-
Die Erfindung betrifft eine elektromechanische Servolenkung nach dem Oberbegriff des Anspruchs 1. Insbesondere betrifft die Erfindung eine elektromechanische Servolenkung, die für einen Notlaufbetrieb geeignet ist.
-
Bei den Lenksystemen für Kraftfahrzeuge und dergleichen, ist es erforderlich, dass bei Fehlfunktion und insbesondere bei Ausfall einzelner Komponenten die Gesamtfunktion des Lenksystems zumindest soweit erhalten bleibt, dass ein Notlaufbetrieb durchgeführt werden kann. Im Bereich der Automobilelektronik sind an sich verschiedene Fehlerbehandlungs-Methoden bekannt und werden z.B. in dem Fachbuch „Automobilelektronik" von Konrad Reif, 3. Aufl., erschienen im Vieweg + Teubner Verlag, behandelt. Dort werden in Kapitel 10.6 verschiedene Fehlerbehandlungs-Methoden genannt. Demnach unterscheidet man zwischen verschiedenen Klassen von sicherheitsrelevanten Systemen, die sich hinsichtlich des Grades der Reduzierung des Funktionsumfanges unterscheiden. Bei einem sogenannten „Fail-Safe-System“ wird im Fehlerfall ein definierter sicherer Zustand eingenommen. In diesem sicheren Zustand verharrt das System dann solange, bis es von Außen wieder in Gang gesetzt wird (z.B. durch Reset). Ein sogenanntes „Fail-Silent-System“ verhält sich nach einem Fehler passiv und beeinflusst keine weiteren Komponenten. Solange sich das System in diesem passiven Zustand befindet, reagiert es nicht auf Signale von Außen und erfüllt seine normale Funktion nicht mehr. Beispielsweise kann ein ABS-Bremssystem im Fehlerfalle abgeschaltet werden, so dass im Notlaufbetrieb nur die „normale“ Bremsfunktion ohne ABS zur Verfügung steht. Dabei muss sichergestellt werden, dass das Abschalten keine kritischen Systemzustände hervorruft. Bei einem sogenannten „Fail-Reduced-System“ bleibt nach einem Ausfall eine eingeschränkte Funktionsfähigkeit erhalten. So besitzen beispielsweise Automatikgetriebe oft einen mechanischen Notlauf (3. Gang). Ein sogenanntes „Fail-Operational-System“ erfüllt auch im Fehlerfall seine Funktion ohne Einschränkung der Funktionalität. Dies ist insbesondere dort erforderlich, wo weder mechanische noch hydraulische Rückfallebenen existieren.
-
Bei elektromechanischen Lenksystemen ist es wünschenswert, zumindest ein Fail-Silent-System bereitzustellen, welches das Lenksystem bei einem erkannten, sicherheitsrelevanten Fehler in den passiven definierten Zustand schaltet, welcher für den Benutzer bzw. Fahrer beherrschbar ist. Bezug genommen wird hierzu auf das Ausfall- bzw. Abschaltverhalten heute gängiger hydraulischer Servolenksysteme. Mit zunehmender Verbreitung elektromechanischer Lenksysteme auch in Fahrzeugklassen, die höhere Vorderachslasten und somit höhere Zahnstangenkräfte aufweisen, wird das Abschaltverhalten eines solchen Fail-Silent-Systems besonders relevant.
-
Die
DE 103 28 707 A1 befasst sich u.a. mit sog. Steer-by-Wire-Lenkungen, d.h. Lenkungen, die keine mechanische Rückfallebene aufweisen. Zur Erhöhung des Sicherheitsverhaltens wird dort vorgeschlagen, eine bestimmte Fail-Silent-System bzw. -Struktur einzusetzen. Dabei handelt es sich um einen Fail-Silent-Datenbus mit zwischen jeweils zwei oder mehreren Busknoten ablaufender Datenkommunikation auf zwei parallelen Datenleitungen. Weiterhin ist eine Steuereinrichtung vorgesehen, die den Bus des einen Bustreibers nur für die den Busknoten zustehende Zeit steuert.
-
Die
DE 102 39 846 A1 , welche sich allgemein mit Fail-Silent-Systemen befasst, beschreibt ein Fail-Silent-Steuergerät mit zwei Steuereinheiten, bei dem die Bustreiber jeweils nur an eine Datenübertragungseinheit angeschlossen sind, wobei die Dateneingangsleitungen mit den Dateneingängen beider Datenübertragungseinheiten verbunden sind. Dieses Fail-Silent-Steuergerät dient beispielsweise zur Ansteuerung eines beliebigen Aktuators.
-
Aus der
EP 1 177 609 ist ein Fail-Safe-System bekannt, das zur sicheren Ansteuerung eines bürstenlosen Gleichstrommotors dient.
