NO316197B1

NO316197B1 - Security system in a clutch control system, an electronic safety control unit and a method of control

Info

Publication number: NO316197B1
Application number: NO19973629A
Authority: NO
Inventors: Knut Nordgaard
Original assignee: Luk Leamington Ltd
Priority date: 1995-02-17
Filing date: 1997-08-06
Publication date: 2003-12-22
Also published as: NO973629D0; NO973629L

Description

Oppfinnelsen angår et sikkerhetssystem i et clutchstyringssystem CMS for en automatisk pådratt clutch, hvor clutchen er anordnet mellom motoren og girkassen i en bil og beveges av en hydraulisk aktuator, hvor clutchen er forbundet med girkassen via en inngangsaksel, hvor clutchstyringssystemet CMS omfatter en hydraulisk kraftmodul HPU, en proporsjonal oljestrømventil eller hovedventil som styrer oljestrømmen i aktuatoren som regulerer posisjonen til clutchens trykklager og dermed dreiemomentet som overføres gjennom clutchen, og en elektronisk hovedkontrollenhet ECU som kontrollerer posisjonen til aktuatoren via hovedventilen i henhold til algoritmer lagret i hovedkontrollenheten ECU på basis av inngangsverdier fra sensorer som kontinuerlig detekterer hastigheten til inngangsakselen til girkassen, aktuatorposisjon, motorhastighet og gasspådrag, og hvorvidt bremsene er aktivert eller ikke, samt girposisjon Oppfinnelsen omfatter videre en elektronisk sikkerhetskontrollenhet for sikkerhetssystemet Oppfinnelsen angår også fremgangsmåter ved styring i et sikkerhetssystem i et clutchstyringssystem CMS for en automatisk pådratt clutch, hvor clutchen er anordnet mellom motoren og girkassen i en bil og beveges av en hydraulisk aktuator, hvor clutchen er koblet til girkassen via en inngangsaksel, hvor clutchstyringssystemet CMS omfatter en hydraulisk kraftmodul HPU, en proporsjonal oljestrømventil eller hovedventil som styrer oljestrømmen i aktuatoren, som regulerer posisjonen til clutchens trykklager og dermed dreiemomentet som overføres gjennom clutchen, og en elektronisk hovedkontrollenhet ECU som kontrollerer posisjonen til aktuatoren via hovedventilen i henhold til algoritmer lagret i hovedkontrollenheten ECU på basis av inngangsverdier fra sensorer som kontinuerlig detekterer hastigheten til inngangsakselen til girkassen, aktuatorposisjon, motorhastighet og gasspådrag, og hvorvidt bremsene er aktivert eller ikke, samt girposisjon The invention relates to a safety system in a clutch control system CMS for an automatically applied clutch, where the clutch is arranged between the engine and the gearbox in a car and is moved by a hydraulic actuator, where the clutch is connected to the gearbox via an input shaft, where the clutch control system CMS comprises a hydraulic power module HPU , a proportional oil flow valve or main valve that controls the oil flow in the actuator that regulates the position of the clutch pressure bearing and thus the torque transmitted through the clutch, and an electronic main control unit ECU that controls the position of the actuator via the main valve according to algorithms stored in the main control unit ECU on the basis of input values from sensors that continuously detect the speed of the input shaft to the gearbox, actuator position, engine speed and throttle input, and whether the brakes are activated or not, as well as gear position The invention further comprises an electronic safety control unit for safety system The invention also relates to methods of control in a safety system in a clutch control system CMS for an automatically applied clutch, where the clutch is arranged between the engine and the gearbox in a car and is moved by a hydraulic actuator, where the clutch is connected to the gearbox via an input shaft, where the clutch control system The CMS comprises a hydraulic power module HPU, a proportional oil flow valve or main valve which controls the oil flow in the actuator, which regulates the position of the clutch pressure bearing and thus the torque transmitted through the clutch, and an electronic main control unit ECU which controls the position of the actuator via the main valve according to algorithms stored in the main control unit ECU on the basis of input values from sensors that continuously detect the speed of the input shaft to the gearbox, actuator position, engine speed and throttle input, and whether the brakes are activated or not, as well as gear position

I det kjente clutchstyringssystem kan det opptre feiltilstander som gjør kjøringen farlig Ved slike feiltilstander vil det som regel ikke være en feilsikker tilstand hvortil clutchen kan returnere når en feil forekommer Eksempelvis er det en fare for sikkerheten når clutchen ved en feil kobler ut i en situasjon hvor føreren venter at bilen skal reagere med høy motoreffekt, In the known clutch control system, error states can occur that make driving dangerous. In such error states, there will usually not be a fail-safe state to which the clutch can return when an error occurs. For example, there is a safety hazard when the clutch disconnects due to an error in a situation where the driver expects the car to react with high engine power,

f eks under forbikjøring Det er også ansett som en fare for sikkerheten dersom clutchen feilaktig kobler inn i en situasjon hvor føreren ikke venter at bilen skal begynne å bevege seg, eksempelvis foran en fotgjengerovergang e.g. when overtaking It is also considered a safety hazard if the clutch mistakenly engages in a situation where the driver is not waiting for the car to start moving, for example in front of a pedestrian crossing

Sikkerhetssystemet i henhold til den foreliggende oppfinnelse tar følgelig utgangspunkt i at det ikke eksisterer noen feilsikker tilstand som clutchen kan returnere til når feil av denne art forekommer The safety system according to the present invention therefore starts from the fact that there is no fail-safe state to which the clutch can return when errors of this nature occur

En hensikt med sikkerhetssystemet i henhold til oppfinnelsen er derfor at det skal forhindre enhver sikkerhetskntisk situasjon som kan forekomme, forutsatt at det bare foreligger en feil om gangen i systemet Dette skal imidlertid ikke innebære at systemet ikke vil kunne håndtere mer enn en feil av gangen, men det vil ikke være mulig å garantere det i alle tilfeller, selv om modifikasjoner av sikkerhetssystemet innenfor rammen av oppfinnelsen kan gjøre det mulig å ta hånd om mer enn en feil av gangen One purpose of the safety system according to the invention is therefore to prevent any safety-related situation that may occur, provided that there is only one error at a time in the system. However, this should not imply that the system will not be able to handle more than one error at a time, but it will not be possible to guarantee it in all cases, although modifications of the safety system within the scope of the invention may make it possible to handle more than one fault at a time

Det er ytterligere en hensikt med sikkerhetssystemet i henhold til oppfinnelsen at dersom det forekommer en feil i clutchstyringssystemet CMS, skal feilen etter at den har blitt diagnostisert, føre til at sikkerhetssystemet aktiverer alternative dnftsmoder som ikke involverer feilfunksjonen, at føreren av bilen informeres om hvilke tiltak han må iverksette, og at informasjon om feilen lagres for senere bruk i forbindelse med service eller reparasjon I utgangspunktet betyr dette at dersom den diagnostiserte feil ikke påvirker hovedkontrollenhetens evne til korrekt kjøring av kontrollprogramvaren, vil mikrokontrollenheten i denne oppfylle disse ytterligere hensikter Hvis derimot feilen er så alvorlig at hovedkontrollenheten ikke er i stand til å styre clutchen i det hele tatt, skal styringen av clutchen øyeblikkelig overgå fra hovedkontrollenheten til sikkerhetssystemet It is a further purpose of the safety system according to the invention that if an error occurs in the clutch control system CMS, the error, after it has been diagnosed, should cause the safety system to activate alternative dftfmodes that do not involve the error function, that the driver of the car is informed of which measures he must take action, and that information about the error is stored for later use in connection with service or repair Basically, this means that if the diagnosed error does not affect the main control unit's ability to correctly run the control software, the microcontroller in it will fulfill these additional purposes If, on the other hand, the error is so severe that the master control unit is unable to control the clutch at all, control of the clutch shall immediately pass from the master control unit to the safety system

Det er derfor enda en hensikt med sikkerhetssystemet i henhold til oppfinnelsen at dersom en feil påvirker hovedkontrollenhetens evne til korrekt kjøring av kontrollprogramvaren, overføres kontrollen ved hjelp av et vakthundsystem til sikkerhetssystemet og systemer utenfor clutchstyringssystemet CMS må registrere situasjonen og informere føreren om hvilke tiltak han skal iverksette, samt lagre informasjonen om feilen for senere bruk It is therefore another purpose of the safety system according to the invention that if an error affects the main control unit's ability to correctly run the control software, the control is transferred by means of a watchdog system to the safety system and systems outside the clutch management system CMS must register the situation and inform the driver of the measures he must take implement, as well as save the information about the error for later use

De ovennevnte og andre hensikter oppnås i henhold til oppfinnelsen med et sikkerhetssystem som er kjennetegnet ved at det fremskaffer en elektronisk sikkerhetskontrollenhet ECU som ved en detektering av en feiltilstand i clutchkontrollsytemet CMS automatisk overtar kontrollen av dette, hvor fremgangsmåten for styringen omfatter kontinuerlig å detektere hastigheten til girkassens inngangsaksel, motorhastighet og gasspådrag, å detektere hvorvidt bremsene er på eller ikke, å detektere girposisjon, å levere et digitalt utgangssignal for å styre driften av den hydrauliske kraftmodul HPU, å levere et digitalt utgangssignal for å tillate motorstart, å motta et digitalt inngangssignal som angir hvorvidt en motorstarter er aktiv eller ikke, slik at den hydrauliske kraftmodul og motorstarteren ikke aktiveres samtidig, og å motta data fra en operatørterminal over en senell mngangslinje Den elektroniske sikkerhetskontrollenheten i følge oppfinnelsen er kjennetegnet ved at den omfatter en kontinuerlig løpende tilstandsmaskin The above-mentioned and other purposes are achieved according to the invention with a safety system which is characterized by the fact that it provides an electronic safety control unit ECU which, upon detection of an error condition in the clutch control system CMS, automatically takes over control of this, where the control method includes continuously detecting the speed of the gearbox input shaft, engine speed and throttle input, to detect whether the brakes are on or not, to detect gear position, to supply a digital output signal to control the operation of the hydraulic power module HPU, to supply a digital output signal to allow engine start, to receive a digital input signal which indicates whether a motor starter is active or not, so that the hydraulic power module and the motor starter are not activated at the same time, and to receive data from an operator terminal over a cable communication line The electronic safety control unit according to the invention is characterized by the fact that it comprises a continuous lig running state machine

