EP4743344A1

EP4743344A1 - Fahrzeugsteuersystem zum autonomen steuern eines fahrzeugs sowie verfahren damit

Info

Publication number: EP4743344A1
Application number: EP24735925.0A
Authority: EP
Inventors: Jens CHRISTEL; Julian van Thiel
Original assignee: ZF CV Systems Europe BV
Current assignee: ZF CV Systems Europe BV
Priority date: 2023-07-11
Filing date: 2024-06-19
Publication date: 2026-05-20
Also published as: DE102023118305A1; CN121511184A; WO2025011901A1

Abstract

Die Erfindung betrifft ein Fahrzeugsteuersystem (100) zum autonomen Steuern eines Fahrzeugs (1). Das Fahrzeugsteuersystem (100) umfasst eine primäre Bewegungssteuerung (110) und eine primäre Kommunikationsverbindung (PAB), eine sekundäre Bewegungssteuerung (120) und eine sekundäre Kommunikationsverbindung (SAB), eine private Kommunikationsverbindung (130) und eine sekundäre Entscheiderschaltung. Die Erfindung betrifft ferner ein Fahrzeugsystem (200) mit einem Fahrzeugsteuersystem (100), ein Fahrzeug (1) mit einem Fahrzeugsystem (200) oder einem Fahrzeugsteuersystem (100) und ein Verfahren für ein Fahrzeugsteuersystem (100).

Description

Fahrzeugsteuersystem zum autonomen Steuern eines Fahrzeugs sowie Verfahren damit

Die Erfindung betrifft ein Fahrzeugsteuersystem zum autonomen Steuern eines Fahrzeugs. Ferner betrifft die Erfindung ein Fahrzeugsystem mit dem Fahrzeugsteuersystem, ein Fahrzeug mit dem Fahrzeugsystem oder dem Fahrzeugsteuersystem sowie ein Verfahren zum Steuern eines Fahrzeugs mit einem Fahrzeugsteuersystem.

Fahrzeugsteuersysteme zum autonomen Steuern von Fahrzeugen sind aus dem Stand der Technik bekannt und dienen zur Bereitstellung eines hohen Automatisierungsgrads von Fahrzeugen, wie Personenkraftwagen oder Nutzfahrzeugen. Hierzu sind solche Fahrzeugsteuersysteme dazu ausgebildet, einen oder mehrere Aktuatoren eines Fahrzeugs derart anzusteuern, dass eine Fahraufgabe des Fahrzeugs ausgeführt wird. Dabei regeln diese Fahrzeugsteuersysteme die Quer- und Längsbeschleunigung von Fahrzeugen teilweise oder vollständig unabhängig von einem menschlichen Benutzer. Um ein Fahrzeug autonom, also fahrerlos, zu betreiben, werden viele unterschiedliche Sensoren zur Umwelterfassung sowie große Rechenleistungen zur Auswertung der Sensordatenströme benötigt. Basierend auf Sensordaten ermittelt das autonome Fahrzeugsteuersystem eine Trajektorie bzw. eine Bewegung für die Fahraufgabe des Fahrzeugs.

Ein fünfstufiges Schema zur Einordnung des Automatisierungsgrads von Fahrzeugen, die mittels eines Fahrzeugsteuersystems gesteuert werden, wurde durch die Society of Automotive Engineers (SAE) entwickelt. Gemäß der Norm SAE-J3016 umfasst die primäre Stufe des autonomen Fahrens das assistierte Fahren. Hierbei wird der Fahrer vom Fahrzeug bei der Fahrzeugführung unterstützt. Als Beispiele werden der Tempomat genannt, der eine vom Fahrer gewählte Geschwindigkeit beibehält, sowie der automatische Spurhalteassistent, welcher das Fahrzeug in seiner Fahrspur hält. Die zweite Stufe des autonomen Fahrens umfasst das teilautomatisierte Fahren. Hierbei kann das Fahrzeug Aufgaben, wie Spurhalten, Bremsen oder Beschleunigen unter definierten Bedingungen selbständig ausführen. In den Autonomiestufen 3 bis 5 erfolgt die Überwachung des Fahrumfelds durch das autonome Fahrsystem, wobei in Stufe 3 der menschliche Benutzer im Fall eines Fehlers des autonomen Fahrsystems die Fahrzeugsteuerung vollständig übernimmt.

In den Autonomiestufen 4 und 5 sind Redundanzsysteme vorgesehen, die im Fall eines Fehlers des Systems die Fahraufgabe zumindest teilweise oder weiterhin vollständig ausführen können. Besonders bevorzugt sind derartige Redundanzsysteme sogenannte Fail-Operational-Systeme. Fail-Operational-Systeme sind Systeme, die auch bei Auftreten eines Fehlerfalls die geforderte Funktion bzw. die Fahraufgabe vollständig oder wenigstens teilweise erfüllen können. Das erfindungsgemäße Fahrzeugsteuersystem ist vorzugsweise ein derartiges Fahrzeugsteuersystem, das auch im Fehlerfall die Funktion teilweise oder vollständig erfüllen kann.

Aus EP 3 626 571 A1 ist ein redundantes Steuersystem für ein Fahrzeug bekannt. Das Redundanzsystem weist eine primäre Steuereinheit, die mit einem primären Fahrzeugkommunikationsnetzwerk verbunden ist, und eine zweite Steuereinheit, die mit einem zweiten Fahrzeugkommunikationsnetzwerk verbunden ist, auf. Über eine Kommunikationsleitung ist die primäre Steuereinheit mit der zweiten Steuereinheit verbunden. Eine Vielzahl von Empfängern ist dazu eingerichtet, sowohl von der primären als auch der zweiten Steuereinheit Steuersignale zu empfangen. Über die Kommunikationsleitung ist zudem das primäre Fahrzeugkommunikationsnetzwerk mit der zweiten Steuereinheit und das zweite Fahrzeugkommunikationsnetzwerk mit der primären Steuereinheit verbunden. EP 3 626 571 A1 offenbart also eine Architektur, bei der sämtliche Subsysteme des Steuersystems miteinander verschaltet sind.

Durch eine Verschaltung sämtlicher Subsysteme miteinander, können, neben einem erhöhten Aufwand durch zusätzliche Verkabelung, ungewollte Rückwirkungen zwischen primärer und sekundärer Ebene des Steuersystems, beispielsweise Rückwirkungen eines Fehlers in der primären Steuereinheit auf das zweite Fahrzeugkommunikationsnetzwerk, nur sehr aufwendig ausgeschlossen werden. Bei solchen Systemen ist daher ein Risiko für Ausfälle aufgrund gemeinsamer Ursache erhöht. Ausfälle aufgrund gemeinsamer Ursache werden in der Risikoanalyse als Ausfälle von mehreren Komponenten oder Systemen bezeichnet, die als Folge einer einzelnen Fehlerursache oder eines einzelnen Ereignisses auftreten. Solche Fehler werden auch als Common Cause Failures, kurz CCF, bezeichnet. Um die Gefahr solcher Fehler zu reduzieren, ist jedenfalls ein zusätzlicher hoher Aufwand erforderlich. Eine Aufgabe der Erfindung ist es daher den Problemen des Standes der Technik zu begegnen. Insbesondere soll ein Fahrzeugsteuersystem bereitgestellt werden, das das Risiko für Common Cause Failures bei vertretbaren Aufwand für Gegenmaßnahmen, insbesondere für eine aufwendige Verkabelung oder zusätzlicher Komponenten, reduziert. Eine weitere Aufgabe ist es, ein verbessertes Fahrzeugsteuersystem bereitzustellen, das gegenüber Fehlem tolerant ausgebildet ist. Eine weitere Aufgabe ist es, ein in der Sicherheit verbessertes Fahrzeugsteuersystem bereitzustellen. Jedenfalls ist Aufgabe der vorliegenden Erfindung, eine Alternative zum aus dem Stand der Technik Bekannten zu finden.

Hierzu betrifft die Erfindung ein Fahrzeugsteuersystem zum autonomen Steuern eines Fahrzeugs nach Anspruch 1 .

Das Fahrzeugsteuersystem weist eine primäre Bewegungssteuerung auf, die eingerichtet ist, wenigstens einen primären Sollwert für eine Fahrzeugbewegung von einer primären virtuellen Fahrereinheit zu empfangen. Die primäre Bewegungssteuerung ist ferner eingerichtet, um mindestens einen primären Aktuator, insbesondere eines primären Aktuatorsystems, des Fahrzeugs, vorzugsweise in Abhängigkeit vom primären Sollwert, anzusteuern. Hierzu weist das Fahrzeugsystem eine primäre Kommunikationsverbindung auf, die vorzugsweise als eine Busverbindung, wie eine CAN-Verbindung, ausgebildet ist und die primäre Bewegungssteuerung mit dem primären Aktuator oder jedem der primären Aktuatoren verbindet. Die primäre Kommunikationsverbindung dient dazu, primäre Steuersignale, die in Abhängigkeit vom primären Sollwert erzeugt werden, an einen oder mehrere primäre Aktuatoren zu senden und besonders bevorzugt Informationen von den verbindbaren primären Aktuatoren zu empfangen. Solche Informationen umfassen beispielsweise Daten, die den aktuellen Betriebszustand des oder der primären Aktuatoren anzeigen. Die primäre Bewegungssteuerung ist demnach eingerichtet, um primäre Steuersignale zum Ansteuern der primären Aktuatoren in Abhängigkeit von dem primären Sollwert zu ermitteln.

Das Fahrzeugsteuersystem weist ferner eine sekundäre Bewegungssteuerung auf, die eingerichtet ist, wenigstens einen sekundären Sollwert für eine Fahrzeugbewegung von einer sekundären virtuellen Fahrereinheit zu empfangen. Die sekundäre Bewegungssteuerung ist ferner eingerichtet, mindestens einen sekundären Aktuator, insbesondere eines sekundären Aktuatorsystems, des Fahrzeugs, vorzugsweise in Abhängigkeit vom sekundären Sollwert, anzusteuern. Hierzu weist das Fahrzeugsystem eine sekundäre Kommunikationsverbindung auf, die vorzugsweise als eine Busverbindung, wie eine CAN-Verbindung, ausgebildet ist und die sekundäre Bewegungssteuerung mit dem sekundären Aktuator oder jedem der sekundären Aktuatoren verbindet. Die sekundäre Kommunikationsverbindung dient dazu, sekundäre Steuersignale, die in Abhängigkeit vom sekundären Sollwert erzeugt werden, an einen oder mehrere sekundäre Aktuatoren zu senden und Informationen von den verbindbaren sekundären Aktuatoren zu empfangen. Solche Informationen umfassen beispielsweise Daten, die den aktuellen Betriebszustand des oder der sekundären Aktuatoren anzeigen. Die sekundäre Bewegungssteuerung ist demnach eingerichtet, um sekundäre Steuersignale zum Ansteuern der sekundären Aktuatoren in Abhängigkeit von dem sekundären Sollwert zu ermitteln.

Ferner weist das Fahrzeugsteuersystem zudem eine private Kommunikationsverbindung auf, die die primäre Bewegungssteuerung mit der sekundären Bewegungssteuerung, insbesondere datenleitend, also um Daten untereinander austauschen zu können, verbindet. Die private Kommunikationsverbindung stellt somit eine Datenleitung oder Datenverbindung zwischen der primären Bewegungssteuerung und der sekundären Bewegungssteuerung bereit. Die private Kommunikationsverbindung ist vorzugsweise als Busverbindung, bevorzugt als CAN-Verbindung, ausgebildet.

Das Fahrzeugsteuersystem ist ferner dazu ausgebildet, um primäre Steuersignale von der primären Bewegungssteuerung an die sekundäre Bewegungssteuerung über die private Kommunikationsverbindung zu senden.

Außerdem umfasst die sekundäre Bewegungssteuerung eine sekundäre Entscheiderschaltung. Die sekundäre Entscheiderschaltung ist eingerichtet, um einen oder mehrere sekundäre Aktuatoren in Abhängigkeit, vorzugsweise entweder, von dem primären Steuersignal oder dem sekundären Steuersignal anzusteuern oder den einen oder die mehreren sekundären Aktuatoren unangesteuert zu lassen.

Demnach werden die primären Steuersignale nicht nur an die entsprechenden primären Aktuatoren, sondern auch an die sekundäre Bewegungssteuerung von der primären Bewegungssteuerung ausgegeben und stehen somit vorzugsweise immer aktuell in der sekundären Bewegungssteuerung zur Verfügung. Fällt nun ein primärer Aktuator aus, kann ein hierzu redundanter sekundärer Aktuator weiterhin mit den primären Steuersignalen angesteuert werden, wobei die primären Steuersignale über die sekundäre Bewegungssteuerung an den sekundären Aktuator weitergeleitet werden, indem die sekundäre Entscheiderschaltung die primären Steuersignale zu dem sekundären Aktuator durchschaltet.

