WO2001014195A1

WO2001014195A1 - Verfahren und vorrichtung zur ermittlung einer konsolidierten eingangsgrösse

Info

Publication number: WO2001014195A1
Application number: PCT/EP2000/008253
Authority: WO
Inventors: Stefan STÖLZL; Marcus BÖRNER; Rolf Isermann
Original assignee: Continental Teves Ag & Co. Ohg
Priority date: 1999-08-25
Filing date: 2000-08-24
Publication date: 2001-03-01

Abstract

Bei einem Verfahren zur Ermittlung einer konsolidierten Eingangsgröße (S0) für eine Steuerung eines Fahrzeugs aus mindestens zwei redundanten erfaßten Größen (S1, S2, S3, S4) werden die jeweiligen erfaßten Größen (S1, S2, S3, S4) in Abhängigkeit von den jeweiligen Unterschieden (r1, r2, r3, r4, r5, r6) der erfaßten Größen (S1, S2, S3, S4) zu einer oder mehreren Vergleichsgrößen (S0, S1, S2, S3, S4) und/oder in Abhängigkeit vom Inhalt eines oder mehrerer jeweiliger Fehlerzähler (FZ1i, FZ2i, FZ2i, FZ3i) für eine oder mehrere erfaßte Größen (S1, S2, S3, S4) gewichtet. Die gewichteten erfaßten Größen werden zur konsolidierten Eingangsgröße (S0) verrechnet. Es wird eine Fehlererkennung der erfaßten Größen (S1, S2, S3, S4) durchgeführt und einer oder mehrere der jeweiligen Fehlerzähler (FZ1i, FZ2i, FZ3i) erhöht und/oder die jeweilige fehlerhafte erfaßte Größe bei der Gewichtung und/oder Verrechnung und/oder Fehlererkennung nicht berücksichtigt, wenn einer oder mehrere der jeweiligen Fehlerzähler (FZ1i, FZ2i, FZ3i) einen jeweiligen Zählerschwellenwert (SWFZ1i, SWFZ2i, SWFZ3i) überschritten haben.

Description

Verfahren und Vorrichtung zur Ermittlung einer konsolidierten Eingangsgröße

Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur Ermittlung einer konsolidierten Eingangsgröße für eine Steuerung eines Fahrzeugs aus mindestens zwei redundanten erfaßten Größen, die eine hohe Ausfallsicherheit gegenüber Fehlern besitzt, wobei beispielsweise eine Bremsanlage, ein Lenkeinschlag oder ein Antriebsmotor des Fahrzeugs auf der Basis der redundanten erfaßten Größen angesteuert wird.

Aus dem Flugzeugbau ist das mechanische Entkoppeln des Steuerknüppels von den Steuerrudern als "fly-by-wire" bekannt. Entsprechend ist man auch bei Kraftfahrzeugen bemüht, z.B. das Bremspedal von der Bremsanlage, das Gaspedal von der Kraftstoffzufuhr oder das Lenkrad von dem Getriebe mechanisch zu entkoppeln und ein entsprechendes "brake-by- wire"-, "throttle-by-wire"- oder "shift-by-wire"-Prinzip einzuführen. Dabei wird der Fahrerwunsch, d.h. z.B. die Betätigung des Bremspedals durch den Fahrer über Sensoren meßtechnisch erfaßt und daraus eine Bremskraft zur Ansteue- rung der Radbremsen ermittelt. Da die Bremswirkung einer Bremsanlage z.B. abhängig vom ermittelten Bremswunsch ist, darf im Fehlerfall der Bremswunscherfassung, insbesondere im Fehlerfall der Sensorik oder der Elektronik selbst keine ungewollte Bremswirkung eingestellt werden. Deshalb wird z.B. der Bremswunsch des Fahrers jeweils unabhängig voneinander durch wenigstens zwei Meßeinrichtungen erfaßt, die die Bremspedalbetätigung charakterisierende Größen redundant erfassen.

BESTATIGUNGSKOPIE In der DE 198 41 335 AI werden mindestens zwei Meßeinrichtungen zur Ermittlung des Bremswunsches eingesetzt, die dieselbe die Bremspedalbetätigung charakterisierenden Größen erfassen, wobei diese Bremswunschsignale mit einem Signal einer dritten Meßeinrichtung zwecks der Überwachung der Bremswunschmeßeinrichtungen miteinander verglichen werden. Die Signale der beiden Meßeinrichtungen werden miteinander verglichen, und wenn die Differenz zwischen diesen beiden größer als eine Schranke ist, wird auf einen fehlerhaften Sensor geschlossen. Dieser Sensor wird durch den Vergleich mit dem Signal der dritten Meßeinrichtung lokalisiert. Das als fehlerhaft erkannte Sensorsignal wird durch das Signal der dritten Meßeinrichtung ersetzt, und das endgültige Signal zur Ermittlung der Bremskraft durch Bilden des Mittelwertes über beide fehlerfreien Signale oder durch Auswählen des fehlerfreien Signales selbst ermittelt.

Das dort vorgestellte Verfahren hat jedoch den Nachteil, daß nur ein einziger Fehler erkannt bzw. lokalisiert werden kann. Treten jedoch zwei Fehler auf, da z.B. zwei Meßeinrichtungen oder Sensoren gleichzeitig fehlerhaft sind, so sind diese Fehler entweder nicht zu erkennen oder nicht zu lokalisieren. Des weiteren führen einmalige Fehler aufgrund von Peaks, d.h. z.B. von Meßwertausreißern, zur sofortigen Abschaltung des fehlerhaften Sensors, auch wenn dieser danach wieder fehlerfrei arbeitet. Dieses führt außerdem zu Sprüngen in dem ermittelten Bremswunsch, da ein Wechsel von einem zum anderen Sensor stattfindet.

in "Broen, R.B.: Performance of Fault Tolerant Estimators in a Noisy Environment, AIAA Guidance and Control Conference, Boston, Massachusetts, August 20-22, 1975" und "Broen, R.B.: New Voters for Redundant Systems, Journal of Dynamic Systems, Measurement, and Control, March 1975" sind verschiedene Auswahleinrichtungen, im folgenden Voter ge- nannt, beschrieben, die aus redundanten Signalen ein einziges Ausgangssignal bestimmen. Erwähnt sind unter anderem eine Mittelwertbildung aus den redundaten Signalen, die Auswahl eines der redundanten Signalen durch den Median- Voter und eine gewichtete Mittelwertbildung aus den redundanten Signalen nach der Gleichung

mit den redundanten Eingangssignalen v_x , v₂, v₃ den Gewichten w_x, w₂, w₃ und dem Ausgang V_out , wobei eine Möglichkeit zur Bestimmung der Gewichte gemäß folgender Gleichung angegeben wird:

Die Gleichungen (1) und (2) sind entsprechend auch auf mehr als drei redundante Signale erweiterbar. Des weiteren wird für den Fall von vier oder mehr redundanten Signalen vorgeschlagen, dann, wenn ein Gewicht länger als eine vorgegebene Zeitdauer kleiner als ein Toleranzwert ist, das entsprechende, somit als fehlerhaft erkannte Signal nicht weiter zu berücksichtigen und die Auswahl nur noch über die übrigen redundanten Signale durchzuführen, d.h. den Redundanzgrad um einen zu erniedrigen. Aufgabe der Erfindung ist es, ein Verfahren und eine Vorrichtung zur Ermittlung einer konsolidierten Eingangsgröße für eine Steuerung eines Fahrzeugs aus mindestens zwei redundanten erfaßten Größen anzugeben, die ausfallsicherer als bisher sind.

Diese Aufgabe wird mit den Merkmalen der unabhängigen Ansprüche gelöst. Abhängige Ansprüche sind auf bevorzugte Ausführungsformen der Erfindung gerichtet.

Erfindungsgemäß können mindestens zwei redundante erfaßte Größen oder Signale in Abhängigkeit von den jeweiligen Unterschieden dieser Größen zu einer oder mehreren Vergleichsgrößen gewichtet werden. Die gewichteten erfaßten Größen können dann zur konsolidierten Eingangsgröße verrechnet werden. Unter Konsolidierung wird hierbei verstanden, daß ein. fehlerhafter Sensorwert bzw. eine fehlerhafte erfaßte Größe so korrigiert, überdeckt bzw. vernachlässigt wird, daß das endgültige Sensorsignal bzw. die konsolidierte Eingangsgröße sozusagen fehlerfrei ist.

