DE4236525C1 - Schaltungsanordnung zur Absicherung eines elektronischen Regelsystems gegen sicherheitskritische Zustände - Google Patents

Description

Die Erfindung bezieht sich auf eine Schaltungsanordnung gemäß dem Oberbegriff des Patentanspruchs 1.

In elektronischen Steuergeräten insbesondere in Kraftfahrzeugen werden oftmals elektronische Schaltstufen (Leistungsendstufen) zur Ansteuerung von Stellgliedern eingesetzt. Diese Schaltstufen sind elektronische Schalter, die ihre Freigabe programmgesteuert durch ein Schaltsignal von der Rechnereinheit erhalten, in der softwaremäßig die Bedingungen für die Freigabe abgefragt werden.

Ein gattungsgemäßes Regelsystem ist beispielsweise in der DE 27 12 693 A1 dargestellt, wobei es sich um ein Anti-Blockier-System (ABS) handelt. Bei diesem für die Räder einer Achse ausgelegten System werden die Signale von Drehzahlfühlern in einer Auswerte­ schaltung bearbeitet, die in Abhängigkeit von dem ermittelten Bewegungsverhalten der Räder Stellsignale an Ventiltreiber gibt, welche die Ein- und Auslaßventile der den Rädern zugeordneten Brems-Drucksteuereinheiten ansteuern. Im Normalfall wird der Bremsdruck von der Auswerteschaltung für beide Räder getrennt geregelt. Die Drehzahlfühler werden in einer Überwachungsschal­ tung hinsichtlich des Auftretens von Störungen laufend überwacht. Dazu sind logische Schaltungen vorgesehen. Bei Auftreten einer Störung werden die Signale des gestörten Regelkanals gesperrt und die beiden Drucksteuereinheiten parallel mit den Signalen des un­ gestörten Regelkanals angesteuert. In diesem Fall ist der Druckverlauf in beiden Regelkanälen synchron, wodurch ein Auseinander­ driften der Bremsdrücke vermieden wird. Diese Maßnahme kann jedoch nicht eine störungsfreie, falsche Betätigung der Magnetventile verhindern, bei der Ein- und Auslaßventil gleich­ zeitig geöffnet werden. Dabei fiele nicht nur eine Radbremse aus, sondern es würde das Bremsvermögen des gesamten Fahrzeugs betroffen sein, weil der Druckluftbremskreis entlüftet würde.

Vergleichbare und ebenfalls nicht ausreichende Absicherungsmaß­ nahmen für einen ABS-Bremskreis sind auch aus der DE-OS 23 58 582 bekannt. Ergänzend ist noch die DE 30 37 125 A1 zu nennen: Damit bei einem Ausfall der ABS-Regelung, bei dem das Hinterrad blockiert, das Fahrverhalten des Fahrzeugs nicht unkontrollierbar wird, ist durch die Reihenschaltung von Sicherheitsschaltern für die Vorder- und für die Hinterachse dafür gesorgt, daß bei einem Defekt in der Antiblockierschaltung der Hinterachse auch die Antiblockierschaltung der Vorderachse außer Betrieb gesetzt wird. Eine starke Bremsung hat dann zwar zur Folge, daß auch die Vorderräder blockieren, doch ist dieses einer alleinigen Blockierung der Hinterräder vorzuziehen.

Allgemein betrachtet, lassen sich bei sicherheitsrelevanten Systemen wie einem ABS oft Kombinationen von Schaltsignalen bestimmen, die als besonders sicherheitskritisch einzustufen sind, weil sie einen Zustand herbeiführen, bei dem die Stell­ glieder in einer gefährlichen Weise zusammenwirken. Daher müssen diese Kombinationen von Schaltsignalen unter allen Umständen vermieden werden. Heute eingesetzte Verfahren realisieren das Verbot dieser Signalkombination in der Regel softwaremäßig. Der Nachteil an dieser rein softwaremäßigen Absicherung ist, daß damit das Eintreten eines kritischen Zustandes, der durch einen Fehler in der Rechnereinheit oder einen Defekt in den nachge­ schalteten Schaltstufen verursacht ist, nicht verhindert wird. Zwar kann die Rechnereinheit aus Rückmeldungen von Stellgliedern mittels Plausibilitätsabfragen erkennen, ob ein Defekt eingetreten ist, doch kann es bis dahin bereits zu spät sein.

Aufgabe der Erfindung ist es, eine Absicherung des elektronischen Regelsystems gegen sicherheitskritische Zustände zu schaffen, die über die softwaremäßige Absicherung hinausgeht.

