DE102005057066B4

DE102005057066B4 - Dualprozessoraufsichtssteuersystem für ein Fahrzeug

Info

Publication number: DE102005057066B4
Application number: DE102005057066.6A
Authority: DE
Inventors: Thomas M. Forest; Kerfegar K. Katrak
Original assignee: Motors Liquidation Co
Current assignee: Motors Liquidation Co
Priority date: 2004-12-15
Filing date: 2005-11-30
Publication date: 2021-03-04
Anticipated expiration: 2025-12-01
Also published as: DE102005057066A1; US20060126256A1; CN1790201A; US7467029B2; CN1790201B

Abstract

Fahrzeugsteuersystem, das umfasst:eine Aktuatoreinheit (20, 22, 24, 64, 66, 68); undein Fahrzeugsteuermodul (30, 50) zum Steuern der Aktuatoreinheit (20, 22, 24, 64, 66, 68) in Ansprechen auf eine Eingabe, wobei das Fahrzeugsteuermodul umfasst:einen ersten Prozessor (32, 48, 52), der ausgebildet ist, um:einen ersten Wert auf der Grundlage der Eingabe zu erzeugen;den ersten Wert zu der Aktuatoreinheit zu übertragen; undeinen zweiten Wert von der Aktuatoreinheit zu empfangen, der auf der Grundlage des ersten Wertes erzeugt wird, der durch die Aktuatoreinheit von dem ersten Prozessor empfangen wird;eine erste Kommunikationsverbindung (38, 46, 58), die mit dem ersten Prozessor gekoppelt ist; undeinen zweiten Prozessor (36, 44, 56), der mit dem ersten Prozessor über die erste Kommunikationsverbindung gekoppelt ist, wobei die erste Kommunikationsverbindung ausgebildet ist, um die Eingabe und den zweiten Wert zu dem zweiten Prozessor zu transferieren, wobei der zweite Prozessor ausgebildet ist, um:einen dritten Wert auf der Grundlage der Eingabe zu bestimmen; undden ersten Wert auf der Grundlage eines Vergleichs des zweiten Werts mit dem dritten Wert zu verifizieren.

Description

Die vorliegende Erfindung betrifft im Allgemeinen Steuersysteme in einem Kraftfahrzeug und betrifft spezieller eine Dualprozessorsteuerung von Fahrzeugsystemen. Aus der US 6,243,629 B1 , WO 01/45982 A2 , WO 97/06487 A1 und US 6,775,609 B2 sind Fahrzeugsteuersysteme bekannt, die eine Aktuatoreinheit und ein Fahrzeugsteuermodul umfassen. Aus der US 5,526,264 A ist ein Fahrzeugsteuersystem bekannt, das zwei Prozessoren umfasst, denen jeweils mehrere eigene Aktuatoren zugeordnet sind. Die beiden Prozessoren empfangen dieselben Eingabesignale, berechnen hieraus jeweils ein Steuersignal, und übermitteln das jeweilige Steuersignal an die jeweils zugeordneten Aktuatoren. Darüber hinaus sind die Prozessoren jeweils dazu ausgebildet, das berechnete Steuersignal für die jeweiligen eigenen Aktuatoren mit dem von dem anderen Prozessor an dessen zugeordnete Aktuatoren übermittelten Steuersignal zu vergleichen.
Während eines Betriebs eines Fahrzeugs steht eine Vielzahl von Steuermodulen mit verschiedenen Aktuatoren in Wechselwirkung. Verteilte Steuer- /Aktuatorsysteme verwenden im Allgemeinen eine Kommunikationsverbindung, um Steuerinformationen von einem Modul an einen Aktuator zu übermitteln. Zum Beispiel bestimmt das Modul typischerweise Steuerbefehle, die zugehörige Befehlsfunktionalitäten aufweisen, auf der Grundlage von verschiedenen Fahrzeugeingängen/ -ausgängen und Verarbeitungsalgorithmen. Das Modul überträgt die Steuerbefehle über die Kommunikationsverbindung zu dem Aktuator, und der Aktuator führt auf ein Empfangen der Steuerbefehle hin die Befehlsfunktionalitäten aus.
Einige Fahrzeugsysteme können von redundanten Verarbeitungselementen Gebrauch machen, um einen Betrieb von diesen zu verifizieren, wie beispielsweise ein Verifizieren von Steuerbefehlen, die von einem Modul übertragen werden. Wenn Befehlsinformationen, die durch ein Modul übertragen werden, verifiziert werden, greifen redundante Verarbeitungselemente im Allgemeinen auf die tatsächlichen Befehlsinformationen zu, die auf der Kommunikationsverbindung gesendet werden. Einige Steuermodularchitekturen verhindern jedoch, dass redundante Verarbeitungselemente einen direkten Zugriff auf die Kommunikationsverbindung haben, die zum Übermitteln der Befehlsfunktionalitäten verwendet wird. Bei diesen Architekturen ist es im Allgemeinen für die redundanten Verarbeitungselemente schwierig, Befehlsfunktionalitätenrichtig zu beaufsichtigen.
Eine herkömmliche Aufsichtssteuertechnik vergleicht Ergebnisse, die von einer Hauptverarbeitungseinheit erzeugt werden, mit einer redundanten Verarbeitungseinheit. Z.B. erzeugt die Hauptverarbeitungseinheit während eines Betriebs ein Ergebnis, und das redundante Verarbeitungselement versucht, ein identisches zu erzeugen, das zu dem Ergebnis der Hauptverarbeitungseinheit redundant ist. Unterschiede zwischen den Ergebnissen können ein Problem bei einer der Verarbeitungseinheiten anzeigen. Alternativ kann die redundante Verarbeitungseinheit eine Berechnung ausführen, die eine obere und eine untere Grenze zum Vergleich mit den durch die Hauptverarbeitungseinheit erzeugten Ergebnissen bestimmt. Diese Techniken basieren im Allgemeinen auf Vergleichen, die durch die redundante Verarbeitungseinheit mit der tatsächlichen Kommunikation von der Hauptverarbeitungseinheit zu einer beabsichtigten Aktuatorsteuereinheit durchgeführt werden.
