DE102009026741A1

DE102009026741A1 - An electronic control system and method for checking the correct operation of a computing unit in an electronic control system

Info

Publication number: DE102009026741A1
Application number: DE102009026741A
Authority: DE
Inventors: Meike Fehse; Marcus Schneider
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2009-06-04
Filing date: 2009-06-04
Publication date: 2011-02-03
Also published as: WO2010139565A1

Abstract

In einem elektronischen Steuersystem (11) mit mindestens zwei Steuereinheiten (12, 13), die über einen Datenbus (14) verbunden sind, wobei jede Steuereinheit einen Mikrocontroller (15, 17) mit einer Recheneinheit (16, 18) aufweist, prüft eine prüfende Steuereinheit (12) die korrekte Funktion einer geprüften Steuereinheit (13). Die prüfende Steuereinheit (12) sendet eine Prüfungsanfrage an die geprüfte Steuereinheit (13). Die geprüfte Steuereinheit (13) bestimmt ein Funktionsergebnis aus der Berechnung einer Überprüfungsfunktion in der Recheneinheit (18) der geprüften Steuereinheit (13) und sendet eine Antwort auf die Prüfungsanfrage mit dem Funktionsergebnis an die prüfende Steuereinheit (12). Die prüfende Steuereinheit (12) vergleicht das Funktionsergebnis mit einem Soll-Funktionsergebnis.In an electronic control system (11) with at least two control units (12, 13) which are connected via a data bus (14), each control unit having a microcontroller (15, 17) with a computing unit (16, 18), a checking unit checks Control unit (12) the correct functioning of a tested control unit (13). The checking control unit (12) sends a checking request to the checked control unit (13). The checked control unit (13) determines a function result from the calculation of a check function in the arithmetic unit (18) of the checked control unit (13) and sends a response to the check request with the function result to the checking control unit (12). The checking control unit (12) compares the functional result with a target functional result.

Description

Stand der TechnikState of the art

Die Erfindung geht aus von einem elektronischen Steuersystem mit mindestens zwei Steuereinheiten und einem Verfahren zum Prüfen der korrekten Funktion einer Recheneinheit in einem Mikrocontroller in einem elektronischen Steuersystem mit mindestens zwei Steuereinheiten.The Invention is based on an electronic control system with at least two control units and a method for checking the correct function of a computing unit in a microcontroller in an electronic control system with at least two control units.

Sogenannte Parklückenvermessungssysteme messen mittels eines seitlich am Fahrzeug angebrachten Ultraschallsensors während der Fahrt die Distanz zu neben dem Fahrzeug befindlichen Objekten. Aus dem erhaltenen Ultraschallsignal werden mit Hilfe eines Eckenermittlungsalgorithmus Fahrzeugecken von neben dem fahrenden Fahrzeug stehenden Fahrzeugen ermittelt. Wird eine Lücke zwischen zwei Fahrzeugecken ermittelt, in der keine weiteren Objekte detektiert worden sind, so wird die Größe der Lücke ermittelt und bei Eignung als Parklücke dem Fahrer geeignet zur Anzeige gebracht.So-called Parking space measurement systems measure by means of a side mounted on the vehicle ultrasonic sensor during the Drive the distance to objects next to the vehicle. Out The obtained ultrasonic signal is detected by means of a corner determination algorithm Vehicle corners of vehicles standing next to the moving vehicle determined. Will a gap between two vehicle corners determined in which no other objects have been detected, this determines the size of the gap and if suitable as a parking space the driver suitable for display brought.

In einer Weiterentwicklung dieses Systems als Einparksteuerung werden die berechneten Positionen der Ecken weiterverarbeitet, so dass das damit ausgerüstete Fahrzeug semiautonom einparken kann. Das Fahrzeug lenkt dabei selbst, der Fahrer betätigt lediglich die Bremse und wechselt den Gang. Die Ansteuerung der Lenkung erfolgt dabei indirekt. Anhand einer zuvor berechneten Einparkbahn bestimmt ein Einparkhilfesteuergerät in Abhängigkeit von der aktuellen Fahrzeugposition die notwendige Lenkbewegung, um dieser Einparkbahn zu folgen. Diese Lenkbewegung wird als Lenkanforderung mittels eines kraftfahrzeugtypischen Datenbus, z. B. CAN, FlexRay, an ein Lenkungssteuergerät übertragen, welches daraufhin die Lenkungsanforderung in eine Betätigung der Lenkung umsetzt.In a further development of this system as Einparksteuerung the calculated positions of the corners are further processed, so that the vehicle equipped with it can park semiautonomously. The vehicle steers itself, the driver only operates the brake and change the gear. The control of the steering takes place Indirectly. Based on a previously calculated Einparkbahn determined a Einparkhilesteuergerät depending on the current vehicle position the necessary steering movement to this Parking to follow. This steering movement is called steering demand by means of a motor vehicle typical data bus, z. CAN, FlexRay, transmitted to a steering control unit, which then the steering request in an operation of Steering implemented.

