-
Stand der Technik
-
Die Erfindung betrifft ein Steuergerät bzw. ein Verfahren zur Ansteuerung von Personenschutzmitteln nach der Gattung der unabhängigen Patentansprüche.
-
Aus
DE 10 2004 056 415 A1 ist ein integrierter Schaltkreis bekannt, der neben anderen Funktionen auch die Bewertung von wenigstens einem Beschleunigungssignal zur Freigabe von wenigstens einer Zündendstufe durchführt. Diese Untersuchung der Beschleunigungssignale läuft parallel zur Untersuchung dieser Signale durch den Mikrocontroller. Damit werden getrennte Auswertepfade realisiert. Nur wenn der Mikrocontroller und der integrierte Schaltkreis auf eine Ansteuerung der Personenschutzmittel entscheiden, kommt es zur tatsächlichen Ansteuerung der Personenschutzmittel.
-
Offenbarung der Erfindung
-
Das erfindungsgemäße Steuergerät bzw. das erfindungsgemäße Verfahren zur Ansteuerung von Personenschutzmitteln für ein Fahrzeug mit den Merkmalen der unabhängigen Patentansprüche haben demgegenüber den Vorteil, dass wenn das Sensorsignal über die Auswerteschaltung, beispielsweise den Mikrocontroller bereitgestellt wird, dieses Sensorsignal zur Erzeugung eines Prüfsignals mit einem Testsignal, das außerhalb der Auswerteschaltung erzeugt wird, verknüpft wird und dann das Prüfsignal von dem Safety-Controller, also der redundanten Auswertung ausgewertet wird. Damit wird verhindert, dass, wenn der Mikrocontroller in einem unkontrollierten Zustand ist und damit auch die Sensorsignale dem Safety-Controller in unkontrollierbarer Art und Weise übergibt, dies anhand der Verknüpfung mit dem Testsignal, das von außerhalb des Mikrocontrollers stammt, erkannt werden kann und so eine Auswertung unterbleibt und damit eine fehlerhafte Ansteuerung der Personenschutzmittel unterbunden wird.
-
Die Anbindung der Sensorsignale über die Auswerteschaltung kann beispielsweise dann vorgesehen sein, wenn sogenannte Buskonzepte wie der FlexRay dazu dienen, die Sensorsignale zum Steuergerät zu übertragen. Der Mikrocontroller kann dann beispielsweise eine Empfängerschaltung für CAN und/oder Flexray aufweisen, so dass die Rechenleistung des Mikrocontrollers vorliegend voll genutzt werden kann und die Implementierung eines Empfängers im zweiten Signalpfad mit dem Safety-Controller unterbleiben kann.
-
Vorliegend ist ein Steuergerät ein elektrisches Gerät, das wenigstens ein Sensorsignal verarbeitet und in Abhängigkeit davon Ansteuerungssignale für die Personenschutzmittel wie Airbags, Gurtstraffer oder eine crashaktive Kopfstütze erzeugt. Das Ansteuern der Personenschutzmittel bedeutet dabei das Aktivieren dieser Personenschutzmittel.
-
Der Testsignalgenerator, der sich außerhalb der Auswerteschaltung, aber innerhalb des Steuergeräts befindet, dient zur Bereitstellung des Testsignals. Dabei kann dieses Testsignal aus einem Speicher, beispielsweise einem EEPROM abgerufen werden oder mittels vorgegebener Daten erzeugt werden. Wie aus den abhängigen Ansprüchen hervorgeht, kann es sich bei dem Testsignal um einen Schlüssel oder ein anderes Codiermuster handeln. Der Testsignalgenerator kann, wie es aus den abhängigen Ansprüchen hervorgeht, auf dem integrierten Schaltkreis vorgesehen sein, der die verschiedensten Funktionen für das Steuergerät beherbergt mithin einem System-ASIC. Auch eine softwaremäßige Implementierung ist vorliegend möglich.
