EP2788605A1 - Verfahren und vorrichtung zur überprüfung einer funktionsfähigkeit einer von einem multi-fuel-system betriebenen brennkraftmaschine - Google Patents

Verfahren und vorrichtung zur überprüfung einer funktionsfähigkeit einer von einem multi-fuel-system betriebenen brennkraftmaschine

Info

Publication number
EP2788605A1
EP2788605A1 EP12791725.0A EP12791725A EP2788605A1 EP 2788605 A1 EP2788605 A1 EP 2788605A1 EP 12791725 A EP12791725 A EP 12791725A EP 2788605 A1 EP2788605 A1 EP 2788605A1
Authority
EP
European Patent Office
Prior art keywords
fuel
control unit
fuel system
internal combustion
combustion engine
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
EP12791725.0A
Other languages
English (en)
French (fr)
Inventor
Oliver Fautz
Alexander Dubs
Sergey Antonov
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Robert Bosch GmbH
Original Assignee
Robert Bosch GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Robert Bosch GmbH filed Critical Robert Bosch GmbH
Publication of EP2788605A1 publication Critical patent/EP2788605A1/de
Withdrawn legal-status Critical Current

Links

Classifications

    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/30—Controlling fuel injection
    • F02D41/3005—Details not otherwise provided for
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/22—Safety or indicating devices for abnormal conditions
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/0025—Controlling engines characterised by use of non-liquid fuels, pluralities of fuels, or non-fuel substances added to the combustible mixtures
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/0025—Controlling engines characterised by use of non-liquid fuels, pluralities of fuels, or non-fuel substances added to the combustible mixtures
    • F02D41/0027—Controlling engines characterised by use of non-liquid fuels, pluralities of fuels, or non-fuel substances added to the combustible mixtures the fuel being gaseous
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/24—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means
    • F02D41/26—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means using computer, e.g. microprocessor
    • F02D41/266—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means using computer, e.g. microprocessor the computer being backed-up or assisted by another circuit, e.g. analogue
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02M—SUPPLYING COMBUSTION ENGINES IN GENERAL WITH COMBUSTIBLE MIXTURES OR CONSTITUENTS THEREOF
    • F02M43/00—Fuel-injection apparatus operating simultaneously on two or more fuels, or on a liquid fuel and another liquid, e.g. the other liquid being an anti-knock additive
    • F02M43/04—Injectors peculiar thereto
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D19/00—Controlling engines characterised by their use of non-liquid fuels, pluralities of fuels, or non-fuel substances added to the combustible mixtures
    • F02D19/06—Controlling engines characterised by their use of non-liquid fuels, pluralities of fuels, or non-fuel substances added to the combustible mixtures peculiar to engines working with pluralities of fuels, e.g. alternatively with light and heavy fuel oil, other than engines indifferent to the fuel consumed
    • F02D19/0639—Controlling engines characterised by their use of non-liquid fuels, pluralities of fuels, or non-fuel substances added to the combustible mixtures peculiar to engines working with pluralities of fuels, e.g. alternatively with light and heavy fuel oil, other than engines indifferent to the fuel consumed characterised by the type of fuels
    • F02D19/0642—Controlling engines characterised by their use of non-liquid fuels, pluralities of fuels, or non-fuel substances added to the combustible mixtures peculiar to engines working with pluralities of fuels, e.g. alternatively with light and heavy fuel oil, other than engines indifferent to the fuel consumed characterised by the type of fuels at least one fuel being gaseous, the other fuels being gaseous or liquid at standard conditions
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/22—Safety or indicating devices for abnormal conditions
    • F02D2041/224—Diagnosis of the fuel system
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02T—CLIMATE CHANGE MITIGATION TECHNOLOGIES RELATED TO TRANSPORTATION
    • Y02T10/00—Road transport of goods or passengers
    • Y02T10/10—Internal combustion engine [ICE] based vehicles
    • Y02T10/30—Use of alternative fuels, e.g. biofuels

