FR2697648A1

FR2697648A1 - Mounting to protect an electronic control system against safety critical states.

Info

Publication number: FR2697648A1
Application number: FR9312813A
Authority: FR
Inventors: Fischer Jorg; Klein Bodo
Original assignee: Daimler Benz AG; Mercedes Benz AG
Current assignee: Daimler Benz AG
Priority date: 1992-10-29
Filing date: 1993-10-27
Publication date: 1994-05-06
Also published as: GB9322038D0; GB2272540A; FR2697648B1; GB2272540B; DE4236525C1

Abstract

L'invention concerne un montage pour protéger un système de régulation électronique vis-à-vis d'états critiques pour la sécurité. Dans ce montage pour protéger un système de régulation comprenant une unité de calcul, des étages de commutation et des organes de réglage et dans lequel un étage de commutation applique une tension (U) présente à l'entrée de l'étage de commutation à la sortie de tension reliée à un organe de réglage, et pour exclure un état critique dans lequel deux étages de commutation (2, 3) sont bloqués, l'entrée de tension (3.1) de l'étage (3) est raccordée à la sortie de tension (2.1) de l'étage (2). Application notamment à des systèmes de commande électroniques installés dans des véhicules automobiles.The invention relates to an arrangement for protecting an electronic control system from safety critical conditions. In this assembly to protect a regulation system comprising a computing unit, switching stages and regulating members and in which a switching stage applies a voltage (U) present at the input of the switching stage to the voltage output connected to a regulator, and to exclude a critical state in which two switching stages (2, 3) are blocked, the voltage input (3.1) of stage (3) is connected to the output voltage (2.1) of the stage (2). Application in particular to electronic control systems installed in motor vehicles.

Description

L'invention concerne un montage pour protéger un système de régulationThe invention relates to an arrangement for protecting a control system

électronique vis-à-vis d'états critiques pour la sécurité, dans lequel le système de régulation est constitué par une unité de calcul, plusieurs étages de commutation commandés par l'unité de calcul et plusieurs organes de réglage branchés en aval et, lors de la présence d'un signal de commutation délivré par l'unité de calcul, l'étage de commutation concerné applique une tension d'alimentation, qui est présente à l'entrée de tension de l'étage de commutation, à la sortie de tension, à laquelle est raccordée l'organe de réglage associé, un état critique pour la sécurité, dans lequel un premier étage de commutation est bloqué et un second étage de commutation est ouvert, étant exclu par des moyens electronic system with respect to safety-critical states, wherein the control system is constituted by a calculation unit, a plurality of switching stages controlled by the computing unit and a plurality of adjusters connected downstream and, when of the presence of a switching signal supplied by the calculation unit, the switching stage concerned applies a supply voltage, which is present at the voltage input of the switching stage, to the output of voltage, to which is connected the associated adjusting member, a safety critical state, wherein a first switching stage is off and a second switching stage is open, being excluded by means

logiciels.software.

Dans des appareils de commande électroniques installés notamment dans des véhicules automobiles, on utilise souvent des étages de commutation électroniques (étages finals de puissance) pour la commande d'organes de réglage Ces étages de commutation sont des interrupteurs électroniques, dont la libération est commandée, sur la base d'un programme, par un signal de commutation délivré par l'unité de calcul, dans laquelle les conditions de la libération sont interrogées dans un système logiciel Un système de régulation du type indiqué est décrit par exemple dans la demande de brevet allemand DE 27 12 693 Ai, In electronic control devices installed in particular in motor vehicles, electronic switching stages (end power stages) are often used for the control of control elements. These switching stages are electronic switches whose release is controlled. on the basis of a program, by a switching signal delivered by the computing unit, in which the conditions of the release are interrogated in a software system A control system of the type indicated is described for example in the patent application German DE 27 12 693 Ai,

ce système étant un système d'antiblocage (ABS). this system being an anti-lock system (ABS).

