-
Die Erfindung betrifft ein Steuergerät, insbesondere Getriebesteuergerät, mit einer Recheneinheit und mit einer Einrichtung zur Spannungsversorgung und Systemzustandskontrolle der Recheneinheit. Wobei die Einrichtung einen Spannungsreglerbaustein aufweist, der zur Spannungsversorgung der Recheneinheit einerseits mit einem Energiespeicher verbunden oder verbindbar und andererseits mit der Recheneinheit verbunden ist.
-
Ferner betrifft die Erfindung ein Verfahren zum Betreiben eines entsprechenden Steuergeräts.
-
Stand der Technik
-
Steuergeräte und Verfahren zum Betreiben dieser der Eingangs genannten Art sind aus dem Stand der Technik bekannt. Zur Erhöhung der Funktionssicherheit werden Einrichtungen mit sogenannten System-Basis-Chips (SBC) eingesetzt, die zur Spannungsversorgung und Systemzustandskontrolle der Recheneinheit des Steuergeräts dienen. Diese Einrichtungen überwachen dabei zum einen den Systemzustand der Recheneinheit und zum anderen die Spannungsversorgung, die sie selbst für die Recheneinheit bereitstellen. Dazu wird die Einrichtung einerseits mit einem Energiespeicher verbunden und ist andererseits stets mit der Recheneinheit über wenigstens eine Leitung zur Kommunikation und/oder Spannungsversorgung verbunden. Bezüglich der Funktionssicherheit ist es ungünstig, dass der System-Basis-Chip selbst die Spannungsversorgung überwacht. Arbeitet der System-Basis-Chip fehlerhaft, so kann nicht gewährleistet werden, dass eine fehlerhafte Spannungsversorgung erkannt wird. Ebenso kann nicht gewährleistet werden, dass Fehler beziehungsweise fehlerhafte Systemzustände in der Recheneinheit sicher erkannt werden.
-
Offenbarung der Erfindung
-
Das erfindungsgemäße Steuergerät mit den Merkmalen des Anspruchs 1 hat den Vorteil, dass die Funktionssicherheit im Vergleich zu bekannten Lösungen erhöht ist. Erfindungsgemäß ist hierzu vorgesehen, dass die Einrichtung eine Sicherheitseinrichtung aufweist, die die Spannungsversorgung des Spannungsreglerbausteins und den Systemzustand der Recheneinheit überwacht und dazu ausgebildet ist, Einheiten des Steuergeräts abzuschalten und/oder einzuschalten. Erfindungsgemäß ist also zusätzlich zu dem Spannungsreglerbaustein eine Sicherheitseinrichtung vorgesehen, die die Überwachung der Spannungsversorgung sowie der Recheneinheit übernimmt. Dadurch werden die Funktionen in dem Steuergerät bezüglich der Spannungsversorgung und deren Überprüfung voneinander getrennt auf unterschiedliche Bauteile oder Baugruppen aufgeteilt. Die Sicherheitseinrichtung ist hierbei zwischen dem Spannungsreglerbaustein und der Recheneinheit zwischengeschaltet. Die Sicherheitseinrichtung überprüft die Spannungsversorgung des Spannungsreglerbausteins, so dass die Spannungsversorgungsüberwachung außerhalb des Spannungsreglerbausteins und unabhängig von diesem erfolgt. Hierdurch wird die Funktionssicherheit des Steuergeräts insgesamt auf einfache und kostengünstige Art und Weise erhöht.
-
Gemäß einer bevorzugten Weiterbildung der Erfindung ist vorgesehen, dass die Sicherheitseinrichtung als integrierter Schaltkreis ausgebildet ist. Der integrierte Schaltkreis ist eine kostengünstige Lösung, um die Sicherheitseinrichtung mit den gewünschten Funktionen darzustellen. Der integrierte Schaltkreis kann beispielsweise ein oder mehrere Komperatoren zur Spannungsversorgungsüberwachung aufweisen. Vorzugsweise ist die Sicherheitseinrichtung insbesondere dazu ausgebildet, Daten der Recheneinheit auszuwerten, um diese auf ihren Systemzustand zu kontrollieren. Ebenso ist die Sicherheitseinrichtung besonders bevorzugt dazu ausgebildet, die Spannungsversorgung des Spannungsreglerbausteins zu überwachen.
