DE102017202846A1

DE102017202846A1 - Control device for a motor vehicle and corresponding method

Info

Publication number: DE102017202846A1
Application number: DE102017202846.7A
Authority: DE
Inventors: Thorsten Fahlbusch
Original assignee: Continental Teves AG and Co OHG
Current assignee: Continental Automotive Technologies GmbH
Priority date: 2017-02-22
Filing date: 2017-02-22
Publication date: 2018-08-23

Abstract

Die Erfindung betrifft ein Steuergerät für ein Kraftfahrzeug zur Ansteuerung von mindestens einem Aktuator (5_0 bis 5_n) des Kraftfahrzeugs, wobei das Steuergerät (1) eine Energieversorgungsleitung (7) umfasst, wobei das Steuergerät (1) zur Ansteuerung der Aktuatoren (5_0 bis 5_n) mindestens eine elektronische Leistungseinheit (3) aufweist, welche eine Überwachungseinheit (HS_MON) umfasst und das Steuergerät (1) einen Sicherheitsschalter (THSAFE) aufweist, mittels welchem bei Feststellung eines Fehlers alle Aktuatoren (5_0 bis 5_n) gleichzeitig von der Energieversorgungsleitung (7) trennbar sind, wobei der Sicherheitsschalter (THSAFE) mittels der Überwachungseinheit (HS_MON) überwachbar und/oder testbar ist.
Zudem betrifft die Erfindung ein korrespondierendes Verfahren.

The invention relates to a control device for a motor vehicle for controlling at least one actuator (5_0 to 5_n) of the motor vehicle, wherein the control device (1) comprises a power supply line (7), wherein the control device (1) for controlling the actuators (5_0 to 5_n) at least one electronic power unit (3), which comprises a monitoring unit (HS_MON) and the control unit (1) has a safety switch (THSAFE), by means of which all actuators (5_0 to 5_n) at the same time from the power supply line (7) separable upon detection of a fault are, wherein the safety switch (THSAFE) by means of the monitoring unit (HS_MON) can be monitored and / or tested.
In addition, the invention relates to a corresponding method.

Description

Aus dem Stand der Technik sind Steuergeräte für Chassis- und Fahrwerksregelungen bekannt, mittels denen Aktuatoren des Fahrzeugs angesteuert werden. Im Fehlerfall ist es sinnvoll, eine Sicherheitsabschaltung vorzunehmen, bei welcher die Aktuatoren von der Spannungsversorgung getrennt werden. Ein Sicherheitsschalter kann dabei auf zwei verschiedene Arten eingesetzt werden: Zum einen als Schalter, welcher den Massebezug trennt (Low-Side Safety Switch) und zum anderen ein Schalter, der den Versorgungspfad trennt (High-Side Safety Switch). Bisher ist jeweils ein Sicherheitsschalter für jeden einzelnen Aktuator vorgesehen, so dass die Aktuatoren einzeln von der Spannungsversorgung getrennt werden können.Control units for chassis and chassis controls are known from the prior art, by means of which actuators of the vehicle are controlled. In the event of a fault, it makes sense to perform a safety shutdown in which the actuators are disconnected from the power supply. A safety switch can be used in two different ways: On the one hand as a switch, which separates the ground reference (low-side safety switch) and on the other hand, a switch that separates the supply path (high-side safety switch). So far, a safety switch for each actuator is provided in each case, so that the actuators can be separated individually from the power supply.

Um eine hohe Sicherheitsstufe für das Steuergerät bzw. Fahrzeug zu erreichen, ist vorgesehen, die Schalter auf ihre Funktionalität zu überprüfen. Dies kann z.B. beim Start des Fahrzeugs geschehen. Die dafür benötigten externen Komponenten bringen jedoch Nachteile mit sich, da beispielsweise Mikrocontrollerports zur Ansteuerung der Elemente vorgesehen werden müssen. Zudem wird Fläche auf einer Leiterplatte und ein eigener Energieversorgungsanschluss für diese Elemente benötigt. Ebenfalls ist es ein Nachteil am Stand der Technik, dass durch den aktuellen Einsatz von Low-Side Schaltern nicht alle Teile der Aktuatoransteuerung abgeschaltet werden können. Dadurch ist nur ein geringeres Sicherheitslevel für das Steuergerät erreichbar.In order to achieve a high level of security for the control unit or vehicle, it is provided to check the switches for their functionality. This can e.g. happen at the start of the vehicle. The external components required for this, however, entail disadvantages because, for example, microcontroller ports must be provided for controlling the elements. In addition, space is required on a circuit board and a separate power supply connection for these elements. It is also a disadvantage of the prior art that not all parts of the actuator control can be switched off by the current use of low-side switches. As a result, only a lower security level for the control unit can be achieved.

Es ist daher die Aufgabe der Erfindung, ein Steuergerät und ein zugehöriges Verfahren bereitzustellen, bei dem die o.g. Nachteile nicht vorhanden sind und welches insbesondere kostengünstiger ist bei einem gleichzeitig verbesserten Sicherheitslevel.It is therefore the object of the invention to provide a control device and an associated method in which the o.g. Disadvantages are not available and which is particularly cost-effective with a simultaneously improved security level.

Die o.g. Aufgabe wird gelöst durch die unabhängigen Ansprüche.The o.g. Task is solved by the independent claims.

