DE19517698C2 - Verfahren zur Festlegung der Autarkiezeit eines sicherheitskritischen Systems in einem Fahrzeug zur Personenbeförderung nach dem Abschalten einer Versorgungsspannungsquelle - Google Patents

Description

Die Erfindung betrifft ein Verfahren zur Festlegung der Autarkiezeit eines sicherheitskritischen Systems in einem Fahrzeug zur Personenbeförde­ rung, das während dieser Autarkiezeit von einer Hilfsspannungsquelle, die von einer Versorgungsspannungsquelle aufgeladen wird, in Auslöse­ bereitschaft gehalten werden kann.

Bei sicherheitskritischen Systemen, wie z. B. Gurtstraffer, Airbag, Aufprall­ sensor, Überrollsensor usw., die insbesondere in Kraftfahrzeugen vorge­ sehen werden, ist es erforderlich, daß die elektronische Schaltung, die die Betätigung von Fahrzeuginsassen schützenden Elementen steuert, bei einem Ausfall der normalen Versorgungsspannung noch für eine be­ stimmte vorgegebene Zeit, die sogenannte Autarkiezeit, betriebsbereit ist, um das System auch nach Ausfall der normalen Versorgungsspannung während einer geforderten Bereitschaftszeit in Auslösebereitschaft zu halten und anschließend, also nach Ablauf der Bereitschaftszeit, während einer Ausschaltzeit definiert in seinen Ruhestand zu versetzen.

Hierfür ist üblicherweise eine von der Versorgungsspannungsquelle auf­ ladbare Hilfsspannungsquelle, im allgemeinen ein Kondensator, zur Not­ stromversorgung vorgesehen. Diese Notstromversorgung ist beispiels­ weise dann erforderlich, wenn bei einem Aufprall des Fahrzeugs die Fahrzeugbatterie oder die Zuleitungen zu dieser beschädigt oder abge­ rissen wird.

Eine solche Hilfsspannungsquelle ist beispielsweise aus der DE 39 21 305 A1 bekannt, die bei einem Aufprall oder bei einem Absinken der Be­ triebsspannung die gespeicherte Energie zur Verfügung stellt. Um eine Vorhersage treffen zu können, ob die zur Verfügung gestellte Energie für den Auslösefall ausreicht, wird in regelmäßigen Zeitabständen ein Kapizi­ tätstest durchgeführt in dem ein als Hilfsspannungsquelle dienender Kondensator über ein steuerbares Schutzmittel an eine Schutzeinrich­ tung, wie Airbag oder Gurtstraffer angelegt wird, so daß die hierdurch erfolgende Energieentnahme überwachbar bzw. auswertbar wird.

Die Autarkiezeit, also die Zeit, während der die Notstromversorgung von der Hilfsspannungsquelle sicher gewährleistet werden kann, hängt dabei nicht nur von der Speicherkapazität der Hilfsspannungsquelle sondern auch von verschiedenen Faktoren ab, wie beispielsweise Toleranzen und Alterszustand der Hilfsspannungsquelle, aktuelle Temperatur, maximale Stromaufnahme der Fühler und Signalverarbeitungsschaltung des Sicher­ heitssystems, Wirkungsgrad des Schaltnetzteils, erhöhter Strombedarf zur Ansteuerung der Auslösezündstufenschalter im Auslösefall und der­ gleichen.

Die Hilfsspannungsquelle muß daher so dimensioniert werden, daß sie auch dann noch die geforderte Autarkiezeit sicherstellt, wenn alle die Autarkiezeit begrenzenden Parameter eine maximal zulässige Abwei­ chung vom jeweiligen Nennwert in Richtung einer Verringerung der Autarkiezeit aufweisen, also wenn beispielsweise ein als Hilfsspannungs­ quelle vorgesehener Kondensator nur die minimal zulässige Kapazität besitzt und die Schaltung eine maximal zulässige Stromaufnahme auf­ weist.

