-
Die Erfindung betrifft ein Verfahren zum Betreiben eines Steuergeräts und ein solches Steuergerät, das insbesondere in einem Kraftfahrzeug eingesetzt wird.
-
Stand der Technik
-
Steuergeräte sind elektronische Einheiten bzw. Module, die in technischen Einrichtungen eingesetzt werden, um Komponenten und Abläufe in dieser technischen Einrichtung zu steuern oder zu regeln. In Kraftfahrzeugen werden Steuergeräte in verschiedenen Bereichen eingesetzt. Ein Beispiel stellt ein Motorsteuergerät dar, das zur Steuerung und Regelung des Betriebs des zum Antrieb vorgesehenen Verbrennungsmotors dient.
-
Typischerweise arbeiten Steuergeräte gemäß dem Eingabe-Verarbeitung-Ausgabe-Prinzip. Zur Bereitstellung der Eingabe sind Sensoren bzw. Datenerfassungseinrichtungen vorgesehen. Mit der Ausgabe, die auf der Verarbeitung der eingegebenen Informationen bzw. Daten beruht, werden wiederum Aktuatoren angesteuert.
-
Für die Kommunikationen mit Sensoren und Aktuatoren ist es erforderlich, dass Steuergeräte über Verbindungen, bspw. über Busanbindungen, mit den Sensoren und Aktuatoren kommunizieren. Ein Beispiel für eine Busanbindung stellt eine Ethernet-Busanbindung dar. Ethernet bezeichnet dabei eine Technologie, die Software und Hardware für kabelgebundene Datennetze definiert.
-
In Kraftfahrzeugen können Ethernet-Verbindungen zur Datenübermittlung zwischen Steuergeräten und Sensoren und Aktuatoren eingesetzt werden. An diese Verbindungen sind dann, insbesondere bei sicherheitskritischen Anwendungen, hohe Anforderungen gestellt. So ist zu beachten, dass ein Fahrzeug-Steuergerät, das über eine Ethernet-Busanbindung zum Versenden von sicherheitsrelevanten Daten verfügt, in der Lage sein muss, diese Busanbindung ggf. abzuschalten und darüber hinaus die Wirksamkeit der Kommunikationsabschaltung zu prüfen.
-
Ein Beispiel für Datenerfassungseinheiten sind Kamerasysteme, die einem Fahrer des Kraftfahrzeugs Bilder von den Außenkameras auf einem Bildschirm im Fahrzeuginnenraum geben. Eine Änderung des Bildes, bspw. verursacht durch eine Person, die hinter ein ausparkendes Fahrzeug läuft, muss dem Fahrer angezeigt werden. Sollte es hierbei zu einem Berechnungsfehler in der Bilddaten-Verarbeitungskette kommen, muss der Versand der Bilddaten abgeschaltet werden. Ein Abschalten der Verbindung bedeutet einen Zugriff auf die unterste Schicht des OSI-Schichtenmodells. Wenn auf der Anwendungsschicht ein Fehler detektiert wird, könnte zwar in dieser Schicht direkt die Kommunikation gefiltert oder unterbunden werden. Ein Abschalten der Verbindung und damit ein Zugriff auf eine tiefere Schicht stellt jedoch eine Vorgehensweise dar, die zur sicheren Unterbrechung der Kommunikation führt, da hier die physische Verbindung unterbrochen wird.
-
Kamerasysteme in Kraftfahrzeugen bestehen in der Regel aus mehreren Recheneinheiten, die durch einen Kommunikationsbus mit den Fahrzeug verbunden sind. Es muss durch technische Maßnahmen sichergestellt sein, dass eine Abschaltung der Kommunikation möglich ist. Durch Abschalten wird das System in einen sicheren Zustand gebracht. Dies erfordert einen Abschaltpfad, der überprüfbar sein muss.
-
Offenbarung der Erfindung
-
Vor diesem Hintergrund werden ein Verfahren mit den Merkmalen des Anspruchs 1 und ein Steuergerät gemäß Anspruch 6 vorgestellt.
-
Ausführungsformen ergeben sich aus den abhängigen Ansprüchen und der Beschreibung.
-
Es wird somit ein Verfahren zum Betreiben eines Steuergeräts vorgestellt, bei dem das Steuergerät über eine Ethernetverbindung mit mindestens einer Datenerfassungseinrichtung, bspw. einer Kamera, verbunden ist. Die von der mindestens einen Datenerfassungseinrichtung erfassten Daten werden vom Steuergerät ausgewertet. Das Steuergerät nimmt in Abhängigkeit der erfassten und ausgewerteten Daten Einfluss auf den Funktionsablauf einer technischen Einrichtung, wie bspw. eines Kraftfahrzeugs. Hierzu kann das Steuergerät direkt auf weitere Sensoren und Aktuatoren Einfluss nehmen und/oder mit anderen Steuergeräten kommunizieren.
