Fahren und Kraftfahrzeug

Die Erfindung betrifft ein Verfahren zum Betrieb eines Bremssystems in einem ein zur vollautomatischen, unabhängigen Fahrzeugführung ausgebildetes Fahrerassistenzsystem aufweisenden Kraftfahrzeug. Daneben betrifft die Erfindung ein Kraftfahrzeug.

Bremssysteme in modernen Kraftfahrzeugen vereinen eine Vielzahl von Funktionen, so dass sie gemäß ihrer Auslegung immer komplexer werden. Beispiele für Regelfunktionen, die üblicherweise auf Bremssysteme angewendet werden, sind die elektronische Bremskraftverteilung (EBV), Antiblo- ckiersysteme (ABS) und die elektronische Stabilitätskontrolle (ESC), die das Bremsen insgesamt sicherer und komfortabler gestalten. Die Steuerung des Betriebs moderner Bremssysteme ist daher meist so organisiert, dass beispielsweise als übergeordnete Regelfunktion eine elektronische Stabilitätskontrolle vorgesehen ist, der untergeordnet ABS-Regler und/oder EBV- Regler vorgesehen sind. Insgesamt baut die Reglerstruktur eines Bremssystems heutzutage auf einer Vielzahl von Sensorsignalen, Signalen anderer, Fahrzeugsysteme, Plausibilisierungen, Verteilungen und Regelkreisen zur Fahrzeugbewegung sowie zur Rad- und Motorregelung auf, so dass sich ein äußerst komplexes Zusammenwirken ergibt.

Entsprechend sind derartige moderne Bremssysteme derart konzipiert, dass sie bei Fehlerfällen in einen sicheren Systemzustand übergehen. Das bedeutet, moderne Bremssysteme werden häufig als sogenannte „Failsafe"- Bremssysteme realisiert. Dabei werden Rückfallebenen definiert, die teilweise noch elektronisch sein können, häufig aber mechanisch und/oder hydraulisch sind. Bei Auftreten eines sicherheitsrelevanten Fehlers in der das Bremssystem steuernden Elektronik wird die Fahrzeugsicherheit durch

BESTÄTfGUNGSXOPIE Deaktivierung der elektronischen Komponenten unter Rückgriff auf die mechanischen und hydraulischen Komponenten gewährleistet, das bedeutet, wenigstens der mechanische Durchgriff des Fahrers über das Bremspedal ist grundsätzlich als Rückfallebene gewährleistet.

Es sind auch komplexere Strukturen von Failsafe-Bremssystemen bekannt, bei denen Unterregler noch aktiv bleiben und dergleichen. So ist es beispielsweise möglich, dass in einem Fehlerfall, wenn beispielsweise die elektronische Stabilitätskontrolle als Fahrdynamikregelsystem ausfällt, der Fahrer zunächst keine unmittelbare Beeinträchtigung der Fahreigenschaften fühlt, nachdem der ABS-Regler und der EBV-Regler noch aktiv sind. Selbst im Falle des Ausfalls des ABS-Reglers ist die Grundfunktion des Bremssystems, nämlich stabiles Bremsen mit Bremskraftverteilung, noch immer vorhanden. In dieser Ausgestaltung existiert also, ausgehend vom ESC- Vollsystem, eine Mehrzahl von Rückfallebenen, nämlich beispielsweise bei einem Signalfehler, einem Bordnetzfehler, einem Plausibilitätsfehler oder einem Kommunikationsfehler zunächst die Aktivierung einer ABS- Rückfallebene, wobei dann, wenn ein Signalfehler der Drehzahlsensorik und/oder ein Spannungseinbruch unter 7V vorliegt, auf eine EBV- Rückfallebene zurückgefallen werden kann. Ist selbst diese nicht mehr betreibbar, existiert schließlich noch immer der mechanische Durchgriff.

Derartige Failsafe-Rückfallebenenkonzepte bzw. insgesamt also Failsafe- Bremssysteme stellen in ihrer Auslegung darauf ab, dass sich der Fahrer„im Loop" befindet, also mit der Fahraufgabe betraut ist und das Kraftfahrzeug führt.

In letzter Zeit ist die Forschungstätigkeit an vollautomatisierten, zur unabhängigen Fahrzeugführung ausgebildeten Fahrerassistenzsystemen erhöht. Auf derartige Systeme lässt sich die hier beschriebene Fail-operational- Bremse nicht anwenden, da diese davon ausgeht, dass der Fahrer während des Betriebs des Bremssystems die Aufmerksamkeit und Verantwortung für den Fahrbetrieb innehat. Ist beispielsweise bei einem vollautomatisierten Fahrerassistenzsystem ein Kommunikationsausfall zwischen dem eine Bremsverzögerung anfordernden Steuergerät und dem die Bremsverzögerung umsetzenden, mithin den Betrieb des Bremssystems steuernden Steuergerät gegeben, könnte die gewünschte Bremsverzögerung nicht aufrechterhalten werden, wobei zudem der Fahrer, welcher bei vollautomatisierter Fahrt durch andere Tätigkeiten abgelenkt sein kann, nicht kurzfristig bei einem erkannten und kommunizierten Fehler die Fahrzeugführung wieder übernehmen kann. Ein großer Unterschied zwischen einem Sicherheitskonzept für nicht- bzw. teilautomatisierte Fahrerassistenzsystemfunktionen und vollautomatisierte Fahrerassistenzsystemfunktionen ist die Zeitreserve, bis der Fahrer den Fahrbetrieb selbst wieder vollständig übernehmen sollte. Bei teilautomatisierten Fahrerassistenzsystemen, beispielsweise ACC-Systemen und dergleichen, wird die Fahraufgabe durch den Fahrer nicht abgegeben, das bedeutet, der Fahrer ist weiterhin für den Fahrbetrieb des Kraftfahrzeugs verantwortlich und sollte„im Loop" sein, so dass jederzeit eine vollständige Übernahme des Fahrbetriebs durch den Fahrer umgesetzt werden können sollte.

Eine solche dauerhafte Überwachung ist für vollautomatisierte, zur unabhängigen Fahrzeugführung ausgebildete Fahrerassistenzsysteme nicht mehr notwendig, so dass eine längere Zeit vergehen kann, bis der Fahrer tatsächlich die Fahraufgabe wieder selbst wahrnehmen kann. Daher sind zusätzliche Vorkehrungen erforderlich, um die Sicherheit des Kraftfahrzeugs weitgehend sicherzustellen, sobald beim Betrieb des Bremssystems eine Systemgrenze und/oder ein Systemausfall, zusämmengefasst als Fehlerfall, auftritt.

