DE3139067C2

DE3139067C2 - Elektrische Einrichtung zum Auslösen von Schaltfunktionen in Kraftfahrzeugen

Info

Publication number: DE3139067C2
Application number: DE3139067A
Authority: DE
Inventors: Axel Dipl.-Ing. 8011 Baldham Deicke
Original assignee: Bayerische Motoren Werke AG
Current assignee: Bayerische Motoren Werke AG
Priority date: 1981-10-01
Filing date: 1981-10-01
Publication date: 1990-10-25
Anticipated expiration: 2001-10-02
Also published as: FR2513948A1; FR2513948B1; JPS5870307A; GB2107138A; IT8223533A0; IT1152846B; GB2107138B; DE3139067A1; US4465942A

Description

50

Die Erfindung bezieht sich auf eine elektrische Einrichtung zum Auslösen von Schaltfunktionen in Kraftfahrzeugen mit einer Zentraleinheit, die aus Eingangssignalen zugeordnete Ausgangssignale zum Schalten von Lastschaltern erzeugt, und mit einer Redundanzeinheit.

Derartige Einrichtungen gewinnen aufgrund der zunehmenden Verwendung von Mikroprozessoren auch in Kraftfahrzeugen zunehmend an Bedeutung. Dabei tritt jedoch verstärkt das Problem auf, daß bei einem Ausfall der in der Regel Mikroprozessoren enthaltenden Zentraleinheit die Schältfünktiönen nicht mehr ausgelöst werden können und das Kraftfahrzeug nicht mehr benutzt-werden kann. Es ist zwar möglich, für diesen Fall eine Redundanzeinheit vorzusehen, die alle Eingangssignale parallel zur eigentlichen Zentraleinheit in der gleichen Weise verarbeitet und im Bedarfsfall deren Funktion übernimmt. Neben dem erheblichen Aufwand bedarf es dabei jedoch einer Kontrolleinheit, die aus den Ausgangssignalen von Zentral- und Redundanzeinheit das »richtige« Ausgangssignal auswählt.

Es ist ferner bekannt (Zeitschrift »Elektronik« 5/1981, Seite 62), eine Funktionsüberwachung durch einen Redundanztest vorzunehmen. Dabei werden bei zwei gleichen Bauteilen alle Anschlüsse direkt miteinander verbunden, und ein Master-Checker-Betrieb durchgeführt Sobald die beiden Bausteine nicht übereinstimmen, wird der Master durch den Checker augenblicklich blockiert und ein Fehlersignal erzeugt Damit kommt es auch hier zu einem unerwünschten Ausfall der gesamten Zentraleinheit

Ferner ist es aus der »Einführung in die Mikroprozessortechnik«, Texas Instruments 1977, Kapitel 14, bekannt, sämtliche Schaltfunkäonen eines Kraftfahrzeugs ic, mehrere Bereiche mit jeweils einer Zentraleinheit einzuteilen. Sofern eine Zentraleinheit ausfällt, kann mit Hilfe einer zusätzlichen Steuereinheit die Zentraleinheit eines anderen Bereichs veranlaßt werden, zumindest Grund-Schaltfunktionen des ausgefallenen Bereichs durchzuführen. Auch bei dieser Einrichtung ist der Schaltungsaufwand groß.

Der Erfindung liegt die Aufgabe zugrunde, eine Einrichtung der eingangs genannten Art zu schaffen, bei der mit relativ geringem Schaltungsaufwand ein Totalausfall der über die Zentraleinheit gesteuerten Schaltfunktionen vermieden werden kann.

Die Erfindung löst diese Aufgabe dadurch, daß Gruppen von untereinander ähnlichen Schaltfunktionen gebildet sind, und daß durch die Redundanzeinheit für jede Gruppe ein Ausgangssignal für die Schaltfunktion, die in dieser Gruppe die größte Priorität besitzt, an den Lastschalter anlegbar ist

Die Redundanzeinheit ermöglicht bei einem Fehler der Zentraleinheit, die Grund-Schaltfunktion der jeweiligen Gruppe auszuführen. Damit ist zumindest ein eingeschränkter Betrieb des Kraftfahrzeugs möglich. Der für die Redundanzeinheit notwendige Schaltungsaufwand ist gering, da die Redundanzeinheit für jede Gruppe von Schaltfunktionen lediglich das Ausgangssignal für eine einzige Schaltfunktion bereitstellt und zum Ansteuern der Redundanzeinheit lediglich eine Fehlererkennung oder eine Dekodierung des Eingangssignals der Zentraleinheit erforderlich ist.

