DE3701714A1 - Verfahren und vorrichtung zur ueberwachung rechnergesteuerter stellglieder - Google Patents

Description

Die Erfindung betrifft ein Verfahren zur Überwachung rechnergesteuerter Stellglieder, insbesondere für Sicher­ heitseinrichtungen in Kraftfahrzeugen (z.B. Antiblockier­ system, air bags oder Gurtstraffer), bestehend aus einem Prozeßrechner und mindestens einem von diesem ange­ steuerten elektronischen Stellglied.

Stellglieder werden in allen Bereichen der Regelungs- und Steuerungstechnik verwendet. Zur Überwachung der Ausgangsgrößen sind optische und akustische Signalgeber bekannt sowie analoganzeigende Instrumente, bei denen ein Gefahrenbereich besonders markiert ist.

Im Zuge immer komplizierterer, schnellerer und präziserer Steuerungs- und Regelvorgänge werden Stellglieder häufig von Rechnern angesteuert. In diesen Fällen reichen die bekannten Signalgeber nicht immer aus, die Forderung einer schnellen und zuverlässigen Überwachung zu er­ füllen. Dies ist gerade dann der Fall, wenn es um sicher­ heitsrelevante Stellglieder geht.

Ein Beispiel hierfür sind Sicherheitseinrichtungen in Kraftfahrzeugen, wie Antiblockiersysteme oder passive Rückhaltesysteme, z.B. aufblasbare Gaskisssen (air bags), die beim Aufprall des Fahrzeugs auf ein Hindernis auto­ matisch wirksam werden, oder Sicherheitsgurte, die im Moment des Aufpralls gespannt werden (Gurtstraffer).

An solche Sicherheitseinrichtungen werden zwei Forderungen gestellt. Einmal soll eine höchst mögliche Funktions­ sicherheit erzielt werden und ein dennoch auftretender Fehler signalisiert werden. Zum anderen soll eine Fehl­ auslösung sicher verhindert werden.

Die Notwendigkeit einer hohen Zuverlässigkeit wird be­ sonders beim Antiblockiersystem deutlich. Da die Fahrer von mit Antiblockiersystem ausgerüsteten Fahrzeugen das Bremsverhalten ihres Fahrzeugs ohne Antiblockier­ system nicht kennen und für sie auch kein Anlaß besteht, die optimale Betätigung der Bremse im Gefahrenfalle bei besonderen Ausbildungsveranstaltungen zu erlernen und zu üben, kann ein Ausfall dieser Sicherheitseinrichtung im Gefahrenfalle dazu führen, daß der Fahrer die für ihn ungewohnte Situation nicht beherrscht und einen Unfall verursacht.

Ein Beispiel für die Notwendigkeit einer sicheren Ver­ hinderung von Fehlauslösungen bei Sicherheitssystemen bieten die aufblasbaren Gaskissen. Wird dieses Sicher­ heitssystem bei hohen Geschwindigkeiten plötzlich er­ regt, ohne daß hierfür ein objektiver Anlaß besteht, so kann dies in Folge einer Sichtbehinderung oder durch Erschrecken des Fahrers erhebliche Folgeschäden hervor­ rufen.

Wird die Funktionsstörung bei diesen Sicherheitsein­ richtungen in üblicher Weise überwacht und angezeigt, so müßte eine Bedienungsperson innerhalb von Sekunden­ bruchteilen eingreifen und sogar anhand bestimmter Ent­ scheidungskriterien die richtigen Gegenmaßnahmen treffen. Dies ist jedoch nicht zu bewältigen und es besteht die Gefahr, daß der Nutzen derartiger Sicherheitseinrich­ tungen sich bei Störungen in sein Gegenteil verkehrt.

Auch bei anderen rechnergesteuerten Stellgliedern, die nicht sicherheitsrelevant sind, z.B. Werkzeugmaschinen, können Störungen erhebliche Schäden herbeiführen, wenn bei üblichen Überwachungsverfahren und Vorrichtungen ein korrigierendes Eingreifen zu spät erfolgt.

Der Erfindung liegt die Aufgabe zugrunde, bei einem Verfahren zur Überwachung rechnergesteuerter Stell­ glieder die Schnelligkeit und Zuverlässigkeit dieser Überwachung zu verbessern und weitestgehend zu auto­ matisieren.

Gelöst wird diese Aufgabe bei einem Verfahren zur Über­ wachung rechnergesteuerter Stellglieder nach dem Ober­ begriff des Anspruchs 1 durch die im kennzeichnenden Teil angegebenen Merkmale.

Das erfindungsgemäße Verfahren schafft durch den fort­ laufenden Vergleich der Signalproben mit den Sollwerten eine sehr frühzeitige Erkennungsmöglichkeit von Störungen. Diese bietet die Voraussetzung für eine rechtzeitige An­ zeige der Störung oder gegebenenfalls einer rechtzeitigen Abhilfe z.B. durch eigene Programmkorrekturen oder durch Einbeziehung von Reservestellgliedern. Die Entnahme von Signalproben an zwei Ausgängen verbessert auch die Zu­ verlässigkeit der Erkennung, indem zwischen verschiedenen Störungen unterschieden werden kann und somit gezielt die Störung angezeigt oder beseitigt werden kann.

