-
Die
Erfindung betrifft ein Verfahren zur Fehlersimulation in einer elektrischen
Baugruppe gemäß dem Oberbegriff
des Anspruchs 1 und seine Verwendung.
-
Die
elektrische Baugruppe besteht aus elektrischen Komponenten, insbesondere
Bauelementen, wie Widerständen,
Microcontrollern und Transistoren, sowie Anschlüssen und verbindenden Leiterbahnen.
Durch die Baugruppe werden Betriebsabläufe durchgeführt, beispielsweise
in einem Microcontroller abgelegte Programme abgearbeitet oder aufgrund
von Steuersignalen an den äußeren Anschlüssen der
Baugruppe Schaltungsvorgänge durchgeführt. In
der elektrischen Baugruppe kann es aufgrund des permanenten oder
zeitweisen Ausfalls einzelner elektrischer Komponenten, beispielsweise durch
Kurzschluß eines
Bauelementes oder Brechen einer Lötverbindung, sowie durch äußere Störungseinkopplungen,
insbesondere elektrostatische Entladungen, dielektrische Verschiebeströme oder
elektromagnetische Induktionen, zu Störungen der Betriebsabläufe kommen.
Im Rahmen der Zuverlässigkeitsprüfung bzw.
entsprechenden Dimensionierung der elektrischen Baugruppe wird dabei üblicherweise die
Ausfallwahrscheinlichkeit in einzelnen elektrischen Komponenten
betrachtet und aufgrund derer auf die Ausfallwahrscheinlichkeit
der elektrischen Baugruppe als solche geschlossen.
-
Darüber hinaus
ist im Rahmen der EMV- und ESD-Testung von elektrischen Baugruppen
bereits bekannt, daß insbesondere
im Bereich der Mikrocomputer aufgrund deren sequentueller Arbeitsweise bei
Störungen,
insbesondere auch stochastisch bzw. transient auftretenden Störungen,
zu unkontrollierten oder sogar fehlerhaften Zuständen während des Betriebsablaufs führen können, wie
beispielsweise dem Buch von Fischer und Balzer: EMV-Störfestigkeitsprüfungen.
München:
Franzisverlag, 1992, Seite 42 ff zu entnehmen ist.
-
Darüber hinaus
ist aus der
DE 92 18
996 U1 eine Anordnung zur Bestimmung der Prüflingsstörschwelle
und Bewertung von EMV-Maßnahmen
an einem Prüfling, insbesondere
digitalen Geräten
und Schaltungen zu entnehmen, wobei mittels eines Störgenerators
EMV-Störungen
zunehmender Stärke
in den Prüfling
eingekoppelt und die Auswirkungen durch entsprechend auf der Schaltung
angeordnete EMV-Sensoren
erfaßt
werden. Von den Herren Nick, Osborn, Wu: in: Diagnostic efectiveness
in computer systems using deterministic random ESD; 1990 International
symposium on Electromagnetic Compatibiliy – Symposium record, 21.-23. August 1990,
Washington, DC, USA, Seiten 274–279
werden bereits statistische Verfahren zur Auswahl und geeigneten
Einkopplung von ESD-Störungen
in elektrische Baugruppen beschrieben.
-
Gerade
sporadische Störungen
der elektrischen Komponenten von Baugruppen führen jedoch ebenfalls zu Störungen in
Betriebsabläufen
und können
nachfolgend an der Baugruppe nicht nachgewiesen werden.
-
Aufgabe
der Erfindung ist es daher, ein Verfahren zur Fehlersimulation in
einer elektrischen Baugruppe vorzustellen, durch welches die Auswirkung
von Fehlerereignissen an elektrischen Komponenten der Baugruppe
auf deren Betriebsabläufe
erfaßt
werden können,
sowie eine Verwendung hierfür anzugeben.
-
Diese
Aufgabe wird durch die kennzeichnenden Merkmale des Patentanspruchs
1 bzw. 8 gelöst. Vorteilhafte
Weiterbildungen sind den Unteransprüchen zu entnehmen.
