-
Die
vorliegende Erfindung betrifft eine Steuereinrichtung sowie ein
Verfahren zur Steuerung des Betriebs von Kraftfahrzeugkomponenten,
insbesondere einer Brennkraftmaschine oder eines Getriebes eines
Kraftfahrzeugs, nach dem Oberbegriff des Anspruchs 1 bzw. 8.
-
Derartige
Steuereinrichtungen und Steuerverfahren sind an sich bekannt und
werden hierbei durch eine üblicherweise
als "Steuergerät" bezeichnete elektronische
Baueinheit realisiert, in welcher vielfältige Steuer- und/oder Überwachungsfunktionen
für elektronische
bzw. elektrische Komponenten zusammengefasst sind. Die in der Vergangenheit stetig
gestiegenen Anforderungen hinsichtlich der Funktionalitäten solcher
Steuergeräte
haben dazu geführt,
dass die gewünschten
Funktionen heutzutage größtenteils
durch Einsatz eines Mikrocontrollers implementiert werden. Der Begriff "Mikrocontroller" bezeichnet hierbei
eine elektronische programmgesteuerte Steuereinrichtung, die typischerweise
wie ein PC eine CPU, einen RAM, einen ROM und I/O-Ports aufweist,
im Gegensatz zu einem PC jedoch für eine sehr spezielle Anwendung
ausgelegt ist.
-
Bei
den von der Steuereinrichtung zu steuernden Komponenten kann es
sich neben unmittelbar der Brennkraftmaschine zuzuordnenden Komponenten
wie einer Kraftstoffpumpe, einem Drosselklappenventil, einem Kraftstoffinjektor
oder einer Lambdasonde auch um andere Komponenten des Fahrzeugs
handeln. Eingangsseitig werden der Steuereinrichtung zur Steuerung
benö tigte
Sensorsignale bzw. Messgrößen eingegeben,
z. B. betreffend die Kurbelwellendrehgeschwindigkeit und -stellung,
die Motortemperatur, die Einlasslufttemperatur und -menge, die Fahrpedalstellung
etc. Diese Aufzählung der
zu steuernden bzw. sensierenden Komponenten ist keineswegs abschließend und
dient lediglich der Veranschaulichung der Vielzahl denkbarer Funktionen
einer Steuereinrichtung.
-
Da
ein Mikrocontroller bzw. dessen I/O-Ports technologiebedingt zumeist
nicht zur direkten Ansteuerung der hier interessierenden Fahrzeugkomponenten
geeignet sind, werden diese Komponenten üblicherweise durch zugeordnete
Endstufen gesteuert, welche zu diesem Zweck eingangsseitig entsprechende
Steuersignale des Mikrocontrollers erhalten und ausgangsseitig die
zur Aktivierung und Deaktivierung der Komponenten erforderlichen
Spannungen oder Ströme
bereitstellen, beispielsweise den Lade- und Entladestrom eines piezobetätigten Kraftstoffeinspritzventils.
Insbesondere im Hinblick auf die sicherheitskritischen Funktionen
wird den Endstufen üblicherweise
neben den Steuersignalen auch ein digitales, so genanntes Freigabesignal
zugeführt,
mittels welchem je nach Freigabesignalzustand eine Sperrung oder
eine Freigabe der Aktivierung signalisiert wird. Diese von der eigentlichen
Ansteuerung der Endstufe unabhängige
Freigabe wird hierbei von einer Freigabesteuereinrichtung gegeben,
die bei bekannten Steuereinrichtungen in einer Überwachungseinrichtung integriert
ist, welche den ordnungsgemäßen Betrieb
des Mikrocontrollers überwacht,
um im Falle eines Fehlers geeignete Maßnahmen zu treffen, beispielsweise
den Mikrocontroller zurückzusetzen
(Reset) und/oder ein oder mehrere Freigabesignale auf den ersten
Freigabesignalzustand zu setzen, mit welchem jede zugeordnete Endstufe
gesperrt bzw. abgeschaltet wird.
-
Eine
solche Überwachungseinrichtung,
oftmals als "Watchdog" bezeichnet, kann
hierbei im Mikrocontroller integriert oder separat von diesem angeordnet
sein. Die Funktion einer solchen Überwachungseinrichtung beruht
beispielsweise darauf, dass diese Einrichtung dem Mikrocontroller
von Zeit zu Zeit Aufgaben stellt und anhand der vom Mikrocontroller
zurückgelieferten
Resultate feststellt, ob der Mikrocontroller korrekt arbeitet oder
nicht.
-
Die
elektrischen Verbindungen, welche zur Übertragung von Freigabesignalen
zu den relevanten Endstufen vorgesehen sind (Abschaltpfade), können aus
Gründen
erhöhter
Sicherheit mehrfach (redundant) ausgelegt werden. Ferner kann die
Fähigkeit zur
Abschaltung von Endstufen mittels der digitalen Freigabesignale
anhand eines Selbsttests im inaktiven Systemzustand überprüft werden,
d. h. mindestens einmal pro Nutzungszyklus. Ein fehlerhaftes Abweichen
der Betriebsbedingungen vom erlaubten Bereich, insbesondere irgendwelche
Fehler innerhalb des Mikrocontrollers, einschließlich von fehlerhafter Software
hervorgerufene Fehler, sind jedoch im aktiven Betrieb des Systems
am wahrscheinlichsten.
