DE3139067A1

DE3139067A1 - Elektrische einrichtung zum ausloesen von schaltfunktionen in kraftfahrzeugen

Info

Publication number: DE3139067A1
Application number: DE19813139067
Authority: DE
Inventors: Axel Dipl.-Ing. 8011 Baldham Deicke
Original assignee: Bayerische Motoren Werke AG
Current assignee: Bayerische Motoren Werke AG
Priority date: 1981-10-01
Filing date: 1981-10-01
Publication date: 1983-04-21
Anticipated expiration: 2001-10-02
Also published as: IT8223533A0; US4465942A; FR2513948B1; JPS5870307A; FR2513948A1; GB2107138B; DE3139067C2; GB2107138A; IT1152846B

Description

Elektrische Einrichtung zum Auslösen von Schaltfunktionen in Kraftfahrzeugen

Beschreibung:

Die Erfindung bezieht sich auf eine elektrische Einrichtung zum Auslösen von Schaltfunktionen in Kraftfahrzeugen mit einer Zentraleinheit, die aus verschiedenen Eingangssignalen mehrere Ausgangssignale zum Schalten von Lastschaltern erzeugt, und mit einer Redundanzeinheit.

Derartige Einrichtungen gewinnen aufgrund der zunehmenden Verwendung von Mikroprozessoren auch in Kraftfahrzeugen zunehmend an Bedeutung. Dabei tritt jedoch verstärkt das Problem auf, daß bei einem Ausfall der in der Regel Mikroprozessoren enthaltenden Zentraleinheit die Schaltfunktionen nicht mehr ausgelöst werden können und das Kraftfahrzeug nicht mehr benutzt werden kann. Es ist zwar möglich, für diesen Fall eine Redundanzeinheit vorzusehen, die alle Eingangssignale parallel zur eigentlichen Zentraleinheit in der gleichen Weise verarbeitet und im Bedarfsfall deren Funktion übernimmt. Neben dem erheblichen Aufwand bedarf es dabei jedoch einer Kontrolleinheit, die aus den Ausgangssignalen von Zentral- und Redündanzeinheit das "richtige" Ausgangssignal auswählt.

Es ist ferner bekannt (Zeitschrift "Elektronik" 5/1981, Seite 62), eine Funktionsüberwachung durch einen Redundanztest vorzunehmen. Dabei werden bei zwei gleichen

Bauteilen alle Anschlüsse direkt miteinander verbunden, und ein Master-Checker-Betrieb durchgeführt. Sobald die beiden Bausteine nicht übereinstimmen, wird der Master durch den Checker augenblicklich blockiert und ein Fehlersignal erzeugt. Damit kommt es auch hier zu einem unerwünschten Ausfall der gesamten Zentraleinheit.

Ferner ist es aus der "Einführung in die Mikroprozessortechnik", Texas Instruments 1977, Kapitel 14, bekannt, sämtliche Schaltfunktionen eines Kraftfahrzeugs in mehrere Bereiche mit jeweils einer Zentraleinheit einzuteilen. Sofern eine Zentraleinheit ausfällt, kann mit Hilfe einer zusätzlichen Steuereinheit die Zentraleinheit eines anderen Bereichs veranlaßt werden, zumindest Grund-Schaltfunktionen des ausgefallenen Bereichs durchzuführen. Auch bei dieser Einrichtung ist der Schaltungsaufwand groß.

Der Erfindung liegt die Aufgabe zugrunde, eine Einrich-' tung der eingangs genannten Art zu schaffen, bei der mit relativ geringem Schaltungsaufwand ein Totalausfall der Zentraleinheit vermieden werden kann.

Die Erfindung löst diese Aufgabe dadurch, daß die Ein- bzw. Ausgangssignale in Gruppen von untereinander ähnlichen Schaltfunktionen zusammengefaßt sind, und daß die Redundanzeinheit für jede Gruppe ein Ausgangssignal für die Schaltfunktionen bereitstellt, die im Vergleich mit den Schaltfunktionen dieser Gruppe die größte Priorität besitzt.

