DE102005030770B4 - Circuit arrangement and method for controlling a safety device for a vehicle - Google Patents

Abstract

Schaltungsanordnung zum Steuern einer Sicherheitseinrichtung (2) für ein Fahrzeug mit:
a) mindestens einem ersten Schaltmittel (4.1, 4.2) und mindestens einem zweiten Schaltmittel (6) zum Aktivieren von mindestens einem Aktuator (7) der Sicherheitseinrichtung (2),
b) einer ersten Steuereinheit (3) zum Steuern des mindestens einen ersten Schaltmittels (4.1, 4.2) abhängig von mindestens einem Eingangssignal (1.2, 3.2) der Sicherheitseinrichtung (2), und
c) einer zweiten Steuereinheit (5) zum Steuern des mindestens einen zweiten Schaltmittels (6) abhängig von mindestens einem Eingangssignal (1.2, 3.2) der Sicherheitseinrichtung (2),
d) die erste Steuereinheit (3) zum Erzeugen mindestens eines ersten Steuersignals (4.0.1) für das erste Schaltmittel (4.1, 4.2) sowie von mindestens einem ersten Freigabesignal (6.0.1) für das mindestens eine zweite Schaltmittel (6) unabhängig von der zweiten Steuereinheit (5) ausgebildet ist und
e) die zweite Steuereinheit (5) zum Erzeugen mindestens eines zweiten Steuersignals (6.0.2) für das zweite Schaltmittel (6) sowie von mindestens einem zweiten Freigabesignal...Circuit arrangement for controlling a safety device (2) for a vehicle with:
a) at least one first switching means (4.1, 4.2) and at least one second switching means (6) for activating at least one actuator (7) of the safety device (2),
b) a first control unit (3) for controlling the at least one first switching means (4.1, 4.2) depending on at least one input signal (1.2, 3.2) of the safety device (2), and
c) a second control unit (5) for controlling the at least one second switching means (6) as a function of at least one input signal (1.2, 3.2) of the safety device (2),
d) the first control unit (3) for generating at least one first control signal (4.0.1) for the first switching means (4.1, 4.2) and at least one first enable signal (6.0.1) for the at least one second switching means (6) independently the second control unit (5) is formed and
e) the second control unit (5) for generating at least one second control signal (6.0.2) for the second switching means (6) and at least one second enable signal ...

Description

Die Erfindung betrifft eine Schaltungsanordnung zum Steuern einer Sicherheitseinrichtung für ein Fahrzeug gemäß dem Oberbegriff von Anspruch 1 und ein entsprechendes Verfahren.The The invention relates to a circuit arrangement for controlling a safety device for a Vehicle according to the generic term of claim 1 and a corresponding method.

Im Bereich der Automobiltechnik werden zunehmend komplexe Sicherheitseinrichtungen bzw. Insassenschutzsysteme wie beispielsweise Airbag- und Gurtstraffersysteme sowie Überrollsensoren eingesetzt. Zum Überprüfen der korrekten Funktion von derartigen Sicherheitseinrichtungen werden in der Regel gesonderte Überwachungseinrichtungen wie beispielsweise Mikroprozessoren oder spezielle Logikschaltungen in Form von ASICs (Application Specific Integrated Circuits) eingesetzt.in the Automotive technology is becoming increasingly complex safety equipment or occupant protection systems such as airbag and belt tensioner systems as well as rollover sensors used. To check the correct function of such safety devices usually separate monitoring equipment such as microprocessors or special logic circuits used in the form of ASICs (Application Specific Integrated Circuits).

Aus der DE 44 24 020 A1 ist eine festverdrahtete Logik (Ablaufsteuerung) bekannt, welche die Funktion eines unabhängigen Überwachungsrechners für eine Sicherheitseinrichtung erfüllt. Die Ablaufsteuerung überwacht die Anlaufphase bzw. den Eigendiagnoseablauf einer Auslösevorrichtung einer Fahrzeug-Sicherheitseinrichtung. Die Endstufen der Auslösevorrichtung werden für eine mögliche Aktivierung der Sicherheitseinrichtung erst freigegeben, wenn der Überwachungsrechner eine ordnungsgemäße Funktion eines Mikroprozessors der Sicherheitseinrichtung festgestellt hat. Dadurch wird bereits eine hohe Sicherheit vor Fehlfunktionen erzielt.From the DE 44 24 020 A1 a hard-wired logic (sequence control) is known which fulfills the function of an independent monitoring device for a safety device. The sequence control monitors the start-up phase or the self-diagnostic sequence of a triggering device of a vehicle safety device. The output stages of the tripping device are only released for a possible activation of the safety device when the monitoring computer has detected a proper function of a microprocessor of the safety device. As a result, a high degree of security against malfunctions is already achieved.

Allerdings hängt die Ausfallsicherheit dieser Sicherheitseinrichtung im Betrieb nach der Eigendiagnose alleine von dem Mikroprozessor ab, der als Steuereinheit im Crashfall eine Auslösentscheidung basierend auf Eingangssignalen trifft, die von Sensoren stammen. Im Falle eines während des Betriebs auftretenden Fehlers im Mikroprozessor oder einer Störung kann es daher bei den bekannten Sicherheitsvorrichtungen zu einer unerwünschten Auslösung der Sicherheitseinrichtung kommen.Indeed depends on that Fail-safety of this safety device in operation after the self-diagnosis alone from the microprocessor, as the control unit in the event of a crash, a trigger decision based meets input signals coming from sensors. In the event of one while operating error in the microprocessor or a fault It therefore in the known safety devices to an undesirable release the safety device come.

Aus der DE 39 24 595 A1 sowie DE 198 24 432 A1 sind daher Schaltungsanordnung gemäß dem Oberbegriff von Anspruch 1 zu entnehmen, bei denen zwei Steuereinheiten wechselseitig eine Freigabe für den Auslösepfad des anderen Steuergeräts vornehmen.From the DE 39 24 595 A1 such as DE 198 24 432 A1 Therefore, circuit arrangement according to the preamble of claim 1 can be seen in which two control units mutually make a release for the trip path of the other controller.

Aufgabe der vorliegenden Erfindung ist es, eine Schaltungsanordnung und ein Verfahren zum Steuern einer Sicherheitseinrichtung für ein Fahrzeug vorzuschlagen, bei denen die Gefahr einer unerwünschten Auslösung der Sicherheitseinrichtung aufgrund von Fehlern, Ausfällen oder Störungen einer Steuereinheit im laufenden Betrieb der Sicherheitseinrichtung reduziert ist.task It is the object of the present invention to provide a circuit arrangement and a method for controlling a safety device for a vehicle to propose, in which the risk of undesirable triggering of Safety device due to faults, failures or disorders a control unit during operation of the safety device is reduced.

Diese Aufgabe wird durch eine Schaltungsanordnung zum Steuern einer Sicherheitseinrichtung für ein Fahrzeug mit den Merkmalen von Anspruch 1 und ein entsprechendes Verfahren gelöst. Bevorzugte Ausgestaltungen der Erfindung ergeben sich aus den abhängigen Ansprüchen.These The object is achieved by a circuit arrangement for controlling a safety device for a vehicle with the features of claim 1 and a corresponding method solved. Preferred embodiments of the invention will become apparent from the dependent claims.

Ein wesentlicher Gedanke der Erfindung besteht darin, zusätzlich zu der üblichen Steuereinheit, die maßgeblich die Sicherheitseinrichtung und insbesondere das Aktivieren von Aktuatoren der Sicherheitseinrichtung steuert, eine weitere Steuereinheit vorzusehen, die eine Art parallele Steuerung implementiert. Dadurch wird eine redundante Steuerung der Sicherheitseinrichtung geschaffen, die einen wesentlich besseren Schutz vor einer unerwünschten Auslösung im Fehlerfall bietet als bekannte Sicherheitseinrichtungen mit nur einer Steuereinheit. Zur Realisierung des Schutzes erzeugen beide Steuereinheiten parallel Steuer- und Freigabesignale für Schaltmittel. Diese Signale werden zum Aktivieren der Schaltmittel miteinander logisch verknüpft. Die logischen Verknüpfungen verhindern hierbei, dass es bei aufgrund von Störungen oder Fehlern in einer oder beiden Steuereinheiten erzeugten Signalen zu einer Aktivierung eines Aktuators der Sicherheitseinrichtung kommen kann.One essential idea of the invention is, in addition to the usual Control unit that is authoritative the safety device and in particular the activation of actuators the safety device controls to provide a further control unit, which implements a kind of parallel control. This will be a redundant control of the safety device created, the a much better protection against unwanted tripping in the Error case offers as known safety devices with only a control unit. To realize protection both generate Control units in parallel control and enable signals for switching means. These signals are used to activate the switching means with each other logically linked. The logical links prevent it from being due to errors or errors in one or Both control units generated signals to activate a Actuator of the safety device can come.

Zumindest eine der Steuereinheiten ist ausgebildet, um zu Prüfzwecken während einer Prüfphase mindestens ein Testansteuersignal zu erzeugen, welches mindestens ein Test-Eingangssignal für die erste und/oder zweite Steuereinheit generiert, wobei während der Testphase eine Auslösung unterdrückt ist.At least One of the control units is designed to be used for testing purposes while a test phase generate at least one test drive signal, which at least a test input signal for generates the first and / or second control unit, wherein during the Test phase a trigger is suppressed.

Zudem sind die Steuereinheiten ausgebildet, um das mindestens eine Ansteuersignal der ersten Steuereinheitfür den mindestens einen Sensorzu überwachen und das mindestens eine zweite Freigabesignal und/oder das mindestens eine Steuersignal zu deaktivieren, falls sie nach einer Prüfphase im Normalbetrieb der Vorrichtung das mindestens eine Ansteuersignal detektiert, um einen Aktivierungspfad für den mindestens einen Aktuator zu sperren.moreover the control units are formed to the at least one drive signal the first control unit for to monitor the at least one sensor and the at least one second enable signal and / or the at least one to disable a control signal if it is in normal operation after a test phase the device detects the at least one drive signal to an activation path for to lock the at least one actuator.

Die Erfindung betrifft konkret eine Schaltungsanordnung zum Steuern einer Sicherheitseinrichtung für ein Fahrzeug mit mindestens einem ersten Schaltmittel und mindestens einem zweiten Schaltmittel zum Aktivieren von mindestens einem Aktuator der Sicherheitseinrichtung, einer ersten Steuereinheit zum Steuern des mindestens einen ersten Schaltmittels abhängig von mindestens einem Eingangssignal der Sicherheitseinrichtung, und einer zweiten Steuereinheit zum Steuern des mindestens einen zweiten Schaltmittels abhängig von mindestens einem Eingangssignal der Sicherheitseinrichtung. Die erste Steuereinheit ist zum Erzeugen von mindestens einem ersten Freigabesignal für das mindestens eine zweite Schaltmittel unabhängig von der zweiten Steuereinheit und die zweite Steuereinheit zum Erzeugen von mindestens einem zweiten Freigabesignal für das mindestens eine erste Schaltmittel unabhängig von der ersten Steuereinheit ausgebildet. Eine erste logische Verknüpfung ist zum Bilden eines Aktivierungssignals für das mindestens eine erste Schaltmittel abhängig von einem Steuersignal der ersten Steuereinheit und vom zweiten Freigabesignal und eine zweite logische Verknüpfung ist zum Bilden eines Aktivierungssignals für das mindestens eine zweite Schaltmittel abhängig von einem Steuersignal der zweiten Steuereinheit und vom ersten Freigabesignal vorgesehen. Zur Aktivierung der entsprechenden Schaltmittel werden also zeitgleich mindestens zwei Freigabesignale von zwei unabhängigen Steuereinheiten benötigt. Unabhängig bedeutet hier, dass jede Steuereinheit für sich eigenständig funktionsfähig ist und keine Steuersignale von der jeweils anderen Steuereinheit benötigt, um ihre Freigabe- und Steuersignale zu erzeugen. Durch diese unabhängige Verarbeitung von einem oder mehreren Eingangssignalen wird die Wahrscheinlichkeit wesentlich verringert, dass es bei einer Fehlfunktion von zumindest einer der beiden Steuereinheiten zu einer unerwünschten Aktivierung eines Aktuators der Sicherheitseinrichtung kommt.Specifically, the invention relates to a circuit arrangement for controlling a safety device for a vehicle having at least one first switching means and at least one second switching means for activating at least one actuator of the safety device, a first control unit for controlling the at least one first switching means as a function of at least one input signal of the safety device, and a second control unit for controlling the at least one second switching means depending on at least one input signal of the safety device. The first control unit is for generating at least a first enable signal for the min at least one second switching means independently of the second control unit and the second control unit for generating at least one second enable signal for the at least one first switching means independently of the first control unit. A first logic operation is for forming an activation signal for the at least one first switching means depending on a control signal of the first control unit and the second enable signal and a second logical operation is for forming an activation signal for the at least one second switching means depending on a control signal of the second control unit and provided by the first enable signal. To activate the corresponding switching means so at least two enable signals from two independent control units are required at the same time. Independent here means that each control unit is self-contained and does not require any control signals from the other control unit to generate their release and control signals. This independent processing of one or more input signals substantially reduces the probability that, in the event of a malfunction of at least one of the two control units, an undesired activation of an actuator of the safety device occurs.

