DE102006011138B4

DE102006011138B4 - Verfahren zur Funktionsprüfung einer Baugruppe

Info

Publication number: DE102006011138B4
Application number: DE102006011138.9A
Authority: DE
Inventors: Wolfgang Fey; Lothar Weichenberger
Original assignee: Continental Automotive Technologies GmbH
Current assignee: Continental Automotive Technologies GmbH
Priority date: 2006-01-16
Filing date: 2006-03-10
Publication date: 2022-09-29
Anticipated expiration: 2026-03-11
Also published as: DE102006011138A1

Abstract

Verfahren zur Funktionsprüfung einer Baugruppe (1), wobei zumindest ein Zustandsparameter (x.1, x.2) erfasst und eine Regel vorgegeben ist, anhand der eine korrekte Funktionsweise der Baugruppe erkannt wird, wobei der Funktionsprüfung zu einem vorgegebenen Zeitpunkt ein Fehlerzustandsparameter (8.3.1, 8.3.2), der einer fehlerhaften Funktionsweise der Baugruppe entspricht, zugeführt und dabei geprüft wird, ob anhand der Regel der Fehler erkannt wird.

Description

Bei den heutigen Beschleunigungsaufnehmern werden zum Nachweis der Funktionalität desselben im Regelfall bei der Inbetriebnahme (Power On / Zündschlüssel passiv ➜ aktiv) durch eine initiierte Testphase geprüft, ob der Beschleunigungsaufnehmer ein auf eine Testanregung an einem dafür vorgesehenen Eingang am Ausgang ein entsprechendes erwartetes Signal zeigt/erzeugt, um aufgrund dessen Form und Amplitude auf die korrekte Funktionalität, insbesondere den Verstärkungsfaktor und Filtereigenschaften, des Beschleunigungssensors schließen zu können.
Diese Tests werden derzeit nur während der Selbsttestphase des Systems durchgeführt, da bei einer Überprüfung während des zyklischen Betriebs des Sensors (Fahrbetrieb des Kraftfahrzeugs) die am Ausgang entstehenden Signale von dem nachgeschaltetem µC (Berechnungseinheit außerhalb des Sensors) bzw. Auswerteeinheit (Algorithmus) irrtümlicherweise als Crashsignal interpretiert werden könnten / würden.
Damit auch eine Überwachung während des Betriebs des Sensors (Fahrbetrieb des Kraftfahrzeugs) ermöglicht wird, um unmittelbar auch während des aktiven Einsatzes des Systems (Fahrbetriebs) auf einen sporadisch auftretenden Fehler im Beschleunigungsaufnehmer reagieren zu können, ohne dass der Fehler somit eine unerwünschte Reaktion des Systems hervorrufen kann oder unbemerkt bleibt, wird dazu übergegangen, dass die Signalpfade redundant, insbesondere invertiert und nicht-invertiert abgebildet werden, um mittels entsprechender Vergleichsschaltungen Abweichungen, infolge möglicher Fehler, erkennen zu können.
Aufgabe der Erfindung ist es, eine weitere Erhöhung der Sicherheit bei der Funktionsprüfung einer Baugruppe zu erreichen. Diese Aufgabe wird durch die Merkmale von Anspruch 1 gelöst. Vorteilhafte Weiterbildungen sind den Unteransprüchen zu entnehmen.
Es wird erfindungsgemäß vorgeschlagen, dass auch diese Vergleichsschaltung/Testeinrichtungen ihrerseits auch wieder testbar auszuführen ist bzw. auf eine korrekte Funktion überprüft wird.
Der Funktionsprüfung wird dazu zu einem vorgegebenen Zeitpunkt ein Fehlerzustandsparameter zugeführt, der einer fehlerhaften Funktionsweise der Baugruppe entspricht, und dabei geprüft, ob anhand der Regel der Fehler erkannt wird.
So werden bspw. Prüfbits für Speicherbereiche oder Wechselbits gezielt verändert. Bei einer redundant ausgebildeten Signalverarbeitungseinrichtung erfolgt dies beispielsweise, indem der Vergleichsschaltung auf den redundanten Signalpfaden einander nicht entsprechende, also fehlerhafte Signale eingeprägt werden, um zu prüfen, ob diese Irregularität von der Vergleichsschaltung/Testeinrichtungen auch tatsächlich als Fehler erkannt wird.
