DE3639065C2 - Verfahren zur Überwachung eines rechnergesteuerte Stellglieder ansteuernden Prozeßrechners - Google Patents

Description

Die Erfindung betrifft ein Verfahren zur Überwachung eines rechnergesteuerte Stellglieder ansteuernden Prozeßrechners nach dem Oberbegriff des Anspruchs 1.

Ein derartiges Verfahren, das insbesondere bei Sicherheitsein­ richtungen in Kraftfahrzeugen, wie zum Beispiel einem Antiblockier­ system, einem Airbag oder einem Gurtstrammer anwendbar ist, ist aus DE 30 01 780 A1 bekannt.

Stellglieder werden in allen Bereichen der Steuerungs- und Regelungstechnik eingesetzt. Zur Funktionsüberwachung waren bisher optische oder akustische Signalgeber sowie analog anzeigende Instrumente mit besonders markierten Gefahrenbereichen gebräuchlich.

Im Zuge komplizierterer und schnellerer Steuerungs- und Regelungs­ vorgänge werden zur Ansteuerung von Stellgliedern zunehmend Prozeß­ rechner eingesetzt. Diese sind am ehesten in der Lage, die umfangreichen Daten­ mengen zu verarbeiten, aus denen die Stellgrößen ab­ geleitet werden. Da derartige Rechner auch im Normal­ betrieb äußeren Störungen, wie Funkstörungen durch Sendeanlagen, elektrischen Entladungen oder Schalt­ impulsen auf Leitungsnetzen unterworfen sein können, ist eine Funktionsüberwachung erforderlich.

Gerade bei sicherheitsrelevanten Anlagen aber sind die bekannten Maßnahmen zur Funktionsüberwachung nicht ausreichend. Dies wird besonders am Beispiel passiver Rückhaltesysteme mit aufblasbaren Gaskissen (airbags) für Kraftfahrzeuge deutlich.

Mit diesen Rückhaltesystemen sollen die Fahrzeugin­ sassen beim Aufprall des Fahrzeugs auf ein Hinder­ nis vor Verletzungen geschützt werden, die durch den Aufprall ihrer Körper auf Teile des Fahrgastraums ver­ ursacht werden können. Dies geschieht, indem kurz nach dem Aufprall des Fahrzeugs durch elektrisch ge­ zündete Gaspatronen aufgeblasene Gaskissen schützend zwischen die Fahrzeuginsassen und die Teile des Fahr­ gastraums ausgebreitet werden.

Bei diesem Rückhaltesystem werden von Prozeßrechnern laufend die Verzögerungs- und Beschleunigungswerte des Fahrzeugs erfaßt. Beim Aufprall des Fahrzeugs auf ein Hindernis verlaufen diese Werte in Form einer Minima- und Maxima aufweisenden Kurve (Crash Kruve). Der Aus­ lösezeitpunkt für das Rückhaltesystem muß dann in einem durch Versuche vorher bestimmten exakten Zeitpunkt er­ folgen. Der Forderung nach einem wirksamen Ansprechen des Rückhaltesystems steht mit gleicher Gewichtung der sichere Schutz vor einer fehlerhaften Auslösung gegen­ über. Anderenfalls könnten durch Sichtbehinderung oder durch Erschrecken des Fahrers erhebliche Folgeschäden entstehen.

Die bisher gebräuchlichen Überwachungsmaßnahmen sind nicht in der Lage, eine fehlerhafte Auslösung zu ver­ hindern. In demselben Moment, in dem diese einen Stör­ fall in Form einer fehlerhaften Auslösung anzeigen könnten, wären die Gaspatronen bereits irreversibel gezündet und der Aufblasvorgang könnte nicht mehr unter­ drückt werden.

Auch auf anderen Gebieten, die nicht im sicherheits­ relevanten Bereich liegen, z. B. rechnergesteuerte Werk­ zeugmaschinen, können Störfälle der genannten Art er­ hebliche Schäden verursachen.

Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren zur Überwachung eines rechnergesteuerte Stellglieder ansteuernden Prozeßrechners bei einem Kraftfahrzeug zu schaffen, bei dem Störfälle rechtzeitig vor Abgabe von Stellbefehlen erkannt und so fehlerhafte Stellbefehle verhindert werden können.

Diese Aufgabe wird durch die Merkmale des Anspruches 1 gelöst.

Durch den fortlaufenden Vergleich der Steuersignale mit Sollwerten wird die Information über die Richtigkeit der von dem Prozeßrechner aus den verarbeiteten Daten ermittelten Ergebnisse ständig aktualisiert. Auf diese Weise ist eine Korrektur der Ergebnisse oder eine Unterdrückung fehlerhafter Steuersignale aufgrund falscher Ergebnisse zum frühestmöglichen Zeitpunkt gegeben.

