DE102019213654A1

DE102019213654A1 - Verfahren und Steuergerät zum Überprüfen einer Funktionsfähigkeit einer Autarkieversorgungseinheit eines Steuergerätes eines Personenschutzmittels für ein Fahrzeug

Info

Publication number: DE102019213654A1
Application number: DE102019213654.0A
Authority: DE
Inventors: Carsten List; Florian Grasi; Guihua Song; Hartmut Schumacher
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2019-09-09
Filing date: 2019-09-09
Publication date: 2021-03-11

Abstract

Die Erfindung betrifft ein Verfahren (500) zum Überprüfen einer Funktionsfähigkeit einer Autarkieversorgungseinheit (140) eines Steuergerätes (105) für mindestens ein Personenschutzmittel (110) für ein Fahrzeug (100).Das Verfahren umfasst die Schritte des Entkoppelns (510), des Erfassens (520) einer Spannung, des Erfassens (520) einer Zeitdauer sowie einen Schritt des Detektierens der Funktionsfähigkeit der Autarkieversorgungseinheit (140) in Abhängigkeit von der erfassten Spannung und/oder der erfassten Zeitdauer.

Description

Stand der Technik
Die Erfindung geht von einem Verfahren oder einem Steuergerät nach Gattung der unabhängigen Ansprüche aus. Gegenstand der vorliegenden Erfindung ist auch ein Computerprogramm.
Airbag-Systeme testen ihre Autarkie- und Zündfähigkeit durch mehrere abhängige und unabhängige Tests. Unter einer Autarkie- und Zündfähigkeit wird hiebei die Fähigkeit verstanden, auch bei einer Unterbrechung / Unterversorgung der Energiezufuhr aus einem Energieversorgungsnetz beispielsweise eines Fahrzeugs (durch Leitungsbruch, Leitungskurzschluss, externer wie interner Kurzschluss der Fahrzeugbatterie, Generatorklemmen) eine bis zu 100% ige Funktionsfähigkeit des Rückhaltesystems für einen projektspezifisch definierten Autarkie-Zeitraum zur Abdeckung aller Crash und Funktionsanforderungenzu erhalten, da in diesem Fall eineEnergieversorgung / Zündstromversorgungaus mindestens einem separaten Energiespeicher erfolgt. Die wichtigsten Tests sind in diesem Zusammenhang die Prüfung des mindestens einen Energiespeichers des Rückhaltessystems wie Speicher-Kapazität; Speicher-Spannung und/oder des Speicher-Innenwiderstands, Zündstromgenerierung, Spannungskontrolle aller digitalen und analogen Versorgungsspannungen innerhalb des Rückhaltesystems und der Versorgbarkeit und höhe des Versorgungsstromes des Rückhaltesystems insbesondere des Airbag-Steuergerätes bei Versorgungsunterbrechung / Unterversorgung (=Eigenversorgbarkeit des Rückhaltesystems im weiteren „Autarkie-Fähigkeit“ genannt)*.
Der Autarkie-Zeitraum selbst kann unterteilt werden in einen Autarkie-Zündbereich indem das Rückhaltesystem für alle relevanten Crash-Szenarien sowohl die Energie bzw. den Zündstrom zu allen notwendigen Zündmitteln (Aktuatoren) bereitstellen soll, neben der 100%-igen Versorgung aller notwendigen Elektroniken im Rückhaltesystem wie z.B. zentrales Airbag-Steuergerät mit interner Sensorik, sowie aller peripheren Sensoren, Schalter, Hall-Sensor Schalter, Anzeigeelemente und Kommunikations-Interface und einen (Crash) Nachbearbeitungszeitraum indem keine Rückhaltemittel (Aktuatoren) aktiviert werden, sollen aber Informationen (z.B. Fehler) zum Zustand des Rückhaltesystems sowie des Fahrzeuges und dessen Bedienung (vor und nach Eintritt der Versorgungsunterbrechung / Unterversorgung bzw. vor und nach Eintritt des Crashs bzw.quasi Crashs und den Crash charackterisierenden Daten (Verögerung, Drehung etc.) nicht flüchtig gespeichert werden und zusätzliche Informationen über Kommunikationsinterface wie Emergency Daten etc. ausgetauscht werden müssen.
Die Prüfung der Eigenversorgbarkeit / „Autarkie-Fähigkeit“ (*) erfordert jedoch bis heute die Berücksichtigung von großen Toleranzen der Bauteilwerte des Steuergeräts, wodurch sich die Fehlererkennung nur auf massive Fehler im Versorgungssystem beschränkt.
Offenbarung der Erfindung
Vor diesem Hintergrund werden mit dem hier vorgestellten Ansatz ein Verfahren, weiterhin ein Steuergerät, das dieses Verfahren verwendet, sowie schließlich ein entsprechendes Computerprogramm gemäß den Hauptansprüchen vorgestellt. Durch die in den abhängigen Ansprüchen aufgeführten Maßnahmen sind vorteilhafte Weiterbildungen und Verbesserungen der im unabhängigen Anspruch angegebenen Vorrichtung möglich.
Mit dem hier vorgestellten Ansatz wird ein Verfahren zum Überprüfen der „Autarkie-Fähigkeit“ (*) eines Steuergerätes für Personenschutzmittel und/oder anderer notwendiger Aktuatoren (z.B. Kraftstoffunterbrechung zur Brandvermeidung etc.) genannt Rückhaltesystem für ein Fahrzeug vorgestellt, wobei das Verfahren die folgenden Schritte aufweist:

- Unterversorgung oder Unterbrechung der Energieversorgung des Rückhaltessystems (Airbag Steuergerätes) unter festgelegten Bedingungen von der Fahrzeugversorgung und passive und oder aktive Pufferung der Autarkie-versorgungseinheit des Steuergerätes, bestehend aus mindestens einem Energiespeicher des Rückhaltesystems; (Insbesondere kann hierbei der mindestens eine Energiespeicher, durch eine passive und oder aktive Kopplung an eine interne Versorgungseinheit des Airbag Steuergerätes verbunden sein und diese die Generierung einer Ausgangsspannung (VAS) als eine die bisherige Versorgungsspannung (UB) des Energieversorgungsnetz substituierende Größe vornehmen, welche im Weiteren die Versorgungstränge der verschiedenen anlogen und digitalen Verbraucher des Rückhaltesystems, bzw. Airbag Steuergerätes {System-ASICs, µC; NVM, Sensoren, COM-IF (=LIN,CAN, FlexRay, Ethernet..)...} sicherstellt,)
- Erfassen einer Spannung des Energiespeichers innerhalb eines vorbestimmten Autarkiezeitintervalls und/oder Erfassen einer Zeitdauer bis die Spannung des Energiespeichers auf eine vorbestimmte Schwellenspannung abgesunken ist; und
- Detektieren der Funktionsfähigkeit der Autarkieversorgungseinheit des Steuergerätes des Personenschutzmittels, wenn die innerhalb des Autarkiezeitintervalls überwachte Spannung des Energiespeichers oder eine davon abgeleitete Größe eine Detektionsschwellenspannung nicht unterschreitet und/oder wenn die erfasste Zeitdauer zum Erreichen der Detektionschwellenspannung des Energiespeichers eine Detektionsschwellendauer nicht überschreitet.

