Die Erfindung betrifft eine Vorrichtung und ein Verfahren zur Regelung_eines Doppelkupplungsgetriebes nach den Oberbegriffen der unabhängigen Ansprüche,

Es existieren verschiedene Konzepte, ein Steuergerät insbesondere zur Regelung eines Doppelkupplungsgetriebes in einem Kraftfahrzeug einzelsicherfrei bzw. eigensicher zu gestalten. Eine Möglichkeit die Eigensicherheit eines Steuergerätes zu erreichen ist die Überwachung im 3-Ebenen Konzept.

Aus der DE 44 38 714 AI sind ein Verfahren und eine Vorrichtung zur Steuerung einer Antriebseinheit eines Fahrzeugs bekannt. Hierbei weist das Steuergerät zur Leistungssteuerung ein einziges Rechnerelement auf. Das Rechnerelement führt sowohl die Steuerung als auch die Überwachung durch. Betriebssicherheit und Verfügbarkeit werden dabei dadurch sicher gestellt, dass zur Durchführung der Steuerung und der Überwachung wenigstens zwei, voneinander unabhängige Ebenen in einem Rechnerelement vorgesehen sind, wobei in einer ersten Ebene die Funktionen zur Leistungssteuerung bestimmt und in einer zweiten Ebene, insbesondere in Zusammenarbeit mit einem Überwachungsmodul , diese Funkti- onen und somit die Funktionsfähigkeit des Rechnerelements selbst überwacht werden.

Zusätzlich wird in der DE 44 38 714 AI eine dritte Ebene beschrieben, die eine Ablaufkontrolle der zweiten Ebene durchfiihrt. Diese Überwachung durch die dritte Ebene steigert die Zuverlässigkeit und Verfügbarkeit des Steuergerätes. Insbesondere wird im Überwachungsmodul die Ablaufkontrolle als Frage- Antwort-Kommunikation zwischen Überwachungsmodul und Rechnerelement ausgeführt. Das 3-Ebenen Überwachungskonzept (EGAS -Konzept) setzt sich bei Steuergeräten von Fahrzeugen zur Überwachung elektronischer Systeme immer mehr durch. Dabei besteht das Steuergerät aus dem sog. Funktions- oder Hauptrechner und dem Überwachungsrechner. Funktionsrechner und Überwachungsrechner kommunizieren über ein Frage-Antwort- Verfahren. Darüber hinaus verfugen sie über separate Abschaltpfade für die leistungsbestimmenden Endstufen.

Die Ebene 1 umfasst das eigentliche Funktionsmodul zur Funktions Steuerung der Antriebseinheit des Fahrzeugs. Sie wird daher auch als Funktionsebene bezeichnet. Sie beinhaltet insbesondere Motorsteuerungsfunktionen, u. a. zur Umsetzung der angeforderten Motormomente, Komponentenüberwachungen, die Diagnose der Ein- und Ausgangsgrößen, sowie die Steuerung der Systemreaktionen im erkannten Fehlerfall. Die Ebene 1 wird auf dem Funktionsrechner ausgeführt.

