-
Die
Erfindung bezieht sich auf ein elektronisches Fahrzeug-Steuersystem, das
beim Auftreten einer Funktionsstörung
oder eines Ausfalls der elektronischen Steuerung einen Übergang
in einen betriebssicheren Zustand herbeiführt.
-
Bekanntermaßen können zwei
zentrale Signal- oder Datenverarbeitungseinheiten (CPU), die nachstehend
vereinfacht als Zentraleinheiten bezeichnet sind, zur Steuerung
der Brennkraftmaschine bzw. des Verbrennungsmotors in einem Fahrzeug Verwendung
finden, wobei eine Zentraleinheit als Haupt-Zentraleinheit zur Kraftstoffeinspritzsteuerung und
Zündungssteuerung
dient, während
die andere Zentraleinheit als Neben-Zentraleinheit für die Drosselklappensteuerung
verwendet wird. Die Haupt-Zentraleinheit überwacht
den Drosselklappen-Steuervorgang der Neben-Zentraleinheit und führt beim
Auftreten einer Funktionsstörung
oder eines Ausfalls der Drosselklappensteuerung einen Betriebssicherungsvorgang
durch.
-
Eine
Betriebssicherungsverarbeitung ist beispielsweise in der
US 6,092,505 A offenbart.
Ein redundanter Aufbau einer elektronischen Steuerungseinheit für eine Brennkraftmaschine
ist in der
DE 39 26
377 A1 offenbart. Weitere verwandte Techniken sind in der
DE 199 24 292 A1 ,
die eine Vorrichtung zur Steuerung der Antriebsleistung eines Fahrzeugs zeigt,
oder der
DE 198 12
944 A1 offenbart, die eine Fahrzeugsteuereinrichtung für einen
Fahrzeugmotor zeigt.
-
Es
ist bereits vorgeschlagen worden, alle diese Steuervorgänge mit
Hilfe einer einzigen Zentraleinheit durchzuführen, da derartige Zentraleinheiten
in Bezug auf die Verarbeitung von Drehzahlwerten und dergleichen
erheblich leistungsfähiger
geworden sind. Hierbei wird jedoch eine weitere Zentraleinheit als
Neben-Zentraleinheit zur Überwachung
der Arbeitsweise der die Kraftstoffeinspritz-, Zündungs- und Drosselklappen-Steuervorgänge durchführenden
Haupt-Zentraleinheit verwendet.
-
Wenn
die Neben-Zentraleinheit z. B. eine Funktionsstörung der Drosselklappensteuerung
feststellt, übermittel
die Neben-Zentraleinheit der Haupt-Zentraleinheit die Anweisung,
einen Betriebssicherungsvorgang (fail-safe operation) auszuführen. Dieser
Betriebssicherungsvorgang, d. h., die Überführung in einen betriebssicheren
Zustand, kann die Aufrechterhaltung der Kraftstoffeinspritzung und Zündung für eine verringerte
Anzahl von Zylindern eines Motors zur Gewährleistung einer Weiterfahrt
unter Notlaufbedingungen beinhalten. Hierbei ist jedoch nicht gewährleistet,
daß die
die Drosselklappensteuerung durchführende Haupt-Zentraleinheit
noch in der Lage ist, diesen Betriebssicherungsvorgang korrekt auszuführen. Obwohl
die Neben-Zentraleinheit zur Rückstellung
der Haupt-Zentraleinheit
ausgestaltet sein kann, ist nämlich
nicht gewährleistet,
ob die Haupt-Zentraleinheit nach einer Rückstellung den Betriebssicherungsvorgang
durchführen
kann.
-
Der
Erfindung liegt daher die Aufgabe zu Grunde, ein elektronisches
Fahrzeug-Steuersystem und Fahrzeug-Steuerverfahren anzugeben, mit deren
Hilfe beim Auftreten einer Funktionsstörung oder eines Ausfalls ein
Betriebssicherungsvorgang (fail-safe operation) zur Herbeiführung eines
betriebssicheren Zustands korrekt durchführbar ist.