-
Wenn
im aktiven Betrieb des Systems ein Fehler auftritt, der durch die Überwachungseinrichtung
erkannt werden sollte, und Endstufen mittels des digitalen Freigabesignals
in einen als "sicher" definierten Zustand überführt werden
sollten, so ergeben sich bei den bekannten Steuereinrichtungen in der
Praxis jedoch Unzulänglichkeiten.
-
Insbesondere
kann es vorkommen, dass im Fehlerfall ein Freigabesignal deshalb
nicht in den ersten, eine Sperrung der zugeordneten Endstufe bewirkenden
Signalzustand überführt wird,
weil der Fehler in der Überwachungseinrichtung
selbst bzw. deren Freigabesteuereinrichtung vorliegt oder der Fehler die
ordnungsgemäße Funktion
dieser letzteren Einrichtungen beeinträchtigt.
-
Zur
Lösung
dieses Problems der oftmals unzulänglichen Sicherheit der Überwachung
ist es zwar denkbar, die Redundanz der Überwachung weiter zu erhöhen und
im Hinblick auf Fehler, die durch eine Überspannung (z. B. durch Kurzschluss)
entstehen, robuster auszuführen.
Solche Lösungen
sind jedoch teuer, verringern unter Umständen die Zuverlässigkeit
im Normalbetrieb und dürften
sich in der Praxis wieder auf mehr oder weniger spezifische Fehlerfälle beschränken, für die sie
konzipiert werden.
-
Die
DE 100 57 916 A1 offenbart
ein Steuergerät
für ein
Rückhaltesystem
in einem Kraftfahrzeug, wobei ein Sicherheitsschalter, der auch
einen Watchdog enthält,
im Steuergerät
die Funktion eines Sicherheitsschalters erfüllt. Der Sicherheitsschalter überwacht
Sensorsignale, die an den Prozessor des Steuergeräts übertragen
werden auf Plausibilitäten und
gibt nur, wenn der Sicherheitsschalter selbst ein Auslösefall erkennt,
entsprechende Rückhaltemittel über eine
Zeiteinheit für
eine vorgegebene Zeit frei. Anhand von Zusatzinformationen aus den
Sensorsignalen entnimmt der Sicherheitsschalter, wie die Sensorsignale
zu verarbeiten sind. Der Sicherheitsschalter ist so ausgebildet,
dass er den Sensoren entsprechend zugeordnete Rückhaltemittel freigibt. Beim
Einschalten des Steuergeräts
führt der
Prozessor einen Test des Sicherheitsschalters durch Erzeugen eines
Testsignals durch die Sensoren durch.
-
Aus
der
DE 40 04 427 A1 geht
eine Steuereinrichtung zur Steuerung des Betriebs von Solenoiden
hervor. Jedes Solenoid wird über
eine jeweilige Treiberendstufe aktiviert und deakti viert, wobei
die Treiberendstufe wiederum mit zwei Steuersignalen einer primären Modulation
und einer Submodulation von einer Mikroprozessoreinrichtung beaufschlagt wird.
Nachteilig ist bei diesem Stand der Technik, dass im Falle einer
Funktionsstörung
der Mikroprozessoreinrichtung die Übertragung von falschen Steuersignalen
zur Treiberendstufe und somit eine unkontrollierte Aktivierung und
Deaktivierung der Solenoide nicht ausgeschlossen ist.
-
Die
DE 42 31 432 A1 beschreibt
eine Steuereinrichtung zur Steuerung des Betriebes einer Kraftfahrzeugkomponente
unter Verwendung eines Mikrocontrollers und einer der Komponente
vorgeschalteten Endstufe. Zur Erhöhung der Betriebssicherheit werden
Maßnahmen
vorgeschlagen, mit welchen die Erzeugung des der Endstufe zugeführten Steuersignals
sicherer gemacht wird. Diese Steuersignalerzeugung erfolgt durch
eine zwischen dem Mikrocontroller und der Endstufe zwischengeschaltete
Steuerschaltung, die bei Ausfall des Mikrocontrollers das tatsächlich ausgegebene
Steuersignal auf einen sicherheitsunkritischen Wert setzt. Nachteilig
ist bei diesem Stand der Technik der mit der zusätzlichen Steuerschaltung verbundene
Mehraufwand, insbesondere wenn die Steuereinrichtung zur Steuerung einer
Vielzahl von Fahrzeugkomponenten bzw. zugeordneten Endstufen ausgelegt
ist.
