CN105083164A - 用于在机动车中安全地结合软件部件的装置 - Google Patents

Abstract

本发明涉及一种用于耦合一软件部件（10）与机动车的控制系统的耦合装置（150），所述软件部件将用于调节执行器（300）的调节请求（S1）传递到该控制系统上，其中，所述耦合装置（150）包括一监控单元（230），所述监控单元被设置用于针对每个调节请求（S1）执行一判断：所述调节请求的转换是否将所述机动车转换到危险状态中，其中，所述耦合装置还设置用于根据该判断将一相应于所述调节请求（S1）的经监控的调节请求（S2）传递到转换单元（250、260、280）上，其中，所述转换单元（250、260、280）设置用于操控所述执行器（300）。

Description

用于在机动车中安全地结合软件部件的装置

技术领域

本发明涉及一种用于耦合一软件部件与机动车的控制系统的耦合装置、一种包括所述耦合装置全部单元的控制设备和一种用于运行所述耦合装置的控制设备。

背景技术

在移动电话中属于现有技术的是，使用者通过该设备和通过安装在其上的软件获得对大量其他软件部件或程序的访问。对于这些程序常见的名字是“App”。App通常可以简单取得（例如通过App商店）并安装并能够实现多个不同的应用，它们有时远远超出移动电话的原始基本功能。该设备的简单和广泛的个性化同时对于消费者是非常重要的购买标准。

就像在移动电话领域中那样的类似附件已经零星地针对信息娱乐系统存在于机动车中。在那里对于驾驶员也可行的是，通过相应的App商店取得并且安装用于个性化其信息娱乐系统的应用。

发明内容

为了使其上运行App和访问到其上的基础系统（即用于控制机动车的系统或子系统）不受错误编程的App的影响，可以考虑相应的软件措施和/或硬件措施用于保护存储器和用于确保正确的运行时间行为。存储器保护单元或存储器管理单元或μC层面（μC-Ebene）上的相应的权限管理是可能的机构。

这些机构可以是有效措施，以便阻止错误App对于基础系统的影响（英语也称作“freedom from interference（无干扰）”），并由此提高基础系统的安全性。在这里和下面，安全性的概念应用在英语术语“safety（人身安全）”（防止肢体和生命受到不合理风险）的意义上而不是应用在英语术语“security（网络安全）”（访问保护、防止侵入者、防止数据弄错等）的意义上。

用于提高基础系统安全性的另一可能的机构是在将App设定到所提到的App商店中时和至少部分地也在访问App商店时设置限制。这些限制也可以具有这样的目的，即，使具有对基础系统的可能负面影响的App根本不能达到基础系统。

在机动车的研发中必须在安全性方面尤其注意标准ISO 26262，该标准尤其与故障的严重后果和发生可能性相关地给部件配属ASIL分类。由该ASIL分类于是推导出到何种程度必须设置特别的应对措施用于阻止所述故障。如果App附加地安装在机动车上并可以取得对于安全性关键的执行器的影响，那么对于这些App也要注意ISO 26262，这使这样的App的研发非常耗费。

对于App的上述转换而言构思一般是，这些转换没有在对安全性重要的系统上在ISO 26262的意义上运行并且这些App尤其不能对安全性关键的执行器产生影响。

但是，App可以取得这样的影响的可能性是值得希望的。机动车中的、对于安全性重要的系统的现今的控制设备在车间中的传送带末端被编程，也就是说功能范围随着在客户处的批量交付被确定。但是存在这样的可能性，即，附加地可以将一定的功能在车间中“解锁（freischalten）”。这通过如下方式来实现，即，在车间中利用诊断试验器接通控制设备数据场中的软件开关。也就是说但是因此“解锁”的功能在供货时已经在控制设备中存在，但例如通过一相应的SW开关是未激活的。此外，在车间中也存在更新完全的软件状态的可能性。该可能性的特征在于，软件的事先已知的、能预先生效的并且自由给出的编排被加载到控制设备上。

