DE102011075182A1

DE102011075182A1 - Mikrocontroller mit fehlersicherer Ansteuerung externer Aktuatoren

Info

Publication number: DE102011075182A1
Application number: DE201110075182
Authority: DE
Inventors: Marcus Engelhart
Original assignee: Continental Teves AG and Co OHG
Current assignee: Continental Teves AG and Co OHG
Priority date: 2010-06-07
Filing date: 2011-05-03
Publication date: 2011-12-08

Abstract

Ein erfindungsgemäßer Mikrocontroller umfasst eine Fehlererkennungslogik, welche bei Auftreten eines internen und/oder externen Fehlers ein Fehlersignal ausgibt, sowie eine Ansteuerschaltung für externe Aktuatoren, und weist ein Schaltungsmodul zur Deaktivierung der Ansteuerschaltung für externe Aktuatoren auf, wobei ein direkter Signalpfad zwischel zur Deaktivierung der Ansteuerschaltung für externe Aktuatoren besteht.

Description

Die Erfindung betrifft einen Mikrocontroller gemäß dem Oberbegriff von Anspruch 1 und ein Verfahren gemäß Oberbegriff von Anspruch 10.
Mikrocontroller (MCU) werden vielfach zum Ansteuern elektrischer Antriebe oder elektrischer Schaltungen eingesetzt. Eine fehlerhafte Ansteuerung eines Motors kann diesen oder die angetriebene Vorrichtung beschädigen oder zerstören. Wird z. B. in einem Kraftfahrzeug der Motor einer elektromechanischen Bremse oder einer elektronischen Lenkung falsch angesteuert, kann es zu Unfällen und schlimmstenfalls zu Verletzungen von Personen kommen.
Für sicherheitskritische Anwendungen sind an sich Mikrocontroller bekannt, bei denen zwei Prozessoren im Locksteg-Modus betriebenen werden, d. h. im Wesentlichen synchron die gleichen Anweisungen ausführen. Eine Fehlerbehandlungseinheit vergleicht die Ergebnisse der beiden Prozessoren und bringt bei Auftreten eines internen Fehlers, d. h. einer Abweichung zwischen den Ergebnissen, das System in einen definierten Zustand. Weiterhin sind an sich Mikrocontroller bekannt, die eine Deaktivierungslogik für eine Pulsweitenmodulationsschaltung (PWM) aufweisen, wobei eine gezielte Deaktivierung einzelner Pins durch externe Signale möglich ist. Somit kann ein korrekt funktionierendes System auf Anweisung von außen, d. h. ein Signal an einem externen Pin, die Ansteuerung z. B. von Aktuatoren beenden. Nachteilhafterweise muss nach dem Stand der Technik bei einem internen Fehler durch die Fehlerbehandlungseinheit ein Zurücksetzen des gesamten Mikrocontrollers erfolgen, um sicher wieder einen geeigneten Betriebszustand zu erreichen. Hierbei geht der gesamte Speicherinhalt verloren und eine beträchtliche Zeit verstreicht, bis das System wieder funktionsfähig ist.
Aufgabe der vorliegenden Erfindung ist es daher, einen Mikrocontroller mit einer Ansteuerungsschaltung für externe Aktuatoren bereitzustellen, welcher die genannten Nachteile vermeidet und kostengünstig zu fertigen ist.
Diese Aufgabe wird erfindungsgemäß durch einen Mikrocontroller gemäß Anspruch 1 und ein Verfahren gemäß Anspruch 10 gelöst.
Es wird also ein Mikrocontroller bereitgestellt, der eine Fehlererkennungslogik, welche bei Auftreten eines internen und/oder externen Fehlers ein Fehlersignal ausgibt, und eine Ansteuerschaltung für externe Aktuatoren umfasst, welche ein Schaltungsmodul zur Deaktivierung der Ausgänge aufweist. Erfindungsgemäß besteht ein direkter Signalpfad zwischen der Fehlererkennungslogik und dem Schaltungsmodul zur Deaktivierung der Ausgänge der Ansteuerschaltung für externe Aktuatoren.
Die vorliegende Erfindung baut darauf auf, dass Mikrocontroller vielfach bereits eine Logikschaltung zur Signalisierung interner Fehler des Rechenwerks bzw. der Speicherbausteine besitzen. Weiterhin sind solche Mikrocontroller, die zum Ansteuern z. B. elektrischer Motoren eine Pulsweitenmodulations-Schaltung (PWM-Schaltung) besitzen, vielfach mit einem Eingang ausgestattet, der die PWM-Schaltung in einen stabilen Zustand wechseln lässt. Verbindet man den Ausgang der Fehlererkennungsschaltung intern mit dem Eingang zum Stoppen der PWM-Schaltung, so kann die angesteuerte Schaltung oder Vorrichtung definiert gestoppt werden, ohne dass es zu Schäden kommt. Unter einem Stoppen der PWM-Schaltung wird hierbei verstanden, dass definierte Spannungen an die extern angeschlossenen Aktuatoren bzw. Schaltungen angelegt werden bzw. die PWM-Ausgangsstufen sofort in einen definierten Zustand gebracht werden.
