WO1993009020A1 - Verfahren und vorrichtung zur fehlerbehandlung in elektronischen steuergeräten - Google Patents

Verfahren und vorrichtung zur fehlerbehandlung in elektronischen steuergeräten Download PDF

Info

Publication number
WO1993009020A1
WO1993009020A1 PCT/DE1992/000909 DE9200909W WO9309020A1 WO 1993009020 A1 WO1993009020 A1 WO 1993009020A1 DE 9200909 W DE9200909 W DE 9200909W WO 9309020 A1 WO9309020 A1 WO 9309020A1
Authority
WO
WIPO (PCT)
Prior art keywords
actuator
values
program
signals
detected
Prior art date
Application number
PCT/DE1992/000909
Other languages
English (en)
French (fr)
Inventor
Eberhard Weiss
Manfred Stahl
Klaus Meder
Karl Viehmann
Guenter Driedger
Juergen Neumann
Heinz-Jürgen ALTHOFF
Jürgen SCHUH
Bert Zorbach
Original Assignee
Robert Bosch Gmbh
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Robert Bosch Gmbh filed Critical Robert Bosch Gmbh
Priority to DE59202559T priority Critical patent/DE59202559D1/de
Priority to EP92922296A priority patent/EP0610316B1/de
Priority to JP5507253A priority patent/JPH07506912A/ja
Priority to US08/240,687 priority patent/US5440487A/en
Publication of WO1993009020A1 publication Critical patent/WO1993009020A1/de

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0796—Safety measures, i.e. ensuring safe condition in the event of error, e.g. for controlling element
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B62—LAND VEHICLES FOR TRAVELLING OTHERWISE THAN ON RAILS
    • B62D—MOTOR VEHICLES; TRAILERS
    • B62D7/00—Steering linkage; Stub axles or their mountings
    • B62D7/06—Steering linkage; Stub axles or their mountings for individually-pivoted wheels, e.g. on king-pins
    • B62D7/14—Steering linkage; Stub axles or their mountings for individually-pivoted wheels, e.g. on king-pins the pivotal axes being situated in more than one plane transverse to the longitudinal centre line of the vehicle, e.g. all-wheel steering
    • B62D7/148—Steering linkage; Stub axles or their mountings for individually-pivoted wheels, e.g. on king-pins the pivotal axes being situated in more than one plane transverse to the longitudinal centre line of the vehicle, e.g. all-wheel steering provided with safety devices
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G05B9/03—Safety arrangements electric with multiple-channel loop, i.e. redundant control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G06F11/0754—Error or fault detection not based on redundancy by exceeding limits
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G06F11/0754—Error or fault detection not based on redundancy by exceeding limits
    • G06F11/076—Error or fault detection not based on redundancy by exceeding limits by exceeding a count or rate limit, e.g. word- or bit count limit
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1633—Error detection by comparing the output of redundant processing systems using mutual exchange of the output between the redundant processing components
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/2017—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where memory access, memory control or I/O control functionality is redundant

