CN101218128B - 用于乘员保护的控制装置 - Google Patents

Abstract

本发明涉及一种用于乘员保护的控制装置(10)，其中该用于乘员保护的控制装置(10)具有外部电池电压(UB)与内部电压(VZP)之间的反极性保护(13)，以阻止从控制装置(10)的能量排流。此外，该控制装置(10)具有一个在蓄能器(C_ER)与内部电压(VZP)之间的双向开关转换器(12a，12b)，其中，该开关转换器(12a，12b)根据所述内部电压(VZP)确定其转换方向，其中，控制装置(10)被这样设计，使得该控制装置(10)在关断过程后采集至少一个测量值(VER)及根据该测量值产生一个信号，该信号描述控制装置(10)的自馈状态的特性。

Description

用于乘员保护的控制装置

技术领域

本发明涉及用于乘员保护的控制装置。

背景技术

由DE 195 17 698 A1已公开了用于求出自馈时间(Autarkiezeit)的方法。其中提出：在安全紧急系统关断后检测自馈时间的结束；在自馈时间期满后求出还可供使用的触发准备时间，在该准备时间期间系统可由一个辅助电压源保持触发准备；以及在该安全紧急系统接通时由在最近的工作时间期间有效的自馈时间及由在最近关断后求出的还可供使用的触发准备时间来求出对于当前工作时间有效的自馈时间。在此情况下尤其是确定能量储存器的容量。但这里也可使用求出的电流消耗或求出的供电电压。

发明内容

根据本发明提出了一种用于乘员保护的控制装置，具有：外部电池电压与内部电压之间的反极性保护，以阻止从控制装置的能量排流；具有一个在蓄能器与内部电压之间的双向开关转换器，其中，开关转换器根据所述内部电压确定其转换方向，其中，控制装置被这样设计，使得该控制装置在关断过程后采集至少一个测量值及根据该测量值产生一个信号，该信号描述控制装置的自馈状态的特性，该双向开关转换器是双向DC/DC开关转换器，该开关转换器与微控制器无关地在内部电压过低的情况下，在低于一个阈值时由蓄能器向供电电压输送能量，该双向开关转换器包括一个独立的比较装置，该比较装置将内部电压与阈值相比较及在低于的情况下使开关转换器转换到降压转换模式。

相比之下，根据本发明的用于乘员保护的控制装置具有其优点，即控制装置在关断过程时观测至少一个测量值并据此产生一个信号，其中借助该信号由控制装置对其在自馈情况中的状态作出评价。因此可及早地识别错误及保证在自馈情况中控制装置的总地可靠的功能。作为信号可考虑例如控制信号或计数器或存储内容或比较结果或测量值本身。

根据本发明的控制装置保证对包括所连接的外部传感器在内的供电系统的整体性的监测，以致由控制装置、连接的传感器及乘员保护装置组成的系统在实际自馈情况下也可在所需时间上不受如使系统复位的干扰地保持完整的功能。

为了达到这一点，重要的系统特征是不可缺少的。一个特征是：在外部电池电压UB与一个内部电压VZP之间的反极性保护，该内部电压在通常情况下由电池电压UB产生，但在自馈情况下可由蓄能器例如通过DC/DC降压转换器来提供。

该控制装置在自馈情况中进行保护以防止能量流入车电网，尤其是倘若该车电网对地短路的话。因此在自馈情况下系统供电完整性的检验优选在控制装置每次关断时通过电池电压UB的一个第一测量来进行，以及一旦电池电压UB低于一个最小阈值UBoff(例如5V)，就导入内部电压VZP。进行该测量的前提是一个工作就绪的系统的已充电的蓄能器。该测量验证反极性保护二极管的截止能力，因为内部电压VZP必需高于电池电压UB。

第二个特征是双向DC/DC开关转换器，它与微控制器μC无关地在内部电压VZP过低的情况下，在低于一个阈值VZP_min时由蓄能器中向供电电压VZP输送能量。该独立性使得可以区分，是系统中出现的动态复位还是例如常规关断引起的自馈状态。以下根据开关转换器的工作方式，当开关转换器由蓄能器向内部电压转换时也被称为降压转换器，其中，开关转换器在常规工作中将电池电压或内部电压进行升压转换以对蓄能器充电。

如果系统达到工作准备就绪及通过解除警报信号如通过关断警报灯对此发出信号，则这通过已充电的蓄能器来表明。该模拟量通过一个电压分压器输送给微控制器μC用于监测。该微控制器首先通过一个模拟数字转换器将该量转换成数字量。在正常系统起动后，开始监测蓄能器电压在一个时间后是否保持在一个范围中，该时间或是作为微控制器μC的软件的固定参数已知，或是附加地根据电池电压来确定。此外在系统起动时蓄能器电压的首次测量在复位清除(RESET-Freigabe)及微控制器μC初始化的紧后面进行。

如果系统由于自馈情况在蓄能器的正常使用后进入到RESET(复位)，则蓄能器的电压必定低于一个最小值VERoff，该电压不足，不能正确产生必要的系统电压。反之，如果处于工作就绪状态中的系统在蓄能器满能量时，由于干扰导致RESET及重新起动，则微控制器μC基于蓄能器电压VER的所述首次测量识别出：该电压已经具有比VERoff低很多的值，因此重新起动(“热起动”)的原因不是自馈情况或正常关断，而是一个不允许的例如由干扰引起的RESET。

另一特征是了解在事故情况下全部可供利用的能量，该特征决定了自馈品质。这不仅是电容量及电流消耗的问题，而且是系统整体特性的问题，该特性在于：蓄能器电压VER从值VERreg_max直到值VERoff都可被利用。

