-
Die Erfindung betrifft eine Steuereinheit
zur Auslösung
eines Insassenschutzmittels in einem Kraftfahrzeug und ein Verfahren
zur Überwachung der
ordnungsgemäßen Funktion
einer vorzugsweise solchen Steuereinheit. Die Steuereinheit umfasst
dabei eine erste Recheneinheit, eine zweite Recheneinheit und eine
Auslöseeinheit,
die jeweils asynchron zueinander getaktet sind. Des Weiteren umfasst
die Steuereinheit ein erstes und ein zweites logisches UND – Gatter.
Die erste und die zweite Recheneinheit umfassen jeweils eine Pulszahlvergleichereinheit
und einen Rücksetzer.
-
Jeweils einem logischen UND – Gatter
ist eingangsseitig das Taktsignal der ihm jeweils zugeordneten Recheneinheit
zugeführt
und des Weiteren das Taktsignal der Auslöseeinheit. Der Signalausgang
jeweils eines logischen UND – Gatters
wird dem Eingang der Pulszahlvergleichereinheit jeweils einer Recheneinheit
zugeführt
und der Ausgang der Pulszahlvergleichereinheit dem Eingang des jeweils
zugehörigen
Rücksetzers
einer Recheneinheit.
-
Der Rücksetzer jeder Recheneinheit
ist mit dem Reseteingang der jeweils anderen Recheneinheit verbunden,
so dass der zugehörige
Rücksetzer die
jeweils andere Recheneinheit dann zurücksetzt, wenn die zugehörige Pulszahlvergleichereinheit
eine unzulässige
Anzahl von Pulsen pro Zeiteinheit im Ausgangssignal des jeweils
mit ihr verbundenen UND – Gatters
erkennt.
-
Es ist Stand der Technik, mithilfe
von Schaltungen Funktionsabläufe
in Recheneinheiten zu überwachen
und bei erkannten Fehlern in den Funktionsabläufen die fehlerhaften Rechenein heiten
zurückzusetzen.
In den Druckschriften
DE
100 56 408 C1 ,
DE
100 30 991 A1 ,
DE
100 49 440 A1 und
DE
40 39 355 A1 wird hierzu eine sogenannte watchdog-Schaltung
verwendet, die die von der Recheneinheit ausgesendeten Impulse hinsichtlich
ihrer Impulslänge,
Pausenlänge
oder der Anzahl der Impulse pro Zeiteinheit auswertet.
-
In vielen Ansteuerungssystemen wird
heutzutage neben einer ersten Recheneinheit eine zweite Recheneinheit
vorgesehen. Die zweite Recheneinheit dient dabei zumeist als Sicherheitsrecheneinheit der Überwachung
der ordnungsgemäßen Funktionsweise
der ersten Recheneinheit und gegebenenfalls, bei deren Ausfall,
einer zumindest teilweisen Übernahme
der Rechen- und Ansteuerfunktionen der ersten Recheneinheit.
-
Besonders wichtig ist der Einsatz
solcher Sicherheitsrecheneinheiten in Verbindung mit einer ersten
Hauptrecheneinheit bei Ansteuerungssystemen, deren Ausfall zumindest
die Gefahr einer Verletzung von Personen mit sich bringen würde. Ein solches
sicherheitsrelevantes Ansteuerungssystem ist beispielsweise die
Steuereinheit zur Ansteuerung eines Insassenschutzmittels in einem
Kraftfahrzeug. Dort berechnet die Hauptrecheneinheit den Zündzeitpunkt
für die
Auslösung
des geeigneten Insassenschutzmittels, das im Falle eines Aufprallunfalls
einem Fahrzeuginsassen den bestmöglichen
Schutz vor Verletzungen bietet. Im Anschluss an die Berechnung des
besten Zündzeitpunktes
gibt die Hauptrecheneinheit die Auslösung des geeigneten Insassenschutzmittels,
beispielsweise eines Fahrerairbags, frei.
-
Schon bei einem nur teilweisen Ausfall
der Rechenleistung der Hauptrecheneinheit kann eine rechtzeitige
Auslösung
des geeigneten Insassenschutzmittels durch die Steuereinheit nicht
mehr gewährleistet
werden. Aus diesem Grund muss die entscheidende Funktionalität der ersten
Recheneinheit durch die zweite Recheneinheit, die Sicherheitsrecheneinheit, übernommen
werden. Dazu muss die Sicherheitsrecheneinheit zunächst eine
mögliche Fehlfunktion
der ersten Recheneinheit erkennen, um in einem zweiten Schritt die
erste Recheneinheit zurückzusetzen
oder sogar vollständig
abzuschalten und gegebenenfalls die Aufgaben der ersten Recheneinheit
zumindest teilweise zu übernehmen.
-
Ein solches Zwei-Rechner-System in
einer sicherheitsrelevanten Anwendung in einem Kraftfahrzeug ist
beispielsweise in der deutschen Offenlegungsschrift
DE 37 00 986 A1 beschrieben.
Die dort gezeigten Prozessoren überwachen
sich gleichbe rechtigt. Dabei gibt jeweils eine Recheneinheit ein watchdog – Signal
33,
37 aus,
das in der jeweils anderen Recheneinheit durch eine watchdog – Erkennung
14,
22 überprüft wird.
Empfängt
die jeweils eine Recheneinheit von der jeweils anderen Recheneinheit
ein fehlerhaftes watchdog – Signal
33,
35 so
gibt die jeweils ordnungsgemäß arbeitende
Recheneinheit ein Reset-Signal
40,
36 an die fehlerhafte
andere Recheneinheit aus.
-
Ähnliche
Ansteuerungssysteme mit je zwei Recheneinheiten in sicherheitskritischer
Anwendung in Kraftfahrzeugen sind auch aus den Druckschriften
DE 101 51 012 A1 und
DE 40 04 709 C2 bekannt,
wobei auch hier die gegenseitige Überwachung der zwei Recheneinheiten
mithilfe je einer watchdog-Erkennung in jeder Recheneinheit erfolgt.
