JP5947915B2 - 車両システムのための電圧供給部を監視する装置および方法 - Google Patents

Description

本発明は、独立請求項１の分野に属する、車両システムのための電圧供給部を監視する装置、および独立請求項６の分野に属する、車両システムのための電圧供給部を監視する方法を前提とするものである。

たとえば特許文献１には、車両のための人員保護手段を制御する制御装置と方法が記載されている。記載されている制御装置は、人員保護手段の制御を惹起する少なくとも２つの半導体モジュールを含んでいる。半導体モジュールは制御装置のための供給電圧を提供し、両方の半導体モジュールが供給電圧に関して一方の方向で相互に監視をする。供給電圧の監視に依存して、両方の半導体モジュールは制御装置のための共通のリセットプロセスを行う。すべての供給電圧が所定の値範囲の内部にあるとき、制御装置でリセット入力部をリリースすることができ、制御装置は供給電圧で正しく作動することができる。

たとえば特許文献２には、自動車における制御装置の電圧供給部を監視する方法が記載されている。記載されている方法では、制御装置の供給モジュールによって生成される既存の電圧でエラーが認識されると、供給モジュールはリセット回線を通じて制御装置のコンポーネントをそれぞれの機能に関して中断させる。さらに、帯域や設定値によって電圧にエラーがないかどうか監視される。さらには制御装置のリセット回線のテストが開始され、その際に供給モジュールは、リセット回線を通じて周期的なパルスにより所定の時間のあいだ各コンポーネントをその機能に関して中断させ、プロセッサがそれぞれの中断の間の時間をカウントして、リセット回線の機能形態を監視する。

ドイツ特許出願公開第１０２００８０１２８９６Ａ１号明細書 ドイツ特許第１０１２７５４Ｂ４号明細書

それに対して、独立請求項１の特徴を有する、車両システムのための電圧供給部を監視する本発明の装置、および独立請求項６の特徴を有する、車両システムのための電圧供給部を監視する対応する方法は、組み込まれている電圧監視部およびこれから導き出されるリセット機能性を、実装された自己監視機能によって自動的にテストすることができるという利点を有している。それにより、電圧監視部の機能が保証されなくなるとただちに、対応する車両システムを、たとえばエアバッグシステムを、常に安全な状態へと移行させることができる。それにより、拡張された安全性要求（ＡＳＩＬ−Ｄ）を満たすことが可能であるという利点がある。

本発明の要諦は、内部で生成される供給電圧のすでに組み込まれている電圧監視部を、追加的に自動式にテストすることができるという点にある。したがってシステムのリリースは、すなわち完全な機能性は、供給電圧そのものだけでなく、その監視回路とリセット装置にもエラーがないときに限って可能である。それにより、潜在的なエラー（二重エラー）に対して、明らかに向上したロバスト性を実現することができるという利点がある。電圧監視部のチェックの結果は、たとえばステータス情報としてＡＳＩＣピンで直接測定することができ、または、ソフトウェアコマンドを通じて読み出すことができる。

自己診断機能は、電圧監視に利用される電圧コンパレータをまず最初にテストし、そのようにして、ステータス情報の正しい出力ないしリセット信号の導出を確保することを可能にする。電圧コンパレータのテスト中には、電圧コンパレータの出力信号がその論理状態を入力信号に依存して変えることができるかどうか、および、ステータス情報ないしリセット信号を正しく導き出すことができるかどうかをチェックすることができる。これに加えて、スタティックまたはダイナミックな短絡をステータス回線ないしリセット回線で認識することが可能であり、それは、対応する回線の最初に再測定された状態が拡張された論理状態と比較されることによる。そのときに、たとえばリセットの作動ないし安全な状態へのシステムの移行が可能ではないという帰結をもたらす短絡が認識されると、監視される電圧供給部ないし車両システムに存在するすべての電圧供給部のスイッチオフが可能である。それにより、電圧監視とリセットの作動が機能するか、または、車両システムが電圧供給部のスイッチオフによって障害から防護されるかのいずれかを確保できるという利点がある。少なくとも１つのエラーが認識されたケースについては、車両システムを安全な状態に保つリセットプロセスが高い信頼度で作動するので、誤作動などによる危険が発生する恐れがない。

本発明の実施形態は、車両システムのための電圧供給部を監視する装置を提供するものであり、この装置は、第１の入力信号としての電圧供給部の出力電圧および／またはこれから導き出される電圧を第２の入力信号としての所定の閾値電圧と比較し、これに対応する比較信号を出力する少なくとも１つの比較デバイスと、少なくとも１つの比較信号に依存して少なくとも１つのリセット信号を生成するリセットデバイスとを含んでいる。本発明によると、少なくとも１つの比較デバイスから出力される比較信号の論理状態を入力信号に依存して評価し、出力される比較信号と対応するリセット信号を生成可能であるかどうかチェックする自己診断機能が実装されている。自己診断機能は、比較信号の評価された論理状態が予想される論理状態と一致しないときに、比較デバイスの誤機能を認識する。

自己診断機能は、リセット信号のチェックされた論理状態が予想される論理状態と一致しないときに、リセットデバイスの誤機能を認識する。

さらに、車両システムのための電圧供給部を監視する方法が提案される。この場合、少なくとも１つの比較デバイスを通じて、第１の入力信号としての供給電圧の出力電圧および／またはこれから導き出される電圧が第２の入力信号としての所定の閾値電圧と比較されて、これに対応する比較信号が生成される。リセットデバイスを通じて、少なくとも１つの比較信号に依存して、少なくとも１つのリセット信号が生成される。本発明によると、少なくとも１つの比較デバイスから出力される比較信号の論理状態を入力信号に依存して評価し、出力された比較信号と対応するリセット信号を生成することができるかどうかチェックする自己診断機能が実装される。比較信号の評価された論理状態が予想される論理状態と一致しないとき、比較デバイスの誤機能が自己診断機能によって認識される。リセット信号のチェックされた論理状態が予想される論理状態と一致しないとき、リセットデバイスの誤機能が自己診断機能によって認識される。

