-
Die
Erfindung betrifft ein Verfahren zum Betrieb eines Lenksystems für ein Kraftfahrzeug.
Die Erfindung betrifft auch ein Computerprogramm mit Programmcodemitteln,
um ein derartiges Verfahren durchzuführen.
-
Aus
der
DE 197 51 125
A1 ist ein Verfahren bekannt, bei welchem die vom Fahrer
durch ein Lenkrad aufgebrachten Lenkbewegungen, der durch einen
Sensor erfasste Lenkradwinkel, mittels eines Überlagerungsgetriebes mit den
Bewegungen des Stellantriebes, dem Motorwinkel, überlagert werden. Die so entstandene überlagerte
Bewegung wird über das
Lenkgetriebe bzw. das Lenkgestänge
an die lenkbar ausgelegten Räder
zur Einstellung des Lenkwinkels weitergeleitet. Hierbei ist der
Stellantrieb als Elektromotor ausgelegt. Das Funktionsprinzip bzw. die
Nutzanwendungen eines solchen Servolenksystems bestehen insbesondere
darin, dass die Lenkung durch die Übersetzung des Überlagerungsgetriebes
indirekt ausgeführt
werden kann und damit geringe Lenkradmomente erreicht werden können. Dadurch
beding te, sehr große
Lenkradwinkel werden vermieden, indem geeignete Motorwinkel überlagert werden,
so dass mit Lenkradwinkeln üblicher
Größe erforderliche
Ausgangswinkel eingestellt werden können. Der zur Lenkunterstützung erforderliche
Motorwinkel bzw. sein Sollwert wird aus dem Lenkradwinkel bestimmt.
Darüber
hinaus kann der Motorwinkel auch abhängig sein von Signalen, welche
die durch Sensoren und/oder ändere
Fahrzeugsysteme, wie z. B. ein elektronisches Stabilitätsprogramm (ESP),
erfassten Fahrzeugbewegungen repräsentieren. Dies erfolgt durch
ein Steuergerät,
auf welchem die für
die Bestimmung der erforderlichen Motorwinkel bzw. die für die Steuerung
der Nutzanwendungen erforderlichen Programme ausgeführt werden.
-
Aufgrund
der Sicherheitsanforderungen an ein derartiges Lenksystem, ist ein
Sicherheitskonzept mit Sicherheits- und Diagnosefunktionen, insbesondere
um zufällige
Fehler in der Sensorik, dem Steuergerät selbst oder der Aktuatorik
zu entdecken und geeignet zu reagieren,. d. h. beispielsweise die
Nutzanwendungen, insbesondere die variable Lenkübersetzung geeignet zu schalten
und/oder entsprechende Ersatzmaßnahmen
zu starten, unerlässlich.
Die Eingangssignale des Steuergeräts werden auf Plausibilität geprüft. Beispielsweise
wäre es
nachteilig ein verfälschtes
Geschwindigkeitssignal zu akzeptieren, da die variable Lenkübersetzung
u. a. geschwindigkeitsabhängig
variiert wird.
-
Der
vorliegenden Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren
zum Betrieb eines Lenksystems und ein Computerprogramm der eingangs
erwähnten
Art zu schaffen, welche die Zuverlässigkeit, Funktionssicher heit
und Verfügbarkeit
des Lenksystems verbessern.
-
Erfindungsgemäß wird diese
Aufgabe durch Anspruch 1 gelöst.
Die Aufgabe wird hinsichtlich des Computerprogramms durch Anspruch
6 gelöst.
-
Dadurch
werden die Nutzanwendungen (z. B. eine variable Lenkübersetzung)
in vorteilhafter Weise anhand eines zuvor ermittelten Systemstatus des
Lenksystems konfiguriert und entsprechend geschaltet, d. h. eventuell
geeignete Ersatzmaßnahmen
getroffen. Falls beispielsweise keine verlässlichen Daten hinsichtlich
der Geschwindigkeit des Kraftfahrzeugs existieren, müssen entsprechende Ersatzmodi
für die
variable Lenkübersetzung
aktiviert werden, da insbesondere bei höheren Geschwindigkeiten eine
zu direkte Lenkübersetzung
nachteilig sein kann (z. B. Autobahnfahrt).