SM Sm

En første fremgangsmåte for styring av sikkerhetssystemet i følge oppfinnelsen er kjennetegnet ved at det fremskaffes en elektronisk sikkerhetskontrollenhet ECU (13) som ved en detektering av en feiltilstand i clutchkontrollsytemet CMS automatisk overtar kontrollen av dette, hvor fremgangsmåten for styringen omfatter kontinuerlig å detektere hastigheten til girkassens inngangsaksel, motorhastighet og gasspådrag, å detektere hvorvidt bremsene er på eller ikke, å detektere girposisjon, å levere et digitalt utgangssignal for å styre driften av den hydrauliske kraftmodul HPU, å levere et digitalt utgangssignal for å tillate motorstart, og å motta et digitalt inngangssignal som angir hvorvidt en motorstarter er aktiv eller ikke, slik at den hydrauliske kraftmodul og motorstarteren ikke aktiveres samtidig, A first method for controlling the safety system according to the invention is characterized by the provision of an electronic safety control unit ECU (13) which, upon detection of an error condition in the clutch control system CMS, automatically takes over control of this, where the method for the control includes continuously detecting the speed of the gearbox input shaft, engine speed and throttle input, to detect whether the brakes are on or not, to detect gear position, to provide a digital output signal to control the operation of the hydraulic power module HPU, to provide a digital output signal to allow engine start, and to receive a digital input signal which indicates whether a motor starter is active or not, so that the hydraulic power module and the motor starter are not activated at the same time,

mens en andre fremgangsmåte for styring av sikkerhetssystemet ifølge oppfinnelsen er kjennetegnet ved at det fremskaffes en elektronisk sikkerhetskontrollenhet ECU (13) som ved en detektering av en feiltilstand i clutchkontrollsytemet CMS automatisk overtar kontrollen av dette, og å implementere en kontinuerlig løpende tilstandsmaskin SM i sikkerhetskontrollenheten ECU, hvor fremgangsmåten for styringen omfatter kontinuerlig å detektere hastigheten til girkassens inngangsaksel, motorhastighet og gasspådrag, å detektere hvorvidt bremsene er på eller ikke, å detektere girposisjon, å levere et digitalt utgangssignal for å styre driften av den hydrauliske kraftmodul HPU, å levere et digitalt utgangssignal for å tillate motorstart, og å motta et digitalt inngangssignal som angir hvorvidt en motorstarter er aktiv eller ikke, slik at den hydrauliske kraftmodul og motorstarteren ikke aktiveres samtidig while a second method for controlling the safety system according to the invention is characterized by the provision of an electronic safety control unit ECU (13) which, upon detection of an error condition in the clutch control system CMS, automatically takes over control of this, and to implement a continuously running state machine SM in the safety control unit ECU , where the method of control comprises continuously detecting the speed of the gearbox input shaft, engine speed and throttle input, detecting whether the brakes are on or not, detecting gear position, supplying a digital output signal to control the operation of the hydraulic power module HPU, supplying a digital output signal to allow engine starting, and to receive a digital input signal indicating whether or not an engine starter is active so that the hydraulic power module and the engine starter are not activated at the same time

Oppfinnelsen skal når beskrives nærmere i form av ikke-begrensende eksempler med henvisning til den ledsagende tegning Figur 1 viser skjematisk clutchstyringssystemet CMS med sikkerhetssystemet i henhold til oppfinnelsen Figur 2 viser det samme som på figur 1 gjengitt i form av et blokkdiagram Figur 3 viser skjematisk den prinsipielle hydrauliske og elektriske konstruksjon av clutchstyringssystemet og sikkerhetssystemet i henhold til oppfinnelsen Figurene 4-18 viser skjematisk forskjellige foretrukne utførelsesformer for den elektroniske konstruksjon av clutchstyringssystemet CMS og sikkerhetssystemet Figurene 19-25 gjengir flytdiagrammer for operasjoner og desisjoner som inngår i fremgangsmåten i henhold til oppfinnelsen The invention shall now be described in more detail in the form of non-limiting examples with reference to the accompanying drawing Figure 1 schematically shows the clutch control system CMS with the safety system according to the invention Figure 2 shows the same as in Figure 1 reproduced in the form of a block diagram Figure 3 schematically shows the principle hydraulic and electrical construction of the clutch control system and the safety system according to the invention Figures 4-18 schematically show different preferred embodiments for the electronic construction of the clutch control system CMS and the safety system Figures 19-25 reproduce flow charts for operations and decisions that are included in the method according to the invention

Som vist på figurene 1 og 2, omfatter hoveddelen av clutchstyringssystemet CMS en hovedkontrollenhet ECU 6 som essensielt er en mikrodatamaskin med minne og kontrollprosessor Hovedkontrollenheten er forbundet med en solenoidstyrt proporsjonal oljestrømningsventil eller hovedventil 4 som på den ene side står i forbindelse med en hydraulisk kraftmodul HPU bestående av et oljereservoar 1, en oljepumpe 2 og en hydraulisk akkumulator 3, samt med en solenoidstyrt stengeventil 10 som også er forbundet med hovedkontrollenheten ECU 6 Hovedventilen 4 styrer mengden av olje i aktuatoren 5 som regulerer posisjonen til trykklageret til den ikke viste clutch og dermed dreiemomentet som overføres fra en ikke vist bilmotor og gjennom clutchen og til en ikke vist girkasse i bilen Den hydrauliske aktuator 5 regulerer posisjonen til trykklageret til clutchen og dermed det dreiemoment som overføres gjennom clutchen Hovedkontrollenheten ECU 6 kontrollerer posisjonen til aktuatoren 5 ved å manøvrere ventilen 4 i henhold til lagrede algoritmer som er basert på forskjellige sensonnnganger som bare skjematisk er antydet på figur 1 As shown in Figures 1 and 2, the main part of the clutch control system CMS comprises a main control unit ECU 6 which is essentially a microcomputer with memory and control processor The main control unit is connected to a solenoid controlled proportional oil flow valve or main valve 4 which is connected on one side to a hydraulic power module HPU consisting of an oil reservoir 1, an oil pump 2 and a hydraulic accumulator 3, as well as with a solenoid-operated shut-off valve 10 which is also connected to the main control unit ECU 6. The main valve 4 controls the amount of oil in the actuator 5 which regulates the position of the pressure bearing of the clutch not shown and thus the torque transmitted from a car engine not shown and through the clutch and to a gearbox not shown in the car The hydraulic actuator 5 regulates the position of the pressure bearing of the clutch and thus the torque transmitted through the clutch The main control unit ECU 6 controls the position of the actuator 5 by maneuvering valves n 4 according to stored algorithms which are based on different sensing approaches which are only schematically indicated in figure 1

Selve sikkerhetssystemet omfatter stengeventilen 10 som er anordnet i oljeledningen mellom hovedventilen 4 og aktuatorene 5 Forekommer det en feil i clutchstyringssystemets hovedsystem, slik at hovedkontrollenheten ECU 6 ikke lenger er i stand til å kontrollere posisjonen til aktuatoren 5, stenger stengeventilen 10 av oljen i aktuatoren og forhindrer dermed feilaktige bevegelse av clutchen En på/av-ventil 11 er forbundet med en sikkerhetskontrollenhet ECU 13 i sikkerhetssystemet og mottar fra denne et pulsbreddemodulert signal som under en feiltilstand som håndteres av sikkerhetssystemet, gjør at olje slippes ut av aktuatoren 5 med kontrollert hastighet Tilsvarende står en på/av-ventil 12 også i forbindelse med sikkerhetskontrollenheten ECU 13 og vil fra sikkerhetskontrollenheten ECU 13 under en feiltilstand som tas hånd av sikkerhetssystemet, motta et pulsbreddemodulert signal som slipper olje inn i aktuatoren 5 med kontrollert hastighet The safety system itself comprises the shut-off valve 10 which is arranged in the oil line between the main valve 4 and the actuators 5. If a fault occurs in the main system of the clutch control system, so that the main control unit ECU 6 is no longer able to control the position of the actuator 5, the shut-off valve 10 shuts off the oil in the actuator and thereby preventing incorrect movement of the clutch An on/off valve 11 is connected to a safety control unit ECU 13 in the safety system and receives from this a pulse width modulated signal which, under a fault condition handled by the safety system, causes oil to be released from the actuator 5 at a controlled rate Correspondingly an on/off valve 12 is also in connection with the safety control unit ECU 13 and will receive from the safety control unit ECU 13 during an error condition which is taken care of by the safety system, a pulse width modulated signal which lets oil into the actuator 5 at a controlled speed

Sikkerhetskontrollenheten ECU 13 omfatter en mikrodatamaskin med lavere ytelse enn mikrodatamaskinen i hovedkontrollenheten ECU 6, idet mikrodatamaskinen i sikkerhetskontrollenheten ECU 13 også omfatter en kontrollprosessor og minner Sikkerhetskontrollenheten ECU 6 i sikkerhetssystemet styrer posisjonen til aktuatoren 5 ved å manøvrere på/av-ventilene 11 og 12 i henhold til algoritmer basert på forskjellige sensonnnganger som bare skjematisk er antydet på figur 1 Kostnadsmessige hensyn gjør at ECU 13 sammenlignet med ECU 6 har vesentlig mindre kapasitet og yteevne Generelt skulle det bety mindre komfortabel kjøring Kjørekomforten vil imidlertid aldri være så lav at en vanlig fører ikke vil kunne kjøre bilen Fordelaktig kan ECU 13 integreres i det samme hus som ECU 6 Som nevnt, er de solenoidstyrte ventiler 10, 11 og 12 også forbundet med ECU 13, idet det i denne forbindelsen er anordnet en bryteranordning 14, for eksempel i form av en relékrets anordnet i denne forbindelsen, som gjør det umulig for sikkerhetssystemet å manøvrere på/av-ventilene 11 og 12 med mindre stengeventilen 10 faktisk er stengt - Det må forstås at kontinuerlige ventiler, for eksempel ghdeventiler, kan anvendes som ventilene 10, 11, 12, siden de ikke nødvendigvis må implementeres som av/på-ventiler The safety control unit ECU 13 comprises a microcomputer with a lower performance than the microcomputer in the main control unit ECU 6, since the microcomputer in the safety control unit ECU 13 also comprises a control processor and memories. The safety control unit ECU 6 in the safety system controls the position of the actuator 5 by maneuvering the on/off valves 11 and 12 in according to algorithms based on different sensing inputs which are only schematically indicated in Figure 1 Cost considerations mean that ECU 13 compared to ECU 6 has significantly less capacity and performance In general this should mean less comfortable driving However, driving comfort will never be so low that a normal driver does not will be able to drive the car. Advantageously, ECU 13 can be integrated in the same housing as ECU 6. As mentioned, the solenoid-controlled valves 10, 11 and 12 are also connected to ECU 13, as a switch device 14 is arranged in this connection, for example in the form of a relay circuit arranged in this connection, which makes d an impossibility for the safety system to maneuver the on/off valves 11 and 12 unless the shut-off valve 10 is actually closed - It must be understood that continuous valves, for example gate valves, can be used as the valves 10, 11, 12, since they do not necessarily have to be implemented as on/off valves

