Elektromechanisches Bremssystem
Die Erfindung betrifft ein elektromechanisches Bremssystem und ein Verfahren zur Steuerung eines elekromechanischen Bremssystems, die durch den Einsatz eines redundanten Bussystems und durch redundante bzw. fehlererkennende Module die Systemsicherheit bei einer gleichzeitigen kostengünstigen Realisierung erhöhen.
In der derzeitigen Bremsentechnik gehen neuere Entwicklungen dahin, daß elektrische Bremssysteme untersucht werden. Die Hydraulikzylinder, die heute die Bremsbeläge gegen die Bremsscheibe pressen, werden an jeder Scheibe durch einen leistungsfähigen Elektromotor ersetzt. Die elektrische Bremse benötigt keine mechanischen oder hydraulischen Teile, wie Vakuumbremskraftverstärker oder Tandemhauptzylinder. Weiterhin kann die elektrische Bremse heutige und auch zukünfte Funktionen einer Bremse übernehmen, wie die Funktionen eines Antiblockiersystems (ABS), einer Traktionshilfe oder einer Antriebsschlupfregelung (ASR), ein Electronic Stability Program (ESP) sowie einen automatischen Bremseneingriff, wie er beispielsweise bei Abstandsregelsystemen vorgesehen sein kann.
Ein Beispiel für ein solches System ist in der WO 95/13946 gezeigt. Dieses sog. elektronische Bremssystem weist ein
Zentralmodul und den Bremskreisen oder Radbaugruppen zugeordnete Bremsmodule auf. Das Zentralmodul kann hierbei ABS-/ ASR-Berechnungen durchführen, kann die Bremskraftverteilung einstellen und radspezifische Bremsdruck-Sollwerte ermitteln.
Eine Aufgabe der Erfindung ist es, ein elektromechanisches Bremssystem und ein Verfahren zum Steuern eines elektromechanischen Bremssystems, insbesondere für Kraftfahrzeuge, zu realisieren, die sicher und dabei kostengünstig aufgebaut sind sowie einen geringen Installationsaufwand benötigen.
Die Aufgabe wird gemäß den Merkmalen der unabhängigen Patentansprüche gelöst. Die abhängigen Patentansprüche zeigen vorteilhafte Ausführungsformen und Weiterentwicklungen der Erfindung auf.
Erfindungsgemäß kann ein elektromechanisches Bremssystem, insbesondere für Kraftfahrzeuge, einen Pedalsimulator zum redundanten Erfassen einer Fahrerbetätigung eines Bremspedals mittels einer geeigneten Sensorik enthalten. Weiterhin kann ein Zentralmodul vorgesehen sein, das einen Bremssollwert basierend auf den Ausgangssignalen der Sensorik ermittelt. Darüber hinaus kann zumindest ein Bremsmodul zum Ansteuern von zumindest einer Radbremse vorgesehen sein, wobei die Ansteuerung basierend auf dem Bremssollwert erfolgen kann. Weiterhin kann eine Datenübertragungseinheit vorgesehen sein, die zumindest teilweise redundant ausgeführt sein kann und eine Datenverbindung zwischen dem Zentralmodul und dem Bremsmodul herstellt, wobei das Zentralmodul eine Fehlererkennungsschaltung aufweisen kann, die einen Fehler
9/26821
- 3 -
bei der Ermittlung des Bremssollwerts erkennen kann.
Das Zentralmodul kann zur Ermittlung des Bremssollwerts höhere Funktionen des Bremssystems berücksichtigen und kann weiterhin zumindest drei redundante Rechner aufweisen, die den Bremssollwert basierend auf den Ausgangssignalen der Sensorik ermitteln. Weiterhin können auf zumindest zwei dieser redundanten Rechner des Zentralmoduls höhere Funktionen (ABS, ASR, ESP...) des Bremssystems implementiert sein.