Definitions

  • Control of the actuator can be switched off softly, without there being a drastic change in the control behavior.
  • the soft switching off of the rear wheel steering is safer in an emergency situation, since in this case the driving behavior of the vehicle does not change abruptly.
  • the invention relates to a method and a device for error handling in electronic control devices according to the preamble of the main claim.
  • a method and a device for error handling in an electronic control device from DE 38 25 280 AI are already known.
  • the control device is provided, for example, for controlling a rear axle steering in a motor vehicle.
  • Two emergency running measures are provided in the event of an error occurring. In the case of a relatively serious fault, the one emergency running measure is to keep the rear wheels in the position that last, i.e. immediately before the error occurred. In the event of a relatively slight error, the emergency measure consists in returning the deflected rear wheels to the zero position in a targeted manner and at a finite speed.
  • the method according to the invention with the characterizing features of the main claim has the advantage that an emergency program is started in the event of a relatively minor error, in that control values for the actuator, as in the main program, are also calculated. These manipulated values are multiplied by a factor which becomes smaller in time at the start of the execution of the emergency running program, so that there is a slow decay in the actuating amplitude of the actuator. There is a smooth transition from a deflection state of the actuator to the neutral position of the actuator.
  • the It is furthermore advantageous to compare the number of detected errors with predetermined values during the consistency check, different errors being counted when they can be assigned to an identical cause of the error and one of the emergency operation programs only being processed when the number of detected errors is has reached the specified value.
  • the processing of an emergency running program only after repeated error detection makes it possible to prevent redundant processing of an emergency running program due to a short-term malfunction, such as an EMC malfunction.
  • the counting of different errors, which, however, can be assigned to an identical cause of the error enables the earlier initiation of the emergency measure in comparison to an evaluation of the errors as different, independent errors.
  • the activation of the safety device in the second emergency operation program and the interruption of the actuation of the actuator after a predetermined time is also advantageous because afterwards a safe state for the control system is reached and the microcomputer e.g. can run further test and diagnostic programs. After the control device has been recognized as error-free again, it is then also possible to switch the rear wheel steering on smoothly. This can be done by slowly increasing the calculated steering amplitudes up to the size as in the main program.
  • the device for controlling the steering angle of the rear wheels of a motor vehicle it is also advantageous to provide an emergency program in which the manipulated values are calculated as in the main program. These manipulated values are also multiplied by a factor that becomes smaller in time, so that the actuating amplitude of the actuator slowly decays.
  • the first emergency run rogra m in which the control of the actuator is switched off hard, is always processed when it is recognized during the consistency check that none of the encoders for the actual position value of the actuator is working properly and / or deviate from the values calculated by the microcomputers by a predetermined amount.
  • the immediate switching off of the control is advantageous in this case because the position of the actuator is absolutely necessary for a regulated adjustment of the actuator.
  • control system still has control over the actual position value, so that the setting of the actuator can still be returned to the neutral position in order to achieve a good-natured driving behavior.
  • FIG. 1 shows a schematic representation of a control device for controlling a rear wheel steering
  • FIG. 2 shows a first exemplary embodiment of a simple program structure of a main program for execution in the first microcomputer
  • FIG. 3 shows a program structure of a main program for execution in the second microcomputer
  • FIG. 4 5 shows a program structure of a first emergency operation program for execution in the second microcomputer
  • FIG. 6 shows a program structure of a second emergency operation program for execution in the first microcomputer
  • FIG. 7 shows a program structure of a program 8 shows a program structure of a third emergency running program for processing in both microcomputers, with which the control of the rear axle adjuster is switched off
  • FIG. 1 shows a schematic representation of a control device for controlling a rear wheel steering
  • FIG. 2 shows a first exemplary embodiment of a simple program structure of a main program for execution in the first microcomputer
  • FIG. 3 shows a program structure of a main program for execution in the second microcomputer
  • FIG. 4 5 shows a program structure
  • FIG. 9 shows a second exemplary embodiment for a structure 10 shows a second exemplary embodiment for a structogram of a main program for processing in the second microcomputer
  • FIG. 11 shows the signal curves of two transmitters for the actual position value of an actuator in the event of a first error
  • FIG 13 shows the signal curves of two sensors for the actual position value of an actuator in the event of a third error
  • FIG. 14 shows the signal curves of two sensors for the actual position value of an actuator in the event of a fourth error.
  • FIG. 1 shows an embodiment of a control device 25 for controlling a rear wheel steering.
  • a microcomputer 5 shown, which contains important elements of a microcomputer, such as RAM and EOM memory, a central microprocessor, input / output modules, and an interface 10.
  • a main program and the emergency running programs are contained in the ROM memory.
  • a bus connection 11 goes from the interface 10 to the interface 12 of a second microcomputer 17.
  • certain ports of the microcomputers 5, 17, serial interfaces or a dual port RAM can also be used be used to connect the two microcomputers 5, 17.
  • This also contains, among other things, a RAM and ROM memory, a central microprocessor and input / output modules.
  • a further main program and further emergency running programs are stored in its ROM memory.
  • the two microcomputers 5, 17 can exchange data via the bus connection 11. Instead of providing individual RAM memory modules in both microcomputers 5, 17, it is also possible to use a DP-RAM module which both microcomputers 5, 17 can access.
  • the signals from a steering angle sensor 1 are fed to the microcomputer 5 after filtering with the aid of a filter 2 and limitation by a limiter 3 and A / D conversion with the aid of the A / D converter 4.
  • the signal from a wheel speed sensor 26 is also fed to the microcomputer 5 via various signal processing stages such as a filter 27 and a limiter 28.
  • the signal from a displacement sensor 13 for the position of a rear axle actuator 8 is fed to the microcomputer 17 after processing by a filter 17, a limiter 15 and an A / D converter 16.
  • Suitable sensors for the rear wheel steering are e.g. B. acceleration sensors, further Rad ⁇ speed sensors, speed sensors, temperature and Pressure sensors for the hydraulic system and sensors for steering angle fine adjustment.
  • some of the security-relevant sensors e.g. B. the steering angle sensor 1 and the displacement sensor 13 for the position of the rear axle actuator 8, and the speed sensor 26 may be present twice.
  • the individual control devices of the motor vehicle through a bus system such. B. the CAN bus are linked together so that the sensor signals supplied to these control units are also communicated to the control unit 25 via a CAN bus line.
  • Two actuators 7 and 31 designed as proportional valves are provided for adjusting the rear axle actuator 8.
  • the calculated manipulated values are fed to these via output modules in the microcomputer 5 and after amplification by the output stages 6, 30.
  • a holding brake 9 is provided which can be activated by the microcomputer 5 via a first connecting line 19 and by the microcomputer 17 via a second connecting line 24.
  • shut-off valves and test valves can also be fitted in the hydraulic system, which are connected to the microcomputers 5, 17 and activate the holding brake by switching off the system pressure.
  • An error lamp 21 is connected to the microcomputer 5 via the connecting line 20 and to the microcomputer 17 via the connecting line 23.
  • Two controllable relays 18, 32 are connected to the microcomputers 5, 17 by means of the connecting line 22 and 29. The output stages 6, 32 can thus be separated from the supply voltage.
  • the mode of operation of the arrangement in FIG. 1 for controlling rear wheel steering is explained below with reference to FIGS. 2-8.
  • the example of the rear wheel steering refers to the 4-wheel steering in a car.
  • the front wheels are adjusted using a mechanical arrangement as with a conventional 2-wheel steering.
  • the Adjustment of the rear axle must then, depending on the driving speed and driving situation, be adapted to the steering angle of the steering wheel. So it is z.
  • For parking for example, it makes sense to adjust the front and rear wheels in parallel, while to achieve small turning circles it is useful to turn the front wheels and rear wheels in different steering angle directions.
  • different settings of the rear axle must also be made depending on the steering angle.
  • different calculation bases should therefore be used to control the rear wheel steering.
  • FIG. 2 The flowchart shown in FIG. 2 is intended to illustrate the course of the main program in the microcomputer 5. After the power-on reset 40, the microcomputer 5 begins to process its main program. An initialization is first carried out in program step 41 therein.
  • the steering angle LW is then read in by the steering angle sensor 1 and the wheel speed value U by the connected wheel speed sensor 26 in program steps 42 and 43.
  • the microcomputer 5 reads the actual position value LG of the rear axle actuator 8 from the displacement sensor 13. For this purpose, data exchange between the two microcomputers 5, 17 is necessary. In the event that the microcomputer 17 has not yet determined this value at this point in time, the microcomputer 5 must first insert a few waiting cycles and then request the actual position value from the microcomputer 17 again.
  • a replacement control and / or replacement functions can be carried out in which this transmitter value is no longer used for calculation the manipulated values are used.
  • the distinction between these two causes of errors is solved in that after error detection, for. B. when checking a sensor value in an emergency running program B, C within the, the error-recognizing microcomputer is branched and in this emergency running program B, C a check of the microcomputers 5, 17 is carried out with the aid of a data exchange .
  • the test by means of data exchange mainly includes a comparison of the manipulated values calculated by both microcomputers 5, 17 and / or certain intermediate results.
  • the actual position value is compared with the predetermined range limit values in query 45.
  • the main program branches to the emergency program Rogram A in the microcomputer 5. After error detection when checking the actual position value, safe driving with further rear wheel steering can no longer be guaranteed, so that in the emergency mode rogram A, the rear wheel steering is switched off immediately. This is explained in the following description of FIG. 8.
  • Query 46 also checks the read steering angle value with specified range limit values. In the event that an exceeding of the range is determined in this query 46, the program branches to a further emergency running program B. Since an error in the steering angle value has been determined here, the system has in the event that the error in the steering angle transmitter 1 and / or in the signal chain from the steering angle transmitter 1 to the microcomputer 5 there is still control over the actual position value of the rear axle actuator 8. Thus, in the emergency operation program B the rear axle actuator can still be moved to the central position in a controlled manner. The driving behavior of the motor vehicle is not changed so abruptly.
  • the emergency running program B is explained in more detail in the description of FIG. 6.
  • Query 48 is then used to check whether the read-in wheel speed value lies within its predetermined target value range.
  • the system branches to a further emergency running program C. If the fault in the wheel speed sensor 26 and / or in the signal chain from the wheel speed sensor 26 to the microcomputer 17 has its cause, then control over the actual position value of the rear axle actuator 8 and over the steering angle of the steering wheel remains. In the emergency running program C, therefore, for a short time (in which the driving situation cannot change drastically), control values for the rear axle actuator 8 can continue to be calculated from the read steering angle values and output to the actuators 7, 31. For safety reasons, the control values for setting the rear axle actuator 8 are still checked in this emergency operation program and slowly decay over a certain period of time until the rear axle actuator 8 reaches the central position. The driving behavior of the motor vehicle then changes less drastically than in the emergency running programs A and B.
  • the gradients of the sensor values can also be checked in comparison to the gradients of the other sensor values.
  • redundant sensors they can also be used for checking.
  • the information from certain donors can be compared with the information from other donors, which determine dependent quantities thereon.
  • the sensors for the wheel speed and the signal of a tachometer shaft both provide information about the speed of the motor vehicle.
  • the frequency of the errors ascertained in the comparisons and tests can be monitored, so that only when certain frequency limits are exceeded does the emergency mode run.
  • the flowchart shown in FIG. 3 is intended to illustrate the course of the main program in the microcomputer 17. It essentially corresponds to the structure diagram in FIG. 2.
  • the first program step after the power-on reset 40 is also the program step 41 as in FIG. 2.
  • the tests described there now relate however, to the functional parts connected to the microcomputer 17.
  • the active test of the two actuators 7, 31 is omitted here, however, since the actuators are only connected to the microcomputer 5.
  • the actual position value is then read in by the displacement sensor 13. This takes place in program step 44.
  • the values for the steering angle and the wheel speed were adopted by the microcomputer 5 in program steps 42 and 43. The same applies to the data exchange required for this as in program step 44 in FIG. 2.
  • the values read are checked in the same way as in the structure diagram in FIG.
  • the Emergency running programs B and C are contained in the microcomputer 17.
  • the emergency running program A corresponds to the emergency running program A in FIG. 2, but is also contained in the microcomputer 17.
  • the control values are also calculated here as in program step 49 in FIG. 2.
  • the control values determined by both microcomputers 5, 17 are also checked here after the data exchange of the calculation results, as in program step 50 in FIG. 2.
  • the calculation results do not match , the emergency running program A is also called. If it functions properly, program steps 42 to 50 are repeated. This also happens until the control unit is disconnected from the supply voltage.
  • the flowchart in FIG. 4 is intended to illustrate the emergency operation program C in the microcomputer 5.
  • the error lamp 21 is switched on as the first program step 57.
  • the following program step 58 sets a variable to the value 1.
  • the microcomputer 5 sends a special data word to the microcomputer 17. This signals the microcomputer 17 that the microcomputer 5 has recognized an error and has called emergency operation program C.
  • the microcomputer 17 then sends its control word back to the microcomputer 5.
  • the control word is generated by the microcomputer 5 recorded what happens in program step 60.
  • query 61 a comparison is then made between the control word sent on the microcomputer 17 and the control word received by the microcomputer 17.
  • the microcomputer 5 interprets this result in such a way that there is an error in one of the microcomputers 5, 17 and carries out the emergency shutdown by executing the emergency operation program A.
  • This check checks whether both computers are processing the same emergency running programs.
  • Program step 62 is used for the regular calculation of the actuating values for the actuators. This is done according to the same computing steps as in the main program of the microcomputer 5, but without using the information from the wheel speed sensor identified as being defective. This calculation is based on the read-in sensor values for the steering angle and the actual position value. The calculation result is multiplied by a time-dependent factor in program step 63. This factor was set to the value 1 in program step 58.
  • program step 62 It is recalculated in program step 62 as a function of the past time. By multiplying the calculated control values by a factor that changes over time from 1 to 0, the steering amplitudes on the rear axle slowly decay. With this replacement control, the driver can slowly get used to the changed driving behavior of his motor vehicle.
  • program step 64 the manipulated values which were calculated in the same way in the other microcomputer 17 are transmitted to the microcomputer 5 via data transmission via the bus connection 11.
  • the computing results of the two computers 5, 17 are compared with one another. If the results do not match, then there must be an error in one of the microcomputers 5, 17. The emergency shutdown is then initiated by calling the emergency operation program A.
  • both computers deliver the same results, then the error in the wheel speed sensor 26 and / or the signal chain from the wheel speed sensor 26 to the microcomputer 5 and the processing of the emergency running program C can be continued.
  • the manipulated values determined by both computers 5, 17 are then averaged in program step 51 and output to the actuators 7, 31.
  • the steering angle is read in as in the main program and in program step 44 the actual position value is adopted by microcomputer 17 as in the main program.
  • the range checks of the actual position value and the steering angle value then run as in the main program (queries 45 and 46).
  • program step 65 the actual position value is additionally checked for reaching the central position of the rear axle actuator 8. In the event that the middle position is reached, the control of the actuator is switched off by calling the emergency operation program A.
  • FIG. 5 shows the flow diagram for the emergency operation program C in the microcomputer 17.
  • the program steps 57 and 58 correspond to the same program steps in FIG. 4.
  • the microcomputer 17 sends its control word to the microcomputer 5.
  • program step 67 the microcomputer 17 reads it Control word from the microcomputer 5.
  • Query 61 checks both control words for the same as in program step 61 in FIG. 4.
  • control values are calculated as in the same program steps in FIG.
  • microcomputer 17 reads the control values calculated by microcomputer 5 as in program step 64 in FIG. 4.
  • the other program steps correspond to those of the structure diagram in FIG. 4, with the difference that program step 51 for outputting the control values is omitted.
  • the corresponding emergency running programs are called up in the microcomputer 17 instead of in the microcomputer 5.
  • the emergency running program B of the microcomputer 5 is described below.
  • the structural diagram in FIG. 6 is used for this purpose.
  • the emergency running program B represents a further emergency running program which enables the rear wheel steering to be smoothly switched off after fault detection.
  • the error lamp is switched on in program step 57.
  • program steps 59 and 60 the control words for this emergency running program are exchanged as in the same program steps of emergency running program C in FIG. 4 and compared in program step 61 with one another.
  • the essential difference from the emergency running program C is that the calculation of the manipulated values takes place without the information of the encoder signals.
  • the rear axle actuator 8 z. B. at the speed of 0.5 meters / sec. adjusted in the direction of the middle position.
  • the calculations required for this are carried out in program step 70.
  • program step 64 the manipulated values which were calculated by the microcomputer 17 are read in and compared in program step 50 as in the emergency running program C in FIG. After that, the output of the Control values in program step 51 and the reading of the actual position value from the microcomputer 17 in program step 44 and the checking of this value in query 45.
  • Query 65 is again used to identify the central position of the rear axle actuator 8. If the central position has not yet been reached, the program steps are carried out 59 to 65 repeated. When the middle position is reached, the control is switched off again by calling the emergency operation program A. As with the emergency running program C, the 4-wheel steering can only be activated again after the ignition has been switched off and on and the tests have been carried out successfully.
  • the structure diagram for the emergency running program B is processed in a corresponding manner in the microcomputer 17. It is shown in FIG. 7. Differences from the emergency running program B in FIG. 6 lie in the fact that the output of the manipulated values is omitted, that the control word is sent to the microcomputer 5 in the program step 66 and the control word is read by the microcomputer 5 in the program step 67, and that in the program step 68 the calculated values of the microcomputer 5 are read.
  • FIG. 8 shows the structure diagram for the emergency running program A. This structure diagram is valid for both computers.
  • the 3 program steps 71, 72 and 73 are processed in this emergency running program.
  • Program step 71 is used to switch on the error lamp 21.
  • program step 72 the holding brake 9 is released by the respective microcomputer
  • a second exemplary embodiment of a main program for processing in the microcomputers 5, 17 is described below.
  • the structure of the control device for the second embodiment largely corresponds to that of the first embodiment.
  • some sensors e.g. the encoder 13 for the actual position value of the actuator 8, the encoder 1 for the steering angle, are present twice, one of the two encoders being connected to the microcomputer 5 and the other of the two encoders to the microcomputer 17. All sensors connected to the microcomputer 5 form a first group of sensors, all sensors connected to the microcomputer 17 form a second group of sensors.
  • the consistency check results in a decision as to whether the main program can be processed further and, if not, which of three different emergency running programs is to be processed.
  • the results of the consistency check are exchanged in program step 85 between the two microcomputers 5, 17.
  • query 86 there is a query as to whether both computers have reached the same test results. If this is not the case, emergency operation program A is processed as described in the first exemplary embodiment. If the test results of both microcomputers 5, 17 matched, three queries 87, 88 and 89 follow.
  • query 87 the test results are analyzed to determine whether it is necessary to run emergency program A. If so, the program branches to emergency running program A.
  • query 88 the test results are analyzed as to whether the execution of the emergency running program B is necessary.
  • emergency running program B is processed.
  • test results are finally analyzed to determine whether the emergency program C has to be processed. If this is the case, emergency running program C is then processed. If the consistency check of the measured values of both microcomputers showed that it is not necessary to process an emergency operation program, the main program is continued. Then, in program step 90, the manipulated values are calculated using the detected encoder signals. In program step 91, the calculated manipulated values are exchanged between the two microcomputers 5, 17. This results in a synchronization of both microcomputers again. A comparison of the exchanged control values then takes place in query 92. If the control values do not match, it is assumed that there is a serious error and the microcomputer 5 branches to the emergency running program A.
  • control step 93 If the control values match, the position control takes place in program step 93.
  • the microcomputer 5 generates control signals for the actuators 7, 31 of the actuator 8 in accordance with the calculated control values.
  • a control cycle is properly executed with the position control.
  • the next control cycle is then started with the sensor signal acquisition in program step 82.
  • FIG. 10 shows the structure diagram of the structure diagram corresponding to FIG. 9 for the main program for processing in the microcomputer 17. It corresponds essentially to the structure diagram in FIG. 9.
  • One difference is that when the encoder signal is acquired in program step 94, the encoders connected to the microcomputer 17, i.e. Group 2 of the donors are recorded. The same program steps 83 to 92 as in the microcomputer 5 are then processed.
  • the program step 93 which includes the position control, is omitted for the main program of the microcomputer 17, since the microcomputer 17 is not designed for the regular control of the actuators 7, 31 of the actuator 8.
  • a signal basically changes in a finite time when an error occurs, so that before the permissible signal range is exceeded, a value can also be measured which, apart from a deviation, for example, from a redundant encoder signal, is initially only characterized by an excessively large gradient.
  • the permissible signal range (out of ranks) is exceeded.
  • the fault pattern of a sensor is composed of this
  • the first criterion is whether the determined measured value lies within the permissible measuring range for this encoder.
  • the second criterion is whether a sensor signal changes at a speed that is not possible in practice (not permitted). For this purpose, the current measured value of the encoder must be related to the previously determined measured value. Too large a change in an encoder signal indicates early that an error has occurred, even if the permissible measuring range for the encoder signal has not yet been exceeded.
  • Another criterion for the presence of an error is an excessive deviation between the measured values of two identical sensors, of which one is redundant. This criterion also indicates the presence of an error, even if the encoder signals are still within the permissible measuring range.
  • the suitable emergency measure is then selected and initiated on the basis of the error information. In this case, the information from the sensor identified as a defect is no longer used for the control of the actuator.
  • the length of time or the number of directly consecutive exceedances of plausibility until the emergency operation measure is triggered is to be chosen on the one hand so large that short-term faults are bridged, on the other hand emergency measures, particularly in the case of very dynamic systems, must be initiated as quickly as possible, ie the error reaction time is to be minimized.
  • different plausibility violations are evaluated as the same error in the present invention if they can be assigned to an identical error cause.
  • FIG. 11 shows the first two signal profiles x, x for the two transmitters.
  • the permissible measuring range for the position actual value transmitter is between 0.5 and 4.5 volts.
  • the highest permitted deviation between the two measured values is 0.2 volts.
  • 15 V / s is selected as the largest permitted change in the actual position value over time.
  • three successive error detections must have taken place. An error occurs at time t_.
  • F results in the following error pattern in the subsequent signal acquisitions at times t, t, t (see Table 1).
  • the microcomputers 5, 17 determine that the sensor has a defect, however sensor x can continue to be used.
  • the two microcomputers 5, 17 determine that encoder x has a defect and that encoder can continue to be used.
  • FIG. 14 shows a fourth example for the signal profiles of the actual position transmitters. Due to these signal profiles, the following error pattern is shown for the two microcomputers 5, 17 (see table 4):
  • this fault analysis is also suitable for sensors that have no direct redundancy.
  • the detected encoder signals from encoders that have equivalent information can also be monitored for permissible gradients or exceeding of the range. In this case too, a decision can be made as to which signal path is to be classified as definitely defective.
  • the microcomputers 5, 17 also carry out an assessment of the importance of the sensor identified as a defect during the consistency check.
  • the following sensors are used to control rear wheel steering:
  • an encoder for the vehicle speed (this includes, for example, encoders that detect the rotation of a speedometer shaft, but wheel speed sensors can also be used for the same purpose as are used, for example, in an ABS control unit; the speedometer shaft sensor then serves as a redundant one Encoder either for the wheel speed of a wheel or for the mean value of the two wheel speeds of the two wheel speed sensors),
  • the actuator position is always required when the actuator is to be moved in a controlled manner. If a defect occurs in this sensor, it is no longer possible to regulate the actuator movement, so only replacement function A can be considered.
  • the steering angle sensor takes into account the dynamic steering state of the vehicle. Without clear knowledge of which individual signal is still working correctly, it is therefore not possible to steer the rear wheels synchronously with the front axle. If the position actual value transmitter does not fail at the same time, substitute function B can be carried out. Driving speed, loading state and forward / backward movement change dynamically only slowly. Values measured and stored directly before the error occurs remain valid for a relatively long time and do not hinder the synchronous steering of the rear axle.
  • the loading state of the vehicle and the change between driving forward and backward only change when the vehicle is at a standstill, the driving speed changes with a maximum acceleration of lg, an incorrectly assumed too high speed for the vehicle not impairing vehicle safety.
  • table 5 shows which emergency operation program is processed by the respective microcomputer if a single signal from the listed sensors is still considered usable / not usable.
  • the described method for error handling in electronic control units can be modified in many ways. So it is not absolutely necessary to provide two or more microcomputers for the control unit. With lower security requirements, it is entirely possible to provide only a microcomputer.