Weiterhin muss kein Eingangspin für ein Abschalten der PWM-Schaltung bereitgestellt werden, wodurch die Fertigungskosten des Mikrocontrollers verringert werden. Da Mikrocontroller verschiedener Hersteller vielfach bereits mit einer Fehlererkennungslogik und einem Eingang zum Stoppen der PWM-Schaltung ausgerüstet sind, kann die Erfindung relativ einfach und kompatibel bei verschiedenen Halbleiterherstellern umgesetzt werden.
Vorzugsweise ist der Eingang des Schaltungsmodul zur Deaktivierung der Ausgänge mit einem ODER-Gatter verbunden ist, an das die Fehlererkennungslogik und ein oder mehrere weitere Signalleitungen anderer Schaltungsteile angeschlossen sind. Somit können auch weitere Fehler, die ein Abschalten der Aktuatoren erfordern, in einfacher Weise berücksichtigt werden.
Es ist zweckmäßig, wenn alle Schaltungen und Signalpfade auf einem einzigen Halbleiterchip integriert sind. Dies ermöglicht besonders niedrige Herstellungskosten.
Gemäß einer bevorzugten Ausführungsform der Erfindung zeigt bei den als Spannungspegel kodierten Fehlersignalen das Überschreiten einer Spannungsschwelle einen Fehler an.
In einer alternativen bevorzugten Ausführungsform der Erfindung zeigt bei den als Spannungspegel kodierten Fehlersignalen das Unterschreiten einer Spannungsschwelle einen Fehler an, wobei besonders bevorzugt ein im Signalpfad des Fehlersignals befindliches ODER-Gatter durch ein UND-Gatter ersetzt wird.
Vorzugsweise wird eine entsprechende Anzahl NICHT-Gatter zur Konvertierung der Logiksignale eingesetzt, wenn verschiedene Teilschaltungen des Mikrocontrollers eine unterschiedliche Bedeutung der Spannungspegel vorsehen. Dies hat den Vorteil, dass dadurch eine Wiederverwendung vorhandener Teilschaltungen bzw. Module erleichtert wird.
Zweckmäßigerweise weist der erfindungsgemäße Mikrocontroller zwei im Lockstepmodus arbeitende Mikroprozessoren auf, wobei die Fehlererkennungslogik ein Fehlersignal ausgibt, wenn die Ergebnisse der beiden Mikroprozessoren voneinander abweichen. Somit kann eine korrekte Arbeitsweise der Prozessoren zuverlässig überprüft werden.
Vorzugsweise umfasst die Ansteuerschaltung für externe Aktuatoren mindestens eine Pulsweitenmodulationsschaltung. Eine solche Schaltung ermöglicht bei geringem Aufwand eine flexible Ansteuerung verschiedener externer Aktuatoren. Neben Elektromotoren können auch andere elektromagnetische Aktuatoren wie Magnetventile oder externe Schaltungen mit Strom versorgt werden.
Es ist vorteilhaft, wenn die Fehlererkennungslogik einen Analog-Digital-Wandler zur Überwachung einer internen oder externen Spannung aufweist und ein Fehlersignal ausgibt, wenn die gemessene Spannung außerhalb eines vorgegebenen Spannungsintervalls liegt. Somit kann auch auf einen Fehler weiterer für die Funktion des Gesamtsystems unerlässlicher Bauteile geeignet reagiert werden.
Die Erfindung betrifft weiterhin ein Verfahren zur Ansteuerung eines Mikrocontrollers, wobei erfindungsgemäß die Schritte a) Erkennen eines internen und/oder externen Fehlers durch die Fehlererkennungslogik, b) Deaktivieren der Ansteuerschaltung für externe Aktuatoren und c) Ausführen einer Prüfroutine durchlaufen werden. Somit wird eine fehlerhafte Ansteuerung der Aktuatoren vermieden.
Vorzugsweise überprüft die Prüfroutine nur Teilmodule des Mikrocontrollers. Durch gezielte Tests wird die Funktion des Gesamtsystems nur für eine kurze Zeit unterbrochen, während eine vollständige Überprüfung des Mikrocontrollers sehr zeitaufwändig ist.