随着系统达到工作准备就绪，即已结束所有初始化测试及蓄能器电压在有效的监测范围(21-28V或31-38V)中，将一个自馈测试标记(“自馈可检测(AUTARKIE

)”)写入到一个存储器、例如一个EEPROM中，以准备自馈测试的有效性。

属于该特征的控制装置组成部分为已知的蓄能器电压VER及电池电压UB的检测以及附加地由微控制器μC通过电压分压器对内部电压VZP的检测。

测量的重复率与系统相关地在1-10ms之间，通常为1ms。此外，对自馈情况中的VZP电压调节，可优选使用一个电容C_VZP。如果出现了特征为UB＜UBoff的自馈情况，则随着VZP＜VZPth，DC/DC开关转换器与微控制器无关地起作用及在C_VZP上产生一个电压VZP＝VZPreg，例如6.3V，该电压承担从蓄能器ER的继续的系统供电。

随着蓄能器不断地放电，调节电压VZPreg的维持接近结束。

通过在与蓄能器电压VER同一扫描中例如1-10ms周期地测量电压VZP，通过达到VZP＝VZPreg_min(例如6.0V)，在VZPreg_off＝5.8V时可识别出内部电压VZP稳定调节的结束。在该测量扫描中也被测量的在时刻VZPregoff上的电压VER＝VERoff此时作为最近的还可靠可被存储的测量值写入EEPROM中。对EEPROM的该写过程持续约1-10ms。在系统新起动时，同样在RESET清除及微处理器μC初始化的紧后面将电压VERoff与预定的及假定为能量存储量计算的前提的、以下可利用的蓄能器电压VERoff_soll相比较，该蓄能器电压为系统已知的参数。

如果VERoff＜VERoff_soll，则在最近的自馈要求时所要求的系统特性、通常是控制装置的正常关断完全得到满足。

如果该条件未被满足，则使例如一个VERoff_FZ(用于缺陷的VZP自馈调节的错误计数器)递增1。如果计数器读数达到值n、例如＝3，则系统警报灯优选持续开通。在另一实施例中，VERoff_FZ错误计数器在每次发现错误时递增1及在每次未检测到错误时递减1。

此外也可不同地选择递增及递减的级。

随着系统达到其工作准备就绪，即所有初始化测试已完成及蓄能器电压在一个有效的监测范围(21-28V或31-38V)内，则由最近的自馈要求以有效监测存在EEPROM中的值VERoff通过一个识别标记(“无测量值(KEIN MESSWERT)”)改写，以便为即将到来的自馈情况准备VERoff＜VERoff_soll的测试。

并且该特征是一个远超过简单了解如蓄能器电容量那样的个别参数的复杂特征。

例如当以下成立时，可成功地通过该测试：

a)C/DC开关转换器满足其功能；

b)具有高质量特性(足够的电容量，小的内阻ESR)的调节电容器C_VZP，由此在自馈情况下完全可进行内部电压VZP的良好调节；

c)在有效的VER范围上保持调节电压VZP的稳定性，并且由其供电的其它电压调节器如VZP→VST1调节器也是如此；

d)VZP上的电流消耗在期待的范围内。

除了蓄能器的电容及ESR测量外，在自馈情况下在这里所述的系统(连接了组件的控制装置)完整性检验时附加地检验预给定的自馈时间。随着系统达到工作准备就绪，即所有初始化测试已结束及蓄能器电压在有效的监测范围(21-28V或31-38V)中，将一个自馈测试标记(“自馈可检测(AUTARKIE

)”)写入到EEPROM中，以准备自馈测试的有效性。

随着系统接下来的正常关断或其特征为UB＜UBoff的真正的自馈情况的到来，起动一个自馈计时器。当该计数器达到了预给定的及作为参数为系统已知的值Autarkiezeit_min(最小自馈时间)时，则测量蓄能器电压

该测量值必需高于限值

这样地选择该限值，使得也可在要求的电流条件下实现收紧器的触发。

如果电压VER达到值

则在EEPROM中存储运行的自馈时间＝自馈时间计数器读数在系统新起动时，同样地在RESET清除及初始化的紧后面由EEPROM读出自馈时间测试标记并计算。如果该测试标记为“自馈可检测

”，则计算被存储的自馈时间。如果自馈时间＜Autarkiezeit_min，则在非易失性存储器(EEPROM)中的自馈时间错误计数器(AUTARKIEzeit_FZ)递增1。如果计数器读数达到值n、例如等于3，则系统警报灯持续开通。因此，权利要求1的意义上的信号在此是控制系统警报灯的。

在另一实施例中自馈计时器在每发现一个错误时递增1及在每次未检测到错误时递减1。此外还可相同或不同地选择递增级或递减级。在此，该错误计数器读数

是权利要求1的意义上的信号。

基于完整性的自馈检验的又一深化的特征是对外部传感器的通信能力的检验。随着接着的系统的正常关断或其特征为UB＜UBoff真正的自馈情况的到来，实时地周期地进行通信并对其进行检验，直至达到限值

如果出现了通信错误，则将其存储在一个非易失性计数器(EEPROM)中。为了筛选可使用一个通信错误计数器(KOMM_FZ)，它在每出现一个通信错误时递增1。在系统新起动时，同样地在RESET清除及初始化的紧后面由EEPROM读出自馈时间测试标记及计算。如果该测试标记为“自馈可检测(AUTARKIE

