-
Oberbegriff
-
Es wird ein Verfahren zum Überwachen der Versorgungsspannung VCC eines integrierten Schaltkreises IC vorgeschlagen, der dazu vorgesehen ist, Teil eines Sensors SEN innerhalb eines Sensorsystems SSY mit einem Mikrorechner RE und einem Steuerrechner SE zu sein. Bevorzugt ist das Sensorsystem SSY ein Airbag-Sensorsystem, das dazu vorgesehen ist, die Messdaten für das Zünden einer Insassenrückhaltevorrichtung zu liefern, oder ein Fußgängeraufprallsensorsystem, das dazu vorgesehen ist, Messdaten für das Zünden einer Fußgängeraufpralldämpfungsvorrichtung zu liefern. Solche Fußgängeraufpralldämpfungsvorrichtungen können beispielsweise aus Motorhauben oder anderen Fahrzeugteilen oder Prallsäcken bestehen, die beim Aufprall eines Fußgängers in eine geeignetere Position gebracht werden oder im Falle der Prallsäcke aufgeblasen werden.
-
Allgemeine Einleitung
-
Spannungsüberwacher für Über- sowie Unterspannungen der Betriebsspannungen werden für die funktionale Sicherheit nach ISO26262 als Standardmethode verwendet. Im vorliegenden Fall wurde diese Problematik im Zusammenhang mit einem Sensorsystem betrachtet, bei dem Sensoren über einen PSI5-Datenbus Daten von einem Steuergerät empfangen und an dieses senden. Hierbei senden die Sensoren sowohl Messwerte, wie auch Statusinformationen. Hierbei sind bei der Verwendung in ISO 26262 konformen Systemen Fehlermeldungen, die vom Sensor an das Steuergerät gesendet werden, von besonderer Bedeutung.
-
Ein immer wieder auftretendes Problem im Rahmen der funktionalen Sicherheit ist, dass die Überwachungseinrichtungen, die im Rahmen der funktionalen Sicherheit zum Erkennen von Fehlerzuständen genutzt werden, selbst fehlerhaft sein können und damit einer geeigneten Überwachung bedürfen ohne zusätzliche weitere Überwachungsvorrichtungen zu erfordern. Nur dann bleibt der Aufwand für die Erfüllung der Anforderungen der ISO 26262 begrenzt.
-
Aus der
DE 11 2014 002 675 T5 ist eine Vorrichtung zum normenkomformen Überwachen einer Spannung gemäß
ISO26262 bekannt. Aus der
DE 102 18 669 B4 ist ein Verfahren zur Spannungsüberwachung, bei welchem die zu überwachende Spannung von zumindest zwei Vergleichseinrichtungen überwacht wird, bekannt.
-
Die hier betrachteten Spannungsüberwacher sind bevorzugt Komparatoren. Ein erster Komparator CMP1 vergleicht die Versorgungsspannung VCC mit einem ersten Schwellwert SW1 für die Überspannung. Ein zweiter Komparator CMP2 vergleicht die Versorgungsspannung mit einem zweiten Schwellwert SW2 für die Unterspannung. Tritt eine Überspannung auf, so setzt der erste Komparator CMP1 ein erstes Flag FL2, das beispielsweise an eine Steuereinheit SE als erstes Fehlersignal durch die den Mikrorechner RE des Sensorsystems über einen Datenbus DB signalisiert werden kann. Tritt eine Unterspannung auf der Versorgungsspannung VCC auf, so setzt der zweite Komparator CMP2 ein zweites Flag FL2, das beispielsweise durch die den Mikrorechner RE des Sensorsystems über den Datenbus DB an die Steuereinheit SE als zweites Fehlersignal signalisiert werden kann. Darüber hinaus besteht üblicherweise der Wunsch, weitere Überwachungen mit Hilfe von Analog-zu-Digital-Wandlern (ADCs), die vorteilhafterweise gemultiplext genutzt werden, parallel zu verwenden.
-
Aufgabe der Erfindung
-
Es soll eine verbesserte Überwachung der Komparatoren (CMP1, CMP2) für die Detektion von Unter- und Überspannung der Versorgungsspannung VCC mit geringem Aufwand ermöglicht werden, um die Anforderungen der ISO 26262 zu erfüllen.
-
Der Erfindung liegt daher die Aufgabe zugrunde, eine Lösung zu schaffen, die die obigen Nachteile des Stands der Technik nicht aufweist und weitere Vorteile aufweist.
-
Diese Aufgabe wird durch ein Verfahren nach Anspruch 1 und einer Vorrichtung nach Anspruch 7 gelöst.
-
Lösung der erfindungsgemäßen Aufgabe
-
Falls ein kritischer Fehler an der Versorgungsspannung VCC, also eine Überspannung durch den ersten Komparator CMP1 oder eine Unterspannung durch den zweiten Komparator CMP2 detektiert wird, wird das erste Flag FL1 bzw. das zweite Flag FL2 typischerweise in Form eines des Ausgangs eines ersten Flipflops FF1 für das erste Flag FL1 bzw. in Form eines zweiten Flipflops FF2 für das zweite Flag FL2 gesetzt und in diesem Zustand zumindest bis zur Übermittlung dieser Information an die Steuereinheit SE durch die Mikrorechner RE oder an den Mikrorechner des Sensors RE gehalten. Zusätzlich wird typischerweise angenommen, dass der Mikrorechner RE des Sensorsystems diese beiden Flags FL1, FL2 für die Unter- und Überspannung der Versorgungsspannung VCC während des Einschaltvorgangs oder nach einem Rücksetzvorgang beschreibt und liest, um die Verfügbarkeit und Funktionstüchtigkeit dieser Flags FL1, FL2 und der zugehörigen Speicherzellen (hier das erste Flipflop FF1 und das zweite Flipflop FF2) zu überprüfen. Außerdem überprüft der Mikrorechner RE hierbei, ob ein erfolgreiches Löschen dieser Zustände nach dem Lesen dieser Flags FL1, FL2 möglich ist.
-
Des Weiteren sollte die integrierte Schaltung IC, die diese Funktionen ausführt, einen Mechanismus bereitstellen, um die Messung der Versorgungsspannung VCC mittels eines selbsttestfähigen Analog-zu-Digital-Wandlers ADC der integrierten Schaltung IC mit der ersten Schwelle SW1 für die Überspannung und der zweiten Schwelle SW2 für die Unterspannung der Versorgungsspannung VCC zu vergleichen.
-
Diese Plausibilitätsüberprüfung durch einen Selbsttest des selbsttestfähigen Analog-zu-Digital-Wandlers ADC soll bevorzugt ausgeführt werden:
- a. Immer, wenn sich der durch den Analog-zu-Digital-Wandler ADC erfasste Spannungswert der Versorgungsspannung VCC ändert. (Dies kann beispielsweise während der Selbstdiagnose im Rahmen des Einschaltvorgangs oder während des Normalbetriebs der Fall sein.)