-
Die gegenseitige Überwachung der korrekten Funktionsweise
von Recheneinheiten durch eine solche watchdog – Schaltung ist jedoch oftmals
nur sehr langsam. Gerade bei Insassenschutzsystemen ist es jedoch
sehr wichtig, eine Fehlfunktion einer Recheneinheit innerhalb einer
Steuereinheit eines Insassenschutzsystems sehr schnell und zuverlässig zu
erkennen, um unverzüglich
Maßnahmen
zur Begrenzung möglicher
Gefahren für
einen Fahrzeuginsassen einleiten zu können.
-
Die Aufgabe der vorliegenden Erfindung
ist es deshalb, die notwendigen technischen Voraussetzungen zu schaffen,
um eine sehr schnelle Erkennung der Fehlfunktion mindestens einer
Recheneinheit innerhalb einer Steuereinheit eines Insassenschutzmittels
für ein
Kraftfahrzeug zu schaffen.
-
Die Aufgabe wird gelöst durch
eine Steuereinheit gemäß Anspruch
1.
-
Die erfindungsgemäße Steuereinheit weist neben
der Hauptrecheneinheit, der ersten Recheneinheit, auch eine Sicherheitsrecheneinheit,
die zweite Recheneinheit, auf sowie eine Aus löseeinheit zur Auslösung des
Insassenschutzmittels, beispielsweise eines Airbags. Die erste Recheneinheit,
die zweite Recheneinheit und die Auslöseeinheit werden durch einen
internen oder externen Taktgeber jeweils asynchron zueinander getaktet.
-
Die erste Recheneinheit umfasst eine
erste Pulszahlvergleichereinheit und einen ersten Rücksetzer,
die zweite Recheneinheit eine zweite Pulszahlvergleichereinheit
und einen zweiten Rücksetzer. Jeweils
zugeordnet zur ersten bzw. zweiten Recheneinheit weist die Steuereinheit
des Weiteren ein erstes und ein zweites logisches UND – Gatter
auf.
-
Dem Eingang des ersten logischen
UND – Gatters
ist sowohl das Taktsignal der ersten Recheneinheit als auch das
Taktsignal der Auslöseeinheit
zugeführt,
sein Ausgang hingegen ist mit dem Eingang der zweiten Pulszahlvergleichereinheit
verbunden. Der Ausgang der zweiten Pulszahlvergleichereinheit ist
mit einem Eingang des zweiten Rücksetzers
verbunden, dessen Ausgang wiederum dem Reset-Eingang der ersten
Recheneinheit zugeführt
ist.
-
Die Beschaltung des ersten logischen
UND – Gatters
der Steuereinheit ist derart, dass der zweite Rücksetzer die erste Recheneinheit
durch Ausgabe eines Reset-Signals zurücksetzt, wenn die zweite Pulszahlvergleichereinheit
eine unzulässige
Anzahl von Pulsen pro Zeiteinheit im Ausgangssignal des ersten UND – Gatters
erkennt.
-
Die Beschaltung des zweiten logischen
UND – Gatters
ergibt sich analog aus der Beschaltung des ersten logischen UND – Gatters,
wenn man die erste Recheneinheit durch die zweite Recheneinheit
ersetzt und ebenso die erste gegen die zweite Pulszahlvergleichereinheit,
den ersten Rücksetzer
gegen den zweiten Rücksetzer
und den Reset-Eingang der ersten Recheneinheit gegen den Reset-Eingang
der zweiten Recheneinheit.
-
Folglich ist die Beschaltung des
zweiten UND – Gatters
derart, dass der erste Rücksetzer
die zweite Recheneinheit durch die Ausgabe eines Reset-Signals zurücksetzt,
wenn die erste Pulszahlvergleichereinheit eine unzulässige Anzahl
von Pulsen pro Zeiteinheit im Ausgangssignal des zweiten UND – Gatters
erkennt.
-
Als Pulszahlvergleichereinheit einer
Recheneinheit der erfindungsgemäßen Steuereinheit
wird im Zusammenhang vorliegend beschriebener Erfindung eine Funktionseinheit
bezeichnet, die beispielsweise eine Anzahl von High – Pegeln
pro Zeiteinheit einer Pulsfolge zählt und mit einem vorher festgelegten Vergleichswert
vergleicht. In Abhängigkeit
von diesem Vergleich kann die Pulszahlvergleichereinheit unterschiedliche
Steuersignale ausgeben.
-
Selbstverständlich könnte eine Pulszahlvergleichereinheit
alternativ auch eine Anzahl von Low – Pegeln oder eine Anzahl von
Pegelwechseln pro Zeiteinheit einer Pulsfolge zählen.
-
In einer vorteilhaften Weiterbildung
weist die Steuereinheit ein erstes und ein zweites logisches ODER – Gatter
auf, wobei das zweite ODER – Gatter eingangsseitig
mit dem Ausgang des zweiten Rücksetzers
und ausgangsseitig mit dem Reset-Eingang der ersten Recheneinheit
verbunden ist und entsprechend das erste ODER – Gatter eingangsseitig mit dem
ersten Rücksetzer
und ausgangsseitig mit dem Reset-Eingang der zweiten Recheneinheit
verbunden ist. Dies bietet den Vorteil, dass einem jeweils weiteren
Eingang der logischen ODER – Gatter
weitere Reset-Signale anderer Schaltungsteile der Steuereinheit
zugeführt
werden können,
so dass eine Recheneinheit nicht allein durch die Entscheidung der jeweils
anderen Recheneinheit zurückgesetzt
werden kann, sondern auch durch eine weitere Entscheidung einer
weiteren Funktionseinheit der Steuereinheit.
-
In einer weiteren vorteilhaften Ausführungsform
ist der erste Rücksetzer
der ersten Recheneinheit oder der zweite Rücksetzer der zweiten Recheneinheit
mit einem Reset-Eingang der Auslöseeinheit verbunden.
