DE4304847A1 - Operating safety airbag igniter control unit for motor vehicle passenger - using data processor which continually performs self diagnosis and displays abnormality when fault detected in processor or memory - Google Patents

Description

Die vorliegende Erfindung bezieht sich auf eine Luftsackvorrichtung bzw. Airbag-Vorrichtung, die die Sicherheit für die Passagiere bei einem Fahrzeugzusammenstoß aufrechterhält, und im speziellen auf eine Luft­ sackvorrichtung, die zum Gebrauch in Automobilen angepaßt ist.

Um die Zuverlässigkeit der Verarbeitung in einer Luftsacksteuerung zu verbessern, benutzen bekannte Steuerungen des Standes der Technik zwei CPUs, um die gleiche Verarbeitung durchzuführen, die Ergebnisse werden durch einen Vergleicher verglichen (was nicht garantiert ausfallsicher ist), und ein Betriebssignal wird nur zu der Luftsackvorrichtung ausgegeben, wenn die Ergebnisse, die von den zwei CPUs verarbeitet wurden, die gleichen sind. Eine derartige Steueranordnung ist z. B. in dem SAE- Artikel 9 01 123 "Sensing and Systems Aspects of Fault Tolerant Elec­ tronics Applied to Vehicle Systems" beschrieben.

In der japanischen offengelegten Patentveröffentlichung Nr. 1 68 545/1989, ist weiterhin eine diagnostizierende Schaltung (die ebenfalls nicht für Ausfallsicherheit garantiert) hinzugefügt, um jeden Fehler zu erfassen, der sich in der Luftsackvorrichtung entwickelt hat. Auf diese Weise wird ein Fehler in dem System so schnell wie möglich beseitigt, um die Zuverläs­ sigkeit zu verbessern. Verfahren zum Erfassen des Auftretens eines Ausfalls in Computersystemen mittels regelmäßiger Selbstdiagnose werden auch in fehlertoleranten Systemen, wie z. B. Eisenbahnsteuerungen benutzt.

Ein Nachteil des oben genannten konventionellen Systems ist, daß zwei CPU-Module (CPUs und Speicher) erforderlich sind, was nicht nur Kosten hinzufügt, sondern auch die Hardware voluminös macht. Außer­ dem ist es, trotz der redundanten Verarbeitung von Daten, noch möglich für derartige Vorrichtungen, den Luftsack bei Nichtvorhandensein eines Unfalls aufzublasen, was ein ernstes Sicherheitsrisiko darstellt, besonders, wenn ein derartiges irrtümliches Aufblasen bei hoher Fahrzeuggeschwin­ digkeit auftritt. Auf der anderen Seite, wenn der Luftsack sich nicht aufbläst im Falle eines Unfalls, bei dem er aufgeblasen hätte sein sollen, gibt es eine hohe Wahrscheinlichkeit, daß der Fahrer getötet wird.

Eine derartige Verarbeitung, die das menschliche Leben betrifft, muß garantiert ausfallsicher sein. Entsprechend des Verfahrens des Standes der Technik jedoch, obwohl eine relativ hohe Zuverlässigkeit aufrech­ terhalten wurde, wurde eine Ausfallsicherheit nicht garantiert.

Ein Ziel der vorliegenden Erfindung ist es, eine Luftsackbetriebsvor­ richtung bereitzustellen, die ausreichende Ausfallsicherheit für den Betrieb des Luftsackes garantiert, wobei nur ein CPU-Modul benutzt wird, ohne den Umfang der Hardware zu vergrößern.

Dieses Ziel wird durch die Steuerungsanordnung entsprechend der Erfin­ dung erreicht, die ein einzelnes CPU-Modul benutzt, versehen mit einer Vielzahl von unfallunterscheidenden Programmen verschiedener Versionen und einer Vielzahl von selbstdiagnostizierenden Programmen verschiede­ ner Versionen. Die Betriebssignalerzeugungsverarbeitung von der Luft­ sackvorrichtung entsprechend der Erfindung basiert auf einem Vergleich der Ergebnisse, die durch die Vielzahl von Versionen von zusammenstoß­ unterscheidenden Programmen bereitgestellt werden. Zusätzlich ist auch eine Abweichungsalarmanzeigeverarbeitung bereitgestellt, die auf dem Vergleich der unterschiedenen Ergebnisse durch die Vielzahl von selbst­ diagnostizierenden Programmen basiert.

Gemäß der Erfindung empfängt das CPU-Modul ein Ausgangssignal von einem Zusammenstoßsensor; der die Beschleunigung erfaßt und einen dementsprechenden Wert ausgibt. Auf Erhalt eines Signals von dem Zusammenstoßsensor bestimmt das CPU-Modul, ob oder ob nicht das Signal auf einen Zusammenstoß zurückzuführen ist, sich auf die Ergeb­ nisse stutzend, die es von einer Vielzahl von verschiedenen Versionen von zusammenstoßunterscheidenden Programmen erhalten hat. Das CPU- Modul sendet die Vielzahl von unterschiedenen Ergebnissen als abwech­ selnde Signale, die eine vorbestimmte Frequenz haben, zu einer Frequenzlogik-Failsafe-Schaltung.

Zu jedem Zeitpunkt, wenn es kein Eingangssignal von dem Zusammen­ stoßsensor gibt, betreibt das CPU-Modul eine Vielzahl von Versionen von selbstdiagnostizierenden Programmen, so daß es kontinuierlich die CPU selbst prüft, den Speicher und die peripheren Geräte (Energie­ quelle, Zusammenstoßsensor; Abweichungswarnanzeige, Luftsackzünder; usw.), um zu bestimmen, ob ein Ausfall in dem System existiert. Das CPU-Modul sendet auch die Vielzahl der selbstdiagnostizierenden Ergeb­ nisse als abwechselnde Signale einer vorbestimmten Frequenz zu der Frequenzlogik-Failsafe-Schaltung.

Im Falle, daß derartige abwechselnde Signale nicht länger erzeugt sind, oder wenn Signale einer falschen Frequenz ausgegeben werden von dem CPU-Modul, legt die Frequenzlogik-Failsafe-Schaltung die Ausgabe zu dem Luftsack bei einem Wert fest, der nicht den Luftsack aufblasen wird, und gibt gleichzeitig ein Signal aus zu einer Alarmvorrichtung, um vor dem Auftreten einer abweichenden Bedingung zu warnen. Weiter, wenn die Frequenzlogik-Fallsafe-Schaltung selbst defekt wird, legt sie ebenfalls die Ausgabe zu der Luftsackzündvorrichtung auf einen Wert fest, der den Luftsack nicht aufbläst, und gibt gleichzeitig ein Alarmsignal auf die gleiche Weise, wie im Falle eines Zusammenstoßes, aus. Folg­ lich, wenn sich eine abweichende Bedingung (ein Fehler) in irgendeinem Teil des Luftsacksystems entwickelt, kann sie zuverlässig erfaßt werden durch die Vielzahl von selbstdiagnostizierenden Programmen, und kann angezeigt werden, soweit wie das CPU-Modul ordentlich funktioniert.

Außerdem, obwohl die mehrfachen Versionen von zusammenstoßunter­ scheidenden Programmen und selbstdiagnostizierenden Programmen die gleiche Funktion haben und die gleiche Diagnose durchführen, sind sie so aufgebaut, daß sie getrennte Anweisungen, Register und Speicher zum größtmöglichen Ausmaß benutzen. Daher werden, wenn ein Fehler sich in dem CPU-Modul entwickelt, der es dazu veranlaßt, eine irrtümliche Ausgabe zu erzeugen, die Ergebnisse der Vielzahl von selbstdiagnostizie­ renden Programme im Widerspruch miteinander sein. Außerdem, da das diagnostizierte Ergebnis unterschieden auf den Ausgaben der Vielzahl dieser Programme basiert ist, wird jeder Fehler die Frequenzlogik-Failsafe-Schaltung dazu veranlassen, ein Signal zu der Alarmvorrichtung zu senden, um vor dem Auftreten einer abweichenden Bedingung zu warnen. Daher wird ein garantiert ausfallsicheres Luftsacksystem bereitgestellt.

Gemäß der vorliegenden Erfindung, bei der ein Fehlalarm und ein Luftsackzündsignal ausgegeben werden von der Failsafe-Schaltung, können die folgenden zwei Merkmale garantiert werden:

• (1) Der Luftsack wird niemals irrtümlich aufgeblasen, wenn das Auto wie üblich gefahren wird; und
• (2) wenn das Auto zusammengestoßen ist und kein Fehlerarlarm erzeugt wurde, wird der Luftsack ohne Ausfall aufgeblasen.

