-
Die Erfindung bezieht sich auf eine Schaltungsanordnung zur fehlerabgesicherten Analog-/Digital-Umwandlung gemäß Oberbegriff von Anspruch 1.
-
Es ist bekannt, zur Verbesserung der allgemeinen Betriebsicherheit von Schaltungsanordnungen für besagte Steuergeräte einzelne, für die Funktion besonders wesentliche Schaltungsteile redundant oder teilredundant auszuführen. Im einfachsten Fall wird die gesamte Schaltung vollredundant ausgeführt, also dupliziert, und einer mehr oder weniger stark ausgeprägten räumlichen/physikalischen Trennung unterzogen, so dass Fehler möglichst nur einen der duplizierten Schaltungsteile betreffen. Nachteil dieser Vorgehensweise ist, dass sich häufig der Kostenaufwand, der Platzbedarf und der Stromverbrauch ebenfalls verdoppelt. Zur Verarbeitung sicherheitskritischer Signale werden üblicherweise aus Gründen der Redundanz zwei Analog-/Digital-Wandler eingesetzt. Unter einem Analog-/Digital-Wandler wird nachfolgend die gesamte Analog/Digital-Schnittstelle gezählt, d. h. inklusive Analog-Multiplexer am Eingang sowie Ergebnis-Registern und (Digital-)Multiplexer am Ausgang des Analog-/Digital-Wandlers.
-
Aus der
EP 0 714 170 A1 ist ein Analog-Digital-Wandler mit schreibbarem Ergebnisregister bekannt. Aufgabe der Erfindung ist es, das Testen bzw. Selbsttesten eines Analog-Digital-Wandlers zu erleichtern. Hierzu werden dem Analog-Digital-Wandler bekannte analoge Eingangssignale zugeführt und die erhaltenen digitalen Ausgangssignale mit den erwarteten digitalen Ausgangssignalen verglichen.
-
Aus der
US 4 774 498 A ist ein Analog-Digital-Wandler mit einer Fehlererkennungsschaltung bekannt. In einer Ausführungsform wird dabei gezeigt, Eingangssignale über einen Inverter zu invertieren und diese invertierten Eingangssignale an Komparatoren weiterzugeben.
-
Aus
DE 199 12 766 A1 ist eine Schaltungsanordnung mit A/D Wandler für sicherheitskritische Anwendungen bekannt, die einen Rampensignalgenerator zur Erzeugung einer Rampenspannung aufweist.
-
Aufgabe der vorliegenden Erfindung ist es, eine kostengünstige Schaltungsanordnung zur Analog-/Digital-Wandlung bereitzustellen, welche durch die Verwendung nur eines Analog-/Digital-Wandlers in Verbindung mit einer Fehlerüberwachung auftretenden Fehler sicher erkennt.
-
Diese Aufgabe wird durch eine Schaltungsanordnung gemäß Anspruch 1 gelöst.
-
Die Erfindung wird nun an Hand der Figuren näher erläutert. Bevorzugte Ausführungsformen ergeben sich aus der Figurenbeschreibung und den Unteransprüchen.
-
Es zeigen:
-
1 eine an sich bekannte Anordnung mit zwei Analog-/Digital-Wandlern,
-
2 eine Übertragungskurve eines Analog-/Digital-Wandlers,
-
3 eine Nachbildung der Multiplex-Strukturen für den Betrieb mit einem einzigen Analog-/Digital-Wandler,
-
4 eine Darstellung von gegenläufigen Signalen,
-
5 eine Anordnung mit gegenläufigen, redundanten, Signalen über einen einzigen Analog-/Digital-Wandler und
-
6 eine Schaltung zur Erzeugung eines gegenläufigen Signals.
