DE19757290C1 - Verfahren zum Betreiben eines Steuerrrechners, insbesondere eines Insassenschutzsystem-Steuergeräts in einem Kraftfahrzeug und entsprechend arbeitendes Steuergerät - Google Patents

Description

Die Erfindung betrifft ein Verfahren zum Betreiben eines Steuerrechners, insbesondere eines Insassenschutzsystem-Steuer­ geräts in einem Kraftfahrzeug, bei dem nach dem Ein­ schalten der Spannungsversorgung und/oder nach einem Rück­ setzbefehl ein Hochlaufvorgang (Booten) ausgeführt wird.

Allgemein werden Rechner in Steuergeräten, beispielsweise Kraftfahrzeuginsassenschutzsystem-Steuergeräten wie etwa Air­ bag-Steuergeräten, mittels eines üblicherweise als Watch-Dog bezeichneten Überwachungszeitgebers überwacht. Der Überwa­ chungszeitgeber wird durch vom Steuerrechner erzeugte Signale wiederholt zurückgesetzt. Bleiben diese Überwachungszeitge­ ber-Rücksetzsignale aus, bedeutet dies eine Fehlfunktion des Steuerrechners. Der Überwachungszeitgeber läuft dann ab und erzeugt ein Ausgangssignal, das an einen Rücksetzeingang (Reset-Anschluß) des Steuerrechners angelegt wird und diesen rücksetzt. Damit beginnt der Steuerrechner erneut zu booten. In dieser Hochlaufphase werden die üblichen Boot-Vorgänge und damit auch die im Boot-Programm enthaltenen Tests ausgeführt. Diese Tests beinhalten bei Insassenschutzsystemen üblicher­ weise auch Crashsensor-Tests und Zündpillenschalter-Tests zur Überprüfung der korrekten Funktionsweise der Sensoren und Zündschaltungskomponenten des Kraftfahrzeug- Insassenschutz­ systems. Bei einem Hochfahren nach dem Einschalten der Zün­ dung, d. h. nach Beginn der Spannungszuführung ,zum Steuerrech­ ner, entsprechen diese Vorgänge dem planmäßigen Steuerablauf.

Wenn der Steuerrechner z. B. aufgrund eines Ansprechens des Überwachungszeitgebers oder durch sonstige intern oder extern generierte Rücksetzsignale rückgesetzt wird und sogleich au­ tomatisch wieder hochfährt, können solche Bootphasen ein­ schließlich der Tests auch während des laufenden Steuergerä­ tebetriebs, das heißt während des normalen Kraftfahrzeugbe­ triebs, auftreten, und ggf. während der Fahrt und möglicher­ weise momentan gerade geschlossenem Beschleunigungssensor und Safing-Sensor (Redundanzbeschleunigungssensor) ausgeführt werden. Hierdurch ergibt sich ein erhöhtes Risiko für Fehl­ funktionen. Der während der Hochlaufphase durchgeführte Sen­ sortest kann die Gefahr von unerwünschten Falschzündungen begründen. Ein weiteres Risiko besteht darin, daß eine solche Rücksetzung mit automatischem Wiederhochlauf möglicherweise während eines gerade laufenden Insassenschutzsystem-Aus­ lösevorgangs, das heißt während der Integrationsphase vor der Zündungsauslösung, ausgeführt wird, und damit eine ei­ gentlich erwünschte Schutzsystemauslösung unterbleibt oder zumindest stark verzögert wird. Es ist dann bei der späteren Unfallrekonstruktion nur noch mit hohen Schwierigkeiten, wenn überhaupt, zu klären, weshalb die ordnungsgemäße Auslösung unterblieben ist.

Aus der DE 195 03 312 A1 sind ein Verfahren gemäß dem Oberbe­ griff des Patentanspruchs 1 sowie ein Steuergerät gemäß dem Oberbegriff des Patentanspruchs 5 bekannt. Bei dem bekannten System sind ein Hauptrechner und mehrere Subrechner vorgese­ hen, die nach dem Einschalten der Versorgungsspannung, oder nach einem Rücksetzvorgang, mit einem Startprogramm geladen und hochgefahren werden.