Weitere Vorteile, Merkmale und Anwendungsmöglichkeiten der vorliegen­ den Erfindung ergeben sich aus der nachfolgenden Beschreibung von Ausführungsbeispielen in Verbindung mit der Zeichnung. In der Zeich­ nung zeigt

Fig. 1 ein Blockdiagramm, das eine Luftsackbetriebsvorrichtung zeigt gemäß der vorliegenden Erfindung;

Fig. 2 ein Blockdiagramm, das in größerem Detail die Luftsackbetriebs­ vorrichtung gemäß der vorliegenden Erfindung zeigt;

Fig. 3 ein Diagramm, das den Betrieb der vorliegenden Erfindung erklärt;

Fig. 4 ein Flußdiagramm, das Betriebsschritte, die von der vorliegenden Erfindung durchgeführt werden, darstellt;

Fig. 5 ein Flußdiagramm, das zusätzliche Betriebsschritte, die von der vorliegenden Erfindung durchgeführt werden, darstellt;

Fig. 6 ein Zeitdiagramm zum Erklären des Betriebs der vorliegenden Erfindung;

Fig. 7 ein zweites Zeitdiagramm zum Erklären des Betriebs der vor­ liegenden Erfindung;

Fig. 8 ein drittes Zeitdiagramm zum Erklären des Betriebs der vor­ liegenden Erfindung;

Fig. 9 eine Tabelle von Wahrheitswerten, zum Erklären des Betriebs der Frequenzlogik-Failsafe-Schaltung gemäß der vorliegenden Erfindung; und

Fig. 10 ein Teilschaltungsdiagramm eines wechselstrombetriebenen Ver­ stärkers, geeignet für den Gebrauch in der Luftsackbetriebs­ vorrichtung gemäß der Erfindung.

Fig. 1 stellt eine Ausführungsform der vorliegenden Erfindung dar, die aufgebaut ist durch ein Steuerungsmodul 1, das das Luftsacksystem steu­ ert, eine Energiezuführeinheit 2 zum Zuführen elektrischer Energie zu dem Luftsacksystem, ein Zusammenstoßsensor 3, der einen Detektor einschließt, der eine negative Beschleunigung erfaßt, eine Alarmvorrich­ tung 4, die das Auftreten einer abweichenden Bedingung (Fehler) in dem Luftsacksystem anzeigt, so daß der Fahrer sie wahrnehmen kann, eine Luftsackzündvorrichtung 5, die den Luftsack dazu veranlaßt, aufgeblasen zu werden im Falle eines Zusammenstoßes und ein Aufzeichnungsgerät 6, das das Auftreten eines Zusammenstoßes aufzeichnet.

Das Steuerungsmodul 1 sendet vorbestimmte Diagnosesignale zu der Energiequelleneinheit 2, dem Zusammenstoßsensor 3, der Alarmvorrich­ tung 4, der Luftsackzündvorrichtung 5 und dem Aufzeichnungsgerät 6 und untersucht Antworten davon, um diese Abschnitte auf die Art und Weise, wie sie z. B. im US-Patent Nr. 49 99 775 offenbart ist, zu diagnostizieren.

Fig. 2 zeigt die Details des Steuerungsmoduls 1, das aufgebaut ist durch eine Frequenzlogik-Failsafe-Schaltung 10C und ein CPU-Modul 10, das aus einer CPU 10A und einem Speicher 10B besteht.

Die wechselstrombetriebenen Verstärker 40 und 50 werden später beschrieben werden. Wenn ein Signal mit dem Pegel "1" eingegeben wird von dem wechselstrombetriebenen Verstärker 40, führt die Abwei­ chungsalarmeinrichtung 4 den Anzeigebetrieb auf eine vorbestimmte Weise durch, so daß der Fahrer des Autos informiert ist über das Auftreten irgendeiner abweichenden Bedingung in dem Luftsacksystem. Das heißt, der Fahrer des Wagens ist informiert, daß der Luftsack nicht arbeiten wird, auch im Falle eines Zusammenstoßes. Auf Erhalt eines Signals vom Pegel "1" von dem wechselstrombetriebenen Verstärker 50, auf der anderen Seite, wirkt die Luftsackzündvorrichtung 5, um den Luftsack aufzublasen (nicht gezeigt).

Das Steuerungsmodul 1 empfängt ein Zusammenstoßsignal von dem Zusammenstoßsensor 3 und das CPU-Modul 10 bestimmt, ob oder ob nicht das Auto tatsächlich zusammengestoßen ist. Wenn es durch das CPU-Modul 10 bestimmt ist, daß das Auto zusammengestoßen ist, gibt das CPU-Modul 10 ein Luftsackzündsignal zu der Frequenzlogik-Failsafe-Schaltung 10C aus, um den Luftsack aufzublasen.

Die Frequenzlogik-Failsafe-Schaltung 10C bestimmt, ob oder ob nicht eine korrekte Ausgabe von dem CPU-Modul 10 erzeugt ist. Wenn die Ausgabe als korrekt bestimmt ist, wird die Luftsackzündvorrichtung 5 in Gang gesetzt, um den Luftsack aufzublasen. Somit hat die Frequenzlogik-Failsafe-Schaltung 10C wirklich eine Failsafe-Funktion, und die Ver­ arbeitungsschritte gemaß der Erfindung sind alle ausfallsicher. (So wie der Begriff hier benutzt wird, ist eine Failsafe-Schaltung eine Schaltung, die ein vorbestimmtes Signal erzeugt ohne auszufallen, im Falle, daß ein Fehler innerhalb der Schaltung aufgetreten ist.)

Fig. 3 stellt die Verarbeitungsschritte dar, die von dem CPU-Modul 10 ausgeführt werden. In dem Luftsacksystem, wie oben beschrieben, muß das Auftreten eines Fehlers irgendwo in dem System (einschließlich dem CPU-Modul 10), der zu einer irrtümlichen Steuerung führen kann, erfaßt werden durch die Failsafe-Schaltung. Wie in Fig. 2 gezeigt, hat das Luftsacksystem weiterhin nur eine CPU, die mit einer Vielzahl von Pro­ grammen versehen ist, die die gleiche Funktion haben, aber verschiedene Versionen sind. Die Programme werden einzeln ausgeführt, und die Ergebnisse werden durch die Failsafe-Schaltung verglichen, um einen Fehler in dem CPU-Modul zu erfassen.

Wenn die elektrische Energiezuführung 2 die Zuführung von elektrischer Energie zu dem Luftsacksystem der Erfindung beginnt, führt das System zuerst eine Anfangsdiagnose an den peripheren Geräten, wie dem Zu­ sammenstoßsensor 3, der Energiequelleneinheit 2, dem Aufzeichnungsgerät 6, der Abweichungsalarmvorrichtung 4, und der Zündvorrichtung 5, durch, die alle mit der CPU verbunden sind. Wenn eine abweichende Bedin­ gung erfaßt wird durch die Anfangsdiagnose, werden die Ausgabewerte zu der Frequenzlogik-Failsafe-Schaltung 10C alle auf 0 festgelegt, und die darauffolgende Verarbeitung wird unterbrochen. Wenn keine abweichen­ de Bedingung erfaßt wird bei der Anfangsdiagnose, schreitet das System zu dem Selbstdiagnosemodus über, bei dem zwei Versionen eines selbst­ diagnostizierenden Programmes abwechselnd ausgeführt werden, wie in Fig. 3 gezeigt, um jeden Fehler in dem CPU-Modul 10 zu erfassen. Der Zweck des selbstdiagnostizierenden Programmes, das in dem selbst­ diagnostizierenden Modus ausgeführt wird, ist, den Speicher und den Bus zu kontrollieren, die von der CPU 10A und den Anweisungen der CPU, die den Zusammenstoß entdeckt, benutzt werden.

Fig. 4 stellt die Anwendung der selbstdiagnostizierenden Programme dar, wenn es kein Eingangssignal von dem Zusammenstoßsensor 3 gibt. In diesem Falle werden zwei Arten von Programmen - d. h. Version 1 und Version 2 - immer abwechselnd angewandt.

Fig. 5 ist ein Flußdiagramm, das die Verarbeitungsschritte darstellt, die von den ersten und zweiten Versionen der selbstdiagnostizierenden Programme durchgeführt werden. Die erste Version kontrolliert zuerst den Inhalt des Speichers (n Bytes, die die Adressen 0-n haben, die die Daten X₀-X_n enthalten), der zum Erfassen eines Zusammenstoßes benutzt wird. X_n ist ein Testwert für die Summenkontrolle, der so ausgewählt ist, daß X₀+ X₁+---+X_n-1=X_n. Die Werte von X₀ bis X_n-1 werden in dem A-Register addiert und die Endberechnung A = A - X_n, wird nach Beenden der oben beschriebenen Additionsrechnung durch­ geführt. Demgemäß wird der Wert in dem A-Register 00 (16-Befehls­ wort-System-Ausdruck), wenn kein Ausfall in dem System existiert. Nächstfolgend wird eine Anweisungskontrolle der CPU durchgeführt, bei der eine Diagnoserechnung (wie eine Summenkontrolle oder ähnliches) durchgeführt wird auf eine bekannte Weise, so daß, wenn der Wert des A-Registers vor der Berechnung 00 ist (16-Befehlswort-System), der Wert des A-Registers als Ergebnis der Berechnung auch 00 (16-Befehlswort- System) ist. Und ein binäres Datenwort, das durch die Diagnose erhal­ ten wurde, wird in ein vorbestimmtes Register X in der CPU einge­ schrieben. Entsprechend wird, als ein Ergebnis der Kontrolle, wenn keine Abweichung erfaßt ist, ein binäres 8-Bit-Datenwort 00000000 in das Register X eingeschrieben, aber, wenn eine Abweichung erfaßt ist, wird ein Wert unterschiedlich zu 00000000 in das Register X eingeschrieben.

