DE69209151T2

DE69209151T2 - Rekonfigurierbarer Auslösekreis für einen Luftsack

Info

Publication number: DE69209151T2
Application number: DE69209151T
Authority: DE
Inventors: Kevin E Musser; James R Paye; Craig W White
Original assignee: Automotive Systems Laboratory Inc
Current assignee: Automotive Systems Laboratory Inc
Priority date: 1991-06-14
Filing date: 1992-05-19
Publication date: 1996-08-01
Anticipated expiration: 2012-05-20
Also published as: EP0518501A1; CA2069214A1; EP0518501B1; KR930000325A; US5261694A; CA2069214C; KR0126667B1; AU1803692A; JP2744170B2; JPH05178163A; DE69209151D1

Description

HINTERGRUND DER ERFINDUNG

Die vorliegende Erfindung betrifft Steuerschaltungen für Sicherheits-Rückhaltesysteme für Insassen von Fahrzeugen, wie beispielsweise Luftsäcke, welche einen Auslösekreis mit zwei Beschleunigungssensoren, deren auf Beschleunigung ansprechende Schalter in Reihe mit einer Sprengkapsel geschaltet sind, umfassen.
Bekannte Luftsack-Rückhaltesysteme für Insassen verwenden eine Steuerschaltung, bei der eine Spannungsversorgung eine Spannung über einen Auslösekreis anlegt, der eine mit zwei Beschleunigungssensoren in Reihe geschaltete Zündkapsel enthält, in denen sich zwei auf Beschleunigung ansprechende Schalter mit Schließkontakten befinden. Der Schalter jedes Sensors ist durch einen Widerstand geshuntet, dessen Nenn- Widerstandswert erheblich größer ist als der Innenwiderstand der Sprengkapsel. Somit fließt nominal ein geringer Strom durch den Auslösekreis, während die Schalter der Sensoren in ihrer normalerweise geöffneten Position bleiben. Das Schließen der Sensorschalter als Reaktion auf eine Kollision oder eine deutliche Fahrzeugverzögerung verursacht einen erheblichen Anstieg des durch die Sprengkapsel fließenden Stroms, wodurch die Sprengkapsel "gezündet" und der Einsatz des Luftsackes ausgelöst wird. Siehe z.B. das U.S.-Patent Nr. 4,695,075, das am 22. September 1987 Kamiji et al. erteilt wurde.
Versagt beim Stand der Technik der Schalter eines der Sensoren in seiner geschlossenen Position oder hat er die Neigung, zu schließen, lehrt der Stand der Technik die Deaktivierung der gesamten Steuerschaltung, um das unbeabsichtigte oder vorzeitige Auslösen des Insassen-Rückhaltesystems zu verhindern, wodurch die Insassen erneut einem Risiko ausgesetzt sind. Siehe beispielsweise das U.S. -Patent Nr. 3,889,232, das Bell am 10. Juni 1975 erteilt wurde, bei dem die Steuerschaltung abschaltet, wenn ein Sensor ohne entsprechendes Schließen des anderen Sensors schließt.
Als Alternative beschreiben wir in unserem U.S.-Patent Nr. 4,958,851, das am 25. September 1990 erteilt wurde, auf dem die Oberbegriffe der beiliegenden Ansprüche 1 und 3 basieren, eine rekonfigurierbare Auslöseschaltung für einen Luftsack, deren Auslösekreis zwei mit einer Sprengkapsel in Reihe geschaltete Beschleunigüngssensoren umfaßt. Die Auslöseschaltung enthält des weiteren eine Einrichtung zur funktionalen Entfernung des eine Fehlfunktion aufweisenden Sensors aus dem Auslösekreis, indem der eine Fehlfunktion aufweisende Sensor geschlossen oder geshuntet wird, wodurch der anhaltende Schutz der Fahrzeuginsassen unter der Kontrolle des verbleibenden, funktionstüchtigen Sensors gegeben ist.
Die vorliegende Erfindung ist auf eine verbesserte, rekonfigurierbare Auslöseschaltung für einen Luftsack sowie auf ein verbessertes Verfahren zur Betatigung derselben gerichtet.
Es ist eine Aufgabe der vorliegenden Erfindung, eine verbesserte Steuerschaltung für Sicherheits-Rückhaltesysteme für Fahrzeuginsassen bereitzustellen, die zwei Sensoren enthält, deren auf Beschleunigung ansprechende Schalter in deren Auslösekreis in Reihe geschaltet sind, und die eine anhaltende Funktionsfähigkeit der Schaltung, ungeachtet einer Störung oder eines "Ausfalls" des Aufprall-Entscheidungssensors, aufweist.
