DE69925000T2

DE69925000T2 - Fehlertolerantes elektronisches bremssystem

Info

Publication number: DE69925000T2
Application number: DE69925000T
Authority: DE
Inventors: John Mark JORDAN; Mark Busby MAIOLANI; Andreas Both
Original assignee: Freescale Semiconductor Inc
Current assignee: NXP USA Inc
Priority date: 1998-07-20
Filing date: 1999-07-15
Publication date: 2006-02-23
Anticipated expiration: 2019-07-16
Also published as: GB2339869A; US6540309B1; WO2000005116A1; DE69925000D1; GB9815790D0; GB2339869B; EP1105306B1; EP1105306B8; EP1105306A1

Description

Gebiet der Erfindung
Diese Erfindung bezieht sich auf fehlertolerante elektronische Bremssysteme.
Hintergrund der Erfindung
In den letzten Jahren haben Automobilhersteller sich bemüht, viele teure mechanische Bauteile durch elektronische Bauteile zu ersetzen. Es wird erwogen, in zukünftigen Kraftfahrzeugkonstruktionen sogar noch mehr mechanische Bauteile zu entfernen, insbesondere, was Steuerungsverknüpfungen zum Motor, den Rädern, usw. anbetrifft, und sie durch "by-wire"-Technologie zu ersetzen, die teilweise auf der mit der Luftfahrtindustrie verbundenen "Fly-by-wire"-Technologie beruht.
Zum Beispiel kann das hydraulische oder mechanische Bremssystem eines Automobils durch ein mikroprozessorge steuertes System ersetzt werden, das über ein Pedal verfügt, welches bei Betätigung durch den Fahrer elektronische Signale zu in der Nähe der Bremsen angebrachten Bremsbetätigungselementen überträgt. Die Bremsbetätigungselemente betätigen die Bremsen in Abhängigkeit von den elektronischen Signalen. So wie in der DE 195 09 150 A1 beschrieben.
In sicherheitskritischen Anwendungsbereichen, wie z. B. des oben beschriebenen Bremssystems, muss das System so fehlertolerant sein, dass, sollte sich ein Fehler zutragen, zumindest eine gewisse Funktionalität des Systems erhalten bleibt. Bekannte Anordnungen zum Bereitstellen von Fehlertoleranz schließen redundante Systeme mit zwei oder mehr Mikroprozessoren ein, die unabhängig voneinander arbeiten und einander gegen kontrollieren, um Fehler zu erkennen.
Ein Problem bei dieser Anordnung ist, dass, je größer die Anzahl der Prozessoren ist, sich die Kosten des Systems erhöhen, und, je geringer die Anzahl der Prozessoren ist, sich die Wahrscheinlichkeit erhöht, dass bei allen Prozessoren in dem System ein Fehler zutage tritt.
Diese Erfindung bemüht sich, ein fehlertolerantes elektronisches Bremssystem zur Verfügung zu stellen, das die oben erwähnten Nachteile abschwächt.
Zusammenfassung der Erfindung
Gemäß der vorliegenden Erfindung wird ein fehlertolerantes elektronisches Bremssystem für ein Fahrzeug zur Verfügung gestellt, umfassend: einen anwenderbetätigten Eingang der zum Bereitstellen eines ersten Signals als Reaktion auf seine Betätigung eingerichtet ist; und mindestens drei mit dem anwenderbetätigten Eingang verbundene Brems knoten, wobei jeder Knoten zum Steuern mindestens eines Bremsbetätigungselements eingerichtet ist, wobei jeder Knoten über Steuermittel verfügt, die zum Verarbeiten des ersten Signals eingerichtet sind, um ein zweites Signal zum Steuern des mindestens einen Bremsbetätigungselements bereitzustellen, und um eine Vielzahl von dritten Signalen für die mindestens zwei anderen Steuermittel bereitzustellen, wobei die dritten Signale erwartete zweite Signalergebnisse der mindestens zwei anderen Steuermittel sind; wobei jedes Steuermittel eingerichtet ist, das zweite Signal mit den von den mindestens zwei anderen Steuermitteln empfangenen dritten Signalen zu vergleichen, solcherart, dass Fehler, die zwischen den zweiten und dritten Signalen erkannt werden, Fehler in den mindestens drei Steuermitteln anzeigen.