In Folge der zuverlässigen Erkennung der Störungen wird auch eine automatische Korrektur oder Abhilfe ermöglicht, sofern diese vom Rechenprogramm und dem schaltungs­ technischen Aufwand her durchführbar ist. Handelt es sich dabei um Störungen des Rechenprogramms, welche durch zufällige äußere Einflüsse hervorgerufen wurden, so kann diese Korrektur auch ohne Anzeige erfolgen, so daß sie für den Benutzer unbemerkt bleibt.

Ist eine automatische Korrektur oder Abhilfe nicht mög­ lich, sondern werden die Störungen nur angezeigt, so erleichtert das erfindungsgemäße Verfahren die Diagnose der Störungen wodurch die Reparaturzeit und der eventu­ elle Materialaufwand vermindert wird.

Bei einer Weiterentwicklung des erfindungsgemäßen Ver­ fahrens werden der Auswerteschaltung zusätzlich fort­ laufend Sollwerte des Prozeßrechners übermittelt.

Hierdurch lassen sich mehrere Phasen in der Datenver­ arbeitung des Rechners überwachen, so daß entstehende Fehler unter Umständen schon in einem früheren Stadium erkannt und korrigiert werden können. Die durch die automatisierte Korrektur und Abhilfemöglichkeit ver­ besserte Verfügbarkeit eines nach dem erfindungsgemäßen Verfahren überwachtes rechnergesteuertes Stellglied wird durch die Weiterbildung noch weiter gesteigert.

Bei einem praktisch angewandten Verfahren ist das Schalt­ signal bei erstmaliger Abweichung der am Ausgang des Rechners entnommenen Signalprobe von dem Sollwert ein einem Steuereingang des Rechners zugeführtes Rücksetz­ signal.

Einmalige Störungen können z.B. durch Funkanlagen, elek­ trische Entladungen oder Schaltimpulse auf einem Leitungs­ netz hervorgerufen werden. Führen diese zu einem Programm­ fehler, so kann dieser in einfachster Weise dadurch be­ hoben werden, daß der Rechner zurückgesetzt und neu gestartet wird. Damit ist auch die Störung im Programm­ ablauf behoben. Der mit dieser Vorgehensweise verbundene Zeitverlust ist um so unbedeutender, je früher die Störung erkannt wird.

Bei einer Weiterbildung des erfindungsgemäßen Verfahrens ist das Schaltsignal bei mehrmaliger Abweichung der am Ausgang des Rechners entnommenen Signalprobe von dem Sollwert innerhalb einer vorgegebenen Zeitspanne ein einen ersten Signalgeber erregendes Alarmsignal.

Mehrmalige, insbesondere aufeinander folgende derartige Störungen deuten auf einen internen Programmfehler hin, dessen Beseitigung nicht durch Rücksetzen des Rechners möglich ist. Deshalb wird dieser Störfall angezeigt. Der Benutzer kann sich dann darauf einstellen und die Beseitigung der Störung z.B. durch Austausch eines in­ ternen Programmspeichers veranlassen. In aufwendigeren Anlagen könnte das Alarmsignal auch dazu ausgenutzt werden, einen identischen Ersatzrechner an Stelle des bisherigen Rechners in Betrieb zu setzen.

Bei einem praktisch ausgeführten Verfahren ist das Schalt­ signal bei Abweichung der am Stellausgang des Stell­ gliedes entnommenen Signalprobe von dem Sollwert ein einen weiteren Signalgeber erregendes Alarmsignal.

Bei einer derartigen Störung handelt es sich nicht um eine Programmstörung (Software) sondern um eine schal­ tungstechnische Störung (Hardware). Zur besseren Unter­ scheidbarkeit dieser Störungen werden deshalb weitere Signalgeber erregt. Außerdem besteht die Möglichkeit, durch das Alarmsignal ein Ersatzstellglied einzuschalten oder andere Ersatzmaßnahmen einzuleiten.

In Weiterbildung dieser Maßnahme ist das Schaltsignal bei statischer Abweichung der am Stellausgang des Stell­ gliedes entnommenen Signalprobe von dem Sollwert ein einen zweiten Signalgeber erregendes Alarmsignal. Eine derartige Störung kann sowohl auf einen Fehler des Stell­ gliedes als auch auf einen solchen in der übrigen Schal­ tung z.B. in der Spannungsversorgung hindeuten. Durch einen zweiten Signalgeber läßt sich dieser Störfall von anderen besser unterscheiden.