-
Dazu
werden zumindest einem Teil der elektrischen Komponenten zumindest
ein, evtl. mehrere mögliche
Fehlerereignisse, also Ausfälle
oder Fehlfunktionen der Komponenten, zugeordnet und für die jeweiligen
elektrischen Komponenten ein das jeweilige Fehlerereignis simulierendes
Ersatzelement vorgesehen, welches zur Simulation des jeweiligen
Fehlerereignisses mittels elektrischer Kontaktpunkte in der Baugruppe
und steuerbarer Schaltmittel anstelle der jeweiligen Komponente
in die Baugruppe geschaltet wird. An zumindest einer Messstelle
in der Baugruppe wird die Auswirkung dieses Fehlerereignisses auf
die Betriebsabläufe
erfasst, vorzugsweise in Echtzeit. Für nahezu alle denkbaren Fehlerereignisse
der elektrischen Komponenten können
durch Ersatzelemente simuliert werden, insbesondere die typischerweise
bei der FMEA betrachteten (siehe dazu bspw. Herausgeber: Verband
der Automobilindustrie e.V. (VDA) Band 4, Teil 2: Qualitätsmanagement
in der Automobilindustrie – Sicherung
der Qualität
vor Serieneinsatz System-FMEA, 1. Auflage 1996 ISSN 0943-9412),
also beispielsweise deren Kurzschluß, Masseschluß oder Unterbrechung,
deren Abweichung von den für
das Bauelement vorgegebenen Toleranzgrenzen oder auch unzulässig hohe
Strom- oder Spannungspegel.
-
Die
steuerbaren Schaltmittel, durch welche anstelle der jeweiligen Komponente
das jeweilige Ersatzelement zugeschaltet wird, können dabei entweder in der
elektrischen Baugruppe selbst oder aber in einer äußeren Fehlersimulationsschaltung
vorgesehen sein.
-
Weist
die elektrische Baugruppe zur Durchführung der Betriebsabläufe weitere
elektrische Komponenten außerhalb
dieser Baugruppe auf, mit denen sie über äußere Anschlüsse verbindbar ist, so erweist
es sich als besonders bevorzugt, zumindest einen Teil der Komponenten
ebenfalls durch Ersatzelemente in der Fehlersimulationsschaltung
zu ersetzen, wobei diese Ersatzelemente sowohl den Normalbetrieb
der äußeren Komponente
als auch möglicherweise
dessen Fehlerereignisse simulieren.
-
Als
Ersatzelemente kommen neben hardwaretechnischen Bauelementen auch
Microcontroller mit entsprechenden Software zur Simulation des Fehlerereignisses,
wie SPICE-Simulatoren von elektrischen Systemen in Frage, wobei
ein Microcontroller möglicherweise
eine Vielzahl von Fehlerereignissen für die jeweiligen Komponenten
als auch die Fehlerereignisse mehrerer oder gar alle Komponenten simulieren
kann.
-
Durch
die Steuerung einer entsprechenden Fehlersimulationsschaltung werden
gezielt bestimmte Fehlerereignisse für eine vorgegebene Zeitdauer und/oder
zu einem zufällig
gewählten
Zeitpunkt während
des Betriebsablaufs und/oder mit einer vorgegebenen Wiederholfrequenz
simuliert. Beispielsweise in Form einer Matrix werden die möglicherweise
an unterschiedlichen Komponenten gleichzeitig auftretenden Fehlerereignisse
und deren zeitliche Relation zu den Betriebsabläufen abgebildet und durch das Verfahren
während
wieder sich wiederholenden Zyklen des Betriebsablaufs nacheinander
simuliert. Insbesondere werden auch mehrere Wiederholungen der Betriebsabläufe durchgeführt und
dabei die Zeitdauer und/oder Wiederholfrequenz eines Fehlerereignisses
geändert.
Dabei werden zumindest die Fehlerereignisse oder Fehlerereigniskombinationen simuliert,
deren Auftreten besonders wahrscheinlich oder deren Auswirkung auf
die Betriebsabläufe
am wahrscheinlichsten erscheint.
-
Besonders
bevorzugt ist dabei neben der Art der jeweils eingeprägten Fehlerereignisse
auch den aktuellen Zustand der Betriebsabläufe zu erfassen, wenn es zur
Abweichung dieser Betriebsabläufe kommt.
Ein derartiges Verfahren zur Fehlersimulation erweist sich besonders
bevorzugt bei der Entwicklung und Qualifikation sicherheitskritischer
elektrischer Baugruppen, insbesondere Steuer geräte von Insassenschutzeinrichtungen
von Kraftfahrzeugen mit durch Microcontroller ausgelösten Insassenschutzmitteln,
zur Bestimmung der Auswirkungen von Fehlerereignissen auf das Auslöseverhalten
dieser Insassenschutzmittel, insbesondere die Fragen einer ausbleibenden
Auslösung
im Unfall bzw. einer unerwünschten
Auslösung
ohne Unfall.