Die Ebene 2, auch als Funktions-Überwachungsebene bezeichnet, umfasst das Sicherheitsmodul und wird ebenfalls auf dem Funktionsrechner ausgeführt. Sie erkennt den fehlerhaften Ablauf überwachungsrelevanter Umfange des Funktionsmoduls der Ebene 1, u. a. durch die Überwachung der berechneten Momente oder der Fahrzeugbeschleunigung. Im Fehlerfall erfolgt die Auslösung von Systemreaktionen. Die Ebene 2 wird in einem durch die Ebene 3 abgesicherten Hardwarebereich des Funktionsrechners durchgeführt. Die Ebene 3, auch Rechner-Überwachungsebene genannt, umfasst insbesondere das Überwachungsmodul auf einem unabhängigen Überwachungsrechner mit Befehlssatztest, Programmablaufkontrolle, A D Wandler-Test sowie zyklische und vollständige Speichertests der Ebene 2. Das Überwachungsmodul wird auf einem Überwachungsrechner ausgeführt. Der vom Funktionsrechner unabhängige Überwachungsrechner testet durch ein Frage- Antwort- Verfahren die ordnungsgemäße Abarbeitung der Programmbefehle des Funktionsrechners. Im Fehlerfall erfolgt die Auslösung von Systemreaktionen unabhängig vom Funktionsrechner. Dieses Überwachungskonzept kann sowohl in Motorsteuergeräten als auch in Getriebesteuergeräten insbesondere für mechanisch eigensichere Systeme verwendet werden. Das heißt in einem konkreten Fall für ein Getriebe mit einer Kupplung, die im drucklosen Zustand gegen eine mechanische Federkraft geöff- net ist, ist im Notfall, wenn die leistungsbestimmenden Endstufen abgeschaltet sind und das hydraulische System zur Betätigung der Kupplung nicht mehr zur Verfügung steht, dennoch der beabsichtigte Notfallzustand erreicht wird, dass die Kupplung durch die mechanische Federkraft dauerhaft im geöffneten Zustand gehalten wird und somit kein Moment vom Motor zu den Antriebsrädern über- tragbar ist.

Es gibt jedoch Getriebetypen, in denen im drucklosen Zustand die Kupplung gegen eine mechanische Federkraft geschlossen ist, so genannte" normally closed" Kupplungen, bei denen dieses Überwachungskonzept in der Form dann nicht angewendet werden kann.

Es stellt sich daher die Aufgabe, ein einfache, kostengünstige und zuverlässige Vorrichtung für ein mechanisch nicht eigensicheres System, insbesondere für ein Doppelkupplungsgetriebe mit einer "normally closed" Kupplung zu schaffen.

Erfindungsgemäß wird die Aufgabe gelöst durch eine Vorrichtung mit den Merkmalen des unabhängigen Anspruchs 1.

Beim Auftreten eines sicherheitsrelevanten Fehlers in einem Doppelkupplungsge- triebe mit einer ersten, "normally closed" Kupplung und einer zweiten ,

"normally open" Kupplung wird ein Notfallbetrieb ausgelöst. Im Notfallbetrieb regelt eine Nebensteuereinheit, die einen analogen Regler zur Regelung eines Proportionalventils und einen weiteren analogen Regler zur Regelung einer Hydraulikpumpe umfasst, mittels dieser analogen Regler das Öffnen der ersten "normally closed" Kupplung. Da die zweite Kupplung eine "normally open"

Kupplung ist, also im drucklosen Zustand gegen eine mechanische Feder immer im geöffneten Zustand gehalten wird, ist daher gewährleistet, dass im Notfallbetrieb kein Moment vom Motor zu den Antriebsrädern übertragen wird. Ein weitere Vorteil der Erfindung ist, dass der Hauptrechner , die Überwachungseinheit und die Nebensteuereinheit auf einem gemeinsamen Schaltungsträger in einem einzigen Steuergerät angeordnet sind. Neben dem Kosten- und Raumeinsparungseffekt hat dieses Konzept gegenüber Sicherheitskonzepten, bei denen die Nebensteuereinheit in einem separaten Steuergerät untergebracht ist, den Vorteil, dass die in der Regel fehleranfällige Abstimmung zwischen den zwei separaten Steuergerätenentfällt. Hinzu kommt, dass bei der Verwendung eines einzi- gen Steuergerätes , die elektrischen Verbindungen wie Leitungen und Stecker, die zur Verbindung von zwei separaten Steuergeräten notwendig sind, als mögliche Fehlerquellen ebenfalls entfallen.

Zur Erhöhung der Sicherheit weisen der Hauptrechner und die Nebensteuerein- heit getrennte Stromversorgungen aufweisen.

