-
ERFINDUNGSGEBIET
-
Ausführungsformen der vorliegenden Erfindung betreffen Automobilanwendungen, insbesondere Sicherheitsanwendungen, z. B. für Kraftübertragungssteuerung, Warnanzeigesteuerung, elektronische Servolenkung oder elektronische Bremsensteuerung.
-
STAND DER TECHNIK
-
Elektronische Funktionen in Automobilanwendungen werden im Falle von detektierten Problemen häufig einfach ausgeschaltet. In elektronischen Steuereinheiten (ECUs) wird der Mikrocontroller in einen passiven, sicheren Zustand versetzt, wenn ein sicherheitskritischer Fehler aufgetreten ist. Dies ist als ausfallsicherer Zustand bekannt. Manche sicherheitskritische Fehler sind nicht dauerhaft, erfordern aber ein Abschalten des gesamten Autoelektroniknetzwerks und einen neuen Zündungszyklus, um das System neu zu starten.
-
Ein anderer Ansatz ist es, den Neustart der elektronischen Funktion durchzuführen, während das Auto in Betrieb ist. Solche Systeme führen ein Rücksetzen aus, gefolgt von einem Selbsttest und versuchen dann, den Betrieb neu zu starten. Diese Prozedur benötigt im günstigsten Fall typischerweise einige hundert Millisekunden und im schlimmsten Fall wird der Betrieb nicht wieder aufgenommen. Somit kann die Zeit bis der Betrieb wieder aufgenommen wird selbst im günstigsten Fall für viele Anwendungen zu lang sein, z. B. für eine Servolenkung.
-
Es gibt Realisierungen von Mikrocontrollern, die in Automobilanwendungen verwendet werden, die sofort bei Auftreten irgendeines sicherheitsrelevanten Problems in einen passiven, sicheren Zustand versetzt werden. Aufgrund hoher Softwarekomplexität werden viele dieser Probleme von Softwarebugs verursacht, die von Watchdogs oder anderen Schutzmechanismen detektiert werden. Andere grundlegende Ursachen sind hardwarebezogen, wobei aber nur eine Minderheit dieser von einer permanenten Beschädigung ausgelöst wird, die als latenter Fehler bezeichnet wird.
-
Die Akzeptanz einer derartigen Fehlerbehandlung hat sich kürzlich geändert, d. h., dass es nicht länger akzeptiert wird, dass die ganze ECU in einen sicheren, passiven Aus-Zustand versetzt wird. Für sicherheitskritische ECUs wird nun ein Ausweichsystem gefordert, das irgendeine Form eines Betriebs bereitstellen soll, bis das Auto z. B. sicher geparkt oder bis der normale Betrieb wieder aufgenommen werden kann. Typische Namen für solche Betriebsarten werden als Heimhumpeln oder Weghumpeln oder Ausweichbetrieb bezeichnet.
-
Eine ausfallbetreibbare Systemlösung oder Systeme mit verbesserter Verfügbarkeit stellen selbst im Falle des Auftretens eines Fehlers ein akzeptables Leistungsniveau für sicherheitskritische Funktionen dar. Gründe zum Wechseln in diesen Betriebsmodus könnten ein latenter Hardwarefehler, ein sporadischer, nichtlatenter Hardwarefehler oder ein Softwarefehler sein.
-
Ein Ansatz ist es, einen Einzelcontroller zu verwenden, aber die kritischsten Teile zu duplizieren, welche die Teile sind, die die höchsten Fehlerraten (Failure-In-Time rates, FIT-Raten) aufweisen. Ein weiterer Ansatz ist es, einen Mehrkerncontroller zu verwenden, der mindestens einen zweiten CPU-Kern und einen separaten Satz von Peripherievorrichtungen enthält. Der zweite CPU-Kern und der Peripherievorrichtungssatz übernehmen den Betrieb, sobald der erste CPU-Kern des Mehrkerncontrollers ein Problem feststellt.
-
Die teuerste Lösung wäre es, das gesamte elektronische Steuerungssystem zu verdoppeln oder zu verdreifachen, indem zwei oder drei ECUs, mehrere Stromversorgungen und Kommunikationssysteme verwendet werden. Derartige Ansätze sind zu teuer und zu platzraubend für Automobilanwendungen.
-
Ein weiteres Problem liegt darin, dass die meisten dieser Lösungen noch immer gegen Fehler ankämpfen, die von einer gemeinsamen Quelle verursacht werden. Insbesondere wenn mehrere Controller dieselben Werkzeuge und dieselbe Software verwenden, werden sie potentiell dieselben systematischen, von Softwarebugs verursachten Probleme aufweisen.
-
Zusätzlich enthalten solche Systeme mehr Komponenten, die ausfallen können, und die Wahrscheinlichkeit, dass solche Ausfälle die Zuverlässigkeit weiter reduzieren oder zu einer inakzeptabel hohen Anzahl von Situationen mit reduziertem Betrieb führen. Als eine Auswirkung können solche Autos gezwungen sein, zu oft zu einer Werkstatt zu fahren.
-
US 2013/0067259 A1 beschreibt eine Mikrocontrollereinheit, die einen Hauptcontroller und einen Bereitschaftscontroller umfasst. Allerdings ist der Bereitschaftscontroller für geringen Stromverbrauch optimiert, wohingegen der Hauptcontroller auf Höchstleistung optimiert ist.