-
1 zeigt das Blockschaltbild einer an sich bekannten Anordnung mit zwei Analog-/Digital-Wandlern 1, 2. Hierbei werden Signale Ni, ... über einen Analogmultiplexer 3 einem Analog-/Digital-Wandler 1 zur Verarbeitung zugeführt. Einem weiteren Analog-/Digital-Wandler 2 werden die dazu redundanten Signale N'i, ... über einen Analogmultiplexer 4 zugeführt. Die gestrichelte Linie soll andeuten, dass die beiden Analog-/Digital-Wandler 1, 2 räumlich (Layout) getrennt sein müssen, damit sie unabhängig voneinander funktionieren. Die Ausgangssignale der Analog-/Digital-Wandler 1, 2 werden an einen Demultiplexer 15 übergeben und anschließend in Ergebnis-Registern 8, 9 gespeichert. Die Ergebnis-Register 8, 9 sind mit Digitalmultiplexern 6, 7 verbunden, welche die Ausgangssignale über einen Datenausgang 19 an eine nicht abgebildete Auswerteeinrichtung weiterleiten. Die Ansteuerung der Analogmultiplexer 3, 4, der Analog-/Digital-Wandler 1, 2, des Demultiplexers 15, der Ergebnis-Register 8, 9 und der Digitalmultiplexer 6, 7 erfolgt hierbei über eine Ansteuerlogik 5. Als weiteres Eingangssignal liegt an den Analogmultiplexern 3, 4 ein mit BANDGAP bezeichnetes statisches Signal an, welches unabhängig von der Referenzspannung des Analog-/Digital-Wandlers erzeugt wird. Durch die Überwachung eines solchen statischen Signals können Fehler an der Referenzspannung entdeckt werden.
-
In 2 ist die ideale Übertragungskurve 20 eines Analog-/Digital-Wandlers dargestellt, wobei aus Gründen der Übersichtlichkeit die Treppenstufen nicht eingezeichnet sind. Hierbei ist auf der Abszisse die analoge Eingansspannung Uin, und auf der Ordinate der digitale Ausgang OUT des Analog-/Digital-Wandlers aufgetragen. Um die ideale Übertragungskurve 20 befindet sich ein Fehlerband, dargestellt durch die Abweichungen +x LSB und –x LSB von der idealen Übertragungskurve 20.
-
3 stellt eine erste erfindungsgemäße Schaltungsanordnung unter Verwendung von lediglich einem Analog-/Digital-Wandler dar. Im folgenden werden nur die Unterschiede zu der 1 beschrieben. An den Analogmultiplexern 11, 12 liegen wiederum Signale Ni, ... bzw. Signale N'i, ..., sowie das statische Signal BANDGAP an. Über zusätzliche Eingänge an den Analogmultiplexern 11, 12 sind weiterhin Testsignale Test und Test' angeschlossen. Die Ausgänge der Analogmultiplexer 11, 12 sind mit einem (2 zu 1)-Analogmultiplexer 13 verbunden, dessen Ausgang an einen Analog-/Digital-Wandler 10 angeschlossen ist. Der Ausgang des Analog-/Digital-Wandlers 10 ist mit Demultiplexer 15 mit nachgeschalteten Ergebnis-Registern 8, 9 und Digitalmultiplexern 6, 7 verbunden. Die Signaldaten an den Ausgängen der Digitalmultiplexer 6, 7 werden über einen (2 zu 1)-Digitalmultiplexer 14 auf den Datenausgang 19 geschaltet. Die Ansteuerung der Analogmultiplexer 11, 12, des (2 zu 1)-Analogmultiplexers 13, des Analog-/Digital-Wandlers 10, des Demultiplxers 15, der Ergebnis-Register 8, 9, der Digitalmultiplexer 6, 7 und des (2 zu 1)-Digitalmultiplexers 14 erfolgt hierbei über eine Ansteuerlogik 5'.
-
In 4 sind gegenläufige Signale UNi, UN'i dargestellt, welche an dem in 3 beschriebenen Analog-/Digital-Wandler 10 als Einganssignale anliegen. Auf der Abszisse ist das zu messende Signal, z. B. ein Druck oder ein Strom, und auf der Ordinate ist die Eingangsspannung U eines Analog-/Digital-Wandlers aufgetragen.