-
Die
Erfindung wird nachfolgend anhand von Ausführungsbeispielen und Figuren
näher beschrieben.
-
1 Beispiel
einer zu prüfenden
elektrische Baugruppe mit Adapter zur Fehlersimulation
-
2 Beispiel
einer Fehlersimulationsschaltung für einen Microcontroller als
zu prüfende
Baugruppe und zumindest teilweiser Simulierung der äußeren Komponenten
durch die Fehlersimulationsschaltung
-
3 Beispiel
eines inneren Aufbaus eines Adapters zur Fehlersimulation
-
So
zeigt die 1 eine elektrische Baugruppe 1 bestehend
aus elektrischen Komponenten, wobei ausschnittsweise die Bauelemente 2a und 2b, eine
diese beiden Bauelemente 2a und 2b verbindende
Leiterbahn, bestehend aus den Teilstücken 3a und 3b,
sowie die äußeren Anschlüsse 4c und 4d näher dargestellt
sind. In diesem Ausführungsbeispiel in 1 wurden
nur die zur Einprägung
der Fehlerereignisse noch zusätzlich
erforderlichen elektrischen Kontakte 4a und 4d in
der Baugruppe vorgesehen, wobei zumindest ein Teil der elektrischen
Kontakte (4a, 4d) in diesem Ausführungsbeispiel
mit den entsprechenden äußeren Anschlüssen übereinstimmen können. Die
steuerbaren Schaltmittel, mit denen anstelle der jeweiligen Komponenten
dieses das Fehlerereignis simulierende Ersatzelement zugeschaltet werden
kann, sind innerhalb eines Adapters 5 der Fehlersimulationsschaltung
angeordnet. Der Adapter 5 weist Prüfspitzen 6a bis 6d auf,
die den entsprechenden elektrischen Kontaktpunkte 4a bis 4d an
der elektrischen Baugruppe 1 zugeordnet sind, so kann durch
einen die Prüfspitzen 6a und 6b in
Serie geschalteten Schalter S1 eine als Fehlerereignis der Leiterbahn 3 zugeordnete
Unterbrechung durch Öffnen
dieses Schalters S1 simuliert und die Auswirkung dieses Fehlerereignisses
auf die Betriebsabläufe
erfaßt
werden. Die Erfassung der Betriebsabläufe erfolgt in diesem Ausführungsbeispiel über die
Messstelle 4d ausgangsseitig am Bauelement 2b durch eine
entsprechende Prüfspitze 6 des
Adapters 5, über
den das Ausgangssignal des Bauelements 2 an eine Steuerung 9 der
Fehlersimulation weitergeleitet wird, die das dort eingehende Signal
mit vorgegebenen Sollsignalen vergleicht. Für das Bauelement 2a sollen
mehrere Fehlerereignisse simuliert werden und sind entsprechend
zwischen den zugehörigen Prüfspitzen 6a und 6c mehrere
Ersatzelemente 7a, 7b, 7c durch entsprechende
Schaltmittel Sa, Sb und Sc zuschaltbar. So kann das Bauelement 2a durch
einen Kurzschluß 7a überbrückt oder
ein Bauelement 7b parallel geschaltet werden oder ein zusätzlicher Störstrom 7c eingeprägt werden.
Nahezu alle realen Fehlerereignisse können so entsprechende Ersatzelemente
nachgebildet werden.
-
Zur
Durchführung
der Betriebsabläufe
weist die Baugruppe 1 außerdem eine weitere elektrische Komponente 8 außerhalb
der Baugruppe auf, die in diesem Ausführungsbeispiel ebenfalls über den
Adapter 5 mit der Prüfspitze 6c auf
den Kontaktpunkt 4c zugeführt wird. Auch für diese
Komponente werden Fehlerereignisse, in diesem Ausführungsbeispiel
der Abbruch der Verbindung, durch Ersatzelemente sowie steuerbare
Schaltmittel (Sd) erzeugt werden.
-
Alle
Schaltmittel S1, Sa bis Sd sowie sonstige Versorgungsgrößen der
Baugruppe und deren Betriebsablauf werden durch die Steuerung 9 der Fehlersimulation
beeinflußt.
