DE10015225A1

DE10015225A1 - Verfahren und Vorrichtung zur Ermittlung einer konsolidierten Eingangsgröße

Info

Publication number: DE10015225A1
Application number: DE10015225A
Authority: DE
Inventors: Stefan Stoelzl; Rolf Isermann; Marcus Boerner
Original assignee: Continental Teves AG and Co OHG
Current assignee: Continental Teves AG and Co OHG
Priority date: 1999-08-25
Filing date: 2000-03-27
Publication date: 2001-04-05

Abstract

Bei einem Verfahren zur Ermittlung einer konsolidierten Eingangsgröße (S0) für eine Steuerung eines Fahrzeugs aus mindstens zwei redundanten erfaßten Größen (S1, S2, S3, S4) werden die jeweiligen erfaßten Größen (S1, S2, S3, S4) in Abhängigkeit von den jeweiligen Unterschieden (r1, r2, r3, r4, r5, r6) der erfaßten Größen (S1, S2, S3, S4) zu einer oder mehreren Vergleichsgrößen (S0; S1, S2, S3, S4) und/oder in Abhängigkeit vom Inhalt eines oder mehrerer jeweiliger Fehlerzähler (FZ1i, FZ2i, FZ2i, FZ3i) für eine oder mehrere erfaßte Größen (S1, S2, S3, S4) gewichtet. Die gewichteten erfaßten Größen werden zur konsolidierten Eingangsgröße (S0) verrechnet. Es wird eine Fehlererkennung der erfaßten Größen (S1, S2, S3, S4) durchgeführt und einer oder mehrere der jeweiligen Fehlerzähler (FZ1i, FZ2i, FZ3i) erhöht und/oder die jeweilige fehlerhafte erfaßte Größe bei der Gewichtung und/oder Verrechnung und/oder Fehlererkennung nicht berücksichtigt, wenn einer oder mehrere der jeweiligen Fehlerzähler (FZ1i, FZ2i, FZ3i) einen jeweiligen Zählerschwellenwert (SWFZ1i, SWFZ2i, SWFZ3i) überschritten haben.

Description

Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur Ermittlung einer konsolidierten Eingangsgröße für eine Steuerung eines Fahrzeugs aus mindestens zwei redundanten erfaßten Größen, die eine hohe Ausfallsicherheit gegenüber Fehlern besitzt, wobei beispielsweise eine Bremsanlage, ein Lenkeinschlag oder ein Antriebsmotor des Fahrzeugs auf der Basis der redundanten erfaßten Größen angesteuert wird.

Aus dem Flugzeugbau ist das mechanische Entkoppeln des Steuerknüppels von den Steuerrudern als "fly-by-wire" be kannt. Entsprechend ist man auch bei Kraftfahrzeugen be müht, z. B. das Bremspedal von der Bremsanlage, das Gaspedal von der Kraftstoffzufuhr oder das Lenkrad von dem Getriebe mechanisch zu entkoppeln und ein entsprechendes "brake-by- wire"-, "throttle-by-wire"- oder "shift-by-wire"-Prinzip einzuführen. Dabei wird der Fahrerwunsch, d. h. z. B. die Be tätigung des Bremspedals durch den Fahrer über Sensoren meßtechnisch erfaßt und daraus eine Bremskraft zur Ansteue rung der Radbremsen ermittelt. Da die Bremswirkung einer Bremsanlage z. B. abhängig vom ermittelten Bremswunsch ist, darf im Fehlerfall der Bremswunscherfassung, insbesondere im Fehlerfall der Sensorik oder der Elektronik selbst keine ungewollte Bremswirkung eingestellt werden. Deshalb wird z. B. der Bremswunsch des Fahrers jeweils unabhängig vonein ander durch wenigstens zwei Meßeinrichtungen erfaßt, die die Bremspedalbetätigung charakterisierende Größen redun dant erfassen.

In der DE 198 41 335 A1 werden mindestens zwei Meßeinrich tungen zur Ermittlung des Bremswunsches eingesetzt, die dieselbe die Bremspedalbetätigung charakterisierenden Grö ßen erfassen, wobei diese Bremswunschsignale mit einem Si gnal einer dritten Meßeinrichtung zwecks der Überwachung der Bremswunschmeßeinrichtungen miteinander verglichen wer den. Die Signale der beiden Meßeinrichtungen werden mitein ander verglichen, und wenn die Differenz zwischen diesen beiden größer als eine Schranke ist, wird auf einen fehler haften Sensor geschlossen. Dieser Sensor wird durch den Vergleich mit dem Signal der dritten Meßeinrichtung lokali siert. Das als fehlerhaft erkannte Sensorsignal wird durch das Signal der dritten Meßeinrichtung ersetzt, und das end gültige Signal zur Ermittlung der Bremskraft durch Bilden des Mittelwertes über beide fehlerfreien Signale oder durch Auswählen des fehlerfreien Signales selbst ermittelt.

Das dort vorgestellte Verfahren hat jedoch den Nachteil, daß nur ein einziger Fehler erkannt bzw. lokalisiert werden kann. Treten jedoch zwei Fehler auf, da z. B. zwei Meßein richtungen oder Sensoren gleichzeitig fehlerhaft sind, so sind diese Fehler entweder nicht zu erkennen oder nicht zu lokalisieren. Des weiteren führen einmalige Fehler aufgrund von Peaks, d. h. z. B. von Meßwertausreißern, zur sofortigen Abschaltung des fehlerhaften Sensors, auch wenn dieser da nach wieder fehlerfrei arbeitet. Dieses führt außerdem zu Sprüngen in dem ermittelten Bremswunsch, da ein Wechsel von einem zum anderen Sensor stattfindet.

In "Broen, R. B.: Performance of Fault Tolerant Estimators in a Noisy Environment, AIAA Guidance and Control Confe rence, Boston, Massachusetts, August 20-22, 1975" und "Broen, R. B.: New Voters for Redundant Systems, Journal of Dynamic Systems, Measurement, and Control, March 1975" sind verschiedene Auswahleinrichtungen, im folgenden Voter ge nannt, beschrieben, die aus redundanten Signalen ein einzi ges Ausgangssignal bestimmen. Erwähnt sind unter anderem eine Mittelwertbildung aus den redundaten Signalen, die Auswahl eines der redundanten Signalen durch den Median- Voter und eine gewichtete Mittelwertbildung aus den redun danten Signalen nach der Gleichung

mit den redundanten Eingangssignalen v₁, v₂, v₃ den Gewich ten w₁, w₂, w₃ und dem Ausgang V_out, wobei eine Möglichkeit zur Bestimmung der Gewichte gemäß folgender Gleichung ange geben wird:

Die Gleichungen (1) und (2) sind entsprechend auch auf mehr als drei redundante Signale erweiterbar. Des weiteren wird für den Fall von vier oder mehr redundanten Signalen vorge schlagen, dann, wenn ein Gewicht länger als eine vorgegebe ne Zeitdauer kleiner als ein Toleranzwert ist, das entspre chende, somit als fehlerhaft erkannte Signal nicht weiter zu berücksichtigen und die Auswahl nur noch über die übri gen redundanten Signale durchzuführen, d. h. den Redundanz grad um einen zu erniedrigen.

Aufgabe der Erfindung ist es, ein Verfahren und eine Vor richtung zur Ermittlung einer konsolidierten Eingangsgröße für eine Steuerung eines Fahrzeugs aus mindestens zwei red undanten erfaßten Größen anzugeben, die ausfallsicherer als bisher sind.

Diese Aufgabe wird mit den Merkmalen der unabhängigen An sprüche gelöst. Abhängige Ansprüche sind auf bevorzugte Ausführungsformen der Erfindung gerichtet.

