DE102007040554B4

DE102007040554B4 - Verteilte Sicherheitsprüfung für Arithmetik-Logik-Einheit

Info

Publication number: DE102007040554B4
Application number: DE102007040554.7A
Authority: DE
Inventors: William R. Mayhew; David W. Wright
Original assignee: GM Global Technology Operations LLC
Current assignee: GM Global Technology Operations LLC
Priority date: 2006-08-31
Filing date: 2007-08-28
Publication date: 2018-04-05
Anticipated expiration: 2027-08-29
Also published as: CN101221444B; DE102007040554A1; US7933696B2; US20080059016A1; CN101221444A

Abstract

Fahrzeugdiagnosesystem, umfassend: ein erstes Steuermodul (40), das einen ersten Prozessor (46) umfasst und das ein erstes Fahrzeugsubsystem (22) steuert; und ein zweites Steuermodul (42), das ein zweites Fahrzeugsubsystem (24) steuert und das die Funktionsweise des ersten Prozessors (46) des ersten Steuermoduls (40) validiert, dadurch gekennzeichnet, dass das zweite Steuermodul (42) dann, wenn es bestimmt, dass der erste Prozessor (46) des ersten Steuermoduls (40) fehlerhaft ist, das erste Steuermodul (40) abschaltet, wobei der erste Prozessor (46) eine Arithmetik-Logik-Einheit (48) umfasst und wobei das zweite Steuermodul (42) die Funktionsweise der Arithmetik-Logik-Einheit (48) des ersten Prozessors (46) validiert, wobei das zweite Steuermodul (42) eine arithmetische Anforderung an das erste Steuermodul (40) sendet, eine Rückmeldung auf die Anforderung von dem ersten Steuermodul (40) empfängt und eine fehlerhafte Arithmetik-Logik-Einheit (48) erfasst, wenn die Rückmeldung nicht gleich einem vorgegebenen Ergebnis ist, wobei das zweite Steuermodul (42) das Senden einer arithmetischen Anforderung an das erste Steuermodul (40) und das Empfangen einer Rückmeldung auf die Anforderung von dem ersten Steuermodul (40) wiederholt und wobei das zweite Steuermodul (42) eine fehlerhafte Arithmetik-Logik-Einheit (48) erfasst, wenn die Rückmeldung für eine vorgegebene Anzahl von Malen nicht gleich einem vorgegebenen Ergebnis ist, wobei das zweite Steuermodul (42) das erste Steuermodul (40) abschaltet, indem es die Spannungsversorgung (16) für das erste Steuermodul (40) durch Senden eines Signals an ein System abschaltet.

Description

GEBIET
Die vorliegende Erfindung bezieht sich auf Fahrzeugdiagnosesysteme und insbesondere auf ein Diagnosesystem zum Reduzieren von Steuermodulbetriebsfehlern.
HINTERGRUND
Die Aussagen in diesem Abschnitt liefern lediglich Hintergrundinformationen bezüglich der vorliegenden Offenbarung und stellen nicht unbedingt den Stand der Technik dar.
Leaphart, E. G. et al.: Survey of Software Failsafe Techniques for Safety-Critical Automotive Applications, SAE World Congress, 2005, S. 1–16, ISSN 0148-7191 beschreibt eine Programmablaufüberwachung in einem verteilten System. DE 10 2005 037 403 A1 erwähnt Abhilfemaßnahmen, die ergriffen werden, wenn eine Funktionsprüfung zu dem Ergebnis führt, dass ein spezifisches Register und/oder eine Arithmetik-Logik-Einheit unrichtig arbeitet. US 6,636,790 B1 beschreibt eine Benachrichtigung eines Fahrzeugeigentümers, dass sein Fahrzeug eine Wartung benötigt, sowie eine Ferneinstellung eines Fahrzeugdiagnosesystems.