Definitions

  • the invention relates to a method for checking the operability of an internal combustion engine operated by a multi-fuel system, in which at least two control units electronically control a combustion process of the internal combustion engine with another fuel, each control unit having its own safety concept and a system functionality of the multi-fuel -System is divided on the at least two control devices, and an apparatus for performing the method.
  • Bi-fuel refers to a gasoline-gas system, which is operated either with gas only or only with gasoline or mixed.
  • a bi-fuel vehicle allows a mode in which either the gaseous fuel is injected into the internal combustion engine of the motor vehicle and / or the liquid fuel is injected into a cylinder of the internal combustion engine of the motor vehicle.
  • a diesel-gas system is referred to as dual-fuel, which can operate in pure diesel mode or in diesel-gas mixed operation.
  • the invention has for its object to provide a method for checking the operability of an internal combustion engine operated by a multi-fuel system, in which a monitoring of the overall system functionality of the multi-fuel system is performed with all control devices involved in the operation of the internal combustion engine.
  • this object is achieved in that a control unit, preferably one of the at least two control units, monitors the entire system functionality of the multi-fuel system.
  • a control unit preferably one of the at least two control units, monitors the entire system functionality of the multi-fuel system.
  • the overall system monitoring can be carried out by different methods, e.g. by a torque, speed, acceleration or thrust monitoring.
  • the overall system monitoring can take place in any control unit, such as a diesel control unit or a gas control unit, which are part of the multi-fuel system.
  • the monitoring is also possible by other control units of the vehicle, which, like a vehicle management computer, are not provided directly for the operation of the internal combustion engine.
  • This concept is universally suitable for both dual-fuel systems, i. Systems that can burn two fuels, such as diesel and gas, as well as multi-fuel systems that can handle more than two fuels.
  • control unit monitoring the entire system functionality monitors safety-relevant desired values and / or safety-relevant actual values of the system functionality of the multi-fuel system, preferably continuously.
  • control units which do not have their own security concept can be monitored by another control unit having a security concept, whereby the overall functionality of the multi-fuel system is always considered.
  • a desired value, preferably a driver desired torque, of the entire multi-fuel system is compared with a total of, in particular added, actual values of the entire multi-fuel system at a
  • the fault response produces a manageable state of a motor vehicle driven by the engine operated with the multi-fuel system, wherein the fault response is preferably stepped by continuing to run the engine with a first fuel while the engine is running Operation is prohibited with the second fuel.
  • the method is suitable for bringing about a safe state of the internal combustion engine and thus of the vehicle in the event of a fault.
  • this concept is also capable of providing a replacement operation for controlling the internal combustion engine and thus of the vehicle, since the necessary redundancy is achieved by a plurality of independently acting ones
  • each control device comprises a first application-specific level, which is monitored safety-critical by a second level, while a third level carries out a monitoring of the hardware of the control unit.
  • a third level carries out a monitoring of the hardware of the control unit.
  • the monitoring of the entire system functionality of the multi-fuel system is performed in the second level of the corresponding control unit. Since this second level is already designed in particular for the safety-critical monitoring of the application function running in the first level of the control unit, the monitoring of the overall functionality of all the control units involved in the operation of the internal combustion engine is easy Insertion of an additional software module adapted to this second level of the security concept. A separate safety concept for monitoring the overall functionality of the multi-fuel system can be dispensed with.
  • the messages exchanged between the at least two control units of the multi-fuel system are intrinsically safe.
  • Intrinsic safety means that all messages received and transmitted by the control units are considered correct, since they are checked continuously for their plausibility during operation of the internal combustion engine.
  • the intrinsic safety of the exchanged messages is checked for integrity and / or timeliness.
  • a checksum check is performed, whereby it is determined whether the checked data are really plausible.
  • the actuality check is carried out by means of a message counter, which is incremented at each message. If this counter is not further incremented, it is assumed that a software or hardware item is defective.
  • a development of the invention relates to a control unit for the electronic control of an internal combustion engine operated by a multi-fuel system, which controls an operation of the internal combustion engine with a first fuel and sends signals to a second control unit, which operates the internal combustion engine with a second fuel, and / or receives signals from the latter and has a three-level security concept for checking security-relevant signals.
  • a control unit whose safety relevance has been expanded, means are present which monitor an overall functionality of the multi-fuel system for operating the internal combustion engine. In this case, all signals that are processed by the control unit itself or receives this control unit from other control units, assembled into a total that allows conclusions about the safety of the entire multi-fuel system.
  • Such an overall monitoring system can be implemented in any control concept having a safety concept which is used in the motor vehicle.
  • the monitoring of the overall functionality of the multi-fuel system is performed in a second security-relevant level of the security concept. Since this second level of the security concept is already provided for checking security-relevant data, such additional monitoring functionality can easily be implemented in this level.
  • FIG. 1 Schematic representation of a diesel-gas system for controlling an internal combustion engine
  • FIG. 2 system overview of the diesel-gas control with two control devices
  • FIG. 3 shows a basic illustration of the torque monitoring of the entire diesel-gas system according to FIG. 2,
  • FIG. 4 shows a system overview of a gas control system with continuous torque monitoring of the entire diesel-gas system according to FIG. 2,
  • FIG. 5 System overview of the diesel control with continuous
  • a gas injector 3 is connected via a gas pressure regulator 4 and a Gasabsperrventil 5 with a gas tank 6 and projects into the intake 7 of the internal combustion engine, not shown, in which the gaseous fuel is injected.
  • the internal combustion engine has close to the cylinder 8 a pre-chamber 9, in which the diesel fuel, which is used as a liquid fuel, is injected. This is done via a diesel injector 10, which is controlled by the diesel control unit 1.
  • the Diesel control unit 1 is connected to the gas control unit 2, which regulates the supply of the gaseous fuel.
  • the diesel control unit 1 is connected to the gas control unit 2 via a bidirectional interface in the form of, for example, a CAN bus 11, the two control units 1, 2 communicating via the CAN bus 1 1.
  • FIG. 2 illustrates a system overview of the dual-fuel control of the internal combustion engine shown in FIG.
  • Each of the listed control units 1, 2 each includes a security concept, which consists of three levels.
  • the first level comprises the application software, the second level
  • Level is concerned with the monitoring of safety-critical signals of the first level, while the third level monitors the hardware of the respective control unit 1, 2 in terms of their function.
  • the diesel control unit 1 and the gas control unit 2 are shown in their first level I of the application soft, where, in particular, the operative connection with respect to the function of the fuel supply to the internal combustion engine is illustrated.
  • the diesel control unit 1 receives an input signal 12, for example, as a result of the operation of an accelerator pedal by the driver, whereupon a desired value is calculated in the form of a total desired torque 13 in the diesel control unit 1. This total desired torque 13 is transmitted to the gas control unit 2 via the intrinsically safe CAN bus 1 1.
  • a torque distribution logic 14 which determines the proportion of the liquid fuel in the form of diesel or the gaseous fuel involved in the achievement of the total desired torque 13.
  • a desired gas torque 38 for the gas path is calculated from the total desired torque 13, which gas is supplied to the diesel control unit 1 via the communication line 15.
  • the desired diesel torque 50 is formed as the difference between the total desired torque 13 and the desired gas torque 38. From the thus obtained diesel desired torque 50 for the diesel fuel and the gas desired torque 38 for the gas to be used, the fuel injection systems 16 and 17 are controlled.
  • an injection system 17 controls the output stages 18 of the diesel injection nozzle 10, while an injection system 16 activates the output stages 19 of the gas injector 3 in order to calculate the injection quantities derived according to the desired diesel torque 50 and the desired gas torque 38. conditions to ensure liquid or gaseous fuel in the internal combustion engine.
  • FIG. 3 shows a schematic diagram of the torque monitoring of such an entire diesel-gas system. It is the first
  • Point 24 detects that the Intelistmoment 23 significantly exceeds the total desired torque 13, so after an appropriate delay time, an error response 25 is performed.
  • This error reaction can once cause a false-save strategy by the state of the internal combustion engine and thus the motor vehicle remains manageable.
  • a false-save strategy by the state of the internal combustion engine and thus the motor vehicle remains manageable.
  • Fail-operation strategy be performed as a fault reaction 25, in which a replacement operation for the internal combustion engine or the motor vehicle is carried out in case of failure.
  • a replacement operation for the internal combustion engine or the motor vehicle is carried out in case of failure.
  • the desired gas torque 38 in the gas control unit 2 is set to zero and the total desired torque 13 is switched over to the desired diesel torque 50 by the switch 27.
  • Figure 4 is a system overview of a gas control with the continuous
  • the gas control unit 2 has a safety concept in three levels I, II, III.
  • the diesel control unit 1 via the CAN bus 1 1 is connected to a block 29 in the plane I of the gas control unit 2, which receives messages and sends.
  • This block 29 not only receives messages from the diesel Control unit 1, but also via the communication line 15 messages to the diesel control unit 1 from (block 30).
  • the gas control unit 2 has the task of realizing the safety monitoring for the entire diesel-gas system.
  • the transmitted and received blobs of the block 29 are forwarded to the level II, in particular to the block 31, or received by the latter.
  • Block 31 has the task of securing the communication. This ensures that the communication between the participating control units 1, 2 is intrinsically safe.
  • the CAN messages are monitored by the gas control unit 2 by checking the integrity of the CAN messages by means of a check sum check.
  • CAN messages are performed by a message counter check.
  • a checksum is also formed or a message counter is provided.
  • the total desired torque 13, which is considered as the setpoint value of the entire diesel-gas system, is guided to the block 32, which monitors the torque distribution strategy 14.
  • the torque distribution strategy 14 is the torque distribution strategy
  • Torque distribution strategy 14 of the application software level I recalculated and determined in case of error replacement values. This procedure ensures a continuous protection of the safety-relevant setpoint values, as used in the gas control unit 2.
  • the functionality of the block 33 is used to calculate the total instantaneous torque 23 of the diesel / gas system, consisting of the diesel instant 20 of the diesel control unit 1 and the gas instant 21 of the gas control unit 2.
  • the Bacistmoment 23 consists of the sum of the Delistmomentes 20 and the Gasistmomentes 21, as has already been explained in connection with Figure 3. Through this functionality of the block 33, the safety-relevant actual moments are hedged.
  • the gas desired torque 38 of the gas path is calculated in the gas control unit 2 and supplied by the injection system 16 of the level I functionality in block 33.
  • the Examlistmoment 20 of the diesel path is transmitted from the diesel control unit 1 via the secured CAN bus 1 1 (Block 28). This transmission takes place after checking the safe communication by the block 31.
  • the Examlistmoment 20 of the diesel control unit 1 and the Gasistmoment 21 of the gas control unit 2 can also be calculated in other ways. For example, a measurement of the crankshaft torque with the aid of a sensor, an estimate of the crankshaft torque by means of the evaluation of the crankshaft rotational speed oscillation or the like is possible.
  • the torque comparison for the entire diesel-gas system In this case, the comparison between the total desired torque 13 of the entire diesel-gas system used as the desired value with the added diesel and gas instant 23 of the entire diesel-gas system, which is regarded as the actual value, is carried out, the safety-relevant nominal values and the safety-relevant actual values of the entire diesel-gas system are considered continuously.
  • the gas path can be made plausible by comparing a comparison between the gas instant 21 and the gas desired gas torque command 38.
  • level III of the safety concept of the gas control unit 2.
  • This level III includes functionality for hardware monitoring 35, which is made plausible by an external monitoring unit 36.
  • a question is sent to the hardware monitor 35 which the hardware monitor 35 answers. If the answer matches the expected response, the hardware is considered functional. If the answer does not correspond to the expected response, the external monitoring unit 36 switches off the output stage 19 of the gas valves 3 via a redundant shutdown path.
  • FIG. 5 shows a system overview for the safety concept of the diesel control unit 1, with a diesel control with continuous torque monitoring in the control unit network of a dual-fuel system.
  • the diesel control unit 1 also has three levels I, II, III of the safety concept. However, since the monitoring of the entire diesel-gas system is realized in the gas control unit 2, only the additional, not present in the gas control unit functionalities is pointed out here.
  • the diesel control unit 1 communicates with the gas control unit 2, wherein also in the plane I of the diesel control unit 1, a block 29 for transmitting and receiving of messages is present, which communicates via a communication interface 28 with the gas control unit 2.
  • the diesel control unit 1 contains at level II a block 31 to secure the communication to determine whether the exchanged messages are also error-free.
  • the permissible desired diesel torque 37 is formed in the plane II similar to the total torque 13 of the plane I.
  • the actually set at the output stages 18 of the diesel injectors 10 Motherlistmoment 20 is supplied together with the permissible diesel desired torque 37 to a block 39, in which the torque comparison between the diesel desired torque 37 and the
  • multi-fuel systems are understood as systems which work with two or more fuels.
  • the monitoring of the overall functionality of the multi-fuel system can be implemented in a control unit of the multi-fuel system.
  • a control unit of the motor vehicle assumes this monitoring task, which is not part of the multi-fuel system.

