-
Die
Erfindung bezieht sich auf ein System zur Ansteuerung eines Aktuators
in einem Kraftfahrzeug nach dem Oberbegriff des Anspruchs 1.
-
Heutige
Fahrzeuge sind mit vielen Zusatzsystemen ausgestattet, die den Fahrer
bei bestimmten Fahrsituationen unterstützten. Diese sog. Fahrerunterstützungssysteme
umfassen in der Regel eine Ansteuerfunktion, die zumindest eine
Stellgröße ermittelt,
welche über
eine Schrittstelle an einen entsprechenden Aktuator ausgegeben werden
soll, so dass der Aktuator diese Stellgröße umsetzt. Eine dieser Ansteuerfunktion
zugeordnete Sicherheitsfunktion prüft nach Bilden der Stellgröße den Wert
bzw. die Ausgabe auf Zulässigkeit
und Plausibilität.
Erkennt die Sicherheitsfunktion einen Fehler in der erzeugten Stellgröße, wird
eine Ausgabe an den Aktuator unterbunden.
-
Aufgrund
der immer größer werdenden
Anzahl von Zusatzfunktionen in einem Kraftfahrzeug kann ein Fahrzeug
bspw. auch mit mehreren verschiedenen Ansteuerfunktionen ausgestattet
sein, die aber jeweils eine Stellgröße für den gleichen Aktuator ermitteln.
Diese Ansteuerfunktionen können völlig unabhängig voneinander
eine Stellgröße ermitteln,
die anschließend
von der zu dieser Ansteuerfunktion gehörigen Sicherheitsfunktion überprüft wird.
Ist der Wert der Stellgröße in Ordnung,
wird die Stellgröße an den
Aktuator weitergegeben. Unter gewissen Umständen kann es vorkommen, dass
mehrere Ansteuerfunktionen eine gültige Stellgröße ermitteln,
und diese zur Ansteuerung des Aktuators ausgeben. Haben diese Stellgrößen unterschiedliche Werte,
ist nicht klar, welche Stellgröße als Ansteuersignal
verwendet werden soll. Um dieses Problem zu umgehen, wird eine Koordinatorfunktion
eingeführt, die
zwischen den Einzelstellgrößen priorisiert
oder Übergänge schafft.
Damit ist aber an der Schnittstelle „Koordinator – Aktuator" nicht mehr klar,
welche Ansteuerfunktion derzeit den Aktuator anfordert und damit
auch nicht, welche Sicherheitsfunktion den Sollwert überprüfen muß.
-
Aufgabe
der Erfindung ist es, ein System bzw. eine Systemarchitektur anzugeben,
so dass die Schnittstelle lückenfrei
von der der Ansteuerfunktion zugeordneten Sicherheitsfunktion, mindestens
aber von einer übergreifenden
Sicherheitsfunktion überwacht
wird.
-
Diese
Aufgabe wird durch ein System nach Anspruch 1 gelöst. Vorteilhafte
Weiterbildungen ergeben sich aus den abhängigen Ansprüchen.
-
Es
wird von einem System zur Ansteuerung eines Aktuators in einem Kraftfahrzeug
ausgegangen, das prinzipiell auf mehreren Steuergeräten ablaufen
kann. Das System umfasst zumindest zwei Ansteuerfunktionen, die
jeweils eine Stellgröße für einen
Aktuator erzeugen, die durch eine der Ansteuerfunktion und der Stellgröße zugeordnete
Sicherheitsfunktion überprüft werden.
