Schaltungsanordnung und Verfahren zur Plausibilisierung von Sensorsignalen Stand der Technik

Die Erfindung geht aus von einer Schaltungsanordnung zur Plausibilisierung von Sensorsignalen nach der Gattung des unabhängigen Patentanspruchs 1 , und von einem Verfahren zur Plausibilisierung von Sensorsignalen nach der Gattung des unabhängigen Patentanspruchs 10.

Aus dem Stand der Technik bekannte Schaltungsanordnungen zur Plausibilisierung von Sensorsignalen umfassen in der Regel zwei identische Sensoreinheiten, deren Sensorsignale von einer Auswerte- und Steuereinheit auf Redundanz überwacht werden. Dazu werden die beiden Sensoreinheiten und die Auswerte- und Steuereinheit auf einer Leiterplatte in einer Geräteeinheit verbaut. Die Sensorsignale der beiden Sensoreinheiten werden zyklisch ausgelesen und von der Auswerte- und Steuereinheit miteinander verglichen. Überschreitet die Differenz der beiden Signale einen definierten Schwellwert, dann wird das ausgegebene Signal als ungültig markiert.

Üblicherweise wird bei Schaltungsanordnungen zur Plausibilisierung von Sensorsignalen die Verbindung zwischen einer Sensoreinheit bzw. Leiterplatte und einem Anschlusskabel durch Löten oder durch Schweißen der Litzen des Anschlusskabels auf Kontaktfahnen realisiert, welche auf der Leiterplatte aufgebracht sind. Das Abdichten des Anschlusskabels kann beispielsweise durch Um- spritzen und/oder durch Verguss realisiert werden.

In der Offenlegungsschrift DE 10 2004 056 415 A1 wird ein integrierter Schaltkreis mit einem Gehäuse beschrieben. Der integrierte Schaltkreis befindet sich in einer Steuereinheit und stellt eine Ausgangsgröße zur Verfügung, welche von ei- ner Auswerteeinheit überwacht wird. Des Weiteren umfasst der integrierte Schaltkreis eine Schnittstelle, welche die Steuereinheit mit mindestens einer außerhalb der Steuereinheit angeordneten Sensoreinheit verbindet. Durch den integrierten Schaltkreis können verschiedene Funktionen in einem Baustein durchgeführt werden.

In der Offenlegungsschrift DE 10 2007 058 071 A1 werden ein Verfahren und eine Vorrichtung zur Plausibilisierung einer Auswertung von sicherheitsrelevanten Signalen für ein Kraftfahrzeug beschrieben. Die beschriebene Vorrichtung zur Plausibilisierung umfasst mindestens eine Auswerte- und Steuereinheit, welche die sicherheitsrelevanten Signale auswertet. Hierbei ist für mindestens eine der Plausibilisierungsberechnungen eine andere als für die Auswertung der sicherheitsrelevanten Signale verwendete Auswerte- und Steuereinheit vorgesehen. Durch die Auslagerung der Plausibilisierungsberechnungen in eine andere Auswerte- und Steuereinheit kann eine günstigere Ressourcenverteilung erreicht werden.

Offenbarung der Erfindung

Die erfindungsgemäße Schaltungsanordnung zur Plausibilisierung von Sensorsignalen und das erfindungsgemäße Verfahren zur Plausibilisierung von Sensorsignalen mit den Merkmalen der unabhängigen Patentansprüche 1 und 10 haben demgegenüber den Vorteil, dass eine erste Auswerte- und Steuereinheit die Sensorsignale eines ersten Sensorelements empfängt und zur Erzeugung von ersten Sensordaten auswertet und die erzeugten ersten Sensordaten über mindestens eine Schnittstelleneinheit einer zweiten Auswerte- und Steuereinheit zur Verfügung stellt, welche die Sensorsignale eines zweiten Sensorelements empfängt und zur Erzeugung von zweiten Sensordaten auswertet, wobei die zweite Auswerte- und Steuereinheit die erzeugten zweiten Sensordaten und die erzeugten ersten Sensordaten miteinander vergleicht und auf Plausibilität überprüft. Hierbei bildet das erste Sensorelement und die erste Auswerte- und Steuereinheit vorzugweise eine erste Sensoreinheit und das zweite Sensorelement und die zweite Auswerte- und Steuereinheit bilden vorzugsweise eine zweite Sensoreinheit. Ausführungsformen der vorliegenden Erfindung ermöglichen durch die Auswerte- und Steuereinheiten, welche in die jeweilige Sensoreinheit integriert sind, in vorteilhafter Weise eine geschicktere Architektur und Auslegung der Schaltungsanordnung. Dadurch können kostengünstigere Produkte entwickelt und umgesetzt werden. Außerdem können externe Auswerte- und Steuereinheiten und zugehörige Kommunikationsverbindungen eingespart werden. Da die Sensorsignale eines Sensorelements von einer eigenen integrierten Auswerte- und Steuereinheit ausgewertet und in Sensordaten umgewandelt werden, können in vorteilhafter Weise Übertragungsfehler durch fehlerhafte Kommunikationsverbindungen ver- mieden werden. Des Weiteren ist eine flexible Ressourcenaufteilung möglich, da die Plausibilisierungsberechnungen in einer vorhandenen, in der zweiten Sensoreinheit integrierten zweiten Auswerte- und Steuereinheit durchgeführt werden können, welche eine höhere Rechenleistung aufweisen kann als die in die erste Sensoreinheit integrierte erste Auswerte- und Steuereinheit. Somit ist in vorteil- hafter Weise ein aufwändigeres und genaueres Verfahren zur Plausibilisierung der Sensorsignale möglich.