-
Bei der Auswerteschaltung kann, wie bereits angegeben, es sich um einen Mikrocontroller handeln, aber auch alle anderen Prozessortypen kommen hierfür in Frage. Ebenso kommen hierfür geeignete ASICs in Frage. Für die Funktion bei einem Prozessor wie einem Mikrocontroller ist dann die entsprechende Software notwendig. Die Auswerteschaltung weist erfindungsgemäß eine Schnittstelle zur Bereitstellung des wenigstens einen Sensorsignals auf. Diese Schnittstelle kann als Softwaremodul oder auch als ein Hardwareabschnitt ausgeführt sein. Die Schnittstelle ermöglicht das Einlesen der Sensordaten, um diese Sensordaten dann weiter zu verarbeiten. Dabei werden die Nutzdaten von anderen Übertragungsdaten getrennt.
-
Bei dem Sensorsignal handelt es sich üblicherweise um ein Signal einer Unfallsensorik, wie es eine Beschleunigungssensor, eine Luftdrucksensorik, eine Körperschallsensorik oder eine Umfeldsensorik sind. Aber auch andere beispielsweise Deformationssensoriken können dafür verwendet werden. Das Sensorsignal wie auch die anderen Signale sind vorliegend digital ausgeführt, sie können jedoch auch analog übertragen werden. Insbesondere kann es sich bei dem Sensorsignal um einen Multiplex oder um ein einzelnes Signal handeln.
-
Das erfindungsgemäße Auswertemodul kann ein Softwaremodul oder auch ein Hardwareabschnitt auf der Auswerteschaltung sein. Es dient zur Erzeugung einer ersten Ansteuerungsentscheidung in Abhängigkeit von dem wenigstens einen Sensorsignal. Dies bedeutet, das Auswertemodul rechnet den Auswertealgorithmus anhand des Sensorsignals. Dabei können verschiedenste Operationen vorgenommen werden, wie auch Vorverarbeitungen, beispielsweise Integrationen eines Beschleunigungssignals mit anschließenden Schwellwertvergleichen und dergleichen mehr.
-
Auch das Verknüpfungsmodul kann hard- und/oder softwaremäßig ausgeführt sein. Es dient zur Verknüpfung des wenigstens einen Sensorsignals mit dem Testsignal. Diese Verknüpfung ist so, dass der Safety-Controller oder ihm zugeordnete Elemente daran erkennen können, ob das Testsignal durch die Auswerteschaltung in irgendeiner Weise korrumpiert wurde. Dies würde dann auch für das Sensorsignal zutreffen.
-
Bei dem Safety-Controller handelt es sich üblicherweise um eine von der Auswerteschaltung getrennte Hardware, die unabhängig von der Auswerteschaltung die zweite Ansteuerungsentscheidung in Abhängigkeit von dem Prüfsignal bildet. Dabei ist es beispielsweise auch möglich, dass bei einem Mehrkernrechner auf einem Kern die Auswerteschaltung und auf einem anderen Kern der Safety-Controller lokalisiert sind. Üblicherweise verwendet der Safety-Controller einen einfacheren Algorithmus als das Auswertemodul. Das Prüfsignal kann für die Auswertung durch den Safety-Controller noch vorverarbeitet sein, beispielsweise, indem es von dem Testsignal wieder getrennt wird. Dieser einfachere Algorithmus, der weniger Rechenschritte als der Auswertealgorithmus auf der Auswerteschaltung erfordert, kann hardwaremäßig oder softwaremäßig implementiert sein.
-
Bei der Ansteuerungsschaltung handelt es sich um eine Logik, die die erste und zweite Ansteuerungsentscheidung verknüpft und dann das so entstandene Ergebnis auswertet und die entsprechenden Personenschutzmittel in Abhängigkeit davon ansteuert. Ein einfaches Beispiel ist eine logische Und-Verknüpfung. Die Logik kann jedoch erheblich komplexer sein, um aus den Ansteuerungsentscheidungen auch zu entnehmen, welche Personenschutzmittel, wann anzusteuern sind. Die Ansteuerung geschieht üblicherweise durch die Ansteuerung von Leistungsschaltern, wie es MOSFETs beispielsweise sind, deren Ansteuerung dann die Aktivierung der Personenschutzmittel bewirkt, beispielsweise durch ein Bestromen von Zündelementen für Airbags.