-
Gemäß einer vorteilhaften Weiterbildung der Erfindung ist vorgesehen, dass der integrierte Schaltkreis eine weitere Recheneinheit aufweist. Die Recheneinheit ist dazu ausgebildet, die oben beschriebene Funktion durchzuführen. Die Recheneinheit ist dabei in den integrierten Schaltkreis eingebunden. Durch den integrierten Schaltkreis kann auf einfache und kostengünstige Art die weitere Recheneinheit batteriespannungsfest gestaltet werden. Alternativ kann die weitere Recheneinheit auch monolitisch in einen separaten Chip integriert sein, der batteriespannungsfest ausgebildet ist.
-
Gemäß einer besonders bevorzugten Weiterbildung der Erfindung ist vorgesehen, dass die Sicherheitseinrichtung durch einen Reset-Pfad mit der Recheneinheit verbunden ist. Während bisher der Spannungsreglerbaustein üblicherweise durch einen Reset-Pfad mit der Recheneinheit verbunden ist, wird der Reset-Pfad nunmehr der Sicherheitseinrichtung zugeordnet. Die Funktionssicherheit des Steuergeräts wird dadurch weiter erhöht, so dass die unabhängige Sicherheitseinrichtung ausschließlich die Kontrolle über den Systemzustand der Recheneinheit erhält.
-
Gemäß einer vorteilhaften Weiterbildung der Erfindung ist vorgesehen, dass wenigstens eine Schalteinrichtung zum Herstellen oder Lösen einer elektrischen Verbindung, insbesondere Spannungsversorgung und/oder Signalleitung, als die mindestens eine Einheit vorgesehen ist, die mit der Sicherheitseinrichtung verbunden ist und durch diese betätigt wird. Das Steuergerät weist somit neben der Recheneinheit und der Einrichtung zur Spannungsversorgung der Systemzustandskontrolle wenigstens eine Schalteinrichtung auf, die zum Verbinden oder Trennen beispielsweise einer durch das Steuergerät ansteuerbaren Vorrichtung von dem Steuergerät dient. Dabei ist die Schalteinrichtung bevorzugt einer Signalleitung und/oder einer Spannungsversorgungsleitung des Steuergeräts zugeordnet. Die Sicherheitseinrichtung ist mit der Schalteinrichtung verbunden, so dass bei Auftreten eines Fehlerfalls, die Sicherheitseinrichtung die Schalteinrichtung direkt abschalten kann. Hierzu ist ein sogenannter Abschaltpfad zwischen Sicherheitseinrichtung und Schalteinrichtung vorgesehen.
-
Gemäß einer vorteilhaften Weiterbildung der Erfindung ist vorgesehen, dass wenigstens eine Steuereinheit für einen durch das Steuergerät zu betätigenden Aktuator, die mit der Sicherheitseinrichtung verbunden und durch diese abschaltbar ist, vorgesehen ist. Die Steuereinheit stellt eine weitere der Einheiten des Steuergeräts dar. Auch sie ist bevorzugt durch einen Abschaltpfad mit der Sicherheitseinrichtung verbunden, so dass bei Auftreten eines Fehlerfalls die Sicherheitseinrichtung die Steuereinheit direkt abschalten kann, um eine weitere Betätigung des Aktuators zu vermeiden, und um das das Steuergerät aufweisende System in einen sicheren Zustand zu überführen.