)”则分析被存储的通信错误计数器(KOMM_FZ)。

如果该计数器读数达到一个值m、例如等于3，则系统警报灯持续开通，如果未达到，则也可被递减。

在另一实施例中，可对于每个连接的外部传感器导入一个各自的通信错误计数器。为了区别通信错误是在系统正常状态中还是在自馈状态中出现的，可以存储不同的通信错误计数器。这尤其使得可识别连接在控制装置上的传感器、即所谓附属部分或辅助部分的错误及功能。因为这些传感器在电池电压错误时也可由蓄能器供给能量，而不会在关键阶段中由于通信错误而变得不可使用。

因此，根据本发明的控制装置更可靠，因为在电池电压断开或下降的情况下在一定的时间上仍具有完整的功能。此外，该控制装置由此更加智能化，因为它可区分不同的错误，如电池电压降低或复位。此外，在根据本发明的控制装置中，在监测蓄能器时可模拟无电池供电的真实情况。

此外有利的是，该控制装置当内部电压指示一个过低的值而电池电压正常时，可准确地识别错误。在此情况下通过控制装置产生一个错误信号，根据该错误信号例如可输出一个光的或声的警报，以指示该控制装置具有故障。

另外有利的是，该控制装置除测量蓄能器的容量或ESR外可附加地借助输出给内部电压(VZP)的能量来评价该蓄能器。因此测量模拟自馈的真实情况的参数，及由此可更好地报告控制装置的自馈能力。

有利的是，控制装置在自馈时间期满后监测其它的参数，直到结果的存储能力的限值为止，以便确定该控制装置是否还未指示必需被发现的自馈减弱，以便例如通过更换有缺陷的元件作出补救。

此外有利的是，控制装置在开通后达到一个预定状态、例如一个已起振状态时将一个标记置入非易失性存储器及由此确定用于正常的自馈情况或通常正常的关断的要观测的参数的标准前提。

最后也有利的是，控制装置将与蓄能器相关的数据写入一个存储器中。由此为事后的计算提供关于蓄能器的电压、电容及内电阻的数据，以及提供在专门的自馈时间结束后的蓄能器电压及最小可利用的蓄能器电压数据。这使控制装置的作用能力的证实变得容易。

附图说明

附图中表示本发明的实施例及在以下的说明中对其详细地描述。

附图表示：

图1：控制装置的电路框图，

图2：气囊工作准备的流程图，

图3：气囊在初始化中的流程图，

图4a：开关转换器的电路框图，

图4b：一个自馈识别电路的电路图。

具体实施方式

迄今与安全性关系重大的系统、尤其是用于乘员保护的控制装置监测一个蓄能器的电容、尤其一个电解质电容器，其中该电容器用于提供在自馈状态中的控制装置的能量供给和/或用于触发收紧器。

借助对蓄能器的监测决不能保证：控制装置在电压供给中断后在一定的时间上可靠地保持全部功能。这尤其涉及电容器的容量的唯一测量。在公知的降压转换测试(Downconvertertest)中-在该降压转换测试中为了测试从蓄能器中获取用于控制装置的固有供电的电流-虽然也测试从蓄能器中获取用于测试命令的能量的能力以及测试供给受反极性保护的气囊电压的能力，但这不代表真实情况。

真实的情况是，其中控制装置的及该控制装置的附属部分的供电，不仅由电池电压源经过反极性保护二极管来进行，而且出自于乘员保护系统本身，确切地说通过自馈能量。

这种状况的特征是例如由于碰撞引起的断开或过低的供电电压，因此该状况必需由控制装置独立地识别出。并且在传统的通过点火钥匙关断系统时也执行用于自馈的识别方法。对与在碰撞事故中出现的真实的电池断开相一致的该过程的观测及评估也保证了乘员保护系统的可使用性。

由于电池电压的中断或下降引起的用于乘员保护的控制装置的每个真实关断过程被用于：通过控制装置中的中央微处理器来观测及分析供电系统的真实的作用方式。根据本发明的控制装置具有多个优点。

在控制装置中所需的对被反极性保护的电压的监测必需及时地在一个确定的、最低可能的限值上激活一个开关转换器，该开关转换器使蓄能器的电压降压转换到一个需要的值上。在此情况下必须避免：尽管能量足的蓄能器及成功的降压转换器测试-即由蓄能器的电容器电压转换到控制装置中所需的电压上，而控制装置由于数字供电中的复位或由于附属部分的通信中断而导致停机状态。

因此保证借助内部电压VZP来进行自馈识别。此外可保证：开关转换器及时地起作用及可提供控制装置要求的电流。在此有利的是，在该方案中可通过降压转换器VER→VZP，通过微处理器μC对内部电压VZP的独立检测及附加地通过输出电压的频带监控来调节电压VZP，所述输出电压由VZP导出，例如为5V的模拟/数字电压。

通过在整个保证的自馈时间上对附属传感器通信的检验，该系统可证实：即使在碰撞事故中电源中断的情况下仍可保证对附属传感器的分析处理。通过在保证的自馈时间期满后在未触发收紧器的情况下对蓄能器电压的检验将保证：电压供给的效率及电流需求在允许的容差内。因此也可识别控制装置或附属部分中如在故障时可能出现的那样的不允许的大电流。根据本发明的控制装置可识别各种方式的复位过程，只要其原因不是例如由于电干扰、电磁射线、潮湿等可能出现的供电电压的下降或中断。这之所以可能，是因为不用拆下自馈装置的蓄能器，就可实现所谓的热复位。