Vorzugsweise umfassen die erste und zweite logische Verknüpfung jeweils eine logische UND-Funktion. Eine UND-Funktion ist beispielsweise mit einem einzelnen Transistor realisierbar und daher kostengünstig zu implementieren.Preferably The first and second logical links each comprise a logical AND function. An AND function is for example a single transistor feasible and therefore cost-effective to implement.

Insbesondere ist das mindestens eine Eingangssignal der ersten Steuereinheit und der zweiten Steuereinheit mindestens ein Sensorsignal und die zweite Steuereinheit ist ausgebildet, um das mindestens eine zweite Freigabesignal für das mindestens eine erste Schaltmittel abhängig von dem mindestens einen Sensorsignal zu erzeugen. Eine Freigabe erfolgt hier also erst nach Detektion eines Sensorsignals. Hierdurch wird eine besonders hohe Sicherheit vor unerwünschten Aktivierungen eines Aktuators der Sicherheitseinrichtung erzielt. Das Sensorsignal kann beispielsweise von einem Beschleunigungs-, Druck- oder sonstigen für Sicherheitsbelange im Fahrzeug eingesetzten Sensor stammen. Beispielsweise wird hierdurch in einem Airbag-Insassenschutzsystem ein Freigabesignal erst erzeugt werden, wenn ein Beschleunigungssensorsignal auftritt.Especially this is at least one input signal of the first control unit and the second control unit at least one sensor signal and the second Control unit is formed to the at least one second enable signal for the at least one first switching means depending on the at least one To generate sensor signal. A release takes place here after Detection of a sensor signal. This will be a particularly high Safety from unwanted Activations achieved an actuator of the safety device. The sensor signal can be obtained, for example, from an acceleration, pressure or other for Safety concerns in the vehicle used sensor come. For example As a result, in an airbag occupant protection system, an enable signal are generated only when an acceleration sensor signal occurs.

Die erste Steuereinheit ist in einer bevorzugten Ausführungsform ausgebildet, um zu Prüfzwecken mindestens ein Ansteuersignal für mindestens einen Sensor zu erzeugen, der das mindestens eine Eingangssignal für die erste und/oder zweite Steuereinheit generiert. Der mindestens eine Sensor kann bei dieser Ausführungsform also gezielt stimuliert werden, um ein Ausgangssignal zu liefern, das als Eingangssignal von der ersten und/oder zweiten Steuereinheit verarbeitet werden kann. Dadurch ist es möglich, das Verhalten und insbesondere die korrekte Funktion der beiden Steuereinheiten zu überprüfen.The first control unit is in a preferred embodiment trained for testing purposes at least one drive signal for to generate at least one sensor, the at least one input signal for the first and / or second control unit generated. The at least one Sensor can in this embodiment So stimulated to deliver an output signal, that as an input signal from the first and / or second control unit can be processed. This makes it possible to control the behavior and in particular to check the correct function of the two control units.

Insbesondere ist die zweite Steuereinheit ausgebildet, um das mindestens eine Ansteuersignal der ersten Steuereinheit für den mindestens einen Sensor zu überwachen und das mindestens eine zweite Freigabesignal und/oder das mindestens eine Steuersignal zu deaktivieren, falls sie nach einer Prüfphase der Vorrichtung das mindestens eine Ansteuersignal detektiert, um einen Aktivierungspfad für den mindestens einen Aktuator zu sperren. Im laufenden Betrieb der Vorrichtung zum Steuern der Sicherheitseinrichtung können durch die erste Steuereinheit Funktionstests durchgeführt werden. Hierbei ist sicherzustellen, dass ein Aktuator auf keinen Fall durch die Funktionstests aktiviert wird. Dies wird hier dadurch gewährleistet, dass die zweite Steuereinheit das mindestens eine Ansteuersignal der ersten Steuereinheit überwacht und ggf. den Aktivierungspfad für den mindestens einen Aktuator sperrt.Especially the second control unit is designed to be the at least one Control signal of the first control unit for the at least one sensor to monitor and the at least one second enable signal and / or the at least one to deactivate a control signal if, after a test phase of the Device which detects at least one drive signal to a Activation path for the lock at least one actuator. During operation of the device for controlling the safety device can by the first control unit Functional tests performed become. Hereby make sure that an actuator does not respond to any Case is activated by the function tests. This is done hereby guaranteed that the second control unit, the at least one drive signal the first control unit monitors and optionally the activation path for locks the at least one actuator.

Während einer Prüfphase der Vorrichtung muss umgekehrt gewährleistet sein, dass der Aktivierungspfad teilweise freigegeben ist, um möglichst Tests des Pfades durchführen zu können. Hierzu ist die zweite Steuereinheit vorzugsweise ausgebildet, um das mindestens eine Ansteuersignal der ersten Steuereinheit für den mindestens einen Sensor zu überwachen und das mindestens eine zweite Freigabesignal zu deaktivieren, falls sie während einer Prüfphase der Vorrichtung das mindestens eine Ansteuersignal detektiert, um einen Aktivierungspfad für den mindestens einen Aktuator teilweise freizugeben.During one test phase conversely, the device must be ensured that the activation path is partially released to test as possible of the path to be able to. For this purpose, the second control unit is preferably designed to the at least one drive signal of the first control unit for the at least to monitor a sensor and disable the at least one second enable signal if she while a test phase the device detects the at least one drive signal to an activation path for partially release the at least one actuator.

In einer besonders bevorzugten Ausgestaltung ist die zweite Steuereinheit zur Funktionsüberprüfung der ersten Steuereinheit ausgebildet. Die zweite Steuereinheit kann beispielsweise eine Überwachungseinheit wie eingangs erwähnt bilden, welche die erste Steuereinheit in ihrer Funktion überwacht. Derartige Überwachungseinheiten sind in vielen Sicherheitseinrichtungen wie Insassenschutzsystemen vorgesehen, um zumindest während einer Initialisierungsphase eines Steuergeräts die zentrale Steuereinheit zu überprüfen.In In a particularly preferred embodiment, the second control unit for the function check of the formed first control unit. The second control unit can For example, a monitoring unit as mentioned above form, which monitors the first control unit in their function. Such monitoring units are in many safety devices like occupant protection systems provided at least during an initialization phase of a control unit, the central control unit to check.

Weiterhin kann in der zweiten Steuereinheit ferner ein Basisalgorithmus zum Aktivieren eines oder mehrerer Aktuatoren der Sicherheitseinrichtung abhängig vom mindestens einen Eingangssignal implementiert sein. Denkbar wäre beispielsweise, dass eine bereits vorhandene Überwachungseinheit, die als Mikroprozessor ausgebildet ist, zur zweiten Steuereinheit weiter ausgebildet wird, indem ihre Betriebssoftware um Funktionen zum Steuern der Sicherheitseinrichtung erweitert wird. Hierzu sind keine umfangreichen Änderungen der Hardware erforderlich, da sich die Anpassungen vor allem auf die Software beschränken.Furthermore, a basic algorithm for activating one or more actuators of the safety device can also be implemented in the second control unit as a function of the at least one input signal. It would be conceivable, for example, that an already existing monitoring unit, which is designed as a microprocessor, is further developed to the second control unit by its operating software is extended by functions for controlling the safety device. There are no extensive hardware changes are required because the customizations are limited to the software.

Um zu bewerkstelligen, dass die beiden Steuereinheiten möglichst synchron die Schaltmittel ansteuern, sind die erste und zweite Steuereinheit vorzugsweise ausgebildet, um sich insbesondere während einer Initialisierungshase der Sicherheitseinrichtung ereignisgesteuert zueinander zu synchronisieren. In diesem Fall ist keine Befehlsübertragung zwischen den beiden Steuereinheiten zum Synchronisieren erforderlich. Statt dessen kann alleine anhand von Ereignissen synchronisiert werden, die z. B. Signalflanken von bestimmten Test-, Prüf- oder Statussignalen sein können.Around to accomplish that the two control units as possible synchronously drive the switching means, the first and second control unit are preferably designed to be especially during a Initialisierungshase the safety device event-controlled to synchronize each other. In this case, there is no command transfer between the two control units required for synchronization. Instead of which can be synchronized by events alone, the z. B. signal edges of certain test, test or status signals can.

Insbesondere ist die erste Steuereinheit ausgebildet, um zum ereignisgesteuerten Synchronisieren mindestens einen Sensor anzusteuern, der das mindestens eine Eingangssignal für die erste und zweite Steuereinheit erzeugt. Es werden also ein oder mehrere Sensoren von der ersten Steuereinheit derart stimuliert, dass sie Ausgangssignale liefern, die den Ausgangssignalen ähneln oder entsprechen, die auch im normalen Betriebsfall auftreten können. Anhand dieser Ausgangssignale kann dann die Synchronisation erfolgen.Especially the first control unit is designed to be event-driven Synchronizing to control at least one sensor, the at least an input signal for generates the first and second control units. So there will be one or stimulates several sensors from the first control unit in such a way that they provide output signals that are similar to the output signals or which may also occur during normal operation. Based These outputs can then be synchronized.

Beispielsweise kann die erste Steuereinheit ausgebildet sein, um zum ereignisgesteuerten Synchronisieren ein Signal zum Ansteuern des mindestens einen Sensors und der zweiten Steuereinheit zu erzeugen, die Zeitdauer bis zum Empfang eines Statussignals zu messen und sich entsprechend der gemessenen Zeitdauer mit der zweiten Steuereinheit zu synchronisieren.For example For example, the first control unit may be designed to be event-controlled Synchronizing a signal to drive the at least one sensor and the second control unit to generate the time until Receiving a status signal to measure and according to the synchronized measured time with the second control unit.

Die zweite Steuereinheit ist vorzugsweise ausgebildet, um während einer ereignisgesteuerten Synchronisation das Steuersignal zum Bilden des Aktivierungssignals für das mindestens zweite Schaltmittel und/oder das zweite Freigabesignal zu deaktivieren. Hierdurch wird vermieden, dass beim Ablauf eines Synchronisationsvorgangs beispielsweise aufgrund eines fehlerhaften Steuer- und/oder Freigabesignals der ersten Steuereinheit eine Aktivierung eines oder gar mehrerer Aktuatoren der Sicherheitseinrichtung erfolgt.The second control unit is preferably designed to during a event-driven synchronization, the control signal for forming the activation signal for the at least second switching means and / or the second enable signal to disable. This avoids that during the expiration of a Synchronization process, for example due to a faulty Control and / or enable signal of the first control unit activation one or even more actuators of the safety device takes place.

