本發(fā)明涉及一種控制系統(tǒng)。本發(fā)明尤其涉及保護(hù)可連接到數(shù)據(jù)總線上的控制系統(tǒng)以防故障狀態(tài)。

背景技術(shù)：

例如在機(jī)動(dòng)車輛上的控制系統(tǒng)連接到數(shù)據(jù)總線上，所述控制系統(tǒng)可以經(jīng)由所述數(shù)據(jù)總線與另外的控制系統(tǒng)或控制設(shè)備通信。所述控制設(shè)備或控制系統(tǒng)中的一些可以履行所述控制功能，所述控制功能對于環(huán)境中的操作人員或不參與的人員的安全性是相關(guān)的（relevant）。例如，可以在機(jī)動(dòng)車輛上控制內(nèi)燃機(jī)或制動(dòng)裝置。如果在控制系統(tǒng)或控制設(shè)備之一中存在誤操作，那么可以確保不經(jīng)由數(shù)據(jù)總線傳輸以下數(shù)據(jù)，即所述數(shù)據(jù)可能影響另一控制系統(tǒng)或控制設(shè)備的功能，并且因此有損于受控制的過程的安全性。

數(shù)據(jù)總線例如可以包括can總線?？刂葡到y(tǒng)的控制設(shè)備借助于驅(qū)動(dòng)構(gòu)件與can總線連接?？刂圃O(shè)備被設(shè)立用于，自動(dòng)地識(shí)別故障狀態(tài)，并且在故障情況下關(guān)斷驅(qū)動(dòng)構(gòu)件。為此，控制設(shè)備的專用輸出端與驅(qū)動(dòng)構(gòu)件的相對應(yīng)的使能輸入端（freigabeeingang）連接。為了提高安全性，可以設(shè)置其他控制設(shè)備，該其他控制設(shè)備監(jiān)視第一控制設(shè)備的特定的操作，并且查明故障狀態(tài)。如果查明故障狀態(tài)，那么第二控制設(shè)備經(jīng)由其使能輸入端將驅(qū)動(dòng)構(gòu)件關(guān)斷。為此，需要兩個(gè)控制設(shè)備的關(guān)斷信號(hào)的邏輯關(guān)聯(lián)（verknüpfung）。此外，于是必須使用擁有被引出的使能輸入端的驅(qū)動(dòng)構(gòu)件。

如果驅(qū)動(dòng)構(gòu)件被關(guān)斷，那么所述驅(qū)動(dòng)構(gòu)件通常提供故障信號(hào)給第一控制設(shè)備。于是該第一控制設(shè)備或另一控制設(shè)備通常必須確定關(guān)斷的原因。為此可以考慮在第一控制設(shè)備中的故障、在第二控制設(shè)備中的故障和在驅(qū)動(dòng)構(gòu)件中的故障。附加地，信號(hào)的連接或關(guān)聯(lián)可能是有錯(cuò)誤的。最后，故障信號(hào)自身也可能是有錯(cuò)誤的。為了正確地分配故障，因此必須檢驗(yàn)在控制設(shè)備和驅(qū)動(dòng)構(gòu)件之間的不同的信號(hào)路徑。所述檢驗(yàn)可能是耗費(fèi)的，并且引起在數(shù)據(jù)總線上輸出以下信號(hào)，所述信號(hào)僅用于故障確定并且不是對另一控制設(shè)備或控制系統(tǒng)發(fā)出的。

技術(shù)實(shí)現(xiàn)要素：

本發(fā)明的任務(wù)是，提供用于連接到數(shù)據(jù)總線上的控制系統(tǒng)，所述數(shù)據(jù)總線支持改善的故障分析。通過具有獨(dú)立權(quán)利要求的特征的控制系統(tǒng)解決所述任務(wù)。從屬權(quán)利要求再現(xiàn)優(yōu)選的實(shí)施方式。

控制系統(tǒng)包括第一控制設(shè)備、第二控制設(shè)備和用于數(shù)據(jù)總線的驅(qū)動(dòng)構(gòu)件。在此，第一控制設(shè)備包括：數(shù)據(jù)輸出端，所述數(shù)據(jù)輸出端與驅(qū)動(dòng)構(gòu)件的數(shù)據(jù)輸入端連接；和監(jiān)視裝置，其用于在故障情況下將數(shù)據(jù)輸出端去活。用于驅(qū)動(dòng)構(gòu)件的第二控制設(shè)備的去活信號(hào)被引導(dǎo)給第一控制設(shè)備的數(shù)據(jù)輸入端，并且第一控制設(shè)備被設(shè)立用于，根據(jù)在第二輸入端處的故障信號(hào)將數(shù)據(jù)輸出端去活。

