Beschreibung

Die vorliegende Erfindung bezieht sich auf ein Kontrollsystem für ein Kraftfahrzeug nach dem Oberbegriff des Anspruchs 1 , ein Kraftfahrzeug nach dem Oberbegriff des Anspruchs 7, ein Verfahren zur Kontrolle eines Kraftfahrzeugs nach dem Oberbegriff des Anspruchs 8, ein Computerprogrammprodukt und ein computerlesbares Medium.

Derartige Kontrollsysteme für Kraftfahrzeuge, Kraftfahrzeuge, Verfahren zur Kontrolle von Kraftfahrzeugen, Computerprogrammprodukte und computerlesbare Medien sind aus dem Stand der Technik in zahlreichen Ausführungsvarianten bereits bekannt.

Beispielsweise ist es aus der Maschinenübersetzung der FR 2 843 341 B1 ins Engli sche ein Kontrollsystem für ein Kraftfahrzeug bekannt, umfassend ein erstes als Bremssteuergerät ausgebildetes Steuergerät zur Kontrolle einer als Bremsfunktion ausgebildeten ersten Funktion des Kraftfahrzeugs, ein zweites als Lenksteuergerät ausgebildetes Steuergerät zur Kontrolle einer als Lenkfunktion ausgebildeten zweiten Funktion des Kraftfahrzeugs und ein als Zentralsteuergerät ausgebildetes Reserve steuergerät, wobei das Bremssteuergerät und das Lenksteuergerät jeweils mit min destens einem Aktor signalübertragend und leistungsübertragend verbunden sind, und wobei das Bremssteuergerät mit dem Zentralsteuergerät signalübertragend ver bunden ist. Im Fehlerfall des Bremssteuergeräts wird eine Notbremsung von dem Zentralsteuergerät eingeleitet und kontrolliert.

Hier setzt die vorliegende Erfindung an.

Der vorliegenden Erfindung liegt die Aufgabe zugrunde, die ordnungsgemäße Ausfüh rung von mittels Steuergeräten kontrollierter Funktionen eines Kraftfahrzeugs auch bei einem fehlerhaften Steuergerät mit möglichst geringem Zusatzaufwand zu gewährleis ten. Diese Aufgabe wird durch ein Kontrollsystem mit den Merkmalen des Anspruchs 1 , ein Kraftfahrzeug mit den Merkmalen des Anspruchs 7, ein Verfahren mit den Merk malen des Anspruchs 8, ein Computerprogrammprodukt mit den Merkmalen des An spruchs 1 1 und ein computerlesbares Medium mit den Merkmalen des Anspruchs 12 gelöst. Die Unteransprüche betreffen vorteilhafte Weiterbildungen der Erfindung.

Ein wesentlicher Vorteil der Erfindung liegt insbesondere darin, dass voneinander ver schiedene und mittels Steuergeräten kontrollierte Funktionen eines Kraftfahrzeugs auch im Fehlerfall eines der Steuergeräte mit einem möglichst geringen Mehraufwand sicher weiter ausgeführt werden. Dabei werden mindestens zwei voneinander ver schiedene und jeweils durch ein Steuergerät kontrollierte Funktionen des Kraftfahr zeugs im Fehlerfall eines der beiden Steuergeräte weiter ausgeführt, ohne dass für beide Steuergeräte jeweils ein Reservesteuergerät vorgehalten werden müsste. Ent sprechend ist es möglich, Bauraum und Gewicht einzusparen sowie die Kosten zu reduzieren. Gerade bei modernen Kraftfahrzeugen mit einem hohen Grad an elektrisch und elektronisch ausgebildeter Funktionalität, also einer Vielzahl von mittels Steuergeräten kontrollierten Funktionen, ist dies sehr wichtig. Das Vorsehen von einer ersten Reserveleistungselektronik für den ersten Aktor und einer zweiten Reserveleis tungselektronik für den zweiten Aktor schafft darüber hinaus eine zusätzliche Redun danz, so dass die Sicherheit gegenüber einer Fehlfunktion weiter verbessert ist.

Die Formulierung, wonach mindestens das erste oder das zweite Steuergerät mit dem Reservesteuergerät signalübertragend verbunden ist gemäß der Oberbegriffe des An spruchs 1 , 7 und 8, sowie die Formulierung, wonach das Reservesteuergerät mit dem ersten und dem zweiten Steuergerät signalübertragend verbunden ist in den Kennzei chen der Ansprüche 1 , 7 und 8 sind allgemein auszulegen. Anstelle direkter signal übertragender Verbindungen sind auch indirekte signalübertragende Verbindungen denkbar.

