-
Die Erfindung betrifft ein Steuergerät, insbesondere für ein Fahrzeug, sowie ein Verfahren zur Absicherung von Daten, insbesondere von Daten in sicherheitskritischen Applikationen.
-
Fahrzeuge, insbesondere Kraftfahrzeuge, weisen immer mehr elektronische Funktionen auf. Hierfür müssen meist verschiedenste Parameter mittels Sensoren erfasst und anschließend weiterverarbeitet werden. Verschiedenste Steuergeräte (ECU, engl. electronic control unit) im Fahrzeug empfangen und speichern die von den Sensoren erfassten Parameter, verarbeiten diese weiter und geben Steuersignale an Aktuatoren aus, welche eine entsprechende Steuerung oder Regelung ausführen.
-
Um die Anzahl an Steuergeräten in einem Fahrzeug zu reduzieren (die Anzahl liegt in vielen Fahrzeugen bei weit über 50 Steuergeräten), werden häufig verschiedene Funktionen in einem Steuergerät integriert. Beispielsweise können durch ein einziges Steuergerät die vordere Beleuchtung des Fahrzeugs, der Scheibenwischer und die Hupe gesteuert werden, sowie Kühlmittelstand, Bremsflüssigkeitsstand und Bordnetzspannung überwacht werden.
-
Viele Steuergeräte werden dabei auch für sicherheitskritische Applikationen eingesetzt, wie beispielsweise Fahrerassistenzsysteme. In immer höherem Maße müssen sicherheitskritische Funktionen dabei die Anforderungen im Hinblick auf funktionale Sicherheit erfüllen. Funktionale Sicherheit bezeichnet den Teil der Sicherheit eines Systems, der von der korrekten Funktion der sicherheitskritischen Systeme zur Risikominderung abhängt (nicht zur funktionalen Sicherheit gehören beispielsweise elektrische Sicherheit, Brandschutz oder Strahlenschutz).
-
Im Rahmen der funktionalen Sicherheit müssen die von einem Steuergerät abgespeicherten Parameter beispielsweise gegen Hardware-Störungen und Software-Störungen geschützt sein. Das heißt, es muss zuverlässig erkannt werden, wenn ein Parameter aufgrund von Hardware-Störungen oder aufgrund von Software-Störungen verändert wurde, damit kein falscher Parameter zur Generierung von Steuersignalen verwendet wird. Hardware-Störungen können beispielsweise durch elektromagnetische Störung (EMI, electromagnetic interference) hervorgerufen werden. Elektromagnetische Störung ist die ungewollte Beeinflussung durch andere Steuergeräte durch elektrische oder elektromagnetische Effekte. Gespeicherte Daten können aufgrund elektromagnetischer Störung beispielsweise ungewollt verändert werden. Software-Störungen können beispielsweise hervorgerufen werden, wenn eine Funktion eines Steuergerätes die von einer anderen Funktion des Steuergerätes gespeicherten Parameter ungewollt überschreibt.
-
Um die Sicherheit zu erhöhen ist es bekannt, Parameter zusammen mit zuvor berechneten Prüfsummen abzuspeichern oder zu versenden. Ebenfalls ist bekannt, Komponenten in einem Steuergerät redundant auszulegen, wie beispielsweise Speichereinheiten oder Mikrocontroller. So kann beispielsweise beim Ausfall eines Mikrocontrollers ein zweiter Mikrocontroller weiterhin den Betrieb gewährleisten. Ein Mikroprozessorsystem zur Ausführung von sicherheitskritischen Funktionen ist beispielsweise aus der Publikation
DE 10 2011 086 530 A1 bekannt.
-
Mittels bekannter Verfahren kann erkannt werden, wenn ein Parameter aufgrund von Hardware-Störungen verändert wurde. Nicht erkannt werden kann jedoch, wenn ein Parameter aufgrund von Software-Störungen verändert wurde.
-
Aufgabe der Erfindung ist es daher, ein Steuergerät, insbesondere für ein Fahrzeug, sowie ein Verfahren bereitzustellen, welche eine effektive Erkennung sowohl von Hardware-Störungen, als auch von Software-Störungen bieten.