-
Wie oben dargelegt wurde, ist es bekannt, Lenkungen und somit auch elektromechanische Servolenkungen für einen Notlaufbetrieb zu verbessern, indem dort Fail-Silent-Systeme eingesetzt werden. Jedoch beziehen sich die bekannten Fail-Silent-Systeme nur auf die Überwachung einzelner Komponenten, wie z.B. Steuergerät, nicht aber auf das gesamte Lenksystem. Daher ist es wünschenswert, eine elektromechanische Servolenkung vorzuschlagen, die geeignet ist für den Notlaufbetrieb, wobei sicherheitskritische Fehlerüberwachung in Bezug auf möglichst alle Lenksystem-Komponenten angewendet werden kann, so dass sich das Sicherheitsverhalten der gesamten Servolenkung deutlich verbessert wird. Insbesondere soll eine Lösung für Servolenkungen vorgeschlagen werden, die zwar eine mechanische Rückfallebene aufweisen, die aber mit einer Zusatzfunktion ausgestattet sein soll, um das Problem zu vermeidet, dass der Fahrer bei einem plötzlichen Ausfall der Servounterstützung überrascht oder sogar überfordert reagiert und es zu kritischen Fahrzuständen kommt.
-
Gelöst wird die Aufgabe durch eine elektromechanische Servolenkung mit den Merkmalen des Anspruchs 1.
-
Demnach wird eine elektromechanische Servolenkung vorgeschlagen, die für einen Notlaufbetrieb geeignet ist und eine elektronische Sensorik, eine damit verbundene Steuerungs-Elektronik, mindestens eine damit verbundene Leistungs-Elektronik und mindestens einen damit verbundenen elektrisch angetriebenen Aktuator aufweist. Die Leistungs-Elektronik weist mindestens zwei dieselbe Funktion ausführende Leistungs-Elektronik-Einheiten auf und der elektrisch angetriebene Aktuator weist mindestens zwei dieselbe Funktion ausführende Akutator-Einheiten auf, von denen jede mit einer der zwei Leistungs-Elektronik-Einheiten verbunden ist. Die jeweilige Leistungs-Elektronik-Einheit kann z.B. eine Treiberstufe, insbesondere FET-Treiberstufe, umfassen und/oder kann z.B. eine Leistungsendstufe, insbesondere FET-Leistungsendstufe, umfassen. Der elektrisch angetriebene Aktuator ist vorzugsweise ein Elektromotor, wobei die jeweilige Akutator-Einheit eine oder mehrere Motorwicklungen des Elektromotors umfasst.
-
Die Erfindung stellt demnach eine elektromechanische Lenkung bereit, die in ihrem Leistungsteil (Leistungselektronik und Aktuatorik) eine mindestens zweifach ausgelegte Struktur aufweist. Dazu sind mit mindestens zwei Leistungsendstufen und/oder mindestens zwei Motorwicklungen vorgesehen, so dass im Notfall die Lenkung nicht gänzlich ausfällt, sondern in Form eines Notlaufbetriebs weiter funktioniert. Dabei sind die zwei- oder mehrfach vorgesehene Elemente bzw. Einheit, wie z.B. die Leistungsendstufen nicht jeweils zu 100% auf das zu erwartende Leistungsniveau ausgelegt, sondern nur anteilig z.B. auf jeweils 50%. Dadurch wirken im fehlerfreien Betrieb z.B. zwei Leistungsendstufen mit jeweils 50%, so dass ein Normalbetrieb vollkommen ausreichend durchgeführt werden kann. Im Fehlerfall und somit bei Ausfall einer Leistungsendstufe stehen dann zwar nur 50% der Leistung zur Verfügung. Dies reicht aber für den Notlaufbetrieb vollkommen aus. Dies gilt insbesondere auch für Lenkung, die keinem X-by-wire System entsprechen, sondern in der Regel auch noch eine mechanische Rückfallebene aufweisen. Diese anteilige Konzeption kann zwar keine volle Redundanz zur Verfügung stellen, ist aber sehr kostengünstig und platzsparend realisierbar und leistet einen ausreichenden Notlaufbetrieb, bei dem allenfalls etwas Komfort eingebüßt werden muss.
-
Vorzugsweise ist die Sensorik auch mit mindestens zwei elektronischen Sensor-Elementen ausgestattet, die mit der Steuerungs-Elektronik verbunden sind, um über die Leistungs-Elektronik den damit verbundenen elektrischen Aktuator (insbesondere Elektromotor) anzusteuern. Dabei wird jede Aktuator-Einheit (z.B. erster Wicklungssatz und zweiter Wicklungssatz) abhängig von dem jeweiligen Sensor-Element gesteuert. Eine in Steuerungs-Elektronik vorgesehene Fehler-Auswertungs-Einheit überwacht die Funktionen der Sensor-, Antriebs- bzw. Leistungselektronik- und/oder Aktuator-Elemente auf Fehler, um ggf. fehlerhafte Funktionen zu deaktivieren.