Ein besonderer Vorteil dieses Sicherheitskonzeptes ist, dass zur Regelung der ersten Kupplung im Notfallbetrieb keine Software benötigt wird, sondern lediglich analoge Standart-Hardwarebauteile verwendet werden können. So umfasst die Nebensteuereinheit einen analogen Regelungsteil zum Regeln des Hydraulikdrucks im hydraulischen System mittels der Drehzahl der Hydraulikpumpe. Weiterhin umfasst die Nebensteuereinheit einen analogen Logikteil zum Entscheiden, ob der vorliegende Betriebszustand dem Normalbetrieb oder dem Notfallbetrieb entspricht. Der analoge Schaltungsteil der Nebensteuereinheit bewerk- stelligt insbesondere den Wechsel vom Betriebszustand Normalbetrieb zum Betriebszustand Notfallbetrieb.

Weiterhin weist die Vorrichtung leistungsbestimmende Endstufen zur Steuerung der Hydraulikpumpe und des Proportionalventils für den Normalbetrieb auf. Beim Auslösen des Notfallbetriebes können diese Endstufen stromlos geschaltet werden. Dann sind vorteilhafterweise die weiteren, redundanten leisrungsbe- stimmenden Endstufen der Vorrichtung zur Steuerung der Hydraulikpumpe und des Proportionalventils für den Notfallbetrieb jeweils bestrombar. Dadurch wird sichergestellt, dass insbesondere beim Ausfall des Hauptrechners keine fehlerhaften Signale vom Hauptrechner über die Endstufen für den Normalbetrieb an die erste Kupplung gelangen können.

Um sicherzustellen, dass entweder nur die leistungsbestimmenden Endstufen für den Normalbetrieb oder nur die redundanten leistungsbestimmenden Endstufen für den Notfallbetrieb bestromt sind, sind die Gates der FET's der jeweiligen Endstufen durch die Nebensteuereinheit wechselseitig jeweils in einen leitenden oder einen sperrenden Zustand umschaltbar.

Den besonders einfachen und sicheren Charakter der Vorrichtung macht aus, dass im Notfallbetrieb keine intelligente Schaltung benötigt wird. Vielmehr sind in der Nebensteuereinheit Führungsgrößen eingeprägt, die durch die Auswahl der elektronischen Bauteile der Nebensteuereinheit festgelegt sind. Das Proportional ventil und die Hydraulikpumpe sind durch die analogen Regler mittels dieser Führungsgrößen regelbar. In der Nebensteuereinheit ist die Steuerlogik der analogen Regler so aufgebaut, dass bei einem Neustart des Hauptrechners durch Spannungswiederkehr am Hauptrechner die Übernahme der Kontrolle über die erste Kupplung und die Hydraulikpumpe durch die analogen Regler der Nebensteuereinheit ausgeschlossen ist, und dass bei jedem anderen Neustart des Hauptrechners der vor- hergehende Betriebszustand der Nebensteuereinheit erhalten bleibt. Dies hat den Vorteil, dass bei jedem anderen Neustart des Hauptrechners zur Sicherheit zuerst ein Notfallbetrieb angenommen wird. Im Anschluss daran kann dann auf der Basis der an der Nebensteuereinheit anliegenden Eingangssignale entschieden werden, ob tatsächlich ein Notfallbetrieb vorliegt, oder ob in den Normalbetrieb ge- wechselt werden kann. Eine erste Bedingung zum Auslösen eines Notfallbetriebes durch den Hauptrechner kann insbesondere eine Systemreaktion der Funktions-Überwachungsebene oder der Überwachungssoftware im Hauptrechner sein. Eine weitere Bedingung zum Auslösen eines Notfallbetriebes durch die Überwachungseinheit kann insbesondere eine mehrfach nicht korrekte Beantwortung einer Frage aus dem Frage- Antwort- Spiel zwischen der Überwachungseinheit und dem Hauptrechner sein. Dabei kann zum Beispiel die zulässige Anzahl von nicht korrekten Antworten vorher festgelegt werden.

