Die Erfindung bezieht sich auf eine Längsdynamiksteuervorrichtung für Kraftfahrzeuge.

Eine derartige Längsdynamiksteuervorrichtung ist beispielsweise aus der DE 199 60 782 A1 bekannt. Hierbei findet eine Beschleunigungsüberwachung durch den Vergleich einer Ist-Beschleunigung mit einer Soll-Beschleunigung statt.

Weiterhin ist aus der DE 39 05 479 C2 eine Längsdynamiksteuervorrichtung in Form einer Fahrgeschwindigkeitsregeleinrichtung mit einer Störsicherheitsschaltung bekannt.

Beide bekannten Vorrichtungen beschäftigen sich mit einer Fehlererkennung, die eine Fehlfunktion der Längsdynamiksteuervorrichtung erkennt und gegebenenfalls beim Auftreten einer Fehlfunktion eine Sicherheitsfunktion ausführt. Die Fehlererkennung ist bei diesen bekannten Längsdynamiksteuervorrichtungen mit den Geschwindigkeitsregelfunktionen vermischt.

Unter einer Längsdynamiksteuervorrichtung wird hier jedes Längsdynamikregelsystem oder Längsdynamiksteuersystem (im folgenden zusammenfassend kurz als LDM-System bezeichnet) verstanden, das als Komfortsystem zur Fahrerunterstützung eingesetzt werden kann.

Es ist Aufgabe der Erfindung, Längsdynamiksteuervorrichtungen mit Sicherheitsfunktionen abzusichern, die möglicht einfach aber zuverlässig arbeiten.

Diese Aufgabe wird erfindungsgemäß durch die Gegenstände der unabhängigen Patentansprüche gelöst. Vorteilhafte Weiterbildungen sind die Gegenstände der abhängigen Patentansprüche. Ergänzend wird darauf hingewiesen, dass die Gegenstände der unabhängigen Patentansprüche auch miteinander kombinierbar sind.

Der Erfindung liegen folgende Erkenntnisse zugrunde:

Es sind beispielsweise Fahrgeschwindigkeitsregelsysteme als Längsdynamiksteuervorrichtungen mit einem Sicherheitskonzept bekannt, die Sicherheitsfunktionen mit Geschwindigkeitsregelfunktionen, im folgenden für Längsdynamiksteuervorrichtungen allgemein gültig Fahrfunktionen genannt, vermischen. Bei diesen Konzepten sind also lokale Fehlererkennungsmaßnahmen und Sicherheitsfunktionen abhängig vom Algorithmus der Fahrfunktionen. Ein Beispiel hierfür ist der Gegenstand der oben bereits genannten DE 39 05 479 C2.

Diese Vermischung von Fahrfuriktionen mit Sicherheitsfunktionen erfordert bei einer Änderung der Fahrfunktionen eine neue Anpassung der Sicherheitsfunktionen an die Fahrfunktionen.

Eine erste Grundidee ist daher die Trennung der Sicherheitsfunktionen von den als nicht sicherheitsrelevant eingestuften Fahrfunktionen. Die Fahrfunktionen werden in einer ersten Funktionseinheit (Fahrfunktionseinheit) mit einem Hauptrechner ausgeführt. Die Fahrfunktionen können dabei bereits durch Begrenzungsfunktionen auf dem Hauptrechner teilweise abgesichert werden. Wesentlich ist aber, dass grundsätzlich die Sicherheitsfunktionen in einer unabhängigen zweiten Funktionseinheit (Sicherheitsfunktionseinheit), die entweder auch den Hauptrechner oder aber einen eigenen Überwachungsrechner umfasst, ausgeführt werden. Die beiden getrennt arbeitenden Funktionseinheiten können, müssen aber nicht, in einem gemeinsamen Steuergerät integriert sein. Unter Funktionseinheit wird insbesondere ein Softwaremodul in einem Steuergerät verstanden, durch das unter Verwendung der Steuergeräte- Hardware und anderer Fahrzeugkomponenten, bestimmte Funktionen im Fahrzeug ausgelöst werden können.