Üblicherweise wird in sicherheitsrelevanten Steuergeräten, z. B. Bremse, Lenkung, der eigentliche Mikrocontroller durch einen zweiten Mikrocontroller oder zumindest durch eine ”schlaue” elektronische Schaltung, ein so genannter ”intelligenter Watchdog”, der auch in der Lage ist Berechnungen durchzuführen, überwacht. Wird ein Fehler im eigentlichen Mikrocontroller festgestellt, so werden Maßnahmen eingeleitet, die zu einem sicheren Betriebszustand des Fahrzeugs führen, z. B. Beenden des Lenkeingriffs, Abkoppeln des fehlerhaften Steuergerätes vom Datenbus.Usually is used in safety-related control devices, eg. Brake, Steering, the actual microcontroller through a second microcontroller or at least by a "smart" electronic Circuit, a so-called "intelligent watchdog", which is also able to perform calculations, monitors. If an error is detected in the actual microcontroller, so Measures are taken which lead to a safe operating condition lead the vehicle, z. B. ending the steering intervention, Disconnecting the faulty control unit from the data bus.

Bei wichtigen Daten wird ein Datenpaket zusätzlich zu den Nutzdaten mit einer Checksumme oder einem CRC (cyclic redundancy check) versehen. Kennt der Empfänger des Datenpakets die Berechnungsvorschrift der Checksumme bzw. des CRC, so kann er aus den empfangenen Daten ebenfalls die Checksumme bzw. das CRC berechnen. Stimmen die vom Empfänger empfangenen und berechneten Checksummen bzw. CRC nicht überein, so liegt definitiv ein Fehler bei der Datenübertragung vor. Der Empfänger kann nun geeignete Maßnahmen einleiten. Eine Checksumme basiert auf der Bildung der arithmetischen Summe ”+” von Datenbytes in einem Datenfeld. Eine CRC-Berechnung basiert auf Bit-Verschiebe(shift left) und Exclusiv-Oder-Verknüpfungen (XOR).at important data becomes a data packet in addition to the payload provided with a checksum or a CRC (cyclic redundancy check). Does the receiver of the data packet know the calculation rule the checksum or the CRC, it can from the received data also calculate the checksum or the CRC. Voices from the Recipient received and calculated checksums or CRC does not match, so there is definitely a mistake in the Data transfer before. The receiver can now appropriate Take action. A checksum is based on the formation of the arithmetic sum "+" of data bytes in one Data field. A CRC calculation is based on bit shifting (shift left) and Exclusive-Or shortcuts (XOR).

In der EP 0 556 805 wird ein Verfahren vorgestellt, in dem Daten auf eine Verfälschung während einer Übertragung hin überprüft werden. Dies erfolgt mittels einer softwarebasierten Codierung und parallelen Decodierung mit mehreren Mikrocontrollern in der empfangenden Steuereinheit.In the EP 0 556 805 A method is presented in which data is checked for corruption during transmission. This is done by means of a software-based coding and parallel decoding with several microcontrollers in the receiving control unit.

Die DE 10 2006 055 830 offenbart ein Verfahren zum Schutz eines Steuergerätes vor Manipulation mittels im Steuergerät hinterlegten und von außen anwählbaren kryptografischen Funktionen. Werden die Daten mit einer falschen Funktion verschlüsselt, so ist dies beim Entschlüsseln erkennbar.The DE 10 2006 055 830 discloses a method for protecting a control device against manipulation by means of stored in the control unit and selectable from the outside cryptographic functions. If the data is encrypted with a wrong function, this is recognizable during decryption.

In der DE 10 2006 014 267 wird ein Verfahren vorgeschlagen, mit dem eine Steuereinheit mit mehreren Recheneinheiten nach dem Verbauen überprüft werden kann.In the DE 10 2006 014 267 a method is proposed with which a control unit can be checked with several computing units after installation.

Offenbarung der ErfindungDisclosure of the invention

Das erfindungsgemäße elektronische Steuersystem und das erfindungsgemäße Verfahren zum Prüfen der korrekten Funktion einer Recheneinheit in einem Mikrocontroller in einem elektronischen Steuersystem haben den Vorteil, dass die korrekte Funktion der Recheneinheit in dem Mikrocontroller einer Steuereinheit mittels der anderen Steuereinheit überprüft werden kann, ohne dass der erhöhte Aufwand nach dem Stand der Technik mit zweitem Mikrocontroller oder intelligentem Watchdog in der zu prüfenden Steuereinheit erforderlich ist.The inventive electronic control system and the inventive method for testing the correct function of a computing unit in a microcontroller in an electronic tax system have the advantage that the correct operation of the arithmetic unit in the microcontroller of a control unit be checked by the other control unit can, without the increased effort according to the state of the Technology with second microcontroller or intelligent watchdog is required in the control unit to be tested.

Dies wird gemäß der Erfindung dadurch erreicht, dass eine prüfende Steuereinheit die korrekte Funktion einer geprüften Steuereinheit prüft, indem die prüfende Steuereinheit eine Prüfungsanfrage an die geprüfte Steuereinheit sendet, die geprüfte Steuereinheit ein Funktionsergebnis aus der Berechnung einer Überprüfungsfunktion in der Recheneinheit der geprüften Steuereinheit bestimmt und eine Antwort auf die Prüfungsanfrage mit dem Funktionsergebnis an die prüfende Steuereinheit sendet, und die prüfende Steuereinheit das Funktionsergebnis mit einem Soll-Funktionsergebnis vergleicht.This is achieved according to the invention characterized in that a checking control unit the correct function of a audited control unit checks by the examining Control unit an examination request to the tested Control unit sends, the tested control unit a functional result from the calculation of a verification function determined in the arithmetic unit of the tested control unit and an answer to the exam request with the result of the function the controlling unit sends, and the checking Control unit, the function result with a desired function result compares.

