DE102005034572B4

DE102005034572B4 - Verfahren zur Fehleranalyse bei der Speicherung von Daten in elektronischen Steuergeräten

Info

Publication number: DE102005034572B4
Application number: DE102005034572.7A
Authority: DE
Inventors: Dr. Schreiner Frank; Dr. Grießer Martin
Original assignee: Continental Teves AG and Co OHG
Current assignee: Continental Automotive Technologies GmbH
Priority date: 2005-07-22
Filing date: 2005-07-22
Publication date: 2016-07-28
Anticipated expiration: 2025-07-23
Also published as: DE102005034572A1

Abstract

Verfahren, bei dem eine Überprüfung der Datenintegrität bei der Speicherung von Daten in Speichern in elektronischen Steuergeräten in Kraftfahrzeugen vorgenommen wird, und bei welchem beim Abspeichervorgang vor der Übertragung der Daten aus dem Arbeitsspeicher des Steuergeräts in den Speicher ein Prüfwert aus den Daten errechnet wird, welcher zusammen mit den Daten abgespeichert wird, wobei der berechnete Prüfwert mindestens zweimal abgelegt wird, und der Prüfwert zumindest am Anfang und am Ende des verwendeten Speicherbereichs abgelegt wird.

Description

Die Erfindung betrifft ein verfahren zur Überprüfung der Datenkonsistenz bei der Speicherung von Daten in elektronischen Kraftfahrzeugsteuergeräten.
Mikroprozessorgesteuerte Systeme für Kraftfahrzeuge, insbesondere elektronische Steuergeräte für Kraftfahrzeugbremsanlagen, umfassen häufig einen nichtflüchtigen Speicher, häufig als EEPROM (electrically eraseable programmable readonly memory) ausgeführt, in welchem die Betriebsdaten des Steuergeräts bei Abstellen des Fahrzeugs gespeichert werden (Abspeichervorgang). Bei Neustart des Kraftfahrzeugs werden die Daten aus dem nichtflüchtigen Speicher in den Arbeitsspeicher des Steuergeräts rückübertragen (Einlesevorgang). Zur Überprüfung der Integrität der gespeicherten Daten wird vor dem Abspeichervorgang aus den Daten ein Prüfwert errechnet und dieser wird zusammen mit den Daten im Speicher abgelegt. Nach dem Einlesevorgang wird aus den eingelesenen Daten der Prüfwert neu berechnet und ein Vergleich dieses Prüfwerts mit dem beim Einlesevorgang aus dem Speicher übertragenen Prüfwert durchgeführt. Sind die beiden Prüfwerte nicht identisch, ist bei der Speicherung ein Fehler aufgetreten.
Hierbei kann man zwei Fehlerarten unterscheiden: Softwarefehler, bei denen der Arbeitsspeicher während des Speichervorgangs durch fehlerhafte Schreibzugriffe verändert wird, und Hardwarefehler, bei denen der Speichervorgang unvollständig durchgeführt wird. Anhand des oben beschriebenen Verfahrens mit Abspeicherung eines einzelnen Prüfwerts ist es nicht möglich, zwischen diesen beiden Fehlerarten zu unterscheiden.
Aus der DE 198 02 728 A1 ist ein Verfahren zur Überwachung von Maschinenparametern bekannt, wobei in einem Einrichtbetrieb zunächst Maschinenparameter in einem permanenten Speicher gespeichert werden. Anschließend wird eine Prüfsumme von einem ersten Prozessor und darauf folgend von einem zweiten Prozessor berechnet, wobei der zweite Prozessor die erste berechnete Prüfsumme mit der zweiten berechneten Prüfsumme vergleicht. Aus dem Ergebnis wird dann abgeleitet, ob ein Fehler vorliegt.
DE 103 16 951 A1 zeigt ein Verfahren zur Überprüfung der Datenintegrität von Software in Steuergeräten eines Kraftfahrzeugs. Dabei wird ein Anwendungsprogramm in einen Pufferspeicher geladen und es werden mehrere Prüfsummen berechnet, wobei die Prüfsummen ein zyklisches Blocksicherungsverfahren zur Überprüfung auf Übertragungsfehler und eine Hash-Wertberechnung zur Überprüfung des Anwendungsprogramms auf Authentizität betreffen.
Aufgabe dieser Erfindung ist es, ein Verfahren zur Unterscheidung der beiden genannten Fehlerarten vorzuschlagen.
Diese Aufgabe wird erfindungsgemäß gelöst durch ein Verfahren wie in Anspruch 1 definiert.
Die Erfindung geht dabei von der Idee aus, dass derselbe Prüfwert mindestens zweimal mit den zuspeichernden Daten im Speicher abgelegt wird.
Unter Prüfwert ist in Verallgemeinerung eine aus den grundlegenden Komponenten, insbesondere Bits oder Bytes, der zu speichernden Daten durch beliebige Rechenoperationen bestimmte Größe zu verstehen, die auch mehrere Werte umfassen kann.
Insbesondere kann der Prüfwert zumindest am Anfang und am Ende des für die Datenspeicherung verwendeten Speicherbereichs abgelegt werden. Da der Speichervorgang vom Arbeitsspeicher in den nichtflüchtigen Speicher sequentiell verläuft, ist es gewährleistet, dass die Prüfwerte zeitlich versetzt, und damit über den Schreibprozess verteilt, in den Speicher geschrieben werden.
Wird der Speichervorgang durch Hardwarefehler unterbrochen, sind die zuerst geschriebenen Prüfwerte nicht identisch mit den späteren Prüfwerten. Wird der Speichervorgang durch Softwarefehler gestört, sind die gespeicherten Prüfwerte alle identisch. Dadurch ist nach dem erfindungsgemäßen Verfahren eine Unterscheidung der beiden Fehlerarten möglich.