-
Kurzdarstellung
-
Eine erste Ausführungsform betrifft eine Einrichtung zum Betreiben einer Vorrichtung, die einen ersten Controller, der dafür eingerichtet ist, von einem zweiten Steuersignal gesteuert zu werden, einen zweiten Controller, der dafür eingerichtet ist, von einem zweiten Steuersignal gesteuert zu werden, eine Steuereinheit, die betreibbar mit dem ersten Controller und dem zweiten Controller verbunden ist, umfasst, wobei sowohl der erste Controller als auch der zweite Controller dafür eingerichtet sind, die Vorrichtung zu betreiben.
-
Eine zweite Ausführungsform bezieht sich auf ein Verfahren zum Betreiben einer Vorrichtung eines Fahrzeugs. Das Verfahren umfasst die folgenden Schritte: Erzeugen eines Steuersignals durch einen ersten Controller, der die Vorrichtung eines Fahrzeugs in einem ersten Betriebsmodus betreibt, Evaluieren des Steuersignals durch eine Steuereinheit, um ein Evaluationsergebnis bereitzustellen, und Übernehmen des Betriebs der Vorrichtung durch einen zweiten Controller gemäß dem Evaluationsergebnis.
-
Eine dritte Ausführungsform betrifft ein System, das einen ersten Controller, um eine Vorrichtung eines Fahrzeugs zu betreiben, wohingegen die Vorrichtung dafür eingerichtet ist, eine Sicherheitsfunktion zu implementieren, einen zweiten Controller, um die Vorrichtung zu betreiben, und eine Steuereinheit, die dafür eingerichtet ist, den ersten Controller und den zweiten Controller zu steuern, wohingegen der erste Controller auf einem ersten Chip implementiert ist und der zweite Controller auf einem zweiten Chip implementiert ist, umfasst.
-
Eine vierte Ausführungsform betrifft ein System, das einen ersten Controller, um eine Vorrichtung eines Fahrzeugs zu betreiben, wohingegen die Vorrichtung dafür eingerichtet ist, eine Sicherheitsfunktion zu implementieren, einen zweiten Controller, um die Vorrichtung zu betreiben, und eine Steuereinheit, um den ersten Controller und den zweiten Controller zu steuern, wohingegen der erste Controller und der zweite Controller auf einem Chip implementiert sind, umfasst.
-
Kurze Beschreibung der Zeichnungen
-
Ausführungsformen werden unter Bezugnahme auf die Zeichnungen gezeigt und veranschaulicht. Die Zeichnungen dienen dazu, das Grundprinzip zu veranschaulichen, so dass nur für das Verständnis der Grundprinzipien notwendige Aspekte veranschaulicht sind. In den Zeichnungen bezeichnen dieselben Bezugszeichen ähnliche Merkmale.
-
1 ist ein schematisches Diagramm, das eine Einrichtung gemäß einer beispielhaften Ausführungsform zeigt.
-
2 ist ein weiteres schematisches Diagramm einer beispielhaften Einrichtung gemäß einer beispielhaften Ausführungsform, die zwei Strombereiche verwendet.
-
3 zeigt eine beispielhafte Einrichtung, die eine Vielzahl von separaten Steuereinheiten verwendet.
-
4 zeigt eine beispielhafte Einrichtung, die zwei verschiedene Chips zeigt.
-
5 ist ein Flussdiagramm, eines Verfahrens gemäß einer beispielhaften Ausführungsform.
-
Ausführliche Beschreibung der bevorzugten Ausführungsformen
-
Ausführungsformen sind auf Einrichtungen und Verfahren zur Fehlerbehandlung in Automobil-Sicherheitsanwendungen ausgerichtet. Diese können durch Verwenden von mindestens zwei Controller erreicht werden, wohingegen ein Controller ein Hauptcontroller ist und der andere als ein Ausweichcontroller arbeitet.
-
Im Falle eines Fehlers, der in dem Hauptcontroller auftritt, ist der Ausweichcontroller in der Lage, die sicherheitsrelevante Funktion durch seine diverse Architektur oder diverse Implementation zu übernehmen. Durch Verwenden von Diversität begegnet der Ausweichcontroller nicht demselben Problem wie der Hauptcontroller.
-
1 veranschaulicht eine Einrichtung 100, die aus einem Hauptcontroller 101, einem Ausweichcontroller 102 und einer Steuereinheit 103 besteht, die mit dem Hauptcontroller 101 und dem Ausweichcontroller 102 verbunden ist. Die Einrichtung 100 ist in der Lage, eine Vorrichtung 150 zu steuern, die ein sicherheitskritisches System eines Fahrzeugs ist. Das sicherheitskritische System kann zum Beispiel eine elektronische Servolenkung, eine Kraftübertragungssteuereinheit, ein elektrisches Bremssystem oder ein anderes Element, das Automobilfunktionen in einem Auto durchführt, sein.