-
Diese
Aufgabe wird mit den im Patentanspruch 1 angegebenen Mitteln gelöst.
-
In
den Unteransprüchen
sind vorteilhafte Ausgestaltungen der Erfindung angegeben.
-
Das
erfindungsgemäße elektronische
Fahrzeug-Steuersystem umfasst eine Haupt-Zentraleinheit und eine
Neben-Zentraleinheit.
Die Haupt-Zentraleinheit führt
elektronische Steuerungen eines Fahrzeugs, wie z. B. die Drosselklappensteuerung für eine Brennkraftmaschine
bzw. einen Verbrennungsmotor, sowie einen Betriebssicherungsablauf (fail-safe
processing) zur Verringerung des Ausgangsdrehmoments des Motors
aus, wenn die Neben-Zentraleinheit eine Funktionsstörung oder
einen Ausfall der Haupt-Zentraleinheit bei der elektronischen Steuerung
des Fahrzeugs feststellt. Die Neben-Zentraleinheit ermittelt, ob der Betriebssicherungsablauf
von der Haupt-Zentraleinheit korrekt durchgeführt wird, und führt bei
Ermittlung eines ungewöhnlichen
Zustands bzw. fehlerbedingten Störzustands
bei dem von der Haupt-Zentraleinheit
durchgeführten
Betriebssicherungsablauf ihrerseits einen Betriebssicherungsablauf
anstelle der Haupt-Zentraleinheit aus.
-
Die
Erfindung wird nachstehend anhand von Ausführungsbeispielen unter Bezugnahme
auf die Zeichnungen näher
beschrieben. Es zeigen:
-
1 ein
Blockschaltbild eines Ausführungsbeispiels
des elektronischen Fahrzeug-Steuersystems, bei dem eine Steuer-Zentraleinheit
und eine Überwachungs-Zentraleinheit
Verwendung finden,
-
2 ein
Ablaufdiagramm, das ein von der Überwachungs-Zentraleinheit
des Ausführungsbeispiels
gemäß 1 ausgeführtes Unterprogramm zur Überwachung
eines Betriebssicherungsablaufs veranschaulicht,
-
3 Signalverläufe zur
Veranschaulichung eines Betriebssicherungs-Überwachungsvorgangs bei dem
Ausführungsbeispiel
gemäß 1,
und
-
4A und 4B Blockschaltbilder
von Modifikationen des Ausführungsbeispiels
gemäß 1.
-
Gemäß 1 umfasst
das elektronische Fahrzeug-Steuersystem
eine elektronische Steuereinheit (ECU) 10, die verschiedene
Motorbereiche bzw. -bauteile, wie Einspritzventile 21 zur
Kraftstoffeinspritzung, eine Zündanlage 22 zur
Zündfunkenerzeugung
und ein Drosselklappenstellglied 23 zur Drosselklappenverstellung,
in Abhängigkeit
von Betriebszuständen
des Motors, wie Motordrehzahl und Ansaugluftmenge, elektronisch
steuert. Einspritzsteuersignale für vier Zylinder sind mit #1
bis #4 bezeichnet, während
Zündsteuersignale
mit IGT1 bis IGT4 bezeichnet sind.
-
Die
elektronische Steuereinheit 10 umfasst eine als Haupt-Zentraleinheit verwendete
Steuer-Zentraleinheit 11, eine als Neben-Zentraleinheit verwendete Überwachungs-Zentraleinheit 12 sowie eine
Kontrollschaltung 13. Der Steuer-Zentraleinheit 11 und
der Überwachungs-Zentraleinheit 12 werden ein
Zündschaltersignal
IGSW und ein Startersignal STA zur Bestimmung von Motorstartzuständen zugeführt. In
jeweiligen vorgegebenen Perioden führt die Steuer-Zentraleinheit 11 der
Kontrollschaltung 13 einen Überwachungsimpuls WD1 zu, während die Überwachungs-CPU 12 in
jeweiligen vorgegebenen Perioden der Steuer-Zentraleinheit 11 einen Überwachungsimpuls
WD2 zuführt.