Mittels der zweiten Funktionseinheit wird ein sicherheitsrelevantes Teilsystem geschaffen, bestehend aus Software (Funktionseinheit), Hardware (Hardware des Steuergeräts, in der die Funktionseinheit integriert ist) und anderen Fahrzeugkomponenten, wie z. B. anderen elektronischen Steuergeräten, Sensoren und Aktuatoren. Dieses Teilsystem deckt die in einer Risikoanalyse identifizierten Gefährdungsszenarien ab.

Eine weitere Grundidee ist, dass im Hinblick auf die Sicherheitsfunktionen Überwachungen im Vordergrund stehen, die im Gegensatz zu der Einhaltung von Soll- und Istgrößen gemäß der DE 199 60 782 A1 möglichst unabhängig von den Fahrfunktionen sind. Die zweite Grundidee des Sicherheitskonzeptes kann von der ersten Grundidee abhängig oder unabhängig sein. Ziel der zweiten Grundidee ist es, die Beherrschbarkeit des jeweiligen Zustandes des Fahrzeuges durch den Fahrer zu ermitteln und eine Unbeherrschbarkeit zu verhindern. Die Ermittelung erfolgt durch

Sicherheitsfunktionen anhand der Änderung dynamischer Größen des Fahrzeugs, die unabhängig von den die Fahrfunktionen betreffenden Rechengrößen der Längsdynamiksteuervorrichtung sind. Die Sicherheitsfunktionen beinhalten Plausibilisierungen von Eingangssignaien, die unabhängig von den Fahrfunktionen sind. Die Sicherheitsfunktionen sind funktional möglichst verschieden untereinander und möglichst unterschiedlich zu den Fahrfunktionen (funktionale Diversität).

Die Sicherheitsfunktionen in Abhängigkeit von der Änderung dynamischer Größen des Fahrzeugs, die unabhängig von den die Fahrfunktionen betreffenden Regelgrößen der Längsdynamiksteuervorrichtung sind, enthalten vorzugsweise insbesondere eine Beschleunigungsüberwachung und/oder eine Rucküberwachung. Im Rahmen der

Beschleunigungsüberwachung wird in einer ersten Alternative die Einhaltung der sicherheitstechnischen Grenzen von Änderungen der Fahrzeuggeschwindigkeit oder in einer besonders vorteilhaften, da präventiven zweiten Alternative die Einhaltung der sicherheitstechnischen Grenzen von aufgrund der Änderung des Längsdynamiksteuer-Sollwertes zu erwartenden Änderungen der Fahrzeuggeschwindigkeit hinsichtlich einer für den Fahrer beherrschbaren Fahrzeugdynamik überwacht. Im Rahmen der Rucküberwachung wird in einer ersten Alternative die Einhaltung der sicherheitstechnischen Grenzen von Änderungen der aktuellen Fahrzeug- Beschleunigung oder in einer besonders vorteilhaften, da präventiven zweiten Alternative die Einhaltung der sicherheitstechnischen Grenzen von aufgrund der Änderung des Längsdynamiksteuer-Sollwertes zu erwartenden Änderungen der Beschleunigung hinsichtlich einer für den Fahrer beherrschbare Fahrzeugdynamik überwacht. Die Beschleunigungsüberwachung und die Rucküberwachung können auch unabhängig von der Trennung in zwei Funktionseinheiten durchgeführt werden. Die Alternativen der Beschleunigungsüberwachung und der Rucküberwachung können beliebig miteinander kombiniert werden.

Die mit Längsdynamiksteuervorrichtungen bzw. mit sogenannten LDM- Systemen durchgeführte Fahrfunktionen sind insbesondere Fahrerassistenzfunktion, die sich in Form von Längsregelungen dem Fahrer als geschwindigkeitsbezogene Fahrzeugreaktionen präsentieren (z. B. Geschwindigkeits- oder Abstandsregelfunktionen).

