DE102011005395A1

DE102011005395A1 - Verfahren und Vorrichtung zur Fahrzeugverzögerung

Info

Publication number: DE102011005395A1
Application number: DE201110005395
Authority: DE
Inventors: Daniel Förster; Sandro Syguda; Benjamin Jüstel; Adis Halilovic; Kai Bretzigheimer
Original assignee: Continental Teves AG and Co OHG
Current assignee: Aumovio Germany De GmbH
Priority date: 2010-03-30
Filing date: 2011-03-10
Publication date: 2011-12-15

Abstract

Verfahren und Vorrichtung zur Steuerung einer Bremsanlage eines Kraftfahrzeugs mit einer Fahrstabilitätsfunktion (ESC/AYC, ABS), bei welchem das Vorliegen einer Gefahrensituation des Kraftfahrzeuges, insbesondere das Auftreten einer Kollision, uberwacht wird und bei einer erkannten Gefahrensituation, insbesondere Kollision, ein fahrerunabhängiger Bremseneingriff durchgefuhrt wird (5), wenn eine Aktivierungsbedingung erfüllt ist (3), wobei die Aktivierungsbedingung (3) als erfüllt gilt, wenn die Fahrstabilitätsfunktion (4, ESC/AYC, ABS) der Bremsanlage verfugbar ist oder war (AY-state, 4').

Description

Die Erfindung betrifft ein Verfahren gemäß Oberbegriff von Anspruch 1 sowie eine Vorrichtung gemaß Oberbegriff von Anspruch 11.
Aus der DE 10 2004 058 814 A1 ist ein sogenanntes „Post Crash Braking”-Verfahren sowie eine Vorrichtung zur Steuerung einer Bremsanlage eines Kraftfahrzeugs bekannt, bei welchem das Vorliegen einer Kollision des Kraftfahrzeugs durch das Airbag-Steuergerät die Funktion auslöst. Im Falle einer vorliegenden Kollision erfolgt ein fahrerunabhangiger, also automatischer Bremseingriff, wobei abhängig von einer Rucknahmebedingung die Intensitat des Bremseingriffs zurückgenommen wird. Es wird weiterhin beschrieben, dass eine Ermittlung erfolgen soll, ob das Fahrzeug nach der Kollision durch den Fahrer beherrschbar ist oder nicht, wobei ein fahrerunabhängiger Bremseingriff dann durchgefuhrt wird, wenn das Fahrzeug als nicht beherrschbar gilt.
Weiterhin ist in der WO 2010 046 160 A1 ein ähnliches Verfahren beschrieben, wobei in dieser Schrift die Rücknahmebedingung für den Bremseningriff näher erläutert wird. Dabei wird die autonome Bremsung lediglich dann abgebrochen, wenn der Fahrer durch die gezielte Betätigung eines Fahrpedals über einen bestimmten Mindestbetätigungszeitraum signalisiert, das Fahrzeug (wieder) unter Kontrolle zu haben.
Der vorliegenden Erfindung liegt die Aufgabe zugrunde, das aus den vorstehend erwähnten Schriften bekannte „Post Crash Braking”-Verfahren sowie eine zur Durchführung dieses Verfahrens vorgesehene Bremsvorrichtung zu verbessern.
Diese Aufgabe wird erfindungsgemaß durch ein Verfahren gemäß Anspruch 1 und eine Vorrichtung gemäß Anspruch 11 gelost.
Die Erfindung betrifft demzufolge ein Verfahren zur Steuerung einer Bremsanlage eines Kraftfahrzeugs mit einer Fahrstabilitätsfunktion. Die Bremsanlage umfasst vorzugsweise ein elektronisches Bremsensteuergerät, in dem zumindest die Regelfunktion Antiblockiersystem (ABS) und elektronisches Stabilitätsprogram (ESC: Electronic Stability Control ESC/AYC: Active Yaw Control) ausgefuhrt werden. Gemaß dem Verfahren wird das Vorliegen einer Gefahrensituation des Kraftfahrzeugs, insbesondere das Auftreten einer Kollision, uberwacht. Bei einer erkannten Gefahrensituation, insbesondere Kollision, wird ein fahrerunabhängiger Bremseneingriff durchgeführt, wenn eine Aktivierungsbedingung erfüllt ist. Diese Aktivierungsbedingung gilt dann als erfüllt, wenn die Fahrstabilitätsfunktion der Bremsanlage verfügbar ist oder war.