这里使用以下的缩写：

FZ＝故障计数器

UBoff＝肯定再也不能供电的电池电压的电压阈值

VERreg_min＝充了电的蓄能器的最小调节电压

VERreg_max＝充了电的蓄能最大调节电压

＝在标定自馈时间期满后的最小蓄能器电压

VERoff_max＝蓄能器电压的最大值，在超过它时蓄能器电压将导致调节电压VZR_reg崩溃

VZPreg_min＝在自馈情况下VZP的最小调节电压

VZPreg_max＝在自馈情况下VZP的最大调节电压

VZPreg_off＝在离开调节范围后VZP的最小电压，该电压仍允许可靠的故障处理，低于该电压控制装置将出现RESET

VERoff＝当VZP＝VZPreg_off时，当前的蓄能器电压

Autarkiezeit_min＝控制装置自供电的最小时间，在该时间中

KOMM_FZ＝对外部传感器等的通信故障计数器

MW＝测量值

图1表示根据本发明的控制装置的第一电路框图。控制装置10在其壳体中具有一个微处理器或微控制器μC，该微处理器或微控制器通过一个数据接口、例如SPI总线SPI1与一个接口组件PAS_IF相连接。该接口组件PAS_IF用作对外部传感器11的连接。这些外部传感器11例如是设置在前盖区域中的经时效处理的加速度传感器，或可为加速度传感器和/或压力传感器的侧面碰撞传感器，也可为重力传感器及乘员位置识别传感器。微处理器μC通过一个第二数据接口、例如SPI总线SPI2与一个触发输出级FLIC相连接。该触发输出级FLIC用于触发收紧器RHS的触发电路。收紧器RHS位于控制装置10的外部。在此，该收紧器涉及气囊、拉紧式安全带和/或翻滚拉杆。

开关转换器12由一个独立的比较装置12a组成，它将内部电压VZP与阈值VZPth(例如5.2V)相比较及在低于的情况下使开关转换器

转换到降压转换模式(自馈)。开关转换器12用于：用一个蓄能器-电容器C_ER的能量来代替出故障或不足的电压UB，用作控制装置10的能量供给，及作为调节过的电压VZP＝VZPreg提供给C_VZP。控制装置10的供电由VZP来进行。该供电可在PAS_IF上直接被使用或也可通过其它的电压转换器14被使用，该电压转换器产生所有组件的数字和模拟供电5V、3.3V、1.8V。

微处理器μC通过电平适配电路16(在最简单情况下为独立的分压器，在特殊情况下为具有电平限制及滤干扰波部分的分压器)来监测用于这里所讨论的任务的、经过多通道模拟-数字转换器的电压UB、VZP及VER。

电池电压UB通常用于控制装置10的供电。通过反极性保护二极管13以阳极与UB相连接，内部电压VZP可由电池电压被反极性保护地形成或者在自馈情况下在保护电池输入端不与地短路的情况下通过开关调节器由C_ER调节到C_VZP上。

蓄能器C_ER在常规情况下也用于对FLIC提供触发电流。为此一个反极性保护二极管17的阳极与C_ER连接及C_ER又与开关转换器输出端12相连接。二极管17的阴极与FLIC连接。这里为了简明起见，对控制装置的本来的功能所必要的许多细节不再描述，因为本技术方案仅在于能量供给。

微处理器μC在常规工作中通过对内部电压VZP及电池电压UB的监测可识别在电流方向上反极性保护二极管的存在。

如果通过多个相继的采样率为1-10ms的测量，由微处理器μC监测的电压UB低于一个下限值UBoff(例如5V)，则必需进入自馈情形，因为由此该内部电压VZP也下降到比较装置12a的阈值VZP_th(例如5.2V)以下。

现在微处理器μC已经识别出：从UB供电的角度看，出现了自馈情况，及仅当以比较装置12a给出的硬件识别出开关转换器及时地转换到降压转换模式及可由蓄能器C_ER取得能量以便在VZP上形成足够高的调节电压时，该系统才保持工作能力。

接着进行自馈状态的完整性检验，但仅当该系统在先已可达到其正常工作状态时才进行计算，由能量的观点看，其特征是：蓄能器电压VER位于一个边界值确定的如21-28V或31-38V的监测范围内。该状态通过一个自馈测试标记来表征。为此在一个非易失性存储器15的自馈测试标记单元中写入“自馈可检测(AUTARKIE

)”。

a)

根据条件UB＜UBoff，微处理器μC起动一个自馈计时器。该条件必需在整个检验期间有效。电压UB的测量例如以1-10ms的重复率进行。

当自馈计时器达到了所保证的作为参数为系统已知的AUTARKIEzeit_min时，则测量蓄能器电压

该测量值必需高于边界值

(例如15V)，这样来选择该边界值，使得也可在要求的电流条件下触发收紧器。

值

在初始化阶段被写入非易失性存储器15(EEPROM)中，用于以后的计算，该存储器通过一个数据接口、例如SPI总线(SPI2)与μC连接。作为扩展方案，也可当达到电压