Eine erfindungsgemäße Schaltungsanordnung zur Plausibilisierung von Sensorsignalen, insbesondere von sicherheitsrelevanten Signalen in einem Kraftfahr- zeug, umfasst eine erste Auswerte- und Steuereinheit, welche Sensorsignale eines ersten Sensorelements empfängt und zur Erzeugung von ersten Sensordaten auswertet und die erzeugten ersten Sensordaten über mindestens eine Schnittstelleneinheit einer zweiten Auswerte- und Steuereinheit zur Verfügung stellt, welche die Sensorsignale eines zweiten Sensorelements empfängt und zur Erzeugung von zweiten Sensordaten auswertet, wobei die zweite Auswerte- und

Steuereinheit die erzeugten zweiten Sensordaten und die erzeugten ersten Sensordaten miteinander vergleicht und auf Plausibilität überprüft.

Ein erfindungsgemäßes Verfahren zur Plausibilisierung von Sensorsignalen, ins- besondere von sicherheitsrelevanten Signalen in einem Kraftfahrzeug, führt die

Auswertung und Umwandlung in erste Sensordaten der von einem ersten Sensorelement erfassten ersten Sensorsignale mit einer ersten Auswerte- und Steuereinheit durch und überträgt die ersten Sensordaten an eine zweite Auswerte- und Steuereinheit, welche die Sensorsignale eines zweiten Sensorelements auswertet und in zweite Sensordaten umwandelt. Des Weiteren werden die erzeugten ersten Sensordaten und die erzeugten zweiten Sensordaten von der zweiten Auswerte- und Steuereinheit miteinander verglichen und auf Plausibilität überprüft.

Unter der Auswerte- und Steuereinheit kann vorliegend ein elektrisches Gerät, wie beispielsweise ein Steuergerät verstanden werden, welches erfasste Sensorsignale verarbeitet bzw. auswertet. Die Auswerte- und Steuereinheit kann mindestens eine Schnittstelleneinheit aufweisen, die hard- und/oder softwaremäßig ausgebildet sein kann. Bei einer hardwaremäßigen Ausbildung können die Schnittstelleneinheiten beispielsweise Teil eines sogenannten System-ASICs sein, der verschiedenste Funktionen der Auswerte- und Steuereinheit beinhaltet.

Es ist jedoch auch möglich, dass die Schnittstelleneinheiten eigene, integrierte Schaltkreise sind oder zumindest teilweise aus diskreten Bauelementen bestehen. Bei einer softwaremäßigen Ausbildung können die Schnittstelleneinheiten Softwaremodule sein, die beispielsweise auf einem Mikrocontroller neben ande- ren Softwaremodulen vorhanden sind. Von Vorteil ist auch ein Computerprogrammprodukt mit Programmcode, der auf einem maschinenlesbaren Träger wie einem Halbleiterspeicher, einem Festplattenspeicher oder einem optischen Speicher gespeichert ist und zur Durchführung der Auswertung verwendet wird, wenn das Programm von der Auswerte- und Steuereinheit ausgeführt wird.

Unter einer Sensoreinheit wird vorliegend eine Baueinheit verstanden, welche mindestens ein Sensorelement umfasst, welches eine physikalische Größe bzw. eine Änderung einer physikalischen Größe direkt oder indirekt erfasst und vorzugsweise in ein elektrisches Sensorsignal umwandelt. Dies kann beispielsweise über das Aussenden und/oder das Empfangen von Schall- und/oder Elektromagnetischen Wellen und/oder über ein Magnetfeld bzw. die Änderung eine Magnetfeldes und/oder das Empfangen von Satellitensignalen beispielsweise eines GPS-Signals erfolgen. Möglich sind optische Sensorelemente, welche beispielsweise eine Fotoplatte und/oder eine fluoreszierende Fläche und/oder einen Halbleiter aufweisen, welche das Auftreffen bzw. die Intensität, die Wellenlänge, die Frequenz, den Winkel usw. der empfangen Welle detektieren, wie beispielsweise Infrarotsensorelemente. Ebenso ist ein akustisches Sensorelement denkbar, wie beispielsweise ein Ultraschallsensorelement und/oder ein Hochfrequenzsensorelement und/oder ein

Radarsensorelement und/oder ein Sensorelement, welches auf ein Magnetfeld reagiert, wie beispielsweise ein Hallsensorelement und/oder ein magnetoresisti- ves Sensorelement und/oder ein induktives Sensorelement, welches die Änderung eines Magnetfeldes beispielsweise über die durch magnetische Induktion entstehende Spannung registriert. Die Ermittlung der Sensorsignale kann statisch und/oder dynamisch erfolgen. Des Weiteren kann die Ermittlung der Sensorsignale fortlaufend oder einmalig durchgeführt werden.

Die ermittelten Sensorsignale werden von der in der Sensoreinheit integrierten, Auswerte- und Steuereinheit ausgewertet und in Sensordaten umgewandelt, welche eine aus einer mit der jeweiligen Sensoreinheit erfassten physikalischen Größe ermittelte physikalische Größe mit der dazugehörigen Einheit umfasst. Hierbei wird beispielsweise von einem Sensorelement die Wegänderung in einem bestimmten Zeitfenster ermittelt und daraus von der Auswerte- und Steuereinheit eine Geschwindigkeit und/oder Beschleunigung berechnet. Weitere berechenbare physikalische Größen sind Masse, Umdrehungszahl, Kraft, Energie und/oder andere denkbare Größen, wie beispielsweise eine Eintrittswahrscheinlichkeiten für ein bestimmtes Ereignis.

