DIAGNOSE- ODER ÜBERWACHUNGSFUNKTION DER STEUER- UND

REGELVORRICHTUNG

Die Erfindung betrifft eine hydraulische Einrichtung und eine Kolben-Zylinder- Einheit Dichtungssystem für derartige Einrichtungen, insbesondere für Bremsund Kupplungseinrichtungen für automatisiertes Fahren, sowie deren Komponenten.

Stand der Technik

Hydraulische Einrichtungen und Kolben-Zylinder-Einheiten der eingangs genannten Art sind bekannt. So ist beispielsweise aus der DE 11 2015 00 39 89 bereits ein Bremssystem bekannt bei dem für höhere Anforderungen den Einsatz einer zweiten Dichtung vorgesehen ist, wodurch die Ausfallwahrscheinlichkeit deutlich kleiner, aber nicht Null, wird . Hierbei wird der der Kugel-Gewinde-Trieb (KGT) und der Motor der Bremsvorrichtung durch die zweite Dichtung gegen Eindringen von Bremsflüssigkeit geschützt.

In Verbindung mit der Einführung von automatisiertem Fahren steigen die Anforderungen an die Sicherheit bei Komponentenausfall allerding sehr stark an, vor allem ab Stufe 3. Es genügt nicht mehr das System„Fail Safe" (FS) auszulegen, z. B. bei Ausfall des ABS wirkt als Rückfallebene die normale Bremse ohne Regelfunktion. Ab Stufe 3 des automatisierten Fahrens (HAF, Hoch Automatisiertes Fahren) wird die Bedingung„Fail Operational" (FO) gefordert, bei der bei Ausfall einer Komponente des ABS immer noch zumindest eine ABS-Notfunktion gegeben sein muss, um die Längs- und Querstabilität des Fahrzeugs beim Bremsen zu gewährleisten. Bei ABS werden die Spulen der Ventile elektrisch auf Unterbrechung und Kurzschluss geprüft. Größere Herausforderungen sind bei der Erfüllung dieser Forderung in der Aktuatorik zu finden, z. B. Undichtigkeit durch Schmutz in Ventilsitzen und Dichtungen, insbesondere bei schlafenden Fehlern. Besonders kritisch ist der Übergang von automatisiertem Fahren (HAF) zum Pilotierten Fahren (PF) da hier andere Komponenten zusätzlich wirken, welche bei automatisiertem Fahren (HAF) nicht genutzt werden, so z.B. das Pedalinterface mit Hauptbremszylinder. Hierbei sollte die gewohnte Charakteristik der Pedalbetätigung sich nicht ändern, da andernfalls der Fahrer irritiert wird, und eine Notbremsung nicht optimal gestaltet. Hier muss z. B. sichergestellt sein, dass alle Dichtungen funktionieren.

Aufgabe der Erfindung

Aufgabe der Erfindung ist es, eine hydraulische Einrichtung und eine Kolben- Zylinder-Einheit Dichtungssystem für derartige Einrichtungen, wie insbesondere für Brems- und Kupplungseinrichtungen und dergleichen, insbesondere für automatisiertes Fahren zu schaffen, welches bei einem funktionellen Versagen der Einrichtung oder einer sicherheitsrelevanten Baugruppe oder Komponente, wie z. B. einer Dichtung noch eine ausreichende Funktion der Einrichtung si- cherstellt.

Erfindungsgemäße Lösung

Diese Aufgabe wird erfindungsgemäß mit den Merkmalen des Patentanspruches 1 oder 251 gelöst auf die hier Bezug genommen wird . In den Ansprüchen angegebene Figurenbezeichnungen dienen lediglich dem leichteren Verständ- nis der Erfindung und ihrer Ausgestaltungen und haben keinerlei einschränkenden Charakter.

Mit der erfindungsgemäßen Lösung wird in vorteilhafter Weise erreicht, dass ein hydraulisches System, wie z. B. Bremssystem bei Funktionsbeeinträchti- gungen oder Ausfall einer Baugruppe bzw. Komponente noch insoweit funktionsfähig bleibt, wie dies bei erhöhten Anforderungen, wie z. B. automatisiertes Fahren, wie oben beschrieben, erforderlich ist.

Mit anderen Worten werden im weitesten Sinne der Erfindung alle Basisfunktionen der Systeme ganz oder teilweise in beschränktem Umfang aufrechterhal- ten, wobei mittels Redundanz ein sog . Erstfehlermittels Diagnose oder Überwachung erkannt wird, damit der Zweitfehler sich nicht auswirken kann bzw. zu einem Versagen des Systems führt. Derartige Basisfunktionen können bei Bremssystemen beispielsweise sein, die Bremskraftverstärkung, die Pedalcharakteristik, insbesondere beim Wechsel vom automatisierten zum pilotierten Fahren, Aufrechterhaltung der Längs- und Querstabilität (ESP mit„Fail Opera- tionaT-Sensoren, Vollfunktion bei ABS auf allen Fahrbahnen, Erkennung von Leckagen in Radbremskreisen mit entsprechenden Abhilfemaßnahmen, z. B. gegen Bremskreisausfall.

Hierbei kommen in weitestem Sinne redundante Baugruppen bzw. Komponen- ten, wie auch Dichtungen, Ventile, Druckversorgungen, Vorratsbehälter, Steuer- und Regeleinheiten zum Einsatz, wobei zweckmäßig Diagnoseeinrichtungen bzw. Überwachungseinrichtungen vorgesehen sind sein können, um Funktionsbeeinträchtigungen oder Ausfälle auf einfache Weise zu diagnostizieren bzw. zu überwachen und ggf. erforderliche Maßnahmen einzuleiten, um bei redundanten Komponenten Einzelfehler zu erkennen.

In den weiteren Ansprüchen sind zweckmäßige bzw. vorteilhafte Ausführungen und Ausgestaltungen der Erfindung enthalten, sowie Anwendungen bei verschiedenen hydraulischen Systemen, wie Brems- und Kupplungseinrichtungen und dergleichen, bei denen ein rechtzeitiges Erkennen von funktionellen Män- geln der Dichtungen wichtig ist, um Systemausfälle möglichst zu verhindern. Die erfindungsgemäße Lösung bzw. ihre vorteilhaften Ausführungen bzw. Ausgestaltungen können prinzipiell bei allen Zylindern / Kolben in hydraulischen Systemen mit erhöhter Sicherheit eingesetzt werden. Die Redundanz kann ferner dadurch erweitert werden auf das gesamte System, z. B. ECU, Ventile, Wegsimulator (WS) (ohne Simulatorventil), ABS (ohne Auslassventil) mit Multiplex (MUX), zusätzliche Einlassventile und Drossel, Druckversorgung, elektrische Spannungsversorgung mit Antrieb und Motor.

Bei Anwendung der erfindungsgemäßen Redundanz bei Dichtungen ist insbesondere der Einsatz einer zweiten (redundanten) Dichtung zusammen mit ei- nem gedrosselten Rücklauf in einen drucklosen Raum, insbesondere einen

Vorratsbehälter oder ins Freie vorgesehen. Die Drossel hat den Effekt, dass bei einem Ausfall der zweiten Dichtung der Leckfluss so gering ist, dass dieser vom System noch toleriert werden kann, mit anderen Worten, dass z.B. bei einem Bremssystem es nicht zu einem Systemausfall kommt bzw. noch aus- reichende Bremswirkung bzw. Brems- und Querstabilität vorhanden ist. Hierbei kann ggf. z.B. ein Ausgleich des Volumenverlustes durch die Druckversorgung oder nur leichte unbeabsichtigte Pedalbewegung jedenfalls akzeptabel sein, wenn der Pedalwegverlust über die Bremszeit akzeptabel ist. Beides kann wird durch Sensoren während des Betriebs durch Überwachung und in der Di- agnose erfasst werden. Die Begrenzung des Leckflusses kann auch durch ein geeignetes Ventil erfolgen.

Die erfindungsgemässen Lösungen mit Redundanz setzen eine fehlersichere Diagnose bzw. Überwachung von Erstfehlern voraus, um u.a. auch zu warnen, dass ggf. ein möglicher Zweitfehler kritische Auswirkungen haben kann. Bei Einsatz einer einzelnen Komponente ohne Redundanz muss, durch Diagnose im passiven Bereich sichergestellt werden, dass im aktiven Bereich, z. B. bei Bremsbetätigung, kein Ausfall möglich ist. Dies kann erreicht werden, indem bei einer Bremsung mit anschließendem Fahrzeug-Stopp, der Restdruck im System, bei entsprechender Ventilschaltung„zu - auf - zu", für die Diagnose der Dichtheit genutzt wird . Damit wird ein separater Pre-Drive-Check (PDC), der die Belastungszyklen insbesondere der Dichtungen erhöht, vermieden. So können diese Maßnahmen z. B. im Fall von Bremssystemen beim Tandem- Hauptbremszylinders (THZ), beim Kolben einer Druckversorgung und auch beim Kolben eines Wegsimulators und ggf. weiteren Dichtungen eingesetzt werden. Damit kann das System„Wegsimulator mit THZ" Fail Operational (FO) Anforderungen genügen.

Üblich ist z. B. bei Bremssystemen ein Wegsimulator mit Abschaltventil. Fällt diese aus, wirkt der Wegsimulator nicht mehr, so dass das Bremspedal hart wird und die Bremskraftverstärkung wird abgeschaltet. Bei einem System mit redundanter Druckversorgung ist die Wahrscheinlichkeit des Ausfalls sehr ge- ring, so dass in der Rückfallebene eine schlechtere Pedalcharakteristik akzeptiert werden kann. Somit kann auf das ausfallkritische Ventil verzichtet werden.

Vorteilhaft kann erfindungsgemäß auch ein Wegsimulatorsystem ohne Ventil vorgesehen sein wobei eine Rückstellfeder der Kolben-Zylinder-Einheit (Haupt- zylinder) den ersten Flächenteil der Wegsimulatorkennlinie übernimmt, indem insbesondere ein an der Kolben-Zylinder-Einheit (Hauptzylinder) vorgesehenes Schnüffelloch um den entsprechenden Betrag (Abstand Schnüffelloch / Kolben in der zurückgezogenen Position) axial verlegt wird .

Die ABS- bzw. Bremswirkung kann gestört werden, wenn durch Schmutzparti- kel das Ventil nicht mehr schließen kann. Wenn dies am Ende einer Abbrem- sung geschieht, kann dies ggf. von einer weiteren Bremsung von der Diagnose sehr schwer erkannt werden. Ggf. durch Messung der Induktionsspannung beim Schließen des Ventils, da durch die Schmutzpartikel keine oder nur eine kleine Ankerbewegung möglich ist, was durch Messung von Spannung V er- kannt werden kann. Als Verbesserung ist auch möglich, durch das Multiplex- verfahren (MUX) kein Auslassventil vorzusehen bzw. nur ein Auslassventil.

Weiterhin ist wichtig, dass bei ABS-Funktion mindestens immer ein Rad pro Achse geregelt wird, um Längs- und Querstabilität zu gewährleisten. Dies ist möglich durch ein zusätzliches redundantes Schaltventil in Reihe, vorzugswei- se bei Multiplex (MUX) in diagonaler Anordnung . Dieses Ventil kann auch zur Schließung der Verbindung zum Radzylinder verwendet werden, wenn z. B. dieser undicht wird . Dies kann bekannterweise durch die Volumenaufnahme bzw. Volumenanforderung der Druckversorgung diagnostiziert werden. In di- sem Fall wird das entsprechende Schaltventil oder Einlassventil bei bekannten Systemen geschlossen.

Zur vollen Redundanz gehört auch, trotz zweikreisiger Druckversorgung über einen Doppelhubkolben, der z. B. mittels zweimal dreiphasigem Motor angetrieben ist, eine zweite zweikreisige Druckversorgung über einen Doppelhubkolben, der z. B. mittels zweimal dreiphasigem Motor angetrieben ist, und mit zusätzlichen Trennventilen zwischen den Bremskreisen und der Druckversorgung . Zur Redundanz gehört weiter die redundante Spannungsversorgung, möglichst aus zwei verschiedenen Energiespeichern. Bei Level 5 von AD (gem. VDA- Definition) erfolgt ggf. wie in der Flugzeugtechnik eine Versorgung aus zwei oder drei Bordnetzen erfolgen.

Vorteilhaft kann auch die elektronische Steuer- und Regeleinheit (ECU), insbe- sondere Diagnoseschaltungen, erfindungsgemäß redundant ausgeführt sein oder sich selbst überprüfen. Hierbei kann die Spannungsversorgung redundant aus den redundanten elektrischen Speichern U l, U2 und fallweise zusätzlich aus U3 erfolgen, vergleichbar mit der Flugzeugtechnik mit der sogenannten„2 aus 3" Auswahl. Diese Spannungsversorgung versorgt die Computer (CP1 bis CP3). Die Ausgangssignale der Computer CP1 und CP2 wirken auf die Ansteue- rung von z.B. Motor und Ventilen, mit den entsprechenden Endstufen. Hier besteht bei der Ansteuerung die Möglichkeit, die Motoren und Ventile zweifach redundant oder dreifach redundant anzusteuern. Dies bedeutet jedoch viel Aufwand . Hier ist eine smarte Redundanz möglich, in dem nur ausgewählte Ventile mit redundanter Ansteuerung ausgeführt werden. Es ist üblich bei ESP, die Ansteuerung permanent zu überwachen. Es kann auch vorteilhaft auch nur die Ansteuerung mit den Computern CP1, CP2 und CP3 redundant gestaltet werden. Z.B. ist es bekannt, einen BLCD-Motor anstelle dreiphasig mit zweimal dreiphasig anzusteuern, in der Annahme, dass die Motorlagerung und der Antrieb ausfallsicher sind .

Bei einem voll redundanten Bremssystem, vorzugsweise für voll autonomes Fahren AD (Stufe 5 des automatisierten Fahrens), ist es auch denkbar, das Bremssystem ohne Tandem- Hauptbremszylinder THZ (nicht eingezeichnet) zu gestalten. Hier kann der THZ durch ein„Brake und Go"-Signal ersetzt werden, welches in der Zentral-ECU vom AD generiert wird .

Für die gesamten Rechenfunktionen für die Verarbeitung der Eingangssignale, werden zweckmäßig ein oder mehrere leistungsfähige Computer CPU, z. B. Mikrokontroller, eingesetzt, welche die Stellglieder, z. B. Motoren und Ventile, über die entsprechende integrierte oder getrennte Ansteuerung mit Endstufen ansteuern.

Die Computer CP1, CP2 und CP3 können redundant aufgebaut werden, z. B. zweifach redundant als CP1 und CP2 oder dreifach redundant als CP1 und CP2 und CP3. Wegen des Aufwands kann alternativ der Computer CP2 für reduzierte Funktionen und der Computer CP3 für Notfunktionen des Bremssystems verwendet werden. Entsprechend gilt dies auch für die Stellglieder und Ventile

Für den Motor bedeutet dies entsprechend, dass die redundante Ansteuerung für die zwei-Wicklungskombination, also einmal dreiphasig redundant, und für die Ventile, dass nur ein oder zwei Ventile einer Achse redundant angesteuert werden. Oder auch nur die Ansteuerung redundant ist und auf ein Ventil wirkt, da die Ausfallrate der Spule eines Ventils äußerst gering ist.

So können vorteilhaft alle Eingangssignale von den Sensoren und dem Brake und Go Signal auf alle Computer CP1, CP2, CP3 wirken. Die Ausgangssignale zu der Ansteuerung mit Endstufen erfolgt ebenfalls getrennt von jedem CP.

Mit der Tendenz zur Architektur mit Domänen und Zentralrechnern, bietet sich an, die Ansteuerung getrennt in einer ECU als Slave zu gestalten. Die Slave ECU enthält dann die gesamte Ansteuerung mit Endstufen und gegebenenfalls I/O für Sensoren oder Schaltersignale Brake und Go. Die Signalübertragung zum Master ECU erfolgt dann über redundante Bussysteme, gegebenenfalls entsprechend der oben genannten Computerstruktur für voll Funktion bis Notfunktion mit unterschiedlicher Struktur und unterschiedlichen Protokolle.

Wegen der geringen Komplexität der Slave ECU kann gegebenenfalls durch einfache Entflechtung der Leiterplatte mit einer Lage oder nur wenigen Lagen Kosten gespart werden. Infolge der hohen Komplexität der Funktionen sind neuronale Netzwerke in der Software besonders geeignet.

Eine weitere Möglichkeit Kosten einzusparen, besteht im Weglassen des Stößels am Hilfskolben. Bei konventionellen Hauptbremszylindern besteht die Möglichkeit der Ankoppelung des Primärkolbens an den Sekundärkolben für den Fall, dass der Primärkreis ausfällt. In diesem Fall trifft der Primärkolben auf den Sekundärkolben und erzeugt in dem Sekundärkreis Bremsdruck. Ohne dieses Merkmal wäre ein Totalausfall der Bremse die Folge. Dies gilt für konventionelle Systeme ohne Redundanzen. Bei der folgenden Systemlösung wird eine redundante Lösung vorgeschlagen. Hier wirkt sich der Ausfall des Primärkreises nicht aus, da ein Trennventil den Primärkreis in diesem Fall schließt. Außerdem wird bei Ausfall des Primärkreises und Ausfall der Druckversorgung des Systems 1 (Booster), der Sekundärkreis von einer getrennten Druckversorgung des zweiten Systems (ESP) versorgt. Für den Totalausfall müssten 3 Fehler, d .h. beide Druckversorgungen und der Primärkreis, ausfallen, was eine Ausfallrate von ca. 10 ^"14 /Jahr ausmacht. Zum Vergleich, die Ausfallrate eines Bremskreises liegt in der Größenordnung von 10 ^"5 /Jahr.

Weitere vorteilhafte bzw. zweckmäßige Ausführungen bzw. Ausgestaltungen der Erfindung und ihre Merkmale sind in der Zeichnung dargestellt und im Fol- genden näher beschrieben.

Es zeigen :

Figur 1 : eine Kolbenanordnung mit zwei Druckräumen und einer redundanten Dichtung mit Drossel zu einem Vorratsbehälter;

Figur 2 : eine Kolbenanordnung mit mechanischer Betätigung und einem

Druckraum mit einer Redundanten Dichtung mit Drossel zum Vorratsbehälter; einen Doppelhubkolben mit zwei Druckräumen und einer redundanten Dichtung mit Drossel für jeden Kolben;

Figur 4: einen Tandemhauptzylinder (THZ) mit Primär- und Sekundärkolben mit Wegsimulator und Druckversorgung und redundanter Dichtung für den Wegsimulator mit Drossel und Ablauf ins Freie bzw. Vorratsbehälter sowie Diagnoseventil vom Schnüffelloch des Kolbens zum Vorratsbehälter;

Figur 5 : ähnlich Figur 4 für eine Tandemhauptzylinder-Anordnung mit Stößel an einem Hilfskolben und einer redundanten Dichtung mit Drossel zum Vorratsbehälter am Stößel;

Figur 5a : ähnlich wie Figur 5 aber ohne Stößel an dem Hilfskolben;

Figur 6: ähnlich Figur 5 mit einem Strömungs-Rückschlagventil anstelle des

Diagnoseventils; Figur 7 : eine Tandem-Hauptzylinder-Anordnung mit drei Kolben mit je einer redundanten Dichtung pro Kolben mit Drossel zum Vorratsbehälter und Wegsimulator mit redundanter Dichtung und Drossel zum Ablauf ins Freie;

Figur 8: einen Druckverlauf und Ansteuersignale für einen typischen Diag- nosezyklus;

Figur 9a : ein Bremssystem mit ECU (Erweiterung des Teil-Bremssystems gem. Figur 5) und redundanten Ventilen und einem weiteren Vorratsbehälter;

Figur 9b : Ausführungsform einer erfindungsgemäßen Drossel; Figur 9c: ein Bremssystem weitgehend wie Figur 9a, mit redundanter Druckversorgung (DV1, DV2); und

Figur 9d : schematisch das Basiskonzept eines redundanten Steuergerätes

(ECU) wie es erfindungsgemäß zweckmäßig z. B. bei Bremssystemen gem. Figuren 9a bzw. 9c eingesetzt werden kann. Fig . 1 zeigt in der oberen und unteren Hälfte unterschiedliche Hydraulikanwendungen. Der obere Teil zeigt eine Anwendung bei einem Bremssystem, während der untere Teil eine Anwendung bei einem Hydrauliksteller zeigt.