与之相反，本发明具有这样的优点，即，App的或一般性的软件部件的使用被扩展到这样的应用情况上，在这些应用情况中，这些软件部件也可以取得对于安全性重要的执行器的影响。由此能够实现新的功能可以在批量交付之后安全地补充加载到机动车中。

一执行器通过控制系统被操控，软件部件可以给该控制系统传递用于调节所述执行器的调节请求。该执行器然后调整该调节请求或尝试去要求。由此，软件部件取得对执行器的影响。

根据本发明的第一观点，设置一用于耦合软件部件与机动车的控制系统的耦合装置，该软件部件将用于调节所述执行器的调节请求传递到机动车的该控制系统上。耦合装置在此情况下包括一监控单元，该监控单元被设置用于针对每个调节请求执行这样的判断，即，所述调节请求的转换是否将机动车转变到一危险状态中。用语“危险”在此情况下在上面限定的意义中使用在安全性减少的意义中。

此外，耦合装置被设置用于根据该判断将经监控的调节请求传递到转换单元上，其中，所述转换单元被设置用于操控执行器。在此情况下，经监控的调节请求相应于原始的调节请求，但是在某些情况下只要通过原始的调节请求的转换会将机动车转变到危险状态中的话，就进行监控，使得原始的调节请求不是未改变地被传递到转换单元上。

通过所述耦合装置来结合或者说装入（einbindet）软件部件的基础系统由此可以阻止软件部件的不希望的影响。基础系统的ASIL分类因此没有进一步传播到软件部件上，这是因为耦合装置的安全性机构已经在基础系统中锚固。因此，软件部件可以在原理上源自任意的来源，也就是为了其研发提供了宽的研发人员圈子并且没有限制到少的专业供货商上。

根据一改进方案可以设置：耦合装置被设置用于将经监控的调节请求未改变地传递到转换单元上，如果得到这样的判断，即，调节请求的转换没有将机动车转变到危险状态中，也就是说经监控的调节请求与原始调节请求相同。

根据另一改进方案可以设置：耦合装置被设置用于替代所述调节请求将一备用调节请求传递到转换单元上，如果得到这样的判断，即，调节请求的转换将机动车转变到危险状态中。

所述备用调节请求尤其可以以如下方式选择，即，所述备用调节请求的转换没有将所述机动车转变到危险状态中。

替换地或附加地通过调节请求的界限获得备用调节请求的特别简单的产生，也就是所述调节请求的数字值被限制到小于一最大值和/或大于一最小值的值范围上。

替换地或附加地，耦合装置的另一特别简单的转换可以设置：不将调节请求传递到转换单元上，如果获得这样的判断，即，调节请求的转换将机动车转变到危险状态中。根据另一观点可以设置：所述耦合装置包括一状况识别单元，该状况识别单元被设置用于获知和提供机动车的当前的和/或未来的、尤其是预计的行驶状况，其中，该耦合装置被设置用于根据该所提供的行驶状况执行所述判断。由此而可行的是：软件部件的影响与状况相关地被限制或阻止。例如可行的是：软件部件在自由行驶在具有小的环境交通的高速公路上时与就要开始具有密集环境交通的建筑工地前相比要产生或者说整理（einzuräumen）更大的影响。

为此例如可以设置：所述监控单元被设置用于执行描述所述机动车动态的变量的预测并根据这些变量的值执行所述判断。例如由此可行的是：获知偏航率的或浮动角度的将来的值，以便针对软件部件的影响识别特别关键的状况。

根据另一观点可以设置：耦合装置包括（例如标准化的）接口，软件部件通过该接口给耦合装置传递调节请求。这样，软件部件的连接特别简单。

根据另一观点可以设置：耦合装置包括例如App管理器的管理单元，其被设置用于在安装软件部件之前检查是否可以正确安装软件部件。

根据一有利的改进方案可以设置：所述管理单元被设置用于给所述软件部件分派一工作存储器中的存储器区域并将软件部件与所述接口连接。

根据另一观点可以设置：耦合装置的所有单元构造在一唯一的控制设备上、例如一马达控制设备上或一ESP控制设备上。耦合装置的这样的分区（Partitionierung）是特别简单的。