Als zusätzliche Weiterbildung ist das Schaltsignal bei koinzidenter Abweichung der am Stellausgang des Stell­ gliedes entnommenen Signalprobe von dem Sollwert in Abhängigkeit einer am Ausgang des Rechners entnommenen Signalprobe ein einen dritten Signalgeber erregendes Alarmsignal.

Diese Störung deutet auf einen Fehler des Stellgliedes hin, während andere Ursachen dafür praktisch ausge­ schlossen sind. Durch diese Maßnahme können daher Fehler allgemeiner schaltungstechnischer Art und solche, die auf das Stellglied selbst einzugrenzen sind, unter­ schieden werden. Diese Verfahrensmaßnahme bietet daher die Möglichkeit, ein ersatzweise vorhandenes Stellglied einzuschalten oder, falls so etwas nicht vorgesehen ist, die spätere Fehlerdiagnose und Reparatur zu erleichtern.

Vorzugsweise werden die Alarmsignale durch wenigstens einen, unterschiedliche Bedeutungsinhalte vermittelnden Melder optisch und/oder akustisch angezeigt. Diese Maß­ nahmen sichern die sofortige Wahrnehmung des Alarmsig­ nals und ermöglichen eine Entscheidungshilfe dahin­ gehend, ob die Anordnung noch eingeschränkt funktions­ tüchtig ist oder nicht und wo der Fehler zu orten und bei einer späteren Reparatur zu beheben ist.

Bei einem praktisch ausgeführten Verfahren werden die am Stelleingang des Stellgliedes entnommenen Signal­ proben in ein digitales Signal umgewandelt und in der Auswerteschaltung als digitales Signal verarbeitet.

Dieses Verfahren erleichtert den Ist-Sollwert-Ver­ gleich besonders bei sehr komplizierten Signalvor­ gängen. Die Zuverlässigkeit der Vergleichsergebnisse wird dadurch erhöht.

Bei einer abgewandelten Ausführungsform werden untere und/obere Schwellwerte vorgegeben, bei deren Unter- bzw. Überschreitung erst Schaltsignale erzeugt werden.

Durch diese Maßnahme können Fehlauslösungen in Folge betriebsbedingter Spannungsschwankungen, Bauteiletole­ ranzen oder Eigenschaftsänderungen in Folge Alterung, welche die sichere Funktion noch nicht beeinträchtigen würden, berücksichtigt werden. Es werden dadurch Alarm­ signale vermieden, die im Hinblick auf die Funktions­ tüchtigkeit der Anordnung objektiv noch nicht notwendig sind.

Die Erfindung betrifft weiter eine Schaltungsanordnung zur Überwachung rechnergesteuerter Stellglieder, ins­ besondere für Sicherheitseinrichtungen in Kraftfahr­ zeugen (z.B. Antiblockiersysteme, air bags oder Gurt­ straffer), bestehend aus einem Prozeßrechner und min­ destens einem von diesem angesteuerten elektronischen Stellglied.

Diesbezüglich liegt der Erfindung die Aufgabe zugrunde, eine Schaltungsanordnung zur Überwachung rechnerge­ steuerter Stellglieder zu schaffen, die schnell und zu­ verlässig arbeitet, und eine weitestgehend automati­ sierte Überwachung ermöglicht.

Gelöst wird diese Aufgabe bei einer Schaltungsanordnung nach dem Oberbegriff des Anspruchs 11 durch die im kenn­ zeichnenden Teil angegebenen Merkmale. Durch die Über­ wachung des Ausgangs des Rechners und des Stellausgang des Stellgliedes lassen sich die Ausgangsgrößen sowohl einzeln als auch in ihrer Kombination überwachen. Auf diese Weise wird die Störungserkennung auf verschiedene Störungsarten ausgeweitet. Je nach Art der Störung lassen sich Fehler schon in einem sehr frühzeitigen Stadium erkennen. Die Fehler können dann entweder angezeigt oder Korrektur und Abhilfemaßnahmen einleiten. Solche Maßnahmen können in einer Korrektur des Rechenprogramms durch Rücksetzen und Neustarten des Rechners oder durch Einschalten eines ersatzweise vorgesehenen Rechners oder Stellgliedes bestehen. Wird die Störung nur an­ gezeigt, so erleichtert sie die spätere Fehlerortung und Reparatur.

Bei einer Weiterbildung der erfindungsgemäßen Schaltungs­ anordnung ist der Sollwertgeber steuerbar ausgebildet und mit einem Dateneingang oder Ausgang des Rechners verbunden.

Durch diese Ausgestaltung lassen sich auch weitere, ins­ besondere aktuelle Sollwert-Istwert-Vergleiche durch­ führen. So läßt sich z.B. mit der Auswerteschaltung die gesamte Datenverarbeitung des Rechners überprüfen, in dem auch der Auswerteschaltung die Eingangsdaten des Rechners zugeführt werden.

