DE102013012497A1

DE102013012497A1 - Verfahren und elektronische Schaltungsanordnung zur redundanten Signalverarbeitung einer sicherheitsrelevanten Anwendung, Kraftfahrzeugbremssystem und Kraftfahrzeug damit sowie Verwendung einer derartigen elektronischen Schaltungsanordnung

Info

Publication number: DE102013012497A1
Application number: DE102013012497.2A
Authority: DE
Inventors: Christoph Brockmann; Andreas Goers; Jann Löll; Marco Michel; Otmar Struwe
Original assignee: Wabco GmbH
Current assignee: ZF CV Systems Hannover GmbH
Priority date: 2013-07-26
Filing date: 2013-07-26
Publication date: 2015-01-29
Also published as: CN105555624B; WO2015010756A1; US20160144844A1; CN105555624A; JP2016529610A; US10053079B2; EP3024707A1; KR20160037939A

Abstract

Die Erfindung betrifft ein Verfahren zur redundanten Signalverarbeitung einer sicherheitsrelevanten Anwendung, insbesondere einer Sicherheitssteuereinheit eines Kraftfahrzeugs, wobei von mindestens einem Sensor 4 mindestens zwei redundante Signale zur Verarbeitung der Sensorinformationen als Eingangssignale 6 einer elektronischen Schaltungsanordnung 2 zugeführt werden. Dabei wird mindestens ein Eingangssignal 6 in ein anderes Prüfsignal 16 konvertiert. Das bzw. die Eingangssignale 6 werden in der elektronischen Schaltungsanordnung 2 einem ersten Peripheriebaustein 12 eines Mikrocontrollers 10 zugeführt und das Prüfsignal 16 einem weiteren Peripheriebaustein 18 des Mikrocontrollers 10. Die Sensorinformationen der Eingangssignale 6 und des Prüfsignals 16 werden somit voneinander unabhängig in jeweils einem Peripheriebaustein 12, 18 des Mikrocontrollers 10 redundant verarbeitet. Ferner betrifft die Erfindung eine elektronische Schaltungsanordnung 2 zum Ausführen eines derartigen Verfahrens, ein Kraftfahrzeugbremssystem sowie ein Kraftfahrzeug damit und eine Verwendung einer derartigen elektronischen Schaltungsanordnung.

Description

Die Erfindung betrifft ein Verfahren zur redundanten Signalverarbeitung einer sicherheitsrelevanten Anwendung, insbesondere einer Sicherheitssteuereinheit eines Kraftfahrzeugs, gemäß dem Oberbegriff von Anspruch 1 sowie eine elektronische Schaltungsanordnung zum Ausführen eines derartigen Verfahrens gemäß dem Oberbegriff von Anspruch 2. Ferner betrifft die Erfindung ein Kraftfahrzeugbremssystem und ein Kraftfahrzeug mit einer derartigen elektronischen Schaltungsanordnung sowie eine Verwendung dieser Schaltungsanordnung.
Elektronische Kraftfahrzeugsteuergeräte, wie beispielsweise ABS- und/oder EBS-Bremssteuergeräte, weisen vielfach redundante Signalverarbeitungssysteme auf, um für moderne sicherheitsrelevante Anwendungen geeignet zu sein. Dabei nehmen die Anforderungen an die Komponenten stetig zu. Mit der steigenden Komplexität der einzelnen Komponenten steigt jedoch auch die Möglichkeit von Fehlfunktionen. Aufgrund steigender Anforderungen an die Komponenten, z. B. Steuergeräte, werden diese nach vorgegebenen Sicherheitsvorschriften gefertigt.