-
Demnach weist die Servolenkung eine mehrfach redundante Struktur hinsichtlich der Sensorik, der Antriebssteuerung und der Aktuatoren auf, so dass sich insgesamt ein sehr fehlerresistentes Servolenkungssystem ergibt. Insbesondere wird eine zwei- oder mehrkanalige Fail-Silent-Struktur vorgeschlagen, die insgesamt ein 100%-tiges Leistungsvermögen im Vergleich zu einer herkömmlichen Lenkung aufweist, bei der aber jeder Kanal nur einen entsprechenden Bruchteil (z.B. 50% bei 2 Kanälen) des Leistungsvermögens aufweisen muss. Wenn dann ein Kanal ausfallen sollte, ist/sind der/die übrige(n) Kanale/Kanäle noch uneingeschränkt funktionstüchtig und die Durchführung eines Notlaufbetrieb ist sichergestellt. Bei der hier vorgeschlagenen Lenkung ist es für den Notfall vollkommen ausreichend, wenn z.B. 50% des Leistungsvermögens zur Verfügung steht. Allenfalls sind kleinere Einschränkungen sind wegen der reduzierten Gesamtperformance (hinsichtlich der Servounterstützung) bei Lenkbewegungen hinzunehmen, die während des Stillstandes des Fahrzeugs oder bei sehr geringer Geschwindigkeit (Schrittgeschwindigkeit) durchgeführt werden. Die hier vorgeschlagenen Fail-Silent-Strukturen bewirken, dass bei Ausfall eines Kanals die volle Diagnosefähigkeit des jeweiligen Kanals erhalten bleibt und somit ein Fehler in diesem Kanal detektiert werden kann. Erst in diesem Fall muss dann dieser Kanal abgeschaltet werden. Bis dahin stehen alle Kanäle uneingeschränkt zur Verfügung; d.h. es gibt keine zeitliche Einschränkung für den Notlaufbetrieb.
-
Die vorliegende Erfindung schlägt also vor, im Leistungsteil einer elektromechanischen Servolenkung die Leistungsendstufe (FET-Treiber / Endstufe) und die Akturator-Einheit (insbesondere Motorwicklung) zumindest doppelt auszuführen. Vorzugsweise kann dann auch die Sensorik mit mindestens zwei Rotorlagesensoren (MR-Sensoren) ausgestattet sein, dies ist aber nicht zwingend erforderlich. Im Vergleich zu einem herkömmlichen Leistungsteil, das 100% der zu erwartenden Leistung bzw. Performance leisten muss, brauchen die bei der Erfindung vorgesehenen Komponenten, insbesondere die Leistungs-Elektronik-Einheiten, nur jeweils einen Anteil (z.B. 50%) der Performance zu liefern. Im fehlerfreien Betrieb der Lenkung (Normalfall) wirken alle Komponenten gleichzeitig und leisten somit insgesamt 100% der erwarteten Performance. Wenn ein Fehler auftritt (Notfall) und eine Komponente oder ein Kanal abgeschaltet werden muss, so steht dennoch ausreichend Leistung bzw. Performance (z.B. 50%) zur Verfügung, um das Fahrzeug im Rahmen eines Notlaufbetriebs noch sicher weiter betreiben zu können. Der einhergehende teilweise Komfortverlust bei der Servounterstützung ist hinnehmbar, da der Vorteil einer kompakten und kostengünstigen Bauweise diesen Teilverlust mehr als kompensiert. Bei herkömmlichen Fail-Safe-Systemen ist die Struktur derart, dass doppelt oder sogar mehrfach die 100%-tige Performance installiert werden muss.
-
Vorteilhafte Ausgestaltungen der Erfindung werden in den Unteransprüchen angegeben.