Beispielsweise wäre unter einer indirekten signalübertragenden Verbindung auch zu verstehen, dass das erste und/oder zweite Steuergerät im jeweiligen Fehlerfall eine Fehlermeldung mittels einer signalübertragenden Verbindung an ein übergeordnetes Steuergerät weiterleitet und das übergeordnete Steuergerät dann ein entsprechendes Ausgangssignal erzeugt und dieses an das Reservesteuergerät übermittelt. Somit führt das Ausgangssignal des übergeordneten Steuergeräts zu einer Konfiguration des Reservesteuergeräts derart, dass mittels des Reservesteuergeräts die zu dem fehlerhaften Steuergerät korrespondierende Funktion des Kraftfahrzeugs kontrollierbar ist. Entsprechendes gilt für das erfindungsgemäße Verfahren, wonach das Reserve steuergerät in Abhängigkeit des Ausgangssignals des übergeordneten Steuergeräts die zu dem fehlerhaften Steuergerät korrespondierende Funktion des Kraftfahrzeugs kontrolliert. Bei dem übergeordneten Steuergerät kann es sich beispielsweise um ein Zentralsteuergerät handeln.

Grundsätzlich ist es erfindungsgemäß auch denkbar, dass ein einziges Reservesteu ergerät auch für mehr als zwei voneinander verschiedene Funktionen des Kraftfahr zeugs kontrollierende Steuergeräte eingesetzt wird. Auf diese Weise lassen sich die oben genannten Vorteile noch steigern. Der Begriff„Steuergerät“ ist erfindungsgemäß allgemein zu verstehen und bezeichnet jede Art eines elektrischen oder elektroni schen Geräts zur automatischen Kontrolle einer Funktion eines Kraftfahrzeugs.

Die erste und die zweite Reserveleistungselektronik sind nach Art, Funktion, Material, Dimensionierung, Anzahl und Anordnung in weiten geeigneten Grenzen frei wählbar. Eine vorteilhafte Weiterbildung sieht vor, dass die erste und/oder die zweite Reserve leistungselektronik räumlich getrennt von dem Reservesteuergerät angeordnet sind/ist. Auf diese Weise ist die EMV, also die Elektromagnetische Verträglichkeit, des Kontrollsystems verbessert.

Eine vorteilhafte Weiterbildung der vorgenannten Ausführungsform des erfindungs gemäßen Kontrollsystems sieht vor, dass die erste Reserveleistungselektronik in un mittelbarer räumlicher Nähe zu dem ersten Aktor und/oder die zweite Reserveleis tungselektronik in unmittelbarer räumlicher Nähe zu dem zweiten Aktor angeordnet sind/ist. Hierdurch sind die Wege für die elektrischen Leitungen zwischen der jeweili- gen Reserveleistungselektronik und dem dazu korrespondierenden Aktor möglichst kurzgehalten. Ferner ist dadurch ein kompakter Aufbau ermöglicht.

Eine besonders vorteilhafte Weiterbildung des erfindungsgemäßen Kontrollsystems sieht vor, dass die erste Reserveleistungselektronik mittels eines Trennschalters mit dem ersten Aktor und/oder die zweite Reserveleistungselektronik mittels eines Trenn schalters mit dem zweiten Aktor stromleitend verbindbar sind/ist. Auf diese Weise ist im Notfall eine sichere, nämlich galvanische, Trennung der ersten und/oder der zwei ten Reserveleistungselektronik von dem jeweils korrespondierenden Aktor ermöglicht. Entsprechend benötigt das Reservesteuergerät selbst keine galvanisch trennbare Endstufe.

Zwar ist es möglich, dass das Reservesteuergerät lediglich für den Fehlerfall des ers ten oder des zweiten Steuergeräts vorgehalten wird. Eine besonders vorteilhafte Wei terbildung des erfindungsgemäßen Kontrollsystems sieht jedoch vor, dass das Reser vesteuergerät gleichzeitig als ein drittes Steuergerät zur Kontrolle einer dritten Funkti on des Kraftfahrzeugs ausgebildet ist und in Abhängigkeit des Eingangs des Fehler signals zusätzlich zu der oder anstatt der dritten Funktion des Kraftfahrzeugs mittels des Reservesteuergeräts der zu dem fehlerhaften ersten oder zweiten Steuergerät korrespondierende erste oder zweite Aktor des Kraftfahrzeugs kontrollierbar ist. Hier durch sind der erforderliche Bauraum und das Gewicht sowie die damit verbundenen Herstellkosten des Kraftfahrzeugs weiter reduziert.

