DE102018220065A1

DE102018220065A1 - Betriebsverfahren für eine redundante Sensoranordnung eines Fahrzeugsystems und korrespondierende redundante Sensoranordnung

Info

Publication number: DE102018220065A1
Application number: DE102018220065.3A
Authority: DE
Inventors: Sven Plecko; Fei Xie; Florian Koebl; Daniel Ruiz Duran
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2018-11-22
Filing date: 2018-11-22
Publication date: 2020-05-28
Also published as: KR20210091178A; WO2020104277A1; US20210394771A1; CN113165612A; JP2022510610A; JP7086295B2; CN113165612B

Abstract

Die Erfindung betrifft ein Betriebsverfahren für eine redundante Sensoranordnung (60) eines Fahrzeugsystems, welche ein Primärsteuergerät (2), ein Sekundärsteuergerät (4) und mehrere Sensoren (1) umfasst, wobei die einzelnen Sensoren (1) in einem Normalbetrieb des Fahrzeugsystems jeweils mit dem Primärsteuergerät (2) und in einem Notbetrieb des Fahrzeugsystems jeweils mit dem Sekundärsteuergerät (4) gekoppelt und mit Energie versorgt werden, wobei das mit den Sensoren (1) gekoppelte Steuergerät Signale der einzelnen Sensoren (1) empfängt und auswertet. Hierbei wird zur Initialisierung der Sensoranordnung (1) eine Betriebsspannung an beide Steuergeräte angelegt und eine Überprüfung der Sensoranordnung (60) durchgeführt, wobei die Sensoren (1) in einem ersten Überprüfungsschritt mit dem Primärsteuergerät (2) gekoppelt und von diesem überprüft und vom Sekundärsteuergerät (4) entkoppelt werden, wobei das Sekundärsteuergerät (4) im entkoppelten Zustand seine interne Spannungsversorgung und mindestens einen internen Signalpfad überprüft, und wobei das Sekundärsteuergerät (4) in einem zweiten Überprüfungsschritt mit den Sensoren (1) verbunden wird und eine Energieversorgung der einzelnen Sensoren (1) überprüft, wobei die Initialisierung der Sensoranordnung (60) abgeschlossen wird, wenn bei der Überprüfung der Sensoranordnung (60) keine Fehler aufgetreten sind.

Description

Die Erfindung geht aus von einem Betriebsverfahren für eine redundante Sensoranordnung eines Fahrzeugsystems nach der Gattung des unabhängigen Patentanspruchs 1. Zudem betrifft die Erfindung eine redundante Sensoranordnung für ein Fahrzeugsystem.
Aus der DE 10 2015 202 335 A1 ist eine Radsensorvorrichtung bekannt, welche ein erstes Sensorelement, mittels welchem mindestens eine erste Sensorgröße bezüglich einer Drehzahl und/oder einer Drehgeschwindigkeit des Rads an mindestens eine Auswerte- und/oder Steuervorrichtung des Fahrzeugs bereitstellbar ist, und ein zusätzliches zweites Sensorelement umfasst. Hierbei ist mittels des zweiten Sensorelements mindestens eine zweite Sensorgröße bezüglich der Drehzahl und/oder der Drehgeschwindigkeit des gleichen Rads an die mindestens eine Auswerte- und/oder Steuervorrichtung bereitstellbar.
Aus der DE 10 20 14 208 391 A1 ist eine Vorrichtung zum Betreiben eines Fahrzeugs bekannt, welche eine Koppeleinrichtung umfasst, die ausgebildet ist, einen Drehzahlfühler von einer Primärenergieversorgung einer Primärsteuerung eines Primärbremsregelsystems abzukoppeln und an eine Sekundärenergieversorgung anzukoppeln. Ferner ist eine Steuerungseinrichtung offenbart, die ausgebildet, die Koppeleinrichtung in Abhängigkeit eines Fehlersignals von der Primärsteuerung zu steuern, so dass bei einem Fehler der Primärsteuerung der Drehzahlfühler von der Primärenergieversorgung abgekoppelt und an die Sekundärenergieversorgung angekoppelt werden kann.
Offenbarung der Erfindung
Das Betriebsverfahren für eine redundante Sensoranordnung eines Fahrzeugsystems mit den Merkmalen des unabhängigen Patentanspruchs 1 hat den Vorteil, dass durch die mögliche Kopplung eines Sensors mit zwei Steuergeräten die Verfügbarkeit des Sensors erhöht werden kann, insbesondere für eine Situation, in der eines der Steuergeräte ausfällt und das andere die Funktion des ausgefallenen Steuergeräts übernehmen muss. Ferner ermöglicht die mögliche Kopplung eines Sensors mit zwei Steuergeräten eine Kosteneinsparung bei Beibehaltung der Signalverfügbarkeit, da beispielsweise keine Sensoren doppelt vorgehalten werden müssen, also beispielsweise jeweils ein autarker Sensor je Steuergerät. Durch Ausführungsformen des erfindungsgemäßen Betriebsverfahrens für eine redundante Sensoranordnung eines Fahrzeugsystems können während der Initialisierung die möglichen Kopplungen der einzelnen Sensoren an das Primärsteuergerät überprüft werden. Nachfolgend oder zeitgleich können eine interne Spannungsversorgung und mindestens ein interner Signalpfad im Sekundärsteuergerät überprüft werden, bevor das Sekundärsteuergerät in einem zweiten Überprüfungsschritt mit den Sensoren verbunden wird und eine Energieversorgung der einzelnen Sensoren überprüft, welche vom Primärsteuergerät zur Verfügung gestellt wird, bevor das Fahrzeug für einen autonomen Fahrbetrieb freigegeben werden kann.
Ausführungsformen des erfindungsgemäßen Betriebsverfahren für eine redundante Sensoranordnung eines Fahrzeugsystems ermöglichen in vorteilhafter Weise eine zeitlich optimierte Initialisierungs- und Testphase, wobei während der Testphase des Sekundärsteuergeräts die Sensorsignale aller Sensoren zur Verfügung stehen und ein eingeschränkter Betrieb des Fahrzeugsystems möglich ist. Zudem ist während der Initialisierungs- und Testphase keine Übergabe der einzelnen Sensoren zwischen dem Primärsteuergerät und dem Sekundärsteuergerät erforderlich, welches eine Entkopplung des betroffenen Sensors vom Primärsteuergerät und eine Kopplung des betroffenen Sensors mit dem Sekundärsteuergeräts bedeuten würde. Daher ist auch kein Reset der zu übergebenden Sensoren erforderlich, wodurch sich in vorteilhafter Weise eine Reduzierung der Resetzyklen in den einzelnen Sensoren ergibt. Daher kommt es auch nicht zu einem durch den Reset verursachten Signalverlust am Primärsteuergerät und damit auch nicht zu einer Einschränkung des Fahrzeugsystems. Das bedeutet im Falle eines Bremssystems, dass keine Back-up ABS-Funktion ohne ESP-Funktionalität erforderlich ist. Ausführungsformen des erfindungsgemäßen Betriebsverfahrens ermöglichen einen passiven Testablauf des Sekundärsteuergeräts, wodurch kein Umschalten der einzelnen Sensoren erforderlich ist und das Primärsteuergerät nach der Initialisierung schneller zur Verfügung steht.
Ausführungsformen der vorliegenden Erfindung stellen ein Betriebsverfahren für eine redundante Sensoranordnung eines Fahrzeugsystems zur Verfügung, welche ein Primärsteuergerät, ein Sekundärsteuergerät und mehrere Sensoren umfasst. Die einzelnen Sensoren sind in einem Normalbetrieb des Fahrzeugsystems jeweils mit dem Primärsteuergerät und in einem Notbetrieb des Fahrzeugsystems jeweils mit dem Sekundärsteuergerät gekoppelt und werden mit Energie versorgt. Das mit den Sensoren gekoppelte Steuergerät empfängt und wertet Signale der einzelnen Sensoren aus. Hierbei wird zur Initialisierung der Sensoranordnung eine Betriebsspannung an beide Steuergeräte angelegt und eine Überprüfung der Sensoranordnung durchgeführt, wobei die Sensoren in einem ersten Überprüfungsschritt mit dem Primärsteuergerät gekoppelt und von diesem überprüft und vom Sekundärsteuergerät entkoppelt werden. Das Sekundärsteuergerät überprüft im entkoppelten Zustand seine interne Spannungsversorgung und mindestens einen internen Signalpfad, wobei das Sekundärsteuergerät in einem zweiten Überprüfungsschritt mit den Sensoren verbunden wird und eine Energieversorgung der einzelnen Sensoren überprüft. Die Initialisierung der Sensoranordnung wird abgeschlossen, wenn bei der Überprüfung der Sensoranordnung keine Fehler aufgetreten sind.
Zudem wird eine redundante Sensoranordnung für ein Fahrzeugsystem zur Durchführung des Betriebsverfahrens vorgeschlagen, welche ein Primärsteuergerät, ein Sekundärsteuergerät und mehrere Sensoren umfasst. Die einzelnen Sensoren sind in einem Normalbetrieb des Fahrzeugsystems jeweils mit dem Primärsteuergerät und in einem Notbetrieb des Fahrzeugsystems jeweils mit dem Sekundärsteuergerät gekoppelt und mit Energie versorgt, wobei das mit den Sensoren gekoppelte Steuergerät Signale der einzelnen Sensoren empfängt und auswertet. Hierbei weisen das Primärsteuergerät und/oder das Sekundärsteuergerät mindestens eine Testschaltung auf, welche Testsignale zur Überprüfung von mindestens einem internen Signalpfad erzeugt.
Unter einem Steuergerät kann vorliegend ein elektrisches Gerät verstanden werden, welches erfasste Sensorsignale verarbeitet bzw. auswertet. Das Steuergerät kann mindestens eine Schnittstelle aufweisen, die hard- und/oder softwaremäßig ausgebildet sein kann. Bei einer hardwaremäßigen Ausbildung können die Schnittstellen beispielsweise Teil eines sogenannten System-ASIC-Bausteins (ASIC: Anwendungsspezifische Integrierte Schaltung) sein, der verschiedene Funktionen des Steuergeräts beinhaltet. Es ist jedoch auch möglich, dass die Schnittstellen eigene, integrierte Schaltkreise sind oder zumindest teilweise aus diskreten Bauelementen bestehen. Bei einer softwaremäßigen Ausbildung können die Schnittstellen Softwaremodule sein, die beispielsweise auf einem Mikrocontroller neben anderen Softwaremodulen vorhanden sind. Von Vorteil ist auch ein Computerprogrammprodukt mit Programmcode, der auf einem maschinenlesbaren Träger wie einem Halbleiterspeicher, einem Festplattenspeicher oder einem optischen Speicher gespeichert ist und zur Durchführung der Auswertung verwendet wird, wenn das Programm von dem Steuergerät ausgeführt wird.
Die Sensoren können beispielsweise als Drehzahlfühler ausgeführt und an einem Fahrzeugrad angeordnet sein, wobei die Steuergeräte zwei Steuergeräte zur Steuerung von Aktoren zur Erzeugung von Bremswirkungen des Fahrzeugs sein können, beispielsweise eines Bremskraftverstärkers, eines Hydraulikaggregats oder einer Parkbremse.
