DE102005057821B4

DE102005057821B4 - Verfahren und Vorrichtung zur sicheren Datenübertragung zwischen zwei Steuergeräten

Info

Publication number: DE102005057821B4
Application number: DE200510057821
Authority: DE
Inventors: Werner Menzel; Gerd Hoppe; Dr. Baumann Peter; Jörg Winkler
Original assignee: Volkswagen AG
Current assignee: Volkswagen AG
Priority date: 2005-12-03
Filing date: 2005-12-03
Publication date: 2014-10-30
Anticipated expiration: 2025-12-04
Also published as: DE102005057821A1

Abstract

Vorrichtung zur sicheren Übertragung zwischen zwei Steuergeräten (1, 2), die über zwei elektrische Leitungen (9, 10) miteinander verbunden sind, dadurch gekennzeichnet, dass die beiden elektrischen Leitungen (9, 10) Bestandteil eines gemeinsamen Stromkreises sind, wobei eine Leitung (9) den Hinleiter und die andere Leitung (10) den Rückleiter bildet, wobei im ersten Steuergerät (1) mindestens zwei Schaltelemente (4, 5) angeordnet sind, wobei ein Schaltelement (4) mit dem Hinleiter und ein Schaltelement (5) mit dem Rückleiter verbunden ist, wobei die Schaltelemente (4, 5) voneinander unabhängig von dem Mikrocontroller (3) des ersten Steuergerätes (1) geschaltet werden, dem Bestandteil des Stromkreises in dem zweiten Steuergerät (2) zwei weitere Schaltelemente zugeordnet sind, die direkt oder mittelbar durch einen Strom im Stromkreis geschaltet werden, wobei die Schaltzustände der Schaltelemente einem Mikrocontroller (6) im zweiten Steuergerät (2) übermittelt werden.

