JP5015924B2 - 乗員保護手段のための制御機器 - Google Patents

Description

本発明は独立請求項の上位概念による乗員保護手段のための制御機器に関している。

背景技術
ドイツ連邦共和国特許出願公開第１９５１７６９８号明細書からはアウタルキー期間（自給自足期間）を求めるための方法が公知である。ここでは次のような方法が実施されている。すなわち、危機的条件下で稼働するセーフティシステム（以下ではセーフティクリティカルシステムとも称する）の遮断後にアウタルキー期間の終了が検出され、アウタルキー期間の経過後にまだ利用可能なトリガスタンバイ期間が求められ（このトリガスタンバイ期間の間は補助電源によってシステムをまだトリガスタンバイ状態に維持可能である）、セーフティクリティカルシステムのスイッチオンのもとで、最後の作動時間中に有効なアウタルキー期間と、最後のスイッチオフの後に求められたまだ可用なトリガスタンバイ状態とから、目下の作動時間に有効なアウタルキー期間が求められている。しかしながらその他にここで求められた電流消費や給電電圧もここでは利用可能である。

発明の利点
それに対して本願の独立請求項の特徴部分に記載されている本発明による乗員保護手段のための制御機器は次のような利点を有している。すなわち制御機器がスイッチオフ過程の際に少なくとも１つの測定値を監視し、それに依存して信号を形成している。この場合この信号に基づいて制御機器による評価が行われ、これはアウタルキーモード、すなわち自給自足モードの特徴を備えている。それにより早期時点で既にエラーが識別でき、総合的には制御機器の確実な機能がアウタルキー（自給自足）モードにおいて保証される。信号としては例えば駆動信号、カウンタ値、記憶値、比較結果値または測定値自体も対象となる。

本発明による制御機器は、接続されている外部センサも含めて給電システムの統合性の監視を保証し、このシステムは制御機器と、接続されているセンサと、乗員保護手段からなり、実際の自給自足モードにおいても所望の期間に亘ってシステムリセットのような障害を伴わずにフル機能の発揮が維持される。

このようなことを達成するためには、主要なシステム特徴が必要とされる。第１の特徴は外部バッテリー電圧ＵＢと内部電圧ＶＺＰの間の逆極性保護手段（Verpolschutz)である。内部電圧は通常モードにおいてはバッテリー電圧ＵＢから生成されるが、アウタルキーモード、すなわち自給自足モードにおいてはエネルギー蓄積部、例えばＤＣ／ＤＣダウンコンバーターによって準備され得る。

この制御機器は自給自足モードにおいて搭載電源網へのエネルギーの流出を阻止する。特にアースへの短絡を有しているケースでは要注意である。それ故に自給自足モードにおけるシステム給電部の統合性に関する検査は有利には、バッテリー電圧ＵＢが最小閾値ＵＢｏｆｆ（例えば５Ｖ）を下回ると直ちに制御機器のあらゆるスイッチオフのもとでのバッテリー電圧ＵＢと内部電圧ＶＺＰの最初の測定によって開始される。測定実施のための前提条件は作動準備システムの充電エネルギーの蓄積である。この測定は逆極性保護ダイオードの阻止性を確認する。なぜなら内部電圧ＶＺＰはバッテリー電圧ＵＢよりも高くあるべきものだからである。

第２の特徴は双方向ＤＣ／ＤＣスイッチングダウンコンバーターである。このコンバータはマイクロコントローラμＣに依存することなく、内部電圧ＶＺＰが過度に低い場合において閾値ＶＺＰ＿ｍｉｎを下回った場合には、エネルギー蓄積部からエネルギーを給電電圧ＶＺＰへ供給する。この非依存性は、流動的に現れるシステムリセットと、通常のスイッチオフによって引き起こされる自給自足状態との間の明確な区別を可能にしている。以下の明細書ではスイッチングコンバータの作動形式に応じて、例えばこのスイッチングコンバータがエネルギー蓄積電圧から内部電圧へ置き換える場合にはダウンコンバータとも称するようにする。この場合はスイッチングコンバータが通常作動モードにおいてバッテリー電圧ないしは内部電圧をエネルギー蓄積部の充電のためにアップコンバートする。

システムがスタンバイ状態に達するとこのことが警告情報の解消、例えば警報ランプのスイッチオフによってシグナリングされ、そしてこのことが充電エネルギーの蓄積によって特徴付けられる。このアナログ特性量は分圧器を介してマイクロコントローラμＣに監視のために供給される。このアナログ特性量はまずアナログ／デジタルコンバータを用いてデジタル特性量に変換される。規則的なシステムスタートの後で、所定の期間後にある帯域の維持のもとでエネルギー蓄積電圧の監視が開始される。それはマイクロコントローラμＣのソフトウエアの固定のパラメータとして既知であるか、若しくは付加的にバッテリー電圧に依存して固定的に定められる。さらにシステムのスタートの際にはエネルギー蓄積電圧の最初の測定がマイクロコントローラμＣの初期化とリセットトリガの直後に実施される。

システムが蓄積エネルギーの規則的な使用後の自給自足モードによってリセット状態に突入するならば、エネルギー蓄積部における電圧は最小値ＶＥＲｏｆｆを下回ってなければならない。これは主要なシステム電圧を適正に生成するのにもはや十分ではない。それに対してシステムがスタンバイ状態においてエネルギー蓄積が完全である場合には、リセット障害によって停止され、新たにスタートされる。そのためマイクロコントローラμＣはエネルギー蓄積電圧ＶＥＲの最初の測定に基づいてこれが既にＶＥＲｏｆｆよりも遙かに小さな値を有していることを識別し、それと共に新たなスタート（ウォームスタート）に対する理由を自給自足ケースまたは規則的な遮断ではなく、許容されないリセット、例えば障害によるリセットに定める。

自給自足品質を決定付けるさらなる特徴は、種々のケースにおいて完全に有効利用できるエネルギーを得るための知識である。このことはキャパシタンスや電流消費だけではなく、システムのグローバルな特性を問題にしており、値ＶＥＲｒｅｇ＿ｍａｘから値ＶＥＲｏｆｆまでのエネルギー蓄積電圧ＶＥＲが利用できることで表されている。

システムがスタンバイ状態に到達すると共に、すなわち全ての初期化テストが終了し、エネルギー蓄積電圧が有効な監視帯域に（２１〜２８Ｖ又は３１〜３８Ｖ）に入ると、アウタルキーテストマーカーがメモリ、例えばＥＥＰＲＯＭメモリに書き込まれ（"ＡＵＴＡＲＫＩＥ ＰＲＵＦＢＡＲ"、アウタルキーテストの有効性が準備される。

制御機器の特徴となる要素は既に既知のエネルギー蓄積電圧ＶＥＲとバッテリー電圧ＵＢ並びに内部電圧ＶＺＰであり、それらは分圧器を介してマイクロコントローラμＣによって把握される。

測定の繰り返しレートはシステムに依存して１〜１０ｍｓの間にあり、通常は１ｍｓである。その他にもアウタルキーモードにおけるＶＺＰ電圧制御のために有利にはキャパシタンスＣ_VZPがこのために用いられる。ＵＢ＜ＵＢｏｆｆによって特徴付けられるアウタルキー（自給自足）モードに入ると、ＶＺＰ＜ＶＺＰｔｈの下回りと共にＤＣ／ＤＣスイッチングコンバータがマイクロコントローラに依存することなく活動化され、電圧ＶＺＰ＝ＶＺＰｒｅｇ、例えば６．３ＶがＣ_VZPにおいて生成される。これはエネルギー蓄積部ＥＲからのさらなるシステム給電を請け負う。制御電圧ＶＺＰｒｅｇの維持はエネルギー蓄積部の放電の増加に伴って終りに近づく。

エネルギー供給電圧ＶＥＲと同じパターン（例えば１〜１０ｍｓ）の電圧ＶＺＰの周期的測定によって、内部電圧ＶＺＰにおける安定した制御の終末がＶＺＰ＝ＶＺＰｒｅｇ＿ｍｉｎ（例えば６．０Ｖ）の到達によって（この場合ＶＺＰｒｅｇｏｆｆ＝５．８Ｖ）識別される。この測定パターンにおいて同じように測定される時点ｖｚｐｒｅｇｏｆｆでの電圧ＶＥＲ＝ｖｅｒｏｆｆは、ここにおいてまだ確実に記憶可能な最後の測定値としてＥＥＰＲＯＭへ書き込まれる。このＥＥＰＲＯＭへの書込過程は約１〜１０ｍｓ継続する。システムの新たなスタートの際にはマイクロコントローラμＣの初期化とリセットトリガの直後に電圧ＶＥＲｏｆｆと、エネルギー蓄積計算に対する前提として受け入れられる所定の下方の有効なエネルギー蓄積電圧ｖｅｒｏｆｆ＿ｓｏｌｌ（これはシステムにとってパラメータとして既知のものである）との比較が実施される。