Ähnlich wie bei CRC-Verfahren üblich kennt im erfindungsgemäßen Verfahren die das Funktionsergebnis erhaltende prüfende Steuereinheit die Überprüfungsfunktion und kann daraus ein erwartetes Funktionsergebnis als Soll-Funktionsergebnis berechnen. Ein Fehler in der Recheneinheit der geprüften Steuereinheit führt zu einem Unterschied zwischen Funktionsergebnis und Soll-Funktionsergebnis und wird im Vergleich beider detektiert. In einem weiteren Unterschied zum CRC-Verfahren werden bei dem erfindungsgemäßen Verfahren nicht oder nicht nur die für die CRC Berechnung notwendigen Rechenoperationen benutzt, sondern weitere Rechenoperationen der Recheneinheit des Mikrocontrollers.Similar to the usual CRC method knows in the inventive method, the functional result obtained by the checking control unit Checking function and can calculate an expected function result as a desired function result. An error in the arithmetic unit of the tested control unit leads to a difference between the functional result and the desired functional result and is detected in the comparison of the two. In a further difference from the CRC method, in the method according to the invention, not or not only the arithmetic operations necessary for the CRC calculation are used, but further arithmetic operations of the arithmetic unit of the microcontroller.

Dieses Verfahren ist besonders vorteilhaft in Systemen, in denen eine Steuereinheit bereits eine sicherheitsrelevante Steuereinheit mit entsprechenden Eigenschaften ist, z. B. Lenkungs-, Brems- oder ABS-Steuergerät, die andere Steuereinheit jedoch diesen Status nicht aufweist. Die andere Steuereinheit kann dann in ein sicherheitsrelevantes System integriert werden, ohne als Einzelkomponente alle für den Status sicherheitsrelevant notwendigen Eigenschaften aufzuweisen, da Sicherheit des Systems durch die ständige Überprüfung der hinzukommenden Steuereinheit durch die bereits sicherheitsrelevante Steuereinheit gewährleistet ist.This Method is particularly advantageous in systems where a control unit already a safety-relevant control unit with appropriate Properties is, for. B. steering, braking or ABS control unit, however, the other control unit does not have this status. The another control unit can then be integrated into a safety-relevant system without being a security component for the status necessary properties, because of security of the system by the constant review of the added ones Control unit by the already safety-related control unit is guaranteed.

Durch die in den abhängigen Ansprüchen aufgeführten Maßnahmen sind vorteilhafte Weiterbildungen und Verbesserungen der in den unabhängigen Ansprüchen angegebenen Erfindung möglich. Vorzugsweise verwendet die Überprüfungsfunktion Daten, die in der geprüften Steuereinheit verfügbar sind. Es können auch von der Überprüfungsfunktion bestimmte Prüfdaten verwendet werden, die von der geprüften Steuereinheit über den Datenbus empfangen werden (Parameter 1, Parameter 2, ..., Parameter n). Die Daten können der prüfenden Steuereinheit bereits vorliegen, beispielsweise die von der geprüften Steuereinheit gemäß ihrer eigentlichen Funktion erzeugten Nutzdaten (Data 1, Data 2, ... Data n), oder von einer anderen Steuereinheit über den Datenbus an die geprüfte Steuereinheit gesendet werden. Insbesondere ist vorteilhaft, wenn die Prüfdaten von der prüfenden Steuereinheit gesendet werden. Dies ermöglicht es, dass der Empfänger der Nutzdaten von der geprüften Steuereinheit gezielten Einfluss auf die von der Überprüfungsfunktion verwendeten Daten hat. Vorteilhaft ist es, wenn die Prüfdaten an die Überprüfungsfunktion als Parameter übergeben werden.By those listed in the dependent claims Measures are advantageous developments and improvements that specified in the independent claims Invention possible. Preferably, the verification function uses data, which are available in the tested control unit. It can also be determined by the verification function Test data used by the tested Control unit are received via the data bus (parameters 1, parameter 2, ..., parameter n). The data can be examining control unit already exist, for example those checked by the control unit according to their actual function generated user data (Data 1, Data 2, ... Data n), or from another control unit via the data bus the tested control unit will be sent. Especially is advantageous if the test data from the examining Control unit to be sent. This allows that the recipient of the user data of the tested Control unit targeted influence on that of the verification function has used data. It is advantageous if the test data passed to the verification function as a parameter become.

