WO2020052950A1

WO2020052950A1 - Schutzvorrichtung zur entkopplung elektrischer steuerkreise in einem redundanten system für autonomes fahren

Info

Publication number: WO2020052950A1
Application number: PCT/EP2019/072714
Authority: WO
Inventors: Michael Herges; Dieter Wörner; Falk Hecker
Original assignee: Knorr-Bremse Systeme für Nutzfahrzeuge GmbH
Priority date: 2018-09-10
Filing date: 2019-08-26
Publication date: 2020-03-19
Also published as: CN112672936B; DE102018121957A1; US20210269048A1; US11897489B2; CN112672936A

Abstract

Die Erfindung betrifft eine Vorrichtung zur Entkopplung und/oder zum Schutz vor Ausgleichsströmen zur Verwendung bei gemeinsamer Nutzung zumindest eines elektro-pneumatischen Aktuators (1) durch eine Mehrzahl von unabhängig spannungsversorgten Steuergeräteinrichtungen in redundanten Systemen für autonomes Fahren. Der elektro-pneumatische Aktuator (1) weist jeweils einen gemeinsamen Anschluss (4.1), über den der elektro-pneumatische Aktuator (1) mit einem gemeinsamen Anschluss (4.1) anderer elektro-pneumatischer Aktuatoren (1) koppelbar und schaltbar ist, und zumindest einen dedizierten Anschluss (4. 2, 4.3), über den der zumindest eine elektro-pneumatische Aktuator (1) einzeln bestrombar ist, auf. Eine dem gemeinsamen Anschluss (4.1) und der Anzahl der dedizierten Anschlüsse (4.2, 4.3) aller elektro-pneumatischer Aktuatoren (1) entsprechende Anzahl von Schalteinrichtungen (4, 5, 6, 7, 8, 16) ist dazu angeordnet, schaltend einen Strom in den zumindest einen elektro- pneumatischen Aktuator (1) einzusteuern oder nicht einzusteuern. Die Erfindung sieht zumindest eine Stromflusssperreinrichtung (18, 19; 20; 26) vor, die dazu konfiguriert ist, einen unerwünschten Stromfluss zu einer nicht aktiven elektronischen Steuereinheit (3, 3.2) der ersten und zweiten Steuergeräteinrichtungen zu unterbinden.

Description

Schutzvorrichtung zur Entkopplung elektrischer Steuerkreise in einem redundanten System für autonomes Fahren

BESCHREIBUNG

Die Erfindung geht aus von einer Vorrichtung gemäß dem Oberbegriff von Anspruch 1.

Bei hoch automatisiert oder autonom fahrenden Fahrzeugen, wie beispielsweise Nutzfahrzeugen, steuern anstelle des Fahrers Fahrerassistenzsysteme das Fahrzeug und überwachen auch das Umfeld des Fahrzeugs. Insbesondere bei Fahrzeugen, die autonome Fahrfunktionen ohne einen zu jedem Zeitpunkt eingriffsbereiten Fahrer zumindest zeitweise ausführen (Assistenzfunktionen ab Level bzw. Stufe 3 von insgesamt sechs Stufen 1 bis 6; in Stufe 3, die sich auf hoch automatisiertes Fahren bezieht, übernimmt ein zugrunde liegendes System die Längs- und die Querführung in einem spezifischen Anwendungsfall, erkennt Systemgrenzen und fordert einen Fahrer mit ausreichender Zeitreserve zur Übernahme auf. Der Fahrer muss dabei das Fahrzeug oder System nicht mehr dauerhaft überwachen, aber potenziell in der Lage sein, die Kontrolle zu übernehmen), müssen Bremssysteme auch im Falle eines Fehlers in einem elektrischen Steuerkreis oder Ansteuerkreis noch in der Lage sein, Drucksteuerventile (PCVs, Pressure Control Valves) anzusteuern, um elektrisch gesteuerte Funktionen, wie z.B. ABS, ESP, Lenkbremse und dergleichen, auch im Fehlerfall noch ausführen zu können. Im Fehlerfall, etwa bei einem Ausfall einer Komponente, kann jedoch der Fall eintreten, dass der Fahrer nicht mehr oder zumindest nicht mehr ausreichend schnell eingreifen und die Kontrolle über das Fahrzeug übernehmen kann.

Aus Sicherheitsgründen werden daher kritische elektronische Systeme redundant ausgelegt. Beispielsweise wird eine Redundanz einer Spannungsversorgung über mehrere, beispielsweise zwei, unabhängige Spannungsquellen sichergestellt, die sich in der Regel eine gemeinsame Masse teilen, und/oder werden in Fahrzeugen mehrere, beispielsweise zwei, unabhängige elektrische Ansteuerkreise für die Bremssteuerung mit gemeinsamer Masse (Fahrzeugmasse) angeordnet.

In einem Druckluftbremssystem betrifft dies insbesondere eine Elektronik des Bremssystems (d.h. die Steuergeräte) sowie Ansteuerungen elektro- pneumatischer Aktuatoren wie beispielsweise Magnetventile oder Drucksteuerventile. Während in einem bekannten System die Elektronik durch zwei separate Steuergeräte redundant ausgelegt ist, ist es bei vielen elektro- pneumatischen Ventilen ausreichend, ein Ventil gemeinsam an zwei redundante Bremssystem-Steuergeräte anzuschließen und die Ansteuerung solcher Ventile situationsabhängig von dem einen oder dem anderen Steuergerät durchzuführen.

Fig.1 zeigt schematisch und ausschnittsweise einen beispielhaften Aufbau eines an sich bekannten Bremssystems bzw. Bremsschemas mit einer ersten elektronischen Steuereinheit bzw. ECU 3, die zu einem sozusagen„Standard- “EBS-System gehört und ein Haupt-Bremssteuergerät bilden kann, und einer zweiten elektronischen Steuereinheit bzw. ECU 3.2, die ein Backup- Bremssteuergerät bilden kann und beispielsweise ein iFBM (Fußbremsmodul mit integriertem Magneten) als ein Backup-System steuert. Die beiden ECUs 3, 3.2 sind in diesem Beispiel an jeweils eine erste und eine zweite Spannungsversorgung 22.1 , 22.2 angeschlossen und können über einen Datenbus 23 miteinander und mit anderen Fahrzeugsystemen kommunizieren.

Bei Vorhandensein mehrerer unabhängiger Ansteuerkreise für die Bremssteuerung sichergestellt werden, dass sich ein Fehlerfall in einem der Ansteuerkreise nicht nachteilig auf einen anderen Ansteuerkreis auswirkt. Insbesondere darf nicht ein einzelner Fehler zu einem gleichzeitigen Ausfall aller, beispielsweise beider, Ansteuerkreise führen, d.h. dürfen nicht beide Ansteuerkreise durch einen einzelnen Fehler völlig außer Funktion setzbar sein.

Fig.2 zeigt eine an sich bekannte Anordnung eines Drucksteuerventils mit gemeinsamen und jeweils dedizierten Anschlüssen sowie ansteuerbaren Schaltern zu deren Ansteuerung bzw. Bestromung. Gemäß Fig.2 besteht ein Drucksteuerventil 1 elektrisch aus einem ersten und einem zweiten Magnetventil, d.h. zwei Magnetventilen, 2, die einen gemeinsamen Anschluss 4.1 und je einen eigenen Anschluss 4.2, 4.3 aufweisen. Die ansteuernde elektronische Steuereinheit 3 weist einen Schalter 4, 16 zum Schalten der gemeinsamen Anschlüsse aller Magnetventile und jeweils einen dedizierten Schalter 5, 6, 7, 8 für jedes Magnetventil, um diese einzeln bestromen zu können, auf.