Der Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren zum Betrieb eines Bremssystems anzugeben, das auch bei einer unabhängigen Fahrzeugführung durch ein vollautomatisiertes Fahrerassistenzsystem eine Gewährleistung eines sicheren Zustands des Kraftfahrzeugs innerhalb einer ausreichenden Zeitreserve ermöglicht.

Zur Lösung dieser Aufgabe ist bei einem Verfahren der eingangs genannten Art erfindungsgemäß vorgesehen, dass in einer fehlerfreien Betriebsphase des Bremssystems ein einen sicheren Zustand des Kraftfahrzeugs, insbe- sondere den Stillstand, herbeiführender, Bremsmaßnahmen in einem zeitlichen Ablauf umfassender Aktionsplan in Abhängigkeit von Betriebsparametern, umfassend wenigstens einen den aktuellen Betriebszustand des Kraftfahrzeugs beschreibenden Egoparameter und/oder wenigstens ein die Umgebung des Kraftfahrzeugs beschreibenden Umgebungsparameter, ermittelt und ständig anhand aktueller Betriebsparameter aktualisiert wird, wobei der jeweils aktuelle Aktionsplan in einem Speichermittel gespeichert wird, und dass durch ein Notfallmodul bei Auftreten eines Fehlers des Bremssystems das Kraftfahrzeug unter Verwendung des aktuellen Aktionsplans in den sicheren Zustand verbracht wird.

Dabei ist der Ausdruck des Fehlers des Bremssystems hier weit zu verstehen, denn er umfasst alle den normalen Betrieb des Bremssystems stark beeinträchtigenden oder völlig ausschließenden Fehler, welche auch außerhalb des Bremssystems vorliegen können, beispielsweise bei einem Ausfall eine Kommunikationsverbindung,, des vollautomatischen Fahrerassistenzsystems oder bei einem Ausfall elektrischer Energie. Das Verfahren wird durch ein oder mehrere Steuergeräte eines Kraftfahrzeugs oder allgemein Steuereinrichtungen ausgeführt.

Die grundlegende Idee der vorliegenden Erfindung ist es also, einen sicheren Zustand zu definieren, beispielsweise den Stillstand des Kraftfahrzeugs auf der aktuell befahrenen Fahrspur oder einer benachbarten Fahrspur, beispielsweise einem Standstreifen. Ausgehend vom aktuellen Betriebszustand des Kraftfahrzeugs, beschrieben durch die Betriebsparameter, kann mithin ein Bremsmaßnahmen, mithin gewünschte Bremsverzögerungen, umfassender Aktionsplan ermittelt werden, der diesen sicheren Zustand, gegebenenfalls unter Beachtung weiterer Randbedingungen, herbeiführt. Es wird mithin während des fehlerfreien Betriebs ein Bremsprofil als Aktionsplan erzeugt und ständig aktuell gehalten, wobei dann im Fehlerfall der Aktionsplan zur Anwendung kommt. Für die maximal mögliche Zeit wurde dabei mithin der Zustand des Kraftfahrzeugs und der Umgebung berücksichtigt, so dass beispielsweise auch, worauf im Folgenden noch näher eingegangen werden wird, durch das Bremssystem und/oder ein Längssystem realisierte Lenkein- griffe zeitaktuell passend in dem Aktionsplan vorhanden sein können, beispielsweise wenn die aktuell befahrene Fahrspur gehalten werden soll. Wird mithin beispielsweise als sicherer Zustand der Stillstand des Kraftfahrzeugs auf der aktuell befahrenen Fahrspur herbeigeführt, bedeutet dies, dass bei Ausführung des Aktionsplans das Kraftfahrzeug automatisch das Fahrmanöver„Geschwindigkeitsabbau bis zum Stillstand auf der aktuell befahrenen Fahrspur" durchführt. Der übliche Betrieb des Bremssystems wird also ersetzt durch die Umsetzung des Aktionsplans, welcher daher vorteilhaft in einem unabhängigen, dedizierten Speichermittel abgelegt ist. Die im Aktionsplan enthaltenen Bremsbefehle werden der aktuellen Situation des Kraftfahrzeugs angepasst generiert und führen zu einem möglichst sicheren Ergebnis, welches eine Zeitreserve zur Verfügung stellt, in der dann doch der Fahrer die Fahraufgabe wieder übernehmen kann. Der Aktionsplan erlaubt eine Überführung des Kraftfahrzeugs in den sicheren Zustand ohne Eingriff durch den Fahrer. Für typische Fehlerfälle, in denen die übliche Umsetzung einer von dem Fahrerassistenzsystem generierten Verzögerungsanforderung nicht mehr möglich ist, beispielsweise Signalfehler, Plausibilisierungsfehler oder Kommunikationsfehler, kann damit, trotzdem die eigentliche Regelfunktion, beispielsweise eine elektronische Stabilitätskontrolle, nicht mehr zur Verfügung steht, mithin eine Rückfallebene für das Bremssystem verwendet wird, das Kraftfahrzeug in den sicheren Zustand verbracht werden.

Diese Realisierung einer letztlich die übliche Bremsregelung ersetzenden Notfallbremsregelung anhand des Aktionsplans kann besonders vorteilhaft erreicht werden, wenn die Speicherung und/oder Verwendung des Aktionsplans in einer von einer die Funktionen des Bremssystems realisierenden Steuereinheit unabhängigen Zusatzsteuereinheit erfolgt. Das bedeutet, die Steuerung des Bremssystems erfolgt nicht mehr durch die in der fehlerfreien Betriebsphase zuständige Steuereinheit, die aufgrund des Fehlers nicht mehr zur Durchführung ihrer Aufgabe geeignet ist, sondern wird von der Zusatzsteuereinheit übernommen, welche allein für die Speicherung und Verwendung des Aktionsplans zuständig ist und funktional unabhängig von der in der fehlerfreien Betriebsphase zuständigen Steuereinheit ist. Dabei sei jedoch darauf hingewiesen, dass es durchaus möglich ist, dass noch zur Verfügung stehende Unterfunktionen der in der fehlerfreien Betriebsphase zuständigen Steuereinheit durchaus durch die Zusatzsteuereinheit angesprochen werden können, worauf im Folgenden noch näher eingegangen werden wird. Auf diese Weise existiert insgesamt eine von der Funktionsfähigkeit der eigentlich zuständigen Steuereinheit unabhängige Zusatzsteuereinheit, welche den Aktionsplan dennoch ausführen kann, so dass das Kraftfahrzeug in einen sicheren Zustand verbracht wird. Erfüllt die in der fehlerfreien Betriebsphase zuständige Steuereinheit beispielsweise allgemein die Funktion einer elektronischen Stabilitätskontrolle, kann die Umsetzsteuereinheit als eine Art ESC-Addon verstanden werden.

