DE4219457A1

DE4219457A1 - Rechnersystem

Info

Publication number: DE4219457A1
Application number: DE19924219457
Authority: DE
Inventors: Hubert Dr Ing Dr Bischof
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 1992-06-13
Filing date: 1992-06-13
Publication date: 1993-12-16
Also published as: JPH0632240A

Description

Stand der Technik

Die Erfindung betrifft ein Rechnersystem.

Bei Ansteuerungen von Stellgliedern sicherheitsrelevanter Systeme sind hinsichtlich der Sicherheit hohe Anforderungen zu stellen. Dies betrifft insbesondere sicherheitsrelevante Systeme, deren Stellglie der rechnergesteuert betätigt werden. Solche sicherheitsrelevanten Systeme sind beispielsweise auf dem Gebiet der Kraftfahrzeugtechnik zu finden. Hier sind besonders Systeme als sicherheitsrelevant ein zustufen, die in die Längs- und/oder Querdynamik des Fahrzeugs ein greifen. Sicherheitskritische Eingriffe in die Längsdynamik eines Kraftfahrzeugs sind beispielsweise Eingriffe in die Vortriebsrege lung (elektrischer Drosselklappensteller) oder Eingriffe bezüglich des Bremsverhaltens (Antiblockiersysteme). Sicherheitsrelevante Sy steme, die insbesondere die Querdynamik eines Kraftfahrzeugs beein flussen, sind beispielsweise Lenksysteme. Insbesondere bei rechner gesteuerten Ansteuerungen von Stellgliedern solcher Lenksysteme sind hohen Sicherheitsanforderungen Genüge zu leisten. Im einzelnen soll hier auf Kraftfahrzeuge eingegangen werden, deren hintere Achse oder Achsen zusätzlich zu denen der Vorderachse lenkbar ausgelegt sind.

Zur Erhöhung der Fahrstabilität bzw. zur Verbesserung der Manövrier barkeit eines Fahrzeugs kann man von der bisher üblicherweise ver wendeten konventionellen Vorderradlenkung übergehen zu einer Hinter achs-Zusatzlenkung. Durch aktive Lenkansteuerungen der Hinterräder bestehen wesentlich mehr Möglichkeiten zur Verbesserung des Fahrver haltens als bei einer reinen Vorderradlenkung. Durch eine Hinter achs-Zusatzlenkung können das Eigenlenkverhalten und das Ansprech verhalten eines Fahrzeugs in einem großen Bereich modifiziert wer den. Der Einschlag der Hinterräder wird dabei im allgemeinen ab hängig vom Vorderradlenkeinschlag gewählt. Darüber hinaus ist es üblich, die Richtung, in welcher die hinteren Räder gelenkt werden, bei solchen Anordnungen abhängig von der Fahrgeschwindigkeit zu wählen. Bei hohen Geschwindigkeiten werden die Hinterräder gleich sinnig mit den Vorderrädern, d. h. in derselben Richtung wie die Vorderräder, gelenkt. Hierdurch reagiert das Fahrzeug schneller auf Richtungsänderungen. Bei sehr niedrigen Geschwindigkeiten werden die Hinterräder gegensinnig, d. h. in entgegengesetzter Richtung zu den Vorderrädern, gelenkt, um den Wendekreis des Fahrzeugs zu reduzie ren. So erreicht man, daß mit dem Fahrzeug engere Kurven gefahren werden können, was beispielsweise das Einparken vereinfacht. Bei der Ansteuerung solch sicherheitsrelevanter Systeme kommt im allgemeinen ein Rechnersystem zur Anwendung, das wenigstens zwei Rechner bzw. zwei Rechnerkanäle enthält, die sich in vielfältiger Weise gegenseitig überprüfen. Das Ziel der Auslegung solcher Rechnersysteme ist das Erkennen eines fehlerhaften Ansteuersignals der sicherheitsrelevanten Stellglieder. Insbesondere gilt es, Rechenfehler bei der Ermittelung der Ansteuersignale und/oder fehlerhaft arbeitende Sensoren zu erkennen. Als Reaktion auf das Er kennen eines fehlerhaften Ansteuersignals wird meist eine sicher heitsunkritische Ersatzansteuerung des Stellgliedes getätigt.

