-
Die vorliegende Erfindung betrifft ein Verfahren zum Außer-Betrieb-Setzen einer elektrisch angesteuerten Komponente eines Fahrzeugs in einem Fehlerfall einer Recheneinheit sowie eine Recheneinheit und ein Computerprogramm zu dessen Durchführung.
-
Stand der Technik
-
In Motorsteuergeräten von Verbrennungsmotoren (Benzin und Diesel) werden die momentenbestimmenden Einspritzungen von einem Mikrocontroller als Recheneinheit gesteuert. Dieser steuert über seine Ausgangsports eine nachgeschaltete Ansteuerschaltung, insbesondere in Form einer anwendungsspezifischen integrierten Schaltung (ASIC) mit Endstufen (sog. Einspritzendstufenbaustein), an, die wiederum die Einspritzventile (Injektoren) ansteuert, d.h. üblicherweise in einer definierten Art und Weise mit einer Energie- bzw. Spannungsquelle verbindet. Ansteuerungen von Injektoren und geeignete Ansteuerschaltungen sind grundsätzlich bekannt, z.B. aus der
DE 100 22 956 A1 .
-
Einspritzsysteme gehören zu den sicherheitsrelevanten Systemen, für die ein Sicherheitskonzept zweckmäßig ist. Dieses Sicherheitskonzept kann z.B. mit einem Mehr-Ebenen-Konzept dargestellt werden. Bei sicherheitskritischen Funktionseinheiten in Fahrzeugen, bspw. bei elektronischen Motorfüllungssteuerungssystem (EGAS), kann z.B. ein sog. 3-Ebenen-Konzept zur Sicherheitsüberwachung in dem betreibenden Steuergerät eingesetzt werden. Wesentlich dabei ist eine gegenseitige Überwachung innerhalb des Steuergeräts zwischen dem Funktionsrechner (Recheneinheit, CPU) und einem separaten Überwachungsmodul (UM bzw. Watchdog). Funktionsrechner und Überwachungsmodul kommunizieren über eine Frage-/Antwort-Kommunikation und können im Fehlerfall Leistungsendstufen im Steuergerät, welche zum Betrieb der Funktionseinheit vorgesehen sind, abschalten und somit die Sicherheit des Fahrzeugs gewährleisten. Bei aktuellen elektronischen Motorfüllungssteuerungssystemen befindet sich die gesamte Funktions- und Überwachungssoftware in einem Steuergerät, wie es aus der
DE 44 38 714 A1 bekannt ist.
-
Zur Gewährleistung der Sicherheit soll in einem Fehlerfall, z.B. wenn die Recheneinheit defekt ist, das Einspritzsystem über redundante Abschaltpfade in einen sicheren Zustand überführt werden. Das Überwachungsmodul kann im Fehlerfall z.B. über einen Disable-Pin den Einspritzendstufenbaustein deaktivieren, wodurch darin mittels einer internen Logik alle einzelnen Einspritzendstufen deaktiviert werden, um die Injektoren außer Betrieb zu setzen. Als redundanter Pfad kann in z.B. Diesel-Systemen das Druckregelventil verwendet werden. Ist dieses geöffnet, kann kein unter Druck stehender Kraftstoff eingespritzt werden. Diese Methode ist jedoch nicht immer anwendbar, da diese Komponente nicht immer verbaut ist.
-
Die Abschaltpfade sollen in der Regel auch mindestens einmal je Fahrzyklus auf ihre Funktionsfähigkeit hin geprüft werden. Dies ist jedoch bei den meisten bekannten Abschaltpfaden sehr aufwändig.
-
Offenbarung der Erfindung
-
Erfindungsgemäß werden ein Verfahren zum Außer-Betrieb-Setzen einer elektrisch angesteuerten Komponente eines Fahrzeugs in einem Fehlerfall einer Recheneinheit sowie eine Recheneinheit und ein Computerprogramm zu dessen Durchführung mit den Merkmalen der unabhängigen Patentansprüche vorgeschlagen. Vorteilhafte Ausgestaltungen sind Gegenstand der Unteransprüche sowie der nachfolgenden Beschreibung.