Gemäß der Erfindung lassen sich sowohl die Radbremsmodule bzw. die Radbremsen als Einzelsysteme mit einer hochwertigen Fail-safe-Schnittstelle, als auch ein kostengünstiges Gesamtsystem anbieten. Das gilt insbesondere, wenn das Zentralmodul im Pedalsimulator integriert ist. Weiterhin kann mit der erfindungsgemäßen Systemarchitektur ohne weitere Nachteile, wie einem erhöhten Verkabelungsaufwand oder einer mangelnden Störsicherheit eine Diagonal- oder eine TT-Kreisaufteilung realisiert werden. Der Installationsaufwand für den Kfz- Hersteller ist minimal und der Verkabelungsaufwand nur sehr gering. Weiterhin sind klare und einfache Schnittstellen beim Zentralmodul und bei den Radmodulen vorgesehen, so daß eine einfache Testbarkeit des Gesamtsystems ermöglicht wird und der Kommunikationsaufwand zwischen den einzelnen Modulen reduziert werden kann. Durch kurze Analogleitungen und einem Leistungsverstärker, der nahe dem Aktor vorgesehen ist, ergibt sich eine hohe aktive und passive Störsicherheit. Weiterhin kann erfindungsgemäß eine sehr geringe Degradation (Funktionsverlust) im Fehlerfall erzielt werden. Zudem ist ein sicherheitskritisches Zuspannen einer Bremse - mit und ohne Vorliegen eines
Bremswunsches - infolge eines Fehlers in einem Rechner, der Leistungselektronik oder des Aktors mit Sensoren nicht möglich.
Im folgenden werden Ausführungsbeispiele der Erfindung anhand der beiliegenden schematischen Zeichnung näher erläutert.
Die Figur zeigt ein schematischs Blockschaltbild gemäß einer Ausführungsform der Erfindung.
Die Figur zeigt einen Pedalsimulator 1 mit einem schematisch angedeuteten Bremspedal 2. Das Bremspedal 2 bzw. die Bewegung des Bremspedals 2 kann beispielsweise über eine Sensorik 3, die mindestens drei Sensoren aufweist, erfaßt werden. Es können z. B. zwei Wegsensoren und ein Kraftsensor verwendet werden. Die Ausgangssignale dieser Sensorik 3 können analoge Ausgangssignale sein. Es ist jedoch auch denkbar, daß die Sensorik insgesamt oder teilweise Digitalausgaben oder andere Ausgaben oder andere Meßgrößen erzeugt.
Diese Ausgangssignale werden pro Signal zweifach (z. B. über getrennte Leitungen) zu einem Zentralmodul 6 geführt und dort in zwei getrennten Meßkanälen erfaßt. Diese Meßkanäle können nicht dargestellte Analog-/Digital-Wandler aufweisen, die Analogsignale in Digitalsignale umwandeln können.
Es ist jedoch auch denkbar, daß die redundanten Signale des Pedalsimulators 1 lediglich einfach zum Zentralmodul 6 übertragen werden und dort jeweils auf zumindest zwei Meßkanäle aufgeteilt werden. Wenn beispielsweise drei Pedalsensoren verwendet werden, ist es günstig, die Signale auf drei getrennte Meßkanäle bzw. drei getrennte Analog- /Digital-Wandler zu führen (sofern die Pedalsensoren Analogsignale ausgeben), wobei mindestens zwei Rechner 11, 13 des Zentralmoduls 6 die gewandelten Daten erhalten. Dadurch erhalten die Rechner 11, 13 des Zentralmoduls 6 identische Eingangsdaten.
An dieser Stelle soll angemerkt werden, daß die vom Pedalsimulator 1 übertragenen Daten fehlerhaft sein können. Die Datenkonsolidierung, d.h. die Erkennung defekter Sensoren oder Hardware (z.B. des Verstärkers oder der A/D- Wandler) und die Ermittlung des Bremssollwerts erfolgt im Zentralmodul 6.
Weiterhin ist ein Datenbus 5 vorgesehen, welcher das Zentralmodul 6 mit Bremsmodulen 7 verbindet, wobei die Bremsmodule 7 jeweils ein Aktor/Rad-Paar 8, 9 enthalten. Jedes Aktor/Rad-Paar 8, 9 ist hierbei einem Fahrzeugrad zugeordnet (VR-vorne rechts, VL-vorne links, HR-hinten rechts und HL-hinten links).
