DE102008000253A1

DE102008000253A1 - Prozessorgesundheitsprüfung unter Verwendung eines intelligenten Peripheriegerätes

Info

Publication number: DE102008000253A1
Application number: DE102008000253A
Authority: DE
Inventors: Shashikant G. Canton Vhasure; Gary P. Canton Miller
Original assignee: Visteon Global Technologies Inc
Current assignee: Visteon Global Technologies Inc
Priority date: 2007-02-23
Filing date: 2008-02-07
Publication date: 2008-09-04
Also published as: US20080208402A1

Abstract

Ein elektronisches Sicherheitsüberwachungssystem, das einen Prozessor mit einem Hauptprozessor und einer Testeinheit umfasst. Der Hauptprozessor steht mit der Testeinheit in Verbindung und umfasst eine Steuersoftware und eine unabhängige Plausibilitätsprüfsoftware. Die Steuersoftware konfiguriert den Hauptprozessor für die Ausgabe eines Steuersignals, das einem Fahreranforderungseingabesignal entspricht. Die unabhängige Plausibilitätsprüfsoftware konfiguriert den Hauptprozessor für die Ausgabe eines Freigabesignals, wenn das Steuersignal genau dem Fahreranforderungseingabesignal entspricht. Die Testeinheit ist dafür konfiguriert zu bestimmen, ob der Hauptprozessor die Steuersoftware und die unabhängige Plausibilitätsprüfsoftware korrekt ausführt.

