DE102014213206B4

DE102014213206B4 - Steueranordnung für sicherheitsrelevante Aktoren

Info

Publication number: DE102014213206B4
Application number: DE102014213206.1A
Authority: DE
Inventors: Andreas Wirsing
Original assignee: Vitesco Technologies GmbH
Current assignee: Vitesco Technologies GmbH
Priority date: 2014-07-08
Filing date: 2014-07-08
Publication date: 2022-03-17
Anticipated expiration: 2034-07-09
Also published as: DE102014213206A1; WO2016005187A1

Abstract

Steueranordnung für sicherheitsrelevante Aktoren (A) mit einer Steuervorrichtung (µC), die auf einem ersten integrierten Schaltkreisbaustein (1) realisiert ist,
einem Schaltelemente (SE) zur steuerbaren Verbindung der Aktoren (A) mit einer Versorgungsspannung (VS) aufweisenden zweiten integrierten Schaltkreisbaustein (2) und
einem eine erste Überwachungseinheit (MU1) zur Überwachung der Funktionsfähigkeit der Steuervorrichtung (µC) aufweisenden dritten integrierten Schaltkreisbaustein (3), der mit dem ersten (1) und dem zweiten integrierten Schaltkreisbaustein (2) über jeweilige Rücksetzleitungen (Reset) verbunden ist,
wobei der zweite integrierte Schaltkreisbaustein (2) eine zweite Überwachungseinheit (MU2) aufweist, die eingerichtet ist, über einen Kommunikationskanal (SPI) zwischen dem ersten (1) und dem zweiten integrierten Schaltkreisbaustein (2) mit der Steuervorrichtung (µC) zu kommunizieren und durch ein Kommunikationsprotokoll die Funktionsfähigkeit der Steuervorrichtung (µC) zu überprüfen und die eingerichtet ist, die Schaltelemente (SE) zu deaktivieren, wenn eine Fehlfunktion der Steuervorrichtung (µC) erkannt wird, wobei die zweite Überwachungseinheit (MU2) außerdem eingerichtet ist, die Deaktivierung eines Schaltelements (SE) aufgrund einer individuell konfigurierbaren Fehlerreaktionszeit vorzunehmen.

