[0001] 本发明涉及一种用于操纵传感器系统的方法以及一种用于实施所述方法的传感器系统。本发明此外涉及一种包括尤其是作为用于制动车辆的制动系统的部分或以用于制动车辆的制动系统形式的这样的传感器系统的车辆、一种用于实施这样的方法的计算机程序产品以及一种存储介质，这样的计算机程序产品存储在所述存储介质上。

[0002] 在现有技术中已知不同的传感器系统。同类型的传感器系统具有多个用于确定和传输传感器信息的传感器和/或传感器通道。所确定的传感器信息可以发送给一个中央的控制器或不同的控制器。借助所述控制器，可以操控执行系统，所述执行系统最后实施希望的操作。所述执行系统可以作为控制器的部分或作为分散的单元提供。这样的控制系统可以以制动系统的形式或作为用于车辆的制动系统的部分来设计。在现代电气制动系统中，同时安装所谓的“真正的线控制动(True Brake By Wire)”系统，在所述系统中利用纯电气的制动踏板。机械的回退层级或者说在故障情况下由驾驶员机械地采取措施不再存在或不可能。因为在车辆中的制动功能几乎在每个运行状态中与系统相关，所以在识别出故障的情况下，制动系统不允许被简单地切断，而是应该总是保持可操作。为了确保这一点，已知冗余构造的制动系统。在德国专利申请DE 199 20 850A1中为此例如说明用于在电子制动踏板中识别故障的装置和方法。

[0003] 通过在汽车领域中的冗余的系统，在通常情况下所谓的“故障安全(Fail Safe)”是足够的。如对于航空中的所谓的“故障运行方法”已知的三种多样性的冗余系统在汽车领域中未利用或在那里基于机械的限制至今不可行并且过于昂贵。尽管如此，在现代线控制动系统中希望的是，还可以更可靠地识别可能的故障并且基于现有的信息即使在存在故障时也可以在不违反安全目标的情况下推导出驾驶员制动期望。也可在如下背景下考察这一点，即，不总是可以排除共因故障的存在、亦即同时作用于多于一个信号的故障的存在。

[0004] 在例如以车辆制动系统形式的已知的传感器系统中，可能发生的是，行程传感器和/或力传感器的传感器信号在两个控制器中的一个控制器内不再到达或仅与干扰信号叠加地到达。此外可能的是，本来基于可信性考虑在行程传感器信号和力传感器信号之间的可期待的同步性的评价在各控制器中不同，在所述两个控制器中实施所述评价。这表示，传感器或在用于操控制动执行器的控制器上的传感器通道的质量或适用性和/或可信度可能不同。

[0051] 具有相同的功能和作用方式的元件在附图中分别配设有相同的附图标记。

[0052] 图1示出用于在图6中示出的机动车100的电气制动系统的传感器系统50。所述传感器系统50尤其是配置为用于在制动系统中的故障识别和故障诊断以及用于根据所实施的故障识别和故障诊断来操纵制动系统。所述传感器系统50具有包括踏板行程传感器2和力模拟传感器3的制动踏板传感器单元1。踏板行程传感器2具有第一传感器通道31a和相对于第一传感器通道31a冗余的第二传感器通道32a。力模拟传感器3同样具有第一传感器通道31b和相对于第一传感器通道31b冗余的第二传感器通道32b。

[0053] 所示出的传感器单元50具有包括第一中央计算单元16a的第一控制器5a，其中，第一传感器通道31a、31b分别配置为用于将第一传感器信息33a、33b由相应的第一传感器通道31a、31b发送给第一中央计算单元16a。传感器单元50此外具有相对于第一控制器5a冗余的并且独立的第二控制器5b，所述第二控制器包括相对于第一中央计算单元16a冗余的第二中央计算单元16b，其中，第二传感器通道32a、32b分别配置为用于将第二传感器信息34a、34b从第二传感器通道32a、32b发送给第二中央计算单元16b。第一控制器5a具有第一评估单元15a并且第二控制器5b具有相对于第一评估单元15a冗余的第二评估单元15b。中央计算单元16a、16b和评估单元15a、15b可以看为上级的处理单元10的组成部分。所述两个控制器5a、5b分别还具有第一制动期望计算单元7a或第二制动期望计算单元7b以及第一执行器8a或第二执行器8b。借助所述执行器8a、8b，操纵力4可以传递到操纵单元9上，所述操纵单元当前以车轮制动器的形式来设计。换句话说，可以通过执行器8a、8b相应地操控操纵单元9。评估单元15a、15b不是两者都强制需要，所述评估单元也可以分别称为路径选择器。
也可能的是，仅在一个初级的控制器5a、5b中设计评估单元15a、15b。例如可能是适宜的，次级的控制器5a、5b应该具有减少的功能范围，其方式为例如执行器8a、8b仅设计用于较短的运行时间。