Durch eine derartige Ansteuerung wird die Koordination der einzelnen anzusteuernden Aktuatoren vereinfacht. Eine Plausibilisierung und Arbitrierung der primären Steuersignale und sekundären Steuersignale ist gegenüber einer Ansteuerung eines sekundären Aktuators mit sekundären Steuersignalen, die aus sekundären Sollwerten abgeleitet werden, nicht notwendig.

Vorzugsweise ist die sekundäre Bewegungssteuerung auch dazu ausgebildet, einen von der sekundären virtuellen Fahrereinheit empfangenen zweiten Sollwert über die private Kommunikationsverbindung für die primäre Bewegungssteuerung bereitzustellen.

Der zweite Sollwert wird dann kaskadiert von der sekundären virtuellen Fahrereinheit über die sekundäre Bewegungssteuerung an der primären Bewegungssteuerung bereitgestellt. Durch dieses kaskadierte Bereitstellen bzw. Weiterleiten des zweiten Sollwerts wird verhindert, dass bei einem Ausfall der primären virtuellen Fahrereinheit oder bei einem Ausfall des primären Aktuatorsystems oder eines Aktuators bzw. Subsystems des primären Aktuatorsystems, vollständig auf die sekundäre Bewegungssteuerung und das sekundäre Aktuatorsystem umgeschaltet wird.

Vorzugsweise umfassen demnach die primäre Bewegungssteuerung sowie die primären Aktuatoren jeweils eine Sendeempfangseinheit zum Verbinden mit der primären Kommunikationsverbindung. Die sekundäre Bewegungssteuerung sowie die sekundären Aktuatoren umfassen jeweils eine Sendeempfangseinheit zum Verbinden mit der sekundären Kommunikationsverbindung. Die Entscheiderschaltung umfasst demnach vorzugsweise die Sendeempfangseinheit der sekundären Bewegungssteuerung.

Gemäß einer ersten Ausführungsform umfasst die primäre Bewegungssteuerung eine primäre Gesundheitsschaltung. Die primäre Gesundheitsschaltung ist eingerichtet, einen entweder fehlerfreien oder fehlerbehafteten Zustand der primären Aktuatoren und/oder der primären Bewegungssteuerung zu erfassen. Außerdem ist die sekundäre Entscheiderschaltung eingerichtet, um in Abhängigkeit von dem oder den erfassten Zuständen den oder die sekundären Aktuatoren anzusteuern.

Die sekundäre Entscheiderschaltung ist demnach eingerichtet, zu entscheiden, ob einer oder mehrere sekundäre Aktuatoren in Abhängigkeit entweder von dem primären Steuersignal oder dem sekundären Steuersignal angesteuert werden oder unangesteuert bleiben, wobei die Entscheidung in Abhängigkeit vom erfassten Zustand getroffen wird.

Ein definiertes Umschalten in der Entscheiderschaltung ist somit möglich, sobald ein defekter primärer Aktuator oder eine defekte primäre Bewegungssteuerung erfasst wird.

Gemäß einer weiteren Ausführungsform umfasst die sekundäre Bewegungssteuerung eine sekundäre Gesundheitsschaltung. Die sekundäre Gesundheitsschaltung ist eingerichtet, um einen fehlerfreien oder fehlerbehafteten Zustand der sekundären Aktuatoren und/oder der sekundären Bewegungssteuerung zu erfassen. Bevorzugt ist die sekundäre Gesundheitsschaltung datenleitend mit der primären Gesundheitsschaltung verbunden, so dass die jeweils erfassten Zustände der Gesundheitsschaltungen untereinander ausgetauscht werden. Besonders bevorzugt empfängt die sekundäre Gesundheitsschaltung die von der primären Gesundheitsschaltung erfassten Zustände und gibt der Entscheiderschaltung Vorgaben, um eine Entscheidung zu treffen. Die Vorgaben sind demnach entweder abhängig von den mit der primären Gesundheitsschaltung erfassten Zuständen oder von kombinierten Zuständen, die mit der primären Gesundheitsschaltung und der sekundären Gesundheitsschaltung erfasst werden.

Durch Erfassen der Zustände der primären Aktuatoren, der sekundären Aktuatoren sowie der primären Bewegungssteuerung und der sekundären Bewegungssteuerung, kann gewährleistet werden, dass eine sichere Ansteuerung der primären und sekundären Aktuatoren erfolgt. Es wird somit vermieden, dass beim Ausfall beider Bewegungssteuerungen oder beider zueinander redundanter Aktuatoren weiterhin ein Fährbetrieb aufrechterhalten wird. Die beiden Gesundheitsschaltungen sind dann vorzugsweise so ausgebildet, um beispielsweise mit weiteren Sicherheitsschaltungen das Fahrzeug in einen sicheren Zustand zu überführen. Gemäß einer weiteren Ausführungsform weist die primäre Bewegungsschaltung eine primäre Entscheiderschaltung auf. Die primäre Entscheiderschaltung ist eingerichtet, um einen oder mehrere primäre Aktuatoren in Abhängigkeit entweder von den primären Steuersignalen oder den sekundären Steuersignalen anzusteuern, oder einen oder mehrere sekundäre Aktuatoren unangesteuert zu lassen. Die primäre Entscheiderschaltung ist demnach in entsprechender Weise zur sekundären Entscheiderschaltung eingerichtet, um zu entscheiden, ob ein oder mehrere primäre Aktuatoren von primären Steuersignalen oder sekundären Steuersignalen angesteuert werden oder ob der oder die primären Aktuatoren unangesteuert bleiben.

Vorzugsweise trifft die Entscheiderschaltung in Abhängigkeit von mit der primären Gesundheitsschaltung und/oder sekundären Gesundheitsschaltung erfassten Zuständen eine Entscheidung. Dank einer primären Entscheiderschaltung ist es demnach möglich, beispielsweise im Fall einer Vielzahl ausgefallender primären Aktuatoren die hierzu redundanten sekundären Aktuatoren über die sekundäre Bewegungssteuerung mit sekundären Steuersignalen anzusteuern. Sekundäre Steuersignale können dann auch an die primäre Bewegungssteuerung weitergegeben werden und auch noch die, insbesondere übrigen, primären Aktuatoren können dann mit sekundären Steuersignalen angesteuert werden. Somit kann weiterhin eine Ansteuerung aller zur Aufrechterhaltung der Fahrfunktion benötigten Aktuatoren aus einer einzelnen Bewegungssteuerung erfolgen, um so einen Koordinationsaufwand der einzelnen Steuersignale zu minimieren.

Gemäß einer weiteren Ausführungsform umfasst das Fahrzeugsteuersystem eine kollektive Kommunikationsverbindung. Die kollektive Kommunikationsverbindung ist bevorzugt eine Busverbindung, besonders bevorzugt eine CAN-Verbindung. Die kollektive Busverbindung ist mit der primären Bewegungssteuerung und der sekundären Bewegungssteuerung verbunden und dient zur Ansteuerung von mindestens einem redundanzlosen Aktuator, wie beispielsweise einem Antrieb oder Antriebsstrang, des Fahrzeugs. Die kollektive Kommunikationsverbindung ist demnach eingerichtet, einen oder mehrere redundanzlose Aktuatoren mit der primären Bewegungssteuerung und/oder der sekundären Bewegungssteuerung anzusteuern. Vorzugsweise ist die primäre Bewegungssteuerung oder die sekundäre Bewegungssteuerung somit eingerichtet, den redundanzlosen Aktuator über die kollektive Kommunikationsverbindung in Abhängigkeit vom primären Sollwert oder vom sekundären Sollwert anzusteuern. Redundanzlose Aktuatoren entsprechen somit Aktuatoren, die bevorzugt nicht redundant ausgebildet sind, und somit sowohl Steuersignale von der primären Bewegungssteuerung als auch von der sekundären Bewegungssteuerung empfangen. Steuersignale können auch als Steuerbefehle bezeichnet werden.

Somit wird der redundanzlose Aktuator, wie etwa ein Antriebstrang, über eine Kommunikationsverbindung angesteuert, die getrennt von der Verbindung zwischen der primären Bewegungssteuerung und den primären Aktuatoren und der Verbindung zwischen der sekundären Bewegungssteuerung und den sekundären Aktuatoren ausgebildet ist.

Mögliche Steuersignale, die ein als Antriebsstrang ausgebildeter redundanzloser Aktuator empfangen kann, sind ein Sollantriebsmoment und eine Solldrehzahl. Es ist bevorzugt, dass neben dem Antriebstrang oder alternativ zu dem Antriebsstrang weitere redundanzlose Aktuatoren des Fahrzeugs über die kollektive Kommunikationsverbindung von der primären und/oder sekundären Bewegungssteuerung angesteuert werden können.

Vorzugsweise umfassen die primäre Bewegungssteuerung, die sekundäre Bewegungssteuerung und die redundanzlosen Aktuatoren jeweils eine Sendeempfangseinheit zum Verbinden mit der kollektiven Kommunikationsverbindung.

Die primäre Kommunikationsverbindung ist mit der sekundären Bewegungssteuerung verbindungslos, derart, dass die sekundäre Bewegungssteuerung keine Sendeempfangseinheit aufweist, um direkt mit der primären Kommunikationsverbindung verbunden zu sein und zu kommunizieren. Ferner ist die primäre Bewegungssteuerung verbindungslos mit der sekundären Kommunikationsverbindung. Die primäre Bewegungssteuerung weist demnach keine Sendeempfangseinheit zum direkten Verbinden mit der sekundären Kommunikationsverbindung auf. Primäre Kommunikationsverbindung, sekundäre Kommunikationsverbindung und kollektive Kommunikationsverbindung sind demnach voneinander physikalisch getrennte Kommunikationsverbindungen.

Bei einem Ausfall der Verbindung zwischen der primären Bewegungssteuerung und dem primären Aktuatorsystem und/oder der Verbindung zwischen der sekundären Be- wegungssteuerung und dem sekundären Aktuatorsystem können demnach redundanzlose Aktuatoren weiterhin angesteuert werden.

Dank der Bereitstellung der separaten primären Kommunikationsverbindung, der sekundären Kommunikationsverbindung und der kollektiven Kommunikationsverbindung ist eine einfache Verkabelung der Aktuatoren mit den Bewegungssteuerungen möglich. Eine Betriebsfähigkeit des Fahrzeugs kann so bei Ausfall der primären Kommunikationsverbindung, entweder durch eine Beschädigung der primären Kommunikationsverbindung oder durch einen defekten Aktuator, dessen Defekt sich auf die primäre Kommunikationsverbindung auswirkt, mittels sekundärer Kommunikationsverbindung und sekundären Aktuatoren aufrechterhalten werden.

Ein häufiges Problem stellen dauersendende defekte primäre Aktuatoren dar. Solche Aktuatoren werden auch als Dauersender oder „Babbling Idiot“ bezeichnet. Eintretende Feuchtigkeit in ein Gehäuse eines Kommunikationsmoduls des Aktuators kann solch einen Defekt hervorrufen. Ist ein solcher Dauersender mit der primären Kommunikationsverbindung verbunden, führt dies beispielsweise zu einer Überlastung der primären Kommunikationsverbindung und somit zu einer entweder gar nicht mehr oder nur zeitverzögerten Datenübertragung der weiteren verbundenen primären Aktuatoren. Dennoch wirkt sich dieser defekte primäre Aktuator nicht negativ auf die Funktion der redundanzlosen Aktuatoren aus, da diese über die kollektive Kommunikationsverbindung separat kommunizieren.

Selbst wenn die primäre Bewegungssteuerung vollständig ausfällt, können die redundanzlosen Aktuatoren von der sekundären Bewegungssteuerung weiterhin angesteuert werden, da die redundanzlosen Aktuatoren über die kollektive Kommunikationsverbindung mit der primären und der sekundären Bewegungssteuerung kommunizieren können. Die sekundären Aktuatoren können ebenfalls als Ersatz der nicht mehr erreichbaren primären Aktuatoren über die sekundäre Bewegungssteuerung angesteuert werden.

Gemäß einer weiteren Ausführungsform umfasst die primäre Bewegungssteuerung eine primäre Bypassschaltung, um eine Kommunikationsverbindung zwischen der primären Kommunikationsverbindung und der kollektiven Kommunikationsverbindung bereitzustellen. Die sekundäre Bewegungssteuerung weist entsprechend eine sekundäre By- passschaltung auf, um eine Kommunikation zwischen der sekundären Kommunikationsverbindung und der kollektiven Kommunikationsverbindung bereitzustellen.