Durch die in den abhängigen Ansprüchen aufgeführten Maßnahmen und Weiterbildungen sind vorteilhafte Verbesserungen des im unabhängigen Patentanspruch 1 angegebenen Betriebsverfahrens für eine redundante Sensoranordnung eines Fahrzeugsystems möglich.
Besonders vorteilhaft ist, dass die Sensoren im gekoppelten Zustand jeweils über einen Versorgungspfad mit einem Versorgungsanschluss und über einen Massepfad mit einem Masseanschluss des zugehörigen Steuergeräts verbunden und mit Energie versorgt werden, wobei zumindest im Massepfad ein Messelement für den Empfang des jeweiligen Sensorsignals angeordnet ist. Der Versorgungspfad erstreckt sich jeweils von einem ersten Steuergeräteeingang zu einer Versorgung, also einer Strom- / Spannungsquelle des jeweiligen Steuergeräts. Der Massepfad erstreckt sich von einem zweiten Steuergeräteeingang des jeweiligen Steuergeräts zu einem Masseanschluss. Das Primärsteuergerät und das Sekundärsteuergerät sind somit beide in der Lage die einzelnen Sensoren an Masse bzw. an eine Versorgung anzuschließen und somit die einzelnen Sensoren zu betreiben. Im Falle eines als Drehzahlfühler ausgeführten Sensors, können vier Sensoren vorgesehen sein, welche jeweils eine Drehzahl bzw. Drehgeschwindigkeit eines Fahrzeugrads erfassen. In diesem Fall ist jeder der vier Sensoren an zugehörige Steuergeräteeingänge des Primärsteuergeräts und des Sekundärsteuergeräts angeschlossen. Dabei sind die jeweiligen Masse und Versorgungspfade dann auch vierfach vorgesehen. Durch die einzelnen Messelemente können die eigentlich an den einzelnen Sensoren erzeugten Signale ermittelt werden. Dabei kann das Messelement beispielsweise ein Messwiderstand oder Stromspiegel sein.
In vorteilhafter Ausgestaltung des Betriebsverfahrens kann im Sekundärsteuergerät im Normalbetrieb des Fahrzeugsystems eine Überwachung des Primärsteuergeräts und der Energieversorgung der mit dem Primärsteuergerät gekoppelten einzelnen Sensoren durchgeführt werden. Hierzu kann das Sekundärsteuergerät eine Versorgungsspannung an den einzelnen Sensoren erfassen. Zur Erfassung der Versorgungsspannung kann eine Auswerteelektronik des Sekundärsteuergeräts jeweils über eine Schalteinheit mit den einzelnen Sensoren elektrisch verbunden werden. Hierbei sind die einzelnen Sensoren jedoch nicht mit dem Versorgungspfad und dem Massepfad des Sekundärsteuergeräts verbunden. Die Sensoren werden weiterhin vom Primärsteuergerät mit Energie versorgt. Fällt die Versorgung des Sensors durch das Primärsteuergerät aus, dann kann das Sekundärsteuergerät schneller eine Übernahme der Sensoren einleiten bzw. vorbereiten. Zudem kann ein Ausbleiben von Informationen, welche das Primärsteuergerät über die Datenverbindung überträgt, plausibilisiert werden. Des Weiteren kann beim Fehlen der Versorgungsspannung das Sekundärsteuergerät einen korrespondierenden Sensor über den Versorgungspfad mit dem Versorgungsanschluss des Sekundärsteuergeräts und über den Massepfad mit dem Masseanschluss des Sekundärsteuergeräts elektrisch verbinden.
In weiterer vorteilhafter Ausgestaltung des Betriebsverfahrens kann im Sekundärsteuergerät zur Überprüfung des mindestens einen internen Signalpfads mindestens ein Testsignal erzeugt werden. Das mindestens eine Testsignal kann beispielsweise durch mindestens eine zusätzliche Testschaltung erzeugen. Über die Testsignale können zusätzlich bei Bedarf auch die Stromtragfähigkeit und die entsprechenden Überwachungsfunktionen im Sekundärsteuergerät überprüft werden Zudem lassen sich mittels der mindestens einen Testschaltung alle Messelemente und Signalpfade bis zur Auswerte- und Steuereinheit des Sekundärsteuergeräts überprüfen, indem ein entsprechendes Testsignal eingeprägt wird.
In weiterer vorteilhafter Ausgestaltung des Betriebsverfahrens kann nach der abgeschlossenen Initialisierung der Sensoranordnung eine Verbauprüfung der einzelnen Sensoren in einer vorgebbaren Reihenfolge durchgeführt werden. Hierbei kann beispielsweise im Primärsteuergerät und im Sekundärsteuergerät jeweils mindestens eine Verbauinformation über die einzelnen Sensoren ermittelt und miteinander verglichen werden, wobei die Überprüfung als erfolgreich erkannt werden kann, wenn für den zu überprüfenden Sensor die im Primärsteuergerät ermittelte mindestens eine Verbauinformation mit der im Sekundärsteuergerät ermittelten mindestens einen Verbauinformation übereinstimmt. Die mindestens eine Verbauinformation der einzelnen Sensoren kann vorzugsweise Informationen über Einbauposition und/oder Kontaktierung des korrespondierenden Sensors umfassen. Im Falle eines Bremssystem und als Drehzahlfühler ausgeführten Sensoren, kann die Information über die Einbauposition beispielsweise das Fahrzeugrad repräsentieren, an welchem der jeweilige Sensor die Drehzahl bzw. Drehgeschwindigkeit erfassen soll. Die Information über die Kontaktierung kann beispielsweise die Anschlussklemmen am jeweiligen Steuergerät betreffen, mit welchen der jeweilige Sensor kontaktiert werden soll. Hierbei kann die Verbauprüfung der einzelnen Sensoren beispielsweise nach einer ersten Initialisierung der Sensoranordnung während der Herstellung des Fahrzeugs bei einem Bandendetest oder am Ende eines Werkstattaufenthalts durchgeführt werden.
In weiterer vorteilhafter Ausgestaltung des Betriebsverfahrens kann die Verbauinformationen der einzelnen Sensoren vor der Überprüfung vom nicht überprüfenden Steuergerät an das überprüfende Steuergerät übertragen werden. Zudem kann das überprüfende Steuergerät die Verbauinformation der einzelnen zu überprüfenden Sensoren ermitteln und mit den vom nicht überprüfenden Steuergerät empfangenen Verbauinformationen vergleichen, wobei das überprüfende Steuergerät das Überprüfungsergebnis an das nicht überprüfende Steuergerät übertragen kann. Bei dieser Ausführungsform können vor der Überprüfung die Verbauinformationen für alle zu überprüfenden Sensoren einzeln oder gemeinsam an das überprüfende Steuergerät übertragen werden. Führt beispielweise das Sekundärsteuergerät die Überprüfung durch, dann überträgt das Primärsteuergerät vor der Überprüfung seine Verbauinformationen der einzelnen Sensoren an das Sekundärsteuergerät, welches nach der Überprüfung das Überprüfungsergebnis an das Primärsteuergerät überträgt. Führt das Primärsteuergerät die Überprüfung durch, dann überträgt das Sekundärsteuergerät vor der Überprüfung seine Verbauinformationen der einzelnen Sensoren an das Primärsteuergerät, welches nach der Überprüfung das Überprüfungsergebnis an das Sekundärsteuergerät überträgt. Alternativ können die einzelnen Sensoren in Bezug auf ihre Einbauposition und/oder ihre Kontaktierung in einer vorgegebenen Reihenfolge oder nach einem vorgegebenen Muster überprüft werden, wobei die vorgegebene Reihenfolge oder das vorgegebene Muster der Überprüfung im Primärsteuergerät und im Sekundärsteuergerät gespeichert werden. Hierbei kann die Überprüfung als erfolgreich erkannt werden, wenn die Reihenfolge der vom Primärsteuergerät überprüften Sensoren mit der Reihenfolge der vom Sekundärsteuergerät überprüften Sensoren übereinstimmt. Bei der alternativen Ausführungsform kann der Kommunikationsaufwand zwischen den Steuergeräten reduziert werden.
Bei einer möglichen Ausführungsgestaltung des Betriebsverfahrens mit einer Verbauprüfung der einzelnen Sensoren, kann das Primärsteuergerät die einzelnen Sensoren sequentiell an das Sekundärsteuergerät übergeben. Hierbei können die einzelnen zu überprüfenden Sensoren jeweils vom Primärsteuergerät entkoppelt und mit dem Sekundärsteuergerät gekoppelt und von diesem überprüft werden. Wie oben bereits ausgeführt ist, kann das Primärsteuergerät vor der Entkopplung mindestens eine Verbauinformation des korrespondierenden Sensors oder von allen Sensoren an das Sekundärsteuergerät übermitteln. Das Sekundärsteuergerät vergleicht seine ermittelte mindestens eine Verbauinformation des korrespondierenden Sensors dann mit der übermittelten mindestens einen Verbauinformation. Alternativ kann das Primärsteuergerät die einzelnen Sensoren in einer vorgegebenen Reihenfolge oder nach einem vorgegebenen Muster an das Sekundärsteuergerät übergeben. Hier kann das Sekundärsteuergerät die Position des übergebenen Sensors mit dessen Position in der gespeicherten vorgegebenen Reihenfolge oder in dem gespeicherten Muster vergleichen. Hierbei kann das Sekundärsteuergerät den jeweiligen überprüften Sensor an das Primärsteuergerät zurückgeben, so dass der überprüfte Sensor wieder mit dem Primärsteuergerät gekoppelt und vom Sekundärsteuergerät entkoppelt werden kann. Das Sekundärsteuergerät kann das jeweilige Überprüfungsergebnis für die einzelnen Sensoren direkt nach der Überprüfung oder gesammelt nach der Überprüfung von allen Sensoren an das Primärsteuergerät übertragen. Aufgrund der Übergabe der einzelnen Sensoren zwischen dem Primärsteuergerät und dem Sekundärsteuergerät, wird diese Ausführungsform des Betriebsverfahrens mit Verbauprüfung der einzelnen Sensoren vorzugsweise nur während der Herstellung des Fahrzeugs bei einem Bandendetest oder am Ende eines Werkstattaufenthalts durchgeführt und nicht während des Normalbetriebs des Fahrzeugs.