-
Aus
der
DE 44 38 714 geht
eine Steuerung der Antriebseinheit eines Fahrzeugs unter Verwendung
eines Mikrocomputers zur Durchführung
der betreffenden Steuerungsfunktion hervor. Zur Erhöhung der
Betriebssicherheit wird eine besondere Gestaltung des Mikrocomputers
vorgeschlagen. Auch bei diesem Stand der Technik ist problematisch,
dass im Falle eines Fehlers im Bereich des Mikrocomputers eine grundkontrollierte
Aktivierung und Deaktivierung der betreffenden Fahrzeugkomponenten nicht
ausgeschlossen ist.
-
Es
ist daher eine Aufgabe der vorliegenden Erfindung, eine Steuereinrichtung
sowie ein Verfahren zur Steuerung des Betriebs einer Brennkraftmaschine
eines Kraftfahrzeugs mit einem besseren Verhalten im Fehlerfall
bereitzustellen.
-
Diese
Aufgabe wird gelöst
mit einer Steuereinrichtung nach Anspruch 1 bzw. einem Motorsteuerverfahren
nach Anspruch 8. Die abhängigen
Ansprüche
betreffen vorteilhafte Weiterbildungen der Erfindung.
-
Die
erfindungsgemäße Steuereinrichtung
ist gekennzeichnet durch eine Modulationseinrichtung zur periodischen
Modulation des von der Freigabesteuereinrichtung bereitgestellten
Freigabesignals und eine Auswerteeinrichtung zum Analysieren des der
Endstufe zugeführten
Freigabesignals hinsichtlich der periodischen Modulation und zum
Versetzen der Endstufe in einen vorbestimmten Fehlerfallzustand
bei einem Ausbleiben der periodischen Modulation.
-
Durch
die Modulation des von der Freigabesteuereinrichtung bereitgestellten
Freigabesignals und die Auswertung des in Richtung zur Endstufe
hin geführten
Freigabesignals hinsichtlich dieser Modulation ist sichergestellt,
dass ein auf Grund eines Fehlers im Bereich der Freigabesignalerzeugung und/oder
Freigabesignalübertragung
vorliegender Fehler zuverlässig
(anhand des Ausbleibens der Modulation) erkannt wird. Die betreffende
Endstufe kann somit zuverlässig
auch in einem solchen Fall in einen vorbestimmten Fehlerfallzustand
gebracht werden, der z. B. als Abschaltzustand oder Resetzustand
der Endstufe vorgesehen ist.
-
Insbesondere
werden Fehler, bei welchen das Freigabesignal statisch (dauerhaft)
einen bestimmten der beiden Freigabesignalzustände annimmt, zuverlässig und
zutreffend als Fehler erkannt.
-
Mit
der Erfindung wird somit ein "Failsafe-Abschaltpfad" realisiert, welcher
die Sicherheit des Systems erhöht.
-
In
einer bevorzugten Ausführungsform
umfasst die Modulationseinrichtung:
- – einen
Pulsgenerator zur Erzeugung einer periodischen Folge von Modulationspulsen,
und
- – eine
der Freigabesteuereinrichtung nachgeschaltete Modulationsstufe,
welcher das Freigabesignal von der Freigabesteuereinrichtung sowie die
periodische Folge von Modulationspulsen von dem Pulsgenerator eingegeben
wird und welche zumindest bei Vorliegen des zweiten Freigabesignalzustands
das Freigabesignal jeweils für
die Dauer eines Modulationspulses invertiert.
-
In
diesem Fall kann die Auswerteeinrichtung eine der Endstufe vorgeschaltete
Auswertestufe umfassen, welcher das Freigabesignal von der Modulationsstufe
eingegeben wird und welche das eingegebene Freigabesignal hinsichtlich
des Vorliegens der entsprechend der Modulationspulsfolge invertierten Freigabesignalabschnitte
analysiert und bei Vorliegen dieser invertierten Freigabesignalabschnitte
das Freigabesignal an die Endstufe weitergibt und bei Ausbleiben
dieser invertierten Freigabesignalabschnitte die Endstufe in den
vorbestimmten Fehlerfallzustand versetzt.
-
In
einer bevorzugten Ausführungsform
ist die Auswerteeinrichtung derart vorgesehen, dass bei einem Übergang
des eingegebenen Freigabesignals von dem einen zu dem anderen Freigabesignalzustand
das an die Endstufe weitergegebene Freigabesignal erst dann übergehen
gelassen wird, wenn von der Auswerteeinrichtung ausgeschlossen werden kann,
dass der Übergang
des eingegebenen Signals lediglich auf Grund der Modulation erfolgte,
also nicht durch einen entsprechenden Übergang des von der Freigabesteuereinrichtung
bereitgestellten Freigabesignals hervorgerufen wurde. Diese Überprüfung der Auswerteeinrichtung
vor einem Wechsel des ausgegebenen Freigabesignalzustands erfordert
unter Umständen
eine gewisse Zeit, was in der Praxis jedoch oftmals hinnehmbar ist.
Alternativ kann diese in der Regel mit einer Verzögerung verbundene Überprüfung der
Auswerteeinrichtung nur dann vorgesehen sein, wenn das Freigabesignal
vom ersten in den zweiten oder vom zweiten in den ersten Freigabesignalzustand
wechselt.