- b. Während der Selbstdiagnose des Sensorsystems im Rahmen des Einschaltvorgangs. (Nachdem die Komparatoren CMP1, CMP2 ein erfolgreiches Hochfahren der Versorgungsspannung VCC in den normalen Versorgungsspannungstoleranzbereich zwischen dem ersten Schwellwert und dem zweiten Schwellwert SW2 signalisieren.)
-
Sofern diese Überwachung der Versorgungsspannung VCC durch den Analog-zu-Digitalwandler ADC einen Wert der Versorgungsspannung ergibt, der innerhalb des normalen Versorgungsspannungstoleranzbereichs, also zwischen dem ersten Schwellwert SW1 und dem zweiten Schwellwert SW2, liegt, signalisiert bevorzugt der Mikrorechner RE regelmäßig in gewissen Abständen an das Steuergerät SE, dass keine Über- bzw. Unterspannung der Versorgungsspannung VCC vorliegt. Dies ist zu empfehlen aber nicht zwingend erforderlich.
-
Sofern diese zusätzliche Überwachung der Versorgungsspannung VCC durch den Analog-zu-Digitalwandler ADC einen Wert der Versorgungsspannung VCC ergibt, der nicht innerhalb des normalen Versorgungsspannungstoleranzbereichs, also zwischen dem ersten Schwellwert SW1 und dem zweiten Schwellwert SW2, liegt, und damit vom Messergebnis des ersten Komparators CMP1 oder des zweiten Komparators CMP2 abweicht, die ja ein Messergebnis zwischen dem ersten Schwellwert SW1 und dem zweiten Schwellwert SW2 meldeten, so muss ein Selbsttest ST des Analog-zu-Digital-Wandlers ADC durchgeführt werden. Der Selbsttest ST richtet sich zumindest auf eine Überprüfung des ADC-Messkanals ADCM des Analog-zu-Digital-Wandlers ADC für die Vermessung der Versorgungsspannung VCC. Bevorzugt aber nicht notwendigerweise richtet sich der Selbsttest auch auf den ersten ADC-Messkanal ADCSW1 des Analog-zu-Digital-Wandlers ADC für die Vermessung des ersten Schwellwerts SW1 und den zweiten ADC-Messkanal ADCSW2 des Analog-zu-Digital-Wandlers ADC für die Vermessung des zweiten Schwellwerts SW2.
-
Dieser mehr oder weniger tiefe Selbsttest ST des Analog-zu-Digital-Wandlers ADC kann verschiedene Resultate ergeben. Je nach Resultat erfolgt eine andere Signalisierung an das Steuergerät SE über den Mikrorechner RE der integrierten Schaltung IC.
- a. Wenn der Selbsttest ST des Analog-zu-Digital-Wandlers ADC einen fehlerhaften Messkanal ADCM des Analog-zu-Digital-Wandlers ADC für die Messung der Versorgungsspannung (VCC) ergibt, signalisiert der Analog-zu-Digital-Wandler ADC, genauer dessen Selbsttest-Ablaufsteuerung, an den Mikrorechner RE einen fehlerhaften Messkanal ADCM des Analog-zu-Digital-Wandlers ADC für die Messung der Versorgungsspannung VCC und damit an das Steuergerät SE.
- b. Wenn der zusätzliche Selbsttest ST des Analog-zu-Digital-Wandlers ADC einen fehlerhaften ersten Messkanal ADCSW1 des Analog-zu-Digital-Wandlers ADC für die Messung des ersten Schwellwerts SW1 ergibt, signalisiert der Analog-zu-Digital-Wandler ADC, genauer dessen Selbsttest-Ablaufsteuerung, an den Mikrorechner RE einen fehlerhaften ersten Messkanal ADCSW1 des Analog-zu-Digital-Wandlers ADC für die Messung des ersten Schwellwerts SW1 und damit an das Steuergerät SE.
- c. Wenn der zusätzliche Selbsttest ST des Analog-zu-Digital-Wandlers ADC einen fehlerhaften zweiten Messkanal ADCSW2 des Analog-zu-Digital-Wandlers ADC für die Messung des zweiten Schwellwerts SW2 ergibt, signalisiert der Analog-zu-Digital-Wandler ADC, genauer dessen Selbsttest-Ablaufsteuerung, an den Mikrorechner RE einen fehlerhaften zweiten Messkanal ADCSW2 des Analog-zu-Digital-Wandlers ADC für die Messung des zweiten Schwellwerts SW2 und damit an das Steuergerät SE.
- d. Wenn der Selbsttest ST des Analog-zu-Digital-Wandlers ADC, der auf den Selbsttest ST des Messkanals ADCM zur Vermessung der Versorgungsspannung VCC beschränkt sein kann, eine fehlerfreie Funktion des Analog-zu-Digital-Wandlers ADC hinsichtlich des Messkanals ADCM zur Vermessung der Versorgungsspannung VCC ergibt, so muss die Versorgungsspannung VCC als fehlerhaft bewertet werden. In dem Fall signalisiert der Analog-zu-Digital-Wandler ADC das Ergebnis seines Selbsttests ST an den Mikrorechner RE und der Mikrorechner RE signalisiert eine fehlerhafte Über- bzw. Unterspannung der Versorgungsspannung VCC an das Steuergerät SE. Typischerweise schaltet das Steuergerät SE den Sensor ab oder ignoriert dessen Messwerte oder führt ein Zurücksetzen des Sensors oder dessen Spannungsversorgung durch. Die genauen Maßnahmen hängen dann typischerweise von der Konstruktion des Gesamtsystems ab, in der der Sensor eingebettet ist.
-
Durch den Analog-zu-Digital-Wandler ADC wird also ein digitaler Messwert für die Versorgungsspannung VCC ermittelt, um diese zu überwachen. Dieser digital ermittelte Wert für die Versorgungsspannung VCC muss im Rahmen der ISO 26262 plausibilisiert werden.
-
Es werden vorgebbare Grenzen für Über- und Unterspannung der Versorgungsspannung (VCC) auch im digitalen Bereich redundant überprüft. Diese vorgebbaren Grenzen werden für den ersten Komparator durch einen ersten Schwellwert SW1 und für den zweiten Komparator durch einen zweiten Schwellwert SW2 in Kombination festgelegt. Die vorgebbaren Grenzen werden als Grenzwerte für die Messwerte der Versorgungsspannung VCC bei Vermessung durch den Analog-zu-Digital-Wandler ADC durch einen dritten Schwellwert SW3 und einen vierten Schwellwert SW4 festgelegt. Vorzugsweise werden der dritte Schwellwert SW3 und der vierte Schwellwert SW4 im Speicher des Mikrorechners RE des Sensors oder einem jeweiligen Register des Mikrorechners niedergelegt. Auch ist eine feste Verdrahtung im Zusammenwirken mit einer Vergleichslogik denkbar. Hierdurch werden der dritte Schwellwert SW3 und der vierte Schwellwert SW4 auf andere Art erzeugt, als der erste Schwellwert SW1 und der zweite Schwellwert SW2, was eine zusätzliche Sicherheit durch Redundanz ergibt.