Gemäß der Erfindung wird ein Steuergerät für ein Kraftfahrzeug zur Ansteuerung von mindestens einem Aktuator des Fahrzeugs vorgeschlagen, wobei das Steuergerät eine Energieversorgungsleitung umfasst und wobei die Aktuatoren mit der Energieversorgungsleitung verbunden sind.According to the invention, a control device for a motor vehicle for controlling at least one actuator of the vehicle is proposed, wherein the control device comprises a power supply line and wherein the actuators are connected to the power supply line.

Weiterhin weist das Steuergerät zur Ansteuerung der Aktuatoren mindestens eine elektronische Leistungseinheit auf, welche eine Überwachungseinheit umfasst. Das Steuergerät weist zudem einen Sicherheitsschalter auf, mittels welchem bei Feststellung eines Fehlers alle Aktuatoren gleichzeitig von der Energieversorgungsleitung getrennt werden können, wobei der Sicherheitsschalter mittels der Überwachungseinheit überwachbar und testbar ist.Furthermore, the control device for actuating the actuators has at least one electronic power unit, which comprises a monitoring unit. The control unit also has a safety switch, by means of which all actuators can be disconnected simultaneously from the power supply line when a fault is detected, wherein the safety switch can be monitored and tested by means of the monitoring unit.

Die Erfindung bezieht sich somit insbesondere auf den Fall, dass gegenüber dem Stand der Technik mehrere elektronische Komponenten des Steuergeräts durch eine elektronische Leistungseinheit ersetzt sind. Die elektronische Leistungseinheit ist vorzugsweise als ASIC (anwendungsspezifische integrierte Schaltung) ausgebildet und ist unter anderem für die Energieversorgung und die Ansteuerung der Leistungselektronik zuständig. Die Leistungseinheit kann aus Leistungsschaltkreisen mit einer Logik bestehen und induktive Lasten bzw. Aktuatoren, z.B. Ventile, ansteuern. Die zur Überprüfung der Sicherheitsschalter notwendige Hardware ist dabei vorteilhaft in die Leistungseinheit integriert.The invention thus relates in particular to the case that over the prior art several electronic components of the control unit are replaced by an electronic power unit. The electronic power unit is preferably designed as an ASIC (application-specific integrated circuit) and is responsible inter alia for the power supply and the control of the power electronics. The power unit may consist of power circuits with logic and inductive loads or actuators, e.g. Valves, control. The necessary hardware for checking the safety switch is advantageously integrated into the power unit.

Zusätzlich zu dem Sicherheitsschalter, der alle Aktuatoren gleichzeitig abschaltet (High-Side Safety Switch), können auch noch Sicherheitsschalter gemäß dem Stand der Technik vorgesehen sein, welche einzelne Aktuatoren abschalten können (Low-Side Safety Switch). Diese können jedoch alternativ auch durch den vorteilhaften Einsatz des High-Side Safety Switch entfallen.In addition to the safety switch, which simultaneously shuts off all actuators (high-side safety switch), it is also possible to provide safety switches according to the prior art which can switch off individual actuators (low-side safety switch). However, these can alternatively be omitted by the advantageous use of the high-side safety switch.

Durch die Erfindung werden mehrere Vorteile erreicht. Durch die Verwendung einer Leistungseinheit anstelle verschiedener diskreter elektronischer Komponenten ist eine kostengünstigere Ausführung und eine geringere Störanfälligkeit des Steuergeräts gegeben. Durch den Einsatz des Sicherheitsschalters wird ermöglicht, dass alle Komponenten der Ansteuerschaltung für die Aktuatoren gleichzeitig abgeschaltet werden können. Damit kann ausgeschlossen werden, dass ein unkontrollierter Stromfluss von der Batterie zum Massepol stattfindet. Dadurch, dass nun alle Komponenten der Ansteuerschaltung abgeschaltet werden können, auch Low-Side Treiber, ist das Steuergerät in ein höheres Sicherheitslevel einstufbar.The invention achieves several advantages. By using a power unit instead of various discrete electronic components, a more cost effective design and a lower susceptibility to interference of the controller is given. The use of the safety switch makes it possible that all components of the drive circuit for the actuators can be switched off at the same time. This can be ruled out that an uncontrolled flow of current from the battery to the ground pole takes place. The fact that now all components of the drive circuit can be switched off, even low-side driver, the controller is in a higher security level einufbar.

Zudem ist die Verschaltung der Komponenten vorteilhaft derart gewählt, dass die Überwachungseinheit der Leistungseinheit den Sicherheitsschalter überwachen und testen kann. Damit wird vermieden, dass eine zusätzliche Überwachungseinheit für den Sicherheitsschalter vorgesehen werden muss, was sich kostengünstig auswirkt. Durch den Wegfall einer zusätzlichen Überwachungseinheit ist auch kein dafür notwendiger separater Stromanschluss sowie eine Mikroprozessoransteuerung über definierte Ports nicht mehr erforderlich. Damit werden Ressourcen eingespart und es kann auch die benötigte Fläche auf der Leiterplatte reduziert werden.In addition, the interconnection of the components is advantageously chosen such that the monitoring unit of the power unit can monitor and test the safety switch. This avoids that an additional monitoring unit for the safety switch must be provided, which has a cost effect. The omission of an additional monitoring unit also eliminates the need for a separate power connection and microprocessor control via defined ports. This saves resources and can also reduce the required area on the circuit board.

