Die Erfindung betrifft ein redundantes Sicherheitssystem eines Fahrzeuges, insbesondere einer fahrbaren Arbeitsbühne, gemäß den Merkmalen des Oberbegriffes des Patentanspruchs 1. Ein derartiges redundantes Sicherheitssystem eines Fahrzeuges ist aus der EP-A-1 026 120 bekannt.

Sicherheitssysteme sind bei Fahrzeugen, insbesondere bei Arbeitsfahrzeugen wie fahrbaren Arbeitsbühnen oder dergleichen, bekannt. Bei diesen Sicherheitssystemen wird dann, wenn ein Betriebsparameter einen vorgegebenen Bereich verläßt oder einen bestimmten Sollwert erreicht, ein Warnhinweis oder sogar eine Gegensteuerung durchgeführt, um sicherheitskritische Zustände zu vermeiden. Bei den fahrbaren Arbeitsbühnen kann z. B. der Winkel des Hauptarmes oder auch die Belastung des Arbeitskorbes erfaßt werden, wobei bei einer Überschreitung z. B. der Winkel oder die Korblast durch entsprechende gegensteuernde Maßnahmen reduziert werden muß. Aus Sicherheitsgründen sind im Regelfall die Sensoren, die die Betriebsparameter erfassen, doppelt, d. h. redundant ausgeführt, so daß für den Fall, daß ein Sensor defekt ist oder ausfällt, auf das Signal des noch weiterhin zur Verfügung stehenden Sensors zurückgegriffen werden kann.

Dies hat jedoch verschiedene Nachteile:

Zum einen ist es erforderlich, daß für die Erfassung eines Betriebsparameters mindestens zwei baugleiche oder verschiedene Sensoren eingesetzt werden, so daß sich die Kosten für ein solches redundantes Sicherheitssystem erhöhen. Zum anderen ist es nicht möglich, bei einem korrekten Betriebsparameter auf ein fehlerhaftes Ausgangssignal des Sensors zu schließen, da bei bekannten Sicherheitssystemen ein Vergleich der Signale der beiden Sensoren nicht stattfindet. Denn wenn die von beiden Sensoren erfaßten physikalischen Werte oder die Signale der Sensoren beeinflußt werden (wenn beides Mal gleichzeitig die gleiche Manipulation vorgenommen wurde), entsteht ein sicherheitskritischer Zustand. Somit kann ein solches System manipuliert werden, so daß bei Vorliegen eines sicherheitskritischen Betriebsparameters der betreffende Sensor ein unkritisches Signal abgibt.

Der Erfindung liegt daher die Aufgabe zugrunde, ein redundantes Sicherheitssystem eines Fahrzeuges bereitzustellen, welches die eingangs geschilderten Nachteile nicht aufweist und damit sicherheitskritische Zustände wirksam verhindert werden können und ein Schutz vor Manipulationen gegeben ist.

Diese Aufgabe ist durch die Merkmale des Patentanspruchs 1 gelöst.

Erfindungsgemäß ist vorgesehen, daß wenigstens zwei Sensoren zur Erfassung unterschiedlicher Parameter ausgebildet und die Signale der wenigstens zwei Sensoren getrennt voneinander in der zumindest einen Steuereinheit verarbeitbar und auswertbar sind. Dies hat zum einen den Vorteil, daß zur Erfassung eines Betriebsparameters nur ein einziger Sensor benötigt wird, während - wie im folgenden ausgeführt - es durch den Einsatz von zwei Sensoren sichergestellt ist, sicherheitskritische Zustände zu vermeiden.