由此可以使用不擁有使能輸入端的驅(qū)動(dòng)構(gòu)件。驅(qū)動(dòng)構(gòu)件可以具有減少數(shù)量的端子，使得驅(qū)動(dòng)構(gòu)件可以被實(shí)施得更緊湊?？刂葡到y(tǒng)由此可以地被構(gòu)建得更緊湊。此外，由于減少數(shù)量的端子而可以降低制造成本或提高控制系統(tǒng)的運(yùn)行安全性。尤其可以改善驅(qū)動(dòng)構(gòu)件的關(guān)斷的可靠性。此外，可以進(jìn)行第一和第二控制設(shè)備的關(guān)斷信號(hào)的邏輯關(guān)聯(lián)，而不為此在控制設(shè)備和驅(qū)動(dòng)構(gòu)件之外設(shè)置器件或集成電路?？刂葡到y(tǒng)可以由此進(jìn)一步簡化地被構(gòu)建。在電路板上所需要的面積或控制系統(tǒng)的空間需求可以進(jìn)一步被降低。

此外，可以以簡化的方式能夠確定關(guān)斷的源頭。第一控制設(shè)備尤其可以經(jīng)簡化地查明：關(guān)斷是基于自己的判定還是基于第二控制設(shè)備的被采樣的信號(hào)發(fā)生的。例如基于驅(qū)動(dòng)構(gòu)件的自監(jiān)視對驅(qū)動(dòng)構(gòu)件的關(guān)斷可以以已知的方式借助于故障信號(hào)來確定，其中驅(qū)動(dòng)構(gòu)件提供所述故障信號(hào)，并且所述故障信號(hào)被引向例如第一控制設(shè)備的輸入端。

尤其可以避免，在控制系統(tǒng)中的故障狀態(tài)的情況下在數(shù)據(jù)總線上輸出信號(hào)，所述信號(hào)可能由其他所連接的控制設(shè)備或控制系統(tǒng)不正確地解釋為數(shù)據(jù)、尤其有效數(shù)據(jù)。由此可以提高系統(tǒng)的安全性，其中所述系統(tǒng)包括控制系統(tǒng)。尤其可以在機(jī)動(dòng)車輛上使用控制系統(tǒng)時(shí)經(jīng)改善地確保：即使在故障情況下控制系統(tǒng)也不影響對過程的控制，所述過程的控制裝置與數(shù)據(jù)總線連接?？梢杂纱烁纳圃跈C(jī)動(dòng)車輛上或在機(jī)動(dòng)車輛的范圍中的人員的安全性。

尤其優(yōu)選的是，監(jiān)視裝置的信號(hào)和在第一控制設(shè)備的數(shù)據(jù)輸入端處的信號(hào)借助于在第一控制設(shè)備之內(nèi)的邏輯電路被彼此關(guān)聯(lián)。第一控制設(shè)備可以被設(shè)立用于，借助于相應(yīng)的配置提供這樣的關(guān)聯(lián)。所述配置例如可以在第一控制設(shè)備的開動(dòng)期間被執(zhí)行。為此所需要的程序耗費(fèi)可以是小的，使得程序可以較簡單地被改變或驗(yàn)證。此外，配置可以被保護(hù)免受由在第一控制設(shè)備中開動(dòng)之后所實(shí)施的過程改變。

在此特別優(yōu)選的是，數(shù)據(jù)輸出端可以通過信號(hào)中的每一個(gè)彼此無關(guān)地被去活。換句話說，優(yōu)選的是，僅當(dāng)在第一控制設(shè)備之內(nèi)的監(jiān)視裝置以及在控制設(shè)備的數(shù)據(jù)輸入端處的第二控制設(shè)備的信號(hào)均未說明是不可取的時(shí)，數(shù)據(jù)輸出端才是被激活的。因此，數(shù)據(jù)輸出端的去活相對于控制設(shè)備之一的激活信號(hào)具有優(yōu)先權(quán)。