In der DE-OS 39 26 377 sind verschiedene Ausgestaltungen elektro nischer Steuergeräte, insbesondere zur Steuerung von Brennkraft maschinen, mit besonders hoher Zuverlässigkeit beschrieben. Diese Steuergeräte weisen neben dem Hauptrechner einen Nebenrechner auf, der den Hauptrechner überwacht und bei Ausfall des Hauptrechners Notfunktionen ausübt. Weiterhin sind für jeden Rechner Watch-Dog-Schaltungen vorhanden. Bei diesen Steuergeräten werden durch Plausibilitätsbetrachtungen der Überwachungsergebnisse der Watch-Dog-Schaltungen und des Datenaustausches der beiden Rechner untereinander die Richtigkeit der Ansteuerungen von Stellgliedern überprüft.

In der DE-OS 38 16 254 wird eine elektronische Steuereinheit zur Lenkung der Hinterräder eines Straßenfahrzeugs vorgestellt. Bei die ser Steuereinheit sind zwei Rechner vorhanden, die sich gegenseitig durch Datenaustausch kontrollieren. Wird eine Fehlfunktion der Rech ner festgestellt, so wird ein Lenknotsignal an die Lenkeinrichtungen abgegeben.

Aufgabe der vorliegenden Erfindung ist die einfache Auslegung eines Rechnersystems zur Ansteuerung von Stellgliedern sicherheits relevanter Systeme.

Diese Aufgabe wird durch die in den Ansprüchen 1, 4 und 5 aufgeführ ten Merkmale gelöst.

Vorteile der Erfindung

Erfindungsgemäß wird lediglich ein einziger Rechner (Controller) zur Bildung und Überprüfung der Ansteuersignale der sicherheitsrelevan ten Stellglieder verwendet. Dies hat den Vorteil, daß das erfin dungsgemäße Rechnersystem einfach und damit kostengünstig ist, wobei ein hohes Sicherheitsniveau des Systems erfindungsgemäß durch eine Auslegung als zweikanaliges Einrechnersystem erreicht wird.

Erfindungsgemäß geschieht die Bildung der Ansteuersignale ausgehend von Sensorsignalen. Das entsprechende Sensorsystem kann dabei vor teilhafterweise redundant ausgelegt sein. Um ein hohes Sicherheits niveau des Gesamtsystems zu erhalten, muß sichergestellt werden, daß die Ansteuersignale zum einen nicht auf den Daten fehlerhaft arbei tender Sensoren beruhen und zum anderen muß überprüft werden, ob die Bildung der Ansteuersignale im Rechner fehlerfrei verläuft. Wird nun ein einziger Rechner verwendet, so kann vorgesehen sein, daß dieser Rechner im gewissen Umfang die von ihm selber ausgeführte Bildung der Ansteuersignale überprüft und gegebenenfalls die redundant vorhan denen Sensorsignale vergleicht. Ein fehlerhaft arbeitender Rechner kann aber auch fehlerhafte Überprüfungen und Vergleiche liefern. Erfindungsgemäß wird daher ein Rechnersystem für sicherheitskri tische Anwendungen vorgeschlagen, bei dem als eine oder mehrere Ein gangsgrößen die Ausgangssignale von einem oder mehreren Sensoren an liegen. Weiterhin ist ein Rechner vorgesehen, durch den das oder die Sensorsignale zu einem Ansteuersignal a1 des sicherheitskritischen Stellgliedes mittels einer ersten Funktion f1 verarbeitet werden. Liegt beispielsweise ein einziges Sensorsignal e1 als Eingangsgröße an, so stellt sich die erste Funktion f1 folgendermaßen dar:

a1 = f1(e1) (1)

Liegen beispielsweise zwei Sensorsignale e1 und e2 als Eingangs größen an, so gilt:

a1 = f1(e1,e2) (1′)

Liegen beispielsweise als Eingangsgrößen e1, e2, e1R und/oder e2R die Ausgangssignale redundant ausgelegter Sensoren 1, 2, 1R und 2R an, so können folgende Vergleiche mittels des Rechners getätigt werden:

e1 e1R und/oder e2 e2R (2)

Ein sicherheitsgerichtetes Signal wird dann abgegeben, sobald die entsprechenden Signale der redundanten Sensoren verschieden sind. Darüber hinaus können rechnerintern weitere Abfragen, beispielsweise Plausibilitätsbetrachtungen der rechnerinternen Signale angestellt werden und/oder aus dem Stand der Technik bekannte, sogenannte Watch-Dog-Schaltungen vorgesehen sein, die bestimmte Kontrollsignale vom fehlerfrei arbeitenden Rechner erhalten und bei Änderungen oder Ausbleiben dieser Signale sicherheitsgerichtete Ansteuerungen des sicherheitsrelevanten Stellgliedes einleiten können.