Unter einer Autarkieversorgungseinheit kann beispielsweise eine Einheit verstanden werden, die das Steuergerät bei Versorgungsunterbrechung / Unterversorgung von dem Energieversorgungsnetz autark mit elektrischer Energie versorgen kann. Eine solche Versorgungsunterbrechung / Unterversorgung kann beispielsweise durch einen Leitungsbruch, Leitungskurzschluss, einem internen / externen Batteriekurzschluss und/oder einem Kurzschluss am gekoppelten Generator erfolgen, beispielsweise als Folge eines Fahrzeug Unfalls durch einwirkende Beschleunigungskräfte und mech.
Verformungen von Baugruppen.. Unter einem Energiespeicher kann beispielsweise eine Einrichtung zum Speichern von elektrischer Energie verstanden werden. Insbesondere sind Anordnungen großer ElektrolytKondensatoren aufgrund Ihrer Performance (niedriger Innenwiderstand, automotive Temperaturbereich; sehr hohe Leistungsabgabe, günstige Kosten) zur kombinierten Autarkie und Zündstromversorgung geeignet. Daneben können auch Batterien (Li) oder EDLC's (electric double-layer capacitor) zur reinen Autarkie Versorgung benutzt werden.. Unter einem Steuergerät kann vorliegend beispielsweise eine Vorrichtung verstanden werden, die mindestens ein Personenschutzmittel wie beispielsweise einen Airbag, einen Gurtstraffer oder dergleichen aktiviert. Unter einem Autarkiezeitintervall kann eine Zeitdauer verstanden werden, innerhalb der ein Spannungspegel des Energiespeichers bei Versorgung des Steuergeräts nicht unter eine Schwellenspannung fallen darf, damit die Energieversorgungseinheit als funktionfähig bezeichnet werden kann.
Der hier vorgeschlagene Ansatz basiert auf der Erkenntnis, dass die Überprüfung der Funktionsfähigkeit der Autarkieversorgungseinheit sehr einfach vorgenommen werden kann, wenn eine Abgabe von elektrischer Energie aus dem Energiespeicher an das Steuergerät vorgenommen wird und bestimmte Parameter wie ein zeitliches Verhalten der Spannungsänderung am Energiespeicher überwacht wird, sowie die Spannungsbereitstellung am Eingang (VUP) bzw. Ausgang (VAS) einer Versorgungseinheit (Abwärtswandler) als Teil der Autarkieversorgungseinheit, welche die Fahrzeugspannung substituiert über den Kopplungspfad des Energiespeichers ausreichend hoch ist und bleibt z.B. VUP >= 12V und damit eine sichere Versorgung des Rückhaltesystems, bzw. Steuergerätes während der Überprüfung sichergestellt wird,
Hierdurch können Rückschlüsse gezogen werden, ob Fehler in der Energiebereitstellung (Kopplungspfade zum Energiespeicher funktionieren), im Energieverbrauch der Steuergerätebaugruppen oder dem Energiespeicher selbst vorliegen, insbesondere unter realer Versorgungsstromentnahme und max. Speicherspannung (mit Teststrom auf Testspannungsniveau ist üblicherweise die Speicherkapazität in einem eigenen Test bereits geprüft).
Damit wird sichergestellt, dass die passive und oder aktive Pufferung der Autarkieversorgung der Funktionsbaugruppen im Rückhaltesystem, bzw.Airbag Steuergerät durch den Energiespeicher funktioniert ohne digitale / analoge Versorgungsunterbrechungen bzw. unzulässige Versorgungseinbrüche im Falle der Versorgungsunterbrechung / Unterverorgung des Rückhaltesystems aus dem Fahrzeugbordnetz; die Versorgungsströme der digitalen und analogen Funktionsbaugruppen des Rückhaltesystems, bzw. Airbag Steuergerätes den erwarteten Strom aufnehmen (zu wenig oder zu viel, wäre ein Hinweis auf einen vorliegenden Fehler); der Energiespeicher sich nicht so verhält wie es zu erwarten wäre, nach einer vorausgehenden erfolgreich bestandenen Kapazitätsprüfung z.B. aufgrund von spannungsabhängigen Leckagen (Kapazizätstestspannung / Testströme unterscheiden sich von der realen Aurtarkiesituation).
Durch den hier vorgeschlagenen Ansatz lässt sich mit technisch einfachen Mitteln schnell und zuverlässig die Funktionsfähigkeit der Autarkieversorgungseinheit des Steuergerätes überprüfen. Ferner besteht auch die Möglichkeit, herstellerseitig bereits bei der Produktion der Autarkieversorgungseinheit bzw. des Steuergeräts, welches als einen Teil die Autarkieversorgungseinheit enthalten kann, bestimmte Parameter Steuergeräte-individuell bzw. Autarkieversorgungseinheits-individuell auszumessen und entsprechend in einem Speicher des Steuergeräts bzw. der Autarkieversorgungseinheit oder dem System-ASIC welcher die Autarkieversorgungseineit ohne Speicher unfasst abzuspeichern. In diesem Fall kann bei einer späteren Inbetriebnahme des Steuergeräts, beispielsweise bei einem Starten des Fahrzeugs, sehr schnell und auf die entsprechende Einheit individuell abgestimmt und damit genauer (sicherer) überprüft werden, ob die Funktionsfähigkeit der Autarkieversorgungseinheit tatsächlich vorliegt.
Es können somit wesentliche Toleranzen der Autarkieversorgungseinheit auf die Autarkie-Test-Antwort durch eine geeignete automatische Kalibrierung im Fertigungsprozess reduziert und damit auch der Verbau höher tolerierter Komponenten wie System-ASICs etc. ermöglicht werden, um damit Kosten zu senken, bei gleichzeitiger Erhöhung der Selbstdiagnosefähigkeit des Systems bei Autarkie-relevanten Fehlern.
Günstig ist eine Ausführungsform des hier vorgeschlagenen Ansatzes, bei dem ein Schritt des Abspeicherns die erfasste Spannung des Energiespeichers innerhalb eines vorbestimmten Autarkiezeitintervalls als Schwellenspannung und/oder die erfasste Zeitdauer bis zum Erreichen einer bestimmten Schwellenspannung in einen (beispielsweise nicht-flüchtigen) Speicher der Autarkieversorgungseinheit/System-ASIC bzw. des Rückhaltesystems / Airbag Steuergerätes abgespeichert wird, um die erfasste Spannung in einem nachfolgenden Schritt des Erfassens als individuelle Kenngröße des Rückhaltesystems, bzw. Steuergerätes zu verwenden und/oder die Zeitdauer die in einem nachfolgenden Schritt des Erfassens als individuelle Kenngröße (Autarkiezeitintervall) des Rückhaltesystems, bzw. Steuergerätes zu verwenden. Eine solche Ausführungsform des hier vorgeschlagenen Ansatzes bietet den Vorteil, bei einem nachfolgenden Überprüfen der Funktionsfähigkeit der Autarkieversorgungseinheit, beispielsweise bei der Inbetriebnahme oder dem Start des Fahrzeugs „im Feld“ eine sehr präzise Aussage über die aktuelle Funktionsfähigkeit der Autarkieversorgungseinheit machen zu können, da eine individuelle Überprüfung der konkreten Parameter der jeweils untersuchten Autarkieversorgungseinheit möglich wird. Auf diese Weise lässt sich verhindern, dass die Funktionsfähigkeit der Autarkieversorgungseinheit lediglich unter Verwendung von allgemeinen Parametern erfolgt, die jedoch nicht die konkreten herstellungsbedingten Toleranzen bei der Fertigung der Autarkieversorgungseinheit und/oder deren Komponenten berücksichtigen.
Gemäß einer weiteren Ausführungsform kann der Schritt des Abspeicherns dann ausgeführt werden, wenn eine ermittelte Kapazität des Energiespeichers innerhalb eines Plausibilisierungskapazitätsintervalls und/oder wenn die Spannung des Energeispeichers innerhalb eines Plausibilisierungsspannungssintervalls liegt. Unter einer Kapazität des Energiespeichers kann hierbei eine Fähigkeit des Energiespeichers zur Speicherung von elektrischer Energie verstanden werden. Hierbei kann das Plausibilisierungskapazitätsintervall beidseitig oder auch nur einseitig begrenzt sein. Eine solche Ausführungsform des hier vorgeschlagenen Ansatzes bietet den Vorteil einer Plausibilisierung der ermittelten Kapazität des Energiespeichers sodass auch sichergestellt werden kann, dass die Kapazität auch innerhalb von Normvorgaben liegt und/oder eine Spannungsmessung im Steuergerät bzw. in der Autarkieversorgungseinheit korrekte bzw. plausible Spannungswerte liefert. Auf diese Weise kann die Überprüfungsmöglichkeit der Funktionsfähigkeit der Autarkieversorgungseinheit weiter verbessert werden und noch stärker auf den Energieverbrauch in Autarkie konzentriert werden.
Von Vorteil ist ferner eine Ausführungsform, bei der im Schritt des Erfassens ein für das Steuergerät individuell vorbestimmtes Autarkiezeitintervall und/oder eine für das Steuergerät individuell vorbestimmte Schwellenspannung aus einem Speicher der Autarkieversorgungseinheit/ System-ASIC oder des Steuergerätes verwendet wird. Eine solche Ausführungsform bietet den Vorteil, dass bei der Überprüfung der Funktionsfähigkeit der Autarkieversorgungseinheit direkt im Fahrzeug, beispielsweise beim Start oder der Inbetriebnahme des Fahrzeugs, sehr präzise Parameter verwender werden können, die die individuellen Herstellungstoleranzen des vorliegenden, zu überprüfenden Rückhaltesystems, bzw. Steuergeräts bzw. der vorliegenden, zu überprüfenden Autarkieversorgungseinheit berücksichtigen.
Günstig ist ferner eine Ausführungsform des hier vorgeschlagenen Ansatzes, bei der im Schritt des Erfassens ein Autarkiezeitintervall und/oder eine Schwellenspannung verwendet werden, die von einem eine Temperatur in dem Rückhaltesystem, bzw. Steuergerät und/oder der Autarkieversorgungseinheit und/oder von einem der Alterung der Energiespeichereinheit falls relevant auch anderer Bauteilerepräsentierenden Parameter abhängig ist. Eine solche Ausführungsform des hier vorgestellten Ansatzes bietet den Vorteil, durch die Berücksichtigung der aktuellen Umgebungsbedingungen der vorliegenden Autarkieversorgungseinheit bzw. des vorliegenden Steuergeräts eine sehr präzise Möglichkeit zur Überprüfung der Funktionsfähigkeit der Autarkieversorgungseinheit zu schaffen.
Auch kann gemäß einer speziellen Ausführungsform im Schritt des Erfassens ein die Temperatur im Rückhaltesystem, in dem Airbag Steuergerät und/oder der Autarkieversorgungseinheit repräsentierender Parameter verwendet werden, der von einem Drehratensensor und/oder einem in dem Steuergerät verbauten Temperatursensor bereitgestellt wird. Eine solche Ausführungsform bietet den Vorteil, meist bereits verfügbare Sensoren oder deren Sensorwerte in effizienter Weise weiter zu verwenden. Solche Parameter sind die Temperatur (118) vorliegend im Rückhaltesystem 190 als BUS-Information anderer Steuergeräte auf (LIN/CAN/FlexRay..) BUSSEN 170 und oder die Temperatur (115) vorliegend über ein Sensor-Interface von einem peripheren Sensor 120 (Druck, Drehrate, Beschleunigung etc.) und oder die Temperatur (116) vorliegend über SPI von einem Steuergerät 105 internen Sensor 121 (Beschleunigung, Drehrate) und oder die Temperatur (Tj) des System-ASIC 180, bzw. Autarkieeinheit 140 Temperatursensors 250.
Auch kann gemäß einer anderen Ausführungsform im Schritt des Detektierens als Detektionsschwellenspannung eine Spannung verwendet werden, die der vorbestimmten Schwellenspannung entspricht. Eine solche Ausführungsform bietet den Vorteil, dass gleiche Werte für die Detektion der Schwellenspannung bzw. die bestimmte Schwellenspannung verwendet werden, sodass eine einheitliche und Ressourcen-schonende Implementierung des hier vorgestellten Ansatzes geschaffen werden kann.
Um sicherzustellen, dass der hier vorgeschlagene Ansatz sehr robust ausgeführt werden kann, können gemäß einer weiteren Ausführungsform die Schritte des Erfassens und des Detektierens mehrfach ausgeführt werden, wenn im vorausgegangenen Schritt des Detektierens die Funktionsfähigkeit der Autarkieversorgungseinheit nicht festgestellt werden konnte. Insbesondere können die wiederholt ausgeführten Schritte des Erfassens und des Detektierens bei dem vom Energieversorgungsnetz entkoppelten Energiespeicher ausgeführt werden oder nach einem Wiederaufladen des mit dem vom Energieversorgungsnetz gekoppelten Energiespeicher ausgeführt werden.
Eine besonders schnell arbeitende Ausführungsform des hier vorgeschlagenen Ansatzes kann dadurch geschaffen werden, dass im Schritt des Erfassens und/oder der Schritt des Detektierens in einer fest verdrahteten Schaltungseinheit ausgeführt werden. Unter einer fest verdrahteten Schaltungseinheit (Automaten) kann eine Schaltungseinheit verstanden werden, die bereits bei der Herstellung so konfiguriert ist, dass eine bestimmte Abfolge von Befehlen abgearbeitet wird. Beispielsweise kann eine solche Schaltungseinheit als ASIC oder als FPGA implementiert sein. Hierdurch kann durch einen Supervisor, wie dem System µC bzw. Safety µC und der ebenfalls eine finale Bewertung der Ergebnisse vorgenommen werden..
Eine besonders schnell arbeitende Ausführungsform des hier vorgeschlagenen Ansatzes kann ebenso dadurch geschaffen werden, dass der Schritt des Erfassens und/oder der Schritt des Detektierens in einer programmierbaren / steuerbaren Schaltungseinheit ausgeführt werden. Unter einer programmierbaren / steuerbaren Schaltungseinheit kann eine Schaltungseinheit verstanden werden, die eine bestimmte Abfolge von Befehlen abarbeitet und /oder deren Parameter durch Programmiierung geändert werden können. Beispielsweise kann eine solche Schaltungseinheit als programmierbarer / steuerbarer ASIC oder als Kombination entsprechender ASICS und oder diskreten elektronischen Bauteilen geignet implementiert sein.
Gemäß einer weiteren Ausführungsform des hier vorgeschlagenen Ansatzes kann zumindest der Schritt des Erfassens der Zeitdauer bis die Spannung des Energiespeichers auf einen vorbestimmte Schwellenspannung abgesunken ist, in einem Werk ausgeführt werden , in dem das Steuergerät hergestellt wird. Eine solche Ausführungsform bietet den Vorteil, dass unmittelbar nach der Herstellung des Steuergeräts entsprechende Parameter zu Beurteilung der Funktionsfähigkeit des Steuergeräts bzw. der Autarkieversorgungseinheit erfasst und für nachfolgende Überprüfung/-en der Funktionsfähigkeit des Steuergerätes des bzw. der Autarkieversorgungseinheit bereitgestellt werden können.
Von Vorteil ist ferner eine Ausführungsform des hier vorgeschlagenen Ansatzes, bei der zumindest der Schritt des Erfassens der Spannung des Energiespeichers innerhalb eines vorbestimmten Autarkiezeitintervalls in einem Fahrzeug ausgeführt wird. Eine solche Ausführungsform bietet den Vorteil, die Funktionsfähigkeit der Autarkieversorgungseinheit unter Berücksichtigung der bekannten dh. bei der Herstellung gespeicherten individuellen Parametern sehr zuverlässig ermitteln zu können.
Mit dem hier vorgestellten Ansatz wird auch ein Verfahren zum Überprüfen einer Funktionsfähigkeit einer Autarkieversorgungseinheit eines Steuergerätes eines Personenschutzmittels für ein Fahrzeug vorgestellt, wobei das Verfahren die folgenden Schritte aufweist:

- Entkoppeln eines Energieversorgungsnetzes von einem Energiespeicher einer Autarkieversorgungseinheit des Steuergerätes;
- Erfassen einer Spannung des Energiespeichers innerhalb eines vorbestimmten Autarkiezeitintervalls und/oder Erfassen einer Zeitdauer bis die Spannung des Energiespeichers auf eine vorbestimmte Schwellenspannung abgesunken ist; und
- Detektieren der Funktionsfähigkeit der Autarkieversorgungseinheit des Steuergerätes des Personenschutzmittels, wenn die innerhalb des Autarkiezeitintervalls überwachte Spannung eine Detektionsschwellenspannung nicht unterschreitet und/oder wenn die erfasste Zeitdauer eine Detektionsschwellendauer nicht überschreitet.