Bei einer alternativen Ausgestaltung des Betriebsverfahren mit einer Verbauprüfung der einzelnen Sensoren, können die einzelnen Sensoren sequentiell vom Primärsteuergerät entkoppelt werden und das Sekundärsteuergerät kann die Energieversorgung der verbundenen Sensoren fortlaufend überprüfen. Hierbei kann das Sekundärsteuergerät den nicht vom Primärsteuergerät versorgten Sensor erkennen und dessen mindestens eine Verbauinformation überprüfen. Nach der Überprüfung kann der überprüfte Sensor wieder mit dem Primärsteuergerät gekoppelt werden. Wie oben bereits ausgeführt ist, kann das Primärsteuergerät vor der Entkopplung mindestens eine Verbauinformation des korrespondierenden Sensors oder von allen Sensoren an das Sekundärsteuergerät übermitteln. Das Sekundärsteuergerät vergleicht seine ermittelte mindestens eine Verbauinformation des korrespondierenden Sensors dann mit der übermittelten mindestens einen Verbauinformation. Alternativ kann das Primärsteuergerät die einzelnen Sensoren in einer vorgegebenen Reihenfolge oder nach einem vorgegebenen Muster entkoppeln. Hier kann das Sekundärsteuergerät die Position des vom Primärsteuergerät entkoppelten Sensors mit dessen Position in der gespeicherten vorgegebenen Reihenfolge oder in dem gespeicherten Muster vergleichen. Das Sekundärsteuergerät kann das jeweilige Überprüfungsergebnis für die einzelnen Sensoren direkt nach der Überprüfung oder gesammelt nach der Überprüfung von allen Sensoren an das Primärsteuergerät übertragen. Bei dieser Ausführungsform des Betriebsverfahrens mit Verbauprüfung der einzelnen Sensoren ist in vorteilhafter Weise keine Sensorübernahme durch das Sekundärsteuergerät erforderlich, so dass die einzelnen Sensoren nicht mit dem Sekundärsteuergerät gekoppelt werden. Die Ablaufsteuerung ist auf das Primärsteuergerät beschränkt und unterliegt keiner Laufzeitbeschränkung durch ein Datenbussystem, mit welchem die beiden Steuergerät verbunden sind.
Bei einer weiteren alternativen Ausgestaltung des Betriebsverfahren mit einer Verbauprüfung der einzelnen Sensoren kann das Sekundärsteuergerät Sensorsignale der einzelnen Sensoren sequentiell manipulieren und das Primärsteuergerät kann den manipulierten Sensor erkennen und die mindestens eine Verbauinformation des korrespondierenden Sensors überprüfen, wobei das Sekundärsteuergerät nach der Überprüfung die Manipulation des Sensorsignals des überprüften Sensors beenden kann. Wie oben bereits ausgeführt ist, kann das Sekundärsteuergerät vor der Manipulation des Sensorsignals mindestens eine Verbauinformation des korrespondierenden Sensors oder von allen Sensoren an das Primärsteuergerät übermitteln. Das Primärsteuergerät vergleicht seine ermittelte mindestens eine Verbauinformation des korrespondierenden manipulierten Sensors dann mit der übermittelten mindestens einen Verbauinformation. Alternativ kann das Sekundärsteuergerät die Sensorsignal der einzelnen Sensoren in einer vorgegebenen Reihenfolge oder nach einem vorgegebenen Muster manipulieren. Hier kann das Primärsteuergerät die Position des manipulierten Sensors mit dessen Position in der gespeicherten vorgegebenen Reihenfolge oder in dem gespeicherten Muster vergleichen. Das Primärsteuergerät kann das jeweilige Überprüfungsergebnis für die einzelnen Sensoren direkt nach der Überprüfung oder gesammelt nach der Überprüfung von allen Sensoren an das Sekundärsteuergerät übertragen. Bei dieser Ausführungsform des Betriebsverfahrens mit Verbauprüfung der einzelnen Sensoren ist in vorteilhafter Weise ebenfalls keine Sensorübernahme durch das Sekundärsteuergerät erforderlich, so dass die einzelnen Sensoren nicht mit dem Sekundärsteuergerät gekoppelt werden. Die Ablaufsteuerung ist auf das Sekundärsteuergerät beschränkt und unterliegt keiner Laufzeitbeschränkung durch ein Datenbussystem, mit welchem die beiden Steuergerät verbunden sind. Es kommt durch die Manipulation des Sensorsignals lediglich zu einem kurzeitigem Signalverlust am Primärsteuergerät, ohne dass der manipulierte Sensor einen Resetzyklus durchläuft.
Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und werden in der nachfolgenden Beschreibung näher erläutert. In der Zeichnung bezeichnen gleiche Bezugszeichen Komponenten bzw. Elemente, die gleiche bzw. analoge Funktionen ausführen.
Figurenliste

1 zeigt ein schematisches Blockdiagramm eines Ausführungsbeispiels einer redundanten Sensoranordnung eines Fahrzeugsystems, welches mittels eines erfindungsgemäßen Betriebsverfahrens betrieben wird.
2 zeigt eine detailliertere Darstellung eines Ausschnitts der redundanten Sensoranordnung aus 1.
3 zeigt ein schematisches Ablaufdiagramm eines ersten Ausführungsbeispiels eines erfindungsgemäßen Betriebsverfahren für eine redundante Sensoranordnung eines Fahrzeugsystems aus 1 und 2.
4 zeigt ein schematisches Ablaufdiagramm eines zweiten Ausführungsbeispiels eines erfindungsgemäßen Betriebsverfahren für eine redundante Sensoranordnung eines Fahrzeugsystems aus 1 und 2.
5 zeigt ein schematisches Ablaufdiagramm eines dritten Ausführungsbeispiels eines erfindungsgemäßen Betriebsverfahren für eine redundante Sensoranordnung eines Fahrzeugsystems aus 1 und 2.
6 zeigt ein schematisches Ablaufdiagramm eines dritten Ausführungsbeispiels eines erfindungsgemäßen Betriebsverfahren für eine redundante Sensoranordnung eines Fahrzeugsystems aus 1 und 2.

Ausführungsformen der Erfindung
Wie aus 1 und 2 ersichtlich ist, umfasst das dargestellte Ausführungsbeispiel einer redundante Sensoranordnung 60 eines Fahrzeugsystems zwei Steuergeräte und mehrere Sensoren 1. Die einzelnen Sensoren 1 werden in einem Normalbetrieb des Fahrzeugsystems jeweils mit einem als Primärsteuergerät 2 ausgeführten Steuergerät und in einem Notbetrieb des Fahrzeugsystems jeweils mit einem als Sekundärsteuergerät 4 ausgeführten Steuergerät gekoppelt und mit Energie versorgt. Hierbei empfängt und wertet das mit den Sensoren 1 gekoppelte Steuergerät Signale der einzelnen Sensoren 1 aus. Wie aus 1 und 2 weiter ersichtlich ist, umfasst die redundante Sensoranordnung 60 im dargestellten Ausführungsbeispiel vier als Drehzahlfühler DF1, DF2, DF3, DF4 ausgeführte Sensoren 1, welche jeweils ein Sensorelement 1.1 aufweisen. Wie aus 1 weiter ersichtlich ist, können die einzelnen als Drehzahlfühler DF1, DF2, DF3, DF4 ausgeführten Sensoren 1 jeweils über eine erste Schalteinheit S1 mit einer Auswerteelektronik des Primärsteuergeräts 2 verbunden werden, welche im dargestellten Ausführungsbeispiel einen ASIC-Baustein 3 und eine als Mikroprozessor ausgeführte Auswerte- und Steuereinheit 50 umfasst. Zudem können die einzelnen als Drehzahlfühler DF1, DF2, DF3, DF4 ausgeführten Sensoren 1 jeweils über eine zweite Schalteinheit S2 mit einer Auswerteelektronik des Sekundärsteuergeräts 4 verbunden werden, welche im dargestellten Ausführungsbeispiel ebenfalls einen ASIC-Baustein 5 und eine als Mikroprozessor ausgeführte Auswerte- und Steuereinheit 51 umfasst. Die Kommunikation zwischen dem Primärsteuergerät 2 und dem Sekundärsteuergerät 4 erfolgt über eine Datenverbindung 30, welche im dargestellten Ausführungsbeispiel als Datenbus ausgeführt ist.
Im dargestellten Ausführungsbeispiel entspricht das Fahrzeugsystem einem Fahrzeugbremssystem. Daher ist das Primärsteuergerät 2 einem nicht dargestellten Hydraulikaggregat, beispielsweises einem ESP-Hydraulikaggregat zugeordnet. Das ESP-Hydraulikaggregat umfasst dabei eine Möglichkeit zur Druckerzeugung an Radbremszylindern eines Fahrzeugs, beispielsweise mittels einer Hydraulikpumpe oder eines Plungers. Das Sekundärsteuergerät 4 ist beispielsweise einem steuerbaren nicht dargestellten Bremskraftverstärker zugeordnet. Der steuerbare Bremskraftverstärker kann als ein elektromechanischer, elektrohydraulischer oder auch ein elektrisch steuerbarer Vakuumbremskraftverstärker verstanden werden. Ebenso kann umgekehrt das Sekundärsteuergerät 4 dem Hydraulikaggregat und das Primärsteuergerät 2 dem Bremskraftverstärker zugeordnet werden.
Sowohl der steuerbare Bremskraftverstärker als auch das Hydraulikaggregat sind in der Lage hydraulisch einen Druckaufbau an nicht gezeigten Radbremszylindern eines Kraftfahrzeugs zu bewirken. Der Druckaufbau kann dabei fahrerabhängig oder auch fahrerunabhängig erfolgen. Ein fahrerabhängiger Druckaufbau folgt einer Fahrervorgabe, beispielsweise durch ein Bremspedal oder einen Bremshebel. Unter einem fahrerunabhängigen Druckaufbau wird ein autonomer Druckaufbau verstanden, der auf Steuersignale zurückgeht, die beispielsweise im Rahmen einer Notbremsung, oder einer ACC (Automated Cruise Control) Regelung an Bremskraftverstärker und/oder Hydraulikaggregat gesendet werden. Auch im Umfeld des hoch- und/oder teilautomatisierten Fahrens kann ein fahrerunabhängiger Druckaufbau notwendig sein. Der Druckaufbau seitens Bremskraftverstärker und Hydraulikaggregat kann insbesondere an den gleichen Radbremszylindern erfolgen. So kann sowohl seitens des Bremskraftverstärkers als auch seitens des Hydraulikaggregats Bremsdruck an einem Radbremszylinder aufgebaut werden. Insbesondere kann der Bremskraftverstärker mit einem Hauptbremszylinder dem Hydraulikaggregat hydraulisch in Reihe vorgeschaltet sein. Dadurch kann ein Bremsdruckaufbau redundant von zwei unterschiedlichen Aktoren (Bremskraftverstärker und Hydraulikaggregat) übernommen werden.
Das Bremssystem weist ferner an jedem Rad mindestens einen Sensor 1, beispielsweise in Form eines Drehzahlfühlers DF1, DF2, DF3, DF4 auf, der in der Lage ist die Drehgeschwindigkeit des Rades zu erfassen. Dabei können unterschiedliche Messprinzipien zur Anwendung kommen, beispielsweise Sensoren basierend auf GMR, TMR, AMR Technologie, oder auch Sensoren basierend auf dem Hall-Effekt.
Wie aus 2 weiter ersichtlich ist, weisen die einzelnen beispielshaft als Drehzahlfühler DF1, DF2, DF3, DF4 ausgeführten Sensoren 1, jeweils ein Sensorelement 1.1 und zwei Anschlüsse 1a und 1b für Signalleitungen auf, wobei ein erster Anschluss 1a an einen ersten Knotenpunkt 10, und ein zweiter Anschluss 1b an einen zweiten Knotenpunkt 11 angeschlossen ist. Die Knotenpunkte 10, 11 sind jeweils mit einem Eingang 2a, 2b des Primärsteuergeräts 2 sowie mit einem Eingang 4a, 4b des Sekundärsteuergeräts 4 verbunden. Hierbei ist der erste Anschluss 1a des Sensors 1 über den ersten Knotenpunkt 10 mit einem ersten Eingang 2a des Primärsteuergeräts 2 und einem ersten Eingang 4a des Sekundärsteuergeräts 4 verbunden. Der zweite Anschluss 1b des Sensors 1 ist über den zweiten Knotenpunkt 11 mit einem zweiten Eingang 2b des Primärsteuergeräts 2 und mit einem zweiten Eingang 4b des Sekundärsteuergeräts 4 verbunden.