Unter Plausibilisierung bzw. Plausibilisierungskontrolle wird eine Methode verstanden, in deren Rahmen ein Ergebnis bzw. ein Wert einer ermittelten physikalischen Größe daraufhin überprüft wird, ob dieser annehmbar und/oder einleuchtend und/oder nachvollziehbar und/oder plausibel ist.

Durch die in den abhängigen Ansprüchen aufgeführten Maßnahmen und Weiterbildungen sind vorteilhafte Verbesserungen der im unabhängigen Patentanspruch 1 angegebenen Schaltungsanordnung zur Plausibilisierung von Sensorsignalen und des im unabhängigen Patentanspruch 9 angegebenen Verfahrens zur Plausibilisierung von Sensorsignalen möglich.

Besonders vorteilhaft ist, dass die zweite Auswerte- und Steuereinheit in Abhängigkeit des Vergleichsergebnisses plausibilisierte Sensordaten, welche den ersten oder den zweiten Sensordaten entsprechen, und/oder mindestens ein Steuersignal und/oder mindestens ein Plausibilisierungssignal ausgibt. Auf diese Weise wird in vorteilhafter Weise sichergestellt, dass ausschließlich plausible Sensordaten zur Weiterverarbeitung und/oder zum Auslösen einer Funktion ausgegeben werden. Sind die Sensordaten nicht plausibel, dann werden sie nicht ausgegeben bzw. als nicht plausible Sensordaten gekennzeichnet. Dies kann beispielsweise durch die zusätzliche Ausgabe eines negativen Plausibilisie- rungssignals umgesetzt werden. Plausible Sensordaten können beispielsweise durch die zusätzliche Ausgabe eines positiven Plausibilisierungssignals gekenn- zeichnet werden. Da die ersten Sensordaten an die zweite Auswerte- und Steuereinheit übermittelt werden, kann die zweite Auswerte- und Steuereinheit in vorteilhafter Weise bei erwiesener Plausibilität die ersten und/oder die zweiten Sensordaten ausgeben. Dies ist insbesondere dann sinnvoll, wenn die Sensordaten in unterschiedlichen Wertebereichen ermittelt werden. Somit können in vorteilhaf- ter Weise z.B. genauere Sensordaten und/oder Sensordaten, welche einen geringeren Speicherplatz einnehmen, weitergegeben werden. Das Steuersignal kann eine zusätzliche Absicherung und/oder Rückmeldung sein. Auf diese Weise kann in vorteilhafter Weise sichergestellt werden, dass beide Auswerte- und Steuereinheiten sowie beide Sensorelemente, als auch die Kommunikationsver- bindungen zwischen den Auswerte- und Steuereinheiten korrekt funktionieren.

In vorteilhafter Ausgestaltung der erfindungsgemäßen Schaltungsanordnung um- fasst ein erstes Steuersignal bei einem ersten Vergleichsergebnis, welches eine vorliegende Plausibilität der ersten und zweiten Sensordaten repräsentiert, ein Bestätigungssignal und/oder einen Ausgabefehl. Das erste Steuersignal wird an die erste Auswerte- und Steuereinheit ausgegeben. Zusätzlich oder alternativ kann das positive Plausibilisierungssignal zur Weiterverarbeitung an einen übergeordneten bzw. nachfolgenden Prozess ausgegeben werden. Auf diese Weise können in vorteilhafter Weise Fehler bei der Signalverarbeitung der ersten und/oder der zweiten Sensoreinheit ermittelt und/oder einem übergeordneten bzw. nachfolgenden Prozess mitgeteilt werden. Über das Bestätigungssignal wird der ersten Sensoreinheit in vorteilhafter Weise mitgeteilt, dass die ermittelten Sensordaten plausibel sind und/oder die ermittelten Sensordaten von der zweiten Sensoreinheit ausgegeben wurden und/oder die Signalverarbeitung korrekt ver- laufen ist. Bleibt dieses Bestätigungssignal aus, dann können in vorteilhafter

Weise weitere Maßnahmen ergriffen werden, um aufgetretene Fehler zu beheben. Das Bestätigungssignal kann in vorteilhafter Weise gleichzeitig ein Ausgabebefehl an die erste Auswerte- und Steuereinheit sein, so dass die erste Auswerte- und Steuereinheit ihre ermittelten plausibilisierten Sensordaten ausgibt. Dadurch kann die Schaltungsanordnung noch flexibler eingesetzt werden. In vorteilhafter Ausgestaltung der erfindungsgemäßen Schaltungsanordnung um- fasst ein zweites Steuersignal bei einem zweiten Vergleichsergebnis, welches eine fehlende Plausibilität der ersten und zweiten Sensordaten repräsentiert, ein Fehlersignal und/oder ein Rücksetzsignal und wird an die erste Auswerte- und Steuereinheit ausgegeben, um ein Zurücksetzen der ersten Sensoreinheit und/oder eine Neumessung der ersten Sensorsignale zu bewirken. Durch einen solchen Rücksetzvorgang der ersten Sensoreinheit können die beispielsweise als Mikroprozessor ausgeführte erste Auswerte- und Steuereinheit und das erste Sensorelement in einen Anfangszustand zurückgesetzt und/oder die in Registern bzw. Speichern abgelegten ersten Sensordaten gelöscht und/oder ein Programm- bzw. Verfahrensablauf auf einen Startschritt zurückgesetzt werden. Zusätzlich oder alternativ kann ein als unplausibel gekennzeichnetes Ausgabesignal zur Weiterverarbeitung an einen übergeordneten bzw. nachfolgenden Pro- zess ausgegeben werden, welches die ersten und/oder zweiten Sensordaten und/oder das negative Plausibilisierungssignal umfasst. Auf diese Weise können in vorteilhafter Weise Fehler bei der Signalverarbeitung der ersten Sensoreinheit und/oder einem übergeordneten bzw. nachfolgenden Prozess mitgeteilt werden. Ein möglicher Fehler ist beispielsweise eine nicht erfolgte Übertragung der ersten Sensordaten an die zweite Auswerte- und Steuereinheit. Dies kann eine fehler- hafte Kommunikationsverbindung und/oder ein falsch eingestelltes erstes Sensorelement und/oder ein defektes erstes Sensorelement zur Ursache haben, wobei bei einer Fehlfunktion des ersten Sensorelements keine ersten Sensorsignale und/oder fehlerhafte erste Sensorsignale ermittelt werden. Ein weiterer Grund für die nicht vorhandene Plausibilität der ersten und zweiten Sensordaten kann eine fehlende Übereinstimmung der ersten und zweiten Sensordaten sein. Dies kann von einer defekten ersten und/oder zweiten Auswerte- und Steuereinheit verursacht werden, welche die empfangen ersten bzw. zweiten Sensorsignale nicht korrekt verarbeiten, und/oder von einem defekten ersten und/oder zweiten Sensorelement verursacht werden.