ＶＥＲｏｆｆ＜ＶＥＲｏｆｆ＿ｓｏｌｌならば、最後の自給自足要求の際の所要のシステム特性が通常は制御機器の通常のスイッチオフを完全に満たす。

しかしながらＶＥＲｏｆｆ＜ＶＥＲｏｆｆ＿ｓｏｌｌでないなら、例えばｖｅｒｏｆｆ＿ＦＺ（欠陥のあるＶＺＰアウタルキー制御のためのエラーカウンタ）が値１だけ増分される。計数状態が値ｎ、例えば値３に達すると、システム警報ランプが有利には連続的に駆動される。さらに別の実施例によれば、ＶＥＲｏｆｆ＿ＦＺエラーカウンタがエラーの検出毎に値１だけ増分され、さらにエラーの未検出毎に値１だけ減分される。さらにこれらの増分と減分の規模や段階もそれぞれ異なった選択が可能である。

システムのスタンバイ状態の到達と共に、すなわち全ての初期化テストが終了し、エネルギー蓄積電圧が有効な監視範囲（２１〜２８Ｖ又は３１〜３８Ｖ）に入ると、有利には最後のアウタルキー要求によって有効な監視と共にＥＥＰＲＯＭに書き込まれている値ＶＥＲｏｆｆが識別子（"ＫＥＩＮ ＭＥＳＳＷＥＲＴ"）によって書き換えられ、次に到来するアウタルキーモードのためのＶＥＲｏｆｆ＜ＶＥＲｏｆｆ＿ｓｏｌｌのテストが準備される。

ここでの特徴は、例えばエネルギー蓄積部のキャパシタンスのような個々の特性量の単純な情報をはるかに凌駕する複合的特徴である。

このテストは例えば、
ａ）ＤＣ／ＤＣスイッチングコンバータがその機能を満たした場合、
ｂ）制御キャパシタンスＣ_VPZが存在し，良好な特性を備え（十分なキャパシタンス、小さな内部抵抗ＥＳＲ）、それによって自給自足モードにおける内部電圧ＶＺＰの良好な制御が完璧に可能である場合
ｃ）制御電圧ＶＺＰの安定性が有効なＶＥＲ領域に亘って得られ続けると共にそこから供給すべきさらなる電圧制御器、例えばＶＺＰ→ＶＡＳＴ１制御器などが得られる場合、
ｄ）内部電圧ＶＺＰにおける電流消費が推定される枠内に収まる場合、
に成功とみなされる。

エネルギー蓄積部のキャパシタンス測定やＥＳＲ測定の他にも例えばここに記載されたアウタルキーモードにおけるシステム（複数の構成要素が接続された制御機器）の統合性検査の際には所定のアウタルキー期間も付加的に検査される。システムがスタンバイ状態に到達すると共に、すなわち全ての初期化テストが終了し、エネルギー蓄積電圧が有効な監視帯域に（２１〜２８Ｖ又は３１〜３８Ｖ）に入ると、アウタルキーテストマーカーがメモリ、例えばＥＥＰＲＯＭメモリに書き込まれ（"ＡＵＴＡＲＫＩＥ ＰＲＵＦＢＡＲ"、アウタルキーテストの有効性が準備される。

システムの後続する通常のスイッチオフまたはＵＢ＜ＵＢｏｆｆによって特徴付けられる実際のアウタルキーモードと共にアウタルキーカウンタがスタートされる。このカウンタが当該システムのパラメータとして既知である所定の値ＡＵＴＡＲＫＩＥｚｅｉｔ＿ｍｉｎに達すると、エネルギー蓄積電圧ＶＥＲ＝ＶＥＲｚｕｎｄｕｎｇが測定される。この測定値は限界値ＶＥＲｚｕｎｄｕｎｇ＿ｍｉｎの上方になければならない。この限界値は乗員拘束手段の点火が所要の電流条件のもとで可能となるように選択されている。

電圧ＶＥＲが値ＶＥＲｚｕｎｄｕｎｇ＿ｍｉｎに達すると、経過しているアウタルキー期間＝ＡＵＴＡＲＫＩＥｚｅｉｔｚａｈｌｅｒがＥＥＰＲＯＭへ記憶される。システムの新たなスタートの際にはリセットトリガと初期化の直後にアウタルキータイムテストマーカーがＥＥＰＲＯＭから読み出されて評価される。それが"ＡＵＴＡＲＫＩＥ ＰＲＵＦＢＡＲ（アウタルキー検査可能）"で立ち上がるならば、記憶されているアウタルキー期間が評価される。ＡＵＴＡＲＫＩＥｚｅｉｔ＜ＡＵＴＡＲＫＩＥｚｅｉｔ＿ｍｉｎならば、不揮発性メモリ（ＥＥＰＲＯＭ）のＡＵＴＡＲＫＩＥｚｅｉｔ＿Ｆｅｈｌｅｒｚａｈｌｅｒが値１だけ増分される。

タイムカウンタが値ｎ（例えば３）に達すると、システム警告ランプが永続的に駆動制御される。それ故に請求項１の趣旨における信号はここではシステム警報ランプの駆動制御である。

さらに別の実施例によれば、ＡＵＴＡＲＫＩＥｚｅｉｔ＿Ｆｅｈｌｅｒｚａｈｌｅｒ
はエラーの検出毎に値１だけ増分され、エラーの未検出毎に値１だけ減分される。さらにこれらの増分と減分の程度は同じように選択されてもよいし異なるように選択されてもよい。ここではエラーカウンタが請求項１の趣旨における信号である。

統合性に関するアウタルキーのさらに展開される特徴は外部センサに対する通信機能の検査である。システムの後続する通常のスイッチオフまたはＵＢ＜ＵＢｏｆｆによって特徴付けられる実際のアウタルキーモードと共に通信が限界値ＶＥＲ＝ＶＥＲｚｕｎｄｕｎｇ＿ｍｉｎに到達するまでリアルタイムで周期的に継続され検査される。

通信エラーが出現すると、このエラーは不揮発性メモリ（ＥＥＰＲＯＭ）に記憶される。フィルタリングに対してはＫｏｍｍｕｎｉｋａｔｉｏｎｓ＿Ｆｅｈｌｅｒｚａｈｌｅｒ（ＫＯＭＭ＿ＦＺ）が利用され、これは通信エラーの出現毎に値１だけ増分される。システムの新たなスタートの際にはリセットトリガと初期化の直後にアウタルキーテストマーカーがＥＥＰＲＯＭから読み出されて評価される。それが"ＡＵＴＡＲＫＩＥ ＰＲＵＦＢＡＲ（自給自足的検査可能）"で立ち上がるならば、記憶されたＫＯＭＭ＿ＦＺが評価される。

カウント状態が値ｍ、例えば値３に達すると、システム警報ランプが永続的に駆動制御され、そうでない場合には減分され得る。

さらなる別の実施例によれば、接続されている外部センサ毎に固有の通信エラーカウンタが採用される。システムの通常状態における通信エラーなのかアウタルキーモードにおける通信エラーなのかを区別するために異なる通信エラーカウンタが用いられてもよい。このことは特に制御機器に接続されているセンサつまりいわゆる周辺機器又は支援機器ののエラーまたは機能の識別を可能にする。というのもこれらのセンサはバッテリー電圧のエラーの際には通信エラーによって危機的状態に陥ることなく、エネルギー蓄積部からエネルギーを供給されるからである。

本発明による制御機器はそれに伴って安全である。なぜならバッテリー電圧の所定の期間の破断若しくは中断のケースにおいてもまだ完全に機能し得るからである。さらにそれと共にこの制御機器はインテリジェンスな機器である。なぜなら、例えばバッテリー電圧の中断やリセットなどのような異なるエラーを区別できるからである。その他にも本発明による制御機器ではバッテリー給電の伴わない実際のケースがエネルギー蓄積部の監視のもとでシミュレートされる。

さらに有利には、内部電圧が過度に低い値を示し、かつバッテリー電圧が正常である場合にも正確に制御機器が機器のエラーを識別する。このようなケースでは制御機器によってエラー信号が生成され、その結果に依存して当該制御機器が欠陥を有していることを例えば光学的または音響的警報でもって知らせる。

さらに有利には制御機器はエネルギー供給部のＥＳＲまたはキャパシタンスの測定の他にも、蓄積エネルギーを内部電圧（ＶＺＰ）における送出されたエネルギーに基づいてさらに評価する。それによりアウタルキーにとって理想的なケースをシミュレートするパラメータが測定され、それと共により良好な制御機器の自給自足性に関する見通しを可能にさせる。

