CN107210937B - 在数据总线中的总线监控器 - Google Patents

Abstract

控制系统（100）包括第一控制设备（110）、第二控制设备（115）和用于数据总线（105）的驱动构件（120）。在此，第一控制设备（110）包括与驱动构件（120）的数据输入端连接的数据输出端（125）；和用于在故障情况下将数据输出端（125）去活的监视装置（150）。用于驱动构件（120）的第二控制设备（115）的去活信号被引向第一控制设备（110）的数据输入端（165），并且第一控制设备（110）被设立用于，根据在数据输入端（165）处的故障信号将数据输出端（125）去活。

Description

在数据总线中的总线监控器

技术领域

本发明涉及一种控制系统。本发明尤其涉及保护可连接到数据总线上的控制系统以防故障状态。

背景技术

例如在机动车辆上的控制系统连接到数据总线上，所述控制系统可以经由所述数据总线与另外的控制系统或控制设备通信。所述控制设备或控制系统中的一些可以履行所述控制功能，所述控制功能对于环境中的操作人员或不参与的人员的安全性是相关的（relevant）。例如，可以在机动车辆上控制内燃机或制动装置。如果在控制系统或控制设备之一中存在误操作，那么可以确保不经由数据总线传输以下数据，即所述数据可能影响另一控制系统或控制设备的功能，并且因此有损于受控制的过程的安全性。

数据总线例如可以包括CAN总线。控制系统的控制设备借助于驱动构件与CAN总线连接。控制设备被设立用于，自动地识别故障状态，并且在故障情况下关断驱动构件。为此，控制设备的专用输出端与驱动构件的相对应的使能输入端（Freigabeeingang）连接。为了提高安全性，可以设置其他控制设备，该其他控制设备监视第一控制设备的特定的操作，并且查明故障状态。如果查明故障状态，那么第二控制设备经由其使能输入端将驱动构件关断。为此，需要两个控制设备的关断信号的逻辑关联（Verknüpfung）。此外，于是必须使用拥有被引出的使能输入端的驱动构件。

如果驱动构件被关断，那么所述驱动构件通常提供故障信号给第一控制设备。于是该第一控制设备或另一控制设备通常必须确定关断的原因。为此可以考虑在第一控制设备中的故障、在第二控制设备中的故障和在驱动构件中的故障。附加地，信号的连接或关联可能是有错误的。最后，故障信号自身也可能是有错误的。为了正确地分配故障，因此必须检验在控制设备和驱动构件之间的不同的信号路径。所述检验可能是耗费的，并且引起在数据总线上输出以下信号，所述信号仅用于故障确定并且不是对另一控制设备或控制系统发出的。

发明内容

本发明的任务是，提供用于连接到数据总线上的控制系统，所述数据总线支持改善的故障分析。通过具有独立权利要求的特征的控制系统解决所述任务。从属权利要求再现优选的实施方式。

控制系统包括第一控制设备、第二控制设备和用于数据总线的驱动构件。在此，第一控制设备包括：数据输出端，所述数据输出端与驱动构件的数据输入端连接；和监视装置，其用于在故障情况下将数据输出端去活。用于驱动构件的第二控制设备的去活信号被引导给第一控制设备的数据输入端，并且第一控制设备被设立用于，根据在第二输入端处的故障信号将数据输出端去活。

由此可以使用不拥有使能输入端的驱动构件。驱动构件可以具有减少数量的端子，使得驱动构件可以被实施得更紧凑。控制系统由此可以地被构建得更紧凑。此外，由于减少数量的端子而可以降低制造成本或提高控制系统的运行安全性。尤其可以改善驱动构件的关断的可靠性。此外，可以进行第一和第二控制设备的关断信号的逻辑关联，而不为此在控制设备和驱动构件之外设置器件或集成电路。控制系统可以由此进一步简化地被构建。在电路板上所需要的面积或控制系统的空间需求可以进一步被降低。