Die Anwendung bei einem Bremssystem (obere Teil der Fig . 1) zeigt die Re- dundanz bei einem Kolben 1, z. B. den Sekundärkreiskolben (SK-Kolben) eines Tandem Hauptbremszylinders 2 (THZ). Wird der Arbeitsraum bzw. die Primärkammer 3 mit Druck beaufschlagt, z. B. durch eine Druckversorgung (nicht eingezeichnet) über die hydraulische Leitung 14 und Kanal 13 im Tandem Hauptbremszylinder 2 (THZ), dann verschiebt sich der Kolben 1 im Tandem Hauptbremszylinder 2 (THZ) nach links. Wenn die Bohrung 17 des Kolbens 1 an der Dichtung 8 des Tandem Hauptbremszylinders 2 (THZ) vorbei verschoben wurde, dann wird Bremsflüssigkeit aus dem Sekundärkammer 4 des Tandem Hauptbremszylinders 2 (THZ) durch den Kanal 15 und durch die hydraulische Leitung 16 verschoben, z. B. in die Radbremszylinder (nicht eingezeich- net).

Für die hydraulische Trennung der Primärkammer 3 des Tandem Hauptbremszylinders 2 (THZ) zum Kanal 5, welche über eine hydraulische Leitung 6 mit dem Vorratsbehälter 7 (VB) in Verbindung steht, ist eine Dichtung 9 vorgesehen. Entsprechend dem erfindungsgemäßen Redundanzprinzip wird die Dich- tung 9 um eine redundante Dichtung 9a und einen Kanal 10 ergänzt. Der Kanal 10 steht über eine hydraulische Leitung 11, eine hydraulische Leitung 6 und eine Drossel 12 mit dem Vorratsbehälter 7 (VB) in Verbindung . Die redundante Dichtung 9a trennt somit den Arbeitsraum 3 des Tandem Hauptbremszylinders 2 (THZ) hydraulisch vom Kanal 10 und somit auch vom Vorratsbe- hälter 7 (VB).

Bei intakter redundanter Dichtung 9a ist der Kanal 10 vom Arbeitsraum 3 des Tandem Hauptbremszylinders 2 (THZ) hydraulisch getrennt. Dadurch fließt keine Bremsflüssigkeit vom Arbeitsraum 3 des Tandem Hauptbremszylinders 2 (THZ) zu dem Kanal 10, auch nicht, wenn der Arbeitsraum 3 des Tandem Hauptbremszylinders 2 (THZ) unter Druck steht. Durch die Verbindung des Kanals 10 mit dem Vorratsbehälter 7 (VB) über eine hydraulische Leitung 11, eine hydraulische Leitung 6 und die Drossel 12 ist der Druck in Kanal 10 gleich dem Druck im Vorratsbehälter 7 (VB), wenn Höhenunterschiede zwischen dem Vorratsbehälter 7 (VB) und dem Kanal 10 vernachlässigt werden. Auch Kanal 5 steht über eine hydraulische Leitung 6 mit dem Vorratsbehälter 7 (VB) in Verbindung, so dass auch der Druck in Kanal 5 dem Druck im Vorratsbehälter 7 (VB) gleicht, wenn auch hier Höhenunterschiede zwischen dem Vorratsbehälter 7 (VB) und dem Kanal 5 vernachlässigt werden. Bei intakter redundanter Dichtung 9a wird die Dichtung 9 somit nicht belastet, auch nicht, wenn der Arbeitsraum 3 des Tandem Hauptbremszylinders 2 (THZ) unter Druck steht.

Weiter werden bei intakter redundanter Dichtung 9a eventuelle Schmutzparti- kel im Arbeitsraum 3 des Tandem Hauptbremszylinders 2 (THZ) von der redundanten Dichtung 9a zurückgehalten, so dass diese nicht in Kanal 10 vordringen, und nicht die Dichtung 9 beschädigen können. Bei intakter redundanter Dichtung 9a fällt die Dichtung 9 somit nicht aus.

Wird die redundante Dichtung 9a undicht, z. B. durch Verschleiß oder

Schmutzpartikel, so kann Bremsflüssigkeit aus der Kammer 3 des Tandem

Hauptbremszylinders 2 (THZ) durch den Kanal 10 und die hydraulische Leitung 1, die hydraulische Leitung 6 und die Drossel 12 zum Vorratsbehälter 7 (VB) fließen. In diesem Zustand übernimmt die Dichtung 9 die hydraulische Trennung des Arbeitsraums 3 des Tandem Hauptbremszylinders 2 (THZ) von dem Kanal 5, welche über eine hydraulische Leitung 6 mit dem Vorratsbehälter 7 (VB) in Verbindung steht. Die Drossel 12 ist so dimensioniert, dass der Fluss durch die Undichtigkeit der redundanten Dichtung 9a von einer Druckversorgung (nicht eingezeichnet) in der hydraulischen Leitung 14 ausgeglichen werden kann. Weiter ist der Ausgleichsfluss der Druckversorgung ein Indikator für die Undichtigkeit der redundanten Dichtung 9a.

Eine Undichtigkeit der redundanten Dichtung 9a kann somit während des Betriebs entdeckt werden, ohne dass der Betrieb durch diese Undichtigkeit gestört wird. Deshalb führt diese Redundanz zu einer hydraulischen Trennung des Arbeitsraums 3 des Tandem-Hauptbremszylinders 2 (THZ) vom Vorrats- behälter 7 (VB), die als Fail Operational bezeichnet werden kann.

Die Anwendung bei einem Hydrauliksteller (untere Teil der Fig . 1) zeigt die Redundanz bei einem Kolben 21, z. B. den Stellerkolben einer Kupplung (nicht eingezeichnet). Wird der Arbeitsraum 24 mit Druck beaufschlagt, z. B. durch eine Druckversorgung (nicht eingezeichnet) über die hydraulische Leitung 28 und Kanal 27 im Zylinder 23, dann verschiebt sich der Kolben 21 im Zylinder

23 nach links. Bei dieser Linksverschiebung des Kolbens 21 kann der Kolben- Stößel 22 eine Kraft 26 auf die Kupplung (nicht eingezeichnet) ausüben, die den Druck im Arbeitsraum 24 entspricht.

Für die hydraulische Trennung des Arbeitsraums 24 des Zylinders 23 zum Innenraum 25 des Zylinders 23, ist eine Dichtung 9 vorgesehen. Entsprechend der Redundanz wird die Dichtung 9 um eine redundante Dichtung 9a und ei- nen Kanal 10 ergänzt. Der Kanal 10 steht über eine hydraulische Leitung 17, eine hydraulische Leitung 6 und eine Drossel 12 mit dem Vorratsbehälter 7 (VB) in Verbindung . Die redundante Dichtung 9a trennt somit den Arbeitsraum

24 des Zylinders 23 (THZ) hydraulisch vom Kanal 10 und somit auch vom Vorratsbehälter 7 (VB) und auch vom Innenraum 25 des Zylinders 23. Bei intakter redundanter Dichtung 9a ist der Kanal 10 vom Arbeitsraum 24 des Zylinders 23 hydraulisch getrennt. Dadurch fließt keine Hydraulikflüssigkeit vom Arbeitsraum 24 des Zylinders 23 zu dem Kanal 10, auch nicht, wenn der Arbeitsraum 24 des Zylinders 23 unter Druck steht. Durch die Verbindung des Kanals 10 mit dem Vorratsbehälter 7 (VB) über eine hydraulische Leitung 27 und die Drossel 12 ist der Druck in Kanal 10 gleich dem Druck im Vorratsbehälter 7 (VB), wenn Höhenunterschiede zwischen dem Vorratsbehälter 7 (VB) und dem Kanal 10 vernachlässigt werden. Wenn der Druck im Vorratsbehälter 7 (VB) dem atmosphärischen Druck gleicht, und wenn auch der Innenraum 25 des Zylinders 23 dem atmosphärischen Druck gleicht, dann wird bei intakter redundanter Dichtung 9a die Dichtung 9 nicht belastet, auch nicht, wenn der Arbeitsraum 24 des Zylinders 23 unter Druck steht.

Weiter werden bei intakter redundanter Dichtung 9a eventuelle Schmutzpartikel im Arbeitsraum 24 des Zylinders 23 von der redundanten Dichtung 9a zurückgehalten, so dass diese nicht in Kanal 10 vordringen, und nicht die Dich- tung 9 beschädigen können. Bei intakter redundanter Dichtung 9a fällt die Dichtung 9 somit nicht aus. Wird die redundante Dichtung 9a undicht, z. B. durch Verschleiß oder

Schmutzpartikel, so kann Hydraulikflüssigkeit aus der Kammer 24 des Zylinders 23 durch den Kanal 10 und die hydraulische Leitung 27 und die Drossel 12 zum Vorratsbehälter 7 (VB) fließen. In diesem Zustand übernimmt die Dichtung 9 die hydraulische Trennung des Arbeitsraums 24 des Zylinders 23 von dem Innenraum 25 des Zylinders 23. Die Drossel 12 ist so dimensioniert, dass der Fluss durch die Undichtigkeit der redundanten Dichtung 9a von der Druckversorgung (nicht eingezeichnet) in der hydraulischen Leitung 28 ausgeglichen werden kann. Weiter ist der Ausgleichsfluss der Druckversorgung ein Indikator für die Undichtigkeit der redundanten Dichtung 9a.

Eine Undichtigkeit der redundanten Dichtung 9a kann somit während des Betriebs entdeckt werden, ohne dass der Betrieb durch diese Undichtigkeit gestört wird. Deshalb führt diese Redundanz zu einer hydraulischen Trennung des Arbeitsraums 24 von dem Innenraum 25 des Zylinders 23 die als Fail Ope- rational bezeichnet werden kann.

Fig . 2 zeigt die Redundanz bei einem Kolben 41, z. B. den Primärkolben eines Tandem Hauptbremszylinders 42 (THZ), der von einem Stößel 41a betrieben wird . Der Stößel 41a ist mit einem Bremspedal (nicht eingezeichnet) verbunden. In der gezeichneten Ruhestellung der Primärkolbens 41 steht die Primär- kammer 43 des Tandem Hauptbremszylinders 42 (THZ) durch die Bohrung 45 des Primärkolbens 41, durch den Kanal 46 in dem Tandem Hauptbremszylinder 42 (THZ) und durch die hydraulische Leitung 47 mit dem Vorratsbehälter 7 (VB) in Verbindung . Durch Betätigung des Bremspedals (nicht eingezeichnet) kann der Fahrer den Primärkolben 41 nach links verschieben. Wird bei dieser Verschiebung die Bohrung 45 des Primärkolbens 41 an der redundanten Dichtung 49a der Tandem Hauptbremszylinders 42 (THZ) vorbei geschoben, dann wird Bremsflüssigkeit aus der Primärkammer 43 des Tandem Hauptbremszylinders 42 (THZ) durch den Kanal 53 und durch die hydraulische Leitung 54 in einen Radbremszylinder (nicht eingezeichnet) verschoben. Für die hydraulische Trennung der Primärkammer 43 des Tandem Hauptbremszylinders 42 (THZ) zum Kanal 46, welche über eine hydraulische Leitung 47 mit dem Vorratsbehälter 7 (VB) in Verbindung steht, ist eine Dichtung 49 vorgesehen. Entsprechend der Redundanz wird die Dichtung 49 um eine redundante Dichtung 49a und einen Kanal 50 ergänzt. Der Kanal 50 steht über eine hydraulische Leitung 51, eine hydraulische Leitung 47 und eine Drossel 52 mit dem Vorratsbehälter 7 (VB) in Verbindung . Die redundante Dichtung 49a trennt somit die Primärkammer 43 des Tandem Hauptbremszylinders 42 (THZ) hydraulisch vom Kanal 50 und somit auch vom Vorratsbehälter 7 (VB). Die Dichtung 48 trennt den Kanal 46 hydraulisch von dem Kolbenstößelraum 44.

Bei intakter redundanter Dichtung 49a ist der Kanal 50 von der Primärkammer 43 des Tandem Hauptbremszylinders 42 (THZ) hydraulisch getrennt. Dadurch fließt kein Volumen von der Primärkammer 43 des Tandem Hauptbremszylinders 42 (THZ) zu dem Kanal 50, auch nicht, wenn die Primärkammer 43 des Tandem Hauptbremszylinders 42 (THZ) unter Druck steht. Durch die Verbindung des Kanals 50 mit dem Vorratsbehälter 7 (VB) über eine hydraulische Leitung 51, eine hydraulische Leitung 47 und eine Drossel 52 ist der Druck in Kanal 50 gleich dem Druck im Vorratsbehälter 7 (VB), wenn Höhenunterschiede zwischen dem Vorratsbehälter 7 (VB) und dem Kanal 50 vernachlässigt werden. Auch Kanal 46 steht über eine hydraulische Leitung 47 mit dem Vorratsbehälter 7 (VB) in Verbindung, so dass auch der Druck in Kanal 46 dem Druck im Vorratsbehälter 7 (VB) gleicht, wenn auch hier Höhenunterschiede zwischen dem Vorratsbehälter 7 (VB) und dem Kanal 46 vernachlässigt werden. Bei intakter redundanter Dichtung 49a wird die Dichtung 49 somit nicht belastet, auch nicht, wenn die Primärkammer 43 des Tandem Hauptbremszylinders 42 (THZ) unter Druck steht. Weiter werden bei intakter redundanter Dichtung 49a eventuelle Schmutzpartikel in der Primärkammer 43 des Tandem Hauptbremszylinders 42 (THZ) von der redundanten Dichtung 49a zurückgehalten, so dass diese nicht in Kanal 50 vordringen, und nicht die Dichtung 49 beschädigen können. Bei intakter redundanter Dichtung 49a fällt die Dichtung 49 somit nicht aus. Wird die redundante Dichtung 49a undicht, z. B. durch Verschleiß oder

Schmutzpartikel, so kann Bremsflüssigkeit aus der Primärkammer 43 des Tandem Hauptbremszylinders 42 (THZ) durch den Kanal 50 und die hydraulische Leitung 51, die hydraulische Leitung 47 und Drossel 52 zum Vorratsbehälter 7 (VB) fließen. In diesem Zustand übernimmt die Dichtung 49 die hydraulische Trennung der Primärkammer 43 des Tandem Hauptbremszylinders 42 (THZ) von dem Kanal 46, welche über eine hydraulische Leitung 47 mit dem Vorrats- behälter 7 (VB) in Verbindung steht.

Die Drossel 52 ist so dimensioniert, dass der Fluss durch die Undichtigkeit der redundanten Dichtung 49a vom Fahrer durch Nachtreten des Bremspedals (nicht eingezeichnet) ausgeglichen werden kann. Das Bremspedal fällt nicht durch. Weiter ist der Ausgleichsfluss ein Indikator für die Undichtigkeit der re- dundanten Dichtung 49a.

Eine Undichtigkeit der redundanten Dichtung 49a kann somit während des Betriebs entdeckt werden, ohne dass das Bremspedal durch diese Undichtigkeit durchfällt. Deshalb führt diese Redundanz zu einer hydraulischen Trennung der Primärkammer 43 des Tandem-Hauptbremszylinders 42 (THZ) vom Vor- ratsbehälter 7 (VB) die als Fail Operational bezeichnet werden kann.

Fig . 3 zeigt die Redundanz bei einem gestuften Kolben 71, z. B. einem Doppelhubkolben (DHK), in einem Zylinder 72 einer Druckversorgung . Die Funktion dieser Druckversorgung sei hier beispielhaft erklärt. Zylinder 72 weist fünf Kanäle, 73a, 73b, 73c, 73d und 78 auf. Die Kanäle 73a bzw. 73b sind über hyd- raulische Leitungen 74a bzw. 74b, in denen Saugventile 75a bzw. 75b untergebracht sind, und über die hydraulische Leitung 76 mit dem Vorratsbehälter 7 (VB) verbunden. Die Kanäle 73c bzw. 73d sind über hydraulische Leitungen 74c bzw. 74d, in denen Rückschlagventile 75a bzw. 75b untergebracht sind, mit Bremskreisen BK1 bzw. BK2 verbunden. In den gestuften Kolben 71 sind zwei Dichtungen 79 und 80 untergebracht. Zwischen den Dichtungen 79 und 80 befindet sich ein Kanal 81 und 81a mit Drossel 82. Weiter sind in Zylinder 72 zwei Dichtungen 83 und 84 untergebracht. Zwischen den Dichtungen 83 und 84 befindet sich Kanal 78 mit Drossel 85. Über die hydraulische Leitung 76 ist der Kanal 78 mit dem Vorratsbehälter 7 (VB) verbunden. Der Doppelhubkolben 71 (DHK) unterteilt den Zylinder 72 in zwei Arbeitskammern, Kammer 86 und Ringkammer 87. Wenn der gestufte Kolben 71 in der Fig . 3 nach links bewegt wird (Vorhub des Doppelhubkolbens 71, DHK), dann schließt das Saugventil 75a und öffnet das Rückschlagventil 75c, und Bremsflüssigkeit wird aus der Kammer 86 über den Kanal 73c und über die hydraulische Leitung 74c in den Bremskreis BK1 geschoben. Das Saugventil 75b öffnet und das Rückschlagventil 75d schließt und über den Kanal 73b, dem Saugventil 75b und die hydraulische Leitung 76 wird Bremsflüssigkeit aus dem Vorratsbehälter 7 (VB) in die Ringkammer 87 angesaugt.

Wenn der gestufte Kolben 71 in der Fig . 3 nach rechts bewegt wird (Rückhub des Doppelhubkolbens 71, DHK), dann öffnet das Saugventil 75a und das Rückschlagventil 75c schließt, und Bremsflüssigkeit wird in die Kammer 86 über den Kanal 73a und über die hydraulische Leitung 74a mit Saugventil 75a und über die hydraulische Leitung 76 aus dem Vorratsbehälter 7 (VB) angesaugt. Das Saugventil 75b schließt und das Rückschlagventil 75d öffnet und über den Kanal 73d, dem Saugventil 75d und die hydraulische Leitung 74d wird Bremsflüssigkeit aus der Ringkammer 87 in den Bremskreis BK2 verscho- ben.