有利には制御機器はアウタルキー期間の経過後に、結果の記憶可能性の限界までさらなるパラメータを監視し、例えば欠陥構成要素の交換による支援を得るために当該制御機器がさらなる自給可能性の乏しさ示しているか否かを確定する。

さらに有利には、制御機器が所定の状態の達成の際に、例えばスイッチオン後の状態においてマーカーを不揮発性メモリにセットし、それと共に規則的アウタルキーケース若しくは通常の少なくとも１つのスイッチオフの監視すべきパラメータに対する標準的な前提条件が定められる。

最後に有利には制御機器がエネルギー蓄積データに依存してメモリに書き込まれる。それにより、エネルギー蓄積部の内部抵抗や電圧やキャパシタンス、並びに特定されたアウタルキー期間終了後のエネルギー供給電圧、有効な最小エネルギー蓄積電圧などに関する後からの分析データが得られる。これらは制御機器の機能性の証明を容易にさせる。

図面
図面には本発明の実施例が示されており、それらの実施例は以下の明細書で詳細に説明する。これらの図面のうち、
図１は、本発明による制御機器のブロック回路図であり、
図２ａ及び図２ｂは、エアバックスタンバイのためのフローチャートであり、
図３ａ及び図３ｂは、エアバック初期化のためのフローチャートであり、
図４ａは、スイッチング変換器のブロック回路図であり、
図４ｂは、アウタルキー時間識別回路のブロック回路図である。

実施例
これまでの安全性に係わるシステム、例えば乗員保護手段などのための制御機器は、エネルギー蓄積器（例えば電解コンデンサ）の容量を監視していた。この電解コンデンサはアウタルキーモード、すなわち自給時における制御機器の給電のためのエネルギーを準備するために、及び／又は乗員拘束手段の点火（トリガ）のためのエネルギーを準備するために用いられてきた。

しかしながらこのエネルギー蓄積器の監視を用いるだけでは、電圧供給が途絶えた後で制御機器を所定の期間の間確実にフル機能状態に維持することは保証できない。このことは特にコンデンサの容量（キャパシタンス）が単独で測定されている場合に当てはまる。また公知のダウンコンバーターテストでは（この場合は検査のためにエネルギー蓄積器から制御機器固有の給電のための電流を受け取る）、スイッチングレギュレータを用いてエネルギー蓄積器からテストコマンドのためのエネルギーを受け取り、逆極性保護されたエアバック電圧を供給する能力は検査されるが、しかしながらこれは実際の場合を表すようなものではない。

ここでいう実際とは次のような状態である。すなわち、制御機器の給電とこの制御機器から給電される周辺機器の給電が逆極性保護ダイオードを介したバッテリー電圧源のみで行われるのではなく、乗員保護システム自身で行われること、つまり自給自足（アウタルキー）エネルギーによって行われていることを指す。

この状態は例えばクラッシュに起因する破断や過度に低い供給電圧によって特徴付けられる。それ故に制御機器によって自給自足的に識別がなされなければならない。またイグニッションキーによるシステムの典型的なスイッチオフの際にもこの識別手法は自給自足のために実行される。この過程（これは衝突の際に現れる実際のバッテリー破断と一致し得る）の監視と評価は、乗員保護手段の稼働性も保証する。

バッテリー電圧の中断ないし破断による乗員保護手段の制御機器のあらゆる実際の遮断過程は次のことに利用される。すなわち供給システムの実際の作用効果を制御機器の中央マイクロプロセッサによって監視して評価することに利用される。本発明による制御機器は多くの利点を有している。

制御機器内で必要とされる、逆極性保護された電圧の監視は、できるだけ低い所定の限界においてエネルギー蓄積器の電圧を必要な値までダウンコンバートするスイッチングコンバータを適時に活動化させるものでなければならない。この場合に避けなければならないことは、制御機器が十分なエネルギーの蓄積とダウンコンバート（すなわちエネルギー蓄積コンデンサの電圧を制御機器に必要な電圧に変換すること）検査の成功にもかかわらず、デジタル給電部におけるリセットや周辺機器との通信遮断によって停止状態に陥ることである。

それによりアウタルキー（自給自足）状態識別が内部電圧ＶＺＰに基づいて実施されることが保証される。さらにスイッチングコンバータの適時作動化と制御機器によって求められる電流の準備が保証される。有利にはここではこれらの過程のもとでダウンコンバータによる電圧ＶＺＰの制御（ＶＥＲ→ＶＺＰ）が、マイクロコントローラμＣによる内部電圧ＶＺＰの自立的検出を介して行われ、出力電圧の帯域監視によって補足される。この電圧はＶＺＰから導出され、約５Ｖのアナログ／デジタル電圧が可能である。

全自給自足時間の保証を達成する周辺センサとの通信検査によって、当該システムは給電遮断の伴う衝突時においても周辺センサの評価が明らかに保証できる。乗員拘束手段の点火の伴わない保証された自給自足時間の経過した後のエネルギー蓄積部の電圧検査により次のことが保証される。すなわち電圧の供給効率並びに電流需要が許容偏差内に収まることが保証される。それにより欠陥の際に生じ得る制御機器若しくは周辺機器における許容できない規模の高電流が識別される。本発明の制御機器によれば、その原因が給電電圧の遮断や破断によらないあらゆる種類のリセット過程、例えば電気的な障害や電磁波、湿気などによって出現し得るあらゆるリセット過程を識別することが可能となる。これらのことは、いわゆるウォームリセットがアウタルキー装置のエネルギー蓄積器の取り外しなしで行われるために可能である。

以下の明細書では次のような略語が用いられる。すなわち、
ＦＺ エラーカウンタ
ＵＢ＿ｏｆｆ もはや給電不能となった場合のバッテリー電圧の電圧閾値
ＶＥＲｒｅｇ＿ｍｉｎ 充電されたエネルギー蓄積器の最小制御電圧
ＶＥＲｒｅｇ＿ｍａｘ 充電されたエネルギー蓄積器の最大制御電圧
ＶＥＲ＿ｚｕｎｄｕｎｇ＿ｍｉｎ 目標アウタルキー期間経過後の最小エネルギー蓄積電圧
ＶＥＲｏｆｆ＿ｍａｘ エネルギー蓄積電圧の最大値（これを下回った場合には制御電圧ＶＺＲ＿ｒｅｇの崩壊（機能障害）につながる）
ＶＺＰｒｅｇ＿ｍｉｎ アウタルキーモードにおけるＶＺＰの最小制御電圧
ＶＺＰｒｅｇ＿ｍｉｎ アウタルキーモードにおけるＶＺＰの最大制御電圧
ＶＺＰｒｅｇ＿ｏｆｆ 制御帯域を逸脱した後のＶＺＰにおける最小電圧（この電圧ではまだ確実なエラー処理が可能であるが、それを下回ると制御機器がＲＥＳＥＴ状態に入る）
ＶＥＲ＿ｏｆｆ ＶＺＰ＝ＶＺＰｒｅｇ＿ｏｆｆの場合の実エネルギー蓄積電圧
ＡＵＴＡＲＫＩＥｚｅｉｔ＿ｍｉｎ 制御機器のエネルギー供給の最小時間（この場合ＶＥＲ＞ＶＥＲ＿ｚｕｎｄｕｎｇ＿ｍｉｎである）
ＫＯＭＭ＿ＦＺ 外部センサ等に対する通信用エラーカウンタ
ＭＷ 測定値
が用いられている。

図１には本発明による制御機器の第１のブロック回路図が示されている。この制御機器１０は、そのケーシング内にマイクロプロセッサまたはマイクロコントローラμＣを有しており、このマイクロコントローラはデータインターフェース、例えばＳＰＩ線路ＳＰＩ１を介してインターフェースモジュールＰＡＳ＿ＩＦと接続されている。このインターフェースモジュールＰＡＳ＿ＩＦは外部センサ１１のための端子として用いられている。そのような外部センサ１１は例えばボンネット領域に配設された加速度センサ、あるいは側方衝突センサ、その他の加速度センサ及び／又は圧力センサであってもよいし、重量センサや乗員着座位置識別センサであってもよい。第２のデータインターフェース、例えばＳＰＩ線路ＳＰＩ２を介してマイクロプロセッサμＣは点火段ＦＬＩＣと接続されている。この点火段ＦＬＩＣは乗員拘束手段ＲＨＳの点火回路を点火するために用いられる。乗員拘束手段ＲＨＳは制御機器１０外に設けられている。これはエアバック、ベルトテンショナー及び／又はオーバーロールバーなどである。