-
Vorteilhafterweise wird das Verfahren somit folgende weitere optionale Schritte aufweisen:
- Als Erstes erfolgt eine periodische Ermittlung des Werts der aktuellen Versorgungsspannung VCC durch den Analog-zu-Digital-Wandler ADC. Das Ergebnis dieser Ermittlung des Werts der aktuellen Versorgungsspannung VCC ist ein ADC-Wert ADCW.
-
Gleichzeitig vergleicht ein erster Komparator CMP1 die Versorgungsspannung VCC mit dem ersten Schwellwert SW1 zur potenziellen Detektion einer Überspannung der Versorgungsspannung VCC und ermittelt so einen ersten Vergleichswert VW1, der zumindest einen ersten logischen Wert und einen zweiten logischen Wert annehmen kann. Dabei gibt der erste Komparator CMP1 den ersten logischen Wert als ersten Vergleichswert VW1 aus, wenn die Versorgungsspannung VCC über dem ersten Schwellwert SW1 liegt und wenn somit eine Überspannung vorliegt. Der erste Komparator CMP1 gibt den zweiten logischen Wert als ersten Vergleichswert VW1 aus, wenn die Versorgungsspannung VCC unter dem ersten Schwellwert SW1 liegt und wenn somit keine Überspannung der Versorgungsspannung VCC vorliegt.
-
Gleichzeitig vergleicht ein zweiter Komparator CMP2 die Versorgungsspannung VCC mit einem zweiten Schwellwert SW2 zur potenziellen Detektion einer Unterspannung der Versorgungsspannung VCC und ermittelt so einen zweiten Vergleichswert VW2, der zumindest einen dritten logischen Wert und einen vierten logischen Wert annehmen kann. Dabei gibt der zweite Komparator CMP2 den dritten logischen Wert als zweiten Vergleichswert VW2 aus, wenn die Versorgungsspannung VCC über dem zweiten Schwellwert SW2 liegt und wenn somit keine Unterspannung der Versorgungsspannung VCC vorliegt. Der zweite Komparator CMP2 gibt den vierten logischen Wert als zweiten Vergleichswert VW2 aus, wenn die Versorgungsspannung VCC unter dem zweiten Schwellwert SW2 liegt und wenn somit eine Unterspannung der Versorgungsspannung VCC vorliegt.
-
Als Viertes folgt der Vergleich des durch den Analog-zu-Digital-Wandler ADC ermittelten ADC Werts ADCW für die zu überwachende Versorgungsspannung VCC mit einem dritten Schwellwert SW3, der vorzugsweise wertmäßig in seiner Wirkung hinsichtlich der Überspannungsdetektion gleich dem ersten Schwellwert SW1 ist, und mit einem vierten Schwellwert SW4, der vorzugsweise wertmäßig in seiner Wirkung hinsichtlich der Unterspannungsdetektion gleich dem zweiten Schwellwert SW2 ist. Der Vergleich erfolgt bevorzugt durch eine erste Vergleichslogik oder den Mikrorechner RE, der in diesem Sinne auch als erste Vergleichslogik aufgefasst werden kann. Der dritte Schwellwert SW3 und der vierte Schwellwert SW4 können durch den Analog-zu-Digital-Wandler ADC auch durch Messung des ersten Schwellwerts SW1 und des zweiten Schwellwerts SW2 ermittelt werden.
-
Eine erste Vergleichslogik oder der Mikrorechner RE der integrierten Schaltung IC vergleicht den ADC-Wert ADCM mit dem dritten Schwellwert SW3 zur potenziellen Detektion einer Überspannung der Versorgungsspannung VCC und ermittelt so einen dritten Vergleichswert VW3, der zumindest einen fünften logischen Wert und einen sechsten logischen Wert annehmen kann. Dabei gibt die erste Vergleichslogik bzw. der Mikrorechner RE den fünften logischen Wert als dritten Vergleichswert aus, wenn die Versorgungsspannung VCC über dem dritten Schwellwert SW3 liegt und wenn somit eine Überspannung der Versorgungsspannung VCC vorliegt. Die erste Vergleichslogik bzw. der Mikrorechner RE gibt den sechsten logischen Wert als dritten Vergleichswert VW3 aus, wenn die Versorgungsspannung VCC unter dem dritten Schwellwert SW3 liegt und wenn somit keine Überspannung der Versorgungsspannung VCC vorliegt.
-
Eine zweite Vergleichslogik bzw. der Mikrorechner RE vergleicht den ADC-Wert ADCM mit dem vierten Schwellwert SW4 zur potenziellen Detektion einer Unterspannung der Versorgungsspannung VCC und ermittelt so einen vierten Vergleichswert VW4, der zumindest einen siebten logischen Wert und einen achten logischen Wert annehmen kann. Dabei gibt die zweite Vergleichslogik bzw. der Mikrorechner RE den siebten logischen Wert als vierten Vergleichswert VW4 aus, wenn die Versorgungsspannung VCC über dem vierten Schwellwert SW4 liegt und wenn somit keine Unterspannung der Versorgungsspannung VCC vorliegt. Die zweite Vergleichslogik bzw. der Mikrorechner RE gibt den achten logischen Wert als vierten Vergleichswert VW4 aus, wenn die Versorgungsspannung VCC unter dem vierten Schwellwert SW4 liegt und wenn somit eine Unterspannung der Versorgungsspannung VCC vorliegt.
-
Eine Ausgabe der logischen Werte des Mikrorechners RE kann hierbei an den Mikrorechner RE selbst erfolgen. Typischerweise legt der Mikrorechner solche Werte an einer vorbestimmten Adresse seines Speichers oder in einem Register ab und stellt sie sich damit selbst wieder zur Verfügung. Natürlich ist auch die Weitergabe an das Steuergerät SE über den Datenbus DB denkbar.
-
Im Normalbetrieb muss der erste Vergleichswert VW1 mit dem dritten Vergleichswert VW3 hinsichtlich seines Ergebnisinhalts übereinstimmen.
-
Im Normalbetrieb muss der zweite Vergleichswert VW2 mit dem vierten Vergleichswert VW4 in hinsichtlich seines Ergebnisinhalts übereinstimmen.
-
Sind diese beiden Bedingungen nicht erfüllt, so liegt ein Fehler vor. Es ergeben sich vier mögliche Konstellationen, von denen drei einen Fehler darstellen:
- Kein Fehler:
- Der erste Vergleichswert VW1 stimmt mit dem dritten Vergleichswert VW3 überein und der zweite Vergleichswert VW2 stimmt mit dem vierten Vergleichswert VW4 überein.
