Beschreibung

Die Erfindung betrifft eine Auswertevorrichtung zur fehlertoleranten Auswertung von mindes tens vier redundanten Sensorsignalen für ein Motorsteuergerät einer Kraftfahrzeuglenkung nach dem Oberbegriff des Anspruchs 1 , sowie eine Kraftfahrzeuglenkung nach dem Oberbe griff des Anspruchs 12.

Kraftfahrzeuglenkungen sind sicherheitskritische Systeme von deren Betriebs- und Ausfallsi cherheit die körperliche Unversehrtheit der Fahrzeuginsassen unmittelbar abhängt. Ein plötz licher Ausfall der Lenkung oder auch ein unerwartetes Lenkverhalten können zu Unfällen mit schweren Folgen für die Fahrzeuginsassen führen. Aus diesen Gründen sind hohe Anforde rungen an die Sicherheit der verbauten Komponenten zu stellen. Dies gilt insbesondere für Kraftfahrzeuglenkungen, die als Steer-by-Wire-Lenksysteme ausgebildet sind.

In Steer-by-Wire-Lenksystemen für Kraftfahrzeuge besteht keine mechanische Verbindung mehr zwischen einem vom Fahrer bedienten Lenkrad und den gelenkten Rädern. Stattdes- sen wird die Stellung der gelenkten Räder durch einen elektronisch geregelten Lenksteller eingestellt, um das Fahrzeug auf der gewünschten Bahn zu führen. Zu diesem Zweck stellt ein mit der Lenkwelle verbundener Lenkwinkelsensor ein Sollstellungssignal bereit, das die Lenkabsicht des Fahrers repräsentiert. Der Lenksteller wird dann über einen Stellungsregler mit ausreichender Leistung und Bandbreite derart mit einem Drehmoment-Anforderungssi gnal angesteuert, dass die gelenkten Räder in die Sollstellung eingeregelt werden. Im Falle einer Fehlfunktion oder einem Ausfall des Lenksystems steht dem Fahrer keine mechani sche Rückfallebene mehr zur Verfügung, um das Fahrzeug auf der gewünschten Bahn zu halten. Die verwendeten Bauteile und Sensoren sind deshalb fehlertolerant auszubilden, so dass auftretende Fehlfunktionen einzelner Bauteile zwar bemerkt werden, ein sicherer Wei terbetrieb aber dennoch möglich ist.

Die Anforderungen an die funktionale Sicherheit von sicherheitsrelevanten elektrischen/elek tronischen Komponenten in Kraftfahrzeugen werden in ISO 26262 in vier Stufen ASIL A bis D (Automotive Safety Integrity Level) klassifiziert. Für Steer-by-Wire-Lenkungen oder auch autonom lenkende Fahrzeuge werden zunehmend Komponenten benötigt, die der höchsten Sicherheitsstufe ASIL D genügen.

Aus US 7254470 B2 ist ein Verfahren und eine Vorrichtung zur Erzeugung eines fehlertole ranten Sensorsignals für ein Motorsteuerungsgerät in einer Fahrzeuglenkung bekannt. Dabei werden mindestens drei Sensorsignale empfangen, die den zu überwachenden Parameter charakterisieren, daraus eine Mehrzahl an Parameter-Paarsignalen erzeugt und aus den Pa rameter-Paarsignalen eines ausgewählt, um daraus ein gemessenes Parametersignal zu er zeugen. Gemäß US 7254470 B2 ist vorgesehen, dass die Sensorsignale unterschiedlichen bekannten Charakteristiken genügen und daher bei voller Funktionalität in einem bekannten Verhältnis zueinanderstehen. Anhand von erzeugten Paarsignalen können Diagnosesignale erzeugt werden, die im Fehlerfall den Fehler anzeigen. Nachteilig ist, dass die bekannte Vor richtung bei drei Sensorsignalen maximal einen Fehler tolerieren kann. Bei einer höheren Anzahl von Sensorsignalen steigt die Anzahl der zu erzeugenden Paarsignale und damit der Datenverarbeitungsaufwand stark an, wodurch die Reaktionsgeschwindigkeit der Vorrichtung ab- und/oder der erforderliche Bauraum zunimmt. Ein weiterer Nachteil ist, dass die Vorrich tung zwar gegenüber einem fehlerhaften Sensorsignal fehlertolerant ist, ein Fehler in dem die Sensorsignale auswertenden Controller aber nicht ausgeglichen werden kann.

