Die vorliegende Erfindung betrifft eine Vorrichtung und ein Verfahren zur Überwachung der Spannungsversorgung einer insbesondere eine Dauerspannungsversorgung benötigende SRAM-Elemente umfassenden Kfz-Steuergerätanordnung.
Kraftfahrzeuge, deren Motor mithilfe eines Steuergerätes geregelt wird, weisen elektronische Baugruppen auf, die nicht nur während des Betriebs des Kraftfahrzeugs, sondern auch noch nach Abschalten des Motors, also nach dem Öffnen des Zündschalters, mit Spannung versorgt werden müssen. Üblicherweise ist es dabei erforderlich, diese Spannungsversorgung nur noch einen bestimmten Zeitraum aufrechtzuerhalten, der üblicherweise als Nachlaufphase bezeichnet wird.
Die Abschaltung von elektronischen Bauelementen, die während einer Nachlaufphase noch mit Spannung versorgt werden, erfolgt beispielsweise mittels eines Relais, das in Abhängigkeit von der Zündschalterbetätigung nach einer gewissen Zeitverzögerung die Verbindung zwischen dem elektronischen Bauelement und der Spannungsversorgung unterbricht.
Da moderne Steuergeräteanordnungen von einer Dauerspannungsversorgung abhängige Speicherelemente (SRAM-Elemente) umfassen, führt eine Unterbrechung der Dauerspannungsversorgung für selbst nur eine kurze Zeit von ca. 3 Sekunden zu einem Verlust von Daten in dem von der Dauerspannungsversorgung abhängigen Speicherbereich. Dieser Datenverlust kann bisher nicht erkannt werden.
Ausgehend hiervon liegt der Erfindung die Aufgabe zu Grunde, eine Vorrichtung und ein Verfahren zur Überwachung der Spannungsversorgung einer Kfz-Steuergerätanordnung bereitzustellen, bei der eine Unterbrechung der Dauerspannungsversorgung erkannt wird. Darüber hinaus soll eine Systemstörung während geschlossenem Zündschalter und in der Nachlaufphase nach Öffnen des Zündschalters erkannt werden.
Zur Lösung dieser Aufgabe wird eine Vorrichtung zur Überwachung der Spannungsversorgung und des ordnungsgemässen Betriebs einer Kfz-Steuergerätanordnung mit den Merkmalen des Anspruchs 1 sowie ein Verfahren mit den Merkmalen des Anspruchs 4 vorgeschlagen.
Die erfindungsgemässe Vorrichtung umfasst einen Spannungsregler und eine Steuer- und Kontrolleinrichtung, die von dem Spannungsregler ein Zündschloss-Signal empfängt und die über ein Steuerleitungssignal an den Spannungsregler eine gesteuerte Selbsthaltung des Steuergeräts (Nachlaufphase) bewirkt. Der Spannungsregler aktiviert nach Auftreten einer Unterspannung eine Reset-Schaltung und die Steuer- und Kontrolleinrichtung ermittelt durch Abtasten des Zündschloss-Signals, eines Nachlaufphasensignals sowie des Steuerleitungssignals das Vorliegen einer Störung.
Mögliche Störungsursachen sind eine Unterspannung an der Dauerspannungsversorgung des Spannungsreglers, eine Reset-Anweisung durch eine der Steuer- und Kontrolleinrichtung üblicherweise zugeordnete Sicherheitseinrichtung oder auch von der Steuer- und Kontrolleinrichtung selbst ausgelöste Hardwarestörungen. Durch das Abtasten und Überprüfen des Zündschloss-Signals, des Nachlaufphasensignals sowie des Steuerleitungssignals kann von der Steuer- und Kontrolleinrichtung darauf geschlossen werden, ob ein reguläres Abschalten vorliegt oder nicht und ob im letzteren Falle ein Unterspannungsreset aus der Nachlaufphase oder ein sonstiger Unterspannungs- oder Sicherheitsreset vorliegt.