Dabei ist es besonders zweckmäßig, wenn eine in einem Steuergerät, insbesondere einem ESC-Steuergerät, für das Bremssystem verbaute Zusatzsteuereinheit verwendet wird. Mit anderen Worten wird das Steuergerät, welches ohnehin für die Steuerung des Bremssystems zuständig ist, um die Zusatzeinheit erweitert, welche sich mithin auch in räumlicher Nähe zu den gegebenenfalls anzusprechenden Schnittstellen und dergleichen befindet, mithin idealerweise von längeren, fehleranfälligen Kommunikationsverbindungen weitgehend unabhängig ist. Die Zusatzsteuereinheit gliedert sich in die schon vorhandene Infrastruktur ein. Es ist also eine Integration der die Funktionen des Bremssystems realisierenden Steuereinheit und der Zusatzsteuereinheit in dem Steuergerät, insbesondere dem ESC-Steuergerät gegeben. Es sei darauf hingewiesen, dass es selbstverständlich auch denkbar ist, die Zusatzsteuereinheit in andere Steuergeräte zu integrieren oder gar als eigene Baueinheit vorzusehen.

Besonders vorteilhaft ist es auch, wenn die Zusatzsteuereinheit, zumindest bei Verwendung des Aktionsplans, mit einer nur der Zusatzsteuereinheit zugeordneten Energiequelle versorgt wird. Ein möglicher Fehlerfall ist es auch, dass die elektrische Energieversorgung des Kraftfahrzeugs ausfällt, so dass es äußerst zweckmäßig sein kann, wenn die Zusatzsteuereinheit, die ja das Notfallmodul realisiert, trotzdem weiter aktiv bleiben kann. Auch bei einem vollständigen Ausfall der elektrischen Energieversorgung wird mithin dem Fahrer eine Zeitreserve zur Verfügung gestellt, bis dieser beispielsweise für den immer noch vorhandenen mechanischen Durchgriff die Kontrolle selbst übernehmen kann, wobei die Sicherheit des Kraftfahrzeugs möglichst weitgehend aufrechterhalten wird, da ja dem situationsgerechten, zuvor ständig aktuell gehaltenen Aktionsplan gefolgt wird und aufgrund der unabhängigen Energieversorgung der Zusatzsteuereinheit auch gefolgt werden kann.

Wie bereits angedeutet wurde, ist es zudem äußerst zweckmäßig, wenn die das Notfallmodul realisierende Zusatzsteuereinheit eine auch von der die Funktionen des Bremssystems realisierenden Steuereinheit angesprochene Schnittstelle für die Ausgabe von Stellgrößen an Komponenten des Bremssystems zur Realisierung des Aktionsplans nutzt. Das bedeutet nicht nur, dass das vorgegebene Ausgabeformat für Stellgrößen, also Ansteuerungs- parameter, das im fehlerfreien Betrieb genutzt wird, auch durch die Zusatzsteuereinheit realisiert wird, sondern zudem, dass auch Hardware- Komponenten, die diese Schnittstelle realisieren, von beiden Steuereinheiten angesprochen werden. Hierdurch ergibt sich eine vereinfachte Realisierung.

Die das Notfallmodul realisierende Zusatzsteuereinheit lässt sich zudem, allgemein gesagt, kostengünstig zu realisieren, da sie lediglich eine Hinzufügung standardmäßig vorhandener Komponenten insbesondere in ein ohnehin dem Bremssystem zugeordnetes Steuergerät erfordert. Ein Speichermittel und eine darauf zugreifende Recheneinrichtung, insbesondere ein Mikroprozessor, können bereits ausreichend sein, wobei zusätzlich noch die der Zusatzsteuereinheit zugeordnete Energiequelle, beispielsweise eine Batterie, einzubauen sein kann.

In üblichen Systemarchitekturen wird eine Verzögerungsanforderung für das Bremssystem durch Fahrzeugsysteme geliefert, die in ihrer Rolle„Entscheider" sind. Im vorliegenden Fall liefert das vollautomatische, zur unabhängigen Fahrzeugführung ausgebildete Fahrerassistenzsystem die Vorgabe, die dann im Bremssystem, insbesondere also der während der fehlerfreien Betriebsphase genutzten Steuereinheit, umgesetzt wird, um die weiteren Funktionalitäten, insbesondere ESC, ABS und EBV, zu realisieren. Das bedeutet, das vollautomatische Fahrerassistenzsystem wertet ohnehin Betriebspara- meter, insbesondere auch die zur Ermittlung des Aktionsplanes genutzten Betriebsparameter, aus. Daher ist es zweckmäßig, wenn der Aktionsplan durch das Fahrerassistenzsystem ermittelt und aktualisiert wird. Sind zweckmäßigerweise eine Steuereinheit und die das Notfallmodul realisierende Zusatzsteuereinheit in einem Steuergerät realisiert, werden sowohl der aktuelle Aktionsplan als auch die für den Betrieb des Fahrerassistenzsystems nötigen Verzögerungsanforderungen an das Steuergerät gesendet.

In weiterer Ausgestaltung der Erfindung kann zur Ermittlung und Aktualisierung des Aktionsplans wenigstens ein auf die Sicherheit des Kraftfahrzeugs und/oder wenigstens eines anderen Verkehrsteilnehmers bezogenes Sicherheitskriterium und/oder wenigstens ein weitere Anforderungen beschreibendes Anforderungskriterium berücksichtigt werden. Beispielsweise dann, wenn der sichere Zustand als„Stillstand auf der aktuell befahrenen Fahrspur" definiert wurde, ist es zweckmäßig, den Aktionsplan so zu ermitteln, dass zum einen die Sicherheit des eigenen und der anderen, umgebenden Kraftfahrzeuge gegeben ist, aber auch sonstige Randbedingungen bzw. Anforderungen, beispielsweise was eine Hinweiswirkung auf den Fahrer angeht, zu berücksichtigen. Beispielsweise ist es denkbar, als Aktionsplan eine Art kaskadiertes Bremsen vorzusehen, wobei beispielsweise zunächst für eine bestimmte Zeitspanne, beispielsweise zwei Sekunden, ein eher schwaches Bremsen vorgesehen ist, welches sich dann für weitere Zeitspannen langsam erhöht, bis der Stillstand erreicht ist. Auf diese Weise tritt zum einen kein zu plötzliches, starkes Bremsen auf, was die Sicherheit des Fahrers erhöht und einen Überraschungseffekt bei anderen Verkehrsteilnehmern vermeidet, zum anderen wird der Fahrer schonend darauf hingewiesen, dass ein Fehlerfall vorliegt, wenn das Kraftfahrzeug beginnt, zunehmend stark zu bremsen. Um solche konkreten Aktionspläne ermitteln zu können, sind erfindungsgemäß die Sicherheits- und/oder Anforderungskriterien vorgesehen. Sicherheits- und/oder Anforderungskriterien können auch die Leistungsfähigkeit des Bremssystems betreffen. Wurde der Aktionsplan ausgehend von einer aktuell gewünschten Geschwindigkeit des Kraftfahrzeugs durch das Fahrerassistenzsystem ermittelt, kann ein Anforderungskriterium beispielsweise die Tatsache betreffen, dass die mittlere Bremsverzögerung abhängig von der Definition des sicheren Zustande durch das Bremssystem auch umsetzbar ist. Anforderungen können auch zur Erfüllung gesetzlicher Vorgaben dienen, so dass ein Anforderungskriterium beispielsweise vorsehen kann, dass die maximale Bremsdruckaufbauzeit den gesetzlichen Anforderungen genügen muss. Diese Beispiele zeigen, dass die Ermittlung des Aktionsplanes auf verschiedene Weise so parametrierbar bzw. mit Randbedingungen versehbar ist, so dass eine möglichst hohe Sicherheit genauso wie die Ausführbarkeit des Aktionsplans gewährleistet werden kann, wobei sich selbstverständlich auch Anforderungskriterien auf den Komfort des Fahrers richten lassen.

