EP1740815B1

EP1740815B1 - Elektronische steuereinrichtung und verfahren zur steuerung des betriebs von kraftfahrzeugkomponenten

Info

Publication number: EP1740815B1
Application number: EP05731759A
Authority: EP
Inventors: Norman Marenco
Original assignee: Continental Automotive GmbH
Current assignee: Continental Automotive GmbH
Priority date: 2004-04-27
Filing date: 2005-03-21
Publication date: 2012-10-31
Anticipated expiration: 2025-03-21
Also published as: CN1946924A; EP1740815A1; US7444226B2; DE102004020538A1; KR101166594B1; JP2007535049A; DE102004020538B4; JP4331778B2; KR20070006927A; US20080033626A1; WO2005106229A1; CN100436792C

Description

Die vorliegende Erfindung betrifft eine Steuereinrichtung sowie ein Verfahren zur Steuerung des Betriebs von Kraftfahrzeugkomponenten, insbesondere einer Brennkraftmaschine oder eines Getriebes eines Kraftfahrzeugs, nach dem Oberbegriff des Anspruchs 1 bzw. 8.
Derartige Steuereinrichtungen und Steuerverfahren sind an sich bekannt( DE 40 04 427 A1 , DE 42 31 432 A1 , DE 44 38 714 A1 , DE 3728 561 A1 ) und werden hierbei durch eine üblicherweise als "Steuergerät" bezeichnete elektronische Baueinheit realisiert, in welcher vielfältige Steuer- und/oder Überwachungsfunktionen für elektronische bzw. elektrische Komponenten zusammengefasst sind. Die in der Vergangenheit stetig gestiegenen Anforderungen hinsichtlich der Funktionalitäten solcher Steuergeräte haben dazu geführt, dass die gewünschten Funktionen heutzutage größtenteils durch Einsatz eines Mikrocontrollers implementiert werden. Der Begriff "Mikrocontroller" bezeichnet hierbei eine elektronische programmgesteuerte Steuereinrichtung, die typischerweise wie ein PC eine CPU, einen RAM, einen ROM und I/O-Ports aufweist, im Gegensatz zu einem PC jedoch für eine sehr spezielle Anwendung ausgelegt ist.
Bei den von der Steuereinrichtung zu steuernden Komponenten kann es sich neben unmittelbar der Brennkraftmaschine zuzuordnenden Komponenten wie einer Kraftstoffpumpe, einem Drosselklappenventil, einem Kraftstoffinjektor oder einer Lambdasonde auch um andere Komponenten des Fahrzeugs handeln. Eingangsseitig werden der Steuereinrichtung zur Steuerung benötigte Sensorsignale bzw. Messgrößen eingegeben, z. B. betreffend die Kurbelwellendrehgeschwindigkeit und -stellung, die Motortemperatur, die Einlasslufttemperatur und -menge, die Fahrpedalstellung etc. Diese Aufzählung der zu steuernden bzw. sensierenden Komponenten ist keineswegs abschließend und dient lediglich der Veranschaulichung der Vielzahl denkbarer Funktionen einer Steuereinrichtung.
Da ein Mikrocontroller bzw. dessen I/O-Ports technologiebedingt zumeist nicht zur direkten Ansteuerung der hier interessierenden Fahrzeugkomponenten geeignet sind, werden diese Komponenten üblicherweise durch zugeordnete Endstufen gesteuert, welche zu diesem Zweck eingangsseitig entsprechende Steuersignale des Mikrocontrollers erhalten und ausgangsseitig die zur Aktivierung und Deaktivierung der Komponenten erforderlichen Spannungen oder Ströme bereitstellen, beispielsweise den Lade- und Entladestrom eines piezobetätigten Kraftstoffeinspritzventils. Insbesondere im Hinblick auf die sicherheitskritischen Funktionen wird den Endstufen üblicherweise neben den Steuersignalen auch ein digitales, so genanntes Freigabesignal zugeführt, mittels welchem je nach Freigabesignalzustand eine Sperrung oder eine Freigabe der Aktivierung signalisiert wird. Diese von der eigentlichen Ansteuerung der Endstufe unabhängige Freigabe wird hierbei von einer Freigabesteuereinrichtung gegeben, die bei bekannten Steuereinrichtungen in einer Überwachungseinrichtung integriert ist, welche den ordnungsgemäßen Betrieb des Mikrocontrollers überwacht, um im Falle eines Fehlers geeignete Maßnahmen zu treffen, beispielsweise den Mikrocontroller zurückzusetzen (Reset) und/oder ein oder mehrere Freigabesignale auf den ersten Freigabesignalzustand zu setzen, mit welchem jede zugeordnete Endstufe gesperrt bzw. abgeschaltet wird.
