DE102006045153A1

DE102006045153A1 - System und Verfahren zum Verteilen und Ausführen von Programmcode in einem Steuergerätenetzwerk

Info

Publication number: DE102006045153A1
Application number: DE102006045153A
Authority: DE
Inventors: Alfred Kuttenberger
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2006-09-25
Filing date: 2006-09-25
Publication date: 2008-04-03
Also published as: US20080077924A1; JP2008084315A

Abstract

System und Verfahren zum Verteilen und Ausführen von Programmcode (P1, P2) in einem Steuergerätenetzwerk, bei dem wenigstens eines der Geräte (SG1) einen Defekt an seiner Hardware erkennen und seinen G2) in dem Netzwerk übertragen kann, wobei der übertragene Code (P1) auf dem Zielsteuergerät (SG2) ausführbar ist.

Description

Stand der Technik
Die vorliegende Erfindung betrifft ein System und ein Verfahren zum Verteilen und Ausführen von Programmcode in einem Steuergerätenetzwerk nach Anspruch 1 und 5.
Bislang werden zB in Kraftfahrzeugen Steuergeräte verbaut, welche entsprechend speziell vorgegebener und abgegrenzter Funktionen ausgelegt sind. Im normalen Betrieb laufen diese Geräte nur unter Teillast. Viele sind jedoch so bemessen, dass sie höhere (Spitzen)Lasten bewältigen könnten. Ferner sind viele dieser Geräte über ein Netzwerk zum Austausch von Daten miteinander verbunden. Dennoch kann ein solches System insgesamt unbrauchbar werden, wenn eines der Geräte zB auf Grund eines Hardwaredefekts ausfällt.
Aus der deutschen Offenlegungsschrift DE 100 27 006 ist ein System zum Steuern/Regeln der Betriebsabläufe in einem Kraftfahrzeug bekannt. Dieses weist einen zentralen Speicher auf, in dem alle dafür notwendigen Programme abgelegt sind. über Speicherzugriffe laden die Steuergeräte beim Start des Systems die benötigten Programme in ihren Arbeitsspeicher. Dies lässt zwar eine zentrale Verwaltung und Modifikation der einzelnen Funktionseinheiten des Fahrzeugs zu, schützt allerdings nicht vor deren potentiellen Versagen.
Offenbarung der Erfindung
Es ist Aufgabe der vorliegenden Erfindung, ein System und ein Verfahren zum Verteilen und Ausführen von Programmcode in einem Steuergerätenetzwerk bereitzustellen, das eine erhöhte Betriebssicherheit aufweist, das einfach zu realisieren und kostengünstig ist.
Diese Aufgabe wird durch ein System nach Anspruch 1 gelöst, bei dem wenigstens eines der Steuergeräte einen Defekt an seiner Hardware erkennen und seinen Code an wenigstens ein anderes Steuergerät in dem Netzwerk übertragen kann, wobei der übertragene Code auf dem Zielsteuergerät ausführbar ist.
Ein wesentlicher Punkt des erfindungsgemäßen Systems besteht dabei darin, dass gemeinsame Ressourcen des Netzwerks genutzt werden, um Ausfälle einzelner Geräte zu kompensieren. Programme des Quellgeräts können dabei auch auf mehrere verschiedene Zielgeräte verteilt werden. Dadurch entsteht eine hohe Versagenstoleranz des Systems bei hardwarebedingtem Komponentensausfall, womit die Funktionalität des Systems weiter gewährleistet wird. Da zudem keine redundanten Speicherteile bereitgehalten werden müssen, lassen sich die Kosten des Systems reduzieren.
Bevorzugte Weiterbildungen des erfindungsgemäßen Systems sind in den Unteransprüchen 2 bis 6 angegeben.
Danach ist in einer vorteilhaften Ausführungsform vorgesehen, dass das Quellsteuergerät im Vergleich zu den anderen Steuergeräten in dem Netzwerk eine hohe Sicherheitsrelevanz hat. So sind insbesondere die ECU(Electronic Control Unit)-Funktionen für Antiblockiersystem, Stabilitätssystem, aber auch für Personenrückhaltesystem (Airbag, Gurtstraffer) erfindungsgemäß abgesichert, um deren Funktionalität in jedem Fall weiter zu gewährleisten. Die Betriebssicherheit eines Fahrzeugs wird dadurch erheblich erhöht.
Ein Vorteil entsteht zudem, wenn das Quellsteuergerät zum Übermitteln eines reduzierten Programms an das Zielsteuergerät ausgebildet ist. Das reduzierte Programm kann dabei auf seine tatsächlich sicherheitskritischen Funktionen beschränkt sein, was weniger freie Ressourcen auf dem Zielgerät erfordert. Dadurch werden Programme nicht beeinträchtigt, die schon auf dem Zielgerät laufen bzw es können selbst geringe Ressourcen noch genutzt werden.
Ein weiterer Vorteil entsteht, wenn das Zielsteuergerät zum Abschalten von Programmen und/oder Programmteilen mit vergleichsweise niedriger Sicherheitsrelevanz ausgebildet ist. Das Abschalten kann sowohl auf dem Zielgerät bereits laufende und/oder darauf übertragene Programme und/oder Programmteile betreffen, während Programme mit hoher Sicherheitsrelevanz aktiviert bleiben bzw werden. Dadurch werden auf dem Zielgerät Ressourcen freigegeben bzw weniger zusätzliche Ressourcen angefordert, so dass möglichst viele sicherheitsrelevante Funktionen ausgeführt werden können.
