DE102010043882B4

DE102010043882B4 - Getakteter Sicherheitsschalter

Info

Publication number: DE102010043882B4
Application number: DE102010043882.0A
Authority: DE
Inventors: Timo Dittfeld; Dirk Hammerschmidt
Original assignee: Infineon Technologies AG
Current assignee: Infineon Technologies AG
Priority date: 2009-11-12
Filing date: 2010-11-12
Publication date: 2017-10-12
Anticipated expiration: 2030-11-13
Also published as: DE102010043882A1; US20110110011A1; US8456794B2

Abstract

Eine High-Side-Schaltanordnung (800), die aufweist: einen Halbleiterschalter (810); eine Ladungspumpenanordnung (804, 805), die abhängig von einem externen Taktsignal funktioniert; wobei die Ladungspumpenanordnung (804, 805) dazu ausgebildet ist, eine für eine leitende Ansteuerung des Halbleiterschalters (810) ausreichende Ansteuerspannung zur Verfügung zu stellen, wenn die Frequenz des externen Taktsignals eine vorgegebene Frequenzbedingung erfüllt und/oder wenn der Ladungspumpenanordnung (804, 805) ein Ladungspumpenaktivierungssignal zugeführt ist, das einen Aktivierungscode enthält, wobei das externe Taktsignal und das Ladungspumpenaktivierungssignal getrennte Signale sind.

Description

Die vorliegende Erfindung betrifft allgemein einen Betätigungsschalter für eine sicherheitsrelevante Einrichtung, wie beispielsweise eine Zündpille (squib) für einen Airbag in einem Kraftfahrzeug, und ein zugehöriges Verfahren.
Anwendungen, die elektronische Mittel umfassen, um eine sicherheitsrelevante Funktion zur Verfügung zu stellen, erfordern üblicherweise einen hohen Sicherheitsintegritätspegel (safety integrity level, SIL), um ein versehentliches Auslösen der sicherheitsrelevanten Funktion zu vermeiden. Ein Airbag in einem Kraftfahrzeug erfordert beispielsweise einen hohen Sicherheitsintegritätspegel (SIL), um ein unerwünschtes Aufblasen des Airbags zu verhindern, was zum Schutz der Fahrzeuginsassen dient und was nicht unerhebliche Kosten für den Ersatz verhindert. Ein Signal zum Auslösen einer Zündpille eines Airbags sollte durch wenigstens zwei unabhängige Instanzen bestätigt werden, die jeweils eine Notwendigkeit für ein Auslösen detektieren. Die resultierende Architektur wird als ”Eins-Aus-Zwei”-Architektur (one-out-of-two architecture) bezeichnet, was bedeutet, dass eines von zwei Systemen ausfallen kann, ohne dass ein gefährliches Ereignis auftreten kann.
In Systemen, wie beispielsweise einem Zündpillenauslösesystem (squib firing system) eines Airbags, wird eine elektronische Steuereinheit (electronic control unit, ECU), wie beispielsweise ein Mikrocontroller, üblicherweise dazu eingesetzt, Signale von wenigstens zwei unabhängigen Beschleunigungssensoren zu verarbeiten und ein Auslösen einzuleiten. Es gibt allerdings Funktionen in der ECU, wie beispielsweise die Bereitstellung einer Versorgungsspannung, die sich mehrere Elemente der ECU teilen. Wenn eine gemeinsam genutzte Spannungsversorgungsschaltung, die ein Untersystem A und ein Untersystem B der ECU versorgt, eine Überspannungsbedingung erzeugt, können beide Untersysteme gleichzeitig ausfallen, wodurch die Unabhängigkeit dieser zwei Untersysteme beeinträchtigt ist. Eine Lösung besteht darin, mehrere Spannungsversorgungen zur Verfügung zu stellen, die Spannungen unabhängig voneinander zur Verfügung stellen.
Das Bereitstellen von unabhängigen Signalverarbeitungselementen in kosteneffizienter Weise für sicherheitsrelevante Anwendungen, wie beispielsweise eine Auslöseschaltung für eine Zündpille eines Airbags, ist ein wesentlicher Erfolgsfaktor für solche Systeme am Markt. Derzeitige Systemdesigns berücksichtigen diesen Bedarf mit komplexen Signalverarbeitungsanordnungen, die erhebliche Kosten mit sich bringen.
Aus der Druckschrift DE 10 2004 030 222 A1 ist beispielsweise eine Energieversorgungssteuervorrichtung mit einem Steuerschaltungschip zum Steuern eines Energieversorgungsschalter-Schaltungschips zum Anschließen einer Batterie an eine Last in einem Motorfahrzeug bekannt.
Aufgabe der vorliegenden Erfindung ist, eine verbesserte Sicherheitsschaltung und verbessertes Verfahren zur Ansteuerung eines Sicherheitsschalters zur Verfügung zu stellen.
Diese Aufgabe wird durch eine Schaltungsanordnung gemäß Anspruch 1 und ein Verfahren gemäß Anspruch 15 gelöst. Ausgestaltungen und Weiterbildungen sind Gegenstand von Unteransprüchen.
Ein Ausführungsbeispiel betrifft eine High-Side-Schaltanordnung, die aufweist: einen Halbleiterschalter; eine Ladungspumpenanordnung, die abhängig von einem externen Taktsignal funktioniert; wobei die Ladungspumpenanordnung dazu ausgebildet ist, eine für eine leitende Ansteuerung des Halbleiterschalters ausreichende Ansteuerspannung zur Verfügung zu stellen, wenn die Frequenz des externen Taktsignals eine vorgegebene Frequenzbedingung erfüllt und/oder wenn der Ladungspumpenanordnung ein Ladungspumpenaktivierungssignal zugeführt ist, das einen Aktivierungscode enthält. Das externe Taktsignal und das Ladungspumpenaktivierungssignal sind getrennte Signale.
Ein Ausführungsbeispiel betrifft eine Schaltungsanordnung mit einer solchen High-Side Schaltanordnung und einer Last, wobei die Last in Reihe zu dem Halbleiterschaltelement geschaltet ist und die Reihenschaltung zwischen Klemmen für Versorgungspotentiale geschaltet ist.
Ein Ausführungsbeispiel betrifft ein Verfahren zur Ansteuerung eines Halbleiterschalters, das aufweist: Bereitstellen eines externen Taktsignals; Bereitstellen einer für eine leitende Ansteuerung des Halbleiterschalters ausreichende Ansteuerspannung mittels einer Ladungspumpe dann, wenn die Frequenz des externen Taktsignals eine vorgegebene Frequenzbedingung erfüllt und/oder wenn ein Ladungspumpenaktivierungssignal vorliegt, das einen Aktivierungscode enthält. Das externe Taktsignal und das Ladungspumpenaktivierungssignal sind getrennte Signale.
Ein Ausführungsbeispiel betrifft die Verwendung eines derartigen Verfahrens zur Steuerung eines Halbleiterschalters, der in Reihe zu einer Auslöseschaltung für ein Zündelement geschaltet ist.
Ausführungsbeispiele der Erfindung werden nachfolgend unter Bezugnahme auf Zeichnungen näher erläutert. Andere Merkmale, Ziele und Vorteile der Erfindung werden anhand der Beschreibung und der Zeichnungen ersichtlich. In den Zeichnungen bezeichnen, sofern nicht anders angegeben ist, gleiche Bezugszeichen gleiche Merkmale mit gleicher Bedeutung, wobei gleiche Merkmale im Sinne einer kurzen Darstellung jeweils nur einmal erläutert werden.
1 veranschaulicht ein Blockschaltbild eines herkömmlichen Auslösesystems mit einer Reihenschaltung eines Sicherheitsschalters und eines Hauptschalters, die zwischen eine Spannungsquelle und ein Auslöseelement geschaltet ist.
2 veranschaulicht ein vereinfachtes Schaltbild eines Teils eines Infineon-PROFET^® als Beispiel eines integrierten High-Side-NMOS-Leistungs-MOSFET, der durch ein auf ein Referenzpotential – wie beispielsweise Masse – bezogenes Eingangssignal angesteuert ist.
3 veranschaulicht ein Blockschaltbild eines Kraftfahrzeug-Airbag-Auslösesystems, das mittels eines Mikrocontrollers realisiert werden kann, der an zwei unabhängige Beschleunigungssensoren gekoppelt ist.
4 veranschaulicht ein Fehlerdiagramm, zur Erläuterung einer Fehleranalyse des in 3 dargestellten Airbag-Auslösesystems.
5 veranschaulicht ein Blockschaltbild eines Airbag-Auslösesystems, das mehrere Halbleiterbauelemente aufweist.
6 veranschaulicht ein Blockschaltbild eines Airbag-Auslösesystems mit mehreren Halbleiterbauelementen, bei dem ein Haupt-Mikrocontroller eine direkte Kommunikationsverbindung mit einem Sicherheitsschalter besitzt.
7 veranschaulicht ein weiteres Blockschaltbild eines Airbag-Auslösesystems mit mehreren Halbleiterbauelementen, bei dem ein Haupt-Mikrocontroller eine direkte Kommunikationsverbindung mit einem Sicherheitsschalter besitzt.