In der Steuerung 9 sind neben den Sollgrößen für den Vergleich
mit den Auswirkungen der Fehlerereignisse auf die Betriebsabläufe die
zu berücksichtigenden
Fehlerereignisse sowie deren vorgegebene Zeitdauern und Zeitpunkte
in Korrelation zu den Betriebsabläufen oder deren Wiederholfrequenz
abgelegt. Darüber
hinaus können
Ersatzelemente mit einem variablen Wert des Fehlerereignisses, beispielsweise
einer variablen Steuergröße (vgl.
bspw. regelbare Störstromquelle 7c)
durch die Steuerung 9 des Fehlersimulationsverfahrens angepaßt und der
Wert der Steuergröße erfaßt werden, bei
dem eine Auswirkung dieses Fehlerereignisses auf die Betriebsabläufe einsetzt.
-
Neben
der zeitlichen Koordination der Einsteuerung der einzelnen Schaltmittel
kann die Steuerung 9 der Fehlersimulation auch einzelne
Ersatzelemente für
Komponenten innerhalb oder außerhalb der
Baugruppe softwaretechnisch simulieren, indem entsprechende Ausgänge der
Steuerung 9 angepaßte
Signalpegel führen.
-
2 zeigt
nun eine Weiterbildung dieses Verfahrens, bei dem die elektrische
Baugruppe 1 nur noch aus einem zu prüfenden Microcontroller 2 besteht,
in dem in Software Betriebsabläufe
gespeichert sind, die in Abhängigkeit
von den Signalen an den Eingängen
des Microcontrollers 2 abgearbeitet werden.
-
Kernstück der Simulationsschaltung
ist die Steuerung 9, in der möglichst viele der zur äußeren Beschaltung
des Microcontrollers 2 erforderlichen elektrischen Kompo nenten
zur softwaretechnische Ersatzelemente 8b ersetzt werden.
Die Steuerung 9 weist dazu eine Datenbank 11 mit
den Eigenschaften dieser zu simulierenden Komponenten 8b sowie
eine Bibliothek der zu prüfenden
Fehlerereignisse 12 auf und stellt entsprechend der Betriebsabläufe im Microcontroller 2 an
den Eingängen
des Microcontrollers 2 über
einen zwischengeschalteten Adapter 5 die entsprechenden
Signale zur Simulation der einzelnen elektrischen Komponenten bzw.
deren Fehlerereignisse dar.
-
Nur
aufwendig oder nicht simulierbare elektrische Komponenten 8a können weiterhin über den Adapter 5 hardwaretechnisch
realisiert werden, um auch die Reaktion dieser auf die geplanten
Fehlerereignisse mit abbilden zu können.
-
Diese
primär
softwaretechnische Umsetzung des Verfahrens zur Fehlersimulation
erlaubt eine besonders schnelle Abarbeitung auch eine Vielzahl von Fehlerereignissen
und deren Verknüpfung
untereinander sowie mit den möglichen
Situationen im aktuellen Betriebsablauf. Dabei werden wiederum für die Fehlerereignisse
Zeitdauern und/oder Amplituden des Anliegens sowie die Position
des Auftretens während
des Betriebsablaufs oder in deren Wiederholfrequenz vorgegeben.
-
Das
Fehlersimulationsverfahren kann dabei in seiner Komplexität beliebig
erweitert werden, indem Änderungen
in den geplanten äußeren elektrischen
Komponenten 8 anhand deren simulierten Komponenten 8b nur
durch eine Anpassung der entsprechenden Beschreibung dieser in der
Datenbank 11 mit den Eigenschaften der jeweiligen Komponenten
in der Bibliothek 12 mit den Fehlerereignissen angepaßt werden.
Insbesondere sind auch Simulationen von Fehlerereignissen möglich, die
im realen Betrieb der einzelnen elektrischen Komponenten aus Sicherheitsgründen nicht
zulässig
oder technisch nur mit unverhältnismäßig hohem
Aufwand realisierbar wären.
Durch diese automatische Abarbeitung können auch eine besonders hohe
Vielzahl an Fehlerereignissen einzeln und in Kombination miteinander geprüft werden,
insbesondere neben statisch auftretenden Fehlern auch dynamische
simuliert und deren Auswirkungen auf die Betriebsabläufe erfaßt werden.
