DE102011107550A1

DE102011107550A1 - Notlaufbetrieb von Komponenten in einem Kraftfahrzeug

Info

Publication number: DE102011107550A1
Application number: DE201110107550
Authority: DE
Inventors: Marius Baller
Original assignee: Volkswagen AG
Current assignee: Volkswagen AG
Priority date: 2011-07-16
Filing date: 2011-07-16
Publication date: 2013-01-17

Abstract

Die Erfindung betrifft ein Steuergerät zur sicheren Steuerung von Komponenten in einem Kraftfahrzeug bzw. ein Verfahren zum Notlaufbetrieb dieser Komponenten. Zur Steuerung von Komponenten eines Kraftfahrzeugs umfasst ein Steuergerät mit mindestens einem feldprogrammierbaren Gatterarray (FPGA) (5a, 5b, 5c) mindestens eine Fehlerlokalisationseinheit (1), die mit mindestens einem externen Datenspeicher (4a, 4b, 4c) außerhalb des FPGA (5a, 5b, 5c) kommunizierbar ist und Fehler in einen internen Fehler im FPGA (5a, 5b, 5c) und einen externen Fehler in den Komponenten unterscheidet, je nach dem Unterscheidungsergebnis das Steuergerät derart rekonfigurierbar ist, dass bei externen Fehlern die Konfiguration des FPGA (5a, 5b, 5c) durch Kommunikation mit Daten, die für Notlaufbetrieb der Komponenten notwendig und auf dem externen Datenspeicher (4a, 4b, 4c, 4d) gespeichert sind, aktualisiert wird, und bei internen Fehlern das FPGA (5a, 5b, 5c) sich auf ein Notlaufmodell umstellt, in dem das FPGA (5a, 5b, 5c) zum Notlaufbetrieben der Komponenten weiter betrieben werden kann.