Vorteilhafter Weise ist die Überprüfungsfunktion dergestalt, dass das Berechnen des Funktionsergebnisses vorbestimmte Rechenoperationen der Recheneinheit erfordert. Das werden im Wesentlichen die Operationen (+, –, *, /, >, <, =, shift left, shift right) sowie gegebenenfalls weitere Operationen des Rechenwerks sein. Die Überprüfungsfunktion kann aus einer Menge von Überprüfungsfunktionen bestimmt werden, die unterschiedliche Kombinationen von Rechenoperationen der Recheneinheit benutzen. Es besteht die Möglichkeit, dass das Prüfen der korrekten Funktion der Recheneinheit in mehreren Kommunikationszyklen erfolgt, wobei die verschiedenen Überprüfungsfunktionen insgesamt alle Rechenoperationen der Recheneinheit benutzen. Werden auf diese Weise die Rechenoperationen nacheinander über mehrere Kommunikationszyklen geprüft, so kann die Prüfung innerhalb eines Zyklus zeitlich kurz gestaltet werden. Ebenfalls kann der Fall optimiert werden, in dem die zu prüfende Steuereinheit unterschiedliche Steueranforderungen abgibt, die unterschiedliche Kombinationen der Rechenoperationen benutzen. Die Überprüfungsfunktion kann mittels eines Selektors bestimmt werden, der vorteilhaft mit der Prüfungsanfrage gesendet wird. Die Überprüfungsfunktion F ist beispielsweise darstellbar als Funktion des Selektors, der Parameter und der Nutzdaten
F = f(Selektor, Parameter 1, ..., Parameter n, Data 1, ..., Data n). Die Auswahl der Überprüfungsfunktion mittels des Selektors ist darstellbar als
f(Selektor = 1) := (Data 1 + Data 2 + Data 3 – (0xf0 OR 0xf0)) AND (0xf0 XOR 0xf0)·(1 shift left 8)/(1 shift right 7);
f(Selektor = 2) := Parameter 1 + Parameter 2);
f(Selektor = 3) := Parameter 1 – Parameter 2);
f(Selektor = 4) := Parameter 1·Parameter 2).Advantageously, the checking function is such that calculating the function result requires predetermined arithmetic unit computing operations. These will essentially be the operations (+, -, *, /,>, <, =, shift left, shift right) as well as possibly further operations of the calculator. The verification function may be determined from a set of verification functions that use different combinations of arithmetic unit computing operations. There is the possibility that the checking of the correct function of the arithmetic unit takes place in several communication cycles, wherein the various checking functions as a whole use all arithmetic unit arithmetic operations. If the arithmetic operations are checked in succession over several communication cycles in this way, the test can be made short in terms of time within a cycle. Also, the case can be optimized in which the control unit to be tested outputs different control requests using different combinations of the arithmetic operations. The verification function can be determined by means of a selector that is advantageously sent with the verification request. By way of example, the checking function F can be represented as a function of the selector, the parameters and the useful data
F = f (selector, parameters 1, ..., parameter n, data 1, ..., data n). The selection of the verification function by means of the selector can be represented as
f (selector = 1): = (Data 1 + Data 2 + Data 3 - (0xf0 OR 0xf0)) AND (0xf0 XOR 0xf0) · (1 shift left 8) / (1 shift right 7);
f (selector = 2): = parameter 1 + parameter 2);
f (selector = 3): = parameter 1 - parameter 2);
f (selector = 4): = parameter 1 · parameter 2).

Eine weitere Möglichkeit ist, sämtliche Rechenoperationen der Recheneinheit in einer Überprüfungsfunktion zu benutzen. Dann ist nur eine Überprüfungsfunktion erforderlich und diese ist eindeutig. Eine solche Überprüfungsfunktion kann die einzige Überprüfungsfunktion sein, da sie sämtliche Rechenoperationen prüft. Es ist aber auch möglich, dass diese Überprüfungsfunktion eine unter mehreren Überprüfungsfunktionen ist und unter bestimmten Bedingungen zum Einsatz kommt, beispielsweise wenn eine von mehreren Funktionen der geprüften Steuereinheit sämtliche Rechenoperationen benutzt.A Another possibility is, all arithmetic operations the arithmetic unit in a verification function to use. Then only a verification function required and this is unique. Such a verification function may be the only verification function since she checks all arithmetic operations. It is but also possible that this verification function one among several verification functions and under certain conditions, for example when one of several functions of the tested control unit all arithmetic operations used.

Vorteilhaft ist es, wenn das Verfahren zum Prüfen der korrekten Funktion in Zusammenhang mit einer mit der Bestimmung der geprüften Steuereinheit entsprechenden Funktion ausgeführt wird. Dies ermöglicht eine zeitnahe Prüfung unmittelbar vor oder nach dem Berechnen von Steuerdaten gemäß der bestimmungsgemäßen Funktion der Steuereinheit. Eine Prüfung vor dem Senden von Steuerdaten kann vorteilhaft sein, falls die Steuerdaten angefordert werden. Mit der Anforderung können dann die Prüfungsanfrage kombiniert und die Prüfdaten übermittelt werden. Eine Prüfung nach dem Berechnen von Steuerdaten kann die ermittelten Steuerdaten als Eingaben für die Überprüfungsfunktion verwenden.Advantageous it is when the method for checking the correct function in connection with one with the provision of the examined Control unit corresponding function is performed. This allows a timely examination immediately before or after calculating control data according to the Proper function of the control unit. An audit before sending control data may be beneficial be if the control data is requested. With the requirement can then combine the exam request and the test data are transmitted. An exam after calculating control data, the determined control data as inputs to the verification function use.