Die zweite Version des selbstdiagnostizierenden Programmes setzt zuerst die Werte des Registers A und den Index i zurück, und kontrolliert dann die Anweisung der CPU. Zu diesem Zweck wird eine Diagnose­ rechnung (wie eine Summenkontrolle, usw.) durchgeführt auf die gleiche Weise wie in der ersten Version des selbstdiagnostizierenden Program­ mes, so daß, wenn der in dem A-Register gespeicherte Wert vor der Rechnung 00 ist (16-Befehlswort-System), der Wert, der in dem A-Regi­ ster als Ergebnis der Berechnung enthalten ist, auch 00 ist (16-Befehls­ wort-System). Nächstfolgend wird der Inhalt des Speichers (n Bytes, die die Adressen 0- n haben, die die Daten X₀-X_n enthalten) kontrolliert, der zum Erfassen eines Zusammenstoßes benutzt wird. X_n ist ein Testwert für die Summenkontrolle, der so ausgewählt ist, daß X₀+X₁ + ---+ X_n-1=X_n. Die Werte von X₀ bis X_n-1 werden in dem A- Register addiert und die Endberechnung A = A-X_n-1, wird nach Been­ den der oben beschriebenen Additionsrechnung durchgeführt. Demgemäß wird der Wert in dem A-Register 00 (16-Befehlswort-System-Ausdruck), wenn kein Ausfall in dem System existiert. Dann wird eine zu dem Wert in dem A-Register komplementäre Zahl berechnet und in das A- Register zurückgeschrieben, und das binäre Datenwort, das durch die Diagnose erhalten wird, wird in das vorbestimmte Register X in der CPU eingeschrieben. Entsprechend wird, als ein Ergebnis der Kontrolle, wenn keine Abweichung erfaßt wird, das binäre 8-Bit-Datum 11111111 in das Register X eingeschrieben, aber, wenn eine Abweichung erfaßt ist, wird ein Wert anders als 11111111 in das Register X eingeschrieben.

Wie oben beschrieben und in den Fig. 3 und 4 dargestellt, werden diese zwei Versionen des selbstdiagnostizierenden Programmes wiederholt abgewechselt auf eine Weise, wie in Fig. 6 gezeigt. Wenn sie ordentlich ohne abweichende Bedingung arbeiten, und die Werte der in dem Regi­ ster X gespeicherten 8-Bit seriell ausgelesen werden, wechselt die Aus­ gabe zwischen "1" und "0" bei vorbestimmten Intervallen ab, wie in Fig. 6 gezeigt. Daher werden abwechselnde Signale erhalten, die eine vor­ bestimmte Frequenz f₀ haben, durch Lesen der Daten der Bits 1 bis 8 des Registers X.

Es ist offensichtlich, daß gemäß der Erfindung die ersten und zweiten Versionen des selbstdiagnostizierenden Programmes die gleiche Funktion haben. Diese beiden Programme sind jedoch so aufgebaut, um ver­ schiedene Befehle, Register und Speicher im größtmöglichen Ausmaß zu benutzen, obwohl sie die gleiche Diagnose durchführen. Daher werden, wenn sich z. B. ein Fehler in der CPU 10A entwickelt und ein falscher Wert ausgegeben ist, die Ergebnisse der zwei Arten von diagnostizieren­ den Programmen widersprüchlich. Das heißt′ das oben beschriebene abwechselnde Muster stoppt zumindest für ein oder mehrere Bits unter den ersten bis achten Bitsignalen des Registers X.

Wenn, auf der anderen Seite, ein Zusammenstoßsignal zu der CPU 10A eingegeben ist von dem Zusammenstoßsensor 3, wird der CPU-Betrieb in dem selbstdiagnostizierenden Modus unterbrochen, und die CPU wechselt zu dem zusammenstoßunterscheidenden Modus, der bestimmt, ob ein Zusammenstoß tatsächlich vorgefallen ist, wie in den Fig. 7 und 8 ge­ zeigt.

Die Verarbeitung in dem zusammenstoßunterscheidenden Modus ist durch zwei verschiedene Versionen ähnlicher zusammenstoßunterscheidender Programme aufgebaut, auf eine Weise analog zu dem Verarbeiten in dem selbstdiagnostizierenden Modus. Demgemäß werden, wenn ein Zusammenstoßsignal von dem Zusammenstoßsensor 3 eingegeben ist, die zwei Versionen der zusammenstoßdiagnostizierenden Programme abwech­ selnd ausgeführt, wie in den Fig. 7 und 8 gezeigt. Die erste Version des zusammenstoßunterscheidenden Programmes folgert, daß ein Zusam­ menstoß aufgetreten ist, wenn der Pegel eines Eingangssignales von dem Zusammenstoßsensor 3 einen vorbestimmten Wert überschreitet (z. B., wenn eine vorbestimmte Beschleunigung überschritten ist), und folgert, daß kein Zusammenstoß vorgefallen ist, wenn er nicht den vorbestimmten Wert überschreitet. Die CPU ist programmiert, um das binäre 8-Bit- Wort 11000000 bereitzustellen, wenn es bestimmt ist, daß ein Zusammen­ stoß vorgefallen ist wie in Fig. 7 dargestellt. Dieses binäre Wort wird in einem vorbestimmten Register X in der CPU 10A gespeichert. Nachfolgend wird die zweite Version des zusammenstoßunterscheidenden Programmes laufen gelassen. Ähnlich zu der ersten Version folgert es, daß ein Zusammenstoß aufgetreten ist, wenn der Pegel eines Eingangs­ signals von dem Zusammenstoßsensor (z. B. eine Beschleunigungsmessung) einen vorbestimmten Wert überschreitet, und daß kein Zusammenstoß aufgetreten ist, wenn er einen vorbestimmten Wert nicht überschreitet. Wenn es bestimmt ist, daß ein Zusammenstoß tatsächlich aufgetreten ist (Fig. 7), ist die CPU programmiert, um das binäre 8-Bit-Wort 00110000 bereitzustellen, das dann in dem vorbestimmten Register X in der CPU 10A gespeichert ist, wobei es die 8-Bit-Binärwortausgabe der Version 1 ersetzt.

Weil die zusammenstoßunterscheidenden Programme dieser beiden Ver­ sionen abwechselnd sind und wiederholt ausgeführt werden, wenn es durch das zusammenstoßunterscheidende Programm bestimmt ist, daß ein Zusammenstoß aufgetreten ist (wie in Fig. 7 gezeigt), bilden die Werte der ersten und zweiten Bits, die in dem Register X gespeichert sind, abwechselnde Signale einer vorbestimmten Frequenz f₁, wie in Fig. 7 gezeigt, Zeile e, während die Werte der dritten und vierten Bits, die in dem Register X gespeichert sind, abwechselnde Signale einer Frequenz F bilden, wie in Linie f gezeigt. Die Werte der fünften bis achten Bits werden 0, wie in den Linien g und h gezeigt.

Andererseits, wenn es durch das zusammenstoßunterscheidende Programm der zweiten Version bestimmt ist, daß kein Zusammenstoß aufgetreten ist, ist die CPU programmiert, um das binäre 8-Bit-Wort 00001100 zu erzeugen, das in dem Register X in Antwort auf die Berechungsergeb­ nisse der ersten Version des zusammenstoßunterscheidenden Programmes gespeichert ist, und das binäre 8-Bit-Wort 00000011 in Antwort auf die Berechnungsergebnisse der zweiten Version zu erzeugen, das dann in das Register X eingeschrieben wird, wobei es das binäre Wort 00001100 der ersten Version ersetzt. (Siehe Fig. 8.) Demgemäß werden die Werte des ersten bis vierten Bits 0 wie in den Zeilen e und f in Fig. 8 ge­ zeigt, und die Werte der fünften bis achten Bits bilden abwechselnde Signale der vorbestimmten Frequenz f₁, wie in den Linien g und h gezeigt.

Es ist offensichtlich, daß die erste und zweite Version des zusammen­ stoßunterscheidenden Programmes die gleiche Funktion haben. Diese beiden Programme sind jedoch so aufgebaut, um verschiedene Anweisun­ gen, Register und Speicher zum größtmöglichen Ausmaß zu benutzen, obwohl sie die gleiche Zusammenstoßunterscheidung durchführen. Daher werden, wenn sich beispielsweise ein Fehler in der CPU 10A entwickelt und ein falscher Wert ausgegeben ist, die Ergebnisse der beiden Programme widersprüchlich und die abwechselnden Signale des Registers X hören auf, erzeugt zu werden.