Für die hydraulische Trennung der Kammer 86 des Zylinders 72 zur Ringkammer 87 sind die zwei Dichtungen 79 und 80 vorgesehen. Zwischen diesen zwei Dichtungen 79 und 80 sind ein Kanal 81 und ein Kanal 81a vorgesehen, der eine Drossel 82 enthält. Bei intakten Dichtungen 79 und 80, d .h. es fließt kei- ne Bremsflüssigkeit durch die Kanäle 81, 81a und durch die Drossel 82 in den Kolbenstangenraum 89, ist der Druck in Kanal 81 gleich groß wie der Druck in den Kolbenstangenraum 89.

Wird die Dichtung 79 undicht, z. B. durch Verschleiß oder Schmutzpartikel, so kann bei Vorhub des Doppelhubkolbens 71 (DHK) Bremsflüssigkeit aus der Kammer 86 des Zylinders 72 durch Kanal 81, Kanal 81a und Drossel 82 des Doppelhubkolbens (DHK) in den Kolbenstangenraum 89 abfließen (Leckstrom). Die Drossel 82 ist so dimensioniert, dass der Fluss durch die Undichtigkeit der Dichtung 79 von der Druckversorgung durch Korrektur des Vorhubs des Doppelhubkolbens 71 (DHK) ausgeglichen werden kann. Weiter ist der Ausgleichs- fluss der Druckversorgung ein Indikator für die Undichtigkeit der Dichtung 79.

Eine Undichtigkeit der Dichtung 79 kann somit während des Betriebs bei Vorhub des Doppelhubkolbens 71 (DHK) entdeckt werden, ohne dass der Betrieb durch diese Undichtigkeit gestört wird . Deshalb führt diese Redundanz zu einer hydraulischen Trennung der Kammer von der Ringkammer 87 des Zylinders 72, die bei Vorhub des Doppelhubkolbens 71 (DHK) als Fail Operational bezeichnet werden kann. Wird die Dichtung 80 undicht, z. B. durch Verschleiß oder Schmutzpartikel, so kann bei Rückhub des Doppelhubkolbens 71 (DHK) Bremsflüssigkeit aus der Ringkammer 87 des Zylinders 72 durch Kanal 81, Kanal 81a und Drossel 82 des Doppelhubkolbens 71 (DHK) abfließen. Die Drossel 82 ist so dimensioniert, dass der Fluss durch die Undichtigkeit der Dichtung 80 von der Druckversor- gung durch Korrektur des Rückhubs des Doppelhubkolbens 71 (DHK) ausgeglichen werden kann. Weiter ist der Ausgleichsfluss der Druckversorgung ein Indikator für die Undichtigkeit der Dichtung 80.

Eine Undichtigkeit der Dichtung 80 kann somit während des Betriebs bei Rückhub des Doppelhubkolbens 71 (DHK) entdeckt werden, ohne dass der Betrieb durch diese Undichtigkeit gestört wird . Deshalb führt diese Redundanz zu einer hydraulischen Trennung der Kammer 86 des Zylinders 72 von der Ringkammer 87, die bei Rückhub des Doppelhubkolbens 71 (DHK) als Fail Operational bezeichnet werden kann.

Für die hydraulische Trennung der Ringkammer 87 des Zylinders 22 zum Kol- benstangenraum 89 sind die Dichtung 83 und die Dichtung 84 für die Kolbenstange 88 vorgesehen. Zwischen diesen Dichtungen 83 und Dichtung 84 ist ein Kanal 78 vorgesehen, der eine Drossel 85 enthält. Durch die Verbindung des Kanals 78 mit dem Vorratsbehälter 7 (VB) über eine hydraulische Leitung 76, und eine Drossel 85 ist der Druck in Kanal 78 bei intakter Dichtung 83 gleich dem Druck im Vorratsbehälter 7 (VB), wenn Höhenunterschiede zwischen dem Vorratsbehälter 7 (VB) und dem Kanal 78 vernachlässigt werden.

Wenn der Druck im Kolbenstangenraum 89 gleich groß ist, wie der Druck in dem Vorratsbehälter 7 (VB), dann wird bei intakter Dichtung 83 die Dichtung 84 nicht belastet, auch nicht, wenn die Ringkammer 87 des Zylinders 72 unter Druck steht. Weiter werden bei intakter Dichtung 83 eventuelle Schmutzpartikel in der Ringkammer 87 des Zylinders 72 von der Dichtung 83 zurückgehalten, so dass diese nicht in Kanal 78 vordringen, und nicht die Dichtung 84 beschädigen können. Bei intakter Dichtung 83 fällt die Dichtung 84 somit nicht aus. Wird die Dichtung 83 undicht, z. B. durch Verschleiß oder Schmutzpartikel, so kann Bremsflüssigkeit aus der Ringkammer 87 des Zylinders 72 durch den Kanal 78 und die hydraulische Leitung 76 und die Drossel 85 zum Vorratsbehälter 7 (VB) fließen. In diesem Zustand übernimmt die Dichtung 84 die hydraulische Trennung der Ringkammer 87 des Zylinders 72 von dem Kolbenstangen- räum 89. Die Drossel 85 ist so dimensioniert, dass der Fluss durch die Undichtigkeit der Dichtung 83 durch Korrektur des Rückhubs des Doppelhubkolbens 71 (DHK) ausgeglichen werden kann. Weiter ist der Ausgleichsfluss der Druckversorgung ein Indikator für die Undichtigkeit der Dichtung 83.

Eine Undichtigkeit der Dichtung 83 kann somit während des Betriebs bei Rück- hub des Doppelhubkolbens 71 (DHK) entdeckt werden, ohne dass der Betrieb durch diese Undichtigkeit gestört wird . Deshalb führt diese Redundanz zu einer hydraulischen Trennung der Ringkammer 87 des Zylinders 72 von dem Kolbenstangenraum 89, die bei Rückhub des Doppelhubkolbens 71(DHK) als Fail Operational bezeichnet werden kann. Fig . 4 zeigt ein Bremssystem, bei dem die Redundanz bei zwei Dichtungen zur Anwendung kommt. Zunächst wird das Bremssystem kurz beschrieben.

Das Bremspedal 101 wird beim Bremswunsch vom Fahrer durch den Fahrerfuß betätigt. Bei Betätigung des Bremspedals 101 wird der Pedalstößel 102 und der Pedalkolben 103 verschoben, in der Fig . 4 nach links. Über die Pedalkol- benfeder 104 wird der Primärkolben 105 des Tandem Hauptbremszylinders 112 (THZ) auch nach links verschoben. Wenn bei dieser Linksbewegung des Primärkolbens 105 der Bohrung 106 des Primärkolbens 105 die Dichtung 107 passiert hat, dann wird bei geschlossenen Trennventilen 108 und 109, und geöffnetem Simulatorventil 110 Volumen aus der Primärkammer 111 des Tandem Hauptbremszylinders 112 (THZ) durch den Kanal 113 der Primärkammer 111, durch die hydraulische Leitung 114 mit Drossel 115 und durch den geöffneten Simulatorventil 110 und durch die hydraulische Leitung 114a in die Arbeitskammer 139 des Wegsimulators 116 verschoben. Der Wegsimulatorkolben 117 des Wegsimulators 116 verschiebt sich dadurch auch nach links in Fig . 4 gegen ein Federpaket 118 des Wegsimulators 116, wodurch der Druck im Wegsimulator 116 und damit auch der Druck in der Primärkammer 111 des Tandem Hauptbremszylinders 112 (THZ) steigt.

Durch den Druck in der Primärkammer 111 des Tandem Hauptbremszylinders 112 (THZ) verschiebt sich der Sekundärkolben 119 in den Tandem Hauptbremszylinder 112 (THZ) nach links in Fig . 4. Wenn bei der Linksbewegung des Sekundärkolbens 119 die Bohrung 120 des Sekundärkolbens 119 die Diehtung 121 passiert hat, dann stoppt bei geschlossenen Trennventilen 108 und 109 die Linksbewegung des Sekundärkolbens, weil die Sekundärkammer 122 des Tandem Hauptbremszylinders 112 (THZ) dann eine geschlossene Kammer ist. Bei Vernachlässigung der Federkräfte der Primärkolbenfeder 123, der Sekundärkolbenfeder 124 und bei Vernachlässigung der Reibungskräfte der Dich- tungen 121, 125, 127 auf den Sekundärkolben 119 ist der Druck in der Sekundärkammer 122 gleich den Druck in der Primärkammer 111.

Wie bereits beschrieben trennt die Dichtung 107 bei einer Linksbewegung des Primärkolbens 105 die Primärkammer 111 des Tandem Hauptbremszylinders 112 (THZ) hydraulisch von dem Kanal 128 des Tandem Hauptbremszylinders 112 (THZ). Damit ist die Verbindung der Primärkammer 111 des Tandem Hauptbremszylinders 112 (THZ) über die Bohrung 106 des Primärkolbens 5 und über den Kanal 128 des Tandem Hauptbremszylinders 112 (THZ) und über die hydraulischen Leitungen 129 und 129a und über das geöffnete Diagnoseventil 130 zum Vorratsbehälter 131 (VB) unterbrochen. Durch die Verbin- dung des Kanals 128 mit dem Vorratsbehälter 131 (VB) über die hydraulischen Leitungen 129 und 129a, und über das geöffnete Diagnoseventil 130 ist der Druck in Kanal 128 gleich dem Druck im Vorratsbehälter 131 (VB), wenn Höhenunterschiede zwischen dem Vorratsbehälter 131 (VB) und dem Kanal 128 vernachlässigt werden. Wenn der Druck im Außenraum 132 des Tandem Hauptbremszylinders 112 (THZ) gleich groß ist, wie der Druck in dem Vorratsbehälter 131 (VB), dann wird bei intakter Dichtung 107 die Dichtung 107a nicht belastet, auch nicht, wenn die Primärkammer 111 des Tandem Hauptbremszylinders 112 (THZ) unter Druck steht. Weiter werden bei intakter Dichtung 107 eventuelle Schmutzpartikel in der Primärkammer 111 des Tandem Hauptbremszylinders 112 (THZ) von der Dichtung 107 zurückgehalten, so dass diese nicht in Kanal 128 vordringen, und nicht die Dichtung 107a beschädigen können. Bei intakter Dichtung 107 fällt die Dichtung 107a somit nicht aus.

Wird die Dichtung 107 undicht, z. B. durch Verschleiß oder Schmutzpartikel, so kann Bremsflüssigkeit aus der Primärkammer 111 des Tandem Hauptbremszylinders 112 (THZ) durch den Kanal 128, durch die hydraulischen Leitungen 129 und 129a und durch das geöffnete Diagnoseventil 130 zum Vorratsbehälter 131 (VB) abfließen. Dieser Abfluss von Bremsflüssigkeit kann durch Schließen des Diagnoseventils 130 gestoppt werden. Der Abfluss von Bremsflüssigkeit ist ein Indikator für die Undichtigkeit der Dichtung 107 und kann mittels der Wegsensoren 133 und 133a, der Kraft der Pedalkolbenfederl04 und der Druck-Volumencharakteristik des Wegsimulators 116 ermittelt werden.

Eine Undichtigkeit der Dichtung 107 kann somit während des Betriebs entdeckt werden, ohne dass der Betrieb durch diese Undichtigkeit gestört wird . Deshalb führt die Kombination von Dichtung 107 mit Diagnoseventil 130 zu einer hydraulischen Trennung der Primärkammer 111 des THZ 112 von dem Vorratsbehälter 131 (VB) die als Fail Operational bezeichnet werden kann.

Die Kombination der Dichtung 125 und der redundanten Dichtung 127 mit dem Kanal 126, und der hydraulischen Leitung 134 und der hydraulischen Leitung 129a zum Vorratsbehälter 131 (VB) und mit der Drossel 135 führt zu einer hydraulischen Trennung der Primärkammer 111 des THZ 112 von dem Vorratsbehälter 131 (VB), die als Fail Operational bezeichnet werden kann, wie bei Fig . 1 beschrieben.

Die Kombination der Dichtung 121 und der Dichtung 125 mit dem Kanal 136, und den hydraulischen Leitungen 137 und 137a und dem Sperrventil 138 und der hydraulischen Leitung 129a zum Vorratsbehälter 131 (VB) führt zu einer hydraulischen Trennung der Sekundärkammer 122 des THZ 112 von dem Vorratsbehälter 131 (VB), die als Fail Operational bezeichnet werden kann, wie bereits bei Fig . 4 für die Kombination der Dichtung 107 und der Dichtung 107a mit Kanal 128, und hydraulische Leitungen 129 und 129a und Diagnoseventil 130 zum Vorratsbehälter 131 (VB) beschrieben.

Der Wegsimulatorkolben 117 des Wegsimulators 116 enthält eine Dichtung 140 und eine redundante Dichtung 140a. Zwischen der Dichtung 140 und der redundanten Dichtung 140a befindet sich ein Kanal 141 und ein Kanal 141a mit einer Drossel 142, wobei der Kanal 141 in den Raum 143 des Federpakets 118 mündet. Die redundante Dichtung 140a trennt den Arbeitskammer 139 des Wegsimulators 116 hydraulisch von dem Federpaketraum 118 des Wegsimulators 116. Bei intakter redundanter Dichtung 140a fließt keine Bremsflüssigkeit aus dem Arbeitskammer 139 des Wegsimulators 116 durch die Kanäle 141, 141a und durch die Drossel 142 in den Federpaketraum 143 des Wegsimulators 116. Bei intakter redundanter Dichtung 140a ist der Druck in Kanal 141 deshalb gleich groß wie der Druck in dem Federpaketraum 143 des Wegsimulators 116. Bei intakter redundanter Dichtung 140a wird die Dichtung 140 somit nicht belastet, auch nicht, wenn der Arbeitskammer 139 des Wegsimulators 116 unter Druck steht. Weiter werden bei intakter redundanter Dichtung 140a eventuelle Schmutzpartikel in der Arbeitskammer 139 des Wegsimulators 116 von der redundanten Dichtung 140a zurückgehalten, so dass diese nicht in Kanal 141 vordringen, und nicht die Dichtung 140 beschädigen können. Bei intakter redundanter Dichtung 140a fällt die Dichtung 140 somit nicht aus.

Wird die redundante Dichtung 140a undicht, z. B. durch Verschleiß oder

Schmutzpartikel, so kann Bremsflüssigkeit aus der Arbeitskammer 139 des Wegsimulators 116 durch Kanal 141, und durch Kanal 141a mit Drossel 142 in den Federpaketraum 143 des Wegsimulators 116 abfließen. Der Abfluss von Bremsflüssigkeit ist ein Indikator für die Undichtigkeit der redundanten Dichtung 140a und kann mittels der Wegsensoren 133 und 133a, der Kraft der Pe- dalkolbenfederl04 und der Druck-Volumencharakteristik des Wegsimulators 116 ermittelt werden. Eine Undichtigkeit der redundanten Dichtung 140a kann somit während des Betriebs entdeckt werden, ohne dass das Bremspedal 101 durch diese Undichtigkeit durchfällt (siehe auch Beschreibung bei Fig . 2). Deshalb führt diese Re- dundanz zu einer hydraulischen Trennung des Arbeitskammer 139 des Wegsimulators 116 vom Federpaketraum 143 des Wegsimulators 116 die als Fail Operational bezeichnet werden kann.

In einem Steuergerät (nicht eingezeichnet) werden alle Steuerungs- und Aus- wertesignale verarbeitet. Insbesondere werden die Sensorauswertung, die Diagnose, die Fehlerauswertung und die Fehleranzeige verarbeitet. Die Diagnose der Dichtungsausfälle der redundanten Dichtung 140a des Kolben- Wegsimulators 116, der Dichtung 107 der Hilfskolbenkammer 111 und der redundanten Dichtung 127 in der Primärkammer 111 des Tandem Haupt- bremszylinders 112 (THZ) und der Dichtung 121 in der Sekundärkammer 122 des Tandem Hauptbremszylinders 112 (THZ), die zu einem Leckstrom führen, findet über Plausibilitätsbetrachtungen der Pedalwegsensorsignale 133, 133a mit der Pedalkolbenfeder 104 unter Berücksichtigung der Druck- Volumencharakteristik des Wegsimulators 116 statt. Eine weitere Möglichkeit zur Erkennung der Undichtigkeit einer Dichtung, die zu einem Leckstrom führt, besteht darin, die Druck-Volumencharakteristik des Bremssystems mit der Volumenverschiebung der Druckversorgung 146 und dem Signal des Bremsdrucksensors (nicht eingezeichnet) im Bremskreis 148 zu korrelieren. Bei dem Bremssystem von Fig . 4 fließt der Leckstrom durch jede Dichtung zurück in den Vorratsbehälter 131 (VB), außer bei der redundanten Dichtung 140a im Kolben-Wegsimulator 116, und bei den Dichtungen des Doppelhubkolbens, für den Fall, dass bei der Druckversorgung 146 ein Doppelhubkolben nach Fig . 3 verwendet wird (siehe Fig . 3, Dichtungen 79 und 80). Wenn der Leckstrom nicht in den Vorratsbehälter 131 (VB) zurückfließt, dann ist eine Diagnose der Dichtigkeit durch Korrelation des Leckverlusts mit dem Signal eines redundanten Niveaugebers 151 in dem Vorratsbehälter 131 (VB), der vorzugsweise linear ist, möglich.

In der Diagnose kann die Dichtung 107a bei nicht betätigtem Bremspedal 101 zusätzlich auf Dichtheit geprüft werden. Dazu werden das Diagnoseventil 130, das Simulatorventil 110, das Trennventil 108 und das Sperrventil 138 geschlossen, und das Trennventil 109 und das Einspeiseventil 144 geöffnet. Der Motor 145 wird mit einem bestimmten Stromwert bestromt und damit wird Bremsflüssigkeit von der Druckversorgung 146 über die hydraulische Leitung 147, über das Einspeiseventil 144, über die hydraulische Leitung 147a, über die hydraulische Leitung 148, über das Trennventil 109, über die hydraulische Leitung 149 und über den Kanal 150 in den Primärraum 111 des THZ 112 verschoben, wodurch der Druck im Primärraum 111 auf einem bestimmten Wert ansteigt, z. B. 25bar. Der Druck in der hydraulischen Leitung 148 wird von einem Drucksensor (nicht eingezeichnet) gemessen. Wenn die Dichtung 107a eine Undichtigkeit aufweist, dann muss die Druckversorgung Bremsflüssigkeit nachschieben, um den Druck in der hydraulischen Leitung 148 konstant zu halten. Eine Undichtigkeit der Dichtung 107a kann über die Notwendigkeit des Nachschiebens von Bremsflüssigkeit durch die Druckversorgung 146, um den Druck in der hydraulischen Leitung 148 konstant zu halten, entdeckt werden.