Fig.3 zeigt übersichtsweise eine weiter gehende Darstellung der an sich bekannten Anordnung eines Drucksteuerventils mit gemeinsamen und jeweils dedizierten Anschlüssen sowie ansteuerbaren Schaltern zu deren Ansteuerung bzw. Bestromung nach Fig.2. Gemäß Fig.3 können die Schalter vorzugsweise als elektronische Endstufen 15, 16 ausgeführt sein, die von einer Logikeinheit 17 der elektronischen Steuereinheit 3 gesteuert werden. Hierbei wird in der Regel zwischen Endstufen, die die Zuleitungen der Magnetventile mit einem Plus- Potenzial (+) verbinden (Highside), und Endstufen, die die Rückleitungen der Magnetventile mit einem Minus-Potenzial (-) oder Massepotenzial verbinden (Lowside), unterschieden. Die Endstufe, die einen der beiden Pfade für mehrere Magnetventile gemeinsam schaltet, kann eine Highside- oder eine Lowside- Endstufe (Common Ground) sein. Vereinfachend wird im Folgenden ein negativer bzw. Lowside-Anschluss angenommen. Eine beidseitige Abschaltmöglichkeit ist erforderlich, um auch bei einem Kurzschluss 10 in einer der Zuleitungen, einem Kurzschluss gegen die Versorgung 9 oder die Masse, oder einem Kurzschluss 12 durch eine durch legierte, d.h. eine zwischen beispielsweise Emitter und Kollektor aufgrund von Übertemperatur kurzgeschlossene und damit zerstörte, Endstufe, ein ungewolltes Bestromen eines Magnetventils auszuschließen.

Um andere Fehler, insbesondere einen Kurzschluss 11 zwischen einer Zu- und einer Rückleitung, einen Kurzschluss 13 zwischen einer Rückleitung und der Versorgung und einen Kurzschluss 14 zwischen der Rückleitung und der Masse, sowie einen Kabelbruch rechtzeitig zu erkennen, werden in der Regel permanent elektrische Werte (Spannungen an den Anschlüssen, übergroße Ströme) überwacht sowie von Zeit zu Zeit Testpulse auf die Magnete gegeben und die elektrische Reaktion darauf ausgewertet.

Wird ein Drucksteuerventil von zwei oder mehreren elektronischen Steuereinheiten angesteuert, würde jedoch dann, wenn eine der elektronischen Steuereinheiten Testpulse auf einen Magneten gibt, die permanente Überwachung in einer anderen elektronischen Steuereinheit ansprechen und fälschlicherweise auf einen Fehler erkennen.

Außerdem kann dann, wenn zwei elektrische Kreise eine gemeinsame Masse (-) aufweisen, ein Masseversatz zwischen zwei steuernden elektronischen Steuereinheiten zu der Zerstörung einer oder beider der elektronischen Steuereinheiten führen.

Ferner kann eine defekte elektronische Steuereinheit ungewollt „rückwärts“ versorgt werden, wenn sie z.B. aufgrund eines Fehlers von ihrer Versorgungsspannung getrennt worden ist, bzw. kann dann, wenn bei der defekten elektronische Steuereinheit ein Kurzschluss ihrer Versorgung nach Masse vorliegt, ein von einer intakten elektronischen Steuereinheit zu dem Magnetventil fließender Strom kurzgeschlossen werden, da die parasitäre Diode der Highside-Endstufe der defekten elektronischen Steuereinheit den Strom von der intakten elektronischen Steuereinheit durchlässt, wenn diese zweite elektronische Steuereinheit das Magnetventil einschaltet. Dies könnte zu ungewollten und potenziell gefahrvollen Aktivitäten der ersten, defekten elektronischen Steuereinheit führen und/oder verhindern, dass das Magnetventil des betreffenden Drucksteuerventils schaltet, oder aufgrund des zu hohen Stromflusses auch die zweite elektronische Steuereinheit zerstören und dadurch die erforderliche Redundanz aufheben.

Falls eine Endstufe für die individuelle Leitung bzw. Bestromung eines Magnetventils in einer elektronischen Steuereinheit durchlegiert sein sollte, würde es nicht ausreichen, wenn nur diese elektronische Steuereinheit die entsprechende gegenpolige, gemeinsame Endstufe abschaltet, denn der Strom würde in diesem Fall über die gegenpolige, gemeinsame Endstufe der anderen elektronischen Steuereinheit fließen und das Magnetventil ungewollt aktivieren.

Ausgehend von der vorgenannten Problematik liegt der vorliegenden Erfindung die Aufgabe zugrunde, in einem Druckluftbremssystem mit Magnetventile gemeinsam nutzenden, redundanten Steuergeräten unter Einhaltung von Sicherheits-anforderungen Fehlerströme zwischen Spannungsversorgungen über die Steuergeräte zu verhindern. Darüber hinaus soll die Erfindung in einem Druckluftbremssystem sicherstellen, dass sich ein Fehlerfall in einem Ansteuerkreis nicht auf einen anderen Ansteuerkreis auswirkt.

Diese Aufgabe wird erfindungsgemäß durch die Merkmale von Anspruch 1 gelöst.

Offenbarung der Erfindung

Der Erfindung liegt der allgemeine Gedanke einer entkoppelnden Schutzvorrichtung für elektrische Steuerkreise bei gemeinsamer Nutzung von elektro-pneumatischen Aktuatoren durch unabhängig spannungsversorgte Steuergeräte in redundanten Systemen für autonomes Fahren zugrunde.

Die Schutzvorrichtung beinhaltet in erfindungsgemäßer Anordnung eine vorbestimmte Anzahl von Stromsperreinrichtungen, die in Form von Dioden und/oder funktionell dazu äquivalenten Elementen oder Komponenten in den Pius- und/oder den Massepfad geschaltet sind und die es ermöglichen, auch ohne galvanische Trennung und unter Einhaltung von Sicherheitsanforderungen Fehlerströme, Ausgleichsströme und anderweitig unerwünschte Ströme zwischen Spannungsversorgungen über Steuergeräte zu verhindern.

Die erfindungsgemäße Schutzvorrichtung zur Entkopplung elektrischer Steuerkreise bei gemeinsamer Nutzung zumindest eines elektro-pneumatischen Aktuators durch eine Mehrzahl von unabhängig spannungsversorgten Steuergeräteinrichtungen in einem redundanten System für autonomes Fahren sieht vor, dass der zumindest eine elektro-pneumatische Aktuator jeweils einen gemeinsamen Anschluss, über den der zumindest eine elektro-pneumatische Aktuator mit einem gemeinsamen Anschluss zumindest eines anderen elektropneumatischen Aktuators koppelbar und schaltbar ist, und zumindest einen dedizierten Anschluss, über den der zumindest eine elektro-pneumatische Aktuator einzeln bestrombar ist, aufweist, dass die Mehrzahl von Steuergeräteinrichtungen zumindest eine erste Steuergeräteinrichtung, die eine erste elektronische Steuereinheit und eine dem gemeinsamen Anschluss und der Anzahl der dedizierten Anschlüsse aller elektro-pneumatischer Aktuatoren entsprechende erste Anzahl von Schalteinrichtungen aufweist, und zumindest eine zweite Steuergeräteinrichtung, die eine zweite elektronische Steuereinheit und eine dem gemeinsamen Anschluss und der Anzahl der dedizierten Anschlüsse aller elektro-pneumatischer Aktuatoren entsprechende zweite Anzahl von Schalteinrichtungen aufweist, und dass die zumindest eine erste und zweite Steuergeräteinrichtung dazu angeordnet sind, über die Schalteinrichtungen schaltend einen Strom in den zumindest einen elektro-pneumatischen Aktuator einzusteuern oder nicht einzusteuern. Zumindest eine Stromflusssperreinrichtung ist dazu konfiguriert, dann, wenn eine der ersten und zweiten Steuergeräteinrichtungen schaltend einen Strom in den zumindest einen elektro- pneumatischen Aktuator einsteuert, einen aus dieser Einsteuerung resultierenden Stromfluss zu der elektronischen Steuereinheit einer anderen der ersten und zweiten Steuergeräteinrichtungen zu unterbinden.