Es ist daher die Aufgabe der vorliegenden Erfindung, eine Auswertevorrichtung zur fehlerto leranten Auswertung von mindestens vier redundanten Sensorsignalen für ein Motorsteuer gerät einer Kraftfahrzeuglenkung anzugeben, durch die die Ausfall- und Betriebssicherheit der Kraftfahrzeuglenkung bei zugleich geringem Bauaufwand erhöht wird.

Diese Aufgabe wird gelöst durch eine Auswertevorrichtung mit den Merkmalen des An spruchs 1 und eine Kraftfahrzeuglenkung mit den Merkmalen des Anspruchs 12.

Hierdurch wird eine Auswertevorrichtung zur fehlertoleranten Auswertung von mindestens vier redundanten Sensorsignalen für ein Motorsteuergerät einer Kraftfahrzeuglenkung ge schaffen, die zwei redundant zueinander ausgebildete Steuereinheiten umfasst. Die Steuereinheiten weisen jeweils mindestens zwei Eingänge zur Aufnahme jeweils eines der redundanten Sensorsignale, einen Ausgang für die Ausgabe eines Ausgabesignals und eine Kommunikationsschnittstelle, die mit der Kommunikationsschnittstelle der jeweils anderen Steuereinheit für die Übertragung und den Empfang von jeweils einem Austauschsignal ver bunden ist, sowie eine Logikschaltung auf. Die jeweilige Logikschaltung ist dazu ausgebildet, abhängig von Paarvergleichen zwischen den an den Eingängen und an der Kommunikati onsschnittstelle empfangenen Signale aus diesen Signalen das Ausgabe- und das Aus tauschsignal auszuwählen und an den Ausgang und entsprechend an die Kommunikations schnittstelle mittels Selektionsschaltungen durchzuschalten.

Auf diese Weise wird eine Auswertevorrichtung geschaffen, die eine redundante Auswertung der Sensorsignale sicherstellt, beruhend auf zwei vorzugsweise symmetrisch ausgebildeten, ausfallsicheren Steuereinheiten, die in wechselseitiger Kommunikation zueinanderstehen. Jede Steuereinheit stellt einen Datenauswertekanal bereit, der auf Basis mindestens zweier Eingangssignale und einem Austauschsignal ein Ausgabesignal bestimmt. Durch die Ausga be zweier redundanter Ausgabesignale kann die Redundanz der Datenauswertekanäle bis zum Motorsteuergerät der Kraftfahrzeuglenkung weitergeführt werden, um die Lenkung mit einem durchgehend redundant ausgebildeten Steuersystem auszustatten. Dem Motorsteuer gerät wird so ermöglicht, anhand der ausgegebenen Ausgabesignale die Funktionsfähigkeit der Auswertevorrichtung zu überprüfen. Eine Auswertevorrichtung mit dieser Struktur ermög licht eine ASIL D kompatible Auswertung redundanter Sensorsignale bei gleichzeitig gerin gem Bauraum- und Komponentenbedarf.

Die redundanten Sensorsignale können bei funktionsfähigen Sensoren identisch ausgebildet sein. Es kann aber auch zur Erzielung einer diversitären Redundanz vorgesehen sein, dass die Sensorsignale unterschiedlich ausgebildet sind und beispielsweise auf unterschiedlichen Messprinzipien beruhen, jedoch den gleichen physikalischen Messwert repräsentieren. In diesem Fall kann in den Logikschaltungen eine Umrechnungseinheit vorgesehen sein, die geeignet ist, die Sensorsignale für die Paarvergleiche und die Ausgabe auf ein gemeinsames Format umzurechnen.