8 veranschaulicht ein Blockschaltbild eines integrierten High-Side-Schaltelements, das einen NMOS-Leistungs-MOSFET aufweist, der durch ein auf ein Referenzpotential bezogenes Eingangssignal, das einem Eingangspin zugeführt ist, und durch ein extern erzeugtes Taktsignal angesteuert ist, gemäß einem Ausführungsbeispiel.
Die Realisierung und Verwendung von Ausführungsbeispielen der Erfindung wird nachfolgend im Detail erläutert. Es sei jedoch darauf hingewiesen, dass die Erfindung verschiedene Konzepte umfasst, die auf vielfältige Weise verwendet werden können. Die speziellen Ausführungsbeispiele, die nachfolgend erläutert werden, dienen lediglich zur Veranschaulichung und nicht dazu, den Schutzumfang der Erfindung einzuschränken.
Die vorliegende Erfindung wird anhand von Ausführungsbeispielen in einem speziellen Zusammenhang erläutert, nämlich im Zusammenhang mit einem Auslöseschalter für eine Airbag-Zündpille in einem Kraftfahrzeug oder in einer anderen mobilitätsbezogenen Umgebung.
Ausführungsbeispiele der Erfindung können auch auf andere sicherheitsrelevante Anordnungen angewendet werden, wie z. B. auf eine Sprengvorrichtung im Minenbetrieb. Andere sicherheitsrelevante Anordnungen können unter Verwendung der nachfolgend erläuterten Konzepte in verschiedenen Zusammenhängen verwendet werden, wie z. B. der Aktivierung eines Rettungsflosses eines Flugzeugs.
In einer sicherheitsrelevanten Anordnung wird zum Aktivieren eines Auslöselements (actuator) beispielsweise ein Schalter benötigt, der durch zwei unabhängige Niederspannungssignale gesteuert ist. Der Schalter, wie z. B. ein Leistungs-Feldeffekttransistor (FET) oder mehrere Schalter, die in einer Brückenkonfiguration verschaltet sind, ist zwischen den Aktor und eine Spannungsquelle geschaltet. Um einen nicht beabsichtigten Betrieb des Aktors zu vermeiden, sollte der Schalter nicht versehentlich durch eine gemeinsame Schaltungsbedingung ausgelöst werden können, die einen Fehler in einer Steuereinrichtung des sicherheitsrelevanten Systems induzieren kann. So kann beispielsweise eine elektronische Steuereinheit (electronic control unit, ECU) eingesetzt werden, um Signale von mehreren unabhängigen Sensoren zu verarbeiten, wie beispielsweise zwei oder mehr unabhängigen Beschleunigungssensoren, und ein Fehler der ECU sollte nicht zu einem versehentlichen Aktivieren des Auslöselements führen. Das sicherheitsrelevante System sollte mittels einer kosteneffizienten Technologie realisierbar sein, die in der Lage ist, einer versehentlich vorliegenden hohen Eingangsspannung zu widerstehen, wie beispielsweise einer hohen Versorgungsspannung, und sollte zu seiner Realisierung keine hoch integrierten Bauelemente benötigen, die zu einem gemeinsamen Fehlermechanismus für die unabhängigen Sensorsignale führen können. Weiterhin sollte das sicherheitsrelevante System beispielsweise ein fehlertolerantes bzw. Fail-Safe-System sein, es sollte also keine Aktivierung des Auslöselements erfolgen, wenn eine Gleichspannung vorliegt, die aufgrund eines Fehlers einer Steuereinrichtung erzeugt wurde.
1 veranschaulicht ein Blockschaltbild eines herkömmlichen Auslösesystems, das eine Reihenschaltung eines Sicherheitsschalters 101 und eines Hauptschalters 102 aufweist, die zwischen eine Spannungsquelle 110 und ein Auslöseelement (actuator) D, 105 geschaltet ist. Eine elektronische Hauptsteuereinheit B, 103 weist einen ersten Sensor und einen ersten Signalgenerator auf, der ein Hauptsignal 106 erzeugt, das den Hauptschalter 102 schließt. Die elektronische Hauptsteuereinheit B erzeugt auch ein Bestätigungssignal 108, das zu dem Sicherheitsschalter 101 übertragen wird. Die elektronische Hauptsteuereinheit 103 kann einen Mikrocontroller aufweisen, der das Hauptsignal 106 und das Bestätigungssignal 108 als Reaktion auf ein Signal von dem ersten Sensor erzeugt. Eine elektronische Sicherheitssteuereinheit A, 104 weist einen zweiten Sensor und einen zweiten Signalgenerator auf, der ein Scharfschaltesignal (arming signal) 107 erzeugt, das ebenfalls zu dem Sicherheitsschalter 101 übertragen wird. Die elektronische Sicherheitssteuereinheit 104 kann ebenfalls einen Mikrocontroller aufweisen, üblicherweise einen Mikrocontroller, der einen geringeren Komplexitätsgrad besitzt, als der Mikrocontroller, der das Hauptsignal 106 erzeugt. Der Mikrocontroller der elektronischen Sicherheitssteuereinheit 104 kann in einem anderen Halbleiterkörper oder Chip realisiert sein als der Mikrocontroller der elektronischen Hauptsteuereinheit 103. Der Sicherheitsschalter 101 kann in einem von dem Halbleiterkörper des Hauptschalters 102 getrennten Halbleiterkörper realisiert sein.
Eine Sicherheitsschalter-Steuereinheit C, 117 ist zwischen der elektronischen Hauptsteuereinheit 103 und der elektronischen Sicherheitssteuereinheit 104, einerseits, und dem Sicherheitsschalter 101, andererseits, angeordnet. Die Sicherheitsschalter-Steuereinheit 117 ermöglicht ein Schließen des Sicherheitsschalters 101 nur dann, wenn das Scharfschaltesignal 107 und das Bestätigungssignal 108 entsprechende Signalpegel besitzen.
Die in 1 dargestellte Schaltung umfasst zur Realisierung einer Struktur, bei der ein gemeinsamer Fehlermechanismus (common failure mechanism) verhindert wird, zwei Mikrocontroller. Idealerweise werden diese zwei Mikrocontroller durch Versorgungsspannungen versorgt, die durch getrennte unabhängige Spannungsversorgungsschaltungen erzeugt werden, um dadurch einen anderen gemeinsamen Fehlermechanismus zu vermeiden.
Der Sicherheitsschalter 101 ist beispielsweise als Feldeffekttransistor (FET), insbesondere als NMOS-Feldeffekttransistor, realisiert. Die durch die elektronische Hauptsteuereinheit 103 und die elektronische Sicherheits-Steuereinheit 104 erzeugten Signale sind üblicherweise digitale Logiksignale, wie beispielsweise Logiksignale mit Spannungspegeln von 3,3 V oder 5 V. Da der Sicherheitsschalter 101 in dem dargestellten Beispiel ein High-Side-Schalter ist, sein Sourceanschluss also nicht auf Bezugspotential, wie beispielsweise Masse, liegt, wird ein Signal mit einem im Vergleich zu einem Logiksignal höheren Spannungspegel benötigt, um dessen Gate anzusteuern. Ein solches Signal mit hohem Pegel kann mittels einer Ladungspumpe erzeugt werden. Diese Ladungspumpe kann beispielsweise auf einem Chip realisiert sein, der in der Lage ist, Hochspannungssignale zu verarbeiten, der also beispielsweise in der Lage ist, ein Gate-Ansteuersignal mit einem Spannungspegel zu erzeugen, der höher ist als ein Pegel einer Versorgungsspannung Vbb, die durch die Spannungsquelle 110 erzeugt wird.
2 veranschaulicht ein vereinfachtes Schaltbild eines Teils eines PROFET^® der Firma Infineon. Ein PROFET^® ist ein Beispiel eines integrierten High-Side-NMOS-Leistungs-MOSFET, der durch ein auf ein Bezugspotential, wie beispielsweise Masse, bezogenes Eingangssignal mit einem Logikpegel angesteuert ist. Um den Leistungs-MOSFET leitend anzusteuern, wird der Eingang des PROFET^® auf Bezugspotential, insbesondere Masse, gelegt und um den leitenden Zustand des Leistungs-MOSFET abzuschalten bzw. den Leistungs-MOSFET sperrend anzusteuern, wird der Eingang vom Bezugspotential getrennt. Diese Art von High-Side-Schalter kann also eingeschaltet werden durch Aktivieren eines Pull-Down-Schalters am Eingang. Dieser Pull-Down-Schalter kann mittels eines Mikrocontrollers mit einem Open-Drain-Ausgang – an den der Eingang des PROFET^® anzuschließen ist – realisiert werden. Ein PROFET^® der Firma Infineon umfasst eine Ladungspumpe, die an einen internen Oszillator gekoppelt ist, und die eine interne Versorgungsspannung erzeugt, um das Gate des Leistungs-MOSFET auf einen höheren Spannungspegel legen zu können, als die Eingangsspannung Vbb. Eine vollständige Beschreibung des Infineon-PROFET^® ist in dem Datenblatt ”BTS50090-1TMB Smart High-Side-Powerswitch”, Februar 2008, enthalten, auf das hiermit Bezug genommen wird.