So wird aus dem von dem ersten Sensor erfaßten Signal, das einen ersten Betriebsparameter darstellt, ein erstes Ausgangssignal berechnet. Gleiches gilt für den zweiten Sensor, der einen anderen Betriebsparameter erfaßt und ein diesen Betriebsparameter darstellendes Ausgangssignal erzeugt bzw. in der Steuereinheit berechnet wird. Die zumindest zwei Sensoren können gleicher Bauart sein, sind aber in besonders vorteilhafter Weise wegen der Manipuliersicherheit unterschiedlicher Bauart. Aus den beiden Ausgangssignalen der beiden Sensoren, wobei auch mehr als zwei Sensoren und Betriebsparameter vorhanden und erfaßt werden können, wird in der Steuereinheit jeweils ein zu vergleichender Istwert für den jeweiligen Betriebsparameter berechnet. Das heißt, daß auf unterschiedliche Berechnungsweise auf Basis der Ausgangssignale von gleichartigen oder unterschiedlichen Sensoren für voneinander verschiedene Betriebsparameter ein vergleichbarer Istwert gebildet wird. Diese vergleichbaren Istwerte werden miteinander verglichen, so daß bei Abweichung voneinander auf einen Fehler geschlossen werden kann. Dadurch wird ein schadhafter Sensor, ein fehlerhaftes Signal oder eine Manipulation sofort festgestellt, da die beiden vergleichbaren Istwerte auf Grundlage unterschiedlicher Betriebsparameter und unterschiedlicher Berechnungsweise gebildet werden.

In Weiterbildung der Erfindung ist vorgesehen, daß zwei Steuereinheiten vorhanden sind, denen jeweils die Signale einer Gruppe von Sensoren zuführbar sind, wobei die Steuereinheiten die Signale ihrer Gruppe unabhängig von der anderen Gruppe verarbeiten und auswerten. Hierbei wird durch das Vorhandensein von wenigstens einem Sensor oder einer Gruppe von Sensoren an jeweils einer Steuereinheit in der jeweiligen Steuereinheit der vergleichbare Istwert berechnet und der anderen Steuereinheit zugeführt, so daß bei Abweichungen der vergleichbaren Istwerte auf einen Fehler festgestellt werden kann. Dabei muß nicht unbedingt ein Vergleich zwischen den Istwerten der beiden Steuereinheiten durchgeführt werden; denkbar ist auch, daß die vergleichbaren Istwerte mit abgespeicherten Sollwerten verglichen werden, d. h., daß dann, wenn der berechnete Istwert einen vorgegebenen Sollwert unter- oder überschreitet oder einen bestimmten Sollwertebereich verläßt oder einen vorgebbaren Sollwertebereich erreicht, zumindest eine Fehlermeldung erzeugt wird. Es ist also vorgesehen, daß beiden Steuereinheiten (Rechner) mit teilweise unterschiedlich erfaßten physikalischen Werten auf unterschiedliche Rechenwegen zu vergleichbaren Ergebnissen kommen und diese miteinander vergleichen.

Das Vorhandensein von zwei oder mehr Steuereinheiten hat darüber hinaus den Vorteil, daß z. B. bei der fahrbaren Arbeitsbühne die eine Steuereinheit in der Fahrerkabine des Fahrzeuges der Arbeitsbühne installiert ist, während sich die zweite Steuereinheit in dem Korb der Arbeitsbühne befindet. Damit kann für den Fall, daß ein sicherheitskritischer Zustand kurz vor dem Erreichen steht oder schon erreicht ist, sowohl in der Fahrerkabine des Fahrzeuges als auch im Korb die Fehlermeldung angezeigt werden. Neben der Erzeugung und Anzeige einer Fehlermeldung können auch Aktuatoren (Antriebselemente) des Fahrzeuges derart angesteuert werden, daß ein sicherheitsunkritischer Zustand eingenommen wird. Das kann beispielsweise bei der fahrbaren Arbeitsbühne bedeuten, daß der Neigungswinkel des Hauptarmes in die Richtung verändert wird, daß ein Umkippen des Fahrzeuges vermieden wird.

Ein redundantes Sicherheitssystem ist zwecks Erläuterung der Erfindung am Beispiel einer fahrbaren Arbeitsbühne im folgenden beschrieben und anhand der Figuren erläutert. Auf die Anwendung bei einer fahrbaren Arbeitsbühne ist die Erfindung jedoch nicht beschränkt, sondern kann allgemein bei Fahrzeugen bzw. Arbeitsfahrzeugen Anwendung finden.

Es zeigen:

Figur 1

eine erste Ausführungsform eines redundantes Sicherheitssystemes,

Figur 2

eine zweite Ausführungsform eines redundanten Sicherheitssystemes und

Figur 3

Anwendung des redundanten Sicherheitssytemes bei einer fahrbaren Arbeitsbühne.