Abstract

Es wird ein Verfahren vorgeschlagen, das zur Fehlerbehandlung in elektronischen Steuergeräten dient. Außerdem wird eine Vorrichtung zur Steuerung des Lenkwinkels der Hinterräder eines Kraftfahrzeuges vorgeschlagen. Das Steuergerät steuert ein Stellglied, an das eine Sicherheitsvorrichtung angebracht ist. In der Hauptfunktion des Steuergerätes werden Gebersignale erfaßt, Stellwerte berechnet, und das Stellglied entsprechend der berechneten Werte gesteuert. Die berechneten Stellwerte und die erfaßten Gebersignale werden auf Konsistenz überprüft. Durch die Überprüfung der Werte wird eine Entscheidung herbeigeführt, ob die Hauptfunktion weiter abgearbeitet wird oder eines von zwei Notlaufmaßnahmen ergriffen wird. In der ersten Notlaufmaßnahme wird die Sicherungsvorrichtung aktiviert und die Steuerung des Stellgliedes abgeschaltet. In der zweiten Notlaufmaßnahme werden weiterhin die Signale von Gebern erfaßt und daraus Stellwerte berechnet. Die berechneten Stellwerte werden vor der Einstellung des Stellgliedes mit einem zeitlich kleiner werdenden Faktor multipliziert um ein langsames Abklingen der Stellamplitude des Stellgliedes zu erzielen.

