• 专利附录
  • 专利说明
  • 权利要求
  • 类似技术
  • 同族专利
  • 引用文献
  • 法律状态
  • 优先权
    • 专利摘要:

    公开号:WO1989010865A1
    申请号:PCT/DE1989/000293
    申请日:1989-05-10
    公开日:1989-11-16
    发明作者:Hans Rauner；Gerhard Gerl；Edmund Donges；Reinhard Auffhammer；Thomas Seidenfuss
    申请人:Siemens Aktiengesellschaft；Bayerische Motoren Werke Aktiengesellschaft；
    IPC主号:B62D7-00
    专利说明:
    [0001] Steuereinheit zur Lenkung der Hinterräder eines Straßenfahr- zeuges
    [0002] Die Erfindung geht von der speziellen Steuereinheit aus, die im Oberbegriff des Patentanspruches 1 definiert ist, vgl. damit auch EP-A2-0 243 180 und US-A-4 687 214. Es handelt sich also um eine Steuereinheit, welche auch Notfälle - z.B. schlupfende Räder, schleuderndes Straßenfahrzeug und / oder Defekte in sicherheitsrelevanten elektronischen Bauteilen wie z.B. Senso¬ ren - mehr oder weniger gut beherrscht, indem dann die Lenkung der Hinterräder nicht wie im Normalbetrieb gesteuert wird, sondern nach einem besonderen Notbetriebskonzept. Es ist eine Reihe verschiedener solcher Notbetriebskonzep e für sich be¬ kannt. Die Erfindung wurde zunächst zwar für ein Notbetriebs¬ konzept entwickelt, bei dem der Lenkwinkel im Notfall durch Blockieren der Lenkung der Hinterräder starr beibehalten wird. Es zeigt sich jedoch, daß die Erfindung darüber hinaus auch auf alle anderen ' Notbetriebskonzepte angewendet werden kann.
    [0003] Die Aufgabe der Erfindung, ein neuartiges Sicherheitskonzept zu bieten, welches zusätz- lieh zu beliebigen No betriebskonzepten zur weiteren Verbes¬ serung der Beherrschung des Straßeπfahrzeuges im Notfall verwendet werden kann, nämlich besonders die Fehlertoleranz der Steuereinheit zu erhöhen, insbesondere indem verhindert wird, daß die Rechen- einheit wegen eines fehlerhaft arbeitenden Rechners irrtüm¬ licherweise kein Lenknotsignal abgibt, obwohl ein Notfall vorliegt - eine besonders gefährliche Situation, die zu schweren Unfällen des Straßenfahrzeuges führen kann, und trotzdem die Recheneinheit zu befähigen, im Notfall mög- liehst unverzüglich ihr Lenknotsignal abzugeben, wird durch die im Paten anspruch 1 angegebenen Maßnahmen ge¬ löst. Bei der Erfindung werden also die Rechner in der Recheneinheit in besonderer Weise gedoppelt und abweichend von der meistens verwendeten Betriebsart von gedoppelten Rechnern betrieben. Meistens werden nämlich gedoppelte Rechner mittels einer Ver- gleichereinheit überwacht, welche die Rechenergebnisse beider Rechner - z.B. mikrosynchron - vergleicht, wobei evtl. noch mit Hilfe besonderer Rechenmethoden, z.B. mit Hilfe von EDC- Verfahren oder durch andere Selbsttestverfahren, der einwand¬ frei rechnende Rechner ermittelt und dessen Ergebnisse allein verwertet werden. Diese Test- oder Vergleichereinheit kann aber selber jeweils ebenfalls fehlerhaft arbeiten - z.B. auch trotz EDC-Verfahren bei so manchen Vielfachfehler-Kombinationen, wenn mehrere Fehler gleichzeitig auftreten - oder regelrecht defekt sein, wenn sie eine Ungleichheit der Rechenergebnisse feststellt - sie kann sogar defekt sein, wenn sie eine Gleichheit dieser Ergebnisse feststellt! - und damit selbst die Zuverlässigkeit der Steuereinheit verringern, besonders wenn sie die Abgabe des Lenknotsignales verhindert, obwohl objektiv ein Notfall vor¬ liegt und von der Recheneinheit jedenfalls sogar bis zu einem gewissen Grade durchaus erkannt wurde.
    [0004] Bei der Erfindung wird sowohl die Zeitverzögerung, die durch den Vergleich notwendig ist, aber vor allem auch die Unzuver- lässigkeit vermieden, die durch einen Fehler innerhalb der Ver- gleichereinheit hervorgerufen wird. Ebenso wird durch die Er¬ findung vermieden, daß umständlich bei anscheinend voneinander abweichenden und zusätzlich bei anscheinend nicht voneinander abweichenden Rechenergebnissen - zumindest häufig immer wieder - auch die Vergleichereinheit für sich zu testen ist, wobei auch dieser Test für sich wieder nicht nur Zeit benötigt, son¬ dern auch für sich eine Fehlerquelle und damit eine unnötige Zuverlässigkeitsverringerung mit sich bringen kann.
    [0005] Bei der Erfindung werden also auch solche durch Vergleicherein- richtungen bedingten Betriebsunsicherheiten und Verzögerungen des Betriebs der gedoppelten Rechner vermieden, indem bereits jeder Rechner für sich ein Lenknotsignal jeweils unmittelbar und damit sofort an die Lenkeinrichtung abgibt, selbst wenn der andere Rechner noch kein Leπknotsignal abgibt. Solange beide Rechner einwandfrei arbeiten, steuert die Erfindung die Lenkung der Hinterräder gemäß dem jeweils gewählten Notbetriebskonzept im Notfall einwandfrei. Falls hingegen einer der beiden Rechner - warum auch immer - z.B. nur auf Grund eines transienten Feh¬ lers in seinem Programmspeicher - ein fehlerhaftes Ergebnis er¬ rechnet, so gibt er auf Grund dieses Ergebnisses eventuell ein an sich höchstens unnötiges Lenknotsignal ab, falls nämlich das errechnete Ergebnis einen Notfall vortäuscht. Eine solche, an sich fehlerhafte Steuerung der Lenkung der Hinterräder ist je¬ doch tolerierbar; bei einem Defekt eines der Rechner steuert die Erfindung nämlich ihre Leπkeiπrichtung mit vernünftiger Wahrscheinlichkeit nie in höchst gefährlicher Weise so, als ob ein Normalbetriebsfall vorläge obwohl ein Notfall vorliegt.