-
Insbesondere
die Systemzustände:
- – Initialisierung
des Lenksystems;
- – wenigstens
teilweise Bereitstellung der Funktionalität der Nutzanwendungen des Lenksystems;
- – keine
Bereitstellung der Funktionalität
kinematischer Nutzanwendungen des Lenksystems;
- – Fehlermodus;
und
- – Abschaltung
sind
grundlegend für
die Konfiguration der Nutzanwendungen.
-
Vorteilhaft
ist, wenn zusätzlich
die Systemszustände
- – Fahrtvorbereitung;
- – schneller
Neustart; und
- – Fahrtnachbereitung
verwendet
werden.
-
In
einer verfahrensmäßigen Ausgestaltung der
Erfindung kann ferner vorgesehen sein, dass ein Sicherheitsüberwachungsverfahren
das Lenksystem, insbesondere die Eingabedaten des Steuergeräts mittels
Sicherheitsfunktionen, überwacht
und aufgrund der Ergebnisse der Überwachung
den Systemzustand des Lenksystems bestimmt.
-
Durch
diese Maßnahmen
wird das erfindungsgemäße Verfahren
zum Betrieb eines Lenksystems in vorteilhafter Weise um ein Sicherheitsüberwachungsverfahren
erweitert, welches die Plausibilität der Eingabedaten des Steuergeräts mittels
geeigneter Sicherheitsfunktionen überwacht, daraus den Systemstatus
bestimmt und aufgrund dieser Überwachung
die Nutzanwendungen (z. B. eine variable Lenkübersetzung) konfiguriert. Dabei
sind hardwarenahe Sicherheitsfunktionen, insbesondere zur Überwachung
- – der
Hardware, insbesondere des Steuergeräts, der Sensoren und der Aktuatoren
des Lenksystems,
- – der
Plausibilität
der im Rahmen der Eingabedaten des Steuergeräts eingehenden Signale und
- – des
Programmablaufs auf dem Steuergerät,
vorgesehen. Des
weiteren werden anwendungsbezogene Sicherheitsfunktionen, insbesondere
zur Überwachung
der sicherheitsrelevanten Eingangssignale des Steuergeräts u. a.
unter Zuhilfenahme geeigneter Modelle verwendet.
-
Die
Systemzustände
können
vorteilhaft durch eine Statusmaschine mit geeigneten Umschaltbedingungen
und einem Error-Handler implementiert werden.
-
Vorteilhafte
Weiterbildungen und Ausgestaltungen der Erfindung ergeben sich aus
den weiteren Unteransprüchen.
Nachfolgend ist anhand der Zeichnung ein Ausführungsbeispiel der Erfindung
prinzipmäßig dargestellt.
-
Es
zeigen:
-
1 und 2 ein
Schema des Lenksystems nach dem Stand der Technik, von dem die Erfindung
im Ausführungsbeispiel
ausgeht;
-
3 ein
Schema einer Statusmaschine, welche die Systemzustände des
Lenksystems nach den 1 und 2 implementiert;
und
-
4 ein
Schema eines Error-Handlers.
-
Im
folgenden soll die Erfindung anhand eines Ausführungsbeispiels dargestellt
werden. Dabei wird beispielhaft von einer eingangs erwähnten Überlagerungslenkung
ausgegangen. Die Erfindung ist selbstverständlich auch bei anderen Lenksystemen,
wie z. B. Steer by Wire, etc., unter Umständen nach entsprechenden Erweiterungen
einsetzbar.