-
Die
Steuer-Zentraleinheit 11 ist zur Durchführung einer Kraftstoffeinspritzsteuerung,
einer Zündungssteuerung
und einer Drosselklappensteuerung programmiert. Außerdem ist
sie zur Durchführung
einer Überwachung
der Operationen der Überwachungs-Zentraleinheit 12 auf
der Basis der von der Überwachungs-Zentraleinheit 12 erhaltenen Überwachungsimpulse
WD2 programmiert. Die Steuer-Zentraleinheit 11 ist
zur Feststellung einer Funktionsstörung oder eines Ausfalls der Überwachungs- Zentraleinheit 12,
wenn der Überwachungsimpuls
WD2 über
eine vorgegebene Zeitdauer hinaus den gleichen Signalpegel aufweist,
und zur Eingabe eines Rückstellsignals
R1 in die Überwachungs-Zentraleinheit 12 bei
Ermittlung einer solchen Funktionsstörung programmiert.
-
Die
Kontrollschaltung 13 dient zur Überwachung der Steuer-Zentraleinheit 11 auf
der Basis der von der Steuer-Zentraleinheit 11 erhaltenen Überwachungsimpulse
WD1. Hierbei führt
die Kontrollschaltung 13 der Steuer-Zentraleinheit 11 ein Rückstellsignal
R3 zu, wenn der Überwachungsimpuls
WD1 über
eine vorgegebene Zeitdauer hinaus auf dem gleichen Signalpegel verbleibt.
Ferner ist hervorzuheben, dass die Überwachungs-Zentraleinheit 12 ebenfalls
zurückgestellt
wird, wenn die Steuer-Zentraleinheit 11 durch
das Rückstellsignal
R3 über
ein ODER-Glied 14 zurückgestellt
wird.
-
Die
Steuer-Zentraleinheit 11 und die Überwachungs-Zentraleinheit 12 sind über eine
Verbindungsleitung für
direkten Speicherzugriff (DMA) miteinander verbunden und somit in
der Lage, über
diese DMA-Verbindung miteinander zu kommunizieren. Die Überwachungs-Zentraleinheit 12 ist
zur Überwachung
eines von der Steuer-Zentraleinheit 11 vorgenommenen spezifischen
Steuervorgangs, insbesondere der Drosselklappensteuerung, auf der
Basis der von der Steuer-Zentraleinheit 11 über die
DMA-Verbindung erhaltenen Kommunikationsdaten programmiert. Die Überwachungs-Zentraleinheit 12 informiert die
Steuer-Zentraleinheit 11 mittels der DMA-Verbindung über eine
Funktionsstörung
der überwachten Drosselklappensteuerung,
wenn sie das Vorliegen einer solchen Funktionsstörung erfasst. Die Steuer-Zentraleinheit 11 ist
zur Durchführung
eines vorgegebenen Betriebssicherungsablaufs (fail-safe processing)
in Abhängigkeit
von der Meldung einer Funktionsstörung von der Überwachungs-Zentraleinheit 12 programmiert.
Dieser Betriebssicherungsvorgang zur Herbeiführung eines betriebssicheren
Zustands kann in einer Verringerung der mit Kraftstoff versorgten
Zylinder oder in einer Verzögerung
der Zündverstellung
bzw. des Zündzeitpunkts
zur Verringerung des Motor-Ausgangsdrehmoments bestehen, um eine
Weiterfahrt des Fahrzeugs in einem Notlaufbetrieb zu gewährleisten.
-
Die Überwachungs-Zentraleinheit 12 ist
außerdem
zur Überwachung
des von der Steuer-Zentraleinheit 11 ausgeführten Betriebssicherungsablaufs
programmiert und überprüft hierbei,
ob die Steuer-Zentraleinheit 11 den Betriebssicherungsablauf
korrekt ausführt.