    [0006] Die in den Unteransprüchen angegebenen Maßnahmen gestatten, die Zuverlässigkeit der Steuereinheit weiter zu erhöhen, nämlich jeweils entsprechende weitere Vorteile zu erreichen. U.a. ge- statten nämlich die Maßnahmen gemäß Patentanspruch
    [0007] 2, gefährliche Situationen für das Straßenfahrzeug zu vermei¬ den, indem bei wesentlichen Defekten oder Fehlzuständen der betreffenden Bestandteile in den Notfallbetrieb entspre¬ chend dem gewählten Notbetriebskonzept übergegangen wird, 3, zu verhindern, daß bei Defekt eines Notorgaπes ein Lenknot¬ signal keine notfallgerechte Steuerung der Lenkung der Hin¬ terräder auslöst,
    [0008] 4, auch bei Ausfall eines der Rechner und /oder auch bei Stö¬ rung - z.B. Bruch - einer der Notsignalleitungen zuverläs- sig und redundant die gedoppelten Notorgane zu steuern,
    [0009] 5, zu ermöglichen, daß sich die Rechner gegenseitig überwachen bzw. testen,
    [0010] 6, eine gegenseitige Überwachung bzw. Testung der Rechner ohne präzise zeitliche Abstimmung bzw. Synchronisation zwischen den Rechnern erreichen zu können, z.B. indem ein Rechner im anderen Rechner zeitlich verzögert, nämlich angepaßt an den jeweiligen Beginn der Rechenpausen des anderen Rechners, ein Testprogramm abzuarbeiten gestattet, 7, eine zuverlässige nachträgliche Diagnose der Ursache der Lenknotsignalabgabe zu erreichen, selbst wenn einer oder beide Rechner "sich völlig verrannt" hatte, also nicht mehr tolerierbare Schwierigkeiten bei der Auswertung der zuge- führten Steuersignale hatten,
    [0011] 8, zu erreichen, daß die Rechner auch nach dem Start nur dann einen Normalbetrieb zulassen, sobald die Steuereinheit zu¬ verlässig genug einen anfänglich evtl. vorliegenden Notfall ausschließen kann, 9, beim Start zu erreichen, daß in sehr übersichtlicher Weise die Notorgane jeweils nur von einem der Rechner so gesteu¬ ert werden, daß der Übergang in den Normalbetrieb erst er¬ folgt, sobald beide Rechner durch Auswertung der ihnen zu¬ geführten Steuersignale deutlich genug diagnostizierten, daß die ihnen jeweils zugeordneten Notorgane einwandfrei arbeiten, 10, eine besonders klare Analyse beim Start zuzulassen, ob evtl. einer der Rechner - oder eines der Notorgane - nicht ganz einwandfrei arbeitet, 1» die Rechner auch im Normalbetrieb zur Steuerung der Hinter- radlenkung verwenden zu können,
    [0012] 12, auch beim Start, bei dem manche der Sensorsignale noch keine brauchbaren Werte liefern und eine zuverlässige Aus¬ wertung durch die Rechner noch kaum möglich ist, eine hohe Betriebssicherheit für das Straßenfahrzeug zu erreichen,
    [0013] 13, sehr unkompliziert nachträglich nach jeder Rechnung durch einen Vergleich der Rεchenergebnisse beider Rechner fest¬ stellen zu können, inwieweit die Ergebnisse voneinander ab¬ wichen, und bei Bedarf sofort ein Fehlerdiagnoseprogramm starten zu können, das die Ursache für größere Abweichungen der Rechenergebnisse aufklärt,
    [0014] 14, zu ermöglichen, daß der eine Rechner bereits sein Lenknot¬ signal abgeben kann, während der andere seine derzeitige Auswertung noch nicht abgeschlossen hat; die Auswertung, also die Berechnung der Rechenergebnisse, ist nämlich oft dermaßen aufwendig, z.B. wegen komplizierter zu lösender Differentialgleichungen durch Iterativverfahren, daß zwi- sehen der Eingabe der Sensorsignale bzw. Steuersignale in den Rechner einerseits und dem Vorliegen des Rechenergeb¬ nisses andererseits häufig 10 msec und noch viel mehr Zeit verstreicht, 15, Programmfehler, also Softwarefehler, durch die ein Notfall irrtümlicherweise nicht erkannt wird, unschädlich zu mache indem zumindest der andere Rechner mit hoher Wahrschein¬ lichkeit im Notfall rechtzeitig sein Lenknotsignal abgibt,
    [0015] 16, Hardwarefehler in einem der beiden Rechner, durch die ein Notfall irrtümlicherweise nicht erkannt wird, unschädlich zu machen, indem zumindest der andere Rechner mit hoher Wahrscheinlichkeit im Notfall rechtzeitig sein Leπknotsi- gnal abgibt,
    [0016] 17, zu ermöglichen daß beide Rechner sich sehr flexibel dem je- weiligen Zeitbedarf zur Auswertung der Steuersignale anpas¬ sen können,
    [0017] 18, zu erreichen, daß fehlerhafte oder ungenau messende Sensore erkannt und nicht berücksichtigt werden und/oder daß Mittel werte aus den von den beiden zusammengehörenden Sensoren abgegebenen Sensorsignale bzw. Mittelwerte von davon abzu¬ leitenden Signalen gebildet und als Steuersignale dem Rech¬ ner bzw. den Rechnern zugeführt werden können und/oder daß von den .gedoppelten Sensoren stets nur jener berücksichtigt wird, der den stärksten Hinweis gibt, daß ein Notfall vor- liegen könnte,
    [0018] 19, eine Entlastung der Rechner zu erreichen, wodurch die Rech¬ ner ihren Auswertungszyklus schneller beenden und damit im schnelleren Rythmus Rechenergebnisse erstellen können, also im Notfall schneller das Lenknotsignal abgeben können, 20, mit besonders wenig Hardwareaufwand für die Aufbereitungs¬ einheiten einer Entlastung der Rechner, damit eine Verkür¬ zung der Auswertungszyklen innerhalb der Rechner und kürze¬ re Rechenzyklen zur Ermittlung der Rechenergebnisse errei¬ chen zu können, so daß mit besonders wenig zusätzlichem Hardwareaufwand die Rechner im Notfall schneller ihr Lenk¬ notsignal abgeben können, und 21, mit besonders wenig Aufwand nach einem worst-case-Prinzip jenem Sensor der ansich defakto gleichwertigen, unterein- ander redundanten Sensoren den größten Einfluß auf die Ab¬ gabe der Lenknotsignale zu ermöglichen, welcher den kri¬ tischsten, am stärksten einen Notfall signalisierenden Zu¬ stand feststellt, so daß z.B. ein durch Alterung bedingter Ausfall eines der redundanten Sensoren nur zur Folge hat, daß der von diesem Sensor überwachte Zustand wegen des re¬ dundanten anderen Sensors weiterhin im Notfall die Hinter¬ radlenkungen notfallgerecht steuert.