Der Sicherheitsschalter ist bevorzugt als Transistor ausgebildet und weist besonders bevorzugt mindestens die Anschlüsse Drain (Abfluss), Source (Zufluss) und Gate (Steueranschluss) auf. Insbesondere bevorzugt ist der Transistor als N-Kanal-Transistor, ganz besonders als selbstsperrender N-Kanal-Transistor, ausgebildet. Die anderen Transistoren der Schaltung sind ebenfalls bevorzugt als N-Kanal-Transistoren ausgebildet. Die Erfindung ist aber nicht limitiert auf die Verwendung dieser Transistoren.The safety switch is preferably designed as a transistor and particularly preferably has at least the connections drain (drain), source (inlet) and gate (control connection). Particularly preferred is the transistor as an N-channel transistor, especially as a self-locking N-channel transistor, formed. The other transistors of the circuit are also preferably formed as N-channel transistors. However, the invention is not limited to the use of these transistors.

Die Leistungseinheit weist bevorzugt eine Ladungspumpe auf, welche dem Sicherheitsschalter eine Spannung oberhalb der Batteriespannung der Energieversorgungsleitung an dessen Gate bereitstellt. Damit ist der bevorzugt als N-Kanal-Transistor ausgebildete Sicherheitsschalter steuerbar. Vorteilhaft kann dadurch die Ladungspumpe der Leistungseinheit genutzt werden, ohne dass weitere externe Bauteile benötigt werden.The power unit preferably has a charge pump, which provides the safety switch with a voltage above the battery voltage of the power supply line at its gate. Thus, the preferably designed as an N-channel transistor safety switch is controllable. Advantageously, the charge pump of the power unit can thereby be used without the need for further external components.

Bei der Verwendung eines Low-Side Safety Switch gemäß dem Stand der Technik besteht der Nachteil, dass nicht alle Treiberstufen der Aktuatorsteuerung gesichert von der Batterie getrennt werden können, wenn die Leistungseinheit ausfällt. Ein Ausfall der Leistungseinheit bedeutet, dass ein Fehler in der Leistungseinheit derart besteht, dass die Leistungseinheit keine Kontrolle mehr über die Aktuatoren hat. Dieser Umstand würde ein Sicherheitsrisiko bedeuten, weil darüber im Fehlerfall unkontrolliert ein Strom von der Batterie zum Massepol fließen kann. Der Sicherheitsschalter ist daher bevorzugt derart verschaltet, dass auch bei einem Fehler der Leistungseinheit alle Aktuatoren von der Energieversorgungsleitung durch den Sicherheitsschalter trennbar sind.When using a low-side safety switch according to the prior art, there is the disadvantage that not all driver stages of the actuator control can be safely disconnected from the battery when the power unit fails. Failure of the power unit means that a failure in the power unit is such that the power unit no longer has control over the actuators. This circumstance would pose a security risk because in the event of a fault uncontrolled current can flow from the battery to the ground. The safety switch is therefore preferably interconnected in such a way that all actuators can be separated from the power supply line by the safety switch even if the power unit fails.

Durch den erfindungsgemäßen Sicherheitsschalter ist eine Abschaltmöglichkeit für die Aktuatoren gegeben, die unabhängig von der Leistungseinheit funktioniert. Durch diese Abschaltmöglichkeit ist es möglich, ein Steuergerät mit einem erhöhten Sicherheitslevel bereitzustellen. Der erfindungsgemäße Sicherheitsschalter kann dabei als Redundanz oder als Ersatz für den Low-Side Safety Switch aus dem Stand der Technik verwendet werden.The safety switch according to the invention provides a switch-off possibility for the actuators which functions independently of the power unit. This switch-off option makes it possible to provide a control unit with an increased security level. The safety switch according to the invention can be used as redundancy or as a replacement for the low-side safety switch from the prior art.

Besonders bevorzugt ist der Sicherheitsschalter derart verschaltet, dass er mittels eines internen, von der Leistungseinheit unabhängigen Steueranschlusses ansteuerbar ist und so entweder geöffnet oder geschlossen werden kann.Particularly preferably, the safety switch is connected in such a way that it can be actuated by means of an internal control connection which is independent of the power unit and thus can either be opened or closed.

In einer Weiterbildung umfasst die Überwachungseinheit einen Komparator, welcher bevorzugt zwei Eingänge und einen Ausgang aufweist. Der Komparator hat bevorzugt einen Schwellenwert, mit welchem die Drain-Source-Spannung der Sicherheitsschalter bestimmt werden kann. Besonders bevorzugt ist dafür einer der Eingänge des Komparators mit dem Drain-Anschluss des Sicherheitsschalters und der andere Eingang des Komparators mit dem Source-Anschluss des Sicherheitsschalters verbunden.In one development, the monitoring unit comprises a comparator, which preferably has two inputs and one output. The comparator preferably has a threshold value with which the drain-source voltage of the safety switches can be determined. For this purpose, one of the inputs of the comparator is particularly preferably connected to the drain terminal of the safety switch and the other input of the comparator to the source terminal of the safety switch.