Zweckmäßigerweise wird die Ansteuerschaltung wieder aktiviert, wenn die Prüfroutine keinen dauerhaften Fehler erkannt hat. Nur bei einer dauerhaften Fehlfunktion ist eine permanente Abschaltung der Aktuatoren erforderlich.
Die Erfindung betrifft weiterhin die Verwendung eines erfindungsgemäßen Mikrocontrollers in einem Kraftfahrzeug, insbesondere zur Steuerung und/oder Regelung eines Bremssystems. Da Bremssysteme hohen Sicherheitsanforderungen genügen müssen, ist eine schnelle und zuverlässige Erkennung und Behebung von Fehlern des Mikrocontrollers wichtig.
Weitere bevorzugte Ausführungsformen ergeben sich aus den Unteransprüchen und der nachfolgenden Beschreibung eines Ausführungsbeispiels an Hand der Figur.
Es zeigt
1 eine schematische Darstellung eines erfindungsgemäßen Mikrocontrollers.
Ein Mikrocontroller 100 beinhaltet mehrere Funktionsgruppen auf einem Substrat (gestrichelter Kasten), darunter mindestens ein Rechenwerk 1 bestehend aus mindestens einem Mikroprozessor, einem oder mehreren Speicherbausteinen und einer Fehlererkennungslogik 11. Die Fehlererkennungslogik 11, auch als Failsafe-Logik bezeichnet, erzeugt im Falle eines internen Fehlers ein Signal INTERNAL MCU FAIL DETECTED, welches an einem Ausgang 4 anliegt. Daneben können ein oder mehrere weitere Schaltungsteile 2 vorhanden sein, die ebenfalls im Falle von Fehlern ein Signal an einem Ausgang 5 ausgeben. Weiterhin ist auf dem Substrat eine PWM-Schaltung 3 realisiert, welche ein Schaltungsmodul 12 zur Deaktivierung des oder der Ausgänge 10 der PWM-Schaltung 3 aufweist, so dass auf ein Signal an einem Fehlereingang 7 hin die Ausgangsstufen des PWM-Treibers in einen definierten Zustand gebracht werden. Mit dem Eingang 7 der PWM-Schaltung bzw. des Schaltungsmoduls zur Deaktivierung ist ein logisches ODER-Gatter 6 verbunden, welches an seinen Eingängen mit den Fehlerausgängen des Rechenwerks und der anderen Schaltungsteile verbunden ist. Das Rechenwerk ist über Ein- und/oder Ausgänge 8 mit externen Schaltungen verbunden; auch das oder die weiteren Schaltungsteile besitzen Pins 9, die eine Kommunikation mit externen Schaltungen ermöglichen. An den Ausgängen 10 der PWM-Schaltung können externe Aktuatoren (nicht gezeigt) wie z. B. Elektromotoren angeschlossen sein, die vom Mikrocontroller angesteuert werden. Die gezeigten Schaltungsteile werden über nicht gezeigte Versorgungsleitungen mit Spannung versorgt und können über weitere nicht gezeigte Leitungen untereinander verbunden sein, um andere Funktionen bereitzustellen.
Im Falle eines internen Fehlers erzeugt die Failsafe-Logik ein Signal, welches an einem Eingang des ODER-Gatters eintrifft und dessen Ausgang unabhängig von weiteren Signalen aktiv setzt. Daraufhin geht dieses Signal am Fehlereingang der PWM-Schaltung ein und veranlasst diese, die Ausgangsstufen in einen definierten Zustand zu bringen. Somit werden sowohl eine Beschädigung der angesteuerten Vorrichtung als auch eventuelle Folgeschäden vermieden.
Da das Stoppen der PWM-Schaltung bei Eingang des Signals INTERNAL MCU FAIL DETECTED über eine direkte Verbindung auf dem Substrat erreicht wird, kann mindestens ein externer Pin für den Fehlereingang eingespart werden. Weiterhin ist die Gefahr elektromagnetischer Einstreuung bei einer internen Verbindung wesentlich geringer. Auf einen Schutz vor elektrostatischer Entladung kann daher verzichtet werden, was eine erhöhte Zuverlässigkeit der Schaltung bei geringeren Kosten bedeutet.
In einer alternativen Ausführungsform der Erfindung kann die PWM-Schaltung anstelle von oder ergänzend zu Aktuatoren mit anderen Schaltungen verbunden sein, welche durch den Mikrocontroller angesteuert und/oder mit Strom bzw. Spannung versorgt werden.
In einer alternativen Ausführungsform der Erfindung wird an Stelle einer PWM-Schaltung eine andere Schaltung, wie z. B. ein Analog-Vertärker eingesetzt, der externe Schaltungen und/oder Aktuatoren ansteuern und/oder mit Strom bzw. Spannung versorgen kann.