Description

- 2
Steuerung des Stellgliedes weich abgeschaltet werden, ohne daß es zu einer drastischen Änderung im Steuerverhalten käme. Insbesondere bei der Steuerung einer Hinterradlenkung eines Kraftfahrzeuges ist das weiche Abschalten der Hinterradlenkung in einer Notfallsituation sicherer, da sich in diesem Fall das Fahrverhalten des Fahrzeuges nicht abrupt ändert.
Durch die in den Unteransprüchen aufgeführten Maßnahmen sind vor¬ teilhafte Weiterbildungen und Verbesserungen des im Hauptanspruch angegebenen Verfahrens möglich. Besonders vorteilhaft ist, zur Kon¬ sistenzprüfung der erfaßten Gebersignale die erfaßten Gebersignale mit vorgegebenen Werten auf Überschreitung eines zulässigen Signal- bejreiches zu prüfen und/oder die erfaßten Gebersignale mit den er¬ faßten Gebersignalen der dazu vorhandenen redundanten Geber zu ver¬ gleichen. Dadurch kann in vielen Fällen eindeutig entschieden wer¬ den, welcher Geber einen Defekt aufweist und es kann dann die geeig¬ nete Notfallmaßnahme durchgeführt werden.
Weiterhin vorteilhaft ist es, zur Konsistenzprüfung der erfaßten Ge¬ bersignale die Änderungsraten der erfaßten Gebersignale in Abhängig¬ keit von vorgegebenen Größen mit vorgegebenen Werten zu vergleichen. Durch diese Maßnahme ist es möglich, einen Fehler schon frühzeitig zu erkennen, so daß daraufhin die geeignete Notfallmaßnahme früher durchgeführt werden kann.
Ebenfalls vorteilhaft ist es, zur Konsistenzprüfung der erfaßten Ge¬ bersignale die erfaßten Gebersignale mit Werten zu vergleichen, die von erfaßten Gebersignalen der mit gleichwertiger Information behaf¬ teten Geber abgeleitet sind. Es wird dadurch möglich, einen Fehler für einen Geber sicherer zu erkennen, obwohl kein redundanter Geber für diesen Geber vorgesehen ist. - 1 -
Verfahren und Vorrichtung zur Fehlerbehandlung- in elektronischen Steuergeräten
Stand der Technik
Die Erfindung geht aus von einem Verfahren und einer Vorrichtung zur Fehlerbehandlung in elektronischen Steuergeräten nach der Gattung des Hauptanspruchs. Es ist schon ein Verfahren und eine Vorrichtung zur Fehlerbehandlung in einem elektronischen Steuergerät aus der DE 38 25 280 AI bekannt. Das Steuergerät ist beispielhaft zur Steue¬ rung einer Hinterachs-Lenkung bei einem Kraftfahrzeug vorgesehen. Dabei sind zwei Notlaufmaßnahmen für den Fall des Auftretens eines Fehlers vorgesehen. Bei einem relativ schweren Fehler besteht die eine Notlaufmaßnahme darin, die Hinterräder in der Stellung zu hal¬ ten, die zuletzt, d.h. unmittelbar vor Auftreten des Fehlers, einge¬ stellt war. Bei einem relativ leichten Fehler besteht die Notfall- maßπahme darin, die ausgelenkten Hinterräder gezielt und mit endli¬ cher Geschwindigkeit in die Nullage zurückzuführen.
Vorteile der Erfindung
Das erfindungsgemäße Verfahren mit den kennzeichnenden Merkmalen des Hauptanspruchs hat demgegenüber den Vorteil, daß für den Fall eines relativ leichten Fehlers ein Notfallprogramm gestartet wird, indem weiterhin Stellwerte für das Stellglied, wie im Hauptprogramm, be¬ rechnet werden. Diese Stellwerte werden mit einem mit Beginn der Ab¬ arbeitung des Notlaufprogramms zeitlich kleiner werdenden Faktor multipliziert, so daß sich ein langsames Abklingen der Stellamplitu¬ de des Stellgliedes ergibt. Es erfolgt ein gleitender Übergang von einem Auslenkungszustand des Stellgliedes hin zur Neutralposition des Stellgliedes. Damit kann bei einem relativ leichten Fehler die Weiterhin vorteilhaft ist es, bei der Konsistenzprüfung die Anzahl der erkannten Fehler mit vorgegebenen Werten zu vergleichen, wobei unterschiedliche Fehler dann mitgezählt werden, wenn sie einer iden¬ tischen Fehlerursache zuzuordnen sind und eines der Notlaufprogramme erst dann abzuarbeiten, wenn die Anzahl der erkannten Fehler den vorgegebenen Wert erreicht hat. Die Abarbeitung eines Notlaufpro¬ gramms erst nach wiederholter Fehlererkennung ermöglicht es, eine überflüssige Abarbeitung eines Notlaufprogramms aufgrund einer kurz¬ fristigen Störung, wie z.B. einer EMV-Störung, zu verhindern. Das Mitzählen von unterschiedlichen Fehlern, die aber einer identischen Fehlerursache zuzordnen sind, ermöglicht die frühere Einleitung der Notf llmaßnahme im Vergleich zu einer Wertung der Fehler als ver¬ schiedene, unabhängige Fehler.
Die Aktivierung der Sicherheitsvorrichtung in dem zweiten Notlauf¬ programm und die Unterbrechung der Ansteuerung des Aktuators nach einer vorgegebenen Zeit ist ebenfalls vorteilhaft, weil danach ein sicherer Zustand für das Steuersystem erreicht ist und der Mikro¬ rechner z.B. weitere Test- und Diagnoseprogramme ausführen kann. Nachdem dann das Steuergerät wieder als fehlerfrei erkannt wurde, ist es dann ebenfalls möglich, ein weiches Einschalten der Hinter¬ radlenkung vorzunehmen. Dies kann durch eine langsame Vergrößerung der berechneten Lenkungsamplituden bis zur Größe wie im Hauptpro¬ gramm geschehen.
Für die Vorrichtung zur Steuerung des Lenkwinkels der Hinterräder eines Kraftf hrzeuges ist es ebenfalls vorteilhaft, ein Notfallpro¬ gramm vorzusehen, in dem die Stellwerte wie im Hauptprogramm berech¬ net werden. Diese Stellwerte werden ebenfalls mit einem zeitlich kleiner werdenden Faktor multipliziert, so daß sich ein langsames Abklingen der Stellamplitude des Stellgliedes ergibt. Weiterhin vorteilhaft ist es, daß das erste Notlauf rogra m, in dem eine harte Abschaltung der Steuerung des Stellgliedes erfolgt, immer dann abgearbeitet wird, wenn bei der Konsistenzprüfung erkannt wird, daß keiner der Geber für den Lageistwert des Stellgliedes fehlerfrei arbeitet und/oder die von den Mikrorechnern berechneten Werte über ein vorgegebenes Maß hinaus abweichen. Das sofortige Abschalten der Steuerung ist in diesem Fall deswegen vorteilhaft, weil für ein ge¬ regeltes Verstellen des Stellgliedes die Stellerposition unbedingt benötigt wird.
Wird bei der Konsistenzprüfung erkannt, daß keiner der Geber für den Lenkwinkel fehlerfrei arbeitet, so ist es vorteilhaft, das dritte Notlaufprogramm abzuarbeiten. In diesem Fall besitzt das Steuersy¬ stem noch die Kontrolle über den Lageistwert, so daß die Einstellung des Stellgliedes noch in die Neutralposition zurückgefahren werden kann, um ein gutmütigeres Fahrverhalten zu erreichen.
Weiterhin ist es vorteilhaft, für die Vorrichtung zur Steuerung der Hinterradlenkung für die beiden Mikrorechner zwei Mikrorechner mit unterschiedlicher Halbleiterstruktur und/oder weiteren Unterschieden zu verwenden. Dadurch wird die Wahrscheinlichkeit des gleichzeitigen Auftretens eines unerkannten Fehlers in beiden Mikrorechnern ver¬ ringert.
Ebenfalls ist es vorteilhaft, unterschiedliche Programme in den bei¬ den Mikrorechnern zu installieren, um das gleichzeitige Auftreten eines unerkannten Fehlers in beiden Mikrorechnern weitgehend zu ver¬ hindern. Zeichnung
Zwei Ausführungsbeispiele der Erfindung sind in der Zeichnung darge¬ stellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigen Figur 1 eine schematische Darstellung eines Steuergerätes zur Steuerung einer Hinterradlenkung, Figur 2 ein erstes Ausführungsbei¬ spiel einer einfachen Programmstruktur eines Hauptprogrammes zur Ab¬ arbeitung in dem ersten Mikrorechner, Figur 3 eine Programmstruktur eines Hauptprogramms zur Abarbeitung in dem zweiten Mikrorechner, Figur 4 eine Programmstruktur eines ersten Notlaufprogramms zur Ab¬ arbeitung im ersten Mikrorechner, Figur 5 eine Programmstruktur ei¬ nes ersten Notlaufprogramms zur Abarbeitung im zweiten Mikrorechner, Figur 6 eine Programmstruktur eines zweitenNotlaufprogra ms zur Ab¬ arbeitung im ersten Mikrorechner, Figur 7 eine Programmstruktur ei¬ nes zweiten Notlaufprogramms zur Abarbeitung im zweiten Mikrorech¬ ner, Figur 8 eine Programmstruktur eines dritten Notlaufprogra ms zur Abarbeitung in beiden Mikrorechnern, mit dem eine Abschaltung der Steuerung des Hinterachsstellers erreicht wird, Figur 9 ein zweites Ausführungsbeispiel für ein Struktogramm eines Hauptprogram¬ mes zur Abarbeitung in dem ersten Mikrorechner, Figur 10 ein zweites Ausführungsbeispiel für ein Struktogramm eines Hauptprogrammes zur Abarbeitung in dem zweiten Mikrorechner, Figur 11 die Signalverläufe zweier Geber für den Lageistwert eines Stellgliedes bei einem ersten aufgetretenen Fehler, Figur 12 die Signalverläufe zweier Geber für den Lageistwert eines Stellgliedes bei einem zweiten aufgetretenen Fehler, Figur 13 die Signalverläufe zweier Geber für den Lageistwert eines Stellgliedes bei einem dritten aufgetretenen Fehler und Figur 14 die Signalverläufe zweier Geber für den Lageistwert eines Stell¬ gliedes bei einem vierten aufgetretenen Fehler.
Beschreibung der Erfindung
Figur 1 zeigt eine Ausführungsform eines Steuergerätes 25 zur Steuerung einer Hinterradlenkung. Darin ist ein Mikrorechner 5 gezeigt, der wichtige Elemente eines Mikrocomputers, wie RAM- und EOM-Speicher einen zentralen Mikroprozessor, Ein-/Ausgabe-Bausteine, sowie eine Schnittstelle 10 enthält. In dem ROM-Speicher sind ein Hauptprogramm und die Notlaufprogramme enthalten. Von der Schnitt¬ stelle 10 geht eine Busverbindung 11 zu der Schnittstelle 12 eines zweiten Mikrorechners 17. Statt der Verbindung der beiden Mikrorech¬ ner über Schnittstellen 10, 12 können auch bestimmte Ports der Mikrorechner 5, 17, serielle Schnittstellen oder ein Dual Port-RAM zur Verbindung der beiden Mikrorechner 5, 17 eingesetzt werden. Die¬ ser enthält ebenfalls unter anderem einen RAM- und ROM-Speicher, ei¬ nen zentralen Mikroprozessor und Ein-/Ausgabe-Bausteine. In dessen ROM-Speicher sind ein weiteres Haupt- und weitere Notlaufprogramme abgespeichert. Über die Busverbindung 11 können die beiden Mikro¬ rechner 5, 17 Daten austauschen. Statt in beiden Mikrorechnern 5, 17 einzelne RAM-Speicher-Bausteine vorzusehen, ist es auch möglich ei¬ nen DP-RAM-Baustein zu verwenden, auf den beide Mikrorechner 5, 17 zugreifen können. Die Signale eines LenkwinkelSensors 1 werden nach Filterung mit Hilfe eines Filters 2 und Begrenzung durch einen Be¬ grenzer 3 und A/D-Wandlung mit Hilfe des A/D-Wandlers 4 dem Mikro¬ rechner 5 zugeführt. Das Signal eines Raddrehzahlgebers 26 wird ebenfalls über verschiedene Signalverarbeitungsstufen wie einen Fil¬ ter 27 und einen Begrenzer 28 dem Mikrorechner 5 zugeführt. Das Signal eines Wegaufnehmers 13 für die Position eines Hinterachsstel¬ lers 8 wird nach Verarbeitung durch einen Filter 17, einen Begrenzer 15 und ein A/D-Wandler 16 dem Mikrorechner 17 zugeführt.
Weitere Geber mit den zugehörigen Signalketten können den beiden Mikrorechnern 5, 17 zugeführt sein. Für die Hinterradlenkung ge¬ eignete Sensoren sind z. B. Beschleunigungssensoren, weitere Rad¬ drehzahlsensoren, Geschwindigkeitssensoren, Temperatur- und Drucksensoren für das Hydrauliksystem und Sensoren zur Lenkwinkel¬ feineinstellung. Zudem können einige der sicherheitsrelevanten Sen¬ soren, z. B. der Lenkwinkelsensor 1 und der Wegaufnehmer 13 für die Position des Hinterachsstellgliedes 8, sowie der Geschwindigkeits¬ sensor 26 doppelt vorhanden sein. Außerdem ist es möglich, wenn die einzelnen Steuergeräte des Kfz 's durch ein Bussystem wie z. B. den CAN-Bus miteinander verknüpft sind, daß die diesen Steuergeräten zu¬ geführten Sensorsignale auch dem Steuergerät 25 über eine CAN-Bus- leitung mitgeteilt werden.
Zur Verstellung des Hinterachsstellers 8 sind zwei als Proportional¬ ventile ausgeführte Aktuatoren 7 und 31 vorgesehen. Diesen werden die berechneten Stellwerte über Ausgabebausteine im Mikrorechner 5 und nach Verstärkung durch die Endstufen 6, 30 zugeführt. Zur Arre¬ tierung des Hinterachsstellers 8 ist eine Haltebremse 9 vorgesehen, die über eine erste Verbindungsleitung 19 von dem Mikrorechner 5 und über eine zweite Verbindungsleitung 24 von dem Mikrorechner 17 akti¬ viert werden kann. Aus Sicherheitsgründen können im Hydrauliksystem auch Abschaltventile, sowie Testventile angebracht sein, die mit den Mikrorechnern 5, 17 verbunden werden, und über Abschaltung des Sy¬ stemsdrucks die Haltebremse aktivieren. An den Mikrorechner 5 ist eine Fehlerlampe 21 über die Verbindungsleitung 20 und am Mikrorech¬ ner 17 über die Verbindungsleitung 23 angeschlossen. Zwei steuerbare Relais 18, 32 sind mit Hilfe der Verbindungsleitung 22 und 29 mit den Mikrorechnern 5, 17 verbunden. Damit können die Endstufen 6, 32 von der VersorgungsSpannung getrennt werden.
Die Wirkungsweise der Anordnung in Figur 1 zur Steuerung einer Hinterradlenkung wird nachfolgend anhand der Figuren 2 - 8 erklärt. Das Beispiel der Hinterradlenkung bezieht sich auf die 4-Rad-Lenkung bei einem PKW, Dabei werden die Vorderräder wie bei einer üblichen 2-Rad-Lenkung mit Hilfe einer mechanischen Anordnung verstellt. Die Einstellung der Hinterachse muß dann, je nach Fahrgeschwindigkeit und Fahrsituation, an den eingeschlagenen Lenkwinkel des Lenkrades angepaßt werden. So ist es z. B. zum Einparken sinnvoll, die Vor¬ der- und Hinterräder parallel zu verstellen, während es zur Erlan¬ gung kleiner Wendekreise sinnvoll ist, die Vorderräder und Hinterrä¬ der in unterschiedliche Lenkwinkelrichtungen zu drehen. Bei Fahrten mit hoher Fahrgeschwindkeit, sowie bei Rückwärtsfahrten sind eben¬ falls unterschiedliche Einstellungen der Hinterachse in Abhängigkeit von den Lenkwinkeleinschlägen vorzunehmen. Je nach Fahrsituation sollten daher unterschiedliche Berechnungsgrundlagen zur Steuerung der Hinterradlenkung zur Anwendung kommen.
Das in Figur 2 dargestellte Flußdiagramm soll den Ablauf des Haupt¬ programms im Mikrorechner 5 verdeutlichen. Nach dem Power-on-reset 40 beginnt der Mikrorechner 5 mit der Abarbeitung seines Hauptpro¬ gramms. Darin wird als erstes im Programmschritt 41 eine Initiali¬ sierung durchgeführt.
Diese beinhaltet auch die Tests bestimmter im Mikrorechner 5 enthal¬ tener oder an den Mikrorechner 5 angeschlossener Funktionsteile, wie ROM, RAM, EEPROM, Watchdog und der angeschlossenen Ventile, der Stellglieder und der Haltebremse. Danach wird der Lenkwinkel LW von dem Lenkwinkelgeber 1 sowie der Raddrehzahl-Wert U von dem an¬ geschlossenen Raddrehzahlsensor 26 in den Programmschritten 42 und 43 eingelesen. Im Programmschritt 44 liest der Mikrorechner 5 den Lageistwert LG des Hinterachsstellers 8 vom Wegaufnehmer 13. Dazu ist ein Datenaustausch zwischen den beiden Mikrorechnern 5, 17 erforderlich. Für den Fall, daß der Mikrorechner 17 diesen Wert zu diesem Zeitpunkt noch nicht ermittelt hat, muß der Mikrorechner 5 erst einige Wartezyklen einlegen und danach den Lageistwert vom Mikrorechner 17 erneut anfordern. Auf diese Weise wird eine Synchro¬ nisation der beiden Mikrorechner 5, 17 erreicht. In den nachfolgen¬ den Abfragen werden die eingelesenen Geberwerte überprüft. Nachdem der Rechner einen Fehler in einem der Geberwerte erkannt hat, ist die Fehlerursache noch nicht geklärt. Es können verschiede¬ ne Ursachen zu dem Fehler geführt haben. Zum einen kann der Fehler im Geber selbst liegen. Zum anderen ist es möglich, daß der Fehler in der Signalkette vom Geber bis zu einem der Mikrorechner aufgetre¬ ten ist. Hierunter fallen auch Fehler, durch EMV-Störungen. Eine dritte Möglichkeit ist, daß der Fehler in einem der beiden Mikro¬ rechner 5, 17 begründet liegt. Für den Fall daß der Fehler in einem der Mikrorechner 5, 17 begründet liegt, ist ein sicherer Betrieb der 4-Rad-Lenkung nicht mehr gewährleistet und die Steuerung der Hinter¬ achse muß augenblicklich unterbrochen werden. Liegt der Fehler im Geber und/oder in der Signalkette vom Geber zu einem der Mikrorech¬ ner 5, 17 begründet, so lassen sich je nach Geber eine Ersatzsteue- rung und/oder Ersatzfunktionen durchführen, bei denen dieser Geber¬ wert nicht mehr zur Berechnung der Stellwerte herangezogen wird. Die Unterscheidung dieser beiden Fehlerursachen wird dadurch gelöst, daß nach Fehlererkennung z. B. bei der Prüfung eines Geberwertes in ein Notlaufprogramm B,C innerhalb des, den Fehler erkennenden, Mikro¬ rechners verzweigt wird und in diesem Notlauf rogramm B,C eine Prü¬ fung der Mikrorechner 5, 17 mit Hilfe eines Datenaustausches durch¬ geführt wird. Die Prüfung mittels Datenaustausch beinhaltet vorwie¬ gend einen Vergleich der durch beide Mikrorechner 5, 17 berechneten Stellwerte und/oder bestimmter Zwischenresultate. Es sind aber auch andere Möglichkeiten zur Überprüfung mittels Datenaustausch denkbar. So können z. B. auch bestimmte Registerinhalte der beiden Mikrorech¬ ner 5, 17 ausgetauscht und verglichen werden. Nachdem dadurch ein Fehler im Mikrorechner von den anderen Fehlerursachen unterschieden werden kann, kann entweder das geeignete Notlaufprogramm B,C weiter abgearbeitet werden, oder die Steuerung der Hinterachse unterbrochen werden. Da die Abschaltung der Steuerung der Hinterachse das Fahr¬ verhalten signifikant verändert, soll möglichst oft ein anderes "sichereres" Notlaufprogramm B,C durchgeführt werden. Dies ist durch das hier beschriebene Verfahren möglich. Hinzu kommt, daß in der Praxis die Fehlerursache eines defekten Mikrorechners nicht so häufig vorkommt wie die anderen Fehlerursachen, so daß nicht nach jeder Fehlererkennung eine Abschaltung der Steuerung der Hinterachse notwendig ist.
