DE10122442A1 - Verfahren zur Synchronisation von mindestens zwei Recheneinheiten eines Steuerungssystems - Google Patents

Abstract

Bei einem Verfahren zur Synchronisation von mindestens zwei Recheneinheiten eines Steuerungssystems wird ein Synchronisationsereignis gebildet und den Recheneinheiten des ersten und zweiten Funktionsbereiches mitgeteilt. In den Recheneinheiten wird eine lokale Systemzeit ermittelt. Über einen Vergleich der lokalen Systemzeit mit einer allen Recheneinheiten zugeführten Globalzeit wird die Systemzeit korrigiert.

Description

Die Erfindung bezieht sich auf ein Verfahren zur Synchronisati­ on von mindestens zwei Recheneinheiten eines Steuerungssystems nach dem Oberbegriff des Anspruches 1.

Aus der Druckschrift EP 974 912 A2 ist ein Steuerungssystem be­ kannt, das zwei separate Recheneinheiten aufweist, die jeweils mit einer internen Systemuhr zur Zeitnahme einer lokalen Sys­ temzeit ausgestattet sind. Um Redundanz zu erreichen, sind die beiden Recheneinheiten identisch aufgebaut und übernehmen iden­ tische Aufgaben. Beide Recheneinheiten kommunizieren über Da­ tenleitungen mit einem Controller. Um ein zeitsynchrones Arbei­ ten beider Recheneinheiten zu gewährleisten, wird die lokale Systemzeit in den Recheneinheiten vom Controller regelmäßig ab­ gefragt und auf eine vom Controller gelieferte Globolzeit ange­ passt. Auf diese Weise wird sichergestellt, dass beide Rechen­ einheiten synchron arbeiten, so dass bei einem Ausfall einer Recheneinheit deren Aufgabe von der zweiten Recheneinheit un­ mittelbar und ohne sprungartige Änderung übernommen werden kann.

Das in der EP 974 912 beschriebene Steuerungssystem ist redun­ dant aufgebaut, wobei die Synchronisation der redundanten Re­ cheneinheiten insbesondere bei sicherheitsrelevanten Bauteilen, beispielsweise bei Lenksteuerungssystemen oder Bremsensteue­ rungssystemen in Kraftfahrzeugen, zur Erfüllung der Sicher­ heitsanforderungen erforderlich ist.

Um insbesondere im Kraftfahrzeugbereich den steigenden Anforde­ rungen an X-By-Wire-Systemen gerecht zu werden, werden in zu­ nehmendem Maße Steuerungssysteme mit verteilten Recheneinheiten eingesetzt, die im Gegensatz zu dem in der EP 974 912 A2 be­ schriebenen System auch unterschiedlichen Funktionsbereichen zugeordnet sein können und unterschiedliche Aufgaben innerhalb des zu steuernden bzw. zu regelnden Gesamtsystems erledigen. Die in verteilten Systemen unterschiedlichen Funktionsbereichen zugeordneten Recheneinheiten müssen ebenfalls synchronisiert werden, um ein ordnungsgemäßes Zusammenspiel und Funktionieren des Gesamtsystems zu gewährleisten. Zugleich ist man jedoch be­ strebt, Recheneinheiten aus unterschiedlichen Funktionsberei­ chen weitgehend autonom zu gestalten, um hinsichtlich der Funk­ tionalität, insbesondere aber auch der Möglichkeit, die Rechen­ einheiten variabel einzubauen bzw. an ihre jeweilige Funktion anzupassen, größtmöglichen Gestaltungsspielraum zu haben.

Der Erfindung liegt das Problem zugrunde, Recheneinheiten eines Steuerungssystems, die unterschiedlichen Funktionsbereichen zu­ geordnet sind, mit geringem Aufwand und störsicher zu synchro­ nisieren.

Dieses Problem wird erfindungsgemäß mit den Merkmalen des An­ spruches 1 gelöst.

Das neue Verfahren bietet den Vorteil, dass zur Synchronisation der unterschiedlichen Recheneinheiten nicht mehr zwangsläufig ein mit jeder Recheneinheit kommunizierender Controller erfor­ derlich ist, sondern dass nunmehr die Synchronisation auf Soft­ wareebene durchgeführt werden kann. Zusätzliche Hardwarekompo­ nenten, über die die Synchronisation bislang durchgeführt wird, können entfallen.