Durch die wie vorstehend erfindungsgemäßen Merkmale wird insbesondere vorteilhaft verhindert, dass ein Spannungsversatz oder ein Masseversatz zu einem unerwünschten Stromfluss zwischen Steuergeräten und/oder elektronischen Steuereinheiten in einem redundant ausgelegten System, wie beispielsweise einer Bremsanlage, für autonomes Fahren führt, wodurch wiederum vorteilhaft verhindert wird, dass eine oder alle von elektronischen Steuereinheiten aufgrund des ungewollten Stromflusses zerstört wird, und dass eine defekte elektronische Steuereinheit wieder ungewollt„rückwärts“ versorgt wird, wenn sie beispielsweise aufgrund eines Fehlers von ihrer Versorgungsspannung getrennt wird, oder dass der Strom von einer intakten elektronischen Steuereinheit zu einem Magnetventil kurzgeschlossen wird, wenn eine defekte elektronische Steuereinheit einen Kurzschluss ihrer Versorgung nach Masse hat. Insgesamt vorteilhaft kann mit den erfindungsgemäßen Merkmalen die für das autonome System geforderte Redundanz auch in einem Fehlerfall oder bei ungeeigneten Spannungs- und/oder Masseverhältnissen aufrechterhalten werden.

Durch die in den Unteransprüchen aufgeführten Maßnahmen sind vorteilhafte Weiterbildungen und Verbesserungen der in den unabhängigen Ansprüchen angegebenen Erfindung möglich.

Bevorzugt umfassen die ersten und zweiten Steuergeräteinrichtungen ein Haupt- Bremssteuergerät mit der ersten elektronischen Steuereinheit und ein Backup- Bremssteuergerät mit der zweiten elektronischen Steuereinheit, und umfasst der zumindest eine elektrische Aktuator ein Magnetventil oder ein Magnetventile beinhaltendes Drucksteuermodul, wobei die ersten und zweiten Steuergeräteinrichtungen dazu angeordnet sind, gemeinsam auf Spulen der Magnetventile und der Drucksteuermodule zuzugreifen, wobei die Spulen dazu konfiguriert sind, über die Schalteinrichtungen angesteuert zu werden, und wobei die Schalteinrichtungen Halbleiterschalter beinhalten, die dazu konfiguriert sind, über einen gemeinsamen Versorgungs- und Massepfad versorgt zu werden.

Bevorzugt wird auch, dass die Schalteinrichtungen als elektronische Endstufen konfiguriert sind, die dazu angeordnet sind, von einer Logikeinheit der ersten oder zweiten elektronischen Steuereinheit gesteuert zu werden, wobei eine Endstufe jeweils eine Endstufe ist, die die Zuleitungen eines elektrischen Aktuators mit einem Plus-Potenzial verbindet, oder eine Endstufe ist, die die Rückleitungen des elektrischen Aktuators mit einem Minus-Potenzial oder Massepotenzial verbindet.

Weiter bevorzugt kann die Stromflusssperreinrichtung als eine an einem Anschluss jeder der Schalteinrichtungen angeordnete Diode ausgebildet sein. In diesem Fall kann bevorzugt die Diode innerhalb der ersten und zweiten elektronischen Steuereinheiten oder außerhalb der ersten und zweiten elektronischen Steuereinheiten und zwischen dem zumindest einen elektro- pneumatischen Aktuator und jeder der Schalteinrichtungen angeordnet sein.

In diesem Fall kann alternativ bevorzugt sein, dass mehrere Dioden in einer äquivalent zu einer jeweils einzelnen Diode arbeitenden, ein T-Stück ausbildenden Dioden-Schaltungsanordnung angeordnet sind.

Weiter alternativ kann in diesem Fall bevorzugt sein, dass in jeweils einem gemeinsamen Strompfadabschnitt zwischen den Schalteinrichtungen und jeweils den elektronischen Steuereinheiten eine Diode als die Stromsperreinrichtung angeordnet ist.

Weiter alternativ kann in diesem Fall bevorzugt sein, dass versorgungspotenzialseitig in einem gemeinsamen Strompfadabschnitt zwischen den Schalteinrichtungen und der ersten und der zweiten elektronischen Steuereinheit eine umgekehrt gepolte und aktiv geschaltete Endstufe als die Stromsperreinrichtung angeordnet ist, und massepotenzialseitig in einem gemeinsamen Strompfadabschnitt zwischen den Schalteinrichtungen und der ersten und der zweiten elektronischen Steuereinheit eine Diode als die Stromsperreinrichtung angeordnet ist.

Weiter alternativ kann in diesem Fall bevorzugt sein, dass versorgungspotenzialseitig in einem gemeinsamen Strompfadabschnitt zwischen den Schalteinrichtungen und der ersten und der zweiten elektronischen Steuereinheit eine umgekehrt gepolte und aktiv geschaltete Endstufe als die Stromsperreinrichtung angeordnet ist, und massepotenzialseitig in einem gemeinsamen Strompfadabschnitt zwischen den Schalteinrichtungen und der ersten und der zweiten elektronischen Steuereinheit eine umgekehrt gepolte und aktiv geschaltete Endstufe als die Stromsperreinrichtung angeordnet ist. Noch bevorzugt und vorteilhaft kann darüber hinaus in der Vorrichtung sein, dass die erste und die zweite elektronische Steuereinheit dazu konfiguriert ist, sowohl die Schalteinrichtungen sowohl einer Plus- als auch einer Masseleitung zu sperren, wenn kein elektrischer Aktuator zu bestromen ist; in einem fehlerfreien Betrieb in Übereinstimmung mit vorbestimmten Kriterien definiert nur eine der ersten und zweiten elektronischen Steuereinheiten die Ansteuerung des zumindest einen elektrischen Aktuators übernimmt; eine sich in einem passiven Zustand befindende elektronische Steuereinheit der ersten und der zweiten elektronischen Steuereinheiten dazu konfiguriert ist, eine aktive Bestromungen eines elektrischen Aktuators zu Testzwecken nicht durchzuführen; und die sich in dem passiven Zustand befindende elektronische Steuereinheit dazu konfiguriert ist, in einem Fehlerfall einer aktiven Steuereinheit der ersten und der zweiten elektronischen Steuereinheiten, der einen Weiterbetrieb der aktiven Steuereinheit verhindert, in einen aktiven Zustand zu wechseln und als neue aktive elektronische Steuereinheit anstelle der fehlerfälligen elektronischen Steuereinheit fortan die Ansteuerung des elektrischen Aktuators zu übernehmen; wobei die sich in dem passiven Zustand befindende elektronische Steuereinheit dazu konfiguriert ist, Spannungspegel an ihren Leitungen zu dem zumindest einen elektrischen Aktuator zu überwachen, diese Überwachung mit von der aktiven elektronischen Steuereinheit an sie übertragener Information bezüglich einer momentanen Ansteuerung des zumindest einen elektrischen Aktuators zu plausibilisieren, und ein sicheres Sperren der Stromsperreinrichtung zu überwachen.