Besonders vorteilhafte Ausgestaltungen der Erfindung ergeben sich aus den Ansprüchen 2 bis 8.

Nach Anspruch 2 stellt die Redundanzeinheit ihr Ausgangssigna] isnmer bereit, wenn ein beliebiges Eingangssignal der jeweiligen Gruppe vorliegt. Im Gegensatz dazu arbeitet die Redundanzeinheit nach Anspruch 3 nur dann, wenn die Zentraleinheit bei ordnungsgemäßem Betrieb die Schaltfunktionen mit der größten Priorität der jeweiligen Gruppe auslöst.

In letzterem Fall ist es nach Anspruch 4 möglich, dieses Ausgangssignal der Redundanzeinheit stets freizugeben. Bei ordnungsgemäßem Betrieb der Zentraleinheit wird die Schaltfunktion damit doppelt ausgelöst. Da, wie ausgeführt, die Redundanzeinheit aufgrund ihrer geringeren Komplexität eine hohe Zuverlässigkeit besitzt, ist es dabei sogar möglich, das zugehörige Eingangssignal lediglich der Redundanzeinheit zuzuführen und damit die Zentraleinheit zu entlasten. Bei einer derartigen verteilten Logik übernimmt die Zentraleinheit nur Teilaufgaben. Die Verarbeitung der wichtigsten Schaltfunktionen jeder Gruppe kann mit Hilfe der Redundanzeinheit auch hardware-mäßie erfoleen. Auch

hier kann ein Ausfall der Zentraleinheit zu einem nur teilweise eingeschränkten Betrieb des Kraftfahrzeugs führen.

Natürlich ist es auch möglich, das Ausgangssignal der Redundanzeinheit nur freizugeben, wenn die Zentraleinheit fehlerhaft arbeitet. Hierfür bieten sich verschiedene Möglichkeiten an.

Auf besonders einfache Weise kann diese Freigabe mit Hilfe einer Torschaltung für das Ausgangssignal der Redundanzeinheit erfolgen, die durch die Zentraleinheit '° in den geöffneten Zustand gesteuert wird. Dies setzt voraus, daß eine fehlerhafte Betriebsweise der Zentraleinheit erkannt wird. :

Eine einfache Möglichkeit hierfür besteht in einer Rückkopplung zumindest des Ausgangs der Zentralein- '⁵ heit, der die Schaltfunktion mit der größten Priorität auslöst

Alternativ dazu kann die Zentraleinheit auch ein zusätzliches Ausgangssignal liefern, das sich bei fehlerhafter Arbeitsweise ändert.

In der Zeichnung sind Ausführungsbeispiele der Erfindung dargestellt Diese zeigt verschiedene elektrische Einrichtungen zum Auslösen von Schaltf-inktionen in Kraftfahrzeugen mit einer Zentraleinheit und einer Redundanzeinheit Dabei kann

nach F i g. 1 eine Grund-Schaltfunktion bei jedem Ausfall der Zentraleinheit ausgelöst werden,

nach Fig.2 die Grund-Schaltfunktion nur bei fehlerhafter Arbeitsweise der Zentraleinheit ausgelöst werden,

nach F i g. 3 alternativ zur F i g. 2 diese Gruna-Schaltfunktion unabhängig von einem Ausfall der Zentraleinheit erzeugt werden,

nach Fig.4 diese Grund-Schaltfunktion stets nur durch die Redundanzeinheit ausgelöst werden, und

nach Fig.5 eine zur Fig.2 alternative Fehlererkennung durchgeführt werden.

