Gattungsgemäße Steuerungssysteme für Fahrzeuge werden auch als Drive-by-Wire-Systeme oder x-by-Wire-Systeme bezeich- net. Bei solchen Systemen werden Lenkung, Bremse und An- trieb eines Fahrzeugs elektronisch gesteuert, ohne dass zwischen Lenkrad und den gelenkten Rädern eine durchgehende mechanische Verbindung besteht oder zwischen Bremspedal und der Betriebsbremse für die Räder eine durchgehende mechani- sche oder hydraulische Verbindung besteht.

Aus der Offenlegungsschrift DE 41 11 023 A1 ist ein Steuer- system für ein Fahrzeug bekannt, das in Hierarchieebenen aufgebaut ist, die bei der Signalverarbeitung in vorgegebe- ner Reihenfolge durchlaufen werden. Die Signalverarbeitung für die Bereiche Lenkung, Radantrieb und Fahrwerk erfolgt getrennt, wodurch sich der Signalverarbeitungspfad in den unteren Hierarchieebenen verästelt und sich ein komplexer Aufbau des Steuerungssystems ergibt. Ein Sicherheitskon- zept, das den möglichen Ausfall von Komponenten berücksich- tigt, ist nicht vorgesehen.

In dem in der Patentschrift DE 40 39 005 C2 beschriebenen Steuerungssystem für ein Fahrzeug ist zur Sicherung der Be- triebsfähigkeit des Systems vorgesehen, dass neben einer Verbindung eines Bedienelements mit einer zentralen Steuer- einheit und einem Aktuator mit einer Substeuerung über ei- nen Datenbus eine zusätzliche, direkte Verbindung zwischen dem Bedienelement und dem Aktuator mit der Substeuerung vorgesehen ist. Damit liegen zwei unterschiedlich aufgebau- te Verkabelungen des Systems gleichzeitig vor.

Aus der europäischen Offenlegungsschrift EP 0 754 611 A1 ist ein Brems-und Lenksystem für ein Fahrzeug bekannt, bei dem versucht wird, die Sicherstellung der Betriebsfähigkeit bei Ausfall von Komponenten mit Mitteln der Fehlertoleranz und Redundanz zu erreichen. Als Fehlertoleranz wird die Fä- higkeit eines Systems bezeichnet, auch mit einer begrenzten Zahl fehlerhafter Subsysteme seine spezifische Funktion zu erfüllen. Unter Redundanz wird das Vorhandensein von mehr als für die Ausführung der vorgesehenen Aufgaben an sich notwendigen Mitteln verstanden.

Der Erfindung liegt als technisches Problem die Schaffung eines sicheren und zuverlässigen Steuerungssystems mit ver- gleichsweise einfachem Aufbau und die Bereitstellung eines zuverlässigen und sicheren Verfahrens zur Steuerung eines Fahrzeugs zugrunde.