-
Die Aufgabe wird gelöst durch ein Steuergerät gemäß Anspruch 1 sowie ein Verfahren gemäß Anspruch 6.
-
Vorteilhafte Ausgestaltungen sind Gegenstand der Unteransprüche.
-
Das Steuergerät, insbesondere für ein Fahrzeug, weist dabei eine Speichereinheit auf. Das Steuergerät ist dazu ausgebildet, wenigstens zwei Funktionen auszuführen. Jede der wenigstens zwei Funktionen ist dazu ausgebildet, eine Prüfsumme zu Daten zu berechnen und die Daten zusammen mit der Prüfsumme in der Speichereinheit zu speichern, wobei jede der Funktionen die Prüfsumme auf unterschiedliche Art und Weise berechnet.
-
Berechnet jede Funktion im Steuergerät die Prüfsumme auf unterschiedliche Art und Weise, können neben Hardware-Fehlern auch Software-Fehler zuverlässig erkannt werden. Jede der zwei Funktionen kann dazu ausgebildet sein, zu den von ihr gespeicherten Daten erneut die Prüfsumme zu berechnen, die Daten auszulesen und die gespeicherte Prüfsumme mit der erneut berechneten Prüfsumme zu vergleichen. Stimmen die Prüfsummen bei dem Vergleich nicht miteinander überein, liegt mit hoher Wahrscheinlichkeit ein Fehler vor. Dies kann sowohl ein Hardware- als auch ein Software-Fehler sein. Es ist somit eine mehrfache (redundante) Speicherung der Daten, wie sie bekannt ist, nicht mehr erforderlich. Es können somit Bauteile eingespart werden.
-
Das Steuergerät kann in einen Fehlerzustand wechseln, wenn die gespeicherte Prüfsumme nicht mit der erneut berechneten Prüfsumme übereinstimmt.
-
Jede der Funktionen kann ihre Prüfsumme beispielsweise mittels einer Division mit Rest berechnen und den Rest der Division als Prüfsumme mit den Daten speichern. Jede Funktion verwendet bei der Division dabei jedoch einen unterschiedlichen Divisor. So ergeben sich trotz gleicher Berechnungsmethode unterschiedliche Ergebnisse.
-
Jede Funktion kann ihre Prüfsumme jedoch auch nach einer gänzlich unterschiedlichen Berechnungsmethode berechnen. Auch so ergeben sich unterschiedliche Ergebnisse bei der Berechnung.
-
Die Aufgabe wird auch noch gelöst durch ein Verfahren mit den Schritten: Berechnen einer Prüfsumme zu ersten Daten; Speichern der ersten Daten und der Prüfsumme zu den ersten Daten durch eine erste Funktion; Berechnen einer Prüfsumme zu zweiten Daten; Speichern der zweiten Daten und der Prüfsumme zu den zweiten Daten durch eine zweite Funktion, wobei jede der Funktionen die Prüfsumme auf unterschiedliche Art und Weise berechnet.
-
Das Verfahren kann weiterhin aufweisen: erneutes Berechnen der Prüfsumme durch die jeweilige Funktion beim Auslesen der Daten, und Vergleichen der gespeicherten Prüfsumme mit der erneut berechneten Prüfsumme.
-
Zudem kann das Verfahren weiterhin das Wechseln des Steuergerätes in einen Fehlerzustand aufweisen, wenn die gespeicherte Prüfsumme nicht mit der erneut berechneten Prüfsumme übereinstimmt.
-
Vorteilhafte Ausgestaltungen des Steuergeräts sind, soweit auf das Verfahren anwendbar, auch als vorteilhafte Ausgestaltungen des Verfahrens anzusehen, und umgekehrt.
-
Die Erfindung wird nachfolgend anhand der in den Figuren der Zeichnung dargestellten Ausführungsbeispiele näher erläutert. Es zeigt:
-
1 in einem Blockschaltbild ein Steuergerät, welches mehr als eine Funktion ausführt,
-
2 in einem Ablaufdiagramm ein Verfahren zur Absicherung von Daten.