Im dargestellten Ausführungsbeispiel der redundanten Sensoranordnung 60 sind die ersten Schalteinheiten S1 im Primärsteuergerät 2 und die zweiten Schalteinheiten S2 im Sekundärsteuergerät 4 angeordnet. Alternativ können die ersten Schalteinheiten S1 und die zweiten Schalteinheiten S2 bei einem nicht dargestellten Ausführungsbeispiel nur innerhalb eines Steuergeräts, d.h. entweder innerhalb des Primärsteuergeräts 2 oder innerhalb des Sekundärsteuergeräts 4 angeordnet werden. In einem weiteren nicht dargestellten Ausführungsbeispiel können die ersten Schalteinheiten S1 und die zweiten Schalteinheiten S2 aus den Steuergeräten in eine zusätzlichen Umschaltbaugruppe ausgelagert werden. Zudem können auch die Knotenpunkte 10, 11, welche im dargestellten Ausführungsbeispiel innerhalb der Sensoren 1 angeordnet sind, entweder im Primärsteuergerät 2 oder im Sekundärsteuergerät 4 oder in der zusätzlichen Umschaltbaugruppe angeordnet werden. Außerdem können die Knotenpunkte 10, 11 auch als Sternpunkte bzw. Verzweigungspunkte direkt in die entsprechenden Leitungen eingefügt werden. Bei den nicht dargestellten alternativen Ausführungsbeispielen sind die Steuergeräte über zusätzliche direkte Verbindungsleitungen miteinander bzw. mit der zusätzlichen Umschaltbaugruppe verbunden, damit die Sensorsignale der umschaltbaren Sensoren 1 zur Auswertung an beide Steuergeräte übertragen werden können.
Nachfolgendend wird der Signalverlauf innerhalb des Primärsteuergeräts 2 und des Sekundärsteuergeräts 4 unter Einbeziehung des Sensors 1 beschrieben.
Wie aus 2 weiter ersichtlich ist, weist das Primärsteuergerät 2 einen Masseanschluss 18 auf, welcher auch als Massepfad oder Sensorsignalpfad zu verstehen ist. Von dort führt eine elektrische Verbindung zu einem ersten Transistor 13, welcher beispielsweise als MOSFET ausgeführt ist. Der erste Transistor 13 kann dabei auch als ein Schalter verstanden werden. Der erste Transistor 13 ist mit einem Messelement 16 verbunden, welches als ohmscher Widerstand oder Stromspiegel ausgeführt sein kann. Der erste Transistor 13 und das Messelement 16 sind im dargestellten Ausführungsbeispiel Teil des ASIC-Bausteins 3 innerhalb des Primärsteuergeräts 2. Vom Messelement 16 führt die Verbindung dann zu einem Schalter 7 der ersten Schalteinheit S1. Der Schalter 7 kann die Verbindung vom Messelement 16 zum zweiten Eingang 2b des Primärsteuergeräts 2 unterbrechen, wobei der zweite Sensoranschluss 1b mit dem zweiten Eingang 2b des Primärsteuergeräts 2 verbunden ist. Somit kann mittels des Schalters 7 die Verbindung des Sensors 1 mit dem Masseanschluss 18 des Primärsteuergeräts 2 hergestellt oder unterbrochen werden. Die elektrische Verbindung erstreckt sich vom zweiten Eingang 2b des Primärsteuergeräts 2 über den zweiten Knotenpunkt 11 zum zweiten Sensoranschluss 1b. Der Sensor 1 führt dann die elektrische Verbindung ausgehend vom ersten Sensoranschluss 1a über den ersten Knotenpunkt 10 zum ersten Eingang 2a des Primärsteuergeräts 2. Der zweite Eingang 2a des Primärsteuergeräts 2 ist mit einem weiteren Schalter 6 der ersten Schalteinheit S1 verbunden. Der Schalter 6 verbindet den ersten Eingang 2a mit einem zweiten Transistor 12, der wiederum über einen Versorgungsanschluss 19 mit einer Strom- und/oder Spannungsquelle verbunden ist, beispielsweise mit einem Bordnetz oder einer Fahrzeugbatterie. Auch mittels des Schalters 6 kann die elektrische Verbindung zwischen dem ersten Sensoranschluss 1a und dem Versorgungsanschluss 19 an die Spannungs- und/oder Stromquelle hergestellt und/oder unterbrochen werden. Der zweite Transistor 12 ist im dargestellten Ausführungsbeispiel ebenfalls Teil des ASIC-Bausteins 3.
Wie aus 2 weiter ersichtlich ist, weist das Sekundärsteuergerät 4 ebenfalls einen Masseanschluss 20 auf, welcher auch als Massepfad oder Sensorsignalpfad zu verstehen ist. Von dort führt eine elektrische Verbindung zu einem ersten Transistor 14, welcher beispielsweise als MOSFET ausgeführt ist. Der erste Transistor 14 ist mit einem Messelement 17 verbunden, welches beispielsweise als ohmscher Widerstand oder Stromspiegel ausgeführt ist. Der erste Transistor 14 und das Messelement 17 sind im dargestellten Ausführungsbeispiel Teil des ASIC-Bausteins 5 innerhalb des Sekundärsteuergeräts 4. Vom Messelement 17 führt die Verbindung dann zu einem ersten Schalter 9 der zweiten Schalteinheit S2. Der erste Schalter 9 kann die Verbindung vom Messelement 17 zum zweiten Eingang 4b des Sekundärsteuergeräts 4 unterbrechen, wobei der zweite Sensoranschluss 1b mit dem zweiten Eingang 4b des Sekundärsteuergeräts 4 verbunden ist. Somit kann mittels des ersten Schalters 9 die Verbindung des Sensors 1 mit dem Masseanschluss 20 des Sekundärsteuergeräts 4 hergestellt oder unterbrochen werden.
Die elektrische Verbindung erstreckt sich vom zweiten Eingang 4b des Sekundärsteuergeräts 4 über den zweiten Knotenpunkt 11 zum zweiten Sensoranschluss 1b. Der Sensor 1 führt dann die elektrische Verbindung ausgehend vom ersten Sensoranschluss 1a über den ersten Knotenpunkt 10 zum ersten Eingang 4a des Sekundärsteuergeräts 4. Der erste Eingang 4a des Sekundärsteuergeräts 4 ist mit einem zweiten Schalter 8 der zweiten Schalteinheit S2 verbunden. Der zweite Schalter 8 verbindet den ersten Eingang 4a mit einem zweiten Transistor 15, der über einen Versorgungsanschluss 21 mit einer Strom- und/oder Spannungsquelle verbunden ist, beispielsweise mit einem Bordnetz oder einer Fahrzeugbatterie. Auch mittels des zweiten Schalters 8 kann die elektrische Verbindung zwischen dem ersten Sensoranschluss 1a und dem Versorgungsanschluss 21 an die Spannungs- und/oder Stromquelle hergestellt und/oder unterbrochen werden. Der zweite Transistor 15 ist im dargestellten Ausführungsbeispiel ebenfalls Teil des ASIC-Bausteins 5.
Das Primärsteuergerät 2 und das Sekundärsteuergerät 4 können bezogen auf die Schalteinheiten S1, S2 symmetrisch aufgebaut sein. Durch entsprechendes Schalten der Schalter 6, 7 der ersten Schalteinheit S1 im Primärsteuergerät 2 und der Schalter 8, 9 der zweiten Schalteinheit S2 im Sekundärsteuergerät 4 kann der an das Primärsteuergerät 2 und das Sekundärsteuergerät 4 über die Knotenpunkte 10, 11 angeschlossene Sensor 1 entweder mit dem Primärsteuergerät 2 oder mit dem Sekundärsteuergerät 4 gekoppelt werden. Sind die Schalter 6, 7 der ersten Schalteinheit S1 im Primärsteuergerät 2 geschlossen und die Schalter 8, 9 der zweiten Schalteinheit S2 im Sekundärsteuergerät 4 geöffnet, so ist der Sensor 1 elektrisch mit dem ASIC-Baustein 3 im Primärsteuergerät 2 verbunden und vom Sekundärsteuergerät 4 entkoppelt. Sind zusätzlich der erste Transistor 13 und der zweite Transistor 12 im ASIC-Baustein 3 des Primärsteuergeräts 2 leitend geschaltet, dann ist der Sensor 1 mit dem Versorgungspfad und dem Massepfad des Primärsteuergeräts 2 elektrisch verbunden und mit dem Primärsteuergerät 2 gekoppelt. Im gekoppelten Zustand wird das vom Messelement 16 empfangene Sensorsignal von einer zugehörigen Logikschaltung 40 aufbereitet und an die Auswerte- und Steuereinheit 50 des Primärsteuergeräts 2 ausgegeben. Die Logikschaltung 40 ist im dargestellten Ausführungsbeispiel ebenfalls Teil des ASIC-Bausteins 3 innerhalb des Primärsteuergeräts 2. Zudem weist der ASIC-Baustein 3 im dargestellten Ausführungsbeispiel eine Überwachungsschaltung 42 auf, mit welcher im Primärsteuergerät 2 die Energieversorgung des zugehörigen Sensors 1 ermittelt werden kann. Im dargestellten Ausführungsbeispiel erfasst die Überwachungsschaltung 42 die am Sensor 1 anliegende Spannung, wenn die Schalter 6, 7 der ersten Schalteinheit S1 geschlossen sind.
Sind dagegen die Schalter 6, 7 der ersten Schalteinheit S1 im Primärsteuergerät 2 geöffnet, und die Schalter 8, 9 der zweiten Schalteinheit S2 im Sekundärsteuergerät 4 geschlossen, so ist der Sensor 1 elektrisch mit dem ASIC-Baustein 5 im Sekundärsteuergerät 4 verbunden und vom Primärsteuergerät 2 entkoppelt. Sind zusätzlich der erste Transistor 14 und der zweite Transistor 15 im ASIC-Baustein 5 des Sekundärsteuergeräts 4 leitend geschaltet, dann ist der Sensor 1 mit dem Versorgungspfad und dem Massepfad des Sekundärsteuergeräts 4 elektrisch verbunden und mit dem Sekundärsteuergerät 4 gekoppelt. Im gekoppelten Zustand wird das vom Messelement 17 empfangene Sensorsignal von einer zugehörigen Logikschaltung 41 aufbereitet und an die Auswerte- und Steuereinheit 51 des Sekundärsteuergeräts 4 ausgegeben. Die Logikschaltung 41 ist im dargestellten Ausführungsbeispiel ebenfalls Teil des ASIC-Bausteins 5 innerhalb des Sekundärsteuergeräts 4. Zudem weist der ASIC-Baustein 5 im dargestellten Ausführungsbeispiel eine Überwachungsschaltung 43 auf, mit welcher im Sekundärsteuergerät 4 die Energieversorgung des zugehörigen Sensors 1 ermittelt werden kann. Im dargestellten Ausführungsbeispiel erfasst die Überwachungsschaltung 43 die am Sensor 1 anliegende Spannung, wenn die Schalter 8, 9 der zweiten Schalteinheit S2 geschlossen sind. Zudem kann über die Überwachungsschaltung 43 die interne Spannungsversorgung bzw. die Versorgungspfade des Sekundärsteuergeräts 2 überprüft werden, wenn die Schalter 8, 9 in den zweiten Schalteinheiten S2 geöffnet und die korrespondierenden zweiten Transistoren 15 im ASIC-Baustein 5 des Sekundärsteuergeräts 4 leitend geschaltet sind. In diesem Schaltzustand können die einzelnen Überwachungsschaltungen 43 die Spannungspegel an den Ausgängen der zweiten Transistoren 15 messen und auswerten.