3 veranschaulicht ein Blockschaltbild eines Airbag-Auslösesystems eines Kraftfahrzeugs. Das Airbag-Auslösesystem umfasst einen Mikrocontrollers 312, der an Beschleunigungssensoren Sen1, 320 und Sen2, 321 gekoppelt ist. Der Mikrocontroller 312 ist an eine Reihenschaltung von Schaltern 305, 306 gekoppelt bzw. steuert diese an. Diese Schalter 305, 306 sind jeweils an eine Airbag-Zündpille 303 über ein Kabel 302 gekoppelt. In dem dargestellten Beispiel sind die Schalter 305, 306 in Reihe zu der Zündpille 303 geschaltet. Die Zündpille 303 dient zum Auslösen des Airbags, so dass sich dieser aufbläst. Bei dem in 3 dargestellten Airbag-Auslösesystem, das einen hohen Sicherheitsintegritätspegel (SIL) erfordert, wird der Beginn eines Auslösevorgangs, d. h. des Zündens der Zündpille 303, durch zwei Entscheidungspfade bestätigt, nämlich den Sicherheitspfad 307 und den Hauptpfad 308.
Die Entscheidungspfade 307 und 308 sind voneinander getrennt, und die Zündpille kann nur ausgelöst werden, wenn der High-Side-Schalter 305 durch das Scharfschaltesignal 307, das durch das Untersystem A, 309 erzeugt wird, aktiviert wird, und wenn der Low-Side-Schalter 306 durch das Auslösesignal 318, das durch das Untersystem B, 310 erzeugt wird, aktiviert wird. Solange diese Systeme tatsächlich unabhängig sind, sind die Fehlerwahrscheinlichkeiten der einzelnen Untersysteme miteinander zu multiplizieren, um die Fehlerwahrscheinlichkeit des zusammengesetzten Systems zu erhalten, wobei das Ergebnis eine geringere Fehlerwahrscheinlichkeit als die eines Untersystems ist. Wie allerdings in 3 dargestellt ist, sind das Untersystem A, 309 und das Untersystem B, 310 in einem gemeinsamen Mikrocontroller 312 realisiert. Es gibt also Funktionen, die der Mikrocontroller 312 liefert, die durch mehrere Schaltungskomponenten geteilt bzw. gemeinsam genutzt werden, wie beispielsweise die Spannungsversorgung 311 in dem in 3 dargestellten Beispiel, das ein Beispiel für ein ”Eins-Aus-Zwei”-System ist. Wenn die Spannungsversorgung 311 beide Untersysteme, d. h. das Untersystem A und das Untersystem B, versorgt und eine Überspannungsbedingung verursacht, können das Untersystem A und das Untersystem B gleichzeitig ausfallen, wodurch möglicherweise die Zündpille 303 nicht korrekt ausgelöst wird. Dies würde in einer Fehleranalyse als gemeinsamer Fehlerverursachungsfaktor (common cause failure factor) bezeichnet.
Es sei darauf hingewiesen, dass bei einer üblichen Anordnung das Untersystem A, 309 und das Untersystem B, 310 nicht in einem gemeinsamen Mikrocontroller angeordnet sind. Der Hauptalgorithmus wird häufig in einem Haupt-Mikrocontroller durchgeführt, und der Sicherheitsalgorithmus wird durch einen Sicherheits-Mikrocontroller durchgeführt. Der Sicherheits-Mikrocontroller kann im selben Halbleiterkörper wie die Hauptschalter integriert sein, während der Haupt-Mikrocontroller üblicherweise separat (stand-alone) ist. Außerdem ist die Spannungsversorgung beider Controller üblicherweise im selben Halbleiterkörper integriert wie die Hauptschalter und die Haupt-Ausgangsstufen.
4 veranschaulicht ein logisches Fehlerdiagramm in Baumstruktur 400, das eine Fehleranalyse des in 3 dargestellten Airbag-Auslösesystems veranschaulicht. Das Logikdiagramm gemäß 4 umfasst ODER-Gatter, wie beispielsweise das ODER-Gatter 401, und UND-Gattter 402, die eine Fehlerkalkulation für eine ”Wahrscheinlichkeit einer falschen Entscheidung” (propability of an incorrect decision, PID) ermöglichen. Die in 3 dargestellten Strukturen sind in 4 reproduziert, wobei die Strukturen ”Untersystem A” 309 und ”Untersystem B” 310 gemäß Figur in 4 einfach als ”A” und ”B” abgekürzt sind.
Ein gemeinsamer Verursachungsfaktor, d. h. der gemeinsame Verursachungsfaktor 403, CCF PS (common cause factor, CCF) der sich auf die gemeinsame Verwendung der Spannungsversorgung (power supply, PS) 311 bezieht, die in 3 dargestellt ist, ist in dem Logikdiagramm gemäß 4 ebenfalls dargestellt. Die diesem gemeinsamen Verursachungsfaktor CCF PS zugeordnete Fehlerwahrscheinlichkeit wird addiert (dargestellt durch das ODER-Gatter 404) zu den multiplizierten Fehlerwahrscheinlichkeiten des Scharfschalte-Pfads 317 und des Auslöse-Pfads 318. Diese multiplizierte Fehlerwahrscheinlichkeit steht in dem Diagramm gemäß 4 am Ausgang des UND-Gatters 402 zur Verfügung. Ein gemeinsamer Fehlerfaktor (common cause factor) ist üblicherweise ein dominierender Effekt in einer Fehleranalyse. Ein solcher gemeinsamer Fehlerfaktor kann beispielsweise durch Maßnahmen beeinflusst werden, die ein Fehlerereignis auf oberster Ebene (top-level failure event) vermeiden. Im Falle einer Spannungsversorgung kann dies beispielsweise eine Begrenzung der Energie sein, die einem der Pfade zugeführt ist. Allerdings führt ein zunehmender Kostendruck auch bei sicherheitskritischen Systemen zunehmend zu Implementierungen mit einem höheren Integrationsgrad. Dieser Kostendruck forciert die Integration von Teilen, die zu unterschiedlichen Subsystemen gehören, in einen einzigen Chip, was einen gemeinsamen Fehlerfaktor bewirken kann. Es ist daher wünschenswert, die Wahrscheinlichkeit einer fehlerhaften Aktivierung einer Airbag-Zündpille im Zusammenhang mit einem gemeinsamen Fehlerfaktor 403 einer Spannungsversorgung zu reduzieren oder eine solche fehlerhafte Aktivierung anderweitig zu eliminieren.
5 veranschaulicht ein Blockschaltbild eines Airbag-Auslösesystems, das mehrere Halbleiteranordnungen, insbesondere Siliziumanordnungen aufweist. 5 zeigt ein Beispiel einer Anwendungsumgebung für Ausführungsbeispiele der Erfindung, die nachfolgend noch erläutert werden. Eine der Halbleiteranordnungen ist eine partitionierte anwendungsspezifische integrierte Schaltung (ASIC), die Partitionen 501, 502 und 506 aufweist, wobei eine Trenndistanz zwischen kritischen Blöcken vorgesehen ist. Das Airbag-Auslösesystem umfasst außerdem einen Haupt-Mikrocontroller 503, der in einem separaten Halbleiterchip, insbesondere einem Siliziumchip, ausgebildet ist. Der Sicherheitsschalter 508, der beispielsweise als FET, insbesondere als Leistungs-FET, realisiert ist, ist in der Partition 501 realisiert. Der Haupt-Mikrocontroller 503 führt im Wesentlichen die im Zusammenhang mit einem Auslösen bzw. Aktivieren der Airbag-Zündpille 303 stehenden Berechnungen durch.
Das Airbag-Zündpillen-Auslösesystem gemäß 5 wird durch eine gemeinsame Hauptspannungsversorgung 504 versorgt, die dem Sicherheitsschalter 508 eine Versorgungsspannung zuführt. Diese Versorgungsspannung wird beispielsweise durch einen internen Hochsetzsteller 530 erzeugt. Die Spannungsversorgung 504 erzeugt außerdem eine niedrige Versorgungsspannung, die der Spannungsversorgung 505 zugeführt ist, und die beispielsweise von einer internen linearen Spannungsquelle 531 bereitgestellt wird. Die gemeinsame Hauptspannungsversorgung 504 liefert außerdem eine Versorgungsspannung für den Haupt-Mikrocontroller 503.
Die ASIC-Partition 501 der integrierten Schaltung umfasst eine Spannungsversorgung 516 für eine Sicherheitseinrichtung bzw. Sicherheitsschaltung 540, und umfasst außerdem ein serielles peripheres Interface (serial peripheral interface, SPI), dem ein serielles digitales Signal von dem Sensor Sen1 zugeführt ist und das an die Sicherheitsschaltung 540, die ein Haupt-Scharfschaltesignal 522 erzeugt, gekoppelt ist. Die Sicherheitsschaltung 540 umfasst beispielsweise einen zweiten Mikrocontroller, der in der ASIC-Partition 501 angeordnet ist, in der auch der Sicherheitsschalter 508 ausgebildet ist. Die Sicherheitsschaltung 540 ist daher keine unabhängige Halbleiteranordnung in dem Sicherheitspfad. Das Haupt-Scharfschaltesignal 522 ist einer Scharfschalteschaltung (arming matrix) 517 zugeführt, die die grundlegenden Scharfschalte-Berechnungen für die Airbag-Zündpille 303 durchführt. Der Scharfschalteschaltung 517 ist außerdem ein Vor-Scharfschaltesignal (pre-arming signal) 521 von dem Sensor Sen1 zugeführt. Die Scharfschalteschaltung 517 überträgt ein Freigabesignal an einen Sicherheitsschalter-Treiber 526, der wiederum an den Steueranschluss des Sicherheitsschalters 508 gekoppelt ist. Dieser Steueranschluss ist ein Gate, wenn der Sicherheitsschalter 508 als FET realisiert ist. Der Sicherheitsschalter-Treiber 526 umfasst eine Ladungspumpe und einen Oszillator, die in der Lage sind, eine Ansteuerspannung, insbesondere eine Gate-Ansteuerspannung, für den Sicherheitsschalter 508 zu erzeugen, die höher ist als die durch den Hochsetzsteller 530 erzeugte Versorgungsspannung. Die Partition 501 umfasst außerdem einen Watchdog-Timer, der dazu dient, einen Normalbetrieb der Scharfschalteschaltung 517 zu überwachen und eine Fehlfunktion an den Haupt-Mikrocontroller 503 zu berichten.