-
Der Hauptcontroller 101 kann ein Mikroprozessor oder Mikrocontroller sein, die einen CPU-Kern, einen Speicher und einen ersten Satz von Peripherievorrichtungen umfassen können. Der CPU-Kern kann als 8-bit-, 16-bit-, 32- oder 64-bit- CPU-Kern implementiert sein und der erste Satz von Peripherievorrichtungen kann Hardwareeinheiten wie Schnittstellenmodule, Timer, Analog-Digital-Wandler oder Anschlussmodule umfassen. Der Hauptcontroller 101 wird von einer nicht gezeigten Stromversorgung gespeist und führt Softwareanweisungen mit einer gewissen Taktfrequenz aus, die von einer ersten Taktquelle abgeleitet wird.
-
Der Ausweichcontroller 102 kann eine Zustandsmaschine, eine programmierbare Zustandsmaschine, ein Mikroprozessor oder ein Mikrocontroller sein. Der Ausweichcontroller 102 kann einen weiteren CPU-Kern, weiteren Speicher und weitere Hardwaremodule, wie etwa einen zweiten Satz von Peripherievorrichtungen umfassen. Allerdings hat der Ausweichcontroller 102 möglicherweise eine im Vergleich zum Hauptcontroller 101 einfachere Architektur.
-
Die Einrichtung 100 ist zum Durchführen oder Betreiben in zwei unterschiedlichen Betriebsmodi in der Lage. Während des normalen Betriebsmodus führt der Hauptcontroller 101 eine gewisse Anwendung oder Funktionalität aus, um die Vorrichtung 150 zu steuern. Bei einem sicherheitskritischen Fehlerereignis schaltet die Vorrichtung 100 vom normalen Betriebsmodus auf den Notbetriebsmodus um. Beim Notbetriebsmodus führt der Ausweichcontroller 102 die Anwendung oder Funktionalität aus, um die Vorrichtung 150 zu steuern.
-
Ein Beispiel für das Verhalten der Einrichtung 100 ist, dass während der Softwareausführung durch den Hauptcontroller 101, um den Gleichstrom-Motor eines elektronischen Lenksystems zu steuern, ein Fehler auftritt. In diesem Fall kann der Ausweichcontroller (Ausweichcontroller) übernehmen und die erforderliche Funktionalität im Notbetriebsmodus implementieren. Der Ausweichcontroller könnte beispielsweise das System so am Laufen halten wie es war, bevor das Problem auftrat.
-
Während der Ausweichcontroller das Lenksystem betreibt, wird der Hauptcontroller neu gestartet. Nachdem der Hauptcontroller den Neustart abgeschlossen hat, übernimmt er wieder die Steuerung des Lenksystems, während der Ausweichcontroller in den inaktiven Zustand zurückversetzt werden kann.
-
Somit wird der Betrieb des elektronischen Lenksystems von dem Hauptcontroller oder dem Ausweichcontroller gehandhabt.
-
Die Steuereinheit 103 kann eine Sicherheitsmanagementeinheit (SMU) sein. Die Steuereinheit 103 arbeitet als eine Art Überwacher zwischen dem Hauptcontroller 101 und dem Ausweichcontroller 102. Die Steuereinheit 103 ist mit dem Hauptcontroller über das Steuersignal 104 und mit dem Ausweichcontroller über das Steuersignal 105 verbunden. Die Steuersignale (104, 105) können unidirektional oder bidirektional sein und können aus einer Vielzahl von Signalleitungen bestehen.
-
Die Steuereinheit 103 evaluiert das erste Steuersignal 104, das aus einem Warnsignal bestehen kann. Als eine Konsequenz kann die Steuereinheit eine Signalleitung des zweiten Steuersignals 105 einstellen, den Ausweichcontroller 102 zu aktivieren, der die Funktion im Notmodus vom Hauptcontroller übernimmt.
-
Sobald der Haupt- oder der Hauptcontroller einen Fehler in der sicherheitskritischen Funktion erkennt, kann er ein Warnsignal erzeugen. Dieses Warnsignal kann von der Steuereinheit 103 evaluiert werden, um den Hauptcontroller neu zu starten oder zurückzusetzen und den Ausweichcontroller zu aktivieren. Der Typ des Warnsignals oder andere Statistik, die diesem Warnsignal entspricht, kann in der Steuereinheit 103 oder in einem anderen Speicher gespeichert sein.
-
Sobald der Hauptcontroller bereit ist, die Funktion wieder aufzunehmen, kann die Steuereinheit eine entsprechende Signalleitung des ersten Steuersignals 104 einstellen. Nachdem der Hauptcontroller im Normalmodus läuft, kann die Steuereinheit ein passendes Steuersignal 105 für den Ausweichcontroller 102 erzeugen.
-
Die Vorrichtung 150 kann in Hardware (HW), d. h. in fest verdrahteten elektronischen Schaltungen, oder in Software (SW), die auf einer CPU läuft, die eine gewisse Sicherheitsfunktion implementiert, realisiert werden. Die Sicherheitsfunktion kann z. B. eine Kraftübertragungssteuerung, eine Warnanzeigensteuerung, eine elektronische Servolenkung oder eine elektronische Bremssteuerung sein.
-
Die Steuereinheit 103 kann dazu in der Lage sein, die sicherheitskritische Fehlerbedingung zu identifizieren, dieses Ereignis und alle ähnlichen Statusinformationen zum Beispiel in einem bestimmten Speicher zu speichern und Verarbeiten des Ausweichcontrollers 102 einzuleiten.