Den prinsipielle hydrauliske og elektriske utførelse av clutchstyringssystemet med sikkerhetssystemet i henhold til oppfinnelsen er vist skjematisk på figur 3 De elektroniske kontrollenheter ECU 6 og ECU 13 kan begge være integrert på samme kretskort I en utførelse er ECU 6 basert på mikrokontrollenheten Siemens 167, mens ECU 13 er basert på Motorola 68 HC705B16 Hver av kontrollenhetene ECU 6, 13 drives av separate 5 volts regulatorer som i sin tur mates med 12 volt gjennom separate linjer fra bilbatteriet Regulatorene på 5 volt er utført slik at de forsyner den respektive kontrollenhet innbefattet de nødvendige sensorer og grensesnittkretser innenfor en rommelig margin Bortsett fra dette mater disse regulatorene ikke noen eksterne innretninger Regulatoren for sikkerhetssystemet vil alltid stå på, slik at sikkerhetskontrollenheten ECU 13 hele tiden får tilført spenning, med mindre batteriet kobles fra The principle hydraulic and electrical design of the clutch control system with the safety system according to the invention is shown schematically in Figure 3. The electronic control units ECU 6 and ECU 13 can both be integrated on the same circuit board. In one embodiment, ECU 6 is based on the Siemens 167 microcontroller, while ECU 13 is based on the Motorola 68 HC705B16 Each of the control units ECU 6, 13 is powered by separate 5 volt regulators which in turn are fed with 12 volts through separate lines from the car battery The 5 volt regulators are designed so that they supply the respective control unit including the necessary sensors and interface circuits within a reasonable margin Apart from this, these regulators do not feed any external devices The regulator for the safety system will always be on, so that the safety control unit ECU 13 is constantly supplied with voltage, unless the battery is disconnected

Hovedsystemet med hovedkontrollenheten ECU 6 aktiveres av tre forskjellige kilder, nemlig en dørbryter, tenningen eller The main system with the main control unit ECU 6 is activated by three different sources, namely a door switch, the ignition or

sikkerhetskontrollenheten ECU 13 Når døren på førersiden åpnes, vil hovedsystemet straks bli satt i drift, noe som gjør at pumpen 2 eller motoren i den hydrauliske kraftmodul HPU kan startes slik at systemets trykk omgående kan bygges opp Hvis tenningen ikke slås på etter et visst tidsrom, kobler systemet ut strømmen Hovedsystemet får alltid tilført strøm når tenningen slås på, noe som gjør at systemet kan startes etter en av dørbryteren tidsbestemt utkobling Hovedsystemet vet at tenningssignalet gjorde at det fikk tilført strøm eller ble tilbakestilt Sikkerhetssystemet slår periodisk på hovedsystemet etter at systemet er slått av etter beregning av en temperaturalgontme (se nedenfor) Hovedsystemet må kunne skjelne mellom at strømmen er slått på eller tilbakestilling trigget av dørbryteren eller sikkerhetskontrollenheten ECU 6 for å fatte en avgjørelse om videre handling Kommunikasjonslinjene kan benyttes til å løse dette problemet Sikkerhetssystemet som alltid forsynes med strøm, vil få en ekstern tilbakestilling når tenning slås på (og når batteriet gjeninnkobles) Ingen andre kilder kan aktivere sikkerhetssystemet safety control unit ECU 13 When the driver's side door is opened, the main system will immediately be put into operation, which allows the pump 2 or the motor of the hydraulic power module HPU to be started so that the system pressure can be immediately built up If the ignition is not turned on after a certain period of time, disconnects power to the system The main system is always supplied with power when the ignition is switched on, which allows the system to be started after a timed shutdown by the door switch The main system knows that the ignition signal caused it to be supplied with power or was reset The security system periodically switches on the main system after the system is switched off off after calculating a temperature algorithm (see below) The main system must be able to distinguish between power on or reset triggered by the door switch or security control unit ECU 6 to make a decision on further action The communication lines can be used to solve this problem The security system which is always supplied with current, will get a remote reset when the ignition is turned on (and when the battery is reconnected) No other source can activate the security system

En kraftholdfunksjon gjør det mulig for hovedkontrollenheten ECU 6 å ta kontroll over dens strøm-på-sekvens for visse inn/utfunksjoner og strømutfallsekvensen på både inn- og utganger og selve kontrollenheten Dette er for å unngå tvilsomme og udefinerte situasjoner ved strøm på/av og å gi kontrollenheten tid til å stenges av korrekt når tenningen slås av Under kraftholdsekvensen vil hovedkontrollenheten ECU 6 også lagre langtidsdata og initiere systemvanabler for den neste igangsetting av systemet Da sikkerhetskontrollenheten ECU 13 alltid får tilført strøm, er det ikke noe behov for en kraftholdfunksjon for sikkerhetssystemet I stedet vil sikkerhetskontrollenheten ECU 13 havne i stopp-moden når det er på tide å "stenge" fullstendig av, slik at kontrollenheten ECU 6 og alle dens funksjoner stanser inntil det skjer en ekstern tilbakestilling fra tenningen I stopp-moden forbruker sikkerhetskontrollenheten ECU 13 meget lite effekt Sikkerhetssystemet må forsinke spenningen på 12 volt til stengeventilen i sikkerhetssystemet inntil hovedsystemet har hatt tid til å initiere kontrollen via et sikkerhetskretsanordning 14 (fig 3) A power hold function enables the main control unit ECU 6 to take control of its power-on sequence for certain input/output functions and the power-out sequence of both inputs and outputs and the control unit itself This is to avoid dubious and undefined situations of power on/off and to give the control unit time to shut down correctly when the ignition is turned off During the power hold sequence, the main control unit ECU 6 will also store long-term data and initiate system variables for the next start-up of the system Since the safety control unit ECU 13 is always powered, there is no need for a power hold function for the safety system Instead, the safety control unit ECU 13 will end up in the stop mode when it is time to "shut down" completely, so that the control unit ECU 6 and all its functions stop until an external reset from the ignition takes place. In the stop mode, the safety control unit ECU 13 consumes a lot low power The safety system must delay the voltage of 12 volts to s the shut-off valve in the safety system until the main system has had time to initiate the control via a safety circuit device 14 (fig 3)

Etter at kraftholdsekvensen er fullført, vil hovedkontrollenheten ECU 6 slå av strømmen til hovedsystemet Hovedkontrollenheten må imidlertid i noen timer (1-3) etter at tenningen er slått av og etter at strømmen er slått av, utføre en kort beregning med 15-30 sekunders mellomrom Dette innbefatter å avlese to temperatursensorer og oppdatere en algoritme, noe som utføres for å holde rede på temperaturen på clutchens trykkplate Dette er nødvendig for å unngå feilaktige startverdier hvis bilen startes på ny før clutchtemperaturen har falt til den målte temperatur i omgivelsene En hvilemode for hovedkontrollenheten benyttes ikke under temperaturalgontmen for å redusere effektforbruket når tenningen er slått av I stedet vil sikkerhetskontrollenheten ECU 13 aktivere hovedkontrollenheten ECU 6 ved å slå hovedsystemets strøm på igjen hvert 30 sekund eller deromkring Om det ikke registreres noe tenningssignal og det mottas en melding fra sikkerhetskontrollenheten ECU 13, vil hovedkontrollenheten ECU 6 deretter beregne et sampel av temperaturalgontmen før den igjen slår av sin tilførte strøm I mellomtiden vil sikkerhetskontrollenheten gå i en vente-mode for å redusere effektforbruket Den ovennevnte sekvens fortsetter inntil temperaturalgontmen er fullført Ved dette punkt vet sikkerhetskontrollenheten via en melding fra hovedkontrollenheten at det er på tide å gå inn i stopp-moden Sikkerhetskontrollenheten ECU 13 må ikke være i stand til å "varme opp" og tilbakestille hovedkontrollenheten for temperaturberegning når hovedkontrollenheten nettopp er blitt tilført strøm pga dørbryteren Hvis hovedsystemet settes i drift pga et tenningssignal under temperaturalgontmeberegningen, vil sikkerhetskontrollenheten tilbakestilles og vil således ikke generere tilbakestilling av strømmen for hovedkontrollenheten Da temperaturalgontmeprosedyren kan avbrytes av dørbryteren, bør hovedsystemet informere sikkerhetskontrollenheten om en avbrutt algoritme og en pauseutkobhng ("time out shutdown") slik at sikkerhetskontrollenheten kan fortsette å generere strømtilbakestilhnger med korrekt koblingstid After the power hold sequence is completed, the main control unit ECU 6 will turn off the power to the main system However, for a few hours (1-3) after the ignition is turned off and after the power is turned off, the main control unit must perform a short calculation every 15-30 seconds This involves reading two temperature sensors and updating an algorithm, which is done to keep track of the clutch pressure plate temperature This is necessary to avoid incorrect starting values if the car is restarted before the clutch temperature has dropped to the measured ambient temperature A sleep mode for the main control unit not used during the temperature algont to reduce power consumption when the ignition is turned off Instead, the safety control unit ECU 13 will activate the main control unit ECU 6 by turning the main system power back on every 30 seconds or so If no ignition signal is detected and a message is received from the safety control unit ECU 13 , the main control unit will ECU 6 then calculates a sample of the temperature algorithm before turning off its supplied power. Meanwhile, the safety control unit will go into a standby mode to reduce power consumption. The above sequence continues until the temperature algorithm is complete. At this point, the safety control unit knows via a message from the main control unit that it is time to enter the stop mode The safety control unit ECU 13 must not be able to "warm up" and reset the main control unit for temperature calculation when the main control unit has just been energized due to the door switch If the main system is put into operation due to an ignition signal during the temperature calculation, the the safety control unit is reset and thus will not generate a power reset for the main control unit As the temperature algorithm procedure can be interrupted by the door switch, the main system should inform the safety control unit of an interrupted algorithm and a time out shutdown such that the safety control unit can continue to generate current feedback loops with the correct switching time

Hovedsystemet i clutchstyringssystemet CMS benytter et høyhastighets senelt grensesnitt for å sende data til et sanntids loggesystem Andre senelle grensesnitt på hovedkontrollenheten ECU 6 benyttes til å kommunisere med en operatørterminal, for nedlasting av programvare og til diagnostikk Sikkerhetssystemet må også ha muligheter for å sende data til et sanntids loggesystem og kommunisere med en operatørterminal Da det bare er ett senelt grensesnitt i sikkerhetssystemet, må de to funksjoner skilles med en bryter Enten benyttes den senelle linje for å sende data til sanntidsloggen eller den benyttes for å kommunisere med operatørterminalen Hovedsystemet skal kontinuerlig bekrefte sin feilstatus til et eksternt system, f eks en mstrumentpaneldatamaskin eller ledningsbundet logikk Dette kan skje over et CAN- (Controller Area Network) grensesnitt Hvis denne kommunikasjonen svikter, vil føreren bh varslet over det eksterne system Sikkerhetssystemet i henhold til oppfinnelsen skal kontinuerlig bekrefte sin feilstatus til hovedsystemet Dette kan skje over en digitalutgang Hvis denne kommunikasjonen svikter, skal hovedsystemet sende en melding til det eksterne system Endelig er det anordnet mekanismer som gjør at sikkerhetssystemet kan ta over kontrollen så raskt som mulig etter et sammenbrudd i hovedsystemet The main system in the clutch control system CMS uses a high-speed senal interface to send data to a real-time logging system. real-time logging system and communicate with an operator terminal As there is only one senal interface in the safety system, the two functions must be separated with a switch Either the senal line is used to send data to the real-time log or it is used to communicate with the operator terminal The main system must continuously confirm its error status to an external system, e.g. an instrument panel computer or wired logic This can happen via a CAN (Controller Area Network) interface If this communication fails, the driver will be alerted via the external system The safety system according to the invention must continuously g confirm its error status to the main system This can happen via a digital output If this communication fails, the main system must send a message to the external system Finally, mechanisms are arranged to enable the safety system to take over control as quickly as possible after a breakdown in the main system