本発明の実施形態は、システムへの要求事項に応じて、少なくとも１つの比較デバイスの自己診断機能を全部の出力電圧について実行するのではなく、ないしは、両方の帯域限界（過電圧と不足電圧）について実行するのではない。たとえば、二重の独立した監視部の形態の冗長的な回路設計によって、安全性要求事項の一部を満たすことも可能である。少なくとも１つの比較デバイスのチェックの結果、およびリセットデバイスのチェックの結果は、それぞれ別様に利用することができる。たとえば少なくとも１つの比較デバイスのチェックが失敗したケースについては、対応するエアバッグ制御装置の能動的なリセットプロセスを作動させることができる。すなわちエアバッグシステムは作動可能でなく、安全な状態が実現される。リセットデバイスのチェック中に短絡がリセット信号で認識されたケースについては、中央の電圧供給部のスイッチオフを行うことができ、このことも同じく安全なシステム状態をもたらす。

さらに本発明の実施形態は、個々の比較デバイスのチェックと、個々の閾値電圧の設定と、適当なハードウェア要素を介して自動的での、またはシステムソフトウェアを介しての、マイクロコントローラのコントロールのもとでの出力信号のリードバックとをプログラミング式に実行することができる。ハードウェア要素を用いた自動式の制御では、全部の電圧が安定しており、全部の比較デバイスのチェックが成功に終わったときに初めて、車両システムを「非リセット信号」の出力によって完全に活動化させることができる。ソフトウェアを用いた制御では、さまざまな電圧が安定しているときに、まず最初にリセット信号を「非リセット状態」にセットすることが必要である。その後で初めて、少なくとも１つの比較デバイスのチェックを前述したように開始、実行することができる。次いで、エラーが認識されたときにはリセット信号を再びアクティブな「リセット状態」にセットすることができる。

従属請求項に記載されている方策や発展例により、独立請求項１に記載されている車両システムのための電圧供給部を監視する装置の好ましい改良、および、独立請求項６に記載されている車両システムのための電圧供給部を監視する方法の好ましい改良が可能である。

自己診断機能は制御装置で集中式に、または個々の電圧供給部で分散式に実装されているのが特別に好ましく、自己診断機能は短絡認識をするためにリセットデバイスから出力されるリセット信号をリードバックして予想される論理状態と比較し、自己診断機能は、リードバックされたリセット信号のチェックされた論理状態が予想される論理状態と一致しないときに、リセットデバイスの誤機能を認識する。

本発明による装置の好ましい実施形態では、自己診断機能は所定の時点および／またはシステム状態に依存して比較デバイスおよび／またはリセットデバイスのチェックを実行する。それにより、チェックされるべき車両システムのさまざまな実施形態に最善に合わせて自己診断機能を適合化することができる。

本発明による装置の別の好ましい実施形態では、不足電圧監視部の第１の比較デバイスは、第１の入力信号を第２の入力信号としての所定の第１の閾値電圧と比較して、これに対応する第１の比較信号を出力する。自己診断機能は、第１の入力信号が状態に起因して第２の入力信号よりも低くなっている電圧供給部の起動段階中に、第１の比較信号の論理状態を検出することができ、検出された論理状態を、電圧供給部が動作状態にあり第１の入力信号が状態に起因して第２の入力信号よりも高くなっている後続の時点で自己診断機能が検出した第１の比較信号の論理状態と比較することができる。このとき自己診断機能は、第１の比較信号の検出された両方の論理状態が等しいときに、または予想される論理状態と一致しないときに、不足電圧監視部の誤機能を認識することができる。その追加または代替として、過電圧監視部の第２の比較デバイスは、電圧供給部の出力電圧から導き出される第１の入力信号としての第１の電圧を、第２の入力信号としての所定の第２の閾値電圧と比較して、これに対応する第２の比較信号を出力することができる。自己診断機能は、第１の入力信号が状態に起因して第２の入力信号よりも高くなっている電圧供給部の動作段階中に、第２の比較信号の論理状態を検出することができる。さらに自己診断機能は後続する時点で切換ユニットを介して、状態に起因して第２の入力電圧よりも低くなっている、電圧供給部の出力電圧から導き出される第１の入力信号としての第２の電圧を第２の比較ユニットに印加することができ、第２の比較信号の対応する論理状態を、第２の比較信号の以前の論理状態と比較することができる。このとき自己診断機能は、第２の比較信号の検出された両方の論理状態が等しいときに、または予想される論理状態と一致しないときに、過電圧監視部の誤機能を認識することができる。

本発明による方法の好ましい実施形態では、短絡認識をするために、出力されたリセット信号を自己診断機能によりリードバックして予想される論理状態と比較することができ、リセット信号のチェックされた論理状態が予想される論理状態と一致しないときに、自己診断機能によってリセットデバイスの誤機能が認識される。

本発明による方法の別の好ましい実施形態では、所定の時点および／またはシステム状態に依存して自己診断機能を実行することができる。

本発明による方法の別の好ましい実施形態では、不足電圧監視部の第１の比較デバイスの第１の入力信号を第２の入力信号としての所定の第１の閾値電圧と比較し、これに対応する第１の比較信号を出力することができる。第１の比較信号の論理状態は、第１の入力信号が状態に起因して第２の入力信号よりも低くなっている電圧供給部の起動段階中に自己診断機能により検出することができ、電圧供給部が動作状態にあり第１の入力信号が状態に起因して第２の入力信号よりも高くなっている後続する時点で自己診断機能により検出される第１の比較信号の論理状態と比較することができる。不足電圧監視部の誤機能は、第１の比較信号の検出された両方の論理状態が等しいときに、または予想される論理状態と一致しないときに、自己診断機能によって認識することができる。その追加または代替として、過電圧監視部の第２の比較デバイスは、電圧供給部の出力電圧から導き出される第１の入力信号としての第１の電圧を第２の入力信号としての所定の第２の閾値電圧と比較して、これに対応する第２の比較信号を出力することができる。第２の比較信号の論理状態は、第１の入力信号が状態に起因して第２の入力信号よりも高くなっている電圧供給部の動作段階中に自己診断機能により検出することができ、自己診断機能は後続する時点で、状態に起因して第２の入力電圧よりも低くなっている、電圧供給部の出力電圧から導き出される第２の電圧を第１の入力信号として第２の比較ユニットに印加する。これに対応する第２の比較信号の論理状態を第２の比較信号の以前の論理状態と比較することができ、第２の比較信号の検出された両方の論理状態が等しいときに、または予想される論理状態と一致しないときに、過電圧監視部の誤機能が自己診断機能によって認識される。