Die ASIC-Partition 502 der integrierten Schaltung enthält einen Satelliten-SPI-Überwachungsblock, dem ein serielles digitales Signal von einem Sensor Sen2 zugeführt ist und das an den Haupt-Mikrocontroller 503 übertragen wird. Die ASIC-Partition 502 ist durch die Hauptspannungsversorgung 504 versorgt.
Die ASIC-Partition 506 der integrierten Schaltung umfasst einen Auslöselogik- und SPI-Einheit (firing logic and SPI block) 526, die mit dem Haupt-Mikrocontroller 503 über eine Leitung 525 kommuniziert und der ein Auslösesignal von dem Haupt-Mikrocontroller 503 über eine Leitung 524 zugeführt ist. Die Auslöselogik- und SPI-Einheit 526 überträgt ein Auslösesignal an die Auslösestufe (firing stage) 527, die einen Hauptschalter und einen Sicherheitsschalter enthalten kann, wie beispielsweise den Hauptschalter und den Sicherheitsschalter, die zuvor anhand der 1 und 3 erläutert wurden. Die in 5 dargestellte Schaltung bietet ein hohes Maß an Trennung zwischen dem Haupt- und dem Sicherheitsauslösepfad, besitzt aber dennoch einen gemeinsamen Verursachungsfaktor aufgrund der gemeinsamen Spannungsversorgung. Ein durch einen Fehler der integrierten Schaltung mit den in 5 dargestellten Partitionen 501, 502 und 506 erzeugtes Zündpillen-Auslösesignal kann nicht durch den Mikrocontroller 503 blockiert werden.
Ein zweiter gemeinsamer Verursachungsfaktor besteht durch die Realisierung des Sicherheitspfades (ausschließlich des Sicherheitsschalters und des zugehörigen Sensors) auf demselben Chip wie die Spannungsversorgung, die Interfaces und die Auslösestufe des Hauptpfads. Der ASIC bietet Trennmaßnahmen, wie beispielsweise einen räumlichen Abstand und Grabenisolationen zwischen diesen Blöcken, dennoch besteht ein gemeinsamer Verursachungsfaktor. Daher sollte eine unabhängige Halbleiteranordnung, wie beispielsweise der Sicherheitsschalter, auf eine Weise realisiert und gesteuert werden, die nicht durch die Hauptspannungsversorgung beeinflusst ist.
Um gemeinsame Verursachungsfaktoren für ein unbeabsichtigtes Auslösen eines Airbag-Auslöseelements zu reduzieren, wird auf Schaltebene ein gewisses (begrenztes) Maß an Trennung zwischen den Kanälen dadurch erreicht, dass ein zusätzlicher Schalter in Reihe zu der Airbag-Auslöseschaltung geschaltet ist. Dieser Schalter ist in 5 durch den Sicherheitsschalter 508 repräsentiert. Dieser zusätzliche serielle Schalter, der auch durch einen externen High-Side-MOSFET realisiert sein kann, kann ein zentraler Schalter sein, der dazu dienen kann, mehrere Zündpillen zu schützen. Der zusätzliche High-Side-Schalter kann insbesondere als ein NDMOS-Bauelement realisiert sein, das durch einen Hochspannungstreiber angesteuert werden muss, der eine Ansteuerspannung zur Verfügung stellt, die beispielsweise um 10 V oberhalb des Sourcepotentials des MOS-Bauelements bzw. MOSFETs liegt. Bei dem in 5 dargestellten Beispiel wird die Gate-Ansteuerschaltung durch den Sicherheitsschalter-Treiber 526 erzeugt, der auf demselben ASIC-Chip angeordnet ist, wie die Auslösestufen. Dies bietet keine optimale Trennung, da ein Fehler, der den Haupt-Auslösepfad stört, auch den Treiber 526 des Sicherheitsschalters 508 beeinflussen kann.
Eine Isolation zwischen dem Hauptauslösepfad und dem Sicherheitsauslösepfad kann durch ein Layout der integrierten Schaltung erreicht werden, bei dem eine Trenndistanz, die in den 5, 6 und 7 durch Trennbereiche 510, 511, dargestellt ist, zwischen kritischen Blöcken in der integrierten Schaltung vorhanden ist. Der gemeinsame Fehlerpfad zwischen dem Sicherheits-Auslösepfad und dem Hauptauslösepfad wird zwar verbessert, allerdings nicht vollständig entfernt, und zwar wegen der Realisierung dieser beiden Pfade auf dem selben Substrat mit einer gemeinsamen Spannungsversorgung.
Es ist wichtig beim Entwurf von Systemen, die einen hohen Sicherheitsintegritätspegel (SIL) benötigen, dass signalverarbeitende Elemente kein gemeinsames Element enthalten, das einen gemeinsamen Fehler induzieren könnte. So ist es beispielsweise wichtig, dass eine durch eine Versorgungsspannungsquelle erzeugte hohe Spannung keinen gemeinsamen Fehler induziert, der ein Auslösen des Auslöseelements bewirken könnte. So könnte beispielsweise ein Schaltsignal wegen eines Schaltungsfehlers auf einem Einschaltpegel (wie z. B. einem High-Pegel) festgehalten werden, oder durch einen Schaltungsfehler könnte ein Schwingungsverhalten eines solchen Schaltsignals hervorgerufen werden.
Trotz der Realisierung des in 5 dargestellten Zündpillen-Auslösesystems mit mehreren Pfaden, verbleiben gemeinsame (Fehler-)Faktoren, die durch die Temperatur und eine Integration auf einem gemeinsamen Halbleiterchip bedingt sein können.
Ein gemeinsamer Verursachungsfaktor, der bei der in 5 dargestellten Schaltung vorhanden ist, kann reduziert werden durch Vorsehen eines Signalierungspfades für den Sicherheitsschalter 508, der auf einem anderen Halbleiterchip verläuft als der Hauptauslösepfad. Dies kann beispielsweise erreicht werden durch direktes Ansteuern des Sicherheitsschalters durch den Mikrocontroller 503, und durch Realisieren des Gatetreibers auf demselben Halbleiterchip wie der Sicherheitsschalter 508. Dies verschiebt den Sicherheitsschalter in den Hauptauslösepfad und weg von dem Sicherheitspfad, der nun vollständig in der Haupt-Auslöse-Schaltung angeordnet ist, d. h. in der Partition 506. Ein Vorteil dieses Vorgehens besteht darin, dass bei einer schwerwiegenden Fehlfunktion der Haupt-Auslöse-Schaltung, der Sicherheitsschalter davon unabhängig sein kann. Solange die integrierte Schaltung zuverlässig funktioniert, ist dies kein Nachteil, da der Sicherheitspfad den integrierten Auslösepfad deaktiviert.
6 veranschaulicht ein Blockschaltbild eines Airbag-Auslösesystems das mehrere Halbleiteranordnungen aufweist, wobei der Haupt-Mikrocontroller 603 nun einen direkten Kommunikationspfad 602 zu dem Sicherheitsschalter 608 aufweist, der nicht in dem partitionierten ASIC angeordnet ist. 6 veranschaulicht eine mögliche Umgebung für die Anwendung der Grundprinzipien der nachfolgend erläuterten Erfindung. Diese Anordnung verhindert die Aktivierung des Sicherheitsschalters 608 solange der System-ASIC nach wie vor arbeitet. Dies wird erreicht durch Bereitstellen eines zweiten ”Einer-Aus-Zwei”-Pfads, um den Sicherheitsschalter 608 anzusteuern. Der Sicherheitsschalter 608 und der Sicherheitsschaltertreiber 626 sind in einer separaten High-Side-Schaltanordnung 608 realisiert. Dies verhindert die Aktivierung des Sicherheitsschalters 608 solange durch den Mikrocontroller 603 keine Auslöseentscheidung getroffen wird. Dennoch ist dies nur ein ”Einer-Aus-Zwei”-Pfad, wobei der Hauptpfad den Sensor 321, den Haupt-Mikrocontroller 603, die integrierte Auslösestufe (506, 526, 527) und den Sicherheitsschalter 608 umfasst.