-
Vorzugsweise ist vorgesehen, dass der Spannungsreglerbaustein mit einem Energiespeicher, insbesondere wiederaufladbare Batterie, verbunden oder verbindbar ist. Durch Energiespeicher erhält der Spannungsreglerbaustein die Energieversorgung, die er benötigt, um die Versorgungsspannung für die Recheneinheit bereitzustellen. Vorzugsweise wird die Sicherheitseinrichtung ebenfalls von dem Spannungsreglerbaustein mit einer Betriebsspannung versorgt, um die geforderten Aufgaben/Funktionen durchzuführen.
-
Besonders bevorzugt ist jedoch vorgesehen, dass die Sicherheitseinrichtung unabhängig von dem Spannungsreglerbaustein mit dem Energiespeicher verbunden oder verbindbar ist. Durch die unabhängige Verbindung zu dem Energiespeicher ist die Sicherheitseinrichtung insgesamt unabhängig von dem Spannungsreglerbaustein betreibbar, wodurch die Funktionssicherheit des Steuergeräts weiter erhöht wird.
-
Gemäß einer vorteilhaften Weiterbildung ist vorgesehen, dass das Steuergerät eine Weckeinrichtung aufweist, die mit der Sicherheitseinrichtung und/oder mit dem Spannungsreglerbaustein verbunden ist. Die Weckeinrichtung kann durch eine externe Vorrichtung aktiviert beziehungsweise getriggert werden, und steuert den Spannungsreglerbaustein und/oder die Sicherheitseinrichtung an, sobald dies erforderlich ist. Ergeht beispielsweise durch die externe Vorrichtung ein Triggerbefehl, so steuert die Weckeinrichtung die Sicherheitseinrichtung und/oder den Spannungsreglerbaustein derart an, dass eine Versorgungsspannung eingestellt und die Recheneinheit in Betrieb gesetzt wird. Die Sicherheitseinrichtung ist dabei bevorzugt außerdem über einen Reset-Pfad mit der Recheneinheit verbunden. Bei Bedarf ist es dadurch möglich, mittels der Sicherheitseinrichtung die Recheneinheit zum einen zu aktivieren und zum anderen bei einem erfassten fehlerhaften Systemzustand in einen sicheren Zustand zurück zu versetzen.
-
Das erfindungsgemäße Verfahren mit dem Merkmalen des Anspruchs 10 zeichnet sich dadurch aus, dass die Einrichtung einer Sicherheitseinrichtung zugeordnet wird, die die Spannungsversorgung des Spannungsreglerbausteins und den Systemzustand der Recheneinheit überwacht und bei Auftreten eines Fehlerzustand zumindest eine Einheit des Steuergeräts abschaltet. Es ergeben sich hierdurch die bereits genannten Vorteile. Weitere Vorteile und Ausbildungsformen des Verfahrens ergeben sich außerdem aus dem bereits zuvor Beschriebenen.
-
Im Folgenden soll die Erfindung anhand der Zeichnung näher erläutert werden. Dazu zeigen
-
1 eine Schaltungstopologie eines Steuergeräts gemäß dem Stand der Technik,
-
2 die Schaltungstopologie eines vorteilhaften Ausführungsbeispiels des Steuergeräts und
-
3 die Schaltungstopologie eines weiteren vorteilhaften Ausführungsbeispiels des Steuergeräts.
-
1 zeigt in einer vereinfachten Darstellung die Schaltungstopologie eines Steuergeräts 1, das beispielsweise als Steuergerät 1 eines Getriebes ausgebildet ist.
-
Das Steuergerät 1 weist hierzu eine Recheneinheit 2 auf, die in Abhängigkeit von Schaltanforderungen Steuerbefehle ausgibt. Dazu ist die Recheneinheit 2 gemäß dem vorliegenden Ausführungsbeispiel mit einer Steuereinheit 3 verbunden, die die Steuerbefehle der Recheneinheit 2 empfängt und in Steuersignale für einen Aktuator 4 des Getriebes wandelt. Der Aktuator 4 ist dem Getriebe zugeordnet und über entsprechende Leitungen mit dem Steuergerät 1 verbunden. Bei dem Aktuator 4 kann es sich beispielsweise um einen Schaltaktuator handeln, der auf Befehl der Steuereinheit 3 beziehungsweise der Recheneinheit 2 ein Schaltgestänge des Getriebes betätigt.