Die primäre Bypassschaltung ist eingerichtet, um Informationen und Daten von der primären Kommunikationsverbindung auf der kollektiven Kommunikationsverbindung und von der kollektiven Kommunikationsverbindung auf der primären Kommunikationsverbindung bereitzustellen. Die primäre Bypassschaltung kann demnach auch als primäre Routingschaltung bezeichnet werden und die sekundäre Bypassschaltung kann demnach auch als sekundäre Routingschaltung bezeichnet werden.

Beispielsweise ist der Zustand eines Antriebs, der beispielsweise als nichtredundanter Aktuator angesteuert wird und daher Daten über seinen Zustand über die kollektive Kommunikationsverbindung an die primäre Bewegungssteuerung sendet, auch für ein primäres Bremssystem relevant, das über die primäre Kommunikationsverbindung mit der primären Bewegungssteuerung kommuniziert. Die primäre Bypassschaltung dient somit, um einen Datenaustausch zwischen nichtredundanten Aktuatoren und primären Aktuatoren zu ermöglichen. Die primäre Bypassschaltung ist vorzugsweise jedoch so ausgebildet, dass nicht alle Daten zwischen den verbundenen Kommunikationsverbindungen weitergeleitet werden, also nur definierte Daten weitergeleitet werden, um den Datenverkehr auf beiden verbundenen Kommunikationsverbindungen zu reduzieren.

In gleicher Weise ist die sekundäre Bypassschaltung eingerichtet, um Daten von der sekundären Kommunikationsverbindung auf der kollektiven Kommunikationsverbindung und von der kollektiven Kommunikationsverbindung auf der sekundären Kommunikationsverbindung bereitzustellen. Die sekundäre Bypassschaltung kann demnach auch als sekundäre Routingschaltung bezeichnet werden. Auch die sekundäre Bypassschaltung ist vorzugsweise so ausgebildet, dass nicht alle Daten zwischen den verbundenen Kommunikationsverbindungen, also nur definierte Daten, weitergeleitet werden.

Das Bereitstellen der Bypassschaltungen statt einer direkten Verbindung der primären Kommunikationsverbindung mit der kollektiven Kommunikationsverbindung und einer direkten Verbindung einer sekundären Kommunikationsverbindung mit der kollektiven Kommunikationsverbindung dient weiter zur Vermeidung der oben genannten Common Cause Failures. Darüber hinaus wird aber eine Möglichkeit geschaffen, Daten direkt von einer der mit der Bypassschaltung verbundenen Kommunikationsverbindung auf die andere mit der Bypassschaltung verbundene Kommunikationsverbindung weiterzuleiten.

Demnach verbindet die primäre Bypassschaltung datenleitend eine Sendeempfangseinheit der primären Bewegungssteuerung zur Verbindung mit der primären Kommunikationsverbindung und eine Sendeempfangseinheit der primären Bewegungssteuerung zur Verbindung mit der kollektiven Kommunikationsverbindung. Zudem verbindet die sekundäre Bypassschaltung datenleitend eine Sendeempfangseinheit der sekundären Bewegungssteuerung zum Verbinden mit der sekundären Kommunikationsverbindung mit einer Sendeempfangseinheit der sekundären Bewegungssteuerung zur Verbindung mit der kollektiven Kommunikationsverbindung.

Gemäß einer weiteren Ausführungsform ist die privaten Kommunikationsverbindung unabhängig von der kollektiven Kommunikationsverbindung und entspricht einer zur kollektiven Kommunikationsverbindung zusätzlichen Kommunikationsverbindung. Die primäre Bewegungsteuerung umfasst demnach eine Sendeempfangseinheit für die private Kommunikationsverbindung und eine weitere Sendeempfangseinheit für die kollektive Kommunikationsverbindung. Die sekundäre Bewegungsteuerung umfasst demnach eine Sendeempfangseinheit für die private Kommunikationsverbindung und eine weitere Sendeempfangseinheit für die kollektive Kommunikationsverbindung.

Gemäß einer alternativen Ausführungsform entspricht die private Kommunikationsverbindung der kollektiven Kommunikationsverbindung. Die primäre Bewegungssteuerung und die sekundäre Bewegungssteuerung sind demnach eingerichtet, um untereinander Daten über die kollektive Kommunikationsverbindung auszutauschen. Dieses Ausführungsbeispiel ermöglicht demnach nicht, dass ein Fehler in einer Sendeempfangseinheit entweder der primären Bewegungsteuerung oder der sekundären Bewegungsteuerung zum Verbinden mit der kollektiven Kommunikationsverbindung durch die entsprechend fehlerfreie Bewegungssteuerung ausgeglichen wird. Jedoch kann so eine zusätzliche Kommunikationsverbindung eingespart werden. Weiterhin ist aber so die primäre Bewegungsteuerung eingerichtet, um sekundäre Aktuatoren über die kollektive Kommunikationsverbindung und die sekundäre Bewegungssteuerung anzusteuern.

Gemäß einer weiteren Ausführungsform umfasst die sekundäre Bewegungssteuerung eine Arbitrierungsschaltung, um Steuersignale auf der kollektiven Kommunikationsver- bindung zu arbitrieren, wobei die Arbitrierungsschaltung durch die sekundäre und/oder primäre Entscheiderschaltung steuerbar ist. Vorzugsweise ist die Arbitrierungsschaltung eingerichtet, um in Abhängigkeit von Vorgaben der sekundären Entscheiderschaltung von der sekundären Bewegungssteuerung erzeugte sekundäre Steuersignale auf der kollektiven Kommunikationsverbindung auszugeben oder zu unterdrücken oder insbesondere gegenüber primären Steuersignalen bevorzugt zu behandeln. Vorzugsweise können auch an die sekundäre Bewegungssteuerung weitergeleitete primäre Steuersignale ausgegeben oder nicht ausgegeben, also unterdrückt, werden.

Vorzugsweise erfolgt mit der Arbitrierungsschaltung ein Arbitrieren der primären und sekundären Steuersignale an der primären und/oder sekundären Bewegungssteuerung. Das Arbitrieren der primären und sekundären Steuersignale umfasst vorzugsweise das Überprüfen der Gültigkeit der primären Steuersignale und/oder das Überprüfen der Gültigkeit der sekundären Steuersignale. Zudem oder alternativ umfasst das Arbitrieren das Priorisieren der primären und der sekundären Steuersignale. Das Überprüfen der Gültigkeit der primären Steuersignale und/oder der sekundären Steuersignale kann z. B. durch Überprüfen einer Checksumme, eines Counters oder eines sonstigen Schüssels der primären und/oder der sekundären Steuersignale erfolgen. Das Priorisieren umfasst vorzugsweise das Zuweisen von Prioritäten an die primären und die sekundären Steuersignale.

Gemäß einer weiteren Ausführungsform sind die primäre Bewegungssteuerung und die sekundäre Bewegungssteuerung eingerichtet, um über die private Kommunikationsverbindung primäre Sollwerte und sekundäre Sollwerte zu plausibilisieren. Vorzugsweise werden demnach von der primären virtuellen Fahrereinheit gesendete und von der primären Bewegungssteuerung empfangene primäre Sollwerte an die sekundäre Bewegungssteuerung über die private Kommunikationsverbindung gesendet und/oder von der sekundären virtuellen Fahrereinheit gesendete und von der sekundären Bewegungssteuerung empfangene sekundäre Sollwerte an die primäre Bewegungssteuerung über die private Kommunikationsverbindung gesendet. Somit liegen in der primären Bewegungssteuerung und/oder der sekundären Bewegungssteuerung primäre Sollwerte und sekundäre Sollwerte vor. Primäre Sollwerte und sekundäre Sollwerte können dann, wenn sie zu gleichen Zeitpunkten, also bei einem identischen Zustand des Fahrzeugs, erzeugt wurden, miteinander verglichen werden. Eine Abweichung zwischen einem primären Sollwert und einem sekundären Sollwert kann so erfasst und als Fehler erkannt werden. Eine fehlerbehaftete primäre virtuelle Fahrereinheit oder eine fehlerbehaftete sekundäre virtuelle Fahrereinheit können so detektiert werden.

Gemäß einer weiteren Ausführungsform ist die primäre Bewegungssteuerung eingerichtet, um über die private Kommunikationsverbindung und die sekundäre Bewegungssteuerung Daten auf der sekundären Kommunikationsverbindung an mindestens einen sekundären Aktuator zu senden oder vom sekundären Aktuator zu empfangen.

Hierdurch kann ein ausgefallener primärer Aktuator durch einen sekundären Aktuator ersetzt werden, wobei der sekundäre Aktuator weiterhin von der primären Bewegungssteuerung direkt angesteuert wird. Demnach wird nur ein primärer nicht mehr ansteuerbarer oder defekter Aktuator durch einen sekundären Aktuator ersetzt, um die Funktion des primären Aktuators weiterhin bereitzustellen.

Häufig sind zueinander redundante primäre und sekundäre Aktuatoren so ausgebildet, dass der Funktionsumfang des sekundären Aktuators, der redundant zu einem entsprechenden primären Aktuator bereitgestellt ist, gegenüber dem primären Aktuator eingeschränkt ist. Gemäß dieser Ausführungsform muss somit nicht bei einem defekten primären Aktuator vollkommen auf das sekundäre System, umfassend die sekundäre virtuelle Fahrereinheit, die sekundäre Bewegungssteuerung und die sekundären Aktuatoren, umgeschaltet werden, sondern es kann lediglich der defekte primäre Aktuator durch den dazu redundanten sekundären Aktuator ersetzt werden. Der möglicherweise umfangreichere Funktionsumfang der übrigen weiterhin funktionstüchtigen primären Aktuatoren sowie der primären virtuellen Fahrereinheit und/oder der primären Bewegungssteuerung bleibt somit vollumfänglich erhalten.

Gemäß einer weiteren Ausführungsform ist die sekundäre Bewegungssteuerung eingerichtet, mit der privaten Kommunikationsverbindung sekundäre Sollwerte an die primäre Bewegungssteuerung zu senden und/oder primäre Aktuatoren über die private Kommunikationsverbindung und die primäre Bewegungssteuerung anzusteuern. Ein Ansteuern erfolgt beispielsweise indem in Abhängigkeit von den sekundären Sollwerten in der sekundären Bewegungssteuerung Steuersignale erzeugt werden und diese Steuersignale über die private Kommunikationsverbindung und die primäre Kommunikationsverbindung an die primären Aktuatoren gesendet wird, um die primären Aktuatoren in Abhängigkeit von den Steuersignalen anzusteuern. Gemäß einer weiteren Alternative ist die sekundäre Bewegungssteuerung eingerichtet, über die private Kommunikationsverbindung in Abhängigkeit von den sekundären Sollwerten erzeugte Sollwerte für die primäre Bewegungssteuerung an die primäre Bewegungssteuerung zu übertragen. Diese erzeugten Sollwerte können an die Art der primären Sollwerte angepasst sein, wenn zu gleichen Zeitpunkten, also bei gleichem Betriebszustand des Fahrzeugs, unterschiedliche primäre Sollwerte und sekundäre Sollwerte durch die zugeordnete primäre virtuelle Fahrereinheit und die sekundäre virtuelle Fahrereinheit erzeugt werden. Die erzeugten Sollwerte können aber auch den sekundären Sollwerten entsprechen. Die sekundäre Bewegungssteuerung leitet die sekundären Sollwerte im letztgenannten Fall demnach weiter.

Ein Ausfall einer primären virtuellen Fahrereinheit kann so durch die sekundäre virtuelle Fahrereinheit kompensiert werden, wobei weiterhin die primäre Bewegungssteuerung sowie die primären Aktuatoren verwendet werden. Dies ist besonders vorteilhaft, wenn, wie oben beschrieben, primäre Komponenten einen gegenüber den sekundären Komponenten erhöhten Funktionsumfang aufweisen.

Gemäß einer weiteren Ausführungsform ist jedem primären Aktuator ein sekundärer Aktuator zugeordnet. Einander zugeordnete Aktuatoren entsprechen einem Paar von zueinander redundanten Aktuatoren. Demnach umfasst das Fahrzeugsteuersystem die primären Aktuatoren und die sekundären Aktuatoren. Mindestens eines der Paare, mehrere oder alle Paare umfassen eine Systemkommunikationsverbindung. Die Systemkommunikationsverbindung ist vorzugsweise eine Busverbindung, besonders bevorzugt eine CAN-Verbindung. Die Verbindung kann auch als Systembus bezeichnet werden.