Description

ALLGEMEINER STAND DER TECHNIK
1. Gebiet der Erfindung
Die vorliegende Erfindung betrifft elektronische Sicherheitsüberwachungssysteme und insbesondere elektronische Sicherheitsüberwachungssysteme für Kraftfahrzeuge.
2. Stand der Technik
In der Vergangenheit interagierte ein Fahrer eines Kraftfahrzeuges mit dem Kraftfahrzeug über eine Reihe mechanischer Eingaben in Verbindung mit mechanischen und/oder hydraulischen Systemen. Wenn der Fahrer zum Beispiel wünschte, dass das Kraftfahrzeug beschleunigte, betätigte der Fahrer ein Gaspedal und bewirkte damit die Beschleunigung des Kraftfahrzeugs. Wenn der Fahrer das Gaspedal drückte, übertrug eine Reihe mechanischer und/oder hydraulischer Systeme die Eingabe des Fahrers zu einer Motordrosselklappe.
Seit der Einführung der Drive-by-Wire-Steuersysteme für Motor, Lenkung und Bremsen wird eine Eingabe des Fahrers über ein elektronisches Signal an diese Drive-by-Wire-Systeme übertragen. Wenn der Fahrer zum Beispiel das Gaspedal drückt, misst ein elektronisches System, wie stark das Pedal gedrückt wird und sendet ein elektrisches Signal an den Motorsteuerungscomputer. Von dort sendet der Motorsteuerungscomputer ein Signal, um die Motordrosselklappe zu betätigen.
Es ist von großer Wichtigkeit, dass diese Drive-by-Wire-Systeme derart betätigt werden, dass die Betätigung der Eingabe vom Fahrer entspricht. Wenn zum Beispiel der Fahrer das Kraftfahrzeug langsam beschleunigen möchte, drückt er leicht auf das Gaspedal, das ein entsprechendes Signal an den Motorsteuerungscomputer sendet. Wenn der Motorsteuerungscomputer ein Signal zur Betätigung der Motordrosselklappe ausgibt, das nicht der Eingabe vom Fahrer entspricht, kann eine gefährliche Fahrsituation auftreten.
Um das Auftreten solch einer Situation zu minimieren, wurden zahlreiche Sicherheitssysteme und Backup-Systeme entwickelt, um zu bestimmen, ob die für den Motor, die Brems- und Lenksysteme bereitgestellten Signale der Eingabe vom Fahrer entsprechen. Zum Beispiel bestimmt, wie in der US-Patentschrift 6,490,511 für Raftari u. a. dargestellt, eine Hauptcontrollerschaltung die Eingabe vom Fahrer. Eine von der Hauptcontrollerschaltung getrennte Testeinheit überprüft, dass die Hauptcontrollerschaltung exakt arbeitet. Typisch sind die Hauptcontrollerschaltung und die Testeinheit auf eine Reihe verschiedener Halbleiterschaltkreise verteilt. Es werden mehrere Halbleiterschaltkreise verwendet, um Gleichtaktfehler zu vermeiden, die auftreten können, wenn die Haupt- und Backup-Systeme auf einem einzelnen Halbleiterschaltkreis angeordnet sind. Obwohl jedoch dieses System wirkungsvoll ist, ist die Verwendung mehrerer Halbleiterschaltkreise kostspielig und sollte vermieden werden. Deshalb besteht ein Bedarf an einem kostengünstigeren elektronischen Sicherheitsüberwachungssystem.
KURZDARSTELLUNG DER ERFINDUNG
Zur Deckung des oben genannten Bedarfs sowie zur Überwindung der aufgezählten Nachteile und anderen Beschränkungen des Standes der Technik stellt die vorliegende Erfindung ein elektronisches Sicherheitsüberwachungssystem mit einem Prozessor bereit. Der Prozessor umfasst sowohl einen Hauptprozessor als auch eine Testeinheit. Der Hauptprozessor steht in Verbindung mit der Testeinheit und umfasst außerdem Steuersoftware und eine unabhängige Plausibilitätsprüfsoftware. Die Steuersoftware konfiguriert den Hauptprozessor für die Ausgabe eines Steuersignals, das einem Fahreranforderungseingabesignal entspricht. Die unabhängige Plausibilitätsprüfsoftware konfiguriert den Hauptprozessor für die Ausgabe eines Freigabesignals, wenn das Steuersignal genau dem Fahreranforderungseingabesignal entspricht. Die Testeinheit ist dafür konfiguriert zu bestimmen, ob der Hauptprozessor die Steuersoftware und die unabhängige Plausibilitätsprüfsoftware exakt ausführt.
Der Hauptprozessor kann ferner durch die unabhängige Plausibilitätsprüfsoftware für die Ausgabe eines Hauptprozessorsignals konfiguriert sein, wenn das Steuersignal genau dem Fahreranforderungseingabesignal entspricht. Außerdem kann die Testeinheit für die Ausgabe eines Testeinheitssignals konfiguriert sein, wenn der Hauptprozessor die Steuersoftware und die unabhängige Plausibilitätsprüfsoftware exakt ausführt. Schließlich kann ein vom Prozessor getrennter Überwachungsschaltkreis in Verbindung mit dem Hauptprozessor und der Testeinheit stehen und für die Ausgabe eines Überwachungssperrsignals konfiguriert sein, wenn die Überwachung das Hauptprozessorsignal oder das Testeinheitssignal nicht empfängt.