Gleiches gilt für eine Weiterbildung des erfindungsgemäßen Verfahrens, wonach das Reservesteuergerät gleichzeitig als ein drittes Steuergerät zur Kontrolle einer dritten Funktion des Kraftfahrzeugs ausgebildet ist und in Abhängigkeit des Eingangs des Fehlersignals zusätzlich zu der oder anstatt der dritten Funktion des Kraftfahrzeugs den zu dem fehlerhaften ersten oder zweiten Steuergerät korrespondierenden Aktor des Kraftfahrzeugs kontrolliert.

Grundsätzlich sind die erste durch ein erstes Steuergerät und die zweite durch ein zweites Steuergerät kontrollierte Funktion des Kraftfahrzeugs in weiten geeigneten Grenzen frei wählbar. Eine besonders vorteilhafte Weiterbildung sieht jedoch vor, dass die erste Funktion des Kraftfahrzeugs als Bremsfunktion des Kraftfahrzeugs und die zweite Funktion des Kraftfahrzeugs als Lenkfunktion des Kraftfahrzeugs ausgebil det ist. Hierbei handelt es sich um zentrale und sicherheitsrelevante Funktionen des Kraftfahrzeugs, deren ordnungsgemäße Ausführung besonders bei autonomen Kraft fahrzeugen von entscheidender Bedeutung ist.

Autonome Kraftfahrzeuge sind Kraftfahrzeuge, bei denen der Fahrzeugführer, wenn überhaupt, lediglich noch eine gewisse Kontrollaufgabe wahrnimmt. Autonome Kraft fahrzeuge sind also dazu konstruiert und eingerichtet, um im Wesentlichen unabhän gig von dem Eingreifen eines Fahrzeugführers am Straßenverkehr teilzunehmen. Der Fahrzeugführer ist mehr ein Passagier als ein die Funktionen des Kraftfahrzeugs be stimmender Entscheider.

Jedoch ist der Begriff„autonom“ weit auszulegen, so dass verschiedene Grade von autonomen Fahren und autonomen Kraftfahrzeugen davon umfasst sind. Beispiels weise sei hier ein situationsbedingtes autonomes Fahren und damit situationsbedingt autonom fahrende Kraftfahrzeuge genannt, bei denen je nach Verkehrssituation und/oder durchzuführendem Fahrmanöver ein autonomes Fahren erfolgt oder auch nicht. Entsprechend kann alternativ auch von automatisiertem Fahren und automati sierten Kraftfahrzeugen gesprochen werden.

Analoges gilt für eine vorteilhafte Weiterbildung des erfindungsgemäßen Verfahrens, wonach die erste Funktion des Kraftfahrzeugs als Bremsfunktion des Kraftfahrzeugs und die zweite Funktion des Kraftfahrzeugs als Lenkfunktion des Kraftfahrzeugs aus gebildet ist.

Eine weitere vorteilhafte Weiterbildung des erfindungsgemäßen Kontrollsystems sieht vor, dass das Kontrollsystem eine Bedienungsschnittstelle aufweist und in Abhängig keit des Anliegens eines Aktivierungssignals an der Bedienungsschnittstelle von ei nem Deaktivierungszustand in einen Aktivierungszustand überführbar ist, wobei das Reservesteuergerät in dem Deaktivierungszustand des Kontrollsystems die zu dem fehlerhaften Steuergerät korrespondierende Funktion des Kraftfahrzeugs unabhängig von dem Eingang des Fehlersignals nicht kontrolliert und in dem Aktivierungszustand des Kontrollsystems die zu dem fehlerhaften Steuergerät korrespondierende Funktion des Kraftfahrzeugs in Abhängigkeit von dem Eingang des Fehlersignals kontrolliert. Hierdurch ist es möglich, Kraftfahrzeuge mit dem erfindungsgemäßen Kontrollsystem bereits zu einem Zeitpunkt auszustatten, zu dem beispielsweise autonome Kraftfahr zeuge und damit einhergehende Funktionalitäten gesetzlich noch nicht zulässig sind. Bei einer späteren Gesetzesänderung ist dann eine Umstellung auf einen autonomen Fährbetrieb des Kraftfahrzeugs und damit auf ein erfindungsgemäßes Kontrollsystem in dessen Aktivierungszustand mit geringem Aufwand möglich.