Dans des systèmes relatifs à la sécurité, comme par exemple un système ABS, on détermine fréquemment des combinaisons de signaux de commutation, qui doivent être considérés comme particulièrement critiques du point de vue de la sécurité, étant donné qu'ils conduisent à un état, dans lequel les organes de réglage coopèrent d'une manière dangereuse C'est pourquoi, il faut éviter, dans In safety-related systems, such as an ABS system, combinations of switching signals are frequently determined, which must be considered particularly critical from the point of view of safety, since they lead to a state, in which the control elements cooperate in a dangerous way. Therefore, it is necessary to avoid, in

tous les cas, ces combinaisons de signaux de commutation. in all cases, these combinations of switching signals.

Des procédés utilisés actuellement empêchent l'apparition de cette combinaison de signaux, d'une manière génrale selon un mode logiciel L'inconvénient de cette sécurité réalisée purement en mode logiciel est que, de ce fait, l'apparition d'un état critique, qui est provoqué par un défaut dans l'unité de calcul ou par un défaut dans les Methods currently used prevent the appearance of this combination of signals, generally in a software mode The disadvantage of this security performed purely in software mode is that, therefore, the appearance of a critical state, which is caused by a defect in the calculation unit or a defect in the

étages de commutation branchés en aval, n'est pas empêchée. switching stages connected downstream, is not prevented.

En général, l'unité de calcul peut identifier, à partir de signalisation en retour d'organes de réglage à l'aide d'interrogations de vraisemblance, pour déterminer si un In general, the computing unit can identify, from return signaling of tuners using likelihood queries, to determine whether a

défaut est apparu, mais il peut alors déjà être trop tard. default has appeared, but it may be too late.

L'invention a pour but de réaliser une protection du système de régulation électronique vis-à-vis d'états critiques pour la sécurité, qui va au-delà de la sécurité The object of the invention is to provide protection of the electronic control system with respect to states critical for safety, which goes beyond safety.

réalisant un logiciel.realizing software.

Ce problème est résolu conformément à l'invention grâce au fait que, comme dispositions redondantes de sécurité, l'entrée de tension du second étage de commutation est raccordée à la sortie de tension du premier This problem is solved according to the invention by virtue of the fact that, as redundant safety arrangements, the voltage input of the second switching stage is connected to the voltage output of the first

étage de commutation.switching stage.

D'autres avantages de l'invention par rapport à l'état connu de la technique résident dans le fait qu'avec les dispositions conformes à l'invention, l'effet d'une combinaison, critique pour la sécurité, de signaux de commutation est rendu inopérant d'une manière très simple sans introduire de couches supplémentaires, à l'aide des Other advantages of the invention over the known state of the art lie in the fact that with the provisions according to the invention, the effect of a combination, critical for safety, switching signals is rendered inoperative in a very simple way without introducing additional layers, using the

dispositions conformes à l'invention. provisions according to the invention.

D'autres caractéristiques de la présente Other features of this

invention ressortiront dans la description qui va être invention will come out in the description that will be

donnée ci-après prise en référence aux dessins annexés, sur lesquels: la figure 1 représente le montage conforme à l'invention; et la figure 2 représente le montage conforme à given below with reference to the accompanying drawings, in which: Figure 1 shows the assembly according to the invention; and FIG. 2 shows the assembly according to

l'état de la technique.the state of the art.

Sur le dessin, à savoir les figures 1 et 2, on a représenté un système de régulation électronique, dans lequel une unité de calcul ou un ordinateur (CPU) 1 commande des étages de commutation 2, 3 qui, lors de la libération, transmettent une tension U dans le cas d'un véhicule automobile en général la tension de la batterie ou une tension auxiliaire dérivée de la tension de la batterie In the drawing, namely FIGS. 1 and 2, there is shown an electronic control system, in which a calculation unit or a computer (CPU) 1 controls switching stages 2, 3 which, on release, transmit a voltage U in the case of a motor vehicle in general the voltage of the battery or an auxiliary voltage derived from the voltage of the battery

à l'organe de réglage 4 ou 5.to the adjusting member 4 or 5.