    [0019] Die Erfindung wird anhand der in den FIGUREN gezeigten Prinzip¬ schemen von Ausführungsbeispielen mit jeweils zwei Rechnern Pl, P2 weiter erläutert.
    [0020] Bei dem in FIG 1 gezeigten Beispiel enthält die Lenkeinrichtung LE beispielhaft eine hydraulische Klemmeinrichtung Noh, welche im Notfall die Lenkung der Hinterräder so blockiert, daß der bis dahin vorhandene Lenkwinkel weiterhin starr beibehalten bleibt, indem hydraulisch jegliche Lenkwinkeländerung durch entsprechende Brems- bzw. Klemmvorrichtungen verhindert wird.
    [0021] Außerdem enthält die Lenkeinrichtung LE ein Stellaggregat Sa, welches im Normalbetrieb den Lenkwinkel der Hinterräder ein¬ stellt. Die Rechner Pl, P2 steuern also bei diesem Beispiel den Lenkradwinkel der Hinterräder auch im Normalbetrieb, eben mit- tels des Stellaggregates Sa. Daher greifen bei diesem Beispiel die Rechner nicht nur in Notfall in die Lenkwinkelsteuerung der Hinterräder ein, sondern auch im Normalbetrieb.
    [0022] Ferner enthält die Lenkeinrichtung LE eine oder mehrere Lampen L, welche dem Fahrer den Normalbetrieb und den Störfall signa¬ lisieren und z.B. auch den momentanen Wert des Lenkwinkels an¬ zeigen können.
    [0023] Darüber hinaus enthält im gezeigten Beispiel die Lenkeinrich- tung LE zusätzlich eine Überwachungseinheit Sv, welche, z.B. mittels eigener Sensoren und/oder ausgelöst durch ein Lenknot¬ signal, das Auftreten von Fehlern in der Lenkeinrichtung LE - evtl. auch in sonstigen Teilen der Steuereinheit und/oder auch in sonstigen Teilen des Straßenfahrzeuges - überwacht. Diese Überwachungseinheit Sv kann notfalls reagieren, z.E. einen Reset auslösen kann, welcher die Auswertung durch die Rechner unterbricht und die Rechner zu einem Neustart ihrer Auswertung veranlaßt oder auf sonstige Weise ein entspechendes Überwa- chuπgssignal - bevorzugt an die Rechner Pl, P2 - liefert.
    [0024] Die Lenkeinrichtung LE enthält zusätzlich in redundanter Weise eine mechanische Klemmeinrichtung Nom, welche rein mechanisch im Notfall den bis dahin gegebenen Lenkwinkel der Hinterräder starr beibehält. Die Lenkeinrichtung LE enthalt also aus Sicher- heitsgründen zwei, durch Noh/Nom gebildete Notorgane, die, je¬ des für sich, im Notfall den Lenkwinkel entsprechend dem ge- wählten Notbetriebskonzept - im vorliegenden Fall also durch Klemmung der Lenkung - notfallgerecht steuern.
    [0025] Statt solcher Klemmvorrichtungen können erfindungsgemäß auch andere Arten von Notorganen angebracht sein, welche im Notfall z.B. den Lenkwinkel mehr oder weniger verzögert auf Null ein¬ stellen.
    [0026] Die einzelnen Organe der Lenkeinrichtung LE weisen zu ihrer Überwachung eigene Signalausgänge St auf, welche also Testsi- gnale bzw. Statussignale liefern und im gezeigten Beispiel mit Signaleingängen St einer Vorverstärkerstufe W der Rechner Pl, P2 verbunden sind.
    [0027] In der Vorverstärkerstufe VV sind zusätzlich Sensoren bzw. die solchen Sensoren zugeordneten Analog-Digital-Umwandler ange¬ bracht, z.B. elektronische Einheiten, welche den Zustand eines Lenkradwinkelsensors Lwl, eines automatischen Bremssystems ABS, der Geschwindigkeit Tach, den sicherheitshalber gedoppelten Statusausgängen Ist 1,2 des Stellaggregates Sa, den sicherheits- halber gedoppelten Räder-Lenkwinkelsensoren Lwrl,2, sonstigen Statusüberwachungen Stat und sonstigen beliebigen Eingängen Se - z.B. für die Außentemperatur, die Reifentemperatur und/oder die Lichtreflexion der mehr oder weniger spiegelnden Fahrbahn - entsprechen können.
    [0028] In dieser Vorverstärkereinheit VV sind also nicht unbedingt nur die Sensoren selbst eingeschlossen, sondern oft auch elektroni¬ sche Bestandteile derselben, welche die von Sensoren geliefer¬ ten Sensorsignale, vgl. Ss, mehr oder weniger umrechnen bzw. umformen und an ihrem Ausgang Steuersignale liefern, welche den beiden Rechnern Pl, P2 direkt oder über Zwischenstufen - vgl. Ael bis Ae3 - zugeführt werden.
    [0029] Bei der Erfindung sind also mindestens zwei Rechner Pl, P2 vor¬ handen, welchen die Steuersignale zur Auswertung - d.h. zur Er¬ rechnung eines Rechenergebnisses, das seinerseits jeweils Steu- ersignale für die Lenkeinrichtung LE erzeugen kann - zugeführt werden. Beide Rechner Pl, P2 verarbeiten die ihnen im gezeigten Beispiel digital zugeführten Steuersignale also entsprechend Programmen, die sie speichern. Diese Programme enthalten oft Befehle, welche komplizierten Differentialgleichungen und zuge- hörenden, manchmal recht langwierigen Iterativverfahren ent¬ sprechen. Aus den Steuersignalen Ss, Lwl, Lwrl/2, ABS, Tach, Istl/2, St, Se werden also mittels dieser Programme mit manch¬ mal geringerem, oft aber relativ großem Zeitaufwand zu Rechen¬ ergebnissen verarbeitet, wobei die Rechenergebnisse trotz hoher Rechentaktfrequenz im MHz-Bereich oft jeweils erst nach 10 msec oder 40 msec vorliegen. Jeder Rechner Pl, P2 für sich leitet aus seinen eigenen Rechenergebnissen ab, ob ein Notfall vor¬ liegt oder nicht. Falls ein Notfall vorliegt, liefert der be¬ treffende Rechner, ohne sein Rechenergebnis erst noch mit dem Rechenergebnis des anderen Rechners zu vergleichen, sofort sein Lenknotsignal unmittelbar - evtl. verstärkt über Zwischenver¬ stärker Zv, vgl. FIG 2 - an die Lenkeinrichtung LE ab, gemäß dem in FIG 1 gezeigten Fall sofort sowohl an die hydraulische Klemmeinrichtung Noh als auch an die mechanische Klemmeinrich- tung Nom.