Bei einer einfacheren Ausgestaltung wäre es möglich, Zwischenergebnisse des Rechners zu überprüfen. Bei einer noch weiteren Vereinfachung kann sich der Sollwert-Ist­ wert-Vergleich auf die Kontrolle sogenannter Prüfsig­ nale beschränken, die in bestimmten Abständen inner­ halb einer Rechenroutine auftreten. Aufgetretene Stö­ rungen lassen sich dann bereits wesentlich vor dem ei­ gentlichen falschen Endergebnis ermitteln und korri­ gieren oder zur Anzeige bringen.

Vorzugsweise ist der Schaltsignalgenerator mit wenigstens zwei Ausgängen für unterschiedliche Schaltsignale ver­ sehen.

Die durch die Überwachung von zwei Ausgängen gegebene Möglichkeit, unterschiedliche Störungen zu erkennen, wird so zweckmäßig dazu ausgenutzt, auch die Art der Störungen bei der Erzeugung der Schaltsignale zu be­ rücksichtigen.

Bei einer praktischen Ausführungsform ist ein Ausgang des Schaltsignalgenerators mit einem Rücksetzeingang des Rechners und sind die anderen Ausgänge mit den Ein­ gängen von Signalgebern in Form von akustischen und/ optischen Meldern verbunden.

Besteht die Störung in einer einmaligen Störung des Rechenprogramms, verursacht z.B. durch elektrische Entladungen, Schaltimpulse auf einem Leitungsnetz oder Funkstörungen, so kann diese durch Rücksetzen des Rech­ ners und Neustarten behoben werden. Da dieser Vorgang sehr schnell abläuft und durch die erfindungsgemäßen Maßnahmen besonders frühzeitig eingeleitet werden kann, bedarf es hierzu keiner Anzeige. Eine Anzeige der üb­ rigen Störungen ist auch dann sinnvoll, wenn durch Ein­ schalten von Ersatzschaltung, z.B. eines Ersatzrechners oder eines Ersatzstellgliedes die Funktionsfähigkeit der Anlage noch erhalten bleibt. Um die ursprüngliche Zuverlässigkeit wieder herzustellen, müssen nämlich die defekten Bestandteile zum frühestmöglichen Zeit­ punkt ausgetauscht werden.

In Weiterbildung der Erfindung umfaßt die Auswerte­ schaltung zusätzlich einen Zähler für die auf den einen Ausgang angelegten Schaltimpulse.

Während bei Programmstörungen durch äußere Einflüsse durch Rücksetzen und Neustarten des Rechners behoben werden können, lassen sich interne Programmfehler auf diese Weise nicht beseitigen. Um diese von den anderen Störungen zu unterscheiden, wird ein Zähler verwendet, der die Anzahl der in einer bestimmten Zeiteinheit er­ folgenden Rücksetzsignale zählt. Ist die Zahl der Rück­ setzsignale zu hoch, so wird ein interner Programm­ fehler vermutet, woraufhin ein besonderes Schaltsignal erzeugt wird.

Vorzugsweise umfaßt die Auswerteschaltung zusätzlich ein Schwellwertgeber für untere und/obere Schwellwerte, wobei der Schwellwertgeber mit dem Vergleicher verbunden ist.

Ohne diese Zusatzmaßnahmen würden auch schon geringe Spannungsschwankungen, Bauteiletoleranzen oder alterungs­ bedingte Eingenschaftsänderungen der Bauteile zu einer Störmeldung führen. Wenn diese Abweichungen aber ein bestimmtes Ausmaß nicht überschreiten, gefährden sie die sichere Funktion der Anlage noch nicht. Die vor­ geschlagenen Maßnahmen ermöglichen so die Erzeugung von Schaltsignalen und damit verbundenen Alarmsig­ nalen bei derartigen Abweichungen zu unterdrücken.

Vorzugsweise ist die Auswerteschaltung als zusätzlicher Prozeßrechner ausgebildet und zwischen den Eingängen dieses Rechners einerseits und dem Ausgang des ersten Rechners sowie dem Stellausgang des Stellgliedes anderer­ seits sind Schnittstellen angeordnet. Diese Ausgestaltung ist besonders in Mehrrechnersystemen vorteilhaft, wenn verschiedene Rechner ohnehin zur Bewältigung einer ge­ meinsamen Aufgabe zusammengeschlossen werden. Neben Raumeinsparungen aufgrund von Mehrfachausnutzungen vor­ handener Prozeßrechner ist in der Regel auch keine be­ sondere Aufbereitung der Daten erforderlich, da die Daten bereits in einer gegenseitig lesbaren Form vor­ liegen.

