-
Stand der
Technik
-
Die
Erfindung geht aus von einer Vorrichtung zur Ansteuerung von Personenschutzmitteln
mit einem Sicherheitsbaustein nach der Gattung des unabhängigen Patentanspruchs.
-
Aus
DE 100 57 916 A1 ist
bereits ein Steuergerät
für ein
Rückhaltesystem
in einem Fahrzeug bekannt, bei dem ein Sicherheitsschalter vorgesehen ist,
der u.a. Sensorsignale verarbeiten kann, aber auch einen Watchdog
aufweist, um den Prozessor im Steuergerät zu überwachen. Der Watchdog sorgt
für eine
Sperrung, wenn der Watchdog selbst durch den Mikroprozessor falsch
bedient wird.
-
Vorteile der
Erfindung
-
Die
erfindungsgemäße Vorrichtung
zur Ansteuerung von Personenschutzmitteln mit den Merkmalen des
unabhängigen
Patentanspruchs hat demgegenüber
den Vorteil, dass nunmehr nach einer korrekten Bedienung des Watchdogs
ein Zeitfenster für sehr
kurze Zeit geöffnet
wird, so dass dann Zündbefehle
an eine Endstufenlogik durchgelassen werden. Dadurch wird die Zeit,
in der ein fehlerhafte Mikrocontroller oder eine fehlerhafte Software
auf die Zündendstufen
durchgreifen kann, auf die Länge
des gewählten
Zeitfensters minimiert. Dieses Zeitfenster oder dieser Zeitraum
kann beispielsweise 50 bis 100 μs
lang sein. Das Zeitfenster, in dem der Mikrocontroller in einem
unbekannten Zustand arbeitet, wird durch die erfindungsgemäße Vorrichtung
erheblich verkleinert.
-
Durch
die in den abhängigen
Ansprüchen aufgeführten Maßnahmen
und Weiterbildungen sind vorteilhafte Verbesserungen der im unabhängigen Patentanspruch
angegebenen Vorrichtung zur Ansteuerung von Personenschutzmitteln
möglich.
-
Besonders
vorteilhaft ist, dass die Zündendstufe
die Lowside-Zündendstufe
ist. Die Zündendstufen
bestehen aus einer Highside und einer Lowside. Dies hat jedoch keinen
Einfluß auf
die Abschaltung bei einem Watchdogfehler. Bei einer Watchdogfehlbedienung
werden beide Seiten der Zündendstufe gesperrt.
Da der Sicherheitsbaustein einerseits auch die Sensorwerte überwacht
und dies parallel zum Mikrocontroller als dem Prozessor durchführt, wird
die Highside-Zündendstufe
in Abhängigkeit
von der Auswertung dieser Sensorwerte durch den Sicherheitsbaustein
freigegeben. Die Lowside Endstufen sind immer freigegeben, solange
kein Watchdogfehler erkannt wird. Die Freigabe der Endstufen darf
jedoch nicht mit dem „Durchschalten" der Endstufe zur
Zündung
verwechselt werden. Daher ist es vorteilhaft, die Lowside-Endstufe
in Abhängigkeit
von der Watchdogauswertung freizugeben. Ein Watchdog funktioniert hier
so, dass der Watchdog dem Mikrocontroller Aufgaben bzw. Fragen zur
Auswertung gibt und der Mikrocontroller innerhalb einer bestimmten
Zeit eine Antwort zum Sicherheitsbaustein übertragen muss, die dieser überprüft. Ist
die Antwort korrekt, erfolgt die erfindungsgemäße Freigabe, ist die Antwort
nicht korrekt, erfolgt keine Freigabe. Highsideendstufen sind zwischen
der Spannungsversorgung, üblicherweise
eine Energiereserve, und dem Zündelement als
Schalter geschaltet, während
Lowsideendstufen zwischen dem Zündelement
und Masse geschaltet sind.
