DE69922239T2

DE69922239T2 - Bei defekten weiterfunktionierende steuerungsstruktur für einen rollstuhl

Info

Publication number: DE69922239T2
Application number: DE69922239T
Authority: DE
Inventors: L. Dean KAMEN; D. Susan DASTOUS; Robert Duggan; Michael G. GUAY
Original assignee: Deka Products LP
Current assignee: Deka Products LP
Priority date: 1998-10-21
Filing date: 1999-09-27
Publication date: 2005-12-15
Anticipated expiration: 2019-09-28
Also published as: JP5574610B2; NO20011809L; CA2346442A1; HK1039922A1; JP2009187561A; NO322294B1; AU758135B2; JP4684418B2; EP1123235A2; WO2000023315A2; WO2000023315A3; NO20011809D0; TW572840B; JP2003517340A; AU6266999A; DE69922239D1; US6223104B1; CA2346442C; HK1039922B; EP1123235B1

Description

Technisches Gebiet
Die vorliegende Erfindung betrifft eine Systemarchitektur für ein Fahrzeug mit einem Motorantrieb und insbesondere redundante Merkmale der Systemarchitektur.
Hintergrund der Erfindung
Personengebundene Fahrzeuge, wie z.B. jene, welche durch Behinderte verwendet werden, können beispielsweise mit einem Eigenantrieb versehen und durch den Benutzer lenkbar sein und zudem eine Stabilisation in eine oder mehrere Ebenen nach vorn und hinten oder links und rechts erforderlich machen. Genauer wird solch ein Fahrzeug in 1 dargestellt, in welcher es allgemein durch Ziffer 10 gekennzeichnet ist. Das Fahrzeug 10 zum Transportieren einer Testperson 12 oder anderen Nutzlast kann ein oder mehrere Räder 16 oder Gruppen 14 von Rädern 16 enthalten, wobei alle Räder und/oder Radgruppen koordiniert oder unabhängig durch einen Motor angetrieben werden. Solche Fahrzeuge befinden sich unter den im US-Patent Nr. 5,701,965 und im US-Patent Nr. 5,971, 091 beschriebenen Fahrzeugen. Fahrzeuge dieser Art können effizienter sein und sicherer betrieben werden, wenn sie systemarchitektonische Merkmale einsetzen, welche die im Stand der Technik beschriebenen ergänzen.
DE 4322397 beschreibt eine Fernsteuerung für ein Fahrzeug nach dem Oberbegriff des Anspruchs 1 für eine Personenhebevorrichtung oder einen Rollstuhl mit einer Steuereinheit eines Haupt- und eines Nebenmotors.
Zusammenfassung der Erfindung
Gemäß einer bevorzugten Ausführungsform der vorliegenden Erfindung ist ein zur Ausfallerfassung fähiges Fahrzeug zur Fortbewegung über Land vorgesehen, wie in Anspruch 1 dargelegt wurde. Das Fahrzeug weist eine Tragstruktur zum Tragen einer Last, ein den Boden berührendes Modul zum Bereitstellen der Bewegungsfähigkeit für die Tragstruktur und eine Anordnung eines motorisierten Antriebs zum Ermöglichen einer steuerbaren Bewegung des den Boden berührenden Elements auf.
Zudem weist das Fahrzeug eine Vielzahl von Steuerkomponenten, wobei jede Steuerkomponente einen Ausgang hat, und einen Komparator zum Vergleichen der Ausgänge der Steuerkomponenten auf, um einen Ausfall von entweder der ersten oder anderen Steuerelementen zu erkennen. Die Steuerkomponenten können einen Sensor zum Abtasten einer Position und/oder Ausrichtung eines Fahrzeugs, eine Vielzahl redundanter Steuerkanäle, wobei jeder Steuerkanal in der Lage ist, die Anordnung des motorisierten Antriebs unabhängig zu steuern, oder eine Vielzahl von Prozessoren aufweisen, welche an jeden der redundanten Steuerkanäle mittels eines Systembusses gekoppelt sind. Jeder Prozessor weist einen Ausgang auf und ist zum Empfangen der Eingangsbefehle von einem Benutzer, eines Signals vom Sensor und des Ausgangs von jedem der anderen Prozessoren fähig.
