DE102011003013A1

DE102011003013A1 - Verfahren zum Betreiben eines Steuergerätes

Info

Publication number: DE102011003013A1
Application number: DE102011003013A
Authority: DE
Inventors: Frank Stimm; Andreas Heyl
Original assignee: Robert Bosch GmbH; SB LiMotive Germany GmbH; SB LiMotive Co Ltd
Current assignee: Robert Bosch GmbH; Samsung SDI Co Ltd
Priority date: 2011-01-24
Filing date: 2011-01-24
Publication date: 2012-07-26

Abstract

Es wird ein Verfahren zum Betreiben eines Steuergerätes (10) bereitgestellt. Das Steuergerät (10) wechselt von einem ersten Betriebszustand (12) in einen zweiten Betriebszustand (14), wenn sich eine sicherheitsrelevante Anforderung erhöht, wobei in dem ersten Betriebszustand (12) weniger Ressourcen als in dem zweiten Betriebszustand (14) benötigt werden.

Description

Die vorliegende Erfindung betrifft ein Verfahren zum Betreiben eines Steuergerätes sowie ein Steuergerät, in welchem das erfindungsgemäße Verfahren ausgeführt werden kann.
Stand der Technik
Mit der stetig wachsenden Komplexität von elektronischen Komponenten in Fahrzeugen steigt auch die Möglichkeit von Fehlfunktionen. Ist eine sicherheitsrelevante Komponente von einer solchen Fehlfunktion betroffen, können im schlimmsten Fall Menschen zu Schaden kommen. Die ISO (International Organization for Standardization) 26262 („Road vehicles – Functional safety") ist eine entstehende Norm der Internationalen Organisation für Normung, welche dieses Problem speziell für sicherheitsrelevante elektrische oder elektronische Systeme in Kraftfahrzeugen anspricht und den generischen Standard zur funktionalen Sicherheit von elektronischen Systemen IEC (International Electrotechnical Commission) 61508 als verbindliche Norm im Bereich der Straßenfahrzeuge ablösen wird. Sie wird ein Prozess-Rahmenwerk und Vorgehensmodell zusammen mit geforderten Aktivitäten und Arbeitsprodukten sowie anzuwendenden Methoden definieren. Die Umsetzung der Norm soll die funktionale Sicherheit eines elektrischen oder elektronischen Systems im Kraftfahrzeug gewährleisten.
Die Norm enthält Anforderungen bezüglich der Durchführung einer Gefährdungsanalyse und Risikoabschätzung. Dazu werden zunächst die potentiellen Gefährdungen eines Systems identifiziert. Dies geschieht durch eine Betrachtung der Fehlfunktionen des untersuchten Systems in spezifischen Fahrsituationen. Anschließend wird jede Gefährdung mit einer Sicherheitsanforderungsstufe oder ASIL (automotive safety integrity level) von A bis D klassifiziert oder aber als nicht sicherheitsrelevant eingeordnet und dem Qualitätsmanagement zugeordnet. Die Risikoabschätzung geschieht hierbei mittels einer festgelegten, qualitativen Methodik. Dazu wird für jede identifizierte Gefährdung einzeln die Schwere der Auswirkung (severity – S), die Häufigkeit der Fahrsituation (exposure – E) und die Beherrschbarkeit der Fehlfunktion in der jeweiligen Fahrsituation beispielsweise durch den Fahrer (controllability – C) abgeschätzt. Aus einer vorgegebenen Tabelle lässt sich dann für jede Gefährdung die passende Sicherheitsanforderungsstufe ablesen. Der auf diese Weise ermittelte ASIL (automotive safety integrity level) ist somit ein Maß für die Sicherheitsrelevanz einer bestimmten Fehlfunktion des Kraftfahrzeugs.
Zur Absicherung von Signalen, beispielsweise Messsignalen, mit einem hohen Diagnoseabdeckungsgrad schlägt die ISO 26262 drei Methoden vor (ISO 26262-5, Annex D), nämlich den Vergleich mit einem redundanten Wert, den Vergleich mit einem plausibilisierten Wert, sowie die Absicherung der Signalerfassung und -übertragung gemäß dem geforderten ASIL.