Ein Beispiel einer blockiergeschützten Fahrzeugbremsanlage ist aus DE 32 34 637 C2 bekannt. Hier werden die Eingangsdaten zwei identisch programmierten Mikrocontrollern parallel zugeführt und dort synchron verarbeitet. Zwischendurch und am Ausgang werden die Signale verglichen. Tritt eine Abweichung der Signale voneinander auf, wird ein Abschaltsignal ausgegeben. Aufgrund eines zweiten Mikrocontrollers, der in seinem Aufbau und in seiner Programmierung mit dem ersten Mikrocontroller identisch ist, lassen sich Datenverarbeitungsfehler zumindest teilweise erkennen. Ein solches System benötigt jedoch zwei hochwertige Mikrocontroller, obwohl zur Erzeugung der eigentlichen Steuersignale ein einziger Mikrocontroller genügen würde, wodurch sich der Aufwand an Mikrocontrollern aus Sicherheitsgründen verdoppelt.
Um eine mögliche Fehlerquelle aufgrund eines systematischen Designfehlers oder systematischen Fertigungsfehlers des Mikrocontrollers auszuschließen, müssten außerdem beide Systeme von unabhängigen Programmierern entwickelt werden, wodurch sich der Aufwand noch weiter erhöht.
Der Erfindung liegt daher die Aufgabe zugrunde, ein einfaches und kostengünstiges Verfahren sowie eine elektronische Schaltungsanordnung zu schaffen, mit der sich mit der Zuverlässigkeit, die für sicherheitsrelevante Anwendungen gefordert wird, Fehlfunktionen des Systems erkennen lassen.
Die Erfindung löst diese Aufgabe mit den Merkmalen eines Verfahrens zur redundanten Signalverarbeitung gemäß Anspruch 1, mit einer elektronischen Schaltungsanordnung gemäß Anspruch 2, mit einem Kraftfahrzeugbremssystem gemäß Anspruch 6, mit einem Fahrzeug gemäß Anspruch 7 sowie mit einer Verwendung einer elektronischen Schaltungsanordnung gemäß Anspruch 8.
Zur Durchführung des erfindungsgemäßen Verfahrens zur redundanten Signalverarbeitung einer sicherheitsrelevanten Anwendung, wie beispielsweise ein ABS- oder EBS-Steuergerät eines Kraftfahrzeugs, werden von mindestens einem Sensor mindestens zwei redundante Signale zur Verarbeitung von Sensorinformationen der Sensoren als Eingangssignale einer elektronischen Schaltungsanordnung zugeführt.
Bevorzugt werden die Eingangssignale von zwei unabhängigen Sensoren bereitgestellt, um Fehler bei der Erzeugung des Sensorsignals aufgrund eines fehlerhaften Sensors zu erkennen bzw. beim Ausfall eines Sensors die Funktionssicherheit des Systems zu gewähren.
Die Übertragungseinrichtung zur Übertragung der Sensorsignale ist ebenfalls redundant ausgebildet, um ggf. Übertragungsfehler zu erkennen. Daher stehen der elektronischen Schaltungsanordnung erfindungsgemäß mindestens zwei Sensorsignale als Eingangssignale zur Verarbeitung der Sensorinformationen zur Verfügung. Die Eingangssignale werden entweder direkt oder über eine Schutzbeschaltung gegen Überspannung einem Peripheriebaustein eines Mikrocontrollers übergeben. Bevorzugt weist der Peripheriebaustein ein Softwaremodul auf, welches derart ausgestaltet ist, um die Empfangssignale miteinander zu vergleichen. Aufgrund vorhandener Abweichungen lassen sich mögliche Fehlerquellen ermitteln und die sicherheitsrelevante Anwendung in einen sicheren Zustand überführen.
Die vorstehend genannten, funktional unabhängigen Pfade über die zwei redundanten Eingangssignale können jedoch gleichzeitig beeinflusst werden, falls ein systematischer Designfehler oder ein systematischer Fertigungsfehler in dem Peripheriebaustein des Mikrocontrollers vorliegt. Dieser Fehler könnte beide Eingangssignale simultan beeinflussen und zu einem zeitgleichen Ausfall bzw. zu einer Fehlfunktion des Systems führen.