Gemäß dem erfindungsgemäßen Verfahren ist es weiterhin bevorzugt, dass Fehleridentifikationsmaßnahmen, z. B. das Abspeichern eines Fehlercodes zur Identifikation der Fehlerart, eingeleitet werden.
Der mit der Erfindung erzielte Vorteil liegt in der Analyse eines bei der Datenspeicherung auftretenden Fehlers. Dies ermöglicht eine schnellere Fehlersuche und damit eine Reduktion der Kosten bei der Fehlerbehebung.
Das erfindungsgemäße Verfahren ist in allen Steuergeräten in Kraftfahrzeugen, z. B. in Steuergeräten für Bremsanlagen, anwendbar.
Weitere bevorzugte Ausführungsformen ergeben sich aus den Unteransprüchen und der nachfolgenden Beschreibung eines Ausführungsbeispiels an Hand einer Figur.
1 zeigt eine schematische Darstellung der für die Ausführung des erfindungsgemäßen Verfahrens relevanten Teile eines elektronischen ABS-Steuergeräts. Der Mikrocontroller 1 mit Arbeitsspeicher steht über einen Datenbus 3 mit einem nichtflüchtigen Speicher 2 in Verbindung. In diesem Speicher 2 speichert das Steuergerät seine Betriebsdaten, die beim Abstellen des Fahrzeugs nicht verloren gehen dürfen. Zu diesem Zweck wird das Steuergerät z. B. mit der Information über den Zustand des Zündschlosses des Kraftfahrzeugs versorgt. Wird anhand dieser oder weiterer Informationen erkannt, dass das Kraftfahrzeug abgestellt wird, wird das Steuergerät seine Betriebsdaten in den Speicher 2 übertragen (Abspeichervorgang), bevor es sich vom Bordspannungsnetz trennt. Beim Neustart des Kraftfahrzeugs wird das Steuergerät über geeignete Maßnahmen wieder eingeschaltet. Während des Einschaltvorgangs werden die Daten aus dem nichtflüchtigen Speicher 2 in den Arbeitsspeicher des Mikrocontrollers 1 übertragen (Einlesevorgang).
Um die Integrität der Betriebsdaten zu überprüfen, wird beim Abspeichervorgang vor der Datenübertragung vom Mikrocontroller 1 in den Speicher 2 ein Prüfwert aus den Betriebsdaten berechnet. Beispielgemäß wird der Prüfwert am Anfang, im Speicherbereich 4 und am Ende, im Speicherbereich 6 des für die Betriebsdatenspeicherung verwendeten Speicherbereichs 5 abgelegt. Beim Einlesevorgang werden die Betriebsdaten und die beiden abgelegten Prüfwerte in den Arbeitsspeicher des Mikrocontrollers 1 übertragen. Dann wird im Mikrocontroller 1 der Prüfwert aus den eingelesenen Betriebsdaten neu berechnet. Stimmt dieser neuberechnete Prüfwert nicht mit beiden aus dem Speicher 2 übertragenen Prüfwerten überein, wird ein Fehler bei den abgespeicherten Betriebsdaten erkannt. Dann werden im Steuergerät verschiedene Maßnahmen eingeleitet, wie z. B. das Abspeichern eines Fehlercodes, die (Teil-)Stilllegung bestimmter Steuergerätfunktionen, das Ansteuern von Warnlampen oder Anzeigen an den Fahrer und an andere elektronische Steuergeräte im Fahrzeug.
Da das Abspeichern der Daten im Speicher 2 eine gewisse Zeit benötigt, die unter anderem von der Größe des verwendeten Speicherbereichs abhängt, kann ein fehlerhafter Prüfwert verschiedene Ursachen haben: Durch fehlerbehaftete Schreibzugriffe der Software hat sich der Arbeitsspeicher während des Speichervorgangs verändert (Softwarefehler) oder der Speichervorgang wurde unvollständig ausgeführt, z. B. bedingt durch Einbruch der Bordnetzspannung oder andere Hardwarefehler. Eine Unterscheidung dieser beiden Fehlerarten ist sehr wünschenswert, da in Abhängigkeit von der Fehlerursache unterschiedliche Maßnahmen eingeleitet werden sollen.
Durch Vergleich der beispielgemäß in den Speicherbereichen 4 und 6 abgelegten Prüfwerte können die beiden genannten Fehlerarten unterschieden werden. Tritt kein Fehler beim Speichern auf, sollten die beiden Prüfwerte immer gleich sein, da sie mit demselben Algorithmus vor Beginn des eigentlichen Speichervorgangs berechnet wurden. Der Prüfwert im Speicherbereich 6 ist also eine Kopie des Prüfwerts im Speicherbereich 4. Da der Abspeichervorgang vom Arbeitsspeicher in den Speicher 2 sequentiell verläuft, also von vorne nach hinten oder umgekehrt, ist gewährleistet, dass während des Abspeichervorgangs zuerst der Prüfwert, dann die Betriebsdaten und zuletzt die Kopie des Prüfwerts geschrieben wird. Wird durch Hardwarefehler (z. B. Spannungseinbruch) der Speichervorgang unterbrochen, wird sich der hintere Prüfwert im Speicherbereich 6 von dem vorderen Prüfwert im Speicherbereich 4 unterscheiden. Wird durch Softwarefehler der Speichervorgang gestört, werden sich die beiden abgelegten Prüfwerte in den Speicherbereichen 4 und 6 jedoch nicht unterscheiden. Somit ist es möglich, Hardware- von Softwarefehlern zu unterscheiden. Es können dann zur Fehleridentifikation Maßnahmen eingeleitet werden. Z. B. können unterschiedliche Fehlercodes abgespeichert werden oder Hinweise auf die Fehlerursache (z. B. Kraftfahrzeug-Batterie schwach) können gezielt dem Fahrer oder dem Werkstattpersonal zur Verfügung gestellt werden. Dies führt zu Kosteneinsparungen, da sich die Fehlersuche verkürzt.