Eine weitere Aufgabe ist es, ein einfaches, kostengünstiges und zuverlässiges Verfahren für ein mechanisch nicht eigensicheres System, insbesondere für ein Doppelkupplungsgetriebe mit einer "normally closed" Kupplung zu schaffen. Erfindungsgemäß wird die Aufgabe gelöst durch ein Verfahren mit den Merkmalen des unabhängigen Anspruchs 10.

In dem erfindungsgemäßen Verfahren zur Regelung eines Doppelkupplungsgetriebes in einem Fahrzeug mit einer Vorrichtung, die einen Hauptrechner und eine Überwachungseinheit zur Überwachung des Hauptrechners umfasst, wird unter bestimmten Bedingungen zum Auslösen eines Notfallbetriebes des Kraftfahrzeugs eine Nebensteuereinheit entweder durch den Hauptrechner oder durch die Überwachungseinheit angesteuert. Die Nebensteuereinheit, die sowohl einen analogen Regler zur Regelung eines Proportionalventils und als auch einen wei- teren analogen Regler zur Regelung einer Hydraulikpumpe umfasst, regelt im Notfallbetrieb die erste, als "normally closed" ausgeführte Kupplung des Doppelkupplungsgetriebes mittels der besagten analogen Regler.

Ein besonderer Vorteil dieses Verfahrens ist, dass zur Regelung der ersten Kupplung im Notfallbetrieb keine Software benötigt wird, sondern lediglich analoge Standart-Hardwarebauteile verwendet werden können. Nachdem ein Notfallbetrieb ausgelöst worden ist, trifft insbesondere der analoge Logikteil der Nebensteuereinheit anhand der vorliegenden Eingangssignale die Entscheidung, ob der vorliegende Betriebszustand einem Normalbetrieb oder einem Notfallbetrieb entspricht. Im Falle eines Notfallbetriebs wird ein analoges Schaltungsteil der Nebensteuereinheit angesteuert, welches dann vom Normalbetrieb in der Notfallbetrieb schaltet.

Beim Wechsel vom Normalbetrieb in den Notfallbetrieb werden die

leistungbestimmenden Endstufen für den Normalbetrieb zur Steuerung der Hydraulikpumpe und des Proportionalventils durch die Nebensteuereinheit stromlos geschaltet werden und die weiteren redundanten, leistungsbestimmenden Endstufen für den Notfallbetrieb zur Steuerung der Hydraulikpumpe und des Proportionalventils durch die Nebensteuereinheit bestromt. Dabei steuert aus Sicherheits- gründen im Notfallbetrieb die Nebensteuereinheit die jeweiligen FET's der ersten leistungsbestimmenden Endstufen für den Normalbetrieb und der weiteren redundante Endstufen derart an, dass die Gates der FET's wechselseitig jeweils in einen leitenden oder einen sperrenden Zustand geschaltet werden. Ein weiterer Sicherheitsaspekt ist, dass beim Neustart des Hauptrechners, durch Spannungswiederkehr am Hauptrechner, die Übernahme der Kontrolle über die erste, "normally closed" Kupplung und die Hydraulikpumpe durch die entsprechenden analogen Regler der Nebensteuereinheit ausgeschlossen wird. Bei jedem anderen Neustart des Hauptrechners bleibt jedoch der vorhergehende Betriebszustand der Nebensteuereinheit erhalten. Wie weiter oben schon erläutert, hat den Vorteil, dass bei jedem anderen Neustart des Hauptrechners zuerst ein Notfallbetrieb angenommen wird, und im Anschluss daran auf der Basis der anliegenden Eingangssignale entschieden wird, ob tatsächlich ein Notfallbetrieb vorliegt, oder ob in den Normalbetrieb gewechselt werden kann. Ein Ausfuhxungsbei spiel der Erfindung wird nachfolgend anhand der Zeichnung näher erläutert. Die einzige Figur zeigt eine schematische Darstellung für den Normalbetrieb und für den Notfallbetrieb. Die Fig. 1 zeigt die wesentlichen Komponenten einer Vorrichtung zur Regelung eines Doppelkupplungsgetriebes in einem Kraftfahrzeug mit einer ersten, "normally closed" Kupplung (Kl) und einer zweiten, nicht gezeigten "normally open" Kupplung (K2). Ein Hauptrechner ^C), eine Überwachungseinheit (WD) und eine Nebensteuereinheit (SSU) sind auf einem gemeinsamen Schaltungsträ- ger (ST) angeordnet. Der Hauptrechner ^C) dient insbesondere zur Regelung des Normalbetriebes des Fahrzeugs. Die Überwachungseinheit (WD) dient im wesentlichen zur Überwachung des Hauptrechners (μθ), insbesondere zur Pro- grammablaufkontrolle durch eine Frage- Antwort-Kommunikation zwischen Überwachungseinheit (WD) und Hauptrechner (μθ).