Erreicht wird dies dadurch, dass zunächst ein Synchronisations­ ereignis gebildet und den Recheneinheiten aus den unterschied­ lichen Funktionsbereichen mitgeteilt wird. Sobald das Synchro­ nisationsereignis in den Recheneinheiten empfangen worden ist, wird auf lokaler Ebene in jeder Recheneinheit die dort vorherr­ schende Systemzeit ermittelt und zwischengespeichert. Zweckmä­ ßig wird in einer der Recheneinheiten, die die Funktion einer Master-Recheneinheit einnimmt, eine allgemein gültige Globolzeit gebildet. Im nächsten Schritt wird die Globolzeit sämtli­ chen anderen Recheneinheiten zugeführt, wobei die Differenz zu den zwischengespeicherten, lokalen Systemzeiten ermittelt und der jeweiligen Zeitkorrektur in jeder Recheneinheit zugrunde gelegt wird.

Das gesamte Synchronisationsverfahren kann auf Softwareebene durchgeführt werden, wobei das Synchronisationsereignis als ei­ ne Synchronisationsbotschaft mit einer Datenbotschaft übermit­ telt wird. Diese Synchronisationsinformation kann softwaresei­ tig erzeugt werden. Es ist dagegen nicht notwendig, dass ein Controller oder eine sonstige Hardwarekomponente ein den Re­ cheneinheiten zuzuführendes Synchronisationsereignis erzeugt.

Der Empfang des Synchronisationsereignisses in den Rechenein­ heiten löst die lokale Zeitnahme aus, wodurch sichergestellt ist, dass zum einen in allen Recheneinheiten innerhalb einer zulässigen Karenzzeit die lokale Systemzeit genommen wird und zum andern auch sämtliche Recheneinheiten bei der Synchronisa­ tion berücksichtigt werden.

Die Globalzeit wird schließlich sämtlichen Recheneinheiten zu­ geführt, wobei die Zeitkorrektur aus der Differenz der lokalen, zwischengespeicherten Systemzeit und der Globolzeit durchge­ führt wird.

Zweckmäßig sind die Recheneinheiten aus den beiden unterschied­ lichen Funktionsbereichen über zwei separate Datenleitungen, welche insbesondere als CAN-Busse ausgebildet sind, miteinander verbunden. Zusätzlich sind die Recheneinheiten innerhalb eines gemeinsamen Funktionsbereichs über interne Datenleitungen mit­ einander verbunden. Das Synchronisationsereignis wird vorteil­ haft über beide CAN-Busse und auch die internen Datenleitungen übertragen, was zu dem Effekt führt, dass das Synchronisations­ ereignis in jeder Recheneinheit zweimal zu unterschiedlichen Zeiten empfangen wird, wobei bei jedem Empfang jeweils die lo­ kale Systemzeit gebildet und abgespeichert wird. Aus der Zeit­ differenz des zweimaligen Empfangs des Synchronisationsereig­ nisses bzw. der Differenz zwischen zwei lokalen Systemzeiten innerhalb einer Recheneinheit kann auf Funktionsfähigkeit des Steuerungssystems bzw. eines Teils des Steuerungssystems ge­ schlossen werden. Der zweimalige Empfang des Synchronisations­ ereignisses bzw. die zweimal genommene lokale Systemzeit muss innerhalb eines vorgegebenen Zeitfensters liegen, andernfalls liegt ein Fehler vor.

Vorzugsweise werden die Synchronisationsereignisse periodisch gesendet, mit der Folge, dass auch die Synchronisation der ver­ teilten Recheneinheiten periodisch durchgeführt wird.