In einer Weiterbildung umfasst die Überwachungseinheit eine Stromquelle. Die Stromquelle bewirkt vorteilhaft, dass ein vorbestimmter Strom zwischen zwei Anschlüssen der Überwachungseinheit fließt. Der vorbestimmte Strom lädt bevorzugt elektrische Knoten in der Schaltung. Das bedeutet, dass wenn ein Knotenpunkt von der Energieversorgung abgekoppelt ist, die Spannung am Knotenpunkt von der Stromquelle angehoben wird, was dann vom Komparator gemessen werden kann. Der elektrische Zustand der Knoten wird so durch die Komparatoren ausgewertet. Das erlaubt entsprechender Software, Defekte an den Transistoren und Leckströme in der Aktuatorik zu erkennen.In a development, the monitoring unit comprises a power source. The power source advantageously causes a predetermined current to flow between two terminals of the monitoring unit. The predetermined current preferably charges electrical nodes in the circuit. This means that when a node is disconnected from the power supply, the voltage at the node is boosted by the current source, which can then be measured by the comparator. The electrical state of the nodes is thus evaluated by the comparators. This allows appropriate software to detect defects in the transistors and leakage currents in the actuator.

Bevorzugt wird die Erfindung mit einem Kanal einer Leistungseinheit als Halbbrücke oder mit zwei oder mehr Kanälen einer Leistungseinheit als Vollbrücke eingesetzt. Der Gate-Eingang des Sicherheitsschalters ist bevorzugt mit einer Steuerschaltung verbunden, die nicht zu der Leistungseinheit gehört, jedoch als interne Steuerleitung zum Steuergerät gehört. Besonders bevorzugt umfasst die Steuerschaltung dabei zwei Widerstände, zwischen denen insbesondere bevorzugt ein Hilfstransistor den Gate-Eingang des Sicherheitsschalters auf Masse ziehen kann, um so einen sicheren Zustand des Steuergeräts zu erhalten.Preferably, the invention is used with a channel of a power unit as a half-bridge or with two or more channels of a power unit as a full bridge. The gate input of the safety switch is preferably connected to a control circuit which does not belong to the power unit, but belongs as an internal control line to the control unit. In this case, the control circuit particularly preferably comprises two resistors, between which, in particular, an auxiliary transistor can pull the gate input of the safety switch to ground, so as to obtain a safe state of the control unit.

Die Erfindung betrifft weiterhin ein korrespondierendes Verfahren zum Betreiben des Steuergeräts. Das Verfahren umfasst folgende Schritte:

- Ansteuern von mindestens einem Aktuator des Kraftfahrzeugs durch das Steuergerät,
- Versorgen der Aktuatoren mit Energie mittels einer Energieversorgungsleitung,
- Ansteuern eines Sicherheitsschalters durch einen Steueranschluss im Steuergerät,
- Gleichzeitiges Trennen aller Aktuatoren von der Energieversorgungsleitung mittels des Sicherheitsschalters bei einem Fehler,
- Überwachen und Testen des Sicherheitsschalters mittels einer Überwachungseinheit, welche in der Leistungseinheit angeordnet ist.

The invention further relates to a corresponding method for operating the control device. The method comprises the following steps:

Driving at least one actuator of the motor vehicle by the control unit,
Supplying the actuators with energy by means of a power supply line,
- control of a safety switch by a control connection in the control unit,
Simultaneous disconnection of all actuators from the power supply line by means of the safety switch in the event of a fault,
- Monitoring and testing of the safety switch by means of a monitoring unit, which is arranged in the power unit.

Wird ein Fehler der Leistungseinheit festgestellt, so dass die Leistungseinheit keine Kontrolle mehr über bestimmte Transistoren in der Ansteuerschaltung der Aktuatoren hat, so wird der Sicherheitsschalter über eine interne, von der Leistungseinheit unabhängige Ansteuerleitung derart angesteuert, dass alle Aktuatoren gleichzeitig von der Versorgungsleitung getrennt werden. Der Sicherheitsschalter wird von der Überwachungseinheit überwacht und/oder auf Funktionalität getestet. Der Test auf Funktionsfähigkeit kann beispielsweise beim Starten des Fahrzeugs durchgeführt werden.If a failure of the power unit is detected, so that the power unit no longer has control over certain transistors in the drive circuit of the actuators, the safety switch is controlled via an internal, independent of the power unit drive line such that all actuators are disconnected from the supply line simultaneously. The safety switch is monitored by the monitoring unit and / or tested for functionality. The test for functionality can be performed, for example, when starting the vehicle.

Weitere bevorzugte Ausführungsformen ergeben sich aus den Unteransprüchen und der nachfolgenden Beschreibung von Ausführungsbeispielen anhand von Figuren. Further preferred embodiments will become apparent from the subclaims and the following description of exemplary embodiments with reference to figures.

In schematischer Darstellung zeigen:

1 eine erfindungsgemäße Ausführungsform mit einer Leistungseinheit als Halbbrücke sowie
2 eine erfindungsgemäße Ausführungsform mit zwei Kanälen einer Leistungseinheit als Vollbrücke.

In a schematic representation show:

1 an embodiment of the invention with a power unit as a half-bridge and
2 an embodiment according to the invention with two channels of a power unit as a full bridge.