-
Weiterhin
ist es vorteilhaft, dass der Sicherheitsbaustein mit einem Timerbaustein
zur Bestimmung des Zeitfensters verbunden ist, wobei der Timerbaustein
mit einem Logikbaustein zur Ansteuerung der Zündendstufen verbunden ist.
Der Timerbaustein dient also um das Zeitfenster zu triggern und
er bestimmt auch die Zeit. In einer Weiterbildung ist vorgesehen,
dass durch ein Signal, das an die Zündkreisansteuerung angelegt
wird, der Timerbaustein, der Element dieser Zündkreisansteuerung ist, dahingehend
beeinflusst wird, dass das Zeitfenster in seiner zeitlichen Länge verändert wird.
Der Timerbaustein muß unabhängig vom
Systemtakt sein, um einen Timingfehler des Controllers zu detektieren. Die
beschriebene Variabilität
des Zeitfensters ist notwendig, um die Freigabezeit zur Zündung der
Endstufen auf die jeweilige Applikation anzupassen. Nach momentanen
Kenntnissen genügen
im 100μs auf
jeden Fall. Man will jedoch vorbereitet sein.
-
Darüber hinaus
ist es vorteilhaft, dass die Vorrichtung in Zyklen betrieben wird,
wobei in jedem Zyklus vom Prozessor und dem Sicherheitsbaustein die
Sensorwerte zur Bestimmung einer Ansteuerungsentscheidung für die Personenschutzmittel
eingelesen und ausgewertet werden und der Prozessor durch den Sicherheitsbaustein
mittels einer Watchdogfunktion überwacht
wird. Beispielsweise wird dieser Zyklus alle 500 μs gestartet
und die angegebenen Aufgaben werden von den beteiligten Geräten erledigt.
Damit kommt es zu einer laufenden Überprüfung des Prozessors durch die
Watchdogfunktion des Sicherheitsbausteins.
-
Weiterhin
ist es vorteilhaft, dass der Prozessor die Frage bzw. die Aufgabe
in mehreren Stufen bearbeitet, wobei der Sicherheitsbaustein als
Frage ein Testwort zum Prozessor überträgt und dieser dieses Testwort
mehreren Modifikationen unterzieht, die in Stufen abgearbeitet werden.
Nach einer vorgegebenen Anzahl von Stufen überträgt der Prozessor an den Sicherheitsbaustein
eine erste Antwort zurück und
in Abhängigkeit
von dieser ersten Antwort gibt der Sicherheitsbaustein die wenigstens
eine Zündendstufe
für das
vorgegebene Zeitfenster frei. Der Sicherheitsbaustein gibt die Logik
des Zündendstufen
ASICs frei, erst dadurch kann ein Zündbefehl empfangen und richtig
interpretiert werden. Aber auch nach dem Versenden dieser Antwort
verarbeitet der Prozessor das Testwort in weiteren Stufen weiter und überträgt die dann
daraus entstehende Antwort zu Beginn des nächsten Zyklusses an den Sicherheitsbaustein.
-
Die
erste Antwort innerhalb eines Zyklus dient nur dazu, das Freigabefenster
zur Annahme des Zündbefehls
zu aktivieren. Die zweite Antwort dient dazu, den zeitgesteuerten
Watchdog innerhalb des erwarteten Zeitrahmens mit der richtigen
Antwort zu bedienen. Ist diese Antwort falsch, oder kommt zu spät, werden
alle Zündkreise
gesperrt. Teil eins der Antwort greift auf die Logik zu, Teil zwei
auf die Endstufen.
-
Zeichnung
-
Ausführungsbeispiele
der Erfindung sind in der Zeichnung dargestellt und werden in der
nachfolgenden Beschreibung näher
erläutert.
-
Es
zeigen
-
1 ein
Blockschaltbild der erfindungsgemäßen Vorrichtung,
-
2 ein
Flussdiagramm,
-
3 ein
Zeitdiagramm.