Einander zugeordnete Fahrzeugaktuatoren sind demnach jeweils über einen Systembus miteinander verbunden. Dank der Systemkommunikationsverbindungen ist es möglich, primäre Aktuatoren beim Ausfall der primären Kommunikationsverbindung über den zugeordneten sekundären Aktuator mittels der sekundären Kommunikationsverbindung anzusteuern. Im Fall einer ausgefallenen primären Kommunikationsverbindung kann somit dank der privaten Kommunikationsverbindung, die eine Verbindung zwischen dem primären System und dem sekundären System bereitstellt, eine Datenverbindung zu den primären Aktuatoren über die sekundäre Bewegungssteuerung, die sekundäre Kommunikationsverbindung sowie die sekundären Aktuatoren hergestellt wer- den. Weiterhin können alle primären Komponenten des Fahrzeugsteuersystems auch bei Ausfall der primären Kommunikationsverbindung verwendet werden.

Gemäß einer weiteren Ausführungsform ist für die Energieversorgung des Fahrzeugsteuersystems eine primäre und eine sekundäre Energieversorgung vorgesehen. Es ist bevorzugt, dass die primäre Energieversorgung die primäre virtuelle Fahrereinheit, die primäre Bewegungssteuerung und/oder die primären Aktuatoren des primären Aktuatorsystems mit Energie versorgt. Es ist ferner bevorzugt, dass die sekundäre Energieversorgung die sekundäre virtuelle Fahrereinheit, die sekundäre Bewegungssteuerung und/oder die sekundären Aktuatoren des sekundären Aktuatorsystems mit Energie versorgt.

Vorzugsweise sind alle redundanzlosen Aktuatoren mit der primären Energieversorgung verbunden, um über die primäre Energieversorgung versorgt zu werden. Gemäß einer Alternative ist ein Teil der redundanzlosen Aktuatoren mit der primären Energieversorgung und ein anderer Teil der redundanzlosen Aktuatoren mit der sekundären Energieversorgung verbunden. Vorzugsweise unterscheidet sich die gesamte Nennleistung der redundanzlosen Aktuatoren, die mit der primären Energiequelle versorgt werden, um weniger als 50 %, bevorzugt weniger als 20 % oder besonders bevorzugt weniger als 10 % von der gesamten Nennleistung der redundanzlosen Aktuatoren, die von der sekundären Energieversorgung versorgt werden. So ist es möglich, im Wesentlichen zwei gleichgroße Energieversorgungen, wie beispielsweise Energiespeicher, bevorzugt Akkumulatoren, bereitzustellen. Eine einfachere Symmetrie der primären und sekundären Systeme ist somit herstellbar.

Gemäß einer weiteren Ausführungsform sind die primäre Bewegungssteuerung und die sekundäre Bewegungssteuerung eingerichtet, untereinander eine Arbitrierung der Daten vorzunehmen, die von der primären Bewegungssteuerung und/oder der sekundären Bewegungssteuerung gesendet werden. Eine Arbitrierung der Daten, insbesondere von Steuersignalen, dient zur Kollisionsvermeidung von gleichzeitig gesendeten Daten durch die primäre Bewegungssteuerung und die sekundäre Bewegungssteuerung. Insbesondere erfolgt die Arbitrierung in Abhängigkeit von einem Gesundheitszustandserfassungssystem, das die Funktionsfähigkeit oder Fehler in den Bewegungssteuerungen oder den virtuellen Fahrereinheiten erfassen und so vorgeben kann, welche Bewegungssteuerung Befehle senden darf. Ferner umfasst die primäre Bewegungssteuerung eine primäre Steuereinheit und die sekundäre Bewegungssteuerung eine sekundäre Steuereinheit. Die primäre Steuereinheit ist eingerichtet, Fehler in einem primären Aktuator zu detektieren und nach dem Detektieren eines Fehlers den dem primären Aktuator zugeordneten sekundären Aktuator über die sekundäre Bewegungssteuerung sowie die sekundäre Kommunikationsverbindung anzusteuern. Vorzugsweise ist die primäre Steuereinheit Teil des Gesundheitszustandserfassungssystems und in diesem Fall auch eingerichtet, einen fehlerfreien Betrieb der primären Bewegungssteuerung und/oder des sekundären Aktuators zu überwachen.

Außerdem umfasst die Erfindung ein Fahrzeugsystem mit einem Fahrzeugsteuersystem nach einer der vorgenannten Ausführungsformen. Ferner umfasst das Fahrzeugsystem eine primäre virtuelle Fahrereinheit und eine sekundäre virtuelle Fahrereinheit.

Ferner umfasst die Erfindung ein Fahrzeug mit mehreren primären Aktuatoren, sekundären Aktuatoren und redundanzlosen Aktuatoren sowie einem Fahrzeugsystem oder einem Fahrzeugsteuersystem nach einer der vorgenannten Ausführungsformen.

Außerdem umfasst die Erfindung ein Verfahren zum Betreiben eines Fahrzeugsteuersystems nach einer der vorgenannten Ausführungsformen.

Gemäß einer Ausführungsform des Verfahrens werden mit der primären Bewegungssteuerung über die private Kommunikationsverbindung kontinuierlich oder im Fall eines Ausfalls eines primären Aktuators Steuersignale an die sekundäre Entscheiderschaltung über die private Kommunikationsverbindung gesendet.

Gemäß einer weiteren Ausführungsform wird im Fall eines Ausfalls eines primären Aktuators, der vorzugsweise über die primäre Gesundheitsschaltung detektiert wird, der zum primären Aktuator redundante sekundäre Aktuator mit den primären Steuersignalen angesteuert. Dies erfolgt vorzugsweise, indem die primäre Gesundheitsschaltung der sekundären Entscheiderschaltung den Zustand des ausgefallenen Aktuators mitteilt und die sekundäre Entscheiderschaltung ansteuert, um die primären Steuersignale für den ausgefallenen primären Aktuator für den dazu redundanten sekundären Aktuator auf der sekundären Kommunikationsverbindung auszugeben. Gemäß einer weiteren Ausführungsform werden mit der sekundären Bewegungssteuerung über die private Kommunikationsverbindung sekundäre Sollwerte an die primäre Bewegungssteuerung gesendet, um mit der primären Bewegungssteuerung aus den primären Sollwerten Steuersignale für die primären Aktuatoren zu erzeugen.

Gemäß einer weiteren Ausführungsform wird von der primären Bewegungssteuerung so ein primärer Aktuator mit Daten angesteuert, die über die private Kommunikationsverbindung, die primäre Bewegungssteuerung, die sekundäre Kommunikationsverbindung, einen sekundären Aktuator, der zum anzusteuernden primären Aktuator redundant ist, und eine Systemkommunikationsverbindung, der den primären Aktuator mit dem dem primären Aktuator zugeordneten sekundären Aktuator verbindet, gesendet werden.

Ferner werden gemäß einer weiteren Ausführungsform mit einer primären Gesundheitsschaltung der primären Bewegungssteuerung Fehler in einem primären Aktuator detektiert und der primäre Aktuator mit der primären Steuereinheit deaktiviert.

Gemäß einer weiteren Ausführungsform wird mit der sekundären Gesundheitsschaltung der sekundären Bewegungssteuerung ein Fehler einer primären Bewegungssteuerung, insbesondere beim Ausbleiben eines überwachten Gesundheitszustandssignals der primären Gesundheitsschaltung der primären Bewegungssteuerung, erkannt und die primäre Bewegungssteuerung und/oder primären Aktuatoren und/oder der primäre virtuelle Fahrer deaktiviert und das Fahrzeug mit dem sekundären virtuellen Fahrer der sekundären Bewegungssteuerung und den sekundären Aktuatoren gesteuert.

Es ist bevorzugt, dass die primäre Bewegungssteuerung mit der primären virtuellen Fahrereinheit über eine primäre virtuelle Fahrerkommunikationsverbindung verbunden ist. Ferner ist bevorzugt, dass die sekundäre Bewegungssteuerung mit der sekundären virtuellen Fahrereinheit über eine sekundäre virtuelle Kommunikationsverbindung verbunden ist. Die primäre virtuelle Kommunikationsverbindung und die sekundäre virtuelle Kommunikationsverbindung sind vorzugsweise voneinander unabhängige und physikalisch getrennte Netzwerkverbindungen. Durch die Trennung der beiden Netzwerkverbindungen kann das Risiko von Common Cause Failures reduziert werden. In einer bevorzugten Weiterbildung ist die primäre virtuelle Fahrerkommunikationsverbindung eine Busverbindung, besonders bevorzugt eine CAN-Verbindung. Bevorzugt ist ferner, dass die sekundäre virtuelle Fahrerkommunikationsverbindung eine Busverbindung, besonders bevorzugt eine CAN-Verbindung, ist.

Vorzugsweise sind die primäre virtuelle Fahrereinheit und die sekundäre virtuelle Fahrereinheit dafür eingerichtet, sich jeweils gegenseitig vollständig oder teilweise funktional zu ersetzen. Die primäre virtuelle Fahrereinheit und die sekundäre virtuelle Fahrereinheit sind demnach redundant ausgebildet und können auch bei Ausfall einer der virtuellen Fahrereinheiten die geforderte Funktion vollständig oder teilweise erfüllen. In einer bevorzugten Weiterbildung sind die primäre virtuelle Fahrereinheit und die sekundäre virtuelle Fahrereinheit über eine Fahrereinheit-Verbindung, bevorzugt über einen Fahre- reinheit-BUS, besonders bevorzugt über einen Fahrereinheit-CAN, miteinander verbunden. Die primäre virtuelle Fahrereinheit und die sekundäre virtuelle Fahrereinheit können auch Subsysteme eines virtuellen Fahrersystems sein.

Vorzugsweise bilden die primäre virtuelle Fahrereinheit und die sekundäre virtuelle Fahrereinheit den primären Sollwert und den zweiten Sollwert für eine Fahrzeugbewegung unabhängig voneinander. Hierfür können die primäre virtuelle Fahrereinheit und die sekundäre virtuelle Fahrereinheit vorzugsweise jeweils auf unterschiedliche Sensoren zur Umwelterfassung sowie große Rechenleistungen zur Auswertung der Sensordatenströme zurückgreifen.

Es ist bevorzugt, dass die primäre Bewegungssteuerung und die sekundäre Bewegungssteuerung dafür eingerichtet sind, sich jeweils gegenseitig vollständig oder teilweise funktional zu ersetzen. Damit sind auch die primäre Bewegungssteuerung und die sekundäre Bewegungssteuerung redundant ausgebildet und können auch bei Ausfall einer der Bewegungssteuerungen die geforderte Funktion vollständig oder teilweise erfüllen.

Vorzugsweise umfasst das primäre Aktuatorsystem ein primäres Bremssystem und vorzugsweise umfasst das sekundäre Aktuatorsystem ein sekundäres Bremssystem. Zum Übertragen von Daten sind das primäre Bremssystem und das sekundäre Bremssystem vorzugsweise mit einer Systemkommunikationsverbindung verbunden. Die Systemkommunikationsverbindung kann auch als Bremsen-Verbindung, als Bremsen-BUS, oder als Bremsen-CAN bezeichnet werden. Damit kann beispielsweise das sekundäre Bremssystem ein Steuersignal empfangen und dieses an das primäre Bremssystem, sofern es verfügbar ist, weiterleiten bzw. an diesem bereitstellen. Auch möglich ist, dass das primäre Bremssystem ein empfangenes Steuersignal an das sekundäre Bremssystem, sofern dieses verfügbar ist, weiterleitet. Hierdurch wird erreicht, dass dasjenige Aktuatorsystem der redundant ausgebildeten Bremssysteme verwendet wird, das besser geeignet ist, das Steuersignal auszuführen.

Weiter ist bevorzugt, dass das primäre Aktuatorsystem ein primäres Lenksystem aufweist und dass das sekundäre Aktuatorsystem ein sekundäres Lenksystem aufweist. Vorzugsweise sind das primäre Lenksystem und das sekundäre Lenksystem zum Übertragen von Daten mit einer Systemkommunikationsverbindung verbunden. Die Systemkommunikationsverbindung kann hier auch als Lenk-Verbindung, als Lenk-BUS, oder Lenk-CAN bezeichnet werden. Damit können auch das primäre Lenksystem und das sekundäre Lenksystem die jeweils empfangenen Steuersignale in beide Richtungen weiterleiten.

