften, be vor zum Normalbetrieb, d.h. zum normalen Lenken der Hinterräder, übergegangen wird.

Besonders zuverlässig sind solche Notorgane, die selbst erst nach Aktivierung mittels eines besonderen Aktivierungsprozesses ihrerseits in den Normalbetriebszustand übergehen. Solche Not organe sind also im Ruhezustand und unmittelbar nach dem Start des Straßenfahrzeuges von sich aus wie im Notfall betrieben, unabhängig von den beiden Rechnern.

Die Rechner können im Prinzip synchron arbeiten. Bevorzugt wird aber ein Betrieb, bei welchem die beiden Rechner zwar synchron, aber angenähert um eine halbe Auswerteperiode zeitlich verscho ben arbeiten. Wenn die Auswerteperiode eines Rechners also z.B. im Mittel 20 msec dauert, dann beträgt die optimale zeitliche Verschiebung angenähert 10 msec. Auf diese Weise ist erreichbar, daß der eine Rechner sein Lenknotsignal bereits abgibt, während der andere seine Auswertung noch gar nicht abgeschloß. Eine sol che Steuereinheit reagiert also im Regelfall, solange nämlich beide Rechner einwandfrei arbeiten, im Notfall besonders rasch.

Man kann jedoch die Zuverlässigkeit der Steuereinheit auch auf andere Weise zusätzlich erhöhen. So kann man die Rechner soft ware-mäßig und/oder hardware-mäßig verschieden ausstatten und dann sogar asynchron betreiben. Entsprechend werden dann viele Folgen von Software-Fehlern und Hardware-Fehlern unschädlich, besonders wenn wegen unterschiedlicher Programme der eine der beiden Rechner sich verrennt, wo hingegen der andere Rechner aufgrund seines Programmes noch relativ rasch zu einem von ihm selbst akzeptierten Rechenergebnis kommt. Durch eine solche asynchrone Betriebsweise beider Rechner, welche besonders durch Software- und/oder Hardware-Unterschiede ermöglicht wird, kön nen also beide Rechner sehr flexibel entsprechend ihrem jewei ligen Zeitbedarf zur Auswertung der Steuersignale arbeiten, was gerade in kritischen Situationen die Reaktionsgeschwindigkeit der Steuereinheit stark erhöhen kann.

Auch die Sensoren können in redundanter Weise mehrfach ange bracht und also auch in redundanter, im Prinzip aber sehr unter schiedlicher Weise dieselbe physikalische Größe messen. Z.B. können Lenkwinkelausschläge einmal in unmittelbarer Nähe der betreffenden Räder und dann redundant zusätzlich nahe an Lenk getriebeteilen gemessen werden. Vor allem ist es auch möglich, nur jenen Sensor der redundanten Sensoren für die Auswertung zu berücksichtigen, welcher die stärksten Anzeichen eines Not falles liefert.

Es ist nicht nötig, daß die Sensorsignale oder daraus gewonnene - z.B. digitale - Steuersignale stets unmittelbar den Rechnern zugeführt werden. Man kann dazwischen auch Aufbereitungseinhei ten - vgl. Ae 1, Ae 2, Ae 3 in Fig. 1 und Ae in Fig. 2 - in die Zu führungen einfügen, welche die Steuersignale vorbearbeiten, z.B. in aus den Sensorsignalen ableitbare Parameter umrechnen, und/oder aus verschiedenen Sensorsignalen ein gemeinsames Steu ersignal erarbeiten. Solche Aufbereitungseinheiten ermöglichen, daß die Rechner P 1, P 2 für sich in einem besonders raschen Aus werteperiodentakt arbeiten können, was die Zuverlässigkeit der Steuereinheit weiter erhöht.

Solche Aufbereitungseinheiten können im Prinzip ihre Ergebnisse getrennt an die Rechner, vgl. AE 1, AE 2 in Fig. 1, oder auch ge meinsam an beide Rechner, vgl. Ae 3 in Fig. 1 und Ae in Fig. 2, weitergeben. Wenn sie ihre Ergebnisse jeweils an beide Rechner weitergeben, wird die Entlastung der beiden Rechner mit beson ders wenig Hardware-Aufwand erreicht - wobei dann, wenn diese Aufbereitungseinheit dann zusätzlich gedoppelt ist, vgl. FIG 2, eine gegenseitige Überwachung bzw. eine worst-case-Selection durch die Rechner möglich, und die Rechner auch bei fehlerhaf tem Arbeiten einer der beiden Aufbereitungseinheiten noch sehr zuverlässig und rasch im Bedarfsfall ihr Lenknotsignal abgeben.

Über eine nachträgliche Diagnose mittels einer Diagnoseeinheit Diag kann später bei der Wartung des Straßenfahrzeuges die Ur sache von Störungen der Steuereinheit, z.B. bei Bedarf auch der Abweichungen zwischen den beiden Aufbereitungseinheiten, näher ermittelt werden.