Es ist möglich, das vorstehend beschriebene Verfahren in Verbindung mit an sich bekannten Umfeldüberwachungssystemen, wie umfeldsensorbasierte Notbremsunterstützungssysteme (CMS: Collision Mitigation Systems) einzusetzen. Diese Systeme basieren meist auf an der Fahrzeugfront angeordneter Radarsensorik. Die Systeme erfassen das Umfeld vor dem Fahrzeug und können die Kollisionsgefahr mit vorausfahrenden Fahrzeugen bzw. Gegenständen berechnen/abschätzen. Diese umfeldbasierten Systeme haben das Ziel, den Fahrer in kritischen, kollisionsgefahrdenden Auffahrsituationen bei der Notbremsung zu unterstützen, indem etwa das Bremssystem vorbefüllt wird oder die Auslöseschwellen fur den hydraulischen Bremsassistenten abgesenkt werden. Weiterentwickelte Systeme leiten, ggf. sogar fahrerunabhängig, automatisch eine Bremsung des Fahrzeugs ein. Diese ist je nach Auslegung des Systems zeitlich und/oder in der Starke und/oder in der Aufbaugeschwindigkeit (Gradient) begrenzt oder auch unbegrenzt. Eine Kombination mit haptischen Warnsystemen (FCW: Forward Collision Warning), welche durch einen kurzzeitigen automatischen Bremsdruckaufbau einen Ruck erzeugen, ist ebenfalls möglich.
Ein sicherheitsrelevantes Problem ist die mögliche Destabilisierung eines Fahrzeugs durch einen automatischen Bremsdruckaufbau, der entweder durch die erfindungsgemäße Funktion „Post Crash Braking” oder das vorstehend beschriebene System CMS auftreten kann. Dabei kann sowohl die Hohe des Bremsdrucks als auch der Druckaufbaugradient zu einer Destabilisierung führen. Ein automatischer Bremsdruckaufbau durch eine Funktion kann dabei gewollt (im spezifizierten Nutzfall (Notbremssituation, Kollision)), als auch ungewollt (im Nichtnutzfall (normale Fahrt)) aktiviert werden. Die Gefahr einer Destabilisierung durch einen ungewollten automatischen Bremsdruckaufbau muss in einer Gefahrenanalyse (nach ISO 26262) mit mindestens ASIL C bewertet werden (die maximal zulassige Ausfallrate einer Sicherheitsfunktion wird in Sicherheitsklassen beschrieben, z. B. ASIL (Automotive Safety Integrity Level). Dieser Fall (Destabilisierung durch einen ungewollten automatischen Bremsdruckaufbau) muss daher durch entsprechende Sicherheitsmaßnahmen verhindert werden.
Eine große technische Herausforderung stellt aber oft das Erfüllen von solchen hohen Anforderungen aus der funktionalen Sicherheit (nach ISO 26262) dar. Das aus dem funktionalen Sicherheitskonzept folgende technische Sicherheitskonzept erfordert teilweise einen hohen Aufwand zur Realisierung. Ein allgemeines Beispiel ist die redundante und unabhängige Signalverarbeitung in Steuergeraten, wie etwa in einem Airbagsteuergerat zur Zündung von Frontairbags, um den ASIL D-Sicherheitslevel zu erfüllen.
Bei Funktionen mit automatischem Bremsdruckaufbau sieht eine einfache Sicherheitsmaßnahme zur Verhinderung bzw. Begrenzung der Gefahr einer Destabilisierung folgendermaßen aus: Die Höhe des Bremsdrucks sowie insbesondere auch der Druckaufbaugradient wird bei dem automatischen Bremsdruckaufbau gemäß der Erfindung vorzugsweise begrenzt, um die Gefahr einer Destabilisierung des Fahrzeugs zu mindern bzw. zu verhindern. Die Begrenzung kann insbesondere auch fahrzustandsangepasst geschehen (z. B. stärkere Begrenzung bei Kurvenfahrt, da dort erhöhte Destabilisierungsgefahr). Diese Maßnahmen stehen jedoch generell im Widerspruch zu den funktionalen Anforderungen solcher Funktionen, in denen ein hoher Bremsdruck möglichst schnell aufgebaut werden soll, wie z. B. bei Notbremssystemen (CMS).
Gemäß einer bevorzugten Ausführungsform der Erfindung wird die Destabilisierung des Fahrzeugs durch ein Fahrwerkregelsystem bzw. Stabilisierungsfunktion wie ABS (Antiblockiersystem) und/oder ESC (Electronic Stability Control) und/oder AYC (Active Yaw Control) verhindert. Dies geschieht entweder ausschließlich oder in Kombination mit den oben genannten Maßnahmen einer (ggf. teilweisen) Bremsdruck- und/oder Bremsdruckgradientenbegrenzung.