Es ist eine Aufgabe der Erfindung ein Fahrzeugdiagnosesystem und ein Verfahren zum Erfassen einer fehlerhaften Arithmetik-Logik-Einheit (ALU) anzugeben, das zuverlässiger arbeitet und im Fehlerfall ein rasches Abschalten eines fehlerbehafteten Steuermoduls sicherstellt.
Die Aufgabe wird gelöst durch die Gegenstände der unabhängigen Ansprüche 1 und 9.
Um zunächst auf 1 Bezug zu nehmen, steuern ein oder mehrere Steuermodule 10 verschiedene Subsysteme eines Fahrzeugs. Ein Steuermodul 10 umfasst typischerweise einen Primärprozessor 12, der eine Arithmetik-Logik-Einheit (ALU) umfasst, die für eine breite Vielfalt arithmetischer Berechnungen Ergebnisse berechnen kann. Die berechneten Ergebnisse werden durch eine Software dazu verwendet, die verschiedenen elektrischen und/oder mechanischen Komponenten des Subsystems zu steuern.
Manche herkömmlichen Steuermodule 10 umfassen einen Sekundärprozessor 14. Der Zweck des Sekundärprozessors 14 besteht darin, eine Sicherheitsprüfung für die ALU des Primärprozessors 12 vorzusehen. Beispielsweise kann der Sekundärprozessor 14 periodisch eine arithmetische Anforderung zu dem Primärprozessor 12 übertragen. Der Primärprozessor 12 antwortet durch Übertragen eines berechneten Ergebnisses. Der Sekundärprozessor 14 vergleicht das berechnete Ergebnis mit einem erwarteten Ergebnis. Wenn das berechnete Ergebnis gleich dem erwarteten Ergebnis ist, bestimmt der Sekundärprozessor 14, dass die ALU des Primärprozessors 12 korrekt arbeitet. Andernfalls, wenn das berechnete Ergebnis nicht gleich dem erwarteten Ergebnis ist, wird die ALU des Primärprozessors 12 als fehlerhaft bestimmt. Der Sekundärprozessor 14 sperrt den Primärprozessor 12, indem er die Leistung für den Primärprozessor 12 von einer Leistungsversorgung 16 abschaltet.
Diese Art von Sicherheitsprüfung wird für die meisten eingebetteten Echtzeit-Steuersysteme gefordert. Das Bereitstellen eines Sekundärprozessors kommt zu den Gesamtkosten der Herstellung des Steuermoduls 10 hinzu.
ZUSAMMENFASSUNG
Demgemäß wird ein Fahrzeugdiagnosesystem geschaffen. Das System umfasst: ein erstes Steuermodul, das einen ersten Prozessor umfasst und das ein erstes Fahrzeugsubsystem steuert, und ein zweites Steuermodul, das ein zweites Fahrzeugsubsystem steuert und das die Funktionsweise des ersten Prozessors des ersten Steuermoduls validiert, wobei das zweite Steuermodul dann, wenn es bestimmt, dass der erste Prozessor des ersten Steuermoduls fehlerhaft ist, das erste Steuermodul abschaltet.
Ferner wird ein Verfahren zum Erfassen einer fehlerhaften Arithmetik-Logik-Einheit (ALU) eines ersten Steuermoduls durch ein zweites Steuermodul geschaffen. Das Verfahren umfasst: durch das zweite Steuermodul Übertragen einer arithmetischen Anforderung zu dem ersten Steuermodul, durch das zweite Steuermodul Empfangen einer Rückmeldung von dem ersten Steuermodul, die ein Ergebnis auf die arithmetische Anforderung umfasst, und durch das zweite Steuermodul Senden eines Signals zum Erzwingen eines Abschaltens des ersten Steuermoduls, wenn die Rückmeldung nicht gleich einem vorgegebenen Ergebnis ist.
Weitere Anwendungsgebiete werden aus der hier gegebenen Beschreibung deutlich. Selbstverständlich sind die Beschreibung und die spezifischen Beispiele lediglich zum Zweck der Veranschaulichung gedacht und nicht dazu gedacht, den Schutzumfang der vorliegenden Offenbarung zu begrenzen.