Der andere Pfad umfasst den On-Board-Sensor, d. h. den Sensor 320, die integrierte Sicherheitseinrichtung 502 mit einer Freigabefunktion (Scharfschalteschaltung) 517, beispielsweise für den High-Side-Schalter der integrierten Auslösestufe. Der Sicherheitsschalter 608 ist in dem Beispiel in einer High-Side-Schaltanordnung 601 angeordnet und insbesondere als MOSET ausgebildet. Ein Beispiel eines kommerziellen Produktes für diese separate High-Side-Schaltanordnung 601 ist der PROFET^® der Firma Infineon, der ein einfaches ”Ein-Bit”-Interface aufweist, über das die High-Side-Schaltanordnung 601 an den Haupt-Mikrocontroller 603 gekoppelt ist. Der Haupt-Mikrocontroller 603 wertet das durch den Sensor Sen2, 321 erzeugte Sensorsignal aus und aktiviert den Sicherheitsschalter 608 nicht, wenn der Sensor Sen2 keinen Hinweis auf einen Aufprall liefert. Sogar dann, wenn der gesamte ASIC in einer Worst-Case-Situation ausfallen würde, würde der Sicherheitsschalter 608 nicht aktiviert werden, solange der Haupt-Mikrocontroller 603 in Betrieb ist. Solange der ASIC in Betrieb ist, kann der Haupt-Mikrocontroller 603 ausfallen, ohne dass die Zündpille ausgelöst wird, da die Scharfschalteschaltung 517 in dem Sicherheits-Auslösepfad keine Aktivierung der Hauptauslösestufe 527 erlauft. Dennoch verbleibt die Spannungsversorgung, die den Haupt-Mikrocontroller 603 und den partitionierten ASIC versorgt, als gemeinsamer Verursachungsfaktor für ein unbeabsichtigtes Auslösen der Airbag-Zündpille 303.
7 veranschaulicht ein weiteres Blockschaltbild eines Airbag-Auslösesystems das mehrere Halbleiteranordnungen aufweist, wobei der Haupt-Mikrocontroller 603 einen direkten Kommunikationspfad zu dem Sicherheitsschalter 608 aufweist, der nicht auf dem partitionierten ASIC ausgebildet ist. 7 zeigt ein weiteres Beispiel einer Anwendungsumgebung für Ausführungsbeispiele der Erfindung. Bei dieser Schaltung ist zusätzlich ein MOSFET 701, speziell ein NMOS-FET, vorhanden, der als Sourcefolger zwischen die Ausgänge der Scharfschalteschaltung 517 und des Haupt-Mikrocontroller 603 und den Eingang des Sicherheitsschaltertreibers 626 geschaltet ist. Der NMOS-FET 701 realisiert eine UND-Verknüpfung für die Freigabe des Sicherheitsschalters 608. Der Sourceanschluss des NMOS-FET 701 ist in 7 mit s bezeichnet. Wenn die Scharfschalteschaltung 517 ein High-Signal am Gate des NMOS-FET 701 bereitstellt, schaltet ein Low-Signal an einem Open-Drain-Pin des Haupt-Mikrocontrollers 603, d. h. an einer Leitung 702, den Sicherheitsschalter 601 ein.
Der durch den NMOS-FET 701 gebildete Sourcefolger schnürt den Open-Drain-Ausgang des Haupt-Mikrocontrollers 603 an Leitung 702 ab, um eine Aktivierung des Sicherheitspfads zu verhindern, wenn das durch die Scharfschalteschaltung 517 erzeugte Sicherheitssignal den Auslösebefehl nicht bestätigt. Wenn der Sicherheitspfad aktiviert ist, kann das Gate des Sourcefolgers 701 auf einen niedrigen Spannungspegel gezogen werden und kann als kaskadiertes Schaltungselement für einen Sourcefolger in dem Mikrocontroller funktionieren, der einen zusätzlichen Schutz des Mikrocontrollers gegen hohe Spannungspegel bietet. Der NMOS-Sourcefolger 701 kann auch in dem ASIC des Systems integriert werden, wodurch ein weiterer Schutzmechanismus gegen eine fehlerhafte Auslösung der Zündpille erreicht werden kann.
Die Spannungsversorgung verbleibt als gemeinsamer Verursachungsfaktor bei den in den 6 und 7 (sowie 5) dargestellten Systemen. Wenn die Spannungsversorgung eine Überspannung erzeugt, kann diese Überspannung den ASIC und den Mikrocontroller schädigen und Schutzsignale, die durch den Haupt-Mikrocontroller 603 an den Leitungen 602 oder 702 erzeugt wird, können durch defekte Ausgangsschaltungen oder durch elektrostatische Entladung (electrostatic discharge, ESD) nach oben oder nach unten gezogen werden. Ein PROFET^® wird aktiviert, wenn dessen Eingangspin auf ein lokales Bezugspotential oder auf einen Spannungspegel gezogen wird, der ausreichend unterhalb der Spannung am Spannungsversorgungspin liegt, über den der Sicherheitsschalter 608 versorgt wird, liegt, insbesondere dann, wenn dieser Pin aufgrund eines Fehlers oder eines ESD-Ereignisses nach oben gezogen wird. Um eine fehlerhafte Aktivierung des Sicherheitsschalters 608 zu vermeiden, werden die Aktivierungssignale an den Leitungen 602, 702 durch den Mikrocontroller so erzeugt, dass es nicht wahrscheinlich ist, dass sie durch einen defekten Mikrocontroller erzeugt werden können, insbesondere dann, wenn eine substantielle Schädigung des Mikrocontrollers aufgrund eines Überspannungs- oder eines ESD-Ereignisses vorliegt.
8 veranschaulicht ein Blockschaltbild einer integrierten High-Side-Schaltanordnung 800 mit einem MOSFET, insbesondere einem NMOS-Leistungs-MOSFET 810. Der NMOS-Leistungs-MOSFET 810 kann als High-Side-Sicherheitsschalter in sicherheitsrelevanten Systemen eingesetzt werden, wie beispielsweise in den Systemen gemäß den 5, 6 und 7. Die integrierte High-Side-Schaltanordnung 800 ist durch ein Taktsignal angesteuert, das durch eine externe Signalquelle erzeugt wird, und das einem ersten Eingangspin IN1 zugeführt ist. Optional ist ein zweiter Eingangspin IN2 vorhanden, über der High-Side-Schaltanordnung ein Ladungspumpenaktivierungssignal zugeführt werden kann. Die als Sicherheitsschalter einsetzbare High-Side-Schaltanordnung 800 umfasst eine integrierte Logikschaltung 801, die Niederspannungsschaltelemente aufweist und die an einen Basischip 802 gekoppelt ist. Der NMOS-Leistungs-MOSFET 810 ist in dem Basischip 802 realisiert.
Eine Spannungsquelle 204 erzeugt eine Versorgungsspannung Vbb für die High-Side-Schaltanordnung 800. Ein Widerstand 508 ist zwischen die Spannungsquelle und andere Schaltungselemente in der High-Side-Schaltanordnung 800 geschaltet und sorgt für einen Spannungsabfall, so dass diesen anderen Schaltungselementen eine niedrige Versorgungsspannung zugeführt ist. Eine Pull-Up-Anordnung, üblicherweise eine Stromquelle, wie beispielsweise die Stromquelle 817, oder ein Widerstand ist zwischen die Spannungsquelle 204 und den Eingangspin IN1 geschaltet. Eine solche Pull-Up-Anordnung, wie beispielsweise eine Stromquelle oder ein Widerstand (nicht dargestellt), die an die Spannungsquelle gekoppelt ist, kann auch für den zweiten Eingangspin IN2 der High-Side-Schaltanordnung vorgesehen werden, da auch an diesem Eingang im Betrieb ein Open-Drain-Signal mit niedriger Spannung anliegen kann, das üblicherweise durch einen Mikrocontroller in ähnlicher Weise wie das Signal für den Eingangspin IN1 erzeugt wird. Der Sourceanschluss des NMOS-Leistungs-MOSFET 810 ist an einen Ausgangspin OUT gekoppelt, wobei an den Ausgangspin OUT eine zwischen den Ausgangspin OUT und Bezugspotential geschaltete Last, wie beispielsweise die in 8 dargestellte Last 203, angeschlossen sein kann. Die Last 203 ist beispielsweise eine Last, die Sicherheitsmaßnahmen erfordert, wie beispielsweise die Auslösestufe 527, die unter Bezugnahme auf die 5, 6 und 7 erläutert wurde, oder wie jede andere Auslöseschaltung für ein Zündelement, insbesondere eines Zündelements für einen Airbag.
Das Taktsignal am ersten Eingangspins IN1 und das Signal am optionalen zweiten Eingangspin IN2 sind in der High-Side-Schaltanordnung 800 einem optionalen ESD-Block 803 zugeführt, der herkömmliche ESD-Schutzelemente, wie beispielsweise Zenerdioden, aufweist und der die High-Side-Schaltanordnung 800 gegenüber dem Auftreten von ESD-Ereignissen an den Eingängen IN1, IN2 schützt. Nach dem ESD-Block 803 sind die Eingangssignale einem Ladungspumpensteuerblock 804 zugeführt.
Das Taktsignal am ersten Eingang IN1 und/oder das Ladungspumpenaktivierungssignal am optionalen zweiten Eingang IN1 dienen zur Aktivierung einer Ladungspumpe 805, die zusammen mit dem Ladungspumpensteuerblock eine Ladungspumpenanordnung bildet. Das Taktsignal am ersten Eingang IN1 ist ein hochfrequentes Wechselspannungssignal, das ein komplexes Eingangssignal für die High-Side-Schaltanordnung bildet.