Für den Fall, dass ein erstes Steuergerät ein Messsignal überwacht, kann es den Vergleich mit einem redundanten Wert dadurch erreichen, dass es diesen von einem zweiten Steuergerät anfordert. Wenn die sicherheitsrelevanten Anforderungen es erforderlich machen, dass das Messsignal während des Betriebs des ersten Steuergeräts kontinuierlich plausibilisiert beziehungsweise überwacht werden muss, müsste auch das zweite Steuergerät den Redundanzwert kontinuierlich messen und senden. Wenn das erste Steuergerät normalerweise eine längere Betriebszeit hat als das zweite Steuergerät, würde die kontinuierliche Bereitstellung des Redundanzwertes eine Angleichung der Betriebszeiten der beiden Steuergeräte dahingehend erforderlich machen, dass auch das zweite Steuergerät entsprechend längere Zeit im Betrieb sein müsste. Als beispielhafte Konstellation sei hier der Fall eines Batteriesteuergeräts für Hochvolt-Lithium-Ionen-Batterien genannt, welches aufgrund langer Ladezeiten eine längere Betriebszeit hat als das Steuergerät des Fahrzeugführungsrechners. Soll nun ein redundanter Wert für ein vom Batteriesteuergerät überwachtes Messsignal vom Steuergerät des Fahrzeugführungsrechners bereitgestellt werden, müsste die Betriebszeit des Fahrzeugführungsrechners an die des Batteriesteuergeräts angepasst werden.
Hierdurch werden jedoch ganz allgemein mehr Ressourcen benötigt. Im Speziellen ist die Auslegung für längere Betriebszeiten mit höheren Kosten verbunden, welche durch den Einsatz höherwertiger Komponenten entstehen, oder gar in Einzelfällen unmöglich.
Offenbarung der Erfindung
Erfindungsgemäß wird ein Verfahren zum Betreiben eines Steuergeräts bereitgestellt. Das Verfahren zeichnet sich dadurch aus, dass das Steuergerät von einem ersten Betriebszustand in einen zweiten Betriebszustand wechselt, wenn sich eine sicherheitsrelevante Anforderung erhöht und/oder von dem zweiten Betriebszustand in den ersten Betriebszustand wechselt, wenn sich eine sicherheitsrelevante Anforderung erniedrigt.
Hierbei werden in dem ersten Betriebszustand weniger Ressourcen als in dem zweiten Betriebszustand benötigt. Bei den Ressourcen, welche in dem ersten Betriebszustand eingespart werden, kann es sich um solche handeln, welche durch die Belastung eines Busses, einer erhöhten Rechenleistung eines in dem Steuergerät eingesetzten Mikrocontrollers, oder der Belastung einer eingesetzten Sensorik (beispielsweise eines Sensors oder eines diesem nachgeschalteten Analog-Digital-Wandlers) entstehen. Bei den Ressourcen muss es sich nicht notwendigerweise um solche handeln, die im Steuergerät selbst benötigt werden. Vielmehr können es auch Ressourcen sein, die in einem anderen Teil eines, das Steuergerät umfassenden Gesamtsystems benötigt werden, beispielsweise in einem anderen Steuergerät.
Der Vorteil der Erfindung liegt darin, dass die Ressourcen nur dann benötigt werden, wenn dies sicherheitsbedingt erforderlich ist, während sie eingespart werden, wenn die sicherheitsrelevanten Anforderungen niedriger sind.
Bevorzugt sind den beiden Betriebszuständen verschiedene Sicherheitsanforderungsstufen, insbesondere ASIL(Automotive Safety Integrity Level)-Stufen zugeordnet.
In einer bevorzugten Ausführungsform der Erfindung nimmt das Steuergerät in dem ersten Betriebszustand an einem Beginn und an einem Ende einer Fahrt mit einem Kraftfahrzeug eine Isolationsüberwachung einer, das Kraftfahrzeug versorgenden Batterie vor. Dies kann dadurch geschehen, dass der Isolationswiderstand der Batterie gemessen wird. Ist dieser zu niedrig, besteht die Gefahr eines Schlags. Deshalb ist vorgesehen, dass das Steuergerät in dem zweiten Betriebszustand eine kontinuierliche Isolationsüberwachung vornimmt, wobei das Steuergerät von dem ersten Betriebszustand in den zweiten Betriebszustand wechselt, wenn eine Wartung der Batterie durchgeführt wird.
