-
Stand der Technik
-
Die
Erfindung betrifft ein Steuergerät bzw. ein Verfahren zur
Ansteuerung von Personenschutzmitteln nach der Gattung der unabhängigen
Patentansprüche.
-
Aus
DE 10 2004 056 415
A1 ist ein integrierter Schaltkreis bekannt, der neben
anderen Funktionen auch die Bewertung von wenigstens einem Beschleunigungssignal
zur Freigabe von wenigstens einer Zündendstufe durchführt.
Diese Untersuchung der Beschleunigungssignale läuft parallel
zur Untersuchung dieser Signale durch den Mikrocontroller. Damit
werden getrennte Auswertepfade realisiert. Nur wenn der Mikrocontroller
und der integrierte Schaltkreis auf eine Ansteuerung der Personenschutzmittel
entscheiden, kommt es zur tatsächlichen Ansteuerung der
Personenschutzmittel.
-
Offenbarung der Erfindung
-
Das
erfindungsgemäße Steuergerät bzw. das
erfindungsgemäße Verfahren zur Ansteuerung von
Personenschutzmitteln für ein Fahrzeug mit den Merkmalen
der unabhängigen Patentansprüche haben demgegenüber
den Vorteil, dass wenn das Sensorsignal über die Auswerteschaltung,
beispielsweise den Mikrocontroller bereitgestellt wird, dieses Sensorsignal
zur Erzeugung eines Prüfsignals mit einem Testsignal, das
außerhalb der Auswerteschaltung erzeugt wird, verknüpft
wird und dann das Prüfsignal von dem Safety-Controller,
also der redundanten Auswertung ausgewertet wird. Damit wird verhindert,
dass, wenn der Mikrocontroller in einem unkontrollierten Zustand
ist und damit auch die Sensorsignale dem Safety-Controller in unkontrollierbarer
Art und Weise übergibt, dies anhand der Verknüpfung mit
dem Testsignal, das von außerhalb des Mikrocontrollers
stammt, erkannt werden kann und so eine Auswertung unterbleibt und
damit eine fehlerhafte Ansteuerung der Personenschutzmittel unterbunden wird.
-
Die
Anbindung der Sensorsignale über die Auswerteschaltung
kann beispielsweise dann vorgesehen sein, wenn sogenannte Buskonzepte
wie der FlexRay dazu dienen, die Sensorsignale zum Steuergerät
zu übertragen. Der Mikrocontroller kann dann beispielsweise
eine Empfängerschaltung für CAN und/oder Flexray
aufweisen, so dass die Rechenleistung des Mikrocontrollers vorliegend
voll genutzt werden kann und die Implementierung eines Empfängers
im zweiten Signalpfad mit dem Safety-Controller unterbleiben kann.
-
Vorliegend
ist ein Steuergerät ein elektrisches Gerät, das
wenigstens ein Sensorsignal verarbeitet und in Abhängigkeit
davon Ansteuerungssignale für die Personenschutzmittel
wie Airbags, Gurtstraffer oder eine crashaktive Kopfstütze
erzeugt. Das Ansteuern der Personenschutzmittel bedeutet dabei das
Aktivieren dieser Personenschutzmittel.
-
Der
Testsignalgenerator, der sich außerhalb der Auswerteschaltung,
aber innerhalb des Steuergeräts befindet, dient zur Bereitstellung
des Testsignals. Dabei kann dieses Testsignal aus einem Speicher,
beispielsweise einem EEPROM abgerufen werden oder mittels vorgegebener
Daten erzeugt werden. Wie aus den abhängigen Ansprüchen
hervorgeht, kann es sich bei dem Testsignal um einen Schlüssel
oder ein anderes Codiermuster handeln. Der Testsignalgenerator kann,
wie es aus den abhängigen Ansprüchen hervorgeht,
auf dem integrierten Schaltkreis vorgesehen sein, der die verschiedensten
Funktionen für das Steuergerät beherbergt mithin einem
System-ASIC. Auch eine softwaremäßige Implementierung
ist vorliegend möglich.
-
Bei
der Auswerteschaltung kann, wie bereits angegeben, es sich um einen
Mikrocontroller handeln, aber auch alle anderen Prozessortypen kommen
hierfür in Frage. Ebenso kommen hierfür geeignete
ASICs in Frage. Für die Funktion bei einem Prozessor wie
einem Mikrocontroller ist dann die entsprechende Software notwendig.