Bei einem Ausführungsbeispiel wird nur der erste Eingangspin IN1 verwendet, um die High-Side-Schaltanordnung 800 – und insbesondere die Ladungspumpe 805 in der High-Side-Schaltanordnung 800 – zu aktivieren, wobei das Taktsignal über diesen Pin IN1 der High-Side-Schaltanordnung 800 zugeführt ist. Immer dann, wenn die Taktfrequenz dieses Taktsignals ausreichend hoch ist, ist die durch die Ladungspumpe 805 erzeugte Ausgangsspannung, die dem High-Side-MOSFET 810 als Gate-Source-Spannung zugeführt ist, hoch genug, um den MOSFET 810 einzuschalten. Die Ausgangsspannung der Ladungspumpe 805 kann überprüft werden, beispielsweise durch einen Komparator, um die Pumpenspannung von dem Gateanschluss des MOSFET zu trennen, wenn die Spannung zu gering ist, um den MOSFET 810 sicher einzuschalten, d. h. so einzuschalten, dass er einen ausreichend niedrigen Einschaltwiderstand besitzt. Optional kann ein Entladewiderstandes oder eine Entladestromquelle an den Ladungspumpenausgang 809 angeschlossen werden, der bzw. die dazu verwendet werden kann, eine minimale Pumpenfrequenz einzustellen, ab der die zum Einschalten des High-Side-MOSFET 810 notwendige Gatespannung vorliegt. Je kleiner dieser Widerstand ist bzw. je größer der Entladestrom der Stromquelle ist, um so höher muss die Taktfrequenz sein, ab der eine ausreichende Spannung zum Einschalten des MOSFET 810 erzeugt wird. Um die Selektivität (der Taktfrequenz bei der der MOSFET 810 über die Ladungspumpe eingeschaltet wird) zu erhöhen, kann ein Bandpassfilter eingesetzt werden, das so verschaltet ist, dass ein Betrieb der Ladungspumpe bzw. ein Einschalten des MOSFET 810 verhindert wird, wenn die Taktfrequenz des Eingangssignals außerhalb eines spezifizierten Bereichs liegt. Dies ist lediglich ein Beispiel für eine analoge Implementierung einer selektiven Schaltung. Diese Selektivität, d. h. das Vorliegen einer entsprechenden Frequenzbedingung für das Taktsignal, ist optional und ist insbesondere dann nicht erforderlich, wenn eines der nachfolgenden Ausführungsbeispiele verwendet wird.
Bei einem Ausführungsbeispiel wird die Gültigkeit des Taktsignals geprüft, bevor der High-Side-MOSFET 810 aktiviert wird, und zwar durch Vergleichen einer Zeitdauer des zugeführten Taktsignals mit einer internen Zeitkonstante, wobei die Ladungspumpe deaktiviert wird, wenn diese Zeitdauer außerhalb eines definierten Toleranzbereichs liegt. Die Zeitkonstante kann beispielsweise eine intern erzeugte RC-Zeitkonstante sein.
Bei einem Ausführungsbeispiel wird ein Taktimpulsmuster geprüft, um eine hohe Selektivität zu erreichen, bevor der High-Side-MOSFET 810 aktiviert wird. Ein Muster einer Folge von Taktimpulsen wird mit einem Referenzmuster verglichen. So kann beispielsweise die Dauer der High-Perioden des Taktsignals variiert werden, wie z. B. kurz, lang, kurz, lang, ... Die Ladungspumpe wird nur dann freigegeben und arbeitet mit einer empfangenen oder abgeleiteten Taktfrequenz, wenn das Muster erkannt wird. Der Vorteil dieses Ausführungsbeispiels besteht darin, dass es sehr unwahrscheinlich ist, dass ein spezielles Taktmuster durch einen defekten Mikrocontroller erzeugt wird. Ein solches Taktimpulsmuster stellt ein dem Taktsignal aufmoduliertes, Freigabe- oder Ladungspumpenaktivierungssignal dar, wobei die Ladungspumpe aktiviert wird, wenn ein Aktivierungscode detektiert wird, wenn also ein vorgegebenes Impulsmuster vorliegt.
Die Verwendung von zwei Pins, wie beispielsweise der Pins IN1 und IN2, ermöglicht es, der High-Side-Schaltanordnung das Ladungspumpenaktivierungssignal getrennt von dem Taktsignal zuzuführen. Das Aktivierungssignal kann beispielsweise ein Signalmuster sein, das zu dem Taktsignal synchronisiert ist, und das ebenfalls für die Ladungspumpe verwendet wird. Dies macht die Detektion leichter und erlaubt eine Erhöhung der Komplexität des Referenzmusters, das detektiert werden kann, ohne die Hardwarekomplexität zu erhöhen. Die Ladungspumpe wird beispielsweise nur dann aktiviert, wenn zwei synchronisierte Signale an den Eingängen IN1, IN2 vorliegen.
Selbstverständlich können auch Kombinationen der zuvor erläuterten Ausführungsbeispiele angewendet werden.
Der Pumpensteuerblock 804 kann ein Bandpassfilter enthalten, das an die Frequenz des dem Eingangspin IN1 zugeführten Wechselspannungssignals angepasst ist. Der Pumpensteuerblock 804 ermöglicht einen Betrieb des Ladungspumpenblocks 805, der eine Ladungspumpenschaltung jedoch keinen internen Oszillator aufweist, dahingehend, dass er ein für den Ladungspumpenbetrieb notwendiges hochfrequentes Signal erzeugt. Der Ladungspumpenblock 805 erzeugt das Gatesignal 809 für den NMOS-Leistungs-MOSFET 810. Ein leitender Zustand des Leistungs-MOSFET 810 ist daher abhängig von dem Betrieb des Ladungspumpenblocks 805, der wiederum abhängig ist von wenigstens einem Taktsignal, das durch ein externe Signalquelle, an wenigstens einem der Eingangspins IN1, IN2 erzeugt wird.
Das Gatesignal 809 für den Leistungs-MOSFET 810 kann geklemmt werden, um den Leistungs-MOSFET vor induktiven Spannungsspitzen zu schützen. Der Block 810, der in 8 dargestellt ist, umfasst Schaltungselemente, wie beispielsweise Zenerdioden, die eine Klemmfunktion zum Schutz des Gates des Leistungs-MOSFET 810 realisieren. Selbstverständlich können der Pumpensteuerblock 804 und der Ladungspumpenblock 805 als einzelner funktioneller Block realisiert sein.
Das Logikpegel-Eingangssignal, das dem Eingangspin IN1 zugeführt ist, bildet ein komplexes Eingangssignal das eine leitende Ansteuerung des Leistungs-MOSFET ermöglicht. Das Nichtvorhandensein oder eine nicht korrekte Erzeugung des komplexen Eingangssignals verhindert eine leitende Ansteuerung des Sicherheits-Leistungs-MOSFET 810. Das dem Eingangspin IN1 zugeführte Signal kann durch ein in der Pumpensteuerschaltung 804 enthaltenes Bandpassfilter gefiltert. Alternativ wird das Eingangssignal am Eingangspin IN1 mit einem Referenzsignalmuster verglichen, bevor die Ladungspumpe aktiviert wird. Letzteres entspricht der Detektion des Vorhandenseins eines Aktivierungscodes in dem Taktsignal. Das Filtern des Signals mit einem Bandpassfilter, das einen schmalen Durchgangsbereich besitzt, verhindert im Wesentlichen eine Aktivierung der Ladungspumpe durch zufällige Oszillationen, die an dem Eingangspin IN1 auftreten können. Eine Signalquelle 816, die das komplexe Eingangssignal an dem Eingangspin IN1 erzeugt, kann beispielsweise als Mikrocontroller mit einem Open-Drain-Ausgang realisiert sein. Bei dieser Anordnung wird der Betrieb der Ladungspumpe gesteuert durch einen Oszillator, der getrennt von der High-Side-Sicherheitsschaltanordnung 800 angeordnet ist und der ein Taktsignal erzeugt, das dem Eingangspin IN1 zugeführt ist. Ein interner Ladungspumpenoszillator wird daher durch ein Taktsignal erzeugt, das an einen externen Eingang zur Verfügung steht. Zwei Sicherheitsvorteile werden dadurch erreicht. Der erste Vorteil besteht darin, dass ein an dem Eingangspin IN1 auf einem bestimmten Pegel festgehaltenes Signal keine Auswirkung besitzt, da die Ladungspumpe nur dann eine Spannung erzeugen kann, die höher ist als die Versorgungsspannung Vbb, wenn ein Taktsignal zur Verfügung steht, das einen Betrieb der Ladungspumpe freigibt. Der zweite Vorteil besteht darin, dass kein internes Taktsignal zum Ansteuern der Ladungspumpe in der integrierten High-Side-Schaltanordnung 800 vorhanden ist, so dass kein Fehler der High-Side-Schaltanordnung dieses Taktsignal der Ladungspumpe zuführen kann, außer dann, wenn ein Source-Drain-Kurzschluss des Leistungsschalters 810 vorliegt.