Der Schaltungsträger (ST) umfasst auch eine Nebensteuereinheit (SSU), die unter bestimmten Bedingungen zum Auslösen eines Notfallbetriebes des Kraftfahrzeugs entweder durch den Hauptrechner ^C) oder durch die Überwachungseinheit (WD) angesteuert werden kann. Die Nebensteuereinheit (SSU) umfasst ei- nen analogen Regler (RV1) zur Regelung eines Proportionalventils (VI) und einen analogen Regler (RM1) zur Regelung der Hydraulikpumpe (M).

In Fig. 1 zeigt die gestrichelte Doppellinie den Signalverlauf im Normalbetrieb. Das Doppelkupplungsgetriebe weist eine erste hydraulische Kupplung (Kl) und eine nicht gezeigte, zweite hydraulische Kupplung (K2) auf. Die erste Kupplung (Kl) ist eine "normally closed" Kupplung, das heißt sie ist im drucklosen Zustand durch Federkraft geschlossen. Die zweite Kupplung (K2) ist eine "normally open" Kupplung, das heißt, sie wird im drucklosen Zustand durch Federkraft offen gehalten. Im Normalbetrieb werden die beiden Kupplungen (Kl, K2) durch den Hauptrechner (μθ) geregelt. Dazu werden insbesondere zur Regelung der ersten Kupplung (Kl) im Normalbetrieb die leistungsbestimmenden Endstufen (LEN) für die Hydraulikpumpe (M) bestromt, und sie erhalten die Signale zur Steuerung der Hydraulikpumpe (M) vom analogen Regler (RM1). Ebenfalls zur Regelung der ersten Kupplung (K ) werden die leistungsbestimmenden Endstufen (LEN) für das Proportionalventil (VI) bestromt, und diese erhalten die Signale zur Steuerung des Proportionalventils (VI) vom analogen Regler (RV1).

Zum Auslösen eines Notfallbetriebes wird unter bestimmten Bedingungen die Nebensteuereinheit (SSU) entweder vom Hauptrechner (μθ) oder von der Überwachungseinheit (WD) angesteuert. Zum Beispiel kann dies als eine Systemreaktion der Funktions-Überwachungsebene oder der Überwachungssoftware durch den Hauptrechner (μθ) geschehen. Andererseits kann der Notfallbetrieb insbesondere auf Grund einer mehrfach nicht korrekten Beantwortung einer Frage aus dem Frage- Antwort- Spiel zwischen der Überwachungseinheit (WD) und dem Hauptrechner ^C) durch die Uberwachungseinheit (WD) geschehen.

Im Notfallbetrieb soll zwischen Motor und Antriebsrädern kein Moment übertragen werden. Für einen Doppelkupplungsgetriebe mit zwei "normally open" Kupp- Jungen würde es genügen, wenn die entsprechenden leistungsbestimmenden Endstufen (LEN) für die Hydraulikpumpe (M) und die der entsprechenden Proportionalventile (VI, V2) zum Beispiel durch den Hauptrechner ^C) stromlos geschaltet werden. Dadurch würden beide Kupplungen ( l , K2) drucklos und durch die Federkraft geöffnet werden.