In einer weiteren bevorzugten Ausführungsform der Erfindung überwacht das (erste) Steuergerät ein Messsignal und fordert im zweiten Betriebszustand von einem anderen (zweiten) Steuergerät die Bereitstellung eines redundanten Wertes an. Dies hat den Vorteil, dass das andere Steuergerät im ersten Betriebszustand, in welchem geringere sicherheitsrelevante Anforderungen bestehen, kein Messsignal zur Verfügung stellen muss und dadurch Ressourcen des anderen Steuergerätes eingespart werden. Insbesondere kann hierdurch die erforderliche Rechenleistung des anderen Steuergerätes herabgesetzt werden.
Insbesondere ist bevorzugt, dass das Steuergerät im zweiten Betriebszustand das andere Steuergerät aktiviert und insbesondere aufweckt. Im ersten Betriebszustand hingegen braucht das andere Steuergerät nicht aktiviert zu sein und kann sich beispielsweise in einem Schlafmodus befinden oder von einer Kommunikation mit dem ersten Steuergerät abgekoppelt sein.
Eine besondere Ausführungsform besteht darin, dass das Steuergerät einen Batteriestrom überwacht, im zweiten Betriebszustand von dem anderen Steuergerät die Bereitstellung eines redundanten Wertes des Batteriestroms anfordert und das Steuergerät vom ersten in den zweiten Betriebszustand wechselt, wenn eine Batterietemperatur einen vorbestimmten Temperaturschwellenwert unterschreitet. Das Steuergerät kann vom zweiten in den ersten Betriebszustand zurückwechseln, wenn die Batterietemperatur einen weiteren vorbestimmten Temperaturschwellenwert überschreitet.
Ein weiterer Aspekt der Erfindung betrifft ein Steuergerät, welches dazu ausgebildet ist, von einem ersten Betriebszustand in einen zweiten Betriebszustand zu wechseln, wenn sich eine sicherheitsrelevante Anforderung erhöht, wobei in dem ersten Betriebszustand weniger Ressourcen als in dem zweiten Betriebszustand benötigt werden.
Ein weiterer Aspekt der Erfindung betrifft eine Batterie, welche eine Batteriemanagementeinheit mit dem erfindungsgemäßen Steuergerät umfasst. Die Batterie ist bevorzugt eine Lithium-Ionen-Batterie.
Ein weiterer Aspekt der Erfindung betrifft ein Kraftfahrzeug, welches die erfindungsgemäße Batterie umfasst.
Vorteilhafte Weiterbildungen der Erfindung sind in den Unteransprüchen angegeben und in der Beschreibung beschrieben.
Zeichnungen
Ausführungsbeispiele der Erfindung werden anhand der Zeichnung und der nachfolgenden Beschreibung näher erläutert. Es zeigt:
1 ein Steuergerät gemäß einer bevorzugten Ausführung der Erfindung.
Ausführungsformen der Erfindung
1 zeigt ein erstes Steuergerät 10, welches Teil einer nicht dargestellten Batterie ist und unter anderem einen Batteriestrom und eine Batterietemperatur überwacht. Insbesondere wird hierbei der Batteriestrom dahingehend beobachtet, dass eine Überschreitung eines vorbestimmten Stromschwellenwertes bei niedrigen Temperaturen verhindert wird, um ein thermisches Durchgehen der Batterie zu verhindern. Oberhalb eines vorbestimmten Temperaturschwellenwertes T_S beispielsweise 0°C, befindet sich das erste Steuergerät 10 in einem ersten Betriebszustand 12, welchem eine bestimmte Sicherheitsanforderungsstufe, beispielsweise ASIL B zugeordnet ist. Während sich das erste Steuergerät 10 in dem ersten Betriebszustand 12 befindet, werden bestimmte Ressourcen 16 benötigt, beispielsweise für eine Überwachung der Spannung, des Batteriestroms und der Batterietemperatur.