Kontrollogikken i sikkerhetssystemet i henhold til oppfinnelsen vil aldri "vite" hvorvidt det har overtatt kontroll- og styringsfunksjonene, dvs at sett fra sikkerhetssystemet så vil hele tiden sikkerhetskontrollenheten ECU 13 forsøke å styre på/av-ventilene 11,12 Dette innebærer at det ikke vil være noe tidstap på grunn av at sikkerhetssystemet må initialiseres når det skal ta over funksjonene til hovedsystemet Dette betyr også at sikkerhetssystemet må kunne lese de tilknyttede sensorer uansett om hovedsystemet har kontrollen eller ikke Dette vil bli omtalt nærmere nedenfor i tilknytning til inn/ut-funksjonene til sikkerhetssystemet The control logic in the safety system according to the invention will never "know" whether it has taken over the control and management functions, i.e. that from the safety system's point of view the safety control unit ECU 13 will constantly try to control the on/off valves 11,12 This means that it will not be some loss of time due to the fact that the security system must be initialized when it takes over the functions of the main system This also means that the security system must be able to read the associated sensors regardless of whether the main system has control or not This will be discussed in more detail below in connection with the in/out functions to the security system

Sikkerhetskontrollenheten ECU 13 mottar inngangsverdier fra sensorer som kontinuerlig detekterer hastigheten til girkassens inngangsaksel, motorhastigheten og gasspådraget samt hvorvidt fotbremsen er aktivert eller ikke Sikkerhetskontrollenheten omfatter også en digital utgang for å styre driften av den hydrauliske kraftmodul HPU og eventuelt også en digital utgang for å muliggjøre motorstart, en digital inngang som angir hvorvidt startmotoren er aktiv, slik at den hydrauliske kraftmodul og startmodulen ikke er i aktivitet samtidig, en senell linje til det sanntids loggesystem og operatørterminalen, en digital utgang for å overføre sikkerhetskontrollenhetens feilstatus til hovedkontrollenheten ECU 6 samt to pulsbreddemodulerte (PWM) utganger for å styre på/av-ventilene 11, 12 og endelig en sensonnngang for deteksjon av girposisjon The safety control unit ECU 13 receives input values from sensors that continuously detect the speed of the gearbox's input shaft, the engine speed and the throttle as well as whether the foot brake is activated or not. The safety control unit also includes a digital output to control the operation of the hydraulic power module HPU and possibly also a digital output to enable engine start , a digital input indicating whether the starter motor is active, so that the hydraulic power module and the starter module are not active at the same time, a senal line to the real-time logging system and the operator terminal, a digital output to transmit the safety control unit's error status to the main control unit ECU 6 as well as two pulse width modulated ( PWM) outputs to control the on/off valves 11, 12 and finally a sensor input for detection of gear position

Sikkerhetssystemet i henhold til oppfinnelsen er avhengig av at feil i clutchtstyringssystemet CMS kan finnes på et tidlig tidspunkt slik at effektive mottiltak kan iverksettes før det oppstår farlige situasjoner For hver eneste sensor er det derfor utviklet en "karre-seg-hjem-algoritme" som utelukker sensoren hvis den svikter Dette innebærer generelt at bilen fortsatt kan kjøres, men med en redusert grad av komfort Sensorene kan imidlertid ikke detektere feil som til slutt vil gjøre at hovedkontrollenheten ECU 6 ikke eksekverer kontrollogikken korrekt Heller ikke vil sensorene kunne detektere feil som gjør at mikrokontrollenheten i hovedkontrollenheten ikke lenger kan kontrollere aktuatoren For å oppnå dette er sikkerhetssystemet i henhold til den foreliggende oppfinnelsen utført slik at det kan overta styringen av clutchen momentant eller i det minste i løpet av ca 10 ms etter at det har funnet en vesentlig svikt i mikrokontrollenheten i hovedsystemet eller i pådraget av selve clutchen Med andre ord overtar sikkerhetssystemet i henhold til oppfinnelsen kontrollen av clutchstyringssystemet når hovedkontrollenheten ECU 6 ikke lenger eksekverer kontrollogikken, noe som detekteres av vakthundfunksjonen, når hovedkontrollenheten ECU 6 mister spenning, og når hovedkontrollenheten ECU 6 selv detekterer at den ikke lenger kontrollerer strømmen i solenoiden til hovedventilen 4 The safety system according to the invention depends on errors in the clutch control system CMS being found at an early stage so that effective countermeasures can be implemented before dangerous situations arise. the sensor if it fails This generally means that the car can still be driven, but with a reduced degree of comfort The sensors, however, cannot detect errors which will ultimately cause the main control unit ECU 6 not to execute the control logic correctly Nor will the sensors be able to detect errors which cause the microcontroller in the main control unit can no longer control the actuator. To achieve this, the safety system according to the present invention is designed so that it can take over control of the clutch momentarily or at least within about 10 ms after it has found a significant failure in the micro-control unit in the main system or in the application of the clutch itself In other words, the safety system according to the invention takes over the control of the clutch control system when the main control unit ECU 6 no longer executes the control logic, which is detected by the watchdog function, when the main control unit ECU 6 loses voltage, and when the main control unit ECU 6 itself detects that it no longer controls the current in the solenoid to the main valve 4

Med henvisning til figur 3 skal nå den normale dnftsmode for sikkerhetssystemet i henhold til oppfinnelsen beskrives Når-det ikke er detektert noen feil i hovedsystemet, befinner sikkerhetssystemet seg i en tilstand som gjør at hovedsystemet kontrollerer aktuatoren over proporsjonalventilen eller hovedventilen 4 på den måte som allerede er omtalt Linjen "ECU styrer" mater strøm gjennom sikkerhetsbryteranordmngen 14 hvilket innebærer at det ikke kommer noe strøm til stengeventilen 10 og på/av-ventilene 11 og 12, noe som igjen innebærer at stengeventilen 10 er og forblir åpen og på/av-ventilene 11 og 12 er og forblir lukket With reference to Figure 3, the normal operating mode for the safety system according to the invention will now be described. When no errors have been detected in the main system, the safety system is in a state which means that the main system controls the actuator over the proportional valve or the main valve 4 in the manner already is discussed The line "ECU controls" feeds current through the safety switch device 14, which means that no current is supplied to the shut-off valve 10 and the on/off valves 11 and 12, which in turn means that the shut-off valve 10 is and remains open and the on/off valves 11 and 12 are and remain closed

Når det oppstår en sikkerhetskntisk feil i hovedsystemet, vil strømmen som går i linjen "ECU styrer" stenges av og føre til at strøm mates gjennom stengeventilen 10 fra sikkerhetssystemet da sikkerhetsbryteranordningen 14 nå er deaktivert Stengeventilen 10 vil stenge oljetilførselsen til aktuatoren 5 fra proporsjonalventilen eller hovedventilen 4 som ikke lenger er under kontroll Samtidig vil bryteranordningen aktiveres, med det resultat at sikkerhetssystemet kan styre på/av-ventilene 11 og 12 Dette releet sørger også for å levere strøm til sensorene som må være aktive når sikkerhetssystemet overtar styringen Som tidligere nevnt må sikkerhetskontrollenheten ECU 13 ha en separat strømforsyning direkte fra batteriet I realiteten kan sikkerhetsbryteranordningen 14, som nevnt over, være en relékrets, og kan omfatte flere enn ett relé, for eksempel to reléer R„ R2 som vist i figur 3, og med mulighet for ytterligere reléer, som det vil diskuteres nærmere under When a safety-related error occurs in the main system, the current flowing in the line "ECU controls" will be shut off and cause current to be fed through the shut-off valve 10 from the safety system as the safety switch device 14 is now deactivated. The shut-off valve 10 will shut off the oil supply to the actuator 5 from the proportional valve or the main valve 4 which is no longer under control At the same time the switch device will be activated, with the result that the safety system can control the on/off valves 11 and 12 This relay also ensures that power is supplied to the sensors which must be active when the safety system takes over control As previously mentioned, the safety control unit must ECU 13 have a separate power supply directly from the battery In reality, the safety switch device 14, as mentioned above, can be a relay circuit, and can comprise more than one relay, for example two relays R„ R2 as shown in figure 3, and with the possibility of additional relays , which will be discussed in more detail below

I tilknytning til sikkerhetssystemets kontrollogikk som er implementert i sikkerhetskontrollenheten ECU 13, må bl a følgende situasjoner tas i betraktning Det enkleste tilfelle er når girskiftet foregår med normale hastigheter for de involverte gir Men en sikkerhetskntisk situasjon vil oppstå ved forbikjøring av en annen bil Clutchen må da kunne arbeide slik at girskift blir mulig En spesielt vanskelig situasjon er start av kjøringen fra hastighet null og manøvrering ved lav hastighet f eks under parkering o 1 Dette innebærer at følgende kontrollogikk må implementeres i sikkerhetskontrollenheten ECU 13 Clutchhastigheten kan i dette tilfelle betraktes som ekvivalent til hastigheten til girkassens inngangsaksel 1) Forbikjøring Clutchhastigheten over en viss verdi og motoren i gang, In connection with the safety system's control logic, which is implemented in the safety control unit ECU 13, the following situations must be taken into account. The simplest case is when the gear change takes place at normal speeds for the gears involved. But a safety-related situation will arise when overtaking another car. The clutch must then able to work so that gear changes become possible A particularly difficult situation is starting driving from zero speed and maneuvering at low speed, e.g. during parking o 1 This means that the following control logic must be implemented in the safety control unit ECU 13 The clutch speed can in this case be considered equivalent to the speed to the gearbox input shaft 1) Overtaking The clutch speed above a certain value and the engine running,

a) positiv gass - rask clutchinnkoblmg a) positive throttle - quick clutch engagement

b) null gass - rask clutchutkobling b) zero throttle - fast clutch disengagement

2) Kjøring nær hastighet null Clutchhastigheten under en viss verdi og motoren i gang, 2) Driving close to zero speed The clutch speed below a certain value and the engine running,

a) positiv gass - langsom clutchinnkoblmg a) positive throttle - slow clutch engagement

b) null gass - langsom clutchutkobling b) zero throttle - slow clutch disengagement

c) bremse på - rask clutchutkobling c) brake on - fast clutch disengagement

3) Motoren ikke i gang innebærer rask clutchinnkoblmg 3) The engine not running means quick clutch engagement