Um eine besonders hohe Ausfall- und Fehlersicherheit zu erzielen, sind die erste und zweite Steuereinheit gesonderte Bauelemente, d. h. „physikalisch" getrennte Einheiten, beispielsweise zwei Mikrokontroller oder -prozessoren mit jeweils eigenem Gehäuse.Around to achieve a particularly high failure and failure safety, are the first and second control units separate components, d. H. "Physically" separate units, For example, two microcontroller or processors with each own housing.

Ebenso können zum Erhöhen der Ausfall- und Fehlersicherheit das mindestens eine erste Schaltmittel als ein erstes Bauelement und das mindestens eine zweite Schaltmittel als ein zweites gesondertes Bauelement ausgebildet sein.As well can to increase failure and failure safety the at least one first switching means as a first component and the at least one second switching means be designed as a second separate component.

In einer bevorzugten Ausführungsform ist das mindestens eine erste Schaltmittel ein Transistor und das erste Bauelement ein ASIC, das eine Ansteuerlogik für das mindestens eine erste Schaltmittel aufweist. Als Transistor kann beispielsweise ein Leistungs-MOSFET eingesetzt werden, über dessen Laststrecke die für die Zündung einer Airbag-Zündpille erforderlichen hohen Ströme fliessen können.In a preferred embodiment the at least one first switching means is a transistor and the first component of an ASIC, which has a control logic for the at least having a first switching means. As a transistor, for example a power MOSFET are used over the load path the for the ignition an airbag squib required high currents can flow.

Weiterhin können die erste und zweite Steuereinheit ausgebildet sein, um das mindestens eine erste Freigabesignal bzw. das mindestens eine zweite Freigabesignal für eine bestimmte Zeitdauer und/oder unmittelbar oder zeitlich versetzt nach Detektion eines Eingangssignals zu erzeugen.Farther can the first and second control units may be designed to handle the at least a first enable signal or the at least one second enable signal for one certain period of time and / or directly or temporally offset after detection of an input signal.

Um eine Aktivierung eines Aktuators der Sicherheitseinrichtung während einer Test- oder Prüfphase zu vermeiden, sind die erste und zweite Steuereinheit vorzugsweise derart ausgebildet, dass eine Prüfung von einem oder mehreren das mindestens eine Eingangssignal erzeugenden Sensoren nur bei gesperrtem mindestens einem ersten oder zweiten Schaltmittel erfolgen kann. Wesentlich ist hier, dass wenigstens eines der Schaltmittel gesperrt ist, um ein Durchschalten eines Aktivierungspfades für den Aktuator zu verhindern.Around an activation of an actuator of the safety device during a Test or test phase to avoid, the first and second control unit are preferably designed such that a test one or more generating the at least one input signal Sensors only with locked at least a first or second switching means can be done. It is essential here that at least one of the switching means is disabled in order to switch through an activation path for the actuator to prevent.

In einer bevorzugten Ausführungsform der Erfindung ist in der ersten Steuereinheit ein Basisalgorithmus zur Funktionsüberprüfung der zweiten Steuereinheit implementiert. Dadurch kann die Ausfall-Sicherheit der gesamten Vorrichtung weiter verbessert werden, da nicht nur ein Ausfall der ersten, sondern auch ein Ausfall der zweiten Steuereinheit beispielsweise während einer Prüfphase detektiert werden kann.In a preferred embodiment the invention is a basic algorithm in the first control unit for the function check of the implemented second control unit. This can make the failure safety the entire device will be further improved because not only a failure of the first, but also a failure of the second control unit, for example while a test phase can be detected.

Die Erfindung betrifft ferner ein Verfahren zum Steuern einer Sicherheitseinrichtung für ein Fahrzeug, bei dem eine erste und eine zweite Steuereinheit der Sicherheitseinrichtung jeweils mindestens ein Eingangssignal empfangen und abhängig vom empfangenen mindestens einen Eingangssignal mindestens ein erstes Schaltmittel und mindestens ein zweites Schaltmittel zum Aktivieren von mindestens einem Aktuator der Sicherheitseinrichtung steuern. Die erste Steuereinheit erzeugt mindestens ein erstes Freigabesignal für das mindestens eine zweite Schaltmittel unabhängig von der zweiten Steuereinheit und die zweite Steuereinheit erzeugt mindestens ein zweites Freigabesignal für das mindestens eine erste Schaltmittel unabhängig von der ersten Steuereinheit. Durch eine erste logische Verknüpfung wird ein Aktivierungssignal für das mindestens eine erste Schaltmittel abhängig von mindestens einem Steuersignal der ersten Steuereinheit und vom mindestens einen zweiten Freigabesignal und durch eine zweite logische Verknüpfung wird ein Aktivierungssignal für das mindestens eine zweite Schaltmittel abhängig von mindestens einem Steuersignal der zweiten Steuereinheit und vom mindestens einen ersten Freigabesignal gebildet.The invention further relates to a method for controlling a safety device for a vehicle, in which a first and a second control unit of the safety device each receive at least one input signal and depending on the received at least one input signal at least a first switching means and at least one second switching means for activating at least one Control the actuator of the safety device. The first control unit generates at least one first enable signal for the at least one second switching means independently of the second control unit, and the second control unit generates at least one second enable signal for the at least one first switching means independently of the first control unit. By means of a first logical connection, an activation signal for the at least one first switching means is dependent on at least one control signal of the first control unit and on the at least one a second enable signal and by a second logic operation an activation signal for the at least one second switching means is formed depending on at least one control signal of the second control unit and the at least one first enable signal.

Vorzugsweise synchronisieren sich die erste und zweite Steuereinheit ereignisgesteuert insbesondere während einer Initialisierungs- oder Prüfphase der Sicherheitseinrichtung zueinander.Preferably the first and second control units synchronize in an event-controlled manner especially during an initialization or test phase of Safety device to each other.

Die erste Steuereinheit steuert zum ereignisgesteuerten Synchronisieren beispielsweise mindestens einen Sensor an, der das mindestens eine Eingangssignal für die erste und zweite Steuereinheit erzeugt.The first control unit controls for event-driven synchronization For example, at least one sensor, the at least one Input signal for generates the first and second control units.

In einer bevorzugten Ausführungsform erzeugt die erste Steuereinheit zum ereignisgesteuerten Synchronisieren ein Signal zum Ansteuern des mindestens einen Sensors und der zweiten Steuereinheit, misst die Zeitdauer bis zum Empfang eines Statussignals und synchronisiert sich entsprechend der gemessenen Zeitdauer mit der zweiten Steuereinheit.In a preferred embodiment generates the first control unit for event-driven synchronization a signal for driving the at least one sensor and the second Control unit, measures the time until receipt of a status signal and synchronizes with the measured time duration the second control unit.

Um ein Aktivieren des mindestens einen Aktuators der Vorrichtung insbesondere während dem Synchronisieren zu verhindern, kann die zweite Steuereinheit während einer ereignisgesteuerten Synchronisation das Steuersignal zum Bilden des Aktivierungssignals für das mindestens eine zweite Schaltmittel und/oder das zweite Freigabesignal deaktivieren.Around an activation of the at least one actuator of the device in particular while To prevent the synchronization, the second control unit while an event-driven synchronization, the control signal for forming the activation signal for disable the at least one second switching means and / or the second enable signal.

Die erste und zweite Steuereinheit können das mindestens eine erste Freigabesignal bzw. das mindestens eine zweite Freigabesignal für eine bestimmte Zeitdauer und/oder unmittelbar oder zeitlich versetzt nach Detektion eines Eingangssignals erzeugen.The first and second control unit can the at least one first enable signal or the at least one second Release signal for a certain period of time and / or offset directly or temporally after detection of an input signal.

Insbesondere führen die erste und zweite Steuereinheit eine Prüfung von einem oder mehreren das mindestens eine Eingangssignal erzeugenden Sensoren nur bei gesperrtem mindestens einem ersten oder zweiten Schaltmittel durch.Especially to lead the first and second control units perform a test of one or more of the at least one input signal generating sensors only when locked at least one first or second switching means.

Weitere Vorteile und Anwendungsmöglichkeiten der vorliegenden Erfindung ergeben sich aus der nachfolgenden Beschreibung in Verbindung mit dem in den Zeichnungen dargestellten Ausführungsbeispielen.Further Advantages and applications The present invention will become apparent from the following description in conjunction with the embodiments illustrated in the drawings.

In der Beschreibung, in den Ansprüchen, in der Zusammenfassung und in den dazugehörenden Zeichnungen werden die in der hinten angeführten Liste der Bezugszeichen verwendeten Begriffe und zugeordneten Bezugszeichen verwendet.In the description, in the claims, in the abstract and in the accompanying drawings the in the list below the reference numbers used terms and associated reference numerals used.

Die Zeichnungen zeigen inThe drawings show in

1 ein erstes Ausführungsbeispiel einer Schaltungsanordnung gemäß der Erfindung; 1 a first embodiment of a circuit arrangement according to the invention;

2 ein Ausführungsbeispiel eines Ablaufs eines Prüfverfahrens, bei dem eine ereignisgesteuerte Synchronisation von Steuer- und Überwachungseinheit gemäß der Erfindung erfolgt; 2 an embodiment of a sequence of a test method in which an event-controlled synchronization of control and monitoring unit according to the invention takes place;

3 eine zweites Ausführungsbeispiel einer Schaltungsanordnung gemäß der Erfindung; und 3 a second embodiment of a circuit arrangement according to the invention; and

4 ein Ausführungsbeispiel eines UND-Gatters für den Einsatz in einer Schaltungsanordnung gemäß der Erfindung. 4 an embodiment of an AND gate for use in a circuit arrangement according to the invention.

1 zeigt eine Schaltungsanordnung, die in einem Steuergerät 1 einer Fahrzeugsicherheitseinrichtung wie beispielsweise einem Airbag-Insassenschutzsystem eingesetzt wird. Die Schaltungsanordnung umfasst eine Sicherheitseinrichtung 2, eine Steuereinheit 3 (erste Steuereinheit, Master-μP), eine Überwachungseinheit 5 (zweite Steuereinheit, Slave-μP) und ein Netzteil 8. An das Steuergerät 1 sind ein oder mehrere Sensoren 10, 1.1 angeschlossen, die beispielsweise Beschleunigungssensoren sind (zentraler Beschleunigungssensor 10 und Satellitensensoren 1.1) und Eingangssignale für die erste und zweite Steuereinheit 3 bzw. 5 liefern. 1 shows a circuit arrangement in a control unit 1 a vehicle safety device such as an airbag passenger protection system is used. The circuit arrangement comprises a safety device 2 , a control unit 3 (first control unit, master μP), a monitoring unit 5 (second control unit, slave μP) and a power supply 8th , To the control unit 1 are one or more sensors 10 . 1.1 connected, which are for example acceleration sensors (central acceleration sensor 10 and satellite sensors 1.1 ) and input signals for the first and second control units 3 respectively. 5 deliver.

Eine Steuereinheit ist vorzugsweise als ein Mikroprozessor mit einem Auslösealgorithmus oder als ein ASIC ausgebildet, das eine Ablaufsteuerung und/oder eine einfache Auswerte- oder Signalverarbeitungseinheit implementiert hat.A Control unit is preferably as a microprocessor with a triggering algorithm or formed as an ASIC, the flow control and / or implemented a simple evaluation or signal processing unit Has.