[0054] 在图2中以进一步的细节示出在图1中示出的传感器系统50。图2尤其是示出第一中央计算单元16a的其他可能且优选的功能构件。为了不必要地长的说明，放弃对于以类似的方式构造的第二中央计算单元16b的详细的示出和说明。示出的第一中央计算单元16a具有踏板行程传感器计算单元17a和力模拟传感器计算单元18a、偏差信息计算单元19a以及质量值计算单元20a。质量值计算单元20a配置为用于依据第一传感器信息33a、33b确定关于在第一控制器5a上的第一传感器通道31a、31b的功能质量的质量值27a或者说第一质量值27a。借助第二中央计算单元16b的未详细示出的第二质量值计算单元，可以以类似的方式依据第二传感器信息34a、34b确定关于在第二控制器5b上的第二传感器通道32a、32b的功能质量的第二质量值27b。评估单元15a、15b分别配置为用于实施第一质量值27a和第二质量值27b的在图3中示出的并且稍后详细解释的对比。依据所述对比可以操作传感器系统50或在所述图中示出的制动系统。

[0055] 控制器5a、5b除了第一制动期望计算单元7a或第二制动期望计算单元7b的可选的执行器8a、8b之外也具有第一输入信号诊断单元11a或第二输入信号诊断单元11b。为了提高用于实现制动期望的总系统的可用性和/或功能性，在控制器5a、5b中的故障的情况下分别按照故障不是切断整个控制器5a、5b，而是仅切断相关的功能组。这样例如可设想如下一种情况，在所述情况下在第二控制器5b的执行器8b中和在踏板行程传感器2的传感器通道31a中出现故障，所述踏板行程传感器将传感器信息发送给第一控制器5a。在该情况下，在常规的系统中，两个控制器5a、5b被一个故障所涉及并且可能不满足或不按照期望满足其功能。然而在所提出的传感器系统中，尤其是当相关的传感器通道31a不是简单地被切断，而是提供错误的信号时，现在可以使用如下方法，所述方法探测在传感器信号中的故障的存在并且接着转换到可以最好地计算驾驶员愿望的传感器。该功能当前定位在处理单元10中并且在那里尤其是定位在相应的中央计算单元16a、16b中。

[0056] 在示出的示例中可以从如下出发，即，作为用于处理单元的输出大小定义有效信号(为了较好的概览而未详细描述)如行驶信号、状态信号和/或如关于传感器信息由哪个控制器使用的信息的路径信号的信号。通过所述状态信号可以说明关于传感器信号的正确性的置信水平。通过所述状态信号，在控制器5a、5b中的功能单元因此可以决定，以何种程度例如引入或不引入故障反应。

[0057] 在图2中示出的中央计算单元16a具有踏板行程传感器计算单元17a，所述踏板行程传感器计算单元关于存在检查来自第一输入信号诊断单元11a的预处理的原始信号以及对于提供多于一个信号的情况实施同步性监控。通过踏板行程传感器计算单元17a，将进一步处理的踏板行程传感器诊断信息22a输出给偏差信息计算单元19a以及质量值计算单元20a。此外一般的踏板行程传感器信息24a输出给偏差信息计算单元19a和质量值计算单元
20a。中央计算单元16a此外具有力模拟传感器计算单元18a，所述力模拟传感器计算单元以类似的或相同的方式处理来自第一输入信号诊断单元11a的预处理的原始信号并且由此发展或确定力模拟传感器诊断信息23a和力模拟传感器信息25a。力模拟传感器诊断信息23a和力模拟传感器信息25a同样发送给偏差信息计算单元19a以及质量值计算单元20a。偏差信息计算单元19a配置为用于计算在第一传感器信息33a和第二传感器信息34a之间的偏差信息26a，稍后参考图4进一步详细解释所述偏差信息。