此外，可以以简化的方式能够确定关断的源头。第一控制设备尤其可以经简化地查明：关断是基于自己的判定还是基于第二控制设备的被采样的信号发生的。例如基于驱动构件的自监视对驱动构件的关断可以以已知的方式借助于故障信号来确定，其中驱动构件提供所述故障信号，并且所述故障信号被引向例如第一控制设备的输入端。

尤其可以避免，在控制系统中的故障状态的情况下在数据总线上输出信号，所述信号可能由其他所连接的控制设备或控制系统不正确地解释为数据、尤其有效数据。由此可以提高系统的安全性，其中所述系统包括控制系统。尤其可以在机动车辆上使用控制系统时经改善地确保：即使在故障情况下控制系统也不影响对过程的控制，所述过程的控制装置与数据总线连接。可以由此改善在机动车辆上或在机动车辆的范围中的人员的安全性。

尤其优选的是，监视装置的信号和在第一控制设备的数据输入端处的信号借助于在第一控制设备之内的逻辑电路被彼此关联。第一控制设备可以被设立用于，借助于相应的配置提供这样的关联。所述配置例如可以在第一控制设备的开动期间被执行。为此所需要的程序耗费可以是小的，使得程序可以较简单地被改变或验证。此外，配置可以被保护免受由在第一控制设备中开动之后所实施的过程改变。

在此特别优选的是，数据输出端可以通过信号中的每一个彼此无关地被去活。换句话说，优选的是，仅当在第一控制设备之内的监视装置以及在控制设备的数据输入端处的第二控制设备的信号均未说明是不可取的时，数据输出端才是被激活的。因此，数据输出端的去活相对于控制设备之一的激活信号具有优先权。

数据输出端尤其可以被设立用于，根据去活信号变得高欧姆的。换句话说，第一控制设备的输出驱动器可以根据去活信号被关断。这样的输出驱动器也以名称三态驱动器（Tri-State-Treiber）已知。这样的数据驱动器可以在第一控制设备的外部引出的端子处采取三种状态、也即逻辑1、逻辑0和高欧姆的。前两个状态被设置用于将数据传送到驱动构件。如果端子被切换为高欧姆的，那么施加在驱动构件的输入端处的信号不再被第一控制设备影响。驱动构件可以识别所述状态并且采取适当的措施。在该情况下，驱动构件也可以探测在其输入端处的预先确定的逻辑电平，所述逻辑电平通常被限定，使得驱动构件的数据在数据总线上的发送尽可能立即（umgehend）地被禁止。

在另一实施方式中，驱动构件可以附加地通过第一控制设备被置于能量节省模式中。为此优选地是，驱动构件包括使能输入端，所述使能输入端与第一控制设备的其他数据输出端连接，使得驱动构件可以由第一控制设备控制。使能输入端优选地是控制输入端，所述控制输入端在一种实施方式中也已知为“Enable（使能）”输入端。所述禁用（Sperren）对应于使能的相反情况（Gegenteil）。由此可以更高效地将控制系统与数据总线分开。驱动构件的去活状态有时也称作睡眠状态。睡眠状态在有些情形下可以被终止，其方式是驱动器构件经由数据总线被寻址或者利用预先确定的数据被操控。

优选地，其他数据输出端可以与另一数据输出端的去活无关地被控制。数据输出端的去活可以由此被保持为与驱动构件的去活无关。对于分析目的、尤其在自测试的范围中，或对于确定与输出驱动器连接的数据输出端出于哪种原因或从哪个源头被去活了，这可以是有利的。

此外优选的是，驱动构件包括使能输出端，以便显示其使能状态，其中所述使能输出端与第一控制设备的其他数据输入端连接。

第一控制设备可以由此对驱动构件的状态采样，而不引起经由数据总线的数据交换。尤其是，当驱动构件改变其使能状态时，第一控制设备可以进行探测，而这不是通过控制设备之一促使的。例如通过经由数据总线用信号通知而进入使能状态，或由于自诊断的故障而从使能状态离开可以属于此。