Eine solche Überwachungseinrichtung, oftmals als "Watchdog" bezeichnet, kann hierbei im Mikrocontroller integriert oder separat von diesem angeordnet sein. Die Funktion einer solchen Überwachungseinrichtung beruht beispielsweise darauf, dass diese Einrichtung dem Mikrocontroller von Zeit zu Zeit Aufgaben stellt und anhand der vom Mikrocontroller zurückgelieferten Resultate feststellt, ob der Mikrocontroller korrekt arbeitet oder nicht.
Die elektrischen Verbindungen, welche zur Übertragung von Freigabesignalen zu den relevanten Endstufen vorgesehen sind (Abschaltpfade), können aus Gründen erhöhter Sicherheit mehrfach (redundant) ausgelegt werden. Ferner kann die Fähigkeit zur Abschaltung von Endstufen mittels der digitalen Freigabesignale anhand eines Selbsttests im inaktiven Systemzustand überprüft werden, d. h. mindestens einmal pro Nutzungszyklus. Ein fehlerhaftes Abweichen der Betriebsbedingungen vom erlaubten Bereich, insbesondere irgendwelche Fehler innerhalb des Mikrocontrollers, einschließlich von fehlerhafter Software hervorgerufene Fehler, sind jedoch im aktiven Betrieb des Systems am wahrscheinlichsten.
Wenn im aktiven Betrieb des Systems ein Fehler auftritt, der durch die Überwachungseinrichtung erkannt werden sollte, und Endstufen mittels des digitalen Freigabesignals in einen als "sicher" definierten Zustand überführt werden sollten, so ergeben sich bei den bekannten Steuereinrichtungen in der Praxis jedoch Unzulänglichkeiten.
Insbesondere kann es vorkommen, dass im Fehlerfall ein Freigabesignal deshalb nicht in den ersten, eine Sperrung der zugeordneten Endstufe bewirkenden Signalzustand überführt wird, weil der Fehler in der Überwachungseinrichtung selbst bzw. deren Freigabesteuereinrichtung vorliegt oder der Fehler die ordnungsgemäße Funktion dieser letzteren Einrichtungen beeinträchtigt.
Zur Lösung dieses Problems der oftmals unzulänglichen Sicherheit der Überwachung ist es zwar denkbar, die Redundanz der Überwachung weiter zu erhöhen und im Hinblick auf Fehler, die durch eine Überspannung (z. B. durch Kurzschluss) entstehen, robuster auszuführen. Solche Lösungen sind jedoch teuer, verringern unter Umständen die Zuverlässigkeit im Normalbetrieb und dürften sich in der Praxis wieder auf mehr oder weniger spezifische Fehlerfälle beschränken, für die sie konzipiert werden.
Es ist daher eine Aufgabe der vorliegenden Erfindung, eine Steuereinrichtung sowie ein Verfahren zur Steuerung des Betriebs einer Brennkraftmaschine eines Kraftfahrzeugs mit einem besseren Verhalten im Fehlerfall bereitzustellen.
Diese Aufgabe wird gelöst mit einer Steuereinrichtung nach Anspruch 1 bzw. einem Motorsteuerverfahren nach Anspruch 8. Die abhängigen Ansprüche betreffen vorteilhafte Weiterbildungen der Erfindung.
Die erfindungsgemäße Steuereinrichtung ist gekennzeichnet durch eine Modulationseinrichtung zur periodischen Modulation des von der Freigabesteuereinrichtung bereitgestellten Freigabesignals und eine Auswerteeinrichtung zum Analysieren des der Endstufe zugeführten Freigabesignals hinsichtlich der periodischen Modulation und zum Versetzen der Endstufe in einen vorbestimmten Fehlerfallzustand bei einem Ausbleiben der periodischen Modulation.
Durch die Modulation des von der Freigabesteuereinrichtung bereitgestellten Freigabesignals und die Auswertung des in Richtung zur Endstufe hin geführten Freigabesignals hinsichtlich dieser Modulation ist sichergestellt, dass ein auf Grund eines Fehlers im Bereich der Freigabesignalerzeugung und/oder Freigabesignalübertragung vorliegender Fehler zuverlässig (anhand des Ausbleibens der Modulation) erkannt wird. Die betreffende Endstufe kann somit zuverlässig auch in einem solchen Fall in einen vorbestimmten Fehlerfallzustand gebracht werden, der z. B. als Abschaltzustand oder Resetzustand der Endstufe vorgesehen ist.
Insbesondere werden Fehler, bei welchen das Freigabesignal statisch (dauerhaft) einen bestimmten der beiden Freigabesignalzustände annimmt, zuverlässig und zutreffend als Fehler erkannt.
Mit der Erfindung wird somit ein "Failsafe-Abschaltpfad" realisiert, welcher die Sicherheit des Systems erhöht.
In einer bevorzugten Ausführungsform umfasst die Modulationseinrichtung:

