DE19757290C1

DE19757290C1 - Method of operating an airbag controller

Info

Publication number: DE19757290C1
Application number: DE19757290A
Authority: DE
Inventors: Stefan Hermann
Original assignee: Siemens AG; Siemens Corp
Current assignee: Continental Automotive GmbH
Priority date: 1997-12-22
Filing date: 1997-12-22
Publication date: 1999-03-04
Anticipated expiration: 2017-12-23

Abstract

The method involves performing a start-up procedure after switching on the control computer (2) voltage supply or following a reset command. The start-up procedure involves checking an identifier and setting it if it is not set. If it is detected that the identifier is already set, an error signal is generated and the identifier is reset when the control computer is deactivated. Part of the start-up program is omitted if the identifier is already set, esp. test routines for testing sensors and/or igniter capsule switches.

Description

Die Erfindung betrifft ein Verfahren zum Betreiben eines Steuerrechners, insbesondere eines Insassenschutzsystem-Steuer geräts in einem Kraftfahrzeug, bei dem nach dem Ein schalten der Spannungsversorgung und/oder nach einem Rück setzbefehl ein Hochlaufvorgang (Booten) ausgeführt wird.The invention relates to a method for operating a Control computer, in particular an occupant protection system tax devices in a motor vehicle, in which after the one switch the power supply and / or after a reset set command a startup process (booting) is carried out.

Allgemein werden Rechner in Steuergeräten, beispielsweise Kraftfahrzeuginsassenschutzsystem-Steuergeräten wie etwa Air bag-Steuergeräten, mittels eines üblicherweise als Watch-Dog bezeichneten Überwachungszeitgebers überwacht. Der Überwa chungszeitgeber wird durch vom Steuerrechner erzeugte Signale wiederholt zurückgesetzt. Bleiben diese Überwachungszeitge ber-Rücksetzsignale aus, bedeutet dies eine Fehlfunktion des Steuerrechners. Der Überwachungszeitgeber läuft dann ab und erzeugt ein Ausgangssignal, das an einen Rücksetzeingang (Reset-Anschluß) des Steuerrechners angelegt wird und diesen rücksetzt. Damit beginnt der Steuerrechner erneut zu booten. In dieser Hochlaufphase werden die üblichen Boot-Vorgänge und damit auch die im Boot-Programm enthaltenen Tests ausgeführt. Diese Tests beinhalten bei Insassenschutzsystemen üblicher weise auch Crashsensor-Tests und Zündpillenschalter-Tests zur Überprüfung der korrekten Funktionsweise der Sensoren und Zündschaltungskomponenten des Kraftfahrzeug- Insassenschutz systems. Bei einem Hochfahren nach dem Einschalten der Zün dung, d. h. nach Beginn der Spannungszuführung ,zum Steuerrech ner, entsprechen diese Vorgänge dem planmäßigen Steuerablauf. Computers are generally used in control units, for example Automotive occupant protection system control devices such as Air bag control units, usually using a watch dog designated watchdog timer. The supervisor is generated by signals generated by the control computer repeatedly reset. These monitoring times remain reset signals, this means a malfunction of the Tax calculator. The watchdog timer then expires and generates an output signal that goes to a reset input (Reset connection) of the control computer and this resets. The control computer then starts to boot again. In this run-up phase, the usual boot processes and the tests contained in the boot program are also carried out. These tests more commonly involve in occupant protection systems also assign crash sensor tests and squib switch tests Check the correct functioning of the sensors and Ignition circuit components of motor vehicle occupant protection systems. When starting up after switching on the ignition dung, d. H. after the start of the power supply, to the tax calculator ner, these operations correspond to the scheduled tax flow.