-
Demnach ist es vorteilhaft, wenn die Sensor-, Antriebs- und Aktuator-Elemente in einer ersten Fail-Silent-Struktur angeordnet sind, die aus N parallel aufgebauten Schaltungs-Strängen besteht, wobei N ≥ 2 ist, und wobei jeder Schaltungs-Strang jeweils ein Sensor-Element, eine Leistungs-Elektronik-Einheit und eine Aktuator-Einheit aufweist, und wobei zwei Fehler-Auswertungs-Einheiten vorgesehen sind, von denen eine erste Einheit mit den Sensor-Elementen verbunden ist und eine zweite Einheit mit den Leistungs-Elektronik-Einheiten verbunden ist, wobei jede Fehler-Auswertungs-Einheit eine Entscheidungsstufe aufweist, die für eine (N – 1)-von-N-Entscheidung geeignet ist. Beispielsweise wird eine Struktur mit N = 3 parallel aufgebauten Strängen (Reihenschaltung der jeweiligen Elemente und Einheiten) angeordnet, wobei eine erste Folge der Auswertungs-Einheit mit den drei Sensor-Elementen verbunden ist und deren Fehlerverhalten überwacht und eine zweite Auswertungs-Einheit mit den drei Leistungs-Elektronik-Einheiten verbunden ist und deren Fehlerverhalten überwacht. Dadurch dass in jeder Auswertungs-Einheit eine 2-aus-3-Entscheidungsstufe vorgesehen ist, wird sogar bei gleichzeitigem Ausfall eines Sensor-Elementes und einer Leistungs-Elektronik-Einheit dafür Sorge getragen, dass zumindest immer eines der jeweiligen Elemente bzw. Einheiten betriebsbereit ist und somit eine funktionsfähige Reihe (neuer funktionaler Strang) gebildet werden kann.
-
In einem anderen Ausführungsbeispiel wird vorteilhafter Weise eine Fail-Silent-Struktur dadurch realisiert, dass zwei parallel aufgebaute Fail-Safe-Reihenschaltungen angeordnet sind, welche jeweils aus einem Sensor-Element, einer Leistungs-Elektronik-Einheit und einem Aktuator-Element bestehen, wobei für jedes der Elemente jeweils eine Fehler-Auswertungs-Einheit vorgesehen ist. Somit kann durch Kombination von zwei Fail-Safe-Reihenschaltungen eine Fail-Silent-Struktur realisiert werden.
-
In einem weiteren Ausführungsbeispiel entsprechen die sensorgesteuerten Leistungs-Elektronik-Einheiten mehreren Treiberstufen und/oder Leistungsendstufen, die den Aktuator-Elementen vorgeschaltet sind. Beispielsweise handelt es sich dabei um FET-Treiber-Schaltungen, die von einem Mikro-Controller angesteuert werden, der auch die Fehlerauswertung der Sensoren und gegebenenfalls weiterer Elemente durchführt. Bei den Leistungsendstufen handelt es sich vorzugsweise um FET-Leistungsendstufen, die Versorgungsströme für die Wicklungen eines Elektromotors liefern. In diesem Zusammenhang stellen die Aktuator-Elemente vorzugsweise einzelne Motorwicklungen des Elektromotors dar. Der Mikro-Controller, der mit den Sensor-Elementen verbunden ist und von diesen Sensorsignale empfängt, führt also die Fehler-Auswertung durch; die Fehler-Auswertungs-Einheit ist also in dem Mikro-Controller implementiert.
-
Der Mikro-Controller wiederum spricht die Leistungs-Elektronik-Einheiten, insbesondere die FET-Treiberstufen, an, mit welchen er verbunden ist. Insgesamt ergibt sich dadurch eine fehlerresistente Struktur, die ausgehend von einer redundanten Sensorik über eine redundante Leistungselektronik bis hin zu einer redundanten Motorkonstruktion reicht. Damit umfasst die fehlerresistente Gesamtstruktur quasi alle wesentlichen Bauteile der Servolenkung, die störanfällig sind und ausfallen können. Der zentrale Mikro-Controller kann ebenfalls störresistent ausgelegt werden, indem darin redundante Auswerteinheiten implementiert sind.
-
Nachfolgend wird die Erfindung anhand von Ausführungsbeispielen und unter Bezugnahme auf die beiliegenden Figuren beschrieben, die folgendes schematisch darstellen:
-
1 zeigt als Blockschaltbild den Aufbau einer herkömmlichen Servolenkung mit Sensor-gesteuerter Leistungs-Elektronik und Aktuatorik;
-
2 zeigt als Blockschaltbild den Aufbau einer Servolenkung nach einem ersten Ausführungsbeispiel der Erfindung;
-
3 zeigt als Blockschaltbild den Aufbau einer Servolenkung nach einem zweiten Ausführungsbeispiel der Erfindung; und
-
4 zeigt als Blockschaltbild den Aufbau einer Servolenkung nach einem dritten Ausführungsbeispiel der Erfindung;
-
Bevor die Ausführungsbeispiele nach 2 bis 4 im Detail beschrieben werden, soll zunächst auf die 1 Bezug genommen werden, die sich auf den Aufbau einer üblichen Servolenkung nach dem Stand der Technik bezieht.