Das Ziel der Sicherheitsfunktionen, ist die Risiken abzufangen, die durch Fehler in den LDM Fahrfunktionen für den Fahrer entstehen können. Die anzunehmenden Fehler können mit Hilfe von Risikoanalyse und FMEA (Fehlermögiichkeit- und Fehlereinflussanalyse) ermittelt werden.

Sicherheitsziele sind beispielsweise:

• Ohne Fahreraktivierung darf durch das LDM keine fehlerhafte kritische Ansteuerung der Aktuatoren erfolgen.

• Im vom Fahrer aktivierten Zustand muss die Fahrzeugbeschleunigung im vom Fahrer beherrschbaren Bereich bleiben.

• Der Durchgriff des Fahrers auf das Fahrzeugverhalten muss sichergestellt sein.

• Das Fahrzeug darf nicht durch einen LDM Eingriff destabilisiert werden.

Die oben genannten Sicherheitsziele werden durch Sicherheitsfunktionen realisiert. Dabei sind die Sicherheitsfunktionen meist nicht nur einem Sicherheitsziel zugeordnet. Bei der vorliegenden Erfindung stehen wie oben genannt die Beschleunigungsüberwachung und die Rucküberwachung als Sicherheitsfunktionen im Vordergrund, die im folgenden näher erläutert werden:

1. (Fahrzeug-) Beschleunigungsüberwachung

Diese Überwachung bezieht sich auf die durch die Fahrfunktionen generierte Fahrzeugbeschleunigung und überwacht diese auf Einhaltung von beherrschbaren Grenzen. Die Beherrschbarkeit des Fahrzeugverhaltens wird unter anderem bestimmt durch die Änderung der am Fahrzeug anliegenden Geschwindigkeit. Die Überwachung kann realisiert werden durch die Überwachung der gemessenen, am Fahrzeug anliegenden Beschleunigung und deren Überwachung gegenüber einem vom Fahrer als beherrschbar angesehenen Beschleunigungsbereich (derartige Bereiche können z. B. durch Spezifikationen und Standards vorgegeben sein).

Wenn kein Eingangssignal eines Beschleunigungssensors vorliegt, kann z. B. eine Ist-Fahrzeug-Beschleunigung aus einem Fahrzeuggeschwindigkeitssignal bzw. die für ein Bremsregelsystem . gemessenen Raddrehzahlen in der die Beschleunigungsüberwachung durchführenden Funktionseinheit generiert werden. Weiterhin wird unter dem Begriff Fahrzeugbeschleunigung auch jede der Fahrzeugbeschleunigung proportionale Größe verstanden. Die Überwachung ist vorzugsweise nur aktiv, wenn die aktuelle Fahrzeugbeschleunigung aus der zu überwachenden LDM-Fahrfunktion resultiert. D.h. dem Fahrer soll immer die Möglichkeit einer Übersteuerung in Eigenverantwortung gegeben werden, so wie Beschleunigungs-/ Verzögerungsanforderungen von anderen Systemen in deren Verantwortung liegen sollen.

Alternativ oder zusätzlich kann die Beschleunigungsüberwachung präventiv durch die Überwachung der (noch nicht messbaren) Fahrzeugbeschleunigung, die zu erwarten wäre, wenn der vorgegebene Längsdynamiksteuer-Sollwert tatsächlich umgesetzt werden würde, realisiert werden.

2. Rucküberwachung

Außer der Änderung der Geschwindigkeit hat auch die Änderung der Beschleunigung (Ruck) entscheidenden Einfluss auf die Beherrschbarkeit des Fahrzeuges.

2a (erste Alternative): Beschleunigungsgradientenüberwachung

Hierbei wird die tatsächliche Änderung der Fahrzeug-Beschleunigung hinsichtlich einer Fahrerbeherrschbarkeit ausgewertet.