Landscapes

  • Engineering & Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Chemical & Material Sciences (AREA)
  • Combustion & Propulsion (AREA)
  • Mechanical Engineering (AREA)
  • Computer Hardware Design (AREA)
  • Microelectronics & Electronic Packaging (AREA)
  • Combined Controls Of Internal Combustion Engines (AREA)
  • Output Control And Ontrol Of Special Type Engine (AREA)

Abstract

Die Erfindung betrifft ein Verfahren zur Überprüfung einer Funktionsfähigkeit einer von einem Multi-Fuel-System betriebenen Brennkraftmaschine, bei welchem mindestens zwei Steuergeräte (1, 2) einen Verbrennungsprozess der Brennkraftmaschine mit einem anderen Kraftstoff elektronisch steuern, wobei jedes Steuergerät (1, 2) ein eigenes Sicherheitskonzept aufweist und eine Systemfunktionalität des Multi-Fuel-Systems auf die mindestens zwei Steuergeräte (1, 2) aufgeteilt wird. Um ein Gesamtsicherheitskonzept anzugeben, überwacht eine Steuereinheit, vorzugsweise eines der mindestens zwei Steuergeräte (1, 2), die gesamte Systemfunktionalität des Multi-Fuel-Systems.

Description

Beschreibung
VERFAHREN UND VORRICHTUNG ZUR ÜBERPRÜFUNG EINER FUNKTIONSFÄHIGKEIT EINER VON EINEM MULTI-FUEL-SYSTEM
BETRIEBENEN BRENNKRAFTMASCHINE
Die Erfindung betrifft ein Verfahren zur Überprüfung einer Funktionsfähigkeit einer von einem Multi-Fuel-System betriebenen Brennkraftmaschine, bei welchem mindestens zwei Steuergeräte einen Verbrennungsprozess der Brennkraftmaschine mit einem anderen Kraftstoff elektronisch steuern, wobei jedes Steuergerät ein eigenes Sicherheitskonzept aufweist und eine Systemfunktionalität des Multi-Fuel-Systems auf die mindestens zwei Steuergeräte aufgeteilt ist, sowie eine Vorrichtung zur Durchführung des Verfahrens.
Stand der Technik
Es sind Kraftfahrzeuge bekannt, die als sogenannte Bi-Fuel-Fahrzeuge ausgebildet sind. Bi-Fuel bezeichnet ein Benzin-Gas-System, welches entweder nur mit Gas oder nur mit Benzin oder gemischt betrieben wird. Ein Bi-Fuel-Fahrzeug erlaubt eine Betriebsart, bei welcher entweder der gasförmige Kraftstoff in der Brennkraftmaschine des Kraftfahrzeuges eingeblasen wird und/oder der flüssige Kraftstoff in einen Zylinder der Brennkraftmaschine des Kraftfahrzeuges eingespritzt wird. Im Gegensatz dazu wird ein Diesel-Gas-System als Dual-Fuel bezeichnet, welches im reinen Dieselbetrieb oder im Diesel-Gas-Mischbetrieb arbeiten kann.
Diese Bi-Fuel- bzw. Dual-Fuel-Konzepte werden mit einer elektronischen Steuerung realisiert, wobei ein oder mehrere Steuergeräte für die Verbrennungsregelung der Brennkraftmaschine zum Einsatz kommen. Die überwiegende Mehrheit arbeitet dabei mit Otto- bzw. Gas-Verbrennungsprozessen. Die Steuergeräte steuern die Brennkraftmaschine, wobei jedes Steuergerät ein eigenes Sicher- heitskonzept aufweist, welches in drei Ebenen aufgebaut ist und zur kontinuierlichen Überwachung von sicherheitsrelevanten Daten des jeweiligen Steuergerätes herangezogen wird. Dabei werden pro Steuergerät jedoch nur die Daten überprüft, welche zur Verbrennungsregelung mit dem, dem Steuergerät zugeordneten Kraftstoff benötigt werden.
Offenbarung der Erfindung
Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren zur Überprüfung einer Funktionsfähigkeit einer von einem Multi-Fuel-System betriebenen Brennkraftmaschine anzugeben, bei welchem eine Überwachung der Gesamtsystemfunktionalität des Multi-Fuel-Systems mit allen an den Betrieb der Brennkraftmaschine beteiligten Steuergeräten durchgeführt wird.
Erfindungsgemäß ist die Aufgabe dadurch gelöst, dass eine Steuereinheit, vorzugsweise eines der mindestens zwei Steuergeräte, die gesamte Systemfunktionalität des Multi-Fuel-Systems überwacht. Dies hat den Vorteil, dass die Gesamtsystemüberwachung nach unterschiedlichen Verfahren erfolgen kann, wie z.B. durch eine Momenten-, Drehzahl-, Beschleunigungs- oder Schubüberwachung. Die Gesamtsystemüberwachung kann in jeder beliebigen Steuereinheit stattfinden, beispielsweise einem Dieselsteuergerät oder einem Gassteuergerät, die Bestandteil des Multi-Fuel-Systems sind. Die Überwachung ist aber auch durch andere Steuereinheiten des Fahrzeuges möglich, welche, wie ein Fahrzeugführungsrechner, nicht unmittelbar zum Betrieb der Brennkraftmaschine vorgesehen sind. Dieses Konzept eignet sich universell sowohl für Dual-Fuel- Systeme, d.h. Systeme, die zwei Kraftstoffe, beispielsweise Diesel und Gas verbrennen können, als auch für Multi-Fuel-Systeme, die mehr als zwei Kraftstoffe verarbeiten können.
Vorteilhafterweise überwacht die, die gesamte Systemfunktionalität überwachende Steuereinheit sicherheitsrelevante Sollwerte und/oder sicherheitsrelevante Istwerte der Systemfunktionalität des Multi-Fuel-Systems, vorzugsweise kontinuierlich. Somit können auch Steuergeräte, welche kein eigenes Sicherheitskonzept aufweisen, durch eine andere Steuereinheit, die ein Sicherheitskonzept aufweist, überwacht werden, wobei immer die Gesamtfunktionalität des Multi- Fuel-Systems betrachtet wird. In einer Ausgestaltung wird zur Überwachung der gesamten Systemfunktionalität des Multi-Fuel-Systems ein Sollwert, vorzugsweise ein Fahrerwunschmoment, des gesamten Multi-Fuel-Systems mit einer Gesamtheit von, insbesondere ad- dierten, Istwerten des gesamten Multi-Fuel-Systems verglichen, wobei bei einer
Überschreitung des Sollwertes durch die Gesamtheit der Istwerte eine Fehlerreaktion ausgeführt wird. Ein Vergleich des gewünschten Sollwertes mit den tatsächlich von dem Multi-Fuel-System realisierten Istwerten stellt eine besonders einfache aber wirksame Methode der Überwachung des Multi-Fuel-Systems dar.