Vorzugsweise stammen die Sensorsignale von Drehmoment- und/oder Drehwinkelsensoren, die zur Aufnahme des Lenkzustands einer vom Fahrer des Kraftfahrzeugs betätigbaren Lenkhandhabe vorgesehen sind.

Die Kraftfahrzeuglenkung kann beispielsweise als Kraftfahrzeugservolenkung oder als Steer- by-Wire Lenksystem ausgebildet sein. In einer bevorzugten Ausführungsform sind die Logikschaltungen dazu ausgebildet, eines der an den Eingängen der jeweiligen Steuereinheit empfangenen Sensorsignale als Ausga besignal auszuwählen, das durch mindestens einen Paarvergleich bestätigt wurde. Dieser Ausbildung der Auswertevorrichtung liegt die Annahme zugrunde, dass die unmittelbar an die Eingänge übermittelten Sensorsignale mit einer höheren Zuverlässigkeit fehlerfrei sind, als das von der anderen Steuereinheit übermittelte Austauschsignal, das beispielsweise durch Übertragungsfehler oder einen Fehler der anderen Steuereinheit beeinträchtigt sein kann. Das Austauschsignal wird in dieser Ausführungsform somit nur zur Identifizierung des korrekten Eingangssignals verwendet, wenn die an den Eingängen der jeweiligen Steuerein heit anliegenden Sensorsignale voneinander abweichen.

Bevorzugt ist ferner vorgesehen, dass die Logikschaltungen dazu ausgebildet sind, ein ers tes Fehlersignal an dem Ausgang der jeweiligen Steuereinheit auszugeben, wenn aus schließlich negative Paarvergleiche vorliegen. Durch die Ausgabe eines Fehlersignals kann dem nachfolgenden Motorsteuergerät signalisiert werden, dass ein Fehler in dem jeweiligen Datenverarbeitungskanal vorliegt. Das Fehlersignal kann auch ein konstanter Pegel, bei spielsweise ein Nullsignal sein. Das Fehlersignal kann aber auch genutzt werden, um Dia gnoseinformationen an das Motorsteuergerät weiterzugeben.

Gemäß einer weiteren bevorzugten Ausführungsform sind die Logikschaltungen dazu ausge bildet, eines der an den Eingängen der jeweiligen Steuereinheit empfangenen Sensorsignale als Austauschsignal auszuwählen, das im Paarvergleich mit einem an einem anderen Ein gang der Steuereinheit empfangenen Sensorsignal oder als einziges der an den Eingängen der Steuereinheit empfangenen Sensorsignale in einem Paarvergleich mit dem über die Kommunikationsschnittstelle empfangenen Austauschsignal bestätigt wurde. Durch diese Ausbildung wird sichergestellt, dass ein Austauschsignal nur dann an die Kommunikations schnittstelle ausgegeben wird, wenn sich eines der an den Eingängen empfangenen Signale mindestens einen Paarvergleich als zuverlässig erwiesen hat. Dabei werden Übereinstim mungen der an den Eingängen empfangenen Signale insoweit stärker gewichtet, als dass das empfangene Austauschsignal diese nicht in Zweifel ziehen kann. Liegt eine Übereinstim mung eines Eingangssignals mit dem empfangenen Austauschsignal vor, ist hingegen zu sätzlich zu überprüfen, dass das Austauschsignal nicht auch mit einem weiteren Eingangssi gnal übereinstimmt, dessen Paarvergleich mit ersterem Eingangssignal negativ ist.

