WO2025011900A1 - Elektrische eingabeverteilung in einem redundanten fail-operational system - Google Patents

Elektrische eingabeverteilung in einem redundanten fail-operational system Download PDF

Info

Publication number
WO2025011900A1
WO2025011900A1 PCT/EP2024/067011 EP2024067011W WO2025011900A1 WO 2025011900 A1 WO2025011900 A1 WO 2025011900A1 EP 2024067011 W EP2024067011 W EP 2024067011W WO 2025011900 A1 WO2025011900 A1 WO 2025011900A1
Authority
WO
WIPO (PCT)
Prior art keywords
signal
control unit
control
vehicle
primary
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
PCT/EP2024/067011
Other languages
English (en)
French (fr)
Inventor
Julian van Thiel
Oliver WULF
Jens CHRISTEL
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
ZF CV Systems Global GmbH
Original Assignee
ZF CV Systems Global GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ZF CV Systems Global GmbH filed Critical ZF CV Systems Global GmbH
Publication of WO2025011900A1 publication Critical patent/WO2025011900A1/de
Anticipated expiration legal-status Critical
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
    • G05D1/00—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots
    • G05D1/80—Arrangements for reacting to or preventing system or operator failure
    • G05D1/87—Arrangements for reacting to or preventing system or operator failure using redundant control arrangements
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/023—Avoiding failures by using redundant parts
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G05B9/03—Safety arrangements electric with multiple-channel loop, i.e. redundant control systems
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W2050/0001—Details of the control system
    • B60W2050/0002—Automatic control, details of type of controller or control system architecture
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B60W2050/021—Means for detecting failure or malfunction
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2556/00—Input parameters relating to data
    • B60W2556/20—Data confidence level
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
    • G05D2105/00—Specific applications of the controlled vehicles
    • G05D2105/20—Specific applications of the controlled vehicles for transportation
    • G05D2105/22—Specific applications of the controlled vehicles for transportation of humans
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
    • G05D2107/00—Specific environments of the controlled vehicles
    • G05D2107/10—Outdoor regulated spaces
    • G05D2107/13—Spaces reserved for vehicle traffic, e.g. roads, regulated airspace or regulated waters
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
    • G05D2109/00—Types of controlled vehicles
    • G05D2109/10—Land vehicles