einen Pulsgenerator zur Erzeugung einer periodischen Folge von Modulationspulsen, und
eine der Freigabesteuereinrichtung nachgeschaltete Modulationsstufe, welcher das Freigabesignal von der Freigabesteuereinrichtung sowie die periodische Folge von Modulationspulsen von dem Pulsgenerator eingegeben wird und welche zumindest bei Vorliegen des zweiten Freigabesignalzustands das Freigabesignal jeweils für die Dauer eines Modulationspulses invertiert.

In diesem Fall kann die Auswerteeinrichtung eine der Endstufe vorgeschaltete Auswertestufe umfassen, welcher das Freigabesignal von der Modulationsstufe eingegeben wird und welche das eingegebene Freigabesignal hinsichtlich des Vorliegens der entsprechend der Modulationspulsfolge invertierten Freigabesignalabschnitte analysiert und bei Vorliegen dieser invertierten Freigabesignalabschnitte das Freigabesignal an die Endstufe weitergibt und bei Ausbleiben dieser invertierten Freigabesignalabschnitte die Endstufe in den vorbestimmten Fehlerfallzustand versetzt.
In einer bevorzugten Ausführungsform ist die Auswerteeinrichtung derart vorgesehen, dass bei einem Übergang des eingegebenen Freigabesignals von dem einen zu dem anderen Freigabesignalzustand das an die Endstufe weitergegebene Freigabesignal erst dann übergehen gelassen wird, wenn von der Auswerteeinrichtung ausgeschlossen werden kann, dass der Übergang des eingegebenen Signals lediglich auf Grund der Modulation erfolgte, also nicht durch einen entsprechenden Übergang des von der Freigabesteuereinrichtung bereitgestellten Freigabesignals hervorgerufen wurde. Diese Überprüfung der Auswerteeinrichtung vor einem Wechsel des ausgegebenen Freigabesignalzustands erfordert unter Umständen eine gewisse Zeit, was in der Praxis jedoch oftmals hinnehmbar ist. Alternativ kann diese in der Regel mit einer Verzögerung verbundene Überprüfung der Auswerteeinrichtung nur dann vorgesehen sein, wenn das Freigabesignal vom ersten in den zweiten oder vom zweiten in den ersten Freigabesignalzustand wechselt.
Bevorzugt ist die Auswerteeinrichtung derart ausgebildet, dass die Modulation des eingegebenen Freigabesignals entfernt wird, d. h. das an die Endstufe ausgegebene Freigabesignal keine solche Modulation enthält. Denkbar ist jedoch auch, die Modulation im Freigabesignal zu belassen, sei es dass die im zeitlichen Signalverlauf relativ kurzzeitigen Modulationsabschnitte die Ansteuerung der betreffenden Endstufe nicht wesentlich beeinträchtigen oder die Modulationen in der Endstufe weggefiltert werden.
Der Pulsgenerator kann zusammen mit der Modulationsstufe z. B. in der Überwachungseinrichtung integriert vorgesehen sein, also insbesondere zusammen mit den übrigen Schaltungsteilen der Überwachungseinrichtung in einer gemeinsamen integrierten Schaltung, die gegebenenfalls auch den Mikrocontroller einbeziehen kann.
Bevorzugt ist die Freigabesteuereinrichtung in einer Überwachungseinrichtung (wie etwa dem eingangs erwähnten Watchdog) integriert, welche den ordnungsgemäßen Betrieb des Mikrocontrollers überwacht und nur bei Feststellung eines ordnungsgemäßen Betriebs das Freigabesignal im zweiten Freigabesignalzustand bereitstellt. In vielen Anwendungsfällen, etwa wenn ein kommerziell erhältlicher Mikrocontrollerchip verwendet werden soll, ist es von Vorteil, die Überwachungseinrichtung einschließlich der Freigabesteuereinrichtung und einschließlich wenigstens eines Teils der Modulationseinrichtung (z. B. ohne den unten noch beschriebenen Pulsgenerator) in einer gemeinsamen integrierten Schaltung vorzusehen, die separat von dem Mikrocontrollerchip in einer elektronischen Baueinheit (Steuergerät) angeordnet ist.
Bevorzugt ist die Auswerteeinrichtung in einer die Endstufe enthaltenden Endstufeneinrichtung integriert, also insbesondere in einer gemeinsamen integrierten Schaltung ausgeführt. Abgesehen von dem Vorteil einer kostengünstigen Implementierung der Auswerteeinrichtung, z. B. ohne zusätzliche elektronische Bauteile, ergibt sich daraus in der Praxis ein weiterer, ganz wesentlicher Vorteil im Zusammenhang mit einer Überspannungsüberwachung bzw. im Zusammenhang mit dem "Failsafe"-Verhalten des Gesamtsystems im speziellen Fehlerfall einer Überspannung.
Dieser Vorteil bedarf einer detaillierteren Erläuterung:

Jegliches Verhalten der in der Steuereinrichtung verwendeten elektronischen Bauteile kann nur innerhalb eines begrenzten, technologiebedingten Betriebsbereiches garantiert werden. Sobald dieser Bereich verlassen wird, z. B. bei Vorliegen unzulässig hoher Spannungen an irgendeiner Stelle des Systems, ist jede beliebige Konfiguration der Freigabesignale vorstellbar.