I utgangspunktet kunne denne kontrollogikken medføre at sensorene bare behøvde å detektere hastigheter og gasspådrag over og under et bestemt nivå, men en kontinuerlig deteksjon gjør at det kan benyttes kontinuerlige kontrollalgontmer i de fleste situasjoner Risikoen for at motoren ikke bremser tilstrekkelig under lange utforkjøringer blir tatt hånd om ved at sikkerhetskontrollenheten ECU 13 også mottar sensorinformasjon om girposisjon, slik at clutchen kan kontrolleres med girspaken i stedet for med gassen Sikkerhetssystemet må også overta kontrollen av driften av den hydrauliske kraftmodul HPU Dette innebærer en digital utgang for dette formål Endelig må sikkerhetssystemet setter føreren i stand til å starte motoren, hvilket også krever en digital inngang som angir hvorvidt startmotoren går eller ikke Denne informasjon kan benyttes til å forhindre at den hydrauliske kraftmodul arbeider samtidig med startmotoren Sikkerhetssystemets inngangs- og utgangssignaler skal nå behandles noe mer detaljert Igjen kan det henvises til figur 3 Sikkerhetskontrollenheten ECU 13 trenger noen få inngangs- og utgangssignaler for tilfredsstillende å kunne kontrollere aktuatoren 5 Inngangs- og utgangssignalene mates til og fra ECU Initially, this control logic could mean that the sensors only needed to detect speeds and throttle inputs above and below a certain level, but a continuous detection means that continuous control algorithms can be used in most situations. The risk of the engine not braking sufficiently during long descents is taken care of whether by the safety control unit ECU 13 also receiving sensor information about gear position, so that the clutch can be controlled with the gear lever instead of with the gas The safety system must also take over control of the operation of the hydraulic power module HPU This involves a digital output for this purpose Finally, the safety system must put the driver in able to start the engine, which also requires a digital input indicating whether the starter motor is running or not This information can be used to prevent the hydraulic power module from working at the same time as the starter motor The safety system's input and output signals must now be processed somewhat more r detailed Again, reference can be made to figure 3 The safety control unit ECU 13 needs a few input and output signals to satisfactorily control the actuator 5 The input and output signals are fed to and from the ECU

13 av elektroniske grensesnitt De allerede eksisterende sensorer i hovedsystemet kan med fordel benyttes til å ta hånd om inngangssignaler, såsom gasspådrag, clutch- og motorhastighet osv Da sikkerhetssystemet ikke må komme i konflikt med driften av hovedsystemet, må det ta hensyn til dette i utførelsen av de elektriske grensesnitt for de nevnte signaler Generelt hentes sensorsignalene til sikkerhetssystemet fra elektronikken i hovedsystemet slik at komponentene i sikkerhetssystemet blir redusert til et minimum og det i høyden vil være påkrevet med mindre forandringer av grensesnittene Det må i den forbindelse tas hensyn til at sikkerhetskontrollenheten ECU 13 skal motta sanntids sensorverdier selv når hovedkontrollenheten ECU 6 har styringen 13 of electronic interfaces The already existing sensors in the main system can be advantageously used to take care of input signals, such as throttle input, clutch and engine speed, etc. As the safety system must not come into conflict with the operation of the main system, it must take this into account in the execution of the electrical interfaces for the mentioned signals In general, the sensor signals for the safety system are obtained from the electronics in the main system so that the components of the safety system are reduced to a minimum and it will be required in height with minor changes to the interfaces In this connection it must be taken into account that the safety control unit ECU 13 shall receive real-time sensor values even when the main control unit ECU 6 is in control

Det vil nå gis en mer detaljert omtale av foretrukne utførelser av deteksjons-og sensorsystemet til sikkerhetssystemet, så vel som bryteranordningen 14, under spesiell henvisning til figurene 4-18, som, av hensyn til klarhet, er begrenset til å angi de deler som er nødvendige for å gjøre omtalen forståelig Det vises nå til fig 4 Motorrotasjonshastigheten detekteres med en hastighetssensor basert på variabel reluktans som mater elektronikken i hovedsystemet med pulser som genereres når tennene på svmghjulet passerer forbi sensoren Sikkerhetssystemet benytter det samme pulstoget Ved å hente pulstoget fra hovedsystemets elektronikk, unngås en duplisermg av det elektriske grensesnitt I den forbindelse er det bare nødvendig med en separat omforming til TTL-mvå, noe som kan utføres av en komparator både i hovedsystemet og i sikkerhetssystemet Eventuelt kan det benyttes en frekvensdeler for å redusere pulstogfrekvensen før den leveres til sikkerhetskontrollenheten ECU 13, som er langsommere enn hovedkontrollenheten ECU 6 A more detailed discussion will now be given of preferred embodiments of the detection and sensor system of the security system, as well as the switch device 14, with particular reference to Figures 4-18, which, for reasons of clarity, are limited to indicating those parts which are necessary to make the discussion comprehensible It is now shown to fig 4 The motor rotation speed is detected with a speed sensor based on variable reluctance which feeds the electronics in the main system with pulses generated when the teeth of the swing wheel pass past the sensor The safety system uses the same pulse train By retrieving the pulse train from the main system electronics, a duplication of the electrical interface is avoided. In this connection, a separate conversion to TTL voltage is only necessary, which can be carried out by a comparator both in the main system and in the safety system. Optionally, a frequency divider can be used to reduce the pulse train frequency before it is delivered to the safety control unit ECU 13, which is slower e nn the main control unit ECU 6

Sensoren for rotasjonshastigheten til girkassens inngangsaksel i hovedsystemet kan også benyttes av sikkerhetssystemet Inngangsakselens hastighetssensor, for eksempel en Hall effekt sensor som vist i fig 5, krever en forsyningsspenning som skaffes av hovedkontrollenheten ECU 6 Følgelig må sikkerhetssystemet levere denne spenning i tilfelle hovedsystemet svikter, hvilket kan gjøres ved å benytte dioder D„ D2 Da pulstoget fra akselhastighetssensoren har meget lavere frekvens enn pulstoget fra motorhastighetssensoren, er det ikke nødvendig å benytte en frekvensdeler før pulstoget føres til sikkerhetskontrollenheten ECU 6 To transiente vernedioder (ikke vist) i hovedsystemets grensesnitt MSI kan f eks erstattes av en diode av zenertypen Således går ikke sensorsignalet tapt hvis strømtilførselen til hovedenheten kortsluttes til jord Den ovenstående skisserte løsning kan forenkles om Hall-effekt sensoren i fig 5 erstattes som vist i fig 6, av en sensor med en separat spenningsforsyningshnje fra bilbatteriet Dermed kan ekstra reléstifter eller dioder unngås Denne løsningen medfører imidlertid problemer for hovedsystemets kraftholdfunksjon da clutchhastighetssensorsignalet går tapt når tenningen slås av The sensor for the rotational speed of the gearbox input shaft in the main system can also be used by the safety system. The input shaft speed sensor, for example a Hall effect sensor as shown in fig 5, requires a supply voltage provided by the main control unit ECU 6 Consequently, the safety system must supply this voltage in case the main system fails, which can is done by using diodes D„ D2 As the pulse train from the axle speed sensor has a much lower frequency than the pulse train from the engine speed sensor, it is not necessary to use a frequency divider before the pulse train is sent to the safety control unit ECU 6 Two transient protection diodes (not shown) in the main system interface MSI can e.g. is replaced by a diode of the zener type Thus, the sensor signal is not lost if the power supply to the main unit is short-circuited to ground The solution outlined above can be simplified if the Hall effect sensor in fig. 5 is replaced, as shown in fig. 6, by a sensor with a separate voltage supply from the car battery Thus extra relay pins or diodes can be avoided This solution, however, causes problems for the main system's power holding function as the clutch speed sensor signal is lost when the ignition is switched off

Analogsignalet for gasspjeldvinkelen kan som vist i fig 7, hentes fra hovedsystemet Da referansespenningen for gasspjeldvinkelen leveres av hovedkontrollenheten ECU 6, må elektronikken i sikkerhetssystemet levere referansespenningen når hovedsystemet er ute av drift, og det kan da benyttes to dioder D3, D« for dette formål Referansespenningen for A/D-omformeren til kontrollenhetene ECU 6, 13 kan påvirkes når det benyttes dioder Derfor må både A/D-omformerens og sensorens referansespenninger hentes fra diodenes N-side, hvilket også vil være tilfelle for alle andre potensiometersensorer, eksempelvis girposisjonssensorene Den transiente beskyttelse av grensesnittet MSI må byttes for å unngå tap av sensorsignalet hvis strømmen til hovedsystemet kortsluttes til jord As shown in Fig. 7, the analog signal for the throttle angle can be obtained from the main system. As the reference voltage for the throttle angle is supplied by the main control unit ECU 6, the electronics in the safety system must supply the reference voltage when the main system is out of operation, and two diodes D3, D« can then be used for this purpose The reference voltage for the A/D converter of the control units ECU 6, 13 can be affected when diodes are used. Therefore, both the A/D converter and the sensor's reference voltages must be obtained from the N side of the diodes, which will also be the case for all other potentiometer sensors, for example the gear position sensors The transient protection of the interface MSI must be replaced to avoid loss of the sensor signal if the power of the main system is shorted to ground

Sensorsignalet for fotbremsen har form av et på/av-signal og kan, som vist i fig 8, hentes fra den forekommende bremselysbryter i bilen For sikkerhetssystemet er det tilstrekkelig med en inngang, mens hovedsystemet har to En ulempe med å hente bremselyssignalet fra bremselysbryteren er tap av signalet hvis begge bremselampene i bilen er gått Dette er ikke et problem for hovedsystemet, da hovedsystemet kan detektere feilen og reagere tilsvarende Sikkerhetssystemet bruker imidlertid bremselyssignaler for å indikere rask clutchkobling ved lave hastigheter Den transiente beskyttelse av grensesnittet MSI må skiftes The sensor signal for the foot brake takes the form of an on/off signal and, as shown in Fig. 8, can be obtained from the existing brake light switch in the car. For the safety system, one input is sufficient, while the main system has two. A disadvantage of obtaining the brake light signal from the brake light switch is loss of the signal if both brake lights in the car have gone This is not a problem for the main system, as the main system can detect the fault and react accordingly The safety system, however, uses brake light signals to indicate quick clutch engagement at low speeds The transient protection of the interface MSI must be replaced