Erfindungsgemäß ist hierzu ein Steuerungssystem für ein Fahrzeug mit mehreren Signalverarbeitungsebenen und Aktua- toren, insbesondere für Bremse, Lenkung, Motor und Getrie- be, zur Umsetzung von Ansteuersignalen vorgesehen, bei dem folgende Signalverarbeitungsebenen vorgesehen sind : Eine Eingabeebene mit Einrichtungen zum Eingeben kontinuierli- cher Vorgaben eines Fahrers und zum Umsetzen der Vorgaben in Sollwertsignale oder eine Eingabeebene mit Einrichtungen zum Eingeben diskreter Vorgaben eines Fahrsystems sowie eine Automatisierungsebene mit ersten Signalverarbeitungs- modulen zum Umsetzen der Vorgaben der Eingabeebene in Soll- wertsignale, eine prediktive Ebene mit zweiten Signalverar- beitungsmodulen zum Korrigieren der Sollwertsignale anhand einer Voraussage von Fahrzuständen und/oder eine reaktive Ebene mit dritten Signalverarbeitungsmodulen zum Korrigie- ren der Sollwertsignale anhand von aktuellen Fahrzuständen, eine Koordinationsebene mit vierten Signalverarbeitungsmo- dulen zum Umsetzen der Sollwertsignale in Ansteuersignale und eine Ausführungsebene mit den Aktuatoren zum Umsetzen der Ansteuersignale, wobei die Aktuatoren durch einen feh- lertoleranten, redundanten und bidirektionalen Datenbus verbunden sind, die ersten, zweiten, dritten und/oder vier- ten Signalverarbeitungsmodule zur redundanten Signalverar- beitung ausgelegt sind und zwischen zwei aufeinanderfolgen- den Signalverarbeitungsebenen Einrichtungen zur fehlertole- ranten, redundanten und bidirektionalen Datenübertragung vorgesehen sind.- Durch diese Merkmale wird ein Steuerungssystem mit einfa- chem, modularem Aufbau geschaffen, bei dem einzelne Signal- verarbeitungsebenen, beispielsweise die prediktive Ebene, weggelassen werden können, wenn ihre Funktionalität nicht benötigt wird, ohne dass der grundlegende Aufbau des Steue- rungssystems aufgegeben werden muß. Damit wird im Vergleich zu bisherigen Steuerungssystemen ein äußerst flexibles Steuerungssystem geschaffen. Das Vorsehen einer Koordinati- onsebene zum Umsetzen der Sollwertsignale in Ansteuersigna- le schafft eine definierte Schnittstelle, mit der die Ebe- nen, in denen die ursprünglichen Vorgaben bearbeitet wer- den, von den Ebenen entkoppelt werden, in denen die Ausfüh- rung der bearbeiteten Vorgaben erfolgt. Eine solche defi- nierte Schnittstelle vereinfacht den Aufbau und erleichtert Änderungen und Erweiterungen des Steuerungssystems be- trächtlich. Darüber hinaus wird durch redundante Signalver- arbeitung und fehlertolerante und redundante Datenübertra- gung eine hohe Ausfallsicherheit des Steuerungssystems er- reicht. Die bidirektionale Datenverarbeitung zwischen auf- einanderfolgenden Signalverarbeitungsebenen, also auch zwi- schen den Aktuatoren und der Koordinationsebene, ermöglicht eine Übertragung von Sollwertsignalen und eine Rückführung von Istwert-und Diagnosewertsignalen.

In Weiterbildung der Erfindung ist die reaktive Ebene zwi- schen der Koordinationsebene und der Ausführungsebene ange- ordnet. Damit werden die Ansteuersignale für die Aktuatoren anhand von aktuellen Fahrzuständen korrigiert. Dies kann in bezug auf eine schnelle Reaktion auf kritische Fahrzustände von Vorteil sein, da unmittelbar die Ansteuersignale für die Aktuatoren korrigiert werden.

In vorteilhafter Weise ist wenigstens einem Aktuator ein reaktives Signalverarbeitungsmodul zur Reaktion auf kriti- sche, aktuelle Fahrzustände unmittelbar zugeordnet. Auch diese Ausbildung der Erfindung ist im Hinblick auf eine schnelle Reaktion auf kritische Fahrzustände vorteilhaft.

So kann beispielsweise ein Antiblockiersystem unmittelbar der Radbremse zugeordnet sein.

Als weiterbildende Maßnahme ist vorgesehen, dass Einrich- tungen zur Energieversorgung für alle Signalverarbeitungs- ebenen redundant ausgeführt sind. Diese Maßnahme trägt zu einer erheblich gesteigerten Ausfallsicherheit des Steue- rungssystems bei.

Es ist ebenfalls vorteilhaft, dass die Einrichtungen zur bidirektionalen Datenübertragung als Lichtwellenleiter aus- geführt sind. Durch Lichtwellenleiter kann eine schnelle und von äußeren Störeinflüssen vergleichsweise unabhängige Datenübertragung erreicht werden.

In Weiterbildung der Erfindung ist vorgesehen, dass in der Automatisierungsebene, der prediktiven Ebene, der reaktiven Ebene und der Koordinationsebene jeweils wenigstens zwei physikalisch getrennte erste, zweite, dritte bzw. vierte Signalverarbeitungsmodule zur redundanten Signalverarbei- tung vorgesehen sind. Eine solche Hardware-Redundanz ver- bessert die Zuverlässigkeit des Steuersystems.