Vorzugsweise ist weiterhin vorgesehen, dass die Logikschaltungen dazu ausgebildet sind, ein zweites Fehlersignal an der Kommunikationsschnittstelle der jeweiligen Steuereinheit auszugeben, wenn ausschließlich negative Paarvergleiche zwischen den an den Eingängen der jeweiligen Steuereinheit empfangenen Sensorsignalen vorliegen und keines oder mehre re der an den Eingängen der jeweiligen Steuereinheit empfangenen Sensorsignale im Paar vergleich mit dem an der jeweiligen Kommunikationsschnittstelle empfangenen Austauschsi gnal bestätigt wurde. Die Ausgabe des zweiten Fehlersignals ist somit für den Fall vorteilhaft, wenn keines der Eingangssignale in seiner Zuverlässigkeit bestätigt werden kann und sich demnach nicht als Austauschsignal qualifiziert. Durch das Fehlersignal kann der zweiten Steuereinheit mitgeteilt werden, dass ein Fehler bei den Sensoren und/oder der Steuerein heit vorliegt. Sofern sich das zweite Fehlersignal von einem Nullsignal unterscheidet, kann die andere Steuereinheit eindeutig identifizieren, ob ein Fehler der Steuereinheit oder der Datenübertragung zwischen den Steuereinheiten vorliegt.

In einerweiteren bevorzugten Ausführungsform sind an den Eingängen und der Kommunika tionsschnittstelle Fehlererkennungseinheiten angeordnet, die dazu ausgebildet sind, den Empfang von fehlerhaften Signalen an den Eingängen und der Kommunikationsschnittstelle zu blockieren. Die Fehlererkennungseinheiten sind dazu vorgesehen, die eingehenden Si gnale auf Plausibilität zu prüfen. Beispielsweise kann überprüft werden, ob die Signale ein vorbestimmtes Format aufweisen. Auf diese Weise können fehlerhafte Signale bereits vor der Verarbeitung aussortiert werden. Fehlerhafte Signale werden somit nicht empfangen und mit diesen Signalen regulär durchzuführende Paarvergleiche werden nicht durchgeführt, so dass solche Paarvergleiche für die Auswertung nicht vorliegen. Durch Verwerfen von fehler haften Signalen wird zum einen die Datenverarbeitung in der Auswertevorrichtung entlastet und zum anderen die Sicherheit erhöht, da systematische Störungen, die zu gleichen, aber fehlerhaften Signalen führen, frühzeitig erkannt werden.

Bevorzugt ist vorgesehen, dass die Logikschaltungen dazu ausgebildet sind, in dem Fall, dass nur ein einziges fehlerfreies Sensorsignal an einem Eingang der jeweiligen Steuerein heit vorliegt und der Empfang der übrigen Signale an den übrigen Eingängen und der Kom munikationsschnittstelle durch die Fehlererkennungseinheiten blockiert ist, das fehlerfreie Sensorsignal als Ausgabesignal auszuwählen. Auf diese Weise wird eine ungeprüfte Be triebsfähigkeit der Auswertevorrichtung auch für den Fall sichergestellt, dass mehrere Fehler in den Eingangssignalen und dem Austauschsignal vorliegen.

Weiterhin kann vorgesehen sein, dass die Logikschaltungen dazu ausgebildet sind, ein drit tes Fehlersignal an dem Ausgang auszugeben, wenn der Empfang von Sensorsignalen an allen Eingängen der Steuereinheit von den Fehlererkennungseinheiten blockiert ist. Die ersten, zweiten und dritten Fehlersignale können gleich oder unterschiedlich ausgebildet sein. Alle drei Fehlersignale können jeweils unabhängig von den anderen auch ein Nullsignal sein.

In einer besonders bevorzugten Ausführungsform ist die Auswertevorrichtung zur Auswer tung von genau vier redundanten Sensorsignalen ausgebildet und die Steuereinheiten wei sen jeweils genau zwei Eingänge für jeweils eines der redundanten Sensorsignale auf. Vier Sensoren bilden die minimale Anzahl von Sensoren, die erforderlich sind, um den erfin dungsgemäßen Aufbau der Auswerteeinrichtung zu realisieren und den ASIL D Standard zu erfüllen. Zur Bauraum- und Kostenoptimierung ist ein Aufbau mit dieser minimalen Anzahl an Sensoren bevorzugt.