Unter einer Autarkieversorgungseinheit kann beispielsweise eine Einheit verstanden werden, die das Steuergerät bei Entkopplung von dem Energieversorgungsnetz autark mit elektrischer Energie versorgen kann. Eine solche Entkopplung kann beispielsweise durch einen Leitungsbruch erfolgen, der beispielsweise im Falle eines Unfalls eines Fahrzeugs erfolgt und das Bordnetzes des Fahrzeugs kurz schließt. Unter einem Energiespeicher kann beispielsweise eine Kapazität zum Speichern von elektrischer Energie verstanden werden. Unter einem Steuergerät kann vorliegend beispielsweise eine Vorrichtung verstanden werden, die ein Personenschutzmittel wie beispielsweise einen Airbag, einen Gurtstraffer oder dergleichen aktiviert. Unter einem Autarkiezeitintervall kann eine Zeitdauer verstanden werden, innerhalb der ein Spannungspegel des Energiespeichers bei Versorgung des Steuergeräts nicht unter eine Schwellenspannung fallen darf, damit die Energieversorgungseinheit als funktionfähig bezeichnet werden kann.
Der hier vorgeschlagene Ansatz basiert auf der Erkenntnis, dass die Überprüfung der Funktionsfähigkeit der Autarkieversorgungseinheit sehr einfach vorgenommen werden kann, wenn eine Abgabe von elektrischer Energie aus dem Energiespeicher an das Steuergerät vorgenommen wird und bestimmte Parameter wie ein zeitliches Verhalten der Spannungsänderung überwacht wird.
Hierdurch können Rückschlüsse gezogen werden, ob Fehler im Energiespeicher und/oder im Steuergerät vorliegen, sodass beispielsweise nicht genügend elektrische Energie im Energiespeicher vorgehalten werden kann oder das Steuergerät mehr elektrische Energie verbraucht als vorgesehen. Durch den hier vorgeschlagenen Ansatz lässt sich mit technisch einfachen Mitteln schnell und zuverlässig die Funktionsfähigkeit der Autarkieversorgungseinheit des Steuergerätes überprüfen. Ferner kann besteht auch die Möglichkeit, herstellerseitig bereits bei der Produktion der Autarkieversorgungseinheit bzw. des Steuergeräts, welches als einen Teil die Autarkieversorgungseinheit enthalten kann, bestimmte Parameter Steuergeräte-individuell bzw. Autarkieversorgungseinheits-individuell auszumessen und entsprechend in einem Speicher des Steuergeräts bzw. der Autarkieversorgungseinheit abzuspeichern. In diesem Fall kann bei einer späteren Inbetriebnahme des Steuergeräts, beispielsweise bei einem Starten des Fahrzeugs, sehr schnell und auf die entsprechende Einheit individuell abgestimmt überprüft werden, ob die Funktionsfähigkeit der Autarkieversorgungseinheit tatsächlich vorliegt.
Es können somit wesentlichen Toleranzen durch eine geeignete automatische Kalibrierung des Prodiktionssystems im Fertigungsprozess reduziert und damit auch den Verbau höher tolerierter Komponenten wie System-ASICs etc. ermöglicht werden, um damit Kosten zu senken, bei gleichzeitiger Erhöhung der Selbstdiagnosefähigkeit des Systems bei Autarkie-relevanten Fehlern.
Dieses Verfahren oder Varianten hiervon können beispielsweise in Software oder Hardware oder in einer Mischform aus Software und Hardware beispielsweise in einem Steuergerät implementiert sein.
Der hier vorgestellte Ansatz schafft ferner ein Steuergerät, das ausgebildet ist, um die Schritte einer Variante eines hier vorgestellten Verfahrens in entsprechenden Einrichtungen durchzuführen, anzusteuern bzw. umzusetzen. Auch durch diese Ausführungsvariante der Erfindung in Form eines Steuergeräts kann die der Erfindung zugrunde liegende Aufgabe schnell und effizient gelöst werden.
Hierzu kann das Steuergerät zumindest eine Recheneinheit zum Verarbeiten von Signalen oder Daten, zumindest eine Speichereinheit zum Speichern von Signalen oder Daten, zumindest eine Schnittstelle zu einem Sensor oder einem Aktor zum Einlesen von Sensorsignalen von dem Sensor oder zum Ausgeben von Steuersignalen an den Aktor und/oder zumindest eine Kommunikationsschnittstelle zum Einlesen oder Ausgeben von Daten aufweisen, die in ein Kommunikationsprotokoll eingebettet sind. Die Recheneinheit kann beispielsweise ein Signalprozessor, ein Mikrocontroller oder dergleichen sein, wobei die Speichereinheit jede Art von NVM (Non Volatile Memory) wie ein Flash-Speicher, ein EEPROM , ein EPROM , ein magnetischer Speichereinheit etc. sein kann die sich in der Autarkieversorgungseinheit / System-ASIC, im Airbag Steuergerät, im Fahrzeug oder außerhalb des Fahrzeugs als Cloud Speicher befindet. Die Kommunikationsschnittstelle kann ausgebildet sein, um Daten drahtlos und/oder leitungsgebunden einzulesen oder auszugeben, wobei eine Kommunikationsschnittstelle, die leitungsgebundene Daten einlesen oder ausgeben kann, diese Daten können beispielsweise elektrisch oder optisch aus einer entsprechenden Datenübertragungsleitung eingelesen oder in eine entsprechende Datenübertragungsleitung ausgeben werden .
Unter einem Steuergerät kann vorliegend ein elektrisches Gerät verstanden werden, das Sensorsignale und oder vorverarbeitete Informationen anderer Fahrzeugsysteme verarbeitet und in Abhängigkeit davon Steuer- und/oder Datensignale sowie Aktuator Aktivierungssignale für Rückhaltemittel etc., ausgibt. Das Steuergerät kann eine Schnittstelle aufweisen, deren (physikalischer) Layer hardwaremaßig ausgebildet ist- und oder ergänzt wird durch einen Softwarelayer . Die physikalische Ausbildung der Schnittstellen (Tranceiver) kann als Teil eines sogenannten System-ASICs erfolgen , welcher verschiedenste Funktionen des Steuergeräts beinhaltet und oder als separate Schnittstelle in eigenen integrierten Schaltkreisen (separate Tranceiver) erfolgen und oder zumindest teilweise oder vollständig aus diskreten Bauelementen bestehen. Für den Datenaustausch sind weitere Einrichtungen wie geeignete Message Buffer für Empfang und Senden, Einrichtungen zur variablen Gestaltung der Datentransferrate, Codier und Decodier Einrichtungen, Timer zur Zeitstempel Benutzung, konfigurierbare FIFO Struckturen etc. notwendig. Diese werden üblicherweise im Signalprozessor, Microcontroler, Microprozessor, Safety-Controller entsprechend dem Schnitstellen Standard als LIN-, CAN-, FlexRay- Ethernet - Controller-HW-Modul vorgehalten. Die Datenbereitstellung, Codierung/Decodierung, Datenaustausch, Fehlererkennung etc. erfolgt über geeignete Softwaremodule im jeweiligen Prozessor der am Datenaustausch über Daten-BUS (Daten-BUSSE) (leitungsgebunden) oder über Funkkanäle beteiligten Syteme.
Ausführungsbeispiele des hier vorgestellten Ansatzes sind in den Zeichnungen dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigt:

1 eine schematische Darstellung eines Fahrzeugs mit einem Steuergerät gemäß einem Ausführungsbeispiel zur Aktivierung mindestens eines Personenschutzmittels;
2 eine Blockschaltbilddarstellung eines Steuergeräts gemäß einem Ausführungsbeispiel der vorliegenden Erfindung;
3 ein Diagramm, in welchem der Ablauf eines Ausführungsbeispiels eines werksseitigen Autarkietests mit Kalibrierung dargestellt ist;
4 ein Diagramm, in welchem der Ablauf eines Ausführungsbeispiels eines fahrzeugseitigen Autarkietests dargestellt ist
5 ein Ablaufdiagramm eines Ausführungsbeispiels eines Verfahrens zum Überprüfen einer Funktionsfähigkeit einer Autarkieversorgungseinheit eines Steuergerätes eines Personenschutzmittels für ein Fahrzeug; und
6 ein Blockschaltbild eines Steuergeräts mit einer Autarkietesteinheit oder zum Überprüfen einer Funktionsfähigkeit einer Autarkieversorgungseinheit des Steuergerätes eines Personenschutzmittels für ein Fahrzeug.