Eine Aktivierung eines automatischen Bremsdruckaufbaus durch eine Funktion, in der ein hoher Bremsdruck moglichst schnell aufgebaut werden soll, setzt beispielsgemaß die Verfügbarkeit und Bereitschaft der Stabilisierungsfunktion(en) Antiblockierregelung (ABS) und/oder Fahrstabilitatsprogramm (ESC/AYC) voraus. Wird ein automatischer Bremsdruckaufbau von einer der obigen Funktionen (z. B. CMS, PCB) angefordert und sind die Funktionen ABS bzw. ESC/AYC nicht verfügbar und bereit (z. B. durch einen elektrischen Fehler oder einen funktionalen Zustand), dann wird kein automatischer Bremsdruckaufbau durchgeführt. Im Fall eines funktionalen Zustands (z. B. durch ESC-Taster „ESC AUS”) kann auch eine zwangsweise Änderung dieses Zustands von ABS bzw. ESC/AYC erfolgen und dann ein automatischer Bremsdruckaufbau durchgeführt werden.
Die Höhe des automatisch aufgebauten Drucks dem dem Verfahren der Erfindung entspricht vorzugsweise einer Fahrzeugverzögerung in einem Bereich zwischen etwa 0,2 g und 0,8 g, insbesondere bei etwa 0,5 g, wobei g die Erdbeschleunigung ist. Es ist alternativ moglich, die Bremsdruckerhöhung bis zum maximal möglichen Bremsdruck durchzuführen.
Vorzugsweise wird der fahrerunabhangige Bremseingriff nach dem Auftreten der besagten Gefahrensituation in der Weise durchgefuhrt, dass eine Aktivierung einer automatischen Bremsfunktion erfolgt. Dabei kann es sich entweder um einen automatischen Bremsdruckaufbau ohne Fahrerbremsbetätigung oder einen die Fahrerbremsbetätigung verstärkenden Bremsdruckaufbau handeln.
Nachfolgend wird zwischen dem Nutzfall und dem Nichtnutzfall der erfindungsgemäßen Funktion „Post Crash Braking” unterschieden.
Im Nutzfall liegt beispielsweise eine tatsachliche Kollision vor. Bevorzugt wird innerhalb der Funktion „Post Crash Braking”-Funktion ein Ausfall der Funktionen ESC/AYC und ggf. auch ABS in Kauf genommen, ohne dass ein automatischer Bremsdruckaufbau durch die „Post Crash Braking”-Funktion abgebrochen bzw. nicht aktiviert wird.
Im Nichtnutzfall (keine Kollision bzw. keine beabsichtigte Aktivierung) muss dagegen eine Destabilisierung nach Anforderungen der funktionalen Sicherheit aufgrund einer ungewollt aktivierten „Post Crash Braking”-Funktion mindestens mit dem Sicherheitslevel „ASIL C” abgesichert werden. Demnach muss als Sicherheitsmaßnahme entweder die Aktivierung eines automatischen Bremsdruckaufbaus oder die Verhinderung einer Destabilisierung durch Stabilisierungsfunktionen ABS bzw. ESC/AYC (bzw. deren Verfugbarkeitsinformation) entsprechend ausgeführt werden. Dies kann (einerseits) durch einen mindestens dem „ASIL C”-Level entsprechend sicheren Aktivierungspfad erfolgen. Dies ist jedoch nur mit erhöhtem Aufwand insbesondere im Airbagsteuergerät technisch umsetzbar. Heutige Airbagsteuergerate erfüllen die „ASIL D”-Anforderungen zur Absicherung einer ungewollten Aktivierung der Frontairbags dadurch, dass zwei voneinander unabhängige Aktivierungspfade vorgesehen sind, welche sowohl die Sensoren als auch die Signalverarbeitung mit der Auslöseentscheidung umfassen. Die Signalverarbeitung erfolgt so einerseits auf einem Mikrocontroller und andererseits über einen ASIC (Safing-Pfad). Da der Safing-Pfad in heutigen Airbagsteuergeräten über einen ASIC realisiert wird, kann diese Information nicht ohne großen Zusatzaufwand über eine CAN-Datenleitung übertragen werden. Der Mikrocontroller-Pfad, über welchen das Aktivierungssignal (Crashsignal) für die PCB-Funktion uber CAN geschickt werden kann, erfüllt ASIL B Anforderungen hinsichtlich einer ungewollten Aktivierung. Da der Aktivierungspfad somit kosteneffektiv (ohne Hardwareänderungen am Airbagsteuergerät) nur einen „ASIL B” konformen Aktivierungspfad bietet, muss als weitere Sicherheitsmaßnahme zur Absicherung einer Destabilisierung im ungewollten Aktivierungsfall (Nichtnutzfall) die Verfügbarkeit von ABS bzw. ESC/AYC sichergestellt werden. Wie oben bereits ausgeführt, ist zur Aktivierung eines automatischen Druckaufbaus durch die „Post Crash Braking”-Funktion die positive Verfügbarkeitsinformation der Stabilisierungsfunktionen ESC/AYC und/oder ABS erforderlich: Wird ein automatischer Bremsdruckaufbau von einer der beschriebenen Funktion angefordert und sind die Funktionen ABS bzw. ESC/AYC nicht verfugbar und bereit (z. B. durch einen elektrischen Fehler oder einen funktionalen Zustand), dann wird kein automatischer Bremsdruckaufbau durchgeführt.