时将自馈计时器的计时器读数写入非易失性存储器15中。

在系统新起动时，在RESET清除及初始化的紧后面通过微处理器μC由EEPROM读出自馈时间测试标记并计算。如果自馈时间测试标记为“自馈可检测(AUTARKIE

)”则计算存储的自馈时间。如果自馈时间＜Autarkiezeit_min，则在非易失性存储器15(EEPROM)中的自馈时间错误计数器(自馈时间_FZ)递增1。

如果计数器读数达到值n(例如＝3)，则系统警报灯持续开通或通过转发器19将错误信息作为信号输出到标准化机动车总线如CAN上。

在另一实施例中自馈时间_错误计数器在每发现一个错误时递增1及在每次未检测到错误时递减1。此外还可相同或不同地选择递增级和递减级。并且计算蓄能器电压如果

则错误计数器

由于电压不够而递增。如果计数器读数达到值n(例如＝3)，则系统警报灯持续开通或通过转发器19将错误信息作为信号输出到标准化机动车总线如CAN上。

在另一实施例中

在每发现一个错误时递增1及在每次未检测到错误时递减1。此外还可相同或不同地选择递增级和递减级。

如果该系统达到其常规的工作状态，由能量的观点看，该工作状态的特征是蓄能器电压VER在一个边界值确定的监测范围如21-28V或31-38V等内，则自馈时间及

被写入非易失性存储器15中的“无测量值(KEIN MESSWERT)”上。因此该系统可对下一个待观测的自馈执行上面所述的检验。

在另一实施例中，当整个自馈时间测量期间条件UB＜UBoff未被遵守时，可中断测量，因为不能普遍地给出自馈的前提。通过将自馈测试标记以“自馈时间不可检验”写入存储器15来表征测量中断。

b)

如果由于UB＜UBoff引起自馈状态，则在达到限值

前实时地循环地通过1-n通道接口持续地与外部传感器(加速度、压力传感器等)11进行通信并对其进行检验。

如果出现通信错误，则将其写入非易失性存储器15(EEPROM)。为了筛选可在非易失性存储器15中构成一个KOMM_FZ(该通信错误计数器)，该KOMM_FZ在每出现一个通信错误时递增1。

在另一实施例中，对每个连接的外部传感器引入一个各自的通信错误计数器。

为了区别通信错误出现在系统正常状态中还是在自馈状态中，可以存放(存储)不同的通信错误计数器。这尤其可识别连接在控制装置上的传感器、即所述的附属部分或辅助部分的错误或功能。因为这些传感器在缺少电池电压时也由蓄能器供给能量，因此这些传感器在该关键阶段中不会由于通信错误而不可使用。在系统新起动时，在RESET清除及初始化的紧后面通过微处理器μC由EEPROM读出自馈时间测试标记及计算。如果该测试标记处于“自馈可检测(AUTARKIE

)”则计数被存储的(自馈中的)通信错误。如果通信错误(KOMM_FZ)＞例如3，则系统警报灯持续开通或通过转发器19将错误信息作为信号输出到标准化机动车总线如CAN上。

在另一实施例中，通信错误计数器在计数后可不发出警报继续地递减。

c)

如果由于UB＜UBmin引起自馈状态，则随着VZP＜VZPth，与微处理器μC无关地启动DC/DC开关转换器12及在C_VZP上产生电压VZP＝VZPreg，例如6.3V，该电压将承担从ER的继续的系统供电。随着蓄能器增长的放电，调节电压VZPreg的维持接近结束。

通过由电平适配电路16在与VER同一扫描中例如1-10ms周期地测量电压VZP，通过达到VZP＝VZPreg_off如5.8V，由微处理器μC识别出对VZP稳定调节的结束。在该测量扫描中，被测量的在时刻VZPreg_off上的电压VER＝VERoff作为最后还能可靠地被存储的测量值写入非易失性存储器15(EEPROM)中。对EPROM’s的该写过程持续约1-10ms。

在系统新起动时，在RESET清除及初始化的紧后面通过微处理器μC由非易失性存储器15(EEPROM)读出自馈时间测试标记及计算。如果该测试标记为“自馈不可检测(AUTARKIE NICHT

)”则不对存储器单元VERoff进行检验及不进行错误处理。

微处理器μC继续进行用于达到工作准备就绪的另一程序流程。如果所述测试标记为“自馈可检测(AUTARKIE

)”，则由15中读出存储器单元VERoff的内容及与预定的及假定为对于蓄能器计算的前提的、以下可利用的蓄能器电压VERoff_soll(标定VERoff)相比较，该蓄能器电压作为参数是系统已知的。

如果VERoff＜VERoff_soll，则在最后的自馈要求时所需的系统特性、通常是控制装置的正常关断完全被满足。

如果该条件未被给出，则指示错误的VZP调节的错误计数器(VERoff_FZ)递增1。如果计数器读数达到值p(例如＝3)，则系统警报灯持续开通或发出具有该错误信息的CAN消息。在另一实施例中VERoff错误计数器(VERoff_FZ)在每次发现错误时递增1及在每次未发现错误时递减1。此外也可不同地选择递增及递减的级。

如果该系统达到其常规的工作状态，由能量的观点看该状态的特征是蓄能器电压VER在一个边界值确定的监测范围如21-28V或31-38V等内，则值VERoff被写入非易失性存储器15中的“无测量值(KEIN MESSWERT)”上。因此该系统可对下一个待观测的自馈执行上面所述的检验。

并且该特征是一个远超过如蓄能器电容那样的个别参数的简单知识的复杂特征。例如当以下成立时可成功地通过该测试：

1)DC/DC开关转换器满足其功能，

2)具有高质量特性(足够的电容量，小的ESR)的调节电容器C_VZP，由此在自馈情况下完全可进行VZP的良好调节，

3)在有效VER范围中保持调节电压VZP的稳定性，并且由它供电的电压调节器如VZP→VST1调节器也是如此，

4)VZP上的电流消耗在期待的范围内。

d)