Weiterhin kann eine Fehlererkennung der erfaßten Größen durchgeführt werden. Unter Fehlererkennung wird hier eine Erkennung und/oder Lokalisierung, d.h. eindeutige Erkennung, einer oder mehrerer Fehler verstanden. Bevorzugt wird die eindeutige Erkennung eines Fehlers angestrebt, was aber nicht in allen Fällen möglich ist. Ist dieses nicht möglich, so kann diese Unmöglichkeit zumindest festgestellt werden und entsprechende Schritte durchgeführt werden. Näheres dazu später.

Außerdem kann einer oder mehrere jeweilige Fehlerzähler für eine oder mehrere als fehlerhaft erkannte erfaßte Größen erhöht werden, d.h. eine entsprechende FehlerZählung durchgeführt werden. Hat einer oder mehrere der jeweiligen Fehlerzähler einen jeweiligen Zählerschwellenwert überschritten, so kann die jeweilige fehlerhafte erfaßte Größe bei der Gewichtung und/oder Verrechnung und/oder Fehlererkennung nicht weiter berücksichtigt werden. Dieses kann kurzzeitig oder auch langfristig geschehen. Die jeweiligen erfaßten Größen können in Abhängigkeit vom Inhalt eines oder mehrerer jeweiliger Fehlerzähler für eine oder mehrere erfaßte Größen gewichtet werden. Dadurch ist es möglich, Sprünge im konsolidierten Eingangssignal zu vermeiden und einen fehlerhaften Sensor bzw. ein entsprechendes Signal langsam auszublenden. Durch die Berücksichtigung von Zählerschwellenwerten für die Fehlerzähler bei der Beurteilung, ob eine redundante Größe bzw. ein redundantes Signal ausgeblendet werden soll, können kurzzeitig auftretende Fehler abgefangen werden, so daß sie nicht zu einer vollständigen Ausblendung des entsprechenden Sensors bzw. des Sensorsignales führen.

Vorzugsweise repräsentieren die erfaßten Größen einen Fahrerwunsch zur Bremsung und/oder Beschleunigung und/oder Lenkung des Fahrzeugs ( "steer-by-wire"-Prinzip) . Insbesondere können die Sensoren einen Bremspedal- bzw. Lenkweg und/oder die Bremspedal- bzw. Lenkgeschwindigkeit und/oder die Bremspedal- bzw. Lenkbetätigungskraft und/oder die Bremspedal- bzw. Lenkbeschleunigung und/oder den Bremspedal- bzw. Lenkwinkel erfassen. Werden hierbei unterschiedliche Größen wie z.B. ein Weg und eine Kraft erfaßt, so ist es vorteilhaft, diese in miteinander vergleichbare Größen umzuformen. Dieses kann über vorgegebene mathematische Modelle erfolgen.

Mit der Erfindung kann eine hohe Sicherheit bei der Ermittlung z.B. eines Fahrerwunsches auch im Falle fehlerhafter Signale bzw. Größen erreicht werden. Verschiedene Ausführungsformen der Erfindung werden nun beispielhaft mit Bezug auf die beigefügten schematischen Zeichnungen näher erläutert. Es zeigen:

Fig. 1 ein Blockschaltbild einer Anwendungsmöglichkeit der erfindungsgemäßen Vorrichtung in einer Bremsanlage,

Fig. 2 eine Grafik, die die Unterschiede rl bis r6 zwischen den jeweiligen Sensorsignalen Sl bis S4 darstellt,

Fig. 3 ein Blockschaltbild einer erfindungsgemäßen Ausführungsform,

Fig. 4 ein Blockschaltbild einer weiteren erfindungsgemäßen Ausführungsform,

Fig. 5 ein Blockschaltbild einer erfindungsgemäßen Ausführungsform für eine Bremsanlage eines Fahrzeugs,

Fig. 6 ein Zustandsdiagramm einer erfindungsgemäßen Ausführungsform,

Fig. 7 ein Flußdiagramm eines erfindungsgemäßen Verfahrens zur Ermittlung einer konsolidierten Eingangsgröße,

Fig. 8 ein Flußdiagramm zur Verdeutlichung des Ablaufes einer Fehlerzähleranpassung, und

Fig. 9 ein Flußdiagramm zur Darstellung des Ablaufes einer Rekonfiguration .

Fig. 1 zeigt beispielhaft eine erfindungsgemäße Vorrichtung 100, der vier Sensorsignale Sl, S2, S3 und S4 sowie zwei Bremspedalschaltersignale XI und X2 zugeführt werden. Jedes Sensorsignal Sl bis S4 kann dabei repräsentativ für die Bremspedalbetätigung sein, d.h. z.B. für die Bremspedalstellung oder die Betätigungskraft. Die Sensoren oder Meßeinrichtungen können dabei jeweils eine andere repräsentative Größe erfassen oder auch jeweils dieselbe oder auch kombiniert. Es können auch vorzugsweise jeweils zwei Sensoren in einer Einheit oder einem Gehäuse zusammengefaßt werden. Dann können die Einheiten jeweils unabhängig voneinander mit einer Energieversorgung wie z.B. einer Batterie oder einem Akku versehen sein. Die Schaltersignale XI und X2 können z.B. von Bremslichtschaltern ausgegeben werden, die z.B. bei einer Betätigung des Bremspedals ein entsprechendes Signal an die Bremslichter weitergeben. Anhand der Schaltersignale kann dann festgestellt werden, ob überhaupt eine Bremspedalbetätigung, d.h. ein Bremswunsch vom Fahrer vorliegt. Die Anzahl der Sensorsignale und Schaltersignale ist in den Figuren nur beispielhaft dargestellt. Sie kann je nach Bedarf variiert werden.

Gemäß Fig. 1 wird aus den vier Sensorsignalen Sl bis S4 mit der erfindungsgemäßen Vorrichtung 100, ggf. unter Berücksichtigung der Schaltersignale XI und X2 , ein konsolidiertes Signal SO ermittelt, das einer Bremskraftermittlungseinrichtung 101 zugeführt wird, die daraus auf bekannte Weise eine Sollbremskraft FBsoll ermitteln kann. Die Sollbremskraft FBsoll wird dann einem Modul 102 zur Ansteuerung von Radbremsen zugeführt. Die Sensorsignale Sl bis S4 können ebenso wie die Schaltersignale XI und X2 mit Fehlern behaftet sein. Diese können in der erfindungsgemäßen Vorrichtung 100 erkannt bzw. lokalisiert werden, um dann in geeigneter Weise möglichst wenig zum konsolidierten Eingangssignal SO beizutragen.

Zur Fehlererkennung können die Sensorsignale Sl bis S4 jeweils zunächst daraufhin überprüft werden, ob sie innerhalb eines Plausibilitätsbereiches BPl liegen. Stellt ein Sensorsignal z.B. eine Spannung dar, so kann diese technisch z.B. nur in einem Bereich zwischen einem Minimalwert von 0V und einem Maximalwert von 5V liegen. Der Plausibilitätsbe- reich BPl könnte dann z.B. in Bereich zwischen 10% und 90% vom Maximalwert liegen. Liegt das Sensorsignal außerhalb dieses Bereiches, so liegt z.B. ein Kabelbruch vor, d.h. das Signal ist fehlerhaft. Dieses Signal bzw. der zugehörige Sensor können dann sofort ausgeblendet, d.h. nicht weiter berücksichtigt werden.

Weiterhin können die Sensorsignale Sl bis S4 mit einem oder mehreren Vergleichssignalen verglichen werden, um festzustellen ob sie fehlerhaft sind. Wird z.B. davon ausgegangen, daß sich der Betätigungsgrad des Bremspedals nicht schneller als eine vorgegebene Geschwindigkeit ändern kann, so können die Sensorsignale Sl bis S4 z.B. mit dem zuvor ermittelten konsolidierten Eingangssignal SO verglichen werden. Liegen die jeweiligen Unterschiede bzw. die Beträge der Unterschiede der einzelnen Sensorsignale Sl bis S4 zum vorherigen konsolidierten Eingangssignal SO unterhalb eines jeweiligen ersten Fehlertoleranzwertes FTli, i = 1 bis 4, so kann davon ausgegangen werden, daß die Sensorsignale fehlerfrei sind. Andernfalls kann entsprechend auf einen Fehler eines oder mehrerer jeweiliger Sensorsignale geschlossen werden.