本発明の実施例が図面に示されており、以下の記述において詳しく説明する。図面中では、同じ符号は同一の機能ないし類似の機能を果たすコンポーネントを表している。

車両システムのための電圧供給部を監視する本発明の装置の実施例を示す模式的なブロック図である。 車両システムのための電圧供給部を監視する本発明の方法の実施例を示す模式的なフローチャートである。 車両システムのための電圧供給部を監視する本発明の方法の実施例を示す模式的なフローチャートである。 車両システムのための電圧供給部を監視する本発明の方法の実施例を示す模式的なフローチャートである。 車両システムのための電圧供給部を監視する本発明の方法の実施例を示す模式的なフローチャートである。 車両システムのための電圧供給部を監視する本発明の方法の実施例を示す模式的なフローチャートである。 車両システムのための電圧供給部を監視する本発明の方法の実施例を示す模式的なフローチャートである。 車両システムのための電圧供給部を監視する本発明の方法の実施例を示す模式的なフローチャートである。

最新式のエアバッグ制御装置は、特に、エアバッグシステムの作動のために必要となる一切の供給電圧が、エアバッグシステムそのものの内部で生成されるという特徴がある。そのようにして、車両のバッテリ電圧の変動に関わりなく、正しい機能性が与えられることが保証される。さらに、アナログ・デジタル機能へ供給するためのシステム関連の供給電圧の監視が組み込まれている。この監視は、たとえば内部または外部のエラーによって、あるいは車両バッテリの電圧の消滅／スイッチオフによって、電圧供給部のうちの１つが特定の電圧領域から外れるとただちに、エアバッグシステムが安全な状態へと移行することを保証する。このような機能は、供給を受けるすべてのアクティブなシステムモジュールを安全なオフ状態へと移行させる、システム内部のリセット信号によって具体化することができる。それにより、許容されない供給電圧に基づく誤機能をほぼ排除することができる。

たとえばリニアコントローラまたはＤＣ／ＤＣスイッチングコンバータまたは電圧源として施工される、従来から実装されてきた電圧供給部についての電圧監視は、その大部分が、コントロールされる出力電圧が不足電圧閾値および／または過電圧閾値に関して少なくとも１つの電圧コンパレータにより監視されるように構成されている。出力電圧が許容される範囲の外部にあるとき、この状態は少なくとも１つの電圧コンパレータを通じて認識され、それにより相応のアナログ的および／または論理的な状態ないし反応を導き出すことができる。このとき、少なくとも1つの電圧コンパレータの比較結果に基づく比較信号は、たとえばステータス情報の形態で出力することができ、および／またはリセット信号を作動させるために利用することができる。

図１から明らかなように、車両システムのための電圧供給部３を監視する本発明による装置１の図示した実施例は、第１の入力信号としての電圧供給部３の出力電圧Ｕ_ｉｓｔおよび／またはこれから導き出される電圧Ｕ_ｉｓｔ１，Ｕ_ｉｓｔ２，Ｕ_Ｔｅｓｔを、第２の入力信号としての所定の閾値電圧Ｕ_Ｒｅｆ１，Ｕ_Ｒｅｆ２と比較して、これに対応する比較信号Ｖ１，Ｖ２を出力する少なくとも１つの比較デバイス１４，２４と、少なくとも１つの比較信号Ｖ１，Ｖ２に依存して少なくとも１つのリセット信号Ｒｅｓｅｔ，Ｎｉｃｈｔ−Ｒｅｓｅｔを生成するリセットデバイス５とを含んでいる。

本発明によると、少なくとも１つの比較デバイス１４，２４から出力される比較信号Ｖ１，Ｖ２の論理状態を入力信号Ｕ_ｉｓｔ１，Ｕ_ｉｓｔ２，Ｕ_Ｔｅｓｔに依存して評価し、出力される比較信号Ｖ１，Ｖ２と対応するリセット信号Ｒｅｓｅｔ，Ｎｉｃｈｔ−Ｒｅｓｅｔを生成可能であるかどうかチェックする自己診断機能が実装されている。このとき自己診断機能は、比較信号Ｖ１，Ｖ２の評価された論理状態が予想される論理状態と一致しないときに、比較デバイス１４，２４の誤機能を認識する。自己診断機能は、リセット信号Ｒｅｓｅｔ，Ｎｉｃｈｔ−Ｒｅｓｅｔのチェックされた論理状態が予想される論理状態と一致しないときに、リセットデバイス５の誤機能を認識する。

さらに図１から明らかなとおり、電圧供給部３のための電圧監視装置１は、図示した実施例では、不足電圧監視部１０と過電圧監視部２０とを含んでいる。

不足電圧監視部１０の第１の比較デバイス１４は、２つの抵抗器Ｒ１，Ｒ２からなる第１の電圧分配器１２を介して電圧供給部３の出力電圧Ｕ_ｉｓｔから電圧Ｕ_ｉｓｔ１として導き出される第１の入力信号を、第２の入力信号としての所定の第１の閾値電圧Ｕ_Ｒｅｆ１と比較する電圧コンパレータとして施工されている。第１の比較デバイス１４は、これに対応する第１の比較信号Ｖ１を出力する。第１の比較信号Ｖ１は第１のエラー・フリップフロップ１６を介して、好ましくはＤフリップフロップを介して、およびこれに付属する第１の評価ロジック１８を介して監視されるが、それは、第１の比較デバイス１４の第１の比較信号Ｖ１が自己診断機能中に第１の状態「不良」から第２の状態「良好」へ変わったかどうかをチェックするためである。したがって自己診断機能は、第１の入力信号Ｕ_ｉｓｔ１が状態に起因して第２の入力信号Ｕ_Ｒｅｆ１よりも低くなっている電圧供給部３の起動段階中に、第１の比較信号Ｖ１の論理状態を検出する。自己診断機能は、予想される第１の状態「不良」を表す、起動段階中に検出された第１の比較信号Ｖ１の論理状態を、自己診断機能が後続の時点で検出した第１の比較信号Ｖ１の論理状態と比較する。この後続の時点では電圧供給部３は動作状態にあり、第１の入力信号Ｕ_ｉｓｔ１は状態に起因して第２の入力信号Ｕ_Ｒｅｆ１よりも高くなっており、それにより、後続して検出される論理状態の予想される状態は第２の状態「良好」に相当している。自己診断機能は、第１の比較信号Ｖ１の検出された両方の論理状態が等しいときに、ないしは、比較信号の予想される論理状態が比較信号の検出された論理状態と一致しないときに、不足電圧監視部１０の誤機能を認識する。