Als weiterbildende Maßnahme ist vorgesehen, dass in den ersten, zweiten, dritten bzw. vierten Signalverarbeitungs- modulen vorgesehene Software redundant ausgeführt ist.

Hierdurch wird die Zuverlässigkeit des Steuerungssystems weiter verbessert.

Gemäß der Erfindung wird auch ein Verfahren zur Steuerung eines Fahrzeugs, insbesondere von dessen Bremse, Lenkung, Motor und Getriebe vorgeschlagen, das folgende Schritte aufweist : Eingeben kontinuierlicher Vorgaben eines Fahrers oder diskreter Vorgaben eines Fahrsystems und Umsetzen der Vorgaben in Sollwertsignale, Korrigieren der Sollwertsigna- le anhand einer Voraussage von Fahrzuständen und/oder Kor- rigieren der Sollwertsignale anhand von aktuellen Fahrzu- ständen, Umsetzen der Sollwertsignale in Ansteuersignale und Ausführen der Ansteuersignale durch Aktuatoren, wobei die Ansteuersignale zu den Aktuatoren sowie Istwertsignale und Diagnosesignale von den Aktuatoren in fehlertoleranter und redundanter Weise über einen Datenbus übertragen wer- den, das Umsetzen der Vorgaben in Sollwertsignale, das Kor- rigieren der Sollwertsignale und das Umsetzen der Sollwert- signale in Ansteuersignale in redundanter Weise erfolgt und Sollwertsignale, Istwertsignale sowie Diagnosesignale auf gemeinsamen Datenleitungen fehlertolerant, redundant und bidirektional übertragen werden.

Weitere Merkmale und Vorteile der Erfindung ergeben sich aus der nachfolgenden Beschreibung im Zusammenhang mit den beigefügten Zeichnungen, die folgendes zeigen : Fig. 1 eine schematische Darstellung eines erfindungsgemä- ßen Steuerungssystems gemäß einer ersten Ausfüh- rungsform und Fig. 2 eine schematische Darstellung eines erfindungsgemä- ßen Steuerungssystems gemäß einer zweiten Ausfüh- rungsform der Erfindung.

In der schematischen Darstellung des erfindungsgemäßen Steuerungssystems für ein Fahrzeug in der Fig. 1 sind meh- rere Signalverarbeitungsebenen zu erkennen. In einer Einga- beebene E gibt ein Fahrer kontinuierliche Vorgaben für die Längsbewegung vor, die in der Einrichtung 10 in ein Soll- wertsignal umgesetzt werden. Indem der Fahrer Bedienelemen- te, beispielsweise Sidestick oder Fahrpedal, Bremspedal und Lenkrad betätigt oder auch nur in einer bestimmten Stellung hält, gibt er über der Zeit gesehen kontinuierlich vor, wie die Längsbewegung des Fahrzeugs erfolgen soll. Im Unter- schied zur kontinuierlichen Vorgabe eines Fahrers erfolgt bei Verwendung eines autonomen Fahrsystems, wie es bei der Ausführungsform der Fig. 2 vorgesehen ist, lediglich eine einmalige diskrete Vorgabe, z. B."Fahre von A nach B", die dann vom Fahrzeugsteuerungssystem ausgeführt wird.

Das aus den kontinuierlichen Vorgaben des Fahrers erzeugte Sollwertsignal wird einer prediktiven Ebene P zugeführt, in der das Sollwertsignal unter Berücksichtigung einer Voraus- sage von Fahrzuständen korrigiert wird. Eine Voraussage von Fahrzuständen erfolgt beispielsweise durch ein im Fahrzeug vorhandenes prediktives System zur Vermeidung kritischer Fahrzustände. Ein solches System warnt beispielsweise bei zu hoher Geschwindigkeit für eine bevorstehende Kurve oder bremst das Fahrzeug gar ab. Der Kurvenradius kann bei- spielsweise mit Hilfe von GPS (Global Positioning System) und einer Straßenkarte festgestellt werden, weitere Diagno- sesignale können von Sensoren zur Erfassung des Straßenzu- standes kommen. Die Funktionen der prediktiven Ebene P wer- den durch die Signalverarbeitungsmodule 12 und 14 ausge- führt. Wie in der Fig. 1 zu erkennen ist, wird das Soll- wertsignal von der Einrichtung 10 den Signalverarbeitungs- modulen 12 bzw. 14 über getrennte Datenleitungen zugeführt.