Der Kern der Erfindung besteht nun darin, daß in dem Rechner die, wie oben beschrieben, ermittelte Ausgangsgröße a1 mit jeweils einer der Eingangsgrößen e1 und e2 entsprechend wenigstens einer zweiten und dritten Funktion f2 und f3 zu den Größen e1′ und e2′ verknüpft wird:

e1′ = f2(a1,e2)
e2′ = f3(a1,e1) (3)

Hierbei ist die zweite Funktion f2 die bzgl. der ersten Eingangs größe e1 invertierte erste Funktion f1 und die dritte Funktion f3 die bzgl. der zweiten Eingangsgröße e2 invertierte erste Funktion f1, das heißt, daß die zweite und dritte Funktion f2 und f3 die be züglich der ersten und zweiten Eingangsgrößen e1 und e2 gebildeten Umkehrfunktionen der ersten Funktion f1 sind.

Liegt lediglich ein einziges Sensorsignal als Eingangssignal an, so ergibt sich

e1′ = f2(a1) (3′)

Bei einem ordnungsgemäß arbeitenden Rechner muß also gelten:

e1′ = e1 und/oder e2′ = e2 (4)

Dies kann wiederum rechnerintern überprüft werden.

Im Falle, daß redundante Sensorsignale e1R und/oder e2R zur Ver fügung stehen, können diese rechnerintern mit den Invertierungsergeb nissen e1′ und/oder e2′ verglichen werden

e1′ e1R und/oder e2′ e2R (4′)

Bei Abweichungen der oben aufgeführten Vergleiche werden sicherheits gerichtete Ansteuerungen des Stellgliedes getätigt werden. Aber auch hierbei ist zu beachten, daß ein fehlerhaft arbeitender Rechner auch fehlerhafte Vergleiche (2), (4) und (4′) liefern kann.

Erst dadurch, daß erfindungsgemäß die Vergleiche (4) und/oder (4′) rechnerextern, also hardwaremäßig getrennt von dem das Ansteuersig nal a1 ermittelnden Rechner, durchgeführt werden, ist ein zweikana liges Einrechnersystem realisiert. Abhängig von diesen rechnerex ternen Vergleichen können wiederum im Fehlerfall sicherheitsgerich tete Ansteuerungen des Stellgliedes vorgenommen werden.

Mit dem erfindungsgemäßen System, insbesondere im Falle redundanter Sensorsignale, wird somit die Wirkungskette von den Sensoren bis zum rechnerausgangsseitig anliegenden Ansteuersignal a1 für das sicher heitsrelevante Stellglied überprüft.

Darüber hinaus kann auch vorgesehen sein, eine durch das im Rechner gebildete Ansteuersignal beaufschlagte Treiberstufe in die Überprüfung mit einzubeziehen, indem die obenbeschriebenen zweiten und dritten Funktionen bei der Invertierung des in der Treiberstufe ver stärkten Ansteuersignals die Verstärkung berücksichtigen.

Eine vorteilhafte Ausgestaltung des erfindungsgemäßen Systems be steht darin, den Rechner digital und die rechnerexternen Vergleiche als analoge Schaltungen auszubilden.

Weiterhin kann vorteilhafterweise vorgesehen sein, während des Be triebs und/oder vor der Inbetriebnahme (pre-drive-check) des Rech nersystems programmgemäß "falsche" Vergleichswerte e1′ und/oder e2′ zu simulieren, wodurch die sicherheitsgerichteten Ansteuerungen des Stellgliedes veranlaßt werden. Hiermit kann die ordnungsgemäße Funk tion des Systems überprüft werden.

Vorteilhaft ist die Anwendung des erfindungsgemäßen Rechnersystems in Lenksystemen für Kraftfahrzeuge. Hierbei ist das sicherheitsrele vante Stellglied beispielsweise ein hydraulisch oder elektrisch arbeitender Aktuator zur Verstellung des Lenkeinschlages der Vorder- und/oder Hinterräder.

Weitere vorteilhafte Ausgestaltungen des erfindungsgemäßen Systems sind den Unteransprüchen zu entnehmen.

Zeichnung

Anhand der Fig. 1, 2, 3 und 4 sollen im folgenden Ausführungsbei spiele des erfindungsgemäßen Systems beschrieben werden.