-
Bevorzugt
ist die Auswerteeinrichtung derart ausgebildet, dass die Modulation
des eingegebenen Freigabesignals entfernt wird, d. h. das an die
Endstufe ausgegebene Freigabesignal keine solche Modulation enthält. Denkbar
ist jedoch auch, die Modulation im Freigabesignal zu belassen, sei
es dass die im zeitlichen Signalverlauf relativ kurzzeitigen Modulationsabschnitte
die Ansteuerung der betreffenden Endstufe nicht wesentlich beeinträchtigen
oder die Modulationen in der Endstufe weggefiltert werden.
-
Der
Pulsgenerator kann zusammen mit der Modulationsstufe z. B. in der Überwachungseinrichtung
integriert vorgesehen sein, also insbesondere zusammen mit den übrigen Schaltungsteilen
der Überwachungseinrichtung
in einer gemeinsamen integrierten Schaltung, die gegebenenfalls
auch den Mikrocontroller einbeziehen kann.
-
Bevorzugt
ist die Freigabesteuereinrichtung in einer Überwachungseinrichtung (wie
etwa dem eingangs erwähnten
Watchdog) integriert, welche den ordnungsgemäßen Betrieb des Mikrocontrollers überwacht
und nur bei Feststellung eines ordnungsgemäßen Betriebs das Freigabesignal
im zweiten Freigabesignalzustand bereitstellt. In vielen Anwendungsfällen, etwa
wenn ein kommerziell erhältlicher Mikrocontrollerchip
verwendet werden soll, ist es von Vorteil, die Überwachungseinrichtung einschließlich der
Freigabesteuereinrichtung und einschließlich wenigstens eines Teils
der Modulationseinrichtung (z. B. ohne den unten noch beschriebenen
Pulsgenerator) in einer gemeinsamen integrierten Schaltung vorzusehen,
die separat von dem Mikrocontrollerchip in einer elektronischen
Baueinheit (Steuergerät)
angeordnet ist.
-
Bevorzugt
ist die Auswerteeinrichtung in einer die Endstufe enthaltenden Endstufeneinrichtung integriert,
also insbesondere in einer gemeinsamen integrierten Schaltung ausgeführt. Abgesehen
von dem Vorteil einer kostengünstigen
Implementie rung der Auswerteeinrichtung, z. B. ohne zusätzliche
elektronische Bauteile, ergibt sich daraus in der Praxis ein weiterer,
ganz wesentlicher Vorteil im Zusammenhang mit einer Überspannungsüberwachung bzw.
im Zusammenhang mit dem "Failsafe"-Verhalten des Gesamtsystems
im speziellen Fehlerfall einer Überspannung.
-
Dieser
Vorteil bedarf einer detaillierteren Erläuterung:
Jegliches Verhalten
der in der Steuereinrichtung verwendeten elektronischen Bauteile
kann nur innerhalb eines begrenzten, technologiebedingten Betriebsbereiches
garantiert werden. Sobald dieser Bereich verlassen wird, z. B. bei
Vorliegen unzulässig
hoher Spannungen an irgendeiner Stelle des Systems, ist jede beliebige
Konfiguration der Freigabesignale vorstellbar.
-
Wenn
die Überwachungseinrichtung
eine gewisse Komplexität übersteigt,
so ist es in der Praxis wirtschaftlich sinnvoll, diese Einrichtung
in einer von den Endstufen, bei denen es sich zumeist um Leistungsendstufen
handelt, verschiedenen Technologie auszuführen, nämlich zweckmäßigerweise
in einer Niedervolt-Technologie (wie z. B. den Mikrocontroller).
-
Wenn
nun diese Überwachungseinrichtung auch
die Aufgabe einer Überspannungserkennung übernimmt,
da die dafür
erforderliche Präzision
in den abzuschaltenden Leistungsendstufen in der Regel nicht erreicht
werden kann, so kann der Fall eintreten, dass der zulässige Spannungsbereich
der Überwachungseinrichtung überschritten
wird, selbst wenn die Endstufe noch in ihrem erlaubten Bereich arbeitet,
so dass ein Übergang
in den gewünschten vorbestimmten
Fehlerfallzustand nicht mehr gewährleistet
werden kann.
-
Wenn
jedoch die Auswerteeinrichtung eine höhere Spannungsfestigkeit besitzt
als der Mikrocontroller bzw. diejenigen Schaltungsteile der Steuereinrichtung,
welche zur Bereitstellung des Freigabesignals erforderlich sind,
also die Auswerteeinrichtung z. B. in einer die Endstufe enthaltenden
Endstufeneinrichtung mit relativ hoher Spannungsfestigkeit integriert
ist, so kann der überspannungsbedingte
Ausfall im Bereich des Mikrocontrollers oder der Überwachungseinrichtung
oder der Freigabesteuereinrichtung dennoch zuverlässig erkannt
werden, solange die Überspannung
nicht einen Ausfall der Endstufeneinrichtung bewirkt. Letzteres
ist jedoch durch entsprechende Dimensionierung der Spannungsfestigkeit
der Endstufe leicht zu gewährleisten,
die in der Praxis ohnehin oftmals zumindest für die Bordnetzspannung des
Fahrzeugs zuzüglich
einer gewissen Sicherheitsreserve ausgelegt werden muss.