-
Die zwei Betriebsmodi der Einrichtung 100 implementieren dieselbe sicherheitskritische Funktion, z. B. elektronische Lenkung, in verschiedenen Hardware(HW)- oder Software(SW)-Strukturen oder verschiedenen Kombinationen von HW/SW-Strukturen.
-
In einem Beispiel dieser Ausführungsform ist der CPU-Kern des Ausweichcontrollers 102 als 8-bit-CPU-Kern implementiert, wohingegen der CPU-Kern des Hauptcontrollers 101 als ein 32-bit-CPU-Kern implementiert ist. In diesem Fall braucht der Ausweichcontroller weniger elektronische Komponenten.
-
Der CPU-Kern des Ausweichcontrollers 102 kann mit einer Taktfrequenz laufen, die im Vergleich mit der Taktfrequenz des CPU-Kerns des Hauptcontrollers 101 dieselbe oder eine andere Taktfrequenz ist. In dem Fall, dass der Ausweichcontroller eine niedrigere Taktfrequenz verwendet, verbraucht er möglicherweise weniger Strom.
-
Der zweite Betriebsmodus, der Notmodus, kann zum Beispiel durch einfachere Software implementiert werden, die auf dem Ausweichcontroller läuft, im Vergleich zu einer komplexeren Software-Implementation, die auf dem Hauptcontroller in dem ersten Betriebsmodus, dem normalen Modus, läuft.
-
Als ein Beispiel dieser Ausführungsform führt der Hauptcontroller 101 komplexe Softwareroutinen aus, um eine Vorrichtung 150 zu steuern, z. B. einen Elektromotor als Teil einer von einem Auto verwendeten elektronischen Servolenkungsanwendung. Die Software kann Komfortlenkungsfunktionen bereitstellen und kann ursprünglich in C geschrieben und von einem ersten C-Compiler kompiliert worden sein. Für diese Sicherheitsfunktion existiert möglicherweise eine zweite Ausweich-Not-Software-Implementation. In einem Beispiel hat die zweite Software-Implementierung einen zweiten C-Compiler verwendet, um eine diverse Software-Implementation zu erhalten.
-
In einem weiteren Beispiel besteht die zweite Software-Implementation aus anderen Anweisungen und ist weniger komplex, stellt aber eine Basissteuerung der Servolenkung sicher, bis das Gesamtsystem sicher zurückgesetzt werden kann, z. B. bis das Auto angehalten hat und der Hauptcontroller 101 zurückgesetzt werden kann. Die zweite Software-Implementation läuft auf der CPU des Ausweichcontrollers 102, falls der Hauptcontroller 101 während seines Betriebs einen Fehler anzeigt.
-
In einem weiteren Beispiel dieser Ausführungsform wurden die Peripherievorrichtungen des Ausweichcontrollers 102 unter Verwendung von diversifizierten Entwurfswerkzeugen implementiert. Diese Entwurfswerkzeuge kompilieren Quellcode einer Hardware-Beschreibungssprache, z. B. VHDL oder Verilog, in eine Gatterebenen-Netzliste, die auf einem Siliziumchip implementiert werden kann. Die Implementierung der Gatterebenen-Netzliste des Ausweichcontrollers 102 wurde unter Verwendung von Entwurfswerkzeugen vorgenommen, die sich im Vergleich zu den Entwurfswerkzeugen, die verwendet wurden, um die Gatterebenen-Netzliste für den Hauptcontroller 101 zu implementieren, anders sind. Der Ausweichcontroller 102 wurde mittels gewisser Verifikationswerkzeuge, wie Simulatoren, Debugger oder formaler Verifikationswerkzeuge, verifiziert. Die für die Architektur des Ausweichcontrollers 102 verwendeten Werkzeuge waren möglicherweise andere als die im Vergleich verwendeten Werkzeuge, um die Architektur des Hauptcontrollers 101 zu verifizieren.
-
Die Verwendung unterschiedlicher Entwurfswerkzeuge, Verifikationswerkzeuge und anderer Software-Implementationen kann eine Architektur und/oder den eine Implementation des Ausweichcontrollers 102 liefern, die sich von der Architektur und/oder den Implementationen des Hauptcontrollers 101 unterscheidet. Eine diverse Architektur und/oder diverse Implementation verringert das Risiko von Ausfällen mit gleicher Ursache (Common Cause Failures). Die Wahrscheinlichkeit, dass eine grundlegende Ursache eines Fehlers während des Betriebs einer sicherheitskritischen Funktion, die auf dem Hauptcontroller 101 ausgeführt wird, ebenfalls die Funktion, die auf dem Ausweichcontroller 102 ausgeführt wird, stören würde, ist verringert.
-
Der Haupt- und der Ausweichcontroller unterscheiden sich hinsichtlich ihrer Architektur. Weiterhin sind die unterschiedlichen Architekturen unter Verwendung anderer Synthesewerkzeuge entworfen worden und wurden unter Verwendung anderer Verifikation und Debuggen verifiziert.