In dieser Hinsicht sollte bemerkt werden, daß eine separate Zusammen­ stoßerfassungsschaltung zum Beurteilen, ob ein Zusammenstoß aufgetreten ist, auch direkt zu dem Zusammenstoßsensor 3 selbst hinzugefügt werden kann, so daß ein Zusammenstoßsignal ausgegeben wird, nur wenn ein Zusammenstoß aufgetreten ist. In diesem Falle kann ein Betriebssignal direkt zu dem Luftsackzünder 5 ausgegeben werden, das den Zusammen­ stoßunterscheidungsmodus umgeht, nachfolgend zur Unterbrechung des selbstdiagnostizierenden Modus.

Der Zusammenstoßentscheidungsmodus setzt seinen Betrieb so lange fort, wie das Signal von dem Zusammenstoßsensor eingegeben ist. Während dieser Zeit, wenn der Signalpegel von dem Zusammenstoßsensor nicht einen vorbestimmten Schwellenwert erreicht (der anzeigt, daß kein Zu­ sammenstoß aufgetreten ist), werden die fünften bis achten Bitwerte des X-Registers ein abwechselndes Signal. Wenn das Signal von dem Zu­ sammenstoßsensor unterbrochen ist, kehrt der Zusammenstoßentscheidung­ modus zu dem Selbstdiagnosemodus zurück.

Die Frequenzlogik-Failsafe-Schaltung 10C (Fig. 1) ist durch eine Logik­ schaltung aufgebaut, beispielsweise in US-Patent Nr. 45 64 774 offenbart, und führt die Frequenzlogikoperation, gezeigt in Fig. 9, durch, um die Ausfallsicherheit aufrecht zu erhalten. Daher bilden, wenn das Luftsack­ system in dem selbstdiagnostizierenden Modus ist und keine abweichende Bedingung erfaßt ist, die Ausgabesignale von dem Register X in die CPU 10A abwechselnde Signale einer Frequenz f₀. In diesem Falle gibt die Frequenzlogik-Failsafe-Schaltung 10C abwechselnde Signale einer Frequenz f₂ als Signale zu der Abweichungsalarmvorrichtung 4 aus, und gibt einen Wert 0 als ein Signal zu der Luftsackzündvorrichtung 5 aus.

Wenn das Luftsacksystem in dem zusammenstoßunterscheidenden Modus ist und ein Zusammenstoß tatsächlich aufgetreten ist, bilden die seriellen Ausgabesignale der ersten bis vierten Bits des Registers X in der CPU 10A abwechselnde Signale der Frequenz f₁und andere Ausgabesignale (fünfte bis achte Bits) sind alle 0. Die Frequenzlogik-Failsafe-Schaltung 10C gibt dann abwechselnde Signale der Frequenz f₂ zu der Abwei­ chungsalarmvorrichtung 4 aus und gibt abwechselnde Signale der Fre­ quenz f₂ zu der Luftsackzündvorrichtung 5 aus, wie in Fig. 9 gezeigt.

Außerdem sind, wenn das Luftsacksystem in dem zusammenstoßunter­ scheidenden Modus ist und kein Zusammenstoß aufgetreten ist, die Ausgabesignale der ersten bis vierten Bits des Registers X 0, und Aus­ gabesignale der fünften bis achten Bits bilden abwechselnde Signale der Frequenz f₁. Die Frequenzlogik-Failsafe-Schaltung 10C gibt abwechselnde Signale der Frequenz f₂ zu der Abweichungsalarmvorrichtung 4 aus und gibt ein Signal, das 0 ist, zu der Luftsackzündvorrichtung 5, wie in Fig. 9 gezeigt, aus.

Wenn Eingabesignale, andere als die oben genannten, zu der Frequenzlogik-Failsafe-Schaltung eingegeben sind, dann legt die Frequenzlogik-Failsafe-Schaltung 10C die Ausgabewerte zu 0 fest, die zu der Abweichungs­ alarmvorrichtung 4 und der Luftsackzündvorrichtung 5 eingespeist werden, wie in der letzten Zeile von Fig. 9 gezeigt. Die Ausgabewerte werden danach bei 0 gehalten und bleiben unverändert ungeachtet irgendwelcher empfangener Eingabesignale.

Die Ausgaben von der Frequenzlogik-Failsafe-Schaltung 10C sind mit den ausfallsicheren wechselstrombetriebenen Verstärkern 40 und 50 verbunden, die wiederum jeweils mit der Abweichungsalarmvorrichtung 4 und mit der Luftsackzündvorrichtung 5 verbunden sind. Ein Beispiel eines der­ artigen wechselstrombetriebenen Verstärkers ist in Fig. 10 gezeigt. Wenn das Eingabesignal des wechselstrombetriebenen Verstärkers H (hoch) ist, schaltet Transistor Tr₁ein und Transistor Tr₂ schaltet ab. Zu diesem Zeitpunkt fließt die elektrische Ladung in dem Kondensator C₁ als ein Strom i₁, und lädt den Kondensator C₂. Wenn das Eingabesignal L (low) ist, schaltet Tr₁ ab und Tr₂ schaltet ein. Zu diesem Zeitpunkt fließt die elektrische Ladung in dem C₂ als ein Strom i₂, und C₁wird durch die 5 V-Zufuhr über Tr₂ geladen. Demgemäß fließt, nur wenn ein abwechselndes Signal (wiederholend, Signal von 0 und 1) als eine Eingabe zugeführt ist, ein Strom kontinuierlich zu dem Relais Ry. Solch ein Verstärker wird ein wechselstrombetriebener Verstärker vom Typ positiver Logik genannt, wenn ein A-Konjunktions-Relais benutzt wird für Ry (d. h., der Schalter S ist geschlossen, wenn ein Strom zu Ry fließt und offen, wenn kein Strom fließt), und wird ein wechselstrombetriebener Verstärker vom negativen Typ genannt, wenn ein B-Konjunktions-Relais (Si ist geschlossen, wenn kein Strom zu Ry fließt) benutzt wird für Ry.

Für den wechselstrombetriebenen Verstärker 40, der mit der Alarmvor­ richtung verbunden ist, wird der wechselstrombetriebene Verstärker vom negativen Typ benutzt. Demgemäß wird die Schaltung eine Failsafe-Schaltung, die ein Signal mit dem Pegel "0" in Antwort auf ein eingege­ benes abwechselndes Signal der Frequenz f₂ ausgibt, und die ein Signal des Pegels "1" ausgibt, wenn ein Fehler auftritt in dem Verstärker, oder wenn das abwechselnde Signal (Frequenz f₂) des Eingabesignals aufhört. Konsequenterweise wird, wenn ein Fehler in dem Luftsacksystem auftritt, das Auftreten des Fehlers zu der Alarmvorrichtung durch die Failsafe-Verarbeitung übertragen. Weiterhin ist ein wechselstrombetriebener Verstärker 50 vom positiven Typ mit der Luftsackzündvorrichtung ver­ bunden. Demgemäß wird die Schaltung eine Failsafe-Schaltung, die ein Signal vom Pegel 1 ausgibt in Antwort auf ein eingegebenes abwechseln­ des Signal der Frequenz f₂ und die ein Signal vom Pegel 0 ausgibt, wenn ein Fehler auftritt in dem Verstärker, oder wenn das abwechselnde Signal (Frequenz f₂) des Eingabesignal aufhört.

Gemäß der Erfindung ist das Verarbeiten daher in einer Weise durch­ geführt, die die Ausfallsicherheit aufrecht erhält. Das heißt, wenn ein Fehler aufgetreten ist in dem Luftsacksystem, wird der Luftsack nicht aufgeblasen und, wenn ein Zusammenstoß aufgetreten ist, wird der Luft­ sack ohne Ausfall aufgeblasen.

In der vorhergehenden Ausführungsform der Erfindung sind die abwech­ selnden Signale durch ein CPU-Modul erzeugt. Die vorliegende Erfin­ dung umfaßt jedoch auch ein System, bei dem die gleichen Signale ausgegeben werden von einer Vielzahl von Programmen, die verschiedene Versionen haben, wobei die Ergebnisse verglichen werden durch einen Failsafe-Vergleicher, und abwechselnde Signale nur ausgegeben werden, wenn die Ergebnisse in Übereinstimmung sind. Die vorliegende Erfin­ dung umfaßt ebenfalls ein System, bei dem die gleichen Verarbeitungs­ schritte ausgeführt werden durch eine Vielzahl von CPU-Modulen, wobei die Ergebnisse von der Vielzahl der CPU-Module verglichen werden durch einen Failsafe-Vergleicher und abwechselnde Signale nur ausgege­ ben werden, wenn die Ergebnisse in Übereinstimmung sind.

Gemäß der vorliegenden Erfindung sind die Selbstdiagnose und das Ergebnis der Zusammenstoßunterscheidung basiert auf Programmen von zwei Versionen, um Ausfallsicherheit der Ausgabesignale des Luftsacksy­ stems zu garantieren. Daher kann jeder Fehler, der in dem Luftsacksy­ stem aufgetreten ist, zuverlässig erfaßt werden, trotz der Tatsache, daß das System nur eine CPU benutzt. Wenn ein Fehler erfaßt ist, wird die Ausgabe festgehalten, so daß der Luftsack nicht aufgeblasen werden wird, und daß gleichzeitig die Abweichungsalarmvorrichtung den Fahrer vor dem Auftreten eines Fehlers in dem Luftsacksystem warnt. Dies ver­ sichert, daß der Luftsack nicht irrtümlich aufgeblasen wird durch irgend­ einen Fehler, der in dem Luftsack auftritt. Außerdem, ausgenommen der Fahrer ist informiert über einen Fehler in dem Luftsack durch die Abweichungsalarmvorrichtung, ist es garantiert, daß der Luftsack zuver­ lässig aufgeblasen wird, falls ein Zusammenstoß aufgetreten ist.