-
Durch die in den abhängigen Ansprüchen aufgeführten Maßnahmen und Weiterbildungen sind vorteilhafte Verbesserungen des in den unabhängigen Patentansprüchen angegebenen Steuergeräts bzw. Verfahrens zur Ansteuerung von Personenschutzmitteln für ein Fahrzeug möglich.
-
Es ist dabei von Vorteil, dass der Testsignalgenerator zur Bereitstellung eines Schlüssels als dem Testsignal konfiguriert ist. D. h. das Testsignal ist dabei ein Schlüssel, mit dem eine Codierung möglich ist, wie es beispielsweise aus der Verschlüsselungstechnologie bekannt ist. Dieser Schlüssel kann dabei fest abgespeichert sein oder er kann aus vorgegebenen Daten berechnet werden. Der Testsignalgenerator beinhaltet dabei dann einen eigenen Speicher oder greift auf einen Speicher zu, bei dem der Schlüssel beispielsweise als Datum abgelegt ist.
-
Es ist weiterhin vorteilhaft, dass das Verknüpfungsmodul als Codierer ausgebildet ist, wobei der Codierer das wenigstens eine Sensorsignal mit dem Schlüssel zu dem Prüfsignal codiert und dass dann ein Decodierer zur Decodierung des Prüfsignals dem Safety-Controller zugeordnet ist. Bei dem Codierer handelt es sich dabei dann um ein Modul, das die entsprechende Rechnung, also die Verschlüsselung ausführt bzw. Codierung und bei dem Decodierer um einen entsprechenden Rechner, der das Sensorsignal von der Verschlüsselung wieder befreit. Der Decodierer ist nicht Teil der Auswerteschaltung, sondern beispielsweise, wie unten angegeben, Teil des System-ASICs.
-
Darüber hinaus ist es von Vorteil, dass die Schnittstelle ein Redundanzmodul aufweist, das dem wenigstens einen Sensorsignal Redundanz zufügt und mit dem Verknüpfungsmodul entsprechend verbunden ist. Dabei wird dann das wenigstens eine Sensorsignal mit Redundanz versehen, so dass eine entsprechende Korrektur beispielsweise vorgenommen werden kann. Dafür kann ein Prüfsummencheck verwendet werden. Das so mit einer Prüfsumme versehene Sensorsignal wird dann in dem Verknüpfungsmodul für die Codierung beispielsweise zugeführt.
-
Es ist weiterhin vorteilhaft, dass dem Decodierer ein Prüfmodul nachgeordnet ist, dass anhand dieser Redundanz das Sensorsignal auf Integrität prüft und gegebenenfalls korrigiert.
-
Die Auswerteschaltung kann vorzugsweise als Prozessor ausgebildet sein, wie es bereits oben angegeben ist. Dieser Prozessor besteht üblicherweise aus einem einzigen Halbleitersubstrat. Auf diesem Halbleitersubstrat sind dann in Silizium die entsprechenden Funktionen realisiert.
-
Der Testsignalgenerator, der Decodierer, das Prüfmodul und der Safety-Controller sowie die Ansteuerschaltung können vorteilhafter Weise auf einem einzigen integrierten Schaltkreis angeordnet sein und bilden so beispielsweise in Verbindung mit anderen Funktionen den System-ASIC. Damit ist eine kostengünstige Realisierung dieser Funktionen möglich.
-
Ausführungsbeispiele sind in der Zeichnung dargestellt und werden in der nachfolgenden Beschreibung näher erläutert.
-
Es zeigen
- 1 ein Blockschaltbild des erfindungsgemäßen Steuergeräts mit angeschlossenen Komponenten im Fahrzeug,
- 2 ein Blockschaltbild einer erfindungsgemäß relevanten Signalverarbeitung und
- 3 ein Flussdiagramm des erfindungsgemäßen Verfahrens.