-
Die 1 bzw. 2 zeigt
mit den Bezugszeichen 11 bzw. 21 ein von dem Fahrer
des Fahrzeugs betätigbares
Lenkrad. Durch die Betätigung des
Lenkrades 11 bzw. 21 wird einem Überlagerungsgetriebe 12 bzw. 22 über eine
Verbindung 101 ein Lenkradwinkel δS zugeführt. Gleichzeitig
wird dem Überlagerungsgetriebe 12 bzw. 22 über eine Verbindung 104 ein
Motorwinkel δM eines Stellantriebes 13 bzw. 23 zugeleitet,
wobei der Stellantrieb als Elektromotor ausgebildet sein kann. Ausgangsseitig des Überlagerungsgetriebes 12 bzw. 22 wird
eine überlagerte
Bewegung bzw. ein Ritzelwinkel δG über eine
Verbindung 102, 103 einem Lenkgetriebe 14 bzw. 24 zugeführt, das
wiederum über
ein Lenkgestänge 16 entsprechend
der überlagerten
Bewegung bzw. dem Gesamtwinkel δG lenkbare Räder 15a und 15b mit
einem Lenkwinkel δFm beaufschlagt. Die mechanische Übersetzung
des Überlagerungsgetriebes 12 bzw. 22 für δM =
0 ist mit iÜ = δG/δS und
die mechanische Übersetzung
des Lenkgetriebes 14 bzw. 24 mit dem Bezugszeichen
iL bezeichnet.
-
Auf
die lenkbar ausgelegten Räder 15a und 15b wirkt
ein von der Straße
beeinflusstes Reaktionsmoment MV. In der 2 sind
weiterhin Sensoren 26 und 28 zu sehen, wobei der
Sensor 28 den Lenkradwinkel δS detektiert
und einem Steuergerät 27 zuführt, während mit
dem Bezugszeichen 26 Sensoren gekennzeichnet sind, die
Bewegungen 25 des Fahrzeugs (bspw. Gierbewegungen, Querbeschleunigung,
Raddrehzahlen, Fahrzeuggeschwindigkeit usw.) und den Ritzelwinkel δG detektieren
und entsprechende Signale dem Steuergerät 27 zuführen. Das
Steuergerät 27 ermittelt,
abhängig
vom erfassten Lenkradwinkel δS und ggf. abhängig von den Fahrzeugbewegungen 25 eine
Stellgröße δMd zur
Ansteuerung des Stellantriebs 13 bzw. 23 zur Realisierung
von Nutzanwendungen (z. B. variable Lenkübersetzung – siehe 4 und 5). Die Signale der Sensoren 26 können auch
einem CAN-Bussystem des Fahrzeugs entnommen werden.
-
Zwischen
den in den 1 bzw. 2 dargestellten
Win keln und Drehmomenten gelten die bekannten Zusammenhänge (iL ist eine nichtlineare Funktion): iL(δFm)
= [δS/iÜ + δM] (1)und ML =
MV/(iL·iÜ) (2)
-
Eine
Servolenkfunktion wird durch das in den 1 und 2 gezeigte
Lenksystem dadurch erreicht, dass durch eine große Gesamtübersetzung (iL·iÜ),
d. h. durch eine sehr indirekte Lenkung, das Lenkradmoment ML reduziert wird. Dem Lenkradwinkel δS wird
ein Motorwinkel δM nach der o. g. Gleichung 1 überlagert,
so dass ein gewünschter
Vorderradwinkel δFm mit einem nicht zu großen Lenkradwinkel eingestellt
werden kann. Dabei können
durch eine geeignete Ansteuerung des Motors Zusammenhänge zwischen
dem Lenkradwinkel und dem Lenkwinkel realisiert werden, die auch
vom Fahrzustand, beispielsweise der Fahrzeuggeschwindigkeit oder
dem Lenkradwinkel, abhängen
können.
-
Nach
der oben genannten Gleichung 2 ist das Lenkradmoment ML von
dem Reaktionsmoment MV an den lenkbaren
Rädern
abhängig.
Hierdurch ergibt sich das schon erwähnte Problem, dass durch die
Wahl eines konstanten Übersetzungsverhältnisses
des Lenkgetriebes kein für
alle Fahrzustände
akzeptables Lenkradmoment bzw. Lenkgefühl erreicht werden kann. Insbesondere
darf das Lenkradmoment ML bei großen Lenkwinkeln
im Stand nicht zu groß werden,
während
es bei Fahrten mit hoher Geschwindigkeit nicht zu klein werden darf.