-
Die 1 zeigt die Gesamtanordnung einer solchen bekannten Servolenkung mit den zwei Sensor-Einheiten 111 und 112, die als magneto-resistive Sensoren ausgestaltet sind. Diese Sensoren werden auch kurz MR-Sensoren genannt (hier auch mit MR1 und MR2 bezeichnet) und erfassen den Lenkwinkel (Sinus- und Cosinus-Komponente) für eine nachgeschaltete Steuerungs-Elektronik 115, die eine Leistungs-Elektronik 120 für eine Aktuatorik 130 bzw. elektromotorischer Antriebseinheit ansteuert, die einen Elektromotor M umfasst. Die MR-Sensoren 111 und 112 liefern ihre Signale an die Steuerungs-Elektronik 115, die einen Mikroprozessor bzw. Mikro-Controller µP aufweist. Die Leistungs-Elektronik 120 umfasst eine FET-Treiberstufe 121 sowie eine nachgeschaltete FET-Leistungsendstufe 123, welche schließlich die Antriebsströme für die einzelnen Wicklungen W1, W2 und W3 des anzutreibenden Elektromotors M liefert. Somit kann der Wicklungssatz des Motors M als eine Aktuator-Einheit 130 bzw. Aktuatorik angesehen werden, die von einer vorgeschalteten elektrischen Leistungs-Elektronik-Einheit 120 Sensor-gesteuert betrieben wird. Der davor geschaltete Mikro-Controller 115 hat im Wesentlichen die Funktion, die Sensorsignale auszuwerten und Steuersignale für die Aktuatorik 130 zu liefern, wobei die Steuersignale zuvor in der elektrischen Leistungs-Einheit 120 verstärkt werden. Für den Notfall, dass die Leistungs-Einheit 120 oder gar die Aktuatorik 130 ausfallen sollte, ist eine (nicht-darstellte) mechanische Verbindung zwischen Lenkrad und Lenkung vorgesehen, die üblicherweise aus einer durchgehenden Lenksäule mit Ritzel und Zahnstange besteht und somit eine mechanische Rückfallebene bildet. Eine elektronische Rückfallebene ist dort nicht zu finden.
-
Die aus dem Stand der Technik bekannte und in 1 dargestellte elektromechanische Servolenkung ist zwar mit zwei elektronischen Sensor-Elementen ausgestattet. Diese dienen aber der Erfassung der Sinus- und Cosinus-Komponenten und sind weniger als redundante Elemente zu verstehen, die für einen Notlaufbetrieb ausgelegt wären. Die Steuerungs- und Leistungs-Elektronik und Aktuatorik und sind ebenfalls nicht für einen Notfallbetrieb ausgelegt. Wünschenswert wäre es aber, eine elektrische Servolenkung zu haben, die für einen Notlaufbetrieb geeignet und so konstruiert ist, dass möglichst alle fehlerbehafteten Komponenten für einen Notfallbetrieb ausgelegt sind, wobei deren Funktionen diese möglichst auch überwacht und ausgewertet werden können, um für den Notlaufbetrieb die Funktionsfähigkeit des Gesamtsystems im Sinne einer Fail-Silent-Struktur sicherzustellen.
-
Die nachfolgend beschriebenen 2 bis 4 zeigen vorteilhafte Ausführungsformen der Erfindung, welche die eingangs genannten Aufgaben erzielen.
-
Die 2 zeigt als erstes Ausführungsbeispiel eine Servolenkung 200 in ihrem Gesamtaufbau, wobei die 2 eine blockschaltmäßige und funktionsbezogene schematische Darstellung wiedergibt. Die Servolenkung 200 enthält insbesondere zwei Sensor-Elemente bzw. Sensoreinheiten 211 und 212, die vergleichbar zu der in 1 gezeigten Sensorik ausgeführt sind und somit eine gewisse redundante Sensorik darstellen. Die Sensoreinheiten bzw. -elemente 211 und 212 sind als magneto-resistive Widerstände (MR-Sensoren) aufgebaut und reagieren auf die Position eines Signalgebers 240, um somit den Drehwinkel und ebenfalls das Drehmoment an einer Lenksäule zu erfassen. Die Sensoren 211 und 212 geben ihrerseits Signale ab an einen Mikro-Controller 215, der diese auswertet und auf Fehlerhaftigkeit hin diagnostiziert. Insofern entspricht der Aufbau der Sensorik im Wesentlichen der bekannten (anhand der 1) gezeigten Struktur.