1 zeigt einen Teil eines erfindungsgemäßen Steuergeräts 1 mit einer Halbbrücke, bei der eine Leistungseinheit 3 mit einem einzigen Kanal vorgesehen ist. Die Leistungseinheit 3 ist mit mehreren Aktuatoren 5_0 bis 5_n verbunden. Der Buchstabe n stellt im weiteren Verlauf der Beschreibung eine beliebige Anzahl der jeweiligen Komponenten dar. Die Leistungseinheit 3 weist für die Verbindung zu den Aktuatoren 5_0 bis 5_n mehrere Anschlüsse MD0 bis MDn, LSDO bis LSDn, HSENSOP bis HSENSnP, HSDO bis HSDn und HSUPPLY auf. Zudem ist die Leistungseinheit 3 bevorzugt als ASIC ausgebildet und ersetzt damit vorteilhaft diskret aufgebaute Elemente, wie sie im Stand der Technik üblich sind. 1 shows a part of a control device according to the invention 1 with a half bridge, in which a power unit 3 is provided with a single channel. The power unit 3 is connected to a plurality of actuators 5_0 to 5_n. The letter n in the further course of the description represents any number of the respective components. The power unit 3 has for the connection to the actuators 5_0 to 5_n several ports MD0 to MDn, LSDO to LSDn, HSENSOP to HSENSnP, HSDO to HSDn and HSUPPLY. In addition, the power unit 3 preferably designed as an ASIC and thus advantageously replaced discretely constructed elements, as are customary in the prior art.

In den Verbindungen zwischen der Leistungseinheit 3 und den Aktuatoren 5_0 bis 5_n sind mehrere erste Sicherheitsschalter TMDO bis TMDn, Low-Side Treiber TLSDO bis TLSDn und High-Side Treiber THSDO bis THSDn vorgesehen, welche bevorzugt als Transistoren mit den Anschlüssen Drain, Source und Gate ausgebildet sind. Die ersten Sicherheitsschalter TMDO bis TMDn, welche mit den Anschlüssen MD0 bis MDn verbunden sind, stellen jeweils einen Low-Side-Safety-Switch dar, also einen Sicherheitsschalter, welcher den Massebezug trennt. Diese ersten Sicherheitsschalter TMDO bis TMDn sind aus dem Stand der Technik bekannt. Mittels der ersten Sicherheitsschalter TMDO bis TMDn können alle Aktuatoren 5_1 bis 5_n einzeln in einen sicheren Zustand gebracht werden. Die Gate-Anschlüsse TMD0_G bis TMDn_G der ersten Sicherheitsschalter TMDO bis TMDn werden dabei über die Anschlüsse MD0 bis MDn der Leistungseinheit 3 angesteuert. So kann die Leistungseinheit 3 bestimmen, ob die ersten Sicherheitsschalter TMDO bis TMDn geschlossen oder geöffnet sein sollen. Zur Trennung der Aktuatoren 5_0 bis 5_n vom Massebezug steuert die Leistungseinheit 3 die ersten Sicherheitsschalter TMDO bis TMDn über die Gates TMD0_G bis TMDn_G derart an, dass sie sich schließen. Damit werden die Aktuatoren 5_0 bis 5_n von einem Versorgungspfad 7 getrennt. Der Versorgungspfad 7 kann auch als Energieversorgungsleitung bezeichnet werden. Die Energieversorgungsleitung 7 ist bevorzugt als Energieversorgung des Steuergeräts, z.B. als Leitung von einer Batterie, ausgebildet.In the connections between the power unit 3 and the actuators 5_0 to 5_n are provided a plurality of first safety switches TMDO to TMDn, low-side driver TLSDO to TLSDn and high-side driver THSDO to THSDn, which are preferably formed as transistors with the terminals drain, source and gate. The first safety switches TMDO to TMDn, which are connected to the connections MD0 to MDn, each represent a low-side safety switch, ie a safety switch which disconnects the ground reference. These first safety switches TMDO to TMDn are known from the prior art. By means of the first safety switches TMDO to TMDn, all the actuators 5_1 to 5_n can be individually brought into a safe state. The gate connections TMD0_G to TMDn_G of the first safety switches TMDO to TMDn are thereby connected via the connections MD0 to MDn of the power unit 3 driven. So can the power unit 3 determine whether the first safety switches TMDO to TMDn should be closed or opened. The power unit controls the separation of the actuators 5_0 to 5_n from the ground reference 3 the first safety switches TMDO to TMDn via the gates TMD0_G to TMDn_G so that they close. Thus, the actuators 5_0 to 5_n of a supply path 7 separated. The supply path 7 can also be referred to as power supply line. The power supply line 7 is preferably designed as an energy supply to the control unit, for example as a line from a battery.

Die Transistoren TLSDO bis TLSDn sind Low-Side Treiber und sind ebenso wie die High-Side Treiber THSDO bis THSDn zur Ansteuerung der Aktuatoren 5_0 bis 5_n ausgebildet. Sie werden von der Leistungseinheit 3 über die Anschlüsse LSDO bis LSDn und HSDO bis HSDn an ihren Gates THSD0_G bis THSDn_G und TLSD0_G bis TLSDn_G angesteuert.The transistors TLSD0 to TLSDn are low-side drivers and, like the high-side drivers THSD0 to THSDn, are designed to drive the actuators 5_0 to 5_n. They are from the power unit 3 via the connections LSDO to LSDn and HSDO to HSDn at their gates THSD0_G to THSDn_G and TLSD0_G to TLSDn_G.