In der nachfolgenden Beschreibung günstiger Ausführungsbeispiele der vorliegenden Erfindung werden für die in den verschiedenen Figuren dargestellten und ähnlich wirkenden Elemente gleiche oder ähnliche Bezugszeichen verwendet, wobei auf eine wiederholte Beschreibung dieser Elemente verzichtet wird.
1 zeigt eine schematische Darstellung eines Fahrzeugs 100 mit einem Steuergerät 105 gemäß einem Ausführungsbeispiel zur Aktivierung mindestens eines Personenschutzmittels 110. Das Personenschutzmittel 110 kann beispielsweise als ein Fahrerairbag ausgestaltet sein.
Um eine solche Aktivierung des Personenschutzmittels 110 vorzunehmen, werden beispielsweise Signale 115/117 von einem oder mehreren peripheren Sensoren / Schaltern 120 / 160 eingelesen und oder werden beispielsweise Signale 116 von einem oder mehreren Steuergeräte internen Sensoren 121 eingelesen und oder werden beispielsweise Informationen 118 von anderen Steuergeräten des Fahrzeuges am BUS-System 170 und oder oder von Fahrzeug externen Einrichtungen über Mobilfunkdienste zu anderem Fahrzeugen oder Internet / Cloud Diensten eingelesen, diese in einer entsprechenden Verarbeitungseinheit 125 gemäß einer Verarbeitungsvorschrift verarbeitet und bei Vorliegen von entsprechenden Bedingungen die Aktivierung des mindestens einen Personenschutzmittels 110 ausgelöst.
Damit das Steuergerät 105 arbeiten kann, erhält es elektrische Energie von einem Energieversorgungsnetz 130 des Fahrzeugs 100, welches beispielsweise als Bordnetz des Fahrzeugs 100 ausgestaltet ist und elektrische Energie von einem Generator/Regler 136 und oder der zur Puffereung verwendeten Fahrzeugbatterie 135 den am Bordnetz 130 angeschlossenen Komponenten zuführt. Tritt jedoch ein Unfall auf, kann unter Umständen ein Defekt des Bordnetzes 130 und oder des Genenerator/Reglers 136 und oder der Fahrzeugbatterie 135 auftreten, sodass das Steuergerät 105 keine oder nicht ausreichende elektrische Energie mehr von dem Bordnetz 130 beziehen kann. Um dennoch die korrekte Funktionsfähigkeit der Funktionen des Rückhaltesystems 190, des Steuergeräts 105 für die Auslösung des mindestens einen Personenschutzmittels 110 sicherzustellen, ist im oder auch teilweise am Steuergerät 105 eine Autarkieversorgungseinheit 140 vorgesehen, welche im Idealfall die normale Versorgungseinheit des Rückhaltesystems, bzw. Steuergerätes aus UB (130) umfasst., hierzu elektrische Energie vom Energieversorgungsnetz 130 aufnimmt und mit dieser in geeigneter Weise das Rückhaltesystem 190, bzw. Steuergerät 105 bzw. die analogen und digitalen Versorgungsstränge der Verabeitungseinheit versorgt, sowie mindestens in einem Energiespeicher 145 und oder 146 Energie zwischenspeichert. Dieser Energiespeicher 145/146 kann beispielsweise als Kondensator/en vorzugsweise Elektolytkondensator/en ausgebildet sein oder als Speicherkombination, die teilwese im Steuergerät 105 und teilweise im Rückhaltesystem 190 angeordnet sind und Speicher unterschiedlicher Technologien wie Elektrolytkondensatoren, EDLCs sowie elektrochemischen Batterien umfasst. Tritt nun ein Defekt am Energieversorgungsnetz 130, beispielsweise durch Einwirkung nach einem Unfall auf, so kann durch die Autarkieversorgungseinheit 140 noch immer elektrische Energie den analogen und dgitalen Verrsorgungssträngen 185 z.B. implementiert in einem System ASIC 180 und damit der Verarbeitungseinheit 125zugeführt werden, sodass noch eine korrekte Funktion der Verarbeitungseinheit 125 mit zugehörigem System-Microcontroller/Prozessor 155, NVM 165, Safety Controler 255, optional NVM 265 und Kommunikationsschnittstelle 175, der angeschlossenen externen / internen Sensoren 120 / 121, den mech. Schaltern / Hall Schaltern 160, den Anzeigeeinheiten 150 etc. für eine definierte Zeit unter worst case Situation sichergestellt werden kann, damit die Aktivierungszeitpunkte der notwendigen Aktuatoren (Rückhaltemittel) hier dargestellt der Fahrerairbag 110 und weiteren nicht dargestellten Akuatoren wie Kraftstoffpumpensperre, Türentriegelung, Generator -Batterie Trennung etc., zu den geforderten Zeitpunkten nach Crashbeginn ermittelt werden kann und alle geforderten Daten des Rückhaltesystems der Fahrzeugbedienung, weiterer Fahrzeugsysteme (Bremsen, Lenkung, Position, Abstand, Innenraumsensierung..) vor Autarkie / Crash, während Crash und nach Crash z.B. im NVM 165 / optional 265 abgespeichert werden können, sowie Emergency Informationen über eine Mobilfunknetzanbindung bereitgestellt werden.
Um sicherzustellen, dass eine solche Energieversorgung auch im Autarkie-Fall, also bei der Unterbrechung der Energiezufuhr aus dem Energieversorgungsnetz 130, korrekt funktioniert, sollte die Funktionsfähigkeit der Autarkieversorgungseinheit 140 öfter und präziser überprüft werden, beispielsweise unmittelbar nach jedem Neustart des Fahrzeugs 100. Alternativ oder zusätzlich kann beispielsweise auch bereits unmittelbar nach der Herstellung des Steuergeräts 105 bzw. der Autarkieversorgungseinheit 140 mit einer Plant Rückhaltesystem Nachbildung überprüft werden, ob dieses korrekt funktioniert, um damit die Signalverarbeitung aller angeschlossenen Sensoren Schnittstellen zu gewährleisten, damit eine hohe Sicherheit und Robustheit , für die Triggerung der Auslösung des Personenschutzmittels 110 (bzw. aller weiteren Aktuatoren) garantiert ist.. Zu beachten ist jedoch ferner, dass bei der Herstellung des Steuergeräts 105 verursacht durch die hohen Toleranzen der einzelnen Komponenten des Steuergeräts wie Autarkieversorgungseinheit 140 (145, 146) und Signalverarbeitungseinheit 125 erstmals hohe Gesamttoleranzen auftreten, sodass zur Prüfung der Funktionsfähigkeit der Autarkieversorgungseinheit 140 lediglich sehr weit gefasste Schwellwerte verwendet werden können, um eindeutige Fehler in der Funktionsfähigkeit der Autarkieversorgungseinheit 140 (145,146) und den gespeisten Versorgungssträngen 185 der Signalverarbeitungseinheit 125 bzw. des System-ASICs 180 zu erkennen. Dies führt dazu, dass kleinere Fehleraufgrund der weit gefassten Schwellwerte nicht mehr erkannt werden können.
Bisherige Systeme legen die Fehlererkennungsgrenzen des Autarkie Tests so aus, dass die wesentlichen Toleranzen wie Energiereservekapazitäts-Toleranz (ca. Faktor2 .. 4), Versorgungsstrom-Toleranz (ca. Faktor 2...3) und die Messtoleranz (ca. Faktor 1.5 ..4) in den Testgrenzen Anwendung finden, wodurch sich die Fehlererkennungsperformance nur auf massive Fehlererkennung im Versorgungssystem des Rückhaltesystems 190, bzw. Steuergerätes 105 beschränkt.
2 zeigt eine Blockschaltbilddarstellung eines Steuergeräts 105 gemäß einem Ausführungsbeispiel der vorliegenden Erfindung. Das Steuergerät 105 kann hierbei dem Steuergerät 105 entsprechen, wie es in der 1 dargestellt ist, wobei nur die für den hier vorgestellten Ansatz wesentlichen Komponenten näher beschrieben werden sollen.
Ausgehend von dem Fahrzeuggenerator / Regler 136 de Fahrzeugbatterie 135 (Puffer) wird über das Energieversorgungsnetz 130 eine Spannung UB bereitgestellt, welche dem Steuergerät 105 zugeführt wird. In einer ersten Einheit des Steuergeräts 105 wird in der Autarkieversorgungseinheit 140 in einem Aufwärtswandler 200, der beispielsweise unter Verwendung eines Aufwärtswandlerreglers 205 und einer Interaktivität L1 ein PWM-gepulstes Erhöhen der Spannung UB auf die Spannung VUP vornimmt, um den Energiespeicher 145, der in dieser Beschreibung auch mit dem Bezugszeichen ER bezeichnet wird, über einen programmierbaren Lader mit redundantem invers Pfad 215 zu laden, sodass dieser Energiespeicher ER auch bei dem Zusammenbruch der Energieversorgung aus dem Energieversorgungsnetz 130 der Verarbeitungseinheit 125 und über deren Interface 285 den peripheren Einheiten des Rückhaltesxstems zur Sicherstellung der Funktionsfähigkeit über einen Abwärtswandler 230 (kann verschieden konstruiert sein und enthält ebenso eine Wandler Induktivität und Reglereinheit) ausreichend elektrische Energie zur Versorgung ihrer verschiedenen Spannungsrails 185 (VAS 6.7V, VINT, VST50 5V; VST33 3.3V; VCORE;) bereit stellt.. In dieser Verarbeitungseinheit 125 wird beispielsweise unter Verwendung der Sensorsignale 115, 116, 117 die aus Daten der Sensoren 120/121 und Schalter 160 gebildet sind, ermittelt, ob eine Aktivierung eines oder mehrerer Personenschutzmitteln 110 erforderlich ist. Die Sensoren 120/121 können hierbei beispielsweise als Beschleunigungssensoren, Drucksensoren oder Drehratensensoren zur Messung der entsprechenden Größen in X(Fahrzeuglängsachse)-, Y (Fahrzeugquerachse)- und/oder Z-Richtung (Fahrzeughochachse) verwendet werden und zusätzlich oder alternativ zur Bereitstellung einer aktuelle Temperatur im Steuergerät 105 durch die Sensoren 121 oder im Fahrzeug durch die Sensoren 120 an deren Einbauorten.. Die Verwendung einer solchen Temperatur als Sensorsignal 115 / 116 kann aufgrund der geringen Eigenerwärmung der Sensoren beispielsweise nachfolgend dahin gehend interpretiert werden, dass eine solche Temperatur ebenfalls der Temperatur des Energiespeichers 145 entspricht, sodass auf einen zusätzlichen Sensor zur Messung der Temperatur im Bereich des Energiespeichers 145 verzichtet werden kann.
Beispielsweise erzeugt der Aufwärtswandler 200 eine geregelte Ausgangsspannung VUP von z. B. 33V aus VZP=5V...20V. Der µC 155 steuert über die SPI1 mit Hilfe der Baugruppe 220 (Zentrale ASIC Funktionen wie SPI Sende / Emfangseinrichtung / Ankopplung an ASIC-BUSSE 221 etc.) dem ASIC BUS 221 und des verbundenen HW Automaten 210 des System-ASICS 180 das Laden des Energeispeichers ER auf VER=33V durch Vorgabe eines geigneten Ladestromes ICH des Laders 215. Ist die Energiereserve auf VER≈VUP geladen, kann der Autarkietest durchgeführt werden. Hierzu wird eine Autarkie-Zeit „aut_time“ als Autarkiezeitintervall aus einem Speicher 165 (optional 265) z.B. über SPI3 vom Mikrokontroller µC 155 ausgelesen undüber SPI1 mit Hilfe der Baugruppe 220 über den ASIC BUS 221 an einen Hardware Automaten 210 und dessen Teilfunktion Autarkietesteinheit 211 übergeben , die beispielsweise als fest verdrahtete Schaltungseinheit ausgebildet ist und in dieser Beschreibung als HW-Automat (= Hardware-Automat) „Autarkie-Test“ bezeichnet werden kann. Diese Autarkie-Zeit ist so gewählt, dass die Spannung an dem Energiespeicher ER weniger reduziert wird, als eine in dem HW-Automaten 210/-211 definierte Größe VERA zum Ausgangswert VERo. Auch wenn in der Beschreibung explizit genannt ist, dass die Ausführung des Autarkietests durch die Auswertung der Signalwerte im Mikrocontroller µC 155 erfolgt, ist es für den einschlägigen Fachmann erkennbar, dass dieses Ausführungsbeispiel lediglich beispielhaft gewählt ist und ein dem Mikrocontroller µC 155 vergleichbare Einrichtung auch als Teil des Airbag Steuergeräte System-ASIC 180 z.B. in Form eines Safety Controler µC 255 / oder eines erweiterten HW-Automaten 210 ausgeführt sein kann inklusive der Funktionalität eine eigenständige Überprüfung der Autarkieversorgungseinheit 140 auszuführen. Bei ausreichender Geschwindigkeit der zentralen ADC Messeinrichtung 240 bzw. mit Focus auf die Signale relevant für den Autarkie-Test (VER,VUP,VZP,UB etc.) der Teilgruppe 241 kann die HW Automaten Funktion vereinfacht und noch flexibler an den Microcontroller µC 155 oder 255 gegeben werden.
Durch den Befehl Autarkie-Test „ON“ startet der HW-Automat 210/-211 „Autarkie-Test“, als den Test der Funktionsfähigkeit der Autarkieversorgungseinheit 140. Dabei werden beispielsweise folgende Schritte ausgeführt oder angesteuert: Der Aufwärtswandler 200 wird in OFF-Stellung gebracht (also ausgeschaltet), wodurch bei gelandener ER 145 keine weitere Energie aus dem Fahrzeug Versorgungsnetz 130 entnommen werden kann, um das Airbag Steuergerät zu versorgen, ohne dass der statische DC Versorgungspfad über D1, L1, L1H, D2 zu VUP unterbrochen wäre ! VERo » VZP erzwingt eine Versorgung des Abwärtswandlers 230 aus ER 145 über den Lader (bidirektionale MOSFET Struktur) bzw. falls nötig über die redundante Lader Reversdiode D3. Ein Zähler zur Zeitkontrolle wird gestartet und die Spannungen an VER; VZP und VUP werden beobachtet. Ist VZP und VUP überhalb eines Minimalwertes . z.B. VZP>=5V und VUP>=12V (auch andere (höhere) Werte z.B. 24V wären sinnvoll) wird die OFF-Stellung des Aufwärtswandlers 200 aufrechterhalten, andernfalls wird über den HW-Automat 210/-211 der Autarkie-Test abgebrochen und der Aufwärtswandler 200 wieder gestartet. Der Mikrocontroller µc 155 wird über den Abbruch und die Ursachen informiert.