Eine weitere Möglichkeit zur Fehlererkennung besteht darin, die Sensorsignale Sl bis S4 jeweils untereinander zu vergleichen, überschreiten die jeweiligen Unterschiede bzw. deren Beträge einen jeweiligen zweiten Fehlertoleranzwert FT2j, j = 1 bis 6, so kann auf einen entsprechenden Fehler geschlossen werden. Dieses soll anhand von Fig. 2 verdeutlicht werden. Dort sind vier unterschiedliche Sensorsignale Sl, S2, S3 und S4 über der Zeit dargestellt. Zum Zeitpunkt N Φ ? s 03 f P /3 rt φ φ rt P 03 rt » α P P P P P P α tr ^

• P OJ o φ Φ φ Φ P- P- l φ φ 3 P- Φ φ φ rt 0 φ Φ P- σi LΠ *- J to i— ' P- N w 3 3^" P 3 3 p. φ 3 3 « 3 P 3 3 Φ 03 Φ Φ £. ≤

• OJ 3 P- cn r+ c iQ 03 α Φ Φ σ P- II II II II II II 03 . Φ

3 rt 3 Φ 0 0 Φ rt 0 ^ Φ P H tr P Φ α ö Φ P

W 3 ιQ 3 0: P \-^> 3 P φ P- c Φ N rt OJ P- c P- Ü3 C 3 Λ C 3 C 3 U3 α

P ri- $, Φ 3 03 Φ 3 03 3" Φ rt JO tr , 3 rt Φ Hi OJ N) NJ H- ' h- ' H-¹ Φ Φ Φ

Φ _^ Φ ua 3 P- P OJ C P- t-" P- Φ P • N P 3 Hi P P 3

3 P Φ P- Φ ua 0⁾ c P ua Φ N u 03 φ Φ *. OJ Φ 1 1 1 1 1 1 ua Φ co OJ α 3 φ 3 3 3 03 3 P c P- P s: P Φ ιQ σ P Φ 3 P- σ Φ . J N Φ OJ rt Φ 3" Φ P Φ Φ Φ C/3 C/3 C/3 CΛ n CD tr 3^J

P- ro 3 α Φ o P- o φ P c OJ Φ rt 3 N 3 J_. 0_. OJ >pi OJ Φ w P

O P . P- φ H Φ P 3 03 P- x Φ Hi Ω 3 Φ •« φ N 3 Φ Φ

3" Φ 3 03 rt • Φ 3 OJ 3 rt 3" 03 P- Φ rt c+ 3 H w rt u Φ » Ü3 P Φ 3 Φ X Ω 3 03 P ≤

03 P- 3 co o Φ 03 _^ Φ h- ^■ OJ 3 3 Hi P- 03 ^ OJ 3" P- OJ: Φ o O φ P N cn OJ 03 3 rt Φ 03 Φ H 3 3 N Ω ua P ^" 3" 3 ω . Ω ^ - — - P- N w 03 rt < to 3 Φ S ^* Φ rt

0⁾ rt Φ ω P- tü 3" Pl α DJ: φ rt • 0 Ω rt P- Φ

3 O ιQ • t> c c P Φ 3 Φ ua 3 tr σ • 03 N P f+ P 3 0 1_J. 3 c: Φ P 03 P Φ σ φ Φ Ω • i-¹ Φ π> o C: ω 0⁾ 3 03 rt 3 3 rt o 03 P- α P c P- σ 3" ω _^ P

P ; r P- C 03 Φ P Φ rt Φ Φ P OJ Φ . Hi

03 OJ P ua φ P Φ 03 P σ ^ 03 3 Φ 03 3 Ω G: 3 P 0>

P- P- 3 3 o 3' N P- ι^ P- *>» φ 0 tr σ N OJ ba

U3 P- i-3 OJ ω OJ £ Φ KJ ua 03 Φ 3 Φ c α c <_* rt

3 tn Φ OJ 03 • <_ι. 3 s: rt 3 φ P Φ 03

OJ P- 3 φ 03 φ P- σ N J Φ rt P- 03 Φ 3 P C I t-¹ φ C P 3 α c C: 3 Z OJ 03 Φ 3 Ω P- Hi OJ 3 > P ^ cn 3 fö Φ yQ σ 3 Φ 3 ^• 3 - 3 Λ 0 _^« rt : C φ Φ Φ 03 Φ φ yQ P 3 P » P Φ Φ

3 ω 3 03 03 3^" P Φ α Φ σ φ Φ 3 3 yQ P Φ I

P- s c σ> P- _^ OJ Φ O: 03 ^" P- Φ Ω Φ 03 P- 03 Φ .t* 3

(+ Φ 3 t 3 N 3 P Ω 0: Φ 3 c 3^" P- P- rt » o 3 _"^ rt

P 3 c 3 c P- ^" P . P Φ α Φ φ P 03 σ J c P- iQ ω a P Φ <_ι. Ω 3 Φ c 3 03 03 φ P Ό

CD Φ cn 3 Φ OJ Φ Φ Φ Φ 3 Φ td " α 3 c P- P- P LΠ P ι-i 3 OJ 4^ ω Φ C ¹ rt 3 P- «_* £ P- Φ 3 Φ α ua Φ

C: • 3 P P- Hi 0: P rt Φ 3 a 3 φ P- c 3 o C Ω

Ω 13 OJ Hi

3 P OJ ϊö Φ α P- Φ 3 3 3 C- OJ 3 3^*

; tc φ N P- iQ Φ 3 Φ P¹ i P σ rt 0 Φ 3 P-¹ φ α Φ

03 P- Φ 03 3" Hi Φ ι£» 03 3 P- φ c- Φ 03 Ω 03 φ P- 3

P- Φ P- Φ c φ Φ < P- ua ^" Ω P- S 3" N 3 Ω P α o P 3 l-h Φ 3 rt P- 3 o H __ι. Φ ? α P N 3" <Tι Φ

3" tr Φ P P- 3 c 3 Φ 3 φ 0) Φ Φ 3 £ Φ s: C

<+ Φ ^ tr " Φ ua Hi N Φ 5S P P- 3 Ω P- φ P- φ 3 φ σ

P- P- φ OJ P Φ Z α 3 \ Φ Ω 3" Ω P- P ιθ. P P- ua 3" φ Hi Hl φ tr Φ Φ OJ P- P T ^* n Φ " rt ω α .. 3 Hi f+ ? P rt P P P- 3 P Φ OJ rt φ 3 rt Φ φ Φ P- Hi

0: Φ Hi Φ X φ rt t- ' P- P- 3 P- 3 α 3 3 3 rt Φ

£3 P P Φ P- J H Φ 03 _^ Φ yQ 3 ua 03 Φ Hi 03 rt P

Φ 3 Φ P *_* 3 tr 3 φ Φ » c o 3 Φ ^ 0 OJ Φ Φ

P φ N P- 3 OJ Ω P 3 Φ 03 3 P 03 Φ P c 3 α 3 s OJ 03 rt Hi ^ 3" Φ 03 0 ua 03 Ui rt ^" 03 Ω rt N

Φ D Φ 3 o rt Φ 03 03 N P- 3 P- Φ ua P- 3" • Φ

3 P P 3 φ 3" c Z P- αa 3 Φ Φ ua 3 1 rt Φ 1 3 Φ c rt φ 3 03 1 P 3 OJ _*—_* P Φ P- 1 P- 0 1 OJ CO 3 1 1 1 1 1 1 03

um z.B. zu erkennen, ob ein Bremswunsch vorliegt. In Fig. 2 weicht z.B. das Sensorsignal S4 in erheblichem Maße von den übrigen Sensorsignalen Sl, S2 und S3 ab. Dieses zeigt sich in den großen Beträgen der Residuen r3, r5 und r6 im Vergleich zu den übrigen Residuen rl, r2 und r4. Somit wird entsprechend Fig. 2 der Sensor bzw. das Sensorsignal S4 als fehlerhaft erkannt.

Es gibt verschiedene Möglichkeiten, aus Sensorsignalen bzw. erfaßten Größen ein konsolidiertes Signal SO zu ermitteln. Die einfachste besteht darin, den Mittelwert aus den Sensorsignalen zu bestimmen. Dieses bedeutet, daß jedes Sensorsignal gleich gewichtet wird. Hierdurch kann der Einfluß eines fehlerhaften Signals verringert, d.h. herausgemittelt werden. Ein derartiges Verfahren ist mit wenig Aufwand implementierbar, da es eine sehr einfache Struktur besitzt. Da hier kein spezielles Signal als konsolidiertes Signal ausgewählt wird, treten auch keine Sprünge bzw. Transienten in dem konsolidierten Signal durch einen Wechsel von einem Sensorsignal auf ein anderes auf. Da jedoch jedes fehlerhafte Signal zum gleichen Anteil wie die fehlerfreien Signale eingeht, ist das konsolidierte Signal im Fehlerfall sehr ungenau. Dieses Verfahren kann dann angewendet werden, wenn ein Fehler nicht eindeutig erkannt werden kann.