Im Normalfall weisen die einzelnen Parameter jedoch nicht alle die Autarkiezeit verringernde Abweichungen von ihren Sollwerten auf, son­ dern die Abweichungen werden sich größtenteils kompensieren oder wirken sogar in Richtung einer Vergrößerung der Autarkiezeit zusammen. Es ist daher leicht verständlich, daß das Sicherheitssystem im normalen Betriebszustand ein Vielfaches der geforderten Autarkiezeit bereitstellen kann.

Üblicherweise kann jedoch die tatsächliche Autarkiezeit nicht voll genutzt werden, da nach einem Ausfall der Hauptspan­ nungsversorgung das System nur für die geforderte Auslösebe­ reitschaftszeit in Auslösebereitschaft gehalten wird, um nach Ablauf der Auslösebereitschaftszeit das System definiert in seinen Ruhezustand zu versetzen.

Der Erfindung liegt demgegenüber die Aufgabe zugrunde, ein Verfahren zum Ermitteln der Autarkiezeit eines sicherheits­ kritischen Systems zu schaffen, das eine bessere Ausnutzung der tatsächlichen Autarkiezeit ermöglicht.

Diese Aufgabe wird durch das Verfahren nach Anspruch 1 ge­ löst.

Erfindungsgemäß wird also nach jedem Ausschaltvorgang die Zeit ermittelt, während der die Kapazität der Hilfsspannungs­ quelle noch ausreichen würde, um die Auslösebereitschaft des Sicherheitssystems zu gewährleisten. Diese ermittelte, noch verfügbare Auslösebereitschaftszeit wird beim nächsten Ein­ schalten zusammen mit der während der vorherigen Betriebszeit verwendeten Autarkiezeit zur Ermittlung der für die aktuelle Betriebszeit zu verwendenden Autarkiezeit herangezogen.

Durch die Erfindung wird also die von den Systemparametern abhängige verfügbare Autarkiezeit erfaßt und anstelle der ge­ forderten Autarkiezeit für die Festlegung der jeweiligen Aus­ lösebereitschaftszeit benutzt. Dies führt zu einer Erhöhung der Betriebsbereitschaft im Notfall und damit zu einem verbesserten Schutz der Fahrzeuginsassen durch das Sicher­ heitssystem.

Weitere vorteilhafte Ausgestaltungen und Verbesserungen des erfindungsgemäßen Verfahrens sind in der Unteransprüchen be­ schrieben.

Vorzugsweise wird die noch verfügbare Auslösebereitschafts­ zeit mittels einer Zeiterfassungsroutine, insbesondere einer Zeitschleife, ermittelt, die nach Beendigung eines Auslöse­ überwachungsprogramms gestartet wird und deren Durchläufe ge­ zählt werden. Hierdurch läßt sich die Kapazität einer elek­ tronischen Schaltung, z. B. eines Mikroprozessors, nutzen oh­ ne diesen bei der Ausführung eines sicherheitsrelevanten Aus­ löseüberwachungsprogramms zu beeinträchtigen.

Besonders vorteilhaft ist es, wenn beim Durchlaufen der Zeit­ schleife jeweils nach Ablauf eines Zeitgebers aufeinanderfol­ gende Speicherplätze in einem nicht-flüchtigen Speicher mit einer jeweils erhöhten Laufvariablen beschrieben werden, so daß beim darauf folgenden Einschaltvorgang nur die beschrie­ benen Speicherplätze gezählt oder der höchste gespeicherte Wert der Laufvariablen gelesen und mit der Zeitkonstanten des Zeitgebers multipliziert zu werden braucht, um die ermittelte noch verfügbare Auslösebereitschaftszeit festzustellen.

Bei der Ermittlung der jeweiligen Autarkiezeit wird vorzugs­ weise eine Sicherheitszeit berücksichtigt.

Obwohl im einfachsten Fall eine feste Sicherheitszeit oder ein konstanter Faktor zur Berechnung der Sicherheitszeit vor­ gesehen sein kann, wird vorteilhafterweise die Sicherheits­ zeit unter Berücksichtigung von die Autarkiezeit beeinflus­ senden Parametern, wie insbesondere der momentanen Temperatur, der momentanen Spannung der Hilfsspannungsquelle und deren Kapazität, errechnet.