Description

Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur sicheren Datenübertragung zwischen zwei Steuergeräten.
In Airbagsystemen wird grundsätzlich eine so genannte Safing-Strategie implementiert, d. h. nur zwei in Hard- und Software unabhängige Signalpfade dürfen zu einer Auslösung eines Airbags führen. Damit sollen ungewollte Auslösungen durch Hard- oder Softwarefehler ausgeschlossen werden, die zu Unfällen im Straßenverkehr führen können. Neben der eigentlichen Airbagauslösung sind auch Systeme bekannt, bei denen neben dem Airbag beispielsweise auch noch eine crashaktive Motorhaube für den Fußgängerschutz angesteuert wird. Hierzu ist der Motorhaube eine Aktorik mit Steuergerät zugeordnet, wobei das Steuergerät der Motorhaube Auslösesignale vom Airbag-Steuergerät übermittelt bekommt. Das Steuergerät der Motorhaube umfasst hierzu einen Mikrocontroller, der zur Eigendiagnose und zur Kommunikation mit dem Airbag-Steuergerät eingesetzt wird. Dieser Mikrocontroller kann zur Auswertung von einer digital vom Airbag-Steuergerät übertragenen Auslöseentscheidung eingesetzt werden, wobei die Verbindung beispielsweise über einen LIN-Bus erfolgt. Die Nachricht kann über Checknummern so abgesichert werden, dass die Übertragung als sicher gelten kann. Kommt es jedoch in der Auswertung einer Nachricht vom Airbag-Steuergerät zu einem Fehler, kann die Motorhaube fälschlicherweise ausgelöst werden. Dies kann durch einen zweiten Mikrocontroller vermieden werden, der die Nachricht vom Airbag-Steuergerät parallel auswertet. Nur wenn dann beide Mikrocontroller die Nachricht als Auslöseentscheidung werten, wird die Motorhaube ausgelöst. Allerdings führt ein Einsatz von zwei Mikrocontrollern im Steuergerät der Motorhaube zu einem relativ hohen Aufwand.
DE 101 28 950 A1 offenbart ein Airbagsteuergerät mit einem Prozesor zur Erzeugung von elektrischen Steuersignalen für einen Airbag und ein weiteres elektrisches Element, wobei zwei Schalttransistoren durch den Prozessor angesteuert werden. Werden beide Schalttransistoren durchgeschaltet, so kann ein Strom durch eine LED eines Opto-Kopplers fließen und das Steuersignal somit an das weitere elektrische Element übermittelt werden.
DE 195 24 615 A1 offenbart ein Airbagsteuergerät mit einem Mikrocomputer und zwei Leistungsschaltern, wobei der Mikrocomputer die Leistungsschalter unabhängig voneinander betätigen und Information über die durch die Leistungsschalter fließenden Ströme einlesen kann.
Der Erfindung liegt daher das technische Problem zugrunde, ein Verfahren und eine Vorrichtung zur sicheren Datenübertragung zwischen zwei Steuergeräten zu schaffen, wo mittels eines geringeren schaltungstechnischen Aufwandes eine redundante Datenübertragung realisiert wird.
Die Lösung des technischen Problems ergibt sich durch die Gegenstände mit den Merkmalen der Ansprüche 1 und 5. Weitere vorteilhafte Ausgestaltungen der Erfindung ergeben sich aus den Unteransprüchen.
Hierzu sind die beiden Steuergeräte über zwei elektrische Leitungen miteinander verbunden, die Bestandteil eines gemeinsamen Stromkreises sind, wobei eine Leitung den Hinleiter und die andere Leitung den Rückleiter bildet, wobei im ersten Steuergerät mindestens zwei Schaltelemente angeordnet sind, wobei ein Schaltelement mit dem Hinleiter und ein Schaltelement mit dem Rückleiter verbunden ist, wobei die Schaltelemente voneinander unabhängig von dem Mikrocontroller des ersten Steuergerätes geschaltet werden, wobei dem Bestandteil des Stromkreises in dem zweiten Steuergerät zwei weitere Schaltelemente zugeordnet sind, die direkt oder mittelbar durch einen Strom im Schaltkreis geschaltet werden, wobei die Schaltzustände der Schaltelemente im zweiten Steuergerät einem Mikrocontroller im zweiten Steuergerät übermittelt werden. Hierdurch wird eine Safing-Strategie implementiert, die jeweils nur einen Mikrocontroller je Steuergerät benötigt. Durch jeweils ein Schaltelement im Hin- und Rückleiter wird der Stromkreis also nur geschlossen, wenn beide Schaltelemente durchgeschaltet werden. Dies hat darüber hinaus noch den Vorteil gegenüber zwei Schaltelementen im gleichen Leiter, dass diese Anordnung erheblich fehlertoleranter ist. Beispielsweise bei zwei Schaltelementen im Hinleiter würde bei einem Kurzschluss gegen die Betriebsspannung, der die beiden Schaltelemente überbrückt, ein Strom fließen. Dies wird jedoch erfindungsgemäß durch das Schaltelement im Rückleiter verhindert. Entsprechend werden auch zwei Schaltelemente im zweiten Steuergerät ausgewertet, so dass auch hier eine Safing-Strategie implementiert ist.
Vorzugsweise sind die Schaltelemente im ersten Steuergerät als Relais, mikroelektronische und/oder mikromechanische Schalter ausgebildet. Die Relais und mikromechanischen Schalter haben dabei den Vorteil einer galvanischen Trennung.
In einer weiteren bevorzugten Ausführungsform sind die Schaltelemente im zweiten Steuergerät als Opto-Koppler ausgebildet, wobei die LED's im gemeinsamen Stromkreis angeordnet sind. Durch die Verwendung von Opto-Kopplern wurden die beiden Steuergeräte elektrisch entkoppelt, d. h. ein Defekt, wie beispielsweise ein Kurzschluss im zweiten Steuergerät, führt nicht zu einer Funktionsstörung im ersten Steuergerät.
In einer weiteren bevorzugten Ausführungsform ist das erste Steuergerät als Airbag-Steuergerät und das zweite Steuergerät als Steuergerät einer crashaktiven Motorhaube ausgebildet.
Die Erfindung wird nachfolgend anhand eines bevorzugten Ausführungsbeispieles näher erläutert. Die einzige Figur zeigt eine schematische Schaltungsanordnung einer Vorrichtung zur sicheren Datenübertragung zwischen zwei Steuergeräten.
Die Vorrichtung zur sicheren Übertragung zwischen zwei Steuergeräten umfasst ein erstes Steuergerät 1 und ein zweites Steuergerät 2. Das erste Steuergerät 1 umfasst einen Mikrocontroller 3 sowie zwei Schaltelemente 4, 5. Ebenso umfasst das zweite Steuergerät 2 einen Mikrocontroller 6 sowie zwei Opto-Koppler 7, 8. Die beiden Steuergeräte 1, 2 sind über zwei elektrische Leitungen 9, 10 miteinander verbunden, wobei die elektrische Leitung 9 über das erste Schaltelement 4 mit Betriebsspannung und die zweite elektrische Leitung 10 über das zweite Schaltelement 5 mit Masse verbunden ist. Dabei dient die elektrische Leitung 9 als Hinleiter und die elektrische Leitung 10 als Rückleiter eines gemeinsamen Stromkreises. In dem zweiten Steuergerät 2 sind die beiden LED's 11, 12 in Reihe geschaltet in dem Stromkreis angeordnet, wobei parallel zu den beiden LED's 11, 12 ein Eingangswiderstand 13 geschaltet ist. Die Kollektoren der beiden den LED's 11, 12 zugeordneten Foto-Transistoren 14, 15 der Opto-Koppler 7, 8 sind mit Eingängen des Mikrocontrollers 6 verbunden.
Ergibt sich nun während des Betriebes die Notwendigkeit, Daten vom ersten Steuergerät 1 zum zweiten Steuergerät 2 zu übertragen, so generiert das erste Steuergerät 1 zwei voneinander unabhängige Steuersignale für das erste Schaltelement 4 und das zweite Schaltelement 5. Nur wenn beide Steuersignale ordnungsgemäß generiert wurden, schalten beide Schaltelemente 4, 5 durch, so dass der Stromkreis geschlossen wird. Bei einem Fehler in einem der beiden Steuersignale bleibt der Stromkreis offen. Bei einem geschlossenen Stromkreis fließt dann ein Strom über das erste Schaltelement 4, über die beiden LED's 11, 12 und über das zweite Schaltelement 5 nach Masse. Durch den Stromfluss emittieren die beiden LED's 11, 12 Licht, wodurch die Basis der beiden Foto-Transistoren 14, 15 aufgesteuert wird. Durch den entsprechenden Stromfluss durch den Transistor sinkt das Kollektorpotential. Dieser Schaltzustand der Fototransistoren 14, 15 wird dann durch den Mikrocontroller 6 ausgewertet.
Um nun zu verhindern, dass durch elektromagnetische Strömungen ein Stromfluss induziert wird, der zu einem kurzen Aufleuchten der LED's führt und als Datenübertragung interpretiert werden könnte, wird die Zeit, die ein logischer Pegel anliegen muss, ausreichend groß gewählt. Somit kann das Steuergerät 6 sehr sicher zwischen gewollten Datenübertragungen und Störungen unterscheiden.