Das Stellglied mit dem zur Steuerung vorgesehenen Steuersignal, das der Prozeßrechner aufgrund der Ergebnisse der verarbeiteten Daten erzeugt hat, wird nicht sofort angesteuert. Vielmehr wird noch das Ergebnis der Prüfung abgewartet. Nach abgeschlossener Prüfung wird dann eine Entscheidung herbeigeführt, ob eine Korrektur erfor­ derlich ist oder ob das Steuersignal unverändert zur Ansteuerung des Stellgliedes verwendet werden kann. Im ersten Fall wird das Steuersignal nicht zur Ansteu­ erung des Stellgliedes verwendet und statt dessen ein weiterer Rechenzyklus abgewartet. Im zweiten Fall erfolgt die Ansteuerung des Stellgliedes sofort nach der Ent­ scheidung.

Unter der Voraussetzung, daß bei der Prüfung Abweichungen von Sollwerten festgestellt wer­ den, ist mit diesem Verfahren ein sicherer Schutz vor fehlerhaften Stellbefehlen möglich.

Bei richtigen Steuerbefehlen erfolgt zwar eine ver­ zögerte Ansteuerung des Stellgliedes, durch die stän­ dig aktualisierte Information über die Richtigkeit der Ergebnisse des Prozeßrechners ist die Verzögerung aber sehr gering und kann durch Schaltungs- oder Programmaßnahmen so bemessen werden, daß die Funktionsweise einer mit einem rechnergesteuerten Stellglied ausge­ rüsteten Anlage nicht beeinträchtigt wird.

Die Zuverlässigkeit der Prüfung durch Vergleich des vorgesehenen Steuersignals mit Soll­ werten hängt von der Art der gewonnenen Sollwerte ab.

Die höchste Zuverlässigkeit wird erreicht, wenn die gesamte Datenverarbeitung, die im Prozeßrechner er­ folgt, in einem zweiten Rechner nachvollzogen wird. Die Wahrscheinlichkeit daß äußere Störungen hier zu gleichen Fehlern führen, die sich später gegenseitig aufheben, ist äußerst gering. Außerdem lassen sich Abweichungen sofort ermitteln und die Zeit für die Verzögerung der Ansteuerung der Stellglieder wird klein bemessen.

Weniger Aufwand erfordert die Prüfung von Steuersignalen und Sollwerten auf der Basis von Zwischenergebnissen. Allerdings sind hier auch die Zeitspannen zwischen den Prüfzyklen länger, wodurch auch die Verzögerung der Ansteuerung der Stellglieder größer wird.

Am einfachsten ist die Überprüfung der Steuersignale mittels mitverarbeiteter Prüfwerte, die auf Plau­ sibilität mit statischen Signalen erfolgen kann.

Wenn die Zeit für einen Rechenzyklus des Prozeßrech­ ners, in der aus den zur Verfügung stehenden Daten jeweils ein Ergebnis ermittelt wird, klein gegenüber einer maximal zulässigen Verzögerungszeit für die An­ steuerung des Stellgliedes ist, kann die Prüfung sich auch auf das Endergebnis beschränken und bei jedem Rechenzyklus wiederholt werden.

Bei einer Weiterbildung des erfindungsgemäßen Ver­ fahrens wird das zur Steuerung des Stellglieds vorge­ sehene Steuersignal zwischengespeichert und nach Ab­ lauf der Prüf- und Korrekturzeitspanne bei Koinzidenz zwischen den Steuersignalen und den Sollwerten an das Stellglied übermittelt. Mit diesen Verfahrensschritten kann die Verzögerungszeit beliebig gesteuert werden. Damit läßt sie sich auch von Fall zu Fall unterschied­ lich langen Prüf- und Korrekturzeiten anpassen und so auf die jeweils kürzest mögliche Zeitdauer beschränken. Unabhängig von der gewählten Zeitdauer bleiben die Steuersignale unverfälscht.

Die zur Steuerung des Stellglieds vor­ gesehenen Steuersignale werden unter einer um wenigstens den Betrag der Prüf- und Korrekturzeitspanne verlängerten Laufzeit an das Stellglied übermittelt und bei Ab­ weichungen der Steuersignale von den Sollwerten unver­ zögert unterdrückt.

Diese Alternative bietet ebenfalls die Möglichkeit, Steuersignale unverändert mit sehr hoher Genauigkeit zeitlich zu verzögern. Gegenüber den vorgenannten Ver­ fahrensschritten kommt die Ausgestaltung mit weniger Steuerbefehlen aus.