Aus: TBM Technical Disclosure Bulletin, Vol. 32, Nr. 10B, März 1990, Seite 116, ist ein Verfahren zum Betreiben eines Steuerrechners bekannt, bei dem beim Hochfahren des Rechners ein Selbsttest ausgeführt wird. Der Rechner ist mit einem nichtflüchtigen Speicher versehen, in dem ein Bit gesetzt werden kann. Beim Hochfahren des Rechners wird überprüft, ob das Bit gesetzt ist oder nicht, wonach der Selbsttest ausge­ führt wird. Wenn das Bit gesetzt ist, wird der Rechner ange­ halten, wenn während des Selbsttests ein Fehler ermittelt wird. Falls das Bit nicht gesetzt ist, wird ein erfaßter Feh­ ler lediglich registriert, das Hochfahren des Rechners jedoch fortgesetzt. Das Bit kann durch den Hersteller oder eine War­ tungsperson gesetzt oder rückgesetzt werden.

Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren zu schaffen, mit dem sich der Betrieb des Steuerrechners besser überprüfen und gegebenenfalls verbessern läßt.

Diese Aufgabe wird mit den im Patentanspruch 1 genannten Maß­ nahmen gelöst.

Vorteilhafte Ausgestaltungen der Erfindung sind in den Un­ teransprüchen angegeben.

Weiterhin wird mit der Erfindung ein Steuergerät gemäß Pa­ tentanspruch 5 geschaffen, das nach dem erfindungsgemäßen Verfahren arbeitet.

Erfindungsgemäß wird beim Hochlaufen des Rechnergeräts nach dem Einschalten der Spannungsversorgung, zum Beispiel nach der Betätigung des Kraftfahrzeug-Zündschlosses, eine Kennung (Flag) gesetzt und in einem Register oder Speicher gespei­ chert. Beim normalen Ausschalten des Rechners, beispielsweise bei Ausschaltung der Kraftfahrzeugzündung, wird der Rechner herabgefahren und löscht hierbei die Kennung wieder. Dies kann dadurch erreicht werden, daß das beim normalen Herabfah­ ren des Rechners ablaufende Programm eine entsprechende Pro­ grammroutine enthält, die in dem die Kennung enthaltenden Speicherplatz eine logische Null einschreibt. Die Kennung wird somit während der Autarkiezeit des Rechners, während der die normalen Herabfahrschritte ausgeführt werden, rückge­ setzt. Bei einem erneuten Hochfahren (Booten) des Rechners wird vor der Ausführung des Kennungssetzschritts überprüft, ob die Kennung bereits gesetzt ist oder nicht. War der Rech­ ner zuvor ordnungsgemäß herabgefahren worden, ist die Kennung rückgesetzt worden, so daß der Kennungsprüfschritt ergibt, daß die Kennung rückgesetzt ist. Dies wird als Normalzustand eingestuft. Wenn jedoch das erneute Hochfahren des Rechners durch eine Rücksetzung ohne vorhergehendes Abschalten der Spannungsversorgung bzw. ohne ordnungsgemäßes Herabfahren des Rechners ausgelöst wurde, ist die Kennung nicht gelöscht. Bei dem Kennungsprüfschritt beim Hochfahren wird somit erkannt, daß das Hochfahren durch einen Fehlerzustand, das heißt eine Rücksetzung des Rechners aufgrund einer Störung (zum Beispiel eines Ansprechens des Überwachungszeitgebers) bedingt ist.

Anhand der Kennung kann somit ein unerwünschter Rücksetzvor­ gang des Steuerrechners erfaßt werden und eine entsprechende Fehlermeldung generiert werden.

Das Bootprogramm ist hierbei vorzugsweise derart ausgelegt, daß dann, wenn bei der Kennungsüberprüfung erkannt wird, daß die Kennung wider Erwarten gesetzt ist, ein während des nor­ malen Bootens (mit rückgesetzter Kennung) übersprungener Pro­ grammabschnitt ausgeführt wird, der das Überspringen einiger oder aller, während einer normalen Hochlaufphase ausgeführten Tests (Crashsensor-Test, Zündpillenschalter-Test usw.) be­ fiehlt und eine Fehlermeldung generiert. Dies bringt mehrere Vorteile. Zum einen kann der Bootvorgang schneller abge­ schlossen werden, das heißt der Steuerrechner ist schneller einsatzbereit und es ist das Risiko einer fehlerhaften Nicht­ zündung im Crashfall verringert. Zum anderen ist das Risiko von unerwünschten Fehlzündungen aufgrund der Ausführung der Hochlauf-Testvorgänge (zum Beispiel während der Fahrt) ver­ ringert. Zudem bietet die generierte Fehlermeldung einen Hin­ weis darauf, daß Störungen des Betriebs des Steuerrechners aufgetreten sind, so daß eine entsprechende Fehleranalyse eingeleitet werden kann.