Vorzugsweise können diese einander nicht entsprechenden Signale nicht nur unmittelbar vor der Vergleichsschaltung, sondern an definierten Stellen der Signalkette eingeprägt werden, um so auch die entsprechenden Abschnitte der Signalkette und die Reaktion der Vergleichsschaltung an den einzelnen Abschnitten mit zu prüfen.
Als Testeinrichtungen von Sensoren finden sich beispielsweise wie oben andiskutiert, Vergleicher zwischen zwei Signalpfaden, Prüfbits wie Paritätsbits oder CRC-Checksumme bei gespeicherten oder übertragenen Daten. Ebenso bedürfen die Datenregister einer kontinuierlichen Funktionsprüfung. Der Inhalt eines Speicherbereichs wird also mit zumindest einem Prüfbit überprüft und zu einem vorgegebenen Zeitpunkt das bzw. die Prüfbits oder der Inhalt des Speicherbereichs im Sinne eines Fehlerzustands verändert und dabei geprüft, ob anhand der Regel der Fehler erkannt wird.
Beim Vergleicher sind dazu zu definierten, dem System bekannten oder von einem überlagerten System initiierten Testzeitpunkten gezielt Daten anzulegen, die eine Ungleichheit darstellen und somit ein Fehlersignal auslösen müssen, wobei dieses überwacht wird.
Analog hierzu ist auch mit den Prüfbitmechanismen zu verfahren, wobei zu den oben beschriebenen Zeitpunkten Datenworte mit fehlerhafter Prüfsumme aufzubringen sind und dabei der Fehlererkennungsmechanismus zu bewerten ist.
Die Funktionalität von Datenregistern ist ergänzend hierzu optional noch mit „Toggle Bits“ zu überwachen. Somit kann sichergestellt werden, dass es zu keinem Mehrfachlesen des immer gleichen Datums kommt. Zur Überprüfung ist wiederum zu den oben beschriebenen Zeitpunkten ein festhalten von Toggle-Informationen vorzusehen und die Systemreaktion (Fehlererkennung) zu überwachen. Hierbei wird also für einen Lese- und/oder Schreibzugriff auf einen Speicherbereich; insbesondere ein Register, zumindest ein Wechselbit oder ein Zähler vorgesehen und mit jedem Lese- und/oder Schreibzugriff dieses Wechselbit oder der Zähler verändert. Bei einem nachfolgenden Lese- und/oder Schreibzugriff wird anhand einer Regel geprüft, ob der Lese- und/oder Schreibzugriff zulässig ist, also bspw. der auszulesende Wert neu ist und noch nicht zuvor ausgelesen wurde. Analog könnte ein Überschreiben eines unausgelesenen Wertes verhindert werden. Zur Funktionsprüfung wird dabei zu einem vorgegebenen Zeitpunkt das Wechselbit oder der Zähler im Sinne eines Fehlerzustands verändert und dabei geprüft, ob die Regel den Fehler erkennt.
Die Erfindung soll nachfolgend noch anhand eines Ausführungsbeispiels und einer Figur näher erläutert werden.
1 zeigt eine redundante Signalverarbeitung für ein Sicherheitssystem in einem Kraftfahrzeug, bei dem Sensordaten, hier Beschleunigungsdaten, redundant, hier nämlich als nichtinvertierte (x.1=X) und invertierte Daten (x.2= x.1) verarbeitet und die Ergebnisse in der Signalverarbeitungskette miteinander verglichen werden. Zum Test dieser Testfunktion ist eingangsseitig die Möglichkeit der Unterbrechung der normalen Signalzufuhr und Einspeisung gezielt nicht einander entsprechender Testdaten (x.1 (Test) ≠ x.2(Test)) vorgesehen. Darüber hinaus kann noch an weiteren Stellen in der Signalverarbeitungskette eine solche Einspeisung erfolgen, wie durch 8.3.1 und 8.3.2 zum Test des Signalvergleichs nach Tiefpassfilterung (2.3.1/2.3.2) skizziert ist.