KURZBESCHREIBUNG DER ZEICHNUNGEN
Die hier beschriebenen Zeichnungen sind lediglich zur Veranschaulichung gedacht und sollen den Schutzumfang der vorliegenden Offenbarung in keiner Weise begrenzen. In den Zeichnungen zeigen:
1 einen Blockschaltplan eines Sicherheitsprüfsystems für eine Arithmetik-Logik-Einheit (ALU) eines Steuermoduls gemäß dem Stand der Technik;
2 einen Blockschaltplan eines beispielhaften Fahrzeugs, das ein verteiltes ALU-Sicherheitsprüfsystem enthält;
3 einen ausführlichen Blockschaltplan eines verteilten ALU-Sicherheitsprüfsystems;
4 einen Ablaufplan, der ein Verfahren erläutert, das durch ein zweites Steuermodul des verteilten ALU-Sicherheitsprüfsystems ausgeführt wird; und
5 einen Ablaufplan, der ein Verfahren erläutert, das durch ein erstes Steuermodul des verteilten ALU-Sicherheitsprüfsystems ausgeführt wird.
DETAILLIERTE BESCHREIBUNG
Die folgende Beschreibung ist dem Wesen nach lediglich beispielhaft und soll die Offenbarung, ihre Anwendung oder Verwendungen nicht einschränken. Selbstverständlich geben in den gesamten Zeichnungen entsprechende Bezugszeichen gleiche oder entsprechende Teile und Merkmale an. Der Begriff Modul, wie er hier verwendet wird, bezieht sich auf eine anwendungsspezifische integrierte Schaltung (ASIC), eine elektronische Schaltung, einen Prozessor (gemeinsam genutzt, zugeordnet oder für eine Gruppe) und einen Speicher, die ein oder mehrere Software- oder Firmwareprogramme ausführen, eine kombinatorische Logikschaltung und/oder andere geeignete Komponenten, die die beschriebene Funktionalität verschaffen.
In 2 umfasst nun ein Fahrzeug 20 einen Motor 22, ein Getriebe 24 und einen Drehmomentwandler 26. Der Motor 22 verbrennt ein Gemisch aus Luft und Kraftstoff in Zylindern (nicht gezeigt), um ein Antriebsdrehmoment zu erzeugen. Durch eine Drosselklappe 28 wird Luft in den Motor angesaugt. Der Drehmomentwandler 26 überträgt und vervielfacht das Drehmoment von dem Motor 22 zu dem Getriebe 24. Das Getriebe 24 umfasst einen oder mehrere Zahnradsätze, die das Drehmoment auf einer gewünschten Drehzahl basierend zu einem Antriebsstrang (nicht gezeigt) übertragen.
Das Fahrzeug 20 umfasst ferner zwei oder mehr Steuermodule, die verschiedene Subsysteme in dem Fahrzeug steuern. Der Prozessor eines Steuermoduls kann verwendet werden, um eine ALU-Sicherheitsprüfung an dem Prozessor des anderen Steuermoduls auszuführen, und umgekehrt. Wie beispielsweise in 2 gezeigt ist, steuert ein Motorsteuermodul 30 den Betrieb des Motors 22. Ein Getriebesteuermodul 32 steuert den Betrieb des Getriebes 24 und/oder des Drehmomentwandlers 26. Das Motorsteuermodul 30 und das Getriebesteuermodul 32 kommunizieren über ein Controller-Bereichsnetz (controller area network, CAN) 34. Wohlgemerkt können verschiedene Kommunikationsprotokolle verwendet werden, um die Kommunikation zwischen den Steuermodulen 30 und 32 zu vereinfachen. Das Getriebesteuermodul 32 führt die ALU-Sicherheitsprüfung für das Motorsteuermodul 30 aus und umgekehrt. Daher ist das ALU-Sicherheitsprüfsystem auf zwei oder mehr Steuermodule verteilt, wodurch sich ein Sekundärprozessor in jedem Steuermodul 30 und 32 erübrigt.