Zur Durchführung der Paarvergleiche umfassen die Steuereinheiten vorzugsweise Verglei cherschaltungen.

Gemäß einer bevorzugten Ausführungsform sind die Logikschaltungen dazu ausgebildet, zu nächst Paarvergleiche zwischen den an den jeweiligen Eingängen empfangenen Sensorsi gnalen auszuwerten und das von der jeweils anderen Steuereinheit empfangene Austausch signal nur dann zu berücksichtigen, falls keines der empfangenen Sensorsignale in einem Paarvergleich bestätigt wurde. Durch diese Ausbildung wird die Datenverarbeitung in der Auswertevorrichtung beschleunigt. Wenn fehlerfreie, übereinstimmende Sensorsignale an den Eingängen der jeweiligen Steuereinheit vorliegen, müssen weniger Paarvergleiche durchgeführt werden und es kommt zu keinem Zeitverzug durch die Datenübertragung zwi schen den Steuereinheiten. In einer alternativen Ausführungsform kann auch vorgesehen sein, die Austauschsignale nur für eine Post-Diagnose heranzuziehen. Abhängig von der er forderlichen Abtastfrequenz der Sensorsignale und der Verzögerungszeit der Datenübertra gung kann dies vorteilhaft sein. Sofern technisch umsetzbar ist eine Echtzeit-Berücksichti gung der Austauschsignale aber bevorzugt.

Die Aufgabe wird ferner gelöst durch eine Kraftfahrzeuglenkung umfassend mindestens vier redundante Sensoren zur Erfassung von Lenkungsparametern und mindestens einen Elek tromotor mit einer Motorsteuerung zur Bereitstellung einer von den Lenkungsparametern ab hängigen Lenkkraft für gelenkte Räder, wobei die Kraftfahrzeuglenkung ferner eine zuvor be schriebene erfindungsgemäße Auswertevorrichtung umfasst, deren Eingänge mit den Sen soren und deren Ausgänge mit der Motorsteuerung verbunden sind. Die Sensoren zur Erfassung von Lenkungsparametern können beispielsweise Lenkwinkel sensoren, Lenkmomentsensoren, Rotorpositionssensoren des Elektromotors oder Kraftfahr zeuggeschwindigkeitssensoren sein.

Weitere Ausgestaltungen der Erfindung sind der nachfolgenden Beschreibung und den Un teransprüchen zu entnehmen.

Die Erfindung wird nachstehend anhand der in den beigefügten Abbildungen dargestellten Ausführungsbeispiele näher erläutert.

Fig. 1 zeigt schematisch ein Ausführungsbeispiel der erfindungsgemäßen Auswerte vorrichtung.

In Fig. 1 ist schematisch der Aufbau einer erfindungsgemäßen Auswertevorrichtung 1 ge zeigt. Die Auswertevorrichtung 1 ist zur fehlertoleranten Auswertung von mindestens vier redundanten Sensorsignalen S1a, S2a, S1b, S2b für ein Motorsteuergerät einer Kraftfahr zeuglenkung vorgesehen. Die Auswerteeinrichtung 1 umfasst zwei redundant zueinander ausgebildete Steuereinheiten 2a, 2b, die jeweils mindestens zwei Eingänge 3a, 4a; 3b, 4b zur Aufnahme jeweils eines der redundanten Sensorsignale S1a, S2a, S1b, S2b aufweisen. Die Sensorsignale S1a, S2a, S1b, S2b werden von redundanten Sensoren 16, 17, 18 19 be reitgestellt, die an die Eingänge 3a, 4a; 3b, 4b angeschlossen sind. Die Steuereinheiten 2a, 2b umfassen ferner jeweils einen Ausgang 5a, 5b für die Ausgabe eines Ausgabesignals A1, A2 und eine Kommunikationsschnittstelle 6a, 6b, die mit der Kommunikationsschnittstelle 6b, 6a der jeweils anderen Steuereinheit 2b, 2a für die Übertragung und den Empfang von je weils einem Austauschsignal Ex1, Ex2 verbunden ist. Außerdem weisen die Steuereinheiten 2a, 2b jeweils eine Logikschaltung 7a, 7b auf, die dazu ausgebildet ist, abhängig von Paar vergleichen zwischen den an den Eingängen 3a, 4a; 3b, 4b und an der Kommunikations schnittstelle 6a, 6b empfangenen Signale S1a, S2a, Ex2; S1b, S2b, Ex1 aus diesen Signalen S1a, S2a, Ex2; S1b, S2b, Ex1 das Ausgabe- A1, A2 und das Austauschsignal Ex1, Ex2 aus zuwählen und an den Ausgang 5a, 5b und entsprechend an die Kommunikationsschnittstelle 6a, 6b mittels Selektionsschaltungen 8a, 9a; 8b, 9b der Auswertevorrichtung 1 durchzuschal ten.