Die Erfindung betrifft nicht nur die oben beschriebene Schutzvorrichtung für elektrische Steuerkreise bei gemeinsamer Nutzung zumindest eines elektrischen Aktuators durch eine Mehrzahl von unabhängig spannungsversorgten Steuergeräteinrichtungen in redundanten Systemen für autonomes Fahren, sondern auch ein Verfahren zur Steuerung und/oder zum Betrieb einer solchen Vorrichtung. Wie bereits oben erwähnt, kann dabei eine Bremsanlage, in welcher die Vorrichtung verbaubar und das Verfahren durchführbar ist, elektrisch, hydraulisch, pneumatisch, elektro-hydraulisch oder elektro-pneumatisch betätigt sein. Die Bremsanlage kann eine Bremsanlage eines Personenkraftwagens oder eines Nutzfahrzeugs (Zugfahrzeug und/oder Anhänger) sein, und kann von beliebiger Art sein und insbesondere elektrisch, hydraulisch, pneumatisch, elektro- hyd rau lisch oder elektro-pneumatisch betätigt sein. Die Erfindung erstreckt sich insoweit auf alle Arten von Fahrzeugen, insbesondere auch auf Personenfahrzeuge, Nutzfahrzeuge oder schwere Nutzfahrzeuge.

Die Steuergeräteinrichtung kann durch ein separates Steuergerät oder auch durch ein bereits vorhandenes elektronisches Steuergerät gebildet sein, insbesondere durch ein Fahrzeugsteuergerät, ein Bremssteuergerät der Bremseinrichtung oder durch das Steuergerät eines elektro-pneumatischen Bremssteuermoduls.

Vorteilhafte Weiterbildungen der Erfindung ergeben sich aus den Patentansprüchen, der Beschreibung und den Zeichnungen. Die in der Beschreibungseinleitung genannten Vorteile von Merkmalen und von Kombinationen mehrerer Merkmale sind lediglich beispielhaft und können alternativ oder kumulativ zur Wirkung kommen, ohne dass die Vorteile zwingend von erfindungsgemäßen Ausführungsformen erzielt werden müssen.

Weitere Merkmale sind den Zeichnungen - insbesondere dargestellten Geometrien und Verhältnisse mehrerer Bauteile zueinander sowie deren relativer Anordnung und Wirkverbindung - zu entnehmen. Die Kombination von Merkmalen unterschiedlicher Ausführungsformen der Erfindung oder von Merkmalen unterschiedlicher Patentansprüche ist ebenfalls abweichend von den gewählten Rückbeziehungen der Patentansprüche möglich und wird hiermit angeregt. Dies betrifft auch solche Merkmale, die in separaten Zeichnungen dargestellt sind oder bei deren Beschreibung genannt werden. Diese Merkmale können auch mit Merkmalen unterschiedlicher Patentansprüche kombiniert werden. Ebenso können in den Patentansprüchen aufgeführte Merkmale für weitere Ausführungsformen der Erfindung entfallen. Identische bzw. gleich wirkende Bauteile und Baugruppen sind in unterschiedlichen Ausführungsformen jeweils mit denselben Bezugszahlen bezeichnet.

Zeichnung

Nachstehend sind Ausführungsbeispiele der Erfindung in der Zeichnung dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es wird angemerkt, dass die Zeichnung schematisch und ausschnittsweise Teile eines an sich bekannten Druckluftbremssystems (einer Druckluftbremsanlage) für Fahrzeuge, wie es in beispielsweise Nutzfahrzeugen zum Einsatz kommt, darstellt. Auf Komponenten des Druckluftbremssystems bzw. der Druckluft- Bremsanlage wird daher zweckmäßig nur insoweit Bezug genommen, als deren Beschreibung und Erläuterung zum besseren Verständnis der Erfindung beiträgt. Außerdem sind aus Übersichtlichkeitsgründen identische bzw. zumindest gleichartige Komponenten in der Zeichnung nicht wiederholt mit denselben Bezugszahlen bezeichnet, sondern kann exemplarisch eine Bezugszahl einmalig und stellvertretend für solche identische bzw. zumindest gleichartige Komponenten angegeben sein.

In der Zeichnung zeigen

Fifl-1 einen schematischen und ausschnittsweisen Aufbau eines an sich bekannten Bremssystems bzw. Bremsschemas mit einer ersten elektronischen Steuereinheit als einem Hauptsteuergerät und einer zweiten elektronischen Steuereinheit als einem Backup-Steuergerät sowie einer Mehrzahl von von beiden Steuergeräten gemeinsam genutzten Magnetventilen;

Fig.2 eine an sich bekannte Anordnung eines Drucksteuerventils mit gemeinsamen und jeweils dedizierten Anschlüssen sowie ansteuerbaren Schaltern zu deren Ansteuerung bzw. Bestromung; Fig-3 eine weiter gehende Darstellung der an sich bekannten Anordnung eines Drucksteuerventils mit gemeinsamen und jeweils dedizierten Anschlüssen sowie ansteuerbaren Schaltern zu deren Ansteuerung bzw. Bestromung nach Fig.2;

Fig.4 eine vereinfachte und auszugsweise Darstellung eines redundant ausgelegten Druckluftbremssystems mit Anordnung einer

Stromsperreinrichtung gemäß einem Ausführungsbeispiel;

Fig.5 eine alternative Anordnung der Stromsperreinrichtung nach Fig.4;

Fig.6 eine nochmals alternative Anordnung der Stromsperreinrichtung

nach Fig.4;

Fig.7 eine nochmals alternative Anordnung der Stromsperreinrichtung

nach Fig.4; und

Fig.8 eine nochmals alternative Anordnung der Stromsperreinrichtung

nach Fig.4.

Beschreibung der Ausführungsbeispiele

Wie vorstehend beschrieben wurde, ist in Fig-1 ein schematischer und ausschnittsweiser Aufbau eines an sich bekannten Bremssystems bzw. Bremsschemas mit hier einer ersten elektronischen Steuereinheit 3 als einem ersten Steuergerät bzw. Hauptsteuergerät und einer zweiten elektronischen Steuereinheit 3.2 als einem zweiten Steuergerät bzw. Backup-Steuergerät sowie einer Mehrzahl von von beiden Steuergeräten 3, 3.2 gemeinsam genutzten Drucksteuerventilen bzw. Magnetventilen 1 dargestellt.

Jeder Pin der Drucksteuerventile 1 ist sowohl an dem Hauptsteuergerät 3 als auch an dem Backup-Steuergerät 3.2 angeschlossen. Das Hauptsteuergerät 3 wird von einer ersten Spannungsversorgung 22.1 mit einem vorbestimmten Potenzial gegen eine Fahrzeugmasse versorgt, und das Backup-Steuergerät 3.2 wird von einer zweiten Spannungsversorgung 22.2 mit dem vorbestimmten Potenzial gegen die Fahrzeugmasse versorgt. Die Haupt- und Backup-Steuergeräte 3, 3.2 sind dazu angeordnet und konfiguriert, bedarfsweise jeweils im Versorgungspfad und im Massepfad liegende Schalteinrichtungen 4, 5, 6, 7, 8, 16, beispielsweise geeignete MOSFETs oder anderweitig geeignete Leistungsschalter oder Endstufen, als Schalter zu schalten.