Die Erfindung wird im folgenden beispielsweise anhand der Zeichnung näher erläutert. In dieser zeigt:

Fig. 1 ein stark vereinfachtes, schematisches Schaltbild eines sicherheitskritischen Systems für ein Fahr­ zeug zur Personenbeförderung,

Fig. 2 ein schematisches Zeitdiagramm zur Veranschauli­ chung der Zeitabläufe beim Abschalten des Sicher­ heitssystems nach Fig. 1,

Fig. 3 ein Fußdiagramm einer Abschaltroutine, die nach Be­ endigung der Auslösebereitschaft des Systems eine zusätzliche, während der gerade beendeten Betriebs­ periode jedoch nicht genutzte Bereitschaftszeit ermittelt, und

Fig. 4 ein Flußdiagramm einer Routine zur Berechnung der verfügbaren Autarkiezeit beim Einschalten des si­ cherheitskritischen Systems.

Wie in Fig. 1 rein schematisch und ohne Berücksichtigung der Spannungspegel gezeigt weist ein sicherheitskritischen Sy­ stems für ein Fahrzeug zur Personenbeförderung eine Versor­ gungsspannungsquelle 10 mit einer Batterie 11 und einem als Ausgangsschaltkreis der Versorgungsspannungsquelle 10 dienen­ den Netzteil 12 auf, das z. B. ein Gleichstrom/Gleichstrom- (DC/DC)-Aufwärtswandler sein kann. Ein als Hilfsspannungs­ quelle dienender Autarkiekondensator 13 ist zwischen einen Ausgang A des Netzteils 12 und Masse geschaltet. An den Aus­ gang A des Netzteils 12 ist eine elektronische Schaltung, z. B. ein Mikroprozessor (µP) 14 und über eine oder mehrere Dioden 17 ein oder mehrere Zündschaltkreise 15 angeschlossen, von denen nur einer dargestellt ist. Jeder Zündschaltkreis dient zur Betätigung eines Fahrzeuginsassen schützenden Ele­ ments 16, wie z. B. Airbag, Gurtstraffer, und dergleichen.

Der Zündschaltkreis 15 umfaßt einen zwischen die Diode 17 und Masse geschalteten Zündkondensator 18 sowie ein Zündelement 19, das über einen ersten Schalter 20 mit der Diode 17 und über einen zweiten Schalter 20 mit Masse verbunden ist. Die Schalter 20, die das Zündelement 19 aus Sicherheitsgründen auf einem schwimmenden Potential halten, werden bei einem Aufprall vom Mikroprozessor 14 ggf. über entsprechende Trei­ berkreise (nicht dargestellt) geschlossen, um das Fahrzeugin­ sassen schützenden Element 16 auszulösen.

Der Mikroprozessor 14 ist in nicht näher dargestellter Weise mit Aufprallfühlern verbunden, um einen Aufprall des Fahr­ zeugs zu erkennen, und überwacht gleichzeitig die Spannungs­ versorgung. Dabei wird einerseits festgestellt, ob die Ver­ sorgungsspannungsquelle 10 die zum Betrieb der Schaltung er­ forderliche Spannung bereitstellt. Andererseits wird die Funktionsfähigkeit des Autarkiekondensator 13 überwacht und seine Kapazität C, z. B. nach der Formel C = I . t/ΔU, er­ mittelt, wobei I ein definierter Entladestrom, t eine vorge­ gebene Testzeit und ΔU eine dabei festgestellte Abnahme der Ausgangsspannung des Autarkiekondensators 13 ist. Um die je­ weilige Temperatur des Systems und/oder die Umgebungstempera­ tur feststellen und insbesondere bei der Ermittlung der ver­ fügbaren Autarkiezeit berücksichtigen zu können, ist zweckmä­ ßigerweise noch ein Temperaturfühler an den Mikroprozessor 14 angeschlossen.