In 3 ist nun ein verteiltes ALU-Sicherheitssystem ausführlicher gezeigt. Ein erstes Steuermodul 40 kommuniziert elektronisch über ein Kommunikationsnetz 44 mit einem zweiten Steuermodul 42. Das erste Steuermodul 40 umfasst einen ersten Prozessor 46 und eine erste ALU 48. Das zweite Steuermodul 42 umfasst wenigstens einen zweiten Prozessor 52 und eine wenigstens eine zweite ALU 50. Das zweite Steuermodul 42 kann ein unabhängiges Sicherungssystem sein, das einen Sekundärprozessor (nicht gezeigt) zum Ausführen seiner eigenen ALU-Sicherheitsprüfung umfasst. In verschiedenen anderen Ausführungsformen stützt sich das zweite Steuermodul 42 auf das verteilte ALU-Sicherheitsprüfsystem, um die zweite ALU 50 zu diagnostizieren. Der Einfachheit der Erläuterung halber wird das zweite Steuermodul von 3 als Sicherungssystem erläutert.
Das erste Steuermodul 40 berechnet verschiedene arithmetische Ergebnisse, die ein erstes Fahrzeugsubsystem steuern. Das zweite Steuermodul 42 arbeitet ähnlich wie das erste Steuermodul 40 und steuert ein zweites Fahrzeugsubsystem. Das zweite Steuermodul 42 überträgt ein Anforderungssignal, das ein vorgegebenes Ergebnis zu einer vorgegebenen Gleichung, Formel und/oder Funktion anfordert. Das erste Steuermodul 40 berechnet das Ergebnis und überträgt die Antwort zu dem zweiten Steuermodul 42. Das zweite Steuermodul 42 vergleicht die Antwort mit einem vorgegebenen Ergebnis. Wenn das berechnete Ergebnis nicht gleich dem erwarteten Ergebnis ist, bestimmt das zweite Steuermodul 42 die erste ALU 48 als fehlerhaft.
Danach kann das zweite Steuermodul 42 die Spannungsversorgung für das erste Steuermodul 40 abschalten, was das erste Subsystem dazu zwingt, in einer Vorgabe-Betriebsart zu arbeiten. In verschiedenen Ausführungsformen kann das zweite Steuermodul 42 das erste Steuermodul 40 durch einen internen, jedoch unabhängigen Prozess in dem ersten Steuermodul 40 (nicht gezeigt) oder durch ein von dem ersten Steuermodul 40 getrenntes externes Verfahren abschalten, wie in 3 gezeigt ist. In verschiedenen anderen Ausführungsformen kann das zweite Steuermodul 42 dem ersten Steuermodul 40 ein Rücksetzen im Betrieb befehlen, wodurch das Rücksetzen des ersten Subsystems veranlasst wird.
4 ist ein Ablaufplan, der ein Verfahren erläutert, das durch das zweite Steuermodul 42 des verteilten ALU-Sicherheitsprüfsystems ausgeführt wird. Das Verfahren kann periodisch abgewickelt werden, während das Fahrzeug 20 eingeschaltet ist. In verschiedenen anderen Ausführungsformen kann das Verfahren bei einer Initiierung durch eine externe Anforderung abgewickelt werden. Beispielsweise kann ein Fahrzeugtechniker ein Diagnosewerkzeug mit dem Fahrzeug verbinden und eine ALU-Validitätsprüfungsanforderung erzeugen, die das Verfahren einleitet.
Die Steuerung überträgt bei 100 eine Anforderung zum Berechnen einer vorgegebenen arithmetischen Operation. Die Steuerung empfängt bei 110 eine Antwort auf die Anforderung, die ein berechnetes Ergebnis umfasst. Die Steuerung vergleicht bei 120 das berechnete Ergebnis mit einem vorgegebenen erwarteten Ergebnis. Wenn das berechnete Ergebnis gleich dem erwarteten Ergebnis ist, bestimmt die Steuerung, dass die erste ALU korrekt arbeitet. Wenn das berechnete Ergebnis nicht gleich dem erwarteten Ergebnis ist, bestimmt die Steuerung die ALU-Funktionsweise des ersten Steuermoduls als fehlerhaft. Bei 130 wird ein Fehlerzähler inkrementiert. Wenn der Fehlerzähler bei 140 einen vorgegebenen Schwellenwert überschreitet, sperrt die Steuerung bei 150 das erste Steuermodul.