-
Die
gemäß der Erfindung
eingesetzte Modulation des Freigabesignals sollte den Normalbetrieb des
Systems möglichst
wenig beeinträchtigen.
In dieser Hinsicht ist es vorteilhaft, wenn die Periode der Modulation
derart vorgegeben wird, dass diese höchstens so groß gewählt ist
wie eine für
die Überwachungseinrichtung
spezifizierte Fehlerreaktionszeit, bevorzugt kleiner als diese Fehlerreaktionszeit. Bei
Steuereinrichtungen für
die Brennkraftmaschine und/oder das Getriebe eines Kraftfahrzeugs
sind in der Regel z. B. Perioden von weniger als 100 ms gut geeignet.
Auch ist es von Vorteil, wenn das Tastverhältnis der Modulation kleiner
als 10% ist, z. B. in der Größenordnung
von 1%. Wenn, wie oben bereits erwähnt, das Freigabesignal von
der Freigabesteuereinrichtung jeweils für die Dauer eines Modulationspulses
invertiert bzw. unterbrochen wird, so sollte die Pulsdauer im Verhältnis zur
Periode also relativ klein gewählt
werden und die Periode selbst ebenfalls für die betreffende Anwendung
kurz genug sein, um unter Betrachtung aller Toleranzen innerhalb
vorgegebener Fehlerreaktionszeiten eine Reaktion der Auswerteeinrichtung
im Fehlerfall zu gewährleisten.
-
Falls
die Auswerteeinrichtung ein Ausbleiben der Modulation und somit
einen Fehlerfall festgestellt hat, so wird z. B. ein im ersten Freigabesignalzustand befindliches
Freigabesignal an die nachfolgende Endstufe oder die nachfolgenden
Endstufen ausgegeben, um eine Aktivierung der gesteuerten Komponenten
zu sperren (wenigstens solange die Modulation ausbleibt und/oder
wenigstens für
eine vorgegebene Zeitdauer). Abhängig
von der Art der gesteuerten Komponenten ist es jedoch nicht grundsätzlich ausgeschlossen,
dass der Fehlerfallzustand, in welchen die Endstufe zu versetzen
ist, gerade darin besteht, die Aktivierung freizugeben. Entscheidend
ist, dass im Falle eines Fehlers, der durch das Ausbleiben der Modulation
detektiert wird, die betreffende Endstufe in einen vorgegebenen
Fehlerfallzustand versetzt wird. Wenngleich es sich bei den meisten Endstufen
anbietet, zu diesem Zweck das Freigabesignal dauerhaft in einen
definierten Zustand zu bringen, so ist es alternativ oder zusätzlich möglich, den Zustand
der Endstufe in anderer Weise gezielt zu beeinflussen, z. B. durch
irgendeine Art von Fehlerfallsignal, wie z. B. einem Resetsignal,
welches für
die betreffende Endstufe vorgesehen ist. Schließlich kann bei Erfassung eines
Fehlerfalles dies auch an andere Schaltungsteile der Steuereinrichtung
gemeldet werden, insbesondere an den Mikrocontroller und/oder eine
Versorgungsspannungseinheit mit Resetfunktionen, die bei Inbetriebnahme
der Steuereinrichtung die einzelnen Einrichtungskomponenten in definierter
Weise zunächst
zurücksetzt
bzw. startet.
-
Die
Erfindung wird nachfolgend anhand eines Ausführungsbeispiels mit Bezug auf
die beigefügten
Zeichnungen näher
beschrieben. Es stellen dar:
-
1 ist
ein schematisches Blockschaltbild eines Motorsteuergeräts zur Steuerung
des Betriebs eines Einspritzmotors eines Kraftfahrzeugs, und
-
2 ist
eine Darstellung des zeitlichen Verlaufs verschiedener, im Motorsteuergerät nach 1 vorkommender
Signale.
-
1 zeigt
wesentliche Komponenten eines insgesamt mit 10 bezeichneten
Motorsteuergeräts für einen
Direkteinspritzmotor eines Kraftfahrzeugs, umfassend einen Mikrocontroller 12 zur
Bereitstellung eines Steuersignals S zur Steuerung der im Betrieb
der nicht dargestellten Brennkraftmaschine zu steuernden Kraftstoffeinspritzanlage,
eine Freigabeeinheit 14 zur Bereitstellung eines digitalen
Freigabesignals b, mittels welchem durch einen ersten logischen
Freigabesignalzustand "Low" (L) eine Sperrung
und durch einen zweiten logischen Freigabesignalzustand "High" (H) eine Freigabe
der Aktivierung der Kraftstoffeinspritzanlage signalisiert wird,
und eine Endstufe 16 zur Aktivierung und Deaktivierung der
zu steuernden Komponente, hier der Kraftstoffeinspritzanlage, basierend
auf dem Steuersignal S unter Berücksichtigung
eines dieser Endstufe 16 eingegebenen Freigabesignals d.