In einer zweiten Abwandlung wird ein erstes Steuer­ signal in Form eines Potentialsprungs erzeugt. Die­ ses wird integriert und das Integral kontinuierlich mit einem Referenzwert verglichen. Bei Erreichen des Referenzwertes wird ein zweites Steuersignal in Form eines Potentialsprungs erzeugt und direkt an das Stell­ glied übermittelt. Zur Unterdrückung des zweiten Steuer­ signals wird der Potentialsprung des ersten Steuer­ signals rückgängig gemacht, bevor sein Integral seinen Referenzwert erreicht hat.

Diese Verfahrensschritte lassen sich mit geringen schal­ tungstechnischen Maßnahmen realisieren. Bei kurzen Ver­ zögerungszeiten, wie sie angesichts der hohen Rechen­ geschwindigkeiten üblicher Prozeßrechner ausreichend sind, läßt sich auch eine vorgegebene Verzögerungs­ zeit ausreichend genau einhalten. Gegenüber den vorge­ nannten Alternativen kommt dieses Verfahren ohne Steuer­ leitung zur Beeinflussung der Verzögerungsschaltung aus. Es genügt vielmehr, den Potentialsprung des ersten Steuersignals rechtzeitig rückgängig zu machen. Im Hinblick auf die Störanfälligkeit von Prozeßrechnern ist die Anzahl von Daten und Steuerleitungen so ge­ ring wie möglich zu halten. Diese Ausgestaltung ist deshalb besonders unempfindlich gegen Störungen.

Die Erfindung wird nachfolgend unter Bezug auf die Zeichnung erläutert.

In der Zeichnung zeigen:

Fig. 1 ein Blockschaltbild eines rechnergesteuerten Stellgliedes mit einer Auswerteschaltung und einer Zeitverzögerungsschaltung,

Fig. 2 eine praktische Ausgestaltung einer Zeitverzögerungsschaltung und eines Stellgliedes.

Fig. 1 zeigt ein rechnergesteuertes Stellglied, das einen Prozeßrechner 10, ein Stellglied 12, eine Aus­ werteschaltung 18 und eine Zeitverzögerungsschaltung 30 umfaßt.

Das Stellglied 12 eignet sich zur Ansteuerung eines passiven Rückhaltesystems für Kraftfahrzeuge, bei dem aufblasbare Gaskissen durch Zünden von Gaspatronen auf­ geblasen und zwischen die Insassen und Teile des Fahr­ gastraums geschoben werden. Dementsprechend wird die vom Stellglied 12 erregte Last durch eine elektrische Zündvorrichtung einer Gaspatrone realisiert.

In dem dargestellten Blockschaltbild erhält der Prozeß­ rechner 10 seine Daten über einen Dateneingang 40. Ein Ausgang 16 ist sowohl mit einem Eingang 44 der Zeit­ verzögerungsschaltung 30 als auch mit einem Eingang 26 der Auswerteschaltung 18 verbunden. Der Ausgang 46 der Zeitverzögerungsschaltung 30 ist mit einem Eingang 28 des Stellgliedes 12 verbunden. Am Ausgang 48 des Stell­ gliedes 12 wiederum ist die Last 14 angeschlossen.

Der Eingang 26 der Auswerteschaltung 18 führt intern zu einem Vergleicher 22, dem außerdem ein Sollwert von einem Sollwertgeber 20 zugeführt wird. Ein Ausgangssi­ gnal des Vergleichers 22 gelangt intern zu einem Schalt­ signalgenerator 24. Die erzeugten Schaltsignale ge­ langen über einen Eingang 32, der mehrkanalig ausge­ führt sein kann, an einen Korrektursteuereingang 34 des Prozeßrechners 10 und gegebenenfalls an einen Freigabe­ eingang 36 und einen Rücksetzeingang 38 der Zeitver­ zögerungsschaltung 30.

Der Sollwertgeber erhält gegebenenfalls Signale über einen Sollwerteingang 42, der mit der gleichen Daten­ leitung wie der Dateneingang 40 des Prozeßrechners 10 verbunden ist.

Bei einer praktischen Ausführung kann die Auswerteschal­ tung durch einen weiteren Prozeßrechner gebildet sein, in welchem die hier aufgeführten Funktionsblöcke 20, 22 und 24 durch Programmschritte realisiert sind.