Die Redundanzeinheit ermöglicht bei einem Fehler der Zentraleinheit, die Grund-Schaltfunktion der jeweiligen Gruppe auszuführen. Damit ist zumindest ein eingeschränkter Betrieb des Kraftfahrzeugs möglich. Der für die Redundanzeinheit notwendige Schaltungsaufwand ist gering, da die Redundanzeinheit für jede Gruppe von

- t -6-

Schaltfunktionen lediglich das Ausgangssignal für eine einzige Schaltfunktion bereitstellt und zum Ansteuern der Redundanzeinheit lediglich eine Fehlererkennung oder eine Eingangssignaldekodierung der Zentraleinheit erforderlich ist.

Besonders vorteilhafte Ausgestaltungen der Erfindung ergeben sich aus den Ansprüchen 2 bis 8.

Nach Anspruch 2 stellt die Redundanzeinheit ihr Ausgangssignal immer bereit, wenn ein beliebiges Eingangssignal der jeweiligen Gruppe vorliegt. Im Gegensatz dazu arbeitet die Redundanzeinheit nach Anspruch 3 nur dann, wenn die Zentraleinheit bei ordnungsgemäßem Betrieb die Schaltfunktion mit der größten Priorität der jeweiligen Gruppe auslöst.

In letzerem Falle ist es nach Anspruch 4 möglich, dieses " Ausgangssignal der Redundanzeinheit stets zum Lastschalter freizugeben. Bei ordnungsgemäßem Betrieb der Zentraleinheit wird die Schaltfunktion damit doppelt ausgelöst. Da, wie ausgeführt, die Redundanzeinheit aufgrund ihrer geringeren Komplexität eine hohe Zuverlässigkeit besitzt, ist es dabei sogar möglich, das zugehörige Eingangssignal lediglich der Redundanzeinheit zuzuführen und damit die Zentraleinheit zu entlasten. Bei einer derartigen verteilten Logik übernimmt die Zentraleinheit nur Teilaufgaben. Die Verarbeitung der wichtigsten Schaltfunktionen jeder Gruppe kann mit Hilfe der Redundanzeinheit auch hardwaremäßig erfolgen. Auch hier kann ein Ausfall der Zentraleinheit zu einem nur teilweise eingeschränkten Betrieb des Kraftfahrzeugs führen.

Natürlich ist es auch möglich, das Ausgangssignal der Redundanzeinheit nur freizugeben, wenn die Zentraleinheit fehlerhaft arbeitet. Hierfür bieten sich verschiedene Möglichkeiten an.

Auf besonders einfache Weise kann diese Freigabe mit Hilfe einer Torschaltung für das Ausgangssignal der Redundanzeinheit erfolgen, die durch die Zentraleinheit in den geöffneten Zustand gesteuert wird. Dies setzt voraus, daß eine fehlerhafte Betriebsweise der Zentraleinheit erkannt wird.

Eine einfache Möglichkeit hierfür besteht in einer Rückkopplung zumindest des Ausgangs der Zentraleinheit, der die Schaltfunktion mit der größten Priorität auslöst.

Alternativ dazu kann die Zentraleinheit auch ein zusätzliches Ausgangssignal liefern, das sich bei fehlerhafter Arbeitsweise ändert.

In der Zeichnung sind Ausführungsbeispiele der Erfindung dargestellt. Diese zeigt verschiedene elektrische Einrichtungen zum Auslösen von Schaltfunktionen in Kraftfahrzeugen mit einer Zentraleinheit und einer Redundanzeinheit. Dabei kann

nach Fig. 1 eine Grund-Schaltfunktion bei jedem Ausfall

der Zentraleinheit ausgelöst werden, nach Fig. 2 die Grund-Funktion nur bei fehlerhafter . . Arbeitsweise der

Zentraleinheit ausgelöst werden,

nach Fig. 3 alternativ zur Fig. 2 diese Grund-Schaltfunktion unabhängig von einem Ausfall der Zentraleinheit erzeugt werden,

nach Fig. 4 diese Schaltfunktion stets'nur durch die Redundanzeinheit ausgelöst werden, und nach Fig. 5 eine zur Fig. 2 alternative Fehlererkennung

durchgeführt werden.