Die Auswerteschaltung weist erfindungsgemäß eine
Schnittstelle zur Bereitstellung des wenigstens einen Sensorsignals auf.
Diese Schnittstelle kann als Softwaremodul oder auch als ein Hardwareabschnitt
ausgeführt sein. Die Schnittstelle ermöglicht
das Einlesen der Sensordaten, um diese Sensordaten dann weiter zu
verarbeiten. Dabei werden die Nutzdaten von anderen Übertragungsdaten
getrennt.
-
Bei
dem Sensorsignal handelt es sich üblicherweise um ein Signal
einer Unfallsensorik, wie es eine Beschleunigungssensor, eine Luftdrucksensorik,
eine Körperschallsensorik oder eine Umfeldsensorik sind.
Aber auch andere beispielsweise Deformationssensoriken können
dafür verwendet werden. Das Sensorsignal wie auch die anderen
Signale sind vorliegend digital ausgeführt, sie können
jedoch auch analog übertragen werden. Insbesondere kann
es sich bei dem Sensorsignal um einen Multiplex oder um ein einzelnes
Signal handeln.
-
Das
erfindungsgemäße Auswertemodul kann ein Softwaremodul
oder auch ein Hardwareabschnitt auf der Auswerteschaltung sein.
Es dient zur Erzeugung einer ersten Ansteuerungsentscheidung in
Abhängigkeit von dem wenigstens einen Sensorsignal. Dies
bedeutet, das Auswertemodul rechnet den Auswertealgorithmus anhand
des Sensorsignals. Dabei können verschiedenste Operationen
vorgenommen werden, wie auch Vorverarbeitungen, beispielsweise Integrationen
eines Beschleunigungssignals mit anschließenden Schwellwertvergleichen
und dergleichen mehr.
-
Auch
das Verknüpfungsmodul kann hard- und/oder softwaremäßig
ausgeführt sein. Es dient zur Verknüpfung des
wenigstens einen Sensorsignals mit dem Testsignal. Diese Verknüpfung
ist so, dass der Safety-Controller oder ihm zugeordnete Elemente
daran erkennen können, ob das Testsignal durch die Auswerteschaltung
in irgendeiner Weise korrumpiert wurde. Dies würde dann
auch für das Sensorsignal zutreffen.
-
Bei
dem Safety-Controller handelt es sich üblicherweise um
eine von der Auswerteschaltung getrennte Hardware, die unabhängig
von der Auswerteschaltung die zweite Ansteuerungsentscheidung in
Abhängigkeit von dem Prüfsignal bildet. Dabei
ist es beispielsweise auch möglich, dass bei einem Mehrkernrechner
auf einem Kern die Auswerteschaltung und auf einem anderen Kern
der Safety-Controller lokalisiert sind. Üblicherweise verwendet
der Safety-Controller einen einfacheren Algorithmus als das Auswertemodul.
Das Prüfsignal kann für die Auswertung durch den
Safety-Controller noch vorverarbeitet sein, beispielsweise, indem
es von dem Testsignal wieder getrennt wird. Dieser einfachere Algorithmus,
der weniger Rechenschritte als der Auswertealgorithmus auf der Auswerteschaltung erfordert,
kann hardwaremäßig oder softwaremäßig implementiert
sein.
-
Bei
der Ansteuerungsschaltung handelt es sich um eine Logik, die die
erste und zweite Ansteuerungsentscheidung verknüpft und
dann das so entstandene Ergebnis auswertet und die entsprechenden
Personenschutzmittel in Abhängigkeit davon ansteuert. Ein
einfaches Beispiel ist eine logische Und-Verknüpfung. Die
Logik kann jedoch erheblich komplexer sein, um aus den Ansteuerungsentscheidungen
auch zu entnehmen, welche Personenschutzmittel, wann anzusteuern
sind. Die Ansteuerung geschieht üblicherweise durch die
Ansteuerung von Leistungsschaltern, wie es MOSFETs beispielsweise
sind, deren Ansteuerung dann die Aktivierung der Personenschutzmittel
bewirkt, beispielsweise durch ein Bestromen von Zündelementen
für Airbags.