In einer Variante stellt die Fehlerreaktion einen beherrschbaren Zustand eines Kraftfahrzeuges her, das durch die, mit dem Multi-Fuel-System betriebene Brennkraftmaschine angetrieben wird, wobei die Fehlerreaktion vorzugsweise gestuft ausgebildet ist, indem die Brennkraftmaschine mit einem ersten Kraftstoff weiter betrieben wird, während der Betrieb mit dem zweiten Kraftstoff unterbunden wird. Somit eignet sich das Verfahren zur Herbeiführung eines sicheren Zu- standes der Brennkraftmaschine und somit des Fahrzeuges im Fehlerfall. Genauso ist dieses Konzept aber auch zur Herbeiführung eines Ersatzbetriebes zur Steuerung der Brennkraftmaschine und somit des Fahrzeuges in der Lage, da die notwendige Redundanz durch mehrere unabhängig voneinander agierende
Steuergeräte vorhanden ist.
In einer Ausführungsform umfasst das Sicherheitskonzept jedes Steuergerätes eine erste anwendungsspezifische Ebene, welche von einer zweiten Ebene sicherheitskritisch überwacht wird, während eine dritte Ebene eine Überwachung der Hardware des Steuergerätes ausführt. Mittels dieser standardisierten Drei- Ebenen-Überwachung wird das Steuergerät vollständig hinsichtlich seiner Funktion überwacht. Dadurch wird zuverlässig festgestellt, ob das Steuergerät die an dieses gestellten Anforderungen erfüllt.
In einer Variante wird die Überwachung der gesamten Systemfunktionalität des Multi-Fuel-Systems in der zweiten Ebene des entsprechenden Steuergerätes ausgeführt. Da diese zweite Ebene insbesondere schon zur sicherheitskritischen Überwachung der in der ersten Ebene des Steuergerätes ablaufenden Applikati- onsfunktion ausgebildet ist, wird die Überwachung der Gesamtfunktionalität aller an dem Betrieb der Brennkraftmaschine beteiligten Steuergeräte einfach durch Einfügen eines zusätzlichen Softwaremoduls in diese zweite Ebene des Sicherheitskonzeptes angepasst. Auf ein separates Sicherheitskonzept für die Überwachung der Gesamtfunktionalität des Multi-Fuel-Systems kann verzichtet werden.
Vorteilhafterweise sind die zwischen den mindestens zwei Steuergeräten des Multi-Fuel-Systems ausgetauschten Botschaften eigensicher ausgebildet. Unter Eigensicherheit wird verstanden, dass alle von den Steuergeräten empfangenen und ausgesandten Botschaften als richtig angesehen werden, da sie kontinuierlich auf ihre Plausibilitat während des Betriebs der Brennkraftmaschine überprüft werden.
In einer Ausgestaltung wird die Eigensicherheit der ausgetauschten Botschaften hinsichtlich einer Integrität und/oder einer Aktualität überprüft. Als Integritätsprüfung wird eine Checksummen-Prüfung durchgeführt, wobei festgestellt wird, ob die überprüften Daten auch wirklich plausibel sind. Die Aktualitätsprüfung wird mittels eines Botschaftenzählers durchgeführt, welcher bei jeder Botschaft in- krementiert wird. Wird dieser Zähler nicht weiter inkrementiert, wird davon ausgegangen, dass ein Software- oder Hardwareelement defekt ist.
Eine Weiterbildung der Erfindung betrifft ein Steuergerät zur elektronischen Steuerung einer von einem Multi-Fuel-System betriebenen Brennkraftmaschine, welches einen Betrieb der Brennkraftmaschine mit einem ersten Kraftstoff steuert und Signale an ein zweites Steuergerät, welches die Brennkraftmaschine mit einem zweiten Kraftstoff betreibt, aussendet und/oder von diesem Signale empfängt und ein aus drei Ebenen bestehendes Sicherheitskonzept zur Überprüfung sicherheitsrelevanter Signale aufweist. Bei einem Steuergerät, dessen Sicherheitsrelevanz erweitert ist, sind Mittel vorhanden, welche eine Gesamtfunktionalität des Multi-Fuel-Systems zum Betrieb der Brennkraftmaschine überwachten. Dabei werden alle Signale, die von dem Steuergerät selbst aufbereitet werden bzw. die dieses Steuergerät von anderen Steuergeräten erhält, zu einer Gesamtheit zusammengefügt, die Rückschlüsse auf die Sicherheit des gesamten Multi- Fuel-Systems zulässt. Ein solches Gesamtüberwachungssystem kann in jedem beliebigen, ein Sicherheitskonzept aufweisenden Steuergerät implementiert werden, welches im Kraftfahrzeug eingesetzt wird. Vorteilhafterweise wird die Überwachung der Gesamtfunktionalität des Multi- Fuel-Systems in einer zweiten sicherheitsrelevanten Ebene des Sicherheitskonzeptes durchgeführt. Da diese zweite Ebene des Sicherheitskonzeptes bereits für die Überprüfung sicherheitsrelevanter Daten vorgesehen ist, kann eine solche zusätzliche Überwachungsfunktionalität einfach in diese Ebene implementiert werden.
Die Erfindung lässt zahlreiche Ausführungsformen zu. Eine davon soll anhand der in der Zeichnung dargestellten Figuren näher erläutert werden.
Es zeigt:
Figur 1 : Schematische Darstellung eines Diesel-Gas-Systems zur Steuerung einer Brennkraftmaschine,
Figur 2: Systemübersicht der Diesel-Gas-Steuerung mit zwei Steuergeräten,
Figur 3: Prinzipdarstellung der Momentenüberwachung des gesamten Diesel- Gas-Systems nach Figur 2,
Figur 4: Systemübersicht einer Gas-Steuerung mit kontinuierlicher Momentenüberwachung des gesamten Diesel-Gas-Systems gemäß Figur 2,
Figur 5: Systemübersicht der Diesel-Steuerung mit kontinuierlicher
Momentenüberwachung.
Gleiche Merkmale sind mit gleichen Bezugszeichen gekennzeichnet.
Figur 1 zeigt eine Prinzipdarstellung eines Dual-Fuel-Systems, mit einem Dieselsteuergerät 1 und einem Gassteuergerät 2. Ein Gasinjektor 3 ist über einen Gasdruckregler 4 und ein Gasabsperrventil 5 mit einem Gastank 6 verbunden und ragt in den Ansaugbereich 7 der nicht weiter dargestellten Brennkraftmaschine, in welchen der gasförmige Kraftstoff eingeblasen wird. Die Brennkraftmaschine weist nahe dem Zylinder 8 eine Vorkammer 9 auf, in welche der Dieselkraftstoff, der als flüssiger Kraftstoff verwendet wird, eingespritzt wird. Dies erfolgt über einen Dieselinjektor 10, der von dem Dieselsteuergerät 1 angesteuert wird. Das Dieselsteuergerät 1 ist mit dem Gassteuergerät 2 verbunden, welches die Zufuhr des gasförmigen Kraftstoffes regelt. Das Dieselsteuergerät 1 ist mit dem Gassteuergerät 2 über eine bidirektionale Schnittstelle in Form beispielsweise eines CAN-Busses 1 1 verbunden, wobei die beiden Steuergeräte 1 , 2 über den CAN- Bus 1 1 kommunizieren.