-
Die Erfindung stellt einen neuen Abschaltpfad vor, der sich sowohl für alle von einer Recheneinheit mittels elektrischer Ansteuersignale angesteuerten Komponenten eines Fahrzeugs eignet und darüber hinaus auch einfach zu testen ist.
-
Handelt es sich bei der Komponente um einen Injektor, eignet sich die Erfindung insbesondere für alle Arten von Verbrennungsmotoren (d.h. insbesondere sowohl für Otto als auch für Diesel). Dieser Abschaltpfad lässt sich sehr schnell und einfach ohne zusätzliche Testschritte und somit Zeitaufwand testen. Der Test kann insbesondere schon im Steuergerätehochlauf zu einem sehr frühen Zeitpunkt, noch vor der Initialisierung des Einspritzsystems, ausgeführt werden. Einige der bisher sehr komplexen, fehleranfälligen und typabhängigen Schnittstellen zum Einspritzsystem können mit dieser Lösung ersetzt werden.
-
Dieser Abschaltpfad kann zudem ohne zusätzliche Verbindungen realisiert werden. Die Ansteuerleitungen sind bereits vorhanden und müssen nur passend konfiguriert werden.
-
Für eine Ansteuerung von elektrisch angesteuerten Komponenten in Fahrzeugen wirken üblicherweise mehrere integrierte Schaltungen zusammen. Beispielsweise wird die Ansteuerung von Injektoren mittels spezieller Ansteuerschaltungen (ASIC) bewirkt, die für den konkreten Ablauf der Ansteuerung verantwortlich sind, wobei eine übergeordnete Recheneinheit jede einzelne Ansteuerung über ein Triggersignal (z.B. steigende Flanke) auf einer Triggerleitung (üblicherweise für jeden Injektor eine eigene) auslöst. Im Fehlerfall wird nun in diesem Beispiel die Triggerleitung automatisch auf einen festen Pegel, insbesondere HIGH, gesetzt, so dass keine Einspritzungen mehr ausgelöst werden können. Die Verwendung eines HIGH-Pegels als Fehlersignal ist besonders vorteilhaft, da damit Signale mit beliebigem Pegel überschrieben werden können. Der vorgeschlagene Abschaltpfad kann insbesondere als redundanter Abschaltpfad für die im Stand der Technik bekannten Abschaltpfade eingesetzt werden.
-
Grundsätzlich dient die Erfindung zum Überschreiben aller Arten von Ansteuersignalen, neben Triggersignalen insbesondere auch Analogsignalen oder Datensignalen (z.B. CAN, FlexRay, Ethernet, SPI (Serial Peripheral Interface), MSC (MicroSecond Channel) usw.)
-
Eine Ansteuerung kann beispielsweise umfassen, dass die Komponente von der Ansteuerschaltung zur Ansteuerung mit einer Energiequelle – bei der Ansteuerung von Injektoren z.B. eine Spannungsquelle – verbunden wird. Insbesondere kann die Komponente von der Ansteuerschaltung direkt über interne Endstufen (z.B. open drain) mit der Energiequelle verbunden werden, wie es beispielsweise bei Injektoren für Benzin-Saugrohreinspritzung der Fall ist.
-
Die Erfindung ist besonders vorteilhaft mit der neuen Steuergerätegeneration MDG1 der Anmeldering zu verwirklichen, da diese Steuergerätegeneration, genauer die zugehörigen zentralen Recheneinheiten (Mikrocontroller), ein sogenanntes PES-Feature (Port Emergency Stop) bieten, bei dem ein beliebiger Mikrocontrollerport (Anschluss), also insbesondere auch die Triggerports für die Einspritzung, so konfiguriert werden können, dass sie im Fehlerfall automatisch auf HIGH gesetzt werden. Ein Fehlerfall wird dabei z.B. durch eine Fehlerreaktion durch des Überwachungsmoduls oder einen Rechnerfehler ausgelöst. Die Erkennung eines Rechnerfehlers erfolgt über das mikrocontrollerinterne EMM (Error Management Modul ohne jegliche Software-Beteiligung. Dieses rechnerinterne Modul summiert rechnerinterne Fehler auf und bietet die Möglichkeit, entsprechend den Fehlern mit einer konfigurierbaren Fehlerreaktion zu reagieren. In Rechnerspezifikation wird dieses Modul beispielsweise mit 'FCCU' oder 'SMU' bezeichnet. Somit wird das Fahrzeug in einen sicheren Zustand gebracht.