Weitere Aufgaben, Merkmale und Vorteile dieser Erfindung werden für Fachleute nach dem Studium der folgenden Beschreibung anhand der Zeichnungen und Ansprüche, die dieser Beschreibung beigefügt sind und einen Teil dieser Beschreibung bilden, ohne weiteres ersichtlich.
KURZBESCHREIBUNG DER ZEICHNUNGEN
1 stellt ein elektronisches Sicherheitsüberwachungssystem dar, das die Prinzipien der vorliegenden Erfindung umsetzt.
2 stellt ein elektronisches Sicherheitsüberwachungssystem mit einem Überwachungsschaltkreis dar, das die Prinzipien der vorliegenden Erfindung umsetzt.
DETAILLIERTE BESCHREIBUNG
In 1 ist ein elektronisches Sicherheitsüberwachungssystem 10 gezeigt. Das elektronische Sicherheitsüberwachungssystem 10 umfasst einen Prozessor 12 mit einem Hauptprozessor 14 und einer Testeinheit 16. Die Testeinheit 16 kann ein Coprozessor, ein Stapelchip (Stacked Die) oder ein intelligentes Peripheriegerät sein, wie jene, die auf Power-PC-Mikroprozessoren vorhanden sind, die von Freescale Semiconductor, Inc., Austin, Texas, hergestellt werden. Die Testeinheit 16 und der Hauptprozessor 14 stehen miteinander in Verbindung, wie Pfeil 18 anzeigt.
Der Hauptprozessor 14 umfasst eine Steuersoftware 20 und eine unabhängige Plausibilitätsprüfsoftware (Independent Plausibility Check Software, IPC-Software) 22. Wie später beschrieben werden wird, enthalten die Hauptsteuersoftware 20 und die IPC-Software 22 Befehle, die vom Hauptprozessor 14 ausgeführt werden. Diese Befehle konfigurieren den Hauptprozessor 14 für die Ausführung einer Reihe von Aufgaben, wie unten ausgeführt werden wird.
Der Hauptprozessor 14 ist für den Empfang eines Fahreranforderungseingabesignals 24 konfiguriert. Das Fahreranforderungseingabesignal 24 kann jedes Drive-by-Wire-Signal sein, insbesondere ein Anforderungssignal zur elektronischen Drosselung (Throttle-by-Wire), ein Anforderungssignal zur elektronischen Bremsung (Brake-by-Wire) oder eines Anforderungssignals zur elektronischen Lenkung (Steer-by-Wire). Ein Anforderungssignal zur elektronischen Drosselung ist ein Signal, das die Ausgabeleistung anzeigt, die ein Motor erbringen soll, ein Anforderungssignal zu elektronischen Bremsung ist ein Signal, das die Bremskraft anzeigt, die die Bremsen eines Kraftfahrzeuges erbringen sollen, und ein Anforderungssignal zur elektronischen Lenkung ist ein Signal, das den Umfang anzeigt, in dem das Lenksystem betätigt werden soll.
Die Hauptsteuersoftware 20 konfiguriert den Prozessor für den Empfang des Fahreranforderungssignals 24 und für die Ausgabe eines Steuersignals 26 auszugeben. Das Steuersignal 26 ist ein Signal, das ein System 25 anweist, in einer bestimmten Art und Weise zu arbeiten. Das System 25 kann ein Motor, eine Brems- oder eine Lenkeinheit sein.
Die IPC-Software 22 konfiguriert den Hauptprozessor 14 dafür, zu bestimmen, ob das Steuersignal 26 dem Fahreranforderungssignal 24 genau entspricht. Wenn das Steuersignal 26 dem Anforderungssignal 24 genau entspricht, gibt der Hauptprozessor 14 ein Freigabesignal 28 an das System 25 aus. Wenn der Hauptprozessor 14 dagegen bestimmt, dass das Steuersignal 26 nicht dem Fahreranforderungssignal 24 entspricht, wird das Freigabesignal 28 nicht an das System 25 ausgegeben. Indem kein Freigabesignal 28 ausgegeben wird, wird das System 25 gesperrt oder in einen abgesicherten Betriebsmodus versetzt, in dem Backup-Systeme ausgelöst werden.
Wie bereits angemerkt, ist die Testeinheit 16 im Prozessor 12 angeordnet. Die Testeinheit 16 ist dafür konfiguriert, den Hauptprozessor 14 zu bewerten und zu bestimmen, ob der Hauptprozessor 14 korrekt arbeitet. Insbesondere führt die Testeinheit 16 eine Reihe von Prüfungen des Hauptprozessors 14 durch um zu bestimmen, ob der Hauptprozessor 14 die Hauptsteuersoftware 20 und die IPC-Software 22 exakt ausführt. Diese Prüfungen umfassen eine Befehlssatzprüfung, eine Überwachungsprüfung der Aufgaben des Programmablaufes, eine Überwachungsprüfung der Abfolge des Programmablaufes und eine RAM/ROM-Prüfung.