Gemäß der Erfindung werden die Steuerkomponenten aus einer Vielzahl von Steuerkanälen ausgewählt, wobei jeder Steuerkanal zum unabhängigen Steuern des motorisierten Fahrzeugs fähig ist. Die Steuerkomponenten können auch eine Vielzahl von Prozessoren enthalten, welche mittels eines Systembusses an die Steuerkanäle gekoppelt sind, und der Systembus kann die Vielzahl an Prozessoren und mindestens ein Element des aus der Benutzereingabe, einer Batterieladungsanzeige, einer Temperaturanzeige, einer Sitzhöhensteuerung und einer Aufprallschutzsteuerung bestehenden Satzes koppeln. Der Ausgang von einer der Steuerkomponenten kann mit einer eine mechanische Ansprechgeschwindigkeit des motorisierten Antriebs übersteigenden Geschwindigkeit versehen sein. Jeder Prozessor kann zum Empfangen von Eingangsbefehlen von einem Benutzer, einem Signal vom Sensor und dem Ausgang von jedem der anderen Prozessoren fähig sein und der Komparator kann die Ausgänge der Prozessoren zum Erkennen eines Ausfalls eines der Prozessoren vergleichen und auch eine Trennschaltung zum Entfernen eines defekten Prozessors vom Systembus enthalten sowie den Ausgang eines beliebigen Prozessors, für welchen ein Ausfall erkannt wurde, derart unterdrücken, dass der andauernde Betrieb des Fahrzeugs unter Verwendung aller anderen Prozessoren möglich ist.
Nach weiteren Ausführungsformen der Erfindung ist ein Fahrzeug geliefert, welches eine Tragstruktur zum Tragen einer Last, ein den Boden berührenden Element zum Bereitstellen der Bewegungsfähigkeit für die Tragstruktur, wobei das den Boden berührende Element in Bezug auf die örtliche Raumachse um eine Achse beweglich ist, und einen motorisierten Antrieb zum Zulassen einer steuerbaren Bewegung des den Boden berührenden Elements um die Achse und zum Zulassen der Bewegung der Achse aufweist, so dass die örtliche Raumachse in Bezug auf die Tragstruktur bewegt wird. Ein Sensor zum Abtasten einer Position und/oder Ausrichtung des Fahrzeugs ist ebenso wie eine Vielzahl von Steuerkanälen vorgesehen, wobei jeder Steuerkanal zum unabhängigen Steuern des motorisierten Antriebs fähig ist. Das Fahrzeug weist eine Vielzahl von Prozessoren, welche mittels eines Systembusses an die Steuerkanäle gekoppelt sind, wobei jeder Prozessor einen Ausgang aufweist, jeder Prozessor zum Empfangen von Eingangsbefehlen von einem Benutzer, einem Signal von einem Sensor und dem Ausgang von jedem der anderen Prozessoren fähig ist, und einen Komparator zum Vergleichen des Ausgangs der Prozessoren miteinander auf, um einen Ausfall irgendeines der Prozessoren zu erkennen. Das Fahrzeug kann einen motorisierten Antrieb mit einer Vielzahl von redundanten Wicklungen aufweisen.
Gemäß einer Ausführungsform, welche nicht Teil der Erfindung ist, ist ein ausfallsicherer Steuerhebel geliefert. Der Steuerhebel weist eine Zentriereinrichtung, welche den Steuerhebel in eine Mittelstellung zurückstellt, wenn der Benutzer ihn loslässt, und einen Sensor zum Erfassen des Steuerhebels in der Mittelstellung auf.
Kurze Beschreibung der Zeichnungen
Die Erfindung wird in Bezug auf die folgenden Beschreibung leichter verständlich, welche mit den beiliegenden Zeichnungen genommen wurde, in welchen:
1 eine Seitenansicht solch eines personengebundenen Fahrzeugs des Stands der Technik ist, bei welchem eine Ausführungsform der Erfindung vorteilhaft eingesetzt werden kann;
2 ein Blockdiagramm der Steuerarchitektur zum Steuern eines personengebundenen Fahrzeugs gemäß einer bevorzugten Ausführungsform der vorliegenden Erfindung ist; und
3 eine Perspektivansicht eines ausfallsicheren Steuerhebels ist, welcher nicht zur Erfindung gehört.
Detaillierte Beschreibung bestimmter Ausführungsformen
In Bezug auf 1 kann in Erwägung gezogen werden, dass die wesentlichen Teile des Fahrzeugs 10 ohne Einschränkung einen Träger 18 zum Tragen der Testperson 12, ein den Boden berührendes Modul 20 zum Befördern des Trägers 18, eine oder mehrere Stellantriebeinrichtungen (nicht gezeigt) zum Antreiben der Räder 16 und/oder Radgruppen 14 und eine oder mehrere Steuerungen zum Steuern der Stellantriebeinrichtungen gemäß den durch einen Benutzer eingegebenen erwünschten Parametern und der physischen Position, und der Konfiguration des Fahrzeugs 10, sowie den gemessenen Zeitraten des Positionswechsels und der Fahrzeugkonfiguration enthalten. Die physische Position und/oder Konfiguration des Fahrzeugs werden durch einen Satz an Sensoren (nicht gezeigt) auf einer kontinuierlichen oder periodischen Basis überwacht, deren Ausgänge durch die eine oder mehreren Steuerungen verwendet werden. Beispielsweise lassen die eine Verschiebungs- und Neigungsinformation liefernden Sensoren zu, dass die Steuerung das an den Rädern oder Radgruppen eines Fahrzeugs anzulegende Drehmoment gemäß vorgegebenen Steuerungsgesetzen und wie im U.S. Patent Nr. 5,701,965 und U.S. Patent Nr. 5,971,091 beschrieben berechnet.