-
Aufgrund
der dadurch bedingten Sicherheitsanforderungen an das Lenksystem,
ist ein Sicherheitskonzept mit Sicherheits- und Diagnosefunktionen,
insbesondere, um zufällige
Fehler in der Sensoren 26, 28, dem Steuergerät 27 selbst
oder der Aktuatorik zu entdecken und geeignet zu reagieren, d. h. beispielsweise
die Nutzanwendungen, insbesondere die variable Lenkübersetzung
geeignet zu schalten und/oder entsprechende Ersatzmodi zu starten,
unerlässlich.
Die Eingangssignale des Steuergeräts 27, insbesondere δS und
die fahrzeugspezifischen Daten der Sensoren 26, werden
auf Plausibilität
geprüft. Beispielsweise
wäre es
nachteilig, ein falsches Geschwindigkeitssignal des Fahrzeugs zu
akzeptieren, da die variable Lenkübersetzung geschwindigkeitsabhängig variiert
wird.
-
Ein
erfindungsgemäßes Verfahren
zum Betrieb eines Lenksystems ist vorzugsweise als Computerprogramm
auf dem Steuergerät 27 realisiert. Dazu
ist das Computerprogramm in einem Speicherelement (nicht dargestellt)
des Steuergeräts 27 gespeichert.
Durch die Abarbeitung auf einem Mikroprozessor des Steuergeräts 27 wird
das erfindungsgemäße Verfahren
ausgeführt.
Das Computerprogramm kann auf einem computerlesbaren Datenträger (Diskette,
Festplatte, CD-ROM, DVD, SD-Karte, etc.) oder einem Internet-Server
als Computerprogrammprodukt gespeichert sein und von dort aus in das
Speicherelement des Steuergeräts 27 übertragen
werden.
-
Die
Eingabedaten des Steuergeräts 27 werden
mittels geeigneter Sicherheitsfunktionen fortlaufend auf Plausibilität geprüft. Anhand
der Ergebnisse dieses Si cherheitsüberwachungsverfahrens wird
ein Systemstatus des Lenksystems bestimmt und anhand dessen die
Nutzfunktionen des Lenksystems konfiguriert, d. h. der Stellantrieb 13, 23 zur
Initiierung der Bewegung δM durch das Steuersignal δMd des Steuergeräts 27 entsprechend
angesteuert.
-
Vorliegend
wird der Systemstatus insbesondere aufgrund der nachfolgenden Sicherheitsfunktionen
ermittelt.
- – Modellbasierte Überwachung
("ADYN") der Dynamik des
Stellantriebs 13, 23;
- – Vergleich
des tatsächlichen
Motorwinkels δM mit einem gewünschten Motorwinkel δMd durch Überwachung
der Signale Motorwinkel δM, gewünschter
Motorwinkel δMd, Ritzelwinkel δG und
Fahrzeuggeschwindigkeit vX also durch eine
kombinierte Positions- und Umdrehungszahlüberwachung ("CPR");
- – Synchronisation
("SYNC") von Lenkrad 11, 21 und
lenkbaren Rädern 15a, 15b;
- – Initialisierung
("PAI") des Ritzelwinkels δG;
- – Zurücksetzen
des Motorwinkels δM;
- – Überwachung
des Ritzelwinkels δG durch vordere Raddrehzahlen des Fahrzeugs
("PAP");
- – Überwachung
der Summe von Lenkradwinkel δS, Ritzelwinkel δG und
Motorwinkel δM ("AMA"); und Winkel δG und
Motorwinkel δM ("AMA"); und
- – Überwachung
des Motorwinkels δM auf Basis der Motorströme mit einem geeigneten Lastmodell
("MAM").
-
Während die
Sicherheitsfunktionen "ADYN" und "CPR" zur fortlaufenden Überwachung
des Lenksystems bzw. die Sicherheitsfunktionen "PAP", "AMA" und "MAM" zur fortlaufenden Überwachung der
Eingangssignale δG, δM, δS verwendet werden, werden die Sicherheitsfunktionen "SYNC", "PAI" und Zurücksetzen
des Motorwinkels δM für
einen ordnungsgemäßen Neustart
des Lenksystems verwendet, nämlich
für das
Initialisieren aller Sensoren und die Korrektur eines eventuell
vorhandenen Lenkradschiefstands.