Die dargestellte Auswertevorrichtung 1 kann Teil einer Kraftfahrzeuglenkung sein, die die vier redundanten Sensoren 16, 17, 18, 19 zur Erfassung von Lenkungsparametern und min destens einen Elektromotor mit einer Motorsteuerung zur Bereitstellung einer von den Len kungsparametern abhängigen Lenkkraft für gelenkte Räder umfasst. Die Sensoren 16, 17, 18, 19 zur Erfassung von Lenkungsparametern können beispielsweise Lenkwinkelsensoren, Lenkmomentsensoren, Rotorpositionssensoren des Elektromotors oder Kraftfahrzeugge schwindigkeitssensoren sein. Die Kraftfahrzeuglenkung umfasst dabei ferner die Auswerte vorrichtung 1, deren Eingänge 3a, 4a, 3b, 4b mit den Sensoren 16, 17, 18, 19 und deren Ausgänge 5a, 5b mit der Motorsteuerung verbunden sind. Die Blöcke 20, 21 in Fig. 1 stellen Nutzanwendungen für die ausgewerteten Sensorsignale innerhalb der Motorsteuerung dar.

Die Auswertevorrichtung 1 gemäß Fig. 1 ist zur Auswertung von genau vier redundanten Sensorsignalen S1a, S2a, S1b, S2b ausgebildet und die Steuereinheiten 2a, 2b weisen je weils genau zwei Eingänge 3a, 4a; 3b, 4b für jeweils eines der redundanten Sensorsignale S1a, S2a, S1b, S2b auf. Es sind jedoch alternative Ausführungsbeispiele denkbar und mög lich, in denen die Steuereinheiten mehr als zwei Eingänge für redundante Sensorsignale auf weisen. Dabei können die Steuereinheiten gleich viele oder eine unterschiedliche Anzahl von Eingängen aufweisen.

Gemäß dem Ausführungsbeispiel in Fig. 1 umfassen die Steuereinheiten 2a, 2b zur Durch führung der Paarvergleiche Vergleicherschaltungen 13a, 14a, 15a; 13b, 14b, 15b umfassen. Die Vergleicherschaltungen 13a, 14a, 15a; 13b, 14b, 15b können in die Logikschaltungen 7a, 7b integriert oder separat davon ausgebildet sein.

Für die Ausbildung der Logikschaltungen wird Bezug genommen auf die der Beschreibung als Anlage beigefügte Funktionstabelle (Tabelle 1). In Tabelle 1 ist eine Bestätigung im Paar vergleich durch „ok“ gekennzeichnet. Ein negativer Paarvergleich oder ein fehlerhaftes und blockiertes Signal durch den Eintrag „nok“. Nicht vorliegende Paarvergleiche sind durch „N/A“ gekennzeichnet.

