专利名称：用于控制汽车部件的运行的电子控制设备和方法
技术领域：
本发明涉及用于控制汽车部件、尤其是汽车的内燃机或变速箱的运行的电子控制设备以及方法。
这样的控制设备和控制方法本身是已知的，并且在此情况下通过通常称为“控制设备”的电子组合部件来实现，在该组合部件中汇总了电子或电气部件的多种多样的控制功能和/或监控功能。
在过去不断上升的在这种控制设备的功能方面的要求已导致，目前所希望的功能绝大部分通过采用微控制器来实现。在此情况下，概念“微控制器”例如表示一种电子的程序控制的控制设备，该控制设备典型地如PC那样具有CPU、RAM、ROM和I/O端口，但是与PC不同，该控制设备被设计用于非常特殊的应用。替代地，也可以通过固定布线的或可针对应用配置的电子部件(例如ASIC，FPGA等等)来实现微控制器。
除了像燃油泵、节流阀、燃油注射器或λ探针那样的应直接分配给内燃机的部件之外，要由控制设备控制的部件也可以是车辆的另外的部件。在输入侧，将诸如涉及曲轴转速和曲轴位置、发动机温度、进入空气温度和进入空气量、驾驶踏板位置等等的用于控制所需的传感器信号或被测量输入给控制设备。要控制或要检测的部件的这种列举绝对不是封闭式的，并且仅仅用来说明控制设备的许多可设想的功能。
由于微控制器或其I/O端口由技术决定大多不适合于直接控制这里感兴趣的车辆部件，所以这些部件通常由所分配的输出级控制，为此目的，这些输出级在输入侧获得微控制器的相应的控制信号，并且在输出侧提供用于激活和去激活部件所需的电压或电流、例如压电控制的喷油阀的充电和放电电流。
尤其是在安全性关键的功能方面，通常除了控制信号之外也将数字的所谓的释放信号输送给输出级，借助该释放信号按照释放信号状态来用信号通知激活的阻断(“禁止”)或释放(“允许”)。这种独立于输出级的真正的控制的释放在此情况下由释放控制设备来给出。
在已知的控制设备中，这样的释放控制设备是所谓的监控单元的一部分，该监控单元监控微控制器的按规定的运行，以便在故障的情况下采取适当的措施，例如使微控制器复位(Reset)和/或借助释放控制设备将所提及的释放信号中的一个或多个设置为这样的释放信号状态，利用该释放信号状态阻断或关断每个所分配的输出级。
常常被称为“监视器(Watchdog)”的这种监控单元在此情况下可以被集成在微控制器中或与该微控制器分离地布置。这种监控单元的功能例如基于，该监控单元不时地给微控制器提出任务，并且借助由微控制器反馈的结果来确定微控制器是否正确地工作。
如果这种监控单元超出一定的复杂性，则在实践中经济上合宜的是，以一种不同于输出级(大多是功率输出级)的技术、也就是合理地以低压技术来实施该单元(例如甚至微控制器)。
被设置用于向有关的输出级传输释放信号的电气连接(关断路径)可以由于提高的安全性的原因而被多重(冗余)地设计。此外可以借助数字释放信号根据在未激活的系统状态下的自检来检验用于关断输出级的能力。
如果在控制设备的运行中出现故障，则应由监控单元来识别该故障并且应借助数字释放信号使输出级转变到被定义为“安全的”状态中，因此在已知的控制设备中实际上在过压情况下却产生不足之处。
只能在有限制的由技术决定的运行范围之内保证在控制设备中所采用的电子器件的每种特性。一旦离开该范围，例如在系统的任何一个位置上存在不允许的高电压(例如电源电压和/或信号电压)时，则可设想释放信号的每个任意的配置。控制设备的连接管脚在目标环境中承受这样的电压，这些电压通常处于针对微控制器和必要时监控单元的逻辑电路所规定的工作电压范围之外，并且因此原则上可能导致对这些电路的干扰或者甚至破坏。
如果所提及的监控单元也承担过压识别的任务，则可能出现以下情况，即所监控的电压本身超出监控单元的允许的工作电压范围，使得不再能够确保将输出级置于所希望的预先确定的故障情况状态中。