In vorteilhafter Ausgestaltung der Erfindung gemäss Anspruch 2 wird während der Nachlaufphase des Steuergeräts der Inhalt des von der Dauerspannungsversorgung abhängigen Speicherbereichs in einen von der Dauerspannungsversorgung unabhängigen Bereich des Speicherelements kopiert, wobei bei oder nach dem nächsten Einschalten des Steuergerätes, der so genannten Initialisierungsphase, ein Vergleich der Inhalte der beiden Speicherbereiche und, bei deren Nichtübereinstimmen, die Ausgabe einer Warnmeldung erfolgt. Durch diese Massnahme wird erreicht, dass vor jedem Einschalten der Kfz-Steuergerätanordnung eine Überprüfung über einen möglicherweise zwischenzeitlich erfolgten Datenverlust vorgenommen wird.
In anderer Ausgestaltung der erfindungsgemässen Vorrichtung gemäss Anspruch 3 erfolgt während der Nachlaufphase des Steuergeräts eine Prüfsummenbildung über den Inhalt des von der Dauerspannungsversorgung abhängigen Speicherbereichs sowie ein Speichern der gebildeten Prüfsumme in einem von der Dauerspannungsversorgung unabhängigen Bereich des Speicherelementes, wobei bei oder nach dem nächsten Einschalten des Steuergerätes eine erneute Prüfsummenbildung über den Inhalt des von der Dauerspannungsversorgung abhängigen Speicherbereichs sowie ein Vergleich der beiden Prüfsummen und, bei deren Nichtübereinstimmen, die Ausgabe einer Warnmeldung erfolgt.
Die Erfindung ist anhand eines Ausführungsbeispieles in der Zeichnung schematisch dargestellt und wird im Folgenden unter Bezugnahme auf die Zeichnung ausführlich erläutert. Fig. 1 zeigt eine schematische Darstellung der Bereiche eines SRAM-Elementes. Fig. 2 zeigt eine Prinzipschaltung zur Realisierung einer erfindungsgemässen Vorrichtung und Durchführung eines erfindungsgemässen Verfahrens. Fig. 3 veranschaulicht das erfindungsgemässe Verfahren anhand eines Flussdiagrammes.
Fig. 1 zeigt ein SRAM-Element 10 mit drei Datenbereichen 12, 14, 16, nämlich einem von der Dauerspannungsversorgung unabhängigen Bereich 12 (SRAM-DU), einem von der Dauerspannungsversorgung abhängigen Bereich 14 (SRAM-DA) sowie einem freien Bereich 16 (SRAM-F).
Fig. 2 zeigt eine Prinzipschaltung für eine erfindungsgemässe Vorrichtung zur Überwachung der Spannungsversorgung und des ordnungsgemässen Betriebs eines Kfz-Steuergerätes mit einem Spannungsregler 20, einem Funktions-MC 22 als Steuer- und Kontrolleinrichtung, einer Reset-Schaltung 24 sowie einem dem Funktions-MC 22 zugeordneten Sicherheits-MC 26.
Der Spannungsregler 20 erhält zum einen eine Dauerspannungsversorgung UBD (Klemme 30 der Bordversorgung) sowie als Schalteingangssignal für das Steuergerät ein Eingangssignal E-KL 15 vom Zündschloss. Als Ausgang stellt der Spannungsregler 20 eine Spannungsversorgung V cc u.a. für den Funktions-MC 22 und den Sicherheits-MC 26 sowie eine Dauer Spannungsversorgung V STB Y für das SRAM 10 bereit. Als weiteres Ausgangssignal liefert der Spannungsregler ein entprelltes Zündschloss-Signal KL 15 an den Funktions-MC 22.
Der Spannungsregler 20 steht des Weiteren über eine Leitung 28 mit der Reset-Schaltung 24 sowie über eine Steuerleitung 30 mit dem Funktions-MC 22 in Verbindung.
Bei einem regulären Abschaltvorgang, d.h. das Eingangssignal E-KL 15 des Spannungsreglers 20 wird Null, setzt der Spannungsregler 20 das Zündschloss-Signal KL 15 an den Funktions-MC 22 ebenfalls auf Null. Der Funktions-MC 22 setzt über die Steuerleitung 30 ein Nachlaufsignal NL an den Spannungsregler 20, um die Spannungsversorgung in der Nachlaufphase aufrecht zu erhalten. Die Nachlaufphase wird mit Rücksetzen der Steuerleitung 30 durch den Funktions-MC 22 beendet.