Demgemäß ist es erwünscht, ein Fahrzeugsteuersystem bereitzustellen, das auf der Grundlage einer tatsächlichen Kommunikation von einem Steuermodul zu einer Aktuatoreinheit Steuerbefehle verifiziert. Es ist des Weiteren erwünscht, ein Fahrzeugsteuersystem bereitzustellen, das ein Dualprozessorsteuermodul zur Schnittstellenverbindung mit einer Fahrzeugaktuatoreinheit aufweist, und das Ausgabesteuerbefehle auf der Grundlage von Daten, die durch die Fahrzeugaktuatoreinheit von dem Steuermodul empfangen werden, beaufsichtigt. Schließlich werden andere erwünschte Merkmale und Eigenschaften der vorliegenden Erfindung aus der nachfolgenden detaillierten Beschreibung und den beigefügten Ansprüchen in Verbindung mit den begleitenden Zeichnungen und dem vorangehenden technischen Gebiet und dem Hintergrund ersichtlich.
Es ist ein Fahrzeugsteuersystem vorgesehen, um eine oder mehrere Aktuatoreinheiten zu steuern. In einer beispielhaften Ausführungsform umfasst ein Fahrzeugsteuermodul zum Steuern einer Aktuatoreinheit in Ansprechen auf eine Eingabe einen ersten Prozessor, eine erste Kommunikationsverbindung, die mit dem ersten Prozessor gekoppelt ist, und einen zweiten Prozessor, der mit dem ersten Prozessor über die erste Kommunikationsverbindung gekoppelt ist, aber ist nicht auf diese beschränkt. Der erste Prozessor ist ausgebildet, um auf der Grundlage der Eingabe einen ersten Wert zu erzeugen, den ersten Wert zu der Aktuatoreinheit zu übertragen, und einen zweiten Wert von der Aktuatoreinheit auf der Grundlage von Daten zu empfangen, die durch die Aktuatoreinheit von dem ersten Prozessor empfangen werden. Die erste Kommunikationsverbindung ist ausgebildet, um die Eingabe und den zweiten Wert zu dem zweiten Prozessor zu transferieren. Der zweite Prozessor ist ausgebildet, um einen dritten Wert auf der Grundlage der Eingabe zu bestimmen, und den ersten Wert auf der Grundlage eines Vergleichs des zweiten Werts mit dem dritten Wert zu verifizieren.
In einer weiteren beispielhaften Ausführungsform umfasst ein Fahrzeugsteuersystem eine Aktuatoreinheit, eine erste Kommunikationsverbindung, die mit der Aktuatoreinheit gekoppelt ist, einen ersten Prozessor, der über die erste Kommunikationsverbindung mit der Aktuatoreinheit gekoppelt ist, eine zweite Kommunikationsverbindung, die mit dem ersten Prozessor gekoppelt ist, und einen zweiten Prozessor, der mit dem ersten Prozessor über die zweite Kommunikationsverbindung gekoppelt ist, aber ist nicht auf diese beschränkt. Der erste Prozessor ist ausgebildet, um auf der Grundlage einer Systemeingabe einen ersten Wert zu erzeugen. Der erste Wert entspricht einer ersten Betriebsart des Fahrzeugsteuersystems. Die Aktuatoreinheit ist ausgebildet, um einen zweiten Wert auf der Grundlage des ersten Wertes, den die Aktuatoreinheit von dem ersten Prozessor empfängt, zu erzeugen. Der zweite Wert umfasst eine Signatur, aber ist nicht auf diese beschränkt. Der zweite Prozessor ist ausgebildet, um auf der Grundlage der Systemeingabe einen dritten Wert zu bestimmen, und den ersten Wert auf der Grundlage eines Vergleichs des zweiten Werts mit dem dritten Wert zu verifizieren.
In wieder einer anderen beispielhaften Ausführungsform umfasst ein Fahrzeugsteuersystem eine Aktuatoreinheit, eine erste Kommunikationsverbindung, die mit der Aktuatoreinheit gekoppelt ist, und einen Prozessor, der mit der Aktuatoreinheit über die erste Kommunikationsverbindung gekoppelt ist, aber ist nicht auf diese beschränkt. Der Prozessor umfasst einen ersten Steuerpfad, der ausgebildet ist, um einen ersten Wert auf der Grundlage einer Systemeingabe zu erzeugen, eine zweite Kommunikationsverbindung, die mit dem ersten Steuerpfad gekoppelt ist, und einen zweiten Steuerpfad, der mit dem ersten Steuerpfad über die zweite Kommunikationsverbindung gekoppelt ist, aber ist nicht auf diese beschränkt. Der erste Wert entspricht einer ersten Betriebsart des Fahrzeugsteuersystems. Die Aktuatoreinheit ist ausgebildet, um auf der Grundlage des ersten Wertes, den die Aktuatoreinheit von dem ersten Steuerpfad empfängt, einen zweiten Wert zu erzeugen. Der zweite Wert umfasst eine Signatur, aber ist nicht auf diese beschränkt. Der zweite Steuerpfad ist ausgebildet, um über die zweite Kommunikationsverbindung mit dem ersten Steuerpfad zu kommunizieren. Der zweite Steuerpfad ist ausgebildet, um einen dritten Wert auf der Grundlage der Eingabe zu bestimmen, und den ersten Wert auf der Grundlage eines Vergleichs des zweiten Werts mit dem dritten Wert zu verifizieren.