    [0030] Nur wenn beide Rechner Pl, P2 gleichzeitig feststellen, daß so¬ eben ein Notfall eingetreten ist, liefern beide Rechner Pl, P2 gleichzeitig ihr Lenkπotsignal individuell an die betreffenden Organe Noh/Nom der Lenkeinrichtung LE direkt ab. Falls zuerst der eine Rechner und erst mit einer gewissen Verzögerung - oder nie - der andere Rechner das Eintreten des Notfalls erkennt, liegt zumindest eine gewisse Zeitverschiebung zwischen der Ab¬ gabe ihrer individuellen Lenknotsignale. Die Notorgane Noh/Nom werden dann aber bereits durch das erste Lenknotsignal akti¬ viert, weil bei der Erfindung zur Vermeidung von Zeitverzöge¬ rungen nicht erst abgewartet wird - z.B. mit Hilfe einer den beiden Rechnern Pl, P2 nachgeschalteten Vergleichereinheit -, bis beide Rechner Pl, P2 das Eintreten des Notfalles signali¬ sierten.
    [0031] Bei der Erfindung ist also verhindert, daß ein fehlerhaft ar- beitender Rechner der Recheneinheit irrtümlicherweise kein Lenk¬ notsignal abgibt, obwohl ein Notfall vorliegt, weil bei der Er¬ findung der andere der beiden Rechner den Notfall erkennt und seinerseits unverzüglich sein Lenknotsignal sofort und direkt an die Notorgane Noh/Nom abgibt und die Steuerung der Lenkwin- kel der Hinterräder gemäß dem gewählten Notbetriebskonzept aus¬ löst. Die Erfindung ist hierbei nicht an ein spezielles Notbe¬ triebskonzept gebunden : z.B. daß im Notfall der bisher gegebe¬ ne Lenkwinkel der Hinterräder, wie bisher bevorzugt beschrieben wurde, starr beibehalten wird. Statt der Notorgane Noh/Nom kön- nen auch andersartige Notorgane angebracht werden, welche im Notfall z.B. das mehr oder weniger verzögerte Einstellen des Lenkwinkels Null der Hinterräder auslöst.
    [0032] Bei der Erfindung handelt es sich also um ein neuartiges Sicher- heitskonzept, welches zusätzlich zu beliebigen Notbetriebskon¬ zepten angewandt werden kann und zur weiteren Verbesserung der Beherrschung des Straßenfahrzeuges im Notfall dient. Durch die Erfindung wird die Fehlertoleranz der Steuereinheit erhöht, be¬ sonders indem verhindert wird, daß ein fehlerhaft arbeitender Rechner irrtümlicherweise kein Lenknotsignal abgibt, obwohl ein Notfall vorliegt - eine besonders gefährliche Situation, die zu sehr schweren Unfällen des Straßenfahrzeuges führen könnte. Trotzdem gestattet die Erfindung, im Notfall besonders schnell das Lenknotsignal abzugeben und die Maßnahmen gemäß dem gewähl¬ ten beliebigen Notbetriebskonzept unverzüglich einzuleiten.
    [0033] Das in FIG 2 gezeigte Ausführungsbeispiel ist sehr ähnlich wie das in FIG 1 gezeigte aufgebaut -und betrieben. Statt einer Vor¬ verstärkereinheit VV sind hier Sensoreinheiten angebracht, die für sich jeweils schon - zumindest zum Teil - elektronische Be¬ standteile enthalten, so daß die Vorverstärkereinheit VV sozu- sagen in Einzelteile aufgelöst und in den Sensoreinheiten ent¬ enthalten ist. Diese Sensoreinheiten stellen z.B. gedoppelte Lenkradwinkel-Sensoreinheiten Lwl 1/2 dar, wobei der eine Sen¬ sor Lwll z.B. den Lenkwinkel an der Lenksäule und der andere Lenkradwinkel-Sensor Lwl2 z.B. am Lenkgetriebe und/oder an Tei- len der Lenkung der Vorderräder angebracht sein mag. In ähnli¬ cher Weise sind gedoppelte Hinterradlenkwinkel-Sensoreinheiten Lwrl/2 angebracht, welche z.B. getrennt voneinander den Hinter¬ rad-Lenkwinkel an beiden Hinterrädern und/oder indirekt an zu¬ gehörenden Lenkstangen und/oder Lenkgetriebeteilen messen. Fer- rier sind Sensoreinheiten Tach und ABS zur Erfassung der Fahr¬ zeuggeschwindigkeit und des Bre ssystemes angebracht.
    [0034] Das in FIG 2 gezeigte Beispiel enthält wieder zwei Rechner Pl, P2, wobei die Signale der Sensoren, d.h. die den Rechnern zuge- führten Steuersignale, wie bei dem in FIG 1 gezeigten Beispiel in den beiden Rechnern Pl, P2 ausgewertet werden.
    [0035] Das in FIG 2 gezeigt Beispiel enthält Leistungsverstärker als Zwischenverstärker Zv, welche ihrerseits dann die Lenkeinrich- tung LE steuern, wobei hier die Lenkeinrichtung LE beispielhaft nach einem hydraulischen Verfahren arbeitet. Die Druckflüssig¬ keit Hy wirkt über mechanische Sicherheitsventile Vm, über hy¬ draulische Sicherheitsventile Vh und Servoventile Vs auf hydrau lisch gesteuerte Lenkwinkel-Beeinflussungseinheiten der Hinter- räder, von denen eines, mit H bezeichnet, symbolisch mit Teilen seines Lenkgestänges, angedeutet ist. Beispielhaft sind Senso¬ ren Lwrl/2 gezeigt, welche indirekt den Lenkwinkel der Hinter- r der H er assen. Auc er s e e er o eraπz er euer¬ einheit erhöht, indem erfindungsgemäß verhindert wird, daß die Recheneinheit irrtümlicherweise kein Leπknotsignal abgibt, ob¬ wohl ein Notfall vorliegt, wobei jeder der beiden Rechner für sich, unabhängig vom andern Rechner, im Notfall sein Lenknotsi¬ gnal sofort an die Lenkeinrichtung abgibt.