スイッチングコンバータ１２は独立式の比較装置１２ａからなっており、この比較装置１２ａは内部電圧ＶＺＰを閾値ＶＺＰｔｈ（例えば５．２Ｖ）と比較しており、この閾値を下回っている場合にはスイッチングコンバータ１２ｂをダウンコンバートモードに切り替える（ＶＺＰ←→ＶＥＲ）（自給自足モード）。それに対してスイッチングコンバータ１２は、エネルギー蓄積コンデンサＣ_ERのエネルギーを、制御機器１０のエネルギー供給のために失われた又は不十分な電圧ＵＢの代わりに、制御された電圧ＶＺＰ＝ＶＺＰｒｅｇ（例えば６．３Ｖ）としてＣ_VZPにて得られるように用いる。制御機器１０の給電はＶＺＰから行われる。これはＰＡＳ＿ＩＦのように直接用いてもよいし別の電圧変換器１４を介してもよい。この変換器１４は全てのモジュールのデジタル／アナログ供給電圧５Ｖ、３.３Ｖ、１.８Ｖを生成している。

マイクロプロセッサμＣはレベル整合回路１６（最も簡易なケースでは独立型の分圧器、特殊なケースではレベル制限機能とノイズフィルタリング機能を備えた分圧器）を介して電圧ＵＢ、ＶＺＰを監視し、また電圧ＶＥＲはこれとは別個の目的のためにマルチチャネルアナログデジタル変換器を介して監視する。

バッテリー電圧ＵＢは通常は制御機器１０の給電のために利用される。アノードがＵＢに接続されている逆極性保護ダイオード１３を介して内部電圧ＶＺＰは、バッテリー電圧から逆極性保護されて形成されるか、またはアウタルキーモードにおいて、Ｃ_ER、Ｃ_VZPからなるスイッチングレギュレータ１２によってバッテリー供給におけるアースへの短絡から保護されて制御される。

エネルギー蓄積器Ｃ_ERは通常の場合にはＦＬＩＣに対する点火電流の準備のために用いられる。これに対しては逆極性保護ダイオード１７のアノードがエネルギー蓄積器Ｃ_ERに接続され、またこのエネルギー蓄積器Ｃ_ERはスイッチングコンバーター１２にも接続されている。ダイオード１７のカソードはＦＬＩＣに接続されている。制御機器１０の本来の機能のために必要である多くの個別要素はここでは分かりやすくするために示していない。なぜなら本発明の対象はエネルギーの供給に係わるものだからである。

内部電圧ＶＺＰとバッテリー電圧ＵＢの監視によってマイクロプロセッサμＣは通常作動モードにおいて逆極性保護ダイオードの存在を通流方向にて識別し得る。

マイクロプロセッサμＣによって監視された電圧ＵＢが１〜１０ｍｓのサンプリングレートの順次連続する複数の測定期間に亘って下方の限界値ＵＢｏｆｆ（例えば５Ｖ）を下回ると、アウタルキーモードに入る必要がある。なぜならそれによって内部電圧ＶＺＰも比較装置１２ａの閾値ＶＺＰ＿ｔｈ（例えば５．２Ｖ）以下に陥るからである。

ここにおいてマイクロプロセッサμＣはアウタルキーモードの存在をＵＢ供給側から識別し、このシステムはハードウエアが場合により比較装置１２ａによってスイッチングコンバータＶＺＰ←→ＶＥＲを適時にダウンコンバートモードに切換へ、ＶＺＰにおいて十分に高い制御電圧を形成するためにエネルギー蓄積器Ｃ_ERのエネルギーを受け取ることができることを識別した場合にのみ機能性を維持する。

後続するアウタルキー状態の総合的な検査は次のように実施される。この場合評価は事前に当該システムがその通常の作動状態を達成できる場合に行われ、エネルギー側からはエネルギー蓄積電圧ＶＥＲが所定の監視帯域、例えば２１Ｖ〜２８Ｖ若しくは３１Ｖ〜３８Ｖにあることによって特徴付けられる。この状況はアウタルキーテストマーカーによって特徴付けられる。これについては不揮発性メモリ１５のアウタルキーテストマーカセル に書き込まれる（例えば"AUTARKIE PRUFBAR"）。
ａ）マイクロプロセッサμＣはＵＢ＜ＵＢｏｆｆの条件に基づいてアウタルキーカウンタをスタートさせる。この条件は全ての検査期間中有効でなければならない。電圧ＵＢの測定は例えば１〜１０ｍｓの繰り返しレートで行われる。

アウタルキーカウンタが、当該システムにとってパラメータとして既知である保証すべき値ＡＵＴＡＲＫＩＥｚｅｉｔ＿ｍｉｎに到達すると、エネルギー蓄積電圧ＶＥＲ＝ＶＥＲｚｕｎｄｕｎｇが測定される。この測定値は限界値ＶＥＲｚｕｎｄｕｎｇ＿ｍｉｎ（例えば１５Ｖ）よりも上方になければならない。この限界値は乗員拘束手段の点火が所要の電流条件以下でも可能となるように選択されている。

値ＶＥＲｚｕｎｄｕｎｇが後からの評価に対して初期化フェーズにおいて不揮発性メモリ１５（ＥＥＰＲＯＭ；これはマイクロプロセッサμＣとデータインターフェース、例えばシリアルＳＰＩ線路（ＳＰＩ２）を介して接続されている）に書き込まれる。また発展形態としてアウタルキータイムカウンタの計数状態は、前記電圧ＶＥＲ＝ＶＥＲｚｕｎｄｕｎｇ＿ｍｉｎに到達した時に不揮発性メモリ１５に書き込まれてもよい。

システムが新たにスタートする際には、リセットのトリガと初期化の直後にアウタルキーテストマーカーがマイクロプロセッサμＣによってＥＥＰＲＯＭから読み出されて評価される。それが"ＡＵＴＡＲＫＩＥ ＰＲＵＦＢＡＲ（アウタルキー検査可能）"で立ち上がるならば、記憶されているアウタルキー期間が評価される。ＡＵＴＡＲＫＩＥｚｅｉｔ＜ＡＵＴＡＲＫＩＥｚｅｉｔ＿ｍｉｎならば、ＡＵＴＡＲＫＩＥｚｅｉｔ＿Ｆｅｈｌｅｒｚａｈｌｅｒ（ＡＵＴＡＲＫＩＥｚｅｉｔ＿ＦＺ）が値１だけ増分される。

タイムカウンタが値ｎ（例えば３）に達すると、システム警告ランプが永続的に駆動制御されるかないしはエラー情報が受信機１９を介して信号として標準的車両バス、例えばＣＡＮバスに送出される。

別の実施例ではアウタルキータイムエラーカウンタ"ＡＵＴＡＲＫＩＥｚｅｉｔ＿Ｆｅｈｌｅｒｚａｈｌｅｒ"がエラーの検出毎に値１だけ増分され、エラーの未検出毎に値１だけ減分される。さらに増分と減分の程度が同じように選択されてもよいし異なるように選択されてもよい。同様にエネルギー蓄積電圧ＶＥＲｚｕｎｄｕｎｇも評価される。ＶＥＲｚｕｎｄｕｎｇ＜ＡＵＴＡＲＫＩＥｚｅｉｔ＿ｍｉｎならば、十分でない電圧を介して（ＶＥＲｚｕｎｄｕｎｇ＿ＦＺ）増分される。カウント状態が値ｍ（例えば３）に達すると、システム警告ランプが永続的に駆動され、ないしはエラー情報が標準的な車両バス、例えばＣＡＮバスに受信機１９を介して送出される。

さらに別の実施例によれば、ＶＥＲｚｕｎｄｕｎｇ＿ＦＺがエラーを検出する毎に値１だけ増分され、エラーが未検出である毎に値１だけ減分されてもよい。さらに増分と減分の段階程度が同じように若しくは異なるように選択されてもよい。

システムが通常の作動状態に達すると、エネルギー側から所定の監視帯域、例えば２１Ｖ〜２８Ｖ若しくは３１Ｖ〜３８Ｖにあるエネルギー蓄積電圧ＶＥＲによって特徴付けられＡＵＴＡＲＫＩＥｚｅｉｔとＶＥＲ＿ｚｕｎｄｕｎｇが不揮発性メモリ１５内で"ＫＥＩＮ ＭＥＳＳＷＥＲＴ（測定値なし）"が書き込まれる。それによりこのシステムは既に先行時点で書き込まれた検査を次に監視すべきアウタルキーのために実行する。