-
5 zeigt eine weitere erfindungsgemäße Schaltungsanordnung. An einem Analogmultiplexer 16 liegen Eingangssignale Ni, ..., N'i, ... und das statische Signal BANDGAP an. Der Ausgang des Analogmultiplexers 16 ist mit dem Analog-/Digital-Wandler 10 verbunden, dessen Ausgang wiederum über den Demultiplexer 15 mit den nachgeschalteten Ergebnis-Registern 8, 9 verbunden ist. Die Ausgänge der Ergebnis-Register 8, 9 sind mit einem Digitalmultiplexer 17 verbunden, welcher Ausgangssignale über den Datenausgang 19 an eine nicht dargestellte Auswerteeinrichtung übergibt. Die Ansteuerung des Analogmultiplexers 16, des Analog-/Digital-Wandlers 10, des Demultiplexers 15, der Ergebnis-Register 8, 9 und des Digitalmultiplexers 17 erfolgt hierbei über eine Ansteuerlogik 5''.
-
In 6 ist eine Schaltung zur Erzeugung eines gegenläufigen Signals dargestellt. Hierbei wird ein Eingangssignal UNi zum einen direkt auf einen nicht dargestellten Eingang eines Analogmultiplexers geführt, während zum anderen das Eingangssignal UNi über einen Analoginverter 18 dem nicht dargestellten Analogmultiplexer als invertiertes Eingangssignal UN'i zugeführt wird.
-
In bekannten Schaltungsanordnungen gemäß 1 erhält die nicht dargestellte Auswerteeinrichtung über den Datenausgang 19, welcher z. B. in Form einer seriellen Schnittstelle oder einem Datenbus ausgeführt sein kann, digitale Signale, welche aus den analogen Eingangssignalen Ni, ... und N'i ... gewonnen werden, welche von Sensoren, beispielsweise Drucksensoren, bereitgestellt werden. Die Auswerteeinrichtung kann hierbei eventuelle Signalfehler, welche die digitalen Signale verfälschen, nicht einer Fehlerquelle zuordnen, z. B. Fehler im Analog-/Digital-Wandler 1, da die Auswerteeinrichtung nur die Überlagerung der digitalen Signale mit allen auf dem Signalweg auftretenden Fehlern als Eingangssignal erhält. Als Fehler werden z. B. Ungenauigkeiten der Sensoren oder statische Fehler der Analog-/Digital-Wandler 1, 2 angesehen. Die statischen Fehler der Analog-/Digital-Wandler 1, 2 werden hierbei zu einem Gesamtfehler zusammengefasst, welcher in Form eines Fehlerbandes, dargestellt durch die Abweichungen +x LSB und –x LSB in 2, um die ideale Übertragungskurve 20 gelegt wird. Wird beispielsweise davon ausgegangen, dass nur statische Fehler in den Analog-/Digital-Wandlern 1, 2 und Ungenauigkeiten in den Sensoren vorliegen können, so kann durch geeignete Maßnahmen, z. B. Addition, aus den statischen Fehlern und den Ungenauigkeiten um die ideale Übertragungskurve 20 ein Toleranzbereich definiert werden, welcher zur Erkennung eines Signalfehlers geeignet ist. Allerdings gelten bei dieser Vorgehensweise alle Signale die innerhalb des Toleranzbereichs liegen als fehlerfreie Werte. Bei der Überlagerung von Fehlern wird bei einem Sensor ohne Abweichung ein Analog-/Digital-Wandlerfehler erst erkannt, wenn dieser mindestens die Toleranz des Analog-/Digital-Wandlers und die des Sensors übersteigt. Bei einem Sensor, der seine Toleranz voll ausschöpft, wird ein Analog-/Digital-Wandlerfehler dagegen früher erkannt, da hierdurch der verbleibende Toleranzbereich im Vergleich zu einem Sensor ohne Abweichung schmaler ist.