Unterschreitet die Batterietemperatur T den vorbestimmten Temperaturschwellenwert T_S, so wechselt das erste Steuergerät 10 in einen zweiten Betriebszustand 14, welchem eine höhere Sicherheitsanforderungsstufe, beispielsweise ASIL C, zugeordnet ist, da bei niedrigen Temperaturen die Gefahr einer Überschreitung eines vorbestimmten Ladestromschwellenwertes besteht. In dem zweiten Betriebszustand 14 werden zweite Ressourcen 18 benötigt, welche ebenso wie die ersten Ressourcen 16 zur Überwachung einer Spannung, eines Batteriestroms und einer Batterietemperatur benötigt werden.
Da im zweiten Betriebszustand 14 eine höhere Sicherheitsanforderungsstufe besteht, ist es erforderlich, die von dem ersten Steuergerät 10 vorgenommene Überwachung des Batteriestroms durch einen redundanten Wert eines anderen Steuergerätes abzusichern. Daher sendet das erste Steuergerät 10 im zweiten Betriebszustand 14, insbesondere kurz nach dem Wechsel vom ersten Betriebszustand 12 in den zweiten Betriebszustand 14, ein Aufwecksignal 24 an ein zweites Steuergerät 22, welches einen redundanten Wert für den Batteriestrom bereitstellt und an das erste Steuergerät 10 sendet. Hierfür werden dritte Ressourcen 20 benötigt, welche durch die Messung des Batteriestroms durch das zweite Steuergerät 22 sowie dessen Übermittlung an das erste Steuergerät 10 erforderlich sind. Bei dem zweiten Steuergerät 22 handelt es sich beispielsweise um das Fahrzeugsteuergerät eines die Batterie umfassenden Kraftfahrzeugs.
Überschreitet die Batterietemperatur T wieder den vorbestimmten Temperaturschwellenwert T_S, so wechselt das erste Steuergerät 10 zurück in den ersten Betriebszustand 12.
Dadurch, dass in dem zweiten Betriebszustand 14 die zweiten Ressourcen 18 und die dritten Ressourcen 20 benötigt werden, während im ersten Betriebszustand 12 nur die ersten Ressourcen 16 benötigt werden, ist der erste Betriebszustand 12 weniger ressourcenintensiv als der zweite Betriebszustand 14. Insbesondere kann das zweite Steuergerät 22 ausgeschaltet bleiben oder sich in einem Schlafmodus befinden, während das erste Steuergerät 10 im ersten Betriebszustand 12 verweilt, da in diesem Zustand keine Bereitstellung eines redundanten Wertes für den Batteriestrom benötigt wird. Hierdurch kann die Betriebszeit des zweiten Steuergeräts 22 verkleinert und seine Lebensdauer gegebenenfalls erhöht werden. Nur für Temperaturen, welche unterhalb des Temperaturschwellenwertes T_S liegen, muss eine Übermittlung des redundanten Stromwertes erfolgen. Die Umsetzung des Wechsels zwischen den in 1 dargestellten Betriebszuständen 12, 14 erfolgt praktischerweise durch den Einsatz eines Zustandsautomaten.
Durch das erfindungsgemäße Verfahren wird allgemein eine genauere Betrachtung der Betriebsmodi der beiden Steuergeräte 10, 22 erreicht. Wenn ein Signal nur in einem bestimmten Betriebsmodus sicherheitsrelevant ist und überwacht werden muss, beispielsweise in Abhängigkeit von Umgebungsbedingungen, dann kann dies im Überwachungskonzept berücksichtigt werden, um die Anforderungen an die Lebenszeit des zweiten Steuergeräts 22 zu reduzieren. Die sicherheitsbedingt gewünschte Bereitstellung eines redundanten Signals (im Ausführungsbeispiel des Batteriestroms), oder einer bestimmten Funktion des zweiten Steuergeräts 22 wird nur bei Bedarf zugeschaltet. Die Zuschaltung muss entsprechend ASIL-abgesichert sein, beispielsweise auf Grundlage eines Signals (im Ausführungsbeispiel der Temperatur), das nach dem gleichen ASIL abgesichert ist.
Die erfindungsgemäße Idee lässt sich auch auf den Fall anwenden, dass sich mehrere Steuergeräte eine Funktionalität teilen. Auch ist es möglich, dass weitere Steuergeräte die gleiche Funktionalität wie das zweite Steuergerät 22 zur Verfügung stellen, so dass die Geräte im Wechsel aktiviert werden, was zu einer weiteren Einsparung von Betriebszeit und Ressourcen führt.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

ISO (International Organization for Standardization) 26262 („Road vehicles – Functional safety”) [0002]
IEC (International Electrotechnical Commission) 61508 [0002]
ISO 26262 [0004]
ISO 26262-5, Annex D [0004]

Claims

Verfahren zum Betreiben eines Steuergerätes (10), dadurch gekennzeichnet, dass das Steuergerät (10) von einem ersten Betriebszustand (12) in einen zweiten Betriebszustand (14) wechselt, wenn sich eine sicherheitsrelevante Anforderung erhöht, wobei in dem ersten Betriebszustand (12) weniger Ressourcen als in dem zweiten Betriebszustand (14) benötigt werden.
Verfahren nach Anspruch 1, wobei den beiden Betriebszuständen (12, 14) verschiedene Sicherheitsanforderungsstufen, insbesondere ASIL(Automotive Safety Integrity Level)-Stufen, zugeordnet sind.
Verfahren nach Anspruch 1 oder 2, wobei das Steuergerät (10) in dem ersten Betriebszustand (12) an einem Beginn und an einem Ende einer Fahrt mit einem Kraftfahrzeug eine Isolationsüberwachung einer das Kraftfahrzeug versorgenden Batterie vornimmt und in dem zweiten Betriebszustand (14) eine kontinuierliche Isolationsüberwachung vornimmt, wobei das Steuergerät (10) von dem ersten Betriebszustand (12) in den zweiten Betriebszustand (14) wechselt, wenn eine Wartung der Batterie durchgeführt wird.
Verfahren nach einem der vorangehenden Ansprüche, wobei das Steuergerät (10) ein Messsignal überwacht und im zweiten Betriebszustand (14) von einem anderen Steuergerät (22) die Bereitstellung eines redundanten Wertes des Messsignals anfordert.
Verfahren nach Anspruch 4, wobei das Steuergerät (10) im zweiten Betriebszustand (14) das andere Steuergerät (22) aktiviert, insbesondere aufweckt (24).
Verfahren nach Anspruch 4 oder 5, wobei das Steuergerät (10) einen Batteriestrom überwacht, im zweiten Betriebszustand (14) von dem anderen Steuergerät (22) die Bereitstellung eines redundanten Wertes des Batteriestromes anfordert und wobei das Steuergerät (10) von dem ersten Betriebszustand (12) in den zweiten Betriebszustand (14) wechselt, wenn eine Batterietemperatur einen vorbestimmten Temperaturschwellenwert unterschreitet.
Steuergerät (10), dadurch gekennzeichnet, dass das Steuergerät (10) dazu ausgebildet ist, von einem ersten Betriebszustand (12) in einen zweiten Betriebszustand (14) zu wechseln, wenn sich eine sicherheitsrelevante Anforderung erhöht, wobei in dem ersten Betriebszustand (12) weniger Ressourcen als in dem zweiten Betriebszustand (14) benötigt werden.
Steuergerät (10) nach Anspruch 7, wobei den beiden Betriebszuständen (12, 14) verschiedene Sicherheitsanforderungsstufen, insbesondere ASIL(Automotive Safety Integrity Level)-Stufen, zugeordnet sind.
Steuergerät (10) nach Anspruch 7 oder 8, wobei das Steuergerät (10) dazu ausgebildet ist, ein Messsignal zu überwachen und im zweiten Betriebszustand (14) von einem zweiten Steuergerät (22) die Bereitstellung eines redundanten Wertes des Messsignals anzufordern.
Steuergerät (10) nach Anspruch 9, wobei das Steuergerät (10) dazu ausgebildet ist, einen Batteriestrom zu überwachen, im zweiten Betriebszustand (14) von dem zweiten Steuergerät (22) die Bereitstellung eines redundanten Wertes des Batteriestromes anzufordern und von dem ersten Betriebszustand (12) in den zweiten Betriebszustand (14) zu wechseln, wenn eine Batterietemperatur einen vorbestimmten Temperaturschwellenwert unterschreitet.
Batterie umfassend eine Batteriemanagementeinheit mit einem Steuergerät (10) nach einem der Ansprüche 7 bis 10.
Kraftfahrzeug umfassend eine Batterie nach Anspruch 11.