Bei herkömmlichen
Motorsteuergeräten
wird das von der Freigabeeinheit 14 ausgegebene Freigabesignal
b direkt der Endstufe 16 eingegeben bzw. sind die Signale
b und d identisch. Nicht so bei dem dargestellten Steuergerät 10, wie
es unten noch beschrieben wird.
-
Die
Endstufe 16 initiiert eine Kraftstoffeinspritzung durch
Ausgabe von entsprechenden Ansteuersignalen an die verschiedenen
Kraftstoffinjektoren (die am rechten Rand der 1 eingezeichneten
Signalleitungen symbolisieren die Ansteuerung von vier Kraftstoffinjektoren)
nur dann, wenn das der Endstufe 16 eingegebene Freigabesignal
d im H-Zustand ist. Das Einspritztiming und die Einspritzmengen
werden hierbei im Wesentlichen durch das vom Mikrocontroller 12 ausgegebene
Steuersignal S bestimmt. Der Einfachheit der Darstellung halber
ist die Übertragung
des Steuersignals S hier nur durch eine Leitung symbolisiert. Tatsächlich kann
diese Verbindung je nach anzusteuernder Endstufe als kompliziertere
Leitungsanordnung ausgeführt
sein. Des weiteren sind in der Darstellung von 1 alle
Schaltungsteile des Steuergeräts 10 weggelassen,
die zum Verständnis
der Erfindung nicht wesentlich sind und in herkömmlicher Weise gestaltet sein
können
(z. B. Spannungsversorgung(en), Eingangssignale am Mikrocontroller
zur Aufnahme diverser Sensorsignale, die im Rahmen der Fahrzeugkomponentensteuerung
oder Motorsteuerung benötigt
werden).
-
Eine
Besonderheit des dargestellten Steuergeräts 10 besteht in der
Erzeugung, Übertragung
und Verwendung eines besonderen Freigabesignals und wird nachfolgend
anhand der lediglich beispielhaft zu verstehenden Endstufe 16 für eine Kraftstoffeinspritzanlage
erläutert.
Selbstverständlich
weist das Motorsteuergerät 10 in
der Praxis weitere Endstufen zur Steuerung weiterer Fahrzeugkomponenten,
insbesondere Motorkomponenten, auf, für welche die nachfolgend beschriebene
Methode eines besonders "sicheren" Freigabesignals
ebenso eingesetzt werden kann.
-
Eine
aus einer Modulationsstufe 18 und einem Pulsgenerator 20 gebildete
Modulationseinrichtung ist der Freigabeeinheit 14 unmittelbar
nachgeschaltet und sorgt für
eine periodische Modulation des von der Freigabesteuereinrichtung
bereitgestellten Freigabesignals b. Wenn mehrere Freigabeeinheiten,
wie die dargestellte Freigabeeinheit 14 vorgesehen sind,
z. B. in einer Überwachungseinrichtung, so
kann vorteilhaft ein gemeinsamer Pulsgenerator zur Modulation der
einzelnen Freigabesignale verwendet werden.
-
Der
in 2 oberste (erste) Verlauf stellt das vom Pulsgenerator 20 erzeugte
Modulationspulssignal a dar. Dieses Signal a besteht aus einer periodischen
Folge von rechteckigen Modulationspulsen mit einer Periode Tpuls
einer Pulsdauer von tpuls.
-
Der
in 2 zweite Verlauf stellt beispielhaft ein von der
Freigabeeinheit 14 ausgegebenes Freigabesignal b dar, welches
zu einem Zeitpunkt t1 von L auf H wechselt und zu einem Zeitpunkt
t2 wieder zurück
auf L wechselt.
-
Der
Modulationsstufe 18 werden diese Signale a und b eingegeben,
um daraus ein "moduliertes" Freigabesignal c
zu bilden, dessen Verlauf ebenfalls in 2 dargestellt
ist. Daraus ist ersichtlich, dass die Modulationsstufe 18 den
H-Zustand, welcher die Freigabe der Aktivierung der Kraftstoffeinspritzanlage
signalisiert, periodisch durch vergleichsweise kurze Modulationspulse
unterbrochen wird, während
welcher das Signal c gewissermaßen
die Sperrung der Einspritzanlagenaktivierung signalisiert. Im dargestellten
Beispiel erfolgt diese periodische Modulation lediglich in den Signalabschnitten, in
welchen das Signal b im H-Zustand ist.
-
Der
Endstufe 16 unmittelbar vorgeschaltet ist eine Auswertestufe 22,
welche in gleicher Technologie (hier auf demselben Chip) wie die
Endstufe 16 implementiert ist und mit dieser zusammen eine
Endstufeneinrichtung 24 bildet.