-
Die in 1 beschriebene Schaltungsanordnung ist vollständig redundant und, wie oben beschrieben, durch die Wahl des Layouts räumlich getrennt aufgebaut. Hierdurch können sich die Eingangssignale und ihre redundanten Signale weder in den Analogmultiplexern 3, 4, noch in den Analog-/Digital-Wandlern 1, 2 und in den Ergebnis-Registern 8, 9 durch einen Fehler in der (gemeinsamen) Adress-Logik der Ansteuerlogik 5 beeinflussen. Bei den Digitalmultiplexern 6, 7 ist es anders, da die Signale aus den Ergebnis-Registern 8, 9 auf einen Datenausgang, z. B. Datenbus, serielle Schnittstelle, etc., gelegt werden. Dies erfolgt z. B. durch Zeitfenster, in denen in einem ersten Zeitfenster ein Signal, und in einem zweiten Zeitfenster das zu dem Signal redundante Signal übertragen wird. Im Beispiel wurden die Digitalmultiplexer 6, 7 räumlich getrennt und mit „Tristate”-Ausgängen zusammengeschaltet. Durch eine geeignete Kodierung muss die Adress-Logik so ausgelegt werden, dass auch bei Fehlern in der Adress-Logik nie ein Signal und das zu diesem Signal redundante Signal in ein und demselben Zeitfenster aufeinander gelegt werden können.
-
Neben den beschriebenen Fehlern müssen weitere Fehler betrachtet werden. Unter der Annahme, dass keine Doppelfehler auftreten und auch die Ansteuersignale (z. B. Takt) der beiden Analog-/Digital-Wandler 1, 2 unabhängig voneinander sind, können Fehler in einem der beiden Analog-/Digital-Wandler 1, 2 durch die redundante Ausführung erkannt werden. Haft-Fehler (St-at-0, St-at-1, St-at-x, St-at-open) entlang der Signalwege (Die Signale Ni und N'i werden gemeinsam auf den Datenausgang geführt) werden aufgrund der Redundanz und der räumlichen Trennung erkannt.
-
Bei den Analog- und Digitalmultiplexer können folgende Fehler auftreten:
- 1. Multiplexer steht (z. B. wegen Haftfehler der Ansteuersignale)
- 2. Multiplexer überspringt, ein Eingangssignal (statt dessen wird ein anderer Eingang ausgewählt; z. B. wegen Haftfehler der Ansteuersignale)
- 3. Verkopplung am Analog-Multiplexer: der Wert (Spannung) vom vorangegangenen Eingangssignal wird verwendet
-
Neben der Redundanz und der räumlichen Trennung muss für eine Erkennung dieser Fehler die Unabhängigkeit der Ansteuersignale erfüllt sein. Dies gilt ebenfalls für die Ansteuersignale der Ergebnis-Register.
-
Im folgenden wird ein Test eines Analog-/Digital-Wandler-Kerns beschrieben. Betrachtet man nur einen Analog-/Digital-Wandler für sich alleine, also nur seinen Kern (Core), so kann auf eine redundante Ausführung verzichten werden, wenn man den einzelnen Analog-/Digital-Wandler-Kern entsprechend modifiziert. Hierzu kann ein während des normalen Betriebs eingefügter fortlaufender Analog-/Digital-Wandler-Test vorgesehen werden, z. B. die Stimulierung durch einen Digital-/Analog-Wandler oder eine Rampe und eine entsprechende Auswertung. Dieses Verfahren ist aus der
DE-A 19912766 (P 9541) an sich bekannt.
-
In einer ersten Ausführungsform werden die Multiplex-Strukturen für den Betrieb mit einem einzigen Analog-/Digital-Wandler nachgebildet. Betrachtet man gegenüber dem Test lediglich eines Analog-/Digital-Wandlers die gesamte Analog-/Digital-Schnittstelle, dann reicht obiges Konzept nicht aus. 3 zeigt deshalb eine Anordnung mit nur einem Analog-/Digital-Wandler 10, wobei die Multiplex-Strukturen so gestaltet sind, dass sie sich im Fehlerfall ähnlich verhalten wie die räumlich getrennten Analogmultiplexer 3, 4 (1). Grundidee ist die Aufteilung in einen Bereich, der weiterhin aus zwei räumlich getrennten Analogmultiplexern 11, 12 besteht, und einem (2 zu 1)-Analogmultiplexer 13, der die getrennten Ausgänge der Analogmultiplexer 11, 12 auf ein gemeinsames Signal schaltet. Durch eine aktive Überwachung wird sichergestellt, dass der (2 zu 1)-Analogmultiplexer 13 und ein (2 zu 1)-Digitalmultiplexer 14 ordnungsgemäß funktionieren. Hierzu wird über den ersten Analogmultiplexer 3 testweise ein Signal Test angelegt, über den zweiten Analogmultiplexer 4 ein Signal Test'. Beide Signale müssen eindeutig voneinander unterscheidbar sein, Test' ist also nicht auf die Invertierung von Test beschränkt. Außerdem darf kein anderes Signal vorkommen, dass dauerhaft nicht von Test und Test' zu unterscheiden ist. Notfalls dürfen die beiden Testsignale nicht aus jeweils einem statischen Wert (z. B. 2,5 V und 1,25 V) bestehen, sondern es müssen entsprechende Folgen von Werten nacheinander testweise angelegt werden. Der Analog-/Digital-Wandler 10 (Core) muss hierbei, wie oben beschrieben, nach wie vor extra getestet werden.