Im folgenden soll nun beispielshaft eine Funktionsbeschreibung der Systemarchitektur gemäß der Figur gegeben werden .
Zusammenfassend betrifft die Erfindung Architektur-Redundanz- und Sicherheitskonzepte für elektromechanische Bremssysteme (brake by wire). Das Bremssystem enthält den Pedalsimulator 1 mit redundanter Sensorik 3, ein dreifachredundantes Zentalmodul 6 und vier Radbremsmodule 7. Die Radbremsmodule 7 bestehen aus redundanten Rechnern (Rl, Rl', R2, R2 ' , R3, R3 ' , R4 , R4 ' ) 11 einer Leistungselektronik, einem Aktor 8, aktorspezifischen Sensoren und einem zugeordneten Rad 9. Das Zentralmodul 6 und die Radmodule 7 sind mit einem doppelten Datenbus 5 verbunden. Weiterhin ist das Zentralmodul 6 in einem Gehäuse 10 des Pedalsimulators 1 integriert.
Der Fahrerbremswunsch wird im Pedalsimulator 1 mit den beispielsweise oben angeführten Sensoren ermittelt, wobei die Sensoren bevorzugt redundant und dissimilar aufgebaut sind (z.B. Pedalweg und Fußkraft). Wie ebenso oben schon angeführt ist, können nur diese Sensorsignale einfach oder doppelt zum Zentralmodul 6 übertragen werden. Die Signale werden hierbei auf mindestens zwei Meßkanäle aufgeteilt, so daß eine Redundanz auch hier erzielt werden kann.
Das Zentralmodul 6 kann zunächst derart ausgebildet sein, daß alle Funktionen (Grundbremsfunktionen, Überwachung des Pedalsimulators 1 und höhere Bremsfunktionen) auf allen Rechnern 11, 12, 13 des Zentralmoduls 6 gleich sind (diese Ausführungsform ist nicht dargestellt). Aus drei Rechenergebnissen wird über eine fehlertolerante Voter/Monitor-Struktur ein fehlerfreier Ausgangswert ermittelt. Damit ergibt sich eine fehlertolerante Struktur für diese Funktionen.
Wie in der Figur dargestellt ist, kann auch eine dissimilare Aufteilung im Zentralmodul 6 realisiert werden. Hierbei sind die höheren Funktionen (ABS, ASR, ESP usw.) nur auf zwei Rechnern 11, 13 implementiert. Die Ermittlung der Grundbremsfunktionen und die Überwachung des Pedalsimulators 1 kann auf allen drei Rechnern 11, 12, 13 implementiert sein. Alle drei Rechner 11, 12, 13 haben Zugriff auf zumindest zwei getrennte Meßkanäle (nicht dargestellt) .
Die höheren Funktionen werden durch einen nicht dargestellten Vergleicher überwacht und im Fehlerfall werden diese Funktionen in den Rechnern 11, 13 abgeschaltet, wodurch eine Fail-Silent-Funktion realisiert wird. Insbesondere sei angemerkt, daß bei einem Fehlerfall bei der Ermittlung der höheren Funktionen natürlich nicht notwendigerweise der gesamte Rechner 11, 13 abgeschaltet werden muß, sondern daß es genügen kann, nur den entsprechenden Programmteil zu deaktivieren. Die Ergebnisse der Pedalfunktionen, d.h. die Ermittlung der Grundbremsfunktionen ohne Überlagerung mit den höheren Funktionen werden durch den Voter/Monitor 4 konsolidiert und überwacht. Bei Ausfall der höheren Funktionen wird der Bremssollwert ohne eine Überlagerung durch die höheren Funktionen direkt an die Bremsmodule 7 ausgegeben.
Wenn ein Fehler nur im Bereich der höheren Funktionen auftaucht, sind nach wie vor noch drei Rechner 11, 12, 13 für eine Grundbremsfunktion zur Verfügung, wobei nach wie vor ein fehlerhafter Rechner 11, 12, 13 über den Voter/Monitor 4 isoliert und abgeschaltet werden kann. Der Voter würde beispielsweise aus den drei Ausgängen der Rechner 11, 12, 13 einen Bremssollwert auswählen. Der
Monitor würde dann überprüfen, ob das ausgewählte Signals im Vergleich zu den anderen nicht ausgewählten Signalen abweicht (sich verschlechtert oder falsch ist) und würde ein anderes Signal als ausgewähltes Signal wählen, wenn eine Abweichung ermittelt wird.