Dies ist von Vorteil, wenn es in verschiedenen Staaten voneinander abweichende Ge setzeslagen gibt; beispielsweise in Hinblick auf die Zulässigkeit von autonomen Kraft fahrzeugen. Gemäß der vorgenannten Weiterbildung ist es möglich, trotz abweichen der gesetzlicher Bestimmungen in einzelnen Staaten ein bezüglich der erfindungsre levanten Komponenten einheitliches Kraftfahrzeugmodell zu entwickeln, herzustellen und zu vertreiben.

Gleiches gilt für die Weiterbildung des erfindungsgemäßen Verfahrens zur Kontrolle eine Kraftfahrzeugs, wonach das Kontrollsystem eine Bedienungsschnittstelle auf weist und in Abhängigkeit des Anliegens eines Aktivierungssignals an der Bedie nungsschnittstelle von einem Deaktivierungszustand in einen Aktivierungszustand überführt wird, wobei das Reservesteuergerät in dem Deaktivierungszustand des Kon trollsystems die zu dem fehlerhaften Steuergerät korrespondierende Funktion des Kraftfahrzeugs unabhängig von dem Eingang des Fehlersignals nicht kontrolliert und in dem Aktivierungszustand des Kontrollsystems die zu dem fehlerhaften Steuergerät korrespondierende Funktion des Kraftfahrzeugs in Abhängigkeit von dem Eingang des Fehlersignals kontrolliert.

Anhand der beigefügten, grob schematischen Zeichnung wird die Erfindung nachfol gend näher erläutert. Dabei zeigt die einzige: Fig. 1 ein Ausführungsbeispiel eines erfindungsgemäßen Kontrollsystems für ein Kraftfahrzeug.

In der Fig. 1 ist ein Ausführungsbeispiel eines erfindungsgemäßen Kontrollsystems für ein Kraftfahrzeug exemplarisch gezeigt. Das Kontrollsystem weist ein erstes Steuer gerät 2 für eine erste Funktion und ein zweites Steuergerät 4 für eine zweite Funktion eines nicht näher dargestellten Kraftfahrzeugs auf. Das Kraftfahrzeug ist dabei als ein autonomes Kraftfahrzeug ausgebildet, bei dem die Funktionen des Kraftfahrzeugs im Wesentlichen selbsttätig von dem Kraftfahrzeug ausgewählt und ausgeführt werden.

Die erste Funktion ist als Bremsfunktion und die zweite Funktion ist als Lenkfunktion des Kraftfahrzeugs ausgebildet. Entsprechend kontrolliert das erste Steuergerät 2 die Bremsfunktion des Kraftfahrzeugs und das zweite Steuergerät 4 die Lenkfunktion des Kraftfahrzeugs. Das Kontrollsystem weist zur Ausführung der Bremsfunktion einen als Bremse ausgebildeten ersten Aktor 6 und zur Ausführung der Lenkfunktion einen als Lenkung ausgebildeten zweiten Aktor 8 auf. Das erste Steuergerät 2 zur Kontrolle der Bremsfunktion des Kraftfahrzeugs ist in Signalübertragungsverbindung mit einer ers ten Leistungselektronik 6.1 des als Bremse ausgebildeten ersten Aktors 6 des Kraft fahrzeugs und das zweite Steuergerät 4 ist in Signalübertragungsverbindung mit einer zweiten Leistungselektronik 8.1 des als eine Lenkung ausgebildeten zweiten Aktors 8 des Kraftfahrzeugs. Auch wenn bei dem vorliegenden Ausführungsbeispiel von einem als Bremse ausgebildeten ersten Aktor 6 die Rede ist, ist es selbstverständlich, dass es sich erfindungsgemäß auch um eine Mehrzahl von Bremsen handeln kann.

