Stand der Technik

Die Erfindung betrifft einen Beschleunigungssensor für ein Insassenschutzsystem in einem Fahrzeug, mit mindestens einem mikromechanischen Sensorele- ment zur Beschleunigungsaufnahme und mit einer elektronischen Auswerteeinheit, die für jedes Sensorelement einen redundanten Signalweg mit jeweils einem A/D-Wandler aufweist, wobei zur Plausibilisierung der Ausgangssignale des Beschleunigungssensors Mittel zur Überwachung von für die Funktionalität relevanten Parametern des mindestens einen A/D-Wandlers vorgesehen sind.

Ein gattungsgemäßer Beschleunigungssensor ist beispielsweise aus der DE 103 06 707 B4 bekannt.

Es ist allgemein bekannt, zum Schutz von Fahrzeuginsassen bei einer Kollision mittels Beschleunigungssensoren an verschiedenen Stellen im Fahrzeug Beschleunigungswerte zu erfassen und mittels eines Steuergerätes in Abhängigkeit von erfassten Beschleunigungswerten Rückhaltemittel wie Airbag und Gurtstraffer auszulösen. Das Schutzsystem muss allerdings hinsichtlich Störungen überwacht werden, da eine durch Störung bedingte, unerwünschte Auslösung von Rückhaltemitteln, insbesondere während der Fahrt, eine Gefährdung für die Insassen des Fahrzeugs und andere Personen mit sich bringen kann. Ursachen für solche Fehlauslösungen können schon auf der Ebene der Beschleunigungssensoren auftreten, beispielsweise elektromagnetische Einstrahlung, thermische Belastungen oder Störungen der Versorgungsspannung der Sensoren. Um zu verhindern, dass es bereits auf der Ebene des Beschleunigungssensors zu einer Fehlauslösung eines Airbags kommt, ist es üblich, im Sensor zwei redundante mikromechanische Sensorelemente (MEMS: MicroElectroMechanical Systems) vorzusehen, die sich gegenseitig plausibilisieren. Wenn jedoch die von beiden Sensorelementen abgegebenen Signale mittels eines gemeinsam genutzten sensoreigenen A/D-Wandlers in den Mikrocontroller des Steuergerätes eingelesen werden, kann es bei einer Störung des A/D-Wandlers trotz redundanter Sensorelemente zu Fehlauslösungen kommen. Um dies zu verhindern, schlägt der oben genannte gattungsgemäße Stand der Technik vor, die Redundanz im Beschleunigungssensor auf den gesamten Signalweg zu erweitern, so dass für jedes Sensorelement ein eigener A/D-Wandler zur Verfügung steht. Da die A/D- Wandler sensibel auf ihre Umgebungs- beziehungsweise Betriebsbedingungen, wie zum Beispiel Versorgungsspannungsschwankungen, Temperatur oder Alte- rungs, reagieren, ist es jedoch ferner notwendig, die für beide A/D-Wandler ge- meinsam genutzten, für die Funktionalität relevanten Parameter auf Einhaltung von spezifizierten Grenzen (beispielsweise hinsichtlich Unterspannung oder EMV-Störungen) zu überwachen. Ein Verlassen solcher Grenzen kann andernfalls - obwohl keine Beschleunigung vorliegt - in beiden Signalwegen zu einem Gleichtaktsignal und somit zu einem fehlerhaften Beschleunigungssignal führen. Die Realisierung einer derartigen Redundanz im Versorgungskonzept der A/D-

Wandler beziehungsweise die Implementierung der erforderlichen Überwachungsmittel beziehungsweise Monitore, beispielsweise für Unterspannungserkennung, EMV-Erkennung, Referenzspannung und Stromerkennung für die A/D- Wandler, ist jedoch kosten- und chipflächenaufwändig.

Offenbarung der Erfindung

Es ist daher Aufgabe der Erfindung, einen verbesserten, insbesondere vereinfachten Beschleunigungssensor der eingangs genannten Art zu schaffen.

Die Aufgabe der Erfindung wird durch den Beschleunigungssensor gemäß Patentanspruch 1 gelöst. Weitere vorteilhafte Ausgestaltungen der Erfindung ergeben sich aus den Unteransprüchen und der Beschreibung. Bei dem erfindungsgemäßen Beschleunigungssensor umfassen die Überwachungsmittel eine in der Auswerteeinheit integrierte Ersatzschaltung für ein Sen- sorelement und einen redundanten, weiteren A/D-Wandler, der auf Änderungen der für die Funktionalität relevanten Parameter im gleichen Sinne reagiert wie der mindestens eine A/D-Wandler (4, 5). Der weitere A/D-Wandler (9) wandelt das feste, beschleunigungsunabhängige Ausgangssignal der Ersatzschaltung, wobei der Wert des digitalen Ausgangssignals des weiteren A/D-Wandlers (9) zur Feststellung von Änderungen der für die Funktionalität relevanten Parameter aller A/D-Wandler mittels eines Komparators (13) gegen eine vorgegebene feste Grenze (12) verglichen wird..