Wie in Fig. 2 dargestellt, nimmt die Ausgangsspannung U_K des Autarkiekondensators 14, die bei aktiver Versorgungsspan­ nungsquelle 10 gleich der Versorgungsspannung U_V, z. B. 30 V, ist, nach dem Abschalten oder beim Ausfall der Versorgungs­ spannung U_V zum Zeitpunkt t₀ über einen Zeitraum T_autark ab, bis sie einen Wert, z. B. 7 V, erreicht, bei dem vom Netzteil aus ein Rücksetzsignal an den Mikroprozessor 14 geliefert wird.

Die Zeit T_autark entspricht dabei der bei dem jeweils betrach­ teten System tatsächlich dimensionierten Autarkiezeit, die - wie eingangs erläutert - größer als die geforderte Autar­ kiezeit t_a0 ist, nach deren Ablauf ein vom Mikroprozessor 14 ausgeführtes Auslöseüberwachungsprogramm beendet und damit das System definiert in seinen Ruhezustand gebracht sein muß. Da ein Abschaltzyklus zur Beendigung des Auslöseüberwachungs­ programms eine Abschaltzeit t_e benötigt und das Auslöseüber­ wachungsprogramm so frühzeitig beendet sein muß, das alle er­ forderlichen Speichervorgänge bereits bei Ablauf der gefor­ derten Autarkiezeit t_a0 abgeschlossen sind, wird der Ab­ schaltzyklus üblicherweise nach Ablauf einer Auslösebereit­ schaftszeit t_a0 ^' = t_a0 - t_e bzw. t_a' = t_a - t_e gestartet.

Um diese zusätzliche vom Autarkiekondensator 14 ermöglichte Auslösebereitschaftszeit t_b' = T_autark - t_a0 bis auf eine Si­ cherheitszeit t_sicher erfindungsgemäß nutzen zu können, wird die zusätzliche Auslösebereitschaftszeit t_b' nach der Beendi­ gung der Auslösebereitschaft ermittelt, wie im folgenden an­ hand von Fig. 3 beschrieben wird.

Die in Fig. 3 gezeigte Abschaltroutine wird bei Ausfall und jedesmal beim Abschalten der Versorgungsspannung U_V gestartet und ermittelt im Schritt 31, ob die seit dem Abschalten (oder dem Ausfall) der Versorgungsspannung U_V zum Zeitpunkt t₀ ver­ strichene Zeit t kleiner ist als eine Auslösebereitschaftszeit t_a', während der das System noch in Auslösebereitschaft gehalten wird, bevor innerhalb der wäh­ rend der gerade zu beendenden Betriebszeit gültigen Autarkie­ zeit t_a, die zumindest gleich der geforderten Autarkiezeit t_a0 ab der zweiten Betriebszeit aber größer ist, das System defi­ niert in seinen Ruhezustand versetzt wird. Solange die abge­ laufene Zeit t kleiner als die Auslösebereitschaftszeit t_a' ist, wartet die Routine in Schritt 32 eine vorgegebene kleine Zeit Δt, z. B. 10 ms, und wiederholt dann Schritt 31. Die kleine Wartezeit Δt wird zweckmäßigerweise mittels eines Zeitgebers realisiert, dessen Zeitkonstante bei der Berech­ nung der noch verfügbaren Auslösebereitschaftszeit berück­ sichtigt wird.

Sobald die nach dem Abschalten abgelaufene Zeit t größer wird als die Auslösebereitschaftszeit t_a', wird in Schritt 33 ein Abschaltzyklus für das System gestartet und sobald dieser be­ endet ist, also sobald das Auslöseüberwachungsprogramm been­ det ist und sich das System im Ruhezustand befindet, wird in Schritt 34 eine Laufvariable z_t = 0 gesetzt.

In Schritt 35 wartet die Routine eine vorgegebene kleine Zeit Δt, z. B. 10 ms. Anschließend wird in Schritt 36 der aktuelle Wert der Laufvariablen z_t in einem nicht-flüchtigen Speicher, z. B. einem elektrisch löschbaren und programmierbaren Spei­ cher (EEPROM), unter der Adresse Adr + z_t gespeichert. Dann wird die Laufvariable in Schritt 37 um 1 erhöht und die Rou­ tine wiederholt die Schritte 35, 36 und 37 bis die Spannung am Autarkiekondensator unter die ein Rücksetzsignal des Netz­ teils auslösende Spannung von z. B. 7 V absinkt.