Eine weitere Aufgabe der vorliegenden Erfindung ist die Bereitstellung eines verbesserten Verfahrens zur Betätigung einer solchen Steuerschaltung, um ungeachtet eines auf einen Punkt begrenzten Ausfalls darin eine erhöhte Zuverlässigkeit zu gewähren.
Gemäß der vorliegenden Erfindung wird eine Steuerschaltung zur Betätigung eines Sicherheits-Rückhaltesystems in einem Kraftfahrzeug bereitgestellt, umfassend:
einen Auslösekreis, in dem eine erste Schalteinrichtung mit Schließkontakt zum Schließen als Reaktion auf eine einen ersten Schwellenwert überschreitende Fahrzeugbeschleunigung, eine stromempfindliche Triggereinrichtung zur Betätigung dieses Sicherheits-Rückhaltesystems und eine zweite Schalteinrichtung mit Schließkontakt zum Schließen als Reaktion auf einen zweiten Schwellenwert, der höher ist als der erste Schwellenwert, in Reihe geschaltet sind;
eine Einrichtung zum Anlegen einer Spannung über den Auslösekreis;
eine Ausfall-Detektoreinrichtung zur Erkennung eines Ausfalls der ersten Schalteinrichtung und/oder der zweiten Schalteinrichtung;
eine Schwellenwert-Einstelleinrichtung, die auf die Ausfall-Detektoreinrichtung anspricht, um den Schwellenwert der ersten Schalteinrichtung zu erhöhen, wobei die Schwellenwert-Einstelleinrichtung so arbeitet, daß sie den Schwellenwert der ersten Schalteinrichtung bei Erkennung eines Ausfalls der zweiten Schalteinrichtung erhöht;
eine Shunt-Einrichtung, die auf die Ausfall-Detektoreinrichtung und die Operation der Schwellenwert-Einstelleinrichtung anspricht, um die zweite Schalteinrichtung zu shunten, wobei die Shunt-Einrichtung so arbeitet, daß sie die zweite Schalteinrichtung nach der Operation der Schwellenwert-Einstelleinrichtung bei Erkennung eines Ausfalls der zweiten Schalteinrichtung shuntet;
dadurch gekennzeichnet, daß
die Steuerschaltung außerdem umfaßt:
eine Sensoreinrichtung zur Generierung eines ersten Signals, das für die momentane Fahrzeugbeschleunigung repräsentativ ist;
eine Prozessoreinrichtung, die auf das erste Signal reagiert, um ein zweites Signal zu generieren, wenn das erste Signal einen dem zweiten Schwellenwert entsprechenden, die Betätigung des Sicherheits-Rückhaltesystems erfordernden Zustand meldet; und in der
die zweite Schalteinrichtung mit der Prozessoreinrichtung kommuniziert und im Betrieb als Reaktion auf die Genenerung des zweiten Signals schließt;
die Ausfall-Detektoreinrichtung zusätzlich das Shunten der zweiten Schalteinrichtung bei Erkennung eines Ausfalls der Sensoreinrichtung und/oder der Prozessoreinrichtung übernimmt; und
die Schwellenwert-Einstelleinrichtung außerdem die Aufgabe hat, den Schwellenwert der ersten Schalteinrichtung bei Erkennung eines Ausfalls der Sensoreinrichtung und/oder der Prozessoreinrichtung zu erhöhen, und bei der im Betrieb die Operation der Schwellenwert-Einstelleinrichtung bei Erkennung eines Ausfalls der ersten Schalteinrichtung gesperrt ist.
Gemäß der vorliegenden Erfindung wird außerdem ein Verfahren zur Betätigung einer Steuerschaltung für ein Sicherheits-Rückhaltesystem in einem Kraftfahrzeug bereitgestellt, wobei die Steuerschaltung enthält:
einen Auslösekreis, in dem eine erste Schalteinrichtung mit Schließkontakt zum Schließen als Reaktion auf eine einen ersten Schwellenwert überschreitende Fahrzeugbeschleunigung, eine stromempfindliche Triggereinrichtung zur Betätigung dieses Sicherheits-Rückhaltesystems und eine zweite Schalteinrichtung mit Schließkontakt zum Schließen als Reaktion auf einen zweiten Schwellenwert, der höher ist als der ersten Schwellenwert, in Reihe geschaltet sind;