Erfindungsgemäß können mindestens zwei redundante erfaßte Größen oder Signale in Abhängigkeit von den jeweiligen Un terschieden dieser Größen zu einer oder mehreren Ver gleichsgrößen gewichtet werden. Die gewichteten erfaßten Größen können dann zur konsolidierten Eingangsgröße ver rechnet werden. Unter Konsolidierung wird hierbei verstan den, daß ein fehlerhafter Sensorwert bzw. eine fehlerhafte erfaßte Größe so korrigiert, überdeckt bzw. vernachlässigt wird, daß das endgültige Sensorsignal bzw. die konsolidier te Eingangsgröße sozusagen fehlerfrei ist.

Weiterhin kann eine Fehlererkennung der erfaßten Größen durchgeführt werden. Unter Fehlererkennung wird hier eine Erkennung und/oder Lokalisierung, d. h. eindeutige Erken nung, einer oder mehrerer Fehler verstanden. Bevorzugt wird die eindeutige Erkennung eines Fehlers angestrebt, was aber nicht in allen Fällen möglich ist. Ist dieses nicht mög lich, so kann diese Unmöglichkeit zumindest festgestellt werden und entsprechende Schritte durchgeführt werden. Nä heres dazu später.

Außerdem kann einer oder mehrere jeweilige Fehlerzähler für eine oder mehrere als fehlerhaft erkannte erfaßte Größen erhöht werden, d. h. eine entsprechende Fehlerzählung durch geführt werden. Hat einer oder mehrere der jeweiligen Fehlerzähler einen jeweiligen Zählerschwellenwert über schritten, so kann die jeweilige fehlerhafte erfaßte Größe bei der Gewichtung und/oder Verrechnung und/oder Fehlerer kennung nicht weiter berücksichtigt werden. Dieses kann kurzzeitig oder auch langfristig geschehen. Die jeweiligen erfaßten Größen können in Abhängigkeit vom Inhalt eines oder mehrerer jeweiliger Fehlerzähler für eine oder mehrere erfaßte Größen gewichtet werden. Dadurch ist es möglich, Sprünge im konsolidierten Eingangssignal zu vermeiden und einen fehlerhaften Sensor bzw. ein entspre chendes Signal langsam auszublenden. Durch die Berücksich tigung von Zählerschwellenwerten für die Fehlerzähler bei der Beurteilung, ob eine redundante Größe bzw. ein redun dantes Signal ausgeblendet werden soll, können kurzzeitig auftretende Fehler abgefangen werden, so daß sie nicht zu einer vollständigen Ausblendung des entsprechenden Sensors bzw. des Sensorsignales führen.

Vorzugsweise repräsentieren die erfaßten Größen einen Fah rerwunsch zur Bremsung und/oder Beschleunigung und/oder Lenkung des Fahrzeugs ("steer-by-wire"-Prinzip). Insbeson dere können die Sensoren einen Bremspedal- bzw. Lenkweg und/oder die Bremspedal- bzw. Lenkgeschwindigkeit und/oder die Bremspedal- bzw. Lenkbetätigungskraft und/oder die Bremspedal- bzw. Lenkbeschleunigung und/oder den Bremspe dal- bzw. Lenkwinkel erfassen. Werden hierbei unterschied liche Größen wie z. B. ein Weg und eine Kraft erfaßt, so ist es vorteilhaft, diese in miteinander vergleichbare Größen umzuformen. Dieses kann über vorgegebene mathematische Mo delle erfolgen.

Mit der Erfindung kann eine hohe Sicherheit bei der Ermitt lung z. B. eines Fahrerwunsches auch im Falle fehlerhafter Signale bzw. Größen erreicht werden.

Verschiedene Ausführungsformen der Erfindung werden nun beispielhaft mit Bezug auf die beigefügten schematischen Zeichnungen näher erläutert. Es zeigen:

Fig. 1 ein Blockschaltbild einer Anwendungsmöglichkeit der erfindungsgemäßen Vorrichtung in einer Bremsanlage,

Fig. 2 eine Grafik, die die Unterschiede r1 bis r6 zwi schen den jeweiligen Sensorsignalen S1 bis S4 dar stellt,

Fig. 3 ein Blockschaltbild einer erfindungsgemäßen Ausfüh rungsform,

Fig. 4 ein Blockschaltbild einer weiteren erfindungsgemäßen Ausführungsform,

Fig. 5 ein Blockschaltbild einer erfindungsgemäßen Ausfüh rungsform für eine Bremsanlage eines Fahrzeugs,

Fig. 6 ein Zustandsdiagramm einer erfindungsgemäßen Aus führungsform,

Fig. 7 ein Flußdiagramm eines erfindungsgemäßen Verfahrens zur Ermittlung einer konsolidierten Eingangsgröße,

Fig. 8 ein Flußdiagramm zur Verdeutlichung des Ablaufes einer Fehlerzähleranpassung, und

Fig. 9 ein Flußdiagramm zur Darstellung des Ablaufes einer Rekonfiguration.

Fig. 1 zeigt beispielhaft eine erfindungsgemäße Vorrichtung 100, der vier Sensorsignale S1, S2, S3 und S4 sowie zwei Bremspedalschaltersignale X1 und X2 zugeführt werden. Jedes Sensorsignal S1 bis S4 kann dabei repräsentativ für die Bremspedalbetätigung sein, d. h. z. B. für die Bremspedal stellung oder die Betätigungskraft. Die Sensoren oder Meßeinrichtungen können dabei jeweils eine andere repräsen tative Größe erfassen oder auch jeweils dieselbe oder auch kombiniert. Es können auch vorzugsweise jeweils zwei Senso ren in einer Einheit oder einem Gehäuse zusammengefaßt wer den. Dann können die Einheiten jeweils unabhängig voneinan der mit einer Energieversorgung wie z. B. einer Batterie oder einem Akku versehen sein. Die Schaltersignale X1 und X2 können z. B. von Bremslichtschaltern ausgegeben werden, die z. B. bei einer Betätigung des Bremspedals ein entspre chendes Signal an die Bremslichter weitergeben. Anhand der Schaltersignale kann dann festgestellt werden, ob überhaupt eine Bremspedalbetätigung, d. h. ein Bremswunsch vom Fahrer vorliegt. Die Anzahl der Sensorsignale und Schaltersignale ist in den Figuren nur beispielhaft dargestellt. Sie kann je nach Bedarf variiert werden.

Gemäß Fig. 1 wird aus den vier Sensorsignalen S1 bis S4 mit der erfindungsgemäßen Vorrichtung 100, ggf. unter Berück sichtigung der Schaltersignale X1 und X2, ein konsolidier tes Signal S0 ermittelt, das einer Bremskraftermittlungs einrichtung 101 zugeführt wird, die daraus auf bekannte Weise eine Sollbremskraft FBsoll ermitteln kann. Die Soll bremskraft FBsoll wird dann einem Modul 102 zur Ansteuerung von Radbremsen zugeführt. Die Sensorsignale S1 bis S4 kön nen ebenso wie die Schaltersignale X1 und X2 mit Fehlern behaftet sein. Diese können in der erfindungsgemäßen Vor richtung 100 erkannt bzw. lokalisiert werden, um dann in geeigneter Weise möglichst wenig zum konsolidierten Ein gangssignal S0 beizutragen.

Zur Fehlererkennung können die Sensorsignale S1 bis S4 je weils zunächst daraufhin überprüft werden, ob sie innerhalb eines Plausibilitätsbereiches BPl liegen. Stellt ein Sen sorsignal z. B. eine Spannung dar, so kann diese technisch z. B. nur in einem Bereich zwischen einem Minimalwert von 0 V und einem Maximalwert von 5 V liegen. Der Plausibilitätsbe reich BPl könnte dann z. B. in Bereich zwischen 10% und 90% vom Maximalwert liegen. Liegt das Sensorsignal außerhalb dieses Bereiches, so liegt z. B. ein Kabelbruch vor, d. h. das Signal ist fehlerhaft. Dieses Signal bzw. der zugehöri ge Sensor können dann sofort ausgeblendet, d. h. nicht wei ter berücksichtigt werden.