-
Das Steuergerät 1 weist weiterhin eine Schalteinrichtung 5 auf, die zur Spannungsversorgung des Aktuators 4 dient. Dazu ist die Schalteinrichtung 5 durch eine Spannungsversorgungsleitung mit dem Aktuator 4 verbunden/verbindbar. Das Steuergerät 1 ist weiterhin mit einem elektrischen Energiespeicher 6 verbunden beziehungsweise verbindbar, mittels dessen der Aktuator 4 über die Schalteinrichtung 5 und die Recheneinheit 2 mit einer Betriebsspannung versorgt werden.
-
Die Recheneinheit 2 ist dazu durch einen Spannungsreglerbaustein 7, der als System-Basis-Chip 8 ausgebildet ist, mit dem Energiespeicher 6 verbunden. Der Spannungsreglerbaustein 7 versorgt die Recheneinheit 2 mit der notwendigen Betriebsspannung über eine Spannungsversorgungsleitung 9. Gleichzeitig ist der System-Basis-Chip 8 durch eine Signalleitung 10 mit der Recheneinheit 2 verbunden, über welche der Systemzustand der Recheneinheit 2 laufend überwacht wird. Außerdem ist ein sogenannter Reset-Pfad 11 vorgesehen, der separat oder in die Spannungsversorgungsleitung 9 und/oder in die Überwachungsleitung 10 integriert sein kann, durch welchen der System-Basis- Chip 8 die Recheneinheit 2 in einen sicheren Zustand, beispielsweise durch einen Neustart, überführen kann.
-
Der System-Basis-Chip 8 und die Recheneinheit 2 sind außerdem über jeweils einen Abschaltpfad 12 beziehungsweise 13 mit der Schalteinrichtung 5 verbunden, so dass die Recheneinheit 2 und der System-Basis-Chip 8 bei Bedarf die Schalteinrichtung 5 betätigen können, um den Aktuator 4 von der Spannungsversorgung des Energiespeichers 6 zu trennen.
-
Dem System-Basis-Chip 8 ist außerdem eine Weckeinrichtung 14 zugeordnet, die von extern getriggert werden kann, und insbesondere den Spannungsreglerbaustein 7 des System-Basis-Chips 8 aktiviert, um die Recheneinheit 2 mit der Betriebsspannung zu versorgen und dadurch in Betrieb zu nehmen.
-
Bisher wird in einem derartigen Steuergerät 1 die Spannungsversorgung der Recheneinheit 2 durch den System-Basis-Chip 8 beziehungsweise durch den Spannungsreglerbaustein selbst überwacht. Der Spannungsreglerbaustein 7 beziehungsweise der System-Basis-Chip 8 bilden somit eine Einrichtung zur Spannungsversorgung und Systemzustandskontrolle der Recheneinheit 2. Arbeitet der Spannungsreglerbaustein 7 jedoch fehlerhaft, ist nicht gewährleistet, dass die Spannungsüberwachung fehlerfrei funktioniert.
-
Mit Bezug auf 2 und 3 sollen Weiterbildungen des Steuergeräts beispielhaft vorgestellt werden, die eine höhere Funktionssicherheit aufweisen. Aus 1 bereits bekannte Elemente sind mit den gleichen Bezugszeichen versehen, so dass insofern auf die oben stehende Beschreibung verwiesen wird. Im Folgenden soll im Wesentlichen nur auf die Unterschiede eingegangen werden.