-
Das
der Auswertestufe 22 eingegebene Freigabesignal c wird
von der Auswerteeinheit 22 hinsichtlich des Vorliegens
der periodischen Modulation im Signal c analysiert und, vereinfacht
ausgedrückt, nur
dann als Freigabesignal d an die Endstufe 16 weitergegeben,
wenn die Modulation im eingegebenen Signal c detektiert wird. Demgegenüber interpretiert
die Auswertestufe 22 ein Ausbleiben der Modulation als
Fehlerfall und versetzt die Endstufe 16 dann in einen zuvor
definierten Fehlerfallzustand. Beim dargestellten Ausführungsbeispiel
erfolgt dies durch dauerhafte Ausgabe des Freigabesignals d im L-Zustand,
und zwar unabhängig
vom Zustand des Signals c. Damit wird im dargestellten Beispiel,
auch unabhängig
vom Steuersignal S, die Kraftstoffeinspritzung zwangsweise beendet.
-
Der
in 2 unterste Verlauf stellt das an die Endstufe 16 im
ordnungsgemäßen Betrieb
weitergegebene Freigabesignal d dar. Daraus ist ersichtlich, dass
der zum Zeitpunkt t1 stattfindende Signalübergang von L auf H (in Signal
c) nicht unmittelbar an die Endstufe (im Signal d) weitergegeben
wird, sondern erst nach Ablauf einer fest vorgegebenen Anstiegsverzögerung Δt1. Dies
deshalb, weil die Auswerteeinheit 22 im dargestellten Beispiel
zunächst
den Fall ausschließt,
bei welchem dieser Übergang
durch einen "statischen" Fehler im Signal
c (oder der hierfür vorgesehenen Übertragungsleitung)
hervorgerufen wurde. Zu diesem Zweck wird die Zeitdauer Δt1 abgewartet,
um das Eintreffen eines Modulationspulses festzustellen. Nur wenn
dieser Puls auch tatsächlich detektiert
wird, so lässt
die Auswerteeinheit 22 auch das Signal d in den H-Zustand übergehen. Δt1 ist hierbei
geringfügig
größer als
die Pulsperiode Tpuls und fest vorgegeben.
-
In ähnlicher
Weise spiegelt sich der zum Zeitpunkt t2 stattfindende Übergang
im Signal c von H auf L nicht unmittelbar im Ausgangssignal d wider, sondern
erst nach einer gewissen zeitlichen Verzögerung (Abfallsverzögerung Δt2). Dies
deshalb, weil die Auswertestufe 22 im vorliegenden Beispiel
zunächst
den Fall ausschließt,
bei welchem dieser Übergang
lediglich durch das Eintreffen eines Modulationspulses hervorgerufen
wird. Dementsprechend wird die Zeitdauer Δt2 lang gewartet. Nur wenn innerhalb
dieser Zeitdauer das Signal c nicht wieder auf H wechselt, lässt die
Auswertestufe 22 das Signal d auf L übergehen. Auch diese Abfallverzögerung Δt2 ist hier
fest vorgegeben und geringfügig
größer als
die Pulsbreite tpuls.
-
Die
Pulsperiode Tpuls, die Pulsbreite tpuls sowie die "Filterzeiten" Δt1, Δt2 sind entsprechend den relevanten
Systemanforderungen geeignet zu wählen. Das Tastverhältnis (tpuls/Tpuls)
sollte in den meisten Anwendungsfällen möglichst klein sein, z. B. kleiner
als 10%, insbesondere kleiner 1%. Im Hinblick auf kurze Fehlerreaktionszeiten
der Auswertestufe 22 ist andererseits eine möglichst
kurze Periode Tpuls vorteilhaft. Im dargestellten Beispiel für die Kraftstoffeinspritzung
ist z. B. ein Tpuls in der Größenordnung
von etwa 10 ms denkbar.
-
Die
Auswertestufe 22 kann beispielsweise einen H-Zustand (enable)
oder L-Zustand (disable) des Signals d bewirken anhand von bestimmten
Kriterien:
- – Das Signal c ist im H-Zustand
und ein erster Modulationspuls von voller Länge (Pulsbreite tpuls) wird
daraufhin erfasst. (→ enable)
- – Das
Signal c ist länger
als die maximal zu erwartende Pulsbreite im L-Zustand. (→ disable)
- – Das
Signal c ist im H-Zustand und innerhalb des doppelten der zu erwartenden
Periode Tpuls bleibt ein Modulationspuls aus. (→ disable)
- – Das
Signal c besitzt einen undefinierten Pegel. Dies kann z. B. durch
eine Unterspannung im Bereich der Freigabesignalerzeugung hervorgerufen werden.
(→ disable)
-
Für die meisten
Anwendungen ist es bevorzugt, dem Übergang nach L (disable) Priorität gegenüber dem Übergang
nach H (enable) einzuräumen.
-
In
einer denkbaren Weiterbildung kann vorgesehen sein, dass die Auswertestufe 22 bei
Erfassung von Pulsen im Signal auch den zeitlichen Abstand aufeinanderfolgender
Pulse daraufhin überprüft, ob dieser
im Einklang mit der vorgegebenen Modulationsperiode steht. Damit
kann eine ordnungsgemäße Modulationspulsfolge
z. B. von einer durch eine Störung
hervorgerufenen Pulsfolge genauer abgegrenzt werden.