Weitere Sicherheitsvorkehrungen können getroffen werden durch Hinzufügen weiterer Beschränkungen bezüglich der Charakteristik des Eingangssignals, das dem Eingangspin IN1 zugeführt sein muss, um eine Aktivierung der Ladungspumpe und damit eine leitende Ansteuerung des MOSFET 810 zu erreichen. So können beispielsweise die Flanken des Eingangssignals, das dem Eingangspin IN1 zugeführt ist, während eines Zeitfensters gezählt werden, und die Ladungspumpe kann beispielsweise nur dann aktiviert werden, wenn das Zählergebnis zwischen einem vorgegebenen Minimalwert und einem vorgegebenen Maximalwert liegt. Der Schutzeffekt, der hierdurch erreicht wird, ist vergleichbar mit dem Schutzeffekt, der durch ein Tiefpass- oder Bandpassfilter erreicht wird, allerdings kann dieser Schutzeffekt genauer erreicht werden.
Bei einem weiteren Beispiel ist vorgesehen, dass der High-Side-Schaltanordnung 800 ein Taktsignal für die Ladungspumpe und ein Aktivierungs- oder Freigabesignal zugeführt ist. Dies kann über einen Eingangspin, wie beispielsweise den Eingangspin IN1, erfolgen. Das Taktsignal kann in diesem Fall beispielsweise ein Manchester-kodiertes Taktsignal oder ein PSK-kodiertes (PSK = phase shift keying) Taktsignal sein, das das Freigabesignal in kodierter Form enthält. Das Freigabesignal und das Taktsignal können auch über zwei getrennte Eingangspins, wie beispielsweise die Eingangspins IN1, IN2 zugeführt werden, wobei an einem Pin das Taktsignal und an dem anderen Pin das Freigabesignal anliegt. Diese Signale werden durch einen geeigneten Empfänger in dem Pumpensteuerblock 804 empfangen. Die Aktivierung der Ladungspumpe erfordert einen mit dem Freigabesignal übertragenen vordefinierten Befehl zusätzlich zu dem Taktsignal. Die Ladungspumpe wird hierbei nur dann aktiviert, wenn zusätzlich zu dem Taktsignal der richtige Befehl vorliegt.
Ein weiterer Schutz des Systems kann erreicht werden, indem zusätzliche Eingänge vorgesehen werden, die aktiviert werden müssen, um einen Betrieb der Ladungspumpe zu erreichen.
Die High-Side-Schaltanordnung 800 kann weitere Schaltelemente und Verbesserungen enthalten, um einen verbesserten Funktionalitätsgrad zu erreichen. So kann beispielsweise der den Sicherheitsschalter 810 durchfließende Strom durch einen Spannungsdetektionsblock 815, der die Spannung an dem MOSFET erfasst, erfasst werden. Dieser Spannungsdetektionsblock 815 liefert ein internes Schutzsignal an den Pumpensteuerblock 804 und einen Laststromerfassungsblock 814 liefert. Wenn beispielsweise der Laststromerfassungsblock 814 einen Strompegel des Stromes durch den Sicherheitsschalter 810 detektiert, der einen vorgegebenen Wert erreicht, kann der Strombegrenzungsblock 813 verwendet werden, um das Gate des Sicherheitsschalters 810 so anzusteuern, dass der Strom auf einen vorgegebenen Wert begrenzt wird. Der erfasste Laststrom kann einem Ausgangspin, wie z. B. einem Ausgangspin IS zugeführt werden, an dem eine Information bezüglich des das System durchfließenden Laststromes zur Verfügung gestellt wird. Am Ausgangspin IS kann an einem Widerstand ein Strom I_IS zur Verfügung gestellt werden, der proportional ist zu dem Laststrom. Ein solcher Widerstand ist beispielsweise der Widerstand 811 gemäß 8.
Ein Spannungsmessblock 806 und ein Übertemperaturmessblock 807 können zur Verfügung gestellt werden, um einen Betrieb der High-Side-Schaltanordnung 800 zu deaktivieren, wenn ein Spannungspegel oder eine gemessene Temperatur, wie beispielsweise eine Temperatur des Sicherheitsschalters 810 einen Schwellenwert übersteigt.
In dem voranstehenden Text wurde eine High-Side-Schaltanordnung erörtert, die in einer sicherheitsrelevanten Anordnung, wie beispielsweise einem Sicherheitsschalter in einem Airbag-ECU-System eingesetzt werden kann. Gemäß einem Ausführungsbeispiel umfasst die High-Side-Schaltanordnung einen Halbleiterschalter und eine Ladungspumpe, wobei die Ladungspumpe abhängig von einem externen Taktsignal arbeitet. Außerdem ist ein Eingang für ein externes Ladungspumpenaktivierungssignal vorhanden. Die Ladungspumpe ist dazu ausgebildet, ein Leiten des Halbleiterschalters abhängig von dem externen Taktsignal und abhängig von dem externen Ladungspumpenaktivierungssignal zu ermöglichen.
Bei einem Ausführungsbeispiel ist das externe Taktsignal dem Eingang für das externe Ladungspumpenaktivierungssignal zugeführt. Bei einem weiteren Ausführungsbeispiel ist eine Stromquelle an den Eingang für das externe Ladungspumpenaktivierungssignal gekoppelt. Bei einem Ausführungsbeispiel erfordert die Ladungspumpe, dass das externe Ladungspumpenaktivierungssignal einem Aktivierungscode entspricht, bevor der Halbleiterschalter eingeschaltet wird. Bei einem Ausführungsbeispiel ist der Aktivierungscode ein Manchester-Code.
Bei einem Ausführungsbeispiel fordert die Ladungspumpe dass eine interne Ladungspumpenspannung einen Schwellenwert übersteigt, bevor der Halbleiterschalter eingeschaltet wird. Bei einem Ausführungsbeispiel umfasst die Ladungspumpe eine Schaltung, die verhindert, dass eine Ladungspumpenspannung eine Leitfähigkeitsschwelle des Halbleiterschalters erreicht, wenn eine Frequenz des externen Taktsignals geringer ist als ein Frequenzschwellenwert. Bei einem weiteren Ausführungsbeispiel ist zwischen den Eingang für das externe Taktsignal und einen Eingang der Ladungspumpe ein Bandpassfilter geschaltet, dessen Durchlassbereich auf eine Frequenz des externen Taktsignals abgestimmt ist.
Bei einem Ausführungsbeispiel ist der Halbleiterschalter ein MOSFET. Bei einem Ausführungsbeispiel werden Flanken des externen Ladungspumpenaktivierungssignals während eines Zeitfensters gezählt; und die Anzahl der Flanken muss zwischen einem definierten Minimumwert und einem definierten Maximalwert liegen, bevor der Halbleiterschalter eingeschaltet wird. Bei einem weiteren Ausführungsbeispiel ist eine Spannungsdetektionsschaltung dazu ausgebildet, einen Strompegel in dem Halbleiterschalter zu detektieren, und der Halbleiterschalter wird durch die Spannungsdetektionsschaltung deaktiviert, wenn ein Strompegel oberhalb eines Schwellenwertes detektiert wird.
Bei einem Ausführungsbeispiel steht ein Signal, das einen Strompegel anzeigt, an einem Ausgangsknoten einer High-Side-Schaltanordnung zu Verfügung. Bei einem weiteren Ausführungsbeispiel sind wenigstens ein Spannungsmessblock und ein Übertemperaturmessblock dazu ausgebildet, einen leitenden Zustand des Halbleiterschalters zu deaktivieren oder ein Leiten des Halbleiterschalters zu verhindern, wenn eine gemessene Spannung und/oder eine gemessene Temperatur einen vorgegebenen Schwellenwertpegel übersteigt.
Ein weiteres Ausführungsbeispiel betrifft ein Verfahren zum Freigeben einer leitenden Ansteuerung eines Halbleiterschalters mittels einer Ladungspumpe, die abhängig von einem externen Taktsignal angesteuert ist. Bei einem Ausführungsbeispiel umfasst das Verfahren das Zuführen des externen Taktsignals und das Zuführen eines externen Ladungspumpenaktivierungssignals für die Ladungspumpe und ein leitendes Ansteuern des Halbleiterschalters abhängig von dem externen Taktsignal und dem externen Ladungspumpenaktivierungssignal.
Bei einem Ausführungsbeispiel umfasst das Verfahren außerdem das Zuführen des externen Taktsignals und des externen Ladungspumpenaktivierungssignals an einem selben Eingang. Bei einem Ausführungsbeispiel umfasst das Verfahren das externe Ladungspumpenaktivierungssignal einem Aktivierungscode genügen muss, bevor der Halbleiterschalter leitend angesteuert werden kann. Bei einem Ausführungsbeispiel umfasst das Verfahren, das eine interne Ladungspumpenspannung einen Schwellenwertpegel übersteigen muss, bevor der Halbleiterschalter leitend angesteuert werden kann.