eine Einrichtung zum Anlegen einer Spannung über den Auslösekreis,
eine Ausfall-Detektoreinrichtung zur Erkennung eines Ausfalls der ersten Schalteinrichtung und/oder der zweiten Schalteinrichtung;
eine Schwellenwert-Einstelleinrichtung zur Erhöhung des Schwellenwerts der ersten Schalteinrichtung; und
eine Shunt-Einrichtung zum Shunten der zweiten Schalteinrichtung; wobei das Verfahren folgende Schritte umfaßt: Erkennung eines Ausfalls der ersten Schalteinrichtung und/oder der zweiten Schalteinrichtung;
Betätigung der Schwellenwert-Einstelleinrichtung, um den Schwellenwert der ersten Schalteinrichtung bei Erkennung eines Ausfalls der zweiten Schalteinrichtung zu erhöhen;
Betätigung der Shunt-Einrichtung zum Shunten der zweiten Schalteinrichtung bei Erkennung des Ausfalls der zweiten Schalteinrichtung;
dadurch gekennzeichnet, daß die Steuerschaltung außerdem umfaßt:
eine Sensoreinrichtung zur Generierung eines ersten Signals, das für die momentane Fahrzeugbeschleunigung repräsentativ ist, und eine Prozessoreinrichtung, die auf das erste Signal reagiert, um ein zweites Signal zu generieren, wenn das erste Signal einen dem zweiten Schwellenwert entsprechenden, die Betätigung des Sicherheits-Rückhaltesystems erfordernden Zustand meldet; und in der die zweite Schalteinrichtung mit der Prozessoreinrichtung kommuniziert und im Betrieb als Reaktion auf die Generierung des zweiten Signals schließt; und
die Ausfall-Detektoreinrichtung zusätzlich die Erkennung eines Ausfalls der Sensoreinrichtung und/oder der Prozessoreinrichtung übernimmt;
und wobei das Verfahren weiterhin folgende Schritte bei Erkennung eines Ausfalls der Sensoreinrichtung, der Prozessoreinrichtung und/oder der zweiten Schalteinrichtung umfaßt:
Bestätigen der anhaltenden Funktionsfähigkeit der ersten Schalteinrichtung, dadurch daß kein Ausfall derselben erkannt wird; und
Bestätigen der Funktionsfähigkeit der Schwellenwert-Einstelleinrichtung; wobei
die Schwellenwert-Einstelleinrichtung nur nach Bestätigung der anhaltenden Funktionsfähiqkeit der ersten Schalteinrichtung und die Shunt-Einrichtung nur nach Bestätigung der Funktionsfähigkeit der Schwellenwert-Einstelleinrichtung betätigt werden.
Die beiliegende Zeichnung stellt ein Blockschema einer beispielhaften Auslöseschaltung gemäß der vorliegenden Erfindung für einen Luftsack dar.
Wie aus der Zeichnung ersichtlich ist, umfaßt eine beispielhafte Auslöseschaltung 10 gemäß der vorliegenden Erfindung für einen Luftsack einen Auslösekreis 12, der in Reihe geschaltet einen auf einen relativ niedrigen Schwellenwert bei Beschleunigung ansprechenden ersten Schalter 14 mit Schließkontakt eines Beschleunigungssensors (im folgenden als "Sicherheitssensor 16" bezeichnet), und parallele Auslösekreiszweige 18a und 18b mit jeweils einer in Reihe geschalteten Sprengkapsel 20 zum Auslösen des Einsatzes eines Luftsackes an der Fahrerseite bzw. eines Luftsackes an der Beifahrerseite (beide nicht dargestellt) sowie einen FET ("Auslöse-FET 22") enthält, um die Seite jeder Sprengkapsel 20 gegenüber dem Sicherheitssensor 16 nach Masse zu ziehen, wenn er von einer Mikroprozessoreinrichtung 24 angesteuert wird. Der Mikroprozessor 24 selbst spricht auf den Ausgang eines elektronischen Aufprallsensor an, der in einer nachstehend ausführlicher beschriebenen anwendungsspezifischen integrierten Schaltung (Application Specific Integrated Circuit - "Sensor-ASIC 26") integriert ist.