Gegebenenfalls sind die Schnittstellen als Impedanz­ wandler oder als Digital-Analog-Wandler ausgebildet. Mit diesen Maßnahmen wird eine Entkoppelung der Aus­ werteschaltung von dem Rechner und dem Stellglied er­ zielt, so daß durch die Überwachung selbst bedingte mögliche Störungen vermieden werden. Die Ausbildung der Schnittstelle als Digital-Analog-Wandler ist dann zweckmäßig, wenn neben der Überwachung digitale Aus­ gangsgrößen des Stellgliedes auch analoge mit über­ wacht werden sollen. Das ist z.B. dann der Fall, wenn ein an sich als Schalter dimensioniertes Stellglied Störungen zeigt, die in Zwischenwerten zwischen dem eingeschalteten und ausgeschalteten Zustand des Schal­ ters liegen.

Weiterbildungen und vorteilhafte Ausführungsformen der Erfindung ergeben sich aus den Ansprüchen, der weiteren Beschreibung und der Zeichnung. Das erfindungsgemäße Verfahren und die Schaltungsanordnung werden anschließend anhand der Zeichnung erläutert, in der ein Ausführungs­ beispiel der Erfindung wiedergegeben ist.

In der Zeichnung zeigen

Fig. 1 eine Schaltungsanordnung zur Überwachung rechnergesteuerter Stellglieder als Blockschalt­ bild,

Fig. 2 eine graphische Darstellung verschiedener Signalkonfigu­ rationen und die daraus ab­ geleiteten Störfälle.

In Fig. 1 ist ein Prozeßrechner 10 und ein Stellglied 12 dargestellt, deren Funktionsweise von einer Auswerte­ schaltung 20 überwacht wird. Der Rechner 10 erhält über seinen Dateneingang 46 Daten, die er auswertet und wo­ raufhin er Steuersignale erzeugt, die über seinen Aus­ gang 28 auf das Stellglied 12 übermittelt werden. Das Stellglied 12 wiederum gibt Stellbefehle über seinen Stellausgang 30 an eine Last 14 ab. Die Last 14 kann dabei durch die Zündvorrichtung von Gaspatronen für auf­ blasbare Gaskissen bei einer Sicherheitseinrichtung für ein Kraftfahrzeug ausgebildet sein.

Zur Überprüfung der Funktionsweise des Prozeßrechners 10 und des Stellglieds 12 werden am Ausgang 28 des Rechners 10 sowie am Stellausgang 30 des Stellgliedes 12 Signalproben entnommen und Auswerteeingängen 16 und 18 der Auswerteschaltung 20 zugeführt. Die Anpassung der Ausgangsgrößen des Prozeßrechners 10 sowie des Stellgliedes 12 an die von der Auswerteschaltung 20 verarbeitbaren Größen kann dabei über Schnittstellen 56 und 58 erfolgen, die entsprechend der erforderlichen Signalanpassung als Impedanzwandler oder als Digital- Analog-Wandler ausgebildet sind.

Die Auswerteschaltung 20 umfaßt einen Sollwertgeber 22, einen Vergleicher 24, einen Schaltsignalgenerator 26 sowie als zweckmäßige Ergänzung einen Zähler 52 und einen Schwellwertgeber 54.

Der Sollwertgeber 22 kann dabei als fester oder als steuerbarer Sollwertgeber ausgebildet sein. Um die zweite Alternative anzudeuten, sind gestrichelt gezeich­ nete Steuerleitungen dargestellt und zwar eine, die mit dem Dateneingang 46 des Rechners 10, eine die mit einem Datenausgang 48 und eine die mit dem Ausgang 28 des Rechners 10 verbunden ist.

Werden die Sollwerte aus dem Dateneingang 46 gewonnen, so könnte der Sollwertgeber 22 identisch dem Rechner 10 aufgebaut werden und so den ganzen Programmablauf nachbilden. Eine einfachere Ausgestaltung des Soll­ wertgebers 22 ist möglich, wenn über den Datenaus­ gang 48 des Rechners 10 Zwischenergebnisse als Soll­ werte zugrunde gelegt werden. Noch einfacher kann der Sollwertgeber ausgebildet werden, wenn nur Prüfsignale am Ausgang 28 des Rechners 10 ausgewertet und mit dem kombinierten Datensignal oder einem Vorhergehenden oder Folgenden verglichen werden.

Der Vergleicher 24 vergleicht die vom Sollwertgeber 22 erzeugten Sollwerte mit den Signalproben, die ihm über die Auswerteeingänge 16 und 18 zugeführt werden. Hier­ bei sind sowohl Vergleiche zwischen den einzelnen Sig­ nalproben und den Sollwerten möglich als auch Ver­ gleiche zwischen kombinierten Signalproben und Soll­ werten. Die Vergleichsmöglichkeiten der einzelnen Sig­ nalproben mit den Sollwerten werden durch die Additions­ stellen 60 und 62 symbolisiert. Die Vergleichsmöglich­ keiten der kombinierten Signalproben, welche zuvor einer Additionsstelle 64 zugeführt sind, erfolgen in einer mit 66 angedeuteten Additionsstelle.