5 ist ein Ablaufplan, der ein Verfahren erläutert, das durch das erste Steuermodul des verteilten ALU-Sicherheitsprüfsystems abgewickelt wird. Das Verfahren kann auf der von dem zweiten Steuermodul empfangenen Anforderung basierend eingeleitet werden. Die Steuerung empfangt bei 200 eine Anforderung zum Ausführen einer vorgegebenen Berechnung. Die Steuerung berechnet bei 210 auf der Grundlage der vorgegebenen Berechnung eine Antwort. Die Steuerung überträgt die vorgegebene Berechnung bei 220.
Sobald die ALU des ersten Steuermoduls als fehlerhaft bestimmt wird, kann ein Diagnosecode, der den Fehler angibt, gesetzt werden. In verschiedenen Ausführungsformen kann der Diagnosecode von einem Wartungstechniker über ein mit dem Fahrzeug verbundenes technisches Werkzeug abgerufen werden. In verschiedenen anderen Ausführungsformen kann der Diagnosecode drahtlos zu einem fernen Techniker übertragen werden. In verschiedenen weiteren Ausführungsformen kann über ein Armaturenbrett des Fahrzeugs ein hörbares oder sichtbares Warnsignal erzeugt werden, um dem Fahrer anzugeben, dass eine Fehlfunktion des Fahrzeugs eingetreten ist.

Claims

Fahrzeugdiagnosesystem, umfassend: ein erstes Steuermodul (40), das einen ersten Prozessor (46) umfasst und das ein erstes Fahrzeugsubsystem (22) steuert; und ein zweites Steuermodul (42), das ein zweites Fahrzeugsubsystem (24) steuert und das die Funktionsweise des ersten Prozessors (46) des ersten Steuermoduls (40) validiert, dadurch gekennzeichnet, dass das zweite Steuermodul (42) dann, wenn es bestimmt, dass der erste Prozessor (46) des ersten Steuermoduls (40) fehlerhaft ist, das erste Steuermodul (40) abschaltet, wobei der erste Prozessor (46) eine Arithmetik-Logik-Einheit (48) umfasst und wobei das zweite Steuermodul (42) die Funktionsweise der Arithmetik-Logik-Einheit (48) des ersten Prozessors (46) validiert, wobei das zweite Steuermodul (42) eine arithmetische Anforderung an das erste Steuermodul (40) sendet, eine Rückmeldung auf die Anforderung von dem ersten Steuermodul (40) empfängt und eine fehlerhafte Arithmetik-Logik-Einheit (48) erfasst, wenn die Rückmeldung nicht gleich einem vorgegebenen Ergebnis ist, wobei das zweite Steuermodul (42) das Senden einer arithmetischen Anforderung an das erste Steuermodul (40) und das Empfangen einer Rückmeldung auf die Anforderung von dem ersten Steuermodul (40) wiederholt und wobei das zweite Steuermodul (42) eine fehlerhafte Arithmetik-Logik-Einheit (48) erfasst, wenn die Rückmeldung für eine vorgegebene Anzahl von Malen nicht gleich einem vorgegebenen Ergebnis ist, wobei das zweite Steuermodul (42) das erste Steuermodul (40) abschaltet, indem es die Spannungsversorgung (16) für das erste Steuermodul (40) durch Senden eines Signals an ein System abschaltet.
Fahrzeugdiagnosesystem nach Anspruch 1, bei dem das erste Steuermodul (40) eine arithmetische Anforderung empfängt, auf der Grundlage der Anforderung eine Rückmeldung berechnet und die Rückmeldung zu dem zweiten Steuermodul (42) überträgt.