Zur Klarstellung kann der Ausdruck „Boden", wie im Ausdruck „den Boden berührendes Modul 20" oder in anderen Bezügen zur Oberfläche, über welche sich das Fahrzeug 10 bewegt, jede Oberfläche innerhalb oder außerhalb von geschlossenen Gebäuden sein, welche durch das Fahrzeug 10 überquert werden kann. Der Ausdruck „Personentransporter" wird hierin austauschbar mit dem Ausdruck „Fahrzeug" verwendet. Zudem kann der Ausdruck „Räder" entsprechend bogenförmige Elemente oder andere den Boden berührende Elemente umfassen, welche zum Antreiben des Fahrzeugs 10 über den Boden fähig sind. Die „Position" des Fahrzeugs ist auf irgendeinen Bezugspunkt bezogen, welcher in Bezug auf den Boden festgesetzt ist, wohingegen „Konfiguration" die Anordnung der Bauteile des Fahrzeugs in Bezug aufeinander betrifft und ohne Einschränkung solche Attribute, wie Sitzhöhe, Rahmenneigung, etc., und Softwareeinstellungen enthält, wie z.B. eine bestimmte Geschwindigkeit, Beschleunigung, Steuerhebelsensibilität, etc. Gemäß einer bevorzugten Ausführungsform der Erfindung drehen sich insbesondere die Räder 16 um die Achsen 22, welche selbst um eine Radgruppenachse 24 gedreht werden können, welche die Achse einer Radgruppendrehung bildet. Der Träger 18 kann wiederum in Bezug auf die Radgruppe 14 erhöht oder gesenkt werden. Andere innere Freiheitsgrade, welche im Fahrzeug 10 vorkommen können, sind auf ähnliche Weise innerhalb des Bereichs des wie hierin und in jedem der anhängenden Ansprüche verwendeten Ausdrucks „Konfiguration" enthalten. Ähnlich ist die Winkelausrichtung oder Neigung des Fahrzeugs 10 in Bezug auf die Schwerkraft auch innerhalb des Bereichs des Ausdrucks „Konfiguration" enthalten.
Die Benutzereingabe kann durch die durch das Fahrzeug transportierte Testperson sowie mittels eines Steuerhebels oder einer anderen Schnittstelle, oder durch die Neigung des Benutzers oder das Anlegen von manuellen Kräften auf äußere Gegenständen geliefert werden. Zudem kann die Benutzereingabe durch einen nicht durch das Fahrzeug getragenen Helfer geliefert werden, welcher die Bewegung und/oder Konfiguration des Fahrzeugs durch das Anlegen von Kräften, wie z.B. an einem Hilfsgriff, zum Herbeiführen, dass sich das Fahrzeug neigt, befehlen kann. Alternativ kann die Benutzereingabe durch einen Helfer mittels eines Steuermoduls geliefert werden, welches vom Fahrzeug gelöst werden kann, wobei das Steuermodul Eingaben durch einen Steuerhebel, einen Schalter oder ein Tastaturfeld oder irgendeine andere Art enthält. "Sensor" bezieht sich auf jede Vorrichtung zum Überwachen irgendeines Kennzeichens der physischen Position oder Konfiguration des Fahrzeugs und kann beispielsweise ein Neigungsmesser zum Messen der Neigung, Gyroskope, Codiereinrichtungen zum Messen der Winkelausrichtung oder ihrer Änderungsrate für irgendeines der Räder oder Radgruppen, etc., enthalten.
Eine sichere Betätigung des Fahrzeugs nach bestimmten Ausfallarten kann eine Fehlertoleranz von einem oder mehreren der wesentlichen Fahrzeugteile erfordern, welche oben aufgelistet wurden. Wie in dieser Beschreibung und jedem der anhängenden Ansprüche verwendet, bezieht sich „Redundanz" auf die Nachbildung bestimmter Bauteile zum Beitragen zu einer Fehlertoleranz des Fahrzeugs. „Redundanz" bezieht sich auch auf das Überabtasten von Daten. Folglich können Daten beispielsweise durch Sensoren mit einer wesentlich höheren Geschwindigkeit als der mechanischen Ansprechgeschwindigkeit des Systems geliefert werden. Wenn eine der Daten auf dem Systembus oder anderswo zerstört wird, wird dies in diesem Fall nicht die Systemreaktion bewirken, da eine neue Date geliefert werden wird, bevor die Reaktion geliefert sein muss. In einer bevorzugten Ausführungsform der Erfindung sind bestimmte wesentliche Fahrzeugteile elektronisch in einer Systemarchitektur, wie der als Beispiel im Blockdiagramm der 2 gezeigten, aneinander angeschlossen, wie nun beschrieben wurde.