Die Erfindung wird im Folgenden beispielhaft anhand der Zeichnung beschrieben; in dieser zeigt:

1 ein Blockdiagramm einer beispielhaften Ausführungsform eines Fahrzeugsteuersystems; und
2 ein Blockdiagramm einer beispielhaften Ausführungsform eines Dualprozessorsteuermoduls; und
3 ein Blockdiagramm einer weiteren beispielhaften Ausführungsform eines Dualprozessorsteuermoduls.

Die folgende detaillierte Beschreibung ist lediglich exemplarischer Natur und beabsichtigt nicht, die Erfindung oder die Anwendung und Verwendung der Erfindung zu beschränken. Des Weiteren besteht keine Absicht, durch irgendeine beschriebene oder implizierte Theorie, die in dem vorhergehenden technischen Gebiet, dem Hintergrund, der Kurzzusammenfassung oder der folgenden detaillierten Beschreibung dargestellt ist, gebunden zu sein.
1 ist ein Blockdiagramm einer beispielhaften Ausführungsform eines Steuersystems 12 in einem Fahrzeug 10. Das Steuersystem 12 ist über ein Fahrzeugkommunikationsnetzwerk 18 mit einer elektrischen Infrastruktur 26 des Fahrzeugs verbunden und umfasst ein Steuermodul 14, das über das Fahrzeugkommunikationsnetzwerk 18 mit einer oder mehreren Aktuatorsteuereinheiten 20, 22, 24 verbunden ist, aber ist nicht auf dieses beschränkt. Das Steuermodul 14 empfängt indirekt verschiedene Fahrzeugbetriebseingaben/-ausgaben 17 über das Fahrzeugkommunikationsnetzwerk 18, wie beispielsweise von einer Vielzahl an anderen Systemen und Steuermodulen der elektrischen Infrastruktur 26 des Fahrzeugs, oder empfängt direkt Fahrzeugeingaben 16 wie beispielsweise von Fahrzeugsensoren, die mit dem Steuermodul 14 verbunden sind.
Die vorliegende Erfindung kann in Bezug auf Funktionsblöcke beschrieben werden. Es sei angemerkt, dass solche Funktionsblöcke in vielen verschiedenen Formen von Hardware-, Firmware- und/oder Softwarekomponenten realisiert sein können, die ausgebildet sind, um die verschiedenen Funktionen auszuführen. Z.B. kann die vorliegende Erfindung verschiedene Komponenten mit integriertem Schaltkreis z.B. Speicherelemente, Elemente für eine digitale Signalverarbeitung, Nachschlagtabellen und dergleichen einsetzen, um eine Vielzahl an Funktionen unter der Steuerung von einem oder mehreren Mikroprozessoren oder anderen Steuereinrichtungen durchzuführen. Solche allgemeinen Techniken sind Fachleuten bekannt und werden hierin nicht detailliert beschrieben.
Die elektrische Infrastruktur 26 des Fahrzeugs kann verschiedene Systeme und/oder Untersysteme auf dem Fahrzeug 10 umfassen, die beispielsweise eine Fahrzeugschnittstelle zu einem Menschen, ein Batterieenergieverwaltungssystem, ein Motorverwaltungssystem, ein Getriebeverwaltungssystem, ein Karosseriesteuermodul und Fahrzeuguntersysteme wie beispielsweise ein Antiblockiersystem (ABS von Antilock Brake System) und ein Allrad-(AWD von All- WheeI Drive-)System umfassen, aber nicht auf diese beschränkt sind. Das Fahrzeugsteuersystem 12 kommuniziert über das Fahrzeugkommunikationsnetzwerk 18, das z.B. ein Controller Area Network (CAN) umfasst, aber nicht auf dieses beschränkt ist, um Informationen zu und von verschiedenen Fahrzeugsystemen und Untersystemen der elektrischen Infrastruktur 26 des Fahrzeugs zu transferieren.
Das Steuermodul 14 erzeugt Steuerbefehle zur Übertragung zu den Aktuatorsteuereinheiten 20, 22, 24 in Ansprechen auf die Fahrzeugbetriebseingaben 16, ein Betriebsprogramm oder eine Kombination aus diesen. In einer beispielhaften Ausführungsform umfasst das Steuermodul 14 Eingänge und Ausgänge, die mit dem Fahrzeugkommunikationsnetzwerk 18 verbunden sind und eine Vielzahl an Fahrzeugdaten von der elektrischen Infrastruktur 26 des Fahrzeugs oder von verschiedenen Sensoren empfangen. In Abhängigkeit von einem gewünschten Betriebsablauf, der mit dem Steuermodul 14 in Verbindung steht, überträgt das Steuermodul 14 Befehle zu den Aktuatoren 20, 22, 24. Das Steuermodul 14 umfasst zusätzlich einen Speicher, der Betriebsalgorithmen zum Steuern der Aktuatoreinheiten 20, 22, 24 umfasst.
2 ist ein Blockdiagramm einer beispielhaften Ausführungsform eines Dualprozessorsteuermoduls 30, wie beispielsweise das Steuermodul 14, das in 1 gezeigt ist. Das Steuermodul 30 umfasst einen primären Prozessor 48 mit einem direktem Zugriff auf eine oder mehrere Fahrzeugsystemkommunikationsverbindungen 34, wie beispielsweise über die elektrische Infrastruktur 26 des Fahrzeugs oder das Fahrzeugkommunikationsnetzwerk 18, das in 1 gezeigt ist, und einen sekundären Prozessor 36, der mit dem primären Prozessor 48 durch eine lokale Kommunikationsverbindung 46 wie beispielsweise eine serielle periphere Schnittstelle (SPI von serial peripheral interface) verbunden ist, aber ist nicht auf diese beschränkt. Die lokale Kommunikationsverbindung 38 transferiert Informationen wie beispielsweise die Eingabedaten, die durch den primären Prozessor 48 empfangen werden, zwischen dem primären Prozessor 48 und dem sekundären Prozessor 36.