[0058] 偏差信息26a的计算可以理解为同步性监控，然而所述同步性监控在偏差信息计算单元19a中通常比在踏板行程传感器计算单元17a重和/或在力模拟传感器计算单元18a中更复杂地实施，因为关于总系统层面的功能安全性可以有利的是，制动踏板传感器单元的传感机构、亦即当前踏板行程传感器2和力模拟传感器3测量不同的测量大小。在这里可以使用匹配表，从而所述测量大小的功能上的关系在“正常情况”中尽可能可重复地为恒定的。基于此可以确定或计算在踏板行程传感器信息24a和力模拟传感器信息25a之间的偏差信息26a。分别计算的偏差信息26a可以增加到预先定义的或可预先定义的初值、例如70％上。依据偏差信息26a、尤其是依据相应的偏差信息26a的大小和/或相应的偏差信息26a的方向已经可以评定存在哪些可能的故障序列。对于所述两个输入值之一对于所述同步性不存在的情况，适宜的可以是，将相应的偏差信息26a设置到预先定义的值，以便尽管如此尽可能可靠地识别该偏差信息并且以便预防数字空间的损害。

[0059] 踏板行程传感器诊断信息22a、力模拟传感器诊断信息23a和偏差信息26a可以传输给上级的质量值计算单元20a。在该质量值计算单元中，关于计算单元的信息例如可以借助状态表和/或数学函数变换为质量状态或作为质量值确定或计算。在图2中因而确定相应的第一质量值27a。依据所述质量值27a、27b可以推导出和/或确定，在相应的控制器5a、5b上的传感器信息多可靠和/或可信。在这里可以此外考虑诊断边界。

[0060] 参考图3，解释对于上述对比所使用的值矩阵30。可以适宜地在考虑存在的传感器通道的数量的情况下选择质量等级的数量。当前分别选择0至7的等级。缺少所有的信息评价为具有0的最差状态和对于所述最差的传感器值的对应物。为了提高可用性和借此失灵安全性，在考虑到两个控制器5a、5b的总基础上使用每个控制器5a、5b的质量值27a、27b。要交换的信号在本示例中通过通信线路41在控制器5a、5b之间交换，所述通信线路例如包括总线和/或以太网。由在传输中的信号运行时间所决定地，在正常情况下在相应的控制器5a、5b中直接可用的信号是优选的，因为这保证较小的信号等待时间和借此对驾驶员愿望的尽可能直接的反应。如在图3中示出的，对比并且关于其重要性或剩余功能性来评价质量值27a、27b，以便因此作出关于以总体质量值40a或相应的值和/或信息形式的用于制动踏板传感器单元1的总置信水平的报告。在当前示例性示出的值矩阵中，这分为在3(一切正常)至0(传感器信号不可信任，因为它们例如相矛盾)之间的4个等级。在具有1或甚至0的差的评价的情况下，可以或应该采取替代措施。但也可以或必须已经在与较高的质量值的偏差时采取所述替代措施，其中，允许的持续时间强烈取决于个别情况。可以在2时以月(例如在下一个客户服务)、在1时以小时并且在0时立即(即在制动系统中例如在大约450ms内)引入和/或例如以用户提示的形式相应地考虑可能的措施。所述中间等级能够实现指示故障并且分别按照重要性也已经引入预防性的保护功能。

[0061] 图4示出用于解释如以上提到的偏差信息的计算的图表。按照在图4中示出的图表，预定70％的初值。在开始时，在时间窗t1中，存在完美的并且在实际中不太可能的情况，在所述情况下，踏板行程传感器信息24a和力模拟传感器信息25a(随后简称为“信号信息”)可获得并且不存在所述信号信息之间的偏差。随后，在时间窗t2中，存在实际中典型的情况，在所述情况下，两个信号信息可获得并且存在所述信号信息之间的轻微波动的偏差。在时间窗t3、t4、t5和t6中，虽然两个信号信息可获得，然而在这些信号信息之间的偏差过高，从而分别必须或至少应该采取适当的对应措施。在时间窗t3和t5中，可能以可能的过于弱的制动压力来计算并且在时间窗t4和t6中可能以可能的过于高的制动压力来计算。在时间窗t7中，信号信息仅基于踏板行程传感器2的传感器信号。在时间窗t8中，信号信息仅基于力模拟传感器3的传感器信号。在时间窗t9中存在最差的情况，在所述情况下，不存在或无法识别信号信息。

[0062] 图5示出包括存储在其上的计算机程序产品61的非易失性的并且计算机可读的存储介质60。所述计算机程序产品61包括指令，所述指令引起尤其是以制动系统形式的如上所述的传感器系统50实施各方法步骤，稍后参考图7解释所述方法步骤。