Description

In modernen Verbrennungsmotoren muss der Kraftstoff sowohl hinsichtlich der Menge als auch des Einspritzzeitpunkts genau zugemessen werden, um die immer schärfer werdenden Abgasnormen erfüllen zu können. Hierzu werden Einspritzventile mittels elektronischer Schaltelemente gesteuert durch aufwändige, eine große Anzahl an Sensordaten verarbeitende Programme, die auf Mikrocontrollern ablaufen, zu den gewünschten Zeitpunkten und für eine exakt vorgegebene Zeitdauer mit der Versorgungsspannung verbunden.
Dabei sind die meist durch Leistungstransistoren realisierten Schaltelemente in einem integrierten Schaltkreisbaustein ausgebildet, der über im Kraftfahrzeug übliche Busse, beispielsweise dem SPI-Bus, mit einem einen Mikrocontroller enthaltenen anderen integrierten Schaltkreisbaustein verbunden ist.
Ein anderer schaltbarer Aktor kann ein Startermotor sein, der ebenfalls, beispielsweise im Start/Stopp-Betrieb, zu definierten Zeiten - gesteuert durch den Mikrocontroller - betätigt werden muss.
Damit bei einem Fehler des Mikrocontrollers bei solchen sicherheitskritischen Aktoren eine Abschaltung erfolgen kann, wird der Mikrocontroller mittels einer Überwachungsschaltung, die in einem weiteren integrierten Schaltkreisbaustein ausgebildet ist, ständig auf Funktionsfähigkeit überprüft und ggf. sowohl der Mikrocontroller als auch der die Schaltelemente enthaltene integrierte Schaltkreisbaustein zurückgesetzt und/oder gesperrt, damit keine unkontrollierten Einspritz- oder Startvorgänge erfolgen können.
Ein heute übliches 3-Ebenen-Konzept zur Überwachung einer solchen Steueranordnung für sicherheitsrelevante Aktoren ist in der Beschreibungseinleitung der DE 10 2006 048 169 A1 beschrieben.
Hierzu sind jedoch einige Pins an den integrierten Schaltkreisbaustein en für die entsprechenden Kontroll- und Rücksetzleitungen belegt sowie die Leitungen selbst auf einer Leiterplatte erforderlich, was zu höherem Platzbedarf und damit zu höheren Kosten führt.
DE 10 2011 082033 A1 offenbart ein Shift-By-Wire-System für ein Kraftfahrzeug, aufweisend ein Getriebesteuergerät sowie eine Betätigungsbaugruppe, wobei die Betätigungsbaugruppe ausgebildet ist, mittels eines Wählhebels und wenigstens eines Sensors ein Signal in Abhängigkeit eines mit einer Wählhebelposition korrespondierenden Fahrerwunsches zu generieren, wobei die Betätigungsbaugruppe weiterhin eine Controllereinheit aufweist, mittels welcher eine auf dem Signal basierende Information über eine elektrische Verbindung an das Getriebesteuergerät kommuniziert wird, wobei das Getriebesteuergerät die Controllereinheit in der Betätigungsbaugruppe über die elektrische Verbindung fernüberwacht.
Es ist daher die Aufgabe der Erfindung, eine kostengünstigere und dabei flexiblere Steueranordnung für sicherheitsrelevante Aktoren anzugeben.
Die Aufgabe wird gelöst durch eine Steueranordnung nach Anspruch 1. Vorteilhafte Weiterbildungen sind in den Unteransprüchen angegeben.
Demnach weist die erfindungsgemäße Steueranordnung für sicherheitsrelevante Aktoren eine Steuervorrichtung auf, die auf einem ersten integrierten Schaltkreisbaustein realisiert ist, einen Schaltelemente zur steuerbaren Verbindung der Aktoren mit einer Versorgungsspannung aufweisenden zweiten integrierten Schaltkreisbaustein und einen eine erste Überwachungseinheit zur Überwachung der Funktionsfähigkeit der Steuervorrichtung aufweisenden dritten integrierten Schaltkreisbaustein, der mit dem ersten und dem zweiten integrierten Schaltkreisbaustein über jeweilige Rücksetzleitungen verbunden ist. In erfindungsgemäßer Weise weist der zweite integrierte Schaltkreisbaustein eine zweite Überwachungseinheit auf, die eingerichtet ist, über einen Kommunikationskanal zwischen dem ersten und dem zweiten integrierten Schaltkreisbaustein mit der Steuervorrichtung zu kommunizieren und durch ein Kommunikationsprotokoll die Funktionsfähigkeit der Steuervorrichtung zu überprüfen und die eingerichtet ist, die Schaltelemente zu deaktivieren, wenn eine Fehlfunktion der Steuervorrichtung erkannt wird.
Die zweite Überwachungseinheit ist außerdem eingerichtet, die Deaktivierung eines Schaltelements aufgrund einer individuell konfigurierbaren Fehlerreaktionszeit vorzunehmen, wobei in einer vorteilhaften Ausgestaltung der Erfindung die zweite Überwachungseinheit Register aufweist, in denen die individuellen Fehlerreaktionszeiten gespeichert sind.
Der Kommunikationskanal zwischen der ersten und der zweiten integrierten Schaltkreisbaustein ist in vorteilhafter Weise ein in Kraftfahrzeugen üblicherweise verwendeter Bus wie SPI-Bus, MSC (microsecond channel), CAN-Bus, digRF-Bus , da hierdurch die meist sowieso in den integrierten Schaltkreisbausteinen enthaltenen Busschnittstellen verwendet werden können.
In einer vorteilhaften, weil einfachen Ausbildung ist das Kommunikationsprotokoll ein Frage-Antwort-Protokoll, bei dem ein bestimmtes Datum von der Steuervorrichtung von der zweiten Überwachungseinheit abgerufen oder von dieser an die Steuervorrichtung gesendet wird, dieses Datum von der Steuervorrichtung in vorgegebener Weise verarbeitet und das Ergebnis an die zweite Überwachungseinheit zurückgesandt wird. Dort wird das Ergebnis mit einem erwarteten Ergebnis verglichen und bei einer Abweichung auf eine fehlerhafte Funktion der Steuervorrichtung erkannt.
Die Erfindung soll nachfolgend anhand eines Ausführungsbeispiels mit Hilfe einer Figur näher erläutert werden. Dabei zeigen:

1 eine Steueranordnung für sicherheitsrelevante Aktoren nach dem Stand der Technik und
2 eine erfindungsgemäße Steueranordnung für sicherheitsrelevante Aktoren.