In Figur 2 ist eine Systemübersicht der in Figur 1 dargestellten Dual-Fuel- Steuerung der Brennkraftmaschine veranschaulicht. Jedes der angeführten Steuergeräte 1 , 2 umfasst jeweils ein Sicherheitskonzept, das aus drei Ebenen besteht. Die erste Ebene umfasst dabei die Applikationssoftware, die zweite
Ebene ist mit der Überwachung von sicherheitskritischen Signalen der ersten Ebene befasst, während die dritte Ebene die Hardware des jeweiligen Steuergerätes 1 , 2 hinsichtlich ihrer Funktion überwacht. In Figur 2 sind das Dieselsteuergerät 1 und das Gassteuergerät 2 in ihrer ersten Ebene I der Applikationssoft- wäre dargestellt, wo insbesondere die Wirkverbindung hinsichtlich der Funktion der Kraftstoffzufuhr zur Brennkraftmaschine verdeutlicht ist. Das Dieselsteuergerät 1 erhält dabei ein Eingangssignal 12, beispielsweise infolge der Betätigung eines Fahrpedals durch den Fahrer, worauf ein Sollwert in Form eines Gesamtwunschmomentes 13 im Dieselsteuergerät 1 berechnet wird. Über den eigensi- cheren CAN-Bus 1 1 wird dieses Gesamtwunschmoment 13 an das Gassteuergerät 2 übermittelt. In der Ebene I des Gassteuergerätes 2 befindet sich eine Momentenaufteilungslogik 14, welche bestimmt, mit welchem Anteil der flüssige Kraftstoff in Form von Diesel bzw. der gasförmige Kraftstoff an der Erzielung des Gesamtwunschmomentes 13 beteiligt sind. Dabei wird aus dem Gesamt- wunschmoment 13 ein Gaswunschmoment 38 für den Gaspfad berechnet, der über die Kommunikationsleitung 15 dem Dieselsteuergerät 1 wieder zugeführt wird. Das Dieselwunschmoment 50 wird als Differenz zwischen dem Gesamtwunschmoment 13 und dem Gaswunschmoment 38 gebildet. Aus den so gewonnenen Dieselwunschmoment 50 für den Dieselkraftstoff und dem Gaswunschmoment 38 für das zu verwendende Gas werden die Kraftstoffeinspritzsysteme 16 bzw. 17 angesteuert. Dabei steuert ein Einspritzsystems 17 die Endstufen 18 der Dieseleinspritzdüse 10 an, während ein Einspritzsystem 16 die Endstufen 19 des Gasinjektor 3 ansteuert, um die entsprechend dem Diesel- wunschmoment 50 und dem Gaswunschmoment 38 abgeleiteten Einspritzmen- gen an flüssigem bzw. gasförmigem Kraftstoff in die Brennkraftmaschine zu gewährleisten.
Da die Sicherheit des einzelnen Gassteuergerätes 2 und des einzelnen Diesel- Steuergerätes 1 nicht die Sicherheit des gesamten Diesel-Gas-Systems garantiert, wird eine kontinuierliche Überwachung des ermittelten Gesamtwunschmomentes 13 mit den tatsächlich ermittelten Istmomenten gemäß Figur 3 durchgeführt. Figur 3 zeigt dabei eine Prinzipskizze der Momentenüberwachung eines solchen gesamten Diesel-Gas-Systems. Dabei wird zunächst das
Dieselistmoment 20, welches durch den Dieselkraftstoff erzeugt wird, und das
Gasistmoment 21 , welches durch das Gas erzeugt wird, im Punkt 22 addiert. Dieses so ermittelte Gesamtistmoment 23 wird mit dem Gesamtwunschmoment 13 verglichen. Im Punkt 24 wird festgestellt, ob das Gesamtwunschmoment 13 weiterhin größer ist als das Gesamtistmoment 23. Ist dies der Fall, wird weiter Diesel bzw. der gasförmige Kraftstoff der Brennkraftmaschine zugeführt. Wird im
Punkt 24 erkannt, dass das Gesamtistmoment 23 das Gesamtwunschmoment 13 signifikant überschreitet, so wird nach einer angemessenen Verzögerungszeit eine Fehlerreaktion 25 ausgeführt. Diese Fehlerreaktion kann einmal eine Fehl- Save-Strategie herbeiführen, indem der Zustand der Brennkraftmaschine und somit des Kraftfahrzeuges beherrschbar bleibt. Alternativ kann aber auch eine
Fehl-Operation-Strategie als Fehlerreaktion 25 ausgeführt werden, bei welcher ein Ersatzbetrieb für die Brennkraftmaschine bzw. das Kraftfahrzeug im Fehlerfall ausgeführt wird. Dabei kann beispielsweise sichergestellt werden, dass nur noch flüssiger Kraftstoff in Form des Diesels in die Brennkraftmaschine eingespritzt wird, während das Einblasen des Gases unterbunden wird. Dazu wird das Gaswunschmoment 38 im Gassteuergerät 2 auf Null gesetzt und das Gesamtwunschmoment 13 auf das Dieselwunschmoment 50 durch den Schalter 27 umgeschaltet. In Figur 4 ist eine Systemübersicht einer Gas-Steuerung mit der kontinuierlichen
Gesamtmomentenüberwachung des gesamten Dual-Fuel-Systems, bestehend aus dem Dieselsteuergerät 1 und dem Gassteuergerät 2, dargestellt. Das Gassteuergerät 2 weist dabei ein Sicherheitskonzept in drei Ebenen I, II, III auf. Über den Block 28 ist das Dieselsteuergerät 1 über den CAN-Bus 1 1 mit einem Block 29 in der Ebene I des Gassteuergerätes 2 verbunden, welcher Botschaften empfängt und sendet. Dieser Block 29 empfängt nicht nur Botschaften vom Diesel- Steuergerät 1 , sondern gibt auch über die Kommunikationsleitung 15 Botschaften an das Dieselsteuergerät 1 ab (Block 30). Das Gassteuergerät 2 hat dabei die Aufgabe, die Sicherheitsüberwachung für das gesamte Diesel-Gas-System zu realisieren. Zu diesem Zweck werden die gesendeten und empfangenen Bot- schatten des Blocks 29 an die Ebene II, insbesondere an den Block 31 , weitergeleitet oder von diesem empfangen. Block 31 hat die Aufgabe der Absicherung der Kommunikation. Dabei wird sichergestellt, dass die Kommunikation zwischen den beteiligten Steuergeräten 1 , 2 eigensicher ist. Dazu erfolgt eine Überwachung der CAN-Botschaften vom Gassteuergerät 2 durch Prüfung der Integrität der CAN-Botschaften mittels einer Check-Summenprüfung. Die Aktualität der