-
In 5 ist die Schaltungsanordnung einer zweiten Ausführungsform abgebildet. Hierbei wird durch die Nutzung der z. B. in 4 dargestellten gegenläufigen, redundanten Signale der komplette zweite Analog-/Digital-Wandler eingespart und die Analog-/Digital-Wandler-Prüfung vermieden. Unter einem gegenläufigen Signal wird nach der Erfindung verstanden, wenn sich das Hauptsignal Ni von dem Redundanzsignal Ni' unterscheidet, also diese Signale wie sonst bei der Verarbeitung von redundanten Signalen üblich sich nicht entsprechen. Eine Unterscheidbarkeit kann entweder durch einen Offset-Pegel und/oder durch eine für jeden Kanal charakteristische, der Schaltung bekannte Kernlinie herbeigeführt werden. Im einfachsten bevorzugten Fall sind Hauptsignal und Redundanzsignal lineare Funktionen mit entgegengesetztem Vorzeichen der Steigung.
-
Die im Analog-/Digital-Wandler 10 zu wandelnden Signale, welche z. B. Drucksensorsignale, Gierratensensorsignale, Stromwerte von PWM-Ventilen (PWM: Pulsweitenmodulation) usw. sein können, werden dem Eingang des Analog-/Digital-Wandlers 10 gegenläufig zugeführt. Das heißt insbesondere, ein Signal mit einem niedrigen Spannungspegel korrespondiert mit einem redundanten Signal mit einem hohen Spannungspegel (bei gleichem Wert des zu messenden Signals, z. B. Druck oder Strom), und umgekehrt. 4 zeigt die Spannungen (hier am Eingang des Analog-/Digital-Wandlers 10) der beiden zueinander redundanten Signale Ni und Ni' in Abhängigkeit des zu messenden Signals.
-
Durch die Gegenläufigkeit wird erreicht, dass ein Kurzschluss zwischen zueinander redundanten Signalen an beliebigen Stellen der Signalwege erkannt wird (bzw. einem entsprechenden Logikfehler bezüglich der Multiplexer). Dies gilt für die gesamte Signal-Kette, z. B. bis in einen Prozessorkern hinein. Ein Kurzschluss wird lediglich dann nicht erkannt, wenn sich die korrespondierenden Spannungspegel genau im mittleren Bereich befinden. Die dann gemessenen Werte sind aber noch korrekt. Spätestens wenn abgeschaltet wird (z. B. PWM-Ventile), wird der Kurzschluss jedoch erkannt.
-
Durch die redundante Messung wird ebenfalls der eingesetzte Analog-/Digital-Wandler 10 im jeweils verwendeten Spannungsbereich geprüft, in dem sich die Eingangsgrößen bewegen. Die zueinander redundanten Signale werden zwar über den gleichen Analog-/Digital-Wandler 10 gemessen, allerdings an anderen Stellen der Übertragungskurve. Damit kann das eine Signal +x LSB von der idealen Übertragungskurve 20 (2) entfernt liegen, und das dazu redundante Signal –x LSB, bzw. umgekehrt. Bezüglich der Fehlerüberwachung gelten exakt die gleichen Überlegungen wie für die oben beschriebene Ausführung mit zwei Analog-/Digital-Wandlern. Damit ist die Qualität der Überwachung des bzw. der Analog-/Digital-Wandler von beiden Verfahren gleich.