Um das Risiko von Fehlfunktionen von sicherheitsrelevanten elektronischen Schaltungsanordnungen zu minimieren, wird erfindungsgemäß mindestens ein Eingangssignal in ein Prüfsignal konvertiert. Dazu weist die elektronische Schaltungsanordnung mindestens einen Eingangsschaltkreis auf, welcher derart ausgestaltet ist, um aus dem Eingangssignal ein Prüfsignal zu erzeugen, welches sich von dem Eingangssignal unterscheidet, jedoch die Sensorinformationen beibehält.
Das Prüfsignal wird ebenfalls wie auch das bzw. die Eingangssignale dem Mikrocontroller zur Verarbeitung übergeben. Da sich das Prüfsignal von dem Eingangssignal unterscheidet, sind auch die jeweiligen Peripheriebausteine unterschiedlich aufgebaut und das Prüfsignal wird in einem weiteren Peripheriebaustein unabhängig von dem Eingangssignal verarbeitet, wodurch vorteilhaft die Verarbeitungen der Sensorinformationen redundant ermöglicht wird. Da die Peripheriebausteine das gleiche Verarbeitungsziel erfüllen, lassen sich die Signale oder Daten nach der Verarbeitung vergleichen und mögliche systematische Fehler innerhalb der Peripheriebausteine erkennen.
Gemäß einer bevorzugten Ausführungsform der Erfindung weisen die Peripheriebausteine des Mikrocontrollers zur redundanten Signalverarbeitung voneinander verschiedene Softwaremodule mit unterschiedlichen Softwaretreibern auf. Somit können vorteilhaft Fehlfunktonen oder Ausfälle des Systems, die auf einer fehlerhaften Programmierung beruhen, vermieden werden.
In einer weiteren bevorzugten Ausführungsform der Erfindung ist der Eingangsschaltkreis, der das Eingangssignal in ein analoges Prüfsignal konvertiert, als ein Tiefpassfilter ausgebildet, falls das Eingangssignal ein pulsweitenmoduliertes Signal ist. Alternativ weist der Eingangsschaltkreis, welcher das Eingangssignal in ein pulsweitenmoduliertes Prüfsignal konvertiert, einen spannungsgesteuerten Oszillator (VCO) auf, falls das Eingangssignal ein analoges Spannungs- oder Stromsignal ist. Mit derartigen Eingangsschaltkreisen lassen sich vorhandene Eingangssignale besonders einfach in andere Signale konvertieren, um sie dann von zwei unabhängigen verschiedenen Peripheriebausteinen redundant verarbeiten zu können.
Eine weitere bevorzugte Ausführungsform der Erfindung sieht Mittel zum Erkennen von signifikanten Abweichungen zwischen den Ergebnissen der redundant verarbeiteten Sensorinformationen des Eingangssignals und des Prüfsignals vor. Bei Vorhandensein derartiger Abweichungen lassen sich vorteilhaft die von den abweichenden Daten betroffenen Regelsysteme in einen sicheren Zustand überführen. Somit können vorteilhaft Fehlentscheidungen von Systemen vermieden werden, die möglicherweise eine Gefahr für den Menschen darstellen können.
Die Erfindung löst o. g. Aufgabe ferner mit einem Kraftfahrzeugbremssystem, beispielsweise einem ABS- oder EBS-System, mit Mitteln zum Durchführen des erfindungsgemäßen Verfahrens und/oder mit mindestens einer erfindungsgemäßen elektronischen Schaltungsanordnung, insbesondere einer Sicherheitssteuereinheit.
Des Weiteren löst die Erfindung die o. g. Aufgabe mit einem Kraftfahrzeug, welches mindestens eine elektrische Schaltungsanordnung, insbesondere eine Sicherheitssteuereinheit, zur redundanten Signalverarbeitung aufweist und/oder ein Kraftfahrzeugbremssystem mit derartiger elektronischer Schaltungsanordnung und/oder Mittel zur Durchführung eines erfindungsgemäßen Verfahrens zur redundanten Signalverarbeitung einer sicherheitsrelevanten Anwendung.