Durch den gesperrten Aufwärtswandler 200 kann keine Energie zur Versorgung eines Abwärtswandlers 230 (Down-converter) und damit der Steuergeräteelektronik [insbesondere den Versorgungsrails 185 (VAS,VINT,VST50,VST33,VCORE....) aus dem Bordnetz 130 der Fahrzeugversorgung bereitgestellt werden. Die Versorgungsenergie wird über einen Charger bzw. Lader 215 und oder der Reverse-Diode D3 aus dem Energiespeicher ER an VUP bereitgestellt. Dadurch sinkt die ER-Spannung. Erreicht die ER-Spannung die Komparatorschwelle VERth = VERo - VERΔ, z. B. VERo - IV, bevor der laufende Autarkie-Zeitzähler die programmierte Zeit „aut_time“ als Autarkiezeitintervall des HW-Automaten 210/-211 erreicht, so wird der Autarkie-Test abgebrochen, der Aufwärtswandler 200 wird wieder gestartet und der Ladevorgang des Energiespeichers 145 bzw. ER beginnt zum Beseitigen des VERΔ-Spannungsverlustes. Weiterhin stellt der HW-Automat 210/-211 dem Mikrocontroller µC 155 das Testergebnis bereit. Dieses lautet: Die Energiereserve 145 ist bereits vor Ablauf der festgesetzten Autarkie-Zeit „aut_time“ auf VERo-VERΔ abgesunken, damit ist in der Regel der Autarkie-Test nicht bestanden.
Im Normalfall erreicht der Autarkie-Zeitzähler die vorgegebene „aut_time“ ohne das die ER-Spannung um die im HW-Automat 210/-211 vorgegebene Differenzspannung VERA z. B. = 1 V abgenommen hat. Auch in diesem Falle beendet der HW-Automat 210/-211 den Autarkie-Test, startet den Aufwärtswandler wieder und ermöglicht damit den Ladevorgang dem Energiespeicher 145 bzw. ER um die eingetretene Spannungsreduktion kleiner VERA wieder auszugleichen. Auch dieses Testergebnis stellt der HW-Automat 210 dem Mikrocontroller µc zur Verfügung.
Dieses lautet: Die Energiereserve 145 ist innerhalb der festgesetzten Autarkie-Zeit „aut_time“ nicht auf VERo - VERA abgesunken, damit ist in der Regel der Autarkie-Test bestanden und die Funktionsfähigkeit der Autarkieversorgungseinheit 140 bestätigt bzw. mit positivem Ergebnis überprüft.
Aufgrund der erheblichen Toleranzen der Energiereserve-Kapazität ER 145, dem Stromverbrauch des Steuergeräts 105, bzw. des Rückhaltesystem 190, der Toleranz von Komponenten des HW-Automaten 210/-211, insbesondere der Überwachungsschwelle VERo - VERΔ, führt zu einer notwendigen worst-case„aut_time“-Vorgabe des Mikrocontrollers µC 155 an den HW-Automaten 210/- 211 und damit zu einer geringen oder mäßigen Performance dieses Tests. Eine Fehlererkennung ist daher im schlechtesten Fall (worst-case) nur im Falle drastischer Fehler in der Autarkie-Versorgung des Rückhaltesystems 190 bzw. bzw. des Steuergerätes 105 möglich.
Die Behebung dieses Nachteils kann durch weitere Verbesserung des hier vorgestellten Autarkie-Tests in einer oder mehreren Varianten erreicht werden.
Hierzu kann beispielsweise der allgemeine Autarkie-Test durch eine Erweiterung im sogenannten Werksmodus (also unmitelbar nach der Herstellung des Steuergerätes 105 bzw. der Auftarkieversorgungseinheit 140) zur Überprüfung des Steuergerätes 105 und oder einer externen . Rückhaltesystemnachbildung aktiv ergänzt werden. Erkennt das Steuergerät 105 das es sich im Werksmodus insbesondere in der Endprüfung des fertigen Produktes befindet, so wird zunächst ein Programm „Autarkie-Test-Plant“ zu Kalibrierungszwecken durchgeführt.
3 zeigt ein Diagramm, in welchem der Ablauf eines Ausführungsbeispiels eines solchen werksseitigen Autarkie-Tests zu Kalibrierungszwecken dargestellt ist. Hierbei ist auf der Abszisse die Zeit und auf der Ordinate ein Spannungspegel aufgetragen, der an dem Energiespeicher 145 gemessen wird. Der Verlauf des Grafen 300 zeigt somit den zeitlichen Verlauf der Spannung an dem Energiespeicher 145 an. Zunächst wird in einem ersten Zeitintervall der Energiespeicher 145 aus dem Aufwärtswandler 200 mit der Ausgangsspannung VUPo duch den Lader 215 (2) mit einem definierten Ladestrom (programmierbar) auf einen Spannungspegel VERo 304 ≈VUPo mit dem Toleranzbereich 305 aufgeladen und dessen minimaler Leckstrom gepuffert , bis der Aufwandswandler 200 zu einem Zeitpunkt 305 abgeschaltet wird. Hierdurch wird in einem Zeitintervall 310 die Fähigkeit der Autarkieversorgungeinheit 140 überprüft, sprich der Autarkie-Test durchgeführt. Dies bedeutet, dass die Autarkieversorgungseinheit 140 elektrische Energie aus dem Energiespeicher 145 bezieht und somit die Spannung am Energiespeicher 145 sinkt. Wird das Erreichen der Schwellenspannung VERth 320 im VERth Bereich 325 erkannt, so wird der Aufwärtswandler 200 wieder eingeschaltet und der Energiespeicher 145 bzw. ER wieder geladen. Die Funktionsfähigkeit der Autarkieversorgungseinheit 140 kann beispielsweise dann festgestellt werden, wenn die Spannung am Energiespeicher 145 frühestens nach einer Mindestzeit 315 die maximale Schwellenspannung 321 unterschreitet und innerhalb eines folgenden Intervallbereichs 330 sicher die Spannung am Energiespeicher 145 den minimalsten Schwellspannungswert 322 aus dem Schwellspannungsintervall 325 erreicht.
Ferner ist erkennbar, dass der Graf 300 (VER) sich von einem gemeinsamen ursprünglichen Verlauf auf Grund der Toleranzen von VUP auf jeden Wert im Intervall 325 [VERomin≈VUPmin, VERomax≈VUPmax] zum Autarkie-Test Start (to) 305 einstellen kann.
Ebenso ist erkennbar, dass nach Autarkie-Test Start 305 die VER Spannung unteschiedlich schnell sinken kann, Dies wird im wesentlichen verursacht durch die Herstellungstoleranzen der Autarkieversorgungseinheit 140 gegeben duch den Energiespeicher 145 (Kapazität-, Leckstrom- Toleranz), dem Wirkungsgrad - und der Spannungstoleranz des Abwärtswandlers 230, weiterhin durch die Herstellungstoleranzen der Verarbeitungseinheit 125 bestehend aus System µC 155, Safety Controler 255, HW-Automaten 210, Zentrale System-ASIC Funktionen 220, Kommunikationsinterface 175/275, NVM Speicher 165/265, zentraler System-ASIC ADC Meßeinrichtung 240/241, sowie aller weiteren Funktionsblöcke des System-ASICs insbesondere den Intefacen 285 für Aktuatoren/Sensor/Schalter/Spezial in Bezug auf ihren Strombedarf an den Versorgungsrails 185 und den Steuergeräte internen Sensoren 121.
Weiterhin ist das Toleranzband 325 der Schwellspannung VERth der Autarkieversorgungseinheit (HW-Automaten-Teilfunktion 211) dargestellt in 3. Dieses wird verursacht durch die Herstellungstoleranzen der HW Automaten Teilfunktion 211 und damit des System-AICS dessen Bestandteil er ist
Aufgrund der vorhergehend beschriebenen Toleranzen als Ursache für den Verlauf des Grafen 300 in 3 kann zur Kalibrierung des Autarkie-Tests folgende Vorgehensweise gewählt werden. Der System-Mikrocontroller µC 155 kann unter zu Hilfenahme der zentralen System-ASIC ADC MeßeinrichtungTeilfunktion 241 oder auch eines entsprechend ausgebildeten HW-Automaten Teilfunktion 211, oder durch Weiergabe der Aufgabe und entsprechender Ausgestaltung mittels Safety Controlers als µC 255 + SW innerhalb der Autarkieversorgungseinheit 140 eine ADC-Spannungs-Messung der final geladenen Energiereserve (d. h. des Energeiespeichers 145) durchführen und dann den HW-Automat 210/-211 mit einer Zeitvorgabe „aut_time_plant_limt“ (die gemäß der Darstellung aus der 3 größer als eine Summe des Zeitintervalls 315 und des Intervallbereichs 330 ist) starten, die unter Berücksichtigung aller Toleranzen dazu führt, dass VER auf den Wert VERthmin = VERomin - VERΔmax absinkt innerhalb der Zeitvorgabe (aut_time_plant_limit).
Für die Zeitvorgabe gilt beispielsweise: aut_time_plant_limit= [VERΔmax(25°)] * CERmess(25°C) * CMT / IVUPmin(25°C), falls 25 °C die Temperatur der Plant Situation insbesondere des Energiespeichers wiederspiegelt.
Beispielsweise können die folgenden Werte verwendet werden: VERΔmax(25°C)=1.6V; der µC-SW bekannt als programmierter Parameter des HW-Automaten.CERmess(25°C) = durch Steuergerät 105 gemessene und plausibilisierte ER-Kapazität vor Autarkie-Test = 5mF; CMT=Faktor-Kapazitätsmesstoleranz = 1.15 des Steuergerätes entsprechend Design (z.B. der HW-Automaten 210 Teilfunktion Kapazitätstest 212); IVUPmin(25°C)=50mA Minimaler VUP Versorgungsstrom des Abwärtswandlers zur Versorgung des Rückhaltesystems 190, bzw Steuergerätes 105 : µC-SW bekannt als programmierter Parameter des Steuergeräte Designs und Rückhaltesystemnachbildung an den Interfacen im Plant z.B hier.
Für die Zeitvorgabe folgt damit zum Beispiel: aut_time_plant_limit = 1.6V*5mF*1,15/50mA = 184ms abgeleitet aus der allg. Beziehung U*C = I*T von Kondensatoren als Energiespeicher, möglicherweise abzuwandeln im Falle anderer Speichertechnologien.
Erreicht im werkseitigen Autarkie-Test (Autarkie-Test-Plant) die Energiereserve bzw. der Energiespeicher 145 die Spannung VERth = VERo - VERΔ, so wird zu diesem Zeitpunkt der HW-Automat 210/-211 gestoppt. Der Mikrocontroller µC kann je nach HW-Automat-Design entweder die abgelaufene Autarkie-Zeit von Start bis Stop (aut_time_plant) zurücklesen oder durch zyklische Abfrage des HW-Automaten-Stati (z. B. alle 2ms) (b=busy; p=passed; e=error) zwischen Start und Stop bestimmen. Wird der Status p „passed“ zurückgelesen, d. h. die vorgegebene Zeit „aut_plant_limit“ hat nicht ausgereicht, um den Energiespiecher 145 bzw. ER auf die Schwelle VERth zu senken, so ist das Rückhaltesystem , die Autarkieversorgungseinheit 140 bzw. das Steuergerät 105 defekt (die Rückhaltesystemnachbildung ist ein Werksequipment und damit immer als Fehlerfrei zu betrachten) .
Weiterhin führt der Mikrocontroller µC 155 (optional 255) unmittelbar mit Stop des HW-Automaten eine weitere ADC-Spannungsmessung mit Hilfe der zentralen System-ASIC ADC Meßeinrichtung 240, Teilfunktion 241 der Energiereserve durch und ermittelt den Wert VERA → [VERΔ_plant=VER_Start-VER_Stop]. VER_Start = VER im Zeitpunkt 305 (to), VER_Stop VER im Zeitpunkt to+aut_plant_limit. Danach plausibilisiert der Mikrocontroller µC den VERΔ-Wert durch VERΔ_min < VERΔ_Plant < VERΔ_max entsprechend bekannter Grenzwerte. Ist diese Plausibilisierung negativ, so ist das Steuergerät 105 defekt.
Ist im vorhergehenden kein Fehler aufgetreten, so speichert der Mikrocontroller µc den ermittelten Wert „aut_time_plant“ als individuelle Kenngröße des Rückhaltesystems , des Steuergerät 105 bzw. der Autarkieversorgungseinheit 140 in einem entsprechenden Speicher 165 / optional 265 ab, der günstigerweise nicht-flüchtig sein sollte (NVM= non-volatile-memory = nicht-flüchtiger Speicher). Damit ist die werkseitige Kalibrierung des Autarkie-Test im „Plant“ beendet. Der Kalibrierungswert eliminiert die Grundtoleranzen des Rückhaltesystems bzw. des Steuergeräts 105 hinsichtlich des Autarkie-Stromverbrauchs, der Nominalkapazität des Energiespeichers ER bzw. 145, der typ. Mess-Toleranz der ER Kapazität, der Energiespeicher-Überwachungsschwelle VERth und dem Wirkungsgrad der Autarkie-Spannungsversorgung.
Im Werksmodus der Kalibrierung des Rückhaltesystems, bzw.des Steuergeräts 105 bzw. oder der Autarkieversorgungseinheit 140 wird dann beispielsweise nach erfolgreicher Kalibrierung unmittelbar der Spannungsverlust VERA durch Laden wieder ausgeglichen. Mit erneutem Erreichen des finalen Ladezustandes der Energiereserve wird der initiale „Standard Autarkie Test Feld“ bereits im Plant durchgeführt. Dieser wird zukünftig beispielsweise im Feld bei jedem Startvorgang des Fahrzeuges zu Prüfzwecken durchgeführt.
4 zeigt ein Diagramm, in welchem der Ablauf eines Ausführungsbeispiels eines solchen fahrzeugseitigen Autarkietests dargestellt ist. Hierbei ist ebenfalls wieder auf der Abszisse die Zeit und auf der Ordinate eine am Energiespeicher 145 anliegende Spannung aufgetragen. Im ersten Bereich des Diagramms ist entsprechend der Darstellung aus der 3 ein laden des Energiespeichers 145 durch den ansteigenden Grafen 300 dargestellt. Zum Zeitpunkt 305, wenn der Energiespeicher 145 auf die Nennspannung aufgeladen ist und damit die Nennenergie speichert, wird der Aufwärtswandler 200 aus 2 gestoppt und damit die Energiezuführung aus dem Energieversorgungsnetz 130 unterbrochen ohne das eine schaltungsmäßige Trennung notwendig wäre, allein aufgrund der Tatsache, dass die Energiespeicher Spannung VERo » als UB (VZP) ist, sodass nun der Autarietest im Zeitintevall 410 stattfinden kann. Der Ablauf dieses Zeitintervalls 410 kann wiederum durch die periodische Abtastung und Rücklieferung des Wertes b (=busy) oder bei positiver Überprüfung der Funktionsfähigkeit durch Rücklieferung des Wertes p (=passed) überwacht werden. In dem Diagram aus 4 ist ferner erkennbar, dass die Spannung am Energiespeicher 145 nicht unter die Schwellenspannung VERth absinkt, die nun beispielsweise für das zu überprüfende Rückhaltesystem, bzw. Steuergerät, bzw. die zu überprüfende Autarkieversorgungseinheit individuell oder fix im HW-Automaten 210/-211 vorgegeben ist, oder aus einem Speicher 165/(265) ausgelesen und für die Funktionsüberprüfung verwendet werden kann.
Der Mikrocontroller µC bestimmt somit beispielsweise unter Kenntnis weiterer Toleranzen die im Feld den Autarkie-Test beeinflussen können aus der gespeicherten Kenngröße „aut_time_plant“ die Größe „aut_time_field_imit“, wobei beispielsweise gilt:

aut_time_field_limit=aut_time_plant* AFT; AFT=Autarkie field tolerance factor (< 1).

Die Größe „aut_time_field_limit“-Zeit übergibt der Mikrocontroler µc 155 dem HW-Automaten 210/-211 zur Durchführung des Autarkie-Tests und startet diesen somit. Der Autarkie-Test „Field“, also der fahrzeugseitige Autarkie-Test wird erfolgreich bestanden, wenn der Automat 210/-211 nach Ablauf der „aut_time_field_limit“ Zeitvorgabe eine Energie-Reserve-Spannung aufweist, die größer als die Automaten Prüfgrenze VERth ist. Der HW-Automat 210/-211 gibt in diesem Falle den Status p (=„passed“) zurück. Damit ist nachgewiesen, dass das Steuergerät 105 in einem Autarkiefalle ausreichend lang aus der Energiereserve 145 versorgt werden kann. Aufgrund der Werkskalibrierung erkennt diese Überwachung worst-case Abweichungen von ca. 50% der notwendigen Autarkie-Fähigkeit als Fehler. (bei Annahme eines verbleibenden Temperatur und Alterungs Einflusses auf den Energiespeicher von Faktor 0.7 einem Anwaschsen der Versorgungsströme um Faktor 1.1 über Temperatur und einer Test-Toleranzen (VERth Schwellenreduktion) um Faktor 0.8 über Temperatur. Ohne Kalibrierung erst bei Abweichungen von ca 87% (bei Annahme eines nominal, Temperatur und Alterungs Einflusses auf den Energiespeicher von Faktor 0.5, einem Anwaschsen der Versorgungsströme um Faktor 2 nominal und über Temperatur und einer Test-Toleranz (VERth Schwellenreduktion) um Faktor 0.5 nominal und über Temperatur
Die Überwachungsgüte kann durch die Berücksichtigung von Werten einer Temperaturmessung weiter erhöht werden. Dies geschieht indem beispielsweise die Größe „aut_time_field_limit“ in Abhängigkeit der Steuergeräte-Innentemperatur (oder der Außentemperatur) vorgegeben wird. Hierzu kann der Temperatursensor eines Steuergeräte 105 internen Sensors 121 z.B. Drehratensensor als Information 116 oder der Temperatursensor des System-ASICs 250 im Airbag Steuergerät 105 zur Lieferung eines die Temperatur repräsentierenden Signals benutzt werden. Dabei sollte die Eigenerwärmung der Komponenten von Steuergerät 105 bzw. Autarkieversorgungseinheit 140 beachtet werden bzw. über Kenntnis der Powerdissipation und des Wärmewiderstandes herausgerechnet werden können. Die Rückhaltesystem Außentemperatur bzw. die Außentemperatur des Steuergeräts 105 steht in vielen Fahrzeugen als abrufbare Größe 118 auf vorhandenen Bussystemen 170 (LIN/CAN/FlexRay..) und oder als Information 115 von PSI_interfacen zu externen Sensoren 120 bereit, sodass für die Erfassung dieser Temperatur kein weiterer Sensor verbaut werden soll. Damit lässt sich ein weiterer Gewinn von (20...30)%-Überwachungstoleranz erreichen. Aufgrund der Werkskalibrierung und temperaturabhängiger Feld-Grenzen erkennt diese Überwachung beispielsweise worst-case-Abweichungen von ca. 20 ...30 % der notwendigen Autarkie-Fähigkeit als Fehler.
Zusammenfassend kann zu dem hier vorgestellten Ansatz ausgeführt werden, dass der Autarkie-Test am Ende des Start-up des Steuergerätes überprüft, ob die Versorgung des Rückhaltesystems bzw. des Steuergerätes 105 aus der Energiereserve möglich ist. Dies ist in allen Airbag-Systemen mit vollständiger Versorgung aus der Ausgangsspannung eines Aufwärtswandlers mit Vup > UB_Fahrzeug besonders sicher möglich unter Verwendung einer redundanten passiver Pufferung von VUP durch den Energiespeicher über D3. Daduch benötigt man keine (High Speed) Erkennung der Unterversorgung aus dem Energieversorgungsnetz 130 des Fahrzeugs zum Zwecke welche die Energiereserve bzw. den Energiespeicher 145 extrem schnell aktiv zur Autarkieversorgung zuschaltet , um eine fatale Versorgungsunterbrechung des Rückhaltesystems bzw. des Steuergerätes 105 zu verhindern.
Hierzu wird beispielsweise die Energiezufuhr zur Versorgung eines Airbag-Steuergerätes 105 aus dem Energieversorgungsnetz 130 des Fahrzeugs durch Abschalten des Aufwärtswandlers 200 gestoppt. Ist die Autarkie-Versorgung sichergestellt, so übernimmt die Energiereserve bzw. der Energeispeicher 145 ohne Schaltvorgang durch eine wired-or-Verknüpfung D2 zwischen VL1H und VUP und D3 VER und VUP die Versorgung des Steuergerätes 105 an VUP in Richtung Abwärtswandler.
Genauer gesagt wird die eigentliche Versorgung durch den invers Betrieb des Chargers 215 aktiv ohne Dioden-Schwellspannungs- aber Shunt Rs2 Verlust ermöglicht, falls notwendig redundant durch seine Body-Diode des üblicherweise verwendeten MOSFETS als Charger Transistor sichergestellt oder wie gesagt, zusätlich redundant durch eine leistungsfähige Diode D3 außerhalb/innerhalb des System-ASICS 180 die nicht leckt (wichtig für Integrierte Schaltkreise).
Es darf dabei zu keinem sprunghaften Einbruch der Vup-Spannung als interne Versorgungsspannung des Steuergerätes 105 kommen, wodurch die Integrität der wired-or- bzw. der inversen Charger-Anbindung der Energiereserve bzw. des Energiespeichers ER bzw. 145 geprüft ist. Bricht die Vup-Spannung im Versorgungsfalle aus der Energiereserve ER bzw. dem Energiespeciher 145 zu stark ein, wird der Autarkie-Test durch den HW-Automaten 210/-211 (oder falls gegeben durch µc 255/265 und scneller ADC VUP Messung 240/-241 abgebrochen und der Aufwärtswandler 200 wieder aktiviert, wodurch die Versorgung des Rückhaltesystems bzw. Steuergerätes 105 im Fehlerfalle auch durch den Autarkie-Test selbst nicht unterbrochen wird.
Selbst wenn der Autarkie-Test in einem weiteren Fehlerbild nicht abgebrochen werden kann, übernimmt das Bordnetz die Versorgung des Rückhaltesystems, bzw. Steuergerätes 105 sobald VUP etwas kleiner wird wie die Bordnetzspannung. Auch dieses Fehlerbild kann detektiert werden, da keine Versorgungsunterbrechung der Verarbeitungseinheit 125 eintritt.
In der Regel erfolgt dieser Ablauf durch einen von der SW(Software)-getriggerten HW-Automaten 210/-211 um die schnellen Reaktionsvorgänge sicher zu ermöglichen (auch eine 100%-ige Mikrocontroller µC-SW-Implementierung ist möglich, falls ausreichend schnell). Hat die Energiereserve ER die Versorgung des Rückhaltesystems bzw. des Steuergerätes 105 ordnungsgemäß übernommen, sinkt die Energiereservespannung VER von einem Startwert z. B. VERo=33V langsam ab.
Durch Überwachung der Energiereservespannung VER mit einer KomparatorSchwelle VERth etwas unterhalb von 33V z.B. VERth = 32V lässt sich überprüfen (ohne / sehr gering gegenenfalls die Performance eines realen Crash im Testfenster zu beeinflussen) , ob bei einer geeigneten Autarkie-Test-ZeitVorgabe, dem erwarteten Strombedarf des Rückhaltesystems, bzw des Steuergerätes 105 und der gespeicherten Energie, der Spannungsabbau am Energie-Reservespeicher ER bzw. dem Energiespeicher 145 geringer ist als VERo-VERth. Ist dies der Fall, so ist der Autarkie-Test erfolgreich bestanden und der Aufwärtswandler 200 wird wieder aktiviert, wodurch die Versorgungsenergie für das hier beispielhaft vorgestellte Airbag-System wieder dem Energieversorgungsnetz 130 des Fahrzeugs und nicht dem Energiereserve-Speicher 145 entnommen wird.
Damit der vorhergehend beschriebene Autarkie-Test (ebenso auch anders angelegte Autarkie-Test-Abläufe) an entscheidender Genauigkeit gewinnt sind folgende Verbesserungen hilfreich:

Im Herstellungsprozess, vornehmlich bei der Endprüfung desSteuergerätes 105 (bei Raum-Temperatur) angeschlossen an eine Rückhaltesystemnachbildung (Werksequipment) wird die in der Initialisierungsphase durch Eigendiagnose und auf Plausibilität geprüfte Kapazität der Energiereserve (Energiespeicher) 145 als Eingangsgröße benutzt.

Beispiel Messung der Energiespeicherkapazität in einem Steuergerät 105 mit einem HW-Automaten Teilfunktion Kapazitätstest 212 (bekannter Vorgang)

CERn=10mF; [Nominal Toleranz Kapazität z. B. Faktor 1...1.3];
[Temperaturtoleranz]
Kapazität z. B. Faktor 0.85....1.25]; [DC Toleranz-Kapazität z. B. Faktor 1....1.3];
[Alterung Kapazität]
z. B. Faktor 0.85 ....1]; [Nominaltoleranz Kapazitäts-Test Meßstrom z. B. Faktor 0.9 .... 1.1]; [Temperaturtoleranz]
Kapazitäts-Test Messstrom z. B. Faktor 0.95...1.05]; [Nominal Toleranz
Kapazitäts-Test Differenz-Messspannung z. B. [Faktor 0.99...1.01];
[Temperaturtoleranz Kapazitäts-Test Differenz-Messspannung z. B. Faktor 0.98...1.02].
Feld Toleranz der Energiereserve-Kapazität:
CER_field_min=CERn*1.0*0.85*1*0.85*(1/1.1)*(1/1.05)*(1/1.01)*(1/1.02) = CERn*0.607
CER_field_max= CERn*1.3*1.25*1.3*1*(1/0.9)*(1/0.95)*(1/0.99)*(1/0.98) = CERn*2.55
n stellt in diesem Zusammenhang den Nominalwert Index der jeweiligen zu untersuchenden Kapazität des Energiespeicher 145 dar.

Im Werk (Plant) (werkseitiger Prüfmodus) lässt sich die zu berücksichtigende Toleranz der beispielhaften Energiereserve-Kapazität ER stark reduzieren. Die Plausibilitätsprüfung der gemessenen Energiereserve-Kapazität ER in der Steuergeräteproduktion (Endprüfung) (werkseitiger Prüfmodus) sollte beispielsweise folgenden Bedingungen genügen:

CER_plant_min = CERn*1*1*1*1*(1/1.1)*1*(1/1.01) = CERn*0.9
CER_plant_max =CERn*1.3*1*1.3*1*(1/0.9)*1*(1/0.99)= CERn*1.9
(Temperaturtoleranz und Alterungstoleranz müssen in der Plant Endprüfung nicht berücksichtigt werden)