Die Darstellung der Additionsstellen dient lediglich der Erläuterung. Bei einer praktischen Ausgestaltung kann auch nur eine einzige Additionsstelle vorhanden sein, die im Zeitmultiplexverfahren umgeschaltet wird. Alternativ kann die Vergleichsschaltung 24 sowie auch die anderen Funktionsblöcke 22, 26, 52, 54 durch einen Prozeßrechner mit einem entsprechenden Rechenprogramm realisiert werden.

An die Vergleichsschaltung 24 schließt sich der Schalt­ signalgenerator 26 an. Dieser besitzt einer der Anzahl der möglichen Störfälle entsprechende Anzahl von Ein­ gängen und Ausgängen 32, 34, 36, 38. Der Ausgang 32 des Schaltsignalgenerators 26 ist mit einem Rücksetz­ eingang 50 des Rechners 10 verbunden. Die übrigen Aus­ gänge sind mit als optische Melder dargestellten Sig­ nalgebern 40, 42, 44 verbunden.

Zur Zählung der am Ausgang 32 auftretenden Rücksetz­ signale dient ein Zähler 52, der gesondert mit einem Eingang des Schaltsignalgenerators 26 verbunden ist und auf den Ausgang 38 arbeitet. Schließlich ist noch der Schwellwertgeber 54 vorhanden, welcher obere und untere Schwellwerte erzeugt, die auf zusätzliche Additions­ stellen 68 und 70 des Vergleichers 24 gegeben werden, um eine Schaltsignalerzeugung bei Unter- oder Über­ schreiten bestimmter Schwellwerte zu unterdrücken.

Die Funktionsweise der Schaltung wird nun anhand meh­ rerer angenommener Störfälle erläutert. Es wird zu­ nächst davon ausgegangen, daß aufgrund einer Schalt­ störung ein Programmfehler eingetreten ist. Der Soll­ wertgeber 22 setzt nun zu einem bestimmten Zeitpunkt ein Signal, das jedoch am Ausgang 28 des Rechners 10 ausbleibt. Zum Sollwertgeber 22 gelangt dann an die Additionsstelle 60 des Vergleichers 24 ein Signal, während vom Auswerteeingang 16 kein Signal angelegt wird. Der Vergleicher 24 stellt somit eine Abweichung fest, die an den Schaltsignalgenerator 26 weiterge­ geben wird und ihn veranlaßt, über seinen Ausgang 32 ein Rücksetzsignal an den Rücksetzeingang 50 des Rech­ ners 10 zu übermitteln. Der Rechner 10 wird dann zu­ rückgesetzt, startet erneut und der Programmfehler ist behoben.

Handelt es sich bei dem Programmfehler jedoch um einen solchen, der durch eine Veränderung des Speicherinhalts eines internen Speichers hervorgerufen wurde, so er­ folgt zunächst der gleiche Vorgang wie zuvor beschrieben. Nach dem Neustart des Rechners 10 durch Rücksetzen über den Rücksetzeingang 50 tritt die gleiche Störung er­ neut auf, was folglich zu einer erneuten Rücksetzung führt. Die einzelnen Rücksetzsignale werden nun vom Zähler 52 gezählt und bei Erreichen eines Höchstwertes innerhalb einer vorgegebenen Zeitspanne wird der Sig­ nalgeber 44 erregt. Damit einhergehend könnte dann die Anlage entweder abgeschaltet oder ein Ersatzprozeß­ rechner eingeschaltet werden.

Als weiterer Störfall wird eine Spannungsänderung oder Unterbrechung beim Stellglied 12 angenommen. Die am Stellausgang 30 des Stellgliedes entnommene Signalprobe gelangt über den Auswerteeingang 18 an die Additions­ stelle 62 und wird mit einem vom Sollwertgeber 22 an­ gelegten Sollwert verglichen. Da die Signalprobe von diesem Sollwert abweicht, wird der Schaltsignalgene­ rator 26 vom Vergleicher 24 veranlaßt, über seinen Aus­ gang 36 den Signalgeber 42 zu aktivieren. Dieser zeigt jetzt einen allgemeinen Schaltungsfehler an.

Liegt die Abweichung der Betriebsspannung jedoch unter­ halb eines bestimmten Schwellwertes, so wird durch die weitere Additionsstelle 68 in Verbindung mit dem vom Schwellwertgeber 54 angelegten Schwellwert eine An­ steuerung des Schaltsignalgenerators 26 unterdrückt.