不足電圧監視部１０の第１の比較デバイス１４と同様に、過電圧監視部２０の第２の比較デバイス２４は、切換ユニット３０を介して電圧供給部３の出力電圧Ｕ_ｉｓｔから導き出される電圧Ｕ_ｉｓｔ２，Ｕ_Ｔｅｓｔを第１の入力信号として受信する電圧コンパレータとして施工されている。切換ユニット３０は、電圧供給部３の出力電圧Ｕ_ｉｓｔから導き出される２つの電圧Ｕ_{ｉｓｔ２，}Ｕ_Ｔｅｓｔを第１の入力信号として提供する、３つの抵抗器Ｒ３，Ｒ４，Ｒ５から構成される第２の電圧分配器２２と、第１の入力信号として導き出された両方の電圧Ｕ_ｉｓｔ２，Ｕ_Ｔｅｓｔのうち１つを選択するために２つのスイッチング素子３４．１，３４．２を備える、制御ロジック３２により制御されるスイッチングユニット３４とを含んでいる。第２の電圧分配器２２の分配比率は、通常動作で作動している電圧供給部３の出力電圧Ｕ_ｉｓｔから導き出される第１の電圧Ｕ_Ｔｅｓｔが、第２の入力信号として設定された閾値電圧Ｕ_Ｒｅｆ２よりも高くなり、通常動作で作動する電圧供給部３から導き出される第２の電圧Ｕ_ｉｓｔ２がこれよりも低くなるように選択されている。

過電圧監視部２０のチェックをするために、自己診断機能は動作段階中に第１の時点で、導き出された第１の電圧Ｕ_Ｔｅｓｔを第１のスイッチング素子３４．２を介して第１の入力信号Ｕ_ｉｓｔ２として第２の比較デバイス２４に印加し、第２のスイッチング素子３４．１は第１の時点では開いている。第２の比較デバイス２４は第１の入力信号Ｕ_Ｔｅｓｔを、第２の入力信号としての所定の第２の閾値電圧Ｕ_Ｒｅｆ２と比較し、これに対応する第２の比較信号Ｖ２を出力する。第２の比較信号Ｖ２は、第１の比較信号Ｖ１と同様に、第２のエラー・フリップフロップ２６を介して、好ましくはＤフリップフロップを介して、およびこれに付属する第２の評価ロジック２８を介して監視されるが、それは、第２の比較デバイス２４の第２の比較信号Ｖ２が自己診断機能中に、第１の状態「不良」から第２の状態「良好」へと変わったかどうかをチェックするためである。自己診断機能は、状態に起因して第２の入力信号Ｕ_Ｒｅｆ１よりも高くなっている、導き出された第１の電圧Ｕ_Ｔｅｓｔが第１の入力信号として第２の比較デバイス２４に印加されている間に第２の比較信号Ｖ２の論理状態を検出するので、第２の比較信号Ｖ２の予想される論理状態は、第１の状態「不良」に相当している。過電圧監視部２０をさらにチェックするために、自己診断機能は動作段階中に後続する第２の時点で、導き出された第２の電圧Ｕ_ｉｓｔ２を第２のスイッチング素子３４．１を介して第１の入力信号として第２の比較デバイス２４に印加し、第１のスイッチング素子３４．２は第２の時点では開いている。第２の比較デバイス２４は第１の入力信号Ｕ_ｉｓｔ２を、第２の入力信号としての所定の第２の閾値電圧Ｕ_Ｒｅｆ２と比較して、これに対応する第２の比較信号Ｖ２を出力する。自己診断機能は、状態に起因して第２の入力信号Ｕ_Ｒｅｆ１よりも低くなっている、導き出された第２の電圧Ｕ_ｉｓｔ２が第１の入力信号として第２の比較デバイス２４へ印加されている間に第２の比較信号Ｖ２の論理状態を検出するので、第２の比較信号Ｖ２の予想される論理状態は第２の状態「良好」に相当している。自己診断機能は、第２の比較信号Ｖ２の検出された両方の論理状態が等しいときに、ないしは、比較信号の予想される論理状態が比較信号の検出された論理状態と一致しないときに、過電圧監視部２０の誤機能を認識する。

第１ないし第２のエラー・フリップフロップ１６，２６および第１ないし第２の評価ロジック１８，２８の代替として、第１ないし第２の比較信号Ｖ１，Ｖ２の監視は、論理状態を読み取る相応のソフトウェアコマンドを通じて、および、第１ないし第２の比較信号Ｖ１，Ｖ２の読み取られた論理状態をチェックする、プロセッサで進行するソフトウェアプログラムによって具体化することができる。

さらに、過電圧監視部２０との関連で説明した切換ユニット３０を不足電圧監視部１０のために利用することもでき、その場合、第２の電圧分配器２２の分配比率は、通常動作で作動する電圧供給部３の出力電圧Ｕ_ｉｓｔから導き出される第１の電圧Ｕ_Ｔｅｓｔが、第２の入力信号として設定された閾値電圧Ｕ_Ｒｅｆ１よりも低くなり、通常動作で作動する電圧供給部３の出力電圧Ｕ_ｉｓｔから導き出される第２の電圧Ｕ_ｉｓｔ２が、これよりも高くなるように選択される。このように、不足電圧監視部１０のチェック中に、まず第１の状態「不良」が認識され、次いで第２の状態「良好」が認識される。それにより、電圧監視部の自己診断を電圧供給部３の起動中だけでなく、任意の時点で実行することも可能である。

自己診断機能は、たとえば対応する車両システムの制御装置で、たとえばエアバッグ制御装置で、集中式に実装することができ、または、個々の電圧供給部３で分散式に実装することができる。このとき自己診断機能は短絡認識をするために、リセットデバイス５から出力されるリセット信号Ｒｅｓｅｔ，Ｎｉｃｈｔ−Ｒｅｓｅｔをリードバックし、これを予想される論理状態と比較する。このとき自己診断機能は、リードバックされたリセット信号Ｒ_Ｒのチェックされた論理状態が予想される論理状態と一致しないときに、リセットデバイス５の誤機能を認識する。このように、リセットデバイス５の出力部で短絡が認識されると、スイッチオフ信号Ｒ_Ａを通じて電圧供給部３の安全停止を行うことができる。