    [0036] Den Rechnern Pl, P2 können zum Selbsttest der Steuereinheit wie bei dem in FIG 1 gezeigten Beispiel Testsignale und/oder Status Signale St - vgl. FIG 1, in FIG 2 nicht gezeigt - von Bestand¬ teilen der Steuereinheit zugeführt werden, wobei der betreffen¬ de Rechner Pl und/oder P2, sobald er gemäß dem Selbsttest Stö¬ rungen von Bestandteile, z.B. eines der gedoppelten Sensoren oder eines Notorgans Noh/Nom oder eines der Rechner Pl , P2 selbst feststellte, in jedem Fall sicherheitshalber ein Lenknot signal an die hier gedoppelten -oder nicht gedoppelten - Lenk¬ notorgane abgibt, um die Sicherheit des Straßenfahrzeugs zu er¬ höhen. Auf diese Weise ist auch bei dem in FIG 2 gezeigten Bei¬ spiel die gefährliche Situation vermieden, daß bei wesentlichen Defekten oder Fehlzuständen der betreffenden Bestandteile die Zuverlässigkeit der Steuereinheit erheblich reduziert ist. Auch hier kann der Fahrer des Straßenfahrzeugs - wie bei dem in FIG 1 gezeigten Beispiel - insbesondere durch signalisierende Lam¬ pen L angehalten werden, möglichst bald eine Werkstatt aufzusu- chen, um den Defekt der betreffenden Bestandteile beseitigen zu lassen.
    [0037] Bei dem' in FIG 1 gezeigten Beispiel enthält die Lenkeinrichtung LE in redundanter*Weise mindestens zwei Notorgange Noh/Nom, die jedes für sich im Notfall dem Lenkwinkel entsprechend dem ge¬ wählte Notbetriebskonzept notfallgerecht steuern. Dadurch ist ermöglicht, daß trotz eines Defektes eines dieser beiden Notor¬ gane das vom Rechner abgegebene Lenknotsignal zuverlässig eine notfallgerechte Steuerung der Lenkung der Hinterräder auslöst, weil das noch einwandfrei funktionierende andere Notorgan in diesem Fall die notfallgerechte Steuerung seinerseits auslöst. Jeder Rechner gibt bei dem in FIG 1 gezeigten Beispiel sein Lenkungsnotsignal - jedenfalls im Regelfall - jeweils an beide Notorgane Noh/Nom ab, und zwar jeweils über individuell den einzelnen Rechnern P1/P2 zugeordnete eigene Lenknotsignallei- tungen. Ein Bruch oder eine sonstige Störung auf einer solchen Lenknotsignalleitung sowie der völlige Ausfall eines der Rech¬ ner behindert dann noch nicht die notfallgerechte Steuerung der Lenkung der Hinterräder.
    [0038] Beim Start des Straßenfahrzeuges können beide Notorgane zu¬ nächst wie im Notfall betrieben werden. Die Sicherheit des Straßenfahrzeuges ist dann auch beim Start erhöht, bei welchem manche der Sensorsignale, vgl. z.B. Ss, noch keine brauchbaren Werte darstellen und eine zuverlässige Auswertung durch die beiden Rechner oft noch unmöglich ist.
    [0039] Besonders bei dem in FIG 1 gezeigten Beispiel tauschen beide Rechner Pl, P2 - zur nachträglichen Notfalldiagnose und/oder zum gegenseitigen Testen während des laufenden Betriebes und/ oder beim Start des Straßenfahrzeuges - jeweils direkt oder indirekt entsprechende dokumentierende Informationen aus. Das kann auf verschiedene Weisen durchgeführt werden :
    [0040] Die schon oben erwähnte Überwachungseinheit Sv, vgl. FIG 1, kann ihrerseits einen nachträglichen Vergleich zwischen den beiden Rechnern - insbesondere zwischen deren relevanten Zwi¬ schenergebnisse und Endergebnisse der Auswertungen - verglei¬ chen und bei Bedarf die Rechner mittels des Interrupt-Signals IntR unterbrechen, z.B. um besondere Eigentestprogramme in den beiden Rechnern ablaufen und um nachträglich die Rechner mit¬ tels eines Startsignals Reset wieder anlaufen zu lassen. Beson¬ ders falls sich einer oder beide Rechner total "verrannten", also die Iterativverfahren nach einer vernünftigen Zeitdauer zu keinem genügend präzisen Ergebnis führten, kann diese Überwa- chungseinheit Sv, z.B. mittels eines Watch-Dog und des Reset- Signales den oder die betreffenden Rechner wieder neu starten. Im Prinzip ist es jedoch nicht nötig, eine eigene solche Über¬ wachungseinheit Sv anzubringen. Stattdessen können solche Über¬ wachungen auch innerhalb der Rechner Pl, P2 selbst von Zeit zu Zeit, z.B. mit Hilfe eines Watch-Dog und direkte Leitungen DL, erreicht werden, besonders wenn die Rechner Speicherbereiche in sich aufweisen, in welche der andere Rechner aktiv schreiben und aus welchem der andere Rechner aktiv lesen kann, ohne den Betrieb des hierbei passiven Rechners zu unterbrechen.
    [0041] Dazu können die Informationen z.B. aber auch in dem Dual-Port- RAM DPR so zwischengespeichert werden, daß jeder Rechner Pl, P2 dort einen Speicherbereich hat, in welchem er selbst Schreiben und Lesen und der andere Rechner aber nur Lesen kann. Dies ist durch die besondere Art der Pfeile zwischen den Rechnern Pl, P2 und dem betreffenden Speicher DPR angedeutet. Dieser Speicher DPR kann jedoch zusätzlich einen besonderen Speicherbereich aufweisen, welcher von beiden Rechnern Pl, P2 beliebig gelesen und (!) beschrieben werden kann.
    [0042] Mittels eines solchen Speichers DPR kann übrigens auch eine Do¬ kumentation erstellt werden, welche zusätzlich Steuerbefehle dokumentiert, die zu den Zwischenergebnissen oder zum Endergeb¬ nis der Auswertung führten: Durch Vergleich solcher Dokumente können sich bei Bedarf die Rechner auch gegenseitig neu star- ten, falls die gespeicherten Informationen zu stark divergieren und besonders auch, fa.lls die Rechner sich gänzlich verrannten. Der Speicher DPR hat den Vorzug, daß die Rechner sogar asyn¬ chron, jedenfalls taktverschoben arbeiten können, ohne daß sich die Rechner gegenseitig durch den Vergleich verzögern und die rasche unmittelbare Erzeugung des Lenknotsignales zu behindern.
    [0043] Die Rechner können so - besonders nach Abgabe eines Lenknotsi¬ gnals und/oder nach dem Erkennen eines einem Fehler entsprechen¬ den Statussignals St eines beliebigen Bestandteils, vgl. Noh, Sa, L, Sv, Nom - also zur Fehlerdiagnose veranlaßt, wozu beide Rechner angehalten werden können. Sobald die Diagnose getroffen und z.B. über die Einheit Diag abgespeichert wurde, werden schließlich beide Rechner neu gestartet. Falls beim Start die Lenkung zunächst wie im Notfalls betrieben wird, sollte die Lenkeinrichtung LE erst dann in den Normalbe¬ trieb übergehen, wenn die Steuersignale und/oder die genannten Informationen ergaben, daß ein kein Notfall vorliegt.