-
Falls von einem Sensor keine gegenläufigen, redundanten Signale direkt zur Verfügung gestellt werden, kann alternativ an einem Eingang des Analogmultiplexers 16 ein Analoginverter 18 vorgesehen werden, um ein gegenläufiges Signal zu erzeugen. Eine hierzu geeignete Schaltung ist in 6 dargestellt. Hierdurch kann für den Analog-/Digital-Wandler 10 einschließlich Multiplexer eine Fehlerüberwachung durchgeführt werden.
-
Eine weitere Möglichkeit, das Hauptsignal vom Redundanzsignal unterscheidbar zu machen wird im folgenden beschrieben: Probleme bei der Fehlererkennung können unter anderem dann entstehen, wenn ein Signal auf einen Ruhepegel geklemmt ist. Sei das Hauptsignal in Ruhe auf 0 V, das dazu redundante Signal auf UREF. Wird nun das Hauptsignal durch einen Fehler fest auf 0 V geklemmt, bzw. ein Logikfehler führt dazu, dass ein statisches Signal von ungefähr 0 V fälschlicherweise auf dieses Hauptsignal gelegt wird (durch einen Analog- oder Digitalmultiplexer). Wird nun nach beliebiger Zeit, ohne dass die Ruhepegel verlassen werden, das redundante Signal fest auf UREF geklemmt, so kann dieses Fehlerbild unter Umständen nicht entdeckt werden.
-
Bei sogenannten aktiven Signalen, bei denen eine Software eine Aktion vorgibt (Ventile schalten, Druck regeln etc.) und eine Reaktion erwartet, wird die Klemmung redundanter Signale auf ihre Ruhepegel erkannt. Bei sogenannten passiven Signalen, bei denen ein Einfluss von außen lediglich überwacht wird, gilt diese Aussage nicht. Ein Gierratensignal liegt in Ruhe z. B. typischerweise auf halben Pegel von UREF (und damit auch das redundante Gierratensignal). Bei der Lösung mit nur einem Analog-/Digital-Wandler reicht unter Umständen ein einfacher Logikfehler aus, um die Bandgap-Spannung (die z. B. ebenfalls auf UREF/2-Niveau liegt) fälschlicherweise auf beide Gierratensignale zu legen. Bei einem dann auftretenden Ausschlag der Gierrate würde die Auswertung (Software) z. B. auf einen Lenkwinkel-Sensorfehler schließen, da beide Gierratensignale plausible Werte liefern.
-
Deshalb ist es zweckmäßig, statische Signale programmierbar bzw. umschaltbar auszuführen, z. B. durch einen Spannungsteiler. Damit werden sie dynamisch gestaltet. Als Lösung oben beschriebener Problematik bietet es sich beispielsweise an, die Bandgag-Spannung programmierbar zu gestalten, nämlich umschaltbar zwischen UREF/2- und UREF/4-Niveau. Es muss dann in regelmäßigen Abständen auf UREF/4-Niveau umgeschaltet werden, und die beiden Gierratensignale geprüft werden, die dann in Ruhe beide einen Spannungspegel von UREF/2 liefern müssen. Wichtig bei dieser Lösung ist, dass die Umschaltung der Bandgag-Spannung räumlich getrennt von dem Analogmultiplexer erfolgen muss. Außerdem sollte keine anderweitige Spannung von ungefähr UREF/2-Niveau in der Nähe des Analogmultiplexers verlegt sein.
-
Diese Problematik mit statischen Signalen, dass sich z. B. eine Bandgag-Spannung fälschlicherweise auf beide Gierratensignale legt, tritt auch bei der Lösung mit zwei Analog-/Digital-Wandlern auf. Hierbei ist allerdings ein Doppelfehler notwendig, wobei der erste ein schlafender Fehler ist. Die Wahrscheinlichkeit für ein solches Fehlerbild ist folglich geringer.