Als vierter Störfall wird schließlich eine Änderung der Übertragungseigenschaft des Stellgliedes angenommen. Auf ein Ausgangssignal am Ausgang 28 des Rechners 10 ändert sich das Ausgangssignal am Stellausgang 30 des Stellgliedes 12 nicht oder nicht ausreichend. Die Sig­ nalproben an den beiden Ausgängen 28 und 30 gelangen zu den Auswerteeingängen 16 und 18 der Auswerteschal­ tung 20. Hier erfolgt zunächst in der Additionsstelle 64 ein Vergleich der beiden Signale. Das Abweichen der Signale gelangt von dort zu der Additionsstelle 66 wo es mit einem vom Sollwertgeber 22 angelegten Sollwert verglichen wird. Aufgrund der Abweichung wird nun der Schaltsignalgenerator 26 veranlaßt, über seinen Ausgang 34 den Signalgeber 40 zu erregen. Liegt die geschil­ derte Abweichung der Signale unterhab eines Schwell­ wertes, so daß noch von einer Übereinstimmung (Ko­ inzidenz) gesprochen werden kann, so wird durch die Additionsstelle 70 in Verbindung mit dem Schwellwert­ geber 54 die Ansteuerung des Schaltsignalgebers 26 unterdrückt.

Da beim Vergleich der beiden Ausgänge 28 und 30 eine Störung auf das Stellglied 12 eingegrenzt werden kann, wäre es möglich, in Verbindung mit dem Schaltsignal am Ausgang 34, das hier den Signalgeber 40 erregt, auch ein ersatzweise vorgesehenes Stellglied einzu­ schalten.

In Fig. 2 sind die geschilderten Störfälle graphisch dargestellt und zwar sind jeweils links die am Aus­ gang 28 des Rechners 10 auftretenden Signale und rechts daneben die am Stellausgang 30 des Stellgliedes 12 auf­ tretenden Signale dargestellt. Fig. 2a veranschaulicht zunächst den störungsfreien Betrieb, bei der das Sig­ nal am Ausgang 28 des Rechners 10 im vorgesehenen Zeit­ punkt auftritt und das Signal am Ausgang 30 des Stell­ gliedes 12 diesem folgt. Dargestellt sind jeweils zwei Signalzyklen.

In Fig. 2b ist der Signalverlauf bei einer durch äußere Einflüsse verursachten Programmstörung dargestellt. Das zu einem vorgesehenen Zeitpunkt am Ausgang 28 des Rech­ ners 10 erwartete Signal bleibt aus, tritt nach Rück­ setzen des Rechners 10 beim nächsten Zyklus jedoch im richtigen Zeitpunkt auf.

Fig. 2c zeigt den Fall einer internen Programmstörung. Zu den vorgesehenen Zeitpunkten tritt am Ausgang 28 des Rechners 10 kein Signal auf.

In Fig. 2d ist eine stationäre Störung am Stellaus­ gang 30 des Stellgliedes 12 veranschaulicht.

Schließlich ist noch in Fig. 2e der Signalverlauf an den Ausgängen 28 und 30 veranschaulicht, wie er bei einer Störung der Übertragungseigenschaft des Stell­ gliedes 12 auftritt.

Zur Bezugnahme auf die aufgrund dieser Störfälle aus­ gelösten Schaltsignale sind jeweils neben den Darstel­ lungen noch die bei Auftreten dieser Störungen akti­ vierten Ausgänge des Schaltsignalgenerators 26 ange­ geben.

Claims (19)

1. Verfahren zur Überwachung rechnergesteuerter Stellglieder, insbesondere für Sicherheitseinrichtungen in Kraftfahrzeugen (z.B. Antiblockiersystem, air bags oder Gurtstraffer), bestehend aus einem Prozeßrechner und mindestens einem von diesem angesteuerten elek­ tronischen Stellglied, dadurch gekennzeichnet, daß so­ wohl am Ausgang des Rechners als auch am Stellausgang des Stellgliedes Signalproben entnommen und einer ge­ meinsamen Auswerteschaltung zugeführt werden, daß die Signalproben fortlaufend mit Sollwerten verglichen wer­ den und das bei Abweichungen der Signalproben von den Sollwerten Schaltsignale erzeugt und dem Rechner und/ oder einem Signalgeber zugeführt werden.

2. Verfahren nach Anspruch 1, dadurch gekenn­ zeichnet, daß der Auswerteschaltung zusätzlich fort­ laufend Sollwerte des Prozeßrechners übermittelt werden.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß daß Schaltsignal bei erstmaliger Abweichung der am Ausgang des Rechners entnommenen Sig­ nalprobe von dem Sollwert ein einem Steuereingang des Rechners zugeführtes Rücksetzsignal ist.

4. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß das Schaltsignal bei mehrmaliger Abweichung der am Ausgang des Rechners entnommenen Sig­ nalprobe von dem Sollwert innerhalb einer vorgegebenen Zeitspanne ein einen ersten Signalgeber erregendes Alarm­ signal ist.

5. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß das Schaltsignal bei Abweichung der am Stellausgang des Stellgliedes entnommenen Signal­ probe von dem Sollwert ein einen weiteren Signalgeber erregendes Alarmsignal ist.

6. Verfahren nach Anspruch 5, dadurch gekenn­ zeichnet, daß das Schaltsignal bei statischer Abweichung der am Stellausgang des Stellgliedes entnommenen Signal­ probe von dem Sollwert ein einen zweiten Signalgeber erregendes Alarmsignal ist.