Definitions

  • the present invention relates, inter alia, to a signal control system for redundant signal transmission for a vehicle, wherein the signal control system comprises a first and a second control unit.
  • the present invention further comprises a vehicle control system.
  • the present invention also comprises a vehicle.
  • the present invention comprises a signal plausibility check method.
  • the first level of autonomous driving includes assisted driving.
  • the driver is supported by the vehicle in driving the vehicle. Examples include cruise control, which maintains a speed selected by the driver, and the automatic lane departure warning system, which keeps the vehicle in a lane.
  • the second level of autonomous driving includes partially automated driving.
  • the vehicle can independently carry out tasks such as lane keeping, braking or accelerating under defined conditions.
  • the third level of autonomous driving is highly automated driving. The driver can temporarily turn away from the driving task and from the traffic. In certain traffic situations, the vehicle drives independently and without human intervention.
  • the fourth level of autonomous driving includes fully automated driving.
  • the driver can completely hand over control of the vehicle and becomes a passenger.
  • the vehicle takes over journeys completely independently and can also drive without passengers. Passengers can be distracted during the journey and sleep, for example.
  • the system also recognizes its Limits such that it can continue to operate in accordance with the rules. Such behavior is also referred to as "fail-operational".
  • the fifth stage of autonomous driving there are only passengers without a driving task. The vehicle handles all driving tasks completely autonomously.
  • German patent application DE 10 2007 035 326 A1 describes a braking device, in particular an electrically operated motor vehicle brake with a brake pedal sensor for detecting a braking request, a control unit connected to the brake pedal sensor and at least one brake actuator that is controlled by the control unit in accordance with the braking request.
  • the reliability of the brake can be significantly improved if at least two brake pedal sensors are provided, each of which is assigned to a control unit, the control units being connected to one another via a data connection.
  • a fail-operational system is a system that can continue to operate normally or at least to a limited extent even if at least one component fails. Fail-operational systems can be implemented using redundant components, for example, which remain active in the event of a component failure.
  • a signal control system for redundant signal transmission for a vehicle comprises a first control unit for controlling at least one primary actuator system and a second control unit for controlling at least one secondary actuator system. Furthermore, the first control unit and the second control unit are connected to one another via a communication connection, wherein the first control unit and the second control unit are each designed to completely or partially replace one another functionally.
  • the signal control system comprises an input unit for signal provision, wherein the input unit is connected to both the first control unit and the second control unit and provides at least a first primary signal to the first control unit and provides at least a first secondary signal to the second control unit. The first primary signal and the first secondary signal are partially or completely redundant.
  • the first control unit is configured to provide the first primary signal to the second control unit via the communication connection
  • the second control unit is configured to provide the first secondary signal to the first control unit via the communication connection.
  • the first control unit is configured to provide the first primary signal to the second control unit via the communication connection or the second control unit is configured to provide the first secondary signal to the first control unit via the communication connection.
  • At least one control unit of the first control unit and the second control unit is configured to carry out a signal plausibility check based on the first primary signal and the first secondary signal.
  • the signal plausibility check is used to check signals or signals derived from signals for plausibility.
  • the comparison takes place between several signals, so that several signals are checked against each other. For example, a plausibility check of signals that are redundant to each other can It may be necessary that, depending on the rest of the system, these signals agree with one another or are different from one another.
  • the comparison preferably also includes checking a signal or checking a signal derived from a signal for an expected result. An expected result is preferably pre-stored in at least one control unit.
  • the plausibility check then checks at least one signal for this result.
  • the test result is then further processed or a signal is output based on it.
  • the signal plausibility check preferably checks the first primary signal and the first secondary signal.
  • the signal plausibility check preferably includes at least one further signal in the test.
  • a signal provider which provides a second signal; the signal provider is connected to the first control unit and provides the second signal to the first control unit.
  • the signal provider provides a signal and preferably comprises a human-machine interface, such as a button, lever, user-selected status or other input means.
  • the signal provider preferably comprises a program which provides the signal and is preferably executed in a cloud service.
  • the second signal preferably comprises an automation request signal.
  • the second signal alternatively comprises an alarm signal.
  • Consequences of the alarm state can preferably include the system activating an emergency program to bring the system, which is comprised of a vehicle, for example, into a safe state.
  • a safe state of a vehicle preferably means that the vehicle safely leaves the road trajectory during a journey and is brought to a standstill in order to avoid dangerous situations.
  • the communication connection is designed to transmit at least one signal and/or a signal derived from the signal from the first control unit to the second control unit and/or from the second control unit to the first control unit. This makes it possible to exchange signals between the first and second control units via the communication connection. If, for example, the provision of a first signal to a first control unit fails, the first signal is preferably transmitted to the other control unit and then via the communication connection to the first control unit.
  • the communication connection is a bus connection, preferably a private bus connection, e.g. a CAN connection, preferably a private CAN connection. Transmission via bus connections enables fast and universal signal transmission.
  • the input unit is or comprises a human-machine interface for requesting an autonomy level
  • the first primary signal and the first secondary signal are or comprise an automation request signal.
  • the automation request signal preferably serves to request an automation level.
  • the system preferably makes preparations to start the automation in a certain SAE level. This preferably includes checking the readiness of the systems relevant to this automation level.
  • the signal provider is or comprises a human-machine interface for activating the autonomy level and the second signal is or comprises an automation activation signal.
  • the automation activation signal activates the automation.
  • the systems relevant to the automation are preferably ready for operation.
  • the systems relevant to the automation are preferably put into operational readiness by the automation activation signal.
  • an automation level is preferably activated.
  • the automation level is preferably one of levels 1-5 of the SAE J3016 standard.
  • the human-machine interface is preferably an input element, such as a lever, a button, a UL element or the like.
  • the human-machine interface is preferably an input from a user.
  • the human-machine interface is preferably stored in a cloud architecture or as software.
  • the communication connection is designed to transmit at least one signal or a signal derived from the at least one signal in a secured manner, preferably via a checksum.
  • a checksum By securing the signal, preferably via the checksum, ensures secure transmission so that the signal is not corrupted or replaced by another signal during transmission.
  • the checksum is preferably calculated using a hash function or other methods for creating a checksum.
  • the communication link is designed to transmit multiple signals in one message. It is advantageous to transmit multiple signals in one message in order to increase the transmission bandwidth. Multiple signals can preferably be temporally correlated or can be temporally correlated by transmitting them in one message.
  • the first control unit and the second control unit are configured to determine a reception time of the signal upon receipt of at least one signal and to derive the time stamp from the received signal.
  • the first control unit and the second control unit are configured to determine a reception time of the signal upon receipt of at least one signal or to derive the time stamp from the received signal.
  • the first control unit or the second control unit is configured to determine a reception time of the signal upon receipt of at least one signal and to derive the time stamp from the received signal.
  • the first control unit or the second control unit is designed to determine a time of reception of the signal upon receipt of at least one signal or to derive the time stamp from the received signal. The age of the signal can be deduced from the time of reception of the signal or the time stamp from the received signal.
  • the first control unit and the second control unit are configured to carry out the signal plausibility check based on the time of reception of the signal and/or a time stamp of the signal.
  • the first control unit or the second control unit is configured to carry out the signal plausibility check based on the time of receipt of the signal and/or a time stamp of the signal.
  • the signal plausibility check preferably takes into account the time of reception and/or the time stamp of the signal. This means that signals can be discarded due to their age. Furthermore, the validity of the signal is preferably checked against other signals based on the timing of the reception and/or the time stamp. If there are discrepancies between the time stamps or the times of reception of the signals, the signals are preferably discarded or the plausibility check preferably returns the result of implausibility.
  • the signal provider provides the second signal or the signal derived from the second signal only, preferably exclusively, to the first control unit.
  • the first primary signal and the first secondary signal are provided together at a first control unit and together at a second control unit.
  • the first primary signal and the first secondary signal are provided together at a first control unit or together at a second control unit.
  • a vehicle control system for redundant signal transmission for a vehicle with an automation level of SAE Level 2 or higher comprises a signal control system according to one of the previous embodiments, a first energy supply, a second energy supply, at least one primary actuator system, and at least one secondary actuator system which primary actuator system is partially or completely functionally replaced.
  • the first energy supply supplies the first control unit of the signal control system and the at least one primary actuator system with electrical energy.
  • the first control unit of the signal control system is connected to the at least one primary actuator system in order to control the at least one primary actuator system.
  • the second energy supply supplies the second control unit of the signal control system and the at least one secondary actuator system with energy.
  • the second control unit of the signal control system is connected to the at least one secondary actuator system in order to control the at least one secondary actuator system.
  • the system preferably comprises only a single energy supply. The provision of several energy supplies offers the advantage that if one energy supply fails, only parts of the system are without energy. Furthermore, each energy supply is preferably set up to supply the components that are connected to the other energy supply with energy. In this way, the entire system can continue to operate with the help of one energy supply even if one energy supply fails.
  • the communication connection is configured to provide at least one first control command of the second control unit for the primary actuator system to the first control unit and to provide at least one second control command of the first control unit for the secondary actuator system to the second control unit.
  • the communication connection is configured to provide at least one first control command of the second control unit for the primary actuator system to the first control unit or to provide at least one second control command of the first control unit for the secondary actuator system to the second control unit.
  • At least one control unit of the first control unit and the second control unit preferably both control units are configured to perform a vehicle automation function.
  • the vehicle control system controls the vehicle partially or completely autonomously.
  • the vehicle control system comprises at least one virtual driver for partially or completely autonomous control of the vehicle.
  • a vehicle comprises a vehicle control system according to one of the above-described preferred embodiments of the vehicle control system according to the first aspect of the invention, wherein the primary actuator system comprises a primary braking system and the secondary actuator system comprises a secondary braking system.
  • the vehicle comprises at least one virtual driver for partially or completely autonomous control of the vehicle.
  • a signal plausibility check method for at least one signal using a signal control system for redundant signal transmission for a vehicle, comprises a signal control system which comprises a first control unit for controlling at least one first actuator system and a second control unit for controlling at least one second actuator system, and wherein the first control unit and the second control unit are connected to one another via a communication connection.
  • the first control unit and the second control unit are designed to completely or partially replace one another functionally.
  • the signal control system further comprises an input unit for signal provision, wherein the input unit is connected to the first control unit and to the second control unit and provides at least a first primary signal to the first control unit and a first secondary signal to the second control unit.
  • the first control unit is designed to provide the first primary signal to the second control unit via the communication connection
  • the second control unit is designed to provide the first secondary signal to the first control unit via the communication connection, wherein at least a control unit of the first control unit and the second control unit is set up to carry out a signal plausibility check.
  • the signal plausibility check method further comprises the following steps: providing a first primary signal of the input unit to the first control unit and a first secondary signal to the second control unit; transmitting the first secondary signal from the second control unit to the first control unit; checking, with the help of the first control unit, the signal plausibility of the first primary signal and the signal plausibility of the first secondary signal; outputting an error signal based on the result of the check.
  • the first or the second control unit preferably outputs an error signal.
  • the error signal is preferably forwarded to other components of the signal control system.
  • a vehicle which includes the signal control system can react to the error signal and initiate measures, such as signaling the driver of the lack of signal plausibility. If the vehicle has at least one virtual driver, it preferably indicates to the virtual driver that a speed adjustment, a change in the vehicle trajectory or the like is necessary. If the signal plausibility is determined, the vehicle with at least one virtual driver generally continues its journey without change. If the vehicle does not have a virtual driver, it preferably indicates to the driver that the signal plausibility is present.
  • the signal control system comprises a signal provider that provides a second signal, wherein the signal provider is connected to the first control unit and provides the second signal to the first control unit, and wherein the signal plausibility check is carried out based on the second signal.
  • the second control unit determines a reception time upon receipt of the first primary signal or the first secondary signal or reads a time stamp of the first primary signal and the first secondary signal and takes this information into account in the plausibility check.
  • the second control unit determines a reception time or reads a time stamp upon receipt of the first primary signal or the first secondary signal the first primary signal or the first secondary signal and takes this information into account in the plausibility check.
  • the second control unit determines a reception time upon receipt of the first primary signal and the first secondary signal or reads a time stamp of the first primary signal and the first secondary signal and takes this information into account in the plausibility check.
  • the second control unit determines a reception time upon receipt of the first primary signal and the first secondary signal or reads a time stamp of the first primary signal or the first secondary signal and takes this information into account in the plausibility check.
  • a signal derived from a signal preferably comprises a processed derivative of the signal. Furthermore, the derived signal preferably also comprises the signal. The derived signal is preferably a signal newly created from the signal. The derived signal is preferably the signal itself.
  • a control unit is preferably a commercially available control unit.
  • the control unit preferably comprises a programmed or programmable circuit.
  • the control unit preferably comprises an FPGA, an IC, such as an ASIC, a chip or something else.
  • the control unit preferably comprises a switching logic, for example for carrying out the signal plausibility check or for providing controls to a connected actuator system.
  • control units preferably partially or completely replace each other functionally.
  • both control units are preferably of the same type.
  • One control unit is preferably of a different type and preferably comprises a less complex switching logic or a more complex switching logic than the other control unit.
  • a power supply preferably comprises a battery or another power source, such as an interface for an external power supply, which provides energy for the system.
  • the energy supply preferably comprises solar panels.
  • the energy supplies are preferably of the same type.
  • the energy supplies are preferably designed differently.
  • multiple energy supplies are each different battery types or a battery and another, preferably stationary, energy supply. The increased diversity can ensure that at least one battery functions in different environments, such as very cold or very warm environments.
  • each component of the system comprises its own energy supply.
  • the checksum is preferably calculated from the signal. Consequently, when the signal and the checksum are transmitted, it can be ensured from the signal that the signal was not corrupted during transmission by determining the checksum again in the control unit that received the signal.
  • the various components of the systems are shown in the figures as being connected to one another.
  • the components are preferably connected to one another physically or wirelessly.
  • other components are preferably interposed in the connections.
  • a vehicle can comprise a vehicle control system according to the invention.
  • vehicles such as commercial vehicles, preferably trucks, or passenger vehicles such as cars, bicycles, electric scooters or motorcycles can comprise a vehicle control system according to the invention.
  • a vehicle is preferably a rail-bound vehicle, a ship or an aircraft.
  • the signal plausibility check preferably includes a threshold check, in which at least one signal or a derivation thereof must exceed a certain threshold of a potential. Furthermore, the signal plausibility check preferably checks for rising or falling edges of a signal. For example, the signal plausibility check preferably delivers a positive result if a falling edge of a first signal is followed by a rising edge of a second signal. This sequence can occur within a certain time window, for example within 10 ms.
  • the signals preferably comprise continuous signals or signal sections. However, the signals preferably also comprise toggling signals or signal sections.
  • the signals preferably comprise individual potential differences.
  • toggling means that the signal alternates between two or more signal levels over time.
  • Continuous in this context means that the signal changes little or not at all over time.
  • Fig. 1 shows a signal control system according to the invention
  • Fig. 1a shows a high-level E/E architecture (criss-cross switch) according to the invention
  • Fig. 1 b shows a high-level E/E architecture according to the invention (two opener switch);
  • Fig. 1c shows a high-level E/E architecture according to the invention (Two Closer Switch);
  • Fig. 2 shows a vehicle control system according to the invention, comprising a signal control system according to the invention
  • Fig. 3 shows a vehicle according to the invention, comprising a vehicle control system according to the invention.
  • Fig. 4 shows a sequence of process steps for signal plausibility testing.
  • Fig.1 shows a signal control system 100 according to the invention.
  • the signal control system 100 comprises at least one first control unit 110 and at least one second control unit 120.
  • the signal control system 100 further comprises at least one first input unit 140.
  • the first input unit 140 preferably comprises a human-machine interface 141.
  • the first input unit 140 preferably also comprises a Machine-machine interface 141, which receives at least one signal and preferably provides at least one signal.
  • the first input unit 140 comprises a radio module to which signals are provided via radio or wired.
  • the first input unit 140 is preferably connected to the first control unit 110 and the second control unit 120.
  • the first input unit 140 is preferably connected to the first control unit 110 or the second control unit 120.
  • the connection can preferably be mechanical or electronic.
  • the connection can also exist as a radio connection.
  • the connection can preferably exist continuously. Preferably, the connection can also be present temporarily.
  • the first input unit 140 preferably provides at least a first primary signal S1 P and/or a first secondary signal S1 S.
  • the first primary signal S1 P is preferably provided to the first control unit 110.
  • the first secondary signal S1 S is preferably provided to the second control unit 120.
  • the first secondary signal S1 S can preferably be a secondary automation request signal AES.
  • the first primary signal S1 P can preferably be a primary automation request signal AES.
  • the automation request signal AES can preferably request an automation level.
  • the signal control system 100 preferably comprises a signal provider 150.
  • the signal provider 150 preferably provides at least a second signal S2, preferably to the first control unit.
  • the second signal preferably comprises an automation activation signal AAS.
  • the signal provider 150 preferably comprises a human-machine interface 151.
  • the machine-machine interface is preferably designed such that signals are provided thereto via radio or cable. These signals or signals derived from them are then preferably provided to the first control unit 110 in the form of the second signal S2.
  • the signal control system 100 preferably comprises a communication connection 130.
  • the communication connection 130 is preferably connected to the first control unit 110 and the second control unit 120.
  • the communication connection 130 preferably comprises a CAN, preferably a private CAN.
  • the communication link 130 preferably comprises a BUS, preferably a private BUS.
  • the communication link 130 preferably provides a first primary signal S1 P, or a derivative of the first primary signal S1 P provided at the first control unit 110, to the second control unit 120.
  • the communication link 130 preferably provides a first secondary signal S1 S, or a derivative of the first secondary signal S1 S provided at the second control unit 120, to the first control unit 110.
  • the first control unit 110 is preferably connected to a primary actuator system 230.
  • the second control unit 120 is preferably connected to a secondary actuator system 240.
  • each control unit 110, 120 preferably controls one actuator system 230, 240.
  • Each control unit 110, 120 is also preferably connected to the other actuator system 230, 240 or each control unit 110, 120 is preferably connected to each actuator system 230, 240.
  • the first control unit 110 and the second control unit 120 are preferably set up to carry out a signal plausibility check.
  • the first control unit 110 or the second control unit 120 checks whether the received signal is plausible. For example, several signals or signals derived therefrom are preferably provided one after the other or simultaneously to one of the first control unit 110 and the second control unit 120.
  • the first control unit 110 or the second control unit 120 preferably checks the provided signals or derivatives of signals for plausibility, preferably by comparing them with one another.
  • the plausibility check includes a calculation in which the signals or derivatives of the signals are included. This calculation preferably also includes the age of the signals or the time of signal provision to the first control unit 110 or the second control unit 120.
  • the first control unit 110 is preferably set up to change one of the signals provided (first primary signal S1 P, second signal S2, first secondary signal S1 S), or preferably invert it.
  • the first control unit 110 is preferably set up to change at least one signal provided, or preferably invert it.
  • the second control unit 110 is preferably set up to is designed to change or preferably invert at least one provided signal S1 S, S1 P.
  • the signal provider 150 also directly provides a signal S2, AAS to the second control unit 120.
  • the first control unit 110 and the second control unit 120 preferably replace each other partially or completely.
  • the first primary signal S1 P and the first secondary signal S1 S can both correspond to a first signal S1 or be derived from it.
  • By providing the first primary signal S1 P to the first control unit 110 and the first secondary signal S1 S to the second control unit 120 it can be ensured that the first signal S1 is provided redundantly in the signal control system 100.
  • the redundancy of control units 110, 120 and the redundant provision of signals S1 P, S1 S ensures that even if individual components fail, such as a control unit 110, 120 of the signal control system 100, the signal control system 100 is still fully or partially functional (fail-operational).
  • Figs. 1a, 1b and 1c show high-level E/E architectures according to the invention. These architectures are preferably implemented in a signal control system 100.
  • Fig. 1a shows the architecture in the criss-cross switch type.
  • the first control unit 110 and the signal provider 150, 151 are preferably connected to a ground GND.
  • the first control unit 110 is preferably connected to the second control unit 120 via a CAN connection.
  • the first control unit 110 preferably comprises a first monitoring system.
  • the second control unit 120 preferably comprises a second monitoring system. The monitoring is preferably used to check the signal plausibility.
  • the first input unit 140, 141 preferably comprises circuit electronics and a first pin PIN1 and a second PIN2.
  • PIN1 is connected to the first control unit 110 and PIN2 is connected to the second control unit 120.
  • PIN1 preferably provides a first primary signal S1 P, AES to the first control unit 110.
  • PIN2 preferably provides a first secondary signal S1 S, AES to the second control unit 120.
  • the signal provider 150, 151 preferably provides a second signal S2, AAS to the first control unit 110.
  • the signal provider 150, 151 preferably comprises circuit electronics that can have various switch positions. In Figs. 1 a, 1 b and 1c, the switch position is shown as open, but any other switch position, for example a closed switch position, is possible.
  • the circuit electronics can preferably have the switch positions of two switches influence, each switch being connected to a pin PIN1, PIN2.
  • the switch position of the first switch is different from the switch position of the second switch.
  • the switch position of the first switch is the same as the switch position of the second switch. Both switch positions are referred to as closed.
  • This inventive high-level E/E architecture is referred to as a two opener switch.
  • the switch position of the first switch is the same as the switch position of the second switch. Both switch positions are referred to as open.
  • This inventive high-level E/E architecture is referred to as a two closer switch.
  • Fig. 2 shows a vehicle control system 200 according to the invention.
  • the vehicle control system 200 preferably comprises a signal control system 100 according to an embodiment of the invention.
  • the vehicle control system 200 preferably comprises at least one first energy supply 210 and at least one second energy supply 220.
  • the primary actuator system 230 preferably comprises a primary braking system 231. Furthermore, the primary actuator system 230 preferably comprises a primary steering system 232. The primary steering system 232 preferably comprises actuators for steering the vehicle 1. The primary actuator system 230 preferably comprises a further primary actuator P. The primary actuator system 230 is preferably connected to the first energy supply 210 and is supplied with energy by it.
  • the secondary actuator system 240 preferably comprises a secondary braking system 241. Furthermore, the secondary actuator system 240 preferably comprises a secondary steering system 242. The secondary steering system 242 preferably comprises actuators for steering the vehicle 1.
  • the secondary actuator system 240 preferably comprises a further secondary actuator S.
  • the secondary actuator system 240 is preferably connected to the second energy supply 220 and is supplied with energy by the latter.
  • the primary actuator system 230 is preferably connected to the second energy supply 220 and the secondary actuator system 240 is preferably connected to the first energy supply 210.
  • the primary actuator system 230 is preferably connected to the second energy supply 220 or the secondary actuator system 240 is preferably connected to the first energy supply 210. If a power supply 220, 230 fails, the respective actuator system 230, 240 does not also fail, but can continue to operate with the other power supply.
  • the first actuator system 230 and the second actuator system 240 are preferably connected to each other via a CAN or a BUS connection, preferably a private CAN or BUS connection.
  • the primary braking system 231 and the secondary braking system 241 are preferably connected to one another.
  • the primary steering system 232 and the secondary steering system 242 are preferably connected to one another.
  • the first control unit 110 and the second control unit 120 are preferably connected to a common drive train 160.
  • the drive train 160 accelerates the vehicle 1 and thus drives the vehicle 1.
  • a primary virtual driver PVD is preferably connected to the first control unit 110. Furthermore, a secondary virtual driver SVD is preferably connected to the second control unit 120.
  • the communication connection 130 preferably provides at least a first control command AS1 of the second control unit 120 for the primary actuator system 230 at the first control unit 110.
  • the communication connection 130 preferably provides at least a second control command AS2 of the first control unit 110 for the secondary actuator system 240 at the second control unit 120.
  • the first input unit 140 is preferably connected to the at least first energy supply 210 and the at least second energy supply 220. Alternatively, the first input unit 140 is preferably connected to the at least first energy supply 210 or the at least second energy supply 220.
  • the signal provider 150 is preferably also connected to the at least first energy supply 210 and the at least second energy supply 220. Alternatively, the second input unit 150 is preferably also connected to the at least first energy supply 210 or the at least second energy supply 220.
  • Fig. 3 shows a vehicle 1 which comprises a vehicle control system 200 according to the invention.
  • the vehicle control system 200 preferably comprises a first control unit 110 and a second control unit 120 which are connected to one another via a communication connection 130.
  • an input unit 140 is preferably connected to the first control unit 110 and the second control unit 120.
  • a signal provider 150 is connected to the first control unit 110.
  • a primary actuator system 230 is connected to the first control unit 110.
  • the first control unit 110 preferably provides a first control signal AS1 to the primary actuator system 230.
  • the second control unit 120 preferably provides a second control signal AS2 to a secondary actuator system 240.
  • the primary actuator system 230 is preferably connected to a primary braking system 231.
  • the secondary actuator system 240 is preferably connected to a secondary braking system 241.
  • the primary actuator system 230 and the secondary actuator system 240 are preferably connected to each other.
  • the first control unit 110 and the second control unit 120 are preferably connected to a drive train 160.
  • the primary braking system 231 and the secondary braking system 241 are preferably connected to each other.
  • a primary virtual driver PVD is preferably connected to the first control unit 110.
  • a secondary virtual driver SVD is preferably connected to the second control unit 120.
  • the primary virtual driver PVD and the secondary virtual driver SVD can preferably be connected to one another.
  • a first energy supply 210 is preferably connected to the first virtual driver PVD, the first control unit 110, the primary actuator system 230, the input unit 140 and the signal provider 150.
  • a second energy supply 220 is preferably connected to the secondary virtual driver SVD, the second control unit 120, the secondary actuator system 240 and the input unit 140.
  • the vehicle 1 is preferably a commercial vehicle or a passenger vehicle, preferably a passenger car or a motorcycle.
  • Fig. 4 shows a signal plausibility check method according to the invention. The method comprises a sequence of steps M1, M2, M3 and M4, which can be carried out one after the other or at least partially simultaneously. The signal plausibility check method is carried out using a signal control system 100 according to the invention.
  • a first primary signal S1 P of the input unit 140 is provided to the first control unit 110 and a first secondary signal S1 S is provided to the second control unit 120.
  • the first secondary signal S1 S is transmitted from the second control unit 120 to the first control unit 110.
  • the first primary signal S1 P is also transmitted from the first control unit 110 to the second control unit 120.
  • the third step M3 comprises checking the signal plausibility of the first primary signal S1 P and the signal plausibility of the first secondary signal S1 S using the first control unit 110. In an alternative embodiment, this step is also carried out using the second control unit 120 or both the first control unit 110 and the second control unit 120.
  • an error signal will be output based on the result of the test. If the test does not show a lack of plausibility, preferably no signal or a plausibility signal will be output instead.
  • the result of the test will preferably be used by a control unit 110, 120 to provide an actuation of the primary and secondary actuators 230, 240. Alternatively, the result of the test will preferably be used by one of the first control unit 110 and the second control unit 120 to provide an actuation of the primary actuators 230 or the secondary actuators 240.
  • the method preferably comprises further steps which can be carried out independently of the order, except where this is not possible.
  • the result is preferably transmitted back from one control unit to the other control unit.
  • the other control unit receives then preferably uses the result in a test or processes it further in some other way.
  • the control unit preferably communicates the result of the procedure to an external party, for example to a vehicle.
  • the age of the signal is preferably taken into account.
  • a time indication such as a time stamp, is preferably taken from the signal.
  • a point in time is preferably determined by the first control unit 110 or the second control unit 120 at which the signal is provided, which is used in the further signal plausibility check process.
  • signals that are too old or too young are preferably discarded.
  • a time window can also be set based on the age of a first signal, which the age of a further signal must correspond to. If this is not the case, both signals can be understood as not being correlated with one another.
  • signals of the same age are compared with each other.
  • AES automation request signal AS1 first control command