Im Falle einer Unterspannung (Störung) oder durch eine weitere Betätigung des Zündschalters in der Nachlaufphase (regulärer Fall) gibt der Spannungsregler 20 über die Leitung 28 ein Reset-Signal RES an die Reset-Schaltung 24, die daraufhin ein Reset-Signal RSTIN an den Funktions-MC 22 ausgibt. Dieses Reset-Signal RSTIN wird ebenfalls ausgegeben, wenn von dem den Funktions-MC 22 überwachenden Sicherheits-MC 26 bei einer Fehlfunktion des Funktions-MC 22 (Störung) ein entsprechendes Signal SWRST an die Reset-Schaltung 24 gegeben wird.
Erfindungsgemäss sendet nun die Reset-Schaltung 24 vor dem Aussenden des Reset-Signals RSTIN an den Funktions-MC 22 ein Reset-Vorwarnsignal NMI (Non-maskable interrupt) welches das Ablaufen einer Prüfroutine in dem Funktions-MC 22 veranlasst. Diese das erfindungsgemässe Verfahren umsetzende Prüfroutine wird nachfolgend unter Bezugnahme auf das Flussdiagramm der Fig. 3 beschrieben.
Bei 40 empfängt der Funktions-MC 22 das Reset-Vorwarnsignal NMI und überprüft daraufhin bei 42, ob das Nachlaufsignal NL Eins beträgt. Beträgt das Signal NL nicht Eins, so liegt ein reguläres Abschalten vor, und es ergibt sich die Anweisung "Pass" bei 60, d.h. die Nachlaufphase wird regulär beendet.
Beträgt das Nachlaufsignal Eins, so liegt kein reguläres Abschalten vor und der Funktions-MC 22 überprüft bei 44, ob ein internes Softwaresignal SW_NL des Funktions-MC 22 Null beträgt. Beträgt das Softwaresignal SW_NL nicht Null, so befindet sich das Steuergerät trotz Vorliegen eines Signals NL = 1 im Nachlaufbetrieb, da das Signal SW_NL nur bei "Zündung aus" auf Eins gesetzt ist. In diesem Falle muss als weiterer Schritt bei 46 überprüft werden, ob das Signal KL 15 Eins beträgt; ist, dies der Fall, so ist der Zündschalter während der Nachlaufphase wieder betätigt worden. Es handelt sich also hierbei um den regulären Fall einer Fahrprogramm-Wiederaufnahme und es ergibt sich die Anweisung "Pass" bei 60.
Beträgt das Signal KL 15 nicht Eins, so lässt sich schliessen, dass ein Unterspannungsreset während des Nachlaufs eingetreten ist und eine Spannungsstörung (Powerfail) vorliegt, worauf eine entsprechende Fehlermeldung bei 70 ausgegeben wird.
Beträgt das Software-Signal SW_NL Null, so befindet sich das Steuergerät nicht im Nachlauf und die Software wurde im Ablauf des Fahrprogrammes unterbrochen, ausgelöst durch einen Unterspannungs- bzw. Sicherheitsreset, oder durch einen Reset verursacht durch eine Hardwarestörung.
Zur weiteren Überwachung der Spannungsversorgung des von einer Dauerspannungsversorgung abhängigen Speicherbereichs SRAM-DA wird unmittelbar vor der gesteuerten Selbstabschaltung des Steuergerätes am Ende der Nachlaufphase der Inhalt des Bereiches SRAM-DA 14 in den Speicherbereich SRAM-DU 12 kopiert. Nach dem nächsten auf das Signal "Zündung ein" folgenden Steuergeräte-Reset werden die beiden Speicherbereiche 12, 14 miteinander verglichen. Sollten die Inhalte der beiden Speicherbereiche nicht übereinstimmen, so muss zwischenzeitlich eine Spannungsunterversorgung des SRAM-DA 14 aufgetreten sein und es wird eine entsprechende Warn- bzw. Fehlermeldung ausgeben.
Alternativ hierzu kann auch unmittelbar vor der gesteuerten Selbstabschaltung des Steuergerätes am Ende der Nachlaufphase über den von der Dauerspannungsversorgung abhängigen Speicherbereich SRAM-DA 14 eine Prüfsumme gebildet und in einem unabhängigen Speicherbereich abgelegt werden. Nach dem nächsten Steuergerät-Reset bei dem Signal "Zündung ein" wird diese Prüfsumme durch erneute Prüfsummenbildung über den Inhalt des SRAM-DA 14 und deren Vergleich mit der abgelegten Prüfsumme überprüft. Sollten die beiden Prüfsummen nicht übereinstimmen, so liegt wiederum ein Hinweis auf eine zwischenzeitliche Unterspannung an dem SRAM-DA vor und es erfolgt die Ausgabe einer Fehlermeldung.