Wenn die Testeinheit 16 bestimmt, dass der Hauptprozessor 14 die Hauptsteuersoftware 20 und die IPC-Software 22 exakt ausführt, gibt die Testeinheit 16 ein Testeinheitssignal 30 aus. Allgemein ist das Testeinheitssignal 30 ein Wechselsignal. Zum Beispiel wird die Testeinheit 16 den Hauptprozessor 14 regelmäßig überwachen. Immer wenn die Testeinheit 16 bestimmt, dass der Hauptprozessor 14 die Hauptsteuersoftware 20 und die IPC-Software 22 exakt ausführt, wird die Testeinheit 16 die Ausgabe des Testeinheitssignals 30 zwischen einem Hoch-Zustand und einem Niedrig-Zustand hin und her schalten. Alternativ kann das Testeinheitssignal 30 ein analoges Signal oder ein digitales Signal sein. Zum Beispiel kann das analoge Signal eine analoge Ausgabe mit einer bestimmten Frequenz sein. Das digitale Signal kann ein digitales Hoch-Signal sein, das von der Testeinheit 16 nur dann gesendet wird, wenn die Testeinheit 16 bestimmt, dass die Hauptsteuersoftware 20 oder die IPC-Software 22 vom Hauptprozessor 14 nicht exakt ausgeführt wird.
Die IPC-Software 22 konfiguriert den Hauptprozessor 14 auch für die Ausführung einer Reihe von Prüfungen der Testeineinheit 16. Wenn der Hauptprozessor 14 bestimmt, dass die Testeinheit 16 ordnungsgemäß arbeitet, gibt der Hauptprozessor 14 ein Hauptprozessorsignal 32 aus. Das Hauptprozessorsignal 32 kann dem Testeinheitssignal 30 insofern ähneln, als das Hauptprozessorsignal 32 ein Wechselsignal, ein analoges Signal oder ein digitales Signal sein kann.
In 2 ist eine weitere Ausführungsform des elektronischen Sicherheitsüberwachungssystems 10' gezeigt. Das elektronische Sicherheitsüberwachungssystem 10' dieser Ausführungsform ähnelt dem elektronischen Sicherheitsüberwachungssystem 10 der 1, jedoch steht mit dem Testeinheitssignal 30 und dem Hauptprozessorsignal 32 ein Überwachungsschaltkreis 34 in Verbindung. In jeder anderen Hinsicht arbeitet das System 10' wie bereits erläutert. Zu Einzelheiten wird deshalb auf die vorangehenden Abschnitte dieses Dokuments verwiesen.
Die Herstellung eines einzelnen Siliziumchips, der sowohl den Hauptprozessor 14 und die Testeinheit 16 als Teil eines Einzelprozessors 12 enthält, ist sehr kostengünstig. Doch kann die Herstellung des Hauptprozessors 14 und der Testeinheit 16 als Teil desselben Chips das Auftreten von Gleichtaktfehlern sowohl in der Testeinheit 16 als auch dem Hauptprozessor 14 ermöglichen. Hierbei benutzen der Hauptprozessor 14 und die Testeinheit 16 gemeinsam denselben Taktgeber, dieselbe Energieversorgung und denselben Speicher. Jeder Fehler in der Taktschaltung, der Energieversorgung oder im Speicher beeinflusst sowohl den Hauptprozessor 14 als auch die Testeinheit 16. Wenn sie nicht erkannt werden, können diese Gleichtaktfehler möglicherweise zu einem Zustand ungeminderter Leistung führen, die größer als der Bedarf ist.
Um Gleichtaktfehler zu erkennen, der sowohl im Hauptprozessor 14 als auch in der Testeinheit 16 auftreten können, ist der vom Prozessor 12 getrennte Überwachungsschaltkreis 34 für die Ausgabe eines Sperrsignals 36 konfiguriert, wenn der Überwachungsschaltkreis weder das Testeinheitssignal 30 noch das Hauptprozessorsignal 32 empfängt. Obwohl das Trennen der Testeinheit 16 vom Hauptprozessor 14 Gleichtaktfehler vermeiden und dadurch die Notwendigkeit des Überwachungsschaltkreises 34 beseitigen würde, ist der Überwachungsschaltkreis 34 ein preiswerter Schaltkreis, dessen Kosten geringer sind als Testeinheit und Hauptprozessor voneinander zu trennen.
Der Überwachungsschaltkreis 34 kann außerdem für die Ausgabe eines Übersteuerungssignals 38 an das System 25 konfiguriert werden, um zusätzliche Befehle an das System 25 zu leiten. Wenn das System 25 zum Beispiel ein Motor ist, kann das Übersteuerungssignal 38 den Umfang der angelegten Drosselung verringern und/oder das Luftansaug- und das Abgassystem des Motors regeln.
Wie ein Fachmann ohne weiteres erkennen wird, ist die vorangegangene Beschreibung als eine Veranschaulichung der Umsetzung der Prinzipien dieser Erfindung gedacht. Diese Beschreibung soll den Schutzumfang oder den Anwendungsbereich dieser Erfindung insofern nicht begrenzen, als die Erfindung modifiziert, variiert und verändert werden kann, ohne von dem in den folgenden Ansprüchen definierten Geist dieser Erfindung abzuweichen.