Sowohl die 1 als auch die 2 zeigen einen ersten integrierten Schaltkreisbaustein 1, der einen Mikrocontroller µC aufweist, der im dargestellten Beispiel zwei Kerne haben soll, sowie eine Reset- RS und eine Überwachungseinheit MB. Sowohl in der ersten als auch in der zweiten Figur ist ein zweiter integrierter Schaltkreisbaustein 2 dargestellt, der zur Ansteuerung sicherheitsrelevanter Aktoren A dient und insbesondere - schematisch dargestellte - Schaltelemente SE in Form von Leistungstransistoren aufweist, über die sicherheitsrelevante Aktoren A wie beispielsweise Einspritzventile oder ein Startermotor mit einer Versorgungsspannung VS zur Betätigung verbunden werden können.
Der erste integrierte Schaltkreisbaustein 1 kommuniziert mit dem zweiten integrierten Schaltkreisbaustein 2 über eine in den dargestellten Beispielen als SPI-Bus realisierte Kommunikationsschnittstelle, über die auch Informationen und Steuersignale, insbesondere welches Schaltelement SE betätigt werden soll, vom Mikrocontroller µC zum zweiten integrierten Schaltkreisbaustein 2 übertragen und über die ggf. Statusinformationen erhalten werden können.
Der erste integrierte Schaltkreisbaustein 1 ist mit dem zweiten integrierten Schaltkreisbaustein 2 außerdem über eine Steuerleitung Control verbunden, über die Steuersignale, insbesondere welches Schaltelement SE betätigt werden soll, übertragen werden.
Der erste integrierte Schaltkreisbaustein 1 kann außerdem gemäß dem Stand der Technik nach der 1 über einen speziellen Ausgang, der mit der µC-internen Überwachungseinheit MB verbunden ist, bei Erkennung eines internen Fehlers eine Sicherheitsabschaltung über eine spezielle Leitung SA vornehmen.
Eine erste Überwachungsschaltung MU1 ist in einer Steueranordnung gemäß dem Stand der Technik nach 1 in einem dritten integrierten Schaltkreisbaustein 3, häufig dem sog. Powersupply-Asic, ausgebildet und ist häufig als Watchdog-Schaltung realisiert. Hierzu ist ebenfalls eine Kommunikationsleitung - im dargestellten Beispiel ebenfalls als SPI-Bus ausgebildet - zwischen dem ersten und dritten integrierten Schaltkreisbaustein 1, 3 vorgesehen, sowie eine bidirektionale Reset-Schnittstelle, die es ermöglicht, dass sowohl der erste integrierte Schaltkreisbaustein 1 den dritten integrierten Schaltkreisbaustein 3 und umgekehrt zurücksetzen kann.
Der dritte integrierte Schaltkreisbaustein 3 ist über einen weiteren Rücksetzausgang mit einem entsprechenden Rücksetzeingang des zweiten integrierten Schaltkreisbausteins 2 verbunden, um bei Erkennung eines Fehlers entweder des Mikrocontrollers µC oder des zweiten integrierten Schaltkreisbausteins 2 diesen zurücksetzen zu können. Außerdem ist eine Leitung SA für eine Sicherheitsabschaltung vorhanden.
Über die Leitungen zur Sicherheitsabschaltung SA sowohl vom ersten zum zweiten integrierten Schaltkreisbaustein 1, 2, als auch vom dritten zum zweiten integrierten Schaltkreisbaustein 3, 2 können im Fehlerfall die Schaltelemente SE zur Betätigung der sicherheitsrelevanten Aktoren A gesperrt werden. Allerdings sind hierfür, wie in 1 gezeigt, sowohl im ersten 1 und im dritten 3 als auch im zweiten integrierten Schaltkreisbaustein 2 ein oder mehrere Pins zu belegen sowie die entsprechenden Leitungen auf einer Leiterplatte vorzusehen. Außerdem ist dieses Abschaltkonzept sehr unflexibel.
In erfindungsgemäßer Weise wird daher gemäß 2 im zweiten integrierten Schaltkreisbaustein 2, der die Schaltelemente SE zur Betätigung der sicherheitsrelevanten Aktoren A enthält, eine zweite Überwachungsschaltung MU2 vorgesehen, die über die Kommunikationsleitung SPI zwischen dem ersten und zweiten integrierten Schaltkreisbaustein 1, 2 ein Kommunikationsprotokoll initiiert, um die Funktionsfähigkeit des Mikrocontrollers µC zu überprüfen. Bei Feststellung eines Fehlers kann die zweite Überwachungsschaltung MU2 im zweiten integrierten Schaltkreisbaustein 2 selbsttätig ausgewählte Schaltelemente SE deaktivieren bzw. blockieren.
Da die zweite Überwachungseinrichtung MU2 selbständig einen Fehler des Mikrocontrollers µC erkennt und ggf. auch einem bestimmten Prozess zuordnen kann, ist eine höhere Flexibilität bei der Sicherheitsabschaltung gegeben, da die zweite Überwachungseinheit MU2 gezielt nur die erforderlichen Schaltelemente SE deaktivieren kann. In einer besonders vorteilhaften Ausbildung der Erfindung sind in der zweiten Überwachungseinrichtung MU2 Register R vorgesehen, in denen individuell konfigurierbare Abschaltzeiten abgelegt werden können, wodurch nach Vorgaben - beispielsweise eines Kunden - Zeiten festgelegt werden können, nach denen eine Sicherheitsabschaltung erfolgen kann. Hierdurch ist es beispielsweise möglich, eine Sicherheitsabschaltung nicht sofort bei Erkennen eines Fehlers vorzunehmen, sondern noch eine gewisse Zeit zu warten, ob der Fehler beständig ist. Dies könnte in entsprechender Ausprägung für jeden Ausgang bzw. Gruppen von Ausgängen separat konfiguriert werden.
Da mit Hilfe des erfindungsgemäßen Überwachungskonzeptes auch Fehler des Mikrocontrollers µC bei Verlassen des Mikrocontrollerspannungsversorgungsbereiches erkannt werden können, könnte auch die derzeit übliche Spannungsüberwachung im zweiten integrierten Schaltkreisbaustein 2 eingespart werden, sofern die Schaltelemente SE so ausgelegt werden, dass sie bis zur maximalen Spannung in der Anwendungsumgebung - z. B. dem Motorsteuergerät eines Kraftfahrzeugs - spannungsfest sind.