Girposisjonssensoren benyttes for å avgjøre lnnkobling/utkobhng ved girskift Et posisjonssignal x kan være tilstrekkelig, selv om både x- og y-posisjoner bør være innbefattet i kontrollenhetene ECU 6, 13 hvis det er nok ubenyttede kontrolhnnganger Disse posisjonene kan, som vist i fig 9, hentes fra hovedsystemet på samme måte som gasspjeldvinkelen For å forhindre at den hydrauliske kraftmodulen HPU (pumpemotoren 2) og startmotoren fra å være i aktivitet samtidig, kan, som vist i fig 10, et på/av-signal for startmotoren sette sikkerhetskontrollenheten ECU 6 i stand til å holde kraftmodulen HPU ute av drift under motorstart Sikkerhetskontrollenheten må motta et signal som angir hvorvidt tenningen er på eller av for å ha full kontroll over sin egen strømtilstand (på/av) Når tenningen er på må sikkerhetskontrollenheten ECU 13 være i stand til å forsinke strømmen til sikkerhetsventilene, dvs ventilene 10, 11 og 12, slik at sikkerhetssystemet ikke på noen måte påvirker den normale igangsetting av krafttilførselen til hovedsystemet når sikkerhetssystemet ikke har styringen Når tenningen er av, må sikkerhetskontrollenheten ECU 13 være i stand til å forsinke sin egen strømutkobling for å sikre sikkert clutchinnkoblmg når det har styringen The gear position sensor is used to determine power engagement/disengagement when gear shifting A position signal x may be sufficient, although both x and y positions should be included in the control units ECU 6, 13 if there are enough unused control loops These positions can, as shown in fig 9 , is obtained from the main system in the same way as the throttle angle. In order to prevent the hydraulic power module HPU (pump motor 2) and the starter motor from being active at the same time, as shown in Fig. 10, an on/off signal for the starter motor can set the safety control unit ECU 6 capable of keeping the power module HPU out of service during engine start The safety control unit must receive a signal indicating whether the ignition is on or off in order to have full control over its own power state (on/off) When the ignition is on the safety control unit ECU 13 must be able to delay the flow to the safety valves, i.e. valves 10, 11 and 12, so that the safety system does not in any way affect the normal starting ng of the power supply to the main system when the safety system is not in control When the ignition is off, the safety control unit ECU 13 must be able to delay its own power cut-off to ensure safe clutch engagement when it is in control

Som nevnt, kan sikkerhetskontrollenheten ECU 13 behøve en senell inngangshnje for å motta data fra en operatørterminal En ytterligere digitahnngang bestemmer hvorvidt loggeren eller terminalen er forbundet med det senelle kommunikasjonsgrensesnitt, dvs hvilken protokoll som skal benyttes Videre skaffes det et signal for å indikere om sikkerhetskontrollenheten faktisk har styringen av aktuatoren 5 Behovet for denne inngang er omdiskutert, men om den implementeres som vist på figur 3, må signalet konverteres fra 12 volt til 5 volt For kommunikasjon med hovedsystemet er det innbefattet to digitale innganger og to utganger til hovedsystemet En av disse er en avbruddslinje og den annen er for å motta data Eventuelt kan det benyttes noen diagnostiske innganger til sikkerhetskontrollenheten for å tilføre data om utgangsdnvere (ventiler, hydraulisk kraftmodul HPU, startlås og reservedriverutgang) Disse inngangene hentes fra elektronikken i sikkerhetssystemet og krever ikke noen ekstra inngang i fra hovedsystemet Endelig kan sikkerhetskontrollenheten være utstyrt med ekstra analog- og digitalutganger for logging under utvikling av eksempelvis kontrollprogramvare for sikkerhetssystemet, såsom for clutchposisjon og for eventuelt fremtidige forandringer Nå skal utgangssignalene omtales noe mer detaljert, under henvisning til figur 11 Ventilene 11, 12 for innkobling og utkobling av clutchen kan styres av sikkerhetskontrollenheten ECU 13 med to brytere i As mentioned, the security control unit ECU 13 may need a signal input to receive data from an operator terminal. A further digital input determines whether the logger or the terminal is connected to the senal communication interface, i.e. which protocol is to be used. Furthermore, a signal is provided to indicate whether the security control unit is actually has the control of the actuator 5 The need for this input is debated, but if it is implemented as shown in Figure 3, the signal must be converted from 12 volts to 5 volts For communication with the main system, two digital inputs and two outputs to the main system are included One of these is one interrupt line and the other is for receiving data Optionally, some diagnostic inputs can be used to the safety control unit to supply data about output dnrs (valves, hydraulic power module HPU, immobilizer and backup driver output) These inputs are obtained from the electronics of the safety system and do not require any additional input i from the main system Finally, the safety control unit can be equipped with extra analogue and digital outputs for logging during the development of, for example, control software for the safety system, such as for clutch position and for possible future changes Now the output signals will be described in more detail, with reference to figure 11 The valves 11, 12 for engagement and disengagement of the clutch can be controlled by the safety control unit ECU 13 with two switches i

sikkerhetsbryteranordningen 14 Når sikkerhetssystemet har styringen, dvs at sikkerhetsreléet R2 som vist på figur 3 er aktivert, kan the safety switch device 14 When the safety system has the control, i.e. that the safety relay R2 as shown in figure 3 is activated, can

sikkerhetskontrollenheten ECU 13 koble clutchen mn og ut ved å aktivere to transistorbrytere T„ Tj for innkobl mg og utkobling Transistorbry terene T„ T2 er valgt for å tillate pulsbreddemodulasjon (PWM) ved styringen av ventilene 11,12 Ved bruk av pulsbreddemodulasjon oppnås en passende kontroll av clutchens inn- og utkobling Det skal bemerkes at begge linjene til hver ventil går gjennom reléet R2 Dette er for å forhindre ventilene 11,12 1 å aktiveres 1 tilfelle av en feilaktig kortslutning the safety control unit ECU 13 engages the clutch mn and disengages by activating two transistor switches T„ Tj for engagement mg and disengagement The transistor switches T„ T2 are selected to allow pulse width modulation (PWM) in the control of the valves 11,12 By using pulse width modulation, a suitable control is achieved of the clutch engagement and disengagement It should be noted that both lines to each valve pass through the relay R2 This is to prevent the valves 11,12 1 from being activated 1 case of an erroneous short circuit

Når hovedsystemet starter under normale tilstander, må sikkerhetssystemet hindre uønsket aktivering av sikkerhetsventilen eller stengeventilen 10 og følgelig aktuatoren før hovedsystemet overtar styringen av stengeventilen 10 gjennom signalet "ECU styrer", som vist 1 fig 12 When the main system starts under normal conditions, the safety system must prevent unwanted activation of the safety valve or shut-off valve 10 and consequently the actuator before the main system takes over the control of the shut-off valve 10 through the signal "ECU controls", as shown 1 fig 12

Sikkerhetssystemet kan også styre den hydrauliske kraftmodul HPU, dvs pumpemotoren 2,1 tilfelle av feil 1 hovedsystemet For å sikre at sikkerhetssystemet og hovedsystemet arbeider uavhengig, kan bryteranordnmgen 14, som vist 1 fig 13, svitsje kontrollen av den hydrauliske kraftmodul HPU til sikkerhetssystemet Den høye motorstrømmen som er involvert indikerer imidlertid at det bør benyttes et separat relé Hovedsystemets kraftmodulrelé eller hoved-HPU-relé R, omgås når tilstanden til HPU-reléet R3 er udefinert for en feil i hovedsystemet eller for en svikt i kraftmodulreléet Sikkerhetskontrollenheten ECU 13 styrer da kraftmodulen HPU ved hjelp av et annet HPU-relé R4 for sikkerhetssystemet på samme måte som for hovedsystemet Koblingene mellom sikkerhetsbryteranordningen 14 og det andre HPU-reléet R, for sikkerhetssystemet kan elimineres ved å benytte hoved-HPU-reléet R, som vist i fig 14, men dette alternativet er mindre attraktivt fra et sikkerhetssynspunkt The safety system can also control the hydraulic power module HPU, i.e. the pump motor 2.1 case of failure 1 the main system To ensure that the safety system and the main system work independently, the switch device 14, as shown in 1 fig. 13, can switch the control of the hydraulic power module HPU to the safety system The high however, the motor current involved indicates that a separate relay should be used The main system power module relay or main HPU relay R is bypassed when the state of the HPU relay R3 is undefined for a fault in the main system or for a failure of the power module relay The safety control unit ECU 13 controls when the power module HPU using another HPU relay R4 for the safety system in the same way as for the main system The connections between the safety switch device 14 and the second HPU relay R, for the safety system can be eliminated by using the main HPU relay R, as shown in Fig. 14, but this option is less attractive from a security point of view

For å garantere at motoren starter i tilfelle at hovedsystemet svikter, må startlåsreleet R5 til hovedsystemet omgås For å hindre at bilen startes mens den er i gir, kan et andre relé R* aktiveres på samme måte som for hovedsystemet På grunn av høy strøm kan det være foretrukket å benytte et annet relé enn hovedstartlåsreléet RJ5 av lignende grunner som nevnt over i forbindelse med den hydrauliske kraftmodul HPU For å eliminere en av sikkerhetsbryterkoblingene, kan utførelsen modifiseres noe, som vist i fig 16, men denne modifikasjonen kan blokkere sikkerhetssystemets styring av startlåsfunksjonen i tilfelle av at hovedsystemets startlåsrelé Rs svikter (kortslutning) I hvert tilfelle kan det vise seg at et startlåsutgangssignal kan være unødvendig To guarantee that the engine starts in the event of a failure of the main system, the immobilizer relay R5 of the main system must be bypassed To prevent the car from being started while in gear, a second relay R* can be activated in the same way as for the main system Due to high current, it may be preferable to use a different relay than the main immobilizer relay RJ5 for similar reasons as mentioned above in connection with the hydraulic power module HPU In order to eliminate one of the safety switch connections, the design can be modified somewhat, as shown in Fig. 16, but this modification can block the safety system's control of the immobilizer function in case the main system immobilizer relay Rs fails (short circuit) In each case it may turn out that an immobilizer output signal may be unnecessary