Description

Die Erfindung betrifft ein Steuergerät zur sicheren Steuerung von Komponenten in einem Kraftfahrzeug bzw. ein Verfahren zum Notlaufbetrieb dieser Komponenten.
In einem Kraftfahrzeug wird heutzutage eine große Zahl von Steuergeräten zur Steuerung mechanischer und elektrischer Komponenten des Fahrzeugs, wie z. B. Motoren, Sensoren, Klimaanlage und Fahrzeuglenkung, eingebaut. Um die Fahrsicherheit eines Fahrzeuges zu gewährleisten bzw. zu erhöhen, müssen die Steuergeräte bei auftretenden Fehlern oder Störungen auch in der Lage sein, solche Komponenten weiterhin in einem Notlaufbetrieb ansteuern zu können. Da die Notlauffunktionen eines Steuergeräts in der Regel eine andere Funktionsweise erfordern, ist das Steuergerät zuerst zu rekonfigurieren. Dies benötigt eine große Menge von Datenressourcen, um das Steuergerät zu konfigurieren und um die Notlauffunktionen in das Steuergerät zu implementieren.
Ein modernes Steuergerät besteht häufig aus Bausteinen mit zwei- oder mehrdimensionaler Zellanordnung, wie z. B. feldprogrammierbare Gatterarrays (FPGA). Auf dem FPGA sollen verschiedene Aufgaben gelöst werden, jede Aufgabe ist einem Modul zugeordnet, jedes Modul benötigt eine bestimmte Menge an Ressourcen des FPGAs. Auf einem FPGA ist es jedoch normalerweise unwirtschaftlich, mehrere Konzepte parallel bzw. eine große Datenmenge vorzuhalten. Ein neuartiges FPGA kann eine so genannte partielle dynamische Rekonfiguration (pdR) bieten. Darunter versteht man die Fähigkeit zur Aktualisierung eines Teils der Konfigurationsspeicher in einem FPGA mit einer neuen Konfiguration, ohne die Funktionalität des unveränderten Abschnitts des FPGA zu beeinflussen, weil ein FPGA nicht alle Komponenten aufnimmt und diese Komponenten nicht immer gleichzeitig gebraucht werden. Man kann somit z. B. unterschiedliche Konfigurationskonzepte im FPGA speichern.
In der EP 1 303 913 B1 wird dieses Konzept zur Erhöhung der Systemverfügbarkeit vorgestellt. Mittels der pdR wird eine sicherheitsrelevante Funktion auf einem FPGA bei Fehlern in einer externen Peripherie durch eine Notlauffunktion ausgetauscht, und eine Notlauffunktion mit internen Datenressourcen bei Hardwarefehlern auf dem FPGA selber benutzt.
EP 1 854 022 B1 offenbart ein Steuergerät, mit dem Steuerungsprozesse in einem Fahrzeug bei hoher Datenverarbeitungsdichte auf Hardwaremodulen ausgeführt werden können. Nach dem Zuordnen eines Steuerungsprozesses zu einem Hardwaremodul wird zunächst eine Hardwarekonfiguration in das Hardwaremodul geladen, um dessen Hardware neu zu konfigurieren, und dann übernimmt das neu konfigurierte Hardwaremodul die Steuerung der zugeordneten Komponente.
Der Erfindung liegt die Aufgabe zu Grunde, ein Steuergerät mit einem FPGA zur besseren Steuerung der Komponenten in einem Kraftfahrzeug bereitzustellen, um sich mit einer möglichst geringen Belastung auf die Speicherkapazität des FPGA die Komponenten in einem Notlaufbetrieb ansteuern lassen zu können, und ein Verfahren zur Steuerung der Komponenten in einem Kraftfahrzeug mittels eines derartigen Steuergeräts zu ermöglichen.
Diese Aufgabe wird erfindungsgemäß durch ein Steuergerät mit den Merkmalen des Patentanspruchs 1 bzw. ein Verfahren mit den Merkmalen des Patentanspruchs 7 gelöst. Weitere vorteilhafte Ausgestaltungen der Erfindung ergeben sich aus den jeweiligen Unteransprüchen.
Der Erfindung liegt die Idee zugrunde, die Konfiguration eines Steuergeräts für unterschiedliche Anforderungen durch Kommunikation mit verschiedenen vorgespeicherten Daten gezielt durchzuführen, damit die Belastung auf dem Datenspeicher des Steuergeräts, insbesondere auf das FPGA reduziert wird. Erfindungsgemäß wird ein Steuergerät mit mindestens einem feldprogrammierbaren Gatterarray (FPGA) zur Steuerung von Komponenten eines Kraftfahrzeugs vorgesehen, wobei das Steuergerät mindestes eine Fehlerlokalisationseinheit umfasst, die mit mindestens einem externen Datenspeicher außerhalb des FPGA kommunizierbar verbunden ist und Fehler in einen internen Fehler im FPGA und einen externen Fehler in den Komponenten unterscheidet. Je nach dem Unterscheidungsergebnis wird das Steuergerät derart rekonfiguriert, dass bei externen Fehlern die Konfiguration des FPGA durch Kommunikation mit Daten, die für einen Notlaufbetrieb der Komponenten notwendig und auf dem externen Datenspeicher gespeichert sind, aktualisiert wird, und bei internen Fehlern das FPGA sich auf ein Notlaufmodell, in dem das FPGA zum Notlaufbetrieb der Komponenten weiter betrieben werden kann, umstellt. Wie allgemein bekannt, kann in das FPGA zusätzlich ein eigener Speicher (z. B. RAM, SRAM) integriert sein. In dem Speicher können wichtige Daten, die zum Starten oder Konfigurieren des FPGA selbst notwendig sind, gespeichert werden. Dadurch können nur die für die Rekonfiguration des Steuergeräts erforderlichen Daten auch außerhalb von dem Steuergerät bzw. FPGA gespeichert werden. Wenn ein externer Fehler auftritt, werden die alten Daten des Steuergeräts, mit denen das Steuergerät die vom Fehler betroffene Komponente weder im Normalbetrieb noch im Notlauf ansteuern kann, einfach durch die vorgespeicherten, für Notlaufbetrieb der Komponente notwendigen Daten ausgetauscht. Die anderen Konfigurationsdaten des Steuergeräts brauchen in dem Fall nicht komplett geändert zu werden.
Gemäß einer vorteilhaften Ausgestaltung der Erfindung werden mindestens zwei Notlaufmodelle für das FPGA vorgesehen, damit das Steuergerät sich darauf einstellen kann, dass es bei unterschiedlichen Fehlern verschiedene von Fehlern betroffene Komponenten in einem Notlaufbetrieb ansteuern kann.
Vorteilhafterweise weist das Steuergerät zumindest eine Fehlerpräventionseinheit auf, die das Steuergerät je nach unterschiedlichen internen Fehlern auf ein entsprechendes Notlaufmodell umstellen kann. Für einen Notlaufbetrieb oder die dementsprechende Rekonfiguration werden dann nur die notwendigen Daten oder das entsprechende Notlaufmodell ausgewählt. Dadurch ist ein Wechsel auf eine richtige Konfiguration mit minimierter Verlustleistung möglich, und es wird Speicherkapazität eingespart.
Gemäß einer weiteren vorteilhaften Ausgestaltung der Erfindung weist das Steuergerät ein Identifizierungsmittel auf, das einen von dem internen Fehler betroffenen Teil des FPGA identifiziert. Das Notlaufmodell wird derart bereitgestellt, dass das FPGA mit dessen restlichen Teil in diesem Notlaufmodell die Komponenten steuern kann. Das Identifizierungsmittel wirkt mit dem FPGA so zusammen, dass das Identifizierungsmittel einen fehlerhaften Teil des FPGA festlegt, und die Rekonfigurationsdaten werden dann in dem restlichen, fehlerfreien Teil des FPGA gespeichert. D. h., nur ein Teil der Konfigurationsspeicher in dem FPGA wird mit einer neuen Konfiguration aktualisiert, ohne die Funktionalität des unveränderten Teils des FPGA zu beeinflussen, weil ein FPGA nicht alle Komponenten aufnimmt und diese Komponenten nicht immer gleichzeitig gebraucht werden. Darüber hinaus, wird das Risiko, dass die Rekonfigurationsdaten nicht mehr aufrufbar sind, verringert, weil sie nun in verschiedenen Speichern verteilt gespeichert werden können. Damit steigt die Verfügbarkeit durch die Teilabschaltung des FPGA. Dies ist vorteilhaft gegenüber einem Steuergerät mit einem Mikrokontroller (μC). Bei einem Hardwaredefekt, der den μC betrifft, ist ein Weiterbetrieb nicht mehr möglich. Nach dem hier vorgestellten Notlaufkonzept kann auch eine Minimalimplementierung auf dem FPGA geladen werden, die den anderen Teil des FPGA unterbringt.
Weiterhin kann ein System mit mindestens zwei Steuergeräten für ein Fahrzeugbordnetz, ausgebildet werden, wobei die Steuergeräte untereinander zur Kommunikation mittels eines elektrischen Datenbusses vernetzt werden können.
Erfindungsgemäß wird ein Verfahren zum Notlaufbetrieb von Komponenten in einem Kraftfahrzeug mittels eines FPGA angegeben, bei dem Fehler als ein interner Fehler im FPGA und ein externer Fehler in den Komponenten unterscheidend ermittelt werden, je nach dem Ermittlungsergebnis das FPGA derart rekonfiguriert wird, dass die Konfiguration des FPGA bei externen Fehlern durch Kommunikation mit Daten, die für einen Notlaufbetrieb der Komponenten notwendig sind und außerhalb des FPGA gespeichert werden, aktualisiert wird, und das FPGA bei internen Fehlern auf ein Notlaufmodell, im dem das FPGA zum Notlaufbetrieben der Komponenten weiter betrieben werden kann, umstellt wird.
Die Erfindung wird im Folgenden im Rahmen der Ausführungsbeispiele anhand der Figur näher dargestellt. Es zeigt:
1: den schematischen Aufbau eines erfindungsgemäßen Steuergeräts.
Diese 1 zeigt ein Steuergerät zur Steuerung von Komponenten in einem Kraftfahrzeug, wobei das Steuergerät bei auftretenden Fehlern oder Störungen im Kraftfahrzeug die Komponenten in einem Notlaufbetrieb weiterhin ansteuern kann. Das Steuergerät umfasst ein feldprogrammierbares Gatterarray (FPGA) 5a, 5b, 5c und eine Fehlerlokalisationseinheit 1, die über eine Schnittstelle 2a, 2b mit mindestens einem externen Datenspeicher 4a, 4b, 4c, welcher sich außerhalb von dem FPGA befindet, kommunizieren kann. Zusätzlich zu dem externen Datenspeicher 4a, 4b, 4c kann das FPGA einen inneren Datenspeicher (nicht dargestellt) aufweisen, dort werden normalerweise wichtige Daten, die zum Starten und Konfigurieren des FPGA selbst notwendig sind, gespeichert. Der innere Datenspeicher ist in der Regel deutlich kleiner in der Speicherkapazität als der externe Datenspeicher 4a, 4b, 4c. Die FPGA-Technologie bietet eine Flexibilität und die notwendigen Funktionen für eine Prototypenerstellung. Ein FPGA kann auch eine Hardwareparallelität nutzen, wobei eine partielle dynamische Rekonfiguration (PDR) möglich ist. Die Steuerung der PDR kann z. B. mittels in einer kleinen Bibliothek abgelegter und vorprogrammierter Hardwarekonfigurationen erfolgen. Je nach Anforderung eines Prozesses wird dann die entsprechende Hardwarekonfiguration in das Steuergerät geladen.
Die Fehlerlokalisationseinheit 1 kann Fehler in einen internen Fehler im FPGA und einen externen Fehler in den Komponenten, die außerhalb des Steuergeräts bzw. des FPGA sind, unterscheiden. Zur Reduzierung des Aufwands des Geräte-Aufbaus ist es in verschiedenen Betriebszuständen, insbesondere in einem Notlaufbetrieb der Komponenten, notwendig, beim Wechsel des Betriebszustands das Steuergerät zu rekonfigurieren. Beim FPGA kann Hardwareparallelität, nämlich die so genannte PDR, angewendet werden, so dass die für Notlaufbetrieb der Komponenten notwendigen Daten auf dem externen Datenspeicher 4a, 4b, 4c gespeichert werden, und die Konfigurationsdaten für ein Notlaufmodell, in dem das FPGA zum Notlaufbetrieb der Komponenten weiter betrieben werden kann, z. B. im Steuergerät bzw. dem FPGA selber gespeichert werden können. Je nach dem Unterscheidungsergebnis wird das Steuergerät somit partiell dynamisch derart rekonfiguriert, dass bei externen Fehlern die Konfiguration des FPGA durch Kommunikation mit den für Notlaufbetrieb der Komponenten notwendigen Konfigurationsdaten aktualisiert wird, und bei internen Fehlern kann das FPGA sich auf eines der Notlaufmodelle, in denen das FPGA zum Notlaufbetrieb der Komponenten weiter betrieben werden kann, umstellen.
Wenn z. B. ein externer Fehler in einem Motor oder einem Motorschaltkreis auftritt, muss der Motor in einem Notlaufbetrieb weiter angesteuert werden können. Da ein Motorreglermodul oder eine Motorreglersoftware für die Ansteuerung eines Motors sehr komplex ist und einen großen Teil des FPGA belegt, wird im Fehlerfall nur ein Motornotlaufmodul oder eine Motornotlaufsoftware auf dem FPGA neu aufgeladen, anstatt das komplette Motorreglermodul oder die vollständige Motorreglersoftware auszutauschen, wobei die anderen gleichen Hardwareressourcen im FPGA auch ohne Änderungen weitergenutzt werden können.
Das Steuergerät weist ein Identifizierungsmittel 6 auf, das einen vom internen Fehler betroffenen Teil des FPGA identifizieren kann. Dabei wird der restliche, fehlerfreie Teil des FPGA ebenfalls identifiziert. Die neuen Rekonfigurationsdaten ersetzen dann nur die alten Daten, die im vom internen Fehler betroffenen Teil des FPGA gespeichert sind, die anderen Daten auf dem FPGA bleiben nicht beeinflusst. Durch eine Lokalisation des Fehlers im FPGA kann dann eine geeignete Kompensationsmaßnahme eingeleitet werden, z. B. die Nutzung einer Notlauffunktion, die den defekten Teil des FPGA nicht benutzt.
Das Steuergerät weist in diesem Beispiel zwei Fehlerpräventionseinheiten 3 auf, die jeweils über eine Schnittstelle 7a, 7b mit dem FPGA kommunizierbar sind. Die Fehlerpräventionseinheiten 3 können das FPGA je nach unterschiedlichen internen Fehlern auf ein entsprechendes Notlaufmodell umstellen, z. B. bei Übertemperatur auf ein Notlaufmodell für kritische Verlustleistung 5b oder bei Unterspannung auf ein Notlaufmodell für großen Stromverbrauch 5c. Für einen Notlaufbetrieb oder die dementsprechende Rekonfiguration werden dann nur notwendige Konfigurationsdaten oder ein entsprechendes Notlaufmodell ausgewählt. Dadurch ist ein Wechsel auf eine richtige Konfiguration mit minimierter Verlustleistung optimiert.
Die Erfindung ist nicht auf das dargestellte Ausführungsbeispiel beschränkt. Wie bereits erwähnt, können zwei oder mehrere Steuergeräte für ein Fahrzeugbordnetz ausgebildet werden, wobei die Steuergeräte untereinander zur Kommunikation mittels elektrischen Datenbusses vernetzt werden können.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

EP 1303913 B1 [0004]
EP 1854022 B1 [0005]

Claims

Steuergerät mit mindestens einem feldprogrammierbaren Gatterarray (5a, 5b, 5c) zur Steuerung von Komponenten eines Kraftfahrzeugs, dadurch gekennzeichnet, dass das Steuergerät mindestens eine Fehlerlokalisationseinheit (1) umfasst, die mit mindestens einem externen Datenspeicher (4a, 4b, 4c) außerhalb des feldprogrammierbaren Gatterarrays (5a, 5b, 5c) kommunizierbar verbunden ist und Fehler in einen internen Fehler im feldprogrammierbaren Gatterarray (5a, 5b, 5c) und einen externen Fehler in den Komponenten unterscheidet, je nach dem Unterscheidungsergebnis das Steuergerät derart rekonfigurierbar ist, dass bei externen Fehlern die Konfiguration des feldprogrammierbaren Gatterarrays (5a, 5b, 5c) durch Kommunikation mit Daten aktualisiert wird, die für einen Notlaufbetrieb der Komponenten notwendig und auf dem externen Datenspeicher (4a, 4b, 4c, 4d) gespeichert sind, und bei internen Fehlern das feldprogrammierbare Gatterarray (5a, 5b, 5c) sich auf ein Notlaufmodell umstellt, in dem das feldprogrammierbare Gatterarray (5a, 5b, 5c) zum Notlaufbetrieben der Komponenten weiter betrieben werden kann.
Steuergerät nach Anspruch 1, dadurch gekennzeichnet, dass mindestens zwei Notlaufmodelle für das feldprogrammierbare Gatterarray (5a, 5b, 5c) vorgesehen sind.
Steuergerät nach Anspruch 2, dadurch gekennzeichnet, dass das Steuergerät zumindest eine Fehlerpräventionseinheit (3) aufweist, die das feldprogrammierbare Gatterarray (5a, 5b, 5c) je nach unterschiedlichen internen Fehlern auf ein entsprechendes der Notlaufmodelle umstellt.
Steuergerät nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass das Steuergerät mindestens ein Identifizierungsmittel (6) aufweist, wobei das Identifizierungsmittel (6) einen von dem internen Fehler betroffenen Teil des feldprogrammierbaren Gatterarrays (5a, 5b, 5c) identifiziert.
Steuergerät nach Anspruch 4, dadurch gekennzeichnet, dass das Notlaufmodell derart bereitstellbar ist, dass das feldprogrammierbare Gatterarrays (5a, 5b, 5c) mit dessen restlichem Teil in diesem Notlaufmodell die Komponenten steuern kann.
System mit mindestens zwei Steuergeräten nach einem der Ansprüche 1 bis 5 für ein Fahrzeugbordnetz, wobei die Steuergeräte untereinander zur Kommunikation mittels elektrischen Datenbusses vernetzt sind.
Verfahren zum Notlaufbetrieb von Komponenten in einem Kraftfahrzeug mittels eines feldprogrammierbaren Gatterarrays (5a, 5b, 5c), dadurch gekennzeichnet, dass Fehler als ein interner Fehler im feldprogrammierbaren Gatterarray (5a, 5b, 5c) und ein externer Fehler in den Komponenten unterscheidend ermittelt werden, je nach dem Ermittlungsergebnis das feldprogrammierbare Gatterarray (5a, 5b, 5c) derart rekonfiguriert wird, dass die Konfiguration des feldprogrammierbaren Gatterarrays (5a, 5b, 5c) bei externen Fehlern durch Kommunikation mit Daten aktualisiert wird, die für Notlaufbetrieb der Komponenten notwendig sind und außerhalb des feldprogrammierbaren Gatterarrays (5a, 5b, 5c) gespeichert werden, und das feldprogrammierbare Gatterarray (5a, 5b, 5c) bei internen Fehlern auf ein Notlaufmodell umstellt wird, in dem das feldprogrammierbare Gatterarray (5a, 5b, 5c) zum Notlaufbetrieben der Komponenten weiter betrieben werden kann.
Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass mindestens zwei Notlaufmodelle für das feldprogrammierbare Gatterarray (5a, 5b, 5c) vorgesehen werden.
Verfahren nach Anspruch 8, dadurch gekennzeichnet, dass mindestens eine Fehlerpräventionseinheit (3) vorgesehen wird, wodurch das feldprogrammierbare Gatterarray (5a, 5b, 5c) je nach unterschiedlichen internen Fehlern auf ein entsprechendes der Notlaufmodelle umgestellt wird.
Verfahren nach einem der Ansprüche 7 bis 9, dadurch gekennzeichnet, dass mindestens ein Identifizierungsmittel (6) zur Identifizierung eines von dem internen Fehler betroffenen Teils des feldprogrammierbaren Gatterarrays (5a, 5b, 5c) vorgesehen wird.
Verfahren nach Anspruch 10, dadurch gekennzeichnet, dass das Notlaufmodell derart bereitgestellt wird, dass in diesem Notlaufmodell das feldprogrammierbare Gatterarray (5a, 5b, 5c) mit seinem restlichen Teil die Komponenten steuern kann.