Die in Fig. 1 gezeigte elektrische Einrichtung zum Auslösen von Schaltfunktionen in Kraftfahrzeugen enthält eine Zentraleinheit 1 in Form eines Mikroprozessors, dem über eine Eingangsleitung 2 codierte Eingangssignale zugeführt werden. Über eine Ausgangsleitung 3

werden die in der Zentraleinheit 1 entsprechend den Eingangssignalen aufbereiteten Ausgangssignale ebenfalls codiert oder über mehrere parallele Ausgangsleitungen (nicht dargestellt) jeweils ein Ausgangssignal ausgegeben. Die Ausgangssignale werden einem schematisch als Transistor dargestellten Lastschalter zugeführt. Eine weitere Ausgangsleitung 5 der Zentraleinheit führt einerseits über einen Reset-Generator 6 zurück zur Zentraleinheit, und andererseits zu einer Redundanzeinheit 7, deren Ausgang 8 an der Ausgangsleitung 3 angeschlossen ist.

Mit Hilfe dieser Schaltung ist es möglich, bei einem Ausfall der Zentraleinheit 1 aus einer Gruppe von Schaltfunktionen die Schaltfunktion mit der höchsten Priorität, das heißt die Grund-Schaltfunktion, auszulösen.

Liegt an der Eingangsleitung ein Eingangssignal an, so wird über eine Power-Hold-Schaltung 9 die Zentraleinheit eingeschaltet. Über die Ausgangsleitung 5 wird der Reset-Generator 6 angesteuert, der den Mikroprozessor der Zentraleinheit 1 definiert zurücksetzt . Die Zentraleinheit liefert nunmehr aufgrund einer besonderen Programmierung ein Rechtecksignal ebenfalls über die Ausgangsleitung 5 an die Redundanzeinheit 7, solange die Zentraleinheit arbeitet. Gleichzeitig wird bei fehlerfreiem Betrieb der Zentraleinheit das jeweilige Ausgangssignal an den bzw. die Lastschalter weitergegeben.

Bei einem Ausfall der Zentraleinheit 1 wird das Rechtecksignal für die Ausgangsleitung 5 ebenfalls unterbrochen.

Damit wird die durch das Rechtecksignal bewirkte Blockierung der Redundanzeinheit 7 aufgehoben. Diese schaltet nunmehr anstelle der Zentraleinheit 1 den zur Schaltfunktion mit höchster Priorität gehörenden Lastschalter 4 ein. Diese Einschaltung erfolgt somit unabhängig von dem jeweiligen Eingangssignal der Zentraleinheit 1.

Auf diese Weise kann beispielsweise für die Gruppe von Beleuchtungs-Schaltfunktionen die wichtigste Schaltfunktion, hier das Abblendlicht und das Standlicht, bei einem Ausfall der Zentraleinheit eingeschaltet werden.

Diese Funktion , ,wird bei Ausfall der Zentraleinheit unabhängig davon eingeschaltet, ob das Eingangssignal tatsächlich das für diese Grundfunktion ist. Voraussetzung hierfür ist lediglich, daß ein Eingangssignal aus der Gruppe der Beleuchtungs-Schaltfunktionen am Eingang der Zentraleinheit 1 vorliegt.

Die Einrichtung von Fig. 2 entspricht weitgehend der von Fig. 1. Dabei sind gleiche Teile mit gleichen Bezugszeichen versehen. Im Gegensatz zu Fig. 1 erfolgt nunmehr die Auslösung der Grund-Schaltfunktion bei einem Ausfall der Zentraleinheit nur dann, wenn am Eingang der Zentraleinheit tatsächlich das zu dieser Schaltfunktion gehörende Eingangssignal vorliegt. Hierzu ist zusätzlich ein Decoder 10 vorgesehen, der durch d.io Power-Hold--fichn.1 tung 9 eingeschaltet wird und dem ebenfalls wie? der Zentraleinheit 1 die Eingangssignale zugeführt werden.

