Login| Sign Up| Help| Contact|

Patent Searching and Data


Title:
METHOD FOR OPERATING A BRAKING SYSTEM OF A VEHICLE, AND BRAKING SYSTEM
Document Type and Number:
WIPO Patent Application WO/2020/207871
Kind Code:
A1
Abstract:
The invention relates to a method for operating a braking system (100) of a vehicle, wherein the braking system (100) comprises a primary hydraulic braking system (102) and a brake actuation unit (114) hydraulically decoupled from the primary braking system (102). The brake actuation unit (114) has at least two sensor arrangements (126, 128) which are designed to detect, independently of one another, items of actuation information (200, 202) of the brake actuation unit (114) which describe a brake request. The method comprises: determining a first item of actuation information (200) using a first of the sensor arrangements (126); determining a second item of actuation information (202) using a second of the sensor arrangements (128); checking (204, 206) whether the determined items of actuation information (200, 202) are each valid; if the items of actuation information (200, 202) are valid, checking (212) whether the determined items of actuation information (200, 202) are plausible with respect to one another; and converting the brake request according to the items of actuation information (200, 202) and/or issuing a warning and/or performing a predefined braking manoeuvre using the braking system (100) depending on the validity and plausibility of the items of actuation information (200, 202). The invention also relates to a corresponding braking system (100).

Inventors:
ULLRICH THORSTEN (DE)
BRENN MARTIN (DE)
BAECHLE MARTIN (DE)
Application Number:
PCT/EP2020/059196
Publication Date:
October 15, 2020
Filing Date:
April 01, 2020
Export Citation:
Click for automatic bibliography generation   Help
Assignee:
CONTINENTAL TEVES AG & CO OHG (DE)
International Classes:
B60T7/04; B60T13/66; B60T13/68
Domestic Patent References:
WO2001014195A12001-03-01
WO2011091996A12011-08-04
WO2018078560A12018-05-03
Foreign References:
DE102007035326A12009-01-29
US20180215368A12018-08-02
US20180194353A12018-07-12
Download PDF:
Claims:
Patentansprüche

1. Verfahren zum Betrieb einer Bremsanlage (100) eines Fahrzeugs, wobei die Bremsanlage (100) ein primäres hydraulisches Bremssystem (102) und eine hydraulisch von dem primären Bremssystem (102) entkoppelte

Bremsbetätigungseinheit (114) aufweist,

wobei die Bremsbetätigungseinheit (114) wenigstens zwei

Sensoranordnungen (126, 128) aufweist, die dazu ausgebildet sind, unabhängig voneinander eine Bremsanforderung beschreibende

Betätigungsinformationen (200, 202) der Bremsbetätigungseinheit (114) zu erfassen,

wobei das Verfahren die Schritte aufweist:

• Ermitteln einer ersten Betätigungsinformation (200) durch eine erste der Sensoranordnungen (126),

• Ermitteln einer zweiten Betätigungsinformation (202) durch eine

zweite der Sensoranordnungen (128),

• Prüfen (204, 206), ob die ermittelten Betätigungsinformationen (200, 202) jeweils gültig sind,

• Prüfen (212), sofern die Betätigungsinformationen (200, 202) gültig sind, ob die ermittelten Betätigungsinformationen (200, 202) untereinander plausibel sind, und

• Umsetzen der Bremsanforderung gemäß den

Betätigungsinformationen (200, 202) und/oder Ausgeben einer Warnung und/oder Durchführen eines vordefinierten Bremsmanövers durch die Bremsanlage (100), in Abhängigkeit der Gültigkeit und Plausibilität der Betätigungsinformationen (200, 202).

2. Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass die Bremsanlage (100) ein sekundäres hydraulisches Bremssystem (104) aufweist, wobei die erste Sensoranordnung (126) mit dem primären Bremssystem (102) und die zweite Sensoranordnung (128) mit dem sekundären Bremssystem (104) zur Datenübertragung und/oder

Signalübertragung verbunden ist.

3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass das sekundäre Bremssystem (104) dazu ausgebildet ist, bei einem Ausfall des primären Bremssystems (102) das Fahrzeug gemäß einer aus der zweiten

Betätigungsinformation (202) bestimmten Bremsanforderung zu verzögern.

4. Verfahren nach Anspruch 2 oder 3, dadurch gekennzeichnet, dass das

primäre Bremssystem (102) und das sekundäre Bremssystem (104) zur Datenübertragung miteinander verbunden und dazu ausgebildet sind, von den Sensoranordnungen (126, 128) empfangene Betätigungsinformationen (200, 202) miteinander auszutauschen.

5. Verfahren nach einem der Ansprüche 2 bis 4, dadurch gekennzeichnet, dass das primäre Bremssystem (102) oder das sekundäre Bremssystem (104) eine dritte Sensoranordnung zur Bestimmung des durch das primäre Bremssystem (102) erzeugten Bremsmoments aufweist, wobei das sekundäre Bremssystem (104) dazu ausgebildet ist, die durch die dritte Sensoranordnung ermittelte Sensorinformationen auszulesen.

6. Verfahren nach Anspruch 5, dadurch gekennzeichnet, dass das sekundäre Bremssystem (104) bei einer Unterbrechung der Kommunikation mit dem primären Bremssystem (102) prüft, ob die Sensorinformationen zu einer aus der zweiten Betätigungsinformation (202) ermittelten Bremsanforderung passt, wobei in dem Fall, dass die Sensorinformation nicht zu der aus der zweiten Betätigungsinformation (202) ermittelten Bremsanforderung passt, das sekundäre Bremssystem (104) die aus der zweiten

Betätigungsinformation (202) abgeleitete Bremsanforderung umsetzt.

7. Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass, wenn beide Betätigungsinformationen (200,202) gültig und plausibel sind, die Bremsanforderung nur aus der ersten Betätigungsinformation (200) abgeleitet wird.

8. Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass die Bremsanforderung aus der ersten (200) und der zweiten (202) Betätigungsinformation bestimmt wird, wobei eine Gewichtung der ersten (200) und zweiten (202) Betätigungsinformation bei der Bestimmung der Bremsanforderung von der Stärke der Bremsanforderung abhängt.

9. Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass die Gültigkeit einer Betätigungsinformation (200, 202) anhand einer sensorspezifischen Kennlinienfunktion (PF, SF) bestimmt wird.

10. Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass die Plausibilität der Betätigungsinformationen (200, 202) ermittelt wird, indem geprüft wird, ob eine aus der ersten Betätigungsinformation (200) abgeleitete Bremsanforderung innerhalb einer festgelegten Toleranz um eine aus der zweiten Betätigungsinformation (202) abgeleiteten

Bremsanforderung liegt.

11. Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass die Toleranz von Messtoleranzen der Sensoranordnungen (126, 128) und/oder sensorspezifischen Kennlinienfunktionen abhängt.

12. Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass die erste Sensoranordnung (126) eine Betätigungsinformation (200) aus einer ersten physikalischen Messgröße und die zweite

Sensoranordnung (128) eine Betätigungsinformation (202) aus einer zweiten physikalischen Messgröße ableitet, wobei die erste physikalische

Messgröße sich von der zweiten physikalischen Messgröße unterscheidet.

13. Bremsanlage (100) für ein Fahrzeug mit einem primären hydraulischen

Bremssystem (102) und einer hydraulisch von dem primären Bremssystem (102) entkoppelten Bremsbetätigungseinheit (114), wobei die

Bremsbetätigungseinheit (114) wenigstens zwei Sensoranordnungen (126, 128) aufweist, die dazu ausgebildet sind, unabhängig voneinander eine Bremsanforderung beschreibende Betätigungsinformationen (200, 202) der Bremsbetätigungseinheit (114) zu erfassen, wobei das primäre

Bremssystem (102) und die Bremsbetätigungseinheit (114) dazu ausgebildet sind, das Verfahren nach Anspruch 1 oder einem der Ansprüche 7 bis 12 durchzuführen.

14. Bremsanlage (100) nach Anspruch 13, dadurch gekennzeichnet, dass die Bremsanlage (100) ein sekundäres hydraulisches Bremssystem (104) aufweist, wobei die erste Sensoranordnung (126) mit dem primären

Bremssystem (102) und die zweite Sensoranordnung (128) mit dem sekundären Bremssystem (104) zur Datenübertragung verbunden ist und wobei das primäre Bremssystem (102) und/oder das sekundäre

Bremssystem (104) dazu ausgebildet ist, das Verfahren nach einem der Ansprüche 1 bis 12 durchzuführen.

15. Bremsanlage (100) nach Anspruch 14, dadurch gekennzeichnet, dass das primäre Bremssystem (102) eine dritte Sensoranordnung zur Bestimmung des durch das primäre Bremssystem (102) erzeugten Bremsmoments aufweist, wobei das sekundäre Bremssystem (104) dazu ausgebildet ist, die durch die dritte Sensoranordnung ermittelte Sensorinformationen

auszulesen.

Description:
Verfahren zum Betrieb einer Bremsanlage eines Fahrzeugs und Bremsanlage

Die Erfindung betrifft ein Verfahren zum Betrieb einer Bremsanlage eines

Fahrzeugs und eine Bremsanlage.

Moderne Fahrzeugkonzepte benötigen Bremssysteme nach dem brake-by-wire Prinzip. Diese erlauben die Erfassung des Bremswunsches (Bremsanforderung) durch eine geeignete Sensorik und die Ausführung dieses Bremswunsches durch einen elektronisch steuerbaren Aktuator der Reibbremse oder auch durch einen elektrischen Antriebsstrang insbesondere zum Zweck der Energierückgewinnung (Rekuperation).

Weiterhin sind Systeme nach dem brake-by-wire Prinzip geeignet, eine durch einen Autopiloten („virtueller Fahrer“) ausgelöste Bremsung durchzuführen, unabhängig von der Betätigung des Bremspedals durch den menschlichen Fahrer.

Brake-by-wire Systeme, die heute im Serieneinsatz sind, verfügen üblicherweise über eine hydraulische Rückfallebene, d.h. eine Betriebsart, in der das Bremspedal mit den Radbremsen hydraulisch und/oder mechanisch gekoppelt ist.

In Anwendungsfällen des automatisierten Fahrens ist die hydraulische

Rückfallebene nicht ausreichend, so dass für diese Anwendungen ein Backup Bremssystem verwendet wird.

Mit diesem Systemansatz ist jedoch in der Rückfallebene kein echter by-wire Betrieb möglich, da ein möglicherweise ungewolltes Betätigen des Bremspedals zu einem unmittelbaren Druckaufbau in den Radbremsen führt.

Der vorliegenden Erfindung liegt die Aufgabe zugrunde, ein verbessertes Verfahren zum Betrieb einer Bremsanlage mit hydraulisch und mechanisch entkoppeltem Bremspedal eines Fahrzeugs und eine verbesserte Bremsanlage mit hydraulisch und mechanisch entkoppeltem Bremspedal bereitzustellen.

Diese Aufgabe wird mit dem Verfahren gemäß Anspruch 1 und der Bremsanlage nach Anspruch 37 gelöst. In einem ersten Aspekt betrifft die Erfindung ein Verfahren zum Betrieb einer Bremsanlage eines Fahrzeugs, wobei die Bremsanlage ein primäres hydraulisches Bremssystem und eine hydraulisch von dem primären Bremssystem entkoppelte Bremsbetätigungseinheit aufweist, wobei die Bremsbetätigungseinheit wenigstens zwei Sensoranordnungen aufweist, die dazu ausgebildet sind, unabhängig voneinander eine Bremsanforderung beschreibende Betätigungsinformationen der Bremsbetätigungseinheit zu erfassen. Das Verfahren weist dabei das Ermitteln einer ersten Betätigungsinformation durch eine erste der Sensoranordnungen, das Ermitteln einer zweiten Betätigungsinformation durch eine zweite der

Sensoranordnungen, das Prüfen, ob die ermittelten Betätigungsinformationen jeweils gültig sind, das Prüfen, ob die ermittelten Betätigungsinformationen untereinander plausibel sind, sofern die Betätigungsinformationen gültig sind, und das Umsetzen der Bremsanforderung gemäß den Betätigungsinformationen und/oder Ausgeben einer Warnung und/oder Durchführen eines vordefinierten Bremsmanövers durch die Bremsanlage, in Abhängigkeit der Gültigkeit und Plausibilität der Betätigungsinformationen.

Die Prüfung, ob die ermittelten Betätigungsinformationen jeweils gültig sind, und/oder ob die ermittelten Betätigungsinformationen untereinander plausibel sind, wird dabei vorzugsweise durch das primäre Bremssystem durchgeführt. Ferner erfolgt gegebenenfalls das Umsetzen der Bremsanforderung und/oder die

Durchführung eines vordefinierten Bremsmanövers vorzugsweise durch das primäre Bremssystem.