In einer beispielhaften Ausführungsform umfasst der primäre Prozessor 48 einen primären Steuerpfad 32, der verschiedene Befehlswerte für eine Aktuatorsteuerung auf der Grundlage von verschiedenen Eingaben/Ausgaben von verschiedenen Fahrzeugsystemen, Untersystemen, Sensoren und zugehörigen Algorithmen berechnet. Die Befehle werden entlang der Fahrzeugkommunikationsverbindung 34 zu den Aktuatorsteuereinheiten 20, 22, 24 übertragen.
Jede Aktuatorsteuereinheit 20, 22, 24, die Daten von dem primären Prozessor 48 empfängt, erzeugt eine Nachricht, die zur Verifikation von Steuerbefehlen zu dem primären Prozessor 48 übertragen wird. In einer beispielhaften Ausführungsform umfasst die Nachricht eine Signatur, die eine Funktion der Daten (d.h. Befehlswerte) ist, die durch die Aktuatorsteuereinheit 20, 22, 24 empfangen werden, aber ist nicht auf diese beschränkt. Durch Übertragung der Nachricht zu dem primären Prozessor 48 führt eine Modifikation der Daten, wenn sie durch die Aktuatorsteuereinheit 20, 22, 24 übertragen werden, zu einer falschen Signatur. In einer anderen beispielhaften Ausführungsform umfasst die Nachricht zusätzlich eine Kopie der Daten, die durch die Aktuatorsteuereinheit 20, 22, 24 empfangen werden, die zur Verifikation des Steuerbefehls verwendet wird, der durch den primären Prozessor 48 übertragen wird, wie es hierin nachfolgend ausführlicher beschrieben ist.
Die Signatur wird unter Verwendung einer Technik erzeugt, die für den primären Prozessor 48 unzugänglich ist, um das Auftreten einer Beeinflussung durch den primären Prozessor 48 mit der Nachricht, die durch die Aktuatorsteuereinheiten 20, 22, 24 erzeugt wird, zu minimieren. Z.B. kann die Signatur durch die Aktuatorsteuereinheiten 20, 22, 24 mit einem Cyclic Redundancy Code (CRC) unter Verwendung eines Generatorpolynoms, das dem primären Prozessor 48 unbekannt ist, einem Message Authentication Code (MAC) auf der Grundlage eines Schlüssels, der dem primären Prozessor 48 unbekannt ist, einer digitalen Signatur oder dergleichen erzeugt werden. Die Nachrichten, die durch die Aktuatorsteuereinheiten 20, 22, 24 erzeugt werden, werden anschließend ohne Modifikation durch den primären Prozessor 48 über die lokale Kommunikationsverbindung 38 zu dem sekundären Prozessor 36 weitergeleitet.
In einer beispielhaften Ausführungsform der Verifikation leitet der primäre Prozessor 48 die Eingabedaten, die durch den primären Prozessor 48 zum Erzeugen der Steuerbefehle verwendet werden, an den sekundären Prozessor 36 weiter, wie es zuvor hierin erwähnt wurde. Der sekundäre Prozessor 36 erzeugt Befehlswerte unter Verwendung der Eingabedaten, und vergleicht solche Befehlswerte mit der Signatur, die in den Nachrichten von den Aktuatorsteuereinheiten 20, 22, 24 enthalten ist. Eine passende Signatur impliziert, dass der sekundäre Prozessor 36 eine im Wesentlichen unmodifizierte Kopie der Nachricht, die ursprünglich durch die Aktuatorsteuereinheit 20, 22, 24 gesendet wurde, aufweist.
In einer weiteren beispielhaften Ausführungsform umfasst die Nachricht von der Aktuatorsteuereinheit 20, 22, 24 zusätzlich die Kopie der Daten, die durch die Aktuatorsteuereinheit 20, 22, 24 von dem primären Prozessor 48 empfangen werden. Der sekundäre Prozessor 36 vergleicht die berechneten Befehlswerte mit den Daten in den Nachrichten von der Aktuatorsteuereinheit 20, 22, 24, die wiederum die Befehlsdaten sind, die tatsächlich durch den primären Prozessor 48 gesendet werden. Eine Abweichung bei dem Vergleich gibt eine gescheiterte Verifikation an. Alternativ kann der sekundäre Prozessor 36 einen Wertebereich auf der Grundlage der Eingabedaten, die von dem primären Prozessor 48 empfangen werden, zum Vergleich mit den Daten in den Nachrichten von der Aktuatorsteuereinheit 20, 22, 24 berechnen. Eine gescheiterte Verifikation ergibt sich, wenn die Daten in den Nachrichten außerhalb des Wertebereichs liegen.
In einer weiteren beispielhaften Ausführungsform weist das Steuermodul 30 unabhängige duale Rechen-/Speichersteuerpfade 32, 44 in dem primären Prozessor 48 zum Verifizieren von Steuerbefehlen auf. In dieser beispielhaften Ausführungsform ist ein primärer Steuerpfad 32 mit einem redundanten Steuerpfad 44 über eine lokale Kommunikationsverbindung 46 verbunden. Zusätzlich ist der primäre Steuerpfad 32 mit dem sekundären Prozessor 36 über die lokale Kommunikationsverbindung 38 verbunden, und der redundante Steuerpfad 44 ist mit dem sekundären Prozessor 36 über eine andere lokale Kommunikationsverbindung 39 verbunden. In dieser beispielhaften Ausführungsform ist der redundante Steuerpfad 44 ein zusätzliches Verarbeitungselement, das mit dem sekundären Prozessor 36 verbunden ist. Der primäre Steuerpfad 32 übermittelt die Eingabedaten zum Berechnen von Befehlswerten, wie sie beispielsweise durch den primären Prozessor 48 von verschiedenen Fahrzeugeingaben 16 empfangen werden, zu dem redundanten Steuerpfad 44, und der redundante Steuerpfad 44 erzeugt Befehlswerte aus den Eingabedaten. Die Verwendung von unabhängigen dualen Rechen-/Speichersteuerpfaden 32, 44 weist im Allgemeinen den Vorteil von schnelleren Verarbeitungsraten auf und ist für Steueranwendungen geeignet, die auf Datenverarbeitungsdaten empfindlich sind.