Die Fehlermeldung kann sofort dauerhaft in einem nichtflüch­ tigen Speicher, zum Beispiel einem EEPROM, gespeichert wer­ den. In vorteilhafter Ausführung ist es aber auch möglich, den Steuerrechner mit einem Zähler (Hardwarezähler oder Soft­ warezähler) auszustatten, der bei jedem Auftreten einer Feh­ lermeldung um 1 hochgezählt wird. Der Zähler kann auf eine bestimmte Schwelle, zum Beispiel 5, eingestellt sein und gibt erst dann ein Ausgangssignal ab, wenn die Anzahl von Fehler­ meldungen den vorbestimmten Wert erreicht. Erst dieses Zäh­ lerausgangssignal wird dann als Fehlerinformation, das heißt als ein Hinweis auf eine vorbestimmte Anzahl von außerplanmä­ ßigen Rücksetzungen, dauerhaft gespeichert. Dieser Zähler bzw. die entsprechende Zählfunktion wird beim planmäßigen Herabfahren des Rechners nach einer Spannungsausschaltung oder (nach dem Wiedereinschalten des Rechners) während der normalen Hochlaufphase auf Null gesetzt. Durch diese Vorge­ hensweise läßt sich die Anzahl von Scheinfehlern verringern, da nicht jede Rücksetzung des Steuerrechners sofort zur Spei­ cherung einer Fehlermeldung führt, sondern Voraussetzung hierfür ein wiederholtes Auftreten von Rücksetzungen während des Einschaltzustands des Rechners ist. Rücksetzungen, die zum Beispiel aufgrund von externen, vorübergehenden Einflüs­ sen als isoliertes Vorkommnis bedingt sind, bewirken damit keine Fehlermeldungsspeicherung.

Die Kennung wird vorzugsweise in einem nichtflüchtigen Spei­ cher gespeichert. Dies hat den Vorteil, daß die Kennung auch dann gespeichert bleibt, wenn die Steuerrechner-Ver­ sorgungsspannung kurzzeitig fehlerhaft zusammenbrechen oder stark absinken sollte. Hierbei besteht die Gefahr, daß der in flüchtigen Speichern enthaltene Dateninhalt gelöscht wird. Durch die Speicherung der Kennung in einem nichtflüch­ tigen Speicher kann die Kennung jedoch zuverlässig beim Wie­ derhochfahren des Rechners abgefragt werden.

Die Erfindung wird nachstehend anhand eines in der einzigen Figur gezeigten Ausführungsbeispiels in Form eines Insassen­ schutzsystems näher erläutert.

Das in Fig. 1 gezeigte Insassenschutzsystem ist als Airbag-System ausgelegt und enthält ein Steuergerät 1, das einen Steuerrechner 2 aufweist. Der Steuerrechner 2 steht über ei­ nen Bus (Steuer-, Daten- und/oder Adressbus) 3 mit weiteren Komponenten des Steuergeräts 1, insbesondere einem nicht­ flüchtigen Speicher 4, vorzugsweise einem PROM, speziell EEPROM, und einem schematisch dargestellten, ein oder mehrere Zündpillen des Airbagsystems ansteuernden Zündkreis 5 in Ver­ bindung. Mit dem Steuerrechner 2 sind ferner Sensoren 6 ver­ bunden, die als Unfallsensoren dienen und beispielsweise bei Überschreiten bestimmter Verzögerungsgrenzwerte ansprechen. Die Stromversorgung des Steuergeräts 1 erfolgt über eine Gleichspannungsversorgungsleitung 7, die mit der Kraftfahr­ zeugbatterie oder einer durch diese gespeisten Konstantspan­ nungsquelle verbunden ist.