So kann der erste Rücksetzer
bzw. der zweite Rücksetzer
bei einer festgestellten Fehlfunktion der zweiten bzw. ersten Recheneinheit
nicht nur die jeweils andere Recheneinheit zurücksetzen, sondern auch die
Auslöseeinheit.
Dies bietet eine zusätzliche
Sicherheit hinsichtlich einer korrekten Funktionsweise des Insassenschutzsystems,
da bei einer Fehlfunktion zumindest einer der beiden Recheneinheiten
auch sicher die Auslöseeinheit
abgeschaltet wird. Dadurch wird eine möglicherweise gefährliche Auslösung des
Insassenschutzmittels sicher verhindert.
-
Ein besonders hohes Maß an Sicherheit
besitzt die Steuereinheit folglich vor allem auch dann, wenn beide
Rücksetzer
der Recheneinheit mit einem Reset-Eingang der Auslöseeinheit
verbunden sind, so dass beide Recheneinheiten ggf. die Auslöseeinheit
zurücksetzen
können.
Weiterhin von Vorteil ist es dabei, wenn die Steuereinheit ein drittes
logisches ODER – Gatter
aufweist, das eingangsseitig die Signale der Rücksetzer beider Recheneinheiten
empfängt
und ausgangsseitig mit dem Reset-Eingang der Auslöseeinheit
verbunden ist.
-
In einer weiteren vorteilhaften Ausführungsform
der Erfindung weist die Steuereinheit ein drittes UND – Gatter
auf, dem eingangsseitig die Taktsignale der ersten und der zweiten
Recheneinheit zugeführt sind
und dessen Signalausgang sowohl der ersten als auch der zweiten
Pulszahlvergleichereinheit der ersten bzw. zweiten Recheneinheit
zugeführt
sind. Stellt die erste bzw. die zweite Pulszahlvergleichereinheit
ein fehlerhaftes Ausgangssignal des dritten UND – Gatters fest, so meldet sie
die Störung
an den ihr jeweils zugeordneten Rücksetzer, der die jeweils andere
Recheneinheit und ggf. auch die Auslöseeinheit zurücksetzt.
-
Weiterhin ist es von Vorteil, wenn
die Steuereinheit eine sogenannte erste watchdog – Schaltung aufweist.
Dafür ist
ein erster watchdog – Eingang
der Auslöseeinheit
mit einem watchdog – Ausgang
der ersten Recheneinheit verbunden und ein Recheneinheitsrücksetzungsausgang
der Auslöseeinheit
direkt oder mittelbar mit der ersten Recheneinheit. Stellt die Auslöseeinheit
einen Fehler im watchdog – Signal des
watchdog – Ausgangs
der ersten Recheneinheit fest, so gibt die Auslöseeinheit ein Recheneinheitsrücksetzungssignal
direkt oder mit telbar an die erste Recheneinheit aus. Eine solche
redundante Sicherheitsschaltung in Form einer ersten watchdog – Schaltung
erhöht
zusätzlich
die sichere Abschaltung einer fehlerhaft arbeitenden ersten Recheneinheit
innerhalb der Steuereinheit des Insassenschutzsystems.
-
Eine analoge zweite watchdog – Schaltung für die Rücksetzung
einer fehlerhaften zweiten Recheneinheit durch die Auslöseeinheit
bringt zusätzliche
Sicherheit, vor allem dann, wenn die zweite Recheneinheit gleichberechtigt
zum Funktionieren des Sicherheitssystems beiträgt.
-
Ein zur Lösung der Aufgabe geeignetes
Verfahren ist im unabhängigen
Patentanspruch 7 angegeben.
-
Das erfindungsgemäße Verfahren dient zur Überwachung
der ordnungsgemäßen Funktion
einer erfindungsgemäßen Steuereinheit
zur Auslösung
eines Insassenschutzmittels in einem Kraftfahrzeug. Der Ablauf eines
solchen erfindungsgemäßen Verfahrens
ist anhand der weiter oben in ihrem funktionellen Zusammenhang erläuterten
Merkmale einer erfindungsgemäßen Vorrichtung
bereits ausreichend beschrieben. Um an dieser Stelle Wiederholungen
zu vermeiden, soll hier nur auf die erfindungsgemäßen Verfahrensmerkmale
eingegangen werden, die über den
Rahmen des bereits Geschilderten hinausgehen.
-
Zum Beispiel ist es unerheblich für ein erfindungsgemäßes Verfahren,
auf welche Art die Taktsignale der beiden Recheneinheiten und der
Auslöseeinheit
zu verschiedentlich miteinander logisch verknüpften Signalen kombiniert werden.
Bei der oben beschriebenen erfindungsgemäßen Vorrichtung wird eine solche
logische Verknüpfungsfunktion über logische
Und – Gatter
erreicht, die – wie
auch die ebenfalls offenbarten Oder – Gatter – sowohl als elektrische Bauelemente
ausgestaltet sein können,
aber auch als Programmabläufe
innerhalb eines Mikroprozessors. Entscheidend für ein erfindungsgemäßes Verfahren
ist es vielmehr, dass eine logische Verknüpfung der genannten Taktsignale
so erfolgt, dass eine Pulsfolge erzeugt wird, die nachfolgend durch Zählen der
Einzelpulse und Vergleichen des ermittelten Werts mit einem Sollwert
insofern bewertet werden kann, ob eine der getakteten Funktionseinheiten der
sie enthaltenden Steuereinheit funktionsgerecht arbeitet oder nicht.
-
Vorteilhafterweise werden die als
fehlerhaft identifizierten Funktionseinheiten dabei zumindest einmal
zurückgesetzt,
damit einer fehlerhaft arbeitenden Funktionseinheit der Steuereinheit
durch einen Neustart Gelegenheit gegeben wird, einen vorgesehenen
Betriebszustand zu erreichen. Kann ein solcher ordnungsgemäßer Betriebszustand
nach einem einmaligen oder mehrmaligen Zurücksetzen der Funktionseinheit
nicht herbeigeführt
werden, so wird zumindest der fehlerhafte Teil des Steuergeräts deaktiviert
und, falls möglich,
durch eine andere Funktionseinheit des Steuergeräts ersetzt. Ggf. wird die gesamte
Steuereinheit deaktiviert.