Wie den Spalten „Vergleicherschaltung“ und „Ausgabesignal“ der Funktionstabelle zu ent nehmen ist, sind die Logikschaltungen 7a, 7b dazu ausgebildet, eines der an den Eingängen 3a, 4a; 3b, 4b der jeweiligen Steuereinheit 2a, 2b empfangenen Sensorsignale S1a, S2a,

S1b, S2b als Ausgabesignal A1, A2 auszuwählen, das durch mindestens einen Paarver gleich bestätigt wurde. Die Logikschaltungen 7a, 7b geben dagegen ein erstes Fehlersignal F1 an dem Ausgang 5a, 5b der jeweiligen Steuereinheit 2a, 2b aus, wenn ausschließlich ne gative Paarvergleiche vorliegen.

Den Spalten „Vergleicherschaltung“ und „Austauschsignal“ ist weiterhin zu entnehmen, dass die Logikschaltungen 7a, 7b dazu ausgebildet sind, eines der an den Eingängen 3a, 4a; 3b, 4b der jeweiligen Steuereinheit 2a, 2b empfangenen Sensorsignale S1a, S2a; S1b, S2b als Austauschsignal Ex1 ; Ex2 auszuwählen, das im Paarvergleich mit einem an einem anderen Eingang 4a, 3a; 4b, 3b der Steuereinheit empfangenen Sensorsignal S2a, S1a; S2b, S1b oder als einziges der an den Eingängen 3a, 4a; 3b, 4b der Steuereinheit 2a, 2b empfange nen Sensorsignale S1a, S2a; S1b, S2b in einem Paarvergleich mit dem über die Kommuni kationsschnittstelle 6a, 6b empfangenen Austauschsignal Ex2, Ex1 bestätigt wurde.

Die Logikschaltungen 7a, 7b geben dagegen ein zweites Fehlersignal F2 an der Kommuni kationsschnittstelle 6a, 6b der jeweiligen Steuereinheit 2a, 2b aus, wenn ausschließlich ne gative Paarvergleiche zwischen den an den Eingängen 3a, 4a; 3b, 4b der jeweiligen Steuereinheit 2a, 2b empfangenen Sensorsignalen S1a, S2a; S1b, S2b vorliegen und keines oder mehrere der an den Eingängen 3a, 4a; 3b, 4b der jeweiligen Steuereinheit 2a, 2b emp fangenen Sensorsignale S1a, S2a; S1b, S2b im Paarvergleich mit dem an der jeweiligen Kommunikationsschnittstelle 6a, 6b empfangenen Austauschsignal Ex2, Ex1 bestätigt wur de.

Wie in Fig. 1 dargestellt können an den Eingängen 3a, 4a; 3b, 4b und der Kommunikations schnittstelle 6a, 6b Fehlererkennungseinheiten 10a, 11a, 12a; 10b, 11b, 12b angeordnet sein, die dazu ausgebildet sind den Empfang von fehlerhaften Signalen S1a, S2a, Ex2; S1b, S2b, Ex1 an den Eingängen 3a, 4a; 3b, 4b und der Kommunikationsschnittstelle 6a, 6b zu blockieren.

Die Funktionsweise der Fehlererkennungseinheiten 10a, 11a, 12a; 10b, 11b, 12b im Zusam menspiel mit den Vergleicherschaltungen 13a, 14a, 15a; 13b, 14b, 15b kann ebenfalls der Funktionstabelle im Anhang der Beschreibung entnommen werden. Sofern keine Fehlerer kennungseinheiten 10a, 11a, 12a; 10b, 11b, 12b vorgesehen sind, entspricht die Funktion der Logikschaltungen 7a, 7b den ersten 8 Zeilen von Tabelle 1. Soweit einzelne Fehlererken nungseinheiten 10a, 11a, 12a; 10b, 11b, 12b vorgesehen sind, ergibt sich die Funktion je weils unter Ausblendung derjenigen Zeilen, die eine Blockierung („nok“) Signals in einem Si gnalweg ohne Fehlererkennungseinheit vorsehen.