CAN-Botschaften wird durch eine Botschaftszählerprüfung durchgeführt. Zur Absicherung der zu sendenden CAN-Botschaften gegen Integritäts- und Aktualitätszähler wird ebenfalls eine Checksumme gebildet bzw. ein Botschaftszähler bereitgestellt.
Das Gesamtwunschmoment 13, welches als Sollwert des gesamten Diesel-Gas- Systems betrachtet wird, wird dabei auf den Block 32 geführt, welcher die Momentenaufteilungsstrategie 14 überwacht. Dabei wird die
Gaswunschmomentenbildung für den Gaspfad abgesichert, was heißt, dass das Gaswunschmoment 38 festgelegt wird, das durch die Gasverbrennung realisiert werden soll. In diesem Block 32 werden vereinfacht die Logik der
Momentenaufteilungsstrategie 14 der Applikationssoftware der Ebene I nachgerechnet und im Fehlerfall Ersatzwerte bestimmt. Durch diese Vorgehensweise erfolgt eine kontinuierliche Absicherung der sicherheitsrelevanten Sollwerte, wie sie im Gassteuergerät 2 verwendet werden.
In der Funktionalität des Blockes 33 wird das Gesamtistmoment 23 des Diesel- Gas-Systems, bestehend aus dem Dieselistmoment 20 des Dieselsteuergerät 1 und dem Gasistmoment 21 des Gassteuergerätes 2, berechnet. Das
Gesamtistmoment 23 besteht aus der Summe des Dieselistmomentes 20 und des Gasistmomentes 21 , wie es bereits im Zusammenhang mit Figur 3 erläutert wurde. Durch diese Funktionalität des Blockes 33 werden die sicherheitsrelevanten Ist-Momente abgesichert. Das Gaswunschmoment 38 des Gas-Pfades wird im Gassteuergerät 2 berechnet und von dem Einspritzsystem 16 der Ebene I der Funktionalität im Block 33 zugeführt. Das Dieselistmoment 20 des Diesel-Pfades wird vom Dieselsteuergerät 1 über den abgesicherte CAN-Bus 1 1 übermittelt (Block 28). Diese Übermittlung erfolgt nach Prüfung der sicheren Kommunikation durch den Block 31. Das Dieselistmoment 20 des Dieselsteuergerätes 1 und das Gasistmoment 21 des Gassteuergerätes 2 können auch auf andere Weise berechnet werden. So ist z.B. eine Messung des Kurbelwellenmoments mit Hilfe eines Sensors, eine Schätzung des Kurbelwellenmoments mit Hilfe der Auswertung der Kurbelwellendrehzahloszillation oder ähnliches möglich.
Im Block 34 erfolgt der Momentenvergleich für das gesamte Diesel-Gas-System. Dabei wird der Vergleich zwischen dem als Sollwert genutzten Gesamtwunschmoment 13 des gesamten Diesel-Gas-Systems mit dem addierten Diesel- und Gasistmoment 23 des gesamten Diesel-Gas-Systems, welches als Istwert betrachtet wird, durchgeführt, wobei die sicherheitsrelevanten Soll-Werte sowie die sicherheitsrelevanten Ist-Werte des gesamten Diesel-Gas-Systems kontinuierlich betrachtet werden. Zusätzlich kann der Gas-Pfad plausibilisiert werden, indem ein Vergleich zwischen dem Gasistmoment 21 und dem zulässigen Gaswunschmoment 38 des Gas-Pfades verglichen werden.
Der Vollständigkeit halber soll noch kurz auf die Ebene III des Sicherheitskonzeptes des Gassteuergerätes 2 eingegangen werden. Diese Ebene III umfasst eine Funktionalität zur Hardwareüberwachung 35, welche von einer externen Überwachungseinheit 36 plausibilisiert wird. Bei der Plausibilisierung wird an die Hardwareüberwachung 35 eine Frage ausgegeben, welche die Hardwareüberwachung 35 beantwortet. Stimmt die Antwort mit der erwarteten Antwort überein, wird die Hardware als funktionsfähig betrachtet. Entspricht die Antwort nicht der erwarteten Antwort, so schaltet die externe Überwachungseinheit 36 die Endstufe 19 der Gasventile 3 über einen redundanten Abschaltpfad ab.
In Figur 5 ist eine Systemübersicht für das Sicherheitskonzept des Dieselsteuergerätes 1 dargestellt, wobei eine Dieselsteuerung mit einer kontinuierlichen Momentenüberwachung im Steuergeräteverbund eines Dual-Fuel-Systems erfolgt. Auch das Dieselsteuergerät 1 weist drei Ebenen I, II, III des Sicherheitskonzeptes auf. Da jedoch die Überwachung des gesamten Diesel-Gas-Systems im Gassteuergerät 2 realisiert ist, wird hier nur auf die zusätzlichen, nicht im Gassteuergerät vorhandenen Funktionalitäten hingewiesen. Über den Block 30 kommuniziert das Dieselsteuergerät 1 mit dem Gassteuergerät 2, wobei auch in der Ebene I des Dieselsteuergerätes 1 ein Block 29 zum Senden und Empfangen von Botschaften vorhanden ist, der über eine Kommunikationsschnittstelle 28 mit dem Gassteuergerät 2 kommuniziert. Auch das Dieselsteuergerät 1 enthält auf der Ebene II einen Block 31 zur Absicherung der Kommunikation, um festzustellen, ob die ausgetauschten Botschaften auch fehlerfrei sind. Das zulässige Dieselwunschmoment 37 wird in der Ebene II ähnlich dem Gesamtwunschmoment 13 der Ebene I gebildet. Das tatsächlich an den Endstufen 18 der Dieseleinspritzdüsen 10 eingestellte Dieselistmoment 20 wird gemeinsam mit dem zulässigen Dieselwunschmoment 37 einem Block 39 zugeführt, in welchem der Momentenvergleich zwischen dem Dieselwunschmoment 37 und dem
Dieselistmoment 20 durchgeführt wird. Tritt ein Fehler auf, so wird dieser über die Leitung 40 an den Block 31 zur Absicherung der Kommunikation und von dort an das Gassteuergerät 2 weitergeleitet.
Das erläuterte Verfahren ist für alle möglichen Multi-Fuel-Systeme mit elektronischer Steuerung einsetzbar, so z.B. bei Diesel-Gas, Diesel-Ethanol oder anderen Systemen. Dabei werden als Multi-Fuel-Systeme solche Systeme verstanden, die mit zwei oder mehr Kraftstoffen arbeiten. Die Überwachung der Gesamtfunktionalität des Multi-Fuel-Systems kann dabei in ein Steuergerät des Multi-Fuel- Systems implementiert sein. Es ist aber auch vorstellbar, das eine Steuereinheit des Kraftfahrzeuges diese Überwachungsaufgabe übernimmt, welche nicht Bestandteil des Multi-Fuel-Systems ist.