Landscapes

  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Physics & Mathematics (AREA)
  • Transportation (AREA)
  • Mechanical Engineering (AREA)
  • Human Computer Interaction (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Quality & Reliability (AREA)
  • General Engineering & Computer Science (AREA)
  • Aviation & Aerospace Engineering (AREA)
  • Radar, Positioning & Navigation (AREA)
  • Remote Sensing (AREA)
  • Control Of Driving Devices And Active Controlling Of Vehicle (AREA)

Abstract

Die vorliegende Erfindung umfasst, unter anderem, ein Signalsteuersystem (100) zur redundanten Signalübertragung für ein Fahrzeug (1). Das Signalsteuersystem (100) umfasst eine erste Steuereinheit (110) zur Ansteuerung wenigstens eines primären Aktuatorsystems (230) und eine zweite Steuereinheit (120) zur Ansteuerung wenigstens eines sekundären Aktuatorsystems (240). Die erste Steuereinheit (110) und die zweite Steuereinheit (120) sind über eine Kommunikationsverbindung (130) miteinander verbunden. Das Signalsteuersystem (100) umfasst weiter eine Eingabeeinheit (140) zur Signalbereitstellung, wobei die Eingabeeinheit (140) sowohl mit der ersten Steuereinheit (110) als auch der zweiten Steuereinheit (120) verbunden ist und mindestens ein erstes primäres Signal (S1P) an der ersten Steuereinheit (110) bereitstellt und mindestens ein erstes sekundäres Signal (S1S) an der zweiten Steuereinheit (120) bereitstellt. Wenigstens eine Steuereinheit der ersten Steuereinheit (110) und der zweiten Steuereinheit (120) ist dafür eingerichtet, eine Signalplausibilitätsprüfung basierend auf dem ersten primären Signal (S1P) und dem ersten sekundären Signal (S1S) auszuführen. Weiter umfasst die vorliegende Erfindung ein Fahrzeugsteuersystem, ein Fahrzeug (1 ) und ein Signalplausibilitätsprüfungsverfahren.