-
Vorzugsweise wird die Funktionsfähigkeit des Außer-Betrieb-Setzens überprüft, indem auf einem Ansteueranschluss das Fehlersignal mit einem HIGH-Pegel ausgegeben wird, während gleichzeitig ein Testsignal mit einem LOW-Pegel ausgegeben wird, und anschließend das sich ergebende Gesamtsignal überprüft wird. Hat das Gesamtsignal einen HIGH-Pegel, bedeutet dies, dass das Testsignal von dem Fehlersignal überschrieben wurde und das Außer-Betrieb-Setzen funktionsfähig ist. Vorzugsweise wird vor dem Ausgeben des Fehlersignals mit einem HIGH-Pegel nur das Testsignal mit einem LOW-Pegel ausgegeben und zunächst geprüft, ob auch tatsächlich ein LOW-Pegel anliegt.
-
Eine erfindungsgemäße Recheneinheit, z.B. ein Mikrocontroller eines Steuergeräts eines Kraftfahrzeugs, ist, insbesondere programmtechnisch, dazu eingerichtet, ein erfindungsgemäßes Verfahren durchzuführen.
-
Auch die Implementierung des Verfahrens in Form eines Computerprogramms ist vorteilhaft, da dies besonders geringe Kosten verursacht, insbesondere wenn ein ausführendes Steuergerät noch für weitere Aufgaben genutzt wird und daher ohnehin vorhanden ist. Geeignete Datenträger zur Bereitstellung des Computerprogramms sind insbesondere magnetische, optische und elektrische Speicher, wie z.B. Festplatten, Flash-Speicher, EEPROMs, DVDs u.a.m. Auch ein Download eines Programms über Computernetze (Internet, Intranet usw.) ist möglich.
-
Weitere Vorteile und Ausgestaltungen der Erfindung ergeben sich aus der Beschreibung und der beiliegenden Zeichnung.
-
Die Erfindung ist anhand eines Ausführungsbeispiels in der Zeichnung schematisch dargestellt und wird im Folgenden unter Bezugnahme auf die Zeichnung beschrieben.
-
Kurze Beschreibung der Zeichnungen
-
1 zeigt schematisch und schaltplanartig ein Einspritzsystem, in dem eine bevorzugte Ausführungsform der Erfindung implementiert ist.
-
Ausführungsform(en) der Erfindung
-
In 1 ist ein Einspritzsystem, in dem eine bevorzugte Ausführungsform der Erfindung implementiert ist, schematisch und schaltplanartig dargestellt und insgesamt mit 1 bezeichnet.
-
Das Einspritzsystem 1 dient zum Versorgen einer Brennkraftmaschine 2 mit Kraftstoff. Von dem Einspritzsystem 1 ist ein Motorsteuergerät 100 sowie ein Kraftstoffhochdruckbereich 200 mit einem Hochdruckspeicher (Common-Rail) 201, einem daran angebrachten Druckregelventil 204, Injektoren 202 und zugehörigen Zuleitungen 203 gezeigt.
-
Das Steuergerät 100 weist unter anderem eine als Mikrocontroller 110 ausgebildete Recheneinheit, ein Überwachungsmodul 120, eine beispielsweise als ASIC ausgebildete Endstufenschaltung 130 und eine beispielsweise als ASIC ausgebildete Ansteuerschaltung 140 für die Injektoren 202 auf.