-
Die teilweise oder vollständige Deaktivierung des
Steuergeräts
des Insassenschutzsystems wird dann einem Fahrzeuginsassen entsprechend
angezeigt, beispielsweise durch das Aufleuchten einer Warnlampe, üblicherweise
in der Fahrzeugarmatur.
-
Im Folgenden wird die Erfindung anhand
von mehreren Ausführungsbeispielen
beschrieben.
-
Es zeigen:
-
1 eine
erfindungsgemäße Steuereinheit mit
zwei UND – Gattern
(AND1, AND2),
-
2 eine
erfindungsgemäße Steuereinheit mit
drei UND – Gattern
(AND1, AND2, AND3),
-
3 ein
schematisches Laufzeitdiagramm der Taktsignale (clk1, clk2, clk3)
der ersten und der zweiten Recheneinheit (R1, R2) sowie der Auslöseeinheit
(AE) und den daraus zusammengesetzten Taktsignalen (clk13, clk23,
clk12) am Ausgang des ersten, zweiten und dritten UND – Gatters
(AND1, AND2, AND3),
-
4 ein
schematisches Laufzeitdiagramm der Taktsignale (clkl, clk2) der
ersten und der zweiten Recheneinheit (R1, R2) und des zugehörigen Ausgangssignals
(clk12) des dritten UND – Gatters (RND3)
bei synchroner Taktung der beiden Recheneinheiten (R1, R2) und
-
5 eine
schematische Entscheidungsmatrix zur Zurücksetzung der Recheneinheiten
(R1, R2) oder der Auslöseeinheit
(AE) einer erfindungsgemäßen Steuereinheit.
-
1 zeigt
eine erfindungsgemäße Steuereinheit
mit einer ersten und zweiten Recheneinheit R1, R2 und einer Auslöseeinheit
AE sowie einem ersten und einem zweiten UND – Gatter AND1, AND2 und einem
ersten, zweiten und dritten ODER – Gatter OR1, OR2, OR3.
-
Dem ersten Signaleingang des ersten
UND – Gatters
AND1 ist das Taktsignal clk1 der ersten Recheneinheit R1 zugeführt. Dem
zweiten Signaleingang des ersten UND – Gatters AND1 ist das Taktsignal
clk3 der Auslöseeinheit
AE zugeführt.
Am Signalausgang des ersten UND – Gatters AND1 liegt ein logisches
Summensignal clk13 der beiden eingangsseitig zugeführten Taktsignale
clk1 und clk3 vor, das einer Pulszahlvergleichereinheit PZVE2 der
zweiten Recheneinheit R2 zugeführt
wird. Der Signalausgang der zweiten Pulszahlvergleichereinheit PZVE2
ist mit einem zweiten Rücksetzer
RES2 innerhalb der zweiten Recheneinheit R2 verbunden. Der zweite
Rücksetzer
RES2 ist ausgangsseitig mit einem Signaleingang des zweiten ODER – Gatters
OR2 verbunden. Der Signalausgang des zweiten ODER – Gatters OR2
wiederum ist mit dem ersten Reset-Eingang RESET1 der ersten Rechnereinheit
R1 verbunden.
-
Analog zur Beschaltung des ersten
UND – Gatters
AND1 ist auch das zweite UND – Gatter
beschaltet. Dem ersten Signaleingang des zweiten UND – Gatters
AND2 ist das Taktsignal clk2 der zweiten Recheneinheit R2 zugeführt, seinem
zweiten Signaleingang ebenfalls das Taktsignal clk3 der Auslöseeinheit
AE. Das Ausgangssignal clk23 des zweiten logischen UND – Gatters
AND2 ist ein logisches Summensignal der beiden eingangsseitig zugeführten Taktsignale
clk2 und clk3 und ist der ersten Pulszahlvergleichereinheit PZVE1
der ersten Recheneinheit R1 zugeführt. Die erste Pulszahlvergleichereinheit
PZVE1 führt
ein Ausgangssignal zum ersten Rücksetzer
RES1, der ausgangsseitig mit dem Signaleingang des ersten ODER – Gatters
OR1 verbunden ist. Der Signalausgang des ersten ODER – Gatters
OR1 ist dem Reset-Eingang RESET der zweiten Recheneinheit R2 zugeführt.
-
Ein jeweils zweiter Signalausgang
des ersten Rücksetzers
REST bzw. des zweiten Rücksetzers
RES2 ist mit jeweils einem Signaleingang eines dritten ODER – Gatters 0R3 verbunden.
Der Signalausgang des dritten ODER – Gatters 0R3 ist
mit einem Reset-Eingang RESETAE der Auslöseeinheit AE verbunden.
-
Des Weiteren ist von einem watchdog – Ausgang
WD1 der ersten Recheneinheit R1 ein erstes watchdog – Signal
wd1 einem ersten watchdog – Eingang
AE1 der Auslöseeinheit
AE zugeführt.
Analog ist auch ein zweites watchdog – Signal wd2 von einem zweiten
watchdog – Ausgang
WD2 der zweiten Recheneinheit R2 einem zweiten watchdog – Eingang
AE2 der Auslöseeinheit
AE zugeführt.
-
Schließlich ist noch ein Recheneinheitsrücksetzungsausgang
SAE der Auslöseeinheit
AE mit den jeweils zweiten Signaleingängen des ersten ODER – Gatters
OR1 und des zweiten ODER – Gatters
OR2 verbunden.