2b (zweite Alternative): Sollwertgradientenüberwachung bzw. Momentengradientenüberwachung

Diese Überwachung bezieht sich auf den Gradienten des Längsdynamiksteuer-Sollwertes, insbesondere auf den Gradienten der von einer LDM-Fahrfunktion ausgegebenen Antriebs- oder Bremsmomentanforderung, und begrenzt dessen Auswirkung auf die Beschleunigung auf einen vom Fahrer gerade noch beherrschbaren und/oder auf einen vom Fahrer gerade noch als komfortabel einzuschätzenden Grenzwert. Die Abstimmung dieses Sollwertgradienten-Grenzwertes wird beispielsweise empirisch durch Beurteilung der durch den Sollwertgradienten verursachten Fahrzeugreaktion, insbesondere einer Beschleunigungsänderung, ermittelt und in der Funktionseinheit abgespeichert.

Die Beschleunigungsüberwachung und die Rucküberwachung bilden gemeinsam den Rahmen, in dem sich die Fahrfunktion im vom Fahrer aktivierten Zustand bewegen darf. Insbesondere sollen sprunghafte Antriebs¬ oder Bremseingriffe verhindert werden. Die zu verhindernde „Sprunghaftigkeit" ist relativ und wird insbesondere hinsichtlich der Beherrschbarkeit ausgelegt.

Durch die Überwachung der tatsächlichen Fahrzeugreaktion (Ist- Beschleunigung) werden langfristigere Änderungen der Fahrzeuggeschwindigkeit überwacht. Durch die Überwachung des Sollwertes (Sollwertgradientenüberwachung) werden kurzfristigere Änderungen des Sollwerts überwacht, die zu ruckartigen Änderungen in der Fahrzeuggeschwindigkeit führen würden. Diese werden durch die Erfindung verhindert, bevor sich derartige Sollwertsprünge als Fahrzeugreaktion überhaupt auswirken können (präventiv).

3. Ausgabeüberwachung

Ergänzend zur Beschleunigungsüberwachung und zur Rucküberwachung kann auch die Zulässigkeit einer Sollwert-Ausgabe als zusätzliche Sicherheitsfunktion überwacht werden; denn die Ausgabe von Sollwerten kann gebunden an bestimmte Betriebszustände vom Fahrer nicht mehr beherrschbar sein. Dabei wird vorzugsweise auch die Zulässigkeit des Längsdynamiksteuer-Sollwertes, insbesondere einer Antriebs- oder Bremsmomentenanforderung, auf Konformität mit dem Aktivierungswunsch durch den Fahrer überwacht. D. h. wenn eine der Längsdynamiksteuervorrichtung zugeordnete manuell zu betätigende Bedieneinheit kein Einschaltsignal (Aktivierungswunsch durch den Fahrer) für die Längsdynamiksteuervorrichtung an die Funktionseinheit liefert, wird die Ausgabe eines Längsdynamiksteuer-Sollwertes, insbesondere einer Antriebs- oder Bremsmomentenanforderung, als unzulässig erkannt.

Es können auch weitere Überwachungen zusätzlich durchgeführt werden, wie z. B. die Überwachung des Fahrerdurchgriffs. Ziel der Überwachung des Fahrerdurchgriffs ist es sicherzustellen, dass der Fahrer seiner Verantwortung für das Fahrzeugverhalten gerecht werden kann und jederzeit korrigierend eingreifen kann. Insbesondere werden dabei die

Sollwertanforderungen der Fahrfunktion auf Widersprüche mit dem Fahrerwunsch über die Pedalerie überprüft und verhindert.

Im folgenden werden die Grundgedanken der Erfindung kurz zusammengefasst:

1. Trennung der Fahrfunktioneinheit und der Sicherheitsfunktionseinheit, wobei die Sicherheitsfunktionen unabhängig von den internen Rechengrößen der Fahrfunktionseinheit ausgeführt werden; und/oder

2. Sicherheitsfunktionen abhängig von der Fahrzeugreaktion (aktuell) und vom Sollwert (präventiv); und/oder

3. Beschleunigungsüberwachung über Fahrzeugreaktion (aktuell) und/oder über Sollwert (präventiv); und/oder

4. Rucküberwachung über Fahrzeugreaktion (aktuell) und/oder über Sollwert (präventiv).

In der Zeichnung ist ein Ausführungsbeispiel der Erfindung dargestellt. Es zeigt

Fig. 1 eine mögliche Darstellung der Längsdynamiksteuervorrichtung mit einer ersten und einer zweiten Funktionseinheit und Fig. 2 Details der zweiten Funktionseinheit