Fig . 5 zeigt ein Bremssystem, welches eine Ähnlichkeit mit dem Bremssystem von Fig . 4 aufweist. Ein wesentlicher Unterschied ist, dass beim Bremssystem von Fig . 5 der Hauptbremszylinder 201 (HZ) in drei Kammern unterteilt ist. Diese sind die Primärkammer 111, die Sekundärkammer 122 und die Hilfskol- benkammer 204. Zwischen der Primärkammer 111 und der Sekundärkammer 122 befindet sich der Sekundärkolben 119. Zwischen der Primärkammer 111 und der Hilfskolbenkammer 204 befindet sich eine Zwischenwand 206. Zunächst wird das Bremssystem kurz beschrieben. Das Bremspedal 101 wird beim Bremswunsch vom Fahrer durch den Fahrerfuß betätigt. Bei Betätigung des Bremspedals 101 wird der Pedalstößel 102 und der Pedalkolben 103 verschoben, in der Fig . 5 nach links. Über die Pedalkolbenfeder 104 wird der Hilfskolben 211 und der Hilfskolbenstößel 212, welcher durch eine Bohrung 213 der Zwischenwand 206 geführt wird, auch nach links verschoben. Wenn bei dieser Linksbewegung des Hilfskolbens 211 die Bohrung 214 des Hilfskolbens 211 die Dichtung 215 passiert hat, dann wird bei geschlossenem Trennventil 216 Volumen aus der Hilfskolbenkammer 204 des Hauptbremszylinders 201 (HZ) durch den Kanal 217 der Hilfskolbenkammer 204, die hydraulischen Leitungen 218 und 114 mit Drossel 115 und dem ge- öffneten Simulatorventil 110 und der hydraulischen Leitung 114a in die Arbeitskammer 139 des Wegsimulators 116 verschoben. Der Wegsimulatorkolben 117 verschiebt sich dadurch auch nach links in Fig . 5 gegen ein Federpak- te 118, wodurch der Druck im Wegsimulator 116 und damit auch der Druck in der Hilfskolbenkammer 204 des Hauptbremszylinders 201 (HZ) steigt.

Entsprechend des Verschiebewegs des Pedalkolbens 103, welcher von dem Wegsensor 133 erfasst wird, wird der Motor 228 bestromt um ein definiertes Volumen von der Druckversorgung 229 über die hydraulische Leitung 147, dem geöffneten Einspeiseventil 144, der hydraulischen Leitung 147a, dem Primärkreis 233 in den Radbremszylindern der Primärkreises 233 (nicht eingezeichnet) und über Kanal 150 des Hauptbremszylinders 201 (HZ) in die Primärkammer 111 des Hauptbremszylinders 201 (HZ) zu verschieben. In den Radbremszylindern steigt dadurch der Druck, und damit steigt auch der Druck in der Primärkammer 111 des Hauptbremszylinders 201 (HZ). Durch den Druck in der Primärkammer 111 des Hauptbremszylinders 201 (HZ) verschiebt sich der Sekundärkolben 119 auch nach links in Fig . 5, gegen die Kraft der Sekundärkolbenfeder 124. Durch diese Bewegung des Sekundärkolbens 119 wird Bremsflüssigkeit aus der Sekundärkammer 122 der Hauptbremszylinders 201 (HZ) durch den Kanal 236 und durch den Sekundärkreis 237 in den Radbremszylinder des Sekundärkreises 237 (nicht eingezeichnet) verschoben. Dadurch steigt der Druck in den Radbremszylindern des Sekundärkreises 237. Bei Vernachlässigung der Federkräfte der Sekundärkolbenfeder 124, und bei Vernachlässigung der Reibungskräfte der Dichtungen 127, 125, 121 auf den Sekundärkolben 119 ist der Druck in der Sekundärkammer 122 gleich den Druck in der Primärkammer 111.

In der Bohrung 213 der Zwischenwand 206 des Hauptbremszylinders 201 (HZ) befinden sich zwei Dichtungen 241 und 242. Zwischen den beiden Dichtungen 241 und 242 befindet sich einen Kanal 243. Dieser Kanal 243 ist über eine hydraulische Leitung 244, mit einer Drossel 245 und über eine hydraulische Leitung 129a mit dem Vorratsbehälter 131 (VB) verbunden. Diese Dichtungen trennen die Primärkammer 111 des Hauptbremszylinders 201 (HZ) hydraulisch von der Hilfskolbenkammer 204 des Hauptbremszylinders 201 (HZ). Wird die Dichtung 241 undicht, z. B. durch Verschleiß oder Schmutzpartikel, so kann Bremsflüssigkeit aus der Primärkammer 111 des Hauptbremszylinders 201 (HZ) durch Kanal 243, hydraulische Leitung 244 mit Drossel 245 und hyd- raulische Leitung 129a in den Vorratsbehälter 247 (VB) abfließen. Die Drossel 245 ist so dimensioniert, dass der Fluss durch die Undichtigkeit der Dichtung 241 von der Druckversorgung 229 ausgeglichen werden kann. Weiter ist der Ausgleichsfluss der Druckversorgung 229 ein Indikator für die Undichtigkeit der Dichtung 241.

Eine Undichtigkeit der Dichtung 241 kann somit während des Betriebs entdeckt werden, ohne dass der Betrieb durch diese Undichtigkeit gestört wird . Deshalb führt diese Redundanz der Dichtungen 241 und 242 mit Drossel 245 zu einer hydraulischen Trennung des Primärraums 111 von der Hilfskolben- kammer 204 des Hauptbremszylinders 201 (HZ), die als Fail Operational bezeichnet werden kann.

Wird die Dichtung 242 undicht, z. B. durch Verschleiß oder Schmutzpartikel, so kann Bremsflüssigkeit aus der Hilfskolbenkammer 204 des Hauptbremszylinders 201 (HZ) durch den Kanal 243, durch die hydraulische Leitung 244 mit Drossel 245 und durch die hydraulische Leitung 129a zum Vorratsbehälter 247 (VB) abfließen. Der Abfluss von Bremsflüssigkeit ist ein Indikator für die Undichtigkeit der Dichtung 242 und kann mittels der Wegsensoren 133 und 133a, der Kraft der Pedalkolbenfederl04 und der Druck-Volumencharakteristik des Wegsimulators 116 ermittelt werden. Eine Undichtigkeit der Dichtung 242 kann somit während des Betriebs entdeckt werden, ohne dass das Bremspedal 101 durch diese Undichtigkeit durch fällt (siehe auch Beschreibung bei Fig . 2). Deshalb führt diese Redundanz der Dichtungen 241 und 242 zu einer hydraulischen Trennung der Hilfskolbenkammer 204 vom Vorratsbehälter 247 (VB) die als Fail Operational bezeichnet werden kann.

Wird das Trennventil 216 undicht, z. B. durch Verschleiß oder Schmutzpartikel, so kann, wenn der Bremsdruck in Primärkreis 233 geringer ist als der Druck in der Hilfskolbenkammer 204 des Hauptbremszylinders 201 (HZ), Bremsflüssigkeit aus der Hilfskolbenkammer 204 durch den Kanal 248, durch die hydrauli- sehe Leitung 249, durch das Trennventil 216 und durch die hydraulische Leitung 250 zum Primärkreis 233 abfließen. Das Bremspedal 101 fällt dann durch. Der Abfluss von Bremsflüssigkeit ist ein Indikator für die Undichtigkeit des Trennventils 216 und kann mittels der Wegsensoren 133 und 133a, der Kraft der Pedalkolbenfeder 104 und der Druck-Volumencharakteristik des Wegsimulators 116 entdeckt werden. Wenn der Bremsdruck in Primärkreis 233 höher ist als der Druck in der Hilfskolbenkammer 204, dann kann Bremsflüs- sigkeit aus dem Primärkreis 233 durch die hydraulische Leitung 250 durch das Trennventil 216 durch die hydraulische Leitung 249 und durch den Kanal 248 in die Hilfskolbenkammer 204 des Hauptbremszylinders 201 (HZ) abfließen. Das Bremspedal 101 wird dann zurückgedrückt. Der Abfluss von Bremsflüssigkeit ist ein Indikator für die Undichtigkeit des Trennventils 216 und kann mit- tels der Wegsensoren 133 und 133a, der Kraft der Pedalkolbenfederl04 und der Druck-Volumencharakteristik des Wegsimulators 116. Bei entdeckter Undichtigkeit des Trennventils 216 wird das optionale redundante Trennventil 216a (gestrichelt eingezeichnet) in der hydraulischen Leitung 250 geschlossen. Das redundante Trennventil 216a ist optional, weil Undichtigkeit des Trenn- ventils 216 sehr selten vorkommt.

Eine Undichtigkeit des Trennventils 216 kann somit während des Betriebs entdeckt werden, ohne dass das Bremspedal 101 durch diese Undichtigkeit durchfällt. Deshalb führt diese Redundanz der Trennventile 216 und 216a zu einer hydraulischen Trennung der Hilfskolbenkammer 204 vom Primärkreis 233 die als Fail Operational bezeichnet werden kann.

Ähnlich wie bereits bei Fig . 4 beschrieben, werden bei dem Bremssystem von Fig . 5 in einem Steuergerät (nicht eingezeichnet) alle Steuerungs- und Auswertesignale verarbeitet. An dieser Stelle werden deshalb nur die Besonderheiten des Bremssystems von Fig . 5 verglichen mit dem Bremssystem von Fig . 4 beschrieben. Die Diagnose der Dichtungsausfälle der Dichtung 242 des Hilfs- kolbenstößels 212 und des Trennventils 216 die zu einem Leckstrom führen, findet über Plausibilitätsbetrachtungen der Pedalwegsensorsignale 133, 133a mit der Pedalkolbenfeder 104 unter Berücksichtigung der Druck-Volumencharakteristik des Wegsimulators 116 statt. Eine weitere Möglichkeit zur Er- kennung der Undichtigkeit der redundanten Dichtung 127 der Primärkammer 111 des Hauptbremszylinders 201 (HZ), der Dichtung 121 der Sekundärkammer 122 des Hauptbremszylinders 201 (HZ), der Dichtung 241 des Hilfskol- benstößels 212 und des Trennventils 216, die zu einem Leckstrom führt, be- steht darin, die Druck-Volumencharakteristik des Bremssystems mit der Volumenverschiebung der Druckversorgung 229 und dem Signal des Bremsdrucksensors 252 im Primärkreis 233 zu korrelieren.

In der Diagnose kann das Trennventil 216 bei nicht betätigtem Bremspedal 101 zusätzlich auf Dichtheit geprüft werden. Dazu wird das Trennventil 16 geschlossen, und das optionale Trennventil 16a und das Diagnoseventil 130 geöffnet. Der Motor 228 wird mit einem bestimmten Stromwert bestromt und damit wird Bremsflüssigkeit von der Druckversorgung 229 über die hydraulische Leitung 147, über das Trennventil 144, über die hydraulische Leitung 147a, in den Primärkreis 233, und in den Radbremszylinder (nicht eingezeichnet) des Primärkreises 233, und über den Kanal 150 in die Primärkammer 111 des HZ 201 verschoben, wodurch der Druck im Primärkreis 233 auf einem bestimmten Wert ansteigt, z. B. 25bar. Der Druck im Primärkreis 233 wird von einem Drucksensor 252, welche über eine hydraulische Leitung 253 an dem Primärkreis 233 angeschlossen ist, gemessen. Wenn das Trennventil 216 eine Undichtigkeit aufweist, dann muss die Druckversorgung 229 Bremsflüssigkeit nachschieben, um den Druck in dem Primärkreis 233 konstant zu halten. Eine Undichtigkeit des Trennventils 216 kann über die Notwendigkeit des Nachschiebens von Bremsflüssigkeit durch die Druckversorgung 229, um den Druck in Primärkreis 233 konstant zu halten, entdeckt werden.

Ebenso kann in der Diagnose das optionale Trennventil 216a bei nicht betätigtem Bremspedal 101 zusätzlich auf Dichtheit geprüft werden. Dazu wird das optionale Trennventil 216a geschlossen, und das Trennventil 216 und das Diagnoseventil 130 geöffnet. Der Motor 228 wird mit einem bestimmten

Stromwert bestromt und damit wird Bremsflüssigkeit von der Druckversorgung 229 über die hydraulische Leitung 147, über das Trennventil 144, über die hydraulische Leitung 147a, in den Primärkreis 233, und in die Radbremszylinder (nicht eingezeichnet) des Primärkreises 233, und über den Kanal 150 in die Primärkammer 111 des HZ 201 verschoben, wodurch der Druck im Primär- kreis 233 auf einem bestimmten Wert ansteigt, z. B. 25bar. Der Druck im Primärkreis 233 wird von einem Drucksensor 252 gemessen. Wenn das optionale Trennventil 216a eine Undichtigkeit aufweist, dann muss die Druckversorgung 229 Bremsflüssigkeit nachschieben, um den Druck in dem Primärkreis 233 konstant zu halten. Eine Undichtigkeit des optionalen Trennventils 216a kann über die Notwendigkeit des Nachschiebens von Bremsflüssigkeit durch die Druckversorgung 229, um den Druck in Primärkreis 233 konstant zu halten, entdeckt werden. Fig . 5a zeigt ein Bremssystem, welches eine Ähnlichkeit mit dem Bremssystem von Fig . 5 aufweist. Ein wesentlicher Unterschied ist jedoch, dass beim Bremssystem von Fig . 5a der Hilfskolben 211 keinen Hilfskolbenstößel 212 aufweist. Ebenso weist die Zwischenwand 206 keine Bohrung 213 auf. Hierdurch kann § bt es keine mechanische Verbindung zwischen Hilfskolben 211 und Sekun- därkolben 119 mehr geben. Es entfallen deshalb auch die zwei Dichtungen 241 und 242 und der Kanal 243 in der Zwischenwand 206. Weiter entfällt die hydraulische Leitung 244 und die Drossel 245. Damit entfallen auch Fehlermöglichkeiten wie Undichtigkeiten der Dichtungen 241 und 242 und Verstopfung der Drossel 245. Die Zwischenwand 206 trennt nun die Primärkammer 111 des Hauptbremszylinders 112 von Fig . 4 in eine Primärkammer 111 und die Hilfskolbenkammer 204 des Hauptbremszylinders 201 in Fig . 5a.

Für die Beschreibung der Funktion des Bremssystems von Fig . 5a wird auf die Beschreibung des Bremssystems unter Fig . 5 verwiesen.

Ein wichtiger Unterschied zwischen dem Bremssystem nach Fig . 5 und dem Bremssystem nach Fig . 5a betrifft den Fehlerfall„Ausfall der Bremskraftver- stärkung", z. B. durch den gleichzeitigen Ausfall der Dichtungen 125 und 127 des Hauptbremszylinders 201. Der Druck in der Primärkammer 111 und im Primärkreis 233 bleibt dann bei der Bremsung durch den Fahrer drucklos, und kann nicht von der Druckversorgung 229, DV1 erhöht werden. Da der Hilfskol- benstößel 212 fehlt, kann der Fahrer mit seiner Fußkraft auf das Pedal 101 den Sekundärkolben 119 mittels den Hilfskolbenstößel 212 nicht verschieben, und auch der Sekundärkreis 237 würde drucklos bleiben. Dieser Fehlerfall kann durch ein nachgeschaltetes ESP, 254 mittels der Druckversorgung DV2, 255 behoben werden. Sobald der Fehler vom Bremssystem erkannt wird, wird die Funktion„Aktivbremsung" des ESP aktiviert. ESP erhöht dabei den Druck in den Radbremszylindern des Primärkreises 233 und des Sekundärkreises 237 auf einen Sollwert, der z. B. aus dem Signal des Wegsensors 133 des Pedalkol- bens 103 gebildet werden kann. ESP, 254 bekommt dazu das notwendige Volumen an Bremsflüssigkeit im Primärkreis 233 z. B. durch die undichte Dichtungen 127 und 125 (Fig . 5a), den Kanal 136, die hydraulischen Leitungen 137 und 137a und das geöffnete Sperrventil 138 (Fig . 4) aus dem Vorratsbe- hälter 131. Unter Einfluss der Federkraft der Sekundärkolbenfeder 124 und des Druckunterschieds zwischen der Primärkammer 111 und der Sekundärkammer 122 des Hauptbremszylinders 201 wird der Sekundärkolben 119 zurück (in Fig . 5a nach rechts) zur Ausgangslage geschoben. In der Ausgangslage des Sekundärkolbens 119 besteht eine direkte Verbindung zwischen der Sekundärkammer 122 und der hydraulischen Leitung 137 über die Bohrung des Sekundärkolbens 120 und dem Kanal 136 im Hauptbremszylinder 112 (Fig . 4). Damit bekommt ESP das notwendige Volumen an Bremsflüssigkeit im Sekundärkreis 237 z. B. durch die Kanäle 236 und 136 (Fig . 4), die Sekundärkammer 122, durch die Bohrung des Sekundärkolbens 120, durch die hydrau- lischen Leitungen 137 und 137a und das geöffnete Magnetventil 138 (Fig . 4) aus dem Vorratsbehälter 131.

Ein weiterer wichtiger Unterschied zwischen dem Bremssystem nach Fig . 5 und dem Bremssystem nach Fig . 5a betrifft den Fehlerfall„Ausfall der Bremskraftverstärkung", z.B. durch den Ausfall der Dichtung in einem Radbremszy- linder in Bremskreis 233, z. B. Radbremse 516 in Fig . 9a. Der Druck in der Primärkammer 111 bleibt dann bei der Bremsung durch den Fahrer drucklos und kann nicht von der Druckversorgung 229 erhöht werden. Da der Hilfskol- benstößel 212 fehlt, kann der Fahrer mit seiner Fußkraft auf das Pedal 101 den Sekundärkolben 119 mittels des Hllfskolbenstößels 212 nicht verschieben, und auch der Sekundärkreis 237 würde drucklos bleiben. Dieser Fehlerfall kann durch ein stromlos offenes Trennventil 144a im Primärkreis 233 verhindert werden. Sobald der Fehler entdeckt wird, wird das Trennventil 144a geschlossen. Die Druckversorgung 229 kann dann durch das geöffnete Einspeiseventil 144, durch den Primärkreis 233 und den Kanal 150 im Hauptbremszy- linder 201 Bremsflüssigkeit in die Primärkammer 111 verschieben. Als Folge verschiebt sich der Sekundärkolben 119 (in Fig . 5a nach links) wodurch Bremsflüssigkeit aus der Sekundärkammer 122 durch den Kanal 236 in den Sekundärkreis 237 verschoben wird . Durch die Bremsflüssigkeitsverschiebung in den Sekundärkreis 237 erhöht sich der Druck in dem Sekundärkreis 237 und damit auch der Druck in den Radzylindern der Radbremsen (nicht eingezeichnet, z. B. in Fig . 9a 514 und 515) von Sekundärkreis 237. Der Druck im Primärkreis 233 wird durch den Drucksensor 252 gemessen, und von der Druckversorgung 255 des ESP, 254 auf den Sollwert eingestellt, wobei der Solldruck z. B. aus dem Signal des Wegsensors 133 des Pedalkolbens 103 gebildet werden kann. Dieser Fehlerfall kann auch durch ein nachgeschaltetes ESP (254) behoben werden. Sobald der Fehler vom Bremssystem entdeckt wird, wird die Funktion„Aktivbremsung" des ESP, 254 aktiviert. ESP, 254 er- höht dann mittels der Druckversorgung 255 den Druck in den Radbremszylindern auf einen Sollwert, der aus dem Signal des Pedalwegsensors 133 des Pedalkolbens 103 gebildet werden kann. Allerdings wird ESP, 254 den Druck in den Radbremszylindern des Bremskreises 233 nicht erhöhen können, und es besteht die Gefahr, dass der Vorratsbehälter 131 vom ESP, 254 leergesaugt wird .