7. Verfahren nach Anspruch 5, dadurch gekenn­ zeichnet, daß das Schaltsignal bei koinzidenter Ab­ weichung der am Stellausgang des Stellgliedes ent­ nommenen Signalprobe von dem Sollwert in Abhängigkeit am Ausgang des Rechners entnommenen Signalprobe ein einen dritten Signalgeber erregendes Alarmsignal ist.

8. Verfahren nach einem der Ansprüche 1-7, dadurch gekennzeichnet, daß die Alarmsignale durch wenigstens einen unterschiedliche Bedeutungsinhalte ermittelnden Melder optisch und/oder akustisch ange­ zeigt werden.

9. Verfahren nach einem der Ansprüche 1-8 dadurch gekennzeichnet, daß die am Stellausgang des Stellgliedes entnommene Signalprobe in ein digitales Signal umgewandelt und in der Auswerteschaltung als digitales Signal weiter verarbeitet wird.

10. Verfahren nach Anspruch 9, dadurch gekenn­ zeichnet, daß durch einen Schwellwertgeber untere und/ obere Schwellwerte vorgegeben werden, bei deren Unter- bzw. Überschreiten erst Schaltsignale erzeugt wer­ den.

11. Schaltungsanordnung zur Überwachung rechner­ gesteuerter Stellglieder, insbesondere für Sicherheits­ einrichtungen in Kraftfahrzeugen (z.B. Antiblockier­ systeme, air bags oder Gurtstraffer), bestehend aus einem Prozeßrechner (10) und mindestens einem von die­ sem angesteuerten elektronischen Stellglied (12), da­ durch gekennzeichnet, daß eine über zwei Auswerteein­ gänge (16, 18) verfügende Auswerteschaltung (20) vor­ gesehen ist, die einen Sollwertgeber (22), einen von dem Sollwertgeber (22) und den Auswerteeingängen (16, 18) ansteuerbaren Vergleicher (24) sowie einen von dem Vergleicher (24) angesteuerten Schaltsignalgenerator (26) umfaßt, daß der eine Auswerteeingang (16) mit einem Ausgang (28) des Rechners und der andere Auswerteein­ gang (18) mit einem Stellausgang (30) des Stellgliedes (12) verbunden ist und daß Ausgänge (32, 34, 36, 38) des Schaltsignalgenerators (26) mit dem Rechner (10) und/oder mit wenigstens einem Signalgeber (40, 42, 44) verbunden sind.

12. Schaltungsanordnung nach Anspruch 11, dadurch gekennzeichnet, daß der Sollwertgeber (22) steuerbar ausgebildet und mit einem Dateneingang (46) oder einem Ausgang (48, 28) des Rechners (10) verbunden ist.

13. Schaltungsanordnung nach Anspruch 11 oder 12, dadurch gekennzeichnet, daß der Schaltsignalgene­ rator (26) wenigstens zwei Ausgänge (32; 34, 36, 38) für unterschiedliche Schaltsignale umfaßt.

14. Schaltungsanordnung nach Anspruch 13, dadurch gekennzeichnet, daß der eine Ausgang (32) des Schalt­ signalgenerators (26) mit einem Rücksetzeingang (50) des Rechners (10) und die anderen Ausgänge (34, 36, 38) mit den Eingängen von Signalgebern in Form von akus­ tischen und/oder optischen Meldern (40, 42, 44) ver­ bunden sind.

15. Schaltungsanordnung nach Anspruch 14, da­ durch gekennzeichnet, daß die Auswerteschaltung (20) zusätzlich einen Zähler (52) für die auf den einen Ausgang (32) angelegten Schaltsignale umfaßt.

16. Schaltungsanordnung nach einem der An­ sprüche 11-15, dadurch gekennzeichnet, daß die Aus­ werteschaltung zusätzlich einen Schwellwertgeber (54) für untere und/obere Schwellwerte umfaßt und der Schwell­ wertgeber (54) mit dem Vergleicher (24) verbunden ist.

17. Schaltungsanordnung nach einem der An­ sprüche 11-16, dadurch gekennzeichnet, daß die Aus­ werteschaltung als zusätzlicher Prozeßrechner (20) ausgebildet ist und daß zwischen den Eingängen (16, 18) dieses Rechners (26) einerseits und dem Ausgang (28) des ersten Rechners (10) sowie dem Stellausgang (30) des Stellgliedes (12) andererseits Schnittstellen (56, 58) angeordnet sind.

18. Schaltungsanordnung nach Anspruch 17, da­ durch gekennzeichnet, daß die Schnittstellen als Im­ pedanzwandler (56, 58) ausgebildet sind.

19. Schaltungsanordnung nach Anspruch 17, da­ durch gekennzeichnet, daß die Schnittstellen als Di­ gital-Analog-Wandler (56, 58) ausgebildet sind.