Description

Elektrische Eingabeverteilung in einem redundanten Fail-operational System
Die vorliegende Erfindung betrifft, unter anderem, ein Signalsteuersystem zur redundanten Signalübertragung für ein Fahrzeug, wobei das Signalsteuersystem eine erste und eine zweite Steuereinheit umfasst. Weiter umfasst die vorliegende Erfindung ein Fahrzeugsteuersystem. Außerdem umfasst die vorliegende Erfindung ein Fahrzeug. Darüber hinaus umfasst die vorliegende Erfindung ein Signalplausibilitätsprüfungs-Ver- fahren.
Mithilfe neuartiger Steuersysteme und leistungsfähiger Sensorik, sowie Informationsverarbeitungselektrik, wird in Maschinen und Fahrzeugen ein beträchtlicher Automatisierungsgrad ermöglicht. Abhängig vom jeweiligen Automatisierungsgrad können sich Fahrzeuge teilweise oder vollständig autonom bewegen. Die erste Stufe des autonomen Fahrens umfasst das assistierte Fahren. Hierbei wird der Fahrer vom Fahrzeug bei der Fahrzeugführung unterstützt. Als Beispiele sind der Tempomat zu nennen, der eine vom Fahrer gewählte Geschwindigkeit beibehält, sowie der automatische Spurhalteassistent, welcher das Fahrzeug in einer Fahrspur hält. Die zweite Stufe des autonomen Fahrens umfasst das teilautomatisierte Fahren. Hierbei kann das Fahrzeug Aufgaben, wie Spurhalten, Bremsen oder Beschleunigen unter definierten Bedingungen selbstständig ausführen. In der dritten Stufe des autonomen Fahrens wird das hochautomatisierte Fahren gefasst. Der Fahrer darf sich zeitweise von der Fahraufgabe und vom Verkehr abwenden. In bestimmten Verkehrssituationen fährt das Fahrzeug selbstständig und ohne menschliches Eingreifen. Auf Anforderung durch das Fahrzeug muss der Fahrer die Steuerung kurzfristig übernehmen. Die vierte Stufe des autonomen Fahrens umfasst das vollautomatisierte Fahren. Hierbei kann der Fahrer die Fahrzeugführung komplett abgeben und wird zum Passagier. Das Fahrzeug übernimmt Fahrten komplett selbstständig und darf auch ohne Insassen fahren. Passagiere dürfen während der Fahrt abgelenkt sein und beispielsweise schlafen. Weiter erkennt das System seine Grenzen derart, dass es regelkonform weiter betrieben werden kann. Ein solches Verhalten wird auch als „Fail-operational“ bezeichnet. In der fünften Stufe des autonomen Fahrens gibt es nur noch Passagiere ohne Fahraufgabe. Das Fahrzeug bewältigt alle Fahraufgaben komplett autonom.
Für autonome Fahrzeuge der Stufen zwei bis fünf, insbesondere der Stufen vier und fünf, ist es notwendig, dass das System zur autonomen Steuerung des Fahrzeugs resistent gegen Störungen ist. So können Störungen des Steuerungssystems oder von Komponenten des Steuersystems zu Unfällen mit Schäden am Fahrzeug und/oder den Passagieren führen. Des Weiteren können falsche oder fehlende Signale außerdem die Fahrzeugführung stören. Deshalb ist es notwendig ein Steuersystem, vorzugsweise für ein Fahrzeug, bereitzustellen, welches selbst beim Ausfall von Komponenten robust reagiert und vorzugsweise wenigstens eingeschränkt weiter betrieben werden kann.
Die deutsche Offenlegungsschrift DE 10 2007 035 326 A1 beschreibt eine Bremsvorrichtung, insbesondere eine elektrisch betätigte Kfz-Bremse mit einem Bremspedalsensor zum Aufnehmen eines Bremswunsches, ein mit dem Bremspedalsensor verbundenes Steuergerät und wenigstens einem Bremsaktuator, der vom Steuergerät entsprechend dem Bremswunsch angesteuert wird. Die Ausfallsicherheit der Bremse kann wesentlich verbessert werden, wenn wenigstens zwei Bremspedalsensoren vorgesehen sind, die jeweils einem Steuergerät zugeordnet sind, wobei die Steuergeräte über eine Datenverbindung miteinander verbunden sind.
Ein Fail-Operational System bezeichnet ein System, dass selbst bei Ausfall von mindestens einer Komponente weiter normal oder wenigstens eingeschränkt betrieben werden kann. Fail-Operational Systeme können beispielsweise über redundante Komponenten realisiert werden, die im Falle eines Ausfalls einer Komponente weiter aktiv sind.
Weiter wäre es für teilweise oder vollständig autonom fahrende Fahrzeuge vorteilhaft, wenn Signale zur Steuerung der Aktuatoren des Fahrzeugs redundant übertragen werden würden. Für eine redundante Signalübertragung werden in der Regel Systemkomponenten mehrfach verbaut und parallel zueinander betrieben. Während eines Ausfalls einer Komponente ist dann noch eine weitere Komponente aktiv, die teilweise oder vollständig die fehlerbehaftete Komponente ersetzt. Das Vorsehen redundanter Komponenten führt jedoch zu einer Vergrößerung des Systems und zu steigender Komplexität bei der Signalübertragung. Es wäre deshalb von Vorteil, ein System bereit zu stellen, dass redundante Signalübertragung ermöglicht und gleichzeitig einfach und kompakt ist. Gleichzeitig wäre es von Vorteil, wenn das System die eigene Funktionstüchtigkeit feststellen kann.
In einem ersten Aspekt der Erfindung umfasst ein Signalsteuersystem zur redundanten Signalübertragung für ein Fahrzeug eine erste Steuereinheit, zur Ansteuerung wenigstens eines primären Aktuatorsystems, und eine zweite Steuereinheit, zur Ansteuerung wenigstens eines sekundären Aktuatorsystems. Weiter sind die erste Steuereinheit und die zweite Steuereinheit über eine Kommunikationsverbindung miteinander verbunden, wobei die erste Steuereinheit und die zweite Steuereinheit dafür eingerichtet sind, sich jeweils gegenseitig vollständig oder teilweise funktional zu ersetzen. Darüber hinaus umfasst das Signalsteuersystem eine Eingabeeinheit zur Signalbereitstellung, wobei die Eingabeeinheit sowohl mit der ersten Steuereinheit als auch der zweiten Steuereinheit verbunden ist und mindestens ein erstes primäres Signal an der ersten Steuereinheit bereitstellt und mindestens ein erstes sekundäres Signal an der zweiten Steuereinheit bereitstellt. Das erste primäre Signal und das erste sekundäre Signal sind teilweise oder vollständig redundant.
Weiter ist die erste Steuereinheit dafür eingerichtet, das erste primäre Signal an der zweiten Steuereinheit über die Kommunikationsverbindung bereitzustellen, und die zweite Steuereinheit ist dafür eingerichtet, das erste sekundäre Signal an der ersten Steuereinheit über die Kommunikationsverbindung bereitzustellen. Alternativ ist die erste Steuereinheit dafür eingerichtet, das erste primäre Signal an der zweiten Steuereinheit über die Kommunikationsverbindung bereitzustellen oder die zweite Steuereinheit ist dafür eingerichtet, das erste sekundäre Signal an der ersten Steuereinheit über die Kommunikationsverbindung bereitzustellen. Wenigstens eine Steuereinheit der ersten Steuereinheit und der zweiten Steuereinheit ist dafür eingerichtet, eine Signalplausibilitätsprüfung basierend auf dem ersten primären Signal und dem ersten sekundären Signal auszuführen.
Die Signalplausibilitätsprüfung wird dafür verwendet, Signale oder von Signalen abgeleitete Signale auf Plausibilität zu prüfen. Der Vergleich findet zwischen mehreren Signalen statt, sodass mehrere Signale gegeneinander geprüft werden. So kann es bei einer Plausibilitätsprüfung von Signalen, die beispielsweise redundant zueinander sind, erforderlich sein, dass abhängig vom restlichen System, diese Signale miteinander übereinstimmen oder voneinander verschieden sind. Der Vergleich umfasst vorzugsweise aber auch die Prüfung eines Signals oder die Prüfung eines von einem Signal abgeleiteten Signals auf ein zu erwartendes Ergebnis. Vorzugsweise ist ein zu erwartendes Ergebnis in mindestens einer Steuereinheit vorgespeichert. Die Plausibilitätsprüfung prüft dann mindestens ein Signal auf dieses Ergebnis ab. Das Prüfergebnis wird anschließend weiterverarbeitet oder basierend hierauf ein Signal ausgegeben. Vorzugsweise prüft die Signalplausibilitätsprüfung das erste primäre Signal und das erste sekundäre Signal. Die Signalplausibilitätsprüfung bezieht vorzugsweise mindestens ein weiteres Signal in die Prüfung ein.
In einer weiteren Ausführungsform des Signalsteuersystems ist ein Signalbereitsteller vorgesehen, der ein zweites Signal bereitstellt; wobei der Signalbereitsteller mit der ersten Steuereinheit verbunden ist und das zweite Signal an der ersten Steuereinheit bereitstellt. Der Signalbereitsteller stellt ein Signal bereit und umfasst vorzugsweise eine Mensch-Maschine-Schnittstelle, wie beispielsweise ein Knopf, Hebel, ein vom Benutzer gewählter Status oder ein anderes Eingabemittel. Der Signalbereitsteller umfasst vorzugsweise ein Programm, welches das Signal bereitstellt und vorzugsweise in einem Clouddienst ausgeführt wird. Das zweite Signal umfasst vorzugsweise ein Automatisierungsanforderungssignal. Das zweite Signal umfasst alternativ ein Alarmsignal. Im Falle eines Alarmsignales kann das Signalsteuersystem in einen Alarmzustand versetzt werden. Folgen des Alarmzustandes können vorzugsweise umfassen, dass das System ein Notfallprogramm aktiviert, um das System, welches beispielsweise von einem Fahrzeug umfasst ist, in einen sicheren Zustand zu bringen. Ein sicherer Zustand eines Fahrzeuges bedeutet vorzugsweise, dass sich das Fahrzeug während einer Fahrt sicher aus der Fahrbahntrajektorie begibt und zum Stillstand gebracht wird, um Gefahrensituationen zu vermeiden.
In einer weiteren Ausführungsform des Signalsteuersystems ist die Kommunikationsverbindung dafür eingerichtet, mindestens ein Signal und/oder ein von dem Signal abgeleitetes Signal von der ersten Steuereinheit an die zweite Steuereinheit und/oder von der zweiten Steuereinheit an die erste Steuereinheit zu übermitteln. Hierdurch wird ermöglicht, Signale zwischen erster und zweiter Steuereinheit über die Kommunikationsverbindung auszutauschen. Sollte beispielsweise das Bereitstellen eines ersten Signales an einer ersten Steuereinheit fehlschlagen, so wird vorzugsweise das erste Signal an der anderen Steuereinheit und anschließend über die Kommunikationsverbindung an der ersten Steuereinheit bereitgestellt.
In einer weitere Ausführungsform des Signalsteuersystems ist die Kommunikationsverbindung eine Busverbindung, vorzugsweise eine private Busverbindung, z.B. eine CAN Verbindung, vorzugsweise eine private CAN Verbindung. Die Übertragung über Busverbindungen ermöglicht eine schnelle und universelle Signalübertragung.
In einer weiteren Ausführungsform des Signalsteuersystems ist oder umfasst die Eingabeeinheit eine Mensch-Maschine-Schnittstelle zur Anforderung einer Autonomiestufe, und das erste primäre Signal und das erste sekundäre Signal sind oder umfassen ein Automatisierungs-Anforderungssignal. Das Automatisierungsanforderungssignal dient vorzugsweise dazu, eine Automatisierungsstufe anzufordern. Durch das Anfordern einer Automatisierungsstufe trifft das System vorzugsweise Vorbereitungen, um die Automatisierung in einer bestimmten SAE-Stufe zu starten. Dies umfasst vorzugsweise das Prüfen der Bereitschaft der für diese Automatisierungsstufe relevanten Systeme.
In einer weiteren Ausführungsform des Signalsteuersystems ist oder umfasst der Sig- nalbereitsteller eine Mensch-Maschine-Schnittstelle zur Aktivierung der Autonomiestufe und das zweite Signal ist oder umfasst ein Automatisierungs-Aktivierungssignal. Das Automatisierungs-Aktivierungssignal aktiviert die Automatisierung. Hierfür sind vorzugsweise die für die Automatisierung relevanten Systeme betriebsbereit. Die für die Automatisierung relevanten Systeme werden vorzugsweise durch das Automatisierungs-Aktivierungssignal in Betriebsbereitschaft versetzt. Sobald Betriebsbereitschaft aller relevanten Systeme vorliegt, wird vorzugsweise eine Automatisierungsstufe aktiviert. Die Automatisierungsstufe ist vorzugsweise eine der Stufen 1 -5 des Standards SAE J3016. Die Mensch-Maschine-Schnittstelle ist vorzugsweise ein Eingabeelement, wie beispielsweise ein Hebel, ein Knopf, ein Ul-Element oder dergleichen. Die Mensch-Maschine- Schnittstelle ist vorzugsweise eine Eingabe eines Nutzers. Die Mensch-Maschine- Schnittstelle ist vorzugsweise in einer Cloud-Architektur oder als Software hinterlegt.