Im Prinzip kann man Sensoren, welche redundant angebracht sind, so aufgeteilt an die Aufbereitungseinheiten anschließen, daß der eine Sensor an die eine Aufbereitungseinheit und der andere Sensor an die andere Aufbereitungseinheit angeschlossen wird, vgl. z.B. Fig. 2. Dies gestattet z.B., nachträglich die Ursachen für unterschiedliche Sensorsignale von an sich zusammengehören den redundanten Sensoren, z.B. mittels der Einheit Diag oder z.B. durch die Rechner selbst oder durch die Überwachungsein heit Sv - vgl. Fig. 1 - zu ermitteln.

Claims

1. Elektronische Steuereinheit zur Lenkung der Hinterräder eines Straßenfahrzeuges, mit

- einer Lenkeinrichtung (LE), die, ihrerseits in einem Notfall gesteuert von einem Lenknotsignal, entsprechend einem gewähl ten Notbetriebskonzept den Lenkwinkel der Hinterräder notfall gerecht steuert - also z.B. den Lenkwinkel verzögert auf NULL steuert oder z.B. starr den zuletzt gegebenen Lenkwinkel bei behält,
- Sensoren (SE mit Lwr 1, Lwr 2, ABS, Tach, Ist 1, Ist 2, St), welche zumindest jeweils den Lenkwinkel (Lwr 1, Lwr 2), die Fahrgeschwindigkeit (Tach) und den Lenkradeinschlag (Lw 1), oder davon jeweils abhängige Größen erfassen, und - einer Recheneinheit (P), die einen Rechner (P 1, P 2) enthält, dem die Sensorsignale und/oder davon abgeleitete Signale als Steuersignale zugeführt werden und der (P 1, P 2), abhängig von einer programmgesteuerten, Notfälle erkennenden Auswertung der Steuersignale, im Notfall das Lenknotsignal an die Lenk einrichtung (LE) abgibt,

dadurch gekennzeichnet, daß

- in der Recheneinheit (P) der Rechner gedoppelt (P 1, P 2) ist, - die Steuersignale jedem der beiden Rechner (P 1, P 2) zugeführt werden, - beide Rechner (P 1, P 2) für sich die Steuersignale auswerten, und
- jeder Rechner (P 1, P 2) für sich, unabhängig vom anderen Rechner (P 2, P 1), im Notfall ein Lenknotsignal sofort an die Lenkeinrichtung (LE) abgibt.

2. Steuereinheit nach Patentanspruch 1, dadurch gekennzeichnet, daß

- den Rechnern (P 1, P 2) zum Selbsttest der Steuereinheit auch Testsignale und/oder Statussignale (St) von Bestandteilen (Noh, Sa, L, Sv, Nom) der Steuereinheit zugeführt werden, und
- der betreffende Rechner (P 1, P 2), wenn er gemäß dem Selbst test Störungen eigener Bestandteile erkannte, ein Lenknotsi gnal abgibt.

3. Steuereinheit nach Patentanspruch 1 oder 2, dadurch gekennzeichnet, daß

- die Lenkeinrichtung (LE) in redundanter Weise mindestens zwei Notorgane (Noh, Nom) aufweist, die jedes für sich im Notfall den Lenkwinkel entsprechend dem Notbetriebskonzept notfallge recht steuern kann.

4. Steuereinheit nach Patentanspruch 3, dadurch gekennzeichnet, daß

- jeder Rechner (P 1, P 2) sein Lenknotsignal - jedenfalls im Regelfall - jeweils an beide Notorgane (Noh, Nom) über indi viduell den einzelnen Rechnern (P 1, P 2) zugeordnete Lenknot signalleitungen abgibt.

5. Steuereinheit nach einem der vorhergehenden Patentansprüche, dadurch gekennzeichnet, daß

- beide Rechner (P 1, P 2), zur nachträglichen Notfalldiagnose und/oder zum gegenseitigen Testen beim Start und/oder beim laufenden Betrieb des Straßenfahrzeuges, Informationen aus tauschen.

6. Steuereinheit nach Patentanspruch 5, dadurch gekennzeichnet, daß

- daß die Informationen in einem Dual-Port-RAM (DPR) so gespei chert werden, daß jeder Rechner (P 1, P 2) dort einen Speicher bereich hat, in welchem er selbst schreiben und lesen kann und in welchem aber der andere Rechner (P 2, P 1) jeweils nur lesen kann, unabhängig davon, ob evtl. zusätzlich ein beson derer Speicherbereich von beiden Rechnern (P 1, P 2) gelesen und beschrieben werden kann.

7. Steuereinheit nach Patentanspruch 5 oder 6, dadurch gekennzeichnet, daß

- nach Abgabe eines Lenknotsignals und/oder nach Erkennen eines einen Fehler entsprechenden Statussignals (St) eines Bestand teils (Noh, Sa, L, Sv, Nom) der Steuereinheit, beide Rechner (P 1, P 2) angehalten, zur Fehlerdiagnose veranlaßt und schließ lich beide (P 1, P 2) neu gestartet werden.

8. Steuereinheit nach einem der vorhergehenden Patentansprüche, dadurch gekennzeichnet, daß

- beim Start des Straßenfahrzeuges das Notorgan (Noh, Nom) zunächst wie im Notfall betrieben wird.