Die Signalverarbeitungsmodule 12 und 14 sind dabei physika- lisch getrennt. Die Signalverarbeitung erfolgt dann redun- dant sowohl im Signalverarbeitungsmodul 12 als auch im Sig- nalverarbeitungsmodul 14. Damit ist auch bei Ausfall eines der Module 12 oder 14 die Funktion der prediktiven Ebene P sichergestellt.

Von den Signalverarbeitungsmodulen 12 bzw. 14 der predikti- ven Ebene P wird das dort eventuell korrigierte Sollwert- signal in eine reaktive Ebene R zu dortigen Signalverarbei- tungsmodulen 16 und 18 übertragen. In der reaktiven Ebene R werden Systemfunktionen ausgeführt, die auf kritische Fahr- zustande des Fahrzeugs reagieren. Solche Systemfunktionen sind beispielsweise Fahrdynamikregelungen, die bei zu hoher Kurvengeschwindigkeit ein Ausbrechen des Fahrzeugs verhin- dern.

Von der reaktiven Ebene R wird das dort eventuell korri- gierte Sollwertsignal dann einer Koordinationsebene K und dortigen Signalverarbeitungsmodulen 20 und 22 zugeführt. In den Signalverarbeitungsmodulen 20 und 22 erfolgt die Umset- zung der Sollwertsignale in Ansteuersignale.

Diese Ansteuersignale werden von der Koordinationsebene K über einen fehlertoleranten, redundanten und bidirektiona- len Datenbus 24 zu Aktuatoren 26,28 und 30 übertragen, die in einer Ausführungsebene F liegen. Der Aktuator 26 ist da- bei der Fahrzeugbremse, Aktuator 28 der Lenkung und Aktua- tor 30 Motor und Getriebe des Fahrzeugs zugeordnet. In der Ausführungsebene F werden die Ansteuersignale von der Koor- dinationsebene K durch die Aktuatoren 26,28 und 30 ausge- führt. In der schematischen Darstellung der Fig. 1 ist zur Vereinfachung der Darstellung lediglich ein Aktuator 30 für Motor und Getriebe vorgesehen. Tatsächlich können für Motor und Getriebe mehrere Aktuatoren vorgesehen sein, wobei nicht sicherheitskritische Aktuatoren, beispielsweise für einen Motor, nicht unbedingt an einen redundanten Datenbus angeschlossen sein müssen, da für nicht sicherheitskriti- sche Aktuatoren der Anschluß an einen einfachen Datenbus genügt.

Ebenfalls in der Ausführungsebene F angeordnet ist ein re- aktives Signalverarbeitungsmodul 32, das unmittelbar dem für die Fahrzeugbremse vorgesehenen Aktuator 26 zugeordnet ist. Dieses Signalverarbeitungsmodul 32 verwirklicht die Funktion eines Antiblockiersystems und ist zur Erreichung kurzer Signalverarbeitungs-und Signallaufzeiten in der Ausführungsebene F angeordnet und unmittelbar dem Aktuator 26 zugeordnet.

Ebenfalls in der Fig. 1 zu erkennen ist ein Bordnetz 34, das zur Energieversorgung der einzelnen Ebenen E1, P, R, K und F vorgesehen ist. Die Energieversorgung ist dabei re- dundant ausgeführt, so dass eine hohe Zuverlässigkeit er- reicht wird. In der Darstellung der Fig. 1 ist die Energie- versorgung der einzelnen Signalverarbeitungsmodule 12 bis 20 sowie der Aktuatoren 26 bis 30 jedoch nur durch Punkte angedeutet, die die Fortsetzung der Energiezuführungslei- tungen darstellen sollen.