10: elektronisches Sicherheitsüberwachungssystem
10': elektronisches Sicherheitsüberwachungssystem
12: Prozessor
14: Hauptprozessor
16: Testeinheit
18: Verbindung zwischen Testeinheit und Hauptprozessor
20: Steuersoftware
22: unabhängige Plausibilitätsprüfsoftware (IPC-Software)
24: Fahreranforderungseingabesignal
25: System, z. B. Motor
26: Steuersignal
28: Freigabesignal
30: Testeinheitssignal
32: Hauptprozessorsignal
34: Überwachungsschaltkreis
36: Sperrsignal
38: Übersteuerungssignal

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

- US 6490511 [0005]

Claims

Elektronisches Sicherheitsüberwachungssystem (10, 10'), wobei das System umfasst: einen Prozessor (12) mit einem Hauptprozessor (14) und einer Testeinheit (16), wobei der Hauptprozessor (14) mit der Testeinheit (16) in Verbindung steht, wobei der Hauptprozessor (14) eine Steuersoftware (20) und eine unabhängige Plausibilitätsprüfsoftware (22) aufweist, wobei der Hauptprozessor (14) durch die Steuersoftware (20) für die Ausgabe eines Steuersignals (26) konfiguriert ist, das dem Fahreranforderungseingabesignal (24) entspricht, und der Hauptprozessor (14) durch die unabhängige Plausibilitätsprüfsoftware (22) für die Ausgabe eines Freigabesignals (28) konfiguriert ist, wenn das Steuersignal (26) dem Fahreranforderungseingabesignal (24) genau entspricht, und wobei die Testeinheit (16) dafür konfiguriert ist zu bestimmen, ob der Hauptprozessor (14) die Steuersoftware (20) und die unabhängige Plausibilitätsprüfsoftware (22) korrekt ausführt.
System (10, 10') nach Anspruch 1, wobei die Testeinheit (16) ein Coprozessor, ein intelligentes Peripheriegerät oder ein Stapelchip (Stacked Die) ist.
System (10, 10') nach Anspruch 1 oder 2, ferner umfassend: dass der Hauptprozessor (14) durch die unabhängige Plausibilitätsprüfsoftware (22) für die Ausgabe eines Hauptprozessorsignals (32) konfiguriert ist, wenn das Steuersignal (26) dem Fahreranforderungseingabesignal (24) genau entspricht, und dass die Testeinheit (16) für die Ausgabe eines Testeinheitssignals (30) konfiguriert ist, wenn der Hauptprozessor (14) die Steuersoftware (20) und die unabhängige Plausibilitätsprüfsoftware (22) korrekt ausführt.
System (10, 10') nach Anspruch 1 bis 3, wobei das Hauptprozessorsignal (32) entweder ein Wechselsignal, ein analoges Signal oder ein digitales Signal ist.
System (10, 10') nach Anspruch 1 bis 4, wobei das Testeinheitssignal (30) entweder ein Wechselsignal, ein analoges Signal oder ein digitales Signal ist.
System (10') nach Anspruch 1 bis 5, ferner umfassend: einen Überwachungsschaltkreis (34), der in Verbindung mit dem Hauptprozessor (14) und der Testeinheit (16) steht, und wobei der Überwachungsschaltkreis (34) für die Ausgabe eines Übersteuerungssignals (38) konfiguriert ist, wenn die Überwachung das Hauptprozessorsignal (32) oder das Testeinheitssignal (30) nicht empfängt.
System (10, 10') nach Anspruch 1 bis 6, wobei der Hauptprozessor (14) durch die unabhängige Plausibilitätsprüfsoftware (22) für die Ausgabe des Freigabesignals (28) konfiguriert wird, wenn die Testeinheit (16) ordnungsgemäß arbeitet.
System (10, 10') nach Anspruch 7, wobei der Hauptprozessor (14) für die Ausgabe des Hauptprozessorsignals (32) konfiguriert ist, wenn das Steuersignal (26) dem Fahreranforderungseingabesignal (24) genau entspricht und die Testeinheit (16) ordnungsgemäß arbeitet.
System (10, 10') nach Anspruch 8, wobei das Hauptprozessorsignal (32) entweder ein Wechselsignal, ein analoges Signal oder ein digitales Signal ist.
System (10, 10') nach Anspruch 1 bis 9, wobei das Fahreranforderungseingabesignal (24) ein Drive-by-Wire-Signal ist.
System (10, 10') nach Anspruch 1 bis 10, wobei Drive-by-Wire-Signal entweder ein Anforderungssignal zur elektronischen Drosselung (Throttle-by-Wire), ein Anforderungssignal zur elektronischen Bremsung (Brake-by-Wire) oder ein Anforderungssignal zur elektronischen Lenkung (Steer-by-Wire) ist.