在另一观点中，本发明涉及这样的控制设备，其包括根据本发明的耦合装置的全部单元。

在另一观点中，本发明涉及一种用于运行耦合装置的控制设备，该控制设备至少包括所述监控单元。

附图说明

下面参照附图详细阐述本发明的实施方式。在附图中示出：

图1示出了控制设备中的耦合装置的结构；

图2示出了监控方法的流程，该方法在耦合装置中实施。

具体实施方式

图1示出了耦合装置150，该耦合装置在该实施例中集成到控制设备200中（例如马达控制设备中）。作为对于软件部件的例子例如从互联网100下载App10。可选的App协调器220检查是否满足对于App10的安装前提，例如是否存在足够空闲的存储器。如果是这种情况，App10的App协调器220在控制设备200的存储器（未示出）中指派一存储器区域并使App10与应用程序编程接口（缩写“API”）210连接。App10通过API210在运行中将调节请求S1传递到监控单元230上。可选地可以设置一状况识别单元240，该状况识别单元给监控单元230传递机动车的当前行驶状况。当前行驶状况可以包括机动车的行驶动态参数（行驶速度、偏航率等），还包括环境参数（交通密度、与前方行驶车辆的间距等）或机动车的内部参数（制动介入的存在、燃料喷入量等）。

监控单元230检查：调节请求S1的转换是否会导致影响安全性，并基于该检查根据调节请求S1产生经监控的调节请求S2，该经监控的调节请求为了转换而转送到软件层250上。软件层250例如可以被设置用于使调节请求S2转换，从而使得该调节请求可以转送给执行器300。例如可以考虑：经监控的调节请求S2相应于机动车的额定速度。软件层250然后可以要么将作为调节请求的该额定速度传输给作为执行器300的速度控制器。但是也可以的是：软件层250接管速度控制器的功能，并与机动车的实际速度相关地提高或减少例如燃料喷入量。

所述耦合装置150包括API210、监控单元230和可选地所述App协调器220和/或状况识别单元240。在该实施例中，耦合装置完全在所述一控制设备200上实现，但是这不是强制需要的。这些部件分配到多个控制设备上同样是可考虑的。App10的存储器位置也不必强制地在所述一控制设备200上实现。

软件层250与硬件层260通信，该硬件层从传感器（未示出）通过传感器接口270接收关于传感器的当前测量值的值，并且通过执行器接口280可以操控所述执行器300。硬件层260给执行器接口280传递调节请求值SW，该调节请求值例如相应于经监控的调节请求S2的数字值。执行器接口280根据该调节请求值SW操控所述执行器300。

图2示出了根据本发明的另一观点的监控方法的流程。该监控方法例如在耦合装置150、尤其是在监控单元230中进行。

该方法以步骤1000开始。监控单元230接收App10的调节请求S1。该调节请求S1是一数字值或一定数目的数字值，可以给它们配置具体的执行器300，或也可以整体地涉及机动车行为，例如希望的加速度值。

可选地，在步骤1020中监控单元230从状况识别单元240接收关于当前行驶状况的、例如当前速度的、当前转向角度的或机动车所行驶的行驶车道的当前摩擦值的值，当前转向角度或当前摩擦值例如可以由浮动角度估计或由精细数字地图获知，或例如可以通过（未示出的）外部温度传感器在黑冰识别（Glatteiserkennung）的意义上估计出。

监控单元230现在在步骤1030中获知所述调节请求S1是否会导致危险行驶状况，如果该调节请求会被转换的话。如果是该情况，那么进行步骤1040，否则进行步骤1050。