In Fig. 1 ist ein Steuergerät LDM einer Längsdynamiksteuervorrichtung für Kraftfahrzeuge mit einer ersten elektronischen Funktionseinheit 10 und einer von der ersten Funktionseinheit 10 unabhängigen zweiten Funktionseinheit 11 dargestellt. Die beiden Funktionseinheiten 10 und 11 kommunizieren vorzugsweise per Datenbus sowohl miteinander als auch mit Sensoren,

Aktuatoren und weiteren Steuergeräten. Die Funktionseinheiten 10 und 11 könnten auch in unterschiedlichen Steuergeräten integriert sein.

In Fig. 2 wird detaillierter auf das in Fig. 1 nur als Übersicht dargestellte LDM- Steuergerät eingegangen. Die erste elektronische Funktionseinheit 10 ist für die weiter oben dargestellten Fahrfunktionen zuständig und gibt als Ausgangssignal einen Längsdynamiksteuer-Sollwert in Form einer Antriebsmoment- oder Bremsmomentanforderung M _SO ιι aus. Da diese Fahrfunktionen Stand der Technik sind, wird hier nicht näher darauf eingegangen. Dieser Längsdynamiksteuer-Sollwert M _S0 )j ist ein Eingangssignal der zweiten Funktionseinheit 11 , die für die Sicherheitsfunktionen zuständig ist. Die zweite Funktionseinheit 11 erhält keinen Zwischenwert der Funktionseinheit 10, sondern ist von den in der Funktionseinheit 10 durchgeführten Algorithmen und internen Rechengrößen unabhängig. Die zweite Funktionseinheit 11 erhält als weitere Eingangssignale über den steuergeräte-extemen Datenbus CAN insbesondere die Ist-Beschleunigung aj _St des Fahrzeuges oder Signale, durch die die Ist-Beschleunigung a _ist des Fahrzeuges ermittelt werden kann. Weitere Eingangssignale sind beispielsweise der Fahrpedalwinkel FP, ein Bremspedalsignal BP und ein Aktivierungssignal A von einem dem LDM- System zugeordneten manueii zu betätigenden Bedienteil, durch das der Einschaltwunsch A=ein oder der Ausschaltwunsch A=aus des Fahrers bezogen auf das LDM-System an die Funktionseinheit 11 geliefert wird.

Die zweiten Funktionseinheit 11 enthät ein Beschleunigungsüberwachungsmodui 1 , ein

Sollwertgradientenüberwachungsmodul 2, ein Ausgabeüberwachungsmodul 3, ein Bremspedalüberwachungsmodul 4 und ein Fahrpedalüberwachungsmodul 5.

Im Beschleunigungsüberwachungsmodul 1 wird geprüft, ob die Ist-Beschleu¬ nigung a-, _st unabhängig von einer Soll-Beschleunigung innerhalb eines vom

Fahrer als beherrschbar angesehenen Beschfeunigungsbereichs, der bei¬ spielsweise in der zweiten Funktionseinheit 11 abgespeichert ist, liegt (Beschleunigungsüberwachung). Eine präventive Beschleunigungsüberwa¬ chung über eine Sollwertüberwachung ist im vorliegenden Beispiel nicht dar¬ gestellt, könnte aber zusätzlich oder alternativ vorgesehen sein.

Im Sollwertgradientenüberwachungsmodul 2 wird geprüft, ob der Gradient des Längsdynamiksteuer-Sollwertes M _SO ιι größer als ein vorgegebener Schwellwert ist (Sollwertgradientenüberwachung bzw. Momentengradientenüberwachung zur präventiven Rucküberwachung). Eine Rucküberwachung über eine Beschleunigungsgradientenüberwachung ist im vorliegenden Beispiel nicht dargestellt, könnte aber zusätzlich oder alternativ vorgesehen sein.