- Fehler 1:
- Der erste Vergleichswert VW1 stimmt nicht mit dem dritten Vergleichswert VW3 überein und der zweite Vergleichswert VW2 stimmt mit dem vierten Vergleichswert VW4 überein.
- Fehler 2:
- Der erste Vergleichswert VW1 stimmt mit dem dritten Vergleichswert VW3 überein und der zweite Vergleichswert VW2 stimmt nicht mit dem vierten Vergleichswert VW4 überein.
- Fehler 3
- Der erste Vergleichswert VW1 stimmt nicht mit dem dritten Vergleichswert VW3 überein und der zweite Vergleichswert VW2 stimmt nicht mit dem vierten Vergleichswert VW4 überein.
-
Die Ursache eines der Fehler 1 bis 3 kann nun in dem ersten Komparator CMP1, dem zweiten Komparator CMP2 und den zugehörigen Hilfsschaltungen wie z.B. den Speicherschaltungen liegen oder im Analog-zu-Digital-Wandler ADC und dessen Hilfsschaltungen.
-
Als fünftes erfolgt bevorzugt eine ereignisbezogene Plausibilisierung durch eine Logik, immer wenn ein ADC-Wert ADCW des Analog-zu-Digital-Wandlers ADC als Messwert für die Versorgungsspannung VCC aktualisiert wird. Hierfür werden durch die Logik der erste Vergleichswert VW1 und der zweite Vergleichswert VW2 und der dritte Vergleichswert VW3 und der vierte Vergleichswert VW4 ausgewertet und einer der vier Fehlerzustände ermittelt, wobei einer der Fehlerzustände für „kein Fehler“ steht und die anderen drei Fehlerzustände die besagten Fehler 1 bis 3 symbolisieren. Selbstverständlich ist es denkbar, die Vorrichtung auf die Detektion von Überspannung der Versorgungsspannung VCC zu begrenzen oder auf die Detektion von Unterspannung der Versorgungsspannung VCC zu begrenzen, wenn die dann nicht detektierten Fehlerzustände anders abgefangen werden.
-
Sofern einer der drei Fehlerzustände mit einem der Fehler 1 bis 3 detektiert wird, folgt als sechstes die Initiierung eines Selbsttests des Analog-zu-Digital-Wandlers ADC. Dieser Selbsttest muss nicht den gesamten Analog-zu-Digital-Wandler ADC erfassen. Es reicht aus, denn der Messkanal ADCM des Analog-zu-Digital-Wandlers ADC durch den Selbsttest ST geprüft wird, der für die Vermessung der Versorgungsspannung VCC benötigt wird. Dieser Messkanal ADCM des Analog-zu-Digital-Wandlers ADC wird im Folgenden mit ADC-Kanal ADCM bezeichnet. Das bedeutet, dass auch ein ansonsten fehlerhafter Analog-zu-Digital-Wandler ADC bezüglich dieses ADC-Kanals ADCM möglicherweise durchaus richtige Messergebnisse ADCW liefern kann, wenn der ADC-Kanal ADCM selbst fehlerfrei ist. Dies kann beispielsweise dann der Fall sein, wenn ein anderer typischerweise gemultiplexter Eingang ADCMUX des Analog-zu-Digital-Wandlers ADC aus welchen Gründen auch immer beschädigt oder fehlerhaft ist, der nicht den Messkanal ADCM für die Messung der Versorgungsspannung (VCC) berührt, beeinflusst oder sonst wie so beeinträchtigt, dass ein Fehler im ADC-Kanal ADCM auftritt.
-
Das Ergebnis dieses Selbsttest des Analog-zu-Digital-Wandlers ADC ist das Selbsttestergebnis. Die möglichen Selbsttestergebnisse des Analog-zu-Digital-Wandlers ADC können in eine erste Gruppe, die der Feststellung eines kritischen Fehlers bezüglich des ADC-Kanals ADCM entspricht und eine zweite Gruppe, die der Feststellung keines kritischen Fehlers bezüglich des ADC-Kanals ADCM entspricht, eingeteilt werden.
-
Sofern ein kritischer Fehler des ADC-Kanals ADCM vorliegt, signalisiert bevorzugt der Analog-zu-Digital-Wandler ADC und/oder seine Selbsttestablaufsteuerung an den Mikrorechner RE und/oder das Steuergerät SE diesen Fehler.
-
Sofern kein kritischer Fehler des ADC-Kanals ADCM vorliegt, muss ein Fehler des ersten Komparators CMP1 oder des zweiten Komparators CMP2 oder deren Hilfsschaltungen vorliegen. Hilfsschaltungen sind beispielsweise die Schaltungsteile zur Erzeugung des ersten Schwellwerts SW1 und des zweiten Schwellwerts SW2 sowie das erste Flipflop FF1 und das zweite Flipflop FF2. Daher signalisiert bevorzugt der Analog-zu-Digital-Wandler ADC und/oder seine Selbsttestablaufsteuerung in diesem Fall an den Mikrorechner RE und/oder das Steuergerät SE diesen anderen Fehler.
-
Je nach Systemprogrammierung bzw. Systemkonstruktion wird der Mikrorechner RE und/oder das Steuergerät SE den Programmablauf im Steuergerät SE und/oder des Mikrorechners RE so abändern, dass im Falle einer solchen detektierten Abweichung ein sicherer Zustand eingenommen wird. Dies kann beispielsweise ein Zurücksetzen des Mikrorechnersystems RE - also typischerweise des Sensors - darstellen.
-
Ein solches Zurücksetzen erfolgt bevorzugt immer dann, wenn sowohl die Komparatoren CMP1, CMP2 als auch der Analog-zu-Digital-Wandler ADC eine Unter- oder Überspannung der Versorgungsspannung VCC erkennen und an den Mikrorechner RE oder das Steuergerät SE signalisieren.
-
Bevorzugt wird die Versorgungsspannung VCC dann durch das Steuergerät SE oder den Mikrorechner RE neu hochgefahren. Nach einer Hochfahrzeit T wird dann bevorzugt erneut überprüft, ob eine Überspannung oder Unterspannung der Versorgungsspannung VCC vorliegt.
-
Es wird also ein Verfahren zum Überwachen der Versorgungsspannung VCC eines integrierten Schaltkreises IC vorgeschlagen, der dazu vorgesehen ist, Teil eines Sensors innerhalb eines Sensorsystems mit einem Mikrorechner RE und einem Steuerrechner SE zu sein. Der integrierte Schaltkreis IC umfasst einen ersten Komparator CMP1. Der integrierte Schaltkreis IC umfasst einen zweiten Komparator CMP2. Der integrierte Schaltkreis IC umfasst einen selbsttestfähigen Analog-zu-Digital-Wandler ADC.