En digital utgang vil kunne gi hovedkontrollenheten ECU 6 informasjon om feilstatusen i sikkerhetssystemet, slik at hovedsystemet kan varsle føreren i tilfelle at sikkerhetssystemet svikter Hovedkontrollenheten ECU 6 tjener således som en vakthund for sikkerhetssystemet En avbruddsutgang til hovedsystemet sørger for kommumkasjonskontroll og -tidsstyring En senell linje skaffer sanntidsinformasjon til loggesystemet Utgangsspesifikasjonene vil i dette tilfellet være de samme som for hovedsystemets senelle utgang En senell linje er også nødvendig for kommunikasjonen med operatørterminalen Da en valgt sikkerhetskontrollenhet ECU 13 bare har en senell utgang, må den senelle utgang multiplekses, f eks med en bryter el 1 Alternativt kan en senell kommunikasjonsutgang på en parallell portpinne implementeres som programvare En digitalutgang gir loggeren et signal for å synkronisere data fra hoved- og sikkerhetssystemet Videre kan det også være anordnet digitale reserveutganger og andre utganger, eksempelvis dnverutganger for eventuelle fremtidige behov A digital output will be able to provide the main control unit ECU 6 with information about the failure status of the safety system, so that the main system can notify the driver in the event that the safety system fails. The main control unit ECU 6 thus serves as a watchdog for the safety system. real-time information to the logging system The output specifications will in this case be the same as for the main system's senal output A senal line is also necessary for communication with the operator terminal As a selected safety control unit ECU 13 only has one senal output, the senal output must be multiplexed, e.g. with a switch or 1 Alternatively, a senal communication output on a parallel port pin can be implemented as software A digital output gives the logger a signal to synchronize data from the main and security system Furthermore, digital backup outputs and other outputs can also be arranged , for example dnver outputs for any future needs

Nå skal sikkerhetsbryteranordningen 14 som er anordnet i sikkerhetssystemet omtales noe mer detaljert, under henvisning til figurene 17 og 18 Bruken av en sikkerhetsbryteranordning er blitt nevnt i flere sammenhenger i det ovenstående Hvorvidt bryteranordmngen 14 bør brukes, eller hvorvidt transistordnvere kan benyttes i noen utførelser kan diskuteres, men den valgte utførelse må sikre galvanisk isolasjon mellom kritiske deler i hovedsystemet og sikkerhetssystemet Now the safety switch device 14 which is arranged in the safety system will be described in more detail, with reference to figures 17 and 18. The use of a safety switch device has been mentioned in several contexts in the above. Whether the switch device 14 should be used, or whether transistor drivers can be used in some designs can be discussed , but the chosen design must ensure galvanic isolation between critical parts in the main system and the safety system

Den følgende beskrivelse av utførelsen av sikkerhetsbryteranordningen 14 på fig 3 er medtatt for å vise hvordan det kan forhindres at bryteranordmngen blir for komplisert Dette kan oppnås ved å dele releet R, i fig 17 i to separate releer Følgelig kan et annet sikkerhetsrele R', vist i fig 18, ta hånd om pumpemotoren i kraftmodulen HPU og reléledningen til startmotoren som begge krever høy strøm Sikkerhetsreléet 14 tar nå som før hånd om sikkerhetsventilen eller stengeventilen 10 Når systemet er i drift, holder forbindelsen på 5 volt ("ECU styrer") sikkerhetsreléet 14 i en bestemt tilstand Når hovedsystemet ikke lenger arbeider korrekt, stenges denne linjen av og sikkerhetsreléet 14 aktiverer stengeventilen 10 Begge ledninger til sikkerhetsventilen 10 går gjennom sikkerhetsreléet 14, noe som forhindrer ventilen fra å aktiveres pga utilsiktede kortslutninger, som tilfellet er for ventilene 11, 12 for innkobling og utkobling Det annet sikkerhetsrelé R, kan være av tilsvarende type I tilfelle av svikt i hovedsystemet, kobler det annet sikkerhetsrelé R, HPU-motoren til sikkerhetsreléet R, (fig 13) for den hydrauliske kraftmodul HPU og startstillingen for tenningsnøkkelen direkte til startreléet R« Alternativt kan sikkerhetsreléet R', aktiveres på samme linje som reléet R2 på figur 3 eller kan til og med kombineres med dette rele For å sikre pålitelig isolasjon av sikkerhetssystemet fra hovedsystemet, kan sikkerhetsreléene være mekaniske Det samme gjelder for reléet R2 på figur 3 Releet R, til den hydrauliske kraftmodul HPU kan enten være en bryter av mekanisk eller elektronisk type En elektronisk bryter er å foretrekke da reservereléet R4 til den hydrauliske kraftmodul bør slås på og av kontinuerlig, til og med når sikkerhetssystemet ikke har styringen The following description of the execution of the safety switch device 14 in Fig. 3 is included to show how it can be prevented that the switch device becomes too complicated. This can be achieved by dividing the relay R, in Fig. 17 into two separate relays. Consequently, another safety relay R', shown in fig 18, take care of the pump motor in the power module HPU and the relay wire of the starter motor, both of which require high current. 14 in a certain state When the main system is no longer working correctly, this line is closed and the safety relay 14 activates the shut-off valve 10 Both wires of the safety valve 10 pass through the safety relay 14, which prevents the valve from being activated due to accidental short circuits, as is the case for the valves 11, 12 for switching on and off The other safety relay R, can be of a corresponding type I add in the event of a failure in the main system, the second safety relay R connects the HPU motor to the safety relay R, (fig 13) for the hydraulic power module HPU and the starting position of the ignition key directly to the starting relay R« Alternatively, the safety relay R', can be activated on the same line as the relay R2 on figure 3 or can even be combined with this relay To ensure reliable isolation of the safety system from the main system, the safety relays can be mechanical The same applies to the relay R2 on figure 3 The relay R, to the hydraulic power module HPU can either be a switch of mechanical or electronic type An electronic switch is preferable as the backup relay R4 of the hydraulic power module should be switched on and off continuously, even when the safety system does not have the control

Kontrollogikken som benyttes 1 sikkerhetssystemet skal nå beskrives mer detaljert under henvisning til flytdiagrammene på figurene 19-25 Kontrollogikken er implementert som en kontinuerlig løpende tilstandsmaskin SM i sikkerhetskontrollenheten ECU 13 Tilstandsmaskinen SM rommer følgende tilstander The control logic used 1 the safety system will now be described in more detail with reference to the flow diagrams in figures 19-25 The control logic is implemented as a continuously running state machine SM in the safety control unit ECU 13 The state machine SM accommodates the following states

1) Initialisermg 1) Initialize mg

2) Motor ikke startet 2) Engine not started

3) Clutch utkoblet 3) Clutch disengaged

4) Kjøring fra hastighet null 4) Driving from zero speed

5) Clutch innkoblet 5) Clutch engaged

6) Tenning av 6) Ignition off

Hver av disse tilstandene består av en operasjonell del og en desisjonsdel Den operasjonelle del av en tilstand i tilstandsmaskinen SM ivaretar de operasjonelle styringsoppgaver til sikkerhetskontrollenheten ECU 13 i relasjon til en aktiv tilstand Foretrukket er den operasjonelle del av en tilstand i tilstandsmaskinen SM utført som logiske kontrollalgoritmer I og med at det ved fremgangsmåten i henhold til oppfinnelsen benyttes en kontinuerlig deteksjon av blant annet clutchhastighet, motorhastighet og gasspådrag, er de logiske kontrollalgoritmer utført som kontinuerlige algoritmer Desisjonsdelen av en tilstand i tilstandsmaskinen SM er utført i form av desisjonsalgontmer som avgjør hvorvidt en foreliggende tilstand skal beholdes eller om tilstandsmaskinen SM skal gå over i en annen tilstand Flytdiagrammet på fig 19 viser hva som skjer når strømmen slås på, men motoren allikevel ikke startes, dvs tilstand 2 Flytdiagrammet på fig 20 viser rutinen "Kobhngsuravbrudd/tilstandsstyring" Denne rutinen startes periodisk ved bruk av interne klokker eller koblingsur og avbruddssystemet til mikrokontrollenheten i ECU 13 Initialisenngen av tilstandsmaskinen SM er dermed over og en bestemt tilstand er fastlagt Each of these states consists of an operational part and a decision part. The operational part of a state in the state machine SM takes care of the operational management tasks of the safety control unit ECU 13 in relation to an active state. Preferably, the operational part of a state in the state machine SM is executed as logical control algorithms As the method according to the invention uses a continuous detection of, among other things, clutch speed, engine speed and throttle input, the logical control algorithms are performed as continuous algorithms. The decision part of a state in the state machine SM is performed in the form of a decision algorithm that determines whether a present state is to be retained or whether the state machine SM is to change to another state The flow diagram on fig 19 shows what happens when the power is switched on, but the motor is still not started, i.e. state 2 The flow diagram on fig 20 shows the routine "Connection interruption/state control" Then e routine is started periodically using internal clocks or switching clocks and the interrupt system of the microcontroller unit in the ECU 13 The initialization of the state machine SM is thus over and a specific state has been determined

På fig 21 er flytskjemaet for tilstand 2 "Motor ikke startet" vist og det kan ses hvordan bruken av desisjonsalgontmene "Gir i inngrep7" eller "Motor i gang<?>" fører til en operasjonell handling eller en forandring av tilstanden, i dette tilfelle til tilstand 3 "Clutch utkoblet" In Fig. 21, the flowchart for state 2 "Engine not started" is shown and it can be seen how the use of the decision algontmen "Gear in engagement7" or "Engine running<?>" leads to an operational action or a change of state, in this case to state 3 "Clutch disengaged"

Flytskjemaet på fig 22 viser forløpet av de operasjonelle styringsoppgaver i tilstand 3 "Clutch utkoblet", de i den forbindelse benyttede desisjonsalgontmer og hvordan de bevirker overgang til tilstand 5 "Clutch innkoblet" Denne tilstand 5 har to undertilstander, nemlig "Motorbremsing" og "Girskift" The flowchart in Fig. 22 shows the course of the operational control tasks in state 3 "Clutch disengaged", the decision algorithms used in that connection and how they cause a transition to state 5 "Clutch engaged". This state 5 has two sub-states, namely "Engine braking" and "Gear shift "

Flytskjemaet på fig 23 viser forløpet av kontrollprosessen når tilstand 4 "Kjøring fra hastighet null" foreligger Kontrollalgoritmen bevirker i dette tilfelle at det sendes et pulsbreddemodulert signal til på/av-ventilene 11,12 og dersom motorhastigheten nå er lik clutchhastigheten går tilstand 4 over til tilstand 5 "Clutch innkoblet" I motsatt fall spørres det etter gasspådraget, og er dette null, bevirker desisjonsalgontmen en overgang til tilstand 3 "Clutch utkoblet" The flowchart in Fig. 23 shows the progress of the control process when condition 4 "Driving from zero speed" exists. In this case, the control algorithm causes a pulse-width modulated signal to be sent to the on/off valves 11,12 and if the engine speed is now equal to the clutch speed, condition 4 switches to state 5 "Clutch engaged" In the opposite case, the throttle is asked, and if this is zero, the decision algorithm causes a transition to state 3 "Clutch disengaged"