Die Zeitverzögerungsschaltung 30 kann wahlweise als Schreib- Lese-Speicher, Schieberegister, Laufzeitleitung oder als Vergleicher mit Integrator und Sollwertgeber aus­ gebildet sein. Je nach Ausbildung sind entweder beide Steuereingänge 36, 38, z. B. beim Schreib-Lese-Speicher, nur der Rücksetzeingang 38 beim Schieberegister und der Laufzeitleitung oder kein Steuereingang bei der Ver­ gleicherlösung erforderlich.

Im normalen Betrieb der Anordnung werden dem Prozeßrechner 10 über seinen Dateneingang 40 laufend Daten zugeführt, aus denen er Steuersignale zur Ansteuerung des Stellgliedes 12 ermittelt. Erscheint am Ausgang 16 ein solches Steuer­ signal, so gelangt es zum Eingang 44 der Zeitverzögerungs­ schaltung 30, wo es zunächst gespeichert wird.

Gleichzeitig gelangt das Steuersignal auch an den Ein­ gang 26 der Auswerteschaltung 18. Hier wird es im Ver­ gleicher 22 mit einem vom Sollwertgeber 20 bereitge­ haltenen Sollwert verglichen. Der Sollwertgeber 20 kann z. B. die Rechenoperationen des Prozeßrechners 10 voll­ ständig nachvollziehen. Dazu werden ihm die gleichen Daten wie dem Prozeßrechner 10 zugeführt. Dies ist durch die gestrichelte Linie zum Sollwerteingang 42 angedeutet.

Alternativ kann er aber auch Festwerte ausgeben, die nach Plausibilitätskriterien mit den Signalproben ver­ glichen werden. In diesem Fall könnte die Leitung zum Sollwerteingang 42 entfallen.

Wird durch den Vergleicher 22 die Übereinstimmung der Signale festgestellt, so gibt der Schaltsignalgenerator 24 an den Ausgang 32 gegebenenfalls ein Freigabesignal an den Freigabeeingang 36. Dieses Signal ist bei einem Schreib-Lese-Speicher als Zeitverzögerungsschaltung 30 er­ forderlich. Daraufhin wird das Steuersignal auf den Eingang 28 des Stellglieds 12 übertragen, worauf der Stellbefehl ausgeführt wird.

Handelt es sich bei der Zeitverzögerungsschaltung 30 um ein Schieberegister, eine Laufzeitleitung oder einen Vergleicher mit Sollwertgeber und Integrator, so ist kein Freigabesignal erforderlich. Das Steuersignal durch­ läuft vielmehr die Zeitverzögerungsschaltung 30, während die Auswerte­ schaltung 18 die Koinzidenz der Steuersignale mit den Sollwerten prüft. Die Zeitverzögerung ist dabei so be­ messen, daß sie mindestens so groß ist, wie die für die Prüfung und gegebenenfalls Korrektur benötigte Zeit­ spanne. Nach Abschluß der Prüfung gelangt das Steuer­ signal dann automatisch an den Eingang 28 des Stell­ gliedes 12.

Wird eine Abweichung zwischen den Steuersignalen und dem Sollwert ermittelt, so erzeugt der Schaltsignalgene­ rator 24 am Ausgang 32 ein Korrektursignal, z. B. in Form eines Rücksetzbefehls, das den Korrektursteuereingang 34 des Prozeßrechners 10 zugeführt wird. Das Steuersignal am Ausgang 16 des Prozeßrechners 10 wird daraufhin gelöscht. Ist die Zeitverzögerungsschaltung 30 ein Schreib-Lese-Speicher, ein Schieberegister oder eine Laufzeitleitung, so wird auch ein Rücksetzsignal an den Rücksetzeingang 38 ge­ geben, worauf das Steuersignal vor Erreichen des Ein­ gangs 28 gelöscht oder unterdrückt wird.

Ist die Zeitverzögerungsschaltung 30 ein Vergleicher mit einem Sollwertgeber und einem Integrator, so reicht die Löschung des Steuersignals am Ausgang 16 des Prozeßrechners 10 aus, die zeitverzögerte Ansteuerung des Eingangs 28 des Stellglieds 12 zu verhindern.

Fig. 2 zeigt ein Ausführungsbeispiel der Zeitverzögerungs­ schaltung 30 und des Stellglieds 12.

Die Zeitverzögerungsschaltung 30 besteht aus einem Soll­ wertgeber 50, einem Integrator 52 und einem Vergleicher 54. Schließlich ist noch ein Differenzierer 74 vorge­ sehen.

Der Sollwertgeber 50 seinerseits besteht aus einem Span­ nungsteiler mit Widerständen 60 und 62. Diese liegen zwischen einer Referenzspannungsquelle 56 und Bezugs­ potential 58. An einem Teilerabgriff 72 wird der Soll­ wert abgegriffen und dem invertierenden Eingang 70 des als Operationsverstärker ausgeführten Vergleichers 54 zugeführt.