Hierbei kann die Überwachungs-Zentraleinheit 12 z.
B. das Brennstoffeinspritzsignal #1 erhalten und den Zustand der
Kraftstoffzufuhr, d. h., die Unterbrechung der Kraftstoffzufuhr
zur Verringerung des Ausgangsdrehmoments, überwachen. Es können natürlich auch
mehr als ein Brennstoffeinspritzsignal oder sämtliche Einspritzsignale #1
bis #4 zur Überwachung
des Betriebssicherungsablaufs herangezogen werden. Wenn eine Funktionsstörung in
dem von der Steuer-Zentraleinheit 11 durchgeführten Betriebssicherungsablauf festgestellt
wird, setzt die Überwachungs-Zentraleinheit 12 ein
Motorabschalt-Anforderungszustandssignal
bzw. -Anforderungszustandsbit und speichert es in einen nichtflüchtigen
Speicher 12a ein. Sodann führt die Überwachungs-Zentraleinheit 12 der
Steuer-Zentraleinheit 11 über das
ODER-Glied 14 ein Rückstellsignal
R2 als Motorabschalt-Anforderungssignal zu, sodass die Betätigung der
Brennstoffeinspritzventile 21, der Zündanlage 22 und des
Drosselklappenstellglieds 23 unterbrochen bzw. beendet wird.
-
Im
einzelnen überwacht
die Überwachungs-Zentraleinheit 12 hierbei
den von der Steuer-Zentraleinheit 11 ausgeführten Betriebssicherungsablauf
auf der Basis des in 2 dargestellten Unterprogramms.
In einem Schritt 101 überprüft die Überwachungs-Zentraleinheit 12 zunächst, ob
das Startersignal STA vorliegt, d. h., den Wert EIN hat, und damit
das Vorliegen eines Motorstartvorgangs anzeigt. Wenn dieses Zustandssignal
bzw. Zustandsbit den Wert EIN hat, löscht die Überwachungs-Zentraleinheit 12 in
einem Schritt 102 das im Speicher 12a abgespeicherte
Motorabschalt-Anforderungszustandsbit
EST.
-
Die Überwachungs-Zentraleinheit 12 überprüft sodann
in einem Schritt 103, ob die Steuer-Zentraleinheit 11 den
Betriebssicherungsablauf korrekt ausführt. Wenn ein Störungszustand
oder ungewöhnlicher
Zustand der Verarbeitung dieses Betriebssicherungsablaufs festgestellt
wird, setzt die Überwachungs-Zentraleinheit 12 in
einem Schritt 104 das Motorabschalt-Anforderungszustandsbit
EST im Speicher 12a. Die Überwachungs-Zentraleinheit 12 überprüft sodann
in einem Schritt 105, ob das Motorabschalt-Anforderungszustandsbit
EST gesetzt ist. Wenn das Zustandsbit EST gesetzt ist, gibt die Überwachungs-Zentraleinheit 12 das
Rückstellsignal R2
als Motorabschalt-Anforderungssignal
ab und stellt dadurch die Steuer-Zentraleinheit 11 zur
Unterbrechung bzw. Beendigung der Motorsteuervorgänge zurück.
-
Dieser Überwachungsvorgang
des Betriebssicherungsablaufs ist in 3 veranschaulicht,
wobei davon ausgegangen wird, dass der Motor aus dem Stillstand
gestartet wird. Wenn der Zündschalter zum
Einschalten der elektrischen Stromversorgung geschlossen wird (IGSW
= EIN) und sodann zum Zeitpunkt t1 der Starter mit Strom versorgt
wird (STA = EIN), wird die Motordrehzahl NE im Bereich der Leerlaufdrehzahl
von ungefähr
600 min–1 gehalten. Wenn
eine Funktionsstörung
bei der Drosselklappensteuerung auftritt, ermittelt die Überwachungs-Zentraleinheit 12 einen
Störungszustand
der Steuer-Zentraleinheit 11 bei der Drosselklappensteuerung
und meldet dies der Steuer-Zentraleinheit 11.