Figur 1 zeigt eine erste Ausführung eines redundanten Sicherheitssystemes eines Fahrzeuges, insbesondere eines Arbeitsfahrzeuges, welches eine Steuereinheit 1 aufweist. Diese Steuereinheit 1 umfaßt eine Eingabeeinheit 2, über die von außen Einfluß auf die Steuereinheit 1 (beispielsweise zur Vornahme eines Updates) genommen werden kann. Weiterhin umfaßt die Steuereinheit 1 eine Anzeigeeinheit 3, über die Betriebsparameter, berechnete Werte oder den Zustand der Steuereinheit 1 Auskunft gegeben werden kann. Über die Anzeigeeinheit 3 ist auch beispielsweise die Abgabe der Fehlermeldung möglich. Weiterhin umfaßt die Steuereinheit 1 eine Recheneinheit 4 sowie eine Speichereinheit 5, wobei die Recheneinheit 4 die ihr zugeführten Signale verarbeiten und in Zusammenarbeit mit der Speichereinheit 5 auswerten und den vergleichbaren Istwert bzw. mehrere vergleichbare Istwerte erzeugen kann.

An der Steuereinheit 1 sind zumindest zwei Sensoren angeschlossen, die gleichartig oder voneinander verschieden sein können, jedoch unterschiedliche Betriebsparameter des Fahrzeuges erfassen. So ist in Figur 1 beispielsweise gezeigt, daß an der Steuereinheit 1 eine erste Gruppe von Sensoren 6 bis 9 sowie eine zweite Gruppe von Sensoren 10 bis 13 angeschlossen sind. Die Anzahl der Gruppen bzw. die Anzahl der Sensoren selber richtet sich nach den Betriebsparametern, die beim Betrieb des Fahrzeuges zu erfassen sind.

Zur Steuerung des Fahrzeuges sind weiterhin gleichartige oder voneinander verschiedene Aktuatoren erforderlich, die in Figur 1 als eine erste Gruppe von Aktuatoren 14 bis 16 und als eine zweite Gruppe von Aktuatoren 17, 18 beispielhaft gezeigt sind. Auch hier richtet sich die Anzahl der jeweiligen Aktuatoren bzw. der Gruppen nach den zu steuernden Komponenten des Fahrzeuges.

Die Steuereinheit 1 ist dazu ausgebildet, z. B. aus den Signalen der Sensoren 6 bis 9 der ersten Gruppe auf eine erste Berechnungsweise einen ersten Istwert zu erzeugen.

Ebenso sind die Sensoren 10 bis 13 der zweiten Gruppe dazu ausgebildet, weitere Betriebsparameter zu erfassen und auf eine andere Berechnungsweise als bei den Sensoren 6 bis 9 der ersten Gruppe einen weiteren Istwert zu berechnen, wobei allerdings beide berechneten Istwerte miteinander vergleichbar sind, d. h., einen Betriebsparameter oder einen fiktiven Parameter darstellen. Somit werden durch Erfassung unterschiedlicher, tatsächlicher Betriebsparameter auf zumindest zwei voneinander unterschiedlichen Berechnungsmethoden in der Steuereinheit 1 vergleichbare Zielparameter bzw. Istwerte berechnet, die direkt miteinander vergleichbar sind. Wird bei dem Vergleich festgestellt, daß eine Abweichung voneinander vorliegt oder auch daß eine Abweichung eines einzelnen Istwertes von einem beispielsweise in der Speichereinheit 5 abgespeicherten Sollwert vorliegt, kann über die Anzeigeeinheit 3 eine Fehlermeldung an die Bedienperson des Fahrzeuges abgegeben werden oder zumindest einer der Aktuatoren 14 bis 18 derart angesteuert werden, daß der augenblickliche Zustand beibehalten wird (Abschaltfunktion) oder wieder ein sicherheitsunkritischer Zustand erzielt wird. Die Art und Weise, wie der zumindest eine Aktuator angesteuert wird, wenn ein sicherheitskritischer Zustand erreicht wurde, kann in der Speichereinheit 5 ebenfalls abgespeichert werden.