Das Netzteil 8 erzeugt aus einer Bordspannung eine Zündspannung, die zum Zünden eines Aktuators 7 dient, der an das Steuergerät 1, genauer gesagt an die Sicherheitseinrichtung 2 angeschlossen ist. Die Zündspannung wird einem Kondensator 8.1 (Energiespeicher) eines Aktivierungspfades (dicke Linie) der Sicherheitseinrichtung 2 zugeführt, um diesen zu laden. Die im Kondensator 8.1 gespeicherte Energie kann im Bedarfsfall über ein zweites Schaltmittel 6 einer Ansteuerung 4 des Aktuators 7 der Sicherheitseinrichtung 2 zugeführt werden.The power supply 8th generates an ignition voltage from an on-board voltage, which is used to ignite an actuator 7 serves to the control unit 1 , more precisely to the safety device 2 connected. The ignition voltage becomes a capacitor 8.1 (Energy storage) an activation path (thick line) of the safety device 2 supplied to load this. The in the capacitor 8.1 stored energy can, if necessary, via a second switching means 6 a control 4 of the actuator 7 the safety device 2 be supplied.

Der Aktivierungspfad der Sicherheitseinrichtung 2 umfasst neben dem Energiespeicher 8.1 und dem zweiten Schaltmittel 6 erste Schaltmittel 4.1 und 4.2, die hier Teil der Ansteuerung 4 sind. Die ersten Schaltmittel 4.1 und 4.2 können aus Sicherheitsgründen redundant ausgeführt sein und beispielsweise in einem ASIC zusammen mit einer Ansteuerlogik integriert sein. Der Aktuator 7, der beispielsweise ein Zündmittel zum Aufblasen eines Airbags oder zum Auslösen eines Gurtstrammers oder automatischen Überrollschutzbügels sein kann, ist an die Ansteuerung 4 angeschlossen und zwischen die beiden ersten Schaltmitteln 4.1 und 4.2 geschaltet.The activation path of the safety device 2 includes next to the energy storage 8.1 and the second switching means 6 first switching means 4.1 and 4.2 , which are part of the control here 4 are. The first switching means 4.1 and 4.2 For safety reasons, they can be redundant and, for example, integrated in an ASIC together with a control logic. The actuator 7 , which may be, for example, an ignition means for inflating an airbag or for triggering a Gurtstrammers or automatic rollover protection bar, is to the Ansteue tion 4 connected and between the two first switching means 4.1 and 4.2 connected.

Die Schaltmittel 6, 4.1, 4.2 und der Aktuator 7 sind in Reihe geschaltet. Eine Zündung des Aktivierungspfades der Sicherheitseinrichtung 2 im Falle eines Unfalles, beispielsweise eines Frontalzusammenstosses oder eines Überrollvorganges, erfolgt daher durch das gleichzeitige Schließen aller sich im Aktivierungspfad der Sicherheitseinrichtung 2 befindlichen Schaltmittel 4.1, 4.2 und 6. In diesem Fall entlädt sich der Kondensator 8.1 über den Aktivierungspfad, d. h. über die Schaltmittel 6, 4.1 und 4.2 und den Aktuator 7 auf Masse. Beim Entladungsvorgang fließt ein so hoher elektrischer Strom über den Aktuator 7, dass dieser aktiviert wird, z. B. im Falle einer Zündpille eine Zündung erfolgt.The switching means 6 . 4.1 . 4.2 and the actuator 7 are connected in series. Ignition of the activation path of the safety device 2 in the case of an accident, such as a head-on collision or a rollover process, therefore takes place by the simultaneous closing of all in the activation path of the safety device 2 located switching means 4.1 . 4.2 and 6 , In this case, the capacitor discharges 8.1 via the activation path, ie via the switching means 6 . 4.1 and 4.2 and the actuator 7 on earth. During the discharge process, such a high electric current flows through the actuator 7 in that it is activated, e.g. B. in the case of a squib ignition occurs.

Zum Aktivieren werden sowohl Aktivierungs- als auch Freigabesignale benötigt, die von der Steuer- und der Überwachungseinheit 3 bzw. 5 generiert werden. Die ersten Schaltmittel 4.1 und 4.2 der Ansteuerung 4 werden maßgeblich von der Steuereinheit 3 und das zweite Schaltmittel 6 wird maßgeblich von der Überwachungseinheit 5 mittels Aktivierungssignalen aktiviert. Weiterhin werden zur Aktivierung der entsprechenden Schaltmittel 4.1, 4.2, 6 jeweils zeitgleich zu den Aktivierungssignalen mindestens zwei Freigabesignale benötigt, die jeweils von der Steuereinheit 3 bzw. der Überwachungseinheit 5 unabhängig voneinander erzeugt werden. Hierbei sei angemerkt, dass die Steuereinheit 3 und die Überwachungseinheit 5 jeweils für sich eigenständig funktionsfähig sind, vor allem im SW-Programmablauf bzw. im Programmablauf des Algorithmus zur Aktivierungsentscheidung. Insbesondere ist in der Überwachungseinheit 5 ein Basisalgorithmus implementiert, der ebenfalls wie der in der Steuereinheit 3 implementierte Algorithmus zur Aktivierung des Aktuators 7 anhand von Eingangssignalen 1.2 und 3.2 der Sensoren 1.1 bzw. 10 eingerichtet ist. Die unabhängigen Eingangssignale 3.2 und 1.2 von den unabhängigen Sensoren 10 bzw. 1.1 werden also sowohl von der Steuereinheit 3 als auch der Überwachungseinheit 5 verarbeitet, so dass von beiden Einheiten 3 und 5 unabhängig voneinander Steuer- und Freigabesignale parallel erzeugt werden.Activation requires both enable and enable signals from the control and monitoring units 3 respectively. 5 to be generated. The first switching means 4.1 and 4.2 the control 4 become authoritative by the control unit 3 and the second switching means 6 becomes relevant from the monitoring unit 5 activated by means of activation signals. Furthermore, to activate the corresponding switching means 4.1 . 4.2 . 6 each time at least two release signals required simultaneously to the activation signals, each of the control unit 3 or the monitoring unit 5 be generated independently of each other. It should be noted that the control unit 3 and the monitoring unit 5 are each independently functional, especially in SW program sequence or in the program flow of the algorithm for activation decision. In particular, in the monitoring unit 5 implemented a basic algorithm, which also like that in the control unit 3 implemented algorithm to activate the actuator 7 based on input signals 1.2 and 3.2 the sensors 1.1 respectively. 10 is set up. The independent input signals 3.2 and 1.2 from the independent sensors 10 respectively. 1.1 So both are from the control unit 3 as well as the monitoring unit 5 processed, so by both units 3 and 5 independently control and enable signals are generated in parallel.

Im folgenden wird nun die Erzeugung von Steuersignalen und Freigabesignalen durch die Steuer- und Überwachungseinheit 3 bzw. 5 und deren Zusammenwirken beim Aktivieren des Aktuators 7 erläutert.The generation of control signals and enable signals by the control and monitoring unit will now be described below 3 respectively. 5 and their interaction when activating the actuator 7 explained.

Die Steuereinheit 3 erzeugt abhängig von den Eingangssignalen 1.2 und/oder 3.2 insgesamt drei Steuersignale, ein Master-Steuersignal und zwei Slave-Steuersignale für die beiden ersten Schaltmittel 4.1 und 4.2, sowie ein erstes Freigabesignal (Master-Steuerleitung 6.0.1 für das zweite Schaltmittel 6), das mit einem Steuersignal (Slave-Steuerleitung 6.0.2 für das zweite Schaltmittel 6) der Überwachungseinheit 5 logisch verknüpft wird. Das Master-Steuersignal der Steuereinheit 3 wird über eine Master-Steuerleitung 4.0.1 einem UND-Gatter 11 zugeführt, das es mit einem zweiten, über eine Slave-Steuerleitung 4.0.2 von der Überwachungseinheit 5 empfangenen Freigabesignal logisch verknüpft. Das Ausgangssignal des UND-Gatters 11 steuert zwei weitere UND-Gatter 13 und 14, die jeweils über eine Steuerleitung 4.1.1 bzw. 4.2.1 Schaltsignale für die Schaltmittel 4.1 bzw. 4.2 von der Steuereinheit 3 empfangen. Aufgrund der logischen Verknüpfung durch die UND-Gatter 13 und 14 werden die ersten Schaltmittel 4.1 und 4.2 nur aktiviert, d. h. geschlossen, wenn jeweils beide Eingangssignale jedes der UND-Gatter 13 und 14 logisch HIGH sind. Dies ist dann der Fall, wenn die Steuerleitungen 4.1.1 und 4.2.1 logische HIGH-Signale führen und gleichzeitig das Ausgangssignal des UND-Gatters 11 logisch HIGH ist. Letzteres ist wiederum der Fall, wenn die Master-Steuerleitung 4.0.1 und die Slave-Steuerleitung 4.0.2 jeweils ein logisches HIGH-Signal führen. Dadurch fließt also eine Entscheidung der Überwachungseinheit 5 in die Aktivierungsentscheidung der Steuereinheit 3 für die Schaltmittel 4.1 und 4.2 mit ein. Die UND-Gatter 13 und 14 sind zusammen mit den ersten Schaltmitteln 4.1 und 4.2 in der Ansteuerung 4 enthalten, beispielsweise auf einem ASIC integriert.The control unit 3 generated depending on the input signals 1.2 and or 3.2 a total of three control signals, a master control signal and two slave control signals for the two first switching means 4.1 and 4.2 , as well as a first enable signal (master control line 6.0.1 for the second switching means 6 ), which with a control signal (slave control line 6.0.2 for the second switching means 6 ) of the monitoring unit 5 is logically linked. The master control signal of the control unit 3 is via a master control line 4.0.1 an AND gate 11 fed to it with a second, via a slave control line 4.0.2 from the monitoring unit 5 received enable signal logically linked. The output signal of the AND gate 11 controls two more AND gates 13 and 14 , each via a control line 4.1.1 respectively. 4.2.1 Switching signals for the switching means 4.1 respectively. 4.2 from the control unit 3 receive. Due to the logical link through the AND gate 13 and 14 become the first switching means 4.1 and 4.2 only activated, ie closed, if in each case both input signals of each of the AND gates 13 and 14 are logically HIGH. This is the case when the control lines 4.1.1 and 4.2.1 logical HIGH signals and at the same time the output signal of the AND gate 11 logical is HIGH. The latter is again the case when the master control line 4.0.1 and the slave control line 4.0.2 each lead a logical HIGH signal. As a result, a decision of the monitoring unit flows 5 in the activation decision of the control unit 3 for the switching means 4.1 and 4.2 with a. The AND gates 13 and 14 are together with the first switching means 4.1 and 4.2 in the control 4 included, for example, integrated on an ASIC.

Die Überwachungseinheit 5 erzeugt abhängig von den Eingangssignalen 1.2 und/oder 3.2 ein Steuersignal für das zweite Schaltmittel 6. Dieses Master-Steuersignal wird über die Slave-Steuerleitung 6.0.2 einem UND-Gatter 12 zugeführt, das dieses Signal mit dem ersten, über die Master-Steuerleitung 6.0.1 zugeführten Freigabesignal der Steuereinheit 3 logisch verknüpft. Nur wenn beide Signale logisch HIGH sind, wird auch das Ausgangssignal des UND-Gatters 12 logisch HIGH und schließt das zweite Schaltmittel 6. In die Aktivierungsentscheidung der Überwachungseinheit 5 für das zweite Schaltmittel 6 fließt also eine Entscheidung der Steuereinheit 3 mit ein.The monitoring unit 5 generated depending on the input signals 1.2 and or 3.2 a control signal for the second switching means 6 , This master control signal is sent via the slave control line 6.0.2 an AND gate 12 fed to this signal with the first, via the master control line 6.0.1 supplied enable signal of the control unit 3 logically linked. Only if both signals are logically HIGH, also the output signal of the AND-gate becomes 12 logical high and closes the second switching means 6 , In the activation decision of the monitoring unit 5 for the second switching means 6 So flows a decision of the control unit 3 with a.