Als erstes wird der Lageistwert mit den vorgegebenen Bereichsgrenz¬ werten in der Abfrage 45 verglichen. Für den Fall, daß der Lageist¬ wert nicht im vorgegebenen Sollwertbereich liegt, verzweigt das Hauptprogramm zu dem Notlauf rogramm A im Mikrorechner 5. Nach Feh¬ lererkennung bei der Kontrolle des Lageistwertes kann ein sicherer Fahrbetrieb mit weiterer Hinterradlenkung nicht mehr gewährleistet werden, so daß in dem Notlauf rogramm A die Hinterradlenkung sofort abgeschaltet wird. Diese wird in der nachfolgenden Beschreibung der Figur 8 erklärt.
Mit der Abfrage 46 wird der eingelesene Lenkwinkelwert ebenfalls mit vorgebenen Bereichsgrenzwerten überprüft. Für den Fall, daß bei die¬ ser Abfrage 46 eine Bereichsüberschreitung festgestellt wird, ver¬ zweigt das Programm zu einem weiteren Notlaufprogramm B. Da hier ein Fehler beim Lenkwinkelwert festgestellt wurde, hat das System für den Fall, daß der Fehler beim Lenkwinkelgeber 1 und/oder in der Signalkette vom Lenkwinkelgeber 1 zum Mikrorechner 5 liegt noch die Kontrolle über den Lageistwert des Hinterachsstellers 8, Somit kann im Notlaufprogramm B der Hinterachssteller in diesem Fall noch kon¬ trolliert in die Mittellage verfahren werden. Das Fahrverhalten des Kraftfahrzeuges wird dadurch nicht so abrupt geändert. Das Notlauf- programm B wird in der Beschreibung der Figur 6 näher erläutert. Mit Abfrage 48 wird sodann überprüft, ob der eingelesene Raddreh¬ zahlwert in seinem vorgegebenen Sollwertbereich liegt. Ist dies nicht der Fall, wird zu einem weiteren Notlaufprogramm C verzweigt. Sollte der Fehler beim Raddrehzahlgeber 26 und/oder in der Signal¬ kette vom Raddrehzahlgeber 26 zum Mikrorechner 17 seine Ursache ha¬ ben, so verbleibt noch die Kontrolle über den Lageistwert des Hin¬ terachsstellers 8, sowie über den Lenkwinkeleinschlag des Lenkrades. Im Notlaufprogramm C können daher für eine kurze Zeit (in der sich die Fahrsituation nicht drastisch verändern kann) weiterhin Stell¬ werte für den Hinterachssteller 8 aus den eingelesenen Lenkwinkel¬ werten berechnet werden und an die Stellglieder 7, 31 ausgegeben werden. Zur Sicherheit läßt man die Stellwerte zur Einstellung des Hinterachsstellers 8 in diesem Notlaufprogramm weiterhin überprüfen und über einen bestimmten Zeitraum langsam abklingen, bis der Hin¬ terachssteller 8 die Mittellage erreicht. Das Fahrverhalten des Kraftfahrzeuges ändert sich dann weniger drastisch als bei den Not¬ laufprogrammen A und B.
Weitere Prüfungen zur Fehlererkennung sind möglich. So können z. B. die Gradienten der Geberwerte auch im Vergleich zu den Gradienten der anderen Geberwerte einer Überprüfung unterzogen werden. Für den Fall, daß redundante Geber vorhanden sind, können diese ebenfalls zur Überprüfung herangezogen werden. Weiterhin können die Informa¬ tionen bestimmter Geber mit den Informationen anderer Geber, die da¬ von abhängige Größen erfassen untereinander verglichen werden. Bei¬ spielsweise geben die Geber für die Raddrehzahl und das Signal einer Tachometerwelle beide Informationen über die Geschwindigkeit des Kraftfahrzeuges Auskunft. Als weitere Möglichkeit einen Fehler sicher zu erkennen, kann die Häufigkeit der bei den Vergleichen und Prüfungen ermittelten Fehler überwacht werden, um erst bei Über¬ schreitung bestimmter Häufigkeitsgrenzen in den Notlauf zu verzwei¬ gen. Bei der Überprüfung auf Erreichen der Mittellage ist es sinn¬ voll zuzulassen, daß der Hinterachssteller erst einige Male die Mittellage überfahren darf, ohne ihn in der Mittellage festzusetzen. Erst wenn der Hinterachssteller praktisch nicht mehr um die Mittel¬ lage herum pendelt, kann er dann in dieser Position festgesetzt wer¬ den. Dies ermöglich, daß auch bei kurvenreicher Strecke keine abrup¬ te Änderung der Fahreigenschaften eintritt. Wird bei den Abfragen 45 bis 48 kein Fehler erkannt, so werden im Schritt 49 die Stellwerte zur Einstellung der beiden Stellglieder 7 und 31 berechnet. Als Be- rechungsgrundlage werden die eingelesenen Geberwerte verwendet. Die Rechenfunktionen sind bei unterschiedlichen Fahrsituationen ver¬ schieden. Die berechneten Stellwerte werden in Abfrage 50 mit den berechneten Stellwerten des Mikrorechners 17 verglichen. Dazu ist wieder ein Datenaustausch zwischen den beiden Mikrorechnern 5, 17 erforderlich. Hier wird ebenfalls eine Synchronisation beider Mikro¬ rechner 5, 17 wie im Programmschritt 44 erreicht. Sind die Rechen¬ werte beider Mikrorechner 5, 17 unterschiedlich, so wird von einem Fehler in einem der Mikrorechner 5, 17 ausgegangen und Notlaufpro¬ gramm A abgearbeitet. Im anderen Fall werden die Mittelwerte der in beiden Mikrorechnern 5, 17 errechneten Werte gebildet und an die Stellglieder 7, 31 ausgegeben. Bei dem hier beschriebenen Steuerge¬ rät geschieht die Ausgabe der Stellwerte nur durch den Mikrorechner 5. Diese Ausführungsart ergibt sich aus der Forderung innerhalb des Sicherheitskonzepts, daß die Steuervorrichtung nur dann Stellwerte an die Aktuatoren abgibt, wenn beide Rechner 5, 17 ordnungsgemäß ar¬ beiten. Somit braucht nur einer der beiden Mikrorechner 5, 17 die Ausgabe vornehmen. Dies geschieht im Programmschritt 51. Damit ist das Programm einmal ordnungsgemäß abgearbeitet worden, die Programm¬ schritte 42 bis 51 werden dann in gleicher Weise wiederholt. Dies geschieht bis das Steuergerät 25 durch Abschaltung der Zündung von der VersorgungsSpannung getrenn ^wird.
Das in Figur 3 dargestellte Flußdiagramm soll den Ablauf des Haupt¬ programms im Mikrorechner 17 verdeutlichen. Es stimmt im wesentli¬ chen mit dem Struktogramm in Figur 2 überein. Der erste Programm¬ schritt nach dem Power-on-Reset 40 ist ebenfalls der Programmschritt 41 wie in Figur 2. Die dort beschriebenen Tests beziehen sich jetzt allerdings auf die an den Mikrorechner 17 angeschlossenen Funktions¬ teile. Der Aktivtest der beiden Stellglieder 7, 31 fällt hier jedoch weg, da die Stellglieder nur an den Mikrorechner 5 angeschlossen sind. Sodann wird der Lageistwert vom Wegaufnehmer 13 eingelesen. Dies geschieht im Programmschritt 44. Die Werte für den Lenkwinkel und die Raddrehzahl wurden in den Programmschritten 42 und 43 von dem Mikrorechner 5 übernommen. Für den dazu erforderlichen Datenaus¬ tausch gilt das entsprechende wie im Programmschritt 44 der Figur 2. Die Prüfung der eingelesenen Werte geschieht genau wie im Strukto¬ gramm der Figur 2 durch die Abfragen 45 bis 48. Es ist jedoch zu be¬ achten, daß die Notlaufprogramme B und C im Mikrorechner 17 enthal¬ ten sind. Das Notlaufprogramm A stimmt mit dem Notlaufprogramm A in Figur 2 überein, ist aber auch im Mikrorechner 17 enthalten. Nach den Abfragen erfolgt hier ebenfalls die Berechnung der Stellwerte wie im Programmschritt 49 der Figur 2. Die Prüfung der durch beide Mikrorechner 5, 17 ermittelten Stellwerte geschieht hier ebenfalls nach dem Datenaustausch der Rechenergebnisse wie im Programmschritt 50 der Figur 2. Stimmen die Rechenergebnisse nicht überein, wird ebenfalls das Notlaufprogramm A aufgerufen. Bei ordnungsgemäßer Funktionsweise werden die Programmschritte 42 bis 50 wiederholt. Dies geschieht ebenfalls bis das Steuergerät von der Versorgungs¬ spannung getrennt wird.
Das Flußdiagramm in Figur 4 soll das Notlaufprogramm C im Mikrorech¬ ner 5 verdeutlichen. Als erster Programmschritt 57 wird die Fehler¬ lampe 21 eingeschaltet. Mit dem folgenden Programmschritt 58 wird eine Variable auf den Wert 1 gesetzt. Im folgenden Programmschritt 59 sendet der Mikrorechner 5 ein spezielles Datenwort an den Mikro¬ rechner 17. Dieses signalisiert dem Mikrorechner 17, daß der Mikro¬ rechner 5 einen Fehler erkannt hat und Notlaufprogramm C aufgerufen hat. Der Mikrorechner 17 sendet daraufhin sein Kontrollwort an den Mikrorechner 5 zurück. Das Kontrollwort wird von dem Mikrorechner 5 aufgenommen, was im Programmschritt 60 geschieht. In der Abfrage 61 findet dann ein Vergleich zwischen den an dem Mikrorechner 17 gesen¬ deten und dem von dem Mikrorechner 17 empfangenen Kontrollwort statt. Stimmen die Kontrollworte nicht überein, so interpretiert der Mikrorechner 5 dieses Ergebnis dahingehend, daß ein Fehler in einem der Mikrorechner 5, 17 vorliegt und führt die Notabschaltung, durch Abarbeitung des Notlaufprogramms A, durch. Durch diese Kontrolle wird überprüft, ob beide Rechner die gleichen Notlaufprogramme abar¬ beiten. Der Programmschritt 62 dient zur regulären Berechnung der Stellwerte für die Aktuatoren. Dies geschieht nach den gleichen Rechenschritten, wie im Hauptprogramm des Mikrorechner 5, allerdings ohne die Informationen des als fehlerhaft erkannten Raddrehzahlge¬ bers zu verwenden. Basis dieser Berechnung sind die eingelesenen Ge¬ berwerte für den Lenkwinkel und den Lageistwert. Das Rechenergebnis wird im Programmschritt 63 mit einem zeitabhängigen Faktor multipli¬ ziert. Dieser Faktor wurde im Programmschritt 58 auf den Wert 1 ge¬ setzt. Er wird im Programmschritt 62 in Abhängigkeit von der inzwi¬ schen vergangenen Zeit neu berechnet. Durch Multiplikation der be¬ rechneten Stellwerte mit einem Faktor, der sich mit der Zeit von 1 auf 0 verändert, erreicht man ein langsames Abklingen der Lenkampli¬ tuden an der Hinterachse. Der Kraftfahrer kann sich durch diese Er¬ satzsteuerung an das veränderte Fahrverhalten seines Kraftfahrzeuges langsam gewöhnen. Im Programmschritt 64 werden die Stellwerte, die in dem anderen Mikrorechner 17 auf die gleiche Art berechnet wurden, durch Datenübertragung über die Busverbindung 11 an den Mikrorechner 5 übermittelt. In der nachfolgenden Abfrage 50 werden die Rechener¬ gebnisse beider Rechner 5, 17 miteinander verglichen. Stimmen die Ergebnisse nicht überein, so muß ein Fehler in einem der Mikrorech¬ ner 5, 17 vorliegen. Daraufhin wird die Notabschaltung durch Aufruf des Notlaufprogramms A eingeleitet. Liefern beide Rechner die glei¬ chen Ergebnisse, so muß der Fehler bei dem Raddrehzahlgeber 26 und/oder der Signalkette von dem Raddrehzahlgeber 26 zum Mikrorech¬ ner 5 liegen und es kann mit der Abarbeitung des Notlaufprogramms C fortgefahren werden. Die von beiden Rechnern 5, 17 ermittelten Stellwerte werden dann im Programmschritt 51 gemittelt und an die Stellglieder 7, 31 ausgegeben. Im Programmschritt 42 wird der Lenk¬ winkel wie im Hauptprogramm eingelesen und im Programmschritt 44 der Lageistwert wie im Hauptprogramm vom Mikrorechner 17 übernommen. Da¬ nach laufen die Bereichsüberprüfungen von Lageistwert und Lenkwin¬ kelwert wie im Hauptprogramm ab (Abfragen 45 und 46). Im Programm¬ schritt 65 wird der Lageistwert zusätzlich auf Erreichen der Mittel¬ lage des Hinterachsstellers 8 überprüft. Für den Fall, daß die Mit¬ tellage erreicht ist, wird die Steuerung des Stellgliedes durch Auf¬ ruf des Notlaufprogramms A abgeschaltet. Bei der Überprüfung auf Er¬ reichen der Mittellage ist es sinnvoll zuzulassen, daß der Hinter- achssteller erst einige Male die Mittellage überfahren darf ohne ihn in der Mittellage festzusetzen. Erst wenn der Hinterachssteller praktisch nicht mehr um die Mittellage herum pendelt kann er dann in dieser Position festgesetzt werden. Dies ermöglicht, daß auch bei kurvenreicher Strecke keine abrupte Änderung der Fahreigenschaften eintritt. Damit wird dann das Notlauf rogramm C auch beendet und das Fahrzeug wird von dort an nur durch die Vorderradlenkung gelenkt. Eine weitere Aktivierung der 4-Rad-Lenkung kann dann erst wieder nach Zündung Aus/Ein und erfolgreichen Tests erfolgen.
Ist die Mittellage noch nicht erreicht, werden die Programmschritte 59 bis 65 so lange wiederholt, bis die Mittellage erreicht ist. Bei der Abschaltung der Zündung werden die den Fehler charakterisieren¬ den Datenworte eventuell mit den zugehörigen Betriebsdaten in einem Speicherbereich abgelegt. Sie stehen dann für eine nachträgliche Diagnose mit Hilfe eines Diagnosegerätes in einer Werkstatt zur Ver¬ fügung. Figur 5 zeigt das Flußdiagramm für das Notlaufprogramm C im Mikro¬ rechner 17. Die Programmschritte 57 und 58 entsprechen den gleichen Programmschritten in Figur 4. Im Programmschritt 66 sendet der Mikrorechner 17 sein Kontrollwort an den Mikrorechner 5. Im Programmschritt 67 liest der Mikrorechner 17 das Kontrollwort vom Mikrorechner 5. Abfrage 61 überprüft beide Kontrollworte auf Gleich¬ heit wie im Programmschritt 61 in Figur 4. In den Programmschritten 62 und 63 wird die Berechnung der Stellwerte wie in den gleichen Programmschritten der Figur 4 vorgenommen. Im Programmschritt 68 liest der Mikrorechner 17 die von dem Mikrorechner 5 berechneten Stellwerte wie im Programmschritt 64 der Figur 4. Die weiteren Programmschritte entsprechen denen des Struktogramms von Figur 4, mit dem Unterschied, daß der Programmschritt 51 zur Ausgabe der Stellwerte entfällt. Außerdem werden die entsprechenden Notlaufpro¬ gramme im Mikrorechner 17 statt im Mikrorechner 5 aufgerufen.
Im folgenden wird das Notlaufprogramm B des Mikrorechners 5 be¬ schrieben. Dazu dient das Struktogramm in Figur 6. Das Notlaufpro¬ gramm B stellt ein weiteres Notlaufprogramm dar, das ein sanftes Ab¬ schalten der Hinterradlenkung nach Fehlererkennung ermöglicht. Im Programmschritt 57 wird die Fehlerlampe eingeschaltet. In den Pro¬ grammschritten 59 und 60 werden die Kontrollwörter für dieses Not¬ laufprogramm wie in den gleichen Programmschritten des Notlaufpro¬ gramms C in Figur 4 ausgetauscht und im Programmschritt 61 miteinan¬ der verglichen. Der wesentliche Unterschied zum Notlaufprogramm C ist, daß die Berechnung der Stellwerte ohne die Information der Ge¬ bersignale geschieht. Hier wird der Hinterachssteller 8 z. B. mit der Geschwindigkeit von 0,5 Meter/Sek. in Richtung auf die Mittella¬ ge verstellt. Die dafür erforderlichen Rechnungen werden in dem Pro¬ grammschritt 70 durchgeführt. In Programmschritt 64 werden die Stellwerte, die von dem Mikrorechner 17 berechnet wurden, eingelesen und im Programmschritt 50 wie beim Notlaufprogramm C in Figur 4 miteinander verglichen. Danach, erfolgt wieder die Ausgabe der Stellwerte im Programmschritt 51 und das Einlesen des Lageistwertes vom Mikrorechner 17 im Programmschritt 44 sowie die Überprüfung die¬ ses Wertes in Abfrage 45. Die Abfrage 65 dient wieder zur Erkennung der Mittellage des Hinterachsstellers 8. Ist die Mittellage noch nicht erreicht, so werden die Programmschritte 59 bis 65 wiederholt. Bei Erreichung der Mittellage wird wieder die Steuerung durch Aufruf des Notlaufprogramms A abgeschaltet. Wie beim Notlaufprogramm C kann dann eine weitere Aktivierung der 4-Rad-Lenkung erst wieder nach Zündung Aus/Ein und erfolgreichen Tests erfolgen.
In entsprechender Weise wird das Struktogramm für das Notlaufpro¬ gramm B im Mikrorechner 17 abgearbeitet. Es ist in Fig. 7 darge¬ stellt. Unterschiede zum Notlaufprogramm B in Figur 6 bestehen in der Tatsache, daß die Ausgabe der Stellwerte entfällt, daß im Pro¬ grammschritt 66 das Kontrollwort zum Mikrorechner 5 gesendet wird und das Kontrollwort vom Mikrorechner 5 im Programmschritt 67 gele¬ sen wird, und daß im Programmschritt 68 die berechneten Werte des Mikrorechners 5 gelesen werden.