-
Die in der 1 dargestellte Schaltung funktioniert
wie folgt: Das erste UND – Gatter
AND1 erzeugt ausgangsseitig ein modifiziertes Taktsignal clk13 aus
den beiden eingangsseitig zugeführten Taktsignalen
der ersten Recheneinheit clk1 und des Taktsignals der Auslöseeinheit
clk3. Wie in 3 dargestellt
weist das Ausgangssignal clk13 des ersten UND – Gatters AND1 nur dann einen
logischen High – Pegel
auf, wenn die eingangsseitig zugeführten Taktsignale clkl und
clk3 gleichzeitig ebenfalls einen logischen High – Pegel
aufweisen. Da im dargestellten Ausführungsbeispiel der 3 das Taktsignal clk1 der
ersten Recheneinheit R1 mit einer Taktfrequenz von beispielsweise
1 kHz eine wesentlich größere Taktperiode
als das Taktsignal clk3 der Auslöseeinheit
AE mit einer Taktfrequenz von beispielsweise 50 kHz besitzt, weist
das modifizierte Taktsignal clk13 eine wiederkehrende Pulsfolge
mit einer Periode des ersten Taktsignals clk1 auf, mit Einzelpulsen
innerhalb der Pulsfolgen mit einer Periodizität des Taktsignals clk3 der
Auslöseeinheit
AE.
-
Je nach Verschiebung der Taktperioden
der beiden Taktsignale clkl und clk3 zueinander weist das Ausgangssignal
clk13 des ersten UND – Gatters AND1
eine feste Anzahl von Einzelpulsen pro Periodendauer auf. Im Beispiel
der 3 weist das Taktsignal
clk13 beispielsweise zwischen 49 und 50 High – Pegel – Pulse pro Pulsfolgen – Periodendauer
auf.
-
Bei synchroner Taktung der beiden
Taktsignale clk1 und clk3 wäre
die Anzahl der Einzelpulse innerhalb einer Pulsfolge pro Zeiteinheit
immer gleich. Ein entsprechender Fall ist beispielsweise in der 4 für die beiden Taktsignale clk1
und clk2 mit Taktfrequenzen von beispielsweise 1 kHz bzw. 2 kHz dargestellt.
-
Die zweite Pulszahlvergleichereinheit PZVE2
der zweiten Recheneinheit R2 zählt
die Anzahl von Einzelpulsen im Ausgangssignal clk13 des ersten UND – Gatters
AND1 und vergleicht diesen Wert mit einem Vergleichswert, der in
der zweiten Recheneinheit R2 hinterlegt ist, beispielsweise in einem
RAM – Speicher.
Weicht die ermittelte Anzahl von Pulsen im Ausgangssignal clk13
des ersten UND – Gatters
AND1 von diesem gespeicherten Wert in unzulässiger Weise ab, so aktiviert
die zweite Pulszahlvergleichereinheit PZVE2 den zweiten Rücksetzer
RES2, der ein zweites Reset-Signal sr2 über das zweite ODER – Gatter
OR2 an den Reset-Eingang RESET1 der ersten Recheneinheit R1 ausgibt.
Dadurch wird die erste Recheneinheit R1 elektrisch zurückgesetzt.
-
In dem gezeigten Ausführungsbeispiel
der 1 kann wahlweise
gleichzeitig der zweite Rücksetzer
RES2 ein weiteres Rücksetzungssignal
sae2 über
das dritte ODER – Gatter
OR3 an die Auslöseeinheit
AE weitergeben, wodurch auch die Auslöseeinheit AE in ihren elektrischen
Ausgangszustand zurückgesetzt
wird.
-
Im zurückgesetzten Zustand kann ein
an die Auslöseeinheit
AE angeschlossene Insassenschutzmittel weder gesteuert durch die
erste Recheneinheit R1 noch aktiviert durch die Auslöseeinheit
AE ausgelöst
werden.
-
Nach dem Zurücksetzen der ersten Recheneinheit
R1 und der Auslöseeinheit
AE durchlaufen beide einen Funktionshochlauf, während dessen die volle Funktionalität der beiden
Funktionseinheiten R1 und AE innerhalb des Steuergeräts des Insassenschutzmittels
wieder vollständig
hergestellt wird. Erst nach erfolgtem und erfolgreichem Funktionshochlauf beider
Funktionseinheiten R1 und AE kann das an die Auslöseeinheit
AE angeschlossene Insassenschutzmittel ggf. wieder ausgelöst werden.
-
Stellt allerdings die zweite Pulszahlvergleichereinheit
PZVE2 der zweiten Recheneinheit R2 wiederum eine Fehlfunktion entweder
der ersten Recheneinheit R1 oder der Auslöseeinheit AE anhand des Ausgangssignals
clk13 des ersten UND – Gatters
RND1 fest, so werden die beiden Funktionseinheiten R1 und AE abermals
zurückgesetzt
oder auf Dauer deaktiviert.
-
Eine dauerhafte Deaktivierung der
ersten Recheneinheit R1 oder der Auslöseeinheit AE des Insassenschutzmittels
wird dabei üblicherweise
dem Fahrzeughalter durch eine sogenannte Airbagwarnlampe in der
Fahrzeugarmatur angezeigt.
-
Die Funktionsweise der Beschaltung
des zweiten UND – Gatters
AND2 ergibt sich völlig
analog aus der Funktion der Beschaltung des ersten UND – Gatters
AND1:
Das zweite UND – Gatter
AND2 erzeugt ausgangsseitig ein modifiziertes Taktsignal clk23 aus
den beiden eingangsseitig zugeführten
Taktsignalen clk2 der zweiten Recheneinheit R2 und des Taktsignals
clk3 der Auslöseeinheit
AE. Wie im Falle des ersten UND – Gatters AND1 weist das Ausgangssignal
clk23 des zweiten UND – Gatters
AND2 nur dann einen logischen High-Pegel auf, wenn die eingangsseitig zugeführten Taktsignale
clk2 und clk3 auch gleichzeitig einen logischen High-Pegel aufweisen. Üblicherweise ist
auch hier die Periode des zweiten Taktsignals clk2 kleiner als die
Periode des Taktsignals clk3 der Auslöseeinheit AE. Deshalb treten
auch im Ausgangssignal des zweiten UND – Gatters clk23 Pulsfolgen
auf, die mit der langsameren Periode des Taktsignals der zweiten
Recheneinheit clk2 moduliert sind und je nach Periodenverschiebung
der beiden zusammengefügten
Taktsignale clk2 und clk3 eine in einem engen Toleranzrahmen feste
Anzahl von Einzelpulsen pro Zeiteinheit aufweisen.