Ausführungsbeispiel

In den Figuren sind mit dem Bezugszeichen 1 und 2 erste und zweite Sensormittel und mit den Bezugszeichen 1R und 2R erste und zweite redundante Sensormittel bezeichnet. Die Ausgangssignale dieser Sensormittel e1, e1R, e2 und e2R werden den Rechnermitteln 20 zuge führt. Mit den Bezugszeichen 6 und 7 sind erste und zweite Verzö gerungsmittel markiert. Für die ersten und zweiten Vergleichsmittel stehen die Bezugszeichen 4 und 5. Die Bezugszeichen 11, 12, 13 und 14 repräsentieren erste, zweite, dritte und vierte Treibermittel und mit dem Bezugszeichen 3 ist eine Watch-Dog-Schaltung bezeichnet. Mit dem Bezugszeichen 10 ist ein sicherheitsrelevantes Stellglied markiert.

Die in den im folgenden anhand der Fig. 1 bis 4 zu beschreibenden vier Ausführungsbeispiele unterscheiden sich im wesentlichen darin, daß die erfindungsgemäße Idee bei Rechnersystemen mit unterschied licher Sensorik dargestellt wird.

- Im ersten Ausführungsbeispiel (Fig. 1) wird davon ausgegangen, daß dem Rechnersystem zur Bildung des Ansteuersignals a1 zwei redun dant ausgelegte Sensorsignale e1, e1R und e2, e2R zugeführt werden.
- Im zweiten Ausführungsbeispiel (Fig. 2) wird davon ausgegangen, daß dem Rechnersystem zur Bildung des Ansteuersignals a1 zwei (nicht redundant ausgelegte) Sensorsignale e1 und e2 zugeführt werden.
- Im dritten Ausführungsbeispiel (Fig. 3) wird davon ausgegangen, daß dem Rechnersystem zur Bildung des Ansteuersignals a1 ein einziges redundant ausgelegtes Sensorsignal e1 und e1R zuge führt werden.
- Im vierten Ausführungsbeispiel (Fig. 4) wird davon ausgegangen, daß dem Rechnersystem zur Bildung des Ansteuersignals a1 nur ein einziges (nicht redundant ausgelegtes) Sensorsignale e1 zugeführt wird.

Im folgenden soll zur Erläuterung des erfindungsgemäßen Rechner systems das erste Ausführungsbeispiel (Fig. 1) näher beschrieben werden.

In Fig. 1 werden zur Ansteuerung eines Stellgliedes 10 die Ausgangs signale e1 und e2 der ersten und zweiten Sensormittel 1 und 2 in den Rechnermitteln 20 zu dem Ansteuersignal a1 verarbeitet. Bei dem Stellglied 10 kann es sich beispielsweise um einen hydraulisch und/oder elektrisch arbeitenden Aktuator zur Verstellung der Lenk einschläge der Vorder- und/oder Hinterräder handeln. So werden bei einer Vierradlenkung üblicherweise die Fahrzeuglängsgeschwindigkeit und der Vorderrad- bzw. der vom Fahrer induzierte Lenkradwinkel sensiert. Abhängig von diesen Daten werden dann die Hinterradein schläge berechnet.

Es kann vorgesehen sein, daß das Ansteuersignal a1 nicht direkt dem Stellglied 10 zugeführt wird, sondern über eine erste Treiberstufe TR1 mit dem Bezugszeichen 11 zu dem verstärkten Ansteuersignal a1′ verstärkt wird. Die Verknüpfung der ersten und zweiten Eingangsgrö ßen e1 und e2 geschieht in diesem Ausführungsbeispiel durch die er ste Funktion f1:

a1 = f1 (e1, e2)

Weiterhin liegen eingangsseitig der Rechnermittel 20 die Ausgangs signale e1R und e2R der redundanten ersten und zweiten Sensormittel 1R und 2R an. Hierbei sind die redundanten ersten und zweiten Sensor mittel 1R und 2R redundant zu den ersten und zweiten Sensormitteln 1 und 2. In den Rechnermitteln 20 kann nun vorgesehen werden, die Ausgangssignale der redundant ausgelegten Sensormittel zu ver gleichen:

e1 e1Re2 e2R

Sollten die Ausgangssignale der redundant ausgelegten Sensormittel in bestimmter Weise voneinander abweichen, so ist davon auszugehen, daß die Sensormittel und/oder die Übertragungsmittel von den Senso ren zu dem Rechner und/oder die Vergleiche im Rechner fehlerhaft sind. In diesem Falle schaltet der Rechner 20 über die Treiberstufe TR4 mittels des Signals S0 das sicherheitsrelevante Stellglied 10 sicherheitsgerichtet ab. Solch eine sicherheitsgerichtete Abschal tung des Stellgliedes 10 kann bei einer Hinterradlenkung beispiels weise eine Arretierung der Hinterräder in der augenblicklichen Stellung bedeuten. Andere mögliche sicherheitsgerichtete Abschaltmöglichkeiten bestehen darin, die Hinterräder langsam auf den Lenk einschlag Null zurückzufahren oder das Ansteuersignal a1 mit einer zeitlich abnehmenden Funktion zu multiplizieren, so daß sich die Hinterradlenkung "langsam ausblendet".