In diesem Zusammenhang kann es zweckmäßig sein, wenn durch das Notfallmodul wenigstens ein Sicherheitskriterium und/oder Anforderungskriterium erneut und/oder wenigstens ein zusätzliches Kriterium, insbesondere eine maximal zulässige Bremsverzögerung, überprüft wird. Mithin kann eine Art Plausibilisierung im Notfallmodul erfolgen, wobei auch eine Prüfung gegen allgemein gültige globale Grenzwerte, beispielsweise für die Bremsverzögerung, folgen kann. Insbesondere sind Subsysteme des Bremssystems bekannt, die nicht die volle Bremsleistung erbringen können, beispielsweise bei einzelne Räder ansteuernden Bremskomponenten. Derartiges kann (insbesondere zusätzlich) auch im Rahmen der Verwendung des Aktionsplans (insbesondere nochmals) überprüft werden.

Eine besonders vorteilhafte Weiterbildung des erfindungsgemäßen Verfahrens sieht vor, dass der Aktionsplan wenigstens eine durch radselektives Bremsen und/oder ein Lenksystem zu realisierende Lenkmaßnahme enthält. Dabei wird es bevorzugt, Lenkmaßnahmen durch radselektives Bremsen zu realisieren, nachdem dann keine Abhängigkeit der Verfügbarkeit eines elektrisch getriebenen Lenksystems, welches auch von dem Fehler betroffen sein kann, notwendig ist. Jedoch kann ein solches selbstverständlich auch mit in das erfindungsgemäße Verfahren einbezogen werden. Die Einprägung von Lenkmomenten in die Bewegung eines Kraftfahrzeugs durch radselektives Bremsen ist im Stand der Technik bereits bekannt und muss hier nicht im Detail dargelegt werden. Jedoch lässt sich eine derartige Funktionalität be- sonders vorteilhaft im Rahmen der vorliegenden Erfindung einsetzen, so dass eine Richtungskorrektur, beispielsweise um eine aktuell befahrene Fahrspur zu halten oder auf eine benachbarte Fahrspur, beispielsweise einen Standstreifen, zu wechseln, durch das Bremssystem selbst erzeugt werden kann, indem radselektive bzw. seitenindividuelle Bremseingriffe über die Komponenten des Bremssystems realisiert werden.

Dabei ist es, wie bereits angedeutet, zweckmäßig, wenn die Lenkmaßnahmen in Abhängigkeit eines durch Umfelddaten beschriebenen weiteren Verlaufs einer von dem Kraftfahrzeug befahrenen Fahrspur ermittelt werden. Dies zeigt erneut deutlich auf, wie vorteilhaft es ist, den Aktionsplan ständig aktuell zu halten, da auf diese Weise beispielsweise vermieden werden kann, dass das Kraftfahrzeug beim Überführen in den sicheren Zustand die aktuelle Fahrspur verlässt bzw. eine Zielfahrspur, beispielsweise einen Standstreifen, gar nicht erreicht.

Das Notfallmodul kann durch geeignete Unterfunktionen realisiert werden. In einer besonders vorteilhaften Ausgestaltung kann vorgesehen sein, dass durch das Notfallmodul in einer Diagnoseunterfunktion ein Fehler festgestellt wird und/oder in einer Aktionsplanmanagement-Unterfunktion des Notfallmoduls wenigstens ein die konkrete Ausführung des Aktionsplans bestimmender Ausführungsparameter ermittelt wird und/oder in einer Umsetzungsunterfunktion aus den Bremsmaßnahmen des Aktionsplans als Ausgabeparameter des Notfallmoduls zu verwendende Ansteuerungsparameter für wenigstens eine Bremskomponente des Bremssystems ermittelt werden. Es kann mithin eine zweckmäßige Unterteilung des Notfallmoduls in Unterfunktionen, die auch als Untermodule bezeichnet werden können und durch unterschiedliche Hardware- und/oder Softwarekomponenten realisiert werden können, erfolgen, die bestimmte konkrete Funktionalitäten unterstützen.

So kann zunächst eine Diagnoseunterfunktion vorgesehen sein, die für die Feststellung notwendig ist, ob ein Fehler vorliegt. Erst dann, wenn ein Fehler vorliegt, kann eine Aktionsplanmanagement-Unterfunktion aufgerufen werden, was insbesondere dann gilt, worauf im Folgenden noch näher einge- gangen werden wird, wenn die konkrete Ausführung des Aktionsplans noch durch weitere Ausführungsparameter genauer definiert werden soll. Schließlich kann eine Umsetzungsunterfunktion vorgesehen werden, die die in dem Aktionsplan gegebenenfalls noch abstrakt vorliegenden Bremsmaßnahmen in entsprechende Ausgabeparameter umsetzt, die beispielsweise für Schnittstellen zur Ansteuerung der Bremskomponenten des Bremssystems eingesetzt werden können. Die Diagnoseunterfunktion kann auch im Rahmen einer Plausibiltätsprüfung genutzt werden, das bedeutet, es kann, beispielsweise durch Datenaustausch mit dem Bremsmodul, überprüft werden, ob die Aktivierung des Notfallmoduls korrekt war. Insgesamt ergibt sich dadurch eine gut wartbare Gesamtstruktur des Notfallmoduls.