Das Steuergerät weist noch einen zweiten Sicherheitsschalter THSAFE auf, welcher bevorzugt ebenfalls als Transistor ausgebildet ist. Dieser zweite Sicherheitsschalter THSAFE ist derart angeordnet, dass er übergeordnet positioniert ist, insbesondere derart, dass mittels des zweiten Sicherheitsschalters THSAFE alle Aktuatoren 5_0 bis 5_n gleichzeitig von dem Versorgungspfad 7 getrennt werden können.The control unit also has a second safety switch THSAFE, which is preferably likewise designed as a transistor. This second safety switch THSAFE is arranged such that it is positioned higher, in particular such that by means of the second safety switch THSAFE all actuators 5_0 to 5_n simultaneously from the supply path 7 can be separated.

Für die Trennung der Aktuatoren 5_0 bis 5_n von dem Versorgungspfad 7 sind zwei Steueranschlüsse ctrl _HSAFE und ctrl_HSRS vorgesehen. Der erste Steueranschluss ctrl_HSAFE ist beispielsweise mit einem Mikrocontroller des Steuergeräts oder mit der Leistungseinheit 3 verbunden und sorgt im Normalbetrieb für die Trennung zwischen Aktuatoren 5_0 bis 5_n und Versorgungspfad 7, falls ein Fehler auftritt. Der Steueranschluss ctrl_HSRS ist hingegen für eine Notabschaltung vorgesehen. Der Steueranschluss ctrl_HSRS ist dafür vorteilhaft unabhängig von Steuereinheiten wie einem Mikrocontroller und derart ausgelegt, dass ein Hilfstransistor (nicht dargestellt) an dem Knotenpunkt zwischen den Widerständen R1 und R2 den Gate-Eingang THSAFE_G des zweiten Sicherheitsschalters THSAFE im Fehlerfall auf Masse ziehen kann.For the separation of the actuators 5_0 to 5_n from the supply path 7 Two control connections ctrl _HSAFE and ctrl_HSRS are provided. The first control connection ctrl_HSAFE is, for example, with a microcontroller of the control unit or with the power unit 3 connected in normal operation for the separation between actuators 5_0 to 5_n and supply path 7, if an error occurs. The control connection ctrl_HSRS, on the other hand, is intended for emergency shutdown. The control connection ctrl_HSRS is advantageous for this independently of control units such as a microcontroller and designed such that an auxiliary transistor (not shown) at the junction between the resistors R1 and R2 can pull the gate input THSAFE_G the second safety switch THSAFE in case of failure to ground.

Wird der Gate-Anschluss THSAFE_G des zweiten Leistungsschalters THSAFE über einen der Steueranschlüsse ctrl_HSAFE bzw. ctrl_HSRS derart angesteuert, dass sich der zweite Leistungsschalter THSAFE schließt, so wird die Leitung ACT_HSUPPLY von dem Versorgungspfad 7 getrennt. Dadurch, dass die Aktuatoren 5_0 bis 5_n über die Leitung ACT_HSUPPLY mit dem Versorgungspfad 7 verbunden sind, werden damit alle Aktuatoren 5_0 bis 5_n gleichzeitig von der Energieversorgung 7 getrennt und so in einen sicheren Zustand gebracht. Mittels des Steueranschlusses ctrl_HSRS ist dies auch noch möglich, wenn die Leistungseinheit 3 und/oder der Mikrocontroller des Steuergeräts defekt ist.If the gate terminal THSAFE_G of the second power switch THSAFE is controlled via one of the control terminals ctrl_HSAFE or ctrl_HSRS in such a way that the second power switch THSAFE closes, then the line ACT_HSUPPLY is disconnected from the supply path 7 separated. Characterized in that the actuators 5_0 to 5_n via the line ACT_HSUPPLY with the supply path 7 are connected, so that all actuators 5_0 to 5_n simultaneously from the power supply 7 separated and brought into a safe state. This is also possible by means of the control connection ctrl_HSRS if the power unit 3 and / or the microcontroller of the control unit is defective.

Beim Schalten der ersten Sicherheitsschalter (Low-Side-Switch) TMDO bis TMDn wird nachteilhafterweise jeweils nicht der Low-Side-Treiber TLSDO bis TLSDn in einen sicheren Zustand gebracht, da dieser parallel zu den Aktuatoren 5_0 bis 5_n liegt. Dadurch reduziert sich das Sicherheitslevel für das Steuergerät. Dies entspricht dem Stand der Technik. Erfindungsgemäß werden nun vorteilhaft alle Komponenten ab dem zweiten Sicherheitsschalter THSAFE in einen sicheren Zustand gebracht. Dies umfasst auch den Low-Side-Treiber TLSDO bis TLSDn. Damit kann der Sicherheitslevel für das Steuergerät erhöht werden.When switching the first safety switch (low-side switch) TMDO to TMDn is disadvantageously not each of the low-side driver TLSDO to TLSDn brought into a safe state, since this is parallel to the actuators 5_0 to 5_n. This reduces the security level for the control unit. This corresponds to the state of the art. Advantageously, according to the invention, all components starting from the second safety switch THSAFE are now brought into a safe state. This also includes the low-side driver TLSDO to TLSDn. Thus, the security level for the controller can be increased.