Von der Kombination der Sensorelektronik 34 und Steuerprozessoren 24, 26 und 28 zusammen mit ihren jeweiligen Energiequellen 30 kann kollektiv als Energiestation 32 gesprochen werden. Die Energiestation 32 beinhaltet eine Vielzahl von Energiestationsprozessoren 36, welche jeweils eine Sensorelektronik 34, eine Zentraleinheit (CPU) 24, 26 und 28 und eine Energiequelle 30 enthalten. Jede CPU 28 weist eine assoziierte Energiequelle 30 und eine Sensorelektronikbaugruppe 34 auf.
Die Energiestation 32 ist elektronisch an eine Schnittstelle 38 zum Empfangen der Benutzereingabe sowie an andere Steuerungen zum Steuern von peripheren oder außergewöhnlichen Funktionen des Fahrzeugs gekoppelt. Andere an die Energiestation 32 gekoppelte Steuerungen und Peripheriegeräte können ohne Einschränkung eine Sitzhöhensteuerung 40, eine Aufprallschutzsteuerung 42 und einen Aufprallschutzmonitor 44 sowie Batterieladegeräte und Monitore (nicht gezeigt) beinhalten. Die Aufprallschutzsteuerung 42 kann solche Funktionen, wie den Einsatz von einem oder mehreren Airbags, wie in der angemeldeten, vorläufigen U.S. Anmeldung 60/064,175 beschrieben wurde, welche am 4. November 1997 eingereicht wurde, oder alternativ die Trennung des Trägers 18 (in 1 gezeigt) vom den Boden berührenden Modul 20 liefern, wie in der angemeldeten U.S. Anmeldung 2001/0020556 beschrieben wurde, welche am 14. Oktober 1997 eingereicht wurde. Die Kommunikation zwischen der Benutzerschnittstelle 38, den peripheren Steuerungen 40 und 42 und jedem der Energiestationsprozessoren 24, 26 und 28 der Energiestation 32 besteht über den seriellen Bus 45 des Systems, welcher in einer bevorzugten Ausführungsform ein asynchroner Kanal mit einer Kapazität von 250 kBaud ist, welcher ein Protokoll eines Zeitvielfachzugriffs (TDMA) einsetzt.
Die Stellantriebe zum Drehen der Räder 16 und der Radgruppe 14 (in 1 gezeigt) sind üblicherweise Motoren, wie z.B. der Motor 51 des linken Rads, und in einer bevorzugten Ausführungsform, sind die Stellantriebe Servomotoren. Der Stellantrieb 51 des linken Rads kann durch einen der redundanten Verstärker 46 und 48 des linken Rads angetrieben werden und jeder Verstärker 50 des rechten Rads wird auf ähnliche Weise den Stellantrieb für das rechte Rad und jeder Radgruppenverstärker 52 den Stellantrieb für die Radgruppe antreiben. In einer bevorzugten Ausführungsform der Erfindung sind Leistungskanäle der Lastverteilung vorgesehen, wobei beide Verstärker 46 und 48 des linken Rads für eine volle Leistung des Motors 51 erfordert werden und jeder Verstärker des linken Rads jedoch fähig ist, eine eingeschränkte Leistung für eine kurze Zeitdauer zu liefern, um zuzulassen, dass das Fahrzeug sicher zum Stillstand kommt. Auf die Leistungskanäle kann sich hierin und in jedem der anhängenden Ansprüche auch als „Steuerkanäle" bezogen werden. Eine zusätzliche Redundanz kann in jedem Motor 51 vorgesehen sein, wobei die Hälfte der Wicklungen jedes Motors ein ausreichendes Drehmoment zur Betätigung des Fahrzeugs liefert. Jeder redundante, volle Satz an Verstärkern 46, 50 und 52 wird durch eine der Leistungsverstärkersteuerungen 54 und 56 gesteuert. Es ist insbesondere von Vorteil den gesamten Strom zu den Servomotoren über die Radverstärker zu liefern, so dass keine Hochstromreihenelemente zwischen der Batterie und dem Motor benötigt werden. Die Kommunikation zwischen den redundanten Energiestationsprozessoren 24, 26 und 28 und der Leistungsverstärkersteuerung 54 besteht über den seriellen Bus 58 der Energiestation, wohingegen die Kommunikation zwischen den redundanten Energieprozessoren 24, 26 und 28 und der Leistungsverstärkersteuerung 56 zum Liefern einer vollen Redundanz über einen zweiten seriellen Bus 60 der Energiestation besteht.