Dans le système ABS décrit précédemment, les électrovannes ou "soupapes (électro-) magnétique" (par la suite), d'une unité à soupape de commande de la pression du système ABS pour une roue correspondent aux organes de réglage 4, 5, la soupape d'admission correspondant à l'organe de In the ABS system described above, the solenoid valves or "(electro-) magnetic valves" (subsequently) of an ABS pressure control valve unit for a wheel correspond to the adjusters 4, 5, the inlet valve corresponding to the organ of

réglage 4 et la soupape d'échappement à l'organe de réglage 5. setting 4 and the exhaust valve to the adjusting member 5.

Lors du freinage complet réglé utilisant le When braking complete set using the

système ABS, la pression de freinage commandée dans l'ins- ABS system, the braking pressure controlled in the

tallation de freinage, est influencée en fonction de la décélération mesurée des roues, de sorte qu'un blocage des roues est empêché Les processus sont les suivants: commande, maintien ou abaissement de la pression de freinage Pour régler la pression de freinage, dans une installation de freinage à air comprimé, la pression de freinage 6, qui est préréglée par le conducteur au moyen de l'actionnement de la pédale de frein (non représentée), est envoyée par l'intermédiaire d'une canalisation à air comprimé (trait épaissi) à la soupape d'admission 4 de l'unité de commande de pression, d'o la pression de freinage est évacuée par la soupape d'échappement 5 ou est envoyée en tant que pression de freinage 7, réglée par le braking height, is influenced by the measured deceleration of the wheels, so that a locking of the wheels is prevented The processes are as follows: control, maintenance or lowering of the brake pressure To adjust the brake pressure, in a compressed air braking system, the brake pressure 6, which is pre-set by the driver by means of the actuation of the brake pedal (not shown), is sent via a compressed air line thickened) at the intake valve 4 of the pressure control unit, where the brake pressure is discharged through the exhaust valve 5 or is sent as the brake pressure 7, set by the

système ABS, au cylindre de frein de roue (non représenté). ABS system, to the wheel brake cylinder (not shown).

Les soupapes magnétiques 4, 5 peuvent être actionnées par voie électromagnétique et sont représentées dans leur position de repos, qu'elles prennent, sous l'effet de l'action d'un ressort de rappel incorporé, chaque fois The magnetic valves 4, 5 can be actuated electromagnetically and are shown in their rest position, they take, under the effect of the action of a built-in return spring, each time

qu'aucune tension de commande (U) n'est appliquée. no control voltage (U) is applied.

Les soupapes magnétiques 4, 5 sont commandées avec la tension U par les étages de commutation 2, 3 associés, la libération étant réalisée par un signal de commutation d'admission 12 ou un signal de commutation d'échappement 13 possédant le niveau logique " 1 ". Dans le tableau suivant, on a représenté, en fonction des signaux de commutation 12, 13 appliqués aux étages de commutation 2, 3, l'action appliquée à la pression de freinage, telle qu'elle est obtenue dans un The magnetic valves 4, 5 are controlled with the voltage U by the associated switching stages 2, 3, the release being effected by an input switching signal 12 or an exhaust switching signal 13 having the logic level "1 ". In the following table, as a function of the switching signals 12, 13 applied to the switching stages 2, 3, the action applied to the braking pressure, as obtained in a

montage conforme à l'état de la technique, figure 2. assembly according to the state of the art, figure 2.