Eine weitere Möglichkeit besteht darin, einen Median-Voter zu verwenden. Bei diesem Verfahren werden die Sensorsignale der Größe nach d.h. der Höhe ihres Wertes nach sortiert. Danach wird der mittlere Werte als konsolidiertes Signal ausgewählt. Im Falle einer geraden Anzahl von Signalen kann z.B. ein sog. zusätzliches Nullsignal hinzugefügt werden. Es wird dann wiederum der Größe der Singale bzw. der Werte nach sortiert und der mittlere Wert ausgewählt. Bei der Anwendung eines Auswahl-Median-Voters kann zunächst das Sensorsignal, das die größte Abweichung von den übrigen Sen- sorsignalen aufweist, nicht weiter beachtet werden. Von den verbleibenden Sensorsignalen kann der Mediän ausgewählt werden.

Bei einem Mehrheits-Voter werden alle Sensorsignale miteinander verglichen, d.h. z.B. die Residuen gebildet. Eine Fehlererkennung kann dabei wie oben beschrieben durch Vergleich der Residuen mit einem jeweiligen zweiten Fehlertoleranzwert FT2j erfolgen. Die zweiten Fehlertoleranzwerte FT2j, die vorzugsweise gleich sind, können so vorgegeben sein, daß die Fehlererkennung auch bei mit Rauschen überlagerten Signalen möglich ist. Aus den als fehlerfrei erkannten Signalen kann dann ein Mittelwert gebildet werden. Kann dabei kein Fehler eindeutig erkannt werden, so kann aus allen Signalen der Mittelwert gebildet werden.

Eine weitere vorteilhafte Möglichkeit, aus mehreren Sensorsignalen ein konsolidiertes Signal zu bilden, besteht in der Gewichtung jedes einzelnen Sensorsignals in Abhängigkeit von vorgegebenen Sensorsignalen (Gewichtungsfaktoren- Voter). Die Gewichtungsfaktoren für die einzelnen Sensorsignale hängen dabei z.B. von den jeweiligen Residuen, d.h. von den jeweiligen Differenzen eines Sensorsignals zu den übrigen Sensorsignalen ab. Dabei kann sich das konsolidierte Signal SO anhand der folgenden Gleichungen aus den Sensorsignalen Sl, S2, S3 und S4 ermitteln lassen:

dl • Sl + d2 • S2 + d3 • S3 + d4 • S4

SO = (4) dl + d2 + d3 + d4

mit den Gewichten dl, d2 , d3 , d4 :

dl =

(r rll X (r r-2? X (r r3-l λ²

X + a (5)

Hierbei stellen rl bis r6 die jeweiligen Residuen aus Gleichung (3) sowie a und b geeignete Skalierungsfaktoren dar. In einer vorteilhaften Ausführungsform können die Faktoren a und b gleich 1 sein. Durch den Nenner der Gleichung (4) wird eine Normierung der einzelnen Gewichtungsfaktoren dl bis d4 erreicht, so daß ihre Summe gleich 1 wird. Daher kann der Nenner auch entfallen, wenn keine Normierung erforderlich ist.

Die obigen Gleichungen (3), (4) und (5) können auch entsprechend auf drei Sensorsignale verringert bzw. auf mehr als vier Sensorsignale erweitert werden. Der Gewichtungs- faktorenVoter basiert auf einer gewichteten Mittelwertberechnung. Dabei können die Gewichte di so adaptiert werden, daß das sich daraus ergebende konsolidierte Signal SO hauptsächlich aus denjenigen Signalen bzw. Werten zusammensetzt, die dicht beieinanderliegen, d.h. nur geringe oder keine Unterschiede aufweisen. Gleichung (5) gibt eine Möglichkeit zur Ermittlung der Gewichte an. Andere bekannte Möglichkeiten, wie sie z.B. in "Broen, R.B.: Performance of Fault Tolerant Estimators in a Noisy Environment, a.a.O" und "Broen, R.B.: New Voters for Redundant Systems, a.a.O" angegeben sind, sind ebenfalls denkbar. Der Parameter a gibt an, wie "stark" die Gewichtung auf Abweichungen der einzelnen Signale Sl bis S4 voneinander reagiert. Ist der Unterschied zwischen den einzelnen Signalen sehr klein, so werden alle Gewichte dl bis d4 in etwa gleich groß, so daß sich aus dem Gewichtungsfaktoren-Voter ein Mittelwert-Voter ergibt. Je größer der Unterschied eines fehlerhaften Sensorsignals zu den übrigen Sensorsignalen ist, um so kleiner wird das entsprechende Gewicht di. Der Gewichtungsfaktoren-Voter ist in der Lage, einen fehlerhaften Sensor bzw. ein fehlerhaftes Sensorsignal allmählich auszublenden. Wenn ein Sensorsignal wegdriftet, wird es das Endergebnis immer weniger verfälschen. Dieser Voter arbeitet transientenfrei, so daß es nicht zu plötzlichen Sprüngen im konsolidierten Signals kommt.

Entsprechend ist es auch denkbar, den jeweiligen Unterschied der einzelnen Sensorsignale zu dem vorherigen konsolidierten Signal SO, z.B. zu dem konsolidierten Signal des letzten Abtastschritts anstelle der Residuen oder zusätzlich zur Ermittlung der Gewichte heranzuziehen.

Eine weitere Verbesserung läßt sich erzielen, indem die Fehlerhäufigkeit und/oder Dauer der Fehler bei der Gewichtung der einzelnen Sensorsignale Sl bis S4 berücksichtigt werden. In Fig. 3 ist ein Residuenermittlungsmodul 300 gezeigt, dem vier Sensorsignale Sl, S2, S3 und S4 zugeführt werden. Das Residuenermittlungsmodul 300 gibt sechs Residuen rl bis r6 an ein Fehlerzähleranpassungsmodul 301 weiter das mehrere Fehlerzähler enthalten kann, die die Fehlerhäufigkeit und/oder Fehlerdauer der einzelnen Sensorsignale Sl bis S4 zählen können. Es können z.B. drei Fehlerzähler je Sensor bzw. Sensorsignal vorhanden sein.

Ein erster jeweiliger Fehlerzähler FZli, ein sog. Fehlerdauerzähler kann z.B. zählen bzw. messen, wie lange ein entsprechendes fehlerhaftes Signal andauert. Ein jeweiliger zweiter Fehlerzähler FZ2i kann z.B. zählen, wie häufig ein Fehler eines jeweiligen Sensorsignals während einer Fahrt auftritt. Während der erste Fehlerzähler FZli z.B. zurückgesetzt werden kann, wenn das Signal wieder fehlerfrei ist, kann der zweite Fehlerzähler FZ2i am Ende einer Fahrt und/oder am Anfang einer Fahrt zurückgesetzt werden. Der erste Fehlerzähler FZli kann ebenfalls zusätzlich am Ende bzw. zu Beginn einer Fahrt wieder zurückgesetzt werden.

Ein dritter Fehlerzähler FZ3i, ein sog. Servicefehlerzähler kann für jeden Sensor die Anzahl der Fahrten z.B. nach der letzten Inspektion bzw. Reparatur zählen, bei welcher der Sensor als ausgefallen bzw. fehlerhaft eingestuft wurde, der dritte Fehlerzähler FZ3i kann z.B. um einen vorgegebenen Wert erhöht werden, wenn der entsprechende zweite Fehlerzähler FZ2i bei Fahrtende bzw. auch schon während der Fahrt größer als ein zugehöriger zweiter Zählerschwellenwert SWFZ2i ist. Die Erhöhung kann z.B. 2 betragen. Dahingegen kann der dritte Fehlerzähler FZ3i nach einer fehlerfreien Fahrt, d.h. bei einem fehlerfreien Sensorsignal während der Dauer einer Fahrt, beispielsweise um 1 erniedrigt werden. Die Werte der Erhöhung bzw. Erniedrigung des Servicefehlerzählers können jedoch auch gleich oder andere Werte annehmen. Bei einer Reparatur kann dann der Servicefehlerzähler wieder zurückgesetzt werden. Damit kann der Sensorzustand zwischen den Service- bzw. Inspektionsintervallen über einen längeren Zeitraum beobachtet werden.