以下考虑在过渡到自馈状态或其它过程中时的RESET干扰的识别，这些干扰可在系统的RESET结构中引起动态干扰(湿度，EMV等)。

在系统新起动时，在RESET清除及初始化的紧后面通过微处理器μC由非易失性存储器15中读出自馈时间测试标记及求值。如果测试标记处于“自馈可检测(AUTARKIE

)”则将蓄能器电压VER的当前测量值与系统参数VERoff_min相比较。如果VER＞VERoff_min，则在其它方面已做好工作准备的系统中出现无意的动态RESET。该错误行为被计数在非易失性存储器15的一个热复位错误计数器(WARMreset_FZ)中。如果该错误计数器达到q，例如q＝3，则警报灯持续开通或发出一个CAN消息(关于出现的错误的信息)。

此外，在该类型的错误消失时，在起动时，错误计数器WARMreset_FZ递减。

图2以一个流程图表示基于工作准备就绪状态的控制装置中的原理流程。

在进入点A(200)上每一毫秒(ms)开始周期的方法流程。在方法步骤201中测量当前量UB、VZP、VER。在方法步骤202中检验电池电压是否保持在一定的范围中。如果出现了不允许的供电电压，则在方法步骤2002中控制警报灯(指示mZ，即用时间控制，这表明：根据需要持续地或时间上其他方式地进行灯的控制)及方法进行到B(205)。

如果供电电压在正常的供电范围中(202为肯定)，该方法进行到步骤203。如果VZP＜UB为肯定，则电池在图1中的导通方向上具有反极性保护二极管13，及接着进行方法步骤204，在该方法步骤中，如果错误计数器值大于1，则由于无错误该错误计数器(电池二极管错误计数器(Battdiode_FZ))递减。

接着该方法进行到B(205)。如果在方法步骤203中的条件不被满足，则进行到方法步骤2003。在此，所属的错误计数器Battdiode_FZ递增。接着进行到方法步骤2013，如果Battdiode_FZ＞10，即出现了图1中的反极性保护二极管13的筛选后的确切错误，由此进行到方法步骤2014使警报灯亮及方法进行到B(205)。

在方法步骤206中检验蓄能器电压是否保持在一定的范围中。如果出现了不允许的蓄能器电压，则存在2006中所述的原因及该方法进行到2007中。

如果206为肯定，则证实控制装置工作就绪。接着进行方法步骤207，在该方法步骤中检验自馈测试标记存储器单元例如单元2(图1中15)的内容。如果该内容“自馈不可检测(AUTARKIE NICHT

)”为真，该方法进行到步骤208。在此，在写过程中将错误单元内容预存储到规定的单元中。因此该方法准备好检验到来的自馈情况的完整性，通常通过将钥匙开关转动到位置0中，系统被正常关断。

通过程序进入点209进行到方法步骤210。如果207不为真，该方法进行到C(209)，因为已进行了存储器单元的预存储。然后进行方法步骤210，该方法步骤包括1ms级中的其它方法步骤，但这些其它方法步骤与本发明无关。在这些方法步骤被处理后正好以1ms(例如1ms-10ms)周期在A(200)中进行新的方法流程。

当蓄能器电压不在目标范围中后，进行到方法步骤2007的该方法检测控制装置供电电压。如果方法步骤2007为真，即UB太小或不存在，则进行到方法步骤2017，在此检测：蓄能器电压的幅值对于通过图1中二极管17及触发回路FLIC(FLICS)的触发是否足够。如果方法步骤2017为真，则进行到方法步骤2117。在此将易失性μCRAM自馈计时器的当前状态写入非易失性EEPROM存储器(图1中15)的单元4中，只要这还未发生。

接着进行方法步骤2118，在其中检验自馈中的调节电压VZP是否处于有效的范围内。如果方法步骤2118为肯定，进行到方法步骤2218，该方法步骤包括1ms级中的其它方法步骤，但这些其它方法步骤与本本发明无关。在这些方法步骤被处理后，正好以1ms(例如1ms-10ms)周期从A(200)开始进行新的方法流程。

如果方法步骤2118为否定，则进行到方法步骤2119，在其中检验VZP是否小于一个表征VZP调节失效的下限。如果该步骤为真，则进行到方法步骤2120，在其中通过微处理器μC将此时相应于限值VERoff的VER测量值写入到EEPROM存储器(图1中15)的单元5中，只要这还未发生。

接着进行到方法步骤2121，该方法步骤包括1ms级中的其它方法步骤，但这些其它方法步骤与本发明无关。在这些方法步骤被处理后，正好以1ms(例如1ms-10ms)周期从A(200)开始进行新的方法流程。

如果方法步骤2119为否定，即在自馈期间VZP电压过大，这也可在方法步骤2219中被交给一个错误处理。

接着进行1ms级中的其它方法步骤，但这些其它方法步骤与本发明无关。在这些方法步骤被处理后正好以1ms(例如1ms-10ms)周期从A(200)开始进行新的方法流程。

如果方法步骤2017为否定，即蓄能器电压已降低到用于触发的有效限值以下，则进行方法步骤2018。

在此对照系统中已知的下限值Autarkiezeit_min检验等于μC-ROM自馈计时器的计数器读数的当前自馈时间。如果正好达到相等读数则进行方法步骤2028。在此，通过微处理器μC将蓄能器电压的当前的

测量值写入到EEPROM的单元、例如单元3中。因此蓄能器电压在所要求的自馈时间期满后不用计算而被记录下来。

接着进行到方法步骤2128，该方法步骤包括1ms级中的其它方法步骤，但这些其它方法步骤与本发明无关。在这些方法步骤被处理后正好以1ms(例如1ms-10ms)周期从A(200)开始进行新的方法流程。