Schließlich löst die Erfindung o. g. Aufgabe durch eine Verwendung einer erfindungsgemäßen elektronischen Schaltungsanordnung zur redundanten Signalverarbeitung einer sicherheitsrelevanten Anwendung, wobei die erfindungsgemäße elektronische Schaltung zur redundanten Signalverarbeitung in einem Kraftfahrzeugbremssystem und/oder in einem Kraftfahrzeug angewendet werden kann.
Eine derartige Verwendung einer erfindungsgemäßen Schaltungsanordnung gewährleistet vorteilhaft die funktionale Sicherheit eines Systems, insbesondere eines Kraftfahrzeugbremssystems oder eines Kraftfahrzeugs, mit elektronischen Komponenten.
Weitere Ausführungsformen der Erfindung ergeben sich aus den Ansprüchen sowie aus dem anhand der Zeichnung näher erläuterten Ausführungsbeispielen. In der Zeichnung zeigt:
1 ein Blockschaltbild einer elektronischen Schaltungsanordnung mit Sensorsystem und Übertragungseinrichtung.
1 zeigt schematisch ein redundant arbeitendes System mit einer elektronischen Schaltungsanordnung 2, die mindestens eine Steuerfunktionalität umfasst.
Es ist bekannt, in elektronischen Schaltungsanordnungen, wie z. B. Steuergeräten für Kraftfahrzeugbremssysteme, Sicherheitseinrichtungen vorzusehen, mit denen auftretende Fehler im System erkannt werden können. Es können bei Erkennen eines solchen Fehlers geeignete Gegenmaßnahmen ergriffen werden und das Steuergerät abgeschaltet oder in einen Notfallmodus geschaltet werden. Zur Erkennung von Fehlern werden oftmals sicherheitsrelevante Schaltungsteile redundant, d. h. mehrfach, ausgeführt. Ein entsprechender Vergleich der Funktionen der mehrfach vorhandenen Schaltungsteile zeigt mögliche Fehler auf.
Daher ist in 1 ein Sensorsystem 4 mit zwei Sensoren vorgesehen, die die gleiche Messgröße unabhängig voneinander erfassen. Die Sensorinformationen der zwei Sensoren sind in zwei Empfangssignalen 6 enthalten, die über eine Übertragungseinrichtung, z. B. über zwei separate Bus-Systeme, der elektronischen Schaltungsanordnung 2 übergeben werden.
Die Eingangssignale 6 werden zunächst zwei Eingangsschaltkreisen 8 der elektronischen Schaltungsanordnung 2 zugeführt. Die Eingangsschaltkreise 8 dienen jedoch lediglich zum Schutz vor möglichen Überspannungen und sind daher optional anzusehen, so dass die Eingangssignale 6 einem Mikrocontroller 10 übergeben werden, insbesondere einem ersten Peripheriebaustein 12 des Mikrocontrollers 10 übergeben werden.
In dem in 1 dargestellten Ausführungsbeispiel handelt es sich bei den Empfangssignalen 6 um pulsweitenmodulierte Signale des Sensorsystems 4. Die Sensoren sensieren z. B. den Weg des Bremspedals und geben diesen als elektrisches Signal pulsweitenmoduliert aus.
Der erste Peripheriebaustein 12 ist bevorzugt eine Aufnehmen-/Vergleichen-Einheit, die Signale aufnehmen und vergleichen kann. Mit dem Vergleich der Eingangssignale 6 wird die Übertragungseinrichtung auf mögliche Fehler hin überprüft.
Der erste Peripheriebaustein 12 weist ferner ein erstes Softwaremodul mit zugehörigem Softwaretreiber auf, womit aus den Sensorinformationen eine Bremsanforderung ermittelt wird und eine entsprechende Freigabe der Drucksteuerung erfolgt.