Bei einer „Post Crash Braking”-Funktion wie in der DE 10 2004 058 814 A1 beschrieben, tritt folgendes Problem auf: Bei einer Kollision wird mit hoher Wahrscheinlichkeit die Funktion ESC/AYC durch eine Fehlerüberwachung abgeschaltet (werden) bzw. ausfallen, da in der Regel die Messbereiche der Inertialsensorik (Querbeschleunigung, Gierrate) weit uberschritten werden und die Sensorik in einen Fehlerzustand geht bzw. unplausible oder ungultige Werte liefert. Dies kann bereits sehr schnell nach dem auf das Fahrzeug einwirkenden Crashimpuls (Zeitpunkt t₀) geschehen (ca. 60 ms nach t₀). Darüber hinaus konnen auch andere durch den Crash bedingte Gründe einen Ausfall bzw. eine Stilllegung der Funktion ESC/AYC und/oder ABS bewirken. Wie bereits weiter oben geschildert wurde, kann im Nutzfall die Situation eintreten, dass ABS und/oder AYC-Funktion(en) bereits ausgefallen sind, bevor die „Post Crash Braking”-Funktion, insbesondere durch ein Crashsignal vom Airbagsteuergerät, einen automatischen Bremsdruckaufbau anfordert. Aufgrund des bei einem ASIL B Aktivierungspfad erforderlichen Sicherheitsmechanismus (wie oben beschrieben: positive Verfügbarkeitsinformation zur Aktivierung des automatischen Bremsdruckaufbaus) wird daher in den meisten Nutzfällen keine Aktivierung durchgeführt, obwohl diese gewollt wäre.
Tritt zu einem ersten Zeitpunkt t₀ die Gefahrensituation ein, gilt nach einer bevorzugten Ausführungsform des Verfahrens die Aktivierungsbedingung als erfullt, wenn die Fahrstabilitätsfunktion der Bremsanlage zu einem früheren, zweiten Zeitpunkt t₂ verfügbar war.
Nach einer weiteren bevorzugten Ausführungsform des Verfahrens wird eine Information AY-state uber eine Verfugbarkeit der Fahrstabilitätsfunktion der Bremsanlage abgespeichert. Dabei gilt die Aktivierungsbedingung als erfüllt, wenn anhand der Verfügbarkeitsinformation erkannt wird, dass die Fahrstabilitätsfunktion zu einem zweiten Zeitpunkt t₂ verfügbar war, welcher früher ist als ein erster Zeitpunkt t₀, an welchem die Gefahrensituation eintritt.
Bevorzugt wird die Verfugbarkeitsinformation wiederholt nach einem vorgegebenen ersten Zeitintervall Δt_z, insbesondere in einer ersten Speichervariablen A_n1 abgespeichert. Die insbesondere in der ersten Speichervariablen A_n1 abgespeicherte Information wird zweckmäßigerweise während eines vorgegebenen zweiten Zeitintervalls Δt_c nach dem Abspeichern nicht zur Überprüfung der Aktivierungsbedingung verwendet.
Es ist weiterhin bevorzugt, die Information über die aktuelle Verfugbarkeit der Fahrstabilitätsfunktion zusätzlich wiederholt nach einem vorgegebenen zweiten Zeitintervall Δt_c jeweils nach dem Abspeichern in der ersten Speichervariablen A_n1 in einer zweiten Speichervariablen A_n2 abzuspeichern. Es ist dabei zweckmaßig, die in der zweiten Speichervariablen A_n2 abgespeicherte Information dann zur Überprüfung der Aktivierungsbedingung zu verwenden, wenn die in der ersten Speichervariablen A_n1 abgespeicherte Information nicht zur Überprufung der Aktivierungsbedingung verwendet wird.
Nach einer alternativ bevorzugten Ausführungsform des Verfahrens wird dann, wenn zu einem nach dem ersten Zeitpunkt t₀, bei dem die Gefahrensituation eintritt, liegenden späteren Zeitpunkt t₂₀₀, ab dem die Gefahrensituation in der Bremsanlage auf Grund von Latenzzeiten feststellbar ist, die Aktivierungsbedingung als erfullt angesehen, wenn die Fahrstabilitätsfunktion der Bremsanlage zum Zeitpunkt t₀ verfugbar war.