Damit auch im Fehlerfall eines der Steuergeräte 2 und 4 die Bremsfunktion und die Lenkfunktion des Kraftfahrzeugs ordnungsgemäß und damit sicher ausgeführt werden können, weist das Kontrollsystem für das Kraftfahrzeug neben den beiden Steuerge räten 2 und 4 zusätzlich ein Reservesteuergerät 10 auf.

Die erste Leistungselektronik 6.1 ist dabei räumlich getrennt von dem ersten Steuer gerät 2, dem zweiten Steuergerät 4 und dem Reservesteuergerät 10 angeordnet, und bildet mit dem als Bremse ausgebildeten ersten Aktor 6 eine Baueinheit. Entspre chend ist die erste Leistungselektronik 6.1 in unmittelbarer räumlicher Nähe zu dem ersten Aktor 6 angeordnet. Die erste Leistungselektronik 6.1 ist mit dem ersten Aktor 6 mittels eines Trennschalters 6.2 stromleitend verbindbar. Somit lässt sich die erste Leistungselektronik 6.1 mittels des Trennschalters 6.2 bei einem Notfall sicher, näm lich galvanisch, von dem ersten Aktor 6 trennen. Gleiches gilt für eine mit dem Reser vesteuergerät 10 signalübertragend verbindbare erste Reserveleistungselektronik 6.3. Die Reserveleistungselektronik 6.3 ist ebenfalls Teil der vorgenannten Baueinheit, so dass diese Baueinheit die Bremse 6, die erste Leistungselektronik 6.1 und die erste Reserveleistungselektronik 6.3 umfasst. Demnach ist auch die erste Reserveleis tungselektronik 6.3 räumlich getrennt von dem Reservesteuergerät 10 und in unmit telbarer räumlicher Nähe zu dem ersten Aktor 6, nämlich der Bremse 6, angeordnet. Die erste Reserveleistungselektronik 6.3 ist mit dem ersten Aktor 6 ebenfalls mittels eines Trennschalters 6.4 stromleitend verbindbar. Somit lässt sich die erste Reserve leistungselektronik 6.3 mittels des Trennschalters 6.4 bei einem Notfall sicher, nämlich galvanisch, von dem ersten Aktor 6 trennen.

Analoges gilt für die zweite Leistungselektronik 8.1 . Die zweite Leistungselektronik 8.1 ist ebenfalls räumlich getrennt von dem ersten Steuergerät 2, dem zweiten Steuerge rät 4 und dem Reservesteuergerät 10 angeordnet und bildet mit dem als Lenkung ausgebildeten zweiten Aktor 8 eine Baueinheit. Entsprechend ist die zweite Leis tungselektronik 8.1 in unmittelbarer räumlicher Nähe zu dem zweiten Aktor 8 ange ordnet. Die zweite Leistungselektronik 8.1 ist mit dem zweiten Aktor 8 mittels eines Trennschalters 8.2 stromleitend verbindbar. Somit lässt sich die zweite Leistungselekt ronik 8.1 mittels des Trennschalters 8.2 bei einem Notfall sicher, nämlich galvanisch, von dem zweiten Aktor 8 trennen. Gleiches gilt für eine mit dem Reservesteuergerät 10 signalübertragend verbindbare zweite Reserveleistungselektronik 8.3. Die zweite Reserveleistungselektronik 8.3 ist ebenfalls Teil der vorgenannten Baueinheit, so dass diese Baueinheit die Lenkung 8, die zweite Leistungselektronik 8.1 und die zweite Re serveleistungselektronik 8.3 umfasst. Demnach ist auch die zweite Reserveleistungs elektronik 8.3 räumlich getrennt von dem Reservesteuergerät 10 und in unmittelbarer räumlicher Nähe zu dem zweiten Aktor 8, nämlich der Lenkung 8, angeordnet. Die zweite Reserveleistungselektronik 8.3 ist mit dem zweiten Aktor 8 ebenfalls mittels eines Trennschalters 8.4 stromleitend verbindbar. Somit lässt sich die zweite Reserve leistungselektronik 8.3 mittels des Trennschalters 8.4 bei einem Notfall sicher, nämlich galvanisch, von dem zweiten Aktor 8 trennen.

In anderen Anwendungsfällen könnte es sich bezüglich der Bremsfunktion und/oder der Lenkfunktion um eine andere Anzahl von Aktoren handeln. Der Fachmann wird je nach Einzelfall die entsprechende Auswahl und Anzahl an Aktoren für die jeweilige Funktion des Kraftfahrzeugs auswählen und festlegen.