Das Verfahren eignet sich in besonderer Weise zur Anwendung in einem Steuerungssystem in einem Fahrzeug, das Recheneinheiten in zwei verschiedenen Funktionsbereichen aufweist, von denen ein erster Funktionsbereich einem vom Fahrer manuell zu beauf­ schlagenden Bedienelement und ein weiterer Funktionsbereich ei­ nem Fahrzeugaggregat zugeordnet ist, welches die Vorgaben aus dem Bedienelement in eine entsprechende Einstellung des Fahr­ zeuges umsetzt. Es handelt sich bei dem Steuerungssystem insbe­ sondere um ein Lenkstellsystem, wobei das Bedienelement das Lenkrad mit einem Lenkradaktuator und das Fahrzeugaggregat ein Radwinkelaktuator zur Einstellung des Lenkwinkels ist. Es kom­ men daneben aber auch andere Steuerungssysteme in Betracht, beispielsweise Steuerungssysteme zur Einstellung der Fahrzeug­ bremse wie z. B. elektrohydraulische oder elektromechanische Bremsen oder aber Steuerungssysteme zur Beaufschlagung von Fahrwerk, Motor und/oder Antriebsstrang.

Jedem Funktionsbereich können eine Mehrzahl von Recheneinheiten zugeordnet sein, insbesondere jeweils vier Recheneinheiten, wo­ durch Redundanz innerhalb eines Funktionsbereichs erreicht wird. Die Globolzeit wird insbesondere von einer Recheneinheit genau eines Funktionsbereiches bestimmt.

Es können gegebenenfalls auch die Recheneinheiten aus mehr als zwei Funktionsbereichen synchronisiert werden.

Weitere Vorteile und zweckmäßige Ausführungen sind den weiteren Ansprüchen, der Figurenbeschreibung und den Zeichnungen zu ent­ nehmen. Es zeigen:

Fig. 1 eine schematische Darstellung eines Steuerungssystems mit zwei separat ausgebildeten und funktionell ge­ trennten Funktionsbereichen, die jeweils eine Mehr­ zahl von Recheneinheiten umfassen und über CAN-Busse miteinander verbunden sind,

Fig. 2 ein Ablaufdiagramm mit der Darstellung der Zeitnahme in den einzelnen Recheneinheiten.

Das in Fig. 1 schematisch dargestellte Steuerungssystem 1 um­ fasst zwei separate Funktionsbereiche 2 und 3, die über Daten­ leitungen 4 und 5, welche als CAN-Busse ausgebildet sind, mit­ einander verbunden sind. Die beiden Funktionsbereiche 2 und 3 sind funktionell getrennt und übernehmen unterschiedliche Funk­ tionen innerhalb des Steuerungssystems 1.

Bei einer Anwendung des Steuerungssystems 1 in Kraftfahrzeugen kann es sich bei dem Funktionsbereich 2 um eine Hardwarekompo­ nente des Steuerungssystems handeln, welche für die Einstellung von vom Fahrer manuell zu beaufschlagenden Bedienelementen ver­ antwortlich ist, und beim Funktionsbereich 3 um eine Hardware­ komponente handeln, über die Fahrzeugaggregate entsprechend der Vorgabe über die Bedienelemente eingestellt werden. Insbesonde­ re handelt es sich bei dem Steuerungssystem um ein Lenksteuer­ system, wobei in diesem Fall das vom Funktionsbereich 2 anzu­ steuernde Bedienelement ein Lenkrad mit einem Lenkradaktuator und das vom Funktionsbereich 3 anzusteuernde Fahrzeugaggregat ein Radwinkelaktuator ist, über den der gewünschte Lenkwinkel auf die lenkbaren Räder übertragen wird.

Jeder Funktionsbereich 2 bzw. 3 umfasst jeweils eine Mehrzahl von Recheneinheiten 2a bis 2d bzw. 3a bis 3d, die die Aktuato­ ren beaufschlagen, welche den jeweiligen Funktionsbereichen 2 und 3 zugeordnet sind. Innerhalb eines Funktionsbereiches 2 bzw. 3 sind die Recheneinheiten 2a bis 2d bzw. 3a bis 3d über interne Datenleitungen 6 und 7 bzw. 8 und 9 miteinander verbun­ den. Die CAN-Busse 4 und 5 verbinden die ersten Recheneinheiten 2a und 3a der Funktionsbereiche 2 und 3 sowie die letzten Re­ cheneinheiten 2d und 3d dieser Funktionsbereiche.