それにより、不足電圧監視部１０および過電圧監視部２０の形態の電圧監視、およびリセット信号「Ｒｅｓｅｔ」、「Ｎｉｃｈｔ−Ｒｅｓｅｔ」の作動が機能するか、または、電圧供給部３のスイッチオフによって車両システムが障害から守られることが保証される。少なくとも１つのエラーが認識されたケースについては、システムを安全な状態で保つアクティブな「リセット信号」が確実に作動する。

次に、図２から図８を参照しながら、車両システムのための電圧供給部３を監視する本発明の方法の実施例について説明する。

図２からさらに明らかなように、ステップＳ１００で、監視されるべき電圧供給部３が活動化される。監視されるべき電圧供給部３の起動段階中に、ステップＳ１１０で、不足電圧監視部１０の出力信号が読み取られる。不足電圧監視部１０の第１の比較デバイス１２は、状態「不足電圧」ないし第１の状態「不良」を認識しなくてはならない。電圧供給部３の出力電圧Ｕ_ｉｓｔから導き出される電圧Ｕ_ｉｓｔ１は、この時点でまだ所定の閾値電圧Ｕ_Ｒｅｆ１に達していないからである。別案として、切換ユニット３０を介して電圧供給部３の出力電圧Ｕ_ｉｓｔから意図的に低すぎる電圧を、第１の比較デバイス１２に対する第１の入力信号として生成することができ、この電圧は、不足電圧状態ないし第１の状態「不良」を生起するために、所定の閾値電圧Ｕ_Ｒｅｆ１よりも低くなっている。ステップＳ１２０で、不足電圧状態が認識されたかどうかがチェックされる。不足電圧状態が認識されたとき、ステップＳ１３０をもって本方法が続行される。不足電圧状態が認識されなかったとき、図５に示すステップＳ４００に基づき、あとで説明するエラー処理をもって本方法が続行される。

ステップＳ１３０で、認識された不足電圧状態に基づき、リセット信号「Ｒｅｓｅｔ」がセットされて出力される。ステップＳ１４０で、出力されたリセット信号「Ｒｅｓｅｔ」がリードバックされる。ステップＳ１５０で、リードバックされるべきリセット信号Ｒ_Ｒが、リセット信号「Ｒｅｓｅｔ」がセットされているかどうか、ないしはアクティブであるかどうかがチェックされる。リセット信号「Ｒｅｓｅｔ」がアクティブであるとき、本方法はステップＳ１６０をもって続行される。リセット信号「Ｒｅｓｅｔ」がアクティブでないとき、本方法は、図８に示すステップＳ５００に基づき、あとで説明するエラー処理をもって続行される。

ステップＳ１６０で過電圧閾値がセットされ、電圧供給部３の出力電圧Ｕ_ｉｓｔから導き出された第１の電圧Ｕ_Ｔｅｓｔが、第１の入力信号として第２の比較デバイス２４に印加される。過電圧に達することがあるのはエラー発生のケースだけであり、それは、たとえば使用されている電圧コントローラに不具合があるときや、電圧コントローラないし電圧源の出力電圧が、これよりも高い電圧に対して短絡を有しているときである。それにもかかわらず、どのようなシステム形式でもチェックを実行できるようにするために、意図的に高すぎる電圧レベルＵ_Ｔｅｓｔが、過電圧監視のための所定の閾値電圧Ｕ_Ｒｅｆ２との比較のために選択される。切換ユニット３０を介して高すぎる電圧レベルＵ_Ｔｅｓｔがセットされた後、第２の比較デバイス２４は状態「過電圧」ないし第１の状態「不良」を表示、出力しなければならない。ステップＳ１７０で、過電圧状態が認識されたかどうかがチェックされる。過電圧状態が認識されたとき、本方法は図３に示すステップＳ１８０をもって続行される。過電圧状態が認識されなかったとき、本方法は、図６に示すステップＳ４２０に基づく、あとで説明するエラー処理をもって続行される。

図３からさらに明らかなように、ステップＳ１８０で、認識された過電圧状態に基づき、リセット信号「Ｒｅｓｅｔ」がセットされて出力される。ステップＳ１９０で、出力されたリセット信号「Ｒｅｓｅｔ」が、リードバックされる。ステップＳ２００で、リードバックされたリセット信号Ｒ_Ｒが、リセット信号「Ｒｅｓｅｔ」がセットされているかどうか、ないしアクティブであるかどうかに関してチェックされる。リセット信号「Ｒｅｓｅｔ」がアクティブであるとき、本方法はステップＳ２１０をもって続行される。リセット信号「Ｒｅｓｅｔ」がアクティブでないとき、本方法は図８に示すステップＳ５００に基づき、あとで説明するエラー処理をもって続行される。第１および第２の比較ユニット１４，２４の比較電圧に基づいて生成されるリセット信号「Ｒｅｓｅｔ」は、システムのすべての電圧監視部についての合算情報である。したがってリセット信号「Ｒｅｓｅｔ」は、不足電圧監視部と過電圧監視部のチェック中、アクティブな「リセット状態」になっていなければならず、すなわち、システムはリセット状態ないし安全なオフ状態で保たれる。このようなリセット信号「Ｒｅｓｅｔ」の予想される状態が、出力されるリセット信号「Ｒｅｓｅｔ」のリードバックによってチェックされる。

さらに図３から明らかなとおり、ステップＳ２１０で、電圧供給部３の起動段階が終わっているかどうかがチェックされる。起動段階がまだ終わっていないとき、ステップＳ２２０で、所定のポーズ時間が待機されてから、ステップＳ２１０のチェックがあらためて実行される。ステップＳ２１０およびＳ２２０は、起動段階が終わったと認識されるまで反復される。そしてステップＳ２３０で、不足電圧監視部１０の出力信号があらためて読み取られる。不足電圧監視部１０の第１の比較デバイス１２は、状態「非不足電圧」ないし第２の状態「良好」を認識しなければならない。電圧供給部３の出力電圧Ｕ_ｉｓｔから導き出される電圧Ｕ_ｉｓｔ１は、この時点で所定の閾値電圧Ｕ_Ｒｅｆ１を上回っていなければならないからである。別案の実施形態では、切換ユニット３０を通じて電圧供給部３の出力電圧Ｕ_ｉｓｔから意図的に、電圧供給部３の出力電圧Ｕ_ｉｓｔを表していて所定の閾値電圧Ｕ_Ｒｅｆ１よりも高くなっている電圧を第１の比較デバイス１２に対する第１の入力信号として生成することができ、それは、非不足電圧状態ないし第２の状態「良好」を生起するためである。ステップＳ２４０で、非不足電圧状態が認識されたかどうかがチェックされる。非不足電圧状態が認識されたとき、本方法はステップＳ２５０をもって続行される。非不足電圧状態が認識されなかったとき、本方法は図５に示すステップＳ４００に基づき、あとで説明するエラー処理をもって続行される。