-
1 zeigt in einem Blockschaltbild das erfindungsgemäße Steuergerät ECU in Verbindung mit angeschlossenen Geräten DCU und PS im Fahrzeug FZ. Vorliegend sind nur die für das Verständnis der Erfindung wesentlichen Komponenten dargestellt. Andere, für den Betrieb des Steuergeräts ECU notwendige Komponenten sind der Einfachheit halber weggelassen worden, weil sie nicht wesentlich zum Verständnis der Erfindung beitragen.
-
Ein Sensorsteuergerät DCU überträgt Sensorsignale bzw. -daten, beispielsweise über einen Bus an das Steuergerät ECU und dabei direkt an den Mikrocontroller µC. Als Bus wird vorliegend der Flexray-Standard verwendet. Es ist möglich einen anderen Standard zu implementieren.
-
Der Mikrocontroller µC weist selbst eine Schnittstelle R auf, um die Sensordaten des Sensorsteuergeräts DCU empfangen zu können. Diese Schnittstelle R ist in der Lage, die Nutzdaten aus dem Übertragungsrahmen, der für die Busübertragung verwendet wurde, zu entnehmen und an die weiteren Module im Mikrocontroller µC weiterzugeben.
-
Anstatt eines Sensorsteuergeräts DCU, das verschiedenste für die Funktion des Personenschutzes notwendige Sensoren beinhaltet, können auch andere Aufbauten, beispielsweise Sensorcluster oder Einzelsensoren vorgesehen sein.
-
Die Sensordaten werden einerseits dem Auswertemodul A zugeführt und andererseits dem Verknüpfungsmodul C.
-
Das Auswertemodul A wendet den Auswertealgorithmus an das Sensorsignal an. Dabei kommen die verschiedensten Signalverarbeitungsmethoden zum Einsatz. Insbesondere werden Schwellwertvergleiche durchgeführt. Diese Schwellwerte können auch in Abhängigkeit von weiteren Größen verändert werden. Werden die relevanten Ansteuerungsschwellen überschritten, dann wird die erste Ansteuerungsentscheidung durch das Auswertemodul A gebildet und an die Ansteuerungsschaltung FLIC übertragen.
-
Die Sensordaten werden auch vom Verknüpfungsmodul C verarbeitet, und zwar indem sie mit dem Testsignal vom Testsignalgenerator TG miteinander verknüpft werden. Diese Verknüpfung ist vorliegend als eine Verschlüsselung oder eine bloße Hinzufügung des Schlüssels zu dem Sensorsignal ausgeführt, da das Testsignal als ein Schlüssel ausgebildet ist. Damit ist das Verknüpfungsmodul C als Codierer ausgebildet. Der Testsignalgenerator TG ist im System-ASIC angeordnet, in dem auch ein Decodierer D, der Safety-Controller SC und die Ansteuerungsschaltung FLIC angeordnet sind. Die verschlüsselten Daten werden vom Mikrocontroller µC über das Verknüpfungsmodul C zu dem Decodierer D auf dem System-ASIC SA übertragen. Der Decodierer D prüft nun, ob der Schlüssel noch so ist, wie ihn der Testsignalgenerator TG ursprünglich an den Codierer C übertragen hat. Dazu wird der Schlüssel vom Testsignalgenerator, dem Decodierer D zur Verfügung gestellt, so dass ein einfacher Vergleich möglich ist. Der Decodierer D kann den Schlüssel auch von einem Speicher oder einem anderen Baustein bekommen.
-
Die Nutzdaten werden dem Safety-Controller SC weitergegeben, damit der Safety-Controller anhand dieses Sensorsignals die zweite Ansteuerungsentscheidung bilden kann. Der Safety-Controller SC wendet für die Bildung der Ansteuerungsentscheidung ebenfalls wenigstens einen Schwellwertvergleich an, wobei üblicherweise diese Bildung einfacher, d.h. mit weniger Rechenschritten verbunden ist, als dies der Auswertealgorithmus auf dem Mikrocontroller µC ausführt.
-
Diese Ansteuerungsentscheidung wird dann der Ansteuerungsschaltung FLIC übertragen. Die Ansteuerungsschaltung FLIC verknüpft die beiden Ansteuerungsentscheidungen, und nur wenn beide positiv sind, kommt es zur Ansteuerung der Personenschutzmittel PS.