-
Das Verfahren weist den Schritt des Vergleichens des Werts der Versorgungsspannung VCC mit einem ersten Schwellwert SW1 auf und der Erzeugung eines ersten Vergleichswerts VW1 als Komparatorausgangssignal in Abhängigkeit von diesem Vergleich durch den ersten Komparator CMP1. Der erste Vergleichswert VW1 nimmt einen ersten logischen Pegel ein, wenn der Wert der Versorgungsspannung VCC über dem ersten Schwellwert SW1 liegt, und einen zweiten logischen Pegel, wenn der Wert der Versorgungsspannung VCC unter dem ersten Schwellwert SW1 liegt.
-
Das Verfahren weist den zweiten Schritt des Vergleichens des Werts der Versorgungsspannung VCC mit einem zweiten Schwellwert SW2 auf und der Erzeugung eines des zweiten Vergleichswerts VW2 als Komparatorausgangssignal in Abhängigkeit von diesem Vergleich durch den zweiten Komparator CMP2. Der zweite Vergleichswert VW2 nimmt einen dritten logischen Pegel ein, wenn der Wert der Versorgungsspannung VCC über dem zweiten Schwellwert SW2 liegt, und einen vierten logischen Pegel, wenn der Wert der Versorgungsspannung VCC unter dem zweiten Schwellwert SW2 liegt.
-
Das Verfahren weist den dritten Schritt der Durchführung eines Selbsttest des Analog-zu-Digital-Wandlers ADC, zur Beurteilung der Funktionstüchtigkeit des Messkanals ADCM des Analog-zu-Digital-Wandlers ADC zur Ermittlung eines Messwertes ADCW des Werts der Versorgungsspannung VCC, unter Ermittlung eines Selbsttestergebnisses für diesen Messkanal ADCM des Analog-zu-Digital-Wandlers ADC auf. Das Selbsttestergebnis kann bezüglich der der Funktionstüchtigkeit des Messkanals ADCM des Analog-zu-Digital-Wandlers ADC die Bewertung „funktionstüchtig“ und „nicht funktionstüchtig“ haben.
-
Das Verfahren weist den vierten Schritt der Ermittlung eines Messwertes ADCW des Werts der Versorgungsspannung VCC durch den Analog-zu-Digital-Wandler ADC mittels dieses Messkanals ADCM des Analog-zu-Digital-Wandlers ADC auf.
-
Das Verfahren weist den fünften Schritt des Vergleichens des Messwertes ADCW des Werts der Versorgungsspannung VCC mit einem dritten Schwellwert SW3 und der Erzeugung eines dritten Vergleichswerts VW3 in Abhängigkeit von diesem Vergleich durch den Mikrorechner RE oder eine Vergleichslogik auf. Der dritte Vergleichswert VW3 nimmt einen fünften logischen Pegel ein, wenn der Wert des Messwertes ADCW des Werts der Versorgungsspannung VCC über dem dritten Schwellwert SW3 liegt, und einen sechsten logischen Pegel, wenn der Wert des Messwertes ADCW des Werts der Versorgungsspannung VCC unter dem dritten Schwellwert SW3 liegt.
-
Das Verfahren weist den sechsten Schritt des Vergleichens des Messwertes ADCW des Werts der Versorgungsspannung VCC mit einem vierten Schwellwert SW4 und der Erzeugung eines vierten Vergleichswerts VW4 in Abhängigkeit von diesem Vergleich durch den Mikrorechner RE oder eine Vergleichslogik auf. Der vierte Vergleichswert VW4 nimmt einen siebten logischen Pegel ein, wenn der Wert des Messwertes ADCW des Werts der Versorgungsspannung VCC über dem vierten Schwellwert SW4 liegt, und einen achten logischen Pegel, wenn der Wert des Messwertes ADCW des Werts der Versorgungsspannung VCC unter dem vierten Schwellwert SW4 liegt.
-
Das Verfahren weist den siebten Schritt der Ausgabe einer Fehlerbotschaft durch den Mikrorechner RE oder das Steuergerät SE auf. Dabei erfolgt diese Ausgabe, wenn der erste Vergleichswert VW1 nicht einen zweiten logischen Pegel aufweist und/oder wenn der zweite Vergleichswert VW2 nicht einen dritten logischen Pegel aufweist und/oder wenn der dritte Vergleichswert VW3 nicht einen sechsten logischen Pegel aufweist und/oder wenn der vierte Vergleichswert VW4 nicht einen siebten logischen Pegel aufweist und/oder wenn das Selbsttestergebnis bezüglich der der Funktionstüchtigkeit des Messkanals ADCM des Analog-zu-Digital-Wandlers ADC die Bewertung „nicht funktionstüchtig“ hat.
-
Das Verfahren weist in einer ersten Variante den weiteren Schritt der zumindest zeitweisen Ausgabe einer Meldung, die eine korrekte Versorgungsspannung VCC signalisiert, durch den Mikrorechner RE oder das Steuergerät SE auf. Dabei erfolgt diese Ausgabe, wenn der erste Vergleichswert VW1 einen zweiten logischen Pegel aufweist und wenn der zweite Vergleichswert VW2 einen dritten logischen Pegel aufweist und wenn der dritte Vergleichswert VW3 einen sechsten logischen Pegel aufweist und wenn der vierte Vergleichswert VW4 einen siebten logischen Pegel aufweist und wenn das Selbsttestergebnis bezüglich der Funktionstüchtigkeit des Messkanals ADCM des Analog-zu-Digital-Wandlers ADC die Bewertung „funktionstüchtig“ hat.
-
Das Verfahren weist in einer zweiten weiteren Variante den weiteren Schritt des Zurücksetzens des Mikrorechners RE und weiterer rücksetzbarer Schaltungsteile des Sensorsystems auf, wenn der erste Vergleichswert VW1 nicht einen zweiten logischen Pegel aufweist oder wenn der zweite Vergleichswert VW2 nicht einen dritten logischen Pegel aufweist oder wenn der dritte Vergleichswert VW3 nicht einen sechsten logischen Pegel aufweist und/oder wenn der vierte Vergleichswert VW4 nicht einen siebten logischen Pegel aufweist und/oder wenn das Selbsttestergebnis bezüglich der Funktionstüchtigkeit des Messkanals ADCM des Analog-zu-Digital-Wandlers ADC die Bewertung „nicht funktionstüchtig“ hat.
-
Das Verfahren weist in einer dritten weiteren Variante den weiteren Schritt der Ausgabe einer Fehlerbotschaft, die einen Fehler des Analog-zu-Digital-Wandlers ADC symbolisiert, durch den Mikrorechner RE oder das Steuergerät SE auf, wenn der erste Vergleichswert VW1 einen zweiten logischen Pegel aufweist und wenn der zweite Vergleichswert VW2 einen dritten logischen Pegel aufweist und wenn zumindest eine der drei folgenden Bedingungen erfüllt ist: Der dritte Vergleichswert VW3 weist nicht einen sechsten logischen Pegel auf oder der vierte Vergleichswert VW4 weist nicht einen siebten logischen Pegel auf oder das Selbsttestergebnis bezüglich der Funktionstüchtigkeit des Messkanals ADCM des Analog-zu-Digital-Wandlers ADC hat die Bewertung „nicht funktionstüchtig“.