Die Laufvariable z_t wird also ausgehend von einer Basisadres­ se Adr in aufeinander folgenden Speicherplätzen des EEPROM gespeichert, so daß die Anzahl n der nach Beendigung des Ab­ schaltzyklus durchgeführten Zeitschleifen (Schritte 35, 36 und 37) auch nach Wegfall der Spannungsversorgung gespeichert bleibt und beim Wiedereinschalten des Mikroprozessors 14 zu Beginn der folgenden Betriebszeit sowohl aus dem höchsten gespeicherten Wert der Laufvariable z_t als auch aus der An­ zahl n der beschriebenen Speicherplätze ermittelt werden kann.

Die Anzahl der beschriebenen Speicherplätze n = z_t + 1 ergibt dann mit der vorgegebenen kleinen Zeit Δt die nach dem Been­ den der Auslösebereitschaft noch verfügbare Auslösebereit­ schaftszeit t_b', die jedoch bei der gerade abgelaufenen Be­ triebszeit nicht genutzt wurde.

Wie in Fig. 4 gezeigt, wird beim Einschalten des Sicherheits­ systems eine Routine zur Berechnung der tatsächlich verfügba­ ren Autarkiezeit gestartet, um in Schritt 41 zunächst die nach dem vorangegangenen Abschaltzyklus (Schritt 33) absol­ vierten Zeitschleifen festzustellen. Für die Berechnung der verfügbaren Autarkiezeit wird dabei die Laufvariable z_t = n = z_t + 1 gesetzt.

Im folgenden Schritt 42 wird eine Sicherheitszeit t_sicher er­ mittelt. Die Sicherheitszeit t_sicher ist im einfachsten Fall eine fest vorgegebene Zeit. Zweckmäßigerweise wird jedoch die Sicherheitszeit t_sicher aus der ermittelten zusätzlichen Auslö­ sebereitschaftszeit t_b' durch Multiplikation mit einem Faktor errechnet, der eine Konstante oder eine Funktion von ver­ schiedenen Betriebs- und Umgebungsparametern sein kann. Ins­ besondere wird dieser Faktor aus einem, mehreren oder allen der folgenden Parameter berechnet: Gespeicherte Autarkiekon­ densator-Kapazität, aus einmaligen oder periodischen Prüfungen ermittelte Autarkiekondensator-Kapazität, aus peri­ odischen Prüfungen ermittelte Autarkiekondensator-Spannung, ermittelte Temperatur, ermittelte Versorgungsspannung, ermit­ telter Stromverbrauch des Systems.

Danach wird in Schritt 43 die für die gerade beginnende Be­ triebszeit verfügbare Autarkiezeit t_a aus der während der vorherigen Betriebszeit gültigen Autarkiezeit t_a, der nach Beenden der Auslösebereitschaft bei der vorherigen Betriebs­ zeit noch verfügbaren Auslösebereitschaftszeit t_b' und der Sicherheitszeit t_sicher wie folgt t_a: = t_a + (z_t . Δt) - t_sicher be­ rechnet.

Abschließend wird in Schritt 44 der nicht-flüchtige Speicher gelöscht und danach die Routine beendet. Jetzt steht für den Notfall eine gegenüber der geforderten Auslösebereitschafts­ zeit t_a0' um die ermittelte zusätzliche Auslösebereitschafts­ zeit t_b verlängerte Auslösebereitschaftszeit t_a' zur Verfü­ gung, die die Dimensionierung der Schaltungselemente und der Hilfversorgungsspannungsquelle ausnutzt.