Die jeweilige Signalübertragungsverbindung zwischen dem ersten Steuergerät 2 und der ersten Leistungselektronik 6.1 der Bremse 6 sowie dem zweiten Steuergerät 4 und der der zweiten Leistungselektronik 8.1 der Lenkung 8 ist in der Fig. 1 anhand von durchgezogenen Pfeilen 2.1 und 4.1 symbolisiert. Das Reservesteuergerät 10 ist zum einen in Signalübertragungsverbindung mit dem ersten und dem zweiten Steuer gerät 2 und 4, was in der Fig. 1 durch die durchgezogenen Doppelpfeile 10.1 und 10.2 symbolisiert ist. Gleichzeitig ist das Reservesteuergerät 10 auch in Signalübertra gungsverbindung mit der ersten Reserveleistungselektronik 6.3 der Bremse 6 und der zweiten Reserveleistungselektronik 8.3 der Lenkung 8. Dies ist durch die gestrichelten Pfeile 10.3 und 10.4 symbolisiert.

Bei der Bremse 6 und der Lenkung 8 des Kraftfahrzeugs handelt es sich um sicher heitsrelevante und damit sehr wichtige Funktionen des Kraftfahrzeugs. Dies gilt im verstärkten Maße für das gewählte Ausführungsbeispiel, bei dem es sich ja um ein autonomes Kraftfahrzeug handelt.

Im Nachfolgenden wird das erfindungsgemäße Verfahren anhand der Fig. 1 näher erläutert.

Im Normalbetrieb des erfindungsgemäßen Kontrollsystems für das autonome Kraft fahrzeug wird die Bremse 6 mittels des ersten Steuergeräts 2 für die Bremsfunktion des Kraftfahrzeugs und die Lenkung 8 mittels des zweiten Steuergeräts 4 für die Lenkfunktion des Kraftfahrzeugs kontrolliert. Die Notwendigkeit eines Bremseingriffes durch das erste Steuergerät 2 oder eines Lenkeingriffes durch das zweite Steuergerät 4 wird in dem ersten Steuergerät 2 oder in dem zweiten Steuergerät 4 oder in einem zu dem jeweiligen Steuergerät 2, 4 übergeordneten Steuergerät auf dem Fachmann bekannte Weise anhand von an dem entsprechenden Steuergerät anliegenden Ein gangssignalen von Sensoren des Kraftfahrzeugs entschieden. Sowohl ein etwaiges übergeordnetes Steuergerät wie auch die Sensoren des Kraftfahrzeugs sind in der Fig. 1 nicht dargestellt.

Das Reservesteuergerät 10 greift in dem oben beschriebenen Normalbetrieb des er findungsgemäßen Kontrollsystems gemäß dem vorliegenden Ausführungsbeispiel nicht in die Bremsfunktion und nicht in die Lenkfunktion des Kraftfahrzeugs ein. Mittels der zwischen dem ersten Steuergerät 2 und dem Reservesteuergerät 10 sowie zwi schen diesem und dem zweiten Steuergerät 4 existierenden Signalübertragungsver bindung 10.1 und 10.2 überwacht das Reservesteuergerät 10 die ordnungsgemäße Funktion des ersten Steuergeräts 2 und des zweiten Steuergeräts 4. Im Fehlerfall ei nes der beiden Steuergeräte 2 und 4 liegt an dem Reservesteuergerät 10 ein entspre chendes Fehlersignal von dem fehlerhaften Steuergerät 2 oder 4 als Eingangssignal an.

Sollte beispielsweise das erste Steuergerät 2 fehlerhaft arbeiten, so dass die damit kontrollierte Bremse 6 nicht mehr ordnungsgemäß kontrolliert wird und somit die Bremsfunktion des Kraftfahrzeugs nicht mehr sicher ausgeführt wird, so wird dieser Fehler mittels der Signalübertragungsverbindung 10.1 an das Reservesteuergerät 10 gemeldet, woraufhin das Reservesteuergerät 10 derart konfiguriert wird, dass dieses die Bremsfunktion des Kraftfahrzeugs kontrolliert; also die zu dem fehlerhaften ersten Steuergerät 2 korrespondierende Funktion des Kraftfahrzeugs kontrolliert. Hierzu steht das Reservesteuergerät 10 mittels der Signalübertragungsverbindung 10.3 mit der ersten Reserveleistungselektronik 6.3 der Bremse 6 des Kraftfahrzeugs in Signalaus tausch. Die Bremse 6 wird somit im Fehlerfall des ersten Steuergeräts 2 nicht mehr von dem ersten Steuergerät 2, sondern von dem Reservesteuergerät 10 kontrolliert. Gleiches gilt für einen Fehler in der ersten Leistungselektronik 6.1 der Bremse 6, die im Normalbetrieb von dem ersten Steuergerät 2 angesteuert, also kontrolliert, wird.