Im laufenden Betrieb des Steuerungssystems müssen die Rechen­ einheiten 2a bis 2d und 3a bis 3d jedes Funktionsbereiches 2 bzw. 3 synchronisiert werden, um ein ordnungsgemäßes Funktio­ nieren sicherzustellen. Die Synchronisation wird in zyklischen Abständen durchgeführt. Hierfür wird ein die Synchronisation auslösendes Synchronisationsereignis gebildet und sämtlichen Recheneinheiten 2a bis 2d und 3a bis 3d der beiden Funktionsbe­ reiche 2 und 3 mitgeteilt. Unmittelbar nach dem Empfang des Synchronisationsereignisses wird in sämtlichen Recheneinheiten eine Zeitnahme durchgeführt und die jeweils vorherrschende, lo­ kale Systemzeit ermittelt und zwischengespeichert.

Eine der Recheneinheiten fungiert als Master-Recheneinheit und gibt eine Globolzeit vor, welche der Synchronisation der übri­ gen Recheneinheiten zugrunde gelegt wird. Den übrigen Rechen­ einheiten kommt die Aufgabe eines Slaves zu.

Nach der Ermittlung der Globolzeit in den Recheneinheiten 2a bis 2d des ersten Funktionsbereiches 2 wird die Globolzeit sämtlichen Recheneinheiten beider Funktionsbereiche 2 und 3 - mit Ausnahme der Master-Recheneinheit, in der die Globolzeit ermittelt worden ist - zugeführt. Anschließend wird in jeder Recheneinheit die Differenz zwischen der zwischengespeicherten, lokalen Systemzeit und der Globolzeit ermittelt und aus dieser Differenz eine Zeitkorrektur durchgeführt. Auf diese Weise wer­ den sämtliche Recheneinheiten 2a bis 2d und 3a bis 3d auf die ermittelte Globolzeit angepasst.

Das Synchronisationsereignis kann entweder in einer Rechenein­ heit erzeugt werden, beispielsweise in einer der Recheneinhei­ ten des ersten Funktionsbereiches, oder über eine der Datenlei­ tungen 4 bzw. 5 den Recheneinheiten zugeführt werden; in diesem Fall kann das Synchronisationsereignis in einer nicht darge­ stellten Komponente des Steuerungssystems erzeugt oder von au­ ßerhalb dem Steuerungssystem 1 zugeführt werden.

Fig. 2 zeigt den zeitlichen Ablauf der Zeitnahme in jeder Re­ cheneinheit. Im linken Bereich ist ein Zeitstrahl 10 mit fort­ laufender Zeit t dargestellt. Parallel zum Zeitstrahl 10 ist der Datentransport zwischen den Recheneinheiten 2a bis 2d und 3a bis 3d über die CAN-Busse 4 und 5 bzw. die internen Daten­ leitungen 6 und 7 bzw. 8 und 9 innerhalb jeweils eines Funkti­ onsbereiches zwischen den zugeordneten Recheneinheiten darge­ stellt.

In den Recheneinheiten 2a und 2d, die unmittelbar am CAN-Bus 4 bzw. 5 hängen, des als Master fungierenden ersten Funktionsbe­ reiches 2 wird zeitgleich ein Synchronisationsereignis 11 er­ zeugt, welches zweckmäßig innerhalb einer Synchronisationsbot­ schaft 12 auf den jeweils benachbarten CAN-Bus 4 bzw. 5 ge­ schickt wird. Das Synchronisationsereignis wird zeitgleich in allen am jeweiligen CAN-Bus 4 bzw. 5 hängenden Recheneinheiten 2a und 3a bzw. 2d und 3d empfangen. Über die internen Datenlei­ tungen 6 und 7 bzw. 8 und 9 wird das Synchronisationsereignis von den unmittelbar an den CAN-Bussen hängenden Recheneinheiten an die weiteren Recheneinheiten des jeweiligen Funktionsberei­ ches weiter geleitet.