Alternativ wird das Verfahren unabhängig von einer mit der Bestimmung der geprüften Steuereinheit entsprechenden Funktion ausgeführt. In diesem Fall ist das Überprüfungsverfahren unabhängig von einer bestimmten Berechnung und eine Funktionsüberprüfung kann nachträglich in bestehende Systeme integriert werden.Alternatively, the procedure is independent of one with the determination of the tested tax unit corresponding function performed. In this case, the verification process is independent of a specific calculation and a functional verification can be retrospectively integrated into existing systems.

Falls bei dem Vergleich des Funktionsergebnisses mit dem Soll-Funktionsergebnis im Fall der Nichtübereinstimmung die geprüfte Steuereinheit als nicht korrekt arbeitend erkannt wird kann eine entsprechende Maßnahme getroffen werden, beispielsweise Ignorieren einer Lenkanforderung, Abkoppeln der defekten Steuereinheit von dem Datenbus.If in the comparison of the functional result with the desired functional result in case of disagreement the audited Control unit is recognized as not working correctly can appropriate measure be taken, for example Ignore a steering request, disconnect the defective control unit from the data bus.

Das Verfahren eignet sich zur Standardisierung. Es kann ein Standard für Überprüfungsfunktionen festgelegt werden in Bezug auf die Zuordnung von Selektoren zu Überprüfungsfunktionen, die vorbestimmte Rechenoperationen prüfen. Standardisierte Kombinationen von Rechenoperationen für standardisierte Überprüfungsfunktionen erleichtern die Inbetriebnahme und die Wartung von Steuergeräten und den Betrieb von Systemen mit einer Vielzahl von zusammenarbeitenden Steuergeräten. Des Verfahren eignet sich für Systeme mit einem Feldbus, insbesondere einem CAN Datenbus oder einem FlexRay Datenbus.The Method is suitable for standardization. It can be a standard set for verification functions are related to the assignment of selectors to verification functions, check the predetermined arithmetic operations. standardized Combinations of arithmetic operations for standardized verification functions facilitate commissioning and maintenance of control units and the operation of systems with a variety of collaborative ECUs. The method is suitable for systems with a fieldbus, in particular a CAN data bus or a FlexRay Data bus.

Zeichnungdrawing

Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und werden in der nachfolgenden Beschreibung erläutert. Es zeigen:embodiments The invention are illustrated in the drawings and in the explained below description. Show it:

1 eine schematisches Diagramm eines Kraftfahrzeugs mit einem elektronischen Steuersystem gemäß der Erfindung; und 1 a schematic diagram of a motor vehicle with an electronic control system according to the invention; and

2 ein schematisches Ablaufdiagramm des erfindungsgemäßen Verfahrens. 2 a schematic flow diagram of the method according to the invention.

In 1 ist ein Kraftfahrzeug 10 mit einem elektronischen Steuersystem 11 gemäß der Erfindung schematisch dargestellt. Das Kraftfahrzeug 10 weist ein elektronisches Steuersystem 11 mit mindestens zwei Steuereinheiten 12, 13 auf, die über einen CAN-Datenbus 14 verbunden sind. Die Steuereinheit 12 weist einen Mikrocontroller 15 mit einer Recheneinheit 16 auf. In diesem Beispiel ist die Steuereinheit 12 ein Lenkungssteuergerät und hat die Eigenschaften und den Status eines sicherheitsrelevanten Steuergerätes mit der Autorität, die Lenkung des Fahrzeugs zu betätigen. Die Steuereinheit 12 kann ein (nicht dargestelltes) Watchdog oder weitere (nicht dargestellte) Mikrocontroller aufweisen, beispielsweise falls der Status eines sicherheitsrelevanten Systems durch redundante Mikrocontroller erreicht wird, oder weil in die Steuereinheit 12 verschiedenartige Steueraufgaben integriert sind. Die Steuereinheit 13 weist einen Mikrocontroller 17 mit einer Recheneinheit 18 auf. Die Steuereinheit 13 ist ein Einparkhilfesteuergerät und hat nicht die Eigenschaften und den Status eines sicherheitsrelevanten Steuergerätes. Während eines Einparkvorgangs sendet das Einparkhilfesteuergerät, die Steuereinheit 13, Datenpakete mit Lenkkommandos an das Lenkungssteuergerät, die Steuereinheit 12, und steuert damit das Fahrzeug 10 in eine Parklücke. Das Lenkungssteuergerät, die Steuereinheit 12, wiederum sendet Datenpakete mit Informationen wie dem aktuellen Lenkradwinkel an das Einparkhilfesteuergerät, die Steuereinheit 13.In 1 is a motor vehicle 10 with an electronic control system 11 shown schematically according to the invention. The car 10 has an electronic tax system 11 with at least two control units 12 . 13 on, over a CAN data bus 14 are connected. The control unit 12 has a microcontroller 15 with a computing unit 16 on. In this example, the control unit 12 a steering controller and has the properties and the status of a safety-related control unit with the authority to operate the steering of the vehicle. The control unit 12 may include a (not shown) watchdog or other (not shown) microcontroller, for example, if the status of a safety-relevant system is achieved by redundant microcontroller, or because in the control unit 12 various control tasks are integrated. The control unit 13 has a microcontroller 17 with a computing unit 18 on. The control unit 13 is a parking aid control device and does not have the properties and status of a safety-relevant control unit. During a parking operation, the parking aid control unit sends the control unit 13 , Data packets with steering commands to the steering control unit, the control unit 12 , and thus controls the vehicle 10 in a parking space. The steering control unit, the control unit 12 In turn, sends data packets with information such as the current steering wheel angle to the Einparkhilesteuergerät, the control unit 13 ,