Aus Sicherheitsgründen wird hier das von den ersten Schaltmitteln 4.1 und 4.2 unabhängige und physikalisch getrennte zweite Schaltmittel 6 maßgeblich von der Überwachungseinheit 5 aktiviert (das erste Freigabesignal von der Steuereinheit 3 kann allerdings die Aktivierung verhindern), damit eine Fail-Safe-Funktion erzielt wird. Eine derartige Fail-Safe-Funktion bedeutet, dass es bei einem Fehler oder Ausfalls im Steuergerät 1, insbesondere bei einer oder mehreren der Einheiten 3, 4 oder 5, zu keiner Aktivierung des Aktuators 7 kommen darf. Ein Ausfall soll „sicher" derart erfolgen, dass die gesamte Sicherheitseinrichtung nicht fehlerhaft auslösen kann. Die Fail-Safe-Funktion ist hinsichtlich einer ungewollten Auslösung im Fehlerfall von wesentlicher Bedeutung, insbesondere im Falle eines beliebigen Fehlers wie beispielsweise im ASIC 4, das die ersten Schaltmittel 4.1, 4.2 enthält, oder auch eines beliebigen Fehlers in der Steuereinheit 3. Durch die entkoppelten bzw. physikalisch unabhängigen Pfade im Aktivierungspfad als auch durch die entkoppelten bzw. physikalisch getrennten Pfade in der Generierung von Ansteuersignalen für die ersten Schaltmittel 4.1 und 4.2 einerseits und 6 andererseits soll sicher vermieden werden, dass es zu einer unerwünschten Fehlauslösung der Sicherheitseinrichtung kommen kann.For safety reasons, this is the first switching means 4.1 and 4.2 independent and physically separate second switching means 6 relevant to the monitoring unit 5 activated (the first enable signal from the control unit 3 however, can prevent activation) for a fail-safe function. Such a fail-safe function means that there is an error or failure in the control unit 1 , in particular in one or more of the units 3 . 4 or 5 , to no activation of the actuator 7 may come. A failure should be done "safely" in such a way that the entire safety device can not trigger incorrectly desired triggering in the event of an error of essential importance, especially in the case of any error such as in the ASIC 4 that is the first switching means 4.1 . 4.2 contains, or also any error in the control unit 3 , By the decoupled or physically independent paths in the activation path as well as by the decoupled or physically separate paths in the generation of drive signals for the first switching means 4.1 and 4.2 on the one hand and 6 On the other hand, it should be safely avoided that there may be an undesirable false triggering of the safety device.

Insbesondere beinhaltet der der Fail-Safe-Funktion zugrunde liegende Sicherheitsgedanke auch den Fall, dass die Steuereinheit 3 nicht die Möglichkeit besitzt, mittels einer Schnittstellenkommunikation oder mittels einer Port-Verbindung zur Befehlsübertragung an die Überwachungseinheit 5 eine Befehlssequenz zu senden, damit mit Hilfe der oder durch einen Umweg über die Überwachungseinheit 5 indirekt eine fehlerhafte Aktivierung des zweiten Schaltmittels 6 und/oder aller sich im Aktivierungspfad befindlichen Schaltmittel 4.1, 4.2 und 6 von der Steuereinheit 3 initiiert werden kann.In particular, the safety idea underlying the fail-safe function also includes the case where the control unit 3 does not have the ability, by means of an interface communication or by means of a port connection for command transmission to the monitoring unit 5 a command sequence to send, so with the help of or by a detour via the monitoring unit 5 indirectly a faulty activation of the second switching means 6 and / or all located in the activation path switching means 4.1 . 4.2 and 6 from the control unit 3 can be initiated.

Das zweite Schaltmittel 6 kann im Aktivierungspfad der Sicherheitseinrichtung 2 maßgeblich von der Überwachungseinheit 5 aktiviert werden. Ferner besteht zwischen den physikalisch getrennten Einheiten 5 und 3 keine Möglichkeit, dass von der Steuereinheit 3 über die Überwachungseinheit 5 eine Aktivierung des zweiten Schaltmittels 6 ausschließlich und unabhängig von der jeweils anderen Einheit initiiert werden kann. Daher implementiert neben der Steuereinheit 3 auch die Überwachungseinheit 5 einen Basis-Algorithmus, damit z. B. im Falle eines Crashs oder Überrollvorgangs eine Auslöseanforderung der Fahrzeug-Sicherheitseinrichtung 1 abhängig von einem oder mehreren Eingangsignalen 1.2 und 3.2 von den Sensoren 1.1 und 10 umgesetzt werden kann, indem sowohl die ersten Schaltmittel 4.1 und 4.2, die der Steuereinheit 3 zugeordnet sind, als auch das zweite Schaltmittel 6, das der Überwachungseinheit 5 zugeordnet ist, gleichzeitig geschlossen werden können und den Aktivierungspfad zum Aktivieren des Aktuators 7 freischalten.The second switching means 6 can in the activation path of the safety device 2 relevant to the monitoring unit 5 to be activated. Furthermore, there is between the physically separated units 5 and 3 no way that from the control unit 3 via the monitoring unit 5 an activation of the second switching means 6 can be initiated exclusively and independently of the other unit. Therefore implemented next to the control unit 3 also the monitoring unit 5 a basic algorithm so that z. B. in the case of a crash or rollover a trigger request of the vehicle safety device 1 depending on one or more input signals 1.2 and 3.2 from the sensors 1.1 and 10 can be implemented by both the first switching means 4.1 and 4.2 , the control unit 3 are assigned, as well as the second switching means 6 , that of the surveillance unit 5 is assigned, can be closed simultaneously and the activation path for activating the actuator 7 unlock.

Falls die Überwachungseinheit 5 als spezielle Logikschaltung in Form eines ASICs oder eines Low-Cost-Mikroprozessor ausgebildet ist, sind in der Regel die Möglichkeiten einer individuellen Prüfung mit fein abgestuften Auswertemöglichkeiten zum Teil begrenzt, so dass gewisse Überwachungsfunktionen der Steuereinheit 3 zugeordnet werden sollten. Diese Aufgabentrennung, insbesondere bei zeitkritischen Prüfungen der Schaltmittel 6, 4.1, 4.2 der Sicherheitseinrichtung 2, bei denen teilweise sowohl die Überwachungseinheit 5 als auch die Steuereinheit 3 beteiligt sind, erfordert, dass zwischen den beiden Einheiten 3, 5 eine gewisse Synchronisation besteht, damit der zeitliche Ablauf der Prüfung mit den daraus resultierenden zeitlich kurzzeitig anstehenden Ergebnissen und Statusinformationen (Statusleitung 8.2) ausgewertet werden kann. Das daher zu lösende Synchronisationsproblem, wie es im folgenden anhand von 2 beschrieben wird, tritt insbesondere für den Fall auf, dass die Steuereinheit 3 eine Prüf- oder Überwachungsfunktion wahrnimmt, bei der die Prüfung von der Überwachungseinheit 5 initiiert wird, insbesondere die Prüfung des zweiten Schaltmittels 6, da die Steuereinheit 3, infolge der fehlenden Möglichkeit zur Initialisierung der Prüfung den exakten Prüfzeitpunkt (Schließvorgang des zweiten Schaltmittels 6) nicht selbst festlegt.If the monitoring unit 5 is designed as a special logic circuit in the form of an ASIC or a low-cost microprocessor, the possibilities of individual testing with finely graduated evaluation options are limited in part, so that certain monitoring functions of the control unit 3 should be assigned. This task separation, especially in time-critical tests of the switching means 6 . 4.1 . 4.2 the safety device 2 in which partly both the monitoring unit 5 as well as the control unit 3 involved, that requires between the two units 3 . 5 a certain synchronization exists, so that the timing of the test with the resulting short-term results and status information (status line 8.2 ) can be evaluated. The synchronization problem to be solved therefore, as described below with reference to 2 is described in particular occurs in the event that the control unit 3 performs a test or monitoring function at which the test is performed by the monitoring unit 5 is initiated, in particular the examination of the second switching means 6 as the control unit 3 , due to the lack of opportunity to initialize the test the exact test time (closing operation of the second switching means 6 ) does not set itself.

Weiterhin kann das Synchronisationsproblem dadurch gelöst werden, dass die beschriebene Prüfung des zweiten Schaltmittels 6 in die Prüf- oder Arbeitsequenz zeitlich derart integriert wird, dass eine Synchronisation der beiden Einheiten 3 und 5 durch eine vorangegangene unabhängige Prüfung erfolgen kann, bei der sowohl die Steuereinheit 3 als auch die Überwachungseinheit 5 beteiligt sind bzw. sowohl die Steuereinheit 3 als auch die Überwachungseinheit 5 das Initialisierungssignal 3.1' zur Prüfung oder das Ergebnis daraus in Form eines Ausgangssignals 3.2' erfassen können.Furthermore, the synchronization problem can be solved by the described test of the second switching means 6 is integrated in the test or working sequence in time such that a synchronization of the two units 3 and 5 can be done by a previous independent test, in which both the control unit 3 as well as the monitoring unit 5 involved respectively both the control unit 3 as well as the monitoring unit 5 the initialization signal 3.1 ' for testing or the result thereof in the form of an output signal 3.2 ' can capture.

Wie in der 1 dargestellt und in der Beschreibung zur 2 näher erläutert wird hier die Prüfung des Sensors 10 verwendet. Zur Initialisierung der Prüfung wird in der Initialisierungsphase des Steuergeräts 1 der Fahrzeug-Sicherheitseinrichtung ein Steuersignal zur Initialisierung der Sensorprüfung mittels der Steuerleitung 3.1 von der Steuereinheit 3 an den zu überprüfenden Sensor 10 übertragen. Mittels der Prüfimpulsgenerierung über die Steuerleitung 3.1 zur Prüfung des Sensors 10 besteht über die Überwachungseinheit 5 die Möglichkeit, eine Schließung des weiteren Schaltmittels 6 zu generieren, so dass durch die Überwachung des Status oder des Pegels der Prüfimpulsgenerierung durch die Überwachungseinheit 5 eine logische Differenzierung vorgenommen werden kann, indem die Überwachungseinheit 5

• – sofern sie nach der erfolgten Selbsttestphase der Schaltungsanordnung ein Ansteuersignal 3.1 erkennt, mindestens für eines der der Überwachungseinheit 5 zugänglichen Schaltmittel 6, 4.1, 4.2 ein Sperrsignal erzeugt, und/oder eine vorgesehene Freigabe nicht erteilt, und/oder ein bereits erteiltes Freigabesignal 6.0.2, 4.0.2 zurücknimmt, bzw.
• – sofern sie während der Selbsttestphase der Schaltungsanordnung ein Ansteuersignal 3.1 erkennt, mindestens für eines der der Überwachungseinheit 5 zugänglichen Schaltmittel 6, 4.1, 4.2 ein Freigabesignal 6.0.2, 4.0.2 erzeugt.

Like in the 1 shown and in the description of 2 explained in more detail here is the test of the sensor 10 used. To initialize the test is in the initialization phase of the controller 1 the vehicle safety device, a control signal for initialization of the sensor test by means of the control line 3.1 from the control unit 3 to the sensor to be checked 10 transfer. By means of test pulse generation via the control line 3.1 for testing the sensor 10 consists of the monitoring unit 5 the possibility of closing the other switching means 6 so that by monitoring the status or level of the test pulse generation by the monitoring unit 5 A logical differentiation can be made by the monitoring unit 5

• - If they after the successful self-test phase of the circuit a drive signal 3.1 detects, at least for one of the monitoring unit 5 accessible switching means 6 . 4.1 . 4.2 generates an inhibit signal, and / or does not grant an envisaged enable, and / or an already issued enable signal 6.0.2 . 4.0.2 withdraws, resp.
• - Provided they during the self-test phase of the circuit a drive signal 3.1 detects, at least for one of the monitoring unit 5 accessible switching means 6 . 4.1 . 4.2 a release signal 6.0.2 . 4.0.2 generated.