-
Häufig werden verschiedene Funktionen (Aufgaben) in nur einem Steuergerät integriert. Ist das Steuergerät in einem Fahrzeug, insbesondere in einem Kraftfahrzeug, angeordnet, kann beispielsweise eine Funktion des Steuergeräts die vordere Beleuchtung des Fahrzeugs steuern, während eine weitere Funktion den Scheibenwischer und eine dritte Funktion die Hupe steuert. Dies ist in dem Blockschaltbild in 1 schematisch dargestellt. Ein Steuergerät 1 weist dabei eine Speichereinheit 2 auf. Das Steuergerät 1 führt eine erste Funktion A und eine zweite Funktion B aus. Jede der Funktionen A, B verarbeitet beispielsweise wenigstens einen Parameter und speichert den wenigstens einen Parameter repräsentierende Daten in der Speichereinheit 2 ab.
-
Um Hardware-Fehler und Software-Fehler zu erkennen, speichert jede Funktion A, B die Daten unter Berechnung von Prüfsummen in der Speichereinheit 2 ab. Dabei berechnet jede Funktion A, B im Steuergerät 1 ihre Prüfsumme auf unterschiedliche Art und Weise. Es sind beispielsweise verschiedene Prüfsummenberechnungsverfahren bekannt. Bei einfachen Verfahren werden z.B. Bits oder Bytes der zu speichernden Daten mit einem bestimmten Faktor multipliziert und anschließend aufsummiert. Komplexere Verfahren nehmen anstelle der einfachen Aufsummierung komplexere Berechnungen vor, wie beispielsweise eine zyklische Redundanzprüfung (CRC, engl. Cyclic Redundancy Check). Der durch das verwendete Prüfsummenberechnungsverfahren berechnete Wert wird dann als Prüfsumme mit den Daten mitgespeichert. Bei der Weiterverarbeitung der Daten kann dann wiederum eine Prüfsumme berechnet und mit der zuvor abgespeicherten Prüfsumme verglichen werden. Sind die beiden Prüfsummen unterschiedlich, sind die Daten höchstwahrscheinlich fehlerhaft. Sind die Prüfsummen identisch, sind die Daten mit hoher Wahrscheinlichkeit korrekt. Werden Daten als fehlerhaft erkannt, kann beispielsweise eine Fehlerfunktion aufgerufen werden oder das Steuergerät in einen Fehlerzustand wechseln. Das Steuergerät ist während eines Fehlerzustandes beispielsweise in seiner Funktionalität eingeschränkt, um Fehlfunktionen zu vermeiden.
-
Da jede Funktion A, B ihre Prüfsumme auf unterschiedliche Art und Weise berechnet, kann bei der Weiterverarbeitung der Daten festgestellt werden, ob die von einer Funktion A abgespeicherten Daten ungewollt von der anderen Funktion B überschrieben wurden (Software-Fehler). Dies soll im Folgenden anhand eines Beispiels erläutert werden.
-
Die erste Funktion A empfängt einen gemessenen Wert. Dieser Wert beträgt beispielsweise 8. Die Funktion A speichert den Wert 8 in der Speichereinheit 2. Die Prüfsumme berechnet die Funktion A beispielsweise mittels einer Division mit Rest, wobei der Rest als Prüfsumme mit den Daten gespeichert wird. Die Funktion A berechnet dabei beispielsweise den Rest der Division mit dem Divisor 3, so dass sich ergibt: 8 Modulo 3 = 2 (1)
-
Der Wert 2 wird dann als Prüfsumme mitgespeichert. Die zweite Funktion B empfängt beispielsweise ebenfalls einen gemessenen Wert von 8. Die Funktion B berechnet ihre Prüfsumme zwar beispielsweise ebenfalls mittels einer Division mit Rest und speichert den Rest als Prüfsumme mit den Daten. Jedoch berechnet die Funktion B beispielsweise den Rest der Division mit dem Divisor 5, so dass sich ergibt: 8 Modulo 5 = 3 (2)
-
Von der Funktion B wird dann der Wert 3 als Prüfsumme mitgespeichert. Überschreibt die zweite Funktion B ungewollt die Daten sowie die Prüfsumme welche von der Funktion A gespeichert wurden, so wird die Funktion A dies beim Auslesen der Daten feststellen. Beim Auslesen berechnet die Funktion A erneut die Prüfsumme. Diese stimmt aufgrund der unterschiedlichen Berechnungsmethode nicht mit der von der Funktion B gespeicherten Prüfsumme überein. Dies ist ein Hinweis darauf, dass die Daten von einer anderen Funktion überschrieben wurden.