Auch bei einer anhand des unter Bezugnahme auf das Flussdiagramm der Fig. 3 erläuterten erfindungsgemässen Verfahrens erkannten Störung kann ein Teil des freien Speicherbereichs SRAM-F 16 unplausibel beschrieben werden, sodass bei dem nächsten auf das Signal "Zündung ein" folgenden Steuergerät-Reset eine Warnmeldung ausgegeben wird.
The present invention relates to a device and a method for monitoring the voltage supply of a motor vehicle control device arrangement comprising SRAM elements, which in particular requires a permanent voltage supply.
Motor vehicles, the motor of which is controlled by means of a control unit, have electronic assemblies which have to be supplied with voltage not only during the operation of the motor vehicle, but also after the engine has been switched off, that is to say after the ignition switch has been opened. It is usually necessary to maintain this voltage supply only for a certain period of time, which is usually referred to as the follow-up phase.
Electronic components that are still supplied with voltage during a run-on phase are switched off, for example, by means of a relay which, depending on the activation of the ignition switch, interrupts the connection between the electronic component and the voltage supply after a certain time delay.
Since modern control device arrangements comprise memory elements (SRAM elements) which are dependent on a permanent voltage supply, an interruption of the constant voltage supply leads to a loss of data in the memory area dependent on the permanent voltage supply for only a short time of approximately 3 seconds. So far, this data loss has not been recognized.
Proceeding from this, the object of the invention is to provide a device and a method for monitoring the voltage supply of a motor vehicle control device arrangement, in which an interruption in the continuous voltage supply is detected. In addition, a system fault is to be detected while the ignition switch is closed and in the after-run phase after the ignition switch has been opened.
To solve this problem, a device for monitoring the voltage supply and the proper operation of a motor vehicle control device arrangement with the features of claim 1 and a method with the features of claim 4 are proposed.
The device according to the invention comprises a voltage regulator and a control and monitoring device which receives an ignition lock signal from the voltage regulator and which causes the control unit to hold itself in a controlled manner (after-running phase) via a control line signal to the voltage regulator. After an undervoltage occurs, the voltage regulator activates a reset circuit and the control and monitoring device determines the presence of a fault by sampling the ignition lock signal, a follow-up phase signal and the control line signal.
Possible causes of malfunction are undervoltage on the continuous voltage supply of the voltage regulator, a reset instruction by a safety device usually assigned to the control and monitoring device, or hardware faults triggered by the control and monitoring device itself. By scanning and checking the ignition lock signal, the overrun phase signal and the control line signal, the control and monitoring device can determine whether there is a regular shutdown or not and whether in the latter case an undervoltage reset from the overrun phase or another undervoltage or safety reset is present.
In an advantageous embodiment of the invention according to claim 2, the content of the memory area dependent on the permanent voltage supply is copied into an area of the memory element that is independent of the permanent voltage supply, during or after the next switching on of the control device, the so-called initialization phase the contents of the two memory areas and, if they do not match, a warning message is issued. This measure ensures that a check of any data loss that may have occurred in the meantime is carried out before the motor vehicle control device arrangement is switched on.
In another embodiment of the device according to the invention, a checksum is formed during the run-on phase of the control unit for the content of the memory area dependent on the continuous voltage supply, and the checksum formed is stored in an area of the memory element that is independent of the continuous voltage supply, with the or after the next switching on of the Control device a renewed checksum formation on the content of the storage area dependent on the permanent voltage supply as well as a comparison of the two checksums and, if they do not match, the output of a warning message.
The invention is illustrated schematically in the drawing using an exemplary embodiment and is explained in detail below with reference to the drawing. 1 shows a schematic representation of the regions of an SRAM element. 2 shows a basic circuit for realizing a device according to the invention and carrying out a method according to the invention. 3 illustrates the method according to the invention using a flow chart.
1 shows an SRAM element 10 with three data areas 12, 14, 16, namely an area 12 (SRAM-DU) that is independent of the permanent voltage supply, an area 14 (SRAM-DA) that is dependent on the permanent voltage supply, and a free area 16 ( SRAM-F).