Zusätzlich zur Bildung des Ansteuersignals a1 gemäß der Funktions vorschrift der ersten Funktion f1 werden in den Rechnermitteln 20 die zweiten und dritten Ausgangsgrößen e1′ und e2′ mittels der zwei ten und dritten Funktionen f2 und f3 gebildet:

e1′ = f2 (a1, e2)
e2′ = f3 (a1, e1).

Hierbei ist die zweite Funktion f2 die bezüglich der ersten Ein gangsgröße e1 invertierte erste Funktion f1 und die dritte Funktion f3 die bezüglich der zweiten Eingangsgröße e2 invertierte erste Funktion f1. Zur Verdeutlichung soll im folgenden ein einfaches Bei spiel dienen:

Nimmt man an, daß das Ansteuersignal a1 die ersten und zweiten Ein gangsgrößen e1 und e2 gemäß der ersten Funktion wie folgt verknüpft:

a1 = C1_* e1 + C2_* e2.

Dann ergibt sich für die zweiten und dritten Ausgangsgrößen e1′ und e2′ bzw. für die zweite und dritte Funktion f2 und f3 folgende Vor schrift:

e1′ = (a1 - C2_* e2) : C1
e2′ = (a1 - C1_* e1) : C2.

Durch die oben beschriebenen Invertierungen erhält man also die zwei ten und dritten Ausgangsgrößen e1′ und e2′, die bei einem fehlerfrei arbeitenden System gleich den ersten und zweiten Eingangssignalen e1 und e2 bzw. gleich den redundanten Eingangsgrößen e1R und e2R sind. Die entsprechenden Vergleiche können, wie in der Fig. 1 angedeutet, in den Rechnermitteln 20 getätigt werden. Liefern die Invertierungen nicht die gewünschten Übereinstimmungen mit den Eingangsgrößen, so kann das Stellglied 10 wie oben beschrieben, sicherheitsgerichtet abgeschaltet werden.

Ein großes Problem bei einem solchen Einrechnersystem besteht nun darin, daß ein fehlerhaft arbeitender Rechner 20 auch fehlerhafte Vergleichsergebnisse liefern kann. Zur Lösung dieses Problems ist vorgesehen, die Ausgangssignale e1R und e2R der redundanten ersten und zweiten Sensormittel den ersten und zweiten Verzögerungsmitteln (F1, F2) 6 und 7 zuzuführen. Die ersten und zweiten Verzögerungs mittel 6 und 7 dienen zur Verzögerung der Sensorsignale e1R und e2R, wobei die Verzögerungszeit der Zeitdauer entspricht, die der Rechner 20 zur Berechnung des Ansteuersignals a1 (erste Ausgangsgröße) und zur Berechnung der zweiten und dritten Ausgangsgrößen e1′ und e2′ (Ergebnisse der Invertierungen) benötigt. Die so verzögerten Signale e1R und e2R werden in den ersten und zweiten Vergleichsmitteln 4 und 5 mit den zweiten und dritten Ausgangsgrößen (Ergebnisse der Inver tierungen) e1′ und e2′ verglichen. Weichen die verzögerten Sensor signale e1R und e2R in vorbestimmbarer Weise von den zweiten und dritten Ausgangsgrößen (Ergebnisse der Invertierungen) e1′ und e2′ ab, so wird das Stellglied 10 über die Treibermittel TR2 und TR3 sicherheitsgerichtet abgeschaltet.

Vorteilhaft ist es nun, die Vergleichsmittel 4 und 5 außerhalb des Rechners 20 anzuordnen. So gelangt man zu einem zweikanaligen Einrechnersystem.

Geht man in einem zweiten Ausführungsbeispiel (Fig. 2) davon aus, daß dem Rechnersystem zur Bildung des Ansteuersignals a1 bzw. des ver stärkten Ansteuersignals a1′ zwei nicht redundant ausgelegte Sensor signale e1 und e2 zugeführt werden, so können die obengenannten In vertierungsergebnisse e1′ und e2′ lediglich mit den Eingangsgrößen e1 und e2 verglichen werden.

