Verfahren und Vorrichtung zum Einleiten eines Notlaufbetriebs eines Kraftfahrzeugs

Die vorliegende Erfindung betrifft ein Verfahren zum Einleiten eines Notlaufbetriebs eines Kraftfahrzeugs mit den Schritten: Erfassen einer Fehlfunktion einer Komponente des Kraftfahrzeugs, Prüfen, ob ein Notlaufbetrieb möglich ist, Melden der Fehlfunktion an den Fahrer und Einleiten des Notlaufbetriebs unter vorbestimmten Bedingungen.

Ferner betrifft die vorliegende Erfindung eine Vorrichtung zum Einleiten eines

Notlaufbetriebs eines Kraftfahrzeugs mittels einer Steuereinheit.

Stand der Technik

Auf dem Gebiet der Kraftfahrzeugtechnik ist es allgemein bekannt Fehlfunktionen von Komponenten des Kraftfahrzeugs zu erfassen und auf dieselben zu reagieren. Dabei ist es bekannt, das Fahrzeug in einem Notbetrieb sicher weiter zu betreiben oder aber den Fahrbetrieb sicher zu beenden. Bei den üblichen Sicherheitskonzepten für Steuergeräte im Automobilbereich ist die Reaktion bei dem Auftreten gefährlicher Fehlfunktionen häufig das Abstellen des fehlerbehafteten Systems, insbesondere bei Fehlfunktionen im

Antriebsstrang bzw. im Motorbereich. Dies hat zur Folge, dass der Fahrbetrieb

üblicherweise beendet wird. Fehlerbehaftete Komponenten, die einen sporadisch auftretenden Fehler aufweisen, können auch z.B. durch Aus- und Einschalten der Zündung reaktiviert werden. Sofern der sporadisch auftretende Fehler nach Reaktivierung nicht mehr vorhanden ist, kann das System unter Umständen mit Einschränkungen wieder in Betrieb genommen werden.

Bei dauerhaften Fehlern, die jedoch nicht unmittelbar sicherheitsrelevant bzw. gefährlich sind, kann das betroffene System unter bestimmten Bedingungen, wie z.B. mit einem Warnsignal an den Fahrer, weiter betrieben werden. Nach dem derzeit üblichen

Sicherheitskonzept wird jedoch entweder das System automatisch abgeschaltet oder aber automatisch mit entsprechender Warnung an den Fahrer weiter betrieben. Nachteilig bei den Systemen aus dem Stand der Technik ist es, dass nicht sicher festgestellt werden kann, ob der Fahrer die Warnung tatsächlich wahrgenommen hat, da z.B. die Betätigung der Zündung nicht von der üblichen Verwendung im Normalbetrieb unterschieden werden kann. Ferner bleibt bei dem bekannten Sicherheitskonzept unberücksichtigt, dass bestimmte Fehler bei entsprechender Kenntnis des Fahrers keine oder aber eine kontrollierbare Gefährdung darstellen und somit das Fahrzeug in einem Notbetrieb trotzdem sicher weiter betreibbar ist.

Es ist daher die Aufgabe der vorliegenden Erfindung, die bekannten Sicherheitssysteme derart weiterzuentwickeln, dass die Wahrscheinlichkeit des Abschaltens des

Gesamtsystems bei Fehlfunktion von Einzelkomponenten des Kraftfahrzeugs reduziert ist.

Offenbarung der Erfindung Die vorliegende Erfindung stellt ein Verfahren zum Einleiten eines Notlauf betriebs eines Kraftfahrzeugs bereit mit den Schritten: Erfassen einer Fehlfunktion einer Komponente des Kraftfahrzeugs, Prüfen, ob ein Notlaufbetrieb möglich ist, Melden der Fehlfunktion an den Fahrer, Einleiten des Notlaufbetriebs unter vorbestimmten Bedingungen, wobei der Notlauf betrieb nach aktiver Bestätigung durch den Fahrer eingeleitet wird.

Ferner wird die obige Aufgabe gelöst durch eine Vorrichtung zum Einleiten eines

Notlaufbetriebs eines Kraftfahrzeugs mit einer Steuereinheit, die dazu ausgelegt ist, das Verfahren der oben genannten Art durchzuführen. Vorteile der Erfindung

Durch die vorliegende Erfindung kann die Wahrscheinlichkeit einer Unterbrechung des Fahrbetriebs reduziert werden, indem der Fahrer über die Bedingungen des

Notlauf betriebs und potentielle Gefährdungen informiert wird und durch aktive Bestätigung sichergestellt ist, dass er über die Konsequenzen Kenntnis erlangt hat. In diesem Fall ist ein Weiterbetrieb des Gesamtsystems also des Kraftfahrzeugs auch bei

sicherheitsrelevanten bzw. sicherheitskritischen oder potentiell gefährlichen

Fehlfunktionen möglich.