-
2 zeigt eine Vorrichtung 150 und eine Einrichtung 200, um die Vorrichtung 150 zu steuern. Die Einrichtung 200 umfasst zwei separate Bereiche, den Bereich 210 und den Bereich 220. Diese Bereiche 210 und 220 können auf einem Siliziumchip oder aufgetrennten Siliziumchips integriert sein. Die Bereiche 210 und 220 sind durch dedizierte Strombereiche oder Taktbereiche charakterisiert, was bedeutet, dass die Komponenten, die zu einem der zwei Bereiche gehören, in bereichsspezifischen Parameterräumen arbeiten.
-
Bei einem Beispiel dieser Ausführungsform ist der Bereich 210 ein Strombereich, der durch eine Stromversorgung charakterisiert ist, die 3,3 V für die Komponenten liefert, die zu diesem Bereich 210 gehören, wohingegen der Bereich 220 ein Strombereich ist, der durch eine Stromversorgung charakterisiert ist, die 5 V für seine Komponenten liefert. Die Komponenten können eingebettete Spannungsregler (EVRs) umfassen, die bestimmte Spannungen für eine Gruppe von Komponenten oder Peripherievorrichtungen bereitstellen.
-
In einem weiteren Beispiel dieser Ausführungsform ist der Bereich 210 durch eine bestimmte Taktquelle und/oder eine bestimmte Taktfrequenz charakterisiert. In diesem Fall arbeiten alle synchronen Module, die dem Bereich 210 angehören, mit einem Takt, der von der bereichsspezifischen Taktquelle abgeleitet wird. Der Bereich 220 kann eine separate Taktquelle aufweisen, die mit derselben oder einer anderen Frequenz läuft.
-
In einer Ausführungsform kann die Steuereinheit eine Sicherheitsmanagementeinheit (SMU) sein. Die SMU kann derart implementiert sein, dass ein erster Teil in einem ersten Strombereich und ein zweiter Teil in einem zweiten Strombereich implementiert ist. Der erste Strombereich 210 umfasst den Hauptcontroller 101 und eine Einrichtung 203a, die ein erster Teil der SMU 103 ist. Der Hauptcontroller 101 umfasst die erste CPU und ist in der Lage, als Teil des Steuersignals 104, das in die Einrichtung 203a eingegeben wird, ein Warnsignal zu erzeugen. Die Einrichtung 203a, die ein erster Teil der SMU ist, liest das Steuersignal 104, bewertet das Warnsignal und führt dem Hauptcontroller 101 ein Rücksetzsignal als Teil des Steuersignals 104 zu. Es sei angemerkt, dass ebenso andere Arten von Steuersignalen, z. B. ein Neustartsignal, dem Hauptcontroller zugeführt werden könnten.
-
Der zweite Bereich 220 umfasst den Ausweichcontroller 102 und eine Einrichtung 203b, die ein zweiter Teil der SMU 103 ist. Wie für den ersten Teil des Bereichs 210 beschrieben, kann der zweite Bereich 220 durch einen separaten Strombereich oder Taktbereich charakterisiert sein.
-
Der Hauptcontroller 101 und/oder der Ausweichcontroller 102 sind in der Lage, Warn- oder Statussignale jeweils als Teil der Steuersignale 104 oder 105 zu erzeugen. Diese Warn- oder Datensignale können von der Steuereinheit 103 oder von deren bereichsspezifischen Schaltungen 203a und 203b evaluiert werden. Als eine Konsequenz dieser Evaluierung kann die Steuereinheit 103 Rücksetzsignale als Teil der Steuersignale 104 oder 105 für die jeweiligen Controller erzeugen.
-
Die bereichsspezifischen Schaltungen 203a und 203b kommunizieren als Teil der Steuereinheit 103 über eine Schnittstelle 206. Diese Schnittstelle 206 wird dazu verwendet, die Warnsignale, die Statussignale oder allgemeine Informationen vom Bereich 210 zu dem Bereich 220 zu übertragen. Ein Beispiel für eine sicherheitskritische Anwendung der Vorrichtung 150 kann eine elektronische Servolenkung sein, bei der die relevante Funktionalität, während des normalen Betriebsmodus, in der Einrichtung 101 (dem Hauptcontroller) ausgeführt werden kann. Im Falle eines Fehlers, der der Steuereinheit 103 durch ein Warnsignal 204 kommuniziert werden kann, übernimmt die Einrichtung 102 (der Ausweichcontroller) die Steuerung der Vorrichtung 150 im Notbetriebsmodus.
-
Um den Notbetriebsmodus durchzuführen, benötigt der Ausweichcontroller 102 notwendige Informationen, wie das momentane Drehmoment oder den Lenkwinkel des Lenksystems. Diese Informationen müssen vom Hauptcontroller 101 über die Schnittstelle 207 zu dem Ausweichcontroller 102 kommuniziert werden.
-
Die Diversität zwischen dem Hauptcontroller und dem Ausweichcontroller vermeidet systematische Fehler oder Fehler gemeinsamer Ursache, insbesondere Softwarefehler. Der Hauptcontroller und der Ausweichcontroller können über dedizierte Taktquellen verfügen, d. h., dass sie mit denselben, ähnlichen oder anderen Taktfrequenzen laufen.
-
In einer Ausführungsform sollte der Ausweichcontroller noch arbeiten, obwohl der Hauptcontroller seine Stromversorgung verloren hat. Deshalb sollten der Hauptcontroller und der Ausweichcontroller über dedizierte Stromversorgungen und/oder Strombereiche verfügen.