Eine Spannungsversorgung 28 legt über den Auslösekreis 12 eine bekannte Versorgungsspannung VB an, die ausreicht, jede Sprengkapsel 20 beim gleichzeitigen Schließen des Schalters 14 des Sicherheitssensors und des mit der Sprengkapsel 20 gekoppelten Auslöse-FET 22 (zweiter Schalter) zur Explosion zu bringen. Die Spannungsversorgung 28 enthält einen Kondensator 30 und eine Ladungspumpe 32, um die angelegte Spannung VB aufrechtzuerhalten, wenn eine damit verbundene Batterie 34 eine Funktionsstörung hat oder anderweitig bei einer Fahrzeugkollision davon getrennt wird.
Der Sicherheitssensor 16 selbst ist in der Zeichnung schematisch als ein auf Beschleunigung ansprechender Schalter 14 mit Schließkontakt dargestellt, der ungeachtet der Beschleunigung bei Durchgang eines Stroms von einer Konstantstromquelle 36 durch eine integrale Testspule 38 schließen kann, wobei die Konstantstromquelle 36 und die integrale Testspule 38 die Schwellenwert-Einstelleinrichtung bilden. Und durch Leiten des Stroms in umgekehrter Richtung durch die Testspule 38 kann die Nenn-Vorspannung des auf Beschleunigung ansprechenden Schalters 14 erhöht werden, wodurch ein höheres Niveau der erfaßten Beschleunigung erforderlich ist, um den Schalter 14 zu schließen und die Sprengkapseln 20 zu zünden. Die Konstruktion eines Ausführungsbeispiels des Sicherheitssensors 16 wird in dem U.S.- Patent Nr. 4,827,091 gelehrt, das Behr am 2. Mai 1989 erteilt wurde.
Analog wird die Konstruktion eines Ausführungsbeispiels des in der Sensor-ASIC 26 integrierten Aufprallsensors in unserem U.S.-Patent Nr. 5060504 beschrieben, das am 27. September 1989 eingereicht wurde und den Titel "Self-Calibrating Accelerometer" trägt. Einfach ausgedrückt, der elektronische Sensor innerhalb der Sensor-ASIC 26 stellt einen zur Fahrzeugbeschleunigung proportionalen analogen Ausgang bereit, beispielsweise durch den Einbau eines piezoelektrischen Ohmschen Elements in den Träger der feinbearbeiteten, fliegenden trägen Masse des Sensors. Nach der Analog-Digitalwandlung des Ausgangs des elektronischen Sensors in der Sensor-ASIC 26 wird das resultierende Beschleunigungsdatum über eine serielle periphere Schnittstelle ("SPI 40") an den Mikroprozessor 24 übertragen, worauf dieser bestimmt, ob ein Beschleunigungs-Schwellenwert überschritten worden ist, was eine Aufprallbedingung bedeutet. Wird eine Aufprallbedingung gemeldet, so schaltet der Mikroprozessor 24 die Auslöse-FET's 22 ein, um die Seite jeder Sprengkapsel 20 gegenüber dem Sicherheitssensor 16 nach Masse zu ziehen.
Der Schließkontakt des Schalters 14 des Sicherheitssensors 16 und jeder Auslöse-FET 22 sind durch einen Widerstand 42 mit gleichem Nenn-Widerstandswert geshuntet. Vorzugsweise ist der Nenn-Widerstandswert der Shunt-Widerstände 42 um mehrere Größenordnungen größer als der Nenn-Innenwiderstand jeder der Sprengkapseln 20. Im Normalbetrieb halten die Shunt-Widerstände 42 einen relativ niedrigen Stromfluß durch den Auslösekreis 12 und damit durch die Sprengkapseln desselben aufrecht. Mit dem gleichzeitigen Schließen des Sicherheitssensors 16 und der Auslöse-FET's 22 als Reaktion auf eine die jeweiligen Schwellenwerte des Sicherheitssensors 16 und des elektronischen Aufprallsensors innerhalb der Sensor-ASIC 26 (gemäß Bestimmung durch den Mikroprozessor 24) überschreitende Beschleunigung werden die Shunt- Widerstände 42 kurzgeschlossen, und der durch jede Sprengkapsel 20 fließende Strom steigt auf einen Wert über deren Zündschwellenwert an, um dieselbe zur Explosion zu bringen und den Einsatz des Luftsackes auszulösen.
Die vorliegende Schaltung 10 umfaßt des weiteren eine anwendungsspezifische integrierte Schaltung ("Diagnose-ASIC", Ausfalldetektoreinrichtung 44) zur Diagnose eines Ausfalls der Sensor-ASIC 26, um angemessen auf Beschleunigung entsprechend der Interpretation der Sensor-ASIC-Daten, die über die SPI 40 übertragen wurden, zu reagieren. Ein beispielhaftes Verfahren zur Erprobung der Integrität des Auslösekreises einer Auslöseschaltung für einen Luftsack wird im U.S.-Patent Nr. 4,851,705 gelehrt, das am 25. Juli 1989 Musser et al. erteilt wurde.