[0063] 图6示出以轿车形式的车辆100，所述车辆或轿车设计为具有用于制动车辆100的制动系统，其中，所述制动系统具有如上所述的传感器系统50。

[0064] 参考在图7中示出的流程图随后解释用于操纵如上详细说明的传感器系统50的方法。在第一步骤S1中，首先将第一传感器信息33a、33b从第一传感器通道31a、31b发送给第一中央计算单元16a。此外第二传感器信息34a、34b从第二传感器通道32a、32b发送给第二中央计算单元16b。在第二步骤S2中，依据第一传感器信息33a、33b借助第一中央计算单元16a确定关于在第一控制器5a上的第一传感器通道31a、31b的功能质量的第一质量值27a。
此外依据第二传感器信息34a、34b借助第二中央计算单元16b确定关于在第二控制器5b上的第二传感器通道32a、32b的功能质量的第二质量值27b。在第三步骤S3中，借助评估单元
15a、15b实施第一质量值27a与第二质量值27b的对比。在第四步骤S4中，依据所述一个对比或所述多个对比操纵传感器系统50或操作制动系统。

[0065] 本发明除了示出的实施形式之外允许其他的构造基础。也就是说，本发明不应该考虑限制于参考所述附图解释的实施例。

[0066] 这样在所述方法的范围中可能的是，在使用所述值矩阵30的情况下实施所述对比，和/或依据所述对比确定至少一个关于在第一控制器5a上的第一传感器通道31a、31b和在第二控制器5b上的第二传感器通道32a、32b的总体质量值40a、40b，并且依据所述总体质量值40a、40b来操纵所述传感器系统50。此外可能的是，分别由具有多于两个不同的质量值的质量值谱确定第一质量值27a和/或第二质量值27b。依据所述对比可以实施在第一质量值27a和第二质量值27b之间的相对质量评价，其中，可以依据所述相对质量评价操纵传感器系统50。根据相对质量评价，此外可以调节和/或改变在第一控制器5a和第二控制器5b之间的主从依赖关系。此外可以依据所述对比输出能被所述传感器系统50的用户察觉的报警信号。此外可能的是，依据所述对比通过第一执行器8a和/或通过第二执行器8b操纵所述操纵单元9。第一质量值27a和第二质量值27b可以传输到至少一个以第一控制器5a和/或第二控制器5b的路径选择器形式的评估单元15a、15b上，其中，通过评估单元15a、15b依据第一质量值27a和/或依据第二质量值27b可以选择穿过第一控制器5a和/或穿过第二控制器5b的信号路径，以用于操纵传感器系统50。借助所述偏差信息计算单元19a，可以计算在第一传感器信息33a、33b和第二传感器信息34a、34b之间的至少一个偏差信息26a，其中，可以依据所述偏差信息26a确定第一质量值27a和/或第二质量值27b。

[0067] 附图标记列表

[0068] 1 制动踏板传感器单元

[0069] 2 踏板行程传感器

[0070] 3 力模拟传感器

[0071] 4 操纵力

[0072] 5a 第一控制器

[0073] 5b 第二控制器

[0074] 7a 第一制动期望计算单元

[0075] 7b 第二制动期望计算单元

[0076] 8a 第一执行器

[0077] 8b 第二执行器

[0078] 9 操纵单元

[0079] 10 处理单元

[0080] 11a第一输入信号诊断单元

[0081] 11b第二输入信号诊断单元

[0082] 15a第一评估单元

[0083] 15b第二评估单元

[0084] 16a第一中央计算单元

[0085] 16b第二中央计算单元

[0086] 17a踏板行程传感器计算单元

[0087] 18a力模拟传感器计算单元

[0088] 19a偏差信息计算单元

[0089] 20a质量值计算单元

[0090] 22a踏板行程传感器诊断信息

[0091] 23a力模拟传感器诊断信息

[0092] 24a踏板行程传感器信息

[0093] 25a力模拟传感器信息

[0094] 26a偏差信息

[0095] 27a第一质量值

[0096] 27b第二质量值

[0097] 30值矩阵

[0098] 31a传感器通道

[0099] 31b传感器通道

[0100] 32a传感器通道

[0101] 32b传感器通道

[0102] 33a传感器信息

[0103] 33b传感器信息

[0104] 34a传感器信息

[0105] 34b传感器信息

[0106] 40a第一总体质量值

[0107] 40b第二总体质量值

[0108] 41 通信线路

[0109] 50 传感器系统

[0110] 60 存储介质

[0111] 61 计算机程序产品

[0112] 100机动车