Wie aus 1 und 2 weiter ersichtlich ist, weist das Sekundärsteuergerät 4 im dargestellten Ausführungsbeispiel zwei Testschaltungen 52, 53 auf, welche zur Überprüfung von mindestens einem internen Signalpfad im Sekundärsteuergerät 4 eingesetzt werden können. Wie aus 2 weiter ersichtlich ist, kann über eine erste Testschaltung 52 im Sekundärsteuergerät 4 ein Testsignal eingeprägt werden, welches vom Messelement 17 im Massepfad des Sekundärsteuergeräts 4 empfangen und von der zugehörigen Logikschaltung 41 aufbereitet und an die Auswerte- und Steuereinheit 51 des Sekundärsteuergeräts 4 ausgegeben werden kann. Verfügt das Sekundärsteuergerät 4 über ein weiteres nicht dargestelltes Messelement im Versorgungspfad, welches zwischen dem zweiten Transistor 15 und dem Versorgungsanschluss eingeschleift ist, dann kann eine optionale zweite Testschaltung 53 verwendet werden, um dieses Messelement zu überprüfen. Bei der Überprüfung des mindestens einen internen Signalpfads im Sekundärsteuergerät 4, ist das Sekundärsteuergerät 4 von den einzelnen Sensoren 1 bzw. von den Drehzahlfühlern DF1, DF2, DF3, DF4 entkoppelt. Das bedeutet, dass die Schalter 8, 9 der zweiten Schalteinheiten S2 des Sekundärsteuergeräts 4 geöffnet sind. Bei einem alternativen nicht dargestellten Ausführungsbeispiel weist auch das Primärsteuergerät 2 mindestens eine solche Testschaltung 52, 53 auf, welche Testsignale zur Überprüfung von mindestens einem internen Signalpfad erzeugt.
Bei Ausführungsbeispielen des erfindungsgemäßen Betriebsverfahrens 100, 200, 300, 400 für eine redundante Sensoranordnung 60 eines Fahrzeugsystems wird zur Initialisierung der Sensoranordnung 1 eine Betriebsspannung an beide Steuergeräte angelegt und eine Überprüfung der Sensoranordnung 60 durchgeführt. Hierbei werden die Sensoren 1 in einem ersten Überprüfungsschritt mit dem Primärsteuergerät 2 gekoppelt und von diesem überprüft und vom Sekundärsteuergerät 4 entkoppelt. Das Sekundärsteuergerät 4 überprüft im entkoppelten Zustand seine interne Spannungsversorgung und mindestens einen internen Signalpfad. In einem zweiten Überprüfungsschritt wird das Sekundärsteuergerät 4 mit den Sensoren 1 verbunden und überprüft eine Energieversorgung der einzelnen Sensoren 1. Des Weiteren wird die Initialisierung der Sensoranordnung 60 abgeschlossen, wenn bei der Überprüfung der Sensoranordnung 60 keine Fehler aufgetreten sind.
Wie aus 3 ersichtlich ist, wird bei dem dargestellten ersten Ausführungsbeispiel des erfindungsgemäßen Betriebsverfahrens 100 für eine redundante Sensoranordnung 60 eines Fahrzeugsystems in einem Schritt S100 das Primärsteuergerät 2 und in einem parallelen bzw. zeitgleichen Schritt S200 das Sekundärsteuergerät 4 eingeschaltet bzw. an die Betriebsspannung angelegt. Im Schritt S110 wird festgestellt, dass das Primärsteuergerät 2 bereit ist, dass bedeutet, dass die internen Schaltkreise, wie die ersten Schalteinheiten S1, der ASIC-Baustein 3 und die Auswerte- und Steuereinheit 50, des Primärsteuergeräts 2 hochgefahren sind und die ihnen zugedachten Funktionen und Aufgaben ausführen und übernehmen können. Im parallelen bzw. zeitgleichen Schritt S210 wird festgestellt, dass das Sekundärsteuergerät 4 bereit ist, dass bedeutet, dass die internen Schaltkreise, wie die zweiten Schalteinheiten S2, der ASIC-Baustein 5, die Testschaltungen 52, 53 und die Auswerte- und Steuereinheit 51, des Sekundärsteuergeräts 4 hochgefahren sind und die ihnen zugedachten Funktionen und Aufgaben ausführen und übernehmen können.
Daher werden im dargestellten ersten Ausführungsbeispiel im Schritt S120 alle Sensoren 1 mit dem Primärsteuergerät 2 gekoppelt. Das bedeutet, dass die Schalter 6, 7 der ersten Schalteinheiten S1 geschlossen und die einzelnen an den Eingängen 2A, 2B des Primärsteuergeräts 2 angeschlossenen Sensoren 1 mit dem ASIC-Baustein 3 verbunden werden. Innerhalb des ASIC-Bausteins 3 werden die Transistoren 12, 13 leitend geschaltet, um die einzelnen Sensoren 1 jeweils über den Versorgungspfad mit dem Versorgungsanschluss 19 und über den Massepfad mit dem Masseanschluss 18 zu verbinden. Nach der Kopplung der Sensoren 1 mit dem Primärsteuergerät 2 werden im Schritt S130 für die gekoppelten Sensoren 1 Standardtests durchgeführt. Bei den Standardtests können beispielsweise an den Messelementen 16 die Signale der gekoppelten Sensoren 1 empfangen und von der Logikschaltung 40 und der Auswerte- und Steuereinheit 50 ausgewertet werden.
Parallel bzw. zeitgleich werden im Schritt S220 alle Sensoren 1 vom Sekundärsteuergerät 4 entkoppelt. Das bedeutet, dass die Schalter 8, 9 der zweiten Schalteinheiten S2 geöffnet und die einzelnen an den Eingängen 4A, 4B des Sekundärsteuergeräts 4 angeschlossenen Sensoren 1 von dem ASIC-Baustein 5 getrennt werden, so dass im Schritt S220 alle Sensoren 1 vom Sekundärsteuergerät 4 entkoppelt sind. Anschließend wird im Schritt S230 die interne Spannungsversorgung im Sekundärsteuergerät 4 überprüft. Diese Überprüfung erfolgt, wie oben bereits angegeben ist, bei geschlossenen zweiten Transistoren 15 mit den Überwachungsschaltungen 43. Im Schritt S240 werden die internen Signalpfade im Sekundärsteuergerät 4 überprüft. Diese Überprüfung erfolgt, wie oben bereits angegeben ist, unter Verwendung der Testschaltungen 52, 53.
Bestehen alle gekoppelten Sensoren 1 die Standardtests im Primärsteuergerät 2, dann wird im Schritt S140 eine entsprechende Statusmeldung über die Datenverbindung 30 an das Primärsteuergerät übertragen. Das Sekundärsteuergerät 4 empfängt im Schritt S250 diese Statusmeldung und wertet diese aus. Im Schritt S260 überprüft das Sekundärsteuergerät 4 die Spannungsversorgung der einzelnen Sensoren 1, wenn die Überprüfung der internen Spannungsversorgung und des mindestens einen internen Signalpfads erfolgreich abgeschlossen wurde. Bei der Überprüfung der Spannungsversorgung der einzelnen Sensoren 1 bleiben die einzelnen Sensoren 1 weiterhin mit dem Primärsteuergerät 2 gekoppelt und werden zusätzlich durch Schließen der Schalter 8, 9 in den zweiten Schalteinheiten S2 mit den Überwachungsschaltungen 43 des Sekundärsteuergeräts 4 elektrisch verbunden, welche die an den einzelnen Sensoren 1 anliegenden Spannungen messen können. Nach der Überprüfung der Spannungsversorgung der einzelnen Sensoren 1 überträgt das Sekundärsteuergerät 4 im Schritt S270 eine entsprechende Statusmeldung an das Primärsteuergerät 2. Das Primärsteuergerät 2 empfängt im Schritt S150 diese Statusmeldung und wertet diese aus. Sind bei der Überprüfung der der Spannungsversorgung der einzelnen Sensoren 1 keine Fehler aufgetreten, dann wechselt das Sekundärsteuergerät 4 im Schritt S280 in seinen Überwachungsbetrieb, in welchem das Sekundärsteuergerät 4 den Datenbus, die Spannungsversorgung der einzelnen Sensoren S1 und das Primärsteuergerät 2 fortlaufend überwacht. Sind bei der Initialisierung der Sensoranordnung 60 keine Fehler aufgetreten, dann wird die Systeminitialisierung im Schritt S160 abgeschlossen, oder eine korrespondierende Fehlerbehandlung durchgeführt, wenn Fehler aufgetreten sind. Im Schritt S170 wechselt das Primärsteuergerät 2 in den Normalbetrieb und das dargestellte Bremssystem ist bereit.
Wie aus 4 bis 6 weiter ersichtlich ist, wird das in 3 dargestellte Betriebsverfahren 100 nach der abgeschlossenen Initialisierung der Sensoranordnung 60 durch eine Verbauprüfung der einzelnen Sensoren 1 ergänzt. Bei den dargestellten Ausführungsbeispielen des erfindungsgemäßen Betriebsverfahrens 200, 300, 400 werden im Primärsteuergerät 2 und im Sekundärsteuergerät 4 jeweils mindestens eine Verbauinformation über die einzelnen Sensoren 1 ermittelt und miteinander verglichen. Hierbei wird die Überprüfung als erfolgreich erkannt, wenn für den zu überprüfenden Sensor 1 die im Primärsteuergerät 2 ermittelte mindestens eine Verbauinformation mit der im Sekundärsteuergerät 4 ermittelten mindestens einen Verbauinformation übereinstimmt. In den dargestellten Ausführungsbeispielen umfasst die mindestens eine Verbauinformation der einzelnen Sensoren 1 Informationen über Einbauposition und/oder Kontaktierung des korrespondierenden Sensors 1. Selbstverständlich können auch alternative oder zusätzliche Verbauinformationen, wie beispielsweise Typ, Bauform usw. der einzelnen Sensoren 1 zur Verbauprüfung verwendet werden. Für die Verbauprüfung können die Verbauinformationen der einzelnen Sensoren 1 vor der Überprüfung vom nicht überprüfenden Steuergerät 2, 4 an das überprüfende Steuergerät 2, 4 übertragen werden, wobei das überprüfende Steuergerät 2, 4 die Verbauinformation der einzelnen zu überprüfenden Sensoren 1 ermittelt und mit den vom nicht überprüfenden Steuergerät 2, 4 empfangenen Verbauinformationen vergleicht. Das überprüfende Steuergerät 2, 4 überträgt dann das Überprüfungsergebnis an das nicht prüfende Steuergerät 2, 4. Alternativ können die einzelnen Sensoren 1 in Bezug auf ihre Einbauposition und/oder ihre Kontaktierung in einer vorgegebenen Reihenfolge oder nach einem vorgegebenen Muster überprüft werden. Bei dieser Ausführungsform ist die vorgegebene Reihenfolge oder das vorgegebene Muster der Überprüfung im Primärsteuergerät 2 und im Sekundärsteuergerät 4 gespeichert. Hierbei wird die Überprüfung als erfolgreich erkannt, wenn die Reihenfolge der vom Primärsteuergerät 2 überprüften Sensoren 1 mit der Reihenfolge der vom Sekundärsteuergerät 4 überprüften Sensoren 1 übereinstimmt.