Analoges gilt, falls das zweite Steuergerät 4 fehlerhaft arbeitet. In diesem Fall erhält das Reservesteuergerät 10 mittels der Signalübertragungsverbindung 10.2 eine ent sprechende Fehlermeldung bezüglich des zweiten Steuergeräts 4, woraufhin das Re servesteuergerät 10 derart konfiguriert wird, dass dieses die Lenkfunktion des Kraft fahrzeugs kontrolliert. Die Lenkung 8 wird somit nicht mehr von dem fehlerhaften zweiten Steuergerät 4, sondern von dem Reservesteuergerät 10 kontrolliert, und zwar mittels der Signalübertragungsverbindung 10.4 und der zweiten Reserveleistungs elektronik 8.3, die der Lenkung 8 zugeordnet ist. Gleiches gilt für einen Fehler in der zweiten Leistungselektronik 8.1 der Lenkung 8, die im Normalbetrieb von dem zweiten Steuergerät 4 angesteuert, also kontrolliert, wird.

Die Erfindung ist nicht auf das vorliegende Ausführungsbeispiel begrenzt. Beispiels weise ist es denkbar, dass das erfindungsgemäße Kontrollsystem für ein Kraftfahr zeug in einem Kraftfahrzeug vorhanden und deaktiviert ist und für eine zukünftige Verwendung mittels eines Bedieneingriffs eines Fahrzeugführers, von Werkstattper sonal oder dergleichen aktivierbar ist. Entsprechend kann es in anderen Ausführungs formen des erfindungsgemäßen Kontrollsystems vorgesehen sein, dass das Kontroll system eine Bedienungsschnittstelle aufweist und in Abhängigkeit des Anliegens ei nes Aktivierungssignals an der Bedienungsschnittstelle von einem Deaktivierungszu stand in einen Aktivierungszustand überführbar ist, wobei das Reservesteuergerät in dem Deaktivierungszustand des Kontrollsystems den zu dem fehlerhaften Steuergerät korrespondierenden Aktor des Kraftfahrzeugs unabhängig von dem Eingang des Feh lersignals nicht kontrolliert und in dem Aktivierungszustand des Kontrollsystems den zu dem fehlerhaften Steuergerät korrespondierenden Aktor des Kraftfahrzeugs in Ab hängigkeit von dem Eingang des Fehlersignals kontrolliert.

Analoges gilt für das erfindungsgemäße Verfahren zur Kontrolle eines Kraftfahrzeugs, wonach in einer anderen Ausführungsform des erfindungsgemäßen Verfahrens das Kontrollsystem eine Bedienungsschnittstelle aufweist und in Abhängigkeit des Anlie- gens eines Aktivierungssignals an der Bedienungsschnittstelle von einem Deaktivie rungszustand in einen Aktivierungszustand überführt wird, wobei das Reservesteuer gerät in dem Deaktivierungszustand des Kontrollsystems die zu dem fehlerhaften Steuergerät korrespondierende Funktion des Kraftfahrzeugs unabhängig von dem Eingang des Fehlersignals nicht kontrolliert und in dem Aktivierungszustand des Kon trollsystems die zu dem fehlerhaften Steuergerät korrespondierende Funktion des Kraftfahrzeugs in Abhängigkeit von dem Eingang des Fehlersignals kontrolliert.

Beispielsweise kann es möglich sein, dass autonome Kraftfahrzeuge in manchen Staaten rechtlich noch nicht zugelassen sind. Bei einer späteren Änderung der Geset zeslage kann dann das gemäß der Erfindung vorbereitete Kraftfahrzeug mit geringem Aufwand auf einen autonomen Fährbetrieb und damit auf die Verwendung eines erfin dungsgemäßen Kontrollsystems sowie auf die Verwendung eines erfindungsgemäßen Verfahrens zur Kontrolle des Kraftfahrzeugs in deren Aktivierungszustand umgestellt werden.