Wenn der Steuerrechner z. B. aufgrund eines Ansprechens des Überwachungszeitgebers oder durch sonstige intern oder extern generierte Rücksetzsignale rückgesetzt wird und sogleich au tomatisch wieder hochfährt, können solche Bootphasen ein schließlich der Tests auch während des laufenden Steuergerä tebetriebs, das heißt während des normalen Kraftfahrzeugbe triebs, auftreten, und ggf. während der Fahrt und möglicher weise momentan gerade geschlossenem Beschleunigungssensor und Safing-Sensor (Redundanzbeschleunigungssensor) ausgeführt werden. Hierdurch ergibt sich ein erhöhtes Risiko für Fehl funktionen. Der während der Hochlaufphase durchgeführte Sen sortest kann die Gefahr von unerwünschten Falschzündungen begründen. Ein weiteres Risiko besteht darin, daß eine solche Rücksetzung mit automatischem Wiederhochlauf möglicherweise während eines gerade laufenden Insassenschutzsystem-Aus lösevorgangs, das heißt während der Integrationsphase vor der Zündungsauslösung, ausgeführt wird, und damit eine ei gentlich erwünschte Schutzsystemauslösung unterbleibt oder zumindest stark verzögert wird. Es ist dann bei der späteren Unfallrekonstruktion nur noch mit hohen Schwierigkeiten, wenn überhaupt, zu klären, weshalb die ordnungsgemäße Auslösung unterblieben ist.If the control computer z. B. due to a response of the Monitoring timer or by other internal or external generated reset signals is reset and immediately au Such boot phases can start up automatically finally the tests also while the control unit is running tebetriebs, that is during normal motor vehicle operation drive, occur, and possibly while driving and possible currently currently closed acceleration sensor and Safing sensor (redundancy acceleration sensor) executed become. This increases the risk of mistakes functions. The Sen carried out during the run-up phase sortest can increase the risk of unwanted misfire justify. Another risk is that such Reset with automatic restart may be during a currently running occupant protection system off dissolving process, that is during the integration phase before the ignition trigger, is executed, and thus an egg the desired triggering of the protective system is omitted or is at least greatly delayed. It is then with the later one Accident reconstruction only with great difficulty if at all, to clarify why the proper triggering has been omitted.

Aus der DE 195 03 312 A1 sind ein Verfahren gemäß dem Oberbe griff des Patentanspruchs 1 sowie ein Steuergerät gemäß dem Oberbegriff des Patentanspruchs 5 bekannt. Bei dem bekannten System sind ein Hauptrechner und mehrere Subrechner vorgese hen, die nach dem Einschalten der Versorgungsspannung, oder nach einem Rücksetzvorgang, mit einem Startprogramm geladen und hochgefahren werden.DE 195 03 312 A1 describes a method according to the Oberbe handle of claim 1 and a control device according to the The preamble of claim 5 is known. With the well-known The system consists of a main computer and several subcomputers hen after switching on the supply voltage, or after a reset, loaded with a start program and be started up.

Aus: TBM Technical Disclosure Bulletin, Vol. 32, Nr. 10B, März 1990, Seite 116, ist ein Verfahren zum Betreiben eines Steuerrechners bekannt, bei dem beim Hochfahren des Rechners ein Selbsttest ausgeführt wird. Der Rechner ist mit einem nichtflüchtigen Speicher versehen, in dem ein Bit gesetzt werden kann. Beim Hochfahren des Rechners wird überprüft, ob das Bit gesetzt ist oder nicht, wonach der Selbsttest ausge führt wird. Wenn das Bit gesetzt ist, wird der Rechner ange halten, wenn während des Selbsttests ein Fehler ermittelt wird. Falls das Bit nicht gesetzt ist, wird ein erfaßter Feh ler lediglich registriert, das Hochfahren des Rechners jedoch fortgesetzt. Das Bit kann durch den Hersteller oder eine War tungsperson gesetzt oder rückgesetzt werden.From: TBM Technical Disclosure Bulletin, Vol. 32, No. 10B, March 1990, page 116, is a method of operating a Control computer known when booting the computer a self-test is carried out. The calculator is with one Provide non-volatile memory in which a bit is set can be. When the computer starts up, it is checked whether the bit is set or not, after which the self test is completed leads. If the bit is set, the computer is displayed hold if an error is detected during the self-test becomes. If the bit is not set, a detected error is ler just registered, but booting up the computer continued. The bit can be made by the manufacturer or a war subject can be set or reset.

Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren zu schaffen, mit dem sich der Betrieb des Steuerrechners besser überprüfen und gegebenenfalls verbessern läßt.The invention is based on the object of a method create with which the operation of the tax calculator better check and improve if necessary.

Diese Aufgabe wird mit den im Patentanspruch 1 genannten Maß nahmen gelöst.This object is achieved with the measure specified in claim 1 took solved.

Vorteilhafte Ausgestaltungen der Erfindung sind in den Un teransprüchen angegeben.Advantageous embodiments of the invention are in the Un claims specified.

Weiterhin wird mit der Erfindung ein Steuergerät gemäß Pa tentanspruch 5 geschaffen, das nach dem erfindungsgemäßen Verfahren arbeitet.Furthermore, a control device according to Pa created claim 5, according to the invention Process works.

Erfindungsgemäß wird beim Hochlaufen des Rechnergeräts nach dem Einschalten der Spannungsversorgung, zum Beispiel nach der Betätigung des Kraftfahrzeug-Zündschlosses, eine Kennung (Flag) gesetzt und in einem Register oder Speicher gespei chert. Beim normalen Ausschalten des Rechners, beispielsweise bei Ausschaltung der Kraftfahrzeugzündung, wird der Rechner herabgefahren und löscht hierbei die Kennung wieder. Dies kann dadurch erreicht werden, daß das beim normalen Herabfah ren des Rechners ablaufende Programm eine entsprechende Pro grammroutine enthält, die in dem die Kennung enthaltenden Speicherplatz eine logische Null einschreibt. Die Kennung wird somit während der Autarkiezeit des Rechners, während der die normalen Herabfahrschritte ausgeführt werden, rückge setzt. Bei einem erneuten Hochfahren (Booten) des Rechners wird vor der Ausführung des Kennungssetzschritts überprüft, ob die Kennung bereits gesetzt ist oder nicht. War der Rech ner zuvor ordnungsgemäß herabgefahren worden, ist die Kennung rückgesetzt worden, so daß der Kennungsprüfschritt ergibt, daß die Kennung rückgesetzt ist. Dies wird als Normalzustand eingestuft. Wenn jedoch das erneute Hochfahren des Rechners durch eine Rücksetzung ohne vorhergehendes Abschalten der Spannungsversorgung bzw. ohne ordnungsgemäßes Herabfahren des Rechners ausgelöst wurde, ist die Kennung nicht gelöscht. Bei dem Kennungsprüfschritt beim Hochfahren wird somit erkannt, daß das Hochfahren durch einen Fehlerzustand, das heißt eine Rücksetzung des Rechners aufgrund einer Störung (zum Beispiel eines Ansprechens des Überwachungszeitgebers) bedingt ist.According to the invention, when the computing device boots up after switching on the power supply, for example after the actuation of the motor vehicle ignition lock, an identifier (Flag) set and stored in a register or memory chert. When the computer is switched off normally, for example when the vehicle ignition is switched off, the computer lowered and deletes the identifier again. This can be achieved in that the normal down program running on the computer a corresponding pro contains the routine that contains the identifier Memory space writes a logical zero. The identifier is thus during the self-sufficiency of the computer, during the the normal descent steps are performed, reverse puts. When restarting (booting) the computer is checked before the identification step is carried out, whether the identifier is already set or not. Was the rake has been properly shut down before, is the identifier reset so that the identifier check step results in that the identifier is reset. This is considered the normal state classified. However, when restarting the computer by resetting without first switching off the Power supply or without properly shutting down the Has been triggered on the computer, the identifier is not deleted. At the identification check step during startup is thus recognized, that booting up through an error condition, that is, a Resetting the computer due to a malfunction (for example response of the monitoring timer).

Anhand der Kennung kann somit ein unerwünschter Rücksetzvor gang des Steuerrechners erfaßt werden und eine entsprechende Fehlermeldung generiert werden.An undesired reset can thus be made based on the identifier gear of the tax calculator and a corresponding Error message are generated.