Wie aus 4 weiter ersichtlich ist, wird im dargestellten zweiten Ausführungsbeispiel des Betriebsverfahrens 200 im Schritt S300 die abgeschlossene Systeminitialisierung im Primärsteuergerät 2 erkannt und die Verbauprüfung der einzelnen Sensoren 1 gestartet. Parallel wird im Schritt S400 die abgeschlossene Systeminitialisierung im Sekundärsteuergerät 4 erkannt und die Verbauprüfung der einzelnen Sensoren 1 gestartet. Im dargestellten zweiten Ausführungsbeispiel des erfindungsgemäßen Betriebsverfahrens 200 übergibt das Primärsteuergerät 2 die einzelnen Sensoren 1 sequentiell an das Sekundärsteuergerät 4, wobei die einzelnen zu überprüfenden Sensoren 1 jeweils vom Primärsteuergerät 2 entkoppelt und mit dem Sekundärsteuergerät 4 gekoppelt und von diesem überprüft werden. Das Primärsteuergerät 2 übermittelt vor der Entkopplung mindestens eine Verbauinformation des korrespondierenden Sensors 1 an das Sekundärsteuergerät 4. Das Sekundärsteuergerät 4 vergleicht seine ermittelte mindestens eine Verbauinformation des korrespondierenden Sensors 1 mit der übermittelten mindestens einen Verbauinformation, wobei das Sekundärsteuergerät 4 den jeweiligen überprüften Sensor 1 und das korrespondierende Überprüfungsergebnis an das Primärsteuergerät 2 zurückgibt, so dass der überprüfte Sensor 1 wieder mit dem Primärsteuergerät 2 gekoppelt und vom Sekundärsteuergerät 4 entkoppelt wird. Alternativ kann das Primärsteuergerät 2 die Verbauinformationen von allen zu überprüfenden Sensoren 1 vorab an das Sekundärsteuergerät 4 übertragen. Zudem kann das Sekundärsteuergerät 4 das Überprüfungsergebnis für alle überprüften Sensoren einzeln oder gemeinsam an das Primärsteuergerät 2 übertragen.
Im dargestellten Ausführungsbeispiel übermittelt das Primärsteuergerät 2 im Schritt S310 die Verbauinformation eines Sensors 1, beispielsweise eines ersten Drehzahlfühlers DF1, an das Sekundärsteuergerät 4 und entkoppelt den Sensor 1 vom Primärsteuergerät. Das bedeutet, dass die Schalter 6, 7 der korrespondierenden ersten Schalteinheit S1 geöffnet und der Sensor 1 vom ASIC-Bausteins 3 getrennt und so vom Primärsteuergerät 2 entkoppelt wird. Zusätzlich werden die Transistoren 12, 13 im ASIC-Baustein 3 sperrend geschaltet. Wahlweise kann der Sensor 1 auch nur entweder durch die Schalter 6, 7 oder die Transistoren 12,13 vom Primärsteuergerät 2 entkoppelt werden. Daher ist im Schritt S320 der Sensor 1, hier der erste Drehzahlfühler DF1, vom Primärsteuergerät 2 entkoppelt und die anderen Sensoren 1, hier die Drehzahlfühler DF2, DF3, DF4, sind weiter mit dem Primärsteuergerät 2 gekoppelt. Das Sekundärsteuergerät 4 empfängt im Schritt S410 die Verbauinformation des Sensors 1 und übernimmt den Sensor 1, hier den ersten Drehzahlfühler DF1. Zur Übernahme des Sensors 1 vom Primärsteuergerät 2 wird der Sensor 1 mit dem Sekundärsteuergerät 4 gekoppelt. Das bedeutet, dass die Schalter 8, 9 der korrespondierenden zweiten Schalteinheit S2 geschlossen und der an den korrespondierenden Eingängen 4A, 4B des Sekundärsteuergeräts 4 angeschlossene Sensor 1 mit dem ASIC-Baustein 5 verbunden wird. Innerhalb des ASIC-Bausteins 5 werden die korrespondierenden Transistoren 14, 15 leitend geschaltet, um den Sensor 1 jeweils über den Versorgungspfad mit dem Versorgungsanschluss 21 und über den Massepfad mit dem Masseanschluss 20 zu verbinden. Nach der Übernahme des Sensors 1, hier des ersten Drehzahlfühlers DF1, ist im Schritt S420 der erste Drehzahlfühler DF1 mit dem Sekundärsteuergerät 4 gekoppelt und die anderen Sensoren 1, hier die Drehzahlfühler DF2, DF3, DF4 sind weiterhin vom Sekundärsteuergerät 4 entkoppelt. Daher führt das Sekundärsteuergerät 4 im Schritt S430 für den gekoppelten Sensor 1 ein Standardtest durch und ermittelt dessen Verbauinformation. Im Schritt S440 überprüft das Sekundärsteuergerät 4, ob die ermittelte Verbauinformation des Sensors 1 mit der vom Primärsteuergerät 2 empfangenen Verbauinformation übereinstimmt. Im Schritt S450 überträgt das Sekundärsteuergerät 4 das Überprüfungsergebnis an das Primärsteuergerät 2 und gibt den überprüften Sensor 1, hier den ersten Drehzahlfühler DF1 an des Primärsteuergerät 2 zurück. Zur Übergabe des Sensors 1 an das Primärsteuergerät 2 wird der Sensor 1 vom Sekundärsteuergerät 4 entkoppelt. Das bedeutet, dass die Schalter 8, 9 der zugehörigen zweiten Schalteinheit S2 geöffnet und der Sensor 1 vom ASIC-Baustein 5 getrennt und so vom Sekundärsteuergerät 4 entkoppelt wird. Zusätzlich werden die korrespondierenden Transistoren 14, 15 im ASIC-Baustein 5 sperrend geschaltet. Wahlweise kann der Sensor 1 auch nur entweder durch die Schalter 8, 6 oder die Transistoren 14,15 vom Sekundärsteuergerät 4 entkoppelt werden. Das Primärsteuergerät 2 empfängt im Schritt S330 das Überprüfungsergebnis vom Sekundärsteuergerät 4 und übernimmt den Sensor 1. Zur Übernahme des Sensors 1 vom Sekundärsteuergerät 4 wird der Sensor 1 mit dem Primärsteuergerät 2 gekoppelt. Das bedeutet, dass die Schalter 6, 7 der korrespondierenden ersten Schalteinheit S1 geschlossen und der an den korrespondierenden Eingängen 2A, 2B des Primärsteuergeräts 2 angeschlossene Sensor 1 mit dem ASIC-Baustein 3 verbunden wird. Innerhalb des ASIC-Bausteins 3 werden die korrespondierenden Transistoren 12, 13 leitend geschaltet, um den Sensor 1 über den Versorgungspfad mit dem Versorgungsanschluss 19 und über den Massepfad mit dem Masseanschluss 18 zu verbinden. Nach der Übernahme des Sensors 1, hier des ersten Drehzahlfühlers DF1, wird der Vorgang im Schritt S340 bzw. im Schritt S460 für die anderen Sensoren 1, hier für die Drehzahlfühler DF2, DF3, DF4 wiederholt, bis die Verbauprüfung für alle Sensoren 1 abgeschlossen ist. Das bedeutet, dass die Schritte S310 bis S330 bzw. S410 bis S450 für jeden einzelnen der anderen Sensoren 1 wiederholt wird. Wird im Schritt S340 bzw. S460 festgestellt, dass alle Sensoren 1 auch vom Sekundärsteuergerät 4 überprüft wurden, dann wird die Verbauprüfung im Schritt S350 abgeschlossen und das Primärsteuergerät 2 übernimmt im Schritt S360 seine Aufgaben im Normalbetrieb und das Bremssystem weist seine volle Funktonalität auf, die ihm zugedachten Bremsfunktionen im vollen Umfang auszuführen. Nach der Übergabe des letzten zu überprüfenden Sensors 1 wechselt das Sekundärsteuergerät 4 im dargestellten ersten Ausführungsbeispiel im Schritt S470 in seinen ihm zugedachten Überwachungsbetrieb, in welchem das Sekundärsteuergerät 4 den Datenbus, die Sensorversorgung und die Funktion des Primärsteuergeräts 2 überwacht. Dadurch ist das Sekundärsteuergerät 4 in der Lage, die Funktion des Primärsteuergeräts 2 zumindest teilweise zu übernehmen und den Notbetrieb auszuführen, wenn das Primärsteuergerät 2 ausfällt. Somit ist die Initialisierung und die Verbauprüfung der Sensoranordnung 60 abgeschlossen und der Normalbetrieb des Fahrzeugsystems möglich.
Alternativ können die einzelnen Sensoren 1 in Bezug auf ihre Einbauposition und/oder ihre Kontaktierung in einer vorgegebenen Reihenfolge oder nach einem vorgegebenen Muster vom Primärsteuergerät 2 entkoppelt und mit dem Sekundärsteuergerät 4 gekoppelt werden. Bei dieser Ausführungsform überprüft das Sekundärsteuergerät 4 ob die Reihenfolge bzw. das Muster der übergebenen Sensoren 1 mit der im Sekundärsteuergerät 4 gespeicherten Reihenfolge bzw. dem im Sekundärsteuergerät 4 gespeicherten Muster übereinstimmt. Ist beispielsweise eine aufsteigende Reihenfolge der zu überprüfenden als Drehzahlfühler DF1, DF2, DF3, DF4 ausgeführten Sensoren 1 vorgegeben und eine Kontaktierung von zwei Sensoren 1, beispielsweise des ersten Drehzahlfühlers DF1 und des zweiten Drehzahlfühlers DF1, DF2 vertauscht, dann übergibt das Primärsteuergerät 2 gemäß vorgegebener Reihenfolge zuerst den ersten Drehzahlfühler DF1 an das Sekundärsteuergerät 4. Das Sekundärsteuergerät 4 erkennt aber durch die Vertauschung der Kontaktierung den zweiten Drehzahlfühler DF2 als übergebenen Sensor 1. Das Sekundärsteuergerät 4 ermittelt für den zweiten Drehzahlfühler DF2 also die erste Position in der realen Überprüfungsreihenfolge anstatt der zweiten Position in der vorgegebenen Überprüfungsreihenfolge. Daher erkennt das Sekundärsteuergerät 4 einen Verbaufehler der Sensoren 1. Liegt keine Vertauschung der Kontaktierung der Sensoren 1 vor, dann erkennt das Sekundärsteuergerät 4 den ersten Drehzahlfühler DF1 an der ersten Position der realen Überprüfungsreihenfolge, welche mit der vorgegebenen Position in der vorgegebenen Überprüfungsreihenfolge übereinstimmt. Daher erkennt das Sekundärsteuergerät 4 in diesem Fall keinen Verbaufehler der Sensoren 1.