Weiterhin können die Sensorsignale S1 bis S4 mit einem oder mehreren Vergleichssignalen verglichen werden, um festzu stellen ob sie fehlerhaft sind. Wird z. B. davon ausgegan gen, daß sich der Betätigungsgrad des Bremspedals nicht schneller als eine vorgegebene Geschwindigkeit ändern kann, so können die Sensorsignale S1 bis S4 z. B. mit dem zuvor ermittelten konsolidierten Eingangssignal S0 verglichen werden. Liegen die jeweiligen Unterschiede bzw. die Beträge der Unterschiede der einzelnen Sensorsignale S1 bis S4 zum vorherigen konsolidierten Eingangssignal S0 unterhalb eines jeweiligen ersten Fehlertoleranzwertes FTli, i = 1 bis 4, so kann davon ausgegangen werden, daß die Sensorsignale fehlerfrei sind. Andernfalls kann entsprechend auf einen Fehler eines oder mehrerer jeweiliger Sensorsignale ge schlossen werden.

Eine weitere Möglichkeit zur Fehlererkennung besteht darin, die Sensorsignale S1 bis S4 jeweils untereinander zu ver gleichen. Überschreiten die jeweiligen Unterschiede bzw. deren Beträge einen jeweiligen zweiten Fehlertoleranzwert FT2j, j = 1 bis 6, so kann auf einen entsprechenden Fehler geschlossen werden. Dieses soll anhand von Fig. 2 verdeut licht werden. Dort sind vier unterschiedliche Sensorsignale S1, S2, S3 und S4 über der Zeit dargestellt. Zum Zeitpunkt T werden ihre Werte erfaßt und entsprechende Differenzen bzw. deren Beträge r1, r2, r3, r4, r5 und r6 ermittelt. Diese ergeben sich z. B. aus folgender Gleichung:

r1 = S1 - S2,
r2 = S1 - S3,
r3 = S1 - S4,
r4 = S2 - S3,
r5 = S2 - S4,
r6 = S3 - S4 (3)

Die Differenzen zwischen den Sensorsignalen werden auch als Residuen bezeichnet. Da zu einem Residuum zwei Sensorsigna le beitragen, kann bei Überschreiten eines zweiten Fehler toleranzwertes FT2j durch ein Residuum noch nicht festge stellt werden, welcher von den beiden entsprechenden Senso ren bzw. welches von den entsprechenden beiden Sensorsigna len fehlerhaft ist. Dieses kann durch Berücksichtigung wei terer Residuen festgestellt werden. Ein Fehler kann somit eindeutig erkannt werden, wenn die jeweiligen drei Residu en, die zu einem Sensorsignal gehören, den jeweiligen zwei ten Fehlertoleranzwert FT2j überschreiten. Im Falle des Sensorsignals S1 wären die zugehörigen Residuen r1, r2 und r3.

Liegt nur ein Residuum bzw. dessen Betrag von den sechs Re siduen aus Gl. (3) unterhalb des zugehörigen zweiten Feh lertoleranzwertes FT2j, so sind kann auf zwei fehlerhafte Sensorsignale geschlossen werden, die eindeutig erkannt wer den können. Ist z. B. nur das Residuum r6 fehlerfrei, so werden die Sensorsignale S1 und S2 als fehlerhaft erkannt, wohingegen die Sensorsignale S3 und S4 als fehlerfrei er kannt werden. In den übrigen Fällen kann ein Fehler zwar erkannt, aber nicht lokalisiert werden. Hierbei können dann z. B. Bremslichtschaltersignale mit berücksichtigt werden, um z. B. zu erkennen, ob ein Bremswunsch vorliegt. In Fig. 2 weicht z. B. das Sensorsignal S4 in erheblichem Maße von den übrigen Sensorsignalen S1, S2 und S3 ab. Dieses zeigt sich in den großen Beträgen der Residuen r3, r5 und r6 im Ver gleich zu den übrigen Residuen r1, r2 und r4. Somit wird entsprechend Fig. 2 der Sensor bzw. das Sensorsignal S4 als fehlerhaft erkannt.

Es gibt verschiedene Möglichkeiten, aus Sensorsignalen bzw. erfaßten Größen ein konsolidiertes Signal S0 zu ermitteln. Die einfachste besteht darin, den Mittelwert aus den Sen sorsignalen zu bestimmen. Dieses bedeutet, daß jedes Sen sorsignal gleich gewichtet wird. Hierdurch kann der Einfluß eines fehlerhaften Signals verringert, d. h. herausgemittelt werden. Ein derartiges Verfahren ist mit wenig Aufwand im plementierbar, da es eine sehr einfache Struktur besitzt. Da hier kein spezielles Signal als konsolidiertes Signal ausgewählt wird, treten auch keine Sprünge bzw. Transienten in dem konsolidierten Signal durch einen Wechsel von einem Sensorsignal auf ein anderes auf. Da jedoch jedes fehler hafte Signal zum gleichen Anteil wie die fehlerfreien Si gnale eingeht, ist das konsolidierte Signal im Fehlerfall sehr ungenau. Dieses Verfahren kann dann angewendet werden, wenn ein Fehler nicht eindeutig erkannt werden kann.

Eine weitere Möglichkeit besteht darin, einen Median-Voter zu verwenden. Bei diesem Verfahren werden die Sensorsignale der Größe nach d. h. der Höhe ihres Wertes nach sortiert. Danach wird der mittlere Werte als konsolidiertes Signal ausgewählt. Im Falle einer geraden Anzahl von Signalen kann z. B. ein sog. zusätzliches Nullsignal hinzugefügt werden. Es wird dann wiederum der Größe der Singale bzw. der Werte nach sortiert und der mittlere Wert ausgewählt. Bei der An wendung eines Auswahl-Median-Voters kann zunächst das Sen sorsignal, das die größte Abweichung von den übrigen Sen sorsignalen aufweist, nicht weiter beachtet werden. Von den verbleibenden Sensorsignalen kann der Median ausgewählt werden.

Bei einem Mehrheits-Voter werden alle Sensorsignale mitein ander verglichen, d. h. z. B. die Residuen gebildet. Eine Fehlererkennung kann dabei wie oben beschrieben durch Ver gleich der Residuen mit einem jeweiligen zweiten Fehlerto leranzwert FT2j erfolgen. Die zweiten Fehlertoleranzwerte FT2j, die vorzugsweise gleich sind, können so vorgegeben sein, daß die Fehlererkennung auch bei mit Rauschen überla gerten Signalen möglich ist. Aus den als fehlerfrei erkann ten Signalen kann dann ein Mittelwert gebildet werden. Kann dabei kein Fehler eindeutig erkannt werden, so kann aus al len Signalen der Mittelwert gebildet werden.

Eine weitere vorteilhafte Möglichkeit, aus mehreren Sensor signalen ein konsolidiertes Signal zu bilden, besteht in der Gewichtung jedes einzelnen Sensorsignals in Abhängig keit von vorgegebenen Sensorsignalen (Gewichtungsfaktoren- Voter). Die Gewichtungsfaktoren für die einzelnen Sensorsi gnale hängen dabei z. B. von den jeweiligen Residuen, d. h. von den jeweiligen Differenzen eines Sensorsignals zu den übrigen Sensorsignalen ab. Dabei kann sich das konsolidier te Signal S0 anhand der folgenden Gleichungen aus den Sen sorsignalen S1, S2, S3 und S4 ermitteln lassen:

mit den Gewichten d1, d2, d3, d4:

Hierbei stellen r1 bis r6 die jeweiligen Residuen aus Glei chung (3) sowie a und b geeignete Skalierungsfaktoren dar. In einer vorteilhaften Ausführungsform können die Faktoren a und b gleich 1 sein. Durch den Nenner der Gleichung (4) wird eine Normierung der einzelnen Gewichtungsfaktoren d1 bis d4 erreicht, so daß ihre Summe gleich 1 wird. Daher kann der Nenner auch entfallen, wenn keine Normierung er forderlich ist.