Durch ein entsprechendes Fehlersignal der zweiten Auswerte- und Steuereinheit kann die erste Sensoreinheit in vorteilhafter Weise auf solche Fehler hingewiesen werden. Des Weiteren kann eine Aussendung fehlerhafter Sensordaten in vorteilhafter Weise unterbunden und eine Fehlerbehebung und/oder eine Neu- einstellung der Sensorelemente und/oder eine Neumessung der Sensorsignale gestartet werden. In weiterer vorteilhafter Ausgestaltung der erfindungsgemäßen Schaltungsanordnung zur Plausibilisierung von Sensorsignalen gibt die erste Auswerte- und Steuereinheit als Reaktion auf das Fehlersignal oder auf das Ausbleiben des Be- stätigungssignals und/oder das Ausbleiben des Ausgabebefehls, ein drittes

Steuersignal an die zweite Auswerte- und Steuereinheit aus, welches ein Zurücksetzen der zweiten Sensoreinheit und/oder eine Neumessung der zweiten Sensorsignale bewirkt. Durch einen solchen Rücksetzvorgang der zweiten Sensoreinheit können die beispielsweise als Mikroprozessor ausgeführte zweite Auswerte- und Steuereinheit und das zweite Sensorelement in einen Anfangszustand zurückgesetzt und/oder die in Registern bzw. Speichern abgelegten zweiten Sensordaten gelöscht und/oder ein Programm- bzw. Verfahrensablauf auf einen Startschritt zurückgesetzt werden. Auf diese Weise können die beiden Sensoreinheiten in vorteilhafter Weise in den gleichen Zustand versetzt werden und es kann in beiden Sensoreinheiten ein neuer Messvorgang gestartet werden,

In weiterer vorteilhafter Ausgestaltung der erfindungsgemäßen Schaltungsanordnung sind die ersten und zweiten Sensordaten direkt und/oder nach einer Aufbereitung, insbesondere durch einen Faktor, mittels Berechnung einer Differenz und/oder eines Quotienten miteinander vergleichbar, wobei die ersten und zweiten Sensordaten plausibel sind, wenn das Vergleichsergebnis in mindestens einem vorgegebenen Bereich liegt, und wobei die ersten und zweiten Sensordaten nicht plausibel sind, wenn das Vergleichsergebnis außerhalb des mindestens einen vorgegebenen Bereichs liegt. Auf diese Weise können in vorteilhafter Weise verschiedene Bereiche festgelegt werden. Es kann beispielsweise ein engerer

Bereich, bei dem das Vergleichsergebnis auf eine hohe Plausibilitat hinweist, d.h. der ermittelte Quotient ist nahezu eins bzw. die ermittelte Differenz ist nahezu null usw., und ein größerer Bereich definiert werden, für welchen gilt, dass die ermittelten Sensordaten weniger plausibel und/oder weniger genau bzw. eindeu- tig sind. Deuten die verglichenen Sensordaten beispielsweise auf eine mögliche

Unfallsituation hin und sind plausibel im engeren Bereich, dann können nicht reversible Sicherheitsfunktionen, wie beispielsweise ein Airbag usw., aktiviert werden. Sind die Sensordaten beispielsweise plausibel im weiter gefassten Bereich, dann können reversible Sicherheitssysteme ausgelöst werden, wie beispielswei- se ein Gurtstraffer usw. In weiterer vorteilhafter Ausgestaltung der erfindungsgemäßen Schaltungsanordnung zur Plausibilisierung von Sensorsignalen erfassen die erste und die zweite Sensoreinheit gleiche physikalische Größen im gleichen oder in verschiedenen Wertebereichen oder verschiedene physikalische Größen und werten diese aus. Beispielsweise können die erste und die zweite Sensoreinheit identische Sensorelemente aufweisen, welche die gleiche physikalische Größe jeweils im gleichen Wertebereich erfassen, wobei eine Sensoreinheit in vorteilhafter Weise genauer rundet. Auf diese Weise kann die aufwendigere Rundungsberechnung nur einmal ausgeführt werden. Des Weiteren können die erste und die zweite Sen- soreinheit Sensorelemente aufweisen, welche die gleiche physikalische Größe in verschiedenen Wertebereichen erfassen. So erfasst die erste Sensoreinheit beispielsweise eine Beschleunigung im Nieder-G Bereich, und die zweite Sensoreinheit erfasst beispielsweise eine Beschleunigung im Hoch-G Bereich. Weiter können verschiedene physikalische Größen über unterschiedliche Sensorele- mente erfasst werden, wobei aus den erfassten verschiedenen physikalischen

Größen in jeder Sensoreinheit die gleiche physikalische Größe als Sensordaten ermittelt wird. Beispielsweise kann ein zurückgelegter Weg über ein GPS-Signal, über die Umdrehungszahl der Räder und/oder aus der Geschwindigkeit des Fahrzeugs berechnet werden. Somit können in vorteilhafter Weise viele bereits vorhandene Sensoreinheiten zur Plausibilitätsprüfung herangezogen werden.