Im dritten Ausführungsbeispiel (Fig. 3) wird davon ausgegangen, daß dem Rechnersystem zur Bildung des Ansteuersignals a1 neben einem einzigen Sensorsignal e1 ein redundantes Signal e1R zugeführt werden. Hierbei wird das Ansteuersignal a1 gemäß

a1 = f1 (e1)

gebildet. Die Invertierungen ergeben sich dann zu

e1′ = f2 (a1)

und Vergleichsabfragen

e1R e1′ und/oder e1 e1′

können dann rechnerintern und/oder rechnerextern getätigt werden.

Fehlt wie im vierten Ausführungsbeispiel (Fig. 4) zu sehen das redun dante Sensorsignal e1R, so kann lediglich der Vergleich

e1 e1′

rechnerintern und/oder rechnerextern getätigt werden.

Als weitere Überprüfung des Betriebes der Rechnermittel 20 ist eine Watch-Dog-Schaltung 3 vorgesehen, die in bekannter Weise bestimmte Triggerimpulse vom Rechner 20 erhält bzw. bestimmte vorgebbare Impulse an den Rechner 20 liefert. Anhand der Analyse des Daten transfers zwischen dem Rechner 20 und der Watch-Dog-Schaltung 3 kann auf den fehlerfreien Betrieb des Rechners 20 geschlossen werden. Auch hier ist vorgesehen, bei einer Fehlererkennung das Stellglied 10 sicherheitsgerichtet abzuschalten.

Während in den obenbeschriebenen Ausführungsbeispielen die fehler freie Verknüpfung zu dem Ansteuersignal a1 im Rechner 20 kontrol liert wird, kann weiterhin vorgesehen sein, daß das Ansteuersignal a1 nicht direkt dem Stellglied 10 zugeführt wird, sondern in einer Treiberstufe TR1 11 zu dem verstärkten Ansteuersignal a1′ verstärkt wird. Wird nun dem Rechner 20 nicht das Ansteuersignal a1 zu den obenbeschriebenen Invertierungen zugeführt, sondern das verstärkte Ansteuersignal a1′ (gestrichelte Linien in den Figuren), so können die obenbeschriebenen Invertierungen auch für das verstärkte An steuersignal a1 durchgeführt werden, um in ähnlicher Weise zu den Signalen e1′ und/oder e2′ zu gelangen. Auf diese Weise wird die Treiberstufe TR1 in den überwachten Bereich aufgenommen.

In einer vorteilhaften Ausgestaltung des erfindungsgemäßen Rechner systems kann vorgesehen werden, statt des Ansteuersignals des sicherheitsrelevanten Stellgliedes 10 als erstes Ausgangssignal a1 eine beliebige im Rechner gebildete Zwischengröße heranzuziehen, deren Abhängigkeit von den Eingangsgrößen durch eine Funktion f1 gegeben ist. Auf diesen Fall läßt sich die obenbeschriebene Vor gehensweise in einfacher Weise übertragen.

Weiterhin können in der Figur nicht dargestellte Mittel vorgesehen sein, die während des Betriebes und/oder vor Inbetriebnahme (Pre-Drive-Check) des Rechnersystems statt der zweiten und/oder der dritten Ausgangsgrößen e1′ und e2′ von den zweiten und/oder dritten Ausgangsgrößen e1′ und e2′ unterschiedliche Ausgangsgrößen ausgeben.

Dadurch werden bei einer fehlerfreien Funktionsweise des gesamten Sicherheitssystems die sicherheitsrelevanten Abschaltungen ausge löst. So kann das Gesamtsystem auf seine Funktionsfähigkeit über prüft werden. Hierzu werden die Signale S0, S1 und S2, die zu einer sicherheitsgerichteten Abschaltung des Stellgliedes 10 führen, dem Rechner 20 zugeführt. Insbesondere kann hierdurch die Funktions fähigkeit der Vergleichereinheiten 4 und 5 überprüft werden.

Eine Voraussetzung für die obenbeschriebene Vorgehensweise besteht darin, daß die erste Funktion f1 wenigstens teilweise invertierbar bzw. umkehrbar ist und die Empfindlichkeit der zweiten und dritten Funktionen f2 und f3 abhängig von den Variablen e1, e2 und a1 aus reichend ist. Idealerweise sollten die Funktion f1, f2, f3 im zu überwachenden Wertebereich die gleiche Empfindlichkeit bei Änderun gen der Ein- und Ausgangsgrößen aufweisen.