Dargestellt ist im Ausführungsbeispiel die Übertragung des Syn­ chronisationsereignisses von der Recheneinheit 2a des ersten Funktionsbereiches über die interne Datenleitung 7 auf alle weiteren Recheneinheiten 2b, 2c und 2d desselben Funktionsbe­ reiches. In entsprechender Weise wird das Synchronisationser­ eignis aus der unmittelbar am CAN-Bus 5 hängenden Recheneinheit 2d des ersten Funktionsbereiches über die interne Datenleitung 6 auf die weiteren Recheneinheiten 2a bis 2c desselben Funkti­ onsbereiches übertragen. In analoger Weise erfolgt ein Aus­ tausch des Synchronisationsereignisses von der Recheneinheit 3a des zweiten Funktionsbereiches über die interne Datenleitung 9 auf die weiteren Recheneinheiten 3b bis 3d bzw. von der Rechen­ einheit 3d des zweiten Funktionsbereiches über die interne Da­ tenleitung 8 auf die weiteren Recheneinheiten 3a bis 3c.

Die Datenübertragung über den CAN-Bus 4 bzw. 5 erfolgt auf alle unmittelbar am CAN-Bus hängenden Recheneinheiten zeitgleich. Die Übertragung zwischen den Recheneinheiten über die internen Datenleitungen 6 bzw. 7 oder 8 bzw. 9 erfolgt dagegen mit zeit­ licher Verzögerung, was zu einem Zeitversatz bei der internen Datenübertragung führt.

Da jede Recheneinheit das Synchronisationsereignis zweimal er­ hält - entweder in der Kombination über CAN-Bus und interne Da­ tenleitung oder zweimal über interne Datenleitung - liegt über der Zeitachse gesehen jedes Synchronisationsereignis in jeder Recheneinheit zweimal aufeinander folgend vor. Zweckmäßig wird als zusätzliche Plausibilitätskontrolle überprüft, ob innerhalb jeder Recheneinheit die beiden Synchronisationsereignisse in­ nerhalb eines vorgegebenen Zeitfensters liegen. Ist dies der Fall, wird das Synchronisationsverfahren fortgeführt; andern­ falls wird eine Fehlermeldung produziert.

Sobald ein Synchronisationsereignis in einer Recheneinheit emp­ fangen wird, wird dort die lokal vorherrschende Systemzeit er­ mittelt und zwischengespeichert. Bei einem zweimaligen Empfang des Synchronisationsereignisses in einer Recheneinheit wird dementsprechend auch zweimal die lokale Systemzeit ermittelt und es werden beide Werte zwischengespeichert.

Im Anschluss an die in Fig. 2 dargestellte Zeitnahme wird die Globolzeit ermittelt und wiederum über die CAN-Busse 4 und 5 bzw. die internen Datenleitungen 6 und 7 bzw. 8 und 9 sämtli­ chen Recheneinheiten zugeführt, die daraufhin eine Zeitkorrek­ tur durchführen. Nach erfolgter Zeitkorrektur ist die Synchro­ nisation sämtlicher Recheneinheiten im betreffenden Berech­ nungszyklus beendet.

Bezugszeichenliste

1

Steuerungssystem

2

Funktionsbereich

2

a bis

2

d Recheneinheit

3

Funktionsbereich

3

a bis

3

d Recheneinheit

4

Datenleitung

5

Datenleitung

6

Datenleitung

7

Datenleitung

8

Datenleitung

9

Datenleitung

10

Zeitstrahl

11

Synchronisationsereignis

12

Synchronisationsbotschaft

Claims (11)