-
Dem Mikro-Controller 215 ist nun eine zweistrangige Steuer- und Antriebsstruktur nachgeschaltet, wobei jeder Strang im Wesentlichen aus einer FET-Treiberstufe 221 bzw. 222 und einer nachgeschalteten FET-Leistungsendstufe 223 bzw. 224 besteht. Die Ansteuerung dieser Leistungselektronik erfolgt vom Mikro-Controller 215 aus in Abhängigkeit von den gemessenen Sensorsignalen und insbesondere in Abhängigkeit von erkannten Funktionsfehlern. Somit kann beispielsweise, wenn eines der Sensor-Elemente ausfällt, auf den anderen Sensor umgeschaltet werden und gleichzeitig kann auch bei Ausfall einer Leistungselektronik auf den jeweils noch intakten Strang umgeschaltet werden. Wird beispielsweise eine Fehlerfunktion der Treiberschaltung 221 erkannt, so kann beispielsweise der untere Strang bestehend aus der Treiberschaltung 220 und der Leistungsendstufe 224 aktiviert werden; der obere Strang kann jedoch inaktiv geschaltet werden. Des Weiteren ist auch eine Redundanz auf der Aktuatorenseite, nämlich im Motor 230 vorgesehen, in dem ein erster Wicklungssatz bestehend aus den Motorwicklungen 221, 222 und 233 von dem oberen Leistungsstrang aus angesteuert wird und indem ein anderer Wicklungssatz, bestehend aus Wicklungen 234, 235 und 236 von dem unteren Leistungsstrang angesteuert wird. Somit können auch Fehlerfunktionen in den einzelnen Motorwicklungen bzw. Aktuator-Elementen verarbeitet werden, um jedenfalls einen sicheren Notlaufbetrieb im Sinne von Fail-Silent-Prinzip zu erreichen.
-
Wenn also ein Kanal bzw. ein Strang ganz oder teilweise ausfällt, so bleibt der andere Kanal weiterhin funktionsfähig. Da jeder Kanal etwa 50% der erforderlichen Leistung bzw. Performance liefern kann, bleibt im Notfall immer noch eine 50% Performance, die für einen sicheren Notlaufbetrieb vollkommen ausreichend ist.
-
In 3 ist schematisch ein zweites Ausführungsbeispiel in Gestalt einer Servolenkung 300 dargestellt, die eine dreizügige parallele Struktur aufweist, bei der jeweils Sensor-Elemente, Antriebs-Elemente und Aktuator-Elemente hintereinandergeschaltet sind. In einem ersten Strang sind ein oder zwei Sensoren 310 in Reihe geschaltet mit einem als Antriebs-Element ausgebildeten Controller 320 und einem nachfolgenden Aktuator 330. In einen zweiten Strang, der quasi einen ersten redundanten Strang darstellt, sind gleichartige bzw. typengleiche Sensoren 311, Controller 321, Aktuatoren 321 in Reihe geschaltet. Schließlich ist noch ein dritter redundanter Strang vorgesehen, der ebenfalls typengleiche Sensoren 312, Controller 322 und Aktuatoren 322 aufweist. Bei den Sensor-Elementen 310 bis 312 kann es sich entweder lediglich um einen Sensor oder aber auch um eine Anordnung mehrerer Sensoren handeln. Beispielsweise handelt es sich um jeweils zwei magneto-resistive Widerstände (sog. MR-Sensoren), die orthogonal zueinander angeordnet sind und entsprechende Sinus- bzw. Cosinus-Sensorsignale liefern. Als Antriebs-Elemente sind hier Controller mit integrierten Leistungsbauteilen bzw. Leistungs-Elektronik-Einheiten, insbesondere FET-Treiberstufen und/oder FET-Leistungsendstufen, vorgesehen, die die erforderlichen Antriebsströme für das jeweilige Aktuator-Element liefern, welches hier jeweils eine Motorwicklung darstellt.
-
Weiterhin ist eine erste Fehler-Auswertungs-Einheit 315 vorgesehen, die den Sensor-Elementen 310 bis 312 nachgeschaltet ist und ist eine zweite Fehler-Auswertungs-Einheit 325 vorgesehen, die den Antriebs-Elementen 320 bis 322 nachgeschaltet ist. Die erste Fehler-Auswertungs-Einheit 315 überwacht die von den Sensor-Elementen abgegebenen Signale bzw. deren Funktionen und trifft bei auftretendem Fehler eine 2-aus-3-Entscheidung. Die zweite Fehler-Auswertungs-Einheit 325 überwacht die Signale von den Antriebs-Elementen bzw. deren Funktion und trifft bei einem auftretenden Fehler ebenfalls eine 2-aus-3-Entscheidung. Die jeweils in den Einheiten 315 und 325 durchgeführte 2-aus-3-Entscheideung dient zum Vergleich der drei parallelen Funktionskanälen (Stränge). Solange die Ergebnisse der drei Kanäle gleich sind, ist das System fehlerlos. Tritt jedoch ein Fehler auf, liefert ein Kanal ein abweichendes Ergebnis. Die Einheit 315 bzw. 325 schaltet dann diesen Kanal ab. Dies bedeutet: Wenn beispielsweise das Sensor-Element 310 und gleichzeitig eines der Antriebs-Elemente ausfällt, beispielsweise der Controller 321, so kann sichergestellt werden, dass zumindest eine Reihenschaltung bestehend aus Sensor, Controller und Aktuator voll funktionsfähig bleibt. Beispielsweise wird dann der Sensor 311 mit dem Controller 320 verbunden und nachfolgend wird der Aktuator 330 angesteuert. Dieses wird durch den Schalter S1 symbolisiert. Alternativ kann auch in dem besagten Fehlerfall der Sensor 312 mit dem Controller 320 und dem Aktuator 321 oder auch 322 zusammenarbeiten, was durch die Schalter S2 oder S3 dargestellt wird. Hierdurch ergibt sich ein ausfallsicheres redundantes System.