Der Decoder steuert nur bei Vorliegen des Eingangssignals mit höchster Priorität eine Torschaltung 11 in Form eines UND-Gatters durch, auf die der Ausgang 8 der Redundanzeinheit 7 geführt ist.

Liegt dieses Eingangssignal vor, so ermöglicht die Torschaltung 11, daß die Redundanzeinheit 7 den Lastschalter 4 für diese Schaltfunktion bei einem Ausfall der Zentraleinheit einschaltet. Liegen hingegen die Eingangssignale für die übrigen Schaltfunktionen vor, so kann lediglich die Zentraleinheit die zugehörigen Lastschalter schalten. Zeigt die Zentraleinheit einen Fehler, so kann diese Schaltfunktion möglicherweise nicht ausgelöst

werden. Mit Sicherheit erfolgt diese Auslösung nicht - durch die Redundanzeinheit 7, da die Torschaltung 11 blockiert ist.

Diese dargestellte Einrichtung ist sinnvoll bei einer weiteren Gruppe von Schaltfunktionen, wie sie beispielsweise durch die Wisch-Wasch-Funktionen eines Kraftfahrzeugs gegeben ist. Die Grundfunktion ist dabei der Scheibenwischerbetrieb in Stufe 1. Dieser Betrieb wird bei Vorliegen des zugehörigen Eingangssignals durch die Zentraleinheit 1 oder bei einem Ausfall der Zentraleinheit nur durch die Redundanzeinheit 7 ausgelöst. Bei Vorliegen der Eingangssignale für die übrigen Schaltfunktionen dieser Gruppe, wie beispielsweise Waschen mit nachfolgendem Trockenwischen oder Intervallwischen mit oder ohne Einblendung von Waschimpulsen erfolgt die Einschaltung der zugehörigen Lastschalter nur mit Hilfe der Zentraleinheit 1. Sofern diese fehlerhaft arbeitet, erfolgt die Auslösung dieser Schaltfunktionen geringerer Bedeutung nicht.

Die Einrichtung von Fig. 2 kann nun entsprechend Fig. auf eine Parallelverarbeitung der Eingangssignale für die Grundfuriktion erweitert werden. Hierbei sind ebenfalls wieder die Teile gleicher Funktion mit den gleichen Bezugszeichen versehen·. Fig. \3 unterscheidet sich gegenüber Fig. 2 darin, daß die Jledundanzeinheit 7 und die Torschaltung 11 weggelassen sind. Die Funktion der Redundanzeinheit wird allein durch den Decoder 10 wahrgenommen, dessen Ausgangssignal direkt auf die Ausgangsleitung 3 zum Lastschalter für die Schaltfunktion mit der größten Priorität geführt ist. Das Auslösen dieser Schaltfunktion erfolgt somit bei fehlerfreiem Betrieb der Zentraleinheit 1 sowohl durch diese als auch durch den Decoder 10, während bei einem Fehler der Zentraleinheit 1 nur der Decoder 10 diese Schaltfunktion ermöglicht. Die Einrichtung nach Fig. 3 besitzt dieselbe Zuverlässigkeit wie die Einrichtung nach Fig. 2, wobei jedoch der Aufwand erheblich verringert ist.

Eine weitere Verringerung des Aufwands läßt sich bei der Einrichtung nach Fig. 4 erzielen. Darin werden der Zentraleinheit 1 die Eingangssignale für alle Schaltfunktionen einer Gruppe mit Ausnahme des Eingangssignals für die Schaltfunktion mit höchster Priorität zugeführt. Das letztere Eingangssignal wird ausschließlich mit Hilfe des Decoders 10 zum Auslösen dieser Grund-Schaltfunktion verwendet·. Die Zentraleinheit 1 übernimmt damit nur Teilaufgaben-. Ihr Ausfall ist insoweit unschädlich, als TO die Grund-Schaltfunktion in jedem Fall mit Hilfe des Decoders 10 erzeugt werden kann.