Nach Durchführung der Notlaufprogramme B oder C sind auch andere Weiterbildungen des Verfahrens als Abschaltung der Hinterradlen¬ kungssteuerung möglich. So könnte z. B. nach Durchführung eines Not¬ laufprogramms die Hinterradlenkungssteuerung bei Unterschreitung ei¬ ner bestimmten Geschwindigkeit wieder hinzugeschaltet werden. Dies könnte z. B. in analoger Weise zum Notlaufprogramm C geschehen, d. h. , so, daß die Lenkungsamplituden über einen bestimmten Zeitraum langsam vergrößert werden bis die Lenkungsamplituden wieder wie im Hauptprogramm berechnet werden. Natürlich müssen dann in dieser Phase weiterhin Fehlerüberprüfungen stattfinden, die dann im Fehlerfall wieder eine Abschaltung bewirken. Figur 8 zeigt das Struktogramm für das Notlaufprogramm A. Dieses Struktogramm ist für beide Rechner gültig. Es werden in diesem Not¬ laufprogramm die 3 Programmschritte 71, 72 und 73 abgearbeitet. Pro¬ grammschritt 71 dient zur Einschaltung der Fehlerlampe 21. Im Pro¬ grammschritt 72 wird die Haltebremse 9 vom jeweiligen Mikrorechner
5, J.7 aktiviert. Danach werden im Programmschritt 73 die Endstufen
6, 30 mit Hilfe der steuerbaren Relais 18, 32 abgeschaltet. Die End¬ stufen können dann vom Hauptprogramm erst nach Zündung Aus/Ein und erfolgreichen Sicherheitstests eingeschaltet werden.
Im folgenden wird ein zweites Ausführungsbeispiel für ein Hauptpro¬ gramm zur Abarbeitung in den Mikrorechnern 5, 17 beschrieben. Der Aufbau des Steuergerätes für das zweite Ausführungsbeispiel stimmt mit demjenigen des ersten Ausführungsbeispiels weitgehend überein. Es ist dabei jedoch vorausgesetzt, daß einige Sensoren, wie z.B. der Geber 13 für den Lageistwert des Stellgliedes 8, der Geber 1 für den Lenkwinkel, doppelt vorhanden sind,, wobei jeweils einer der beiden Geber am Mikrorechner 5 und der andere der beiden Geber am Mikro¬ rechner 17 angeschlossen ist. Alle amMikrorechner 5 angeschlossenen Sensoren bilden eine erste Gruppe der Geber, alle am Mikrorechner 17 angeschlossenen Sensoren bilden eine zweite Gruppe der Geber.
Die Arbeitsweise des Mikrorechners 5 wird im folgenden anhand des Struktogramms von Figur 9 erläutert. Nach dem Programmstart 80 fin¬ det eine Initialisierungsphase des Steuergerätes wie im ersten Aus¬ führungsbeispiel statt. Anschließend werden im Programmschritt 82 die Gebersignale aller an den Mikrorechner 5 angeschlossenen Geber erfaßt. Die ermittelten Meßwerte werden im Programmschritt 83 an den Mikrorechner 17 gesendet. Danach übernimmt der Mikrorechner 5 die vom Mikrorechner 17 ermittelten Meßwerte. Es findet also in dem Programmschritt 83 ein Meßwerteaustausch zwischen den beiden Mikrorechnern 5 und 17 statt. Durch diesen Meßwerteaustausch wird gleichzeitig eine Synchronisation beider Mikrorechner erzielt. Im nachfolgenden Programmschritt 84 findet dann eine Überprüfung der ermittelten Meßwerte statt. Bei dieser Konsistenzüberprüfung werden verschiedene Prükriterien abgefragt. Genauere Einzelheiten zu den Prüfkriterien werden im Anschluß an die Beschreibung der Strukto- gramme für die Hauptprogramme näher erläutert.
Durch die Konsistenzüberprüfung wird eine Entscheidung herbeige¬ führt, ob das Hauptprogramm weiter abgearbeitet werden kann und falls nicht, welches von drei verschiedenen Notlaufprogrammen abge¬ arbeitet werden soll. Die Ergebnisse der Konsistenzüberprüfung wer¬ den im Programmschritt 85 zwischen den beiden Mikrorechnern 5, 17 ausgetauscht. Anschließend findet in Abfrage 86 die Abfrage statt, ob beide Rechner zu den gleichen Prüfergebnissen gelangt sind. Ist dies nicht der Fall, wird Notlaufprogramm A wie im ersten Ausfüh¬ rungsbeispiel beschrieben, abgearbeitet. Stimmten die Prüfergebnisse beider Mikrorechner 5, 17 überein, folgen drei Abfragen 87, 88 und 89. In Abfrage 87 werden die Prüfergebnisse daraufhin analysiert, ob die Abarbeitung des Notlaufprogramms A erforderlich ist. Falls ja, wird in Notlaufprogramm A verzweigt. In Abfrage 88 werden die Prü¬ fergebnisse daraufhin analysiert, ob die Abarbeitung des Notlauf¬ programms B erforderlich ist. Falls ja, wird Notlaufprogramm B abge¬ arbeitet. In Abfrage 89 werden die Prüfergebnisse schließlich dar¬ aufhin analysiert, ob die Abarbeitung des Notlaufprogramms C erfor¬ derlich ist. Wenn dieses der Fall ist, wird Notlaufprogramm C an¬ schließend abgearbeitet. Ergab die Konsistenzprüfung der Meßwerte beider Mikrorechner, daß eine Abarbeitung eines Notlaufprogramms nicht erforderlich ist, wird mit dem Hauptprogramm fortgefahren. Es folgt dann im Programmschritt 90 die Berechnung der Stellwerte unter Ausnutzung der erfaßten Gebersignale. Im Programmschritt 91 werden die berechneten Stellwerte zwischen den beiden Mikrorechnern 5, 17 ausgetauscht. Dadurch wird wieder eine Synchronisation beider Mikrorechner erzielt. In Abfrage 92 findet dann ein Vergleich der ausgetauschten Stellwerte statt. Stimmen die Stellwerte nicht überein, so wird davon ausgegangen, daß ein schwer¬ wiegender Fehler vorliegt und der Mikrorechner 5 verzweigt zum Not¬ laufprogramm A. Stimmen die Stellwerte überein, so findet im Pro¬ grammschritt 93 die Lageregelung statt. Dabei erzeugt der Mikrorech¬ ner 5 entsprechend den errechneten Stellwerten Steuersignale für die Aktuatoren 7, 31 des Stellgliedes 8. Mit der Lageregelung ist ein Regelzyklus ordnungsgemäß abgearbeitet. Der nächste Regelzyklus wird dann mit der Gebersignalerfassung im Programmschritt 82 begonnen.
In Figur 10 ist das Struktogramm des zu Figur 9 entsprechenden Struktogramms für das Hauptprogramm zur Abarbeitung im Mikrorechner 17 dargestellt. Es stimmt im wesentlichen mit dem Struktogramm in Figur 9 überein. Ein Unterschied besteht darin, daß bei der Geber¬ signalerfassung im Programmschritt 94 die an den Mikrorechner 17 an¬ geschlossenen Geber, d.h. die Gruppe 2 der Geber erfaßt werden. Da¬ nach werden die gleichen Programmschritte 83 bis 92, wie im Mikro¬ rechner 5 abgearbeitet. Der Programmschritt 93, der die Lageregelung beinhaltet, entfällt für das Hauptprogramm des Mikrorechners 17, da der Mikrorechner 17 nicht zur regulären Ansteuerung der Aktuatoren 7, 31 des Stellgliedes 8 ausgelegt ist.
Im folgenden wird genauer auf die Konsistenzprüfung der Meßwerte in den Programmschritten 84 beider Struktogramme der Figuren 9 und 10 eingegangen. Ein Signal verändert sich bei Eintreten eines Fehlers grundsätzlich in endlicher Zeit, so daß vor einer Überschreitung des zulässigen Signalbereiches auch ein Wert gemessen werden kann, der sich außer durch Abweichung z.B. von einem redundanten Gebersignal zunächst nur durch einen zu großen Gradienten auszeichnet. In der Regel (z.B. bei Drahtbruch, Kurzschluß) folgt darauf ein Überschreiten des zulässi¬ gen Signalbereichs ("out of ränge"). Das Fehlerbild eines Sensors setzt sich damit zusammen
- aus einem Endzustand der fehlerhaften Signale ausreichend lange nach Fehlereintritt und
- aus der seguentiellen Abfolge gleichartiger oder verschiedenartiger Plausibilitätsverletzungen direkt nach Fehler¬ eintritt.
Während der Konsistenzprüfung werden verschiedene Kriterien für das Vorliegen eines Fehlers abgefragt. Das erste Kriterium ist, ob der festgestellte Meßwert überhaupt im zulässigen Meßbereich für diesen Geber liegt. Das zweite Kriterium ist, ob sich ein Gebersignal mit einer in der Praxis nicht möglichen (nicht erlaubten) Geschwindig¬ keit verändert. Dazu muß der aktuelle Meßwert des Gebers mit dem zu¬ vor ermittelten Meßwert in Beziehung gesetzt werden. Eine zu große Änderung eines Gebersignales deutet dann schon frühzeitig auf das Vorliegen eines Fehlers hin, auch wenn der zulässige Meßbereich für das Gebersignal noch nicht überschritten ist.
Ein weiteres Kriterium für das Vorliegen eines Fehlers ist eine zu große Abweichung zwischen den Meßwerten zweier gleicher Sensoren, von denen also einer redundant ist. Auch dieses Kriterium deutet schon auf das Vorliegen eines Fehlers hin, auch wenn die Geber¬ signale noch im zulässigen Meßbereich liegen.
Durch Einbeziehung nicht nur der aktuellen Meßwerte, sondern eben¬ falls der vorhergehenden Meßwerte in die Fehleranalyse läßt sich in vielen Fällen schon eine genaue Fehlerinformation erhalten. Z.B. ist aus dem zeitlichen Ablauf: - Abweichung zwischen zwei gleichen. Geberwerten plus ein Gradient der Geberwerte zu groß
- Abweichung zwischen zwei gleichen Geberwerten plus ein Wert außerhalb des zulässigen Meßbereiches
- und Abweichung zwischen zwei gleichen Geberwerten plus ein Geberwert außerhalb des zulässigen Meßbereiches
zu schließen, daß das Signal mit dem zu großen Gradienten bzw. dem unzulässigen Signalwert verfälscht ist, das andere Signal aber noch korrekt und damit (zumindest kurzzeitig) weiterverwendbar ist. Aus¬ gehend von der Fehlerinformation wird dann die geeignete Notfallma߬ nahme ausgewählt und eingeleitet. Dabei wird dann die Information des als Defekt erkannten Gebers nicht mehr für die Steuerung des Stellgliedes ausgenutzt.
Um das Auslösen eines Notfallprogramms für sehr kurzzeitige Störun¬ gen (z.B. EMV) zu verhindern, werden mehrere zeitlich aufeinander¬ folgende Signalwerte ausgewertet. Daher wird die zeitliche Abfolge der Plausibilitätsverletzungen (nicht notwendigerweise identisch) zur Entscheidung herangezogen, welches der Notfallprogramme ausge¬ löst wird.
Die Zeitdauer bzw. die Anzahl der direkt aufeinanderfolgenden Plau- sibilitätsüberschreitungen bis zum Auslösen der Notlaufmaßnahme ist einerseits so groß zu wählen, daß kurzzeitige Störungen überbrückt werden, andererseits müssen Notmaßnahmen, insbesondere bei sehr dy¬ namischen Systemen, möglichst schnell eingeleitet werden, d.h. die Fehlerreaktionszeit ist zu minimieren. Dazu werden in der vorliegen¬ den Erfindung unterschiedliche Plausibilitätsüberschreitungen als gleicher Fehler gewertet, wenn sie einer identischen Fehlerursache zuzuordnen sind. Im folgenden werden einige mögliche Fälle von Signalverläufen zweier gleicher Geber für den Lageistwert des Stellgliedes 8 vorgestellt. Die Information für den Lageistwert ist in dem Lenksystem einfach redundant vorhanden. Die Erfassung der Geberwerte geschieht in jedem Mikrorechner 5, 17 zyklisch (z.B. jede Millisekunde).
In Figur 11 sind die beiden ersten Signalverläufe x , x für die beiden Geber dargestellt. Der zulässige Meßbereich für die Lageist¬ wertgeber liegt zwischen 0,5 und 4,5 Volt. Als höchste erlaubte Ab¬ weichung zwischen den beiden Meßwerten ist 0,2 Volt festgesetzt. Als größte erlaubte zeitliche Änderung eines Lageistwertes ist 15 V/s gewählt. Bevor eine Notlaufmaßnahme eingeleitet wird, müssen drei aufeinanderfolgende Fehlererkennungen stattgefunden haben. Zum Zeit¬ punkt t_ tritt ein Fehler auf. Für die Mikrorechner 5, 17 ergibt F sich bei den nachfolgenden Signalerfassungen zu den Zeitpunkten t , t , t folgendes Fehlerbild (siehe Tabelle 1).
kein Fehler kein Fehler kein Fehler
Gradient zu Meßbereich Meßbereich groß überschritten überschritten
Abweichung zu Abweichung zu Abweichung zu groß groß groß Aufgrund dieses Fehlerbildes ermitteln die Mikrorechner 5, 17, daß der Geber einen Defekt aufweist, hingegen kann Geber x weiter benutzt werden.
In Figur 12 tritt ebenfalls zum Zeitpunkt t ein Fehler auf. Für die Mikrorechner ergibt sich aus den Signalerfassungen zu den Zeitpunkten t , t , t folgendes Fehlerbild (siehe Tabelle 2):
kein Fehler kein Fehler kein Fehler
kein Fehler kein Fehler Meßbereich überschritten
Abweichung zu Abweichung zu Abweichung zu
(X1~X2) groß groß groß
Auch aufgrund dieses Fehlerbildes ermitteln die beiden Mikrorechner 5, 17, daß Geber x einen Defekt aufweist und Geber weiter benutzt werden kann.
Bei den Signalverläufen nach Figur 13 ergibt sich für die beiden Mikrorechner 5, 17 nach Signalerfassung folgendes Fehlerbild (siehe Tabelle 3):
kein Fehler kein Fehler kein Fehler
kein Fehler kein Fehler kein Fehler
(xrx 2 } Abweichung zu Abweichung zu Abweichung zu groß groß groß
Aufgrund dieses Fehlerbildes können die beiden Mikrorechner den Fehler nicht identifizieren. Sie leiten daher Notlaufprogramm A ein, um einen sicheren Zustand zu erreichen.
In Figur 14 ist ein viertes Beispiel für die Signalverläufe der Lageistwertgeber dargestellt. Aufgrund dieser Signalverläufe stellt sich folgendes Fehlerbild für die beiden Mikrorechner 5, 17 dar (siehe Tabelle 4):
kein Fehler kein Fehler kein Fehler
Gradient zu kein Fehler kein Fehler groß
(VX2) Abweichung zu Abweichung zu Abweichung zu groß groß groß Auch aufgrund dieses Fehlerbildes wird Signal x als Defekt er¬ kannt und Signal x kann weiterbenutzt werden.
Diese Fehleranalyse ist prinzipiell auch für Sensoren geeignet, die keine direkte Redundanz aufweisen. Auch die erfaßten Gebersignale von Gebern, die mit gleichwertiger Information behaftet sind, können auf zulässige Gradienten bzw. Bereichsüberschreitungen überwacht werden. Auch in diesem Fall kann also eine Entscheidung herbeige¬ führt werden, welcher Signalpfad als sicher defekt einzustufen ist. Zur Entscheidung welches Notlaufprogramm nach einer dreimaligen Feh¬ lererkennung abgearbeitet wird, nehmen die Mikrorechner 5, 17 bei der Konsistenzprüfung auch eine Bewertung der Wichtigkeit des als Defekt erkannten Sensors vor. Für die Steuerung einer Hinterradlen¬ kung werden folgende Sensoren verwendet:
- Zwei Lageistwertgeber, die die Position des Stellgiedes erfassen,
- zwei Lenkwinkelgeber, die den Drehwinkel des Lenkrades erfassen,
- ein Geber für die Fahrzeuggeschwindigkeit (hierunter fallen z.B. Geber, die die Drehung einer Tachowelle erfassen, es können aber auch für den .gleichen Zweck Raddrehzahlgeber eingesetzt sein, wie sie z.B. auch bei einem ABS-Steuergerät Verwendung finden; der Tachowellengeber dient dann als redundanter Geber entweder für die Raddrehzahl eines Rades oder für den Mittelwert der beiden Raddrehzahlen der beiden Raddrehzahlgeber),
- Geber für den Beidungszustand des Fahrzeugs,
- Geber für die Information, ob der Rückwärtsgang eingelegt ist oder nicht,
- Geber für die Giergeschwindigkeit des Fahrzeuges,
- Geber für die Querbeschleunigung des Fahrzeuges,
- Geber für den Seitenwindeinfluß auf das Fahrzeug,
- Geber für die Karosserieneigung des Fahrezeugs. Die Stellerposition wird immer dann benötigt, wenn der Steller gere¬ gelt verfahren werden soll. Wenn also ein Defekt in diesem Sensor eintritt, ist keine geregelte Stellerbewegung mehr möglich, es kommt also nur Ersatzfunktion A in Betracht. Der Lenkwinkelgeber berück¬ sichtigt den dynamischen Lenkzustand des Fahrzeugs. Ohne eindeutige Kenntnis darüber, welches Einzelsignal noch korrekt arbeitet, ist damit kein zur Vorderachse synchrones Lenken der Hinterräder mög¬ lich. Wenn der Lageistwertgeber aber nicht gleichzeitig ausfällt, kann Ersatzfunktion B durchgeführt werden. Fahrgeschwindigkeit, Be¬ ladungszustand und Vor/Rückwärtsfahrt ändern sich dynamisch nur langsam. Direkt vor Fehlereintritt gemessene und gespeicherte Werte behalten noch für eine relativ lange Zeit ihre Gültigkeit und behin¬ dern das synchrone Lenken der Hinterachse nicht. Z.B. ändert sich der Beladungszustand des Fahrzeugs und der Wechsel zwischen Vor¬ wärtsfahrt und Rückwärtsfahrt nur im Stillstand des Fahrzeugs, die Fahrgeschwindigkeit ändert sich mit einer maximalen Beschleunigung von lg, wobei eine fehlerhaft zu groß angenommene Geschwindigkeit für das Fahrzeug die Fahrzeugsicherheit nicht beeinträchtigt. Damit ist hier Ersatzfunktion C auch dann möglich, wenn keines der Signale eindeutig als noch brauchbar erkannt wird.
Zusammenfassend ist in der folgenden Tabelle 5 dargestellt, welches Notlaufprogramm vom jeweiligen Mikrorechner abgearbeitet wird, wenn ein Einzelsignal der aufgelisteten Geber noch als benutzbar/nicht benutzbar angesehen wird.
Einzelsignal benutzbar Einzelsignal nicht benutzbar
Lageistwert C A Lenkwinkel C B Fahrge¬ schwindigkeit Beladungszu¬ stand Rückwärts¬ fahrt
Das beschriebene Verfahren zur Fehlerbehandlung in elektronischen Steuergeräten ist vielfältig abwandelbar. So ist es nicht unbedingt erforderlich zwei oder mehr Mikrorechner für das Steuergerät vorzusehen. Bei geringeren Sicherheitsanforderungen ist es durchaus möglich bloß einen Mikrorechner vorzusehen.