-
2 zeigt ein erstes Ausführungsbeispiel einer vorteilhaften Weiterbildung des Steuergeräts 1. Im Unterschied zum Stand der Technik ist zusätzlich eine Sicherheitseinrichtung 15 vorgesehen, die einen integrierten Schaltkreis (IC) und/oder eine Recheneinheit umfasst. Die Sicherheitseinrichtung 15 ist zwischen der Recheneinheit 2 und dem Spannungsreglerbaustein 7 beziehungsweise dem System-Basis-Chip 8 zwischengeschaltet. Die Sicherheitseinrichtung 15 ist mit der Spannungsversorgungsleitung 9 verbunden und überwacht die von dem Spannungsreglerbaustein 7 bereitgestellte Versorgungsspannung. Gleichzeitig ist die Sicherheitseinrichtung 15 durch die Kommunikationsleitung 10 mit der Recheneinheit 2 zur Systemzustandskontrolle der Recheneinheit 2 verbunden. Optional kann eine weitere Kommunikationsleitung 16 zwischen der Sicherheitseinrichtung 15 und dem System-Basis-Chip 8 vorgesehen sein, um eine redundante Überwachung zu ermöglichen. Die Abschaltpfade 12 und 13 sind nunmehr nicht dem System-Basis-Chip 8, sondern der Sicherheitseinrichtung 15 zugeordnet. Weiterhin kann optional, wie durch eine gestrichelte Linie 17 dargestellt, eine direkte Verbindung zwischen Recheneinheit 2 und System-Basis-Chip 8 vorgesehen sein.
-
Im Unterschied zum Stand der Technik ist also vorgesehen, dass die von dem Spannungsreglerbaustein 7 bereitgestellte Versorgungsspannung durch eine separate Sicherheitseinrichtung 15 überwacht wird, die ebenso die Kontrolle des Systemzustands der Recheneinheit 2 übernimmt. Dadurch erfolgt die Spannungsversorgungsüberwachung unabhängig von der Spannungsversorgung und die Sicherheitseinstufung der Steuereinheit 1 wird dadurch auf einfache und kostengünstige Art und Weise erhöht. Durch diese einfache Weiterbildung der Steuereinheit 1 lässt sich das Steuergerät 1 auch in Systemen verwenden, die eine höhere Sicherheitsstufe als bisher verlangen.
-
3 zeigt ein alternatives Ausführungsbeispiel, bei welchem die Sicherheitseinrichtung 15 außerdem unabhängig von dem System-Basis-Chip 8 mit dem Energiespeicher 6 verbunden ist. Dadurch wird der unabhängige Betrieb der Sicherheitseinrichtung 15 durchgehend gewährleistet. Darüber hinaus ist gemäß dem Ausführungsbeispiel von 3 vorgesehen, dass die Weckeinrichtung 14 optional nicht dem System-Basis-Chip 8, sondern der Sicherheitseinrichtung 15 zugeordnet ist, wie durch eine gestrichelte Linie 18 angedeutet. In diesem Fall ist vorzugsweise ein weiterer Einschalt-/Abschaltpfad 19 zwischen der Sicherheitseinrichtung 15 und dem System-Basis-Chip 8 beziehungsweise dem Spannungsreglerbaustein 7 vorgesehen. Wird die Weckeinrichtung 14 getriggert, so kann das Steuergerät 1 mittels der Sicherheitseinrichtung 15 aktiviert werden. Alternativ kann die Sicherheitseinrichtung 15 auch durch den System-Basis-Chip 8 beziehungsweise dessen Spannungsreglerbaustein 7 geweckt werden. Optional können an die Spannungsversorgungsleitung 9 weitere Peripherie-Komponenten des Steuergeräts 1 angeschlossen sein, wie durch ein beispielhaftes Bauteil 20 angedeutet ist.
-
Der System-Basis-Chip 8 wird derart ausgelegt, dass er spezifizierte Spannungen und Ströme für die Recheneinheit 2 und die Peripherie 20 liefert und einen Ein- Ausschalteingang besitzt. Eine Reset- und Unterspannungsüberwachung ist bevorzugt nicht vorgesehen. Insgesamt wird somit eine besonders einfache Lösung zum Erhöhen der Sicherheitsstufe des Steuergeräts 1 geboten.