Wie aus 5 weiter ersichtlich ist, wird im dargestellten dritten Ausführungsbeispiel des Betriebsverfahrens 300 im Schritt S500 die abgeschlossene Systeminitialisierung im Primärsteuergerät 2 erkannt und die Verbauprüfung der einzelnen Sensoren 1 gestartet. Parallel wird im Schritt S600 die abgeschlossene Systeminitialisierung im Sekundärsteuergerät 4 erkannt und die Verbauprüfung der einzelnen Sensoren 1 gestartet. Im dargestellten dritten Ausführungsbeispiel des erfindungsgemäßen Betriebsverfahrens 300 werden die einzelnen Sensoren 1 sequentiell vom Primärsteuergerät 2 entkoppelt und die Energieversorgung der verbundenen Sensoren 1 wird fortlaufend von dem Sekundärsteuergerät 4 überprüft. Zudem übermittelt das Primärsteuergerät 4 vor der Entkopplung mindestens eine Verbauinformation des korrespondierenden Sensors 1 an das Sekundärsteuergerät 4, wobei das Sekundärsteuergerät 4 den nicht vom Primärsteuergerät 2 versorgten Sensor 1 erkennt und dessen mindestens eine Verbauinformation ermittelt und mit der übermittelten mindestens einen Verbauinformation vergleicht. Das Sekundärsteuergerät 4 übermittelt das korrespondierende Überprüfungsergebnis an das Primärsteuergerät 2 und der überprüfte Sensor 1 wird wieder mit dem Primärsteuergerät 2 gekoppelt. Alternativ kann das Primärsteuergerät 2 die Verbauinformationen von allen zu überprüfenden Sensoren 1 vorab an das Sekundärsteuergerät 4 übertragen. Zudem kann das Sekundärsteuergerät 4 das Überprüfungsergebnis für alle überprüften Sensoren einzeln oder gemeinsam an das Primärsteuergerät 2 übertragen.
Im dargestellten Ausführungsbeispiel übermittelt das Primärsteuergerät 2 im Schritt S510 die Verbauinformation eines Sensors 1, beispielsweise eines ersten Drehzahlfühlers DF1, an das Sekundärsteuergerät 4 und entkoppelt den Sensor 1 vom Primärsteuergerät. Das bedeutet, dass die Schalter 6, 7 der korrespondierenden ersten Schalteinheit S1 geöffnet und der Sensor 1 vom ASIC-Bausteins 3 getrennt und so vom Primärsteuergerät 2 entkoppelt wird. Zusätzlich werden die Transistoren 12, 13 im ASIC-Baustein 3 sperrend geschaltet. Wahlweise kann der Sensor 1 auch nur entweder durch die Schalter 6, 7 oder die Transistoren 12,13 vom Primärsteuergerät 2 entkoppelt werden. Daher ist im Schritt S520 der Sensor 1, hier der erste Drehzahlfühler DF1, vom Primärsteuergerät 2 entkoppelt und die anderen Sensoren 1, hier die Drehzahlfühler DF2, DF3, DF4, sind weiter mit dem Primärsteuergerät 2 gekoppelt. Das Sekundärsteuergerät 4 empfängt im Schritt S610 die Verbauinformation des Sensors 1 und überprüft die Spannungsversorgung der einzelnen Sensoren 1. Zur Überprüfung der Versorgung der einzelnen Sensoren 1 sind die einzelnen Sensoren 1 über die geschlossenen Schalter 8, 9 der zweiten Schalteinheiten S2 mit den Überprüfungsschaltungen 43 im ASIC-Baustein 3 des Sekundärsteuergeräts 4 verbunden. Innerhalb des ASIC-Bausteins 5 sind die Transistoren 14, 15 sperrend geschaltet, so dass keiner der Sensoren mit dem Sekundärsteuergerät 4 gekoppelt ist und von diesem mit Energie versorgt wird. Die Überprüfungsschaltungen 43 messen die jeweils an den einzelnen Sensoren 1 anliegenden Versorgungsspannungen. Bei der Überprüfung erkennt das Sekundärsteuergerät 4 den nicht versorgten Sensor 1, hier den ersten Drehzahlfühler DF1. Im Schritt S620 ermittelt das Sekundärsteuergerät 4 die Verbauinformation des nicht versorgten Sensors 1 und überprüft, ob die ermittelte Verbauinformation des Sensors 1 mit der vom Primärsteuergerät 2 empfangenen Verbauinformation übereinstimmt. Im Schritt S630 überträgt das Sekundärsteuergerät 4 das Überprüfungsergebnis an das Primärsteuergerät 2. Das Primärsteuergerät 2 empfängt im Schritt S530 das Überprüfungsergebnis vom Sekundärsteuergerät 4 und der überprüfte Sensor 1 wird wieder mit dem Primärsteuergerät 2 gekoppelt. Zur Kopplung des Sensors 1 mit dem Primärsteuergerät 2 werden die Schalter 6, 7 der korrespondierenden ersten Schalteinheit S1 geschlossen und der an den korrespondierenden Eingängen 2A, 2B des Primärsteuergeräts 2 angeschlossene Sensor 1 wird mit dem ASIC-Baustein 3 verbunden. Innerhalb des ASIC-Bausteins 3 werden die korrespondierenden Transistoren 12, 13 leitend geschaltet, um den Sensor 1 über den Versorgungspfad mit dem Versorgungsanschluss 19 und über den Massepfad mit dem Masseanschluss 18 zu verbinden. Nach der Kopplung des Sensors 1, hier des ersten Drehzahlfühlers DF1, wird der Vorgang im Schritt S540 bzw. im Schritt S640 für die anderen Sensoren 1, hier für die Drehzahlfühler DF2, DF3, DF4 wiederholt, bis die Verbauprüfung für alle Sensoren 1 abgeschlossen ist. Das bedeutet, dass die Schritte S510 bis S530 bzw. S610 bis S630 für jeden einzelnen der anderen Sensoren 1 wiederholt wird. Wird im Schritt S540 bzw. S640 festgestellt, dass der Verbau von allen Sensoren 1 überprüft wurde, dann wird die Verbauprüfung im Schritt S550 abgeschlossen und das Primärsteuergerät 2 übernimmt im Schritt S560 seine Aufgaben im Normalbetrieb und das Bremssystem weist seine volle Funktonalität auf, die ihm zugedachten Bremsfunktionen im vollen Umfang auszuführen. Nach der Übermittlung des Überprüfungsergebnisses für den letzten zu überprüfenden Sensors 1 wechselt das Sekundärsteuergerät 4 im dargestellten zweiten Ausführungsbeispiel im Schritt S650 in seinen ihm zugedachten Überwachungsbetrieb, in welchem das Sekundärsteuergerät 4 den Datenbus, die Sensorversorgung und die Funktion des Primärsteuergeräts 2 überwacht. Dadurch ist das Sekundärsteuergerät 4 in der Lage, die Funktion des Primärsteuergeräts 2 zumindest teilweise zu übernehmen und den Notbetrieb auszuführen, wenn das Primärsteuergerät 2 ausfällt. Somit ist die Initialisierung und die Verbauprüfung der Sensoranordnung 60 abgeschlossen und der Normalbetrieb des Fahrzeugsystems möglich.
Alternativ können die einzelnen Sensoren 1 in Bezug auf ihre Einbauposition und/oder ihre Kontaktierung in einer vorgegebenen Reihenfolge oder nach einem vorgegebenen Muster vom Primärsteuergerät 2 entkoppelt und mit dem Sekundärsteuergerät 4 zur Überprüfung der Versorgungsspannung verbunden werden. Bei dieser Ausführungsform überprüft das Sekundärsteuergerät 4 ob die Reihenfolge bzw. das Muster der vom Primärsteuergerät 2 entkoppelten und nicht mit Energie versorgten Sensoren 1 mit der im Sekundärsteuergerät 4 gespeicherten Reihenfolge bzw. dem im Sekundärsteuergerät 4 gespeicherten Muster übereinstimmt.
Wie aus 6 weiter ersichtlich ist, wird im dargestellten vierten Ausführungsbeispiel des Betriebsverfahrens 400 im Schritt S700 die abgeschlossene Systeminitialisierung im Primärsteuergerät 2 erkannt und die Verbauprüfung der einzelnen Sensoren 1 gestartet. Parallel wird im Schritt S800 die abgeschlossene Systeminitialisierung im Sekundärsteuergerät 4 erkannt und die Verbauprüfung der einzelnen Sensoren 1 gestartet. Im dargestellten vierten Ausführungsbeispiel des erfindungsgemäßen Betriebsverfahrens 400 werden die Sensorsignale der einzelnen Sensoren 1 sequentiell durch das Sekundärsteuergerät 4 manipuliert. Das Primärsteuergerät 2 erkennt den jeweiligen manipulierten Sensor 1 und ermittelt die mindestens eine Verbauinformation des korrespondierenden Sensors 1. Das Sekundärsteuergerät 4 übermittelt vor der Manipulation des Sensorsignals mindestens eine Verbauinformation des korrespondierenden Sensors 1 an das Primärsteuergerät 2, wobei das Primärsteuergerät 2 die ermittelte mindestens eine Verbauinformation mit der übermittelten mindestens einen Verbauinformation des korrespondierenden Sensors 1 vergleicht und das Ergebnis an das Sekundärsteuergerät 4 übermittelt, welches die Manipulation des Sensorsignals des korrespondierenden Sensors 1 beendet. Alternativ kann das Sekundärsteuergerät 4 die Verbauinformationen von allen zu überprüfenden Sensoren 1 vorab an das Primärsteuergerät 2 übertragen. Zudem kann das Primärsteuergerät 2 das Überprüfungsergebnis für alle überprüften Sensoren einzeln oder gemeinsam an das Sekundärsteuergerät 4 übertragen.