-
Die erste Funktion A kann bei der Weiterverarbeitung der gespeicherten Daten auch erkennen, wenn der Wert (hier 8) selbst von der Funktion B mit einem unterschiedlichen Wert (z.B. 5) überschrieben wurde, da auch in diesem Fall die von der Funktion A berechnete Prüfsumme beim Auslesen der Daten (5 Modulo 3 = 2) mit der von der Funktion B beim Speichern berechneten Prüfsumme (5 Modulo 5 = 0) nicht übereinstimmt.
-
Würden beide Funktionen A, B die Berechnung ihrer Prüfsummen auf die gleiche Art und Weise durchführen, könnte nicht zuverlässig erkannt werden, ob die Daten einer Funktion ungewollt durch eine andere überschrieben wurden. Die Berechnung der Prüfsummen würde in diesem Fall bei beiden Funktionen A, B das gleiche Ergebnis liefern.
-
In obigem Beispiel verwenden beide Funktionen A, B zwar die gleiche Berechnungsmethode (Division mit Rest), jedoch jeweils mit einem unterschiedlichen Divisor. Es ist jedoch auch möglich, dass beide Funktionen unterschiedliche Berechnungsmethoden verwenden. Beispielsweise kann die Funktion A ihre Prüfsumme mittels Division mit Rest berechnen, während die Funktion B die zu speichernden Daten mit einem bestimmten Faktor multipliziert und anschließend aufsummiert.
-
In 1 ist ein Steuergerät 1 dargestellt, welches zwei verschiedene Funktionen A, B ausführt. Dies ist jedoch lediglich ein Beispiel. Das Steuergerät 1 kann auch mehr als zwei verschiedene Funktionen A, B ausführen. Jede der mehr als zwei verschiedenen Funktionen A, B berechnet ihre Prüfsummen auf unterschiedliche Art und Weise. So kann auch bei mehr als zwei Funktionen A, B erkannt werden, wenn eine Funktion A, B die Daten einer anderen Funktion ungewollt überschrieben hat.
-
In bekannten Steuergeräten legen die Funktionen in einem Steuergerät 1 die zu speichernden Daten oft mehrfach (redundant) in der Speichereinheit 2 ab. Berechnet jede Funktion A, B im Steuergerät 1 ihre Prüfsumme auf unterschiedliche Art und Weise, ist eine mehrfache Speicherung der Daten nicht mehr erforderlich, da neben Software-Störungen auch Hardware-Störungen zuverlässig erkannt werden können. Hardware-Störungen können erkannt werden, da bei einer Veränderung der gespeicherten Parameter oder Prüfsummen die bei Abruf der Daten erneut berechnete Prüfsumme nicht mit der gespeicherten Prüfsumme übereinstimmt.
-
2 zeigt in einem Ablaufdiagramm ein Verfahren zur Absicherung von Daten. Dabei berechnet eine erste Funktion A eine Prüfsumme zu ersten Daten (Schritt 100). Diese Prüfsumme wird dann zusammen mit den ersten Daten durch die erste Funktion A gespeichert (Schritt 101). Eine zweite Funktion B berechnet eine Prüfsumme zu zweiten Daten (Schritt 102). Die zweite Funktion B berechnet die Prüfsumme dabei auf unterschiedliche Art und Weise als die erste Funktion A. Das heißt, sie berechnet die Prüfsumme beispielsweise unter Verwendung einer unterschiedlichen Berechnungsmethode. Sie kann die Prüfsumme jedoch auch unter Verwendung derselben Berechnungsmethode (z.B. Division mit Rest), jedoch mit unterschiedlichen Parametern (z.B. unterschiedlicher Divisor) berechnen. Diese Prüfsumme wird dann zusammen mit den zweiten Daten durch die zweite Funktion B gespeichert (Schritt 103).
-
Bezugszeichenliste
-
- 1
- Steuergerät
- 2
- Speichereinheit
- A
- erste Funktion
- B
- zweite Funktion
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102011086530 A1 [0006]