Des Weiteren können gleiche physikalische Größen in vorteilhafter Weise an unterschiedlichen Orten erfasst werden, wie beispielsweise wirkende Kräfte, Gierraten, usw. Eine mögliche Redundanzüberwachung ist über Umrechnungen möglich, so kann aus einer ermittelten Geschwindigkeit und einer ermittelten Be- schleunigung die korrespondierende kinetische Energie oder Beschleunigungsenergie berechnet und diese auf Redundanz überprüft werden.

Ausführungsformen des erfindungsgemäßen Verfahrens zur Plausibilisierung von Sensorsignalen stellen mindestens zwei separate Sensorelemente zur Verfü- gung, deren Sensorsignale die jeweils von einer eigenen Auswerte- und Steuereinheit ausgewertet werden.

In vorteilhafter Ausgestaltung des erfindungsgemäßen Verfahrens zur Plausibilisierung von Sensorsignalen gibt die zweite Auswerte- und Steuereinheit in Ab- hängigkeit des Vergleichsergebnisses die plausibilisierte Sensordaten, welche den ersten oder den zweiten Sensordaten entsprechen, und/oder mindestens ein Steuersignal und/oder mindestens ein Plausibilisierungssignal aus. Bei einem ersten Vergleichsergebnis, welches eine vorliegende Plausibilität der ersten und zweiten Sensordaten repräsentiert, wird ein positives Plausibilisierungssignal zur Weiterverarbeitung an einen übergeordneten Prozess ausgegeben, und/oder ein erstes Steuersignal, welches in vorteilhafter Weise ein Bestätigungssignal und/oder einen Ausgabefehl umfasst, wird an die erste Auswerte- und Steuereinheit ausgegeben. Bei einem zweiten Vergleichsergebnis, welches eine fehlende Plausibilität der ersten und zweiten Sensordaten repräsentiert, wird ein als unplausibel gekennzeichnetes Ausgabesignal zur Weiterverarbeitung an einen übergeordneten Prozess ausgegeben, welches die ersten und/oder zweiten Sensordaten und/oder ein negatives Plausibilisierungssignal umfasst, und/oder ein zweites Steuersignal, welches in vorteilhafter Weise ein Fehlersignal und/oder ein Rücksetzsignal umfasst und ein Zurücksetzen der ersten Sensoreinheit und/oder eine Neumessung der ersten Sensorsignale bewirkt, wird an die erste Auswerte- und Steuereinheit ausgegeben.

Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und werden in der nachfolgenden Beschreibung näher erläutert. In der Zeichnung bezeichnen gleiche Bezugszeichen Komponenten bzw. Elemente, die gleiche bzw. analoge Funktionen ausführen.

Kurze Beschreibung der Zeichnung

Fig. 1 zeigt ein schematisches Blockschaltbild eines ersten Ausführungsbeispiels einer erfindungsgemäßen Schaltungsanordnung.

Fig. 2 zeigt ein schematisches Blockschaltbild eines alternativen Ausführungsbeispiels einer erfindungsgemäßen erweiterten Schaltungsanordnung. Fig. 3 zeigt ein schematisches Blockdiagramm eines Ausführungsbeispiels eines erfindungsgemäßen Verfahrens zur Plausibilisierung von Sensorsignalen.

Fig.4 zeigt ein schematisches Blockdiagramm eines alternativen Ausführungsbeispiels eines erfindungsgemäßen Verfahrens zur Plausibilisierung von Sensorsignalen. Ausführungsformen der Erfindung

Wie aus Fig. 1 ersichtlich ist, umfasst das dargestellte erste Ausführungsbeispiel einer erfindungsgemäßen Schaltungsanordnung 1 zur Plausibilisierung von Sen- sorsignalen 12.1 , 22.1 eine erste und eine zweite Sensoreinheit 10, 20, welche jeweils mindestens ein Sensorelement 12, 22 und eine Auswerte- und Steuereinheit 14, 24 aufweisen.

Wie weiter aus Fig. 1 ersichtlich ist, umfasst eine erste Sensoreinheit 10 ein ers- tes Sensorelement 12, welches erste Sensorsignale 12.1 erzeugt, und eine erste