Signal de Signal de commutation commutation Action conformément d'admis d'échappe à la figure 2 sion 12 ment 13 " O " " O " Application de la pression de freinage " 1 " " O " Maintien de la pression de freinage " 1 " " 1 " Réduction de la pression de freinage "lo ft 1 Application + réduction de la pression de freinage La combinaison des signaux de commutation de la première ligne représente le cas du freinage non réglé, dans lequel la pression de freinage 6 réglée par la pédale de frein est appliquée directement au cylindre de frein de roue La seconde combinaison de signaux de commutation représente une action du dispositif ABS, lors de laquelle la pression de freinage est maintenue par le fait qu'un accroissement supplémentaire de la pression est empêché par blocage de la pression d'admission 4 La troisième combinaison de signaux de commutation représente une action plus forte du dispositif ABS: la soupape d'admission 4 est bloquée et simultanément la soupape d'échappement 5 est ouverte, ce qui a pour effet que le cylindre de frein de roue est désaéré et que par conséquent la pression de freinage 7 est réduite Ces trois premières combinaisons de signaux de commutation englobent toutes les interventions, qui sont nécessaires pour une régulation avec le système Switching signal Switching signal Action in accordance with Figure 2 12 12 "O" "O" Application of the brake pressure "1" "O" Maintaining the brake pressure "1" " 1 "Reduction of the brake pressure" lo ft 1 Application + reduction of the brake pressure The combination of the switching signals of the first line represents the case of the unregulated braking, in which the brake pressure 6 set by the brake pedal brake is applied directly to the wheel brake cylinder The second combination of switching signals represents an action of the ABS device, in which the brake pressure is maintained by the fact that an additional increase in pressure is prevented by blocking the brake. intake pressure 4 The third combination of switching signals represents a stronger action of the ABS device: the inlet valve 4 is blocked and simultaneously the valve Exhaust 5 is opened, which has the effect that the wheel brake cylinder is deaerated and that consequently the brake pressure 7 is reduced. These first three combinations of switching signals include all the interventions, which are necessary for regulation with the system

ABS, dans le circuit de frein.ABS, in the brake circuit.

Dans le cas de l'autre combinaison de signaux de commutation, qui est obtenue de façon combinatoire et est indiquée sur la dernière ligne du tableau, la soupape d'admission 4 et la soupape d'échappement 5 sont ouvertes simultanément Dans le cas de cette commande des soupapes magnétiques 4, 5, l'ensemble du circuit de frein, y compris le réservoir d'air comprimé (non représenté), qui est branché en amont de l'unité à soupape de commande de la pression, est désaéré Ce dernier cas ne doit jamais se produire étant donné que le système de freinage est également mis hors service pour d'autres essais de freinage. Toutes les dispositions prises à l'intérieur de l'unité de calcul 1 pour éviter cette dernière combinaison de signaux, qui est critique pour la sécurité, ne fournissent cependant qu'une protection limitée dans le cas d'un montage conforme à la figure 2: un défaut dans l'un des étages de commutation 2, 3 peut en effet provoquer de toute façon l'apparition d'un état critique pour la sécurité Par exemple, il peut arriver que l'unité de calcul 2 commande les unités de commutation 2, 3 conformément à la première combinaison de signaux indiquée dans le haut du tableau, que le transistor de commutation situé dans l'étage de commutation 3 délivre cependant, en raison d'un court-circuit, la tension de commande U et la soupape d'échappement 5, ce qui est une action qui équivaut à l'apparition de la combinaison de signaux de commutation critiques du point de vue de la sécurité, lors de laquelle l'ensemble du circuit de frein est désaéré de la manière In the case of the other combination of switching signals, which is obtained in a combinatorial manner and is indicated on the last line of the table, the intake valve 4 and the exhaust valve 5 are simultaneously open. controlling the magnetic valves 4, 5, the entire brake circuit, including the compressed air reservoir (not shown), which is connected upstream of the pressure control valve unit, is de-aerated. This should never occur as the braking system is also taken out of service for further braking tests. All the arrangements made within the calculation unit 1 to avoid this last combination of signals, which is critical for safety, however, provide only limited protection in the case of an assembly according to Figure 2 : a fault in one of the switching stages 2, 3 may in fact cause the appearance of a critical state for safety. For example, it may happen that the calculation unit 2 controls the switching units 2, 3 according to the first signal combination indicated at the top of the table, that the switching transistor in the switching stage 3, however, delivers, due to a short circuit, the control voltage U and the valve 5, which is an action which is equivalent to the appearance of the combination of safety critical switching signals, in which the entire brake circuit is deaerated in the manner

indiquée plus haut.indicated above.