-
3 zeigt
eine weitere Ausgestaltung des Verfahrens zur Fehlersimulation,
bei der ein Adapter 5 wiederum zwischen einen kundenspezifisch
integrierten Schaltkreis (ASIC) 2 und einer äußeren Komponente 8 geschaltet
wird. Der ASIC 2 weist Ausgänge 4 auf,
denen entsprechende Eingänge
an der Komponente 8 zugeordnet sind. Zwischen dem x-ten
Ausgang 4.x des ASIC 2 und dem x-ten Eingang 8.x der äußeren Komponente 8 sind
im Adapter 5 ein Schalter S1b in Serie geschaltet, der im
geöffneten
Zustand eine Pin-Unterbrechung simuliert. Außerdem kann über weitere
Schaltmittel ein Kurschluß mit
benachbarten Ausgängen
des ASIC 2 (beispielsweise 4x. über S4a zu 4.x–1)
simuliert werden. Darüber
hinaus sind weitere Schaltmittel S2 und S3 vorgesehen, mit denen
entweder auf der Seite des ASIC 2 bzw. der Komponente 8 noch
weitere Störgrößen 7.1 bis 7.n zugeführt werden
können.
Alle diese Schalter S1 bis S5 können über die
Steuerung 9 des Fehlersimulationsverfahrens die einzelnen
Fehlerereignisse simulieren.
-
In
der Bibliothek 12 der Fehlerereignisse sind dabei nur die
Kombinationen in Fehlerereignissen zugelassen, bei denen es nicht
zu einer hardwaremäßigen Zerstörung des
Adapters 5 bzw. der zu testenden Baugruppe 2 oder
der externen Komponenten 8 kommt. Die Abarbeitung der einzelnen
Fehlerereignisse kann korreliert oder zufällig in den gerade aktuellen
Betriebsabläufen
im ASIC 2 erfolgen und in Häufigkeit
als auch Stärke
entsprechend angepaßt werden.
So werden als Störgrößen 7.1 bis 7.n insbesondere
an ein Anliegeschluß an
eine Versorgungsspannung, Masse oder ein bestimmtes internes Spannungspotential
neben den bereits erwähnten Verkopplungsfehlern
simuliert. Die Steuerung 9 stellt dabei quasi die Betriebsumgebung
für den
Microcontroller 2 her und versorgt diesen mit allen nötigen Signalen
insbesondere Takt- und Interruptsignalen und einer Versorgungsspannung.
Die Steuerung 9 kann in kürzester Zeit alle dabei in
der Fehlerereignisbibliothek 12 abgelegten Fehlerereignis
simulieren und deren Auswirkungen auf die Betriebsabläufe erfassen.
-
Ein
besonders wichtiges Anwendungsbeispiel dieses Fehlersimulationsverfahrens
ist im Bereich der Insassenschutzsysteme von Kraftfahrzeugen gegeben,
bei denen insbesondere der Auslösung
der Insassenschutzeinrichtung dienende Microcontroller mit seiner
integrierten Steuerungssoftware auf Fehler simuliert wird, indem
an dessen Eingängen
entsprechende Fehlerereignisse eingeprägt werden und als Meßstellen
insbesondere deren Auswirkung auf die Endstufenschaltung der Zündendstufe der
in einzelnen Insassenschutzmittel betrachtet wird. Vom Steuergerät für Insassenschutzeinrichtungen
wird gefordert, dass auch beim Auftreten von Fehlerereignissen einerseits
die Auslösebereitschaft der
Insassenschutzeinrichtungen für
den Crashfall erhalten bleibt sowie andererseits eine Fehlauslösung der
Insassenschutzmittel sicher vermieden werden. Durch das vorgestellte
Verfahren kann dies bei der Entwicklung des Steuergerätes geprüft und entsprechend
sichergestellt werden.
-
Als
Baugruppe im Sinne dieser Anmeldung können ganze Systeme von elektrischen
Komponenten betrachtet werden, beispielsweise auch die Elektronik
eines kompletten Fahrzeugs, wobei jeweils die Wechselwirkungen von
Fehlerereignissen einzelner Komponenten erfasst und die Auswirkungen
auf die Betriebsabläufe
beobachtet werden. Der Begriff der Baugruppe kennzeichnet dabei
nur eine bestimmte funktionale Wechselwirkung, wobei die elektrischen Komponenten
eventuell auch räumlich
verteilt angeordnet sein können,
bspw. ein Wegfall oder eine Fehlpolung der Batterieversorgung und
deren Auswirkung auf das Insassenschutzsystem oder die Auswirkungen
von Störungen
im Zündsystem
des Kraftfahrzeugs auf Datenbusleitungen des Insassenschutzsystems.
So kann die betrachtete Lehre auch für Systeme aus räumlich getrennten
Baugruppen angewendet werden.