例如可能出现，在过压情况下释放信号因此不转变到引起所分配的输出级的阻断的禁止状态中，因为过压损害监控单元或其释放控制设备本身的按规定的功能。
此外，在控制设备的以低压技术(例如5V和/或3.3V)实施的电路上允许的电压的超过由于这些电路的高的灵敏性而可能导致不定数量的后续故障。
为了解决在过压情况下常常不足的安全性的这种问题，虽然可以设想更稳健地实施微控制器和/或监控单元。但是这样的解决方案是很昂贵的。
因此，本发明的任务是提供用于通过采用在过压情况下具有改善的特性的微控制器来控制汽车部件、尤其是汽车的内燃机或变速箱的运行的控制设备以及方法。
该任务利用按照权利要求1的电子控制设备或按照权利要求7的控制方法来解决。从属权利要求涉及本发明的有利的改进方案。
根据本发明采用一种“划分的过压监控”，也就是使用在第一工作电压范围内工作的第一电压监控设备并且使用在超出该第一工作电压范围的第二工作电压范围内工作的第二电压监控设备。这种配置允许，即使在过压的特定故障情况下也可以将一个或多个输出级可靠地置于故障情况状态下。
控制设备的一个或多个要监控的工作电压是通常位于允许的第一工作电压范围之内的任何电压。
优选地监控开头所提及的类型的监控单元的至少一个供电电压。但是不排除，替代或附加地监控不同于监控单元的控制设备部件、尤其是微控制器芯片或以在工作电压方面可比较的微电子技术所制造的芯片的供电电压。
第一电压监控设备可以例如以低压技术(例如3.3V和/或5V)来实现。在实践中由此产生以下优点，即可以特别精确地确定预先确定的第一极限电压的超过，因为以这种技术实现的电路部分通常只经受微小的干扰。
在一种优选的实施形式中，第一电压监控设备被集成在开头所提及的类型的监控单元中，也即尤其是与监控单元的其余的电路部分一起被构造在一个共同的集成电路中，该集成电路也可以将微控制器包括在内。
当所监控的工作电压超出第一极限电压、尤其是超出针对第一电压监控设备所规定的工作电压范围一定程度时，这则被具有适当选择的第二极限电压的第二电压监控设备可靠地检测到。优选地将第二极限电压选择为略微大于第一极限电压，例如比第一极限电压大不到10％。
针对具有外部的5V逻辑电平的微控制器或监控单元，可以由技术决定例如规定直至7V的允许的工作电压范围。于是，第一电压监控设备可以例如将5.3V的电压设置为精确的所规定的第一极限电压。于是第二极限电压应在5.3V和7V之间的范围内选择，例如为5.6V，其中第二电压监控设备例如可以拥有直至36V的允许的工作电压范围。
利用两个电压监控设备的组合，可以将(就第一极限电压而言)高的精度与大的电压监控范围相组合(由第二电压监控设备的技术覆盖该电压监控范围)。
优选地，微控制器和/或监控单元、和输出级被构造为单独的相应的集成电路，并且此外优选地如此来实施第二电压监控设备，使得该第二电压监控设备的工作电压范围包含输出级的在有关的应用中最大可预期的工作电压范围。
输出级的预先确定的故障情况状态例如可以在于，完全关断输出级。
如果两个电压监控设备之一已确定了过压，则可以例如将处于禁止信号状态下的释放信号输出到一个或多个有关的输出级上，以便阻断所控制的部件的激活(至少只要存在过压和/或至少在预先给定的持续时间内存在过压)。
替代地或附加地，如果有关的输出级能够例如通过任何类型的(独立于释放信号的)故障情况信号、例如复位信号的传输来实现这一点，则可以以另外的方式有针对性地影响输出级的状态。