Wie angesichts der obigen Beschreibung des Systems in Bezug auf 2 hervorgehen kann, kann die mit dem Fahrzeug assoziierte Steuerungsarchitektur sehr redundant sein, wobei sich ein jeweils unterschiedliches Grad an Redundanz den verschiedenen Bauteilen des Systems angliedert.
Mehrere Probleme müssen angesichts der oben beschriebenen Redundanz behandelt werden. Ein Problem ist die Zuweisung der Steuerung und das Treffen einer Entscheidung, wenn redundante Bauteile gleichzeitig vorhanden und aktiv sind.
Steuerung des seriellen Busses
Gemäß dem bevorzugten TDMA-Protokoll, welches oben erörtert wurde, weist jede Vorrichtung auf dem seriellen Bus 45 einen zugeteilten Zeitschlitz zum Übertragen oder Senden eines im Voraus definierten Datensatzes auf. Alle Vorrichtungen auf dem seriellen Bus 45 sind programmiert, auf bestimmte Sender von Daten basierend auf software-konfigurierbaren Steuerregistern anzusprechen oder zu übernehmen. Der serielle Bus 45 wird durch einen als Serial Bus Master bezeichneten Prozessor gesteuert, beispielsweise einen bestimmten der Energiestationsprozessoren 24, 26 und 28, welcher zudem einem gekennzeichneten „Master Power Base Processor" entsprechen könnte, welcher hierin zum Beispiel als Prozessor 24 gekennzeichnet ist. Der Serial Bus Master steuert ein Master-Synchronpaket und eine Datenerfassung der Busfehler. Im Falle eines Schnittstellenausfalls des Master Power Base Processor nimmt ein, wie unten beschriebener „Secondary Power Base Master" das System Serial Bus Mastership an.
Ausfalloperative, kritische Bauteile
Wenn der Betrieb eines Bauteils unbedingt erforderlich ist, um das Fahrzeug in eine sichere Betriebsart zu bringen, ohne den Insassen des Fahrzeugs zu gefährden, wird eine fehlertolerante Dreifachredundanz gemäß einer bevorzugten Ausführungsform der Erfindung eingesetzt, um eine ausfalloperative Funktionalität zu erzeugen. Ein Beispiel eines ausfalloperativen, kritischen Bauteils ist der Energiestationsprozessor, von welchem drei vorgesehen und als Energiestationsprozessoren 24, 26 und 28 in 2 gekennzeichnet sind. Jeder der Energiestationsprozessoren 24, 26 und 28 wird auch einem bestimmten Satz an kritischen Sensoren zugeordnet, von welchen ein verlässlicher Ausgang erfordert wird, um eine kritische Funktionalität des Fahrzeugs einschließlich der Straßenlage, dem Batteriezustand, etc. ohne Einschränkungen zu gewährleisten. Daraus folgt, dass ein Einzelausfall irgendeines Prozessors oder Sensors erfassbar sein sollte. Zudem kann gemäß einer Ausführungsform der Erfindung die Erfassung eines Fehlers im Betrieb irgendeines Prozessors oder Sensors dem derzeit steuernden Energiestationsprozessor und von dort der Benutzerschnittstelle 38 gemeldet und dadurch zum Benutzer mittels einer optischen oder nicht optischen Anzeigevorrichtung befördert werden. Eine nicht optische Anzeigevorrichtung kann einen akustischen Alarm oder einen durch Berührungsvorrichtungen spürbaren Alarm beinhalten, um zwei Beispiele ohne Einschränkung anzuführen. Eine andere Vorrichtung einer nicht optischen Anzeige zum Warnen des Benutzers vor einer potentiellen Gefahr ist die Überlagerung eines entweder periodischen oder nicht periodischen, intermittierenden Treibersignals auf den die Räder antreibenden Verstärkern, wodurch eine ungleichmäßige Bewegung des Fahrzeugs erzeugt wird, welche durch den Fahrgast wahrgenommen werden kann.