Um das Sicherheitslevel weiterhin zu erhöhen, ist eine Überwachungseinheit HS_MON in der Leistungseinheit 3 vorgesehen. Die Überwachungseinheit HS_MON umfasst bevorzugt einen Komparator 9 und eine Stromquelle 11. Der Komparator 9 weist bevorzugt zwei Eingänge und einen Ausgang auf. Der Komparator 9 hat bevorzugt einen Schwellenwert, mit welchem die Spannung zwischen dem Drain-Anschluss und dem Source-Anschluss der High-Side-Treiber THSDO bis THSDn sowie des zweiten Sicherheitsschalters THSAFE bestimmt werden kann.To further increase the security level, a monitoring unit is HS_MON in the power unit 3 intended. The monitoring unit HS_MON preferably comprises a comparator 9 and a power source 11 , The comparator 9 preferably has two inputs and one output. The comparator 9 preferably has a threshold value with which the voltage between the drain terminal and the source terminal of the high-side drivers THSDO to THSDn and the second safety switch THSAFE can be determined.

In einer Weiterbildung umfasst die Überwachungseinheit HS_MON eine Stromquelle 11. Die Stromquelle 11 bewirkt vorteilhaft, dass ein vorbestimmter Strom zwischen den beiden Anschlüssen HSUPPLY und HSENSOP der Leistungseinheit 3 fließt. Die Stromquelle 11 bewirkt ein Aufladen des Knotens direkt unterhalb des Sicherheitsschalters THSAFE, wodurch das Spannungsniveau am Knoten angehoben wird. Mittels des Komparators 9 ist dadurch ermittelbar, ob ein Defekt vorliegt.In a development, the monitoring unit HS_MON comprises a current source 11 , The power source 11 advantageously causes a predetermined current between the two terminals HSUPPLY and HSENSOP the power unit 3 flows. The power source 11 causes a charging of the node just below the safety switch THSAFE, which raises the voltage level at the node. By means of the comparator 9 is determined by whether there is a defect.

Die Überwachungseinheit HS_MON kann vorteilhaft sowohl die High-Side-Treiber HSDO bis HSDn sowie den zweiten Sicherheitsschalter THSAFE überwachen und/oder auf ihre Funktionsfähigkeit testen. Eine Lösung, bei welcher der zweite Sicherheitsschalter THSAFE oberhalb des Knotenpunktes 13 zur Leitung HSUPPLY angeordnet ist, würde zwar ebenfalls eine gleichzeitige Sicherheitsschaltung für alle Aktuatoren, insbesondere auch für die Low-Side-Treiber TLSDO bis TLSDn möglich machen, jedoch wäre zur Überprüfung bzw. zum Test des Schalters THSAFE eine zusätzliche Überwachungseinheit notwendig. Gemäß der Erfindung wird hingegen vorteilhaft die schon vorhandene Überwachungseinheit HS_MON der Leistungseinheit 3 verwendet, so dass keine zusätzlichen Komponenten bereitgestellt werden müssen. Damit können Kosten und Bauraum gespart werden. Zudem wird der Aufwand bei der Spannungsversorgung reduziert. Auch die übrigen Transistoren LSDO bis LSDn und TMDO bis TMDn können jeweils einer Überwachungsschaltung zugeordnet sein. Diese weiteren Überwachungsschaltungen sind in den Figuren aus Vereinfachungsgründen nicht gezeigt.The monitoring unit HS_MON can advantageously monitor both the high-side drivers HSDO to HSDn and the second safety switch THSAFE and / or test their functionality. A solution in which the second safety switch THSAFE above the node 13 Although the line HSUPPLY is arranged, a simultaneous safety circuit would also be possible for all actuators, in particular also for the low-side drivers TLSDO to TLSDn, but an additional monitoring unit would be necessary for checking or testing the switch THSAFE. In contrast, according to the invention, the already existing monitoring unit HS_MON of the power unit becomes advantageous 3 used so no additional components need to be provided. This can save costs and installation space. In addition, the effort in the power supply is reduced. The other transistors LSDO to LSDn and TMDO to TMDn can each be assigned to a monitoring circuit. These further monitoring circuits are not shown in the figures for reasons of simplicity.

Die Leistungseinheit 3 weist bevorzugt eine Ladungspumpe 13 auf, welche dem Sicherheitsschalter THSAFE eine Spannung oberhalb der Batteriespannung der Energieversorgungsleitung 7 an dessen Gate THSAFE_G bereitstellt. Damit ist der bevorzugt als N-Kanal-Transistor ausgebildete Sicherheitsschalter THSAFE steuerbar. Vorteilhaft kann dadurch die Ladungspumpe 13 der Leistungseinheit 3 genutzt werden, ohne dass weitere externe Bauteile benötigt werden.The power unit 3 preferably has a charge pump 13 on which the safety switch THSAFE a voltage above the battery voltage of the power supply line 7 at the gate THSAFE_G provides. Thus, the preferably designed as an N-channel transistor safety switch THSAFE is controllable. Advantageously, thereby the charge pump 13 the power unit 3 be used without further external components are needed.