Das Fehlerzähleranpassungsmodul 301 kann dann entsprechend die jeweiligen Fehlerzählerwerte FZl(Sl) bis FZ3(S4), die in dem Modul in Abhängigkeit von den Fehlern der jeweiligen Sensorsignale angepaßt werden, an ein Konsolidierungsmodul 302 ausgeben, das außerdem die Sensorsignale Sl bis S4 erhält. Dieses Modul kann z.B. die einzelnen Gewichte dl bis d4 in Abhängigkeit von den jeweiligen Fehlerzählerwerten und/oder den Residuen rl bis r6 ermitteln. Dieses kann z.B. gemäß der folgenden Gleichungen durchgeführt werden:

FZli FZ2i FZ3i di Z = 1 , i = 1...n (6)

SWFZli SWFZ2i SWFZ3i

di* = di • diFZ , (7)

so =

i = l

Hierbei stellt diFZ den aufgrund der Fehlerzähler, di den Gewichtungsfaktoranteil aufgrund der Residuen und di den Gesamtgewichtungsfaktor dar. i bezeichnet jeweils die Nummer des entsprechenden Sensorsignals, wobei n Sensorsignale berücksichtigt werden. Das konsolidierte Signal SO läßt sich dann entsprechend Gleichung (8) ermitteln. Hierbei stellt der Nenner wiederum eine Normierung der einzelnen

^•k

Gewichte di dar, so daß diese z.B. einen Wertebereich von 0 bis 1 annehmen können. Ist keine Normierung erwünscht bzw. erforderlich, so kann der Nenner der Gleichung (8) weggelassen werden.

Es ist ebenfalls denkbar, in Gleichung (6) eine Gewichtung der einzelnen Fehlerzähleranteile einzuführen. So kann z.B. der Fehlerdauerzähler FZli ein größeres Gewicht erhalten als der Servicefehler FZ3i oder der zweite Fehlerzähler FZ2i. Die jeweiligen Fehlerzählerschwellenwerte SWFZli, SWFZ2i und SWFZ3i für den ersten, zweiten und dritten Fehlerzähler FZli, FZ2i, FZ3i stellen z.B. erlaubte Werte oder Bezugswerte für die Fehlerzähler dar. Hierbei kann darauf geachtet werden, daß der jeweilige Fehlerzählerge- wichtungsfaktor diFZ keine negativen Werte annimmt. Dieses kann z.B. dadurch kontrolliert werden, daß der Fehler- zählergewichtungsfaktor diFZ mit einem Minimalschwellenwert verglichen wird, den er nicht unterschreiten darf. Dieser Wert kann z.B. 0,25 betragen, was sich in einem Mikrokon- troller gut implementieren läßt. Wird der jeweilige Faktor diFZ kleiner als dieser Minimalschwellenwert, so kann er z.B. gleich dem Minimalschwellenwert gesetzt werden.

Die Fehlerzähler FZli, FZ2i, FZ3i können auch dazu verwendet werden, einzelne fehlerhafte Sensorsignale ganz auszublenden. Dieses kann z.B. erfolgen, wenn ein Sensorsignal zu lange, zu häufig oder während zu vieler Fahrten ausgefallen ist. Dann kann z.B. die Konsolidierung nur auf den übrigen Sensorsignalen basieren. Der oder die fehlerhaften Sensorsignale werden dann z.B. während der ganzen Fahrt ausgeblendet bzw. nicht berücksichtigt. Dieses Verfahren kann z.B. das in Fig. 4 dargestellte Rekonfigurationsmodul 400 durchführen. Die übrigen in Fig. 4 dargestellten Module und Signale entsprechen denen der Fig. 3 und werden nicht weiter beschrieben. Das Rekonfigurationsmodul 400 ist zwischen das Fehlerzähleranpassungsmodul 301 und das Konsolidierungsmodul 302 geschaltet. Es empfängt von dem Fehlerzähleranpassungsmodul 301 die jeweiligen Fehlerzählersignale FZl(Sl) bis FZ3(S4) und kann dann z.B. entsprechende Zu- standssignale ZF1 bis FZ4 an das Konsolidierungsmodul 302 weitergeben. Die Zustandssignale ZF1 bis FZ4 können dem Konsolidierungsmodul 302 vermitteln, welche Sensorsignale Sl bis S4 fehlerhaft sind bzw. nicht berücksichtigt werden sollen.

In dem in Fig. 4 dargestellten Ausführungsbeispiel werden die Gewichte für die einzelnen Sensorsignale nicht in Abhängigkeit von den Werten der einzelnen Fehlerzähler ermittelt. In einer vorteilhaften Ausführungsform kann dieses jedoch vorgesehen sein und so ausgeführt sein, daß z.B. das Konsolidierungsmodul 302 ebenfalls die Fehlerzählersignale FZl(Sl) bis FZ3(S4) von dem Fehlerzähleranpassungsmodul 301 erhält .

Die Ausblendung eines Sensorsignals kann z.B. dann entschieden werden, wenn ein Fehlerzähler FZli, FZ2i, FZ3i seinen entsprechenden Schwellenwert SWFZli, SWFZ2i, SWFZ3i überschritten hat. Die einzelnen Schwellenwerte können jeweils unterschiedliche Werte annehmen. Die Schwellenwerte für den ersten Fehlerzähler FZli haben vorzugsweise denselben Wert, ebenso wie die der zweiten Fehlerzähler FZ2i und die der dritten Fehlerzähler FZ3i, so daß es nur einen ersten Zählerschwellenwert SWFZl, einen zweiten Zählerschwellenwert SWFZ2 und einen dritten Zählerschwellenwert SWFZ3 gibt. Es ist aber auch denkbar, einen Sensor bzw. ein Sen-

"k sorsignal auszublenden, wenn ein Gewicht di bzw. di für eine vorgegebene Zeitdauer oder mit einer vorgegebenen Häufigkeit einen zugehörigen Gewichtsschwellenwert unterschritten hat.

In Fig. 5 ist eine erfindungsgemäße Ausführungsform gezeigt, bei der auch Bremspedalschaltersignale XI, X2 berücksichtigt werden. Ein Pedalmodul 500 umfaßt Sensoren zur Erfassung der Sensorsignale Sl bis S4 sowie Bremspedalschalter zum Ausgeben der Bremspedalschaltersignale XI und X2. Die Sensorsignale Sl bis S4 und die Bremspedalschaltersignale XI und X2 werden von dem Pedalmodul 500 an ein Schalterfehlererkennungsmodul 501 ausgegeben. Dieses kann zunächst überprüfen, ob die Bremspedalschalter bzw. die Pedalsignale XI, X2 fehlerbehaftet sind. Dieses kann z.B. durch einen Vergleich mit einem idealen Schaltpunkt für den jeweiligen Schalter durchgeführt werden. Stimmt der Schaltpunkt, d.h. der Zeitpunkt bzw. der Zustand, bei dem der Schalter eine Betätigung des Bremspedals anzeigt, innerhalb eines bestimmten Toleranzbereiches mit einem Referenzschaltpunkt überein, so ist der entsprechende Bremsschalter bzw. das zugehörige Bremsschaltersignal fehlerfrei. Der Referenzschaltpunkt kann dabei aus allen intakten, d.h. fehlerfreien Sensoren gebildet werden. Hierfür kann z.B. das konsolidierte Signal SO verwendet werden. Dieses ist in Fig. 5 durch die Verbindung des Ausgangs des Konsolidierungsmoduls 302 mit dem Schalterfehlererkennungsmodul 501 angedeutet.

In dem Schalterfehlererkennungsmodul 501 kann ebenfalls eine Offset-Korrektur der einzelnen Sensoren bzw. Sensorsignale Sl bis S4 durchgeführt werden. Hierbei können die einzelnen Sensorsignale Sl bis S4 mit dem Umschaltpunkt der Bremsschalter verglichen werden und entsprechend an den Bremsschaltpunkt angepaßt werden. Dieses kann notwendig sein, wenn die Sensoren bzw. Sensorsignale im Laufe der Zeit abdriften. Das Schalterfehlererkennungsmodul 501 kann dann entsprechende Schalterzustandssignale an das Rekonfi- gurationsmodul 400 ausgeben. Dann kann das Rekonfigurationsmodul 400 anhand der Schalterzustandssignale überprüfen, ob überhaupt eine Bremspedalbetätigung vorliegt und ob dieses mit den Sensorsignalen Sl bis S4 übereinstimmt.