-
Durch
die in den abhängigen Ansprüchen aufgeführten
Maßnahmen und Weiterbildungen sind vorteilhafte Verbesserungen
des in den unabhängigen Patentansprüchen angegebenen
Steuergeräts bzw. Verfahrens zur Ansteuerung von Personenschutzmitteln
für ein Fahrzeug möglich.
-
Es
ist dabei von Vorteil, dass der Testsignalgenerator zur Bereitstellung
eines Schlüssels als dem Testsignal konfiguriert ist. D.
h. das Testsignal ist dabei ein Schlüssel, mit dem eine
Codierung möglich ist, wie es beispielsweise aus der Verschlüsselungstechnologie
bekannt ist. Dieser Schlüssel kann dabei fest abgespeichert
sein oder er kann aus vorgegebenen Daten berechnet werden. Der Testsignalgenerator
beinhaltet dabei dann einen eigenen Speicher oder greift auf einen
Speicher zu, bei dem der Schlüssel beispielsweise als Datum
abgelegt ist.
-
Es
ist weiterhin vorteilhaft, dass das Verknüpfungsmodul als
Codierer ausgebildet ist, wobei der Codierer das wenigstens eine
Sensorsignal mit dem Schlüssel zu dem Prüfsignal
codiert und dass dann ein Decodierer zur Decodierung des Prüfsignals
dem Safety-Controller zugeordnet ist. Bei dem Codierer handelt es
sich dabei dann um ein Modul, das die entsprechende Rechnung, also
die Verschlüsselung ausführt bzw. Codierung und
bei dem Decodierer um einen entsprechenden Rechner, der das Sensorsignal
von der Verschlüsselung wieder befreit. Der Decodierer
ist nicht Teil der Auswerteschaltung, sondern beispielsweise, wie
unten angegeben, Teil des System-ASICs.
-
Darüber
hinaus ist es von Vorteil, dass die Schnittstelle ein Redundanzmodul
aufweist, das dem wenigstens einen Sensorsignal Redundanz zufügt und
mit dem Verknüpfungsmodul entsprechend verbunden ist. Dabei
wird dann das wenigstens eine Sensorsignal mit Redundanz versehen,
so dass eine entsprechende Korrektur beispielsweise vorgenommen
werden kann. Dafür kann ein Prüfsummencheck verwendet
werden. Das so mit einer Prüfsumme versehene Sensorsignal
wird dann in dem Verknüpfungsmodul für die Codierung
beispielsweise zugeführt.
-
Es
ist weiterhin vorteilhaft, dass dem Decodierer ein Prüfmodul
nachgeordnet ist, dass anhand dieser Redundanz das Sensorsignal
auf Integrität prüft und gegebenenfalls korrigiert.
-
Die
Auswerteschaltung kann vorzugsweise als Prozessor ausgebildet sein,
wie es bereits oben angegeben ist. Dieser Prozessor besteht üblicherweise
aus einem einzigen Halbleitersubstrat. Auf diesem Halbleitersubstrat
sind dann in Silizium die entsprechenden Funktionen realisiert.
-
Der
Testsignalgenerator, der Decodierer, das Prüfmodul und
der Safety-Controller sowie die Ansteuerschaltung können
vorteilhafter Weise auf einem einzigen integrierten Schaltkreis
angeordnet sein und bilden so beispielsweise in Verbindung mit anderen
Funktionen den System-ASIC. Damit ist eine kostengünstige
Realisierung dieser Funktionen möglich.
-
Ausführungsbeispiele
sind in der Zeichnung dargestellt und werden in der nachfolgenden
Beschreibung näher erläutert.
-
Es
zeigen
-
1 ein
Blockschaltbild des erfindungsgemäßen Steuergeräts
mit angeschlossenen Komponenten im Fahrzeug,
-
2 ein
Blockschaltbild einer erfindungsgemäß relevanten
Signalverarbeitung und
-
3 ein
Flussdiagramm des erfindungsgemäßen Verfahrens.
-
1 zeigt
in einem Blockschaltbild das erfindungsgemäße
Steuergerät ECU in Verbindung mit angeschlossenen Geräten
DCU und PS im Fahrzeug FZ. Vorliegend sind nur die für
das Verständnis der Erfindung wesentlichen Komponenten
dargestellt. Andere, für den Betrieb des Steuergeräts
ECU notwendige Komponenten sind der Einfachheit halber weggelassen
worden, weil sie nicht wesentlich zum Verständnis der Erfindung
beitragen.