Die obigen Gleichungen (3), (4) und (5) können auch ent sprechend auf drei Sensorsignale verringert bzw. auf mehr als vier Sensorsignale erweitert werden. Der Gewichtungs faktorenvoter basiert auf einer gewichteten Mittelwertbe rechnung. Dabei können die Gewichte di so adaptiert werden, daß das sich daraus ergebende konsolidierte Signal S0 hauptsächlich aus denjenigen Signalen bzw. Werten zusammen setzt, die dicht beieinanderliegen, d. h. nur geringe oder keine Unterschiede aufweisen. Gleichung (5) gibt eine Mög lichkeit zur Ermittlung der Gewichte an. Andere bekannte Möglichkeiten, wie sie z. B. in "Broen, R. B.: Performance of Fault Tolerant Estimators in a Noisy Environment, a.a.O." und "Broen, R. B.: New Voters for Redundant Systems, a.a.O." angegeben sind, sind ebenfalls denkbar.

Der Parameter a gibt an, wie "stark" die Gewichtung auf Ab weichungen der einzelnen Signale S1 bis S4 voneinander rea giert. Ist der Unterschied zwischen den einzelnen Signalen sehr klein, so werden alle Gewichte d1 bis d4 in etwa gleich groß, so daß sich aus dem Gewichtungsfaktoren-Voter ein Mittelwert-Voter ergibt. Je größer der Unterschied ei nes fehlerhaften Sensorsignals zu den übrigen Sensorsigna len ist, um so kleiner wird das entsprechende Gewicht di. Der Gewichtungsfaktoren-Voter ist in der Lage, einen feh lerhaften Sensor bzw. ein fehlerhaftes Sensorsignal allmäh lich auszublenden. Wenn ein Sensorsignal wegdriftet, wird es das Endergebnis immer weniger verfälschen. Dieser Voter arbeitet transientenfrei, so daß es nicht zu plötzlichen Sprüngen im konsolidierten Signals kommt.

Entsprechend ist es auch denkbar, den jeweiligen Unter schied der einzelnen Sensorsignale zu dem vorherigen konso lidierten Signal S0, z. B. zu dem konsolidierten Signal des letzten Abtastschritts anstelle der Residuen oder zusätz lich zur Ermittlung der Gewichte heranzuziehen.

Eine weitere Verbesserung läßt sich erzielen, indem die Fehlerhäufigkeit und/oder Dauer der Fehler bei der Gewich tung der einzelnen Sensorsignale S1 bis S4 berücksichtigt werden. In Fig. 3 ist ein Residuenermittlungsmodul 300 ge zeigt, dem vier Sensorsignale S1, S2, S3 und S4 zugeführt werden. Das Residuenermittlungsmodul 300 gibt sechs Residu en r1 bis r6 an ein Fehlerzähleranpassungsmodul 301 weiter das mehrere Fehlerzähler enthalten kann, die die Fehlerhäu figkeit und/oder Fehlerdauer der einzelnen Sensorsignale S1 bis S4 zählen können. Es können z. B. drei Fehlerzähler je Sensor bzw. Sensorsignal vorhanden sein.

Ein erster jeweiliger Fehlerzähler FZli, ein sog. Fehler dauerzähler kann z. B. zählen bzw. messen, wie lange ein entsprechendes fehlerhaftes Signal andauert. Ein jeweiliger zweiter Fehlerzähler FZ2i kann z. B. zählen, wie häufig ein Fehler eines jeweiligen Sensorsignals während einer Fahrt auftritt. Während der erste Fehlerzähler FZ1i z. B. zurück gesetzt werden kann, wenn das Signal wieder fehlerfrei ist, kann der zweite Fehlerzähler FZ2i am Ende einer Fahrt - und/oder am Anfang einer Fahrt zurückgesetzt werden. Der erste Fehlerzähler FZ1i kann ebenfalls zusätzlich am Ende bzw. zu Beginn einer Fahrt wieder zurückgesetzt werden.

Ein dritter Fehlerzähler FZ3i, ein sog. Servicefehlerzähler kann für jeden Sensor die Anzahl der Fahrten z. B. nach der letzten Inspektion bzw. Reparatur zählen, bei welcher der Sensor als ausgefallen bzw. fehlerhaft eingestuft wurde. der dritte Fehlerzähler FZ3i kann z. B. um einen vorgegebe nen Wert erhöht werden, wenn der entsprechende zweite Fehlerzähler FZ2i bei Fahrtende bzw. auch schon während der Fahrt größer als ein zugehöriger zweiter Zählerschwellen wert SWFZ2i ist. Die Erhöhung kann z. B. 2 betragen. Dahin gegen kann der dritte Fehlerzähler FZ3i nach einer fehler freien Fahrt, d. h. bei einem fehlerfreien Sensorsignal wäh rend der Dauer einer Fahrt, beispielsweise um 1 erniedrigt werden. Die Werte der Erhöhung bzw. Erniedrigung des Ser vicefehlerzählers können jedoch auch gleich oder andere Werte annehmen. Bei einer Reparatur kann dann der Service fehlerzähler wieder zurückgesetzt werden. Damit kann der Sensorzustand zwischen den Service- bzw. Inspektionsinter vallen über einen längeren Zeitraum beobachtet werden.

Das Fehlerzähleranpassungsmodul 301 kann dann entsprechend die jeweiligen Fehlerzählerwerte FZ1(S1) bis FZ3(S4), die in dem Modul in Abhängigkeit von den Fehlern der jeweiligen Sensorsignale angepaßt werden, an ein Konsolidierungsmodul 302 ausgeben, das außerdem die Sensorsignale S1 bis S4 er hält. Dieses Modul kann z. B. die einzelnen Gewichte d1 bis d4 in Abhängigkeit von den jeweiligen Fehlerzählerwerten und/oder den Residuen r1 bis r6 ermitteln. Dieses kann z. B. gemäß der folgenden Gleichungen durchgeführt werden:

Hierbei stellt diFZ den aufgrund der Fehlerzähler, di den Gewichtungsfaktoranteil aufgrund der Residuen und di* den Gesamtgewichtungsfaktor dar. i bezeichnet jeweils die Num mer des entsprechenden Sensorsignals, wobei n Sensorsignale berücksichtigt werden. Das konsolidierte Signal S0 läßt sich dann entsprechend Gleichung (8) ermitteln. Hierbei stellt der Nenner wiederum eine Normierung der einzelnen Gewichte di* dar, so daß diese z. B. einen Wertebereich von 0 bis 1 annehmen können. Ist keine Normierung erwünscht bzw. erforderlich, so kann der Nenner der Gleichung (8) weggelassen werden.

Es ist ebenfalls denkbar, in Gleichung (6) eine Gewichtung der einzelnen Fehlerzähleranteile einzuführen. So kann z. B. der Fehlerdauerzähler FZ1i ein größeres Gewicht erhalten als der Servicefehler FZ3i oder der zweite Fehlerzähler FZ2i. Die jeweiligen Fehlerzählerschwellenwerte SWFZ1i, SWFZ2i und SWFZ3i für den ersten, zweiten und dritten Fehlerzähler FZ1i, FZ2i, FZ3i stellen z. B. erlaubte Werte oder Bezugswerte für die Fehlerzähler dar. Hierbei kann darauf geachtet werden, daß der jeweilige Fehlerzählerge wichtungsfaktor diFZ keine negativen Werte annimmt. Dieses kann z. B. dadurch kontrolliert werden, daß der Fehler zählergewichtungsfaktor diFZ mit einem Minimalschwellenwert verglichen wird, den er nicht unterschreiten darf. Dieser Wert kann z. B. 0,25 betragen, was sich in einem Mikrokon troller gut implementieren läßt. Wird der jeweilige Faktor diFZ kleiner als dieser Minimalschwellenwert, so kann er z. B. gleich dem Minimalschwellenwert gesetzt werden.