Bevorzugt wird eine Latenzverfügbarkeitsinformation über eine Verfügbarkeit der Fahrstabilitätsfunktion der Bremsanlage gebildet und die Aktivierungsbedingung als erfüllt angesehen, wenn anhand der Latenzverfügbarkeitsinformation erkannt wird, dass die Fahrstabilitätsfunktion zu einem dritten Zeitpunkt t₃ als verfügbar gilt, welcher zu oder nach dem ersten Zeitpunkt t₂₀₀ liegt, an welchem die Information uber die Gefahrensituation eintrifft.
Die Latenzverfügbarkeitsinformation (AY-state) wird vorzugsweise nach Ablauf einer Latenzzeit t_lat auf den logischen Zustand des tatsachlichen Fehlersignals der Fahrstabilitatsfunktion gesetzt, wobei die Messung der Latenzzeit t_lat insbesondere an dem Zeitpunkt beginnt, an dem die Fahrstabilitätsfunktion nicht mehr verfügbar ist.
Die Erfindung betrifft außerdem eine Vorrichtung zur Steuerung einer Bremsanlage gemaß Anspruch 11.
Weitere bevorzugte Ausführungsformen ergeben sich aus den Unteransprüchen und der nachfolgenden Beschreibung eines Ausführungsbeispiels an Hand von Figuren.
Es zeigen
1 ein erstes Ausführungsbeispiel der Erfindung,
2 ein zweites Ausführungsbeispiel der Erfindung und
3 ein drittes Ausführungsbeispiel der Erfindung.
Wie in 1 dargestellt, werden anhand von einem oder mehreren Sensoren 1 das Vorliegen einer Gefahrensituation, insbesondere einer Kollision, des Kraftfahrzeuges uberwacht. Nachdem in Block 2 zu einem Zeitpunkt t₀ eine Gefahrensituation, insbesondere eine Kollision, des Kraftfahrzeuges erkannt wurde, wird in Block 3 eine Entscheidung über das Vorliegen einer Aktivierungsbedingung gefallt und, wenn die Aktivierungsbedingung erfüllt ist, in Block 5 ein fahrerunabhangiger Bremseneingriff durchgefuhrt. Gemäß dem hier beschriebenen Ausfuhrungsbeispiel wird in Block 4 eine Information über die Verfugbarkeit einer Fahrstabilitätsfunktion (ESC/AYC, ABS) zwischengespeichert (gepuffert). Diese Verfügbarkeitsinformation wird der Entscheidungsfindung in Block 3 zugrunde gelegt.
Die Verfugbarkeitsinformation der Fahrstabilitätsfunktion(en) ESC/AYC und ggf. ABS wird bevorzugt in der Art zwischengespeichert, dass zum Zeitpunkt der Aktivierungsentscheidung (Block 3) fur den automatischen Bremsdruckaufbau (getriggert z. B. durch das Crashsignal des Airbagsteuergeräts (Block 1) immer eine Zustandsinformation von einem Zeitpunkt t₂ kurz vor dem Crashereignis (Crashzeitpunkt t₀) vorliegt. Diese (historische) Zustandsinformation wird anstelle der zum Zeitpunkt der Aktivierungsentscheidung aktuellen Zustandsinformation der Fahrstabilitätsfunktion(en) bei der Aktivierungsentscheidung verwendet.
Der Zeitraum Δt_z der Zwischenspeicherung (entspricht dem Alter der Zustandsinformation) ist vorteilhafterweise größer als die Zeit Δt_c, welche zur Erkennung, Verarbeitung und Übertragung der Crashinformation nach t₀ vom System (Crashsensoren, Airbagsteuergerät, Datenleitung, Elektronisches Bremssteuergerät) längstens erforderlich ist („Worst Case”). Diese Zeit Δt_c kann beispielhaft ca. 200 ms betragen. Der Zeitraum Δt_z kann beispielhaft ca. 300 ms betragen. Der Zeitraum Δt_z kann auch variabel innerhalb einer minimalen und einer maximalen Zeit liegen (z. B. ca. 250–500 ms).