In einer beispielhaften Ausführungsform, die die dualen Rechen-/Speichersteuerpfade 32, 44 umfasst, werden die Nachrichten, die durch die Aktuatorsteuereinheiten 20, 22, 24 erzeugt werden, ohne Modifikation von dem primären Steuerpfad 32 zu dem redundanten Steuerpfad 44 über die lokale Kommunikationsverbindung 46 weitergeleitet. Der redundante Steuerpfad 44 verifiziert auf eine Art und Weise, die im Wesentlichen einen ähnlichen Betriebsablauf wie der sekundäre Prozessor 36 aufweist, wie es zuvor erwähnt wurde, ob die Daten, die in den Nachrichten von den Aktuatorsteuereinheiten 20, 22, 24 enthalten sind, zu den entsprechenden Signaturen passen.
Um die Befehlswerte zu verifizieren, die durch den primären Prozessor 48 übertragen werden, berechnet der redundante Steuerpfad 44 Befehlswerte auf der Grundlage der Eingabedaten, die von dem primären Prozessor 48 empfangen werden, und vergleicht die berechneten Befehlswerte mit der Signatur, die in den Nachrichten enthalten ist, und optional mit den kopierten Daten in den Nachrichten von den Aktuatorsteuereinheiten 20, 22, 24, wie es durch das Nachrichtenformat bestimmt ist (d.h. Signatur mit oder ohne kopierten Daten). Eine Abweichung bei dem Vergleich gibt eine gescheiterte Verifikation an. Alternativ kann der duale Rechen- / Speichersteuerpfad 44 einen Wertebereich auf der Grundlage der Eingabedaten, die von dem primären Steuerpfad 32 empfangen werden, zum Vergleich mit den Daten in den Nachrichten von den Aktuatorsteuereinheiten 20, 22, 24 berechnen. Eine gescheiterte Verifikation ergibt sich, wenn die Daten in den Nachrichten außerhalb des Wertebereichs liegen. Wenn der redundante Steuerpfad 44 eine gescheiterte Verifikation bestimmt, gibt der redundante Steuerpfad 44 dem sekundären Prozessor 36 dieses, beispielsweise eine Fehlersignalübertragung über die lokale Kommunikationsverbindung 38 an.
Wenn der sekundäre Prozessor 36 bestimmt, dass eine gescheiterte Verifikation aufgetreten ist, schaltet der sekundäre Prozessor das Fahrzeugsteuersystem 12 (1) in eine sichere Betriebsart um. In einer beispielhaften Ausführungsform einer sicheren Betriebsart sperrt der sekundäre Prozessor 36 den primären Prozessor 48 unter einer oder mehreren der folgenden Bedingungen oder setzt ihn unter einer oder mehreren der folgenden Bedingungen zurück: wenn keine Daten durch den sekundären Prozessor 36 von dem primären Prozessor 48 für eine vorbestimmte Zeitdauer empfangen werden; wenn keine Daten durch den redundanten Steuerpfad 44 von dem primären Steuerpfad 32 für eine vorbestimmte Zeitdauer empfangen werden; wenn die Daten, die in der Nachricht von den Aktuatorsteuereinheiten 20, 22, 24 enthalten sind, nicht zu der entsprechenden Signatur passen; wenn die Daten, die in der Nachricht von den Aktuatorsteuereinheiten 20, 22, 24 enthalten sind, den Wertebereich übersteigen; wenn die Signatur nicht zu den Befehlswerten passt, die durch den sekundären Prozessor 36 berechnet werden; und wenn eine Anfrage von dem redundanten Steuerpfad 44 empfangen wird. Die vorbestimmte Zeitdauer kann auf der Grundlage einer erwarteten Antwortzeit für Datenübertragungen ausgewählt werden.
Es können andere Techniken verwendet werden, um den primären Prozessor 48 zu sperren/zurückzusetzen, wie beispielsweise ein Fahrzeuguntersystem 40, das zwischen dem sekundären Prozessor 36 und dem primären Prozessor 48 gekoppelt ist, und ein Rücksetz- oder Sperrsignal an den primären Prozessor 48 für eine Zeitdauer, die für die Aktuatorsteuereinheiten 20, 22, 24 ausreicht, um eine Abhilfe zu schaffen, überträgt. Zusätzlich können andere Techniken verwendet werden, um die Betriebsart des Fahrzeugsteuersystems 12 (1) in eine sichere Betriebsart umzuschalten, ohne den primären Prozessor 48 zu sperren oder zurückzusetzen.
3 ist eine weitere beispielhafte Ausführungsform eines Dualprozessorsteuermoduls 50. Das Steuermodul 50 umfasst einen primären Prozessor 52, der mit Aktuatorsteuereinheiten 64, 66, 68 verbunden ist, so wie der primäre Prozessor 30 mit den Aktuatorsteuereinheiten 20, 22, 24 verbunden ist, die in 2 gezeigt sind, aber ist nicht auf diesen beschränkt. Der primäre Prozessor 52 verwendet unabhängige duale Rechen-/Speichersteuerpfade 54, 56, die über die lokale Kommunikationsverbindung 58 verbunden sind, so wie der primäre Steuerpfad 32 mit dem redundanten Steuerpfad 44 über die lokale Kommunikationsverbindung 46 verbunden ist, die in 2 gezeigt ist. Der redundante Steuerpfad 56 ist mit einem Rücksetz-/Sperruntersystem 60 verbunden, das mit dem primären Prozessor 52 verbunden ist. In dieser beispielhaften Ausführungsform verifiziert der primäre Prozessor 52 intern Befehlswerte und schaltet eine Betriebsart des Fahrzeugsteuersystems 12 (1) in Ansprechen auf gescheiterte Verifikationen durch das Rücksetz-/ Sperruntersystem 60 in die sichere Betriebsart um. Obwohl die sichere Betriebsart als eine Rücksetz-/Sperrfunktion beschrieben ist, kann die Betriebsart des Fahrzeugsteuersystems 12 (1) unter Verwendung verschiedener anderer Techniken in die sichere Betriebsart umgeschaltet werden.