-
3 zeigt als eine andere Ausführungsform eine Einrichtung 300, die der Einrichtung 200 ähnlich ist. Allerdings erzeugt der Hauptcontroller 101 im Gegensatz zu 2 ein Warn- oder Statussignal 304, das aus mehreren Signalleitungen bestehen kann, und das erzeugte Warn- oder Statussignal 304 wird von der bereichsspezifischen Unterschaltung 203b gelesen, d. h., dass das Warn- oder Statussignal 304b Bereichsgrenzen überquert. Der Ausweichcontroller 102 erzeugt ein Warn- oder Statussignal 305, das aus mehreren Signalleitungen bestehen kann, und das Signal 305 kann in eine bereichsspezifische Unterschaltung 203a eingegeben werden.
-
In einer weiteren nicht gezeigten Ausführungsform erzeugt die bereichsspezifische Schaltung 203b ein Steuersignal, das dem Hauptcontroller 101 zugeführt wird. Umgekehrt erzeugt die bereichsspezifische Schaltung 203a des Bereichs 210 ein Steuersignal, das dem Ausweichcontroller 102 zugeführt wird.
-
4 zeigt eine Einrichtung 400, die einen ersten Chip 450 und einen zweiten Chip 460 umfasst. Diese zwei Siliziumchips sind zum Beispiel in einer gemeinsamen Halbleiterverpackung implementiert. Der Hauptcontroller 101, der bereichsspezifische Teil der Systemmanagementeinheit (SMU) 203a, die Schnittstelle 404 zwischen dem Hauptcontroller 101 und dem SMU-Teil 203a sind auf dem ersten Siliziumchip 450 implementiert.
-
Der Ausweichcontroller 102, der bereichsspezifische Teil der SMU 203b, die Grenzschnittstelle 404 zwischen dem Ausweichcontroller 102 und dem Teil der SMU 203b sind auf einem zweiten Siliziumchip 460 implementiert. Die bereichsübergreifenden Grenzschnittstellensignale 404, 405 und 406 können durch dedizierte Drähte zwischen den Chips oder durch Flip-Chip-Technologie implementiert werden. Flip-Chip ist ein Verfahren zur Verbindung von Halbleiterbauelementen mit Lötpunkten, die auf den Chipkontakten abgeschieden wurden.
-
5 zeigt ein Flussdiagramm, das drei Schritte umfasst, um das offenbarte Verfahren zum Betreiben einer Vorrichtung eines Fahrzeugs zu implementieren. Im Schritt von 501 wird ein Steuersignal von einem Hauptcontroller erzeugt, der in einem ersten Betriebsmodus arbeitet. Dieser Betriebsmodus kann in einem Beispiel durch eine sicherheitskritische Funktionalität charakterisiert sein.
-
Fahrzeuge können beliebige mobile Maschinen sein, die Personen oder Ladung transportieren, wie etwa Wagen, Fahrräder, Motorfahrzeuge (Motorräder, Autos, Lastwagen, Busse, Züge), Wasserfahrzeuge (Schiffe, Boote), Raumfahrzeuge und Luftfahrzeuge.
-
Das Steuersignal wird zum Beispiel von einem Ausfall verursacht, der während der Ausführung einer sicherheitskritischen Automobilanwendung erkannt wird. Das Steuersignal kann ein Warnsignal sein, das mehrere Signalleitungen umfassen kann, die in Schritt 502 gelesen und evaluiert werden, z. B. durch eine Sicherheitsmanagementeinheit (SMU).
-
Danach wird die Durchführung der ersten Funktion in Schritt 503 von einem Ausweichcontroller, zum Beispiel einem Ausweichcontroller, übernommen. Der Ausweichcontroller kann im Vergleich mit dem Hauptcontroller oder einer anderen Software-Implementation eine andere Architektur aufweisen oder sonstwie gegenüber der Implementation des Hauptcontrollers diversifiziert sein.
-
Die hier vorgeschlagenen Beispiele können insbesondere auf mindestens einer der folgenden Lösungen basieren. Insbesondere können Kombinationen der folgenden Merkmale verwendet werden, um ein gewünschtes Ergebnis zu erreichen. Die Merkmale des Verfahrens könnten mit (einem) beliebigen anderen Merkmal(en) der Einrichtung, der Vorrichtung oder des Systems oder umgekehrt kombiniert werden.
-
Eine Einrichtung zum Betreiben einer Vorrichtung eines Fahrzeugs wird bereitgestellt. Die Einrichtung umfasst einen ersten Controller, der dafür eingerichtet ist, von einem ersten Steuersignal gesteuert zu werden, und einen zweiten Controller, der dafür eingerichtet ist, von einem zweiten Steuersignal gesteuert zu werden. Weiterhin umfasst die Einrichtung eine Steuereinheit, die betreibbar mit dem ersten und dem zweiten Controller verbunden ist, wobei sowohl der erste Controller als auch der zweite Controller dafür eingerichtet sind, die Vorrichtung zu betreiben.
-
Im Falle von Problemen mit dem ersten Controller, der die Vorrichtung betreibt, die ein sicherheitsrelevanter Teil eines Fahrzeugs sein kann, z. B. die elektrische Bremse, übernimmt der zweite Controller das Betreiben der Vorrichtung, während der erste Controller neu startet.