Figur 2 zeigt eine weitere Ausführungsform eines redundanten Sicherheitssystemes, mit zwei Steuereinheiten, wobei eine jede Steuereinheit jeweils eine Anzeigen- und Bedienkonsole 100, 200 (die die Anzeigeeinheit 3 sowie die Eingabeeinheit 2 umfaßt) und jeweils eine Mobilsteuerung 101, 201 umfaßt. Die Anzeige- und Bedienkonsole 100, 200 ist über eine Datenübertragungsstrecke 19, 20 mit der Mobilsteuerung 101, 201 verbunden. Ebenso sind die beiden Steuereinheiten, insbesondere die Mobilsteuerungen 101 und 201, über eine Datenübertragungsstrecke 21 zwecks Datenaustausch miteinander verbunden. An den Mobilsteuerungen 101, 201 ist wieder wenigstens ein Sensor, inbesondere eine Gruppe von Sensoren 22, 23 (mindestens zwei), sowie zumindest ein Aktuator, insbesondere eine Gruppe von Aktuatoren 24, 25 angeschlossen. Das in Figur 2 gezeigte Sicherheitssystem arbeitet nach dem gleichen Prinzip, wie es schon bei dem Sicherheitssystem gemäß Figur 1 beschrieben wurde. Die Ausgestaltung des Sicherheitssystems gemäß Figur 2 hat jedoch den Vorteil, daß z. B. die Anzeigen- und Bedienkonsolen 100 und 200 einmal in der Fahrerkabine und einmal in dem Korb der Arbeitsbühne installiert sein können, um an diesen Stellen den Bedienpersonen die entsprechenden Hinweise, insbesondere die Fehlermeldungen, geben zu können. Das Vorhandensein der Mobilsteuerungen 101 bzw. 201 hat den Vorteil, daß z. B. die Betätigung des Korbes (das Herauf- und Herabfahren sowie die Auslenkung des Armes der Arbeitsbühne) von einer sich neben dem Fahrzeug oder in dem Korb befindenden Person ferngesteuert werden kann. Außerdem kann gegebenenfalls von der weiteren Mobilsteuerung aus in den Steuerprozeß eingegriffen werden. Die Steuerungen 100/101 können auch jeweils als eine Steuereinheit (analog zu der Steuereinheit 1 aus Figur 1) ausgebildet sein.

Während sich die Erfindung auf beliebige Fahrzeuge, insbesondere jedoch bevorzugt auf Arbeitsfahrzeuge bezieht, ist in Figur 3 eine bevorzugte Anwendung der Erfindung bei einer fahrbaren Arbeitsbühne 26 gezeigt. Auf einem fahrbaren Fahrzeugchassis 27 mit Fahrerkabine ist eine Drehbühne 28 installiert, über die an einem teleskopierbaren Hauptarm 29 sowie über einen bewegbaren Korbarm 30 ein Korb 31 angeordnet ist. Im Betrieb der Arbeitsbühne 26 ist der Hauptarm 29 mittels eines Hydraulikzylinders 32 in seinem Neigungswinkel einstellbar. Ebenso sind Mittel vorhanden, um die Drehbühne 28 relativ zu dem Fahrzeugchassis 27 in eine Drehbewegung zu versetzen. Bei diesen Mitteln, genauso wie bei dem Hydraulikzylinder 32 sowie Mitteln zur Verstellung der Lage des Korbes 31 handelt es sich um die in den Figuren 1 und 2 gezeigten Aktuatoren. Außerdem sind in Figur 3 diejenigen Betriebsparameter (wie beispielsweise Winkelhauptarm, Neigungswinkel Korbarm, Kraftsensor Korblast usw.) gezeigt, die von den Sensoren, die in Figur 1 und 2 gezeigt und beschrieben sind, erfaßt werden. Ebenso können als Betriebsparameter die Länge bzw. der Druck der Abstützung von Hydraulikstützpfeilern 33 erfaßt und ausgewertet werden, die im Betrieb der Arbeitsbühne 26 für die Stabilität erforderlich sind.

Es wird noch darauf hingewiesen, daß die Steuereinheit(en) so ausgebildet sein können, daß sie Prozesse überwachen und steuern können (zum Beispiel den Betrieb des Fahrzeuges) oder den Prozess nur überwachen und dann eingreifen (zum Beispiel durch Ansteuerung eines Aktuators), wenn ein sicherheitskritischer Zustand erreicht wurde oder vor dem Erreichen steht, um diesen zu verhindern. So könnte zum Beispiel das Ausfahren des Korbes 31 gestoppt werden (Abschaltfunktion), wenn eine Kippgefahr droht.