-
Ein
Sensorsteuergerät DCU überträgt Sensorsignale
bzw. -daten, beispielsweise über einen Bus an das Steuergerät
ECU und dabei direkt an den Mikrocontroller μC. Als Bus
wird vorliegend der Flexray-Standard verwendet. Es ist möglich
einen anderen Standard zu implementieren.
-
Der
Mikrocontroller μC weist selbst eine Schnittstelle R auf,
um die Sensordaten des Sensorsteuergeräts DCU empfangen
zu können. Diese Schnittstelle R ist in der Lage, die Nutzdaten
aus dem Übertragungsrahmen. der für die Busübertragung verwendet
wurde, zu entnehmen und an die weiteren Module im Mikrocontroller μC
weiterzugeben.
-
Anstatt
eines Sensorsteuergeräts DCU, das verschiedenste für
die Funktion des Personenschutzes notwendige Sensoren beinhaltet,
können auch andere Aufbauten, beispielsweise Sensorcluster oder
Einzelsensoren vorgesehen sein.
-
Die
Sensordaten werden einerseits dem Auswertemodul A zugeführt
und andererseits dem Verknüpfungsmodul C.
-
Das
Auswertemodul A wendet den Auswertealgorithmus an das Sensorsignal
an. Dabei kommen die verschiedensten Signalverarbeitungsmethoden
zum Einsatz. Insbesondere werden Schwellwertvergleiche durchgeführt.
Diese Schwellwerte können auch in Abhängigkeit
von weiteren Größen verändert werden.
Werden die relevanten Ansteuerungsschwellen überschritten,
dann wird die erste Ansteuerungsentscheidung durch das Auswertemodul
A gebildet und an die Ansteuerungsschaltung FLIC übertragen.
-
Die
Sensordaten werden auch vom Verknüpfungsmodul C verarbeitet,
und zwar indem sie mit dem Testsignal vom Testsignalgenerator TG
miteinander verknüpft werden. Diese Verknüpfung
ist vorliegend als eine Verschlüsselung oder eine bloße Hinzufügung
des Schlüssels zu dem Sensorsignal ausgeführt,
da das Testsignal als ein Schlüssel ausgebildet ist. Damit
ist das Verknüpfungsmodul C als Codierer ausgebildet. Der
Testsignalgenerator TG ist im System-ASIC angeordnet, in dem auch
ein Decodierer D, der Safety-Controller SC und die Ansteuerungsschaltung
FLIC angeordnet sind. Die verschlüsselten Daten werden
vom Mikrocontroller μC über das Verknüpfungsmodul
C zu dem Decodierer D auf dem System-ASIC SA übertragen.
Der Decodierer D prüft nun, ob der Schlüssel noch
so ist, wie ihn der Testsignalgenerator TG ursprünglich
an den Codierer C übertragen hat. Dazu wird der Schlüssel
vom Testsignalgenerator, dem Decodierer D zur Verfügung gestellt,
so dass ein einfacher Vergleich möglich ist. Der Decodierer
D kann den Schlüssel auch von einem Speicher oder einem
anderen Baustein bekommen.
-
Die
Nutzdaten werden dem Safety-Controller SC weitergegeben, damit der
Safety-Controller anhand dieses Sensorsignals die zweite Ansteuerungsentscheidung
bilden kann. Der Safety-Controller SC wendet für die Bildung
der Ansteuerungsentscheidung ebenfalls wenigstens einen Schwellwertvergleich
an, wobei üblicherweise diese Bildung einfacher, d. h.
mit weniger Rechenschritten verbunden ist, als dies der Auswertealgorithmus
auf dem Mikrocontroller μC ausführt.
-
Diese
Ansteuerungsentscheidung wird dann der Ansteuerungsschaltung FLIC übertragen.
Die Ansteuerungsschaltung FLIC verknüpft die beiden Ansteuerungsentscheidungen,
und nur wenn beide positiv sind, kommt es zur Ansteuerung der Personenschutzmittel
PS.