附图说明

现在参考附图更准确地描述本发明，所述附图示出控制系统的示意图。

具体是实施方式

该图示出用于与数据总线105连接的控制系统100。控制系统100优选地被设立用于，在机动车辆上被使用。在此，控制系统100可以执行任意的控制任务、例如发动机控制或制动控制。数据总线105例如可以包括CAN总线。一个或多个其他控制设备或控制系统可以连接到数据总线105上，所述控制设备或控制系统中的一个可以执行控制任务，所述控制任务的错误实施可能影响尤其机动车辆的周围的系统的物理或功能安全性。

控制系统100包括第一控制设备110、第二控制设备115和驱动构件120。第一控制设备110尤其可以被实施为可编程微计算机。优选地使用可配置微计算机，其包括功能单元，所述功能单元首先是彼此无关的，并且所述功能单元的相互作用可以通过预先确定的控制指令被配置。这样的实施方式也称作微控制器。第一控制设备110的在图中示出的元件可以被实施为彼此集成的，例如被实施为可单独地管理的组件。集成可以包括：在共同的半导体衬底上构成元件。在该情况下也可以谈及单片微控制器（Einchip-Mikrocontroller）。第二控制设备115可以是任意的控制设备，其例如同样可以被实施为可编程微计算机，可替代地例如也可以被实施为专用集成电路（ASIC）或现场可编程门阵列（FPGA）。第二控制设备115与第一控制设备110分离地实施，并且优选地被设立用于监视第一控制设备110的功能。然而，优选的是，控制设备110和115在空间上彼此接近，其方式是所述控制设备110和115例如布置在相同的电路板上、相同的组件中或相同的壳体中。控制系统100优选地是可单独地管理的单元，所述单元例如被安置在机动车辆上。控制系统100的自测试由此可以被简化。

这样的冗余的监视例如在安全相关的控制装置情况下、例如如在机动车辆上的制动控制装置情况下可以被遇到。驱动构件120优选地同样与第一控制设备110分离地实施，并且被设立用于与数据总线105交换数据。为此，可以通过驱动构件120生成或者评估尤其电压、电流或在数据总线105上所定义的另外的物理信号。

第一控制设备110包括第一数据输出端125和优选地包括第二数据输出端 130。数据输出端125、130优选地作为第一控制设备110的端子是可物理访问的。第二数据输出端130与驱动构件120的使能输入端135连接。应当由第一控制设备110输出到数据总线105上的数据经由所述连接被传输到驱动构件120。第一数据输出端125可以在第一控制设备110之内被去活。第二数据输出端130优选地与此无关。为了去活，例如可以在第一控制设备110之内设置输出驱动器140，所述输出驱动器140可以经由所分配的信号被置于高欧姆状态。在第一控制设备110之内优选地借助于逻辑电路145提供所述信号，所述逻辑电路145被设立用于，将至少两个信号在逻辑上彼此关联。在此，信号之一由内部监视装置150提供。

逻辑电路145可以被实施为与另一功能块集成在第一控制设备110之内。优选地，逻辑电路145是可配置的，使得逻辑关联的方式或彼此关联的信号可以被选择。监视装置150被设立用于，在内部监视第一控制设备110的功能。为此，例如可以通过监视装置150实现存储器保护或时间控制式监视装置（“看门狗计时器（Watchdog Timer）”）。在第一控制设备110的运行中，可以通过微处理器155联系监视装置150，其中监视程序160在所述微处理器155上运行。

第一控制设备110此外包括第一数据输入端165，并且可选地还包括第二数据输入端170或第三数据输入端175。第一数据输入端165在第一控制设备110之外与第二控制设备115的输出端180连接，并且在内部被引向逻辑电路145。逻辑电路145被设立用于，当第一数据输出端165或监视装置150的信号中的至少一个携带相应的故障信号时，将第一数据输出端125或者输出驱动器140关断。