Die Datenübertragung zwischen den Signalverarbeitungsmodu- len der prediktiven Ebene P, der reaktiven Ebene R und der Koordinationsebene K erfolgt in fehlertoleranter, redundan- ter und bidirektionaler Weise. Während Sollwertsignale in der Fig. 1 von oben nach unten, d. h. beispielsweise von der prediktiven Ebene P zu der reaktiven Ebene R und der Koor- dinationsebene K übertragen werden, erfolgt die Übertragung von Istwertsignalen und Diagnosewertsignalen in umgekehrter Richtung. Istwertsignale und Diagnosewertsignale werden auch von den in der Ausführungsebene F angeordneten Aktua- toren 26,28 und 30 über den Bus 24 zu den Signalverarbei- tungsmodulen 20 und 22 der Koordinationsebene K übertragen.

Somit finden alle Datenübertragungen zwischen den Ebenen P, R, K und F in fehlertoleranter, redundanter und bidirektio- naler Weise statt. Als Leiter für die Datenübertragung kön- nen dabei sowohl elektrische als auch optische Leiter, z. B. Glasfaser, verwendet werden.

In der schematischen Darstellung der Fig. 2 ist ein weite- res erfindungsgemäßes Steuerungssystem für ein Fahrzeug dargestellt, bei dem ein autonomes Fahrsystem 40 diskrete Werte vorgibt, beispielsweise einen Befehl"Fahre von A nach B anhand von Zielkoordinaten". Das autonome Fahrsystem 40 liegt damit in. einer Eingabeebene E2 des in der Fig. 2 dargestellten Steuerungssystems.

Die diskrete Vorgabe des Fahrsystems 40 wird in eine Auto- matisierungsebene A zu Signalverarbeitungsmodulen 42 und 44 übertragen. Sowohl das Signalverarbeitungsmodul 42 als auch das Modul 44 setzen die Vorgabe des autonomen Fahrsystems 40 in Sollwertsignale um, wodurch eine redundante Signal- verarbeitung sichergestellt ist.

Der weitere Aufbau des in der Fig. 2 dargestellten Steue- rungssystems mit den Ebenen P, R, K und F entspricht dem in der Fig. 1 dargestellten und im Zusammenhang mit Fig. 1 be- schriebenen Aufbau, so dass auf diesbezügliche erneute Aus- führungen verzichtet wird. In der Fig. 2 dargestellte Ele- mente, die mit entsprechenden in der Fig. 1 dargestellten Elementen funktionsgleich sind, wurden mit den gleichen Be- zugszeichen versehen.

Die Reihenfolge der Signalverarbeitung bei der in Fig. 1 gezeigten Ausführungsform in der Eingabeebene E1, der pre- diktiven Ebene P, der reaktiven Ebene R, der Koordinations- ebene K und der Ausführungsebene F sowie bei der in Fig. 2 gezeigten Ausführungsform in der Eingabeebene El, der Auto- matisierungsebene A und den Ebenen P, R, K und F liegt fest und es erfolgt eine zyklische Abarbeitung in einem festge- legten Takt.

Möglich sind jedoch Ausführungsformen des Steuerungssys- tems, bei denen die reaktive Ebene R erst unterhalb der Ko- ordinationsebene K angeordnet ist. Die Korrektur anhand von aktuellen Fahrzuständen erfolgt dann durch Verarbeitung der in der Koordinationsebene K erzeugten Ansteuersignale. Ein solches Vorgehen kann im Hinblick auf eine schnelle Reakti- on auf aktuelle Fahrzustände vorteilhaft sein, da unmittel- bar die Ansteuersignale korrigiert werden und nicht erst die Signalverarbeitung der Koordinationsebene K abgewartet werden muß.

Eine Verbesserung der Zuverlässigkeit der in den Fig. 1 und 2 dargestellten Steuerungssysteme wird durch redundante Ausführung der Software in den Signalverarbeitungsmodulen 12 bis 20 und 42 und 44 erreicht. Einerseits können die Er- gebnisse der Signalverarbeitung damit überprüft werden und andererseits ist die Funktion des Steuerungssystems auch bei Teilausfall der Software noch gewährleistet.