-
Beschreibung
-
Es
ist bekannt, dass eine oder mehrere Watchdogfunktionen die korrekte
Funktion eines Prozessors, beispielsweise eines Mikrocontrollers, überwachen
und dabei insbesondere den Softwareablauf in bestimmten Zeitrastern.
Eine Fehlbedienung der Watchdogfunktion würde zu einer Verriegelung der Zündendstufe
und zu einem Reset des Mikrocontrollers führen. Beispielsweise wird der
Watchdog bestenfalls jede Millisekunde bedient. Wird innerhalb dieser
Millisekunde der korrekte Programmablauf im Mikrocontroller gestört oder
ein defekter Mikrocontroller tritt auf, kann eine unerwünschte Zündung von
Personenschutzmitteln wie Airbags, Gurtstraffer oder Überrollbügeln vorkommen.
Erfindungsgemäß wird das
Zeitfenster, in dem der Mikrocontroller in einem unbekannten Zustand
arbeitet, erheblich verkleinert.
-
Der
wesentliche Unterschied der Erfindung zu der bestehenden Vorgehensweise
besteht darin, dass bisher die Zündendstufen
gesperrt wurden, wenn ein Watchdogfehler erkannt wurde. Nunmehr wird
vorgeschlagen, dass nur nach einer korrekten Bedienung des Watchdogs
ein Zeitfenster für
eine sehr kurze Zeit, wie 50 bis 100 ms geöffnet wird, das die Zündbefehle
an die Endstufenlogik durchlässt. Dadurch
wird die Zeit, in der ein fehlerhafter Mikrocontroller oder eine
fehlerhafte Software auf die Zündendstufen
durchgreifen kann, auf die Länge
des gewählten
Zeitfensters minimiert.
-
1 zeigt
ein Blockschaltbild der erfindungsgemäßen Vorrichtung. Ein Mikrocontroller 100 als
Prozessor ist über
einen SPI (Serial Peripherial Interface) Bus 101 mit einem
Sicherheitsbaustein 102 und einer Zündkreisansteuerung 105 verbunden. Sowohl
der Sicherheitsbaustein 102, als auch die Zündkreisansteuerung 105 können jeweils
als ASIC ausgeführt
sein. Es ist jedoch möglich,
dass diese beiden Elemente aus diskreten Bausteinen aufgebaut sind.
Anstatt des SPI-Busses 101 können auch andere Verbindungen
Bus- oder Punkt-zu-Punkt-Verbindungen verwendet werden. Der Mikrocontroller 100 kann
auch durch einen Mikroprozessor oder eine andere Hardware ersetzt
werden, die die gleichen Funktionen ausführt. Die Zündkreisansteuerung 105 weist
einen Timer für
die Freigabe der Zündendstufen 111 auf,
eine Logik 109 für
die Ansteuerung der Zündendstufen
und eine Test- und Messlogik der Zündendstufen 110. Darüber hinaus
sind in der Zündkreisansteuerung 105 wenigstens
eine High-Side-Endstufe 107 und
eine Low-Side-Endstufe 106 vorgesehen. Diese Endstufen
können
auch entsprechend als Plus- und Minusendstufe bezeichnet werden.
Je nach Anzahl von angeschlossenen Zündelementen können mehr
als ein Endstufentransistorpaar vorgesehen sein.
-
An
die Zündendstufen 107 und 106 ist
außerhalb
der Zündkreisansteuerung 105 ein
Zündelement 108 angeschlossen.