Die Steuereinheit 13 kann die Lenkung nur indirekt über das Lenkungssteuergerät, Steuereinheit 12, betätigen falls sichergestellt ist, dass die Recheneinheit 18 in dem Mikrocontroller 17 der Steuereinheit 13 korrekt arbeitet. Die korrekte Funktion der Recheneinheit 18 in dem Mikrocontroller 17 der Steuereinheit 13 in dem elektronischen System 11 mit mindestens den beiden Steuereinheiten 12, 13, die über den Datenbus 14 verbunden sind, wird gemäß der vorliegenden Erfindung geprüft. Dabei ist das Lenkungssteuergerät die prüfende Steuereinheit 12 und das Einparkhilfesteuergerät ist die geprüfte Steuereinheit 13. Die prüfende Steuereinheit 12 prüft die korrekte Funktion einer geprüften Steuereinheit 13, indem die prüfende Steuereinheit 12 eine Prüfungsanfrage an die geprüfte Steuereinheit 13 sendet, die geprüfte Steuereinheit 13 die Prüfungsanfrage in der Recheneinheit 18 ihres Mikrocontrollers 17 bearbeitet und eine Antwort auf die Prüfungsanfrage an die prüfende Steuereinheit 12 sendet, und die prüfende Steuereinheit 12 das Funktionsergebnis mit einem Soll-Funktionsergebnis vergleicht.The control unit 13 The steering can only indirectly via the steering control unit, control unit 12 , press if it is certain that the arithmetic unit 18 in the microcontroller 17 the control unit 13 works correctly. The correct function of the arithmetic unit 18 in the microcontroller 17 the control unit 13 in the electronic system 11 with at least the two control units 12 . 13 that are over the data bus 14 are tested in accordance with the present invention. In this case, the steering control unit is the checking control unit 12 and the parking aid control unit is the tested control unit 13 , The checking control unit 12 checks the correct function of a tested control unit 13 by the checking control unit 12 an examination request to the tested control unit 13 sends, the tested control unit 13 the examination request in the arithmetic unit 18 your microcontroller 17 edited and an answer to the examination request to the testing control unit 12 sends, and the controlling unit 12 compares the function result with a desired function result.

2 zeigt ein schematisches Ablaufdiagramm eines Ausführungsbeispiels des erfindungsgemäßen Verfahrens dargestellt, welches nun in Bezug auf das in 1 dargestellte Kraftfahrzeug 10 beschrieben wird. 2 shows a schematic flow diagram of an embodiment of the method according to the invention shown, which now with respect to the in 1 illustrated motor vehicle 10 is described.

Das Verfahren verläuft folgendermaßen.

Verfahrensschritt a: Es wird eine Prüfungsanfrage von der prüfenden Steuereinheit 12 an eine geprüfte Steuereinheit 13 über den Datenbus 14 gesendet.
Verfahrensschritt b: Die Prüfungsanfrage wird durch die geprüfte Steuereinheit 13 empfangen.
Verfahrensschritt c: Eine Überprüfungsfunktion, die Rechenoperationen der Recheneinheit 18 der geprüften Steuereinheit 13 benutzt, wird aus der Prüfungsanfrage bestimmt. Dies ermöglicht es, verschiedene Überprüfungsfunktionen mit einer jeweils zugehörigen Kombination von Rechenoperationen festzulegen. Damit kann das Prüfen der korrekten Funktion der Recheneinheit 18 in mehreren Kommunikationszyklen erfolgen. Die verschiedenen Überprüfungsfunktionen benutzen insgesamt alle Rechenoperationen der Recheneinheit 18. Die jeweilige Überprüfungsfunktion wird mittels eines Selektors bestimmt. Der Selektor wird mit der Prüfungsanfrage gesendet.
Verfahrensschritt d: Aus der Berechnung der Überprüfungsfunktion in der Recheneinheit 18 der geprüften Steuereinheit 13 wird ein Funktionsergebnis bestimmt. Dabei verwendet die Überprüfungsfunktion Daten, die in der geprüften Steuereinheit 13 verfügbar sind. Außerdem verwendet die Überprüfungsfunktion Prüfdaten, die von der geprüften Steuereinheit 13 über den Datenbus empfangen werden (Parameter 1, Parameter 2, ..., Parameter n). Letztere Prüfdaten sind von der prüfenden Steuereinheit 12 über den Datenbus 14 gesendet worden. So können die oben beschriebenen Daten des Lenkradwinkels nicht nur als Input für die Einpark-Funktionssoftware benutzt werden, sondern sie können auch als Parameter für die Überprüfungsfunktion dienen. Die Steuereinheit 13 verwendet vor jedem Versenden der Nutzdaten der Lenkanforderung (Data 1, Data 2, ..., Data n), um die Überprüfungsfunktion auf diese Nutzdaten anwenden. Die Prüfdaten werden an die Überprüfungsfunktion als Parameter übergeben. Weiterhin ist die Überprüfungsfunktion dergestalt, dass das Berechnen des Funktionsergebnisses vorbestimmte Rechenoperationen der Recheneinheit 18 erfordert. Die Überprüfungsfunktion wird mittels eines Selektors aus einer Menge von Überprüfungsfunktionen bestimmt, die unterschiedliche Kombinationen von Rechenoperationen der Recheneinheit 18 benutzen. Die Überprüfungsfunktion F ist darstellbar als Funktion des Selektors, der Parameter und der Nutzdaten F = f(Selektor, Parameter 1, ..., Parameter n, Data 1..., Data n). Die Auswahl der Überprüfungsfunktion mittel des Selektors ist darstellbar als f(Selektor = 1) := (Data 1 + Data 2 + Data 3 – (0xf0 OR 0xf0)) AND (0xf0 XOR 0xf0)·(1 shift left 8)/(1 shift right 7); f(Selektor = 2) := Parameter 1 + Parameter 2); f(Selektor = 3) := Parameter 1 – Parameter 2); f(Selektor = 4) := Parameter 1·Parameter 2).
Verfahrensschritt e: Zu der Prüfungsanfrage wird eine Antwort mit dem Funktionsergebnis von der geprüften Steuereinheit 13 an die prüfende Steuereinheit 12 über den Datenbus 14 gesendet.
Verfahrensschritt f: Die Antwort wird durch die prüfende Steuereinheit 12 empfangen.
Verfahrensschritt g: Die prüfende Steuereinheit vergleicht das mit der Antwort empfangene Funktionsergebnis mit einem Soll-Funktionsergebnis, die einer korrekten Funktion einer Recheneinheit 18 auf die Prüfungsanfrage entspricht. Die prüfende Steuereinheit 12 kennt nach Erhalt der Antwort die benutzte Überprüfungsfunktion, die Prüfdaten und das Funktionsergebnis als das Ergebnis der Berechnung der Überprüfungsfunktion. Die Steuereinheit 12 berechnet in der Recheneinheit 16 ihres Mikrocontrollers 15 die Überprüfungsfunktion mit den Prüfdaten und erhält so das Soll-Funktionsergebnis.