In einer weiteren Ausführungsform des Signalsteuersystems ist die Kommunikationsverbindung dafür eingerichtet, mindestens ein Signal oder ein von dem mindestens einen Signal abgeleitetes Signal abgesichert zu übermitteln, vorzugsweise über eine Checksumme. Mithilfe der Absicherung des Signals vorzugsweise über die Checksumme wird eine sichere Übertragung gewährleistet, sodass das Signal während der Übertragung nicht korrumpiert oder durch ein anderes Signal ausgetauscht wird. Die Checksumme wird vorzugsweise über eine Hashfunktion oder weitere Verfahren zur Erstellung einer Checksumme berechnet.
In einer weiteren Ausführungsform des Signalsteuersystems ist die Kommunikationsverbindung dafür eingerichtet, mehrere Signale in einer Nachricht zu übermitteln. Es ist vorteilhaft mehrere Signale in ein einer Nachricht zu übermitteln, um die Übertragungsbandbreite zu erhöhen. Mehrere Signale können vorzugsweise zeitlich korreliert sein oder durch die Übermittelung in einer Nachricht zeitlich korreliert werden.
In einer weiteren Ausführungsform des Signalsteuersystems sind die erste Steuereinheit und die zweite Steuereinheit dafür eingerichtet, bei Empfang mindestens eines Signals einen Empfangszeitpunkt des Signals zu ermitteln und den Zeitstempel aus dem empfangenen Signal abzuleiten.
In einer weiteren bevorzugten Ausführungsform des Signalsteuersystems sind die erste Steuereinheit und die zweite Steuereinheit dafür eingerichtet, bei Empfang mindestens eines Signals einen Empfangszeitpunkt des Signals zu ermitteln oder den Zeitstempel aus dem empfangenen Signal abzuleiten.
In einer weiteren bevorzugten Ausführungsform des Signalsteuersystems ist die erste Steuereinheit oder die zweite Steuereinheit dafür eingerichtet, bei Empfang mindestens eines Signals einen Empfangszeitpunkt des Signals zu ermitteln und den Zeitstempel aus dem empfangenen Signal abzuleiten.
In einer weiteren bevorzugten Ausführungsform des Signalsteuersystems ist die erste Steuereinheit oder die zweite Steuereinheit dafür eingerichtet, bei Empfang mindestens eines Signals einen Empfangszeitpunkt des Signals zu ermitteln oder den Zeitstempel aus dem empfangenen Signal abzuleiten. Durch den Empfangszeitpunkt des Signals oder den Zeitstempel aus dem empfangenen Signal kann auf das Alter des Signals zurückgeschlossen werden. In einer weiteren bevorzugten Ausführungsform des Signalsteuersystems sind die erste Steuereinheit und die zweite Steuereinheit dafür eingerichtet, die Signalplausibilitätsprüfung basierend auf dem Empfangszeitpunkt des Signals und/oder einem Zeitstempel des Signals auszuführen.
In einer weiteren bevorzugten Ausführungsform des Signalsteuersystems ist die erste Steuereinheit oder die zweite Steuereinheit dafür eingerichtet, die Signalplausibilitätsprüfung basierend auf dem Empfangszeitpunkt des Signals und/oder einem Zeitstempel des Signals auszuführen.
Bei der Signalplausibilitätsprüfung wird vorzugsweise der Empfangszeitpunkt und/oder der Zeitstempel des Signals berücksichtigt. Dadurch können Signale aufgrund des Alters verworfen werden. Weiter wird vorzugsweise mit zeitlicher Übereinstimmung des Empfangszeitpunkts und/oder des Zeitstempels die Validität des Signals mit weiteren Signalen überprüft. Falls Unstimmigkeiten zwischen den Zeitstempeln oder den Empfangszeitpunkten der Signale bestehen, werden die Signal vorzugsweise verworfen oder die Plausibilitätsprüfung gibt vorzugsweise das Ergebnis der Nichtplausibilität aus.
In einer weiteren Ausführungsform des Signalsteuersystems stellt der Signalbereitsteller das zweite Signal oder das von dem zweiten Signal abgeleitete Signal nur, vorzugsweise ausschließlich, an der ersten Steuereinheit bereit.
In einer weiteren Ausführungsform des Signalsteuersystems werden das erste primäre Signal und das erste sekundäre Signal zusammen an einer ersten Steuereinheit und zusammen an einer zweiten Steuereinheit bereitgestellt.
In einer weiteren Ausführungsform des Signalsteuersystems werden das erste primäre Signal und das erste sekundäre Signal zusammen an einer ersten Steuereinheit oder zusammen an einer zweiten Steuereinheit bereitgestellt.
In einem weiteren Aspekt der Erfindung umfasst ein Fahrzeugsteuersystem zur redundanten Signalübertragung für ein Fahrzeug mit einem Automatisierungsgrad von SAE Level 2 oder höher ein Signalsteuersystem nach einer der vorherigen Ausführungsformen, eine erste Energieversorgung, eine zweite Energieversorgung, mindestens ein primäres Aktuatorsystem, und mindestens ein sekundäres Aktuatorsystem, welches das primäre Aktuatorsystem teilweise oder vollständig funktional ersetzt. Die erste Energieversorgung versorgt die erste Steuereinheit des Signalsteuersystems und das mindestens eine primäre Aktuatorsystem mit elektrischer Energie. Die erste Steuereinheit des Signalsteuersystems ist mit dem mindestens einen primären Aktuatorsystem verbunden, zur Steuerung des mindestens einen primären Aktuatorsystems. Die zweite Energieversorgung versorgt die zweite Steuereinheit des Signalsteuersystems und das mindestens eine sekundäre Aktuatorsystem mit Energie. Die zweite Steuereinheit des Signalsteuersystems ist mit dem mindestens einen sekundären Aktuatorsystem verbunden, zur Steuerung des mindestens einen sekundären Aktuatorsystems. Das System umfasst vorzugsweise nur eine einzige Energieversorgung. Das Vorsehen mehrerer Energieversorgungen bietet den Vorteil, dass bei Ausfall einer Energieversorgung nur Teile des Systems ohne Energie sind. Weiter ist vorzugsweise jede Energieversorgung eingerichtet, die Komponenten, welche mit der anderen Energieversorgung verbunden sind, mit Energie zu versorgen. So kann das gesamte System selbst beim Ausfall einer Energieversorgung mithilfe einer Energieversorgung weiter betrieben werden.
In einer weiteren Ausführungsform des Fahrzeugsteuersystems ist die Kommunikationsverbindung dafür eingerichtet, mindestens einen ersten Ansteuerungsbefehl der zweiten Steuereinheit für das primäre Aktuatorsystem an der ersten Steuereinheit bereitzustellen und mindestens einen zweiten Ansteuerungsbefehl der ersten Steuereinheit für das sekundäre Aktuatorsystem an der zweiten Steuereinheit bereitzustellen.
In einer weiteren bevorzugten Ausführungsform des Fahrzeugsteuersystems ist die Kommunikationsverbindung dafür eingerichtet, mindestens einen ersten Ansteuerungsbefehl der zweiten Steuereinheit für das primäre Aktuatorsystem an der ersten Steuereinheit bereitzustellen oder mindestens einen zweiten Ansteuerungsbefehl der ersten Steuereinheit für das sekundäre Aktuatorsystem an der zweiten Steuereinheit bereitzustellen.
Dies bietet den Vorteil, dass die Ansteuerungen über die Kommunikationsverbindung bereitgestellt werden können.
In einer weiteren Ausführungsform des Fahrzeugsteuersystems ist mindestens eine Steuereinheit der ersten Steuereinheit und der zweiten Steuereinheit, vorzugsweise beide Steuereinheiten, dafür eingerichtet, eine Fahrzeugautomatisierungsfunktion auszuführen.
In einer weiteren Ausführungsform eines Fahrzeugsteuersystems steuert das Fahrzeugsteuersystem das Fahrzeug teilweise oder vollständige autonom.
In einer weiteren Ausführungsform eines Fahrzeugsteuersystems umfasst das Fahrzeugsteuerungssystem mindestens einen virtuellen Fahrer, zur teilweise oder vollständigen autonomen Steuerung des Fahrzeugs.
In einem weiteren Aspekt der Erfindung umfasst ein Fahrzeug ein Fahrzeugsteuersystem nach einer der vorstehend beschriebenen bevorzugten Ausführungsformen des Fahrzeugsteuersystems gemäß dem ersten Aspekt der Erfindung, wobei das primäre Aktuatorsystem ein primäres Bremssystem umfasst und das sekundäre Aktuatorsystem ein sekundäres Bremssystem umfasst.
In einer weiteren Ausführungsform umfasst das Fahrzeug mindestens einen virtuellen Fahrer, zur teilweise oder vollständigen autonomen Steuerung des Fahrzeugs.
In einem weiteren Aspekt der Erfindung umfasst ein Signalplausibilitätsprüfungs-Verfah- ren mindestens eines Signals, unter Verwendung eines Signalsteuersystems zur redundanten Signalübertragung für ein Fahrzeug, ein Signalsteuersystem, welches eine erste Steuereinheit zur Ansteuerung mindestens eines ersten Aktuatorsystems und eine zweite Steuereinheit zur Ansteuerung mindestens eines zweiten Aktuatorsystems umfasst, und wobei die erste Steuereinheit und die zweite Steuereinheit über eine Kommunikationsverbindung miteinander verbunden sind. Die erste Steuereinheit und die zweite Steuereinheit sind dafür eingerichtet, sich jeweils gegenseitig vollständig oder teilweise funktional zu ersetzen. Weiter umfasst das Signalsteuersystem eine Eingabeeinheit zur Signalbereitstellung, wobei die Eingabeeinheit mit der ersten Steuereinheit und mit der zweiten Steuereinheit verbunden ist und mindestens ein erstes primäres Signal an der ersten Steuereinheit und ein erstes sekundäres Signal an der zweiten Steuereinheit bereitstellt. Die erste Steuereinheit ist dazu eingerichtet, das erste primäre Signal an der zweiten Steuereinheit über die Kommunikationsverbindung bereitzustellen, und die zweite Steuereinheit ist dazu eingerichtet, das erste sekundäre Signal an der ersten Steuereinheit über die Kommunikationsverbindung bereitzu stell en, wobei wenigstens eine Steuereinheit der ersten Steuereinheit und der zweiten Steuereinheit dazu eingerichtet ist, eine Signalplausibilitätsprüfung auszuführen. Weiter umfasst das Signalplau- sibilitätsprüfungs-Verfahren folgende Schritte: Bereitstellen eines ersten primären Signals der Eingabeeinheit an der ersten Steuereinheit und eines ersten sekundären Signals an der zweiten Steuereinheit; Übermitteln des ersten sekundären Signals von der zweiten Steuereinheit an die erste Steuereinheit; Überprüfen, mithilfe der ersten Steuereinheit, der Signalplausibilität des ersten primären Signals und der Signalplausibilität des ersten sekundären Signals; Ausgeben eines Fehlersignals, basierend auf dem Ergebnis der Prüfung. Bei Feststellung fehlender Signalplausibilität gibt vorzugsweise die erste oder die zweite Steuereinheit ein Fehlersignal aus. Das Fehlersignal wird vorzugsweise an weitere Komponenten des Signalsteuersystems weitergeleitet. So kann beispielsweise, ein Fahrzeug, welches das Signalsteuersystem umfasst, auf das Fehlersignal reagieren und Maßnahmen einleiten, wie beispielsweise dem Fahrer die fehlende Signalplausibilität signalisieren. Umfasst das Fahrzeug mindestens einen virtuellen Fahrer, zeigt es dem virtuellen Fahrer vorzugsweise an, eine Geschwindigkeitsanpassung, eine Änderung der Fahrzeugtrajektorie oder dergleichen vorzunehmen. Bei Feststellung von Signalplausibilität setzt das Fahrzeug mit mindestens einem virtuellen Fahrer seine Fahrt in der Regel ohne Änderung fort. Sollte das Fahrzeug über keinen virtuellen Fahrer verfügen, zeigt es vorzugsweise dem Fahrer an, dass Signalplausibilität vorliegt.
In einer weiteren Ausführungsform des Signalplausibilitätsprüfungs-Verfahrens umfasst das Signalsteuersystem einen Signalbereitsteller, der ein zweites Signal bereitstellt, wobei der Signalbereitsteller mit der ersten Steuereinheit verbunden ist und das zweite Signal an der ersten Steuereinheit bereitstellt, und wobei die Signalplausibilitätsprüfung basierend auf dem zweiten Signal ausgeführt wird.
In einer weiteren Ausführungsform des Signalplausibilitätsprüfungs-Verfahrens bestimmt die zweite Steuereinheit bei Empfang des ersten primären Signals oder des ersten sekundären Signals einen Empfangszeitpunkt oder liest einen Zeitstempel des ersten primären Signals und des ersten sekundären Signals aus und berücksichtigt diese Information bei der Plausibilitätsprüfung.
In einer weiteren bevorzugten Ausführungsform des Signalplausibilitätsprüfungs-Verfah- rens bestimmt die zweite Steuereinheit bei Empfang des ersten primären Signals oder des ersten sekundären Signals einen Empfangszeitpunkt oder liest einen Zeitstempel des ersten primären Signals oder des ersten sekundären Signals aus und berücksichtigt diese Information bei der Plausibilitätsprüfung.
In einer weiteren bevorzugten Ausführungsform des Signalplausibilitätsprüfungs-Verfah- rens bestimmt die zweite Steuereinheit bei Empfang des ersten primären Signals und des ersten sekundären Signals einen Empfangszeitpunkt oder liest einen Zeitstempel des ersten primären Signals und des ersten sekundären Signals aus und berücksichtigt diese Information bei der Plausibilitätsprüfung.