Unter einem„Bremssystem“ ist dabei eine hydraulische Anordnung zu verstehen, die zumindest dazu ausgebildet ist, auf Grundlage einer Bremsanforderung einen hydraulischen Druck zu erzeugen und diesen, vorzugsweise radindividuell, zu modulieren, beispielsweise um eine Regelfunktion wie eine Anti-Blockier-Funktion zu realisieren. Dementsprechend weist ein solches Bremssystem zumindest eine Druckbereitstellungseinrichtung, beispielsweise eine elektromotorisch betriebene Pumpe, und eine Ventilanordnung auf. Durch das erfindungsgemäße Verfahren ist es möglich, Betätigungsinformationen, die von unterschiedlichen Sensoranordnungen ermittelt werden, gleichzeitig zu nutzen und gegebenenfalls eine Fehlfunktion der Bremsanlage aus der

Zusammenschau der Betätigungsinformationen zu ermitteln. Sollte dabei eine Fehlfunktion anhand ungültiger und/oder nicht plausibler Betätigungsinformationen erkannt werden, werden gemäß dem erfindungsgemäßen Verfahren

entsprechende Reaktionen der Bremsanlage ausgelöst.

Vorzugsweise ist dabei vorgesehen, dass, wenn beide Betätigungsinformationen gültig und plausibel sind, die Bremsanforderung umgesetzt wird.

Ist genau eine der Betätigungsinformationen ungültig, ist vorzugsweise

vorgesehen, dass die Bremsanforderung nach wie vor umgesetzt, jedoch zusätzlich eine Warnung, insbesondere eine optische Warnung, ausgegeben wird, insbesondere durch Aktivierung einer Warnleuchte. Die Warnung zeigt dabei an, dass eine Fehlfunktion der Bremsanlage vorliegt und soll den Fahrzeugführer veranlassen, das Fahrzeug entsprechend zu überprüfen, oder eine solche

Überprüfung zu veranlassen. Dabei wird vorzugsweise die Bremsanforderung aus der gültigen Betätigungsinformation bestimmt, während die ungültig

Betätigungsinformation bei der Bestimmung der Bremsanforderung ignoriert wird.

Dabei kann ferner vorgesehen sein, dass eine maximale Fahrzeuggeschwindigkeit und/oder eine Fahrzeugbeschleunigung limitiert und/oder ein Motor- oder

Generatorschleppmoment beim Lösen eines Fahrpedals des Fahrzeugs erhöht wird, wenn genau eine Betätigungsinformation als ungültig erkannt wurde.

Wenn ermittelt wird, dass beide Betätigungsinformationen ungültig sind, oder wenn beide Betätigungsinformationen gültig, aber nicht plausibel sind, ist ferner bevorzugt, dass das Fahrzeug mit einer vorbestimmten Verzögerung bis zum Stillstand verzögert und eine Warnung ausgegeben wird. Beispielsweise kann die die vorbestimmte Verzögerung zwischen 1 m/s 2 und 4 m/s 2 , insbesondere zwischen 2 m/s 2 und 3 m/s 2 , insbesondere 2,44 m/s 2 betragen. Auch hierbei kann vorgesehen sein, dass eine Warnung, insbesondere eine optische Warnung, ausgegeben wird,

insbesondere durch Aktivierung einer Warnleuchte.

Um den Verarbeitungsaufwand für das beschriebene Verfahren zu minimieren ist ferner vorzugsweise vorgesehen, dass nur dann geprüft wird, ob die ermittelten Betätigungsinformationen untereinander plausibel sind, wenn wenigstens eine Betätigungsinformation, und insbesondere beide Betätigungsinformationen, gültig sind. So ist bei wenigstens einer ungültigen Betätigungsinformation eine weitere Prüfung auf die Plausibilität der Betätigungsinformationen nicht sinnvoll und kann folglich entfallen.

Nach einer bevorzugten Ausführungsform weist die Bremsanlage ferner ein sekundäres hydraulisches Bremssystem auf, wobei die erste Sensoranordnung mit dem primären Bremssystem und die zweite Sensoranordnung mit dem sekundären Bremssystem zur Datenübertragung und/oder Signalübertragung verbunden ist. Folglich handelt es sich in dieser Konstellation um eine redundant ausgelegte Bremsanlage mit zwei separaten Bremssystemen, die unabhängig voneinander dazu ausgebildet sind, in Abhängigkeit einer Bremsanforderung die Radbremsen eines Fahrzeugs mit einem Bremsdruck zu beaufschlagen. Vorzugsweise handelt es sich dabei sowohl bei dem ersten Bremssystem, als auch bei dem zweiten Bremssystem jeweils um ein elektrohydraulisches Bremssystem.

Dabei ist nach einer weiteren Ausführungsform vorgesehen, dass das sekundäre Bremssystem dazu ausgebildet ist, bei einem Ausfall des primären Bremssystems das Fahrzeug gemäß einer aus der zweiten Betätigungsinformation bestimmten Bremsanforderung zu verzögern. Folglich ist das zweite Bremssystem bei der Umsetzung einer Bremsanforderung nicht von dem ersten Bremssystem abhängig, sondern kann das erste Bremssystem bei einem Ausfall vollumfänglich ersetzen.

Um zu gewährleisten, dass das erfindungsgemäße Verfahren in dieser

Konstellation zentralisiert und vorzugsweise durch das erste Bremssystem durchgeführt werden kann, ist nach einer weiteren Ausführungsform vorgesehen, dass das primäre Bremssystem und das sekundäre Bremssystem zur Datenübertragung miteinander verbunden und dazu ausgebildet sind, von den Sensoranordnungen empfangene Betätigungsinformationen miteinander auszutauschen. Dementsprechend kann die durch die zweite Sensoranordnung ermittelte zweite Betätigungsinformation an das primäre Bremssystem übermittelt und dort hinsichtlich dessen Gültigkeit und Plausibilität gegenüber der ersten Betätigungsinformation überprüft werden.

Es kann dabei jedoch auch vorgesehen sein, dass das zweite Bremssystem bereits die Prüfung der Gültigkeit der zweiten Betätigungsinformation durchführt und das entsprechende Ergebnis an das erste Bremssystem übermittelt. Hierzu wird vorzugsweise bei Ermittlung, dass eine Betätigungsinformation nicht gültig ist, ein der Betätigungsinformation zugeordneter Gültigkeits-Marker erzeugt.