Claims

Mikrocontroller, umfassend eine Fehlererkennungslogik (11), welche bei Auftreten eines internen und/oder externen Fehlers ein Fehlersignal ausgibt, und eine Ansteuerschaltung (3) für externe Aktuatoren, welche ein Schaltungsmodul (12) zur Deaktivierung der Ausgänge (10) aufweist, dadurch gekennzeichnet, dass ein direkter Signalpfad zwischen der Fehlererkennungslogik (11) und dem Schaltungsmodul (12) zur Deaktivierung der Ausgänge (10) besteht.
Mikrocontroller nach Anspruch 1, dadurch gekennzeichnet, dass der Eingang (7) des Schaltungsmodul (12) zur Deaktivierung der Ausgänge (10) mit einem ODER-Gatter (6) verbunden ist, an das die Fehlererkennungslogik (11) und ein oder mehrere weitere Signalleitungen (5) anderer Schaltungsteile (2) angeschlossen sind.
Mikrocontroller nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass alle Schaltungen (1, 2, 3, 11, 12) und Signalpfade (4, 5, 6, 7) auf einem einzigen Halbleiterchip integriert sind.
Mikrocontroller nach mindestens einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass bei den als Spannungspegel kodierten Fehlersignalen das Überschreiten einer Spannungsschwelle einen Fehler anzeigt.
Mikrocontroller nach mindestens einem der Ansprüche 2 bis 4, dadurch gekennzeichnet, dass bei den als Spannungspegel kodierten Fehlersignalen das Unterschreiten einer Spannungsschwelle einen Fehler anzeigt und das ODER-Gatter (6) durch ein UND-Gatter ersetzt wird.
Mikrocontroller nach mindestens einem der Ansprüche 2 bis 5, dadurch gekennzeichnet, dass eine entsprechende Anzahl NICHT-Gatter zur Konvertierung eingesetzt wird, wenn verschiedene Teilschaltungen des Mikrocontrollers eine unterschiedliche Bedeutung der Spannungspegel vorsehen.
Mikrocontroller nach mindestens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass dieser zwei im Lockstepmodus arbeitende Mikroprozessoren aufweist und dass die Fehlererkennungslogik (11) ein Fehlersignal ausgibt, wenn die Ergebnisse der beiden Mikroprozessoren voneinander abweichen.
Mikrocontroller nach mindestens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Ansteuerschaltung (3) für externe Aktuatoren mindestens eine Pulsweitenmodulationsschaltung umfasst.
Mikrocontroller nach mindestens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Fehlererkennungslogik (11) einen Analog-Digital-Wandler zur Überwachung einer internen oder externen Spannung aufweist und ein Fehlersignal ausgibt, wenn die gemessene Spannung außerhalb eines vorgegebenen Spannungsintervalls liegt.
Verfahren zur Ansteuerung eines Mikrocontrollers nach mindestens einem der vorhergehenden Ansprüche, gekennzeichnet durch die Schritte – Erkennen eines internen und/oder externen Fehlers durch die Fehlererkennungslogik (11) – Deaktivieren der Ansteuerschaltung (3) für externe Aktuatoren – Ausführen einer Prüfroutine
Verfahren zur Ansteuerung eines Mikrocontrollers nach Anspruch 10, dadurch gekennzeichnet, dass die Prüfroutine nur Teilmodule des Mikrocontrollers überprüft.
Verfahren zur Ansteuerung eines Mikrocontrollers nach Anspruch 10 oder 11, dadurch gekennzeichnet, dass die Ansteuerschaltung (3) wieder aktiviert wird, wenn die Prüfroutine keinen dauerhaften Fehler erkannt hat.
Verwendung eines Mikrocontrollers nach mindestens einem der Ansprüche 1 bis 9 in einem Kraftfahrzeug, insbesondere zur Steuerung und/oder Regelung eines Bremssystems.