Die schon genannte Aufgabe wird auch durch ein Verfahren nach Anspruch 7 gelöst, bei dem dann, wenn in einem Steuergerät ein Hardwaredefekt erkannt wird, dessen Code an wenigstens ein anderes Steuergerät in dem Netzwerk übertragen und der übertragene Code auf dem Zielsteuergerät ausgeführt wird.
Ein wesentlicher Punkt des erfindungsgemäßen Verfahrens besteht dabei darin, dass es besonders einfach aufgebaut und damit sicher ist. Da es auch auf üblichen Kommunikationsprotokollen in Bordnetzen wie zB dem CAN(Controller Area Network)-Bus aufsetzen kann, ist es zudem leicht zu implementieren und damit kostengünstig.
Bevorzugte Weiterbildungen des erfindungsgemäßen Verfahrens sind in den Unteransprüchen 6 bis 8 angegeben.
Danach ist in einer vorteilhaften Ausführungsform vorgesehen, dass zunächst festgestellt wird, ob das Zielsteuergerät freie Ressourcen zum Ausführen des Programmcodes hat, und wenn das der Fall ist, diese freien Ressourcen zum Ausführen des übertragenen Codes reserviert werden. Dadurch muss nicht für jedes ausfallgesicherte Steuergerät von vornherein ein Kommunikationspartner festgelegt werden. Durch die Feststellung freier Ressourcen lässt sich dagegen eine dynamische Verteilung von Programmen oder Programmteilen auf Steuergeräte im Netzwerk erzielen, die im Bedarfsfall geeignete Ressourcen aufweisen.
Ein Vorteil entsteht zudem, wenn ein im Vergleich zu seinem vollen Funktionsumfang reduziertes Programm von dem Quellsteuergerät an das Zielsteuergerät übertragen wird. Dadurch wird eine besonders hohe Belastung des Zielgeräts vermieden bzw können selbst noch geringe Ressourcen genutzt werden, ohne dass sicherheitsrelevante Kernfunktionen des Programms eingeschränkt sein müssen.
Ein weiterer Vorteil entsteht, wenn auf dem Zielsteuergerät Programme und/oder Programmteile mit vergleichsweise niedriger Sicherheitsrelevanz abgeschaltet werden. Dadurch kann das Zielgerät zur verdichteten Ausführung von Funktionen höchster Priorität genutzt werden, womit das Gesamtsystem besonders sicher wird.
Kurze Beschreibung der Zeichnungen
Das erfindungsgemäße System und Verfahren werden im folgenden anhand eines Ausführungsbeispiels mit zwei Steuergeräten näher erläutert. Gleiche oder gleichwirkende Teile sind mit gleichen Bezugszeichen versehen. Es zeigen:
1 eine schematische Darstellung von zwei intakten Steuergeräten, die über ein Netzwerk miteinander verbunden sind, und
2 die Anordnung der 1, bei der die Funktion eines defekten Steuergeräts von dem anderen Steuergerät abgebildet wird.
Ausführungsformen der Erfindung
Die 1 zeigt eine schematische Darstellung von zwei intakten Steuergeräten SG1 und SG2, die über ein Netzwerk 10 miteinander verbunden sind. Das Netzwerk 10 ist als Daten- und Programmbus ausgebildet, über den die Steuergeräte SG1 und SG2 untereinander Daten- und Softwareprogrammteile austauschen können. Das Steuergerät SG1 soll beispielhaft für den Betrieb eines Antiblockiersystems und das Gerät SG2 für die Motorsteuerung zuständig sein. Die Funktionalität dieser Anwendungen wird durch einen Programmcode P1 bzw 22 abgebildet, der auf dem jeweiligen Gerät SG1 bzw SG2 ausgeführt wird. Wird nun in dem Steuergerät SG1 ein Hardwaredefekt erkannt, so werden noch freie Rechnerressourcen in dem Gerät SG2 reserviert, der Programmcode P1 des Geräts SG1 über das Netzwerk 10 übermittelt und auf dem Gerät SG2 zur Ausführung gebracht.
Die 2 zeigt die Anordnung der 1, bei der die Funktion eines defekten Steuergeräts SG1 von dem anderen Steuergerät SG2 abgebildet wird. Der Programmcode P1 des Geräts SG1 wurde dabei an das Gerät SG2 übertragen und neben dem Code P2 zur Ausführung gebracht. Grundsätzlich können dabei von dem Steuergerät SG1 auch nur reduzierte Programme übermittelt werden, um die Programme auf dem Gerät SG2 nicht zu beeinträchtigen. Ferner können auch Programme oder Programmteile, die eine vergleichsweise niedrigere Priorität haben, auf dem Zielsteuergerät SG2 abgeschaltet und die Programme mit hoher Sicherheitsrelevanz aktiviert werden.
Dadurch lässt sich selbst bei Hardwaredefekten des besonders sicherheitsrelevanten Steuergeräts SG1 eine Restfunktion des Antiblockiersystems darstellen, was dessen Ausfalltoleranz und damit Betriebssicherheit erheblich erhöht. Durch die Verschiebung des Codes P1 von dem defekten Gerät SG1 auf das intakte Gerät SG2 müssen keine redundanten Speicherteile vorgehalten werden, wodurch sich die Kosten reduzieren lassen. Das erfindungsgemäße Verfahren setzt auf bekannten Kommunikationsmechanismen in Netzwerken auf und ist einfach zu implementieren, leicht wartbar und kostengünstig.