Claims

Ansprüche
1. Verfahren zur Fehlerbehandlung in elektronischen Steuergeräten, insbesondere in einem Steuergerät zur Steuerung des Lenkwinkels der Hinterräder eines Kraftfahrzeuges, mit mindestens einem Mikrorech¬ ner, an den Geber und mindestens ein Aktuator zur Einstellung minde¬ stens eines Stellgliedes angeschlossen sind, wobei bestimmte Geber redundant ausgelegt sind, mit mindestens einer an das mindestens ei¬ ne Stellglied angebrachten und von dem mindestens einen Mikrorechner steuerbaren Sicherungsvorrichtung, mit mindestens einem Hauptpro¬ gramm in dem mindestens einen Mikrorechner in dem die Signale der Geber erfaßt, aus den erfaßten Signalen Werte berechnet und die be¬ rechneten Werte und/oder die erfaßten Gebersignale auf Konsistenz geprüft werden, wobei die berechneten Werte zumindest teilweise zur Einstellung des mindestens einen Stellgliedes dienen, aus denen dann entsprechende Steuersignale erzeugt werden und an den mindestens ei¬ nen Aktuator abgegeben werden, mit mindestens zwei Notlaufprogram¬ men, wobei durch die Konsistenzprüfung eine Entscheidung herbeige¬ führt wird, ob das Hauptprogramm oder eines der mindestens zwei Not¬ laufprogramme abgearbeitet wird, wobei im ersten Notlaufprogramm mindestens die mindestens eine Sicherungsvorrichtung aktiviert und die Ansteuerung des mindestens einen Aktuators zur Einstellung des mindestens einen Stellgliedes unterbrochen wird, dadurch gekenn¬ zeichnet, daß im zweiten Notlaufprogramm (C) weiterhin die Signale von Gebern erfaßt und aus den erfaßten Signalen jeweils Werte be¬ rechnet werden, wobei die Werte zumindest teilweise zur Einstellung des mindestens einen Stellgliedes dienen, daß die erfaßten Gebersignale und die berechneten Werte weiterhin auf Konsistenz überprüft werden, daß die weiterhin berechneten Werte zur Einstel¬ lung des mindestens einen Stellgliedes (8) mit einem mit Beginn der Abarbeitung des zweiten Notlaufprogramms (C) zeitlich kleiner wer¬ denden Faktor multipliziert werden um ein langsames Abklingen der Stella plitude des Stellgliedes (8) zu erzielen und daß darin wei¬ terhin zu den berechneten Werten entsprechende Steuersignale erzeugt und an den mindestens einen Aktuator (7, 31) abgegeben werden.
2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß zur Konsi¬ stenzprüfung der erfaßten Gebersignale jedes erfaßte Gebersignal mit vorgegebenen Werten auf Überschreitung eines zulässigen Signalbe¬ reiches geprüft wird.
3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß zur Konsistenzprüfung der erfaßten Gebersignale die Änderungsraten der erfaßten Geberwerte in Abhängigkeit von vorgegebenen Größen mit vor¬ gegebenen Werten verglichen werden.
4. Verfahren nach einem der vorhergehenden Ansprüche, dadurch ge¬ kennzeichnet, daß zur Konsistenzprüfung der erfaßten Gebersignale die erfaßten Gebersignale mit den erfaßten Gebersignalen der dazu vorhandenen redundanten Geber verglichen werden.
5. Verfahren nach einem der vorhergehenden Ansprüche, dadurch ge¬ kennzeichnet, daß zur Konsistenzprüfung der erfaßten Gebersignale die erfaßten Gebersignale mit Werten verglichen werden, die von er¬ faßten Gebersignalen der mit gleichwertiger Information behafteten Geber, abgeleitet sind.
6. Verfahren nach einem der vorhergehenden Ansprüche, dadurch ge¬ kennzeichnet, daß bei der Konsistenzprüfung die Anzahl der erkannten Fehler mit vorgegebenen Werten verglichen werden, wobei unterschied¬ liche Fehler dann mitgezählt werden, wenn sie einer identischen Feh¬ lerursache zuzuordnen sind und daß eines der mindestens zwei Not¬ laufprogramme erst dann abgearbeitet wird, wenn die Anzahl der er¬ kannten Fehler den vorgegebenen Wert erreicht hat.
7. Verfahren nach einem der vorhergehenden Ansprüche, dadurch ge¬ kennzeichnet, daß im zweiten Notlaufprogramm (C) die mindestens eine Sicherungsvorrichtung (8) nach einer vorgegebenen Zeit aktiviert und die Ansteuerung des mindestens einen Aktuators (7, 31) zur Einstel¬ lung des mindestens einen Stellgliedes (8) unterbrochen wird.
8. Verfahren nach einem der vorhergehenden Ansprüche, dadurch ge¬ kennzeichnet, daß der mindestens eine Mikrorechner (5, 17) ein drit¬ tes Notlaufprogramm (B) aufweist, in dem Werte zur Einstellung des mindestens einen Stellgliedes (8) nach einer fest vorgegebenen Be¬ rechnungsgrundlage berechnet werden, ohne die Information der Geber¬ signale für die Berechnung auszunutzen.
9. Verfahren nach Anspruch 8, dadurch gekennzeichnet, daß in dem dritten Notlaufprogramm (B) eine Prüfung der Stellung des mindestens einen Stellgliedes (8) vorgenommen wird und bei Erkennung der Mit¬ tellage das erste Notlaufprogramm (A) abgearbeitet wird.
10. Vorrichtung zur Steuerung des Lenkwinkels der Hinterräder eines Kraftfahrzeuges, nach dem Verfahren nach einem der vorhergehenden Ansprüche, mit mindestens zwei Mikrorechnern, mit mindestens einem Geber für den Lenkwinkel, die Fahrgeschwindigkeit und die Raddreh¬ zahl der Räder einer Achse des Fahrzeuges, mit mindestens einem Stellglied zur Einstellung des Lenkwinkels der Räder einer Achse des Fahrzeuges, mit mindestens einem Geber für den Lageistwert des Stellgliedes, mit einer Haltebremse als Sicherungsvorrichtung für das Stellglied, mit mindestens einem Aktuator zur Einstellung des Stellgliedes, mit mindestens einem Hauptprogramm in jedem der Mikro¬ rechner in dem die Mikrorechner die Signale der Geber erfassen, aus den erfaßten Signalen Werte berechnen und die berechneten Werte und/oder die erfaßten Gebersignale auf Konsistenz prüfen, wobei die berechneten Werte zumindest teilweise zur Einstellung des mindestens einen Stellgliedes dienen, aus denen dann einer der mindestens zwei Mikrorechner entsprechende Steuersignale erzeugt und an den minde¬ stens einen Aktuator abgibt, mit mindestens zwei Notlaufprogrammen in jedem der Mikrorechner, wobei die mindestens zwei Mikrorechner (5, 17) durch die Konsistenzprüfung eine Entscheidung herbeiführen, ob das Hauptprogramm oder eines der mindestens zwei Notlaufprogramme abgearbeitet wird, wobei die mindestens zwei Mikrorechner im ersten Notlaufprogramm mindestens die mindestens eine Sicherungsvorrichtung aktivieren und die Ansteuerung des mindestens einen Aktuators zur Einstellung des mindestens einen Stellgliedes unterbrechen, dadurch gekennzeichnet, daß die mindestens zwei Mikrorechner (5,17) im zwei¬ ten Notlaufprogramm (C) weiterhin die Signale von Gebern erfassen und aus den erfaßten Signalen jeweils Werte berechnen, wobei die Werte zumindest teilweise zur Einstellung des mindestens einen Stellgliedes dienen, daß die mindestens zwei Mikrorechner (5, 17) die erfaßten Gebersignale und die berechneten Werte weiterhin auf Konsistenz prüfen, daß sie die weiterhin berechneten Werte zur Einstellung des mindestens einen Stellgliedes (8) mit einem mit Beginn der Abarbeitung des zweiten Notlaufprogramms (C) zeitlich kleiner werdenden Faktor multiplizieren um ein langsames Abklingen der Stellamplitude des Stellgliedes (8) zu erzielen, .daß mindestens einer der mindestens zwei Mikrorechner (5, 17) weiterhin zu den berechneten Werten entsprechende Steuersignale erzeugt und an den mindestens einen Aktuator (7, 31) abgibt.
11. Vorrichtung nach Anspruch 10, dadurch gekennzeichnet, daß die Geber für den Lenkwinkel und den Lageistwert mindestens einfach re¬ dundant ausgelegt sind, wobei jeweils der Geber und der redundante Geber an unterschiedliche Mikrorechner (5, 17) angeschlossen sind.
12. Vorrichtung nach Anspruch 11, dadurch gekennzeichnet, daß die mindestens zwei Mikrorechner (5, 17) das erste Notlaufprogramm (A) immer dann abarbeiten, wenn sie bei der Konsistenzprüfung erkennen, daß keiner der Geber für den Lageistwert (13) des Stellgliedes (8) fehlerfrei arbeitet und/oder die von den mindestens zwei Mikrorech¬ nern (5,17) berechneten Werte über ein vorgegebenes Maß hinaus ab¬ weichen.
13. Vorrichtung nach Anspruch 11 oder 12, dadurch gekennzeichnet, daß die mindestens zwei Mikrorechner (5, 17) das dritte Notlaufpro¬ gramm (B) immer dann abarbeiten, wenn sie bei der Konsistenzprüfung erkennen, daß keiner der Geber für den Lenkwinkel (1) fehlerfrei ar¬ beitet.
14. Vorrichtung nach einem der Anspüuche 10 bis 13, dadurch gekenn¬ zeichnet, daß zur Unterbrechung der Ansteuerung des mindestens einen Aktuators (7,31) der Mikrorechner (5,17) den mindestens einen Aktua¬ tor (7,31) von der VersorgungsSpannung trennt.
15. Vorrichtung nach Anspruch 14, dadurch gekennzeichnet, daß der entsprechende Mikrorechner (5, 17) zur Trennung der Versorgungs- spannung mindestens ein Relais (18, 32) schaltet.
16. Vorrichtung nach einem der Ansprüche 10 bis 15, dadurch gekenn¬ zeichnet, daß sie eine Fehleranzeige (21) aufweist, die nach Aufruf eines der Notlaufprogramme (A,B,C) aktiviert wird. 17. Vorrichtung nach einem der Ansprüche 10 bis 16, dadurch gekenn¬ zeichnet, daß die Überprüfung der erfaßten Gebersignale und/oder be¬ rechneten Werte durch verschiedene Programmabläufe in den jeweiligen Mikrorechnern (5,
17) erfolgt.
18. Vorrichtung nach einem der Ansprüche 10 bis 17, dadurch gekenn¬ zeichnet, daß die jeweiligen Mikrorechner (5, 17) unterschiedliche Halbleiterstrukturen aufweisen.
19. Vorrichtung nach einem der Ansprüche 10 bis 18, dadurch gekenn¬ zeichnet, daß zur Überwachung der jeweiligen Mikrorechner (5, 17) jeweils Uberwachungsschaltungen an die jeweiligen Mikrorechner (5, 17) angeschlossen sind, die von den jeweiligen Mikrorechnern (5, 17) Signale erhalten und bei Ausbleiben der Signale die Ansteuerung des mindestens einen Aktuators (7, 31) zur Einstellung des mindestens einen Stellgliedes (8) unterbrechen.
20. Vorrichtung nach einem der Ansprüche 10 bis 19, dadurch gekenn¬ zeichnet, daß sie ein Dual Port-RAM aufweist, auf das die mindestens zwei Mikrorechner (5, 17) zugreifen können.
PCT/DE1992/000909 1991-11-05 1992-10-31 Verfahren und vorrichtung zur fehlerbehandlung in elektronischen steuergeräten WO1993009020A1 (de)