Ein weiterer wichtiger Unterschied zwischen dem Bremssystem nach Fig . 5 und dem Bremssystem nach Fig . 5a betrifft z. B. die Kombination der Fehlerfälle„Ausfall der Dichtung in einem Radbremszylinder in Bremskreis 233, z. B. Radbremse 516 in Fig . 9a und Ausfall des Steuergeräts des Bremssystems nach Fig . 5a (nicht eingezeichnet) und Ausfall des Steuergeräts des ESP

(254)". Wenn das Steuergerät des Bremssystems nach Fig . 5a (nicht eingezeichnet) ausfällt, dann öffnet sich das Trennventil 216, während das Trennventil 144a offen bleibt. Durch die Betätigung des Bremspedals 101 durch den Fahrer bewegt sich der Hilfskolben 211 (in Fig . 5a nach links) und schiebt da- bei Bremsflüssigkeit aus der Hilfskolbenkammer 204 durch den Kanal 248 im Hauptbremszylinder 201, durch die hydraulische Leitung 249, durch das geöffnete Trennventil 216 und durch die hydraulische Leitung 250 in den Primärkreis 233. Durch den Ausfall der Dichtung in einem Radbremszylinder in Primärkreis 233, z. B. Radbremse 516 in Fig . 9a bleibt dabei der Primärkreis 233 drucklos. Weiter kann durch den Ausfall des Steuergeräts des Bremssystems nach Fig . 5a (nicht eingezeichnet), das Trennventil 144a nicht geschlossen werden, und die Primärkammer 111 bleibt auch drucklos. Da der Hilfskolben- stößel 212 fehlt, kann der Fahrer mit seiner Fußkraft auf das Pedal 101 den Sekundärkolben 119 mittels des Hilfskolbenstößels 212 nicht verschieben, und auch der Sekundärkreis 237 würde drucklos bleiben. Durch den gleichzeitigen Ausfall des ESP-Steuergeräts (254) kann ESP (254) den Druck in den Radbremszylindern der Radbremsen (z.B. 514, 515, 516, 517 in Fig . 9a) auch nicht erhöhen. Damit würden bei der Fahrerbremsung alle Radbremszylinder der Radbremsen (z. B. 514, 515, 516, 517 in Fig . 9a) drucklos bleiben, und das Fahrzeug würde trotz Fahrerbremsung ungebremst bleiben. Diese Situation kann toleriert werden, da die Wahrscheinlichkeit der Kombination dieser Fehlerfälle„Ausfall der Dichtung in einem Radbremszylinder in Bremskreis 233, z. B. Radbremse 516 in Fig . 9a und Ausfall des Steuergeräts des Bremssystems und Ausfall des Steuergeräts des ESP" äußerst gering ist.

Optional kann ein zusätzliches Trennventil 114b im Sekundärkreis

237vorgesehen werden, welches z. B. vorteilhaft bei der ABS-Regelung genutzt werden kann, wenn z. B. bei Ausfall des ESP die Druckversorgung und die Druckregelung über die Druckversorgung 229 bei geöffnetem Ventil 144 erfolgt. Für manche Funktionen, wie z. B. das Nachfördern, kann die Funktion der Trennventils 144a, 144b auch von den ESP-Ventilen USV, HSV und EV übernommen werden, wodurch die Trennventile 144a, 144b im Zweifel nicht benötigt werden. Hierzu muss die Kommunikationsschnittstelle zwischen ESP und Booster geändert werden. Gegebenenfalls z. B. für den Ausfall des ESP auch eine redundante elektrische Ansteuerung vom Booster wirksam werden.

Fig . 6 zeigt ein Bremssystem, welches eine Ähnlichkeit mit dem Bremssystem von Fig . 5 zeigt. Unterschiede zwischen den Bremssystemen von Fig . 6 und von Fig . 5 betreffen nicht den Funktionen. Für die Beschreibung der Funktion des Bremssystems von Fig . 6 wird deshalb auf die Beschreibung der Funktion des Bremssystems von Fig . 5 verwiesen. Wesentliche Änderungen in dem Bremssystem von Fig . 6 im Vergleich zum Bremssystem von Fig . 5 betreffen die Dichtungen. Diese Änderungen in dem Bremssystem von Fig . 6 werden im folgenden Text erklärt. Die Dichtung 301 wird ergänzt durch eine redundante Dichtung 301a. Zwischen der Dichtung 301 und der redundanten Dichtung 301a befindet sich ein Kanal 302 im Hauptbremszylinder 201 (HZ). An dem Kanal 302 des Haupt- bremszylinders 201 (HZ) ist eine hydraulische Leitung 304 mit einer Drossel 305 angeschlossen. Die hydraulische Leitung 304 ist an dem Vorratsbehälter 131 (VB) angeschlossen. Eine solche Konfiguration von Dichtung 301, redundante Dichtung 301a, Kanal 302 und Leitung 304 mit Drossel 305 und Vor- ratsbehälter 131 (VB) wurde bereits in Fig . 2 dargestellt und beschrieben. Deshalb wird an dieser Stelle auf eine erneute Beschreibung verzichtet. Die Dichtung der Sekundärkammer 122 zum Vorratsbehälter 131 (VB) kann entsprechend der Beschreibung von Fig . 2 als Fail Operational bezeichnet werden.

Die Dichtung 328 wird ergänzt durch eine redundante Dichtung 329. Zwischen der Dichtung 328 und der redundanten Dichtung 329 befindet sich ein Kanal 330 im Hauptbremszylinder 201 (HZ). Der Kanal 330 des Hauptbremszylinders 201 (HZ) ist über die hydraulische Leitung 331 mit der Drossel 332 und über die hydraulische Leitung 322 an den Vorratsbehälter 131 (VB) angeschlossen. Eine solche Konfiguration von Dichtung 328, redundante Dichtung 329, Kanal 330 und hydraulische Leitung 331 mit Drossel 332 und Vorratsbehälter 131 (VB) wurde bereits in Fig . 2 dargestellt und beschrieben. Deshalb wird an dieser Stelle auf eine erneute Beschreibung verzichtet. Die Dichtung der Hilfskol- benkammer 204 zum Vorratsbehälter 131 (VB) kann entsprechend der Beschreibung von Fig . 2 als Fail Operational bezeichnet werden. In der gezeichnete Ruhestellung des Bremssystems ist die Sekundärkammer 122 des Hauptbremszylinders 201 (HZ) über die Bohrung 120 des Sekundärkolbens 119, über den Kanal 136 des Hauptbremszylinders 201 (HZ), über die hydraulische Leitung 311, über das Strömungs-Rückschlagventil 312, über die hydraulische Leitung 313 und über die hydraulische Leitung 304 mit dem Vor- ratsbehälter 131 (VB) verbunden. Über diese Verbindung kann ein nachgeschaltetes ESP-Gerät (nicht eingezeichnet) Bremsflüssigkeit über den Bremskreis 237 und den Kanal 236 des Hauptbremszylinders 201 (HZ) Bremsflüssigkeit aus dem Vorratsbehälter 131 (VB) ansaugen. Umgekehrt kann ein nachgeschaltetes ESP-Gerät (nicht eingezeichnet) über diese Verbindung, über den Bremskreis 237 und den Kanal 236 des Hauptbremszylinders 201 (HZ) Bremsflüssigkeit an den Vorratsbehälter 131 (VB) abgeben. Die Abgabe von Bremsflüssigkeit von dem nachgeschalteten ESP-Gerät (nicht eingezeichnet) an den Vorratsbehälter 131 (VB) ist garantiert, wenn das Strömungs-Rückschlagventil 312 offen ist. Das Strömungs-Rückschlagventil 312 ist offen, wenn der Volumenstrom durch das Strömungs-Rückschlagventil 312 in Sperrrichtung (d .h. in Richtung zum Vorratsbehälter 131) unterhalb eines definierten Wertes bleibt. Sinnvollerweise ist dieser definierte Wert größer als die maximale Förderleis- tung der Rückförderpumpe des ESP-Geräts (nicht eingezeichnet) in Bremskreis 237. Das Strömungs-Rückschlagventil 312 soll jedoch bei größeren Werten des Volumenstroms als der definierte Wert schließen, damit bei größeren Undichtigkeiten der Dichtung 301 und der redundanten Dichtung 301a (Doppelfehler) die Verbindung hydraulisch getrennt wird, und somit der Volumenver- lust in den Bremskreis 237 begrenzt wird .

In der gezeichneten Ruhestellung des Bremssystems ist die Hilfskolbenkam- mer 204 des Hauptbremszylinders 201 (HZ) über die Bohrung 214 des Hilfskolbens 211, über den Kanal 255 des Hauptbremszylinders 201 (HZ), über die hydraulische Leitung 320, über das Strömungs-Rückschlagventil 321 und über die hydraulische Leitung 322 mit dem Vorratsbehälter 131 (VB) verbunden. Über diese Verbindung kann ein nachgeschaltetes ESP-Gerät (nicht eingezeichnet) Bremsflüssigkeit über den Primärkreis 233, über die hydraulische Leitung 250, über das geöffnete Trennventil 216, über die hydraulische Leitung 249 und über den Kanal 248 des Hauptbremszylinders 201 (HZ) Brems- flüssigkeit aus dem Vorratsbehälter 131 (VB) ansaugen. Umgekehrt kann ein nachgeschaltetes ESP-Gerät (nicht eingezeichnet) über diese Verbindung und über den Primärkreis 233, über die hydraulische Leitung 250, über das geöffnete Trennventil 216, über die hydraulische Leitung 249 und über den Kanal 248 des Hauptbremszylinders 201 (HZ) Bremsflüssigkeit an den Vorratsbehäl- ter 131 (VB) abgeben. Die Abgabe von Bremsflüssigkeit von dem nachgeschalteten ESP-Gerät (nicht eingezeichnet) an den Vorratsbehälter 131 (VB) ist garantiert, wenn das Strömungs-Rückschlagventil 321 offen ist. Das Strömungs- Rückschlagventil 321 ist offen, wenn der Volumenstrom durch das Strömungs- Rückschlagventil 321 in Sperrrichtung (d.h. in Richtung zum Vorratsbehälter 131) unterhalb eines definierten Wertes bleibt. Sinnvollerweise ist dieser definierte Wert größer als die maximale Förderleistung der Rückförderpumpe des ESP-Geräts (nicht eingezeichnet) in Primärkreis 233. Das Strömungs- Rückschlagventil 321 soll jedoch bei größeren Werten des Volumenstroms als der definierte Wert schließen, damit bei größeren Undichtigkeiten der Dichtung 328 die Verbindung hydraulisch getrennt wird, und somit der Volumenverlust in den Primärkreis 233 begrenzt wird.

Ähnlich wie bereits bei Fig . 5 beschrieben, werden bei dem Bremssystem von Fig . 6 in einem Steuergerät (nicht eingezeichnet) alle Steuerungs- und Auswertesignale verarbeitet. An dieser Stelle werden deshalb nur die Besonderheiten des Bremssystems von Fig . 6 verglichen mit dem Bremssystem von Fig . 5 beschrieben. Die Diagnose in Fig . 6 der Dichtungsausfälle der redundanten Dichtung 329 in der Hilfskolbenkammer 204 die zu einem Leckstrom führen, findet über Plausibilitätsbetrachtungen der Signale der Pedalwegsensoren 133, 133a mit der Pedalkolbenfeder 104 unter Berücksichtigung der Druck- Volumencharakteristik des Wegsimulators 116 statt. Eine weitere Möglichkeit zur Erkennung der Undichtigkeit der redundanten Dichtung 301a der Sekundärkammer 122 des Hauptbremszylinders 201 (HZ) die zu einem Leckstrom führt, besteht darin, die Druck-Volumencharakteristik des Bremssystems mit der Volumenverschiebung der Druckversorgung 229 und dem Signal des Bremsdrucksensors 252 im Primärkreis 233 zu korrelieren.

In der Diagnose können z. B. die Dichtung 107a und das Strömungs- Rückschlagventil 321 bei nicht betätigtem Bremspedal 101 auf Dichtheit ge- prüft werden. Dazu wird das Simulatorventil 334 geschlossen und das Trennventil 216 geöffnet. Der Motor 228 wird mit einem definierten Wert bestromt, und damit wird Bremsflüssigkeit von der Druckversorgung 229 über die hydraulische Leitung 147, über das geöffnete Einspeiseventil 144, über die hydraulische Leitung 147a, über den Primärkreis 233, über die hydraulische Lei- tung 250, über das Trennventil 216, über die hydraulische Leitung 249, über den Kanal 248 über die Hilfskolbenkammer 204 des Hauptbremszylinders 201 (HZ), über die Bohrung 214 des Hilfskolbens 211, über den Kanal 255 des Hauptbremszylinders 201 (HZ), über die hydraulische Leitung 320 in Richtung Strömungs-Rückschlagventil 321 verschoben. Der definierte Wert des Motor- Stroms wird so groß gewählt, dass der Volumenstrom in Richtung Strömungs- Rückschlagventil 321 größer ist als der definierte Wert bei dem das Strömungs-Rückschlagventil 321 schließt. Damit schließt das Strömungs- Rückschlagventil 321. Der Druck in Primärkreis 233 wird über eine hydrauli- sehe Leitung 253 von einem Drucksensor 252 gemessen. Wenn die Dichtung 107a eine Undichtigkeit aufweist, dann muss die Druckversorgung 229 Bremsflüssigkeit nachschieben, um den Druck im Primärkreis 233 konstant zu halten. Eine Undichtigkeit der Dichtung 107a kann über die Notwendigkeit des Nachschiebens von Bremsflüssigkeit durch die Druckversorgung 229, um den Druck im Primärkreis 233 konstant zu halten, entdeckt werden.

Ebenso gilt, dass wenn die das Strömungs-Rückschlagventil 321 eine Undichtigkeit aufweist, dann muss die Druckversorgung 229 Bremsflüssigkeit nachschieben, um den Druck im Primärkreis 233 konstant zu halten. Eine Undich- tigkeit des Strömungs-Rückschlagventils 321 kann über die Notwendigkeit des Nachschiebens von Bremsflüssigkeit durch die Druckversorgung 229, um den Druck im Primärkreis 233 konstant zu halten, entdeckt werden.

Fig . 7 zeigt einen Hauptbremszylinder 401 (HZ) und einen Kolben- Wegsimulator 402 aus der Offenlegungsschrift DE 10 2013 216 477 AI . In dem Hauptbremszylinder 401 (HZ) befinden sich der Primärkolben 403 als

Stufenkolben und der Sekundärkolben 404. Der Primärkolben bildet eine Ringkammer 405 und eine Primärkammer 406 in dem Hauptbremszylinder 401 (HZ). Der Ringkammer 405 des Primärkolbens 403 ist über eine hydraulische Leitung 407 mit der Arbeitskammer 408 des Kolben-Wegsimulators 402 ver- bunden. Der Sekundärkolben 404 bildet eine Sekundärkammer 409 in dem

Hauptbremszylinder 401 (HZ). Auf die Beschreibung der Bremskraftverstärkerfunktion wird hier verzichtet. Diese Beschreibung ist in der Offenlegungsschrift DE 10 2013 216 477 AI enthalten.

Bei nicht betätigtem Bremspedal (nicht eingezeichnet) ist die Primärkammer 406 des Hauptbremszylinders 401 (HZ) über die Bohrung 410 mit der Ringkammer 405 des Hauptbremszylinders 401 (HZ) hydraulisch verbunden.

Wenn der Fahrer das Bremspedal betätigt (nicht eingezeichnet), dann wird der Pedalstößel 411 nach links verschoben. Mit der Verschiebung des Pedalstößels 411 nach links wird auch der Primärkolben 403 nach links verschoben. Mit der Verschiebung des Primärkolbens 403 wird die Verbindung zwischen der Primärkammer 406 des Hauptbremszylinders 401 (HZ) über die Bohrung 410 mit der Ringkammer 405 des Hauptbremszylinders 401 (HZ) durch die Dichtung 412 hydraulisch getrennt und wird Bremsflüssigkeit aus der Ringkammer 405 des Hauptbremszylinders 401 (HZ) über die hydraulische Leitung 407 in den Arbeitskammer 408 des Kolben-Wegsimulators 402 verschoben. Mit der Verschiebung von Bremsflüssigkeit in die Arbeitskammer 408 des Kolben- Wegsimulators 402 wird der Kolben 413 des Kolben-Wegsimulators 402 gegen eine Feder 414 nach rechts verschoben, wodurch die Feder 414 zusammengedrückt wird . Durch die Kraft der Feder 414 entsteht ein Druck in der Arbeitskammer 408 des Kolben-Wegsimulators, und damit auch ein Druck in der Ringkammer 405 des Hauptbremszylinders 401 (HZ). Dieser Druck in der Ringkammer 405 des Hauptbremszylinders 401 (HZ) erzeugt eine Gegenkraft am Bremspedal (nicht eingezeichnet) die der Fahrer bei der Betätigung des Bremspedals (nicht eingezeichnet) fühlt. Weiter wird dabei in der Verbindung der Ringkammer 405 des Hauptbremszylinders 401 (HZ) über den Kanal 415, über die hydraulische Leitung 416, über das Rückschlagventil 417, über die hydraulische Leitung 418 und über die hydraulische Leitung 419 zum Vorratsbehälter 131 (VB), das Rückschlagventil 417 geschlossen.

Im Normalfall ist bei Betätigung des Bremspedals (nicht eingezeichnet) durch den Fahrer die Primärkammer 406 der Hauptbremszylinders 401 (HZ) drucklos, was in Fig . 7 durch eine gestrichelte hydraulische Leitung 421 von dem Kanal 422 im Hauptbremszylinder 401 (HZ) über die hydraulischen Leitung 431 und 419 zum Vorratsbehälter 131 (VB) symbolisiert wird .

Im Normalfall ist bei Betätigung des Bremspedals (nicht eingezeichnet) durch den Fahrer die Sekundärkammer 409 des Hauptbremszylinders 401 (HZ) über den Kanal 423 mit der Druckversorgung (nicht eingezeichnet) verbunden, so dass der Druck in der Sekundärkammer 409 des Hauptbremszylinders 401

(HZ) dem Druck der Druckversorgung entspricht. Dadurch liegt der Sekundärkolben 404 im Normalfall bei Betätigung des Bremspedals (nicht eingezeichnet) durch den Fahrer an dem rechten Anschlag 404a im Hauptbremszylinder 401 (HZ) an. Dabei kann die Druckversorgung (nicht eingezeichnet) Brems- flüssigkeit über den Kanal 423, über die Bohrung 424, über die Sekundärkammer 409, über den Kanal 425, über die hydraulische Leitung 426, über das Rückschlagventil 427 und über die hydraulische Leitung 428 Bremsflüssigkeit aus dem Vorratsbehälter 131 (VB) ansaugen. Die Primärkammer 406 des Hauptbremszylinders 401 (HZ) ist durch die Dichtungen 429 und die redundante Dichtung 429a von der Sekundärkammer 409 des Hauptbremszylinders 401 (HZ) hydraulisch getrennt. Zwischen der Dichtung 429 und der redundanten Dichtung 429a befindet sich ein Kanal 430, der über die hydraulische Leitung 431 mit Drossel 432 und über die hydraulische Leitung 419 mit dem Vorratsbehälter 131 (VB) verbunden ist.

