用于控制安全相关过程的设备和用于测试其功能性的方法技术

本发明专利技术还涉及一种用于控制安全相关过程的设备，其中，冗余地构造制动系统，存在初级制动系统和次级制动系统。这两个制动系统都能够使车辆安全地制动，并且在错误情况下承担相应另一个制动系统的功能。安全相关过程的控制基于对至少一个传感器(120)的信号的分析，对于制动过程来说是车轮转速传感器。建议改进的硬件架构和用于该硬件架构的测试模式。存在通信总线(140)，其实现初级控制设备(110)与次级控制设备(130)之间的数据交换。至少一个传感器(120)能够连接在初级控制设备(110)和次级控制设备(130)上，其中，初级控制设备(110)和次级控制设备(136)分别配有传感器隔离电路(116、136)，传感器隔离电路在激活时将初级控制设备或次级控制设备与至少一个传感器(120)分离。

Equipment for controlling safety related processes and methods for testing its functionality

The invention also relates to a device for controlling safety-related processes in which a brake system is redundantly constructed and there is a primary brake system and a secondary brake system. Both braking systems enable the vehicle to brake safely and to assume the function of the corresponding other braking system in case of mistake. The control of the safety-related process is based on the analysis of the signals of at least one sensor (120), which is the wheel speed sensor for the braking process. The improved hardware architecture and the testing mode for the hardware architecture are suggested. There is a communication bus (140) that implements data exchange between the primary control device (110) and the secondary control device (130). At least one sensor (120) can be connected to the primary control device (110) and the secondary control device (130), wherein the primary control device (110) and the secondary control device (136) are equipped with a sensor isolation circuit (116, 136) respectively, and the sensor isolation circuit activates the primary control device or the secondary control device with at least one sensor. The device (120) is separated.