Priority Applications (4)

Application Number Priority Date Filing Date Title
DE59202559T DE59202559D1 (de) 1991-11-05 1992-10-31 Verfahren und vorrichtung zur fehlerbehandlung in elektronischen steuergeräten.
EP92922296A EP0610316B1 (de) 1991-11-05 1992-10-31 Verfahren und vorrichtung zur fehlerbehandlung in elektronischen steuergeräten
JP5507253A JPH07506912A (ja) 1991-11-05 1992-10-31 電子制御装置における障害処理方法および装置
US08/240,687 US5440487A (en) 1991-11-05 1992-10-31 Process and device for dealing with errors in electronic control devices

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DEP4136338.8 1991-11-05
DE4136338A DE4136338A1 (de) 1991-11-05 1991-11-05 Verfahren und vorrichtung zur fehlerbehandlung in elektronischen steuergeraeten

Publications (1)

Publication Number Publication Date
WO1993009020A1 true WO1993009020A1 (de) 1993-05-13

Family

ID=6444088

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/DE1992/000909 WO1993009020A1 (de) 1991-11-05 1992-10-31 Verfahren und vorrichtung zur fehlerbehandlung in elektronischen steuergeräten

Country Status (5)

Country Link
US (1) US5440487A (de)
EP (1) EP0610316B1 (de)
JP (1) JPH07506912A (de)
DE (2) DE4136338A1 (de)
WO (1) WO1993009020A1 (de)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1538495A3 (de) * 2003-01-23 2011-08-03 Denso Corporation Elektronische Steuerungseinheit
EP2557502A4 (de) * 2011-06-29 2016-05-11 Nsk Ltd Fahrzeuginterne vorrichtung zur elektronischen steuerung

Families Citing this family (28)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE4341082A1 (de) * 1993-12-02 1995-06-08 Teves Gmbh Alfred Schaltungsanordnung für sicherheitskritische Regelungssysteme
JPH0966851A (ja) * 1995-08-31 1997-03-11 Mitsubishi Electric Corp 車両用制御装置
DE19611944C2 (de) * 1996-03-26 2003-03-27 Daimler Chrysler Ag Integrierter Schaltkreis zur Kopplung eines mikrokontrollierten Steuergerätes an einen Zweidraht-Bus
JP3554841B2 (ja) * 1997-02-07 2004-08-18 光洋精工株式会社 自動車の舵取装置
DE19716197A1 (de) 1997-04-18 1998-10-22 Itt Mfg Enterprises Inc Mikroprozessorsystem für sicherheitskritische Regelungen
DE19743463A1 (de) 1997-10-01 1999-04-08 Itt Mfg Enterprises Inc Verfahren zur Fehlerkennung von Mikroprozessoren in Steuergeräten eines Kfz.
DE19834870A1 (de) * 1998-08-01 2000-02-03 Bosch Gmbh Robert Fehlertoleranter elektromechanischer steer-by-wire-Lenksteller
EP0985988A1 (de) * 1998-09-11 2000-03-15 Sck.Cen Adaptiver Fuzzy-Regler und Simulationsmethode
DE19849787C1 (de) * 1998-10-28 2000-02-24 Fresenius Medical Care De Gmbh Blutbehandlungsgerät
DE19902049C2 (de) * 1999-01-20 2000-11-09 Continental Ag Niveauregelsystem für ein Kraftfahrzeug
SE521749C2 (sv) * 1999-07-02 2003-12-02 Inmotion Technologies Ab Servostyrsystem för fordon innefattande en digital vinkelavkännande anordning
KR100352023B1 (ko) * 1999-09-03 2002-09-11 가야바코교 가부시기가이샤 페일세이프기구
DE10163010B4 (de) * 2001-04-25 2007-01-25 Siemens Ag Verfahren und Einrichtung zur sicheren Überwachung der Drehzahl einer elektrischen Maschine
US6760653B2 (en) * 2001-05-15 2004-07-06 Trw Inc. Electric power assisted steering system having a single integrated circuit with two processors
DE10235163A1 (de) * 2002-08-01 2004-02-19 Robert Bosch Gmbh Verfahren zur Überwachung wenigstens eines Sensors
DE10244070A1 (de) * 2002-09-06 2004-03-11 Volkswagen Ag Vorrichtung und Verfahren zur Lenkunterstützung für Fahrzeuge mit elektromechanischer Lenkung
DE10248214A1 (de) 2002-10-16 2004-05-13 Siemens Ag Schaltung mit mindestens einem Piezoaktor
JP4379793B2 (ja) * 2004-03-12 2009-12-09 株式会社デンソー 車両用電子制御装置
US7653641B2 (en) * 2004-05-04 2010-01-26 Accruent, Inc. Abstraction control solution
US7367918B2 (en) * 2005-11-08 2008-05-06 Zf Friedrichshafen Ag Method for self-configuring automated mechanical transmission and electronic controller
FR2928219B1 (fr) * 2008-02-29 2010-05-28 Renault Sas Procede et dispositif de diagnostic d'un systeme de commande utilisant un modele dynamique
DE102011109257B4 (de) * 2011-08-02 2016-03-10 Audi Ag Verfahren zur Niveauregelung des Kraftfahrzeugaufbaus eines Kraftfahrzeuges und Vorrichtung zur Durchführung dieses Verfahrens
DE102012015988A1 (de) 2012-08-11 2014-10-30 Volkswagen Aktiengesellschaft Lenksystem mit Vorderachslenkung und Hinterachslenkung sowie Verfahren zur Steuerung eines derartigen Lenksystems
US20150046031A1 (en) * 2013-08-07 2015-02-12 Honda Motor Co., Ltd. Switchable Mount System For A Vehicle And Methods For Controlling The System
DE102013217427B4 (de) * 2013-09-02 2023-04-27 Volkswagen Aktiengesellschaft Lenkungssteuergerät, Verfahren zum Betreiben eines Lenkungssteuergeräts sowie Lenksystem
DE102017217100B4 (de) 2017-09-26 2022-11-10 Robert Bosch Gmbh Verfahren und Vorrichtung zum Betreiben eines Stellmotors eines Lenksystems
CA3035597C (en) * 2018-04-26 2022-07-26 1593417 Alberta Ltd. Method and system for fail-safe control of electric actuators
EP3670297B1 (de) * 2018-12-17 2022-05-11 Volvo Car Corporation Lenksystemüberwachung

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP0334723A1 (de) * 1988-03-25 1989-09-27 BENDIX EUROPE Services Techniques S.A. Steuervorrichtung für einen hydraulischen doppelt wirkenden Arbeitszylinder
EP0337360A2 (de) * 1988-04-11 1989-10-18 Mazda Motor Corporation Hinterradlenksystem
WO1989010865A1 (en) * 1988-05-11 1989-11-16 Siemens Aktiengesellschaft Control unit for steering the rear wheels of a road service vehicle
DE4012880A1 (de) * 1989-04-25 1990-10-31 Nissan Motor Hilfslenkeinrichtung fuer kraftfahrzeuge

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CA1026850A (en) * 1973-09-24 1978-02-21 Smiths Industries Limited Dual, simultaneously operating control system with fault detection
DE3225455C2 (de) * 1982-07-07 1986-07-17 Siemens AG, 1000 Berlin und 8000 München Verfahren zum sicheren Betrieb eines redundanten Steuersystems
DE3234637A1 (de) * 1982-09-18 1984-03-22 Alfred Teves Gmbh, 6000 Frankfurt Verfahren und schaltungsanordnung zur steuerung einer bremsschlupfregelanlage
US4621327A (en) * 1984-06-13 1986-11-04 Nartron Corporation Electronic power steering method and apparatus
JPS6234861A (ja) * 1985-08-06 1987-02-14 Nissan Motor Co Ltd 車両の４輪操舵装置
JPS62251277A (ja) * 1986-04-22 1987-11-02 Mitsubishi Electric Corp 電動式後輪操舵装置
DE3825280A1 (de) * 1988-07-26 1990-02-01 Bayerische Motoren Werke Ag Steuersystem fuer stelleinrichtungen eines kraftfahrzeugs

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP0334723A1 (de) * 1988-03-25 1989-09-27 BENDIX EUROPE Services Techniques S.A. Steuervorrichtung für einen hydraulischen doppelt wirkenden Arbeitszylinder
EP0337360A2 (de) * 1988-04-11 1989-10-18 Mazda Motor Corporation Hinterradlenksystem
WO1989010865A1 (en) * 1988-05-11 1989-11-16 Siemens Aktiengesellschaft Control unit for steering the rear wheels of a road service vehicle
DE4012880A1 (de) * 1989-04-25 1990-10-31 Nissan Motor Hilfslenkeinrichtung fuer kraftfahrzeuge

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1538495A3 (de) * 2003-01-23 2011-08-03 Denso Corporation Elektronische Steuerungseinheit
EP2557502A4 (de) * 2011-06-29 2016-05-11 Nsk Ltd Fahrzeuginterne vorrichtung zur elektronischen steuerung

Also Published As

Publication number Publication date
EP0610316A1 (de) 1994-08-17
US5440487A (en) 1995-08-08
JPH07506912A (ja) 1995-07-27
DE59202559D1 (de) 1995-07-20
DE4136338C2 (de) 1993-08-05
EP0610316B1 (de) 1995-06-14
DE4136338A1 (de) 1993-05-06

Similar Documents

Publication Publication Date Title
EP0610316B1 (de) Verfahren und vorrichtung zur fehlerbehandlung in elektronischen steuergeräten
EP0418258B1 (de) Steuereinheit zur lenkung der hinterräder eines strassenfahrzeuges
EP0536557B1 (de) Vorrichtung zur Steuerung der Antriebsleistung eines Fahrzeugs
EP0859960B1 (de) Vorrichtung und verfahren zur überwachung von sensoren in einem fahrzeug
EP0611352B1 (de) Schaltungsanordnung für eine bremsanlage mit blockierschutz-und/oder antriebsschlupfregelung
EP1349759A1 (de) Vorrichtung zur überwachung von in einem fahrzeug angeordneten sensormitteln
EP1040028B1 (de) Verfahren zur fehlererkennung von mikroprozessoren in steuergeräten eines kfz
DE19607429B4 (de) Fehlertolerante Steuerungseinrichtung für ein physikalisches System, insbesondere Fahrdynamikregeleinrichtung für ein Kraftfahrzeug
DE4302925C2 (de) Verfahren und Vorrichtung zur Fehlermeldung bei Fahrzeugen
EP1171332B1 (de) Lenk- und bremssystem für ein fahrzeug
EP2078253A2 (de) Verfahren und vorrichtung zur fehlerverwaltung
DE4431901B4 (de) Vorrichtung zur Störerfassung in einem Antischlupf-Bremssteuersystem für Kraftfahrzeuge
WO2007025844A1 (de) Verfahren zur verfügbarkeitserhöhung von kraftfahrzeugmotoren
EP1972514B1 (de) Kraftfahrzeug mit einem X-by-wire-System und Verfahren zum Betreiben eines X-by-wire-Systems eines Kraftfahrzeugs
EP1118519B1 (de) Verfahren zur Erkennung des fehlerhaften Einbaus eines Steuergerätes in einem Fahrzeug
EP0427909B1 (de) Verfahren zur Ermittlung der Querbeschleunigung eines Kraftfahrzeugs
WO1988005570A1 (en) Process and device for monitoring computer-controlled final control elements
DE19638280A1 (de) Verfahren und Vorrichtung zur Erzeugung eines Fehlersignals bei einem Kraftfahrzeug
DE19735015B4 (de) Verfahren und Vorrichtung für Sicherheitsstrategien in Kraftfahrzeugen
DE19720440A1 (de) Verfahren zur Regelung einer dynamischen Zustandsgröße eines Fahrzeugs
EP0988201A1 (de) Vorrichtung mit redundanten kanälen zwischen einer sensoreinrichtung und einer auswerteeinrichtung
EP0694451B1 (de) Fahrzeugsicherungsanordnung
DE10063934A1 (de) Verfahren und Vorrichtung zur Überwachung und Abschaltung von Steuereinheiten in einem Netzwerk und Netzwerk
DE19931343B4 (de) Verfahren und Vorrichtung zur Erkennung eines Radsensorfehlers sowie einer Feststellbremsbetätigung
DE10041204A1 (de) Verfahren zur Überwachung von Drehzahlsensoren

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): JP US

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): AT BE CH DE DK ES FR GB GR IE IT LU MC NL SE

DFPE Request for preliminary examination filed prior to expiration of 19th month from priority date (pct application filed before 20040101)
WWE Wipo information: entry into national phase

Ref document number: 1992922296

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 08240687

Country of ref document: US

WWP Wipo information: published in national office

Ref document number: 1992922296

Country of ref document: EP

WWG Wipo information: grant in national office

Ref document number: 1992922296

Country of ref document: EP