2 zeigt einen Prüfablauf, bei dem die Synchronisation der Steuereinheit 3 (Master-μP) und der Überwachungseinheit 5 (Slave-μP) zueinander während der kritischen sequentiell durchzuführenden Schalterprüfungen der Sicherheitseinrichtung nicht mittels einer direkten Befehlsübermittlung per Datenkommunikation erfolgt, sondern stattdessen ereignisgesteuert gemäß der Erfindung erfolgt, insbesondere anhand von Ereignissen, die während der Initialisierungsphase auftreten. 2 shows a test procedure in which the synchronization of the control unit 3 (Master μP) and the monitoring unit 5 (Slave μP) to each other during the critical sequentially performed switch checks the safety device is not done by means of a direct command transmission via data communication, but instead event-controlled according to the invention, in particular based on events that occur during the initialization phase.

In den Prüfablauf ist sowohl die Steuereinheit 3 (Master-μP) als auch die Überwachungseinheit 5 (Slave-μP) eingebunden. Hierbei wird von der Steuereinheit 3 (Master-μP) mittels der Steuerleitung 3.1 ein Steuersignal 3.1' zur Initialisierung der Sensorprüfung erzeugt. Daraufhin erscheint am Ausgang 3.2 (BA-Ausgang) des Sensors 10 ein Ausgangssignal 3.2'. Die Initialisierung der Prüfung kann hierbei, wie in 2 gezeigt, sowohl flankengetriggert als auch ereignisgetriggert erfolgen. Die Steuerleitung 3.1, genauer gesagt das darüber gesendete Initialisierungssignal 3.1' zur Sensorprüfung wird der Überwachungseinheit 5 (Slave-μP) am Eingang zugeführt, worauf diese das empfange Initialisierungssignal als Synchronisationssignal 16 verwendet, um nach einer Verzögerungszeit Δt 9 das erste Schaltmittel 6 für Prüfzwecke für einen definierten Zeitbereich 17 von z. B. × μsec zu schließen. Das von der Überwachungseinheit 5 initiierte Schließen des ersten Schaltmittels 6 bewirkt eine auswertbare Änderung, d. h. ein auswertbares Ergebnissignal 8.2' mit einer Zeitdauer 18 von z. B. ebenfalls etwa × μsec, insbesondere eine Potentialänderung, die als Status-Information 8.2' der Steuereinheit 3 zur Auswertung zugeführt wird. Hierzu pollt die Steuereinheit 3, beispielsweise über einen sogenannten Capture-Input-Eingang, in einem vorgegebenen Toleranzbereich 9.1 von z. B. einigen ms nach der Status-Information 8.2'' an ihrem Capture-Input-Eingang und entscheidet anhand vom erfassten Signal, ob die Prüfung korrekt oder fehlerhaft verlaufen ist. Beispielsweise wird bewertet, ob die erwartete Statusinformation 8.2'' im Toleranzbereich 9.1 mit der richtigen zeitlichen Länge 19, d. h. Impulsdauer, erscheint ist. Eine Übereinstimmung wird als Kriterium einer korrekten Schalterprüfung als auch einer zeitlichen Übereinstimmung der Arbeitssequenzen/Arbeitsfrequenzen der beiden an der Prüfung beteiligten Einheiten 3 und 5 gewertet. Eine exakte Synchronisation zwischen den an der Prüfung des ersten Schaltmittels 6 beteiligten Einheiten 3 und 5 ist u. a. auch deswegen erforderlich, da aus Gründen der Sicherheit die Prüfzeit beispielsweise im 100 μsec-Bereich bzw. die Schließzeit des ersten Schaltmittels 6 sehr gering zu halten ist, da die Schließzeit geringer gewählt ist als die kritische Zeit, die zur Aktivierung des Prüfmittels (Aktuator 7) benötigt wird.In the test procedure is both the control unit 3 (Master μP) as well as the monitoring unit 5 (Slave μP) integrated. This is done by the control unit 3 (Master μP) by means of the control line 3.1 a control signal 3.1 ' generated for initialization of the sensor test. Thereupon appears at the exit 3.2 (BA output) of the sensor 10 an output signal 3.2 ' , The initialization of the test can be done here, as in 2 shown both edge-triggered and event-triggered. The control line 3.1 More specifically, the initialization signal sent over it 3.1 ' For sensor testing, the monitoring unit 5 (Slave μP) supplied at the input, whereupon this received the initialization signal as a synchronization signal 16 used to after a delay time .DELTA.t 9 the first switching means 6 for testing purposes for a defined time period 17 from Z. B. × μsec close. That of the monitoring unit 5 initiated closing of the first switching means 6 causes an evaluable change, ie an evaluable result signal 8.2 ' with a duration 18 from Z. B. also about .mu.sec, in particular a potential change, the status information 8.2 ' the control unit 3 for evaluation is supplied. The control unit polls for this 3 , For example, via a so-called capture input input, in a predetermined tolerance range 9.1 from Z. B. several ms after the status information 8.2 '' at its capture input input and decides from the detected signal whether the check was correct or incorrect. For example, it evaluates if the expected status information 8.2 '' in the tolerance range 9.1 with the right length of time 19 , ie pulse duration, appears. A match becomes a criterion of a correct switch check as well as a timing of the work sequences / operating frequencies of the two units involved in the test 3 and 5 scored. An exact synchronization between the at the test of the first switching means 6 involved units 3 and 5 Among other things, it is also necessary because, for reasons of safety, the test time, for example, in the 100 microsec area or the closing time of the first switching means 6 is very low, since the closing time is chosen to be less than the critical time required to activate the test equipment (actuator 7 ) is needed.

Mittels dieser ereignisgesteuerten bzw. von Ereignissen während der Initialisierungsphase gesteuerten Synchronisation der Steuereinheit 3 zur Überwachungseinheit 5 und/oder umgekehrt, insbesondere während der kritischen sequentiell durchzuführenden Schaltmittelprüfungen der Sicherheitseinrichtung 2, wird eine Möglichkeit geschaffen, bei der die Synchronisation der Steuereinheit 3 zur Überwachungseinheit 5 nicht mittels einer direkten Befehlsübermittlung per Datenkommunikation erfolgen muss, sondern unabhängig von einer Kommunikation und/oder Befehlsübertragung der Steuereinheit 3 zur Überwachungseinheit 5 und/oder umgekehrt auf Basis einer Schnittstelle und/oder einer Port-Verbindung stattfindet.By means of this event-controlled or controlled by events during the initialization phase synchronization of the control unit 3 to the monitoring unit 5 and / or vice versa, especially during the critical sequential switching means tests of the safety device 2 , a possibility is created in which the synchronization of the control unit 3 to the monitoring unit 5 does not have to be done by means of a direct command transmission via data communication, but independent of a communication and / or command transmission of the control unit 3 to the monitoring unit 5 and / or vice versa on the basis of an interface and / or a port connection takes place.

3 zeigt eine Darstellung eines Steuergerätes der erfindungsgemäßen Fahrzeug-Sicherheitseinrichtung, ähnlich zu der in 1 dargestellten Anordnung, bei der eine Verriegelungsfunktion durch Hardware implementiert ist. Da durch die Prüfimpulsgenerierung zur Prüfung der Sensoren 10 über den Überwachungsrechner 5 indirekt die Möglichkeit besteht, eine Schließung des ersten Schaltmittels 6 zu generieren, kann die Prüfung der Sensoren 10 in der Initialisierungsphase bzw. während des aktiven Betriebes der Fahrzeug-Sicherheitseinrichtung 1 nur dann aktiviert werden, wenn sich die zweiten Schaltmittel 4.1, 4.2 der Sicherheitseinrichtung 2 in einem verriegelten Zustand befinden. Die Verriegelung der Schaltmittel 4.1 und 4.2 der Sicherheitseinrichtung 2 kann hierbei entweder über Software-Routinen erfolgen oder auch unabhängig von den Software-Routinen durch eine Hardware-Schaltung erfolgen. Die Hardware-Schaltung kann z. B. durch eine Logik- oder Auswahlschaltung wie beispielsweise ein Flip-Flop mit Q- und invertiertem Q-Ausgang 5.1 implementiert sein. Das Flip-Flop 5.1 sorgt dafür, dass eine gleichzeitige Aktivierung der Prüfimpulsgenerierung als auch der Aktivierung der Endstufenschalter 4.1, 4.2 der Sicherheitseinrichtung 2 ausgeschlossen ist. 3 shows a representation of a control device of the vehicle safety device according to the invention, similar to the in 1 illustrated arrangement in which a locking function is implemented by hardware. Because of the test pulse generation for testing the sensors 10 via the monitoring computer 5 indirectly the possibility exists, a closure of the first switching means 6 Generating can be testing the sensors 10 in the initialization phase or during active operation of the vehicle safety device 1 only be activated when the second switching means 4.1 . 4.2 the safety device 2 are in a locked state. The locking of the switching means 4.1 and 4.2 the safety device 2 This can either be done via software routines or independently of the software routines by a hardware circuit. The hardware circuit can, for. B. by a logic or selection circuit such as a flip-flop with Q and inverted Q output 5.1 be implemented. The flip-flop 5.1 Ensures that a simultaneous activation of the test pulse generation as well as the activation of the power stage switch 4.1 . 4.2 the safety device 2 is excluded.

Nach einem Systemstart, der nach Freigeben eines LOW-aktiven System-Resetsignals 15 erfolgt, führt der Q-Ausgang des Flip-Flops 5.1 ein LOW-Signal. Der Q-Ausgang ist über die Leitung 4.0.2 mit einem Eingang des UND-Gatters 11 verbunden. Dadurch sind die zweiten Schaltmittel 4.1 und 4.2 gesperrt. Da der Q-Quer-Ausgang zu diesem Zeitpunkt ein HIGH-Signal führt, kann die Steuereinheit 3 ein Steuersignal zur Initialisierung der Sensorprüfung an den dafür entsprechenden Eingang des Sensors 10 anlegen. Nach Abschluss dieser Prüfungssequenz kann die Überwachungseinheit 5 (Slave-μP) über den Set-Eingang das Flip-Flop 5.1 zum Wechseln der Ausgangssignale am Q- und am Q-Quer-Ausgang veranlassen. Dadurch können ab diesem Zeitpunkt die Schaltmittel 4.1, 4.2 im Bedarfsfall aktiviert werden; die Initialisierung der Sensorprüfung durch das Steuersignal der Steuereinheit 3 ist dadurch jedoch nicht mehr gegeben.After a system startup, after releasing a LOW-active system reset signal 15 takes place, the Q output of the flip-flop leads 5.1 a LOW signal. The Q output is over the line 4.0.2 with an input of the AND gate 11 connected. As a result, the second switching means 4.1 and 4.2 blocked. Since the Q-cross output carries a HIGH signal at this time, the control unit can 3 a control signal for initializing the sensor test to the corresponding input of the sensor 10 invest. After completion of this test sequence, the monitoring unit 5 (Slave μP) via the set input the flip-flop 5.1 to change the output signals at the Q and Q cross output. As a result, from this point on the switching means 4.1 . 4.2 be activated if necessary; the initialization of the sensor test by the control signal of the control unit 3 is but not given anymore.