Flytdiagrammet på fig 24 viser forløpet fra tilstand 5 "Clutch innkoblet" Er clutchen i dette tilfelle ikke fullt innkoblet, spørres det om det foreligger en undertilstand "Girskift<?>" og er dette tilfellet, blir clutchen styrt i henhold til en kontrollalgontme for girskift Foreligger det derimot ingen undertilstand "Girskift" spørres det etter undertilstanden "Motorbremsing" og dersom denne tilstanden foreligger, styres clutchen i henhold til en motorbremsealgoritme Som rimelig er, vil tilstand 5 "Clutch innkoblet" før eller senere gå over til tilstand 3 "Clutch utkoblet" The flow diagram in fig 24 shows the sequence from state 5 "Clutch engaged" If the clutch is not fully engaged in this case, it is asked whether there is a substate "Gear shift<?>" and if this is the case, the clutch is controlled according to a control algorithm for gear change If, on the other hand, there is no "Gearshift" substate, the substate "Engine braking" is queried and if this state exists, the clutch is controlled according to an engine braking algorithm As is reasonable, state 5 "Clutch engaged" will sooner or later transition to state 3 "Clutch disengaged "

Endelig viser fig 25 forløpet ved tilstand 6 "Tenning av" Finally, Fig. 25 shows the sequence in state 6 "Ignition off"

I teorien kan tilstandsmaskinen SM og kontrollogikken være "maskinonentert", dvs utført som elektrisk nettverk og da fortrinnsvis realisert i VLSI-teknologi på en spesiell kontrollogikkbnkke I henhold til en foretrukket utførelse er imidlertid tilstandsmaskinen realisert i form av algoritmer og rutiner skrevet i et passende programmeringsspråk, eksempelvis C, eller eventuelt et objektorient språk og deretter implementert i sikkerhetskontrollenheten ECU 13 In theory, the state machine SM and the control logic can be "machine integrated", i.e. implemented as an electrical network and then preferably realized in VLSI technology on a special control logic board. According to a preferred embodiment, however, the state machine is realized in the form of algorithms and routines written in a suitable programming language , for example C, or possibly an object-oriented language and then implemented in the safety control unit ECU 13

Tradisjonelt har de fleste sikkerhetssystemer i biler vært utført som kritiske, basert på en lav feilsannsynhghet Ved sikkerhetssystemet og fremgangsmåten i henhold til den foreliggende oppfinnelse er denne tradisjonelle utførelse forlatt og det er skaffet et sikkerhetssystem som vil kunne overta styringen av clutchen praktisk talt momentant eller i det minste i løpet av høyst 10 ms etter at det har blitt detektert en større feil i enten hovedkontrollenheten eller selve clutchpådraget Traditionally, most safety systems in cars have been designed as critical, based on a low probability of failure. With the safety system and the method according to the present invention, this traditional design has been abandoned and a safety system has been provided which will be able to take over control of the clutch practically instantaneously or in the least within a maximum of 10 ms after a major fault has been detected in either the main control unit or the clutch drive itself

Med sikkerhetssystemet i henhold til oppfinnelsen oppnås det at clutchen kan styres over på/av-ventilene med et minimum av sensonnformasjon Samtidig er den informasjon som detekteres og behandles i sikkerhetssystemet i henhold til den foreliggende oppfinnelse tilstrekkelig til å gi føreren kontroll over bilen slik at han ikke skremmes fra fortsatt å kjøre i den tro at dette vil være farlig enten for bilen, ham selv eller begge Sikkerhetssystemet i henhold til den foreliggende oppfinnelse tar hensyn til at en feilsituasjon plutselig kan forekomme og det som en overraskelse for føreren, og tar også hensyn til at føreren ikke har noen tidligere erfaring med en slik situasjon Selv om kjørekomforten i en slik feilsituasjon kan være betraktelig redusert, vil bilen fortsatt reagere på gasspådrag, bremser og girspak slik at en gjennomsnitts bilfører uten noen tidligere erfaring med situasjonen fortsatt vil føle at han har herredømme over bilen og kan kjøre videre With the safety system according to the invention, it is achieved that the clutch can be controlled via the on/off valves with a minimum of sensor information. At the same time, the information detected and processed in the safety system according to the present invention is sufficient to give the driver control over the car so that he is not deterred from continuing to drive in the belief that this will be dangerous either for the car, himself or both. for the driver to have no previous experience of such a situation. Although the driving comfort in such an error situation may be considerably reduced, the car will still react to the throttle, brakes and gear lever so that an average car driver with no previous experience of the situation will still feel that he has control over the car and can drive on

Claims

1 Safety system in a clutch control system CMS for an automatically applied clutch, where the clutch is arranged between the engine and the gearbox in a car and is moved by a hydraulic actuator (5), where the clutch is connected to the gearbox via an input shaft, where the clutch control system CMS includes a hydraulic power module HPU, a proportional oil flow valve or main valve (4) which controls the oil flow in the actuator (5) which regulates the position of the clutch pressure bearing and thus the torque transmitted through the clutch, and an electronic main control unit ECU (6) which controls the position of the actuator (5) via the main valve (4) according to algorithms stored in the main control unit ECU (6) on the basis of input values from sensors that continuously detect the speed of the input shaft of the gearbox, actuator position, engine speed and throttle input, and whether the brakes are activated or not, as well as gear position characterized by the fact that the safety system includes a first valve (10) which is connected to the main valve (4) and which shuts off the oil flow in the actuator and thus the main control unit ECU (6) cancels control of the actuator (5) position to prevent an incorrect clutch movement, a second valve (11) which drains the actuator (5) with controlled speed, a third valve (12) which supplies the actuator (5) with controlled speed, the valves (11, 12) being connected to the hydraulic power module HPU, and an electronic safety control unit ECU (13) which, in the event of a detected fault condition in the clutch control system, controls the position to the actuator (5) via the second and third valves (11, 12) according to algorithms stored in the ECU (13) and on the basis of input values for sensors that continuously detect the speed of the gearbox input shaft, engine speed and throttle input, whether the brakes are activated or not as well as gear position

2 Security system according to requirement 1, characterized in that the hydraulic power module HPU comprises an oil reservoir (1), an oil pump (2) and a hydraulic accumulator (3)

3 Security system according to requirement 1, characterized in that one or more of the first, second and third valve (10, 11, 12) is a continuous or continuous valve

4 Security system according to requirement 1, characterized in that one or more of the first, second and third valves (11, 12, 13) is an on/off valve

5 Security system according to requirement 1, characterized in that the main control unit ECU (6) includes digital outputs for communication, control and logging

6 Security system according to requirement 1, characterized in that it comprises a safety switch device (14) which prevents the safety system from maneuvering the second and third valves (11, 12) unless the first valve (10) is actually closed

7 Security system according to requirement 1, characterized in that the safety control unit ECU (13) is integrated in the same housing as the main control unit ECU (6)

8 Security system according to requirement 1, characterized in that the safety control unit ECU (13) comprises at least a dynamic memory, and a micro-control unit with microprocessor

9 Security system according to requirement 1, characterized in that the safety control unit includes digital outputs for control, communication and logging

10 Security system according to requirement 1, characterized in that the detection functions of the safety control unit ECU (13) are implemented with the same sensors that take care of the detection functions of the main control unit ECU (6)

11 Security system according to requirement 1, characterized in that the second and third valves (11, 12) are controlled from the safety control unit ECU (13) by a pulse width modulated (PWM) signal

12 Electronic safety control unit ECU (13) for a safety system according to claims 1-11, characterized in that the safety control unit comprises a continuously running state machine SM

13 Electronic safety control unit ECU (13) according to claim 10, characterized in that the state machine includes the following states 1) Initialization 2) Engine not started 3) Clutch disengaged 4) Driving from zero speed 5) Clutch engaged 6) Ignition off as each of these states consists of an operational part and a decision part

14 Procedure for control in a safety system CMS for an automatically applied clutch, where the clutch is arranged between the engine and the gearbox in a car and is moved by a hydraulic actuator (5), where the clutch is connected to the gearbox via an input shaft, where the clutch control system CMS comprises a hydraulic power module HPU, a proportional oil flow valve or main valve (4) which controls the oil flow in the actuator (5), which regulates the position of the clutch pressure bearing and thus the torque transmitted through the clutch, and an electronic main control unit ECU (6) which controls the position of the actuator (5 ) over the main valve (4) according to algorithms stored in the ECU (6) on the basis of input values from sensors that continuously detect the speed of the gearbox's input shaft, actuator position, engine speed and throttle input, as well as whether the brakes are activated or not, as well as gear position, characterized in that it provides an electronic safety control unit ECU (13) p if, upon detection of a fault condition in the clutch control system, CMS automatically takes over control of this, where the control procedure includes continuously detecting the speed of the gearbox's input shaft, engine speed and throttle input, detecting whether the brakes are on or not, detecting gear position, delivering a digital output signal to control the operation of the hydraulic power module HPU, to provide a digital output signal to allow engine starting, and to receive a digital input signal indicating whether an engine starter is active or not, so that the hydraulic power module and the engine starter are not activated simultaneously

15 Procedure according to claim 14, characterized by receiving data from an operator terminal over a cable access medium

16 Procedure for control in a safety system CMS for an automatically applied clutch, where the clutch is arranged between the engine and the gearbox in a car and is moved by a hydraulic actuator (5), where the clutch is connected to the gearbox via an input shaft, where the clutch control system CMS comprises a hydraulic power module HPU, a proportional oil flow valve or main valve (4) which controls the oil flow in the actuator (5), which regulates the position of the clutch pressure bearing and thus the torque transmitted through the clutch, and an electronic main control unit ECU (6) which controls the position of the actuator (5 ) over the main valve (4) according to algorithms stored in the ECU (6) on the basis of input values from sensors that continuously detect the speed of the gearbox's input shaft, actuator position, engine speed and throttle input, as well as whether the brakes are activated or not, as well as gear position, characterized by providing an electronic safety control unit ECU (13) p if, upon detection of a fault condition in the clutch control system, CMS automatically takes over control of this, and to implement a continuously running state machine SM in the safety control unit ECU (13), where the method of control includes continuously detecting the speed of the gearbox's input shaft, engine speed and throttle input, to detect whether the brakes are on or not, detecting gear position, providing a digital output signal to control the operation of the hydraulic power module HPU, providing a digital output signal to allow engine starting, and receiving a digital input signal indicating whether an engine starter is active or not, so that the hydraulic power module and the engine starter are not activated at the same time

17 Procedure according to claim 16, characterized by receiving data from an operator terminal over a senel input line

18 Procedure according to claim 16, characterized by indicating above the safety control unit ECU (13) whether it controls the actuator (5) or not

19 Procedure according to claim 16, characterized by allowing the state machine to include the following states 1) Initialization 2) Engine not started 3) Clutch disengaged 4) Driving from zero speed 5) Clutch engaged 6) Ignition off as each of these states comprises an operational part and a decision part

20 Procedure according to claim 19, characterized by using the operational part of a state in the state machine SM for operational management tasks related to an active state

21 Procedure according to claim 20, characterized in that the operational part of a state in the state machine SM is designed as logical control algorithms, preferably as continuous algorithms

22 Procedure according to claim 19, characterized in that the decision part of a state in the state machine SM, which is designed as a decision algorithm, determines whether a current state should continue or whether the state machine should transition to another state