Obwohl die Erfindung beschrieben und im Detail veranschaulicht wurde, muß es klar verstanden werden, daß dies durch Veranschaulichung und Beispiel getan wurde, und nicht als Beschränkung zu nehmen ist. Der Geist und der Schutzbereich der vorliegenden Erfindung sind nur durch die Begriffe der beigefügten Ansprüche beschränkt.

Claims (43)

1. Verfahren zum Betreiben eines Luftsackzlindersteuergerätes, das einen Zusammenstoßsensor zum Erfassen einer Bedingung, die anzeigt, daß ein Zusammenstoß aufgetreten ist, einen Datenprozessor, der Signale von dem Sensor beurteilt, und ein Abweichungsanzeige­ gerät hat, wobei das Verfahren die Schritte aufweist, daß:
der Datenprozessor fortlaufend eine Selbstdiagnosefunktion durchführt zum Erfassen eines Versagens in dem Datenprozessor und einem Speicher von ihm, wenn kein Signal von dem Sensor empfangen wird; und
daß der Datenprozessor ein Abweichungssignal zu einem Abwei­ chungsanzeigegerät übermittelt, wenn ein Versagen erfaßt ist.

2. Verfahren gemäß Anspruch 1, das weiterhin aufweist:
daß der Datenprozessor eine Anfangsdiagnosefunktion durchführt, in Hinsicht auf den Betriebszustand von zumindest dem Sensor, dem Luftsackzünder und dem Abweichungsanzeigegerät.

3. Verfahren gemäß Anspruch 1, bei dem die Selbstdiagnosefunktion die Schritte aufweist:
Ausführen einer ersten Version für ein Selbstdiagnoseprogramm;
Ausführen einer zweiten Version des Selbstdiagnoseprogramms; und
Vergleichen der Ergebnisse der ersten Version mit den Ergebnissen der zweiten Version.

4. Verfahren gemäß Anspruch 3, bei dem in der ersten Version des Selbstdiagnoseprogramms der Datenprozessor ein erstes vorbestimmtes binäres Datenwort erzeugt, wenn kein Fehler in dem Gerät erfaßt ist, und bei dem in der zweiten Version des Selbstdiagnosepro­ gramms der Datenprozessor ein zweites vorbestimmtes binäres Da­ tenwort erzeugt, wenn kein Fehler in dem Gerät erfaßt ist; und bei dem Bits des zweiten vorbestimmten Datenwortes komplementär zu entsprechenden Bits des ersten vorbestimmten Datenwortes sind.

5. Verfahren gemäß Anspruch 4, bei dem der Vergleichsschritt die Schritte aufweist:
Einschreiben des ersten vorbestimmten Datenwortes in ein Register in dem Datenprozessor;
Lesen der Inhalte des Registers;
Einschreiben des zweiten vorbestimmten Datenwortes in das Register anstelle des ersten vorbestimmten Datenwortes;
Lesen der Inhalte des Registers;
wobei, wenn kein Fehler in dem Gerät erfaßt ist, die Leseschritte ein Signal erzeugen, das eine erste vorbestimmte Frequenz hat.

6. Verfahren gemäß Anspruch 5, das den weiteren Schritt des Erzeu­ gens eines Alarms aufweist, wenn das Signal eine andere Frequenz als die vorbestimmte Frequenz hat.

7. Verfahren gemäß Anspruch 1, das weiter die Schritte aufweist:
Unterbrechen des Betriebs der Selbstdiagnosefunktion, wenn ein Signal von dem Zusammenstoßsensor empfangen ist, das anzeigt, daß ein Zusammenstoß aufgetreten sein kann; und daß der Datenprozessor eine Zusammenstoßunterscheidungsfunktion ausführt, um zu bestimmen, ob ein Zusammenstoß aufgetreten ist.

8. Verfahren gemäß Anspruch 7, bei dem die Zusammenstoßunter­ scheidungsfunktion die Schritte aufweist:
Ausführen einer ersten Version eines zusammenstoßunterscheidenden Programmes;
Ausführen einer zweiten Version des zusammenstoßunterscheidenden Programmes; und
Vergleichen der Ergebnisse der ersten Version mit den Ergebnissen der zweiten Version.

9. Verfahren gemäß Anspruch 8, bei dem der Datenprozessor bestimmt, daß ein Zusammenstoß aufgetreten ist, wenn das Signal von dem Zusammenstoßsensor einen vorbestimmten Schwellenwert überschrei­ tet;
bei dem in der ersten Version des zusammenstoßunterscheidenden Programmes der Datenprozessor ein drittes vorbestimmtes binäres Datenwort erzeugt, wenn ein Zusammenstoß aufgetreten ist, und ein viertes vorbestimmtes binäres Datenwort, wenn kein Zusammenstoß aufgetreten ist;
bei dem in der zweiten Version des zusammenstoßunterscheidenden Programmes der Datenprozessor ein fünftes vorbestimmtes binäres Datenwort erzeugt, wenn ein Zusammenstoß aufgetreten ist, und ein sechstes vorbestimmtes binäres Datenwort, wenn kein Zusammenstoß aufgetreten ist;
bei dem Bits, die in einem ersten Abschnitt des dritten binären Datenwortes enthalten sind, komplementär zu entsprechenden Bits sind, die in einem ersten Abschnitt des fünften binären Datenwortes enthalten sind, und bei dem Bits, die in einem zweiten Abschnitt des vierten binären Datenwortes enthalten sind, komplementär zu entsprechenden Bits eines zweiten Abschnittes des sechsten binären Datenwortes sind.

10. Verfahren gemäß Anspruch 9, bei dem der Vergleichsschritt die Schritte aufweist:
Einschreiben des binären Datenwortes, das durch die erste Version des zusammenstoßunterscheidenden Programmes erzeugt wurde, in ein Register des Datenprozessors;
Lesen der Inhalte des Registers;
Einschreiben des binären Datenwortes, das durch die zweite Version des Zusammenstoßunterscheidungsprogrammes erzeugt wurde, in das Register;
Lesen der Inhalte des Registers;
wobei, wenn ein Zusammenstoß erfaßt ist, aufeinanderfolgendes Lesen des ersten Abschnittes des binären Datenwortes, das in das Register eingeschrieben wurde, ein Signal erzeugt, das eine zweite vorbestimmte Frequenz hat, wenn ein Zusammenstoß erfaßt ist, und wobei aufeinanderfolgendes Lesen des zweiten Abschnittes des binä­ ren Datenwortes, das in das Register eingeschrieben wurde, ein Signal erzeugt, das eine zweite vorbestimmte Frequenz hat.

11. Verfahren gemäß Anspruch 10, das den weiteren Schritt des Erzeu­ gens eines Zündsignales aufweist, wenn das Signal, das durch den ersten Abschnitt des binären Datenwortes, das in das Register einge­ schrieben wurde, erzeugt ist, die zweite vorbestimmte Frequenz hat.

12. Verfahren zum Betreiben eines Fahrzeugluftsacksteuersystems, das einen Sensor zum Erfassen einer Bedingung, die anzeigt, daß ein Zusammenstoß aufgetreten ist, einen einzelnen Datenprozessor, der Signale von dem Sensor beurteilt, und ein Abweichungsanzeigegerät hat, wobei das Verfahren die Schritte aufweist:
daß der Datenprozessor fortlaufend abwechselnd zumindest zwei verschiedene Versionen eines Selbstdiagnoseprogrammes ausführt, wobei die zwei verschiedenen Versionen die gleiche Funktion aus­ führen, aber Diagnosesignale erzeugen, die sich unterscheiden;
Vergleichen von Abschnitten der Diagnosesignale, um ein erstes Diagnoseausgabesignal zu erzeugen, wenn das Luftsacksteuersystem ohne Fehler arbeitet, und ein zweites Diagnoseausgabesignal, wenn ein Fehler erfaßt ist.

13. Verfahren zum Betreiben eines Fahrzeugluftsacksteuersystems, das einen einzelnen Datenprozessor hat, das die Schritte aufweist:
daß der Datenprozessor ein erstes Zusammenstoßerfassungsprogramm ausführt, um ein erstes digitales Signal zu erzeugen;
daß der Datenprozessor ein zweites Zusammenstoßerfassungspro­ gramm ausführt, um ein zweites digitales Signal zu erzeugen;
daß ein erster Abschnitt des ersten digitalen Signals Datenbits auf­ weist, die komplementär zu Datenbits eines ersten Abschnitts des zweiten digitalen Signals sind, wenn ein Zusammenstoß aufgetreten ist, und daß ein zweiter Abschnitt des ersten digitalen Signals Da­ tenbits aufweist, die komplementär zu Datenbits eines zweiten Ab­ schnittes des zweiten digitalen Signals sind, wenn ein Zusammenstoß nicht aufgetreten ist;
abwechselndes Einschreiben der ersten und zweiten digitalen Signale in ein Register und Lesen der Inhalte des Registers;
Erzeugen eines Luftsackzündsignales, wenn ein Signal, das durch abwechselndes Lesen der ersten Abschnitte des ersten und zweiten digitalen Signals erzeugt ist, eine Ausgabe erzeugt, die eine erste vorbestimmte Frequenz hat.