-
In 3 ist
eine Statusmaschine dargestellt, welche im vorliegenden Ausführungsbeispiel
die für das
Lenksystem notwendigen Systemzustände beschreibt. Funktionen
welche den jeweiligen Zuständen
zugeordnet sind, werden automatisch nach Erreichen des jeweiligen
Systemzustands ausgeführt.
-
Wie
aus 3 ersichtlich, werden die nachfolgenden Systemzustände verwendet.
- 1. Initialisierung des Lenksysteme INIT: In
diesem Status wird das Lenksystem initialisiert. Es verbleibt in
diesem Zustand, bis es eingeschaltet wird. Dieser Zustand kann im
vorliegenden Ausführungsbeispiel
nur in einen Zustand Fahrtvorbereitung PREDRIVE verlassen werden.
- 2. Fahrtvorbereitung PREDRIVE: In diesem Zustand wird eine mögliche Fehlstellung
zwischen dem Lenkrad 11, 21 und den lenkbaren
Rädern 15a, 15b behoben.
Die Sicherheitsfunktionen beginnen zu arbeiten. Problematisch kann
die Bestimmung der aktuellen Winkel, insbesondere des Motorwinkels δM und
des Ritzelwinkels δG sein, da Sensoren häufig nur relative Winkel liefern.
Dazu müssen
(insbesondere während
der Fahrt) Zähler mitlaufen,
welche dann zur exakten Bestimmung der Winkel dienen können. Falls
diese Zähler nicht
plausibel sind, muss im PREDRIVE-Modus zuerst eine sogenannte Initialisierungsfahrt
(um eine Geradeausfahrt über
Raddrehzahlen berechnen zu können)
durchgeführt
werden, bevor ein Schiefstand des Lenkrads 11, 21 korrigiert
und in einen Fahrtmodus DRIVE geschaltet werden kann. Der Status
Fahrtvorbereitung PREDRIVE kann über
externes Abschalten, insbesondere über eine übergeordnete Statusmaschine
in einen Status POSTRUN verlassen werden. Falls keine Fehler erkannt
wurden und die vorläufige
Prüfung positiv
war, kann von PREDRIVE in den Status DRIVE geschaltet werden, ansonsten
wird in einen Status ERROR gewechselt.
- 3. Fahrtmodus DRIVE: In diesem Zustand werden alle kinematischen
Nutzanwendungen des Lenksystems wenigstens mit teilweiser Funktionalität bereitgestellt.
DRIVE kann nur von PREDRIVE aus erreicht werden und nur in Richtung
von Zuständen
ERROR, POSTRUN oder STANDBY verlassen werden.
- 4. Keine Bereitstellung der Funktionalität kinematischer Nutzanwendungen
STANDBY: In diesem Status werden keine kinematischen Nutzanwendungen
angeboten. Der. Motor wird in die Nullposition (oder eine entsprechende
Position) zurückgesetzt.
Dieser Zustand wird nur von dem Zustand DRIVE erreicht. Er kann
in einen Fehlerzustand ERROR verlassen werden, wenn die Sicherheitsfunktionen
schwerwiegendere Fehler feststellen, so dass keine Aktuatorfunktionen
des Lenksystems mehr anwendbar sind. Andererseits kann auch der
Fahrtmodus DRIVE wieder geschaltet werden, falls die Fehler abnehmen
und die kinematischen Funktionen des Lenksystems wieder betreibbar
sind. Eventuell müssen
hier bei Abschalten der kinematischen Funktionalität des Lenksystems
Lenkradschiefstände
korrigiert werden, da zuvor ja ein zusätzlicher Motorwinkel δM überlagert
wurde (z. B. durch langsames Rausdrehen).