Während der Rechner 20 vorteilhafterweise digital ausgeführt ist, kann vorgesehen sein, die Vergleichsmittel 4 und 5 bzw. die Verzöge rungsmittel 6 und 7 analog auszuführen.

Durch Rückeinlesung der Signale S0, S1 und S2, die die sicherheits gerichtete Abschaltung des Stellgliedes 10 veranlassen, können neben den Vergleichsmitteln V1 und V2 auch die Treibermittel 12, 13 und 14 überprüft werden.

Der Prozeß der Bildung des Ansteuersignals a1 nach der Funktion f1 wird durch die Funktionen f2 und f3 so erweitert, daß der redundante Verarbeitungspfad für jedes Eingangssignal nur noch aus einer Über tragungsleitung besteht. Damit werden die Kosten für eine aufwendige parallele Signalverarbeitung mittels eines Mikroprozessors oder mit tels einer Analogschaltung eingespart.

Claims

1. Rechnersystem für sicherheitskritische Anwendungen, bei dem

- als eine erste Eingangsgröße (e1) ein Ausgangssignal eines ersten Sensormittels (1) anliegt und
- Rechnermittel (20) vorgesehen sind, durch die mittels einer ersten Funktion (f1) die erste Eingangsgröße (e1) zu wenigstens einer ersten Ausgangsgröße (a1=f1(e1)) verarbeitet wird, dadurch gekennzeichnet, daß
- in den Rechnermitteln (20) die erste Ausgangsgröße (a1) mit der ersten Eingangsgröße (e1) entsprechend einer zweiten Funktion (f2) zu wenigstens einer zweiten Ausgangsgröße (e1′=f2(a1)) ver arbeitet wird, wobei die zweite Funktion (f2) die bzgl. der ersten Eingangsgröße (e1) invertierte erste Funktion (f1) ist.

2. Rechnersystem nach Anspruch 1, dadurch gekennzeichnet, daß zusätzlich zu der ersten Eingangsgröße (e1) als redundante erste Eingangsgröße (e1R) ein Ausgangssignal wenigstens eines redundan ten ersten Sensormittels (1R) anliegt, wobei das redundante erste Sensormittel (1R) eine redundante Auslegung des ersten Sensor mittels (1) ist.

3. Rechnersystem nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß Vergleichsmittel (4, 20) vorgesehen sind, durch die die zweite Ausgangsgröße (e1′) mit der ersten Eingangsgröße (e1) und/oder mit der redundanten ersten Eingangsgröße (e1R) verglichen wird und mittels der abhängig von den Vergleichsergebnissen sicherheitsrelevante Signale (S0, S1) abgegeben werden können.

4. Rechnersystem für sicherheitskritische Anwendungen, bei dem

- als wenigstens erste und zweite Eingangsgrößen (e1, e2) die Ausgangssignale von wenigstens ersten und zweiten Sensormitteln (1, 2) anliegen und
- Rechnermittel (20) vorgesehen sind, durch die die wenigstens erste und zweite Eingangsgröße (e1, e2) mittels einer ersten Funktion (f1) zu wenigstens einer ersten Ausgangsgröße (a1=f1(e1, e2)) verknüpft werden, dadurch gekennzeichnet, daß
- durch die Rechnermittel (20) die erste Ausgangsgröße (a1) mit jeweils einer der ersten und zweiten Eingangsgrößen (e1, e2) ent sprechend wenigstens einer zweiten und dritten Funktion (f2, f3) zu wenigstens einer zweiten und dritten Ausgangsgröße (e1′=f2(a1, e2), e2′=f3(a1, e1)) verknüpft werden, wobei die zweite Funktion (f2) die bzgl. der ersten Eingangsgröße (e1) invertierte erste Funktion (f1) und die dritte Funktion (f3) die bzgl. der zweiten Eingangsgröße (e2) invertierte erste Funktion (f1) ist.