Durch die Verbindung des Kanals 430 im Hauptbremszylinder 401 (HZ) mit dem Vorratsbehälter 131 (VB) über die hydraulische Leitung 431 mit der Drossel 432, über die hydraulischen Leitungen 431 und 419 ist der Druck in Kanal 430 gleich dem Druck im Vorratsbehälter 131 (VB), wenn Höhenunterschiede zwischen dem Vorratsbehälter 131 (VB) und dem Kanal 430 vernachlässigt werden.

Wenn der Druck in der Primärkammer 406 des Hauptbremszylinders 401 (HZ) gleich groß ist, wie der Druck in dem Vorratsbehälter 131 (VB), dann wird bei intakter redundanter Dichtung 429a die Dichtung 429 nicht belastet, weil auch der Druck im Kanal 430 dem Druck im Vorratsbehälter 131 (VB) entspricht, auch nicht, wenn die Sekundärkammer 409 des Hauptbremszylinders 401 (HZ) unter Druck steht. Weiter werden bei intakter redundanter Dichtung 429a eventuelle Schmutzpartikel in der Sekundärkammer 409 des Hauptbremszy- linders 401 (HZ) von der redundanten Dichtung 429a zurückgehalten, so dass diese nicht in Kanal 430 vordringen, und nicht die Dichtung 429 beschädigen können. Bei intakter redundanter Dichtung 429a fällt die Dichtung 429 somit nicht aus.

Wird die redundante Dichtung 429a undicht, z. B. durch Verschleiß oder Schmutzpartikel, so kann Bremsflüssigkeit aus der Sekundärkammer 409 des Hauptbremszylinders 401 (HZ) durch Kanal 430, durch die hydraulische Leitungen 431 mit Drossel 432 und durch die hydraulische Leitung 419 zum Vorratsbehälter 131 (VB) abfließen. Dieser Abfluss von Bremsflüssigkeit kann durch die Druckversorgung (nicht eingezeichnet) kompensiert werden. Die Kompensation von Bremsflüssigkeit durch die Druckversorgung (nicht eingezeichnet) ist ein Indikator für die Undichtigkeit der redundanten Dichtung 429a und kann mittels des Motordrehwinkelsensors (nicht eingezeichnet) der Druckversorgung (nicht eingezeichnet) ermittelt werden.

Eine Undichtigkeit der redundanten Dichtung 429a kann somit während des Betriebs entdeckt werden, ohne dass der Betrieb durch diese Undichtigkeit gestört wird. Deshalb führt die Kombination von der redundanten Dichtung 429a, der Dichtung 429, dem Kanal 430, der hydraulischen Leitung 431 mit Drossel 432 und der hydraulischen Leitung 419 zum Vorratsbehälter 131 (VB) zu einer hydraulischen Trennung der Sekundärkammer 409 des HZ 401 von der Primärkammer 406 des HZ 401, die als Fail Operational bezeichnet werden kann.

Bei betätigtem Bremspedal (nicht eingezeichnet) schiebt der Primärkolben 403 nach links und die Bohrung 410 in dem Primärkolben 403 schiebt an der redundanten Dichtung 412a vorbei. Durch die redundante Dichtung 412a ist die Ringkammer 405 des Hauptbremszylinders 401 (HZ) von der Primärkammer 406 des Hauptbremszylinders 401 (HZ) hydraulisch getrennt.

Wird der Primärkolben 403 weiter nach links verschoben, dann wird die Bohrung 410 in dem Primärkolben 403 eventuell auch an die Dichtung 412 vorbei verschoben. Die Primärkammer 406 des Hauptbremszylinders 401 (HZ) ist dann durch die Dichtung 412 und die redundante Dichtung 412a von der Ring- kammer 405 des Hauptbremszylinders 401 (HZ) hydraulisch getrennt. Zwischen der Dichtung 412 und der redundanten Dichtung 412a befindet sich ein Kanal 433, der über die hydraulische Leitung 419 mit Drossel 434 mit dem Vorratsbehälter 131 (VB) verbunden ist. Durch die Verbindung des Kanals 433 mit dem Vorratsbehälter 131 (VB) über die hydraulische Leitung 419 ist der Druck in Kanal 433 gleich dem Druck im Vorratsbehälter 131 (VB), wenn Höhenunterschiede zwischen dem Vorratsbehälter 131 (VB) und dem Kanal 433 vernachlässigt werden.

Wenn der Druck in der Primärkammer 406 des Hauptbremszylinders 401 (HZ) gleich groß ist, wie der Druck in dem Vorratsbehälter 131 (VB), dann wird bei intakter redundanter Dichtung 412a die Dichtung 412 nicht belastet, auch nicht, wenn die Ringkammer 405 des Hauptbremszylinders 401 (HZ) unter Druck steht. Weiter werden bei intakter redundanter Dichtung 412a eventuelle Schmutzpartikel in der Ringkammer 405 des Hauptbremszylinders 401 (HZ) von der redundanten Dichtung 412a zurückgehalten, so dass diese nicht in Kanal 433 vordringen, und nicht die Dichtung 412 beschädigen können. Bei intakter redundanter Dichtung 412a fällt die Dichtung 412 somit nicht aus. Wird die redundante Dichtung 412a undicht, z. B. durch Verschleiß oder Schmutzpartikel, so kann Bremsflüssigkeit aus der Ringkammer 405 des Hauptbremszylinders 401 (HZ) durch Kanal 433, durch die hydraulische Leitungen 419 mit der Drossel 434 zum Vorratsbehälter 131 (VB) abfließen. Dieser Abfluss von Bremsflüssigkeit kann vom Fahrer, durch Reduzierung der Kraft auf das Bremspedal (nicht eingezeichnet), kompensiert werden. Das

Bremspedal fällt nicht durch. Die Kompensation der Bremskraft ist ein Indikator für die Undichtigkeit der redundanten Dichtung 412a, und kann mittels des Primärkolbenwegsensors (nicht eingezeichnet) und des Drucksensors des Kolben-Wegsimulators (nicht eingezeichnet) unter Verwendung der Druck- Volumencharakteristik des Kolben-Wegsimulators 402 ermittelt werden.

Eine Undichtigkeit der redundanten Dichtung 412a kann somit während des Betriebs entdeckt werden, ohne dass der Betrieb durch diese Undichtigkeit gestört wird. Deshalb führt die Kombination von der redundanten Dichtung 412a, der Dichtung 412, dem Kanal 433, der hydraulischen Leitung 419 mit der Drossel 434 zum Vorratsbehälter 131 (VB) zu einer hydraulischen Trennung der Ringkammer 405 des HZ 401 von der Primärkammer 406 des HZ 401, die als Fail Operational bezeichnet werden kann.

Die hydraulische Trennung der Ringkammer 405 des Hauptbremszylinders 401 (HZ) von dem geschützten Raum 435 des Pedalstößels 411 geschieht über die redundante Dichtung 436a und die Dichtung 436. Zwischen der redundanten Dichtung 436a und der Dichtung 436 befindet sich ein Kanal 437 in dem Primärkolben 403 mit einer Drossel 438. Der Druck in dem geschützten Raum 435 des Pedalstößels 411 gleicht dem atmosphärischen Druck.

Im Normalfall ist bei Betätigung des Bremspedals (nicht eingezeichnet) durch den Fahrer der Druck in der Ringkammer 405 des Hauptbremszylinders 401 (HZ) höher als der atmosphärische Druck in dem geschützten Raum 435 des Pedalstößels 411. Der Druck in dem Kanal 437 des Primärkolbens 403 gleicht auch dem atmosphärischen Druck. Dadurch wird die Dichtung 436 im Normalfall bei Betätigung des Bremspedals (nicht eingezeichnet) durch den Fahrer und bei intakter redundanter Dichtung 436a nicht belastet, auch nicht wenn die Ringkammer 405 des Hauptbremszylinders 401 (HZ) unter Druck steht. Weiter werden bei intakter redundanter Dichtung 436a eventuelle Schmutzpartikel in der Ringkammer 405 des Hauptbremszylinders 401 (HZ) von der redundanten Dichtung 436a zurückgehalten, so dass diese nicht in Kanal 437 vordringen, und nicht die Dichtung 436 beschädigen können. Bei intakter redundanter Dichtung 436a fällt die Dichtung 436 somit nicht aus. Wird die redundante Dichtung 436a undicht, z. B. durch Verschleiß oder Schmutzpartikel, so kann Bremsflüssigkeit aus der Ringkammer 405 des Hauptbremszylinders 401 durch Kanal 437 mit der Drossel 438 in dem geschützten Raum 435 des Pedalstößels 411 abfließen. Dieser Abfluss von Bremsflüssigkeit kann vom Fahrer, durch Reduzierung der Kraft auf das Bremspedal (nicht eingezeichnet), kompensiert werden. Das Bremspedal fällt nicht durch. Die Kompensation der Bremspedalkraft ist ein Indikator für die Undichtigkeit der redundanten Dichtung 436a, und kann mittels des Primärkolbenwegsensors (nicht eingezeichnet) und des Drucksensors des Kolben- Wegsimulators 402 (nicht eingezeichnet) unter Verwendung der Druck- Volumencharakteristik des Kolben-Wegsimulators 402 ermittelt werden.

Eine Undichtigkeit der redundanten Dichtung 436a kann somit während des Betriebs entdeckt werden, ohne dass der Betrieb durch diese Undichtigkeit gestört wird. Deshalb führt die Kombination von der redundanten Dichtung 436a, der Dichtung 436, dem Kanal 437 mit der Drossel 438 zum geschützten Raum 435 des Pedalstößels 411 zu einer hydraulischen Trennung der Ringkammer 405 des HZ 401 von dem geschützten Raum 435 des Pedalstößels 411, die als Fail Operational bezeichnet werden kann.

Die hydraulische Trennung der Arbeitskammer 408 des Kolben-Wegsimulators 402 von dem mit Luft gefülltem Federraum 439 des Kolben-Wegsimulators 402 geschieht über die redundante Dichtung 440a und die Dichtung 440. Zwischen der redundanten Dichtung 440a und der Dichtung 440 befindet sich ein Kanal 441 in dem Kolben-Wegsimulator 402 der über eine hydraulische Lei- tung 442 mit der Drossel 443, über die hydraulische Leitung 418 und über die hydraulische Leitung 419 mit dem Vorratsbehälter 131 (VB) in Verbindung steht. Der Druck in dem Kanal 441 des Kolben-Wegsimulators gleicht dem Druck im Vorratsbehälter 131 (VB), wenn Höhenunterschiede zwischen dem Vorratsbehälter 131 (VB) und dem Kanal 441 vernachlässigt werden, wobei im Vorratsbehälter 131 (VB) atmosphärischer Druck herrscht.

Im Normalfall ist bei Betätigung des Bremspedals (nicht eingezeichnet) durch den Fahrer der Druck in der Ringkammer 405 des Hauptbremszylinders 401 (HZ), und damit der Druck in der Arbeitskammer 408 des Kolben- Wegsimulators 402 höher als der atmosphärische Druck in dem Federraum 439 des Kolben-Wegsimulators 402. Der Druck in dem Kanal 441 des Kolben- Wegsimulators 402 gleicht auch dem atmosphärischen Druck. Dadurch wird die Dichtung 440 im Normalfall bei Betätigung des Bremspedals (nicht eingezeichnet) durch den Fahrer und bei intakter redundanter Dichtung 440a nicht belastet, auch nicht, wenn der Arbeitsraum 405 des Kolben-Wegsimulators 402 unter Druck steht. Weiter werden bei intakter redundanter Dichtung 440a eventuelle Schmutzpartikel in dem Arbeitskammer 408 des Kolben- Wegsimulators 402 von der redundanten Dichtung 440a zurückgehalten, so dass diese nicht in Kanal 441 vordringen, und nicht die Dichtung 440 beschä- digen können. Bei intakter redundanter Dichtung 440a fällt die Dichtung 440 somit nicht aus.

Wird die redundante Dichtung 440a undicht, z. B. durch Verschleiß oder Schmutzpartikel, so kann Bremsflüssigkeit aus der Arbeitskammer 408 des Kolbenwegsimulators 402 durch Kanal 441, durch die hydraulische Leitung 442 mit Drossel 443, durch die hydraulische Leitung 418 und durch die hydraulische Leitung 419 zum Vorratsbehälter 131 (VB) abfließen. Dieser Abfluss von Bremsflüssigkeit kann vom Fahrer, durch Reduzierung der Kraft auf das Bremspedal (nicht eingezeichnet), kompensiert werden. Das Bremspedal (nicht eingezeichnet) fällt nicht durch. Die Kompensation der Kraft auf das Bremspedal (nicht eingezeichnet) ist ein Indikator für die Undichtigkeit der redundanten Dichtung 440a, und kann mittels des Primärkolbenwegsensors (nicht eingezeichnet) und des Drucksensors des Kolben-Wegsimulators 402 (nicht eingezeichnet) unter Verwendung der Druck-Volumencharakteristik des Kolben-Wegsimulators 402 ermittelt werden.

Eine Undichtigkeit der redundanten Dichtung 440a kann somit während des Betriebs entdeckt werden, ohne dass der Betrieb durch diese Undichtigkeit gestört wird. Deshalb führt die Kombination von der redundanten Dichtung 440a, der Dichtung 440, dem Kanal 441, der hydraulischen Leitung 442 mit der Drossel 443, der hydraulischen Leitung 418 und der hydraulischen Leitung 419 zum Vorratsbehälter 131 (VB) zu einer hydraulischen Trennung der Arbeitskammer 408 des Kolben-Wegsimulators 402 von dem Federraum 439 des Kolben-Wegsimulators 402, die als Fail Operational bezeichnet werden kann.

Die redundante Dichtung 446a, der Kanal 447 und die hydraulische Leitung 449 mit der Drossel 448 sind für die mechanische Rückfallebene vorgesehen, z. B. bei Ausfall des gesamten Bordnetzes. Bei betätigtem Bremspedal (nicht eingezeichnet) schiebt der Primärkolben 403 nach links und die Bohrung 410 in dem Primärkolben 403 schiebt an der redundanten Dichtung 412a vorbei. Durch die redundante Dichtung 412a ist die Ringkammer 405 des Hauptbremszylinders 401 (HZ) von der Primärkammer 406 des Hauptbremszylinders 401 (HZ) hydraulisch getrennt.

Wird der Primärkolben 403 weiter nach links verschoben, dann wird die Boh- rung 410 in dem Primärkolben 403 eventuell auch an die Dichtung 412 vorbei verschoben. Die Primärkammer 406 des Hauptbremszylinders 401 (HZ) ist dann durch die Dichtung 412 und die redundante Dichtung 412a von der Ringkammer 405 des Hauptbremszylinders 401 (HZ) hydraulisch getrennt. In der mechanischen Rückfallebene ist die Ringkammer 405 über hydraulische Lei- tungen und ein Magnetventil (nicht eingezeichnet) direkt mit dem Vorratsbehälter 131 (VB) verbunden, so dass der Druck in der Ringkammer 405 durch die Betätigung des Bremspedals (nicht eingezeichnet) nicht zunimmt. Dagegen wird in der mechanischen Rückfallebene die hydraulische Leitung 421 durch ein Magnetventil (nicht eingezeichnet) gesperrt, so dass bei Betätigung des Bremspedals (nicht eingezeichnet) der Druck in der Primärkammer 406 zunimmt. In der mechanischen Rückfallebene ist die Druckversorgung (nicht eingezeichnet) nicht in Betrieb, so dass der Druck in Kanal 423, und damit der Druck in der Sekundärkammer 409 des Hauptbremszylinders 401 (HZ), nicht von der Druckversorgung (nicht eingezeichnet) beeinflusst wird . Mit der Zunahme des Drucks in der Primärkammer 406 verschiebt sich der Sekundärkolben 404 nach links. Wenn bei dieser Verschiebung des Sekundärkolbens 404 die Bohrung 424 des Sekundärkolbens 404 an der redundanten Dichtung 446a vorbei verschoben ist, dann ist die Sekundärkammer 409 hydraulisch getrennt von dem Kanal 447, der über die hydraulische Leitung 449 mit Drossel 448, über die hydraulische Leitung 431und über die hydraulische Leitung 419 mit dem Vorratsbehälter 131 (VB) in Verbindung steht. Durch diese hydraulische Trennung können, bei weiterer Verschiebung des Sekundärkolbens 404, der Druck in der Sekundärkammer, und damit auch der Druck in dem Kanal 444 zunehmen. Wird die Dichtung 412 undicht, z. B. durch Verschleiß oder Schmutzpartikel, so kann Bremsflüssigkeit aus der Primärkammer 406 des Hauptbremszylinders 401 (HZ) durch den Kanal 433, durch die hydraulische Leitung 419 mit der Drossel 434 zum Vorratsbehälter 131 (VB) abfließen. Dieser Abfluss von Bremsflüssigkeit kann vom Fahrer, durch Erhöhung der Verschiebung des Bremspedals (nicht eingezeichnet), kompensiert werden. Das Bremspedal fällt nicht durch. Durch eine Undichtigkeit der Dichtung 412 wird der Betrieb in der mechanischen Rückfallebene durch diese Undichtigkeit nicht gestört. Deshalb führt die Kombination von der redundanten Dichtung 412a, der Dichtung 412, dem Kanal 433, der hydraulischen Leitung 419 mit der Drossel 434 zum Vor- ratsbehälter 131 (VB) zu einer hydraulischen Trennung der Primärkammer 404 des HZ 401 von dem Vorratsbehälter 131 (VB), die in der mechanischen Rückfallebene als Fail Operational bezeichnet werden kann.