Ein weiterer Vorteil dieses Ausführungsbeispiels ist es, dass im Nichtnutzfall ein automatischer Bremsdruckaufbau getriggert durch ein (fehlerhaft gesendetes oder empfangenes) Crashsignal nur durchgefuhrt wird, wenn die Stabilisierungsfunktion(en) ESC/AYC und ggf. ABS vor der Zeit Δt_z (beispielhaft 300 ms) noch verfugbar und bereit war(en) (positive Verfügbarkeitsinformation). Die Wahrscheinlichkeit, dass sich der Verfügbarkeitszustand in dem Zeitraum Δt_z (beispielhaft 300 ms) geändert hat (von „verfügbar” auf „nicht verfugbar”) ist im Nichtnutzfall (normale Fahrt, keine Kollision) so gering, dass sie vernachlässigt werden kann. Im Nutzfall (z. B. Kollision) dagegen ist die Wahrscheinlichkeit, dass die Funktion ESC/AYC innerhalb des Zeitraums Δt_c nach Crashzeitpunkt t₀ durch eine Fehlerüberwachung abgeschaltet wird bzw. ausfällt als Folge des Crashimpulses sehr hoch, wie oben dargestellt. Durch die Verwendung der Zustandsinformation von einem Zeitpunkt t₂ kurz vor t₀ (t₀ + Δt_c < t₀ + Δt_z) wird im (zu erwartenden) Fall einer positiven Verfügbarkeitsinformation eine Aktivierung des automatischen Druckaufbaus ermoglicht (siehe auch 2).
So kann der Aktivierungspfad kosteneffektiv nach dem Sicherheitslevel „ASIL B” ausgefuhrt werden und gleichzeitig das Wirkfeld (= die Anzahl der Nutzsituationen in denen die „Post Crash Braking”-Funktion wirksam werden kann) erheblich erweitert werden.
In einem weiteren vorteilhaften Ausfuhrungsbeispiel erfolgt die Zwischenspeicherung der Zustandsinformation entsprechend einer oder mehrerer der folgenden Maßnahmen/Merkmalen:

– Umsetzung programmiertechnisch im Elektronischen Bremssteuergerat,
– Δt_z = 2 × Δt_c,
– Verwendung von zwei Speichervariablen A_n1 und A_n2,
– Abspeichern der aktuellen Verfügbarkeitsinformation ESC/AYC und/oder ABS in A_1 [0,1] (z. B. Wert 0 entspricht „nicht verfügbar”, Wert 1 entspricht „verfügbar”),
– Erneutes Abspeichern der aktuellen Verfügbarkeitsinformation ESC/AYC und/oder ABS in A_n1 [0,1] nach Δt_z [ms], wieder erneutes Abspeichern nach Δt_z [ms], usw,
– jeweils Blocken der Verwendung der Zustandsinformation in A_n1 [0,1] fur den Zeitraum Δt_c [ms] nach dem Zeitpunkt des Abspeicherns,
– Abspeichern der aktuellen Verfugbarkeitsinformation von ESC/AYC und/oder ABS in A_n2 jeweils Δt_c [ms] nach Abspeichern von A_n1 (jeweils wenn Blocken der Verwendung von A_n1 beendet),
– wenn Verwendung der Zustandsinformation in A_n1 geblockt, dann Verwendung der Zustandsinformation in A_n2.

Bevorzugt wird die Verfügbarkeitsinformation der Funktionen ESC/AYC und ggf. ABS in der Art zwischengespeichert, dass zum Zeitpunkt der Aktivierungsentscheidung für den automatischen Bremsdruckaufbau (z. B. getriggert durch das Crashsignal des Airbagsteuergeräts) immer eine Zustandsinformation von einem Zeitpunkt t₂ kurz vor dem Crashereignis (z. B. Zeitpunkt t₂ = t₀–Δt, mit Crashzeitpunkt t₀ und vorgegebenes Zeitintervall Δt > 0) vorliegt. Diese (historische) Zustandsinformation wird anstelle der zum Zeitpunkt der Aktivierungsentscheidung aktuellen Zustandinformation bei der Aktivierungsentscheidung verwendet.
3 zeigt den zeitlichen Verlauf von logischen Fehlersignalen in einer beispielgemäßen Bremsanlage, die im Gegensatz zum Beispiel gemäß 2 ohne einen Zwischenspeicher zur Speicherung der Verfügbarkeitsinformation auskommt. Das Ausfuhrungsbeispiel gemaß 3 ist gegenüber dem Beispiel in 1 weiter vereinfacht. Mit 4' ist das weiter oben beschriebene Verfugbarkeitssignal der besagten Fahrstabilitätsfunktion(en) ESC/AYC und ggf. ABS bezeichnet. Falls ein Fehler in diesen Funktionen auftritt, wechselt das entsprechende Fehlersignal 4' nach einer Zeit t_failure nach dem Crashzeitpunkt t₀ vom logischen Wert „1” (kein Fehler) auf den logischen Wert „0” (Sensorfehler). Wenn kein Fehler auftritt, ist die Aktivierungsbedingung in Block 3 auch im Crashfall erfüllt, so dass ein fahrerunabhangiger Bremseneingriff durchgefuhrt werden kann. Allerdings muss im Crashfall sichergestellt werden, dass im Falle eines Fehlers das Verfügbarkeitssignal seinen Zustand nicht wechselt, bevor eine Aktivierung der Nutzfunktion erfolgt ist. Gemaß dem hier beschriebenen Beispiel wird daher eine zusätzliche Latenzverfugbarkeitsinformation „AY-state” gebildet, welche an Stelle der Verfügbarkeitsinformation 4' der Entscheidungsfindung in Block 3 zugrunde gelegt, wobei diese Verfügbarkeitsinformation mit einer Latenzzeit versehen wird.