- 5. Fehlermodus ERROR: Falls dieser Status erreicht wird, wird
das System sofort heruntergefahren. Ohne Bedingung wird in den Zustand
POSTRUN geschaltet. Der Fehlermodus ERROR kann über die Zustände DRIVE
(schwerwiegender Fehler trat auf) und STANDBY erreicht werden.
- 6. schneller Neustart REBOOT: Wird nur durch eine übergeordnete
Statusmaschine geschaltet und nur nach PREDRIVE verlassen. In einem
weiteren Ausführungsbeispiel
könnte
dieser Modus auch über
den Modus POSTRUN oder einen Zustand OFF erreicht werden, um einen
schnellen Neustart des Systems, beispielsweise nach einem kurzen
Aus- und. Anschalten des Lenksystems (z. B. Zündung aus und gleich wieder
an), zu gewährleisten.
- 7. Fahrtnachbereitung POSTRUN: Dieser Status wird von den Zuständen PREDRIVE,
DRIVE, ERROR und STANDBY aus erreicht und sofort in Richtung OFF
verlassen. Hier werden Daten, insbesondere für einen (schnellen) Neustart
(z. B. Zähler
für momentane
Winkelstellungen) abgespeichert.
- 8. Zusätzlich
ist ein Zustand FACTORY vorgesehen (in 3 gestrichelt
dargestellt), in welchem Diagnosen o. ä. durchgeführt werden können. Dieser
Werkstattmodus wird im vorliegenden Ausführungsbeispiel nur über eine übergeordnete Statusmaschine
erreicht.
- 9. Abschaltung OFF: Hier wird der Strom abgeschaltet. Dieser
Zustand wird über
POSTRUN erreicht und kann mittels einer übergeordneten Statusmaschine
wieder in Richtung INIT verlassen werden.
-
Des
weiteren kann der Fahrtmodus DRIVE abhängig von den aktiven Nutzanwendungen
in mehrere Unterzustände
unterteilt werden.
-
Die
Grundsätze
für die
aus 3 ersichtlichen Transitionen werden nachfolgend
näher erläutert.
-
Die
A-Transitionen realisieren die gewünschte Reute, d. h. nach der
Initialisierung INIT des Lenksystems werden einige Prüfungen durchgeführt (PREDRIVE)
und anschließend
in den Fahrtmodus DRIVE geschaltet. Nach dem Fahrbetrieb wird über die
Fahrtnachbereitung POSTRUN der Zustand Abschaltung OFF erreicht.
-
Die
in 3 dargestellte Statusmaschine erwartet auch Eingriffe
durch eine übergeordnete
Statusmaschine, welche das Lenksystem an- und abschaltet, einen
Neustart durchführt
und den Systemstatus vor einem direkten Übergang vom Fahrtmodus DRIVE
in den Fehlermodus ERROR schützt
oder im Gegenteil einen Fehler selbst provozieren kann. Diese Funktionalität wird durch
die Transitionen A1..4, B, C, D3 und D4 bewirkt.
-
Die
Systemstatusmaschine nutzt die Ergebnisse der Sicherheitsfunktionen,
insbesondere der anwendungsbezogenen Sicherheitsfunktionen "ADYN" und "CPR". Wichtig ist hierbei
auf Fehler zu reagieren, indem in den Fehlermodus ERROR oder in
STANDBY (falls bereits im Fahrtmodus DRIVE befindlich) oder gar
nicht erst in den Fahrtmodus DRIVE geschaltet wird. Dies wird durch
die Transitionen A2, C, D1, D2, D3 erreicht.
-
Durch
die beiden Zustände
STANDBY und ERROR wird eine Herabsetzung der Funktionalität des Lenksystems
nach einem entdeckten Fehler im Sinne einer Graceful Degradation
geschaffen. Vom Fehlermodus ERROR kann – im Gegensatz zum STANDBY-Modus,
bei welchem nur leichtere, unter Umständen behebbare Fehler vorliegen – nicht
mehr in den Fahrtmodus DRIVE zurückgeschaltet
werden.