Weist der erste Peripheriebaustein 12 jedoch einen systematischen Fehler auf, z. B. eine fehlerhafte Programmierung des ersten Softwaremoduls, kann es trotz der redundanten Übertragung der Sensorinformationen zu einer Fehlfunktion des Systems, insbesondere des Mikrocontrollers 10, führen.
Um derartige singuläre Fehlerursachen (Common Cause Failure – CCF), die funktional unabhängige Pfade in einem System gleichzeitig beeinflussen können, auszuschließen, wird ein Eingangssignal 6 in einem weiteren Eingangsschaltkreis 14 in ein Prüfsignal 16 konvertiert.
Gemäß dem Ausführungsbeispiel aus 1 handelt es sich bei dem weiteren Eingangsschaltkreis 14 um einen Tiefpass mit dem das pulsweitenmodulierte Eingangssignal 6 in ein analoges Prüfsignal 16 konvertiert wird. Das Prüfsignal 16 unterscheidet sich somit von dem Eingangssignal 6, besitzt aber weiterhin alle Sensorinformationen.
Zur weiteren Verarbeitung des Prüfsignals 16 wird dieses einem zweiten Peripheriebaustein 18 des Mikrocontrollers 10 übergeben. Der zweite Peripheriebaustein 18 dient der redundanten Signalverarbeitung des Mikrocontrollers 10, d. h. der erste Peripheriebaustein 12 und der zweite Peripheriebaustein 18 verfolgen das gleiche Verarbeitungsziel.
Da sich das Prüfsignal 16 jedoch von dem Eingangssignal 6 unterscheidet, verwendet der zweite Peripheriebaustein 18 ein vom ersten Peripheriebaustein 12 verschiedenes zweites Softwaremodul sowie einen anderen Softwaretreiber zur weiteren Verarbeitung der Sensorinformationen. Bevorzugt handelt es sich bei dem zweiten Peripheriebaustein 18 im Wesentlichen um einen Analog-Digital-Wandler mit anschließender Verarbeitung des digitalen Signals.
Ein anschließender Vergleich der ermittelten Bremsanforderung des ersten Peripheriebausteins 12 mit der ermittelten Bremsanforderung des zweiten Peripheriebausteins 18 ermöglicht vorteilhaft das Erkennen einer singulären Fehlerursache in einem der Peripheriebausteine 12, 18, falls das Ergebnis der redundanten Signalverarbeitung der beiden Peripheriebausteine 12, 18 signifikant voneinander abweicht.
Die Erfindung ist jedoch nicht auf das vorstehend beschriebene Ausführungsbeispiel beschränkt. Alternativ können statt der pulsweitenmodulierten Eingangssignale 6 auch zwei redundant übertragene analoge Strom- oder Spannungssignale als Eingangssignale 6 der elektronischen Schaltungsanordnung 2 übergeben werden. Diese analogen Strom- oder Spannungssignale repräsentieren z. B. den zu erzeugenden Bremsdruck, welcher durch die Betätigung des Bremspedals vorgegeben wird.
Liegen analoge Eingangssignale 6 der elektronischen Schaltungsanordnung 2 vor, werden diese in einem ersten Peripheriebaustein 12 verarbeitet mit dem Ziel der Freigabe der Drucksteuerung, falls die Empfangssignale 6 fehlerfrei übertragen wurden.
In dem weiteren Eingangsschaltkreis 14 wird nun aus dem analogen Eingangssignal 6 ein physikalisch anderes Prüfsignal 16 erzeugt. Beispielsweise handelt es sich bei dem Prüfsignal 16 um ein mittels eines spannungsgesteuerten Oszillators erzeugtes pulsweitenmoduliertes Signal, welches dem zweiten Peripheriebaustein 18 zur weiteren Verarbeitung übergeben wird.