14. Luftsackbetriebsgerät, das aufweist:
einen Luftsackzünder;
einen Sensor, der negative Beschleunigung erfaßt;
ein Abweichungswarnanzeigegerät; und
eine Steuereinheit, die gekoppelt ist, um ein Signal von dem Sensor zu empfangen und, um ein Zündsignal zu dem Luftsackzünder auszugeben in Antwort auf die Bestimmung durch die Steuereinheit, daß ein Zusammenstoß aufgetreten ist;
wobei die Steuereinheit gleichmäßig eine Selbstdiagnosefunktion ausführt bei Nichtvorhandensein eines Signals von dem Sensor, und ein Abweichungssignal ausgibt zu dem Abweichungswarnanzeigegerät, wenn ein Versagen des Luftsackbetriebsgerätes erfaßt ist.

15. Luftsackbetriebsgerät gemäß Anspruch 14, bei dem die Steuereinheit die Selbstdiagnose durchführt an dem Sensor, dem Luftsackzünder und dem Abweichungswarnanzeigegerät.

16. Luftsackbetriebsgerät, das aufweist:
einen Zusammenstoßsensor zum Erfassen der Existenz einer Bedin­ gung, die anzeigt, daß ein Zusammenstoß aufgetreten sein kann; einen Luftsackzünder;
ein Steuermodul, das einen Datenprozessor und einen Speicher enthält;
ein Abweichungsanzeigegerät;
wobei der Datenprozessor Einrichtungen aufweist, um fortlaufend eine Selbstdiagnosefunktion durchzuführen, zum Erfassen eines Ver­ sagens in zumindest dem Datenprozessor und dem Speicher, wenn kein Signal empfangen ist von dem Sensor und zum Übertragen eines Abweichungssignals zu dem Abweichungsanzeigegerät, wenn ein Versagen erfaßt ist; und
wobei der Datenprozessor weiter Einrichtungen aufweist, zum Unter­ brechen des Betriebs der Selbstdiagnosefunktion, wenn ein Signal empfangen ist von dem Zusammenstoßsensor und zum Durchführen einer Zusammenstoßunterscheidungsfunktion, während der Unterbre­ chung, um zu bestimmen ob ein Zusammenstoß aufgetreten ist.

17. Gerät gemäß Anspruch 16, worin die Einrichtung zum fortlaufenden Durchführen einer Selbstdiagnosefunktion eine Vielzahl von verschie­ denen Versionen eines Selbstdiagnoseprogramms aufweist;
worin die Einrichtung zum Unterbrechen und Durchführen einer Zusammenstoßunterscheidungfunktion eine Vielzahl von verschiedenen Versionen eines Zusammenstoßunterscheidungsprogrammes aufweist;
worin das Abweichungssignal erzeugt ist in Antwort auf einen ersten Vergleich durch den Datenprozessor von Ausgabeergebnissen unter der Vielzahl der Selbstdiagnoseprogramme; und
worin ein Luftsackbetriebssignal erzeugt wird in Antwort auf einen zweiten Vergleich durch den Datenprozessor von Resultaten unter der Vielzahl von zusammenstoßunterscheidenden Programmen.

18. Gerät gemäß Anspruch 17, worin die Ergebnisse des ersten und zweiten Vergleichs übermittelt werden zu einer Frequenzlogik-Failsa­ fe-Schaltung.

19. Gerät gemäß Anspruch 18, worin Ausgaben des Datenprozessors zu der Frequenzlogik-Failsafe-Schaltung übermittelt werden, in Form von abwechselnden Signalen einer vorbestimmten Frequenz.

20. Gerät gemäß Anspruch 19, worin, wenn abwechselnde Signale nicht länger von dem CPU-Modul ausgegeben werden, oder wenn die abwechselnden Signale eine Frequenz haben, die anders ist als die vorbestimmte Frequenz, übermittelt werden, die Frequenzlogik-Failsafe-Schaltung Signale, die zu der Luftsackvorrichtung übermittelt sind, auf einen Wert festlegt, der notwendig ist, um eindeutig eine Auf­ blasoperation des Luftsackes zu verhindern.

21. Gerät gemäß Anspruch 20, worin, wenn abwechselnde Signale nicht länger von dem CPU-Modul ausgegeben sind, oder wenn die ab­ wechselnden Signale, die eine Frequenz haben, die anders ist als die vorbestimmte Frequenz, übertragen sind, die Frequenzlogik-Failsafe-Schaltung Signale, die zu der Abweichungsalarmvorrichtung zugeführt werden, auf einen Wert festlegt, der notwendig ist zum Bewirken der Abweichungsanzeigeoperation.

22. Verfahren zum Betreiben eines Luftsackgeräts, das einen Beschleuni­ gungssensor, einen Luftsackzünder, und eine Steuerung zum Ausge­ ben eines Betriebssignals zu dem Luftsackzünder hat, wobei das Verfahren die Schritte aufweist:
Ausführen einer Selbstdiagnose zum Erfassen eines Ausfalls der Steuerungseinrichtung;
Erzeugen eines Unterbrechungssignals, das abhängt von einer Aus­ gabe von der Steuerungseinrichtung; und
Ausgeben eines Betriebssignals zu dem Luftsackzünder in Antwort auf das Unterbrechungssignal.

23. Verfahren zum Betreiben eines Luftsackgerätes, das einen Luftsack­ zünder, eine elektrische Leistungsquelle, einen Beschleunigungssensor, eine Abweichungsalarmanzeige, und eine Steuerung zum Ausgeben eines Betriebssignals zu dem Luftsackzünder hat, wobei das Ver­ fahren die Schritte aufweist:
Ausführen einer Diagnose, um Ausfälle des Beschleunigungssensors, des Luftsackzünders, der Abweichungsalarmanzeige und der elek­ trischen Energiequelle zu erfassen;
Ausführen einer Selbstdiagnose um einen Ausfall der Steuerungs­ einrichtung zu erfassen;
Erzeugen eines Unterbrechungssignals, das abhängt von einer Aus­ gabe von der Steuerungseinrichtung; und
Ausgeben eines Betriebssignals zu dem Luftsackzündgerät in Antwort auf das Unterbrechungssignal.

24. Verfahren zum Betreiben eines Luftsacks nach Anspruch 22, das weiter den Schritt aufweist:
Erzeugen eines Signals, das eine Abweichungsbedingung anzeigt, wenn ein Ergebnis der Selbstdiagnose der Steuerungseinrichtung einen Ausfall offenbart.

25. Verfahren zum Betreiben eines Luftsacks nach Anspruch 23, das weiter die Schritte aufweist:
Erzeugen eines Signals, das eine Abweichungsbedingung anzeigt, wenn zumindest eine der Diagnosen des Sensors, des Luftsackzün­ ders, der Abweichungsalarmanzeige, der elektrischen Energiequelle und der Selbstdiagnose der Steuerungseinrichtung einen Ausfall offenbart.

26. Verfahren zum Betreiben eines Lnftsackgerätes, das einen Beschleu­ nigungssensor, einen Luftsackzünder und eine Steuerung zum Ausge­ ben eines Betriebssignals zu dem Luftsackzünder hat, wobei das Ver­ fahren die Schritte aufweist:
Erzeugen eines Signals, das eine Mischung eines ersten Signals aufweist, die ein erstes Signalmuster enthält, das die Existenz einer normalen Bedingung anzeigt, wenn eine Selbstdiagnose der Steue­ rungseinrichtung eine normale Betriebsbedingung offenbart, und eines zweiten Signals zum Betreiben des Luftsackzündgerätes mittels eines zweiten Signalmusters; und
Ausgeben eines Signals, das einen Ausfall der Steuerungseinrichtung anzeigt, in Antwort auf die Erfassung eines Signals anders als zu­ mindest das erste Signalmuster und das zweite Signalmuster.