In einer besonders bevorzugten Ausführungsform kann vorgesehen sein, dass in der Diagnoseunterfunktion eine Fehlerart des vorliegenden Fehlers festgestellt wird, woraufhin die Aktionsplanmanagement-Unterfunktion in Abhängigkeit der Fehlerart eine von mehreren in dem Aktionsplan enthaltenen Ausführungsvarianten des Aktionsplans wählt und/oder den Aktionsplan an- passt und/oder ein Ausgabeziel für auszugebende Ausgabeparameter wählt. Die grundlegende Idee hier ist, dass dann, wenn die Fehlerart des aufgetretenen Fehlers bekannt ist, der Aktionsplan bzw. der Betrieb des Notfallmoduls auch auf die Art des Fehlerfalls angepasst werden kann und somit eine bestmögliche Umsetzung des Aktionsplans realisiert wird. Dies sei anhand von Beispielen näher erläutert.

So kann vorgesehen sein, dass bei einem als Fehler festgestellten Ausfall eines Eingangsdaten für ein in der fehlerfreien Betriebsphase den Betrieb des Bremssystems steuerndes Bremsmodul liefernden Sensors und/oder einer Kommunikationsverbindung zu dem Bremsmodul als Ausgabeziel eine der Signalverarbeitung nachgeschaltete Unterfunktion des Bremsmoduls gewählt wird, wobei insbesondere die Ausgabeparameter unmittelbar von der Aktionsplanmanagement-Unterfunktion ermittelt und ausgegeben werden. Liegt ein Fehler mithin beispielsweise nicht im Bremsmodul selbst, dessen Funktionen beispielsweise in der während der fehlerfreien Betriebsphase den Betrieb des Bremssystems steuernden Steuereinheit realisiert werden kann, wären Unterfunktionen des Bremsmoduls weiterhin vorteilhaft nutzbar, solange es mit geeigneten Daten versorgt wird. Liefert beispielsweise eine Kommunikationsverbindung üblicherweise gewollte Bremsverzögerungen vom Fahrerassistenzsystem, können diese Bremsverzögerungen ersatzweise auch vom Notfallmodul unter Nutzung des Aktionsplans geliefert werden, wobei zweckmäßigerweise dann keine Umsetzung in Ansteuerungsparame- ter mehr erfolgen muss, sondern die Bremsverzögerung des Aktionsplans unmittelbar an eine entsprechende, der Signalverarbeitung nachgeschaltete Unterfunktion des Bremsmoduls geliefert werden kann, welches seine weiteren Funktionen dann vorteilhafterweise noch immer ausführen kann. In einer anderen Ausgestaltung ist es auch denkbar, Sensordaten mit in dem Aktionsplan abzuspeichern, so dass in diesem die letzten bei der Ermittlung des Aktionsplans vorliegenden Sensordaten vorliegen und ebenso gegebenenfalls an das Bremsmodul weitergegeben werden können. Somit sind trotz eines Kommunikationsausfalls oder Sensorausfalls dennoch weiterhin ein Großteil der üblichen Funktionen des Bremssystems vorhanden und können genutzt werden, nur mit einer geänderten Datenquelle, da entsprechende Eingangsdaten nun von dem Notfallmodul zur Verfügung gestellt werden. Es sei an dieser Stelle noch angemerkt, dass bei jedem Systemabwurf bzw. jeder Systemgrenze des vollautomatischen, zur unabhängigen Fahrzeugführung ausgebildeten Fahrerassistenzsystems ein derartiger Fehler für das Bremssystem generiert werden kann, der dann ebenso die hier genannten Konsequenzen auslöst, nachdem das Fahrerassistenzsystem als Quelle für Bremsverzögerungen wegfällt und durch das Notfallmodul ersetzt werden kann.

Ein anderes zweckmäßiges Ausführungsbeispiel, welches selbstverständlich in Kombination zum vorgenannten Beispiel eingesetzt werden kann, sieht vor, dass bei einem als Fehler festgestellten Ausfall des Bremsmoduls als Ausgabeziel eine Ausgabeparameter des Bremsmoduls entgegennehmende Schnittstelle und/oder wenigstens eine Bremskomponente des Bremssystems gewählt wird, wobei insbesondere die Ausgabeparameter des Notfallmoduls durch die Umsetzungsunterfunktion bestimmt werden. Ist also das Bremsmodul selbst ausgefallen, steht es auch nicht mehr als Ausgabeziel zur Verfügung, so dass hier besonders zweckmäßig das Umsetzungsunterfunktion eingesetzt werden kann, um die hier zweckmäßigen Ausgabeziele, das bedeutet geeignete Schnittstellen zur Entgegennahme von Ansteue- rungsparametern oder gar die Komponenten des Bremssystems selber, entsprechend anzusteuern.

Wie bereits kurz angedeutet wurde, existieren verschiedene Möglichkeiten der Ansteuerung von Bremskomponenten eines Bremssystems, beispielsweise zum rad- oder zumindest seitenselektiven Bremsen oder aber zum üblichen Bremsbetrieb. Ein radselektives Bremsen erlaubt dabei teilweise nur geringere Bremsverzögerungen, jedoch zusätzlich die Möglichkeit einer Lenkbeeinflussung. Mithin können unterschiedliche Aktionspläne für unterschiedliche Ansteuerungsvarianten geeignet sein, so dass zweckmäßigerweise auch verschiedene Umsetzungsunterfunktionen für diese Ansteuerungsvarianten vorgesehen sein können. So sieht eine vorteilhafte Ausgestaltung der Erfindung vor, dass eine für ein Bremsen mit allen Rädern und eine für ein radselektives Bremsen ausgebildete Umsetzungsunterfunktion verwendet werden, wobei letztere auch als ein „lateral dynamic interface" bezeichnet werden kann.