Wenn die Überwachungseinrichtung eine gewisse Komplexität übersteigt, so ist es in der Praxis wirtschaftlich sinnvoll, diese Einrichtung in einer von den Endstufen, bei denen es sich zumeist um Leistungsendstufen handelt, verschiedenen Technologie auszuführen, nämlich zweckmäßigerweise in einer Niedervolt-Technologie (wie z. B. den Mikrocontroller).
Wenn nun diese Überwachungseinrichtung auch die Aufgabe einer Überspannungserkennung übernimmt, da die dafür erforderliche Präzision in den abzuschaltenden Leistungsendstufen in der Regel nicht erreicht werden kann, so kann der Fall eintreten, dass der zulässige Spannungsbereich der Überwachungseinrichtung überschritten wird, selbst wenn die Endstufe noch in ihrem erlaubten Bereich arbeitet, so dass ein Übergang in den gewünschten vorbestimmten Fehlerfallzustand nicht mehr gewährleistet werden kann.
Wenn jedoch die Auswerteeinrichtung eine höhere Spannungsfestigkeit besitzt als der Mikrocontroller bzw. diejenigen Schaltungsteile der Steuereinrichtung, welche zur Bereitstellung des Freigabesignals erforderlich sind, also die Auswerteeinrichtung z. B. in einer die Endstufe enthaltenden Endstufeneinrichtung mit relativ hoher Spannungsfestigkeit integriert ist, so kann der überspannungsbedingte Ausfall im Bereich des Mikrocontrollers oder der Überwachungseinrichtung oder der Freigabesteuereinrichtung dennoch zuverlässig erkannt werden, solange die Überspannung nicht einen Ausfall der Endstufeneinrichtung bewirkt. Letzteres ist jedoch durch entsprechende Dimensionierung der Spannungsfestigkeit der Endstufe leicht zu gewährleisten, die in der Praxis ohnehin oftmals zumindest für die Bordnetzspannung des Fahrzeugs zuzüglich einer gewissen Sicherheitsreserve ausgelegt werden muss.
Die gemäß der Erfindung eingesetzte Modulation des Freigabesignals sollte den Normalbetrieb des Systems möglichst wenig beeinträchtigen. In dieser Hinsicht ist es vorteilhaft, wenn die Periode der Modulation derart vorgegeben wird, dass diese höchstens so groß gewählt ist wie eine für die Überwachungseinrichtung spezifizierte Fehlerreaktionszeit, bevorzugt kleiner als diese Fehlerreaktionszeit. Bei Steuereinrichtungen für die Brennkraftmaschine und/oder das Getriebe eines Kraftfahrzeugs sind in der Regel z. B. Perioden von weniger als 100 ms gut geeignet. Auch ist es von Vorteil, wenn das Tastverhältnis der Modulation kleiner als 10% ist, z. B. in der Größenordnung von 1%. Wenn, wie oben bereits erwähnt, das Freigabesignal von der Freigabesteuereinrichtung jeweils für die Dauer eines Modulationspulses invertiert bzw. unterbrochen wird, so sollte die Pulsdauer im Verhältnis zur Periode also relativ klein gewählt werden und die Periode selbst ebenfalls für die betreffende Anwendung kurz genug sein, um unter Betrachtung aller Toleranzen innerhalb vorgegebener Fehlerreaktionszeiten eine Reaktion der Auswerteeinrichtung im Fehlerfall zu gewährleisten.
Falls die Auswerteeinrichtung ein Ausbleiben der Modulation und somit einen Fehlerfall festgestellt hat, so wird z. B. ein im ersten Freigabesignalzustand befindliches Freigabesignal an die nachfolgende Endstufe oder die nachfolgenden Endstufen ausgegeben, um eine Aktivierung der gesteuerten Komponenten zu sperren (wenigstens solange die Modulation ausbleibt und/oder wenigstens für eine vorgegebene Zeitdauer). Abhängig von der Art der gesteuerten Komponenten ist es jedoch nicht grundsätzlich ausgeschlossen, dass der Fehlerfallzustand, in welchen die Endstufe zu versetzen ist, gerade darin besteht, die Aktivierung freizugeben. Entscheidend ist, dass im Falle eines Fehlers, der durch das Ausbleiben der Modulation detektiert wird, die betreffende Endstufe in einen vorgegebenen Fehlerfallzustand versetzt wird. Wenngleich es sich bei den meisten Endstufen anbietet, zu diesem Zweck das Freigabesignal dauerhaft in einen definierten Zustand zu bringen, so ist es alternativ oder zusätzlich möglich, den Zustand der Endstufe in anderer Weise gezielt zu beeinflussen, z. B. durch irgendeine Art von Fehlerfallsignal, wie z. B. einem Resetsignal, welches für die betreffende Endstufe vorgesehen ist. Schließlich kann bei Erfassung eines Fehlerfalles dies auch an andere Schaltungsteile der Steuereinrichtung gemeldet werden, insbesondere an den Mikrocontroller und/oder eine Versorgungsspannungseinheit mit Resetfunktionen, die bei Inbetriebnahme der Steuereinrichtung die einzelnen Einrichtungskomponenten in definierter Weise zunächst zurücksetzt bzw. startet.
Die Erfindung wird nachfolgend anhand eines Ausführungsbeispiels mit Bezug auf die beigefügten Zeichnungen näher beschrieben. Es stellen dar:

Fig. 1: ist ein schematisches Blockschaltbild eines Motorsteuergeräts zur Steuerung des Betriebs eines Einspritzmotors eines Kraftfahrzeugs, und
Fig. 2: ist eine Darstellung des zeitlichen Verlaufs verschiedener, im Motorsteuergerät nach Fig. 1 vorkommender Signale.