Daraufhin beginnt die Steuer-Zentraleinheit 11 mit
der Verarbeitung des Betriebssicherungsvorgangs, d. h., der Reduzierung
der Anzahl der mit Kraftstoff versorgten Zylinder, sodass die Motordrehzahl
bei ungefähr 1500
min–1 gehalten
werden kann wodurch das Fahrzeug in die Lage versetzt wird, im Rahmen
eines Notlaufbetriebs z. B. eine Werkstatt zu erreichen.
-
Wenn
zum Zeitpunkt t3 eine Funktionsstörung oder ein ungewöhnlicher
Zustand bei der Ausführung
des Betriebssicherungsvorgangs durch die Steuer-Zentraleinheit 11 auftritt,
indem z. B. die Reduzierung der Anzahl der mit Kraftstoff versorgten Zylinder
nicht korrekt ausgeführt
wird, ergibt sich eine höhere
Motordrehzahl NE. Die Überwachungs-Zentraleinheit 12 stellt
diesen ungewöhnlichen
Zustand fest und setzt zum Zeitpunkt t4 das Motorabschalt-Anforderungszustandsbit
(EST = EIN). Außerdem
wird das Rückstellsignal
R2 der Steuer-Zentraleinheit 11 zugeführt. Darüberhinaus wird die Überwachungs-Zentraleinheit 12 jeweils
zurückgestellt, wenn
die Steuer-Zentraleinheit 11 zurückgestellt wird. Das Motorabschalt-Anforderungszustandsbit EST
wird jedoch in dem nichtflüchtigen
Speicher 12a weiterhin gespeichert gehalten. Auch bei einem
Wiederanlauf der Überwachungs-Zentraleinheit 12 wird somit
das Rückstellsignal
R2 der Überwachungs-Zentraleinheit 12 wiederholt
zugeführt,
bis der Zündschalter
abgeschaltet (IGSW = AUS) und die Stromversorgung der elektronischen
Steuereinheit 10 unterbrochen ist.
-
Beim
erneuten Einschalten des Zündschalters
wird das Rückstellsignal
R2 weiterhin von der Überwachungs-Zentraleinheit 12 abgegeben,
da das Motorabschalt-Anforderungszustandsbit
EST im Speicher 12a gespeichert ist. Zu Beginn des Motorstartvorgangs
(STA = EIN) zum Zeitpunkt t5 wird jedoch das Zustandsbit EST im
Speicher 12a gelöscht, sodass
die Motorsteuerung durch die Steuer-Zentraleinheit 11 normal erfolgt,
solange die Überwachungs-Zentraleinheit 12 keine
Funktionsstörung
im Drosselklappensteuerbetrieb der Steuer-Zentraleinheit 11 feststellt.
-
Wenn
somit bei diesem Ausführungsbeispiel die
Steuer-Zentraleinheit 11 den
Betriebssicherungsablauf nicht korrekt ausführt, wird dies von der Überwachungs-Zentraleinheit 12 festgestellt,
die daraufhin die Steuer-Zentraleinheit 11 kontinuierlich
zurückstellt,
sodass kein übermäßiger Anstieg
der Motordrehzahl erfolgt. Dies ist von besonderem Vorteil, da es
ungewiss ist, ob die Steuer-Zentraleinheit 11 nach einer
Funktionsstörung
oder einem Ausfall der von ihr durchgeführten Motorsteuerung, insbesondere
der Drosselklappensteuerung, noch in der Lage ist, den Betriebssicherungsablauf
in der erforderlichen Weise durchzuführen. Da das Motorabschalt-Anforderungszustandsbit
EST bei jedem Startvorgang des Motors gelöscht wird, kann die Steuer-Zentraleinheit 11 die Motorsteuerung
auf normalem Wege durchführen.