Die Einleitung des Notlaufbetriebs erfolgt mit anderen Worten so, dass der Fahrer über die Fehlfunktion informiert wird und über potentiell gefahrbringende Situationen in Kenntnis gesetzt wird und mit dieser Kenntnis entscheiden kann, ob der Notlauf betrieb eingeleitet werden soll. Dabei ist es von Vorteil, dass der Fahrer unter Berücksichtigung der gefahrbringenden Situationen und der Gefährdung Maßnahmen ergreifen kann bzw. sensibilisiert ist, in den gefahrbringenden Situationen entsprechend zu reagieren. Dadurch kann auch bei allgemein gefahrbringenden Fehlfunktionen ein Notlaufbetrieb mit kalkulierbarem Risiko bzw. reduzierten Risiko eingeleitet werden.

Von besonderem Vorteil ist es, wenn ein Risikowert des Notlaufbetriebs bestimmt wird, und zwar auf der Grundlage einer Schwere der Fehlfunktion, einer Wahrscheinlichkeit für eine gefahrbringende Situation und/oder einer Kontrollierbarkeit der gefahrbringenden Situation durch den Fahrer. Anhand dieses Risikowertes kann entschieden werden, ob der Notlaufbetrieb möglich oder vertretbar ist, wobei berücksichtigt wird, dass der Fahrer mit positivem Wissen über eine Fehlfunktion entsprechend reagieren kann, wodurch das Risiko im Notlaufbetrieb reduziert ist.

Dabei ist es bevorzugt, wenn der Risikowert dem Fahrer angezeigt wird.

Auf diese Weise kann der Fahrer selbst beurteilen, ob er das entsprechende Risiko eingehen möchte.

Weiterhin ist es bevorzugt, wenn die vorbestimmten Bedingungen abhängig sind von der Art der Fehlfunktion.

Dadurch kann der weitere Betrieb des Kraftfahrzeugs individuell an die Fehlfunktion angepasst werden.

Ferner ist es bevorzugt, wenn dem Fahrer die vorbestimmten Bedingungen für den Notlauf betrieb angezeigt werden. Dadurch kann der Fahrer entsprechend dem Notlaufbetrieb zustimmen, oder diesen ablehnen und ist informiert, welche Funktionen unter Umständen systembedingt eingeschränkt sind.

Weiter ist es bevorzugt, wenn wenigstens ein physikalischer Parameter einer

Kraftfahrzeugkomponente im Notlaufbetrieb begrenzt wird. Dadurch kann je nach Fehlfunktion die Wahrscheinlichkeit für eine gefahrbringende Situation reduziert werden.

Weiterhin ist es bevorzugt, wenn der Fahrer im Notlaufbetrieb vor den gefahrbringenden Situationen gewarnt wird.

Dadurch kann die Kontrollierbarkeit der gefahrbringenden Situationen durch den Fahrer erhöht werden und das Risiko entsprechend reduziert werden.

Ferner ist es bevorzugt, wenn der Fahrer im Notlaufbetrieb gewarnt wird, welche Funktion des Kraftfahrzeugs eingeschränkt nutzbar ist.

Dadurch kann der Fahrer sich im Vorfeld auf die eingeschränkte Nutzbarkeit gewisser Funktionen einstellen und entsprechende Situationen vermeiden. Dadurch kann das Risiko des Notlaufbetriebs weiter reduziert werden.

Weiterhin ist es bevorzugt, wenn die Bestätigung durch den Fahrer mittels einer vordefinierten Bestätigungssequenz einer Bedieneinheit erfolgt.

Dadurch kann sichergestellt werden, dass der Fahrer über den Notlaufbetrieb Kenntnis erlangt hat und die Bestätigung nicht lediglich zufällig erfolgt.

Kurze Beschreibung der Zeichnungen

Fig. 1 zeigt in schematischer Form ein Kraftfahrzeug mit einem Antriebsstrang, der ein Steuergerät zum Erfassen von Fehlfunktionen und eine entsprechende Bedieneinheit aufweist; und

Fig. 2 zeigt ein schematisches Ablaufdiagramm eines Verfahrens zum Einleiten eines Notlaufbetriebs.

Ausführungsformen der Erfindung

In Fig. 1 ist ein Kraftfahrzeug schematisch dargestellt und allgemein mit 10 bezeichnet. Das Kraftfahrzeug 10 weist einen Antriebsstrang 12 auf, der im vorliegenden Falle eine elektrische Maschine 14 zum Bereitstellen von Antriebsleistung beinhaltet. Die elektrische Maschine 14 stellt an einer Antriebswelle ein Drehmoment t bereit und dreht mit einer einstellbaren Drehzahl. Der Antriebsstrang 12 dient zum Antreiben von angetriebenen Rädern 16L, 16R des Fahrzeugs 10.