Der SPI-Bus 101 ist neben dem Sicherheitsbaustein auch
mit der Zündkreisansteuerung
verbunden, wobei innerhalb der Zündkreisansteuerung
der SPI-Bus 101 mit dem Timer für die Freigabe der Zündsequenz 111 und
der Test- und Messlogik der Zündendstufen 110 verbunden
ist. Der Timer 111 ist weiterhin mit der Logik für Ansteuerung der
Zündendstufen 109 verbunden,
die wiederum mit den Zündendstufen 106 und 107 verbunden
ist. Der Timer ist weiterhin über
eine Leitung mit dem Sicherheitsbaustein 102 verbunden. Über diese
Leitung steuert der Sicherheitsbaustein 102 den Timer 111, wenn
der Sicherheitsbaustein, und zwar dessen Watchdog vom Mikrocontroller 100,
wie oben dargestellt, entsprechend korrekt bedient wurde. Dies geschieht über die
Leitung 104.
-
Der
Sicherheitsbaustein 102 ist weiterhin über die Leitungen DIS_AHP und
die Leitung DIS_ALP jeweils mit der Highside-Endstufe 107 und der
Lowside-Endstufe 106 in der Zündkreisansteuerung 105 verbunden,
um diese individuell freizugeben. Erkennt der Sicherheitsbaustein 102 durch
die Auswertung von Sensorwerten, dass die Sensorwerte so hoch sind,
dass ein Crash sehr wahrscheinlich ist, dann wird über die
Leitung DIS_AHP die Highside-Endstufe 107 freigegeben und über die
Leitung DIS_ALP die Lowside-Endstufe 106. Diese Freigabe erfolgt,
wenn der Watchdog korrekt bedient wurde. Bei einer Fehlbedienung
wird die Lowside-Endstufe 106 gesperrt. Der Sicherheitsbaustein 102 gibt über die
Leitung 104 den Timer 111 und die Zündkreisansteuerung 105 für ein bestimmtes
Zeitfenster von beispielsweise 50 bis 100 μs frei. Nur dann können Zündbefehle,
die vom Mikrocontroller 100 kommen, und zwar über den
SPI-Bus 101, zur Logik 109 für Ansteuerung der Zündendstufen
durchkommen.
-
Der
Timer 111 wirkt daher wie eine Art Ventil. In der Logik 109 werden
die Zündendstufen,
die angesteuert werden sollen, und die Zünddauer festgelegt.
-
Die
Test und Meßlogik
steuert und kontrolliert die Messung der Zündkreise sowie die Tests der
Zündendstufen.
Dadurch wird die Qualität
der Zündkreise
und der endstufen dauernd kontrolliert.
-
Das
Flussdiagramm in 2 erläutert einen detaillierten Ablauf
der erfindungsgemäßen Vorrichtung.
In Verfahrensschritt 200 beginnt das Verfahren, das alle
500 μs durch
ein Timerinterrupt zyklisch gestartet wird.
-
Dieser
Timer ist ein vom Prozessortakt erzeugtes Signal mit 500μs Abstand,
das den Start des Zyklus initiiert.
-
In
Verfahrensschritt 200 werden auch erste Funktionen aktiviert,
die den Einsprung in den Zyklus bedeuten. In Verfahrensschritt 201 sendet
der Prozessor 100 über
den SPI-Bus 101 an
den Sicherheitsbaustein 102 eine Antwort auf die im letzten
Zyklus gestellte Frage des Sicherheitsbausteins 102, wobei
diese Antwort acht Stufen der Berechnung erfahren hat. Bei dem Wort
handelt es sich beispielsweise um ein 8 Bit langes Wort. In Verfahrensschritt 202 erfolgt
dann die erste Anwendung einer Watchdog-Berechnungsfunktion, um das Testwort
zu modifizieren. In Verfahrensschritt 203 lesen der Mikrocontroller 100 und
der Sicherheitsbaustein 102 Sensorwerte von zentralen Beschleunigungssensoren,
die also im Steuergerät
zentral angeordnet sind. In Verfahrensschritt 204 erfolgt
die zweite Stufe der Modifikation des Testworts. In Verfahrensschritt 205 werden
die Sensorwerte von externen Sensoren, also beispielsweise in den
Seitenteilen des Fahrzeugs, wie der A-, B- oder C-Säule oder
den Türen
oder dem Sitzquerträger
angebrachten Beschleunigungssensoren ausgewertet. Aber auch sogenannte
Upfrontsensoren und Heckbeschleunigungssensoren können hier
eingelesen werden.