數(shù)據(jù)輸出端尤其可以被設(shè)立用于，根據(jù)去活信號(hào)變得高歐姆的。換句話說，第一控制設(shè)備的輸出驅(qū)動(dòng)器可以根據(jù)去活信號(hào)被關(guān)斷。這樣的輸出驅(qū)動(dòng)器也以名稱三態(tài)驅(qū)動(dòng)器（tri-state-treiber）已知。這樣的數(shù)據(jù)驅(qū)動(dòng)器可以在第一控制設(shè)備的外部引出的端子處采取三種狀態(tài)、也即邏輯1、邏輯0和高歐姆的。前兩個(gè)狀態(tài)被設(shè)置用于將數(shù)據(jù)傳送到驅(qū)動(dòng)構(gòu)件。如果端子被切換為高歐姆的，那么施加在驅(qū)動(dòng)構(gòu)件的輸入端處的信號(hào)不再被第一控制設(shè)備影響。驅(qū)動(dòng)構(gòu)件可以識(shí)別所述狀態(tài)并且采取適當(dāng)?shù)拇胧?。在該情況下，驅(qū)動(dòng)構(gòu)件也可以探測在其輸入端處的預(yù)先確定的邏輯電平，所述邏輯電平通常被限定，使得驅(qū)動(dòng)構(gòu)件的數(shù)據(jù)在數(shù)據(jù)總線上的發(fā)送盡可能立即（umgehend）地被禁止。

在另一實(shí)施方式中，驅(qū)動(dòng)構(gòu)件可以附加地通過第一控制設(shè)備被置于能量節(jié)省模式中。為此優(yōu)選地是，驅(qū)動(dòng)構(gòu)件包括使能輸入端，所述使能輸入端與第一控制設(shè)備的其他數(shù)據(jù)輸出端連接，使得驅(qū)動(dòng)構(gòu)件可以由第一控制設(shè)備控制。使能輸入端優(yōu)選地是控制輸入端，所述控制輸入端在一種實(shí)施方式中也已知為“enable（使能）”輸入端。所述禁用（sperren）對應(yīng)于使能的相反情況（gegenteil）。由此可以更高效地將控制系統(tǒng)與數(shù)據(jù)總線分開。驅(qū)動(dòng)構(gòu)件的去活狀態(tài)有時(shí)也稱作睡眠狀態(tài)。睡眠狀態(tài)在有些情形下可以被終止，其方式是驅(qū)動(dòng)器構(gòu)件經(jīng)由數(shù)據(jù)總線被尋址或者利用預(yù)先確定的數(shù)據(jù)被操控。

優(yōu)選地，其他數(shù)據(jù)輸出端可以與另一數(shù)據(jù)輸出端的去活無關(guān)地被控制。數(shù)據(jù)輸出端的去活可以由此被保持為與驅(qū)動(dòng)構(gòu)件的去活無關(guān)。對于分析目的、尤其在自測試的范圍中，或?qū)τ诖_定與輸出驅(qū)動(dòng)器連接的數(shù)據(jù)輸出端出于哪種原因或從哪個(gè)源頭被去活了，這可以是有利的。

此外優(yōu)選的是，驅(qū)動(dòng)構(gòu)件包括使能輸出端，以便顯示其使能狀態(tài)，其中所述使能輸出端與第一控制設(shè)備的其他數(shù)據(jù)輸入端連接。

第一控制設(shè)備可以由此對驅(qū)動(dòng)構(gòu)件的狀態(tài)采樣，而不引起經(jīng)由數(shù)據(jù)總線的數(shù)據(jù)交換。尤其是，當(dāng)驅(qū)動(dòng)構(gòu)件改變其使能狀態(tài)時(shí)，第一控制設(shè)備可以進(jìn)行探測，而這不是通過控制設(shè)備之一促使的。例如通過經(jīng)由數(shù)據(jù)總線用信號(hào)通知而進(jìn)入使能狀態(tài)，或由于自診斷的故障而從使能狀態(tài)離開可以屬于此。

附圖說明

現(xiàn)在參考附圖更準(zhǔn)確地描述本發(fā)明，所述附圖示出控制系統(tǒng)的示意圖。

具體是實(shí)施方式

該圖示出用于與數(shù)據(jù)總線105連接的控制系統(tǒng)100?？刂葡到y(tǒng)100優(yōu)選地被設(shè)立用于，在機(jī)動(dòng)車輛上被使用。在此，控制系統(tǒng)100可以執(zhí)行任意的控制任務(wù)、例如發(fā)動(dòng)機(jī)控制或制動(dòng)控制。數(shù)據(jù)總線105例如可以包括can總線。一個(gè)或多個(gè)其他控制設(shè)備或控制系統(tǒng)可以連接到數(shù)據(jù)總線105上，所述控制設(shè)備或控制系統(tǒng)中的一個(gè)可以執(zhí)行控制任務(wù)，所述控制任務(wù)的錯(cuò)誤實(shí)施可能影響尤其機(jī)動(dòng)車輛的周圍的系統(tǒng)的物理或功能安全性。