Eine weitere vorteilhafte Ausgestaltung der vorliegenden Erfindung sieht vor, dass wenigstens eine Kommunikation von und zu dem Notfallmodul über eine nur dem Notfallmodul zugeordnete Kommunikationsverbindung erfolgt. Es ist mithin zur weiteren Absicherung der Funktionsfähigkeit des Notfallmoduls zweckmäßig, auch spezielle Kommunikationsverbindungen vorzusehen, die unabhängig von sonstigen Kommunikationsverbindungen des Kraftfahrzeugs sind, insbesondere von einem Bussystem des Kraftfahrzeugs, und mithin auch bei Ausfall des üblichen Kommunikationssystems des Kraftfahrzeugs eingesetzt werden können. Zweckmäßig sind diese nicht nur dazu geeignet, dass das Notfallmodul Daten erhalten kann, sondern insbesondere auch, dass eine Möglichkeit zur Ansteuerung der Bremskomponenten des Bremssystems durch das Notfallmodul sichergestellt wird. Mithin sind dem Notfallmodul unabhängige Kommunikationseinrichtungen zur Übertragung von Daten zugeordnet. Neben dem Verfahren betrifft die vorliegende Erfindung auch ein Kraftfahrzeug, umfassend ein Bremssystem und wenigstens eine zum Betrieb des Bremssystems ausgebildete Steuereinrichtung, die zur Durchführung des erfindungsgemäßen Verfahrens ausgebildet ist. Sämtliche Ausführungen zum erfindungsgemäßen Verfahren lassen sich analog auf das erfindungsgemäße Kraftfahrzeug übertragen, mit welchem mithin auch die genannten Vorteile erhalten werden können. Insbesondere kann die Steuereinrichtung also durch wenigstens ein Steuergerät gebildet werden, das die Schritte des erfindungsgemäßen Verfahrens entsprechend ausführt. Besonders vorteilhaft ist es, wenn, wie beschrieben, das Kraftfahrzeug ein Bremssteuergerät umfasst, welches zwei Funktionseinheiten aufweist, nämlich eine in der fehlerfreien Betriebsphase zum Betrieb des Bremssystems zu verwendende, dem in den Unteransprüchen so bezeichneten Bremsmodul zugeordnete Steuereinheit und eine Zusatzsteuereinheit, die das Notfallmodul realisiert. Der Zusatzsteuereinheit ist vorteilhaft eine Energiequelle zugeordnet, die bei Ausfall der sonstigen elektrischen Energieversorgung des Kraftfahrzeugs die Zusatzsteuereinheit speist.

Weitere Vorteile und Einzelheiten der vorliegenden Erfindung ergeben sich aus den im Folgenden beschriebenen Ausführungsbeispielen sowie anhand der Zeichnung. Dabei zeigen:

Fig. 1 eine Prinzipskizze eines erfindungsgemäßen Kraftfahrzeugs,

Fig. 2 einen Ablaufplan des erfindungsgemäßen Verfahrens, und

Fig. 3 eine Zeichnung zur Wechselwirkung der Funktionskomponenten und Module der vorliegenden Erfindung.

Fig. 1 zeigt eine Prinzipskizze eines erfindungsgemäßen Kraftfahrzeugs 1. Das Kraftfahrzeug 1 weist ein vollautomatisches, zur unabhängigen Fahrzeugführung ausgebildetes Fahrerassistenzsystem 2 auf, bei dem in einem Steuergerät 3 Betriebsparameter des Kraftfahrzeugs ausgewertet werden, um entsprechende Anforderungsdaten für andere Fahrzeugsysteme, hier ein nicht näher dargestelltes Lenksystem, ein nicht näher dargestelltes Motorsteuersystem und ein Bremssystem 4 zu generieren, die den vollautomatischen Betrieb des Kraftfahrzeugs 1 ermöglichen. So wird beispielsweise an das Bremssystem 4 bzw. dessen Steuergerät 5 über einen Fahrzeugbus 6, beispielsweise einen CAN-Bus, als Kommunikationsverbindung eine Bremsverzögerungsanforderung gesendet.

Als Eingangsdaten verarbeitet das Fahrerassistenzsystem dabei Sensordaten verschiedener Sensoren sowie Daten sonstiger Fahrzeug Systeme, die den Betriebszustand des Kraftfahrzeugs beschreiben (Ego-Parameter) und/oder die Umgebung des Kraftfahrzeugs 1 beschreiben (Umgebungsparameter). Vollautomatische, zur unabhängigen Fahrzeugführung ausgebildete Fahrerassistenzsysteme wurden im Stand der Technik bereits vorgeschlagen und sollen hier nicht im Detail beschrieben werden.

Die von dem Fahrerassistenzsystem 2 übersandte Bremsverzögerungsanforderung wird von einer Steuereinheit 7 des Bremssteuergeräts 5 empfangen, wo sie im fehlerfreien Betrieb dazu verwendet wird, unter Realisierung verschiedener Funktionen verschiedene, hier nicht näher spezifizierte Bremskomponenten 8 des Bremssystems 4 über entsprechende Ansteue- rungsparameter (Stellgrößen) anzusteuern. Die gesamten Funktionen/Unterfunktionen, mit denen das Bremssystem 4 in fehlerfreien Betriebsphasen betrieben wird, sollen im Folgenden zusammengefasst als Bremsmodul bezeichnet werden, das bedeutet, die Steuereinheit 7 realisiert die Unterfunktionen des Bremsmoduls.

Ein beispielhafter Aufbau des Bremssystems 4 bzw. dessen Betriebsebenen sei im Folgenden kurz erläutert. Das Bremsmodul, welches durch die Steuereinheit 7 realisiert ist, kann eine Unterfunktion zur Signalverarbeitung aufweisen, in der empfangene Daten entsprechend aufbereitet werden. Eine Anpassungsfunktion ermittelt daraus, gegebenenfalls ausgehend von übersandten Daten modifiziert, Sollwerte für die Fahrzeugbewegung, beispielsweise unter Berücksichtigung der Giergeschwindigkeit, des Schwimmwinkels und dergleichen. Zentraler Inhalt des Bremsmoduls ist eine Regelung für die Fahrzeugbewegung selbst, aus der die konkreten Ansteuerungsparameter hervorgehen, die dann über eine Schnittstelle an nachgeordnete, nicht in der Steuereinheit 7 enthaltene Regelkreise ausgegeben werden können. Derartige nachgeordnete Regler können beispielsweise eine Bremsschlupfregelung und eine Antriebsschlupfregelung sein, die über eigene Hardware- und/oder Softwarekomponenten realisiert werden. Ein Sollwert für den Bremsschlupf und Sollwerte für den Antriebsschlupf und das Sperrmoment werden entsprechend an die Bremsschlupfregelung respektive die Antriebsschlupfregelung weitergegeben. Dem nachgeordnet sind die eigentlich ausführenden Komponenten, beispielsweise noch ein Hydraulik- und Kraftmodell, aus welchem dann die tatsächlichen Stellwerte für Ventile, Pumpen und andere Bremskomponenten 8 erzeugt werden, wobei darauf hingewiesen sei, dass selbstverständlich auch Einfluss auf das Motormoment des in Fig. 1 der Übersichtlichkeit nicht näher dargestellten Antriebsmotors des Kraftfahrzeugs 1 genommen werden kann. Damit können verschiedene Funktionen realisiert werden, bei voller Funktionsfähigkeit des Bremssystems 4, also im fehlerfreien Betrieb, zunächst die Funktion der elektronischen Stabilitätskontrolle (ESC).