In dem in Fig.1 gezeigten beispielhaften Bremsschema kann das erste Steuergerät 3, d.h. das Hauptsteuergerät, eine erste elektronische Steuereinheit bzw. ECU (in Fig.1 nicht dargestellt) beinhalten, die zu einem„Standard-“ EBS- System bzw. elektronischen Bremssystem gehören kann, und kann das zweite Steuergerät 3.2, d.h. das Backup-Steuergerät, eine zweite elektronische Steuereinheit bzw. ECU (in Fig.1 nicht dargestellt) beinhalten, die ein iFBM (Fußbremsmodul mit integriertem Magneten) als Backup-System steuert. Die beiden elektronischen Steuereinheiten in den beiden Steuergeräten 3, 3.2 sind an jeweils die Spannungsversorgungen 22.1 , 22.2 angeschlossen und können über einen Datenbus 23 miteinander und mit anderen Fahrzeugsystemen kommunizieren. Die Steuergeräte 3, 3.2 bilden insgesamt jeweils

Steuergeräteinrichtungen aus.

Es versteht sich, dass der in Fig.1 gezeigte Teil eines Druckluftbremssystems ein Teil eines Bremssystems oder einer Bremsanlage eines beliebigen Fahrzeugs, wie beispielsweise eines Nutzfahrzeugs als Zugfahrzeug und/oder eines Anhängers desselben, sein kann, und das Druckluftbremssystem von an sich bekannter Art und insbesondere elektrisch, hydraulisch, pneumatisch, elektro- hydraulisch oder elektro-pneumatisch betätigt sein kann. Es versteht sich ferner, dass die Anzahl, die Konfiguration und die Anordnung der Steuergeräte 3, 3.2, der Drucksteuerventile 1 und der Schalter 4, 5, 6, 7, 8, 16 nicht auf die in hierin beispielhaft verwendete Anzahl, Konfiguration und Anordnung beschränkt ist, solange in einer entsprechenden Anzahl, Konfiguration und Anordnung die erfindungsgemäßen Wirkungen und Vorteile erzielt werden können. Einzelheiten des an sich bekannten Druckluftbremssystems sind in der folgenden Beschreibung zweckmäßig vereinfachend weggelassen, soweit sie nicht zu einem besseren oder leichteren Verständnis der Erfindung beitragen.

Bei einem Druckluftbremssystem der hierin zugrundeliegenden Art und Verwendung muss sichergestellt sein, dass ein Fehler in einem der Ansteuerkreise sich nach Möglichkeit nicht negativ auf einen anderen Ansteuerkreis auswirkt. Das folgende Ausführungsbeispiel trägt einer Zielsetzung dahingehend Rechnung, dass insbesondere nicht alle, hier beispielsweise beide, Ansteuerkreise durch einen einzelnen Fehler vollständig außer Funktion setzbar sein sollen.

Gemäß dem vorliegenden Ausführungsbeispiel sind Dioden oder dazu funktionell äquivalente Komponenten oder Elemente in elektronischen Steuereinheiten, in einem Kabelbaum (beispielsweise in Steckern oder Steckerbuchsen von Drucksteuerventilen oder elektronischer Steuereinheiten) und/oder in beispielsweise einem speziellen T-Stück angeordnet. Während fehlerfreien Betriebs übernimmt definiert nur eine der elektronischen Steuereinheiten die Ansteuerung der Drucksteuerventile. In allen elektronischen Steuereinheiten werden sowohl die Plus- als auch die Masseleitung gesperrt, solange nicht ein Magnetventil zu bestromen ist.

Wie in Fig.4 gezeigt ist, besteht gemäß dem zweiten Ausführungsbeispiel ein elektro-pneumatischer Aktuator, z.B. das Drucksteuerventil 1 , elektrisch aus zwei Magnetventilen 2, die jeweils den gemeinsamen Anschluss 4.1 und je den dedizierten bzw. eigenen Anschluss 4.2, 4.3 aufweisen.

Die erste ansteuernde elektronische Steuereinheit bzw. ECU 3 und die zweite ansteuernde elektronische Steuereinheit bzw. ECU 3.2 weisen jeweils die Schalteinrichtungen 4, 16 zum Schalten der gemeinsamen Anschlüsse aller Magnetventile 2 und jeweils die Schalteinrichtungen 5, 6, 7, 8 für jedes Magnetventil 2 für deren einzelne Bestromung auf. Die Schalteinrichtungen 4, 5, 6, 7, 8, 16 können wie vorstehend erwähnt beispielsweise als elektronische Endstufen 15, 16 konfiguriert sein, die von einer ersten Logikeinheit 17 in der ersten elektronischen Steuereinheit 3 und einer zweiten Logikeinheit 17.2 in der zweiten elektronischen Steuereinheit 3.2 gesteuert werden.

Es wird hierbei zwischen Endstufen, die die Zuleitungen der Drucksteuerventile 1 mit Plus (+) verbinden (Highside), und Endstufen, die die Rückleitungen der Magnetventile 2 mit Minus (-) oder Masse verbinden (Lowside), unterschieden. Eine Endstufe, die einen der beiden Pfade für mehrere Magnetventile 2 gemeinsam schaltet, kann eine Highside-Endstufe oder eine Lowside-Endstufe (Common Ground) sein. In der nachfolgenden Beschreibung wird zweckmäßigerweise von einem negativen Anschluss (Lowside) ausgegangen.

Eine beidseitige Abschaltmöglichkeit ist notwendig, um auch bei einem Kurzschluss einer der Zuleitungen 10 gegen die Versorgungsspannung 9 oder gegen die Masse, oder aufgrund einer durchlegierten Endstufe 12, ein unerwünschtes Bestromen eines Magnetventils 2 zu unterbinden.

Um darüber hinaus auch anderweitige Fehlerfälle, wie insbesondere Kurzschlüsse zwischen Zu- und Rückleitung 11 , Kurzschlüsse zwischen Rückleitung und Versorgung 13 und zwischen Rückleitung und Masse 14, sowie einen etwaigen Kabelbruch rechtzeitig zu erkennen, werden permanent elektrische Werte (beispielsweise Spannungen an den Anschlüssen, übergroße Ströme) überwacht sowie von Zeit zu Zeit Testpulse auf die Magnete gegeben und die elektrische Reaktion darauf ausgewertet.

Wie in Fig.4 gezeigt ist, sind gemäß dem vorliegenden Ausführungsbeispiel an dem jeweiligen Anschluss der Schalteinrichtungen bzw. Endstufen 15, 16 in Richtung der Magnetventile 2 oder deren jeweiligem Anschluss zur Spannungsversorgung bzw. Masse jeweils eine Diode 18 und eine Diode 19 angeordnet. In dem vorliegenden Ausführungsbeispiel gemäß Fig.4 sind die Dioden 18, 19 innerhalb der ersten und zweiten Steuergeräte 3, 3.2 angeordnet, wie in der Figur durch eine durchbrochene Linie angedeutet, und sind in einer Sperrrichtung so angeordnet, dass sie in Richtung jeweils ihrer elektronischen Steuereinheit 3, 3.2 zufließenden Strom, d.h. von extern kommenden Strom, sperren (Sperrrichtung) und von ihrer elektronischen Steuereinheit 3, 3.2 jeweils aus- bzw. abfließenden Strom durchlassen (Durchlassrichtung).