优选地将上面提及的类型的释放控制设备以微电子方式集成在监控单元(监视器)中，例如以模拟和数字电路块的低压混合技术集成ASIC中。该监控单元监控微控制器的按规定的运行，并且只有在确定按规定的微控制器运行时才提供处于能够驱动所分配的输出级的那个释放信号状态下的释放信号。该监控单元于是也可以有利地承担第一电压监控设备的功能，其中可以为此提供精确的电压基准(具有例如在应关断的输出级中通常不能达到的精度)。为了在过压情况下将输出级置于预先确定的故障情况状态下，可以有利地例如通过输出阻断输出级的释放信号来使用在监控单元的范围内总归存在的关断路径。可以在监控单元上的运行上占最大优势的电压和由技术决定最大允许的电压(绝对最大额定值)之间的范围内选择关断阈值(第一极限电压)。
在许多应用情况下，例如当应采用商业上可获得的微控制器芯片时，有利的是，在与微控制器芯片分离地布置的共同的集成电路中设置包括释放控制设备的监控单元。
当输出级比微控制器或控制设备的用于提供释放信号所需的那些电路部分拥有更高的耐压强度时，只要过压不导致输出级的故障，在微控制器和/或监控单元和/或释放控制设备的范围内就仍然可以可靠地识别出由过压引起的故障。然而，可以容易地通过输出级的耐压强度的相应的大小确定(例如36V)来确保过压不导致输出级的故障，在实践中通常总归必须至少针对车辆的车载电源电压(例如12V或24V)加上一定的安全预留来设计该耐压强度。
在检测到过压时，也可以将这通知给控制设备的逻辑电路部分、尤其是具有复位功能的微控制器和/或电压供给单元，该电压供给单元在控制设备开始运转时以所规定的方式首先复位或启动各个设备部件。
下面参考附图借助实施例来更详细地描述本发明。
图1是用于控制汽车的喷油发动机的运行的发动机控制设备的示意性框图，图2是根据另一实施形式的发动机控制设备的示意性框图，以及图3是根据另一实施形式的发动机控制设备的示意性框图。
在实施例中多重设置的、但是在作用方面类似的部件的参考数字是逐一编号的(分别用连字符和连续的数字来补充)。以下也用未被补充的参考数字来援引这种部件中的各个部件或这种部件的整体。
图1示出用于汽车的汽油直喷发动机的、总体上用10表示的发动机控制设备的主要部件。
发动机控制设备10具有微控制器12，以便提供控制信号(未示出)，该控制信号用于控制在内燃机的运行中要控制的车辆部件(在本实例中为发动机部件)。
在图1中此外还示例性示出了输出级14-1和14-2，所提及的用于激活和去激活要控制的部件的控制信号被输入给这些输出级14-1和14-2，以便给所连接的部件(这里例如燃油喷射装置和节流阀)施加合适的控制电压或控制电流。
此外以本身已知的方式设置有监控单元16，该监控单元16通过(未示出的)通信连接与微控制器12进行通信，以便监控尤其是该微控制器12的按规定的运行，并且根据该监控的结果例如相应地设置用于所示出的输出级14-1和14-2的数字释放信号。借助这些释放信号，通过第一逻辑释放信号状态“低”(L)来用信号通知(通过输出级14-1)激活燃油喷射装置或(通过输出级14-2)激活节流阀的阻断(“禁止”)，并且通过第二逻辑释放信号状态“高”(H)来用信号通知(通过输出级14-1)激活燃油喷射装置或(通过输出级14-2)激活节流阀的释放(“允许”)。
用于激活和去激活要控制的部件(这里为燃油喷射装置和节流阀)的输出级14因此基于相应的控制信号在考虑输入给相应输出级14的释放信号的情况下工作。这些释放信号以本身已知的方式通过为此所设置的线路连接(“关断路径”)18-1、18-2被输入给输出级14-1和14-2。另一关断路径18-3通向在微控制器12和电压供给单元20之间延伸的复位线路。