Die Notwendigkeit, bei einem Fehler zwei Rechner 11, 12, 13 abzuschalten, besteht nicht, außer bei Ausfall einer Energieversorgung Batl, Bat2. Die Zuverlässigkeit des Bremssystems ist damit gleich oder höher als mit der Rechnerstruktur mit gleicher Aufteilung, siehe oben. Dies gilt natürlich in Verbindung mit dem Vorsehen von zwei Energieversorgungen Batl, Bat2. Würden drei Energieversorgungen verwendet werden, so könnte bei einer gleichen Aufteilung (siehe oben) eine nochmalige Erhöhung der Redundanz erzielt werden.
Die Radmodule 7 können somit auch bei einem Fehler im Zentralmodul 6 aus dem empfangenen Bremssollwert eine Zuspannkraft , ein Bremsmoment oder eine äquivalente Größe ormitteln .
Die Bremsmodule 7 bestehen aus redundanten Bremsmodulrechnern 11 (Rl, Rl', R2, R2 ' , R3 , R3 ' , R4 , R4 ' ) der Leistungselektronik, dem Aktor 8 mit den aktorspezifischen Sensoren (z.B. zur Erfassung des Aktorstroms, der Aktorspannkraft und der Aktorposition) und einer redundant ausgeführten oder zyklisch testbaren Abschalteinheit 14 für die Spannungsversorgung des Aktors 8.
Die Abschalteinheit 14 ist völlig getrennt von der Leistungselektronik ausgebildet, d.h. ein Fehler in der Leistungselektronik beeinflußt die Funktion der Abschaltung
nicht. Durch die redundante Rechnerstruktur ist sichergestellt, daß ein Abschaltbefehl des Zentralmoduls 6, oder bei einem Fehler im Bremsmodul 7 der Abschaltbefehl lokal korrekt ausgeführt wird. Durch diese Struktur kann eine separate Abschaltleitung vom Zentralmodul 6 eingespart werden.
Die Redundanzschnittstelle des Bremsmoduls 7 ist fail-safe ausgebildet, d.h. das Bremsmodul 7 erfüllt seine spezifizierte Funktion oder schaltet sich im Fehlerfall selbst ab und meldet die Fehlfunktion oder verhält sich im Falle eines Rechnerfehlers still ( fail-silent ) . Eine weitere Überwachungsebene ist nicht mehr erforderlich.
Im Unterschied zur hydraulischen Bremse könnte der Aktor 8 durch eine Fehler im Bremsmodulrechner 11, der Ansteuerung oder in der Sensorik auch ohne Vorliegen eines Bremswunsches zuspannen. Durch die Fail-Safe-Struktur ist sichergestellt, daß dieser Fehler erkannt wird und der betreffende Aktor abgeschaltet wird.
Für diese Fail-Safe-Struktur ist der redundante Bremsmodulrechner 11 erforderlich, der z.B. eine Fail- Silent-Eigenschaft hat. Weiterhin ist eine analytische (Software) Redundanz für die Leistungselektronik, den Aktor und die Sensoren für den Aktor 8 vorgesehen, d.h. eine Fehlererkennung auf der Basis der aktorspezifischen Sensoren, Strom, Position und evtl. Spannkraft und dem mathematischen Modell des Aktors ist möglich. Ist die evtl. aufbereitete Differenz zwischen dem Modellausgang und den gemessenen Signalen zu groß, so kann auf einen Fehler
geschlossen werden und der Aktor 8 wird abgeschaltet. Weiterhin ist die redundant ausgeführte oder zyklisch testbare Abschalteinheit 14 in das Bremsmodul 7 integriert.
An dieser Stelle sei weiterhin angemerkt, daß die Bremsmodule 7 auch jeweils für zwei Aktor/Rad-Paare 8, 9 verwendet werden können (hierbei würde es sich dann um ein Kreismodul handeln).