Im vorliegenden, erfindungsgemäßen Fall jedoch ist die erste Kupplung (Kl) im drucklosen Zustand aus Energiespargründen gegen die Federkraft geschlossen. Daher ist es erforderlich, die erste Kupplung (Kl) im Notfallbetrieb insbesondere durch die Nebensteuereinheit (SSU) zuverlässig geregelt zu öffnen. Der Notfallbetrieb wird in der Fig. 1 durch die durchgezogene Doppellinie dargestellt. Die leistungsbestimmenden Endstufen (LEN) zur Steuerung der Hydraulikpumpe (M) und des Proportionalventils (VI) für den Normalbetrieb werden beim Auslösen des Notfallbetriebes stromlos geschaltet. Gleichzeitig werden die redundanten, leistungsbestimmenden Endstufen (LES) zur Steuerung der Hydraulikpumpe (M) und des Proportionalventils (VI) für den Notfallbetrieb bestromt. Nun wird die erste Kupplung (Kl) ausschließlich durch die Nebensteuereinheit (SSU) mittels der Regler (RV1) und (RM1) geregelt. Die leistungsbestimmenden Endstufen (LEN) für den Noraialbetrieb und leistungsbestimmenden Endstufen (LES) für den Notfallbetrieb weisen jeweils FET's (FETN, FETS) auf, deren Gates durch die Nebensteuereinheit (SSU) wechselseitig jeweils in einen leitenden oder einen sperrenden Zustand umgeschaltet werden können. Im Notfallbetrieb sind vorzugsweise die FET's (FETN) sperrend und die FET's (FET's) leitend geschaltet. Dadurch ist insbesondere sichergestellt, dass im Notfallbetrieb die Hydraulikpumpe (M) und das Proportionalventil (VI) zur Regelung der ersten Kupplung (Kl) ausschließlich Signale von der Nebensteuereinheit (SSU) und nicht etwa eventuell fehlerbehaftete Signale vom eventuell defekten Hauptrechner erhalten.

Im Notfallbetrieb wird zur Regelung des Doppelkupplungsgetriebes keine intelligente Schaltung benötigt. Dies macht den besonders einfachen und sicheren Charakter der Vorrichtung aus. Vielmehr sind in der Nebensteuereinheit (SSU) durch die Auswahl ihrer elektronischen Bauteile Führungsgrößen festgelegt. Das Pro- portionalventil (VI) und die Hydraulikpumpe (M) sind durch die analogen Regler (RV1, RM1) vorteilhafterweise mittels dieser Führungsgrößen regelbar.

Im Falle eines Neustarts des Hauptrechners ^C) finden vorzugsweise einige Sicherheits Vorkehrungen vorgesehen. So ist in der Nebensteuereinheit (SSU) die Steuerlogik der analogen Regler (RM1, RV1) derart aufgebaut, dass bei einem Neustart des Hauptrechners (μθ) durch Spannungswiederkehr am Hauptrechner (μ€ die Übernahme der Kontrolle über die erste Kupplung (Kl) und die Hydraulikpumpe (M) durch die analogen Regler (RMl, RVl) der Nebensteuereinheit (SSU) ausgeschlossen ist. Femer bleibt bei jedem anderen Neustart des Hauptrechners ^C) der vorhergehende Betriebszustand der Nebensteuereinheit (SSU) erhalten. Dies hat den Vorteil, dass bei jedem anderen Neustart des Hauptrechners ^C) zur Sicherheit zuerst ein Notfallbetrieb angenommen wird. Im Anschluss daran kann dann auf der Basis der an der Nebensteuereinheit (SSU) anliegenden Eingangssignale ent- schieden werden, ob tatsächlich ein Notfallbetrieb vorliegt, oder ob in den Normalbetrieb gewechselt werden kann.

Die vorliegende Erfindung wurde anhand der vorstehenden Beschreibung so dargestellt, um das Prinzip der Erfindung und dessen praktische Anwendung bestmöglich zu erklären. Jedoch lässt sich die Erfindung bei geeigneter Abwandlung selbstverständlich in zahlreichen anderen Ausfuhrungsformen realisieren.