在内燃机开始运转时，由车载电源供电的电压供给单元20为输出级14-1、14-2和监控单元16提供5V的供电电压，以及为微控制器12提供3.3V和1.5V的供电电压。在这些供电电压稳定之后，电压供给单元20向微控制器12(输入端子PORST)提供复位信号，以便使该微控制器12的3.3V电路复位。在微控制器12的这种初始化之后，该微控制器12又向电压供给单元20返回提供表明该微控制器12的准备就绪的复位信号(输出端子RESET_OUT)，该电压供给单元20于是向被供应5V的控制设备部件14-1、14-2、16提供复位信号，以便使这些控制设备部件14-1、14-2、16复位。然后所有示出的用于控制内燃机的运行的控制设备部件工作。
在控制设备10的这种激活的运行中，监控单元16监控微控制器12和必要时另外的与微控制器12处于连接中的控制设备部件的按规定的运行。
只有当通过关断路径18-1被输入给输出级14-1的释放信号处于允许状态下时，输出级14才通过将相应的控制信号输出到不同的燃油注射器上来启动燃油喷射(在图1的右边缘上画出的信号线路输出端象征性地表示燃油注射器的控制)。在此情况下，喷射定时和喷射量基本上由这个或这些由微控制器12输出的控制信号来决定。为了简化图示，这里没有示出控制信号的传输。此外，在图1的图示中略去了控制设备10的对于本发明的理解来说不重要的并且能够以传统方式构造的所有电路部分(例如微控制器上用于接收各种不同的传感器信号的输入信号，在车辆部件控制或发动机控制的范围内需要这些传感器信号)。
以类似的方式，借助通过关断路径18-2被输入给输出级14-2的释放信号来释放或阻断节流阀的控制。
所示出的控制设备10的特点在于两个互相独立地工作的用于监控5V工作电压的电压监控设备22、24的布置，该5V工作电压被用于给一些控制设备部件、诸如输出级14-1和14-2和监控单元16本身供电。在此情况下，第一电压监控设备以微电子的方式被集成在监控单元16中(AS I C芯片)，并且检测该工作电压超过5.5V的预先确定的第一极限电压的情况。即使在这样的过压情况下监控单元16也引起禁止信号通过关断路径18的输出，由此触发输出级14-1和14-2的关断以及微控制器12的3.3V电路的复位。
在所示出的实施例中，也针对所监控的工作电压下降到某个极限值(这里例如4.5V)之下的情况设置了相同的关断功能或复位功能。
在本实例中所设置的输出级14的关断是输出级的针对过压情况所设置的故障情况状态，应将这些输出级置于该故障情况状态下。在所示出的实例中，这通过经由相应的关断路径18输出禁止信号来实现。
以微电子电路技术来构造监控单元16和尤其是该监控单元16的电压监控设备22，该微电子电路技术拥有直至7V的允许的工作电压范围。如果在故障情况下施加在包含监控单元16的芯片上的电压、尤其是要监控的工作电压超过7V的最大允许的电压，则不再确保该监控单元16(例如甚至被供应该工作电压的另外的控制设备部件)的功能。根据过压的具体的高度和持续时间，也可能导致这些由技术决定很敏感的控制设备部件的损坏。
为了即使在该情况下也将输出级14-1、14-2置于预先确定的故障情况状态下，也由第二电压监控设备24来监控5V工作电压，其中该设备由技术决定工作在这样的工作电压范围内，该工作电压范围超出直至7V的允许的第一工作电压范围，例如直至36V的最大电压，输出级14-1、14-2也是针对该最大电压设计的。当附加地由第二电压监控设备24所监控的5V工作电压超过由5.6V的齐纳电压决定性地确定的值时，则由电压监控设备24将关断路径18-1、18-2、18-3设置为禁止状态，以便关断连接在其上的输出级14-1、14-2或触发微控制器12的上面已阐述的复位。
因此，电压监控拥有可由第一电压监控设备22非常精确地预先给定的第一极限电压，并且由于第二电压监控设备24的比较高的耐压强度而拥有大的工作范围，该工作范围在所示出的实施例中是针对在发动机控制设备10的环境中最大可预期的电压来设计的。