Claims

System zum Verteilen und Ausführen von Programmcode (P1, P2) in einem Steuergerätenetzwerk, bei dem wenigstens eines der Geräte (SG1) einen Defekt an seiner Hardware erkennen und seinen Code (P1) an wenigstens ein anderes Steuergerät (SG2) in dem Netzwerk übertragen kann, wobei der übertragene Code (P1) auf dem Zielsteuergerät (SG2) ausführbar ist.
System nach Anspruch 1, bei dem das Quellsteuergerät (SG1) im Vergleich zu den anderen Steuergeräten (SG2) in dem Netzwerk eine hohe Sicherheitsrelevanz hat.
System nach Anspruch 1 oder 2, bei dem das Quellsteuergerät (SG1) zum Übermitteln eines reduzierten Programms an das Zielsteuergerät (SG2) ausgebildet ist.
System nach einem der vorstehenden Ansprüche, bei dem das Zielsteuergerät (SG2) zum Abschalten von Programmen und/oder Programmteilen mit vergleichsweise niedriger Sicherheitsrelevanz ausgebildet ist.
Verfahren zum Verteilen und Ausführen von Programmcode (P1, P2) in einem Steuergerätenetzwerk, bei dem dann, wenn in einem Steuergerät (SG1) ein Hardwaredefekt erkannt wird, dessen Code (P1) an wenigstens ein anderes Steuergerät (SG2) in dem Netzwerk übertragen und der übertragene Code (P1) auf dem Zielsteuergerät (SG2) ausgeführt wird.
Verfahren nach Anspruch 5, bei dem zunächst festgestellt wird, ob das Zielsteuergerät (SG2) freie Ressourcen zum Ausführen des Programmcodes (P1) hat, und wenn das der Fall ist, diese freien Ressourcen zum Ausführen des übertragenen Codes (P1) reserviert werden.
Verfahren nach Anspruch 5 oder 6, bei dem ein im Vergleich zu seinem vollen Funktionsumfang reduziertes Programm von dem Quellsteuergerät (SG1) an das Zielsteuergerät (SG2) übertragen wird.
Verfahren nach einem der Ansprüche 5 bis 7, bei dem auf dem Zielsteuergerät (SG2) Programme und/oder Programmteile mit vergleichsweise niedriger Sicherheitsrelevanz abgeschaltet werden.