Die Einrichtung nach Fig. 5 entspricht in ihrem Aufbau weitgehend der nach Fig. 2. Lediglich hinsichtlich der Ansteuerung der Torschaltung 11 ist eine Änderung vorgenommen. Diese besteht darin, daß die Zentraleinheit 1 direkt an der Torschaltungi1 angeschlossen ist. Zur Kontrolle der Zentraleinheit ist das Ausgangssignal für die Schaltfunktionen mit der höchsten Priorität auf den Eingang der Zentraleinheit 1 rückgekoppelt. Sofern innerhalb der Zentraleinheit ein Fehler bei der Bearbeitung des zugehörigen Eingangssignals auftritt, wird die Torschaltung 11 durch die Zentraleinheit 1 geöffnet und die Schaltfunktion mit der höchsten Priorität durch den Decoder 10 ausgelöst.

Anhand der Figuren 1 bis 5 ist ohne weiteres zu erkennen, daß mit geringem Aufwand die wichtigsten Schaltfunktionen aus jeweils einer Gruppe von Schaltfunktionen bei einem Ausfall der Zentraleinheit ausgelöst werden können. Dabei ist bzw. wird das Ausgangssignal für diese Schaltfunktion bei den Figuren 1, 2 und 5 zwar bereitgestellt, je-' doch erst dann ausgelöst, wenn die Zentraleinheit fehlerhaft arbeitet. Bei der Fig. 3 hingegen wird dieses Aus- gangssignal auch dann freigegeben, wenn die Zentraleinheit 1 fehlerfrei arbeitet. Bei Fig. 4 schließlich ist mit verteilter Logik ebenfalls gewährleistet, daß trotz

1 eines Fehlers der Zentraleinheit die Schaltfunktion mit der größten Priorität ausgelöst werden kann.

Claims

■ · β · C

Patentansprüche:

Elektrische Einrichtung zum Auslösen von Schaltfunktionen in Kraftfahrzeugen mit einer Zentraleinheit, die aus verschiedenen Eingangssignalen

.=.:=. mehrere Ausgangssignale zum Schalten von Lastschaltern erzeugt, und mit einer Redundanzeinheit, dadurch gekennzeichnet, daß die Ein- bzw. Ausgangssignale in Gruppen Von untereinander ähnlichen Schaltfunktionen zusammengefaßt sind, und daß die Redundanzeinheit (7, 10) für jede Gruppe ein Ausgangssignal für die Schaltfunktion· bereitstellt, die im Vergleich mit den Schaltfunktionen dieser Gruppe die größte Priorität besitzt.
2. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Redundanzeinheit (10) das Ausgangssignal stets bereitstellt, wenn an der Zentraleinheit ein beliebiges Eingangssignal der jeweiligen Gruppe anliegt.
3. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Redundanzeinheit (7, 10) das Ausgangssignal nur bereitstellt, wenn an der Zentraleinheit

(1) das zugehörige Eingangssignal anliegt.

jr
4. Einrichtung nach Anspruch 3, dadurch gekennzeichnet, daß das Ausgangssignal der Redundanzeinheit (10) stets zum Lastschalter freigegeben wird.
5. Einrichtung nach einem der Ansprüche 2 oder 3, dadurch gekennzeichnet, daß das Ausgangssignal der Redundanζeinheit (7, 10) nur freigegeben wird, wenn die Zentraleinheit (1) fehlerhaft arbeitet.
6. Einrichtung nach Anspruch 5, dadurch gekennzeichnet, daß die Zentraleinheit (1) eine Torschaltung (11) für das Ausgangssignal· der Redundanzeinheit (7, 10) in den geöffneten Zustand steuert.
7. Einrichtung nach Anspruch 5 oder 6, dadurch gekennzeichnet, daß zur Überprüfung der Zentraieinheit (1) zumindest der Ausgang für das zur Schaitfunktion mit der größeren Priorität gehörende Ausgangssignal auf den Eingang der Zentraleinheit (1) rückgekoppelt ist.
8. Einrichtung nach Anspruch 5 oder 6, dadurch gekennzeichnet, daß die Zentraieinheit (1) ein zusätziiches Ausgangssignal liefert, das sich bei fehlerhafter Arbeitsweise der Zentraleinheit ändert.