Der Integrator 52 besteht aus einem, Tiefpaß aus einem Wider­ stand 66, der zwischen dem Eingang 44 und dem nicht­ invertierenden Eingang 64 des Operationsverstärkers 54 liegt, sowie aus einem Kondensator 68 zwischen dem nichtinvertierenden Eingang 64 und der Referenzspannungs­ quelle 56.

Der zusätzlich vorgesehene Differenzierer 74 ist ein Hochpaß, bestehend aus einem Kondensator 78 zwischen dem Ausgang 76 des Operationsverstärkers 54 und dem nichtinvertierenden Eingang 64, und aus einem Wider­ stand 80, welcher zwischen dem nichtinvertierenden Eingang 64 und der Referenzspannungsquelle 56 liegt.

Das Stellglied umfaßt einen Emitterfolger 84, bestehend aus einem Transistor, dessen Kollektor an einer Ver­ sorgungsspannungsquelle 86 angeschaltet ist, und dessen Emitter mit dem Ausgang 48 verbunden ist. Die Basis des Emitterfolgers 84 ist mit dem Kollektor einer Trei­ berstufe 82 verbunden. Der Emitter liegt an der Ver­ sorgungsspannungsquelle 86. Die Basis liegt über einen Widerstand 88 ebenfalls an der Versorgungsspannungs­ quelle 86 und über einen Widerstand 90 am Eingang 28.

Gelangt auf den Eingang 44 der Zeitverzögerungsschaltung 30 ein erstes Steuersignal in Form eines Potential­ sprungs, so wird über den Widerstand 66 der Konden­ sator 68 aufgeladen. Entsprechend der Zeitkonstanten dieser Widerstand-Kondensator-Kombination wird nach einem bestimmten Zeitraum am nichtinvertierenden Ein­ gang 64 ein solches Potential erreicht, das dem Po­ tential des am Teilerabgriff 72 entnommenen und dem inver­ tierenden Eingang 70 zugeführten entspricht. Nach Überschreiten dieser Schwelle ändert sich das Potential am Ausgang 76 des Operationsverstärkers 54 und eben­ falls am Ausgang 46 der Zeitverzögerungsschaltung 30 in Form eines zweiten Steuersignals.

Da der Ausgang 76 des Operationsverstärkers 54 als offener Kollektor ausgebildet ist, konnte vor Ein­ tritt dieses Ereignisses das Potential an der Basis der Treiberstufe durch den Widerstand 88 auf das Po­ tential der Versorgungsspannungsquelle 86 gezogen werden.

Durch das zweite Steuersignal wird die Basis nun über den Widerstand 90 angesteuert und schaltet den Treiber 82 sowie anschließend den Emitterfolger 84 durch.

Durch den Kondensator 78 des Differenzierers 74 wird bei Potentialwechsel am Ausgang 76 ein gleiches Potential auf den nichtinvertierenden Eingang 64 angelegt. Dieses beschleunigt den Schaltvorgang. Der Widerstand 80 ist so bemessen, daß nach Umschalten noch ein ausreichend langes zweites Steuersignal erzeugt wird, selbst wenn sich das erste Steuersignal aufgrund besonderer Um­ stände ändert.

Ändert sich das Steuersignal am Eingang 44 ehe sein Integral den Sollwert am invertierenden Eingang 70 erreicht hat, so schaltet der Operationsverstärker 54 das Ausgangspotential nicht um. Auf diese Weise wird die Erzeugung eines zweiten Steuersignals und da­ mit die Ansteuerung des Stellgliedes 12 unterdrückt.

Claims (3)

1. Verfahren zur Überwachung eines rechnergesteuerte Stellglieder ansteuernden Prozeßrechners bei einem Kraftfahrzeug, dadurch gekennzeichnet, daß der Prozeßrechner (10) Steuersignale zur Steuerung des Stellgliedes (12) an dieses zeitverzögert liefert und gleichzeitig, ohne Zeitverzögerung, einer Auswerteschaltung (18) zuführt, welche die Steuersignale mit Sollwerten vergleicht, wobei bei nicht vorhandener Übereinstimmung zwischen den Steuersignalen und den Sollwerten die Steuersignale an das Stellglied (12) innerhalb der Zeitverzögerung unterdrückt werden.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die Zeitverzögerung durch eine Zwischenspeicherung erreicht wird.

3. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die Zeitverzögerung durch Integration des Steuersignals bewirkt wird, wobei das Ende der Zeitverzögerung durch Erreichen eines Referenzwertes bestimmt ist.