在图1中示出了第二电压监控设备24的一种示例性的结构。当输入给该设备的5V工作电压超过5.6V的齐纳二极管的击穿电压一定程度时，电流则流经分别平行于关断晶体管的基极-发射极段布置的电阻，以致在这些电阻上所引起的电压降使这些晶体管导通并且这些晶体管连接关断路径18与电气的车辆地线。这相当于在关断路径18-1、18-2上的所希望的禁止信号或在线路18-3上的复位信号。
优选地将第二电压监控设备24构造为集成电路。
当然可以替代或附加地监控不同于5V电源的另外的电压。
不同于所示出的实施例，可以设想，使该第二电压监控设备24的功能全部或部分地分布到输出级14上。在所示出的实例中，例如可以将被设置用于关断输出级14-1和14-2的关断晶体管(分别连同齐纳二极管)分别集成在构成输出级14-1或14-2的芯片中。重要的是，第二电压监控设备由技术决定在比较广泛的允许的工作电压范围内工作。
当然，在实践中，发动机控制设备10可以具有用于控制其它车辆部件的其它输出级，在过压情况下特别可靠地产生关断信号的上述方法同样可以被用于这些输出级。
在所示出的实例中，输出级14-1、14-2中的每一个都拥有与微控制器12和/或第一电压监控设备22相比由技术决定而相对高的36V的耐压强度。因此，当控制设备10的参与提供释放信号的电路部分由于过压而已被损害或破坏时，则有利地也还可以分别可靠地阻断或关断输出级。
因此，至于像监控单元16或微控制器12那样的逻辑模块的由过压所引起的故障，由于两部分的过压监控而改善了总系统的故障安全特性。由技术决定较稳健地被实施的第二电压监控设备也可以在第一电压监控设备22发生故障之后可靠地引起输出级14-1、14-2的关断。
因此利用控制设备10低成本地实现精确的、然而覆盖大的电压范围的过压监控，该过压监控显著地改善总电气系统的故障安全特性，这尤其是在汽车中由于安全性原因而具有重大的意义。
在其它实施例的以下说明中，将相同的参考数字用于功能上类似的部件，该参考数字分别通过用于区分实施形式的小写字母来补充。在此，基本上仅深入讨论与这个或这些已经说明的实施例的区别，并且此外就此明确参阅以上实施例的说明。
在图1中示出了要替代输出级14-1、14-2使用的输出级14a-1、14a-2，利用这些输出级14a-1、14a-2来实施用于柴油发动机的控制设备。输出级14a-1在此情况下又用于控制各个燃油注射器，而输出级14a-2用于控制燃油泵设备和/或用于调节共同被用于柴油注射器的蓄压器(共用轨道(Common Rail))中的燃油压力。
图2示出发动机控制设备10b的另一实施形式，在该实施形式中第二电压监控设备24b被实施为单独的芯片，该芯片有利地与商业上已经可获得的分别构成其余的控制设备部件之一的芯片、例如所示出的部件20b、12b、14b-1、14b-2和16b一起被组合在控制设备10b中。
图3示出控制设备10c的另一实施形式，在该控制设备10c中，第二电压监控设备24c以上面已阐述的方式由三个部分24c-1、24c-2和24c-3组成，并且这些部分分别被布置在输出级14c-1、14c-2中或被布置为单独的电路24c-3。
权利要求
1.用于控制汽车部件、尤其是汽车的内燃机或变速箱的运行的电子控制设备，包括-微控制器(12)，用于提供至少一个控制信号，该控制信号用于控制至少一个在汽车的运行中要控制的部件，其中所述微控制器在由技术决定而预先给定的允许的第一工作电压范围内工作，-至少一个输出级(14)，用于基于所述控制信号激活和去激活所述要控制的部件，-第一电压监控设备(22)，该第一电压监控设备(22)由技术决定在所述允许的第一工作电压范围内工作，用于监控所述控制设备的至少一个确定的工作电压，并且用于如果至少一个所监控的工作电压超过预先确定的第一极限电压、则将所述输出级(14)置于预先确定的故障情况状态下，其中在所述允许的第一工作电压范围之内选择所述第一极限电压，-第二电压监控设备(24)，该第二电压监控设备(24)由技术决定在超出所述允许的第一工作电压范围的、允许的第二工作电压范围内工作，用于监控至少一个工作电压，并且用于如果至少一个所监控的工作电压超过预先确定的第二极限电压、则将所述输出级(14)置于所述故障情况状态下，其中在所述允许的第一工作电压范围之内选择所述第二极限电压并且将所述第二极限电压选择为大于所述第一极限电压。