Ein zusätzlicher FET ("Rekonfigurierungs-FET", Shunt-Einrichtung 46) ist mit dem Auslösekreis 12 an Punkten jedes Zweigs 18a und 18b zwischen der Sprengkapsel 20 und dem Auslöse-FET 22 über eine Diode 48 gekoppelt, wobei der Rekonfigurierungs-FET 46 von der Sensor-ASIC 26 gesteuert wird. Der Rekonfigurierungs-FET 46 gestattet der Sensor- ASIC 26, die Seite jeder Sprengkapsel 20 gegenüber dem Sicherheitssensor 16 nach Masse zu ziehen, wenn die Diagnose-ASIC 44 einen Ausfall des integralen elektronischen Aufprallsensors der Sensor-ASIC oder von dessen zugehöriger Elektronik, einschl. eines Ausfalls des Mikroprozessors 24 oder der vom Mikroprozessor 24 gesteuerten FET's 22 erkennt.
Gemäß der vorliegenden Erfindung wird die Rekonfigurierung des Auslösekreises 12 der Schaltung von den beiden ASIC's 26 und 44, der Konstantspannungsquelle 36 und dem Mikroprozessor 24 wie folgt gesteuert:
Im Normalbetrieb der Schaltung veranlaßt der Mikroprozessor 24 die Rekonfigurierung des Auslösekreises durch die Verwendung eines Überwachungszeitgliedes in der Diagnose-ASIC 44. Insbesondere setzt der Mikroprozessor 24 das Zeitglied regelmäßig zurück, indem über eine Leitung 50 Rekonfigurierungsimpulse an die Diagnose-ASIC 44 geschickt werden. Erkennt der Mikroprozessor 24 einen Ausfall der Sensor-ASIC 26, z.B. das Unvermögen ihres elektronischen Aufprallsensors, angemessen auf Beschleunigung zu reagieren, oder übermäßige elektromagnetische Störungen (electromagnetic interference - "EMI"), so stoppt der Mikroprozessor 24 die Übertragung der Rekonfigurierungsimpulse über die Leitung 50 and die Diagnose-ASIC 44, und das Zeitglied hört auf, die Rekonfigurierung anzustoßen. Analog wird der Mikroprozessor 24 die Rekonfigurierung des Auslösekreises 12 der Schaltung anfordern, wenn er den Ausfall entweder eines der Auslöse-FET's 22 oder des Rekonfigurierungs-FET 46 erkennt. Eine geeignete Zeitspanne für das Uberwachungszeitglied dürfte etwa 250 ms sein.
Die Diagnose-ASIC 44 überwacht außerdem den Mikroprozessor 24 über ein "Totmann"-Zeitglied. Im Normalbetrieb schickt der Mikroprozessor 24 in regelmäßigen Abständen ein "Totmann"-Signal über eine Leitung 52 an die Diagnose-ASIC 44, um seine anhaltende Funktionstüchtigkeit zu bestätigen. Bei Ausbleiben des "Totmann"-Signals oder bei einer anderweitigen Erkennung eines Ausfalls des Mikroprozessors 24 über die SPI 40, schickt die Diagnose-ASIC 44 ein Reset-Signal über eine Leitung 54 an den Mikroprozessor 24, mit dem versucht wird, die Schaltung 10 wieder voll funktionsfähig zu machen. Sollte der Mikroprozessor 24 nicht auf den Reset reagieren, so läuft das obenbeschriebene Überwachungszeitglied ab, wodurch die Diagnose-ASIC 44 erneut veranlaßt wird, die Rekonfigurierungsabfolge anzustoßen, wie nachstehend ausführlicher beschrieben wird. Die Verwendung des Überwachungszeitgliedes gestattet also der Diagnose-ASIC 44, ungeachtet des Ausfalls des Mikroprozessors 24, die Rekonfigurierung des Auslösekreises 12, wodurch die Zuverlässigkeit der vorliegenden Schaltung 10 verbessert wird.
Die Diagnose-ASIC 44 kann ebenfalls eine regelmäßige dynamische Prüfung des Sicherheitssensors 16 unter der Steuerung des Mikroprozessors 24 ausführen, indem entsprechende Signale über Leitungen 62, 64 und 66 durch Anschlüsse PHASE, I&sub0; und I&sub1; der Konstantstromquelle 36 geschickt werden, die ihrerseits einen Strom in einer ersten Richtung durch die Sensor-Testspule 38 über eine Leitung 60 schickt, während die Spannung an einem Punkt 58 des Auslösekreises 12 überwacht wird.