在步骤1040中作为经监控的调节请求S2获知一备用调节请求。该备用调节请求例如可以是调节请求S1的数字值的规定限额（Limitierung），例如是加速度值的规定限额。但是也可以考虑：备用调节请求是一空的调节请求S2，从而使得给软件层250不传递调节请求S2，也就是说系统这样行动，就像App10没有传递调节请求S1。接下来进行步骤1050。

与之相反，如果调节请求S1被归入安全，那么直接进行步骤1050，其中，作为经监控的调节请求S2正好传送所述调节请求S1。

在步骤1050中，监控单元230给软件层250传递经监控的调节请求S2。基础系统中的进一步流程例如就像上面结合图1描述的那样进行。

Claims (14)

1. 耦合装置（150），用于耦合一软件部件（10）与机动车的控制系统，所述软件部件将用于调节一执行器（300）的调节请求（S1）传递到所述控制系统上，其中，所述耦合装置（150）包括一监控单元（230），所述监控单元设置用于针对每个调节请求（S1）执行一判断：所述调节请求的转换是否将所述机动车转变到危险状态中，其中，所述耦合装置还设置用于根据该判断将一相应于所述调节请求（S1）的经监控的调节请求（S2）传递到转换单元（250、260、280）上，其中，所述转换单元（250、260、280）设置用于操控所述执行器（300）。

2. 根据权利要求1所述的耦合装置（150），所述耦合装置设置用于，如果获得了这样的判断，即，所述调节请求（S1）的转换没有将所述机动车转变到危险状态中，则将所述经监控的调节请求（S2）传递到所述转换单元（250、260、280）上。

3. 根据权利要求1或2所述的耦合装置（150），所述耦合装置设置用于，如果获得了这样的判断，即，所述调节请求（S1）的转换将所述机动车转变到危险状态中，则替代所述调节请求（S1），将一备用调节请求（S2）传递到所述转换单元（250、260、280）上。

4. 根据权利要求3所述的耦合装置（150），其中，所述备用调节请求（S2）以如下方式选择，即，所述备用调节请求（S2）的转换没有将所述机动车转变到危险状态中。

5. 根据权利要求3或4所述的耦合装置（150），其中，所述备用调节请求（S2）表示所述调节请求（S1）的界限。

6. 根据权利要求1或2所述的耦合装置（150），所述耦合装置设置用于，如果获得了这样的判断，即，所述调节请求（S1）的转换将所述机动车转变到危险状态中，则不将调节请求传递到所述转换单元（250、260、280）上。

7. 根据前述权利要求之一所述的耦合装置（150），其中，所述耦合装置（150）包括一状况识别单元（240），所述状况识别单元设置用于获知和提供所述机动车的行驶状况，其中，所述耦合装置（150）设置用于根据所提供的行驶状况执行所述判断。

8. 根据前述权利要求之一所述的耦合装置（150），其中，所述监控单元（230）设置用于执行描述所述机动车动态的变量的预测并根据这些变量的值来执行所述判断。

9. 根据前述权利要求之一所述的耦合装置（150），其中，所述耦合装置（150）包括一接口（210），所述软件部件（10）通过所述接口给所述耦合装置（150）传递所述调节请求（S1）。

10. 根据前述权利要求之一所述的耦合装置（150），其中，所述耦合装置（150）包括一管理单元（220），所述管理单元设置用于在安装所述软件部件（10）之前检查是否能够正确安装所述软件部件（10）。

11. 根据权利要求10所述的耦合装置，其中，所述管理单元（220）设置用于给所述软件部件（10）指派一工作存储器中的存储器区域，并将所述软件部件（10）与所述接口（210）连接。

12. 根据前述权利要求之一所述的耦合装置（150），其中，所述耦合装置的全部单元构造在一控制设备（200）上。

13. 控制设备（200），其包括根据权利要求1至12之一所述的耦合装置（150）的全部单元。

14. 控制设备（200），其用于运行根据权利要求1至12之一所述的耦合装置（150），所述控制设备包括所述监控单元（230）。