In einer weiteren bevorzugten Ausführungsform des Signalplausibilitätsprüfungs-Verfah- rens bestimmt die zweite Steuereinheit bei Empfang des ersten primären Signals und des ersten sekundären Signals einen Empfangszeitpunkt oder liest einen Zeitstempel des ersten primären Signals oder des ersten sekundären Signals aus und berücksichtigt diese Information bei der Plausibilitätsprüfung.
Ein von einem Signal abgeleitetes Signal umfasst vorzugsweise eine verarbeitete Ableitung aus dem Signal. Weiter umfasst das abgeleitete Signal vorzugsweise auch das Signal. Das abgeleitete Signal ist vorzugsweise ein aus dem Signal neu erstelltes Signal. Das abgeleitete Signal ist vorzugsweise das Signal selber.
Eine Steuereinheit ist vorzugsweise eine handelsübliche Steuereinheit. Die Steuereinheit umfasst vorzugsweise einen programmierten oder programmierbaren Schaltkreis. Die Steuereinheit umfasst vorzugsweise ein FPGA, ein IC, wie beispielsweise ein ASIC, ein Chip oder anderweitiges. Die Steuereinheit umfasst vorzugsweise eine Schaltlogik, beispielsweise zur Ausführung der Signalplausibilitätsprüfung oder zum Bereitstellen von Ansteuerungen an ein angeschlossenes Aktuatorensystem.
Bei mehreren Steuereinheiten ersetzen sich die Steuereinheiten vorzugsweise funktional teilweise oder vollständig. Beispielsweise sind vorzugsweise beide Steuereinheiten vom gleichen Typ. Eine Steuereinheit ist vorzugsweise von einem anderen Typ und umfasst vorzugsweise eine weniger komplexe Schaltlogik oder eine komplexere Schaltlogik, als die jeweils andere Steuereinheit.
Eine Energieversorgung umfasst vorzugsweise eine Batterie oder eine anderweitige Energiequelle, wie beispielsweise eine Schnittstelle für eine externe Energieversorgung, welche Energie für das System bereitstellt. Die Energieversorgung umfasst vorzugsweise Sonnenkollektoren. Die Energieversorgungen sind vorzugsweise von gleicher Art. Vorzugsweise sind die Energieversorgungen unterschiedlich ausgestaltet. Vorzugsweise handelt es sich bei mehreren Energieversorgungen um jeweils unterschiedliche Batterietypen oder um eine Batterie und eine anderweitige, vorzugsweise stationäre, Energieversorgung. Durch die erhöhte Diversität kann die Funktionstüchtigkeit wenigstens einer Batterie in unterschiedlichen Umgebungen, wie beispielsweise in sehr kalten oder sehr warmen Umgebungen, sichergestellt werden. In einigen Ausführungsformen umfasst jede Komponente der Systeme eine eigene Energieversorgung.
Bei Absicherung eines Signals mit einer Checksumme für die Übertragung an eine Steuereinheit wird die Checksumme vorzugsweise aus dem Signal berechnet. Folglich kann bei Übermittlung des Signals sowie der Checksumme durch abermaliges Bestimmen der Checksumme in der Steuereinheit, welche das Signal empfangen hat, aus dem Signal sichergestellt werden, dass das Signal während der Übertragung nicht korrumpiert wurde.
Die verschiedenen Komponenten der Systeme sind in den Figuren als miteinander verbunden dargestellt. Dabei sind die Komponenten vorzugsweise miteinander physisch oder über Funk verbunden. Weiter sind vorzugsweise in den Verbindungen weitere Komponenten dazwischengeschaltet. Es bestehen vorzugsweise auch weitere Verbindungen zwischen den Komponenten, die nicht in den Figuren eingezeichnet sind.
Ein Fahrzeug kann ein erfindungsgemäßes Fahrzeugsteuersystem umfassen. Vorzugsweise können Fahrzeuge wie Nutzfahrzeuge, vorzugsweise LKWs, oder Personenfahrzeuge, wie beispielsweise PKWs, Fahrräder, elektrische Scooter oder Motorräder, ein erfindungsgemäßes Fahrzeugsteuersystem umfassen. Ein Fahrzeug ist vorzugsweise ein schienengebundenes Fahrzeug, ein Schiff oder ein Luftfahrzeug.
Die Signalplausibilitätsprüfung umfasst vorzugsweise eine Schwellenprüfung, bei der mindestens ein Signal oder eine Ableitung davon eine gewisse Schwelle eines Potentials überschreiten muss. Weiter prüft die Signalplausibilitätsprüfung vorzugsweise auf steigende oder fallende Flanken eines Signals. Beispielsweise liefert die Signalplausibilitätsprüfung vorzugsweise ein positives Ergebnis, wenn auf eine fallende Flanke eines ersten Signals eine steigende Flanke eines zweiten Signals folgt. Diese Folge kann innerhalb eines gewissen Zeitfensters, beispielsweise innerhalb von 10 ms, erfolgen.
Die Signale umfassen vorzugsweise kontinuierliche Signale bzw. Signalabschnitte. Die Signale umfassen vorzugsweise aber auch toggelnde Signale bzw. Signalabschnitte.
Die Signale umfassen vorzugsweise einzelne Potentialunterschiede. Toggelnd bedeutet in diesem Zusammenhang, dass das Signal zeitlich zwischen zwei oder mehr Signalpegeln hin- und her wechselt. Kontinuierlich bedeutet in diesem Zusammenhang, dass sich das Signal zeitlich kaum oder nicht ändert.
Ausführungsbeispiele der Erfindung sind in den Zeichnungen dargestellt und werden nachfolgend beschrieben.
Fig. 1 zeigt ein erfindungsgemäßes Signalsteuersystem;
Fig. 1a zeigt eine erfindungsgemäße High-Level E/E Architektur (Criss-Cross Switch);
Fig. 1 b zeigt eine erfindungsgemäße High-Level E/E Architektur (Two Opener Switch);
Fig. 1c zeigt eine erfindungsgemäße High-Level E/E Architektur (Two Closer Switch);
Fig. 2 zeigt ein erfindungsgemäßes Fahrzeugsteuersystem, umfassend ein erfindungsgemäßes Signalsteuersystem;
Fig. 3 zeigt ein erfindungsgemäßes Fahrzeug, umfassend ein erfindungsgemäßes Fahrzeugsteuersystem; und
Fig. 4 zeigt eine Folge von Verfahrensschritten, zur Signalplausibilitätsprüfung.
Fig.1 zeigt ein erfindungsgemäßes Signalsteuersystem 100. Das Signalsteuersystem 100 umfasst mindestens eine erste Steuereinheit 110 und mindestens eine zweite Steuereinheit 120. Weiter umfasst das Signalsteuersystem 100 mindestens eine erste Eingabeeinheit 140. Die erste Eingabeeinheit 140 umfasst vorzugsweise eine Mensch-Ma- schine-Schnittstelle 141. Die erste Eingabeeinheit 140 umfasst vorzugsweise auch eine Maschine-Maschine-Schnittstelle 141 , welche mindestens ein Signal empfängt und vorzugsweise mindestens ein Signal bereitstellt. Beispielsweise umfasst die erste Eingabeeinheit 140 ein Funkmodul, an welchem Signale über Funk oder kabelgebunden bereitgestellt werden.
Die erste Eingabeeinheit 140 ist vorzugsweise mit der ersten Steuereinheit 110 und der zweiten Steuereinheit 120 verbunden. Die erste Eingabeeinheit 140 ist vorzugsweise mit der ersten Steuereinheit 110 oder der zweiten Steuereinheit 120 verbunden. Die Verbindung kann vorzugsweise mechanisch oder elektronisch sein. Die Verbindung kann auch als Funkverbindung bestehen. Die Verbindung kann vorzugsweise kontinuierlich bestehen. Vorzugsweise kann die Verbindung auch zeitweise vorhanden sein.
Die erste Eingabeeinheit 140 stellt vorzugsweise mindestens ein erstes primäres Signal S1 P und/oder ein erstes sekundäres Signal S1 S bereit. Das erste primäre Signal S1 P wird vorzugsweise an der ersten Steuereinheit 110 bereitgestellt. Das erste sekundäre Signal S1 S wird vorzugsweise an der zweiten Steuereinheit 120 bereitgestellt. Das erste sekundäre Signal S1 S kann vorzugsweise ein sekundäres Automatisierungs-Anforderungssignal AES sein. Das erste primäre Signal S1 P kann vorzugsweise ein primäres Automatisierungs-Anforderungssignal AES sein. Das Automatisierungs-Anforderungssignal AES kann vorzugsweise eine Automatisierungsstufe anfordern.
Das Signalsteuersystem 100 umfasst vorzugsweise einen Signalbereitsteller 150. Der Signalbereitsteller 150 stellt vorzugsweise mindestens ein zweites Signal S2 bereit, vorzugsweise an der ersten Steuereinheit. Das zweite Signal umfasst vorzugsweise ein Automatisierungs-Aktivierungssignal AAS. Der Signalbereitsteller 150 umfasst vorzugsweise eine Mensch-Maschine-Schnittstelle 151. Die Maschine-Maschine-Schnittstelle ist vorzugsweise so ausgebildet, dass an dieser Signale über Funk oder kabelgebunden bereitgestellt werden. Diese Signale oder von diesen abgeleitete Signale werden vorzugsweise dann an der ersten Steuereinheit 110 in Form des zweiten Signals S2 bereitgestellt.
Des Weiteren umfasst das Signalsteuersystem 100 vorzugsweise eine Kommunikationsverbindung 130. Die Kommunikationsverbindung 130 ist vorzugsweise mit der ersten Steuereinheit 110 und der zweiten Steuereinheit 120 verbunden. Die Kommunikationsverbindung 130 umfasst vorzugsweise einen CAN, vorzugsweise einen privaten CAN. Die Kommunikationsverbindung 130 umfasst vorzugsweise einen BUS, vorzugsweise einen privaten BUS. Die Kommunikationsverbindung 130 stellt vorzugsweise ein erstes primäres Signal S1 P, oder eine Ableitung des ersten primären Signals S1 P, welches an der ersten Steuereinheit 110 bereitgestellt wurde, an der zweiten Steuereinheit 120 bereit. In einer ähnlichen Weise stellt die Kommunikationsverbindung 130 vorzugsweise ein erstes sekundäres Signal S1 S, oder eine Ableitung des ersten sekundären Signals S1 S, welches an der zweiten Steuereinheit 120 bereitgestellt werde, an der ersten Steuereinheit 110 bereit.
Die erste Steuereinheit 110 ist vorzugsweise mit einem primären Aktuatorsystem 230 verbunden. Die zweite Steuereinheit 120 ist vorzugsweise mit einem sekundären Aktuatorsystem 240 verbunden. So steuert vorzugsweise jede Steuereinheit 110, 120 jeweils ein Aktuatorsystem 230, 240 an. Jede Steuereinheit 1 10, 120 ist auch vorzugsweise mit dem jeweils anderen Aktuatorsystem 230, 240 verbunden oder jede Steuereinheit 110, 120 ist vorzugsweise mit jedem Aktuatorsystem 230, 240 verbunden.
Die erste Steuereinheit 110 und die zweite Steuereinheit 120 sind vorzugsweise dafür eingerichtet, eine Signalplausibilitätsprüfung auszuführen. Dabei prüft die erste Steuereinheit 110 bzw. die zweite Steuereinheit 120, ob das empfangene Signal plausibel ist. Beispielsweise sind vorzugsweise mehrere Signale oder daraus abgeleitete Signale zeitlich nacheinander oder gleichzeitig an einer der ersten Steuereinheit 110 und zweiten Steuereinheit 120 bereitgestellt. Die erste Steuereinheit 110 bzw. zweite Steuereinheit 120 prüft vorzugsweise die bereitgestellten Signale oder Ableitungen von Signalen auf Plausibilität, vorzugsweise durch einen Vergleich miteinander. Alternativ umfasst die Plausibilitätsprüfung eine Berechnung, bei der die Signale oder Ableitungen der Signale miteinbezogen werden. Diese Berechnung umfasst vorzugsweise auch das Alter der Signale oder den Zeitpunkt der Signalbereitstellung an der ersten Steuereinheit 110 bzw. zweiten Steuereinheit 120.
Weiter ist die erste Steuereinheit 110 vorzugsweise so eingerichtet, dass sie eines der bereitgestellten Signale (erstes primäres Signal S1 P, zweites Signal S2, erstes sekundäres Signal S1 S) ändert, oder vorzugsweise invertiert. Die erste Steuereinheit 110 ist vorzugsweise so eingerichtet, dass sie mindestens ein bereitgestelltes Signale ändert, oder vorzugsweise invertiert. Die zweite Steuereinheit 110 ist vorzugsweise so einge- richtet, dass sie mindestens ein bereitgestelltes Signale S1 S, S1 P ändert, oder vorzugsweise invertiert. Weiter stellt der Signalbereitsteller 150 in einer bevorzugten Ausführungsform auch direkt ein Signal S2, AAS an der zweiten Steuereinheit 120 bereit.
Die erste Steuereinheit 110 und die zweite Steuereinheit 120 ersetzen sich vorzugsweise jeweils gegenseitig teilweise oder vollständig. Das erste primäre Signal S1 P und das erste sekundäre Signal S1 S können beide einem ersten Signal S1 entsprechen oder von diesem abgeleitet sein. Durch die Bereitstellung des ersten primären Signals S1 P an der ersten Steuereinheit 110 und des ersten sekundären Signals S1 S an der zweiten Steuereinheit 120 kann sichergestellt werden, dass das erste Signal S1 redundant im Signalsteuersystem 100 bereitgestellt wird. Durch die Redundanz von Steuereinheiten 110, 120 und die redundante Bereitstellung von Signalen S1 P, S1 S wird sichergestellt, dass selbst bei Ausfall einzelner Komponenten, wie beispielsweise einer Steuereinheit 110, 120 des Signalsteuersystems 100 das Signalsteuersystem 100 noch vollständig oder teilweise funktionstüchtig (fail-operational) ist.