Fig. 1 zeigt wesentliche Komponenten eines insgesamt mit 10 bezeichneten Motorsteuergeräts für einen Direkteinspritzmotor eines Kraftfahrzeugs, umfassend einen Mikrocontroller 12 zur Bereitstellung eines Steuersignals S zur Steuerung der im Betrieb der nicht dargestellten Brennkraftmaschine zu steuernden Kraftstoffeinspritzanlage, eine Freigabeeinheit 14 zur Bereitstellung eines digitalen Freigabesignals b, mittels welchem durch einen ersten logischen Freigabesignalzustand "Low" (L) eine Sperrung und durch einen zweiten logischen Freigabesignalzustand "High" (H) eine Freigabe der Aktivierung der Kraftstoffeinspritzanlage signalisiert wird, und eine Endstufe 16 zur Aktivierung und Deaktivierung der zu steuernden Komponente, hier der Kraftstoffeinspritzanlage, basierend auf dem Steuersignal S unter Berücksichtigung eines dieser Endstufe 16 eingegebenen Freigabesignals d. Bei herkömmlichen Motorsteuergeräten wird das von der Freigabeeinheit 14 ausgegebene Freigabesignal b direkt der Endstufe 16 eingegeben bzw. sind die Signale b und d identisch. Nicht so bei dem dargestellten Steuergerät 10, wie es unten noch beschrieben wird.
Die Endstufe 16 initiiert eine Kraftstoffeinspritzung durch Ausgabe von entsprechenden Ansteuersignalen an die verschiedenen Kraftstoffinjektoren (die am rechten Rand der Fig. 1 eingezeichneten Signalleitungen symbolisieren die Ansteuerung von vier Kraftstoffinjektoren) nur dann, wenn das der Endstufe 16 eingegebene Freigabesignal d im H-Zustand ist. Das Einspritztiming und die Einspritzmengen werden hierbei im Wesentlichen durch das vom Mikrocontroller 12 ausgegebene Steuersignal S bestimmt. Der Einfachheit der Darstellung halber ist die Übertragung des Steuersignals S hier nur durch eine Leitung symbolisiert. Tatsächlich kann diese Verbindung je nach anzusteuernder Endstufe als kompliziertere Leitungsanordnung ausgeführt sein. Des weiteren sind in der Darstellung von Fig. 1 alle Schaltungsteile des Steuergeräts 10 weggelassen, die zum Verständnis der Erfindung nicht wesentlich sind und in herkömmlicher Weise gestaltet sein können (z. B. Spannungsversorgung(en), Eingangssignale am Mikrocontroller zur Aufnahme diverser Sensorsignale, die im Rahmen der Fahrzeugkomponentensteuerung oder Motorsteuerung benötigt werden).
Eine Besonderheit des dargestellten Steuergeräts 10 besteht in der Erzeugung, Übertragung und Verwendung eines besonderen Freigabesignals und wird nachfolgend anhand der lediglich beispielhaft zu verstehenden Endstufe 16 für eine Kraftstoffeinspritzanlage erläutert. Selbstverständlich weist das Motorsteuergerät 10 in der Praxis weitere Endstufen zur Steuerung weiterer Fahrzeugkomponenten, insbesondere Motorkomponenten, auf, für welche die nachfolgend beschriebene Methode eines besonders "sicheren" Freigabesignals ebenso eingesetzt werden kann.
Eine aus einer Modulationsstufe 18 und einem Pulsgenerator 20 gebildete Modulationseinrichtung ist der Freigabeeinheit 14 unmittelbar nachgeschaltet und sorgt für eine periodische Modulation des von der Freigabesteuereinrichtung bereitgestellten Freigabesignals b. Wenn mehrere Freigabeeinheiten, wie die dargestellte Freigabeeinheit 14 vorgesehen sind, z. B. in einer Überwachungseinrichtung, so kann vorteilhaft ein gemeinsamer Pulsgenerator zur Modulation der einzelnen Freigabesignale verwendet werden.
Der in Fig. 2 oberste (erste) Verlauf stellt das vom Pulsgenerator 20 erzeugte Modulationspulssignal a dar. Dieses Signal a besteht aus einer periodischen Folge von rechteckigen Modulationspulsen mit einer Periode Tpuls einer Pulsdauer von tpuls.
Der in Fig. 2 zweite Verlauf stellt beispielhaft ein von der Freigabeeinheit 14 ausgegebenes Freigabesignal b dar, welches zu einem Zeitpunkt t1 von L auf H wechselt und zu einem Zeitpunkt t2 wieder zurück auf L wechselt.