In dieser beispielhaften Ausführungsform signalisiert der redundante Steuerpfad 56 dem Rücksetz-/ Sperruntersystem 60 eine gescheiterte Verifikation, um die Betriebsart in die sichere Betriebsart umzuschalten. Eine gescheiterte Verifikation wird durch den redundanten Steuerpfad 56 bestimmt, wenn eine oder mehrere der folgenden Bedingungen auftreten: wenn durch den redundanten Steuerpfad 56 von dem primären Steuerpfad 54 für eine vorbestimmte Zeitdauer keine Daten empfangen werden; wenn die Daten, die in der Nachricht von den Aktuatorsteuereinheiten 64, 66, 68 enthalten sind, nicht zu der entsprechenden Signatur passen; wenn die Daten, die in der Nachricht von den Aktuatorsteuereinheiten 64, 66, 68 enthalten sind, den Wertebereich übersteigen; und wenn die Signatur nicht zu den Befehlswerten, die durch den redundanten Steuerpfad 56 berechnet werden, passt.
Zusammengefasst betrifft die Erfindung ein Fahrzeugsteuermodul zum Steuern einer Aktuatoreinheit in Ansprechen auf eine Eingabe, das einen ersten Prozessor, eine erste Kommunikationsverbindung, die mit dem ersten Prozessor gekoppelt ist, und einen zweiten Prozessor, der mit dem ersten Prozessor über die erste Kommunikationsverbindung gekoppelt ist, umfasst. Der erste Prozessor ist ausgebildet, um einen ersten Wert auf der Grundlage der Eingabe zu erzeugen, den ersten Wert zu der Aktuatoreinheit zu übertragen, und einen zweiten Wert von der Aktuatoreinheit auf der Grundlage von Daten, die durch die Aktuatoreinheit von dem ersten Prozessor empfangen werden, zu empfangen. Die erste Kommunikationsverbindung ist ausgebildet, um die Eingabe und den zweiten Wert zu dem zweiten Prozessor zu transferieren. Der zweite Prozessor ist ausgebildet, um einen dritten Wert auf der Grundlage der Eingabe zu bestimmen und den ersten Wert auf der Grundlage eines Vergleichs des zweiten Werts mit dem dritten Wert zu verifizieren.

Claims

Fahrzeugsteuersystem, das umfasst: eine Aktuatoreinheit (20, 22, 24, 64, 66, 68); und ein Fahrzeugsteuermodul (30, 50) zum Steuern der Aktuatoreinheit (20, 22, 24, 64, 66, 68) in Ansprechen auf eine Eingabe, wobei das Fahrzeugsteuermodul umfasst: einen ersten Prozessor (32, 48, 52), der ausgebildet ist, um: einen ersten Wert auf der Grundlage der Eingabe zu erzeugen; den ersten Wert zu der Aktuatoreinheit zu übertragen; und einen zweiten Wert von der Aktuatoreinheit zu empfangen, der auf der Grundlage des ersten Wertes erzeugt wird, der durch die Aktuatoreinheit von dem ersten Prozessor empfangen wird; eine erste Kommunikationsverbindung (38, 46, 58), die mit dem ersten Prozessor gekoppelt ist; und einen zweiten Prozessor (36, 44, 56), der mit dem ersten Prozessor über die erste Kommunikationsverbindung gekoppelt ist, wobei die erste Kommunikationsverbindung ausgebildet ist, um die Eingabe und den zweiten Wert zu dem zweiten Prozessor zu transferieren, wobei der zweite Prozessor ausgebildet ist, um: einen dritten Wert auf der Grundlage der Eingabe zu bestimmen; und den ersten Wert auf der Grundlage eines Vergleichs des zweiten Werts mit dem dritten Wert zu verifizieren.
Fahrzeugsteuersystem nach Anspruch 1, wobei der zweite Wert eine Signatur auf der Grundlage der Daten, die durch die Aktuatoreinheit (20, 22, 24, 64, 66, 68) von dem ersten Prozessor (32, 48, 52) empfangen werden, umfasst.
Fahrzeugsteuersystem nach Anspruch 2, wobei die Signatur eine mathematische Funktion der Daten ist, die durch die Aktuatoreinheit (20, 22, 24, 64, 66, 68) von dem ersten Prozessor (32, 48, 52) empfangen werden.
Fahrzeugsteuersystem nach Anspruch 2, wobei der erste Prozessor (32, 48, 52) des Weiteren ausgebildet ist, um den ersten Wert über die erste Kommunikationsverbindung (38, 46, 58) zu dem zweiten Prozessor (36, 44, 56) zu übertragen; und wobei der zweite Prozessor ausgebildet ist, um den ersten Prozessor zu sperren, wenn: keine Daten durch den zweiten Prozessor von dem ersten Prozessor für eine vorbestimmte Zeitdauer empfangen werden; und / oder der zweite Wert und der dritte Wert nicht zusammenpassen; und/oder die Signatur und der erste Wert, der durch den zweiten Prozessor von dem ersten Prozessor empfangen wird, nicht zusammenpassen.
Fahrzeugsteuersystem nach Anspruch 4, wobei der zweite Wert des Weiteren die Daten umfasst, die durch die Aktuatoreinheit (20, 22, 24, 64, 66, 68) von dem ersten Prozessor (32, 48, 52) empfangen werden; und wobei der zweite Prozessor (36, 44, 56) des Weiteren ausgebildet ist, um den ersten Prozessor zu sperren, wenn die Signatur und die Daten, die durch die Aktuatoreinheit von dem ersten Prozessor empfangen werden, nicht zusammenpassen.