-
In
Verfahrensschritt 206 erfährt das Testwort die dritte
Stufe der Modifikation. In Verfahrensschritt 207 werden
die Sensorwerte, die auf einen Analogeingang übertragen wurden, digitalisiert,
gelesen und in einem Pufferspeicher abgespeichert. In Verfahrensschritt 208 erfolgt
die vierte Stufe der Modifikation. In Verfahrensschritt 209 wird
der Algorithmus zur Auswertung der Sensorwerte gestartet und bestimmt,
ob die Auslösung
der Rückhaltemittel
erfolgen soll. Dazu werden die im Pufferspeicher gespeicherten Sensorwerte
verwendet. Üblicherweise
wird bei einem solchen Algorithmus eine variable Schwelle, beispielsweise
für integrierte
Beschleunigungssignale, verwendet. In Verfahrensschritt 210 erfolgt
die fünfte
Stufe der Modifikation. In Verfahrensschritt 211 wird bestimmt,
welche Schutzmittel im Falle der Auslöseentscheidung ausgelöst werden
sollen. Hier spielen beispielsweise auch Sensorwerte von einer Innenraumsensierung
eine Rolle. In Verfahrensschritt 212 erfolgt die sechste
Stufe der Modifikation, wobei hier dann in Verfahrensschritt 213 das
Ergebnis der sechsten Stufe als zweite Antwort an den Sicherheitsbaustein 102 übertragen
wird. Ist diese Antwort korrekt, dann gibt, wie oben dargestellt,
der Sicherheitsbaustein 102 über die Leitung 104 den
Timer 111 für
das Zeitfenster frei. In Verfahrensschritt 214 sendet dann
der Mikroprozessor 100 über
den SPI-Bus 103 den Feuerbefehl an die Zündkreisansteuerung 105,
die dann über
den Timer an die Logik zur Ansteuerung der Zündendstufen 109 geleitet wird,
um dort ausgewertet zu werden, so dass dann die entsprechenden Zündendstufen
angesteuert werden. In Verfahrensschritt 215 erfolgt die
Modifikation nach der siebten Stufe und in Verfahrensschritt 216 wird
ein Powermanagement durchgeführt.
Dabei wird die Batteriespannung überwacht.
-
In
Verfahrensschritt 217 erfolgt die achte Stufe und in Verfahrensschritt 218 endet
das Verfahren.
-
In 3 soll
noch einmal durch ein Zeitdiagramm, wobei auf der Abszisse die Zeit
eingetragen wird, und auf der Ordinate die Aktion, dargestellt werden,
was im Einzelnen abläuft.
Im Zeitabschnitt 300 erfolgt der Start und die Initialisierung
der Komponenten sowie das Übertragen
des ersten Antwortwertes, der am Ende des ersten Zyklusses abgespeichert wurde.
Dann laufen parallel die einzelnen Stufen 302 der Modifikation
des Testwortes ab und dazu parallel das Einlesen der Sensoren aus
Zentralsensoren 301, von peripheren Sensoren 303,
die A/D-Wandlung 304, der Start und Durchführung des
Auslösealgorithmus 305,
die Bestimmung der Schutzmittel 306 sowie die Übertragung
der zweiten Antwort und im Zeitabschnitt 307 die Übertragung
des Feuerbefehls, der im Zeitfenster übertragen werden muss, in dem der
Timer durch den Sicherheitsbaustein 102 freigegeben wird.
In Verfahrensschritt 308 wird das Powermanagement durchgeführt und
endet dann mit der letzten Stufe, nämlich der achten.
-
Die
Anzahl der Stufen ist beliebig, es ist auch möglich, die zweite Antwort beispielsweise
bereits nach der vierten Stufe zum Sicherheitsbaustein 102 zu übertragen.