Nach dem Anstoßen läuft die Rekonfigurierungsfolge für die vorliegende Schaltung 10 wie folgt ab: Die Diagnose-ASIC 44 bestimmt zuerst, ob der Sicherheitssensor 16 gegenüber Masse kurzgeschlossen worden ist, indem die Spannung im Punkt 58 des Auslösekreises 12 zwischen dem Sicherheitssensor und den beiden Sprengkapseln 20 überwacht wird. Bei Bestätigung der anhaltenden Funktionstüchtigkeit (und der Integrität des Auslösekreises), schickt die Diagnose-ASIC 44 Signale über die Leitungen 62, 64 und 66 durch die Anschlüsse PHASE, I&sub0; und I&sub1; der Konstantstromquelle 36, wodurch der Strom der Leitung 60 in einer zweiten Richtung durch die Testspule 38 des Sensors geschickt wird, um ihren Schwellenwert durch eine zunehmende Vorspannung des Schalters 14 in offener Position zu erhöhen. Wird die Stromquelle 36 eingeschaltet, erzeugt sie außerdem Stromrichtungsimpulse über eine Leitung 68, die von der Sensor-ASIC 26 gezählt werden. Nachdem die Sensor-ASIC 26 eine geeignete Anzahl von Impulsen über die Leitung 68 gezählt hat, welche eine angemessene Zeitverzögerung darstellen, damit der rekonfigurierte Sicherheitssensor 16 einen statischen, erhöhten Schwellenwert annehmen kann, schaltet die Sensor- ASIC 26 den Rekonfigurierungs-FET 46 ein, um die Seiten der Sprengkapseln 20 gegenüber dem Sicherheitssensor 16 nach Masse zu ziehen. Der Auslösekreis 12 der vorliegenden Schaltung 10 ist damit rekonfiguriert und arbeitet anschließend als Aufprall-Entscheidungssensor der Schaltung.
Vorzugsweise zählt die Sensor-ASIC 26 die Stromrichtungsimpulse auf der Leitung 68 nur dann, wenn der Eingang PHASE der Sensor-ASIC 26 auf HIGH liegt, wodurch eine versehentliche Erhöhung des Sensor-Schwellenwertes bei einer Störung der Stromquelle 36 verhindert wird.
Zeigt die überwachte Spannung im Punkt 58 des Auslösekreises 12 einen kurzgeschlossenen Sicherheitssensor 16 an, so beendet die Diagnose-ASIC 44 die Rekonfigurierungsfolge, da sonst ein ungewollter Einsatz des Luftsackes resultieren könnte, wenn danach der Rekonfigurierungs-FET 46 eingeschaltet werden würde.
Bei der vorliegenden Erfindung besteht keine Nowendigkeit, das System bei einem auf einen Punkt begrenzten Ausfall entweder der Diagnose-ASIC 44 oder der Stromquelle 36 zu rekonfigurieren, da die vorliegende Schaltung 10 weiterhin in ihrem Normalmodus aufgrund der anhaltenden Funktion der Sensor-ASIC 26 und des Mikroprozessors 24 arbeiten wird. Wie oben erwähnt, kann im Falle eines Ausfalls der Sensor- ASIC 26 die Rekonfigurierung durch die Diagnose-ASIC 44 und den Mikroprozessor 24 bewirkt werden. Analog bleibt im Falle eines Ausfalls des Mikröprozessors 24 die Rekonfigurierung aufgrund der anhaltenden Funktion der Diagnose-ASIC 44, der Stromquelle 36 und der Sensor-ASIC 26 möglich.
Obwohl die bevorzugte Ausführungsform der Erfindung beschrieben worden ist, liegt es auf der Hand, daß bei der Erfindung Modifikationen möglich sind, ohne den Gültigkeitsbereich der beiliegenden Ansprüche zu verlassen. So können beispielsweise gemäß der vorliegenden Erfindung die Sensor- und die Diagnose-ASIC 26 und 44 anders zusammengefaßt werden, so daß die gesamte Rekonfigurierungs-Steuerung in einer eigenen Rekonfigurierungs-ASIC untergebracht ist, die deshalb vollkommen unabhängig von die den diagnostischen Funktionen bereitstellenden Komponenten ist. Eine solche Rekonfigurierungs-ASIC würde vorzugsweise Überwachungseingänge für VB, Stromrichtung und Spannung; Ausgänge PHASE-, I&sub0;-, I&sub1;-, Rekonfigurierungs-FET-Steuerung und Rekonfigurierungsimpulse sowie die SPI-Kommunikation mit anderenen Schaltungskomponenten hinsichtlich des elektronischen Sensorausgangs, der Anforderungen des Prüfsignals und anderer Statusmeldungen der Schaltung enthalten.