-
In einer Ausführungsform ist der erste Controller dafür eingerichtet, die Vorrichtung in einem ersten Betriebsmodus zu betreiben, und der zweite Controller ist dafür eingerichtet, die Vorrichtung in einem zweiten Betriebsmodus zu betreiben.
-
Der erste Betrieb kann durch den normalen Betrieb eines Fahrzeugs charakterisiert sein, d. h. dem typischen Fahren eines Autos. Der zweite Betriebsmodus kann ein Notmodus sein, der ein weiteres grundlegendes und sicheres Funktionieren des Fahrzeugs sicherstellt, möglicherweise mit weniger Merkmalen oder Komfort.
-
In einer Ausführungsform implementiert der erste Betriebsmodus eine Sicherheitsfunktion in einer ersten HW/SW-Struktur und der zweite Betriebsmodus implementiert die Sicherheitsfunktion in einer zweiten HW/SW-Struktur.
-
Die von den zwei Controllern verwendete Hardware (HW) kann unterschiedlich sein. Sie können eine andere CPU, einen anderen Satz von Peripherievorrichtungen und/oder Speicher verwenden. Zusätzlich zu einer anderen Hardware oder als ein einziger Unterschied, kann auch die Software (SW), die auf den zwei Controllern läuft, verschieden sein.
-
In einer Ausführungsform umfasst die Einrichtung ferner eine erste Taktquelle, um den ersten Controller zu takten, und eine zweite Taktquelle, um den zweiten Controller zu takten.
-
Mit verschiedenen Taktsignalen können ein anderer Stromverbrauch und eine andere Leistungsfähigkeit erreicht werden. In einem Beispiel läuft der erste oder Hauptcontroller mit einer höheren Taktrate mit einer höheren Gesamtleistungsfähigkeit im Vergleich zu dem zweiten oder Ausweichcontroller.
-
In einer Ausführungsform ist der erste Controller dafür eingerichtet, mit einer ersten Taktfrequenz zu laufen, und der zweite Controller ist dafür eingerichtet, mit einer zweiten Taktfrequenz zu laufen.
-
In einer Ausführungsform ist der erste Controller dafür eingerichtet, in einem ersten Strombereich zu arbeiten, und der zweite Controller ist dafür eingerichtet, in einem zweiten Strombereich zu arbeiten.
-
In einer Ausführungsform umfasst die Steuereinheit eine Unterschaltung, die in dem ersten Strombereich implementiert ist, und eine zweite Unterschaltung, die in dem zweiten Strombereich implementiert ist.
-
In einer Ausführungsform ist der erste Controller dafür eingerichtet, mit einem ersten Satz von Peripherievorrichtungen zu arbeiten, und wobei der zweite Controller dafür eingerichtet ist, mit einem zweiten Satz von Peripherievorrichtungen zu arbeiten.
-
In einer Ausführungsform ist die Anzahl von Peripherievorrichtungen in dem zweiten Satz von Peripherievorrichtungen kleiner als die Anzahl von Peripherievorrichtungen in dem ersten Satz von Peripherievorrichtungen.
-
In einer Ausführungsform ist die Steuereinheit dafür eingerichtet, das erste Steuersignal zu speichern.
-
Ein Verfahren zum Betreiben einer Vorrichtung eines Fahrzeugs wird bereitgestellt. Das Verfahren umfasst das Erzeugen eines Steuersignals durch einen ersten Controller, der die Vorrichtung eines Fahrzeugs in einem ersten Betriebsmodus betreibt. Das Verfahren macht weiter mit dem Evaluieren des Steuersignals durch eine Steuereinheit, um ein Evaluierungsergebnis bereitzustellen, und mit dem Übernehmen des Betriebs der Vorrichtung durch einen zweiten Controller, gemäß dem Evaluierungsergebnis.
-
In dem ersten Modus ist der erste Controller, d. h. der Hauptcontroller, in der Lage, ein Warnsignal zu erzeugen, das ein Problem mit dem weiteren Betrieb der Vorrichtung anzeigt. Die Vorrichtung kann ein sicherheitskritischer Teil eines Autos sein, wie das elektrische Brems- oder Lenksystem. Das erzeugte Warnsignal kann von einer Sicherheitssteuereinheit evaluiert werden, die entscheidet, ob die Vorrichtung besser von dem zweiten Controller, d. h. dem Ausweichcontroller, betrieben und gesteuert werden sollte oder nicht.
-
In einer Ausführungsform ist die in dem Verfahren verwendete Vorrichtung dafür eingerichtet, eine Sicherheitsfunktion zu implementieren.
-
In einer Ausführungsform ist der zweite Controller in einer bezüglich dem ersten Controller diversen Architektur implementiert.
-
In einer Ausführungsform sind der erste Controller und der zweite Controller dafür eingerichtet, in separaten Strombereichen zu arbeiten.
-
Ein System wird bereitgestellt. Das System umfasst einen ersten Controller, um eine Vorrichtung eines Fahrzeugs zu betreiben, wohingegen die Vorrichtung dafür eingerichtet ist, eine Sicherheitsfunktion zu implementieren. Zusätzlich umfasst das System einen zweiten Controller, um die Vorrichtung zu betreiben, und eine Steuereinheit, die dafür eingerichtet ist den ersten Controller und den zweiten Controller zu steuern, wohingegen der erste Controller auf einem ersten Chip implementiert ist und der zweite Controller auf einem zweiten Chip implementiert ist.