如果方法步骤2018中的条件不被满足，即自馈时间不等于Autarkiezeit_min，则进行到方法步骤2019。在此，用于自馈时间的例如RAM单元1中的μC RAM计数器递增1ms。接着进行方法步骤2020，在此询问所出现的与外部传感器的通信错误。如果出现错误，则在方法步骤2120中使一个非易失性存储器(图1中15)的例如单元6中的通信错误计数器递增。

接着进行方法步骤2121，该方法步骤包括1ms级中的其它方法步骤，但这些其它方法步骤与本发明无关。在这些方法步骤被处理后正好以1ms(例如1ms-10ms)周期从A(200)开始进行新的方法流程。

如果在方法步骤2020中条件不被满足，则进行到方法步骤2021，该方法步骤包括1ms级中的其它方法步骤，但这些其它方法步骤与本发明无关。在这些方法步骤被处理后正好以1ms(例如1ms-10ms)周期从A(200)开始进行更新的方法流程。

如果方法步骤2007未被满足，即由UB不能识别出断路，则进行方法步骤2008。在此执行用于蓄能器电压监测及必要时其错误处理的其它程序部分。接着进行方法步骤2009，该方法步骤包括1ms级中的其它方法步骤，但这些其它方法步骤与本发明无关。在这些方法步骤被处理后正好以1ms(例如1ms-10ms)周期从A(200)开始进行更新的方法流程。

图3以一个流程图表示由初始化状态出发的原理流程。

在方法步骤300中通过微处理器μC由EEPROM(图1中15)的单元如单元2中读出自馈测试标记。如果存在“自馈可检测

”的内容，则执行方法步骤301，如果不存在该内容，则在方法步骤3000中执行初始化阶段中的其它任务，但这些任务与本发明无关。

在方法步骤301中检验：当前VER电压是否小于用于“(情况良好)GUT FALL”的作为参数由系统已知的值VERoff_max。由此可确定，是否在先已发生过正常的自馈。如果方法步骤301中的条件得到满足，则之前未出现错误的动态热复位(WARMreset)。接着进行到方法步骤302。在此，对热复位错误计数的错误计数器递减，如果该错误计数器读数大于1的话。

如果在方法步骤301中的条件未被满足，则进行到方法步骤3001。在此在一个非易失性存储器的例如单元10中对出现的热复位错误进行计数。

接着进行到方法步骤3100，在其中执行初始化阶段中的与本发明无关的其它任务。

在方法步骤303中，通过微处理器μC由非易失性存储器中读出单元ZE3的内容(

如果自馈时间＝Autarkiezeit_min)及ZE4的内容(＝自馈时间，如果

)。

接着在方法步骤304中对

进行计算。如果

小于由系统已知的参数

即有错误，则进行到方法步骤305，在此一个已建立的用于太低

的错误计数器、例如EEPROM的单元7

递增。

接着在方法步骤306中基于一个筛选限值、例如3进行该错误计数器的检验。如果超过该筛选限值，则由于在所要求的自馈时间后，VER电压过小，在方法步骤3006中控制警报灯导通。

接着进行方法步骤3106，即跳转到A中。如果方法步骤304中的条件未被满足，即在最小自馈时间后未出现错误的电压

接着进行到方法步骤3004。在此EEPROM中例如单元ZE7中的错误计数器

递减以提高耐用性及方法跳转到A中。

在方法步骤307中通过微处理器μC由非易失性存储器中读出单元ZE4的内容(对应于

的自馈时间)。接着在方法步骤308中对可能的自馈时间进行计算。如果自馈时间小于由系统已知的参数Autarkiezeit_min，即有错误时，则进行到方法步骤309。在此一个在EEPROM中、例如在单元8中已建立的用于太小的自馈时间的错误计数器(＝自馈时间_FZ)递增。

如果方法步骤308的条件未被满足，即未出现自馈错误，则在方法步骤3008中进行迄今增长的自馈时间错误的递减以提高耐用性及该方法跳转到B中。

在方法步骤310中基于一个允许的筛选限值、例如3检验该错误计数器。如果超过该筛选限值，由于在所要求的最小蓄能器电压

的情况下自馈时间过小，则在方法步骤3010中控制警报灯导通。接着进行方法步骤3110即跳转到B。

如果方法步骤310中条件不被满足，即未出现筛选的自馈时间错误，则进行到方法步骤311。在方法步骤311中通过微处理器μC由非易失性存储器中读出单元ZE5的内容(＝VERoff，在不稳定的VZP调节时的ER(蓄能器)电压)。

在方法步骤312中进行VERoff电压的计算。如果VERoff电压大于系统已知的参数VERoff_max，即有错误，则进行到方法步骤313。在此一个已建立的用于过高的蓄能器电压的错误计数器(＝VERoffFZ)在发生VZP调节不稳定时递增。在方法步骤314中基于一个允许的筛选限值如3对该错误计数器进行检验。如果超过该筛选限值，由于在VZP不稳定时VERoff电压过高，则在方法步骤3014中控制警报灯导通。接着进行方法步骤3114并跳转到C。

如果方法步骤312中的条件不被满足，即ER电压可被使用，直到足够低的值，而不会有VZP的调节困难，则在方法步骤3012中使错误计数器VERoif_FZ递减-如果其读数大于1的话，并跳转到C。