    [0044] Bevorzugt wird in der Startphase des Straßenfahrzeugs jedem Rechner ein anderes Notorgan der beiden Notorgane individuell zugeordnet, bis die Überprüfung der Notorgane schließlich deren Fehlerfreiheit signalisiert. Nach dem Übergang in den Normalbe- trieb liefert im Notfall jeder Rechner sein Lenknotsignal aber direkt an beide Notorgane ab. Damit ist auf relativ übersicht¬ liche Weise sicherstellbar, daß die Rechner und mehr oder weni¬ ger alle wesentlichen Organe der Steuereinheit überprüften, be¬ vor zum Normalbetrieb, d.h. zum normalen Lenken der Hinterräder, übergegangen wird.
    [0045] Besonders zuverlässig sind solche Notorgane, die selbst erst nach Aktivierung mittels eines besonderen Aktivierungsprozesses ihrerseits in den Nor albetriebszustand übergehen. Solche Not- organe sind also im Ruhezustand und unmittelbar nach dem Start des Straßenfahrzeuges von sich aus wie im Notfall betrieben, unabhängig von den beiden Rechnern.
    [0046] Die Rechner können im Prinzip synchron arbeiten. Bevorzugt wird aber ein Betrieb, bei welchem die beiden Rechner zwar synchron, aber angenähert um eine halbe Auswerteperiode zeitlich verscho¬ ben arbeiten. Wenn die Auswerteperiode eines Rechners also z.B. im Mittel 20 msec dauert, dann beträgt die optimale zeitliche Verschiebung angenähert 10 msec. Auf diese Weise ist erreichbar daß der eine Rechner sein Lenknotsignal bereits abgibt, während der andere seine Auswertung noch gar nicht abgeschloß. Eine sol che Steuereinheit reagiert also im Regelfall, solange nämlich beide Rechner einwandfrei arbeiten, im Notfall besonders rasch.
    [0047] Man kann jedoch die Zuverlässigkeit der Steuereinheit auch auf andere Weise zusätzlich erhöhen. So kann man die Rechner soft- ware-mäßig und/oder hardware-mäßig verschieden ausstatten und dann sogar asynchron betreiben. Entsprechend werden dann viele Folgen von Software-Fehlern und Hardware-Fehlern unschädlich, besonders wenn wegen unterschiedlicher Programme der eine der beiden Rechner sich verrennt, wo hingegen der andere Rechner aufgrund seines Programmes noch relativ rasch zu einem von ihm selbst akzeptierten Rechenergebnis kommt. Durch eine solche asynchrone Betriebsweise beider Rechner, welche besonders durch Software- und/oder Hardware-Unterschiede ermöglicht wird, kön¬ nen also beide Rechner sehr flexibel entsprechend ihrem jewei- ligen Zeitbedarf zur Auswertung der Steuersignale arbeiten, was gerade in kritischen Situationen die Reaktionsgeschwindigkeit der Steuereinheit stark erhöhen kann.
    [0048] Auch die Sensoren können in redundanter Weise mehrfach ange- bracht und also auch in redundanter, im Prinzip aber sehr unter schiedlicher Weise dieselbe physikalische Größe messen. Z.B. können Lenkwinkelausschläge einmal in unmittelbarer Nähe der betreffenden Räder und dann redundant zusätzlich nahe an Lenk¬ getriebeteilen gemessen werden. Vor allem ist es auch möglich, nur jenen Sensor der redundanten Sensoren für die Auswertung zu berücksichtigen, welcher die stärksten Anzeichen eines Not¬ falles liefert.
    [0049] Es ist nicht nötig, daß die Sensorsignale oder daraus gewonnene - z.B. digitale - Steuersignale stets unmittelbar den Rechnern zugeführt werden. Man kann dazwischen auch Aufbereitungseinhei¬ ten - vgl. Ael, Ae2, Ae3 in FIG 1 und Ae in FIG 2 - in die Zu¬ führungen einfügen, welche die Steuersignale vorbearbeiten, z.B. in aus den Sensorsignalen ableitbare Parameter umrechnen, und/oder aus verschiedenen Sensorsignalen ein gemeinsames Steu¬ ersignal erarbeiten. Solche Aufbereitungseinheiten ermöglichen, daß die Rechner Pl, P2 für sich in einem besonders raschen Aus¬ werteperiodentakt arbeiten können, was die Zuverlässigkeit der Steuereinheit weiter erhöht.
    [0050] Solche Aufbereitungseiπheiten können im Prinzip ihre Ergebnisse getrennt an die Rechner, vgl. AE1, AE2 in FIG 1, oder auch ge- meinsam an beide Rechner, vgl. Ae3 in FIG 1 und Ae in FIG 2, weitergeben. Wenn sie ihre Ergebnisse jeweils an beide Rechner weitergeben, wird die Entlastung der beiden Rechner mit beson¬ ders wenig Hardware-Aufwand erreicht - wobei dann, wenn diese Aufbereitungseinheit dann zusätzlich gedoppelt ist, vgl. FIG 2, eine gegenseitige Überwachung bzw. eine worst-case-Selection durch die Rechner möglich, und die Rechner auch bei fehlerhaf¬ tem Arbeiten einer der beiden Aufbereitungseinheiten noch sehr zuverlässig und rasch im Bedarfsfall ihr Lenknotsignal abgeben.
    [0051] Über eine nachträgliche Diagnose mittels einer Diagnoseeinheit Diag kann später bei der Wartung des Straßenfahrzeuges die Ur¬ sache von Störungen der Steuereinheit, z.B. bei Bedarf auch der Abweichungen zwischen den beiden Aufbereitungseinheiten, näher ermittelt werden.
    [0052] Im Prinzip, kann man Sensoren, welche redundant angebracht sind, so aufgeteilt an die Aufbereitungseinheiten anschließen, daß der eine Sensor an die eine Aufbereitungseinheit und der andere Sensor an die andere Aufbereitungseinheit angeschlossen wird, vgl. z.B. FIG 2. Dies"gestattet z.B., nachträglich die Ursachen für unterschiedliche Sensorsignale von an sich zusammengehören¬ den redundanten Sensoren, z.B. mittels der Einheit Diag oder z.B. durch die Rechner selbst oder durch die Überwachungsein- heit Sv - vgl. FIG 1 - zu ermitteln.