Die Erfindung zeichnet sich dadurch aus, dass bei zumindest zwei
Ansteuerfunktionen, die jeweils eine Stellgröße für den gleichen Aktuator erzeugen
können,
eine Koordinatorinstanz vorgesehen ist, die (ablauftechnisch) zwischen den
Sicherheitsfunktionen auf der einen Seite und dem Aktuator auf der
anderen Seite angeordnet ist. Die Koordinatorinstanz erhält somit
Eingangssignale von den Ansteuerfunktionen und/oder den dazugehö rigen Sicherheitsfunktionen,
und gibt als Ausgangssignal ein Signal aus, das die Freigabe des
Aktuatorsollwertes erlaubt. Diese Koordinatorinstanz koordiniert
die Ausgabe der von den Sicherheitsfunktionen erzeugten Freigaben
an den Aktuator derart, dass nur eine, oder unter bestimmten Umständen keine
Stellgröße an den
Aktuator freigegeben wird. Es wird eine Koordinatorinstanz installiert,
die zwischen den Sicherheitsfunktionen der Ansteuerfunktionen lückenfrei
hin- und herschaltet. Somit wird dem Aktuator maximal eine Freigabe
zur Stellgröße übermittelt.
-
Vorteilhafterweise überwacht
die Koordinationsinstanz die aktuelle Zuständigkeit der Ansteuerfunktionen
und koordiniert in Abhängigkeit
von der aktuell zuständigen
Ansteuerfunktion die Ausgaben der von der zuständigen Sicherheitsfunktion
erzeugten Freigabe an den Aktuator. Sind mehrere Ansteuerfunktionen
zuständig,
koordiniert die Koordinationsinstanz die Ausgabe einer der von den
zuständigen
Sicherheitsfunktionen erzeugten Freigaben an den Aktuator.
-
Ist
genau eine Ansteuerfunktion aktuell zuständig, koordiniert die Koordinationsinstanz
vorteilhafterweise derart die Ausgabe, dass sie in Abhängigkeit
von der aktuell zuständigen
Ansteuerfunktion die von dieser Ansteuerfunktion erzeugte Stellgröße an den
Aktuator ausgibt, oder die Ausgabe der von dieser Ansteuerfunktion
erzeugten Stellgröße zur Ausgabe
an den Aktuator freigibt, wenn die Sicherheitsfunktion der zuständigen Ansteuerfunktion
eine Freigabe der erzeugten Stellgröße zulässt. Ist also nur eine Ansteuerfunktion
zuständig,
wird die Verantwortung an die dieser Ansteuerfunktion zugeordnete Sicherheitsfunktion übertragen.
Ist der Koordinatorinstanz bekannt, dass genau eine Ansteuerungsfunktion
aktiv ist und welche es ist, hängt
es lediglich vom Ergebnis der Sicherheitsfunktion ab, ob die von
dieser Ansteuerfunktion ermittelte Stellgröße zur Ansteuerung des Aktuators
freigegeben wird. Die Koordinatorinstanz schaltet dementsprechend
bei positiver Über prüfung der
erzeugten Stellgröße diese
direkt durch an den Aktuator oder gibt die Ausgabe der Stellgröße an den
Aktuator frei.
-
Sind
zumindest zwei Ansteuerfunktionen gleichzeitig zuständig, die
beide eine Stellgröße für den gleichen
Aktuator erzeugen können,
dann koordiniert die Koordinatorinstanz vorteilhafterweise derart
die Ausgabe der erzeugten Stellgrößen, dass sie in Abhängigkeit
von den aktuell zuständigen
Ansteuerfunktion eine von den zuständigen Ansteuerfunktionen erzeugte
Stellgröße an den
Aktuator ausgibt oder die Ausgabe einer der von diesen Ansteuerfunktionen
erzeugten Stellgrößen zur
Ausgabe an den Aktuator freigibt, wenn die Sicherheitsfunktion derjenigen
Ansteuerfunktion, deren erzeugte Stellgröße an den Aktuator ausgegeben
werden soll, eine Freigabe dieser erzeugten Stellgröße zulässt. Anders ausgedrückt koordiniert
die die Koordinationsinstanz bei zumindest zwei zuständigen Ansteuerfunktionen die
Anforderungen an die Sicherheitsfunktionen. Die Koordination erfolgt
je nach hinterlegter Funktionslogik, d. h. es wird eine der Freigaben
in Abhängigkeit von
vorgegebenen Bedingungen ausgewählt
(z. B. und, oder, etc).