处理器155优选地与第二数据输出端125或者输出驱动器140连接，以便可以在数据总线105的方向上输出数据。用于控制数据经由数据总线105的发送和接收的所谓CAN外围设备（CAN总线控制器）在图1中未示出，但是同样可以被设置并且以通常的方式被连接，尤其与第三数据输入端170连接并且经由输出驱动器140与第一数据输出端125连接。如果驱动构件120从数据总线105接收数据，那么该驱动构件将所述数据优选地经由输出端185转发给第一控制设备110的第二输入端170，微处理器155可以从那里收到所述数据并且进行处理。

在可选的实施方式中，驱动构件120被设立用于，被使能或禁用（gesperrt）。禁用的状态有时也被称作睡眠状态。于是采取睡眠状态称作入睡，并且离开睡眠状态称作唤醒。经由在第一控制设备110的第二数据输出端130处的相应的信号，驱动构件120可以在其使能状态方面被影响、也即被送入睡眠或被唤醒。优选地，驱动构件120此外包括使能输出端190，其与第一控制设备110的第三数据输入端175连接。经由所述使能输出端190，驱动构件120显示其使能状态。第一控制设备110由此可以采样（abtasten）：经由第二数据输出端130或者使能输入端135所给出的信号是否由驱动构件正确地予以了实施。此外，第一控制设备110可以经由第三数据输入端175采样：驱动构件120是否出于与在第二数据输出端130处的信号不同的原因改变其使能状态。例如，如果驱动构件120例如在进行向数据总线105或者从数据总线105的数据传递时发现故障，那么所述驱动构件120可以自身去活或者入睡。此外，驱动构件120可以被设立用于，如果相应的信号经由数据总线105向所述驱动构件120发出，那么从睡眠状态被唤醒。

附图标记列表

100 控制系统

105 数据总线

110 第一控制设备

115 第二控制设备

120 驱动构件

125 第一数据输出端

130 第二数据输出端

135 使能输入端

140 输出驱动器

145 逻辑电路

150监视装置

155 微处理器

160 监视程序

165 第一数据输入端

170 第二数据输入端

175 第三数据输入端

180 输出端

185 输出端

190 使能输出端。

Claims (7)

1.控制系统（100），包括：

-第一控制设备（110）；

-第二控制设备（115）；和

-用于数据总线（105）的驱动构件（120）；

-其中所述第一控制设备（110）包括以下方面：

-数据输出端（125），所述数据输出端（125）与所述驱动构件（120）的数据输入端连接；和

-监视装置（150），其用于在故障情况下将所述数据输出端（125）去活；

-其中所述第二控制设备（115）的用于所述驱动构件（120）的去活信号被引向所述第一控制设备（110）的数据输入端（165），

-并且所述第一控制设备（110）被设立用于，根据在所述数据输入端（165）处的故障信号将所述数据输出端（125）去活。

2.按照权利要求1所述的控制系统（100），其中所述监视装置（150）的信号和在所述第一控制设备（110）的所述数据输入端（165）处的信号借助于在所述第一控制设备（110）之内的逻辑电路（145）被彼此关联。

3.按照权利要求2所述的控制系统（100），其中所述数据输出端（125）能够通过所述信号中的每一个彼此无关地被去活。

4.按照权利要求1至3之一所述的控制系统（100），其中所述数据输出端（125）被设立用于，根据去活信号变为高欧姆的。

5.按照权利要求1至3之一所述的控制系统（100），其中所述驱动构件（120）包括使能输入端（135），所述使能输入端（135）与所述第一控制设备（110）的其他数据输出端（130）连接，使得所述驱动构件（120）能够通过所述第一控制设备（110）被禁用。

6.按照权利要求5所述的控制系统（100），其中所述其他数据输出端（130）能够与所述另外的数据输出端（125）的去活无关地被控制。

7.按照权利要求5所述的控制系统（100），其中所述驱动构件（120）包括使能输出端（190），用以显示其使能状态，并且所述使能输出端（190）与所述第一控制设备（110）的其他数据输入端（175）连接。

Images