Claims

Ansprüche
1 . Verfahren zur Überprüfung einer Funktionsfähigkeit einer von einem Multi- Fuel-System betriebenen Brennkraftmaschine, bei welchem mindestens zwei Steuergeräte (1 , 2) jeweils einen Verbrennungsprozess der Brennkraftmaschine mit einem anderen Kraftstoff elektronisch steuern, wobei jedes Steuergerät (1 , 2) ein eigenes Sicherheitskonzept aufweist und eine Systemfunktionalität des Multi-Fuel-Systems auf die mindestens zwei Steuergeräte (1 , 2) aufgeteilt ist, dadurch gekennzeichnet, dass eine Steuereinheit, vorzugsweise eines der mindestens zwei Steuergeräte (1 , 2), die gesamte Systemfunktionalität des Multi-Fuel-Systems überwacht.
2. Verfahren nach Anspruch 1 , dadurch gekennzeichnet, dass die, die gesamte Systemfunktionalität überwachende Steuereinheit (1 , 2) sicherheitsrelevante Sollwerte (13) und/oder sicherheitsrelevante Istwerte (23) der gesamten Systemfunktionalität des Multi-Fuel-Systems, vorzugsweise kontinuierlich, überwacht.
3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass zur Überwachung der gesamten Systemfunktionalität des Multi-Fuel-Systems ein Sollwert (13), vorzugsweise ein Gesamtwunschmoment, des gesamten Multi- Fuel-Systems mit einer Gesamtheit von, insbesondere addierten, Istwerten (23), vorzugsweise dem Dieselistmoment (20) und dem Gasistmoment (21 ), des gesamten Multi-Fuel-Systems verglichen wird, wobei bei einer Überschreitung des Sollwertes (13) durch die Gesamtheit der Istwerte (23) eine Fehlerreaktion ausgeführt wird.
4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass die Fehlerreaktion einen beherrschbaren Zustand eines Kraftfahrzeuges herstellt, das durch die mit dem Multi-Fuel-System betriebenen Brennkraftmaschine angetrieben wird, wobei die Fehlerreaktion vorzugsweise gestuft ausgebildet ist, indem die Brennkraftmaschine mit einem ersten Kraftstoff weiter betrieben wird, während der Betrieb mit dem zweiten Kraftstoff unterbunden wird. Verfahren nach mindestens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das Sicherheitskonzept jedes Steuergerätes (1 , 2) eine erste anwendungsspezifische Ebene (I) umfasst, welche von einer zweiten Ebene (II) sicherheitskritisch überwacht wird, während eine dritte Ebene (III) eine Überwachung der Hardware des Steuergerätes (1 , 2) ausführt.
Verfahren nach Anspruch 1 und 5, dadurch gekennzeichnet, dass die
Überwachung der gesamten Systemfunktionalität des Multi-Fuel-Systems in der zweiten Ebene (II) des entsprechenden Steuergerätes (1 , 2) ausgeführt wird.
Verfahren nach mindestens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die, zwischen den mindestens zwei Steuergeräten (1 , 2) des Multi-Fuel-Systems ausgetauschten Botschaften eigensicher sind.
Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass die Eigensicherheit der ausgetauschten Botschaften hinsichtlich einer Integrität und/oder einer Aktualität überprüft wird.
Steuergerät zur elektronischen Steuerung einer von einem Multi-Fuel- System betriebenen Brennkraftmaschine, welche einen Betrieb der Brennkraftmaschine mit einem ersten Kraftstoff steuert und Signale an ein zweites Steuergerät, welches die Brennkraftmaschine mit einem zweiten Kraftstoff betreibt, aussendet und/oder von diesem Signale empfängt und ein aus drei Ebenen (I; II; III) bestehendes Sicherheitskonzept zur Überprüfung sicherheitsrelevanter Signale aufweist, dadurch gekennzeichnet, dass Mittel (II) vorhanden sind, welche eine Gesamtfunktionalität des Multi-Fuel-Systems zum Betrieb der Brennkraftmaschine überwachen.
Steuergerät zur Anspruch 9, dadurch gekennzeichnet, dass die Überwachung der Gesamtfunktionalität des Multi-Fuel-Systems in einer zweiten, sicherheitsrelevanten Ebene (II) des Sicherheitskonzepts durchgeführt wird.
EP12791725.0A 2011-12-08 2012-11-13 Verfahren und vorrichtung zur überprüfung einer funktionsfähigkeit einer von einem multi-fuel-system betriebenen brennkraftmaschine Withdrawn EP2788605A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE201110087988 DE102011087988A1 (de) 2011-12-08 2011-12-08 Verfahren und Vorrichtung zur Überprüfung einer Funktionsfähigkeit einer von einem Multi-Fuel-System betriebenen Brennkraftmaschine
PCT/EP2012/072499 WO2013083367A1 (de) 2011-12-08 2012-11-13 Verfahren und vorrichtung zur überprüfung einer funktionsfähigkeit einer von einem multi-fuel-system betriebenen brennkraftmaschine