Fahrzeugsteuersystem nach Anspruch 1, wobei der zweite Prozessor (44, 56) ein unabhängiger Rechenpfad in dem ersten Prozessor (48, 52) ist.
Fahrzeugsteuersystem nach Anspruch 5, wobei der dritte Wert einen Wertebereich umfasst; und wobei der zweite Prozessor (36, 44, 56) des Weiteren ausgebildet ist, um den ersten Prozessor (32, 48, 52) zurückzusetzen, wenn der zweite Wert außerhalb des Wertebereichs liegt.
Fahrzeugsteuersystem nach Anspruch 2, wobei die Aktuatoreinheit (20, 22, 24, 64, 66, 68) mit dem ersten Prozessor über eine zweite Kommunikationsverbindung (34) gekoppelt ist, und ausgebildet ist, um die Signatur ohne Duplikation durch den ersten Prozessor (32, 48, 52) zu erzeugen.
Fahrzeugsteuersystem nach Anspruch 1, wobei der erste Prozessor (32, 48, 52) ausgebildet ist, um den zweiten Wert zu dem zweiten Prozessor (36, 44, 56) ohne Veränderung des zweiten Werts zu transferieren.
Fahrzeugsteuersystem, das umfasst: eine Aktuatoreinheit (20, 22, 24, 64, 66, 68); eine erste Kommunikationsverbindung (34), die mit der Aktuatoreinheit gekoppelt ist; einen ersten Prozessor (32, 48, 52), der mit der Aktuatoreinheit über die erste Kommunikationsverbindung gekoppelt ist, wobei der erste Prozessor ausgebildet ist, um einen ersten Wert auf der Grundlage einer Systemeingabe zu erzeugen, wobei der erste Wert einer ersten Betriebsart des Fahrzeugsteuersystems entspricht, wobei die Aktuatoreinheit ausgebildet ist, um einen zweiten Wert auf der Grundlage des ersten Wertes, den die Aktuatoreinheit von dem ersten Prozessor empfängt, zu erzeugen, wobei der zweite Wert eine Signatur umfasst; eine zweite Kommunikationsverbindung (38, 46, 58), die mit dem ersten Prozessor gekoppelt ist; und einen zweiten Prozessor (36, 44, 56), der mit dem ersten Prozessor über die zweite Kommunikationsverbindung gekoppelt ist, wobei der zweite Prozessor ausgebildet ist, um: einen dritten Wert auf der Grundlage der Systemeingabe zu bestimmen; und den ersten Wert auf der Grundlage eines Vergleichs des zweiten Werts mit den Dritten Wert zu verifizieren.
Fahrzeugsteuersystem nach Anspruch 10, wobei die Signatur eine mathematische Funktion der Daten ist, die durch die Aktuatoreinheit (20, 22, 24, 64, 66, 68) empfangen werden und dem ersten Wert entsprechen.
Fahrzeugsteuersystem nach Anspruch 10, wobei der erste Prozessor (32, 48, 52) des Weiteren ausgebildet ist, um den ersten Wert über die zweite Kommunikationsverbindung (38, 46, 58) an den zweiten Prozessor (36, 44, 56) zu übertragen; und wobei der zweite Prozessor ausgebildet ist, um das Fahrzeugsteuersystem in eine zweite Betriebsart umzuschalten, wenn: für eine erste Zeitdauer keine Daten von dem ersten Prozessor durch den zweiten Prozessor empfangen werden; und/oder der zweite Wert und der dritte Wert nicht zusammenpassen; und/oder eine Signatur nicht dem ersten Wert entspricht.
Fahrzeugsteuersystem nach Anspruch 12, wobei der zweite Wert des Weiteren die Daten umfasst, die durch den Aktuator (20, 22, 24, 64, 66, 68) empfangen werden und dem ersten Wert entsprechen; und wobei der zweite Prozessor (36, 44, 56) des Weiteren ausgebildet ist, um das Fahrzeugsteuersystem in die zweite Betriebsart umzuschalten, wenn die Signatur nicht den Daten entspricht.
Fahrzeugsteuersystem nach Anspruch 10, wobei der erste Prozessor (48) des Weiteren umfasst: einen ersten Steuerpfad (32), der mit der Aktuatoreinheit (20, 22, 24, 64, 66, 68) über die erste Kommunikationsverbindung (34) gekoppelt ist und mit dem zweiten Prozessor (36) über die zweite Kommunikationsverbindung (38) gekoppelt ist, wobei der erste Steuerpfad ausgebildet ist, um den ersten Wert auf der Grundlage der Systemeingabe zu erzeugen; eine dritte Kommunikationsverbindung (46), die mit dem ersten Steuerpfad gekoppelt ist; einen zweiten Steuerpfad (44), der mit dem ersten Steuerpfad über die dritte Kommunikationsverbindung gekoppelt ist, wobei der zweite Steuerpfad ausgebildet ist, um: einen vierten Wert auf der Grundlage der Systemeingabe zu erzeugen; und den ersten Wert auf der Grundlage eines Vergleichs des vierten Werts mit dem zweiten Wert zu verifizieren; und eine vierte Kommunikationsverbindung (39), die den zweiten Steuerpfad mit dem zweiten Prozessor koppelt.
Fahrzeugsteuersystem nach Anspruch 14, wobei der zweite Prozessor (36) des Weiteren ausgebildet ist, um das Fahrzeugsteuersystem in die zweite Betriebsart umzuschalten, wenn: keine Daten von dem ersten Steuerpfad (32) durch den zweiten Steuerpfad (44) für eine vorbestimmte Zeitdauer empfangen werden; und/oder die Signatur nicht dem vierten Wert entspricht; und/oder der erste Wert und der vierte Wert nicht zusammenpassen.