さらに別の実施例によれば、条件ＵＢ＜ＵＢｏｆｆが全てのアウタルキー期間測定中に維持されなかった場合には、この条件ＵＢ＜ＵＢｏｆｆが測定の中断のために使用されてもよい。なぜならアウタルキーに対する前提が一貫して与えられなかったからである。"Ａｕｔａｒｋｉｅｚｅｉｔ ｎｉｃｈｔ ｐｒｕｆｂａｒ（アウタルキー期間の検査不能）"を伴うアウタルキータイムテストマーカーのメモリ１５への書き込みにより、測定中断が表される。
ｂ）アウタルキー状態ＵＢ＜ＵＢｏｆｆによってトリガされると、外部センサ１１（加速度センサ、圧力センサなど）への通信が１−ｎのチャネルインタフェースを介して限界値ＶＥＲ＜ＶＥＲｚｕｎｄｕｎｇ＿ｍｉｎの到達までリアルタイムに周期的に継続され検査される。

通信エラーが発生すると、このエラーが不揮発性メモリ１５（ＥＥＰＲＯＭ）に書き込まれる。フィルタリングのために通信エラーカウンタ（ＫＯＭＭ＿ＦＺ）が不揮発性メモリ１５内で形成され、これは通信エラーの出現毎に値１だけ増分される。

さらに別の実施例では接続された外部センサ毎に固有の通信エラーカウンタが導入される。

システムの通常状態での通信エラーか又はアウタルキー状態での通信エラーかを区別するために、種々異なる通信エラーカウンタがファイル（記憶）され得る。このことは特に制御機器に接続されたセンサ（いわゆる周辺センサないし支援センサ）からのエラー又は機能の識別を可能にさせる。というのもこれらのセンサはバッテリー電圧に欠陥がある場合には、このような危機的フェーズにおける通信エラーによって使用不能になることなく、エネルギー蓄積器からエネルギーを供給されるものだからである。システムの新たなスタートの際にはリセットトリガと初期化の直後にアウタルキータイムテストマーカーがマイクロプロセッサμＣによってＥＥＰＲＯＭから読み出されて評価される。それが"ＡＵＴＡＲＫＩＥ ＰＲＵＦＢＡＲ（自給自足的検査可能）"で立ち上がるならば、（自給自足モードにおいて）記憶された通信エラーが評価される。例えばＫＯＭＭ＿ＦＺ＞３ならば、システム警告ランプが永続的に駆動制御され、ないしはエラー情報が標準的車両バス、例えばＣＡＮバスに受信機１９を介して送出される。

さらに別の実施例によれば、通信エラーカウンタが評価の後で警報を伴わずに再び減分される。
ｃ）アウタルキー状態ＵＢ＜ＵＢｍｉｎによってトリガされると、ＶＺＰ＜ＶＺＰｔｈの下回りと共にＤＣ／ＤＣスイッチングコンバータ１２がマイクロプロセッサμＣにより独立的に活動化され、電圧ＶＺＰ＝ＶＺＰｒｅｇ、例えば６．３ＶがＣ_VZPにおいて生成され、ＥＲからのさらなるシステム供給が引き継がれる。エネルギー蓄積部の放電の増加と共に制御電圧ＶＺＰｒｅｇの維持が終末に近づく。

レベル整合回路１６を介したＶＥＲと同じパターン、例えば１〜１０ｍｓの電圧ＶＺＰの周期的な測定により、安定したＶＺＰにおける制御の終了がＶＺＰ＝ＶＺＰｒｅｇ＿ｏｆｆ（例えば５．８Ｖ）の到達によってマイクロプロセッサμＣにより識別される。この測定パターンにおいて同様に測定される時点ＶＺＰｒｅｇ＿ｏｆｆの電圧ＶＥＲ＝ＶＥＲｏｆｆは、まだ確実に記憶可能な最後の測定値として不揮発性メモリ１５（ＥＥＰＲＯＭ）に書き込まれる。このＥＥＰＲＯＭに対する書き込み過程は約１〜１０ｍｓ続く。

その後でシステムの新たなスタートの際にはリセットトリガと初期化の直後にアウタルキータイムテストマーカーがマイクロプロセッサμＣによって不揮発性メモリ１５（ＥＥＰＲＯＭ）から読み出されて評価される。それが"ＡＵＴＡＲＫＩＥ ＮＩＣＨＴ ＰＲＵＦＢＡＲ（アウタルキー検査不可能）"で立ち上がるならば、メモリセルＶＥＲｏｆｆの検査は何も行われずエラー処理もなされない。

マイクロプロセッサμＣはスタンバイ達成のために自身のさらなるプログラム実行を継続する。それが"ＡＵＴＡＲＫＩＥ ＰＲＵＦＢＡＲ（アウタルキー検査可能）"で立ち上がるならば"メモリセルＶＥＲｏｆｆの内容がメモリ１５から読み出され、予め定められたエネルギー蓄積計算のための前提として受け入れられる下方の利用可能なエネルギー蓄積電圧ＶＥＲｏｆｆ＿ｓｏｌｌと比較される（この電圧はパラメータとしてシステムに既知である）。

ＶＥＲｏｆｆ＜ＶＥＲｏｆｆ＿ｓｏｌｌならば、最後の自給自足要求の際に求められたシステム特性（通常は制御機器の通常のスイッチオフ）が完全に満たされる。

ＶＥＲｏｆｆ＜ＶＥＲｏｆｆ＿ｓｏｌｌが満たされない場合には、エラーカウンタ（（ＶＥＲｏｆｆ＿ＦＺ）がエラーを含んだＶＺＰ制御をマーキングし、値１だけ増分される。カウンタ状態が値ｐ（例えば３）に達すると、システム警報ランプが永続的に駆動制御されるか又はＣＡＮバスを介してこのエラー情報が送出される。さらに別の実施例によれば、ＶＥＲｏｆｆ＿ＦＺがエラーの検出毎に値１だけ増分され、エラーの未検出毎に値１だけ減分される。さらにこの増分及び減分レベルは異なるように選択されてもよい。

このシステムが自身の通常の作動状態に達すると、エネルギー側からエネルギー蓄積電圧ＶＥＲが所定の監視帯域、例えば２１Ｖ〜２８Ｖ若しくは３１Ｖ〜３８Ｖにあることによって特徴付けられると、値ＶＥＲｏｆｆが不揮発性メモリ１５内で"ＫＥＩＮ ＭＥＳＳＷＥＲＴ（測定値なし）"に書き込まれる。それによりシステムは先行する時点で書き込まれた検査を次に監視すべき自給自足モードで実施する準備を整える。

この特徴も、例えばエネルギー蓄積部のキャパシタンスなどの個々の特性量の簡単な情報を超える複合的な特徴である。この検査は例えば以下に列挙するような場合に成功とみなしてもよい。すなわち、
１）ＤＣ／ＤＣスイッチングコンバータがその機能を満たしたとき、
２）制御キャパシタンスＣ_VZPが存在し、品質的に良好な特性（十分なキャパシタンス、小さなＥＳＲ）を伴い、それによって完全に良好なＶＺＰの制御が自給自足期間において可能であるとき、
３）制御電圧ＶＺＰの安定性が、そこから供給されるべきさらなる電圧制御器、例えばＶＺＰ→ＶＳＴ１制御器と同じように有効なＶＥＲ領域に亘って維持されるとき、
４）ＶＺＰにおける電流消費が推定される範囲内に留まるとき、である。
ｄ）以下では、自給自足状態への移行の際又はシステムのリセット構造における流動的な障害を引き起こす可能性のある（湿気、ＥＭＶなど）その他の状態への移行の際のリセット障害の識別を監視する。

システムの新たなスタートの際にリセットトリガと初期化の直後にアウタルキータイムテストマーカーがマイクロプロセッサμＣによって不揮発性メモリ１５から読み出されて評価される。それが"ＡＵＴＡＲＫＩＥ ＰＲＵＦＢＡＲ（自給自足的検査可能）"で立ち上がるならば、エネルギー蓄積電圧ＶＥＲの瞬時の測定値がシステムパラメータＶＥＲｏｆｆ＿ｍｉｎと比較される。

ＶＥＲ＞ＶＥＲｏｆｆ＿ｍｉｎならば、不所望な流動的リセットＲＥＳＥＴが出現し、それ以外のときにはシステムがスタンバイされる。このエラー特性は不揮発性メモリ１５のウォームリセットエラーカウンタ（ＷＡＲＭｒｅｓｅｔ＿ＦＺ）によってカウントされる。このエラーカウンタが値ｑ（例えばｑ＝３）に達すると、警報ランプが永続的に駆動されるかないしはＣＡＮバスを介して情報（出現したエラーに関する情報）が送出される。