Diese Aufgabe wird mit den kennzeichnenden Merkmalen des Pa­ tentanspruchs 1 gelöst. Weitere Vorteile der Erfindung gegen­ über dem bekannten Stand der Technik bestehen darin, daß mit der erfindungsgemäßen Maßnahme auf sehr einfache und kosten­ neutrale Weise eine sicherheitskritische Kombination von Schaltsignalen in ihrer Auswirkung unschädlich gemacht wird.

Ein Ausführungsbeispiel der Erfindung ist in der Zeichnung dargestellt und wird im folgenden näher beschrieben. Es zeigen:

Fig. 1: die erfindungsgemäße Schaltungsanordnung,

Fig. 2: eine Schaltungsanordnung nach dem Stand der Technik.

In der Zeichnung, Fig. 1 und Fig. 2, ist ein elektronisches Regelsystem dargestellt, bei dem eine Rechnereinheit (CPU) 1 Schaltstufen 2, 3 ansteuert, welche bei Freigabe eine Spannung U - beim Kraftfahrzeug in der Regel die Batteriespannung oder eine aus der Batteriespannung gewonnene Hilfsspannung - an das Stellglied 4 bzw. 5 durchschalten.

Bei dem im folgenden beschriebenen ABS entsprechen den Stell­ gliedern 4, 5 die (Elektro-)Magnetventile einer ABS-Druck­ steuer-Ventileinheit für ein Rad, wobei dem Stellglied 4 das Einlaß- und dem Stellglied 5 das Auslaßventil entspricht.

Bei der geregelten Vollbremsung mit ABS wird der in die Brems­ anlage eingesteuerte Bremsdruck in Abhängigkeit der gemessenen Radverzögerung so beeinflußt, daß ein Blockieren der Räder verhindert wird. Die Vorgänge dabei sind: Bremsdruck einsteuern, halten oder senken. Zur Regelung des Bremsdrucks wird bei einer Druckluft-Bremsanlage der vom Fahrer durch Betätigung des Bremspedals (nicht dargestellt) voreingestellte Bremsdruck 6 über eine Druckluftleitung (dicker Strich) dem Einlaßventil 4 der Drucksteuereinheit zugeführt, von wo aus der Bremsdruck durch das Auslaßventil 5 abgelassen oder als ABS-geregelter Bremsdruck 7 dem Radbremszylinder (nicht dargestellt) zugeführt wird. Die Magnetventile 4, 5 können elektromagnetisch betätigt werden und sind in ihrer Ruhestellung dargestellt, die sie aufgrund einer eingebauten Rückholfeder immer dann einnehmen, wenn keine Steuerspannung U anliegt.

Die Magnetventile 4, 5 werden von den zugeordneten Schaltstufen 2, 3 mit der Spannung U angesteuert, wobei die Freigabe durch ein Einlaß-Schaltsignal 12 bzw. ein Auslaß-Schaltsignal 13 mit Logikpegel "1" erfolgt.

In der folgenden Tabelle ist abhängig von den Schaltsignalen 12, 13 an den Schaltstufen 2, 3 die Wirkung auf den Bremsdruck dargestellt, wie sie sich bei einer Schaltungsanordnung nach dem Stand der Technik, Fig. 2 ergibt.

Die Schaltsignalkombination in der ersten Zeile stellt den ungeregelten Bremsfall dar, bei dem der vom Bremspedal voreinge­ stellte Bremsdruck 6 direkt an den Radbremszylinder weiter­ geleitet wird. Die zweite Schaltsignalkombination stellt einen Eingriff des ABS dar, bei dem der Bremsdruck gehalten wird, indem durch Sperren des Einlaßventils 4 eine weitere Druck­ erhöhung verhindert wird. Die dritte Schaltsignalkombination stellt einen stärkeren Eingriff des ABS dar: Das Einlaßventil 4 ist gesperrt und gleichzeitig das Auslaßventil 5 geöffnet, wodurch der Radbremszylinder entlüftet und damit der Bremsdruck 7 abgesenkt wird. Mit diesen ersten drei Schaltsignalkombinationen sind alle für eine ABS-Regelung benötigten Eingriffe in den Bremskreis abgedeckt.

Bei der verbleibenden, sich kombinatorisch ergebenden Schalt­ signalkombination, die in der letzten Zeile der Tabelle auf­ geführt ist, sind gleichzeitig das Einlaßventil 4 und das Aus­ laßventil 5 geöffnet. Bei dieser Ansteuerung der Magnetventile 4, 5 wird der gesamte Bremskreis, den (nicht dargestellten) der Drucksteuer-Ventileinheit vorgeschalteten Druckluft-Vorrats­ behälter eingeschlossen, entlüftet. Dieser letzte Fall darf niemals eintreten, da dabei das Bremssystem auch für weitere Bremsversuche außer Kraft gesetzt wird.