-
Die erste Pulszahlvergleichereinheit
PZVE1 der ersten Recheneinheit R1 zählt die Anzahl von Einzelpulsen
im Ausgangssignal clk23 des zweiten UND – Gatters AND2 und vergleicht
den ermittelten Wert mit einem weiteren Vergleichswert, der in der ersten
Recheneinheit R1 hinterlegt wurde, beispielsweise in einem Ramspeicher.
Weicht die ermittelte Anzahl von Pulsen im Ausgangssignal clk23
des zweiten UND – Gatters
AND2 von diesem weiteren Vergleichswert ab, so aktiviert in diesem
Fall die erste Pulszahlvergleichereinheit PZVE1 den ersten Rücksetzer
RS1, der ein Reset-Signal sr1 über
das erste ODER – Gatter
OR1 an den Reseteingang RESET2 der zweiten Recheneinheit R2 ausgibt.
Dadurch wird die zweite Recheneinheit R2 durch die erste Recheneinheit
R1 elektrisch zurückgesetzt.
-
In dem gezeigten Ausführungsbeispiel
der 1 kann ebenfalls
gleichzeitig der erste Rücksetzer
RES1 ein Rücksetzungssignal
sael über
das dritte ODER – Gatter
OR3 an die Auslöseeinheit
AE weitergeben, wodurch auch die Auslöseeinheit AE in ihren elektrischen
Ausgangszustand zurückgesetzt wird.
-
Im übrigen gilt im gezeigten Ausführungsbeispiel
der 1 für das Zurücksetzen
der zweiten Recheneinheit R2 und der Auslöseeinheit AE durch den ersten
Rücksetzer
RES1 und einen dadurch veranlassten erneuten Funktionshochlauf dieser
beiden Funktionseinheiten in völlig
analoger Weise das für das
Zurücksetzen
der ersten Recheneinheit R1 und der Auslöseeinheit AE durch den zweiten
Rücksetzer RES2
und den dadurch veranlassten erneuten Funktionshochlauf der ersten
Recheneinheit R1 und der Auslöseeinheit
AE bereits beschriebene.
-
Entsprechend wird auch eine dauerhafte Deaktivierung
der ersten Recheneinheit R1 oder der Auslöseeinheit AE des Insassenschutzmittels
dabei dem Fahrzeughalter durch eine sog. Airbagwarnlampe in der
Fahrzeugarmatur angezeigt.
-
Um die Sicherheit im Erkennen möglicher Fehlfunktionen
des Steuergerätes
des Insassenschutzmittels weiter zu erhöhen, ist in der dargestellten
erfindungsgemäßen Steuereinheit
eine zusätzliche
Funktionsüberwachung
der ersten Recheneinheit R1 durch die Auslöseeinheit AE mit Hilfe einer sogenannten
ersten watchdog – Schaltung
WDS1 realisiert:
Die erste Recheneinheit R1 gibt dabei in periodischen
Zeitabständen
ein erstes watchdog – Signal wd1
an die Auslöseeinheit
AE aus. Beim Ausbleiben des erwarteten watchdog – Sig nals wd1 am watchdog – Signaleingang
AE1 gibt die Auslöseeinheit
AE ein Recheneinheitsrücksetzungssignal
sae von ihrem Signalausgang SAE an den zweiten Signaleingang sowohl
der ersten ODER – Einheit
OR1 als auch der zweiten ODER – Einheit
OR2 aus, wodurch sowohl die erste Recheneinheit R1 über den
ersten Reset-Eingang RESET1 als auch die zweite Recheneinheit R2 über den
zweiten Reset-Eingang RESET2 zurückgesetzt
wird.
-
Alternativ kann auch eine Schaltungsanordnung
verwendet werden, bei der der Signalausgang SAE der Auslöseeinheit
AE nicht mit dem zweiten Signaleingang der ersten ODER – Einheit
0R1 verbunden ist. Folglich gibt die Auslöseeinheit AE dann das Recheneinheitsrücksetzungssignal
sae lediglich an den zweiten Signaleingang der zweiten ODER – Einheit
OR2, so dass so dass im Fehlerfall der ersten watchdog-Schaltung
WDS1 nur die erste Recheneinheit R1 über den ersten Reset-Eingang
RESETI zurückgesetzt
wird.
-
In jedem Fall können durch die erste watchdog – Schaltung
WDS1 ggf. zusätzliche
Fehler in der ersten Recheneinheit R1 erkannt werden, die dem Ausgangssignal
clk13 des ersten UND – Gatters AND1
nicht entnommen werden können.
-
In entsprechender Weise wie im Falle
der ersten Recheneinheit R1 eine Überwachung durch die erste
watchdog-Schaltung WDS1 erfolgt wird in 1 auch die zweite Recheneinheit R2 von
der Auslöseeinheit
AE durch eine zweite watchdog – Schaltung
WDS2 über
eine Verbindung des zweiten watchdog – Ausgangs WD2 mit einem zweiten watchdog – Eingang
AE2 der Auslöseeinheit
AE und unter Zuhilfenahme eines periodischen watchdog – Signals
wd2 überwacht.
Analog zur ersten watchdog-Schaltung WDS1 setzt die Auslöseeinheit
AE im Falle der zweiten watchdog-Schaltung
WDS2 der 1 bei einem
unzulässigen
watchdog-Signal
wd2 die zweite Recheneinheit R2 als auch die erste Recheneinheit
R1 durch das Recheneinheitsrücksetzungssignal
sae zurück.