-
Das Verfahren weist in einer vierten weiteren Variante den weiteren Schritt der Ausgabe einer Fehlerbotschaft, die einen Fehler des ersten Komparators CMP1 oder einer seiner Hilfsschaltungen symbolisiert, durch den Mikrorechner RE oder das Steuergerät SE auf, wenn der erste Vergleichswert VW1 nicht einen zweiten logischen Pegel aufweist und wenn der zweite Vergleichswert VW2 einen dritten logischen Pegel aufweist und wenn der dritte Vergleichswert VW3 einen sechsten logischen Pegel aufweist und wenn der vierte Vergleichswert VW4 einen siebten logischen Pegel aufweist und wenn das Selbsttestergebnis bezüglich der Funktionstüchtigkeit des Messkanals ADCM des Analog-zu-Digital-Wandlers ADC die Bewertung „funktionstüchtig“ hat.
-
Das Verfahren weist in einer fünften weiteren Variante den weiteren Schritt der Ausgabe einer Fehlerbotschaft, die einen Fehler des zweiten Komparators CMP2 oder einer seiner Hilfsschaltungen symbolisiert, durch den Mikrorechner RE oder das Steuergerät SE auf, wenn der erste Vergleichswert VW1 einen zweiten logischen Pegel aufweist und wenn der zweite Vergleichswert VW2 nicht einen dritten logischen Pegel aufweist und wenn der dritte Vergleichswert VW3 einen sechsten logischen Pegel aufweist und wenn der vierte Vergleichswert VW4 einen siebten logischen Pegel aufweist und wenn das Selbsttestergebnis bezüglich der Funktionstüchtigkeit des Messkanals ADCM des Analog-zu-Digital-Wandlers ADC die Bewertung „funktionstüchtig“ hat.
-
Es wird vereinfacht also vorgeschlagen, das folgende Verfahren zum ISO 26262 konformen Überwachen eines integrierten Schaltkreises (IC), der dazu vorgesehen ist, Teil eines Sicherheitssystems (SSSY) mit einem Mikrorechner (RE) und einem Steuerrechner (SE) zu sein, zu verwenden. Der integrierte Schaltkreis (IC) umfasst dazu mindestens einen ersten Komparator (CMP1) und einen selbsttestfähigen Analog-zu-Digital-Wandler (ADC). Als ersten Schritt weist das Verfahren den Schritt des Vergleichens des Werts einer ersten physikalischen Größe innerhalb der integrierten Schaltung, insbesondere der Versorgungsspannung (VCC), mit einem ersten Schwellwert (SW1) und Erzeugung eines ersten Vergleichswerts (VW1) als Komparatorausgangssignal in Abhängigkeit von diesem Vergleich durch den ersten Komparator (CMP1) auf. Der erste Vergleichswert (VW1) nimmt einen ersten logischen Pegel ein, wenn der Wert der ersten physikalischen Größe über dem ersten Schwellwert (SW1) liegt, und einen zweiten logischen Pegel ein, wenn der Wert der Wert der ersten physikalischen Größe unter dem ersten Schwellwert (SW1) liegt. Ein weiterer Schritt in dieser verallgemeinerten Variante des vorgeschlagenen Verfahrens ist die Durchführung eines Selbsttest des Analog-zu-Digital-Wandlers (ADC), zur Beurteilung der Funktionstüchtigkeit des Messkanals (ADCM) des Analog-zu-Digital-Wandlers (ADC) zur Ermittlung eines Messwertes (ADCW) des Werts der ersten physikalischen Größe, unter Ermittlung eines Selbsttestergebnisses für diesen Messkanals (ADCM) des Analog-zu-Digital-Wandlers (ADC). Dabei kann das Selbsttestergebnis bezüglich der der Funktionstüchtigkeit des Messkanals (ADCM) des Analog-zu-Digital-Wandlers (ADC) die Bewertung „funktionstüchtig“ und „nicht funktionstüchtig“ haben. Des Weiteren umfass diese vereinfachte Variante des Verfahrens die Ermittlung eines Messwertes (ADCW) des Werts der ersten physikalischen Größe durch den Analog-zu-Digital-Wandler (ADC) mittels dieses Messkanals (ADCM) des Analog-zu-Digital-Wandlers (ADC) und den nachfolgenden Vergleich des Messwertes (ADCW) des Werts der ersten physikalischen Größe mit einem dritten Schwellwert (SW3) und die Erzeugung eines dritten Vergleichswerts (VW3) in Abhängigkeit von diesem Vergleich durch den Mikrorechner (RE) oder eine Vergleichslogik. Dabei nimmt der dritte Vergleichswert (VW3) einen dritten logischen Pegel ein, wenn der Wert des Messwertes (ADCW) des Werts der ersten physikalischen Größe über dem dritten Schwellwert (SW3) liegt, und einen vierten logischen Pegel, wenn der Wert des Messwertes (ADCW) des Wert der ersten physikalischen Größe unter dem dritten Schwellwert (SW3) liegt. Je nach Ergebnis der verschiedenen Vergleiche folgt die Ausgabe einer Fehlerbotschaft durch den Mikrorechner (RE) oder das Steuergerät (SE), wenn der dritte Vergleichswert (VW3) einen dritten logischen Pegel aufweist und der erste Vergleichswert (VW1) nicht einen ersten logischen Pegel aufweist oder einen daraus abgeleiteten Wert aufweist, der nicht einem ersten logischen Pegel des ersten Vergleichswerts (VW1) entspricht oder wenn der dritte Vergleichswert (VW3) einen vierten logischen Pegel aufweist und der erste Vergleichswert (VW1) nicht einen zweiten logischen Pegel aufweist oder einen daraus abgeleiteten Wert aufweist, der nicht einem zweiten logischen Pegel des ersten Vergleichswerts (VW1) entspricht oder wenn das Selbsttestergebnis bezüglich der der Funktionstüchtigkeit des Messkanals (ADCM) des Analog-zu-Digital-Wandlers (ADC) die Bewertung „nicht funktionstüchtig“ hat. Es stellt sich dann die Frage, ob ein Vergleichswert weiterverwendet werden kann. Hier ist ausschlaggebend, dass der Analog-zu-Digital-Wandler (ADC) über eine Selbsttestfähigkeit verfügt, die als dritte Bewertung eine Mehrheitsentscheidung herbeiführen kann. So folgt die Weiterverwendung des ersten oder zweiten Vergleichswerts (VW1, VW2), wenn der dritte Vergleichswert (VW3) einen dritten logischen Pegel aufweist und der erste Vergleichswert (VW1) einen ersten logischen Pegel aufweist oder einen daraus abgeleiteten Wert aufweist, der einem ersten logischen Pegel des ersten Vergleichswerts (VW1) entspricht ODER wenn der dritte Vergleichswert (VW3) einen vierten logischen Pegel aufweist und der erste Vergleichswert (VW1) einen zweiten logischen Pegel aufweist oder einen daraus abgeleiteten Wert aufweist, der einem zweiten logischen Pegel des ersten Vergleichswerts (VW1) entspricht und wenn - als Voraussetzung für die beiden zuvor durch ein „ODER“ verknüpften Bedingungen - das Selbsttestergebnis bezüglich der Funktionstüchtigkeit des Messkanals (ADCM) des Analog-zu-Digital-Wandlers (ADC) die Bewertung „funktionstüchtig“ hat. In diesem Fall sind alle Elemente des sicherheitsrelevanten Sensorsystems voll funktionstüchtig. Nun stellt sich die Frage, ob unter gewissen Bedingungen nicht doch Messwerte verwendet werden können. Eine Weiterverwendung des dritten Vergleichswerts (VW3) ist dann möglich, wenn der dritte Vergleichswert (VW3) einen dritten logischen Pegel aufweist und der erste Vergleichswert (VW1) keinen ersten logischen Pegel aufweist oder einen daraus abgeleiteten Wert aufweist, der nicht einem ersten logischen Pegel des ersten Vergleichswerts (VW1) entspricht oder wenn der dritte Vergleichswert (VW3) einen vierten logischen Pegel aufweist und der erste Vergleichswert (VW1) keinen zweiten logischen Pegel aufweist oder einen daraus abgeleiteten Wert aufweist, der nicht einem zweiten logischen Pegel des ersten Vergleichswerts (VW1) entspricht und wenn - und das muss für beide unmittelbar zuvor beschriebenen Bedingungen gelten - das Selbsttestergebnis bezüglich der der Funktionstüchtigkeit des Messkanals (ADCM) des Analog-zu-Digital-Wandlers (ADC) die Bewertung „funktionstüchtig“ hat.