2 zeigt eine erfindungsgemäße Ausführungsform mit einer Vollbrücke umfassend zwei Kanäle 3a und 3b der Leistungseinheit 3. Zum Bilden der mehreren Kanäle werden beispielsweise jeweils zwei Anschlüsse der Leistungseinheit 3 zusammengeschlossen. Der zweite Sicherheitsschalter THSAFE wird von der Überwachungseinheit HS_MON des ersten Kanals 3a überwacht bzw. getestet. In 2 sind nicht alle möglichen Aktuatoren (bis Aktuator 5_n) und entsprechende Schalter gezeigt, sondern nur jeweils ein Schalter jeder Art (High-Side / Low-Side) auf dem ersten Kanal 3a der Leistungseinheit 3 und ein Schalter auf dem zweiten Kanal 3b der Leistungseinheit 3. Ein zweiter Aktuator 5_1 wurde aus Vereinfachungsgründen nicht dargestellt. Die erfindungsgemäße Ausführungsform beschränkt sich auch bei Vorsehen von zwei Kanälen 3a, 3b der Leistungseinheit 3 ausdrücklich nicht auf den dargestellten Aktuator 5_0 und die dargestellten Schalter. Vielmehr ist auch die Ausführungsform in 2 derart zu verstehen, dass Aktuatoren und Schalter bis zu einer Anzahl n vorgesehen sein können. Der übrige Aufbau und Funktionsweise ist ähnlich wie in 1, so dass auf die Erklärungen in 1 verwiesen wird. 2 shows an embodiment of the invention with a full bridge comprising two channels 3a and 3b the power unit 3. To form the plurality of channels, for example, two terminals each of the power unit 3 together. The second safety switch THSAFE is provided by the monitoring unit HS_MON of the first channel 3a monitored or tested. In 2 Not all possible actuators (up to actuator 5_n) and corresponding switches are shown, but only one switch of each type (high-side / low-side) on the first channel 3a of the power unit 3 and a switch on the second channel 3b of the power unit 3 , A second actuator 5_1 was not shown for reasons of simplification. The embodiment according to the invention is also limited when two channels are provided 3a . 3b the power unit 3 expressly not on the illustrated actuator 5_0 and the switches shown. Rather, the embodiment is also in 2 in such a way that actuators and switches can be provided up to a number n. The rest of the structure and operation is similar to in 1 so on the explanations in 1 is referenced.

Der erste Sicherheitsschalter TMDO bis TMDn kann durch den Einsatz des zweiten Sicherheitsschalters THSAFE nicht nur in der Ausführungsform von 2 sondern auch in der Ausführungsform von 1 entfallen. Der in der Figurenbeschreibung als zweiter Sicherheitsschalter (THSAFE) bezeichnete Schalter ist der Schalter, unter dem im einleitenden Teil dieser Beschreibung der „Sicherheitsschalter“ (ohne Zusatz ob erster oder zweiter Schalter) verstanden wird.The first safety switch TMDO to TMDn can not only by the use of the second safety switch THSAFE in the embodiment of 2 but also in the embodiment of 1 omitted. The switch referred to in the description of the figure as a second safety switch (THSAFE) is the switch which is understood in the introductory part of this description to be the "safety switch" (without the addition of a first or second switch).

Claims

Control unit for a motor vehicle for controlling at least one actuator (5_0 to 5_n) of the motor vehicle, wherein the control unit (1) comprises a power supply line (7), characterized in that the control unit (1) for controlling the actuators (5_0 to 5_n) at least an electronic power unit (3) which comprises a monitoring unit (HS_MON) and the control unit (1) has a safety switch (THSAFE), by means of which all actuators (5_0 to 5_n) can be separated simultaneously from the power supply line (7) when a fault is detected , wherein the safety switch (THSAFE) can be monitored and / or tested by means of the monitoring unit (HS_MON).

Control unit after Claim 1 , characterized in that the monitoring unit (HS_MON) comprises a comparator (9).

Control device according to one of the preceding claims, characterized in that the monitoring unit (HS_MON) has a current source (11).

Control unit according to one of the preceding claims, characterized in that the power unit (3) has a charge pump (13) which provides the safety switch (THSAFE) with a voltage above the voltage of the power supply line (7).

Control unit according to one of the preceding claims, characterized in that the safety switch (THSAFE) via a control terminal (ctrl_HSAFE, ctrl_HSRS) of the control unit is controlled.

Control unit according to one of the preceding claims, characterized in that the power unit (3) has at least one channel (3a, 3b).

Control device according to one of the preceding claims, characterized in that the actuators (5_0 to 5_n) by means of the safety switch (THSAFE) independent of the power unit (3) or a microcontroller unit of the control unit of the power supply line (7) are separable.

Method for operating a control device (1) for a motor vehicle, the method comprising the following steps: - driving at least one actuator (5_0 to 5_n) of the motor vehicle by the control device (1), - supplying the actuators (5_0 to 5_n) with energy by means of a power supply line (7), characterized in that the following further steps are carried out: - driving a safety switch (THSAFE) through a control connection (ctrl_HSAFE, ctrl_HSRS) of the control device (1), - simultaneously disconnecting all actuators (5_0 to 5_n) from the Power supply line (7) by means of the safety switch (THSAFE) in case of failure, - monitoring and testing of the safety switch (THSAFE) by means of a monitoring unit (HS_MON), which is arranged in the power unit (3).