-
In
an sich bekannter Weise ist die Freigabeeinheit 14 in einer Überwachungseinrichtung 26 enthalten,
welche über
eine Kommunikationsverbindung 28 mit dem Mikrocontroller 12 kommuniziert,
um insbesondere dessen ordnungsgemäßen Betrieb zu überwachen
und abhängig
vom Ergebnis dieser Überwachung
z. B. das Freigabesignal b entsprechend zu setzen.
-
Im
dargestellten Beispiel besitzt die Auswertestufe 22 auf
Grund deren mikroelektronischer Integration im Bereich der Endstufeneinrichtung 24 eine im
Vergleich zum Mikrocontroller 12 und/oder zur Überwachungseinrichtung 26 technologiebedingt
relativ hohe Spannungsfestigkeit (z. B. 36V). Die Auswertestufe 22 kann
daher vorteilhaft auch dann noch zuverlässig Fehlerfallmaßnahmen
treffen, insbesondere die Endstufe 16 sperren bzw. abschalten,
wenn Schaltungsteile des Steuergeräts 10 durch eine Überspannung
beeinträchtigt
oder zerstört
wurden, die an der Bereitstellung des Freigabesignals beteiligt
sind. Das Failsafe-Verhalten des Gesamtsystems ist daher auf Grund
der Modulation nicht nur besonders zuverlässig sondern gewissermaßen autonom, was
einen durch Überspannung
hervorgerufenen Ausfall von Logikbausteinen wie dem Mikrocontroller anbelangt.
Die zusätzliche
Logik in der Endstufeneinrichtung 24 führt zu einer automatischen,
dauerhaften Abschaltung der Endstufe 16, sobald ein statischer
Zustand des Abschaltpfades erkannt wird, welcher das Signal c überträgt. Bei
der beschriebenen Lösung
muss die geforderte Dynamik nur im fehlerfreien Systembetrieb erzeugt
werden, so dass ein eingeschränkter
Betriebsmodus ermöglicht
wird, wenn lediglich der Abschaltpfad fehlerhaft ist, nicht jedoch
die Kontrolllogik. Im Fehlerfall verhält sich die Endstufe unter
den kritischen Betriebsbedingungen wie hierfür spezifiziert.
-
Vorteilhaft
ergibt sich eine Absicherung des Freigabe- bzw. Abschaltsignals
von der Ansteuerung eines Signaltreibers in der Freigabesteuereinrichtung bis
hin zum Auslesen dieses Signals durch einen Eingangskomparator einer
Leistungsendstufe (d. h. beispielsweise vollständig von einem IC zu einem
anderen IC). Nur die Funktion selbst innerhalb der Leistungsendstufe
(im Fehlerfall) ist sicherzustellen. Die erfindungs gemäße Lösung deckt
jegliche Grundursache für
einen fehlerhaften Abschaltpfad ab. Zur Realisierung sind zusätzliche,
insbesondere diskrete zusätzliche
Bauteile, nicht zwingend erforderlich, was günstig hinsichtlich der Kosten
und der Ausfallrate ist. Die Wirksamkeit der Absicherung im Betrieb kann
kontinuierlich gewährleistet
werden, wobei gewisse Logikfunktionen nutzbar bleiben können, sofern
nur eine Abschaltleitung defekt ist. Die erfindungsgemäße Lösung kann
seitens der Überwachungseinrichtung
bzw. eines Überwachungsmoduls abwärtskompatibel
zu herkömmlichen
Endstufen realisiert werden (gegebenenfalls mit geringfügigen Anpassungsmaßnahmen).
Eine Rückkehr
von einem unerlaubten in einen erlaubten Betriebsbereich der Überwachungseinrichtung ändert nichts
an der Effektivität
der gemäß der Erfindung
realisierten Abschaltung hinsichtlich des Abschaltpfads.
-
Zusammenfassend
wird bei der Steuerung des Betriebs einer Brennkraftmaschine unter
Verwendung eines Mikrocontrollers mit zugeordneten Endstufen zur
Ansteuerung von Motorkomponenten einer Endstufe neben dem eigentlichen
Steuersignal auch ein digitales Freigabesignal zugeführt, mittels welchem
je nach Signalzustand eine Sperrung oder eine Freigabe der Endstufe
signalisiert wird. Im Falle eines Fehlers im Bereich des Mikrocontrollers
kann die Endstufe damit abgeschaltet werden. Durch eine Modulation
des Freigabesignals und die Auswertung des zur Endstufe hin geführten Freigabesignals
wird sichergestellt, dass ein Fehler im Bereich der Freigabesignalerzeugung
und/oder Freigabesignalübertragung
anhand des Ausbleibens der Modulation erkannt wird und die Endstufe
im Fehlerfall sehr zuverlässig
abgeschaltet werden kann.