2 shows a basic circuit for a device according to the invention for monitoring the voltage supply and the proper operation of a motor vehicle control unit with a voltage regulator 20, a function MC 22 as a control and monitoring device, a reset circuit 24 and one the function MC 22 assigned safety MC 26.
The voltage regulator 20 receives a continuous voltage supply UBD (terminal 30 of the on-board supply) and an input signal E-KL 15 from the ignition lock as a switching input signal for the control unit. As an output, the voltage regulator 20 provides a voltage supply V cc etc. for the functional MC 22 and the safety MC 26 as well as a permanent power supply V STB Y for the SRAM 10. As a further output signal, the voltage regulator supplies a debounced ignition lock signal KL 15 to the function MC 22.
The voltage regulator 20 is also connected to the reset circuit 24 via a line 28 and to the function MC 22 via a control line 30.
With a regular shutdown process, i.e. the input signal E-KL 15 of the voltage regulator 20 becomes zero, the voltage regulator 20 also sets the ignition lock signal KL 15 to the function MC 22 to zero. The function MC 22 sets a lag signal NL to the voltage regulator 20 via the control line 30 in order to maintain the voltage supply in the lag phase. The run-on phase is ended when the control line 30 is reset by the function MC 22.
In the event of an undervoltage (fault) or by a further actuation of the ignition switch in the run-on phase (regular case), the voltage regulator 20 sends a reset signal RES to the reset circuit 24 via the line 28, which then sends a reset signal RSTIN to the Functional MC 22 outputs. This reset signal RSTIN is also output when a corresponding signal SWRST is sent to the reset circuit 24 by the safety MC 26 monitoring the function MC 22 in the event of a malfunction of the function MC 22 (fault).
According to the invention, the reset circuit 24 now sends a reset prewarning signal NMI (non-maskable interrupt) to the function MC 22 before sending the reset signal RSTIN, which causes a test routine in the function MC 22 to run. This test routine implementing the method according to the invention is described below with reference to the flowchart in FIG. 3.
At 40, the function MC 22 receives the reset warning signal NMI and then checks at 42 whether the lag signal NL is one. If the signal NL is not one, there is a regular shutdown and the "pass" instruction is 60, i.e. the follow-up phase is ended regularly.
If the lag signal is one, there is no regular shutdown and the function MC 22 checks at 44 whether an internal software signal SW_NL of the function MC 22 is zero. If the software signal SW_NL is not zero, the control unit is in overrun mode despite the presence of a signal NL = 1, since the signal SW_NL is only set to one when the ignition is off. In this case, it must be checked as a further step at 46 whether the signal KL 15 is one; if this is the case, the ignition switch was actuated again during the run-on phase. So this is the regular case of a resumption of the driving program and the instruction "Pass" is given at 60.
If the signal KL 15 is not one, it can be concluded that an undervoltage reset occurred during the overrun and there is a voltage fault (power fail), whereupon a corresponding error message is output at 70.
If the software signal SW_NL is zero, the control unit is not in overrun and the software was interrupted in the course of the driving program, triggered by an undervoltage or safety reset, or by a reset caused by a hardware fault.
For further monitoring of the voltage supply of the memory area SRAM-DA, which is dependent on a permanent voltage supply, the content of the area SRAM-DA 14 is copied into the memory area SRAM-DU 12 immediately before the controlled self-shutdown of the control device at the end of the run-on phase. After the next control unit reset following the "ignition on" signal, the two memory areas 12, 14 are compared with one another. If the contents of the two memory areas do not match, a voltage undersupply of the SRAM-DA 14 must have occurred in the meantime and a corresponding warning or error message will be issued.
As an alternative to this, a checksum can also be formed immediately before the controlled self-shutdown of the control device at the end of the run-on phase via the memory area SRAM-DA 14, which is dependent on the continuous voltage supply, and can be stored in an independent memory area. After the next control unit reset at the "ignition on" signal, this checksum is checked by forming a new checksum on the content of the SRAM-DA 14 and comparing it with the stored checksum. If the two checksums do not match, there is again an indication of an interim undervoltage on the SRAM-DA and an error message is output.
Part of the free memory area SRAM-F 16 can also be implausibly written to in the event of a fault identified on the basis of the method according to the invention explained with reference to the flowchart in FIG is issued.