Auch die weiteren redundant ausgebildeten Subsysteme der primären und sekundären Aktuatorsysteme sind bevorzugt jeweils durch eine Systemkommunikationsverbindung miteinander verbunden, um das empfangene Steuersignal in beide Richtungen weiterzuleiten.

Vorzugsweise ist die sekundäre Bewegungssteuerung mit dem sekundären Aktuatorsystem signalleitend verbunden, wie vorstehend bereits ausgeführt, über die sekundäre Kommunikationsverbindung. Bei einem vorbestimmten Einfachfehler oder einer vorbestimmten Fehlerkonstellation des Fahrzeugsteuersystems und/oder der Peripherie des Fahrzeugsteuersystems ist es bevorzugt, dass die sekundäre Bewegungssteuerung den sekundären Sollwert verarbeitet und ein aus dem sekundären Sollwert abgeleitetes sekundäres Steuersignal an das sekundäre Aktuatorsystem aussteuert. Ein vorbestimmter Einfachfehler oder eine vorbestimmte Fehlerkonstellation kann hierbei beispielsweise der Ausfall der primären Bewegungssteuerung und/oder ein Ausfall der primären Energieversorgung der primären Bewegungssteuerung sein. Weitere mögliche Fehler, die dazu führen können, dass der sekundäre Sollwert über die sekundäre Bewegungssteuerung und das sekundäre Aktuatorsystem ausgesteuert wird, sind z. B. der Ausfall der privaten Kommunikationsverbindung oder der Ausfall der primären Kommunikationsverbindung. In einer weiteren Ausführungsform des Verfahrens umfasst das Verfahren das Bereitstellen wenigstens eines primären Sollwerts für eine Fahrzeugbewegung an einer primären Bewegungssteuerung des Fahrzeugsteuersystems. Das Verfahren umfasst ferner das Bereitstellen eines sekundären Sollwerts für eine Fahrzeugbewegung an einer sekundären Bewegungssteuerung des Fahrzeugsteuersystems. Das Verfahren umfasst vorzugsweise das Weiterleiten bzw. Bereitstellen des sekundären Sollwerts von der sekundären Bewegungssteuerung an die primäre Bewegungssteuerung. Es ist bevorzugt, dass der primäre Sollwert von einer primären virtuellen Fahrereinheit an der primären Bewegungssteuerung bereitgestellt wird. Vorzugsweise wird der sekundäre Sollwert von einer sekundären virtuellen Fahrereinheit an der sekundären Bewegungssteuerung bereitgestellt. Der primäre und der sekundäre Sollwert werden vorzugweise unabhängig voneinander gebildet.

Vorzugsweise umfasst das Verfahren ein Arbitrieren der primären und sekundären Steuersignale, insbesondere für redundanzlose Aktuatoren auf der kollektiven Kommunikationsverbindung mit einer Arbitrierungsschaltung an der sekundären Bewegungssteuerung. Das Arbitrieren der primären und sekundären Steuersignale umfasst vorzugsweise das Überprüfen der Gültigkeit der primären Steuersignale und/oder das Überprüfen der Gültigkeit der sekundären Steuersignale. Zudem oder alternativ umfasst das Arbitrieren das Priorisieren der primären und der sekundären Steuersignale. Das Überprüfen der Gültigkeit der primären Steuersignale und/oder der sekundären Steuersignale kann z. B. durch Überprüfen einer Checksumme, eines Counters oder eines sonstigen Schüssels der primären und/oder der sekundären Steuersignale erfolgen. Das Priorisieren umfasst vorzugsweise das Zuweisen von Prioritäten an die primären und die sekundären Steuersignale.

In einer bevorzugten Weiterbildung umfasst das Verfahren das Auswählen des primären oder des sekundären Sollwerts. Alternativ umfasst das Verfahren vorzugsweise das Kombinieren des primären und des sekundären Sollwerts. Vorzugsweise wählt die primäre Bewegungssteuerung denjenigen Sollwert aus, der für gültig befunden wurde und/oder der eine höhere Priorität aufweist. Das Verfahren kann insofern auch ein Umschalten von dem primären Sollwert auf den sekundären Sollwert oder von dem sekundären Sollwert auf den primären Sollwert umfassen. Es ist bevorzugt, dass das Verfahren das Verarbeiten des ausgewählten Sollwerts oder des kombinierten Sollwerts in der primären Bewegungssteuerung umfasst. Ferner umfasst das Verfahren vorzugsweise das Ansteuern eines Aktuators mit einem von dem ausgewählten Sollwert oder dem kombinierten Sollwert abgeleiteten primären Steuerbefehls.

Bei einem vorbestimmten Einfachfehler oder einer vorbestimmten Fehlerkonstellation des Fahrzeugsteuersystems und/oder der Peripherie des Fahrzeugsteuersystems umfasst das Verfahren vorzugsweise das Verarbeiten des sekundären Sollwerts in der sekundären Bewegungssteuerung und das Ansteuern eines Aktuators mit einem von dem sekundären Sollwert abgeleiteten sekundären Steuersignal. Der vorbestimmte Einfachfehler oder die vorbestimmte Fehlerkonstellation kann hierbei z. B. der Ausfall der primären Bewegungssteuerung und/oder einer Energieversorgung der primären Bewegungssteuerung sein. Auch der Ausfall relevanter Netzwerkverbindungen oder ein Ausfall des primären Aktuatorsystems oder eines Subsystems des primären Aktuatorsystems kann ein solcher vorbestimmter Fehler sein.

Weitere Ausführungsformen ergeben sich anhand der in den Figuren beschriebenen Ausführungsbeispiele. Hierbei zeigen:

Fig. 1 eine schematische Darstellung eines Fahrzeugs mit einem Fahrzeugsystem gemäß einem Ausführungsbeispiel,

Fig. 2 eine schematische Darstellung eines Ausführungsbeispiels eines Fahrzeugsystems mit einem Ausführungsbeispiel eines Fahrzeugsteuersystems und

Fig. 3 ein weiteres Ausführungsbeispiel eines Fahrzeugsteuersystems.

Fig. 1 zeigt ein Fahrzeug 1 , das ein Nutzfahrzeug ist. Das Fahrzeug 1 weist ein Fahrzeugsystem 200 mit einem Fahrzeugsteuersystem 100 auf. Das Fahrzeug 1 ist in Fig. 1 als ein Nutzfahrzeug mit einer ersten Hinterachse HA1 , einer zweiten Hinterachse HA2 und einer Vorderachse VA dargestellt. Vorderräder 50.1 , 50.2 der Vorderachse VA sind lenkbar ausgeführt. Hinterräder 52.1 , 52.2, 52.3, 52.4 der ersten Hinterachse HA1 und zweiten Hinterachse HA2 sind hier als nicht lenkbare Räder ausgeführt. Es kann jedoch auch vorgesehen sein, dass die Hinterräder 52.1 , 52.2 der primären Hinterachse HA1 und/oder die Hinterräder 52.3, 52.4 der zweiten Hinterachse HA2 lenkbar ausgeführt sind.

Das Fahrzeugsteuersystem 100 umfasst eine primäre Bewegungssteuerung 110 und eine sekundäre Bewegungssteuerung 120. Die primäre Bewegungssteuerung 110 ist mit einer primären virtuellen Fahrereinheit 112 verbunden. Die primäre virtuelle Fahrereinheit 112 ist bevorzugt dazu ausgebildet, eine Fahrzeugbewegung zu planen und einen primären Sollwert S1 für die geplante Fahrzeugbewegung zu bilden. Die Planung der Fahrzeugbewegung erfolgt vorzugsweise unter Verwendung von von Primärsensoren bereitgestellten Sensordaten und/oder von von Sekundärsensoren bereitgestellten Sekundärsensordaten (nicht dargestellt). Die sekundäre Bewegungssteuerung 120 ist mit einer sekundären virtuellen Fahrereinheit 122 verbunden. Die sekundäre virtuelle Fahrereinheit 122 ist bevorzugt dazu ausgebildet, eine Fahrzeugbewegung zu planen und einen sekundären Sollwert S2 für die geplante Fahrzeugbewegung zu bilden. Die Planung der Fahrzeugbewegung erfolgt vorzugsweise unter Verwendung von von Sekundärsensoren bereitgestellten Sekundärsensordaten und/oder von von Primärsensoren bereitgestellten Primärsensordaten (nicht dargestellt).

In den in den Figuren 1 bis 3 dargestellten Ausführungsbeispielen sind die primäre virtuelle Fahrereinheit 112 und die sekundäre virtuelle Fahrereinheit 122 über einen Fah- rereinheit-BUS FB miteinander verbunden. Der Fahrereinheit-BUS FB ist vorzugsweise als eine CAN-Verbindung ausgebildet.

Die primäre virtuelle Fahrereinheit 112 ist dazu ausgebildet, den primären Sollwert an der primären Bewegungssteuerung 110 bereitzustellen. Es ist eine primäre virtuelle Fahrerkommunikationsverbindung PVF vorgesehen, die die primäre virtuelle Fahrereinheit 112 mit der primären Bewegungssteuerung 110 verbindet. Über die primäre virtuelle Fahrerkommunikationsverbindung PVF kann die primäre virtuelle Fahrereinheit 112 den primären Sollwert an der primären Bewegungssteuerung 110 bereitstellen. Die sekundäre virtuelle Fahrereinheit 122 ist dazu ausgebildet, den sekundären Sollwert an der sekundären Bewegungssteuerung 120 bereitzustellen. Es ist eine sekundäre virtuelle Fahrerkommunikationsverbindung SVF vorgesehen, die die sekundäre virtuelle Fahrereinheit 122 mit der sekundären Bewegungssteuerung 120 verbindet. Über die sekundäre virtuelle Fahrerkommunikationsverbindung SVF kann die sekundäre virtuelle Fahrereinheit 122 den sekundären Sollwert an der sekundären Bewegungssteuerung 120 bereitstellen.

Die primäre Bewegungssteuerung 110 und die sekundäre Bewegungssteuerung 120 sind über eine private Kommunikationsverbindung 130 miteinander verbunden. Die private Kommunikationsverbindung 130 ist vorzugsweise eine Busverbindung, bevorzugt eine private Busverbindung, besonders bevorzugt eine CAN-Verbindung. Die sekundäre Bewegungssteuerung 120 ist dazu ausgebildet, den von der sekundären virtuellen Fahrereinheit 122 empfangenen sekundären Sollwert S2 über die private Kommunikationsverbindung 130 an die primäre virtuelle Fahrereinheit 112 weiterzuleiten (vgl. Fig. 3). Die sekundäre Bewegungssteuerung 120 stellt den sekundären Sollwert S2 vorzugweise kontinuierlich auf Anfrage der primären Bewegungssteuerung 110 und/oder ereignisgesteuert über die private Kommunikationsverbindung 130 an der primären Bewegungssteuerung 110 bereit. Das heißt, dass die primäre Bewegungssteuerung 110 dazu eingerichtet ist, sowohl den primären Sollwert S1 als auch den sekundären Sollwert S2 zu empfangen. In einer bevorzugten Weiterbildung ist auch oder alternativ die primäre Bewegungssteuerung 110 dazu eingerichtet, den von der primären virtuellen Fahrereinheit 112 empfangenen primären Sollwert S1 über die private Kommunikationsverbindung 130 an der sekundären Bewegungssteuerung 120 bereitzustellen. In diesem Fall ist die sekundäre Bewegungssteuerung 120 eingerichtet, sowohl den primären Sollwert S1 als auch den sekundären Sollwert S2 zu empfangen (nicht gezeigt).

Die primäre Bewegungssteuerung 110 ist dazu ausgebildet, ein primäres Steuersignal PS an ein primäres Aktuatorsystem 230 auszusteuern, damit die von der primären und/oder sekundären virtuellen Fahrereinheit geforderte Fahrzeugbewegung bzw. Trajektorie ausgeführt wird (vgl. Figuren 2 und 3). Das primäre Steuersignal PS ist vorzugsweise ein Steuersignal, das aus dem primären Sollwert S1 , dem sekundären Sollwert S2 oder einer Kombination des primären und des sekundären Sollwerts abgeleitet ist. Zum Verbinden der primären Bewegungssteuerung 110 mit dem primären Aktuatorsystem 230 ist eine primäre Kommunikationsverbindung PAB, die auch primärer Aktua- tor-BUS genannt werden kann, vorgesehen.