Der Antriebsstrang 12 kann dazu eingerichtet sein, das Fahrzeug 10 mittels der elektrischen Maschine 14 anzutreiben. Alternativ kann die elektrische Maschine 14 Teil eines Hybrid-Antriebsstranges 12 sein, wobei der Antriebsstrang einen in Fig. 2 nicht näher bezeichneten Antriebsmotor wie einen Verbrennungsmotor oder dergleichen beinhalten kann. Alternativ kann der Antriebsstrang 12 ausschließlich mittels eines nicht näher bezeichneten Antriebsmotors wie eines Verbrennungsmotors oder dergleichen angetrieben werden. Ferner kann der Antriebsstrang ein Getriebe oder dergleichen aufweisen.

Die elektrische Maschine 14 wird mittels einer Ansteuerungselektronik 18 angesteuert. Die Ansteuerungselektronik 18 ist mit einer elektrischen Energieversorgung (z.B.

Akkumulator) verbunden und dient dazu, die elektrische Maschine 14 zu steuern und mit elektrischer Energie zu versorgen.

Das Kraftfahrzeug 10 weist eine Steuereinheit 20 auf, die mit verschiedenen

Komponenten des Kraftfahrzeugs 10, insbesondere mit der Ansteuerungselektronik 18, der elektrischen Maschine 14 verbunden ist. Die Steuereinheit 20 ist ferner verbunden mit einer Bedieneinheit 22, die eine Ausgabeeinheit 24 und eine Eingabeeinheit 26 aufweist.

Die Steuereinheit 20 überwacht mittels nicht dargestellter Sensoren die Funktionen von verschiedenen Komponenten des Kraftfahrzeugs 10, insbesondere der

Ansteuerungselektronik 18 und der elektrischen Maschine 14. Die Steuereinheit 20 kann dadurch auch Fehlfunktionen von einzelnen Komponenten des Kraftfahrzeugs 10 erfassen. Die Steuereinheit 20 weist vorzugsweise Komponenten wie eine Recheneinheit und einen Speicher auf und ist dazu ausgelegt, auf Grundlage eines erkannten Fehlers und auf Grundlage von hinterlegten Daten festzustellen, ob ein Notlaufbetrieb unter bestimmten Bedingungen möglich ist. Die Steuereinheit 20 ermittelt dafür ein Risiko eines derartigen Notlaufbetriebs und leitet ein Warnsignal an die Bedieneinheit 22 weiter. Die Bedieneinheit 22 zeigt über die Ausgabeeinheit 24 dem Fahrer ein entsprechendes Warnsignal an. Der Fahrer bestätigt über die Eingabeeinheit 26 den Notlaufbetrieb. Die Bestätigung des Notlaufbetriebs wird an die Steuereinheit 20 weitergeleitet und die Steuereinheit 20 steuert die Komponenten des Kraftfahrzeugs entsprechend unter vorbestimmten Bedingungen. Die vorbestimmten Bedingungen können bspw. Begrenzung der Drehzahl oder des Drehmoments t sein, oder aber eine Begrenzung der elektrischen Spannung, die durch die Ansteuerungselektronik 18 der elektrischen Maschine 14 bereitgestellt wird.

Die Bestätigung des Notlaufbetriebs durch den Fahrer kann auch durch eine bestimmte Sequenz von Brems- und Gaspedalbetätigungen erfolgen.

Die Ausgabeeinheit 24 der Bedieneinheit 22 ist ferner dazu ausgelegt, textuelle oder auditive Warnungen dauerhaft an den Fahrer abzugeben, um den Fahrer während des gesamten Notlaufbetriebs zu warnen. Ferner kann die Ausgabeeinheit 24 textuelle und/oder auditive Anweisungen an den Fahrer abgeben, welche Aktion aktuell vermieden werden sollte oder wie entsprechend auf zukünftige Situationen reagiert werden sollte. Fig. 2 zeigt ein schematisches Ablaufdiagramm des erfindungsgemäßen Verfahrens zum Einleiten eines Notlaufbetriebs des Kraftfahrzeugs 10.