4 zeigt eine Implementierung der Funktion eines UND-Gliedes für die UND-Gatter 11–14 der in den 1 und 3 dargestellten Schaltungsanordnungen, die einen geringen schaltungstechnischen Aufwand erfordert. Das in 4 oben dargestellte UND-Gatter kann mit Hilfe eines einzigen pnp-Bipolartransistors, der eine logische UND-Funktion nachbildet, implementiert werden. Bei dieser Schaltung wird der Ausgang des UND-Gliedes durch den Kollektor des Transistors gebildet. Ein HIGH-Signal am Ausgang wird dann erzeugt, wenn die Steuereinheit 3 ein HIGH-Signal am Emitter des Transistors und zeitgleich die Überwachungseinheit 5 ein LOW-Signal an der Transistor-Basis generiert. 4 shows an implementation of the function of an AND gate for the AND gates 11 - 14 in the 1 and 3 shown circuit arrangements which requires a low circuit complexity. This in 4 The AND gate shown above can be implemented by means of a single pnp bipolar transistor which mimics a logical AND function. In this circuit, the output of the AND gate is formed by the collector of the transistor. A HIGH signal at the output is generated when the control unit 3 a HIGH signal at the emitter of the transistor and at the same time the monitoring unit 5 generates a LOW signal at the transistor base.

11

Steuergerätcontrol unit

1.11.1

Satellitensensorsatellite sensor

1.21.2

Signalausgang des Satellitensensors 1.1 Signal output of the satellite sensor 1.1

22

Sicherheitseinrichtungsafety device

33

Steuereinheitcontrol unit

3.13.1

Steuerleitung zur Initialisierung der Sensorprüfungcontrol line for initializing the sensor test

3.1'3.1 '

Initialisierungssignal für Sensorprüfunginitialization for sensor testing

3.23.2

Signalausgang des Sensors 10 Signal output of the sensor 10

3.2'3.2 '

BeschleunigungssensorausgangssignalAcceleration sensor output

44

ASICASIC

4.0.14.0.1

Master-Steuerleitung für die Schaltmittel 4.1 und 4.2 Master control line for the switching means 4.1 and 4.2

4.0.24.0.2

Slave-Steuerleitung für die Schaltmittel 4.1 und 4.2 Slave control line for the switching means 4.1 and 4.2

4.0.34.0.3

Steuerleitung für die Schaltmittel 4.1 und 4.2 Control line for the switching means 4.1 and 4.2

4.14.1

erstes Schaltmittel des Aktivierungspfadesfirst Switching means of the activation path

4.1.14.1.1

Steuerleitung für das Schaltmittel 4.1 Control line for the switching means 4.1

4.24.2

erstes Schaltmittel des Aktivierungspfadesfirst Switching means of the activation path

4.2.14.2.1

Steuerleitung für das Schaltmittel 4.2 Control line for the switching means 4.2

55

Überwachungseinheitmonitoring unit

5.15.1

Set-Reset-Flip-FlopSet-reset flip-flop

66

zweites Schaltmittel des Aktivierungspfadessecond Switching means of the activation path

6'6 '

Steuersignal für zweites Schaltmittel 6 Control signal for second switching means 6

6.0.16.0.1

Master-Steuerleitung für das zweite Schaltmittel 6 Master control line for the second switching means 6

6.0.26.0.2

Slave-Steuerleitung für das zweite Schaltmittel 6 Slave control line for the second switching means 6

6.0.36.0.3

Steuerleitung für das zweite Schaltmittel 6 Control line for the second switching means 6

77

Zündmittelignition means

88th

Netzteilpower adapter

8.18.1

Kondensatorcapacitor

8.28.2

Status-LeitungStatus line

8.2'8.2 '

Statussignalstatus signal

8.2''8.2 ''

Statussignal am Eingang der Steuereinheit 3 Status signal at the input of the control unit 3

99

Verzögerungszeit ΔtDelay time Δt

9.19.1

Toleranzbereichtolerance

1010

Sensorsensor

11–1411-14

UND-GatterAND gate

1515

System-ResetSystem Reset

1616

Synchronisationssignal für Überwachungseinheit 5 Synchronization signal for monitoring unit 5

1717

Signaldauer des Steuersignals 6' Signal duration of the control signal 6 '

1818

Signaldauer des Statussignals 8.2' Signal duration of the status signal 8.2 '

1919

Signaldauer des Statussignals 8.2'' Signal duration of the status signal 8.2 ''

Claims (19)