Die in F i g. 1 gezeigte elektrische Einrichtung zum Auslösen von Schaltfunktionen in Kraftfahrzeugen enthält eine Zentraleinheit 1 in Form eines Mikropro- *o zessors, dem über eine Eingangsleitung 2 codierte Eingangssignale zugeführt werden. Über eine Ausgangsleitung 3 werden die in der Zentraleinheit 1 entsprechend den Eingangssignalen aufbereiteten Ausgangssignale ebenfalls in codierter Form oder über « mehrere parallele Ausgangsleitungen (nicht dargestellt) jeweils ein entsprechendes Ausgangssignal ausgegeben. Die Ausgangssignale werden einem schematisch als Transistor dargestellten Lastschalter 4 zugeführt. Eine weitere Ausgangsleitung 5 der Zentraleinheit 1 führt einerseits über einen Reset-Generator 6 zurück zur Zentraleinheit 1, und andererseits zu einer aus einer Fehlererkennungsschaltung 7 bestehenden Redundanzeinheit, deren Ausgang 8 an der Ausgangsleitung 3 angeschlossen ist

Mit Hilfe dieser Schaltung ist es möglich, bei einem Ausfall der Zentraleinheit 1 aus einer Gruppe von Schaltfunktionen die Schaltfunktion mit der höchsten Priorität, das heißt die Grund-Schsltfunktion, auszulösen. Liegt an der Eingangsleitung 2 ein Fingangssignal an, so wird über eine Power-Hold-Schaltung 9 die Zentraleinheit 1 eingeschaltet. Über die weitere Ausgangsleitung 5 wird der Reset-Generator 6 angesteuert, der die Zentraleinheit 1 definiert zurücksetzt. Die Zentraleinheit 1 liefert nunmehr aufgrund einer besonderen Programmierung ein Rechtecksignul ebenfalls über die weitere Ausgangsleitung 5 an die Fehlererkennungsschaltung 7, solange die Zentraleinheit 1 arbeitet Gleichzeitig wird bei fehlerfreiem Betrieb der Zentraleinheit 1 das jeweilige Ausgangssignal an den bzw. die Lastschalter 4 weitergegeben.

..Bei-./.einem Ausfall der Zentraleinheit 1 wird düs Rechtecksignal für die weitere Ausgangsleitung 5 ebenfalls unterbrochen. Damit wird die durch das Rechtecksignal bewirkte Blockierung der Redundanzeinheit 7 aufgehoben. Diese schaltet nunmehr anstelle der Zentraleinheit 1 den zur Schaltfunktion mit höchster Priorität gehörenden Lastschalter 4 ein. Diese Einschaltung erfolgt somit unabhängig von dem jeweiligen Eingangssignal der Zentraleinheit 1.

Auf diese Weise kann beispielsweise für die Gruppe von Beleuchtungs-Schaltfiinktionen die wichtigste Schaltfunktion, hier das Abblendlicht und das Standlicht, bei einem Ausfall der Zentraleinheit 1 eingeschaltet werden. Diese Funktion wird bei Ausfall der Zentraleinheit 1 unabhängig davon eingeschaltet, ob das Eingangssignal tatsächlich das für diese Grundfunktion ist Voraussetzung hierfür ist lediglich, daß ein Eingangssignal aus der Gruppe der Beleuchtungs-Schaltfunktionen am Eingang dei Zentraleinheit 1 vorliegt

Die Einrichtung von F i g. 2 entspricht weitgehend der von F i g. 1. Im Gegensatz zu F i g. 1 erfolgt nunmehr die Auslösung der Grund-Schaltfunktion bei einem Ausfall der Zesiiraleinheit 1 nur dann, wenn am Eingang der Zentraleinheit 1 tatsächlich das zu dieser Schaltfunktion gehörende Eingangssignal vorliegt Hierzu ist zusätzlich ein Decoder 10 vorgesehen, der durch die Power-Hold-Schaltung 9 eingeschaltet wird und dem ebenfalls wie der Zentraleinheit 1 die Eingangssignale zugeführt werden.