-
Alternativ ist jedoch auch eine Schaltungsanordnung
denkbar, bei der der Signalausgang SAE der Auslöseeinheit AE nicht wie in der 1 gezeigt mit beiden Oder – Gattern
OR1 und OR2 verbunden ist, sondern nur mit dem zweiten Signaleingang
der ersten ODER – Einheit
OR1. Folglich gibt dann die Auslöseeinheit
AE das Recheneinheitsrücksetzungssignal
sae lediglich an den zweiten Signaleingang der ersten ODER – Einheit
OR1 aus, so dass im Fehlerfall der zweiten watchdog-Schaltung WDS2
nur die zweite Recheneinheit R2 über
den zweiten Reset-Eingang RESET2 zurückgesetzt wird.
-
Auch die zweite watchdog – Schaltung WDS2
kann auf diese Weise ggf. Fehler der zweiten Recheneinheit R2 erkennen,
die dem Ausgangssignal clk23 des zweiten UND – Gatters AND2 nicht entnommen
werden können.
-
Bei ein- oder mehrmaligem Zurücksetzen mindestens
einer der beiden Recheneinheiten R1 oder R2 durch mindestens eine
der beiden watchdog-Schaltungen WDS1 und WDS2 wird eine Warnlampe
im Fahrzeuginneren als Hinweis auf eine mögliche Fehlfunktion der Steuereinheit
für das
Insassenschutzsystem an den Fahrzeughalter aktiviert.
-
Wie im gezeigten Beispiel der 1 können die beiden watchdog – Schaltungen
WDS1 und WDS2 gleichzeitig verwendet werden. Es ist aber ebenso
möglich,
nur eine der beiden watchdog – Schaltungen
WDS1 oder WDS2 innerhalb der erfindungsgemäßen Steuereinheit vorzusehen,
die jeweils aber derart verschaltet ist, dass sie mindestens eine
der beiden Recheneinheiten R1 und R2 und wahlweise auch die Auslöseeinheit
AE zurücksetzen kann.
-
2 zeigt
die erfindungsgemäße Steuereinheit
aus 1, jedoch erweitert
um ein drittes UND – Gatter
AND3. Dem dritten UND – Gatter AND3
sind eingangsseitig die Taktsignale clk1 und clk2 der ersten Recheneinheit
R1 und der zweiten Recheneinheit R2 zugeführt. Am Signalausgang des dritten
UND – Gatters
AND3 liegt ein logisches Summensignal clk23 der beiden Taktsignale
clk1 und clk2 der beiden Recheneinheiten R1 und R2 vor, das einem
jeweils zweiten Signaleingang der ersten Pulszahlvergleichereinheit
PZVE1 und der zweiten Pulszahlvergleichereinheit PZVE2 zugeführt wird.
Der jeweilige Signalausgang der ersten bzw. zweiten Pulszahlvergleichereinheit
PZVE1 bzw. PZVE2 ist mit dem ersten Rücksetzer RES1 bzw. dem zweiten Rücksetzer
RES2 verbunden.
-
Ein erstes Ausgangssignal sr1 des
ersten Rücksetzers
RES1 der ersten Recheneinheit R1 wird einem Eingang der ersten ODER – Einheit
OR1 zugeführt.
Der Signalausgang der ersten ODER – Einheit OR1 ist mit dem zweiten
Reseteingang RESET2 verbunden, wie bereits weiter oben erwähnt. Analog ist
ein Signalausgang sr2 des zweiten Rücksetzers RES2 der zweiten
Recheneinheit R2 mit einem Signaleingang des zweiten ODER – Gatters
OR2 verbunden. Der Signalausgang des zweiten ODER – Gatters
OR2 ist mit dem ersten Reseteingang RESET1 der ersten Recheneinheit
R1 verbunden, wie ebenfalls bereits weiter oben beschrieben.
-
Das Ausgangssignal des dritten UND – Gatters
clk12 wird in ganz ähnlicher
Weise ausgewertet wie die beiden Ausgangssignale der beiden anderen UND – Gatter
AND1 und AND2: Die erste Pulszahlvergleichereinheit PZVE1 zählt die
Anzahl der empfangenen Pulse im Ausgangssignal clk12 des dritten UND – Gatters
AND3 und vergleicht die Anzahl der empfangenen Pulse pro Zeiteinheit
mit einem vorher festgelegten Wert, der beispielsweise in einem
Ramspeicher der ersten Recheneinheit R1 gespeichert ist. Weicht
dieser Wert über
ein vorher festgelegtes zulässiges
Höchstmaß hinaus
von dem gespeicherten Wert ab, so aktiviert die erste Pulszahlvergleichereinheit
PZVE1 den ersten Rücksetzer
RES1, der die zweite Recheneinheit R1 mittelbar über das erste ODER – Gatter
OR1 zurücksetzt.
-
Ebenso ermittelt die zweite Pulszahlvergleichereinheit
PZVE2 die Anzahl der empfangenen Pulse im Ausgangssignal clk12 des
dritten UND – Gatters
AND3 und gibt bei einer als unzulässig erkannten Anzahl von Einzelpulsen
pro Zeiteinheit die Aktivierung des zweiten Rücksetzers RES2 frei, der daraufhin
die erste Recheneinheit R1 mittelbar über das zweite ODER – Gatter
OR2 zurücksetzt.
-
Gleichzeitig mit dem Zurücksetzen
der ersten Recheneinheit R1 oder der zweiten Recheneinheit R2 kann
im Ausführungsbeispiel
der 2 über das
dritte ODER – Gatter
OR3 ein Zurücksetzen
der Auslöseeinheit
AE veranlasst werden.