Das Bootprogramm ist hierbei vorzugsweise derart ausgelegt, daß dann, wenn bei der Kennungsüberprüfung erkannt wird, daß die Kennung wider Erwarten gesetzt ist, ein während des nor malen Bootens (mit rückgesetzter Kennung) übersprungener Pro grammabschnitt ausgeführt wird, der das Überspringen einiger oder aller, während einer normalen Hochlaufphase ausgeführten Tests (Crashsensor-Test, Zündpillenschalter-Test usw.) be fiehlt und eine Fehlermeldung generiert. Dies bringt mehrere Vorteile. Zum einen kann der Bootvorgang schneller abge schlossen werden, das heißt der Steuerrechner ist schneller einsatzbereit und es ist das Risiko einer fehlerhaften Nicht zündung im Crashfall verringert. Zum anderen ist das Risiko von unerwünschten Fehlzündungen aufgrund der Ausführung der Hochlauf-Testvorgänge (zum Beispiel während der Fahrt) ver ringert. Zudem bietet die generierte Fehlermeldung einen Hin weis darauf, daß Störungen des Betriebs des Steuerrechners aufgetreten sind, so daß eine entsprechende Fehleranalyse eingeleitet werden kann.The boot program is preferably designed here that if it is recognized during the identification check that the identifier is set against expectations, a during the nor paint booting (with reset identifier) skipped pro section of the gram that is skipping some or all that ran during a normal startup phase Tests (crash sensor test, squib switch test, etc.) be is missing and an error message is generated. This brings several Advantages. For one thing, the boot process can be faster be closed, which means the control computer is faster ready for use and there is a risk of a faulty failure ignition reduced in the event of a crash. Second is the risk of undesirable misfires due to the execution of the Run-up test processes (e.g. while driving) ver wrestles. In addition, the generated error message offers an indication points out that malfunctions in the operation of the control computer have occurred, so that a corresponding error analysis can be initiated.

Die Fehlermeldung kann sofort dauerhaft in einem nichtflüch tigen Speicher, zum Beispiel einem EEPROM, gespeichert wer den. In vorteilhafter Ausführung ist es aber auch möglich, den Steuerrechner mit einem Zähler (Hardwarezähler oder Soft warezähler) auszustatten, der bei jedem Auftreten einer Feh lermeldung um 1 hochgezählt wird. Der Zähler kann auf eine bestimmte Schwelle, zum Beispiel 5, eingestellt sein und gibt erst dann ein Ausgangssignal ab, wenn die Anzahl von Fehler meldungen den vorbestimmten Wert erreicht. Erst dieses Zäh lerausgangssignal wird dann als Fehlerinformation, das heißt als ein Hinweis auf eine vorbestimmte Anzahl von außerplanmä ßigen Rücksetzungen, dauerhaft gespeichert. Dieser Zähler bzw. die entsprechende Zählfunktion wird beim planmäßigen Herabfahren des Rechners nach einer Spannungsausschaltung oder (nach dem Wiedereinschalten des Rechners) während der normalen Hochlaufphase auf Null gesetzt. Durch diese Vorge hensweise läßt sich die Anzahl von Scheinfehlern verringern, da nicht jede Rücksetzung des Steuerrechners sofort zur Spei cherung einer Fehlermeldung führt, sondern Voraussetzung hierfür ein wiederholtes Auftreten von Rücksetzungen während des Einschaltzustands des Rechners ist. Rücksetzungen, die zum Beispiel aufgrund von externen, vorübergehenden Einflüs sen als isoliertes Vorkommnis bedingt sind, bewirken damit keine Fehlermeldungsspeicherung.The error message can immediately become permanent in a non-cursed manner memory, for example an EEPROM the. In an advantageous embodiment, it is also possible the control computer with a counter (hardware counter or soft goods counter), which each time an error occurs message is incremented by 1. The counter can be set to one certain threshold, for example 5, can be set and gives an output signal only when the number of errors messages reached the predetermined value. Only this toughness ler output signal is then used as error information, that is as an indication of a predetermined number of unscheduled Resets, saved permanently. This counter or the corresponding counting function is in the scheduled Shutting down the computer after switching off the voltage or (after restarting the computer) during the normal startup phase set to zero. By this Vorge The number of false errors can be reduced, since not every reset of the tax calculator is immediately saved an error message, but a prerequisite for this a repeated occurrence of resets during the computer is switched on. Resets that for example due to external, temporary influences sen as an isolated occurrence, thus cause no error message storage.