ステップＳ２５０で、リセット信号があらためてリードバックされ、本方法は図４に示すステップＳ２６０をもって続行される。ステップＳ２６０で、リードバックされたリセット信号Ｒ_Ｒが、リセット信号「Ｒｅｓｅｔ」が依然としてセットされているかどうか、ないしはアクティブであるかどうかに関してチェックされる。リセット信号「Ｒｅｓｅｔ」が依然としてアクティブであるとき、本方法はステップＳ２７０をもって続行される。リセット信号「Ｒｅｓｅｔ」がもはやアクティブではないとき、本方法は図８に示すステップＳ５００に基づき、あとで説明するエラー処理をもって続行される。

ステップＳ２７０で過電圧閾値がセットされる。このことは、電圧供給部３の出力電圧Ｕ_ｉｓｔから導き出される第２の電圧Ｕ_ｉｓｔ２が、第１の入力信号として第２の比較デバイス２４に印加されることを意味している。導き出された第２の電圧Ｕ_ｉｓｔ２は電圧供給部３の出力電圧Ｕ_ｉｓｔを表しており、通常動作のときには所定の閾値電圧Ｕ_Ｒｅｆ２よりも低い。切換ユニット３０を通じて通常の電圧レベルＵ_ｉｓｔ２がセットされた後、第２の比較デバイス２４は、状態「非過電圧」ないし第２の状態「良好」を表示して出力しなければならない。ステップＳ２８０で、非過電圧状態が認識されたかどうかがチェックされる。非過電圧状態が認識されたとき、本方法はステップＳ２９０をもって続行される。非過電圧状態が認識されなかったとき、本方法は図６に示すステップＳ４２０に基づき、あとで説明するエラー処理をもって続行される。

ステップＳ２９０で、認識された非不足電圧状態および認識された非過電圧状態に基づき、リセット信号「Ｎｉｃｈｔ−Ｒｅｓｅｔ」がセットされて出力される。ステップＳ３００で、出力されたリセット信号「Ｎｉｃｈｔ−Ｒｅｓｅｔ」がリードバックされる。ステップＳ３１０で、リードバックされたリセット信号Ｒ_Ｒが、リセット信号「Ｎｉｃｈｔ−Ｒｅｓｅｔ」がセットされているかどうか、ないしアクティブであるかどうかに関してチェックされる。リセット信号「Ｎｉｃｈｔ−Ｒｅｓｅｔ」がアクティブであるとき、対応する車両システムはオン状態へと移行する。リセット信号「Ｎｉｃｈｔ−Ｒｅｓｅｔ」がアクティブでないとき、本方法は図８に示すステップＳ５００に基づき、あとで説明するエラー処理をもって続行される。出力電圧Ｕ_ｉｓｔから導き出される電圧Ｕ_ｉｓｔ１が、許容される（コントロールされる）電圧帯域の中に入るとただちに、不足電圧監視部１０の第１の比較デバイス１４は状態「非不足電圧」へと切り替わる。さらに、過電圧監視部２０の第２の比較デバイス２４について、正しい電圧レベルＵ_ｉｓｔ２が所定の閾値電圧Ｕ_Ｒｅｆ２との比較のために選択される。出力電圧Ｕ_ｉｓｔから導き出される第２の電圧Ｕ_ｉｓｔ２が有効な範囲内にあるとき、すなわち過電圧閾値Ｕ_Ｒｅｆ２を下回っているとき、第２の比較デバイス２４は同じく状態「非過電圧」に切り替わらなくてはならない。両方の比較デバイス１４，２４がそれぞれ「良好状態」すなわち「非不足電圧」および「非過電圧」を表示したときに初めて、リセット信号がアクティブな「非リセット状態」に切り替わることができ、車両システムが活動化される。この場合にも、出力されるリセット信号のリードバックによって、リセット信号の予想される状態がチェックされる。

前述した各チェックステップのうちの１つでエラーが認識されると、ただちに対応するエラー状態が出力ないし表示される。このことは、アクティブなリセット信号の作動によって行うことができ、または、たとえば出力信号もしくはソフトウェアコマンドを通じて読取り可能であるステータス情報の出力によって行うことができる。さらに、システムの新規スタートが行われるまで、該当する電圧供給部またはその他の電圧供給部ないし車両システムの全部の電圧供給部を能動的にスイッチオフすることが可能である。

図５から明らかなように、ステップＳ１２０で状態「不足電圧」が認識されなかったケースについては、または、ステップＳ２４０で状態「非不足電圧」が認識されなかったケースについては、ステップＳ４００で、不足電圧監視部１０の動作に不具合があるという相応のエラーが出力される。これに加えてステップＳ４１０で、対応する電圧供給部３を相応のスイッチオフ信号Ｒ_Ａを通じてスイッチオフすることができ、その後に、あとで説明する図７に示すステップＳ４４０をもって本方法が続行される。

図６から明らかなように、ステップＳ１７０で状態「過電圧」が認識されなかったケースについては、または、ステップＳ２８０で状態「非過電圧」が認識されなかったケースについては、ステップＳ４２０で、過電圧監視部２０の動作に不具合があるという相応のエラーが出力される。これに加えてステップＳ４３０で、対応する電圧供給部３をスイッチオフ信号Ｒ_Ａを通じてスイッチオフすることができ、その後に、あとで説明する図７に示すステップＳ４４０をもって本方法が続行される。