Statt eines pulsweitenmodulierten Signals können ebenso weitere Modulationsarten, wie z. B. Pulsfrequenzmodulation, Pulsamplitudenmodulation, Pulscodemodulation oder Pulsphasenmodulation, vorgesehen sein oder auch jedwede andere Art von Modulation, wie z. B. Amplitudenmodulation, Winkelmodulation oder Frequenz/Phasenmodulation, um die Sensorsignale zu übertragen und/oder zu konvertieren.
Grundsätzlich ist es möglich, jedwede Art von Eingangssignalen 6 einer elektronischen Schaltungsanordnung 2 zu übergeben, wobei mindestens ein Eingangssignal in ein anderes Prüfsignal 16 konvertiert wird.
Um die funktionale Sicherheit des Systems, insbesondere des Kraftfahrzeugbremssystems, zu gewährleisten, wird erfindungsgemäß neben der redundanten Übertragungseinrichtung zur Absicherung einer fehlerfreien Übertragung von Sensorsignalen auch die im Mikrocontroller 10 zur Verarbeitung der Sensorsignale genutzten Soft- und Hardware auf fehlerfreie Funktion hin überprüft, indem das Eingangssignal 6 in ein anderes Prüfsignal 16 konvertiert wird und die anschließende Auswertung des Empfangssignals 6 in einem Peripheriebaustein 12 sowie die Auswertung des Prüfsignals 16 in einem unabhängigen Peripheriebaustein 18 separat erfolgen.
Mit Hilfe der erfindungsgemäßen Schaltungsanordnung 2 lässt sich folglich ein hohes Sicherheitsniveau des Systems erreichen. Dabei lässt sich die erfindungsgemäße Schaltungsanordnung 2 vorteilhaft mit geringem Herstellungsaufwand realisieren, da lediglich ein Mikrocontroller 10 verwendet wird.
Die Erfindung genügt somit der neuen ISO (International Organization for Standardization) 26262 („Road Vehicle – Functional Safety") – Norm, welche die funktionale Sicherheit eines elektrischen oder elektronischen Systems in Kraftfahrzeugen gewährleisten soll.
Sämtliche in der vorstehenden Beschreibung sowie in den Ansprüchen genannten Merkmale sind sowohl einzeln als auch in beliebiger Kombination mit den Merkmalen der unabhängigen Ansprüche kombinierbar. Die Offenbarung der Erfindung ist daher nicht auf die beschriebenen bzw. beanspruchten Merkmalskombinationen beschränkt. Vielmehr sind alle im Rahmen der Erfindung sinnvollen Merkmalskombinationen als offenbart zu betrachten.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 3234637 C2 [0003]

Zitierte Nicht-Patentliteratur

ISO (International Organization for Standardization) 26262 („Road Vehicle – Functional Safety”) – Norm [0042]

Claims

Verfahren zur redundanten Signalverarbeitung einer sicherheitsrelevanten Anwendung, insbesondere einer Sicherheitssteuereinheit innerhalb eines Kraftfahrzeugs, wobei von mindestens einem Sensor (4) mindestens zwei redundante Signale zur Verarbeitung von Sensorinformationen als Eingangssignale (6) einer elektronischen Schaltungsanordnung (2) zugeführt werden, von denen mindestens ein Eingangssignal (6) in einem Peripheriebaustein (12) eines Mikrocontrollers (10) der elektronischen Schaltungsanordnung (2) verarbeitet wird, dadurch gekennzeichnet, dass mindestens ein Eingangssignal (6) in ein Prüfsignal (16) konvertiert wird, wobei sich das Prüfsignal (16) von dem Eingangssignal (6) unterscheidet, jedoch die Sensorinformationen beibehält, das Prüfsignal (16) einem weiteren Peripheriebaustein (18) des Mikrocontrollers (10) zur Verarbeitung der Sensorinformationen des Prüfsignals (16) zugeführt wird und die Verarbeitung der Sensorinformationen des Eingangssignals (6) in einem Peripheriebaustein (12) des Mikrocontrollers (10) und die Verarbeitung des Prüfsignals (16) in einem weiteren Peripheriebaustein (18) des Mikrocontrollers (10) voneinander unabhängig redundant durchgeführt werden.