Bezogen auf die Figur 2 werden also zwei Sicherheitssysteme derart kombiniert, daß auf unterschiedliche Berechnungsweise mit teilweise unterschiedlichen Sensoren ein vergleichbares Ergebnis erzielt wird:

Hauptarm und Korbarm, Länge des / der Teleskoparme. Daraus wird, wie bei einer Lastmomentbegrenzung (LMB) üblich, die Sicherheitsabschaltung und die Korblast berechnet.

Erfassung von Last und Position des Arbeitskorbes: Aus den o.g. Länge(n) und Winkeln sowie der direkt gemessenen Korblast wird ebenfalls das Kippmoment berechnet.

Die Besonderheit liegt eben darin, daß die Kraftsensoren hierbei nicht redundant ausgeführt sind, sondern in Druckmessung und Kraftmessung aufgeteilt werden.
Beide Steuereinheiten können durch Datenaustausch sowohl die zur Abschaltung führende Auslastungsberechnung vergleichen als auch die direkt gemessenen (Geometrie) bzw. die rückgerechneten Werte (Korblast aus Geometrie und Druck) vergleichen.

Alternativ hierzu ist auch ein System denkbar, bei dem alle Größen nur einfach erfasst werden und nur berechnete und gemessene (Korb-) Last verglichen werden. Bei der Forderung nach sofortigem Erkennen von Einfachfehlern wird trotzdem jeder einzelne Sensor überwacht. Ein Fehler in Druckerfassung oder Längenmessung oder Winkelmessung führt unweigerlich zu einer fehlerhaften Berechnung der Last und damit wird durch direkten Vergleich mit dem Messwert der Kraftmessung ein Fehler erkannt.

Besonderer Vorteil dieses Systems gegenüber der direkten redundanten Erfassung und Berechnung gleichartiger Messgrößen:

• unterschiedliche Softwareabläufe, Vermeidung von gleichartigen Fehlern im Programm,
• unterschiedliche Sensoren bzgl. Kraft- / Druckerfassung in Position und Bauart,
• das System ist praktisch nicht durch Manipulation an einem Sensor negativ in bezug auf Abschaltsicherheit zu beeinflussen,
• bisherige Systeme sind relativ einfach manipulierbar zwecks "Erhöhung" von Reichweite oder Belastung des Korbes.

Weitere Signale zur betriebsartenabhängigen Verringerung von Reichweite / Traglast müssen beiden Steuereinheiten weiterhin soweit gefordert getrennt zur Verfügung gestellt werden. Die ist insbesondere der Drehbereich, erfasst über Drehwinkelgeber oder -schalter, sowie die Abstützbasis.

Weiterhin kann dieses Grundkonzept auch auf das Unterfahrzeug ausgeweitet werden. Aus den erfassten Werten für Moment und Radius oder Last und Position (Radius) und Leermoment ist eine Berechnung des Schwerpunktes der kompletten Aufbauten oberhalb des Schwenktisches möglich. Aus dieser Angabe und der durch Drehwinkel erfassten Position kann auf die auftretenden Stützkräfte rückgerechnet werden. Hierbei geht auch die durch Schalter oder analoge Geber gemessene Länge der Schiebeholme mit ein (horizontale Stützenposition).

Per Druckmessung an allen vier Stützen kann direkt die tatsächliche Stützkraft erfasst werden und direkt mit dem berechneten Wert verglichen werden. Somit ist eine Überprüfung eines nur einfach ausgeführten Drehwinkelgebers möglich. Einfachfehler bei Stützdruck, Stützlänge oder falsche Position im Drehbereich werden erkannt. Dadurch ist ein zusätzlicher Schutz gegen Umkippen durch Messung der Stützkraft gegeben. Zumindest bei Annäherung an den Grenzbereich (das Fahrzeug steht nominal nur noch auf 3 Stützen) werden Fehler in dieser Berechnung durch "Verspannungen" im Chassis beherrschbar.