-
Mit anderen Worten: Die in 3 gezeigte System-Architektur beruht darauf, dass mehrere (hier 3) Funktionskanäle vorhanden sind, wobei ein 2 aus 3 Entscheider die Ergebnisse der 3 Kanäle vergleicht. Solange die Ergebnisse gleich sind, arbeitet das Gesamtsystem fehlerfrei. Tritt ein Fehler auf, so liefert der betroffene Kanal ein abweichendes Ergebnis. Dies erkennt der Entscheider und schaltet den fehlerhaften Kanal ab. Dennoch bleibt das System funktionsfähig, da immerhin noch zwei Kanäle fehlerfrei sind. Legt man die Kanäle so aus, dass jeder 33% der Gesamtleistung liefern kann, so stünden dann noch 2/3 der Gesamtleistung zur Verfügung. Würde man die Kanäle so auslegen, dass jeder sogar 50% der Gesamtleistung liefern kann, so stünden dann noch 100% der Gesamtleistung zur Verfügung. Erst wenn ein weiterer Kanal fehlerhaft werden sollte, kann der Entscheider nicht mehr feststellen, welcher Kanal fehlerfrei ist und muss dann das Gesamtsystem abschalten.
-
Die 4 zeigt ein weiteres Ausführungsbeispiel in Form einer Servolenkung 400, die eine zweisträngige Struktur mit folgendem Aufbau aufweist:
-
In einem ersten Strang gibt es eine Reihenschaltung bestehend aus Sensor-Elementen 410, Controller 420 und Aktuator-Element 430, wobei jedes der Elemente 410 bis 430 mit einer Auswertungs-Einheit 415, 425 oder 435 (in Software- und/oder Hardware realisiert) ausgestattet ist. Zusätzlich dazu gibt es quasi spiegelbildlich eine redundante Anordnung bestehend ebenfalls aus Sensoren 410*, Controllern 420* und Aktuator 430*. Auch diese Elemente weisen jeweils eine Auswertungs-Einheit 415*, 425* bzw. 435* auf. Durch eine logische bzw. physikalische Verdrahtung der Auswertungs-Einheiten und Ansteuerung von entsprechenden Schaltelementen S bzw. S* (in Software- und/oder Hardware realisiert) kann ebenfalls im Fall eines Fehlers eine Absicherung im Sinne einer Fail-Silent-Struktur erreicht werden. Das in 4 gezeigte Ausführungsbeispiel zeichnet sich dadurch besonders aus, dass diese Fail-Silent-Struktur durch die Kombination von zwei Fail-Safe-Systemen realisiert werden kann. Diese Struktur basiert also im Wesentlichen auf zwei unabhängigen Kanälen (Strängen), welche jeweils für sich alleine diagnostiziert und auf Fehler hin überwacht werden. Tritt ein Fehler auf, so wird der betroffene Kanal abgeschaltet und der fehlerfreie Kanal kann unabhängig davon weiter arbeiten.
-
Mit anderen Worten: Die in 4 gezeigte System-Architektur beruht auf 2 unabhängigen Funktionskanälen, welche jeweils für sich genommen vollständig diagnostiziert und auf Fehler hin überwacht werden können. Wird in einem Kanal ein Fehler erkannt, so schaltet sich dieser Kanal ab; der andere Kanal kann unabhängig davon weiter betrieben werden. Erst wenn auch dieser Kanal einen Fehler aufweisen sollte, schaltet sich auch dieser Kanal ab, was bedeutet, dass das Gesamtsystem abgeschaltet wird.