Wird die redundante Dichtung 446a undicht, z. B. durch Verschleiß oder Schmutzpartikel, so kann Bremsflüssigkeit aus der Sekundärkammer 409 des Hauptbremszylinders 401 (HZ) durch Kanal 447, durch die hydraulische Leitung 449 mit der Drossel 448, durch die hydraulischen Leitungen 431 und 419 zum Vorratsbehälter 131 (VB) abfließen. Dieser Abfluss von Bremsflüssigkeit kann vom Fahrer, durch Erhöhung der Verschiebung des Bremspedals (nicht eingezeichnet), kompensiert werden. Das Bremspedal fällt nicht durch. Durch eine Undichtigkeit der redundanten Dichtung 446a wird der Betrieb in der mechanischen Rückfallebene durch diese Undichtigkeit nicht gestört. Deshalb führt die Kombination von der redundanten Dichtung 446a, der Dichtung 446, dem Kanal 447, der hydraulischen Leitung 449 mit der Drossel 448, der hydraulischen Leitung 431und der hydraulischen Leitung 419 zum Vorratsbehälter 131 (VB) zu einer hydraulischen Trennung der Sekundärkammer 409 des HZ

401 von dem Vorratsbehälter 131 (VB), die in der mechanischen Rückfallebene als Fail Operational bezeichnet werden kann. Ähnlich wie bereits bei Fig . 4 beschrieben, werden bei dem Bremssystem von Fig . 7 in einem Steuergerät (nicht eingezeichnet) alle Steuerungs- und Auswertesignale verarbeitet. An dieser Stelle werden deshalb nur die Besonderheiten des Bremssystems von Fig . 7 verglichen mit dem Bremssystem von Fig . 4 beschrieben. Die Diagnose der Dichtungsausfälle der redundanten Dichtung 412a der Primärkammer 406, der redundanten Dichtung 436a der Ringkammer 405 und der redundanten Dichtung 440a der Arbeitskammer 408 des Kolben-Wegsimulators 402, die zu einem Leckstrom führen, findet über Plau- sibilitätsbetrachtungen der redundanten Sensorsignale des Primärkolbenwegs (nicht eingezeichnet) mit dem Signal des Drucksensors (nicht eingezeichnet) für den Druck in der Arbeitskammer 408 des Kolben-Wegsimulators 402 unter Berücksichtigung der Druck-Volumencharakteristik des Kolben-Wegsimulators

402 statt. Eine weitere Möglichkeit zur Erkennung der Undichtigkeit einer Dichtung, die zu einem Leckstrom führt, besteht darin, die Druck- Volumencharakteristik des Bremssystems mit der Volumenverschiebung der Druckversorgung (nicht eingezeichnet) und dem Signal des redundanten Bremsdrucksensors (nicht eingezeichnet) im Bremskreis 444 zu korrelieren. Bei dem Bremssystem von Fig . 7 fließt der Leckstrom durch jede Dichtung zurück in den Vorratsbehälter 131 (VB), außer bei der redundanten Dichtung 436a der Ringkammer 405 des Hauptbremszylinders 401 (HZ). Wenn der Leckstrom nicht in den Vorratsbehälter 131 (VB) zurückfließt, dann ist eine Diagnose der Dichtigkeit durch Korrelation des Leckverlusts mit dem Signal eines redundanten Niveaugebers 151 in dem Vorratsbehälter 131 (VB), der vorzugsweise linear ist, möglich. Fig . 8 beschreibt, wie bei einer Bremsung mit anschließendem Fahrzeug-Stopp der Restdruck im System am Ende eines Bremsvorgangs bei entsprechender Ventilschaltung„zu - auf - zu" für die Diagnose der Dichtheit verwendet wird . Ausgangspunkt ist die Annahme, dass Komponenten die in der Diagnose am Ende eines Bremsvorgangs auf korrekte Funktion geprüft wurden, unter bestimmten Bedingungen bei dem darauffolgenden Bremsvorgang noch korrekt funktionieren. Damit wird ein separater Pre-Drive-Check (PDC), der die Belastungszyklen insbesondere der Dichtungen erhöht, vermieden.

Die Diagnose wird nun anhand vom Bremssystem von Fig . 5 beschrieben. In Fig . 8 ist der Bremsdruck P in Primärkreis 233, gemessen von dem Drucksensors 252, in Abhängigkeit der Betätigung de Bremspedals 101 exemplarisch als durchgezogene oder gestrichelte Kurve über die Zeit t angegeben. Darunter ist das Signal des Trennventils 216 (FV) angegeben, wobei das Trennventil 216 (FV) geschlossen ist, wenn das Signal 1 ist, und das Trenn- ventil 216 (FV) geöffnet ist, wenn das Signal 0 ist. Unterhalb des Signals des Trennventils 216 (FV) ist das Signal der Fahrertür angegeben, wobei die Fahrertür geschlossen ist, wenn das Signal 1 ist, und die Fahrertür geöffnet ist, wenn das Signal 0 ist. Unterhalb des Signals der Fahrertür ist das Signal der Einlassventile EV der Radbremsen (nicht eingezeichnet) angegeben, wobei die Einlassventile EV der Radbremsen geschlossen sind, wenn das Signal 1 ist, und die Einlassventile EV der Radbremsen geöffnet sind, wenn das Signal 0 ist.

Zum Zeitpunkt t=0 wird der Bremsvorgang bis zum Fahrzeug-Stopp eingeleitet. Das Trennventil 216 (FV) ist geschlossen und die Fahrertür ist geschlossen. Die Einlassventile EV der Radbremsen (nicht eingezeichnet) sind offen. Zum Zeitpunkt t=tl wird der Druck P in dem Primärkreis 233 konstant gehalten und ab Zeitpunkt t=t2 wird der Bremsdruck im Bremskreis reduziert, weil der Fahrzeug-Stopp erreicht oder fast erreicht ist und der Bremsvorgang beendet wird . Für die Diagnose wird im Zeitbereich t=t3 bis t=t7 die Position des Kolbens der Druckversorgung 229 konstant gehalten. Wenn keine Undichtig- keit einer Dichtung vorliegt, dann bleibt der Druck P in Primärkreis 233 im Zeit-Bereich D, von t=t3 bis t=t6, konstant (durchgezogene Druck-Linie).

Wenn der Druck P im Primärkreis 233 in dem Zeitbereich von t=t3 bis t=t4 geringer wird (strichpunktierte Druck-Kurve), dann liegt eine Undichtigkeit ei- ner Dichtung, z. B. Dichtung 241, vor. Werden bei Undichtigkeit einer Dichtung zum Zeitpunkt t=t4 die Einlassventile EV der Radbremsen (nicht eingezeichnet) bis t=t5 geschlossen, und bleibt der Druck P im Primärkreis 233 in dem Zeit-Bereich von t=t4 bis t=t5 konstant, dann liegt eine Undichtigkeit an einer Dichtung oder an mehreren Dichtungen der Radbremsen (nicht eingezeichnet) vor (gestrichelte Druck-Linie). Andernfalls liegt eine Undichtigkeit an den Dichtungen im Bremssystem, z. B. Dichtung 241, vor. Wird im Zeitbereich t=t6 bis t=t7 das Trennventil 216 (FV) geöffnet, dann fließt, bei unbetätigtem Bremspedal 101, Bremsflüssigkeit aus den Radbremsen (nicht eingezeichnet) durch die geöffneten Einlassventilen der Radbremsen (nicht eingezeichnet) durch den Primärkreis 233, durch die hydraulische Leitung 250, durch das geöffnete Trennventil 216 (FV), durch die hydraulische Leitung 249, durch den Kanal 248, durch die Hilfskolbenkammer 204, durch die Hilfskolbenbohrung 214, durch den Kanal 255, durch die hydraulische Leitung 129, durch das geöffnete Diagnoseventil 218 und durch die hydraulische Leitung 129a zurück in den

Vorratsbehälter 131 (VB), wodurch der Bremsdruck P in Primärkreis 233 reduziert wird . Wenn das Trennventil 216 (FV) wieder geschlossen wird, und der Druck P in Primärkreis 233 konstant bleibt, dann ist das Trennventil 216 (FV) dicht. Andernfalls, wenn der Druck P in Primärkreis 233 weiter abfällt, ist das Trennventil 16 (FV) undicht. Zum Zeitpunkt t=t8 wird die Fahrertür geöffnet und der Diagnosevorgang wird abgebrochen. Nach dem Schließen der Fahrertür zum Zeitpunkt t=t9 kann der Diagnosevorgang beim nächsten Fahrzeug- Stopp zum Zeitpunkt t=tlO wiederholt werden.

Wenn im Zeitabschnitt von t=t4 bis t=t5 entdeckt wird, dass die Undichtigkeit den Radbremsen (nicht eingezeichnet) zuzuordnen ist, dann kann sukzessive das EV einer Radbremse nacheinander kurz geöffnet werden. Fällt dabei der Druck P wieder ab, dann weist diese Radbremse die Undichtigkeit auf, und diese Radbremse kann dann bei dem nächsten Bremsvorgang von der Bremsung ausgeschlossen werden, indem das EV dieser Radbremse während dem Bremsvorgang geschlossen bleibt.

Die Funktionen des Trennventils 216 (FV) Öffnen/Schließen und die Dichtheit sind wichtig für die Sicherheitskategorie„Fail Operational", da im Fehlerfall gegebenenfalls keine Bremskraftverstärkerfunktion (BKV) möglich ist. Daher ist die beschriebene Diagnose von großer Bedeutung . Es ist somit sichergestellt, dass nach der Diagnose kein Volumendurchfluss durch das Ventil FV erfolgt. Um dies sicherzustellen sind folgende Schaltungen des Trennventils 216 (FV) möglich : · FV-Ausschaltung (öffnen) nach der Diagnose: o Bei Zündung aus o Bei Zündung aus und Fahrertür zu o Bei Zündung aus mit Zeitabschaltung nach Zündung ein • FV Einschaltung (schließen) : o Bei Öffnung Fahrzeugtür o Bei Zündung ein o Bei Vorkontakt am Bremspedal, so dass FV schließt bevor über den Kolben des Hauptbremszylinders (HZ) Volumen bewegt wird

Fig . 9a zeigt ein komplettes Bremssystem als eine Erweiterung des Teil- Bremssystems von Fig . 5. Die Erweiterungen betreffen hauptsächlich die Redundanz und werden nun beschrieben.

Die Druckversorgung 500 (DV) ist zweikreisig, z. B. nach dem Prinzip des Doppelhubkolbens DHK (Fig . 3), und versorgt über die Ringkammer (87, Fig . 3), über die hydraulische Leitung 501 den Primärkreis 502 und über die Kammer (86, Fig . 3), über die hydraulische Leitung 503 den Sekundärkreis 504 mit

Bremsflüssigkeit. Weiter ist die Ringkammer (87, Fig . 3) über die hydraulische Leitung 505, mit Saugventil 506 mit der Kammer 507 (VB1) des Vorratsbehälters 508 verbunden. Die Kammer (86, Fig . 3) ist über die hydraulische Leitung 509, mit Saugventil 510 mit der Kammer 511 (VB2) des Vorratsbehälters 508 verbunden. Auf dieser Weise bleiben der Primärkreis 502 und der Sekundärkreis 504 hydraulisch getrennt. Somit führt eine Undichtigkeit im Primärkreis 502 zum Ausfall des Primärkreises 502 aber nicht zum Ausfall des Sekundär- kreises 504. Umgekehrt, führt eine Undichtigkeit im Sekundärkreis 504 zum Ausfall des Sekundärkreises 504 aber nicht zum Ausfall des Primärkreises 502.

Die hydraulische Leitungen 501, 505, bzw. 503 und 509 können noch Magnetventile enthalten (nicht eingezeichnet) um einen Druckaufbau und einen Druckabbau in den Primärkreis 502 bzw. in den Sekundärkreis 504 zu ermöglichen. Fällt die Kammer (86, Fig . 5) des Doppelhubkolbens (87, Fig . 3) aus, dann fallen der Druckaufbau und der Druckabbau in dem Sekundärkreis 504 über die hydraulische Leitung 503 aus. Der Druckaufbau und der Druckabbau in dem Primärkreis 502 über die hydraulische Leitung 503 sind noch möglich. In ähnlicher Weise, wenn die Ringkammer (87, Fig . 5) des Doppelhubkolbens (Fig . 3) ausfällt, dann fällt der Druckaufbau und der Druckabbau in dem Primärkreis 502 über die hydraulische Leitung 501 aus. Der Druckaufbau und der Druckabbau in dem Sekundärkreis 504 über die hydraulische Leitung 503 sind noch möglich. Somit führt ein Einzelfehler in der Druckversorgung 500 (DV) nicht zu einem Ausfall der Druckversorgung 500 (DV).

Der Motor 512 enthält zwei dreiphasige Wicklungen mit zweimal dreiphasiger Ansteuerung . Fällt eine dreiphasige Wicklung aus, dann ist der Betrieb des Motors 512 immer noch möglich. Weiter enthält der Motor noch einen redundanten, vorzugsweise eigensicheren, Ankerwinkelsensor 513, so dass bei Ausfall eines Ankerwinkelsensors 513 der Betrieb des Motors 512 noch aufrechterhalten bleibt.

Die Bremskreisaufteilung ist in Fig . 9a diagonal gezeigt. Zum Beispiel befindet sich beim PKW die Radbremse 514 an dem Rad vorne links und die Radbremse 515 am Rad hinten rechts. In diesem Beispiel befindet sich dann die Radbrem- se 516 an dem Rad vorne rechts und die Radbremse 517 am Rad hinten links.

Die Ventilanordnung für die Radbremsen 514, 515, 516, 517 ist für den sogenannten Multiplex Betrieb bei ABS vorgesehen. Zum Beispiel, wenn während dem ABS-Betrieb der Druck an der Radbremse 514 reduziert werden muss, dann werden die Ventile 519, 520, 521 geschlossen und das Ventil 518 geöff- net. Der Druckabbau an der Radbremse 514 findet dann über die Kolbenbewegung (71, Fig . 3) der Druckversorgung 500 (DV) statt. Während des Druckabbaus an der Radbremse 514 bleibt der Druck an den Radbremsen 515, 516, 517 konstant (Druck Halten). Alternativ kann an der Radbremse 514 der Druck auch über das Auslass-Ventil 522 und über die hydraulische Leitung 523 zur Kammer 511 (VB2) des Vorratsbehälters 508 reduziert werden. Dies geschieht vorzugsweise, wenn während des Druckaufbaus an einer Radbremse, z. B. 515 oder 516 oder 517, der Druck im Multiplex-Betrieb aufgebaut wird, während der Druck an der Radbremse 514 abgebaut werden muss.

Die Radbremse 516 ist über die hydraulische Leitung 524, über das Ventil 521, über die hydraulische Leitung 525, über das redundante Ventil 521a, über die hydraulische Leitung 526 und über die hydraulische Leitung 501 mit dem Pri- märkreis 502 verbunden. Für die ABS-Funktion reicht es aus, dass bei der Anforderung des ABS-Reglers zum„Druck-Halten" an der Radbremse 516, z. B. bei ABS, das Ventil 521 schließt. Bei Undichtigkeit des Ventils 521 wird bei der Anforderung des ABS-Reglers zum„Druck-Halten" in der Radbremse 516 durch Schließung des redundanten Ventils 521a umgesetzt. Somit wird ge- währleistet, dass bei Undichtigkeit des Ventils 521, die Querstabilität des Fahrzeugs am Rad 516 sichergestellt ist. Die Undichtigkeit des Ventils 521 und des redundanten Ventils 521a kann in der Diagnose geprüft werden, wie bereits anhand von Fig . 5 für die Ventile 216 und 216a erklärt wurde. Andererseits kann bei Undichtigkeit der Radbremse 516, Verlust von Bremsflüssigkeit sicher verhindert werden, durch Schließung des Ventils 521 und des redundanten Ventils 521a.

Eine ähnliche Ventilanordnung wie an der Radbremse 516 ist an der Radbremse 515 vorgesehen. Damit gelten dann dieselben Vorteile wie an dem Rad der Radbremse 516 für das Rad der Radbremse 515 : Gewährleistung, dass bei Undichtigkeit des Ventils 519, die Querstabilität des Fahrzeugs am Rad 516 sichergestellt ist, und Sicherstellung, dass bei Undichtigkeit der Radbremse 515, der Verlust von Bremsflüssigkeit verhindert wird, durch Schließung des Ventils 519 und des redundanten Ventils 519a.

Der Vorratsbehälter 508 ist um eine dritte Kammer 527 (VB3) erweitert. Leck- flüsse durch die Drossel 528 und 529 die während der Bremsung oder während der Diagnose durch Undichtigkeiten an den Dichtungen des Hauptbremszylinders 201 auftreten können, erhöhen das Niveau der Bremsflüssigkeit in der dritten Kammer 527 (VB3) und reduzieren das Niveau der Bremsflüssigkeit in den Kammern 507 (VB1) und 511 (VB2) des Vorratsbehälters 508. Über den Niveausensor 530 in der dritten Kammer 527 (VB3) und über den redundanten Niveausensor 151 der Kammer 507 (VB1) und der Kammer 511 (VB2) des Vorratsbehälters 508 können diese Niveauänderung in der dritten Kammer 527 (VB3) und in der Kammer 507 (VB1) und in der Kammer 511 (VB2) des Vorratsbehälters 508 entdeckt werden. Somit ergibt sich eine weitere Möglichkeit, Undichtigkeiten an den Dichtungen des Hauptbremszylinders 201 (HZ) zu entdecken. Leckflüsse durch die Drossel 142 des Wegsimulatorkolbens 117 und durch die Drossel im Kolben der Druckversorgung (siehe Drossel 82 in Fig . 3) werden nicht in den Vorratsbehälter 508 zurückgeleitet. Treten solche Leckflüsse auf, dann ist das Niveau der Bremsflüssigkeit in der Kammer 507 (VB1) und in der Kammer 511 (VB2) des Vorratsbehälters 508 nach der Bremsung geringer als vor der Bremsung . Über den redundanten Niveausensor 151 kann diese Niveauänderung in den Kammern 507 (VB1) und 511 (VB2) des Vorratsbehälters 508 entdeckt werden. Somit ergibt sich eine weitere Möglichkeit, Undichtigkeiten an den Dichtungen des Wegsimulatorkolbens 117 und des Doppelhubkolbens (71, Fig . 3) sowohl nach einer Bremsung als auch nach der Diag- nose zu entdecken.

Das Steuergerät 531 (ECU) zeigt die Ein- und Ausgangssignale der Sensoren, z. B. des redundanten Niveausensors 151, des Motors 512 und der Ventile, z. B. Magnetventil 518, und eventuelle weitere Ein- und Ausgangssignale X als Reserve. Weiter zeigt das Steuergerät 531 (ECU) eine dreifache Redundanz bei den elektrischen Speichern 532 (U l), 533 (U2) und 534 (U3). Der Ausfall eines elektrischen Speichers, z. B. 532 (U l), wird über die sogenannte„zwei aus drei" Regel, die aus der Flugzeugindustrie bekannt ist, gehandhabt. Dabei werden die Spannungen der elektrischen Speicher 532 (U l), 533 (U2) und 534 (U3) mit einander verglichen. Wenn zwei elektrische Speicher die gleiche Spannung zeigen, z. B. 533 (U2) und 533 (U3), während der elektrische Speicher 532 (U l) eine andere Spannung zeigt, dann wird der elektrische Speicher 532 (U l) als fehlerhaft erkannt und von der Spannungsversorgung ausgeschlossen. Die Spannungsversorgung des Steuergeräts 531 (ECU) findet dann nur über die elektrischen Speicher 533 (U2) und 534 (U3) statt. Eine genauere Beschreibung der Steuergerätefunktionen kann bei der Beschreibung von Fig . 9d gefunden werden.

Fig . 9b zeigt eine Ausführungsform einer Drossel, z. B. Drossel 528 in Fig . 9a. Die Drossel besteht aus einer Lochplatte 535 in der hydraulischen Leitung, z. B. 536, zum Vorratsbehälter 508. Die Lochplatte 535 weist mindestens zwei Löcher 537 und 537a auf, wobei jedes Loch 537 und 537a eine Drossel bildet, die von dem Leckfluss in der hydraulischen Leitung 536 durchströmt werden. Wenn das Loch 537 durch Schmutzpartikel verstopft ist, dann kann der Leck- fluss durch die hydraulische Leitung 536 immer noch durch mindesten ein Loch 537a fließen. Die Drossel 528 ist deshalb redundant. Zur Vermeidung, dass Schmutz zur Lochplatte gerät, ist noch ein Filtersieb 538 vor der Lochplatte, in Strömungsrichtung, eingebaut. Während der Bremsung und auch während der Diagnose kann eine Undichtigkeit der Dichtungen im Haupt- bremszylinder 201 (HZ) auch bei Verstopfung eines Loches, z. B. 537, entdeckt werden.