Claims

Vorrichtung zur sicheren Übertragung zwischen zwei Steuergeräten (1, 2), die über zwei elektrische Leitungen (9, 10) miteinander verbunden sind, dadurch gekennzeichnet, dass die beiden elektrischen Leitungen (9, 10) Bestandteil eines gemeinsamen Stromkreises sind, wobei eine Leitung (9) den Hinleiter und die andere Leitung (10) den Rückleiter bildet, wobei im ersten Steuergerät (1) mindestens zwei Schaltelemente (4, 5) angeordnet sind, wobei ein Schaltelement (4) mit dem Hinleiter und ein Schaltelement (5) mit dem Rückleiter verbunden ist, wobei die Schaltelemente (4, 5) voneinander unabhängig von dem Mikrocontroller (3) des ersten Steuergerätes (1) geschaltet werden, dem Bestandteil des Stromkreises in dem zweiten Steuergerät (2) zwei weitere Schaltelemente zugeordnet sind, die direkt oder mittelbar durch einen Strom im Stromkreis geschaltet werden, wobei die Schaltzustände der Schaltelemente einem Mikrocontroller (6) im zweiten Steuergerät (2) übermittelt werden.
Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass die Schaltelemente (4, 5) im ersten Steuergerät (1) als Relais, mikroelektrische und/oder mikromechanische Schalter ausgebildet sind.
Vorrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Schaltelemente im zweiten Steuergerät (2) als Opto-Koppler (7, 8) ausgebildet sind, wobei die LEDs (11, 12) des Opto-Kopplers (7, 8) im gemeinsamen Stromkreis angeordnet sind.
Vorrichtung nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass das erste Steuergerät (1) als Airbag-Steuergerät und das zweite Steuergerät (2) als Steuergerät einer crashaktiven Motorhaube ausgebildet ist.
Verfahren zur sicheren Übertragung zwischen zwei Steuergeräten mittels einer Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass zur Übermittlung einer Nachricht der Mikrocontroller (3) des ersten Steuergerätes (1) für jedes Schaltelement (4, 5) ein unabhängiges Steuersignal generiert, um die Schaltelemente (4, 5) zu schließen und im Mikrocontroller (6) des zweiten Steuergerätes (2) die Nachricht nur als gültig eingestuft wird, wenn beide Schaltelemente im zweiten Steuergerät (2) geschaltet werden.