Claims

1. Steuerschaltung zur Betätigung eines Sicherheits- Rückhaltesystems in einem Kraftfahrzeug, umfassend:

einen Auslösekreis (12, 18), in dem eine erste schalteinrichtung (14, 16) mit Schließkontakt zum Schließen als Reaktion auf eine einen ersten Schwellenwert überschreitende Fahrzeugbeschleunigung, eine stromempfindliche Triggereinrichtung (20) zur Betätigung dieses Sicherheits-Rückhaltesystems und eine zweite Schalteinrichtung (22) mit Schließkontakt zum Schließen als Reaktion auf einen zweiten Schwellenwert, der höher ist als der ersten Schwellenwert, in Reihe geschaltet sind;

eine Einrichtung (28) zum Anlegen einer Spannung an den Auslösekreis;

eine Ausfall-Detektoreinrichtung (44) zur Erkennung eines Ausfalls der ersten Schalteinrichtung (14, 16) und/oder der zweiten Schalteinrichtung (22);

eine Schwellenwert-Einstelleinrichtung (36, 38), die auf die Ausfall-Detektoreinrichtung (44) anspricht, um den Schwellenwert der ersten Schalteinrichtung (14, 16) zu erhöhen, wobei die Schwellenwert-Einstelleinrichtung (36, 38) so arbeitet, daß sie den Schwellenwert der ersten Schalteinrichtung (14, 16) bei Erkennung eines Ausfalls der zweiten Schalteinrichtung (22) erhöht;

eine Shunt-Einrichtung (46), die auf die Ausfall- Detektoreinrichtung (44) und die Tätigkeit der Schwellenwert-Einstelleinrichtung (36, 38) anspricht, um die zweite Schalteinrichtung (22) zu shunten, wobei die Shunt-Einrichtung (46) so arbeitet, daß sie die zweite Schalteinrichtung (22) nach der Tätigkeit der Schwellenwert-Einstelleinrichtung (36, 38) bei Erkennung eines Ausfalls der zweiten Schalteinrichtung (22) shuntet;

dadurch gekennzeichnet, daß die Steuerschaltung außerdem umfaßt:

eine Sensoreinrichtung (26) zum Erezuegen eines ersten Signals, das für die momentane Fahrzeugbeschleunigung repräsentativ ist;

eine Prozessoreinrichtung (24), die auf das erste Signal reagiert, um ein zweites Signal zu erzeugen, wenn das erste Signal einen dem zweiten Schwellenwert entsprechenden, die Betätigung des Sicherheits-Rückhaltesystems erfordernden Zustand meldet; und