Es wird angemerkt, dass diese Dioden 18, 19 in entsprechenden Modifikationen des vorliegenden Ausführungsbeispiels außerhalb der ersten und zweiten Steuergeräte 3, 3.2 (Fig.5), durch eine äquivalent zu einer jeweils einzelnen bzw. separat angeordneten Diode 18, 19 arbeitende Dioden-Schaltungsanordnung 20 (Fig.6), durch in jeweils einem gemeinsamen Strompfadabschnitt zwischen den Schalteinrichtungen bzw. Endstufen 15, 16 und jeweils den elektronischen Steuereinheiten 3, 3.2 (Fig.7) und/oder durch eine zusätzliche, umgekehrt gepolte und aktiv geschaltete Endstufe 26 in Verbindung mit einer Diode 19 (Fig.8) ersetzt sein können. Im Hinblick auf die letztgenannte Modifikation ist darüber hinaus denkbar, auch die Diode 19 durch eine entsprechend zusätzliche aktiv geschaltete Endstufe zu ersetzen, oder nur die Diode 19 durch eine entsprechende aktiv geschaltete Endstufe 26 zu ersetzen und die Diode 18 als Diode zu belassen, d.h. die Diode 18 nicht durch eine aktiv geschaltete Endstufe 26 zu ersetzen.

Die Dioden 18, 19, die äquivalent zu einer einzelnen Diode arbeitende Schaltungsanordnung 20 und/oder durch eine zusätzliche, umgekehrt gepolte und aktiv geschaltete Endstufe 26 sind in Einbaulage bzw. Polung derart angeordnet und dazu konfiguriert, zu verhindern, dass in einem Fehlerfall über die Verbindungsleitung zu dem Drucksteuerventil 1 ein Strom in einer nicht erwünschten bzw. gewollten, d.h. “falschen”, Richtung in die elektronische Steuereinheiten 3, 3.2 fließt und durch Verbindungen 24, 25 zu den anderen elektronischen Teilen der elektronischen Steuereinheiten 3, 3.2 Schaden verursacht. Hierdurch wird vorteilhaft verhindert, dass dann, wenn beide elektrischen Kreise eine gemeinsame Masse (-) haben, ein Masseversatz zwischen den beiden steuernden elektronischen Steuereinheiten 3, 3.2 zur Zerstörung einer oder beider der elektronischen Steuereinheiten 3, 3.2 führen kann, und dass eine defekte elektronische Steuereinheit 3, 3.2 wieder ungewollt „rückwärts“ versorgt wird, wenn sie beispielsweise aufgrund eines Fehlers von ihrer Versorgungsspannung getrennt wird, oder dass der Strom von einer intakten elektronischen Steuereinheit zum Magnetventil 2 kurzgeschlossen wird, wenn eine defekte elektronische Steuereinheit einen Kurzschluss ihrer Versorgung nach Masse hat, da die parasitäre Diode der Highside-Endstufe der defekten elektronischen Steuereinheit den Strom von der intakten ECU durchlassen würde, wenn diese intakte elektronische Steuereinheit das Magnetventil 2 einschaltet. Denn in einem derartigen Fehlerfall könnte es zu ungewollten und möglicherweise gefährlichen Aktivitäten der defekten elektronischen Steuereinheit kommen und könnte das Magnetventil 2 des betreffenden Drucksteuerventils 1 daran gehindert sein, zu schalten, oder könnte die intakte elektronische Steuereinheit aufgrund des zu hohen Stromflusses ebenfalls zerstört werden. In einem solchen Falle wäre die erforderliche Redundanz nicht mehr gegeben.

Gemäß dem vorliegenden Ausführungsbeispiel werden in beiden elektronischen Steuereinheiten 3, 3.2 sowohl die Endstufen der Plus- als auch der Masseleitung immer dann gesperrt, wenn kein Magnetventil 2 zu bestromen ist. In einem fehlerfreien Betrieb übernimmt definiert nur eine der elektronischen Steuereinheiten 3, 3.2 die Ansteuerung der Drucksteuerventile 1. Diese Aufgabenverteilung kann während fehlerfreien Betriebs aufrechterhalten werden oder zyklisch oder nach anderweitig vorbestimmten Kriterien, beispielsweise nach Kriterien, die dazu konfiguriert sind, die thermische Belastung der Endstufen zu harmonisieren, wechseln.

Außerdem führt eine sich in einem passiven Zustand befindende elektronische Steuereinheit keine aktiven Bestromungen eines Magnetventils 2 zu Testzwecken durch, solange sie im passiven Zustand ist. Hierdurch wird die Ausgabe von Testpulsen auf einen Magneten unterbunden und vorteilhaft ein Auslösen der Werte einer permanenten Überwachung in einer anderen elektronischen Steuereinheit und eine dadurch verursachte, unbegründete Fehlererkennung verhindert.

Die sich in einem passiven Zustand befindende elektronische Steuereinheit kann jedoch optional auch in ihrem passiven Zustand die Spannungspegel an ihren Leitungen zu den Drucksteuerventiien 1 überwachen und gegebenenfalls mit Informationen, die von der aktiven elektronischen Steuereinheit über eine digitale Schnittstelle, z.B. einen CAN-Bus, bezüglich der momentanen Ansteuerung der Magnetventile an sie übertragen werden, plausibilisieren. Insbesondere kann auf diese Weise ein sicheres Sperren der Dioden 18, 19 überwacht werden, beispielsweise dann, wenn die Dioden 18, 19 in Verbindungen innerhalb der elektronischen Steuereinheit wie in Fig.4 gezeigt oder vor den Verbindungen 24, 25 wie in Fig.7 gezeigt angeordnet sind.

Falls eine momentan aktive erste elektronische Steuereinheit, beispielsweise die erste elektronische Steuereinheit 3, aus irgendeinem Grund (z.B. nach Verlust der Versorgungsspannung, wegen eines elektrischen Fehlers innerhalb der Elektronik, z.B. aufgrund einer durchlegierten Endstufe, eines Kabelbruchs in einer Leitung 10 zu einem Drucksteuerventil 1) nicht mehr in der Lage ist, die Drucksteuerventile 1 anzusteuern, wird eine bisher passive, zweite elektronische Steuereinheit, beispielsweise die zweite elektronische Steuereinheit 3.2, nun zur aktiven elektronischen Steuereinheit und übernimmt fortan die Ansteuerung der Drucksteuerventile 1 , soweit dies noch möglich ist.

Zu diesem Zweck kann diese zweite elektronische Steuereinheit 3.2, die aus dem passiven Zustand in den aktiven Zustand wechselt, beispielsweise durch Ausfall einer Kommunikation mit bzw. zu der ersten elektronischen Steuereinheit 3 entweder selbst erkennen, dass die zuvor aktive erste elektronische Steuereinheit 3 ausgefallen ist. Alternativ kann die zuvor aktive erste elektronische Steuereinheit 3 oder eine andere elektronische Steuereinheit, die den Fehler in der zuvor aktiven ersten elektronischen Steuereinheit 3 erkannt hat, die zweite elektronische Steuereinheit 3.2 über den erkannten Fehler benachrichtigen.

Die zweite, nun aktiv gewordene elektronische Steuereinheit 3.2 kann auf der Grundlage der Spannungspegel auf ihren Leitungen 10 sodann erkennen, ob einer der Kurzschlüsse 9, 13 vorliegt oder eine der dedizierten (individuellen) Endstufen in der nicht mehr aktiven ersten elektronischen Steuereinheit 3 durchlegiert ist 12. In solchen Fällen ist ein Weiterbetrieb der Drucksteuerventile 1 nicht mehr möglich, denn ein Einschalten der gemeinsamen Schalteinrichtung 16 bzw. 19 würde sofort und ungewollt ein Magnetventil 2 aktivieren. Die aktive elektronische Steuereinheit beendet daher in diesen Fällen den Betrieb der Drucksteuerventile 1.