さらに別の実施例によればこの種のエラーが起こらない場合には、エラーカウンタ（ＷＡＲＭｒｅｓｅｔ＿ＦＺ）のスタート時点で減分がなされ得る。

図２のフローチャートではスタンバイ状態に基づく当該制御機器における基本的な制御シーケンスの経過を説明する。

エントリーポイントＡ（２００）ではｍｓ毎に周期的方法の実行が開始される。方法ステップ２０１では瞬時の特性量ＵＢ，ＶＺＰ，ＶＥＲが測定される。方法ステップ２０２では所定の帯域に保持されるバッテリー電圧が検査される。許容不能な供給電圧が存在するならば方法ステップ２００２において警告ランプが駆動され（示唆ｍＺ、時間制御で述べられ、望みに応じて継続的若しくは一時的に異なる方式のランプ駆動が行われる）、当該方法がエントリーポイントＢ（２０５）に引き継がれる。

供給電圧が通常の供給帯域にある（ステップ２０２が真である）ならば、この方法がステップ２０３に引き継がれる。ＶＺＰ＜ＵＢが真であるならば、図１中のバッテリー極性保護ダイオード１３は通流方向におかれ、方法ステップ２０４に進む。この方法ステップ２０４では、値１よりも大きい場合にはエラーなしの理由からエラーカウンタ（Ｂａｔｔｄｉｏｄｅ＿ＦＺ）が減分される。さらにエントリＢ（２０５）への方法の継続が行われる。方法ステップ２０３の条件が満たされないときには、方法ステップ２００３に進む。ここでは対応するエラーカウンタＢａｔｔｄｉｏｄｅ＿ＦＺが増分される。さらに方法ステップ２０１３に進む。そこにおいてＢａｔｔｄｉｏｄｅ＿ＦＺ＞１０の条件が満たされる場合、すなわち図１の逆極性保護ダイオード１３のフィルタリングされた確実なエラーが存在するときには、方法ステップ２０１４に引き継がれ、そのように続く方法ステップ２０１４では警告ランプが駆動され、引き続きエントリＢ（２０５）への方法の継続が行われる。

方法ステップ２０６では所定の帯域に保持されたエネルギー蓄積電圧が検査される。許容できないエネルギー蓄積電圧が存在する場合には、ステップ２００６に理由が挙げられており、当該方法はステップ２００７に引き継がれる。

ステップ２０６が真であるならば、制御機器がスタンバイ状態であることが確定される。さらに当該方法は方法ステップ２０７に進み、そこにおいてメモリセルの内容Ａｕｔａｒｋｉｅ Ｔｅｓｔ＿Ｍａｒｋｅｒ（例えばセル２）（図１の１５）が検査される。内容"ＡＵＴＡＲＫＩＥ ＮＩＣＨＴ ＰＲＵＦＢＡＲ"が真であるならば、この方法はステップ２０８に続けられる。ここでは書き込み過程において表示されたセルがデフォルトのセル内容と共に占有されている。この方法は既に到来するアウタルキーモードのために統合化されており、通常はポジション０へのキースイッチの回転によってシステムの通常の遮断が行われる。

エントリポイントＣ（２０９）を介して方法ステップ２１０が続けられる。方法ステップ２０７が真ではない（すなわちノーの）場合には、当該方法がエントリＣ（２０９）に続けられる。なぜなら既にメモリセルの占有が行われているからである。その後方法ステップ２１０に進む。この方法ステップ２１０は１ｍｓレベルのさらなる方法ステップを含んでいるが、但しそれらは必ずしもここで処理される本発明と共に実行されなければならないものではない。それらの処理の後では新たな方法シーケンスがエントリＡ（２００）において１ｍｓ（例えば１ｍｓ〜１０ｍｓ）の周期で正確に行われる。

エネルギー蓄積電圧が目標帯域に存していない後の方法ステップ２００７における方法の継続では制御機器給電電圧が検査される。方法ステップ２００７が真であるならば、すなわちＵＢが過度に小さいか存在しない場合には、方法ステップ２０１７に進み、ここにおいて図１中のダイオード１７と点火回路ＦＬＩＣ（ＦＬＩＣＳ）を介した点火に対するエネルギー蓄積電圧のレベルが不十分であるか否かが検査される。方法ステップ２０１７が真であるならば、方法ステップ２１１７に進む。この方法ステップ２１１７では揮発性のμＣ＿ＲＡＭ＿ＡＵＴＡＲＫＩＥｚｅｉｔｚａｈｌｅｒの現下の状態が不揮発性のＥＥＰＲＯＭメモリ（図１中の１５）の例えばセル４に書き込まれる（このセルにまだ何も生じていない限り）。

方法ステップ２１１８ではＶＺＰ制御電圧がアウタルキーモードにおいて有効な帯域内に存しているか否かが検査される。この方法ステップ２１１８が真（イエス）であるならば、方法ステップ２２１８に進む。この方法ステップ２２１８は１ｍｓレベルのさらなる方法ステップを含んでいるが、但しそれらは必ずしもここで処理される本発明と共に実行されなければならないものではない。それらの処理の後では新たな方法シーケンスがエントリＡ（２００）から１ｍｓ（例えば１ｍｓ〜１０ｍｓ）の周期で正確に行われる。

前記方法ステップ２１１８が偽（ノー）であるならば、方法ステップ２１１９に進み、そこにおいてＶＺＰが（ＶＺＰ制御の破綻を表す）下方の限界値よりも小さいか否かが検査される。このステップが真（イエス）であるならば、方法ステップ２１２０に進み、そこにおいて現下のＶＥＲ測定値（これは限界値ＶＥＲｏｆｆに相応する）が不揮発性ＥＥＰＲＯＭメモリ（図１中の１５）マイクロプロセッサμＣによって例えばセル５に書き込まれる（このセルがまだ占有されていない限り）。

そして方法ステップ２１２１に続けられる。この方法ステップ２１２１は１ｍｓレベルのさらなる方法ステップを含んでいるが、但しそれらは必ずしもここで処理される本発明と共に実行されなければならないものではない。それらの処理の後では新たな方法シーケンスがエントリＡ（２００）から１ｍｓ（例えば１ｍｓ〜１０ｍｓ）の周期で正確に行われる。

方法ステップ２１１９が偽（ノー）であるならば、すなわちＶＺＰ電圧が自給自足期間中に過度に大きい場合は、エラー処理のために方法ステップ２２１９に進められる。

この方法ステップは１ｍｓレベルのさらなる方法ステップを含んでいるが、但しそれらは必ずしもここで処理される本発明と共に実行されなければならないものではない。それらの処理の後では新たな方法シーケンスがエントリＡ（２００）から１ｍｓ（例えば１ｍｓ〜１０ｍｓ）の周期で正確に行われる。

前記方法ステップ２０１７が真でない（ノーの）場合、すなわちエネルギー蓄積電圧が既に点火機能のための限界値以下に下がっている場合には、方法ステップ２０１８に進められる。

ここでは現下のアウタルキー期間＝μＣ＿ＲＡＭ ＡＵＴＡＲＫＩＥｚｅｉｔｚａｈｌｅｒの計数状態が、システム内で既知の下方の限界値ＡＵＴＲＫＩＥＺＥＩＴ＿ｍｉｎに対して検査される。正確に同等な状態が達成されている場合には方法ステップ２０２８に進む。ここでは目下存在するエネルギー蓄積電圧の測定値ＶＥＲｚｕｎｄｕｎｇがマイクロプロセッサμＣによりＥＥＰＲＯＭの例えばセル３に書き込まれる。それによりエネルギー蓄積電圧が所要のアウタルキー期間の経過後に評価なしでも維持される。

さらに方法ステップ２１２８に進められる。この方法ステップは１ｍｓレベルのさらなる方法ステップを含んでいるが、但しそれらは必ずしもここで処理される本発明と共に実行されなければならないものではない。それらの処理の後では新たな方法シーケンスがエントリＡ（２００）から１ｍｓ（例えば１ｍｓ〜１０ｍｓ）の周期で正確に行われる。

方法ステップ２０１８における条件が満たされない場合、すなわちアウタルキー期間がＡＵＴＡＲＫＩＥＺＥＩＴ＿ｍｉｎと異なる場合には方法ステップ２０１９に進められる。ここではμＣＲＡＭカウンタ、例えばＲＡＭのセル１がアウタルキー期間に対して１ｍｓ分増分される。そして方法ステップ２０２０に進み、ここでは外部センサ等に対する通信エラーの出現が問い合わせされる。エラーが現れている場合には、方法ステップ２１２０において通信エラーカウンタが不揮発性メモリ（図１中の１５）の例えばセル６を増分する。

さらに方法ステップ２１２１に進められ、この方法ステップは１ｍｓレベルのさらなる方法ステップを含んでいるが、但しそれらは必ずしもここで処理される本発明と共に実行されなければならないものではない。それらの処理の後では新たな方法シーケンスがエントリＡ（２００）から１ｍｓ（例えば１ｍｓ〜１０ｍｓ）の周期で正確に行われる。