The procedure is as follows.

Step a: It will be an exam request from the inspecting control unit 12 to a tested control unit 13 over the data bus 14 Posted.
Process step b: The test request is made by the tested control unit 13 receive.
Method step c: A check function, the arithmetic unit's arithmetic operations 18 the tested control unit 13 is determined from the exam request. This makes it possible to specify different verification functions with a respective combination of arithmetic operations. This can be used to check the correct function of the arithmetic unit 18 take place in several communication cycles. The various checking functions use all the arithmetic operations of the rake as a whole unit 18 , The respective checking function is determined by means of a selector. The selector is sent with the exam request.
Step d: From the calculation of the check function in the arithmetic unit 18 the tested control unit 13 a function result is determined. The verification function uses data stored in the tested control unit 13 Are available. In addition, the verification function uses test data provided by the tested control unit 13 received via the data bus (parameter 1, parameter 2, ..., parameter n). The latter test data are from the testing control unit 12 over the data bus 14 been sent. Thus, the steering wheel angle data described above can not only be used as input to the parking function software, but they can also serve as parameters for the verification function. The control unit 13 used before each transmission of the payload data of the steering request (Data 1, Data 2, ..., Data n) to apply the verification function to this payload. The test data is passed to the verification function as a parameter. Furthermore, the checking function is such that the calculation of the function result is predetermined arithmetic operations of the arithmetic unit 18 requires. The checking function is determined by means of a selector of a set of checking functions, the different combinations of arithmetic unit computing operations 18 to use. The checking function F can be represented as a function of the selector, the parameters and the useful data F = f (selector, parameters 1,..., Parameters n, data 1..., Data n). The selection of the check function by means of the selector can be represented as f (selector = 1): = (Data 1 + Data 2 + Data 3 - (0xf0 OR 0xf0)) AND (0xf0 XOR 0xf0) · (1 shift left 8) / (1 shift right 7); f (selector = 2): = parameter 1 + parameter 2); f (selector = 3): = parameter 1 - parameter 2); f (selector = 4): = parameter 1 · parameter 2).
Process step e: The test request is answered with the result of the function of the tested control unit 13 to the checking control unit 12 over the data bus 14 Posted.
Step f: The answer is given by the controlling unit 12 receive.
Method step g: The checking control unit compares the function result received with the response with a desired function result that corresponds to a correct function of a processing unit 18 corresponds to the examination request. The checking control unit 12 after receiving the answer, knows the used verification function, the test data and the function result as the result of the calculation of the verification function. The control unit 12 calculated in the arithmetic unit 16 your microcontroller 15 the verification function with the test data and thus obtains the desired function result.

Weichen bei dem Vergleich Funktionsergebnis und Soll-Funktionsergebnis voneinander ab, so wird die geprüfte Steuereinheit als nicht korrekt arbeitend erkannt. In diesem Fall wird entsprechend die Maßnahme getroffen, dass die geprüfte Steuereinheit 13 vom CAN-Bus 14 mittels eines elektronisch steuerbaren Schalters abgekoppelt wird. Das Lenkungssteuergerät erhält nun keine Lenkanforderungen mehr vom Einparkhilfesteuergerät.If the result of the comparison and the desired function result deviate from one another, the tested control unit is recognized as not working correctly. In this case, the measure is taken accordingly that the tested control unit 13 from the CAN bus 14 is decoupled by means of an electronically controllable switch. The steering control unit now no longer receives steering requirements from the parking assistance control unit.