Vorzugsweise bei Erkennung eines Fehlers verwendet jedes Steuermittel ein Wählschema, um zu ermitteln, welches der zweiten und dritten Signale als ein viertes Signal zum Steuern eines jeden der Bremsbetätigungselemente verwendet werden soll.
Jedes Steuermittel ist ebenfalls vorzugsweise angeordnet, das vierte Signal zu den mindestens zwei anderen Steuermitteln zu übertragen, um zu verifizieren, ob das Wählschema korrekt angewendet wurde.
Die mindestens drei Bremsknoten sind vorzugsweise an wechselseitig voneinander entfernten Stellen des Fahrzeugs verteilt. Vorzugsweise das erste Signal ist so eingerichtet, dass es zu den mindestens drei Bremsknoten auf eine synchrone Weise übertragen wird.
Zur weiteren Fehlererkennung wird das erste Signal von jedem der Steuermittel vorzugsweise erneut übertragen. Vor zugsweise weisen die mindestens drei Bremsknoten vier Bremsknoten auf, wobei jeder geeignet ist, einen von vier Bremsbetätigungselementen zu steuern.
Auf diese Weise wird ein fehlertolerantes elektronisches Bremssystem bereitgestellt, das kosteneffektiv bei verbesserter Fehlertoleranz und verstärkter Fehlererkennung ist.
Kurze Beschreibung der Zeichnungen
Ein exemplarisches Ausführungsbeispiel der Erfindung wird nun in Bezug auf die einzelne Figurenzeichnung beschrieben, die ein bevorzugtes Ausführungsbeispiel eines fehlertoleranten elektronischen Bremssystems gemäß der Erfindung zeigt.
Beschreibung einer bevorzugten Ausführungsform
Nimmt man Bezug auf die einzelne Figurenzeichnung, wird dort ein fehlertolerantes elektronisches Bremssystem 5 für ein Fahrzeug (nicht gezeigt) gezeigt, das einen ersten, zweiten, dritten und vierten Radknoten mit elektronischen Steuereinheiten (ECUs) 10, 20, 30 und 40 umfasst, die an wechselseitig voneinander entfernten Stellen des Fahrzeugs verteilt sind. Jede erste, zweite, dritte und vierte ECU 10, 20, 30 und 40 ist mit einem zugehörigen ersten, zweiten, dritten und vierten Bremsbetätigungselement 15, 25, 35 beziehungsweise 45 verbunden.
Die erste, zweite, dritte und vierte ECU 10, 20, 30 beziehungsweise 40 ist jeweils auch mit einem ersten und einem zweiten Bus 7 beziehungsweise 8 verbunden. Die Brems pedaleinheit 50 (als Pedal gezeigt) ist ebenfalls mit dem ersten und dem zweiten Bus 7 beziehungsweise 8 verbunden. Der erste und der zweite Bus 7 beziehungsweise 8 sind im Wesentlichen identisch und sind beide eingerichtet, um synchrone Signale gemäß einem Schema mit Mehrfachzugriff im Zeitmultiplex (TDMA) oder Ähnlichem bereitzustellen.
Funktionen von hohem Niveau gegenwärtiger Bremssysteme können in das System 5 über eine ECU (von hohem Niveau) 60, die an die Busse 7 und 8 angeschlossen ist oder durch ein Gateway zu einer ECU (nicht gezeigt) integriert werden.
Die Bremspedaleinheit 50 verfügt über einen Wandler (nicht gezeigt) und ist eingerichtet, um erste elektronische Signale für den ersten und den zweiten Bus 7 beziehungsweise 8 als Reaktion auf eine gewöhnliche Kraft bereitzustellen, die auf ein Bremspedal (nicht gezeigt) der Einheit 50 ausgeübt wird. Die Bremspedaleinheit 50 kann zum Vorverarbeiten der Signale eingerichtet sein.
Jede erste, zweite, dritte und vierte ECU 10, 20, 30, 40 kann, falls nötig, unabhängig von den anderen ECUs arbeiten, und ist in der Lage, ein aufbereitetes Ergebnissignal (d. h. ein zweites Signal) für das zugehörige Bremsbetätigungselement 15, 25, 35 oder 45 als Reaktion auf die von der Bremspedaleinheit 50 empfangenen ersten Signale bereitzustellen. Auf diese Weise wird eine Grundbremsfunktion erreicht, die für ein sicheres Betreiben das benötigte Minimum ist, was nicht unbedingt Funktionen von höherem Niveau, wie z. B. ein Fahrzeugstabilitätsmanagement oder eine Traktionssteuerung, einschließt. Die Bereitstellung des ersten und des zweiten Busses 7 und 8 sorgt für eine Fehlertoleranz für den Fall, dass sich ein Problem in dieser Hinsicht ergibt.