Bei einem Ausführungsbeispiel umfasst das Verfahren das Zählen von Flanken des externen Ladungspumpenaktivierungssignals während eines Zeitfensters, und dass eine Anzahl der Flanken zwischen einem Minimalwert und einem Maximalwert liegen muss, bevor der Halbleiterschalter leitend angesteuert werden kann. Bei einem Verfahren umfasst das Verfahren außerdem das Detektieren eines Strompegels in dem Halbleiterschalter und das Verhindern einer leitenden Ansteuerung des Halbleiterschalters bei Detektion eines Strompegels, der oberhalb eines Schwellenwertes liegt. Bei einem Ausführungsbeispiel umfasst das Verfahren außerdem das Verhindern einer leitenden Ansteuerung des Halbleiterschalters wenn eine gemessene Spannung und/oder eine gemessene Temperatur der Ladungspumpe und/oder des Halbleiterschalters oberhalb eines jeweiligen Schwellenwertes liegt.
Ein weiteres Ausführungsbeispiel betrifft eine Zündpillenauslöseschaltung, die eine Hauptauslöseschaltung mit einem ersten Sensor und eine Sicherheitsauslöseschaltung mit einem zweiten Sensor aufweist. Die Zündpillenauslöseanordnung umfasst außerdem eine High-Side-Schaltanordnung mit: Einem Halbleiterschalter, einer Ladungspumpe, die abhängig von einem der High-Side-Schaltanordnung von außen zugeführten Taktsignal funktioniert, und einem Eingang der High-Side-Schaltanordnung für ein Ladungspumpenaktivierungssignal, das der High-Side-Schaltanordnung von außen zugeführt ist. Die Ladungspumpe ist dazu ausgebildet, ein Leiten des Halbleiterschalters abhängig von dem externen Taktsignal und abhängig von dem externen Ladungspumpenaktivierungssignal zu ermöglichen. Bei einem weiteren Ausführungsbeispiel umfasst die Zündpillenauslöseschaltung eine elektrisch in Reihe zu der Hauptauslöseschaltung und der Sicherheitsauslöseschaltung geschaltete Zündpille und eine Airbaganordnung, die benachbart zu der Zündpille angeordnet ist, so dass die Zündpille die Airbaganordnung aktivieren kann, nachdem sie ausgelöst wurde.

Claims

Eine High-Side-Schaltanordnung (800), die aufweist: einen Halbleiterschalter (810); eine Ladungspumpenanordnung (804, 805), die abhängig von einem externen Taktsignal funktioniert; wobei die Ladungspumpenanordnung (804, 805) dazu ausgebildet ist, eine für eine leitende Ansteuerung des Halbleiterschalters (810) ausreichende Ansteuerspannung zur Verfügung zu stellen, wenn die Frequenz des externen Taktsignals eine vorgegebene Frequenzbedingung erfüllt und/oder wenn der Ladungspumpenanordnung (804, 805) ein Ladungspumpenaktivierungssignal zugeführt ist, das einen Aktivierungscode enthält, wobei das externe Taktsignal und das Ladungspumpenaktivierungssignal getrennte Signale sind.
High-Side-Schaltanordnung (800) nach Anspruch 1, bei dem die Ladungspumpenanordnung (804, 805) dazu ausgebildet ist, die für die leitende Ansteuerung des Halbleiterschalters (810) ausreichende Ansteuerspannung zur Verfügung zu stellen, wenn die Frequenz des externen Taktsignals oberhalb eines vorgegebenen Frequenzwertes liegt oder wenn die Frequenz des externen Taktsignals innerhalb eines vorgegebenen Frequenzbereichs liegt.
High-Side-Schaltanordnung (800) nach Anspruch 1, bei dem die Ladungspumpenanordnung (804, 805) dazu ausgebildet ist, Flanken des externen Taktsignals während eines Zeitfensters zu zählen und die dazu ausgebildet ist, die für die leitende Ansteuerung des Halbleiterschalters (810) ausreichende Ansteuerspannung zur Verfügung zu stellen, wenn die während des Zeitfensters gezählte Anzahl von Flanken zwischen einem vorgegebenen Minimalwert und einem vorgegebenen Maximalwert liegt.
High-Side-Schaltanordnung (800) nach einem der vorangehenden Ansprüche, bei der das Ladungspumpenaktivierungssignal dem externen Taktsignal aufmoduliert ist.
High-Side-Schaltanordnung (800) nach Anspruch 4, bei der das externe Taktsignal ein Manchester-kodiertes oder ein PSK-kodiertes Signal ist.
High-Side-Schaltanordnung (800) nach einem der vorangehenden Ansprüche, bei der die Ladungspumpenschaltung (804, 805) dazu ausgebildet ist, die Ansteuerspannung erst dann an den Halbleiterschalter (810) anzulegen, wenn diese Ansteuerspannung einen Schwellenwert übersteigt.
High-Side-Schaltanordnung (800) nach einem der vorangehenden Ansprüche, bei der die Ladungspumpenschaltung (804, 805) aufweist: eine Pumpensteuerschaltung (804), der das externe Taktsignal zugeführt ist und die dazu ausgebildet ist, ein internes Taktsignal für die Ladungspumpe (805) aus dem externen Taktsignal zu erzeugen; eine Ladungspumpe (805), der das interne Taktsignal zugeführt ist.
High-Side-Schaltanordnung (800) nach Anspruch 7, bei der die Pumpensteuerschaltung (804) ein Tiefpassfilter oder ein Bandpassfilter aufweist, dem das externe Taktsignal zugeführt ist und das das interne Taktsignal erzeugt.
High-Side-Schaltanordnung (800) nach einem der vorangehenden Ansprüche, die weiterhin aufweist: eine an den Halbleiterschalter (810) gekoppelte Strombegrenzungsschaltung (813), die dazu ausgebildet ist, einen Strom durch den Halbleiterschalter (810) zu begrenzen.
High-Side-Schaltanordnung (800) nach einem der vorangehenden Ansprüche, die außerdem aufweist: einen Spannungssensor (806) und/oder einen Übertemperatursensor (807), die dazu ausgebildet sind, eine leitende Ansteuerung des Halbleiterschalters (810) zu verhindern, wenn eine gemessene Spannung und/oder eine gemessene Temperatur einen jeweiligen Schwellenwert übersteigen.
Schaltungsanordnung, die aufweist: eine High-Side-Schaltanordnung (800) gemäß einem der vorangehenden Ansprüche; eine Last (203); wobei die Last (203) in Reihe zu dem Halbleiterschaltelement (810) geschaltet ist und die Reihenschaltung zwischen Klemmen für Versorgungspotenziale geschaltet ist.
Schaltungsanordnung nach Anspruch 11, bei der die Last (203) aufweist: eine erste Auslöseschaltung mit einem ersten Sensor und eine zweite Auslöseschaltung mit einem zweiten Sensor, die in Reihe zueinander geschaltet sind.
Schaltungsanordnung nach Anspruch 11 oder 12, bei der die Last (203) weiterhin aufweist: ein Zündelement, das in Reihe zu den Auslöseschaltungen geschaltet ist.
Schaltungsanordnung nach Anspruch 11, bei der die Last (203) eine Auslöseschaltung für ein Zündelement eines Airbags ist.
Verfahren zur Ansteuerung eines Halbleiterschalters (810), das aufweist: Bereitstellen eines externen Taktsignals; Bereitstellen einer für eine leitende Ansteuerung des Halbleiterschalters (810) ausreichende Ansteuerspannung mittels einer Ladungspumpe (805) dann, wenn die Frequenz des externen Taktsignals eine vorgegebene Frequenzbedingung erfüllt und/oder wenn ein Ladungspumpenaktivierungssignal vorliegt, das einen Aktivierungscode enthält, wobei das externe Taktsignal und das Ladungspumpenaktivierungssignal getrennte Signale sind.
Verfahren nach Anspruch 15, bei dem die für die leitende Ansteuerung des Halbleiterschalters (810) ausreichende Ansteuerspannung zur Verfügung gestellt wird, wenn die Frequenz des externen Taktsignals oberhalb eines vorgegebenen Frequenzwertes liegt oder wenn die Frequenz des externen Taktsignals innerhalb eines vorgegebenen Frequenzbereichs liegt.
Verfahren nach Anspruch 15, bei dem Flanken des externen Taktsignals während eines Zeitfensters gezählt werden und bei dem die für die leitende Ansteuerung des Halbleiterschalters (810) ausreichende Ansteuerspannung zur Verfügung gestellt wird, wenn die während des Zeitfensters gezählte Anzahl von Flanken zwischen einem vorgegebenen Minimalwert und einem vorgegebenen Maximalwert liegt.
Verfahren nach einem der Ansprüche 15 bis 17 bei dem das Ladungspumpenaktivierungssignal dem externen Taktsignal aufmoduliert ist.
Verfahren nach Anspruch 18, bei dem das externe Taktsignal ein Manchester-kodiertes oder ein PSK-kodiertes Signal ist.
Verfahren nach einem der Ansprüche 15 bis 19 bei dem die Ansteuerspannung erst dann an den Halbleiterschalter (810) angelegt wird, wenn diese einen Schwellenwert übersteigt.
Verfahren nach einem der Ansprüche 15 bis 20, bei dem der Ladungspumpe (805) ein internes Taktsignal zugeführt ist, das mittels Filterung aus dem externen Taktsignal erzeugt wurde.
Verwendung des Verfahrens nach einem der Ansprüche 15 bis 21 zur Ansteuerung eines Halbleiterschalters (810), der in Reihe zu einer Auslöseschaltung (527) für ein Zündelement geschaltet ist.