如果方法步骤314中的条件不被满足，即未出现筛选的自馈时间错误，则进行到方法步骤315。在方法步骤315中通过微处理器μC由非易失性存储器中读出单元ZE6(＝KOMM_FZ，与外部传感器的通信错误计数器)的内容。接着在方法步骤316中基于一个允许的筛选限值如3对该错误计数器进行检验。如果不低于该筛选限值，则由于在VZP不稳定时VERoff电压过高，在方法步骤317中控制警报灯导通。

接着进行到方法步骤318，在其中执行初始化阶段中的与本发明无关的其它任务。

如果在方法步骤316中通信错误计数器(KOMM_FZ)低于筛选限值，则进行到方法步骤3016，在其中为了提高耐用性该错误计数器递减。接着进行到方法步骤3116，在其中执行初始化阶段中的与本发明无关的其它任务。

图4a表示图1中的单元12a，12b及14被集成在一个构件中的实施例。对于双向开关转换器

需要一个外部线圈L1及用于升压转换工作VZP→VER的调节电容C_ER及一个用于自馈情况中的降压转换工作VER→VZP的调节电容C_VZP。为了产生模拟/数字系统电压，通过一个降压转换器VZP→VST1由VZP产生VST1。对此需要一个线圈L2及调节电容Cvst1。

由VST1通过一个线性调节器产生VST2(3.3V)。对此需要一个调节电容Cvst2。由VST2通过一个线性调节器产生VST3(1.8V)。

对此需要一个调节电容Cvst3。该双向开关转换器

的降压及升压转换方向的控制通过一个自馈识别电路来实现。在最简单的情况下它涉及根据图4b的电路。

电压VZP在一侧上与电阻400相连接。该电阻又与电阻402、电阻401及一个比较器404的正输入端相连接。电阻401在其另一侧与地相连接。电阻402在其另一侧与一个NPN晶体管403的集电极相连接。403的发射极与地相连接。晶体管403的基极与晶体管405的集电极相连接及与电阻406的一侧相连接。晶体管405的发射极与地相连接。其基极与电阻408的一侧相连接。电阻408的另一侧与比较器404的输出端相连接。电阻406的另一侧与IC内部电压VINT相连接。比较器404的负输入端与一个参考电压409相连接。比较器404的正电源与VINT相连接，比较器404的负电源与地相连接。比较器404的输出端附加地与电阻407的一侧相连接。电阻407的另一侧与VINT相连接。

如果电压VZP大于阈值电压VZPth、例如5.2V，则比较器404的正输入端上的电压大于其负输入端上的电压，及比较器404的输出端通过电阻407被置在大致VINT＝高的输出电平上。这导致开关转换器的升压转换工作VZP→VER。

如果电压VZP低于VZPth、例如5.2V，则比较器404的正输入端上的电压小于其负输入端上的电压。比较器404的输出端被置地。由此使晶体管405也通过电阻408关断，即截止。

此时晶体管403的基极可通过电阻406被供给电流。晶体管T2导通及使电阻402与输入电压分压器的电阻401并联。由此使比较器404的正输入端、即输入电压分压器中点上的输入电压降得更低。这就是说，所形成的滞后作用使比较器404的新的开关状态稳定。其输出电压保持约0V。该系统处于自馈状态中。比较器404的输出端的该低电平对开关转换器发出降压转换工作VER→VZP的信号。

Claims (8)

1.用于乘员保护的控制装置，具有：外部电池电压(UB)与内部电压(VZP)之间的反极性保护(13)，以阻止从控制装置(10)的能量排流；具有一个在蓄能器(C_ER)与内部电压(VZP)之间的双向开关转换器(12a，12b)，其中，开关转换器(12a，12b)根据所述内部电压(VZP)确定其转换方向，其中，控制装置(10)被这样设计，使得该控制装置(10)在关断过程后采集至少一个测量值(VER)及根据该测量值产生一个信号，该信号描述控制装置(10)的自馈状态的特性，该双向开关转换器是双向DC/DC开关转换器，该开关转换器与微控制器无关地在内部电压过低的情况下，在低于一个阈值时由蓄能器向供电电压输送能量，该双向开关转换器包括一个独立的比较装置，该比较装置将内部电压(VZP)与阈值相比较及在低于的情况下使开关转换器转换到降压转换模式。

2.根据权利要求1的控制装置，其特征在于：控制装置(10)根据所述测量值和/或信号触发一输出。

3.根据权利要求1或2的控制装置，其特征在于：控制装置(10)根据所述测量值和/或信号进行存储。

4.根据权利要求1或2的控制装置，其特征在于：控制装置(10)根据所述测量值和/或信号改变至少一个计数器。

5.根据权利要求1的控制装置，其特征在于：所述至少一个测量值是蓄能器电压(VER)，其中，控制装置(10)被这样设计，使得控制装置(10)在关断过程后在一个预给定的用于接收测量值的时间上测量蓄能器电压(VER)。

6.根据权利要求1的控制装置，其特征在于：所述至少一个测量值是一个针对控制装置(10)与至少一个连接在该控制装置上的传感器(11)的通信的错误计数器的值。

7.根据权利要求1的控制装置，其特征在于：所述至少一个测量值是一个自馈时间，控制装置这样求出该自馈时间，即控制装置在关断过程后测量蓄能器电压(VER)下降到一个预给定的值上的时间，该值仍使得乘员保护装置可被触发。

8.根据权利要求1的控制装置，其特征在于：所述至少一个测量值是蓄能器电压(VER)，其中，控制装置(10)在关断过程后的一个接通过程后测量蓄能器电压，以及为了产生所述信号考虑在关断过程以前进行的存储纪录。

Images