Im Ausgabeüberwachungsmodul 3 wird geprüft, ob die Ausgabe eines Längsdynamiksteuer-Sollwertes M _so n aufgrund eines Aktivierungswunsches vom Fahrer und anderen möglichen Bedingungen zulässig ist; also ob eine der Längsdynamiksteuervorrichtung zugeordnete manuell zu betätigende Bedieneinheit (Bedienteil) ein Einschaltsignal A=ein für die Längsdynamiksteuervorrichtung an die Funktionseinheit 11 geliefert hat und weitere Systeme ihre Verfügbarkeit kommunizieren. (Ausgabeüberwachung)

Die zweite Funktionseinheit 11 gibt beispielsweise entweder ein Abschaltsignal S1 _ab an den CAN oder ein Abschaltsignal S2 _a b direkt an die erste Funktionseinheit 10 zur Verhinderung der Umsetzung des aktuell ausgegebenen Längsdynamiksteuer-Sollwertes M _so n aus, wenn die Ist- Beschleunigung a _f e _t außerhalb des vom Fahrer als beherrschbar angesehenen Beschleunigungsbereichs liegt, wenn der Gradient des Längsdynamiksteuer-Sollwert größer als ein vorgegebener Schwellwert ist oder wenn ein gültiger Sollwert ausgegeben wurde, obwohl eine der Längsdynamiksteuervorrichtung zugeordnete manuell zu betätigende Bedieneinheit (Bedienteil) kein Einschaltsignal A=ein für die

Längsdynamiksteuervorrichtung an die Funktionseinheit liefert. Allgemein wird durch die Sicherheitsfunktionen also eine weitere Ausgabe von gültigen Sollwerten verhindert, wenn die als vom Fahrer als beherrschbar angesehenen Bereiche überschritten werden.

Die zweite Funktionseinheit 11 kann auch ein Abschaltsignal S1 _ab oder S2 _ab zur Verhinderung der Umsetzung des aktuell ausgegebenen Längsdynamiksteuer-Sollwertes M _SO ιι an den Motor ausgeben, wenn das Bremspedalsignal BP eine vom Fahrer ausgeführte Bremsbetätigung anzeigt, oder wenn bei einem Längsdynamiksteuer-Sollwertes M _SO JI in Form einer Bremsmomentanforderung ein Fahrpedalwinkel FP größer Null (entspricht einem betätigten Fahrpedal) ermittelt wird. (Überwachung des Fahrerdurchgriffs)

Bei der Beschleunigungsüberwachung und der Rucküberwachung können unterschiedliche Schwellwerte abhängig von unterschiedlichen Geschwindigkeitsbereichen als beherrschbar angesehen werden.

Die vorliegende Erfindung lehrt die Trennung der Sicherheitsfunktionen untereinander und von möglichen längsdynamischen Fahrfunktionen. Hierbei werden nicht die vom für die Fahrfunktionen zuständigen Regler generierten internen Variablen oder andere Rechengrößen überwacht, sondern es werden lediglich einerseits die Änderung der Regierausgangs- bzw. Reglerausgabegröße und andererseits die von der Reglerausgabegröße resultierende Fahrzustandsänderung (z. B. a _ist ) auf Fahrerbeherrschbarkeit überwacht, um ein Fehlverhalten des Reglers zu identifizieren und daraufhin einen sicheren Zustand einzuleiten. Durch die Fahrzeugreaktion beschreibende Größen, wie insbesondere die (Fahrzeug-) Beschleunigung oder Rucke, ist eine gesamtheitiiche Überwachung der Beherrschbarkeit des Fahrzeugverhaltens, insbesondere des Fahrzeuglängsverhaltens, möglich. Die Fahrfunktionseinheit und die Sicherheitsfunktionseinheit werden in

vorteilhafterweise von einander gekapselt, wobei sich die Fahrfunktionseinheit unter permanenter Kontrolle der Sicherheitsfunktionseinheit befindet.