Fahrzeugsteuersystem nach Anspruch 12, wobei die zweite Betriebsart entweder umfasst, dass: der zweite Prozessor (36, 44, 56) den ersten Prozessor (32, 48, 52) für eine zweite Zeitdauer sperrt, die für eine Abhilfe durch die Aktuatoreinheit (20, 22, 24, 64, 66, 68) ausreicht; oder dass der zweite Prozessor den ersten Prozessor für eine dritte Zeitdauer zurücksetzt, die für eine Abhilfe durch die Aktuatoreinheit ausreicht.
Fahrzeugsteuersystem nach Anspruch 10, wobei der dritte Wert einen Wertebereich umfasst; wobei der erste Prozessor (32, 48, 52) des Weiteren ausgebildet ist, um den ersten Wert über die zweite Kommunikationsverbindung (38, 46, 58) zu dem zweiten Prozessor (36, 44, 56) zu übertragen; und wobei der zweite Prozessor des Weiteren ausgebildet ist, um das Fahrzeugsteuersystem in eine zweite Betriebsart umzuschalten, wenn der zweite Wert außerhalb des dritten Werts liegt.
Fahrzeugsteuersystem nach Anspruch 14, wobei der vierte Wert einen Wertebereich umfasst; und wobei der zweite Prozessor (36, 44, 56) des Weiteren ausgebildet ist, um das Fahrzeugsteuersystem in die zweite Betriebsart umzuschalten, wenn der erste Wert außerhalb des vierten Werts liegt.
Fahrzeugsteuersystem nach Anspruch 10, wobei die Aktuatoreinheit (20, 22, 24, 64, 66, 68) ausgebildet ist, um die Signatur ohne Duplikation durch den ersten Prozessor zu erzeugen.
Fahrzeugsteuersystem, das umfasst: eine Aktuatoreinheit (20, 22, 24, 64, 66, 68); eine erste Kommunikationsverbindung (34), die mit der Aktuatoreinheit gekoppelt ist; und einen Prozessor (32, 48, 52), der mit der Aktuatoreinheit über die erste Kommunikationsverbindung gekoppelt ist, wobei der Prozessor umfasst: einen ersten Steuerpfad (32, 54), der ausgebildet ist, um einen ersten Wert auf der Grundlage einer Systemeingabe zu erzeugen, wobei der erste Wert einer ersten Betriebsart des Fahrzeugsteuersystems entspricht, wobei die Aktuatoreinheit ausgebildet ist, um einen zweiten Wert auf der Grundlage des ersten Wertes, den die Aktuatoreinheit von dem ersten Steuerpfad empfängt, zu erzeugen, wobei der zweite Wert eine Signatur umfasst; eine zweite Kommunikationsverbindung (46, 58), die mit dem ersten Steuerpfad gekoppelt ist; und einen zweiten Steuerpfad (44, 56), der mit dem ersten Steuerpfad über die zweite Kommunikationsverbindung gekoppelt ist, wobei der zweite Steuerpfad ausgebildet ist, um mit dem ersten Steuerpfad über die zweite Kommunikationsverbindung zu kommunizieren, wobei der zweite Steuerpfad ausgebildet ist, um: einen dritten Wert auf der Grundlage der Eingabe zu bestimmen; und den ersten Wert auf der Grundlage eines Vergleichs des zweiten Werts mit dem dritten Wert zu verifizieren.
Fahrzeugsteuersystem nach Anspruch 20, wobei die Signatur eine mathematische Funktion der Daten ist, die von dem ersten Steuerpfad (32, 54) empfangen werden und dem ersten Wert entsprechen.
Fahrzeugsteuersystem nach Anspruch 20, wobei der zweite Steuerpfad (44, 56) ausgebildet ist, um das Fahrzeugsteuersystem in eine zweite Betriebsart umzuschalten, wenn: keine Daten von dem ersten Steuerpfad durch den zweiten Steuerpfad für eine erste Zeitdauer empfangen werden; und/oder der zweite Wert und der dritte Wert nicht zusammenpassen; und/oder die Signatur nicht dem ersten Wert entspricht.
Fahrzeugsteuersystem nach Anspruch 22, wobei der zweite Wert des Weiteren die Daten umfasst, die von dem ersten Steuerpfad (32, 54) empfangen werden und dem ersten Wert entsprechen; und wobei der zweite Steuerpfad (44, 56) des Weiteren ausgebildet ist, um das Fahrzeugsteuersystem in die zweite Betriebsart umzuschalten, wenn die Signatur nicht den Daten entspricht.
Fahrzeugsteuersystem nach Anspruch 22, wobei die zweite Betriebsart entweder umfasst, dass: der zweite Steuerpfad (44, 56) den Prozessor (32, 48, 52) für eine zweite Zeitdauer sperrt, die für eine Abhilfe durch die Aktuatoreinheit (20, 22, 24, 64, 66, 68) ausreicht; oder dass der zweite Steuerpfad den Prozessor für eine dritte Zeitdauer zurücksetzt, die für eine Abhilfe durch die Aktuatoreinheit ausreicht.
Fahrzeugsteuersystem nach Anspruch 20, wobei der dritte Wert einen Wertebereich umfasst; wobei der erste Steuerpfad (32, 54) des Weiteren ausgebildet ist, um den ersten Wert über die zweite Kommunikationsverbindung (46, 58) zu dem zweiten Steuerpfad (44, 56) zu übertragen; und wobei der zweite Steuerpfad des Weiteren ausgebildet ist, um das Fahrzeugsteuersystem in eine zweite Betriebsart umzuschalten, wenn der zweite Wert außerhalb des dritten Werts liegt.
Fahrzeugsteuersystem nach Anspruch 20, wobei die Aktuatoreinheit (20, 22, 24, 64, 66, 68) ausgebildet ist, um die Signatur ohne Duplikation durch den ersten Steuerpfad (32, 56) zu erzeugen.