Im dargestellten Ausführungsbeispiel übermittelt das Sekundärsteuergerät 4 im Schritt S810 die Verbauinformation eines Sensors 1, beispielsweise eines ersten Drehzahlfühlers DF1, an das Primärsteuergerät 2 und manipuliert den Sensor 1. Das bedeutet, dass das Sekundärsteuergerät 4 beispielsweise den ersten Transistor 14 im ASIC-Bausteins 3 leitend schaltet, so dass sich das Sensorsignal auf beide Steuergeräte aufteilt. Dadurch wird das Sensorsignal des manipulierten Sensors 1 reduziert. Das Primärsteuergerät 2 empfängt im Schritt S710 die Verbauinformation des manipulieren Sensors 1 und überprüft die Sensorsignale der einzelnen Sensoren 1. Bei der Überprüfung erkennt das Primärsteuergerät 2 das manipulierte Sensorsignal und den zugehörigen Sensor 1, hier den ersten Drehzahlfühler DF1. Im Schritt S720 ermittelt das Primärsteuergerät 2 die Verbauinformation des manipulierten Sensors 1 und überprüft, ob die ermittelte Verbauinformation des Sensors 1 mit der vom Sekundärsteuergerät 4 empfangenen Verbauinformation übereinstimmt. Im Schritt S730 überträgt das Primärsteuergerät 2 das Überprüfungsergebnis an das Sekundärsteuergerät 4. Das Sekundärsteuergerät 4 empfängt im Schritt S820 das Überprüfungsergebnis vom Primärsteuergerät 2 und beendet die Manipulation des überprüften Sensors 1. Zur Beendigung der Manipulation wird der korrespondierende erste Transistor 14 im ASIC-Bausteins 3 wieder sperrend geschaltet, so dass sich das Sensorsignal des überprüften Sensors 1, hier des ersten Drehzahlfühlers DF1, nicht mehr aufteilt und nur vom Primärsteuergerät 2 empfangen wird. Nach der Überprüfung des Sensors 1, hier des ersten Drehzahlfühlers, wird der Vorgang im Schritt S830 bzw. im Schritt S740 für die anderen Sensoren 1, hier für die Drehzahlfühler DF2, DF3, DF4 wiederholt, bis die Verbauprüfung für alle Sensoren 1 abgeschlossen ist. Das bedeutet, dass die Schritte S710 bis S730 bzw. S810 bis S830 für jeden einzelnen der anderen Sensoren 1 wiederholt wird. Wird im Schritt S830 bzw. S740 festgestellt, dass der Verbau von allen Sensoren 1 überprüft wurde, dann wird die Verbauprüfung im Schritt S750 abgeschlossen und das Primärsteuergerät 2 übernimmt im Schritt S760 seine Aufgaben im Normalbetrieb und das Bremssystem weist seine volle Funktonalität auf, die ihm zugedachten Bremsfunktionen im vollen Umfang auszuführen. Nach der Verbauprüfung des letzten zu überprüfenden Sensors 1 wechselt das Sekundärsteuergerät 4 im dargestellten vierten Ausführungsbeispiel im Schritt S840 in seinen ihm zugedachten Überwachungsbetrieb, in welchem das Sekundärsteuergerät 4 den Datenbus, die Sensorversorgung und die Funktion des Primärsteuergeräts 2 überwacht. Dadurch ist das Sekundärsteuergerät 4 in der Lage, die Funktion des Primärsteuergeräts 2 zumindest teilweise zu übernehmen und den Notbetrieb auszuführen, wenn das Primärsteuergerät 2 ausfällt. Somit ist die Initialisierung und die Verbauprüfung der Sensoranordnung 60 abgeschlossen und der Normalbetrieb des Fahrzeugsystems möglich.
Alternativ können die einzelnen Sensoren 1 in Bezug auf ihre Einbauposition und/oder ihre Kontaktierung in einer vorgegebenen Reihenfolge oder nach einem vorgegebenen Muster vom Sekundärsteuergerät 4 manipuliert werden. Bei dieser Ausführungsform überprüft das Primärsteuergerät 2 ob die Reihenfolge bzw. das Muster der manipulierten Sensoren 1 mit der im Primärsteuergerät 2 gespeicherten Reihenfolge bzw. dem im Primärsteuergerät 2 gespeicherten Muster übereinstimmt.
Die beschriebenen Ausführungsbeispiele des Betriebsverfahrens 100, 200, 300, 400 können beispielsweise in Software oder Hardware oder in einer Mischform aus Software und Hardware im Primärsteuergerät 2 und im Sekundärsteuergerät 4 implementiert werden.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 102015202335 A1 [0002]
DE 102014208391 A1 [0003]

Claims

Betriebsverfahren (100, 200, 300, 400) für eine redundante Sensoranordnung (60) eines Fahrzeugsystems, welche ein Primärsteuergerät (2), ein Sekundärsteuergerät (4) und mehrere Sensoren (1) umfasst, wobei die einzelnen Sensoren (1) in einem Normalbetrieb des Fahrzeugsystems jeweils mit dem Primärsteuergerät (2) und in einem Notbetrieb des Fahrzeugsystems jeweils mit dem Sekundärsteuergerät (4) gekoppelt und mit Energie versorgt werden, wobei das mit den Sensoren (1) gekoppelte Steuergerät Signale der einzelnen Sensoren (1) empfängt und auswertet, dadurch gekennzeichnet, dass zur Initialisierung der Sensoranordnung (1) eine Betriebsspannung an beide Steuergeräte angelegt und eine Überprüfung der Sensoranordnung (60) durchgeführt wird, wobei die Sensoren (1) in einem ersten Überprüfungsschritt mit dem Primärsteuergerät (2) gekoppelt und von diesem überprüft und vom Sekundärsteuergerät (4) entkoppelt werden, wobei das Sekundärsteuergerät (4) im entkoppelten Zustand seine interne Spannungsversorgung und mindestens einen internen Signalpfad überprüft, und wobei das Sekundärsteuergerät (4) in einem zweiten Überprüfungsschritt mit den Sensoren (1) verbunden wird und eine Energieversorgung der einzelnen Sensoren (1) überprüft, wobei die Initialisierung der Sensoranordnung (60) abgeschlossen wird, wenn bei der Überprüfung der Sensoranordnung (60) keine Fehler aufgetreten sind.
Betriebsverfahren (100, 200, 300) nach Anspruch 1, dadurch gekennzeichnet, dass die Sensoren (1) im gekoppelten Zustand jeweils über einen Versorgungspfad mit einem Versorgungsanschluss (19, 21) und über einen Massepfad mit einem Masseanschluss (18, 20) des zugehörigen Steuergeräts verbunden und mit Energie versorgt werden, wobei zumindest im Massepfad ein Messelement (16, 17) für den Empfang des jeweiligen Sensorsignals angeordnet ist.
Betriebsverfahren (100, 200, 300, 400) nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass im Sekundärsteuergerät (4) im Normalbetrieb des Fahrzeugsystems eine Überwachung des Primärsteuergeräts (2) und der Energieversorgung der mit dem Primärsteuergerät (2) gekoppelten einzelnen Sensoren (1) durchgeführt wird.
Betriebsverfahren (100, 200, 300, 400) nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass das Sekundärsteuergerät (4) eine Versorgungsspannung an den einzelnen Sensoren (1) erfasst und auswertet.
Betriebsverfahren (100, 200, 300, 400) nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass im Sekundärsteuergerät (4) zur Überprüfung des mindestens einen internen Signalpfads mindestens ein Testsignal erzeugt wird.
Betriebsverfahren (200, 300, 400) nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass nach der abgeschlossenen Initialisierung der Sensoranordnung (60) eine Verbauprüfung der einzelnen Sensoren in einer vorgebbaren Reihenfolge durchgeführt wird.
Betriebsverfahren (200, 300, 400) nach Anspruch 6, dadurch gekennzeichnet, dass im Primärsteuergerät (2) und im Sekundärsteuergerät (4) jeweils mindestens eine Verbauinformation über die einzelnen Sensoren (1) ermittelt und miteinander verglichen wird, wobei die Überprüfung als erfolgreich erkannt wird, wenn für den zu überprüfenden Sensor die im Primärsteuergerät (2) ermittelte mindestens eine Verbauinformation mit der im Sekundärsteuergerät (4) ermittelten mindestens einen Verbauinformation übereinstimmt, wobei die mindestens eine Verbauinformation der einzelnen Sensoren (1) Informationen über Einbauposition und/oder Kontaktierung des korrespondierenden Sensors (1) umfasst.
Betriebsverfahren (200, 300, 300) nach Anspruch 7, dadurch gekennzeichnet, dass die Verbauinformationen der einzelnen Sensoren (1) vor der Überprüfung vom nicht überprüfenden Steuergerät (2, 4) an das überprüfende Steuergerät (2, 4) übertragen werden, wobei das überprüfende Steuergerät (2, 4) die Verbauinformation der einzelnen zu überprüfenden Sensoren (1) ermittelt und mit den vom nicht überprüfenden Steuergerät (2, 4) empfangenen Verbauinformationen vergleicht, und wobei das überprüfende Steuergerät (2, 4) das Überprüfungsergebnis an das nicht überprüfende Steuergerät (2, 4) überträgt.
Betriebsverfahren (200, 300, 400) nach Anspruch 6, dadurch gekennzeichnet, dass die einzelnen Sensoren (1) in Bezug auf ihre Einbauposition und/oder ihre Kontaktierung in einer vorgegebenen Reihenfolge oder nach einem vorgegebenen Muster überprüft werden, wobei die vorgegebene Reihenfolge oder das vorgegebene Muster der Überprüfung im Primärsteuergerät (2) und im Sekundärsteuergerät (4) gespeichert ist, wobei die Überprüfung als erfolgreich erkannt wird, wenn die Reihenfolge der vom Primärsteuergerät (2) überprüften Sensoren (1) mit der Reihenfolge der vom Sekundärsteuergerät (4) überprüften Sensoren (1) übereinstimmt.
Betriebsverfahren (200) nach einem der Ansprüche 7 bis 9, dadurch gekennzeichnet, dass das Primärsteuergerät (2) die einzelnen Sensoren (1) sequentiell an das Sekundärsteuergerät (4) übergibt, wobei die einzelnen zu überprüfenden Sensoren (1) jeweils vom Primärsteuergerät (2) entkoppelt und mit dem Sekundärsteuergerät (4) gekoppelt und von diesem überprüft werden, wobei das Sekundärsteuergerät (4) den jeweiligen überprüften Sensor (1) an das Primärsteuergerät (2) zurückgibt, so dass der überprüfte Sensor (1) wieder mit dem Primärsteuergerät (2) gekoppelt und vom Sekundärsteuergerät (4) entkoppelt wird.
Betriebsverfahren (300) nach einem der Ansprüche 7 bis 9, dadurch gekennzeichnet, dass die einzelnen Sensoren (1) sequentiell vom Primärsteuergerät (2) entkoppelt werden und das Sekundärsteuergerät (4) die Energieversorgungen der verbundenen Sensoren (1) fortlaufend überprüft, wobei das Sekundärsteuergerät (4) den nicht vom Primärsteuergerät (2) versorgten Sensor (1) erkennt und dessen Verbauinformation überprüft, wobei der überprüfte Sensor (1) wieder mit dem Primärsteuergerät (2) gekoppelt wird.
Betriebsverfahren (400) nach einem der Ansprüche 7 bis 9, dadurch gekennzeichnet, dass das Sekundärsteuergerät (4) Sensorsignale der einzelnen Sensoren (1) sequentiell manipuliert und das Primärsteuergerät (2) den manipulierten Sensor (1) erkennt und dessen Verbauinformation überprüft, wobei das Sekundärsteuergerät (4) die Manipulation des Sensorsignals nach der Überprüfung des korrespondierenden Sensors (1) beendet.
Redundante Sensoranordnung (60) für ein Fahrzeugsystem zur Durchführung des Betriebsverfahrens (100, 200, 300, 400) nach einem der Ansprüche 1 bis 12, mit einem Primärsteuergerät (2), einem Sekundärsteuergerät (4) und mehreren Sensoren (1), wobei die einzelnen Sensoren (1) in einem Normalbetrieb des Fahrzeugsystems jeweils mit dem Primärsteuergerät (2) und in einem Notbetrieb des Fahrzeugsystems jeweils mit dem Sekundärsteuergerät (4) gekoppelt und mit Energie versorgt sind, wobei das mit den Sensoren (1) gekoppelte Steuergerät Signale der einzelnen Sensoren (1) empfängt und auswertet, dadurch gekennzeichnet, dass das Primärsteuergerät (2) und/oder das Sekundärsteuergerät mindestens eine Testschaltung (52, 53) aufweisen, welche Testsignale zur Überprüfung von mindestens einem internen Signalpfad erzeugt.