-
Der erste Chip kann mit einer bestimmten CMOS-Halbleitertechnologie hergestellt sein, wohingegen der zweite Chip mit einer anderen Technologie als der für den ersten Chip verwendeten CMOS-Technologie hergestellt sein kann. Die zwei Chips stellen Kontakte bereit, um sich mit ihnen zu verbinden. Die Kontakte der zwei Chips können miteinander unter Verwendung einer Draht-Bonding-Technologie oder einer Flip-Chip-Technologie verbunden sein.
-
In einer Ausführungsform sind der erste Chip und der zweite Chip in einer gemeinsamen Verpackung implementiert.
-
Die Verpackung kann ein MQFP, ein TQFP oder eine Verpackung für BGAs (Ball Grid Arrays) sein. Die anderen Teile des Systems können entweder zusammen mit einem der zwei Controller implementiert sein. In einem weiteren Beispiel kann die Steuereinheit auf einem dritten Chip implementiert sein, wohingegen der dritte Chip mit derselben oder einer anderen Technologie, verglichen mit dem ersten und dem zweiten Chip, hergestellt sein kann.
-
Ein weiteres System wird bereitgestellt. Das System umfasst einen ersten Controller, um eine Vorrichtung eines Fahrzeugs zu betreiben, wohingegen die Vorrichtung dafür eingerichtet ist, eine Sicherheitsfunktion zu implementieren, und einen zweiten Controller, um die Vorrichtung zu betreiben. Zusätzlich umfasst das System eine Steuereinheit, um den ersten Controller und den zweiten Controller zu steuern, wohingegen der erste Controller und der zweite Controller auf einem Chip implementiert sind.
-
In einem oder mehreren Beispielen können die hier beschriebenen Kraftfahrzeugsicherheitsfunktionen zumindest teilweise in Hardware implementiert sein, wie etwa als spezielle Hardwarekomponenten oder einem Prozessor. Allgemeiner können die Techniken in Hardware, Prozessoren, Software, Firmware oder einer beliebigen Kombination dieser implementiert sein.
-
Wenn in Software implementiert, können die Sicherheitsfunktionen in einer oder mehreren Anweisungen oder Code auf einem computerlesbaren Medium gespeichert oder über ein solches übertragen sein und können von einer hardwarebasierten Verarbeitungseinheit ausgeführt werden. Computerlesbare Medien können computerlesbare Speichermedien beinhalten, die einem greifbaren Medium entsprechen, wie etwa Datenspeichermedien, oder Kommunikationsmedien einschließlich jeglichen Mediums, das ein Übertragen eines Computerprogramms von einer Stelle zu einer anderen, z. B. gemäß einem Kommunikationsprotokoll, erleichtert.
-
Datenspeichermedien können irgendwelche verfügbaren Medien sein, auf die von einem oder mehreren Computern oder von einem oder mehreren Prozessoren zugegriffen werden kann, um Anweisungen, Code und/oder Datenstrukturen zur Implementierung der in dieser Offenbarung beschriebenen Techniken abzurufen. Ein Computerprogrammprodukt kann ein computerlesbares Medium beinhalten.
-
Verschiedene Komponenten, Module oder Einheiten werden in dieser Offenbarung beschrieben, um funktionale Aspekte von Einrichtungen zu betonen, die dafür eingerichtet sind, die offenbarten Techniken durchzuführen, aber nicht notwendigerweise eine Realisierung durch verschiedene Hardwareeinheiten erfordern. Eher können, wie oben beschrieben, verschiedene Einheiten in einer einzigen Hardwareeinheit kombiniert oder durch eine Ansammlung von interoperativen Hardwareeinheiten bereitgestellt werden, einschließlich, wie oben beschrieben, eines oder mehrerer Prozessoren zusammen mit geeigneter Software und/oder Firmware.
-
Obwohl verschiedene beispielhafte Ausführungsformen der Erfindung offenbart wurden, wird es Fachleuten unmittelbar einleuchten, dass verschiedene Änderungen und Modifikationen vorgenommen werden können, die einige der Vorteile der Erfindung erreichen werden, ohne vom Wesen und Schutzumfang der Erfindung abzuweichen. Es wird für Fachleute offensichtlich sein, dass andere Komponenten, die dieselben Funktionen durchführen, geeignet ersetzt werden können. Es sollte erwähnt werden, dass Merkmale, die mit Bezugnahme auf eine spezielle Figur erklärt wurden, mit Merkmalen anderer Figuren kombiniert werden können, selbst in jenen Fällen, in denen dies nicht ausdrücklich erwähnt wurde. Ferner können die Verfahren der Erfindung in entweder allen Softwareimplementierungen, unter Verwendung der passenden Prozessoranweisungen oder in Hybrid-Implementierungen, die eine Kombination von Hardwarelogik und Softwarelogik verwenden, um dieselben Ergebnisse zu erzielen, erreicht werden. Solche Modifikationen des erfinderischen Konzepts sind dafür gedacht, von den angehängten Ansprüchen abgedeckt zu werden.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- US 2013/0067259 A1 [0011]