Auswerte- und Steuereinheit 14, welche zwei Schnittstelleneinheiten 14.2 und eine Recheneinheit 14.4 aufweist. Ein zweite Sensoreinheit 20 umfasst eine zweite Auswerte- und Steuereinheit 24, welche drei Schnittstelleneinheiten 24.2 und eine Recheneinheit 24.4 aufweist. Die erste Auswerte- und Steuereinheit 14 emp- fängt die ersten Sensorsignale 12.1 des ersten Sensorelements 12 über mindestens eine Schnittstelleneinheit 14.2 und wertet die empfangenen ersten Sensorsignale 12.1 zur Erzeugung von ersten Sensordaten SD1 aus. Des Weiteren stellt die erste Auswerte- und Steuereinheit 14 über die Schnittstelleneinheiten 14.2, 24.2 die erzeugten ersten Sensordaten SD1 einer zweiten Auswerte- und Steuereinheit 24 zur Verfügung, welche die zweiten Sensorsignale 22.1 des zweiten Sensorelements 22 empfängt und zur Erzeugung von zweiten Sensordaten SD2 auswertet. Die zweite Auswerte- und Steuereinheit 24 vergleicht die erzeugten zweiten Sensordaten SD2 und die erzeugten ersten Sensordaten SD1 direkt und/oder nach einer Aufbereitung, insbesondere durch einen Faktor, mit- einander und überprüft die ersten und zweiten Sensordaten SD1 , SD2 auf Plau- sibilität mittels Berechnung einer Differenz und/oder eines Quotienten. Hierbei werden die ersten und zweiten Sensordaten SD1 , SD2 als plausibel erkannt, wenn das Vergleichsergebnis in mindestens einem vorgegebenen Bereich liegt, wobei die ersten und zweiten Sensordaten SD1 , SD2 als nicht plausibel erkannt werden, wenn das Vergleichsergebnis außerhalb des mindestens einen vorgegebenen Bereichs liegt. Sind die ersten und die zweiten Sensordaten SD1 , SD2 plausibel, kann die zweite Auswerte- und Steuereinheit 24 plausibilisierte Sensordaten SD1 , SD2 ausgeben, welche den ersten und/oder den zweiten Sensordaten SD1 , SD2 entsprechen. Zusätzlich kann ein positives Plausibilisierungs- signal PS1 ausgegeben werden. Vorzugsweise werden die plausibilisierten Sensordaten SD1 , SD2 bzw. das positive Plausibilisierungssignal PS1 zur Weiter- Verarbeitung an einen übergeordneten bzw. nachfolgenden Prozess ausgegeben. Sind die ersten und die zweiten Sensordaten SD1 , SD2 nicht plausibel, wird kein Ausgangssignal bzw. ein als unplausibel gekennzeichnetes Ausgangssignal ausgegeben. Die Kennzeichnung als unplausibel kann beispielsweise durch die zusätzliche Ausgabe eines negativen Plausibilisierungssignals PS2 erfolgen. Vorzugsweise werden auch das als unplausibel gekennzeichnete Ausgangssignal bzw. das negative Plausibilisierungssignal PS2 zur Weiterverarbeitung an einen übergeordneten bzw. nachfolgenden Prozess ausgegeben.

Die dargestellten Sensoreinheiten 10, 20 können gleiche physikalische Größen im gleichen oder in verschiedenen Wertebereichen oder verschiedene physikalische Größen erfassen und auswerten.

Wie aus Fig. 2 weiter ersichtlich ist, kann das in Fig.1 dargestellte erste Ausführungsbeilspiel erweitert werden. Das in Fig. 2 dargestellte zweite Ausführungsbeispiel umfasst die gleichen Komponenten wie das in Fig. 1 dargestellte erste Ausführungsbeispiel. Im Unterschied zum ersten Ausführungsbeispiel weist die erste Auswerte- und Steuereinheit 14' drei Schnittstelleneinheiten 14.2 auf, und die zweite Auswerte- und Steuereinheit 24' weist vier Schnittstelleneinheiten 24.2 auf.

Die Erweiterung besteht darin, dass bei einem ersten Vergleichsergebnis, welches eine vorliegende Plausibilität der ersten und zweiten Sensordaten SD1 , SD2 repräsentiert, die zweite Auswerte- und Steuereinheit 24' neben den plausi- bilisierten Sensordaten SD1 , SD2, welche den ersten oder den zweiten Sensordaten SD1 , SD2 entsprechen, zusätzlich mindestens ein Steuersignal AS22, AS24 ausgeben kann. Ein erstes Steuersignal AS22 kann ein Bestätigungssignal und/oder einen Ausgabefehl umfassen und wird an die erste Auswerte- und Steuereinheit 14' ausgegeben. Über das Bestätigungssignal wird der ersten Sensoreinheit 10' in vorteilhafter Weise mitgeteilt, dass die ermittelten Sensordaten SD1 plausibel sind und/oder die ermittelten Sensordaten SD1 , SD2 von der zweiten Sensoreinheit 20' ausgegeben wurden und/oder die Signalverarbeitung korrekt verlaufen ist. Auch beim zweiten Ausführungsbeispiel kann zusätzlich ein positives Plausibilisierungssignal PS1 ausgegeben werden. Vorzugsweise werden die plausibilisierten Sensordaten SD1 , SD2 bzw. das positive Plausibilisierungssignal PS1 zur Weiterverarbeitung an einen übergeordneten bzw. nachfol- genden Prozess ausgegeben. Als positives Plausibilisierungssignal PS1 kann beispielsweise auch das erste Steuersignal AS22 an den übergeordneten bzw. nachfolgenden Prozess ausgegeben werden. Bei einem zweiten Vergleichsergebnis, welches eine fehlende Plausibilität der ersten und zweiten Sensordaten SD1 , SD2 repräsentiert, kann ein zweites von der zweiten Auswerte- und Steuereinheit 24' ausgegebenes Steuersignal AS24 ein Fehlersignal und/oder ein Rücksetzsignal umfassen, welches an die erste Auswerte- und Steuereinheit 14' ausgegeben wird, und welches ein Zurückset- zen der ersten Sensoreinheit 10' und/oder eine Neumessung der ersten Sensorsignale 12.1 zur Folge haben kann. Durch einen solchen Rücksetzvorgang der ersten Sensoreinheit 10' können die beispielsweise als Mikroprozessor ausgeführte erste Auswerte- und Steuereinheit 14' und das erste Sensorelement 12 in einen Anfangszustand zurückgesetzt und/oder die in Registern bzw. Speichern abgelegten ersten Sensordaten SD1 gelöscht und/oder ein Programm- bzw. Verfahrensablauf auf einen Startschritt zurückgesetzt werden. Auch beim zweiten Ausführungsbeispiel kann ein als unplausibel gekennzeichnetes Ausgangssignal ausgegeben, wobei die Kennzeichnung als unplausibel beispielsweise durch die zusätzliche Ausgabe eines negativen Plausibilisierungssignals PS2 erfolgen kann. Vorzugsweise werden das als unplausibel gekennzeichnete Ausgangssignal bzw. das negative Plausibilisierungssignal PS2 zur Weiterverarbeitung an einen übergeordneten bzw. nachfolgenden Prozess ausgegeben. Als negatives Plausibilisierungssignal PS1 kann beispielsweise auch das zweite Steuersignal AS24 an den übergeordneten bzw. nachfolgenden Prozess ausgegeben werden.