-
Vorteil der Erfindung
-
Die vorgeschlagene Vorrichtung und das vorgeschlagene Verfahren ermöglichen es, akute Fehler des integrierten Sensorschaltkreises trotz Vorliegen eines latenten Fehlers in den versorgungsspannungsüberwachenden Komparatoren zu identifizieren. Hierdurch werden diese Fehler detektierbar und anzeigbar, was ihren Schweregrad entsprechend ISO 26262 vermindert.
-
Das mehrfache Lesen der Register in der Hochfahrphase der Versorgungsspannung verhindert falsche Beurteilungen durch Stuck-at-0 und Stuck-at-1-Fehler der Komparator-Flags oder der Komparatoren selbst. Fehler in den Komparatoren CMP1, CMP2 können durch die unabhängige Messung mittels eines selbsttestfähigen Analog-zu-Digital-Wandlers ADC erfasst werden.
-
Die Vorteile sind hierauf aber nicht beschränkt.
-
Figurenliste
-
- 1 zeigt ein vereinfachtes Schema der Vorrichtung zur Durchführung des beschriebenen Verfahrens.
-
Beschreibung der Figuren
-
Figur 1
-
1 zeigt schematisch vereinfacht eine beispielhaft vorgeschlagene Vorrichtung zur Durchführung des vorgeschlagenen Verfahrens. Das Bezugspotenzial ist nicht eingezeichnet. Das Sensorsystem SSY besteht zunächst aus dem Steuergerät SE und dem Sensor SEN. Der Sensor umfasst das Sensorelement SEL zur eigentlichen Erfassung der eigentlich zu messenden physikalischen Größe und eine integrierte Schaltung IC zur Erfassung, Aufbereitung und Weiterleitung des durch das Sensorelement erzeugten Rohmesswertes. Der Rohmesswert, der beispielsweise in Form einer Spannung oder eines Stromes oder eines zeitlichen Signalverlaufs derselben vorliegen kann, wird durch den Annalog-zu-Digital-Wandler ADC innerhalb der integrierten Schaltung IC des Sensors SEN in einen Messwert ADCM gewandelt und typischerweise an den Mikrorechner RE, der ebenfalls Teil der Integrierten Schaltung IC ist, übertragen. In dem Mikrorechner wird dieser Messwert ADCM ggf. weiter verarbeitet und das Ergebnis dann ggf. an das Steuergerät SE über den Datenbus DB übertragen. Ein Multiplexer ADCMUX des Analog-zu-Digital-Wandlers ADC ermöglicht es andere Spannungen (oder Ströme) innerhalb und ggf. auch außerhalb der integrierten Schaltung zu messen. Der Multiplexer ADCMUX des Analog-zu-Digital-Wandlers ADC ist daher zwischen das Sensorelement SEL und den eigentlichen Analog-zu-Digital-Wandler ADC geschaltet. Wir betrachten ihn hier aber zur Vereinfachung als Teil des Analog-zu-Digital-Wandlers ADC, sodass wir ganz grob von einem Analog-zu-Digital-Wandler ADC mit mehr als einem Eingang ausgehen. Ein weiterer dieser Eingänge des Analog-zu-Digital-Wandlers ADC - in dem Beispiel hier also ein weiter Eingang des Multiplexers ADCM UX des Analog-zu-Digital-Wandlers - wird hier dazu verwendet, die Versorgungsspannung zu vermessen. Vorzugsweise wird die Versorgungsspannung über einen Spannungsteiler an den Eingang des Analog-zu-Digital-Wandlers ADC angeschlossen. Hierdurch ist das Sensorsystem SSY auf eine erste Art und Weise in der Lage die Versorgungsspannung VCC zu erfassen und mittels des Mikrorechners RE gegenüber dem besagten dritten Schwellwert SW3 und dem besagten vierten Schwellwert SW4 zu bewerten.
-
Parallel dazu vergleicht ein erster Komparator CMP1 die Versorgungsspannung VCC mit einem ersten Schwellwert SW1. Vorzugsweise beinhaltet der erste Komparator CMP1 einen ersten Spannungsteiler im Eingang, um die Versorgungsspannung VCC vor dem Vergleich mit dem ersten Schwellwert SW1 zu verkleinern. Liegt die Versorgungsspannung VCC unter dem ersten Schwellwert SW1, so setzt der erste Komparator CMP1 über den ersten Vergleichswert VW1 das erste Flipflop FF1, dessen Ausgang das erste Flag FL1 bildet. Das erste Flipflop FF1 soll in dem Beispiel der 1 so konstruiert sein, dass das erste Flag FL1 gelöscht wird, wenn es durch den Mikrorechner RE gelesen wird.