Beim Einschalten der Gleichspannung auf der Gleichspannungs­ leitung 7 führt der Steuerrechner 2 den üblichen Hochfahrvor­ gang (Booten) aus und fragt hierbei eine im Speicher 4 ge­ speicherte Kennung ab. Wenn die Kennung rückgesetzt ist, wird der Bootvorgang in normaler Weise fortgesetzt und es werden die vorgegebenen Testvorgänge ausgeführt und die Kennung ge­ setzt. Wenn die Kennung jedoch beim Kennungsprüfschritt be­ reits gesetzt sein sollte, überspringt das Bootprogramm die Testvorgänge und erzeugt eine Fehlermeldung. Diese kann ent­ weder sofort ausgegeben werden oder zunächst in einer Zähl­ schleife gezählt werden. Die Zählschleife ist auf einen be­ stimmten Vergleichsschwellwert eingestellt. Wenn die Anzahl von Fehlermeldungen den vorgegebenen Vergleichsschwellwert erreicht, erzeugt der Steuerrechner 2 eine Fehlermeldung, die im Speicher 4 dauerhaft gespeichert wird. Der jeweilige Zähl­ stand der Zählschleife kann in einem internen Speicher des Steuerrechners 2 gespeichert werden, kann jedoch aus Sicher­ heitsgründen auch in einem nicht flüchtigen Speicher, bei­ spielsweise im Speicher 4, gespeichert werden.

Beim normalen Herabfahren des Steuerrechners 2 nach Erhalt eines Ausschaltbefehls wird die Kennung zurückgesetzt. Wei­ terhin kann hierbei auch der Zählstand der Zählfunktion auf Null gesetzt werden. Der jeweilige Zählstand der Zählfunktion kann auch dauerhaft in einem nichtflüchtigen Speicher gespei­ chert bleiben, so daß ein Langzeitgedächtniseffekt erzielt wird.

Die Erfindung ist auch bei anders gearteten Kraftfahrzeug-In­ sassenschutzsystemen oder auch allgemein bei anderen Steu­ ersystemen einsetzbar.

Claims (7)

1. Verfahren zum Betreiben eines Steuerrechners (2), insbeson­ dere eines Insassenschutzsystem-Steuergeräts (1) in einem Kraftfahrzeug, bei dem nach dem Einschalten der Steuerrech­ ner-Spannungsversorgung oder nach einem Rücksetzbefehl ein Hochlaufvorgang ausgeführt wird, dadurch gekennzeichnet, daß bei dem Hochlaufvorgang eine Kennung überprüft und, wenn sie nicht gesetzt ist, gesetzt wird, daß dann, wenn bei der Ken­ nungsüberprüfung bei dem Hochlaufvorgang erkannt wird, daß die Kennung bereits gesetzt ist, eine Fehlermeldung generiert wird, und daß die Kennung bei dem Herabfahren des Steuerrech­ ners wieder rückgesetzt wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß dann, wenn bei dem Hochlaufvorgang erkannt wird, daß die Ken­ nung bereits gesetzt ist, ein Teil der Programmroutinen des Hochlaufvorgangs, insbesondere Testroutinen zum Testen von Sensoren (6) und/oder von Zündpillenschaltern, übersprungen werden.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die Kennung in einem nichtflüchtigen Speicher (4), insbe­ sondere in einem EEPROM, gespeichert wird.

4. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Anzahl von Fehlermeldungen gezählt wird und eine Fehlerinformation in einem Register oder Spei­ cher erst bei Erreichen eines vorgegebenen Zählwerts dauerhaft gespeichert wird.

5. Steuergerät, insbesondere Insassenschutzsystem, mit einem Steuerrechner (2), der beim Einschalten der Spannungsversor­ gung und/oder nach einer Rücksetzung einen Hochlaufvorgang ausführt, dadurch gekennzeichnet, daß ein Kennungsspeicher (4) vorhanden ist, in dem beim Hochlaufen eine Kennung gesetzt wird, die beim Herabfahren des Steuerrechners (2) wieder rück­ gesetzt wird, und daß der Steuerrechner (2) beim Hochfahren des Steuerrechners (2) den Zustand der Kennung vor dem Ken­ nungssetzschritt überprüft und dann, wenn die Kennung bereits gesetzt ist, eine Fehlermeldung generiert.

6. Steuergerät nach Anspruch 5, dadurch gekennzeichnet, daß der Kennungsspeicher (4) ein nichtflüchtiger Speicher ist.

7. Steuergerät nach Anspruch 5 oder 6, gekennzeichnet durch einen Zähler, der die Anzahl von Fehlermeldungen zählt und bei Erreichen eines vorbestimmten Zählwerts ein Ausgangssignal erzeugt, das die Registrierung einer Fehlerinformation be­ wirkt.