Darüber hinaus wäre es möglich, dass das Reservesteuergerät im Unterschied zu dem Ausführungsbeispiel im Normalbetrieb des erfindungsgemäßen Kontrollsystems gleichzeitig als ein drittes Steuergerät zur Kontrolle einer dritten Funktion des Kraft fahrzeugs ausgebildet ist und in Abhängigkeit des Eingangs des Fehlersignals zusätz lich zu der oder anstatt der dritten Funktion des Kraftfahrzeugs die zu dem fehlerhaf ten ersten oder zweiten Steuergerät korrespondierende erste oder zweite Funktion des Kraftfahrzeugs mittels des Reservesteuergeräts kontrolliert.

Beispielsweise wäre es denkbar, dass das Reservesteuergerät als drittes Steuergerät im Normalbetrieb des Kraftfahrzeugs eine eher untergeordnete Funktion des Kraft fahrzeugs kontrolliert. Sollte es dann zu einem Fehlerfall des ersten oder des zweiten Steuergeräts kommen, so könnte das Reservesteuergerät derart konfiguriert werden, dass es anstelle der untergeordneten Funktion im Fehlerfall eine relativ dazu überge ordnete Funktion, nämlich einer der durch das erste oder das zweite Steuergerät kon trollierten Funktionen des Kraftfahrzeugs, kontrolliert. Dabei könnte es sich, wie in dem Ausführungsbeispiel, um die Bremsfunktion oder die Lenkfunktion des Kraftfahr- zeugs handeln. In anderen Ausgestaltungen der Erfindung, beispielsweise bei gleich rangigen Funktionen des Kraftfahrzeugs, wäre es jedoch auch denkbar, dass das Re servesteuergerät die zu dem fehlerhaften Steuergerät korrespondierende Funktion zusätzlich zu der zu dem Reservesteuergerät in dessen Normalbetrieb korrespondie renden Funktion kontrolliert.

Die Erfindung ist nicht auf die Bremsfunktion und Lenkfunktion eines Kraftfahrzeugs beschränkt. Auch bei anderen Funktionen eines Kraftfahrzeugs ist die Erfindung vor teilhaft anwendbar.

Ferner betrifft die Erfindung ein Kraftfahrzeug, umfassend ein erfindungsgemäßes Kontrollsystem, ein Computerprogrammprodukt, umfassend Befehle, die bewirken, dass das erfindungsgemäße Kontrollsystem, beispielsweise nach dem vorliegenden Ausführungsbeispiel, die Verfahrensschritte des erfindungsgemäßen Verfahrens, bei spielsweise nach dem vorliegenden Ausführungsbeispiel, ausführt, sowie ein compu terlesbares Medium, auf dem das erfindungsgemäße Computerprogrammprodukt ge speichert ist.

Bezugszeichenliste

2 Erstes Steuergerät, zur Kontrolle der Bremsfunktion ausgebildet

2.1 Signalübertragungsverbindung zwischen dem ersten Steuergerät 2 und der ersten Leistungselektronik 6.1 der Bremse 6

4 Zweites Steuergerät, zur Kontrolle der Lenkfunktion ausgebildet

4.1 Signalübertragungsverbindung zwischen dem zweiten Steuergerät 4 und der zweiten Leistungselektronik 8.1 der Lenkung 8

6 Erster Aktor, als Bremse ausgebildet

6.1 Erste Leistungselektronik

6.2 Trennschalter

6.3 Erste Reserveleistungselektronik

6.4 Trennschalter

8 Zweiter Aktor, als Lenkung ausgebildet

8.1 Zweite Leistungselektronik

8.2 Trennschalter

8.3 Zweite Reserveleistungselektronik

8.4 Trennschalter

10 Reservesteuergerät

10.1 Signalübertragungsverbindung zwischen dem ersten Steuergerät 2 und dem Reservesteuergerät 10

10.2 Signalübertragungsverbindung zwischen dem zweiten Steuergerät 4 und dem Reservesteuergerät 10

10.3 Signalübertragungsverbindung zwischen dem Reservesteuergerät 10 und der ersten Reserveleistungselektronik 6.3

10.4 Signalübertragungsverbindung zwischen dem Reservesteuergerät 10 und der zweiten Reserveleistungselektronik 8.3