-
Der
Schlüssel wird daher vom Codierer C in das Signal integriert,
um damit das Prüfsignal zu bilden. Dabei kann das Signal
einfach mit dem Prüfmuster multipliziert und dann im Sicherheitspfad
dividiert werden. Allgemein benötigt man eine eindeutig umkehrbare
mathematische Operation, d. h. bei der Realisierung würde
man in der Signaltheorie eine laufzeitoptimale Variante suchen.
-
2 zeigt
den relevanten Teil der Erfindung als ein Blockschaltbild. Nutzdaten 200 werden
hier durch die Folge 00111001 an den Mikrocontroller 201 und
dabei an den Empfänger 203, also die Schnittstelle, übertragen.
Der Empfänger 203 fügt den Daten Redundanz
hinzu, indem er eine Prüfsumme hinzufügt, was
allgemein als CRC Cyclic Redundancy Code bekannt ist. Die Daten
ohne diese Prüfsumme werden dem Algorithmus 205 zugeführt,
um die erste Ansteuerungsentscheidung zu bilden.
-
Die
Daten mit der Prüfsumme werden dem Codierer 204 zugeführt,
wobei vorliegend die Nutzdaten 00111001 um die Prüfsumme
11001 ergänzt sind. Der Codierer 204 erhält
vom Testsignalgenerator 206 auf dem System-ASIC 202 den
Schlüssel 11000011. Der Codierer 204 integriert
diesen Schlüssel zu dem Sensorsignal. Das so entstandene
Signal wird dann dem Decodierer 207 übertragen.
Der Decodierer 207 ist ebenfalls auf dem System-ASIC 202 angeordnet.
Der Decodierer 207 erhält ebenfalls vom Testsignalgenerator 206 den
Schlüssel 11000011. Somit kann der Decodierer, indem er
den Schlüssel wieder von der übertragenen Nachricht
vom Codierer 204 separiert, durch Vergleich erkennen, ob
der Schlüssel verändert wurde, beispielsweise
durch eine Fehlfunktion des Mikrocontrollers 201.
-
Die
durch die Decodierung gewonnenen Nutzdaten mit der Redundanz werden
einem Prüfmodul 208 zugeführt. Dieses
Prüfmodul prüft anhand der Redundanz, ob die Nutzdaten
korrekt übertragen wurden. Gegebenenfalls kann eine Fehlerdatenkorrektur
erfolgen. Sind die Nutzdaten nicht in Ordnung, endet dort das Verfahren,
und es wird keine zweite Ansteuerungsentscheidung gebildet. Sind
die Nutzdaten jedoch korrekt oder kann eine Korrektur durchgeführt
werden, dann werden die Nutzdaten dem Safety-Controller 209,
der ebenfalls auf dem System-ASIC 202 ist, zugeführt.
Daran kann dann die zweite Ansteuerungsentscheidung gebildet werden.
-
3 zeigt
in einem Flussdiagramm das erfindungsgemäße Verfahren.
In Verfahrensschritt 300 wird das Testsignal, beispielsweise
der Schlüssel, bereitgestellt. In Verfahrensschritt 301 wird
das Sensorsignal beispielsweise über den FlexRay-Bus im Mikrocontroller μC
als der Auswerteschaltung bereitgestellt. Das Sensorsignal wird
dabei dem Auswertealgorithmus im Verfahrensschritt 302 zugeführt,
um die erste Ansteuerungsentscheidung zu bilden. Im Verfahrensschritt 303 wird
anhand des Sensorsignals durch das Verknüpfungsmodul ein
Prüfsignal mit dem Testsignal gebildet. Dafür
kann ein Codierer verwendet werden. Im Verfahrensschritt 304 wird
anhand dieses Prüfsignals durch den Safety-Controller SC
die zweite Ansteuerungsentscheidung gebildet. Im Verfahrensschritt 305 wird
die erste Ansteuerungsentscheidung und die zweite Ansteuerungsentscheidung
miteinander verknüpft, um zu entscheiden, ob die Personenschutzmittel
angesteuert werden sollen oder nicht. Danach erfolgt die Ansteuerung
der Personenschutzmittel.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste
der vom Anmelder aufgeführten Dokumente wurde automatisiert
erzeugt und ist ausschließlich zur besseren Information
des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen
Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt
keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- - DE 102004056415
A1 [0002]