Das Schalterfehlererkennungsmodul 501 gibt die z.B. einer Offset-Korrektur unterzogenen Sensorsignale Sl bis S4 an das Residuenermittlungsmodul 300 und an das Konsolidierungsmodul 302 weiter, die ebenso wie das Fehlerzähleranpas- sugs odul anhand von Fig. 3 erläutert wurden. Das Rekonfi- gurationsmodul 400 kann entsprechende Signale über den Fehlerzustand der einzelnen Sensoren bzw. Sensorsignale an ein Warnmodul 503 weitergeben, das den Fahrer z.B. über den Zustand der einzelnen Sensoren insbesondere im Fehlerzustand informiert. Außerdem können entsprechende Fehlerzu- standssignale vom Rekonfigurationsmodul 400 an ein Diagno- semodul 502 weitergegeben werden, das z.B. abspeichern kann, welche Sensoren zu reparieren bzw. welche Schalter defekt sind. Das Konsolidierungsmodul 302 ermittelt wie bereits erwähnt die konsolidierte Eingangsgröße SO.

In Fig. 6 ist ein beispielhaftes Zustandsdiagramm für das erfindungsgemäße Verfahren bzw. die erfindungsgemäße Vorrichtung dargestellt. Dieses soll anhand von vier Sensorsignalen Sl bis S4 erläutert werden. Im Zustand ZO sind alle vier Sensoren als fehlerfrei erkannt worden. Dieses bedeutet, daß alle vier Sensoren zur Gewichtung bzw. Ermittlung der konsolidierten Größe SO beitragen. Es wird vom Zustand ZO in den Zustand ZI übergegangen, wenn ein Sensor als fehlerhaft erkannt und ausgeblendet wird. Dieses bedeutet, daß nur noch drei Sensoren bzw. Sensorsignale für die Ermittlung der konsolidierten Größe SO verwendet werden. Der Übergang vom Zustand ZI in den Zustand Z2 findet dann statt, wenn ein weiterer Sensor als fehlerhaft erkannt und ausgeblendet wird.

Des weiteren ist ein direkter Übergang vom Zustand ZO, d.h. einem fehlerfreien Zustand in den Zustand Z2 vorgesehen, in dem nur zwei fehlerfreie Sensorsignale berücksichtigt werden. Der Übergang vom Zustand ZO zum Zustand Z2 findet dann statt, wenn zu einem Zeitpunkt gleich zwei Sensorsignale als fehlerhaft erkannt werden bzw. ausgeblendet werden. Im Zustand Z2 kann eine unterschiedliche Gewichtung mit einem Gewichtungsfaktorenvoter nicht mehr geeignet sein. Daher kann in diesem Zustand der Mittelwert aus beiden fehlerfreien Sensoren gebildet werden.

Ist ausgehend vom Zustand ZO eine eindeutige Fehlererkennung nicht möglich, so wird in den Zustand Z3 übergegangen. Ein entsprechender Übergang vom Zustand ZI zum Zustand Z3 kann ebenfalls vorgesehen sein. In diesem Zustand werden alle nicht als fehlerhaft erkannten Sensorsignale einer Mittelwertbildung unterzogen, um die konsolidierte Größe SO zu bilden.

Im Zustand Z2 kann ein weiterer Fehler zwar erkannt, aber nicht mehr lokalisiert werden. Man weiß zwar, daß ein Sensor fehlerhaft ist, kann aber nicht entscheiden, welcher der beiden. Aus diesem Grund kann weiterhin eine Mittelwertbildung aus den beiden Sensorsignalen durchgeführt werden. Eine Ausnahmemöglichkeit bietet die Überprüfung auf Plausibilität, d.h. die Überprüfung, ob die beiden Sensoren jeweils innerhalb ihres Plausibilitätsbereiches BPl liegen. Liegt ein Sensorsignal außerhalb dieses Bereiches, kann ein weiterer Fehler eindeutig erkannt werden und in den Zustand Z4 übergegangen werden. Das bedeutet, daß das verbleibende fehlerfreie Sensorsignal die konsolidierte Größe SO bildet.

Der Übergang vom Zustand ZO in den Zustand Z3 kann dann vorkommen, wenn eine sog. Patt-Situation entstanden ist. Dieses bedeutet, daß jeweils zwei Sensorsignale innerhalb gewisser Toleranzen übereinstimmen. Dann ist nicht feststellbar, welche Sensoren fehlerhaft und welche fehlerfrei sind. Deshalb kann es vorteilhaft sein, den Mittelwert aus allen zu berücksichtigenden Sensorsignalen zu bilden, um zumindest ein mittelmäßiges Ergebnis zu erzielen. Gleichzeitig sollte dem Fahrer z.B. über eine rote Signallampe signalisiert werden, daß er sein Fahrzeug zum Stehen bringen muß, da die Bremswunscherfassung nicht mehr fehlerfrei arbeitet. Das Fahrzeug kann z.B. auch abgebremst werden, ohne daß der Fahrer bremsen möchte. Hierbei können jedoch zusätzlich die Bremspedalschaltersignale ausgewertet werden, so daß nur dann wirklich gebremst wird, wenn die Bremslichtschalter eine Bremspedalbetätigung anzeigen. Die übrigen Zustände können z.B. ebenfalls über entsprechende Lampensignale dem Fahrer angezeigt werden. So kann z.B. der Zustand ZO durch eine grüne Lampe signalisiert werden, der Zustand ZI durch eine gelbe, der Zustand Z2 durch eine orange und die Zustände Z3 und Z4 durch eine rote Lampe. Eine entsprechende geeignete akustische Warnung ist ebenfalls denkbar.

In Fig. 7 ist ein beispielhaftes Flußdiagramm zur Verdeutlichung eines Verfahrens zur Ermittlung einer konsolidierten Eingangsgröße SO gezeigt. Dort werden im Schritt 700 zunächst die Sensorsignale Sl, S2, S3 und S4 eingelesen. Daran anschließend werden im Schritt 701 die Residuen rl, r2, r3, r4 , r5 und r6 gebildet. Danach erfolgt im Schritt 702 eine Fehlererkennung erfolgen. Die Fehlererkennung kann wie oben beschrieben durchgeführt werden. Daran anschließend wird im Schritt 703 abgefragt, ob der Fehler lokalisierbar ist. Ist dieses nicht der Fall, so werden im Schritt 704 die Gewichte dl, d2 , d3 und d4 für die jeweiligen Sensorsignale Sl bis S4 gleich 1 gesetzt. Danach wird zum Schritt 707 übergegangen.

Ist der oder sind die Fehler lokalisierbar, d.h. wird die Abfrage im Schritt 703 bejaht, wird zum Schritt 705 übergegangen, in dem die jeweiligen Fehlerzähler angepaßt werden. Dieser Schritt ist wird später näher anhand von Fig. 8 erläutert. Daran anschließend werden die jeweiligen Gewichte dl bis d4 im Schritt 706 ermittelt. Danach wird zum Schritt 707 übergegangen, in dem die konsolidierte Eingangsgröße SO wie oben beschrieben ermittelt werden kann.

Im folgenden wird anhand des Flußdiagramms in Fig. 8 eine Möglichkeit zur Anpassung der Fehlerzähler erläutert. Dort wird zunächst im Schritt 800 abgefragt, ob das Fahrzeug z.B. neu gestartet wurde. Ist dieses der Fall, wird im Schritt 801 abgefragt, ob ein jeweiliges Fehlerzählerflag FZFi gleich 0 ist. Dieses Flag zeigt an, ob der jeweilige erste und/oder zweite Fehlerzähler FZli, FZ2i während der vorherigen Fahrt z.B. seinen ZählerSchwellenwert SWFZli, SWFZ2i, SWFZ3i nicht überschritten hat. Das Fehlerzähler- flag FZFi kann entsprechend z.B. auf 1 gesetzt werden, wenn während der Fahrt der entsprechende erste Fehlerzähler FZli und/oder zweite Fehlerzähler FZ2i seinen Zählerschwellenwert überschritten hat. Damit kann der entsprechende dritte Fehlerzähler FZ3i am Ende der Fahrt oder wie im Beispiel von Fig. 8 am Anfang der folgenden Fahrt erhöht werden.