図７から明らかなように、ステップＳ４４０で、不具合のある不足電圧監視部１０ないし過電圧監視部２０に基づいてリセット信号「Ｒｅｓｅｔ」がセットされて出力される。ステップＳ４５０で、出力されたリセット信号「Ｒｅｓｅｔ」がリードバックされる。ステップＳ４６０で、リードバックされたリセット信号Ｒ_Ｒが、リセット信号「Ｒｅｓｅｔ」がセットされているかどうか、ないしはアクティブであるかどうかに関してチェックされる。リセット信号「Ｒｅｓｅｔ」がアクティブであるとき、本方法は終了し、システムはリセット状態ないし安全なオフ状態で保たれる。リセット信号「Ｒｅｓｅｔ」がアクティブでないとき、本方法は図８に示すステップＳ５００に基づき、あとで説明するエラー処理をもって続行される。

図８から明らかなように、ステップＳ１５０ないしステップＳ２００ないしステップＳ２６０ないしステップＳ４６０で、リセット信号「Ｒｅｓｅｔ」の状態がアクティブでなかったケースについては、または、ステップＳ３１０でリセット信号「Ｎｉｃｈｔ−Ｒｅｓｅｔ」の状態がアクティブでなかったケースについては、ステップＳ５００で、リセットデバイス５の動作に不具合があるという相応のエラーが出力される。ステップＳ５１０で、図示した実施例では車両システムの全部の電圧供給部がスイッチオフされて、本方法が終了する。別案としてステップＳ５１０では、対応する電圧供給部３だけをスイッチオフ信号Ｒ_Ａを通じてスイッチオフすることができる。

本発明の各実施形態は、内部で生成される供給電圧のすでに組み込まれている電圧監視を追加的に自動式にテストすることができる。それによりシステムのリリース（全面的な機能性）は、供給電圧そのものだけでなく、その監視回路およびリセットデバイスにも不具合がない場合に限って可能である。このように、潜在的な不具体に対して明らかに向上したロバスト性が与えられる。それにより車両システムは、特にエアバッグシステムは、電圧監視部の機能が保証されなくなるとただちに、常に安全な状態へと移行する。このように、拡張された安全性要求事項（ＡＳＩＬ−Ｄ）を満たすことが可能である。

３ 電圧供給部
５ リセットデバイス
１０ 不足電圧監視部
１４ 比較デバイス
２０ 過電圧監視部
２４ 比較デバイス
３０ 切換ユニット
Ｕ_ｉｓｔ 出力電圧
Ｕ_ｉｓｔ１，Ｕ_ｉｓｔ２，Ｕ_Ｔｅｓｔ 導き出された電圧
Ｖ１，Ｖ２ 比較信号
Ｕ_Ｒｅｆ１，Ｕ_Ｒｅｆ２ 閾値電圧
Ｒｅｓｅｔ，Ｎｉｃｈｔ−Ｒｅｓｅｔ リセット信号

Claims (9)