Mit 2' ist das die Kollision anzeigende Signal bezeichnet, welches durch den Crashsensor 2 erzeugt wird. Dieses Signal wird auf Grund von Latenzzeiten erst nach einer Zeit t₂₀₀ im Bremsensteuergerät empfangen. Innerhalb des Bremsensteuergeräts wechselt das logische Signal 2' dann von „0” (kein Crash) auf „1” (Crash). Wie in Teilbild a) gezeigt, würde im Nutzfall keine fahrerunabhängige Aktivierung in Block 5 möglich sein, da das Bremssystem auf Grund des Fehlersignals 4' bereits vor dem Eintreffen der Crashinformation zum Zeitpunkt t_failure deaktiviert wurde.
Um zu vermeiden, dass im Nutzfall keine Aktivierung von Block 4 mehr moglich ist, wird nach der hier beschriebenen beispielgemaßen dritten Ausfuhrungsform in Block 3 das zusatzliche Verfugbarkeitsignal „AY-state” herangezogen. Dieses zusätzliche Signal wird nur innerhalb der Software der Bremsanlage verwendet. Der logische Zustand des Signals „AY-state” entspricht im Normalfall dem Zustand des Signals 4' bis auf den Unterschied, dass das Signal „AY-state” erst nach Ablauf einer Latenzzeit t_lat mit dem Zustand des Signals 4' überschrieben wird. Die Zeit t_lat beginnt nach dem Feststellen eines Sensorfehlers zum Zeitpunkt t_failure zu laufen. Dies kann beispielsweise dadurch geschehen, dass die fallende Flanke des Signals 4' in der Software der Bremsanlage einen Zahler startet, und erst nach Ablauf des Zählers das Überschreiben des Signals „AY-state” mit dem Fehlersignal 4' vorgenommen wird. Zum Zeitpunkt t₃ wird in der Bremsanlage der Zustand des Signals „AY-state” geprüft. Der Zeitpunkt t₃ liegt bei oder nach dem Zeitpunkt t₂₀₀, an welchem die Information über die Gefahrensituation eintrifft. Da der Wert von „AY-state” erst nach Ablauf der Latenzzeit t_lat mit dem tatsächlichen Fehlerzustand des Sensors überschrieben wird, kann auch ohne die Verwendung eines Speichers im Bereich der Sensoreinheit 4 festgestellt werden, dass die Fahrdynamiksensoren innerhalb der Latenzzeit t_lat (als auch vor dem Crash) verfugbar war. Die Aktivierungsbedingung 3 gilt dann als erfullt.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 102004058814 A1 [0002, 0018]
WO 2010046160 A1 [0003]

Zitierte Nicht-Patentliteratur

ISO 26262 [0008]
ISO 26262 [0009]

Claims

Verfahren zur Steuerung einer Bremsanlage eines Kraftfahrzeugs mit einer Fahrstabilitätsfunktion (ESC/AYC, ABS), bei welchem das Vorliegen einer Gefahrensituation des Kraftfahrzeuges, insbesondere das Auftreten einer Kollision, überwacht wird und bei einer erkannten Gefahrensituation, insbesondere Kollision, ein fahrerunabhangiger Bremseneingriff durchgefuhrt wird (5), wenn eine Aktivierungsbedingung als erfüllt gilt (3), dadurch gekennzeichnet, dass die Aktivierungsbedingung (3) als erfüllt gilt, wenn die Fahrstabilitatsfunktion (4, ESC/AYC, ABS) der Bremsanlage verfugbar ist oder war (AY-state, 4').
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass, dann, wenn zu einem ersten Zeitpunkt (t₀) die Gefahrensituation eintritt, die Aktivierungsbedingung (3) als erfüllt gilt, wenn die Fahrstabilitätsfunktion (4, ESC/AYC, ABS) der Bremsanlage zu einem fruheren, zweiten Zeitpunkt (t₂) verfugbar war (AY-state, 4').