Der Modulationsstufe 18 werden diese Signale a und b eingegeben, um daraus ein "moduliertes" Freigabesignal c zu bilden, dessen Verlauf ebenfalls in Fig. 2 dargestellt ist. Daraus ist ersichtlich, dass die Modulationsstufe 18 den H-Zustand, welcher die Freigabe der Aktivierung der Kraftstoffeinspritzanlage signalisiert, periodisch durch vergleichsweise kurze Modulationspulse unterbrochen wird, während welcher das Signal c gewissermaßen die Sperrung der Einspritzanlagenaktivierung signalisiert. Im dargestellten Beispiel erfolgt diese periodische Modulation lediglich in den Signalabschnitten, in welchen das Signal b im H-Zustand ist.
Der Endstufe 16 unmittelbar vorgeschaltet ist eine Auswertestufe 22, welche in gleicher Technologie (hier auf demselben Chip) wie die Endstufe 16 implementiert ist und mit dieser zusammen eine Endstufeneinrichtung 24 bildet.
Das der Auswertestufe 22 eingegebene Freigabesignal c wird von der Auswerteeinheit 22 hinsichtlich des Vorliegens der periodischen Modulation im Signal c analysiert und, vereinfacht ausgedrückt, nur dann als Freigabesignal d an die Endstufe 16 weitergegeben, wenn die Modulation im eingegebenen Signal c detektiert wird. Demgegenüber interpretiert die Auswertestufe 22 ein Ausbleiben der Modulation als Fehlerfall und versetzt die Endstufe 16 dann in einen zuvor definierten Fehlerfallzustand. Beim dargestellten Ausführungsbeispiel erfolgt dies durch dauerhafte Ausgabe des Freigabesignals d im L-Zustand, und zwar unabhängig vom Zustand des Signals c. Damit wird im dargestellten Beispiel, auch unabhängig vom Steuersignal S, die Kraftstoffeinspritzung zwangsweise beendet.
Der in Fig. 2 unterste Verlauf stellt das an die Endstufe 16 im ordnungsgemäßen Betrieb weitergegebene Freigabesignal d dar. Daraus ist ersichtlich, dass der zum Zeitpunkt t1 stattfindende Signalübergang von L auf H (in Signal c) nicht unmittelbar an die Endstufe (im Signal d) weitergegeben wird, sondern erst nach Ablauf einer fest vorgegebenen Anstiegsverzögerung Δt1. Dies deshalb, weil die Auswerteeinheit 22 im dargestellten Beispiel zunächst den Fall ausschließt, bei welchem dieser Übergang durch einen "statischen" Fehler im Signal c (oder der hierfür vorgesehenen Übertragungsleitung) hervorgerufen wurde. Zu diesem Zweck wird die Zeitdauer Δt1 abgewartet, um das Eintreffen eines Modulationspulses festzustellen. Nur wenn dieser Puls auch tatsächlich detektiert wird, so lässt die Auswerteeinheit 22 auch das Signal d in den H-Zustand übergehen. Δt1 ist hierbei geringfügig größer als die Pulsperiode Tpuls und fest vorgegeben.
In ähnlicher Weise spiegelt sich der zum Zeitpunkt t2 stattfindende Übergang im Signal c von H auf L nicht unmittelbar im Ausgangssignal d wider, sondern erst nach einer gewissen zeitlichen Verzögerung (Abfallsverzögerung Δt2). Dies deshalb, weil die Auswertestufe 22 im vorliegenden Beispiel zunächst den Fall ausschließt, bei welchem dieser Übergang lediglich durch das Eintreffen eines Modulationspulses hervorgerufen wird. Dementsprechend wird die Zeitdauer Δt2 lang gewartet. Nur wenn innerhalb dieser Zeitdauer das Signal c nicht wieder auf H wechselt, lässt die Auswertestufe 22 das Signal d auf L übergehen. Auch diese Abfallverzögerung Δt2 ist hier fest vorgegeben und geringfügig größer als die Pulsbreite tpuls.
Die Pulsperiode Tpuls, die Pulsbreite tpuls sowie die "Filterzeiten" Δt1, Δt2 sind entsprechend den relevanten Systemanforderungen geeignet zu wählen. Das Tastverhältnis (tpuls/Tpuls) sollte in den meisten Anwendungsfällen möglichst klein sein, z. B. kleiner als 10%, insbesondere kleiner 1%. Im Hinblick auf kurze Fehlerreaktionszeiten der Auswertestufe 22 ist andererseits eine möglichst kurze Periode Tpuls vorteilhaft. Im dargestellten Beispiel für die Kraftstoffeinspritzung ist z. B. ein Tpuls in der Größenordnung von etwa 10 ms denkbar.
Die Auswertestufe 22 kann beispielsweise einen H-Zustand (enable) oder L-Zustand (disable) des Signals d bewirken anhand von bestimmten Kriterien:

Das Signal c ist im H-Zustand und ein erster Modulationspuls von voller Länge (Pulsbreite tpuls) wird daraufhin erfasst. (-> enable)
Das Signal c ist länger als die maximal zu erwartende Pulsbreite im L-Zustand. (-> disable)
Das Signal c ist im H-Zustand und innerhalb des doppelten der zu erwartenden Periode Tpuls bleibt ein Modulationspuls aus. (-> disable)
Das Signal c besitzt einen undefinierten Pegel. Dies kann z. B. durch eine Unterspannung im Bereich der Freigabesignalerzeugung hervorgerufen werden. (-> disable)

Für die meisten Anwendungen ist es bevorzugt, dem Übergang nach L (disable) Priorität gegenüber dem Übergang nach H (enable) einzuräumen.
In einer denkbaren Weiterbildung kann vorgesehen sein, dass die Auswertestufe 22 bei Erfassung von Pulsen im Signal auch den zeitlichen Abstand aufeinanderfolgender Pulse daraufhin überprüft, ob dieser im Einklang mit der vorgegebenen Modulationsperiode steht. Damit kann eine ordnungsgemäße Modulationspulsfolge z. B. von einer durch eine Störung hervorgerufenen Pulsfolge genauer abgegrenzt werden.
In an sich bekannter Weise ist die Freigabeeinheit 14 in einer Überwachungseinrichtung 26 enthalten, welche über eine Kommunikationsverbindung 28 mit dem Mikrocontroller 12 kommuniziert, um insbesondere dessen ordnungsgemäßen Betrieb zu überwachen und abhängig vom Ergebnis dieser Überwachung z. B. das Freigabesignal b entsprechend zu setzen.
Im dargestellten Beispiel besitzt die Auswertestufe 22 auf Grund deren mikroelektronischer Integration im Bereich der Endstufeneinrichtung 24 eine im Vergleich zum Mikrocontroller 12 und/oder zur Überwachungseinrichtung 26 technologiebedingt relativ hohe Spannungsfestigkeit (z. B. 36V). Die Auswertestufe 22 kann daher vorteilhaft auch dann noch zuverlässig Fehlerfallmaßnahmen treffen, insbesondere die Endstufe 16 sperren bzw. abschalten, wenn Schaltungsteile des Steuergeräts 10 durch eine Überspannung beeinträchtigt oder zerstört wurden, die an der Bereitstellung des Freigabesignals beteiligt sind. Das Failsafe-Verhalten des Gesamtsystems ist daher auf Grund der Modulation nicht nur besonders zuverlässig sondern gewissermaßen autonom, was einen durch Überspannung hervorgerufenen Ausfall von Logikbausteinen wie dem Mikrocontroller anbelangt. Die zusätzliche Logik in der Endstufeneinrichtung 24 führt zu einer automatischen, dauerhaften Abschaltung der Endstufe 16, sobald ein statischer Zustand des Abschaltpfades erkannt wird, welcher das Signal c überträgt. Bei der beschriebenen Lösung muss die geforderte Dynamik nur im fehlerfreien Systembetrieb erzeugt werden, so dass ein eingeschränkter Betriebsmodus ermöglicht wird, wenn lediglich der Abschaltpfad fehlerhaft ist, nicht jedoch die Kontrolllogik. Im Fehlerfall verhält sich die Endstufe unter den kritischen Betriebsbedingungen wie hierfür spezifiziert.
Vorteilhaft ergibt sich eine Absicherung des Freigabe- bzw. Abschaltsignals von der Ansteuerung eines Signaltreibers in der Freigabesteuereinrichtung bis hin zum Auslesen dieses Signals durch einen Eingangskomparator einer Leistungsendstufe (d. h. beispielsweise vollständig von einem IC zu einem anderen IC). Nur die Funktion selbst innerhalb der Leistungsendstufe (im Fehlerfall) ist sicherzustellen. Die erfindungsgemäße Lösung deckt jegliche Grundursache für einen fehlerhaften Abschaltpfad ab. Zur Realisierung sind zusätzliche, insbesondere diskrete zusätzliche Bauteile, nicht zwingend erforderlich, was günstig hinsichtlich der Kosten und der Ausfallrate ist. Die Wirksamkeit der Absicherung im Betrieb kann kontinuierlich gewährleistet werden, wobei gewisse Logikfunktionen nutzbar bleiben können, sofern nur eine Abschaltleitung defekt ist. Die erfindungsgemäße Lösung kann seitens der Überwachungseinrichtung bzw. eines Überwachungsmoduls abwärtskompatibel zu herkömmlichen Endstufen realisiert werden (gegebenenfalls mit geringfügigen Anpassungsmaßnahmen). Eine Rückkehr von einem unerlaubten in einen erlaubten Betriebsbereich der Überwachungseinrichtung ändert nichts an der Effektivität der gemäß der Erfindung realisierten Abschaltung hinsichtlich des Abschaltpfads.
Zusammenfassend wird bei der Steuerung des Betriebs einer Brennkraftmaschine unter Verwendung eines Mikrocontrollers mit zugeordneten Endstufen zur Ansteuerung von Motorkomponenten einer Endstufe neben dem eigentlichen Steuersignal auch ein digitales Freigabesignal zugeführt, mittels welchem je nach Signalzustand eine Sperrung oder eine Freigabe der Endstufe signalisiert wird. Im Falle eines Fehlers im Bereich des Mikrocontrollers kann die Endstufe damit abgeschaltet werden. Durch eine Modulation des Freigabesignals und die Auswertung des zur Endstufe hin geführten Freigabesignals wird sichergestellt, dass ein Fehler im Bereich der Freigabesignalerzeugung und/oder Freigabesignalübertragung anhand des Ausbleibens der Modulation erkannt wird und die Endstufe im Fehlerfall sehr zuverlässig abgeschaltet werden kann.

Claims

Elektronische Steuereinrichtung zur Steuerung des Betriebs von Kraftfahrzeugkomponenten, insbesondere einer Brennkraftmaschine oder eines Getriebes eines Kraftfahrzeugs, umfassend
- einen Mikrocontroller (12) zur Bereitstellung wenigstens eines Steuersignals (S) zur Steuerung wenigstens einer im Betrieb des Kraftfahrzeuges zu steuernden Komponente,

- eine Überwachungseinrichtung (26) zur Überwachung des ordnungsgemäßen Betriebs des Mikrocontrollers (12),

- eine Freigabesteuereinrichtung (14) zur Bereitstellung eines digitalen Freigabesignals (b), mittels welchem
bei Feststellung eines nicht ordnungsgemäßen Betriebs des Mikrocontrollers (12) durch die Überwachungseinrichtung (26) durch einen ersten Freigabesignalzustand (L) eine Sperrung und
bei Feststellung eines ordnungsgemäßen Betriebs des Mikrocontrollers (12) durch die Überwachungseinrichtung (26) durch einen zweiten Freigabesignalzustand (H) eine Freigabe der Aktivierung der zu steuernden Komponente signalisiert wird, und