Die sekundäre Bewegungssteuerung 120 ist dazu ausgebildet, ein sekundäres Steuersignal SS an ein sekundäres Aktuatorsystem 240 auszusteuern (vgl. Figuren 2 und 3). Das sekundäre Aktuatorsystem 240 ist vorzugsweise redundant zu dem primären Aktu- atorsystem 230 ausgebildet. Das sekundäre Steuersignal SS ist vorzugsweise ein Steuersignal, das aus dem sekundären Sollwert S2 abgeleitet ist. Für eine Ausführungsform, in der die primäre Bewegungssteuerung 110 den primären Sollwert S1 über die private Kommunikationsverbindung 130 an der sekundären Bewegungssteuerung 120 bereitstellt, kann das sekundäre Steuersignal SS auch ein Steuersignal sein, das aus dem primären Sollwert S1 , dem sekundären Sollwert S2 oder einer Kombination des primären und des sekundären Sollwerts S2 abgeleitet ist.

Zum Verbinden der sekundären Bewegungssteuerung 120 mit dem sekundären Aktuatorsystem 240 ist eine sekundäre Kommunikationsverbindung SAB vorgesehen, wobei die sekundäre Kommunikationsverbindung SAB auch als sekundärer Aktuator-BUS bezeichnet werden kann. Es ist bevorzugt, dass die sekundäre Bewegungssteuerung 120 das sekundäre Steuersignal SS dann aussteuert, wenn beispielsweise die primäre virtuelle Fahrereinheit 112, die primäre virtuelle Fahrerkommunikationsverbindung, die primäre Bewegungssteuerung 110 und/oder die private Kommunikationsverbindung 130 ausgefallen ist bzw. sind.

Die primäre Bewegungssteuerung 110 und die sekundäre Bewegungssteuerung 120 sind zudem über eine kollektive Kommunikationsverbindung 165 miteinander verbunden, wobei die kollektive Kommunikationsverbindung 165 bevorzugt eine Busverbindung, besonders bevorzugt eine CAN-Verbindung, ist. Die kollektive Kommunikationsverbindung 165 verbindet die primäre Bewegungssteuerung 110 und die sekundäre Bewegungssteuerung 120 mit einem Antriebsstrang 160 des Fahrzeugs 1. Über die kollektive Kommunikationsverbindung 165 können sowohl die primäre Bewegungssteuerung 110 als auch die sekundäre Bewegungssteuerung 120 den Antriebsstrang 160 ansteuern, wobei der Antriebsstrang 160 bevorzugt nicht redundant ausgebildet ist und daher einem redundanzlosen Aktuator 265 entspricht. Damit bleibt der Antriebsstrang 160 auch bei Ausfall der primären Bewegungssteuerung 110 oder bei Ausfall der sekundären Bewegungssteuerung 120 ansteuerbar. Sowohl die primäre Bewegungssteuerung 110 als auch die sekundäre Bewegungssteuerung 120 sind dazu ausgebildet, ein Antriebsstrang-Steuersignal AS bzw. Antriebsstrang-Steuersignale an den Antriebsstrang 160 auszusteuern (vgl. Fig. 2). Die Antriebsstrang-Steuersignale AS können Steuersignale sein, die aus dem primären Sollwert S1 , dem sekundären Sollwert S2 oder einer Kombination des primären und des sekundären Sollwerts abgeleitet werden. Mögliche Antriebsstrang-Steuersignale AS betreffen ein Sollantriebsmoment und/oder eine Solldrehzahl. Die primäre Bewegungssteuerung 110 und die sekundäre Bewegungssteuerung 120 sind vorzugsweise dazu ausgebildet, zu überprüfen, ob die kollektive Kommunikationsverbindung 165 von der jeweils anderen Bewegungssteuerung belegt ist. Über die kollektive Kommunikationsverbindung 165 können auch weitere redundanzlose Aktuatoren 265 angesteuert werden (vgl. Fig. 2).

Das primäre Aktuatorsystem 230 und das sekundäre Aktuatorsystem 240 sind bevorzugt redundant ausgebildet, wie vorstehend bereits ausgeführt. Das primäre Aktuatorsystem 230 und das sekundäre Aktuatorsystem 240 umfassen bevorzugt Fahrzeugaktuatoren bzw. Subsysteme aus der Gruppe: Getriebe, Bremse und/oder Lenkung. Es soll verstanden werden, dass die primäre Bewegungssteuerung 110 jeweils ein primäres Steuersignal PS an einen Aktuator bzw. an ein Subsystem des primären Aktuatorsystems 230 aussteuert. Es soll ebenfalls verstanden werden, dass nicht für jede geforderte Fahrzeugbewegung bzw. Trajektorie jeder der Aktuatoren bzw. jedes der Subsysteme des primären Aktuatorsystems 230 angesteuert werden muss. Soll beispielsweise das Fahrzeug 1 abgebremst werden, die Richtung des Fahrzeugs 1 jedoch nicht verändert werden, kann die primäre Bewegungssteuerung 110 auch nur einen Bremsaktuator bzw. ein Bremssystem des primären Aktuatorsystem 230 ansteuern. Gleichsam soll verstanden werden, dass die sekundäre Bewegungssteuerung 120 jeweils ein sekundäres Steuersignal SS an einen Aktuator bzw. an ein Subsystem des sekundären Aktuatorsystem 240 aussteuert. Es soll ebenfalls verstanden werden, dass nicht für jede Fahrzeugbewegung bzw. Trajektorie jeder der Aktuatoren bzw. jedes der Subsysteme des sekundären Aktuatorsystems 240 angesteuert werden muss. Soll beispielsweise das Fahrzeug 1 abgebremst werden, die Richtung des Fahrzeugs 1 jedoch nicht verändert werden, kann die sekundäre Bewegungssteuerung 120 auch nur einen Bremsaktuator bzw. ein Bremssystem des sekundären Aktuatorsystems 240 ansteuern. Soll hingegen nur eine Richtung geändert werden, kann auch nur ein Lenkaktuator bzw. ein Lenksystem des sekundären Aktuatorsystems 240 angesteuert werden.

In Fig. 1 ist schematisch dargestellt, dass das primäre Aktuatorsystem 230 mit dem sekundären Aktuatorsystem 240 verbunden ist, wobei bevorzugt die redundant ausgebildeten Aktuatoren bzw. die redundant ausgebildeten Subsysteme des primären Aktuatorsystems 230 und des sekundären Aktuatorsystems 240 jeweils miteinander verbunden sind. Fig. 2 zeigt ein Ausführungsbeispiel des Fahrzeugsteuersystems 100, bei dem die primäre Bewegungssteuerung 110 zur Ansteuerung primärer Aktuatoren 231 , 232, 235 des primären Aktuatorsystems 230 ausgebildet ist. Die sekundäre Bewegungssteuerung 120 ist zum Ansteuern sekundärer Aktuatoren 241 , 242, 245 des sekundären Aktuatorsystems 240 ausgebildet. Das sekundäre Aktuatorsystem 240 umfasst sekundäre Aktuatoren 241 , 242, 245, die jeweils einem redundanten primären Aktuator 231 , 232, 235 des primären Aktuatorsystems 230 entsprechen. Zur Gewährleistung eines sicheren Betriebs eines Fahrzeugs mit dem Fahrzeugsteuersystem 100 sind demnach sicherheitsrelevante Aktuatoren 235, 245 redundant vorgesehen.

Einander zugeordnete, also zueinander redundante, Aktuatoren der Aktuatorsysteme 230, 240 sind jeweils über Systemkommunikationsverbindungen 270 verbunden. Die Systemkommunikationsverbindungen 270 entsprechen ebenfalls vorzugsweise Busverbindungen, wie beispielsweise CAN-Verbindungen.

Demnach ist beispielsweise ein als primäres Bremssystem 231 ausgebildeter primärer Aktuator 235 mit einem als sekundäres Bremssystem 241 ausgebildeten sekundären Aktuator 245 über einen Bremsen-BUS BB verbunden. Das sekundäre Bremssystem 241 kann über den Bremsen-BUS BB ein von der sekundären Bewegungssteuerung 120 empfangenes sekundäre Steuersignal SS an das primäre Bremssystem 231 weiterleiten, so dass das sekundäre Steuersignal SS von dem primären Bremssystem 231 ausgeführt wird. Auch in die andere Richtung kann das primäre Bremssystem 231 ein von der primären Bewegungssteuerung 110 empfangenes primäres Steuersignal PS an das sekundäre Bremssystem 241 über den Bremsen-BUS BB weiterleiten, so dass das primäre Steuersignal PS von dem sekundären Bremssystem 241 ausgeführt wird.

Ein als primäres Lenksystem 232 ausgebildeter primärer Aktuator 235 ist entsprechend mit einem als sekundäres Lenksystem 242 ausgebildeten sekundären Aktuator 245 über einen Lenk-BUS LB verbunden. Das sekundäre Lenksystem 242 kann über den Lenk-BUS LB ein von der sekundären Bewegungssteuerung 120 empfangenes sekundäres Steuersignal SS an das primäre Lenksystem 232 weiterleiten, so dass das sekundäre Steuersignal SS von dem primären Lenksystem 232 ausgeführt wird. Auch in die andere Richtung kann das primäre Lenksystem 232 ein von der primären Bewegungssteuerung 110 empfangenes primäres Steuersignal PS an das sekundäre Lenk- system 242 über den Lenk-BUS LB weiterleiten, so dass das primäre Steuersignal PS von dem sekundären Lenksystem 242 ausgeführt wird.

Mindestens ein als weiterer primärer Aktuator P ausgebildeter primärer Aktuator 235 ist über eine weitere Systemkommunikationsverbindung 270 mit einem als weiteren sekundären Aktuator S ausgebildeten sekundären Aktuator 245 verbunden.

Durch das Verbinden des primären Aktuatorsystems 230 mit dem sekundären Aktuatorsystem 240 kann erreicht werden, dass auch bei Ausfall der primären virtuellen Fahrereinheit 112, der primären Bewegungssteuerung 110, einer Verbindung zwischen der primären virtuellen Fahrereinheit 112 und der primären Bewegungssteuerung 110 und/oder einer Verbindung zwischen der primären Bewegungssteuerung 110 und dem primären Aktuatorsystems 230 das primäre Aktuatorsystem 230 zum Steuern des Fahrzeugs genutzt werden kann.

Fig. 2 zeigt ein Ausführungsbeispiel des Fahrzeugsteuersystems 100 eines Fahrzeugsystems 200 für ein Fahrzeug, insbesondere ein autonomes Fahrzeug, das autonomes Fahren nach dem Automatisierungsgrad 4 oder 5 unterstützt. Das Fahrzeugsteuersystem 100 umfasst die primäre Bewegungssteuerung 110 und die sekundäre Bewegungssteuerung 120. Die Bewegungssteuerungen 110, 120 dienen zum Erzeugen von Steuersignalen für Aktuatoren des Fahrzeugs in Abhängigkeit von Trajektorien, die über die virtuellen Fahrereinheiten 112, 122 erzeugt und in Form der Sollwerte S1 , S2 für die Bewegungssteuerungen 110, 120 vorgegeben werden.

Die primäre Bewegungssteuerung 110 und die sekundäre Bewegungssteuerung 120 sind über die private Kommunikationsverbindung 130 miteinander verbunden. Vorzugsweise stellt die sekundäre Bewegungssteuerung 120 eine Redundanz zur primären Bewegungssteuerung 110 dar. Im Fall eines Ausfalls der primären Bewegungssteuerung 110, die im normalen Betrieb eine Ansteuerung von Aktuatoren vollständig unabhängig von der sekundären Bewegungssteuerung 120 ausführen kann, ist die sekundäre Bewegungssteuerung 120 daher eingerichtet, in einem Fehlerfall der primären Bewegungssteuerung 110 eine Ansteuerung von Aktuatoren unabhängig von der primären Bewegungssteuerung 110 auszuführen. Die primäre Bewegungssteuerung 110 ist mit der primären virtuellen Fahrereinheit 112 über die primäre virtuelle Fahrerkommunikationsverbindung PVF verbunden. Die primäre Bewegungssteuerung 110 ist über die primäre Kommunikationsverbindung PAB mit den primären Aktuatoren 235 bzw. den Subsystemen des primären Aktuatorsystems 230 verbunden. Die primäre Bewegungssteuerung 110 ist zudem über die kollektive Kommunikationsverbindung 165 mit einem redundanzlosen Aktuator 260, insbesondere dem Antriebsstrang 160, verbunden. Zur Energieversorgung der primären virtuellen Fahrereinheit 112, der primären Bewegungssteuerung 110, des primären Aktuatorsystems 230 und des Antriebsstrangs 160 ist eine primäre Energieversorgung 210 vorgesehen. Es kann alternativ vorgesehen sein, dass die primäre virtuelle Fahrereinheit 112, die primäre Bewegungssteuerung 110, das primäre Aktuatorsystem 230 und/oder der Antriebsstrang 160 jeweils eine separate Energieversorgung aufweisen (nicht gezeigt).