-
In
einer vorteilhaften Ausgestaltung der Erfindung kann die Koordinatorinstanz
auch derart die Ausgabe einer Stellgröße an den Aktuator koordinieren,
dass sie bei Vorliegen vorgegebener Bedingungen keine der von einer
Ansteuerfunktion erzeugten Stellgröße an den Aktuator ausgibt
bzw. die Ausgabe keiner Stellgröße freigibt.
Dies kann bspw. der Fall sein, wenn die Koordinatorinstanz erkennt,
dass keine der erzeugten Stellgrößen für die Ansteuerung des
Aktuators geeignet ist. Ist beispielsweise aktuell keine der aktiven
Ansteuerfunktionen, d. h. derjenigen Ansteuerfunktionen, die eine
(zulässige)
Stellgröße erzeugen,
zuständig, übernimmt
der Koordinator in einer vorteilhaften Ausgestaltung der Erfindung die Überwachung
selbst, indem er die Ausgabe der erzeugten Stellgröße an den
Aktuator unterbindet. Eine vorgegebene Bedingung könnte folglich
vorliegen, wenn keine Ansteuerfunktion zuständig ist und/oder wenn keine
der zuständigen
Ansteuerfunk tionen eine Stellgröße erzeugt
und/oder wenn keine Sicherheitsfunktion der zuständigen Ansteuerfunktionen eine
Freigabe der erzeugten Stellgröße zulässt, insbesondere
dann, wenn die Sicherheitsfunktion derjenigen Ansteuerfunktion,
deren erzeugte Stellgröße an den
Aktuator übergeben
werden soll, keine Freigabe dieser Stellgröße zulässt.
-
Vorteilhafterweise überwacht
die Koordinatorinstanz die Zuständigkeit
und ggf. auch die Aktivität der
Ansteuerfunktionen durch Abbilden der verschieden Zustände innerhalb
eines Zustandsdiagramms. Für
jede Zuständigkeitsmöglichkeit
(jede Ansteuerfunktion für
sich, eine vorgegebene Kombination aus zwei oder mehreren Ansteuerfunktionen,
und ein Zustand, indem keine Ansteuerfunktion zuständig ist) wird
ein Zustand hinterlegt. Die einzelnen Zustände sind durch verschiedene
Verbindungslinien bzw. Zustandsübergangsmöglichkeiten
verbunden, wobei die Verbindungen der einzelnen Zustände in Abhängigkeit
davon vorgegeben werden, ob ein Wechsel vom einen Aktivitätszustand
in einen anderen möglicht
ist. Ist dies nicht der Fall, ist zwischen den beiden Aktivitätszuständen keine
Verbindung in diese Richtung abgebildet.
-
In
der Regel sind die Sicherheitsfunktionen derart aufgebaut, dass
sie neben der ansteuerfunktionsspezifischen Überwachung noch andere Sub-Funktionen zur Prüfung der
ermittelten Stellgröße durchführen, die
für einige
oder alle Sicherheitsfunktionen (unabhängig von der Ansteuerfunktion) identisch
sind. Um das gesamte Bordnetz schlanker gestalten zu können, übernimmt
die Koordinatorinstanz vorteilhafterweise zumindest eine dieser übergreifenden
Sub-Funktionen. Bei diesen Sub-Funktionen kann es sich bspw. um
sog. Freigabeüberwachungsfunktionen
(Bewertung ob die Freigabe der Sollgröße durch die zuständige Sicherheitsfunktion erlaubt
ist), Abschaltmatrizen (Bewertung, welche Reaktion folgen soll),
Abschaltreaktionsfunktionen (Unterbinden der Ansteuerung des Aktuators)
oder um Fehlerdokumentationsfunktionen (Speicherung von Fehlern
mit Umweltbedingungen) handeln.