1. Verfahren zur Synchronisation von mindestens zwei Rechenein­ heiten eines Steuerungssystems, insbesondere eines Steuerungs­ systems (1) für ein Stellglied in einem Fahrzeug, wobei die Re­ cheneinheiten (2a bis 2d; 3a bis 3d) über Datenleitungen (4 bis 9) miteinander kommunizieren und mindestens zwei unterschiedli­ chen Funktionsbereichen (2, 3) zugeordnet sind, dadurch gekennzeichnet,
dass ein Synchronisationsereignis gebildet und den Rechen­ einheiten (2a bis 2d; 3a bis 3d) des ersten und zweiten Funktionsbereichs (2, 3) mitgeteilt wird,
dass nach dem Empfang des Synchronisationsereignisses in al­ len Recheneinheiten (2a bis 2d; 3a bis 3d) des ersten Funk­ tionsbereichs (2) und des zweiten Funktionsbereichs (3) eine Zeitnahme durchgeführt und eine jeweils vorherrschende, lo­ kale Systemzeit ermittelt und zwischengespeichert wird,
dass eine allgemein gültige Globolzeit ermittelt und den Re­ cheneinheiten (2a bis 2d; 3a bis 3d) zugeführt und aus der Differenz zu der jeweiligen zwischengespeicherten, lokalen Systemzeit eine Zeitkorrektur durchgeführt wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass in einer der Recheneinheiten (2a bis 2d; 3a bis 3d) eine allgemein gültige Globalzeit gebildet wird.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Recheneinheiten (2a bis 2d; 3a bis 3d) der beiden Funktionsbereiche (2, 3) über zwei Datenleitungen (4, 5) mit­ einander verbunden sind und das Synchronisationsereignis über beide Datenleitungen (4, 5) übertragen wird, wobei bei einem Empfang des Synchronisationsereignisses sowohl über die erste als auch über die zweite Datenleitung (4, 5) in jeder Rechen­ einheit (2a bis 2d; 3a bis 3d) jeweils die lokale Systemzeit gebildet wird.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass die Zeitdifferenz zwischen zwei lokalen Systemzeiten einer Recheneinheit innerhalb eines vorgegebenen Zeitfensters liegen muss.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass in periodischen Zyklen Synchronisationsereignisse gesendet und die Recheneinheiten synchronisiert werden.

6. Steuerungssystem in einem Fahrzeug zur Durchführung des Ver­ fahrens nach einem der vorhergehenden Ansprüche, wobei mindes­ tens eine Recheneinheit (2a bis 2d) eines ersten Funktionsbe­ reichs (2) für die Einstellung eines vom Fahrer manuell zu be­ aufschlagenden Bedienelements und mindestens eine Recheneinheit (3a bis 3d) eines zweiten Funktionsbereichs (3) für die Ein­ stellung und Beaufschlagung eines Fahrzeugaggregates entspre­ chend der Einstellung des Bedienelements vorgesehen sind, dadurch gekennzeichnet,
dass den Recheneinheiten (2a bis 2d; 3a bis 3d) in den bei­ den Funktionsbereichen (2, 3) ein Synchronisationsereignis zuführbar ist,
dass nach dem Empfang des Synchronisationsereignisses in al­ len Recheneinheiten (2a bis 2d; 3a bis 3d) des ersten Funk­ tionsbereichs (2) und des zweiten Funktionsbereichs (3) eine jeweils vorherrschende, lokale Systemzeit ermittelbar und in einem Speicher speicherbar ist,
dass eine allgemein gültige Globolzeit ermittelbar und aus der Differenz der Globolzeit zu den im Speicher der Rechen­ einheiten (2a bis 2d; 3a bis 3d) abgelegten Systemzeiten ei­ ne Zeitkorrektur durchführbar ist.

7. Steuerungssystem nach Anspruch 6, dadurch gekennzeichnet, dass das Steuerungssystem (1) ein Lenkstellsystem, das Bedien­ element ein Lenkrad mit einem Lenkradaktuator und das Fahrzeug­ aggregat ein Radwinkelaktuator ist.

8. Steuerungssystem nach Anspruch 6 oder 7, dadurch gekennzeichnet, dass in dem dem Bedienelement zugeordneten Funktionsbereich (2) vier Recheneinheiten (2a bis 2d) vorgesehen sind.

9. Steuerungssystem nach einem der Ansprüche 6 bis 8, dadurch gekennzeichnet, dass in dem dem Fahrzeugaggregat zugeordneten Funktionsbereich (3) vier Recheneinheiten (3a bis 3d)vorgesehen sind.

10. Steuerungssystem nach einem der Ansprüche 6 bis 9, dadurch gekennzeichnet, dass die Globalzeit in der dem Bedienelement zugeordneten Re­ cheneinheit (2a bis 2d) ermittelt wird.

11. Steuerungssystem nach einem der Ansprüche 6 bis 10, dadurch gekennzeichnet, dass die Datenleitungen (4, 5), über die Recheneinheiten (2a bis 2d; 3a bis 3d) unterschiedlicher Funktionsbereiche (2, 3) miteinander kommunizieren, als CAN-Busse ausgebildet sind.