- eine Endstufe (16) zur Aktivierung und Deaktivierung der zu steuernden Komponente basierend auf dem Steuersignal (S) unter Berücksichtigung des Freigabesignals (b, c, d),
wobei die Steuereinrichtung ferner umfasst:
- eine Modulationseinrichtung (18, 20) zur periodischen Modulation des von der Freigabesteuereinrichtung (14) bereitgestellten Freigabesignals (b), und

- eine Auswerteeinrichtung (22) zum Analysieren des zur Endstufe (16) zugeführten Freigabesignals (c) hinsichtlich der periodischen Modulation und zum Versetzen der Endstufe (16) in einen vorbestimmten Fehlerfallzustand bei einem Ausbleiben der periodischen Modulation.
Steuereinrichtung nach Anspruch 1, wobei die Modulationseinrichtung (18, 20) umfasst:
- einen Pulsgenerator (20) zur Erzeugung einer periodischen Folge von Modulationspulsen, und

- eine der Freigabesteuereinrichtung (14) nachgeschaltete Modulationsstufe (18), welcher das Freigabesignal (b) von der Freigabesteuereinrichtung (14) sowie die periodische Folge von Modulationspulsen von dem Pulsgenerator (20) eingegeben wird und welche zumindest bei Vorliegen des zweiten Freigabesignalzustands (H) das Freigabesignal jeweils für die Dauer (tpuls) eines Modulationspulses invertiert,
und wobei die Auswerteeinrichtung (22) als der Endstufe (16) vorgeschaltete Auswertestufe ausgebildet ist, welcher das Freigabesignal (c) von der Modulationsstufe (18) eingegeben wird und welche das eingegebene Freigabesignal (c) hinsichtlich des Vorliegens der entsprechend der Modulationspulsfolge invertierten Freigabesignalabschnitte analysiert und bei Vorliegen dieser invertierten Freigabesignalabschnitte das Freigabesignal (d) an die Endstufe (16) weitergibt und bei Ausbleiben dieser invertierten Freigabesignalabschnitte die Endstufe (16) in den vorbestimmten Fehlerfallzustand versetzt.
Steuereinrichtung nach Anspruch 1 oder 2, wobei die Freigabesteuereinrichtung (14) in der Überwachungseinrichtung (26) integriert ist.
Steuereinrichtung nach Anspruch 1, 2 oder 3, wobei die Auswerteeinrichtung (22) in einer die Endstufe (16) enthaltenden Endstufeneinrichtung (24) integriert ist.
Steuereinrichtung nach Anspruch 4, wobei die Auswerteeinrichtung (22) eine höhere Spannungsfestigkeit besitzt als die Überwachungseinrichtung (26) und/oder der Mikrocontroller (12).
Steuereinrichtung nach einem der vorangehenden Ansprüche, wobei die Periode (Tpuls) der Modulation derart vorgegeben wird, dass diese höchstens so groß, bevorzugt kleiner, als eine für die Überwachungseinrichtung (26) der Steuereinrichtung spezifizierte Fehlerreaktionszeit ist.
Steuereinrichtung nach einem der vorangehenden Ansprüche, wobei das Tastverhältnis (tpuls/Tpuls) der Modulation kleiner als 10% ist.
Verfahren zur Steuerung des Betriebs von Kraftfahrzeugkomponenten, insbesondere einer Brennkraftmaschine oder eines Getriebes eines Kraftfahrzeugs, mittels einer Steuereinrichtung, welche umfasst:
- einen Mikrocontroller (12) zur Bereitstellung wenigstens eines Steuersignals (S) zur Steuerung wenigstens einer im Betrieb des Kraftfahrzeugs zu steuernden Komponente,

- eine Überwachungseinrichtung (26) zur Überwachung des ordnungsgemäßen Betriebs des Mikrocontrollers (12),

- eine Freigabesteuereinrichtung (14) zur Bereitstellung eines digitalen Freigabesignals (b), mittels welchem
bei Feststellung eines nicht ordnungsgemäßen Betriebs des Mikrocontrollers (12) durch die Überwachungseinrichtung (26) durch einen ersten Freigabesignalzustand (L) eine Sperrung und
bei Feststellung eines ordnungsgemäßen Betriebs des Mikrocontrollers (12) durch die Überwachungseinrichtung durch einen zweiten Freigabesignalzustand (H) eine Freigabe der Aktivierung der zu steuernden Komponente signalisiert wird, und

- eine Endstufe (16) zur Aktivierung und Deaktivierung der zu steuernden Komponente basierend auf dem Steuersignal (S) unter Berücksichtigung des Freigabesignals (b, c, d),
wobei das Verfahren umfasst:
- periodisches Modulieren des von der Freigabesteuereinrichtung (14) bereitgestellten Freigabesignals (b),

- Analysieren des zur Endstufe (16) zugeführten Freigabesignals (c) hinsichtlich der periodischen Modulation, und

- Versetzen der Endstufe (16) in einen vorbestimmten Fehlerfallzustand, falls die periodische Modulation ausbleibt.