Figs. 1a, 1 b und 1 c zeigen erfindungsgemäße High-Level E/E Architekturen. Diese Architekturen sind vorzugsweise in einem Signalsteuersystem 100 umgesetzt. Fig. 1 a zeigt die Architektur in der Criss-Cross Switch Art. Die erste Steuereinheit 110 und der Signalbereitsteller 150, 151 sind vorzugsweise mit einer Erdung GND verbunden. Die erste Steuereinheit 110 ist vorzugsweise mit der zweiten Steuereinheit 120 über eine CAN Verbindung verbunden. Die erste Steuereinheit 110 umfasst vorzugsweise ein erstes Monitoring. Die zweite Steuereinheit 120 umfasst vorzugsweise ein zweites Monitoring. Das Monitoring wird vorzugsweise zur Signalplausibilitätsprüfung verwendet. Die erste Eingabeeinheit 140, 141 umfasst vorzugsweise eine Schaltungselektrik und eine ersten Pin PIN1 , sowie einen zweiten PIN2. PIN1 ist mit der ersten Steuereinheit 110 verbunden und PIN2 ist mit der zweiten Steuereinheit 120 verbunden. PIN1 stellt vorzugsweise an der ersten Steuereinheit 110 ein erstes primäres Signal S1 P, AES bereit. PIN2 stellt vorzugsweise an der zweiten Steuereinheit 120 ein erstes sekundäres Signal S1 S, AES bereit. Der Signalbereitsteller 150, 151 stellt vorzugsweise ein zweites Signal S2, AAS an der ersten Steuereinheit 110 bereit. Der Signalbereitsteller 150, 151 umfasst vorzugsweise eine Schaltungselektronik, die verschiedene Schalterstellungen aufweisen kann. In Figs. 1 a, 1 b und 1c ist die Schalterstellung als offen gezeigt, wobei jede andere Schalterstellung, beispielsweise eine geschlossene Schalterstellung, möglich ist. Die Schaltungselektronik kann vorzugsweise die Schaltstellungen zweier Schalter beeinflussen, wobei jeder Schalter mit einem Pin PIN1 , PIN2 verbunden ist. Vorzugsweise ist die Schaltstellung des ersten Schalters eine andere, als die Schaltstellung des zweiten Schalters. In Fig. 1 b ist die Schaltstellung des ersten Schalters die gleich, wie die Schaltstellung des zweiten Schalters. Beide Schalterstellungen werden als geschlossen bezeichnet. Diese erfindungsgemäße High-Level E/E Architektur wird als Two Opener-Switch bezeichnet. In Fig. 1c ist die Schaltstellung des ersten Schalters die gleiche, wie die Schaltstellung des zweiten Schalters. Beide Schalterstellungen werden als geöffnet bezeichnet. Diese erfindungsgemäße High-Level E/E Architektur wird als Two Closer-Switch bezeichnet.
Fig. 2 zeigt ein erfindungsgemäßes Fahrzeugsteuersystem 200. Das Fahrzeugsteuersystem 200 umfasst vorzugsweise ein Signalsteuersystem 100 nach einer erfindungsgemäßen Ausführungsform. Weiter umfasst das Fahrzeugsteuersystem 200 vorzugsweise mindestens eine erste Energieversorgung 210 und mindestens eine zweite Energieversorgung 220.
Das primäre Aktuatorsystem 230 umfasst vorzugsweise ein primäres Bremssystem 231. Weiter umfasst das primäre Aktuatorsystem 230 vorzugsweise ein primäres Lenksystem 232. Das primäre Lenksystem 232 umfasst vorzugsweise Aktuatoren zur Lenkung des Fahrzeugs 1. Das primäre Aktuatorsystem 230 umfasst vorzugsweise einen weiteren primären Aktuator P. Das primäre Aktuatorsystem 230 ist vorzugsweise mit der ersten Energieversorgung 210 verbunden und wird von dieser mit Energie versorgt.
Das sekundäre Aktuatorsystem 240 umfasst vorzugsweise ein sekundäres Bremssystem 241. Weiter umfasst das sekundäre Aktuatorsystem 240 vorzugsweise ein sekundäres Lenksystem 242. Das sekundäre Lenksystem 242 umfasst vorzugsweise Aktuatoren zur Lenkung des Fahrzeugs 1. Das sekundäre Aktuatorsystem 240 umfasst vorzugsweise einen weiteren sekundären Aktuator S. Das sekundäre Aktuatorsystem 240 ist vorzugsweise mit der zweiten Energieversorgung 220 verbunden und wird von dieser mit Energie versorgt. Außerdem ist vorzugsweise das primäre Aktuatorsystem 230 mit der zweiten Energieversorgung 220 und das sekundäre Aktuatorsystem 240 mit der ersten Energieversorgung 210 verbunden. Des Weiteren ist vorzugsweise das primäre Aktuatorsystem 230 mit der zweiten Energieversorgung 220 oder das sekundäre Aktuatorsystem 240 mit der ersten Energieversorgung 210 verbunden. Bei Ausfall einer Energieversorgung 220, 230 fällt nicht auch das jeweilige Aktuatorsystem 230, 240 aus, sondern kann mit der jeweils anderen Energieversorgung weiterbetrieben werden.
Das erste Aktuatorsystem 230 und das zweite Aktuatorsystem 240 sind vorzugsweise über eine CAN oder eine BUS Verbindung, vorzugsweise eine private CAN oder BUS Verbindung, miteinander verbunden.
Weiter sind vorzugsweise das primäre Bremssystem 231 und das sekundäre Bremssystem 241 miteinander verbunden. Vorzugsweise sind das primäre Lenksystem 232 und das sekundäre Lenksystem 242 miteinander verbunden.
Die erste Steuereinheit 110 und die zweite Steuereinheit 120 sind vorzugsweise mit einem gemeinsamen Antriebsstrang 160 verbunden. Der Antriebsstrang 160 beschleunigt das Fahrzeug 1 und treibt somit das Fahrzeug 1 an.
Ein primärer virtueller Fahrer PVD ist vorzugsweise mit der ersten Steuereinheit 110 verbunden. Weiter ist vorzugsweise ein sekundärer virtueller Fahrer SVD mit der zweiten Steuereinheit 120 verbunden.
Die Kommunikationsverbindung 130 stellt vorzugsweise mindestens einen ersten Ansteuerungsbefehl AS1 der zweiten Steuereinheit 120 für das primäre Aktuatorsystem 230 an der ersten Steuereinheit 110 bereit. Die Kommunikationsverbindung 130 stellt vorzugsweise mindestens einen zweiten Ansteuerungsbefehl AS2 der ersten Steuereinheit 110 für das sekundäre Aktuatorsystem 240 an der zweiten Steuereinheit 120 bereit.
Die erste Eingabeeinheit 140 ist vorzugsweise mit der mindestens ersten Energieversorgung 210 und der mindestens zweiten Energieversorgung 220 verbunden. Alternativ ist die erste Eingabeeinheit 140 vorzugsweise mit der mindestens ersten Energieversorgung 210 oder der mindestens zweiten Energieversorgung 220 verbunden. Der Signal- bereitsteller 150 ist vorzugsweise ebenfalls mit der mindestens ersten Energieversorgung 210 und der mindestens zweiten Energieversorgung 220 verbunden. Alternativ ist die zweite Eingabeeinheit 150 vorzugsweise ebenfalls mit der mindestens ersten Energieversorgung 210 oder der mindestens zweiten Energieversorgung 220 verbunden.
Fig. 3 stellt ein Fahrzeug 1 dar, welches ein erfindungsgemäßes Fahrzeugsteuersystem 200 umfasst. Das Fahrzeugsteuersystem 200 umfasst vorzugsweise eine erste Steuereinheit 110 und eine zweite Steuereinheit 120, die miteinander über eine Kommunikationsverbindung 130 verbunden sind. Weiter ist vorzugsweise eine Eingabeeinheit 140 mit der ersten Steuereinheit 110 und der zweiten Steuereinheit 120 verbunden. Ein Sig- nalbereitsteller 150 ist mit der ersten Steuereinheit 110 verbunden. Ein primäres Aktuatorsystem 230 ist mit der ersten Steuereinheit 110 verbunden. Die erste Steuereinheit 110 stellt vorzugsweise ein erstes Ansteuerungssignal AS1 an dem primären Aktuatorsystem 230 bereit. Die zweite Steuereinheit 120 stellt vorzugsweise ein zweites Ansteuerungssignal AS2 an einem sekundären Aktuatorsystem 240 bereit. Das primäre Aktuatorsystem 230 ist vorzugsweise mit einem primären Bremssystem 231 verbunden. Das sekundäre Aktuatorsystem 240 ist vorzugsweise mit einem sekundären Bremssystem 241 verbunden. Das primäre Aktuatorsystem 230 und das sekundäre Aktuatorsystem 240 sind vorzugsweise miteinander verbunden. Die erste Steuereinheit 110 und die zweite Steuereinheit 120 sind vorzugsweise mit einem Antriebsstrang 160 verbunden. Das primäre Bremssystem 231 und das sekundäre Bremssystem 241 sind vorzugsweise miteinander verbunden.
Ein primärer virtueller Fahrer PVD ist vorzugsweise mit der ersten Steuereinheit 110 verbunden. Ein sekundärer virtueller Fahrer SVD ist vorzugsweise mit der zweiten Steuereinheit 120 verbunden. Der primäre virtuelle Fahrer PVD und der sekundäre virtuelle Fahrer SVD können bevorzugt miteinander verbunden sein. Eine erste Energieversorgung 210 ist vorzugsweise mit dem ersten virtuellen Fahrer PVD, der ersten Steuereinheit 110, dem primären Aktuatorsystem 230, der Eingabeeinheit 140 und dem Signalbe- reitsteller 150 verbunden. Eine zweite Energieversorgung 220 ist vorzugsweise mit dem sekundären virtuellen Fahrer SVD, der zweiten Steuereinheit 120, dem sekundären Aktuatorsystem 240 und der Eingabeeinheit 140 verbunden.
Das Fahrzeug 1 ist vorzugsweise ein Nutzfahrzeug oder ein Personenfahrzeug, vorzugsweise ein Personenkraftwagen oder ein Motorrad. Fig. 4 stellt ein erfindungsgemäßes Signalplausibilitätsprüfungs-Verfahren dar. Das Verfahren umfasst eine Folge von Schritten M1 , M2, M3 und M4, die nacheinander oder wenigstens teilweise gleichzeitig ausgeführt werden können. Das Signalplausibil itäts- prüfungs-Verfahren wird unter Verwendung eines erfindungsgemäßen Signalsteuersystems 100 ausgeführt.
In einem ersten Schritt M1 wird ein erstes primäres Signal S1 P der Eingabeeinheit 140 an der ersten Steuereinheit 110 bereitgestellt und ein erstes sekundäres Signal S1 S wird an der zweiten Steuereinheit 120 bereitgestellt.
In einem zweiten Schritt M2 wird das erste sekundäre Signal S1 S von der zweiten Steuereinheit 120 an die erste Steuereinheit 110 übertragen. Alternativ wird auch das erste primäre Signal S1 P von der ersten Steuereinheit 110 an die zweite Steuereinheit 120 übertragen.
Der dritte Schritt M3 umfasst das Überprüfen der Signalplausibilität des ersten primären Signals S1 P und der Signalplausibilität des ersten sekundären Signals S1 S mithilfe der ersten Steuereinheit 110. In einer alternativen Ausführungsform wird dieser Schritt auch mithilfe der zweiten Steuereinheit 120 oder sowohl der ersten Steuereinheit 110 und der zweiten Steuereinheit 120 durchgeführt.
In einem vierten Schritt M4 wird, basierend auf dem Ergebnis der Prüfung, ein Fehlersignal ausgegeben werden. Falls die Prüfung keine fehlende Plausibilität zeigen sollte, wird vorzugsweise stattdessen kein Signal oder ein Plausibilitätssignal ausgegeben. Das Ergebnis der Prüfung wird vorzugsweise von einer Steuereinheit 110, 120 verwendet werden, um eine Aktuation der primären und der sekundären Aktuatoren 230, 240 bereitzustellen. Alternativ wird das Ergebnis der Prüfung vorzugsweise von einer der ersten Steuereinheit 110 und der zweiten Steuereinheit 120 verwendet werden, um eine Aktuation der primären Aktuatoren 230 oder der sekundären Aktuatoren 240 bereitzustellen.
Das Verfahren umfasst vorzugsweise weitere Schritte, die unabhängig von der Reihenfolge ausgeführt werden können, außer, wo dies nicht möglich ist. Beispielsweise erfolgt vorzugsweise nach Schritt M3 noch eine Rückübertragung des Ergebnisses von einer Steuereinheit an die jeweils andere Steuereinheit. Die andere Steuereinheit bezieht dann vorzugsweise das Ergebnis in einer Prüfung ein oder verarbeitet es anderweitig weiter. Die Steuereinheit steilt vorzugsweise das Ergebnis des Verfahrens nach außen, beispielsweise an ein Fahrzeug, mit.
Bei der Prüfung der Plausibilität des Signals wird vorzugsweise das Alter des Signals berücksichtigt. Hierfür wird vorzugsweise aus dem Signal eine Zeitangabe, wie beispielsweise ein Zeitstempel, entnommen. Alternativ wird vorzugsweise bei Bereitstellung oder Empfang eines Signals ein Zeitpunkt von der ersten Steuereinheit 110 bzw. der zweiten Steuereinheit 120, an welcher das Signal bereitgestellt wird, bestimmt, der im weiteren Signalplausibilitätsprüfungsverfahren verwendet wird. Vorzugsweise werden vorzugsweise Signale mit einem zu hohen oder zu niedrigem Alter verworfen. Es kann auch ein Zeitfenster basierend auf dem Alter eines ersten Signals gesetzt werden, dem das Alter eines weiteren Signales entsprechen muss. Sollte dies nicht der Fall sein, können beide Signale als nicht miteinander korreliert verstanden werden.
Vorzugsweise werden Signale gleichen Alters miteinander verglichen.
Bezugszeichenliste (Teil der Beschreibung):
1 Fahrzeug
100 Signalsteuersystem
110 erste Steuereinheit
120 zweite Steuereinheit
130 Kommunikationsverbindung
140 Eingabeeinheit
141 Mensch-Maschine Schnittstelle
150 Signalbereitsteller
151 Mensch-Maschine Schnittstelle
160 Antriebsstrang
230 primäres Aktuatorsystem
231 primäres Bremssystem
232 primäres Lenksystem
240 sekundäres Aktuatorsystem
241 sekundäres Bremssystem
242 sekundäres Lenksystem
S1 P erstes primäres Signal
S1S erstes sekundäres Signal
S2 zweites Signal
AAS Automatisierungs-Aktivierungssignal
AES Automatisierungs-Anforderungssignal AS1 erster Ansteuerungsbefehl
AS2 zweiter Ansteuerungsbefehl
PVD primärer virtueller Fahrer
SVD sekundärer virtueller Fahrer