Der Decoder 10 steuert nur bei Vorliegen des Eingangssignals mit höchster Priorität eine Torschaltung 11 in Form eines UND-Gatters durch, auf die der Ausgang 8 der Fehlererkennungsschaltung 7 geführt ist Liegt dieses Eingangssignal vor, so ermöglicht die Torschaltung 11, daß die Fehlererkennungsschaltung 7 den Lastschalter 4 für diese Schaltfunktion bei einem Ausfall der Zentraleinheit 1 einschaltet Liegen hingegen die Eingangssignale für die übrigen Schaltfunktionen vor, so kann lediglich die Zentraleinheit 1 die zugehörigen Lastschalter 4 schalten. Zeigt die Zentraleinheit 1 einen Fehler, so kann diese SchaHfunktion möglicherweise nicht ausgelöst werden. Mit Sicherheit erfolgt diese Auslösung nicht durch die Fehlererkennungsschaltung 7, da die Torschaltung 11 blockiert ist.

Diese dargestellte Einrichtung ist sinnvoll bei einer weiteren Gruppe von Schaltfunktionen, wie sie beispielsweise durch die Wisch-Wasch-Funktionen eines Kraftfahrzeugs gegeben ist. Die Grundfunktion ist dabei der Scheibenwischerbetrieb in Stufe 1. Dieser Betrieb wird bei Vorliegen des zugehörigen Eingangssignals durch die Zentraleinheit 1 oder bei einem Ausfall der Zentraleinheit 1 nur durch die Fehlererkennungsschaltung 7 ausgelöst Bei Vorliegen der Eingangssignale für die übrigen Schaltfunktionen dieser Gruppe, wie beispielsweise Waschen mit nachfolgendem Trockenwischen oder Interval'wischen mit oder ohne Einblendung von Waschimpulsen erfolgt die Einschaltung der zugehörigen Lastsehalter 4 nur mit Hilfe der Zentraleinheit 1. Sofern diese fehlerhaft arbeitet, eriufgt die Auslösung dieser Schaltfunktionen geringerer Bedeutung nicht.

Die Einrichtung vrn Fig.2 kann nun entsprechend F i g. 3 auf eine Parallelverarbeitung der Eingangssignale für die Grundfunktion erweitert werden F i σ ~\

unterscheidet sich gegenüber Fig.2 darin, daß die Fehlererkennungsschaltung 7 und die Torschaltung 11 weggelassen sind. Die Funktion der Redundanzeinheit wird allein durch den Decoder 10 wahrgenommen, dessen Ausgangssignal direkt auf die Ausgangsleitung 3 > zum Lastschalter 4 für die Schaltfunktion mit der größten Priorität geführt ist. Das Auslösen dieser Schaltfunktion erfolgt somit bei fehlerfreiem Betrieb der Zentraleinheit 1 sowohl durch diese als auch durch den Decoder 10, während bei einem Fehler der i<> Zentraleinheit 1 nur der Decoder 10 diese Schaltfunktion ermöglicht Die Einrichtung nach Fig.3 besitzt dieselbe Zuverlässigkeit wie die Einrichtung nach F i g. 2, wobei jedoch der Aufwand erheblich verringert ist. is

Eine weitere Verringerung des Aufwands IaBt sich bei der Einrichtung nach F i g. 4 erzielen. Darin werden der Zentraleinheit 1 die Eingangssignale für alle Schaltfunktionen einer Gruppe mit Ausnahme des Eingangssignals für die Schaltfunktion mit höchster Priorität zugeführt. ?< > Das letztere Eingangssignal wird ausschließlich mit Hilfe des Decoders 10 zum Auslösen dieser Grund-Schaltfunktion verwendet. Die Zentraleinheit 1 übernimmt damit nur Teilaufgaben. Ihr Ausfall ist insoweit unschädlich, als die Grund-Schaltfunktion in jedem Fall « mit Hilfe des Decoders 10 erzeugt werden kann.