Mit dem erfindungsgemäßen Verfahren läßt sich also die für eine Auslösebereitschaft nach dem Ausfall der Versorgungs­ spannungsquelle genutzte Autarkiezeit um die zusätzliche Aus­ lösebereitschaftszeit t_b verlängern, ohne daß schaltungstech­ nische Änderungen am System erforderlich sind. Mit der Erfin­ dung läßt sich somit die Einsatzbereitschaft des sicherheits­ kritischen Systems und damit der Insassenschutz ohne Mehrko­ sten um ein Vielfaches erhöhen.

Claims (10)

1. Verfahren zur Festlegung der Autarkiezeit eines sicherheitskritischen Systems in einem Fahrzeug zur Personenbeförderung nach dem Abschalten einer Versorgungsspannungsquelle, bei dem das System während dieser Autarkiezeit von einer Hilfsspannungsquelle, die von der Versorgungsspannungsquelle aufgeladen wird, als Notstromversorgung in Auslösebereitschaft gehalten werden kann, bei dem nach einem Abschalten des sicherheitskritischen Systems der Ablauf der Autarkiezeit (t_a0, t_a) erfasst wird,
bei dem nach Ablauf der Autarkiezeit (t_a0, t_a) eine noch verfügbare Auslösebereitschaft (t_b') ermittelt wird, während der das System von der Hilfsspannungsquelle noch in Auslösebereitschaft gehalten werden könnte, und
bei dem beim Einschalten des sicherheitskritischen Systems aus der während der letzten Betriebszeit gültigen Autarkiezeit (t_a0, t_a) und der nach dem letzten Abschalten ermittelten, noch verfügbaren Auslöse­ bereitschaftszeit (t_b') die für die aktuelle Betriebszeit gültige Autarkiezeit (t_a) festgelegt wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß zum Ermitteln der noch verfügbaren Auslösebereit­ schaftszeit (t_b') nach Beendigung eines Auslöseüberwa­ chungsprogramms eine Zeitschleife (Schritte 35, 36, 37) gestartet wird, deren Durchläufe gezählt werden.

3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, daß zum Zählen der Durchläufe der Zeitschleife (Schritte 35, 36, 37) eine Laufvariable (z_t) bei jedem Durchlauf in einem nicht-flüchtigen Speicher gespeichert wird.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß die Laufvariable (z_t) bei jedem Durchlauf der Zeit­ schleife (Schritte 35, 36, 37) erhöht und ausgehend von einer Basisadresse (Adr) in aufeinanderfolgenden Spei­ cherplätzen (Adr + z_t) gespeichert wird.

5. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß bei der Festlegung der für die aktuelle Betriebszeit gültigen Autarkiezeit (t_a) eine Sicherheitszeit (t_sicher) berücksichtigt, insbesondere von der nach dem letzten Abschalten ermittelten, noch ver­ fügbaren Auslösebereitschaftszeit (t_b') abgezogen wird.

6. Verfahren nach Anspruch 5, dadurch gekennzeichnet, daß die Sicherheitszeit (t_sicher) eine vorgegebene feste Zeit ist.

7. Verfahren nach Anspruch 5, dadurch gekennzeichnet, daß die Sicherheitszeit (t_sicher) aus der nach dem letzten Abschalten ermittelten zusätzlichen Auslösebereit­ schaftszeit (t_b') durch Multiplikation mit einem Faktor errechnet wird.

8. Verfahren nach Anspruch 7, dadurch gekennzeichnet, daß der Faktor zur Berechnung der Sicherheitszeit (t_sicher) eine Konstante ist.

9. Verfahren nach Anspruch 7, dadurch gekennzeichnet, daß der Faktor zur Berechnung der Sicherheitszeit (t_sicher) eine Funktion ist, die von einem oder mehreren Be­ triebs- und/oder Umgebungsparametern abhängt.

10. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß zur Festlegung der für die aktuelle Betriebszeit gültigen Autarkiezeit (t_a) eine unter Verwendung der nach dem letzten Abschalten ermit­ telten, noch verfügbaren Auslösebereitschaftszeit (t_b') berechnete zusätzliche Auslösebereitschaftszeit (t_b) zu der während der letzten Betriebszeit gültigen Autarkie­ zeit (t_a0, t_a) addiert oder davon subtrahiert wird.