Im Falle der dreifach redundanten Sensoren und Prozessoren können Ausfälle durch den Vergleich der durch jeden Sensor gelieferten Daten mit den durch das übrige Paar an redundanten Sensoren gelieferten Daten erfasst werden, wodurch eine ausfalloperative Funktionalität erzeugt wird, wobei das Fahrzeug seinen Betrieb basierend auf den durch die übrigen Sensoren gelieferten Informationen fortsetzen kann, wenn einer als fehlerhaft bestimmt wird (durch den beschriebenen Vergleich oder anders), bis das Fahrzeug zu einer sicheren Betriebsart gebracht werden kann, ohne den Insassen des Fahrzeugs zu gefährden. In solch einem Fall kann von den übrigen Sensoren oder Prozessoren erfordert werden, dass sie innerhalb vorgeschriebener Grenzen übereinstimmen, damit der Betrieb mit einem verringerten Pegel der Fahrzeugfunktionalität fortsetzten und der Betrieb im Falle keiner Übereinstimmung zwischen den übrigen Sensoren oder Prozessoren sofort beendet werden kann. Ein Komparator ist vorgesehen, welcher einen Schaltkreis eines Halbleiterschalters oder eine Software verwendet, welche auf mindestens einem Energiestationsprozessor läuft, wie jemandem mit elektronischen Fähigkeiten bekannt ist, um die Verbindung zu den seriellen Bussen 45, 58 und 60 irgendeines fehlerhaften Prozessors oder Sensors unwirksam zu machen. Beispielsweise speichert die Leistungsverstärkersteuerung (PAC) in einer Betriebsart die Ergebnisse vom Energiestationsprozessor (PBP) A und PBP B. Wenn die zwei Ergebnisse gleich sind, verwendet die PAC das Ergebnis von PBP A, da beide richtig sind. Wenn sich die zwei Ergebnisse des PBP A und PBP B unterscheiden, wird die PAC einen Zyklus abwarten, bis sie erteilt bekommt, was zu tun ist. Der PBP C wird ein Signal an den einen Fehler aufweisenden Prozessor schicken, sich im zweiten Zyklus selbst herunterzufahren, und im dritten Zyklus wird die PAC nur vom arbeitenden PBP hören und dessen Befehl befolgen.
Ausfallsichere, kritische Bauteile
Wenn ein Ausfall eines Bauteils für die zum sicheren Beenden der Fahrzeugoperation erforderliche Zeitdauer toleriert werden kann, werden zweifach redundante Bauteile eingesetzt. Bei Sensoren dieser Kategorie wird beispielsweise ein Ausfall eines der Sensoren durch das Vergleichen der Ausgänge von den jeweiligen Sensoren erfasst. Beim Erfassen einer Diskrepanz kann der Betrieb des Fahrzeugs sicher beendet werden, wodurch eine ausfallsichere Funktionalität geliefert wird. Die ausfallsichere Funktionalität ist üblicherweise für jeden Motor 51, die Radverstärker 46, 48 und 50, die Radgruppenverstärker 52 und die Leistungsverstärkersteuerungen 54 und 56, sowie Sensoren, welche einen Druckgriff überwachen (welcher zur externen Steuerung des Fahrzeugs verwendet wird), Bremsen und Sitzeinbau im den Boden berührenden Modul vorgesehen.
Ausfälle werden bei nicht redundanten Sensoren basierend auf den Kennzeichen der Sensorausgänge erfasst, welche nicht nur auf Sensorausfallbetriebsarten oder durch den Vergleich zur erwarteten Leistung beschränkt sind. Nicht redundante Sensoren können beispielsweise Sitzhöhencodiervorrichtungen enthalten.
Ausfallsicherer Steuerhebel
Nun in Bezug auf 3 wird eine ausfallsichere Steuerhebeleinrichtung gezeigt und allgemein durch die Ziffer 60 gekennzeichnet, welche einen selbstzentrierenden Steuerhebel 62 aufweist. Während ein Steuerhebel eines Standard-Potentiometers Ausfälle erleiden kann, welche hervorrufen, dass die am Steuerhebel angebrachte Vorrichtung einen Drift- oder „Hartruderzustand" erfährt, liefert die Steuerhebeleinrichtung 60 eine unabhängige Einrichtung zum Erfassen, wenn sich der Steuerhebel 62 in einer Mittelstellung befindet. Ein Sensor 64, welcher beispielsweise ein Hall-Magnetfeldsensor ist, tastet ab, wenn sich der Pfosten 66 des Steuerhebels in der Mittelstellung in Ausrichtung mit dem Sensor 64 befindet. Die Potentiometer 68 und 70 tasten die Position des Steuerhebels 62 in Bezug auf zwei orthogonale Achsen ab. Falls bei einem der Potentiometer 68 und 70 ein Ausfall eintritt, wird der Steuerhebel 60, wenn freigegeben, in die Mitte zurückkehren, da er ein selbstzentrierender Steuerhebel ist, und den Sensor 64 in Eingriff nehmen, und dadurch das System mit einem Signal versorgen, welches vom einen Ausfall aufweisenden Potentiometersystem unabhängig ist.