-
Das Ethernet ist ein verbreiteter Typ eines lokalen Netzes mit Datenübertragungsgeschwindigkeiten von bis zu 1 Gbit/s. Hierzu werden Software, wie bspw. Protokolle, und Hardware, wie bspw. Kabel, Verteiler und Netzwerkkarten, spezifiziert. Im OSI-Modell ist mit Ethernet sowohl die physische Schicht, die erste Schicht, als auch die Data-Link-Schicht bzw. Datenverbindungsschicht, welche die zweite Schicht darstellt, definiert.
-
Das vorgestellte Verfahren ermöglicht ein Erkennen der erfolgreichen Abschaltung der Ethernet-Kommunikation einer sicherheitsrelevanten Sendeeinheit bzw. Datenerfassungseinrichtung, ohne dass ein gesonderter, dafür geeigneter Rücklesekanal erforderlich ist. Weiterhin ermöglicht das vorgestellte Verfahren ein Prüfen, ob eine Abschaltung der Kommunikation, bspw. durch Ändern der Schalter- bzw. Switch-Konfiguration, erfolgreich war.
-
Ein Vorteil des beschriebenen Verfahrens besteht somit darin, dass kein aufwendiger Rücklesekanal, bspw. eine zusätzliche Hardware-Schaltung, erforderlich ist, um eine erfolgreiche Abschaltung festzustellen. Die hierfür benötigte Funktionalität kann in jedem bestehenden Ethernet-basierten System nachträglich durch eine Software implementiert werden. Weiterhin ist die Erfindung universal einsetzbar und unabhängig von den anderen Busteilnehmern im Ethernet-Netzwerk.
-
Weitere Vorteile und Ausgestaltungen der Erfindung ergeben sich aus der Beschreibung und den beiliegenden Zeichnungen.
-
Es versteht sich, dass die voranstehend genannten und die nachstehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.
-
Kurze Beschreibung der Zeichnungen
-
1 zeigt eine Ausführung einer Anordnung zur Durchführung des Verfahrens.
-
2 zeigt die Ausführung der Anordnung aus 1 mit aktiviertem Abschaltpfad.
-
Ausführungsformen der Erfindung
-
Die Erfindung ist anhand von Ausführungsformen in den Zeichnungen schematisch dargestellt und wird nachfolgend unter Bezugnahme auf die Zeichnungen ausführlich beschrieben.
-
1 zeigt eine Anordnung 10 mit einem Steuergerät 11, das eine erste Recheneinheit 12 und eine zweite Recheneinheit 14 umfasst, die sicherheitsrelevante Funktionen durchführen und über eine Ethernetverbindung 16, in diesem Fall einen Standard-Ethernet Kommunikationsbus, kommunizieren. Dabei ist in der Ethernetverbindung 16 und in dem Steuergerät 11 ein Schalter bzw. Switch 18 vorgesehen. Die Kommunikation zwischen den beiden Recheneinheiten 12 und 14 und dem Schalter 18 erfolgt über SPI 20 (Serial Peripheral Interface) und/oder I2C 22. Das vorgestellte Verfahren ist grundsätzlich auch bei einer Anordnung 10 mit lediglich einer Recheneinheit durchführbar.
-
I2C ist ein serieller Zweidrahtbus mit einer Übertragungsrate von bis zu 1 Mbit und wird bspw. zum Konfigurieren von integrierten Schaltkreisen (ICs) verwendet. SPI ist ein serieller Dreidrahtbus (clk, data, select) mit einer Übertragungsrate von bis zu 25 Mbit und wird z. B. zum Konfigurieren von ICs verwendet. Die hiergezeigten Schnittstellen sind nur beispielhaft gewählt. Diese können je nach Steuergerät unterschiedlich sein. Die Wahl hat grundsätzlich keinen Einfluss auf das beschriebene Verfahren.
-
Die Anordnung 10 umfasst weiterhin eine erste Kamera 30, eine zweite Kamera 32, eine dritte Kamera 34 und eine vierte Kamera 36, die über den Schalter 18 in der Ethernetverbindung 16 mit den Recheneinheiten 12 und 14 in dem Steuergerät 11 verbunden sind und von diesen angesteuert und ausgelesen werden können.
-
Zu beachten ist, dass eine sichere Abschaltung durch das Unterbinden der Kommunikation einer oder mehrerer Kameras 30, 32, 34, 36 an einer zentralen Stelle, in diesem Fall durch den Ethernet-Schalter bzw. Switch 18, realisiert wird. So kann bei einem Hochfahren bzw. Starten der Anordnung 10 ein Abschaltpfad-Test durchgeführt, bei dem der Schalter 18 so umkonfiguriert wird, z. B. über SPI, I2C, dass nach außen gehende Datenpakete nicht versendet werden.