Vorzugsweise ist/sind dabei das primäre und/oder sekundäre Bremssystem dazu ausgebildet, solche Gültigkeits-Marker für Betätigungsinformationen miteinander auszutauschen. Auf Grundlage der ausgetauschten Gültigkeits-Marker kann dann beispielsweise das erste Bremssystem prüfen, ob eine nachfolgende Prüfung auf Plausibilität überhaupt durchgeführt werden soll, oder aufgrund der fehlenden Gültigkeit einer oder beider Betätigungsinformationen entfallen kann.

Dementsprechend ist vorzugsweise vorgesehen, dass das primäre und/oder das sekundäre Bremssystem dazu ausgebildet ist/sind, erzeugte und/oder empfangene Gültigkeits-Marker bei der lokalen Durchführung des Verfahrens zu

berücksichtigen.

Die Prüfung der Gültigkeit der ersten oder zweiten Betätigungsinformation oder beider Betätigungsinformationen kann dabei grundsätzlich durch das erste

Bremssystem, das zweite Bremssystem oder beide Bremssysteme parallel erfolgen. Gleichermaßen kann auch die Prüfung der Plausibilität der

Betätigungsinformationen durch das erste Bremssystem, das zweite Bremssystem oder beide Bremssysteme erfolgen.

Zur Steigerung der Betriebssicherheit einer nach dem erfindungsgemäßen

Verfahren betriebenen Bremsanlage ist nach einer weiteren Ausführungsform ferner vorgesehen, dass das primäre Bremssystem oder das sekundäre Bremssystem eine dritte Sensoranordnung zur Bestimmung des durch das primäre Bremssystem erzeugten Bremsmoments aufweist, wobei das sekundäre

Bremssystem dazu ausgebildet ist, die durch die dritte Sensoranordnung ermittelte Sensorinformationen auszulesen. Beispielsweise kann es sich bei der dritten Sensoranordnung um einen Drucksensor handeln. So kann das Bremsmoment aus einem durch den Drucksensor ermittelten Systemdruck ermittelt werden.

Gemäß dieser Ausführungsform ist das zweite Bremssystem jederzeit in der Lage aus der Zusammenschau der zweiten Betätigungsinformation und dem in dem ersten Bremskreis erzeugten Bremsmoment zu erkennen, ob das erste

Bremssystem nach wie vor so funktioniert wie vorgesehen. Wird dabei durch das zweite Bremssystem erkannt, dass das durch das erste Bremssystem

bereitgestellte Bremsmoment nicht mit einer aus der zweiten und/oder der ersten Betätigungsinformation abgeleiteten Bremsanforderung übereinstimmt, kann beispielsweise vorgesehen sein, dass das zweite Bremssystem eine Warnung an den Fahrzeugführer ausgibt. Ferner kann das zweite Bremssystem dazu

ausgebildet sein, in einem solchen Fall das Fahrzeug kontrolliert, mit einer definierten Verzögerung zum Stehen zu bringen.

Hieran anknüpfend ist nach einer weiteren Ausführungsform ferner vorgesehen, dass das sekundäre Bremssystem bei einer Unterbrechung der Kommunikation mit dem primären Bremssystem prüft, ob die Sensorinformationen zu einer aus der zweiten Betätigungsinformation ermittelten Bremsanforderung passt, wobei in dem Fall, dass die Sensorinformation nicht zu der aus der zweiten

Betätigungsinformation ermittelten Bremsanforderung passt, das sekundäre Bremssystem die aus der zweiten Betätigungsinformation abgeleitete

Bremsanforderung umsetzt. Folglich verzögert in diesem Fall das zweite

Bremssystem das Fahrzeug vollständig unabhängig von dem ersten Bremssystem. Hierzu ist das zweite Bremssystem vorzugsweise dazu ausgebildet, die

Radbremsen einer Vorderachse des Fahrzeugs mit einem Bremsdruck zu beaufschlagen. Dies ist insbesondere vorteilhaft, da üblicherweise die größte Kraftübertragung bei einem Bremsmanöver über die Vorderräder eines Fahrzeugs erfolgt. Nach einer bevorzugten Ausführungsform ist ferner vorgesehen, dass wenn beide Betätigungsinformationen gültig und plausibel sind, die Bremsanforderung nur aus der ersten Betätigungsinformation abgeleitet wird. Die zweite

Betätigungsinformation dient in diesem Fall lediglich zur Überprüfung der

Funktionsfähigkeit der Bremsanlage einerseits und zur Plausibilisierung der ersten Betätigungsinformation andererseits.

In einer hierzu alternativen Ausführungsform ist hingegen vorgesehen, dass die Bremsanforderung aus der ersten und der zweiten Betätigungsinformation bestimmt wird, wobei eine Gewichtung der ersten und zweiten

Betätigungsinformation bei der Bestimmung der Bremsanforderung von der Stärke der Bremsanforderung abhängt. So kann vorgesehen sein, dass beispielsweise bei einem geringen Betätigungsgrad der Bremsbetätigungseinheit die erste

Betätigungsinformation bei der Bestimmung der Bremsanforderung gewichtet wird, während ab einem gewissen Betätigungsgrad die zweite Betätigungsinformation stärker gewichtet wird. Die Gewichtung ist dabei beispielsweise abhängig von der Art der Sensoranordnung. So kann es Vorkommen, dass ein erster Typ von

Sensoranordnung für geringe Betätigungsgrade verlässlichere Werte liefert, als ein zweiter Typ von Sensoranordnung, während der zweite Typ von Sensoranordnung bei höheren Betätigungsgrade verlässlichere, oder feiner abgestufte Werte für die Betätigungsinformation liefert.

Zur Bestimmung der Gültigkeit einer Betätigungsinformation ist dabei nach einer weiteren Ausführungsform ferner vorgesehen, dass die Gültigkeit einer

Betätigungsinformation anhand einer sensorspezifischen Kennlinienfunktion bestimmt wird. Beispielsweise kann hierzu in einer Kennlinie vorgegeben werden, welche typischen Sensorsignale von den Sensoranordnungen zu erwarten, bzw. für diese Sensoranordnungen zulässig sind. Sofern ein empfangenes

Betätigungsinformation anhand der Kennlinie als zulässig erkannt wird, wird das Betätigungsinformation als„gültig“ gekennzeichnet. Wird hingegen ein

empfangenes Betätigungsinformation anhand der Kennlinie als unzulässig erkannt, wird das Betätigungsinformation dementsprechend als„ungültig“ gekennzeichnet. Die Plausibilität der Betätigungsinformationen wird nach einer weiteren

Ausführungsform dadurch ermittelt, indem geprüft wird, ob eine aus der ersten Betätigungsinformation abgeleitete Bremsanforderung innerhalb einer festgelegten Toleranz um eine aus der zweiten Betätigungsinformation abgeleiteten

Bremsanforderung liegt. Nur, wenn die Bremsanforderungen jeweils gegenseitig innerhalb der vorgegebenen Toleranzen liegen, werden die

Betätigungsinformationen als plausibel anerkannt. Wenn die Bremsanforderungen hingegen außerhalb der Toleranzen liegen, ist davon auszugehen, dass sich die ermittelten Betätigungsinformationen widersprechen, sodass die

Betätigungsinformationen als nicht plausibel gewertet werden. Vorzugsweise ist dabei vorgesehen, dass die Toleranz von Messtoleranzen der Sensoranordnungen und/oder sensorspezifischen Kennlinienfunktionen abhängt.