-
Der Schlüssel wird daher vom Codierer C in das Signal integriert, um damit das Prüfsignal zu bilden. Dabei kann das Signal einfach mit dem Prüfmuster multipliziert und dann im Sicherheitspfad dividiert werden. Allgemein benötigt man eine eindeutig umkehrbare mathematische Operation, d.h. bei der Realisierung würde man in der Signaltheorie eine laufzeitoptimale Variante suchen.
-
2 zeigt den relevanten Teil der Erfindung als ein Blockschaltbild. Nutzdaten 200 werden hier durch die Folge 00111001 an den Mikrocontroller 201 und dabei an den Empfänger 203, also die Schnittstelle, übertragen. Der Empfänger 203 fügt den Daten Redundanz hinzu, indem er eine Prüfsumme hinzufügt, was allgemein als CRC Cyclic Redundancy Code bekannt ist. Die Daten ohne diese Prüfsumme werden dem Algorithmus 205 zugeführt, um die erste Ansteuerungsentscheidung zu bilden.
-
Die Daten mit der Prüfsumme werden dem Codierer 204 zugeführt, wobei vorliegend die Nutzdaten 00111001 um die Prüfsumme 11001 ergänzt sind. Der Codierer 204 erhält vom Testsignalgenerator 206 auf dem System-ASIC 202 den Schlüssel 11000011. Der Codierer 204 integriert diesen Schlüssel zu dem Sensorsignal. Das so entstandene Signal wird dann dem Decodierer 207 übertragen. Der Decodierer 207 ist ebenfalls auf dem System-ASIC 202 angeordnet. Der Decodierer 207 erhält ebenfalls vom Testsignalgenerator 206 den Schlüssel 11000011. Somit kann der Decodierer, indem er den Schlüssel wieder von der übertragenen Nachricht vom Codierer 204 separiert, durch Vergleich erkennen, ob der Schlüssel verändert wurde, beispielsweise durch eine Fehlfunktion des Mikrocontrollers 201.
-
Die durch die Decodierung gewonnenen Nutzdaten mit der Redundanz werden einem Prüfmodul 208 zugeführt. Dieses Prüfmodul prüft anhand der Redundanz, ob die Nutzdaten korrekt übertragen wurden. Gegebenenfalls kann eine Fehlerdatenkorrektur erfolgen. Sind die Nutzdaten nicht in Ordnung, endet dort das Verfahren, und es wird keine zweite Ansteuerungsentscheidung gebildet. Sind die Nutzdaten jedoch korrekt oder kann eine Korrektur durchgeführt werden, dann werden die Nutzdaten dem Safety-Controller 209, der ebenfalls auf dem System-ASIC 202 ist, zugeführt. Daran kann dann die zweite Ansteuerungsentscheidung gebildet werden.
-
3 zeigt in einem Flussdiagramm das erfindungsgemäße Verfahren, In Verfahrensschritt 300 wird das Testsignal, beispielsweise der Schlüssel, bereitgestellt. In Verfahrensschritt 301 wird das Sensorsignal beispielsweise über den FlexRay-Bus im Mikrocontroller µC als der Auswerteschaltung bereitgestellt. Das Sensorsignal wird dabei dem Auswertealgorithmus im Verfahrensschritt 302 zugeführt, um die erste Ansteuerungsentscheidung zu bilden. Im Verfahrensschritt 303 wird anhand des Sensorsignals durch das Verknüpfungsmodul ein Prüfsignal mit dem Testsignal gebildet. Dafür kann ein Codierer verwendet werden. Im Verfahrensschritt 304 wird anhand dieses Prüfsignals durch den Safety-Controller SC die zweite Ansteuerungsentscheidung gebildet. Im Verfahrensschritt 305 wird die erste Ansteuerungsentscheidung und die zweite Ansteuerungsentscheidung miteinander verknüpft, um zu entscheiden, ob die Personenschutzmittel angesteuert werden sollen oder nicht. Danach erfolgt die Ansteuerung der Personenschutzmittel.