Die primäre Energieversorgung 210, die primäre virtuelle Fahrereinheit 112, die primäre Bewegungssteuerung 110, das primäre Aktuatorsystem 230 und der Antriebsstrang 160 können als primäre Systemebene 118 betrachtet werden, wobei die primäre Bewegungssteuerung 110 eine Einheit des Fahrzeugsteuersystems 100 ist und die primäre virtuelle Fahrereinheit 112, die primäre Energieversorgung 210, das primäre Aktuatorsystem 230 und der Antriebsstrang 160 Einheiten einer Peripherie des Fahrzeugsteuersystems 100 sind.

Die sekundäre Bewegungssteuerung 120 ist mit der sekundären virtuellen Fahrereinheit 122 über die sekundäre virtuelle Fahrerkommunikationsverbindung SVF verbunden. Die sekundäre Bewegungssteuerung 120 ist über die sekundäre Kommunikationsverbindung SAB mit sekundären Aktuatoren 245 bzw. Subsystemen des sekundären Aktuatorsystems 240 verbunden. Die sekundäre Bewegungssteuerung ist zudem über die kollektive Kommunikationsverbindung 165 mit dem Antriebsstrang 160 verbunden. Zur Energieversorgung der sekundären virtuellen Fahrereinheit 122, der sekundären Bewegungssteuerung 120 und des sekundären Aktuatorsystems 240 ist eine sekundäre Energieversorgung 220 vorgesehen. Es kann alternativ vorgesehen sein, dass die sekundäre virtuelle Fahrereinheit 122, die sekundäre Bewegungssteuerung 120 und/oder das sekundäre Aktuatorsystem 240 jeweils eine separate Energieversorgung aufweisen (nicht gezeigt). Es kann zudem sein, dass die sekundäre Energieversorgung 220 den Antriebsstrang 160 zusätzlich oder alternativ zu der primären Energieversorgung 210 mit Energie versorgt. Die sekundäre Energieversorgung 220, die sekundäre virtuelle Fahrereinheit 122, die sekundäre Bewegungssteuerung 120 und das sekundäre Aktuatorsystem 240 können als sekundäre Systemebene 128 betrachtet werden, wobei die sekundäre Bewegungssteuerung 120 eine Einheit des Fahrzeugsteuersystems 100 ist und die sekundäre virtuelle Fahrereinheit 122, die sekundäre Energieversorgung 220 und das sekundäre Aktuatorsystem 240 Einheiten der Peripherie des Fahrzeugsteuersystems 100 sind. Teil der sekundären Systemebene 128 ist zudem der Antriebsstrang 160, so dass sich die primäre Systemebene 118 und die sekundäre Systemebene 128 überschneiden, wobei die Überschneidung der Antriebsstrang 160 ist.

Die Einheiten der primären Systemebene 118 und die Einheiten der sekundären Systemebene 128 sind, außer dem Antriebsstrang 160, jeweils redundant ausgebildet. Die redundant ausgebildeten Einheiten der primären Systemebene 118 und der sekundären Systemebene 128 sind eingerichtet, sich jeweils gegenseitig vollständig oder teilweise funktional zu ersetzen.

Die primäre virtuelle Einheit stellt den primären Sollwert S1 über die primären virtuelle Fahrerkommunikationsverbindung PVF an der primären Bewegungssteuerung 110 bereit. Der primäre Sollwert S1 gibt eine Fahrzeugbewegung bzw. eine Solltrajektorie für das Fahrzeug 1 vor. Die Fahrzeugbewegung bzw. die Solltrajektorie ist eine von der primären virtuellen Fahrereinheit 112 geplante Fahrzeugbewegung. Die sekundäre virtuelle Fahrereinheit 122 stellt den sekundären Sollwert S2 über die sekundäre virtuelle Fahrerkommunikationsverbindung SVF an der sekundären Bewegungssteuerung 120 bereit. Der sekundäre Sollwert S2 gibt eine Fahrzeugbewegung bzw. eine Solltrajektorie für das Fahrzeug 1 vor, wobei die Fahrzeugbewegung bzw. die Solltrajektorie eine von der sekundären virtuellen Fahrereinheit 122 geplante Fahrzeugbewegung ist. Die sekundäre Bewegungssteuerung 120 stellt den von der sekundären virtuellen Fahrereinheit 122 empfangenen sekundären Sollwert S2 über die private Kommunikationsverbindung 130 an der primären Bewegungssteuerung 110 bereit. Die sekundäre Bewegungssteuerung 120 ist eingerichtet, den sekundären Sollwert S2 kontinuierlich, auf Anforderung der primären Bewegungssteuerung 110 und/oder ereignisgesteuert über die private Kommunikationsverbindung 130 an der primären Bewegungssteuerung 110 bereitzustellen. Ein mögliches Ereignis kann beispielsweise ein Einfachfehler bzw. eine einfache Fehlerkonstellation des Fahrzeugsteuersystems 100 und/oder der Peripherie des Fahrzeugsteuersystems 100 und/oder auch ein ungültiger primärer Sollwert S1 sein. Ein Einfachfehler bzw. eine einfache Fehlerkonstellation oder ein ungültiger primärer Sollwert S1 kann auch dazu führen, dass die primäre Bewegungssteuerung 110 den sekundären Sollwert S2 von der sekundären Bewegungssteuerung 120 anfordert.

Die primäre Bewegungssteuerung 110 ist zur Arbitrierung des primären Sollwerts S1 und sekundären Sollwerts S2 ausgebildet. Hierzu prüft die primäre Bewegungssteuerung 110 vorzugsweise die Gültigkeit des primären Sollwerts S1 und/oder die Gültigkeit des sekundären Sollwerts S2. Zum Überprüfen der Gültigkeit des primären und/oder des sekundären Sollwerts kann z. B. eine Checksumme, ein Counter oder ein sonstiger Schlüssel des primären und/oder des sekundären Sollwerts geprüft werden. Zum Überprüfen des primären und des sekundären Sollwerts ist es ebenfalls möglich, den primären Sollwert S1 mit dem sekundären Sollwert S2 zu vergleichen. Zum Arbitrieren kann die primäre Bewegungssteuerung 110 vorzugsweise den primären Sollwert S1 und den sekundären Sollwert S2 priorisieren, wobei die primäre Bewegungssteuerung 110 an den primären Sollwert S1 und den sekundären Sollwert S2 bevorzugt Prioritäten vergibt. Die Priorität der Sollwerte kann beispielsweise davon abhängen, ob der jeweilige Sollwert für gültig befunden wurde oder nicht, wobei in diesem Fall ein gültiger Sollwert eine höhere Priorität als ein nicht gültiger Sollwert hätte. Die Priorität kann auch von einem Identifier des primären und des sekundären Sollwerts abhängen, wobei je niedriger der Identifier des Sollwerts ist, desto höher ist die Priorität des Sollwerts. Die primäre Bewegungssteuerung 110 ist dazu ausgebildet, den primären Sollwert S1 oder den sekundären Sollwert S2 auszuwählen oder den primären Sollwert S1 mit dem sekundären Sollwert S2 zu kombinieren. Die primäre Bewegungssteuerung 110 wählt vorzugsweise denjenigen Sollwert aus, der für gültig befunden wurde und/oder der eine höhere Priorität aufweist.

Die primäre Bewegungssteuerung 110 ist dazu ausgebildet, den ausgewählten Sollwert oder den kombinierten Sollwert zu verarbeiten und ein daraus abgeleitetes primäres Steuersignal PS an das primäre Aktuatorsystem 230 bzw. an die primären Aktuatoren 235 über die primäre Kommunikationsverbindung PAB auszusteuern. Zum Verarbeiten des ausgewählten Sollwerts oder des kombinierten Sollwerts weist die primäre Bewegungssteuerung 110 eine primäre Steuereinheit 310 auf (vgl. Fig. 3). Die primäre Bewegungssteuerung 110 ist zudem dazu ausgebildet, ein aus dem ausgewählten Soll- wert oder kombinierten Sollwert abgeleitetes Antriebsstrang-Steuersignal AS über die kollektive Kommunikationsverbindung 165 an den Antriebsstrang 160 auszusteuern.

Durch das Weiterleiten des sekundären Sollwerts S2 von der sekundären Bewegungssteuerung 120 zu der primären Bewegungssteuerung 110 wird erreicht, dass bei einem Einfachfehler oder einer einfachen Fehlerkonstellation in der primären Systemebene 118 nicht vollständig auf die sekundäre Systemebene 128 umgeschaltet wird. Ein Einfachfehler bzw. eine einfache Fehlerkonstellation ist beispielsweise der Ausfall der primären virtuellen Fahrereinheit 112, der primären virtuellen Fahrerkommunikationsverbindung und/oder eines primären Aktuators bzw. Subsystems des primären Aktuatorsystems 230.

Sollte zusätzlich oder alternativ zu einem der genannten Einfachfehler auch die primäre Bewegungssteuerung 110 und/oder die primäre Energieversorgung 210 ausfallen, kann vollständig auf die sekundäre Systemebene 128 zum Steuern des Fahrzeugs 1 zurückgegriffen werden. Insofern ist die sekundäre Bewegungssteuerung 120 eingerichtet, den sekundären Sollwert S2 zu verarbeiten und ein daraus abgeleitetes sekundäres Steuersignal SS an das sekundäre Aktuatorsystem 240 bzw. an die sekundären Aktuatoren 245 über die sekundäre Kommunikationsverbindung SAB auszusteuern.

Fig. 3 zeigt ein weiteres Ausführungsbeispiel des Fahrzeugsteuersystems 100. Das Fahrzeugsteuersystem 100 umfasst die primäre Bewegungssteuerung 110 und die sekundäre Bewegungssteuerung 120. Die Bewegungssteuerungen 110, 120 weisen jeweils eine Steuereinheit 310, 320 zum Erzeugen von Steuersignalen, die hier als Steuersignale PS, SS bezeichnet werden, für Aktuatoren des Fahrzeugs in Abhängigkeit von Trajektorien, die über die virtuellen Fahrereinheiten 112, 122 erzeugt und in Form der Sollwerte S1 , S2 für die Bewegungssteuerungen 110, 120 vorgegeben werden, auf. Die Sollwerte S1 und S2 werden in einer primären Verarbeitungseinheit 330 bzw. einer sekundären Verarbeitungseinheit 335 zuvor verarbeitet. Beispielsweise werden die Sollwerte in den Verarbeitungseinheiten auf Plausibilität geprüft, um so einen möglichen Fehler in der primären oder sekundären virtuellen Fahrereinheit 112, 122 zu detektie- ren.

Ferner weist die primäre Bewegungssteuerung 110 eine primäre Entscheiderschaltung 340 auf, wobei die primäre Entscheiderschaltung 340 eingerichtet ist, die primären Steuersignale PS und die sekundären Steuersignale SS aufzunehmen. Ferner ist die primäre Entscheiderschaltung 340 mit einer primären Gesundheitsschaltung 350 verbunden, wobei die primäre Gesundheitsschaltung 350 eingerichtet ist, zumindest einen fehlerlosen oder fehlerbehafteten Zustand der primären Aktuatoren 235 und der primären Bewegungssteuerung 110 zu erfassen. Die erfassten Zustände werden als primäre Zustände PZ an die Entscheiderschaltung ausgegeben.

Die primäre Entscheiderschaltung 340 gibt dann in Abhängigkeit von den empfangenen primären Zuständen PZ entweder die primären Steuersignale PS oder die sekundären Steuersignale SS auf der primären Kommunikationsverbindung PAB und/oder der kollektiven Kommunikationsverbindung 165 aus.

Die sekundäre Bewegungssteuerung 120 weist eine sekundäre Entscheiderschaltung 360 auf, wobei die sekundäre Entscheiderschaltung 360 ebenfalls eingerichtet ist, die primären Steuersignale PS und die sekundären Steuersignale SS aufzunehmen. Ferner ist die sekundäre Entscheiderschaltung 360 mit einer sekundären Gesundheitsschaltung 370 verbunden, wobei die sekundäre Gesundheitsschaltung 370 eingerichtet ist, zumindest einen fehlerlosen oder fehlerbehafteten Zustand der sekundären Aktuatoren 245 und der sekundären Bewegungssteuerung 120 zu erfassen. Die erfassten Zustände werden als sekundäre Zustände SZ an die sekundäre Entscheiderschaltung 360 ausgegeben.