Zur Steigerung der Betriebssicherheit der Bremsanlage ist/sind dabei vorzugsweise die erste Sensoranordnung und/oder die zweite Sensoranordnung und/oder die dritte Sensoranordnung jeweils redundant ausgelegt. Ferner weist vorzugsweise wenigstens eine der Sensoranordnungen, insbesondere die erste und zweite Sensoranordnung, insbesondere alle Sensoranordnungen, jeweils redundante Signalpfade zur Übermittlung von Betätigungsinformationen an das primäre und/oder sekundäre Bremssystem auf.

Um eine Unabhängigkeit der von den Sensoranordnungen ermittelten

Betätigungsinformationen voneinander zu gewährleisten, ist nach einer weiteren Ausführungsform vorgesehen, dass die erste Sensoranordnung eine

Betätigungsinformation aus einer ersten physikalischen Messgröße und die zweite Sensoranordnung eine Betätigungsinformation aus einer zweiten physikalischen Messgröße ableitet, wobei die erste physikalische Messgröße sich von der zweiten physikalischen Messgröße unterscheidet. So kann gewährleistet werden, dass sich die Messungen, welche zu der Bestimmung der jeweiligen Betätigungsinformation führen, nicht gegenseitig beeinflussen. So wäre es bei einer gegenseitigen

Beeinflussung der Sensoranordnungen möglich, dass sich ein systematischer Fehler in beiden Sensoranordnungen gleichermaßen niederschlägt, sodass beide Betätigungsinformationen nach wie vor gültig und plausibel erscheinen, obwohl beide Betätigungsinformationen fehlerhaft sind.

Demgemäß kann vorgesehen sein, dass die ersten und/oder zweite

Sensoranordnung eine Betätigungsinformation aus einem von einem Bremspedal zurückgelegten Weg ermittelt, und/oder aus einem Drehwinkel eines Hebelarms ermittelt, an dem das Bremspedal gelagert ist. Ferner kann vorgesehen sein, dass die erste und/oder zweite Sensoranordnung eine Betätigungsinformation aus einer auf das Bremspedal ausgeübten Kraft und/oder aus einem aufgrund der Betätigung des Bremspedals in der Bremsbetätigungseinheit erzeugten hydraulischem Druck ermittelt.

Zur Steigerung der Ausfallsicherheit der Bremsanlage ist dabei ferner vorzugsweise vorgesehen, dass die Bremsanlage eine erste Energieversorgung zur Versorgung des primären Bremssystems und der ersten Sensoranordnung und/oder eine zweite Energieversorgung zur Versorgung des sekundären Bremssystems und der zweiten Sensoranordnung aufweist.

In einem weiteren Aspekt betrifft die Erfindung eine Bremsanlage für ein Fahrzeug mit einem primären hydraulischen Bremssystem und einer hydraulisch von dem primären Bremssystem entkoppelten Bremsbetätigungseinheit, wobei die

Bremsbetätigungseinheit wenigstens zwei Sensoranordnungen aufweist, die dazu ausgebildet sind, unabhängig voneinander eine Bremsanforderung beschreibende Betätigungsinformationen der Bremsbetätigungseinheit zu erfassen, wobei das primäre Bremssystem und die Bremsbetätigungseinheit dazu ausgebildet sind, das zuvor beschriebene Verfahren durchzuführen.

Dabei ist nach einer Ausführungsform vorgesehen, dass die Bremsanlage ein sekundäres hydraulisches Bremssystem aufweist, wobei die erste

Sensoranordnung mit dem primären Bremssystem und die zweite

Sensoranordnung mit dem sekundären Bremssystem zur Datenübertragung verbunden ist. Vorzugsweise sind dabei das primäre und das sekundäre

Bremssystem dazu ausgebildet, Daten der ersten Sensoranordnung und Daten der zweiten Sensoranordnungen, insbesondere Betätigungsinformationen,

auszutauschen. In diesem Fall kann auch vorgesehen sein, dass das zuvor beschriebene Verfahren durch das primäre Bremssystem und/oder das sekundäre Bremssystem und die Bremsbetätigungseinheit durchgeführt wird. Hierzu ist vorzugsweise das primäre Bremssystem mit dem sekundären Bremssystem verbunden, insbesondere über einen Datenbus.

Zur Durchführung wenigstens eines Teils des Verfahrens umfasst vorzugsweise das primäre Bremssystem ein erstes elektronisches Steuergerät, wobei das erste Steuergerät dazu ausgebildet ist, die Betätigungsinformationen hinsichtlich ihrer Gültigkeit und/oder Plausibilität zu prüfen und/oder das primäre Bremssystem zur Umsetzung einer Bremsanforderung anzusteuern. Alternativ oder zusätzlich kann ferner vorgesehen sein, dass das sekundäre Bremssystem ein zweites Steuergerät umfasst, wobei das zweite Steuergerät dazu ausgebildet ist, die

Betätigungsinformationen hinsichtlich ihrer Gültigkeit und/oder Plausibilität zu prüfen und/oder das sekundäre Bremssystem zur Umsetzung einer

Bremsanforderung anzusteuern. Je nach Ausgestaltung des Verfahrens können somit unterschiedliche Teilschritte des Verfahrens auch durch unterschiedliche Steuergeräte umgesetzt werden.

Dabei weist vorzugsweise die Bremsanlage eine erste Energieversorgung für das primäre Bremssystem und die erste Sensoranordnung und/oder eine zweite Energieversorgung für das sekundäre Bremssystem und die zweite

Sensoranordnung auf.

Nach einer bevorzugten Ausführungsform weist das primäre Bremssystem eine dritte Sensoranordnung zur Bestimmung des durch das primäre Bremssystem erzeugten Bremsmoments auf, wobei das sekundäre Bremssystem dazu ausgebildet ist, die durch die dritte Sensoranordnung ermittelte

Sensorinformationen auszulesen.