Publications (1)

Publication Number Publication Date
EP2788605A1 true EP2788605A1 (de) 2014-10-15

Family

ID=47257770

Family Applications (1)

Application Number Title Priority Date Filing Date
EP12791725.0A Withdrawn EP2788605A1 (de) 2011-12-08 2012-11-13 Verfahren und vorrichtung zur überprüfung einer funktionsfähigkeit einer von einem multi-fuel-system betriebenen brennkraftmaschine

Country Status (6)

Country Link
US (1) US20150122238A1 (de)
EP (1) EP2788605A1 (de)
CN (1) CN103958866A (de)
BR (1) BR112014013625A8 (de)
DE (1) DE102011087988A1 (de)
WO (1) WO2013083367A1 (de)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102013220607B4 (de) * 2013-10-11 2017-01-05 Continental Automotive Gmbh Vorrichtung und Verfahren zur Reduzierung von Varianten bei Kraftstoffpumpen-Elektroniken
DE102013225075A1 (de) 2013-12-06 2015-06-11 Robert Bosch Gmbh Steuergerät und Verfahren zur Steuerung einer selbstzündenden Brennkraftmaschine
DE102013225592A1 (de) 2013-12-11 2015-06-11 Robert Bosch Gmbh Steuergerät und Verfahren zur Steuerung einer Brennkraftmaschine
DE102015206781A1 (de) * 2015-04-15 2016-10-20 Bayerische Motoren Werke Aktiengesellschaft Betankungssystem zur Betankung eines Fahrzeuges mit mindestens einem Druckbehälter sowie Fahrzeug mit mindestens einem Druckbehälter
JP6618863B2 (ja) * 2016-07-12 2019-12-11 ヤンマー株式会社 エンジン
DE102022107551A1 (de) * 2022-03-30 2023-10-05 CMB.Tech Technology & Development Centre Ltd Steuervorrichtung für eine Dual-Fuel-Brennkraftmaschine

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE19933086B4 (de) * 1999-07-15 2008-11-20 Robert Bosch Gmbh Verfahren und Vorrichtung zur gegenseitigen Überwachung von Steuereinheiten
DE10113917B4 (de) * 2001-03-21 2019-05-23 Robert Bosch Gmbh Verfahren und Vorrichtung zur Überwachung von Steuereinheiten
DE102006057746A1 (de) * 2006-12-07 2008-06-12 Plan B E.K. Inhaber Florian Icard-Reuter Bauwerksfundament sowie Verfahren zur Herstellung eines solchen Bauwerksfundaments
DE102006057743B4 (de) * 2006-12-07 2015-07-30 Continental Automotive Gmbh Verfahren zur Überwachung der Funktionssoftware von Steuergeräten in einem Steuergeräteverbund
EP2108801A1 (de) * 2008-04-10 2009-10-14 Robert Bosch GmbH Elektronische Steuereinheit zur automatischen Schaltung zwischen zwei Kraftstoffsystemen basierend auf den Motorbedingungen
CN201544777U (zh) * 2009-10-13 2010-08-11 阿尔弗雷德·茨梅尔 车用燃油燃气混合动力改装套件
US8706383B2 (en) * 2010-02-15 2014-04-22 GM Global Technology Operations LLC Distributed fuel delivery system for alternative gaseous fuel applications

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
None *
See also references of WO2013083367A1 *

Also Published As

Publication number Publication date
US20150122238A1 (en) 2015-05-07
BR112014013625A2 (pt) 2017-06-13
DE102011087988A1 (de) 2013-06-13
WO2013083367A1 (de) 2013-06-13
CN103958866A (zh) 2014-07-30
BR112014013625A8 (pt) 2017-06-13

Similar Documents

Publication Publication Date Title
WO2013083367A1 (de) Verfahren und vorrichtung zur überprüfung einer funktionsfähigkeit einer von einem multi-fuel-system betriebenen brennkraftmaschine
EP0350082B1 (de) Sicherheits- und Notfahrverfahren für eine Brennkraftmaschine mit Selbstzündung und Einrichtung zu dessen Durchführung
EP1924475B1 (de) Verfahren zur begrenzung von sollmomenten bei der motorsteuerung
DE102005040780B4 (de) Verfahren und Motorsteuerungsgerät zur Verfügbarkeitserhöhung von Kraftfahrzeugmotoren
DE102013201702C5 (de) Verfahren und Anordnung zur Steuerung einer Brennkraftmaschine
DE102014220781A1 (de) Ausfallsichere E/E-Architektur für automatisiertes Fahren
EP1969442B1 (de) Verfahren zur vereinfachung der momentenüberwachung, insbesondere bei hybridantrieben
WO2008080670A1 (de) Verfahren und vorrichtung zur ermittlung einer optimierten notlauffunktion bei einem mit einem fehler behafteten motor eines kraftfahrzeugs
EP3158181A1 (de) Verfahren zur überwachung einer fahrzeugsteuerung
DE102008040796B4 (de) Verfahren zur Ermittlung eines Fehlers in einer Baugruppe
DE102005003916B4 (de) Überwachen der Funktionssicherheit einer Brennkraftmaschine
DE102011088764A1 (de) Verfahren zum Betreiben eines Steuergeräts
DE102012104322A1 (de) Verfahren und Vorrichtung zum Überprüfen von wenigstens zwei Recheneinheiten
EP1969220B1 (de) Verfahren zur vereinfachung der momentenaufteilung bei mehrfachantrieben
WO2012089618A1 (de) Verfahren zur funktionsüberprüfung eines lpg-nachrüstsystems in einem kraftfahrzeug
DE102011075223A1 (de) Erweitertes Überwachungskonzept für zwei Motorsteuereinheiten zum bivalenten Ansteuern eines Verbrennungsmotors
DE102006037124A1 (de) Ansteuersystem für eine Antriebseinheit eines Kraftfahrzeuges
EP2451687B1 (de) Verfahren zur koordination von zumindest einem antriebsaggregat
DE102008004208A1 (de) Steuergerät für ein Kraftfahrzeug sowie Einrichtung und Verfahren zum Überprüfen eines Apparats in einen sicheren Zustand
DE102019007542A1 (de) Verfahren zur Nutzungsfreigabe eines Wasserstofftanksystems
EP0814251A2 (de) Sicherheitssystem für ein Kraftfahrzeug
EP2387660B1 (de) Verfahren zum durchführen einer anzahl einspritzungen
WO2012113626A1 (de) Verfahren und vorrichtung zur überwachung eines antriebs eines antriebssystems eines fahrzeugs
DE102015208371A1 (de) Verfahren zum Überwachen einer Gruppe von Steuerungsfunktionen
DE102013213402A1 (de) Mikrocontroller mit mindestens zwei Kernen

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20140708

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

DAX Request for extension of the european patent (deleted)
GRAP Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOSNIGR1

INTG Intention to grant announced

Effective date: 20171004

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION IS DEEMED TO BE WITHDRAWN

18D Application deemed to be withdrawn

Effective date: 20180215