-
Die
Ansteuerfunktionen sowie deren Sicherheitsfunktion(en) können auf
unterschiedliche Steuergeräte
aufgeteilt werden, so dass die Funktionen durch unterschiedliche
Steuergeräte
ausgeführt
werden. Es kann sich aber auch zumindest eine der Ansteuerfunktionen
sowie deren Sicherheitsfunktion(en) ein Steuergerät mit der
Koordinatorinstanz teilen, so dass die entsprechenden Funktionen
von einem Steuergerät
durchgeführt
werden.
-
Diese
Steuerungseinheit bzw. dieser Systemsaufbau kann für verschiedene
Ansteuerfunktionen verwendet werden. So zeigt das nachfolgende Ausführungsbeispiel
eine Steuerungseinheit mit einer erfindungsgemäßen Koordinatorinstanz, welche die
Ausgabe einer von einer abstandsgeregelten Geschwindigkeitsregelfunktion
oder einer Geschwindigkeitsregelfunktion bei Bergabfahrt erzeugten
Stellgröße an den
Aktuator koordiniert. Dabei zeigt die
-
1 einen
stark vereinfachten Aufbau einer Koordinatorinstanz zum Koordinieren
der Ausgabe der von Ansteuerfunktionen erzeugten Stellgrößen, und
-
2 einen
zur 1 detaillierter Darstellung der Koordinatorinstanz.
-
Die 1 zeigt
im Gesamten ein System zur Ansteuerung eines hier nicht dargestellten
Aktuators in einem Kraftfahrzeug. Das Gesamtsystem umfasst eine
als abstandsgeregelte Geschwindigkeitsfunktion F_ACC ausgestaltete
erste Ansteuerfunktion und eine als Geschwindigkeitsregelfunktion
bei Bergabfahrt F_HDC ausgestaltete zweite Ansteuerfunktion. Es
können
auch noch andere Ansteuerfunktionen vorhanden sein, die eine Stellgröße für den gleichen Aktuator
erzeugen. Jeder dieser Ansteuerfunktionen F_ACC und F_HDC bzw. jeder
Schnittstelle, an die die Ansteuerfunktion F_ACC oder F_HDC eine
Ausgabe in Form einer Stellgröße macht,
ist eine Sicherheitsfunktion S_ACC bzw. S_HDC zugeordnet, welche
die erzeugte und an der Schnittstelle auszugebende Stellgröße auf Zulässigkeit
und Plausibilität ü berwacht.
Der Einfachheit halber wird in diesem Beispiel davon ausgegangen,
dass jede der Ansteuerfunktionen F_ACC und F_HDC nur eine Stellgröße für einen
Aktuator – bspw.
den Antrieb – erzeugt.
-
Die
zwei Ansteuerfunktionen F_ACC und F_HDC bzw. deren Sicherheitsfunktionen
S_ACC und S_HDC stehen durch verschiedene Signale mit einer Koordinatorinstanz
K in Verbindung, welche die Ausgabe der von den Ansteuerfunktionen
F_ACC und F_HDC erzeugten – und
den jeweiligen Sicherheitsfunktionen S_ACC und S_HDC überprüften – Stellgrößen an den
Aktuator koordiniert.
-
In
der Koordinatorinstanz K ist ein Zustandsdiagramm ZD abgebildet
welches die verschiedenen möglichen
Aktivitätszustände und
Aktivitätszustandskombinationen
abbildet. Es kann entweder nur die erste Ansteuerfunktion F_ACC
aktiv und zuständig sein
(ACC), oder nur die zweite Ansteuerfunktion F_HDC (HDC), oder während eines Übergangs
von der ersten Ansteuerfunktion F_ACC auf die zweite Ansteuerfunktion
F_HDC beide Ansteuerfunktionen (ACC->HDC). Unter bestimmten Umständen kann auch
ein Zustand AUS erreicht werden, bei dem keine (aktive) Ansteuerfunktion
zuständig
ist. Die von den einzelnen Zuständen
ACC, ACC->HDC, HDC und
AUS abgehenden Pfeile zeigen an, in welchen Zustand ausgehend vom
aktuellen Zustand gewechselt werden kann.