    [0053] 21 Patentansprüche 2 Figuren
    权利要求:
    ClaimsPatentansprüche
    1. Elektronische Steuereinheit zur Lenkung der Hinterräder ein Straßenfahrzeuges, mit - einer Lenkeinrichtung (LE) , die, ihrerseits in einem Notfal gesteuert von einem Lenknotsignal, entsprechend einem gewäh ten Notbetriebskonzept den Lenkwinkel der Hinterräder notfa gerecht steuert - also z.B. den Lenkwinkel verzögert auf NU steuert oder z.B. starr den zuletzt gegebenen Lenkwinkel bei behält,
    - Sensoren (SE mit Lwrl, Lwr2, ABS, Tach, Istl, Ist2, St), welche zumindest jeweils den Lenkwinkel (Lwrl, Lwr2), die Fahrgeschwindigkeit (Tach) und den Lenkradeinschlag (Lwl), oder davon jeweils abhängige Größen erfassen, und - einer Recheneinheit (P), die einen Rechner (Pl, P2) enthält, dem die Sensorsignale und/oder davon abgeleitete Signale als Steuersignale zugeführt werden und der (Pl, P2) , abhängig vo einer programmgesteuerten, Notfälle erkennenden Auswertung der Steuersignale, im Notfall das Lenknotsignal an die Lenk- einrichtung (LE) abgibt, d a d u r c h g e k e n n z e i c h n e t , daß in der Rechneneinheit (P) der Rechner gedoppelt (Pl, P2) ist die Steuersignale jedem der beiden Rechner (Pl, P2) zugeführ werden, - beide Rechner (Pl, P2) für sich die Steuersignale auswerten, und jeder Rechner (Pl, P2) für sich, unabhängig vom anderen Rechner .(P2, Pl), im Notfall ein Lenknotsignal sofort an die Lenkeinrichtung (LE) abgibt.
    2. Steuereinheit nach Patentanspruch 1, d a d u r c h g e k e n n z e i c h n e t , daß den Rechnern (Pl, P2) zum Selbsttest der Steuereinheit auch Testsignale und/oder Statussignale (St) von Bestandteilen (Noh, Sa, L, Sv, Nom) der Steuereinheit zugeführt werden, un der betreffende Rechner (Pl, P2), wenn er gemäß dem Selbst¬ test Störungen eigener Bestandteile erkannte, ein Lenknotsi¬ gnal abgibt.
    3. Steuereinheit nach Patentanspruch 1 oder 2, d a d u r c h g e k e n n z e i c h n e t , daß die Lenkeinrichtung (LE) in redundanter Weise mindestens zwei Notorgane (Noh, Nom) aufweist, die jedes für sich im Notfall den Lenkwinkel entsprechend dem Notbetriebskonzept notfallge¬ recht steuern kann.
    4. Steuereinheit nach Patentanspruch 3, d a d u r c h g e k e n n z e i c h n e t , daß - jeder Rechner (Pl, P2) sein Lenknotsignal - jedenfalls im
    Regelfall - jeweils an beide Notorgane (Noh, Nom) über indi¬ viduell den einzelnen Rechnern (Pl, P2) zugeordnete Lenknot¬ signalleitungen abgibt.
    5. Steuereinheit nach einem der vorhergehenden Patentansprüche, d a d u r c h g e k e n n z e i c h n e t , daß beide Rechner (Pl, P2), zur nachträglichen Notfalldiagnose und/oder zum gegenseitigen Testen beim Start und/oder beim laufenden Betrieb des Straßenfahrzeuges, Informationen aus- tauschen.
    6. Steuereinheit nach Patentanspruch 5, d a d u r c h g e k e n n z e i c h n e t , daß daß die Informationen in einem Dual-Port-RAM (DPR) so gespei- chert werden, daß jeder Rechner (Pl, P2) dort einen Speicher¬ bereich hat, in welchem er selbst schreiben und lesen kann .und in welchem aber der andere Rechner (P2, Pl) jeweils nur lesen kann, unabhängig davon, ob evtl. zusätzlich ein beson¬ derer Speicherbereich von beiden Rechnern (Pl, P2) gelesen und beschrieben werden kann.
    7. Steuereinheit nach Patentanspruch 5 oder 6, d a d u r c h g e k e n n z e i c h n e t , daß nach Abgabe eines Lenknotsignals und/oder nach Erkennen eines einen Fehler entsprechenden Statussignals (St) eines Bestand¬ teils (Noh, Sa, L, Sv, Nom) der Steuereinheit, beide Rechner (Pl, P2) angehalten, zur Fehlerdiagnose veranlaßt und schließ lich beide (Pl, P2) neu gestartet werden.
    8. Steuereinheit nach einem der vorhergehenden Patentansprüch d a d u r c h g e k e n n z e i c h n e t , daß beim Start des Straßeπfahrzeuges das Notorgan (Noh, Nom) zunächst wie im Notfall betrieben wird.
    9. Steuereinheit nach Patentanspruch 8 und einem der Patentan¬ sprüche" 3 oder 4, d a d u r c h g e k e n n z e i c h n e t , daß in der Startphase des Straßenfahrzeuges jedem Rechner (Pl, P2) ein anderes Notorgan (Noh, Nom) der beiden Notorgane
    (Noh, Nom) individuell zugeordnet ist, bis eine Überprüfung der Notorgane (Noh, Nom) deren Fehlerfreiheit ergab.
    10. Steuereinheit nach Patentanspruch 9, d a d u r c h g e k e n n z e i c h n e t , daß die Lenkeinrichtung (LE) erst dann in den Normalbetrieb über geht, sobald die Steuersignale und/oder zwischen den Rechner (Pl, P2) ausgetauschte Informationen ergeben, daß kein Not¬ fall vorliegt.
    11. Steuereinheit nach einem der vorhergehenden Patentansprüche d a d u r c h g e k e n n z e i c h n e t , daß beide Notorgane (Noh, Nom) so aufgebaut sind, daß sie nach dem Start des Straßenfahrzeuges nur nach Aktivierung mittels eines besonderen Aktivierungsprozesses in den Normalbetriebs zustand übergehen.
    12. Steuereinheit nach einem der vorhergehenden Patentansprüche d a d u r c h g e k e n n z e i c h n e t , daß - zumindest einer der beiden Rechner (Pl, P2) bei Normalbetrie Lenksigπale erzeugt, die er an die Lenkeinrichtung (LE, be¬ sonders Sa) zur normalen Lenkwinkelsteuerung abgibt.
    13. Steuereinheit nach einem der vorhergehenden Patentansprüche d a d u r c h g e k e n n z e i c h n e t , daß beide Rechner (Pl, P2) synchron auswerten.
    14. Steuereinheit nach Patentanspruch 13, d a d u r c h g e k e n n z e i c h n e t , daß beide Rechner (Pl, P2) synchron, aber angenähert um eine halbe Auswerteperiode zeitlich verschoben, auswerten.
    15. Steuereinheit nach einem der vorhergehenden Patentansprüche, d a d u r c h g e k e n n z e i c h n e t , daß der eine Rechner (Pl) ein anderes Auswerteprogramm enthält als der andere Rechner (P2).