Vorzugsweise ist ferner das primäre Bremssystem als ein erstes

elektrohydraulisches Bremsensteuergerät/Bremsmodul ausgeführt und/oder das sekundäre Bremssystem als ein zweites elektrohydraulisches

Bremsensteuergerät/Bremsmodul ausgeführt, wobei insbesondere das erste und das zweite Bremsensteuergerät/Bremsmodul räumlich getrennt ist.

Weiter weist vorzugsweise die Bremsbetätigungseinheit einen Pedalkraftsimulator, insbesondere einen hydraulischen Pedalkraftsimulator, auf.

Im Folgenden werden bevorzugte Ausgestaltungen der Erfindung anhand der Zeichnungen näher erläutert. Dabei zeigen

Figur 1 eine schematische Darstellung einer Bremsanlage,

Figur 2 schematische Darstellungen einerBremsbetätigungseinheit mit

unterschiedlichen Sensoranordnungen,

Figur 3 eine schematische Darstellung der Verbindung zwischen primärem

Bremssystem und sekundärem Bremssystem und

Figur 4 ein Funktionsschema zur Darstellung der Informationsstruktur.

Im Folgenden werden einander ähnliche oder identische Merkmale mit denselben Bezugszeichen gekennzeichnet.

In einer Ausgestaltung der Erfindung wird die eingangs formulierte Aufgabe durch die Kombination eines redundanten Bremssystems mit einer, vorzugsweise als elektronisches Bremspedal ausgeführten, Bremsbetätigungseinheit zur

Fahrerwunscherfassung gelöst.

Diese Architektur ist zudem geeignet für modulare Fahrzeugkonzepte, bei denen Chassis und Aufbau flexibel kombinierbar sind und nur durch elektrische

Schnittstellen verbunden sind. Vorteilhaft für die Anwendung dieser Architektur ist ein redundantes Bordnetz, d.h. eine unabhängige elektrische Energieversorgung des Haupt- und

Backup-Bremssystems (primäres und sekundäres Bremssystem) und der jeweils angeschlossenen Sensoren bzw. Sensoranordnungen zur Fahrerwunscherfassung bzw. zur Erfassung von eine Bremsanforderung beschreibenden

Betätigungsinformationen der Bremsbetätigungseinheit. Dabei ist die

Bremsbetätigungseinheit hydraulisch/mechanisch von dem primären Bremssystem und dem sekundären Bremssystem entkoppelt. Dies wird im Folgenden mit Bezug auf die Figur 1 im Detail erläutert.

Die Figur 1 zeigt ein Ausführungsbeispiel der vorgeschlagenen Architektur einer Bremsanlage 100 basierend auf einer redundanten Architektur mit einem primären Bremssystem 102 (PBS) und einem sekundären Bremssystem 104 (SBS), wobei dem primären Bremssystem 102 das sekundäre Bremssystem 104 nachgeschaltet ist. Die Bremssysteme PBS und SBS können dabei sowohl (elektro)hydraulische Bremssysteme, als auch elektromechanische Bremssysteme sein. Die beiden Bremssysteme 102 und 104 verfügen jeweils über zugeordnete elektronische Steuergeräte (PBS ECU 106 und SBS ECU 108) und werden jeweils über separate Energieversorgungen (B1 bzw. Power Supply 1 1 10, B2 bzw. Power Supply 2 1 12) mit Strom versorgt. Aus Gründen der Übersichtlichkeit sind die Verbindungen zwischen den Energieversorgungen 1 10 und 1 12 und den versorgten Elementen der Bremsanlage 100 nicht dargestellt. Vielmehr ist durch die jeweiligen

Buchstaben B1 und B2 gekennzeichnet, welche Elemente von welcher

Energieversorgung 1 10 (B1 ) oder 1 12 (B2) gespeist werden.

Das primäre Bremssystem 102 ist dabei direkt mit den Radbremsen 1 16 und 1 18 einer Hinterachse des Fahrzeugs verbunden. Die Verbindung zwischen dem primären Bremssystem 102 und den Radbremsen 120 und 122 der Vorderachse des Fahrzeugs erfolgt dabei mittelbar über das sekundäre Bremssystem 104. Dabei ist vorzugsweise vorgesehen, dass ein von dem primären Bremssystem 102 für die Radbremsen 120 und 122 bereitgestellter Bremsdruck im Normalbetrieb der Bremsanlage 100 unverändert durch das sekundäre Bremssystem 104 hindurch zu den Radbremsen 120 und 122 geleitet wird. Erst bei einem Fehlerzustand der Bremsanlage 100, wie es im Folgenden noch erläutert wird, übernimmt das sekundäre Bremssystem 104 die Druckstellung für die Radbremsen 120 und 122 der Vorderachse.

Die Radbremsen 1 16 und 1 18 der Hinterachse sind dabei ferner jeweils mit einer integrierten Parkbremse (IPB) ausgestattet, wobei beide Parkbremsen jeweils von beiden Steuergeräten 108 und 106 steuerbar sind.

Ferner besteht eine Kommunikationsverbindung 124 zwischen dem Steuergerät 106 des primären Bremskreis 102 und dem Steuergerät 108 des sekundären Bremskreis 104, beispielsweise über einen entsprechend eingerichteten Datenbus.

Das primäre Bremssystem 102 mit dem Steuergerät 106 ist dabei vorzugsweise räumlich von dem sekundären Bremssystem 104 mit dem Steuergerät 108 getrennt.

Zur Erfassung einer Bremsanforderung durch einen Fahrzeugführer weist die Bremsanlage 100 die Bremsbetätigungseinheit 1 14 auf. Die vorzugsweise als elektronisches Bremspedal (E-Pedal) ausgebildete Bremsbetätigungseinheit 1 14 umfasst eine Pedalschnittstelle, vorzugsweise einen Pedalkraftsimulator, sowie mindestes zwei unabhängige Sensoren zur Erfassung der Pedalbetätigung, d.h. zur Fahrerbremswunscherfassung. Beispielhafte Betätigungsanordnungen sind in den Figuren 2 und 3 dargestellt. Neben einer durch den Fahrzeugführer ausgelösten Bremsanforderung kann eine Bremsanforderung ferner auch durch eine

Fahrfunktion, wie beispielsweise einen Autopilot („virtual driver“) ausgelöst werden. Derartige Bremsanforderungen werden von der entsprechenden Schnittstelle direkt an die beiden Steuergeräte 106 und 108 übermittelt.