Des Weiteren kann die erste Auswerte- und Steuereinheit 14' als Reaktion auf das zweite Steuersignal AS24 oder auf das Ausbleiben des ersten Steuersignals AS22, ein Steuersignal AS12 an die zweite Auswerte- und Steuereinheit 24' ausgeben, welches ein Zurücksetzen der zweiten Sensoreinheit 20' und/oder eine Neumessung der zweiten Sensorsignale 22.1 zur Folge haben kann. Durch einen solchen Rücksetzvorgang der zweiten Sensoreinheit 20' können die beispielsweise als Mikroprozessor ausgeführte zweite Auswerte- und Steuereinheit 24' und das zweite Sensorelement 22 in einen Anfangszustand zurückgesetzt und/oder die in Registern bzw. Speichern abgelegten zweiten Sensordaten SD2 gelöscht und/oder ein Programm- bzw. Verfahrensablauf auf einen Startschritt zurückgesetzt werden. Aufgrund des Ausgabebefehls kann die erste Auswerte- und Steuereinheit 14' die ersten Sensordaten SD1 als plausibilisierte Sensordaten SD1 und/oder das positive Plausibilisierungssignal PS1 über eine weitere gestrichelt dargestellte Schnittstelleneinheit 14.2 ausgeben. Die Ausgabe der ersten Sensordaten SD1 als plausibilisierte Sensordaten SD1 von der ersten Sensoreinheit 10' kann zusätzlich oder alternativ zur Ausgabe der plausibilisierten Sensordaten SD1 , SD2 der zweiten Sensoreinheit 20' erfolgen. So kann die zweite Auswerte- und Steuereinheit 24' lediglich den Ausgabebefehl übermitteln, ohne selbst die ersten o- der zweiten Sensordaten SD1 , SD2 als plausibilisierte Sensordaten SD1 , SD2 auszugeben. Gleiches gilt für die Ausgabe des als unplausibel gekennzeichneten Ausgangssignals bzw. des negativen Plausibilisierungssignal PS2.

Wie aus Fig. 3 und 4 ersichtlich ist, umfassen Ausführungsformen des erfin- dungsgemäßen Verfahrens zur Plausibilisierung von Sensorsignalen 12.1 , 22.1 , insbesondere für sicherheitsrelevante Sensorsignale, die getrennte Auswertung von Sensorsignalen 12.1 , 22.1 , welche von mindestens zwei separaten Sensorelementen 12, 22 erfasst werden, über jeweils mindestens eine Auswerte-und Steuereinheit 14, 14', 24, 24', welche die jeweiligen Sensorsignale 12.1 , 22.1 in korrespondierende Sensordaten SD1 , SD2 umwandelt.

In einem Verfahrensschritt S10.1 werden erste Sensorsignale 12.1 von einem ersten Sensorelement 12 erfasst. In einem Verfahrensschritt S10.2 werden zweite Sensorsignale 22.1 von einem zweiten Sensorelement 22 erfasst.

Erfindungsgemäß werden im Verfahrensschritt S20.1 die ersten Sensorsignale 12.1 des ersten Sensorelements 12 von einer ersten Auswerte- und Steuereinheit 14, 14' ausgewertet und in erste Sensordaten SD1 umgewandelt. Des Weiteren werden im Verfahrensschritt S20.2 die zweiten Sensorsignale 22.1 des zwei- ten Sensorelements 22 von einer zweiten Auswerte- und Steuereinheit 24, 24' ausgewertet und in zweite Sensordaten SD2 umwandelt.

Im Verfahrensschritt S30 werden die ersten Sensordaten SD1 an die zweite Auswerte- und Steuereinheit 24, 24' übertragen. Im Verfahrensschritt S40 wer- den die erzeugten ersten Sensordaten SD1 und die erzeugten zweiten Sensordaten SD2 von der zweiten Auswerte- und Steuereinheit 24, 24' miteinander ver- glichen und auf Plausibilität überprüft. Die Plausibilitätsberechnung im Schritt S50 erfolgt in vorteilhafter Weise direkt mit den ersten und zweiten Sensordaten SD1 , SD2 und/oder nach einer Aufbereitung der ersten und zweiten Sensordaten SD1 , SD2, insbesondere durch einen Faktor, mittels Berechnung einer Differenz und/oder eines Quotienten. Die ersten und zweiten Sensordaten SD1 , SD2 werden als plausibel erkannt, wenn das Vergleichsergebnis in mindestens einem vorgegebenen Bereich liegt. Die ersten und zweiten Sensordaten SD1 , SD2 werden als nicht plausibel erkannt, wenn das Vergleichsergebnis außerhalb des mindestens einen vorgegebenen Bereichs liegt.