-
Zusätzlich zu
dem Zustandsdiagramm ZD umfasst die Koordinatorinstanz K mehrere übergreifende
Sub-Funktionen SF1, SF2, SF3 und SF4, welche nach dem Stand der
Technik normalerweise innerhalb jeder Sicherheitsfunktion S_ACC
und S_HDC hinterlegt sind. Um das gesamte Bordnetz schlanker gestalten
zu können, übernimmt
die Koordinatorinstanz K diese übergreifenden
Sub-Funktionen SF1, SF2, SF3 und SF4. Bei diesen Sub-Funktionen
SF1, SF2, SF3 und SF4 kann es sich bspw. um sog. Freigabeüberwa chungsfunktionen,
Abschaltreaktionsfunktionen, Fehlerdokumentationsfunktionen oder
um eine Abschaltmatrix handeln.
-
Um
die Ausgabe der erzeugten Stellgrößen an den Aktuator koordinieren
zu können,
werden zwischen der Koordinatorinstanz K und den Ansteuerfunktionen
F_ACC und F_HDC folgende Signale ausgetauscht: Die Koordinatorinstanz
K sendet an jede Ansteuereinheit F_ACC und F_HDC ein Aktivierungsfreigabe-Signal
ak1 und ak2. Durch dieses Signal ak1 bzw. ak2 wird den Ansteuerfunktionen F_ACC
und F_HDC bzw. deren Sicherheitsfunktionen S_ACC und S_HDC mitgeteilt,
ob sich aus dem aktuell vorliegenden Zustand prinzipiell eine Freigabe
zur Aktivierung einer Ansteuerfunktion oder zur Ausgabe einer Stellgröße an einen
bestimmten Aktuator erhalten. Die Ansteuerfunktionen F_ACC und F_HDC
bzw. deren Sicherheitsfunktionen S_ACC und S_HDC senden ein Aktivierungszustands-Signal a1
bzw. a2, wenn sie gerade aktiv sind, d. h. eine Stellgröße für den entsprechenden
Aktuator erzeugen, ein Freigabesignal fr1 bzw. fr2, wenn die Sicherheitsfunktion
S_ACC bzw. S_HDC eine Freigabe der erzeugten Stellgröße zulässt, und
einen Fehlerstatus f1 bzw. f2, wenn die Sicherheitsfunktion S_ACC
oder S_HDC einen Fehler bei der erzeugten Stellgröße erkennt
und die Freigabe deshalb nicht zulässt.
-
In
der 2 ist eine detaillierte Darstellung der Koordinatorinstanz
K zum Aufzeigen der Signalauswertung und Signalerzeugung der einzelnen
Signale dargestellt. Wie bereits unter 1 erwähnt, erhält die Koordinatorinstanz
K von den jeweiligen Ansteuerfunktionen F_ACC und F_HDC bzw. deren
Sicherheitsfunktionen S_ACC und S_HDC ein Aktivierungszustands-Signal
a1 und a2, wenn die Ansteuerfunktionen aktiv sind und somit eine
Stellgröße für den entsprechenden
Aktuator erzeugen. Anhand dieser Signale a1 und a2 und dem abgebildeten
Zustandsdiagramm ZD ermittelt die Koordinatorinstanz K innerhalb
einer Einheit AkF_ACC zur Bildung einer Aktivierungsfreigabe, ob
prinzipiell eine Freigabe der Aktivierung der entsprechenden An steuerfunktion F_ACC
bzw. F_HDC erlaubt ist. Ist eine Freigabe der Aktivierung der ersten
Ansteuerfunktion F_ACC erlaubt, sendet die Koordinatorinstanz K,
insbesondere die Einheit AkF_ACC eine Aktivierungsfreigabe-Signal
ak1 an die entsprechende Sicherheitsfunktion S_ACC. Analog zur Einheit
AkF_ACC ist eine Einheit AkF_HDC zur Bildung einer Aktivierungsfreigabe
für die
zweite Ansteuerfunktion F_HDC vorgesehen, welche ermittelt, ob für eine Freigabe
der Aktivierung für
diese zweite Ansteuerfunktion F_HDC erlaubt ist. Ist eine Freigabe
der Aktivierung der zweiten Ansteuerfunktion F_HDC erlaubt, sendet
die Koordinatorinstanz K, insbesondere die Einheit AkF_HDC eine
Aktivierungsfreigabe-Signal ak2 an die entsprechende Sicherheitsfunktion
S_HDC.