Im Folgenden werden nun mit Bezug auf die Figur 2 unterschiedliche Varianten von Bremsbetätigungseinheiten 1 14 beschrieben. Gemein ist den dargestellten

Bremsbetätigungseinheiten 1 14, dass sie jeweils mindestens eine erste

Sensoranordnung 126 und eine zweite Sensoranordnung 128 aufweisen, die dazu ausgebildet sind, jeweils unabhängig voneinander eine Bremsanforderung aufgrund einer Betätigung eines Bremspedals 130 zu erfassen und eine entsprechende Betätigungsinformation zu ermitteln. Die beiden

Sensoranordnungen 126 und 128 der Bremsbetätigungseinheiten 1 14 sind vorzugsweise jeweils eigensicher, d.h. ein fehlerhaftes Signal wird erkannt. Die genauen Sicherheitsanforderungen sind aus einer Gefahrenanalyse in der konkreten Anwendung abzuleiten, im allgemeinen Fall ist jedoch von einer ASIL D Anforderung nach ISO 26262 auszugehen. Dies bedeutet wiederum, dass die beiden Sensoren bzw. Sensoranordnungen 126 und 128 jeweils redundante Signalpfade enthalten müssen. Ferner weisen die Bremsbetätigungseinheiten 1 14 jeweils einen Pedalkraftsimulator 134 auf, der dazu ausgebildet ist, bei einer Betätigung des Bremspedals 130 eine Kraft auf das Bremspedal 130 zu bewirken, die der Betätigung des Bremspedals 130 entgegen gerichtet ist und in ihrem Kraft-Weg-Verhalten ein klassisches, hydraulisches Bremssystem imitiert.

Um common-mode Fehler zu vermeiden, bspw. gleichzeitiges Versagen beider Sensoranordnungen 126 und 128 aufgrund der gleichen elektromagnetischen Einstrahlung, werden vorzugsweise diversitäre Messprinzipien angewandt.

Flierzu zeigt die Figur 2 a) ein Ausführungsbeispiel einer Bremsbetätigungseinheit 1 14 mit jeweils redundantem Weg- und Winkelsensor. Hierbei wird beispielsgemäß der Wegsensor (s) als primäre (erste) Sensoranordnung 126 und der Winkelsensor (a) als sekundäre (zweite) Sensoranordnung 128 betrachtet.

Unter einem redundanten Sensor bzw. einer redundanten Sensoranordnung wird dabei im Kontext dieser Erfindung eine Anordnung verstanden, bei der entweder die Signalerfassung, die Signalübertragung, oder sowohl die Signalerfassung, als auch die Signalübertragung jeweils mehrfach, mindestens jedoch doppelt ausgeführt sind.

Alternativ kann, wie in Figur 2 b) dargestellt, ein sekundäres Fahrerwunschsignal bzw. eine entsprechende Betätigungsinformation auch aus der Pedalkraft (F) mittels einer entsprechenden Sensoranordnung 126' abgeleitet werden. Die Messung der Kraft kann aus funktionalen Gründen vorteilhaft sein, da sich in der Regel eine bessere Auflösung bei hohen Werten des Fahrerwunschs ergibt („Steiler Kennlinienast“). Kraftsensorik ist im Automobilbereich nicht verbreitet, eine

Möglichkeit der indirekten Messung besteht jedoch in der Erfassung eines hydraulischen Drucks, wobei die E-Pedal Baugruppe dann hydraulische

Komponenten umfasst („nasser Simulator“), was u.U. nicht erwünscht ist.

Vorteilhafterweise sollen nur trockene Komponenten im Fahrzeugaufbau, Hydraulik nur im Chassis verwendet werden. Eine entsprechende Ausgestaltung einer Bremsbetätigungseinheit 1 14 mit einem Drucksensor 132 ist in der Figur 2 c) dargestellt. Dabei ist der Drucksensor 132 als zusätzliche Sensoranordnung zu dem Winkelsensor 128“ und dem Wegsensor 126' ausgeführt.

Das im Folgenden beschriebene Betriebskonzept, bzw. Verfahren zum Betrieb der zuvor beschriebenen Bremsanlage 100, ist generisch angesetzt, basiert also nicht auf einer konkreten technischen Ausführung der Sensorik. Es wird allerdings die Architekturannahme getroffen, dass eine primäre (erster) Sensoranordnung 126 (z.B. Kolbenstangenwegsensor) an das primäre Bremssystem 102 (PBS) und eine sekundäre Sensoranordnung 128 (z.B. Pedalwinkelsensor) an das sekundäre Bremssystem 104 (SBS) angeschlossen ist.

Weiterhin wird vom Vorhandensein einer Kommunikationsschnittstelle 124

(PBS-SBS COM) zwischen primärem Bremssystem 102 (PBS) und sekundärem Bremssystem 104 (SBS) sowie einer unabhängigen elektrischen

Energieversorgung 1 10 und 1 12 aller primären und sekundären Baugruppen ausgegangen. Die Figur 4 verdeutlicht den zu Grunde liegenden generischen Architekturansatz.

Auf dieser Architektur basierend stehen beide Fahrerwunschsensorsignale

(Betätigungsinformationen) in den elektronischen Steuergeräten 106 und 108 (SBS ECU, PBS ECU) beider Bremssysteme 102 und 104 zur Verfügung. Dies gilt sowohl für die Signalwerte der ersten Betätigungsinformation PDBRS 200 (Primary Driver Brake Request Signal), der zweiten Betätigungsinformation SDBRS 202

(Secondary Driver Brake Request Signal) als auch deren Gültigkeitsflags

(Gültigkeits-Marker) PDBRS_Valid, SDBRS_Valid, die in einem ersten

Verarbeitungsschritt 204 bzw. 206 ermittelt werden. Diese Gültigkeitsflags nehmen den Wert„True“ an, wenn das jeweilige Signal auf dem verarbeitenden Steuergerät als gültig erkannt wurde, sonst den Wert„False“. Somit kann in der Verarbeitungslogik beider Steuergeräte 106 und 108 jeweils ein primärer Fahrerbremswunsch PDBR (erste Bremsanforderung) und ein sekundärer Fahrerbremswunsch SDBR (zweite Bremsanforderung) gebildet werden.

Diese Berechnung erfolgt in Schritt 208 bzw. 210 durch Anwendung einer primären (sensorspezifischen) Kennlinienfunktion PF auf das primäre

Fahrerbremswunschsignal und einer sekundären (sensorspezifischen)

Kennlinienfunktion SF auf das sekundäre Fahrerbremswunschsignal, d.h.

PDBR = PF(PDBRS)

SDBR = SF(SDBRS)

Sofern beide Signale gültig sind, d.h.