-
Die Recheneinheit 110 ist programmtechnisch dazu eingerichtet, die Funktionalität des Motorsteuergeräts 100 bereitzustellen und dabei insbesondere die Injektoren 202 anzusteuern. Für die Ansteuerung der Injektoren 202 ist die Ansteuerschaltung 140 vorhanden, die nach Maßgabe von auf hier vier als Triggerleitungen 115 ausgebildeten Ansteuerleitungen die Injektoren 202 ansteuert, insbesondere mit Spannungsquellen unterschiedlicher Höhe verbindet, wie dies im Stand der Technik grundsätzlich bekannt ist. Auf den Triggerleitungen 115 werden dazu von der Recheneinheit 110 Triggersignale an die Ansteuerschaltung 140 übertragen, wobei für jeden anzusteuernden Injektor 202 eine eigene Ansteuerleitung 115 vorhanden ist. Die Ansteuerleitungen 115 sind mit Ansteueranschlüssen 111 der Recheneinheit 110 verbunden.
-
Der konkrete Ablauf der Ansteuerung, d.h. mit welchen Spannungshöhen die Injektoren wie lange beaufschlagt werden, wird von der Ansteuerschaltung 140 nach Maßgabe eines internen Programmcodes vorgegeben. Der Programmcode wird an die Ansteuerschaltung 140 insbesondere ebenfalls von der Recheneinheit 110 über eine weitere (nicht gezeigte) Verbindung, wie einen Bus, übertragen.
-
Das Überwachungsmodul 120 ist dazu eingerichtet, die Recheneinheit 110 zu überwachen und im Fehlerfall zu deaktivieren. Zur Erhöhung der Überwachungssicherheit wird aus Redundanzgründen im Fehlerfall auch die Endstufenschaltung 130 (soweit sie momentenrelevant ist) vom Überwachungsmodul 120 deaktiviert. Dabei kann das Überwachungsmodul 120 über die Endstufenschaltung 130 durch die Signalleitung 118 auch die Ansteuerschaltung 140 deaktivieren. Gleichzeitig ist auch die Recheneinheit 110 in der Lage, im Fehlerfall die Endstufenschaltung 130 und darüber hinaus auch die Ansteuerschaltung 140 zu deaktivieren. Die entsprechenden Signalleitungen 116, 117 sind in der Figur dargestellt.
-
Die Endstufenschaltung 130 ist beispielsweise mit dem Druckregelventil 204 am Hochdruckspeicher 201 verbunden. Im Falle der Deaktivierung der Endstufenschaltung 130 wird damit auch das Druckregelventil 204 geöffnet, sodass der Druck im Hochdruckspeicher 201 abgebaut wird und dementsprechend keine Einspritzung von Kraftstoff mittels der Injektoren 202 mehr durchgeführt werden kann.
-
Um auch in Systemen, die kein Druckregelventil zur Abschaltung haben, einen redundanten Abschaltpfad darzustellen, weist die dargestellte Ausführungsform einen Abschaltpfad gemäß einer bevorzugten Ausführungsform der Erfindung auf, wobei die Ansteueranschlüsse 111 der Recheneinheit 110 so eingerichtet werden, dass sie im Fehlerfall einen HIGH-Pegel dauerhaft ausgeben. In der Folge kann über die Ansteueranschlüsse 111 kein Triggersignal mehr ausgegeben werden, sodass dies ebenfalls dazu führt, dass kein Kraftstoff mehr über die Injektoren 202 eingespritzt werden kann. Die Ansteueranschlüsse 111 können aufgrund verschiedener Fehlererkennungsquellen die Fehlerreaktion High-Pegel ausführen:
- a) Das Überwachungsmodul 120 erkennt einen Fehler in der Recheneinheit 110 (durch die Frage-Antwort-Kommunikation zwischen Überwachungsmodul 120 und Recheneinheit 110 über eine hier als SPI/MSC-Bus ausgebildete Verbindung 119) und aktiviert den Abschaltpfad 117, der über den Pfad 116 direkt ein Fehlersignal an die Recheneinheit gibt. Über die PES-Konfiguration werden durch die Error-Pin-Aktivierung die Ansteueranschlüsse 111 automatisch deaktiviert). Für das Schalten ist keinerlei Softwarefunktion der Recheneinheit notwendig.