Claims

Steueranordnung für sicherheitsrelevante Aktoren (A) mit einer Steuervorrichtung (µC), die auf einem ersten integrierten Schaltkreisbaustein (1) realisiert ist, einem Schaltelemente (SE) zur steuerbaren Verbindung der Aktoren (A) mit einer Versorgungsspannung (VS) aufweisenden zweiten integrierten Schaltkreisbaustein (2) und einem eine erste Überwachungseinheit (MU1) zur Überwachung der Funktionsfähigkeit der Steuervorrichtung (µC) aufweisenden dritten integrierten Schaltkreisbaustein (3), der mit dem ersten (1) und dem zweiten integrierten Schaltkreisbaustein (2) über jeweilige Rücksetzleitungen (Reset) verbunden ist, wobei der zweite integrierte Schaltkreisbaustein (2) eine zweite Überwachungseinheit (MU2) aufweist, die eingerichtet ist, über einen Kommunikationskanal (SPI) zwischen dem ersten (1) und dem zweiten integrierten Schaltkreisbaustein (2) mit der Steuervorrichtung (µC) zu kommunizieren und durch ein Kommunikationsprotokoll die Funktionsfähigkeit der Steuervorrichtung (µC) zu überprüfen und die eingerichtet ist, die Schaltelemente (SE) zu deaktivieren, wenn eine Fehlfunktion der Steuervorrichtung (µC) erkannt wird, wobei die zweite Überwachungseinheit (MU2) außerdem eingerichtet ist, die Deaktivierung eines Schaltelements (SE) aufgrund einer individuell konfigurierbaren Fehlerreaktionszeit vorzunehmen.
Steueranordnung nach Anspruch 1, dadurch gekennzeichnet, dass die zweite Überwachungseinheit (MU2) Register (R) aufweist, in denen die individuellen Fehlerreaktionszeiten gespeichert sind.
Steueranordnung nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass der Kommunikationskanal (SPI) ein SPI-Bus, ein MSC, ein CAN-Bus oder ein digRF-Bus ist.
Steueranordnung nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass das Kommunikationsprotokoll ein Frage-Antwort-Protokoll ist.