Auch kann eine Plausibilisierung der werkseitig erfassten Energiespeicherfähigkeit des Energiespeicher 145 (Plant-Kapazität) erfolgen. Beispielsweise sollte die Im Werk erfasste Kapazität CER_plant des Energiespeichers 145 dem folgenden Zusammenhang genügen sofern die oben genannten Beispielhaften Toleranzen des Steuergerätes 105 im Plant zutreffen: CERn*0.9 < CER_plant < CERn*1.9
Wird nicht das Steuergerät 105 zum messen von CER_plant benutzt sondern ein hochpräzises Plant Meßequipment, lassen sich die Plausibilisierungstoleranzen für CER_plant weiter eineingen
z.B. 0.98*CERn < CER_plant < CERn*1.725
Genügt die erfasste Kapazität der vorstehend genannten Bedingung nicht, ist die Kapazität CER_plant nicht plausibel, sodass das Steuergerät 105 als defekt betrachtet werden kann.
Ist die Plausibilisierung erfolgreich wird die durch das Steuergerät 105 selbst gemessene Energiereserve-Kapazität ER bzw. 145 in der Plant-Endprüfung (RT=Raumtemperatur) des Steuergerätes 105 für die Fehlergrenzen-Ermittlung des Autarkie-Tests im Feld (fahrzeugseitiger Prüfmodus) benutzt. Dadurch reduziert sich die zu berücksichtigende Toleranz der Energiereserven-Kapazität ER bzw. 145 für den Autarkie-Test (field) von
CERn*0.607 < CER_field < CERn*2.55 [Faktor 4] auf
CERplant*0.85*0.85*(1/1.05)*(1/1.02) < CER_field <
CERplant*1.25*(1/0.95)*(1/0.98)
➙ CERplant *0.674 < CER_field < CERplant *1.34 [Faktor 2] !!
Wird CER_plant mit einem hochpräzisen Meßequipment gemessen
reduziert sich die zu berücksichtigende Toleranz der Energiereserve Kapazität ER bzw. 145 für den Autarkie-Test (field) weiter auf
CERplant*0.85*0.85*(1/1.02) < CER_field < CERplant*1.25*(1/0.98)
➙ CERplant * 0.688 < CER_field < CERplant * 1.275 [Faktor 1.85]
Zur späteren Kontrolle ist es ebenfalls sinnvoll den Wert CER_plant in einem NVM 165 / 265 (non-volatile memory = nicht-flüchtigen Speicher) zu speichern.
Der Autarkie-Testablauf in der Plant-Endprüfung (werkseitiger Prüfmodus) des beispielhaft verwendeten Rückhaltesystems (Nachbildung), bzw. Airbag-Steuergerätes 105 wird gegenüber der Feldeinstellung (Benutzung im Fahrzeug 100) dadurch ergänzt indem die Zeitdauer der Autarkie (aut time_plant_limit) dem HW-Automaten 210 beispielsweise so vorgegeben wird, damit eine grob tolerierte Komparatorschwelle z.B. VERth durch Versorgung des Steuergerätes 105 aus Energie-Reserve ER bzw. Energiespeicher 145 opt. 146 während des Tests unter Berücksichtigung aller Toleranzen erreicht wird.
Ist die vorgebbare Zeitdauer des HW-Automaten 210/-211 limitiert und reicht für eine bestimmte Geräteauslegung nicht aus, um sicher die Komparatorschwelle VERth zu erreichen, so ist ein zweiter oder mehrmaliger Start des HW-Automaten 210/-211 „Autarkie-Test-Plant“ (werkseitiger Prüfmodus) unter geeigneter Aufsplittung der „aut_ime_plant_limit“-Zeit durchzuführen.
Ergänzend wird zur Plausibilisierung der VERth-Komparatorschwelle eine unabhängige ADC-Messung der ER-Spannung vor Start des HW-Automaten 210 -211„Autarkie-Test-Plant‟ (werkseitiger Prüfmodus) und nach finalem Ende des HW-Automaten 210/-211 „Autarkie-Test-Plant“ beim Unterschreiten der VERth-Schwelle der Energiereserve Spannung durchgeführt, um VERo - VERth = VERΔ_plant zu plausibilisieren. Der zulässige Wertebereich darf dabei z. B. nicht außerhalb spezieller Grenzen (z.B. im Datenblatt der Autarkieversorgungseinheit 140 bzw. System-ASICs spezifiziert)
VERΔ_plant_min < VERΔ_plant < VERΔ_plant_max liegen.
Eine Plausibilisierung der ER-Spannungsdifferen kann z. B. bei der Erfüllung der folgenden Bedingung erreicht sein: 0.4V < VERΔ_plant < 1.6V
Ist die gemessene Spannungsdifferenz VERΔ_plant plausibel, so ist die final ermittelte Autarkie-Zeit im Plant Autarkie-Test =aut_time_plant die notwendig war, um die ER-Spannung bis zur Schwelle VERth zu reduzieren eine individuelle Kenngröße des Steuergerätes 105 und wird im NVM 165 / optional 265 gespeichert. Der Autarkie-Test „Plant“ (werkseitiger Prüfmodus) wird nur einmal in der Endprüfung durchgeführt. Ist das Ergebnis nicht plausibel so ist das Steuergerät 105 defekt.
Diese Kalibrierung beseitigt im Wesentlichen alle Nominaltoleranzen der Energiereserve-Kapazität ER, bzw. des Energiespeichers (145, ER / opt. 146), , des Rückhaltesystem bzw. des Steuergerätes 105 -, des Autarkie-Stromverbrauches des Rückhaltesystems ,bzw. Steuergerätes 105, , der VER-Komparatorschwelle für die Autarkieentladungserkennung (VERth)des System-ASICs bzw. Autarkieversorgungseinheit 140, bzw. des Steuergerätes 105., falls benutzt der ADC Tolreranz 240 / -241, falls relevant der Timer-Zeit Toleranzen des HW-Automaten Autarkie-Test 210 / -211, bzw. anderer genutzter Designs wie µC-Timer+SW
Nach dem Plant-Test bzw. im Gebrauch des Steuergerätes 105 erfolgt der normale Autarkie-Test durch ein- oder mehrmalige Aufrufe des HW-Automaten 210 / -211 im Modus „Autarkie-Test_Field“ (fahrzeugseitiger Prüfmodus) mit Übergabe der Autarkie oder Teil Autarkie-Zeiten die unter allen Toleranzen über das Steuergeräteleben im Fahrzeug keine Reduktion der Energiereservespannung unter VERth ermöglichen.
Dabei sind im wesentlichen noch folgende Feld-Toleranzen (Faktoren) für Temperatur und Alterung zu berücksichtigen welche ein Unterschreiten von VERth verstärken
VERth Temperatur_Toleranz z. B. 0.80
ECU_Stromverbrauch/Wirkungsgrad_Temperatur_Toleranz z. B. 1/1.20
ER_Kapazität_Temperatur_Toleranz z. B. 0.85
ER_Kapazität_Alterung_Toleranz z. B. 0.85
Spannungsmess_Temperatur_Toleranz z. B. 1/1.02
Meßzeit_Temperatur_Toleranz z.B. 1/1.01
Damit ergibt sch ein zu berücksichtigender Gesamtfaktor genannt Autarkie-Field-Toleranz-Faktor (AFT) z. B. 0.47
Die Autarkie Test Zeit aut_time _field limit = aut_time _field limit1 + aut_time_field_limit2 .... wird aus der gespeicherten individuellen Steuergeräte-Kenngröße (d. h. durch die im werkseitigen Prüfmodus ermittelte Größe aut_time_plant) durch Berücksichtigung der einseitigen totalen Toleranz gebildet
aut_time_field_limit = aut_time_plant*AFT
Unterschreitet die ER-Spannung in einem Feld-Autarkie-Test die VERth-Schwelle bereits nach einer Zeit die mit Hilfe der verbliebenen Feld-Toleranz (AFT) ermittelte wurde, liegt ein Steuergerätefehler in der Eigenversorgung vor, der beispielsweise im Crash-Fall zu nicht ausreichender Energiebereitstellung führen kann.
Optional kann der Autarkie-Test beidseitig durchgeführt werden, indem der HW-Automat 210 /-211„Autarkie-Test-Feld‟ (fahrzeugseitiger Prüfmodus) nach dem Testfall zu geringer Autarkie-Zeit erneut ein oder mehrmalig aufgerufen wird bis die VER-Spannung die Schwelle VERth unterschreitet und diese Zeit innerhalb zulässiger Grenzen liegt. Oder es wird mit dem Testfall auf zu geringe Autarkie-Zeit auch die tatsächliche Spannungsdifferenz der Energiereserve von Start bis Stop ermittelt und diese auf zu geringe Abnahme untersucht (aüßerst geringer Energiebedarf deutet auf fehlende Funktionalität hin).
Optional kann die Toleranz des Autarkie-Tests weiter reduziert werden falls die aktuelle ECU-Innentemperatur oder Außentemperatur herangezogen wird, um eine temperaturabhängige Fehlergrenze aut_time_field_limit(θ) vorzugeben.
5 zeigt ein Ablaufdiagramm eines Ausführungsbeispiels eines Verfahrens 500 zum Überprüfen einer Funktionsfähigkeit einer Autarkieversorgungseinheit für ein Rückhaltesystem eines Fahrzeugs, bzw. Steuergerät. Das Verfahren 500 umfasst einen Schritt 510 des Entkoppelns eines Energieversorgungsnetzes 130 bzw. dem unterbrechen der Energiezufuhr aus diesem Netz zur Autarkieversorgungseinheit 140 mit dem Energiespeicher 145 des Rückhaltesystems, bzw. des Steuergerätes 105. Einen Schritt 515 zum Ankoppeln (Design Ziel passiv/ aktiv Redundanz) des Energiespeichers der Autarkieversogungseinheit und zur Übernahme der Versorgung des Rückhaltesystems, bzw. des Steuergerätes 105. Dieser Schritt 515 kann entfallen durch Kombination der Schritte 510 und 515 zu einem gemeinsamen Umschalteschritt 510 bei dem die Energiezufuhr an das Rückhaltesystem 190, bzw. Steuergerät 105 durch die Autarkieversorgungseinheit 140 vom Energieversorgungsnetz 130 auf die Entnahme aus dem Energiespeicher (145, ER oder opt. 146) umgeschalten wird.
Einen permanent aktiven Schritt 516 zum Überwachen mindestens der Autarkieversorgungsspannung VUP. Ist diese Spannung überhalb eines unteren Grenzwertes z.B. 12V kann der Autarkie-Test fortgesetzt werden. Ist diese Spannung kleiner wie dieser untere Grenzwert, wird der Autarkietest abgebrochen und im Schritt 517 die Schritte 515, 510 rückgängig gemacht,der Energiespeicher wieder geladen und eine Fehlermeldung erzeugt. Ist der Schritt 516 erfolgreich wird optional in einem Schritt 518 (516 aktiv) geprüft ob sich das Steuergerät 105 im Werksmode (WM = Werksmodus; kWM = kein Werksmodus) befindet oder nicht. Die Bezeichnung „opt.“ bedeutet in den beigefügten Figuren optional, wogegen die Bezeichnungen „Ab“ Abbruch, „FM“ Fehlermeldung, „ABM“ Abbruchmeldung, „bkb“ bereits kalibriert und „Erg“ Ergebnis bedeuten,
Ist es im Werksmode kann optional ein Kalibrierungsschritt 540 (516 aktiv) ausgeführt werden falls noch nicht kalibriert. In diesem Schritt wird durch Übergabe und oder Selbstemittlung einer max. notwendigen Autarkie-Zeit genannt aut_plant_limit, die alle Toleranzen des Rückhaltesystems (Werksnachbildung), bzw. des Steuergerätes 105 in Bezug auf die mögliche Autarkie-Zeit beinhalten, dass Abnehmen der Enegiespeicherspannung beobachtet und die Zeit gemessen, die notwendig ist, um eine Schwellenspannung VERth des Energiespeichers zu erreichen. Ist diese Zeit größer als die max. notwendige Zeit aut_plant_limit wird ein Fehler ausgegeben.
Ist diese Zeit genannt aut_plant < aut_plant_limit wird diese in einem NVM Speicher 165 / optinal 265 für folgende Autarkie-Tests zu Kalibrierungszwecken gespeichert.
Danach wird mit Schritt 520 (516 aktiv)dem normaler Feld Autarkie Test Schritt fortgestzt. Hier erfolgt das Erfassen einer Spannung des Energiespeichers innerhalb eines vorbestimmten (aus Systemkenngrößen und Toleranzen (nominal, Temperatur, Alterung) aktuell ermittelten, oder als Systemparameter vordefiniert oder aus einer gespeicherten Kalibrierungsgröße aut_plant und Feldtoleranzen (Temperatur, Alterung) aktuell ermittelten Autarkiezeitintervalls bis die maximal bis zum Absinken der Spannung des Energiespeichers auf eine vorbestimmte Schwellenspannung .
Optional zusätzlich durch Erfassen der Zeitdauer bis eine vorbestimmte Schwellenspannung erreicht ist.
Weiterhin umfasst das Verfahren einen Schritt 530 (516 aktiv) des Detektierens der Funktionsfähigkeit der Autarkieversorgungseinheit 140 des Steuergerätes 105 im Rückhaltesystem des Fahrzeugs , wenn die innerhalb des Autarkiezeitintervalls überwachte Spannung des Energiespeichers 145 eine Detektionsschwellenspannung nicht unterschreitet (zu hoher System/Steuergeräte Stromverbrauch !) und/oder wenn die erfasste Zeitdauer zum Erreichen der Detektionsschwelle eine maximale Detektionsschwellendauer nicht überschreitet (zu niedriger System/Steuergeräte Stromverbrauch !) .
Die maximale Detektionschwellendauer kann ebenfalls aus Systemkenngrößen und Toleranzen (nominal, Temperatur, Alterung) aktuell ermittelt, oder als Systemparameter vordefiniert sein, oder aus einer gespeicherten Kalibrierungsgröße aut_plant und den Feldtoleranzen (Temperatur, Alterung) aktuell ermittelten werden.
Schließlich wird im Schritt 550 die Schritte 510, 515 rückgängig gemacht und die Energiereserve / Speicher (145,ER /opt.146) final geladen.
6 zeigt ein Ablaufdiagramm nach 5 mit den zugeordneten Funktionsblöcken in der Form eines Steuergeräts oder einer Vorrichtung.
Umfasst ein Ausführungsbeispiel eine „und/oder“-Verknüpfung zwischen einem ersten Merkmal und einem zweiten Merkmal, so ist dies so zu lesen, dass das Ausführungsbeispiel gemäß einer Ausführungsform sowohl das erste Merkmal als auch das zweite Merkmal und gemäß einer weiteren Ausführungsform entweder nur das erste Merkmal oder nur das zweite Merkmal aufweist.