in der

die zweite Schalteinrichtung mit der Prozessoreinrichtung (24) kommuniziert und im Betrieb als Reaktion auf die Erzeugung des zweiten Signals schließt;

die Ausfall-Detektoreinrichtung (44) zusätzlich das Erkennen eines Anfalls der Sensoreinrichtung (26) und/oder der Prozessoreinrichtung (24) übernimmt; die Shunteinrichtung (46) zusätzlich das Shunten der zweiten Schalteinrichtung (22) bei Erkennung eines Ausfalls der Sensoreinrichtung (26) und/oder der Prozessoreinrichtung (24) übernimmt; und

die Schwellenwert-Einstelleinrichtung (36, 38) außerdem die Aufgabe hat, den Schwellenwert der ersten Schalteinrichtung (14, 16) bei Erkennung eines Ausfalls der Sensoreinrichtung (26) und/oder der Prozessoreinrichtung (24) zu erhöhen, und bei der im Betrieb die Tätigkeit der Schwellenwert-Einstelleinrichtung (36, 38) bei Erkennung eines Ausfalls der ersten Schalteinrichtung (14, 16) gesperrt ist.

2. Steuerschaltung nach Anspruch 1, bei der die Schwellenwert-Einstelleinrichtung (36, 38) eine Einrichtung für die zunehmende Vorspannung der ersten Schalteinrichtung in der normalerweise geöffneten Position enthält.

3. Verfahren zum Betreiben einer Steuerschaltung für ein Sicherheits-Rückhaltesystem in einem Kraftfahrzeug, wobei die Steuerschaltung umfaßt:

eine Einrichtung (28) zum Anlegen einer Spannung an den Auslösekreis (12, 18);

eine Schwellenwert-Einstelleinrichtung (36, 38) zur Erhöhung des Schwellenwerts der ersten Schalteinrichtung (14, 16); und

eine Shunt-Einrichtung (46) zum Shunten der zweiten Schalteinrichtung (22); wobei das Verfahren folgende Schritte umfaßt:

Erkennung eines Ausfalls der ersten Schalteinrichtung (14, 16) und/oder der zweiten Schalteinrichtung (22); Betätigung der Schwellenwert-Einstelleinrichtung (36, 38), um den Schwellenwert der ersten Schalteinrichtung (14, 16) bei Erkennung eines Ausfalls der zweiten Schalteinrichtung (22) zu erhöhen;

Betätigung der Shunt-Einrichtung (46) zum Shunten der zweiten Schalteinrichtung (22) bei Erkennung des Ausfalls der zweiten Schalteinrichtung (22);

dadurch gekennzeichnet, daß

die Steuerschaltung außerdem umfaßt:

eine Sensoreinrichtung (26) zum Erzeugen eines ersten Signals, das für die momentane Fahrzeugbeschleunigung repräsentativ ist, und eine Prozessoreinrichtung (24), die auf das erste Signal reagiert, um ein zweites Signal zu erzeugen, wenn das erste Signal einen dem zweiten Schwellenwert entsprechenden, die Betätigung des Sicherheits-Rückhaltesystems erfordernden Zustand meldet; und in der die zweite Schalteinrichtung (22) mit der Prozessoreinrichtung (24) kommuniziert, die als Reaktion auf die Erzeugung des zweiten Signals schließt; und

die Ausfall-Detektoreinrichtung (44) zusätzlich die Erkennung eines Ausfalls der Sensoreinrichtung (26) und/oder der Prozessoreinrichtung (24) übernimmt;

und wobei das Verfahren weiterhin folgende Schritte bei Erkennung eines Ausfalls der Sensoreinrichtung (26), der Prozessoreinrichtung (24) und/oder der zweiten Schalteinrichtung (22) umfaßt:

Bestätigen der anhaltenden Funktionsfähigkeit der ersten Schalteinrichtung (14, 16), dadurch, daß kein Ausfall derselben erkannt wird; und

Bestätigen der Funktionsfähigkeit der Schwellenwert- Einstelleinrichtung (36, 38); wobei

die Schwellenwert-Einstelleinrichtung (36, 38) nur nach Bestätigung der anhaltenden Funktionsfähigkeit der ersten Schalteinrichtung (14, 16) und die Shunt- Einrichtung (46) nur nach Bestätigung der Funktionsfähigkeit der Schwellenwert-Einstelleinrichtung (36,38) betätigt werden.