-
Parallel dazu vergleicht ein zweiter Komparator CMP2 die Versorgungsspannung VCC mit einem zweiten Schwellwert SW2. Vorzugsweise beinhaltet der zweite Komparator CMP2 einen zweiten Spannungsteiler im Eingang, um die Versorgungsspannung VCC vor dem Vergleich mit dem zweiten Schwellwert SW2 zu verkleinern. Liegt die Versorgungsspannung VCC unter dem zweiten Schwellwert SW2, so setzt der zweite Komparator CMP2 über den zweiten Vergleichswert VW2 das zweite Flipflop FF2, dessen Ausgang das zweite Flag FL2 bildet. Das zweite Flipflop FF2 soll in dem Beispiel der 1 so konstruiert sein, dass das zweite Flag FL2 gelöscht wird, wenn es durch den Mikrorechner RE gelesen wird.
-
Je nach Konstellation des ersten Flags FL1 und des zweiten Flags FL2 und des dritten Vergleichswerts VW3 und des vierten Vergleichswerts VW4, läuft das Programm des Mikrorechners RE bzw. des Steuergeräts SE unterschiedlich ab. Nur wenn alle diese Werte logisch zusammenpassen, liegt kein Fehler vor. Hierzu dürfen das erste Flag FL1 und das zweite Flag FL2 nicht gesetzt sein und der durch den Analog-zu-Digital-Wandler ADC ermittelte ADC-Wert ADCM für den Wert der Versorgungsspannung VCC muss unterhalb des dritten Schwellwerts SW3 und oberhalb des vierten Schwellwerts SW4 liegen.
-
Es ist im Übrigen offensichtlich hier so, dass der erste Schwellwert SW1 hier in diesem Beispiel hinsichtlich seines Werts oberhalb des Werts des zweiten Schwellwerts SW2 liegt und der dritte Schwellwert SW3 hinsichtlich seines Wertes oberhalb des Wertes des vierten Schwellwerts SW4 liegt und dass es in diesem Beispiel um eine positive Versorgungsspannung VCC handeln muss. Für eine negative Versorgungsspannung drehen sich daher alle zuvor genannten Relationen um. Wird nur die Relation des ersten Schwellwertes SW1 gegenüber dem zweiten Schwellwert SW2 getauscht, so tauschen die Komparatoren CMP1, CMP2 die Rollen.
-
Bezugszeichenliste
-
- ADC
- Analog-zu-Digital-Wandler. Es wird in dieser Schrift angenommen, dass der Analog-zu-Digital-Wandler über einen Selbsttestmechanismus verfügt, die die sichere Selbstprüfung dieses Analog-zu-Digital-Wandlers ermöglicht;
- ADCM
- ADC-Messkanal des Analog-zu-Digital-Wandlers ADC für die Vermessung der Versorgungsspannung VCC;
- ADCMUX
- Multiplexer des Analog-zu-Digital-Wandlers ADC;
- ADCSW1
- erster ADC-Messkanal des Analog-zu-Digital-Wandlers ADC für die Vermessung des ersten Schwellwerts SW1;
- ADCSW2
- zweiter ADC-Messkanal des Analog-zu-Digital-Wandlers ADC für die Vermessung des zweiten Schwellwerts SW2;
- ADCV
- Signal des Analog-zu-Digital-Wandlers ADC an den Mikrorechner RE über den der Mikrorechner RE und der Analog-zu-Digital-Wandler miteinander kommunizieren;
- ADCW
- ADC-Wert. Der ADC-Wert ist ein Messwert aus der Ermittlung des Werts der aktuellen Versorgungsspannung (VCC);
- CMP1
- erster Komparator. Der erste Komparator vergleicht die Versorgungsspannung VCC mit dem ersten Schwellwert SW1 und setzt bei einer Überspannung der Versorgungsspannung VCC das erste Flag FL1;
- CMP2
- zweiter Komparator. Der zweite Komparator vergleicht die Versorgungsspannung VCC mit dem zweiten Schwellwert SW1 und setzt bei einer Unterspannung der Versorgungsspannung VCC das zweite Flag FL2;
- DB
- Datenbus zwischen Rechnereinheit RE und Steuereinheit SE;
- FL1
- erstes Flag. Das erste Flag wird durch den ersten Komparator CMP1 gesetzt, wenn dieser eine Versorgungsspannung VCC über dem ersten Schwellwert SW1
- FL2
- feststellt. Es zeigt ein Überspannungsereignis an und wird typischerweise durch das Lesen des ersten Flags oder das Einschalten oder das Zurücksetzen gelöscht; zweites Flag. Das zweite Flag wird durch den zweiten Komparator CMP2 gesetzt, wenn dieser eine Versorgungsspannung VCC unter dem zweiten Schwellwert SW2 feststellt. Es zeigt ein Unterspannungsereignis an und wird typischerweise durch das Lesen des ersten Flags oder das Einschalten oder das Zurücksetzen gelöscht;
- IC
- integrierte Schaltung. Die integrierte Schaltung umfasst den ersten Komparator CMP1, den zweiten Komparator CMP2, das erste Flipflop FF1 oder eine entsprechende andere Speicherzelle, das zweite Flipflop FF2 oder eine entsprechende andere Speicherzelle, den Analog-zu-Digital-Wandler ADC mit seinem gemultiplexten Eingang ADCMUX und den Mikrorechner RE;
- RE
- Mikrorechner des Sensorsystems;
- SE
- Steuereinheit;
- SEL
- Sensorelement (z.B. Ultraschall-Transducer);
- SEN
- Sensor;
- SSY
- Sensorsystem;
- SSSY
- Sicherheitssystem (Das Sensorsystem einer sicherheitsrelevanten Vorrichtung kann als Sicherheitssystem im Sinne dieser Offenlegung verstanden werden.);
- SW1
- erster Schwellwert für die Detektion einer Überspannung der Versorgungsspannung VCC durch den ersten Komparator CMP1;
- SW2
- zweiter Schwellwert für die Detektion einer Unterspannung der Versorgungsspannung VCC durch den zweiten Komparator CMP2;
- SW3
- dritter Schwellwert für die Detektion einer Überspannung der Versorgungsspannung VCC durch den Analog-zu-Digital-Wandler ADC;
- SW4
- vierter Schwellwert für die Detektion einer Unterspannung der Versorgungsspannung VCC durch den Analog-zu-Digital-Wandler ADC;
- VCC
- Versorgungsspannung;
- VW1
- erster Vergleichswert, der den Ausgang des ersten Komparators CMP1 darstellt;
- VW2
- zweiter Vergleichswert, der den Ausgang des zweiten Komparators CMP2 darstellt;
- VW3
- dritter Vergleichswert aus dem Vergleich des ADC-Werts ADCM mit dem dritten Schwellwert SW3 zur potenziellen Detektion einer Überspannung der Versorgungsspannung VCC;
- VW4
- vierter Vergleichswert aus dem Vergleich des ADC-Werts ADCM mit dem vierten Schwellwert SW4 zur potenziellen Detektion einer Unterspannung der Versorgungsspannung VCC.