Der Datenbus 5 ist doppelt ausgeführt und mit jedem Modul 6, 7 verbunden. Werden die Raddrehzahlen in den Bremsmodulen 7 lokal erfaßt (Leitung 15) und über den Datenbus 5 übertragen, werden außer der Energieversorgung keine weiteren Leitungen benötigt. Aus Kostengründen kann auch ein reduzierter Doppelbus eingesetzt werden. Der zweite Bus zu den Bremsmodulen 7 an der Hinterachse (HR, HL) kann hierbei eingespart werden. Die Sicherheit bezüglich der Bremsfunktion im Fehlerfall bleibt jedoch erhalten, da die Verbindung zu den vorderen Bremsmodulen 7 (VR, VL) doppelt ist. Gegenüber der vollständigen Doppelbus-Struktur ist jedoch beim Einfachbus ein Funktionsverlust vorhanden, der jedoch aufgrund der vorgenannten Aufteilung tolerierbar ist.
Der Datenbus kann ein CAN-Bus mit ereignisorientierter Datenübertragung sein. Es ist auch möglich ein TTP (time triggered protocol) zu verwenden, so daß ein zeitsynchrones Rechnernetz möglich ist.
Eine zentrale, synchrone Erfassung der Raddrehzahlen JRad kann wie bisher üblich im Zentralmodul 6 erfolgen. Bei einer lokalen Erfassung und Aufbereitung der Raddrehzahlen ζjRao und der Busübertragung muß in allen Bremsmodulen 7 die
Erfassung zeitsynchron erfolgen. Dies ist beispielsweise bei Verwendung eines TTP-Buses gut zu realisieren.
Als Energieversorgung sind zumindest zwei unabhängige Energieversorgungsquellen Batl, Bat2 notwendig. Bei den Bremsmodulen 7 kann die Aufteilung wie in der Figur dargestellt diagonal oder auch vorne/hinten erfolgen.
Zusammenfassend ist erfindungsgemäß ein Funktionsverlust je nach Fehler nicht vorhanden oder nur sehr gering. Nur bei einem Ausfall einer Energieversorgung Batl, Bat2 fallen zwei Bremsen aus. Hierbei würde es sich um einen Kreisausfall handeln. Ansonsten ist immer nur eine Radbremse 7 betroffen oder bei einem Ausfall des Zentralmoduls 6 maximal die höheren Funktionen bei vollem Erhalten der Grundbremsfunktionen. Ist die Funktionsaufteilung für alle drei Rechner 11, 12, 13 des Zentralmoduls 6 gleich, so hat ein Rechnerfehler gar keinen Funktionsverlust zur Folge. Ein Ausfall eines Busses des redundant ausgebildeten Datenbusses 5 hat keine Degradation zur Folge. Bei einem reduzierten Doppelbus können bei einem Bus Fehler die hinteren Bremsen HR, HL des jeweiligen Aktor/Rad-Paars 8, 9 ausfallen. Die Systemarchitektur ist so konfigurierbar, daß bei einem Fehler nie die Hinterradbremsen allein zur Verfügung stehen. Die Systemarchitektur gewährt hierbei eine hohe Bremsverzögerung in allen Fehlerfällen.
Weiterhin gewährleistet die erfindungsgemäße Systemarchitektur, daß keine Fehlerfortpflanzung auftritt. Ein Fehler kann erkannt werden, bevor er sich auf andere Funktionen oder Module auswirkt. Weiterhin liegt eine hohe EMV-Sicherheit vor, da die Störaustrahlung minimiert ist.
Die Leistungselektronik zum Ansteuern der Aktoren 8 ist im jeweiligen Radmodul 7 integriert und am oder nahe des jeweiligen Aktors 8 montiert. Weiterhin ist die Störfestigkeit hoch, besonders wenn das Zentralmodul 6 nahe am oder im Pedalsimulator 1 verbaut wird, so daß dann der analoge Signalübertragungsweg kurz ist.
Weiterhin sei angemerkt, daß die oben beschriebenen erfindungsgemäßen Funktionen und Systeme bzw. Module in jeder beliebigen Kombination alleine oder in ihrer Gesamtheit von der Erfindung umfaßt sind.