Mögliche Betriebsgrenzen
Zusätzlich zur Erfassung von Ausfällen von Bauteilen, wie oben erörtert wurde, können zusätzliche Steuerungsmerkmale gemäß alternativen Ausführungsformen der vorliegenden Erfindung vorgesehen sein, um für die Sicherheit des Insassen des Fahrzeugs zu sorgen. In den verschiedenen Betriebsarten der Fahrzeugsteuerung, wie jenen, welche im U.S. Patent Nr. 5,701,965 und U.S. Patent Nr. 5,971,091 beschrieben wurden, wird das Drehmoment an den geeigneten Satz von Radgruppen oder Rädern angelegt, um bestimmte Steueraufgaben, welche durch die Benutzereingabe bestimmt werden, oder interne Steueraufgaben zu erfüllen, wie z.B. die Straßenlage des Fahrzeugs. Wenn ein Rad des Fahrzeugs vorübergehend den Bodenkontakt verliert, ist die Drehung des sich in der Luft befindenden Rads keine gültige Messung der Fahrzeugstellung in Bezug auf den Boden und die Wirkung der Drehung des Rads beim Bestimmen des Anlegens des Drehmoments ans Rad muss beschränkt werden, wodurch die Beschleunigung des Rads effektiv unter diesen Umständen beschränkt wird.
Zusätzliche Basen zur Geschwindigkeitsbegrenzung beinhalten einen Verweis auf die übrige Batterieladung oder Kopfhöhe, damit ein ausreichendes umgekehrtes Drehmoment immer zum Aufrechterhalten der Fahrzeugsstabilität verfügbar ist. Zudem kann die Geschwindigkeit des Fahrzeugs beschränkt werden, um ein Überladen der Batterien beim Herunterfahren von einer schiefen Ebene zu verhindern, wenn die Motoren zur Leistungsregenerierung verwendet werden. Ähnlich können die Dissipationsanforderungen eines Nebenschlussreglers durch das Verringern der Höchstgeschwindigkeit des Fahrzeugs bei der Abwärtsfahrt verringert werden. Zudem kann die Fahrzeuggeschwindigkeit basierend auf der Sitzhöhe gemäß Einschränkungen der seitlichen Stabilität beschränkt werden. Zusätzlich zur Geschwindigkeitsbeschränkung können Betriebsarten des Fahrzeugs basierend auf Fehlerdaten beschränkt werden, welche wie oben beschrieben abgeleitet werden.
Die beschriebenen Ausführungsformen der Erfindung sollen nur als Beispiel dienen und für jemandem mit technischen Fähigkeiten werden zahlreiche Abänderungen und Veränderungen offensichtlich sein. All diese Abänderungen und Veränderungen sollen innerhalb des Bereichs der wie in den anhängenden Ansprüchen definierten, vorliegenden Erfindung liegen.

Claims

Fahrzeug zur Fortbewegung über Land, wobei das Fahrzeug folgendes umfasst: a. eine Tragstruktur (18) zum Tragen einer Last; b. ein den Boden berührendes Modul (20), um Bewegungsfähigkeit für die Tragstruktur bereitzustellen; c. einen motorisierten Antrieb (51), um die steuerbare Bewegung des den Boden berührenden Moduls zu ermöglichen; d. eine Mehrzahl von an den motorisierten Antrieb gekoppelten Steuerkomponenten (24, 26, 28), wobei jede Steuerkomponente einen Ausgang hat; und e. einen Komparator zum Vergleichen der Ausgänge jeder der Steuerkomponenten, wobei der Komparator in der Lage ist, einen Ausfall einer beliebigen der Mehrzahl von Steuerkomponenten zu identifizieren, dadurch gekennzeichnet, dass die Mehrzahl von Steuerkomponenten eine Mehrzahl von Steuerkanälen (24, 26, 28) einschließt, wobei jeder Steuerkanal in der Lage ist, den motorisierten Antrieb unabhängig zu steuern.
Fahrzeug nach Anspruch 1, das eine Mehrzahl von Prozessoren einschließt, wobei: jeder Prozessor (24, 26, 28) über einen Bus (45) an jeden der Steuerkanäle gekoppelt ist.
Fahrzeug nach Anspruch 1 oder 2, das eine Mehrzahl von Prozessoren, die jeder mit mindestens einem Bus verbunden sind und eine Trennschaltung zum Entfernen eines defekten Prozessors vom beziehungsweise von jedem Bus (45) einschließt.
Fahrzeug nach einem der Ansprüche 1 bis 3, das weiter folgendes umfasst: eine Mehrzahl von Sensoren zum Erfassen einer Position und/oder einer Ausrichtung des Fahrzeugs.
Fahrzeug nach Anspruch 3, wobei der Systembus (45) die Mehrzahl von Prozessoren (24, 26, 28) und mindestens ein Element der aus der Benutzereingabe, einer Batterieladungsanzeige einer Temperaturanzeige, einer Sitzhöhensteuerung und einer Aufprallschutzsteuerung bestehenden Menge koppelt.