2.按权利要求1的控制设备，其中，所述微控制器(12)和/或监控设备(16)、和所述输出级(14)被构造为单独的相应的集成电路。
3.按权利要求1或2的控制设备，其中，所述第一电压监控设备(22)被集成在监控设备(16)中，该监控设备(16)监控所述微控制器(12)的按规定的运行，并且在确定未按规定的运行时将所述输出级(12)置于所述故障情况状态下。
4.按权利要求3的控制设备，其中，设置有在所述监控设备(16)和所述输出级(14)之间延伸的释放信号线路(18)，借助该释放信号线路(18)将用于用信号通知所述输出级(14)的运行的释放和阻断的数字释放信号输入给所述输出级(14)，并且通过所述释放信号的预先确定的信号状态将所述输出级(14)置于所述故障情况状态下。
5.按权利要求4的控制设备，其中，所述第二电压监控设备(24)与所述释放信号线路(18)相连接，以便在超过所述第二极限电压时通过确定所述释放信号的确定的信号状态来将所述输出级(14)置于所述故障情况状态下。
6.按以上权利要求之一的控制设备，其中，所述允许的第二工作电压范围被构造成适合于在总系统中最大可预期的电压。
7.用于借助控制设备(10)来控制汽车部件、尤其是汽车的内燃机或变速箱的运行的方法，该控制设备(10)包括-微控制器(12)，用于提供至少一个控制信号，该控制信号用于控制至少一个在汽车的运行中要控制的部件，其中所述微控制器(12)在由技术决定而预先给定的允许的第一工作电压范围内工作，-至少一个输出级(14)，用于基于所述控制信号激活和去激活所述要控制的部件，其中所述方法包括-借助第一电压监控设备(22)来监控所述控制设备(10)的至少一个确定的工作电压，该第一电压监控设备(22)由技术决定在所述允许的第一工作电压范围内工作，并且如果至少一个所监控的工作电压超过在所述允许的第一工作电压范围之内所选择的预先确定的第一极限电压，该第一电压监控设备(22)则将所述输出级(14)置于预先确定的故障情况状态下，以及-借助第二电压监控设备(24)来监控所述至少一个工作电压，该第二电压监控设备(24)由技术决定在超出所述允许的第一工作电压范围的、允许的第二工作电压范围内工作，并且如果至少一个所监控的工作电压超过在所述允许的第一工作电压范围之内所选择的并且被选择为大于所述第一极限电压的预先确定的第二极限电压，则该第二电压监控设备(24)将所述输出级(14)置于所述故障情况状态下。
全文摘要
在具有所分配的用于控制部件的输出级(14－1，14－2)的微控制器(12)中监控工作电压。在过压的情况下关断输出级(14－1，14－2)。设置有两个由技术决定在不同的工作电压范围内工作的电压监控设备(22，24)，通过这两个电压监控设备(22，24)的组合，一方面可以实现很精确的关断阈值，另一方面可以实现要监控的工作电压的大的范围。因此可以在过压的故障情况下可靠地关断输出级(14－1，14－2)。
文档编号F02D41/22GK1950598SQ200580013605
公开日2007年4月18日 申请日期2005年4月8日 优先权日2004年4月27日
发明者J·法尔特, A·菲施, M·基克, T·迈尔, P·施科策克, N·马伦科, R·费尔斯特 申请人:西门子公司