Im in Fig. 3 dargestellten Ausführungsbeispiel wird im Verfahrensschritt S60 mindestens ein Ausgangssignal ausgegeben, wenn die ersten und zweiten Sensordaten SD1 , SD2 plausibel sind. Dieses Ausgangssignal kann von der ersten und/oder von der zweiten Auswerte- und Steuereinheit 14, 14', 24, 24' ausgege- ben werden und umfasst insbesondere die ersten oder zweiten Sensordaten

SD1 , SD2 als plausibilisierte Sensordaten SD1 , SD2 und/oder das positive Plau- sibilisierungssignal PS1 . Das Ausgangssignal kann auch einen Ausgabebefehl oder ein Bestätigungssignal AS22 an die andere Auswerte- und Steuereinheit 14', 24' umfassen. Sind die ersten und zweiten Sensordaten SD1 , SD2 nicht plausibel, dann wird das Verfahren beendet und es wird kein Ausgangssignal ausgeben. Alternativ kann in einem gestrichelt dargestellten optionalen Schritt S70 ein als unplausibel gekennzeichnetes Ausgangssignal ausgegeben werden, welches die ersten und/oder zweiten Sensordaten umfasst. Die Kennzeichnung als unplausibel kann beispielsweise durch die zusätzliche Ausgabe des negati- ven Plausibilisierungssignals PS2 erfolgen.

Das in Fig. 4 dargestellte Ausführungsbeispiel umfasst die Schritte S10 bis S50 aus Fig. 3 und wird um die Schritte S80 bis S120 erweitert. Bei der im Schritt S50 erkannten fehlenden Plausibilität der ersten und zweiten Sensordaten SD1 , SD2 kann kein Ausgangssignal ausgegeben werden. Alternativ kann im gestrichelt dargestellten optionalen Verfahrensschritt S80 ein als unplausibel erkanntes Ausgangssignal ausgegeben werden, welches die ersten und/oder zweiten Sensordaten und/oder das negative Plausibilisierungssignal PS2 umfasst. Zusätzlich oder alternativ kann im optionalen gestrichelt dargestellten Verfahrensschritt S90 das zweite Steuersignal AS24 von der zweiten Auswerte- und Steuereinheit 24' an die erste Auswerte- und Steuereinheit 14' ausgegeben werden, welches ein Zurücksetzen der ersten Sensoreinheit 10' und/oder eine Neumessung der ersten Sensorsignale 12.1 bewirken kann. Ebenso ist eine Ausgabe des dritten Steuersignals AS12 von der ersten Auswerte- und Steuereinheit 14' an die zweite Auswerte- und Steuereinheit 24' möglich, welches ein Zurücksetzen der zwei- ten Sensoreinheit 20' und/oder eine Neumessung der zweiten Sensorsignale

22.1 bewirken kann. Das dritte Steuersignal AS12 kann dann ausgesendet werden, wenn die erste Auswerte- und Steuereinheit 14' das zweite Steuersignal AS24 von der zweiten Auswerte- und Steuereinheit 24' empfängt und/oder wenn das erste Steuersignal AS22 von der zweiten Auswerte- und Steuereinheit 24' ausbleibt. Zusätzlich oder alternativ kann im optionalen gestrichelt dargestellten

Verfahrensschritt S100 aufgrund der Fehlersignale im Verfahrensschritt S90 mindestens eine Sensoreinheit 10', 20' zurückgesetzt werden.

Bei vorliegender Plausibilität der ersten und zweiten Sensordaten SD1 , SD2 werden im Verfahrensschritt S1 10 die ersten und/oder zweiten Sensordaten SD1 , SD2 als plausibilisierte Sensordaten SD1 , SD2 und/oder das positive Plau- sibilisierungssignal PS1 von mindestens einer Auswerte- und Steuereinheit 14', 24' ausgegeben. Des Weiteren kann im optionalen gestrichelt dargestellten Verfahrensschritt S120 das erste Steuersignal AS22 von der zweiten Auswerte- und Steuereinheit 24' an die erste Auswerte- und Steuereinheit 14' ausgegeben werden. Über das erste Steuersignal wird der ersten Sensoreinheit 10' in vorteilhafter Weise mitgeteilt, dass die ermittelten Sensordaten SD1 , SD2 plausibel sind und/oder die ermittelten Sensordaten SD1 , SD2 von der zweiten Sensoreinheit 20' ausgegeben wurden und/oder die Signalverarbeitung korrekt verlaufen ist.

In den dargestellten Ausführungsbeispielen sind zwei Sensoreinheiten dargestellt. Es sind jedoch Ausführungsformen mit mehreren Sensoreinheiten denkbar, wobei erfindungsgemäß die Sensorsignale von Sensorelementen einer Sensoreinheit jeweils von einer eigenen Auswerte- und Steuereinheit der Sensoreinheit ausgewertet werden, und wobei eine der in den Sensoreinheiten angeordneten Auswerte- und Steuereinheiten die Plausibilitätsprüfung durchführt.

Ausführungsformen der vorliegenden Erfindung eignen sich insbesondere zum Plausibilisieren von sicherheitsrelevanten Sensorsignalen in einem Sicherheits- System, wie beispielsweise einem Insassenschutzsystem, einem Fussgängerschutzsystem usw.