-
Die
vorstehend beschriebene Funktionalität wird durch einen Error-Handler
(siehe 4) mit Zuständen
leichter Fehler ERROR LIGHT, schwerer Fehler ERROR SEVERE und kein
Fehler OK erzielt. Dazu werden die Ergebnisse der Sicherheitsfunktionen,
insbesondere der anwendungsbezogenen Sicherheitsfunktionen "ADYN" und "CPR" verwendet, um die
Systemstatusmaschine entsprechend schalten zu können.
-
Die
Systemstatusmaschine weist zwei Hauptrouten auf. Die A-Transitionen
beschreiben die normale Route (ohne Fehler) während sich die D-Route mit
mehr- oder minderschweren Fehlern beschäftigt.
-
In 3 werden
die Transitionen zu den nachfolgenden Bedingungen geschaltet:
- – A1:
Die übergeordnete
Statusmaschine hat nicht ausgeschaltet oder neugestartet;
- – A2:
Der Error-Handler ist im Zustand kein Fehler (OK) oder es liegt
ein Fehler vor und die übergeordnete
Statusmaschine ordnet an, den Fehler zu ignorieren;
- – A3:
Die Funktion wurde durch die übergeordnete
Statusmaschine ausgeschaltet;
- – A4:
immer wahr;
- – B:
Die Funktion wurde durch die übergeordnete Statusmaschine
ausgeschaltet;
- – C:
Der Error-Handler ist im Zustand schwerer Fehler (ERROR SEVERE)
und die übergeordnete Statusmaschine
hat eingeschaltet oder einen Fehler provoziert;
- – D1:
Der Error-Handler ist im Zustand leichter Fehler (ERROR LIGHT);
- – D2:
Der Error-Handler ist im Zustand kein Fehler (OK);
- – D3:
Der Error-Handler ist im Zustand schwerer Fehler (ERROR SEVERE)
und die übergeordnete Statusmaschine
hat eingeschaltet oder einen Fehler provoziert;
- – D4:
Die Funktion wurde durch die übergeordnete
Sta tusmaschine ausgeschaltet;
- – E:
immer wahr;
- – F:
immer wahr;
- – G:
Die übergeordnete
Statusmaschine hat neugestartet;
-
Die
Transitionen mit externem Herunterfahren durch die übergeordnete
Statusmaschine haben vor allen anderen Vorrang. Die Transition D3
hat Vorrang vor der Transition D2.
-
Der
Error-Handler nach 4 klassifiziert die Fehlerzustände leichter
Fehler ERROR LIGHT, schwerer Fehler ERROR SEVERE und kein Fehler OK.
Für die
allgemeine Funktionalität
werden noch die Zustände "OFF" und "RESET" für einen
ordnungsgemäßen Systemstart
eingeführt.
Die Statusmaschine für
den Error-Handler nach 4 weist grundsätzlich drei
Hauptrouten auf (in 4 sind die Transitionen im Gegensatz
zu 3 mit Kleinbuchstaben bezeichnet), nämlich die
a-Transitionen,
welche das normale Verhalten beschreiben, die b- und die c-Route,
welchen die Behandlung der leichten bzw. schweren Fehler obliegt.
Die Transitionen hängen
vom Systemzustand des Lenksystems gemäß der Systemstatusmaschine
(die Reihenfolge der Systemzustände
entspricht der oben verwendeten Nummerierung 1 bis 9) und den durch
die Sicherheitsfunktionen, insbesondere durch "ADYN", "CFR", "PAP", "AMA" und "MAM", bereitgestellten
Signalzuständen ab.
Grundsätzlich
wird der Error-Handler im Status OK verweilen, wenn nicht mehrere
leichte Fehler oder ein schwererer Fehler gemeldet werden.