控制系統(tǒng)100包括第一控制設(shè)備110、第二控制設(shè)備115和驅(qū)動(dòng)構(gòu)件120。第一控制設(shè)備110尤其可以被實(shí)施為可編程微計(jì)算機(jī)。優(yōu)選地使用可配置微計(jì)算機(jī)，其包括功能單元，所述功能單元首先是彼此無關(guān)的，并且所述功能單元的相互作用可以通過預(yù)先確定的控制指令被配置。這樣的實(shí)施方式也稱作微控制器。第一控制設(shè)備110的在圖中示出的元件可以被實(shí)施為彼此集成的，例如被實(shí)施為可單獨(dú)地管理的組件。集成可以包括：在共同的半導(dǎo)體襯底上構(gòu)成元件。在該情況下也可以談及單片微控制器（einchip-mikrocontroller）。第二控制設(shè)備115可以是任意的控制設(shè)備，其例如同樣可以被實(shí)施為可編程微計(jì)算機(jī)，可替代地例如也可以被實(shí)施為專用集成電路（asic）或現(xiàn)場可編程門陣列（fpga）。第二控制設(shè)備115與第一控制設(shè)備110分離地實(shí)施，并且優(yōu)選地被設(shè)立用于監(jiān)視第一控制設(shè)備110的功能。然而，優(yōu)選的是，控制設(shè)備110和115在空間上彼此接近，其方式是所述控制設(shè)備110和115例如布置在相同的電路板上、相同的組件中或相同的殼體中?？刂葡到y(tǒng)100優(yōu)選地是可單獨(dú)地管理的單元，所述單元例如被安置在機(jī)動(dòng)車輛上?？刂葡到y(tǒng)100的自測試由此可以被簡化。

這樣的冗余的監(jiān)視例如在安全相關(guān)的控制裝置情況下、例如如在機(jī)動(dòng)車輛上的制動(dòng)控制裝置情況下可以被遇到。驅(qū)動(dòng)構(gòu)件120優(yōu)選地同樣與第一控制設(shè)備110分離地實(shí)施，并且被設(shè)立用于與數(shù)據(jù)總線105交換數(shù)據(jù)。為此，可以通過驅(qū)動(dòng)構(gòu)件120生成或者評估尤其電壓、電流或在數(shù)據(jù)總線105上所定義的另外的物理信號(hào)。

第一控制設(shè)備110包括第一數(shù)據(jù)輸出端125和優(yōu)選地包括第二數(shù)據(jù)輸出端130。數(shù)據(jù)輸出端125、130優(yōu)選地作為第一控制設(shè)備110的端子是可物理訪問的。第二數(shù)據(jù)輸出端130與驅(qū)動(dòng)構(gòu)件120的使能輸入端135連接。應(yīng)當(dāng)由第一控制設(shè)備110輸出到數(shù)據(jù)總線105上的數(shù)據(jù)經(jīng)由所述連接被傳輸?shù)津?qū)動(dòng)構(gòu)件120。第一數(shù)據(jù)輸出端125可以在第一控制設(shè)備110之內(nèi)被去活。第二數(shù)據(jù)輸出端130優(yōu)選地與此無關(guān)。為了去活，例如可以在第一控制設(shè)備110之內(nèi)設(shè)置輸出驅(qū)動(dòng)器140，所述輸出驅(qū)動(dòng)器140可以經(jīng)由所分配的信號(hào)被置于高歐姆狀態(tài)。在第一控制設(shè)備110之內(nèi)優(yōu)選地借助于邏輯電路145提供所述信號(hào)，所述邏輯電路145被設(shè)立用于，將至少兩個(gè)信號(hào)在邏輯上彼此關(guān)聯(lián)。在此，信號(hào)之一由內(nèi)部監(jiān)視裝置150提供。

邏輯電路145可以被實(shí)施為與另一功能塊集成在第一控制設(shè)備110之內(nèi)。優(yōu)選地，邏輯電路145是可配置的，使得邏輯關(guān)聯(lián)的方式或彼此關(guān)聯(lián)的信號(hào)可以被選擇。監(jiān)視裝置150被設(shè)立用于，在內(nèi)部監(jiān)視第一控制設(shè)備110的功能。為此，例如可以通過監(jiān)視裝置150實(shí)現(xiàn)存儲(chǔ)器保護(hù)或時(shí)間控制式監(jiān)視裝置（“看門狗計(jì)時(shí)器（watchdogtimer）”）。在第一控制設(shè)備110的運(yùn)行中，可以通過微處理器155聯(lián)系監(jiān)視裝置150，其中監(jiān)視程序160在所述微處理器155上運(yùn)行。