27. Verfahren zum Betreiben eines Luftsackgerätes, das einen Beschleu­ nigungssensor, einen Luftsackzünder und eine Steuerung zum Ausge­ ben eines Betriebssignals zu dem Luftsackzünder hat, wobei das Verfahren die Schritte aufweist:
Ausführen einer Selbstdiagnose zum Erfassen eines Ausfalls der Steuerungseinrichtung;
Erzeugen eines Unterbrechungssignals, das abhängt von einer Aus­ gabe der Steuerungseinrichtung;
Ausgeben eines Betriebssignals zu dem Luftsackzündgerät in Antwort auf das Unterbrechungssignal;
Erzeugen eines Signals, das eine Abweichungsbedingung angibt, wenn die Selbstdiagnose der Steuerungseinrichtung einen Ausfall offenbart; Erzeugen eines Signals, das eine Mischung aufweist eines ersten Signals, das ein erstes Signalmuster enthält, das die Existenz einer normalen Bedingung anzeigt, wenn eine Selbstdiagnose der Steuer­ einrichtung eine normale Bedingung offenbart, und eines zweiten Signals zum Betreiben des Luftsackzündgerätes mittels eines zweiten Signalmusters; und
Ausgeben eines Signals, das einen Ausfall der Steuerungseinrichtung angibt, in Antwort auf die Erfassung eines Signals, anders als zu­ mindest das erste Signalmuster und das zweite Signalmuster.

28. Verfahren gemäß Anspruch 25, das weiter die Schritte aufweist:
Erzeugen eines Signals, das eine Mischung aufweist eines ersten Signals, das ein erstes Signalmuster enthält, das die Existenz einer normalen Bedingung anzeigt, wenn eine Selbstdiagnose der Steue­ rungseinrichtung eine normale Bedingung offenbart, und eines zwei­ ten Signals zum Betreiben des Luftsackzündgerätes mittels eines zweiten Signalmusters; und
Ausgeben eines Signals, das einen Ausfall der Steuerungseinrichtung anzeigt in Antwort auf die Erfassung eines Signals, anders als zu­ mindest das erste Signalmuster und das zweite Signalmuster.

29. Verfahren zum Betreiben eines Luftsackgerätes, das einen Beschleu­ nigungssensor, einen Luftsackzünder, eine Abweichungsalarmanzeige, und eine Steuerung zum Ausgeben eines Betriebssignals zu dem Luftsackzünder hat, wobei das Verfahren die Schritte aufweist:
daß die Steuerung eine regelmäßige Selbstdiagnose durchführt, um einen Ausfall der Steuerung zu erfassen, wann immer eine Ausgabe von der Sensoreinrichtung nicht vorhanden ist; und
daß die Steuerung ein Signal ausgibt, das eine Abweichungsbedin­ gung anzeigt zu der Abweichungsalarmanzeige, wenn die Selbstdia­ gnose der Steuerung einen Ausfall offenbart.

30. Verfahren zum Betreiben eines Luftsackgerätes, das einen Beschleu­ nigungssensor; einen Luftsackzünder und eine Steuerung zum Ausge­ ben eines Betriebssignals zu dem Luftsackzünder hat, wobei das Ver­ fahren die Schritte aufweist:
daß die Steuerung Diagnosen von peripheren Geräten durchführt, die den Beschleunigungssensor, den Luftsackzünder, das Abweichungs­ alarmanzeigegerät, und eine elektrische Energiequelle aufweisen;
daß die Steuerungseinrichtung eine regelmäßige Selbstdiagnose durch­ führt, um einen Ausfall davon zu erfassen; und
daß die Steuerung ein Signal, das eine Abweichungsbedingung an­ zeigt, ausgibt zu der Abweichungsalarmanzeige, wenn zumindest eine der Diagnosen der Steuerung und der peripheren Geräte einen Aus­ fall offenbart.

31. Verfahren zum Betreiben eines Luftsackgerätes, das einen Beschleu­ nigungssensor; einen Luftsackzünder und eine Steuerung zum Ausge­ ben eines Betriebssignals zu dem Luftsackzünder, das von der Aus­ gabe des Beschleunigungssensors abhängt, hat, wobei die Steuerung zumindest einen Datenprozessor, einen Speicher und eine Frequenz­ logik-Ein-/Ausgabe-Vorrichtung aufweist, wobei das Verfahren die Schritte aufweist:
daß der Datenprozessor ein vorbestimmtes Signal zu der Frequenzlo­ gik-Ein-/Ausgabe-Vorrichtung überträgt, wenn der Beschleunigungs­ sensor eine Ausgabe erzeugt;
daß die Frequenzlogik-Ein-/Ausgabe-Vorrichtung ein Betriebssignal zu dem Luftsackzündgerät überträgt, das auf einem Inhalt des Signals von der Frequenzlogik-Ein-/Ausgabe-Vorrichtung basiert;
daß die Steuerungseinrichtung Diagnosen ausführt, um Ausfälle der peripheren Geräte zu entdecken, die den Beschleunigungssensor, den Luftsackzünder, eine Abweichungsalarmanzeige und eine elektrische Energiequelle aufweisen, wenn eine Ausgabe von dem Beschleuni­ gungssensor nicht vorhanden ist;
daß die Steuerungeinrichtung eine regelmäßige Selbstdiagnose aus­ führt, um einen Ausfall davon zu erfassen;
Beenden der Übertragung des vorbestimmen abwechselnden Signals von der Verarbeitungseinrichtung zu der Frequenzlogik-Ein-/Ausgabe- Vorrichtung, wenn zumindest eine der Diagnosen der Steuerungsein­ richtung und der peripheren Geräte einen Ausfall offenbart; und Übertragen eines Signals, das eine Abweichungsbedingung anzeigt, von der Frequenzlogik-Ein-/Ausgabe-Vorrichtung zu der Abwei­ chungsalarmanzeige.

32. Verfahren zum Betreiben eines Luftsackgeräts, das einen Beschleuni­ gungssensor; einen Luftsackzünder, und eine Steuerung zum Ausge­ ben eines Betriebssignals zu dem Luftsackzünder, das abhängt von einer Ausgabe von dem Beschleunigungssensor, hat, wobei die Steue­ rung zumindest einen Datenprozessor, einen Speicher und eine Frequenzlogik-Ein-/Ausgabe-Vorrichtung aufweist, wobei das Ver­ fahren die Schritte aufweist:
daß der Datenprozessor ein vorbestimmtes Signal überträgt zu der Frequenzlogik-Ein-/Ausgabe-Vorrichtung, wenn der Beschleunigungs­ sensor eine Ausgabe erzeugt;
daß die Frequenzlogik-Ein-/Ausgabe-Vorrichtung ein Betriebssignal überträgt zu dem Luftsackzündgerät, das basiert auf einem Inhalt eines Signals von der Frequenzlogik-Ein-/Ausgabe-Vorrichtung; daß die Steuerungseinrichtung Diagnosen ausführt, um Ausfalle der peripheren Geräte zu erfassen, die den Beschleunigungssensor, den Luftsackzünder, eine Abweichungsalarmanzeige und eine elektrische Energiequelle aufweisen, wenn eine Ausgabe von dem Beschleuni­ gungssensor nicht vorhanden ist;
daß die Steuerungeinrichtung eine regelmäßige Selbstdiagnose aus­ führt, um Ausfälle davon zu erfassen;
Beenden einer Übertragung des vorbestimmen abwechselnden Signals von der Verarbeitungseinrichtung zu der Frequenzlogik-Ein-/Ausgabe- Vorrichtung, wenn zumindest eine der Diagnosen der Steuerungsein­ richtung und der peripheren Geräte einen Ausfall offenbart;
Festlegen einer Charakteristik eines Signals von der Frequenzlogik- Ein-/Ausgabe-Vorrichtung zu dem Luftsackzündgerät bei einem Wert, der notwendig ist, um eindeutig den Betrieb des Luftsackes zu verhindern in Antwort auf die Beendigung der Übertragung des vorbestimmten abwechselnden Signals; und
Festlegen einer Charakteristik eines Signals von der Frequenzlogik- Ein-/Ausgabe-Vorrichtung zu der Abweichungsalarmanzeige bei einem Wert, der notwendig ist, um die Abweichungsalarmanzeige zu betrei­ ben, in Antwort auf die Beendigung der Übertragung des vorbe­ stimmten abwechselnden Signals.

33. Luftsackgerät, das aufweist:
einen Beschleunigungssensor;
einen Luftsackzünder;
eine Steuerung zum Ausgeben eines Betriebssignals zu dem Luftsack­ zünder;
Einrichtungen zum Durchführen einer Selbstdiagnose zum Erfassen eines Ausfalls der Steuerung;
Einrichtungen zum Erzeugen eines Unterbrechungssignals, das von einer Ausgabe von der Steuerung abhängt; und
Einrichtungen zum Ausgeben eines Betriebssignals zu dem Luftsack­ zünder in Antwort auf das Unterbrechungssignal.

34. Luftsackgerät, das aufweist:
einen Beschleunigungssensor;
einen Luftsackzünder;
eine elektrische Energiequelle;
eine Abweichungsalarmanzeige;
eine Steuerung zum Ausgeben eines Betriebssignals zu dem Luftsack­ zündgerät;
Einrichtungen zum Ausführen von Diagnosen zum Erfassen von Ausfällen von dem Beschleunigungssensor, dem Luftsackzünder, der Abweichungsalarmanzeige und der elektrischen Energiequelle; Einrichtungen zum Ausführen einer Selbstdiagnose zum Erfassen eines Ausfalls der Steuerung;
Einrichtungen zum Erzeugen eines Unterbrechungssignals, das von einer Ausgabe von der Steuerung abhängt; und
Einrichtungen zum Ausgeben eines Betriebssignals zu dem Luftsack­ zündgerät in Antwort auf das Unterbrechungssignal.