-
In 4 werden
die Transitionen zu den nachfolgenden Bedingungen geschaltet:
- – a1:
Der Systemstatus befindet sich zwischen Fahrtvorbereitung PREDRIVE
und STANDBY und alle Signalzustände
sind in Ordnung;
- – a2:
Der Status der Sicherheitsfunktion "SYNC" ist "synchronisiert" oder "nicht möglich";
- – a3:
Der Systemstatus ist größer oder
gleich Fahrtnachbereitung POSTRUN;
- – b1:
– Der Systemstatus
ist kleiner oder gleich STANDBY; und
– der Status der Sicherheitsfunktion "CPR" ist in Ordnung;
und
– der
Status des Eingangssignals Motorwinkel δM ist
in Ordnung; und
– (der
Status der Sicherheitsfunktion "ADYN" ist nicht in Ordnung
und (die Zustände
der Eingangssignale δS, δG sind beide in Ordnung oder höchstens
einer davon ist "nicht
zu trauen")) oder
(der Status der Sicherheitsfunktion "ADYN" ist
in Ordnung und (nicht beide Zustände
der Eingangssignale δS, δG sind nicht in Ordnung)); und
– nicht
(ein Zustand der Eingangssignale ist nicht in Ordnung und zwei Zustände der
Eingangssignale sind "nicht
zu trauen")
- – b2:
Der Systemstatus ist kleiner oder gleich STANDBY und der Zustand
des Eingangssignals δM ist "nicht
zu trauen"
- – b3:
Der Systemstatus ist größer oder
gleich Fahrtnachbereitung POSTRUN;
- – c1.
– Der Systemstatus
ist kleiner oder gleich STANDBY; und
– der Status der Sicherheitsfunktion "CPR" ist nicht in Ordnung;
oder
– der
Zustand des Eingangssignals δM ist nicht in Ordnung.
– zwei Zustände der
Eingangssignale sind nicht in Ordnung und ein Zustand eines Eingangssignals ist "nicht zu trauen" und der Status der
Sicherheitsfunktion "ADYN" ist nicht in Ordnung;
oder
– ein
Zustand eines Eingangssignals ist nicht in Ordnung und zwei Zustände der
Eingangssignale sind "nicht
zu trauen";
- – c2.
– Der Systemstatus
ist kleiner oder gleich STANDBY; und
– der Status der Sicherheitsfunktion "CPR" ist nicht in Ordnung;
oder
– der
Zustand des Eingangssignals δM ist nicht in Ordnung.
–zwei Zustände der
Eingangssignale sind nicht in Ordnung und ein Zustand eines Eingangssignals ist "nicht zu trauen" und der Status der
Sicherheitsfunktion "ADYN" ist nicht in Ordnung;
oder
– ein
Zustand eines Eingangssignals ist nicht in Ordnung und zwei Zustände der
Eingangssignale sind "nicht
zu trauen";
- – c3:
Der Systemstatus ist größer oder
gleich Fahrtnachbereitung POSTRUN;
- – c4:
Der Systemstatus befindet sich zwischen Fahrtvorbereitung PREDRIVE
und STANDBY und alle Signal zustände
sind in Ordnung.
-
Die
Transitionen b2, c1 und c2 sind die Kerntransitionen für ein Herunterfahren
(shutdown) oder Abwarten (standby) des Systems. Grundsätzlich wird den
Transitionen in Richtung "OFF" Vorrang gegeben,
darüber
hinaus hat c2 Vorrang vor b2.
-
- 11
- Lenkrad
- 12
- Überlagerungsgetriebe
- 13
- Stellantrieb
- 14
- Lenkgetriebe
- 15a
- Räder
- 15b
- Räder
- 16
- Lenkgestänge
- 21
- Lenkrad
- 22
- Überlagerungsgetriebe
- 23
- Stellantrieb
- 24
- Lenkgetriebe
- 25
- Fahrzeugbewegungen
- 26
- Sensoren
- 27
- Steuergerät
- 28
- Sensoren
- 101
- Verbindung
- 102
- Verbindung
- 103
- Verbindung
- 104
- Verbindung
- δS
- Lenkradwinkel
- δM
- Motorwinkel
- δMd
- Steuersignal/gewünschter
Motorwinkel
- δG
- überlagerte
Eewegung/Ritzelwinkel
- δFm
- Lenkwinkel
- iÜ
- mech. Übersetzung
des Überlagerungsgetriebes
- iL
- mech. Übersetzung
des Lenkgetriebes
- MV
- Reaktionsmoment
- ML
- Lenkradmoment