- b) Die Recheneinheit 110 erkennt durch Sicherheits-(safety)Mechanismen (Eigenüberwachungen-on-chip wie z.B. Befehlsfehler, Speicherfehler (ECC..) einen Fehler und aktiviert über das EMM die Ansteueranschlüsse).
-
Der in der Figur dargestellte redundante Abschaltpfad ist vorteilhaft, da sofort und ohne Zeitverzögerung mit Aktivierung des Abschaltpfads jede weitere Einspritzung bzw. Momentenaufbau unterbunden ist und keinerlei Abhängigkeiten von Betriebszuständen vorliegen.
-
Ist es aus Sicherheitsgründen nötig oder zweckmäßig, diesen Abschaltpfad zu prüfen, kann dies vorzugsweise frühzeitig bzw. unmittelbar erfolgen, nachdem das Steuergerät 100 (insbesondere vor Fahrtbeginn) mit Strom versorgt wird. Bei einer solchen Inbetriebnahme werden im Stand der Technik ohnehin verschiedene Tests und Prüfungen durchgeführt. Insbesondere kann die Funktionsfähigkeit des Abschaltpfads besonders einfach überprüft werden, bevor die Ansteuerschaltung 140 in Betrieb genommen ist. In diesem Fall können die Signalpegel auf den Ansteuerleitungen 115 noch beliebig gesetzt werden, ohne dass dies Auswirkungen auf die Brennkraftmaschine 2 hätte.
-
Für eine beispielhafte Prüfung werden die Ansteueranschlüsse 111 zunächst insbesondere als GPIO (Allzweck-Ein-/Ausgänge) konfiguriert, und es wird ein Testsignal mit einem LOW-Pegel an jedem der Ansteueranschlüsse 111 ausgegeben. Anschließend wird zweckmäßigerweise überprüft, ob an den Ansteueranschlüssen 111 auch tatsächlich ein LOW Pegel anliegt.
-
Weiterhin werden die Ansteueranschlüsse 111 so konfiguriert, dass sie im Fehlerfall ein Fehlersignal mit einem HIGH-Pegel ausgeben (z.B. PES).
-
Anschließend wird ein Fehlerfall simuliert und das an den Ansteueranschlüssen 111 tatsächlich ausgegebene Signal überprüft. Handelt es sich um ein Signal mit einem HIGH-Pegel, ist die Funktionsfähigkeit des Abschaltpfads festgestellt.
-
Anschließend werden die Ansteueranschlüsse 111 wieder bestimmungsgemäß konfiguriert, d.h. sie werden so konfiguriert, dass die Triggersignale für die Ansteuerung der Injektoren 202 ausgegeben werden.
-
Sollte die Fehler- bzw. PES-Konfiguration für die Ansteueranschlüsse 111 während der weiteren Inbetriebnahme und des weiteren Hochfahrens des Steuergeräts 100 hinderlich sein, kann dies bis zum Erreichen des normalen Betriebs zeitweise deaktiviert werden.
-
Ist jedoch schließlich der Normalbetrieb erreicht (d.h. insbesondere sind alle gezeigten Komponenten 110 bis 140 betriebsbereit), sind spätestens die Ansteueranschlüsse 111 wieder so konfiguriert, dass sie im Fehlerfall ein Fehlersignal mit einem HIGH-Pegel dauerhaft ausgeben.
-
Die Erfindung kann nicht nur für Ansteuerleitungen im Bezug auf das Einspritzsystem eingesetzt werden, sondern auch für die Abschaltung von Datenübertragungsleitungen, wie zum Beispiel CAN, FlexRay oder Ethernet-Übertragungen usw., insbesondere wenn diese überwachungsrelevante Botschaften übertragen und im Fehlerfall der Recheneinheit abgeschaltet werden sollen.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 10022956 A1 [0002]
- DE 4438714 A1 [0003]