Claims

Verfahren (500) zum Überprüfen einer Funktionsfähigkeit einer Autarkieversorgungseinheit (140) eines Steuergerätes (105) für mindestens ein Personenschutzmittel (110) für ein Fahrzeug (100), wobei das Verfahren (500) die folgenden Schritte aufweist: - Entkoppeln (510) eines Energieversorgungsnetzes (130) oder Unterbrechen der Energiezufuhr aus diesem Energieversorgungsnetz (130) zu einer Autarkieversorgungseinheit (140) einschließlich des zugeordneten Energiespeichers (145, ER) und/oder eines Rückhaltesystems (190) und/oder des Steuergerätes (105); - Erfassen (520) einer, insbesondere abnehmenden, Spannung des Energiespeichers (145, ER,146) innerhalb eines aus Systemparametern und Kenngrößen und/oder aus zumindest einem individuell gespeicherten Kennwerte einer vorbestimmten Werkskalibrierung und/oder aus zumindest einem Systemparameter und/oder einer Kenngröße und/oder aus zumindest einem induviduell gespeicherten Kennwerte einer Werkskalibrierung, aktualisiert für jeden Autarkie-Test mit zur aktuellen Temperatur des Energiespeichers (145,ER, 146) und/oder zumindest eines temperaturabhängigen Energieverbrauchers ermittelten Autarkiezeitintervall (aut_time) und/oder Erfassen (520) einer Zeitdauer bis die Spannung des Energiespeichers (145, ER; 146) auf eine Schwellspannung abgesunken ist, die (VERth) insbesondere vorbestimmt ist aus zumindest einem Systemparameter und einer Kenngröße und/oder aus zumindest einem individuell gespeicherten Kennwerte einer Werkskalibrierung und/oder aus zumindest einem Systemparameter und einer Kenngröße und/oder aus zumindest einem individuell gespeicherten Kennwerte einer Werkskalibrierung vorbestimmt wird, aktualisiert für jeden Autarkie-Test mit zur aktuellen Temperatur des Energiespeichers (145, ER,146) und/oder zumindest eines temperaturabhängigen Energieverbrauchers. Detektieren (530) der Funktionsfähigkeit der Autarkieversorgungseinheit (140) des Steuergerätes (105) zur Versorgung des Rückhaltesystems (190) mit dem mindestens einen Personenschutzmittel (110), wenn die innerhalb des Autarkiezeitintervalls (aut_time, ) überwachte Spannung des Energiespeichers (145, ER / opt.146) eine Detektionsschwellenspannung (VERth) nicht unterschreitet und/oder wenn die erfasste Zeitdauer zum Erreichen einer definierten Detektionsschwelle, eine maximale Detektionsschwellendauer nicht überschreitet oder allgemein nicht in einem Erwartungsintervall liegt.
Verfahren (500) gemäß Anspruch 1, gekennzeichnet durch einen Schritt (518) einer Werksmode Prüfung zum Erkennen, dass sich das Steuergerät (105) im Herstellungswerk an einem bestimmten Prüftor befindet anhand von gespeicherten Werkskennungen und/oder Kommunizieren mit einer Werksprüfeinrichtung und/oder Kommunizieren mit einer Rückhaltesystemnachbildung, ob das Steuergerät (105) fehlerfrei und bisher nicht bezüglich Autarkie kalibriert wurde, worauf ein Kalibrierschritt (540) folgt oder im nicht zutreffenden Fall ein Sprung zu einem Schritt des Erfassens (520) zur Überprüfung einer Feld-Autarkie erfolgt.
Verfahren (500) gemäß einem der vorangegangenen Ansprüche, gekennzeichnet durch einen Schritt (540) einer Werkskalibrierung eines Autarkie-Tests, wobei durch Vorbestimmung aus zumindest einem Systemparameter und einer Kenngröße unter Benutzung maximaler Toleranzen, der Autarkie-Test für eine maximal notwendige Autarkie-Zeit (aut_plant_limit) angewandt und die Abnahme einer Spannung (VER) im Energiespeicher (145, ER, 146) bis zur einer Schwelle (VERth) beobachtet und eine Werkskalibrierung-Zeitdauer (aut_time_plant) ermittelt wird und und diese als individueller Kennwert des Rückhaltesystems (190), und/oder des Steuergerätes (105) in einem nicht-flüchtigen Speicher (NVM, 165, 265) abgespeichert wird, insbesondere wobei der Schritt (540) der Werkskalibrierung dann als erfolgreich interpretiert wird, sofern die Werkskalibrierung-Zeitdauer (aut_time_plant) kleiner als eine maximale Werkskalibrierung-Zeitdauer (aut time_plant_limit) ist oder die Werkskalibrierung-Zeitdauer größer als eine minimale Werkskalibrierung-Zeitdauer(aut_plant_limit_min) und kleiner als eine maximale Werkskalibrierung-Zeitdauer ist und/oder eine Zeit vorgegben wird und die Abnahme einer Kenngröße des Energiespeichers (145, ER, 146), insbesondere eine Spannung (VER) am Energiespeicher (145, ER, 146) beobachtet werden und einer Änderung einer Spannung (VERΔ_plant), insbesondere nach der Vorgabezeit als individueller Kennwert des Rückhaltesystems (190) und/oder des Steuergerätes (105) in einem nicht-flüchtigen Speicher (NVM, 165;265) abgespeichert werden, wobei der Schritt (540) der Werkskalibrierung dann als erfolgreich betrachte wird, sofern die Änderung einer Spannung (VERΔ_plant) innerhalb vorbestimmter Grenzwerten (VERA_plant_min; VERΔ_plant_max liegt (VERΔ_plant_min < VERΔ_plant < VERΔ_plant_max) und wobei insbesondere ein Abspeichern der individuellen Kennwerte (aut_plant, VERΔ_plant) bei erfolgreicher Plausibilisierung erfolgt.
Verfahren (500) gemäß einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass der Schritt (540) der Werkskalibrierung unter Zuhilfenahme eines Hardware- Automaten (210, 211) erfolgt und dieser die Vorgabe einer maximalen Werkskalibrierung-Zeitdauer (aut time_plant_limit) durch mehrfach Aufrufe mit Teilzeitabschnitten durch ein System-Steuergerät (µC,155,. 265) asugeführt wird.
Verfahren (500) gemäß einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass ein Abspeichern individueller Kennwerte im Schritt (540) der Werkskalibrierung des Autarkie-Tests (aut_plant, VERΔ_plant ..) dann ausgeführt wird, wenn eine aktuell ermittelte Kapazität des Energiespeichers (145, ER, 146) durch das Steuergerät (105) selbst und/oder durch eine Messeinheit in einem Herstellungswerk des Steuergerätes (105) innerhalb eines Plausibilisierungskapazitätsintervalls erfolgt und/oder wenn die Spannung des Energeispeichers (145, ER,.146) durch das Steuergerät (105) selbst und/oder durch die Messeinheit in dem Herstellungswerk des Steuergerätes (105) innerhalb eines Plausibilisierungsspannungssintervalls liegt.
Verfahren (500) gemäß einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass im Schritt (540) der Werkskalibrierung des Autarkie-Tests, eine Grenzwertvorgabe für die maximalen Werkskalibrierung-Zeitdauer (aut time_plant_limit,. aut_time_plant_min / max) und/oder Differenzspannungen (VERΔ_plant_min / max) und/oder Schwellspannungen (VERth_min / VERth_max) unter Kenntnis des aktuell im Steuergerät (105) vorliegenden Kapazitätsmesswertes des Energiespeichers (145 / 146) erfolgt.
Verfahren (500) gemäß einem der vorangegangenen Ansprüche , dadurch gekennzeichnet, dass im Schritt (540) Werkskalibrierung Autarkie-Test, der aktuell vorliegende und verwendete Kapazitätsmesswert des Energiespeichers (145 opt. 146) im NVM 165 und oder 265 gespeichert wird.
Verfahren (500) gemäß einem der vorangegangenen Ansprüche , gekennzeichnet, durch einen Schritt des Ankoppeln (515) des Energiespeichers (145, ER, 146) der Autarkieversogungseinheit (140) zur Übernahme der Versorgung des Rückhaltesystems (190) und/oder. des Steuergerätes (105).
Verfahren (500) gemäß einem der vorangegangenen Ansprüche , gekennzeichnet, durch einen Schritt des Kontinuierlichen Überwachens (516) mindestens einer die Autarkieversorgung repräsentierenden Größe ( VUP) bezüglich eines unteren Grenzwertes, mit Abbruch des Autarkie-Test bei Kriterienverletzung.
Verfahren (500) gemäß einem der vorangegangenen Ansprüche , gekennzeichnet, durch Restaurationsschritt (517) zum erneuten Laden des Energiespeichers (145, ER) und des Wiederversorgens des Rückhaltesystems (190) und/oder des Steuergerätes (105) aus dem Energieversorgungsnetz (130), insbesondere wobei eine Fehler-/ Abbruchsmeldung generiert wird.
Verfahren (500) gemäß einem der vorangegangenen Ansprüche , gekennzeichnet, durch einen Schritt (550) des Rücknehmens der Schritte des Entkoppelns (510) und/der des Ankoppelns (515) und eines Ladens des Energiespeichers (145,ER) auf eine vordefinierte Spannung (VERo,146, UB).
Verfahren (500) gemäß einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass im Schritt des Erfassens (520) ein für das Rückhaltesystem (190) und/oder das Steuergerät (105) individuell vorbestimmtes Autarkiezeitintervall und/oder eine für das Rückhaltesystem (190) und/oder das Steuergerät (105) individuell vorbestimmte Schwellenspannung aus einem Speicher (165, 265) ) des Steuergerätes (105), und/oder eines System-ASICs (180) und/oder der der Autarkieversorgungseinheit (140) verwendet wird.
Verfahren (500) gemäß einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass im Schritt des Erfassens (520) ein Autarkiezeitintervall und/oder Autarkiezeitintervallgrenzen und/oder eine Schwellenspannung und/oder Schwellenspannungsgrenzen verwendet werden, die von einem einer Temperatur im Rückhaltesystem (190), im Steuergerät (105) und/oder der Autarkieversorgungseinheit (140) und/oder von der Alterung abhängig sind, die insbesondere über Einwirkung eines Temperaturprofils mit Einsatzdauer auf den Energiespeichers (145, ER, 146) oder über zumindest einen anderen die Alterung repräsentierenden Parameter ermittelt wurde.
Verfahren (500) gemäß Anspruch 13, dadurch gekennzeichnet, dass im Schritt des Erfassens (520) ein die Temperatur des Energiespeiches (145, 146) repräsentierender Parameter verwendet wird.
Verfahren (500) gemäß einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass im Schritt des Detektierens (530) als Detektionsschwellenspannung eine Spannung verwendet wird, die der vorbestimmten Schwellenspannung (VERth) entspricht.
Verfahren (500) gemäß einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass die Schritte des Erfassens (520) und des Detektieren (530)s mehrfach ausgeführt werden, wenn im vorausgegangenen Schritt des Detektierens (530) die Funktionsfähigkeit der Autarkieversorgungseinheit (140) nicht festgestellt werden konnte, insbesondere wobei die wiederholt ausgeführten Schritte des Erfassens (520) und des Detektierens (530) bei dem vom Energieversorgungsnetz (130) entkoppelten Energiespeicher (145, ER, 146) ausgeführt werden oder nach einem Wiederaufladen des mit dem vom Energieversorgungsnetz (130) gekoppelten Energiespeicher (145, ER, 146) ausgeführt werden.
Verfahren (500) gemäß einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass der Schritt des Erfassens (520) und/oder der Schritt des Detektierens (530) und/oder Kalibrierens (540) in einer fest verdrahteten Schaltungseinheit ausgeführt werden und/oder in einer .programmierbaren / steuerbaren Schaltungseinheit, die eine bestimmte Abfolge von Befehlen abarbeitet und/oder deren Parameter durch Programmierung geändert werden können.
Verfahren (500) gemäß einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass zumindest der Schritt des Erfassens (520) der Zeitdauer bis die Spannung des Energiespeichers (145, ER, 146) auf einen vorbestimmte Schwellenspannung (VERth) abgesunken ist erstmalig in einem Werk ausgeführt wird, in dem das Steuergerät (105) hergestellt wurde/wird.
Verfahren (500) gemäß einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass zumindest der Schritt des Erfassens (520) der Spannung des Energiespeichers (145, ER) innerhalb eines vorbestimmten Autarkiezeitintervalls in einem Fahrzeug (100) ausgeführt wird.
Steuergerät (105), das eingerichtet ist, um die Schritte des Verfahrens (500) gemäß einem der vorangegangenen Ansprüche in entsprechenden Einheiten (610, 615, 616, 617, 618, 620, 630, 640, 650) auszuführen und/oder anzusteuern.
Computerprogramm, das dazu eingerichtet ist, die Schritte des Verfahrens (500) gemäß einem der vorangegangenen Ansprüche 1 bis 19 auszuführen und/oder anzusteuern.
Maschinenlesbares Speichermedium, auf dem das Computerprogramm nach Anspruch 21 gespeichert ist.