Elektronische Schaltungsanordnung, insbesondere eine Sicherheitssteuereinheit eines Kraftfahrzeugs, zur redundanten Signalverarbeitung für sicherheitsrelevante Anwendungen mit mindestens einem Mikrocontroller (10) mit mindestens einem Peripheriebaustein (12) zur Verarbeitung von mindestens einem Empfangssignal (6) mindestens eines Sensors (4), gekennzeichnet durch mindestens ein Eingangsschaltkreis (14), welcher derart ausgestaltet ist, um ein Eingangssignal (6) der Schaltungsanordnung (2) in ein Prüfsignal (16) zu konvertieren, wobei sich das Prüfsignal (16) von dem Eingangssignal (6) unterscheidet und mindestens ein weiterer Peripheriebaustein (18) des Mikrocontrollers (10), welcher derart ausgestaltet ist, um in dem Prüfsignal (16) enthaltene Sensorinformationen zu verarbeiten, wobei die Verarbeitung der Sensorinformationen des Eingangssignals (6) in einem Peripheriebaustein (12) des Mikrocontrollers (10) und die Verarbeitung des Prüfsignals (16) in einem weiteren Peripheriebaustein (18) des Mikrocontrollers (10) voneinander unabhängig redundant durchgeführt werden.
Elektronische Schaltungsanordnung nach Anspruch 2, dadurch gekennzeichnet, dass die Peripheriebausteine (12, 18) des Mikrocontrollers (10) zur redundanten Signalverarbeitung voneinander verschiedene Softwaremodule mit unterschiedlichen Softwaretreibern aufweisen.
Elektronische Schaltungsanordnung nach Anspruch 2 oder 3, dadurch gekennzeichnet, dass der Eingangsschaltkreis (14), welcher das Eingangssignal (6) in ein analoges Prüfsignal (16) konvertiert, ein Tiefpassfilter ist, falls das Eingangssignal (6) ein pulsweitenmoduliertes Signal ist oder der Eingangsschaltkreis (14), welcher das Eingangssignal (6) in ein pulsweitenmoduliertes Prüfsignal (16) konvertiert, einen spannungsgesteuerten Oszillator (VCO) aufweist, falls das Eingangssignal (6) ein analoges Spannungs- oder Stromsignal ist.
Elektronische Schaltungsanordnung nach einem der Ansprüche 2 bis 4, dadurch gekennzeichnet, dass bei signifikanten Abweichungen zwischen dem redundant verarbeiteten Sensorinformationen des Eingangssignals (6) und des Prüfsignals (16), die von den abweichenden Daten betroffene Regelsysteme in einen sicheren Betriebsmodus überführt werden.
Kraftfahrzeugbremssystem gekennzeichnet durch Mittel zum Durchführen der Schritte eines Verfahrens nach Anspruch 1 und/oder mindestens eine elektronische Schaltungsanordnung (2) nach einem der Ansprüche 2 bis 5.
Kraftfahrzeug mit einer elektronischen Schaltungsanordnung (2), insbesondere einer Sicherheitssteuereinheit, nach einem der Ansprüche 2 bis 5 und/oder ein Kraftfahrzeugbremssystem nach Anspruch 6 und/oder Mittel zum Durchführen der Schritte eines Verfahrens nach Anspruch 1.
Verwendung einer elektronischen Schaltungsanordnung (2) zur redundanten Signalverarbeitung einer sicherheitsrelevanten Anwendung, dadurch gekennzeichnet, dass die elektronische Schaltungsanordnung (2) nach einem der Ansprüche 2 bis 5 ausgebildet ist oder die elektronische Schaltungsanordnung (2) zur redundanten Signalverarbeitung in einem Kraftfahrzeugbremssystem gemäß Anspruch 6 und/oder in einem Kraftfahrzeug gemäß Anspruch 7 eingesetzt wird.