Außerdem führt jede erste, zweite, dritte und vierte ECU 10, 20, 30, 40 einen ähnlichen Algorithmus aus, indem sie die gleichen von der Bremspedaleinheit 50 empfangenen ersten Signale verwendet, und stellt die ersten Signale und die aufbereiteten Ergebnissignale (d. h. ein drittes Signal) für die anderen ECUs bereit. Auf diese Weise kann jede erste, zweite, dritte und vierte ECU 10, 20, 30, 40 einen fehlerhaften Betrieb durch das Vergleichen ihrer empfangenen ersten Signale und ihrer aufbereiteten Ergebnissignale (d. h. zweiten Signale) mit denen der anderen ECUs (d. h. den bereitgestellten ersten Signalen und zugehörigen dritten Signalen) erkennen.
Da vier ECUs zum Gegenprüfen von Daten verfügbar sind, ist es möglich, nicht nur zu erkennen, dass es irgendwo in dem System 5 ein Problem gibt, sondern die fehlerhafte ECU auch zu identifizieren. Eine fehlerhafte ECU kann deshalb entweder durch sich selbst identifiziert werden oder durch die Mehrzahl der ECUs in dem System 5 über ein Wählschema, wonach die ECU, die im Vergleich zu den anderen ECUs die am meisten abweichenden Ergebnisse aufweist, als fehlerhaft betrachtet wird.
Nachdem ein Fehler identifiziert wurde, können geeignete Maßnahmen ergriffen werden, wie z. B. den Fehler zu protokollieren ("logging"), eine Diagnosen durchzuführen oder den Knoten zurückzusetzen oder abzuschalten. Falls eine ECU auf Grund eines Fehlers abgeschaltet ist, kann das System 5 solcherart eingerichtet sein, dass die Hauptbremsfunktion über die funktionierenden ECUs neu verteilt wird.
Da jede ECU ihre Funktion gegen die anderen ECUs prüft, können Fehler erkannt werden, die bei Verwendung einer einfacheren Selbsttestart einer isolierten Überprüfung nicht feststellbar sein könnten. Zum Beispiel kann eine ECU da einen Fehler aufweisen, wo sie die von der Bremspedaleinheit 50 empfangenen Signale falsch dekodiert, aber der dekodierte Wert sich noch innerhalb des zulässigen Bereichs befindet. Die ECU würde einen Selbsttest bestehen und auf die fehlerhaften Daten hin handeln, wenn keine anderen Tests durchgeführt würden, doch mit der beschriebenen Überprüfung gegen andere ECUs würden die inkorrekten Daten erkannt werden.
Da jede ECU ihre empfangenen ersten Signale regelmäßig erneut überträgt, ist das System 5 in der Lage, Fehler zu überstehen, die sonst zu ihrer teilweisen Abschaltung führen würden. Kann zum Beispiel die erste ECU 10 auf Grund eines Kommunikationsfehlers nicht direkt auf die elektronischen Signale von der Bremspedaleinheit 50 zugreifen, kann sie die elektronischen Signale verwenden, die über die zweite, dritte oder vierte ECU 20, 30 beziehungsweise 40 übermittelt werden.
Ein durch diese Anordnung gewonnener Vorteil ist, dass identische Signale von der Bremspedaleinheit 50 allen Teilen des Systems 5 gleichzeitig zur Verfügung stehen. Das vereinfacht die Fehlererkennungsarbeit, da bei korrektem Funktionieren alle ECUs identische Funktionen auf identische Signale hin ausführen können und alle Abweichungen einen Fehler anzeigen.
Es versteht sich, dass alternative Ausführungsformen zu der oben beschriebenen möglich sind. Zum Beispiel könnte eine einzelne Hinterbremsen-ECU verwendet werden, um die dritte und die vierte ECU 30 und 40 zu ersetzen, wobei die einzelne Hinterbremsen-ECU mit der dritten und der vierten Bremsbetätigungselement 35 beziehungsweise 45 verbunden würde.