-
Insgesamt werden also verschiedene Ausführungsbeispiele für eine erfindungsgemäße Servolenkung vorgeschlagen, die jeweils ein Aufbau im Sinne eines Fail-Silent-Systems aufweist, bei dem beispielsweise eine zwei-kanalige Struktur (s. 2 und 4) oder eine dreikanalige Struktur (s. 3) zum Einsatz kommt. Diese Strukturen werden partiell auch zum Beispiel durch redundante Drehmomenten-Sensorik realisiert und für die Aufrechterhaltung einer Notunterstützung im Fehlerfall mit parallelen Endstufen-Strukturen zusammengeschaltet. Die Endstufen-Strukturen bestehen vorzugsweise aus parallelen getrennt angeordneten Treiberbausteinen und getrennten B6-Brücken, die dann zusätzlich noch mit getrennten Motorwicklungen innerhalb eines Elektromotors kombiniert werden (Mehrphasen-Asynchronmaschine oder Mehrphasen-PSM (Permanent erregte Synchron-Maschine), wie dies beispielsweise in 2 dargestellt ist. Es ergibt sich zwar ein gewisser Mehraufwand im Motor bzgl. der Kontaktierung und der Wickelkopf-Verschaltung, jedoch wird die Motorgrundstruktur nicht davon berührt. Die Zuverlässigkeitskriterien bzgl. mechanischer Ausfallwahrscheinlichkeit und Ausführung der Wicklung gilt in demselben Maße wie für andere verwendete Motorkonzepte. Der gewisse Mehraufwand in den Leistungsendstufen (beispielsweise 12 statt 6 Transistoren) für eine mehrphasige B6-Brücke (hier beispielsweise dreiphasige Brücke) kann wiederum durch den Wegfall eines elektronischen Sternpunktrelais (3 Transistoren) zumindest teilweise kompensiert werden. Ebenfalls kann die Ansteuerung eines SPR (Single-Phase-Regulator bzw. Einzelphasensteuerung) den zusätzlichen Aufwand von Brückentreibern teilweise kompensieren.
-
Wie oben beschrieben wurde, kann auch der Rechnerkern selbst bzw. Mikro-Controller oder Mikroprozessor als Fail-Silent-System ausgelegt werden und mit Notlaufeigenschaften ausgerüstet werden, um somit an die redundanten Eingangs- bzw. Ausgangsstrukturen angekoppelt zu werden. Alle Maßnahmen sind auch singulär oder in Kombination anwendbar, wobei vorzugsweise darauf abgestellt werden sollte, welche Ausfallmechanismen im Einsatzfall zu berücksichtigen sind. Weiterhin kann unterstützend für alle erforderlichen Notlaufkonzepte eine redundante Energieversorgung vorgesehen werden oder können zumindest Zwischenpuffer vorgesehen werden, die einen temporären Notlaufbetrieb ermöglichen.
-
Bezugszeichenliste
-
- 200
- Servolenkung (Fail-Silent-Struktur) mit:
- 211, 212
- Sensorik umfassend zwei Sensor-Elemente (MR-Sensoren);
- 215
- Steuerungs-Elektronik (hier ausgebildet als Mikro-Controller einschließlich Auswertungs-Einheit)
- 220
- Leistungs-Elektronik in zwei Einheiten 220A, 220B
mit Leistungs-Elektronik-Elementen:
- 221, 222
- FET-Treiberstufen
- 223, 224
- FET-Leistungsendstufen
- 230
- elektrisch angetriebener Aktuator (Motor) bzw. Aktuatorik in zwei Einheiten 230A, 230B
mit Aktuator-Elementen:
- 211–236
- Motorwicklungen (doppelter Satz)
- 240
- Signalgeber an Lenksäule
- 250
- Motorwelle (wirkt auf Servogetriebe, Zahnstangen-Ritzel)
- 300
- Servolenkung (Fail-Silent-Struktur, drei-zügig, Stränge A–C) mit:
- 310–312
- Sensor-Elementen;
- 320–322
- Leistungs-Elektronik-Elementen (z.B. Controller für Aktuatoren)
- 330–332
- Aktuator-Elementen (z.B. Motorwicklungen)
- 315, 325
- kaskadierten Auswerte-Einheiten einschließlich Entscheidungsstufen (2-aus-3-Entscheider)
- S1–S3
- Schaltern (Software und/oder Hardware)
- 400
- Servolenkung (Fail-Silent-Struktur aus paralleler Reihenschaltung von zwei Fail-Safe-Strukturen) mit:
- 410, 410*
- Sensor-Elementen;
- 420, 420*
- Leistungs-Elektronik-Elementen (z.B. Controller für Aktuatoren)
- 430, 430*
- Aktuator-Elementen (z.B. Motorwicklungen)
- 415–435, 415*–435*
- Auswertungs-Einheiten (für Fehler-Diagnose)
- S, S*
- Schaltern (Software und/oder Hardware)
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 10328707 A1 [0004]
- DE 10239846 A1 [0005]
- EP 1177609 [0006]
-
Zitierte Nicht-Patentliteratur
-
- „Automobilelektronik“ von Konrad Reif, 3. Aufl., erschienen im Vieweg + Teubner Verlag [0002]