【技术实现步骤摘要】
用于控制安全相关过程的设备和用于测试其功能性的方法
自主驾驶(有时也被称为自动驾驶或自动化驾驶或导航驾驶)被理解为很大程度地自主操作的车辆、移动式机器人和无驾驶员的运输系统的前进。存在自动驾驶概念的多个不同分级。在此若有时还仅监控自动驾驶过程的驾驶员位于车辆内，则自动驾驶负责确定的分级。在欧洲多个不同的交通部门(在德国则是联邦机构参与交通)共同合作并且制定以下自动级别。·级别0：“仅驾驶员”，驾驶员自行驾驶、转向、加油、制动等。·级别1：对于车辆条件的确定的辅助系统(其中还有距离调节系统-自动巡航控制(AutomaticCruiseControl，ACC))。·级别2：部分自动化。其中还有自动泊车、车道保持功能、一般的纵向导引、加速、制动等由辅助系统完成(其中还有交通堵塞助理)。·级别3：高自动化。驾驶员不必持续监控系统。车辆自动地实施诸如触发信号灯、变道和车道保持的功能。驾驶员可以投入其他事物，然而要求驾驶员在必要时在系统的预警时间之内采取控制。该自动方式在公路上在技术上能够实现。立法者致力于准许级别3车辆。为此已经完成了法律框架条件。·级别4：全自动。持续地通过系统对车辆进行控制。如果系统不再胜任驾驶任务，则可以要求驾驶员采取控制。·级别5：无需驾驶员。在目的地确定且系统开启之外就不需要人为干预。3级以上的自动化驾驶功能减轻了驾驶员对车辆控制的责任。进行参与的制动和稳定化系统会因为个别错误发生故障，因此需要合适的倒退平面，以使车辆总是能够保持在行驶动态安全的状态中，直至驾驶员能够重新干预为止。用于该类车辆的制动系统始终冗余地设计，所述制动系统提供3级以上的自动化驾驶。制动系统则能够由两个部件、也即初级制动系统和次级制动系统组成，由此一个部件可以发生故障，而不会危及驾驶稳定性。
技术介绍
为安全起见，驾驶功能在60km/h以上的速度范围内除了保证减速的可用性之外还需要保证例如在防抱死系统ABS中的防滑控制功能的可用性。该防滑控制功能需要传感器数据作为控制值。为此还包括车轮转速的检测，例如目前在用于驾驶动态调节的控制设备(电子稳定控制ElectronicStabilityControl，ESC)中所实施的检测。如果ESC电子器件(初级制动系统)发生故障，则驾驶功能和防滑控制功能在次级制动系统中不能再提供针对车轮的运动信息，从而不能再实现倒退平面的调节。基于标准车轮转速传感器的电子接口不容易实现的是，将传感器连接在两个控制设备上，以便能够将必要的信息传递至两个控制设备。传感器将其信号通过传递协议进行传送，该传递协议用于定义的电流电平。为此使用VDA协议。在两个控制设备并联时电流分流并且在两个控制设备中都无法实现电平的识别。当单独的车轮转速传感器连接在数据总线、例如CAN-总线(控制器区域网络)上时则是不同的，通过所述数据总线就能够将数据传递到多个相连的控制设备上。列举以下已知的技术方案：a)使用4个辅助的车轮转速传感器，从而总共使用8个车轮转速传感器。也就是说每个车轮和控制设备都使用一个车轮转速传感器。b)使用4个冗余的车轮转速传感器。在此，用于车轮转速传感器的部件包含2个传感器元件，所述传感器元件具有独立的输出，分别用于每个连接的控制设备。根据制动过程是由哪个设备控制的，分析合适的传感器元件。两个传感器元件始终同时处于运行中。由文献DE102015110965A1已知一种设备，所述设备设计用于自动控制的车辆的可靠制动。该设备被冗余地安装。该设备包含也被称为初级模块的第一制动控制模块和也被称为次级模块的第二制动控制模块。在第一实施例中，在第一制动控制模块上连接所有的车轮转速传感器。第一制动控制模块通过数据连接将车轮转速传感器的车轮转速数据提供给第二制动控制模块。在第二实施例中，在第一制动控制模块上连接有多个车轮转速传感器，并且仅少数车轮转速传感器连接在第二制动控制模块上。由文献DE102015209565A1已知一种系统，所述系统同样设计用于自动控制的车辆的可靠制动。其中同样也存在初级制动系统和次级制动系统。初级制动系统配有第一控制设备(例如ESP/ABS设备)。而且该控制设备也冗余地安装。该控制设备由构造为ASIC的第一控制装置和第二控制装置组成。通过两个控制装置能够为车轮转速传感器提供电压。车轮转速数据由第二控制装置检测，并且能够通过车辆总线(例如CAN总线)传递至外置的控制设备，所述外置的控制设备对次级制动系统采取控制。即使第一控制设备的第一控制装置和微控制器故障，车轮转速数据仍能够传递给外置的控制设备。由文献EP1219489A2已知一种用于控制和/或监控具有至少两个控制设备的控制设备组合的系统。第一控制设备具有多个功能，也即实施其本身固有的控制功能、监控其本身固有的控制功能和监控第二控制设备。如果第一控制设备确认了第二控制设备的故障功能，则该第一控制设备关断第二控制设备。已知的技术方案存在若干弊端。针对4个额外的车轮转速传感器或4个冗余的车轮转速传感器，必须在车载网络中较之之前双倍数量地预留线路。用于标准传感器的成本上升，因为需要双倍的数量。冗余的传感器具有少件数的弊端，并且可预期对此的成本还更高。根据上述公开文献的技术方案具有相同的目标，然而其描述了仅在两个控制设备中的一个上使用的电路。这带来了多种弊端：在包含该电路的控制设备中需要双倍数量的用于车轮转速传感器的插接触头(例如16个，而非8个插接触头)。当初级的控制设备中的供给电压故障而切换到次级的控制设备时，必须考虑在切换逻辑中的电压损耗，因为必须强制地使用自传导的MOSFET(金属氧化物半导体场效应晶体管)。
技术实现思路
在本专利技术的范畴内认识到，现有的技术方案不能高效利用车轮转速传感器，并因此用于额外的车轮转速传感器的成本过高。根据本专利技术建议了一种特殊的硬件架构。该硬件架构包含标准化的硬件接口，用于将4个标准车轮转速传感器连接在两个控制设备上。根据本专利技术针对该硬件架构同样建议了一种用于运行模式的行为模式，所述行为模式能够确保，即使在两个控制设备的其中一个上出现个别错误，所有传感器的数据也能直接被其他控制设备接收。在此，数据通过车辆总线传递至其他控制设备，并且还提供给其他接收器。这样可以在两个控制设备中设置倒退平面，所述倒退平面能够始终有助于车轮转速信息的存在。此外还建议了一种测试模式，所示测试模式用于，检查系统的全部功能性。由此确保系统满足驾驶功能的冗余要求。标准化硬件接口提供的优点在于，硬件能够在所有控制设备中相同地实施。原则上在控制设备中使用常规的包含传感器接口的电路。然而在IC与传感器之间还在控制设备中安插了传感器隔离电路，所述传感器隔离电路能够中断传感器与故障控制设备之间的连接，从而电流不会流经该接口。由此能够使车轮转速传感器并行连接在两个控制设备上，因为通过传感器隔离电路能够确保两个控制设备的其中一个断开接口并因此传感器电流不分流。每个控制设备都必须控制隔离电路并且能够通过车辆总线对相应的状态进行通信。控制设备的故障一定至少导致，电路断开该控制设备到传感器的连接。这可以例如借助既有的监控电路(看门狗电路)实现。看门狗功能在当前的制动系统中无论如何都存在，并且一旦识别到促动器或电子器件不能再被控制并且由此面临车辆的不稳本文档来自技高网...

