DE102011016924A1 - Sensoranordnung für ein Kraftfahrzeug - Google Patents

Abstract

Beschrieben wird eine Sensoranordnung für ein Kraftfahrzeug, mit mindestens einem Sensorbaustein, der mit einem Controller verbunden ist, wobei der Controller über einen Transceiverbaustein an ein Fahrzeugnetzwerk angebunden ist, mit zumindest einer Übertragungsleitung und einer Empfangsleitung zwischen dem Controller und dem Transceiverbaustein, und mit einer Abschalteinrichtung zur Erzeugung eines Sperrsignals, welches die Übertragung von Daten des Controllers in das Fahrzeugnetzwerk sperrt, wobei die Hardwareanordnung mehrere Abschalteinrichtungen aufweist.

Description

• Die Erfindung betrifft eine Sensoranordnung für ein Kraftfahrzeug, mit mindestens einem Sensorbaustein, der mit einem Controller verbunden ist, wobei der Controller über einen Transceiverbaustein an ein Fahrzeugnetzwerk angebunden ist, mit zumindest einer Übertragungsleitung und einer Empfangsleitung zwischen dem Controller und dem Transceiverbaustein, und mit einer Hardwareanordnung zur Erzeugung eines auf die Übertragungsleitung einwirkenden Sperrsignals, welches die Übertragung von Daten des Controllers in das Fahrzeugnetzwerk sperrt.
• Eine derartige Sensoranordnung ist in der deutschen Offenlegungsschrift DE 198 50 065 A1 beschrieben. Dieses Dokument zeigt eine Netzwerkkomponente, welche insbesondere auch eine Sensoreinrichtung sein kann, die mit einem Netzwerk, das beispielhaft als ein CAN-Bus in einem Kraftfahrzeug dargestellt ist, verbunden ist. Die Netzwerkkomponente mit einem Controller weist ein CAN-Steuerteil auf, welches über eine Übertragungsleitung und eine Empfangsleitung mit einer CAN-Übertragungs/Empfangseinrichtung verbunden ist. Offenbart ist eine Übertragungssperrsignal-Erzeugungseinrichtung, welche durch Aufschalten eines festen Potentials auf die Übertragungsleitung die Übertragung von Signalen der Netzwerkkomponente in das Netzwerk sperren kann. In einer Ausführung der Vorrichtung ist zudem eine Überprüfungssignalleitung vorgesehen, welche das auf der Übertragungsleitung vorliegende Potential auf einen Eingang der Netzwerkkomponente zurückführt, so dass die Netzwerkkomponente eine Prüfung der korrekten Funktion der Übertragungssperrsignal-Erzeugungseinrichtung ausführen kann.
• Insbesondere in Kraftfahrzeugen gibt es Sensoranordnungen, die als sicherheitskritisch angesehen werden. Als Beispiel hierfür seien elektronische Sensoren zur Erfassung des Lenkraddrehwinkels genannt, da hierbei auftretende Fehlfunktionen schwerwiegende Folgen haben können. Bei derartigen Einrichtungen muss daher ein auftretender Fehler in kürzester Zeit erkannt und die Einrichtung in einen sicheren Zustand überführt werden. Üblich ist es, solche Einrichtungen redundant aufzubauen, so dass alle sicherheitsrelevanten Elemente wie Sensoren, Spannungsregler und Controller doppelt vorhanden sind. Dies ermöglicht durch Vergleich von Daten und/oder elektrischen Signalen eine schnelle Erkennung von Fehlfunktionen. Allerdings erfordert eine vollständige Redundanz einen erheblichen Kostenaufwand. Dies gilt besonders dann, wenn mehrere sich gegenseitig überwachende kostenaufwendige Controller vorgesehen sind.
• Bevorzugt werden daher Sicherheitskonzepte, die ohne eine vollständige Redundanz ein hohes Maß an Sicherheit erreichen. Wie bereits aus der DE 198 50 065 A1 hervorgeht, ist es dabei besonders wichtig, dass keine fehlerhaften Signale oder Daten in das Fahrzeugnetzwerk gelangen. Hierdurch wird vermieden, dass durch die Verwendung fehlerhafter Daten an anderer Stelle sicherheitskritische Ergebnisse entstehen.
• Es stellte sich die Aufgabe, eine Sensoranordnung zu schaffen, die mit geringem Aufwand das durch den Stand der Technik bekannte Sicherheitskonzept verbessert.
• Diese Aufgabe wird erfindungsgemäß dadurch gelöst, dass die Hardwareanordnung mehrere Abschalteinrichtungen aufweist.
• Die erfindungsgemäße Sensoranordnung weist gegenüber dem aus der DE 198 50 065 A1 bekannten Aufbau an wesentlicher Stelle eine redundante Ausführung auf, nämlich eine mindestens doppelt ausgeführte Abschalteinrichtung. Hierdurch werden wesentlich verbesserte hardwaregestützte Abschaltmöglichkeiten geschaffen.
• Die mindestens zwei Abschalteinrichtungen können selbst dann noch wirksam werden, wenn eine der Abschalteinrichtungen fehlerhaft ist und zugleich der Controller eine Fehlfunktion aufweist, aufgrund der er den Fehler der Abschalteinrichtung nicht erkennt.
• Die funktionsfähig verbliebene Abschalteinrichtung kann in diesem Fall, angesteuert durch einen Sensorbaustein, die Datenübertragung der Sensoranordnung in das Fahrzeugnetzwerk sperren, so dass Folgeschäden durch die Verwendung fehlerhafter Daten verhindert werden.
• Besonders vorteilhaft ist es, wenn neben den Abschalteinrichtungen auch die Sensorik redundant ausgelegt ist. Jede der Abschalteinrichtungen wird so durch einen eigenen zugeordneten Sensorbaustein gesteuert, der selbständig auf Fehler reagieren kann. Ebenfalls vorteilhaft ist es, wenn die Sensorbausteine auch eine gegenseitige Überwachung und/oder einen Sensordatenvergleich ausführen können, durch die weitere Fehlermöglichkeiten erkennbar werden. Hierbei ist es äußerst vorteilhaft, wenn die Kommunikation zwischen den Sensorbausteinen über Verbindungsleitungen oder ein Bussystem erfolgt, welches von dem Fahrzeugnetzwerk unabhängig funktioniert.
• Ein besonderer Vorteil der Erfindung besteht darin, dass ein hohes Maß an Funktionssicherheit erzielt wird, ohne dass mehrere kostenaufwendige Controller erforderlich sind.
• Weitere vorteilhafte Ausgestaltungen und Weiterbildungen einer erfindungsgemäßen Sensoranordnung gehen aus den abhängigen Ansprüchen sowie aus der nachfolgenden Beschreibung eines Ausführungsbeispiels der Erfindung anhand der Zeichnung hervor. Es zeigen
• 1 ein Blockschaltbild der Sensoranordnung,
• 2 das Blockschaltbild mit eingefügten Signalpfaden.
• Die 1 skizziert den Aufbau einer erfindungsgemäßen Sensoranordnung, welche eine sicherheitsrelevante Funktion in einem Kraftfahrzeug ausführt. Eine solche Sensoranordnung kann beispielsweise zur Erfassung des Lenkraddrehwinkels vorgesehen sein.
• Die Sensoranordnung weist zwei Sensorbausteine 1, 2 auf, die beispielsweise einen Drehwinkel redundant erfassen. Die Sensorbausteine 1, 2 können nach unterschiedlichen oder auch nach dem gleichen physikalischen Messprinzip funktionieren oder sogar identisch ausgebildet sein. Beide Sensorbausteine 1, 2 sind untereinander und zusätzlich mit einem Controller 3 elektrisch verbunden und zwar vorzugsweise über ein Bussystem 10, welches von einem fahrzeugweit geführten Fahrzeugnetzwerk 5 unabhängig funktioniert.
• Das Bussystem 10 kann vorteilhaft als ein synchroner serieller Datenbus ausgeführt sein, beispielsweise als so genannter SPI-Bus (Serial Peripheral Interface). Die grundsätzliche Funktionsweise eines solchen Bussystems 10 kann als bekannt vorausgesetzt werden und soll daher hier nicht näher erläutert werden. Wesentlich ist, dass das Bussystem 10 sowohl eine Kommunikation zwischen den Sensorbausteinen 1, 2 und dem Controller 3, als auch eine Kommunikation der Sensorbausteine 1, 2 untereinander ermöglicht, bei der jeweils Daten ausgetauscht und verglichen werden.
• Der Controller 3 ist über eine Übertragungsleitung 6 und eine Empfangsleitung 7 mit einem Transceiverbaustein 4 verbunden, welcher die Anbindung an ein Fahrzeugnetzwerk 5 herstellt. Die auf der Übertragungsleitung 6 bzw. der Empfangsleitung 7 geführten Signale sind mit TxD bzw. RxD bezeichnet.
• Der Controller 3 überwacht mehrere fahrzeuginterne Spannungen mittels integrierter Analog-Digitalwandler A/D, nämlich Kl. 15 (geschaltetes Pluspotential gegen Masse), Kl. 30 (Dauerpluspotential gegen Masse), sowie eine Modulspannung V_CC, die als Versorgungsspannung an verschiedenen elektronischen Bausteinen 1, 2, 3, 4, 8, 9 anliegt. Eine Anpassung der erfassten Spannungen an den Erfassungsbereich der Analog-Digitalwandler A/D erfolgt über Signalaufbereitungen S₁₅, S₃₀, S_Vcc, die als Spannungsteileranordnungen ausgebildet sein können.
• Zur Außenbeschaltung des Controllers 3 gehört ein Spannungsregler 11, der aus der Bordnetzspannung des Kraftfahrzeugs die Modulspannung V_CC erzeugt. Der Spannungsregler 11 weist einen Aktivierungseingang EN auf, der durch einen Port OUT des Controllers 3 angesteuert werden kann, und damit die Modulspannung V_CC als Selbsthaltefunktion für eine Nachlaufphase eingeschaltet halten kann, wenn das Eingangssignal Kl. 15 ausgeschaltet wird.
• Der Spannungsregler 11 kann intern eine nicht dargestellte Spannungsüberwachungseinrichtung aufweisen, die im Falle einer zu niedrigen Modulspannung V_CC ein Signal auf den Reseteingang RESET des Controllers 3 gibt und dadurch einen Neustart des Controllers 3 einleitet.
• Das Fahrzeugnetzwerk 5 ist hier, ohne Beschränkung der Allgemeinheit, als CAN-Bus-System dargestellt, welches in Kraftfahrzeugen weite Verbreitung gefunden hat. Das Fahrzeugnetzwerk 5 kann aber alternativ auch als LIN-BUS, FlexRay oder ein ähnliches Bussystem ausgebildet sein. Der CAN-Bus 5 besteht aus zwei fahrzeugweit geführten Datenleitungen CAN_H, CAN_L, an die eine Vielzahl von hier nicht dargestellten Geräten angeschlossen sein kann, welche auf das Fahrzeugnetzwerk 5 zugreifen. Dabei können Daten, die von einem Gerät gesendet werden, von einem anderen Gerät gelesen und weiterverarbeitet werden.
• Problematisch ist es, wenn ein Daten sendendes Gerät, wie beispielsweise der Controller 3 der hier beschriebene Sensoranordnung, fehlerhafte Daten in das Fahrzeugnetzwerk 5 einspeist; diese werden von Daten empfangenden Geräten im allgemeinen, das heißt, solange die Daten nicht als unplausibel klar erkennbar sind, nicht als fehlerhaft identifiziert. Dies kann zu negativen und unter Umständen zu gefährlichen Folgeerscheinungen führen. Daher ist es erforderlich, dass, besonders bei sicherheitsrelevanten Einrichtungen, fehlerhafte Daten gar nicht erst in das Fahrzeugnetzwerk 5 gelangen können.
• Sind beispielsweise die Daten eines Sensorbausteins 1, 2 außerhalb eines plausiblen Wertebereichs und damit erkennbar fehlerhaft, so steuert dieser Sensorbaustein 1, 2 die ihm zugeordnete Abschalteinrichtung 8, 9 an, um eine Datenübertragung in das Fahrzeugnetzwerk 5 zu unterbinden. Dies gilt ebenso, wenn mehrere Sensorbausteine 1, 2 zwar plausible aber widersprüchliche Daten liefern.
• Darüber hinaus ist von fehlerhaften Sensordaten auszugehen, wenn die interne Modulspannung V_CC einen zulässigen Maximalwert überschreitet, da in diesem Fall die Funktion und das Verhalten verschiedener elektronischer Bauelemente, wie etwa des Controllers 3 oder des Transceiverbausteins 4, nicht sicher bestimmt werden können.
• Beim Auftreten dieser Fehler wird die Übertragung weiterer CAN-Botschaften in das Fahrzeugnetzwerk 5 hardwareseitig abgeschaltet. Die beiden voneinander unabhängige Abschalteinrichtungen 8, 9 schalten dazu das Übertragungsleitungssignal TxD auf ein logisches High-Potential. Hierdurch befindet sich der Transceiverbaustein 4 im so genannten rezessiven Zustand und verhindert die Ausgabe gültiger CAN-Botschaften. Die Kommunikation der übrigen Geräte im Fahrzeugnetzwerk 5 wird dabei durch einen Fehler der Sensoranordnung nicht beeinträchtigt.
• Die Abschalteinrichtungen 8, 9 werden durch jeweils einen Sensorbaustein 1, 2 angesteuert. Der hierzu vorgesehene Ausgang des jeweiligen Sensorbausteins 1, 2 wird eingeschaltet, wenn die Versorgungsspannung V_CC des Sensorbausteins 1, 2 einen vorgegebenen Höchstwert überschreitet. Eine zu geringe Versorgungsspannung V_CC wird dagegen durch einen vom Spannungsregler 11 ausgelösten Unterspannungsreset des Controllers 3 abgefangen. Eine Ansteuerung der Abschalteinrichtungen 8, 9 erfolgt ebenfalls, wenn bei einem Vergleich die von den Sensorbausteinen 1, 2 ermittelten Sensordaten nicht übereinstimmen und/oder wenn die Kommunikation zwischen Controller 3 und den Sensorbausteine 1, 2 über den Datenbus des Bussystems 10 eine vorgebbare Zeit überschreitet.
• Die redundante Ausführung der Abschalteinrichtungen 8, 9 verhindert, dass bereits ein Einfachfehler, wie der Ausfall einer der Abschalteinrichtungen 8, 9, oder eines der Sensorbausteins 1, 2, ein gegebenenfalls erforderliches Sperren der Datenübertragung in das Fahrzeugnetzwerk 5 verhindert.
• 2 skizziert das grundlegende Sicherheitskonzept auf vereinfachte Weise anhand von durch Pfeile skizzierten Signalpfaden A–H. Nicht weiter dargestellt ist hier die bereits erwähnte Überwachung verschiedener Spannungen durch mehrere Analog/Digitalwandler A/D des Controllers 3.
• Im Falle einer zu niedrigen Modulspannung V_CC steuert der Spannungsregler 11 den Reseteingang RESET des Controllers 3 an, der daraufhin neu initialisiert wird (Signalpfad A). Solange die Initialisierung andauert, leitet der Controller 3 keine Daten in das Fahrzeugnetzwerk 5 ein.
• Eine Überwachung der Modulspannung V_CC auf zu hohe Werte erfolgt redundant durch Spannungsüberwachungseinrichtungen S₁, S₂ der Sensorbausteine 1, 2 (Signalpfad B). Im Falle einer zu hohen Modulspannung V_CC steuert jeder Sensorbaustein 1, 2 die ihm zugeordnete Abschalteinrichtung 8, 9 an.
• Die Abschalteinrichtungen 8, 9 sind jeweils als zweistufige, signalinvertierende Transistorschaltungen ausgeführt. Bei einer Ansteuerung mit einem logischen H-Potential (Signalpfade C und D) erzeugen die ersten Stufen der Abschalteinrichtungen 8, 9 jeweils ein L-Potential, das von der Abschalteinrichtung 8 auf einen Port I/O des Controllers 3 geführt ist, und von der Abschalteinrichtung 9 am Reseteingang RESET des Controllers 3 anliegt (Signalpfade E und F). Der Controller 3 erhält so auf zwei unabhängigen Wegen eine Information über das Vorliegen eines sicherheitskritischen Zustands. Das L-Potential am Reseteingang RESET (active-low) des Controllers 3 führt hier ebenfalls zu einer Neuinitialisierung des Controllers 3.
• Die Ausgänge der zweiten Stufen der Abschalteinrichtungen 8, 9 geben im Falle einer Ansteuerung beide ein H-Potential auf die Übertragsleitung 6 (Signalpfade G und H) und sperren so redundant und hardwaregestützt die Datenübertragung zwischen dem Controller 3 und dem Transceiverbaustein 4, wodurch keine Daten mehr über den Transceiverbaustein 4 in das Fahrzeugnetzwerk 5 übertragen werden können. Die Funktion anderer mit dem Fahrzeugnetzwerk 5 verbundener Geräte wird vorteilhafterweise hierdurch nicht beeinflusst.
• Es sei hervorgehoben, dass bereits ein H-Potential auf einem der Signalpfade G und H, das heißt die Ansteuerung einer der Abschalteinrichtungen 8, 9 zum Sperren der Datenübertragung in das Fahrzeugnetzwerk 5 ausreichend ist.
• Die Ansteuerung der Abschalteinrichtungen 8, 9 durch die Sensorbausteine 1, 2 erfolgt nicht ausschließlich in Abhängigkeit von einem fehlerhaften Wert der Modulspannung V_CC, sondern wird von den Sensorbausteinen 1, 2 auch beim Vorliegen nicht übereinstimmender und damit fehlerhafter Sensordaten ausgelöst, welche durch eine Kommunikation über das Bussystem 10 miteinander verglichen werden.
• Eine Ansteuerung der Abschalteinrichtungen 8, 9 durch die Sensorbausteine 1, 2 kann darüber hinaus vorgesehen sein, wenn die Kommunikation über das Bussystem 10 zu einer Überschreitung eines vorgegebenen Zeitmaximums, vergleichbar dem Timeout einer Watchdogschaltung, führt.
• Bezugszeichenliste

1, 2

Sensorbaustein(e)

3

Controller

4

Transceiverbaustein

5

Fahrzeugnetzwerk (CAN-Bus)

6

Übertragungsleitung

7

Empfangsleitung

8, 9

Abschalteinrichtungen (Hardwareanordnung)

10

Bussystem

11

Spannungsregler

A, ..., H

Signalpfade

A/D

Analog/Digitalwandler

CAN_H, CAN_L

Datenleitungen (CAN-Bus)

EN

Aktivierungseingang

I/O, OUT

Ports

Kl. 15

Versorgungsspannung (geschaltetes Pluspotential)

Kl. 30

Versorgungsspannung (Dauerplus)

RESET

Reseteingang

RxD

(Empfangsleitungs)signal

S₁, S₂

Spannungsüberwachungseinrichtungen

S_Vcc, S₁₅, S₃₀

Signalaufbereitung

TxD

(Übertragungsleitungs)signal

V_CC

Modulspannung

• ZITATE ENTHALTEN IN DER BESCHREIBUNG
• Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
• Zitierte Patentliteratur
• DE 19850065 A1 [0002, 0004, 0007]

Claims (11)

1. Sensoranordnung für ein Kraftfahrzeug, mit mindestens einem Sensorbaustein (1, 2), der mit einem Controller (3) verbunden ist, wobei der Controller (3) über einen Transceiverbaustein (4) an ein Fahrzeugnetzwerk (5) angebunden ist, mit zumindest einer Übertragungsleitung (6) und einer Empfangsleitung (7) zwischen dem Controller (3) und dem Transceiverbaustein (4), und mit einer Hardwareanordnung (8, 9) zur Erzeugung eines auf die Übertragungsleitung (6) einwirkenden Sperrsignals, welches die Übertragung von Daten des Controllers (3) in das Fahrzeugnetzwerk (5) sperrt, dadurch gekennzeichnet, dass die Hardwareanordnung mehrere Abschalteinrichtungen (8, 9) aufweist.
2. Sensoranordnung nach Anspruch 1, dadurch gekennzeichnet, dass die Abschalteinrichtungen (8, 9) durch jeweils eine zweistufige signalinvertierende Transistorschaltung ausgeführt sind.
3. Sensoranordnung nach Anspruch 1, dadurch gekennzeichnet, dass die Abschalteinrichtungen (8, 9) mindestens ein Statussignal an einen Port (I/O) des Controllers (3) geben.
4. Sensoranordnung nach Anspruch 1, dadurch gekennzeichnet, dass die Sensoranordnung mehrere Sensorbausteine (1, 2) aufweist.
5. Sensoranordnung nach Anspruch 4, dadurch gekennzeichnet, dass jede Abschalteinrichtungen (8, 9) durch einen zugeordneten Sensorbaustein (1, 2) gesteuert wird.
6. Sensoranordnung nach Anspruch 1, dadurch gekennzeichnet, dass der/die Sensorbaustein(e) (1, 2) über ein vom Fahrzeugnetzwerk (5) unabhängiges Bussystem (10) mit dem Controller (3) verbunden ist/sind.
7. Sensoranordnung nach Anspruch 1, dadurch gekennzeichnet, dass der mindestens eine Sensorbaustein (1, 2) eine Spannungsüberwachungseinrichtung (S₁, S₂) aufweist und die Abschalteinrichtungen (8, 9) zur Erzeugung eines Sperrsignals ansteuern, wenn die eine Versorgungsspannung (V_CC) einen vorgegebenen Wert überschreitet.
8. Sensoranordnung nach Anspruch 6, dadurch gekennzeichnet, dass die Sensorbausteine (1, 2) erfasste Sensordaten über das Bussystem (10) austauschen und vergleichen und die Abschalteinrichtungen (8, 9) zur Erzeugung eines Sperrsignals ansteuern, wenn verglichene Sensordaten nicht übereinstimmen.
9. Sensoranordnung nach Anspruch 5, dadurch gekennzeichnet, dass die Sensorbausteine (1, 2) die Abschalteinrichtungen (8, 9) zur Erzeugung eines Sperrsignals ansteuern, wenn die Kommunikation zwischen den Sensorbausteinen (1, 2) und dem Controller (3) zur Überschreitung eines vorgegebenen Zeitrahmens führt.
10. Sensoranordnung nach Anspruch 1, dadurch gekennzeichnet, dass der Controller (3) den Wert wenigstens einer Spannung (Kl. 30, Kl. 15, V_CC) überwacht.
11. Sensoranordnung nach Anspruch 1, dadurch gekennzeichnet, dass der mindestens eine Sensorbaustein (1, 2) den Drehwinkel des Lenkrads in einem Kraftfahrzeug erfasst.

Images