Claims

Verfahren, bei dem eine Überprüfung der Datenintegrität bei der Speicherung von Daten in Speichern in elektronischen Steuergeräten in Kraftfahrzeugen vorgenommen wird, und bei welchem beim Abspeichervorgang vor der Übertragung der Daten aus dem Arbeitsspeicher des Steuergeräts in den Speicher ein Prüfwert aus den Daten errechnet wird, welcher zusammen mit den Daten abgespeichert wird, wobei der berechnete Prüfwert mindestens zweimal abgelegt wird, und der Prüfwert zumindest am Anfang und am Ende des verwendeten Speicherbereichs abgelegt wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der Speicher ein nichtflüchtiger Speicher, wie insbesondere ROM, EPROM oder EEPROM, ist.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass eine Fehleranalyse durchgeführt wird.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass zur Analyse eines beim Speichern aufgetretenen Fehlers die im Speicher vorhandenen Werte des mindestens zweimal abgelegten Prüfwerts verglichen werden.
Verfahren nach Anspruch 3 oder 4, dadurch gekennzeichnet, dass nach der Fehleranalyse Fehleridentifikationsmaßnahmen eingeleitet werden.
Elektronisches Kraftfahrzeugsteuergerät, welches zumindest eine Recheneinheit und zumindest einen Speicher umfasst, dadurch gekennzeichnet, dass dieses ein Verfahren gemäß den Ansprüchen 1 bis 5 umfasst.