-
Empfangende Datenpakete sind immer noch erlaubt da diese keinen Einfluss auf die Sicherheit haben. Antworten können jedoch durch die Abschaltung nicht ankommen.
-
Bei dem Verfahren ist vorgesehen, dass eine Anwesenheitsanfrage gestellt wird. Dies wird durch ein Signal repräsentiert, auf das der Empfänger antworten muss. Im Ethernet ist hierzu bspw. die Diagnosefunktion "Ping" vorgesehen. Durch Verwendung der Ethernet-Diagnosefunktion "Ping" kann überprüft werden, ob ein anderer Busteilnehmer, bspw. eine Kamera, immer noch erreichbar ist. Kommt keine Antwort nach Ablauf einer vorgegebenen Zeitspanne zurück, ist die nach außen gehende Kommunikationsrichtung erfolgreich abgeschaltet. Nach erfolgreicher Abschaltprüfung kann die Kommunikation wieder freigegeben werden. Es kann zusätzlich die erfolgreiche Freigabe der Kommunikation mittels eines erneuten "Ping" überprüft werden.
-
"Ping" ist lediglich eine Anwendung basierend auf der Funktionalität des Protokolls IEEE ICMP (Internet Control Message Protocol) zur Verfügung steht. Hierzu wird die Anwesenheitsanfrage bzw. ein sogenannter "Echo-request" an einen Ethernet-Teilnehmer gesendet. Dieser muss, um standardkonform zu sein, mit einer sogenannten "Echo-reply" antworten. Dieser Mechanismus ist allgemein als "Ping" bekannt.
-
2 zeigt die Anordnung 10 aus 1 mit aktiviertem Abschaltpfad. Diese zeigt, dass der Ethernetanschluss 40 der ersten Recheneinheit 12 abgeschaltet ist. Ping-Anfragen gehen nicht mehr raus. Nach Ablauf einer vorgegebenen Zeitspanne, die auch als Timeout bezeichnet wird, ist die erfolgreiche Abschaltung erkennbar.
-
2 verdeutlicht, dass in der Anordnung 10 mit mehreren Recheneinheiten 12 ein Abschalten der einzelnen Recheneinheiten möglich ist. Durch Umkonfigurieren des Schalters 18 kann eine fehlerhafte Recheneinheit vom Ethernetbus getrennt werden. Ein erster gestrichelter Pfeil 50 verdeutlicht den Abschaltpfad. Ein zweiter gestrichelter Pfeil 52 verdeutlicht, dass die Ethernetverbindung der zweiten Recheneinheit 14 noch aktiv ist. Ein gestrichelter Doppelpfeil 54 zeigt, dass zwischen den Kameras 30 bis 34 und dem Schalter 18 noch eine Verbindung besteht.
-
Wenn das Abschalten der Kommunikation dazu verwendet wird, um im Fehlerfall einen sicheren Zustand zu erreichen, muss dies einmal pro Betriebszyklus, z. B. im Hochlauf und Nachlauf des Steuergeräts, geprüft werden. Dies ist eine Forderung aus einer Norm im Automotiv-Bereich (ISO26262, EGAS).
-
Durch Aufzeichnen der Bus-Kommunikation ist zu erkennen, dass mindestens einmal pro Betriebszyklus die Kommunikation abgeschaltet wird, gefolgt von einem Wiedereinschalten, bei dem "Ping"-Nachrichten verschickt werden.
-
Es wird somit ein Abschaltpfad bereitgestellt, der überprüfbar ist. Mit diesem Abschaltpfad, d. h. in diesem Fall durch Betätigen des Schalters 18, kann die gesamte Anordnung in einen sicheren Zustand gebracht werden. Wird festgestellt, dass der Abschaltpfad nicht korrekt funktioniert, wird die gesamte Anordnung 10 nicht freigegeben oder, wenn dies erforderlich ist, nachträglich gesperrt.
-
Grundsätzlich kann der gezeigte Schalter 18 auch durch eine physische bzw. physikalische Verbindung gegeben sein, die als physikalische Verbindung zur Ethernetverbindung 16 darstellt. Diese ist dann üblicherweise in einem separaten integrierten Baustein implementiert. Der Schalter 18 ist dann nicht als diskretes Bauteil, sondern als unterbrechenbare Verbindung ausgebildet.
-
Weiterhin ist darauf hinzuweisen, dass als Datenerfassungseinrichtungen neben Kameras auch Sensoren, bspw. zum Erfassen von Drehzahl, Temperatur usw., dienen können. Diese müssen lediglich Ethernet-fähig sein.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Nicht-Patentliteratur
-