    16. Steuereinheit nach einem der vorhergehenden Patentansprüche, d a d u r c h g e k e n n z e i c h n e t , daß der eine Rechner (Pl) einen anderen Hardwareaufbau aufweist als der andere Rechner (P2).
    17. Steuereinheit nach einem der Patentansprüche 1 bis 13 und nach mindestens einem der Patentansprüche 15 oder 16, d a d u r c h g e k e n n z e i c h n e t , daß beide Rechner (Pl, P2) asynchron auswerten.
    18. Steuereinheit nach einem der vorhergehenden Patentansprüche, d a d u r c h g e k e n n z e i c h n e t , daß zumindest einer der den Rechnern (Pl, P2) zugeordneten Senso¬ ren (Lwrl, Lwr2, Istl, Ist2) bzw. zumindest eines den den Rechnern zugeführten Steuersignale, bezogen auf die Gesamt¬ heit der Steuersignale, an sich redundant ist.
    19. Steuereinheit nach einem der vorhergehenden Patentansprüche, d a d u r c h g e k e n n z e i c h n e t , daß - zwischen zumindest einem Teil der Sensoren (Lwrl, Lwr2, ABS, Tach, Istl, Ist2, Stat) und den Eingängen zumindest eines der Rechner (Pl) jeweils eine Hardware als Aufbereitungseinheit (Ael, Ae2), die aus den Sensorsignalen abgeleitete Steuersi¬ gnale erzeugt, so eingefügt ist, daß die betreffenden Steuer- Signale jeweils dem individuell der Aufbereitungseinheit
    (Ael) nachgeschalteten einzigen (Ael an Pl, Ae2 an P2) der beiden Rechner (Pl, P2) allein zugeführt werden.
    20. Steuereinheit nach einem der Patentansprüche 1 bis 18, d a d u r c h g e k e n n z e i c h n e t , daß zwischen zumindest einem Teil der Sensoren (Lwll, Lwr2, ABS, Tach, Istl, Ist2) und den Eingängen der Rechner (Pl, P2) je- weils eine Hardware als Aufbereitungseinheit (Ae3), die aus den Sensorsignalen abgeleitete Steuersignale erzeugt, so ein gefügt ist, daß die betreffenden Steuersignale jeweils beide Rechnern (Pl, P2) zugeführt werden.
    21. Steuereinheit nach Patentansprüchen 18 und nach Patentan¬ spruch 19 oder 20, d a d u r c h g e k e n n z e i c h n e t , daß jeweils der eine (Lwrl, Istl) von zwei zusammengehörenden redundanten Sensoren (Lwrl/Lwr2, Istl/Ist2) an die eine Auf- bereitungseinheit, und der andere (Lwr2, Ist2) dieser Senso¬ ren (Lwrl/Lwr2, Istl/Ist2) an die andere Aufbereitungseinhei angeschlossen ist.
    类似技术:
    公开号 | 公开日 | 专利标题
    US5952799A|1999-09-14|Electrical brake system
    US5980081A|1999-11-09|Control system having effective error detection capabilities
    DE10163332B4|2010-07-01|Fehlerdiagnoseverfahren für einen Antriebswellendrehzahlsensor eines Automatikgetriebes
    EP0386954B2|1998-08-12|Elektronisches Bremssystem
    US4495457A|1985-01-22|Method of preventing erroneous gear selection in a vehicle transmission
    US6823251B1|2004-11-23|Microprocessor system for safety-critical control systems
    KR101708083B1|2017-02-27|자율적으로 구동하는 차량의 안전한 스티어링 시스템
    EP1633612B1|2008-07-09|Redundante architektur für ein brake-by-wire system
    US6299261B1|2001-10-09|Electric brake system for a motor vehicle
    DE19836581B4|2006-03-30|Hydraulisches Bremsdrucksteuersystem
    JP4495269B2|2010-06-30|自動車ブレーキ装置の制御方法および装置
    JP3343705B2|2002-11-11|自動車における自動制動過程を終了させる装置
    US4667176A|1987-05-19|Failure-monitor system for an automotive digital control system
    US20140277608A1|2014-09-18|Fault Tolerant Control System
    JP5456030B2|2014-03-26|車両のシステムを監視するための監視装置
    JP4390892B2|2009-12-24|自動車ブレーキ装置の制御方法および装置
    US4860333A|1989-08-22|Error protected central control unit of a switching system and method of operation of its memory configuration
    US6008604A|1999-12-28|Electric motor wheel brake for vehicle
    US5752748A|1998-05-19|Electronic brake system with back-up control during central module failure
    US5777218A|1998-07-07|Monitor for uncommanded braking
    US6157887A|2000-12-05|Brake system for a motor vehicle
    EP2750946B1|2015-07-29|Erkennung und korrektur von unbeabsichtigter beschleunigung
    EP0503225B2|2002-08-07|Einrichtung mit Mitteln zur Fehlererkennung und -Anzeige
    US6559612B2|2003-05-06|System and method for the electronic control of an actuator assigned to an automatic control system in motor vehicles
    RU2284929C2|2006-10-10|Способ управления компонентом важной для обеспечения безопасности распределенной системы
    同族专利:
    公开号 | 公开日
    EP0418258B2|1996-08-28|
    EP0418258B1|1992-04-29|
    JP2513878B2|1996-07-03|
    JPH03504362A|1991-09-26|
    EP0418258A1|1991-03-27|
    DE3816254A1|1989-11-23|
    引用文献:
    公开号 | 申请日 | 公开日 | 申请人 | 专利标题
    法律状态:
    1989-11-16| AK| Designated states|Kind code of ref document: A1 Designated state(s): JP US |
    1989-11-16| AL| Designated countries for regional patents|Kind code of ref document: A1 Designated state(s): AT BE CH DE FR GB IT LU NL SE |
    1990-06-08| WWE| Wipo information: entry into national phase|Ref document number: 1989905389 Country of ref document: EP |
    1991-03-27| WWP| Wipo information: published in national office|Ref document number: 1989905389 Country of ref document: EP |
    1992-04-29| WWG| Wipo information: grant in national office|Ref document number: 1989905389 Country of ref document: EP |
    优先权:
    申请号 | 申请日 | 专利标题
    DEP3816254.7||1988-05-11||
    DE19883816254|DE3816254A1|1988-05-11|1988-05-11|Steuereinheit zur lenkung der hinterraeder eines strassenfahrzeuges|EP89905389A| EP0418258B2|1988-05-11|1989-05-10|Steuereinheit zur lenkung der hinterräder eines strassenfahrzeuges|
    DE1989501285| DE58901285D1|1988-05-11|1989-05-10|Steuereinheit zur lenkung der hinterraeder eines strassenfahrzeuges.|
    [返回顶部]