-
Weiter
umfasst die Koordinatorinstanz K eine Einheit A_Antrieb und A_Bremse
zur Bildung einer Ausgangsfreigabe für den Antrieb und die Bremse. Diese
Einheiten A_Antrieb und A_Bremse erhalten als Eingangssignale die
entsprechenden Freigabesignale fr1a, fr2a, fr1b und fr2b von der
ersten und zweiten Ansteuerfunktion F_ACC und F_HDC bzw. deren Sicherheitsfunktion
S_ACC und S_HDC. Erzeugt die erste Ansteuerfunktion F_ACC eine Stellgröße für den Antrieb
und ist die Stellgröße nach Überprüfung durch
die Sicherheitsfunktion S_ACC freigegeben, wird an die Einheit A_Antrieb
ein Freigabesignal fr1a gesendet. Erzeugt die zweite Ansteuerfunktion
F_HDC eine Stellgröße für den Antrieb
und ist die Stellgröße nach Überprüfung durch
die Sicherheitsfunktion S_HDC freigegeben, wird an die Einheit A_Antrieb
ein Freigabesignal fr2a gesendet. Analog dazu wird an die Einheit
A_Bremse ein Freigabesignal fr1b bzw. fr2b gesendet, wenn die von
der ersten bzw. zweiten Ansteuerfunktion F_ACC bzw. F_HDC erzeugte
Stellgröße für die Bremse
durch die entsprechende Sicherheitsfunktion S_ACC bzw. S_HCD freigegeben
wurde. Die Einheiten A_Antrieb und A_Bremse senden an eine Freigabe-Überwachungseinheit
Fr_Überw
ein entsprechendes Signal, wenn einer Ansteuerung der entsprechenden
Aktuatoren durch die Koordinatorinstanz K zugestimmt wird. Tritt bei
der Ansteue rung ein Fehler auf, sendet die Freigabe-Überwachungseinheit
Fr_Überw
ein Fehlersignal f3 an eine Überwachungsmatrix Überw, welche
in Abhängigkeit
vom ermittelten Fehler eine Dokumentation des Fehlers in einer Fehlerdokumentation Dok_Fehler,
oder eine Abschaltreaktion Abs_Rea einleitet. Wird ein Fehler bereits
bei der Ermittlung der Stellgröße durch
die Sicherheitsfunktion S_ACC bzw. S_HDC erkannt, senden dies Sicherheitsfunktion
S_ACC bzw. S_HDC ebenfalls ein Fehlersignal f1 bzw. f2 an die Fehler-Überwachungsmatrix Überw. Auf
diese Fehler reagiert die Überwachungsmatrix analog
zu oben.
-
Durch
die erfindungsgemäße Koordinatorinstanz
können
durch gemeinsame Nutzung von Schnittstellen Synergieeffekte genutzt
werden. Außerdem
vermindern sich der Absicherungsaufwand und der Applikationsaufwand.
Die Fehleranfälligkeit des
oben beschriebenen Systems sinkt ebenfalls gegenüber dem Stand der Technik.