Das vorgeschriebene Verfahren zum Prüfen kann im Übrigen beispielsweise auch unabhängig von einer mit der Bestimmung der entsprechenden Funktion ausgeführt werden.The By the way, the prescribed method of testing can be used for example, regardless of one with the provision the corresponding function.

ZITATE ENTHALTEN IN DER BESCHREIBUNGQUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list The documents listed by the applicant have been automated generated and is solely for better information recorded by the reader. The list is not part of the German Patent or utility model application. The DPMA takes over no liability for any errors or omissions.

Zitierte PatentliteraturCited patent literature

EP 0556805 [0006]
- DE 102006055830 [0007]
- DE 102006014267 [0008]

Claims

Method for checking the correct function of a computing unit ( 18 ) in a microcontroller ( 17 ) in an electronic tax system ( 11 ) with at least two control units ( 12 . 13 ) via a data bus ( 14 ) with the method steps a) sending an examination request from a checking control unit ( 12 ) to a tested control unit ( 13 ) via the data bus ( 14 ); b) receiving the examination request by the audited control unit ( 13 ); c) determining a checking function, the calculating operations of the calculating unit ( 18 ) of the audited control unit ( 13 ) used; d) determining a function result from the calculation of the checking function in the arithmetic unit ( 18 ) of the audited control unit ( 13 ); e) sending a response to the examination request with the result of the function of the tested control unit ( 13 ) to the checking control unit ( 12 ) via the data bus ( 14 ); f) receiving the response from the controlling unit ( 12 ); g) comparison of the functional result with a desired functional result that corresponds to a correct function of a computing unit ( 18 ) corresponds to the examination request, by the checking control unit ( 12 ),

Method according to Claim 1, characterized in that the checking function uses data which is stored in the tested control unit ( 13 ) Are available.

Method according to Claim 1 or 2, characterized in that the checking function uses test data which is supplied by the tested control unit ( 13 ) via the data bus ( 14 ) are received.

Method according to one of the preceding claims, characterized in that the checking function uses test data which is supplied by the checking control unit ( 12 ) via the data bus ( 14 ).

Method according to one of claims 3 or 4, characterized in that the test data to the verification function passed as parameters.

Method according to one of the preceding claims, characterized in that the checking function is such that the calculation of the function result predetermined arithmetic operations of the arithmetic unit ( 18 ) requires.

Method according to one of the preceding claims, characterized in that the checking function is determined from a set of checking functions, the different combinations of arithmetic operations of the arithmetic unit ( 18 ) to use.

Method according to Claim 6, characterized in that the checking of the correct function of the arithmetic unit ( 18 ) takes place in several communication cycles.

Method according to one of the preceding claims, characterized in that the checking function is determined by means of a selector.

Method according to claim 8, characterized in that that the selector is sent with the check request.

Method according to one of claims 1 to 5, characterized in that the checking function is such that the calculation of the function result all possible arithmetic operations of the arithmetic unit ( 18 ) requires.

Method according to one of the preceding claims, characterized in that the method for testing the correct function in connection with a determination the tested control unit corresponding function is performed.

Method according to one of Claims 1 to 11, characterized in that the method for checking the correct function is independent of one with the determination of the tested control unit ( 13 ) corresponding function is executed.

Method according to one of the preceding claims, characterized in that if in the comparison of the functional result with the desired function result in the event of non-compliance Tested control unit recognized as not working properly an appropriate measure will be taken.

Method according to one of the preceding claims, characterized in that a standard for verification functions is determined with respect to the assignment of selectors to verification functions, check the predetermined arithmetic operations.

Method according to one of the preceding claims, characterized in that the data bus ( 14 ) is a CAN data bus or a FlexRay data bus.

Use of a method according to any one of the preceding claims in a motor vehicle convincing.

Use of a method according to one of the preceding Claims in a parking assistance system of a motor vehicle.

Electronic control system ( 11 ) with at least two control units ( 12 . 13 ) via a data bus ( 14 ), each control unit comprising a microcontroller ( 15 . 17 ) with a computing unit ( 16 . 18 ), wherein a checking control unit ( 12 ) the correct function of a tested control unit ( 13 ) by checking the control unit ( 12 ) an examination request to the tested control unit ( 13 ), the tested control unit ( 13 ) a function result from the calculation of a checking function in the arithmetic unit ( 18 ) of the audited control unit ( 13 ) and a response to the examination request with the functional result to the checking control unit ( 12 ) and the checking control unit ( 12 ) compares the function result with a desired function result.

Electronic control system according to claim 19, characterized in that the electronic control system ( 11 ) is a parking assistance system of a motor vehicle, wherein the checking control unit ( 12 ) is a steering control unit and the tested control unit ( 13 ) is a Einparkhilesteuergerät.

Electronic control system ( 11 ) according to claim 19 or 20, wherein the system is designed to carry out a method according to one of the preceding method claims.