Pour exclure cet état critique pour la sécurité, il est proposé conformément à l'invention de modifier le montage, au-delà des dispositions de sécurité exécutées en mode logiciel dans l'unité de calcul 1, et de réaliser par conséquent ce montage de manière qu'il soit redondant afin qu'en dépit d'un défaut des étages de commutation 2, 3, l'état critique pour la sécurité ne puisse jamais apparaître. Conformément à l'invention, le montage conforme à l'état de la technique est modifié en ce sens que l'entrée de tension 3 1 de l'étage de commutation 3 n'est pas relié directement à la tension U, mais à la sortie de tension 2 2 de l'étage de commutation 2, comme représenté sur la figure 1 Ceci garantit que la soupape d'échappement 5 ne peut être alimentée en courant que lorsque la soupape d'admission 4 est également alimentée en courant et par In order to exclude this critical state for security, it is proposed according to the invention to modify the assembly, beyond the security provisions executed in software mode in the calculation unit 1, and consequently to make this arrangement that it is redundant so that despite a fault of the switching stages 2, 3, the critical state for safety can never appear. According to the invention, the arrangement according to the state of the art is modified in that the voltage input 3 1 of the switching stage 3 is not connected directly to the voltage U, but to the voltage output 2 2 of the switching stage 2, as shown in Figure 1 This ensures that the exhaust valve 5 can be supplied with current only when the inlet valve 4 is also supplied with current and by

conséquent est bloquée L'état critique pour la sécurité - therefore is blocked Critical state for security -

ouverture de la soupape d'échappement 5 lorsque la soupape d'admission 4 est ouverte est par avance exclu grâce à un opening of the exhaust valve 5 when the inlet valve 4 is open is excluded in advance by a

style de câblage.wiring style.

La logique de commutation conforme à l'état de la technique, telle qu'elle est représentée dans le tableau indiqué précédemment, est conservée dans le montage The switching logic according to the state of the art, as shown in the table indicated above, is retained in the assembly

conforme à l'invention, à l'exception de la dernière ligne. according to the invention, with the exception of the last line.

La combinaison initiale de signaux de commutation, qui est critique pour la sécurité (signal de commutation d'admission 12 positionné sur " O " et signal de commutation d'échappement 13 positionné sur " 1 ") fournit, dans le montage conforme à l'invention, le fonctionnement normal non critique pour la sécurité, lors duquel la pression de The initial combination of switching signals, which is critical for safety (input switching signal 12 set to "O" and exhaust switching signal 13 set to "1") provides, in the circuit arrangement according to the invention, the normal operation not critical for safety, in which the pressure of

frein 6 est envoyée sans être réglée au cylindre de frein. brake 6 is sent without being adjusted to the brake cylinder.

La disposition redondante de sécurité peut être appliquée à des systèmes de régulation comportant plus de deux étages de commutation branchés en aval conformément à l'ensei- gnemaent technique selon l'invention, il est possible, dans5 de nombreux cas, d'exclure, à un coût approprié d'une manière efficace, des états critiques du point de vue de la The redundant safety arrangement can be applied to control systems having more than two downstream switching stages in accordance with the teaching of the invention, it being possible in many cases to exclude appropriate cost in an efficient manner, critical states from the point of view of the

sécurité, grâce à un câblage, organisé plus ou moins hiérarchiquement, des étages de commutation. safety, through wiring, organized more or less hierarchically, switching stages.

Claims

1 Installation for protecting an electronic control system against safety-critical states, in which the control system is constituted by a calculation unit, a plurality of switching stages controlled by the computing unit and a plurality of devices with a switching signal supplied by the calculation unit, the switching stage concerned applies a supply voltage (U), which is present at the voltage input. from the switching stage, to the voltage output, to which is connected the associated adjusting member, a safety critical state, in which a first switching stage is off and a second switching stage is open, being excluded by software means, characterized in that, as redundant safety arrangements, the voltage input (31) of the second switching stage (3) is connected to the voltage output (2 1)

the first switching stage (2).

2 Assembly according to claim 1, characterized in that the electronic control system corresponds to an anti-lock system (ABS) for a vehicle, the first switching stage (2) controlling the intake valve (4), while the second switching stage (3) controls the exhaust valve (5) of a valve unit of

ABS pressure control.