Die Kennung wird vorzugsweise in einem nichtflüchtigen Spei cher gespeichert. Dies hat den Vorteil, daß die Kennung auch dann gespeichert bleibt, wenn die Steuerrechner-Ver sorgungsspannung kurzzeitig fehlerhaft zusammenbrechen oder stark absinken sollte. Hierbei besteht die Gefahr, daß der in flüchtigen Speichern enthaltene Dateninhalt gelöscht wird. Durch die Speicherung der Kennung in einem nichtflüch tigen Speicher kann die Kennung jedoch zuverlässig beim Wie derhochfahren des Rechners abgefragt werden.The identifier is preferably in a non-volatile memory saved. This has the advantage that the identifier too then remains stored when the control computer Ver supply voltage briefly break down incorrectly or should drop sharply. There is a risk that the data content contained in volatile memories is deleted becomes. By storing the identifier in a non-cursed However, the identifier can be stored reliably in the How the computer is started up.

Die Erfindung wird nachstehend anhand eines in der einzigen Figur gezeigten Ausführungsbeispiels in Form eines Insassen schutzsystems näher erläutert.The invention is illustrated below in one Figure shown embodiment in the form of an occupant protection system explained in more detail.

Das in Fig. 1 gezeigte Insassenschutzsystem ist als Airbag-System ausgelegt und enthält ein Steuergerät 1, das einen Steuerrechner 2 aufweist. Der Steuerrechner 2 steht über ei nen Bus (Steuer-, Daten- und/oder Adressbus) 3 mit weiteren Komponenten des Steuergeräts 1, insbesondere einem nicht flüchtigen Speicher 4, vorzugsweise einem PROM, speziell EEPROM, und einem schematisch dargestellten, ein oder mehrere Zündpillen des Airbagsystems ansteuernden Zündkreis 5 in Ver bindung. Mit dem Steuerrechner 2 sind ferner Sensoren 6 ver bunden, die als Unfallsensoren dienen und beispielsweise bei Überschreiten bestimmter Verzögerungsgrenzwerte ansprechen. Die Stromversorgung des Steuergeräts 1 erfolgt über eine Gleichspannungsversorgungsleitung 7, die mit der Kraftfahr zeugbatterie oder einer durch diese gespeisten Konstantspan nungsquelle verbunden ist.The occupant protection system shown in FIG. 1 is designed as an airbag system and contains a control unit 1 which has a control computer 2 . The control computer 2 is via a bus (control, data and / or address bus) 3 with further components of the control device 1 , in particular a non-volatile memory 4 , preferably a PROM, especially EEPROM, and a schematically illustrated one or more squibs of the airbag system triggering ignition circuit 5 in connection. With the control computer 2 sensors 6 are also connected, which serve as accident sensors and respond, for example, when certain deceleration limit values are exceeded. The power supply to the control unit 1 takes place via a direct voltage supply line 7 , which is connected to the motor vehicle battery or a voltage source fed by this constant voltage.