Der Erfindung liegt die Idee zu Grunde, einen redundanten Überwachungs- Signalweg zu implementieren, dessen Überwachungs- oder Sicherheits-A/D- Wandler auf Störungen, die die für die Funktionalität relevanten Parameter aller A/D-Wandler gleichermaßen betreffen, im gleichen Sinne reagiert, wie die Signal- A/D-Wandler. Eine Störung, die sich dem Ausgangssignal des Überwachungs- A/D-Wandlers aufprägt, ist aber, anders als bei den Ausgangssignalen der Sig- nal-A/D-Wandler, leicht detektierbar, da sie nicht eventuell auf ein reales Beschleunigungssignal zurückgehen kann, sondern - aufgrund des festen, beschleunigungsunabhängigen Eingangssignals des Überwachungs-A/D- Wandlers, das von einer Ersatzschaltung generiert wird, die die Eigenschaften eines realen mikromechanischen Sensorelements, genauer: seinen Ruhezustand, kopiert beziehungsweise simuliert - unmittelbar die Störung abbildet. Sobald eine derartige Störung im Ausgangssignal des Überwachungs-A/D- Wandlers auftaucht, beziehungsweise sobald eine vorgebbare Toleranzschwelle überschritten wird, sind - in weiterer Folge - die Ausgangssignale der Signal-A/D- Wandler nicht mehr als plausibel, sondern als fehlerhaft zu bewerten.

Der Beschleunigungssensor der vorliegenden Erfindung hat den Vorteil, dass auf einfache Weise, im Wesentlichen durch Implementierung eines weiteren baugleichen A/D-Wandlers in die Auswerteeinheit, eine Redundanz hinsichtlich der Ver- sorgung beziehungsweise der Überwachung realisiert, beziehungsweise die gemeinsame Situation der A/D-Wandler auf Einhaltung der vorgegebenen Grenzen plausibilisiert wird. Dadurch können Kosten durch Entwicklungsaufwand und Fläche auf dem ASIC der Auswerteeinheit eingespart werden. Gemäß einer ersten Weiterbildung der Erfindung stellt der Beschleunigungssensor entweder das Resultat der Plausibilitätsprüfung zusammen mit den Aus- gangssignalen zur externen Bewertung zur Verfügung, oder die Aussendung von intern als fehlerhaft bewerteten Ausgangssignalen des Beschleunigungssensors wird verhindert. Die Bewertung der Plausibilität kann also vorteilhaft wahlweise im externen Steuergerät oder im Beschleunigungssensor selbst vorgenommen werden.

Bei einer als besonders vorteilhaft angesehenen weiteren Weiterbildung der Erfindung ist in der Auswerteeinheit mindestens eine weitere Ersatzschaltung für ein Sensorelement integriert, die jeweils ein von der Ersatzschaltung verschiedenes festes Ausgangssignal generiert, so dass das Eingangssignal des weiteren A/D-Wandlers zur Prüfung der Funktionalität der Überwachungsmittel durch Umschalten von der Ersatzschaltung auf eine weitere Ersatzschaltung variierbar ist. .Auf diese Weise kann die Funktionalität der Überwachung beziehungsweise des Monitors für die für die Funktionalität relevanten Parameter selbst kontinuierlich geprüft werden.

Die Erfindung wird im Folgenden anhand von Ausführungsbeispielen näher beschrieben. Dabei zeigen

Figur 1 eine schematische Skizze, die die Komponenten und Funktionen einer Ausführung eines erfindungsgemäßen Beschleunigungssensors für einen Normalfall erläutert,

Figur 2, in gleicher Darstellung, eine Erläuterung für einen Fehlerfall.