Das Verfahren ist in Fig. 2 allgemein mit 30 bezeichnet. Das Verfahren 30 wird eingeleitet mit einer Fehlererkennung 32, die über die Steuereinheit 20 erfolgt. Auf Grundlage der Art des detektierten Fehlers bzw. der Fehlfunktion einer Komponente des Kraftfahrzeugs wird bei 34 beurteilt, ob ein Notlaufbetrieb bei einer derartigen Fehlfunktion möglich ist. Sofern festgestellt wird, dass kein Notlaufbetrieb bei einer derartigen Fehlfunktion möglich ist, endet das Verfahren bei 35 und der Fahrbetrieb wird mit einer vorbestimmten Sequenz sicher beendet. Sofern festgestellt wird, dass ein Notlaufbetrieb grundsätzlich möglich ist, werden bei 36 bestimmte Notlaufbedingungen festgelegt bzw. definiert. Die

Notlaufbedingungen werden unter Berücksichtigung der erkannten Fehlfunktion und mit Hilfe von Daten einer Datenbank 37 bestimmt. Ferner wird bei 38 ein Risiko bzw. ein Risikowert des Notlaufbetriebs ermittelt, und zwar auf Grundlage einer Schwere der Fehlfunktion, einer Wahrscheinlichkeit für eine gefahrbringende Situation und einer Kontrollierbarkeit der gefahrbringenden Situation durch den Fahrer. Das Bestimmen des Risikos erfolgt vorzugsweise durch die Steuereinheit 20. Das Bestimmen der Schwere der Fehlfunktion erfolgt vorzugsweise mittels Rückgriff auf Daten, die in einer Datenbank 37 bzw. einer Speichereinheit der Steuereinheit 20 hinterlegt sind. Zur Ermittlung der Wahrscheinlichkeit für eine gefahrbringende Situation, kann ebenfalls auf die Datenbank 37 zurückgegriffen werden, wobei allerdings auch das Fahrverhalten und zusätzliche Messwerte, wie z.B. Umgebungsbedingungen (Wtterungsbedingungen), Fahrverhalten des Fahrers, Beladungszustand oder dergleichen berücksichtigt werden können. Die Kontrollierbarkeit durch den Fahrer kann ebenfalls mittels Rückgriff auf die Datenbank 37 erfolgen. Die Kontrollierbarkeit durch den Fahrer kann unter Umständen durch entsprechende Warnsignale bzw. durch grundsätzliche Sensibilisierung des Fahrers durch die Warnsignale erhöht und dadurch das Risiko verringert werden.

Der Risikowert wird von der Steuereinheit 20 beispielsweise entsprechend der Norm ISO 26262 oder ICE 61508 ermittelt nach der Formel: π. Schwere -^ Wahrscheinlichkeit

Risiko ,

Kontrollierbarkeit wobei Schwere die Schwere des Fehlers bzw. der Fehlfunktion, Wahrscheinlichkeit die Wahrscheinlichkeit für eine gefahrbringende Situation und Kontrollierbarkeit die

Kontrollierbarkeit durch den Fahrer ist. Aus dieser Formel ist ersichtlich, dass mit zunehmender Schwere und mit zunehmender Wahrscheinlichkeit das Risiko bzw. der Risikowert zunimmt und mit zunehmender Kontrollierbarkeit durch den Fahrer entsprechend abnimmt bzw. reduziert ist.

Die Wahrscheinlichkeit einer gefahrbringenden Situation kann auch durch entsprechende Warnung des Fahrers reduziert werden, da der Fahrer entsprechend der Warnung davon abgehalten werden kann, das System in eine derartige Situation zu bringen, z.B. durch Anpassen des Fahrverhaltens. Weiterhin kann die Kontrollierbarkeit durch den Fahrer mittels entsprechender Warnung verbessert werden, da die Reaktionszeit des Fahrers und auch die Art der Reaktion des Fahrers durch die Warnung verbessert werden kann.

Nach ermitteltem Risiko wird bei 40 das Warnsignal an den Fahrer abgegeben. Das Warnen 40 kann über die Bedieneinheit 22 erfolgen. Das Warnsignal kann die

Notlaufbedingungen, das ermittelte Risiko und entsprechende textuelle oder auditive Warnungen enthalten.

Nach Abgabe des Warnsignals erfolgt bei 42 die Bestätigung des Notlaufbetriebs durch den Fahrer. Die Bestätigung erfolgt vorzugsweise über die Eingabeeinheit 26, und zwar vorzugsweise über eine vordefinierte Sequenz von Eingaben, um sicherzustellen, dass die Warnung vom Fahrer tatsächlich wahrgenommen wurde und der Notlaufbetrieb aktiv bestätigt wurde. Nach Bestätigung 42 durch den Fahrer erfolgt ein Schritt 44 des Einleitens des

Notlaufbetriebs durch die Steuereinheit 20. Sofern die Bestätigung durch den Fahrer nicht erfolgt, wird der Notlauf betrieb nicht eingeleitet und evtl. der Fahrbetrieb mit einer vorbestimmten Sequenz sicher beendet.

Im Allgemeinen können in dem Notlaufbetrieb die Notlaufbedingungen durch die

Steuereinheit 20 festgelegt werden, wobei vorzugsweise physikalische Parameter der Kraftfahrzeugkomponenten begrenzt werden. Die Begrenzung kann eine

Drehmomentbegrenzung, eine Drehzahlbegrenzung, eine Geschwindigkeitsbegrenzung oder dergleichen sein.