Wird die Abfrage im Schritt 801 bejaht, d.h. daß die ersten und/oder zweiten Fehlerzähler ihren Zählerschwellenwert nicht überschritten haben, wird im Schritt 802 der dritte Fehlerzähler FZ3i um 1 erniedrigt. Danach wird zum Schritt 805 übergegangen. Wird die Abfrage im Schritt 801 verneint, wird im Schritt 803 der dritte Fehlerzähler FZ3i um 2 erhöht. Danach werden im Schritt 804 die ersten und zweiten Fehlerzähler FZli und FZ2i sowie das Fehlerzählerflag FZFi zu 0 gesetzt. Danach wird zum Schritt 805 übergegangen, in dem abgefragt wird, ob z.B. durch die Fehlererkennung im Schritt 702 ein Fehler eindeutig erkannt wurde. Ist dieses der Fall, d.h. daß die Sensoren bzw. Sensorsignale Sl bis S4 fehlerfrei sind, wird der erste Fehlerzähler FZli zu 0 gesetzt. Danach kann das Verfahren z.B. im Schritt 706 der Fig. 7 fortgeführt werden.

Wird die Abfrage im Schritt 805 verneint, d.h. daß ein oder mehrere Fehler eindeutig erkannt wurden, werden die entsprechenden ersten und/oder zweiten Fehlerzähler FZli und FZ2i um 1 erhöht. Danach wird im Schritt 808 abgefragt, ob der zweite Fehlerzähler FZ2i bzw. dessen Inhalt größer als sein Fehlerzählerschwellenwert SWFZ2i ist. Ebenso könnte gleichzeitig oder stattdessen abgefragt werden, ob der erste Fehlerzähler FZli bzw. dessen Inhalt größer als sein Schwellenwert SWFZli ist. Wird die Abfrage verneint, kann das Verfahren z.B. im Schritt 706 der Fig. 7 fortgesetzt werden. Wird die Abfrage jedoch bejaht, wird das jewei1ige Fehlerzählerflag FZFi gleich 1 gesetzt. Daran anschließend kann ebenfalls im Schritt 706 fortgefahren werden.

Der Buchstabe i hinter den jeweiligen Fehlerzählern bzw. dem Fehlerflag deutet an, daß die Fehlerzähleranpassung nach Fig. 8 für jedes Sensorsignal gesondert durchgeführt werden kann. Ist jedoch vorher ein Sensorsignal ausgeblendet worden, so kann der Durchlauf für dieses Signal entfallen.

Fig. 9 zeigt ein Beispiel für eine Rekonfiguration der zur Ermittlung des konsolidierten Signals SO zu berücksichtigenden Sensorsignale Si, i = 1 ... n. Dieses kann sich z.B. an den Schritt 705 in Fig. 7 anschließen oder auch vor dem Schritt 707 durchgeführt werden. Zunächst wird im Schritt

900 abgefragt, ob der jeweilige erste Fehlerzähler FZli seinen Schwellenwert SWFZli überschritten hat. Ist dieses der Fall, wird zum Schritt 903 übergegangen. Wird die Abfrage im Schritt 900 verneint, wird im Schritt 901 abgefragt, ob der jeweilige zweite Fehlerzähler FZ2i größer als sein Schwellenwert SWFZ2i ist. Ist dieses der Fall, wird zum Schritt 903 übergegangen. Wird die Abfrage im Schritt

901 verneint, wird im Schritt 902 abgefragt, ob der dritte Fehlerzähler SZ3i größer als sein Schwellenwert SWFZ3i ist. ird dieses bejaht, wird zum Schritt 903 übergegangen, in dem der jeweilige Sensor bzw. das jeweilige Sensorsignal, für das ein oder mehrere Fehlerzähler ihren Zählerschwellenwert überschritten haben, ausgeblendet, d.h. die Anzahl der zu berücksichtigenden Sensorsignale wird entsprechend verringert bzw. rekonfiguriert. Wird die Abfrage im Schritt

902 verneint, ist der Rekonfigurationsablauf beendet. Daran anschließend kann die Konsolidierung des konsolidierten Signals SO mit den zu berücksichtigenden Sensorsignalen erfolgen. Auch hier gibt der Buchstabe i hinter den jeweiligen Fehlerzählern bzw. Schwellenwerten an, daß der Rekonfigura- tionsablauf gemäß Fig. 9 für jedes einzelne, zumindest nicht ausgeblendete Sensorsignal gesondert durchgeführt werden kann.

Die Flußdiagramme der Fig. 7 bis 9 sind nur beispielhaft angegeben und können in ihrer Reihenfolge geeignet variiert werden und durch weitere Schritte erweitert werden. So können z.B. geeignete Schritte zur Information des Fahrers bzw. zur Warnung des Fahrers an geeigneter Stelle eingefügt werden. Vorteilhaft werden vier Sensorsignale Sl bis S4 verwendet, es können aber auch weniger oder mehr erfaßt und verarbeitet werden. Nach dem Schritt 700 in Fig. 7 kann ein geeigneter Verarbeitungsschritt erfolgen, der die Sensorsignale in miteinander vergleichbare Signale wandelt.

Im folgenden soll noch eine weitere einfach zu implementierende Möglichkeit zur Ermittlung einer konsolidierten Eingangsgröße SO beschrieben werden: Es können z.B. jeweils zwei gleiche Sensorelemente in einem Gehäuse eingebaut und davon zwei derartiger Gehäuse vorhanden sein, so daß vier Sensorsignale vorhanden sind. Eine Möglichkeit der Konsolidierung besteht nun darin, jeweils die beiden Signale eines Gehäuses miteinander zu vergleichen. Weichen diese zu stark voneinander ab, so können beide Signale ausgeblendet werden. Dann stehen nur noch die beiden Sensorsignale des anderen Gehäuses zur Verfügung. Bleiben die Sensorsignale jedoch jeweils unterhalb einer Fehlererkennungsschwelle, so wird ein Mittelwert aus jeweils einem Sensorpaar gebildet. Das konsolidierte Signal SO wird dann aus dem Mittelwert beider Sensorpaarmittelwerte gebildet. Wird ein Sensorpaar ausgeblendet, so wird der Mittelwert des anderen Sensorsignalpaars als konsolidiertes Signal SO verwendet. Dieser Voter kann sehr einfach auf einen Mikrokontroller implementiert werden. Er kann z.B. eingesetzt werden, wenn eine nur sehr geringe Rechenkapazität zur Verfügung steht. Eine Realisierung wäre z.B. in unmittelbarer Nähe der Räder denkbar. Hierbei könnte jeweils ein Gehäuse zwei Rädern zugeordnet sein. Bei einem Ausfall der ESP-Funktion oder der ABS-Funktion könnte dieser Voter eine Grundbremsfunktion bzw. Notbremsfunktion erhalten.

Claims

Paten ansDrüche

1. Verfahren zur Ermittlung einer konsolidierten Eingangsgröße (SO) für eine Steuerung eines Fahrzeugs aus mindestens zwei redundanten erfaßten Größen (Sl, S2, S3, S4), mit folgenden Schritten:

- Gewichten der jeweiligen erfaßten Größen (Sl, S2, S3, S4 ) in Abhängigkeit von den jeweiligen Unterschieden (rl, r2, r3, r4, r5, r6 ) der erfaßten Größen (Sl, S2, S3, S4) zu einer oder mehreren Vergleichsgrößen (SO; Sl, S2, S3, S4),

- Verrechnen der gewichteten erfaßten Größen zur konsolidierten Eingangsgröße (SO),

- Durchführen einer Fehlererkennung der erfaßten Größen (Sl, S2, S3, S4),

- Erhöhen eines oder mehrerer jeweiliger Fehlerzähler (FZli, FZ2i, FZ3i) für eine oder mehrere als fehlerhaft erkannte erfaßte Größen, und

- Nichtberücksichtigen der jeweiligen fehlerhaften erfaßten Größe bei der Gewichtung und/oder Verrechnung und/oder Fehlererkennung, wenn einer oder mehrere der jeweiligen Fehlerzähler (FZli, FZ2i, FZ3i) einen jeweiligen Zählerschwellenwert (SWFZli, SWFZ2i, SWFZ3i) überschritten haben.

2. Verfahren zur Ermittlung einer konsolidierten Eingangsgröße (SO) für eine Steuerung eines Fahrzeugs aus mindestens zwei redundanten erfaßten Größen (Sl, S2, S3, S4), mit folgenden Schritten:

- Gewichten der jeweiligen erfaßten Größen (Sl, S2, S3, S4) in Abhängigkeit von den jeweiligen Unterschieden (rl, r2, r3, r4, r5, r6 ) der erfaßten Größen (Sl, S2, S3, S4) zu einer oder mehreren Vergleichsgrößen (SO; Sl, S2, S3, S4) und in Abhängigkeit vom Inhalt eines oder mehrerer ieweiliσer pphl 7ählo /τ? ii ^τ?Z2i, FZ2i, FZ3i) für eine oder mehrere erfaßte Größen (Sl, S2, S3, S4),

- Durchführen einer Fehlererkennung der erfaßten Größen (Sl, S2, S3, S4), und

- Erhöhen des oder der jeweiligen Fehlerzähler (FZli, FZ2i, FZ3i), wenn eine oder mehrere entsprechende erfaßte Größen (Sl, S2, S3, S4) als fehlerhaft lokalisiert werden.

3. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die^' jeweiligen erfaßten Größen (Sl, S2, S3, S4) in Abhängigkeit vom Inhalt eines oder mehrerer der jeweiligen Fehlerzähler (FZli, FZ2i, FZ3i) gewichtet werden.

4. Verfahren nach Anspruch 2, dadurch gekennzeichnet, daß die jeweilige fehlerhafte erfaßte Größe bei der Gewichtung und/oder Verrechnung und/oder Fehlererkennung nicht berücksichtigt wird, wenn einer oder mehrere der jeweiligen Fehlerzähler (FZli, FZ2i, FZ3i) einen jeweiligen Zählerschwellenwert (SWFZli, SWFZ2i, SWFZ3i) überschritten haben.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß die erfaßten Größen (Sl, S2, S3, S4) einen Fahrerwunsch zur Bremsung und/oder Beschleunigung und/oder Lenkung des Fahrzeugs repräsentieren.

6. Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß die erfaßten Größen (Sl, S2, S3, S4 ) den Bremspedalweg und/oder die Bremspedalgeschwindigkeit und/oder die Bremspedalbeschleunigung und/oder die Bremspedalbetätigungskraft und/oder den Bremspedalwinkel darstellen.

7. Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß die erfaßten Größen (Sl, S2, S3, S4) den Lenkweg und/oder die Lenkgeschwindigkeit und/oder die Lenkbeschleunigung und/oder die Lenkbetätigungs- kraft und/oder den Lenkwinkel darstellen.

8. Verfahren nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, daß mindestens drei erfaßte Größen (Sl,

52, S3, S4) vorliegen.

9. Verfahren nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, daß vier erfaßte Größen (Sl, S2, S3, S4) vorliegen.

10. Verfahren nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, daß die erfaßten Größen (Sl, S2, S3, S4) vor der Ermittlung des Unterschiedes (rl, r2 , r3, r4 , r5, r6) zu der oder den Vergleichsgrößen (SO; Sl, S2,

53, S4) so verarbeitet werden, daß sie direkt miteinander vergleichbar sind.

11. Verfahren nach einem der Ansprüche 1 bis 10, dadurch gekennzeichnet, daß dann, wenn die erfaßten Größen (Sl, S2, S3, S4) und/oder die zu gewichtenden und/oder zu verrechnenden Größen in gleicher Anzahl zwei unterschiedliche Werte aufweisen und/oder in der Anzahl zwei sind__L_die_ erfaßten Größen (SL, S2 , _S3 ,_ S4_)__gleich gewichtet werden.

12. Verfahren nach einem der Ansprüche 1 bis 11, dadurch gekennzeichnet, daß zur Fehlererkennung und/oder Gewichtung die erfaßten Größen (Sl, S2, S3, S4) mit einer zuvor ermittelten konsolidierten Eingangsgröße verglichen werden.

13. Verfahren nach einem der Ansprüche 1 bis 12, dadurch gekennzeichnet, daß zur Fehlererkennung und/oder Gewichtung die erfaßten Größen (Sl, S2, S3, S4 ) untereinander verglichen werden.

14. Verfahren nach einem der Ansprüche 1 bis 13, dadurch gekennzeichnet, daß eine fehlerhafte erfaßte Größe erkannt wird, wenn der oder die Unterschied(e) (rl, r2 , r3, r4, r5, r6 ) der erfaßten Größe(n) (Sl, S2, S3, S4 ) zu der oder den Vergleichsgröße(n) (SO; Sl, S2, S3, S4) oder zu einer weiteren Vergleichsgröße einen jeweiligen Fehlertoleranzwert (FTli, FT2j) überschreiten.

15. Verfahren nach einem der Ansprüche 1 bis 14, dadurch gekennzeichnet, daß die jeweilige fehlerhafte erfaßte Größe bei der Gewichtung und/oder Verrechnung und/oder Fehlererkennung nicht berücksichtigt wird, wenn das entsprechende Gewicht (dl, d2 , d3, d4 ) für eine vorgegebene Dauer unterhalb eines entsprechenden Gewichtsschwellenwertes (SWdi) lag.

16. Verfahren nach einem der Ansprüche 1 bis 15, dadurch gekennzeichnet, daß eine erfaßte Größe (Sl, S2, S3, S4) als fehlerhaft erkannt wird, wenn ihr Wert außerhalb eines Plausibilitätsbereiches liegt, und/oder diese fehlerhafte erfaßte Größe unabhängig von dem Inhalt des oder der Fehlerzähler (FZli, FZ2i, FZ3i) bei der Gewichtung und/oder Verrechnung nicht berücksichtigt wird.

17. Verfahren nach einem der Ansprüche 1 bis 16, dadurch gekennzeichnet, daß dann, wenn durch die Fehlererkennung ein Fehler nicht eindeutig erkannt werden kann, die erfaßten Größen (Sl, S2, S3, S4) gleich gewichtet werden.

18. Verfahren nach einem der Ansprüche 1 bis 17, dadurch gekennzeichnet, daß für eine oder mehrere erfaßte Größen (Sl, S2, S3, S4) jeweils ein erster Fehlerzähler (FZli) vorgesehen ist, der zurückgesetzt wird, wenn die entsprechende erfaßte Größe (Si) als fehlerfrei oder nicht als fehlerhaft erkannt wird und/oder das Fahrzeug gestartet wird.

19. Verfahren nach einem der Ansprüche 1 bis 18, dadurch gekennzeichnet, daß für eine oder mehrere erfaßte Größen (Sl, S2, S3, S4) jeweils ein zweiter Fehlerzähler (FZ2i) vorgesehen ist, der zurückgesetzt wird, wenn das Fahrzeug gestartet wird.

20. Verfahren nach einem der Ansprüche 1 bis 19, dadurch gekennzeichnet, daß für eine oder mehrere erfaßte Größen (Sl, S2, S3, S4) jeweils ein dritter Fehlerzähler (FZ3i) vorgesehen ist, der erhöht wird, wenn die jeweilige erfaßte Größe (Si) während einer Fahrt des Fahrzeugs nicht berücksichtigt wird, und/oder erniedrigt wird, wenn die jeweilige erfaßte Größe (Si) während einer anderen Fahrt wieder berücksichtigt wird.

21. -Verfahren—nach Anspruch 20, dadurch gekennzeichnet, daß der dritte Fehlerzähler (FZ3i) um einen größeren Betrag erhöht als erniedrigt wird.

22. Verfahren nach einem der Ansprüche 1, 3 bis 21, dadurch gekennzeichnet, daß, wenn die erfaßte Größe (Sl, S2, S3, S4) nicht berücksichtigt wird, dieses mindestens solange andauert, bis das Fahrzeug erneut gestartet wird.

23. Verfahren nach einem der Ansprüche 1 bis 22, dadurch gekennzeichnet, daß die Gewichtung und/oder Verrechnung der erfaßten Größen (Sl, S2, S3, S4) nur erfolgt, wenn ein oder mehrere Bremspedalschalter eine Bremspedalbetätigung anzeigen.

24. Verfahren nach einem der Ansprüche 1 bis 22, dadurch gekennzeichnet, daß dann, wenn durch die Fehlererkennung ein Fehler nicht eindeutig erkannt werden kann, die Gewichtung und/oder Verrechnung der erfaßten Größen (Sl, S2, S3, S4) nur erfolgt, wenn ein oder mehrere Bremspedalschalter eine Bremspedalbetätigung anzeigen.

25. Vorrichtung zur Ermittlung einer konsolidierten Eingangsgröße (SO) für eine Steuerung eines Fahrzeugs mit mindestens zwei Sensoren zur Erfassung von mindestens zwei redundanten Größen und einer Steuereinheit, die ein Verfahren nach einem der Ansprüche 1, 3 bis 24 durchführt.

26. Vorrichtung zur Ermittlung einer konsolidierten Eingangsgröße (SO) für eine Steuerung eines Fahrzeugs mit mindestens zwei Sensoren zur Erfassung von mindestens zwei redundanten Größen und einer Steuereinheit, die ein Verfahren nach einem der Ansprüche_2, 4 bis 24 durchführt.