Treten nun bestimmte Fehler auf, ist es grundsätzlich bekannt, den Betrieb des Bremssystems 4 in Stufen über bestimmte Rückfallebenen zu degradieren („ESC-Degradation"). Liegen beispielsweise Signalfehler, Bord netzfehler, Plausibilitätsfehler oder Kommunikationsfehler vor, wird vom ESC- Vollsystem auf eine ABS-Rückfallebene degradiert, die noch die Funktionen des Antiblockiersystems (ABS) und der elektronischen Bremskraftverteilung (EBV) liefert. Liegt nun auch noch ein Signalfehler der Drehzahlsensorik oder ein Spannungseinbruch unter 7V vor, liegt als nächste Rückfallebene die EBV-Rückfallebene vor, in der nur noch die elektronische Bremskraftverteilung zur Verfügung gestellt wird. Weitere Fehler führen dazu, dass nur noch die mechanische Rückfallebene existiert, mithin eine Bremsbetätigung allein aufgrund der vom Fahrer betätigten Mechanik erfolgt. Ist nun aber das Fahrerassistenzsystem 3 aktiv, steht der Fahrer als Rückfallebene nicht mehr unmittelbar zur Verfügung, da er seine Aufmerksamkeit nicht unbedingt noch der Fahraufgabe widmet, so dass dem Fahrer ein Zeitfenster gegeben werden soll, innerhalb dessen das Kraftfahrzeug 1 sicher weiterbetrieben werden soll, trotzdem die volle Funktionsfähigkeit des Bremssystems 4 bzw. diesem Eingangsdaten liefernder Fahrzeugsysteme nicht mehr gegeben ist. Hierzu ist vorliegend vorgesehen, dass das Kraftfahrzeug 1 auf eine sichere und komfortable Art und Weise in den Stillstand auf der eigenen Fahrspur oder einem benachbarten Standstreifen verbracht wird.

Um dies möglichst unabhängig von den möglicherweise auftretenden Fehlern zu realisieren, ist nun zunächst vorgesehen, dass das Steuergerät 3 dazu ausgebildet ist, in einer fehlerfreien Betriebsphase des Bremssystems 4 einen Bremsmaßnahmen in einem zeitlichen Ablauf (Verzögerungsprofil) umfassenden Aktionsplan zu ermitteln. Dieser Aktionsplan, wenn durchgeführt, führt den sicheren Zustand des Kraftfahrzeugs 1 herbei. Er wird in Abhängigkeit von wenigstens einem Teil der genannten Betriebsparameter, umfassend die Egoparameter und die Umgebungsparameter, ermittelt und sodann ständig aktuell gehalten, beispielsweise in bestimmten Zeitabständen auf die aktuelle Situation des Kraftfahrzeugs 1 angepasst. Der jeweils aktuelle Aktionsplan wird über den Fahrzeugbus 6 oder eine dedizierte Kommunikationsverbindung an das Steuergerät 5 übertragen, dort konkret eine Zusatzsteuereinheit 9, die die Funktion eines Notfallmoduls realisiert. In der Steuereinheit 9 wird der aktuelle Aktionsplan in einem Speichermittel 0 abgelegt.

Tritt ein Fehlerfall ein, übernimmt das Notfallmodul wenigstens teilweise die Steuerungsaufgaben von dem zuvor beschriebenen Bremsmodul, wobei, um dies auch im Fall des Ausfalls einer elektrischen Energieversorgung des Kraftfahrzeugs 1 zu realisieren, der Zusatzsteuereinheit 9 (und nur dieser) eine elektrische Energiequelle 1 1 zugeordnet ist. Das Notfallmodul steuert das Bremssystem 4 bei Auftreten eines Fehlers unter Verwendung des aktu- eilen, im Speichermittel 10 vorgehaltenen Aktionsplans derart, dass das Kraftfahrzeug 1 in den sicheren Zustand verbracht wird.

Mithin bilden das Steuergerät 3 und das Steuergerät 5 eine Steuereinrichtung, die das erfindungsgemäße Verfahren realisiert.

Ein konkretes Ausführungsbeispiel des erfindungsgemäßen Verfahrens soll nun mit Hilfe der Fig. 2 und 3 näher erläutert werden.

Fig. 2 zeigt einen schematischen Ablaufplan des erfindungsgemäßen Verfahrens. Dabei symbolisiert die geschweifte Klammer 12 die fehlerfreie Betriebsphase, die geschweifte Klammer 13 den Fehlerfall.

In einem Schritt 14 wird der Aktionsplan ermittelt bzw. aktualisiert, wozu die dafür vorgesehene Betriebsparameter beachtet werden. Neben den Betriebsparametern gehen in die Ermittlung des Aktionsplans auch Sicherheitskriterien und Anforderungskriterien ein, so dass letztendlich ein Fahrmanöver durch den Aktionsplan beschrieben wird, das auf die Sicherheit bezogenen und sonstigen Anforderungen, die beispielsweise Leistungsfähigkeiten des Bremssystems 4, Komfortanforderungen und gesetzliche Anforderungen sein können, genügende Art den Stillstand des Kraftfahrzeugs 1 herbeiführt, wobei durch die Beachtung der Betriebsparameter auf die aktuelle Situation des Kraftfahrzeugs 1 abgestellt wird. Es sei darauf hingewiesen, dass der Aktionsplan neben den Bremsmaßnahmen (und/oder beschrieben durch Bremsmaßnahmen) auch Lenkmaßnahmen umfassen kann, die entweder durch das Bremssystems 4 an sich oder durch Ansteuerung eines Lenksystems erfüllt werden können, beispielsweise, wenn während des Überführens in den sicheren Zustand die aktuelle Fahrspur des Kraftfahrzeugs gehalten werden soll oder auf eine andere Spur, beispielsweise einen Standstreifen, gelenkt werden soll, wobei es erfindungsgemäß bevorzugt wird, auf die Ansteuerung eines Lenksystems zu verzichten, da dieses auch von dem bzw. einem Fehler betroffen sein könnte. Nachdem das Notfallmodul in dem Bremssteuergerät 5 realisiert ist, befindet es sich letztlich bereits„vor Ort", um die Bremskomponenten 8 anzusteuern. Die genaue Ermittlung eines derartigen Aktionsplans ist hier nicht beschrieben, da im Stand der Technik eine Vielzahl von Varianten und Vorgehensweisen zur Bestimmung eines derartigen Fahrmanövers bekannt sind, auf die hier nicht näher eingegangen werden soll.

Der Aktionsplan, der als Ergebnis erhalten wird, beispielsweise eine sich kaskadierend verstärkende Bremsung auf der aktuellen Fahrspur, wird in seiner jeweils aktualisierten Version in einem Schritt 15 an die Zusatzsteuereinheit 9 übertragen und in dem Speichermittel 10 abgelegt, nachdem er durch das Steuergerät 3 des Fahrerassistenzsystems 2 bestimmt wurde. Setzt sich die normale, fehlerfreie Betriebsphase gemäß der geschweiften Klammer 12 fort, schematisch angezeigte Überprüfung in Schritt 16, erfolgt weiter die Aktualisierung des Aktionsplans und die Übersendung des aktuellen Aktionsplans.