Die Fehlerzähler FZ1i, FZ2i, FZ3i können auch dazu verwen det werden, einzelne fehlerhafte Sensorsignale ganz auszu blenden. Dieses kann z. B. erfolgen, wenn ein Sensorsignal zu lange, zu häufig oder während zu vieler Fahrten ausge fallen ist. Dann kann z. B. die Konsolidierung nur auf den übrigen Sensorsignalen basieren. Der oder die fehlerhaften Sensorsignale werden dann z. B. während der ganzen Fahrt ausgeblendet bzw. nicht berücksichtigt. Dieses Verfahren kann z. B. das in Fig. 4 dargestellte Rekonfigurationsmodul 400 durchführen. Die übrigen in Fig. 4 dargestellten Module und Signale entsprechen denen der Fig. 3 und werden nicht weiter beschrieben. Das Rekonfigurationsmodul 400 ist zwi schen das Fehlerzähleranpassungsmodul 301 und das Konsoli dierungsmodul 302 geschaltet. Es empfängt von dem Fehler zähleranpassungsmodul 301 die jeweiligen Fehlerzählersigna le FZ1(S1) bis FZ3(S4) und kann dann z. B. entsprechende Zu standssignale ZF1 bis FZ4 an das Konsolidierungsmodul 302 weitergeben. Die Zustandssignale ZF1 bis FZ4 können dem Konsolidierungsmodul 302 vermitteln, welche Sensorsignale S1 bis S4 fehlerhaft sind bzw. nicht berücksichtigt werden sollen.

In dem in Fig. 4 dargestellten Ausführungsbeispiel werden die Gewichte für die einzelnen Sensorsignale nicht in Ab hängigkeit von den Werten der einzelnen Fehlerzähler ermit telt. In einer vorteilhaften Ausführungsform kann dieses jedoch vorgesehen sein und so ausgeführt sein, daß z. B. das Konsolidierungsmodul 302 ebenfalls die Fehlerzählersignale FZ1(S1) bis FZ3(S4) von dem Fehlerzähleranpassungsmodul 301 erhält.

Die Ausblendung eines Sensorsignals kann z. B. dann ent schieden werden, wenn ein Fehlerzähler FZ1i, FZ2i, FZ3i seinen entsprechenden Schwellenwert SWFZ1i, SWFZ2i, SWFZ3i überschritten hat. Die einzelnen Schwellenwerte können je weils unterschiedliche Werte annehmen. Die Schwellenwerte für den ersten Fehlerzähler FZ1i haben vorzugsweise densel ben Wert, ebenso wie die der zweiten Fehlerzähler FZ2i und die der dritten Fehlerzähler FZ3i, so daß es nur einen er sten Zählerschwellenwert SWFZ1, einen zweiten Zählerschwel lenwert SWFZ2 und einen dritten Zählerschwellenwert SWFZ3 gibt. Es ist aber auch denkbar, einen Sensor bzw. ein Sen sorsignal auszublenden, wenn ein Gewicht di bzw. di* für eine vorgegebene Zeitdauer oder mit einer vorgegebenen Häu figkeit einen zugehörigen Gewichtsschwellenwert unter schritten hat.

In Fig. 5 ist eine erfindungsgemäße Ausführungsform ge zeigt, bei der auch Bremspedalschaltersignale X1, X2 be rücksichtigt werden. Ein Pedalmodul 500 umfaßt Sensoren zur Erfassung der Sensorsignale S1 bis S4 sowie Bremspedal schalter zum Ausgeben der Bremspedalschaltersignale X1 und X2. Die Sensorsignale S1 bis S4 und die Bremspedalschalter signale X1 und X2 werden von dem Pedalmodul 500 an ein Schalterfehlererkennungsmodul 501 ausgegeben. Dieses kann zunächst überprüfen, ob die Bremspedalschalter bzw. die Pe dalsignale X1, X2 fehlerbehaftet sind. Dieses kann z. B. durch einen Vergleich mit einem idealen Schaltpunkt für den jeweiligen Schalter durchgeführt werden. Stimmt der Schalt punkt, d. h. der Zeitpunkt bzw. der Zustand, bei dem der Schalter eine Betätigung des Bremspedals anzeigt, innerhalb eines bestimmten Toleranzbereiches mit einem Referenz schaltpunkt überein, so ist der entsprechende Bremsschalter bzw. das zugehörige Bremsschaltersignal fehlerfrei. Der Re ferenzschaltpunkt kann dabei aus allen intakten, d. h. feh lerfreien Sensoren gebildet werden. Hierfür kann z. B. das konsolidierte Signal S0 verwendet werden. Dieses ist in Fig. 5 durch die Verbindung des Ausgangs des Konsolidie rungsmoduls 302 mit dem Schalterfehlererkennungsmodul 501 angedeutet.

In dem Schalterfehlererkennungsmodul 501 kann ebenfalls ei ne Offset-Korrektur der einzelnen Sensoren bzw. Sensorsi gnale S1 bis S4 durchgeführt werden. Hierbei können die einzelnen Sensorsignale S1 bis S4 mit dem Umschaltpunkt der Bremsschalter verglichen werden und entsprechend an den Bremsschaltpunkt angepaßt werden. Dieses kann notwendig sein, wenn die Sensoren bzw. Sensorsignale im Laufe der Zeit abdriften. Das Schalterfehlererkennungsmodul 501 kann dann entsprechende Schalterzustandssignale an das Rekonfi gurationsmodul 400 ausgeben. Dann kann das Rekonfigurati onsmodul 400 anhand der Schalterzustandssignale überprüfen, ob überhaupt eine Bremspedalbetätigung vorliegt und ob die ses mit den Sensorsignalen S1 bis S4 übereinstimmt.

Das Schalterfehlererkennungsmodul 501 gibt die z. B. einer Offset-Korrektur unterzogenen Sensorsignale S1 bis S4 an das Residuenermittlungsmodul 300 und an das Konsolidie rungsmodul 302 weiter, die ebenso wie das Fehlerzähleranpas sugsmodul anhand von Fig. 3 erläutert wurden. Das Rekonfi gurationsmodul 400 kann entsprechende Signale über den Fehlerzustand der einzelnen Sensoren bzw. Sensorsignale an ein Warnmodul 503 weitergeben, das den Fahrer z. B. über den Zustand der einzelnen Sensoren insbesondere im Fehlerzu stand informiert. Außerdem können entsprechende Fehlerzu standssignale vom Rekonfigurationsmodul 400 an ein Diagno semodul 502 weitergegeben werden, das z. B. abspeichern kann, welche Sensoren zu reparieren bzw. welche Schalter defekt sind. Das Konsolidierungsmodul 302 ermittelt wie be reits erwähnt die konsolidierte Eingangsgröße S0.

In Fig. 6 ist ein beispielhaftes Zustandsdiagramm für das erfindungsgemäße Verfahren bzw. die erfindungsgemäße Vor richtung dargestellt. Dieses soll anhand von vier Sensorsi gnalen S1 bis S4 erläutert werden. Im Zustand 20 sind alle vier Sensoren als fehlerfrei erkannt worden. Dieses bedeu tet, daß alle vier Sensoren zur Gewichtung bzw. Ermittlung der konsolidierten Größe S0 beitragen. Es wird vom Zustand Z0 in den Zustand Z1 übergegangen, wenn ein Sensor als feh lerhaft erkannt und ausgeblendet wird. Dieses bedeutet, daß nur noch drei Sensoren bzw. Sensorsignale für die Ermitt lung der konsolidierten Größe S0 verwendet werden. Der Übergang vom Zustand Z1 in den Zustand Z2 findet dann statt, wenn ein weiterer Sensor als fehlerhaft erkannt und ausgeblendet wird.

Des weiteren ist ein direkter Übergang vom Zustand Z0, d. h. einem fehlerfreien Zustand in den Zustand Z2 vorgesehen, in dem nur zwei fehlerfreie Sensorsignale berücksichtigt wer den. Der Übergang vom Zustand Z0 zum Zustand Z2 findet dann statt, wenn zu einem Zeitpunkt gleich zwei Sensorsignale als fehlerhaft erkannt werden bzw. ausgeblendet werden. Im Zustand Z2 kann eine unterschiedliche Gewichtung mit einem Gewichtungsfaktorenvoter nicht mehr geeignet sein. Daher kann in diesem Zustand der Mittelwert aus beiden fehler freien Sensoren gebildet werden.