35. Luftsackgerät gemäß Anspruch 33, das weiter hat:
Einrichtungen zum Erzeugen eines Signals, das eine Abweichungs­ bedingung anzeigt, wenn ein Ergebnis der Selbstdiagnose der Steue­ rungseinrichtung einen Ausfall offenbart.

36. Luftsackgerät gemäß Anspruch 34, das weiter aufweist:
Einrichtungen zum Erzeugen eines Signals, das eine Abweichungs­ bedingung anzeigt, wenn zumindest eine der Diagnosen des Sensors, des Luftsackzünders, der Abweichungsalarmanzeige, der elektrischen Energiequelle und der Selbstdiagnose der Steuerung, einen Ausfall offenbaren.

37. Luftsackgerät, das aufweist:
einen Beschleunigungssensor;
einen Luftsackzünder;
eine Steuerung zum Ausgeben eines Betriebssignals zu dem Luftsack­ zünder;
Einrichtungen zum Erzeugen eines Signals, das eine Mischung auf­ weist eines ersten Signals, das zuerst ein Signalmuster enthält, das die Existenz einer normalen Bedingung anzeigt, wenn eine Selbstdiagnose der Steuerung eine normale Bedingung offenbart, und eines zweiten Signals zum Betreiben des Luftsackzündgerätes mittels eines zweiten Signalmusters; und
Einrichtungen zum Ausgeben eines Signals, das einen Ausfall der Steuerung anzeigt, in Antwort auf die Erfassung eines Signals, anders als zumindest das erste Signalmuster und das zweite Signalmuster.

38. Ein Luftsackgerät, das aufweist:
einen Beschleunigungssensor;
einen Luftsackzünder;
eine Steuerung zum Ausgeben eines Betriebssignals zum Luftsackzün­ der,
Einrichtungen zum Ausführen einer Selbstdiagnose zum Erfassen eines Ausfalls der Steuerung;
Einrichtungen zum Erzeugen eines Unterbrechungssignals, das von einer Ausgabe von der Steuerung abhängt;
Einrichtungen zum Ausgeben eines Betriebssignals zu dem Luftsack­ zündgerät in Antwort auf das Unterbrechungssignal;
Einrichtungen zum Erzeugen eines Signals, das eine abweichende Bedingung angibt, wenn die Selbstdiagnose der Steuerung einen Ausfall offenbart;
Einrichtungen zum Erzeugen eines Signals, das eine Mischung eines ersten Signals aufweist, das ein erstes Signalmuster enthält, das die Existenz einer normalen Bedingung anzeigt, wenn eine Selbstdiagnose der Steuerung eine normale Bedingung offenbart, und eines zweiten Signals zum Betreiben des Luftsackzündgerätes mittels eines zweiten Signalmusters; und
Einrichtungen zum Ausgeben eines Signals, das einen Ausfall der Steuerung anzeigt, in Antwort auf das Erfassen eines Signals, anders als zumindest das erste Signalmuster und das zweite Signalmuster.

39. Gerät gemäß Anspruch 36, das weiter aufweist:
Einrichtungen zum Erzeugen eines Signals, das eine Mischung auf­ weist eines ersten Signals, das ein erstes Signalmuster enthält, das die Existenz einer normalen Bedingung anzeigt, wenn eine Selbst­ diagnose der Steuerung eine normale Bedingung offenbart, und eines zweiten Signals zum Betreiben des Luftsackzündgerätes mittels eines zweiten Signalmusters; und
Einrichtungen zum Ausgeben eines Signals, das einen Ausfall der Steuerung anzeigt, in Antwort auf die Erfassung eines Signals, anders als zumindest das erste Signalmuster und das zweite Signalmuster.

40. Luftsackgerät, das einen Beschleunigungssensor, einen Luftsackzünder, eine Abweichungsalarmanzeige, und eine Steuerung zum Ausgeben eines Betriebssignals zu dem Luftsackzünder aufweist; worin
die Steuerung eine regelmäßige Selbstdiagnose durchführt, um einen Ausfall der Steuerung zu erfassen, wann immer eine Ausgabe von dem Sensor nicht existiert; und
die Steuerung ein Signal ausgibt, das eine abweichende Bedingung anzeigt, zu der Abweichungsalarmanzeige, wenn die Selbstdiagnose der Steuerung einen Fehler offenbart.

41. Luftsackgerät, das einen Beschleunigungssensor, einen Luftsackzünder, und eine Steuerung zum Ausgeben eines Betriebssignals zu dem Luftsackzünder aufweist; worin
die Steuerung Diagnosen von peripheren Geräten durchführt, die den Beschleunigungssensor, den Luftsackzünder, eine Abweichungsalarm­ anzeige, und eine elektrische Energiequelle aufweisen, und weiter eine regelmäßige Selbstdiagnose ausführt, um einen Ausfall der Steuerung zu erfassen; und
die Steuerung ein Signal ausgibt, das eine abweichende Bedingung anzeigt, zu der Abweichungsalarmanzeige, wenn zumindest eine der Diagnosen der Steuerung und der peripheren Geräte einen Ausfall offenbart.

42. Luftsackgerät, das einen Beschleunigungssensor, einen Luftsackzünder, und eine Steuerung zum Ausgeben eines Betriebssignals zu dem Luftsackzünder aufweist; worin:
die Steuerung zumindest einen Datenprozessor, einen Speicher und eine Frequenzlogik-Ein-/Ausgabe-Vorrichtung aufweist;
der Datenprozessor ein vorbestimmtes abwechselndes Signal zu der Frequenzlogik-Ein-/Ausgabe-Vorrichtung überträgt, wenn der Be­ schleunigungssensor eine Ausgabe erzeugt und gleichzeitig die Fre­ quenzlogik-Ein-/Ausgabe-Vorrichtung ein Betriebssignal überträgt zu dem Luftsackzünder, das auf einem Inhalt eines Signals von der Fre­ quenzlogik-Ein-/Ausgabe-Vorrichtung basiert;
die Steuerung Diagnosen ausführt, um einen Ausfall peripherer Geräte zu erfassen, die einen Beschleunigungssensor, einen Luft­ sackzünder, eine Abweichungsalarmanzeige und eine elektrische Energiequelle aufweisen, und auch regelmäßig eine Selbstdiagnose ausführt, wenn eine Ausgabe von dem Beschleunigungssensor nicht vorhanden ist; und
die Übertragung des vorbestimmen abwechselnden Signals von der Verarbeitungseinrichtung zu der Frequenzlogik-Ein-/Ausgabe-Vor­ richtung beendet ist, wenn zumindest eine der Diagnosen der Steue­ rung und der peripheren Geräte einen Ausfall offenbart, und gleich­ zeitig die Frequenzlogik-Ein-/Ausgabe-Vorrichtung ein Signal über­ trägt, das eine abweichende Bedingung zu der Abweichungsalarmvor­ richtung anzeigt.

43. Luftsackgerät, das einen Beschleunigungssensor, einen Luftsackzünder und eine Steuerung zum Ausgeben eines Betriebssignals zu dem Luftsackzünder aufweist; worin:
die Steuerung zumindest einen Datenprozessor, einen Speicher, und eine Frequenzlogik-Ein-/Ausgabevorrichtung aufweist;
der Datenprozessor ein vorbestimmtes abwechselndes Signal zu der Frequenzlogik-Ein-/Ausgabe-Vorrichtung überträgt, wenn der Be­ schleunigungssensor eine Ausgabe erzeugt, und gleichzeitig die Fre­ quenzlogik-Ein-/Ausgabe-Vorrichtung ein Betriebssignal überträgt zu dem Luftsackzünder, das auf einem Inhalt eines Signals von der Frequenzlogik-Ein-/Ausgabe-Vorrichtung basiert;
die Steuerung Diagnosen ausführt, um Ausfälle der peripheren Geräte zu erfassen, die den Beschleunigungssensor, den Luftsack­ zünder, eine Abweichungsalarmanzeige und eine elektrische Energie­ quelle aufweisen, und auch eine regelmäßige Selbstdiagnose durch­ führt, wenn eine Ausgabe von dem Beschleunigungssensor nicht vorhanden ist; und
die Übertragung des vorbestimmten abwechselnden Signals von dem Datenprozessor zu der Frequenzlogik-Ein-/Ausgabe-Vorrichtung been­ det ist, wenn zumindest eine der Diagnosen der Steuerung und der peripheren Geräte einen Ausfall offenbart und gleichzeitig eine Cha­ rakteristik eines Signals, das von der Frequenzlogik-Ein-/Ausgabe- Vorrichtung zu dem Luftsackzünder übertragen ist, zu einem Wert festgelegt ist, der notwendig ist, um eindeutig einen Betrieb des Luftsackes zu verhindern, und eine Charakteristik eines Signals von der Frequenzlogik-Ein-/Ausgabe-Vorrichtung zu der Abweichungs­ alarmanzeige festgelegt ist zu einem Wert, der notwendig ist, um die Abweichungsalarmanzeige zu betreiben.