【技术保护点】
1.一种用于控制安全相关过程的设备，其中，所述设备(100)冗余地构造，所述设备具有初级控制设备(110)和次级控制设备(130)，其中，所述次级控制设备(130)在错误情况下承担初级控制设备(110)的功能，其中，基于对至少一个传感器(120)的信号的分析进行安全相关过程的控制，其中存在通信总线(140)，所述通信总线(140)实现初级控制设备与次级控制设备之间的数据的交换，其特征在于，至少一个传感器(120)能够连接在初级控制设备(110)和次级控制设备(130)上，其中，初级控制设备(110)和次级控制设备(136)分别配有传感器隔离电路(116、136)，所述传感器隔离电路在激活时将初级控制设备或次级控制设备与至少一个传感器(120)分离。

【技术特征摘要】
2017.04.07 DE 102017206035.2;2017.06.08 DE 10201721.一种用于控制安全相关过程的设备，其中，所述设备(100)冗余地构造，所述设备具有初级控制设备(110)和次级控制设备(130)，其中，所述次级控制设备(130)在错误情况下承担初级控制设备(110)的功能，其中，基于对至少一个传感器(120)的信号的分析进行安全相关过程的控制，其中存在通信总线(140)，所述通信总线(140)实现初级控制设备与次级控制设备之间的数据的交换，其特征在于，至少一个传感器(120)能够连接在初级控制设备(110)和次级控制设备(130)上，其中，初级控制设备(110)和次级控制设备(136)分别配有传感器隔离电路(116、136)，所述传感器隔离电路在激活时将初级控制设备或次级控制设备与至少一个传感器(120)分离。2.根据权利要求1所述的设备，其特征在于，设有用于监控初级控制设备(110)的功能的监控设备(118)。3.根据权利要求1或2所述的设备，其特征在于，设有用于监控次级控制设备(130)的功能的监控设备(138)。4.根据权利要求2或3所述的设备，其特征在于，监控设备(118、138)涉及程序运行监控设备、尤其“看门狗”设备。5.根据上述权利要求中任一项所述的设备，其特征在于，传感器隔离电路(116、136)包含UND电路，所述UND电路引起至少一个传感器(120)在相应的初级控制设备或次级的控制设备上接入的情况是，由监控设备(118、138)得到表明相应的控制设备无故障地工作的信号并且由相应的控制设备的微控制器(114、134)表明该控制设备处于一种状态，在所述一种状态下在相应的次级控制设备或初级控制设备上设置至少一个传感器(120)的信号的处理装置和/或传导装置。6.根据权利要求5所述的设备，其特征在于，安全相关过程是汽车的制动过程，并且所述设备安装在所述汽车中。7.根据权利要求6所述的设备，其特征在于，所述初级控制设备(110)是用于汽车的初级制动系统的控制设备。8.根据权利要求6或7所述的设备，其特征在于，所述次级控制设备(130)是用于汽车的次级制动系统的控制设备。9.根据权利要求6至8中任一项所述的设备，其特征在于，至少一个传感器(120)是车轮转速传感器。10.一种用于测试根据上述权利要求中任一项所述的设备(100)的方法，其特征在于，初级控制设...

【专利技术属性】
技术研发人员：A施纳，
申请(专利权)人：大众汽车有限公司，
类型：发明
国别省市：德国,DE