Fahrzeugdiagnosesystem nach Anspruch 1, bei dem das zweite Steuermodul (42) ein Abschalten des ersten Steuermoduls (40) vornimmt, indem es die Spannungsversorgung (16) für das erste Steuermodul (40) durch ein System außerhalb des ersten Steuermoduls (40) abschaltet.
Fahrzeugdiagnosesystem nach Anspruch 1, bei dem das zweite Steuermodul (42) ein Rücksetzen des ersten Steuermoduls (40) im Betrieb befiehlt.
Fahrzeugdiagnosesystem nach Anspruch 1, bei dem das zweite Steuermodul (42) einen Diagnosecode setzt, wenn der erste Prozessor (46) als fehlerhaft bestimmt wird.
Fahrzeugdiagnosesystem nach Anspruch 1, bei dem das zweite Steuermodul (42) ein Signal zum Einschalten einer Anzeigeleuchte sendet, wenn der erste Prozessor (46) als fehlerhaft bestimmt wird.
Fahrzeugdiagnosesystem nach Anspruch 1, bei dem das zweite Steuermodul (42) ein Signal zum Initiieren eines hörbaren Warnsig nals sendet, wenn der erste Prozessor (46) als fehlerhaft bestimmt wird.
Fahrzeugdiagnosesystem nach Anspruch 1, bei dem das zweite Steuermodul (42) den Diagnosecode gemäß einem Drahtlosprotokoll zu einem entfernten Ort überträgt.
Verfahren zum Erfassen einer fehlerhaften Arithmetik-Logik-Einheit (48) eines ersten Steuermoduls (40) durch ein zweites Steuermodul (42), das umfasst: durch das zweite Steuermodul (42), Übertragen einer arithmetischen Anforderung zu dem ersten Steuermodul (40); durch das zweite Steuermodul (42), Empfangen einer Antwort von dem ersten Steuermodul (40), die ein Ergebnis auf die arithmetische Anforderung umfasst; und durch das zweite Steuermodul (42), Senden eines Signals zum Erzwingen eines Abschaltens (12) der Stromversorgung des ersten Steuermoduls (40), wenn die Rückmeldung nicht gleich einem vorgegebenen Ergebnis ist, wobei das Verfahren ferner umfasst: durch das erste Steuermodul (40), Empfangen der arithmetischen Anforderung von dem zweiten Steuermodul (42); Berechnen einer Antwort auf der Grundlage der arithmetischen Anforderung; und Übertragen einer Rückmeldung, die die Antwort umfasst, zu dem zweiten Steuermodul (42), wobei das Verfahren ferner das Wiederholen des Übertragens und des Sendens für eine vorgegebene Anzahl von Malen umfasst, wobei das Senden eines Signals zum Abschalten des ersten Steuermoduls (40) erfolgt, wenn die Rückmeldung für eine vorgegebene Anzahl von Malen nicht gleich einem vorgegebenen Ergebnis ist.
Verfahren nach Anspruch 9, das ferner das Betreiben des Fahrzeugs (20) in einer Vorgabe-Betriebsart, sobald das erste Steuermodul (40) abgeschaltet ist, umfasst.
Verfahren nach Anspruch 9, das ferner das Setzen eines Diagnosecodes, wenn der erste Prozessor (46) als fehlerhaft bestimmt wird, umfasst.
Verfahren nach Anspruch 9, das ferner das Senden eines Signals zum Einschalten einer Anzeigeleuchte, wenn die Rückmeldung nicht gleich einem vorgegebenen Ergebnis ist, umfasst.
Verfahren nach Anspruch 9, das ferner das Senden eines Signals zum Initiieren eines hörbaren Warnsignals, wenn die Rückmeldung nicht gleich einem vorgegebenen Ergebnis ist, umfasst.
Verfahren nach Anspruch 11, das ferner das Übertragen des Diagnosecodes gemäß einem Drahtlosprotokoll zu einem entfernten Ort umfasst.