Die sekundäre Entscheiderschaltung 360 gibt dann in Abhängigkeit von den empfangenen sekundären Zuständen SZ entweder die primären Steuersignale PS oder die sekundären Steuersignale SS auf der sekundären Kommunikationsverbindung SAB aus.

Ein primäres Gesundheitszustandssignal PG wird außerdem durch die sekundäre Gesundheitsschaltung 370 von der primären Gesundheitsschaltung 350 empfangen und ein sekundäres Gesundheitszustandssignal SG wird an die primäre Gesundheitsschaltung 350 durch die sekundäre Gesundheitsschaltung 370 gesendet. Die primäre Gesundheitsschaltung 350 sowie die sekundäre Gesundheitsschaltung 370 informieren sich gegenseitig so über die Zustände der primären Systemebene 118 und der sekundären Systemebene 128. Außerdem umfasst das Fahrzeugsteuersystem 100 eine Arbitrierungsschaltung 380. Mit der Arbitrierungsschaltung 380 erfolgt ein Arbitrieren der primären und sekundären Steuersignale PS, SS, die auf der kollektiven Kommunikationsverbindung 165 ausgesendet werden, in der sekundären Bewegungssteuerung 120. Das Arbitrieren der primären und sekundären Steuersignale PS, SS umfasst vorzugsweise das Überprüfen der Gültigkeit der primären Steuersignale PS und/oder das Überprüfen der Gültigkeit der sekundären Steuersignale SS. Zudem oder alternativ umfasst das Arbitrieren das Priorisieren der primären und der sekundären Steuersignale PS, SS. Das Überprüfen der Gültigkeit der primären Steuersignale PS und/oder der sekundären Steuersignale SS kann z. B. durch Überprüfen einer Checksumme, eines Counters oder eines sonstigen Schüssels der primären und/oder der sekundären Steuersignale PS, SS erfolgen. Das Priorisieren umfasst vorzugsweise das Zuweisen von Prioritäten an die primären und die sekundären Steuersignale PS, SS.

Bezugszeichen (Teil der Beschreibung):

1 Fahrzeug

50.1 Vorderrad

50.2 Vorderrad

52.1 Hinterrad

52.2 Hinterrad

52.3 Hinterrad

52.4 Hinterrad

100 Fahrzeugsteuersystem

110 primäre Bewegungssteuerung

112 primäre virtuelle Fahrereinheit

118 primäre Systemebene

120 sekundäre Bewegungssteuerung

122 sekundäre virtuelle Fahrereinheit

128 sekundäre Systemebene

130 private Kommunikationsverbindung

160 Antriebsstrang

165 kollektive Kommunikationsverbindung

200 Fahrzeugsystem

210 primäre Energieversorgung

220 sekundäre Energieversorgung

230 primäres Aktuatorsystem

231 primäres Bremssystem

232 primäres Lenksystem

235 primärer Aktuator

240 sekundäres Aktuatorsystem

241 sekundären Bremssystem

242 sekundäres Lenksystem

245 sekundärer Aktuator

265 redundanzloser Aktuator

270 Systemkommunikationsverbindung

310 primäre Steuereinheit

320 sekundäre Steuereinheit

330 primäre Verarbeitungseinheit 335 sekundäre Verarbeitungseinheit

340 primäre Entscheiderschaltung

350 primäre Gesundheitsschaltung

360 sekundäre Entscheiderschaltung

370 sekundäre Gesundheitsschaltung

380 Arbitrierungsschaltung

AS Antriebsstrang-Steuersignal

BB Bremsen-BUS

FB Fahrereinheit-BUS

HA1 erste Hinterachse

HA2 zweite Hinterachse

LB Lenk-BUS

P weiterer primärer Aktuator

PAB primäre Kommunikationsverbindung

PS primäres Steuersignal

PVF primäre virtuelle Fahrerkommunikationsverbindung

PZ primäre Zustände

SZ sekundäre Zustände

S weiterer sekundärer Aktuator

51 primärer Sollwert

52 sekundärer Sollwert

SAB sekundäre Kommunikationsverbindung

SS sekundäres Steuersignal

SVF sekundäre virtuelle Fahrerkommunikationsverbindung

VA Vorderachse

Claims

Patentansprüche:

1. Fahrzeugsteuersystem (100) zum autonomen Steuern eines Fahrzeugs (1 ), umfassend: eine primäre Bewegungssteuerung (110) und eine primäre Kommunikationsverbindung (PAB), wobei die primäre Bewegungssteuerung (110) eingerichtet ist, wenigstens einen primären Sollwert (S1 ) für eine Fahrzeugbewegung von einer primären virtuellen Fahrereinheit (112) zu empfangen, primäre Steuersignale (PS) in Abhängigkeit vom primären Sollwert (S1 ) zu erzeugen und mindestens einen primären Aktuator (235) des Fahrzeugs (1 ) über die primäre Kommunikationsverbindung (PAB) anzusteuern, eine sekundäre Bewegungssteuerung (120) und eine sekundäre Kommunikationsverbindung (SAB), wobei die sekundäre Bewegungssteuerung (120) eingerichtet ist, wenigstens einen sekundären Sollwert (S2) für eine Fahrzeugbewegung von einer sekundären virtuellen Fahrereinheit (122) zu empfangen, sekundäre Steuersignale (SS) in Abhängigkeit vom sekundären Sollwert (S2) zu erzeugen und mindestens einen sekundären Aktuator (245) des Fahrzeugs (1 ) über die sekundäre Kommunikationsverbindung (SAB) anzusteuern, eine private Kommunikationsverbindung (130), die die primäre Bewegungssteuerung (110) mit der sekundären Bewegungssteuerung (120), insbesondere datenleitend, verbindet, um primäre Steuersignale (PS) von der primären Bewegungssteuerung (110) an die sekundäre Bewegungssteuerung (120) zu senden und eine sekundäre Entscheiderschaltung, die eingerichtet ist, um einen oder mehrere sekundäre Aktuatoren (245) in Abhängigkeit von dem primären Steuersignal (PS) oder dem sekundären Steuersignal (SS) anzusteuern oder den einen oder die mehreren sekundären Aktuatoren (245) unangesteuert zu lassen.

2. Fahrzeugsteuersystem (100) nach Anspruch 1 , wobei das Fahrzeugsteuersystem (100) eine primäre Gesundheitsschaltung (350) aufweist, die eingerichtet ist, einen fehlerfreien oder fehlerbehafteten primären Zustand (PZ) der primären Bewegungssteuerung (110) und/oder der primären Aktuatoren (235) zu detektieren und die sekundäre Entscheiderschaltung (370) in Abhängigkeit von dem oder den mit der primären Gesundheitsschaltung (350) detektierten primären Zuständen anzusteuern.

3. Fahrzeugsteuersystem (100) nach Anspruch 1 oder 2, wobei das Fahrzeugsteuersystem (100) eine sekundäre Gesundheitsschaltung (370) aufweist, die eingerichtet ist, einen fehlerfreien oder fehlerbehafteten sekundären Zustand (SZ) der sekundären Bewegungssteuerung (120) und/oder der sekundären Aktuatoren (245) zu erfassen und die sekundäre Gesundheitsschaltung (370) und die primäre Gesundheitsschaltung (350) eingerichtet sind, die detektierten primären und sekundären Zustände miteinander auszutauschen.

4. Fahrzeugsteuersystem (100) nach einem der vorhergehenden Ansprüche, wobei die primäre Bewegungssteuerung (110) eine primäre Entscheiderschaltung (340) aufweist, um den mindestens einen primären Aktuator (235) unangesteuert zu lassen, in Abhängigkeit von einem erzeugten primären Steuersignal (PS) oder in Abhängigkeit von einem empfangenen sekundären Steuersignal (SS) anzusteuern.

5. Fahrzeugsteuersystem (100) nach einem der vorhergehenden Ansprüche, ferner umfassend eine kollektive Kommunikationsverbindung (165), wobei die kollektive Kommunikationsverbindung (165) mit der primären Bewegungssteuerung (110) und der sekundären Bewegungssteuerung (120) verbunden ist und zur Ansteuerung mindestens eines redundanzlosen Aktuators (265) eingerichtet ist.

6. Fahrzeugsteuersystem (100) nach Anspruch 5, wobei die sekundäre Bewegungssteuerung eine Arbitrierungsschaltung (380) aufweist, um sekundäre Steuersignale (SS), die von der sekundären Bewegungssteuerung (120) erzeugt werden, gegenüber primären Steuersignalen (PS), die von der primären Bewegungssteuerung (110) erzeugt werden, auf der kollektiven Kommunikationsverbindung (165) zu arbitrieren.

7. Fahrzeugsteuersystem (100) nach Anspruch 6, wobei die Arbitrierungsschaltung (380) mit der sekundären Gesundheitsschaltung (370) und/oder der sekundären Entscheiderschaltung (360) verbunden ist, um die Arbitrierung in Abhängigkeit von einem erkannten primären Zustand (PZ) und/oder sekundären Zustand (SZ) auszuführen.

8. Fahrzeugsteuersystem (100) nach einem der vorhergehenden Ansprüche, wobei das Fahrzeugsteuersystem (100) eine primäre Energieversorgung (210) und eine sekundäre Energieversorgung (220) aufweist, wobei die primäre Energieversorgung (210) eingerichtet ist, die primäre Bewegungssteuerung (110), den primären Aktuator (235) und/oder die primäre virtuelle Fahrereinheit (112) mit Energie zu versorgen und die sekundäre Energieversorgung (220) eingerichtet ist, die sekundäre Bewegungssteuerung (120), den sekundären Aktuator (245) und/oder die sekundäre virtuelle Fahrereinheit (122) mit Energie zu versorgen, wobei die redundanzlosen Aktuatoren (265) mit Energie aus der primären Energieversorgung (210) oder ein Teil der redundanzlosen Aktuatoren (265) mit Energie aus der primären Energieversorgung (210) und ein anderer Teil der redundanzlosen Aktuatoren (265) mit Energie aus der sekundären Energieversorgung 220) versorgbar sind.

9. Fahrzeugsteuersystem (100) nach einem der Ansprüche 1 bis 8, wobei die primäre Bewegungssteuerung (110) eine primäre Bypassschaltung aufweist, um eine Kommunikation zwischen der primären Kommunikationsverbindung (PAB) und der kollektiven Kommunikationsverbindung (165) bereitzustellen, und die sekundäre Bewegungssteuerung (120) eine sekundäre Bypassschaltung aufweist, um eine Kommunikation zwischen der sekundären Kommunikationsverbindung (SAB) und der kollektiven Kommunikationsverbindung (165) bereitzustellen.

10. Fahrzeugsystem (200) mit einem Fahrzeugsteuersystem (100) nach einem der Ansprüche 1 bis 9 sowie einer primären virtuellen Fahrereinheit (112) und einer sekundären virtuellen Fahrereinheit (122) und vorzugsweise primären Aktuatoren (235), sekundären Aktuatoren (245) und redundanzlosen Aktuatoren (265).

11. Fahrzeug (1 ) mit einem Fahrzeugsystem (200) nach Anspruch 10 oder einem Fahrzeugsteuersystem (100) nach einem der Ansprüche 1 bis 9, wobei das Fahrzeug (1) vorzugsweise ein Nutzfahrzeug oder ein Personenkraftwagen ist.

12. Verfahren für ein Fahrzeugsteuersystem (100) nach einem der Ansprüche 1 bis 9, wobei das Fahrzeugsteuersystem (100) betrieben wird, um ein Fahrzeug (1) autonom zu steuern.

13. Verfahren nach Anspruch 12, wobei die primäre Bewegungssteuerung (110) kontinuierlich über die private Kommunikationsverbindung (130) primäre Steuersignale an die sekundäre Bewegungssteuerung (120), insbesondere die sekundäre Entscheiderschaltung der sekundären Bewegungssteuerung (120), sendet.

14. Verfahren nach Anspruch 12 oder 13, wobei mit einer primären Gesundheitsschaltung (350) ein fehlerhafter primärer Zustand (PZ) eines primären Aktuators (235) er- kannt wird und die sekundäre Entscheiderschaltung (360) derart angesteuert wird, um einen zum fehlerhaften primären Aktuator (235) redundanten sekundären Aktuator (245) mit dem primären Steuersignal (PS) anzusteuern.

15. Verfahren nach einem der Ansprüche 12 bis 14, wobei mit der sekundären Gesundheitsschaltung (370) eine fehlerbehaftete primäre Bewegungssteuerung (110) erkannt wird und mit der sekundären Entscheiderschaltung (360), vorzugsweise alle, redundanzlosen und sekundären Aktuatoren (245, 265) mit sekundären Steuersignalen (SS) angesteuert werden.