Alle innerhalb der Rechnereinheit 1 getroffenen Maßnahmen zur Vermeidung dieser letzten, sicherheitskritischen Signalkombination bieten jedoch nur einen eingeschränkten Schutz bei einer Schaltungsanordnung nach Fig. 2: Ein Defekt in einer der Schaltstufen 2, 3 kann nämlich nach wie vor einen sicherheits­ kritischen Zustand hervorrufen. Beispielsweise könnte es pas­ sieren, daß die Rechnereinheit 1 die Schaltstufen 2, 3 gemäß der ersten Signalkombination oben stehender Tabelle ansteuert, der Schalttransistor in der Schaltstufe 3 aufgrund eines Kurz­ schlusses über die Steuerspannung U an das Auslaß-Ventil 5 gibt, was in seiner Auswirkung dem Auftreten der sicherheitskritischen Schaltsignalkombination gleichkommt, bei dem der gesamte Bremskreis in der oben dargestellten Weise entlüftet wird.

Um diesen sicherheitskritischen Zustand auszuschließen, wird erfindungsgemäß vorgeschlagen, über die softwaremäßig in der Rechnereinheit 1 getroffenen Sicherheitsmaßnahmen hinaus, die Schaltungsanordnung in der Weise abzuändern und somit redundant zu gestalten, daß trotz eines Defektes der Schaltstufen 2, 3 der sicherheitskritische Zustand niemals eintreten kann.

Erfindungsgemäß wird die Schaltungsanordnung nach dem Stand der Technik dahingehend abgeändert, daß der Spannungseingang 3.1 der Schaltstufe 3 nicht direkt mit der Spannung U, sondern mit dem Spannungsausgang 2.2 der Schaltstufe 2 verbunden ist, wie in der Fig. 1 dargestellt. Damit ist sichergestellt, daß das Auslaßventil 5 nur dann bestromt werden kann, wenn auch das Einlaßventil 4 bestromt und damit gesperrt ist. Der sicher­ heitskritische Zustand - Öffnung des Auslaßventils 5 bei ge­ öffnetem Einlaßventil 4 - wird durch die Art der Verschaltung von vorneherein ausgeschlossen.

Die Schaltlogik nach dem Stand der Technik, wie sie in der obenstehenden Tabelle dargestellt ist, bleibt bei der erfin­ dungsgemäßen Schaltungsanordnung erhalten, ausgenommen die letzte Zeile. Die ursprüngliche sicherheitskritische Schaltsi­ gnalkombination (Einlaßschaltsignal 12 auf "0" und Auslaß­ schaltsignal 13 auf "1") bewirkt bei der erfindungsgemäßen Schaltanordnung die nicht sicherheitskritische Normalfunktion, bei der der Bremsdruck 6 ungeregelt auf den Bremszylinder geführt wird.

Ohne weiteres läßt sich die redundante Absicherungsmaßnahme auch auf Regelsysteme mit mehr als zwei nachgeschalteten Schaltstufen anwenden: Der erfindungsgemäßen technischen Lehre folgend ist es in vielen Fällen möglich, sicherheitskritische Zustände durch eine mehr oder minder hierarchisch gegliederte Verschaltung der Schaltstufen kostengünstig und effektiv aus­ zuschließen.

Claims (2)

1. Schaltungsanordnung zur Absicherung eines elektronischen Regelsystems in einem Fahrzeug gegen sicherheitskritische Zustände, wobei das Regelsystem aus einer Rechnereinheit, mehreren von der Rechner­ einheit angesteuerten logischen Schaltstufen und nachgeschalteten Stellgliedern besteht und bei Vorliegen eines von der Rechner­ einheit ausgegebenen Schaltsignals die betreffende Schaltstufe eine Versorgungsspannung (U), die am Spannungseingang der Schaltstufe anliegt, an den Spannungsausgang durchschaltet, an welchem das zugeordnete Stellglied angeschlossen ist, wobei ein sicherheitskritischer Zustand, bei dem eine erste Schaltstufe gesperrt, während eine zweite Schaltstufe geöffnet ist, durch Softwaremaßnahmen ausgeschlossen ist, dadurch gekennzeichnet, daß als redundante Absicherungsmaßnahme der Spannungseingang (3.1) der zweiten Schaltstufe (3) an den Spannungsausgang (2.1) der ersten Schaltstufe (2) angeschlossen ist.

2. Schaltungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß das elektronische Regelsystem einem Anti-Blockier-System (ABS) für ein Fahrzeug entspricht, wobei die erste Schaltstufe (2) das Einlaßventil (4) und die zweite Schaltstufe (3) das Auslaßventil (5) einer ABS-Drucksteuer-Ventileinheit ansteuern.