Claims

Fehlertolerantes elektronisches Bremssystem (5) für ein Fahrzeug, umfassend: einen anwenderbetätigten Eingang (50), der eingerichtet ist, um ein erstes Signal als Reaktion auf dessen Betätigung bereitzustellen; und mindestens drei Bremsknoten (10, 20,30, 40), die mit dem anwenderbetätigten Eingang (50) verbunden sind, wobei jeder Knoten eingerichtet ist, um mindestens ein Bremsbetätigungselement (15, 25, 35, 45) zu steuern, wobei jeder Knoten (10, 20, 30, 40) über Steuermittel verfügt, die eingerichtet sind, um das erste Signal zu verarbeiten, um ein zweites Signal zum Steuern des mindestens einen Bremsbetätigungselements (15, 25, 35,45) bereitzustellen, dadurch gekennzeichnet, dass die mindestens drei Bremsknoten (10, 20, 30, 40) eine Mehrzahl von dritten Signalen für die mindestens zwei anderen Steuermittel bereitstellen, wobei die dritten Signale erwartete zweite Signalergebnisse der mindestens zwei anderen Steuermittel sind; wobei jedes Steuermittel eingerichtet ist, um das zweite Signal mit den von den mindestens zwei anderen Steuermitteln empfangenen dritten Signalen zu vergleichen, so dass Fehler, die zwischen den zweiten und dritten Signalen er kannt werden, Fehler in den mindestens drei Steuermitteln anzeigen.
System nach Anspruch 1, wobei bei Erkennung eines Fehlers jedes Steuermittel ein Wählschema verwendet, um zu ermitteln, welches der zweiten und dritten Signale als ein viertes Signal zum Steuern eines jeden der Bremsbetätigungselemente (15, 25, 35, 45) verwendet werden soll.
System nach Anspruch 2, wobei jedes Steuermittel auch zum Übertragen des vierten Signals zu den mindestens zwei anderen Steuermitteln angeordnet ist, um zu verifizieren, ob das Wählschema korrekt angewendet wurde.
System nach einem der vorangegangenen Ansprüche, wobei die mindestens drei Bremsknoten (10, 20, 30, 40) an wechselseitig voneinander entfernten Stellen des Fahrzeugs verteilt sind.
System nach einem der vorangegangenen Ansprüche, wobei das erste Signal geeignet ist, zu den mindestens drei Bremsknoten (10, 20, 30, 40) in synchroner Weise übertragen zu werden.
System nach einem der vorangegangenen Ansprüche, wobei das erste Signal zur weiteren Fehlerkennung von jedem der Steuermittel erneut übertragen wird.
System nach einem der vorangegangenen Ansprüche, wobei die mindestens drei Bremsknoten vier Bremsknoten (10, 20, 30, 40) umfassen, wobei jeder zum Steuern eines von vier Bremsbetätigungselementen angeordnet ist.