Fig . 9c zeigt ein komplettes Bremssystem als eine Erweiterung des Bremssystems von Fig . 9a. Die Erweiterung betrifft hauptsächlich die Redundanz der Druckversorgung mit Antrieb, und wird nun beschrieben. Die Ringkammer (87, Fig . 3) der zweikreisigen Druckversorgung 500 (DV1) ist nun über die hydraulische Leitung 501, über das Trennventil 601 und über die hydraulische Leitung 602 mit dem Primärkreis 502 verbunden. Die Kammer (86, Fig . 3) der zweikreisigen Druckversorgung 500 (DV1) ist nun über die hydraulische Leitung 503, über das Trennventil 603 und über die hydraulische Leitung 604 mit dem Sekundärkreis 504 verbunden. Das Ventil 612 ist parallel zum Saugventil 506 geschaltet. Damit kann der Druck im Primärkreis 502 über die hydraulische Leitung 602, über das Trennventil 601 und über die hydraulische Leitung 501 und über das Ventil 612 schnell zur Kammer VB2 des Vorratsbehälters 508 abgebaut werden. Ebenso ist das Ventil 613 parallel zum Saugventil 510 geschaltet. Damit kann der Druck im Sekundärkreis 504 über die hydraulische Leitung 604, über das Trennventil 603 und über die hydrauli- sehe Leitung 503 und über das Ventil 613 schnell zur Kammer VB1 des Vorratsbehälters 508 abgebaut werden.

Ähnlich wie bei der Druckversorgung 500 (DV1) ist bei der redundanten Druckversorgung 605 (DV2) die Ringkammer (87, Fig . 3) der zweikreisigen Druckversorgung 605 (DV2) über die hydraulische Leitung 606, über das Trennventil 607, über die hydraulische Leitung 608 und über die hydraulische Leitung 602 mit dem Primärkreis 502 verbunden. Die Kammer (86, Fig . 3) der zweikreisigen Druckversorgung 605 (DV2) ist nun über die hydraulische Leitung 609, über das Trennventil 610, über die hydraulische Leitung 611 und über die hydraulische Leitung 604 mit dem Sekundärkreis 504 verbunden.

Bei intakter Druckversorgung 500 (DV1) erfolgen die Bremkraftverstärkung und die ABS-Druckmodulation über die Druckversorgung 500 (DV1). Bei Ausfall der Druckversorgung 500 (DV1), z. B. durch einen Fehler im Antrieb des Doppelhubkolbens (71, Fig . 3), werden die Trennventile 601 und 603 ge- schlössen und der Betrieb der Druckversorgung 500 (DV1) abgeschaltet. Die Trennventile 607 und 610 werde geöffnet und der Betrieb des Bremssystems von der Druckversorgung 605 (DV2) übernommen. Auf dieser Weise ist ein Fail Operational Betrieb des Bremssystems gewährleistet, auch bei Ausfall der Druckversorgung 500 (DV1). Fig . 9d zeigt das Basiskonzept eines redundanten Steuergeräts (ECU) für die Bremssysteme von Fig . 9a und Fig . 9c. Die Spannungsversorgung 700 erfolgt redundant aus den redundanten elektrischen Speichern U l, U2 und fallweise zusätzlich aus U3, vergleichbar mit der Flugzeugtechnik mit der sogenannten „2 aus 3" Auswahl, wie bei Fig . 9a beschrieben. Diese Spannungsversorgung 700 versorgt die Computer 701 (CP1 bis CP3). Die Ausgangssignale der Computer CP1 und CP2 wirken auf die Ansteuerung 702 von z. B. Motor und Ventilen, mit den entsprechenden Endstufen 703. Hier besteht bei der Ansteuerung die Möglichkeit, die Motoren und Ventile zweifach redundant oder dreifach redundant anzusteuern. Dies bedeutet jedoch viel Aufwand, z. B. müssten bei ESP 12 zusätzliche Ventilansteuerungen installiert werden. Hier ist eine smarte Redundanz möglich, in dem wie in Fig . 9a gezeigt, nur ausgewählte Ventile mit redundanter Ansteuerung ausgeführt werden. Es ist üblich bei ESP, die An- Steuerung permanent zu überwachen, über die Leitungen 704 zum Computer CP1 und zum Computer CP2. Es kann auch nur die Ansteuerung mit den Computern CP1, CP2 und CP3 redundant gestaltet werden. Z.B. ist es bekannt, einen BLCD-Motor anstelle dreiphasig mit zweimal dreiphasig anzusteuern, in der Annahme, dass die Motorlagerung und der Antrieb ausfallsicher sind .

Es wirken auf die ECU Sensorsignale 705 welche über den Input/Output 706 (I/O) zu den Computern CP1, CP2 und CP3 geleitet werden. Bei einem voll redundanten Bremssystem nach Fig . 9c, vorzugsweise für voll autonomes Fahren AD (Stufe 5 des automatisierten Fahrens), ist es auch denkbar, das

Bremssystem ohne Tandem Hauptbremszylinder THZ (nicht eingezeichnet) zu gestalten. Hier kann der THZ durch ein„Brake und Go"-Signal 707 ersetzt werden, welches in der Zentral-ECU vom AD generiert wird .

Für die gesamten Rechenfunktionen für die Verarbeitung der Eingangssignale, z. B. von den Sensoren 705 über den entsprechenden ersten I/O 706a und zweiten I/O 706b, sind eine oder mehrere leistungsfähige Computer CPU, z.B. Mikrokontroller, eingesetzt, welche die Stellglieder, z. B. Motoren und Ventile, über die entsprechende integrierte oder getrennte Ansteuerung 702 mit Endstufen 703 ansteuern. Die Bezeichnungen 702 und 703 sind nur auf ein Symbol bezogen, gelten jedoch auch für die benachbarten Symbole. Die Computer CP1, CP2 und CP3 können redundant aufgebaut werden, z. B. zweifach redundant als CP1 und CP2 oder dreifach redundant als CP1 und CP2 und CP3. Wegen des Aufwands kann alternativ der Computer CP2 für reduzierte Funktionen und der Computer CP3 für Notfunktionen des Bremssystems verwendet werden. Entsprechend gilt dies auch für die Stellglieder und Ventile. Für den Motor bedeutet dies entsprechend Fig . 9a dass die redundante Ansteuerung für die zwei-Wicklungskombination, also einmal dreiphasig redundant, und für die Ventile dass nur ein oder zwei Ventile einer Achse redundant angesteuert werden. Oder auch nur die Ansteuerung redundant ist und auf ein Ventil wirkt, da die Ausfallrate der Spule eines Ventils äußerst gering ist. Wenn erfindungsgemäß nur Teilfunktionen erfüllt werden, wie Teilfunktion von ABS pro Achse, ist kann eine Teilredundanz der Ventile ausreichend sein. Die kann in bestimmen Fällen, wie ESP, einen zusätzlichen Sensor Gierwinkelsensor bei ESP) erforderlich machen.

Im Blockschaltbild wird gezeigt, dass alle Eingangssignale von den Sensoren 705 und dem Brake und Go Signal 706 auf alle Computer CP1, CP2, CP3 wir- ken. Die Ausgangssignale zu der Ansteuerung 702 mit Endstufen 703 erfolgt ebenfalls getrennt von jedem CP.

Mit der Tendenz zur Architektur mit Domänen und Zentralrechnern, bietet sich an, die Ansteuerung getrennt in einer ECU als Slave zu gestalten. Die Slave ECU enthält dann die gesamte Ansteuerung mit Endstufen und gegebenenfalls I/O für Sensoren oder Schaltersignale Brake und Go 707. Die Signalübertragung zum Master ECU erfolgt dann über redundante Bussysteme, gegebenenfalls entsprechend der oben genannten Computerstruktur für voll Funktion bis Notfunktion mit unterschiedlicher Struktur und unterschiedlichen Protokolle.

Wegen der geringen Komplexität der Slave ECU kann gegebenenfalls durch einfache Entflechtung der Leiterplatte mit einer Lage oder nur wenigen Lagen Kosten gespart werden. Infolge der hohen Komplexität der Funktionen sind neuronale Netzwerke in der Software besonders geeignet.

Die vorstehenden vorteilhaften Ausführungen bzw. Ausgestaltungen beschreiben insbesondere in den Figuren 4 bis 9 Systeme, insbesondere Brems- oder Kupplungssysteme. Eine Anwendung der erfindungsgemäßen Lösungen kann vorteilhaft auch bei anderen hydraulischen Systemen und kritischen Dichtungen solcher Systeme erfolgen. Hierbei können mit Vorteil auch einzelne Elemente der vorstehend beschriebenen und in der Zeichnung dargestellten Erfindung bzw. ihrer Ausgestaltungen wie auch in anderen Kombinationen zur Anwendung kommen. Bezuqszeichenliste

BK1 Primärkreis

BK2 Sekundärkreis

D Diagnosezeitspanne (t3 bis t7)

EV Einlassventil

FV Trennventil (216)

P Bremsdruck im Primärkreis

PDC Pre-Drive-Check

tl Zeitpunkt wo der Druck konstant gehalten wird

t2 Zeitpunkt wo der Druck reduziert wird

t3 Zeitpunkt wo der Druck für die Diagnose konstant gehalten wird t4 Zeitpunkt wo auf Druckabfall geprüft wird und die Einlassventile geschlossen werden

t5 Zeitpunkt wo die Einlassventile geöffnet werden

t6 Zeitpunkt wo das Trennventil FV geöffnet wird

t7 Zeitpunkt wo das Trennventil FV geschlossen wird

t8 Zeitpunkt wo die Fahrertür geöffnet wird, Abbruch der Diagnose t9 Zeitpunkt wo die Fahrertür geschlossen wird

tio Wiederholung der Fahrzeug-Stopp Diagnose

1 Sekundärkolben eines Bremssystems

2 Tandem Hauptbremszylinder (THZ)

3 Primärkammer des Tandem Hauptbremszylinders

4 Sekundärkammer des Tandem Hauptbremszylinders

5 Kanal im Zylinder

6 Hydraulische Leitung

7 Vorratsbehälter (VB)

8 Dichtung des Zylinders

9 Dichtung des Zylinders

9a Redundante Dichtung des Zylinders

10 Kanal im Zylinder

11 Hydraulische Leitung

12 Drossel

13 Kanal im Zylinder

14 Hydraulische Leitung

15 Kanal im Zylinder

16 Hydraulische Leitung

17 Bohrung im Sekundärkolben

21 Stellerkolben

22 Kolbenstößel

23 Hydraulikzylinder

24 Arbeitsraum des Hydraulikzylinders

25 Innenraum des Hydraulikzylinders

26 Kraft

27 Kanal in einem Zylinder

28 Hydraulische Leitung

41 Primärkolben des Tandem Hauptbremszylinders

41a Stößel

42 Tandem Hauptbremszylinder (THZ)

43 Primärkammer des Tandem Hauptbremszylinders

44 Kolbenstößelraum 45 Bohrung des Primärkolbens

46 Kanal im Zylinder

47 Hydraulische Leitung

48 Dichtung

49 Dichtung

49a Redundante Dichtung

50 Kanal

51 Hydraulische Leitung

52 Drossel

53 Kanal

54 Hydraulische Leitung

71 Stufenkolben bzw. Doppelhubkolben (DHK)

72 Zylinder des Stufenkolbens

73a Kanal in dem Zylinder

73b Kanal in dem Zylinder

73c Kanal in dem Zylinder

73d Kanal in dem Zylinder

74a Hydraulische Leitung

74b Hydraulische Leitung

74c Hydraulische Leitung

74d Hydraulische Leitung

75a Saugventil

75b Saugventil

75c Rückschlagventil

75d Rückschlagventil

76 Hydraulische Leitung

78 Kanal

79 Dichtung im Stufenkolben

80 Dichtung im Stufenkolben

81 Kanal im Stufenkolben

81a Kanal im Stufenkolben

82 Drossel im Stufenkolben

83 Dichtung

84 Dichtung

85 Drossel

86 Kammer

87 Ringkammer

88 Kolbenstange

89 Kolbenstangenraum

101 Bremspedal

102 Pedalstößel

103 Pedalkolben

104 Pedalkolbenfeder

105 Primärkolben

106 Bohrung des Primärkolbens

107 Dichtung

108 Trennventil

109 Trennventil

110 Simulatorventil

111 Primärkammer des Tandem Hauptbremszylinders

112 Tandem Hauptbremszylinder (THZ) 113 Kanal

114 Hydraulische Leitung

114a Hydraulische Leitung

115 Drossel

116 Wegsimulator

117 Wegsimulatorkolben

118 Federpaket des Wegsimulators

119 Sekundärkolben

120 Bohrung des Sekundärkolbens

121 Dichtung

122 Sekundärkammer des Tandem Hauptbremszylinders

123 Primärkolbenfeder

124 Sekundärkolbenfeder

125 Dichtung

126 Kanal

127 Dichtung

128 Kanal

129 Hydraulische Leitung

129a Hydraulische Leitung

130 Diagnoseventil

131 Vorratsbehälter (VB)

132 Außenraum des Tandem Hauptbremszylinders

133 Wegsensor

133a Wegsensor

134 Hydraulische Leitung

135 Drossel

136 Kanal

137 Hydraulische Leitung

137a Hydraulische Leitung

138 Sperrventil

139 Arbeitskammer des Wegsimulators

140 Dichtung des Wegsimulatorkolbens

140a Redundante Dichtung des Wegsimulatorkolbens

141 Kanal im Wegsimulatorkolben

141a Kanal im Wegsimulatorkolben

142 Drossel im Wegsimulatorkolben

143 Raum des Federpakets des Wegsimulatorkolbens

144 Einspeiseventil

144a Trennventil, stromlos offen

144b Trennventil, stromlos offen

145 Motor der Druckversorgung (DV)

147 Hydraulische Leitung

147a Hydraulische Leitung

148 Hydraulische Leitung

149 Hydraulische Leitung

150 Kanal

151 Pedalrückstellfeder

201 Hauptbremszylinder (HZ)

204 Hilfskolbenkammer

206 Zwischenwand zwischen Hilfskolbenkammer und Primärkammer

211 Hilfskolben 212 Hilfskolbenstößel

213 Bohrung in der Zwischenwand

214 Bohrung des Hilfskolbens

215 Dichtung

216 Trennventil

216a Redundantes Trennventil

217 Kanal

218 Hydraulische Leitung

228 Motor der Druckversorgung

229 Druckversorgung (DV1)

233 Primärkreis

236 Kanal

237 Sekundärkreis

241 Dichtung

242 Dichtung

243 Kanal

244 Hydraulische Leitung

245 Drossel

247 Vorratsbehälter (VB)

248 Kanal

249 Hydraulische Leitung

250 Hydraulische Leitung

252 Drucksensor im Primärkreis

253 Hydraulische Leitung

254 Elektronisches-Stabilitäts-Programm (ESP)

255 Druckversorgung des ESP (DV2)

301 Dichtung

301a Redundante Dichtung

302 Kanal

304 Hydraulische Leitung

305 Drossel

311 Hydraulische Leitung

312 Strömungs-Rückschlagventil

313 Hydraulische Leitung

320 Hydraulische Leitung

321 Strömungs-Rückschlagventil

322 Hydraulische Leitung

328 Dichtung

329 Redundante Dichtung

330 Kanal

331 Hydraulische Leitung

332 Drossel

334 Simulatorventil

401 Hauptbremszylinder

402 Kolben-Wegsimulator

403 Primärkolben als Stufenkolben

404 Sekundärkolben

404a Anschlag rechts des Sekundärkolbens

405 Ringkammer des Hauptbremszylinders

406 Primärkammer

407 Hydraulische Leitung 408 Arbeitskammer des Kolben-Wegsimulators

409 Sekundärkammer des Hauptbremszylinders

410 Bohrung

411 Pedalstößel

412 Dichtung

412a Redundante Dichtung

413 Kolben des Kolben-Wegsimulators

414 Feder des Kolben-Wegsimulators

415 Kanal

416 Hydraulische Leitung

417 Rückschlagventil

418 Hydraulische Leitung

419 Hydraulische Leitung

421 Symbolische hydraulische Leitung

422 Kanal

423 Kanal

424 Bohrung

425 Kanal

426 Hydraulische Leitung

427 Rückschlagventil

428 Hydraulische Leitung

429 Dichtung

429a Redundante Dichtung

430 Kanal

431 Hydraulische Leitung

432 Drossel

433 Kanal

434 Drossel

435 Geschützter Raum des Pedalstößels

436 Dichtung im Primärkolben

436a Redundante Dichtung im Primärkolben

437 Kanal

438 Drossel

439 Federraum des Kolben-Wegsimulators

440 Dichtung

440a Redundante Dichtung

441 Kanal

442 Hydraulische Leitung

443 Drossel

444 Kanal

446a Redundante Dichtung

447 Kanal

448 Drossel

449 Hydraulische Leitung

500 Zweikreisige Druckversorgung (DV, DVl)

501 Hydraulische Leitung

502 Primärkreis

503 Hydraulische Leitung

504 Sekundärkreis

505 Hydraulische Leitung

506 Saugventil 507 Kammer im Vorratsbehälter (VB1)

508 Vorratsbehälter mit drei Kammern (VB)

509 Hydraulische Leitung

510 Saugventil

511 Kammer im Vorratsbehälter (VB2)

512 Zweimal dreiphasiger Motor

513 Redundanter Ankerwinkelsensor

514 Radbremse Vorne Links

515 Radbremse Hinten Rechts

516 Radbremse Vorne Rechts

517 Radbremse Hinten Links

518 Ventil

519 Ventil

519a Redundantes Ventil

520 Ventil

521 Ventil

521a Redundantes Ventil

522 Auslassventil

524 Hydraulische Leitung

525 Hydraulische Leitung

526 Hydraulische Leitung

527 Dritte Kammer im Vorratsbehälter (VB3)

528 Drossel

529 Drossel

530 Niveausensor in der dritten Kammer des Vorratsbehälters

531 Steuergerät (ECU)

532 Redundanter Elektrischer Speicher (U l)

533 Redundanter Elektrischer Speicher (U2)

534 Redundanter Elektrischer Speicher (U3)

535 Lochplatte für die Drossel

536 Hydraulische Leitung

537 Loch in der Lochplatte

537a Redundantes Loch in der Lochplatte

538 Filtersieb der Drossel

601 Trennventil

602 Hydraulische Leitung

603 Trennventil

604 Hydraulische Leitung

605 Redundante zweikreisige Druckversorgung (DV2)

606 Hydraulische Leitung

607 Trennventil

608 Hydraulische Leitung

609 Hydraulische Leitung

610 Trennventil

611 Hydraulische Leitung

612 Druckabbau Ventil

613 Druckabbau Ventil

700 Spannungsversorgung

701 Computer CP1, CP2, CP3

702 Ansteuerung von Motor, Ventile

703 Endstufen 704 Elektrische Leitung

705 Sensorsignale

706a Erste Input/Output (I/O) 706b Zweite Input/Output (I/O) 707 Schaltersignal Brake-and-Go