9. Steuereinheit nach Patentanspruch 8 und einem der Patentan sprüche 3 oder 4, dadurch gekennzeichnet, daß

- in der Startphase des Straßenfahrzeuges jedem Rechner (P 1, P 2) ein anderes Notorgan (Noh, Nom) der beiden Notorgane (Noh, Nom) individuell zugeordnet ist, bis eine Überprüfung der Notorgane (Noh, Nom) deren Fehlerfreiheit ergab.

10. Steuereinheit nach Patentanspruch 9, dadurch gekennzeichnet, daß

- die Lenkeinrichtung (LE) erst dann in den Normalbetrieb über geht, sobald die Steuersignale und/oder zwischen den Rechnern (P 1, P 2) ausgetauschte Informationen ergeben, daß kein Not fall vorliegt.

11. Steuereinheit nach einem der vorhergehenden Patentansprüche, dadurch gekennzeichnet, daß

- beide Notorgane (Noh, Nom) so aufgebaut sind, daß sie nach dem Start des Straßenfahrzeuges nur nach Aktivierung mittels eines besonderen Aktivierungsprozesses in den Normalbetriebs zustand übergehen.

12. Steuereinheit nach einem der vorhergehenden Patentansprüche, dadurch gekennzeichnet, daß

- zumindest einer der beiden Rechner (P 1, P 2) bei Normalbetrieb Lenksignale erzeugt, die er an die Lenkeinrichtung (LE, be sonders Sa) zur normalen Lenkwinkelsteuerung abgibt.

13. Steuereinheit nach einem der vorhergehenden Patentansprüche, dadurch gekennzeichnet, daß

- beide Rechner (P 1, P 2) synchron auswerten.

14. Steuereinheit nach Patentanspruch 13, dadurch gekennzeichnet, daß

- beide Rechner (P 1, P 2) synchron, aber angenähert um eine halbe Auswerteperiode zeitlich verschoben, auswerten.

15. Steuereinheit nach einem der vorhergehenden Patentansprüche, dadurch gekennzeichnet, daß

- der eine Rechner (P 1) ein anderes Auswerteprogramm enthält als der andere Rechner (P 2).

16. Steuereinheit nach einem der vorhergehenden Patentansprüche, dadurch gekennzeichnet, daß

- der eine Rechner (P 1) einen anderen Hardwareaufbau aufweist als der andere Rechner (P 2).

17. Steuereinheit nach einem der Patentansprüche 1 bis 13 und nach mindestens einem der Patentansprüche 15 oder 16, dadurch gekennzeichnet, daß

- beide Rechner (P 1, P 2) asynchron auswerten.

18. Steuereinheit nach einem der vorhergehenden Patentansprüche, dadurch gekennzeichnet, daß

- zumindest einer der den Rechnern (P 1, P 2) zugeordneten Senso ren (Lwr 1, Lwr 2, Ist 1, Ist 2) bzw. zumindest eines den den Rechnern zugeführten Steuersignale, bezogen auf die Gesamt heit der Steuersignale, an sich redundant ist.

19. Steuereinheit nach einem der vorhergehenden Patentansprüche, dadurch gekennzeichnet, daß

- zwischen zumindest einem Teil der Sensoren (Lwr 1, Lwr 2, ABS, Tach, Ist 1, Ist 2, Stat) und den Eingängen zumindest eines der Rechner (P 1) jeweils eine Hardware als Aufbereitungseinheit (Ae 1, Ae 2), die aus den Sensorsignalen abgeleitete Steuersi gnale erzeugt, so eingefügt ist, daß die betreffenden Steuer signale jeweils dem individuell der Aufbereitungseinheit (Ae 1) nachgeschalteten einzigen (Ae 1 an P 1, Ae 2 an P 2) der beiden Rechner (P 1, P 2) allein zugeführt werden.

20. Steuereinheit nach einem der Patentansprüche 1 bis 18, dadurch gekennzeichnet, daß

- zwischen zumindest einem Teil der Sensoren (Lwl 1, Lwr 2, ABS, Tach, Ist 1, Ist 2) und den Eingängen der Rechner (P 1, P 2) je weils eine Hardware als Aufbereitungseinheit (Ae 3), die aus den Sensorsignalen abgeleitete Steuersignale erzeugt, so ein gefügt ist, daß die betreffenden Steuersignale jeweils beiden Rechnern (P 1, P 2) zugeführt werden.

21. Steuereinheit nach Patentansprüchen 18 und nach Patentan spruch 19 oder 20, dadurch gekennzeichnet, daß

- jeweils der eine (Lwr 1, Ist 1) von zwei zusammengehörenden redundanten Sensoren (Lwr 1/Lwr 2, Ist 1/Ist 2) an die eine Auf bereitungseinheit, und der andere (Lwr 2, Ist 2) dieser Senso ren (Lwr 1/Lwr 2, Ist 1/Ist 2) an die andere Aufbereitungseinheit angeschlossen ist.