第一控制設(shè)備110此外包括第一數(shù)據(jù)輸入端165，并且可選地還包括第二數(shù)據(jù)輸入端170或第三數(shù)據(jù)輸入端175。第一數(shù)據(jù)輸入端165在第一控制設(shè)備110之外與第二控制設(shè)備115的輸出端180連接，并且在內(nèi)部被引向邏輯電路145。邏輯電路145被設(shè)立用于，當(dāng)?shù)谝粩?shù)據(jù)輸出端165或監(jiān)視裝置150的信號(hào)中的至少一個(gè)攜帶相應(yīng)的故障信號(hào)時(shí)，將第一數(shù)據(jù)輸出端125或者輸出驅(qū)動(dòng)器140關(guān)斷。

處理器155優(yōu)選地與第二數(shù)據(jù)輸出端125或者輸出驅(qū)動(dòng)器140連接，以便可以在數(shù)據(jù)總線105的方向上輸出數(shù)據(jù)。用于控制數(shù)據(jù)經(jīng)由數(shù)據(jù)總線105的發(fā)送和接收的所謂can外圍設(shè)備（can總線控制器）在圖1中未示出，但是同樣可以被設(shè)置并且以通常的方式被連接，尤其與第三數(shù)據(jù)輸入端170連接并且經(jīng)由輸出驅(qū)動(dòng)器140與第一數(shù)據(jù)輸出端125連接。如果驅(qū)動(dòng)構(gòu)件120從數(shù)據(jù)總線105接收數(shù)據(jù)，那么該驅(qū)動(dòng)構(gòu)件將所述數(shù)據(jù)優(yōu)選地經(jīng)由輸出端185轉(zhuǎn)發(fā)給第一控制設(shè)備110的第二輸入端170，微處理器155可以從那里收到所述數(shù)據(jù)并且進(jìn)行處理。

在可選的實(shí)施方式中，驅(qū)動(dòng)構(gòu)件120被設(shè)立用于，被使能或禁用（gesperrt）。禁用的狀態(tài)有時(shí)也被稱作睡眠狀態(tài)。于是采取睡眠狀態(tài)稱作入睡，并且離開睡眠狀態(tài)稱作喚醒。經(jīng)由在第一控制設(shè)備110的第二數(shù)據(jù)輸出端130處的相應(yīng)的信號(hào)，驅(qū)動(dòng)構(gòu)件120可以在其使能狀態(tài)方面被影響、也即被送入睡眠或被喚醒。優(yōu)選地，驅(qū)動(dòng)構(gòu)件120此外包括使能輸出端190，其與第一控制設(shè)備110的第三數(shù)據(jù)輸入端175連接。經(jīng)由所述使能輸出端190，驅(qū)動(dòng)構(gòu)件120顯示其使能狀態(tài)。第一控制設(shè)備110由此可以采樣（abtasten）：經(jīng)由第二數(shù)據(jù)輸出端130或者使能輸入端135所給出的信號(hào)是否由驅(qū)動(dòng)構(gòu)件正確地予以了實(shí)施。此外，第一控制設(shè)備110可以經(jīng)由第三數(shù)據(jù)輸入端175采樣：驅(qū)動(dòng)構(gòu)件120是否出于與在第二數(shù)據(jù)輸出端130處的信號(hào)不同的原因改變其使能狀態(tài)。例如，如果驅(qū)動(dòng)構(gòu)件120例如在進(jìn)行向數(shù)據(jù)總線105或者從數(shù)據(jù)總線105的數(shù)據(jù)傳遞時(shí)發(fā)現(xiàn)故障，那么所述驅(qū)動(dòng)構(gòu)件120可以自身去活或者入睡。此外，驅(qū)動(dòng)構(gòu)件120可以被設(shè)立用于，如果相應(yīng)的信號(hào)經(jīng)由數(shù)據(jù)總線105向所述驅(qū)動(dòng)構(gòu)件120發(fā)出，那么從睡眠狀態(tài)被喚醒。

附圖標(biāo)記列表

100控制系統(tǒng)

105數(shù)據(jù)總線

110第一控制設(shè)備

115第二控制設(shè)備

120驅(qū)動(dòng)構(gòu)件

125第一數(shù)據(jù)輸出端

130第二數(shù)據(jù)輸出端

135使能輸入端

140輸出驅(qū)動(dòng)器

145邏輯電路

150監(jiān)視裝置

155微處理器

160監(jiān)視程序

165第一數(shù)據(jù)輸入端

170第二數(shù)據(jù)輸入端

175第三數(shù)據(jù)輸入端

180輸出端

185輸出端

190使能輸出端。