Liegt keiner der vorgenannten Fehlerzustände 9, 12, 13, d.h. kein Kurzschluss und keine Durchlegierung einer Endstufe, vor, kann die aktive elektronische Steuereinheit pulsartig die gemeinsame Schalteinrichtung 4, 16 und eine oder mehrere der dedizierten Schalteinrichtungen 5, 6, 7, 8 einschalten, um auf einen Fehler 11 anhand eines zu hohen Stromflusses zu erkennen.

Ein Kurzschluss gegen Masse 14 oder eine durchlegierte gemeinsame Endstufe 16 einer fehlerhaften elektronischen Steuereinheit kann dadurch erkannt werden, dass bei pulsartigem Einschalten der entsprechenden individuellen Endstufe bei ausgeschalteter gemeinsamer Endstufe keine Spannung an der Rückleitung vor der gemeinsamen Endstufe anliegt.

Wurde einer der vorgenannten Fehler 9, 11 , 12, 13 erkannt, ist ein Weiterbetrieb des Drucksteuerventils 1 oder der Drucksteuerventile 1 nicht möglich. Denn im Falle einer durchlegierten Endstufe für die dedizierte Leitung eines Magnetventils 2 in einer elektronischen Steuereinheit wäre es nicht zweckmäßig, wenn nur diese elektronische Steuereinheit die entsprechende gegenpolige gemeinsame Endstufe abschaltet, da der Strom dann über die gegenpolige gemeinsame Endstufe der anderen elektronischen Steuereinheit fließen würde und das Magnetventil ungewollt aktiviert würde. In den vorgenannten Fehlerfällen beendet daher die nun aktive elektronische Steuereinheit den Betrieb des Drucksteuerventils 1 bzw. der Drucksteuerventile 1.

In den anderen Fehlerfällen 14, 21 eines Kurzschlusses gegen Masse oder einer durchlegierten gemeinsamen Endstufe einer defekten elektronischen Steuereinheit kann der Betrieb der Drucksteuerventile 1 gegebenenfalls von der aktiven elektronischen Steuereinheit, die anstelle der defekten elektronischen Steuereinheit den Betrieb der Drucksteuerventile 1 übernommen hat, zumindest für eine begrenzte Zeit fortgesetzt werden.

Es wird angemerkt, dass bei jedem erkannten Fehler eine entsprechende Fehlermeldung ausgegeben und übermittelt werden kann, falls dies noch nicht bereits von Seiten der defekten elektronischen Steuereinheit oder einem zu diesem Zweck bereitgesteliten und konfigurierten anderen Überwachungssystem veranlasst wurde.

Wie vorstehend beschrieben wurde, betrifft die Erfindung eine Vorrichtung zur Entkopplung und/oder zum Schutz vor Ausgleichsströmen zur Verwendung bei gemeinsamer Nutzung zumindest eines elektro-pneumatischen Aktuators 1 durch eine Mehrzahl von unabhängig spannungsversorgten Steuergeräteinrichtungen 3, 3.2 in redundanten Systemen für autonomes Fahren. Der elektro-pneumatische Aktuator 1 weist jeweils einen gemeinsamen Anschluss 4.1 , über den der elektro- pneumatische Aktuator 1 mit einem gemeinsamen Anschluss 4.1 anderer elektro- pneumatischer Aktuatoren 1 koppelbar und schaltbar ist, und zumindest einen dedizierten Anschluss 4.2, 4.3, über den der zumindest eine elektro-pneumatische Aktuator 1 einzeln bestrombar ist, auf. Eine dem gemeinsamen Anschluss 4.1 und der Anzahl der dedizierten Anschlüsse 4.2, 4.3 aller elektro-pneumatischer Aktuatoren 1 entsprechende Anzahl von Schalteinrichtungen 4, 5, 6, 7, 8, 16 ist dazu angeordnet, schaltend einen Strom in den zumindest einen elektropneumatischen Aktuator 1 einzusteuern oder nicht einzusteuern. Die Erfindung sieht zumindest eine Stromflusssperreinrichtung 18, 19, 20, 21 vor, die dazu konfiguriert ist, einen unerwünschten Stromfluss zu einer nicht aktiven elektronischen Steuereinheit 3, 3.2 der ersten und zweiten elektronischen Steuereinheiten 3, 3.2 zu unterbinden.

BEZUGSZEICHENLISTE

1 Drucksteuerventil

2 Magnetventil

3 erste ECU

3.2 zweite ECU

.1 gemeinsamer Anschluss Magnetventil

.2 eigener Anschluss Magnetventil

.3 eigener Anschluss Magnetventil

Schalter für gemeinsamen Anschluss

Schalter für eigenen Anschluss

Kurzschluss gegen Versorgung oder Masse 0 Kurzschluss in Zuleitung

1 Kurzschluss zwischen Zu- und Rückleitung

2 Kurzschluss durch durchlegierte Endstufe

3 Kurzschluss zwischen Rückleitung und Versorgung 4 Kurzschluss zwischen Rückleitung und Masse 5 Endstufe

6 Schalter für gemeinsamen Anschluss; Endstufe 7 Logikeinheit

2.1 erste Spannungsversorgung

2.2 zweite Spannungsversorgung

3 Datenbus

4 Verbindung

5 Verbindung

Claims

PATENTANSPRÜCHE

1. Schutzvorrichtung zur Entkopplung elektrischer Steuerkreise bei gemeinsamer Nutzung zumindest eines elektro-pneumatischen Aktuators (1) durch eine Mehrzahl von unabhängig spannungsversorgten Steuergeräteinrichtungen in einem redundanten System für autonomes Fahren, wobei

der zumindest eine elektro-pneumatische Aktuator (1) jeweils einen gemeinsamen Anschluss (4.1), über den der zumindest eine elektro-pneumatische Aktuator (1) mit einem gemeinsamen Anschluss (4.1) zumindest eines anderen elektro-pneumatischen Aktuators (1) koppelbar und schaltbar ist, und zumindest einen dedizierten Anschluss (4.2, 4.3), über den der zumindest eine elektropneumatische Aktuator (1) einzeln bestrombar ist, aufweist,

die Mehrzahl von Steuergeräteinrichtungen zumindest eine erste Steuergeräteinrichtung, die eine erste elektronische Steuereinheit (3) und eine dem gemeinsamen Anschluss (4.1) und der Anzahl der dedizierten Anschlüsse (4.2, 4.3) aller elektro-pneumatischer Aktuatoren (1) entsprechende erste Anzahl von Schalteinrichtungen (4, 5, 6, 7, 8, 16) aufweist, und zumindest eine zweite Steuergeräteinrichtung, die eine zweite elektronische Steuereinheit (3.2) und eine dem gemeinsamen Anschluss (4.1) und der Anzahl der dedizierten Anschlüsse (4.2, 4.3) aller elektro-pneumatischer Aktuatoren (1) entsprechende zweite Anzahl von Schalteinrichtungen (4, 5, 6, 7, 8, 16) aufweist, und

die zumindest eine erste und zweite Steuergeräteinrichtung dazu angeordnet sind, über die Schalteinrichtungen (4, 5, 6, 7, 8, 16) schaltend einen Strom in den zumindest einen elektro-pneumatischen Aktuator (1) einzusteuern oder nicht einzusteuern, gekennzeichnet durch

zumindest eine Stromflusssperreinrichtung (18, 19; 20; 21), die dazu konfiguriert ist, dann, wenn eine der ersten und zweiten Steuergeräteinrichtungen schaltend einen Strom in den zumindest einen elektro-pneumatischen Aktuator (1) einsteuert, einen aus dieser Einsteuerung resultierenden Stromfluss zu der elektronischen Steuereinheit (3, 3.2) einer anderen der ersten und zweiten Steuergeräteinrichtungen zu unterbinden.

2. Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass die ersten und zweiten Steuergeräteinrichtungen ein Haupt-Bremssteuergerät mit der ersten elektronischen Steuereinheit (3) und ein Backup-Bremssteuergerät mit der zweiten elektronischen Steuereinheit (3.2) umfassen, und der zumindest eine elektrisch- pneumatische Aktuator (1) ein Magnetventil (2) oder ein Magnetventile beinhaltendes Drucksteuermodul (1) umfasst, wobei die ersten und zweiten Steuergeräteinrichtungen dazu angeordnet sind, gemeinsam auf Spulen der Magnetventile (2) und/oder der Drucksteuermodule (1) zuzugreifen, wobei die Spulen dazu konfiguriert sind, über die Schalteinrichtungen (4, 5, 6, 7, 8, 16) angesteuert zu werden, und wobei die Schalteinrichtungen (4, 5, 6, 7, 8, 16) Halbleiterschalter und/oder Endstufen beinhalten, die dazu konfiguriert sind, über einen gemeinsamen Versorgungs- und Massepfad versorgt zu werden.

3. Vorrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Schalteinrichtungen (4, 5, 6, 7, 8, 16) als elektronische Endstufen (15, 16) konfiguriert sind, die dazu angeordnet sind, von einer Logikeinheit (17, 17.2) der ersten oder zweiten elektronischen Steuereinheit (3, 3.2) gesteuert zu werden, wobei eine Endstufe jeweils eine Endstufe ist, die die Zuleitungen eines elektro- pneumatischen Aktuators mit einem Plus-Potenzial verbindet, oder eine Endstufe ist, die die Rückleitungen des elektro-pneumatischen Aktuators mit einem Minus- Potenzial oder Massepotenzial verbindet.

4. Vorrichtung nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass die Stromflusssperreinrichtung (18, 19) als eine an einem Anschluss jeder der Schalteinrichtungen (4, 5, ,6 7, 8, 16) angeordnete Diode (18; 19) ausgebildet ist.

5. Vorrichtung nach Anspruch 4, dadurch gekennzeichnet, dass die Diode (18, 19) innerhalb der ersten und zweiten elektronischen Steuereinheiten (3, 3.2) oder außerhalb der ersten und zweiten elektronischen Steuereinheiten (3, 3.2) zwischen dem zumindest einen elektro-pneumatischen Aktuator (1) und jeder der Schalteinrichtungen (4, 5, 6, 7, 8, 16) angeordnet ist.

6. Vorrichtung nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass mehrere Dioden (18, 19) in einer äquivalent zu einer jeweils einzelnen Diode (18, 19) arbeitenden, ein T-Stück ausbildenden Dioden- Schaltungsanordnung (20) angeordnet sind.

7. Vorrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass versorgungspotenzialseitig in einem gemeinsamen Strompfadabschnitt zwischen den Schalteinrichtungen (4, 5, 6, 7, 8, 16) und der ersten und der zweiten elektronischen Steuereinheit (3, 3.2) eine umgekehrt gepolte und aktiv geschaltete Endstufe (26) als die Stromsperreinrichtung angeordnet ist, und massepotenzialseitig in einem gemeinsamen Strompfadabschnitt zwischen den Schalteinrichtungen (4, 5, 6, 7, 8, 16) und der ersten und der zweiten elektronischen Steuereinheit (3, 3.2) eine Diode (19) als die Stromsperreinrichtung angeordnet ist.

8. Vorrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass versorgungspotenzialseitig in einem gemeinsamen Strompfadabschnitt zwischen den Schalteinrichtungen (4, 5, 6, 7, 8, 16) und der ersten und der zweiten elektronischen Steuereinheit (3, 3.2) eine Diode (18) als die Stromsperreinrichtung angeordnet ist, und massepotenzialseitig in einem gemeinsamen Strompfadabschnitt zwischen den Schalteinrichtungen (4, 5, 6, 7, 8, 16) und der ersten und der zweiten elektronischen Steuereinheit (3, 3.2) eine umgekehrt gepolte und aktiv geschaltete Endstufe (26) als die Stromsperreinrichtung angeordnet ist.

9. Vorrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass versorgungspotenzialseitig in einem gemeinsamen Strompfadabschnitt zwischen den Schalteinrichtungen (4, 5, 6, 7, 8, 16) und der ersten und der zweiten elektronischen Steuereinheit (3, 3.2) eine umgekehrt gepolte und aktiv geschaltete Endstufe (26) als die Stromsperreinrichtung angeordnet ist, und massepotenzialseitig in einem gemeinsamen Strompfadabschnitt zwischen den Schalteinrichtungen (4, 5, 6, 7, 8, 16) und der ersten und der zweiten elektronischen Steuereinheit (3, 3.2) eine umgekehrt gepolte und aktiv geschaltete Endstufe (26) als die Stromsperreinrichtung angeordnet ist.

10. Vorrichtung nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass

die erste und die zweite elektronische Steuereinheit (3, 3.2) dazu konfiguriert sind, sowohl die Schalteinrichtungen (4, 5, 6, 7, 8, 16) sowohl einer

Plus- als auch einer Masseleitung zu sperren, wenn kein elektro-pneumatischer Aktuator (1) zu bestromen ist,

in einem fehlerfreien Betrieb in Übereinstimmung mit vorbestimmten Kriterien definiert nur eine der ersten und zweiten elektronischen Steuereinheiten (3, 3.2) die Ansteuerung des zumindest einen elektro-pneumatischen Aktuators (1) übernimmt,

eine sich in einem passiven Zustand befindende elektronische Steuereinheit der ersten und der zweiten elektronischen Steuereinheiten (3, 3.2) dazu konfiguriert ist, eine aktive Bestrom ungen eines elektro-pneumatischen Aktuators (1) zu Testzwecken nicht durchzuführen; und

die sich in dem passiven Zustand befindende elektronische Steuereinheit dazu konfiguriert ist, in einem Fehlerfall einer aktiven Steuereinheit der ersten und der zweiten elektronischen Steuereinheiten (3, 3.2), der einen Weiterbetrieb der aktiven Steuereinheit verhindert, in einen aktiven Zustand zu wechseln und als neue aktive elektronische Steuereinheit anstelle der fehlerfälligen elektronischen Steuereinheit fortan die Ansteuerung des elektro-pneumatischen Aktuators (1) zu übernehmen; wobei

die sich in dem passiven Zustand befindende elektronische Steuereinheit dazu konfiguriert ist, Spannungspegel an ihren Leitungen zu dem zumindest einen elektro-pneumatischen Aktuator (1) zu überwachen, diese Überwachung mit von der aktiven elektronischen Steuereinheit an sie übertragener Information bezüglich einer momentanen Ansteuerung des zumindest einen elektrischen Aktuators zu plausibilisieren, und ein sicheres Sperren der Stromsperreinrichtung zu überwachen.