Die Einrichtung nach Fig.5 entspricht in ihrem

Aufbau weitgehend der nach F i g. 2. Lediglich hinsichtlich der Ansteuerung der Torschaltung 11 ist eine Änderung vorgenommen. Diese besteht darin, daß die Zentraleinheit 1 direkt an der Torschaltung U angeschlossen ist. Zur Kontrolle der Zentraleinheit 1 ist das Ausgangssignal für die Schaltfunktionen mit der höchsten Priorität auf den Eingang der Zentraleinheit 1 rückgekoppelt. Sofern innerhalb der Zentraleinheit 1 ein Fehler bei der Bearbeitung des zugehörigen Eingangssignals auftritt, wird die Torschaltung 11 durch die Zentraleinheit 1 geöffnet und die Schaltfunktion mit der höchsten Priorität durch den Decoder 10 ausgelöst. Anhand der F i g. 1 bis 5 ist ohne weiteres zu erkennen, daß mit geringem Aufwand die wichtigsten Schaltfunktionen aus jeweils einer Gruppe von Schaltfunktionen bei einem Ausfall der Zentraleinheit 1 ausgelöst werden können. Dabei ist bzw. wird das Ausgangssignal für diese Schaltfunktion bei Fig. I. 2 und 5 zwar bereitgestellt, jedoch erst dann ausgelöst, wenn die Zentraleinheit 1 fehlerhaft arbeitet. Bei der Fig.3 hingegen wird dieses Ausgangssignal auch dann freigegeben, wenn die Zentraleinheit i fehlerfrei arbeitet. Bei Fig.4 schließlich ist mit verteilter Logik ebenfalls gewährleistet, daß trotz eines Fehlers der Zentraleinheit 1 die Schaltfunktion mit der größten Priorität ausgelöst werden kann.

Hierzu 1 Blatt Zeichnungen

Claims

Patentansprüche:

!.....Elektrische Einrichtung zum Auslösen von Schaltfunktionen in Kraftfahrzeugen mit einer Zentraleinheit, die aus Emgangssignalen zugeordnete Ausgangssignale zum Schalten von Lastschaltern erzeugt, und mit einer Redundanzeinheit, d a du rc h_ gekennzeichnet, daß Gruppen von untereinander ähnlichen Schaltfunktionen gebildet sind, und daß durch die Redundanzeinheit (J; 7, 10; 10) für jede Gruppe ein Ausgangssignal für die Schaltfunktion, die in dieser Gruppe die größte Priorität besitzt, an den Lastschalter anlegbar ist ^:
2. Elektrische Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß das Ausgangssignal der Redundanzeinheit (7; 7, 10; 10) bei Anstehen eines beliebigen Eingangssignals der jeweiligen Gruppe anlegbar ist.
3. Elektrische Einrichtung nach Ansprach 1, dadurch gekennzeichnet, daß das Ausgangssignal der Redusjdanzeinheit (7; 7,10; 10) nur bei Anstehen des entsprechenden Eingangssignals anlegbar ist
4. Elektrische Einrichtung nach Anspruch 3, dadurch gekennzeichnet, daß das Ausgangssignal der Redundanzeinheit (7; 7,10; 10) stets freigegeben wird.
5. Elektrische Einrichtung i»ach Anspruch 2 oder 3, dadurch gekennzeichnet, daß das Ausgangssignal der Redundanzeinheit (7; 7, 10; 10) nur bei fehlerhaftem Arbeiten der Zentraleinheit (1) freigegeben wird.
6. Elektrische Einrichtung nach Anspruch 5, dadurch gekennzeichnet, da?, die Zentraleinheit (1) über eine Torschaltung (11) das Ausgangssignal der Redundanzeinheit (7,10; 10) fn ^;gibt
7. Elektrische Einrichtung nach Anspruch 5 oder 6, dadurch gekennzeichnet, daß zur Oberprüfung der Zentraleinheit (1) das zur Schaltfunktion mit größter Priorität gehörende Ausgangssignal auf den Eingang der Zentraleinheit (1) rückgekoppelt ist.
8. Elektrische Einrichtung nach Anspruch 5 oder 6, dadurch gekennzeichnet, daß die Zentraleinheit (1) ein Ausgangssignal an die Redundanzeinheit (7; 7, 10) liefert, das sich bei fehlerhafter Arbeitsweise der Zentraleinheit (1) ändert.