Schaltungsanordnung zum Steuern einer Sicherheitseinrichtung (2) für ein Fahrzeug mit: a) mindestens einem ersten Schaltmittel (4.1, 4.2) und mindestens einem zweiten Schaltmittel (6) zum Aktivieren von mindestens einem Aktuator (7) der Sicherheitseinrichtung (2), b) einer ersten Steuereinheit (3) zum Steuern des mindestens einen ersten Schaltmittels (4.1, 4.2) abhängig von mindestens einem Eingangssignal (1.2, 3.2) der Sicherheitseinrichtung (2), und c) einer zweiten Steuereinheit (5) zum Steuern des mindestens einen zweiten Schaltmittels (6) abhängig von mindestens einem Eingangssignal (1.2, 3.2) der Sicherheitseinrichtung (2), d) die erste Steuereinheit (3) zum Erzeugen mindestens eines ersten Steuersignals (4.0.1) für das erste Schaltmittel (4.1, 4.2) sowie von mindestens einem ersten Freigabesignal (6.0.1) für das mindestens eine zweite Schaltmittel (6) unabhängig von der zweiten Steuereinheit (5) ausgebildet ist und e) die zweite Steuereinheit (5) zum Erzeugen mindestens eines zweiten Steuersignals (6.0.2) für das zweite Schaltmittel (6) sowie von mindestens einem zweiten Freigabesignal (4.0.2) für das mindestens eine erste Schaltmittel (4.1, 4.2) unabhängig von der ersten Steuereinheit (3) ausgebildet sind, und f) eine erste logische Verknüpfung (11) zum Bilden eines ersten Aktivierungssignals (4.0.3) für das mindestens eine erste Schaltmittel (4.1, 4.2) abhängig von dem mindestens einen ersten Steuersignal (4.0.1) der ersten Steuereinheit (3) und vom mindestens einen zweiten Freigabesignal (4.0.2) und g) eine zweite logische Verknüpfung (12) zum Bilden eines Aktivierungssignals (6.0.3) für das mindestens eine zweite Schaltmittel (6) abhängig von mindestens einem zweiten Steuersignal (6.0.2) der zweiten Steuereinheit (5) und vom mindestens einen ersten Freigabesignal (6.0.1) der ersten Steuereinheit (3) vorgesehen sind. h) dadurch gekennzeichnet, dass zumindest eine der Steuereinheiten (3) ausgebildet ist, um zu Prüfzwecken während einer Prüfphase mindestens ein Testansteuersignal (3.1) zu erzeugen, welches mindestens ein Test-Eingangssignal (1.2, 3.2) für die erste und/oder zweite Steuereinheit (3, 5) generiert, i) wobei während der Testphase eine Auslösung unterdrückt ist und j) zumindest eine der Steuereinheiten (5) ausgebildet ist, um das mindestens eine Ansteuersignal (3.1) der ersten Steuereinheit (3) für den mindestens einen Sensor (1.1, 10) zu überwachen und das mindestens eine zweite Freigabesignal (4.0.2) und/oder das mindestens eine Steuersignal (6.0.2) zu deaktivieren, falls sie nach einer Prüfphase im Normalbetrieb der Vorrichtung das mindestens eine Ansteuersignal (3.1) detektiert, um einen Aktivierungspfad für den mindestens einen Aktuator (7) zu sperren.Circuit arrangement for controlling a safety device ( 2 ) for a vehicle comprising: a) at least one first switching means ( 4.1 . 4.2 ) and at least one second switching means ( 6 ) for activating at least one actuator ( 7 ) of the safety device ( 2 ), b) a first control unit ( 3 ) for controlling the at least one first switching means ( 4.1 . 4.2 ) depending on at least one input signal ( 1.2 . 3.2 ) of the safety device ( 2 ), and c) a second control unit ( 5 ) for controlling the at least one second switching means ( 6 ) depending on at least one input signal ( 1.2 . 3.2 ) of the safety device ( 2 ), d) the first control unit ( 3 ) for generating at least one first control signal ( 4.0.1 ) for the first switching means ( 4.1 . 4.2 ) and at least one first enable signal ( 6.0.1 ) for the at least one second switching means ( 6 ) independently of the second control unit ( 5 ) and e) the second control unit ( 5 ) for generating at least one second control signal ( 6.0.2 ) for the second switching means ( 6 ) as well as at least one second enable signal ( 4.0.2 ) for the at least one first switching means ( 4.1 . 4.2 ) independently of the first control unit ( 3 ), and f) a first logical link ( 11 ) for forming a first activation signal ( 4.0.3 ) for the at least one first switching means ( 4.1 . 4.2 ) depending on the at least one first control signal ( 4.0.1 ) of the first control unit ( 3 ) and at least one second enable signal ( 4.0.2 ) and g) a second logical link ( 12 ) for forming an activation signal ( 6.0.3 ) for the at least one second switching means ( 6 ) depending on at least one second control signal ( 6.0.2 ) of the second control unit ( 5 ) and at least one first enable signal ( 6.0.1 ) of the first control unit ( 3 ) are provided. h), characterized in that at least one of the control units ( 3 ) is designed in order to test purposes during a test phase at least one test drive signal ( 3.1 ) which generates at least one test input signal ( 1.2 . 3.2 ) for the first and / or second control unit ( 3 . 5 i) during which a trigger is suppressed during the test phase and j) at least one of the control units ( 5 ) is formed to the at least one drive signal ( 3.1 ) of the first control unit ( 3 ) for the at least one sensor ( 1.1 . 10 ) and the at least one second enable signal ( 4.0.2 ) and / or the at least one control signal ( 6.0.2 ) if, after a test phase during normal operation of the device, the at least one drive signal ( 3.1 ) to provide an activation path for the at least one actuator ( 7 ) to lock. Schaltungsanordnung nach Anspruch 1, dadurch gekennzeichnet, dass zumindest eine der Steuereinheiten (5) ausgebildet ist, um das mindestens eine Ansteuersignal (3.1) der ersten Steuereinheit (3) für den mindestens einen Sensor (1.1, 10) zu überwachen und das mindestens eine zweite Freigabesignal (4.0.2) zu deaktivieren, falls sie während einer Prüfphase der Vorrichtung das mindestens eine Ansteuersignal (3.1) detektiert, um einen Aktivierungspfad für den mindestens einen Aktuator (7) teilweise freizugeben.Circuit arrangement according to Claim 1, characterized in that at least one of the control units ( 5 ) is formed to the at least one drive signal ( 3.1 ) of the first control unit ( 3 ) for the at least one sensor ( 1.1 . 10 ) and the at least one second enable signal ( 4.0.2 ) if, during a test phase of the device, the at least one drive signal ( 3.1 ) to provide an activation path for the at least one actuator ( 7 ) partially release. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die erste und zweite Steuereinheit (3, 5) ausgebildet sind, um sich ereignisgesteuert insbesondere während einer Initialisierungs- oder Prüfphase der Sicherheitseinrichtung (2) zueinander zu synchronisieren.Circuit arrangement according to one of the preceding claims, characterized in that the first and second control unit ( 3 . 5 ) are designed to be event-controlled, in particular during an initialization or test phase of the safety device ( 2 ) to synchronize with each other. Schaltungsanordnung nach Anspruch 3, dadurch gekennzeichnet, dass die erste Steuereinheit (3) ausgebildet ist, um zum ereignisgesteuerten Synchronisieren mindestens einen Sensor (1.1, 10) anzusteuern, der das mindestens eine Eingangssignal (1.2, 3.2) für die erste und/oder zweite Steuereinheit (3, 5) erzeugt.Circuit arrangement according to Claim 3, characterized in that the first control unit ( 3 ) is adapted to at least one sensor for event-controlled synchronization ( 1.1 . 10 ), the at least one input signal ( 1.2 . 3.2 ) for the first and / or second control unit ( 3 . 5 ) generated. Schaltungsanordnung nach Anspruch 4, dadurch gekennzeichnet, dass die erste Steuereinheit (3) ferner ausgebildet ist, um zum ereignisgesteuerten Synchronisieren ein Signal zum Ansteuern des mindestens einen Sensors (1.1, 10) und der zweiten Steuereinheit (5) zu erzeugen, die Zeitdauer (9) bis zum Empfang eines Statussignals (8.2) zu messen und sich entsprechend der gemessenen Zeitdauer (9) mit der zweiten Steuereinheit (5) zu synchronisieren.Circuit arrangement according to Claim 4, characterized in that the first control unit ( 3 ) is further adapted for the event-controlled synchronization, a signal for driving the at least one sensor ( 1.1 . 10 ) and the second control unit ( 5 ), the duration ( 9 ) until receipt of a status signal ( 8.2 ) and according to the measured time ( 9 ) with the second control unit ( 5 ) to synchronize. Schaltungsanordnung nach einem der Ansprüche 3 bis 5, dadurch gekennzeichnet, dass die zweite Steuereinheit (5) ausgebildet ist, um während einer ereignisgesteuerten Synchronisation das Steuersignal (6.0.2) zum Bilden des Aktivierungssignals (6.0.3) für das mindestens zweite Schaltmittel (6) und/oder das zweite Freigabesignal (4.0.2) zu deaktivieren.Circuit arrangement according to one of claims 3 to 5, characterized in that the second control unit ( 5 ) is designed in order to control the control signal during an event-controlled synchronization ( 6.0.2 ) for forming the activation signal ( 6.0.3 ) for the at least second switching means ( 6 ) and / or the second enable signal ( 4.0.2 ). Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die erste und zweite Steuereinheit (3, 5) gesonderte Bauelemente sind.Circuit arrangement according to one of the preceding claims, characterized in that the first and second control unit ( 3 . 5 ) are separate components. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das mindestens eine erste Schaltmittel (4.1, 4.2) als ein erstes Bauelement (4) und das mindestens eine zweite Schaltmittel (6) als ein zweites gesondertes Bauelement ausgebildet ist.Circuit arrangement according to one of the preceding claims, characterized in that the at least one first switching means ( 4.1 . 4.2 ) as a first component ( 4 ) and the at least one second switching means ( 6 ) is formed as a second separate component. Schaltungsanordnung nach Anspruch 8, dadurch gekennzeichnet, dass das mindestens eine erste Schaltmittel (4.1, 4.2) ein Transistor und das erste Bauelement ein ASIC ist, das eine Ansteuerlogik (13, 14) für das mindestens eine erste Schaltmittel (4.1, 4.2) aufweist.Circuit arrangement according to claim 8, characterized in that the at least one first switching means ( 4.1 . 4.2 ) is a transistor and the first device is an ASIC having a drive logic ( 13 . 14 ) for the at least one first switching means ( 4.1 . 4.2 ) having. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die erste und zweite Steuereinheit (3, 5) ausgebildet sind, um das mindestens eine erste Freigabesignal (6.0.1) bzw. das mindestens eine zweite Freigabesignal (4.0.2) für eine bestimmte Zeitdauer und/oder unmittelbar oder zeitlich versetzt nach Detektion eines Eingangssignals (3.2) zu erzeugen.Circuit arrangement according to one of the preceding claims, characterized in that the first and second control unit ( 3 . 5 ) are formed to receive the at least one first enable signal ( 6.0.1 ) or the at least one second enable signal ( 4.0.2 ) for a certain period of time and / or directly or temporally offset after detection of an input signal ( 3.2 ) to create. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die erste und zweite Steuereinheit (3, 5) derart ausgebildet sind, dass eine Prüfung von einem oder mehreren das mindestens eine Eingangssignal (1.1, 10) erzeugenden Sensoren nur bei gesperrtem mindestens einem ersten oder zweiten Schaltmittel (4.1, 4.2, 6) erfolgen kann.Circuit arrangement according to one of the preceding claims, characterized in that the first and second control unit ( 3 . 5 ) are designed such that a test of one or more of the at least one input signal ( 1.1 . 10 ) generating sensors only when at least one first or second switching means ( 4.1 . 4.2 . 6 ). Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass in der ersten Steuereinheit (3) ein Basisalgorithmus zur Funktionsüberprüfung der zweiten Steuereinheit (5) implementiert ist.Circuit arrangement according to one of the preceding claims, characterized in that in the first control unit ( 3 ) a basic algorithm for checking the function of the second control unit ( 5 ) is implemented. Verfahren zum Steuern einer Sicherheitseinrichtung (2) für ein Fahrzeug mit einer Schaltungsanordnung nach einem der vorangehenden Ansprüche, bei dem eine erste und eine zweite Steuereinheit (3, 5) der Sicherheitseinrichtung jeweils mindestens ein Eingangssignal (1.2, 3.2) empfangen und abhängig vom empfangenen mindestens einen Eingangssignal (1.2, 3.2) mindestens ein erstes Schaltmittel (4.1, 4.2) und mindestens ein zweites Schaltmittel (6) zum Aktivieren von mindestens einem Aktuator (7) der Sicherheitseinrichtung (2) steuern, dadurch gekennzeichnet, dass die erste Steuereinheit (3) mindestens ein erstes Freigabesignal (6.0.1) für das mindestens eine zweite Schaltmittel (6) unabhängig von der zweiten Steuereinheit (5) und die zweite Steuereinheit (5) mindestens ein zweites Freigabesignal (4.0.2) für das mindestens eine erste Schaltmittel (4.1, 4.2) unabhängig von der ersten Steuereinheit (3) erzeugen, und dass durch eine erste logische Verknüpfung (11) ein Aktivierungssignal (4.0.3) für das mindestens eine erste Schaltmittel (4.1, 4.2) abhängig von mindestens einem Steuersignal (4.0.1) der ersten Steuereinheit (3) und vom mindestens einen zweiten Freigabesignal (4.0.2) und durch eine zweite logische Verknüpfung (12) ein Aktivierungssignal (6.0.3) für das mindestens eine zweite Schaltmittel (6) abhängig von mindestens einem Steuersignal (6.0.2) der zweiten Steuereinheit (5) und vom mindestens einen ersten Freigabesignal (6.0.1) gebildet werden.Method for controlling a safety device ( 2 ) for a vehicle having a circuit arrangement according to one of the preceding claims, in which a first and a second control unit ( 3 . 5 ) of the safety device at least one input signal ( 1.2 . 3.2 ) and depending on the received at least one input signal ( 1.2 . 3.2 ) at least a first switching means ( 4.1 . 4.2 ) and at least one second switching means ( 6 ) for activating at least one actuator ( 7 ) of the safety device ( 2 ), characterized in that the first control unit ( 3 ) at least a first enable signal ( 6.0.1 ) for the at least one second switching means ( 6 ) independently of the second control unit ( 5 ) and the second control unit ( 5 ) at least one second enable signal ( 4.0.2 ) for the at least one first switching means ( 4.1 . 4.2 ) independently of the first control unit ( 3 ) and that by a first logical link ( 11 ) an activation signal ( 4.0.3 ) for the at least one first Switching means ( 4.1 . 4.2 ) depending on at least one control signal ( 4.0.1 ) of the first control unit ( 3 ) and at least one second enable signal ( 4.0.2 ) and a second logical link ( 12 ) an activation signal ( 6.0.3 ) for the at least one second switching means ( 6 ) depending on at least one control signal ( 6.0.2 ) of the second control unit ( 5 ) and at least one first enable signal ( 6.0.1 ) are formed. Verfahren nach Anspruch 13, dadurch gekennzeichnet, dass sich die erste und zweite Steuereinheit (3, 5) ereignisgesteuert insbesondere während einer Initialisierungs- oder Prüfphase der Sicherheitseinrichtung (2) zueinander synchronisieren.Method according to claim 13, characterized in that the first and second control units ( 3 . 5 ) event-controlled, in particular during an initialization or test phase of the safety device ( 2 ) synchronize with each other. Verfahren nach Anspruch 14, dadurch gekennzeichnet, dass die erste Steuereinheit (3) zum ereignisgesteuerten Synchronisieren mindestens einen Sensor (1.1, 10) ansteuert, der das mindestens eine Eingangssignal (1.2, 3.2) für die erste und zweite Steuereinheit (3, 5) erzeugt.Method according to claim 14, characterized in that the first control unit ( 3 ) for event-controlled synchronization at least one sensor ( 1.1 . 10 ), which controls the at least one input signal ( 1.2 . 3.2 ) for the first and second control units ( 3 . 5 ) generated. Verfahren nach Anspruch 15, dadurch gekennzeichnet, dass die erste Steuereinheit (3) zum ereignisgesteuerten Synchronisieren ein Signal zum Ansteuern des mindestens einen Sensors (1.1, 10) und der zweiten Steuereinheit (5) erzeugt, die Zeitdauer (9) bis zum Empfang eines Statussignals (8.2) misst und sich entsprechend der gemessenen Zeitdauer (9) mit der zweiten Steuereinheit (5) synchronisiert.Method according to claim 15, characterized in that the first control unit ( 3 ) for event-controlled synchronization, a signal for actuating the at least one sensor ( 1.1 . 10 ) and the second control unit ( 5 ), the duration ( 9 ) until receipt of a status signal ( 8.2 ) and measured according to the measured time ( 9 ) with the second control unit ( 5 ) synchronized. Verfahren nach einem der Ansprüche 13 bis 16, dadurch gekennzeichnet, dass die zweite Steuereinheit (5) während einer ereignisgesteuerten Synchronisation das Steuersignal (6.0.2) zum Bilden des Aktivierungssignals (6.0.3) für das mindestens eine zweite Schaltmittel (6) und/oder das zweite Freigabesignal (4.0.2) deaktiviert.Method according to one of claims 13 to 16, characterized in that the second control unit ( 5 ) during an event-driven synchronization the control signal ( 6.0.2 ) for forming the activation signal ( 6.0.3 ) for the at least one second switching means ( 6 ) and / or the second enable signal ( 4.0.2 ) disabled. Verfahren nach einem der Ansprüche 13 bis 17, dadurch gekennzeichnet, dass die erste und zweite Steuereinheit (3, 5) das mindestens eine erste Freigabesignal (6.0.1) bzw. das mindestens eine zweite Freigabesignal (4.0.2) für eine bestimmte Zeitdauer und/oder unmittelbar oder zeitlich versetzt nach Detektion eines Eingangssignals (3.2) erzeugen.Method according to one of claims 13 to 17, characterized in that the first and second control unit ( 3 . 5 ) the at least one first enable signal ( 6.0.1 ) or the at least one second enable signal ( 4.0.2 ) for a certain period of time and / or directly or temporally offset after detection of an input signal ( 3.2 ) produce. Verfahren nach einem der Ansprüche 13 bis 18, dadurch gekennzeichnet, dass die erste und zweite Steuereinheit (3, 5) eine Prüfung von einem oder mehreren das mindestens eine Eingangssignal (1.1, 10) erzeugenden Sensoren nur bei gesperrtem mindestens einem ersten oder zweiten Schaltmittel (4.1, 4.2, 6) durchführen.Method according to one of claims 13 to 18, characterized in that the first and second control unit ( 3 . 5 ) a test of one or more of the at least one input signal ( 1.1 . 10 ) generating sensors only when at least one first or second switching means ( 4.1 . 4.2 . 6 ) carry out.