方法ステップ２０２０において条件が満たされない場合、つまり通信エラーが何も存在していない場合には、方法ステップ２０２１に進められる。この方法ステップも１ｍｓレベルのさらなる方法ステップを含んでいるが、但しそれらは必ずしもここで処理される本発明と共に実行されなければならないものではない。それらの処理の後では新たな方法シーケンスがエントリＡ（２００）から１ｍｓ（例えば１ｍｓ〜１０ｍｓ）の周期で正確に行われる。

方法ステップ２００７において条件が満たされない場合、すなわちＵＢに伴う遮断が識別されない場合には、方法ステップ２００８に続けられる。ここではさらなるプログラム部分がエネルギー蓄積電圧の監視のために行われ、必要に応じてそれらのエラー処理が実施される。それに続けて方法ステップ２００９に進められ、この方法ステップは１ｍｓレベルのさらなる方法ステップを含んでいるが、但しそれらは必ずしもここで処理される本発明と共に実行されなければならないものではない。それらの処理の後では新たな方法シーケンスがエントリＡ（２００）から１ｍｓ（例えば１ｍｓ〜１０ｍｓ）の周期で正確に行われる。

図３のフローチャートでは初期化状態に基づく当該制御機器における基本的な制御シーケンスの経過を説明する。

方法ステップ３００ではアウタルキーテストマーカー、つまりＥＥＰＲＯＭ（図１中の１５）のセル、例えばセル２がマイクロプロセッサμＣによって読み出される。その場合に内容"ＡＵＴＡＲＫＩＥ ＰＲＵＦＢＡＲ"が存在するならば、方法ステップ３０１に進められる。しかしながら前記内容が含まれていない場合には、方法ステップ３０００において初期化フェーズにおけるさらなる課題が実施される。但しそれらは必ずしもここで処理される本発明と共に実行されなければならないものではない。

方法ステップ３０１においては現下のＶＥＲ電圧が、 "良好なケース"のためのパラメータとしてシステムに既知の値ＶＥＲｏｆｆ＿ｍａｘよりも小さいか否かが検査される。これにより規則的なアウタルキー期間が先行していたか否かが確定される。方法ステップ３０１の条件が満たさた場合には、エラーを含んだ流動的なウォームリセットが何も存在していなかったことになり、方法ステップ３０２に進められる。ここではエラーカウンタ、すなわちウォームリセットエラーをカウントしているエラーカウンタの値が１よりも大きい場合には減分される。

方法ステップ３０１における条件が満たされない場合には、方法ステップ３００１に進められ、ここでは出現したウォームリセットエラーが不揮発性メモリにおいて例えばセル１０に加えられる。

方法ステップ３１００では、初期化フェーズにおけるさらなる課題が実施される。但しそれらは必ずしもここで処理される本発明と共に実行されなければならないものではない。

方法ステップ３０３では不揮発性メモリからセルＺＥ３（＝ＶＥＲｚｕｎｄｕｎｇ ＡＵＴＡＲＫＩＥｚｅｉｔ＝ＡＵＴＡＲＫＩＥｚｅｉｔ＿ｍｉｎ）及びＺＥ４（＝ＡＵＴＡＲＫＩＥｚｅｉｔ、ＶＥＲ＝ＶＥＲｚｕｎｄｕｎｇ＿ｍｉｎ）の内容がマイクロプロセッサμＣによって読み出される。

それに続いて方法ステップ３０４では、ＶＥＲｚｕｎｄｕｎｇの評価が行われる。ＶＥＲｚｕｎｄｕｎｇがシステムに既知のパラメータＶＥＲｚｕｎｄｕｎｇ＿ｍｉｎよりも小さい場合、すなわちエラーが含まれている場合には、方法ステップ３０５に進む。ここでは既に設けられたエラーカウンタ、例えばＥＥＰＲＯＭセル７が過度に低いＶＥＲｚｕｎｄｕｎｇに対して（＝ＶＥＲｚｕｎｄｕｎｇ＿ＦＺ）増分される。

方法ステップ３０６に進むと、このエラーカウンタの検査が、許容されたフィルター限界、例えば数値３まで行われる。この限界値を上回ると方法ステップ３００６において警報ランプの駆動が所要のアウタルキー期間の後の過度に低いＶＥＲ電圧のために行われる。

さらに方法ステップ３１０６においてはエントリポイントーＡに継続される。方法ステップ３０４が満たされなかった場合、すなわちエラーを含んだ電圧ＶＥＲｚｕｎｄｕｎｇが最小アウタルキー期間の後に存在しない場合には、方法ステップ３００４に進む。ここではエラーカウンタＶＥＲｚｕｎｄｕｎｇ＿ＦＺがＥＥＰＲＯＭの例えばＺＥ７において剛性のアップのために減分され、そして当該方法がエントリーポイントＡに続けられる。

方法ステップ３０７では不揮発性メモリからセルＺＥ４の内容（ＶＥＲ＝ＶＥＲｚｕｎｄｕｎｇ＿ｍｉｎに対するアウタルキー期間）がマイクロプロセッサμＣによって読み出される。そして方法ステップ３０８に進み続けられ、可能なアウタルキー期間の評価が行われる。ＡＵＴＡＲＫＩＥｚｅｉｔがシステムに公知のパラメータとしてのＡＵＴＡＲＫＩＥｚｅｉｔ＿ｍｉｎ、よりも小さいならば、すなわちエラーを含んでいる場合には、方法ステップ３０９が続けられる。ここでは既に構築されているエラーカウンタＥＥＰＲＯＭの内容、例えばセル８の内容が、過度に低いアウタルキー期間毎に（＝ＡＵＴＡＲＫＩＥｚｅｉｔ＿ＦＤ）増分される。

方法ステップ３０８において条件が満たされていない場合、すなわちアウタルキーエラーが何も存在しない場合には、方法ステップ３００８においてこれまでに経過したアウタルキー期間のエラーの減分が剛性向上のために行われ、エントリーポイントＡへの当該方法の継続が行われる。

方法ステップ３１０ではこのエラーカウンタの許容され得るフィルタ限界値、例えば値３に対する検査が行われる。この限界値を上回った場合には、方法ステップ３０１０において、所要の最小エネルギー蓄積電圧ＶＥＲｚｕｎｄｕｎｇ＿ｍｉｎに対する過度に短いアウタルキー期間に起因する警報ランプの駆動が行われる。そして方法ステップ３１１０ではエントリーポイントＢへの継続が行われる。

方法ステップ３１０において条件が満たされなかった場合、すなわちフィルタリングされたアウタルキーエラーが何も存在しなかった場合には、方法ステップ３１１に進む。この方法ステップ３１１では、不揮発性メモリからセルＺＥ５の内容（＝不安定なＶＺＰ制御の際のＶＥＲｏｆｆ ＥＲ電圧）がマイクロプロセッサμＣによって読み出される。

方法ステップ３１２ではＶＥＲｏｆｆ電圧の評価が行われる。このＶＥＲｏｆｆ電圧がシステムに既知のパラメータＶＥＲｏｆｆ＿ｍａｘよりも大きいならば、すなわちエラーが含まれているならば、方法ステップ３１３に進められる。ここでは不安定なＶＺＰ制御に入った場合の過度に高いエネルギー蓄積電圧に対する既存のエラーカウンタ（＝ＶＥＲｏｆｆ＿ＦＺ）が増分される。続いて方法ステップ３１４においてこのエラーカウンタの許容フィルタ限界値、例えば値３に対する検査が行われる。この限界値を超えている場合には方法ステップ３０１４において不安定なＶＺＰにおける過度に高いＶＥＲｏｆｆ電圧に起因する警報ランプの駆動が行われる。そして方法ステップ３１１４ではエントリーポイントＣへの継続が行われる。

方法ステップ３１２において条件が満たされなかった場合、つまりＥＲ電圧が十分に低い値まで、電圧ＶＺＰにおける制御の問題を伴うことなく使用された場合には、方法ステップ３０１２において、値１よりも大であるときにエラーカウンタＶＥＲｏｆｆ＿ＦＺの減分が行われ、エントリーポイントＣへの継続が行われる。

方法ステップ３１４において条件が満たされなかった場合、すなわちフィルタリングされたアウタルキーエラーが何も存在しなかった場合には方法ステップ３１５に進められる。この方法ステップ３１５では不揮発性メモリからセルＺＥ６の内容（＝ＫＯＭＭ＿ＦＺ，外部センサに対する通信エラーカウンタ）がマイクロプロセッサμＣによって読み出される。そして方法ステップ３１６においてこのエラーカウンタの許容されるフィルタ限界値、例えば値３に対する検査が行われる。この限界値を上回るとそれによって方法ステップ３１７において不安定なＶＺＰにおける過度に高いＶＥＲｏｆｆ電圧に起因する警報ランプの駆動が行われる。