-
Das
vorstehend beschriebene Ausführungsbeispiel
lässt sich
auf mancherlei Weise modifizieren. Z. B. kann die Überwachungs-Zentraleinheit 12 derart
programmiert bzw. ausgestaltet sein, dass ein Kraftstoffzufuhr-Abschaltsignal
F/C sämtlichen
Einspritzventilen 21 über
UND-Glieder 31 in der in 4A veranschaulichten
Weise zugeführt
wird, wenn die Überwachungs-Zentraleinheit 12 eine Funktionsstörung oder
einen ungewöhnlichen
Zustand bei der von der Steuer-Zentraleinheit 11 durchgeführten Verarbeitung
des Betriebssicherungsablaufs feststellt. Durch dieses Kraftstoffzufuhr-Abschaltsignal
wird die Kraftstoffeinspritzung zur Abschaltung des Motors unterbrochen
bzw. beendet.
-
Außerdem besteht
im Falle einer nicht korrekten Ausführung des Betriebssicherungsablaufs durch
die Steuer-Zentraleinheit 11 die
Möglichkeit, das
Kraftstoffzufuhr-Abschaltsignal
F/C nur den Einspritzventilen 21 des ersten und dritten
Zylinders zuzuführen,
falls der erste und der dritte Zylinder als diejenigen Zylinder
festgelegt sind, bei denen die Kraftstoffzufuhr unterbrochen wird,
wenn die Steuer-Zentraleinheit 11 nicht in der Lage ist,
eine normale Drosselklappensteuerung durchzuführen.
-
Ferner
kann das Motorabschalt-Anforderungszustandsbit EST im Speicher 12a zum
Zeitpunkt der Steuerung eines Hauptrelais des Stromversorgungskreises
gelöscht
werden, die beim Abschalten des Zündschalters (IGSW = AUS) erfolgt.
-
Weiterhin
kann die Drosselklappensteuerung durch eine erste Zentraleinheit
getrennt von einer zweiten Zentraleinheit erfolgen, die die Steuerung
der Kraftstoffeinspritzung und der Zündung durchführt. In
diesem Fall ist die zweite Zentraleinheit zur Durchführung der
Verarbeitung des Betriebssicherungsablaufs programmiert, wenn die
erste Zentraleinheit nicht in der Lage ist, die Drosselklappensteuerung
normal durchzuführen,
wobei die erste Zentraleinheit die Durchführung des Betriebssicherungsablaufs
der zweiten Zentraleinheit überwacht. Hierbei
ist die erste Zentraleinheit zur Fortführung eines Betriebssicherungsablaufs
anstelle der zweiten Zentraleinheit programmiert, wenn die zweite Zentraleinheit
nicht in der Lage ist, die Verarbeitung des Betriebssicherungsablaufs
auszuführen.
-
Das
vorstehend beschriebene elektronische Fahrzeug-Steuersystem umfasst somit eine Steuer-Zentraleinheit 11 und
eine Überwachungs-Zentraleinheit 12.
Die Steuer-Zentraleinheit 11 führt die
Verarbeitung eines Betriebssicherungsablaufs zur Reduzierung eines
Motor-Drehmoments
durch, wenn die die Steuer-Zentraleinheit 11 überwachende Überwachungs-Zentraleinheit 12 feststellt,
dass die Steuer-Zentraleinheit 11 nicht in der Lage ist,
eine Drosselklappensteuerung für
einen Motor durchzuführen. Wenn
die Überwachungs-Zentraleinheit 12 feststellt, dass
die Steuer-Zentraleinheit 11 nicht in der Lage ist, die
Verarbeitung des Betriebssicherungsablaufs durchzuführen, führt sie
ihrerseits anstelle der Steuer-Zentraleinheit 11 die Verarbeitung
eines Betriebssicherungsablaufs aus. Bei diesem Betriebssicherungsvorgang
stellt die Überwachungs-Zentraleinheit 12 die
Steuer-Zentraleinheit 11 fortlaufend zurück, sodass
der Motor zwangsweise abgeschaltet werden kann.