Tritt jedoch ein Fehler auf, wird in einem Schritt 17 das Notfallmodul aktiv und führt den Aktionsplan aus dem Speichermittel 10 aus.

Dies und die dabei bestehenden Optionen sollen durch Fig. 3 näher erläutert werden.

Dabei stellt Fig. 3 eine rein funktionsbezogene Darstellung dar, wobei, wie bereits angedeutet, Unterfunktionen des Bremsmoduls 10 in der Steuereinheit 7 realisiert werden, Unterfunktionen des Notfallmoduls 19 innerhalb der Zusatzsteuereinheit 9.

Das Notfallmodul 19 weist nun zunächst eine Diagnoseunterfunktion 20 auf, die letztlich überwacht, ob ein Fehlerfall vorliegt, der die Funktionsfähigkeit des Bremssystems 4 beeinträchtigt, und wenn ja, auch eine Fehlerart bestimmt, welche dann an eine Aktionsplanmanagement-Unterfunktion 21 weitergeleitet wird. Die Aktionsplanmanagement-Unterfunktion hat Zugriff auf die Fehlerart und den Aktionsplan in dem Speichermittel 10, welcher gemäß dem Pfeil 22 von dem Steuergerät 3 erhalten wurde, und bestimmt nun ge- wisse Ausführungsparameter, die beschreiben, wie das Notfallmodul 19 bei der nun vorliegenden Fehlerart den Aktionsplan tatsächlich umsetzt.

Dabei sei zunächst darauf hingewiesen, dass der Aktionsplan mehrere Varianten enthalten kann, die verschiedenen Fehlerarten zugeordnet sind, um adäquat auf unterschiedliche Fehler reagieren zu können, wobei dann die Aktionsplanmanagement-Unterfunktion die der Fehlerart entsprechende Variante auswählt. Denkbar ist auch eine Anpassung des Aktionsplans, wenn dieser nur in einer Variante vorliegt, in Abhängigkeit der Fehlerart. So kann beispielsweise unterschieden werden, ob ein Lenksystem des Kraftfahrzeugs 1 noch ansteuerbar ist, wobei eine Variante, die auch Lenkmaßnahmen für das Lenksystem enthält, verworfen werden kann, wenn das Lenksystem auch nicht mehr verfügbar ist, beispielsweise bei einem vollständigen Ausfall der elektrischen Energieversorgung des Kraftfahrzeugs 1.

Zum anderen wählt die Aktionsplanmanagement-Unterfunktion 21 auch den konkreten Modus Operandi des Notfallmoduls 19, hier das Ausgabeziel und die Form der Ausgabeparameter, die das Notfallmodul 19 erzeugt. Liegt beispielsweise ein Fehler vor, der dem Bremsmodul 18 lediglich notwendige Eingangsdaten verweigert, beispielsweise ein Ausfall des Fahrerassistenzsystems 2 oder der Kommunikationsverbindung, hier dem Fahrzeugbus 6, kann das Ausgabeziel eine Unterfunktion 23 des Bremsmoduls 18 sein, die einer Signalverarbeitungsunterfunktion 24 des Bremsmoduls 18 nachgeordnet ist. In diesem Fall können als Ausgabeparameter, hier unmittelbar von der Aktionsplanmanagement-Unterfunktion 21 , vergleiche Pfeil 25, der Unterfunktion 23 genau die Eingangsparameter geliefert werden, beispielsweise eine Bremsverzögerungsanforderung, die ansonsten die Signalverarbeitungsunterfunktion 24 geliefert hätte. Es werden auf diese Weise noch die meisten der vorteilhaften Funktionen des Bremsmoduls 18, insbesondere weitgehend die elektronische Stabilitätskontrolle, erhalten.

Betrifft der Fehler jedoch einen vollständigen Ausfall des Bremsmoduls 18 (also konkret der Steuereinheit 7), wird eine Umsetzungsunterfunktion 26 des Notfallmoduls 19 verwendet, um aus dem Aktionsplan als Ausgabepa- rameter Ansteuerungsparameter abzuleiten, die im Format den Ausgabewerten des Bremsmoduls 18 entsprechen und an einen dem Bremsmodul 18 nachgeordneten Reglerkreis 27 über eine entsprechende Schnittstelle gegeben werden, Pfeil 28. Dies kann im Prinzip die Ausnutzung der oben beschriebenen ABS-Rückfallebene oder der oben beschriebenen EBV- Rückfallebene, die weiterhin vorhanden sind, sein. Dabei werden die Ausgabeparameter des Notfallmoduls 19 also an die oberste noch funktionsfähige Komponente der entsprechenden Rückfallebene geliefert, wobei darauf hingewiesen sei, dass bei schwerwiegenderen Ausfällen auch eine unmittelbare Ansteuerung der Bremskomponenten 8 des Bremssystems möglich ist, Pfeil 29. Entsprechende Ausgabeziele und das Format der Ausgabeparameter sind durch die Aktionsplanmanagement-Unterfunktion 21 ausgewählt. Entsprechend wird die Umsetzungsunterfunktion eingesetzt.

Dabei ist vorliegend die Umsetzungsunterfunktion 26 so ausgebildet, dass sie die Ausgabeparameter auf eine radselektive Steuerung hin ermittelt, das bedeutet, ein Bremsvorgang kann rad- oder seitenselektiv durchgeführt werden, um dem Kraftfahrzeug so ein Lenkmoment aufzuprägen, welches dazu dienen kann, die aktuell befahrene Fahrspur zu halten oder auf eine benachbarte Fahrspur, beispielsweise einen Standstreifen, zu wechseln. Entsprechende Maßnahmen sind im Aktionsplan dann bereits enthalten. Nachdem allerdings die maximale Bremsverzögerung bei einer solchen radselektiven Bremssteuerung reduziert ist, kann in anderen Ausführungsbeispielen der vorliegenden Erfindung vorgesehen sein, dass für eine komplette Bremsung mit allen Rädern eine weitere Umsetzungsunterfunktion realisiert wird.

Dabei sei an dieser Stelle noch angemerkt, was in den Figuren hier nicht näher dargestellt ist, dass für die das Notfallmodul 19 realisierende Steuereinheit 9 auch eigene Kommunikationseinrichtungen vorgesehen sein können, beispielsweise eigene Leitungen zu Komponenten, denen die Ausgabeparameter weitergeleitet werden können, aber auch eine eigene Kommunikationsverbindungen zu anderen Fahrzeugsystemen, beispielsweise dem Fahrerassistenzsystem 2, wenn eine Kommunikation auch bei Ausfall des Fahr- zeugbusses 6 noch möglich sein soll. Hierdurch ist eine weitere Absicherung erfolgt.