具有至少两个驱动执行器和提高的失效安全性的机动车、运行方法以及执行该运行方法 ...的制作方法
【技术领域】
[0001] 本发明涉及一种具有至少两个驱动执行器和提高的失效安全性的机动车、一种用 于送种机动车的运行方法W及执行该运行方法的机构。
【背景技术】
[0002] 在传统的机动车中只有内燃机作为产生驱动力的驱动执行器供使用。为了提高安 全性，例如在此类机动车中实现了一种所谓的Η层面安全方案值rei-Ebenen-Sicherheits konzept)。其目的在于防止发生严重级别的故障情况，例如内燃机飞车，表现为过高或者意 外的发动机扭矩），并且在必要时关闭内燃机。相应地，送也适用于具有其他驱动执行器的 系统。
[0003]就此而言，申请人的出版物（参见Ottomotor-Management ;Mot;ronic-Systeme， Robed Bosch GmbH, 2003. ISBN-3-7782-2029-2)公开了发动机控制器中的函数计算器的 监测方法，该函数计算器可控制内燃机产生的扭矩，根据驾驶员意图确定内燃机应产生的 扭矩最大值，将该最大值与内燃机实际产生的扭矩实际值进行比较，如果实际值大于最大 值，则通过合适的措施保证可控的状态。若为大批量使用的发动机控制器，则通过限制供气 量来保证可控的状态。
[0004] 函数计算器依据存放在发动机控制器程序存储器中的算法控制扭矩产生，并且将 其作为某些输入变量的函数。重要的输入变量是内燃机的转速W及表示驾驶员的扭矩请 求、也就是表示驾驶员意图的油口踏板位置。现代控制器均会考虑若干其他输入变量，可根 据定值器和传感器的信息得出送些输入变量。
[0005] 函数计算器根据送些输入变量求算用于调整内燃机扭矩的执行器控制信号，送种 执行器例如有空气质量流量调节器，例如对流入内燃机之中的空气质量流量进行控制的电 子节气口。
[0006] 此类也被称作电子油口控制系统巧Gas-Systeme)的配置对相关组件的工作可靠 性有很高的要求，因为作为驾驶员意图发生器的油口踏板和作为执行器的节气口之间不再 存在机械禪合。为了防止函数计算器功能失效引起错误产生意外大小的扭矩，监测模块可 监测函数计算器，并且在故障情况下采取替代措施限制内燃机的扭矩，W保证安全。
[0007] 尽管人们付出了努力，试图通过合适的措施来防止内燃机关闭或者使其不可能关 闭，但是如果出现一系列严重故障，则仍然无法避免。机动车在此类情况下就会抛铺停车。
[0008] 在混合动力系统中部分地已实现了所谓的跋行模式功能化imp化me-Funktion)， 在电动机发生故障的情况下，还可通过内燃机提供剩余功能。送样就能实现应急运行（跋 行模式），例如可驶向距离最近的修理厂。但是事实证明，该功能通常也是不足够的。
[0009] 自从2011年11月W来，机动车领域的标准ISO 26262已生效。该标准设 置"Safety Goals"作为应保证目标，并且根据所谓的ASIL(机动车安全完整性等级 (Automotive Safety Integrity Level))进行分类。尽管讨论了抛铺停车的安全技术问 题，但是按照现有技术，抛铺停车被归类为可w接受的后备层。送种分类将来可能会改变。
[0010] 尤其对于送种情况而言，希望采取能够在严重故障情况下避免抛铺停车的有益措 施，不仅是出于可使用率方面的原因，而且也出于安全原因（例如ISO26262或者将来的标 准）。
【发明内容】
[0011] 在送种背景下，本发明提供具有独立权利要求的特征的一种具有至少两个驱动执 行器和提高的失效安全性的机动车、一种用于送种机动车的运行方法W及执行该方法的机 构，从属权利要求W及W下说明部分的主题均为有益的实施方式。
[0012] 通过本发明所提供的措施实现一系列的优点，主要包括；即使在发生严重故障的 情况下也能防止车辆抛铺或者安全控制抛铺车辆；提供为此所需的故障容限；可针对"抛 铺车辆化iegenbleiber)"的安全目标（SafetyGoal)控制重要的ASIL等级；改善了跋行 模式功能。
[0013] 按照本发明所述设计的机动车具有至少两个驱动执行器，例如具有内燃机和至少 一个电动机的混合动力系统，在一个或者多个驱动执行器发生故障的情况下，还能通过其 中一个或者多个其他尚能工作的驱动执行器实现剩余功能。本发明有别于W上所述的已知 混合动力机动车中的跋行模式功能，任意一个驱动执行器（或者两个W上驱动执行器中的 任意一组驱动执行器）均可W失效，且不会引起车辆抛铺。在具有跋行模式功能的已知混 合动力系统中，如果内燃机失效，就无法继续行驶。
[0014]本发明尤其包括控制机构，W在至少两个驱动执行器的其中任意一个驱动执行器 能够运行并且至少两个驱动执行器的其中任意另一个驱动执行器无法运行的故障情况下， 借助至少一个能够运行的驱动执行器牵引地驱动机动车。
[0015] 能够W有利于安全的方式在双控制器架构的范围内、但在某种程度之内也能在单 控制器架构的范围内实现送些控制机构。
[0016] 按照本发明，至少两个驱动执行器的每一个驱动执行器均能单独使得机动车至少 在应急运行模式下运动。能够W保证不妨碍其余驱动执行器的方式关闭任意一个单独的驱 动执行器。W相应的方式送也适用于例如ECU(发动机控制器巧ngineCon化〇1化it))中 的控制器故障，尽管驱动执行器本身功能正常，控制器故障仍然会导致受到相应控制的驱 动执行器无法运行。
[0017]总之利用本发明可W提供一种容错系统，其中即使当驱动执行器或者发动机控制 器存在严重故障的时候，也存在能够维持驱动力的有益的措施。
[0018] 正如在接下来所解释的附图中所示的一样，能够W不同的系统配置形式实现本发 明。特别有益的是，在发动机控制器的层面上实现容错，例如使用相应的容错层和/或通过 至少两个发动机控制器并行地获得驾驶员意图。
[0019]本发明可W应用于任意的驱动执行器，例如内燃机或者电动机，并且并不局限于 具有四个车轮的车辆。
[0020] 根据本发明所述的运算单元、例如机动车的控制器作为用于尤其是可编程地执行 本发明所述方法的机构，可用来实施根据本发明所述的方法。
[0021] W软件形式执行本发明所述的方法也是有利的，因为送种方式造成特别小的成 本，尤其当实施的控制器还可用于执行其他任务或者本来就存在送种控制器的时候。适合 于提供计算机程序的数据载体尤其是磁盘、硬盘、闪存、EEPROM、CD-ROM、DVD等等。也可W 通过计算机网络（互联网，内联网等等）下载程序。
[0022] 本发明的其他优点和实施方式由说明书W及附图得出。
[0023] 显而易见，上述W及下面还将详细解释的特征并非仅仅可W用于各个提到的组 合，而且也可用于其他组合或者单独使用，而并不脱离本发明的范畴。
【附图说明】
[0024] 根据附图所示的实施例描述本发明，W下将参照附图对本发明进行详细说明。
[0025] 图1示出了根据本发明的一种实施方式的、具有两个驱动执行器的系统配置的框 图。
[0026] 图2示出了根据本发明的一种实施方式的、具