Weiterhin ist der Funktionstabelle zu entnehmen, dass die Logikschaltungen 7a, 7b dazu ausgebildet sind, in dem Fall (Fall Nr. 13 und 16), dass nur ein einziges fehlerfreies Sensor signal S1a, S2a; S1b, S2b an einem Eingang 3a, 4a; 3b, 4b der jeweiligen Steuereinheit 2a, 2b vorliegt und der Empfang der übrigen Signale S1a, S2a, Ex2; S1b, S2b, Ex1 an den übri gen Eingängen 3a, 4a; 3b, 4b und der Kommunikationsschnittstelle 6a, 6b durch die Fehler erkennungseinheiten 10a, 11a, 12a; 10b, 11b, 12b blockiert ist, das fehlerfreie Sensorsignal S1a, S2a; S1b, S2b als Ausgabesignal A1, A2 auszuwählen. Dieses Signal ist ungeprüft und wird daher als Ersatzwert bezeichnet. Auf diese Weise kann die Funktionsfähigkeit der Aus wertevorrichtung auch dann sichergestellt werden, wenn die Redundanz durch mehrere un terschiedliche Fehler aufgehoben wurde.

An dem Ausgang 5a, 5b wird hingegen dann ein drittes Fehlersignal F3 durch die Logik schaltungen 7a, 7b ausgegeben, wenn der Empfang von Sensorsignalen an allen Eingängen 3a, 4a; 3b, 4b der Steuereinheit 2a; 2b von den Fehlererkennungseinheiten 10a, 11a; 10b, 11b blockiert ist.

Vorzugsweise werten die Logikschaltungen 7a, 7b zunächst Paarvergleiche zwischen den an den jeweiligen Eingängen 3a, 4a; 3b, 4b empfangenen Sensorsignalen S1a, S2a; S1b, S2b aus und berücksichtigen das von der jeweils anderen Steuereinheit 2b; 2a empfangene Aus tauschsignal Ex2, Ex1 nur dann, falls keines der empfangenen Sensorsignale S1a, S2a;

S1b, S2b in einem Paarvergleich bestätigt wurde.

Wie der vorletzten Spalte von Tabelle 1 zu entnehmen ist, kann die Betriebsbereitschaft der Auswertevorrichtung in der überwiegenden Mehrzahl der Fälle aufrechterhalten werden. Erst bei mehreren nicht miteinander in Einklang zu bringenden Fehlern kann kein Ausgabesignal mehr am Ausgang der jeweiligen Steuereinheit bereitgestellt werden. In Regelfall wird aber die zweite, unabhängige Steuereinheit in diesen Fehlerfällen noch ein gültiges Sensorsignal ausgeben.

Die letzte Spalte von Tabelle 1 zeigt Fehlerhypothesen, die den von der jeweiligen Logik schaltung angenommenen Fehlerzustand beinhalten. Der von den Logikschaltungen ermit telte Fehlerzustand kann über die jeweiligen Fehlersignale F 1 , F2, F3 oder über einen sepa raten Diagnoseausgang der Auswertevorrichtung ausgegeben werden.

Bezugszeichenliste

1 Auswertevorrichtung

2a, 2b Steuereinheit

3a, 3b Eingang

4a, 4b Eingang

5a, 5b Ausgang

6a, 6b Kommunikationsschnittstelle

7a, 7b Logikschaltung

8a, 8b Selektionsschaltung

9a, 9b Selektionsschaltung

10a, 10b Fehlererkennungseinheit

11a, 11b Fehlererkennungseinheit

12a, 12b Fehlererkennungseinheit

13a, 13b Vergleicherschaltung

14a, 14b Vergleicherschaltung

15a, 15b Vergleicherschaltung

16 Sensor

17 Sensor

18 Sensor

19 Sensor

20 Nutzanwendung

21 Nutzanwendung

S1a, S1b Sensorsignale S2a, S2b Sensorsignale A1, A2 Ausgabesignale Ex1, Ex2 Austauschsignale F 1 , F2, F3 Fehlersignale