1. 車両システムのための電圧供給部を監視する装置において、
   第１の入力信号としての前記電圧供給部（３）の出力電圧（Ｕ_ｉｓｔ）および／またはこれから導き出される電圧（Ｕ_ｉｓｔ１，Ｕ_ｉｓｔ２，Ｕ_Ｔｅｓｔ）を第２の入力信号としての所定の閾値電圧（Ｕ_Ｒｅｆ１，Ｕ_Ｒｅｆ２）と比較し、これに対応する比較信号（Ｖ１，Ｖ２）を出力する少なくとも１つの比較デバイス（１４，２４）と、少なくとも１つの比較信号（Ｖ１，Ｖ２）に依存して少なくとも１つのリセット信号（Ｒｅｓｅｔ，Ｎｉｃｈｔ−Ｒｅｓｅｔ）を生成するリセットデバイス（５）とを有している、そのような装置において、
   少なくとも１つの前記比較デバイス（１４，２４）から出力される比較信号（Ｖ１，Ｖ２）の論理状態を入力信号（Ｕ_ｉｓｔ１，Ｕ_ｉｓｔ２，Ｕ_Ｔｅｓｔ）に依存して評価し、出力される比較信号（Ｖ１，Ｖ２）と対応するリセット信号（Ｒｅｓｅｔ，Ｎｉｃｈｔ−Ｒｅｓｅｔ）を生成可能であるかどうかチェックする自己診断機能が実装されており、
   前記自己診断機能は、
   比較信号（Ｖ１，Ｖ２）の評価された論理状態が予想される論理状態と一致しないときに前記比較デバイス（１４，２４）の誤機能を認識し、短絡認識をするために前記リセットデバイス（５）から出力されるリセット信号（Ｒｅｓｅｔ，Ｎｉｃｈｔ−Ｒｅｓｅｔ）をリードバックして予想される論理状態と比較し、リードバックされたリセット信号（Ｒ _Ｒ ）のチェックされた論理状態が予想される論理状態と一致しないときに、前記リセットデバイス（５）の誤機能を認識する
   ことを特徴とする装置。
2. 前記自己診断機能は制御装置で集中式に、または個々の電圧供給部（３）で分散式に実装される
   ことを特徴とする請求項１に記載の装置。
3. 前記自己診断機能は所定の時点および／またはシステム状態に依存して前記比較デバイス（１４，２４）および／または前記リセットデバイス（５）のチェックを実行する
   ことを特徴とする請求項１または２に記載の装置。
4. 不足電圧監視部（１０）の第１の比較デバイス（１４）は第１の入力信号（Ｕ_ｉｓｔ１）を第２の入力信号としての所定の第１の閾値電圧（Ｕ_Ｒｅｆ１）と比較して、これに対応する第１の比較信号（Ｖ１）を出力し、前記自己診断機能は、第１の入力信号（Ｕ_ｉｓｔ１）が状態に起因して第２の入力信号（Ｕ_Ｒｅｆ１）よりも低くなっている前記電圧供給部（３）の起動段階中に第１の比較信号（Ｖ１）の論理状態を、前記電圧供給部（３）が動作状態にあり第１の入力信号（Ｕ_ｉｓｔ１）が状態に起因して第２の入力信号（Ｕ_Ｒｅｆ１）よりも高くなっている後続の時点で前記自己診断機能が検出した第１の比較信号（Ｖ１）の論理状態と比較し、前記自己診断機能は、第１の比較信号（Ｖ１）の検出された両方の論理状態が等しいときに、または予想される論理状態と一致しないときに、前記不足電圧監視部（１０）の誤機能を認識する
   ことを特徴とする請求項１から３のいずれか１項に記載の装置。
5. 過電圧監視部（２０）の第２の比較デバイス（２４）は前記電圧供給部（３）の出力電圧（Ｕ_ｉｓｔ）から導き出される第１の入力信号としての第１の電圧（Ｕ_Ｔｅｓｔ）を第２の入力信号としての所定の第２の閾値電圧（Ｕ_Ｒｅｆ２）と比較して、これに対応する第２の比較信号（Ｖ２）を出力し、前記自己診断機能は、第１の入力信号（Ｕ_Ｔｅｓｔ）が状態に起因して第２の入力信号（Ｕ_Ｒｅｆ１）よりも高くなっている前記電圧供給部（３）の動作段階中に第２の比較信号（Ｖ２）の論理状態を検出し、前記自己診断機能は後続する時点で切換ユニット（３０）を介して、状態に起因して第２の入力電圧（Ｕ_Ｒｅｆ２）よりも低くなっている、前記電圧供給部（３）の出力電圧（Ｕ_ｉｓｔ）から導き出される第１の入力信号としての第２の電圧（Ｕ_ｉｓｔ２）を前記第２の比較ユニット（２４）に印加して、第２の比較信号（Ｖ２）の対応する論理状態を第２の比較信号（Ｖ２）の以前の論理状態と比較し、前記自己診断機能は、第２の比較信号（Ｖ２）の検出された両方の論理状態が等しいときに、または予想される論理状態と一致しないときに、前記過電圧監視部（２０）の誤機能を認識する
   ことを特徴とする請求項１から４のいずれか１項に記載の装置。
6. 車両システムのための電圧供給部を監視する方法において、比較デバイス（１４，２４）を通じて第１の入力信号としての電圧供給部（３）の出力電圧（Ｕ_ｉｓｔ）および／またはこれから導き出される電圧（Ｕ_ｉｓｔ１，Ｕ_ｉｓｔ２，Ｕ_Ｔｅｓｔ）が第２の入力信号としての所定の閾値電圧（Ｕ_Ｒｅｆ１，Ｕ_Ｒｅｆ２）と比較されて、これに対応する比較信号（Ｖ１，Ｖ２）が生成され、リセットデバイス（５）を通じて少なくとも１つの比較信号（Ｖ１，Ｖ２）に依存して少なくとも１つのリセット信号（Ｒｅｓｅｔ，Ｎｉｃｈｔ−Ｒｅｓｅｔ）が生成される、そのような方法において、少なくとも１つの前記比較デバイス（１４，２４）から出力される比較信号（Ｖ１，Ｖ２）の論理状態を入力信号（Ｕ_ｉｓｔ１，Ｕ_ｉｓｔ２，Ｕ_Ｔｅｓｔ）に依存して評価し、出力される比較信号（Ｖ１，Ｖ２）と対応するリセット信号（Ｒｅｓｅｔ，Ｎｉｃｈｔ−Ｒｅｓｅｔ）を生成可能であるかどうかチェックする自己診断機能が実装され、比較信号（Ｖ１，Ｖ２）の評価された論理状態が予想される論理状態と一致しないときに、前記比較デバイス（１４，２４）の誤機能が前記自己診断機能によって認識され、短絡認識をするために、出力されたリセット信号（Ｒｅｓｅｔ，Ｎｉｃｈｔ−Ｒｅｓｅｔ）が前記自己診断機能によりリードバックされて予想される論理状態と比較され、リセット信号（Ｒ _Ｒ ）のチェックされた論理状態が予想される論理状態と一致しないときに、前記自己診断機能によって前記リセットデバイス（５）の誤機能が認識される
   ことを特徴とする方法。
7. 前記自己診断機能は所定の時点および／またはシステム状態に依存して実行される
   ことを特徴とする請求項６に記載の方法。
8. 不足電圧監視部（１０）の第１の比較デバイス（１４）が第１の入力信号（Ｕ_ｉｓｔ１）を第２の入力信号としての所定の第１の閾値電圧（Ｕ_Ｒｅｆ１）と比較して、これに対応する第１の比較信号（Ｖ１）を出力し、第１の入力信号（Ｕ_ｉｓｔ１）が状態に起因して第２の入力信号（Ｕ_Ｒｅｆ１）よりも低くなっている前記電圧供給部（３）の起動段階中に第１の比較信号（Ｖ１）の論理状態が前記自己診断機能により検出されて、前記電圧供給部（３）が動作状態にあり第１の入力信号（Ｕ_ｉｓｔ１）が状態に起因して第２の入力信号（Ｕ_Ｒｅｆ１）よりも高くなっている後続の時点で前記自己診断機能により検出された第１の比較信号（Ｖ１）の論理状態と比較され、第１の比較信号（Ｖ１）の検出された両方の論理状態が等しいときに、または予想される論理状態と一致しないときに、前記不足電圧監視部（１０）の誤機能が前記自己診断機能によって認識される
   ことを特徴とする請求項６又は７に記載の方法。
9. 第２の比較デバイス（２４）の過電圧監視部（２０）が前記電圧供給部（３）の出力電圧（Ｕ_ｉｓｔ）から導き出される第１の入力信号としての第１の電圧（Ｕ_Ｔｅｓｔ）を第２の入力信号としての所定の第２の閾値電圧（Ｕ_Ｒｅｆ２）と比較して、これに対応する第２の比較信号（Ｖ２）を出力し、第１の入力信号（Ｕ_Ｔｅｓｔ）が状態に起因して第２の入力信号（Ｕ_Ｒｅｆ１）よりも高くなっている前記電圧供給部（３）の動作段階中に第２の比較信号（Ｖ２）の論理状態が前記自己診断機能により検出され、該自己診断機能は後続する時点で、状態に起因して第２の入力電圧（Ｕ_Ｒｅｆ２）よりも低くなっている、前記電圧供給部（３）の出力電圧（Ｕ_ｉｓｔ）から導き出される第１の入力信号としての第２の電圧（Ｕ_ｉｓｔ２）を前記第２の比較ユニット（２４）に印加して、第２の比較信号（Ｖ２）の対応する論理状態を第２の比較信号（Ｖ２）の以前の論理状態と比較し、第２の比較信号（Ｖ２）の検出された両方の論理状態が等しいときに、または予想される論理状態と一致しないときに、前記過電圧監視部（２０）の誤機能が前記自己診断機能によって認識される
   ことを特徴とする請求項６から８のいずれか１項に記載の方法。
   

Images