Ist ausgehend vom Zustand Z0 eine eindeutige Fehlererken nung nicht möglich, so wird in den Zustand Z3 übergegangen. Ein entsprechender Übergang vom Zustand Z1 zum Zustand Z3 kann ebenfalls vorgesehen sein. In diesem Zustand werden alle nicht als fehlerhaft erkannten Sensorsignale einer Mittelwertbildung unterzogen, um die konsolidierte Größe S0 zu bilden.

Im Zustand Z2 kann ein weiterer Fehler zwar erkannt, aber nicht mehr lokalisiert werden. Man weiß zwar, daß ein Sen sor fehlerhaft ist, kann aber nicht entscheiden, welcher der beiden. Aus diesem Grund kann weiterhin eine Mittel wertbildung aus den beiden Sensorsignalen durchgeführt wer den. Eine Ausnahmemöglichkeit bietet die Überprüfung auf Plausibilität, d. h. die Überprüfung, ob die beiden Sensoren jeweils innerhalb ihres Plausibilitätsbereiches BP1 liegen. Liegt ein Sensorsignal außerhalb dieses Bereiches, kann ein weiterer Fehler eindeutig erkannt werden und in den Zustand Z4 übergegangen werden. Das bedeutet, daß das verbleibende fehlerfreie Sensorsignal die konsolidierte Größe S0 bildet.

Der Übergang vom Zustand Z0 in den Zustand Z3 kann dann vorkommen, wenn eine sog. Patt-Situation entstanden ist. Dieses bedeutet, daß jeweils zwei Sensorsignale innerhalb gewisser Toleranzen übereinstimmen. Dann ist nicht fest stellbar, welche Sensoren fehlerhaft und welche fehlerfrei sind. Deshalb kann es vorteilhaft sein, den Mittelwert aus allen zu berücksichtigenden Sensorsignalen zu bilden, um zumindest ein mittelmäßiges Ergebnis zu erzielen. Gleich zeitig sollte dem Fahrer z. B. über eine rote Signallampe signalisiert werden, daß er sein Fahrzeug zum Stehen brin gen muß, da die Bremswunscherfassung nicht mehr fehlerfrei arbeitet. Das Fahrzeug kann z. B. auch abgebremst werden, ohne daß der Fahrer bremsen möchte. Hierbei können jedoch zusätzlich die Bremspedalschaltersignale ausgewertet wer den, so daß nur dann wirklich gebremst wird, wenn die Bremslichtschalter eine Bremspedalbetätigung anzeigen. Die übrigen Zustände können z. B. ebenfalls über entspre chende Lampensignale dem Fahrer angezeigt werden. So kann z. B. der Zustand Z0 durch eine grüne Lampe signalisiert werden, der Zustand Z1 durch eine gelbe, der Zustand Z2 durch eine orange und die Zustände Z3 und Z4 durch eine ro te Lampe. Eine entsprechende geeignete akustische Warnung ist ebenfalls denkbar.

In Fig. 7 ist ein beispielhaftes Flußdiagramm zur Verdeut lichung eines Verfahrens zur Ermittlung einer konsolidier ten Eingangsgröße S0 gezeigt. Dort werden im Schritt 700 zunächst die Sensorsignale S1, S2, S3 und S4 eingelesen. Daran anschließend werden im Schritt 701 die Residuen r1, r2, r3, r4, r5 und r6 gebildet. Danach erfolgt im Schritt 702 eine Fehlererkennung erfolgen. Die Fehlererkennung kann wie oben beschrieben durchgeführt werden. Daran anschlie ßend wird im Schritt 703 abgefragt, ob der Fehler lokali sierbar ist. Ist dieses nicht der Fall, so werden im Schritt 704 die Gewichte d1, d2, d3 und d4 für die jeweili gen Sensorsignale S1 bis S4 gleich 1 gesetzt. Danach wird zum Schritt 707 übergegangen.

Ist der oder sind die Fehler lokalisierbar, d. h. wird die Abfrage im Schritt 703 bejaht, wird zum Schritt 705 überge gangen, in dem die jeweiligen Fehlerzähler angepaßt werden. Dieser Schritt ist wird später näher anhand von Fig. 8 er läutert. Daran anschließend werden die jeweiligen Gewichte d1 bis d4 im Schritt 706 ermittelt. Danach wird zum Schritt 707 übergegangen, in dem die konsolidierte Eingangsgröße S0 wie oben beschrieben ermittelt werden kann.

Im folgenden wird anhand des Flußdiagramms in Fig. 8 eine Möglichkeit zur Anpassung der Fehlerzähler erläutert. Dort wird zunächst im Schritt 800 abgefragt, ob das Fahrzeug z. B. neu gestartet wurde. Ist dieses der Fall, wird im Schritt 801 abgefragt, ob ein jeweiliges Fehlerzählerflag FZFi gleich 0 ist. Dieses Flag zeigt an, ob der jeweilige erste und/oder zweite Fehlerzähler FZ1i, FZ2i während der vorherigen Fahrt z. B. seinen Zählerschwellenwert SWFZ1i, SWFZ2i, SWFZ3i nicht überschritten hat. Das Fehlerzähler flag FZFi kann entsprechend z. B. auf 1 gesetzt werden, wenn während der Fahrt der entsprechende erste Fehlerzähler FZ1i und/oder zweite Fehlerzähler FZ2i seinen Zählerschwellen wert überschritten hat. Damit kann der entsprechende dritte Fehlerzähler FZ3i am Ende der Fahrt oder wie im Beispiel von Fig. 8 am Anfang der folgenden Fahrt erhöht werden.

Wird die Abfrage im Schritt 801 bejaht, d. h. daß die ersten und/oder zweiten Fehlerzähler ihren Zählerschwellenwert nicht überschritten haben, wird im Schritt 802 der dritte Fehlerzähler FZ3i um 1 erniedrigt. Danach wird zum Schritt 805 übergegangen. Wird die Abfrage im Schritt 801 verneint, wird im Schritt 803 der dritte Fehlerzähler FZ3i um 2 er höht. Danach werden im Schritt 804 die ersten und zweiten Fehlerzähler FZ1i und FZ2i sowie das Fehlerzählerflag FZFi zu 0 gesetzt. Danach wird zum Schritt 805 übergegangen, in dem abgefragt wird, ob z. B. durch die Fehlererkennung im Schritt 702 ein Fehler eindeutig erkannt wurde. Ist dieses der Fall, d. h. daß die Sensoren bzw. Sensorsignale S1 bis S4 fehlerfrei sind, wird der erste Fehlerzähler FZ1i zu 0 gesetzt. Danach kann das Verfahren z. B. im Schritt 706 der Fig. 7 fortgeführt werden.

Wird die Abfrage im Schritt 805 verneint, d. h. daß ein oder mehrere Fehler eindeutig erkannt wurden, werden die ent sprechenden ersten und/oder zweiten Fehlerzähler FZ1i und FZ2i um 1 erhöht. Danach wird im Schritt 808 abgefragt, ob der zweite Fehlerzähler FZ2i bzw. dessen Inhalt größer als sein Fehlerzählerschwellenwert SWFZ2i ist. Ebenso könnte gleichzeitig oder stattdessen abgefragt werden, ob der er ste Fehlerzähler FZ1i bzw. dessen Inhalt größer als sein Schwellenwert SWFZ1i ist. Wird die Abfrage verneint, kann das Verfahren z. B. im Schritt 706 der Fig. 7 fortgesetzt werden. Wird die Abfrage jedoch bejaht, wird das jeweilige Fehlerzählerflag FZFi gleich 1 gesetzt. Daran anschließend kann ebenfalls im Schritt 706 fortgefahren werden.