Beim Einschalten der Gleichspannung auf der Gleichspannungs leitung 7 führt der Steuerrechner 2 den üblichen Hochfahrvor gang (Booten) aus und fragt hierbei eine im Speicher 4 ge speicherte Kennung ab. Wenn die Kennung rückgesetzt ist, wird der Bootvorgang in normaler Weise fortgesetzt und es werden die vorgegebenen Testvorgänge ausgeführt und die Kennung ge setzt. Wenn die Kennung jedoch beim Kennungsprüfschritt be reits gesetzt sein sollte, überspringt das Bootprogramm die Testvorgänge und erzeugt eine Fehlermeldung. Diese kann ent weder sofort ausgegeben werden oder zunächst in einer Zähl schleife gezählt werden. Die Zählschleife ist auf einen be stimmten Vergleichsschwellwert eingestellt. Wenn die Anzahl von Fehlermeldungen den vorgegebenen Vergleichsschwellwert erreicht, erzeugt der Steuerrechner 2 eine Fehlermeldung, die im Speicher 4 dauerhaft gespeichert wird. Der jeweilige Zähl stand der Zählschleife kann in einem internen Speicher des Steuerrechners 2 gespeichert werden, kann jedoch aus Sicher heitsgründen auch in einem nicht flüchtigen Speicher, bei spielsweise im Speicher 4, gespeichert werden.When switching on the DC voltage on the DC voltage line 7 , the control computer 2 executes the usual start-up procedure (booting) and asks for an identifier stored in the memory 4 . If the identifier is reset, the boot process is continued in the normal manner and the specified test processes are carried out and the identifier is set. However, if the identifier is already set during the identifier check step, the boot program skips the test processes and generates an error message. This can either be output immediately or first counted in a counting loop. The counting loop is set to a certain comparison threshold. When the number of error messages reaches the predetermined comparison threshold value, the control computer 2 generates an error message which is stored permanently in the memory 4 . The respective count of the counting loop can be stored in an internal memory of the control computer 2 , but can also be stored in a non-volatile memory, for example in the memory 4 , for security reasons.

Beim normalen Herabfahren des Steuerrechners 2 nach Erhalt eines Ausschaltbefehls wird die Kennung zurückgesetzt. Wei terhin kann hierbei auch der Zählstand der Zählfunktion auf Null gesetzt werden. Der jeweilige Zählstand der Zählfunktion kann auch dauerhaft in einem nichtflüchtigen Speicher gespei chert bleiben, so daß ein Langzeitgedächtniseffekt erzielt wird.When the control computer 2 is normally shut down after receiving a switch-off command, the identifier is reset. Furthermore, the count of the counting function can also be set to zero. The respective count of the counting function can also be stored permanently in a non-volatile memory, so that a long-term memory effect is achieved.

Die Erfindung ist auch bei anders gearteten Kraftfahrzeug-In sassenschutzsystemen oder auch allgemein bei anderen Steu ersystemen einsetzbar.The invention also applies to other types of motor vehicles sassenschutzsystemen or in general with other tax systems can be used.

Claims

1. A method for operating a control computer ( 2 ), in particular an occupant protection system control unit ( 1 ) in a motor vehicle in which a startup process is carried out after switching on the control computer voltage supply or after a reset command, characterized in that in the startup process an identifier is checked and, if it is not set, is set so that if it is recognized during the start-up process during the start-up process that the identifier has already been set, an error message is generated, and that the identifier is generated when the control computer is brought down is reset again.

2. The method according to claim 1, characterized in that when it is recognized in the startup process that the Ken voltage is already set, part of the program routines of the startup process, in particular test routines for testing sensors ( 6 ) and / or squib switches, to be skipped.

3. The method according to claim 1 or 2, characterized in that the identifier in a non-volatile memory ( 4 ), in particular special in an EEPROM, is stored.

4. The method according to any one of the preceding claims, characterized characterized that the number of error messages counted and error information in a register or memory permanent only when a specified count value is reached is saved.

5. Control device, in particular occupant protection system, with a control computer ( 2 ) which performs a startup process when the voltage supply and / or after a reset, characterized in that an identifier memory ( 4 ) is present in which an identifier is set during startup , which is reset when the control computer ( 2 ) is shut down, and that the control computer ( 2 ) checks the state of the identifier before the identification step when starting the control computer ( 2 ) and then generates an error message if the identifier is already set .

6. Control device according to claim 5, characterized in that the identifier memory ( 4 ) is a non-volatile memory.

7. Control device according to claim 5 or 6, characterized by a counter that counts the number of error messages and at Reaching a predetermined count value an output signal generated that be the registration of error information works.