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass eine Information (AY-state) uber eine Verfügbarkeit der Fahrstabilitätsfunktion (4, ESC/AYC, ABS) der Bremsanlage abgespeichert wird und dass die Aktivierungsbedingung als erfüllt gilt, wenn anhand der Verfügbarkeitsinformation (4') erkannt wird, dass die Fahrstabilitätsfunktion zu einem zweiten Zeitpunkt (t₂) verfügbar war, welcher früher ist als ein erster Zeitpunkt (t₀), an welchem die Gefahrensituation eintritt.
Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass die Verfugbarkeitsinformation (4', AY-state) wiederholt nach einem vorgegebenen ersten Zeitintervall (Δt_z), insbesondere in einer ersten Speichervariablen (A_n1) abgespeichert wird.
Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass die, insbesondere in der ersten Speichervariablen (A_n1), abgespeicherte Information während eines vorgegebenen zweiten Zeitintervalls (Δt_c) nach dem Abspeichern nicht zur Überprufung der Aktivierungsbedingung verwendet wird.
Verfahren nach mindestens einem der Ansprüche 4 oder 5, dadurch gekennzeichnet, dass die Information über die aktuelle Verfügbarkeit der Fahrstabilitätsfunktion zusätzlich wiederholt nach einem vorgegebenen zweiten Zeitintervall (Δt_c) jeweils nach dem Abspeichern in der ersten Speichervariablen (A_n1) in einer zweiten Speichervariablen (A_n2) abgespeichert wird.
Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass die in der zweiten Speichervariablen (A_n2) abgespeicherte Information dann zur Überprufung der Aktivierungsbedingung verwendet wird, wenn die in der ersten Speichervariablen (A_n1) abgespeicherte Information nicht zur Überprüfung der Aktivierungsbedingung verwendet wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass, wenn zu einem nach dem ersten Zeitpunkt (t₀), bei dem die Gefahrensituation eintritt, liegenden späteren Zeitpunkt (t₂₀₀), ab dem die Gefahrensituation in der Bremsanlage auf Grund von Latenzzeiten feststellbar ist, die Aktivierungsbedingung (3) erfüllt ist, wenn die Fahrstabilitatsfunktion (4, ESC/AYC, ABS) der Bremsanlage zum Zeitpunkt (t₀) verfügbar war (4').
Verfahren nach Anspruch 1 oder 8, dadurch gekennzeichnet, dass eine Latenzverfügbarkeitsinformation (AY-state) über eine Verfügbarkeit der Fahrstabilitätsfunktion (ESC/AYC, ABS) der Bremsanlage gebildet wird und dass die Aktivierungsbedingung (3) erfüllt ist, wenn anhand der Latenzverfügbarkeitsinformation (AY-state) erkannt wird, dass die Fahrstabilitätsfunktion zu einem dritten Zeitpunkt (t₃) als verfugbar gilt, welcher zu oder nach dem ersten Zeitpunkt (t₂₀₀) liegt, an welchem die Information uber die Gefahrensituation eintrifft.
Verfahren nach Anspruch 8 oder 9, dadurch gekennzeichnet, dass die Latenzverfügbarkeitsinformation (AY-state) nach Ablauf einer Latenzzeit (t_lat) auf den logischen Zustand des tatsächlichen Fehlersignals (4') der Fahrstabilitatsfunktion (ESC/AYC, ABS) gesetzt wird, wobei die Messung der Latenzzeit (t_lat) insbesondere an dem Zeitpunkt beginnt, an dem die Fahrstabilitätsfunktion (ESC/AYC, ABS) nicht mehr verfügbar ist.
Vorrichtung zur Steuerung einer Bremsanlage eines Kraftfahrzeugs mit einer Fahrstabilitätsfunktion (ESC/AYC, ABS) umfassend ein Überwachungsmittel zur Uberwachung des Vorliegens einer Gefahrensituation des Kraftfahrzeuges, insbesondere einer Kollision, und ein Bremssteuerungsmittel zur Durchfuhrung eines fahrerunabhängigen Bremseneingriffs, wenn zu einem ersten Zeitpunkt (t₀) eine Gefahrensituation, insbesondere Kollision, erkannt wird und wenn eine Aktivierungsbedingung erfullt ist, gekennzeichnet, durch ein Auswertemittel zur Überprufung des Vorliegens der Aktivierungsbedingung, wobei die Aktivierungsbedingung als erfüllt gilt, wenn die Fahrstabilitätsfunktion (ESC/AYC, ABS) der Bremsanlage zu einem fruheren, zweiten Zeitpunkt (t₂) verfügbar war.
Vorrichtung zur Steuerung einer Bremsanlage eines Kraftfahrzeugs mit einer Fahrstabilitätsfunktion (ESC/AYC, ABS), insbesondere nach Anspruch 11, dadurch gekennzeichnet, dass in dieser ein Verfahren gemäß einem der Ansprüche 1 bis 10 durchgeführt wird.