Der Buchstabe i hinter den jeweiligen Fehlerzählern bzw. dem Fehlerflag deutet an, daß die Fehlerzähleranpassung nach Fig. 8 für jedes Sensorsignal gesondert durchgeführt werden kann. Ist jedoch vorher ein Sensorsignal ausgeblen det worden, so kann der Durchlauf für dieses Signal entfal len.

Fig. 9 zeigt ein Beispiel für eine Rekonfiguration der zur Ermittlung des konsolidierten Signals S0 zu berücksichti genden Sensorsignale S1, i = 1 . . . n. Dieses kann sich z. B. an den Schritt 705 in Fig. 7 anschließen oder auch vor dem Schritt 707 durchgeführt werden. Zunächst wird im Schritt 900 abgefragt, ob der jeweilige erste Fehlerzähler FZ1i seinen Schwellenwert SWFZ1i überschritten hat. Ist dieses der Fall, wird zum Schritt 903 übergegangen. Wird die Ab frage im Schritt 900 verneint, wird im Schritt 901 abge fragt, ob der jeweilige zweite Fehlerzähler FZ2i größer als sein Schwellenwert SWFZ2i ist. Ist dieses der Fall, wird zum Schritt 903 übergegangen. Wird die Abfrage im Schritt 901 verneint, wird im Schritt 902 abgefragt, ob der dritte Fehlerzähler SZ3i größer als sein Schwellenwert SWFZ3i ist. Wird dieses bejaht, wird zum Schritt 903 übergegangen, in dem der jeweilige Sensor bzw. das jeweilige Sensorsignal, für das ein oder mehrere Fehlerzähler ihren Zählerschwel lenwert überschritten haben, ausgeblendet, d. h. die Anzahl der zu berücksichtigenden Sensorsignale wird entsprechend verringert bzw. rekonfiguriert. Wird die Abfrage im Schritt 902 verneint, ist der Rekonfigurationsablauf beendet. Daran anschließend kann die Konsolidierung des konsolidierten Si gnals S0 mit den zu berücksichtigenden Sensorsignalen er folgen.

Auch hier gibt der Buchstabe i hinter den jeweiligen Fehlerzählern bzw. Schwellenwerten an, daß der Rekonfigura tionsablauf gemäß Fig. 9 für jedes einzelne, zumindest nicht ausgeblendete Sensorsignal gesondert durchgeführt werden kann.

Die Flußdiagramme der Fig. 7 bis 9 sind nur beispielhaft angegeben und können in ihrer Reihenfolge geeignet variiert werden und durch weitere Schritte erweitert werden. So kön nen z. B. geeignete Schritte zur Information des Fahrers bzw. zur Warnung des Fahrers an geeigneter Stelle eingefügt werden. Vorteilhaft werden vier Sensorsignale S1 bis S4 verwendet, es können aber auch weniger oder mehr erfaßt und verarbeitet werden. Nach dem Schritt 700 in Fig. 7 kann ein geeigneter Verarbeitungsschritt erfolgen, der die Sensorsi gnale in miteinander vergleichbare Signale wandelt.

Im folgenden soll noch eine weitere einfach zu implementie rende Möglichkeit zur Ermittlung einer konsolidierten Ein gangsgröße S0 beschrieben werden: Es können z. B. jeweils zwei gleiche Sensorelemente in einem Gehäuse eingebaut und davon zwei derartiger Gehäuse vorhanden sein, so daß vier Sensorsignale vorhanden sind. Eine Möglichkeit der Konsoli dierung besteht nun darin, jeweils die beiden Signale eines Gehäuses miteinander zu vergleichen. Weichen diese zu stark voneinander ab, so können beide Signale ausgeblendet wer den. Dann stehen nur noch die beiden Sensorsignale des an deren Gehäuses zur Verfügung. Bleiben die Sensorsignale je doch jeweils unterhalb einer Fehlererkennungsschwelle, so wird ein Mittelwert aus jeweils einem Sensorpaar gebildet. Das konsolidierte Signal S0 wird dann aus dem Mittelwert beider Sensorpaarmittelwerte gebildet. Wird ein Sensorpaar ausgeblendet, so wird der Mittelwert des anderen Sensorsi gnalpaars als konsolidiertes Signal S0 verwendet. Dieser Voter kann sehr einfach auf einen Mikrokontroller implemen tiert werden. Er kann z. B. eingesetzt werden, wenn eine nur sehr geringe Rechenkapazität zur Verfügung steht. Eine Rea lisierung wäre z. B. in unmittelbarer Nähe der Räder denk bar. Hierbei könnte jeweils ein Gehäuse zwei Rädern zuge ordnet sein. Bei einem Ausfall der ESP-Funktion oder der ABS-Funktion könnte dieser Voter eine Grundbremsfunktion bzw. Notbremsfunktion erhalten.

Claims

1. Verfahren zur Ermittlung einer konsolidierten Eingangs größe (S0) für eine Steuerung eines Fahrzeugs aus min destens zwei redundanten erfaßten Größen (S1, S2, S3, S4), mit folgenden Schritten:

- Gewichten der jeweiligen erfaßten Größen (S1, S2, S3, S4) in Abhängigkeit von den jeweiligen Unterschieden (r1, r2, r3, r4, r5, r6) der erfaßten Größen (S1, S2, S3, S4) zu einer oder mehreren Vergleichsgrößen (S0; S1, S2, S3, S4),
- Verrechnen der gewichteten erfaßten Größen zur konso lidierten Eingangsgröße (S0),
- Durchführen einer Fehlererkennung der erfaßten Größen (S1, S2, S3, S4),
- Erhöhen eines oder mehrerer jeweiliger Fehlerzähler (FZ1i, FZ2i, FZ3i) für eine oder mehrere als fehler haft erkannte erfaßte Größen,

und

- Nichtberücksichtigen der jeweiligen fehlerhaften er faßten Größe bei der Gewichtung und/oder Verrechnung und/oder Fehlererkennung, wenn einer oder mehrere der jeweiligen Fehlerzähler (FZ1i, FZ2i, FZ3i) einen je weiligen Zählerschwellenwert (SWFZ1i, SWFZ2i, SWF23i) überschritten haben.

2. Verfahren zur Ermittlung einer konsolidierten Eingangs größe (S0) für eine Steuerung eines Fahrzeugs aus min destens zwei redundanten erfaßten Größen (S1, S2, S3, S4), mit folgenden Schritten:

- Gewichten der jeweiligen erfaßten Größen (S1, S2, S3, S4) in Abhängigkeit von den jeweiligen Unterschieden (r1, r2, r3, r4, r5, r6) der erfaßten Größen (S1, S2, S3, S4) zu einer oder mehreren Vergleichsgrößen (S0; S1, S2, S3, S4) und in Abhängigkeit vom Inhalt eines oder mehrerer jeweiliger Fehlerzähler (FZ1i, FZ2i, FZ2i, FZ3i) für eine oder mehrere erfaßte Größen (S1, S2, S3, S4),
- Verrechnen der gewichteten erfaßten Größen zur konso lidierten Eingangsgröße (S0),
- Durchführen einer Fehlererkennung der erfaßten Größen (S1, S2, S3, S4),

und

- Erhöhen des oder der jeweiligen Fehlerzähler (FZ1i, FZ2i, FZ3i), wenn eine oder mehrere entsprechende er faßte Größen (S1, S2, S3, S4) als fehlerhaft lokali siert werden.

3. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die jeweiligen erfaßten Größen (S1, S2, S3, S4) in Ab hängigkeit vom Inhalt eines oder mehrerer der jeweili gen Fehlerzähler (FZ1i, FZ2i, FZ3i) gewichtet werden.