Claims

Verfahren zur Funktionsprüfung einer Baugruppe (1), wobei zumindest ein Zustandsparameter (x.1, x.2) erfasst und eine Regel vorgegeben ist, anhand der eine korrekte Funktionsweise der Baugruppe erkannt wird, wobei der Funktionsprüfung zu einem vorgegebenen Zeitpunkt ein Fehlerzustandsparameter (8.3.1, 8.3.2), der einer fehlerhaften Funktionsweise der Baugruppe entspricht, zugeführt und dabei geprüft wird, ob anhand der Regel der Fehler erkannt wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der Inhalt eines Speicherbereichs mit zumindest einem Prüfbit überprüft wird und zu einem vorgegebenen Zeitpunkt das bzw. die Prüfbits oder der Inhalt des Speicherbereichs im Sinne eines Fehlerzustands verändert und dabei geprüft wird, ob anhand der Regel der Fehler erkannt wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass für einen Lese- und/oder Schreibzugriff auf einen Speicherbereich, insbesondere ein Register, zumindest ein Wechselbit oder ein Zähler vorgesehen ist und mit jedem Lese- und/oder Schreibzugriff dieses Wechselbit oder der Zähler verändert und bei einem nachfolgenden Lese- und/oder Schreibzugriff anhand einer Regel geprüft wird, ob der Lese- und/oder Schreibzugriff zulässig ist und zur Funktionsprüfung zu einem vorgegebenen Zeitpunkt das Wechselbit oder der Zähler im Sinne eines Fehlerzustands verändert und dabei geprüft wird, ob die Regel den Fehler erkennt.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass eine Signalverarbeitungseinrichtung (1) mit zumindest zwei zueinander redundanten Signalverarbeitungskanälen (2.i.1, 2.i.2; i=1,2,3...) vorgesehen ist, wobei das Eingangssignal in den redundanten Signalverarbeitungskanälen über jeweils zumindest einen Signalverarbeitungsschritt (2.i.1, 2.i.2; i=1,2,3...) verarbeitet und in einem Vergleicher (2.7) zumindest die Ausgangssignale eines Signalverarbeitungsschritts der redundanten Signalverarbeitungskanäle miteinander anhand vorgegebener Regeln verglichen werden, dadurch gekennzeichnet, dass zur Funktionsprüfung zu einem vorgegebenen Zeitpunkt einem der Signalverarbeitungskanäle (8.3.1, 8.3.2) ein von den vorgegebenen Regeln abweichendes Fehlersignal zugeführt und dabei geprüft wird, ob bei einem Vergleich anhand der vorgegebenen Regeln ein Fehler erkannt wird.
Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass das Fehlersignal anstelle eines Ausgangssignals unmittelbar dem Vergleicher zugeführt wird.
Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass das Fehlersignal einem Eingang eines Signalverarbeitungsschritts eines ausgewählten Signalverarbeitungskanals zugeführt wird, zumindest diesen einen Signalverarbeitungsschritt durchläuft und das auf das Fehlersignal entstehende Ausgangssignal dem Vergleicher zugeführt wird.
Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass in den zueinander redundanten Signalverarbeitungskanälen eine Mehrzahl von identischen Signalverarbeitungsschritten redundant durchgeführt werden, wobei nach jedem Signalverarbeitungsschritt ein Zwischenvergleich des Ausgangssignals jedes Signalverarbeitungsschritts jedes Signalverarbeitungskanals gemäß den vorgegebenen Regeln erfolgt und an zumindest zwei vorgegebenen Signalverarbeitungsschritten ein Fehlersignal eingekoppelt und der Vergleich der resultierenden Ausgangssignale auf ein Erkennen eines Fehlers hin überprüft wird.
Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass die Ausgangssignale zumindest eines Signalverarbeitungsschritts der redundanten Signalverarbeitungskanäle in Datenspeicherbereichen abgespeichert werden und der Vergleicher die Inhalte dieser Datenspeicherbereiche zu vorgegebenen Zeitpunkten miteinander vergleicht, wobei zur Funktionsprüfung der Inhalt eines Datenspeicherbereichs derart verändert wird, dass der Vergleicher dies als fehlerhaft erkennen müsste.
Verfahren nach Anspruch 8, dadurch gekennzeichnet, dass der Inhalt des Datenspeicherbereichs zumindest ein Prüfbit enthält und zur Funktionsprüfung diese(s) Prüfbit(s) eines Signalverarbeitungskanals verändert werden.
Verfahren nach Anspruch 9, dadurch gekennzeichnet, dass zumindest ein Laufzeit-Prüfbit vorgesehen ist, welches mit jedem Eintrag eines Inhalts in den Datenspeicherbereich um den binären Wert „1“ erhöht wird, wobei der Vergleicher Inhalte von Datenspeicherbereichen mit abweichenden Laufzeit-Prüfbits nicht miteinander vergleicht und als fehlerhaft erkennt und zur Funktionsprüfung diese(s) Laufzeit-Prüfbit(s) eines Signalverarbeitungskanals verändert werden.