PDBRS_Valid == True && SDBRS_Valid == True, ist in Schritt 212 eine zusätzliche Plausibilitätsüberwachung anzuwenden, die prüft ob die Abweichung zwischen primärem und sekundärem Fahrerbremswunsch in den erwarteten Toleranzen liegt.

Durch diese zusätzliche Überwachungsebene können unerwartete Fehlermodi, die trotz der Sicherstellung der notwendigen Integritätslevel (ASIL Anforderungen) auftreten, abgefangen werden.

In der folgenden Tabelle wird definiert, wie der resultierende Fahrerbremswunsch vorteilhafterweise gebildet wird, in Abhängigkeit der Gültigkeit der Einzelsignale und dem Ergebnis der Plausibilitätsüberwachung.

Im fehlerfreien Normalbetrieb, Fall #1 der Tabelle, sind beide Signale gültig und ihre Plausibilität zueinander ist ebenfalls gegeben. Die Abweichung zwischen dem berechneten primären und sekundären Bremswunsch ist somit kleiner als ein

Schwellwert, der sich aus den Toleranzen der Sensoren und den unterschiedlichen Funktionen PF, SF ergibt.

Im Normalbetrieb wird der resultierende Bremswunsch dann in Schritt 214 bspw. nur aus dem primären Sensor abgeleitet. Sofern funktionale Gründe, z.B. eine bessere Auflösung des sekundären Signals bei hohen Werten des Bremswunschs für dessen Verwendung sprechen, kann alternativ auch eine Überblendung zwischen primären und sekundärem

Fahrerbremswusch in Schritt 214 realisiert werden.

Sobald eines der Sensorsignale ungültig ist, Fälle #2 und #3 in der Tabelle, wird der resultierende Fahrerbremswunsch in Schritt 214 vorzugsweise aus dem

verbliebenen gültigen Signal berechnet. In diesen Fällen steht keine weitere Redundanzebene innerhalb der Bremsanlage mehr zur Verfügung, so dass der Fahrer vorzugsweise über eine Bremsenwarnlampe informiert wird.

Es liegt dann in der Verantwortung des Fahrers, ob er die Fahrt mit roter Warnlampe fortsetzt oder beendet. Teil des Gesamtsicherheitskonzeptes auf Fahrzeugebene kann aber auch sein, das Risiko einer Weiterfahrt zu minimieren durch Maßnahmen wie

• Begrenzung der maximalen Fahrzeuggeschwindigkeit

• Begrenzung des maximalen Beschleunigungsvermögens

• Aktivieren eines erhöhten Motorschleppmomentes bzw.

Generatorbremsmomentes beim Lösen des Fahrpedals

Der Fall #4 adressiert die unerwartete Situation, dass eine Plausibilitätsabweichung zwischen primärem und sekundärem Fahrerbremswunsch festgestellt wird, obwohl beide Sensoranordnungen 126 und 128 ein gültiges Signal liefern. In diesem Fall wird bevorzugt ein Default-Fahrerwunsch generiert, und das Fahrzeug mit einer vordefinierten Abbremsung zum Stillstand gebracht.

Um gleichzeitig die Sicherheitsziele gegen Unterbremsen wie gegen Überbremsen nicht zu verletzen, wird hierfür bevorzugterweise eine Abbremsung mit 2,44 m/s 2 durchgeführt.

Die gleiche Strategie kann auch im Zweitfehlerszenario, Fall #5, angewandt werden, d.h. wenn beide Fahrerwunschsensoren (nacheinander) ausfallen. Das in Figur 4 dargestellte Blockdiagramm zeigt eine beispielhafte Realisierung eines Betriebskonzeptes zur Fahrerwunschbildung auf den elektronischen

Steuergeräten des primären und sekundären Bremssystems. Die

Verarbeitungslogik ist hierbei auf beiden Systemen gleich, sollte jedoch

vorzugsweise unterschiedlich implementiert werden, um die Forderung nach Software-Diversität zu erfüllen.

Als Spezialfall kann die Unterbrechung der Kommunikation zwischen primärem und sekundärem Bremsensteuergerät betrachtet werden.

Wird auf dem primären Steuergerät 106 (PBS ECU) der Verlust der Kommunikation zum sekundären Steuergerät 108 (SBS ECU) festgestellt, entspricht dies dem Fall #2 in der Tabelle, d.h. die zweite Betätigungsinformation auf dem primären

Steuergerät 106 ist ungültig. Das primäre Bremsensteuergerät 106 wird aber weiterhin den primären Fahrerbremswunsch aus der ersten Betätigungsinformation erfassen und diesen ausführen.

Stellt das sekundäre Steuergerät 108 den Verlust der Kommunikation zum primären Steuergerät 106 fest, sind zwei Szenarien möglich: a) Es liegt eine Unterbrechung der Kommunikation vor, das primäre

Bremssystem 102 ist aber intakt und führt den Fahrerbremswunsch weiterhin aus.

b) Das primäre Bremssystem 102 ist ausgefallen.

Um diese beiden Szenarien zu unterscheiden, enthält das sekundäre Bremssystem 104 vorzugsweise eine Überwachung des primären Bremssystems 102.

Flierzu verwendet das sekundäre Bremssystem 104 vorzugsweise eine interne Sensorik zur Erfassung des tatsächlich gestellten Bremsmoments (dritte

Sensoranordnung). Z.B. ist diese dritte Sensoranordnung ein Drucksensor des primären Bremssystems 102 oder des sekundären Bremssystems 104. Das tatsächlich gestellte Bremsmoment wird mit dem innerhalb des sekundären Bremssystems 104 berechneten sekundären Fahrerbremswunsch verglichen. Wird hierbei festgestellt, dass der Bremswunsch nicht oder nur unzureichend umgesetzt wird, also Szenario b) vorliegt, wird vorzugsweise das sekundäre Bremssystem 104 aktiv und führt den berechneten Bremswunsch aus.

Bevorzugt werden ein Systemansatz und ein Betriebskonzept für ein System nach dem brake-by-wire Prinzip vorgestellt, die ohne eine hydraulische Rückfallebene auskommen.

So werden vorteilhafterweise Anwendungsfälle des automatisierten Fahrens unterstützt, wobei auch im Fehlerfall eine Entkopplung des Bremspedals 130 aufrecht erhalten wird. Vorteilhafterweise werden Fahrzeugkonzepte mit modularer

Fahrwerks-/Aufbaugestaltung durch das Wegfallen mechanischer Schnittstellen vereinfacht.