-
Durch Hinzufügen des dritten UND – Gatters RND3
können
sich die Recheneinheiten R1 und R2 folglich gegenseitig zurücksetzen,
wenn mindestens eines der Taktsignale einer der beiden Recheneinheiten
R1 oder R2 gestört
ist. Im Gegensatz zu einem Zurücksetzen
mindestens einer der beiden Recheneinheiten R1 oder R2 und wahlweise
auch der Auslöseeinheit
AE aufgrund der Signale clk13 und clk23 des ersten UND – Gatters
AND1 und des zweiten UND – Gatters
RND2 kann also durch die Auswertung des Ausgangssignals clk12 des
dritten UND – Gatters
AND3 völlig
unabhängig
von dem Taktsignal clk3 der Auslöseeinheit
AE ein Zurücksetzen
der Recheneinheiten R1 und R2 und vorzugsweise auch der Auslöseeinheit
AE erfolgen.
-
5 zeigt
zusammengefasst eine mögliche Entscheidungsmatrix,
nach der die beiden Recheneinheiten R1, R2 und die Auslöseeinheit
AE der erfindungsgemäßen Steuereinheit
nach 2 zurückgesetzt
werden können:
Eine in die Matrix eingetragene Null bedeutet eine ordnungsgemäße Funktionsweise der
Taktsignale clk1, clk2, clk3, der logisch UND-verknüpften Taktsignale
clk13, clk12, clk23 und auch eine ordnungsgemäße Funktionsweise der ersten Recheneinheit
R1, der zweiten Recheneinheit R2 und der Auslöseeinheit AE. Ein in die Entscheidungsmatrix
eingetragenes X bedeutet im Gegensatz dazu ein fehlerhaftes Taktsignal
clk1, clk2, clk3 oder ein fehlerhaftes zusammengesetztes Taktsignal
clk13, clk12 und clk23, bzw. ein fehlerhaftes Funktionieren der
ersten Recheneinheit R1, der zweiten Recheneinheit R2 oder der Auslöseeinheit
AE.
-
Die in den letzten drei Zeilen eingetragenen Pfeile
zeigen mit ihren Spitzen auf diejenigen Recheneinheiten R1 und R2
oder auf die Auslöseeinheit AE,
die von der Recheneinheiten R1 oder R2 bzw. von der Auslöseeinheit
AE am Ausgangspunkt des Pfeils zurückgesetzt wird.
-
Die Spalten der Entscheidungsmatrix
der 5 sind demnach folgendermaßen zu lesen:
In
der Spalte 1 funktionieren alle Taktsignale clk1, clk2, clk3, clk13,
clk12 und clk23 ordnungsgemäß, da auch
die beteiligten Recheneinheiten R1, R2 und die Auslöseeinheit
AE ordnungsgemäß arbeiten.
-
In der zweiten Spalte ist ein fehlerhaftes Taktsignal
clk3 der Auslöseeinheit
AE eingetragen. Folglich sind auch die kombinierten Taktsignale
clk13 und clk23 fehlerhaft. Die ordnungsgemäß funktionierende erste Recheneinheit
R1, aber auch die ordnungsgemäß funktionierende
zweite Recheneinheit setzen in diesem Fall die fehlerhafte Auslöseeinheit AE
zurück.
-
In der dritten Spalte ist das Taktsignal
clk2 der zweiten Recheneinheit R2 fehlerhaft. Folglich sind auch
die daraus abgeleiteten Taktsignale clk12 und clk23 fehlerhaft.
In dieser Konstellation würde
die ordnungsgemäß funktionierende
erste Recheneinheit R1 die fehlerhafte Recheneinheit R2 zurücksetzen.
Die Auslöseeinheit
AE funktioniert in diesem Fall zwar fehlerfrei, doch könnte sie
aufgrund der in der 2 gezeigten
Schaltungsanordnung über
das dritte UND – Gatter
ebenfalls durch die erste Recheneinheit R1 zurückgesetzt werden.
-
In Spalte 4 funktioniert
lediglich die erste Recheneinheit R1 ordnungsgemäß und setzt folglich die fehlerhafte
zweite Recheneinheit R2 und die fehlerhafte Auslöseeinheit AE zurück.
-
Analog setzt die in Spalte 6 ordnungsgemäß funktionierende
zweite Recheneinheit R2 die fehlerhafte erste Recheneinheit R1 und
die fehlerhafte Auslöseeinheit
AE zurück.
-
In Spalte 5 funktioniert
neben der Auslöseeinheit
AE auch die zweite Recheneinheit R2 bestimmungsgemäß. Da die
Erkennung einer fehlerhaft funktionierenden ersten Recheneinheit
R1 durch die zweite Recheneinheit R2 erfindungsgemäß schneller zur
Verfügung
steht als die Rücksetzungsfunktion
der Auslöseeinheit
AE aufgrund der ersten watchdog – Schaltung WDS1 aus der 1 oder 2, setzt die fehlerfrei funktionierende
zweite Recheneinheit R2 zunächst
die fehlerhafte erste Recheneinheit R1 zurück und erst in einem zweiten
Schritt und mittelbar über das
dritte ODER – Gatter
OR3 wahlweise auch die Auslöseeinheit
AE.
-
Es bleiben noch die beiden Sonderfälle der Spalten
7 und 8 zu erläutern:
Den ersten Sonderfall der Entscheidungsmatrix zeigt Spalte 7. Hier
arbeitet nur die Auslöseeinheit
AE erwartungsgemäß. Ein Zurücksetzen
der beiden Recheneinheiten R1 und R2 erfolgt deshalb aufgrund der
beiden watchdog – Schaltungen
WDS1 und WDS2, über
die die Auslöseeinheit
AE die Fehlfunktion der beiden Recheneinheiten R1 und R2 erkennen
kann und deshalb das Reset – Signal
sae zu deren Zurücksetzung
ausgibt.
-
In Spalte 8 funktioniert
keine der Recheneinheiten R1 oder R2 ordnungsgemäß und ebenso wenig die Auslöseeinheit
AE. Dieser Fehler der Steuereinheit stellt einen Dreifachfehler
dar und ist deshalb sehr unwahrscheinlich. Für diesen Fall kann das Verhalten
der Schaltung nicht vorhergesagt werden.