4. Verfahren nach Anspruch 2, dadurch gekennzeichnet, daß die jeweilige fehlerhafte erfaßte Größe bei der Gewich tung und/oder Verrechnung und/oder Fehlererkennung nicht berücksichtigt wird, wenn einer oder mehrere der jeweiligen Fehlerzähler (FZ1i, FZ2i, FZ3i) einen jewei ligen Zählerschwellenwert (SWFZ1i, SWFZ2i, SWFZ3i) überschritten haben.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch ge kennzeichnet, daß die erfaßten Größen (S1, S2, S3, S4) einen Fahrerwunsch zur Bremsung und/oder Beschleunigung und/oder Lenkung des Fahrzeugs repräsentieren.

6. Verfahren nach einem der Ansprüche 1 bis 5, dadurch ge kennzeichnet, daß die erfaßten Größen (S1, S2, S3, S4) den Bremspedalweg und/oder die Bremspedalgeschwindig keit und/oder die Bremspedalbeschleunigung und/oder die Bremspedalbetätigungskraft und/oder den Bremspedalwin kel darstellen.

7. Verfahren nach einem der Ansprüche 1 bis 5, dadurch ge kennzeichnet, daß die erfaßten Größen (S1, S2, S3, S4) den Lenkweg und/oder die Lenkgeschwindigkeit und/oder die Lenkbeschleunigung und/oder die Lenkbetätigungs kraft und/oder den Lenkwinkel darstellen.

8. Verfahren nach einem der Ansprüche 1 bis 7, dadurch ge kennzeichnet, daß mindestens drei erfaßte Größen (S1, S2, S3, S4) vorliegen.

9. Verfahren nach einem der Ansprüche 1 bis 8, dadurch ge kennzeichnet, daß vier erfaßte Größen (S1, S2, S3, S4) vorliegen.

10. Verfahren nach einem der Ansprüche 1 bis 9, dadurch ge kennzeichnet, daß die erfaßten Größen (S1, S2, S3, S4) vor der Ermittlung des Unterschiedes (r1, r2, r3, r4, r5, r6) zu der oder den Vergleichsgrößen (S0; S1, S2, S3, S4) so verarbeitet werden, daß sie direkt mitein ander vergleichbar sind.

11. Verfahren nach einem der Ansprüche 1 bis 10, dadurch gekennzeichnet, daß dann, wenn die erfaßten Größen (S1, S2, S3, S4) und/oder die zu gewichtenden und/oder zu verrechnenden Größen in gleicher Anzahl zwei unter schiedliche Werte aufweisen und/oder in der Anzahl zwei sind, die erfaßten Größen (S1, S2, S3, S4) gleich ge wichtet werden.

12. Verfahren nach einem der Ansprüche 1 bis 11, dadurch gekennzeichnet, daß zur Fehlererkennung und/oder Ge wichtung die erfaßten Größen (S1, S2, S3, S4) mit einer zuvor ermittelten konsolidierten Eingangsgröße vergli chen werden.

13. Verfahren nach einem der Ansprüche 1 bis 12, dadurch gekennzeichnet, daß zur Fehlererkennung und/oder Ge wichtung die erfaßten Größen (S1, S2, S3, S4) unterein ander verglichen werden.

14. Verfahren nach einem der Ansprüche 1 bis 13, dadurch gekennzeichnet, daß eine fehlerhafte erfaßte Größe er kannt wird, wenn der oder die Unterschied(e) (r1, r2, r3, r4, r5, r6) der erfaßten Größe(n) (S1, S2, S3, S4) zu der oder den Vergleichsgröße(n) (S0; S1, S2, S3, S4) oder zu einer weiteren Vergleichsgröße einen jeweiligen Fehlertoleranzwert (FTli, FT2j) überschreiten.

15. Verfahren nach einem der Ansprüche 1 bis 14, dadurch gekennzeichnet, daß die jeweilige fehlerhafte erfaßte Größe bei der Gewichtung und/oder Verrechnung und/oder Fehlererkennung nicht berücksichtigt wird, wenn das entsprechende Gewicht (d1, d2, d3, d4) für eine vorge gebene Dauer unterhalb eines entsprechenden Gewichts schwellenwertes (SWdi) lag.

16. Verfahren nach einem der Ansprüche 1 bis 15, dadurch gekennzeichnet, daß eine erfaßte Größe (S1, S2, S3, S4) als fehlerhaft erkannt wird, wenn ihr Wert außerhalb eines Plausibilitätsbereiches liegt, und/oder diese fehlerhafte erfaßte Größe unabhängig von dem Inhalt des oder der Fehlerzähler (FZ1i, FZ2i, FZ3i) bei der Ge wichtung und/oder Verrechnung nicht berücksichtigt wird.

17. Verfahren nach einem der Ansprüche 1 bis 16, dadurch gekennzeichnet, daß dann, wenn durch die Fehlererken nung ein Fehler nicht eindeutig erkannt werden kann, die erfaßten Größen (S1, S2, S3, S4) gleich gewichtet werden.

18. Verfahren nach einem der Ansprüche 1 bis 17, dadurch gekennzeichnet, daß für eine oder mehrere erfaßte Grö ßen (S1, S2, S3, S4) jeweils ein erster Fehlerzähler (FZ1i) vorgesehen ist, der zurückgesetzt wird, wenn die entsprechende erfaßte Größe (S1) als fehlerfrei oder nicht als fehlerhaft erkannt wird und/oder das Fahrzeug gestartet wird.

19. Verfahren nach einem der Ansprüche 1 bis 18, dadurch gekennzeichnet, daß für eine oder mehrere erfaßte Grö ßen (S1, S2, S3, S4) jeweils ein zweiter Fehlerzähler (FZ2i) vorgesehen ist, der zurückgesetzt wird, wenn das Fahrzeug gestartet wird.

20. Verfahren nach einem der Ansprüche 1 bis 19, dadurch gekennzeichnet, daß für eine oder mehrere erfaßte Grö ßen (S1, S2, S3, S4) jeweils ein dritter Fehlerzähler (FZ3i) vorgesehen ist, der erhöht wird, wenn die jewei lige erfaßte Größe (S1) während einer Fahrt des Fahr zeugs nicht berücksichtigt wird, und/oder erniedrigt wird, wenn die jeweilige erfaßte Größe (S1) während ei ner anderen Fahrt wieder berücksichtigt wird.

21. Verfahren nach Anspruch 20, dadurch gekennzeichnet, daß der dritte Fehlerzähler (FZ3i) um einen größeren Betrag erhöht als erniedrigt wird.

22. Verfahren nach einem der Ansprüche 1, 3 bis 21, dadurch gekennzeichnet, daß, wenn die erfaßte Größe (S1, S2, S3, S4) nicht berücksichtigt wird, dieses mindestens solange andauert, bis das Fahrzeug erneut gestartet wird.

23. Verfahren nach einem der Ansprüche 1 bis 22, dadurch gekennzeichnet, daß die Gewichtung und/oder Verrechnung der erfaßten Größen (S1, S2, S3, S4) nur erfolgt, wenn ein oder mehrere Bremspedalschalter eine Bremspedalbe tätigung anzeigen.

24. Verfahren nach einem der Ansprüche 1 bis 22, dadurch gekennzeichnet, daß dann, wenn durch die Fehlererken nung ein Fehler nicht eindeutig erkannt werden kann, die Gewichtung und/oder Verrechnung der erfaßten Größen (S1, S2, S3, S4) nur erfolgt, wenn ein oder mehrere Bremspedalschalter eine Bremspedalbetätigung anzeigen.

25. Vorrichtung zur Ermittlung einer konsolidierten Ein gangsgröße (S0) für eine Steuerung eines Fahrzeugs mit mindestens zwei Sensoren zur Erfassung von mindestens zwei redundanten Größen und einer Steuereinheit, die ein Verfahren nach einem der Ansprüche 1, 3 bis 24 durchführt.

26. Vorrichtung zur Ermittlung einer konsolidierten Ein gangsgröße (S0) für eine Steuerung eines Fahrzeugs mit mindestens zwei Sensoren zur Erfassung von mindestens zwei redundanten Größen und einer Steuereinheit, die ein Verfahren nach einem der Ansprüche 2, 4 bis 24 durchführt.