Claims

Patentansprüche:
1. Signalsteuersystem (100) zur redundanten Signalübertragung für ein Fahrzeug (1 ), umfassend: eine erste Steuereinheit (110) zur Ansteuerung wenigstens eines primären Aktuatorsystems (230); und eine zweite Steuereinheit (120) zur Ansteuerung wenigstens eines sekundären Aktuatorsystems (240); und wobei die erste Steuereinheit (110) und die zweite Steuereinheit (120) über eine Kommunikationsverbindung (130) miteinander verbunden sind, wobei die erste Steuereinheit (110) und die zweite Steuereinheit (120) dafür eingerichtet sind, sich jeweils gegenseitig vollständig oder teilweise funktional zu ersetzen; eine Eingabeeinheit (140) zur Signalbereitstellung, wobei die Eingabeeinheit (140) sowohl mit der ersten Steuereinheit (110) als auch der zweiten Steuereinheit (120) verbunden ist und mindestens ein erstes primäres Signal (S1 P) an der ersten Steuereinheit (110) bereitstellt und mindestens ein erstes sekundäres Signal (S1 S) an der zweiten Steuereinheit (120) bereitstellt, wobei das erste primäre Signal (S1 P) und das erste sekundäre Signal (S1 S) teilweise oder vollständig redundant sind; wobei die erste Steuereinheit (110) dafür eingerichtet ist, das erste primäre Signal (S1 P) an der zweiten Steuereinheit (120) über die Kommunikationsverbindung (130) bereitzustellen, und/oder wobei die zweite Steuereinheit (120) dafür eingerichtet ist, das erste sekundäre Signal (S1 S) an der ersten Steuereinheit (110) über die Kommunikationsverbindung (130) bereitzustellen; und wobei wenigstens eine Steuereinheit der ersten Steuereinheit (110) und der zweiten Steuereinheit (120) dafür eingerichtet ist, eine Signalplausibilitätsprüfung basierend auf dem ersten primären Signal (S1 P) und dem ersten sekundären Signal (S1S) auszuführen.
2. Signalsteuersystem (100) nach Anspruch 1 , weiter umfassend einen Signalbereitstel- ler (150), der ein zweites Signal (S2) bereitstellt; wobei der Signalbereitsteller (150) mit der ersten Steuereinheit (110) verbunden ist und das zweite Signal (S2) an der ersten Steuereinheit (110) bereitstellt.
3. Signalsteuersystem (100) nach einem der vorherigen Ansprüche, wobei die Kommunikationsverbindung (130) dafür eingerichtet ist, mindestens ein Signal und/oder ein von dem Signal abgeleitetes Signal von der ersten Steuereinheit (110) an die zweite Steuereinheit (120) und/oder von der zweiten Steuereinheit (120) an die erste Steuereinheit (110) zu übermitteln.
4. Signalsteuersystem (100) nach einem der vorherigen Ansprüche, wobei die Kommunikationsverbindung (130) eine Busverbindung, vorzugsweise eine private Busverbindung, insbesondere eine CAN-Verbindung, vorzugsweise eine private CAN-Ver- bindung, ist.
5. Signalsteuersystem (100) nach einem der Ansprüche 2 bis 4, wobei die Eingabeeinheit (140) eine Mensch-Maschine-Schnittstelle (141 ) zur Anforderung einer Autonomiestufe ist, und das erste primäre Signal (S1 P) und das erste sekundäre Signal (S1 S) ein Automatisierungs-Anforderungssignal (AES) ist.
6. Signalsteuersystem (100) nach Anspruch 5, wobei der Signalbereitsteller (150) eine Mensch-Maschine-Schnittstelle (151 ) zur Aktivierung der Autonomiestufe ist und das zweite Signal (S2) ein Automatisierungs-Aktivierungssignal (AAS) ist.
7. Signalsteuersystem (100) nach einem der vorherigen Ansprüche, wobei die Kommunikationsverbindung (130) dafür eingerichtet ist, mindestens ein Signal oder ein von dem mindestens einen Signal abgeleitetes Signal über eine Checksumme abgesichert zu übermitteln.
8. Signalsteuersystem (100) nach einem der vorherigen Ansprüche, wobei die Kommunikationsverbindung (130) dafür eingerichtet ist, mehrere Signale in einer Nachricht zu übermitteln.
9. Signalsteuersystem (100) nach einem der vorherigen Ansprüche, wobei die erste Steuereinheit (110) und/oder die zweite Steuereinheit (120) dafür eingerichtet sind/ist, bei Empfang mindestens eines Signals einen Empfangszeitpunkt des Signals zu ermitteln und/oder einen Zeitstempel aus dem empfangenen Signal abzuleiten.
10. Signalsteuersystem (100) nach Anspruch 9, wobei die erste Steuereinheit (110) und/oder die zweite Steuereinheit (120) dafür eingerichtet sind/ist, die Signalplausibilitätsprüfung basierend auf dem Empfangszeitpunkt des Signals und/oder dem Zeitstempel des Signals auszuführen.
1 1. Fahrzeugsteuersystem (200) zur redundanten Signalübertragung für ein Fahrzeug mit einem Automatisierungsgrad von SAE Level 2 oder höher, umfassend: ein Signalsteuersystem (100) nach einem der vorherigen Ansprüche; eine erste Energieversorgung (210); eine zweite Energieversorgung (220); mindestens ein primäres Aktuatorsystem (230); und mindestens ein sekundäres Aktuatorsystem (240), welches das primäre Aktuatorsystem (230) teilweise oder vollständig funktional ersetzt; wobei die erste Energieversorgung (210) die erste Steuereinheit (110) des Signalsteuersystems (100) und das mindestens eine primäre Aktuatorsystem (230) mit elektrischer Energie versorgt; wobei die erste Steuereinheit (110) des Signalsteuersystems (100) mit dem mindestens einen primären Aktuatorsystem (230) verbunden ist, zur Steuerung des mindestens einen primären Aktuatorsystems (230); und wobei die zweite Energieversorgung (220) die zweite Steuereinheit (120) des Signalsteuersystems (100) und das mindestens eine sekundäre Aktuatorsystem (240) mit Energie versorgt; wobei die zweite Steuereinheit (120) des Signalsteuersystems (100) mit dem mindestens einen sekundären Aktuatorsystem (240) verbunden ist, zur Steuerung des mindestens einen sekundären Aktuatorsystems (240).
12. Fahrzeugsteuersystem (200) nach Anspruch 1 1 , wobei die Kommunikationsverbindung (130) dafür eingerichtet ist, mindestens einen ersten Ansteuerungsbefehl (AS1 ) der zweiten Steuereinheit (120) für das primäre Aktuatorsystem (230) an der ersten Steuereinheit (110) bereitzustellen und/oder mindestens einen zweiten Ansteuerungsbefehl (AS2) der ersten Steuereinheit (110) für das sekundäre Aktuatorsystem (240) an der zweiten Steuereinheit (120) bereitzustellen.
13. Fahrzeugsteuersystem (200) nach einem der Ansprüche 11 oder 12, wobei mindestens eine Steuereinheit der ersten Steuereinheit (110) und der zweiten Steuereinheit (120) dafür eingerichtet ist, eine Fahrzeugautomatisierungsfunktion auszuführen.
14. Fahrzeugsteuersystem (200) nach einem der Ansprüche 11 bis 13, wobei das Fahrzeugsteuersystem (200) das Fahrzeug (1 ) teilweise oder vollständige autonom steuert.
15. Fahrzeugsteuersystem (200) nach Anspruch 14, wobei das Fahrzeugsteuerungssystem (200) mindestens einen virtuellen Fahrer (PVD, SVD) zur teilweise oder vollständigen autonomen Steuerung des Fahrzeugs (1 ), umfasst.
16. Fahrzeug (1 ), umfassend ein Fahrzeugsteuersystem (200) nach einem der Ansprüche 11 bis 15, wobei das primäre Aktuatorsystem (230) ein primäres Bremssystem (231 ) umfasst und das sekundäre Aktuatorsystem (240) ein sekundäres Bremssystem (241 ) umfasst.
17. Fahrzeug nach Anspruch 16, wobei das Fahrzeug (1 ) mindestens einen virtuellen Fahrer (PVD, SVD), zur teilweise oder vollständigen autonomen Steuerung des Fahrzeugs (1 ), umfasst.
18. Signalplausibilitätsprüfungs-Verfahren mindestens eines Signals (S1 P, S1 S) unter Verwendung eines Signalsteuersystems (100) zur redundanten Signalübertragung für ein Fahrzeug (1 ), wobei das Signalsteuersystem (100) umfasst: eine erste Steuereinheit (110) zur Ansteuerung mindestens eines ersten Aktuatorsystems (230); und eine zweite Steuereinheit (120) zur Ansteuerung mindestens eines zweiten Aktuatorsystems (240); und wobei die erste Steuereinheit (110) und die zweite Steuereinheit (120) über eine Kommunikationsverbindung (130) miteinander verbunden sind, wobei die erste Steuereinheit (110) und die zweite Steuereinheit (120) dafür eingerichtet sind, sich jeweils gegenseitig vollständig oder teilweise funktional zu ersetzen; eine Eingabeeinheit (140) zur Signalbereitstellung, wobei die Eingabeeinheit (140) mit der ersten Steuereinheit (1 10) und mit der zweiten Steuereinheit (120) verbunden ist und mindestens ein erstes primäres Signal (S1 P) an der ersten Steuereinheit (110) und ein erstes sekundäres Signal (S1 S) an der zweiten Steuereinheit (120) bereitstellt; wobei die erste Steuereinheit (110) dafür eingerichtet ist, das erste primäre Signal (S1 P) an der zweiten Steuereinheit (120) über die Kommunikationsverbindung (130) bereitzustellen, und wobei die zweite Steuereinheit (120) dafür eingerichtet ist, das erste sekundäre Signal (S1 S) an der ersten Steuereinheit (110) über die Kommunikationsverbindung (130) bereitzustellen, wobei wenigstens eine Steuereinheit der ersten Steuereinheit (110) und der zweiten Steuereinheit (120) dafür eingerichtet ist, eine Signalplausibilitätsprüfung auszuführen; wobei das Verfahren folgende Schritte umfasst:
Bereitstellen (M1 ) eines ersten primären Signals (S1 P) der Eingabeeinheit (140) an der ersten Steuereinheit (110) und eines ersten sekundären Signals (S1 S) an der zweiten Steuereinheit (120);
Übermitteln (M2) des ersten sekundären Signals (S1 S) von der zweiten Steuereinheit (120) an die erste Steuereinheit (110);
Überprüfen (M3), mithilfe der ersten Steuereinheit (110), der Signalplausibilität des ersten primären Signals (S1 P) und der Signalplausibilität des ersten sekundären Signals (S1 S);
Ausgeben (M4) eines Fehlersignals, basierend auf dem Ergebnis der Prüfung.
19. Verfahren nach Anspruch 18, wobei das Signalsteuersystem (100) einen Signalbe- reitsteller (150) umfasst, der ein zweites Signal (S2) bereitstellt, wobei der Signalbe- reitsteller (150) mit der ersten Steuereinheit (110) verbunden ist und das zweite Signal (S2) an der ersten Steuereinheit (110) bereitstellt, und wobei die Signalplausibilitätsprüfung basierend auf dem zweiten Signal (S2) ausgeführt wird.
20. Verfahren nach einem der Ansprüche 18 oder 19, wobei die zweite Steuereinheit (120) bei Empfang des ersten primären Signals (S1 P) und/oder des ersten sekundären Signals (S1 S) einen Empfangszeitpunkt bestimmt oder einen Zeitstempel des ersten primären Signals (S1 P) und/oder des ersten sekundären Signals (S1 S) ausliest und diese Information bei der Plausibilitätsprüfung berücksichtigt.
PCT/EP2024/067011 2023-07-11 2024-06-19 Elektrische eingabeverteilung in einem redundanten fail-operational system Pending WO2025011900A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102023118303.6 2023-07-11
DE102023118303.6A DE102023118303A1 (de) 2023-07-11 2023-07-11 Elektrische Eingabeverteilung in einem redundanten Fail-operational System

Publications (1)

Publication Number Publication Date
WO2025011900A1 true WO2025011900A1 (de) 2025-01-16

Family

ID=91670352

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2024/067011 Pending WO2025011900A1 (de) 2023-07-11 2024-06-19 Elektrische eingabeverteilung in einem redundanten fail-operational system

Country Status (2)

Country Link
DE (1) DE102023118303A1 (de)
WO (1) WO2025011900A1 (de)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070282459A1 (en) * 2004-02-23 2007-12-06 Continental Teves Ag & Co.Ohg Method and Device for Monitoring Signal Processing Units for Sensors
DE102007035326A1 (de) 2007-07-27 2009-01-29 Robert Bosch Gmbh Sensorkonzept für eine elektrisch betätigte Bremse
US20220169222A1 (en) * 2019-04-09 2022-06-02 Continental Teves Ag & Co. Ohg Method for operating a braking system of a vehicle, and braking system

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102021206133A1 (de) * 2021-06-16 2022-12-22 Robert Bosch Gesellschaft mit beschränkter Haftung Steuerungssystem für mindestens ein empfangendes Gerät in sicherheitskritischen Anwendungen
DE102021210600A1 (de) * 2021-09-23 2023-03-23 Robert Bosch Gesellschaft mit beschränkter Haftung System zum Bereitstellen eines Ausgangssignals basierend auf einem generierten Umfeldmodell eines Umfelds einer mobilen Plattform

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070282459A1 (en) * 2004-02-23 2007-12-06 Continental Teves Ag & Co.Ohg Method and Device for Monitoring Signal Processing Units for Sensors
DE102007035326A1 (de) 2007-07-27 2009-01-29 Robert Bosch Gmbh Sensorkonzept für eine elektrisch betätigte Bremse
US20220169222A1 (en) * 2019-04-09 2022-06-02 Continental Teves Ag & Co. Ohg Method for operating a braking system of a vehicle, and braking system

Also Published As

Publication number Publication date
DE102023118303A1 (de) 2025-01-16

Similar Documents

Publication Publication Date Title
EP3584140B1 (de) Verfahren und vorrichtung für die steuerung eines sicherheitsrelevanten vorganges, sowie fahrzeug
DE102017209721B4 (de) Vorrichtung für die Steuerung eines sicherheitsrelevanten Vorganges, Verfahren zum Testen der Funktionsfähigkeit der Vorrichtung, sowie Kraftfahrzeug mit der Vorrichtung
EP3691945B1 (de) Bremssystem für ein kraftfahrzeug und verfahren zum betreiben eines bremssystems
DE102017010716A1 (de) System zum wenigstens teilautonomen Betrieb eines Kraftfahrzeugs mit doppelter Redundanz
DE102013020177A1 (de) Kraftfahrzeug
EP1763454A1 (de) Redundantes datenbussystem
EP3385934B1 (de) Vorrichtung für die steuerung eines sicherheitsrelevanten vorganges, verfahren zum testen der funktionsfähigkeit der vorrichtung, sowie kraftfahrzeug mit der vorrichtung
EP2183133A1 (de) Feststellbremsanlage und verfahren zum betreiben einer solchen
DE102012021564B4 (de) Vorrichtung und Verfahren zum teil-, hoch- oder vollautomatischen Führen eines Kraftfahrzeuges
DE102018220605B4 (de) Kraftfahrzeugnetzwerk und Verfahren zum Betreiben eines Kraftfahrzeugnetzwerks
DE102022103808A1 (de) Lenksystemaufbau und Fahrzeug mit einem Lenksystemaufbau
EP0830998B1 (de) Elektrische Bremsanlage und Verfahren zum Betreiben einer elektrischen Bremsanlage
DE102018207542A1 (de) Verfahren und Vorrichtung für die Steuerung eines sicherheitsrelevanten Vorganges, sowie Fahrzeug
DE102017213496B4 (de) Verfahren und Steuervorrichtung zum fehlertoleranten Betrieb eines Kraftfahrzeugs
DE102012219533A1 (de) Bremsanlage für Kraftfahrzeuge
DE102020115902A1 (de) Verfahren zum Betrieb eines zumindest teilweise automatisiert bewegbaren Kraftfahrzeugs
EP4479281A1 (de) Bremssystemaufbau und fahrzeug mit einem bremssystemaufbau
EP3856610A1 (de) Steer-by-wire-lenksystem für ein kraftfahrzeug und verfahren zum betreiben eines steer-by-wire-lenksystems für ein kraftfahrzeug
WO2025011900A1 (de) Elektrische eingabeverteilung in einem redundanten fail-operational system
DE102021206184A1 (de) Mechatronische Systemarchitektur zur Fusion der Lenkungs- und Bremssysteme eines Fahrzeugs
WO2012076214A1 (de) Verfahren und vorrichtung zum ansteuern eines kfz-antriebsstranges
DE102016200833B4 (de) Vorrichtung zur Ansteuerung von Bremslichtern eines Kraftfahrzeugs mit redundanten Signalleitungen, Kraftfahrzeug sowie Verfahren
EP4667301A1 (de) Bediensystem für ein fahrzeug sowie fahrzeug und verfahren zum betreiben eines fahrzeugs mit einem bediensystem
DE102023200196A1 (de) Verfahren zum Betreiben eines Assistenzsystems eines zumindest teilweise assistiert betriebenen Kraftfahrzeugs, Computerprogrammprodukt, computerlesbares Speichermedium sowie Assistenzsystem
DE102023118305A1 (de) Fahrzeugsteuersystem zum autonomen Steuern eines Fahrzeugs sowie Verfahren damit

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 24736336

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE