-
Die Erfindung betrifft ein Verfahren und eine Vorrichtung zum sicheren Betrieb eines Kraftfahrzeugs. Insbesondere betrifft die Erfindung ein Verfahren zur Steuerung einer elektronischen Steuereinrichtung an Bord des Kraftfahrzeugs und die elektronische Steuereinrichtung.
-
Stand der Technik
-
In einem Kraftfahrzeug sind mehrere elektronische Steuereinrichtungen (Electronic Control Unit, ECU) verbaut und untereinander verbunden. Für die Verbindungen können Punkt zu Punkt Verbindungen oder ein BUS verwendet werden. Die elektronischen Steuereinrichtungen tauschen Nachrichten miteinander aus, um im Verbund eine verbesserte Funktion bereitzustellen. Beispielsweise können zwei elektronische Steuereinrichtungen in Form eines Antiblockiersystems und eines Navigationssystems vorgesehen sein, wobei die Geschwindigkeit des Kraftfahrzeugs durch das Antiblockiersystem bestimmt und anschließend dem Navigationssystem bereitgestellt wird, um diesem eine verbesserte Zielführung auf einer vorbestimmten Route zu ermöglichen.
-
Besteht ein Fehler im Bereich einer der elektronischen Steuereinrichtungen, so können die anderen elektronischen Steuereinrichtungen in ihrem Betrieb ebenfalls eingeschränkt sein. Dabei ist es oft problematischer, wenn die erste elektronische Steuereinrichtung falsche Informationen bereitstellt, als wenn die Informationen vollständig ausbleiben. Bestimmt die erste elektronische Steuereinrichtung einen nicht behebbaren Fehler an sich selbst, so kann sie sich in einen sicheren Betriebszustand versetzen, in dem sie die ihr zugedachte Funktion zumindest teilweise erfüllt. Im Fall eines Motorsteuergeräts kann so beispielsweise ein Notbetrieb bei einer geringen Fahrzeuggeschwindigkeit ermöglicht sein.
-
Die anderen elektronischen Steuereinrichtungen können darauf reagieren, indem sie sich ebenfalls in sichere Betriebsmodi verbringen, in denen sie ihre Aufgaben jeweils mit einem geringeren Ausfallrisiko, jedoch gegebenenfalls nur zum Teil erfüllen. Ein Datenbus, der die elektronischen Steuereinrichtungen miteinander verbindet, kann hierzu in Teilnetze unterteilt werden, so dass nicht vollständig funktionierende elektronische Steuereinrichtungen von den anderen getrennt werden können.
-
Diese Vorgehensweise ist jedoch beschränkt auf Fehler, die im laufenden Betrieb des Kraftfahrzeugs auftreten und durch die elektronischen Steuereinrichtungen selbst bzw. gegenseitig erkannt werden können. Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren und eine Vorrichtung zur proaktiven Behandlung einer Fehlfunktion einer elektronischen Steuereinrichtung an Bord eines Kraftfahrzeugs bereitzustellen. Die Erfindung löst diese Aufgabe mittels eines Verfahrens mit den Merkmalen des Anspruchs 1 und einer Steuereinrichtung mit den Merkmalen von Anspruch 9. Unteransprüche geben bevorzugte Ausführungsformen wieder.
-
Offenbarung der Erfindung
-
Ein erfindungsgemäßes Verfahren zum Betreiben eines Kraftfahrzeugs aus einer Vielzahl von Kraftfahrzeugen umfasst Schritte des Bestimmens, durch eine zentrale Stelle, dass in der Vielzahl von Kraftfahrzeugen eine systematische Fehlfunktion vorliegt, des Bereitstellens einer Kommunikationsverbindung zwischen der zentralen Stelle und dem Kraftfahrzeug und des Verbringens wenigstens einer elektronischen Steuereinrichtung des Kraftfahrzeugs in einen sicheren Betriebsmodus, um die Betriebssicherheit des Kraftfahrzeugs zu gewährleisten.
-
So kann eine Fehlfunktion, die beispielsweise aufgrund einer fehlerhaften Programmierung der elektronischen Steuereinrichtung an Bord des Kraftfahrzeugs angelegt ist, behoben bzw. vermieden werden. Erfindungsgemäß kann das Kraftfahrzeug so betrieben werden, dass die Fehlfunktion erst gar nicht auftritt. Eine Betriebssicherheit des Kraftfahrzeugs kann dadurch erhöht sein. Durch entsprechend häufiges Anwenden des Verfahrens kann eine ganze Serie von Kraftfahrzeugen, die vergleichbare elektronische Steuereinrichtungen umfassen, in der selben Weise betrieben werden. Eine allgemeine Verkehrssicherheit kann dadurch gesteigert sein. Eine Notwendigkeit, die einzelnen Kraftfahrzeuge einer Wartung zu unterziehen, kann zeitlich entzerrt sein.
-
In einer bevorzugten Ausführungsform werden mehrere miteinander verbundene elektronische Steuereinrichtungen eines Kraftfahrzeugs in einen sicheren Betriebszustand verbracht, um ein Zusammenspiel der elektronischen Steuereinrichtungen zu gewährleisten. Hierzu kann insbesondere ein Teilnetzbetrieb eines die elektronischen Steuereinrichtungen miteinander verbindenden Kommunikationsnetzes verwendet werden. Elektronische Steuereinrichtungen, die durch die Fehlfunktion nicht beeinträchtigt sind, können auf diese Weise von einer defekten Komponente isoliert werden. Gleichzeitig können die elektronischen Steuereinrichtungen, die durch die Fehlfunktion beeinträchtigt sind, so betrieben werden, dass ein Folgefehler bzw. ein Folgeschaden vermieden werden.
-
In einer anderen Variante umfasst der sichere Betriebsmodus eine teilweise Einschränkung der Funktionalität der elektronischen Steuereinrichtung. Dies kann insbesondere dann sinnvoll sein, wenn die elektronische Steuereinrichtung eine Sicherheitsfunktion des Kraftfahrzeugs steuert, beispielsweise eine Antiblockierfunktion der Bremsen, die auch bei eingeschränkter Funktionalität noch positiv für die Betriebssicherheit des Kraftfahrzeugs wirken kann. Trotz der Aufrechterhaltung einer eingeschränkten Funktionalität kann das Auftreten der Fehlfunktion vermieden werden.
-
In einer Variante umfasst der sichere Betriebsmodus eine Deaktivierung der elektronischen Steuereinrichtung. Dies ist insbesondere dann vorteilhaft, wenn die durch die elektronische Steuereinrichtung implementierte Funktion eine Komfortfunktion ist, die ein Fahrer des Kraftfahrzeugs auch selbst übernehmen kann, etwa eine Temperatursteuerung des Innenraums. Ein undefinierter oder für den Fahrer unverständlicher Betriebszustand des Kraftfahrzeugs bzw. der elektronischen Steuereinrichtung können so vermieden werden.
-
In einer Ausführungsform wird die elektronische Steuereinrichtung nur dann in den sicheren Betriebsmodus verbracht, nachdem bestimmt wurde, dass die Fehlfunktion in dem verbundenen Kraftfahrzeug auftritt. Dazu kann insbesondere bestimmt werden, ob die Randbedingungen, unter denen die Fehlfunktion nicht nur potentiell sondern tatsächlich auftritt, in dem vorliegenden Kraftfahrzeug erfüllt sein können. Besteht die Fehlfunktion an der elektronischen Steuereinrichtung, ohne dass diese jedoch in dem vorliegenden Kraftfahrzeug zu einer fehlerhaften Beeinflussung von Komponenten des Kraftfahrzeugs führen kann, so kann der sichere Betriebszustand für die elektronische Steuereinrichtung vermieden werden. Ein irrtümliches bzw. vorschnelles Verbringen der elektronischen Steuereinrichtung in den sicheren Betriebszustand kann so vermieden sein.
-
In einer Ausführungsform wird überprüft, dass sich das Kraftfahrzeug im Stillstand befindet, bevor die elektronische Steuereinrichtung in den sicheren Betriebsmodus versetzt wird. In einer Variante muss sich das Kraftfahrzeug auch während des oben beschriebenen Überprüfens, ob die Fehlfunktion in dem vorliegenden Kraftfahrzeug auftritt, im Stillstand befinden. Ein undefinierter Betriebszustand oder eine für den Fahrer des Kraftfahrzeugs unklare Situation in der Bedienung bzw. beim Führen des Kraftfahrzeugs können so vermieden werden.
-
In einer Ausführungsform werden Änderungen, die an der elektronischen Steuereinrichtung durchgeführt wurden, an die zentrale Stelle übermittelt. So können Erkenntnisse der Änderungen an einer Vielzahl von Kraftfahrzeugen gemeinsam ausgewertet werden. Daraus können Erkenntnisse über spätere Änderungen an elektronischen Steuereinrichtungen in Kraftfahrzeugen gewonnen werden, wodurch unnötige oder fehlerhafte Änderungen vermieden werden können.
-
Ein Computerprogrammprodukt umfasst Programmcodemittel zur Durchführung des beschriebenen Verfahrens, wenn das Computerprogrammprodukt auf einer Verarbeitungseinrichtung abläuft oder auf einem computerlesbaren Datenträger gespeichert ist.
-
Eine erfindungsgemäße elektronische Steuereinrichtung an Bord eines Kraftfahrzeugs aus einer Vielzahl von Kraftfahrzeugen umfasst eine Schnittstelle für eine Kommunikationsverbindung zu einer zentralen Stelle und ist dazu eingerichtet, in einen sicheren Betriebsmodus verbracht zu werden, um die Betriebssicherheit des Kraftfahrzeugs zu gewährleisten, nachdem durch die zentrale Stelle bestimmt wurde, dass in der Vielzahl von Kraftfahrzeugen eine systematische Fehlfunktion vorliegt.
-
Insbesondere kann die Steuereinrichtung dazu eingerichtet sein, auch andere elektronische Steuereinrichtungen in einen sicheren Betriebsmodus zu verbringen und gegebenenfalls ein Kommunikationsnetz zwischen den elektronischen Steuereinrichtungen in mehrere Teilnetze zu unterteilen, um vollständig betriebsfähige elektronische Steuereinrichtungen von nur teilweise betriebsfähigen elektronischen Steuereinrichtungen zu trennen.
-
Bevorzugterweise ist die zentrale Stelle ortsfest und die Kommunikationsverbindung umfasst ein drahtloses Segment. Die Kommunikationsverbindung kann bei Bedarf oder zeitgesteuert zur zentralen Stelle aufgebaut werden, um festzustellen, ob die systematische Fehlfunktion in der Vielzahl von Kraftfahrzeugen bestimmt wurde. Die proaktive Behandlung der Fehlfunktion an Bord des Kraftfahrzeugs kann somit leichter und mit verringerter Zeitverzögerung durchgeführt werden.
-
Kurzbeschreibung der Figuren
-
Die Erfindung wird nun mit Bezug auf die beigefügten Figuren genauer beschrieben, in denen:
-
1 ein System zum sicheren Betrieb von Kraftfahrzeugen; und
-
2 ein Ablaufdiagramm eines Verfahrens zum sicheren Betreiben eines Kraftfahrzeugs darstellt.
-
Genaue Beschreibung von Ausführungsbeispielen
-
1 zeigt ein System 100 zum sicheren Betrieb von Kraftfahrzeugen. Das System 100 umfasst eine zentrale Stelle 105 und ein Kraftfahrzeug 110, das eines von einer Vielzahl gleichartiger Kraftfahrzeuge 115 ist. Eine Kommunikation zwischen der zentralen Stelle 105 und dem Kraftfahrzeug 110 erfolgt mittels einer ortsfesten Kommunikationsverbindung 120 zu einer Funkstation 122, und von dort mittels einer drahtlosen Kommunikationsverbindung 125 zum Kraftfahrzeug 110. Optional sind mit der zentralen Stelle 105 eine Anzahl Zulieferer 130 verbunden, die jeweils für eines oder mehrere Teilsysteme an Bord des Kraftfahrzeugs 110 verantwortlich sind.
-
Die zentrale Stelle 105 kann eine Datenverarbeitungsanlage sein, die insbesondere eine Datenbank zur Ablage von Daten von einzelnen Kraftfahrzeugen 110 bzw. Serien 115 von Kraftfahrzeugen umfasst. Die zentrale Stelle kann, im Sinne eines Cloud Based Service auch durch eine Vielzahl verteilter Datenverarbeitungseinrichtungen erbracht werden, die miteinander in Datenverbindung stehen.
-
An Bord des Kraftfahrzeugs 110 sind eine elektronische Steuereinrichtung 135 sowie eine oder mehrere weitere elektronische Steuereinrichtungen 140 angeordnet. Die Steuereinrichtungen 135, 140 sind mittels eines Bordnetzes 142 miteinander verbunden. Die Verbindung kann vollständig oder teilweise sein und Punkt-zu-Punkt Verbindungen oder einen Datenbus umfassen. Die elektronische Steuereinrichtung 135 ist mit einer Schnittstelle 145 ausgestattet, die mit einer Antenne 150 verbunden ist. Die Antenne 150 und die Funkstation 122 stellen Endpunkte der drahtlosen Kommunikationsverbindung 125 dar.
-
Die Kraftfahrzeuge 115 sind in dem Sinne gleichartig, als dass sie gleiche oder zumindest ähnliche elektronische Steuereinrichtungen 135, 140 umfassen, die gleiche bzw. ähnliche Funktionen an Bord des jeweiligen Kraftfahrzeuges 110 erfüllen. Liegt eine systematische Fehlfunktion beispielsweise in der elektronischen Steuereinrichtung 135 eines ersten Kraftfahrzeugs 110 vor, so liegt die selbe Fehlfunktion in der korrespondierenden elektronischen Steuereinrichtung 135 eines zweiten Kraftfahrzeugs ebenfalls vor, da beide elektronischen Steuereinrichtungen 135 einander entsprechende Funktionen erfüllen, die durch den systematischen Fehler betroffen sind.
-
Andererseits können sich die beiden Kraftfahrzeuge 110 beispielsweise bezüglich einer Ausstattung, einer Motorisierung, einer Freischaltung von Funktionen oder bezüglich der weiteren elektronischen Steuereinrichtungen 140 so voneinander unterscheiden, dass die systematische Fehlfunktion nicht in jedem der Kraftfahrzeuge 110 auftritt. Die Fehlfunktion kann beispielsweise an eine bestimmte Fahrzeuggeschwindigkeit gebunden sein, die mit einem der Kraftfahrzeuge aufgrund seiner Motorisierung nicht erreicht werden kann.
-
Die systematische Fehlfunktion der elektronischen Steuereinrichtung 135 ist dadurch gekennzeichnet, dass die elektronische Steuereinrichtung 135 zwar so funktioniert, wie sie hergestellt und gegebenenfalls programmiert wurde, jedoch unter vorbestimmten Randbedingungen oder bei bestimmten Parametern zu einer Funktion führen, die der Erfüllung der ursprünglichen Aufgabe der elektronischen Steuereinrichtung 135 nicht dienlich ist oder einen nicht beabsichtigten Seiteneffekt bewirkt. Eine solche Fehlfunktion kann beispielsweise ein fehlender Schutz gegen inkohärente Messdaten, eine undefinierte Funktionalität bei einer bestimmten Bedienung, etwa durch einen Fahrer eines der Kraftfahrzeuge 110, oder eine versäumte Anpassung an ein geändertes Verhalten einer der weiteren elektronischen Steuereinrichtungen 140 umfassen.
-
In einer Ausführungsform sind die Zulieferer 130 Hersteller, Projektverantwortliche oder sonstige Einflussnehmer auf die Funktionalität einzelner elektronischer Steuereinrichtungen 135, 140. Beispielsweise kann die gleiche elektronische Steuereinrichtung 135, 140 von einem Zulieferer 130 hergestellt und in Kraftfahrzeugen 110 unterschiedlicher Hersteller verbaut sein, wobei unter Umständen herstellerspezifische Anpassungen der jeweiligen Steuereinrichtung 135, 140 erfolgen. Häufig kann eine systematische Fehlfunktion einer der elektronischen Steuereinrichtungen 135 durch den Zulieferer 130 bestimmt und an die zentrale Stelle 105 weitergeleitet werden. Seitens des Zulieferers 130 oder durch die zentrale Stelle 105 kann genauer bestimmt werden, unter welchen Umständen die Fehlfunktion auftritt und welche Kraftfahrzeuge 110 zu der Vielzahl gleichartiger Kraftfahrzeuge 115 gehören, bei denen die Fehlfunktion zumindest potentiell auftritt.
-
2 zeigt ein Ablaufdiagramm eines Verfahrens 200 zum sicheren Betreiben des Kraftfahrzeugs 110 aus 1. Das Verfahren 200 wird vorteilhafterweise auf unterschiedlichen Komponenten des Systems 100 aus 1 ausgeführt. Dabei sind nicht alle im folgenden erläuterten Schritte des Verfahrens 200 erforderlich.
-
In einem ersten, optionalen Schritt 205 wird die Fehlfunktion vom Zulieferer 130 an die zentrale Stelle 105 gemeldet. Anschließend wird in einem Schritt 210 entweder seitens des Zulieferers 130 oder seitens der zentralen Stelle 105 bestimmt, welche Kraftfahrzeuge 110 zu der Vielzahl gleichartiger Kraftfahrzeuge 115 gehören, in denen die Fehlfunktion zumindest potentiell auftreten kann. Außerdem kann bestimmt werden, auf welche Weise zu überprüfen ist, ob die Fehlfunktion an Bord eines bestimmten, individuellen Kraftfahrzeugs 110 tatsächlich auftreten kann oder nicht. In einer Variante des Verfahrens 200 kann auch bestimmt werden, wie die Steuereinrichtung 135 dazu gebracht werden kann, fehlerfrei in vollem Funktionsumfang zu funktionieren, beispielsweise durch Aufspielen eines Software-Updates auf eine oder mehrere der elektronischen Steuereinrichtungen 135, 140. Idealerweise wird dabei auch gleich das Software-Update bereitgestellt.
-
Anschließend wird in einem Schritt 215 eine Kommunikation zwischen dem Kraftfahrzeug 110 und der zentralen Stelle 105 hergestellt. Die Kommunikation erfolgt vorzugsweise mittels der drahtlosen Kommunikationsverbindung 125 und optional zusätzlich mittels der ortsfesten Kommunikationsverbindung 120, falls diese vorgesehen ist. Die drahtlose Kommunikationsverbindung 125 kann beispielsweise ein drahtloses Datennetzwerk wie WLAN, LTE oder eine andere Mobilfunktechnologie umfassen. Es ist auch eine Übertragung mittels Car-to-Infrastructure (C2I) möglich. In einer anderen Ausführungsform kann die Kommunikationsverbindung 125 auch die, vorzugsweise drahtlose, Übertragung über eines oder mehrere weitere Kraftfahrzeuge 110 umfassen, was als Car-to-Car (C2C) Kommunikation bekannt ist.
-
Die Kommunikationsverbindung 120, 125 kann zeitgesteuert oder ereignisgesteuert, beispielsweise beim Starten oder Abstellen des Kraftfahrzeugs 110, initiiert durch eine der Steuereinrichtungen 135, 140 oder durch einen Fahrer des Kraftfahrzeugs 110 hergestellt werden.
-
In einem optionalen Schritt 220 wird sichergestellt, dass sich das Kraftfahrzeug 110 im Stillstand befindet. Dazu kann ein Hinweis an den Fahrer des Kraftfahrzeugs 110 ausgegeben werden, das Kraftfahrzeug 110 anzuhalten. Das Verfahren 200 kann unterbrochen werden, bis der Stillstand des Kraftfahrzeugs 110 erreicht ist.
-
In einem anschließenden Schritt 225 wird vorzugsweise eine Diagnose durchgeführt, um zu bestimmen, ob die Fehlfunktion an Bord des betroffenen Kraftfahrzeugs 110 auftreten kann. Auf diese Weise wird bestimmt, ob die Fehlfunktion, die potentiell an Bord des Kraftfahrzeugs 105 vorliegt, auch tatsächlich auftreten kann. Diese Diagnose basiert vorzugsweise auf den Erkenntnissen des Zulieferers 130 oder der zentralen Stelle 105, die oben mit Bezug auf Schritt 210 beschrieben sind. Die Diagnose kann mittels der Kommunikationsverbindung 120, 125 seitens der zentralen Stelle 105 durchgeführt werden (Ferndiagnose) oder beispielsweise als Anweisung oder Sequenz von Anweisungen zum Kraftfahrzeug 110 übermittelt werden, um dort auf einer der Steuereinrichtungen 135, 140 ausgeführt zu werden (lokale Diagnose).
-
Führt die Diagnose zu dem Ergebnis, dass der Fehler an Bord des Kraftfahrzeugs 110 nicht auftreten kann, so endet das Verfahren 200 in einem Schritt 230, in dem optional eine Meldung an den Fahrer des Kraftfahrzeugs 110 ausgegeben wird, in der der Fahrer von den durchgeführten Aktionen und deren Ergebnissen informiert wird. Gegebenenfalls kann der Fahrer dazu aufgefordert werden, eine eingehendere Problembehandlung, zu veranlassen, beispielsweise im Rahmen eines Werkstattbesuchs.
-
Wurde hingegen bestimmt, dass die Fehlfunktion auftreten kann, so wird in einem optionalen Schritt 235 bestimmt, ob eine Neukonfiguration der Steuereinrichtung 135 möglich ist. Die Neukonfiguration kann beispielsweise eine Änderung von Steuerinformationen oder das Austauschen von Programmteilen der elektronisch programmierbaren Steuereinrichtung 135 umfassen. Dazu können wieder die seitens des Zulieferers 130 bzw. der zentralen Stelle 105 gewonnenen Erkenntnisse verwendet werden. Ist die Neukonfiguration möglich, so wird sie in einem nachfolgenden Schritt 240 durchgeführt, bevor das Verfahren 200 im oben bereits beschriebenen Schritt 230 endet.
-
Ist keine Neukonfiguration möglich oder vorgesehen, so wird in einem Schritt 245 bestimmt, ob ein eingeschränkter Betrieb der Steuereinrichtung 135 möglich ist. Dies ist davon abhängig, welche Art von Funktion die elektronische Steuereinrichtung 135 ausführt und welche Art von systematischem Fehler vorliegt. Ist ein eingeschränkter Betrieb nicht möglich bzw. nicht wünschenswert, so wird die Steuereinrichtung 135 in einem Schritt 250 abgeschaltet, bevor das Verfahren 200 im Schritt 230 endet.
-
Andernfalls wird in einem Schritt 255 bestimmt, ob bzw. welche weiteren Steuergeräte 140 an Bord des Kraftfahrzeugs 140 von einem eingeschränkten Betrieb der Steuereinrichtung 135 betroffen sind. Das sind üblicherweise diejenigen weiteren Steuergeräte 140, die mit der fehlfunktionierenden Steuereinrichtung 135 Informationen austauschen.
-
In einer Ausführungsform kann an dieser Stelle, zusätzlich oder alternativ zu einer vorangehenden Durchführung, der Schritt 220 durchgeführt werden, in welchem sicher gestellt wird, dass sich das Kraftfahrzeug 110 im Stillstand befindet.
-
In einem Schritt 260 werden alle betroffenen Steuergeräte 135, 140 in einen sicheren Betriebsmodus versetzt. In Abhängigkeit der vorliegenden Fehlfunktion kann für jedes der Steuergeräte 135, 140 ein jeweils geeigneter sicherer Betriebsmodus ausgewählt sein. Dabei kann das Bordnetz 142 in Teilnetze unterteilt werden, um die nur noch eingeschränkt funktionierenden Steuereinrichtungen 135, 140 in geeigneter Weise von den restlichen Steuereinrichtungen 140 zu trennen.
-
In einem optionalen Schritt 265 werden Informationen über die an Bord des Kraftfahrzeugs 110 durchgeführten Schritte mittels der Kommunikationsverbindung 120, 125 an die zentrale Stelle 105 bzw. den Zulieferer 130 zurückgemeldet. Die Informationen können das Diagnoseergebnis des Schritts 225, die konkret an Bord des Kraftfahrzeugs 110 vorliegende Konfiguration von Steuereinrichtungen 135, 140, eine Ausstattung des Kraftfahrzeugs 110, eine Laufleistung, einen Aufenthaltsort und/oder die in Schritt 260 durchgeführte Versetzung der Steuereinrichtungen 135, 140 in sichere Betriebsmodi betreffen. Anschließend endet das Verfahren 200 im Schritt 230.