Das folgende Ausführungsbeispiel geht von einem Airbag aus, dessen Auslösung mittels eines einzelnen Beschleunigungssensors mit zwei in einer so genannten 45-Grad-Applikation integrierten Sensorelementen plausibilisiert wird. Dabei wird die Beschleunigung im Fall eines Aufpralls mittels der beiden mikromechanischen Elemente (MEMS) (die auf einem ersten Chip des Beschleunigungssensors angeordnet sind) gemessen und dann von getrennten A/D- Wandlern auf einem ASIC (zweiter Chip des Beschleunigungssensors) gewandelt. Diese digitale Beschleunigungsinformation aus den beiden getrennten MEMS-Kanälen wird dem Airbag-Steuergerät zur Verarbeitung übermittelt und nach dessen Bewertung kann der Airbag gezündet werden. Damit es nicht durch Einzelfehler auf dem ASIC zu einem Gleichtakt- beziehungsweise Gegentaktsig- nal am Ausgang der beiden Kanäle des Sensors kommt, werden die Beschleunigungsinformationen auf dem ASIC in an sich bekannter Weise durch räumlich getrennte A/D-Wandler geführt.

Um die gemeinsamen Umgebungsbedingungen beziehungsweise Eingangsparameter der beiden Signal-A/D-Wandler hinsichtlich der Generierung fehlerhafter Signale zu überwachen, wird zur Überwachung erfindungsgemäß eine direkte Kopie der Signal-A/D-Wandler, also ein dritter A/D-Wandler verwendet, der, räumlich getrennt von dem ersten und zweiten A/D-Wandler, ebenfalls auf dem ASIC implementiert ist. Dadurch wird sichergestellt, dass die Reaktion dieses Überwachungs-A/D-Wandlers auf Umgebungs- beziehungsweise Betriebsparameteränderungen gleichsinnig zu den Änderungen ausfällt, die die gestörten Signal-A/D-Wandler ihren jeweiligen Eingangssignalen aufprägen.. Der dritte, Überwachungs-A/D-Wandler wandelt dabei das (hinsichtlich Beschleunigungen natürlich) gleichbleibende, jedoch von den für die Funktionalität relevanten Parametern abhängige Signal einer auf dem ASIC in Form einer Ersatzschaltung vorgehaltenen Kopie der MEMS-Elemente. Da die mikromechanischen Sensorelemente zur Beschleunigungsaufnahme typischerweise eine in Oberflächenmik- romechanik erzeugte unbewegliche und bewegliche Kammstruktur aufweisen, die zusammen einen Kondensator mit beschleunigungsabhängig veränderlicher Kapazität bilden, weist die Ersatzschaltung für die .Sensorelementkopie' vorzugsweise die gleiche (jedoch unveränderliche) Kapazität C wie das originale mikromechanische Sensorelement im Ruhezustand auf. Die Ersatzschaltung kann ferner einen Wderstand R aufweisen, der so bemessen ist, dass der Überwachungs-A/D-Wandler die gleiche Impedanz wie bei einem realen Sensorelement sieht.

Der gewandelte Wert am Ausgang des dritten A/D-Wandlers wird dann gegen eine feste Grenze verglichen. Kommt es zum Beispiel zum Ausfall der Referenz- Spannung aller A/D-Wandler, so führt dies in den Signal-A/D-Wandlern zu einer

Gleichtaktbeschleunigung, ohne dass - mangels Beschleunigung - Signale am Eingang der Signal-A/D-Wandler anliegen. Da der Überwachungs-A/D-Wandler an den gleichen Referenzen liegt, wird dieser ebenso einen Sprung im Ausgangssignal zeigen. Dieser Sprung würde die zuvor eingestellte Toleranzgrenze überschreiten und die digitale Beschleunigungsinformation der Signal-A/D-

Wandler demnach nicht plausibilisieren, sondern als fehlerhaft markieren. Somit kommt es nicht zu einer Fehlauslösung des Airbags. Weiter lassen sich neben dem Ausfall von gemeinsam genutzten Referenzspannungen folgende weitere wichtige gemeinsame Parameter der Signal-A/D-Wandler überwachen:

Peaks und Rauschen auf der Versorgung, zum Beispiel durch EMV

Empfindlichkeitsänderungen der Signal-A/D-Wandler durch Temperatur oder Alterung

alle gemeinsam genutzten Spannungen und Ströme

In Figur 1 ist ein Normalfall dargestellt, bei dem eine Beschleunigung vorliegt. Die real vorliegende Beschleunigung ist im linken Teil von Figur 1 in Form von außerhalb des Beschleunigungssensors 1 gezeichneten kleinen Beschleunigungsdiagrammen 18 angedeutet. Das zugehörige Beschleunigungssignal wird im ersten mikromechanischen Sensorelement 2 generiert, im zugehörigen ersten A/D- Wandler 4, der diesem MEMS-Kanal beziehungsweise Signalweg zugeordnet ist, gewandelt und von den Mitteln 6 digital aufbereitet (Filterung beziehungsweise Schnittstellenfunktionen). Ein redundant ausgestalteter zweiter MEMS-Kanal beziehungsweise zweiter Signalweg mit dem zweiten Sensorelement 3, dem zugehörigen zweiten A/D-Wandler 5 und den Mitteln 7 zur digitalen Signalverarbeitung ist ebenfalls dargestellt. Beide Kanäle des Sensors 1 generieren im dargestellten Fall korrekterweise das gleiche, plausibilisierte Ausgangssignal 14 und 15 (vergleiche das im rechten Teil der Figur 1 jeweils angedeutete digitale Datenwort). In hier angenommenen Normalfall (Beschleunigung; keine Störung) generiert die Ersatzschaltung 8 den vorgesehenen, beschleunigungsunabhängigen Standardwert, der vom Überwachungs-A/D-Wandler 9 gewandelt und von den Mitteln 10, insbesondere einen Komparator 13, darauf überprüft wird, ob das zugehörige Ausgangssignal 1 1 innerhalb der vorgegebenen Toleranzgrenzen 12 liegt. Dies ist hier der Fall, da gemäß Annahme keine Störung, das heißt, keine anormalen beziehungsweise geänderten für die Funktionalität relevanten Parameter, auf die der dritte A/D-Wandler 9 reagieren könnte, vorliegt. Die drei A/D- Wandler 4, 5 und 9 können im Übrigen vorteilhaft als an sich bekannte so genannte Sigma-Delta-Modulatoren ausgebildet sein.

In weiterer Folge werden die digitalen Ausgangssignale 14 und 15 zusammen mit dem Überwachungs-Signal 1 1 an ein externes Steuergerät übermittelt. Dort können in einer Einheit 20 die beiden Ausgangssignale 14 und 15 aufgrund des Überwachungs-Signals 11 als plausibel bewertet und in einer weiteren Einheit 19 gegebenenfalls noch gegenseitig plausibilisiert werden. Die Bewertung aufgrund des Überwachungs-Signals 11 kann jedoch auch sensorintern erfolgen, so dass der Beschleunigungssensor 1 überhaupt nur plausibilisierte Ausgangssignale 14 und 15 aussendet.

In Figur 2 ist, in gleicher Darstellung wie in Figur 1 , ein Fehlerfall dargestellt, bei dem keine Beschleunigung vorliegt, die Signale am Ausgang der Signal-A/D- Wandler 4 und 5 also durch eine Störung, genauer: eine in Figur 2 angedeutete Spannungsschwankung 16, ausgelöst werden. Diese Spannungsschwankung 16 liegt, wie dargestellt, über die Versorgungsanschlüsse 17, in gleicher Weise an allen A/D-Wandlern 4, 5 und 9 an. Da beide Signal-Kanäle 2, 4, 6 und 3, 5, 7 des Sensors 1 in gleicher weise betroffen sind, würde die gegenseitige Plausibilisierung einen Auslösefall ergeben. Da gleichzeitig das Ausgangssignal 11 des ebenfalls der gleichen Störung 16 unterliegenden Überwachungs-A/D-Wandlers

9 aufgrund der Störung 16 seine festgelegten Grenzen 12, wie in Figur 2 erkennbar, überschreitet, ergibt diese - intern oder extern durchführbare - Plausibilitäts- prüfung jedoch korrekterweise, dass tatsächlich kein Auslösefall vorliegt. Tatsächlich würde die Bewertung - gemäß Annahme des Vorliegens einer Störung - analog (das heißt: kein Auslösefall!) auch dann erfolgen, wenn zusätzlich auch eine reale Beschleunigung vorliegen würde, so dass in diesem Fall die realen Ausgangssignale 14, 15 durch die Störung 16 maskiert würden. In der Auswerteeinheit kann vorteilhaft mindestens eine weitere Ersatzschaltung für ein Sensorelement integriert sein, die jeweils ein von der Ersatzschaltung 8 verschiedenes festes Ausgangssignal generiert. Somit ist das Eingangssignal des weiteren A/D-Wandlers 9 durch Umschalten von der Ersatzschaltung 8 auf eine weitere Ersatzschaltung variierbar, wodurch eine Prüfung der Funktionalität der Überwachungsmittel 8, 9, 13 erfolgen kann. Mithilfe der weiteren Ersatzschaltung wird quasi eine wählbare Störung, die allein auf den redundanten Überwa- chungs-Signalweg einwirkt, induziert.