そして初期化フェーズのさらなる課題が導かれる方法ステップ３１８に進められる。但しそれらは必ずしもここで処理される本発明と共に実行されなければならないものではない。

方法ステップ３１６においてＫＯＭＭ＿ＦＺがフィルタ限界値を下回っている場合には、方法ステップ３０１６においてエラーカウンタが剛性向上のために減分される。そして方法ステップ３１１６に進められる。ここでは初期化フェーズのさらなる課題が実施されるが、但しそれらは必ずしもここで処理される本発明と共に実行されなければならないものではない。

図４ａには図１による集積モジュール内の回路ブロック１２ａ及び１２ｂと１４が示されている。双方向スイッチングコンバータＶＺＰ←→ＶＥＲに対しては外部コイルＬ１が必要とされ、アップコンバータ作動ＶＺＰ→ＶＥＲに対しては制御キャパシタンスＣ_ERが必要となる。さらに制御キャパシタンスＣ_VZPはアウタルキーモードにおけるダウンコンバータ作動ＶＥＲ→ＶＺＰのために必要となる。アナログ／デジタルシステム電圧の生成に対しては電圧ＶＺＰからダウンコンバータＶＺＰ→ＶＳＴ１によって電圧ＶＳＴ１が生成される。これに対してはコイルＬ２と制御キャパシタンスＣ_VST1が必要である。

電圧ＶＳＴ１からはリニアレギュレータによって電圧ＶＳＴ２（３.３Ｖ）が生成される。これに対しては制御キャパシタンスＣ_VST2が必要である。電圧ＶＳＴ２からはリニアレギュレータによって電圧ＶＳＴ３（１.８Ｖ）が生成される。これに対しては制御キャパシタンスＣ_VST3が必要である。双方向スイッチングコンバータＶＺＰ←→ＶＥＲのダウンコンバート方向とアップコンバート方向の制御はアウタルキー識別回路によって実施される。最も簡単なケースでは図４ｂによる回路が用いられる。

電圧ＶＺＰは一方では抵抗４００に接続されている、この抵抗４００は抵抗４０２と抵抗４０１とコンパレータ４０４の正の入力側に接続している。また抵抗４０１の別の側はアースに接続されている。抵抗４０２の別の側はＮＰＮトランジスタ４０３のコレクタに接続されている。ＮＰＮトランジスタ４０３のベースはトランジスタ４０５のコレクタに接続されており、また抵抗４０６の一方の側にも接続している。トランジスタ４０５の得みったはアースに接続されている。またベースは抵抗４０８の一方の側に接続している。この抵抗４０８の別の側はコンパレータ４０４の出力側に接続している。抵抗４０６の別の側はＩＣ内部電圧ＶＩＮＴに接続している。コンパレータ４０４の負の入力側は基準電圧４０９に接続している。コンパレータ４０４の正の給電側は内部電圧ＶＩＮＴに接続され、コンパレータ４０４の負の入力側はアースに接続されている。コンパレータ４０４の出力側はさらに抵抗４０７の一方の側に接続されている。この抵抗４０７の他方の側は内部電圧ＶＩＮＴに接続されている。

電圧ＶＺＰが閾値ＶＺＰｔｈ、例えば５．２Ｖよりも高い場合には、コンパレータ４０４の正の入力側における電圧は、コンパレータ４０４の負の入力側と出力側における電圧よりも大きくなり、抵抗４０７によってほぼＶＩＮＴ＝高出力レベルにおかれる。このことはスイッチングコンバータにおいてアップコンバートモードＶＺＰ→ＶＥＲを引き出す。

電圧ＶＺＰが閾値ＶＺＰｔｈ、例えば５Ｖよりも下方に低下すると、コンパレータ４０４の正の入力側における電圧は、負の入力側における電圧よりも小さくなる。コンパレータ４０４の出力側はアース電位におかれる。それによりトランジスタ４０５も抵抗４０８を介してスイッチオフ、すなわち遮断される。

ここにおいてトランジスタ４０３のベースは抵抗４０６を介して電流を供給されるようになる。トランジスタＴ２は導通し、抵抗４０２を入力側分圧器の抵抗４０１に対して並列に切り替える。それによりコンパレータ４０４の正の入力側並びに入力側分圧器の中心点における入力電圧が低下する。すなわちここで形成されたヒステリシスがコンパレータ４０４の新たなスイッチング状態を安定化させる。その出力電圧は約０Ｖに維持され、このシステムはアウタルキー（自給自足）状態に入る。コンパレータ４０４の出力側におけるローレベルはスイッチングコンバータにダウンコンバートモードＶＥＲ→ＶＺＰをシグナリングする。

本発明による制御機器のブロック回路図 エアバックスタンバイのためのフローチャート エアバックスタンバイのためのフローチャート エアバック初期化のためのフローチャート エアバック初期化のためのフローチャート スイッチング変換器のブロック回路図 アウタルキー時間識別回路のブロック回路図

符号の説明

ＦＺ エラーカウンタ
ＵＢ＿ｏｆｆ もはや給電不能となった場合のバッテリー電圧の電圧閾値
ＶＥＲｒｅｇ＿ｍｉｎ 充電されたエネルギー蓄積器の最小制御電圧
ＶＥＲｒｅｇ＿ｍａｘ 充電されたエネルギー蓄積器の最大制御電圧
ＶＥＲ＿ｚｕｎｄｕｎｇ＿ｍｉｎ 目標アウタルキー期間経過後の最小エネルギー蓄積電圧
ＶＥＲｏｆｆ＿ｍａｘ エネルギー蓄積電圧の最大値（これを下回った場合には制御電圧ＶＺＲ＿ｒｅｇの崩壊（機能障害）につながる）
ＶＺＰｒｅｇ＿ｍｉｎ アウタルキーモードにおけるＶＺＰの最小制御電圧
ＶＺＰｒｅｇ＿ｍｉｎ アウタルキーモードにおけるＶＺＰの最大制御電圧
ＶＺＰｒｅｇ＿ｏｆｆ 制御帯域を逸脱した後のＶＺＰにおける最小電圧（この電圧ではまだ確実なエラー処理が可能であるが、それを下回ると制御機器がＲＥＳＥＴ状態に入る）
ＶＥＲ＿ｏｆｆ ＶＺＰ＝ＶＺＰｒｅｇ＿ｏｆｆの場合の実エネルギーリザーブ電圧
ＡＵＴＡＲＫＩＥｚｅｉｔ＿ｍｉｎ 制御機器のエネルギー供給最小時間（この場合ＶＥＲ＞ＶＥＲ＿ｚｕｎｄｕｎｇ＿ｍｉｎである）
ＫＯＭＭ＿ＦＺ 外部センサ等との通信用エラーカウンタ
ＭＷ 測定値

Claims (5)

1. 乗員保護手段のための制御機器であって、
   外部バッテリー電圧（ＵＢ）と内部電圧（ＶＺＰ）の間に、制御機器（１０）からのエネルギー流出を避けるために逆極性保護手段（１３）を有し
   エネルギー蓄積部（Ｃ_ER）と内部電圧（ＶＺＰ）の間に双方向スイッチングコンバータ（１２ａ，１２ｂ）を有しており、
   前記スイッチングコンバータ（１２ａ，１２ｂ）は内部電圧（ＶＺＰ）に依存してその変換方向を定めている形式の制御機器において、
   前記制御機器（１０）がスイッチオフ過程の後で少なくとも１つの測定値（ＶＥＲ）を記録し、
   前記測定値に依存して、当該制御機器（１０）の自給自足特性を特徴付ける信号が生成され、さらに少なくとも１つの測定値が、制御機器に接続されている少なくとも１つのセンサ（１１）と制御機器（１０）の通信のためのエラーカウンタ値であるように構成されていることを特徴とする制御機器。
2. さらに少なくとも１つの測定値がエネルギー蓄積電圧（ＶＥＲ）も含んでおり、前記制御機器（１０）は、スイッチオン過程の後とスイッチオフ過程の後のエネルギー蓄積電圧（ＶＥＲ）を測定し、信号の形成のために、スイッチオフ過程の前に行われたメモリエントリを考慮するように構成されていることを特徴とする、請求項１記載の制御機器。
3. 前記制御機器（１０）は、前記測定値及び／又は前記信号に依存して出力を制御している、請求項１又は２記載の制御機器。
4. 前記制御機器（１０）は、前記測定値に及び／又は前記信号に依存して記憶操作を行っている、請求項１から３いずれか１項記載の制御機器。
5. 前記制御機器（１０）は、前記測定値に及び／又は前記信号に依存して少なくとも１つのカウンタを変更している、請求項１から４いずれか１項記載の制御機器。

Images