Fahrzeug nach Anspruch 1, wobei der Ausgang mindestens einer Steuerkomponente mit einer eine mechanische Ansprechgeschwindigkeit des motorisierten Antriebs übersteigenden Geschwindigkeit bereitgestellt wird.
Fahrzeug nach Anspruch 1, wobei das Fahrzeug in der Lage ist, Ausfälle zu erkennen, wobei die Mehrzahl der Steuerkomponenten eine Mehrzahl von Prozessoren (24, 26, 28) einschließt und das Fahrzeug weiter folgendes umfasst: a. einen Sensor zum Erfassen einer Position und/oder einer Ausrichtung des Fahrzeugs; und b. eine Mehrzahl von Steuerkanälen, wobei jeder Steuerkanal in der Lage ist, den motorisierten Antrieb unabhängig zu steuern; wobei die Mehrzahl der Prozessoren (24, 26, 28) über einen Systembus an die Steuerkanäle gekoppelt sind, wobei jeder Prozessor einen Ausgang hat und wobei jeder Prozessor in der Lage ist, Eingangsbefehle von einem Benutzer, ein Signal vom Sensor und den Ausgang jedes der anderen Prozessoren zu empfangen.
Fahrzeug nach Anspruch 7, wobei der Komparator weiter eine Trennschaltung zum Entfernen eines defekten Prozessors vom Systembus einschließt.
Fahrzeug nach Anspruch 7, wobei der Komparator den Ausgang eines beliebigen Prozessors, für den ein Ausfall identifiziert wurde, derart unterdrückt, dass der andauernde Betrieb des Fahrzeugs unter Verwendung aller übrigen Prozessoren möglich ist.
Fahrzeug nach Anspruch 7, wobei das den Boden berührende Modul bezüglich einer örtlichen Raumachse um eine Achse beweglich ist, der motorisierte Antrieb die steuerbare Bewegung des den Boden berührenden Moduls um die Achse ermöglicht und die Bewegung der Achse ermöglicht, so dass die örtliche Raumachse bezüglich der Tragstruktur verschoben wird.
Fahrzeug nach Anspruch 1, wobei der motorisierte Antrieb über eine Mehrzahl redundanter Wicklungen verfügt, um die steuerbare Bewegung des um eine Achse beweglichen, den Boden berührenden Moduls und die Bewegung der Achse, so dass eine örtliche Raumachse bezüglich der Tragstruktur verschoben wird, zu ermöglichen.
Fahrzeug nach Anspruch 1, wobei die steuerbare Bewegung des den Boden berührenden Moduls durch eine Menge von Bewegungsbefehlen gekennzeichnet ist und das Fahrzeug weiter folgendes umfasst: a. eine Mehrzahl von Sensoren zum Überwachen von Konfigurationsvariablen und Bewegungsvariablen des Fahrzeugs und zum Generieren von Sensorsignalen; b. eine Benutzereingabe zum Empfangen von Befehlen von einem Benutzer, um die Bewegung des Fahrzeugs zu steuern; c. eine Mehrzahl von Leistungsverstärkersteuergeräten, wobei jedes Leistungsverstärkersteuergerät in der Lage ist, die gesamte Menge von steuerbaren Bewegungsbefehlen zu steuern; d. eine Mehrzahl von Prozessoren, wobei jeder Prozessor in der Lage ist, Sensorsignale von mindestens einer Teilmenge der aus der Mehrzahl von Sensoren und der Benutzereingabe bestehenden Menge zu empfangen und Prozessorbefehle an jedes Leistungsverstärkersteuergerät zu schicken, um die Bewegung des Fahrzeugs gemäß einem Systemsteuerungsgesetz zu steuern; und e. eine Entscheidungsanordnung, um zu entscheiden, welcher der Mehrzahl von Prozessoren die Vorherrschaft übernehmen soll, falls voneinander abweichende Prozessorbefehle an ein Leistungsverstärkungssteuergerät geschickt werden.
Fahrzeug nach Anspruch 12, das weiter eine Trennschaltung zum Entfernen eines defekten Prozessors vom Systembus einschließt.
Verfahren zum Steuern der Fortbewegung eines Fahrzeugs, wobei das Verfahren folgendes umfasst: a. Bereitstellen einer Mehrzahl von Steuerkanälen, wobei jeder Steuerkanal in der Lage ist, einen motorisierten Antrieb, der das Fahrzeug antreibt, unabhängig zu steuern; b. Bereitstellen einer Mehrzahl von Prozessoren, wobei jeder Prozessor über einen Systembus einen Ausgang an jeden der Steuerkanäle liefert; c. Vergleichen der Ausgänge der Prozessoren; d. Identifizieren aller defekten Prozessoren; und e. Steuern des Fahrzeugs anhand der Ausgänge der Prozessoren außer dem eines identifizierten defekten Prozessors.