5. Rechnersystem für sicherheitskritische Anwendungen, bei dem

- als wenigstens erste und zweite Eingangsgrößen (e1, e2) die Ausgangssignale von wenigstens ersten und zweiten Sensormitteln (1, 2) anliegen und
- Rechnermittel (20) vorgesehen sind, durch die die wenigstens erste und zweite Eingangsgröße (e1, e2) zu wenigstens einer ersten Ausgangsgröße (a1) verknüpft werden, und
- die erste Ausgangsgröße (a1) in ersten Treibermitteln (11) zu der verstärkten ersten Ausgangsgröße (a1′=V_*a1) verstärkt wird, so daß der funktionale Zusammenhang zwischen der verstärkten ersten Aus gangsgröße (a1′) und den ersten und zweiten Eingangsgrößen (e1, e2) durch eine erste Funktion (a1′=f1(e1, e2)) beschrieben wird, dadurch gekennzeichnet, daß
- durch die Rechnermittel (20) die verstärkte erste Ausgangsgröße (a1′) mit jeweils einer der ersten und zweiten Eingangsgrößen (e1, e2) entsprechend wenigstens einer zweiten und dritten Funk tion (f 2, f3) zu wenigstens einer zweiten und dritten Ausgangs größe (e1′=f2(a1′, e2), e2′=f3(a1′, e1)) verknüpft werden, wobei die zweite Funktion (f2) die bzgl. der ersten Eingangsgröße (e1) invertierte erste Funktion (f1) und die dritte Funktion (f3) die bzgl. der zweiten Eingangsgröße (e2) invertierte erste Funktion (f1) ist.

6. Rechnersystem nach Anspruch 4 oder 5, dadurch gekennzeichnet, daß zusätzlich zu den ersten und zweiten Eingangsgrößen (e1, e2) als redundante erste und zweite Eingangsgrößen (e1R, e2R) die Ausgangs signale wenigstens der redundanten ersten und zweiten Sensormittel (1R, 2R) anliegen, wobei das redundante erste Sensormittel (1R) eine redundante Auslegung des ersten Sensormittels (1) ist und das redun dante zweite Sensormittel (2R) eine redundante Auslegung des zweiten Sensormittels (2) ist.

7. Rechnersystem nach Anspruch 4, 5 oder 6, dadurch gekennzeichnet, daß Vergleichsmittel (4, 5, 20) vorgesehen sind, mittels der

- die erste Eingangsgröße (e1) mit der zweiten Ausgangsgröße (e1′) und die zweite Eingangsgröße (e2) mit der dritten Ausgangsgröße (e2′) und/oder
- die redundante erste Eingangsgröße (e1R) mit der zweiten Aus gangsgröße (e1′) und die redundante zweite Eingangsgröße (e2R) mit der dritten Ausgangsgröße (e2′) verglichen werden, und mittels der abhängig von den Vergleichser gebnissen sicherheitsrelevante Signale (S0, S1, S2) abgegeben werden können.

8. Rechnersystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Rechnermittel (20) als digitale Rechnerein heit und die Vergleichsmittel (4, 5) als analoge Schaltungen ausge bildet sind.

9. Rechnersystem nach Anspruch 3, 7 oder 8, dadurch gekennzeichnet, daß die redundanten ersten und/oder zweiten Eingangsgrößen (e1R, e2R) vor dem Vergleich in den Vergleichsmitteln (4, 5) Verzögerungs mittel (6, 7) durchlaufen, die die redundanten ersten und/oder zweiten Eingangsgrößen (e1R, e2R) entsprechend der Verknüpfungsdauer zur Bildung der zweiten und/oder dritten Ausgangsgrößen (e1′, e2′) verzögern.

10. Rechnersystem nach Anspruch 3, 7, 8 oder 9, dadurch gekenn zeichnet, daß die Verknüpfungen zur ersten, zweiten und/oder zur dritten Ausgangsgröße (a1, e1′, e2′) innerhalb der Rechnermittel (20) stattfinden und die Verzögerungsmittel (6, 7) und die Ver gleichsmittel (4, 5) außerhalb der Rechnermittel (20) angeordnet sind.

11. Rechnersystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Rechnermittel (20) mittels einer Watch-Dog-Schaltung (3) überprüft werden.

12. Rechnersystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß Mittel vorgesehen sind, die während des Betriebs und/oder vor Inbetriebnahme (pre-drive-check) des Rechnersystems statt der zweiten und/oder dritten Ausgangsgrößen (e1′, e2′) von den zweiten und/oder dritten Ausgangsgrößen (e1′, e2′) verschiedene Aus gangsgrößen ausgeben, wobei aus der Auslösung der sicherheitsrele vanten Signale (S1, S2) insbesondere auf die Funktionsfähigkeit der Vergleichereinheiten (4, 5) geschlossen wird.

13. Rechnersystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die erste Ausgangsgröße (a1) zur Ansteuerung eines Stellgliedes (10) verwendet wird, das insbesondere den Lenk einschlag von lenkbaren Vorder- oder Hinterrädern eines Kraftfahr zeugs beeinflußt.